Fünf Erkenntnisse aus der ASIS Europe 2026 Keynote von Francis Cepero  

Im Februar 2026 legte massiver Schneefall den Flughafen München komplett lahm. Geplante Flüge konnten nicht mehr starten,  es kamen aber auch keine Busse, um die Passagiere zu den Terminals zurückzubringen. Die Fahrer hatten nach ihrer Schicht bereits Feierabend gemacht und kein System hatte diese Zusammenhänge erkannt. 600 Passagiere mussten die Nacht in den Flugzeugen verbringen. 

Im Oktober 2024 traf die Flut „DANA“ auf Valencia. Die Warnsysteme funktionierten zwar. Trotzdem starben 220 Menschen und über 4.000 Tiere, weil  die unterschiedlichen Systeme diese einzelnen Warnungen nicht in einen übergeordneten Gesamtzusammenhang koordinieren konnten.

Zwei Ereignisse, dasselbe strukturelle Versagen. Und dieselbe Lücke, die überall dort zutage tritt, wo Zutrittskontrolle, Workforce Management und IT-Sicherheit jeweils isoliert voneinander arbeiten.

Diese Erkenntnis ist die zentrale Aussage der Keynote von Primion-CEO Francis Cepero auf der ASIS Europe 2026. Die NIS-2 Richtlinie wird genau hier ansetzen. Denn sie prüft nicht, ob Systeme jeweils einzeln konform arbeiten, sondern ob sie auch in kritischen Situationen und unter Druck abgestimmt funktionieren.

Hier sind fünf Erkenntnisse für Sicherheitsverantwortliche, die ihre Sicherheitsarchitektur neu aufsetzen wollen. 

1. Die Technik funktioniert, aber die Struktur versagt.

Weder in München noch in Valencia fehlte es an Technologie. Alle notwendigen Systeme waren vorhanden, Sensoren reagierten, Alarme wurden ausgelöst, Dienstpläne angewandt und auch die Zutrittskontrolle funktionierte. Jedes System erfüllte seine Aufgabe, konnte aber nicht in ein Reaktionsszenario in einem anderen System eingreifen.

Dieses Muster zeigt sich überall dort, wo Systeme unabhängig voneinander arbeiten: auf Firmengeländen, in Krankenhäusern, Logistikzentren oder kritischen Infrastrukturen. Wo Zutrittskontrolle, Videoüberwachung und Workforce Management jeweils an unterschiedliche Dashboards berichten, ist die strukturelle Lücke dieselbe.

Wie sicher sind Sie, dass Ihre Systeme koordiniert zusammenarbeiten? 

2. Krisen komprimieren Entscheidungszyklen von Wochen auf Stunden.

Das Cynefin-Framework, entwickelt von Dave Snowden bildet ab, wie Situationen von kompliziert über komplex zu chaotisch wechseln. In einer Krise komprimiert sich dieser Wechsel auf Stunden. Jede Phase verlangt eine andere Reaktion. Und jede Reaktion verlangt Echtzeit-Sichtbarkeit über die Abläufe in der Zutrittskontrolle, Workforce-Planung und IT-Sicherheit, welche isolierte Systeme nicht liefern können. 

Die meisten Sicherheitsarchitekturen wurden für den komplexen Anwendungsbereich entwickelt: klare Ursache-Wirkungs-Beziehungen, dokumentierte Verfahren und Eskalationspfade. Sie wurden nicht für jenen Moment konzipiert, in dem eine Situation chaotisch wird und  alle Szenarien gleichzeitig eskalieren. Sondern um festzustellen, ob die Sicherheitsarchitektur hält oder zusammenbricht.

3. Ihr Dashboard zeigt nur Daten. Aber eine Krise verlangt Koordination.

Dashboards aggregieren Daten, aber sie orchestrieren keine Maßnahmen. Sie sehen vielleicht einen Verstoß im Bereich Zutrittskontrolle,  oder eine Workforce-Anomalie.. Ob Ihre Organisation diese Signale innerhalb von Minuten verknüpfen und darauf reagieren kann, hängt davon ab, ob Ihre Systeme über eine gemeinsame Identitäts- und Datenebene verfügen. 

Vier Leistungsmerkmale entscheiden, ob Ihre Architektur Belastungen standhält:

• Der Personaleinsatz in Echtzeit-Sichtbarkeit, damit Sie wissen, wer wo vor Ort ist.
• Eine zentrale Ebene für das Identitätsmanagement für Mitarbeitende, Auftragnehmer, Besucher und Maschinen.
• Konvergente Sicherheit über IT-, OT- und physische Umgebungen hinweg.
• Und die Bedrohungserkennung, die direkt in Ihr Compliance-Reporting einfließt. 

Wenn Sie bereits ein SIEM (Security Information and Event Management) oder ein Security Operations Centre betreiben, haben Sie unter normalen Bedingungen wahrscheinlich einen Überblick über die Zutrittskontrolle, die Belegschaft und die IT-Sicherheit. Aber bleibt dieser Überblick auch dann erhalten, wenn alle drei Bereiche gleichzeitig eskalieren und Ihr Team auf Informationen reagieren muss, für deren Abfrage das SIEM nie ausgelegt war?

4. Nicht einfach nur ein Konzept, sondern produktiv auf Enterprise-Niveau.

Die Theorie ist einfach, aber den Nachweis zu erbringen ist weit ist  schwieriger. Der Flughafen Frankfurt am Main liefert ihn. Primion pflegt seit 18 Jahren eine erfolgreiche Partnerschaft mit dem Flughafen-Betreiber Fraport und das produktive System umfasst 4.302 Zutrittskontroll-Leser für 178 Gates, und 81.000 verwaltete Identitäten aus 70 Nationen in 800 Abteilungen, jeweils mit physischen und digitalen Zugriffsrechten. Den Nachweis liefert auch die zweite Referenz, ein bekannter europäischer Infrastrukturbetreiber mit 250.000 Mitarbeitenden, in einem anderen Sektor und mit völlig anderen Voraussetzungen.

Dies sind keine Pilotprojekte. Es sind Produktivumgebungen, in denen konvergente Abläufe unter realem Betriebsdruck getestet worden sind; wiederholt und über Jahre hinweg.

5. NIS-2 wird die Ergebnisse unter die Lupe nehmen, nicht die Compliance.

Bei den meisten Vorbereitungsmaßnahmen für NIS-2 werden das Zutrittsmanagement sowie die Meldung von Vorfällen und Risikobewertungen als separate Arbeitsbereiche behandelt. Jeder dieser Bereiche ist zwar notwendig, aber keiner reicht für sich alleine aus. Gemäß Artikel 21 der NIS-2 Richtlinie müssen Organisationen nachweisen, dass ihre Sicherheitsmaßnahmen als Gesamt-System funktionieren, und nicht nur, dass jede einzelne Maßnahme vorhanden ist.

In der Praxis prüfen Auditoren nicht nur, ob Ihr Unternehmen ein Zutrittskontrollsystem im Einsatz hat. Sie werden auch fragen, was geschieht, wenn eine bestätigte Identitätsverletzung innerhalb eines festgelegten Zeitrahmens Maßnahmen in Bezug auf den physischen Zutritt, die IT-Systeme und die Personalplanung erfordert. Sollten manuelle Eingriffe notwendig sein, ist das eine Schwachstelle, die durch NIS-2 identifiziert wird. 

Keynote:
Von der Zutrittskontrolle zum Wettbewerbsvorteil: Sicherheit neu gestalten

Präsentation herunterladen

Whitepaper herunterladen

Testen Sie Ihre eigene Sicherheitsarchitektur. 

Drei Fragen, die Sie sich vor der nächsten Simulation stellen sollten.

1. Kann Ihr Zutrittskontrollsystem innerhalb von 15 Minuten nach einem bestätigten Sicherheitsvorfall Zutrittsrechte in physischen, IT- und OT-Umgebungen entziehen?
2. Liefert Ihr Workforce-Management-System Echtzeit-Präsenzdaten an Ihre Sicherheitssysteme, oder prüft jemand manuell eine Tabelle?
3. Haben Ihre Systeme bei Ihrer jüngsten Krisensimulation automatisch reagiert, oder musste Ihr Team auf Telefonate und E-Mails zurückgreifen?  

Wenn Sie eine dieser Fragen mit Nein beantwortet haben, verfügen Ihre Systeme über die erforderlichen Funktionen. Was ihnen fehlt, ist die Verbindung untereinander. Genau diese Lücke wird bei der nächsten Krise oder beim nächsten NIS-2 Audit zum Problem werden.  

Häufig gestellte Fragen

Was ist konvergente Sicherheit?

Konvergente Sicherheit vereint Zutrittskontrolle, Personalmanagement, IT-Sicherheit und physische Sicherheit in einem einzigen System. Anstelle separater Plattformen, die jeweils nur einen Bereich abdecken, basiert konvergente Sicherheit auf einer gemeinsamen Identitäts- und Datenebene, sodass eine Änderung in einem Bereich die entsprechende Reaktion in allen anderen Bereichen auslöst.

Was verlangt NIS-2 hinsichtlich der Sicherheitskoordination?

Artikel 21 der NIS2-Richtlinie verpflichtet Organisationen dazu, Sicherheitsmaßnahmen zu ergreifen, die als integriertes System funktionieren. Dazu gehören die Reaktion auf Vorfälle in physischen und digitalen Umgebungen, das Identitätsmanagement sowie eine Zugriffskontrolle, die mit der IT- und OT-Sicherheit zusammenwirkt.

Inwiefern unterscheidet sich konvergente Sicherheit von einem SIEM?

Ein SIEM aggregiert Protokolldaten und Warnmeldungen systemübergreifend und verschafft Ihrem Team unter normalen Bedingungen einen Überblick über die Zutrittskontrolle, das Personal und die IT-Sicherheit. Konvergente Sicherheit geht noch einen Schritt weiter. Sie basiert auf einer gemeinsamen Identitäts- und Datenebene, sodass eine bestätigte Sicherheitsverletzung in einem Bereich eine automatisierte Reaktion in den Bereichen physischer Zutritt, IT-Systeme und Workforce-Planung auslöst. Der Unterschied zeigt sich in Krisensituationen, wenn Ihr SIEM das Problem zwar anzeigt, aber die Reaktion nicht koordinieren kann.