kuidas täitmin füüsilise turvalisuse küsimust meie andmekaitsikus

Füüsiline turvalisus kuulub kümnesse meetmesse

Serverite ja andmekeskuste füüsiline turvalisus kuulub NIS2 artikli 21 lõike 2 alla, mis loetleb kümme kategooriat meetmetest, mida üksus peab võtma. Direktiiv ise ei nimeta "füüsilist turvalisust" eraldi punktina, vaid liigitab selle infosüsteemide ja ärivahenditega seotud turvalisuse kategooriasse — sama kategooriasse, kuhu kuulub ka juurdepääsupoliitikat ja IT-varade haldust kuulub. Kui küsimustik küsib spetsiaalselt hoonega seotud ligipääsukontrolli, kaameravalve või serverruumi kliima- ja tulekahju turvalisuse kohta, siis oled sa tegelikult samas küsimuses kui loogilise ligipääsukaitse puhul, ainult siis füüsilisele variandile.

Kui sul on oma serveriruum, siis on vastus sageli konkreetselt põhjendatav: märgi- või võtmesüsteemid, külaliste registreerimine, kaamerad ja kliimakontrolli hoolduslepingu olemasolu on tavalised tõendid. Kui sinu infrastruktuur töötab pilveteenuse pakkuja või colocatsioonikompanii juures, siis nihkub küsimus: siis ei ole tegemist sinu füüsilise turvalisusega, vaid sinu teenuse pakkuja omaga, ja see kuulub turvalisuse nõuete juurde, mida esitad oma tarnijatele. Sel juhul on tavapärane vastus viide teenuse pakkuja sertifikaadile või kinnitusele (sageli ISO 27001 avaldus või SOC 2 aruanne), mitte enda kirjeldusele hoonega, mida sa ei halda. Kui sul sellist tõendit käepärast pole, siis "ei, veel kättesaadav" koos selgitusega, et seda tehakse teenuse pakkuja juures päringuga, on tegelikult õige — parem kui eeldus.

Kus see on ISO 27001 lisas A

ISO/IEC 27001 käsitleb füüsilist turvalisust NIS2-st konkreetsemalt: lisa A sisaldab füüsilise keskkonna haldusmeetmete eraldi kategooriat, mille teemad on juurdepääsutsooniid, kaitse füüsiliste ohtude eest ja seadmete turvalisus. Ettevõtted, kes juba selle skeemi järgi ISO 27001-sertifitseeritud tegutsevad, saavad selle küsimuse jaoks sageli otse rakendatavuse avaldusele (Statement of Applicability) viidata, kus need meetmed on juba välja töötatud. Hollandi üksuste jaoks, kes langeda Küberkindlustamise seaduse regulatsiooni alla, on see kategooria üks kümnes, mille suhtes järelevalve on võimalik niipea, kui see seadus — NIS2 ülevõtmine — 15. augustil 2026 jõustub.