Wie fülle ich die Frage zum physischen Schutz unseres Rechenzentrums aus

Physische Sicherung fällt unter die zehn Maßnahmen

Physische Sicherung von Servern und Rechenzentren fällt unter Artikel 21 Absatz 2 der NIS2, der die zehn Kategorien von Maßnahmen aufzählt, die ein Unternehmen treffen muss. Die Richtlinie selbst nennt "physische Sicherung" nicht als separaten Punkt, sondern ordnet dies unter Sicherung von Informationssystemen und Betriebsmitteln ein — dieselbe Kategorie, unter die auch der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen fällt. Fragt die Liste speziell nach Zugangskontrolle zum Gebäude, Videoüberwachung oder Klima- und Brandschutz des Serverraums, befindest du dich faktisch in derselben Frage wie die logische Zugriffskontrolle, nur eben in der physischen Variante davon.

Verfügst du über einen eigenen Serverraum, lässt sich die Antwort oft konkret belegen: Ausweis- oder Schlüsselsysteme, Besucherregistrierung, Kameras und ein Wartungsvertrag für Klimaregelung sind gängige Nachweise. Läuft deine Infrastruktur bei einem Cloud-Anbieter oder Colocations-Partner, verschiebt sich die Frage: dann geht es nicht um deine physische Sicherung, sondern um die deines Anbieters, und das gehört zu den Sicherheitsanforderungen, die du an deine eigenen Lieferanten stellst. In diesem Fall ist die übliche Antwort ein Verweis auf das Zertifikat oder die Bescheinigung des Lieferanten (häufig eine ISO 27001-Erklärung oder ein SOC 2-Bericht), nicht eine eigene Beschreibung eines Gebäudes, das du nicht verwaltst. Hast du diesen Nachweis nicht zur Hand, dann ist "nein, noch nicht verfügbar" mit einer Erläuterung, dass dieser beim Lieferanten angefordert wird, faktisch korrekt — besser als eine Annahme.

Wo das in Annex A von ISO 27001 steht

ISO/IEC 27001 konkretisiert den physischen Schutz detaillierter als NIS2: Annex A enthält eine separate Kategorie von Kontrollen für die physische Umgebung mit Themen wie Zugangszone, Schutz vor physischen Bedrohungen und Schutz von Geräten. Unternehmen, die bereits nach diesem Schema ISO 27001-zertifiziert sind, können bei dieser Frage häufig direkt auf die Erklärung zur Anwendbarkeit (die Statement of Applicability) verweisen, in der diese Kontrollen bereits ausgearbeitet sind. Für niederländische Einrichtungen, die selbst unter das Cybersicherheitsgesetz fallen, ist diese Kategorie eine der zehn, auf die eine Überwachung möglich ist, sobald dieses Gesetz — die Umsetzung von NIS2 — am 15. August 2026 in Kraft tritt.