como preencho a pergunta sobre segurança física do nosso datacenter

Segurança física enquadra-se nas dez medidas

Segurança física de servidores e datacenters enquadra-se no artigo 21.º, n.º 2 da NIS2, que enumera as dez categorias de medidas que uma entidade deve tomar. A diretiva em si não menciona "segurança física" como ponto separado, mas a inclui na segurança de sistemas de informação e ativos empresariais — a mesma categoria em que também a política de acesso e a gestão de ativos se enquadra. Se o questionário pergunta especificamente sobre controlo de acesso ao edifício, vigilância por câmara, ou climatização e segurança contra incêndios da sala de servidores, está na verdade a colocar a mesma pergunta que a segurança de acesso lógica, apenas a sua variante física.

Se tem sala de servidores própria, a resposta é muitas vezes concretizável: sistemas de badge ou chave, registos de visitantes, câmaras e contrato de manutenção para controlo climático são provas comuns. Se a infraestrutura funciona junto de um fornecedor de cloud ou de um parceiro de colocação, a pergunta muda: então não se trata da sua segurança física, mas da do seu fornecedor, e isso faz parte dos requisitos de segurança que estabelece aos seus próprios fornecedores. Nesse caso, a resposta comum é uma referência ao certificado ou atestado do fornecedor (frequentemente uma declaração ISO 27001 ou um relatório SOC 2), não uma descrição própria de um prédio que não geres. Se não tiveres esse documento à mão, então "não, ainda não disponível" com uma explicação de que está sendo solicitado ao fornecedor é, de facto, correto — melhor do que uma suposição.

Onde isso está no Anexo A da ISO 27001

ISO/IEC 27001 elabora a segurança física de forma mais concreta do que a NIS2: o Anexo A contém uma categoria separada de medidas de controlo para o ambiente físico, com tópicos como zonas de acesso, proteção contra ameaças físicas e segurança de equipamentos. As empresas que já seguem esse esquema tem certificação ISO 27001 podem, para esta pergunta, frequentemente remeter diretamente para a declaração de aplicabilidade (Statement of Applicability), na qual estas medidas já estão pormenorizadas. Para entidades neerlandesas que se tornarão sujeitas à Lei de Cibersegurança, esta categoria é uma das dez sobre as quais a supervisão é possível assim que essa lei — a transposição da NIS2 — entrar em vigor em 15 de agosto de 2026.