hur fyller jag i frågan om fysisk säkerhet för vårt datacenter

Fysisk säkerhet ingår bland de tio åtgärderna

Fysisk säkerhet för servrar och datacenter omfattas av artikel 21 stycke 2 i NIS2, som listar de tio åtgärdskategorier som en enhet måste vidta. Direktivet själv nämner inte "fysisk säkerhet" som en separat punkt, utan klassificerar detta under säkerhet för informationssystem och affärstillgångar — samma kategori som också åtkomstpolicy och hantering av företagstillgångar ingår under. Om listan specifikt frågar efter åtkomstkontroll till lokalen, kameraövervakning eller klimat- och brandskydd för serverrummet, befinner du dig faktiskt i samma fråga som den logiska åtkomstkontrollen, bara den fysiska varianten av den.

Om du har eget serverrum kan svaret ofta vara konkret underbyggt: märkes- eller nyckelkortssystem, besöksregistrering, kameror och ett underhållskontrakt för klimatreglering är vanliga bevisstycken. Om din infrastruktur körs hos en molnleverantör eller colocations-partner skiftar frågan: då handlar det inte om din fysiska säkerhet, utan om leverantörens, och det hör till de säkerhetskrav du ställer på egna leverantörer. I det fallet är ett vanligt svar en hänvisning till leverantörens certifikat eller intyg (ofta ett ISO 27001-utlåtande eller en SOC 2-rapport), inte en egen beskrivning av en lokal som du inte kontrollerar. Om du inte har detta bevisstycke tillhanda är "nej, ännu inte tillgängligt" med en förklaring att det efterfrågas från leverantören faktiskt korrekt — bättre än en gissning.

Där det står i Annex A i ISO 27001

ISO/IEC 27001 konkretiserar fysisk säkerhet mer än NIS2: Annex A innehåller en separat kategori kontrollåtgärder för den fysiska miljön, med ämnen som åtkomstzoner, skydd mot fysiska hot och säkerhet för utrustning. Företag som redan ISO 27001-certifierat enligt det schemat kan ofta för denna fråga hänvisa direkt till tillämplighetsförklaringen (Statement of Applicability), där dessa åtgärder redan är utarbetade. För nederländska enheter som själva kommer att omfattas av Cybersäkerhetsloven är denna kategori en av tio som kan övervakas när denna lag — implementeringen av NIS2 — träder i kraft den 15 augusti 2026.