el cuestionario pregunta sobre seguridad física de la sala de servidores o centro de datos

La seguridad física se incluye en la política de acceso, no como un tema independiente

La pregunta sobre la protección física de la sala de servidores o el centro de datos es normalmente un desarrollo de un punto más amplio: la política de acceso, incluida la gestión de activos empresariales. Quien puede acceder físicamente al equipo también puede obtener acceso lógico — por eso normalmente esto aparece en el mismo párrafo que la gestión del acceso, no como un tema independiente. Responda basándose en lo que realmente existe: sistema de tarjetas o llaves, vigilancia por cámara, quién tiene una llave o tarjeta, y si esto se registra. Si la sala de servidores está en un proveedor de centro de datos externo, la respuesta suele ser una referencia a sus medidas, no a algo que la empresa gestione por sí misma.

Si la hospedería está subcontratada, la pregunta se acerca mucho a la gestión de la cadena de suministro: los requisitos que la empresa establece para sus propios proveedores es entonces el punto de conexión, siendo el certificado del centro de datos o el informe SOC 2 del proveedor la prueba, no una descripción propia de cerraduras y cámaras. Si la empresa no tiene sala de servidores propia y todo está en la nube, entonces "no aplica, los servicios se ejecutan en [proveedor], véase su certificación" es una respuesta completa — siempre que sea realmente así. Si falta un documento formal pero existe una medida fáctica (por ejemplo: sala de servidores en armario cerrado en un edificio con control de acceso), eso también es una respuesta válida — solo sin certificado adjunto.

De dónde viene esto: Anexo A y artículo 21, apartado 2

ISO/IEC 27001 Anexo A menciona la seguridad física y ambiental como una medida de control independiente, separada del control de acceso lógico — por eso un auditor pregunta por ello por separado, aunque en Supplia esté incluido en el mismo fichero de la cadena de suministro. El artículo 21, apartado 2 de la Directiva NIS2 no menciona la seguridad física como punto independiente entre las diez medidas, pero la política de control de acceso y la protección de activos empresariales sí están incluidas — el acceso físico a la sala de servidores es una aplicación práctica de esto. Con la Ley de Ciberseguridad, la transposición holandesa que entra en vigor el 15 de agosto de 2026, esto no cambia fundamentalmente: las diez medidas se repiten, la seguridad física sigue siendo parte del control de acceso en lugar de un requisito independiente.