NIS2 und DORA: Warum physische Sicherheit zum Compliance-Faktor wird

Wer an NIS2 und DORA denkt, denkt an Firewalls, Penetration Tests und Incident Response. Was in der Praxis zu kurz kommt: Beide Frameworks verlangen ausdrücklich auch physische Sicherheit. Wer den Eingang nicht im Griff hat, kann sein Netzwerk noch so gut härten – ein Auditor wird die Lücke finden. Und genau hier wird der Mitarbeiterausweis mit Foto vom HR-Thema zum Compliance-Faktor.

Was NIS2 und DORA konkret verlangen

Die beiden EU-Regelwerke sind unterschiedlich aufgehängt, treffen sich aber bei der physischen Zugangskontrolle.

Die NIS2-Richtlinie verpflichtet Unternehmen zu Mindestmaßnahmen beim Risikomanagement. Neben der Lieferketten- und Personalsicherheit werden dort auch Verschlüsselung und Zugriffskontrollen genannt – physische Sicherheit ist hierbei nicht nur implizit gemeint, sondern eine wörtliche Anforderung.

Auch die DORA-Verordnung für den Finanzsektor fordert explizit Richtlinien und Werkzeuge, um sowohl die logische als auch die physische Sicherheit von IKT-Ressourcen zu gewährleisten. Die zugehörigen EBA-Leitlinien konkretisieren dies durch Vorgaben wie Zutrittsausweise, Besucherprotokolle und Ausweispflichten.

Übersetzt heisst das für die Schweiz und den EU-Raum: Wer als kritische Infrastruktur, Bank, Versicherung, Pharma, Energieversorger oder grosser Industriebetrieb unter eine dieser Regulierungen fällt – oder als Zulieferer in eine geregelte Lieferkette eingebunden ist –, muss seine Zutrittskontrolle im Griff haben.

Warum der Ausweis mit Foto entscheidend ist

In vielen Unternehmen ist der «Werksausweis» heute noch ein anonymer RFID-Chip oder gar ein Schlüsselbund. Damit ist Social Engineering trivial: Ein gefundener Chip funktioniert für jeden. Eine entliehene Karte fällt nicht auf, weil sich auf der Karte nichts zur Person befindet. Auditoren mit NIS2- oder DORA-Mandat hinterfragen genau diese Lücken.

Ein fälschungssicherer Foto-Ausweis schliesst drei Lücken auf einmal:

1. Sichtprüfung am Empfang und in Zutrittsschleusen – das Foto auf der Karte muss zur Person passen, die sie vorzeigt. Klingt banal, ist aber die einfachste Form von Mehrfaktor-Verifikation im Gebäude.
2. Nachweisbarkeit gegenüber Auditoren – einheitliche, dokumentierte Foto-Ausweise zeigen, dass es einen kontrollierten Prozess gibt. Anonyme Chips zeigen das Gegenteil.
3. Belastbarkeit im Vorfall – wenn ein Sicherheitsereignis untersucht wird, ist die Personenidentifikation an Türen und Schleusen ohne Foto faktisch unmöglich.

Die Herausforderung in der Praxis: Skalierung

Wer die Anforderung verstanden hat, steht vor dem nächsten Problem: Wie kommt man an mehrere Tausend einheitliche, qualitativ hochwertige Mitarbeiterfotos – datenschutzkonform, prüfbar und in akzeptabler Zeit? Klassische Wege scheitern an diesem Punkt:

• Berufsfotograf vor Ort: zu teuer, zu langsam, logistisch ein Albtraum bei verteilten Standorten.
• Mitarbeitende laden selbst ein Foto hoch: unbrauchbare Qualität, unterschiedliche Hintergründe, keine CI-Konformität, kein Audit-Trail.
• Fotoautomat im Foyer: Wartezeiten, Insellösungen, keine Integration in HR- oder Zutrittssysteme.

Genau dieser Prozess-Bruch ist der Punkt, an dem die Compliance in der Praxis scheitert.

Wie Photo Collect den Prozess absichert

Photo Collect ist die Schweizer B2B-Software für die automatisierte Erfassung von Ausweisfotos. Der Kern: Mitarbeitende erhalten einen personalisierten Link per E-Mail oder SMS, machen das Foto mit dem eigenen Smartphone – ohne App, ohne Login – und die KI prüft Schärfe, Hintergrund, Kopfhaltung, Brille und andere Parameter automatisch. Vier Eckpunkte machen den Prozess NIS2- und DORA-tauglich:

Hosting in der Schweiz, sicher und geschützt. Alle Fotos können ausschliesslich in einem ISO 27001-zertifizierten Rechenzentrum in der Schweiz verarbeitet werden. Die komplette Bildverarbeitung inklusive KI-Modelle kann durch Visible Solutions AG selbst erfolgen, ohne ausländische Cloud-Dienste. Damit sind die Bilddaten umfassend vor dem US CLOUD Act geschützt – ein Punkt, der bei NIS2-Audits zunehmend abgefragt wird.

Dedizierte Plattform pro Kunde. Statt Multi-Tenant-Cloud kann jeder Kunde eine eigene, isolierte Instanz verwalten. Datenmandantentrennung kann damit nicht nur über logische Trennung in einer geteilten Umgebung gelöst werden, sondern strukturell.

Datenminimierung und automatische Löschung. Nach dem erfolgreichen Export – per ZIP, sFTP, REST-API oder optional OpenPGP-verschlüsselt – werden die Bilddaten automatisch gelöscht. Das deckt die DSGVO- und CH-DSG-Anforderungen zur Zweckbindung und Speicherbegrenzung ab. Dokumentiert über DPA und SLA.

Keine generative KI am Gesicht. Photo Collect verändert Gesichter nicht. Das ist regulatorisch entscheidend: Auf einem Ausweisfoto muss die Person erkennbar sein, nicht eine optimierte Variante davon. Die KI prüft, schneidet und ersetzt den Hintergrund – mehr nicht. Hintergrund dazu im Beitrag «Bildverbesserung mit KI – was ist erlaubt?».

Was das in Zahlen heisst

Über 4 Millionen Fotos hat Photo Collect bisher verarbeitet, im Median dauert dieser Prozess pro Mitarbeiter weniger als 2 Minuten. In einem industriellen Konzern mit 20'000 Mitarbeitenden lief das Rebadging in drei Wochen durch – mit faktisch 100 Prozent Mitarbeiter-Akzeptanz und einer Fehlerrate unter 2 Prozent. In der optionalen manuellen Qualitätskontrolle prüft eine Person eingehende Bilder nochmals auf konformität. Die optimierte Benutzeroberfläche erlaubt die Prüfung von Tausenden Fotos pro Stunde. Die KI-Validierung unterstützt den Prozess und kennzeichnet mögliche Probleme bereits beim Upload.

Für eine NIS2- oder DORA-Einführung mit grossem Rebadging-Volumen ist das der Unterschied zwischen einem Projekt, das im Plan landet, und einem, das den Auditor in der nächsten Runde wieder beschäftigt.

Integration in die bestehende Sicherheitsarchitektur

Photo Collect ist in bestehende Prozesse integrierbar. Über eine REST-API und vorgefertigte Integrationen fügt sich die Plattform in bestehende Zutritts-, HR- und Kartendrucker-Systeme ein. Damit landet das geprüfte Foto direkt im HR- oder Karten-Management-System, ohne manuellen Zwischenschritt und ohne ungesicherten Datenpfad.

Wer Photo Collect zusätzlich auf eine eigene Subdomain und den eigenen SMTP-Server legt, hält den gesamten Prozess innerhalb der eigenen Vertrauensdomäne – ein Aspekt, der bei DORA-Audits zu Lieferkettenrisiken regelmässig aufkommt.

Compliance fängt an der Eingangstür an

NIS2 und DORA sind nicht nur ein IT-Thema. Wer die physische Zutrittskontrolle als nachgelagertes Facility-Thema behandelt, wird beim nächsten Audit darauf hingewiesen werden. Ein einheitlicher, fälschungssicherer Mitarbeiterausweis mit Foto ist heute keine HR-Kosmetik mehr, sondern Teil der Compliance-Architektur.

Photo Collect schliesst die Lücke zwischen der Anforderung – einheitliche, qualitätsgeprüfte Fotos für Tausende Personen – und dem operativen Aufwand, der bisher viele Projekte zum Stillstand gebracht hat. Schweizer Hosting, dedizierte Instanz, automatische Löschung, keine generative KI am Gesicht. Wer NIS2 oder DORA umsetzen muss, hat damit einen Baustein weniger zu sorgen.

‍