Certificación TISAX en México: qué es y cómo prepararse

Si eres proveedor automotriz en México y tu cliente te pide la certificación TISAX, lo que te está pidiendo es una evaluación de seguridad de la información contra el catálogo VDA ISA, hecha por un proveedor de auditoría aprobado por la ENX Association, con un resultado en forma de etiquetas que compartes con él en el portal de ENX y que vale tres años. Desde México cambian tres cosas: cómo eliges al auditor, qué implica un nivel 3 en planta y cómo encaja la etiqueta de protección de datos, que mide el RGPD europeo, con la ley mexicana.

Una precisión antes de seguir: aunque todo el mundo dice «certificación TISAX», técnicamente es una evaluación. El manual del participante de ENX aclara que no se emite ningún certificado; el resultado son las etiquetas, y solo las ve quien tú autorices. La explicación general del estándar está en nuestro artículo sobre cumplimiento de TISAX.

Quién te la pide en México y en qué momento

La petición suele bajar por la cadena de suministro. Un fabricante o un Tier 1 con matriz europea la exige a quien maneja su información sensible, y ese Tier 1 la traslada a sus Tier 2 cuando comparte planos, especificaciones o piezas en desarrollo. Pasa igual en el Bajío, en Puebla, en Coahuila o en Nuevo León: el requisito viaja con el cliente, no con la región.

Llega por una cláusula del contrato, con plazo, o como requisito de homologación para un proyecto nuevo. En el segundo caso el reloj corre en tu contra. En nuestra lectura, lo primero es pedir al cliente por escrito qué etiquetas necesita y para cuándo. De esa respuesta depende todo lo demás: el nivel de evaluación, si el auditor tiene que viajar a tu planta y cuánto te va a costar.

Cómo se hace desde México

1. Registro en el portal de ENX. Das de alta tu empresa, el alcance y las ubicaciones. ENX cobra una tarifa de registro, aparte de lo que te facture el auditor, y la debes aunque no termines el proceso. El manual calcula al menos 20 minutos para un alcance con una ubicación, y la confirmación suele llegar en tres días hábiles con los contactos de los proveedores de auditoría.
2. Elegir proveedor de auditoría. Solo valen los de la lista oficial de proveedores de auditoría de ENX. La lista no los ordena por país, así que la pregunta que tienes que hacer tú es si tienen auditores que puedan venir a tu planta y si las entrevistas pueden ser en español. El propio manual sugiere comprobar que tu gente pueda hablar con el auditor en su lengua.
3. Autoevaluación con el catálogo VDA ISA, que es la base sobre la que trabaja el auditor.
4. Evaluación. En nivel 2 (AL2) el auditor revisa la plausibilidad de tu autoevaluación, pide evidencias y entrevista al responsable de seguridad, normalmente por videoconferencia. En nivel 3 (AL3) la verificación es completa y el auditor tiene que ir a tus ubicaciones.
5. Hallazgos y etiquetas. Si hay desviaciones, cada acción correctiva tiene como máximo nueve meses. Con un resultado de no conformidades menores puedes recibir etiquetas temporales, válidas hasta nueve meses después de la reunión de cierre.
6. Compartir el resultado. Desde el portal de ENX, y solo con quien tú decidas. Sin tu permiso, ENX no comparte nada de tu evaluación.

El nivel no lo eliges tú: lo marca la etiqueta que pide el cliente. Estas son las del catálogo vigente, según el manual de ENX:

Para una planta en México, AL3 significa traer al auditor. Si tu proveedor de auditoría no tiene gente en el país, los viáticos van a tu cuenta y la fecha depende de su agenda. Por eso conviene pedir cotización a dos o tres desde el principio y no al final.

Ojo con el catálogo: ISA2027 entra el 1 de enero

La VDA publicó el catálogo ISA2027 el 1 de julio de 2026, y según el anuncio de ENX se aplica a todas las evaluaciones TISAX que se encarguen a partir del 1 de enero de 2027. Hasta entonces sigue la versión 6, vigente desde abril de 2024. Según el manual, te toca la versión vigente cuando encargas la evaluación inicial, no cuando te registras. Desde ahora habrá catálogo nuevo cada verano, con efecto el 1 de enero siguiente, y las etiquetas emitidas conservan sus tres años.

Por dónde empezaríamos: si no vas a encargar la evaluación antes de que acabe 2026, haz la autoevaluación directamente con ISA2027. Hacerla con la versión 6 y repetirla en enero es trabajo tirado.

Protección de datos: la etiqueta mide el RGPD, la ley que te aplica es la mexicana

Las etiquetas Data y Special data evalúan, en palabras del manual de ENX, la protección de datos según el artículo 28 del Reglamento General de Protección de Datos europeo, el que regula al encargado del tratamiento. Special data añade las categorías especiales del artículo 9 y exige AL3. Es decir, te miden como si trataras datos por cuenta de tu cliente bajo reglas europeas.

En paralelo, en México rige la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 y en vigor desde el día siguiente, que abrogó la de 2010. La autoridad ya no es el INAI: la ley define como «Secretaría» a la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV), y los expedientes del instituto pasaron a ella. Tres puntos de la ley que tocan lo mismo que TISAX:

• El artículo 18 obliga al responsable a mantener medidas de seguridad administrativas, técnicas y físicas.
• El artículo 19 exige informar de forma inmediata a las personas titulares de las vulneraciones que afecten de forma significativa sus derechos.
• La ley reconoce a la persona encargada, que trata datos por cuenta del responsable (artículo 2, fracción XII), y el artículo 53 le alcanza la responsabilidad por daños.

En nuestra lectura, el error sería pensar que la etiqueta Data te pone al día con la ley mexicana. No lo hace: no revisa tu aviso de privacidad ni cómo atiendes los derechos ARCO de tus propios empleados. Lo sensato es un solo inventario de tratamientos y un solo juego de controles, con cada control mapeado a las dos referencias. En GlobalSuite®, el módulo de Privacidad y protección de datos sirve para llevar esa parte.

Si en tu planta hay prototipos

Las etiquetas de piezas y vehículos prototipo van siempre en AL3, con el auditor en sitio. Es la parte más física del catálogo y la que más se nota en una planta, porque se evalúa en el lugar donde está el prototipo. Si además tus prototipos salen a pruebas o a eventos, esos casos tienen sus propias etiquetas en AL2. Si tu cliente te manda piezas en desarrollo, da por hecho que te las va a pedir, aunque al principio solo hable de confidencialidad.

Por dónde empezar

1. Pide al cliente las etiquetas exactas y la fecha límite, por escrito.
2. Decide qué ubicaciones entran en el alcance. Cada planta incluida es una ubicación a evaluar.
3. Haz una autoevaluación honesta con el catálogo que te vaya a tocar y anota la evidencia de cada control.
4. Pide cotización a varios proveedores de la lista de ENX, preguntando por auditores en México y por el idioma.
5. Convierte cada brecha en una tarea con responsable y fecha antes de que llegue el auditor.

GlobalSuite Solutions no es proveedor de auditoría TISAX; lo que hacemos es ayudarte a llegar preparado. El módulo de TISAX de GlobalSuite® lleva la autoevaluación VDA ISA con la madurez y la evidencia de cada control, el plan de medidas con responsables y fechas, y las medidas de protección de prototipos por área con sus evidencias separadas. Si quieres verlo con tu caso, escríbenos.

Fuentes oficiales: TISAX en el sitio de ENX, manual del participante TISAX, proveedores de auditoría aprobados, anuncio de VDA ISA2027, VDA, seguridad de la información, decreto en el DOF de 20 de marzo de 2025 y texto vigente de la LFPDPPP en la Cámara de Diputados. Contenido revisado en octubre de 2026.