🏠[[Startseite ISMS]]  
📘 Kapitel:[[02. Risikomanagement]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

## 1. Zweck des Dokuments
Dieses Dokument beschreibt die Maßnahmen und Anforderungen zur Sicherstellung physischer Sicherheit und effektiver Zugriffskontrollen auf Unternehmensgelände, IT-Systeme und geschäftskritische Informationen. Ziel ist es, unbefugten Zugriff zu verhindern und die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu gewährleisten.

## 2. Verknüpfung mit ISMS-Richtlinien
Die Maßnahmen basieren auf den folgenden Richtlinien:
- [[01.51 IT-Sicherheitsrichtlinie]]
- [[01.54 Internet- und Zugriffsrichtlinie]]

---

## 3. Maßnahmen zu Zugriffskontrollen und physischer Sicherheit

### 3.1 Zugangskontrolle zum Unternehmensgelände
- **Elektronische Zutrittskontrolle**:
  - Der Zugang zu Gebäuden erfolgt über personalisierte Zugangskarten oder biometrische Authentifizierung.
- **Besucherregistrierung**:
  - Besucher müssen sich am Empfang registrieren und erhalten nur unter Begleitung eines Mitarbeitenden Zutritt zu sicherheitskritischen Bereichen.
- **Zutrittsbereiche**:
  - Das Gelände ist in Sicherheitszonen unterteilt:
    - **Allgemeiner Bereich**: Zugang für alle Mitarbeitenden.
    - **Sicherheitskritischer Bereich**: Zugang nur für autorisierte Mitarbeitende.

### 3.2 Zugriffskontrolle auf IT-Systeme
- **Benutzeridentifikation**:
  - Zugriff auf IT-Systeme erfolgt ausschließlich über personalisierte Benutzerkonten.
- **Multi-Faktor-Authentifizierung (MFA)**:
  - MFA ist für alle geschäftskritischen Systeme verpflichtend.
- **Zeitlich begrenzte Zugriffe**:
  - Zugriffsrechte für temporäre Projekte oder externe Dienstleister sind zeitlich begrenzt und werden automatisch widerrufen.

### 3.3 Physische Sicherheit von IT-Systemen
- **Serverräume**:
  - Serverräume sind durch elektronische Zutrittskontrollen gesichert.
  - Zugang ist auf autorisierte Personen beschränkt.
  - Alle Zugriffe auf Serverräume werden protokolliert.
- **Endgeräte**:
  - Laptops und andere mobile Geräte sind in abschließbaren Schränken oder Räumen zu lagern, wenn sie nicht genutzt werden.
  - Alle Geräte müssen über die [[01.56 Richtlinie für mobile Geräte]] hinaus verschlüsselt sein.

### 3.4 Überwachung und Alarmsysteme
- **Videoüberwachung**:
  - Sicherheitskritische Bereiche wie Serverräume und Eingänge sind mit Videoüberwachung ausgestattet.
  - Aufzeichnungen werden für mindestens 30 Tage gespeichert.
- **Einbruchmeldesysteme**:
  - Gebäude sind mit Einbruchmeldern ausgestattet, die bei unbefugtem Zutritt einen Alarm auslösen.

### 3.5 Mitarbeitersensibilisierung
- Mitarbeitende werden regelmäßig über die Bedeutung physischer Sicherheit geschult (siehe [[01.04 Schulungsplan ISMS]]).
- Sicherheitsvorgaben sind in der **Onboarding-Schulung** für neue Mitarbeitende enthalten.

---

## 4. Überprüfung und Optimierung

### 4.1 Regelmäßige Kontrolle
- Physische Sicherheitsmaßnahmen und Zugriffskontrollen werden mindestens einmal jährlich überprüft.
- Prüfungen umfassen die Funktionalität von Überwachungssystemen, die Aktualität der Zutrittsberechtigungen und die Einhaltung der Sicherheitsvorgaben.

### 4.2 Optimierung
- Erkenntnisse aus Vorfällen und regelmäßigen Prüfungen fließen in die Weiterentwicklung der Sicherheitsmaßnahmen ein.

---

## 5. Verknüpfte Dokumente
- [[01.51 IT-Sicherheitsrichtlinie]]
- [[01.54 Internet- und Zugriffsrichtlinie]]
- [[01.56 Richtlinie für mobile Geräte]]
- [[01.04 Schulungsplan ISMS]]

---

🏷️ **Tags:**  
- #PhysischeSicherheit #Zugriffskontrollen #ISMS_Maßnahme #ISO_Kontrolle_11_1 #ISO_Kontrolle_11_2
