Cyberbeveiligingswet en de digitale gebouwlaag

Nederland stelt steeds hogere eisen aan de digitale weerbaarheid van organisaties. Met de Cyberbeveiligingswet, die de Europese NIS2-richtlijn omzet in nationale wetgeving, wordt van bestuurders verwacht dat zij cyberrisico's kennen, beheersen en periodiek beoordelen. Digitale weerbaarheid wordt daarmee een bestuurlijke verantwoordelijkheid, geen technische bijzaak meer.

Toch bestaat weerbaarheid uit meer dan software, firewalls, wachtwoorden, beleid en getrainde medewerkers. Iedere digitale organisatie opereert uiteindelijk vanuit een fysieke omgeving. Een kantoor, een ziekenhuis, een overheidsgebouw, een onderzoeksinstelling of een datacenter bevat de fysieke en digitale infrastructuur waarop de dagelijkse bedrijfsvoering rust.

Dat leidt tot een vraag die in de discussie over de nieuwe wet nog te weinig aandacht krijgt: kunnen we de digitale weerbaarheid van organisaties serieus monitoren als we niet weten hoe digitaal weerbaar de gebouwen en werkplekken zijn waarin zij opereren?

Wat de Cyberbeveiligingswet betekent

De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de NIS2-richtlijn en is in werking getreden. Waar eerdere regelgeving zich beperkte tot een relatief kleine groep vitale aanbieders, verbreedt deze wet het toepassingsgebied aanzienlijk. Naar schatting krijgen circa 8.000 organisaties in 18 sectoren ermee te maken.

Onder het toepassingsgebied vallen onder meer overheid, energie, gezondheidszorg, vervoer en digitale infrastructuur. Deze organisaties worden aangemerkt als essentieel of belangrijk en krijgen te maken met een aantal concrete verplichtingen. De belangrijkste zijn de zorgplicht, de registratieplicht en de meldplicht.

De zorgplicht verplicht organisaties om risico's te analyseren en passende en evenredige maatregelen te nemen om hun netwerk- en informatiesystemen te beschermen. De registratieplicht zorgt ervoor dat toezichthouders weten welke organisaties onder de wet vallen. De meldplicht verplicht tot het tijdig melden van significante incidenten.

Twee elementen springen eruit. Ten eerste dragen bestuurders persoonlijk verantwoordelijkheid voor de beheersing van cyberrisico's. Ten tweede zijn maatregelen geen eenmalige exercitie: ze moeten periodiek op effectiviteit worden beoordeeld. Beide punten maken de vraag naar de onderliggende infrastructuur relevanter dan ooit, en daarmee ook de rol van het vastgoed. Dat is een van de redenen waarom cybersecurity in vastgoed geen los onderwerp meer is.

De interessante passage: de fysieke omgeving

Bij de uitleg van de zorgplicht geeft het NCSC aan dat organisaties niet alleen hun netwerk- en informatiesystemen tegen incidenten moeten beschermen, maar ook de fysieke omgeving waarin deze systemen zich bevinden. Die zinsnede is klein, maar de gevolgen zijn groot.

Want waar bevindt IT zich? In gebouwen. Waar komen glasvezelverbindingen binnen? In gebouwen. Waar staan routers, switches, patchkasten en lokale servers? In gebouwen. Waar maken medewerkers verbinding met bedrijfsnetwerken en cloudomgevingen? Op hun werkplek. En waar bevinden zich toegangssystemen, camera's, gebouwbeheersystemen, sensoren en steeds meer IoT-apparatuur? Opnieuw: in het vastgoed.

De conclusie ligt voor de hand. Cybersecurity stopt niet bij de firewall. Het begint mede bij de fysieke en digitale infrastructuur van de locatie. Een technische ruimte die voor iedereen toegankelijk is, een enkele niet-redundante internetverbinding of een netwerk zonder segmentatie zijn geen abstracte beleidskwesties, maar concrete eigenschappen van een gebouw.

Een organisatie kan haar cybersecuritybeleid perfect op papier hebben en tegelijk nauwelijks weten wat er zich fysiek afspeelt in de meterkast van het pand dat zij huurt.

De blinde vlek tussen IT, vastgoed en wetgeving

Hier ontstaat een blinde vlek. Een organisatie kan haar organisatorische IT-laag uitstekend hebben ingericht, met beleid, procedures en toezicht. Maar wat weet zij daadwerkelijk van de digitale infrastructuur van het gebouw waarin zij zit?

De relevante vragen zijn talrijk en concreet:

• welke internetverbindingen zijn aanwezig en van welke aanbieders;
• ligt er glasvezel en wat is de kwaliteit ervan;
• is er sprake van redundantie van verbindingen;
• zijn technische ruimten fysiek gescheiden en beveiligd;
• hoe is de netwerkbekabeling opgebouwd;
• hoe zijn patch- en serverruimten ingericht;
• hoe werkt de toegangscontrole;
• hoe is de WiFi-infrastructuur en de segmentatie van netwerken geregeld;
• welke back-upvoorzieningen en continuïteitsmaatregelen zijn er bij storingen;
• welke gebouwgebonden IoT- en smart-building-systemen draaien er mee;
• en waar liggen de verantwoordelijkheden van verhuurder, huurder en IT-leveranciers.

Wie maakt deze infrastructuur inzichtelijk wanneer een organisatie een nieuw gebouw huurt? In de praktijk krijgt een huurder informatie over vierkante meters, energielabel, parkeerplaatsen, installaties en servicekosten. Maar krijgt diezelfde organisatie ook een begrijpelijk overzicht van het digitale opleverniveau? Vaak niet, en die informatie ontbreekt in vrijwel elke huurbrochure.

IT-label als ontbrekende vertaallaag

Hier past het IT-label als onafhankelijke en begrijpelijke classificatie van het digitale opleverniveau van commercieel vastgoed. Het is belangrijk om precies te zijn over wat het wel en niet is. Het IT-label is geen vervanging van de Cyberbeveiligingswet, NIS2, ISO 27001, de NEN-normen, BIO2 of een cybersecurity-audit. Een gebouw met een bepaald label is dus niet automatisch NIS2-conform.

De kracht zit ergens anders. Het IT-label maakt zichtbaar wat nu vaak onzichtbaar blijft. Het brengt de digitale infrastructuur van een gebouw of werkplek gestructureerd in kaart en vertaalt technische informatie naar een niveau dat huurders, verhuurders, assetmanagers, makelaars, IT-professionals en bestuurders kunnen begrijpen. Dat het geen keurmerk maar een vertaling is, is precies de reden dat het naast de wetgeving kan bestaan.

Een periodieke IT-label-audit kan daardoor bijdragen aan:

1. inzicht in de aanwezige digitale infrastructuur;
2. signalering van mogelijke kwetsbaarheden of ontbrekende voorzieningen;
3. duidelijkheid over het digitale opleverniveau;
4. een betere demarcatie tussen de verantwoordelijkheden van huurder en verhuurder;
5. documentatie van veranderingen in een gebouw;
6. periodieke monitoring van de digitale gereedheid;
7. betere besluitvorming bij huur, verhuur, renovatie en investeringen.

De classificatie kent verschillende niveaus, van IT1+ PREMIUM voor gebouwen met de meest volledige, redundante en toekomstgerichte infrastructuur tot IT5 SHELL voor een casco oplevering zonder digitale infrastructuur. Elk niveau beschrijft een situatie, niet een oordeel. Een IT5 SHELL kan een bewuste keuze zijn; het label zorgt er alleen voor dat die keuze zichtbaar en bespreekbaar wordt.

Van energielabel naar digitale transparantie

De vergelijking met het energielabel dringt zich op. Van vrijwel ieder commercieel gebouw willen overheid, eigenaar en gebruiker weten hoe het energetisch presteert. Dat inzicht is genormaliseerd, gestandaardiseerd en breed geaccepteerd.

Maar in een economie waarin organisaties steeds afhankelijker worden van cloud, data, AI, cybersecurity en digitale dienstverlening weten we vaak nauwelijks wat hetzelfde gebouw digitaal aankan. Dat roept een beleidsmatige vraag op: waarom maken we energieprestaties van gebouwen systematisch inzichtelijk, terwijl er nog nauwelijks een uniforme taal bestaat voor hun digitale infrastructuur?

Een classificatiesysteem kan die uniforme taal leveren. Eerst als marktstandaard, waarmee huurders, eigenaren en adviseurs hetzelfde bedoelen als zij het over digitale kwaliteit hebben. En mogelijk op termijn als aanvullende informatiebron voor overheid, vastgoedsector en gebruikers. De parallel is niet vergezocht: net als bij de energielabels kan digitale transparantie de nieuwe basis worden waarop de markt zich oriënteert.

Wat een label wel en niet zegt over compliance

Het is nuttig om beide grootheden naast elkaar te zetten, zodat duidelijk blijft waar de wetgeving eindigt en waar het label begint. De onderstaande vergelijking laat zien dat het geen concurrenten zijn, maar aanvullende perspectieven.

Een vraag aan de overheid

Deze blog is daarom ook een uitnodiging aan de Nederlandse overheid, het NCSC, toezichthouders, gemeenten en andere publieke organisaties om verder te kijken dan uitsluitend de organisatorische IT-laag. Niet als kritiek op de Cyberbeveiligingswet, maar juist als praktische vertaalslag ervan naar de gebouwde omgeving.

De overheid vraagt organisaties om risico's inzichtelijk te maken, hun assets te kennen en maatregelen periodiek te beoordelen. De logische vervolgvraag luidt dan: moeten we niet ook beter inzichtelijk maken welke digitale infrastructuur aanwezig is in de gebouwen waarin onze essentiële en belangrijke organisaties dagelijks functioneren?

Een organisatie kan haar systemen goed beschermen en tegelijk gehuisvest zijn in een pand waarvan niemand precies weet hoe de technische ruimten zijn beveiligd of hoe de verbindingen zijn opgebouwd. Zolang die gebouwlaag onzichtbaar blijft, blijft ook een deel van de weerbaarheid onzichtbaar. Dit is precies het soort transparantie waar het beleidsvraagstuk rond overheidsbeleid baat bij heeft.

Wat het betekent voor gebruikers en bestuurders

Voor gebruikers verandert de kernvraag bij het zoeken naar bedrijfshuisvesting. De traditionele vraag luidde: hoeveel vierkante meter hebben we nodig? Daar komt een tweede vraag bij: wat moet onze organisatie hier digitaal kunnen? En uiteindelijk een derde: kan deze locatie onze digitale bedrijfsvoering, onze cybersecurity-eisen en onze toekomstige AI-toepassingen daadwerkelijk ondersteunen?

Voor bestuurders wordt de verbinding nog directer. Wanneer zij onder de Cyberbeveiligingswet nadrukkelijk verantwoordelijk worden voor digitale weerbaarheid, wordt inzicht in de fysieke digitale infrastructuur waarvan de organisatie afhankelijk is eveneens relevanter. Verantwoordelijkheid dragen voor iets wat je niet kunt zien, is lastig te verantwoorden.

Dat maakt heldere afspraken over demarcatie belangrijk. Wie is verantwoordelijk voor de bekabeling, wie voor de verbinding, wie voor de technische ruimte? Deze vragen spelen vooral in huurvastgoed, waar de verdeling van verantwoordelijkheden nog te vaak impliciet blijft.

AI maakt deze discussie urgenter

De komende jaren zullen organisaties meer data verwerken, meer cloudtoepassingen gebruiken, meer apparaten koppelen en steeds afhankelijker worden van connectiviteit. Daardoor verandert vastgoed van karakter. Een kantoor is niet langer alleen een verzameling vierkante meters. Het wordt digitale infrastructuur waarin mensen werken.

Een gebouw dat vandaag voldoende functioneert, hoeft niet automatisch geschikt te zijn voor het datagebruik en de AI-toepassingen van morgen. De vraag naar bandbreedte, redundantie en verwerkingscapaciteit groeit sneller dan veel bestaande panden zijn ontworpen om aan te kunnen. Digitale infrastructuur moet daarom onderdeel worden van toekomstbestendig vastgoedbeleid, en niet pas achteraf worden ingehaald.

Zo grijpen wetgeving en techniek in elkaar. De Cyberbeveiligingswet vraagt om weerbaarheid, AI vergroot de afhankelijkheid, en het gebouw is de plek waar beide samenkomen.

De concrete vervolgstap

De Cyberbeveiligingswet maakt digitale weerbaarheid een bestuurlijke verantwoordelijkheid. Het IT-label kan helpen om een van de vaak onzichtbare onderdelen daarvan zichtbaar te maken: de digitale infrastructuur van de fysieke werkplek. Niet als vervanging van cybersecuritywetgeving, niet als NIS2-certificaat, maar als onafhankelijke vertaalslag tussen IT, vastgoed, gebruiker en bestuur.

Als Nederland digitaal weerbaarder wil worden, moeten we niet alleen weten hoe veilig onze systemen zijn. We moeten ook weten waarop en waar die systemen draaien. Want digitale weerbaarheid begint uiteindelijk ergens: bij de verbinding, bij het gebouw, bij de werkplek.

Een goede eerste stap is om voor uw eigen locatie het digitale opleverniveau in kaart te laten brengen, zodat u weet wat er aanwezig is en waar de verantwoordelijkheden liggen. Bekijk daarvoor hoe het IT-label werkt of neem contact op via de contactpagina om te bespreken wat een audit voor uw gebouw kan betekenen. Zo verschuift de vraag bij huisvesting van hoeveel vierkante meter heb ik nodig naar de vraag die er echt toe gaat doen: wat kan mijn werkplek digitaal aan?