Gebouwautomatisering

Wat is gebouwautomatisering?

Gebouwautomatisering is het automatisch meten, regelen, bewaken en optimaliseren van de technische installaties in een gebouw, zoals verwarming, ventilatie, koeling, verlichting, zonwering en toegang, met behulp van sensoren, regelaars en een centraal beheersysteem. In normen en Europese regelgeving heet dit BACS (building automation and control systems) of GACS, het gebouwautomatiserings- en controlesysteem. Het doel is een gezond en comfortabel binnenklimaat met zo weinig mogelijk energie, en een beheerder die storingen ziet voordat gebruikers ze merken. Omdat deze systemen steeds vaker aan het kantoornetwerk en de cloud hangen, is gebouwautomatisering een volwaardig onderdeel van OT en van OT-convergentie.

🧠 Wat doet een gebouwautomatiseringssysteem?

Een gebouwautomatiseringssysteem neemt routinematige beslissingen over van de mens: het zet ventilatie terug in een lege vergaderzaal, dimt verlichting bij voldoende daglicht en schakelt de verwarming uit buiten kantoortijden. Typische functies zijn:

De kern is steeds een gesloten regelkring: een sensor meet, een regelaar vergelijkt de meting met het setpoint en een actuator zoals een klep, ventilator of dimmer stuurt bij, vaak met een PID-algoritme. De HVAC-installatie is meestal het grootste en meest energie-intensieve deel van het systeem.

🔧 Uit welke lagen bestaat gebouwautomatisering?

Gebouwautomatisering wordt gangbaar ingedeeld in drie lagen, een model dat ook in de normenreeks ISO 16484 terugkomt en dat goed aansluit op het Purdue Model uit de industrie:

Het BMS is dus niet hetzelfde als gebouwautomatisering, maar de bovenste laag ervan: de software waarmee de beheerder het hele gebouw overziet. De regelingen zelf draaien in controllers op het automatiseringsniveau en blijven werken als de BMS-server uitvalt. Die scheiding is ook een ontwerpprincipe: kritieke functies mogen niet afhankelijk zijn van het netwerk naar boven.

🔗 Welke protocollen worden gebruikt in gebouwautomatisering?

Gebouwautomatisering kent een eigen familie open protocollen, elk met een eigen specialisme. In één gebouw komen er vaak drie of vier tegelijk voor, verbonden via gateways.

BACnet is de belangrijkste standaard op managementniveau; BACnet/IP gebruikt standaard UDP-poort 47808. Klassiek BACnet, KNX, LON en Modbus zijn ontworpen voor gesloten netwerken en hebben weinig of geen authenticatie en versleuteling. De beveiligde varianten zijn BACnet Secure Connect (BACnet/SC, met TLS en certificaten) en KNX Secure (AES-128), dat bestaat uit KNX IP Secure en KNX Data Secure.

🏭 Waar wordt gebouwautomatisering toegepast?

Gebouwautomatisering zit in vrijwel elk groot gebouw, maar het belang verschilt sterk per omgeving:

• Kantoren en scholen - comfort en energiebesparing, met tijdprogramma’s en aanwezigheidsdetectie
• Ziekenhuizen - luchtbehandeling van operatiekamers, drukregeling van isolatiekamers en noodstroom
• Datacenters - koeling en stroomvoorziening, waar uitval direct de IT-dienstverlening raakt
• Productielocaties - klimaat van cleanrooms, magazijnen en serverruimtes, vaak gekoppeld aan SCADA en MES
• Openbare gebouwen en tunnels - ventilatie, verlichting en brandbeveiliging met een publieke veiligheidsfunctie

In ziekenhuizen, datacenters en industrie raakt een storing in het gebouwsysteem de veiligheid of de primaire dienstverlening. Dan hoort het systeem tot de kritieke infrastructuur van de organisatie en vraagt het dezelfde aandacht als een productielijn.

📜 Welke wetgeving en normen gelden voor gebouwautomatisering?

Gebouwautomatisering is in Nederland niet langer vrijblijvend. De Europese richtlijn energieprestatie van gebouwen (EPBD, laatst herzien als Richtlijn (EU) 2024/1275) is via het Besluit bouwwerken leefomgeving (Bbl) omgezet in een GACS-plicht voor utiliteitsgebouwen:

NEN-EN-ISO 52120-1 is de opvolger van EN 15232 en beschrijft per functie welke automatisering bij welke klasse hoort. De klassescore zelf heeft geen wettelijke status: een gelijkwaardige onderbouwing, bijvoorbeeld door een GACS-adviseur, is ook toegestaan, en maatregelen zijn alleen verplicht als ze technisch en economisch haalbaar zijn. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, wijst gebouwautomatisering niet als aparte sector aan. Een ziekenhuis, datacenter of drinkwaterbedrijf dat onder de wet valt, moet wel alle systemen beschermen die de dienstverlening ondersteunen, en daar hoort de klimaatinstallatie in de praktijk bij.

🔐 Waarom is gebouwautomatisering een cyberrisico?

Gebouwsystemen werden jarenlang ingericht door installateurs, buiten het zicht van de IT-afdeling. Dat leverde typische zwakke plekken op: standaardwachtwoorden, permanente externe toegang voor de leverancier, een vlak netwerk zonder segmentatie en controllers die nooit een update krijgen. Drie voorbeelden laten zien wat dat betekent:

• Target (2013) - aanvallers kwamen binnen met inloggegevens van een HVAC-installateur die toegang had tot het netwerk, en bereikten door gebrekkige segmentatie de kassasystemen.
• DIVD (2022) - het Dutch Institute for Vulnerability Disclosure vond BACnet-apparaten die met open poorten direct vanaf internet bereikbaar waren, en waarschuwde de eigenaren in twee rondes, met als advies de poorten af te schermen of over te stappen op BACnet/SC.
• KNX-lockout (2021) - bij een Duits kantoorgebouw wisten aanvallers ongeveer driekwart van de KNX-apparaten en vergrendelden ze met een eigen sleutel; de verlichting moest via de groepenkast worden geschakeld. De onderliggende zwakte, apparaten zonder ingestelde BCU-sleutel, is in 2023 vastgelegd als CVE-2023-4346.

De les is dat een gebouwsysteem zowel een doelwit is (comfort, veiligheid, beschikbaarheid) als een opstap naar het kantoor- of productienetwerk.

🧭 Hoe richt u gebouwautomatisering veilig en toekomstvast in?

Een praktische aanpak voor beheerders en facilitair managers:

1. Inventariseer - maak een asset-inventaris van alle controllers, gateways, BMS-servers en externe verbindingen, inclusief firmwareversies en protocollen.
2. Haal het systeem van internet - controleer op internetblootstelling en sluit open BACnet-, KNX-, Modbus- en webpoorten.
3. Segmenteer - plaats gebouwbeheer in een eigen Zone volgens het Zone and Conduits-model van IEC 62443, gescheiden van kantoor-IT en productie, met VLAN’s en een firewall als enige doorgang.
4. Regel leverancierstoegang - vervang permanente verbindingen door gecontroleerde remote access via VPN met MFA en logging, en leg eisen vast in contracten (leveranciersbeveiliging).
5. Hardenen en patchen - vervang standaardwachtwoorden, zet bij KNX een BCU-sleutel per project en draag die over aan de eigenaar, en neem controllers op in patchmanagement.
6. Kies veilige protocollen - vraag bij vervanging of nieuwbouw om BACnet/SC, KNX Secure en producten die volgens IEC 62443-4-2 zijn gecertificeerd.
7. Bewaak - stuur alarmen en logbestanden naar monitoring en neem gebouwbeheer op in incidentrespons.

Samen vormen deze maatregelen defense in depth voor het gebouw. Dezelfde data maakt daarna ook optimalisatie mogelijk: een historian bewaart trends, een CMMS plant onderhoud, en analyse van ventilator- en pompgegevens maakt voorspellend onderhoud mogelijk.

📊 Hoe koppelt gebouwautomatisering met andere systemen?

Een modern gebouw wisselt data uit met meerdere systemen:

• SCADA of Historian - voor overzicht en langetermijnopslag op industriële locaties
• MES en ERP - energieverbruik per productieorder of kostenplaats
• IoT-platforms en MQTT-brokers - voor cloudanalyse, dashboards en digital twins
• CMMS - storingsmeldingen worden automatisch werkorders

Elke koppeling is een extra conduit tussen zones. Leg daarom per koppeling vast welke data in welke richting stroomt, en kies waar mogelijk voor eenrichtingsverkeer naar boven.

❓ Veelgestelde vragen

Wat is het verschil tussen gebouwautomatisering en een BMS?

Gebouwautomatisering omvat het hele systeem van sensoren, regelaars, netwerken en software dat gebouwinstallaties automatisch aanstuurt. Een BMS (Building Management System) is de bovenste laag daarvan: de software waarmee de beheerder alarmen, trends en instellingen centraal bekijkt. De regelkringen draaien in losse controllers en werken door als het BMS uitvalt.

Is gebouwautomatisering verplicht in Nederland?

Gebouwautomatisering in de vorm van een GACS is sinds 1 januari 2026 verplicht voor utiliteitsgebouwen met een verwarmings- of airconditioningsysteem van meer dan 290 kW. Vanaf 1 januari 2030 geldt de plicht al vanaf 70 kW. De eis komt uit het Besluit bouwwerken leefomgeving en is gebaseerd op de Europese EPBD.

Welk protocol is het meest gebruikt in gebouwautomatisering?

In gebouwautomatisering is BACnet de meest gebruikte open standaard voor HVAC en de koppeling met het BMS. KNX domineert in Europa voor verlichting, zonwering en ruimteregeling, en DALI voor adresseerbare verlichting. M-Bus en Modbus worden vooral gebruikt voor meters en randapparatuur.

Wat zijn de energieklassen van gebouwautomatisering?

De energieklassen van gebouwautomatisering staan in NEN-EN-ISO 52120-1, de opvolger van EN 15232. Klasse D is niet energie-efficiënt, klasse C is standaard, klasse B geavanceerd en klasse A hoogwaardig met volledige optimalisatie. Voor de Nederlandse GACS-plicht geldt in bestaande gebouwen klasse C als minimum, met klasse B voor de functies voor technisch gebouwbeheer; nieuwbouw moet klasse B halen.

Hoe kan gebouwautomatisering gehackt worden?

Gebouwautomatisering wordt meestal gehackt via systemen die direct aan internet hangen, standaardwachtwoorden of permanente toegang van een installateur. Omdat klassieke protocollen als BACnet en KNX weinig authenticatie hebben, kan een aanvaller met netwerktoegang instellingen wijzigen of apparaten vergrendelen. Segmentatie, beheerde leverancierstoegang en beveiligde protocollen sluiten die routes grotendeels af.

Valt gebouwautomatisering onder IEC 62443?

IEC 62443 is geschreven voor industriële automatisering, maar de principes passen goed op gebouwautomatisering. Veel organisaties gebruiken het zones-en-conduits-model om het gebouwnetwerk in te richten, en leveranciers laten gebouwregelaars steeds vaker certificeren volgens IEC 62443-4-2. Zo krijgt het gebouw hetzelfde beveiligingsniveau als andere OT-systemen.

📌 Samengevat

Gebouwautomatisering verbindt sensoren, regelaars en een centraal BMS tot één systeem dat klimaat, verlichting, zonwering, toegang en energie automatisch regelt. Het werkt in lagen, gebruikt open protocollen als BACnet, KNX, DALI en M-Bus, en is in Nederland voor grote utiliteitsgebouwen sinds 2026 verplicht via de GACS-eisen. Het vormt de basis van slimme gebouwen (smart buildings) en duurzame gebouwexploitatie, en omdat het steeds meer verbonden is, verdient het dezelfde beveiliging als andere OT.

Gebouwautomatisering regelt de technische installaties van een gebouw automatisch voor comfort, veiligheid en energiebesparing; wie het inventariseert, segmenteert en als volwaardig OT-systeem beheert, voldoet aan de GACS-plicht zonder er een nieuwe ingang voor aanvallers van te maken.