Uitgebreide KRITIS-eisen door de NIS2-richtlijn
De omzetting van de NIS2-richtlijn in nationaal recht heeft de kring van betrokken organisaties drastisch verbreed. Terwijl het begrip kritieke infrastructuur lange tijd verbonden was met grote energiecentrales, centrale waterbedrijven of knooppunten van het spoorverkeer, is die zienswijze sinds 2026 achterhaald. Door de recente aanpassingen in het BSI-Gesetz vallen tegenwoordig ook middelgrote ondernemingen uit de sectoren transport, logistiek, gezondheidszorg en afvalverwerking evenals overheden en diensten onder de strenge meldplichten en veiligheidseisen.
Wie de nieuwe standaarden negeert, riskeert niet alleen fatale bedrijfsuitval, maar ziet zich ook geconfronteerd met gevoelige persoonlijke aansprakelijkheidsrisico's en sancties. De kwetsbaarheid beperkt zich daarbij niet tot digitale elementen van een infrastructuur - zoals de mechanische aanvallen op de stroomvoorziening in Berlijn in september 2025 lieten zien.
Netwerkkoppeling creëert nieuwe aanvalsvlakken
Moderne gebouwautomatisering is tegenwoordig vrijwel zonder uitzondering genetwerkt. Of het nu via wifi, radiografisch of via bekabelde bussystemen gaat: elke geautomatiseerde deur, elk smart raam en elke RWA-installatie (rook- en warmteafvoer) is een potentieel eindpunt in een netwerk. Daarmee wordt elk van deze systemen een mogelijke toegangspoort voor cyberaanvallen wanneer de beveiliging niet voldoet aan de huidige stand van de techniek.
Bijzonder problematisch is daarbij het snijvlak tussen IT-beveiliging en fysieke beveiliging. Een klassiek voorbeeld uit de praktijk illustreert het risico: vertoont een automatische deurinstallatie tijdens bedrijf een storing, dan wordt zij in de hectiek van alledag vaak uit gemak of onwetendheid mechanisch geblokkeerd - zij wordt "opengehouden". In een KRITIS-context is dat geen kleinigheid, maar een beveiligingslek dat de fysieke scheiding opheft die eigenlijk de bescherming tegen onbevoegde toegang moet garanderen.
Fysieke en digitale beveiliging als eenheid
De integriteit van een KRITIS-installatie staat of valt met de fysieke beveiliging van de buitenschil en met de interne raakvlakken tussen gevoelige KRITIS-zones en openbaar toegankelijke zones. Echte KRITIS-conformiteit vereist daarom een omslag in het denken: digitale beveiliging en mechanische betrouwbaarheid moeten als onlosmakelijke eenheid worden gepland en geëxploiteerd.
Geïntegreerde planningsbenaderingen voor KRITIS-conformiteit
De nieuwe wettelijke eisen verschuiven de prioriteiten in de planning ingrijpend. Tegenwoordig is een toename van zogenoemde functieconflicten waar te nemen. Hoge veiligheidsbarrières en restrictieve toegangscontroles botsen bij deuren en andere elementen van de buitenschil onvermijdelijk met de wens naar maximaal bedieningscomfort, volledige toegankelijkheid en een zo gering mogelijke onderhoudsinspanning.
Om dure herstelwerkzaamheden of zelfs volledige herplanningen te vermijden, moeten bouw- en gebouwverantwoordelijken eerder dan ooit het gesprek met experts zoeken. Een geïntegreerde planningsbenadering beschouwt het gebouw niet als de som van afzonderlijke disciplines, maar als totaalsysteem.
Uitdagingen bij modernisering van bestaande bouw
Bijzonder uitdagend is de modernisering in de bestaande bouw. Veel KRITIS-relevante gebouwen beschikken over historisch gegroeide systemen die vaak als eilandoplossingen functioneren. De prangende vraag luidt: hoe kunnen verouderde componenten KRITIS-conform worden nagerust zonder de volledige infrastructuur te moeten vervangen?
Een gedegen inventarisatie is de eerste stap om raakvlakken te identificeren die zowel veiligheidstechnisch als functioneel toekomstbestendig zijn. Doel moet zijn een oplossing te vinden die aan de strenge beschermingsbehoefte voldoet zonder het gebouwbeheer door overmatige complexiteit te verlammen.
Technische standaarden voor veilige interoperabiliteit
Een doorslaggevende technische hefboom voor de realisatie van KRITIS-conforme oplossingen is de interoperabiliteit. Geautomatiseerde deur- en raamoplossingen moeten tegenwoordig complexe taken gelijktijdig aankunnen: brandveiligheidsvoorschriften moeten worden nageleefd, vlucht- en reddingswegen te allen tijde gegarandeerd en de toegankelijkheid gewaarborgd blijven. Tegelijkertijd moet het systeem volledig geïntegreerd zijn in de overkoepelende gebouwbesturing om statusmeldingen in realtime te leveren.
Experts zetten consequent in op open en veilige communicatiestandaarden om de noodzakelijke transparantie en veiligheid te waarborgen. Momenteel vormt OPC UA de basis voor een platformonafhankelijke en veilige gegevensuitwisseling. Met het oog op de toekomst en de stijgende eisen aan de netwerkbeveiliging zal ook BACnetSC (Secure Connect) een centrale rol spelen.
Versleuteling als basisvoorwaarde
Deze standaarden maken het mogelijk beveiligingsfuncties niet alleen aan te sturen, maar versleuteld te communiceren en naadloos te bewaken. In een KRITIS-conforme architectuur is deze versleuteling op protocolniveau een basisvoorwaarde om man-in-the-middle-aanvallen op de gebouwtechniek te voorkomen.
Praktijkaanbevelingen voor KRITIS-conforme gebouwautomatisering
Voor de praktische uitvoering volgen uit de nieuwe eisen concrete handelingsaanbevelingen:
- Vroegtijdige betrokkenheid van beveiligingsexperts in de planningsfase
- Beschouwing van het gebouw als totaalsysteem in plaats van als geïsoleerde disciplines
- Gedegen inventarisatie vóór moderniseringsmaatregelen
- Inzet van open en veilige communicatiestandaarden
- Implementatie van doorlopende versleuteling op protocolniveau
- Regelmatige toetsing en aanpassing van de veiligheidsmaatregelen
Vooral bij toegangscontrolesystemen moet erop worden gelet dat mechanische veiligheidsmaatregelen niet worden ondermijnd door operationele noodoplossingen. Storingen moeten systematisch worden verholpen in plaats van dat geïmproviseerde workarounds gangbaar worden.
Vooruitblik: veiligheid als permanente opgave
KRITIS-conformiteit is geen eenmalig project, maar een permanente opgave in de levenscyclus van een gebouw. Gezien een voortdurend veranderend dreigingsbeeld en een dynamische wetgeving is vooruitziende planning de enige weg naar veerkracht.
De integratie van IT-beveiliging en fysieke gebouwbeveiliging zal in de toekomst nog belangrijker worden. Ondernemingen die vandaag investeren in toekomstbestendige oplossingen kunnen veiligheid als concurrentievoordeel benutten in plaats van als hindernis te ervaren. Met de juiste partners en een intelligent genetwerkte gebouwautomatisering wordt veiligheid de garantie voor een stabiele en toekomstbestendige bedrijfsvoering.
De uitbreiding van de KRITIS-eisen maakt duidelijk: de bescherming van kritieke infrastructuur begint al bij de gebouwschil en vereist een omslag in het denken in de gehele planning- en exploitatiefase van vastgoed.
