Kunde fragt nach der physischen Sicherheit unseres Serverraums

Physischer Serverraum fällt unter Zugangsrichtlinie, nicht unter Geschäftskontinuität

Die Frage nach der physischen Sicherung des Serverraums gehört zur Zugriffskontrolle: wer darf hinein, wie wird das protokolliert, und wie ist die Verwaltung von Unternehmensressourcen geregelt. Kunden fragen dies meist getrennt von ihrer Frage zu Sicherungen und Notfallmaßnahmen, aber in den meisten Dossiers stehen beide unter demselben Richtliniendokument. Typische Teilfragen: Badge- oder Schlüsselverwaltung, Kameraüberwachung, Klimaregelung, Brandbekämpfung, und ob die Ruimte in Eigenregie ist oder bei einem Datacenterliefer steht.

Wenn der Serverraum bei einem externen Datacenterliefer steht, lautet die Antwort oft nicht "ja, wir regeln das", sondern "unser Liefer regelt das, und wir haben das überprüft" — das berührt die Anforderungen, die das Unternehmen an seine eigenen Lieferanten stellt. Hat das Kettendossier dort keinen zugrunde liegenden Beweisbeleg — ein ISO-27001-Zertifikat des Lieferanten, einen SOC-2-Bericht oder ein eigenes Inspektionsprotokoll — dann ist "nein" oder "teilweise" die ehrliche Antwort, auch wenn die physische Sicherung faktisch in Ordnung ist. Ohne Quelle wird hier kein "ja" vorgeschlagen. Gibt es keine separate Richtlinie für physische Sicherung, aber das Thema wird in der allgemeinen Zugangsrichtlinie erwähnt, dann ist das oft ausreichende Grundlage für eine Erläuterung zur Antwort statt eines bloßen "nein".

Rückführbar auf Artikel 21 Absatz 2 NIS2 und Anlage A.7 von ISO 27001

Physische und Umgebungssicherheit ist eine der zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie und kommt als eigenes Kapitel vor (A.7, "Physical and environmental security controls") in Anlage A von ISO/IEC 27001. Unternehmen, die bereits nachweislich ISO-27001-zertifiziert sind, können dieses Zertifikat oft direkt als Beweisbeleg vorlegen, statt die physischen Maßnahmen getrennt zu dokumentieren. Für Unternehmen, die selbst unter das Cybersicherheitsgesetz fallen werden, sobald es am 15. August 2026 in Kraft tritt, besteht hier mittelfristig eine eigene Verpflichtung; bis dahin ist dies für die meisten Zulieferer noch rein eine Frage ihrer Kunden, keine eigene gesetzliche Pflicht.