kunden frågar om den fysiska säkerheten för vår serverrum

Fysiska serverrum faller under åtkomstpolicy, inte under kontinuitet

Frågan om fysisk säkerhet för serverrummet hör till åtkomstkontroll: vem får gå in, hur loggas det, och hur är hanteringen av företagstillgångar reglerad. Kunder ställer vanligtvis denna fråga separat från sin fråga om säkerhetskopior och nödåtgärder, men i de flesta dossier är båda under samma policydokument. Typiska delfrågor: märknings- eller nyckelhantering, kameraövervakning, klimatkontroll, brandslöckning, och huruvida rummet är under eget förvaltning eller hos en datacenterleverantör.

Om serverrummet är hos en extern datacenterleverantör är svaret ofta inte "ja, vi ordnar detta" utan "vår leverantör ordnar detta, och vi har kontrollerat det" — det rör de krav som företaget ställer på sina egna leverantörervid granskning. Om kedjedossien saknar underliggande bevisstycke för det — ett ISO 27001-certifikat från leverantören, en SOC 2-rapport, eller en egen inspektionsrapport — är "nej" eller "delvis" det ärliga svaret, även om den fysiska säkerheten faktiskt är i ordning. Utan källa föreslås inget "ja" här. Saknas en separat fysisk-säkerhetspolicy men är ämnet nämnt i den allmänna åtkomstpolicyn, är det ofta tillräcklig grund för en förklaring vid svaret i stället för ett kalt "nej".

Spårbar till artikel 21 stycke 2 NIS2 och Annex A.7 i ISO 27001

Fysisk och miljösäkerhet är en av de tio åtgärderna i artikel 21 stycke 2 i NIS2-direktivet, och återkommer som eget kapitel (A.7, "Physical and environmental security controls") i Annex A i ISO/IEC 27001. Företag som redan är verifierat ISO 27001-certifierade kan ofta presentera det certifikatet direkt som bevisstycke i stället för att dokumentera de fysiska åtgärderna separat. För företag som själva kommer att falla under Cybersäkerhetslagen när den träder i kraft den 15 augusti 2026 ligger här på sikt en egen skyldighet; tills dess är detta för de flesta underleverantörer fortfarande rent en fråga från sin kund, ingen egen lagstadgad skyldighet.