Réglementation
KRITIS et NIS2, sans les certificats
Deux régimes régissent la sécurité d'un centre de données allemand : les règles nationales sur les infrastructures critiques, KRITIS, et la directive européenne NIS2 telle que transposée en droit allemand. On en parle généralement comme de certificats. Ce n'en sont pas, et cette page dit ce qu'ils sont réellement.
Ce que le droit allemand des infrastructures critiques et la directive européenne imposent réellement à un opérateur, et pourquoi personne ici n'est certifié.
KRITIS est un seuil, pas un label
La réglementation allemande sur les infrastructures critiques s'applique aux opérateurs au-dessus de seuils définis dans des secteurs définis, dont les technologies de l'information et les télécommunications. Être concerné est une question de puissance fournie mesurée, pas de demande. Une fois concerné, un opérateur doit à l'office fédéral la preuve de mesures organisationnelles et techniques appropriées, selon un cycle, et doit une notification quand quelque chose se produit.
NIS2 élargit le filet
La directive européenne sur la sécurité des réseaux et de l'information relève les obligations et élargit fortement la population concernée, touchant des opérateurs qui se trouvaient en dessous de tous les seuils précédents. La transposition allemande la porte en droit national. Son centre de gravité est la gestion du risque, la sécurité de la chaîne d'approvisionnement, le signalement des incidents à bref délai, et — la partie qui change les comportements — la responsabilité de la direction.
Pourquoi nous n'écrivons jamais « conforme »
Aucun des deux régimes ne délivre de certificat qu'un bâtiment pourrait brandir. Il existe un parcours d'audit, des attestations par rapport à des normes comme l'ISO 27001, et une relation de surveillance. Un centre de données en construction est sur une trajectoire vers des obligations qui commencent quand il entre en exploitation. Revendiquer ce label sur un site pas encore en exploitation décrit un statut qui ne peut pas encore exister, et tout examinateur qui connaît le régime y lit un signal d'alerte.
Ce que cela fait au plan
La réglementation de sécurité coûte le moins cher à satisfaire quand elle est intégrée dès la conception, et le plus cher quand elle est ajoutée après coup. Des zones depuis la limite publique jusqu'à la salle informatique, des limites physiques avant les limites électroniques, des accès journalisés par zone, et un centre combiné de sécurité et d'exploitation réseau. Ce sont des lignes sur un plan de site, et elles coûtent le moins cher le jour où ce plan est dessiné pour la première fois.
