Zum Inhalt springen
FM-Connect Chat

Hallo! Ich bin Ihr FM-Connect Chat-Assistent. Wie kann ich Ihnen helfen?

FM-Solutionmaker: Gemeinsam Facility Management neu denken

Anhang: Zutritts- und Meldesysteme

Facility Management: Security » Anforderungen » Anhang: Zutritts- und Meldesysteme

Vertragsanhänge: Zutritts‑ und Meldesysteme

Vertragsanhänge: Zutritts‑ und Meldesysteme

Ein Zutrittskontroll‑ und Meldesystem (Alarm‑, Brand‑, Störungs‑ oder Gefahrenmeldetechnik) bildet die technische Grundlage jedes Werkschutz­auftrags. Damit Pflichten, Risiken und Nachweispfade eindeutig sind, gehört eine eigene Vertragsanlage dazu.

Sie regelt Technik, Prozesse, Rechte, Pflichten, Haftung und Datenschutz in einem integralen Dokument:

Nr.

Gliederungspunkt des Anhangs

Regelungsgehalt & Praxis­hinweise

Rechts‑, Normen‑ & Best‑Practice‑Bezug

A

Begriffsbestimmungen & Geltungs­bereich

• Definition aller Systeme (ZKS, EMA, BMA, Video‑, SAA/ELA, Telekom‑ und Leitstellen­software, API‑Gateways). 
• Klärt, dass Annex sowohl stationäre als auch mobile Komponenten (Body‑Cams, Zutritts‑Badges, Patrouillen‑App) umfasst.
• Auflistung aller Liegenschaften / Teilobjekte, für die die Regelungen gelten.

DIN EN 60839‑11‑1, DIN EN 50136‑1, BSI‑IT‑Grundschutz

B

Eigentums‑ und Nutzungs­rechte

• Hardware bleibt Eigentum des Auftraggebers; Dienstleister erhält zeitlich beschränkte Nutzungs‑/Zugriffsrechte.
• Herausgabe‑ und Löschpflichten bei Vertragsende.
• Verbot der Nutzung für Drittaufträge.

DIN EN 60839‑11‑1, DIN EN 50136‑1, BSI‑IT‑Grundschutz

C

Technische Spezifikation & Kompatibilität

• Verbindliche Auflistung von Hersteller, Modell, Software‑Release, Datenformaten (z. B. OSDP, Wiegand, BACnet, OPC UA), Verschlüsselungs­algorithmen (TLS 1.3, AES‑256). 
• Mindestverfügbarkeit ≥ 99,5 % p.a. für Server/Controller.
• Schnittstellen zum CAFM‑, SIEM‑, ERP‑ oder HR‑System (JSON‑/REST‑API oder OPC UA).

DIN EN 60839‑11‑31, IEC 62443‑3‑3, IT‑SiG 2.0

D

Rollen‑ und Berechtigungs­management

• Matrix der Systemrollen (Operator, Supervisor, Administrator, Auditor).
• 4‑Augen‑Prinzip bei Rollenänderungen und Badge‑Erstellung.
• Tägliche automatische Sperrlisten‑Synchronisation mit HR‑Austrittsdaten.

ISO 27001 Kap. 9, DSGVO Art. 32

E

Betrieb, Administration & Support

• 1st‑Level durch Wachpersonal (24/7), 2nd‑/3rd‑Level durch Betreiber / Integrator.
• Ticket‑System mit Prioritäts­klassen P1–P4 und Reaktions‑/Behebungszeiten (z. B. P1 < 30 min, P2 < 4 h).
• Fernwartung nur über VPN + MFA; Wartungsfenster mit Voranmeldung (≥ 72 h).

ITIL 4; DIN 77200‑1 6.5

F

Service‑Level‑Agreement (SLA)

• Verfügbarkeiten, Wiederanlaufzeiten (RTO ≤ 4 h), Journale (MTBF, MTTR).
• Finanzielle Malus‑Regelungen bei KPI‑Unterschreitung (z. B. 3 % Vergütungs­minderung pro ausgefallener Stunde > RTO).

BGB § 315; DIN EN 50600‑3‑1

G

Log‑, Protokoll‑ & Audit‑Trails

• Unveränder­bare Speicherung (Write‑Once) aller Zutritts‑/Alarm‑Events min. 12 Monate.
• Hash‑basiertes Signieren für Beweis­sicherheit (Blockchain‑Option).
• Auditrechte für Auftraggeber + Datenschutz­beauftragten.

DSGVO Art. 5 (Integrität); ISO 27037 (Forensics)

H

Datenschutz‑ und DSFA‑Bestimmungen

• Referenz auf gesonderte Datenschutz­folge­abschätzung (Art. 35 DSGVO). 
• Speicher‑/Löschfristen (Video max. 72 h, Zutrittslogs 6 Mon.).
• TOM‑Katalog (Verschlüsselung, Pseudonymisierung, Zugriffskontrollen).

DSGVO Art. 32‑35; BDSG §§ 26‑28

I

Regelprüfungen & Wartung

• Jährliche VdS‑Konformitäts‑prüfung (EMA/BMA).
• Halbjährliche Funktionstests aller Leser, Tür‑/Magnetkontakte, Einbruch‑ und Brandmelder inkl. Dokumentation im Prüfbericht nach DIN 14675/0833.
• Firmware‑Updates max. 60 Tage nach Hersteller‑Release.

DIN EN 50133, VdS 2311, BetrSichV § 15

J

Obsoleszenz‑ & Patch‑Management

• Mindest­support­restlaufzeit der Kernkomponenten ≥ 5 Jahre.
• End‑of‑Life‑Roadmap, Ersatzteil­verfügbarkeiten, Migrations­pflicht auf Nachfolge­systeme binnen 12 Monaten nach Herstellerabkündigung.

IEC 62443‑2‑3; BSI‑CS 134

K

Störungs‑ & Eskalations­verfahren

• Ereignis‑Matrix (Alarmcode → Meldeweg → Reaktionszeit).
• Meldung P1‑Störung binnen 15 min an Werkschutz­leiter, 30 min an externe NSL/Leitstelle.
• Eskalations­stufen bis Geschäftsführung + Polizei/Feuerwehr.

DIN ISO 22320; VdS 3138

L

Notfall- & Disaster‑Recovery‑Plan

• Manuelle Zutritts‑Prozedur bei Systemausfall (Papier‑Visitor‑Log, Schlüsseltafeln).
• Rückfallebene für EMA/BMA (Mobilfunk‑IP‑Backup gem. DIN EN 50136‑1 Grad 4).
• Georedundantes Leitstellen‑Failover (≤ 30 min).

ISO 22301; DIN EN 50136

M

Schulungs‑ & Autorisierungs­nachweise

• Jährliche Rezertifizierung der Wachleute im System (Benutzer‑, Video‑, Alarmbearbeitung).
• Dokumentierte Ersteinweisung bei Dienstantritt (Dienstanweisung + Praxistest).

DGUV 1 § 4 Abs. 1; DIN 77200‑2 7.3

N

Änderungs‑ / Change‑Management

• Formblatt für jede technische oder parametrierende Änderung.
• 4‑Phasen‑Workflow (Beantragen → Risikoanalyse → Freigabe → Dokumentation).
• Pflicht zur Vorab‑Kompatibilitäts‑prüfung (OT‑Sicherheits­tests).

ITIL 4 Change; BGB § 631 Abs. 2

O

Abnahme‑ und Übergabe­protokolle

• Formaler Testplan (Factory + Site Acceptance Test).
• Kriterien: Funktions‑, Last‑, Failover‑, Rechte‑ und Logging‑Tests. 
• Abnahme­erklärung Voraussetzung für erste Rechnungslegung.

VOB/B § 12 (analog), DIN 69901

P

Exit‑ & Daten­portabilitäts­klausel

• Pflicht zur vollständigen Daten­export‑Übergabe in offenem Format (CSV/JSON) bei Vertragsende.
• Lösch‑ bzw. Vernichtungs­nachweis binnen 30 Tagen nach Exit.
• Übergabe aller Admin‑Kennwörter, Dokumentationen, Source‑Codes (falls kundeneigene Anpassungen).

DSGVO Art. 20; BGB § 675

Implementierung / Best‑Practice‑Hinweise

  • Rangfolge festlegen: Im Vertrag klarstellen, dass bei Widersprüchen Annex Zutritts‑/Meldesystem Vorrang vor generischen SLA‑Klauseln hat.

  • Technische Anlagen als lebende Dokumente: Punkte I, J, K in das Change‑Management integrieren, damit Firmware‑, Patch‑ und Ersatzteil‑Informationen jederzeit aktuell sind.

  • Cross‑Audit: Kombinieren Sie Punkt G (Audit‑Trails) mit Ihrer Unternehmens‑Compliance (ISO 9001/27001) – so sind Beweis­sicherung und Datenschutz revisions­sicher.

  • Cyber‑Security‑Vertragspenale: Erwägen Sie eine zusätzliche Vertrags­strafe, falls der Dienstleister definierte Schwachstellen (Pen‑Test) nicht fristgerecht schließt.

  • DSGVO‑Konformität: Datenschutz‑TOM, DSFA und Archiv‑/Lösch­fristen sollten 1‑zu‑1 mit dem Datenschutz‑Anhang abgestimmt sein, um Doppel‑ oder Lücken­regelungen zu vermeiden.

Anhang:

Mit diesem Annex sind Zuständigkeiten, technische Parameter, Governance, Datenschutz und Eskalationswege rund um Zutritts‑ und Meldesysteme möglichst vollständig und haftungssicher geregelt. Auftraggeber und Dienstleister erhalten eine klare, auditierbare Basis für sicheren Betrieb – sowohl im Normal‑ als auch im Stör‑ und Krisenfall.