Beleid fysieke toegang en beveiliging

Onderdeel van Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen · Markdown-bron

Word nodig? Kies dit stuk in de generator en download het daar, zonder of met je eigen antwoorden.

In het kort. Regelt de fysieke beveiliging van locaties en ruimten waar informatie wordt verwerkt of bewaard. Gaat over de indeling in vier beveiligingszones, de eisen per zone, de omgang met incidenten, monitoring en waarschuwingen, en het dragen van toegangspassen.

Onderwerpen. 3. Beveiligingszones; 4. Eisen voor zone 1, openbaar; 5. Eisen voor zone 2, kantoor; 6. Eisen voor zone 3, beperkt; 7. Eisen voor zone 4, kritiek; 8. Incidenten, monitoring en waarschuwingen; 9. Toegangspassen dragen.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

1. Doel en reikwijdte#

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de fysieke beveiliging van de locaties, ruimten en voorzieningen waar de organisatie informatie verwerkt of bewaart. Het legt vast in welke zones de ruimten vallen, welke eisen per zone gelden en wie daarop toeziet, zodat onbevoegde toegang, schade en uitval van voorzieningen de beschikbaarheid, integriteit en vertrouwelijkheid van informatie niet aantasten. Het gaat over de ISO-beheersmaatregelen 7.1 tot en met 7.5 en 7.12.

Voor wie. Het beleid is primair bedoeld voor de afdeling die de gebouwen en de toegangsmiddelen beheert en voor de eigenaren van beveiligde zones. De gedragsregels gelden voor iedereen die een locatie van de organisatie betreedt: medewerkers, inhuur, stagiairs, vrijwilligers, bezoekers en leveranciers.

Waarop. Alle locaties en terreinen die de organisatie gebruikt voor haar processen, met de nadruk op de ruimten waar informatie wordt opgeslagen of geautomatiseerd verwerkt en op de opslag van waardedocumenten zoals identiteitsbewijzen. Zijn ruimten of voorzieningen uitbesteed, bijvoorbeeld een datacenter, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.

Buiten dit beleid vallen het werken in beveiligde zones, het plaatsen en onderhouden van apparatuur en de nutsvoorzieningen voor apparatuur (beleid bedrijfsmiddelenbeheer), clear desk en clear screen (beleid IT-compliance) en het afvoeren van opslagmedia (beleid afvoer en hergebruik van gegevensdragers).

Alleen als: Waar draaien je systemen? «Vooral SaaS en publieke cloud»

De organisatie heeft geen eigen datacenter en geen serverruimte bij een hostingpartij. De fysieke beveiliging van de systemen ligt bij de SaaS-leveranciers; dit beleid regelt de kantoorlocaties, de netwerk- en stroomvoorzieningen op die locaties en de eisen die de organisatie aan leveranciers stelt.

2. Uitgangspunten#

1. Fysieke beveiliging is risicogestuurd: hoe groter de gevolgen van onbevoegde toegang voor beschikbaarheid, integriteit en vertrouwelijkheid, hoe zwaarder de maatregelen. #
2. Elke ruimte valt in een beveiligingszone. De zone volgt uit de classificatie van de informatie en de systemen in die ruimte (beleid informatieclassificatie). De eisen van een hogere zone komen bovenop die van de lagere. #
3. Kritieke informatie en kritieke systemen liggen achter minstens twee opeenvolgende zones met elk een eigen toegangscontrole. #
4. Beveiligingsmaatregelen zijn niet zichtbaar voor wie ze niet hoeft te kennen: beveiligde ruimten zijn niet als zodanig aangeduid. #
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. #

3. Beveiligingszones#

1. De organisatie deelt elke locatie in in vier zones en legt dat vast in een zoneringsplan per locatie, beheerd door [lijneigenaar fysieke beveiliging]. De zones volgen de impactniveaus van het classificatieschema: [7.01.02] #

2. Het classificatieschema kent ook het niveau catastrofaal. Daarvoor voorziet de organisatie geen zones op haar eigen locaties; blijkt uit het zoneringsplan dat een ruimte dat niveau toch vraagt, dan stelt de CISO de eisen voor die ruimte vast op basis van een eigen risicoanalyse. [7.01.02] #
3. Het zoneringsplan noemt per zone de eigenaar: de primaire gebruiker van de ruimte. De eigenaar keurt toegangsverzoeken goed, controleert periodiek wie toegang heeft en beoordeelt jaarlijks of het niveau van de zone nog klopt. [7.01.02] #
4. Een ruimte van zone 4 ligt altijd binnen een zone 3, zodat kritieke informatie en kritieke systemen nooit via één beveiligde zone bereikbaar zijn: wie binnenkomt, passeert ten minste twee toegangscontroles met elk een eigen controle op de persoon. [7.01.02] #

Alleen als: Waar draaien je systemen? «Eigen datacenter of serverruimte»

5. De eigen serverruimte is een zone 4 binnen een zone 3. De tweede controle is persoonsgebonden (pas met pincode of biometrie) en elke binnenkomst wordt gelogd. [7.01.02] #

Alleen als: Waar draaien je systemen? «Hostingpartij (IaaS, gedeeld datacenter)» of «Vooral SaaS en publieke cloud»

6. Waar systemen bij een hostingpartij of SaaS-leverancier staan, eist de organisatie in het contract een zonering met ten minste twee opeenvolgende beveiligde zones voor de ruimte met de systemen, en een verklaring (ISO 27001-certificaat of ISAE 3402-rapport) die dat aantoont. [7.01.02] #
7. Ook op de eigen locaties liggen de netwerk- en stroomknooppunten in zone 3, binnen zone 2. [7.01.02] #

4. Eisen voor zone 1, openbaar#

1. Vrije toegang voor bezoekers en leveranciers tot het terrein en de ontvangsthal is er alleen tijdens openingstijden. [7.03.01] #
2. Tijdens openingstijden controleert een bemande receptie de toegang en let op afwijkend gedrag; waar geen receptie is, regelen toegangspoortjes of een gelijkwaardige voorziening de toegang. [7.02.01, 7.03.01] #
3. Noodprocedures en vluchtroutes zijn zichtbaar aangegeven op het terrein en in de gebouwen. [7.05.01] #
4. De buitenschil van een gebouw (daken, buitenmuren, plafonds, vloeren) biedt geen zwakke plekken die inbraak eenvoudig maken. Een laad- en losplaats geeft geen directe toegang tot zone 2 of hoger. [7.03.01] #
5. Buiten openingstijden zijn locaties afgesloten en bewaakt door een alarmsysteem met een passende combinatie van contactmelders, geluidsmelders, bewegingsmelders en camera's. Het alarm is aangesloten op een gecertificeerde particuliere alarmcentrale en de opvolging van meldingen staat in een procedure. [7.04.01] #
6. Huurt de organisatie een bewakingsdienst in, dan is vooraf gecontroleerd en in het contract vastgelegd dat die voldoet aan de Wet particuliere beveiligingsorganisaties en recherchebureaus. [7.03.01] #
7. Voedingskabels en kabels voor gegevens lopen waar mogelijk door afgesloten kabelgoten of leidingen. Aansluitpunten in openbaar toegankelijke ruimten zijn uitgeschakeld of afgeschermd, en patchkasten zijn afgesloten. [7.12.01] #

5. Eisen voor zone 2, kantoor#

Bovenop de eisen voor zone 1:

1. Medewerkers en leveranciers met een doorlopende opdracht krijgen toegang met een op naam geregistreerd toegangsmiddel. Rechten volgen de functie; bij uitdiensttreding, einde van de opdracht of functiewijziging wordt het toegangsmiddel ingenomen en zijn de rechten uiterlijk op de laatste werkdag ingetrokken of aangepast. [7.02.01] #
2. Nog niet uitgegeven toegangsmiddelen liggen achter slot, bij de receptie of in een afgesloten kast. [7.02.01] #
3. Bezoekers en leveranciers zonder eigen toegangsrecht komen alleen binnen met toestemming van een medewerker en onder begeleiding. Ze worden bij binnenkomst geregistreerd, dragen zichtbaar een bezoekerspas en leveren die bij vertrek in. [7.02.01] #
4. Verlies of diefstal van een toegangsmiddel wordt direct gemeld en het middel wordt direct geblokkeerd. [7.02.01] #

6. Eisen voor zone 3, beperkt#

Bovenop de eisen voor zone 2:

1. Toegang vraagt doelbinding: alleen wie de ruimte voor zijn werk nodig heeft, krijgt toegang, na goedkeuring van de eigenaar van de zone en met een op naam geregistreerd toegangsmiddel. [7.02.01] #
2. De ruimte is afgesloten met een elektronisch toegangssysteem dat geslaagde en mislukte toegangspogingen logt. De logging wordt bewaard gedurende [bewaartermijn toegangslogging]. [7.02.01, 7.04.01] #
3. Bezoekers en leveranciers zonder eigen toegangsrecht komen alleen binnen onder toezicht van een bevoegde medewerker, voor noodzakelijke werkzaamheden. [7.02.01] #
4. De eigenaar van de zone stelt elk halfjaar vast dat de uitgegeven toegangsmiddelen alleen in gebruik zijn bij bevoegde personen met een geldige doelbinding. [7.02.01] #
5. Foto-, video- en geluidsopnamen zijn niet toegestaan zonder toestemming van de eigenaar van de zone. [7.03.01] #
6. Toegangsdeuren sluiten automatisch en geven een signaal als ze langer openstaan dan nodig. Het signaal komt binnen kantoortijd bij de receptie en daarbuiten bij de alarmcentrale. [7.04.01] #
7. De ruimte draagt geen aanduiding die de aard of het belang ervan prijsgeeft en staat niet op openbare plattegronden. [7.03.01] #
8. Gevaarlijke of brandbare stoffen worden zo ver van de ruimte opgeslagen dat ze geen gevolgen hebben voor de ruimte. [7.05.01] #
9. Netwerk- en stroombekabeling naar de ruimte loopt niet door openbare ruimten, of is daar afgeschermd. [7.12.01] #

7. Eisen voor zone 4, kritiek#

Bovenop de eisen voor zone 3. Is de ruimte uitbesteed, dan voldoet de leverancier aan deze eisen via het contract en een onafhankelijke verklaring (hoofdstuk 1).

1. Toegang loopt via een toegangssysteem met een autorisatiestructuur en persoonlijke toegangsmiddelen. [7.02.01] #
2. Leveranciers krijgen geen toegang zonder toezicht van een bevoegde medewerker, tenzij de eigenaar van de zone daar uitdrukkelijk toestemming voor geeft. [7.02.01] #
3. De identiteit van bezoekers en leveranciers wordt vastgesteld aan de hand van een identiteitsbewijs voordat zij toegang krijgen. De begeleidende medewerker registreert datum en tijd van binnenkomst en vertrek. [7.02.01] #
4. Camera's registreren de toegang tot de ruimte. De beelden staan in het verwerkingsregister en worden niet langer bewaard dan [bewaartermijn camerabeelden], tenzij een incident langer bewaren rechtvaardigt. [7.04.01] #
5. De ruimte heeft een noodstroomvoorziening (UPS) tegen stroomuitval en storingen in de nutsvoorzieningen, en een voorziening die bij een langdurige storing stroom levert, zoals een aggregaat. Beide worden getest volgens [testschema noodstroom]. [7.05.01] #
6. Een klimaatinstallatie regelt en bewaakt temperatuur en luchtvochtigheid. [7.05.01] #
7. De ruimte is beschermd tegen wateroverlast en tegen stroompieken, met een voorziening die waterschade signaleert en beperkt. [7.05.01] #
8. Automatische branddetectie is aangesloten op de alarmcentrale en er is een blusvoorziening die geschikt is voor ICT-apparatuur. Beide worden jaarlijks gecontroleerd en onderhouden. [7.05.01] #
9. De eigenaar van de zone voert jaarlijks een risicobeoordeling uit op omgevingsdreigingen (oproer, terrorisme, explosies), brand, overstroming en aardbeving, en op de ligging van de ruimte ten opzichte van water, breuklijnen en hoogte, en volgt de uitkomsten op. [7.05.01] #

Alleen als: Heb je operationele technologie (OT)? «Beperkt: gebouwbeheer, toegang, camera's» of «Substantieel: bruggen, gemalen, verkeer, zuivering»

10. Ruimten met operationele technologie (gemalen, sluizen, installaties, gebouwbeheer) staan in het zoneringsplan, in zone 3 of hoger. Besturingskasten en lokale bedieningspanelen zitten achter slot en worden bij elke inspectie gecontroleerd op sporen van openbreken. [7.01.02, 7.03.01] #

8. Incidenten, monitoring en waarschuwingen#

Ongeacht de zone:

1. Fysieke beveiligingsincidenten, zoals een inbraak of een poging daartoe, onbevoegde toegang, verlies of diefstal van een toegangsmiddel en uitval van een beveiligingsvoorziening, worden direct gemeld en afgehandeld volgens het beleid beveiligingsincidenten. [7.04.01] #
2. [lijneigenaar fysieke beveiliging] beoordeelt elke maand de logging van het toegangssysteem en de alarmmeldingen op afwijkingen, zoals herhaalde mislukte toegangspogingen of toegang buiten de reguliere werktijden. [7.04.01] #
3. Bij een concreet beveiligingsrisico voor een locatie, zoals een dreiging, een inbraak of een verdachte situatie, waarschuwt [meldpunt fysieke beveiliging] volgens de gemaakte afspraken de relevante collega's in het beveiligingsdomein van de overheid: de CISO, de beveiligingscoördinatoren van samenwerkingspartners op dezelfde locatie en, bij een strafbaar feit, de politie. [7.02.01] #
4. De afspraken over wie wie waarschuwt, met welk kanaal en binnen welke tijd, staan in [afsprakenlijst waarschuwingen] en worden jaarlijks gecontroleerd. [7.02.01] #

9. Toegangspassen dragen#

1. Bezoekers, leveranciers en andere externen dragen hun pas zichtbaar zolang zij in een gebouw van de organisatie zijn. De pas laat alleen zien dat de drager een externe is, bijvoorbeeld met de tekst "Bezoeker". [7.02.01] #
2. Of medewerkers hun pas zichtbaar dragen, staat in [pasregels medewerkers]. Op de pas staat zo min mogelijk informatie, zodat een verloren of gestolen pas weinig prijsgeeft. [7.02.01] #

10. Rollen en verantwoordelijkheden#

11. Naleving en controle#

Controleraamwerk. De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [registratie van controles]; afwijkingen gaan als bevinding naar het risicoregister.

Afwijkingen. Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De eigenaar van de zone dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [risico-eigenaar] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.

Niet naleven. Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

12. Samenhang#

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. De zones volgen het beleid informatieclassificatie. Het beleid raakt het beleid bedrijfsmiddelenbeheer (werken in beveiligde zones, apparatuur en nutsvoorzieningen), het beleid afvoer en hergebruik van gegevensdragers, het beleid back-up en recovery (uitwijk- en opslaglocaties), het continuïteitsbeleid (noodstroom en uitwijk), het beleid beveiligingsincidenten (melden en afhandelen) en het beleid informatiebeveiliging bij inkoop en contractbeheer (eisen aan en verklaringen van leveranciers).

Bijlage A: BIO 2.0-maatregelen#

De maatregelen van dit domein (6, waarvan 2 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

Bijlage B: Afkortingen#

Nog in te vullen#

• lijneigenaar fysieke beveiliging: de manager van de afdeling die gebouwen en toegangsmiddelen beheert, bijvoorbeeld facilitaire zaken
• bewaartermijn toegangslogging: standaard een jaar
• bewaartermijn camerabeelden: de vastgestelde termijn, bijvoorbeeld vier weken
• testschema noodstroom: hoe vaak de UPS en de langdurige voorziening worden getest, bijvoorbeeld halfjaarlijks en jaarlijks
• meldpunt fysieke beveiliging: de functie die de waarschuwing doet, bijvoorbeeld de coördinator beveiliging
• afsprakenlijst waarschuwingen: document met de contactpersonen en kanalen per partner
• pasregels medewerkers: de huisregel over het dragen van de pas
• registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem
• risico-eigenaar: de manager die restrisico's accepteert
• eigenaar van dit beleid: de manager die dit beleid uitvoert en laat naleven
• vaststeller: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur