Control 7.11 – Ondersteunende nutsvoorzieningen

Wat houdt deze control in?

Control 7.11 gaat over de voorzieningen waar je ICT van afhankelijk is: stroom, koeling, ventilatie en telecomverbindingen. Die moeten betrouwbaar zijn, bewaakt worden en een terugvaloptie hebben als ze uitvallen.

Waarom is dit verplicht?

De beste beveiliging helpt niet als de stroom of de koeling uitvalt. Een stroomstoring, een kapotte airco of een doorgegraven glasvezelkabel kan kritieke diensten urenlang platleggen en apparatuur beschadigen.

Voor 7.11 geldt geen overheidsmaatregel in de BIO2 (7.11.01). De implementatierichtlijn uit ISO 27002 is daarom het uitgangspunt. Afwijken onderbouw je met een risicoanalyse in de bijlage uitzonderingen van je Verklaring van Toepasselijkheid (VvT).

Praktische implementatie

• UPS: plaats een UPS (Uninterruptible Power Supply) voor kritieke apparatuur, zodat korte onderbrekingen worden opgevangen en systemen gecontroleerd kunnen afsluiten.
• Noodstroomaggregaat: zorg voor een aggregaat bij serverruimtes met kritieke systemen, met afspraken over brandstoflevering bij langdurige uitval. In de praktijk worden de termen UPS en Noodstroom aggregaat vaak door elkaar gebruikt, maar er is een belangrijk verschil . Een UPS neemt de stroom onmiddellijk en zonder onderbreking over bij een stroomstoring. Verder heeft het een beperkte tijdsduur (meestal enkele minuten tot maximaal een kwartier of drie). Een noodstroomvoorziening / aggregaat Is bedoeld voor langdurige stroomuitval. Een diesel- of gasaggregaat heeft een opstarttijd nodig van een paar seconden tot soms een minuut voordat het volledige vermogen levert. Maar het kan wel uren blijven draaien zolang er brandstof is.
• Testen: laat het aggregaat periodiek proefdraaien, bijvoorbeeld maandelijks, en voer minimaal jaarlijks een test onder belasting uit. Test de UPS-batterijen volgens de voorschriften van de fabrikant.
• Koeling: bewaak temperatuur en luchtvochtigheid met alarmering, en zorg voor redundante koeling bij kritieke ruimtes.
• Telecom: gebruik voor kritieke locaties twee onafhankelijke netwerkverbindingen, liefst van verschillende providers en via verschillende kabelroutes.
• Onderhoud: laat nutsvoorzieningen onderhouden volgens de specificaties van de leverancier (zie 7.13).

Aandachtspunten voor de overheid

• Langdurige stroomuitval: bepaal welke diensten bij een stroomuitval van uren of dagen moeten blijven draaien, zoals crisiscommunicatie, burgerzaken en meldkamerkoppelingen. Neem dat op in je continuïteitsplannen en test die jaarlijks (overheidsmaatregel 5.30.01).
• OT bij waterschappen en gemeenten: gemalen, sluizen en bruggen moeten ook bij stroomuitval kunnen functioneren. Zorg voor noodstroom of een terugvaloptie op locatie, en neem die op in de risicoanalyse.
• Uitbestede hosting: bij een extern datacenter ligt de uitvoering bij de leverancier. Leg de eisen voor stroom, koeling en connectiviteit vast in het contract (5.20) en laat de naleving aantonen via onafhankelijk onderzoek (overheidsmaatregel 5.20.03).

Relatie met andere controls

• 7.5 – Bescherming tegen fysieke en omgevingsbedreigingen
• 7.8 – Plaatsing en bescherming van apparatuur
• 7.12 – Beveiliging van bekabeling: stroom- en telecomkabels
• 7.13 – Onderhoud van apparatuur
• 8.14 – Redundantie van informatieverwerkende faciliteiten
• 5.29 – Informatiebeveiliging tijdens verstoring
• 5.30 – ICT-gereedheid voor bedrijfscontinuïteit (5.30.01: jaarlijks testen)

← Terug naar alle BIO 2.0 controls