Artikel 21 NIS-2 verlangt „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“. Der Ansatz ist gefahrenübergreifend und schließt die physische Umwelt der Netz- und Informationssysteme ein. Einen Katalog physischer Schutzmaßnahmen enthält die Richtlinie nicht.
Welche Maßnahmen eine Anlage braucht, ergibt die Risikoanalyse. Für den physischen Schutz kritischer Anlagen ist § 13 KRITIS-Dachgesetz die einschlägige Vorschrift; er nennt bauliche und technische Sicherung, Überwachung der Umgebung, Detektionseinrichtungen und Zugangskontrollen. In der Praxis heißt das für ein Umspannwerk oder ein Rechenzentrum: Perimeterschutz, Zutrittskontrolle, Objektüberwachung und eine nachweisbare Dokumentation.