Toegangscontrole datacenter: Tier-normen

Nederlandse context

Nederland is een van de grootste datacenterhubs van Europa, met concentraties in Amsterdam, Schiphol-Rijk en de Maasvlakte. De NEN-EN 50600-serie is de Europese norm voor datacenterfaciliteiten en behandelt fysieke beveiliging in deel 2-5. De Wet beveiliging netwerk- en informatiesystemen (Wbni) stelt aanvullende eisen aan aanbieders van essentiële diensten. De Autoriteit Persoonsgegevens verwacht adequuate fysieke beveiliging als onderdeel van de beveiligingsplicht uit de AVG.

Kernbegrippen

Uptime Institute Tier

Classificatiesysteem voor datacenters van Tier I (basis) tot Tier IV (fouttolerant). Hogere tiers vereisen strengere fysieke beveiliging.

NEN-EN 50600-2-5

Europese norm die beveiligingsniveaus voor datacenters definieert, van klasse 1 (laag risico) tot klasse 4 (zeer hoog risico).

Mantrap

Personensluis met twee deuren die niet gelijktijdig openen. Standaard bij datacenters vanaf beveiligingsklasse 3.

Twee-factorauthenticatie

Toegang vereist twee onafhankelijke identificatiemiddelen, bijvoorbeeld een pas plus vingerafdruk of een pas plus pincode.

Escort policy

Verplichting dat bezoekers en leveranciers in het datacenter altijd worden begeleid door een geautoriseerde medewerker.

Wat de wet vereist

De NEN-EN 50600-2-5 definieert vier beveiligingsklassen. Klasse 1 volstaat met een standaard toegangscontrolesysteem. Klasse 2 vereist aanvullend cameratoezicht en bezoekersregistratie. Klasse 3 schrijft een mantrap voor, twee-factorauthenticatie en permanente bemanning. Klasse 4 voegt hieraan toe: biometrische verificatie, bewapende beveiliging en compartimentering van de datacenterhal.

De Uptime Institute stelt geen expliciete beveiligingseisen per Tier, maar de praktijk leert dat klanten van Tier III- en IV-datacenters beveiligingsklasse 3 of 4 verwachten. Bij certificering wordt de fysieke beveiliging beoordeeld als onderdeel van de operationele duurzaamheid. ISO 27001-certificering — standaard in de datacenterbranche — vereist aantoonbare fysieke toegangscontrole conform Annex A.7.

Voor de facility manager van een datacenter betekent dit: een strikt zonemodel (perimeter, gebouw, datacenterhal, rack-rij), gecontroleerde en gelogde toegang op elke zonegrens, permanente monitoring via camera's en personeel, en een escort policy voor alle niet-medewerkers. Alle toegangslogs moeten minimaal twaalf maanden worden bewaard. Test het volledige systeem kwartaallijks, inclusief de failover bij stroomuitval — deuren moeten bij stroomverlies in de veilige stand vergrendelen, niet ontgrendelen.