Nederland heeft de afgelopen jaren een forse uitbreiding doorgemaakt van wet- en regelgeving rondom beveiliging. NIS2, de Wwke, DORA, de BIO2: nieuwe verplichtingen volgen elkaar op. Organisaties investeren in compliance-trajecten, risicoanalyses en beleidsuitvoering. Auditrapportages worden dikker. Certificeringen worden behaald.
En toch worden organisaties regelmatig verrast. Niet omdat ze de wet niet kennen. Maar omdat ze hun beveiliging nooit echt hebben getest.
Regelgeving dwingt organisaties om na te denken over risico’s en maatregelen. Dat is waardevol. Maar regelgeving meet zelden of beveiligingsmaatregelen ook daadwerkelijk standhouden wanneer iemand ze onder druk zet. Die vraag (of uw beveiliging in de praktijk werkt) blijft in de meeste compliance-trajecten onbeantwoord.
„Compliance betekent niet automatisch weerbaarheid.”
Dit artikel beschrijft de belangrijkste wet- en regelgeving rondom fysieke beveiliging in Nederland. Per wet lichten we toe wat er van organisaties wordt verwacht en waar de praktijk het papier regelmatig weerlegt.
AVG: Bescherming van persoonsgegevens begint bij de voordeur
De Algemene Verordening Gegevensbescherming verplicht organisaties om persoonsgegevens adequaat te beschermen. In de praktijk richt de aandacht zich vrijwel altijd op digitale maatregelen: encryptie, toegangsbeheer in systemen, datalekprocedures.
Wat daarbij structureel wordt onderschat, is de fysieke kant van gegevensbescherming. Een bezoeker die onbegeleid een kantoordeel betreedt, heeft in korte tijd toegang tot beeldschermen, documenten, geopende dossiers en collega’s die meer vertellen dan ze beseffen. Geen digitale aanval nodig. Gewoon binnenlopen.
Artikel 32 van de AVG verplicht tot ‘passende technische en organisatorische maatregelen’. Die term wordt zelden gekoppeld aan fysieke toegangscontrole, terwijl het verband direct en aantoonbaar is. Een onbewaakt archief, een vrij toegankelijke serverruimte of een receptiemedewerker die bezoekers niet registreert: het zijn allemaal maatregelen die in de praktijk niet of onvoldoende functioneren.
Wat effectief werkt bij AVG-compliance is niet het beleidshandboek, maar het daadwerkelijk testen van de fysieke toegangscontrole. Wie probeert in te lopen? Hoe ver komen ze? Wat is er op dat moment beschikbaar?
NIS2 en de Cyberbeveiligingswet: Operationele weerbaarheid vraagt om meer dan IT
Met de implementatie van de NIS2-richtlijn in de Nederlandse Cyberbeveiligingswet gelden voor steeds meer organisaties aantoonbare verplichtingen rondom beveiliging en incident response. De wet richt zich op essentiële en belangrijke entiteiten in sectoren als energie, transport, gezondheidszorg, water, digitale infrastructuur en overheidsdiensten.
De kern van NIS2 is dat organisaties ‘passende en proportionele’ maatregelen nemen om hun netwerken, systemen en diensten te beschermen. Dat klinkt als IT-terminologie en wordt door veel organisaties ook zo geïnterpreteerd. Maar de wet gaat nadrukkelijk verder.
NIS2 stelt expliciet eisen aan:
- fysieke beveiliging van systemen en faciliteiten
- leveranciersbeheer en ketenbeveiliging
- bedrijfscontinuiteit en crisismanagement
- security awareness en HR-procedures
- governance en toezicht op beveiligingsmaatregelen
Dat fysieke component is in de praktijk het minst volwassen. Organisaties die goed scoren op IT-security, blijken bij fysieke toetsing regelmatig kwetsbaar: medewerkers die deuren openhóuden voor onbekenden, bezoekersprocessen die niet worden nageleefd, kritieke ruimtes die vrij toegankelijk zijn vanuit publieke zones.
De meldplicht in NIS2, inclusief persoonlijke aansprakelijkheid voor bestuurders, maakt het belang van aantoonbare weerbaarheid concreet. Wie pas na een incident bewijst dat maatregelen niet werkten, is te laat.
Wet weerbaarheid kritieke entiteiten (Wwke): Fysieke bescherming als kernverplichting
De Wwke is de Nederlandse implementatie van de Europese CER-richtlijn (Critical Entities Resilience). Waar NIS2 zich primair richt op cyberbeveiliging, gaat de Wwke specifiek over de fysieke weerbaarheid van organisaties die behoren tot de vitale infrastructuur van Nederland.
Sectoren als energie, drinkwater, bankwezen, transport en gezondheid vallen onder de wet. De verplichting is helder: organisaties moeten kunnen aantonen dat zij voorbereid zijn op risico’s zoals sabotage, ongeautoriseerde toegang, verstoring van processen en fysieke dreigingen.
De Wwke vraagt om een risicoanalyse, een weerbaarheidsplan en periodieke evaluatie. Maar de wet stelt ook een eis die verder gaat dan documentatie: organisaties moeten hun maatregelen in de praktijk valideren.
Dat is precies het punt waarop veel compliance-trajecten tekortschieten. Een weerbaarheidsplan beschrijft wat er zou moeten werken. Een fysieke penetratietest toont aan wat er daadwerkelijk werkt. Dat verschil is soms subtiel op papier, maar in de praktijk fundamenteel.
„De vraag is niet óf u beveiligingsmaatregelen heeft. De vraag is of ze functioneren wanneer iemand ze daadwerkelijk test.”
DORA: Digitale operationele weerbaarheid binnen de financiële sector
De Digital Operational Resilience Act stelt bindende eisen aan financiële instellingen in de EU op het gebied van IT-risicobeheer, incidentrapportage en operationele weerbaarheid. DORA is primair gericht op digitale risico’s, maar de verbinding met fysieke beveiliging is groter dan veel organisaties beseffen.
Kantoorlocaties, datacenters, back-uplocaties en kritieke IT-infrastructuur zijn fysieke objecten. De toegang daartoe is een beveiligingsvraagstuk dat niet uitsluitend digitaal kan worden opgelost. Een aanvaller die fysiek toegang krijgt tot een serverruimte, omzeilt daarmee de meest geavanceerde digitale verdediging.
DORA vereist bovendien dat organisaties hun weerbaarheid periodiek testen, inclusief Threat-Led Penetration Testing voor grotere instellingen. In dat kader is het logisch om ook de fysieke component van aanvalspaden mee te nemen: social engineering, ongeautoriseerde toegang tot faciliteiten en het gedrag van medewerkers onder druk.
BIO en BIO2: Informatiebeveiliging bij de overheid
De Baseline Informatiebeveiliging Overheid, en de aankomende BIO2, stelt overheidsorganisaties verplicht om informatiebeveiliging integraal te benaderen. Gemeenten, provincies, waterschappen en rijksoverheid vallen onder de scope.
De BIO is gebaseerd op ISO 27001 en hanteert vergelijkbare controles, waaronder expliciet aandacht voor fysieke beveiliging: toegangscontrole tot gebouwen en ruimtes, clean desk-beleid, bezoekersregistratie en bescherming van gevoelige informatie op werkplekken.
In de praktijk zijn overheidsorganisaties kwetsbaar op juist deze fysieke laag. Gemeentehuizen zijn publiek toegankelijk. Medewerkers zijn dienstbaar en helpen bezoekers graag verder. Bezoekersregistratie is niet altijd stringent. En in open kantooromgevingen liggen documenten, schermen en toegangspassen vrij in het zicht.
Een inlooptest, waarbij een onbekende persoon probeert ongemerkt door een organisatie te bewegen, levert bij overheidsinstanties vrijwel altijd bruikbare bevindingen op. Niet omdat medewerkers nalatig zijn, maar omdat de omgeving het onbevoegden simpelweg makkelijk maakt.
ISO 27001: Het kader dat vraagt om praktijkvalidatie
ISO 27001 is geen wet, maar een internationaal erkende norm voor informatiebeveiliging. Veel organisaties werken naar het certificaat toe of gebruiken de norm als intern kader. In aanbestedingen en leveranciersbeoordelingen wordt het steeds vaker als eis gesteld.
De norm vraagt organisaties om informatiebeveiligingsrisico’s te identificeren, maatregelen te nemen en die maatregelen aantoonbaar effectief te maken. Bijlage A van de norm bevat specifieke controls voor fysieke beveiliging: beveiliging van ruimtes, bescherming van apparatuur, clear desk en clear screen, toegangscontrole en bewaking.
Het zwakke punt van ISO 27001-trajecten is niet het ontbreken van controls, maar het ontbreken van praktijkvalidatie. Organisaties kunnen de documentatie op orde hebben, beleid implementeren en intern auditen, en toch kwetsbaar blijven voor een gerichte poging tot ongeautoriseerde toegang.
ISO 27001 vraagt zelf om periodieke evaluatie en toetsing van de effectiviteit. Een fysieke penetratietest is daarbinnen geen uitzondering, maar een logische invulling van die eis.
Wbni: Lessen uit de eerste generatie securitywetgeving
De Wet beveiliging netwerk- en informatiesystemen legde de basis voor wat nu NIS2 is. De Wbni verplichte aanbieders van essentiële diensten en digitale dienstverleners tot beveiligingsmaatregelen en meldplichten bij incidenten.
Een van de centrale inzichten uit de jaren onder de Wbni is dat technische maatregelen op zichzelf onvoldoende zijn. Incidenten bleken keer op keer mede veroorzaakt door menselijk handelen, procedurefouten en onvoldoende bewustzijn bij medewerkers, niet door het falen van technische systemen.
Die les is inmiddels verankerd in NIS2, maar verdient voortdurende aandacht. Wetgeving evolueert. Dreigingen ook. De organisaties die structureel toetsen of hun maatregelen nog aansluiten op de werkelijkheid, zijn beter voorbereid dan organisaties die vertrouwen op het feit dat ze ooit een audit hebben doorstaan.
Arbowet: Veilige werkomgeving en sociale veiligheid
De Arbowet verplicht werkgevers tot een veilige werkomgeving. Dat omvat niet alleen bedrijfshygiëne en ergonomie, maar ook de bescherming van medewerkers tegen ongewenste indringers, agressie, sociale manipulatie en situaties waarbij de fysieke veiligheid in het geding is.
In die context is beveiliging van de werkplek een arbeidsomstandighedenvraagstuk. Medewerkers die dagelijks werken in een omgeving waar onbevoegden vrij kunnen binnenlopen, dragen een verhoogd risico. Niet alleen op diefstal of sabotage, maar ook op intimidatie, sociale engineering en situaties die escaleren.
De koppeling met security awareness is hier direct: medewerkers die weten hoe ze verdacht gedrag herkennen en hoe ze moeten handelen, dragen actief bij aan een veiligere werkomgeving. Dat is niet alleen een compliance-eis, maar een investering in sociale veiligheid.
Telecommunicatiewet: Kritieke infrastructuur vraagt fysieke bescherming
Telecombedrijven en aanbieders van kritieke communicatie-infrastructuur zijn gebonden aan strenge eisen rondom continuïteit en beveiliging. Fysieke toegang tot technische ruimtes, apparatuurhallen en knooppunten vormt daarbinnen een serieus risico.
Een aanval op fysieke telecominfrastructuur hoeft niet digitaal te beginnen. Toegang tot een technische ruimte via social engineering bij een receptie, via een valse identiteit of via een onbewaakt achterterrein – kan leiden tot verstoring van kritieke communicatienetwerken.
Fysieke pentesten bij telecombedrijven brengen kwetsbaarheden in kaart die in technische audits doorgaans niet zichtbaar worden: hoe toegankelijk zijn de gebouwen, hoe alert zijn de medewerkers, hoe waterdicht zijn de procedures rondom bezoekers en leveranciers?
Wet politiegegevens: Gevoelige informatie vraagt bijzondere zorgplicht
Organisaties die werken met politie- of justitieel gerelateerde gegevens, zoals gemeenten met BOA-processen, reclasseringsorganisaties of particuliere partijen met verwerkersovereenkomsten – zijn gebonden aan zware beveiligingseisen. De fysieke component is daarin minstens zo belangrijk als de digitale.
Gevoelige dossiers in een papieren la, schermen die zichtbaar zijn vanuit een publieke ruimte, medewerkers die te veel vertellen: het zijn realistische risico’s die bij sociale engineering of een gerichte inlooptest direct zichtbaar worden.
Een externe toets op de fysieke beveiliging van locaties waar met politiegegevens wordt gewerkt, geeft inzicht in de daadwerkelijke kwetsbaarheid. Dat inzicht is waardevoller dan een beleidscheck of een kwaliteitsaudit.
ABDO: Beveiliging van defensiegerelateerde informatie
Het Aanwijzingsbesluit Beveiligingsonderzoeken Defensie (ABDO) stelt eisen aan organisaties die samenwerken met Defensie of werken met gerubriceerde informatie. De eisen raken aan organisatorische maatregelen, informatiebeveiliging, fysieke toegangscontrole en screening van personeel.
ABDO-compliance vereist aantoonbaarheid op meerdere niveaus. Niet alleen beleid en procedures, maar ook bewijs dat medewerkers, ruimtes en processen in de praktijk voldoen aan de gestelde eisen. Fysieke pentesten en scenario-gebaseerde toetsing passen naadloos in dat kader.
Het grotere geheel: Wetgeving als fundament, validatie als werkelijkheid
Bovenstaande wetten en normen hebben verschillende scopes, doelgroepen en verplichtingen. Maar ze delen een gemeenschappelijk uitgangspunt: organisaties moeten aantoonbaar beveiligd zijn.
Aantoonbaar betekent niet: op papier gedocumenteerd. Het betekent: bewezen effectief in de praktijk.
Dat is precies het punt waar compliance-trajecten en werkelijke weerbaarheid uiteenlopen. Een risicoanalyse beschrijft potentiële kwetsbaarheden. Een audit beoordeelt of maatregelen zijn genomen. Maar geen van beide toetst of een beveiligd gebouw daadwerkelijk beveiligd is wanneer iemand er serieus in wil komen.
Die toets vereist een andere aanpak: realistische scenario’s, een gecontroleerde omgeving, duidelijke afspraken en een methodisch opgeleide onderzoeker die weet hoe aanvallers denken en handelen.
„Je beveiliging is pas zeker als iemand het echt test.”
Organisaties die wachten op een incident om te leren waar hun beveiliging faalt, betalen een hoge prijs voor die kennis. Organisaties die periodiek toetsen, bouwen structureel aan weerbaarheid. Niet op basis van aannames, maar op basis van bewijs.
Hoe ziet dat er in de praktijk uit?
Fysieke penetratietesten, red teaming en mystery visits zijn geen sensationele activiteiten. Ze zijn gestructureerd, proportioneel en afgestemd op de specifieke context van een organisatie.
Binnen een dergelijk traject worden beveiligingsmaatregelen getoetst op de manier waarop ook een echte tegenstander dat zou doen: gericht, methodisch en met begrip van de menselijke en procedurele kwetsbaarheden die in de praktijk het meest worden benut.
De uitkomst is geen lijst met theoretische risico’s, maar een concreet beeld van wat er in de praktijk werkt, wat niet werkt en hoe de organisatie stap voor stap haar weerbaarheid kan verbeteren. Dat beeld is waardevoller dan welk beleidsrapport ook, en het geeft organisaties de onderbouwing die ze nodig hebben om aan toezichthouders, bestuur en stakeholders aantoonbaar te maken dat beveiliging bij hen niet bij papier stopt.
Beveiliging is geen status. Het is een continu proces. Wetgeving maakt dat proces verplicht. Validatie maakt het werkelijk. Om die validatie ook inzichtelijk en vergelijkbaar te maken, brengt Cocoon de uitkomsten van alle toetsen samen in een overzichtelijk dashboard. Bevindingen worden per meting vastgelegd, resultaten worden over de tijd met elkaar vergeleken en de ontwikkeling in security maturity wordt zichtbaar voor management, bestuur en toezichthouders. Zo wordt compliance niet alleen aantoonbaar, maar ook stuurbaar — en groeit de samenwerking met Cocoon uit tot een structureel partnerschap.