Een vastgoedmakelaar die alleen een leegstaand pand aan het einde van de dag bezoekt, een syndicus die honderden huurdersdossiers opslaat op een slecht beveiligde server, een renovatieproject dat openstaat voor de straat zonder hek: veiligheid in de vastgoedsector beperkt zich niet tot een alarm op de voordeur. Het omvat de fysieke bescherming van mensen, de veiligheid van gebouwen en, sinds kort, de verdediging van de digitale systemen die alles aansturen.
Technische systemen van gebouwen: apparatuur behandelen als servers
Heb je die toegangspunten of IP-camera’s al gezien die in de hal van een recent gebouw zijn geïnstalleerd? Deze apparaten zijn geen simpele accessoires meer. Videobewaking, technische gebouwbeheer (GTB), toegangspassen: ze communiceren nu allemaal via het computernetwerk van het gebouw.
Het probleem is dat veel VvE’s en beheerders deze apparatuur nog steeds behandelen als klassieke elektrische apparatuur. Niemand werkt hun firmware bij, niemand isoleert ze van de rest van het netwerk. Een aanvaller die een slecht geconfigureerde IP-camera compromitteert, kan mogelijk toegang krijgen tot de gegevens van de syndicus of de toegang van een heel gebouw uitschakelen.
De beste praktijk is om elk technisch systeem op een speciaal netwerk te isoleren (een aparte VLAN), en deze stromen vervolgens te integreren in een gecentraliseerd toezicht, soms aangeduid als SIEM. Dit betekent concreet dat de camera van de parkeerplaats en de software voor huurbeheer nooit hetzelfde kanaal delen. Gespecialiseerde bronnen, zoals de immo-pagina van Blueprint For Safety, beschrijven deze geïntegreerde aanpak tussen fysieke veiligheid en cyberbeveiliging toegepast op gebouwen.
Directive NIS2 en wet Resilience: wat verandert er voor vastgoedprofessionals
De Europese richtlijn NIS2, omgezet in Frankrijk door de wet op de veerkracht van kritieke infrastructuren en de versterking van de cyberbeveiliging, zal rechtstreeks verschillende categorieën vastgoedactoren raken. Vastgoedbeheerders, vastgoedbedrijven, bepaalde beheersmaatschappijen: de vastgoedsector wordt een sector die onderworpen is aan formele cyberbeveiligingsverplichtingen.
Wat houdt dit dagelijks in? Drie belangrijke verplichtingen verdienen aandacht voordat ze in werking treden:
- Een registratie bij de ANSSI, de nationale autoriteit voor de beveiliging van informatiesystemen, voor de betrokken entiteiten.
- Een verplichte melding van elk beveiligingsincident binnen 24 uur, gevolgd door een gedetailleerd rapport binnen 72 uur.
- De implementatie van een gedocumenteerd cyberrisicobeheerbeleid, met training van de leidinggevenden over deze kwesties.
De voorziene sancties kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet. Dit is geen onderwerp meer dat alleen voor de CIO’s van grote groepen is. Een middelgroot verhuurbedrijf dat duizenden huurovereenkomsten, bankafschriften en identiteitsbewijzen opslaat, is een aantrekkelijke doelwit en nu een gereguleerde speler.
Governance en crisiscommunicatie
Het minst zichtbare aspect van NIS2 is de governance-dimensie. Leidinggevenden moeten persoonlijk het cyberrisicobeheerbeleid goedkeuren en een passende training volgen. In geval van een incident kan crisiscommunicatie niet worden geïmproviseerd: de tekst legt een nauwkeurig kader voor melding aan de autoriteiten en, afhankelijk van de situatie, aan de betrokken personen.
Voor een syndicus of vastgoedbeheerder betekent dit dat ze een scenario voor een datalek van huurders moeten anticiperen voordat het zich voordoet. Een responsprotocol voorbereiden, een technische contactpersoon identificeren, de stromen van gevoelige gegevens documenteren: dit zijn allemaal taken die nu onder de wettelijke conformiteit vallen.
Bescherming van persoonlijke gegevens in vastgoedkantoren
Zelfs vóór NIS2 legt de AVG al een strikte kader op voor vastgoedprofessionals. Een bureau verwerkt dagelijks identiteitsbewijzen, belastingaanslagen en loonstroken. Elk verzameld document moet voldoen aan een specifiek doel en moet worden verwijderd zodra het niet meer nodig is.
In de praktijk bewaren veel bureaus huurtoepassingsdossiers jarenlang op gedeelde servers zonder toegangsbeperkingen. Een medewerker die het bedrijf verlaat, behoudt soms zijn inloggegevens wekenlang actief.
Enkele concrete maatregelen verminderen het risico aanzienlijk:
- Verwijder ongewenste huurtoepassingsdossiers binnen een redelijke termijn na de ondertekening van het huurcontract.
- Beperk de toegang tot gevoelige gegevens tot alleen die medewerkers die deze nodig hebben voor hun taak.
- Deactiveer onmiddellijk de accounts van werknemers die het bedrijf verlaten.
- Versleutel de opgeslagen identiteitsbewijzen, zelfs op een interne server.
Fysieke veiligheid op bouw- en renovatieplaatsen
Veiligheid in de vastgoedsector speelt zich niet alleen achter een scherm af. Bouw- en renovatieplaatsen blijven omgevingen met een hoog risico. Valincidenten, gedeeltelijke instortingen, verkeer van machines op voetgangersgebieden: de meeste ernstige ongevallen op de bouwplaats zijn het gevolg van een gebrek aan organisatie, niet van een noodlot.
De SPS-coördinator (veiligheid en bescherming van de gezondheid) komt in actie vanaf de ontwerpfase bij operaties die meerdere bedrijven omvatten. Zijn rol is om de risico’s van co-activiteit te identificeren, dat wil zeggen dat meerdere vakgebieden tegelijkertijd op dezelfde plaats werken.
Toegangscontrole en afbakening van de bouwplaats
Een bouwplaats die openstaat voor de straat zonder stevige omheining stelt zowel de arbeiders als de voorbijgangers bloot. Het opzetten van hekken, een gecontroleerde unieke toegang en een register van in- en uitgangen is geen optie bij significante operaties. Het preventieplan moet vóór de eerste schop in de grond worden opgesteld, niet aangepast naarmate zich incidenten voordoen.
De tijdelijke leuningen op de trapopeningen, de beschermnetten aan de gevel, de afbakening van hijsgebieden: elk apparaat is afgestemd op een risico dat tijdens de voorafgaande analyse is geïdentificeerd. Deze stap negeren betekent de verantwoordelijkheid op het terrein overdragen, waar de speelruimte het kleinst is.
Veiligheid in de vastgoedsector is gebaseerd op drie convergerende pijlers: de fysieke bescherming van gebouwen en bouwplaatsen, de beveiliging van persoonlijke gegevens die door professionals worden verwerkt, en de naleving van regelgeving die steeds strenger wordt.
Het wetsvoorstel Resilience en de richtlijn NIS2 markeren een keerpunt. Vastgoedactoren die hun algehele veiligheidsaanpak niet hebben gestructureerd vóór de deadline voor omzetting, lopen het risico op zware financiële sancties en reputatiecrises die moeilijk te beheersen zijn.