le client demande des informations sur la sécurité physique de notre salle de serveurs

La salle de serveurs physique relève de la politique d'accès, non de la continuité

La question de la sécurité physique de la salle de serveurs relève du contrôle d'accès : qui a le droit d'entrer, comment cela est-il enregistré, et comment la gestion des actifs informatiques est-elle organisée. Les clients posent généralement cette question séparément de leur question sur les sauvegardes et les mesures d'urgence, mais dans la plupart des dossiers, les deux relèvent du même document de politique. Questions typiques : gestion des badges ou des clés, surveillance par caméra, gestion climatique, extinction d'incendie, et si la salle est gérée en interne ou hébergée chez un prestataire de centre de données.

Si la salle de serveurs est hébergée chez un prestataire de centre de données externe, la réponse n'est souvent pas « oui, nous nous en chargeons » mais « notre prestataire s'en charge, et nous l'avons vérifié » — cela soulève les exigences que l'entreprise impose à ses propres fournisseurs». Si le dossier de chaîne n'a pas de document justificatif sous-jacent pour cela — un certificat ISO 27001 du prestataire, un rapport SOC 2, ou un rapport d'inspection interne — alors « non » ou « partiellement » est la réponse honnête, même si la sécurité physique est en réalité en bon état. Sans source, aucune réponse « oui » n'est proposée ici. S'il n'existe pas de politique de sécurité physique distincte mais que le sujet est néanmoins mentionné dans la politique d'accès générale, cela constitue souvent une base suffisante pour une explication à la réponse plutôt qu'un simple « non ».

À rapporter à l'article 21, paragraphe 2, de la directive NIS2 et à l'annexe A.7 de la norme ISO 27001

La sécurité physique et environnementale est l'une des dix mesures énoncées à l'article 21, paragraphe 2, de la directive NIS2, et elle figure en tant que chapitre distinct (A.7, « Physical and environmental security controls ») dans l'annexe A de la norme ISO/IEC 27001. Les entreprises qui sont déjà certifiées ISO 27001 de manière démontrable peuvent souvent soumettre ce certificat directement comme justificatif au lieu de documenter séparément les mesures de sécurité physique. Pour les entreprises qui tomberont elles-mêmes sous le coup de la loi sur la cybersécurité à compter du 15 août 2026, une obligation propre se profile à l'horizon ; jusqu'à cette date, ceci reste pour la plupart des fournisseurs simplement une question de leurs clients, pas encore une obligation légale propre.