comment remplir la question sur la sécurité physique de notre centre de données

La sécurité physique fait partie des dix mesures

La sécurité physique des serveurs et des centres de données relève de l'article 21, paragraphe 2 de la directive NIS2, qui énumère les dix catégories de mesures qu'une entité doit prendre. La directive elle-même ne mentionne pas la « sécurité physique » comme point distinct, mais la classe sous la sécurité des systèmes d'information et des actifs métier — la même catégorie que celle dans laquelle la politique d'accès et de la gestion des actifs s'inscrit également. Si le questionnaire demande spécifiquement le contrôle d'accès au bâtiment, la surveillance par caméra ou la climatisation et la protection incendie de la salle serveur, vous êtes en fait dans la même question que la sécurité d'accès logique, mais sous sa variante physique.

Si vous disposez de votre propre salle serveur, la réponse peut souvent être concrètement étayée : les systèmes de badges ou de clés, l'enregistrement des visiteurs, les caméras et un contrat de maintenance pour la gestion du climat sont des pièces justificatives courantes. Si votre infrastructure fonctionne chez un fournisseur de cloud ou un partenaire de colocation, la question se déplace : il ne s'agit plus de votre sécurité physique, mais de celle de votre fournisseur, et cela relève de les exigences de sécurité que vous imposez à vos propres fournisseurs. Dans ce cas, la réponse habituelle est une référence au certificat ou à l'attestation du fournisseur (souvent une déclaration ISO 27001 ou un rapport SOC 2), et non une description personnelle d'un bâtiment que tu ne gères pas. Si tu ne disposes pas de cette pièce justificative, répondre « non, pas encore disponible » avec une explication que le fournisseur est en train de la fournir est factuellement correct — mieux qu'une hypothèse.

Où cela figure dans l'Annexe A d'ISO 27001

ISO/IEC 27001 élabore la sécurité physique de manière plus concrète que NIS2 : l'Annexe A contient une catégorie distincte de mesures de contrôle pour l'environnement physique, avec des sujets tels que les zones d'accès, la protection contre les menaces physiques et la sécurité des équipements. Les entreprises qui suivent déjà ce schéma certifiée ISO 27001 peuvent, pour cette question, souvent se référer directement à la déclaration d'applicabilité (la Statement of Applicability), dans laquelle ces mesures sont déjà détaillées. Pour les entités néerlandaises qui relèveront elles-mêmes de la loi sur la cybersécurité, cette catégorie est l'une des dix sur lesquelles la surveillance est possible dès que cette loi — la transposition de NIS2 — entrera en vigueur le 15 août 2026.