kunde spørger om den fysiske sikring af vores serverrum

Fysisk serverrum falder under adgangspolitik, ikke under kontinuitet

Spørgsmålet om fysisk sikring af serverrummet hører til under adgangskontrol: hvem må komme ind, hvordan logges det, og hvordan er forvaltningen af virksomhedsmidler ordnet. Kunder spørger typisk om dette separat fra deres spørgsmål om sikkerhedskopier og nødforanstaltninger, men i de fleste dossier er begge dele omfattet af det samme politikdokument. Typiske underspørgsmål: badge- eller nøglestyring, kameraovervågning, klimakontrol, brandbekæmpelse, og om rummet forvaltes internt eller hos en datacenterleverandør.

Hvis serverrummet er placeret hos en ekstern datacenterleverandør, er svaret ofte ikke "ja, vi ordner dette" men "vores leverandør ordner dette, og vi har kontrolleret det" — det berører de krav, som virksomheden stiller til sine egne leverandører. Hvis ketendossieret ikke har et underliggende bevisstykke hertil — et ISO 27001-certifikat fra leverandøren, en SOC 2-rapport eller egen inspektionsrapport — er "nej" eller "delvis" det ærlige svar, også selv om den fysiske sikring faktisk er i orden. Uden kilder foreslås der ikke et "ja" her. Hvis der ikke er en separat fysisk-sikringspolitik, men emnet alligevel er nævnt i den generelle adgangspolitik, er det ofte tilstrækkeligt grundlag for en forklaring ved svaret i stedet for et nakent "nej".

Kan føres tilbage til artikel 21 stk. 2 NIS2 og Annex A.7 i ISO 27001

Fysisk og miljømæssig sikring er et af de ti foranstaltninger i artikel 21 stk. 2 i NIS2-direktivet og gennemgår som eget kapitel (A.7, "Physical and environmental security controls") i Annex A i ISO/IEC 27001. Virksomheder, der allerede er påviselig ISO 27001-certificeret kan ofte fremvise det certifikat direkte som bevisstykke i stedet for at dokumentere de fysiske foranstaltninger separat. For virksomheder, der selv kommer under Cybersikkerhedsloven, når den træder i kraft den 15. august 2026, ligger der her på sigt en egen forpligtelse; indtil da er dette for de fleste toeleverandører stadig blot et spørgsmål fra deres kunde, ikke en egen lovpligtig forpligtelse.