Как отговарям на въпроса относно физическата безопасност на нашия център за данни

Физическата сигурност е един от десетте мерки

Физическата сигурност на сървъри и центрове за данни попада под член 21, параграф 2 на NIS2, който изброява десетте категории мерки, които един субект трябва да предприеме. Самата директива не назовава "физическа сигурност" като отделна точка, а я включва под сигурността на информационните системи и активите — същата категория, в която также попада политиката за достъп и управлението на активите попада. Ако въпросникът пита конкретно за контрол на достъпа до сградата, видеонаблюдение или климатна и пожарна безопасност на сървърната зала, фактически се намираш в същия въпрос като логическата сигурност на достъпа, само че физическият вариант на него.

Ако разполагаш със собствена сървърна зала, отговорът често може да бъде конкретно обоснован: системи със значки или ключове, регистър на посетителите, камери и договор за поддръжка на климатизирането са обичайни доказателства. Ако инфраструктурата ти работи при облачен доставчик или партньор за коразполагане, въпросът се измества: тогава не е дума за твоята физическа сигурност, а за тази на твоя доставчик, и това попада под изискванията за сигурност, които постављаш пред собствените си доставчици. В този случай обичайния отговор е справка към сертификат или атестат на доставчика (често декларация ISO 27001 или доклад SOC 2), а не собственото описание на сграда, която не управляваш. Ако нямаш този доказателствен документ под ръка, тогава "не, още не е налично" с обяснение, че се иска от доставчика, е фактически правилно — по-добре от предположение.

Където това е в Приложение A на ISO 27001

ISO/IEC 27001 разработва физическата безопасност по-конкретно от NIS2: Приложение A съдържа отделна категория мерки за контрол на физическата среда, с теми като зони за достъп, защита срещу физически заплахи и защита на оборудване. Предприятията, които вече, е сертифицирано по ISO 27001 могат за този въпрос често да препращат директно към декларацията за приложимост (Statement of Applicability), в която тези мерки са вече разработени. За нидерландски субекти, които самите ще подпаднат под Закона за кибербезопасност, тази категория е една от десетте, за които надзорът е възможен веднага щом този закон — преводът на NIS2 — влезе в сила на 15 август 2026.