Die Einhaltung der Vorschriften beginnt an der Tür.
Informationssicherheitsstandards stellen auch Anforderungen an den physischen Zugang. Wer darf welchen Raum wann betreten, und lässt sich dies im Nachhinein überprüfen? Mit CyberLock und CyberAudit-Web erhalten Sie darauf eine eindeutige Antwort.
Physischer Zugang ist Teil der Informationssicherheit
Ein Serverraum, ein Medizinschrank, ein Zählerschrank oder ein Pumpengebäude unterliegt denselben Standards wie das dahinterliegende Netzwerk. In der Praxis ist der physische Zugang oft am schlechtesten dokumentiert. Mechanische Schlüssel lassen sich kopieren, Schlüssellisten werden in Excel gespeichert, und niemand weiß, wer gestern Nacht um drei Uhr eine Tür geöffnet hat.
Seit dem 15. August 2026 gelten das Cybersicherheitsgesetz (die niederländische Umsetzung von NIS2) und das Gesetz zur Stärkung der Resilienz kritischer Einrichtungen (die Umsetzung der CER-Richtlinie). Ersteres betrifft die digitale Resilienz, letzteres die physische und organisatorische Resilienz, einschließlich des Zugangs zu Räumlichkeiten und Gebäuden. Die Gesamtverantwortung trägt der Vorstand. BIO2 (öffentlicher Dienst) und NEN 7510:2024 (Gesundheitswesen) wurden ebenfalls aktualisiert und orientieren sich nun an der Struktur von ISO 27001:2022. Alle diese Rahmenwerke fordern dasselbe: sichere Zonen, Zugang nur für autorisierte Personen, Ereignisprotokollierung und regelmäßige Überprüfung der Zugriffsrechte.
Sie müssen einen Nachweis erbringen können.
Sellox liefert hierfür vier Komponenten in einem System.
Rechte im Schlüssel
Welche Zylinder, an welchen Tagen, in welchem Zeitfenster und wie lange der Schlüssel ohne Aktualisierung gültig bleibt. Ein nicht erneuerter Schlüssel ist ungültig. Bei Verlust oder Beendigung des Arbeitsverhältnisses widerrufen Sie die Rechte über die Software.
Registrierung in Schlüssel und Zylinder
Geöffnet, abgelehnt, außerhalb des Zeitplans, abgelaufen. Der Zylinder speichert bis zu 6.500 Ereignisse, der Schlüssel bis zu 12.000. Sie können jederzeit sehen, welcher Schlüssel wo verwendet wurde, auch ohne Strom- oder Netzwerkverbindung.
Bericht für die Prüfung
CyberAudit-Web Enterprise erfasst alle relevanten Daten in einem einzigen Prüfprotokoll mit Datum, Uhrzeit, Schlüssel, Person und Zylinder. Berichte sind pro Person, Tür oder Zeitraum verfügbar. Die Lösung kann lokal installiert oder von Sellox gehostet werden.
Regelmäßige Überprüfung
Sofort SX-Gesundheitscheck Sellox überprüft Ihre Einrichtung: Schlüssel ohne Besitzer, ausgeschiedene Mitarbeiter mit Zugriffsrechten, abweichende Diagramme, Zylinder, die keine Meldung abgeben, sowie die Versionen der Software und Firmware.
Was die Normen für Schlüssel und Türen vorschreiben
Wählen Sie ein Kästchen aus. Dies ist keine Rechtsberatung.
ISO 27001:2022
- Für wen
- Organisationen mit ISMS-Zertifizierung. Auch Grundlage von BIO2 und NEN 7510.
- Was es verlangt
- Gesicherte Zonen mit Zugangskontrolle (7.1–7.3), Überwachung der physischen Sicherheit (7.4), Gewährung, Änderung und Entzug von Zugriffsrechten gemäß den Richtlinien (5.15–5.18), Ereignisprotokollierung (8.15).
- Wie Sellox dies umsetzt
- Berechtigungen pro Schlüssel und pro Zone, automatisch ablaufende Schlüssel, der Audit-Trail als Protokollquelle und Berichte zur Berechtigungssteuerung.
NIS2 / Cybersicherheitsgesetz
- Für wen
- Wesentliche und wichtige Einrichtungen in 18 Sektoren, darunter Energie, Trinkwasser, Gesundheitswesen, Verkehr, digitale Infrastruktur und Regierung. In Kraft seit dem 15. August 2026.
- Was es verlangt
- Sorgfaltspflicht mit angemessenen Maßnahmen, einschließlich einer Richtlinie für die Zugangskontrolle und die Sicherheit von Personal und Vermögenswerten; Meldepflicht bei schwerwiegenden Vorfällen; Managementverantwortung.
- Wie Sellox dies umsetzt
- Der Zugang zu Technikräumen und Feldgeräten ist ohne Verkabelung auf autorisierte Personen beschränkt und wird anschließend protokolliert. Im Falle eines Zwischenfalls ist sofort ersichtlich, welcher Schlüssel wo verwendet wurde.
Gesetz zur Resilienz kritischer Einrichtungen (CER)
- Für wen
- Etwa 500 Organisationen wurden von ihren Ministerien als kritische Einrichtungen eingestuft, unter anderem in Sektoren wie Energie, Trinkwasser und Abwasser, Hochwasserschutz und -management, Transport, Gesundheitswesen, digitale Infrastruktur und Verwaltung. Die Regelungen gelten seit dem 15. August 2026 zusammen mit dem Cybersicherheitsgesetz: Der Cybersecurity-Behavior (CBW) betrifft die digitale Resilienz, während der Cybersecurity-Behavior die physische und organisatorische Resilienz betrifft.
- Was es verlangt
- Innerhalb von neun Monaten nach der Benennung eine Risikobewertung und innerhalb von zehn Monaten geeignete technische, organisatorische und physische Maßnahmen, einschließlich des Schutzes von Standorten und Gebäuden durch Zugangskontrolle, Verwaltung der Zugangsrechte und Hintergrundüberprüfungen für sensible Positionen; Meldung von Störungen innerhalb von 24 Stunden.
- Wie Sellox dies umsetzt
- Zugangskontrolle für Objekte ohne Stromanschluss oder Netzwerk (Pumpstationen, Bahnhöfe, Schlösser, hydraulische Anlagen), Rechte pro Person, Zone und Zeitfenster, Widerruf bei Verlassen des Gebäudes und ein Prüfprotokoll, das anzeigt, was pro Schlüssel und pro Zylinder geschehen ist, auch nach einem Vorfall.
BIO2 (Regierung)
- Für wen
- Nationalregierung, Provinzen, Gemeinden und Wasserbehörden. BIO2 v1.3 wurde am 5. März 2026 verabschiedet und ersetzt das alte BIO.
- Was es verlangt
- Die gleiche Struktur wie ISO 27001:2022, ergänzt durch staatliche Maßnahmen für Sicherheitszonen, Zugang zu vertrauenswürdigen Zonen und Warnungen im Falle konkreter Risiken.
- Wie Sellox dies umsetzt
- Zonierung nach Zylindergruppen, Schlüssel, die nur dort und dann funktionieren, wo es zulässig ist, und ein Prüfprotokoll für die ENSIA-Berichterstattung.
CSIR 3.0 (Objekte mit Prozessautomatisierung)
- Für wen
- Eigentümer und Betreiber von Brücken, Schleusen, Pumpstationen, Kläranlagen und anderen Anlagen mit Prozessautomatisierung. Die Richtlinie stammt ursprünglich von Rijkswaterstaat und den Wasserverbänden, wird aber auch von Kommunen und anderen Betreibern in deren Verträgen aufgenommen und gilt somit für deren Auftragnehmer und Lieferanten. Die Richtlinie zur Implementierung der Cybersicherheit für Anlagen ergänzt die BIO für die industrielle Automatisierung und basiert auf IEC 62443.
- Was es verlangt
- Physischer Zugang zu IA-Räumen, -Gelände und -Gebäuden nur für autorisierte Personen (Kapitel 2.1); ein aktueller Schließplan und aktives Management von Schlüsseln und Tresoren (FTG9, FTG29); Ausstellung und Entzug von Zugangsberechtigungen bei Funktionswechsel oder Ausscheiden (LP10); Rechte basierend auf Rolle und Bedarf (LP2); Überprüfung der Zugangsrechte mindestens alle sechs Monate (LP4).
- Wie Sellox dies umsetzt
- Ein elektronischer Schlüsselplan pro Objekt, Berechtigungen pro Rolle und pro Zone, Schlüssel, die ablaufen, wenn sie nicht aktualisiert werden, und Berichte pro Person und pro Objekt für die halbjährliche Überprüfung der Berechtigungen.
NEN 7510:2024 (Gesundheitswesen)
- Für wen
- Krankenhäuser, Einrichtungen für psychische Gesundheit, Altenpflege, häusliche Pflege, Apotheken und deren Lieferanten.
- Was es verlangt
- Der physische Zugang zu Bereichen mit Patientendaten und medizinischen Geräten ist auf autorisiertes Personal beschränkt und wird registriert und überwacht; die Verwaltung von Schlüsseln und Zugangsmitteln erfolgt im Rahmen des ISMS.
- Wie Sellox dies umsetzt
- Medizinschränke, Archivräume, Serverräume und Technikräume mit einem Schlüssel pro Mitarbeiter, Zugriffsrechten pro Abteilung oder Bereich und Registrierung bei jeder Öffnung.
DSGVO
- Für wen
- Jede Organisation. Ein Prüfprotokoll, das Namen enthält, stellt die Verarbeitung personenbezogener Daten dar.
- Was es verlangt
- Eine Rechtsgrundlage und ein Zweck für die Registrierung, eine Aufbewahrungsfrist, die Beschränkung des Zugriffs auf die Daten auf diejenigen, die ihn benötigen, und das Recht auf Einsichtnahme durch die betroffene Person.
- Wie Sellox dies umsetzt
- Der Prüfpfad befindet sich auf Ihrem eigenen Server oder wird von Sellox in den Niederlanden gehostet, die Aufbewahrungsfristen sind konfigurierbar und der Zugriff auf CyberAudit-Web wird pro Benutzer und Rolle verwaltet.
EU-GMP Anhang 11 (Apotheke)
- Für wen
- Hersteller und Händler gemäß GMP.
- Was es verlangt
- Der Zugang zu GMP-relevanten Bereichen und Geräten ist auf autorisierte Personen beschränkt und wird protokolliert.
- Wie Sellox dies umsetzt
- Der Zugang zu Reinräumen, Kühlräumen und Probenschränken wird pro Schlüssel und pro Raum erfasst.
ABRO 2026 (Nationalregierung und Polizei)
- Für wen
- Unternehmen, die im Auftrag der Zentralregierung oder der Polizei einen Sonderauftrag ausführen, der die nationale Sicherheit berührt, einschließlich ihrer Subunternehmer und Zulieferer. Gültig ab dem 1. Januar 2026 und ersetzt die ABDO 2019, die nur für den Verteidigungsbereich galt. Es handelt sich nicht um ein Gesetz, sondern um eine vertragliche Verpflichtung; das Nationale Büro für Arbeitssicherheit (NBIV) prüft die Anforderungen und stellt die ABRO-Erklärung aus.
- Was es verlangt
- Der Auftraggeber legt das Sicherheitsniveau und die für den jeweiligen Auftrag geltenden NBIV-Kapitel fest: Governance und Organisation, Zuverlässigkeit des Personals, physische Sicherheit, Cybersicherheit und Cloud. Physische Sicherheit: mehrstufige Sicherheitsarchitektur, angepasst an das jeweilige Sicherheitsniveau, Zutritt nur für überprüfte Personen nach Bedarf, Besucherregistrierung und Registrierung des Zugriffs auf geschützte Bereiche. Ab TBB 3 ist Fernverwaltung nicht mehr zulässig.
- Wie Sellox dies umsetzt
- Sellox kennt diese Anforderungen aus eigenen Verteidigungsaufträgen. Dazu gehören die Zoneneinteilung, die Validierung ohne drahtlose Verbindung und, falls erforderlich, die Vor-Ort-Verwaltung, Schlüssel mit kurzer Gültigkeitsdauer sowie ein Prüfprotokoll pro Schlüssel und Zylinder.
Drei Fragen hinter jedem Zugangsrecht
Unabhängig vom angewandten Rahmenwerk gelangt ein Auditor stets zu denselben drei Fragen. So lassen sie sich in Schlüssel und Türen übersetzen.
Informationen und die Räume, in denen sie sich befinden, sind nur für diejenigen zugänglich, die sie für ihre Aufgabe benötigen. Ein Serverraum, ein Archiv oder ein Zählerschrank ist kein allgemeiner Bereich.
Berechtigungen pro Zone statt pro Gebäude. Ein Schlüssel öffnet nur die Zylinder, die der jeweiligen Funktion zugeordnet sind.
Der Zutritt ist auf den Ort und die Zeit der Arbeiten beschränkt: dieser Ort, diese Dienstleistung, dieses Zeitfenster. Personen, die nicht anwesend sein müssen, erhalten keinen Zutritt.
Zeitfenster pro Schlüssel und eine Gültigkeitsdauer, die abläuft, wenn der Schlüssel nicht aktualisiert wird. Einem Störungsdienst werden die Rechte für einen Dienst gewährt.
Für bestimmte Bereiche ist eine gültige Zulassung oder Zertifizierung erforderlich, beispielsweise für Arbeiten an Hochspannungsanlagen oder zur Sicherung von Anlagen. Ein Zutrittsrecht ist keine Arbeitserlaubnis, beide sollten sich jedoch ergänzen.
Met dynamische toegang (de module Dynamic Tags) koppelt u een recht aan een voorwaarde. Verloopt de certificering of eindigt het dienstverband, dan vervalt het recht vanzelf. Meer over dynamische toegang
Sieben Fragen eines Wirtschaftsprüfers
Wer hat aktuell Zugang zu Ihrem Serverraum, Medizinschrank oder Technikraum?
Zugriffsrechte pro Zylinder oder Zone direkt aus CyberAudit-Web melden.
Wer hat in den letzten 30 Tagen eine bestimmte Tür geöffnet und wann?
Prüfprotokoll pro Zylinder: Datum, Uhrzeit, Schlüssel und Person.
Was geschieht mit den Zugriffsrechten eines Mitarbeiters, der das Unternehmen heute verlässt?
Entziehen Sie die Zugriffsrechte in der Software. Der Schlüssel funktioniert danach nirgendwo mehr.
Wie viele Schlüssel sind im Umlauf, deren Verbleib Sie nicht kennen?
Wichtige Übersicht mit Eigentümer, Status und Zeitpunkt des letzten Kontakts.
Kann ein Schlüssel kopiert werden, ohne dass man es merkt?
CyberKeys sind elektronisch und können nicht kopiert werden.
Wann wurden die Zugriffsrechte zuletzt überprüft und wurde dies protokolliert?
Rechtebericht mit Datum als Nachweis für die regelmäßige Prüfung.
Wird der Zugriff auch an Standorten ohne Strom- oder Netzwerkanschluss registriert?
Ja. Schlüssel und Zylinder registrieren sich selbst, ohne Verkabelung.
Bei CAW wird dies durch einen Bericht abgedeckt.
Nachweislich in vier Schritten
Inventar
Kartierungszonen, Schlüssel und ein Rahmenwerk von Standards, übersetzt in einen Schlüsselplan.
Möblierung
Kabelloser Zylinderaustausch, personenbezogene und zonenbasierte Zugriffsrechte, CyberAudit-Web Enterprise On-Premise oder gehostet.
Berichterstattung
Prüfprotokoll und Berichte, die auf die Fragen Ihres Prüfers zugeschnitten sind.
Wartung
Periodisch SX-Gesundheitscheck, auch nach Umstrukturierungen und Personalveränderungen.
Möchten Sie wissen, wo Ihre Organisation im Vergleich steht?
Kontaktieren Sie uns