spørgeskemaet spørger om fysisk sikring af serverrum eller datacenter

Fysisk sikring falder ind under adgangspolitik, ikke under et særskilt emne

Spørgsmålet om fysisk sikring af serverrummet eller datacenteret er normalt en udformning af et bredere punkt: adgangspolitikken, herunder styringen af virksomhedsaktiver. Den, der fysisk kan få adgang til udstyr, kan nemlig også få logisk adgang — derfor står dette normalt i samme afsnit som adgangskontrol, ikke som et særskilt emne. Svar på grundlag af, hvad der rent faktisk eksisterer: badge- eller nøglesystem, kameraovervågning, hvem der har en nøgle eller kort, og om det logges. Hvis serverrummet er hos en ekstern datacenterleverandør, er svaret ofte en henvisning til deres foranstaltninger, ikke til noget, som virksomheden selv administrerer.

Hvis hostingen er outsourcet, ligger spørgsmålet tæt op ad supply chain management: de krav, som virksomheden stiller til sine egne leverandører er så udgangspunktet, med datacentercertifikatet eller SOC 2-rapporten fra leverandøren som bevis, ikke en egen beskrivelse af låse og kameraer. Hvis virksomheden ikke har eget serverrum og alt kører i skyen, så er "ikke relevant, tjenester køres hos [leverandør], se deres certificering" et fuldt svar — forudsat at det også er tilfældet. Hvis der mangler et formelt bevis, men der er en faktisk foranstaltning (f.eks. serverrum i lukket kabinet i en bygning med adgangskontrol), så er det også et gyldigt svar — blot uden certifikat ved siden af.

Hvor dette stammer fra: Annex A og artikel 21, stk. 2

ISO/IEC 27001 Annex A nævner fysisk og miljøbeskyttelse som egen kontrolforanstaltning adskilt fra logisk adgangskontrol — derfor spørger en revisor særskilt om det, selvom det hos Supplia falder under samme supply chain-dossier. Artikel 21, stk. 2 i NIS2-direktivet nævner ikke fysisk sikring som et særskilt punkt blandt de ti foranstaltninger, men adgangskontrolpolitik og sikring af forretningsaktiver falder ind under det — fysisk adgang til serverrummet er en praktisk udformning heraf. Under Cybersikkerhedsloven, den danske omfatning, der træder i kraft den 15. august 2026, ændrer det sig ikke fundamentalt: de ti foranstaltninger vender tilbage, fysisk sikring forbliver en del af adgangskontrol i stedet for at være et selvstændigt krav.