Im Rahmen einer Neubeschaffung muss geklärt werden, wie Ausschreibung und Projektabwicklung vonstattengehen sollen. In der Regel wird in Deutschland die HOAI, die Honorarordnung für Architekten und Ingenieure, herangezogen. Sicherheitstechnik stellt darin einen Teil der technischen Ausrüstung eines Gebäudes dar, im Speziellen von Fernmelde- und informationstechnischen Anlagen. Ähnlich verhält es sich bei der Gebäudeautomation. Diese fällt ebenfalls in diesen Teil der HOAI.
Die zu erbringenden Leistungen können den Anlagen zur HOAI entnommen werden. Diese teilen sich auf in Grundleistungen und Besondere Leistungen innerhalb eines Leistungsbildes für die jeweilige Leistungsphase:
- LPH 1 Grundlagenermittlung
- LPH 2 Vorplanung (Projekt- und Planungsvorbereitung)
- LPH 3 Entwurfsplanung (System- und Integrationsplanung)
- LPH 4 Genehmigungsplanung
- LPH 5 Ausführungsplanung
- LPH 6 Vorbereitung der Vergabe
- LPH 7 Mitwirkung bei der Vergabe
- LPH 8 Objektüberwachung (Bauüberwachung) und Dokumentation
- LPH 9 Objektbetreuung
Beispielhaft für die Ausführungsplanung kann als Grundleistung das „Fortschreiben der Berechnungen und Bemessungen zur Auslegung der technischen Anlagen und Anlagenteile“ und für Besondere Leistungen das „Anfertigen von allpoligen Stromlaufplänen“ genannt werden. Somit sind die baulichen physischen Themen, zu denen die Sicherheitstechnik grundsätzlich in Beziehung steht, über die HOAI gut abgedeckt und kalkulierbar. Doch wie schaut es aus mit den nicht greifbaren Themen wie logische Sicherheit?
Man könnte vermuten, dass informations- und kommunikationstechnische (IKT) Themen ebenfalls über die HOAI abgedeckt werden, heißt es doch „Fernmelde- und informationstechnische Anlagen“ im Teil zur technischen Gebäudeausrüstung. Dem ist allerdings nicht so.
Folgende Leistungen der Informationssicherheit werden in keiner der Phasen gewürdigt:
- IT-Lösungskonzept erstellen
- Schutzbedarfseinstufung des Systems
- Anforderungsdefinitionen einer Risikobewertung unterziehen
- Erarbeitung der zu erbringenden Härtungsmaßnahmen
- Lastenheft Informationssicherheit
- Differenzierung von Maßnahmen in technischer bzw. organisatorischer Hinsicht
- Begleitung der Pflichtenhefterstellung
- Iterationsprozesse durch veränderte Lösungskonzepte seitens der Bieter
- Schwachstellenanalyse und Penetrationstests durchführen
Die genannten Anforderungen zur Informationssicherheit werden auf Basis eines Lastenheftes erbracht, das Funktionalitäten beschreibt, die über eine oder mehrere Software-Applikationen und entsprechende Hardware erbracht werden. Folgende Punkte werden ebenfalls in der HOAI nicht eindeutig gewürdigt:
- Ausgangssituation und Zielsetzung
- Produkteinsatz und Produktvorgaben
- Funktionale Anforderungen
- Nicht-Funktionale Anforderungen
- DV-Konzept
- Systemarchitektur
- Schnittstellen
- Standards
- Lieferumfang
- Leistungsabgrenzung
- Abnahmekriterien auf Basis der Anforderungen
- Durchführung von Softwaretests inklusiver iterativer (schrittweise sich wiederholender) Prozesse zur Fehlerbeseitigung
Die Anforderungen an die IT sowie die Definition der Maßnahmen zur Erbringung der Informationssicherheit stellen eng verzahnte und voneinander abhängige Arbeitspakete dar, die aus der Erfahrung heraus einen hohen Anspruch an Ressourcen (Zeit, Personal) stellen.
Betrachtet man nun im Rahmen der Neubeschaffung von Sicherheitstechnik das Projekt in seiner Gesamtheit, so besteht neben der Dokumentation von Grundrissen, Schnitten, Ansichten und Betriebsanleitungen ein erhöhter Dokumentationsaufwand für die IT-Anforderungen und damit einhergehend auch für die Sicherheitsanforderungen an die IT. Diese haben zudem direkte Auswirkungen auf Service-, Wartungs- und Instandhaltungsverträge. Denn diese werden ebenfalls durch die Maßnahmen wie Softwarepflege, IT-Sicherheitsmaßnahmen und damit einhergehende weiterführende Dokumentation ebenfalls umfangreicher.
Und dies betrifft alle sicherheitstechnischen Gewerke, die über IP (Internet Protocol), also ein Ethernet, kommunizieren und für die eine Bedienoberfläche von einem PC aus aufgerufen werden kann.
So besteht aktuell eine Videoüberwachungsanlage nur noch aus Videokameras mit Netzwerkanschluss, Switchen, Servern, Clients und Speichersystemen, Zutrittskontrollanlagen aus Tür-Controllern und I/O-Modulen mit Netzwerkanschluss, Switchen, Servern und Clients. Einzig Brand- und Einbruchmeldeanlagen stellen in der Regel noch autarke Systeme dar, die allerdings über Physical Information Management Systeme ebenfalls in die IP- bzw. IT-Welt gehoben werden.
Zukünftig ist davon auszugehen, dass alle sicherheitstechnischen Endgeräte direkt über eine strukturierte, anwendungsneutrale Kommunikationskabelanlage (Ethernet, LAN, Local Area Network) mit Servern kommunizieren werden, auf denen eine oder mehrere Softwareapplikationen zur Erfassung, Analyse und Aufbereitung der erzeugten Daten laufen werden. Ähnlich wird es sich mit der Gebäudeautomation verhalten, die zudem wesentlich enger ist als heute der Fall, mit der Sicherheitstechnik interagieren wird. Denn Ziel werden intelligente, smarte und energieeffiziente Gebäude sein, die auch dem Sicherheitsgedanken an Safety und Security Rechnung tragen.
Fazit
Bei der Neubeschaffung von Sicherheitstechnik oder auch von Gebäudeautomation darf es nicht heißen, „machen wir ein Bauprojekt oder ein IT-Projekt?“ – es ist beides notwendig. Der physische Teil kann nach HOAI abgedeckt werden, darüber hinaus sind für den logischen (IT-)Teil weitere, zuvor genannte Leistungen zu kalkulieren, die einerseits in der Planungsphase zu erbringen sind, aber auch im Rahmen des Lastenhefts beschrieben und anschließend durch den Auftragnehmer in Form eines Pflichtenhefts, der Dokumentation und der fachlichen Ausführung zu erbringen und zu honorieren sind.
