Wat is BACnet?
BACnet (Building Automation and Control Networks) is een open, leveranciersonafhankelijk communicatieprotocol waarmee apparaten in gebouwbeheersystemen, zoals klimaatregelaars, verlichting, toegangscontrole en brandmeldinstallaties, gegevens uitwisselen en elkaar aansturen. Het protocol is ontwikkeld door de Amerikaanse ingenieursvereniging ASHRAE, verscheen in 1995 als ANSI/ASHRAE 135 en is wereldwijd vastgelegd als ISO 16484-5. BACnet is een van de meest gebruikte standaarden voor gebouwautomatisering en het BMS in kantoren, ziekenhuizen, datacenters en luchthavens. Het besturingsnetwerk van een gebouw is daarmee een volwaardig OT-netwerk dat dezelfde aandacht voor beveiliging verdient als een fabriek.
🧠 Wat doet BACnet?
BACnet maakt het mogelijk dat apparaten en systemen van verschillende fabrikanten met elkaar communiceren zonder maatwerkkoppelingen. Voorbeelden uit de praktijk:
- Brand en klimaat - een brandmeldsysteem dat bij rookdetectie de luchtbehandeling stillegt en rookluiken aanstuurt
- Aanwezigheid en verlichting - bewegingssensoren en tijdprogramma’s die verlichting en ventilatie per ruimte schakelen
- Klimaat - regeling van temperatuur, luchtstromen en ventilatie per zone
- Toegang - kaartlezers en toegangsbeheer die bij een deuralarm verlichting of camera-opnames activeren via het BMS
- Bediening en bewaking - temperatuursensoren en controllers die hun waarden tonen in een HMI, een BMS of een SCADA-systeem
- Energiebeheer - energiemeters en installaties die verbruik en storingen centraal melden voor monitoring, optimalisatie en het spreiden van piekbelasting
De kracht van BACnet is dat de standaard niet alleen de bits op de kabel vastlegt, maar ook wat apparaten uitwisselen: een gemeenschappelijk objectmodel en een vaste set diensten. Een BACnet-brandmeldcentrale van merk A kan daardoor samenwerken met een HVAC-controller van merk B, zolang beide de benodigde functies ondersteunen.
🔧 Hoe werkt het objectmodel van BACnet?
Elk BACnet-apparaat is een verzameling objecten met eigenschappen (properties). Ieder apparaat heeft precies één Device-object met een device instance: een 22-bits nummer van 0 tot en met 4.194.302 dat binnen het hele BACnet-netwerk uniek moet zijn. ANSI/ASHRAE 135-2020 definieert 62 standaard objecttypen. Veelgebruikte typen zijn:
| Objecttype | Afkorting | Voorbeeld |
|---|---|---|
| Analog Input | AI | Gemeten ruimtetemperatuur of luchtvochtigheid |
| Analog Output | AO | Stuursignaal naar een klep of frequentieregelaar |
| Analog Value | AV | Setpoint of berekende waarde in de controller |
| Binary Input / Output | BI / BO | Status van een pomp, aan/uit-commando voor een ventilator |
| Multi-state Value | MSV | Bedrijfsstand: uit, comfort, eco, nachtverlaging |
| Schedule / Calendar | - | Weekprogramma en feestdagen |
| Trend Log | - | Historische meetwaarden in het apparaat zelf |
| Notification Class / Event Enrollment | - | Routering en prioriteit van alarmen |
Apparaten gebruiken diensten (services) om met die objecten te werken:
- Who-Is / I-Am - apparaten vinden elkaar via een broadcast; elk apparaat antwoordt met zijn device instance en adres
- ReadProperty / ReadPropertyMultiple - waarden opvragen, bijvoorbeeld door een BMS dat periodiek pollt
- WriteProperty - waarden wijzigen, met een prioriteitsmatrix van 16 niveaus zodat bijvoorbeeld een handbediening of brandsturing voorgaat op een tijdprogramma
- SubscribeCOV - Change of Value: het apparaat meldt zelf wanneer een waarde verandert, wat minder netwerkverkeer geeft dan pollen
- Alarm- en eventdiensten - melden, bevestigen en samenvatten van alarmen
Welke objecten en diensten een apparaat ondersteunt, staat in zijn PICS (Protocol Implementation Conformance Statement). Bijlage L van de norm groepeert dat in apparaatprofielen, zoals B-BC (building controller), B-AAC (advanced application controller), B-ASC (application specific controller), B-SA en B-SS (eenvoudige actuatoren en sensoren) en B-OWS (operator workstation). Elk profiel is een lijst BIBB’s (BACnet Interoperability Building Blocks).
🌐 Over welke netwerken loopt BACnet?
BACnet definieert de toepassingslaag en een eigen netwerklaag, en kan over meerdere datalinklagen lopen. BACnet-routers koppelen die netwerken, elk met een netwerknummer tussen 1 en 65.534.
| Variant | Medium | Kenmerken | Typisch gebruik |
|---|---|---|---|
| BACnet/IP | Ethernet met IP | UDP, standaardpoort 47808 (0xBAC0), broadcasts via BBMD | Backbone tussen BMS, building controllers en servers |
| BACnet/IPv6 | Ethernet met IPv6 | Eigen virtuele adressering, multicast | Nieuwere installaties, nog beperkt toegepast |
| BACnet MS/TP | RS-485 twisted pair | Token passing; masteradressen 0–127; 9.600 tot 115.200 bit/s; tot circa 1.200 m per segment | Veldbus naar ruimteregelaars, VAV-kasten en meters |
| BACnet Ethernet | Ethernet zonder IP (ISO 8802-2) | Alleen binnen één LAN | Oudere installaties |
| BACnet/SC | IP met TLS-versleutelde WebSockets | Hub-and-spoke, wederzijdse certificaatauthenticatie | Nieuwe projecten met hogere beveiligingseisen |
Daarnaast noemt de norm minder gebruikte varianten zoals point-to-point over RS-232, ARCNET, LonTalk en Zigbee. Omdat routers broadcasts niet doorgeven, plaatst u per IP-subnet een BBMD (BACnet Broadcast Management Device). Die stuurt Who-Is-berichten door naar de BBMD’s in andere subnetten. Een externe laptop of server kan zich als foreign device bij een BBMD registreren.
🔄 Hoe verhoudt BACnet zich tot andere gebouwprotocollen?
In de meeste gebouwen werkt BACnet samen met andere protocollen. Grofweg geldt: BACnet op automatiserings- en managementniveau, gespecialiseerde bussen in de ruimte.
| Protocol | Sterk in | Relatie met BACnet |
|---|---|---|
| KNX | Ruimtefuncties: schakelen, dimmen, zonwering | Via een KNX-BACnet-gateway gekoppeld aan het BMS |
| DALI | Verlichtingsarmaturen | Lichtregeling meldt status en verbruik via BACnet |
| LON | Oudere decentrale installaties | Wordt in renovaties vaak vervangen door BACnet |
| Modbus | Eenvoudige koppeling met meters, warmtepompen, UPS’en | Gateway of controller zet registers om naar BACnet-objecten |
| OPC UA / MQTT | IT-integratie, cloud en analyse | Edge-gateways publiceren BACnet-data naar platforms |
Een BACnet-netwerk past in het Purdue Model op niveau 1 en 2: controllers en veldbussen onderin, het BMS-werkstation en de server erboven. De koppeling naar het kantoornetwerk en de cloud hoort via een gecontroleerde DMZ te lopen.
🔐 Hoe beveiligt u BACnet?
Klassiek BACnet is ontworpen voor openheid, niet voor beveiliging. BACnet/IP en MS/TP hebben geen versleuteling en geen bruikbare authenticatie: wie het netwerk bereikt, kan apparaten ontdekken, waarden uitlezen en met WriteProperty setpoints of commando’s wijzigen. Ook een replay-aanval of het misbruiken van open apparaten voor DDoS-versterking is mogelijk.
Dat risico is concreet. In 2022 trof het Dutch Institute for Vulnerability Disclosure (DIVD) grote aantallen BACnet-apparaten aan die met poort 47808 rechtstreeks vanaf internet bereikbaar waren. Eigenaren werden in februari en april 2022 in twee rondes gewaarschuwd, met het advies de poort af te schermen of over te stappen op BACnet/SC, onderhoud op afstand via een VPN te laten lopen en te voorkomen dat een gecompromitteerde controller als springplank naar andere netwerken dient. Zie ook Internetblootstelling van OT.
BACnet Secure Connect (BACnet/SC) is het antwoord van ASHRAE. Het werd geïntroduceerd met addendum 135-2016bj en is sinds ANSI/ASHRAE 135-2020 onderdeel van de norm. BACnet/SC transporteert BACnet-berichten via WebSockets binnen TLS 1.3. Beide kanten authenticeren zich met X.509-certificaten. Knooppunten maken uitgaande verbindingen naar een hub, zodat er geen broadcasts en geen BBMD’s meer nodig zijn en het verkeer goed door een firewall te sturen is. Wel vraagt BACnet/SC om certificaatbeheer gedurende de hele levensduur van de installatie. De actuele editie, ANSI/ASHRAE 135-2024 (gepubliceerd eind december 2024), bundelt 17 addenda op de editie van 2020, waaronder een bestandsformaat voor certificaatautoriteiten, configuratie en certificaatbeheer voor BACnet/SC en een kader voor authenticatie en autorisatie.
Maatregelen die in elk BACnet-netwerk thuishoren:
- Segmentatie - scheid gebouwbeheer van kantoor- en productienetwerken met VLAN’s en firewalls, volgens het Zone and Conduits-model uit IEC 62443
- Geen directe internettoegang - onderhoud op afstand alleen via beveiligde remote access met MFA
- Protocolfiltering - sta alleen bekende BACnet-diensten en -adressen toe; blokkeer WriteProperty vanaf zones die alleen hoeven te lezen
- Zicht op het netwerk - houd een inventaris bij van alle device instances en gebruik passieve monitoring; Wireshark decodeert BACnet standaard
- Defense in Depth - combineer netwerkmaatregelen met wachtwoorden op controllers, hardening en patchmanagement
🏭 Hoe pakt u een BACnet-project in Nederland aan?
Sinds 1 januari 2026 moeten bestaande utiliteitsgebouwen met een verwarmings- of airconditioningsysteem van meer dan 290 kW volgens het Besluit bouwwerken leefomgeving (Bbl) een gebouwautomatiserings- en controlesysteem (GACS) hebben. Vanaf 2030 daalt die grens naar 70 kW. De eis is functioneel en schrijft geen protocol voor, maar vraagt wel dat systemen merkonafhankelijk samenwerken. In de praktijk wordt BACnet daardoor vaak de ruggengraat. Voor beheerders van vitale gebouwen, zoals ziekenhuizen en datacenters, kan bovendien de Cyberbeveiligingswet gelden, die NIS2 in Nederland invoert.
Een praktische aanpak:
- Leg eisen vast in het bestek - vraag om BTL-gecertificeerde apparaten (BACnet Testing Laboratories, beheerd door BACnet International), PICS per apparaat en bij voorkeur ondersteuning voor BACnet/SC.
- Maak een adresplan - reserveer device instances en netwerknummers per gebouw of verdieping, zodat er nooit dubbele nummers ontstaan.
- Ontwerp de MS/TP-bussen - gebruik doorlopende adressen zonder gaten, stel Max Master op het hoogste masteradres in en kies één baudrate per segment, meestal 38.400 of 76.800 bit/s.
- Beperk broadcasts - maximaal één BBMD per subnet en geen onnodige foreign devices.
- Segmenteer en documenteer - leg zones en conduits vast en richt de firewallregels per conduit in.
- Test bij oplevering - controleer met een BACnet-explorer of Wireshark of alle objecten, alarmen en trendlogs werken zoals in het bestek staat.
❓ Veelgestelde vragen
Waar staat BACnet voor?
BACnet staat voor Building Automation and Control Networks. Het is een open communicatieprotocol van ASHRAE voor gebouwautomatisering, internationaal vastgelegd als ISO 16484-5. BACnet zorgt dat apparaten van verschillende fabrikanten gegevens kunnen uitwisselen.
Welke poort gebruikt BACnet/IP?
BACnet/IP gebruikt standaard UDP-poort 47808, in hexadecimaal 0xBAC0. Die poort hoort nooit vanaf internet bereikbaar te zijn, omdat klassiek BACnet geen authenticatie kent. BACnet/SC gebruikt in plaats daarvan TLS-versleutelde WebSocket-verbindingen.
Wat is het verschil tussen BACnet/IP en BACnet MS/TP?
BACnet/IP loopt over Ethernet en IP en wordt meestal gebruikt als backbone tussen building controllers en het BMS. BACnet MS/TP loopt over een RS-485-tweedraadsbus met token passing en verbindt goedkopere veldregelaars over afstanden tot circa 1.200 meter. Een BACnet-router koppelt beide netwerken.
Is BACnet veilig?
Klassiek BACnet, zowel BACnet/IP als MS/TP, heeft geen versleuteling en geen sterke authenticatie. Daarom moet een BACnet-netwerk gesegmenteerd en van internet afgeschermd zijn. BACnet Secure Connect voegt TLS 1.3 en certificaten toe en is sinds ANSI/ASHRAE 135-2020 onderdeel van de norm.
Wat betekent BTL-certificering voor BACnet?
BTL-certificering betekent dat een BACnet-product onafhankelijk is getest door de BACnet Testing Laboratories volgens de testnorm ASHRAE 135.1. Gecertificeerde producten staan in een openbare lijst van BACnet International. Een BTL-eis in het bestek verkleint het risico op koppelproblemen tussen merken.
Wat is een BACnet device instance?
Een BACnet device instance is het unieke nummer van een apparaat binnen het hele BACnet-netwerk, met een waarde tussen 0 en 4.194.302. Dubbele device instances veroorzaken onvoorspelbare communicatiefouten. Een adresplan per gebouw voorkomt dat.
📌 Samengevat
BACnet is de open ISO-standaard waarmee HVAC, verlichting, toegang en brandmelding van verschillende merken samenwerken in één gebouwbeheersysteem. Het objectmodel, de diensten en de varianten BACnet/IP en MS/TP maken integratie eenvoudig. Omdat klassiek BACnet geen beveiliging kent, horen segmentatie, afscherming van internet en bij nieuwe projecten BACnet/SC er altijd bij.