Wat is HVAC?
HVAC (Heating, Ventilation and Air Conditioning) is het geheel van installaties dat de lucht in een gebouw of technische ruimte verwarmt, koelt, ververst, filtert en op de juiste vochtigheid brengt, zodat temperatuur, luchtkwaliteit en luchtdruk binnen vastgestelde grenzen blijven. In de Nederlandse installatiebranche valt HVAC onder de werktuigbouwkundige installaties (W-installaties); in het dagelijks spraakgebruik heet het vaak de klimaatinstallatie. Waar koeltechniek een grote rol speelt, zoals in koel- en vrieshuizen, spreekt men van HVAC-R (met refrigeration).
In kantoren draait HVAC vooral om comfort en energie. In datacenters, cleanrooms, ziekenhuizen en productiehallen is het een bedrijfskritisch systeem: valt de koeling uit, dan schakelen servers af, gaat een batch verloren of moet een operatiekamer dicht. Daarom wordt HVAC steeds vaker behandeld als OT die net zo goed beveiligd moet worden als een productielijn.
🔧 Uit welke onderdelen bestaat een HVAC-installatie?
Een HVAC-installatie bestaat uit opwekking, distributie, afgifte en regeltechniek:
| Onderdeel | Functie | Voorbeelden |
|---|---|---|
| Warmteopwekking | Warmte leveren aan water of lucht | Cv-ketel, warmtepomp, stadsverwarming |
| Koudeopwekking | Warmte afvoeren | Chiller, koeltoren, WKO-bron, split-units |
| Luchtbehandeling | Buitenlucht aanzuigen, filteren, verwarmen, koelen, (ont)vochtigen | Luchtbehandelingskast (LBK) met warmteterugwinning |
| Distributie | Lucht en water transporteren | Ventilatoren en pompen met frequentieregelaars, kanalen, regelkleppen, luchtkleppen |
| Afgifte | Klimaat per ruimte regelen | VAV-boxen, fancoils, klimaatplafonds, CRAC/CRAH-units in datacenters |
| Regeltechniek | Meten, regelen en bewaken | Sensoren, DDC-controllers, PLC, BMS |
Een kleine installatie heeft één regelaar per unit. In grote gebouwen hangen tientallen tot honderden regelaars aan een centraal gebouwbeheersysteem.
🧠 Hoe wordt een HVAC-installatie geregeld?
De meeste regelingen werken met een gesloten regelkring. Een sensor meet bijvoorbeeld de inblaastemperatuur, de regelaar vergelijkt die met het setpoint en een PID-algoritme stuurt de regelklep van de verwarmings- of koelbatterij bij. Typische regelfuncties zijn:
- Temperatuurregeling - per ruimte of per zone, vaak met een dag-, nacht- en weekendprogramma
- Vraaggestuurde ventilatie - een CO₂-sensor bepaalt hoeveel buitenlucht nodig is, zodat een lege vergaderzaal niet op vol vermogen wordt geventileerd
- Drukregeling - ventilatoren houden de kanaaldruk of het drukverschil tussen ruimten constant
- Vochtregeling - bevochtigen in de winter, ontvochtigen in de zomer door de lucht onder het dauwpunt te koelen en daarna na te verwarmen
- Vrije koeling - koude buitenlucht of koud bronwater gebruiken in plaats van de chiller
In gebouwen, het domein van de gebouwautomatisering, gebeurt dit meestal in DDC-controllers (direct digital control) van partijen als Siemens, Honeywell, Johnson Controls of Priva. In de industrie en in cleanrooms ligt de regeling vaker in een PLC, gekoppeld aan SCADA. Het BMS verzamelt alarmen, trends en energiedata en laat de beheerder setpoints en tijdprogramma’s aanpassen.
🏭 Waar is HVAC bedrijfskritisch?
| Omgeving | Wat HVAC bewaakt | Typische eis |
|---|---|---|
| Datacenter | Inlaattemperatuur van servers | ASHRAE TC 9.9 adviseert 18–27 °C aan de inlaat |
| Cleanroom (farma, micro-elektronica) | Deeltjesconcentratie, overdruk, luchtwisselingen | Klassen volgens ISO 14644-1 en EU-GMP Annex 1 (klasse A–D) |
| Ziekenhuis | Operatiekamers, isolatiekamers, apotheek | Gecontroleerde luchtstromen en over- of onderdruk |
| Voedingsmiddelenindustrie | Productie- en opslagtemperatuur, hygiëne | Gekoelde ruimten en voedselveiligheid |
| Elektrotechnische ruimten | Temperatuur in schakelkasten, PLC-ruimtes en SCADA-serverruimtes | Voorkomen van oververhitting en storingen |
| Kantoor | Comfort en energieverbruik | Vraaggestuurde ventilatie en tijdprogramma’s |
In de farmaceutische industrie is HVAC onderdeel van de GMP-validatie. De herziene EU-GMP Annex 1 werd op 25 augustus 2022 gepubliceerd en geldt sinds 25 augustus 2023. Tussen aangrenzende ruimten van verschillende klassen wordt doorgaans een drukverschil van minimaal 10 Pa aangehouden, zodat lucht van schoon naar minder schoon stroomt. In datacenters is koeling na de IT-apparatuur zelf de grootste energieverbruiker; datacenters vanaf 500 kW geïnstalleerd IT-vermogen moeten onder de Europese Energie-efficiëntierichtlijn jaarlijks onder meer hun PUE rapporteren. Platforms voor DCIM koppelen daarom koel- en stroomdata aan de IT-belasting.
🔄 Hoe past HVAC in het Purdue Model?
Een HVAC-installatie laat zich goed indelen naar het Purdue Model, ook al is dat model oorspronkelijk voor de procesindustrie bedacht:
- Niveau 0 - sensoren voor temperatuur, CO₂, druk en luchtvochtigheid, plus actuatoren zoals kleppen en ventilatoren
- Niveau 1 - DDC-controllers en PLC’s die de regelkringen uitvoeren
- Niveau 2 - het BMS of SCADA-systeem met bediening, alarmering en trends
- Niveau 3 en hoger - energiemanagement, onderhoudssystemen en de koppeling met het kantoornetwerk
Op niveau 1 en 2 communiceren de apparaten via gebouwprotocollen. BACnet (ASHRAE 135, ook ISO 16484-5) is de belangrijkste standaard voor HVAC; daarnaast komen Modbus, KNX en LON veel voor. BACnet/IP gebruikt standaard UDP-poort 47808. De klassieke varianten hebben geen versleuteling en nauwelijks authenticatie. Daarom is BACnet Secure Connect (BACnet/SC) toegevoegd via addendum 135-2016bj: BACnet over WebSockets met TLS en X.509-certificaten.
🔐 Waarom is HVAC een cyberrisico?
HVAC zat lang buiten het zicht van de IT-afdeling. Installateurs leverden de regeling, beheerden die op afstand en koppelden het BMS soms rechtstreeks aan internet. Bekende voorbeelden:
- Target (2013) - aanvallers kwamen binnen met inloggegevens die waren gestolen bij Fazio Mechanical, een HVAC-installateur die als leverancier toegang had tot het netwerk van Target. Door gebrekkige segmentatie bereikten ze de kassasystemen en stalen ze gegevens van zo’n 40 miljoen betaalkaarten.
- DIVD-onderzoek (2022) - het Dutch Institute for Vulnerability Disclosure vond via Shodan bijna 30.000 systemen met een open BACnet-poort, waarvan ruim 12.500 kwetsbaar. Eigenaren werden in twee rondes gewaarschuwd.
De gevolgen gaan verder dan datadiefstal. Een aanvaller die de koeling van een datacenter uitzet, setpoints in een cleanroom wijzigt of ventilatie in een ziekenhuis stopzet, raakt de beschikbaarheid en soms de veiligheid. Een ziekenhuis of datacenter kan bovendien onder NIS2 en de Cyberbeveiligingswet vallen, die sinds 15 augustus 2026 van kracht is. De zorgplicht gaat over de systemen die de dienstverlening ondersteunen, en daar hoort een klimaatinstallatie in zo’n omgeving in de praktijk bij. Ook zonder wettelijke plicht is HVAC vaak onderdeel van kritieke infrastructuur.
🧭 Hoe beveiligt en verduurzaamt u een HVAC-installatie in de praktijk?
Begin met inzicht en werk daarna van buiten naar binnen:
- Inventariseer - maak een asset-inventaris van alle controllers, gateways en BMS-servers, inclusief firmwareversies en protocollen.
- Haal HVAC van internet - controleer op internetblootstelling en sluit open BACnet-, Modbus- en webpoorten.
- Segmenteer - plaats gebouwbeheer in een eigen zone volgens het Zone and Conduits-model van IEC 62443, gescheiden van kantoor-IT en productie (netwerksegmentatie).
- Regel leverancierstoegang - vervang permanente verbindingen van installateurs door gecontroleerde remote access met MFA en logging, en leg eisen vast in contracten (leveranciersbeveiliging).
- Patch en hardenen - neem controllers en BMS-servers op in patchmanagement en vervang standaardwachtwoorden.
- Gebruik veilige protocollen - kies bij vervanging voor BACnet/SC of versleutelde koppelingen.
Wetgeving duwt dezelfde kant op. Sinds 1 januari 2026 moeten bestaande utiliteitsgebouwen met een verwarmings- of airconditioningsysteem van meer dan 290 kW nominaal vermogen volgens het Besluit bouwwerken leefomgeving (Bbl) een gebouwautomatiserings- en controlesysteem (GACS) hebben. De herziene Europese EPBD (Richtlijn (EU) 2024/1275) verlaagt die grens per 2030 naar 70 kW. Het systeem moet het energiegebruik continu bewaken en registreren, prestaties analyseren en kunnen communiceren met de technische installaties. Voor bestaande bouw geldt minimaal klasse C volgens NEN-EN-ISO 52120-1, de opvolger van EN 15232. Zo’n systeem is per definitie verbonden en moet dus ook veilig zijn ingericht. Data uit het BMS is daarnaast bruikbaar voor voorspellend onderhoud aan ventilatoren, pompen en chillers.
| Regel | Wat het vraagt | Voor wie |
|---|---|---|
| Bbl GACS-plicht | Gebouwautomatisering met monitoring, analyse en interoperabiliteit | Utiliteitsgebouwen > 290 kW (EPBD: vanaf 2030 > 70 kW) |
| F-gassenverordening (EU) 2024/573 | Periodieke lekcontrole van koelinstallaties | Installaties vanaf 5 ton CO₂-equivalent |
| Cyberbeveiligingswet | Zorgplicht en meldplicht voor netwerk- en informatiesystemen | Essentiële en belangrijke entiteiten |
| EU-GMP Annex 1 | Gekwalificeerde cleanroom-HVAC en monitoring | Steriele farmaceutische productie |
❓ Veelgestelde vragen
Wat is het verschil tussen HVAC en een BMS?
HVAC is de fysieke klimaatinstallatie met ketels, chillers, luchtbehandelingskasten en ventilatoren. Een BMS (Building Management System) is het softwaresysteem dat HVAC en andere gebouwinstallaties centraal bewaakt, alarmeert en bijstuurt. Het BMS stuurt de HVAC-regelaars aan, maar de regelkringen zelf draaien meestal in losse DDC-controllers.
Welk protocol gebruikt HVAC meestal?
HVAC-installaties communiceren meestal via BACnet, de open standaard van ASHRAE die ook als ISO 16484-5 is vastgelegd. Daarnaast komen Modbus, KNX en LON veel voor, vooral bij randapparatuur zoals warmtepompen en energiemeters. Voor nieuwe projecten is BACnet/SC de veiligere variant, omdat die TLS-versleuteling en certificaten gebruikt.
Hoe warm mag het in een datacenter zijn?
Voor HVAC in datacenters is de richtlijn van ASHRAE TC 9.9 leidend, die een inlaattemperatuur van 18 tot 27 °C aanbeveelt. Daarnaast definieert ASHRAE ruimere toelaatbare bereiken per apparaatklasse, bijvoorbeeld 15 tot 32 °C voor klasse A1. Een hogere inlaattemperatuur binnen die band verlaagt het energieverbruik van de koeling aanzienlijk.
Is een GACS verplicht voor mijn gebouw?
Een GACS voor de HVAC-installatie is in Nederland sinds 1 januari 2026 verplicht voor bestaande utiliteitsgebouwen waarvan het verwarmings- of airconditioningsysteem meer dan 290 kW nominaal vermogen heeft. De herziene Europese EPBD verlaagt die grens per 2030 naar 70 kW. Woongebouwen vallen er niet onder, en de gemeente houdt toezicht.
Hoe kan een HVAC-installatie een ingang zijn voor hackers?
Een HVAC-installatie is een ingang wanneer controllers of het BMS direct aan internet hangen, standaardwachtwoorden houden of een installateur permanente externe toegang heeft. Bij Target in 2013 begon de inbraak met gestolen inloggegevens van een HVAC-leverancier. Segmentatie, beheerde leverancierstoegang en monitoring sluiten die route grotendeels af.
Valt HVAC onder IEC 62443?
IEC 62443 is geschreven voor industriële automatisering, maar de principes passen ook goed op HVAC en gebouwautomatisering. Veel organisaties gebruiken het zones-en-conduits-model en de eisen uit IEC 62443-3-3 om het BMS-netwerk in te richten. Leveranciers van gebouwregelaars laten hun producten ook steeds vaker certificeren volgens IEC 62443-4-2.
📌 Samengevat
HVAC regelt temperatuur, ventilatie, vochtigheid en luchtdruk, en is in datacenters, cleanrooms en ziekenhuizen een bedrijfskritisch OT-systeem. De installatie bestaat uit opwekking, luchtbehandeling, distributie en regeltechniek, aangestuurd door DDC-controllers, PLC’s en een BMS via protocollen als BACnet en Modbus. Wetgeving zoals de Bbl GACS-plicht maakt HVAC slimmer en meer verbonden, en daarmee ook kwetsbaarder.
HVAC staat voor Heating, Ventilation and Air Conditioning en bewaakt het binnenklimaat dat mensen, processen en IT nodig hebben; wie het als volwaardig OT-systeem inventariseert, segmenteert en beheert, beschermt comfort, productkwaliteit en uptime tegelijk.