Fragensammlung fragt nach physischer Sicherung von Serverraum oder Rechenzentrum

Physische Sicherheit fällt unter Zugangsrichtlinie, nicht unter ein eigenständiges Thema

Die Frage nach der physischen Sicherung des Serverraums oder des Rechenzentrums ist normalerweise eine Ausarbeitung eines breiteren Punkts: die Zugriffskontrollrichtlinie, einschließlich der Verwaltung von Betriebsmitteln. Wer physisch an die Geräte herankommt, kann nämlich auch logischen Zugang erhalten — daher steht dies normalerweise im gleichen Absatz wie Zugriffsverwaltung, nicht als eigenständiges Thema. Antworten Sie auf der Grundlage von dem, was tatsächlich vorhanden ist: Badge- oder Schlüsselsystem, Videoüberwachung, wer einen Schlüssel oder eine Karte hat, und ob dies protokolliert wird. Befindet sich der Serverraum bei einem externen Rechenzentrumsbetreiber, dann ist die Antwort oft ein Verweis auf dessen Maßnahmen, nicht auf etwas, das das Unternehmen selbst verwaltet.

Wenn das Hosting ausgelagert ist, liegt die Frage nahe bei der Lieferantenverwaltung: die Anforderungen, die das Unternehmen an seine eigenen Lieferanten stellt ist dann der Anknüpfungspunkt, mit als Beleg das Rechenzentrumszertifikat oder der SOC-2-Bericht des Lieferanten, nicht eine eigene Beschreibung von Schlössern und Kameras. Hat das Unternehmen keinen eigenen Serverraum und alles in der Cloud, dann ist "nicht zutreffend, Dienste laufen bei [Lieferant], siehe deren Zertifizierung" eine vollständige Antwort — vorausgesetzt, das ist auch wirklich so. Fehlt ein formales Beleg, aber es gibt eine tatsächliche Maßnahme (zum Beispiel: Serverraum in geschlossenem Schrank in einem Gebäude mit Zugriffskontrolle), dann ist das auch eine gültige Antwort — nur ohne Zertifikat dabei.

Woher das kommt: Annex A und Artikel 21 Absatz 2

ISO/IEC 27001 Annex A nennt physische und Umgebungssicherheit als eigenständige Kontrollmaßnahme, getrennt von logischer Zugriffskontrolle — daher fragt ein Auditor danach separat, auch wenn es bei Supplia unter dasselbe Kettenarchiv fällt. Artikel 21 Absatz 2 der NIS-2-Richtlinie nennt physische Sicherheit nicht als separaten Punkt unter den zehn Maßnahmen, aber Zugriffskontrollrichtlinien und Sicherung von Unternehmensanlagen fallen darunter — physischer Zugang zum Serverraum ist eine praktische Umsetzung davon. Nach dem Cybersicherheitsgesetz, der niederländischen Umsetzung, die am 15. August 2026 in Kraft tritt, ändert sich daran im Grundsatz nicht: die zehn Maßnahmen kehren zurück, physische Sicherheit bleibt ein Teil des Zugangsmanagements statt einer eigenständigen Anforderung.