Berlijn in het donker: waarom fysieke veerkracht een prioriteit moet worden in de bestuurskamer

De recente black-out in Berlijn legde een pijnlijk pijnpunt bloot: we investeren massaal in cybersecurity, maar vergeten de fysieke beveiliging van onze kritieke infrastructuur. Johan Vrydag, Country Manager bij BauWatch, deelt zijn strategische analyse over de stijgende fysieke dreiging in België en de impact van de nieuwe Europese CER-richtlijn.

Begin januari 2026 maakte Berlijn een incident mee waar veel beveiligingsexperts al lang voor waarschuwden. Een doelbewuste sabotageactie op het elektriciteitsnet zette tienduizenden mensen dagenlang zonder stroom tijdens ijskoude winteromstandigheden. Dit was geen systeemfout of een ongelukkige samenloop van omstandigheden. Een strategisch gelegen kabelbrug werd bewust in brand gestoken, waardoor kritieke infrastructuur volledig lamgemaakte werd.

Dit incident moeten we zien voor wat het werkelijk is: een pijnlijk duidelijke demonstratie van hoe kwetsbaar onze samenleving blijft wanneer we fysieke beveiliging over het hoofd zien.

Over heel Europa, en zeker in België, hebben overheden en organisaties de afgelopen jaren fors geïnvesteerd in cybersecurity. De implementatie van de NIS2-richtlijn heeft de digitale maturiteit versneld, de monitoring verbeterd en de defensie tegen cyberaanvallen versterkt. Die investeringen waren absoluut noodzakelijk en waardevol.

De black-out in Berlijn legde echter een fundamentele onbalans bloot. Digitale veerkracht beschermt je kritieke infrastructuur niet wanneer de fysieke activa kwetsbaar blijven. Firewalls houden geen brandstichters tegen. Encryptie beschermt een onbemand kabeltraject niet. Een sterke digitale reputatie biedt weinig troost als één enkele fysieke interventie de stroom, connectiviteit en essentiële diensten kan platleggen.

De dreiging is niet hypothetisch

Dit risico is helaas niet hypothetisch. Verschillende ontwikkelingen in België bevestigden de afgelopen tijd dat fysieke dreigingen voor kritieke infrastructuur reëel zijn en toenemen.

In de Noordzee moesten de Belgische zeestrijdkrachten herhaaldelijk tussenbeide komen toen buitenlandse schepen werden betrapt bij het in kaart brengen van de landingspunten van offshore windparken en onderzeese datakabels. Rond Antwerpen en Brussel uitten de veiligheidsdiensten hun bezorgdheid over spionage- en sabotagerisico's bij datacenters, waar de fysieke toegangscontrole vaak mijlenver achterliep op de digitale beveiliging. Later dat jaar zorgde doelbewuste schade aan technische spoorweginstallaties op de corridor Brussel-Luxemburg voor dagenlange hinder. Dat illustreert hoe nauwkeurig aanvallers begrijpen welke fysieke componenten de grootste maatschappelijke impact veroorzaken.

Wat al deze incidenten gemeen hebben, is niet hun technologische complexiteit, maar wel hun strategische intentie. Aanvallers viseren zelden zwaar bewaakte hoofdkantoren. Ze focussen zich op geïsoleerde, onbemande en onderschatte fysieke activa zoals kabelbruggen, onderstations, distributiepunten en afgelegen technische kasten.

De impact van een cascade-effect

De impact van zulke aanvallen reikt veel verder dan een tijdelijke stroompanne. Stroomuitval zorgt al snel voor een cascade-effect: uitval van telecommunicatie, ontregeling van het transport, haperende gezondheidszorg en een deuk in het publieke vertrouwen. Voor overheden wordt dit een kwestie van nationale veerkracht. Voor organisaties gaat het over continuïteit, aansprakelijkheid en reputatie.

De introductie van de Europese CER-richtlijn (Critical Entities Resilience) markeert hierin een belangrijke verschuiving. Voor het eerst zijn exploitanten van kritieke entiteiten expliciet verplicht om fysieke veerkracht als een kernverantwoordelijkheid te behandelen, en niet langer als een secundair probleem. Dit is geen loutere compliance-oefening om regeltjes af te vinken. Het is een strategische kans om je risico's opnieuw te beoordelen, investeringen te prioriteren en beveiligingsmaatregelen af te stemmen op reële dreigingsscenario's.

Van 'of' naar 'hoe snel'

Vanuit commercieel en beleidsoogpunt is de kernvraag veranderd. Het is niet langer de vraag of kritieke infrastructuur een doelwit kan worden. Het bewijs ligt er immers al. De vraag is hoe snel je risico's identificeert, beperkt en beheert voordat er effectief een incident plaatsvindt.

Organisaties die proactief handelen, voldoen niet alleen aan de wettelijke verwachtingen. Ze versterken ook hun operationele veerkracht, beschermen het vertrouwen van hun stakeholders en verlagen de langetermijnkosten die gepaard gaan met herstel en bedrijfsonderbreking.

Mijn advies aan directieleden en beleidsmakers is dan ook heel helder. Begin vandaag nog. Breng je kritieke fysieke activa in kaart. Identificeer de zwakste schakels. Test je reactiesnelheid en zorg ervoor dat fysieke beveiliging volledig geïntegreerd wordt in je bredere veerkrachtstrategie.

Wil je begrijpen waar de grootste fysieke kwetsbaarheden van jouw organisatie liggen en hoe je deze kunt aanpakken volgens de huidige Europese normen? Dan ga ik hierover graag met je in gesprek. Zorgen voor veerkracht vandaag is de meest effectieve manier om de black-out van morgen te voorkomen.