Cybersecurity begint bij de basis van het gebouw

Wie het woord cybersecurity hoort, denkt aan firewalls, antivirus, multifactorauthenticatie, encryptie, monitoring en zero trust. Allemaal terecht en allemaal belangrijk. Toch verschuift dat gesprek bijna altijd meteen naar software, cloud en beleid, terwijl een eenvoudige vraag zelden wordt gesteld: wie kan eigenlijk bij de patchkast?

Of concreter nog: weet u waar de internetverbinding van uw kantoor fysiek binnenkomt? Waar de netwerkapparatuur staat, wie er toegang heeft tot de technische ruimte en wie de gebouwgebonden systemen beheert? Digitale veiligheid bestaat niet alleen in de cloud. Achter iedere digitale werkplek zit uiteindelijk fysieke infrastructuur: kabels, aansluitingen, netwerkapparatuur, technische ruimtes, toegangssystemen, stroomvoorzieningen en verbindingen.

Deze bijdrage draait om een prikkelende positionering. Cybersecurity begint niet in de cloud. Het fundament ligt in het gebouw. En dat fundament is meetbaar, zichtbaar te maken en over te dragen, mits u het eerder in kaart brengt dan de dag waarop de huurder inlogt.

Begin bij de hardware

Cybersecurity begint bij hardware. Dat is bewust scherp geformuleerd, want cybersecurity bestaat uit veel meer dan hardware alleen. Het is een samenspel van mensen, processen, software, netwerken, toegangsbeheer, beleid en monitoring. Maar zonder een veilige en goed ingerichte fysieke basis kunnen softwarematige maatregelen onvoldoende blijken. Een sterk slot op een deur die verkeerd hangt beschermt weinig.

De fysieke basis omvat meer onderdelen dan de meeste vastgoedprofessionals in beeld hebben. Denk aan de modem en router waar het verkeer binnenkomt, de switches en access points, de databekabeling en patchpanelen, de server- en technische ruimtes, de fysieke toegangsbeveiliging, camera- en toegangssystemen, IoT-apparatuur, Building Management Systems, sensoren, bekabelde en draadloze verbindingen, en de noodstroom- en back-upvoorzieningen.

Bij elk van deze onderdelen telt niet alleen of het aanwezig is. De vervolgvragen bepalen de weerbaarheid: wie beheert het, wie heeft toegang, wie is verantwoordelijk, is het gedocumenteerd, en waar ligt de grens tussen gebouwgebonden infrastructuur en de IT-omgeving van de huurder? Deze vragen raken direct aan de cybersecurity in vastgoed, omdat elke onbeheerde aansluiting een blinde vlek vormt.

Een slim gebouw betekent ook een groter digitaal oppervlak

Gebouwen bevatten steeds meer verbonden technologie. Toegangscontrole, camera's, klimaatinstallaties, sensoren, verlichting, laadpalen, liften, gebouwapps, reserveringssystemen en IoT-devices maken een pand comfortabeler, efficiënter en beter bestuurbaar. Dat biedt enorme mogelijkheden, en die ontwikkeling is niet te stoppen.

Tegelijk geldt: meer verbonden systemen vragen om meer aandacht voor architectuur, beheer, segmentatie, updates, verantwoordelijkheden en beveiliging. Hoe slimmer het gebouw, hoe belangrijker het wordt om te weten wat er digitaal in dat gebouw aanwezig is. Dat is geen boodschap van angst. Smart Buildings zijn niet per definitie onveilig; digitalisering vraagt simpelweg om zichtbaarheid en verantwoordelijkheid.

De onderliggende regel is nuchter en hard tegelijk: u kunt niet beschermen wat u niet kent. Een gebouw met veel connected systemen zonder overzicht is niet slecht, maar wel onbekend, en het onbekende laat zich lastig beveiligen.

We leggen tot op de millimeter vast welke vloer een huurder krijgt opgeleverd. De digitale infrastructuur die daaronder ligt, blijft in de meeste contracten een leeg vak.

Wie is eigenlijk verantwoordelijk?

Bij een conventioneel kantoorgebouw lijkt de grens tussen verhuurder en huurder relatief duidelijk. Zodra gebouwen digitaler worden, ontstaan echter nieuwe vragen die in geen enkele standaardovereenkomst vanzelf worden beantwoord.

Wie is verantwoordelijk voor de glasvezelaansluiting, de gebouwgebonden netwerkapparatuur, de WiFi in algemene ruimten, de toegangscontrole, de camera's, de IoT-sensoren, de gebouwapps, de technische ruimtes, de patches en firmware van gebouwgebonden systemen, de monitoring, de storingsafhandeling en de beveiliging van de gebouwgebonden digitale systemen? En waar begint vervolgens de verantwoordelijkheid van de huurder?

Hier telt een duidelijke demarcatie. Deze afbakening hoort thuis in het gesprek over verantwoordelijkheden in de huurovereenkomst, net zo gedetailleerd als afspraken over onderhoud en installaties. Cybersecurity gaat niet alleen over techniek. Het gaat ook over weten wie waarvoor verantwoordelijk is.

Wat krijgt de huurder eigenlijk digitaal opgeleverd?

Bij de oplevering van vastgoed maken we vanzelfsprekend afspraken over vloeren, plafonds, verlichting, klimaatinstallaties, pantry, sanitair, schilderwerk en elektra. Dat is uitgewerkt in staten van oplevering en meet- en opnamedocumenten. Maar hoe wordt het digitale opleverniveau vastgelegd?

Wat is er aanwezig op dag één? Wat functioneert er? Wat is beveiligd? Welke infrastructuur kan de huurder gebruiken, wat moet hij zelf installeren, welke voorzieningen worden door de verhuurder beheerd en welke verantwoordelijkheden worden overgedragen? In de praktijk blijven deze punten vaak impliciet, terwijl ze de digitale startpositie van de huurder volledig bepalen.

De vergelijking dringt zich op. We leggen precies vast welke vloer een huurder krijgt opgeleverd. Waarom doen we dat niet net zo duidelijk met de digitale infrastructuur? Wie een casco of turn-key ruimte huurt, wil weten wat er digitaal wel en niet bij zit voordat het contract wordt getekend.

Het IT-Label als digitaal opleverniveau

Hier komt IT-Label in beeld. Belangrijk om meteen te benadrukken: IT-Label pretendeert geen cybersecuritycertificering te vervangen. Het vervangt geen gespecialiseerde security-audit, penetratietest, ISO-certificering, NEN-norm of cybersecurityspecialist. De rol is een andere. IT-Label maakt inzichtelijk welke digitale basis een gebouw biedt en waar verantwoordelijkheden liggen.

Dat gebeurt met een heldere classificatie, die het digitale opleverniveau in één taal vangt. De niveaus lopen van een volledig ingerichte basis tot een bewust leeg opgeleverd casco:

De positionering is helder: IT-Label zegt niet dat een organisatie cyberveilig is. IT-Label maakt zichtbaar op welke digitale gebouwbasis die organisatie verder bouwt. Dat onderscheid is essentieel, en het maakt van IT-Label een vertaling in plaats van een keurmerk: geen oordeel, wel inzicht.

Van gebouw naar gebruiker

Cybersecurity speelt door een hele keten heen. Die keten loopt van het gebouw naar de fysieke IT-infrastructuur, dan naar de connectiviteit, het netwerk, de systemen en applicaties, de data en uiteindelijk de gebruiker. Op elk schakelpunt kunnen risico's ontstaan, en op elk schakelpunt hoort een verantwoordelijke te zijn aangewezen.

IT-Label richt zich primair op de digitale gebouwlaag en het opleverniveau. Daar begint de basis waarop huurder, IT-leverancier en cybersecurityspecialist vervolgens verder bouwen. Een firewall kan veel beschermen. Maar hij vertelt u niet wie toegang heeft tot de technische ruimte waarin de infrastructuur staat, en juist die fysieke laag valt vaak buiten het securitygesprek. Het onderwerp raakt daarmee ook aan netwerkredundantie, want betrouwbaarheid en beveiliging staan niet los van elkaar.

Eerst inventariseren, dan beveiligen

Voordat u kunt bepalen hoe iets beveiligd moet worden, moet u eerst weten wat er is. Welke systemen, welke verbindingen, welke hardware, welke technische ruimtes, welke leveranciers, welke verantwoordelijkheden en welke gebouwgebonden digitale voorzieningen? Dat klinkt vanzelfsprekend, maar het is precies de stap die in de praktijk het vaakst wordt overgeslagen.

De volgorde is eerst inzicht, dan risico, dan beveiliging. IT-Label volgt daarbij een herkenbaar ritme:

1. inventariseren wat er digitaal aanwezig is;
2. controleren of het functioneert en beheerd wordt;
3. documenteren van systemen en verantwoordelijkheden;
4. classificeren in een helder opleverniveau;
5. verbeteren waar dat gewenst is.

Wat u niet ziet, kunt u niet beoordelen. En wat u niet kent, kunt u moeilijk beschermen. Het maken van deze inventarisatie is dan ook geen bureaucratie, maar de eerste bouwsteen van weerbaarheid.

AI maakt de digitale basis nog belangrijker

Organisaties worden steeds afhankelijker van cloudomgevingen, AI, realtime data, connected devices, automatisering en Smart Building-technologie. Daardoor is digitale infrastructuur allang geen facilitaire bijzaak meer. Ze is onderdeel geworden van de bedrijfscontinuïteit.

Hoe digitaler onze organisaties worden, hoe belangrijker de digitale basis van hun huisvesting wordt. De discussie over een toekomstbestendig, AI-proof gebouw mag daarom niet alleen gaan over snelheid en capaciteit. Ook betrouwbaarheid, beheer, documentatie, verantwoordelijkheden en digitale weerbaarheid horen in dat gesprek thuis.

Cybersecurity begint vóór de sleuteloverdracht

Cybersecurity zou geen onderwerp moeten worden op het moment dat de huurder zijn computers neerzet en zijn IT-leverancier inschakelt. Op dat moment is een deel van de digitale basis al bepaald door het gebouw. De vragen die ertoe doen, moeten daarom eerder worden gesteld: bij ontwikkeling, bij renovatie, bij technische due diligence, bij verhuur, bij bezichtiging, bij contractvorming en bij oplevering.

Digitale veiligheid begint niet wanneer de huurder inlogt. Ze begint bij wat het gebouw oplevert. En de vastgoedprofessional hoeft daarvoor geen cybersecurityspecialist te worden. Hij moet wel leren de juiste vragen te stellen: waar komt de verbinding binnen, waar staat de hardware, wie kan erbij, welke gebouwsystemen zijn verbonden, wie beheert ze, is er documentatie, wie is waarvoor verantwoordelijk en wat krijgt de huurder digitaal opgeleverd? De vastgoedprofessional hoeft cybersecurity niet zelf uit te voeren, maar hij moet wel begrijpen waar digitale verantwoordelijkheid begint.

Veelgestelde vragen

Begint cybersecurity echt bij hardware?

Niet uitsluitend. Cybersecurity is een combinatie van mensen, processen, software, netwerken, toegangsbeheer, beleid en monitoring. De stelling benadrukt dat de fysieke en gebouwgebonden digitale infrastructuur een vaak onderbelicht deel van die basis vormt.

Betekent een hoog IT-Label dat een gebouw cyberveilig is?

Nee. Een hoog IT-Label zegt niets over de cyberveiligheid van een organisatie. Het maakt zichtbaar welke digitale basis het gebouw biedt en waar verantwoordelijkheden liggen, als fundament voor verdere beveiliging.

Vervangt IT-Label een security-audit of ISO-certificering?

Nee. IT-Label vervangt geen penetratietest, security-audit, ISO-certificering of cybersecurityspecialist. Het levert het inzicht in de digitale gebouwlaag dat aan die trajecten voorafgaat.

Waarom is demarcatie tussen huurder en verhuurder zo belangrijk?

Omdat onduidelijke verantwoordelijkheden leiden tot systemen die niemand beheert of updatet. Een heldere afbakening voorkomt blinde vlekken in beheer, monitoring en beveiliging van gebouwgebonden systemen.

Wat kan ik als vastgoedeigenaar concreet doen?

Breng eerst in kaart wat er digitaal aanwezig is en leg het opleverniveau vast. Zo weet u wat u beheert, wat u overdraagt en waar de huurder verder bouwt. Begin bij inzicht in de digitale basis.

Back to basics: begin bij het opleverniveau

We praten over AI, cloud, zero trust, cybersecurity, Smart Buildings en IoT. Maar uiteindelijk begint het bij iets veel fundamentelers: wat zit er in het gebouw, hoe is het ingericht, wie beheert het, wie heeft toegang en wat krijgt de gebruiker opgeleverd?

Cybersecurity begint bij hardware. Hardware begint bij het gebouw. En digitale kwaliteit begint bij inzicht in het opleverniveau. Wilt u die basis voor uw eigen vastgoed inzichtelijk maken, begin dan bij het inventariseren van de digitale gebouwlaag en ontdek via wat IT-Label voor vastgoedeigenaren betekent welk opleverniveau u vandaag daadwerkelijk aanbiedt. De eerste vraag die u uw huurder verschuldigd bent, is eenvoudig: wat krijgt hij digitaal opgeleverd?