TISAX Physical Security Implementation: EMA als Kernbereich der physischen Sicherheit

TISAX (Trusted Information Security Assessment Exchange) ist der Sicherheitsstandard der deutschen Automobilindustrie, entwickelt vom VDA (Verband der Automobilindustrie) und verwaltet durch die ENX Association. Während TISAX häufig mit IT-Sicherheit und Informationsschutz assoziiert wird, ist die physische Sicherheit ein zentraler Bestandteil des Frameworks – insbesondere in Bereichen, in denen Prototypen, Entwicklungsdaten oder hochsensible Komponenten gehandhabt werden.

Ein wesentlicher Aspekt der Physical Security Implementation ist die EMA (Entry Management Area) – also die Steuerung und Überwachung von Zutrittsbereichen, in denen der Zugang zu sensiblen Informationen oder Objekten streng kontrolliert werden muss.

Was ist die EMA im TISAX-Kontext?

Die Entry Management Area (EMA) bezeichnet im TISAX-Framework jene Bereiche eines Unternehmens, in denen der physische Zugang zu schützenswerten Informationen, Prototypen oder Systemen geregelt und dokumentiert werden muss. Das können sein:

• Entwicklungsabteilungen (R&D)
• Prototypen-Werkstätten oder Testbereiche
• Lager für sensible Bauteile
• Serverräume oder Rechenzentren
• Besprechungsräume, in denen vertrauliche Projekte diskutiert werden

Ziel der EMA-Anforderungen ist es sicherzustellen, dass nur autorisierte Personen Zugang zu diesen Bereichen haben und dass dieser Zugang nachvollziehbar dokumentiert wird.

Kernelemente der TISAX Physical Security für EMA

Zugangskontrolle und Berechtigungsmanagement

TISAX fordert, dass Unternehmen klar definieren, wer Zugang zu sensiblen Bereichen hat. Das umfasst:

• Rollenbasierte Zugangsberechtigungen: Mitarbeiter erhalten nur Zugang zu den Bereichen, die für ihre Tätigkeit erforderlich sind.
• Besuchermanagement: Externe Personen (z. B. Lieferanten, Dienstleister, Auditoren) müssen registriert, begleitet und protokolliert werden.
• Zeitliche Beschränkungen: Zugangsrechte können auf bestimmte Zeitfenster begrenzt werden (z. B. nur während der Arbeitszeit).

Technisch wird dies häufig über Zutrittskontrollsysteme umgesetzt, die mit Ausweisen, Transpondern, biometrischen Merkmalen oder PIN-Codes arbeiten.

Physische Sicherheitsmaßnahmen

Neben der Zutrittskontrolle verlangt TISAX auch bauliche und organisatorische Maßnahmen:

• Abgrenzung sensibler Bereiche: Physische Barrieren (Türen, Schleusen, Zäune) trennen EMA-Bereiche vom Rest des Gebäudes.
• Videoüberwachung: Kameraüberwachung an Zugangspunkten und in sensiblen Zonen zur Dokumentation und Abschreckung.
• Alarmsysteme: Einbruchmeldeanlagen und Manipulationsschutz für Türen und Fenster.
• Sichere Aufbewahrung: Prototypen und sensible Dokumente müssen in verschlossenen Räumen oder Schränken gelagert werden.

Dokumentation und Audit-Trail

Ein zentraler Punkt bei TISAX-Audits ist die Nachweisbarkeit. Unternehmen müssen dokumentieren:

• Wer hat wann welchen Bereich betreten?
• Welche Berechtigungen wurden vergeben und von wem genehmigt?
• Wie werden Zugangsrechte regelmäßig überprüft und aktualisiert?
• Welche Maßnahmen wurden bei Sicherheitsvorfällen ergriffen?

Diese Dokumentation erfolgt typischerweise über Zutrittsprotokolle aus dem Zutrittskontrollsystem sowie über Prozessdokumentationen im Rahmen des Informationssicherheits-Managementsystems (ISMS).

Sensibilisierung und Schulung

TISAX legt großen Wert auf den menschlichen Faktor. Mitarbeiter müssen:

• über die Bedeutung physischer Sicherheit informiert sein,
• wissen, wie sie mit Besuchern und externen Dienstleistern umgehen,
• Sicherheitsvorfälle (z. B. offene Türen, fehlende Ausweise) melden können.

Regelmäßige Awareness-Schulungen sind daher ein fester Bestandteil der TISAX-Vorbereitung.

TISAX Assessment Levels und ihre Bedeutung für Physical Security

TISAX unterscheidet drei Assessment Levels (AL), die den Umfang und die Tiefe der Prüfung bestimmen:

• AL1 (Self-Assessment): Selbstbewertung, keine externe Prüfung. Für interne Zwecke, wird von OEMs selten akzeptiert.
• AL2 (Remote Audit): Dokumentenprüfung und Plausibilitätschecks durch einen akkreditierten Auditor, jedoch ohne Vor-Ort-Besuch.
• AL3 (On-Site Audit): Vollständige Prüfung vor Ort, inklusive Begehung der EMA-Bereiche, Interviews und Überprüfung der physischen Sicherheitsmaßnahmen.

Für Unternehmen, die Prototypen oder hochsensible Entwicklungsdaten handhaben, ist in der Regel AL3 erforderlich. Hier wird die physische Sicherheit besonders intensiv geprüft – der Auditor besichtigt die Räumlichkeiten, prüft Zugangskontrollen und bewertet die Wirksamkeit der Maßnahmen.

Herausforderungen bei der Umsetzung von EMA-Anforderungen

Viele Unternehmen stehen vor folgenden Herausforderungen:

• Unvollständige Dokumentation: Zugangsrechte sind nicht zentral erfasst oder werden manuell verwaltet.
• Fehlende Prozesse: Es gibt keine klaren Regelungen für Besuchermanagement oder Rezertifizierung von Zugangsberechtigungen.
• Technische Lücken: Zutrittskontrollsysteme sind nicht mit dem ISMS verbunden oder liefern keine auswertbaren Protokolle.
• Ressourcenmangel: Gerade mittelständische Unternehmen haben oft keine dedizierten Sicherheitsverantwortlichen.

Einordnung durch GRAEF Group: EMA als Teil eines ganzheitlichen Sicherheitskonzepts

Aus Sicht der GRAEF Group ist die physische Sicherheit kein isoliertes Thema, sondern ein integraler Bestandteil eines umfassenden Sicherheitskonzepts. Die EMA-Anforderungen von TISAX lassen sich besonders effizient umsetzen, wenn:

• Zutrittskontrollsysteme von Anfang an mit Blick auf Dokumentation und Audit-Fähigkeit geplant werden,
• Videoüberwachung und Alarmsysteme nahtlos integriert sind,
• Prozesse klar definiert und regelmäßig überprüft werden,
• Schulungen und Awareness-Maßnahmen kontinuierlich stattfinden.

Für Unternehmen, die sich auf ein TISAX-Audit vorbereiten, empfiehlt sich eine Gap-Analyse der bestehenden physischen Sicherheitsmaßnahmen, gefolgt von gezielten Verbesserungen in den Bereichen Zutrittskontrolle, Dokumentation und Prozessmanagement.

Produkte / Themenbereiche (GRAEF Group):

• Zutrittskontrollsysteme (Planung, Installation, Betrieb)
• Videoüberwachung und Alarmsysteme
• Besuchermanagement und Protokollierung
• TISAX-Vorbereitung und Gap-Analysen
• Schulungen und Awareness-Maßnahmen