a kérdőív a szerver helyisége vagy az adatközpont fizikai biztonságára kérdez rá

A fizikai biztonság a hozzáférési szabályzat alá tartozik, nem pedig egy önálló témakör alá

A szerver helyiség vagy az adatközpont fizikai biztonságára vonatkozó kérdés általában egy szélesebb pont kidolgozása: a hozzáférési szabályzat, beleértve a vállalati eszközök kezelésétAki fizikailag hozzáfér az eszközökhöz, logikai hozzáférést is tud szerezni — ezért ezt általában ugyanabban a bekezdésben találjuk meg, mint a hozzáférés-kezelés, nem pedig önálló témaként. Válaszoljon a valósan létezőre: jegy- vagy kulcsrendszer, kameramegfigyelés, ki rendelkezik kulccsal vagy kártyával, és hogy naplózva van-e. Ha a szerver helyisége külső adatközpont-szolgáltatónál található, a válasz gyakran az ő intézkedéseire való hivatkozás, nem pedig arra, amit maga a vállalat kezel.

Ha a hosting kiszervezve van, a kérdés szorosan kapcsolódik a lánckezeléshez: azok az követelmények, amelyeket a vállalat a saját beszállítóira támaszt ezek az érintkezési pont, az adatközpont-tanúsítvánnyal vagy a szolgáltató SOC 2-jelentésével mint bizonyítékkal, nem egy saját zárak és kamerák leírásával. Ha a vállalatnak nincs saját szerver helyisége és minden a felhőben van, a "nem alkalmazható, a szolgáltatások a [szolgáltatónál] futnak, lásd azok tanúsítványát" egy teljes válasz — feltéve, hogy valóban így van. Hiányzik a formális bizonyíték, de létezik egy tényleges intézkedés (például: szerver helyiség lezárt szekrényben egy hozzáférés-ellenőrzésű épületben), az is érvényes válasz — csak tanúsítvány nélkül.

Ennek forrása: A melléklet és 21. cikk (2) bekezdés

Az ISO/IEC 27001 A melléklet az fizikai és környezeti biztonságot a logikai hozzáférés-ellenőrzéstől eltérő saját kezelési intézkedésként nevezi meg — ezért kérdez rá külön egy auditor is, még akkor is, ha a Supplia-nál ugyanabban a láncfájlban található. Az NIS2-irányelv 21. cikk 2. bekezdése nem sorolja fel a fizikai biztonságot önálló pontként a tíz intézkedés között, de a hozzáférés-kezelési szabályzat és az üzleti eszközök védelme alá tartoznak — a szerver helyiséghez való fizikai hozzáférés ennek gyakorlati megvalósulása. A Cyberbeveiligingswet, az 2026. augusztus 15-én hatályba lépő holland implementáció alapján ez nem változik alapvetően: a tíz intézkedés visszatérnek, a fizikai biztonság a hozzáférés-kezelésnek része marad, nem pedig önálló követelmény.