kuinka vastaan kysymykseen tietokeskuksemme fyysisestä turvallisuudesta

Fyysinen turvallisuus kuuluu kymmeneen toimenpiteeseen

Palvelimien ja tietokeskuksien fyysinen turvallisuus kuuluu NIS2:n 21 artiklan 2 kappaleen piiriin, joka luettelee kymmenen toimenpidekategoriaa, jotka yhteisön on toteutettava. Direktiivi itse ei mainitse "fyysistä turvallisuutta" erillisenä kohtana, vaan sisällyttää sen tietoturvajärjestelmien ja liiketoimintaresurssien turvallisuuteen — samaan kategoriaan kuin pääsynhallintaan ja yritysvarojen hallintaan kuuluu. Jos kyselylomake kysyy erityisesti rakennuksen pääsynsäännöstelystä, kameravalvonnasta tai palvelinkeskuksen ilmastointi- ja palosuojelusta, olet käytännössä samassa kysymyksessä kuin loogisen pääsynhallinnan, vain sen fyysisestä versiosta.

Jos sinulla on oma palvelinkeskus, vastaus on usein konkreettisesti perusteltavissa: tunniste- tai avainejärjestelmät, vierailijarekisterointi, kamerat ja ilmastoinnin huoltosopiamus ovat tavallisia todistusaineistoja. Jos infrastruktuurisi toimii pilvipalveluntarjoajalla tai yhteisöllisessä palvelinkeskuksessa, kysymys muuttuu: silloin kyse ei ole sinun fyysisestä turvallisuudestasi, vaan palveluntarjoajasi turvallisuudesta, ja se kuuluu turvallisuusvaatimuksiin, jotka asitat omille toimittajille. Tässä tapauksessa tavallinen vastaus on viittaus palveluntarjoajan sertifikaattiin tai todistukseen (usein ISO 27001 -lausunto tai SOC 2 -raportti), ei omaan kuvailuun rakennuksesta, jota et hallitse. Jos sinulla ei ole tätä todistusta käsillä, vastaus "ei, ei vielä saatavilla" selityksellä, että sitä pyydetään palveluntarjoajalta, on käytännöllisesti ottaen oikein — parempi kuin arvaus.

Missä se ISO 27001:n liitteessä A on

ISO/IEC 27001 käsittelee fyysistä turvallisuutta konkreettisemmin kuin NIS2: Liite A sisältää erillisen ohjausjärjestelmiä koskevan kategorian fyysiselle ympäristölle, jonka aiheita ovat pääsyvyöhykkeet, suojautuminen fyysisiä uhkia vastaan ja laitteiden turvallisuus. Yritykset, jotka noudattavat tätä kaaviota jo ISO 27001 -sertifioitu voivat usein viitata tälle kysymykselle suoraan soveltuvuusselosteeseen (Statement of Applicability), jossa nämä toimenpiteet on jo kuvattu. Hollantilaisille entiteeteille, jotka kuuluvat itse Kyberturvallisuuslain piiriin, tämä kategoria on yksi kymmenestä, joille valvonta on mahdollista heti kun laki — NIS2:n täytäntöönpano — astuu voimaan 15. elokuuta 2026.