Steeds meer organisaties leggen een eigen mobiel netwerk aan op hun terrein. Niet omdat het publieke netwerk te traag is, maar omdat het te onvoorspelbaar is op het moment dat het ertoe doet.
Deze pagina legt uit wat een privaat netwerk is, wanneer het zin heeft, en wat er bij de aanleg komt kijken. Zonder verkoopverhaal: ook wanneer het géén goede keuze is staat erbij.
In één alinea
Een private LTE-netwerk wordt in de praktijk vaak PLTE genoemd; op 5G spreekt men van private 5G of P5G. Het gaat om dezelfde techniek die uw provider gebruikt, maar dan opgesteld op uw eigen terrein en beheerd door uzelf of door een partij die u daarvoor inschakelt. U heeft een eigen core, geeft eigen SIM-kaarten uit en bepaalt zelf wie voorrang krijgt. Het verkeer verlaat uw terrein niet, tenzij u dat wilt.
Waaruit het bestaat
Radio. Een of meer basisstations met antennes, geplaatst op basis van een meting in uw gebouwen en op uw terrein. Niet op basis van een dekkingskaart, want die is berekend op open terrein en zegt niets over uw kelder of uw tankput.
Core. Het hart van het netwerk: het bepaalt welke SIM toegang krijgt, welke dienst welke prioriteit heeft en waar het verkeer heen gaat. Deze staat bij u in de serverruimte, niet bij een provider.
SIM-kaarten. U geeft ze zelf uit en trekt ze zelf in. Raakt iemand een toestel kwijt, dan blokkeert u het profiel binnen seconden, zonder tussenkomst van een leverancier.
Toepassingen. Alles wat over IP loopt: spraak, alarmering, camerabeelden, sensoren, voertuigvolgsystemen, meetapparatuur.
Wanneer het zin heeft
Een privaat netwerk is de verstandige keuze wanneer minstens één van deze punten op u van toepassing is.
De dekking klopt niet waar het telt. Kelders, sluizen, tankputten, machinehallen, dikke betonnen wanden met wapening. Publieke netwerken zijn ontworpen op bevolkingsdichtheid; uw proces zit precies waar niemand woont.
Uitval raakt uw primaire proces. Als een storing bij een operator betekent dat uw alarmering niet meer werkt, heeft u een afhankelijkheid die u niet kunt beheersen en niet kunt aantonen.
U deelt capaciteit met de verkeerde mensen. Op een publieke cel concurreert uw verkeer met dat van iedereen in de omgeving. Bij een incident is dat precies de groep die tegelijk gaat bellen.
U moet kunnen aantonen waar gegevens langs gaan. Bij camerabeelden, persoonsalarmering of bedrijfsgevoelige informatie is dat een terugkerende vraag van toezichthouders en verzekeraars.
U wilt één infrastructuur voor meerdere toepassingen. Elke dienst die u eraan toevoegt, verlaagt de kostprijs per dienst.
Wanneer het géén goede keuze is
Voor kantoorwerk binnen één gebouw volstaat goed ingerichte wifi meestal ruimschoots, en is die goedkoper in aanleg en beheer.
Is uw probleem een verouderd toestellenpark, een onduidelijk beheerproces of een trage applicatie, dan lost een nieuw netwerk daar niets van op.
En op een klein terrein zonder kritische processen wegen de kosten zelden op tegen de baten. Dat zeggen wij liever vooraf dan achteraf.
Wifi, DECT of privaat netwerk
Wifi is goedkoop en snel, maar de overdracht tussen accesspoints is de zwakke plek: een toestel dat zich verplaatst, verliest kort de verbinding. Voor een lopend gesprek of een alarm is dat het verkeerde moment.
DECT werkt goed voor spraak binnen een gebouw, maar is een aparte infrastructuur naast alles wat u al heeft, en draagt geen data van betekenis.
Een privaat netwerk doet spraak, alarmering en data over één infrastructuur, met naadloze overdracht tussen cellen en met prioriteit die u zelf instelt. De aanleg kost meer; het beheer is eenvoudiger omdat u één netwerk heeft in plaats van drie.
Welk spectrum, en heeft u een vergunning nodig
Dit is het onderdeel waar de meeste misverstanden zitten. In Nederland zijn er twee routes.
1800 MHz, vergunningvrij. Binnen de banden 1780–1785 en 1875–1880 MHz mag u zonder vergunning een eigen netwerk opzetten, wel onder gebruiksvoorwaarden en met beperkt zendvermogen. Deze band dringt goed door beton, kelders en sluizen. Capaciteit is voldoende voor alarmering, spraak, sensoren en camerabeelden van beperkte omvang. Direct te realiseren.
3,5 GHz, perceelgebonden vergunning. Binnen 3400–3450 en 3750–3800 MHz vraagt u een vergunning aan bij de Rijksinspectie Digitale Infrastructuur, geldig tot eind 2040. Ruimere capaciteit, tot tweemaal 50 MHz, maar zwakkere doordringing: u heeft een fijnmaziger antennenet nodig. Er gelden verplichtingen rond ingebruikname en afstemming met omliggende vergunninghouders.
Voor de meeste toepassingen in zorg, justitie en industrie volstaat 1800 MHz. Vraag om 3,5 GHz wanneer u hoge datadichtheid nodig heeft, bijvoorbeeld bij veel gelijktijdige videostromen.
PLTE of P5G: de frequentie bepaalt, niet de generatie
Een hardnekkig misverstand is dat 5G verder of beter zou doordringen dan 4G. Dat is onjuist. Doordringing is een eigenschap van de frequentie, niet van de generatie. 5G op 1800 MHz dringt even ver door als 4G op 1800 MHz.
Wij bouwen daarom vaak op 4G: het spectrum is vergunningvrij beschikbaar, de apparatuur voor alarmering en spraak is volwassen, en de keten van toestel tot centrale post heeft zich in de praktijk bewezen.
P5G is geen vervanging maar een volgende laag. Dezelfde core, dezelfde bekabeling, dezelfde opstelpunten. Uitbreiden is later een kwestie van radio toevoegen, geen nieuw project.
Wat P5G wél toevoegt: meer gelijktijdige verbindingen, hogere datadichtheid, lagere vertraging, en de mogelijkheid om het netwerk op te delen in aparte schijven per dienst. Dat telt zodra er veel videostromen overheen gaan of wanneer u apparatuur aanstuurt waarbij vertraging meeweegt.
De radio is de helft van het werk
Hier zit een verschil dat pas opvalt als het netwerk draait.
Een privaat netwerk aanleggen vraagt twee vakgebieden. Het eerste is radio: meten, antennes plaatsen, cellen laten overlappen, zendvermogen afstemmen. Daar zijn partijen in gespecialiseerd, en die doen dat goed.
Het tweede is netwerktechniek. Wat er over die radio loopt is gewoon IP-verkeer, en dat moet ingericht worden: segmentatie tussen diensten, routering naar uw bestaande omgeving, prioriteitsklassen die daadwerkelijk worden afgedwongen, adressering die niet botst met wat u al heeft, en koppelingen met uw meldkamer, oproepsysteem of beheeromgeving.
Wij komen uit de ICT en werken al jaren met telecom. Die combinatie is de reden dat wij beide lagen kunnen inrichten in plaats van de radio op te leveren en het netwerkdeel bij u over de schutting te gooien.
Wat dat in de praktijk oplevert
Prioriteit die werkt. Voorrang voor alarmverkeer is geen instelling die je één keer aanvinkt. Het moet doorlopen van het toestel via de radio en de core tot in uw eigen netwerk. Breekt die keten ergens, dan wacht uw alarm alsnog op een video-upload.
Scheiding die standhoudt. Alarmering, camerabeelden, sensoren en beheerverkeer horen gescheiden te blijven. Op netwerkniveau, niet alleen in het radioplan. Een sensor is een computer met een verouderd besturingssysteem; die hoort niet bij uw werkplekken te kunnen.
Koppelingen die kloppen. Een netwerk dat perfect dekt maar niet praat met uw bestaande systemen, heeft u niets aan. Wij richten die koppelingen zelf in en verwijzen niet naar een derde partij.
Beveiliging vanaf het ontwerp. Toegang op SIM-identiteit in plaats van een wachtwoord, versleuteld verkeer, volledige logging, en een verloren toestel dat centraal geblokkeerd wordt. Dat werkt alleen als iemand het zo bedoeld heeft toen het netwerk werd getekend. Zie ook cybersecurity.
Aantoonbaarheid. Onder de zorgplicht uit de Cyberbeveiligingswet moet u kunnen laten zien hoe uw netwerk is ingericht en welke maatregelen er gelden. Dat vraagt documentatie op beide lagen.
Het gevolg: u haalt eruit wat er in zit. Wij zien regelmatig netwerken die technisch prima zijn aangelegd maar op halve kracht draaien, omdat de netwerkkant nooit is afgemaakt. Zie second opinion en projectovername.
Wat wij aantreffen bij bestaande netwerken
Wij worden regelmatig gevraagd een bestaand privaat netwerk door te lichten. Wat daar naar boven komt, is opmerkelijk consistent.
Standaardwachtwoorden die nooit zijn gewijzigd. Op beheerinterfaces van core, basisstations en randapparatuur. Bij oplevering blijkbaar overgeslagen, en daarna keek er niemand meer naar.
Beheerinterfaces die van buitenaf bereikbaar zijn. Bedoeld voor onderhoud op afstand, in de praktijk benaderbaar voor iedereen die weet waar hij moet kijken. Vaak zonder tweefactorauthenticatie en zonder beperking op IP-adres.
Geen scheiding tussen diensten. Alarmering, camerabeelden, sensoren en beheerverkeer op één plat netwerk. Wie ergens binnenkomt, komt overal.
Beheertoegang die alleen bij de leverancier ligt. De organisatie bezit het netwerk maar kan er zelf niet bij. Wat er gebeurt als die leverancier verdwijnt, hebben wij in dit project van dichtbij meegemaakt.
Logging die niet wordt bewaard of niet wordt gelezen. Zonder logging kunt u na een incident niet vaststellen wat er is gebeurd, en onder de zorgplicht uit de Cyberbeveiligingswet is dat precies wat er gevraagd wordt.
Waarom dit misgaat
Zelden door onkunde. Meestal doordat het netwerk is opgeleverd door een partij die goed is in radio en waarvoor beveiliging geen onderdeel van de opdracht was. Er stond in het bestek dat er dekking moest zijn, niet hoe het beheerd en afgeschermd moest worden.
Daar komt bij dat een privaat netwerk vaak wordt gezien als telecom en niet als ICT. Het valt daardoor buiten het patchbeleid, buiten de wachtwoordkluis en buiten de periodieke controle waar de rest van de infrastructuur wél onder valt.
Wat u zelf kunt nagaan
Vijf vragen die u vandaag aan uw beheerder of leverancier kunt stellen:
- Wie heeft beheertoegang tot de core, en zijn de standaardwachtwoorden gewijzigd?
- Is die beheertoegang vanaf internet bereikbaar, en zo ja, waarom?
- Zijn alarmering, video, sensoren en beheer van elkaar gescheiden?
- Hebben wij zelf de inloggegevens en de documentatie, of alleen de leverancier?
- Wordt er gelogd, waar staan die logs, en wie kijkt ernaar?
Blijft een van deze vragen onbeantwoord, dan is dat op zichzelf het antwoord.
Wij toetsen dit als onderdeel van een second opinion of een penetratietest, en leggen de bevindingen vast in een rapport dat van u is.
Wat het kost
Dat hangt af van drie dingen: de oppervlakte die gedekt moet worden, de bouwkundige situatie en het aantal toepassingen dat erover loopt.
De verstandigste manier om erachter te komen is niet een offerte opvragen maar laten meten. Een meting op locatie levert een radioplan met werkelijke waarden op, en daaruit volgt het aantal opstelpunten. Dat aantal bepaalt de investering.
Reken de business case bovendien niet in bandbreedte maar in stilstand: wat kost een uur uitval, en hoe vaak is dat het afgelopen jaar voorgekomen. Dat getal kent u meestal zelf al.
Hoe een traject verloopt
Schouw en meting. Bouwtekeningen, radiopredictie en een meting in de ruimten die er voor u toe doen. Kelder en sluis eerst, niet als laatste.
Ontwerp en proefopstelling. Vaak in één vleugel of één zone, zodat meetbaar is aangetoond dat het werkt vóórdat u beslist over de rest.
Realisatie. Antenne-infrastructuur, core, SIM-uitgifte en koppelingen met bestaande systemen.
Oplevering met meetrapport. Per ruimte de gemeten waarden, zodat u kunt aantonen wat er is geleverd.
Beheer. Bewaking, jaarlijkse hermeting en uitbreiding wanneer het terrein verandert.
In de praktijk
Op een zorgpark op de Veluwe ligt sinds december 2023 een privaat netwerk dat meebeweegt met een herbouw die vijf jaar duurt: opstelpunten worden verplaatst voordat een gebouw wordt gesloopt, zodat de alarmering nooit uitvalt. Zie dat project.
Op een zorglocatie in Amsterdam is een netwerk uit 2019 dat op private 2G draaide vervangen door private LTE, zonder onderbreking van de zorgcommunicatie. Zie die migratie.
Meer weten
Uitgebreide informatie over onze aanpak staat bij private networks. Vragen over spectrum, vergunningen, kosten en beschikbaarheid staan in het kenniscentrum.
Wilt u weten wat er in uw situatie mogelijk is: wij komen meten en leveren een radioplan waarmee u verder kunt, ook als u besluit het elders te beleggen.