hvordan udfylder jeg spørgsmålet om fysisk sikring af vores datacenter

Fysisk sikring falder under de ti foranstaltninger

Fysisk sikring af servere og datacentre falder under artikel 21, stk. 2 i NIS2, som opregner de ti kategorier af foranstaltninger, som en enhed skal træffe. Direktivet selv nævner ikke "fysisk sikring" som et særskilt punkt, men placerer det under sikring af informationssystemer og erhvervsaktiver — samme kategori som adgangspolitikken og styringen af virksomhedsressourcer også falder ind under. Hvis listen specifikt spørger om adgangskontrol til bygningen, kamerasikring eller klima- og brandsikring af serverrummet, befinder du dig faktisk i det samme spørgsmål som den logiske adgangssikring, blot den fysiske variant af det.

Hvis du har eget serverrum, kan svaret ofte konkret underbygges: badge- eller nøglesystemer, besøgende registrering, kameraer og en vedligeholdelseskontrakt for klimastyring er almindelige dokumenter. Hvis din infrastruktur kører hos en cloudleverandør eller co-location-partner, forskyder spørgsmålet sig: så handler det ikke om din fysiske sikring, men om din leverandørs, og det hører under de sikringskrav, du stiller til dine egne leverandører. I så fald er det sædvanlige svar en henvisning til leverandørens certifikat eller attestation (ofte en ISO 27001-erklæring eller en SOC 2-rapport), ikke en egen beskrivelse af en lokalitet, som du ikke administrerer. Hvis du ikke har denne dokumentation til rådighed, er "nej, endnu ikke tilgængelig" med en forklaring om, at det bliver anmodet hos leverandøren, faktisk korrekt — bedre end en antagelse.

Hvor det står i Annex A af ISO 27001

ISO/IEC 27001 specificerer fysisk sikkerhed mere konkret end NIS2: Annex A indeholder en separat kategori af kontrolforanstaltninger for det fysiske miljø, med emner som adgangszoner, beskyttelse mod fysiske trusler og sikring af udstyr. Virksomheder, der allerede følger dette skema ISO 27001-certificeret kan for dette spørgsmål ofte henvise direkte til erklæringen om anvendelighed (Statement of Applicability), hvor disse foranstaltninger allerede er udarbejdet. For danske enheder, der selv falder ind under Cybersikkerhedsloven, er denne kategori en af de ti, som der kan føres tilsyn med, når denne lov — gennemførelse af NIS2 — træder i kraft den 15. august 2026.