a lista de questões pergunta sobre proteção física da sala de servidores ou datacenter

A proteção física está incluída na política de acesso, não num tema separado

A pergunta sobre proteção física da sala de servidores ou datacenter é geralmente um desdobramento de um ponto mais amplo: a política de acesso, incluindo a gestão de ativos empresariaisQuem tem acesso físico ao equipamento também pode obter acesso lógico — por isso geralmente está no mesmo parágrafo que controle de acesso, não como assunto separado. Responda com base no que realmente existe: sistema de crachá ou chave, vigilância por câmera, quem tem chave ou cartão, e se isso é registado. Se a sala de servidores fica num fornecedor de datacentro externo, a resposta costuma ser uma referência às medidas deles, não algo que a empresa gere.

Se o alojamento é subcontratado, a pergunta fica perto da gestão da cadeia: os requisitos que a empresa coloca aos seus próprios fornecedores é então o ponto de partida, com como comprovativo o certificado do datacentro ou o relatório SOC 2 do fornecedor, não uma descrição própria de fechaduras e câmaras. Se a empresa não tem sala de servidores própria e tudo está na nuvem, então "não aplicável, serviços em execução em [fornecedor], consulte a certificação deles" é uma resposta completa — desde que isso seja realmente assim. Se falta um comprovativo formal mas existe uma medida real (por exemplo: sala de servidores num armário fechado num edifício com controle de acesso), isso também é uma resposta válida — apenas sem certificado.

Origem: Annex A e artigo 21.º, n.º 2

ISO/IEC 27001 Annex A menciona proteção física e ambiental como medida de controlo separada, independentemente do controlo de acesso lógico — por isso um auditor pergunta sobre isso separadamente, mesmo que em Supplia fique no mesmo dossier da cadeia. O artigo 21.º, n.º 2 da Diretiva NIS2 não menciona proteção física como ponto separado entre as dez medidas, mas política de controle de acesso e proteção de ativos empresariais estão incluídas — acesso físico à sala de servidores é uma aplicação prática disso. Sob a Lei de Cibersegurança, a transposição holandesa que entra em vigor em 15 de agosto de 2026, isso não muda fundamentalmente: as dez medidas reaparecem, proteção física continua a ser parte do controle de acesso em vez de um requisito autónomo.