De deur van je serverruimte: fysieke beveiliging

Stel u een serverruimte voor met duizenden euro's aan netwerkapparatuur. Switches, glasvezelverbindingen, patchkasten, camera-infrastructuur en misschien zelfs de gebouwbeheersystemen komen hier samen. Maar de deur? Die staat open. Of de sleutel hangt bij de receptie, naast de sleutel van de fietsenberging.

Het is een beeld dat vaker voorkomt dan u zou denken. Er wordt fors geïnvesteerd in firewalls, multifactorauthenticatie, monitoring en awareness-training, terwijl de ruimte waarin de kern van het netwerk fysiek staat nauwelijks aandacht krijgt. En dan dringt de vraag zich op: hoe digitaal veilig is een organisatie wanneer iemand fysiek bij het hart van het netwerk kan komen?

Dit artikel gaat over die deur. Over de fysieke beveiliging van serverruimtes, patchruimtes en technische IT-ruimtes in commercieel vastgoed, en over de reden waarom dit onderwerp anno 2026 niet langer optioneel is.

De regels anno 2026: NIS2 en de Cyberbeveiligingswet

Sinds 15 augustus 2026 is in Nederland de Cyberbeveiligingswet van kracht. Hiermee is de Europese NIS2-richtlijn geïmplementeerd. Organisaties die onder deze wet vallen moeten passende en evenredige maatregelen nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen.

In discussies over NIS2 gaat het vaak uitsluitend over digitale maatregelen. Toch benoemt het NCSC in de toelichting op de zorgplicht expliciet dat ook de fysieke omgeving waarin netwerk- en informatiesystemen zich bevinden moet worden beschermd. De vraag wie fysiek bij uw netwerk kan is dus geen randvoetnoot, maar onderdeel van de kern.

NIS2 gaat bovendien uit van een all-hazards approach. Dat betekent dat organisaties rekening moeten houden met uiteenlopende oorzaken van uitval of schade:

• diefstal;
• brand;
• water;
• stroomuitval;
• telecomuitval;
• sabotage;
• menselijke fouten;
• ongeautoriseerde fysieke toegang;
• beschadiging van IT-apparatuur.

Dit is geen theoretisch punt. De Europese NIS2-regels noemen de bescherming van de fysieke omgeving van netwerk- en informatiesystemen tegen ongeautoriseerde toegang, beschadiging en verstoring met zoveel woorden. De deur van de serverruimte is daarmee onderdeel van de wettelijke context geworden.

Een netwerk dat digitaal is dichtgetimmerd maar fysiek openstaat, is niet half beveiligd. Het is beveiligd tot precies de plek waar het ertoe doet.

Praktische maatregelen voor een veilige serverruimte

Fysieke beveiliging hoeft geen overdreven technische exercitie te zijn. Het gaat om begrijpelijke maatregelen die iedere vastgoed-, facility- of IT-professional kan overzien.

Afsluiten en toegang controleren

Een serverruimte hoort geen algemene opslagruimte te zijn waar medewerkers, schoonmakers, leveranciers en monteurs vrij naar binnen lopen. Werk met gecontroleerde toegang: elektronische toegangscontrole, persoonlijke toegangspassen in plaats van gedeelde sleutels, logging van wie de ruimte betreedt en periodieke controle van de toegangsrechten. Weet u eigenlijk wie er gisteren in uw serverruimte is geweest?

Hanteer daarbij het principe: alleen toegang als het nodig is. Niet iedere medewerker, verhuurder, schoonmaker, aannemer of leverancier hoeft naar binnen te kunnen. Trek toegangsrechten weer in wanneer iemand vertrekt of een leverancier klaar is met de werkzaamheden.

Fysieke scheiding in multi-tenant gebouwen

In bedrijfsverzamelgebouwen en multi-tenant kantoren is scheiding extra belangrijk. Voorkom dat verschillende huurders zonder duidelijke afbakening bij elkaars patchpanelen, switches, routers, glasvezelverbindingen, serverapparatuur of beveiligingssystemen kunnen. Gebruik waar nodig afzonderlijke afgesloten racks of compartimenten. Dat sluit aan bij de vraag wat u per verdieping eigenlijk digitaal huurt.

Breng alle apparatuur in kaart

Weet u eigenlijk wat er allemaal in de serverruimte staat? Maak een actueel assetregister van bijvoorbeeld switches, routers, firewalls, access points, UPS-systemen, modems, 4G/5G-routers, glasvezelapparatuur, camera-recorders, toegangscontrolesystemen, gebouwbeheersystemen en IoT-gateways. Een router waarvan niemand weet wie hem heeft geplaatst is technisch klein, maar organisatorisch een groot risico. Assetmanagement en toegangsbeheer komen ook expliciet terug in de zorgplicht rond de Cyberbeveiligingswet.

Let op de omgeving en op redundantie

Een serverruimte moet niet alleen tegen mensen worden beschermd. Controleer temperatuur, ventilatie, vocht, lekkagerisico, brand- en rookdetectie, stroomvoorziening, UPS en noodstroom, de plaatsing van waterleidingen en de aanwezigheid van brandbare opslag. Een perfect beveiligd netwerk heeft weinig aan cybersecurity wanneer een lekkende leiding boven de serverkast hangt.

Denk daarnaast na over continuïteit. Wat gebeurt er als deze ruimte morgen volledig uitvalt? Is er één of zijn er meerdere internetverbindingen, en lopen die redundant via verschillende routes? Is er back-upstroom, zijn configuraties geback-upt en is er een herstelprocedure? Weet men welke apparatuur bedrijfskritisch is en hoe snel de organisatie weer operationeel kan zijn? Netwerkredundantie is een belangrijk onderdeel van digitale weerbaarheid.

Patchkasten, bekabeling en documentatie

Niet alleen servers verdienen aandacht. Ook patchpanelen, glasvezelaansluitingen en netwerkkabels horen bij de digitale infrastructuur. Iemand met fysieke toegang kan kabels verwijderen, apparatuur uitschakelen of verbindingen verstoren. Hoeveel omzet kost het wanneer iemand op maandagochtend één verkeerde glasvezelkabel uit een patchkast trekt?

Documenteer bovendien elke wijziging. Een installatiebedrijf plaatst een 4G-router voor tijdelijk remote onderhoud, en drie jaar later staat die er nog steeds. Niemand weet meer van wie hij is, waarvoor hij dient, wie toegang heeft, of hij updates krijgt of met welk netwerk hij verbonden is. Een goede digitale oplevering bevat daarom altijd documentatie en revisiegegevens.

Wie is waarvoor verantwoordelijk?

In commercieel vastgoed is de verdeling van verantwoordelijkheden vaak onduidelijk. Wie gaat over de serverruimte, de patchkast, de glasvezel tot het gebouw, de bekabeling vanaf de meterkast, de actieve netwerkapparatuur, de toegangscontrole, de monitoring, de brandbeveiliging, de koeling en de redundantie?

Is dat de eigenaar, de verhuurder, de huurder, de property manager, de facility manager of de IT-leverancier? IT-Label vindt dat deze verdeling onderdeel zou moeten zijn van een duidelijke demarcatielijst voor digitale infrastructuur, vergelijkbaar met de afspraken die al gebruikelijk zijn in de ROZ-huurovereenkomst.

Beveiliging is bovendien geen eenmalige inspectie. Toegang verandert, huurders vertrekken, leveranciers wisselen, apparatuur wordt vervangen en er komen nieuwe IoT-apparaten bij. Daarom moet een serverruimte periodiek opnieuw worden beoordeeld. Zie het als een digitale APK van het gebouw: niet één keer kijken en vervolgens tien jaar aannemen dat alles nog klopt.

De vertaalslag naar vastgoed

Bij gebouwen kijken we vanzelfsprekend naar brandveiligheid, elektrische installaties, toegangscontrole, duurzaamheid, het energielabel, klimaatinstallaties en de technische staat. Maar de ruimte waarin vrijwel alle digitale communicatie van een organisatie samenkomt, krijgt tijdens aankoop of huur soms nauwelijks aandacht.

Waarom inspecteren we bij een vastgoedtransactie de cv-installatie wel uitgebreid, maar lopen we soms zo langs de serverruimte? Het IT-label wil die blinde vlek zichtbaar maken door niet naar één kabel of één internetverbinding te kijken, maar naar het totale digitale opleverniveau: glasvezel, redundantie, bekabeling, WiFi, patchruimtes, serverruimtes, fysieke beveiliging, toegangsbeheer, actieve apparatuur, gebouwgebonden IT, documentatie, verantwoordelijkheden, continuïteit en toekomstbestendigheid.

Die integrale blik past bij een markt die steeds meer stuurt op datacapaciteit in plaats van alleen vierkante meters, en waarin het toekomstbestendige, AI-proof kantoor begint bij de infrastructuur die u niet ziet.

Juridische nuance

Het is belangrijk hier scherp te blijven. Een IT-label is geen NIS2- of Cyberbeveiligingswet-certificaat. Een IT-label betekent niet automatisch dat een organisatie aan alle wettelijke verplichtingen voldoet. Wel helpt het IT-label om een belangrijk onderdeel van het risicoprofiel inzichtelijk te maken: de fysieke en gebouwgebonden digitale infrastructuur.

Daarnaast valt niet ieder bedrijf automatisch onder de Cyberbeveiligingswet. Organisaties moeten zelf beoordelen of zij binnen de wettelijke reikwijdte vallen. Baseer die beoordeling op actuele bronnen zoals het NCSC, de Rijksoverheid, EUR-Lex en waar relevant NEN- en ISO-documentatie. Het IT-label is en blijft een vertaling van techniek naar begrijpelijke informatie, geen wettelijk stempel.

Zet de volgende stap

Cybersecurity begint digitaal, maar eindigt niet bij het scherm. Achter iedere cloudomgeving, AI-toepassing en digitale werkplek zit uiteindelijk fysieke infrastructuur. Een kabel. Een switch. Een router. Een glasvezelverbinding. En ergens een deur naar een technische ruimte. De vraag is: wie kan die deur eigenlijk openen?

Laat IT-Label een voorinspectie of Digital Due Diligence uitvoeren en krijg inzicht in zowel de fysieke als de digitale infrastructuur van uw gebouw. Zo weet u niet alleen hoe uw firewall ervoor staat, maar ook hoe het zit met de deur ervoor. Samen maken wij zichtbaar wat nu nog onzichtbaar is. Meer weten? Kijk op www.it-label.com of neem contact met ons op.