Cybersecurity voor slimme gebouwen

Gebouwautomatisering

Wat is cybersecurity?

Cybersecurity gaat om alle maatregelen die nodig zijn om mensen, systemen en data te beschermen tegen cyberaanvallen. Door een combinatie van technologieën, processen en richtlijnen blijft informatie betrouwbaar, beschikbaar en beschermd.

Binnen gebouwautomatisering richt cybersecurity zich op de bescherming van operationele technologie (OT), zoals HVAC-installaties, verlichting, toegangscontrole en andere gebouwbeheersystemen. Omdat deze systemen steeds vaker gekoppeld zijn aan IT-netwerken, nemen ook de risico’s toe. Denk aan:

Brute-force-aanvallen
Denial-of-service-aanvallen (DoS)
Misbruik van communicatieprotocollen

Waarom cybersecurity belangrijk is voor gebouwautoma-tisering en Smart Homes

Gebouwsystemen werden lange tijd ontworpen vanuit de aanname dat dreigingen vooral fysiek van aard waren. Toegang van buitenaf was nauwelijks mogelijk. Met de opkomst van slimme gebouwen, toegang op afstand en IoT-devices is dat veranderd.

Daardoor is cybersecurity nodig om:

Controllers en sensoren betrouwbaar te laten werken (zoals HVAC, verlichting, toegangscontrole)

Gebruikersdata en toegangsrechten te beschermen

Verstoring van processen en veiligheidsrisico’s te voorkomen

Belangrijk daarbij is dat het gebouwbeheersysteem vaak niet het primaire doelwit van een cyberaanval is. In plaats daarvan maken aanvallers gebruik van kwetsbaarheden in IoT-apparaten of automatiseringssystemen als toegangspoort tot het IT-netwerk. Of ze gebruiken deze kwetsbaarheden om de werking van systemen te verstoren, bijvoorbeeld via denial-of-service-aanvallen (DoS).

Veelvoorkomende cybersecurityrisico’s voor gebouwautomatisering en Smart Homes

Brute-force-aanvallen:

Herhaaldelijk raden van wachtwoorden

Denial of Service (DoS):

Overbelasting van systemen met uitval tot gevolg

Misbruik van systemen:

Ongeautoriseerd activeren van alarmen of functies

Sabotage:

Wijzigen van instellingen om de werking van systemen te verstoren

Spionage:

Monitoren van gebruikersgedrag of data

Ongeautoriseerde toegang:

Verkrijgen van ongeoorloofde toegang, bijvoorbeeld het ontgrendelen van deuren

Diefstal van data:

Ontvreemden van wachtwoorden of gebruiksgegevens

Cybersecurity in gebouwautomatisering: waarom het nodig is

1. Toename van slimme gebouwen

Gebouwen worden steeds slimmer en in toenemende mate met elkaar verbonden. Systemen voor HVAC, verlichting, toegangscontrole en energiemanagement zijn tegenwoordig vaak IP-gebaseerd. Dat vergroot de beheermogelijkheden, maar ook het risico op cyberdreigingen als beveiliging niet goed is ingericht.

2. Vertrouwen van klanten en verwachtingen van de markt

Voor adviseurs, installateurs en eindgebruikers wordt cybersecurity steeds belangrijker. Een beveiligingsincident kan leiden tot reputatieschade en verlies van vertrouwen.

3. Operationele continuïteit en veiligheid

Cyberaanvallen op gebouwsystemen kunnen leiden tot verstoringen in de werking van installaties, schade aan apparatuur of risico’s voor gebruikers. Het waarborgen van beschikbaarheid en een stabiele werking van systemen is essentieel voor zowel veiligheid als continuïteit.

4. IT/OT integratie

Door de integratie van Operational Technology (OT) met IT-netwerken ontstaan nieuwe risico’s. Gebouwbeheersystemen moeten daardoor voldoen aan bestaande cybersecurityrichtlijnen binnen IT-omgevingen, waaronder netwerksegmentatie, toegangsbeheer en monitoring.

5. Kwetsbaarheden in bestaande systemen

Veel bestaande gebouwsystemen maken gebruik van protocollen zonder encryptie of authenticatie. Het overstappen op veilige protocollen en het toepassen van een juiste netwerksegmentatie is daarom essentieel om deze risico’s te beperken.

6. Toegang op afstand en onderhoud

Toegang op afstand voor diagnose en updates biedt voordelen, maar brengt ook risico’s met zich mee. Veilige toegang, bijvoorbeeld via VPN’s en multifactor-authenticatie, is noodzakelijk om ongeautoriseerde toegang te voorkomen.

7. Cyber-fysieke dreigingen

Gebouwsystemen worden steeds vaker niet alleen aangevallen voor datadiefstal, maar ook als toegangspunt tot bredere IT-netwerken of voor sabotage. Voorbeelden hiervan zijn het uitschakelen van alarmen of het ontgrendelen van deuren. Hierdoor vormen gebouwbeheersystemen een aantrekkelijk doelwit voor aanvallers.

8. Wet- en regelgeving

Met regelgeving zoals de Verordening cyberweerbaarheid, de NIS2-richtlijn en de Algemene Verordening Gegevensbescherming (AVG) is cybersecurity een wettelijke vereiste geworden voor gebouwbeheersystemen. Deze kaders stellen eisen aan onder meer secure design, kwetsbaarheidsbeheer en incidentrespons.

Tips voor het plannen van veilige gebouwautomatisering

Gebouwautomatisering en Controle Systemen (GACS) zijn noodzakelijk om gebouwen efficiënt te laten werken, door technische functies zoals verwarming, ventilatie, verlichting en beveiliging te automatiseren. Naarmate deze systemen steeds verder integreren met IT- en industriële automatiseringstechnologieën, is cybersecurity een belangrijk aandachtspunt geworden. Dit komt door veranderende dreigingen, aangescherpte wetgeving en hogere eisen van opdrachtgevers en gebruikers.

Cybersecurity in ontwerp, aanbesteding en beheer

Cybersecurity moet al in de ontwerp- en aanbestedingsfase worden meegenomen, ook wanneer de uiteindelijke gebruikers tijdens de bouw nog niet bekend zijn. Dit vraagt om duidelijke documentatie, een heldere netwerkstructuur en een systeemontwerp waarin functies zoveel mogelijk lokaal zijn georganiseerd. Deze keuzes beperken complexiteit en verkleinen het risico op kwetsbaarheden. Daarnaast is het belangrijk om monitoringstrategieën vast te leggen, zodat storingen en beveiligingsincidenten tijdig worden gedetecteerd. Rol- en autorisatiebeheer moet vroeg in het proces worden ingericht om gebruikersrechten en toegangsbevoegdheden te beheersen en het gebruik van gedeelde accounts en ongeautoriseerde toegang te voorkomen.

Afstemming tussen IT en OT

Binnen GACS komen IT en operationele technologie (OT) samen. IT-netwerken richten zich primair op vertrouwelijkheid, integriteit en beschikbaarheid van data. OT-netwerken leggen de nadruk op beschikbaarheid, veiligheid en integriteit van fysieke processen. Effectieve cybersecurity vereist dat deze prioriteiten op elkaar zijn afgestemd, met duidelijke afspraken over verantwoordelijkheid. Dit is essentieel voor een effectieve aanpak van cybersecurity binnen gebouwautomatisering.

Beoordeling en verantwoordelijkheden

Een duidelijke toewijzing van rollen en verantwoordelijkheden tussen alle betrokken partijen, waaronder systeemintegratoren en installateurs, is noodzakelijk om risico’s beheersbaar te houden en gedurende de volledige levensduur van het systeem consistente keuzes te maken.

Netwerksegmentatie en beheer

Een degelijke OT-beveiligingsstrategie legt onder andere de systeemarchitectuur, netwerksegmentatie, patch- en assetmanagement, noodprocedures en risicobeoordeling vast. Door GACS-componenten onder te brengen in beveiligde zones en communicatie daartussen strikt te reguleren met firewalls en toegangsregels, wordt de impact van beveiligingsincidenten beperkt. Voor het afschermen van minder goed beveiligde apparaten of oudere installaties is microsegmentatie aanbevolen.

Conclusie

Een GACS dat is opgebouwd met duidelijke segmentatie, gedistribueerde besturing en lokale functionaliteit verhoogt zowel de operationele betrouwbaarheid als de weerbaarheid tegen cyberdreigingen. Oplossingen zoals ABB i-bus® KNX zijn hierop ingericht en ondersteunen deze aanpak structureel.

Tips om KNX-systemen beter te beschermen tegen cyberdreigingen

De eerste verdedigingslinie tegen cyberdreigingen is een goed ontworpen en storingsbestendig gebouwbeheersysteem. Wanneer een systeem logisch is gesegmenteerd, geen centrale faalpunten kent en besturingsfuncties zoveel mogelijk lokaal zijn ondergebracht, wordt de kwetsbaarheid aanzienlijk verkleind. Deze aanpak verhoogt de algehele beveiliging van automatiseringsoplossingen, zoals de KNX-systemen van ABB, en vermindert de risico’s die samenhangen met cyberaanvallen.

Om dit te realiseren, moet het systeemontwerp niet alleen gericht zijn op functionaliteit, maar ook op fout- en cyberbestendigheid. Al in de ontwerpfase moeten daarom de twee varianten van KNX Secure worden meegenomen en beoordeeld op basis van netwerkarchitectuur en beveiligingseisen:

KNX IP Secure: beveiligt communicatie over IP-netwerken
KNX Data Secure: beveiligt telegrammen op twisted-pair-netwerken (TP)

Aandachtspunten vóór de start van een KNX Secure-project:

Compatibiliteit van systemen
Combinaties van secure en niet-secure (plain) systemen zijn mogelijk, maar vereisen zorgvuldige planning om beveiligingslekken te voorkomen. Het is belangrijk om al vroeg in het ontwerpproces inzicht te hebben in welke apparaten KNX Secure ondersteunen.

ETS-vereisten
ABB adviseert het gebruik van ETS 6.x of hoger voor de configuratie van KNX Secure-apparaten.

Beveiliging
Zorg ervoor dat het projectbestand met een wachtwoord is beveiligd en veilig wordt geback-upt.

Firmware- en software-updates
Houd alle apparaten en ETS-software actueel om kwetsbaarheden te verhelpen en ondersteuning voor nieuwe beveiligingsfuncties te waarborgen.

Met KNX Secure moeten de engineeringwerkprocessen worden aangepast. ABB heeft hiervoor aanvullende documentatie en een gids ontwikkeld ter ondersteuning tijdens de ontwerp- en inbedrijfstellingsfase:

Gids voor Betere KNX Cyberweerbaarheid [EN]

Lees meer

Checklist voor Betere KNX Cyberweerbaarheid [EN]

Lees meer

KNX Secure Technische Details [EN]

Lees meer

Werken met KNX Secure [EN]

Lees meer

KNX Secure

KNX Secure breidt de KNX-standaard uit met mechanismen die data beschermen tegen ongeautoriseerde toegang en die de integriteit van communicatie waarborgen. Het is een fabrikant-onafhankelijke standaard die gebruikmaakt van end-to-end-encryptie (ISO 18033-3, bijvoorbeeld AES 128 CCM) om KNX-communicatie te beveiligen.

KNX Secure biedt bescherming voor verschillende toepassingen, waaronder:

Toegang tot het KNX-systeem via IP-netwerken (KNX IP Secure)
Configuratie en beheer van apparaten in de installatie (KNX Data Secure, KNX IP Secure Device Management)
Realtime communicatie tussen applicaties (KNX Data Secure)
KNX-communicatie via IP-netwerken (KNX IP Secure Routing)
Netwerksegmentatie is essentieel om de weerbaarheid van een KNX-systeem tegen cyberdreigingen en technische storingen te vergroten. Met Secure Proxies, KNX-routers en koppelingen kunnen bestaande KNX Plain-installaties behouden blijven, terwijl delen van het systeem gericht worden geüpgraded met KNX Secure-componenten. Dit voorkomt dat een volledig systeem moet worden vervangen en beperkt de initiële investeringskosten.

Belangrijkste kenmerken

End-to-end-encryptie:

Alleen geautoriseerde devices kunnen data lezen of wijzigen

Authenticatie:

Verifieert de identiteit van devices en voorkomt spoofing

Bescherming tegen manipulatie:

Detecteert en blokkeert gewijzigde of herhaalde berichten

Achterwaartse compatibiliteit

Werkt naast niet-secure KNX-devices binnen dezelfde installatie

KNX IP Secure

KNX IP Secure maakt het mogelijk om KNX-telegrammen veilig te verzenden via KNX IP-routers of -interfaces. Daarmee is het bijzonder geschikt voor bestaande installaties waarin een volledige overstap naar KNX Data Secure niet haalbaar is.

Belangrijkste voordelen en kenmerken:

Verhoogde beveiliging: versleutelt communicatie over IP-netwerken en beschermt tegen afluisteren en manipulatie. Dankzij geavanceerde cryptografische methoden blijven integriteit en authenticiteit van data gewaarborgd.
Toekomstbestendig: voldoet aan internationale beveiligingsstandaarden, zoals ISO 18033-3, en sluit aan op de toenemende cybersecurity-eisen voor slimme gebouwen en kritieke infrastructuur.
Naadloze integratie: volledig compatibel met bestaande KNX-installaties. Kan worden toegepast in zowel nieuwbouw- als renovatieprojecten zonder ingrijpende aanpassingen. Werkt naast standaard KNX-communicatie en KNX Data Secure op twisted pair (TP).
Veilige toegang op afstand: maakt veilige configuratie en monitoring van KNX-systemen op afstand mogelijk via IP-netwerken, inclusief via internet.
Bescherming tegen veelvoorkomende dreigingen: biedt bescherming tegen man-in-the-middle-aanvallen, replay-aanvallen en ongeautoriseerde toegang.

KNX Data Secure

KNX Data Secure maakt gebruik van versleutelingstechnologie om ongeautoriseerde onderschepping of manipulatie van data te voorkomen. Hiermee wordt de privacy van gebruikers beschermd en worden beveiligingsrisico’s beperkt. De configuratie vindt plaats tijdens de inbedrijfstelling van KNX Secure-apparaten via ETS.

KNX Secure-apparaten verzenden geauthenticeerde en versleutelde data via een uitgebreid KNX-telegramformaat (Extended Frames). Dit heeft geen invloed op de reactiesnelheid van apparaten. KNX Plain- en KNX Secure-apparaten kunnen binnen één installatie naast elkaar worden toegepast en ondersteunen beide communicatietypen. Secure en niet-secure communicatie kunnen echter niet binnen hetzelfde communicatieobject worden gecombineerd. In het ETS-project wordt vastgelegd welke groepsadressen gebruikmaken van secure of plain communicatie.

Belangrijkste voordelen en kenmerken:

End-to-end-encryptie: data wordt versleuteld van zender tot ontvanger, waardoor onderschepte berichten onleesbaar blijven en niet kunnen worden aangepast.
Authenticatie: apparaten verifiëren elkaars identiteit, zodat ongeautoriseerde toegang tot het netwerk wordt voorkomen.
Integriteitsbescherming: waarborgt de integriteit van data tijdens transmissie door middel van cryptografische controlesommen (Message Authentication Codes).
Extended Frames: een aangepast telegramformaat dat versleutelde gegevens bevat en tegelijkertijd achterwaarts compatibel blijft met bestaande KNX-infrastructuur.

Implementatiestappen:

Een gebouwbeheersysteem dat bestand is tegen lokale storingen, is in de basis ook beter bestand tegen cyberdreigingen. Veel cyberaanvallen zijn erop gericht kwetsbaarheden in systemen te gebruiken, wat kan leiden tot fouten of uitval. Het verschil is dat lokale storingen meestal ontstaan door fysieke oorzaken, terwijl cyberdreigingen het gevolg zijn van externe aanvallen die het systeem willen saboteren. Door robuuste beveiligingsmaatregelen toe te passen, wordt de algehele betrouwbaarheid van het gebouwbeheersysteem vergroot, zowel bij technische storingen als bij cyberaanvallen.

Ontwerpen van storingsbestendige KNX-systemen

1. Segmentatie: structureer het systeem in kleinere subsystemen, zoals KNX-lijnen, zodat storingen beperkt blijven tot een deel van het systeem en niet het gehele systeem beïnvloeden.

2. Vermijd centrale faalpunten: verdeel besturingsfuncties over meerdere componenten in plaats van te vertrouwen op één centrale hub. Dit vermindert het risico van uitval door één enkel storingspunt. Dit is en blijft een kracht van KNX.

3. Lokale besturingsfuncties: implementeer lokale besturing binnen elk subsysteem. Hierdoor blijft elk segment zelfstandig functioneren, ook als een ander deel van het systeem uitvalt.

Veilige IP-communicatie met KNXnet/IP Secure

Om systemen te beschermen tegen aanvallen van buitenaf, is het noodzakelijk om de IP-interface van het gebouwbeheersysteem te beveiligen. Door KNX IP Secure toe te passen, wordt communicatie versleuteld en zijn gegevens tussen apparaten beschermd tegen ongeautoriseerde toegang.

Cybersecurityregelgeving

Wereldwijd wordt steeds meer cybersecurity wet- en regelgeving ingevoerd, vaak in lijn met richtlijnen van organisaties zoals NIST en Europese instanties. Hoewel wordt gewerkt aan harmonisatie, blijven er regionale verschillen bestaan. We richten ons hier op Europese regelgeving. We gaan in op de belangrijkste wet- en regelgeving die invloed heeft op gebouwbeheersystemen. Raadplegen uw ABB contactpersoon voor advies in uw situatie.

Binnen Europa zijn voor de gebouwautomatiseringssector met name relevant:

Verordening Cyberweerbaarheid (CRA, Cyber Resilience Act)

De Verordening Cyberweerbaarheid (CRA, Cyber Resilience Act) heeft tot doel de cybersecurity van alle digitale producten die in de EU worden verkocht te vergroten. Dit geldt onder meer voor slimme devices, software en gebouwbeheersystemen. De verordening stelt verplichte cybersecurity-eisen aan fabrikanten gedurende de volledige levenscyclus van een product, van ontwerp tot einde levensduur. De Verordening is in werking getreden op 10 december 2024. De belangrijkste verplichtingen gelden vanaf 11 december 2027.

Belangrijkste bepalingen:

Cybersecurity-eisen: eisen voor producten met digitale elementen om hun cybersecurity te waarborgen.
Eisen aan ontwerp en productie: essentiële eisen voor het ontwerp, de ontwikkeling en de productie van digitale producten.
Omgang met kwetsbaarheden: verplichte processen voor het beheren van kwetsbaarheden gedurende de verwachte gebruiksduur van het product.
Markttoezicht: toezicht op en handhaving van naleving van de cybersecurity-eisen.

Voordelen voor klanten:

Verbeterde bescherming tegen cyberdreigingen, doordat alle verbonden producten moeten voldoen aan vastgestelde cybersecurity-eisen.
Tijdige beveiligingsupdates en patches gedurende de gehele levenscyclus van het product, waardoor het risico op kwetsbaarheden wordt verkleind.
Producten met een CE-markering moeten voldoen aan de Verordening, waardoor klanten ervan mogen uitgaan dat deze producten voldoen aan de geldende cybersecurity-eisen, tenzij anders vermeld.

Meer informatie over de Verordening is te vinden op: https://www.rdi.nl/onderwerpen/draadloze-apparatuur/handel-en-apparatuur/cra

Algemene Verordening Gegevensbescherming (AVG)

De Algemene Verordening Gegevensbescherming (AVG) is een uitgebreide privacywetgeving van de Europese Unie en geldt wereldwijd als een van de strengste wetten op het gebied van privacy en gegevensbeveiliging.

De AVG is van toepassing op alle organisaties die persoonsgegevens verwerken van personen binnen de EU. Persoonsgegevens zijn alle gegevens waarmee een persoon direct of indirect kan worden geïdentificeerd, zoals namen, e-mailadressen, IP-adressen en gedragsgegevens. Organisaties moeten een geldige reden hebben voor het verzamelen en verwerken van deze gegevens, en betrokkenen moeten daarvoor toestemming geven. Organisaties moeten duidelijk communiceren hoe persoonsgegevens worden gebruikt en hun naleving van de AVG aantoonbaar vastleggen.

Binnen KNX-systemen worden doorgaans geen persoonsgegevens opgeslagen, met uitzondering van visualisaties en gateways. Deze kunnen gegevens bevatten zoals e-mailadressen. Wanneer deze componenten worden geleverd onder een commerciële overeenkomst waarin is vastgelegd welke persoonsgegevens worden verwerkt en met welk doel, kan aan de AVG-vereisten worden voldaan.

Meer informatie over de AVG is te vinden op: https://autoriteitpersoonsgegevens.nl/themas/basis-avg/avg-algemeen/de-avg-in-het-kort

NIS2-richtlijn: beveiliging van netwerk- en informatiesystemen

De NIS2-richtlijn verplicht EU-lidstaten om op nationaal niveau eisen te stellen aan cybersecurity-risicobeheer voor kritieke sectoren, waaronder digitale infrastructuur, energie, transport en gezondheidszorg.

Het beleid rondom NIS2 is gericht op het vergroten van de cyberweerbaarheid van kritieke infrastructuren en essentiële organisaties binnen de EU. Bepaalde bedrijven en organisaties zijn verplicht om uitgebreide maatregelen te nemen ter bescherming van hun netwerken en IT-systemen.

NIS2 legt duidelijke verantwoordelijkheden vast voor naleving van cybersecurity-eisen en incidentrapportage op senior managementniveau. De richtlijn vereist robuust bestuur, transparantie en uitgebreide documentatie om aan te tonen dat blijvend aan de eisen wordt voldaan.

Organisaties moeten een all-hazards-benadering hanteren om netwerken, informatiesystemen en de fysieke omgeving te beschermen tegen potentiële incidenten. Dit vraagt om een samenhangend beveiligingsbeleid voor netwerken en informatiesystemen, waarin alle relevante systemen, assets en procedures zijn opgenomen.

Meer informatie over NIS2 is te vinden op: https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/cyberbeveiligingswet/

ABB en cybersecurity

ABB zet zich actief in voor het vergroten van cybersecurity binnen al haar producten en oplossingen. Digitale infrastructuren vragen om structurele bescherming tegen cyberdreigingen. ABB ondersteunt klanten hierbij door veilige, hoogwaardige oplossingen te leveren die voldoen aan geldende cybersecurity-standaarden. Zo helpt ABB om risico’s te beperken en systemen te beschermen.

ABB en kwetsbaarheden

Hoe klanten inzicht kunnen krijgen in bekende kwetsbaarheden in computersystemen en netwerken (CVE’s) en deze kunnen melden bij ABB