Fysieke beveiliging van datacenters: 8 risico’s die vaak worden onderschat

Het is 02:17 uur wanneer een bestelbus zich meldt bij de toegang van een datacenter. De bestuurder draagt werkkleding van een bekende technische leverancier en vertelt dat hij is opgeroepen vanwege een storing. Zijn verhaal klinkt logisch en het bedrijf waarvoor hij zegt te werken komt regelmatig op de locatie.

Er is alleen één probleem: zijn bezoek staat nergens geregistreerd.

De beveiliger verleent geen toegang en controleert eerst de opdracht. De dienstdoende technische contactpersoon weet niets van een storing en heeft niemand opgeroepen. De bezoeker wordt geweigerd en het incident wordt geregistreerd.

Precies daar zit het verschil tussen een gebouw met beveiligingstechnologie en een daadwerkelijk beveiligd datacenter.

Datacenters behoren tot de best beveiligde bedrijfsomgevingen van Nederland. Toch ontstaan fysieke beveiligingsrisico’s lang niet altijd door iemand die een hek forceert of een deur openbreekt. Juist normale situaties — een leverancier, een opengehouden deur, een vergeten toegangspas of onderhoud buiten kantooruren — kunnen een beveiligingsprotocol onder druk zetten.

In dit artikel behandelen we acht fysieke beveiligingsrisico’s die bij datacenters gemakkelijk worden onderschat en leggen we uit hoe een combinatie van techniek, procedures en professionele datacenterbeveiliging deze risico’s kan beperken.

Waarom is fysieke beveiliging van een datacenter zo belangrijk?

Een datacenter is meer dan een gebouw vol servers. Binnen de locatie bevinden zich IT-systemen, netwerkverbindingen, stroomvoorzieningen, noodstroominstallaties, koeling en andere technische infrastructuur waarvan organisaties afhankelijk zijn.

Een beveiligingsincident hoeft daarom niet direct tot diefstal te leiden om ernstige gevolgen te hebben.

Onbevoegde toegang tot een technische ruimte, het uitschakelen van apparatuur of beschadiging van een verbinding kan de beschikbaarheid van systemen beïnvloeden. Daarbij kunnen de gevolgen verder reiken dan de eigenaar van het gebouw zelf, omdat vanuit één datacenter infrastructuur voor meerdere organisaties kan worden beheerd.

Cybersecurity en fysieke beveiliging kunnen daarom niet volledig los van elkaar worden gezien. Digitale systemen kunnen uitstekend beveiligd zijn, maar wanneer iemand fysiek ongecontroleerd bij kritieke apparatuur kan komen, ontstaat alsnog een kwetsbaarheid.

1. Tailgating: ongemerkt meelopen door een beveiligde toegang

Een medewerker houdt uit beleefdheid de deur open voor iemand die vlak achter hem loopt. Die persoon draagt bedrijfskleding, heeft een laptop onder zijn arm en lijkt precies te weten waar hij naartoe moet.

Niemand stelt een vraag.

Dit wordt tailgating genoemd: een onbevoegde persoon maakt gebruik van de geldige toegang van iemand anders om een beveiligde zone binnen te komen.

Het risico is verraderlijk omdat er technisch gezien niets hoeft te worden geforceerd. Geen kapot slot, geen geforceerd hek en mogelijk zelfs geen alarmmelding.

Een toegangscontrolesysteem registreert bijvoorbeeld dat medewerker A de deur heeft geopend. Het systeem ziet niet automatisch dat persoon B direct achter hem naar binnen is gelopen.

Hoe beperk je het risico op tailgating?

Dat vraagt om een combinatie van maatregelen. Denk aan individuele toegangscontrole, sluisconstructies, cameratoezicht en duidelijke instructies voor medewerkers.

Maar ook gedrag speelt een belangrijke rol. Medewerkers moeten weten dat het bij een kritieke locatie niet onbeleefd is om een deur niet voor een onbekende open te houden.

Bij belangrijke toegangspunten kan fysieke controle door een beveiliger een aanvullende beveiligingslaag vormen.

2. Social engineering: wanneer iemand overtuigend genoeg klinkt

Niet iedere indringer ziet eruit als een indringer.

Iemand die ongeautoriseerd toegang probeert te krijgen, kan zich voordoen als monteur, leverancier, koerier, klant of medewerker. Hoe geloofwaardiger het verhaal, hoe groter de kans dat normale procedures uit gemak of tijdsdruk worden overgeslagen.

Een bekend bedrijfslogo op een jas is echter geen autorisatie.

Hetzelfde geldt voor een bestelbus, werkbon of de mededeling dat een storing “met spoed” moet worden opgelost.

Goede toegangscontrole draait daarom niet alleen om de vraag:

Wie bent u?

Maar ook om:

• Wie heeft u aangemeld?
• Waarom bent u hier?
• Wanneer werd u verwacht?
• Welke werkzaamheden gaat u uitvoeren?
• Tot welke zones heeft u toegang nodig?
• Wie kan uw opdracht intern bevestigen?

Juist bij uitzonderingssituaties moet een procedure overeind blijven.

3. Leveranciers die meer toegang krijgen dan noodzakelijk

Datacenters hebben voortdurend externe partijen nodig. Denk aan installateurs, onderhoudsbedrijven, schoonmaakbedrijven, koeriers en gespecialiseerde technici.

Deze mensen hebben een legitieme reden om op locatie te zijn. Dat betekent alleen niet dat zij automatisch toegang tot het hele gebouw nodig hebben.

Een monteur die werkzaamheden uitvoert aan een koelinstallatie hoeft bijvoorbeeld niet zelfstandig toegang te hebben tot iedere serverruimte.

Het principe van minimale noodzakelijke toegang is daarom ook fysiek relevant: iemand krijgt toegang tot de ruimtes die voor zijn werkzaamheden nodig zijn en niet automatisch tot aangrenzende beveiligde zones.

Registratie alleen is niet voldoende

Een naam op een bezoekerslijst zegt nog weinig over wat iemand binnen het gebouw mag doen.

Een goed bezoekersproces legt daarom ook vast welke organisatie iemand vertegenwoordigt, wie de opdrachtgever is, welke zones mogen worden bezocht, of begeleiding nodig is en wanneer de bezoeker het gebouw weer heeft verlaten.

Daarmee wordt bezoekersregistratie onderdeel van toegangsbeveiliging in plaats van alleen administratie.

4. Geldige toegang die niet meer geldig hoort te zijn

Een ander onderschat risico zit bij bestaande toegangsrechten.

Medewerkers veranderen van functie. Externe projecten lopen af. Leveranciers worden vervangen. Tijdelijke medewerkers vertrekken.

Wanneer fysieke toegangsrechten niet direct worden aangepast, kan iemand technisch gezien nog steeds een geldige toegangspas hebben terwijl daar organisatorisch geen reden meer voor bestaat.

Dit risico wordt groter naarmate een locatie meer medewerkers, klanten en externe partijen heeft.

Periodieke controle van autorisaties is daarom net zo belangrijk als het uitgeven ervan.

Wie heeft toegang? Waarom? Tot welke zones? En is die toegang nog steeds noodzakelijk?

5. De interne dreiging

Bij fysieke beveiliging ligt de nadruk vaak op mensen buiten de organisatie. Maar iemand die al geautoriseerde toegang heeft, kan eveneens een beveiligingsrisico vormen.

Dat hoeft niet altijd bewust of kwaadwillend te zijn.

Een medewerker kan bijvoorbeeld:

• een beveiligde deur open laten staan;
• een toegangspas uitlenen;
• een bezoeker zonder registratie meenemen;
• een veiligheidsprocedure overslaan;
• toegang hebben tot ruimtes die niet langer nodig zijn voor zijn functie.

Daarnaast bestaat vanzelfsprekend het risico van opzettelijk misbruik.

Juist daarom werkt fysieke beveiliging het beste volgens het principe dat toegang wordt verleend op basis van noodzaak en dat kritieke handelingen controleerbaar blijven.

6. Onderhoud en storingen buiten kantooruren

Veel organisaties hebben overdag duidelijke bezoekersprocedures. Er is receptiepersoneel aanwezig, verantwoordelijke managers zijn bereikbaar en leveranciers komen volgens planning binnen.

Om drie uur ’s nachts ziet de situatie er anders uit.

En juist dat is bij een datacenter relevant, omdat technische storingen en onderhoud niet altijd rekening houden met kantooruren.

Een monteur die ’s nachts arriveert kan daadwerkelijk dringend nodig zijn. Maar hoe controleert de beveiliging dat?

Voor dergelijke situaties moeten vooraf procedures bestaan.

Wie mag spoedonderhoud autoriseren? Welke contactpersoon moet worden gebeld? Welke identiteit moet worden gecontroleerd? Mag de monteur zelfstandig naar binnen of is begeleiding noodzakelijk?

Een beveiliger die op dat moment moet improviseren, beschikt feitelijk niet over een volledig beveiligingsprotocol.

7. Te veel vertrouwen op camera’s en toegangscontrolesystemen

Moderne beveiligingstechnologie is onmisbaar binnen een datacenter. Camera’s, elektronische sloten, sensoren en toegangssoftware kunnen grote hoeveelheden informatie registreren en afwijkingen detecteren.

Maar techniek heeft een beperking: systemen kennen niet altijd de context.

Een pas kan geldig zijn terwijl het vreemd is dat deze midden in de nacht wordt gebruikt.

Een leverancier kan werkelijk voor het genoemde bedrijf werken, maar op dat moment geen geldige opdracht hebben.

Een camera kan laten zien dat iemand zich ongebruikelijk gedraagt, maar bepaalt niet automatisch waarom.

Daarom is het niet zinvol om technische en menselijke beveiliging tegenover elkaar te zetten.

De sterkste beveiligingsaanpak combineert beide:

• technologie detecteert en registreert;
• procedures bepalen wat wel en niet is toegestaan;
• beveiligers beoordelen situaties en handelen wanneer dat nodig is.

Meer over deze combinatie leest u op onze pagina over professionele datacenterbeveiliging.

8. Slechte overdracht tussen beveiligingsdiensten

Dit risico krijgt veel minder aandacht dan camera’s, toegangspassen en hekwerken, terwijl het in de dagelijkse praktijk belangrijk is: informatie die verloren gaat bij een dienstwissel.

Een datacenter functioneert 24 uur per dag. Dat betekent dat beveiligingsteams elkaar aflossen terwijl werkzaamheden gewoon doorgaan.

De volgende dienst moet bijvoorbeeld weten:

• welke externe monteurs nog aanwezig zijn;
• welke werkzaamheden ’s nachts gepland staan;
• of bepaalde deuren of systemen tijdelijk buiten gebruik zijn;
• welke bezoekers nog moeten vertrekken;
• welke incidenten eerder tijdens de dienst hebben plaatsgevonden;
• of er tijdelijke afwijkingen van normale procedures gelden.

Wanneer deze informatie niet correct wordt overgedragen, kan een volgende beveiliger een afwijkende situatie ten onrechte als normaal beschouwen.

Goede rapportage en dienstoverdracht zijn daarom geen administratieve bijzaken. Ze vormen onderdeel van de beveiligingsketen.

Wat verandert NIS2 voor de beveiliging van kritieke infrastructuur?

De beveiliging en weerbaarheid van essentiële en belangrijke organisaties krijgt vanuit Europese en Nederlandse wetgeving steeds meer aandacht.

De Europese NIS2-richtlijn wordt in Nederland geïmplementeerd via de Cyberbeveiligingswet. Deze wet treedt op 15 augustus 2026 in werking. Daarnaast treedt op dezelfde datum de Wet weerbaarheid kritieke entiteiten in werking.

Welke wettelijke verplichtingen precies gelden, hangt af van de organisatie en activiteiten. Niet ieder datacenter of iedere technische locatie valt automatisch onder dezelfde verplichtingen.

De ontwikkeling onderstreept wel een bredere verandering: organisaties die een belangrijke rol spelen binnen kritieke infrastructuur moeten structureel kijken naar hun weerbaarheid en risicobeheersing.

Daarbij verdient fysieke beveiliging aandacht naast digitale beveiliging. Een cyberaanval is immers niet de enige manier waarop de continuïteit van kritieke infrastructuur kan worden verstoord.

Hoe beoordeel je de fysieke beveiliging van een datacenter?

Een goede beveiligingsanalyse begint niet met de vraag hoeveel beveiligers of camera’s nodig zijn. Eerst moet duidelijk worden wat beschermd moet worden en waar de kwetsbaarheden liggen.

Een aantal praktische vragen helpt daarbij:

• Welke zones zijn essentieel voor de continuïteit?
• Wie heeft toegang tot deze zones?
• Hoe worden bezoekers en leveranciers gecontroleerd?
• Wat gebeurt er bij onverwachte bezoeken buiten kantooruren?
• Hoe wordt voorkomen dat iemand met een ander meeloopt?
• Hoe vaak worden bestaande toegangsrechten gecontroleerd?
• Wie reageert op een alarmmelding?
• Hoe worden incidenten geregistreerd?
• Hoe vindt de overdracht tussen beveiligingsdiensten plaats?
• Zijn medewerkers bekend met de beveiligingsprocedures?

Wanneer op één of meerdere vragen geen duidelijk antwoord bestaat, is dat reden om het beveiligingsproces opnieuw te bekijken.

Wanneer is professionele datacenterbeveiliging noodzakelijk?

Niet iedere serverruimte heeft permanente fysieke beveiliging nodig. De juiste beveiligingsinzet hangt af van de omvang van de locatie, de aanwezige infrastructuur, bezoekersstromen en vooral de mogelijke gevolgen van een incident.

Structurele beveiliging ligt met name voor de hand wanneer een locatie 24/7 operationeel is, regelmatig externe leveranciers ontvangt, meerdere beveiligde zones heeft of wanneer uitval of onbevoegde toegang grote gevolgen kan hebben.

Daarbij hoeft de oplossing niet uitsluitend uit permanente bewaking te bestaan. Afhankelijk van het risicoprofiel kan worden gewerkt met een combinatie van datacenterbeveiliging, elektronische toegangscontrole, cameratoezicht, surveillance en alarmopvolging.

Het uitgangspunt moet steeds hetzelfde zijn: de beveiligingsmaatregelen worden bepaald door het risico en niet andersom.