Kako izpolnim vprašanje o fizični varnosti našega podatkovnega centra

Fizično varnostno ravnanje spada med deset ukrepov

Fizično varnostno ravnanje strežnikov in podatkovnih centrov spada pod 21. člen 2. odstavka NIS2, ki našteva deset kategorij ukrepov, ki jih mora sprejeti subjekt. Sama direktiva ne omenja »fizičnega varnostnega ravnanja« kot posebne točke, temveč to prišteva k varnosti informacijskih sistemov in poslovnih sredstev — ista kategorija, kamor spada tudi politiko dostopa in upravljanje sredstev podjetja spada. Če se vprašalnik konkretno sprašuje o kontroli dostopa do objekta, nadzoru s kamerami ali kliski- in požarni zaščiti serverske sobe, se v bistvu sprašuje isto vprašanje kot pri logičnem nadzoru dostopa, le da gre za fizično različico tega.

Če imate lastno serversko sobo, je odgovor pogosto konkretno utemelljen: sistemi z značkami ali ključi, registracija obiskovalcev, kamere in pogodba o vzdrževanju za klimatizacijo so običajni dokazi. Če infrastruktura teče pri ponudniku storitev v oblaku ali pri partnerju za solociranje, se vprašanje premakne: ne gre za vašo fizično zaščito, temveč za zaščito vašega ponudnika, in to spada med zahteve za varnost, ki jih postavljate svojim ponudnikom. V tem primeru je običajen odgovor sklicevanje na certifikat ali potrdilo ponudnika (pogosto izjava ISO 27001 ali poročilo SOC 2), ne lastne opis objekta, ki ga ne upravljate. Če tega dokazila nimate pri roki, je »ne, še ni na voljo« s pojasnilom, da se zahteva pri ponudniku, dejansko pravilno — bolje kot predpostavka.

Kjer je to v Aneksu A standarda ISO 27001

ISO/IEC 27001 fizično varnostno ravnanje obdeluje bolj konkretno kot NIS2: Aneks A vsebuje posebno kategorijo nadzornih ukrepov za fizično okolje s temami kot so coni dostopa, zaščita pred fizičnimi grožnjami in zaščita opreme. Podjetja, ki že delujejo po tem shemi, ISO 27001-certificirano , lahko za to vprašanje pogosto neposredno sklicujejo na izjavo o uporabnosti (Izjavo o uporabnosti), v kateri so ti ukrepi že razdelani. Za nizozemske subjekte, ki bodo sami podvrženi Zakonu o kibernetski varnosti, je ta kategorija ena od desetih, na katere je mogoč nadzor, ko ta zakon — prenos NIS2 — 15. avgusta 2026 začne veljati.