NIS2 en vastgoed: hoe weerbaar is uw gebouw?

De firewall is op orde. MFA staat aan. Medewerkers krijgen jaarlijks een securitytraining. Maar de deur van de serverruimte? Die staat gewoon open, en er lopen drie partijen in en uit die er om uiteenlopende redenen moeten zijn. In veel gebouwen is dat geen uitzondering, maar de normale gang van zaken.

Cybersecurity wordt vrijwel altijd benaderd vanuit software: firewalls, wachtwoorden, cloudomgevingen en gedrag van medewerkers. Dat is terecht, maar het is niet het hele verhaal. De digitale infrastructuur van een organisatie ligt letterlijk ergens. In een patchkast, een technische ruimte, een bundel bekabeling en een aansluiting die het gebouw binnenkomt. Die fysieke laag krijgt zelden dezelfde aandacht.

Met de komst van de Nederlandse Cyberbeveiligingswet wordt die blinde vlek relevanter. De centrale vraag van dit artikel is daarom simpel: NIS2 stopt niet bij uw laptop, maar hoe digitaal weerbaar is het gebouw waarin uw organisatie werkt?

Wat de Cyberbeveiligingswet in grote lijnen vraagt

De Nederlandse Cyberbeveiligingswet is de nationale implementatie van de Europese NIS2-richtlijn en is sinds 15 augustus 2026 van kracht. De wet richt zich op organisaties in sectoren die als essentieel of belangrijk worden aangemerkt. Niet iedere onderneming valt eronder, en het is verstandig om aan de hand van de officiële informatie van de Rijksoverheid en het NCSC te bepalen of uw organisatie binnen de reikwijdte valt.

Voor organisaties die wel onder de wet vallen, komen enkele kernverplichtingen in beeld. Kort samengevat gaat het om een zorgplicht, een registratieplicht, een meldplicht bij incidenten en bestuurlijke verantwoordelijkheid. Dat laatste is opvallend: digitale weerbaarheid wordt daarmee expliciet een onderwerp voor de directie, niet alleen voor de IT-afdeling.

Het NCSC benoemt bij de zorgplicht onder meer risicoanalyse, incidentrespons, voorbereiding op uitval, veilige toeleveringsketens, beveiliging van netwerk- en informatiesystemen, toegangsbeveiliging en assetmanagement. En hier ligt de kern voor de vastgoedwereld: het NCSC spreekt niet alleen over de systemen zelf, maar ook over de fysieke omgeving waarin die systemen zich bevinden.

Waar de wet het gebouw raakt

U kunt uw firewall perfect configureren, maar wat heeft u daaraan als iemand fysiek bij uw switch, server, glasvezelverbinding of patchkast kan komen? Toegangsbeveiliging en assetmanagement gaan over meer dan een inlogscherm. Ze gaan ook over wie een deur kan openen en welke apparatuur er precies in een technische ruimte hangt.

In de praktijk komen we in gebouwen situaties tegen die vanuit dit perspectief opeens anders wegen:

• Een serverruimte die voor meerdere partijen toegankelijk is, zonder dat wordt bijgehouden wie er wanneer binnen was.
• Patchkasten die niet afsluitbaar zijn, of waarvan de sleutel bij iedereen ligt.
• Oude switches, routers of 4G/5G-modems waarvan niemand meer weet van wie ze zijn.
• Gebouwbeheersystemen en camera's die extern toegankelijk zijn en op hetzelfde netwerk staan als de bedrijfsvoering.
• Niet-geregistreerde IoT-apparatuur die stilletjes met het internet praat.
• Eén internetverbinding zonder redundantie, verouderde CAT-bekabeling of een netwerkstructuur die niemand meer kan uittekenen.
• Glasvezelaansluitingen waarvan onduidelijk is wie eigenaar of beheerder is.

Wat deze voorbeelden gemeen hebben, is dat ze zelden in documentatie terugkomen. Er is geen actuele plattegrond van de netwerkcomponenten, en de verantwoordelijkheden tussen verhuurder, huurder, property manager en IT-leverancier zijn niet scherp belegd. Een technische ruimte waarin een kwaadwillende eenvoudig bij netwerkhardware kan komen, is dan geen theoretisch risico maar een openstaande achterdeur.

De beste firewall van Nederland houdt niemand tegen die gewoon de deur van de serverruimte kan openduwen.

Waarom dit een vastgoedvraagstuk is

Bij het huren of kopen van een pand wordt uitgebreid onderzoek gedaan. Het energielabel, de brandveiligheid, de installaties, de constructie en de technische staat komen allemaal langs. Wat vrijwel nooit wordt onderzocht, is wat het gebouw digitaal aankan. Terwijl een organisatie die niet kan verbinden met cloudapplicaties, telefonie, betalingssystemen of productieomgevingen binnen minuten gedeeltelijk of volledig stilvalt.

Internet en digitale infrastructuur zijn voor veel organisaties inmiddels net zo essentieel als elektriciteit en water. Toch staat de serverruimte zelden op de technische due-diligence checklist. Daarmee ontstaat een gat tussen wat een organisatie juridisch en operationeel nodig heeft, en wat er feitelijk in het gebouw ligt.

IT-Label vindt daarom dat digitale infrastructuur onderdeel zou moeten worden van de technische due diligence bij aankoop, huur en herontwikkeling van commercieel vastgoed. Dat brengt een aantal vragen naar voren die anders onbeantwoord blijven:

• Wat koopt of huurt u digitaal eigenlijk, en wat kan het gebouw digitaal aan?
• Is het gebouw AI-proof en kan de infrastructuur de toekomstige dataconsumptie van de organisatie dragen?
• Hoe snel is een bedrijf weer operationeel wanneer netwerkhardware, bekabeling of internetverbindingen uitvallen of worden gesaboteerd?
• Wie is verantwoordelijk voor welk onderdeel van de digitale infrastructuur: de huurder of de verhuurder?

Die laatste vraag hoort thuis in de demarcatielijst tussen partijen. In veel huurovereenkomsten is de verdeling van verantwoordelijkheden rond IT echter niet expliciet geregeld, waardoor onduidelijkheid ontstaat op precies het moment dat het ertoe doet.

Continuïteit als onderdeel van de zorgplicht

De zorgplicht vraagt onder meer om voorbereiding op uitval en om incidentrespons. Vertaald naar een gebouw betekent dat: als de enige internetverbinding wegvalt, of als iemand fysiek bij de netwerkhardware kan, hoe lang ligt de organisatie dan stil? En weet u dat vooraf, of komt u er pas achter tijdens het incident?

Continuïteit is geen abstract begrip. Het is het verschil tussen een storing die na een paar minuten is opgevangen door een tweede verbinding, en een storing die een halve dag productie of dienstverlening kost. Redundantie, gedocumenteerde bekabeling en afsluitbare technische ruimtes zijn daarmee niet alleen IT-kwesties maar ook gebouwkwesties.

Assetmanagement, ook een onderdeel van de zorgplicht, begint bij weten wat u heeft. Zolang niemand kan aangeven welke apparatuur permanent met het internet verbonden is en van wie die apparatuur is, is een serieuze risicoanalyse lastig te maken. De fysieke laag van het gebouw is daarbij het beginpunt.

Zichtbaar maken wat nu onzichtbaar is

Het IT-label is een onafhankelijke classificatiemethodiek die de digitale kwaliteit van een gebouw inzichtelijk maakt. U kunt het zien als een digitale APK van het gebouw: een gestructureerde manier om vast te leggen wat er ligt, wat het aankan en waar de aandachtspunten zitten. Het resultaat is een digitaal opleverniveau, uitgedrukt in een classificatie van IT1+ PREMIUM tot IT5 SHELL.

Bij de beoordeling kijkt IT-Label onder meer naar glasvezel en internetverbindingen, redundantie, netwerkbekabeling, WiFi-infrastructuur, patch- en serverruimtes, fysieke beveiliging, netwerkapparatuur, toegangscontrole, camera's, gebouwgebonden digitale systemen, documentatie, verdeling van verantwoordelijkheden en toekomstbestendigheid. Precies de onderdelen die in de dagelijkse praktijk zelden op één plek zijn vastgelegd.

Belangrijk om helder te zijn: het IT-label is geen NIS2-certificering en geeft geen garantie dat een organisatie voldoet aan de Cyberbeveiligingswet. Wettelijke compliance is een verantwoordelijkheid van de organisatie zelf, te toetsen aan de officiële bronnen. Wat het IT-label wél doet, is gebouwgebonden digitale risico's inzichtelijk maken, zodat verhuurders, huurders en adviseurs daarover betere afspraken kunnen maken. Zo wordt de digitale gebouwlaag een onderwerp waar partijen bewust over kunnen beslissen.

Voor wie dit relevant is

Dit is nadrukkelijk niet alleen een onderwerp voor de IT-manager. Vastgoedeigenaren, asset managers, property managers, technisch managers, makelaars, facility managers, huurders, directies en adviseurs raken er allemaal aan. Een paar vragen maken dat concreet: wie controleert eigenlijk de digitale infrastructuur voordat een huurder tekent? Weet de eigenaar welke digitale systemen permanent met het internet verbonden zijn? En kunnen we anno 2026 nog spreken over een toekomstbestendig gebouw zonder naar digitale weerbaarheid te kijken?

De vervolgstap

NIS2 maakt digitale weerbaarheid een bestuursvraagstuk. IT-Label stelt daar een vastgoedvraag naast: hoe digitaal weerbaar is het gebouw waarin die organisatie moet functioneren? Beide vragen versterken elkaar, en beide beginnen bij inzicht.

Een goede eerste stap is een IT-Label voorinspectie of een Digital Due Diligence, waarmee u de gebouwgebonden digitale infrastructuur in kaart brengt voordat u tekent, koopt of herontwikkelt. Vastgoedeigenaren, huurders en adviseurs vinden op www.it-label.com meer informatie over het IT-label, de voorinspectie en Digital Due Diligence.

Samen maken wij zichtbaar wat nu nog onzichtbaar is.