OBER-maatregelen: wat het model regelt en waar het onderzoek past

Waar OBER vandaan komt

OBER is in de eerste plaats een term uit de ABRO 2026. Bijlage 5 van dat besluit opent met de reden voor fysieke beveiliging: voorkomen dat een niet-geautoriseerd persoon fysieke toegang krijgt tot een Te Beschermen Belang, en daarnaast compromittatie detecteren of signaleren. Om dat te bereiken wordt “een combinatie van Organisatorische-, Bouwkundige-, Elektronische- en Reactieve- (OBER) maatregelen getroffen”. ABRO 2026, bijlage 5

Hoofdstuk 3 van de ABRO volgt die indeling letterlijk: 3.1 organisatorische maatregelen, 3.2 bouwkundige, 3.3 elektronische, 3.4 reactieve. Wie een eisnummer uit hoofdstuk 3 tegenkomt, weet aan de tweede cijfergroep dus meteen in welke categorie het valt.

OBER is daarmee een gedefinieerd begrip binnen de ABRO en geen nationale norm. Andere Nederlandse kaders hanteren een eigen indeling, soms met dezelfde letters en een andere reikwijdte.

De vier letters

Bij de E ontstaat in de praktijk de meeste verwarring. Elektronische maatregelen zijn in dit model de installaties: camera’s, toegangsbeheer, inbraakdetectie. Een elektronisch veiligheidsonderzoek is iets heel anders, namelijk een onderzoek naar wat er in de ruimte is achtergelaten. De namen lijken op elkaar en de ABRO plaatst ze zelfs in dezelfde paragraaf, maar het zijn verschillende dingen.

Het rekenmodel: uitsteltijd tegen interventietijd

De ABRO redeneert van binnen naar buiten, met het Te Beschermen Belang als startpunt. Dat belang hoort in een compartiment; een compact belang, zoals een laptop, daarbinnen nog eens in een opbergmiddel. Daaromheen komen de maatregelen die compromittatie tegengaan, detecteren en tijdige interventie mogelijk maken. ABRO 2026, bijlage 5

Die gelaagdheid heeft een expliciet doel. Het besluit noemt het een schillenstructuur en geeft er twee redenen voor: de lagen leveren samen uitsteltijd op, en het doorbreken van één maatregel leidt niet meteen tot compromittatie.

Daarboven staat het begrip waar het hele hoofdstuk op scharniert. Het beveiligingsrendement volgt uit de uitsteltijd en de interventietijd: hoe lang houden de maatregelen een dader tegen nadat hij is gedetecteerd, afgezet tegen hoe lang het duurt voordat er iemand ter plaatse is. Welke uitsteltijd nodig is, volgt uit een risicoanalyse, waarbij ook de middelen van een potentiële dader meewegen. Daarvoor kan het daderprofiel worden gebruikt, dat op verzoek door het NBIV beschikbaar wordt gesteld.

Het rekenvoorbeeld in de bijlage maakt concreet wat dat betekent. Bij een interventietijd van dertig minuten moeten de fysieke maatregelen samen minimaal dertig minuten uitsteltijd opleveren. Levert het compartiment tien minuten, dan volstaat een opbergmiddel dat er twintig toevoegt. ABRO 2026, bijlage 5, figuur 1

Welke dader het model veronderstelt

De ABRO is op dit punt niet onduidelijk. Bijlage 5 begint bij de niet-geautoriseerde persoon die fysieke toegang krijgt. Bijlage 6 beschrijft de bouwkundige maatregelen als barrière tegen niet-geautoriseerde personen die fysieke toegang proberen te krijgen, en noemt daarbij inbraak “met als doel veelal diefstal, spionage of sabotage”, naast abusievelijke toegang van niet-geautoriseerde medewerkers.

Eis 3.1.1 vult dat aan: de opdrachtnemer neemt in de risicoanalyse mee welke methoden en hulpmiddelen potentiële daders tot hun beschikking hebben om het belang fysiek te compromitteren. Daaruit volgt in 3.1.2, in afstemming met het NBIV, het vereiste beveiligingsrendement. ABRO 2026, eisen 3.1.1 en 3.1.2

Het gaat dus om een voortgangsmodel: iemand wordt opgemerkt, moet daarna nog door een aantal lagen heen, en de vraag is of hij er eerder doorheen is dan dat er iemand bij hem staat. Voor inbraak werkt dat; het is ook wat de internationale keten van detect, delay en respond beschrijft. Welke tegenstander in uw geval realistisch is, komt aan bod bij dreigingsprofielen.

Waar het onderzoek in de indeling valt

Drie eisen in hoofdstuk 3 raken technisch beveiligingsonderzoek, en ze gelden niet op dezelfde niveaus. Eis 3.3.31 vraagt om een elektronisch veiligheidsonderzoek en een geluidsdempingsmeting, voorafgaand aan ingebruikname van een compartiment en bij toevoeging of wijziging van middelen, in afstemming met het NBIV; die eis staat aangevinkt bij TBB 2 en TBB 1. Eis 3.3.32 vraagt om TEMPEST-maatregelen en geldt alleen op TBB 3. Eis 3.3.33 vraagt om een zoneringsmeting en geldt weer op TBB 2 en TBB 1. ABRO 2026, eisen 3.3.31 tot en met 3.3.33

Alle drie staan ze in paragraaf 3.3, onder elektronische maatregelen. Tegelijk behandelt bijlage 6 de visueel en akoestisch beperkende maatregelen juist als onderdeel van de bouwkundige maatregelen, met de toevoeging dat inkijkbeperking nodig is ongeacht de rubricering en dat geluidsbeperking niet nodig is voor TBB 4.

De plaatsing loopt dus over twee categorieën heen, en daarmee zijn de letters niet te lezen als gescheiden vakgebieden. Een geluidsdempingsmeting toetst een bouwkundige eigenschap, staat in de elektronische paragraaf, en krijgt betekenis door een organisatorische afspraak over wat er in de ruimte besproken mag worden.

Wat zo’n onderzoek wel en niet kan vaststellen staat beschreven bij wat een sweep wél en niet kan vaststellen; de TEMPEST-eisen zijn uitgewerkt bij TEMPEST en compromitterende straling.

Wat de tijdrekening niet meet

Het beveiligingsrendement meet één ding nauwkeurig: de tijd tussen detectie en interventie, afgezet tegen de tijd die de lagen een dader kosten. Die rekensom veronderstelt dat de tegenstander onderweg is naar het belang en dat hij daarbij weerstand ondervindt.

Een achtergelaten observatie- of afluistermiddel verhoudt zich daar anders toe. Het wordt één keer naar binnen gebracht, vaak op een moment dat die aanwezigheid zelf niet ongeautoriseerd is, en werkt daarna door zonder dat er opnieuw een schil wordt gepasseerd. De uitsteltijd die daarna nog wordt gerealiseerd, beschermt in dat geval ook het middel tegen ontdekking. Deze gevolgtrekking volgt uit het model; het besluit formuleert het niet zo.

De ABRO laat dit scenario niet onbehandeld. Vier eisen in paragraaf 3.3 gaan erover:

• 3.3.27 staat alleen elektronische apparatuur toe die strikt noodzakelijk is voor de werkzaamheden.
• 3.3.28 vraagt om procedurele maatregelen om de rest buiten te houden.
• 3.3.29 behandelt gebouwbeheer- en IoT-apparatuur als systeem met een beveiligingsniveau.
• 3.3.30 sluit camera’s, smart devices, microfoons en andere apparatuur met opname- of communicatiefunctionaliteit uit het compartiment.

Daarbovenop staat de onderzoeksverplichting van 3.3.31 zelf.

OBER negeert afluisteren dus niet. Wel geldt dat het beveiligingsrendement niet de maat is waarmee dit risico wordt afgedekt; daarvoor dienen de apparatuureisen, de toegangsregels en het onderzoek bij ingebruikname en verandering.

Wie er wél naar binnen mag

Omdat het rekenmodel over niet-geautoriseerde toegang gaat, ligt de behandeling van geautoriseerde aanwezigheid elders in het besluit. Alleen geautoriseerde medewerkers hebben zelfstandig toegang tot een compartiment, en toegang tot een belang volgt pas na autorisatie door de beveiligingsfunctionaris. ABRO 2026, eisen 3.1.10 en 3.1.11

Voor bezoek geldt een eigen regime: het bezoek moet in het directe belang van de opdracht zijn, vooraf worden aangemeld, de identiteit wordt gecontroleerd, de toegang wordt geregistreerd en er is doorlopende begeleiding door een geautoriseerde medewerker. Op de hogere niveaus wordt voorgenomen bezoek minimaal vijf werkdagen vooraf ter goedkeuring voorgelegd. ABRO 2026, eisen 3.1.12 en 3.1.15

Leveranciers en onderaannemers lopen via de contractketen: waar zij met een Te Beschermen Belang in aanraking komen, wordt de ABRO contractueel doorgelegd. ABRO 2026, eis 1.5.3

Het besluit wijst geen vaste status toe aan beroepen. Of een installateur, schoonmaker of monteur als medewerker, bezoeker of onderaannemer wordt behandeld, volgt uit de opdracht en niet uit het beroep. Die keuze bepaalt wel welk regime geldt, en daarmee of iemand begeleid wordt of niet.

VRKI: dezelfde klank, een ander stelsel

Buiten de overheid bestaat een tweede traditie rond dezelfde begrippen. De Verbeterde Risicoklassenindeling, VRKI 2.0, is eigendom van het Verbond van Verzekeraars en wordt beheerd en uitgegeven door het Centrum voor Criminaliteitspreventie en Veiligheid. Twee dingen onderscheiden haar van de ABRO-indeling.

De letterset is ruimer. De VRKI werkt met acht categorieën: O, BK, CO, ME, EL, SD, AT en RE, oftewel organisatorisch, bouwkundig, compartimentering, meeneembeperkend, elektronisch, schildetectie, alarmtransmissie en reactie. Per categorie bestaan niveaus, meestal vier, met prestatie-eisen in minuten.

De status verschilt eveneens. De VRKI zegt het zelf in haar inleiding: “De VRKI 2.0 is niet wettelijk verplicht en het is ook geen erkennings- of certificatieregeling.” Zij wordt relevant via een verzekeraar, een polis, een contract of een certificatieregeling, niet als algemene voorschrift.

Achter het verschil in letters zit een verschil in doel. De VRKI deelt risico in op basis van attractiviteit en waarde van goederen en inventaris. Haar schillentheorie begint met de zin: “Uitgangspunt van beveiligen bij bedrijven is ‘buit’ compartimenteren en rondom voorzien van detectie.” Het te beschermen object is daar iets wat wordt meegenomen. Dat is een ander probleem dan informatie die wordt afgeluisterd en op haar plaats blijft liggen.

Een omrekening tussen VRKI-risicoklassen en TBB-categorieën bestaat niet, en is in de bronnen ook niet te maken. Het zijn twee schalen voor verschillende grootheden. Dat een pand in risicoklasse 3 valt, zegt niets over de vraag welk beveiligingsrendement onder de ABRO vereist zou zijn.

Datzelfde geldt voor BORG. De ABRO noemt een BORG-certificaat één keer, als voorbeeld bij de eis dat onderhoud en controle van beveiligingssystemen minimaal jaarlijks door een gecertificeerd bedrijf plaatsvinden. Dat maakt BORG tot een aanwijzing over installatie en onderhoud, en niet tot een uitspraak over geschiktheid voor gerubriceerde informatie. ABRO 2026, eis 3.3.2

Wat VIRBI 2025 eraan toevoegt

Binnen de Rijksdienst geldt een ander besluit, dat de OBER-letters niet gebruikt maar wel dezelfde logica van weerstand en vertraging kent, en op één punt verder gaat dan de ABRO.

De ABRO koppelt het onderzoek aan twee momenten: ingebruikname, en toevoeging of wijziging van middelen. Een vast interval noemt het besluit niet. VIRBI 2025 doet dat in rij K van tabel 5.1 wel: “Periodiek en bij elke bouwkundige aanpassing of het toevoegen van nieuwe middelen”, waarbij het besluit ICT-apparatuur, meubilair, schilderijen en relatiegeschenken als voorbeelden noemt. VIRBI 2025, bijlage, tabel 5.1, rijen J en K

Een schilderij en een relatiegeschenk komen niet door een bouwkundige schil heen; ze worden naar binnen gedragen door iemand die daar mag zijn. Dat het besluit juist die voorwerpen als aanleiding voor hernieuwd onderzoek noemt, maakt de verandering binnen de ruimte tot een eigen controlemoment, los van de weerstand aan de buitenkant.

De zonering en de volledige eisentabel staan bij zonering en beveiligde zones onder VIRBI 2025; de onderzoeksverplichting zelf bij het Nationaal TSCM/EVO Beleidsadvies.