# PS-04 Physische Zutrittskontrolle

- Bereich: PS – Physische Sicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/ps-04/

## Basiskriterium

### PS-04.01B

Präventive und detektive physische Zutrittskontrollen in Räumlichkeiten und Gebäuden, mit Bezug zum bereitgestellten Cloud-Dienst, sind implementiert. Sie stehen im Einklang mit den Sicherheitsanforderungen des Cloud-Anbieters (vgl. PS-01) und basieren auf den in IAM-01 definierten Grundsätzen, um unbefugten Zutritt zu verhindern. Sie sind dokumentiert und gemäß SP-01 in einer Richtlinie oder einem Rahmenwerk kommuniziert und umfassen die folgenden Aspekte:

1. Geregeltes Verfahren für die Vergabe und Änderung von Benutzerkonten und Zutrittsberechtigungen (vgl. IAM-02) auf Basis des 'Least-Privilege-Principle' und des 'Need-to-Know-Principle';
2. Sperrung der Zutritts-Berechtigungen, wenn diese über einen Zeitraum von zwei Monaten nicht genutzt wurden. Ausnahmen werden nur in begründeten Einzelfällen gemacht und folgen einem definierten Ausnahmeprozess gemäß SP-03;
3. Authentisierung mit mindestens einem Faktor für den Zutritt zu jedem nicht öffentlichen Bereich;
4. Multifaktor-Authentisierung für den Zutritt zu Bereichen, die Systemkomponenten beherbergen, mit denen Informationen der Cloud-Kunden verarbeitet werden;
5. Vorhandensein und Beschaffenheit einer Protokollierung der Zutritte, die es dem Cloud-Anbieter im Sinne einer Wirksamkeitsprüfung ermöglicht, zu überprüfen, ob nur definiertes Personal die Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst betreten haben;
6. Ausnahmen von der physischen Zutrittskontrolle, die im Notfall gelten, einschließlich eines Analyseverfahrens nach jeder Nutzung dieser Ausnahmen; und
7. Maßnahmen für Besucher und externes Personal, die die Identifizierung und Nachverfolgung jeder einzelnen Person sicherstellen, sodass ihre Aktivitäten nachvollziehbar und – im Fall von Aktivitäten, die die Informationssicherheit beeinträchtigen – innerhalb einer angemessenen Reaktionszeit gestoppt werden können. Diese Maßnahmen sind angemessen und verhältnismäßig zur Sensibilität der Zone, in der sich Besucher oder externes Personal befinden. Der angemessene Reaktionszeitrahmen wird auf der Grundlage einer Risikobewertung bestimmt (vgl. OIS-07).

**Ergänzende Information:**

Zur Umsetzung einer Zutrittskontrolle auf der Grundlage des Need-to-Know-Prinzips kann ein Zonierungskonzept eingesetzt werden, bei dem jeder Vor-Ort-Bereich eigene Zutrittsberechtigungen hat. Wenn ein Zonierungskonzept implementiert ist, sollte jeder Vor-Ort-Bereich physisch getrennt sein und über ein eigenes Zutrittskontrollsystem verfügen. Beispiele für eine Zonierung vor Ort können sein:

1. Grüne Zone: Öffentlicher Bereich, enthält keine Ressourcen, die für die Bereitstellung des Cloud-Dienstes relevant sind;
2. Gelbe Zone: Privater Bereich, enthält Mittel zur Unterstützung des Cloud-Dienstes wie Entwicklung, Administration und Überwachung; und
3. Rote Zone: Sensibler Bereich für Produktionssysteme wie die Serverräume.

Beispiele für angemessene Ausnahmen vom Entzug von Zutrittsberechtigungen nach zwei Monaten Inaktivität sind z. B. Fälle, in denen Personal mit bestimmten Rollen, wie Führungspositionen oder Aufsichtspersonen, nur gelegentlich, aber entscheidenden Zutritt benötigt. Die Begründung für die Ausnahmen sollte dokumentiert und bei der Überprüfung kritisch daraufhin bewertet werden, ob sie noch erforderlich sind.

### PS-04.02B

Der Cloud-Anbieter weist am Eingang jedes betroffenen nicht öffentlichen Bereichs mit einer Warnung auf dessen Grenzen und Zutrittsbedingungen hin.

### PS-04.03B

Die physische Zutrittskontrolle zum Standort wird durch ein elektronisches Zutrittskontrollsystem verwaltet, das Authentisierung, Autorisierung und Protokollierung von Ein- und Austrittsereignissen unterstützt.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Linguistic adaptations, changed order of requirements within the criterion.

Linked criterion to the policy defined in IAM-01.

Removed requirement that revocation of access authorisations have to occur automatically, and that a withdrawal has to occur after six months. Instead add that exceptions to the revocation period can only be made in well-founded individual cases.

Extended aspects to be addressed in the physical access control policy by exceptions in case of emergencies.

Extended requirements regarding visitors and external personnel to be addressed in the physical access control policy.

Extended requirement regarding the use of an access control system by having this system  support authentication, authorisation, and log of entry and exit events.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.