Jarenlang draaide de beschikbaarheid van datacenters vooral om het voorkomen van technische storingen, brand, overstromingen en stroomuitval. Maar de dreigingen veranderen. Recente droneaanvallen op datacenters van AWS in het Midden-Oosten en Yandex in Rusland maken duidelijk dat ook fysieke aanvallen onderdeel kunnen worden van het risicoprofiel van digitale infrastructuur. Dat roept vragen op voor datacentermanagers, cio’s en it-managers. Want wat betekent een Tier III- of IV-classificatie dan nog eigenlijk? En moeten organisaties niet veel meer aandacht besteden aan de mogelijkheid om hun workloads snel naar een andere locatie of cloudprovider te verplaatsen?
De datacentersector heeft de afgelopen decennia veel bereikt op het gebied van beschikbaarheid. Dankzij redundante stroomvoorzieningen, dubbele netwerkverbindingen en geavanceerde koeling kunnen moderne datacenters zelfs bij ernstige technische storingen blijven functioneren. Classificaties zoals de Tier-standaard van het Uptime Institute en ANSI/TIA-942 hebben daarin een belangrijke rol gespeeld.
Tegelijkertijd is de aandacht steeds meer uitgegaan naar energie-efficiëntie, duurzaamheid en kostenbeheersing. Volgens datacenterspecialist Arjan Westerhoff is het tijd om opnieuw naar een fundamentelere vraag te kijken: hoe goed zijn datacenters beschermd tegen de risico’s van morgen?
In een recent bericht op LinkedIn vraagt Westerhoff zich af of de sector de beschikbaarheid niet onbedoeld naar de achtergrond heeft geschoven: ‘Maar hebben we beschikbaarheid onbedoeld uit het middelpunt van de discussie gehaald?’ Daarbij wijst hij onder meer op bescherming van datacenters waar bedrijfskritische applicaties draaien tegen drones en raketten, ondergrondse of versterkte datacenters en grotere geografische spreiding.
Van theoretisch risico naar reële dreiging
De conflicten in het Midden-Oosten en de oorlog tussen Rusland en Oekraïne laten zien dat digitale infrastructuur onderdeel kan worden van militaire operaties. Begin maart 2026 werden datacenterfaciliteiten van Amazon Web Services (AWS) in de Verenigde Arabische Emiraten getroffen door droneaanvallen. Ook AWS-infrastructuur in Bahrein raakte beschadigd. Begin oktober volgden berichten over droneaanvallen op datacenters van het Russische technologiebedrijf Yandex. Bij een aanval op een faciliteit in Sasovo ontstond brand en raakte apparatuur beschadigd. Inmiddels zouden meerdere Yandex-datacenters getroffen zijn.
De incidenten veroorzaakten verstoringen van clouddiensten en maakten duidelijk hoe kwetsbaar zelfs een wereldwijde hyperscaler kan zijn voor fysieke aanvallen. Dit betekent niet dat ieder Nederlands of Belgisch datacenter voortaan bestand moet zijn tegen een raketinslag. Wel moeten organisaties opnieuw beoordelen welke fysieke dreigingen relevant zijn voor hun dienstverlening en welke maatregelen nodig zijn om de continuïteit te waarborgen.
Bovendien hoeft een aanvaller helemaal niet het datacenter zelf te raken. Een aanval op een elektrisch onderstation kan meerdere datacenters tegelijkertijd treffen. Noodstroomaggregaten kunnen de elektriciteitsvoorziening tijdelijk overnemen, maar blijven afhankelijk van brandstof en bevoorrading. Iets vergelijkbaars geldt voor netwerkverbindingen. Een datacenter kan over meerdere glasvezelaansluitingen beschikken, maar wanneer die uiteindelijk hetzelfde fysieke tracé of knooppunt gebruiken, kan één aanval voldoende zijn om de connectiviteit te verstoren.
Ook geografische redundantie biedt niet automatisch bescherming. Twee datacenters kunnen afhankelijk zijn van dezelfde regionale elektriciteitsinfrastructuur, telecomaanbieder of logistieke keten. Wat op papier onafhankelijke voorzieningen lijken, kan in de praktijk één gedeeld risico vormen.
Een Tier IV-datacenter is geen bunker
De Tier-classificatie van het Uptime Institute is al jarenlang een belangrijke maatstaf voor beschikbaarheid. Bij Tier III staat “concurrent maintainability” centraal: onderhoud, uitval of storing moet mogelijk zijn zonder de IT-dienstverlening te onderbreken. Tier IV gaat verder met “fault tolerance”, waarbij een afzonderlijke storing in de relevante infrastructuur niet tot uitval mag leiden.
Maar een Tier IV-datacenter is daarmee nog geen bunker. De classificatie richt zich primair op de betrouwbaarheid van de technische infrastructuur. Ze biedt geen algemene garantie tegen oorlogshandelingen, sabotage, raketinslagen of grootschalige verstoringen van externe infrastructuur. Ook Ansi/TIA-942, dat onder meer de fysieke datacenterfaciliteiten en telecominfrastructuur behandelt, biedt geen absolute bescherming tegen dergelijke scenario’s.
Westerhoff stelt daarom terecht de vraag: ‘Zijn de standaarden van vandaag toereikend voor de risico’s van morgen?‘ Dat maakt de bestaande classificaties niet minder waardevol. Het betekent echter wel dat aanvullende eisen nodig kunnen zijn om digitale dienstverlening tegen nieuwe dreigingen te beschermen.
Met NIS2 en CER wordt weerbaarheid bestuurlijke verantwoordelijkheid
Die discussie sluit aan bij de Europese NIS2-richtlijn. Datacenters en aanbieders van cloudcomputingdiensten behoren expliciet tot de sector digitale infrastructuur waarop deze regelgeving zich richt. Vooral artikel 21 is relevant. Daarin worden bedrijfscontinuïteit, back-upbeheer, herstel na incidenten en crisismanagement genoemd als onderdelen van de vereiste risicobeheersmaatregelen. Daarbij moeten organisaties rekening houden met relevante risico’s voor hun netwerk- en informatiesystemen, inclusief de fysieke omgeving.
NIS2 schrijft niet voor dat datacenters ondergronds moeten worden gebouwd of bestand moeten zijn tegen droneaanvallen. Wel moeten organisaties relevante fysieke dreigingen meenemen in hun risicoanalyse en passende maatregelen treffen. Bestuurders moeten deze maatregelen goedkeuren en toezicht houden op de uitvoering.
Daarnaast is de Europese Critical Entities Resilience-richtlijn (CER) relevant. Deze richt zich op de bredere weerbaarheid van kritieke entiteiten tegen onder meer natuurrampen, sabotage en terroristische dreigingen. CER noemt datacenterdiensten expliciet, maar voor digitale infrastructuur gelden bijzondere uitzonderingen om overlap met NIS2 te voorkomen. De fysieke beveiliging van netwerk- en informatiesystemen wordt voor deze sector in belangrijke mate via NIS2 geregeld.
Nederland heeft CER omgezet in de Wet weerbaarheid kritieke entiteiten en België via de wet van 19 december 2025 betreffende de weerbaarheid van kritieke entiteiten. Welke verplichtingen voor een individuele organisatie gelden, hangt onder meer af van de wettelijke criteria en eventuele aanwijzing als kritieke entiteit.
De boodschap is echter duidelijk: continuïteit is niet uitsluitend een technische verantwoordelijkheid, maar hoort ook op de bestuurstafel.
Is digitale soevereiniteit voldoende?
De fysieke weerbaarheid van datacenters raakt ook aan een andere Europese discussie: digitale soevereiniteit. Overheden en bedrijven zoeken naar mogelijkheden om hun afhankelijkheid van Amerikaanse technologiebedrijven te verminderen. Europese cloudproviders kunnen daarin een belangrijke rol spelen. Maar bieden zij automatisch meer zekerheid wanneer een datacenter wordt uitgeschakeld?
Dat is allerminst vanzelfsprekend. De robuustheid van een cloudomgeving wordt niet bepaald door de nationaliteit van de leverancier, maar door de architectuur, geografische spreiding, onafhankelijkheid van infrastructuur en uitwijkmogelijkheden. Een grote Amerikaanse hyperscaler kan daarin over meer mogelijkheden beschikken dan een kleinere Europese aanbieder. Andersom kunnen Europese providers eveneens uitstekend presteren.
Daarmee ontstaat een belangrijk onderscheid tussen digitale soevereiniteit en digitale autonomie. Soevereiniteit gaat over zeggenschap, rechtsbevoegdheid en controle over technologie en gegevens. Autonomie gaat ook over het vermogen om zelfstandig keuzes te maken en daadwerkelijk van infrastructuur of leverancier te veranderen.
Een organisatie kan volledig kiezen voor een Europese cloudprovider, maar toch kwetsbaar blijven wanneer haar applicaties zo sterk afhankelijk zijn van diens technologie dat een overstap vrijwel onmogelijk is. Westerhoff pleit daarom onder meer voor ‘meer spreiding over locaties en rechtsgebieden.’
Standaardisatie wordt kwestie van bedrijfscontinuïteit
De vervolgvraag is dan echter wel: wat heeft een organisatie aan een alternatieve provider als zij haar applicaties en gegevens daar niet snel genoeg naartoe kan verplaatsen? Dan moeten we gaan kijken naar bijvoorbeeld standaardisatie, modulariteit en interoperabiliteit. Dat zijn dan niet langer uitsluitend middelen om softwareontwikkeling eenvoudiger te maken of vendor lock-in te beperken. Ze kunnen ook bijdragen aan de continuïteit van bedrijfskritische processen.
Door applicaties op te bouwen uit gestandaardiseerde componenten, open interfaces en breed ondersteunde technologieën wordt het eenvoudiger om ze op alternatieve infrastructuur te laten functioneren. Containers, Kubernetes, infrastructure-as-code en open databaseformaten kunnen daarbij helpen.
Maar ook een gecontaineriseerde applicatie is niet automatisch “portable”. Deze kan nog steeds afhankelijk zijn van cloudspecifieke databases, identity-diensten of opslagvoorzieningen. Bovendien moeten gegevensreplicatie, beveiliging, netwerkverbindingen en configuraties geregeld zijn. De Europese Data Act probeert deze ontwikkeling te ondersteunen door belemmeringen bij het overstappen tussen cloudaanbieders te verminderen. Zo moeten vanaf 12 januari 2027 in beginsel ook overstapkosten, waaronder bepaalde kosten voor uitgaand dataverkeer, verdwijnen.
Dat bevordert keuzevrijheid, maar garandeert geen onmiddellijke failover. Daarvoor zijn technische voorbereiding en regelmatig geteste herstelprocedures noodzakelijk.
Wat als iedereen tegelijk wil uitwijken?
Zelfs wanneer workloads verplaatsbaar zijn, is continuïteit nog niet gegarandeerd. Want wat gebeurt er wanneer een volledige cloudregio uitvalt en honderden klanten tegelijkertijd naar alternatieve infrastructuur willen uitwijken? Dan kunnen tekorten ontstaan aan rekencapaciteit, opslag, netwerkcapaciteit en vooral gespecialiseerde GPU’s. Ook het overbrengen van grote hoeveelheden gegevens kan meer tijd kosten dan acceptabel is.
Voor bedrijfskritische toepassingen kan het daarom noodzakelijk zijn capaciteit vooraf te reserveren of een tweede omgeving voortdurend beschikbaar te houden. Dat brengt kosten met zich mee, maar voorkomt afhankelijkheid van capaciteit die tijdens een grootschalige calamiteit misschien niet beschikbaar is. De Europese Digital Operational Resilience Act (Dora) stelt aan financiële instellingen die onder deze verordening vallen al de nodige eisen. Bijvoorbeeld ten aanzien van exitstrategieën voor ict-diensten die kritieke of belangrijke functies ondersteunen. Die strategieën moeten onder meer gedocumenteerd en voldoende getest zijn. Zoals we nu in het Midden-Oosten en Rusland hebben gezien, wordt die benadering ook buiten de financiële sector steeds relevanter.
Van beschikbaarheid naar overlevingsvermogen
De discussie die Westerhoff aanzwengelt, gaat uiteindelijk verder dan de bescherming van afzonderlijke datacenters. Het gaat om het vermogen van digitale diensten om te blijven functioneren – ook als essentiële onderdelen van de infrastructuur wegvallen.
Daarbij zijn drie vormen van weerbaarheid van belang: fysieke weerbaarheid van het datacenter en zijn omgeving, weerbaarheid van architectuur, applicaties en gegevens, en operationele weerbaarheid om daadwerkelijk en met de gewenste snelheid naar een andere omgeving over te schakelen.
Die drie versterken elkaar, maar zijn niet onderling uitwisselbaar. Een uitstekend beschermd datacenter helpt weinig wanneer een cruciaal extern netwerkknooppunt uitvalt. Een makkelijk te verplaatsen applicatie heeft slechts beperkt waarde als op de uitwijklocatie geen toegang tot actuele gegevens bestaat. En een alternatieve omgeving biedt onvoldoende zekerheid wanneer de omschakeling nooit is getest.
Voor datacentermanagers betekent dit dat fysieke bescherming, locatiekeuze en afhankelijkheden van externe infrastructuur opnieuw moeten worden beoordeeld. Dat vraagt applicatiearchitecturen, dataopslag en herstelprocedures die grootschalige uitval daadwerkelijk kunnen opvangen.
Niet iedere organisatie zal dezelfde investeringen behoeven te doen. Een datacenter dat vitale infrastructuur ondersteunt, kent andere risico’s dan een faciliteit voor minder kritieke toepassingen. Maar iedere organisatie zou moeten weten wat er gebeurt wanneer het primaire datacenter voor langere tijd verloren gaat.Westerhoff sluit zijn LinkedIn-bericht af met een vraag die opnieuw centraal zou moeten staan: ‘Blijft it draaien als het onverwachte toeslaat?‘
Dat is voor datacentermanagers, cio’s en bestuurders wellicht de belangrijkste vraag. Niet alleen: hoe voorkomen we dat ons datacenter uitvalt? Maar vooral: kunnen onze bedrijfskritische prociessen blijven functioneren wanneer het datacenter, of een essentieel onderdeel van de infrastructuur daaromheen, plotseling niet meer beschikbaar is? Echte digitale weerbaarheid begint dan ook niet bij de zekerheid dat infrastructuur nooit uitvalt, maar bij de mogelijkheid om de dienstverlening voort te zetten wanneer dat toch gebeurt.
