Zonering en beveiligde zones onder VIRBI 2025

Wat VIRBI 2025 is en voor wie het geldt

Het Besluit voorschrift informatiebeveiliging rijksdienst bijzondere informatie 2025, kortweg VIRBI 2025, is vastgesteld op 21 augustus 2025 en gepubliceerd in de Staatscourant van 8 september 2025. Het treedt in werking de dag daarna en trekt VIRBI 2013 in, zodat 9 september 2025 de eerste dag van het nieuwe besluit is. VIRBI 2025, artikelen 12 en 13

Het geldt voor de Rijksdienst, en die reikwijdte staat meteen in de eerste inhoudelijke bepaling. VIRBI 2025, artikel 2, eerste lid

Er gold een overgangsregeling van zes maanden voor bestaande gerubriceerde informatie die volledig aan de maatregelen uit VIRBI 2013 voldeed, voor zover de bijlage bij het nieuwe besluit daar aanvullende eisen bovenop legde. Die periode is inmiddels verstreken. VIRBI 2025, artikel 11

De vier rubriceringen

Het besluit onderscheidt vier niveaus, met een eigen schadecriterium per niveau. De officiële schrijfwijze en afkortingen staan in artikel 4, tweede lid. Ze wijken af van wat in de praktijk wordt gebruikt, en het loont om ze in een dossier letterlijk over te nemen.

• Staatsgeheim ZEER GEHEIM (Stg.ZG) als kennisname door niet-geautoriseerden zeer ernstige schade kan toebrengen aan een van de vitale belangen van Nederland en de Nederlandse staat, of zijn bondgenoten.
• Staatsgeheim GEHEIM (Stg.G) bij ernstige schade aan diezelfde belangen.
• Staatsgeheim CONFIDENTIEEL (Stg.C) bij schade aan diezelfde belangen.
• Departementaal VERTROUWELIJK (Dep.V) bij schade aan de belangen van één of meer ministeries of bondgenoten van de Nederlandse staat.

Het verschil tussen de drie staatsgeheimniveaus zit dus niet in het soort belang maar in de ernst van de schade; Dep.V wijkt af doordat het over departementale belangen gaat in plaats van vitale. VIRBI 2025, artikel 4, tweede lid

Wat VIRBI over zonering zegt, en wat het niet zegt

De zoneringsregel staat in tabel 5 van de bijlage en bestaat uit twee regels. Dep.V-informatie wordt structureel verwerkt, behandeld en besproken in minimaal Zone 2 en incidenteel in Zone 1. Bijzondere informatie, dus het staatsgeheime deel, wordt structureel verwerkt, behandeld en besproken in ten minste een extra beveiligd werkgebied.

Het besluit voegt daar zelf de belangrijkste praktische consequentie aan toe: structureel verwerken van Dep.V-informatie in een Zone 1 is een afwijking waarvoor een exceptie nodig is. Een organisatiegebonden aanscherping is toegestaan, en voor thuiswerk bepaalt het departementaal beleid wat is toegestaan. Onder “besproken” verstaat het besluit elk overleg waarin bijzondere informatie aan de orde komt. VIRBI 2025, bijlage, tabel 5

En dan de bepaling die het meeste misverstand oplevert. VIRBI definieert Zone 1, Zone 2 en het extra beveiligd werkgebied niet zelf. De tabel verwijst voor alle drie naar het Normenkader Beveiliging Rijkskantoren (NkBR), telkens met de toevoeging “of een als gelijkwaardig beschouwde ruimte”. Wie de zonedefinities in het besluit zoekt, vindt ze daar niet.

Een voetnoot bij die verwijzing merkt bovendien op dat het NkBR niet op alle gebouwen van de Rijksoverheid van toepassing is. Dat verklaart waarom de gelijkwaardigheidsclausule er staat, en het betekent dat de zonebenaming zonder het onderliggende normenkader of een onderbouwd equivalent geen zelfstandige inhoud heeft. Het normenkader zelf is geen onderdeel van de publicatie.

De minimumeisen per rubricering

Tabel 5.1 van de bijlage bevat de minimale eisen voor fysieke beveiliging van locaties en gebouwen, gerangschikt per rubricering. Hieronder de rijen C tot en met X, met de letters uit het besluit zodat elke regel terug te zoeken is. Een bolletje betekent dat het besluit de maatregel op dat niveau verplicht stelt; bij rij C verwijst het besluit voor Dep.V naar de BIO in plaats van de maatregel zelf voor te schrijven.

Twee dingen vallen op bij het lezen van deze tabel. De eerste is de sprong tussen Dep.V en Stg.C: negen van deze maatregelen komen pas op staatsgeheimniveau in beeld, waaronder detectie buiten kantooruren, het weren van persoonlijke elektronica, TEMPEST en het technisch onderzoek. De tweede is dat de eisen die op alle vier de niveaus gelden bijna allemaal organisatorisch zijn: bezoek registreren, informatie concentreren, opbergen, sleutels bijhouden. Voor die vier levert een verbouwing niets op; ze worden elke dag opnieuw waargemaakt of niet.

De bijlage is verder risicogebaseerd, maar deze tabellen leggen een minimumniveau vast. Wie daarvan afwijkt, moet dat in de risicoanalyse onderbouwen en met mitigerende maatregelen opvangen.

De rijen J en K, over het technisch onderzoek bij ingebruikname en bij verandering, zijn afzonderlijk uitgewerkt bij het Nationaal TSCM/EVO Beleidsadvies. Rij I over TEMPEST is uitgewerkt bij TEMPEST en compromitterende straling.

Wie beslist en wie adviseert

De verantwoordelijkheid ligt in de lijn. De secretaris-generaal stelt het departementale beveiligingsbeleid vast en dat beleid beschrijft hoe voorafgaande accreditatie voor het verwerken van bijzondere informatie wordt verleend. De beveiligingsambtenaar heeft de departementale coördinerende en toezichthoudende rol, waaronder de samenhangende aanpak voor gerubriceerde informatie en het onderzoek na compromittering. VIRBI 2025, artikel 3

Voor specialistische vragen loopt de weg naar de Unit Weerbaarheid van de AIVD, die de verbindingsbeveiligingsvoorschriften voorschrijft en verstrekt. Voor TEMPEST verwijst de tabel in een voetnoot naar de Nationale TEMPEST Autoriteit. Het NBIV komt pas in beeld zodra het om een Bijzondere Opdracht gaat; dat is de industrieveiligheidskant en niet de departementale lijn.

Wat er gebeurt als de informatie de Rijksdienst verlaat

De conclusie dat VIRBI dan niet meer aan de orde is, wordt vaak te snel getrokken. Het besluit bepaalt het tegenovergestelde: bij het buiten de Rijksdienst brengen van bijzondere informatie, anders dan op grond van een wettelijke openbaarmakingsplicht, blijven de eisen aan de beveiliging in het besluit en het toezicht daarop onverkort van kracht. VIRBI 2025, artikel 7, eerste lid

De juiste lezing is dus tweeledig. Het besluit richt zich tot de Rijksdienst en legt geen zelfstandige verplichting op aan een bedrijf. Maar de beveiligingseisen reizen met de informatie mee, en het is aan de overheidspartij om dat te borgen. In een inkooptraject gebeurt dat via het contract, en waar sprake is van een Bijzondere Opdracht via de ABRO.

Voor informatie die krachtens een verdrag of internationale overeenkomst is verkregen geldt bovendien dat doorgifte aan externe partijen uitsluitend na voorafgaande toestemming van het land of de organisatie van herkomst plaatsvindt. VIRBI 2025, artikel 7, tweede lid

Een zone en een compartiment zijn niet hetzelfde

Beide stelsels beschermen informatie door een gecontroleerde fysieke omgeving, met toegangsregels, vertraging en detectie, akoestische en visuele afscherming en specialistische elektronische maatregelen. De overeenkomst is functioneel. De begrippen zijn het niet.

Dat heeft praktische gevolgen. Een leverancier die aanbiedt “een Zone 2 te bouwen” voor een ABRO-opdracht gebruikt een term uit het verkeerde stelsel. Omgekeerd zegt een compartiment op TBB 3 niets over de vraag of een ruimte binnen de Rijksdienst als extra beveiligd werkgebied kan worden aangemerkt. Hoe een compartiment in de praktijk wordt gebruikt en beheerd staat beschreven bij TBB-ruimtes; de verhouding tussen de ABRO en de Cyberbeveiligingswet staat beschreven bij wat de ABRO en Cbw van een organisatie vragen.

De internationale laag

Informatie die krachtens een verdrag of internationale overeenkomst is verkregen behoudt de toegekende rubricering en wordt beveiligd volgens het overeenkomstige nationale beveiligingsniveau. Bestaan er uit dat verdrag afwijkende bepalingen, dan worden die toegepast. VIRBI 2025, artikel 2, derde lid

Dat is een voorrangsregel, geen vertaaltabel. De NAVO en de EU hanteren eigen indelingen van beveiligde ruimtes en eigen accreditatieketens, en de TEMPEST-zonering uit de NAVO-documenten is weer iets anders dan de toegangszones waar VIRBI naar verwijst, ook al komt in beide het woord zone voor. Een gelijkstelling tussen een VIRBI-zone en een internationale ruimtecategorie volgt uit geen van beide stelsels, en is in openbare bronnen ook niet te onderbouwen.

Wat openbaar is en wat u moet opvragen

• Openbaar. VIRBI 2025 staat integraal in de Staatscourant en op wetten.overheid.nl, inclusief de bijlage met tabel 5 en tabel 5.1. De ABRO 2026 is eveneens integraal gepubliceerd.
• Op aanvraag. De verbindingsbeveiligingsvoorschriften, waaronder VBV 32000 voor TEMPEST, zijn bij de Unit Weerbaarheid op te vragen. Bij een Bijzondere Opdracht lopen de instructies via het NBIV.
• Niet vastgesteld in deze bronnen. Het NkBR zelf, met de definities achter Zone 1, Zone 2 en het extra beveiligd werkgebied, is niet als openbare primaire bron aangetroffen. Wie die definities nodig heeft, komt uit bij de eigen beveiligingsambtenaar of de beheerder van het normenkader.

Dat laatste is voor een inkoop- of ontwerpdossier geen detail. Een eis die verwijst naar “Zone 2 conform het NkBR” is pas toetsbaar wanneer vaststaat welke versie van dat normenkader wordt bedoeld, of, bij een als gelijkwaardig beschouwde ruimte, waarop die gelijkwaardigheid is gebaseerd en wie dat heeft vastgesteld.