Hoe veilig is het slimme gebouw? IoT van de basis tot de IT-Label inspectie

Eerst de basis: wat is IoT in een gebouw?

IoT staat voor Internet of Things: apparaten die meten, schakelen en gegevens versturen via een netwerk. In een kantoorgebouw zijn dat er vaak honderden. Denk aan:

• sensoren die meten of een ruimte bezet is, en hoe warm of benauwd het er is;
• het gebouwbeheersysteem dat verwarming, koeling, ventilatie en verlichting regelt;
• toegangspoorten, pasjeslezers en slimme sloten;
• camera's en de recorder die de beelden opslaat;
• liften, zonwering en laadpalen in de parkeergarage;
• slimme meters en de omvormers van zonnepanelen;
• printers, vergaderschermen en reserveringssystemen.

Samen maken ze een gebouw comfortabel, zuinig en makkelijk te beheren. Hoe dat werkt, leest u in IoT in vastgoed: slim gebouw simpel uitgelegd. In dit artikel gaat het om een andere vraag: hoe veilig is dat allemaal?

Waarom IoT kwetsbaar is

Een laptop krijgt elke maand updates en wordt beheerd door de IT-afdeling. Bij slimme apparaten in een gebouw gaat dat vaak anders. De meest voorkomende zwakke plekken:

• Standaardwachtwoorden. Veel apparaten worden geleverd met een wachtwoord als "admin". Dat wordt bij de installatie niet altijd veranderd.
• Geen updates. De fabrikant brengt updates uit, maar niemand installeert ze. Of de fabrikant stopt na een paar jaar met updates.
• Een lange levensduur. Een gebouw en zijn installaties gaan vaak twintig jaar mee. De software van een apparaat is vaak veel eerder verouderd.
• Geen eigenaar. De installateur plaatst het apparaat, de facilitaire dienst gebruikt het en de IT-afdeling weet er niet van. Niemand voelt zich verantwoordelijk.
• Eén gedeeld netwerk. Camera's, sensoren en laptops hangen samen aan hetzelfde netwerk. Een zwak apparaat wordt dan een deur naar de rest.
• Toegang op afstand. Leveranciers loggen van buitenaf in voor onderhoud. Als die toegang slecht is beveiligd, kan een ander dat ook.
• Onzichtbaar. Apparaten zitten in plafonds, technische ruimtes en kasten. Wat je niet ziet, controleer je ook niet.

Wat kan er misgaan?

Twee bekende voorbeelden laten zien wat er kan gebeuren.

Mirai, 2016. In oktober 2016 waren grote websites zoals Twitter, Netflix en Spotify urenlang slecht bereikbaar. De aanval kwam van honderdduizenden camera's, recorders en routers die waren overgenomen. De aanvallers kwamen binnen met een korte lijst standaardwachtwoorden. De eigenaren van de apparaten merkten er niets van.

Target, 2013. Bij de Amerikaanse winkelketen Target werden eind 2013 de gegevens van ongeveer 40 miljoen betaalkaarten gestolen. De inbrekers kwamen binnen met de inloggegevens van een leverancier van klimaatinstallaties. Die leverancier had toegang tot het netwerk voor onderhoud. Vanaf daar konden de inbrekers verder het netwerk in.

De les van beide voorbeelden: het risico zit niet in het apparaat alleen, maar in hoe het is aangesloten, wie er toegang heeft en of iemand het in de gaten houdt.

Wat zeggen de regels?

Ook de wetgever kijkt steeds vaker naar slimme apparaten:

• Cyber Resilience Act. Deze Europese wet stelt eisen aan producten met software, zoals veilige standaardinstellingen en updates. Sinds 11 september 2026 moeten fabrikanten actief misbruikte lekken melden. Vanaf 11 december 2027 gelden alle eisen. Lees meer in Cyber Resilience Act: wat betekent de CRA voor vastgoed?
• Europese eisen voor draadloze apparaten. Sinds 1 augustus 2025 moeten nieuwe draadloze apparaten met een internetverbinding aan beveiligingseisen voldoen, bijvoorbeeld over wachtwoorden.
• Cyberbeveiligingswet. Sinds 15 augustus 2026 vraagt deze wet veel organisaties om hun netwerk- en informatiesystemen te beveiligen, ook de fysieke omgeving waarin die staan. Lees meer in De Cyberbeveiligingswet en de digitale gebouwlaag.

De nieuwe regels gelden vooral voor nieuwe producten. De apparaten die nu al in een gebouw hangen, blijven de verantwoordelijkheid van de eigenaar en de gebruiker.

Zo kijkt een IT-Label inspectie naar IoT

Hoe ziet dat er in de praktijk uit? We lopen door een denkbeeldig kantoorgebouw van vier verdiepingen, met een paar huurders, een parkeergarage en een gebouwbeheersysteem. Dit is een voorbeeld, geen verslag van een echte inspectie. De stappen laten zien waar een inspecteur op let.

Stap 1: het overzicht

De inspecteur begint met een vraag aan de beheerder: welke slimme systemen zijn er, en wie beheert ze? In ons voorbeeld is er een lijst van de installaties, maar de camera's in de parkeergarage en de laadpalen staan er niet op. Die zijn later geplaatst door een andere leverancier. Een volledig overzicht is de basis van alles: wat niet op de lijst staat, wordt ook niet bijgewerkt.

Stap 2: het netwerk

Hebben de gebouwsystemen een eigen netwerk, los van het kantoornetwerk, de gasten en de andere huurders? In ons voorbeeld heeft het gebouwbeheersysteem een eigen netwerk. Maar de vergaderschermen en de printers van een huurder hangen aan hetzelfde netwerk als de laptops. Dat is een aandachtspunt.

Stap 3: de fysieke toegang

Zitten de regelkasten, de camerarecorder en de netwerkkasten achter slot? Hangen er apparaten waar iedereen bij kan? In ons voorbeeld zit de recorder van de camera's in een open kast in de fietsenstalling. Een kast op slot of een andere plek lost dat op.

Stap 4: de toegang op afstand

Hoe loggen leveranciers in voor onderhoud? Is dat afgesproken, beveiligd en vastgelegd? En kan die toegang uit als die niet nodig is? In ons voorbeeld heeft de installateur van het klimaatsysteem een vaste verbinding die altijd openstaat. Niemand weet precies wie er gebruik van maakt.

Stap 5: wachtwoorden en updates

Zijn de standaardwachtwoorden aangepast? Is er een afspraak over wie updates installeert, en hoe vaak? In ons voorbeeld zijn de wachtwoorden van het gebouwbeheersysteem aangepast, maar die van de laadpalen niet. Een afspraak over updates is er niet.

Stap 6: stroom en uitval

Wat werkt er nog als het netwerk of de stroom uitvalt? Gaan de deuren dan open of blijven ze dicht? Kunnen mensen het gebouw nog in en uit? In ons voorbeeld werken de toegangspoorten op een noodstroomvoorziening, maar de netwerkswitch die ze aanstuurt niet.

Stap 7: vastleggen

Staat alles in de documentatie? En is in de demarcatielijst vastgelegd wie waarvoor verantwoordelijk is: de eigenaar, de huurder of de leverancier? Dat voorkomt dat een probleem tussen twee partijen blijft liggen.

Aan het eind van de ronde weet de eigenaar wat goed gaat en wat beter kan. In ons voorbeeld zijn de verbeteringen eenvoudig: de ontbrekende apparaten op de lijst, een eigen netwerk voor de apparaten van de huurder, een slot op de kast, een betere afspraak met de installateur en nieuwe wachtwoorden.

Tien vragen voor eigenaar en huurder

Wilt u zelf beginnen? Loop deze vragen samen met uw beheerder of IT-partner door:

1. Is er een lijst van alle slimme systemen in het gebouw?
2. Is voor elk systeem bekend wie het beheert?
3. Hebben de gebouwsystemen een eigen netwerk?
4. Zijn huurders en gasten gescheiden van de gebouwsystemen?
5. Zijn alle standaardwachtwoorden aangepast?
6. Is er een afspraak over updates?
7. Krijgen de apparaten nog updates van de fabrikant?
8. Hoe loggen leveranciers in, en kan die toegang uit?
9. Zitten regelkasten, recorders en netwerkkasten op slot?
10. Wat werkt er nog als het netwerk of de stroom uitvalt?

Kunt u een vraag niet beantwoorden? Dan weet u waar u kunt beginnen.

Veelgestelde vragen

Is een slim gebouw minder veilig dan een gewoon gebouw?

Niet vanzelf. Een slim gebouw heeft meer apparaten aan het netwerk, en dus meer plekken om op te letten. Met een eigen netwerk voor de gebouwsystemen, goede wachtwoorden, updates en duidelijke afspraken is een slim gebouw goed te beveiligen.

Wie is verantwoordelijk voor de IoT-systemen: de verhuurder of de huurder?

Dat hangt af van de afspraken. Vaak is de eigenaar verantwoordelijk voor de gebouwsystemen, zoals klimaat en toegang, en de huurder voor de eigen apparaten. Leg dit vast in een demarcatielijst, zodat niets tussen twee partijen blijft liggen.

Moet het gebouwbeheersysteem een eigen netwerk hebben?

Dat is sterk aan te raden. Een eigen, gescheiden netwerk voorkomt dat een probleem op het kantoornetwerk ook het klimaat of de toegang van het gebouw raakt, en andersom.

Kijkt de Security Audit ook naar camera's en sensoren?

Ja. De IT-Label Security Audit kijkt naar printers, camera's en andere apparaten die onbeveiligd of onbekend op het netwerk staan. En naar de vraag of het kantoornetwerk gescheiden is van de gebouwsystemen, zoals toegang en klimaat.

Telt IoT mee voor het IT-Label?

Het IT-Label beoordeelt een gebouw op zes gebieden: connectiviteit, infrastructuur, performance, schaalbaarheid, integratie en Smart Building. Slimme gebouwsystemen horen bij integratie en Smart Building. Het IT-Label kijkt daarbij naar de digitale infrastructuur waar die systemen op draaien.

Begin bij de basis

Slimme systemen maken een gebouw beter, als de basis op orde is. Wilt u weten hoe veilig de IT en de slimme systemen in uw kantoor zijn? Vraag een Security Audit aan. Wilt u weten waar uw gebouw digitaal staat? Begin met een voorinspectie. En wilt u dat iemand de IT van uw gebouw blijvend in de gaten houdt? Lees meer over IT-Label Smart Control.

Bronnen: Europese Commissie, Cyber Resilience Act; Nationaal Cyber Security Centrum; CISA, over Mirai.