cómo relleno la pregunta sobre seguridad física de nuestro centro de datos

La seguridad física se incluye entre las diez medidas

La seguridad física de servidores y centros de datos se incluye en el artículo 21, apartado 2 de NIS2, que enumera las diez categorías de medidas que debe tomar una entidad. La propia directiva no menciona la "seguridad física" como un punto separado, sino que la clasifica bajo la seguridad de sistemas de información y activos empresariales — la misma categoría en la que también la política de acceso y la gestión de activos se incluye. Si la lista pregunta específicamente por el control de acceso al edificio, seguridad por cámaras, o seguridad climática y contra incendios de la sala de servidores, en realidad estás respondiendo la misma pregunta que la seguridad de acceso lógica, solo que en su variante física.

Si tienes sala de servidores propia, la respuesta suele poder justificarse de forma concreta: sistemas de acceso por tarjeta o llave, registro de visitantes, cámaras, y un contrato de mantenimiento para control climático son pruebas habituales. Si tu infraestructura funciona con un proveedor de nube o un socio de ubicación, la pregunta cambia: entonces no se trata de tu seguridad física, sino de la de tu proveedor, y eso forma parte de los requisitos de seguridad que estableces en tus propios proveedores. En ese caso, la respuesta habitual es una referencia al certificado o la atestación del proveedor (a menudo una declaración ISO 27001 o un informe SOC 2), no una descripción propia de un edificio que no gestionas. Si no tienes ese documento a mano, entonces "no, aún no disponible" con una nota de que se solicitará al proveedor es, de hecho, correcto — mejor que una suposición.

Donde consta en el Anexo A de ISO 27001

ISO/IEC 27001 desarrolla la seguridad física de forma más concreta que NIS2: el Anexo A contiene una categoría separada de medidas de control para el entorno físico, con temas como zonas de acceso, protección contra amenazas físicas y seguridad del equipamiento. Las empresas que ya operan conforme a ese esquema está certificada en ISO 27001 pueden, a menudo, hacer referencia directa para esta pregunta a la declaración de aplicabilidad (Statement of Applicability), en la que estas medidas ya están especificadas. Para las entidades neerlandesas que caerán bajo la Ley de Ciberseguridad, esta categoría es una de las diez sobre las que es posible ejercer supervisión una vez que esa ley —la transposición de NIS2— entre en vigor el 15 de agosto de 2026.