En teknisk gennemgang ser også på rummene, hvor udstyret står: hvem der kan komme ind, hvordan adgangen registreres, hvad der sker ved strømsvigt, om temperatur og fugt overvåges, og om kabler og porte er beskyttet og mærket. Det er de fysiske forhold, der afgør, om resten af opsætningen bliver ved med at virke.
Gennemgangen er en læsning af lister, logs og opsætning, suppleret med en rundgang. Den afprøver ikke adgangskontrollen.
Målestokken: punkt 13 i forordning 2024/2690
Fysisk og miljømæssig sikkerhed har sit eget punkt i bilaget til forordning 2024/2690. Alle krav er formuleret “hvor det er relevant”. En relevant enhed, der fravælger et af dem, skal dokumentere begrundelsen. Det er et kontrolpunkt i sig selv: findes begrundelsen?
Forordningen binder kun den kreds af digitale tjenesteudbydere, den opregner. For andre er det vores tolkning, at punktet er en god tjekliste.
Punkt 13 rummer tre dele.
Forsyninger (13.1.2). Beskyttelse mod strømsvigt og forstyrrelser i forsyninger: el, telekommunikation, vand, ventilation og klima. Reservekapacitet overvejes. El- og telekabler, der bærer data, beskyttes mod aflytning og beskadigelse. Der er kontrakter om nødforsyning, fx brændstof til nødstrøm. Forsyningen overvåges, vedligeholdes og testes, navnlig el, temperatur og fugt.
Miljøtrusler (13.2.2). Der fastsættes mindste- og højeste tærskler for fysiske og miljømæssige trusler, og miljøparametrene overvåges med rapportering, når en tærskel overskrides.
Adgang (13.3.2). Sikkerhedsperimetre, adgangskontrol og løbende overvågning af lokaler for uautoriseret fysisk adgang.
Alle tre dele testes og gennemgås regelmæssigt og efter væsentlige hændelser (13.1.3, 13.2.3, 13.3.3).
Logningen skal efter bilagets punkt 3.2.3, litra i og l, hvor det giver mening, dække fysisk adgang til faciliteterne og miljøbegivenheder.
Det, DORA tilføjer om adgang
DORA-standarden i forordning 2024/1774 retter sig mod finansielle enheder og kræver, at personer med adgang til lokaler, datacentre og følsomme områder identificeres og logføres, at fysiske adgangsrettigheder kun gives til autoriserede efter behov, at den fysiske adgang overvåges, og at rettighederne gennemgås (artikel 21, litra g). Artikel 18 kræver en politik for fysisk og miljømæssig sikkerhed, herunder beskyttelse af IKT-aktiver, der står uden opsyn.
Udtrækkene og rundgangen
Adgangslisten. Hvem har nøgle, kort eller kode til serverrummet og krydsfelterne? Listen trækkes fra adgangssystemet og sammenholdes med medarbejderlisten. Fratrådte, vikarer og håndværkere er de typiske fund. Står adgangen ikke i et system, men på fysiske nøgler, skal nøglelisten findes.
Adgangsloggen. Viser den, hvem der har været i rummet, og hvornår? Gemmes den?
Nødstrømmen. Hvor længe holder den, hvad dækker den, og hvornår blev den sidst testet? Testprotokollen er beviset.
Temperatur og fugt. Er der målere, er der fastsat grænser, og går der en alarm til en person, der reagerer? En alarm, der kun lyser i rummet, opdages først, når nogen går derind.
Krydsfelter. De står ofte i et skab på en gang eller i et kælderrum. Er skabet låst? Er der aktive porte, der ikke er i brug? Det sidste hænger sammen med netværksadgang for ukendt udstyr.
Mærkning. Mærkning af kabler og porte har ingen læst kilde. Den er praksis, men den gør det muligt at se, om en port er i brug, og hvad den forbinder.
Når udstyret står hos en hostingudbyder
Står serverne i et datacenter hos en udbyder, ligger de fleste kontrolpunkter hos udbyderen. Det, I selv kan vise, er listen over jeres folk med adgang og udbyderens log over deres besøg. Resten er et spørgsmål om aftalen og udbyderens dokumentation, ikke om opsætning.
Det kan driften selv
Adgangslisten er den hurtigste gevinst. Træk den fra adgangssystemet, og sammenhold den med medarbejderlisten fra HR. Fjern adgange, der ikke længere skal bruges, og skriv op, hvem der har fysiske nøgler. Se derefter, hvor alarmerne for temperatur og fugt sendes hen, og test, at de når frem.
Test af nødstrøm kræver ofte en aftale med bygningens ejer eller en leverandør. Sæt datoen i kalenderen, og gem protokollen et fast sted.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgangslisten, en stikprøve af adgangsloggen, testprotokollen for nødstrøm og alarmopsætningen for temperatur og fugt. Rundgangen tager kort tid, hvis nogen kender rummene.
Fysiske forhold giver nedetid, der ikke kan rettes med en konfiguration. Et rum, der bliver for varmt en sommerweekend, eller en nødstrøm, der ikke starter, stopper alt bag den. Og en nøgle hos en tidligere medarbejder giver adgang til udstyr, al anden kontrol hviler på.
Det skal I lade være med
- At lade alarmer for temperatur kun lyse i rummet · send dem til en, der reagerer.
- At gå ud fra, at nødstrømmen virker · testprotokollen er beviset.
- At glemme krydsfelterne på gangene · de er også en del af nettet.
Det skal gennemgangen kunne vise
- ☐ En liste over personer med adgang til serverrum og krydsfelter, afstemt mod medarbejderlisten.
- ☐ En adgangslog, der gemmes.
- ☐ Dato og resultat af seneste test af nødstrøm.
- ☐ Fastsatte grænser for temperatur og fugt og alarmer, der når en person.
- ☐ Begrundelser for fravalgte krav, hvis punkt 13 bruges som målestok.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 3.2.3 og 13, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 18 og 21, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over personer med adgang til serverrummet, og sammenhold den med medarbejderlisten.
Læs også: Gendannelse fra nul · Alarmer: findes reglerne, og reagerer nogen?
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
