vragenlijst vraagt naar fysieke beveiliging van serverruimte of datacenter

Fysieke beveiliging valt onder toegangsbeleid, niet onder een los thema

De vraag naar fysieke beveiliging van de serverruimte of het datacenter is meestal een uitwerking van een breder punt: het toegangsbeleid, inclusief het beheer van bedrijfsmiddelen. Wie fysiek bij de apparatuur kan komen, kan namelijk ook logisch toegang krijgen — daarom staat dit meestal in dezelfde paragraaf als toegangsbeheer, niet als los onderwerp. Antwoord op basis van wat er echt is: badge- of sleutelsysteem, cameratoezicht, wie er een sleutel of pas heeft, en of dat gelogd wordt. Zit de serverruimte bij een externe datacenterleverancier, dan is het antwoord vaak een verwijzing naar hún maatregelen, niet naar iets dat de onderneming zelf beheert.

Is de hosting uitbesteed, dan ligt de vraag dicht tegen ketenbeheer aan: de eisen die de onderneming aan haar eigen leveranciers stelt is dan het aanknopingspunt, met als bewijsstuk het datacentercertificaat of de SOC 2-rapportage van de leverancier, niet een eigen beschrijving van sloten en camera's. Heeft de onderneming geen eigen serverruimte en alles in de cloud, dan is "niet van toepassing, diensten draaien bij [leverancier], zie hun certificering" een volledig antwoord — mits dat ook echt zo is. Ontbreekt een formeel bewijsstuk maar is er wel een feitelijke maatregel (bijvoorbeeld: serverruimte in afgesloten kast in een pand met toegangscontrole), dan is dat ook een geldig antwoord — alleen zonder certificaat erbij.

Waar dit vandaan komt: Annex A en artikel 21 lid 2

ISO/IEC 27001 Annex A benoemt fysieke en omgevingsbeveiliging als eigen beheersmaatregel, los van logische toegangscontrole — vandaar dat een auditor er apart naar vraagt, ook al valt het bij Supplia onder hetzelfde ketendossier. Artikel 21 lid 2 van de NIS2-richtlijn noemt fysieke beveiliging niet als apart punt tussen de tien maatregelen, maar toegangscontrolebeleid en beveiliging van bedrijfsmiddelen vallen er wel onder — fysieke toegang tot de serverruimte is daarvan een praktische invulling. Onder de Cyberbeveiligingswet, de Nederlandse omzetting die op 15 augustus 2026 in werking treedt, verandert dat niet fundamenteel: de tien maatregelen komen terug, fysieke beveiliging blijft een onderdeel van toegangsbeheer in plaats van een zelfstandige eis.