RiLi-Gebäude und Räume

Diese Seite ist derzeit noch ein Entwurf. Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite.

---

Die Richtlinie „Gebäude und Räume“ definiert alle relevanten Maßnahmen zur Sicherstellung der IT- und physischen Sicherheit der Organisation. Sie umfasst baulichen Schutz, Regelungen zu Klimatisierung, Verkabelung und Zutrittskontrolle sowie praxisnahe Notfall- und Krisenmanagementpläne, um den sicheren Betrieb auch in bestehenden Gebäuden zu gewährleisten.

Geltungsbereich

   - Anwendbarkeit der Richtlinie auf alle firmeneigenen Gebäude und Räume (neue sowie bestehende Objekte).

   - Definition der betroffenen Bereiche (Serverräume, Technikräume, Büros, Besprechungsräume etc.).

Zielsetzung

   - Definition des Schutzziels: Gewährleistung der IT-Sicherheit durch angemessene bauliche und technische Maßnahmen.

   - Abgrenzung zu anderen Sicherheitsmaßnahmen (z. B. rein digitale oder organisatorische Maßnahmen).

Gesetzliche Rahmenbedingungen

   - Verweise auf nationale und europäische Vorgaben (z. B. IT-Sicherheitsgesetz, DSGVO).

   - Einbeziehung von Anforderungen aus Standards wie BSI IT-Grundschutz, ISO 27001, DIN/VDE.

Risikomanagement und Gefährdungsbeurteilung

Allgemeine Risikoanalyse

   - Methodik zur Bewertung baulicher und umgebungsbezogener Risiken.

   - Berücksichtigung unternehmensspezifischer Gegebenheiten (bestehende Bausubstanz, Standortbedingungen).

Natur- und Elementarschäden

   - Analyse von Risiken wie Hochwasser, Erdbeben, Starkwetterlagen etc.

   - Maßnahmen zur Schadensbegrenzung und Absicherung (z. B. bauliche Anpassungen, Notfallpläne).

Standortbezogene Gefährdungen

   - Bewertung der Lage (z. B. Nähe zu Industrieanlagen, Verkehrsinfrastruktur).

   - Umgebungsüberwachung und Integration in das betriebliche Notfallmanagement.

Gebäude und Umgebung

Baulicher Schutz und Gebäudestruktur

   - Prüfung der Bausubstanz hinsichtlich Stabilität und Widerstandsfähigkeit.

   - Maßnahmen zur Verstärkung bestehender Gebäude (z. B. Nachrüstungen, bauliche Sperrungen).

Umgebungs- und Zugangsmanagement

   - Außenzugangskontrolle (Absperrungen, Beleuchtung, Videoüberwachung).

   - Regelungen zum Besucher- und Lieferantenmanagement im Außenbereich.

Risikoelemente in der Umgebung

   - Maßnahmen zur Minimierung von Umwelteinflüssen (z. B. Hochwasserschutz, Blitzableiter).

   - Integration von Standortbewertungen in das ISMS.

Technische Infrastruktur: Server- und Technikräume

Standortwahl und bauliche Anforderungen

   - Definition sicherer Standorte (möglichst fern von Eingängen und öffentlichen Bereichen).

   - Mindestanforderungen an den baulichen Schutz (z. B. feuerfeste Wände, physische Barrieren).

Zugangskontrolle und Zutrittsmanagement

   - Implementierung von Zutrittskontrollsystemen (z. B. Karten, biometrische Systeme).

   - Protokollierung und Überwachung aller Zugangsaktivitäten.

Klimatisierung und Umweltkontrolle

   - Vorgaben zu Temperatur- und Feuchtigkeitskontrolle (inkl. regelmäßiger Wartungsintervalle).

   - Einsatz redundanter Kühlsysteme und Überwachungssysteme zur frühzeitigen Erkennung von Abweichungen.

Brandschutz und Notfallmanagement

   - Integration von Brandschutzmaßnahmen (Rauchmelder, automatische Löschanlagen).

   - Erstellung und regelmäßige Aktualisierung von Evakuierungsplänen und Notfallkonzepten.

Stromversorgung und Notstromlösungen

   - Sicherstellung einer stabilen Energieversorgung inklusive Notstromaggregate oder USV-Anlagen.

   - Regelmäßige Prüfungen und Wartungen.

Netzwerkinfrastruktur, Verteiler und Verkabelung

Planung und Dokumentation der Verkabelung

   - Standardisierte Installations- und Dokumentationsprozesse.

   - Kennzeichnung und geordnete Führung von Kabeln und Leitungen.

Zugang zu Netzwerktechnik und Verteilern

   - Physischer Schutz von Serverräumen und Technikverteilern (abgeschlossene Schränke, Zugangsbarrieren).

   - Regelmäßige Kontrolle und Wartung der Installationen.

Sicherheitsaspekte in der Netzwerkinfrastruktur

   - Einsatz von redundanten Systemen und Netzwerksegmentierung.

   - Maßnahmen zur Erkennung und Vermeidung von Manipulationen an der physischen Verkabelung.

Büro- und Besprechungsräume

Physischer Zutritt und Zugangskontrolle

   - Festlegung von Zutrittsregelungen für Mitarbeiter, Besucher und Dienstleister.

   - Einsatz einfacher, aber effektiver Maßnahmen (Schlüssel, PIN-Codes, Besucherausweise).

Ausstattung und Sicherheitsvorkehrungen

   - Anforderungen an Möbel und technische Ausstattung (z. B. abschließbare Schränke für vertrauliche Unterlagen).

   - Sicherstellung eines ungestörten Betriebs (Abschirmungen, Lärmschutz).

IT-Sicherheit in Besprechungsräumen

   - Regelungen zur Nutzung von Präsentationstechnik und mobilen Geräten.

   - Maßnahmen zur Wahrung der Vertraulichkeit, etwa durch Datenschutzvorkehrungen bei Bildschirmen und Whiteboards.

Kommunikations- und Kollaborationsräume

   - Einrichtung von speziell gesicherten Räumen für vertrauliche Besprechungen.

   - Einsatz von technischen Lösungen (z. B. schallisolierte Räume, Zugangsprotokolle) zur Sicherstellung der Informationssicherheit.

Organisatorische Maßnahmen

Verantwortlichkeiten und Zuständigkeiten

   - Festlegung von Rollen (Gebäudemanagement, IT-Sicherheitsbeauftragte, Facility Manager).

   - Integration der Richtlinie in das unternehmensweite ISMS.

Schulungen und Sensibilisierungsmaßnahmen

   - Regelmäßige Unterweisung der Mitarbeiter zu physischen Sicherheitsmaßnahmen.

   - Schulung von Dienstleistern und externen Partnern.

Wartungs- und Prüfpläne

   - Etablierung von Wartungsintervallen für technische Anlagen (Klimaanlagen, Zutrittssysteme, Verkabelung).

   - Regelmäßige Überprüfungen und interne Audits zur Einhaltung der Richtlinie.

Notfall- und Wiederanlaufkonzepte

   - Erstellung von Evakuierungs- und Notfallplänen.

   - Maßnahmen zur schnellen Wiederherstellung des IT-Betriebs bei physischen Störungen.

Integration in das ISMS und kontinuierliche Verbesserung

Dokumentation und Reporting

   - Anbindung der Richtlinie an das zentrale ISMS-Dokumentationssystem.

   - Definition von Kennzahlen und Reporting-Mechanismen.

Regelmäßige Reviews und Audits

   - Interne und externe Audits zur Überprüfung der Wirksamkeit der umgesetzten Maßnahmen.

   - Anpassung der Richtlinie basierend auf neuen technischen Entwicklungen und Risikobewertungen.

Melde- und Eskalationsprozesse

   - Definition von Prozessen zur schnellen Meldung von Sicherheitsvorfällen im baulichen Bereich.

   - Festlegung von Eskalationsstufen und Verantwortlichkeiten bei Abweichungen.

Schlussbemerkung

Behandlung von Ausnahmen

Ausnahmen von den Regelungen dieser Richtlinie sind nur mit einem begründeten Ausnahmeantrag im Rahmen des Ausnahmemanagements möglich.

Revision

Diese Richtlinie wird regelmäßig, jedoch mindestens einmal pro Jahr, durch den Regelungsverantwortlichen auf Aktualität und Konformität geprüft und bei Bedarf angepasst.

Inkrafttreten

Diese Richtlinie tritt zum 01.01.2222 in Kraft.

Freigegeben durch: Organisationsleitung

Ort, 01.12.2220,

Unterschrift, Name der Leitung