Fysieke beveiliging van netwerkruimtes en POP's onder de Cyberbeveiligingswet

Wat staat er in de regels?

De maatregelen van de zorgplicht zijn gebaseerd op een benadering die alle gevaren omvat. Ze hebben tot doel netwerk- en informatiesystemen "en de fysieke omgeving van die systemen" tegen incidenten te beschermen (artikel 21, derde lid, Cbw). Het Cyberbeveiligingsbesluit noemt fysieke toegang uitdrukkelijk in het toegangsbeleid (artikel 15 Cbb).

De Telecommunicatiewet vraagt daarnaast van aanbieders van spraak- en internettoegangsdiensten alle noodzakelijke maatregelen om de beschikbaarheid zo volledig mogelijk te waarborgen bij netwerkuitval door calamiteiten of overmacht (artikel 11a.1, derde lid, Tw).

De regels schrijven geen sloten, camera's of noodstroom voor. U kiest maatregelen op basis van uw risicoanalyse.

Welke locaties horen erbij?

• uw eigen netwerk- en serverruimtes;
• racks of kooien in een extern datacenter;
• POP's, wijkcentrales en straatkasten;
• masten en daken met straalverbindingen of antennes;
• apparatuur van u bij klanten, zoals routers en switches in een meterkast of patchkast;
• de opslag van reserveapparatuur en de werkplaats waar u apparatuur voorbereidt.

Zet ze in uw assetinventaris, met wie toegang heeft; zie toegangsbeleid, assets en personeel.

Vijf gevaren en wat u kunt doen

Voorbeelden van fysieke risico's en maatregelen

Gevaar	Mogelijke maatregelen
Onbevoegde toegang	Sloten of passen per persoon, registratie van wie wanneer binnen was, begeleiding van bezoekers, afgesloten racks
Stroomuitval	UPS en waar passend noodstroom, regelmatig testen, alarm bij uitval
Hitte	Koeling met reserve, temperatuurbewaking met alarm
Water en brand	Geen leidingen boven apparatuur, melders, passende blusmiddelen
Kabelschade	Meer dan één route waar uw risicoanalyse dat vraagt, goede documentatie voor graafwerk

Toegang tot externe locaties

In een extern datacenter regelt de beheerder het gebouw, maar u blijft verantwoordelijk voor uw eigen systemen. Neem het datacenter mee als leverancier in uw ketenbeveiliging (artikel 10 Cbb). Vraag bijvoorbeeld hoe zij toegang registreren, of u lijsten van bezoekers aan uw rack kunt opvragen, en hoe zij u informeren over storingen in stroom of koeling. Lees ook NIS2 voor hosting, datacenter en cloud.

Houd uw eigen lijst bij van wie namens u toegang heeft. Trek toegang in als iemand vertrekt. Dat is dezelfde periodieke controle als voor accounts in uw systemen.

Apparatuur bij klanten

Bij klanten heeft u weinig grip op de ruimte. Beperk daarom wat een kwaadwillende met de apparatuur kan doen:

• geen beheerwachtwoorden op een sticker op het apparaat;
• consolepoorten beveiligd met een wachtwoord;
• beheer alleen via uw beheernetwerk, niet via de LAN-poort van de klant;
• monitoring die meldt als een apparaat herstart of onverwacht offline gaat.

Continuïteit en oefenen

Fysieke incidenten zijn vaak de oorzaak van grote storingen. Neem ze daarom op in uw continuïteitsplan en herstelplan (artikel 9 Cbb). Test periodiek of een UPS het houdt en of de storingsdienst weet hoe hij bij een locatie komt, ook 's nachts. Leg de uitkomst vast. Zie ook back-ups, herstelplan en crisisplan.

Een stroomstoring of brand kan ook een significant incident zijn als veel gebruikers lang zonder dienst zitten of 112 niet werkt. Ook dan geldt de meldplicht; de oorzaak hoeft geen cyberaanval te zijn.

Veelgestelde vragen

Valt fysieke beveiliging onder de Cbw?

Ja. Artikel 21, derde lid, Cbw vraagt een benadering die alle gevaren omvat, inclusief de fysieke omgeving van uw systemen. Artikel 15 Cbb noemt fysieke toegang in het toegangsbeleid.

Moet een stroomstoring gemeld worden?

Als het een significant incident is, ja, ook zonder cyberaanval. Voor telecom gelden onder meer de drempels uit artikel 8 van de Regeling cyberbeveiliging EZK.

Ben ik verantwoordelijk voor de beveiliging van het datacenter?

Voor uw eigen systemen wel. Het datacenter is uw leverancier; u beoordeelt of het aan uw beveiligingseisen voldoet (artikel 10 Cbb).