Beispieldokument: Diese Regelung beschreibt einen Sollzustand für die fiktive „Muster GmbH“. Reale Standorte, Grundstücksgrenzen, Sicherheitszonen, Zutrittssysteme, Alarmanlagen, Videoüberwachung, Schlüsselbestände, Verantwortlichkeiten und Wirksamkeitsnachweise sind noch nicht bestätigt. Die Seite allein belegt keine umgesetzte physische Sicherheitsmaßnahme.
TISAX-Hinweis: Im ISA-Reiter „Informationssicherheit“ werden alle 46 Kontrollfragen umgesetzt und bewertet. Auch die Fragen zur physischen Sicherheit werden nicht wie einzelne Maßnahmen einer Statement of Applicability als „nicht anwendbar“ ausgeschlossen. Fehlende oder unzureichende Umsetzung wird als Lücke dokumentiert.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-04-01 |
| Dokumentenart | Regelung / Maßnahmenbeschreibung |
| Wiki.js-Pfad | /ISMS/04-Sicherheitsregelungen/Physische-Sicherheit |
| Verantwortlich | Standort-/Gebäudeverantwortliche/r |
| Fachlich geprüft durch | ISMS-Beauftragte/r, IT-Leitung, Arbeitsschutz und Datenschutz |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – Standorte und Umsetzung nicht bestätigt |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; Detailpläne und Schließinformationen Vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Annex A 7.1 bis 7.14 sowie Schnittstellen zu A 5.10, A 5.11, A 6.7 und A 8.1 |
| VDA-ISA-Bezug | ISA 6.0.3, Kapitel 3 Physische Sicherheit sowie gegebenenfalls Prototypenschutz |
Diese Regelung legt fest, wie Informationen, Personen, Räume, Anlagen und sonstige Betriebsmittel gegen unbefugten physischen Zugriff, Beschädigung, Manipulation, Verlust und umgebungsbezogene Gefahren geschützt werden.
Sie soll insbesondere sicherstellen, dass:
Die Regelung gilt für:
Gemeinschaftsflächen, gemietete Gebäude, gemeinsam genutzte Zugänge und Leistungen des Vermieters oder Gebäudebetreibers werden als Schnittstellen erfasst und vertraglich beziehungsweise organisatorisch gesteuert.
| Schutzziel | Physischer Beitrag |
|---|---|
| Vertraulichkeit | Unbefugte Einsicht, Aufnahme, Kopie, Mitnahme und Offenlegung verhindern |
| Integrität | Manipulation, Austausch, Beschädigung und unbemerkte Veränderung verhindern oder erkennen |
| Verfügbarkeit | Betriebsmittel, Versorgung und Arbeitsbereiche gegen Ausfall und Zerstörung schützen |
| Authentizität | Zutrittsmittel und Identitäten zuverlässig einer berechtigten Person zuordnen |
| Nachvollziehbarkeit | Zutritte, Besucher, Schlüssel, Wartungen und Ereignisse angemessen dokumentieren |
| Sicherheit von Personen | Physische Maßnahmen mit Arbeits-, Brand- und Fluchtschutz vereinbaren |
| Kunden- und Prototypenschutz | Besondere Geheimhaltungs-, Sicht-, Foto-, Lager- und Transportanforderungen umsetzen |
Sicherheitsmaßnahmen dürfen Flucht- und Rettungswege, Arbeitsschutz oder gesetzlich erforderliche Zugänge nicht unzulässig behindern.
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Grundsatzregelung, Ressourcen, wesentliche Ausnahmen und Restrisiken freigeben |
| Standort-/Gebäudeverantwortliche/r | Lokales Sicherheitskonzept, Zonen, Gebäudezugänge, Prüfungen und Maßnahmen koordinieren |
| ISMS-Beauftragte/r | Anforderungen, Risiken, SoA, TISAX-Nachweise, Abweichungen und Audits abstimmen |
| IT-Leitung | Server-, Technik- und Netzwerkräume sowie IT-Betriebsmittel physisch schützen |
| Produktions-/OT-Verantwortliche/r | Produktionsbereiche, Anlagen, Steuerungen und OT-Zugänge absichern |
| Personalwesen | Eintritt, Wechsel und Austritt an die Zutrittsverwaltung melden |
| Empfang/Werkschutz | Identitätsprüfung, Besuchersteuerung, Alarmbearbeitung und lokale Überwachung durchführen |
| Datenschutz | Videoüberwachung, Zutrittsprotokolle und personenbezogene Nachweise prüfen |
| Arbeitsschutz/Brandschutz | Personen-, Brand-, Flucht- und Rettungsanforderungen einbringen |
| Führungskräfte | Zutrittsbedarf beantragen, bestätigen und regelmäßig überprüfen |
| Beschäftigte | Zutrittsmittel schützen, Begleit- und Verhaltensregeln einhalten, Ereignisse melden |
| Fremdfirmenverantwortliche/r | Auftrag, Zugangsbedarf, Einweisung, Begleitung und Rückgabe koordinieren |
Vertretungen und erreichbare Kontakte werden je Standort festgelegt. Platzhalter oder ungeprüfte Kontaktdaten gelten nicht als funktionsfähiger Meldeweg.
Für jeden Standort werden mindestens bewertet:
| Bewertungsmerkmal | Leitfrage |
|---|---|
| Lage und Umgebung | Welche Kriminalitäts-, Verkehrs-, Natur- oder Nachbarschaftsrisiken bestehen? |
| Grundstück und Gebäude | Sind Grenzen, Zugänge, Fenster, Dächer und Nebeneingänge angemessen geschützt? |
| Nutzung | Welche Prozesse, Informationen, Anlagen und Personen befinden sich am Standort? |
| Schutzbedarf | Welche Vertraulichkeits-, Integritäts- und Verfügbarkeitsanforderungen gelten? |
| Kundenanforderungen | Bestehen besondere Geheimhaltungs-, Prototypen- oder Besuchervorgaben? |
| Gemeinschaftsflächen | Welche Eingänge, Parkflächen, Aufzüge oder Versorgungen werden gemeinsam genutzt? |
| Betriebszeiten | Welche Schichten, Nacht-, Wochenend- oder Alleinarbeiten bestehen? |
| Umgebungsgefahren | Welche Risiken bestehen durch Brand, Wasser, Temperatur, Staub oder Stromausfall? |
| Externe Abhängigkeiten | Welche Aufgaben liegen bei Vermieter, Bewachung, Wartung oder Versorgern? |
| Notfallzugänge | Wie werden Feuerwehr, Rettung, Polizei und technische Notdienste eingelassen? |
Die reale Bewertung ist mit den Risiken RIS-2026-008 und RIS-2026-009 im Risikoregister abzugleichen.
Das folgende Modell ist ein Entwurf. Zonen, Bezeichnungen und Maßnahmen werden je Standort nach tatsächlichem Schutzbedarf festgelegt.
| Zone | Beispielhafte Nutzung | Zutrittsgrundsatz | Typische Mindestmaßnahmen |
|---|---|---|---|
| Zone 0 – Öffentlich | Empfangsvorbereich, öffentlich freigegebene Flächen | Zugang während festgelegter Zeiten | Erkennbare Grenze zu internen Bereichen, Orientierung und Aufsicht |
| Zone 1 – Intern | Allgemeine Büro-, Sozial- oder Verkehrsflächen | Beschäftigte und registrierte Besucher | Organisatorische Zugangskontrolle, Besucherausweis und Begleitung nach Risiko |
| Zone 2 – Geschützt | Facharchive, Produktion, Lager, Entwicklungs- oder Qualitätsbereiche | Nur berechtigte Rollen | Elektronische oder dokumentierte Zutrittssteuerung, Türen geschlossen, Besucher begleitet |
| Zone 3 – Hoch geschützt | Serverraum, kritische OT, besonders vertrauliche Entwicklung, Prototypenbereich | Namentlich freigegebene kleine Personengruppe | Starke Zutrittskontrolle, Protokollierung, Überwachung und regelmäßiger Review |
Die Zone wird an Zugängen angemessen erkennbar gemacht, ohne unnötig schutzbedürftige Informationen über Inhalte oder Anlagen preiszugeben.
Für jeden sicherheitsrelevanten Bereich ist folgender Datensatz zu führen:
| Feld | Eintrag |
|---|---|
| Standort-ID | Noch zu bestätigen |
| Bereichs-/Zonen-ID | Noch zu vergeben |
| Gebäude, Etage, Raum oder Flächengrenze | Noch zu erfassen |
| Zugeordnete Zone | Noch zu bewerten |
| Prozesse und Assets | Noch zu erfassen |
| Informations- und Schutzbedarf | Noch zu bewerten |
| Verantwortliche Rolle | Noch zu benennen |
| Berechtigte Personengruppen | Noch festzulegen |
| Zutrittsverfahren | Noch festzulegen |
| Besucher- und Fremdfirmenregel | Noch festzulegen |
| Überwachung/Alarmierung | Noch zu bewerten |
| Umwelt- und Versorgungsrisiken | Noch zu bewerten |
| Kunden-/Prototypenanforderungen | Noch zu bestätigen |
| Letzte Prüfung | Nicht durchgeführt |
| Nachweisreferenz | Noch nicht vorhanden |
Die operativen Standort- und Zonendatensätze werden im Register Standorte und Sicherheitsbereiche gesteuert. Solange dieses Register nicht mit Realdaten vervollständigt und freigegeben ist, bleiben die geschützten Standortdokumentationen führend und die Umsetzung gilt als nicht bestätigt.
Sicherheitsgrenzen können durch Grundstücksgrenzen, Fassaden, Wände, Türen, Tore, Schleusen, Schranken, Fenster oder andere geeignete Barrieren gebildet werden.
Bei Planung und Prüfung werden berücksichtigt:
Pläne mit genauen Sicherheitsgrenzen, Sensoren, Kameras, Alarmwegen oder kritischen Räumen werden nicht allgemein zugänglich im Wiki veröffentlicht.
Zutrittsberechtigungen werden nach folgendem Lebenszyklus gesteuert:
| Berechtigungsfeld | Mindestangabe |
|---|---|
| Person/Identität | Eindeutige Zuordnung |
| Arbeitgeber/Organisation | Interne oder externe Zugehörigkeit |
| Rolle und Begründung | Geschäftlicher Zutrittsbedarf |
| Standort und Zonen | Konkret freigegebener Bereich |
| Gültigkeitszeitraum | Beginn und Ende |
| Zeitliche Einschränkung | Betriebszeit, Schicht oder Einzeltermin |
| Genehmigende Rolle | Name/Funktion und Datum |
| Zutrittsmittel | Ausweis-, Schlüssel- oder Systemreferenz |
| Einweisung | Datum und Inhalt |
| Letzter Review | Datum und Ergebnis |
| Sperrung/Rückgabe | Datum und Nachweis |
Pauschale Sammelberechtigungen und dauerhaft unbefristete Fremdzugänge werden vermieden oder besonders begründet und überwacht.
Ausweise, Schlüssel, Transponder, Codes und mechanische oder elektronische Schließmittel werden:
Gemeinschaftscodes werden nur eingesetzt, wenn eine personengebundene Lösung nicht angemessen möglich ist. Änderung, Verteilung und Schutz des Codes werden dokumentiert; Codes werden insbesondere nach Personalwechsel, Offenlegungsverdacht oder Verlust angepasst.
| Registerfeld | Eintrag |
|---|---|
| Zutrittsmittel-ID | Noch zu vergeben |
| Art | Schlüssel/Ausweis/Transponder/Code |
| Zugeordnete Person/Funktion | Noch zu erfassen |
| Freigegebene Zone | Noch zu erfassen |
| Ausgabedatum | – |
| Rückgabe/Sperrung | – |
| Letzte Bestandsprüfung | Nicht durchgeführt |
| Abweichung | Noch nicht bewertet |
Zutrittsrechte werden mindestens:
überprüft.
| Reviewfeld | Mindestnachweis |
|---|---|
| Stichtag und Datenquelle | Export oder Bestandsliste |
| Geprüfte Standorte und Zonen | Vollständiger Scope |
| Verantwortliche prüfende Rolle | Name/Funktion |
| Fachliche Bestätigung | Bedarf je Person oder Rolle |
| Erkannte Überberechtigungen | Betroffene Rechte und Risiko |
| Entzug oder Korrektur | Maßnahme, Verantwortung und Termin |
| Abschlussprüfung | Nachweis der technischen oder mechanischen Umsetzung |
Eine abgezeichnete Liste ohne Prüfung des tatsächlichen Bedarfs gilt nicht als wirksamer Review.
Besucher/innen werden risikobasiert gesteuert:
| Besucherregister | Mindestangabe |
|---|---|
| Name und Organisation | Identifikation nach festgelegtem Verfahren |
| Besuchte interne Rolle | Verantwortliche Kontaktperson |
| Zweck | Geschäftlicher Anlass |
| Datum und Zeit | Eintritt und Austritt |
| Freigegebene Bereiche | Erforderlicher Umfang |
| Begleitperson | Soweit erforderlich |
| Ausgegebenes Zutrittsmittel | Referenz und Rückgabe |
| Unterweisung/Verpflichtung | Bestätigung nach Risiko |
Erhobene personenbezogene Daten werden auf das Erforderliche begrenzt und nach festgelegter Frist gelöscht.
Vor Zutritt werden mindestens geprüft:
Wartungspersonal erhält keinen weitergehenden Zugang als für die beauftragte Tätigkeit erforderlich. Änderungen an sicherheitskritischen Einrichtungen werden dokumentiert, geprüft und abgenommen.
Liefer- und Ladebereiche werden so gestaltet und betrieben, dass unkontrollierter Zugang zu internen Bereichen verhindert wird.
Mindestens werden geregelt:
Prototypen- oder besonders vertrauliche Lieferungen erhalten zusätzliche, bestätigte Kunden- und Projektschutzmaßnahmen.
In geschützten und hoch geschützten Bereichen gelten mindestens:
Lokale Regeln dürfen Arbeits- und Gesundheitsschutz nicht beeinträchtigen.
Die Handhabungsregeln richten sich nach der Informationsklassifizierung. Insbesondere:
Für Räume mit kritischer IT-, OT-, Netzwerk- oder Versorgungstechnik werden risikobasiert festgelegt:
Konkrete technische Konfigurationen, Alarmcodes und Raumpläne werden geschützt abgelegt.
Zusätzlich zu den allgemeinen Regeln werden in Produktions- und OT-Bereichen berücksichtigt:
Überwachung kann je Risiko beispielsweise durch Empfang, Werkschutz, Einbruchmeldeanlage, Türkontakte, technische Sensoren oder Video erfolgen.
Vor Einsatz werden dokumentiert:
| Prüfaspekt | Erforderliche Festlegung |
|---|---|
| Zweck und Risiko | Konkretes Schutzproblem |
| Rechtsgrundlage | Datenschutz-, Arbeits- und Mitbestimmungsprüfung |
| Erfasster Bereich | Kamerafeld, Sensor- oder Alarmzone |
| Verhältnismäßigkeit | Geeignetheit, Erforderlichkeit und mildere Mittel |
| Betriebszeiten | Dauerhaft oder zeitlich begrenzt |
| Aufzeichnung | Umfang, Zugriff und Speicherdauer |
| Alarmempfang | Zuständige und erreichbare Rolle |
| Reaktion | Eskalation, Intervention und Dokumentation |
| Funktionsprüfung | Turnus, Prüfergebnis und Mängelbehebung |
| Information | Erforderliche Hinweise und Transparenz |
Eine Attrappe, nicht ausgewertete Aufzeichnung oder ungetestete Alarmkette wird nicht als wirksame Sicherheitsmaßnahme dargestellt.
Brandschutz wird mit den zuständigen Fachrollen abgestimmt. Berücksichtigt werden:
Prüfungen des Brandschutzes werden nicht durch die ISMS-Dokumentation ersetzt.
Je Standort und Raum werden insbesondere bewertet:
Sensoren und Schutzsysteme werden nur als umgesetzt bewertet, wenn Installation, Alarmweg, Prüfung und Reaktion nachgewiesen sind.
Kritische Informationsverarbeitung und Produktion werden gegen Ausfall von:
risikobasiert geschützt.
Erforderliche USV-, Ersatzstrom-, Redundanz- oder Notbetriebsmaßnahmen werden aus der Notfallvorsorge und dem BCM sowie der Wiederanlaufplanung abgeleitet und regelmäßig getestet.
Betriebsmittel werden so aufgestellt, dass:
Standort, Owner, Schutzbedarf und Lebenszyklus werden im Asset-Inventar geführt.
Strom-, Daten- und Kommunikationsverkabelung wird risikobasiert gegen:
geschützt.
Kabelwege, Anschlüsse und Verteiler werden angemessen gekennzeichnet und dokumentiert. Detaillierte Pläne werden geschützt; ungenutzte oder nicht freigegebene Anschlüsse werden kontrolliert.
Sicherheitsrelevante Gebäude-, Schließ-, Alarm-, Überwachungs-, Versorgungs- und Betriebseinrichtungen werden:
Fernzugriffe und technische Änderungen werden zusätzlich nach den dafür geltenden IT-/OT-Regelungen gesteuert.
Für mobile Arbeit, Außendienst, Transporte und externe Aufbewahrung gelten mindestens:
Homeoffice wird nicht allein durch diese Regelung freigegeben. Es gelten zusätzlich die festgelegten Regeln für mobiles Arbeiten und die Vorgaben aus Geltungsbereich und Standorte.
Die Detailanforderungen an Arbeitsorte, Geräte, Sichtschutz, Fernzugriff und Verlustbehandlung stehen in Mobile Arbeit und Cloud.
Vor Entsorgung, Verkauf, Rückgabe oder Wiederverwendung wird geprüft:
Vertrauliche Papierunterlagen und Datenträger werden nicht über ungeschützte allgemeine Abfallwege entsorgt.
Für Feuerwehr, Rettungsdienst, Polizei, Versorger und technische Notdienste werden sichere und praktikable Zugangswege festgelegt.
Dabei werden berücksichtigt:
Lebensrettung und Gefahrenabwehr haben Vorrang. Notzugänge werden anschließend überprüft und gegebenenfalls neu gesichert.
Zu melden sind insbesondere:
Die Meldung erfolgt über den Meldeweg für Sicherheitsvorfälle. Akute Gefahren für Personen werden unverzüglich über die örtlichen Notruf- und Alarmwege behandelt.
Die Bearbeitung erfolgt nach Incident Response und umfasst risikobasiert:
Kann eine Vorgabe nicht eingehalten werden, wird vorab eine dokumentierte Ausnahme nach Ausnahmen und Risikoakzeptanzen beantragt.
Mindestens erforderlich sind:
Dringende Notfallmaßnahmen werden nachträglich dokumentiert und bewertet.
| Kontrolle | Beispielhafter Umfang | Turnus im Entwurf | Nachweisstatus |
|---|---|---|---|
| Standortbegehung | Grenzen, Türen, Fenster, Zonen und sichtbare Mängel | Noch festzulegen | Nicht durchgeführt |
| Zutrittsreview | Berechtigte Personen, Zonen, Fremdfirmen und Austritte | Noch festzulegen | Nicht durchgeführt |
| Schlüssel-/Ausweisbestand | Ausgabe, Rückgabe, Verlust und Reservebestand | Noch festzulegen | Nicht durchgeführt |
| Besucherstichprobe | Anmeldung, Begleitung, Ausweis und Abmeldung | Noch festzulegen | Nicht durchgeführt |
| Alarm- und Interventionskette | Auslösung, Empfang, Reaktion und Dokumentation | Noch festzulegen | Nicht getestet |
| Umweltüberwachung | Temperatur, Wasser, Klima und Alarmweg | Noch festzulegen | Nicht bestätigt |
| Notstrom/USV | Funktion, Kapazität und Übergang | Nach BCM-Testplan | Nicht getestet |
| Wartungsprüfung | Fristen, Autorisierung, Abnahme und Mängel | Noch festzulegen | Nicht durchgeführt |
| Clean-Desk-/Screen-Stichprobe | Schutz vertraulicher Informationen | Noch festzulegen | Nicht durchgeführt |
| Prototypenschutzprüfung | Zonen, Sicht, Foto, Lagerung und Transport | Falls Bewertungsziel bestätigt | Nicht bewertet |
Turnus und Prüftiefe werden risikobasiert festgelegt. Ein Prüfplan ohne Durchführung und Nachweis gilt nicht als wirksame Kontrolle.
Je nach Standort und Risiko werden mindestens benötigt:
Nachweise enthalten eindeutige Quelle, Datum, Scope, verantwortliche Rolle, Ergebnis und Ablageort. Sicherheitskritische Details werden geschützt referenziert und nicht unkontrolliert eingebettet.
Für die physische Sicherheit im ISA-Kriterienkatalog gilt:
Die Bewertung wird in der VDA-ISA-Selbsteinschätzung und im Maßnahmenplan und Reifegrad nachgeführt.
| Annex-A-Control | Behandlung in dieser Regelung | Aktueller Status |
|---|---|---|
| A.7.1 Physische Sicherheitsgrenzen | Zonenmodell, Grenzprüfung und Standortregister | Geplant; reale Grenzen nicht bestätigt |
| A.7.2 Steuerung physischer Zutritte | Berechtigungslebenszyklus, Zutrittsmittel und Review | Geplant; keine Berechtigungsliste geprüft |
| A.7.3 Schutz von Büros, Räumen und Einrichtungen | Zonen-, Raum- und Verhaltensregeln | Geplant; Umsetzung nicht geprüft |
| A.7.4 Überwachung physischer Bereiche | Rechtmäßige Überwachung, Alarmierung und Funktionstest | Geplant; Systeme nicht bestätigt |
| A.7.5 Physische und umgebungsbezogene Gefahren | Brand, Wasser, Umwelt und Versorgung | Geplant; Standortbewertungen offen |
| A.7.6 Arbeiten in Sicherheitsbereichen | Begleit-, Foto-, Geräte- und Verhaltensregeln | Geplant; lokale Regeln offen |
| A.7.7 Aufgeräumter Arbeitsplatz und geschützter Bildschirm | Schnittstelle zur Informationsklassifizierung | Geplant; Stichprobe fehlt |
| A.7.8 Platzierung und Schutz von Betriebsmitteln | Risikoangemessene Aufstellung und Schutz | Geplant; Assetstandorte nicht geprüft |
| A.7.9 Schutz von Assets außerhalb eigener Standorte | Transport- und Außer-Haus-Grundsätze | Geplant; Detailregelung offen |
| A.7.10 Speichermedien | Schnittstelle zu Klassifizierung und Asset-Lebenszyklus | Geplant; Verfahren nicht geprüft |
| A.7.11 Versorgungseinrichtungen | Schnittstelle zu BCM und Wiederanlauf | Geplant; Tests fehlen |
| A.7.12 Schutz von Verkabelung | Kabelwege, Verteiler und Anschlusskontrolle | Geplant; Pläne nicht geprüft |
| A.7.13 Instandhaltung von Betriebsmitteln | Autorisierung, Begleitung und Abnahme | Geplant; Wartungsregister fehlt |
| A.7.14 Sichere Entsorgung oder Wiederverwendung | Freigabe, Löschung, Vernichtung und Nachweis | Geplant; Nachweise fehlen |
Die Anwendbarkeit und Umsetzung der Annex-A-Maßnahmen wird ausschließlich in der freigegebenen Statement of Applicability entschieden. Diese Regelung ersetzt keine SoA-Entscheidung.
| Steuerungsobjekt | Nachweisbarer Stand |
|---|---|
| Reale Standort- und Gebäudedaten | Nicht bestätigt |
| Sicherheitszonen und Grenzen | Nicht dokumentiert |
| Zutrittsrollen und Berechtigungen | Nicht geprüft |
| Schlüssel- und Ausweisregister | Nicht vorgelegt |
| Besucher- und Fremdfirmenverfahren | Als Bedarf beschrieben, Umsetzung nicht geprüft |
| Alarm- und Überwachungssysteme | Nicht bestätigt |
| Brand-, Umwelt- und Versorgungsprüfungen | Nicht vorgelegt |
| Standortbegehungen | Nicht durchgeführt |
| Wirksamkeitsprüfungen | Nicht durchgeführt |
| TISAX-Bewertung physischer Kontrollen | Nicht bewertet |
| Prototypenschutz-Bewertungsziel | Zu bestätigen |
Bewertung: Es liegt eine Regelungsstruktur vor. Eine Aussage zur tatsächlichen Umsetzung, Wirksamkeit, ISO-Konformität oder TISAX-Reife ist noch nicht zulässig.
| Kennzahl | Berechnung | Entwurfsziel | Ist-Stand |
|---|---|---|---|
| Bestätigte Zonenabdeckung | Dokumentierte sicherheitsrelevante Bereiche / identifizierte Bereiche | 100 % | Nicht messbar |
| Aktuelle Zutrittsreviews | Fristgerecht geprüfte Zonen / prüfpflichtige Zonen | 100 % | Nicht messbar |
| Rechtzeitig entzogene Zutritte | Fristgerecht entzogene / erforderliche Entzüge | 100 % | Nicht erhoben |
| Vollständige Zutrittsmittel | Zugeordnete Mittel / ausgegebene Mittel | 100 % | Nicht erhoben |
| Geschlossene physische Mängel | Fristgerecht geschlossene / fällige Mängel | Vor Freigabe festlegen | Nicht erhoben |
| Erfolgreiche Alarmtests | Erfolgreiche / geplante Tests | 100 % | 0 Tests nachgewiesen |
| Aktuelle Umweltprüfungen | Fristgerecht geprüfte / kritische Bereiche | 100 % | Nicht messbar |
| Wiederholungsereignisse | Wiederholte Ereignisse je Zeitraum | Trend sinkend | Nicht erhoben |
Kennzahlen dürfen kritische Einzelmängel, ungetestete Alarmwege oder fehlende Standortabdeckung nicht durch Durchschnittswerte verdecken.
Festgestellte Mängel werden über Abweichungen und Korrekturmaßnahmen bearbeitet.
Ein physischer Mangel gilt erst als wirksam geschlossen, wenn:
Eine Reparaturmeldung, Rechnung oder Fotoaufnahme allein belegt nicht automatisch die nachhaltige Wirksamkeit.
Physische Sicherheit wird risikobasiert über das Auditprogramm und Interne Audits geprüft.
Geeignete Auditstichproben sind beispielsweise:
Positive Ergebnisse gelten nur für den dokumentierten Scope und die geprüfte Stichprobe.
| Offener Punkt | Verantwortung | Status |
|---|---|---|
| Reale Standorte, Gebäude und Vermieterschnittstellen bestätigen | Geschäftsführung / Standortleitung | Offen |
| Sicherheitszonen und Zonenregister erstellen | Standortleitung / ISMS | Offen |
| Zutrittsrollen und Genehmigungsweg festlegen | Standortleitung / Personal / IT | Offen |
| Schlüssel-, Ausweis- und Codebestände erfassen | Standortleitung | Offen |
| Besucher- und Fremdfirmenprozess operationalisieren | Empfang / Standortleitung | Offen |
| Alarm-, Einbruch- und Interventionskonzept bestätigen | Standortleitung / Dienstleister | Offen |
| Datenschutzprüfung etwaiger Videoüberwachung durchführen | Datenschutz / Standortleitung | Offen |
| Brand-, Umwelt- und Versorgungsrisiken je Standort prüfen | Brandschutz / Arbeitsschutz / Standortleitung | Offen |
| Wartungs- und Funktionsprüfplan freigeben | Standortleitung / IT / Produktion | Offen |
| Kunden- und Prototypenschutzanforderungen bestätigen | Vertrieb / Projekt / TISAX | Offen |
| Reale Umsetzungsnachweise erfassen | Maßnahmenverantwortliche | Offen |
| Erstprüfung und Wirksamkeitstest durchführen | ISMS / Interne Audits | Offen |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Regelungsstruktur für Zonen, Zutritt, Besucher, Betriebsmittel, Umweltgefahren, Prüfungen und TISAX-Nachweise angelegt | ISMS-Beauftragte/r | Ausstehend | – |
| Funktion | Name | Entscheidung | Datum |
|---|---|---|---|
| Geschäftsführung | – | Ausstehend | – |
| Standort-/Gebäudeverantwortliche/r | – | Fachliche Prüfung ausstehend | – |
| ISMS-Beauftragte/r | – | Prüfung ausstehend | – |
| Datenschutz/Arbeitsschutz | – | Schnittstellenprüfung ausstehend | – |
Maßgeblich bleiben die lizenzierten Normtexte, die offizielle ISA-Arbeitsmappe, der bestätigte TISAX Assessment Scope sowie die freigegebenen Rechts-, Vertrags-, Kunden-, Brand-, Arbeits- und Datenschutzanforderungen.