il cliente chiede informazioni sulla sicurezza fisica della nostra sala server

La sala server fisica rientra nella politica di accesso, non nella continuità

La domanda sulla sicurezza fisica della sala server rientra nella gestione dell'accesso: chi può accedere, come viene registrato e come è organizzata la gestione dei beni aziendali. I clienti di solito pongono questa domanda separatamente dalla loro domanda su backup e misure di emergenza, ma nella maggior parte dei fascicoli entrambi rientrano nello stesso documento politico. Domande tipiche: gestione dei badge o delle chiavi, sorveglianza tramite telecamere, controllo climatico, estintori antincendio, e se la sala è gestita internamente o se si trova presso un fornitore di data center esterno.

Se la sala server si trova presso un fornitore di data center esterno, la risposta spesso non è "sì, lo gestiamo noi" ma "il nostro fornitore lo gestisce e l'abbiamo verificato" — questo tocca i requisiti che l'azienda impone ai propri fornitori. Se il fascicolo della catena non dispone di un documento di supporto sottostante — un certificato ISO 27001 del fornitore, un rapporto SOC 2 o un rapporto di ispezione interno — allora "no" o "parzialmente" è la risposta onesta, anche se la sicurezza fisica è effettivamente in ordine. Senza una fonte, qui non viene proposto un "sì". Se non esiste una politica di sicurezza fisica separata ma l'argomento è comunque menzionato nella politica di accesso generale, questo è spesso una base sufficiente per una spiegazione della risposta al posto di un semplice "no".

Tracciabile all'articolo 21, paragrafo 2, NIS2 e all'Allegato A.7 di ISO 27001

La sicurezza fisica e ambientale è una delle dieci misure dell'articolo 21, paragrafo 2, della direttiva NIS2 e si trova come capitolo separato (A.7, "Physical and environmental security controls") nell'Allegato A di ISO/IEC 27001. Le aziende che sono già certificate ISO 27001 comprovabilmente possono spesso presentare direttamente quel certificato come documento di supporto invece di documentare separatamente le misure fisiche. Per le aziende che ricadranno loro stesse sotto la Legge sulla cibersicurezza quando entrerà in vigore il 15 agosto 2026, qui c'è a breve termine un obbligo proprio; fino a quella data, per la maggior parte dei fornitori è ancora puramente una domanda del loro cliente, non un obbligo legale proprio.