NIS2-checklist voor gebouwbeheer en OT: 12 punten die u moet kunnen aantonen

Waarom een aparte checklist voor gebouwinstallaties?

De meeste NIS2-checklists zijn geschreven vanuit de IT-afdeling: laptops, servers, e-mail, identiteitsbeheer. Gebouwgebonden operationele technologie (OT) valt onder exact dezelfde zorgplicht, maar gedraagt zich anders. Installaties draaien tien tot twintig jaar mee, patchen kan niet zomaar tijdens bedrijfstijd, en protocollen als BACnet en Modbus zijn ontworpen voor interoperabiliteit — niet voor authenticatie. Daardoor is een gebouwbeheersysteem in de praktijk vaak het zwakst beveiligde onderdeel van het netwerk, terwijl het wél in de scope van de wet valt.

Wat de Cyberbeveiligingswet precies eist en per wanneer, staat in de gids over de wet zelf. Deze pagina is het stappenplan.

De NIS2-checklist: 12 controlepunten

Fase 1 — Weten wat u heeft (punt 1 t/m 3)

Zonder actueel overzicht is elke maatregel daarna een aanname. Deze fase kost weinig geld en levert doorgaans de grootste risicoreductie per bestede dag.

• 1. Inventarisatie van verbonden installaties. Welke gebouwgebonden systemen hangen aan een netwerk of hebben een externe verbinding? Denk verder dan het GBS: liftbesturing, brandmeldinstallatie, laadpalen, toegangscontrole, camerabeveiliging, slimme meters en losse modems bij ketelhuizen. Bewijs: een actuele, gedateerde asset-lijst met eigenaar per systeem.
• 2. Toegangsoverzicht. Wie kan bij welke installatie — intern én extern? Leveranciers, installateurs en onderhoudspartijen hebben vaak jarenlang ongebruikte accounts of vaste VPN-toegang. Bewijs: een toegangsmatrix plus het bewijs dat overbodige accounts zijn ingetrokken.
• 3. Risicoanalyse per pand. Wat gebeurt er als dit systeem uitvalt of wordt overgenomen? Voor een datacenter of ziekenhuis is dat een ander antwoord dan voor een leegstaand kantoorpand. Bewijs: een gedocumenteerde risicobeoordeling met onderbouwde prioritering.

Fase 2 — Het aanvalsoppervlak verkleinen (punt 4 t/m 7)

• 4. Netwerksegmentatie (OT/IT-scheiding). Gebouwinstallaties horen niet in hetzelfde netwerksegment als de kantooromgeving. Een gecompromitteerde laptop mag niet rechtstreeks bij de klimaatregeling kunnen. Bewijs: netwerktekening met segmentgrenzen en firewallregels.
• 5. Identity & access management. Persoonsgebonden accounts in plaats van gedeelde wachtwoorden, meervoudige authenticatie op beheertoegang, en rechten die passen bij de rol. Bewijs: accountoverzicht, MFA-instellingen, procedure voor in- en uitdiensttreding.
• 6. Beveiligde externe toegang. Onderhoud op afstand is normaal en nuttig, maar hoort te lopen via een gecontroleerde route met tijdsgebonden toegang — niet via een permanent openstaande verbinding. Bewijs: procedure voor leverancierstoegang plus logging van sessies.
• 7. Patch- en kwetsbaarheidsbeheer. Voor OT betekent dit niet "alles altijd direct updaten", maar: weten welke kwetsbaarheden er zijn, wat het risico is en welke compenserende maatregel geldt zolang patchen niet kan. Bewijs: kwetsbaarhedenregister met beslissing en datum per item.

Fase 3 — Zien wat er gebeurt (punt 8 en 9)

• 8. Logging en monitoring. Handelingen op installaties worden vastgelegd: wie logde wanneer in, welke setpoints zijn gewijzigd, welke afwijkingen traden op. Zonder logging kunt u na een incident niet reconstrueren wat er gebeurd is — en dat is precies wat de toezichthouder vraagt. Bewijs: logbestanden met aantoonbare bewaartermijn.
• 9. Detectie en alarmering. Afwijkend gedrag moet opvallen: een setpoint dat 's nachts verandert, een verbinding vanaf een onbekend adres, een installatie die buiten haar normale patroon draait. Bewijs: ingerichte signaleringsregels en voorbeelden van opgevolgde meldingen.

Fase 4 — Voorbereid zijn op het moment dat het misgaat (punt 10 t/m 12)

• 10. Incidentproces met 24-uursmelding. De wet vraagt een vroegtijdige waarschuwing binnen 24 uur na constatering van een significant incident. Dat haalt u alleen als vooraf vastligt wie beoordeelt, wie meldt en waar. Bewijs: een incidentprocedure die ook OT-storingen omvat, plus een geoefend scenario.
• 11. Continuïteit en herstel. Blijft het gebouw functioneren als de verbinding, de cloud of een leverancier wegvalt? Voor klimaat- en toegangssystemen is lokale terugvalwerking essentieel. Bewijs: continuïteitsplan, back-ups van configuraties en een herstelttest met datum.
• 12. Ketenbeheersing en bestuurlijke verankering. Uw eigen leveranciers moeten aantoonbaar op orde zijn, en het bestuur is aanspreekbaar op naleving — inclusief verplichte scholing. Bewijs: beveiligingsparagraaf in contracten, leveranciersbeoordelingen en een besluit met bestuurlijke ondertekening.

Wat telt als bewijs?

Het terugkerende woord in de wet is aantoonbaar. In de praktijk struikelen organisaties zelden over de maatregel zelf, maar over de vraag of ze die op verzoek kunnen laten zien. Een toezichthouder, opdrachtgever of verzekeraar vraagt geen mening — die vraagt een document met een datum erop.

Het verschil zit bijna altijd in registratie, niet in techniek. Dat is ook de reden dat vastlegging beter automatisch kan gebeuren dan handmatig: een dossier dat zichzelf bijhoudt, is op elk willekeurig moment actueel — een map die iemand jaarlijks bijwerkt, is dat per definitie elf maanden niet.

Volgorde: waar begint u?

Werk de fasen op volgorde af. De eerste drie punten kosten voornamelijk tijd en leveren het meeste inzicht; ze bepalen bovendien welke maatregelen daarna überhaupt relevant zijn. Wie meteen bij segmentatie begint zonder te weten welke systemen er hangen, segmenteert de verkeerde dingen.

Voor vastgoedeigenaren komt dit werk samen met een tweede wettelijke lijn: de GACS-verplichting eist juist een slim, verbonden gebouwautomatiseringssysteem. Beide eisen raken hetzelfde systeem, en het is aanzienlijk goedkoper om ze in één architectuur op te lossen dan in twee losse projecten. Hoe ControllX segmentatie, identity, logging en continuïteit als ontwerpprincipe invult, leest u op veiligheid & architectuur.

Bronnen

• NCSC — Cyberbeveiligingswet (NIS2)
• Rijksoverheid — NIS2-zelfevaluatie
• NCTV — Cyberbeveiligingswet: vragen en antwoorden