Januari 2026
Weet wanneer je de poort openzet
Installaties veilig laten communiceren
In de industriële wereld is het inmiddels vanzelfsprekend: elk systeem dat met de buitenwereld communiceert, wordt geleverd met gesloten communicatiepoorten. Pas nadat de beveiliging is geconfigureerd, kunnen die poorten worden geopend. Dat principe van ‘secure by default’ is daar diepgeworteld. In de wereld van pv-installaties, laadpalen en gebouwautomatisering ligt dat nog nét even anders.
Waar industriële automatisering al jaren werkt volgens duidelijke beveiligingsprincipes, loopt de gebouwde omgeving achter. Nu steeds meer apparaten in woningen en gebouwen met elkaar communiceren – denk aan Home of Building Energy Management Systems ((H)EMS), omvormers, laadpalen, opslag en verlichting – neemt het belang van een veilige basisconfiguratie sterk toe. Deze apparaten worden immers nog vaak geleverd met standaardwachtwoorden of open verbindingen. Hoe zorgen we dat ook deze systemen veilig de toekomst in gaan? En wie moet dat borgen, de fabrikant of de installateur die de systemen koppelt en configureert?
Gebrekkige basisbeveiliging
Een recente scan van de Rijksinspectie Digitale Infrastructuur (RDI) liet zien dat geen van de geteste zonnepaneelomvormers volledig voldeed aan de gehanteerde cybersecuritynormen. Veelvoorkomende problemen waren universele standaardwachtwoorden, slecht geïmplementeerde encryptie, beperkte update-mogelijkheden en openstaande communicatiepoorten. In de praktijk betekent dit dat installateurs of eindgebruikers zelf voor de beveiliging moeten zorgen – iets wat in de industriële wereld ondenkbaar is.
Securityspecialisten wijzen erop dat installateurs een juridische zorgplicht hebben om veilige ICT-systemen op te leveren. Tegelijkertijd ontbreekt een eenduidige wettelijke norm voor gebouwautomatisering. Peter Roelofsma, lector risk management en cybersecurity aan de Haagse Hogeschool en oprichter van het Cyber Security Living Lab (CSyLL), benadrukt dat installateurs over basiskennis van IT-security moeten beschikken én regelmatig getraind moeten worden. ‘We hebben in Nederland vooral ook veel mensen nodig die ervoor zorgen dat we alle ideeën en architecturen die we rond cybersecurity bedenken, ook daadwerkelijk toepassen. Precies wat we dus vaak van installateurs verwachten. Daarom werkt het CSyLL nauw samen met mbo Rijnland: om te zorgen dat er niet alleen kennis wordt ontwikkeld, maar ook praktisch wordt toegepast in het veld.’
Peter Roelofsma: ‘Hoewel fabrikanten duidelijke stappen zetten, blijft veel afhankelijk van de installateur.’
Meerlaagse beveiliging
Wie op zoek gaat naar de aanpak van cybersecurity in pv-installaties komt al snel uit bij SolarEdge. Het bedrijf past een gelaagde beveiligingsaanpak toe die begint bij de omvormer en doorloopt tot de cloud-omgeving waarin data worden verwerkt. De omvormers worden standaard geleverd zonder overbodige accounts, ondersteunen geen automatische verbindingsopties via UPnP en gebruiken ZigBee-communicatie met IEEE 802.15.4-beveiliging. Firmware-updates zijn versleuteld met een geheime encryptiesleutel, om te voorkomen dat cybercriminelen ongeautoriseerde software kunnen installeren.
De communicatie tussen omvormers en servers verloopt via SSL-versleutelde TCP-verbindingen. Dit gebeurt bovendien slechts in één richting: omvormers kunnen geen opdrachten van buitenaf ontvangen. Daarmee minimaliseert SolarEdge het risico op manipulatie.
Unieke standaardinstellingen
De pv-sector maakt op securitygebied duidelijk vooruitgang. Waar omvormers vroeger universele wachtwoorden gebruikten, kiezen fabrikanten nu steeds vaker voor unieke of verplichte wijzig-momenten bij ingebruikname. Fronius vereist bijvoorbeeld dat installateurs bij het opstarten van een nieuwe Datamanager-kaart zelf een wachtwoord instellen via het inverter-display. Enphase koppelt de admin-toegang aan een wachtwoord op basis van het serienummer van het apparaat – per stuk uniek, al blijft het voorspelbaar. Schneider Electric gaat nog een stap verder: bij het Wiser-platform moeten standaardwachtwoorden direct worden vervangen, en directe internettoegang is niet toegestaan. Het beeld is helder: fabrikanten bewegen richting ‘secure defaults’, al zijn nog niet alle apparaten volledig dicht bij levering.
Matthijs van der Wel-ter Weel: ‘Bij goede segmentatie kan een cybercrimineel die in één segment weet binnen te komen, niet zomaar bij de andere segmenten komen.’
Laadpunten en GBS
Bij EV-laadpunten is ‘secure by default’ inmiddels gemeengoed. Alfen levert per laadstation een willekeurig gegenereerd wachtwoord mee, afgedrukt op een leaflet in de verpakking. Daarnaast ondersteunen de laadstations beveiligde communicatie via het OCPP-protocol, inclusief TLS-certificaten voor authenticatie en encryptie. De fabrikant zorgt zo voor de eerste beveiligingslaag, terwijl de installateur verantwoordelijk blijft voor beheer en updates.
Ook in gebouwbeheersystemen (GBS) zet de trend zich door. Tridium levert bij Niagara 4 een zogeheten ‘hardening guide’ waarin zwakke standaardwachtwoorden expliciet worden geweerd. Steeds vaker zien we ook de toepassing van BACnet/SC (Secure Connect) – een nieuwe, versleutelde versie van het BACnet-protocol voor veilige communicatie over het internet. Zonder geldige certificaten werkt de verbinding simpelweg niet.
KNX Secure biedt een vergelijkbare benadering. Elk apparaat heeft een zogeheten ‘Factory Default Setup Key’ (FDSK) waarmee bij de eerste configuratie een beveiligde verbinding wordt opgezet. Daarna worden nieuwe encryptiesleutels en certificaten gegenereerd, zodat de standaardtoegang verdwijnt. Ook professionele verlichtingssystemen bewegen in deze richting. Signify laat zijn Interact-platform certificeren volgens IEC 62443-3-3 en vereist multifactor-authenticatie. Andere leveranciers kiezen voor unieke wifi-sleutels per apparaat of voor verplichte wachtwoordwijzigingen bij de eerste inlog.
Fabrikanten bewegen richting 'secure defaults', al zijn nog niet alle apparaten dicht bij levering
Rol installateur
Toch blijft de installateur een grote rol spelen. Roelofsma: ‘Hoewel fabrikanten duidelijke stappen zetten, blijft veel afhankelijk van de installateur. In de praktijk is het dan ook nog te vaak de installateur die standaardwachtwoorden moet wijzigen, onnodige poorten moet sluiten en firmware-updates moet uitvoeren. Ook netwerksegmentatie zou door fabrikanten meer en beter gepromoot kunnen worden.’
Installateurs moeten bovendien vaak zelf certificaten beheren voor protocollen als BACnet/SC – inclusief vernieuwing en back-ups. Dat is technisch complex, zegt hij. Ook functies als multifactor-authenticatie of het vermijden van ‘port-forwarding’ vereisen kennis en zorgvuldigheid. Fabrikanten leveren handleidingen en adviezen, maar de uitvoering bepaalt uiteindelijk het beveiligingsniveau.
Het doel: systemen die standaard dicht zijn en alleen open gaan wanneer dat gecontroleerd en veilig kan.
Druk op de keten
Het vraagt al veel technisch werk dus, maar nieuwe Europese regelgeving legt de lat bovendien nog eens hoger. Met de invoering van de NIS2-richtlijn en de Cyber Resilience Act (CRA), die vanaf december 2027 van kracht wordt, komt er extra druk op fabrikanten én installateurs. De CRA verplicht leveranciers van ‘producten met digitale elementen’ tot ‘cybersecurity by design’ en ‘security by default’. Dat betekent onder meer dat universele standaardwachtwoorden verboden worden en dat fabrikanten beveiligde updates moeten aanbieden. Bovendien geldt een meldingsplicht bij kwetsbaarheden.
Hoewel niet alle woning- en gebouwautomatiseringssystemen direct onder de CRA vallen, krijgen leveranciers en installateurs er indirect mee te maken. Grote energie- en infrastructuurpartijen zullen bij aanbestedingen eisen dat hun partners aan deze eisen voldoen. Dat is precies de bedoeling van NIS2: alle partijen in de keten moeten zeker weten dat hun leveranciers en klanten veilig werken. Anders kan de verantwoordelijkheid voor een incident bij henzelf komen te liggen. Met andere woorden: ook kleinere spelers worden straks gedwongen hun beveiligingsprocessen op orde te brengen.
Segmentatie en detectie
Een cruciaal aspect van beveiliging is de manier waarop netwerkverkeer wordt gescheiden. Matthijs van der Wel-ter Weel, adviseur bij securityspecialist Orange Cyberdefense, benadrukt het belang van segmentatie: het opdelen van een netwerk in aparte zones. ‘Door het verkeer te beperken tot wat strikt noodzakelijk is, kunnen ongewenste of irrelevante datastromen worden geblokkeerd’, zegt hij. ‘Ook kan een cybercrimineel die in één segment weet binnen te komen, hierdoor bijvoorbeeld niet zomaar bij de boekhouding komen.’
Hij waarschuwt bovendien dat segmentatie met de komst van NIS2 en de Cyber Resilience Act geen nice-to-have meer is. ‘Met NIS2 en de Cyber Resilience Act wordt segmentatie een compliance-eis. Organisaties die nu niet investeren in een goed opgedeeld netwerk, lopen straks niet alleen beveiligingsrisico’s, maar ook juridische consequenties. We adviseren organisaties om hun OT-netwerken te behandelen als kritische infrastructuur. Een ongesegmenteerd gebouwbeheersysteem is vergelijkbaar met een fabriek zonder brandscheidingen – één incident kan het hele bedrijf stilleggen.’
Orange Cyberdefense adviseert daarnaast om detectiesystemen, toegangsbeheer en dreigingsanalyse te integreren in een OT-securityprogramma dat niet primair op techniek is gericht, maar juist op risico’s. Zo’n programma moet aansluiten bij erkende normen zoals NIST 800, IEC 62443 en de NIS2-vereisten. Bij grotere projecten op het gebied van OT-security is een gefaseerde implementatie bovendien essentieel. Wie dat niet doet, loopt het risico om verstoringen van productie of gebouwbeheer te veroorzaken.
Onomkeerbare ontwikkeling
De beweging richting ‘secure by default’ in woning- en gebouwautomatisering is onomkeerbaar. Toch verloopt de vooruitgang ongelijk. Waar EV-laadpunten en moderne GBS-systemen inmiddels een behoorlijk beveiligingsniveau hebben, blijven veel kleinere apparaten – vooral in de consumentensector – kwetsbaar zolang ze worden geleverd met standaardwachtwoorden of open poorten.
De komende jaren zullen regelgeving, certificering en klantverwachtingen de druk verder opvoeren. Fabrikanten moeten ervoor zorgen dat hun producten vanaf de fabriek veilig zijn. Installateurs zullen hun kennis van IT- en OT-beveiliging moeten vergroten om die veiligheid te behouden. Pas wanneer beide partijen dat waarmaken, kan ook de woning- en gebouwautomatisering voldoen aan dezelfde industriestandaard: systemen die standaard dicht zijn – en alleen open gaan wanneer dat gecontroleerd en veilig kan.
Tekst: Robbert Hoeffnagel
Fotografie: iStock/Eoneren/