seznam otázek se ptá na fyzické zabezpečení serverovny nebo datového centra

Fyzická bezpečnost spadá pod zásady přístupu, nikoli pod samostatné téma

Otázka týkající se fyzické bezpečnosti serverovny nebo datového centra je obvykle rozpracováním širšího bodu: zásady přístupu, včetně správy firemních prostředkůKdo má fyzický přístup k zařízení, může totiž získat i logický přístup — proto se to obvykle nachází v téže kapitole jako správa přístupu, nikoli jako samostatné téma. Odpovídejte na základě toho, co skutečně existuje: systém s průkazkami nebo klíči, kamerový dohled, kdo má klíč nebo průkazku a zda se to zaznamenává. Pokud se serverovna nachází u externího poskytovatele datového centra, odpověď často odkazuje na jejich opatření, nikoli na něco, co společnost sama spravuje.

Je-li hostování outsourcováno, otázka se blíží správě dodavatelských řetězců: požadavky, které společnost klade na své vlastní dodavatele je pak kontaktním bodem, s dokladem v podobě certifikátu datového centra nebo zprávy SOC 2 od poskytovatele, nikoli vlastním popisem zámků a kamer. Nemá-li společnost vlastní serverovnu a vše běží v cloudu, pak je "není relevantní, služby běží u [poskytovatele], viz jejich certifikace" zcela správná odpověď — pokud je to také skutečně případ. Chybí-li formální doklad, ale existuje skutečné opatření (například: serverovna v uzavřené skříni v budově s kontrolou přístupu), pak je to také správná odpověď — pouze bez přiloženého certifikátu.

Odkud to pochází: Příloha A a článek 21 odst. 2

ISO/IEC 27001 Příloha A pojmenovává fyzickou a environmentální bezpečnost jako vlastní opatření kontroly, odlišné od logické kontroly přístupu — proto se na ni auditor ptá zvlášť, i když v Supplia spadá pod stejný spis dodavatelského řetězce. Článek 21 odstavec 2 směrnice NIS2 fyzickou bezpečnost jako samostatný bod mezi deseti opatřeními neuveřejňuje, ale zásady kontroly přístupu a ochrana obchodních prostředků tam spadají — fyzický přístup k serverovně je jejich praktickým naplněním. V rámci zákona o kybernetické bezpečnosti, nizozemské implementace, která nabyla účinnosti 15. srpna 2026, se to zásadně nemění: deset opatření se vrací, fyzická bezpečnost zůstává součástí zásad přístupu místo samostatného požadavku.