De Cyberbeveiligingswet (NIS2) en fysieke toegang

Wat de nieuwe wet vraagt van je fysieke beveiliging, en waarom mechanische sloten daar tekortschieten. Voor netbeheerders, waterschappen, infra, zorg en overheid.

Doe de gratis Grip Test Vraag een voorstel aan

Geschreven door Dirk Jan Lucas, eigenaar van KEYROL. Herzien op 2 augustus 2026.

NIS2

Waarom een cyberwet over sloten gaat

NIS2 wordt in Nederland ingevoerd via de Cyberbeveiligingswet en geldt sinds 15 augustus 2026. De naam suggereert dat het alleen over digitale beveiliging gaat, maar de wet vraagt om beheersmaatregelen voor de beveiliging van netwerk- en informatiesystemen als geheel, en daar hoort de fysieke toegang tot die systemen bij. Voor organisaties die als kritieke entiteit zijn aangewezen, geldt ook de Wet weerbaarheid kritieke entiteiten, die fysieke toegang rechtstreeks noemt.

Praktisch: een aanvaller die de serverruimte, de technische ruimte of de veldkast binnenloopt, heeft geen firewall nodig. Toezichthouders kijken daarom ook naar wie er fysiek bij je apparatuur kan, en of je dat kunt aantonen.

Wat het betekent

Drie dingen die je moet kunnen laten zien

Wie toegang heeft. Een actuele lijst van personen en partijen die bij je kritieke locaties kunnen, inclusief aannemers en onderhoudspartijen. Niet een schatting op basis van uitgegeven sleutels, maar een registratie.

Wie er wanneer was. Een audit trail per locatie. Bij een incident is de eerste vraag wie er is geweest; zonder registratie is het antwoord dat je het niet weet, en dat is precies het antwoord dat je niet wilt geven.

Dat toegang gecontroleerd verloopt. Toegang die begint en eindigt: een aannemer krijgt rechten voor de duur van de opdracht en verliest ze daarna automatisch, zonder dat iemand langs de locaties moet om sleutels op te halen.

Situatie	Wat je kunt aantonen
Mechanische sleutel	Geen registratie, geen audit trail, intrekken vraagt cilinderwissel
Elektronisch, offline	Rechten per sleutel of tag, audit trail in de cilinder, intrekken centraal
Elektronisch, batterijloos	Zelfde controle zonder stroom of netwerk op locatie

Aan de slag

Wat je nu al kunt doen

1. Bepaal welke locaties kritiek zijn. Niet alles hoeft hetzelfde niveau. Begin bij de ruimtes en kasten waar apparatuur staat die je dienstverlening raakt.

2. Breng in kaart wie er nu bij kan. Tel de sleutels, kijk wie ze heeft en wat ze openen. Die telling is bijna altijd confronterend, en precies daarom nuttig.

3. Kies per locatie een maatregel. Op verspreide veldlocaties zonder stroom werkt een batterijloos systeem vaak goed; in gebouwen is de keuze breder. Zie ook systemen vergelijken.

4. Leg het beheer vast. Registratie is geen project maar een proces: uitgifte, intrekken, mutaties en periodieke controle. Wij leggen dat vast in KEYROL AMS.

5. Zorg dat je het kunt tonen. Een rapportage die je zo aan een auditor kunt geven, scheelt bij de eerste toets een hoop zoekwerk. Waar je nu staat, zie je met onze NIS2/CER-toets fysieke toegang.

Veelgestelde vragen

Valt mijn organisatie onder NIS2?

Dat hangt af van je sector en je omvang. Energie, drinkwater, afvalwater, transport, digitale infrastructuur, zorg en overheid vallen er in veel gevallen onder, als essentiele of belangrijke entiteit. Je koepelorganisatie of de Rijksinspectie Digitale Infrastructuur kan dat bevestigen.

Moeten alle deuren dan elektronisch worden?

Nee. Het gaat om de locaties waar het risico zit. Op de meeste terreinen blijft een deel mechanisch; de kritieke ruimtes en kasten krijgen registratie.

Kan dit zonder stroom en netwerk op locatie?

Ja. Batterijloze cilinders halen hun energie uit de digitale sleutel of de smartphone bij het openen. Geen bekabeling, geen voeding, geen netwerkverbinding nodig; de cilinder past meestal in de bestaande boring.

Valt een woningcorporatie onder de Cyberbeveiligingswet?

Daar is geen algemeen antwoord op; Aedes geeft geen oordeel per corporatie. De NIS2-zelfevaluatie van de overheid laat zien of je in beeld komt. Val je er niet onder, dan blijft de toegang tot je technische ruimtes en serverruimte de plek om te beginnen.

Wat eist de Cyberbeveiligingswet (NIS2) van de fysieke toegang tot onze gebouwen en technische ruimtes?

Artikel 21 lid 3 onder i van de Cyberbeveiligingswet noemt toegangsbeleid en het beheer van assets. Voor fysieke toegang komt dat neer op drie dingen die je moet kunnen laten zien: wie toegang heeft tot de ruimtes en kasten met je netwerk- en informatiesystemen, wie er wanneer was, en dat toegang begint en eindigt. Met mechanische sleutels lukt dat laatste alleen door sleutels op te halen of cilinders te vervangen. Niet elke deur hoeft elektronisch; begin bij de serverruimte, technische ruimtes en veldkasten. De wet geldt sinds 15 augustus 2026. Of je eronder valt, toets je met de NIS2-zelfevaluatie van de overheid.

Verder lezen