hoe vul ik de vraag in over fysieke beveiliging van ons datacenter

Fysieke beveiliging valt onder de tien maatregelen

Fysieke beveiliging van servers en datacenters valt onder artikel 21 lid 2 van NIS2, dat de tien categorieën maatregelen opsomt die een entiteit moet nemen. De richtlijn zelf noemt "fysieke beveiliging" niet als apart punt, maar schaart dit onder beveiliging van informatiesystemen en bedrijfsmiddelen — dezelfde categorie waar ook het toegangsbeleid en het beheer van bedrijfsmiddelen onder valt. Vraagt de lijst specifiek naar toegangscontrole tot het pand, camerabeveiliging, of klimaat- en brandbeveiliging van de serverruimte, dan zit je feitelijk in dezelfde vraag als de logische toegangsbeveiliging, alleen dan de fysieke variant ervan.

Heb je eigen serverruimte, dan is het antwoord vaak concreet te onderbouwen: badge- of sleutelsystemen, bezoekersregistratie, camera's, en een onderhoudscontract voor klimaatbeheersing zijn gangbare bewijsstukken. Draait je infrastructuur bij een cloudleverancier of colocatiepartij, dan verschuift de vraag: dan gaat het niet om jouw fysieke beveiliging, maar om die van je leverancier, en dat hoort bij de beveiligingseisen die je aan eigen leveranciers stelt. In dat geval is het gangbare antwoord een verwijzing naar het certificaat of de attestatie van de leverancier (vaak een ISO 27001-verklaring of een SOC 2-rapport), niet een eigen beschrijving van een pand dat je niet beheert. Heb je dat bewijsstuk niet paraat, dan is "nee, nog niet beschikbaar" met een toelichting dat het bij de leverancier wordt opgevraagd, feitelijk correct — beter dan een aanname.

Waar dat in Annex A van ISO 27001 staat

ISO/IEC 27001 werkt fysieke beveiliging concreter uit dan NIS2: Annex A bevat een aparte categorie beheersmaatregelen voor de fysieke omgeving, met onderwerpen als toegangszones, bescherming tegen fysieke dreigingen en beveiliging van apparatuur. Ondernemingen die volgens dat schema al ISO 27001-gecertificeerd zijn, kunnen voor deze vraag vaak rechtstreeks naar het toepasselijkheidsverklaring (de Statement of Applicability) verwijzen, waarin deze maatregelen al staan uitgewerkt. Voor Nederlandse entiteiten die zelf onder de Cyberbeveiligingswet gaan vallen, is deze categorie een van de tien waarop toezicht mogelijk is zodra die wet — de omzetting van NIS2 — op 15 augustus 2026 in werking treedt.