IT-Label versus ISO 27001: het verschil uitgelegd

Moderne organisaties draaien vrijwel volledig op digitale systemen. Cloudapplicaties, hybride werkplekken, videovergaderen, toegangscontrole, sensoren en steeds vaker AI-toepassingen zijn dagelijkse realiteit geworden. Al die systemen hebben een gemeenschappelijke voorwaarde: een betrouwbare digitale omgeving waarin ze kunnen functioneren.

Cybersecurity wordt in de praktijk vaak beschouwd als een taak van de IT-afdeling. Beleid, wachtwoorden, back-ups en toegangsrechten worden daar geregeld. Maar er is een deel van het verhaal dat minder aandacht krijgt: de fysieke omgeving. Een gebouw levert de connectiviteit, de bekabeling, de technische ruimtes en de netwerkvoorzieningen waarop de digitale systemen van een organisatie uiteindelijk steunen.

Dat roept een logische vraag op. Hoe verhoudt een gevestigde norm als ISO 27001 zich tot het IT-label? Beide gaan over digitale weerbaarheid, maar ze kijken naar verschillende dingen. In dit artikel leggen we het verschil uit en laten we zien waarom de twee elkaar juist versterken.

Wat is ISO 27001?

ISO 27001 is een internationale norm voor informatiebeveiligingsmanagementsystemen, in het Engels afgekort tot ISMS. De norm beschrijft hoe een organisatie de beveiliging van informatie systematisch inricht, beheerst en verbetert. Het gaat dus niet om losse technische maatregelen, maar om een samenhangend managementsysteem.

De norm richt zich onder meer op de volgende onderdelen:

• beleid en procedures rondom informatiebeveiliging;
• risicoanalyses en het beheersen van risico's;
• toegangsbeheer tot informatie en systemen;
• incidentmanagement en de omgang met datalekken;
• bewustwording en training van medewerkers;
• continue verbetering van de informatiebeveiliging.

De kern is eenvoudig samen te vatten: ISO 27001 beoordeelt hoe een organisatie haar informatiebeveiliging organiseert en beheerst. Een organisatie die aan de norm voldoet, laat zien dat zij processen en maatregelen heeft ingericht om informatie veilig te beheren. Het accent ligt op de organisatie, haar mensen en haar werkwijzen, niet op het pand waarin zij is gehuisvest.

Wat is het IT-label?

Het IT-label kijkt naar een ander vraagstuk: de digitale kwaliteit van het gebouw zelf. In plaats van te beoordelen hoe een organisatie werkt, maakt het IT-label inzichtelijk welke technische IT-basis binnen een pand aanwezig is. Wie wil begrijpen wat er precies wordt beoordeeld, vindt daarover meer op de pagina wat het IT-label is.

De classificatie kijkt naar voorzieningen die bepalen of een gebouw moderne digitale toepassingen kan faciliteren, waaronder:

• internetconnectiviteit en beschikbare aansluitingen;
• glasvezelvoorzieningen in en naar het gebouw;
• netwerkbekabeling en de kwaliteit daarvan;
• WiFi-infrastructuur en dekking;
• patchruimtes en technische ruimtes;
• redundantie in verbindingen en voeding;
• klimaatbeheersing van technische ruimtes;
• monitoring en fysieke toegangsbeveiliging van apparatuur;
• de mogelijkheden voor toekomstige digitale toepassingen.

Ook hier is de kern kort te formuleren: het IT-label beoordeelt niet de cybersecurity van een organisatie, maar de digitale gereedheid van het gebouw. Het is geen wettelijke certificering en geen keurmerk met juridische status, maar een onafhankelijke classificatiemethodiek die de digitale basis van vastgoed transparant maakt. De uitkomst wordt uitgedrukt in een classificatie die loopt van IT1+ PREMIUM tot IT5 SHELL.

Het beste beveiligingsbeleid loopt vast op een gebouw dat de verbinding niet aankan. Digitale weerbaarheid heeft een organisatie en een fundering nodig.

Het verschil tussen ISO 27001 en het IT-label

De twee instrumenten worden soms in een adem genoemd, maar ze beoordelen fundamenteel verschillende dingen. De onderstaande vergelijking maakt dat overzichtelijk.

	ISO 27001	IT-label
Focus	Organisatie	Gebouw
Onderwerp	Informatiebeveiligingsmanagement	Digitale infrastructuur
Beoordeling	Processen, beleid en risico's	Technische voorzieningen
Verantwoordelijke	Organisatie en IT-afdeling	Vastgoedeigenaar, ontwikkelaar, beheerder
Doel	Informatie beschermen	Digitale kwaliteit inzichtelijk maken

Waar ISO 27001 het perspectief van de gebruikende organisatie inneemt, neemt het IT-label het perspectief van het pand in. De verantwoordelijkheid ligt bij verschillende partijen. Een IT-manager kan de beveiliging op orde hebben zonder invloed te hebben op de glasvezel die naar het gebouw loopt. Een vastgoedeigenaar kan de infrastructuur op orde brengen zonder iets te weten van het beveiligingsbeleid van de huurder.

Waarom versterken ISO 27001 en het IT-label elkaar?

Juist omdat ze naar verschillende onderdelen kijken, vullen de twee instrumenten elkaar aan. Neem een concreet voorbeeld. Een organisatie kan volledig volgens ISO 27001 werken, met een strak beveiligingsbeleid, getrainde medewerkers en heldere incidentprocedures. Maar diezelfde organisatie kan gevestigd zijn in een gebouw met beperkte netwerkcapaciteit, verouderde bekabeling of zonder redundante verbindingen.

In dat geval is het beleid uitstekend georganiseerd, maar loopt de praktijk vast op de fysieke basis. Als een enkele internetverbinding uitvalt en er geen tweede route is, staan systemen stil, hoe goed het beveiligingsbeleid ook is opgesteld. Het belang van een dubbele route beschrijven we uitgebreider in ons artikel over netwerk redundantie.

Goede informatiebeveiliging vraagt daarom om twee dingen tegelijk: een goed georganiseerd beveiligingsbeleid en een betrouwbare digitale infrastructuur. Het een kan niet zonder het ander. Kort samengevat: ISO 27001 bepaalt hoe een organisatie haar digitale veiligheid organiseert, en het IT-label maakt inzichtelijk op welke digitale fundering die organisatie werkt.

Waarom dit steeds belangrijker wordt voor vastgoed

De afhankelijkheid van digitale infrastructuur groeit in een tempo dat maar weinig gebouwen bijhouden. Een aantal ontwikkelingen versterkt elkaar en verhoogt de eisen aan panden.

Ontwikkelingen die de lat verhogen

• hybride werken, waarbij stabiele verbindingen en goede WiFi-dekking randvoorwaarden zijn geworden;
• de groei van cloudgebruik, waardoor vrijwel elke handeling afhankelijk is van connectiviteit;
• AI-toepassingen, die veel data verplaatsen en gevoelig zijn voor haperende verbindingen;
• slimme gebouwen met sensoren, toegangssystemen en klimaatregeling die op het netwerk draaien;
• strengere eisen en verwachtingen rondom cybersecurity;
• een toenemende afhankelijkheid van stabiele, redundante connectiviteit.

Digitale kwaliteit wordt hierdoor steeds meer onderdeel van de totale vastgoedkwaliteit. Waar het energielabel al jaren een vaste plek heeft in de beoordeling van een pand, ontstaat nu een vergelijkbare behoefte aan inzicht in de digitale basis. We werkten die parallel uit in het artikel over het IT-label versus het energielabel, en verder in de verkenning van smart building technologie.

Voor vastgoedeigenaren is dit relevant omdat de digitale gereedheid van een pand meeweegt in de keuze van huurders. Voor huurders is het relevant omdat zij vooraf willen weten of hun manier van werken past bij het gebouw. Wie zich als gebruiker oriënteert, vindt praktische aandachtspunten op de pagina over waar u op moet letten.

Digitale veiligheid vraagt om samenwerking

Het IT-label vervangt geen normen zoals ISO 27001. Beide instrumenten hebben een eigen, duidelijk afgebakende rol. ISO 27001 geeft inzicht in hoe organisaties hun informatie beveiligen. Het IT-label geeft inzicht in welke digitale basis een gebouw biedt. Ze bijten elkaar niet, ze vullen elkaar aan.

Samen zorgen ze voor meer transparantie, betere keuzes en toekomstbestendiger commercieel vastgoed. Een organisatie die haar informatiebeveiliging serieus neemt, doet er goed aan ook te weten op welke fundering die beveiliging rust. En een vastgoedpartij die de digitale kwaliteit van een pand transparant maakt, geeft huurders en beleggers de informatie die zij nodig hebben.

Wilt u weten welke classificatie bij uw pand past en hoe de beoordeling in zijn werk gaat? Bekijk dan hoe het IT-label werkt, zodat u de digitale basis van uw vastgoed op dezelfde nuchtere manier inzichtelijk maakt als het beveiligingsbeleid van de organisaties die er werken.