Cyberbeveiligingswet: wie kan fysiek bij uw netwerk?

Een organisatie doet alles goed. Multifactorauthenticatie is ingevoerd, medewerkers krijgen regelmatig cybersecuritytraining, endpoints zijn beveiligd en er wordt gewerkt volgens strenge IT-protocollen. Op papier klopt het plaatje. Toch blijkt de serverruimte of patchkast op kantoor toegankelijk met een algemene sleutel. Soms staat de deur zelfs regelmatig open, omdat het er warm is of omdat er nog wat opslag staat.

Dan dringt een ongemakkelijke vraag zich op: hoe digitaal veilig bent u eigenlijk als iemand fysiek bij uw netwerk kan komen? Cybersecurity wordt vaak besproken als een softwarevraagstuk. In werkelijkheid bevindt digitale infrastructuur zich altijd ergens fysiek. Kabels lopen door gebouwen, glasvezel komt ergens binnen, switches en routers staan opgesteld, accesspoints hangen aan plafonds en servers staan in technische ruimten.

Met de komst van de Cyberbeveiligingswet is dit geen theoretische kwestie meer. Cybersecurity begint misschien wel vóór de firewall, namelijk bij de fysieke toegang tot de infrastructuur die erachter zit. Dit artikel gaat over die vergeten laag, en over de rol die het gebouw daarin speelt.

Wat de Cyberbeveiligingswet in de kern vraagt

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Waar de eerdere Europese aanpak vooral gericht was op een beperkte groep vitale sectoren, verbreedt NIS2 het speelveld aanzienlijk. Meer organisaties krijgen te maken met verplichtingen rond digitale weerbaarheid.

De wet werkt met een aantal terugkerende begrippen. Er is een zorgplicht: organisaties moeten passende maatregelen nemen om hun netwerk- en informatiesystemen te beschermen. Er is aandacht voor risicobeheersing en voor de continuïteit van dienstverlening. Er gelden verplichtingen rond het melden van incidenten. Er is nadrukkelijk aandacht voor ketenrisico's, dus voor de leveranciers en partijen waarvan een organisatie afhankelijk is. En er komt een duidelijke bestuurlijke verantwoordelijkheid: digitale veiligheid is een taak van de leiding, niet alleen van de IT-afdeling.

Wat in de discussie vaak onderbelicht blijft, is dat de zorgplicht ook de fysieke omgeving raakt waarin systemen zich bevinden. Wie zijn systemen serieus wil beschermen, kan de ruimte waarin die systemen staan niet buiten beschouwing laten. En daarmee is een logische vertaalslag gemaakt: als de fysieke omgeving onderdeel is van digitale weerbaarheid, wordt het gebouw automatisch onderdeel van het cybersecurityvraagstuk. Dat is precies het onderwerp waar de Cyberbeveiligingswet en de digitale gebouwlaag elkaar raken.

De serverruimte als tastbaar voorbeeld

Niets maakt dit concreter dan de serverruimte of patchruimte. Iedere ondernemer, verhuurder en facility manager kan zich er iets bij voorstellen. Loop in gedachten eens langs een reeks eenvoudige vragen over zo'n ruimte.

• Is de server- of patchruimte daadwerkelijk afgesloten, en wie heeft toegang?
• Wordt die toegang ergens geregistreerd?
• Kan schoonmaakpersoneel of een externe leverancier er zomaar naar binnen?
• Is de ruimte uitsluitend voor IT-apparatuur, of staat er ook opslag?
• Hoe is de koeling geregeld en is er branddetectie?
• Is er noodstroom of een UPS aanwezig?
• Zijn netwerkcomponenten en patchkasten fysiek beschermd en afgesloten?
• Is duidelijk welke apparatuur van de verhuurder is en welke van de huurder?
• Is er monitoring, en wat gebeurt er bij stroom- of internetuitval?
• Is er een tweede verbinding of een alternatieve route beschikbaar?

Niet elk onderdeel valt automatisch onder de verantwoordelijkheid van de verhuurder. Juist daarom is het belangrijk dat zichtbaar is wat aanwezig is én wie waarvoor verantwoordelijk is. Zonder dat inzicht ontstaan blinde vlekken, precies op de plek waar veel afhankelijkheden samenkomen.

De duurste firewall verliest zijn waarde op het moment dat de deur naar de patchkast openstaat.

Van de serverruimte naar het hele gebouw

Hetzelfde principe geldt veel breder dan één technische ruimte. Een modern gebouw bevat steeds meer digitale systemen: glasvezel, routers, switches, WiFi, camera's, toegangscontrole, liften, laadpunten, klimaatinstallaties, gebouwbeheersystemen, sensoren en allerlei IoT-apparatuur.

Een smart building draait op IT-infrastructuur als fundament en creëert daardoor niet alleen nieuwe mogelijkheden, maar ook nieuwe digitale afhankelijkheden. Elk verbonden systeem is potentieel een ingang. Elk apparaat dat aan het netwerk hangt, hoort ergens in beeld te zijn.

Dat leidt tot een prikkelende vraag: hoe SMART is een gebouw als niemand precies weet hoe SAFE het digitaal is? Vastgoed wordt in toenemende mate onderdeel van de digitale keten van een organisatie. En een keten is zo sterk als de zwakste, vaak onzichtbare, schakel.

Waar IT-Label concreet kan helpen

Laat één ding duidelijk zijn. IT-Label is geen vervanging van NIS2, de Cyberbeveiligingswet, ISO 27001, cybersecurityspecialisten of penetratietesten. Een IT-Label maakt een organisatie niet automatisch cybersecure of NIS2-compliant. Dat is een misverstand dat het onderwerp geen recht doet, zoals ook toegelicht in het verschil tussen IT-Label en ISO 27001.

Wat IT-Label wél kan, is tijdens een audit relevante fysieke en digitale voorzieningen van een gebouw zichtbaar maken. Een IT-Label-audit kijkt onder meer naar de fysieke beveiliging van server- en patchruimten, de aanwezigheid en kwaliteit van digitale aansluitingen, glasvezel en internetvoorzieningen, redundantie en netwerkbekabeling, technische ruimten, WiFi-infrastructuur en toegangscontrole. Waar dit op gebouwniveau relevant en toetsbaar is, komt ook netwerksegmentatie in beeld, evenals noodstroom, continuïteitsvoorzieningen, gebouwgebonden IoT, smart-building-systemen en monitoring. Ook de demarcatie tussen huurder, verhuurder en IT-leverancier hoort daarbij.

Het onderliggende principe is eenvoudig: u kunt niet beveiligen wat u niet in beeld hebt. Precies daar voegt inzicht waarde toe. Wie weet wat er aanwezig is, kan vervolgens gerichte keuzes maken over wat er beter moet.

Van momentopname naar periodiek inzicht

Een gebouw krijgt niet één keer een digitale infrastructuur die vervolgens twintig jaar hetzelfde blijft. Huurders wisselen, apparatuur wordt vervangen, er komen nieuwe accesspoints bij, IoT-apparatuur wordt toegevoegd en providers veranderen. AI-toepassingen vragen meer capaciteit en gebouwen worden steeds slimmer.

Daarom zou digitale kwaliteit, net als andere gebouwprestaties, periodiek opnieuw bekeken moeten worden. Zie IT-Label in dat licht als een mogelijke digitale APK van commercieel vastgoed. Het doel is niet om te verklaren dat een gebouw cyberveilig is, maar om inzichtelijk te maken wat er digitaal aanwezig is, wat het opleverniveau is en welke aandachtspunten er liggen. Dat sluit aan bij de gedachte dat een IT-label geen eindstation is, maar een startpunt.

Maak de verantwoordelijkheid zichtbaar

In gehuurd vastgoed speelt een hardnekkig probleem. Cybersecurity is uiteindelijk de verantwoordelijkheid van de organisatie zelf, maar een deel van de infrastructuur waarvan die organisatie afhankelijk is, kan eigendom of verantwoordelijkheid zijn van de gebouweigenaar, de verhuurder, een facility manager, een IT-leverancier, een internetprovider, een gebouwbeheerder of de huurder zelf.

Wat gebeurt er als niemand precies weet waar de verantwoordelijkheid van de een ophoudt en die van de ander begint? Dan blijft er ruimte onbewaakt, niet uit onwil, maar door onduidelijkheid. Een IT-demarcatielijst is dan een logische aanvulling. Die beantwoordt vijf eenvoudige vragen: wat is aanwezig, van wie is het, wie beheert het, wie onderhoudt het en wie moet handelen als het misgaat? Alleen al deze transparantie draagt bij aan digitale weerbaarheid.

Wie bespreekt eigenlijk het digitale fundament?

Cybersecurity zou inmiddels een standaard onderdeel van gesprekken over commercieel vastgoed moeten zijn. Een makelaar bespreekt het energielabel. Een technisch adviseur bespreekt de installaties. Een verhuurder bespreekt de servicekosten. Een huurder bespreekt de inrichting. Maar wie bespreekt het digitale fundament?

Ook richting overheid, NCSC en vastgoedsector past een constructieve vraag. Als de Cyberbeveiligingswet organisaties vraagt hun digitale risico's beter te beheersen, moeten we dan niet óók meer aandacht besteden aan de gebouwen waarin die organisaties digitaal opereren? De digitale economie bestaat uiteindelijk uit miljoenen fysieke werkplekken. Daar loggen medewerkers in, daar wordt data verwerkt, daar wordt AI gebruikt, daar maken laptops verbinding en daar komen externe leveranciers binnen. De werkplek is niet alleen de plek waar digitale technologie wordt gebruikt, het is ook onderdeel van de digitale verdedigingslinie, iets wat verder wordt uitgewerkt in het stuk over de Cyberbeveiligingswet en de digitale werkplek.

Begin bij de voordeur

We kunnen onze software beveiligen, onze medewerkers trainen, MFA verplichten, firewalls installeren en Security Operations Centers bouwen. Maar als niemand weet wie toegang heeft tot de ruimte waar de fysieke infrastructuur samenkomt, missen we misschien letterlijk de deur waar cybersecurity begint.

Cybersecurity begint niet alleen in de cloud. Het begint bij de voordeur, bij de werkplek, bij de patchkast en soms heel letterlijk bij het slot op de serverruimte. Wilt u weten wat er in uw gebouw digitaal aanwezig is en hoe de verantwoordelijkheden verdeeld zijn, begin dan met inzicht. Verken hoe een IT-Label-audit in de praktijk werkt en breng de digitale laag van uw vastgoed in kaart. Want voordat u iets kunt beveiligen, moet u eerst weten wat er is.