Een gebouwbeheersysteem beveiligen begint met weten welke installaties in uw gebouw digitaal gekoppeld zijn en wie ze beheert. Koeling, verwarming, toegangscontrole, camera’s, zonnepanelen en laadpalen worden vaak op afstand beheerd door een installateur, en precies daar zit het risico.
Per installatie stelt u drie vragen: is het beheerscherm vanaf het internet bereikbaar, staat er nog een standaardwachtwoord op, en krijgt het toestel nog updates? De antwoorden en de afspraken over wie erop mag, horen in het onderhoudscontract.
In het kort
- Een gebouwbeheersysteem stuurt verwarming, ventilatie, koeling, verlichting en toegang aan. Ook losse installaties zoals camera’s, omvormers en laadpalen hangen vaak aan het internet.
- Het risico ontstaat meestal door drie dingen samen: een beheerscherm dat vanaf het internet bereikbaar is, een gekend wachtwoord en software zonder updates.
- Claroty vond in 2025 bij 75 procent van 529 onderzochte organisaties toestellen in het gebouwbeheer met gekende, actief misbruikte kwetsbaarheden.
- De installateur beheert de installatie, maar de eigenaar draagt de gevolgen. Leg beveiliging daarom vast in het onderhoudscontract.
Welke installaties in uw gebouw zijn digitaal gekoppeld?
Meer dan de meeste zaakvoerders denken. Een gebouwbeheersysteem regelt in een kantoor, magazijn of winkel de verwarming, ventilatie en airco, en vaak ook verlichting en toegangscontrole. Daarnaast staan er installaties die niet op het centrale systeem hangen maar wel een eigen verbinding hebben: de koelcel, de camerarecorder, het alarm, de lift met telebewaking, de omvormer van de zonnepanelen en de laadpalen op de parking.
Die koppeling is zelden een fout. Een koeltechnicus wil een storing op afstand oplossen, de fabrikant van de omvormer toont de opbrengst in een app, en de liftfirma krijgt een melding als de lift stilvalt. In Vlaanderen komen er zelfs meer gekoppelde gebouwen bij: niet-residentiële gebouwen met een verwarmings-, ventilatie- of koelsysteem boven 290 kW moeten sinds eind 2025 een gebouwautomatisering- en controlesysteem hebben, en uiterlijk eind 2029 zakt die drempel naar 70 kW, volgens de Vlaamse overheid. Die verplichting gaat over energie, niet over beveiliging.
Waarom zijn die installaties een risico?
Omdat ze gebouwd zijn om bereikbaar te zijn, en omdat ze lang meegaan. Drie dingen komen telkens terug:
- Het beheerscherm staat open op het internet. Claroty onderzocht in 2025 meer dan 467.000 toestellen in gebouwbeheersystemen bij 529 organisaties. Bij 75 procent van die organisaties draaiden toestellen met kwetsbaarheden die aanvallers actief misbruiken.
- Er staat nog een standaardwachtwoord op. Integratoren laten systemen soms achter met het wachtwoord uit de handleiding, meldt beveiligingsbedrijf Pentest Partners. Wie de handleiding kan downloaden, kan dan aanmelden.
- De software krijgt geen updates meer. Een koelregelaar of camerarecorder gaat jaren mee, langer dan de ondersteuning van de fabrikant.
Wat er dan kan gebeuren, toonde november 2026: in de nacht van 1 op 2 november liepen koelingen warm in tientallen Belgische winkels van Delhaize, Carrefour en Spar. Volgens leverancier Danfoss waren de getroffen installaties rechtstreeks via het internet bereikbaar. Wat er gebeurde en wat dat voor uw eigen koeling betekent, leest u in ons artikel over de cyberaanval op de koeling van supermarkten.
Het risico loopt ook via de leverancier zelf. Bij de Amerikaanse retailer Target raakten aanvallers in 2013 binnen met de inloggegevens van een koel- en HVAC-leverancier, volgens onderzoeksjournalist Brian Krebs. Die leverancier zei dat zijn toegang enkel voor facturatie en projectbeheer diende. Hoe een probleem bij een leverancier uw bedrijf kan raken, beschrijven we in ons artikel over supply-chainaanvallen.
Welke vragen stelt u uw installateur? Checklist per installatie
Deze tabel is het werkinstrument van dit artikel. Neem ze mee naar het volgende onderhoud, of stuur ze vooraf naar elke installateur die een installatie in uw gebouw beheert.
| Installatie | Typisch risico | Vraag aan de installateur |
|---|---|---|
| Koeling en vriescellen | Beheerscherm van de koelregelaar open op het internet, standaardwachtwoord, regelaar zonder updates. Gevolg: de temperatuur loopt op en de temperatuurregistratie raakt verloren. | Is de regelaar vanaf het internet bereikbaar? Welk merk, type en softwareversie? Krijgt hij nog updates? |
| Verwarming, ventilatie en airco | Leverancier met toegang tot het systeem, beheerinterface op het internet, gekende kwetsbaarheden. | Hoe meldt de technicus aan, en met welk account? Wie heeft nog meer toegang? |
| Toegangscontrole | Controller met kwetsbaarheden of vaste wachtwoorden. Misbruik geeft fysieke toegang tot het gebouw. | Draait de controller op ondersteunde software? Staan er vaste of standaardwachtwoorden op? |
| Camera’s en recorders | Standaardwachtwoorden. Zulke toestellen werden in 2016 massaal ingezet in het Mirai-botnet. | Zijn alle standaardwachtwoorden vervangen? Krijgen de recorders nog updates? |
| Alarm | Inschakelen of uitschakelen op afstand door meldkamer of installateur; accounts die blijven bestaan na het einde van het contract. | Wie kan op afstand in- of uitschakelen? Wordt dat gelogd? |
| Liften | Telebewaking door de liftfirma via een eigen verbinding. | Wie beheert die verbinding, en wie kan erop? |
| Zonnepanelen en omvormers | Kwetsbaarheden in omvormers en beheer via een cloudaccount bij de fabrikant. | Hangt de omvormer rechtstreeks aan het internet? Op wiens naam staat het cloudaccount? Updates? |
| Laadpalen | Beheer via een platform van een laadpaaloperator; zwakke aanmelding in sommige platformen. | Wie beheert de laadpalen en het platform? Welke versie van het beheerprotocol draait er? |
Twee rijen verdienen extra uitleg. Voor omvormers vond Forescout in maart 2025 46 kwetsbaarheden bij drie grote fabrikanten (Sungrow, Growatt en SMA), die intussen gedicht zijn. Voor laadpalen vonden onderzoekers van Concordia University en Hydro-Québec in 2025 zes onbekende kwetsbaarheden in 16 werkende beheerplatformen. Het punt is niet dat deze merken onveilig zijn, maar dat ook deze toestellen updates nodig hebben.
Twijfelt de installateur over een antwoord, of weet niemand het? Dan weet u meteen waar u moet beginnen.
Wat hoort in het onderhoudscontract?
De meeste onderhoudscontracten regelen wanneer de technicus langskomt, niet wie op afstand mag aanmelden. CyberFundamentals, het Belgische kader van het Centrum voor Cybersecurity België, vraagt in maatregel PR.MA-2 dat onderhoud op afstand goedgekeurd, gelogd en beveiligd is tegen onbevoegde toegang. Vertaald naar het contract:
- Per technicus een eigen account. Geen gedeelde login of standaardaccount van de installateur.
- Aanmelden met tweestapsverificatie, op afspraak of na goedkeuring, en de sessie afgesloten na de interventie.
- Logging die u kunt opvragen: wie meldde wanneer aan en wat werd er gewijzigd.
- Updates: wie installeert ze, hoe snel na een beveiligingsupdate van de fabrikant, en wat gebeurt er met een toestel dat geen updates meer krijgt.
- Wachtwoorden: standaardwachtwoorden vervangen bij oplevering, en niet op het toestel of in de handleiding laten staan.
- Melden in twee richtingen: de installateur verwittigt u bij een incident of verdachte aanmelding, en omgekeerd.
- Einde contract: de accounts van de installateur worden afgesloten.
Dat laatste punt wordt vaak vergeten: accounts van een installateur blijven volgens de praktijkbronnen geregeld bestaan nadat het contract al afgelopen is. Voor wachtwoorden en accounts kunt u dezelfde regels gebruiken als voor uw eigen IT; zie ons artikel over een wachtwoordbeleid voor bedrijven en over toegangsbeheer met minimale rechten.
Welke regels gelden voor gebouwinstallaties?
| Regel | Voor wie | Vanaf wanneer |
|---|---|---|
| Gebouwautomatisering- en controlesysteem in Vlaanderen | Niet-residentiële gebouwen boven 290 kW, later boven 70 kW | 31 december 2025; uiterlijk 31 december 2029 voor 70 kW |
| Cybersecurity-eisen in de radioapparatuurrichtlijn | Fabrikanten van draadloze toestellen die met het internet verbinden | 1 augustus 2025 |
| Cyber Resilience Act: meldplicht | Fabrikanten van producten met digitale elementen | 11 september 2026 |
| Cyber Resilience Act: volledige toepassing | Fabrikanten, importeurs en verdelers | 11 december 2027 |
Die Europese regels leggen eisen op aan fabrikanten van nieuwe producten. Een koelregelaar of camerarecorder die al jaren in uw gebouw hangt, valt er niet onder. Voor wat er al staat, blijft u als eigenaar zelf aan zet. Voor de normen geldt hetzelfde: IEC 62443 wordt ook in gebouwautomatisering gebruikt, vooral door fabrikanten die hun producten laten certificeren. U kunt de installateur vragen of het systeem volgens die norm ontwikkeld is, maar u hoeft ze zelf niet te kennen.
De installateur beheert het toch?
Dat is het sterkste tegenargument, en het klopt deels. De installateur kent het systeem, heeft de toegang en is verantwoordelijk voor het onderhoud. Een zaakvoerder kan geen koelregelaar beveiligen.
Maar de gevolgen liggen bij de eigenaar: de voorraad, de stilstand, het bewijs van de koelketen. Na het incident van november 2026 legde Danfoss de verantwoordelijkheid volgens HLN eerder bij de klanten, omdat het hen op 13 oktober had gevraagd de systemen van het internet los te koppelen. Ook het argument “ons gebouw is te klein” houdt geen stand: in Nederland waren volgens Danfoss vooral slagerijen en buurtwinkels getroffen. Aanvallers zoeken op het internet naar bereikbare toestellen, niet naar bedrijfsnamen.
Uw rol is dus niet om het zelf te doen, maar om de juiste vragen te stellen en de antwoorden te laten vastleggen. De tabel en het contract hierboven zijn daarvoor genoeg. Gaat het over productiemachines op de werkvloer in plaats van het gebouw, dan is het verschil tussen IT- en OT-security de betere vertrekbasis.
Wat staat er in uw gebouw open?
Met een pentest van uw infrastructuur gaat Cyberplan na welke systemen van uw bedrijf vanaf het internet bereikbaar zijn, ook beheerschermen van technische installaties die niemand op de lijst had. Voor installaties op de werkvloer werken we zoals beschreven in ons artikel over een OT-pentest. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Plan een kennismakingsgesprek.
Veelgestelde vragen
Kan een gebouwbeheersysteem gehackt worden?
Ja, als het beheerscherm vanaf het internet bereikbaar is, er nog een standaardwachtwoord op staat of de software geen updates meer krijgt. Een aanvaller kan dan instellingen wijzigen. Dat gebeurde in november 2026 bij koelinstallaties van tientallen Belgische winkels, waar de temperatuur in koel- en vriesinstallaties opliep.
Welke installaties in een bedrijfsgebouw zijn een cyberrisico?
Elke installatie met een netwerkaansluiting of beheerscherm: koeling, verwarming en ventilatie, toegangscontrole, camera’s en recorders, alarm, liften, omvormers van zonnepanelen en laadpalen. Het risico zit zelden in het toestel alleen, maar in de combinatie van bereikbaarheid via het internet, een gekend wachtwoord en software zonder updates.
Wat zet ik in het onderhoudscontract met mijn installateur?
Leg vast dat elke technicus een eigen account heeft met tweestapsverificatie, dat aanmeldingen op afstand gelogd worden, wie updates installeert en hoe snel, dat standaardwachtwoorden bij oplevering vervangen worden, dat incidenten gemeld worden en dat de accounts van de installateur afgesloten worden als het contract stopt.
Is een gebouwbeheersysteem verplicht in Vlaanderen?
Voor niet-residentiële gebouwen met een verwarmings-, ventilatie- of koelsysteem boven 290 kW geldt in Vlaanderen sinds eind 2025 een verplichting voor een gebouwautomatisering- en controlesysteem. Uiterlijk eind 2029 zakt die drempel naar 70 kW. De verplichting gaat over energie en stelt zelf geen eisen aan de beveiliging.
Geldt de Cyber Resilience Act voor mijn bestaande installaties?
Nee. De Cyber Resilience Act legt eisen op aan fabrikanten van producten die op de Europese markt komen, met een meldplicht sinds 11 september 2026 en volledige toepassing op 11 december 2027. Installaties die al in uw gebouw hangen, vallen er niet onder. Voor die toestellen blijft u als eigenaar zelf verantwoordelijk.
