Compliance-Beauftragte kennen das Szenario: Sie investieren Millionen in Netzwerksicherheit, implementieren ausgefeilten Endpunktschutz und richten eine Zero-Trust-Architektur ein – doch all das nützt nichts, wenn jemand durch eine unverschlossene Tür in den Serverraum gelangt. Die NIS-2-Richtlinie greift genau diese Realität auf. Gemäß Artikel 21 ist die physische Zutrittskontrolle keine Aufgabe der Haustechnik mehr, sondern eine Cybersicherheitsaufgabe mit dem gleichen regulatorischen Gewicht wie Firewall-Richtlinien. Unternehmen müssen physische Sicherheitsmaßnahmen implementieren, die unbefugten Zutritt zu kritischen Infrastrukturen, Rechenzentren und operativen Technologieumgebungen verhindern.
Für CISOs und Facility Manager in wesentlichen und wichtigen Einrichtungen der EU bedeutet dies nicht nur eine Richtlinienaktualisierung. Es handelt sich um eine vollständige Neudefinition von Sicherheitsstrategie, Budgetbefugnissen und Managementverantwortlichkeiten.
Warum NIS-2 die physische Zutrittskontrolle als wesentliche Cybersicherheit behandelt
Seit Jahrzehnten galt: IT sichert das Netzwerk, Facility Management sichert das Gebäude. Diese klare Trennung wird nun zu einer regulatorischen Haftung.
Das Ende der physisch-digitalen Sicherheitstrennung
Artikel 21 der NIS-2-Richtlinie hebt die Unterscheidung zwischen physischen und digitalen Sicherheitsmaßnahmen auf. Die Richtlinie verlangt ausdrücklich „Sicherheitsmaßnahmen für die physische Sicherheit der Gebäude und Einrichtungen der Unternehmen“ als Teil eines umfassenden Cybersicherheits-Risikomanagements. Dies ist keine Empfehlung, sondern eine gesetzliche Verpflichtung, unterstützt durch obligatorische Audits, grenzüberschreitende Zusammenarbeit von Regulierungsbehörden und erhebliche finanzielle Sanktionen.
Die Logik ist einfach: Unbefugter physischer Zutritt zu einem Rechenzentrum, Serverraum oder industriellen Steuerungssystem macht alle Investitionen in digitale Sicherheit wertlos. Wer physischen Zutritt hat, muss keine Verschlüsselung knacken oder Multi-Faktor-Authentifizierung überwinden – er geht einfach durch die unbewachte Tür.
Was ist NIS-2 Artikel 21?
Artikel 21 schreibt physische Sicherheitsmaßnahmen als Bestandteil des Cybersicherheits-Risikomanagements vor.
Unternehmen müssen den unbefugten Zutritt zu kritischen Bereichen mit derselben Sorgfalt verhindern, wie sie digitale Sicherheitsmaßnahmen umsetzen.
Die versteckten Compliance-Lücken für CISOs und Facility Manager
Viele Unternehmen glauben, dass sie ausreichend physisch geschützt sind. Sie verfügen über Ausweislesegeräte, verschlossene Türen und Sicherheitspersonal. Dennoch zeigen Audits regelmäßig drei kritische Schwachstellen:
- Standalone-Systeme ohne Nachweisbarkeit: Viele Zutrittskontrollsysteme sind noch isoliert und können keine Daten an zentrale Critical Event Management (CEM)-Plattformen weiterleiten. Protokolle existieren, sind aber in proprietären Formaten oder lokalen Datenbanken gespeichert – nicht zentralisiert oder analysierbar.
Für Auditoren bedeutet dies ein Problem: NIS-2 verlangt protokollierte und überprüfbare Zutrittsereignisse. Unternehmen mit Standalone-Systemen können diese Anforderungen oft nicht effizient erfüllen, obwohl physische Kontrollen technisch vorhanden sind. - Fragmentierte Zuständigkeiten zwischen IT und Facility Management: CISOs verantworten IT-Sicherheit, Facility Manager die physische Sicherheit. NIS-2 verlangt jedoch die Integration physisch-digitaler Sicherheitsmaßnahmen. Ohne klare Zuständigkeiten entstehen Risiken bei Budget, Incident Response und Schulungen:
- Budgetanträge fallen zwischen Abteilungen durch
- Notfallpläne berücksichtigen keine physischen Sicherheitsverstöße
- Sicherheitsbewusstsein fokussiert nur auf digitale Bedrohungen, Tailgating oder Credential Sharing werden vernachlässigt
- Überwachungs- und Dokumentationslücken
NIS-2 verlangt Protokollierung, Echtzeitüberwachung und Meldung innerhalb von 24 Stunden bei Sicherheitsverstößen. Digitale Systeme erfüllen dies oft über SIEM oder SOCs. Ältere Zutrittskontrollen hingegen speichern Daten isoliert, Fehlversuche und Zugriffe außerhalb der Bürozeiten werden nicht aktiv überwacht.
Das Risiko: Auch bei vorhandenen Kontrollen kann Compliance nicht nachgewiesen werden. Dokumentationslücken gelten als Verstöße.
Zero-Trust-Framework für physische Zutrittskontrolle
Das Prinzip „nie vertrauen, immer überprüfen“ sollte auf jede physische Zugangskontrolle angewendet werden. Jeder Zugang wird in Echtzeit geprüft, jeder Zugangspunkt kontinuierlich überwacht.
Jede Zutrittsanfrage überprüfen
Im Zero-Trust-Modell reicht der Besitz einer gültigen Ausweiskarte nicht mehr. Moderne Zutrittskontrollen kombinieren MFA, Biometrie oder mobile Authentifizierung.
Vorteile:
- Gestohlene oder geklonte Ausweise sind nutzlos
- Credential Sharing wird verhindert
- Verlorene Ausweise stellen kein Risiko mehr dar
Least-Privilege-Zutritt
Zutritt wird nach Jobfunktion und Zeitfenstern beschränkt. Zeitarbeiter oder Auftragnehmer erhalten nur temporären Zugang. Auch Führungskräfte unterliegen denselben strengen Verifizierungs- und Überwachungsprotokollen.
Kontinuierliche Überwachung und Protokollierung
Alle Zutritte – erfolgreich oder fehlgeschlagen – werden zentral protokolliert und in SIEM- oder CEM-Plattformen integriert. Echtzeitwarnungen erkennen:
- Mehrfache Nutzung einer Karte an verschiedenen Orten
- Zutritte zu ungewöhnlichen Zeiten
- Wiederholte Fehlversuche
- Unbefugten Zutritt zu eingeschränkten Bereichen
- Tailgating
So lassen sich Vorfälle proaktiv verhindern und Audit-Anforderungen sofort erfüllen.
Physische Sicherheit ist Cybersicherheit unter NIS-2
Die Prämisse ist klar: digitale Sicherheitsmaßnahmen allein reichen nicht aus. Eine unbewachte Tür kann jede Firewall und Verschlüsselung außer Kraft setzen.
CISOs müssen physische Sicherheitsrisiken in Risikobewertungen einbeziehen, Notfallpläne anpassen und physische Zutrittsprotokolle in digitale Sicherheitsüberwachung integrieren. Facility Manager müssen physische Zutrittskontrollen nach denselben Standards überwachen, dokumentieren und auditen wie IT-Systeme. Unternehmen, die diese Konvergenz erfolgreich umsetzen, schaffen widerstandsfähigere Sicherheitsstrukturen, reduzieren Risiken und erfüllen regulatorische Anforderungen.
Fazit
Ihre Serverraumtür ist jetzt ein Cybersicherheits-Objekt. Die zentrale Frage lautet: Verwalten Sie sie entsprechend? [www.primion.io]
