Sichere Infrastrukturen für IT-Systeme - TÜViT

Sichere Infrastrukturen 

für IT-Systeme 

Trusted Site Infrastructure

Inhalt 

1 Einleitung .......................................................... 1 

1.1 Unternehmenserfolg von der IT abhängig ............. 1 

1.2 Gefährdungspotenziale ........................................ 1 

1.3 Physische Sicherheit ........................................... 2 

1.4 Ziele ................................................................... 2 

1.5 TSI ..................................................................... 3 

1.6 Anwendungsbereich ............................................ 4 

2 Überblick über die Bewertungsaspekte ............. 5 

3 Bewertungskriterien .......................................... 6 

3.1 Umfeld ................................................................ 6 

3.2 Baukonstruktion .................................................. 6 

3.3 Brandschutz, Melde- und Löschtechnik ................. 7 

3.4 Sicherheitssysteme und -organisation .................. 7 

3.5 Energieversorgung .............................................. 8 

3.6 Raumlufttechnische Anlagen ................................ 8 

3.7 Organisation ....................................................... 9 

3.8 Dokumentation .................................................... 9 

4 Dual Site Zertifizierungsanforderungen........... 10 

5 TSI-Zertifizierungsprojekt ................................ 11 

5.1 Bewertungslevel ................................................ 11 

5.2 Workshop ......................................................... 13 

5.3 Projektablauf ..................................................... 13 

5.4 Zertifikat und Prüfzeichen .................................. 14 

5.5 Re-Zertifizierung ............................................... 15 

6 Weitere TSI-Dienstleistungen .......................... 16 

7 Zertifizierung von Rechenzentren ................... 17 

8 Trusted Site Zertifizierungs-Familie (Auszug) . 19

9 Änderungen von TSI V2.0 nach V3.0 ............... 20 

10 TSI Katalog V3.0 .............................................. 21 

11 Über TÜViT ...................................................... 31 

12 Glossar und Abkürzungen ............................... 35 

13 Ansprechpartner ............................................. 36

1 Einleitung 

1.1 Unternehmenserfolg von der IT abhängig 

Informations- und Kommunikationssysteme bilden die Grundlage 

für eine Vielzahl von unternehmerischen Entscheidungen und 

Aktivitäten. Ihre Verfügbarkeit hat eine elementare Bedeutung für 

das Unternehmen. Ausfälle können heutzutage schnell existenzbedrohend 

werden. 

Zeitkritische Zugriffe, Just-in-time Abläufe, ein hoher Vernetzungsgrad 

und Online-Geschäfte steigern erheblich den Verfügbarkeitsanspruch 

wie auch die Anforderungen an die Leistungsfähigkeit der 

Systeme, der Datenhaltung und der unterstützenden Infrastruktur. 

Dabei ist in den letzten Jahren eine Tendenz zur Zentralisierung 

der geschäftskritischen Produktiv-Hardware zu verzeichnen. Um 

die Wahrscheinlichkeit von Systemausfällen und Datenverlusten in 

derart konzentrierten Umgebungen zu verringern, bedarf es 

ausgereifter Schutzkonzepte und verlässlicher sicherheitstechnischer 

Bewertungen. 

Diese Bewertungen sind je nach Branche auch dort sinnvoll, wo 

eine methodische Risikoeinschätzung belastbare Aussagen gegenüber 

Dritten liefern soll oder wo Grundlagen für eigene 

Einschätzungen gesucht werden, z. B. bei Versicherungspolicen. 

1.2 Gefährdungspotenziale 

Das Gefährdungspotenzial im Bereich physischer Sicherheit ist 

vielfältig und in seinen Auswirkungen gravierend. Laut den 

IT-Grundschutz-Katalogen des Bundesamts für Sicherheit in der 

Informationstechnik (BSI) werden die folgenden vier Gefährdungskategorien 

angenommen: 

• Höhere Gewalt, wie zum Beispiel Blitz, Feuer oder Wasser. 

• Organisatorische Mängel, etwa fehlende oder unzureichende 

Regelungen oder unbefugter Zutritt zu schutzbedürftigen 

Räumen. 

Trusted Site Infrastructure Seite 1 | 36 

© TÜV Informationstechnik GmbH

• Technisches Versagen, zum Beispiel der Ausfall von 

Stromversorgung, internen Versorgungsnetzen und vorhandenen 

Sicherungseinrichtungen. 

• Vorsätzliche Handlungen, wie unbefugtes Eindringen, 

Diebstahl, Vandalismus und Anschläge. 

1.3 Physische Sicherheit 

1.4 Ziele 

Die Funktionssicherheit von IT-Systemen kann nur durch ein 

ganzheitliches Schutzkonzept optimiert werden. Die Sicherheitsaspekte 

auf dem Gebiet der Infrastruktur, sprich die physische 

Sicherheit, sind ebenso wichtig wie die organisatorische und die 

informations-technische Sicherheit (IT-Systeme und ihre 

Anwendungen). Für die beiden letztgenannten Sicherheitsaspekte 

gibt es zunehmend Verfahren und Lösungen (siehe Kapitel 0), 

wogegen die physische Sicherheit - abgesehen von den Ansätzen 

in den IT-Grundschutz-Katalogen - bislang kaum systematisch 

untersucht wird. 

Der Kriterienkatalog der TÜV Informationstechnik GmbH setzt hier 

an und hilft, gezielt und vollständig die Gegebenheiten zu erfassen, 

zu beurteilen und zu bewerten. 

Die objektive Identifikation und angemessene Behebung von 

Sicherheitsrisiken der IT-Infrastruktur sind ein unmittelbares 

Anliegen eines IT-Betreibers. Es geht darum, Präventivmaßnahmen 

zum physischen Schutz der IT- und Kommunikationssysteme 

durchzuführen und eine Infrastruktur sicherzustellen, die den 

Anforderungen auf Basis von vorhandenen Normen und ihren 

Grenzwerten genügt. Ziel ist dabei, eine möglichst hohe System- 

und Datenverfügbarkeit und eine nahezu hundertprozentige 

Funktionssicherheit zu garantieren. 



1.5 TSI 

Die TÜV Informationstechnik GmbH (TÜViT) hat durch Erfahrungen 

bei der Abnahme von Trust Center für elektronische Signaturen ein 

standardisiertes Verfahren zur Prüfung von sicheren Infrastrukturen 

für IT-Systeme entwickelt und die dabei als sachgerecht 

anerkannten Maßnahmen berücksichtigt. Das Verfahren ist in das 

TÜViT-Zertifizierungsprogramm „Trusted Site“ als 


© TÜV Informationstechnik GmbH 

Trusted Site Infrastructure (TSI) 

aufgenommen. Der zugrunde liegende Prüfkatalog im derzeitigen 

Versionsstand orientiert sich an den Maßnahmeempfehlungen der 

Grundschutz-Kataloge des Bundesamts für Sicherheit in der 

Informationstechnik (BSI), berücksichtigt die einschlägigen EN- und 

DIN-Normen, VDE-Vorschriften und VdS-Publikationen und trägt 

den Erkenntnissen aus dem Praxisalltag im Sinne von „Best 

Practices“ Rechnung. 

Das Verfahren erlaubt die Untersuchung der einer IT-Installation 

zugrunde liegenden Infrastruktur in angemessener Weise unter 

besonderer Berücksichtigung der individuellen Umgebung und der 

häufig anzutreffenden Komplexität solcher Installationen. 

TSI ist im Jahr 2002 eingeführt worden und ist heute im Markt als 

Bewertungsschema für die physische Sicherheit akzeptiert. Dazu 

beigetragen haben die stete Weiterentwicklung des Programms, die 

Zusammensetzung des Auditteams mit Sachverständigen aus den 

unterschiedlichen Disziplinen und ein ingenieurmäßiges Vorgehen, 

das eine größere Flexibilität bietet als reine Checklisten. Der 

kompakte übersichtliche Katalog wird mittlerweile häufig in 

Rechenzentrumsausschreibungen als verbindliche Umsetzungsanforderung 

zitiert und dient als Maßstab für Rechenzentren nach 

Stand der Technik. 

TSI-zertifizierte Rechenzentren finden sich in unterschiedlichen 

Branchen, wie z.B. Banken, Energieversorgungsunternehmen, Co- 

Locationanbieter, Chemische Industrie, Automobil-industrie, 

Flughafen, mittelständische Produktionsbetriebe, etc.

1.6 Anwendungsbereich 

Der Anwendungsbereich von Trusted Site Infrastructure (TSI) ist 

aber nicht auf IT- und Kommunikationssysteme beschränkt. Auch 

andere zu schützende Werte in Sicherheitslagern oder Archiven 

benötigen Infrastrukturmaßnahmen, um sie vor Zugriffen zu 

schützen oder um Anforderungen an Umgebungsbedingungen zu 

erfüllen. Die zu berücksichtigenden Bewertungsaspekte (siehe 

Kapitel 0) treffen in aller Regel auch auf die zuletzt genannten 

Anwendungsbereiche zu. 

Eine Zertifizierung demonstriert die Funktionssicherung unter den 

geforderten Schutzzielen gegenüber Dritten und erzeugt Vertrauen 

auf der Grundlage einer „Third Party Inspection“. Hieraus ergeben 

sich Vorteile, wie z.B.: 

• Sicherheit bei der Planungsvergabe eines neuen 

Rechenzentrums, wenn die Zertifizierung zum Ausschreibungsbestandteil 

wird. 

• Vertrauensnachweis für die Marktpositionierung, da mit der 

Erteilung eines Zertifikats die besonderen Anstrengungen 

hinsichtlich der Sicherheitsmaßnahmen dokumentiert werden 

und ein Wettbewerbsvorteil herausgestellt werden kann. 

• Qualitätssicherung und auch -verbesserung bei eigener 

Projektsteuerung sowie Standortbestimmung für interne 

Entscheidungsprozesse. 

• Vertrauenssicherung gegenüber überwachenden Institutionen. 

• Nachweis für die Innenrevision. 

• Bei regelmäßiger Überprüfung die Gewissheit, das Rechenzentrum 

auf dem Stand der Technik zu haben, da die TSI- 

Anforderungen weiterentwickelt werden. 

Von diesen Vorteilen profitieren prinzipiell alle Rechenzentrumsbetreiber. 

Einige Aspekte treffen aber in besonderem Maße auf 

ASPs, ISPs, Co-Locationanbieter und Industriezweige zu, die in 

ausgeprägten Verfügbarkeitsverpflichtungen als Zulieferer stehen. 



2 Überblick über die Bewertungsaspekte 

Für die TSI-Zertifizierung stellt TÜViT auf der Basis von erfüllten 

Mindestanforderungen das von einer IT-Infrastruktur erreichte 

Sicherheitsniveau fest. Dabei wird eine Reihe von Bewertungsaspekten 

in die Untersuchung einbezogen (siehe Abbildung 1): 

• Umfeld (ENV: Environment) 

• Baukonstruktion (CON: Construction) 

• Brandschutz, Melde- & Löschtechnik (FIR: Fire Protection, 

Alarm & Extinguishing Systems) 

• Sicherheitssysteme & -organisation (SEC: Security System & 

Organization) 

• Energieversorgung (POW: Power Supply) 

• Raumlufttechnische Anlagen (ACV: Air Conditioning & 

Ventilation) 

• Organisation (ORG: Organization) 

• Dokumentation (DOC: Documentation) 

Abbildung 1: Bewertungsaspekte der TSI-Zertifizierung 



3 Bewertungskriterien 

Für jeden der in Kapitel 0 benannten Bewertungsaspekte gibt es 

eine Reihe von definierten Kriterien, die bei der TSI-Zertifizierung 

angewendet werden. Die damit verbundenen Anforderungen sind in 

Kapitel 10 in Listen zusammengestellt und in den folgenden 

Abschnitten kurz erläutert. 

3.1 Umfeld 

Das Gebäude umgibt die aufgestellte Informationstechnik und 

bietet einen äußeren Schutz. Die Lage des Gebäudes spielt 

hinsichtlich der umliegenden Gefahrenpotenziale ebenso eine Rolle 

wie die Lage des Sicherheitsbereichs im Gebäude, um gegebenen 

potenziellen Gefahrenquellen a priori auszuweichen. Es ist darauf 

zu achten, dass Umgebungsgefährdungen, hervorgerufen durch 

Wasser, Explosionen, Trümmer, Erschütterungen oder Schadstoffe 

gemieden werden. Ebenso sind Verkehrswege mit Gefahrguttransporten 

zu meiden, um sich direkten Auswirkungen aber auch 

indirekten wie z.B. Absperrungen zu entziehen. 

3.2 Baukonstruktion 

Das Mauerwerk (VdS 2333), Fenster und Türen müssen einen 

Zugriffs- (DIN V ENV 1627), Brand- und Rauchschutz (DIN 18095) 

bieten. Ebenso ist sicherzustellen, dass wassergefährdete 

Gebäudeabschnitte (VdS 2007), EM/RF-Störfelder (EN 50147 Teil 

1) und die Nachbarschaft zu gefährlichen Produktionsprozessen 

gemieden werden. Das Gebäude muss über einen äußeren 

Blitzschutz (DIN VDE 0185 Teil 3) verfügen und den Sicherheitsbereich 

mindestens in einem eigenen Brandabschnitt aufnehmen 

können (DIN 4102). Die Versorgungsleitungen sind in schutzgebenden 

Konstruktionen zu verlegen. Die EN 1047-2 gibt vor, 

dass zum Funktionserhalt der IT-Systeme und der Datenträger bei 

einem Brand die zu schützenden Objekte nur bis zu definierten 

Obergrenzen hinsichtlich Temperatur und Luftfeuchte ausgesetzt 

werden dürfen. 



3.3 Brandschutz, Melde- und Löschtechnik 

Die Risikofaktoren Feuer und Rauchgase lassen sich über 

Brandmeldeanlagen, Brandfrühesterkennung (DIN EN 54) und 

Gaslöschtechnik kontrollieren. Hierbei ist es wichtig, dass die 

Brandmeldesensorik (DIN EN 54) alle Sicherheitsbereiche berücksichtigt 

und an den richtigen Stellen angebracht ist. Ein 

Brandschutzkonzept muss mit der örtlichen Feuerwehr abgestimmt 

sein. 

Die Brandmeldeanlage (VdS 2095, DIN 14675, DIN VDE 833-2) ist 

in 2-Linienausführung im gesamten Sicherheitsbereich zu 

installieren und bei der Feuerwehr aufzuschalten. Nebenräume, 

doppelter Fußboden, abgehängte Decken und Luftkanäle müssen 

in die Brandüberwachung einbezogen werden. Wichtig ist, dass 

neben der Alarmierung Schadensbegrenzungsmaßnahmen 

ausgelöst werden, etwa durch eine Gaslöschanlage im Sicherheitsbereich 

(VdS 2380, VdS 2093) oder durch andere geeignete 

Maßnahmen. 

3.4 Sicherheitssysteme und -organisation 

Die Sicherheitssysteme sollen einen Schutz vor vorsätzlichen 

Handlungen bieten. Hierzu zählen ein Zugangskontrollsystem und 

eine Einbruchmeldeanlage, um Diebstahl (Hardware wie Daten), 

Sabotage und Vandalismus frühzeitig zu entdecken, Akteure 

abzuschrecken und rechtzeitig Gegenmaßnahmen einzuleiten. 

Ein Zugangskontrollsystem inklusive entsprechender Zugangsregelung 

muss sowohl für den Sicherheitsbereich wie auch für alle 

Infrastrukturkomponenten (z.B. Verteiler) vorhanden sein (VdS 

2358). Der Einbruchschutz ist mehrstufig auszulegen und alle 

sicherheitskritischen Bereiche sind mittels einer Einbruchmeldeanlage 

zu überwachen (VdS 2311, DIN VDE 0833-3). Dabei sind 

die Anlagen ebenfalls mit Notstrom zu versorgen und müssen über 

einen gesicherten Übertragungsweg (VdS 2471) zu einer ständig 

besetzten Sicherheitszentrale durchgeschaltet sein. 



3.5 Energieversorgung 

Die Energieversorgung ist für die IT-Systeme essentiell. Sie 

bedient unterschiedlichste Leistungsabnehmer und unterliegt steter 

Veränderung. Auf der Basis der einschlägigen DIN-Normen und 

VDE-Vorschriften (insbesondere DIN VDE 0100) sind die 

Elektroinstallationen auszuführen, gegen Überspannung zu 

schützen, angepasste Aufteilungen und Absicherungen der Stromkreise 

vorzusehen und Vorkehrungen für Erweiterungen zu treffen. 

Die Abhängigkeiten der IT-Systeme von den Infrastrukturkomponenten 

erfordern eine unterbrechungsfreie Stromversorgung 

sowie eine umfassende Notstromversorgung, die auch Telekommunikations-, 

Sicherheits- und Klimasysteme einschließen. 

Bei der Einspeisung ist darauf zu achten, dass Ausweichmöglichkeiten 

gegeben sind, wie etwa ein Ringanschluss. Die 

Elektroinstallation sollte im gesamten Gebäude als TN-S-Netz 

ausgelegt sein, ansonsten sind besondere Vorkehrungen 

hinsichtlich der Elektroverteilung zu treffen. Grundsätzlich müssen 

IT-Geräte getrennt von anderen Verbrauchern versorgt werden. Es 

ist notwendig, dass der Überspannungsschutz mindestens in zwei 

Stufen aus-geführt (VdS 2833), ein Potenzialausgleich (DIN EN 

50310) sichergestellt und eine Differenzstromüberwachung (DIN 

EN 62020) in wichtigen Segmenten gegeben ist. Eine unterbrechungsfreie 

Stromversorgung (USV) wie auch eine 

Netzersatzanlage (NEA) oder eine vergleichbare Absicherung ist 

vorzusehen. 

3.6 Raumlufttechnische Anlagen 

IT-Systeme wie auch Archive sind auf bestimmte Umgebungsbedingungen 

angewiesen. Es ist dafür Sorge zu tragen, dass 

Lufttemperatur, Feuchte und Staubanteil innerhalb vorgegebener 

Grenzwerte liegen. Für die Verfügbarkeit ist eine Klimatisierung in 

redundanter Aus-legung notwendig. 

Für die redundante Auslegung und die Grenzwertüberwachung ist 

Sorge zu tragen, ebenso für die Einbindung der Anlage in das 

Brandschutzkonzept inkl. der äußeren Rückkühler, was die 

Blitzableitung betrifft. Die Anlage muss in einem geschützten 

Bereich stehen. 



3.7 Organisation 

IT-Infrastrukturkomponenten können auch versagen. Die 

regelmäßige Überprüfung des Zustandes, der Eigenschaften und 

des Verhaltens ist notwendig, um die ständige Wirksamkeit und 

Verfügbarkeit der Infrastrukturkomponenten im Sinne der 

Sicherheitsanforderungen belegen zu können. Verantwortlichkeiten 

müssen klar definiert sein. Genauso sind Regelungen notwendig, 

die Zugangsberechtigte definieren, bei Erweiterungen an 

Infrastrukturkomponenten die Prüfung von Seiteneffekten veranlassen 

und die Schulung der Mitarbeiter sicherstellen. Auch die 

regelmäßige Sicherung oder Spiegelung der Daten zu einer zweiten 

Lokation wird als essenziell angesehen. 

Verfahrensanweisungen regeln die Prüfung der Auslegung der 

Elektroinstallation und der raumlufttechnischen Anlagen bei 

Erweiterungen. Alle Sicherheitseinrichtungen müssen einem regelmäßigen 

Funktionstest unterzogen werden. Ein jährlicher 

Wartungsplan definiert Art und Intervall der Wartung an 

Verschleißteilen der Infrastrukturkomponenten bzw. der 

IT-Hardware. Unverzichtbar ist, die Kommunikation nach draußen 

auch beim Ausfall der TK-Anlage sicher zu stellen. Die 

Datensicherungsmedien müssen brand- und zugriffsgeschützt 

getrennt vom Sicherheitsbereich aufbewahrt und gemäß EN 1047 

ausreichend geschützt werden. 

3.8 Dokumentation 

Die Überprüfung der Maßnahmen und der installierten Infrastruktur 

kann nachhaltig nur im Kontext einer dokumentierten Risikoanalyse 

bzw. eines Sicherheitskonzepts erfolgen. Daraus leiten sich Art und 

Umfang der Präventivmaßnahmen ab. Die gewonnenen Erkenntnisse 

dienen dazu, das Gefährdungspotenzial für das Unternehmen 

bei Ausfall der IT-Systeme abzuschätzen und transparent zu 

machen. 

Die Infrastruktur-Installation wird ihrem Verfügbarkeitsanspruch 

letztendlich nur dann gerecht, wenn bei Eintritt eines Schadenfalls 

Verhaltensregeln vorliegen und auf aktuelle Pläne und Dokumentationen 

zurückgegriffen werden kann, um schnelle, sachgerechte 

und sichere Reaktionen zu gewährleisten. 



Die Dokumentation sollte sich deshalb nicht nur auf die 

Beschreibung von Maßnahmen (DIM) beschränken sondern zu 

einem umfassenden Sicherheitskonzept (Siko) ausgebaut werden. 

Im Sicherheitskonzept werden Schwachstellen und Gefährdungspotenziale 

identifiziert, Risikofaktoren daraus abgeleitet und 

Maßnahmen definiert und ihre Umsetzung beschrieben. Regelungen 

müssen schriftlich dargelegt und im Unternehmen den 

Betroffenen bekannt sein. Wartungspläne sind ggf. durch 

entsprechende Verträge abzusichern. Je nach angestrebtem 

Bewertungslevel (siehe Kapitel 5.1) ist für eine erfolgreiche Prüfung 

entweder eine „Dokumentation der Infrastrukturmaßnahmen“ (DIM) 

oder ein vollständiges Sicherheitskonzept bereitzustellen. 

4 Dual Site Zertifizierungsanforderungen 

Bei der Konzeption von Rechenzentren sind zwei Trends 

feststellbar: zum einen ist eine Konsolidierung von Rechenzentren 

zu verzeichnen, die zur Aufgabe vieler kleiner Serverräume 

zugunsten einiger weniger größerer Installationen führt. Zum 

anderen wird konsequent eine Risikoverteilung auf mindestens 

zwei Standorte verfolgt, wobei die Aufwände für die Versorgungstechnik 

ausgewogen und auf diesen Fall angepasst sind. Diesem 

Trend trägt TSI mit einer Dual Site Zertifizierung Rechnung. Hier 

werden zwei Rechenzentren im Verbund bewertet. Der erreichte 

Zertifizierungs-Level des Dual Site Zertifikats hängt von den 

erreichtem Level jedes einzelnen Rechenzentrums ab. 

Voraussetzung für ein Dual Site Zertifikat ist, dass 

• sich die IT-Flächen der beiden Rechenzentren in der Größe um 

maximal 1/3 unterscheiden. 

• für beide Rechenzentren eine erfolgreiche TSI-Zertifizierung 

durchgeführt wurde. 

• die beiden Rechenzentren durch eine redundante Datennetzverbindung 

verbunden sind. 



• sich Umgebungsgefährdungen nie gleichzeitig auf beide 

Rechenzentren auswirken können. 

• sich die Rechenzentren in getrennten Gebäuden befinden. 

Je nach Zertifizierungslevel sind für ein Dual Site Zertifikat weitere 

Forderungen zu erfüllen: 

• Dual Site Level2 

Die beiden Rechenzentren sind Level1 zertifiziert mit 

Erweiterungen in einigen Bewertungsaspekten (CON, SEC, ORG, 

DOC). Des Weiteren muss eines der Rechenzentren mit einem 

Netzersatzgerät ausgestattet sein. 




DOC). 




DOC). Des Weiteren haben die beiden Rechenzentren einen 

Abstand von mindestens 5 km. Eine ständig besetzte Sicherheitszentrale 

befindet sich an einen der Standorte. 

Das Dual Site Zertifikat gilt unter der Bedingung, dass 

IT-Komponenten redundant in beiden Rechenzentren aufgestellt 

werden. 

5 TSI-Zertifizierungsprojekt 

5.1 Bewertungslevel 

Der Prüfkatalog ermöglicht TÜViT, den Zustand der Infrastruktur zu 

beurteilen und erlaubt, daraus Verfügbarkeitsaussagen für die 

IT-Installation abzuleiten. So erhält der Betreiber bei der Abnahme 

der installierten Infrastrukturkomponenten die Sicherheit, alle 

notwendigen Vorkehrungen getroffen und für ein funktionierendes 

Zusammenwirken aller Komponenten gesorgt zu haben. 



Zertifiziert werden können vier Sicherheitsstufen, die aufeinander 

aufbauen: Level1 bis Level4 oder anders ausgedrückt: solide bis 

high-end: 

• Level1 – Mittlerer Schutzbedarf 

Die Anforderungen entsprechen denen der BSI Grundschutz- 

Kataloge in der Schicht Infrastruktur bzgl. der Bausteine 

Rechenzentrum, Gebäude, elektrotechnische Verkabelung, Serverraum, 

Datenträgerarchiv und Raum für technische Infrastruktur. 

Abhängig von der Schutzbedarfserhebung können die BSI- 

Vorgaben bzgl. Brandisolierung (DIN EN 1047-2) und 

Netzersatzaggregat zur Anwendung kommen, was in den höheren 

TSI Level berücksichtigt wird. 

• Level2 – Erweiterter Schutzbedarf 

Diese Sicherheitsstufe definiert ergänzende Anforderungen bei 

allen Bewertungsaspekten. Insbesondere wird die Standortwahl 

bewertet und an Hand eines Sicherheitskonzepts eine vertiefende 

Analyse vorgenommen. Die Anforderungen an die Wirksamkeit der 

Maßnahmen sind erhöht. Die Sicherstellung einer sekundären 

Energieversorgung ist obligatorisch. 

• Level3 – Hoher Schutzbedarf 

Vollständige Redundanzen kritischer Versorgungssysteme, No 

Single Point of Failures, klimatische Grenzwerteinhaltung gem. EN 

1047-2 und erhöhte Sicherheitsanforderungen an die gesamte 

Infrastruktur zeichnen Level3 aus. 

• Level4 - Sehr hoher Schutzbedarf 

Ein dediziertes Gebäude für den alleinigen RZ-Betrieb und darüber 

hinaus ausgeprägte Zutrittssicherung über Perimeterschutz und 

Vereinzelungsanlagen kennzeichnen Level4. Die Nachbarschaft 

muss gefährdungsfrei sein und auf Alarmmeldungen muss innerhalb 

minimaler Interventionszeiten reagiert werden können. 



• Erweitert 

Der ausgewiesene Level im Zertifikat ist der minimal erreichte 

Level über alle Bewertungsaspekte. Sind alle Anforderungen eines 

Bewertungsaspekts (ENV, CON, FIR, SEC, POW, ACV) im nächst 

höheren Level erfüllt, werden diese Aspekte mit dem Attribut 

„erweitert“ im Zertifikat ausgezeichnet. 

5.2 Workshop 

TÜViT vertieft die in diesem Dokument dargelegten Bewertungsaspekte 

auf Wunsch in Form eines Workshops beim Interessenten. 

Dieser Workshop dient sowohl der Entscheidungsfindung als auch 

der Vorbereitung auf eine Zertifizierung. Gleichzeitig erfolgt eine 

erste Planungsbegutachtung oder aber bei einer vorhandenen 

Installation eine Einschätzung der Prüffähigkeit. TÜViT weist den 

Interessenten dabei auf offensichtliche Abweichungen hin. Weitere 

Inhalte des eintägigen Workshops sind: 

• Darstellung der Prüfabläufe, 

• Detaildarstellung und Diskussion der Bewertungsaspekte, 

• Zuordnung der Anforderungen zu den Level 

• Hinweise zum Aufbau eines Sicherheitskonzepts, 

• Begehung des Rechenzentrums bzw. Einsichtnahme in die 

Pläne bei einem Neubau, sowie 

• Diskussion des weiteren Vorgehens. 

5.3 Projektablauf 

Nach dem Workshop entscheidet der Interessent, ob er in die 

Evaluierung einsteigen möchte. Ist dies der Fall, muss eine 

Dokumentation der Infrastrukturmaßnahmen (DIM für Level1) oder 

ein Sicherheitskonzept mit den entsprechenden Plänen zur 

detaillierten Prüfung eingereicht werden. 

Anhand der Dokumentation überprüft und kommentiert TÜViT den 

Umfang, die Wirkung und die widerspruchsfreie Anwendung der 

Maßnahmen. 



Es wird dem Kunden die Möglichkeit gegeben, das Dokument zu 

überarbeiten und erkannte Schwachstellen zu bereinigen. 

Ist die Überarbeitung erfolgt, gilt die Dokumentation als Grundlage 

für den weiteren Bewertungsprozess. Im anschließenden Vorort- 

Audit (Umsetzungsprüfung) prüft TÜViT, ob die Maßnahmen und 

Komponenten wie beschrieben umgesetzt bzw. eingesetzt werden. 

Anschließend erstellt TÜViT einen Prüfbericht für den Kunden. 

Vorausgesetzt, dass alle Kriterien erfüllt sind, erhält der Kunde ein 

Zertifikat, das zur Nutzung eines entsprechenden Prüfzeichens 

berechtigt. 

5.4 Zertifikat und Prüfzeichen 

Auf der Basis der Bewertungskriterien für Trusted Site 

Infrastructure wird bei Erfüllung aller Teilaspekte für den 

untersuchten Sicherheitsbereich ein Zertifikat erteilt (Abbildung 2). 

Abbildung 2: Musterzertifikat Trusted Site Infrastructure 



Das Zertifikat berechtigt zur Nutzung des Prüfzeichens „Trusted 

Site Infrastructure“ (siehe Deckblatt). Die Bewertungsaspekte aus 

Kapitel 3 sind im Anhang zum Zertifikat abgedruckt. Das Zertifikat 

ist zwei Jahre gültig und kann danach verlängert werden. 

Das Prüfzeichen steht sowohl für die Web-Site als auch für 

Broschüren des Betreibers zur Verfügung. Ebenso wird – Zustimmung 

vorausgesetzt - das Zertifikat unter www.tuvit.de veröffentlicht. 

5.5 Re-Zertifizierung 

Das Zertifikat ist zwei Jahre gültig und kann durch eine Re- 

Zertifizierung um weitere zwei Jahre verlängert werden. Das Audit 

bzw. die Begehung des Rechenzentrums erfolgt ca. sechs Monate 

vor Ablauf des Zertifikats, um dem Betreiber für den Fall von 

Abweichungen Gelegenheit zu geben, diese bis zum Ablauf des 

Erstzertifikats zu korrigieren. Das Folgezertifikat beginnt mit dem 

Ablaufdatum des Erstzertifikats. Voraussetzung ist, dass es keine 

Abweichungen zum Zeitpunkt des Zertifikatswechsels gibt. Hierdurch 

ist ein kontinuierlicher, unterbrechungsfreier Nachweis der 

Güte des Rechenzentrums gegenüber Dritten möglich. Die Planung 

der Überprüfungszeiträume sowohl auf Betreiber- wie auch auf der 

Prüferseite kann ohne Aufwand vorgenommen werden. 

Abbildung 3: Zeitablauf Re-Zertifizierung 



6 Weitere TSI-Dienstleistungen 

Mit der Anerkennung des TSI-Katalogs im Markt wächst die Nachfrage 

an TSI-bezogenen Dienstleistungen der TÜViT. Aktuell 

erstreckt sich das Portfolio neben den Prüf- und Zertifizierungstätigkeiten 

auf: 

• Bewertungen von Entwurfsplanungen 

Die Planung neuer Rechenzentren wird häufig unter Berücksichtigung 

der TSI-Kriterien vorgenommen und die Zertifizierung 

nach einem bestimmten Zertifizierungslevel in Rechenzentrumsausschreibungen 

vorgegeben. Hat die Planung das Entwurfsstadium 

erreicht, kann sie von TÜViT auf eine spätere 

Zertifizierungsfähigkeit hin bewertet werden und den Planungshäusern 

wie auch dem Bauherren Planungssicherheit geben. 

• Standortbewertungen 

Der TSI-Katalog enthält u. a. Anforderungen an den Standort. Das 

erreichbare Sicherheitsniveau hängt somit letztendlich auch von 

dem Standort und möglicherweise der Beherrschung von 

Umgebungsgefährdungen ab. In diesem Zusammenhang bietet 

TÜViT Standortbewertungen an, um eine optimale Ausgangsposition 

für das zu planende Rechenzentrum zu garantieren. 

• Schwachstellen-/Gap-Analysen 

Zur Einschätzung der Verfügbarkeitsqualitäten bestehender 

Rechenzentren und zur Aufdeckung von Schwachstellen bietet 

TÜViT eine Gap-Analyse an, in der Abweichungen zu den TSI- 

Anforderungen identifiziert und Verbesserungspotenzial aufgezeigt 

werden. Diese Hilfestellungen können mittels Planungshäusern zu 

konkreten Maßnahmen ausgearbeitet und umgesetzt werden, um 

ein zertifizierungsfähiges Rechenzentrum zu erhalten. 

• Qualifizierung zum TSI Professional 

Mit der Verbreitung der TSI-Zertifizierung werden immer häufiger 

Kenntnisse zu Inhalten des TSI Katalogs und zur Vorgehensweise 

bei einer Zertifizierung verlangt. Dies hat TÜViT aufgegriffen und 

bietet eine Weiterbildungsmaßnahme zum TSI Professional an. 



Hiermit werden nicht nur Planungshäuser und Ingenieurbüros 

adressiert sondern auch Betreiber von Rechenzentren, die sich 

intensiv mit dem Kriterienkatalog auseinandersetzen wollen. 

7 Zertifizierung von Rechenzentren 

Wie bereits eingangs erläutert, kann man von einem sicheren 

Rechenzentrum nur dann sprechen, wenn angemessene Sicherheitsmaßnahmen 

unter physischen, informations-technischen und 

organisatorischen Gesichtspunkten getroffen wurden. Neben dem 

Prüf-programm zur physischen Sicherheit, deckt TÜViT durch 

weitere Prüfprogramme auch die anderen Aspekte inkl. 

organisatorischer Qualitätsbewertungen ab, so dass in diesem 

modularen TÜViT-Schema eine umfassende Sicherheits- und 

Qualitätsaussage zu einem Rechenzentrumsbetrieb dargestellt 

werden kann. 

Trusted Site Security analysiert die Netzsicherheit und die Güte der 

Systemhärtung, um die informationstechnischen Sicherheitsaspekte 

abzudecken. Durch Trusted Site ITSM wird die Betrachtung um die 

Sicht auf die Prozesse des IT Service Managements erweitert und 

der Nachweis erbracht, dass bei der Gestaltung der IT Service 

Prozesse die Kundenanforderungen berücksichtigt wurden. Die 

Prüfprogramme ergänzen sich durch ihren unterschiedlichen Fokus. 

Ihre Kombination führt zu einer ganzheitlichen Betrachtung und gibt 

dem Betreiber einen universellen Sicherheits- und Qualitätsnachweis 

in Form von drei Zertifikaten, die dokumentieren, dass 

alle Facetten berücksichtigt wurden und Sicherheitsmaßnahmen 

durchgängig auf hohem Niveau für alle drei Sicherheitseckpfeiler 

umgesetzt wurden. 



Abbildung 4: Zertifizierung von Rechenzentren 



8 Trusted Site Zertifizierungs-Familie (Auszug) 

Die TÜV Informationstechnik GmbH vergibt Trusted Site 

Prüfzeichen, die die Erfüllung von Sicherheits- und Qualitätseigenschaften 

für IT-Systeme bestätigen. 


© TÜV Informationstechnik GmbH 

Trusted Site — Security 

untersucht im Rahmen einer 

Sicherheitstechnischen Qualifizierung 

die IT-Sicherheit von (typischerweise 

vernetzten) IT-Installationen und 

bestätigt die Erfüllung von geeigneten 

Sicherheitszielen. 

Trusted Site — ITSM 

untersucht die IT Service 

Management-Prozesse des ITIL- 

Referenzmodells in Bezug auf die 

Qualität, Vollständigkeit und Implementierungstiefe 

in Bezug auf die in 

der ISO 20000 dargelegten Vorgaben 

für die Organisation. 

Trusted Site — Privacy 

untersucht Organisationen, Teilbereiche 

von Organisationen oder 

Businessprozesse in Bezug auf die 

Erfüllung von Datenschutzanforderungen 

und deren sicherheitstechnische 

Umsetzung. 

Trusted Site — PK-DML 

untersucht die technischen und 

organisatorischen Maßnahmen von 

Dokumentenmanagement-Lösungen 

sowie die Sicherheitsvorkehrungen für 

eine revisionssichere Archivierung. 

Die TÜViT-Prüfzeichen können bei übereinstimmender Laufzeit und 

gleichem Untersuchungsbereich im Unternehmen auch als Kombinationsprüfzeichen 

vergeben werden.

9 Änderungen von TSI V2.0 nach V3.0 

• Die Kriterien in den einzelnen Bewertungsbereichen sind 

gruppiert und neu nummeriert worden, um Kriterien zu einem 

Sachverhalt zusammenhängend darstellen zu können. 

• Die Anzahl der Kriterien wurde um etwa 10% erweitert. 

• Der Bereich ACV (Raumlufttechnische Anlagen) ist durch 

mehrere Anforderungen ergänzt worden. Sie adressieren die 

Energieversorgung der Kälteanlagen, die Verrohrung und ihre 

ordnungsgemäße Ausführung und Installation. 

• Für Neueinsteiger wurden erklärende Texte bei den 

Prüfanforderungen aufgenommen, so dass der Einstieg 

erleichtert wird. Dieser Erklärungsteil wurde zusätzlich ergänzt 

um Erläuterungen für die Forderungsklassen B und C, die die 

Qualität und den Umfang der Umsetzung für jeden Punkt 

spezifizieren: Dadurch können Planungshäuser Planungsziele 

genauer ableiten. 

• Teilweise sind Anforderungen zum besseren Verständnis 

umformuliert. 

• Der Auditzyklus (2 Jahre) und -zeitpunkt (6 Monate vor Ablauf 

des Zertifikats) sind so festgelegt, dass der Kunde bei 

festgestellten Abweichungen ausreichend Zeit erhält, diese zu 

korrigieren, während das alte Zertifikat noch gültig ist. 

• Der neue Katalog erlaubt die Zertifizierung von einer 

Rechenzentrumskombination im Sinne einer Dual Site. 



10 TSI Katalog V3.0 

Umfeld 

Nr. Kriterium / Subkriterium 

ENV01.01 Meidung von Hochwasser- oder Überschwemmungsgebieten 

ENV02.01 Meidung von explosionsgefährdeten Produktions- oder 

Lagerstätten bzw. Leitungen 

ENV03.01 Meidung von Betrieben mit Schadstoffausstoß 

ENV04.01 Meidung von elektromagnetischen Quellen 

ENV05.01 Meidung von Erschütterungsquellen 

ENV06.01 Meidung von Verkehrswegen mit erhöhtem 

Gefahrgutaufkommen 

ENV07.01 Meidung von anschlagsgefährdeten Objekten in der 

Nachbarschaft 

ENV08.01 Meidung von Orten in der Nähe von Großveranstaltungen 

und Zuwegen dorthin. 

ENV09.01 Außerhalb von Trümmerkegelbereichen höherer Bauwerke 

ENV10.01 Außerhalb von Staudammabfluss- und Lawinengebieten 



Baukonstruktion 


CON01.01 Unauffällige, nicht exponierte Lage innerhalb des Gebäudes 

CON01.02 Meidung von Gebäudebereichen mit Gefährdungspotenzial 

CON01.03 Zusammenhängender Sicherheitsbereich 

CON01.04 Sinnvolle funktionale Raumaufteilung mit 

brandschutztechnischer Trennung 

CON01.05 Ausreichende Dimensionierung bzgl. Fläche, Höhe, Statik 

CON01.06 Getrennte Zugänge für TGA-Personal und IT-Personal 

CON01.07 Baukörper zur alleinigen RZ-Nutzung 

CON01.08 Perimeter- bzw. Vorfeldabsicherung 

CON01.09 Keine Parkmöglichkeit an Außenwänden von IT-Räumen 

CON02.01 Meidung von Fremdmietern im Gebäude 

CON03.01 Äußerer Blitzschutz 

CON04.01 Massive, besonders feste Bauweise 

CON04.02 Einbruchhemmende Sicherheitsgrenze für die IT-Zone 

CON04.03 Absicherung der Technik-Zone 

CON04.04 Meidung von Fenster im Sicherheitsbereich 

CON04.05 Sabotage- und Durchstiegssicherung von Kanälen, 

Steigschächten & Außenöffnungen 

CON04.06 Zugangsschutz für Übergabepunkte von Versorgungsnetzen. 

CON05.01 Meidung brennbarer Ausbaustoffe und 

Einrichtungsgegenstände 

CON05.02 Absicherung Türen, Fenster, Abschlüsse gegen Brand und 

Rauch 

CON05.03 Ordnungsgemäße Ausführung von Brandschotts 

CON05.04 Einhaltung von Temperatur- und Luftfeuchtegrenzwerte bei 

Umgebungsbränden 

CON06.01 Konstruktiver Wasserschutz 

CON06.02 Meidung flüssigkeitsführender Leitungen in IT-Räumen 

CON07.01 Elektrotüröffner und E-Schlösser mit Notstrom-Versorgung 



CON08.01 Notbeleuchtung und ausgeschilderte Fluchtwege 

CON09.01 Gesicherte, redundante WAN-Trasse auf unterschiedlichen 

Wegen 

CON10.01 Geordnete Verlegung der Kabeltrassen 



Brandschutz, Melde- und Löschtechnik 


FIR01.01 Einsatz einer geeigneten Brandmeldeanlage nach Stand der 

Technik 

FIR01.02 Überwachung von IT-Bereich und Technikbereich 

FIR01.03 Überwachung angrenzender Räume 

FIR01.04 Ausreichende Melderdichte 

FIR01.05 Raumnutzungsbezogene Meldertypen 

FIR01.06 Einsatz von Brandfrühesterkennungssystemen 

FIR01.07 CO2 Handfeuerlöscher 

FIR02.01 Automatische Lösch- bzw. Brandvermeidungsanlage oder 

Ersatzlösung 

FIR02.02 Überwachung der Löschbatterien bzw. der 

Brandvermeidungsanlage 

FIR02.03 Löschbatterien bzw. Brandvermeidungsanlage in einem 

eigenen, zutrittsgeschützten Raum 

FIR02.04 Brandschutzklappen über BMA angesteuert 

FIR03.01 Wartung von BMA und BLA 



Sicherheitssysteme und -organisation 


SEC01.01 ZKA: Einsatz einer geeigneten Zutrittskontrollanlage nach 

Stand der Technik 

SEC01.02 ZKA: Schutz der Zentrale 

SEC01.03 ZKA: Sabotagegeschützte Verlegung und Überwachung der 

Leitungen 

SEC01.04 ZKA: Ein Stromausfall darf den Betrieb der ZKA nicht 

beeinträchtigen 

SEC01.05 ZKA: Einsatz geeigneter Leser 

SEC01.06 ZKA: Sicherheit des Identifikationsmerkmalträgers (IMT) 

SEC01.07 ZKA: Protokollierung der Zutritte 

SEC01.08 ZKA: Identifizierung des Benutzers über zweites Merkmal 

SEC01.09 ZKA: Realisierung von Zonenkonzepten 

SEC01.10 ZKA: Türoffenzeitüberwachung 

SEC02.01 EMA: Einsatz einer geeigneten Einbruchmeldeanlage nach 

Stand der Technik 

SEC02.02 EMA: Einsatz von geeigneten Meldern mit erhöhter 

Ansprechempfindlichkeit 

SEC02.03 EMA: Einsatz von Bewegungsmeldern auf den IT-Flächen 

SEC02.04 EMA: Überwachung von Technikräumen 

SEC03.01 Videoüberwachungsanlage 

SEC04.01 Perimeter bzw. Vorfeldüberwachung 

SEC05.01 Personenvereinzelung 

SEC06.01 ORG: Regelmäßige Wartung und Inspektion 

SEC06.02 ORG: Absicherung des Arbeitsplatzes für IMT-Administration 

SEC06.03 ORG: Sicherheitsdienstleister 

SEC06.04 ORG: Sicherheitsdienstleister vor Ort 



Energieversorgung 


POW01.01 Netzform TN-S 

POW02.01 Einspeisung durch das EVU mindestens über eine 

Ringleitung 

POW02.02 Geschützte Trassen gegen Fremdbeeinflussung und Brand 

POW02.03 IT-Verteiler besitzen eigene Zuleitung ohne Abzweig 

POW02.04 Hauptverteilung im Sicherheitsbereich ausschließlich zur 

Versorgung der IT 

POW02.05 Rackeinspeisung über eine gegen zufälliges Lösen 

gesicherte Verbindung 

POW03.01 Vorbeugender Brandschutz in Schalträumen 

POW04.01 A/B-Versorgung für redundante Netzteile 

POW05.01 Überspannungsschutz für die Elektroversorgung 

POW05.02 Überspannungsschutz für Kommunikations- und 

Signalleitungen 

POW06.01 Absicherung der Steuerung für Leistungsschalter 

POW07.01 Erdung aller metallischer Gegenstände auf möglichst kurzem 

Wege 

POW08.01 Differenzstromüberwachung für sinnvolle Segmente 

POW08.02 Vermeidung zentraler Fehlerstromschutzeinrichtungen 

POW08.03 Powermonitoring 

POW09.01 USV: Zentrale USV 

POW09.02 USV: Externer Bypass in einem anderen Brandabschnitt 

POW09.03 USV: Zwei zentrale USVs in unterschiedlichen 

Brandabschnitten 

POW09.04 USV: Trennung von USV und Batterien in unterschiedliche 

Brandabschnitte 

POW09.05 USV: Belüftung und Temperierung des Batterieraums 

POW09.06 USV: Sichere Klimatisierung des USV-Raums inkl. NEA- 

Berechtigung 

POW09.07 USV: Meidung wartungsfreier Batterien 

POW09.08 USV: Auslegung einer statischen USV-Anlage mit 

Leistungsreserven 

POW09.09 USV: Dimensionierung Batterieanlage für vollständigen 

Shutdown der IT 



POW10.01 NEA: Netzersatzanlage 

POW10.02 NEA: Redundanzen 

POW10.03 NEA: Vorbereitung und vertragliche Absicherung für mobile 

Netzersatzanlage 

POW10.04 NEA: Auslegung der NEA mit Leistungsreserven 

POW10.05 NEA: Tankreserve für mindestens 48 Std. 

POW10.06 NEA: Aufgeteilte Tankanlage 

POW10.07 NEA: Regelmäßige Funktionskontrolle 

POW10.08 NEA: Absicherung der Umschalteinrichtung 

POW11.01 ORG: Selektivitätsberechnung 

POW11.02 ORG: Überwachung der Betriebszustände 

POW11.03 ORG: Störmeldungen an eine ständig besetzte Stelle 

POW11.04 ORG: Regelmäßige Wartung der elektrischen Anlagen 

POW11.05 ORG: Volllasttest bei Inbetriebnahme von Neuanlagen 



Raumlufttechnische Anlagen 


ACV01.01 Einhaltung von betriebssicheren Temperatur- und 

Luftfeuchtewerten in IT-Räumen 

ACV01.02 Ausreichende Kühlung/Belüftung technischer Komponenten 

ACV02.01 Gefährdungsfreie und luftströmungsoptimale 

Geräteaufstellung 

ACV03.01 Leckagesicherung und -überwachung in IT- und elektrischen 

Betriebsräumen 

ACV04.01 Redundante Auslegung in allen Anlageteilen 

ACV04.02 Ausführung singulärer passiver Elemente in erhöhter 

Qualitätsstufe 

ACV04.03 Auslegung für Wartungen ohne Betriebsunterbrechung 

ACV05.01 Feinstaubfilter in ULK und RLT 

ACV05.02 Verhindern des Eindringens von Rauch und Staub in IT- 

Räume 

ACV05.03 Absicherung der Außenluftzuführung 

ACV06.01 Örtliche Trennung der Komponenten in der Kältezentrale 

ACV07.01 Sabotagesicherung der Rückkühlwerke 

ACV07.02 Ausreichende Dimensionierung und betriebssichere 

Aufstellung der Rückkühlwerke 

ACV08.01 Plankonforme Auslegung und wartungsfreundliche 

Aufstellung der Kälteanlagen 

ACV09.01 Sichere elektrische Versorgung der Komponenten der 

Klimatisierung 

ACV09.02 Sichere Wasserversorgung von Rückkühlwerken mit 

Wasserbesprühung 

ACV09.03 Steuerungen und Regelungen ohne Single Point of Failure 

ACV10.01 Überwachung der Betriebszustände 

ACV10.02 Unabhängige Überwachung von Temperatur und Feuchte 

ACV11.01 ORG: Nachweis zu Prüfungen von Dichtheit, 

Korrosionsschutz und Dämmung 

ACV11.02 ORG: Regelmäßige Wartung der Komponenten der 

Klimatisierung 

ACV11.03 ORG: Störmeldungen an eine ständig besetzte Stelle 



Organisation 


ORG01.01 Trennung IT-Produktion und IT-Archivierung / IT-Sicherheit 

ORG02.01 Ausschilderung des Rauchverbots 

ORG03.01 Regelmäßige Sicherheitsbegehungen 

ORG04.01 Ordnungsgemäßer Betrieb 

ORG05.01 Zutrittsregelung und -kontrolle 

ORG06.01 Abstimmungsverfahren zwischen IT-Betrieb und 

Facilitymanagement bei Systemerweiterungen 

ORG06.02 Übergreifende und vollständige Funktionstests bei 

Erstinbetriebnahme 

ORG07.01 Angepasste Wartungsverträge für die einzelnen Gewerke 

ORG08.01 Regelungen für Wartungs- und Reparaturarbeiten 

ORG09.01 Sicherheitsunterweisung des Personals 

ORG10.01 Vertretungsregelungen 

ORG11.01 WAN Versorgung über mind. 2 Provider 

ORG12.01 Meidung von Lagehinweisen auf das Rechenzentrum 



Dokumentation 


DOC01.01 Sicherheitskonzept / Dokumentation von 

Infrastrukturmaßnahmen 

DOC01.02 Risikoanalyse Umfeld 

DOC01.03 Alarmplan / Notfallkonzept 

DOC01.04 Brandschutzkonzept 

DOC02.01 Gelände- und Gebäudepläne 

DOC02.02 Raumgrundrisspläne zum IT-Bereich und Technikbereich 

DOC03.01 Trassenpläne der Hauptversorgungswege Elektro / Kälte / 

WAN 

DOC04.01 Strangschema Elektroversorgung 

DOC04.02 Rohr- und Instrumentierungsplan Kälte 

DOC04.03 Übersichten Brandmeldelinien und -melder 

DOC04.04 Übersicht Lösch- und Brandvermeidungseinrichtungen 

DOC04.05 Pläne zu Sicherheitseinrichtungen EMA/ZKA/Video 

DOC05.01 Wartungspläne 

DOC06.01 Betriebsanweisungen 

DOC07.01 Raumliste 

DOC08.01 Nachweis über die Durchführung von Leistungs- und 

Funktionstests bei Inbetriebnahme 



11 Über TÜViT 

TÜV Informationstechnik GmbH – kurz TÜViT – ist ein 

Unternehmen der TÜV NORD Gruppe, deren Hauptsitz in 

Hannover ist. TÜV NORD beschäftigt über 10.000 Mitarbeiter 

weltweit und ist neben dem nationalen Markt in 70 Staaten 

Europas, Asiens und Amerikas vertreten. Während der 140-jährigen 

TÜV-Tradition hat TÜV NORD technische Tests und Prüfungen in 

zahlreichen Bereichen durchgeführt und entwickelt. Die TÜV NORD 

Gruppe ist nach ihren Grundsätzen verpflichtet, ihre Dienstleistungen 

unabhängig sowie neutral anzubieten und durchzuführen. 

Als Vertrauensvermittler für IT-Sicherheit und IT-Qualität hat sich 

TÜViT auf die Bewertung, Prüfung und Zertifizierung von IT- 

Produkten, IT-Systemen und IT-Prozessen aller Art spezialisiert 

sowie auf die Überprüfung der Einhaltung von speziellen 

Anforderungen, Gesetzen und Richtlinien (eCompliance). 

Basierend auf allgemeinen Anforderungen und nationalen sowie 

internationalen Standards und Normen entwickelt TÜViT Bewertungen 

für Hersteller, Anwender und Benutzer. Dabei nutzt TÜViT 

anerkannte Verfahren und bietet darüberhinausgehende Beratungen 

im Bereich der Informationstechnologie an. 

TÜViT ist von nationalen und internationalen Organisationen und 

Behörden für die Bereiche IT-Sicherheit und IT-Qualität 

akkreditiert. Akkreditierungen sind die Anerkennung der fachlichen 

Kompetenz einer Prüfstelle durch eine übergeordnete Organisation. 

Die Akkreditierungen werden durch regelmäßig stattfindende Audits 

bestätigt und weisen somit die fachliche Kompetenz der TÜViT auf 

diesen Gebieten nach. 



Bundesamt für Sicherheit in der Informationstechnik 

• Anerkennung nach DIN EN ISO/IEC 17025:2005 für Prüfungen 

nach ITSEC/ITSEM/CC/CEM sowie BSI-TR 03121-1, BSI-TR 

03121-3, BSI-TR 03132, BSI TR-03104 und BSI TR-03105 Teil 

3 und Teil 5 

• Lizenzierte Auditoren für IT-Grundschutz und ISO/IEC 27001 

• Lizenzierte Auditoren für De-Mail 

Deutsche Akkreditierungsstelle 

• Prüflabor für IT-Qualität: Kompetenz für Prüfungen in den 

Bereichen IT-Ergonomie und IT-Sicherheit, akkreditiert nach 

DIN EN ISO/IEC 17025:2005 

• Prüfstelle IT-Sicherheit: Akkreditierung für Prüfungen nach 

ITSEC/ITSEM/CC/ISO 15408/CEM 

• Prüfstelle IT-Ergonomie: Akkreditierung für Evaluationen 

nach DIN EN ISO 9241-110, DIN EN ISO 9241-11, DIN 

ISO/IEC 25051, DIN EN ISO 13407 und ISO 9241-210 

• Zertifizierungsstelle: Kompetenz für Zertifizierungen von 

Produkten in dem Bereich IT-Sicherheit, akkreditiert nach DIN 

EN 45011 

Bundesnetzagentur 

• Bestätigungsstelle nach SigG/SigV für die Bestätigung von 

Produkten für qualifizierte elektronische Signaturen 

• Bestätigungsstelle nach SigG/SigV für die Bestätigung der 

Umsetzung von Sicherheitskonzepten für Zertifizierungsdiensteanbieter 

Die Deutsche Kreditwirtschaft 

• Gelistete Prüfstelle für elektronischen Zahlungsverkehr 

Unabhängiges Landeszentrum für Datenschutz Schleswig- 

Holstein 

• Sachverständige Prüfstelle für IT-Produkte 

(rechtlich/technisch) 

• EuroPriSe Gutachter (rechtlich/technisch) 



Information-technology Promotion Agency, Japan 

• Prüfstelle IT-Sicherheit: Akkreditierung für Prüfungen nach 

CC/CEM 

National Institute of Technology and Evaluation, Japan 

• Prüfstelle IT-Sicherheit: Akkreditierung nach DIN EN ISO/IEC 

17025 in dem Bereich der IT / Common Criteria Evaluationen 

(Lab Code: ASNITE0019T) 

National Institute of Standards and Technology 

National Voluntary Laboratory Accreditation Program, USA 

• Prüfstelle IT-Sicherheit (NVLAP Lab Code: 200636-0) für 

Cryptographic Module Testing (Scopes 17BCS, 17CAV/01, 

17CMH1/01, 17CMH1/02, 17CMH2/01, 17CMH2/02, 

17CMS1/01, 17CMS1/02, 17CMS2/01, 17CMS2/02) und 

Biometrics Testing 

Europay, MasterCard and Visa, USA/Großbritannien/Japan 

• Full Service Laboratory für Prüfungen von ICs und Chipkarten 

nach EMVCo Sicherheitsrichtlinien 

Visa, USA 

• Test House zur Durchführung von Visa Chip Product 

Sicherheitsevaluationen 

MasterCard, Großbritannien 

• Akkreditiert zur Durchführung von CAST (Compliance 

Assessment and Security Testing) Evaluationen 

Betaalvereniging Nederland, Niederlande 

• Evaluation Laboratory 

Im Segment der Prüfleistungen bekräftigt TÜViT als unabhängige 

Instanz das angemessene Vertrauen in die Qualität, Sicherheit und 

Wirtschaftlichkeit und fördert letztendlich die Akzeptanz von 

Produkten bzw. Systemen sowie deren Regelbetrieb in 

Kreditwirtschaft, Industrie und Verwaltung. 



In nationalen und internationalen Forschungsprojekten und 

Gremien gestaltet TÜViT den Stand der Technik aktiv mit. Hierzu 

gehören u. a. die Mitgestaltung von Auditierungs- und 

Zertifizierungsverfahren nach IT-Grundschutz des BSI und ISO/IEC 

27001. Für beide Verfahren verfügt TÜViT über BSI-lizenzierte 

Auditoren. 

TÜViT betreibt selbst ein wirksames Qualitätsmanagementsystem 

und Umweltmanagement, welche nach ISO 9001:2008 bzw. 

ISO 14001:2004 zertifiziert sind und erfüllt somit die hohen 

Ansprüche und Erwartungen ihrer Kunden. 

Des Weiteren bietet TÜViT umfassende Trainings und Seminare für 

alle eCompliance Themen an. 



12 Glossar und Abkürzungen 

ASP Application Service Provider 

BLA Brandlöschanlage 

BMA Brandmeldeanlage 

BNetzA Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, 

Post und Eisenbahnen 

BSI Bundesamt für Sicherheit in der Informationstechnik 

DIM Dokumentation der Infrastrukturmaßnahmen 

EMA Einbruchmeldeanlage 

GMA Gefahrenmeldeanlage 

ISMS Informationssicherheitsmanagementsystem 

ISP Internet Service Provider 

ITIL IT Infrastructure Library 

HV Hauptverteilung 

Infrastrukturkomponenten 

Unter Infrastrukturkomponenten werden alle technischen 

Gebäudeerweiterungen verstanden, wie zum Beispiel NEA, 

EMA, BLA, BMA, USV, ZKA, etc. 

NEA Netzersatzanlage zur Notstromversorgung 

NSHV Niederspannungshauptverteilung 

RS Rauchschutz 

RZ Rechenzentrum 

Sicherheits 

bereich 

(SB) 

Das Untersuchungsobjekt, dessen Verfügbarkeit sichergestellt 

werden soll unter Anwendung der Verfahren und Maßnahmen 

für eine unterstützende und sichernde Infrastruktur 

SigG Signaturgesetz 

Siko Sicherheitskonzept 

SPoF Single Point of Failure 

TK-Anlage Telekommunikations- / Nebenstellenanlage 

TN-S-Netz Besondere Auslegung der Elektroinstallation im Hinblick auf 

die Erdverbindung. Für die Schutzfunktion ist beim TN-S-Netz 

ein Leiter vorgesehen, der vom Neutralleiter oder dem 

geerdeten Außenleiter getrennt ist. 

TSI Trusted Site Infrastructure 

ULK Umluftkühlgerät 

USV Unterbrechungsfreie Stromversorgung 

UV Unterverteilung 

ZDA Zertifizierungsdiensteanbieter 

ZKA Zutrittskontrollanlage 



13 Ansprechpartner 

Dipl.-Inform.Joachim Faulhaber 

IT Infrastructure 

Stellv. Bereichsleiter 

TÜV Informationstechnik GmbH 

Unternehmensgruppe TÜV NORD 

Langemarckstraße 20 

45141 Essen 

Tel.: +49 201 8999-584 

Fax: +49 201 8999-555 

j.faulhaber@tuvit.de 

www.tuvit.de 

Dr. Christoph Sutter 

IT Infrastructure 

Bereichsleiter 

TÜV Informationstechnik GmbH 

Unternehmensgruppe TÜV NORD 

Langemarckstraße 20 

45141 Essen 

Tel.: +49 201 8999-582 

Fax: +49 201 8999-555 

c.sutter@tuvit.de 

www.tuvit.de 

Version: 3.10

Sichere Infrastrukturen für IT-Systeme - TÜViT

Erfolgreiche ePaper selbst erstellen

Template löschen?

Als Template speichern?