le questionnaire demande la sécurité physique de la salle serveur ou du centre de données

La sécurité physique relève de la politique d'accès, pas d'un thème distinct

La question de la sécurité physique de la salle des serveurs ou du centre de données est généralement une élaboration d'un point plus large : la politique d'accès, y compris la gestion des actifs informatiques. Quiconque ayant un accès physique aux équipements peut en effet obtenir un accès logique — c'est pourquoi cela se trouve généralement dans le même paragraphe que la gestion des accès, et non comme sujet distinct. Répondez sur la base de ce qui existe réellement : système de badges ou de clés, surveillance par caméra, qui détient une clé ou un badge, et si cela est enregistré. Si la salle des serveurs se trouve chez un prestataire de centre de données externe, la réponse est souvent une référence à ses mesures, et non à quelque chose que l'entreprise elle-même gère.

Si l'hébergement est externalisé, la question s'inscrit étroitement dans la gestion de la chaîne d'approvisionnement : les exigences que l'entreprise impose à ses propres fournisseurs est alors le point de référence, avec comme preuve le certificat du centre de données ou le rapport SOC 2 du prestataire, et non une description interne des serrures et caméras. Si l'entreprise n'a pas sa propre salle des serveurs et que tout se trouve dans le cloud, alors « non applicable, les services s'exécutent chez [prestataire], voir leur certification » est une réponse complète — à condition que ce soit effectivement le cas. En l'absence de document probant formel mais en présence d'une mesure factuelle (par exemple : salle des serveurs dans une armoire fermée dans un bâtiment avec contrôle d'accès), c'est aussi une réponse valable — seulement sans certificat joint.

D'où cela vient : Annexe A et article 21 alinéa 2

ISO/IEC 27001 Annex A mentionne la sécurité physique et environnementale comme mesure de contrôle propre, distincte du contrôle d'accès logique — c'est pourquoi un auditeur en demande séparément, même si chez Supplia cela relève du même dossier de chaîne. L'article 21, paragraphe 2, de la directive NIS2 ne mentionne pas la sécurité physique comme point distinct parmi les dix mesures, mais la politique de contrôle d'accès et la sécurité des actifs métier y sont incluses — l'accès physique à la salle des serveurs en est une mise en œuvre pratique. En vertu de la Loi sur la cybersécurité, la transposition néerlandaise qui entrera en vigueur le 15 août 2026, cela ne change pas fondamentalement : les dix mesures sont reprises, la sécurité physique reste une partie du contrôle d'accès plutôt qu'une exigence autonome.