jak vyplnit otázku o fyzické bezpečnosti našeho datového centra

Fyzická bezpečnost spadá pod deset opatření

Fyzická bezpečnost serverů a datových center spadá pod článek 21 odstavec 2 směrnice NIS2, který vyjmenovává deset kategorií opatření, která musí entita přijmout. Samotná směrnice nespojuje "fyzickou bezpečnost" jako samostatný bod, ale řadí ji pod bezpečnost informačních systémů a podnikatelských prostředků — stejná kategorie, kam patří i zásad přístupu a správy podnikových prostředků spadá. Pokud se seznam konkrétně ptá na kontrolu přístupu do objektu, sledování kamerami nebo klimatizaci a požární bezpečnost v serverovně, ve skutečnosti se jedná o stejnou otázku jako logická kontrola přístupu, jen v její fyzické variantě.

Máte-li vlastní serverovnu, je odpověď často konkrétně podložitelná: systémy s kartami nebo klíči, registrace návštěv, kamery a servisní smlouva na správu klimatizace jsou běžnými důkazy. Pokud vaši infrastrukturu provozuje poskytovatel cloudových služeb nebo společnost zajišťující kolokaciace, otázka se posune: nejde o vaši fyzickou bezpečnost, ale o bezpečnost vašeho poskytovatele, a to se týká bezpečnostních požadavků, které kladeete na své dodavatele. V tom případě je obvyklou odpovědí odkaz na certifikát nebo atestaci dodavatele (často prohlášení ISO 27001 nebo zpráva SOC 2), nikoli vlastní popis objektu, který nespravuješ. Pokud tento doklad nemáš po ruce, pak "ne, zatím není k dispozici" s vysvětlením, že se jedná o vyžádání od dodavatele, je fakticky správně — lépe než domněnka.

Kde je to uvedeno v Příloze A ISO 27001

ISO/IEC 27001 řeší fyzickou bezpečnost konkrétněji než NIS2: Příloha A obsahuje samostatnou kategorii kontrolních opatření pro fyzické prostředí s tématy jako přístupové zóny, ochrana před fyzickými hrozbami a zabezpečení zařízení. Podniky, které již podle tohoto schématu certifikován podle ISO 27001 mohou pro tuto otázku často odkazovat přímo na prohlášení o použitelnosti (Statement of Applicability), v němž jsou tato opatření již rozpracována. Pro české subjekty, které samy budou spadat pod zákon o kybernetické bezpečnosti, je tato kategorie jednou z deseti, na niž je možné dohled provádět, jakmile tento zákon — implementace NIS2 — vstoupí v platnost 15. srpna 2026.