ISO 27001:2022 · A.7.2 · A.7 Physische Maßnahmen
Physischer Zutritt
Sicherheitsbereiche müssen durch angemessene Zutrittskontrollen und Zutrittspunkte geschützt werden, sodass nur berechtigte Personen Zugang erhalten.
ISO 27001TISAXBSINIS2
Was fordert dieses Control?
Sicherheitsbereiche müssen durch angemessene Zutrittskontrollen und Zutrittspunkte geschützt werden, sodass nur berechtigte Personen Zugang erhalten.
Warum ist das wichtig?
Zutrittskontrolle stellt sicher, dass nur befugte Personen sensible Bereiche betreten. Besucher- und Lieferantenmanagement gehört zwingend dazu.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| TISAX | 5.1.2 | Zutrittskontrolle | Direkt |
| BSI | INF.1.A2 | Zutrittsregelung | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 9 BSIG | Zugriffskontrolle & Assets | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Indirekt |
Was der Auditor erwartet
- Zutrittskontrollsystem für sensible Bereiche
- Besucher- und Fremdpersonenmanagement
- Protokollierung und Überprüfung von Zutritten
Audit-Checkliste
Dokumente
ZutrittsrichtlinieWer welche Bereiche betreten darf und wie das geregelt ist
Nachweise
Besucherbuch / ZutrittsprotokolleNachverfolgbarkeit von Zutritten und Besuchern
Review der ZutrittsberechtigungenRegelmäßige Rezertifizierung, wer welche Bereiche betreten darf
Offboarding-Nachweis TransponderEntzug der Zutrittsrechte und Rückgabe bei Austritt
Interviews
EmpfangUmgang mit Besuchern und unbekannten Personen
Technisch
ZutrittssystemBadge-/Karten-Berechtigungen und deren Pflege
Praxis-Tipps zur Umsetzung
Besucher begleitenExterne in sensiblen Bereichen nie unbeaufsichtigt lassen.
Berechtigungen pflegenZutrittsrechte bei Austritt und Rollenwechsel zeitnah entziehen.
Protokolle auswertenZutrittslogs regelmäßig auf Auffälligkeiten prüfen.
Transponder statt SchlüsselElektronische Zutrittsmedien lassen sich bei Verlust entziehen, ohne Schlösser tauschen zu müssen.
Häufige Fehler
TailgatingPersonen folgen Berechtigten durch die Tür, ohne sich auszuweisen.
Alte Badges aktivKarten ausgeschiedener Mitarbeiter funktionieren weiter.
Häufig gestellte Fragen
Reicht ein Schlüssel statt Kartensystem?
Bei geringem Schutzbedarf ja, sofern Schlüsselausgabe dokumentiert und kontrolliert ist.
Müssen Besucher erfasst werden?
In sensiblen Bereichen ja, inklusive Begleitung und Protokoll.
Wie lange dürfen Zutrittslogs gespeichert werden?
So lange wie für Sicherheit und Nachweis nötig, unter Beachtung der DSGVO.
So hilft CompliantDesk bei A.7.2
Halten Sie Zutrittsregelungen als Kontrolle fest, hinterlegen Sie Review-Intervalle und weisen Sie die regelmäßige Prüfung der Zutrittsrechte nach.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten