come compilo la domanda sulla protezione fisica del nostro data center

La sicurezza fisica rientra tra le dieci misure

La sicurezza fisica dei server e dei data center rientra nell'articolo 21, paragrafo 2 della NIS2, che elenca le dieci categorie di misure che un'entità deve adottare. La direttiva stessa non menziona la "sicurezza fisica" come punto separato, ma la classifica nella sicurezza dei sistemi informativi e dei beni aziendali — la stessa categoria in cui rientra anche la politica di accesso e la gestione dei beni aziendali rientra. Se il questionario chiede specificamente del controllo degli accessi al locale, della videosorveglianza, o della climatizzazione e della protezione antincendio della sala server, in realtà ti trovi di fronte alla stessa domanda della sicurezza logica degli accessi, solo nella sua variante fisica.

Se disponi di una sala server propria, la risposta è spesso concretamente documentabile: sistemi di badge o chiavi, registri dei visitatori, telecamere e un contratto di manutenzione per il controllo climatico sono prove comuni. Se la tua infrastruttura è gestita presso un fornitore di servizi cloud o un partner di colocation, la questione cambia: non si tratta della tua sicurezza fisica, ma di quella del tuo fornitore, e questo rientra tra i requisiti di sicurezza che imponi ai tuoi fornitori. In tal caso, la risposta comune è un riferimento al certificato o all'attestazione del fornitore (spesso una dichiarazione ISO 27001 o un rapporto SOC 2), non una descrizione autonoma di una struttura che non gestisci. Se non disponi di tale documento, allora "no, non ancora disponibile" con una nota che verrà richiesto al fornitore è di fatto corretto — meglio di un'ipotesi.

Dove questo è contenuto nell'Allegato A di ISO 27001

ISO/IEC 27001 affronta la sicurezza fisica in modo più concreto rispetto a NIS2: l'Allegato A contiene una categoria separata di misure di controllo per l'ambiente fisico, con argomenti quali zone di accesso, protezione dalle minacce fisiche e sicurezza delle apparecchiature. Le imprese che già operano secondo quello schema è certificata ISO 27001 possono spesso fare direttamente riferimento alla dichiarazione di applicabilità (la Statement of Applicability), in cui queste misure sono già sviluppate. Per le entità olandesi che ricadranno sotto la Legge sulla cibersicurezza, questa categoria è una delle dieci su cui è possibile il controllo non appena quella legge — l'attuazione di NIS2 — entrerà in vigore il 15 agosto 2026.