Ako si mám odpovedať na otázku o fyzickej bezpečnosti nášho dátového centra

Fyzická bezpečnosť patrí medzi desať opatrení

Fyzická bezpečnosť serverov a datacentier patrí pod článok 21 odsek 2 smernice NIS2, ktorý uvádza desať kategórií opatrení, ktoré musí subjekt prijať. Samotná smernica výslovne neuvádzastítko "fyzickú bezpečnosť" ako samostatný bod, ale zaraďuje ju pod bezpečnosť informačných systémov a podnikateľských prostriedkov — do rovnakej kategórie, kam patria aj politike prístupu a správe podnikových aktív podľa ktorého spadá. Ak zoznam špecificky pýta na kontrolu prístupu do budovy, bezpečnosť kamier alebo klimatizáciu a požiarnu bezpečnosť serverovne, nachádzaš sa fakticky v rovnakej otázke ako logická bezpečnosť prístupu, len v jej fyzickej variant.

Ak máš vlastnú serverovňu, odpoveď sa často dá konkrétne zdôvodniť: systémy s plastovými kartami alebo kľúčmi, registrácia návštevníkov, kamery a zmluva o údržbe klimatizácie sú bežné dôkazné dokumenty. Ak tvoja infraštruktúra beží u poskytovateľa cloudových služieb alebo u poskytovania kolokačných služieb, otázka sa posúva: potom nejde o tvoju fyzickú bezpečnosť, ale o bezpečnosť svojho poskytovateľa, a to patrí medzi požiadavky bezpečnosti, ktoré si kladieš na svojich vlastných dodávateľov. V tom prípade je obvyklou odpoveďou odkaz na certifikát alebo osvedčenie dodávateľa (často vyhlásenie ISO 27001 alebo správu SOC 2), nie vlastný popis objektu, ktorý nespravujete. Ak tento doklad nemáte po ruke, potom je "nie, zatiaľ nedostupné" s vysvetlením, že sa zisťuje od dodávateľa, fakticky správne — lepšie ako predpoklad.

Kde je to v prílohe A normy ISO 27001

ISO/IEC 27001 konkrétnejšie rozpracováva fyzickú bezpečnosť ako NIS2: príloha A obsahuje samostatnú kategóriu kontrolných opatrení pre fyzické prostredie s témami ako prístupové zóny, ochrana pred fyzickými hrozbami a bezpečnosť vybavenia. Podniky, ktoré už podľa tohto schémy sú, certifikovaný podľa ISO 27001 sú, môžu na túto otázku často priamo odkazovať na vyhlásenie o použiteľnosti (Statement of Applicability), v ktorom sú tieto opatrenia už rozpracované. Pre holandské subjekty, ktoré budú samé podliehať Zákonu o kybernetickej bezpečnosti, je táto kategória jednou z desiatich, na ktoré je možný dohľad hneď ako tento zákon — transpozícia NIS2 — nadobudne účinnosť 15. augusta 2026.