PS-04 Physische Zutrittskontrolle
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Linguistic adaptations, changed order of requirements within the criterion.
Linked criterion to the policy defined in IAM-01.
Removed requirement that revocation of access authorisations have to occur automatically, and that a withdrawal has to occur after six months. Instead add that exceptions to the revocation period can only be made in well-founded individual cases.
Extended aspects to be addressed in the physical access control policy by exceptions in case of emergencies.
Extended requirements regarding visitors and external personnel to be addressed in the physical access control policy.
Extended requirement regarding the use of an access control system by having this system support authentication, authorisation, and log of entry and exit events.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
At access points to premises and buildings related to the cloud service provided, physical access controls are set up in accordance with the Cloud Service Provider's security requirements (cf. PS-01 Security Concept) to prevent unauthorised access.
Access controls are supported by an access control system.
The requirements for the access control system are documented, communicated and provided in a policy or concept in accordance with SP-01 and include the following aspects:
- Specified procedure for the granting and revoking of access authorisations (cf. IDM-02) based on the principle of least authorisation ("least-privilege-principle") and as necessary for the performance of tasks ("need-to-know-principle");
- Automatic revocation of access authorisations if they have not been used for a period of 2 month;
- Automatic withdrawal of access authorisations if they have not been used for a period of 6 months;
- Two-factor authentication for access to areas hosting system components that process cloud customer information;
- Visitors and external personnel are tracked individually by the access control during their work in the premises and buildings, identified as such (e.g. by visible wearing of a visitor pass) and supervised during their stay; and
- Existence and nature of access logging that enables the Cloud Service Provider, in the sense of an effectiveness audit, to check whether only defined personnel have entered the premises and buildings related to the cloud service provided.
Basiskriterium
Präventive und detektive physische Zutrittskontrollen in Räumlichkeiten und Gebäuden, mit Bezug zum bereitgestellten Cloud-Dienst, sind implementiert. Sie stehen im Einklang mit den Sicherheitsanforderungen des Cloud-Anbieters (vgl. PS-01) und basieren auf den in IAM-01 definierten Grundsätzen, um unbefugten Zutritt zu verhindern. Sie sind dokumentiert und gemäß SP-01 in einer Richtlinie oder einem Rahmenwerk kommuniziert und umfassen die folgenden Aspekte:
- Geregeltes Verfahren für die Vergabe und Änderung von Benutzerkonten und Zutrittsberechtigungen (vgl. IAM-02) auf Basis des 'Least-Privilege-Principle' und des 'Need-to-Know-Principle';
- Sperrung der Zutritts-Berechtigungen, wenn diese über einen Zeitraum von zwei Monaten nicht genutzt wurden. Ausnahmen werden nur in begründeten Einzelfällen gemacht und folgen einem definierten Ausnahmeprozess gemäß SP-03;
- Authentisierung mit mindestens einem Faktor für den Zutritt zu jedem nicht öffentlichen Bereich;
- Multifaktor-Authentisierung für den Zutritt zu Bereichen, die Systemkomponenten beherbergen, mit denen Informationen der Cloud-Kunden verarbeitet werden;
- Vorhandensein und Beschaffenheit einer Protokollierung der Zutritte, die es dem Cloud-Anbieter im Sinne einer Wirksamkeitsprüfung ermöglicht, zu überprüfen, ob nur definiertes Personal die Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst betreten haben;
- Ausnahmen von der physischen Zutrittskontrolle, die im Notfall gelten, einschließlich eines Analyseverfahrens nach jeder Nutzung dieser Ausnahmen; und
- Maßnahmen für Besucher und externes Personal, die die Identifizierung und Nachverfolgung jeder einzelnen Person sicherstellen, sodass ihre Aktivitäten nachvollziehbar und – im Fall von Aktivitäten, die die Informationssicherheit beeinträchtigen – innerhalb einer angemessenen Reaktionszeit gestoppt werden können. Diese Maßnahmen sind angemessen und verhältnismäßig zur Sensibilität der Zone, in der sich Besucher oder externes Personal befinden. Der angemessene Reaktionszeitrahmen wird auf der Grundlage einer Risikobewertung bestimmt (vgl. OIS-07).
Ergänzende Information
Zur Umsetzung einer Zutrittskontrolle auf der Grundlage des Need-to-Know-Prinzips kann ein Zonierungskonzept eingesetzt werden, bei dem jeder Vor-Ort-Bereich eigene Zutrittsberechtigungen hat. Wenn ein Zonierungskonzept implementiert ist, sollte jeder Vor-Ort-Bereich physisch getrennt sein und über ein eigenes Zutrittskontrollsystem verfügen. Beispiele für eine Zonierung vor Ort können sein:
- Grüne Zone: Öffentlicher Bereich, enthält keine Ressourcen, die für die Bereitstellung des Cloud-Dienstes relevant sind;
- Gelbe Zone: Privater Bereich, enthält Mittel zur Unterstützung des Cloud-Dienstes wie Entwicklung, Administration und Überwachung; und
- Rote Zone: Sensibler Bereich für Produktionssysteme wie die Serverräume.
Beispiele für angemessene Ausnahmen vom Entzug von Zutrittsberechtigungen nach zwei Monaten Inaktivität sind z. B. Fälle, in denen Personal mit bestimmten Rollen, wie Führungspositionen oder Aufsichtspersonen, nur gelegentlich, aber entscheidenden Zutritt benötigt. Die Begründung für die Ausnahmen sollte dokumentiert und bei der Überprüfung kritisch daraufhin bewertet werden, ob sie noch erforderlich sind.
Der Cloud-Anbieter weist am Eingang jedes betroffenen nicht öffentlichen Bereichs mit einer Warnung auf dessen Grenzen und Zutrittsbedingungen hin.
Die physische Zutrittskontrolle zum Standort wird durch ein elektronisches Zutrittskontrollsystem verwaltet, das Authentisierung, Autorisierung und Protokollierung von Ein- und Austrittsereignissen unterstützt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen