klant vraagt naar de fysieke beveiliging van onze serverruimte

Fysieke serverruimte valt onder toegangsbeleid, niet onder continuïteit

De vraag naar fysieke beveiliging van de serverruimte hoort bij toegangsbeheer: wie mag naar binnen, hoe wordt dat gelogd, en hoe is het beheer van bedrijfsmiddelen geregeld. Klanten vragen dit meestal los van hun vraag over back-ups en noodvoorzieningen, maar in de meeste dossiers staan beide onder hetzelfde beleidsdocument. Typische deelvragen: badge- of sleutelbeheer, cameratoezicht, klimaatbeheersing, brandblussing, en of de ruimte in eigen beheer is of bij een datacenterleverancier staat.

Als de serverruimte bij een externe datacenterleverancier staat, is het antwoord vaak niet "ja, wij regelen dit" maar "onze leverancier regelt dit, en wij hebben dat gecontroleerd" — dat raakt de eisen die de onderneming aan haar eigen leveranciers stelt. Heeft het ketendossier daar geen onderliggend bewijsstuk voor — een ISO 27001-certificaat van de leverancier, een SOC 2-rapport, of een eigen inspectieverslag — dan is "nee" of "gedeeltelijk" het eerlijke antwoord, ook als de fysieke beveiliging feitelijk in orde is. Zonder bron wordt hier geen "ja" voorgesteld. Is er geen apart fysiek-beveiligingsbeleid maar staat het onderwerp wel genoemd in het algemene toegangsbeleid, dan is dat vaak voldoende basis voor een toelichting bij het antwoord in plaats van een kaal "nee".

Terug te voeren op artikel 21 lid 2 NIS2 en Annex A.7 van ISO 27001

Fysieke en omgevingsbeveiliging is een van de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn, en komt terug als eigen hoofdstuk (A.7, "Physical and environmental security controls") in Annex A van ISO/IEC 27001. Bedrijven die al aantoonbaar ISO 27001-gecertificeerd zijn, kunnen dat certificaat vaak direct als bewijsstuk aandragen in plaats van de fysieke maatregelen los te documenteren. Voor bedrijven die zelf onder de Cyberbeveiligingswet gaan vallen zodra die op 15 augustus 2026 in werking treedt, ligt hier op termijn een eigen verplichting; tot die datum is dit voor de meeste toeleveranciers nog puur een vraag van hun klant, geen eigen wettelijke plicht.