Compliance begint bij de deur
Normen voor informatiebeveiliging stellen ook eisen aan fysieke toegang. Wie mag welke ruimte in, wanneer, en is dat achteraf te controleren? Met CyberLock en CyberAudit-Web heeft u daar een sluitend antwoord op.
Fysieke toegang hoort bij informatiebeveiliging
Een serverruimte, medicijnkast, meterkast of pompgebouw valt onder dezelfde normen als het netwerk erachter. In de praktijk is fysieke toegang vaak het minst goed gedocumenteerd. Mechanische sleutels zijn te kopiëren, sleutellijsten staan in Excel en niemand weet wie vannacht om drie uur een deur heeft geopend.
Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet (de Nederlandse invoering van NIS2) en de Wet weerbaarheid kritieke entiteiten (de invoering van de CER-richtlijn). De eerste gaat over digitale weerbaarheid, de tweede over fysieke en organisatorische weerbaarheid, inclusief de toegang tot terreinen en gebouwen. Het bestuur is eindverantwoordelijk. Ook BIO2 (overheid) en NEN 7510:2024 (zorg) zijn vernieuwd en volgen nu de indeling van ISO 27001:2022. Al deze kaders vragen hetzelfde: beveiligde zones, toegang alleen voor bevoegde personen, registratie van gebeurtenissen en periodieke controle van toegangsrechten.
U moet bewijs kunnen aanleveren
Sellox levert daarvoor vier onderdelen in één systeem.
Rechten in de sleutel
Welke cilinders, welke dagen, welk tijdvenster en hoe lang de sleutel geldig blijft zonder update. Een sleutel die niet is verlengd, werkt niet meer. Bij verlies of uitdiensttreding trekt u de rechten in via de software.
Registratie in sleutel en cilinder
Geopend, geweigerd, buiten schema, verlopen. De cilinder bewaart tot 6.500 gebeurtenissen, de sleutel tot 12.000. U ziet altijd welke sleutel waar is gebruikt, ook zonder stroom of netwerk.
Rapportage voor de audit
CyberAudit-Web Enterprise verzamelt alles in één audittrail met datum, tijd, sleutel, persoon en cilinder. Rapporten per persoon, per deur of per periode staan klaar. On-premise of gehost door Sellox.
Periodieke controle
Met een SX HealthCheck loopt Sellox uw inrichting na: sleutels zonder eigenaar, vertrokken medewerkers met rechten, afwijkende schema’s, cilinders die niet rapporteren en de versies van software en firmware.
Wat de normen vragen van sleutels en deuren
Kies een kader. Dit is geen juridisch advies.
ISO 27001:2022
- Voor wie
- Organisaties met een ISMS-certificering. Ook de basis van BIO2 en NEN 7510.
- Wat het vraagt
- Beveiligde zones met toegangsbeheer (7.1–7.3), monitoring van fysieke beveiliging (7.4), toekennen, wijzigen en intrekken van toegangsrechten volgens beleid (5.15–5.18), logging van gebeurtenissen (8.15).
- Hoe Sellox dit invult
- Rechten per sleutel en per zone, sleutels die automatisch verlopen, de audittrail als logbron en rapportages voor de rechtencontrole.
NIS2 / Cyberbeveiligingswet
- Voor wie
- Essentiële en belangrijke entiteiten in 18 sectoren, waaronder energie, drinkwater, zorg, vervoer, digitale infrastructuur en overheid. Van kracht sinds 15 augustus 2026.
- Wat het vraagt
- Zorgplicht met passende maatregelen, waaronder beleid voor toegangsbeheer en beveiliging van personeel en middelen; meldplicht voor significante incidenten; bestuurlijke verantwoordelijkheid.
- Hoe Sellox dit invult
- Toegang tot technische ruimten en objecten in het veld beperkt tot bevoegde personen, zonder bekabeling, met registratie achteraf. Bij een incident is direct te zien welke sleutel waar is gebruikt.
Wet weerbaarheid kritieke entiteiten (CER)
- Voor wie
- Circa 500 organisaties die door hun ministerie worden aangewezen als kritieke entiteit, in sectoren als energie, drinkwater en afvalwater, keren en beheren, vervoer, zorg, digitale infrastructuur en overheid. Van kracht sinds 15 augustus 2026, naast de Cyberbeveiligingswet: de Cbw gaat over digitale, de Wwke over fysieke en organisatorische weerbaarheid.
- Wat het vraagt
- Binnen 9 maanden na aanwijzing een risicobeoordeling en binnen 10 maanden passende technische, organisatorische en fysieke maatregelen, waaronder bescherming van terreinen en gebouwen met toegangscontrole, beheer van wie toegang heeft en achtergrondonderzoek voor gevoelige functies; melding van verstorende incidenten binnen 24 uur.
- Hoe Sellox dit invult
- Toegangscontrole op objecten zonder stroom of netwerk (gemalen, stations, sluizen, kunstwerken), rechten per persoon, zone en tijdvenster, intrekken bij vertrek en een audittrail die per sleutel en per cilinder laat zien wat er is gebeurd, ook na een incident.
BIO2 (overheid)
- Voor wie
- Rijk, provincies, gemeenten en waterschappen. BIO2 v1.3 is vastgesteld op 5 maart 2026 en vervangt de oude BIO.
- Wat het vraagt
- Dezelfde indeling als ISO 27001:2022, aangevuld met overheidsmaatregelen voor beveiligde zones, toegang tot vertrouwde zones en waarschuwing bij concrete risico’s.
- Hoe Sellox dit invult
- Zonering per cilindergroep, sleutels die alleen werken waar en wanneer dat is toegestaan, en een audittrail voor de ENSIA-verantwoording.
CSIR 3.0 (objecten met procesautomatisering)
- Voor wie
- Eigenaren en beheerders van bruggen, sluizen, gemalen, zuiveringen en andere objecten met procesautomatisering. De richtlijn komt van Rijkswaterstaat en de waterschappen, maar ook gemeenten en andere beheerders nemen hem op in hun contracten, en daarmee geldt hij voor hun opdrachtnemers en leveranciers. De Cybersecurity Implementatierichtlijn Objecten vult de BIO aan voor industriële automatisering, met IEC 62443 als bron.
- Wat het vraagt
- Fysieke toegang tot IA-ruimten, terreinen en gebouwen alleen voor geautoriseerde personen (hoofdstuk 2.1); een actueel sluitplan en actief beheer van sleutels en kluizen (FTG9, FTG29); uitgifte en inname van toegangsmiddelen bij functiewisseling of vertrek (LP10); rechten op basis van rol en need-to-have (LP2); toegangsrechten minimaal elk half jaar beoordelen (LP4).
- Hoe Sellox dit invult
- Een elektronisch sleutelplan per object, rechten per rol en per zone, sleutels die verlopen als ze niet worden bijgewerkt, en rapportages per persoon en per object voor de halfjaarlijkse rechtencontrole.
NEN 7510:2024 (zorg)
- Voor wie
- Ziekenhuizen, GGZ, VVT, thuiszorg, apotheken en hun leveranciers.
- Wat het vraagt
- Fysieke toegang tot ruimten met patiëntinformatie en medische middelen beperkt tot bevoegden, met registratie en monitoring; beheer van sleutels en toegangsmiddelen als onderdeel van het ISMS.
- Hoe Sellox dit invult
- Medicijnkasten, archiefruimten, serverruimten en technische ruimten met één sleutel per medewerker, rechten per dienst of afdeling en registratie per opening.
AVG / GDPR
- Voor wie
- Elke organisatie. Een audittrail met namen is een verwerking van persoonsgegevens.
- Wat het vraagt
- Een grondslag en doel voor de registratie, een bewaartermijn, toegang tot de gegevens beperkt tot wie dat nodig heeft en inzage voor de betrokkene.
- Hoe Sellox dit invult
- De audittrail staat op uw eigen server of bij Sellox gehost in Nederland, bewaartermijnen zijn instelbaar en toegang tot CyberAudit-Web is per gebruiker en rol geregeld.
EU GMP Annex 11 (farmacie)
- Voor wie
- Fabrikanten en distributeurs onder GMP.
- Wat het vraagt
- Toegang tot GMP-relevante ruimten en apparatuur beperkt tot geautoriseerde personen, met een audittrail.
- Hoe Sellox dit invult
- Toegang tot cleanrooms, koelcellen en monsterkasten per sleutel en per ruimte vastgelegd.
ABRO 2026 (Rijksoverheid en politie)
- Voor wie
- Bedrijven die werken aan een bijzondere opdracht van de Rijksoverheid of de politie, een opdracht die raakt aan de nationale veiligheid, inclusief hun onderaannemers en leveranciers. Geldt sinds 1 januari 2026 en vervangt de ABDO 2019, die alleen voor Defensie gold. Geen wet, maar een contractuele eis; het Nationaal Bureau Industrieveiligheid (NBIV) toetst en geeft de ABRO-verklaring af.
- Wat het vraagt
- De opdrachtgever bepaalt per opdracht het beveiligingsniveau en het NBIV welke hoofdstukken gelden: bestuur en organisatie, betrouwbaarheid van personeel, fysieke beveiliging, cyberbeveiliging en cloud. Fysiek: gelaagde beveiliging afgestemd op het niveau, toegang alleen voor gescreende personen op basis van need-to-know, bezoekersregistratie en registratie van de toegang tot beschermde belangen. Vanaf TBB 3 is beheer op afstand niet toegestaan.
- Hoe Sellox dit invult
- Sellox kent deze eisen uit eigen Defensie-opdrachten. Compartimentering per zone, validatie zonder draadloze verbinding en beheer op uw eigen locatie waar dat is vereist, sleutels met een korte geldigheid en een audittrail per sleutel en per cilinder.
Drie vragen achter elk toegangsrecht
Welk kader ook geldt, een auditor komt steeds op dezelfde drie vragen uit. Zo vertaalt u ze naar sleutels en deuren.
Informatie, en de ruimten waar die ligt, zijn alleen toegankelijk voor wie ze voor zijn taak nodig heeft. Een serverruimte, archief of meetkast is geen algemene ruimte.
Rechten per zone in plaats van per gebouw. Een sleutel opent alleen de cilinders die bij de functie horen.
Toegang beperkt tot de plaats en het moment van het werk: deze locatie, deze dienst, dit tijdvenster. Wie er niet hoeft te zijn, komt er niet in.
Tijdvensters per sleutel en een geldigheid die verloopt als de sleutel niet wordt bijgewerkt. Een storingsdienst krijgt rechten voor één dienst.
Voor sommige ruimten geldt een geldige aanwijzing of certificering, zoals voor werk aan hoogspanningsinstallaties of het veiligstellen van een installatie. Een toegangsrecht is geen werkvergunning, maar de twee horen wel bij elkaar te passen.
Met dynamische toegang (de module Dynamic Tags) koppelt u een recht aan een voorwaarde. Verloopt de certificering of eindigt het dienstverband, dan vervalt het recht vanzelf. Meer over dynamische toegang
Zeven vragen van een auditor
Wie heeft op dit moment toegang tot uw serverruimte, medicijnkast of technische ruimte?
Rapport toegangsrechten per cilinder of zone, direct uit CyberAudit-Web.
Wie heeft een bepaalde deur de afgelopen 30 dagen geopend, en wanneer?
Audittrail per cilinder: datum, tijd, sleutel en persoon.
Wat gebeurt er met de toegang van een medewerker die vandaag uit dienst gaat?
Rechten intrekken in de software. De sleutel werkt daarna nergens meer.
Hoeveel sleutels zijn er in omloop waarvan u niet weet waar ze zijn?
Sleuteloverzicht met eigenaar, status en laatste contactmoment.
Kan een sleutel worden gekopieerd zonder dat u het merkt?
CyberKeys zijn elektronisch en niet te kopiëren.
Wanneer zijn alle toegangsrechten voor het laatst gecontroleerd, en is dat vastgelegd?
Rechtenrapport met datum, als bewijs voor de periodieke controle.
Wordt toegang ook geregistreerd op locaties zonder stroom of netwerk?
Ja. Sleutel en cilinder registreren zelf, zonder bekabeling.
Met CAW is het gedekt met een rapport.
In vier stappen aantoonbaar op orde
Inventarisatie
Zones, sleutels en normenkader in kaart, vertaald naar een sleutelplan.
Inrichting
Cilinders vervangen zonder bekabeling, rechten per persoon en per zone, CyberAudit-Web Enterprise on-premise of gehost.
Rapportage
Audittrail en rapporten ingericht op de vragen van uw auditor.
Onderhoud
Periodieke SX HealthCheck, ook na reorganisaties en personeelswisselingen.