TBB-ruimtes: handelingswijze en gebruiksprocedure

Wat een compartiment is

De ABRO 2026 noemt alle informatie, systemen, materieel, goederen en objecten die bescherming behoeven een Te Beschermen Belang (TBB). Er zijn vier categorieën, TBB 1 tot en met TBB 4, waarbij TBB 1 het zwaarst te beveiligen niveau is. Voor gerubriceerde informatie corresponderen die met Staatsgeheim ZEER GEHEIM, Staatsgeheim GEHEIM, Staatsgeheim CONFIDENTIEEL en Departementaal VERTROUWELIJK.

Een Compartiment is de fysieke ruimte waarin zo’n belang wordt verwerkt of opgeslagen. Dat kan een kamer zijn, maar ook een etage, een gebouw, een fabriekshal of een buitenterrein. Een Compact Te Beschermen Belang, zoals een laptop, kan daarnaast in een afsluitbaar opbergmiddel worden opgeborgen. De specificaties van een compartiment worden met het NBIV afgestemd. ABRO 3.2.1–3.2.3

De regeling werkt met een schillenstructuur en met de principes need-to-know en need-to-be. Het uitgangspunt is niet alleen dat compromittatie wordt voorkomen, maar ook dat compromittatie of een poging daartoe wordt gedetecteerd, op een moment dat ingrijpen nog mogelijk is. ABRO 3.1.5, 3.1.6

Wie zelfstandig naar binnen mag

• Alleen geautoriseerde medewerkers hebben zelfstandig toegang. Autorisatie verloopt via de beveiligingsfunctionaris; medewerkers beschikken over een VOG of, waar vereist, een geldige VGB van het voorgeschreven niveau. ABRO 3.1.10, 3.1.11
• Toegang tot een compartiment vereist multifactor-authenticatie. ABRO 3.1.9
• Toegang wordt geregistreerd, met ten minste de naam van de persoon en de datum en het tijdstip van aankomst en vertrek. Bij registratie op papier hoort een handtekening. De registratie wordt minimaal zes maanden bewaard en op verzoek aan het NBIV verstrekt. ABRO 3.1.7, 3.1.8, 3.1.13
• Binnen het compartiment wordt de toegangspas zichtbaar gedragen, met ten minste de naam van de persoon erop. ABRO 3.1.14
• Aan de buitenzijde van het compartiment hangen de beveiligingsinstructies die voor die ruimte gelden. ABRO 3.1.16

Een elektronisch toegangsbeheersysteem heeft daarnaast eigen eisen: detectie van toegang onder dwang, anti-passback, logging die zes maanden bewaard blijft en die de beveiligingsfunctionaris maandelijks controleert op opvallende afwijkingen, en een uitvoering waarbij alle toegangen sluiten of gesloten blijven als het systeem uitvalt. ABRO 3.3.12–3.3.15

Bezoek

Bezoek is in de ABRO een uitzondering met een eigen procedure. Een bezoeker is iemand zonder autorisatie die op basis van need-to-know en need-to-be onder begeleiding toegang krijgt. ABRO 3.1.12

• Het bezoek is in het directe belang van de bijzondere opdracht.
• De bezoeker is vooraf aangemeld bij de beveiligingsfunctionaris en de identiteit wordt vooraf vastgesteld.
• De bezoeker wordt geregistreerd met ten minste naam, datum en tijdstip van aankomst en vertrek.
• De bezoeker wordt gedurende het hele bezoek onafgebroken begeleid door een geautoriseerde medewerker en draagt een duidelijk herkenbare, zichtbare bezoekerspas.
• Op de zwaardere niveaus geldt daarnaast dat de voorgenomen toegang minimaal vijf werkdagen vóór het bezoek ter goedkeuring aan het NBIV is voorgelegd, via het formulier ‘Autorisatie Bezoeker’. ABRO 3.1.15

Die termijn van vijf werkdagen is in de praktijk het punt waarop een gebruiksprocedure stukloopt. Een leverancier die spoed heeft, een monteur die eerder komt dan gepland of een gast die op de dag zelf wordt toegevoegd, passen er niet in. Dat is geen administratieve hobbel maar het inhoudelijke doel van de bepaling: wie binnenkomt, is vooraf beoordeeld.

Sleutels, codes en opbergmiddelen

• Fysieke sleutels en reservesleutels die toegang geven tot een compartiment blijven te allen tijde op het terrein en worden alleen achtergelaten in een daarvoor bestemd opbergmiddel. Reservesleutels liggen nooit in hetzelfde opbergmiddel als het origineel. ABRO 3.1.22
• Toegangsmiddelen, cijfercombinaties en certificaten worden beheerd door de beveiligingsfunctionaris; als ze niet in gebruik zijn liggen ze in een opbergmiddel. ABRO 3.1.23, 3.1.24
• Cijfercombinaties van sloten van opbergmiddelen worden minimaal elke zes maanden gewijzigd, en onmiddellijk bij ingebruikname van een nieuw slot, bij intrekking of wijziging van een autorisatie, na onderhoud aan het slot, en bij vermoeden of vaststelling van compromittatie. Een eerder gebruikte combinatie wordt niet opnieuw gekozen. ABRO 3.1.25
• Verlies of diefstal van een fysiek toegangsmiddel wordt behandeld als beveiligingsincident. ABRO 3.1.26

De uitgifte van toegangsmiddelen wordt gecontroleerd op de juiste autorisatie, geregistreerd, en de registratie wordt minimaal jaarlijks geactualiseerd. ABRO 3.1.17 Dat laatste is de stap die in de praktijk het vaakst achterwege blijft, waardoor de lijst van wie waar in kan langzaam uit de pas gaat lopen met de werkelijkheid.

Wat er wel en niet mee naar binnen gaat

De ABRO is hier expliciet, en dit is het deel van de procedure waar dagelijks gedrag het verschil maakt.

• Alleen elektronische apparatuur die strikt noodzakelijk is voor het werk is toegestaan. Goedkeuring gebeurt op basis van een risicoanalyse, en apparatuur uit een land met een offensief cyberprogramma is uitgesloten. De lijst met apparatuur en de bijbehorende risicoanalyse zijn vooraf, in afstemming met het NBIV, door de opdrachtgever goedgekeurd en opgenomen in het beveiligingsplan. ABRO 3.3.27
• Er zijn procedurele maatregelen om niet strikt noodzakelijke elektronica buiten het compartiment te houden. ABRO 3.3.28
• In een compartiment zijn geen camera’s, smart devices, microfoons of andere apparatuur met een opname- of communicatiefunctie aanwezig. ABRO 3.3.30
• Apparatuur voor beveiliging of gebouwbeheer, waaronder gebouwbeheersystemen en IoT-apparatuur, geldt als systeem en is alleen toegestaan wanneer het op het vastgestelde beveiligingsniveau is beveiligd. ABRO 3.3.29

Een lijst met toegestane apparatuur is daarmee geen inventarisatie achteraf maar een vooraf goedgekeurd document. Alles wat daarbuiten valt, hoort de ruimte niet in, ongeacht hoe kortstondig of hoe onschuldig het lijkt.

Onderzoek bij ingebruikname en bij verandering

ABRO-eis 3.3.31 bepaalt dat voorafgaand aan de ingebruikname van een compartiment en bij toevoeging of wijziging van middelen, in afstemming met het NBIV, een elektronisch veiligheidsonderzoek en een geluidsdempingsmeting zijn uitgevoerd. Eventuele maatregelen worden vóór implementatie met het NBIV afgestemd. Deze eis geldt volgens de ABRO-tabel voor TBB 2 en TBB 1. Eis 3.3.32 doet hetzelfde voor TEMPEST-maatregelen; de instructies daarvoor zijn bij het NBIV op te vragen.

Voor de Rijksdienst loopt dezelfde lijn via VIRBI 2025. Dat besluit schrijft vóór ingebruikname van een werkruimte of andere beveiligde zone een TSCM- of elektronisch veiligheidsonderzoek voor, en daarnaast periodiek en bij elke bouwkundige aanpassing of toevoeging van nieuwe middelen. Als voorbeelden van zulke middelen noemt het besluit ICT-apparatuur, meubilair, schilderijen en relatiegeschenken. Beide bepalingen gelden vanaf Staatsgeheim CONFIDENTIEEL. VIRBI 2025, tabel 5.1 J–K

Voor de gebruiksprocedure betekent dit dat de vraag ‘is hier iets veranderd?’ onderdeel is van het dagelijks beheer. Een nieuw scherm, een andere tafel, een geschenk aan de muur: het zijn stuk voor stuk momenten waarop de vorige uitspraak over de ruimte haar houdbaarheid verliest. Zie ook het Nationaal TSCM/EVO Beleidsadvies.

Detectie tijdens en buiten gebruik

• Een Te Beschermen Belang staat onder detectie van een indringerdetectie- en signaleringssysteem (IDSS). Dat kan op het compartiment, het opbergmiddel of het belang zelf zijn geïnstalleerd. ABRO 3.3.17
• Het compartiment is binnen het IDSS als aparte zone opgenomen. Die zone is actief zodra er geen geautoriseerde medewerker in de ruimte is; het systeem is altijd geactiveerd tenzij geautoriseerde medewerkers aanwezig zijn. ABRO 3.3.19, 3.3.20
• Deactiveren kan alleen door een daartoe aangewezen persoon, met multifactor-authenticatie. ABRO 3.3.21
• Het IDSS beschikt over een stroomvoorziening die het functioneren waarborgt tot ten minste de maximale interventietijd. Uitval van de stroomvoorziening wordt gesignaleerd en geregistreerd, en bij stroomuitval wordt gehandeld alsof het een alarmering betreft. ABRO 3.3.25, 3.3.26

Toegangsdeuren zijn aan de binnenzijde voorzien van een deurdranger en van een elektronisch en akoestisch alarm dat afgaat als een deur langer openstaat dan nodig. Nooddeuren openen alleen naar buiten, zijn verzegeld en geven bij opening alarm. ABRO 3.2.5, 3.2.6

De sluitronde

Bij het verlaten van het compartiment door de laatste medewerker wordt een sluitronde gemaakt. De ABRO schrijft voor wat daarbij ten minste wordt gecontroleerd. ABRO 3.1.31

• of het opbergmiddel, het compartiment en zo mogelijk de etage en het gebouw zijn afgesloten;
• of ramen en deuren zijn afgesloten;
• of er geen personen meer aanwezig zijn;
• of de verzegeling van nooddeuren intact is;
• of de beveiligingsmaatregelen zijn geactiveerd, zoals het IDSS.

De sluitronde is de goedkoopste maatregel in het hele stelsel en tegelijk de enige die iedere dag opnieuw moet worden uitgevoerd. Een ruimte die bouwkundig aan alle eisen voldoet, staat open zodra de laatste persoon vergeet te controleren of dat zo is.

Beheer, onderhoud en incidenten

Fysieke apparatuur, beveiligingscomponenten en beveiligingssystemen worden beheerd en onderhouden om te blijven functioneren. Beveiligingssystemen zijn geïnstalleerd conform de normering uit de ABRO-bijlage, en onderhoud en controle vinden minimaal jaarlijks plaats door een daartoe gecertificeerd bedrijf. ABRO 3.1.27, 3.3.2

Een beveiligingssysteem is niet gekoppeld aan een centraal gebouwbeheersysteem of een andere voorziening waarmee het op afstand kan worden beheerd. Draadloze verbindingsmogelijkheden zijn uitgeschakeld en de systemen zijn alleen verbonden via een eigen, afgeschermd beheernetwerk. ABRO 3.3.5, 3.3.6, 3.3.7 Op de zwaardere niveaus is het gebruik van cloudoplossingen voor beheer en onderhoud uitgesloten; waar het wel is toegestaan, moet de leverancier als onderaannemer bij het NBIV zijn aangemeld. ABRO 3.1.28, 3.1.29

VIRBI 2025 vult dit voor de Rijksdienst aan met bepalingen over reparatie en onderhoud: externe reparatie is gebonden aan door de beveiligingsambtenaar vastgestelde procedures, reparatie vindt op locatie plaats tenzij de bijzondere informatie met goedgekeurde middelen is verwijderd, onderhoud gebeurt door personen met een passende VGB, en extern personeel werkt alleen onder begeleiding van eigen personeel. VIRBI 2025, tabel 5.1 U–X

Wat dit betekent voor de praktijk

De beveiliging van een ruimte is een toestand die iedere dag opnieuw wordt bevestigd of ondermijnd. De bouwkundige laag verandert zelden, de handelingswijze verandert voortdurend.

Voor organisaties buiten de ABRO en VIRBI is dit stelsel bruikbaar als naslag, niet als verplichting. De onderdelen die zich het gemakkelijkst laten overnemen zijn de vooraf goedgekeurde apparatuurlijst, de bezoekprocedure met begeleiding, het beheer van sleutels en codes, de sluitronde en het vastleggen van elke verandering in de ruimte. Die vijf bepalen in de praktijk het grootste deel van het resultaat, en geen ervan vraagt om meetapparatuur.

Wat technisch onderzoek daaraan toevoegt, is de vaststelling of de aanname klopt. Wat zo’n onderzoek wel en niet kan aantonen staat beschreven in wat een sweep wél en niet kan vaststellen.