Aanbieders van datacenterdiensten staan met name genoemd in bijlage I van NIS2, onder de sector digitale infrastructuur. Dat betekent dat de vraag voor de meeste datacenters niet is of NIS2 geldt, maar via welke route. Wie de omvangdrempel haalt, valt er rechtstreeks onder. Wie eronder blijft, krijgt dezelfde eisen contractueel opgelegd door klanten die zelf wel onder de wet vallen.
Dat maakt het onderscheid tussen de twee routes juridisch relevant maar praktisch klein. Het bewijs dat je moet kunnen leveren, verschilt nauwelijks. Wat wel verschilt, is wie je erop aanspreekt: een toezichthouder of een klant die zijn eigen dossier op orde wil hebben.
Wat NIS2 onder een datacenterdienst verstaat
De richtlijn omschrijft een datacenterdienst als een dienst die structuren omvat voor het gecentraliseerd onderbrengen, onderling verbinden en exploiteren van IT- en netwerkapparatuur voor gegevensopslag, gegevensverwerking en gegevenstransport, inclusief alle faciliteiten en infrastructuur voor vermogensverdeling en omgevingscontrole.
Twee dingen vallen op aan die formulering.
Ten eerste zit de facilitaire laag er expliciet in. Stroomvoorziening, koeling en klimaatbeheersing zijn geen randvoorwaarden die je buiten de scope kunt houden, maar onderdeel van de dienst zelf. Dat heeft directe gevolgen voor waar je scope ophoudt, waarover verderop meer.
Ten tweede gaat het om een dienst aan derden. Een datacenter dat een organisatie uitsluitend voor eigen gebruik exploiteert, valt op deze grond niet onder de sector digitale infrastructuur. Dat betekent niet dat het buiten schot blijft: als de organisatie zelf onder NIS2 valt, hoort haar eigen datacenter gewoon binnen de scope van haar maatregelen.
Route 1: rechtstreeks onder de wet
NIS2 geldt in beginsel vanaf middelgrote omvang. Grofweg: vanaf vijftig medewerkers, of meer dan tien miljoen euro omzet en balanstotaal. Val je in bijlage I en ben je groot, dus vanaf 250 medewerkers of meer dan vijftig miljoen euro omzet, dan ben je een essentiële entiteit. Zit je daartussen, dan ben je een belangrijke entiteit.
Voor datacenters is dit het punt waar de intuïtie mis kan gaan. Een colocatiepartij kan met twintig medewerkers een omzet draaien die ruim boven de drempel ligt. Het personeelsbestand zegt in deze sector weinig; de omzetdrempel is doorgaans bepalend.
Het verschil tussen essentieel en belangrijk zit vooral in het toezicht. Bij essentiële entiteiten kan een toezichthouder proactief controleren, ook zonder aanleiding. Bij belangrijke entiteiten gebeurt dat reactief, na een signaal of een incident. De zorgplicht zelf is in beide gevallen dezelfde. Weet je niet zeker in welke categorie je valt, dan geeft de NIS2-check je in een paar minuten een gestructureerd beeld.
Route 2: via de keten
De tweede route raakt iedereen die de eerste ontloopt. NIS2 verplicht organisaties die eronder vallen om de beveiliging van hun toeleveranciers en dienstverleners te beoordelen, en om die beoordeling te kunnen aantonen. Voor een datacenter met klanten in de zorg, bij de overheid, in de financiële sector of in de industrie betekent dat: die klanten moeten iets over jou kunnen laten zien.
Dat vertaalt zich in de praktijk naar vier dingen in je contracten.
Beveiligingseisen. Concrete eisen aan toegangsbeheer, logging, continuïteit en incidentafhandeling, vaak gekoppeld aan een certificaat of een verklaring.
Auditrechten. Het recht om te toetsen, zelf of via een derde. Wie dat elke keer als een apart project moet organiseren, verliest daar veel tijd aan.
Meldafspraken. Klanten die een meldtermijn van 24 uur hebben, kunnen niet wachten tot jij drie dagen later belt. Zij zullen dus contractueel eisen dat jij binnen uren meldt.
Onderaannemersketen. Wie jouw koeling onderhoudt, wie het toegangssysteem beheert, wie de brandmeldinstallatie certificeert. Ook die keten wordt onderdeel van het gesprek.
Voor financiële klanten komt daar DORA bovenop, met eigen eisen aan contracten met ICT-dienstverleners en aan het register van uitbestedingen. Voor zorgklanten geldt NEN 7510 plus de verwerkersovereenkomst uit de AVG. Drie kaders, grotendeels overlappende eisen, en in de praktijk drie verschillende vragenlijsten.
Wat je concreet moet kunnen aantonen
De zorgplicht uit NIS2 vertaalt zich voor een datacenter naar een herkenbare set. Onderstaande tabel koppelt de eis aan het bewijs dat er in de praktijk om gevraagd wordt.
| Eis | Wat het voor een datacenter betekent | Bewijs |
|---|---|---|
| Risicoanalyse | Risico-inventarisatie die IT en facilitair samenneemt | Risicoregister met eigenaren, waardering en restrisico |
| Incidentbehandeling | Procedure met de termijnen 24 uur, 72 uur, een maand | Geoefend draaiboek, meldregister, evaluaties |
| Continuïteit | Redundantie in voeding en koeling, uitwijk, herstelplan | Testrapporten, resultaten van uitwijkoefeningen |
| Ketenbeveiliging | Beoordeling van onderhoudspartijen en toeleveranciers | Leveranciersregister met risicoklasse en actuele status |
| Toegangsbeheer en assets | Fysieke en logische toegang in samenhang | Toegangsmatrix, periodieke review, sluitende assetregistratie |
| Cyberhygiene | Patchbeleid, hardening, awareness | Patchrapportage, trainingsregistratie |
| Cryptografie | Encryptie van data en beheer van sleutels | Sleutelbeheerprocedure, configuratiebewijs |
| Multifactorauthenticatie | Op alle beheerpaden, ook op facilitaire systemen | Configuratiebewijs, uitzonderingenregister |
De laatste kolom is waar het in de praktijk misgaat. De maatregel zelf hebben de meeste datacenters wel. Het bewijs dat de maatregel het hele jaar heeft gewerkt, en de vindbaarheid van dat bewijs op het moment dat een klant of toezichthouder erom vraagt, is het echte werk.
Waar een datacenter anders is dan een gewone IT-organisatie
Drie dingen maken dit domein afwijkend, en alle drie worden ze in standaard ISMS-implementaties te dun uitgewerkt.
De facilitaire laag is primair proces. In een kantooromgeving is klimaatbeheersing comfort. In een datacenter is het beschikbaarheid. Koeling die uitvalt, is een beveiligingsincident in de zin van de wet, want beschikbaarheid is onderdeel van informatiebeveiliging. Dat betekent dat de koelinstallatie, de noodstroomvoorziening en het gebouwbeheersysteem in je risicoregister horen, met dezelfde ernst als je netwerk. Zie ook het artikel over gebouwbeheer als informatiebeveiligingsrisico.
Fysieke toegang is de kwetsbaarste laag. Wie in de ruimte staat, staat naast de apparatuur. Bezoekersbegeleiding, kooitoegang, sleutelbeheer, cameratoezicht en het intrekken van rechten bij uitdienst zijn hier geen administratieve details maar de kern van je beveiliging. En het zijn precies de maatregelen waarvan de werking het lastigst is aan te tonen, omdat het bewijs verspreid zit over toegangssystemen, bezoekersregisters en camerasystemen die zelden aan elkaar geknoopt zijn.
Je scope loopt door in andermans apparatuur. Bij colocatie beheert de klant zijn eigen hardware in jouw ruimte. De verdeling van verantwoordelijkheden moet dan glashelder zijn, en aantoonbaar. Onduidelijkheid over wie wat beheert, is de meest voorkomende bevinding in dit domein.
Persoonsgegevens in een datacenter zijn meer dan die van je klanten
Datacenters denken bij privacy vrijwel automatisch aan de rol van verwerker: klantdata staat op jouw vloer, de verwerkersovereenkomst regelt de rest. Die rol is bekend en meestal netjes belegd.
De tweede rol wordt structureel onderschat. Voor je eigen verwerkingen ben je verwerkingsverantwoordelijke, en dat gaat om gevoelige categorieën:
- Camerabeelden van medewerkers, klanten en bezoekers, vaak dag en nacht en over een langere periode bewaard
- Toegangsregistratie waaruit precies valt af te leiden wie wanneer waar was, doorgaans jarenlang
- Bezoekersregistratie inclusief identificatiegegevens
- Biometrie, waar toegepast, en dat is een bijzondere categorie persoonsgegevens met een zwaar regime
- Screeningsgegevens van personeel dat toegang heeft tot de vloer
Voor elk daarvan moet je een grondslag hebben, een bewaartermijn die je ook daadwerkelijk handhaaft, en een plek in je verwerkingsregister. Bij systematische monitoring van toegang en bij het gebruik van biometrie is een gegevensbeschermingseffectbeoordeling vaak verplicht.
Het aardige is dat dit dezelfde assets betreft die je onder NIS2 al in beeld moet hebben. Het toegangscontrolesysteem is tegelijk een beveiligingsmaatregel, een asset met eigen risico’s, en een verwerking van persoonsgegevens. Wie die drie invalshoeken in drie aparte administraties bijhoudt, houdt drie waarheden bij die uit elkaar gaan lopen.
Van vragenlijst naar bewijs
De praktijk in dit segment ziet er nu meestal zo uit: elke klant stuurt zijn eigen vragenlijst, elke vragenlijst vraagt in andere bewoordingen hetzelfde, en iemand vult ze handmatig in met bewijs dat op vijf plekken vandaan komt. Bij tien klanten is dat vervelend. Bij honderd klanten is het een functie op zich.
Dat probleem is niet op te lossen door sneller in te vullen. Het is op te lossen door het bewijs één keer op orde te hebben en de vragenlijst daarvan af te leiden.
Wat Pulse hier doet
Pulse is opgezet vanuit precies deze situatie: één onderliggend model, meerdere kaders die eruit worden bediend. Voor een datacenter betekent dat concreet drie dingen.
Fysiek en digitaal in één risicomodel. Domeinen, processen en assets vormen de basis, en daar hangen zowel je netwerkapparatuur als je koelinstallatie, noodstroomvoorziening en toegangssysteem aan. Geen aparte facilitaire administratie naast de ICT-administratie, maar één register met eigenaarschap bij de mensen die het beheren.
Eén control, elk kader. De mappings tussen de meer dan 170 ondersteunde kaders liggen vooraf. Een maatregel als periodieke toegangsreview levert bewijs voor ISO 27001, NIS2, NEN 7510 en de eisen die een DORA-plichtige klant je stelt, zonder dat je hem vier keer bijhoudt.
Klantvragen worden een export. Omdat bewijs aan de control hangt en de status doorlopend actueel is, wordt het beantwoorden van een klantvragenlijst een kwestie van selecteren en exporteren in plaats van verzamelen. Diezelfde rapportage bedient je eigen bestuur en, als het zover komt, de toezichthouder.
Daarbovenop legt Gappie, de lokale AI-laag, je eigen beleid en procedures naast de eisen van een kader en levert een gap-analyse met bronvermelding. Omdat het model binnen de EU draait, verlaat je documentatie de Europese infrastructuur niet, wat in dit segment zelden een detail is.
Hoe wij ernaar kijken
Datacenters zitten in een ongemakkelijke positie. Ze zijn kritieke infrastructuur voor honderden andere organisaties, maar hun eigen compliance-inrichting is vaak gegroeid vanuit techniek en facilitair beheer, met de administratie eromheen gebouwd in plaats van eronder.
Dat werkte prima zolang klanten om een certificaat vroegen. Het werkt niet meer nu klanten om aantoonbare, actuele beheersing vragen, met termijnen die in uren worden gerekend. De verschuiving die NIS2 forceert, is niet van onveilig naar veilig, want de meeste datacenters zijn technisch goed op orde. Het is de verschuiving van veilig naar aantoonbaar veilig, doorlopend, zonder dat er een team weken aan kwijt is.
Aan de slag
Doe eerst de gratis NIS2-check om vast te stellen via welke route je onder de wet valt en waar je nu staat. Wil je zien hoe je fysieke assets, je klantvragenlijsten en je normenkaders in één model samenkomen, plan dan een demo van 30 minuten. We nemen je eigen situatie als uitgangspunt, inclusief de facilitaire kant.