cum completez întrebarea despre securitatea fizică a centrului nostru de date

Securitatea fizică se încadrează în cele zece măsuri

Securitatea fizică a serverelor și a centrelor de date se încadrează în articolul 21 alineatul (2) al NIS2, care enumeră cele zece categorii de măsuri pe care trebuie să le adopte o entitate. Directiva în sine nu menționează "securitatea fizică" ca un punct separat, ci o clasifică în categoria de securitate a sistemelor și activelor informatice — aceeași categorie în care se găsește și politica de acces și gestiunea activelor de afaceri cade. Dacă lista întreabă în mod specific despre controlul accesului la incintă, securitatea prin cameră, sau climă și protecție la incendiu a camerei de servere, de fapt te afli în aceeași întrebare ca și controlul accesului logic, doar varianta fizică a acestuia.

Dacă ai propria cameră de servere, răspunsul este adesea concret de susținut: sisteme de badge-uri sau chei, înregistrarea vizitatorilor, camere video și un contract de întreținere pentru controlul climei sunt dovezi obișnuite. Dacă infrastructura ta rulează la un furnizor de cloud sau un partener de colocare, atunci întrebarea se schimbă: atunci nu este vorba despre protecția ta fizică, ci despre cea a furnizorului tău, și asta face parte din cerințele de securitate pe care le stabilești pentru propriii furnizori. În acest caz, răspunsul obișnuit este o referință la certificatul sau atestatul furnizorului (adesea o declarație ISO 27001 sau un raport SOC 2), nu o descriere proprie a unei clădiri pe care nu o gestionezi. Dacă nu ai la îndemână acest document, atunci "nu, nu este disponibil încă" cu o clarificare că se solicită furnizorului este de fapt corect — mai bine decât o presupunere.

Unde se află în Anexa A a ISO 27001

ISO/IEC 27001 elaborează securitatea fizică mai concret decât NIS2: Anexa A conține o categorie separată de măsuri de control pentru mediul fizic, cu subiecte precum zonele de acces, protecția împotriva amenințărilor fizice și securitatea echipamentelor. Întreprinderile care respectă deja acel schema certificată ISO 27001 pot referi direct la declarația de aplicabilitate (Statement of Applicability), în care aceste măsuri sunt deja detaliate. Pentru entitățile olandeze care vor cădea sub Legea privind securitatea cibernetică, această categorie este una din cele zece asupra cărora supravegherea este posibilă odată ce această lege — transpunerea NIS2 — intră în vigoare la 15 august 2026.