KNX

Wat is KNX?

KNX is een open, merkonafhankelijke communicatiestandaard voor gebouwautomatisering, vastgelegd als ISO/IEC 14543-3 en EN 50090, waarmee sensoren, schakelaars en actoren van verschillende fabrikanten zonder centrale controller samen verlichting, klimaat, zonwering, beveiliging en energiebeheer regelen. Elk KNX-apparaat heeft een eigen microcontroller en reageert op berichten (telegrammen) die over een gedeeld medium gaan, meestal een tweeaderige buskabel. KNX wordt gebruikt in woningen, kantoren, scholen, hotels, ziekenhuizen en industriële gebouwen, vooral in Europa. Omdat KNX-installaties steeds vaker via IP aan het kantoornetwerk, een BMS of de cloud hangen, hoort KNX ook bij OT en bij OT-convergentie.

🕰️ Waar komt KNX vandaan?

KNX is de opvolger van drie Europese gebouwbussen. De bekendste is EIB (European Installation Bus, ook Instabus), waarvoor Siemens en andere fabrikanten in 1990 de EIB Association (EIBA) oprichtten. Daarnaast bestonden het Franse BatiBUS en EHS (European Home Systems). In 1999 bundelden de drie organisaties hun werk in de KNX Association, een vereniging zonder winstoogmerk naar Belgisch recht.

Verder is KNX vastgelegd in CEN EN 13321-1 en in de Chinese norm GB/T 20965, en bevatten de BACnet-normen ANSI/ASHRAE 135 en ISO 16484-5 een vertaling (mapping) tussen KNX en BACnet. Volgens de KNX Association leveren ruim 500 fabrikanten samen meer dan 8.000 gecertificeerde producten. Bekende namen zijn ABB, Busch-Jaeger, Gira, Hager, Schneider Electric, Siemens en Theben. Dankzij die certificering werkt een schakelaar van het ene merk samen met een dimactor van het andere.

🔧 Hoe werkt KNX technisch?

KNX is een gedistribueerd systeem: er is geen centrale processor die alle logica uitvoert. Een drukknop stuurt bij bediening een telegram naar een groepsadres, en elke actor die op dat groepsadres luistert, voert de bijbehorende actie uit. De koppeling tussen knoppen, sensoren en actoren wordt bij de inbedrijfstelling in de apparaten zelf geladen. Valt één apparaat uit, dan blijft de rest van de installatie werken.

KNX kent vier transportmedia:

Bij KNXnet/IP zijn twee werkwijzen belangrijk. Tunneling is een punt-tot-puntverbinding tussen een pc of visualisatie en een IP-interface, vooral gebruikt voor inbedrijfstelling en diagnose. Routing verbindt meerdere IP-routers via IP-multicast; daarvoor is het adres 224.0.23.12 gereserveerd.

🧱 Hoe is een KNX-installatie opgebouwd?

KNX gebruikt een hiërarchische topologie met lijn-, boom- en stervormige vertakkingen; gesloten ringen zijn op TP niet toegestaan. Elk apparaat krijgt een fysiek adres in de vorm bereik.lijn.apparaat, bijvoorbeeld 1.2.15. Een installatie telt maximaal 15 bereiken met elk 15 lijnen, goed voor ruim 57.000 apparaten.

Voor een TP-lijnsegment gelden in de praktijk deze grenswaarden:

Naast fysieke adressen gebruikt KNX groepsadressen, meestal in drie niveaus (hoofdgroep/middengroep/subgroep), bijvoorbeeld 1/0/3 voor “verlichting begane grond, vergaderruimte, schakelen”. Een goed groepsadresplan is het belangrijkste ontwerpdocument van een KNX-project.

Een installatie wordt ontworpen en geprogrammeerd met ETS (Engineering Tool Software) van de KNX Association; de huidige versie is ETS6. ETS laadt fysieke adressen, parameters en groepsadressen in de apparaten en slaat het projectbestand op dat de eigenaar na oplevering hoort te ontvangen.

🏢 Waarvoor wordt KNX gebruikt?

KNX kan rookmelders en inbraakdetectie integreren voor signalering en scènes, maar vervangt geen gecertificeerde brandmeld- of inbraakinstallatie. Kerntaken draaien lokaal en zijn niet afhankelijk van een internetverbinding.

🌐 Hoe koppelt u KNX aan andere systemen?

In utiliteitsgebouwen is KNX zelden het enige protocol. Meestal regelt KNX verlichting, zonwering en ruimteklimaat op vloerniveau, terwijl een gebouwbeheersysteem met BACnet de centrale installaties bewaakt. Koppelingen lopen via gateways naar:

• BACnet, Modbus, DALI, M-Bus en LON - voor centrales, meters en verlichting
• BMS- en SCADA-platforms - voor bewaking, alarmering en trends
• OPC UA en MQTT - voor koppeling met data- en cloudplatforms
• Zigbee en andere smart-homeprotocollen - via hubs in woningen

Met KNX IoT werkt de KNX Association aan een variant die direct over IPv6-netwerken zoals Thread, wifi en Ethernet communiceert, met CoAP als applicatieprotocol en CBOR als berichtformaat. De bestaande groepsadres-logica en ETS blijven daarbij bruikbaar.

🔐 Hoe veilig is KNX?

Klassiek KNX is ontworpen voor een afgesloten buskabel en kent geen versleuteling en geen authenticatie van telegrammen. Wie toegang heeft tot de bus of tot het KNXnet/IP-netwerk, kan telegrammen meelezen, vervalsen of apparaten herprogrammeren. Dat is geen theorie: in 2021 verwijderden aanvallers in een Duits kantoorgebouw de configuratie van ongeveer driekwart van de KNX-apparaten en vergrendelden ze met een eigen BCU-sleutel; de verlichting moest daarna via de groepenkast worden geschakeld. De onderliggende zwakte, apparaten waarop geen BCU-sleutel is ingesteld, staat sinds 2023 geregistreerd als CVE-2023-4346; ook een aanvaller met fysieke toegang tot een apparaat kan dit misbruiken.

KNX Secure is het antwoord en bestaat uit twee delen:

• KNX IP Secure - versleutelt het verkeer over IP (tunneling en routing), maar niet het TP-deel achter de IP-router
• KNX Data Secure - versleutelt en authenticeert telegrammen van eind tot eind op TP en RF met AES-128 in CCM-modus, met een volgnummer tegen replay-aanvallen

Elk Data Secure-apparaat wordt geleverd met een unieke FDSK (Factory Device Setup Key), vaak als QR-code. ETS vervangt die bij inbedrijfstelling door een eigen sleutel en bewaart alle sleutels in een keyring-bestand dat de eigenaar veilig moet bewaren.

🛠️ Hoe beveiligt u een KNX-installatie in de praktijk?

1. Inventariseer - neem KNX-routers, IP-interfaces en visualisatieservers op in de asset-inventaris, inclusief firmwareversies
2. Eis eigenaarschap - laat het ETS-project, het groepsadresplan, de BCU-sleutels en de keyring bij oplevering overdragen aan de eigenaar
3. Zet een BCU-sleutel op elk apparaat dat dit ondersteunt, per project uniek, zodat niemand ongemerkt kan herprogrammeren
4. Kies KNX Secure voor nieuwe installaties: IP Secure voor de backbone en Data Secure voor gevoelige functies zoals toegang en beveiliging
5. Segmenteer - plaats KNXnet/IP in een eigen VLAN achter een firewall en sta alleen UDP 3671 toe vanaf bekende systemen; zie netwerksegmentatie
6. Beperk toegang op afstand - zet KNX nooit rechtstreeks op internet; gebruik beheerde toegang op afstand via een VPN met MFA
7. Patch en monitor - neem KNX-gateways op in patchmanagement en kies bij voorkeur producten die volgens IEC 62443-4-1 zijn ontwikkeld en aan IEC 62443-4-2 voldoen

Samen vormen deze maatregelen defense in depth voor het gebouw. In Nederland zijn ze extra relevant: grote utiliteitsgebouwen moeten sinds 1 januari 2026 een gebouwautomatiseringssysteem (GACS) hebben, en organisaties onder de Cyberbeveiligingswet (de Nederlandse invulling van NIS2) moeten ook de gebouwinstallaties beschermen die hun dienstverlening ondersteunen. IEC 62443 biedt daarvoor het raamwerk.

❓ Veelgestelde vragen

Wat is het verschil tussen KNX en BACnet?

KNX is vooral een standaard voor de veld- en ruimteniveaus: schakelaars, sensoren en actoren voor verlichting, zonwering en ruimteklimaat. BACnet wordt meestal ingezet op het niveau van regelcentrales en gebouwbeheersystemen. In utiliteitsgebouwen worden KNX en BACnet daarom vaak via een gateway gecombineerd.

Heeft KNX een centrale controller nodig?

Nee, KNX is een gedistribueerd systeem waarin elk apparaat zijn eigen logica bevat en direct reageert op groepstelegrammen. Een server of visualisatie is optioneel en voegt bediening, logica of koppelingen toe. Als zo’n server uitvalt, blijven de basisfuncties van een KNX-installatie werken.

Welke software is nodig om KNX te programmeren?

KNX-apparaten worden geprogrammeerd met ETS (Engineering Tool Software) van de KNX Association, waarvan ETS6 de huidige versie is. ETS werkt voor gecertificeerde producten van alle fabrikanten. Het ETS-projectbestand is de belangrijkste documentatie van een KNX-installatie en hoort bij de eigenaar.

Is KNX veilig genoeg om aan het netwerk te koppelen?

Klassiek KNX heeft geen versleuteling of authenticatie, dus een KNX-installatie mag nooit rechtstreeks aan internet of een open kantoornetwerk hangen. Met KNX IP Secure, KNX Data Secure, BCU-sleutels, een eigen VLAN en een firewall is een veilige koppeling wel mogelijk. Toegang op afstand hoort via een beheerde VPN te lopen.

Kan KNX zonder nieuwe bekabeling worden aangelegd?

Ja, KNX RF communiceert draadloos op 868 MHz en is geschikt voor uitbreidingen en renovatie zonder sleufwerk. KNX via powerline gebruikt het bestaande lichtnet, maar wordt weinig meer toegepast. Voor grote nieuwbouwprojecten blijft KNX TP met een eigen groene buskabel de standaard.

Helpt KNX bij de Nederlandse GACS-plicht?

KNX kan verlichting, zonwering, ruimteklimaat en meters automatiseren en de data aan een gebouwbeheersysteem leveren, en draagt zo bij aan een GACS. De GACS-plicht vraagt een systeem dat het energiegebruik continu bewaakt, registreert en analyseert. In de praktijk vervult KNX daarom een rol binnen een breder gebouwbeheersysteem.

📌 Samengevat

KNX is sinds 2006 de internationale norm ISO/IEC 14543-3 voor gebouwautomatisering en komt voort uit EIB, BatiBUS en EHS. Apparaten van honderden fabrikanten werken zonder centrale controller samen via groepsadressen, over twisted pair, radio, powerline of IP, en worden allemaal met ETS geprogrammeerd. Klassiek KNX is onbeveiligd; KNX Secure, BCU-sleutels, segmentatie en eigenaarschap van het ETS-project maken het geschikt voor verbonden gebouwen.

KNX is de open wereldstandaard voor slimme gebouwen; wie KNX Secure gebruikt, het netwerk segmenteert en zelf eigenaar is van project en sleutels, krijgt flexibele gebouwautomatisering zonder een nieuwe ingang voor aanvallers.