Het Nationaal TSCM/EVO Beleidsadvies

Waar het beleidsadvies in het stelsel staat

VIRBI 2025 is op 9 september 2025 in werking getreden en verving daarmee VIRBI 2013, dat op 8 september 2025 zijn laatste geldigheidsdag had. Het besluit geldt voor de Rijksdienst en beschrijft hoe bijzondere informatie wordt gerubriceerd en beveiligd.

Bijzondere informatie kent vier niveaus: Departementaal VERTROUWELIJK (Dep.V), Staatsgeheim CONFIDENTIEEL (Stg.C), Staatsgeheim GEHEIM (Stg.G) en Staatsgeheim ZEER GEHEIM (Stg.ZG). De bijlage van VIRBI 2025 bevat per onderwerp een tabel met minimale maatregelen en geeft per rubriceringsniveau aan of een maatregel verplicht is.

In de tabel met minimale eisen voor fysieke beveiliging van locaties en gebouwen staan de bepalingen waar het hier om gaat. Daar wordt het Nationaal TSCM/EVO Beleidsadvies bij naam genoemd, naast een tweede beleidsdocument voor compromitterende straling.

Wat VIRBI 2025 concreet voorschrijft

Vier bepalingen uit die tabel zijn voor dit onderwerp relevant. De eerste geldt op alle vier de niveaus, de andere drie vanaf Staatsgeheim CONFIDENTIEEL.

• Afluisteren tegengaan (alle niveaus). Het tegengaan van afluisteren, ook van gesproken informatie, en van zicht op en reflectie van informatie, bijvoorbeeld via beeldschermen of spiegelende oppervlakken.
• TEMPEST-maatregelen (Stg.C en hoger). Maatregelen conform het Beleidsadvies Compromitterende straling, het Verbindingsbeveiligingsvoorschrift VBV 32000. Een voetnoot vermeldt dat hiervoor advies kan worden aangevraagd bij de Nationale TEMPEST Autoriteit.
• Onderzoek vóór ingebruikname (Stg.C en hoger). Vóór de ingebruikname van een werkruimte of andere beveiligde zone moet, volgens het Nationaal TSCM/EVO Beleidsadvies, een TSCM- of elektronisch veiligheidsonderzoek zijn uitgevoerd en indien nodig een geluidsdempingsmeting.
• Onderzoek bij verandering (Stg.C en hoger). Periodiek en bij elke bouwkundige aanpassing of het toevoegen van nieuwe middelen in een beveiligde zone moet hetzelfde onderzoek plaatsvinden. Het besluit noemt als voorbeelden van zulke middelen expliciet ICT-apparatuur, meubilair, schilderijen en relatiegeschenken.

Die laatste opsomming is geen bijzaak. Ze maakt duidelijk dat het onderzoeksmoment niet alleen aan verbouwingen hangt, maar aan alles wat de ruimte binnenkomt en er blijft.

Twee momenten, geen vast interval

VIRBI 2025 koppelt het onderzoek aan gebeurtenissen: ingebruikname en verandering. Daarnaast staat het woord ‘periodiek’ in de tekst, zonder dat het besluit een termijn noemt. Welke frequentie passend is, volgt dus niet uit het besluit zelf maar uit het beleidsadvies waarnaar het verwijst, en uit de eigen risicoafweging.

Dezelfde constructie komt terug in de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten. ABRO-eis 3.3.31 bepaalt dat voorafgaand aan de ingebruikname van een compartiment en bij toevoeging of wijziging van middelen, in afstemming met het NBIV, een elektronisch veiligheidsonderzoek en een geluidsdempingsmeting zijn uitgevoerd. Eis 3.3.32 doet hetzelfde voor TEMPEST-maatregelen en voegt toe dat de instructies voor die maatregelen bij het NBIV zijn op te vragen.

Het patroon is in beide regelingen gelijk: de regeling noemt het moment en het onderzoekstype, en verwijst voor de uitvoering naar een document of een instantie die niet openbaar publiceert.

Wie het beleid maakt en wie het uitvoert

De Nationale TEMPEST Autoriteit is in Nederland belegd bij het Nationaal Bureau voor Verbindingsbeveiliging (NBV) van de AIVD. Het nationale beleid tegen compromitterende straling is vastgelegd in VBV 32000 (B) van 6 november 2006. Het NBV vervult daarnaast de civiele National Security Authority-taak voor NAVO, EU en ESA.

Voor opdrachten van de Rijksoverheid en de politie is sinds maart 2025 het Nationaal Bureau Industrieveiligheid (NBIV) het aanspreekpunt. Het NBIV is een gezamenlijke eenheid van AIVD en MIVD, ontstaan uit het samenvoegen van de industrieveiligheidsafdelingen van beide diensten, en ziet toe op de ABRO-verklaring.

Het onderzoek zelf wordt in de staatsgeheime context door de diensten gedaan. De AIVD meldt in het jaarverslag over 2025 dat in dat jaar 124 ruimtes zijn gesweept, in samenwerking en coördinatie met de MIVD en de politie. De dienst omschrijft dat werk als het met unieke kennis en middelen onderzoeken van een ruimte, op zoek naar afluisterapparatuur, verborgen camera’s en andere sensoren.

De internationale laag

Voor NAVO- en EU-gerubriceerde informatie geldt het beleid van die organisaties. Het NBV noemt daarvoor een reeks documenten die naast het nationale kader staan.

• NAVO: SDIP-27/3 en SDIP-29/3 (beide november 2024), SDIP-28/3 voor zoneringsprocedures (november 2024) en SDIP-55/1 (mei 2024).
• EU: IASG 7-01 (september 2013), IASG 7-02 voor zoneringsprocedures (november 2012), IASG 7-03 (juni 2013) en IASG 7-04 (maart 2019).

Als Nationale TEMPEST Autoriteit kan het NBV fabrikanten van TEMPEST-apparatuur op verzoek aanmelden als TEMPEST-bedrijf bij de NAVO en de Europese Unie. Die bedrijven komen op de NAVO-lijst van gecertificeerde TEMPEST-leveranciers en de EU-lijst van geaccrediteerde TEMPEST-bedrijven, en worden periodiek bezocht waarbij wordt getoetst aan SDIP-55 en IASG 7-04. Producten krijgen na keuring een TEMPEST-identificatie- en tamper-evidence-zegel, verkrijgbaar via de NTA.

Deze erkenning gaat over het maken van apparatuur, niet over het uitvoeren van onderzoek. Een aanbieder van sweeps is dus geen ‘NAVO-gecertificeerd TEMPEST-bedrijf’ omdat hij meetapparatuur gebruikt, en een leverancier die wel op die lijst staat levert daarmee nog geen onderzoek.

Wat u hier wel en niet uit kunt afleiden

Het Nationaal TSCM/EVO Beleidsadvies is niet gepubliceerd. Van buitenaf is wel vast te stellen welke plaats het in de regelgeving inneemt en welke verplichtingen er in VIRBI 2025 aan zijn gekoppeld, maar niet wat erin staat. Wie de inhoud nodig heeft, komt uit bij het NBV of, in een ABRO-traject, bij het NBIV.

Uit de verwijzing volgt ook niet dat een commercieel onderzoek gelijkstaat aan het onderzoek dat in dat kader wordt bedoeld. In de staatsgeheime context voeren de diensten het onderzoek uit of bepalen zij de voorwaarden waaronder het plaatsvindt. Wat een commerciële partij kan leveren, is onderzoek buiten dat formele regime: als voorbereiding op een traject, voor omgevingen die er niet onder vallen, of als onderbouwing in een eigen risicodossier.

Voor organisaties die niet onder VIRBI of de ABRO vallen, is de constructie alsnog bruikbaar. De twee momenten die het besluit aanwijst, ingebruikname en verandering, zijn goede aanknopingspunten voor iedere organisatie die een ruimte structureel voor vertrouwelijk overleg gebruikt. Ze zeggen alleen niets over de vraag welk diepteniveau in uw situatie passend is; dat volgt uit uw eigen dreigingsprofiel.