el cliente pregunta por la seguridad física de nuestra sala de servidores

La sala de servidores física está incluida en la política de acceso, no en la continuidad

La pregunta sobre seguridad física de la sala de servidores forma parte de la gestión de acceso: quién puede entrar, cómo se registra y cómo se gestiona el control de activos. Los clientes suelen hacer esta pregunta independientemente de su consulta sobre copias de seguridad y provisiones de emergencia, pero en la mayoría de los expedientes ambas se encuentran en el mismo documento de política. Preguntas típicas: gestión de insignias o llaves, vigilancia por cámara, climatización, extinción de incendios, y si la sala está bajo gestión propia o ubicada en un proveedor de centros de datos externo.

Si la sala de servidores se encuentra en un proveedor de centros de datos externo, la respuesta a menudo no es «sí, nosotros lo gestionamos» sino «nuestro proveedor lo gestiona, y hemos verificado que lo hace» — esto afecta los requisitos que la empresa establece para sus propios proveedoresa»». Si el expediente de la cadena no tiene un documento de apoyo subyacente para ello — un certificado ISO 27001 del proveedor, un informe SOC 2, o un informe de inspección propio — entonces «no» o «parcialmente» es la respuesta honesta, incluso si la seguridad física es de hecho adecuada. Sin fuente, no se sugiere aquí un «sí». Si no hay una política de seguridad física separada pero el tema sí se menciona en la política de acceso general, eso a menudo proporciona una base suficiente para una aclaración en la respuesta en lugar de un simple «no».

Atribuible al artículo 21, apartado 2, de la Directiva NIS2 y el Anexo A.7 de la ISO 27001

La seguridad física y ambiental es una de las diez medidas del artículo 21, apartado 2, de la Directiva NIS2, y aparece como capítulo propio (A.7, «Physical and environmental security controls») en el Anexo A de la norma ISO/IEC 27001. Las empresas que ya estén certificadas de forma demostrable según la ISO 27001 pueden aportarcontracertificado a menudo directamente como documento de apoyo en lugar de documentar las medidas físicas por separado. Para las empresas que caerán bajo la Ley de Ciberseguridad cuando entre en vigor el 15 de agosto de 2026, existe a largo plazo una obligación propia; hasta esa fecha, para la mayoría de los proveedores es todavía una simple pregunta de su cliente, no una obligación legal propia.