ISO/IEC 38500

Facility Management berührt sowohl physische Sicherheit (Schutz von Personen und Gebäuden) als auch Informationssicherheit (Schutz von Daten und IT-Systemen). Diese Dimensionen sind eng verknüpft: ISO/IEC 27001 etwa fordert mit Annex A.11 explizit sichere physische Bereiche, um unbefugten Zugang zu Informationsverarbeitungseinrichtungen zu verhindern. Damit werden klassische Facility-Maßnahmen (Zutrittskontrolle, Videoüberwachung) zur Säule der Informationssicherheit. Experten betonen jedoch, dass man Gebäudeautomation ganzheitlich betrachten muss: „Cybersecurity in building management isn’t just an IT issue – it’s crucial for ensuring our buildings are safe, efficient, and resilient“. In der Praxis müssen FM-Teams eng mit IT-Abteilungen zusammenarbeiten, um Gebäudeautomationssysteme, Energiemanagement und Netzwerke gegen Cyberangriffe abzusichern. ISO/IEC 38500 ergänzt dies, indem sie auf Führungsebene fordert, die Silos zwischen IT, operativer Technik (Operational Technology, OT) und physischer Sicherheit aufzulösen. So kann z.B. durch ein ganzheitliches Governance-Modell sichergestellt werden, dass sowohl Zutrittskontrollsysteme als auch digitale Brandschutz- und Alarmanlagen unter einer einheitlichen Sicherheitsstrategie stehen.

In KRITIS-Bereichen (z.B. Gesundheitswesen, Energie, Industrie, Verkehr, Immobilien) ist FM besonders heikel, da Sicherheits- und Ausfallsicherheit lebenswichtig sind. Krankenhäuser etwa gelten in Deutschland als kritische Infrastruktur, in denen neben funktionierendem Gebäudebetrieb auch strenge IT- und Datensicherheitsvorgaben gelten. So müssen Betreiber großer Kliniken regelmäßig nachweisen, dass sie Informations- und Gebäudesicherheit „nach dem Stand der Technik“ umsetzen. In Industrieanlagen verschmelzen physische und digitale Risiken (Stichwort Industrie 4.0/SCADA); hier bieten etwa die IEC-62443-Normen für industrielle Cybersecurity ergänzende Leitlinien. In der Immobilienwirtschaft gelten große Büro- oder Wohnkomplexe zunehmend als kritische Infrastruktur: Schon „die Einstufung von Gebäuden als KRITIS“ hebt hervor, dass dort verstärkte Sicherheits- und Cybermaßnahmen notwendig sind. ISO/IEC 38500 kann in all diesen Branchen als übergeordnete Leitlinie dienen, um sicherzustellen, dass IT- und Sicherheitsstrategien mit den branchenspezifischen Anforderungen (z.B. Kontinuitätsplanung im Krankenhaus, Alarmsysteme in Rechenzentren) abgestimmt sind.

ISO/IEC 38500 bildet den Governance-Rahmen, während spezialisierte Normen konkrete Managementsysteme definieren. Beispielsweise beschreibt ISO/IEC 27001 ein Informationssicherheits-Managementsystem (ISMS): Es legt Anforderungen fest, damit ein ISMS die Vertraulichkeit, Integrität und Verfügbarkeit von Daten durch ein Risikomanagement-Prozess schützt. Die ISO/IEC 38500-Standards ergänzen dies auf strategischer Ebene, indem sie die Leitungsorgane anleiten, überhaupt eine angemessene Sicherheits- und Risikopolitik zu beschließen. ISO 41001 hingegen definiert Anforderungen an ein Facility-Management-System, um FM-Prozesse effizient zu gestalten. Sie fördert Stakeholder-Orientierung und Prozessoptimierung im FM. ISO/IEC 38500 überschneidet sich hier insofern, als beide Normen Führungsverantwortung und Ressourceneinsatz thematisieren – etwa die bedarfsgerechte Bereitstellung von FM- und IT-Services. ISO 22301 beschreibt ein Business-Continuity-Managementsystem (BCMS) für die Aufrechterhaltung des Geschäftsbetriebs bei Krisen. Damit sichert es die Verfügbarkeit kritischer FM-Leistungen (Notstrom, Evakuierung etc.), während ISO/IEC 38500 vorschreibt, dass die Geschäftsleitung Resilienz- und Kontinuitätsziele in der IT-Governance verankert. ISO 50001 legt ein Energiemanagement-System fest, mit dem Organisationen ihre Energieeffizienz kontinuierlich verbessern.