la lista di domande chiede la protezione fisica della sala server o del data center

La protezione fisica rientra nella politica di accesso, non in un tema separato

La domanda sulla protezione fisica della sala server o del data center è generalmente un approfondimento di un punto più ampio: la politica di accesso, inclusa la gestione dei beni aziendali. Chi può accedere fisicamente alle apparecchiature può infatti ottenere anche accesso logico — per questo di solito si trova nello stesso paragrafo del controllo degli accessi, non come argomento separato. Rispondete sulla base di ciò che esiste realmente: sistema di badge o chiavi, videosorveglianza, chi ha una chiave o una tessera, e se viene registrato. Se la sala server è presso un fornitore di data center esterno, la risposta è spesso un riferimento alle loro misure, non a qualcosa gestito dall'azienda stessa.

Se l'hosting è esternalizzato, la domanda si avvicina molto alla gestione della catena di fornitura: i requisiti che l'azienda impone ai propri fornitori è allora il punto di ancoraggio, con la certificazione del data center o il rapporto SOC 2 del fornitore come prova, non una descrizione propria di serrature e telecamere. Se l'azienda non ha una sala server propria e tutto è nel cloud, allora "non applicabile, i servizi vengono eseguiti presso [fornitore], consultare la loro certificazione" è una risposta completa — purché sia veramente così. Se manca una prova formale ma esiste comunque una misura fattuale (ad esempio: sala server in armadio chiuso in un edificio con controllo degli accessi), anche quella è una risposta valida — solo senza certificato allegato.

Da dove viene: Annex A e articolo 21 comma 2

ISO/IEC 27001 Annex A menciona la protezione fisica e ambientale come misura di controllo separata, distinta dal controllo logico degli accessi — per questo un auditor chiede separatamente, anche se su Supplia rientra nello stesso dossier di catena. L'articolo 21 paragrafo 2 della direttiva NIS2 non menciona la protezione fisica come punto separato tra le dieci misure, ma la politica di controllo degli accessi e la protezione dei beni aziendali vi rientrano — l'accesso fisico alla sala server è un'applicazione pratica di ciò. Con la Cybersecurity Act, il recepimento olandese che entra in vigore il 15 agosto 2026, questo non cambia fondamentalmente: le dieci misure tornano, la protezione fisica rimane parte del controllo degli accessi anziché un requisito autonomo.