frågelistan frågar om fysisk säkerhet för serverrum eller datacenter

Fysisk säkerhet faller under åtkomstpolicy, inte under ett separat tema

Frågan om fysisk säkerhet för serverrummet eller datacentret är vanligtvis en utarbetning av en bredare punkt: åtkomstpolicyn, inklusive hantering av affärstillgångarDen som fysiskt kan komma åt utrustningen kan nämligen också få logisk åtkomst — därför finns detta vanligtvis i samma avsnitt som åtkomstkontroll, inte som ett separat ämne. Svara baserat på vad som faktiskt finns: märke- eller nyckelkort-system, kameraövervakning, vem som har en nyckel eller ett kort, och om det loggas. Om serverrummet är hos en extern datacenterleverantör är svaret ofta en hänvisning till deras åtgärder, inte något som företaget själv hanterar.

Om hostingen är outsourcad ligger frågan nära supply chain management: de krav som företaget ställer på sina egna leverantörer är då utgångspunkten, med datacentercertifikatet eller leverantörens SOC 2-rapport som bevis, inte en egen beskrivning av lås och kameror. Om företaget inte har något eget serverrum och allt är i molnet är "inte tillämpligt, tjänster körs hos [leverantör], se deras certifiering" ett fullständigt svar — förutsatt att det faktiskt är så. Om ett formellt bevis saknas men det finns en faktisk åtgärd (till exempel: serverrum i skåp i ett lokaler med åtkomstkontroll) är det också ett giltigt svar — bara utan certifikat bifogat.

Varifrån detta kommer: Annex A och artikel 21 stycke 2

ISO/IEC 27001 Annex A nämner fysisk och miljömässig säkerhet som en separat kontrollåtgärd, skild från logisk åtkomstkontroll — därför frågar en revisor separat om det, även om det faller under samma kedjedossier på Supplia. Artikel 21 punkt 2 i NIS2-direktivet nämner inte fysisk säkerhet som en separat punkt bland de tio åtgärderna, men åtkomstkontrollpolicy och säkerhet för företagstillgångar faller däremot under det — fysisk åtkomst till serverrummet är en praktisk tillämpning av det. Enligt den nederländska omställningen, Cyberbeveiligingswet, som träder i kraft den 15 augusti 2026, ändras det inte i grund: de tio åtgärderna återkommer, fysisk säkerhet förblir en del av åtkomstkontroll i stället för ett fristående krav.