jak wpisuję odpowiedź na pytanie o fizyczne bezpieczeństwo naszego centrum danych

Fizyczne zabezpieczenie wchodzi w skład dziesięciu środków

Fizyczne zabezpieczenie serwerów i centrów danych wchodzi w zakres artykułu 21 ust. 2 dyrektywy NIS2, który wylicza dziesięć kategorii środków, które podmiot musi wdrożyć. Sama dyrektywa nie wymienia "fizycznego zabezpieczenia" jako osobnego punktu, ale zalicza to do zabezpieczenia systemów informacyjnych i zasobów przedsiębiorstwa — tej samej kategorii, do której należy również polityki dostępu i zarządzania zasobami przedsiębiorstwa należy. Jeśli ankieta pyta konkretnie o kontrolę dostępu do budynku, monitorowanie kamerami lub kontrolę klimatu i ochronę przed pożarem w serwerowni, faktycznie masz do czynienia z tym samym pytaniem co logiczne zabezpieczenie dostępu, tyle że jego fizyczną wersją.

Jeśli posiadasz własną serwerownię, odpowiedź jest często możliwa do konkretnego udokumentowania: systemy badge'owe lub kluczowe, rejestracja odwiedzających, kamery oraz umowa na obsługę systemu klimatyzacyjnego to powszechne dowody. Jeśli Twoja infrastruktura działa u dostawcy usług w chmurze lub u partnera colocatiowego, pytanie się zmienia: wtedy nie chodzi o Twoje fizyczne zabezpieczenie, ale o zabezpieczenie dostawcy, i to wchodzi w zakres wymogów bezpieczeństwa, które stawiasz wobec własnych dostawców. W tym przypadku zwyczajową odpowiedzią jest odniesienie do certyfikatu lub zaświadczenia dostawcy (często deklaracja ISO 27001 lub raport SOC 2), a nie własny opis obiektu, którym nie zarządzasz. Jeśli nie masz tego dokumentu na podorędziu, to "nie, nie jest jeszcze dostępne" wraz z wyjaśnieniem, że jest ono pozyskiwane u dostawcy, jest faktycznie poprawne — lepsze niż domniemanie.

Gdzie to znajduje się w Załączniku A normy ISO 27001

ISO/IEC 27001 bardziej konkretnie niż NIS2 opracowuje zabezpieczenia fizyczne: Załącznik A zawiera oddzielną kategorię środków kontrolnych dla otoczenia fizycznego, z tematami takimi jak strefy dostępu, ochrona przed zagrożeniami fizycznymi i bezpieczeństwo urządzeń. Przedsiębiorstwa, które już działają zgodnie z tym schematem jest certyfikowane ISO 27001 mogą w przypadku tego pytania często bezpośrednio odwoływać się do deklaracji stosowania (Statement of Applicability), w której te środki zostały już opisane. Dla polskich podmiotów, które same będą podlegać ustawie o bezpieczeństwie cyberprzestrzeni, ta kategoria jest jedną z dziesięciu, na które możliwy jest nadzór od momentu wejścia w życie tej ustawy — wdrożenia NIS2 — 15 sierpnia 2026 roku.