MYNRG

Zoeken

Doe de MYNRG Check

Hoofdstukken van deze gids

Slim sturen Gids · 13 hoofdstukken

Deel 1 · Meter en gegevens

Deel 2 · Zelfverbruik en sturing

Deel 3 · Dynamische prijzen

Deel 4 · Veiligheid

13Cyberveiligheid

Tot slot

Gids slim sturen · Deel 4 · Veiligheid

13Cyberveiligheid

In het kort

Omvormers, batterijen en laadpalen zijn netwerktoestellen. Ze hebben dezelfde basisrisico's als andere slimme apparaten: een standaardwachtwoord, ontbrekende updates en een open verbinding.

Europa voert er stapsgewijs regels voor in. Zelf win je het meeste door standaardwachtwoorden te wijzigen, updates te installeren, het toestel niet open op internet te zetten en onnodige functies uit te schakelen. Safeonweb, de website van het Centrum voor Cybersecurity België, noemt zes gewoonten voor verbonden toestellen.

Wat kan er misgaan?

Een verbonden energietoestel heeft drie zwakke plekken:

Het account of de cloud waarmee je app inlogt.
De lokale verbinding: netwerkpoort, wifi, Modbus of P1-lezer (Communicatie: Modbus, API, lokaal of cloud).
De software van het toestel (firmware): bevat die fouten en komen er updates?

Het gevolg kan zijn dat iemand je gegevens ziet, dat het toestel niet meer werkt of, in het slechtste geval, dat het ongewenst wordt aangestuurd. Hoe vaak dit bij woninginstallaties in Vlaanderen voorkomt, is niet bekend: er bestaan eisen en tests, geen tellingen.

Tekening volgteen woning met omvormer, batterij en laadpaal. Drie plekken zijn omcirkeld in potlood: het wolkje boven het dak (account en cloud), de netwerkkabel tussen de toestellen (lokale verbinding) en een klein chipje in de omvormer (firmware).

Wat zegt onderzoek over omvormers?

Het Amerikaanse onderzoekscentrum NREL publiceerde in november 2021 een rapport over de certificering van toestellen die aan het net hangen:

De interconnectienorm IEEE 1547-2018, die bepaalt hoe een omvormer aan het net hangt, laat cybersecurity buiten beschouwing. Een goedgekeurde netaansluiting zegt dus niets over de digitale beveiliging.
Voor cybersecurity van deze toestellen bestonden toen geen certificeringsstandaarden of -programma's.
Veel toestellen zijn vaak onversleuteld en missen veilige firmware-updates en basisaanmelding.

Dat rapport komt uit de Verenigde Staten en dateert van 2021. Het is geen meting van de Belgische markt.

Beveiligde Modbus

Klassiek Modbus (Communicatie: Modbus, API, lokaal of cloud) heeft geen aanmelding en geen versleuteling. De variant Modbus/TCP Security voegt TLS (een versleutelde verbinding) toe op poort 802, met wederzijdse controle via certificaten en toegangsrechten per rol. Of jouw toestel dat ondersteunt, staat in de handleiding.

Wat de P1-poort wel en niet doet

De P1-poort van de digitale meter werkt in één richting. De voorschriften van Fluvius eisen dat de meter er niet door beïnvloed kan worden. Het risico zit dus niet in de poort, maar in de app of het toestel dat je aansluit: elke app op een actieve P1-poort kan alles lezen (Energiedata en monitoring).

Normen en wetten

⏱ Deze regels komen stap voor stap in werking.

Radioapparatuur. Een Europese verordening (2022/30) eist dat radioapparatuur die zelfstandig via internet kan communiceren, voldoet aan eisen voor netwerkbescherming, bescherming van persoonsgegevens en fraudebescherming. Die eisen gelden sinds 1 augustus 2025. Een toestel met wifi of mobiel netwerk valt hier waarschijnlijk onder.
Cyber Resilience Act (CRA). Deze Europese verordening verplicht fabrikanten van hardware en software met een gegevensverbinding om cybersecurity in het product op te nemen en kwetsbaarheden te beheren tijdens een ondersteuningsperiode. De meldingsplicht voor actief uitgebuite kwetsbaarheden geldt sinds 11 september 2026, ook voor producten die al op de markt zijn. De volledige toepassing volgt op 11 december 2027. Producten die vóór die datum op de markt kwamen, vallen daarna enkel onder de eisen bij een substantiële wijziging.
Einddatum van updates. De fabrikant bepaalt de ondersteuningsperiode, maar moet de einddatum (maand en jaar) duidelijk vermelden bij aankoop. Vraag er dus naar.
IEC 62443. Een reeks internationale normen voor het beveiligen van industriële regelsystemen. Een verwijzing ernaar zegt pas iets als je weet voor welk deel ze geldt: het product, het ontwikkelproces of het hele systeem.

Wie beheert het account?

Zorg dat jij als eigenaar het hoofdaccount en de beheerderstoegang hebt. De installateur kan een onderhoudsrol krijgen, maar niet jouw hoofdwachtwoord. Spreek af wie rechten mag wijzigen en hoe toegang weer wordt ingetrokken. Deel nooit één wachtwoord met alle betrokkenen. Een fabrikant of installateur die je gegevens mag inkijken, mag daarom nog niet je toestellen sturen: toegang tot gegevens en toegang tot bediening zijn twee afzonderlijke rechten.

Wat doe je zelf?

Safeonweb noemt zes gewoonten voor verbonden toestellen:

Onderzoek vóór aankoop. Lees reviews en kijk of de fabrikant updates blijft uitbrengen en ondersteuning biedt.
Wijzig standaardwachtwoorden. Neem een lang, uniek wachtwoord dat je nergens anders gebruikt.
Installeer updates. Zet automatische updates aan of stel een maandelijkse herinnering in.
Beveilig je wifi. Sterk wachtwoord, een beperkt aantal verbonden toestellen en een apart gastennetwerk voor bezoek.
Schakel onnodige functies uit.
Houd bij welke toestellen op je netwerk zitten en verwijder wat je niet kent.

Daarbovenop is dit verstandig:

Zet een toestel met klassiek Modbus (poort 502) nooit open naar internet, dus geen poort doorsturen.
Vraag je installateur (Erkende installateur) om alle beheerderswachtwoorden over te dragen. Laat geen permanente toegang op afstand open staan als die niet nodig is.
Sluit op de P1-poort enkel apps aan van partijen die je vertrouwt.

Rekenvoorbeeld

Een gezin heeft een hybride omvormer, een thuisbatterij, een laadpaal, een warmtepomp en een P1-lezer, alles via wifi en een app. Zo maak je in twintig minuten een inventaris:

Toestel	Wat controleer je?	Waar?
Router	Wifi-wachtwoord sterk en uniek, gastennetwerk voor bezoek, lijst met verbonden toestellen	Beheerpagina of app van de router
Omvormer	Standaardwachtwoord gewijzigd, firmware recent, toegang van de installateur nog nodig?	Beheerpagina of app
Batterij	Idem. Staat de lokale interface, als die er is, open naar internet?	Beheerpagina of app
Laadpaal	Idem, beheerderscode gewijzigd	App
P1-lezer	Enkel vertrouwde apps aangesloten, firmware recent	App
Cloudaccounts	Uniek wachtwoord per account, indien mogelijk tweestapsverificatie	Per dienst

Vraag bij aankoop of de offerte ook de einddatum van de beveiligingsupdates vermeldt.

Goed om te weten

De norm voor de netaansluiting zegt niets over cybersecurity. IEEE 1547-2018 beschouwt het als buiten het bestek.
De Europese eisen komen gefaseerd. Een toestel dat je nu koopt, valt niet noodzakelijk onder de volledige CRA. Vraag daarom zelf naar de einddatum van de beveiligingsupdates.
Een standaardwachtwoord wijzigen duurt één minuut. Safeonweb zet het op nummer 2 van zes gewoonten.
Een beveiligingslaag tussen netwerk en toestel kan veel oplossen. Dat is een keuze voor je router of netwerk en geen standaardvoorziening.
Het risico van de P1-poort zit bij wat je aansluit. De poort zelf is enkel lezen.

Voor- en nadelen

Aanpak	Voordelen	Nadelen
Maatregelen op het toestel (wachtwoord, updates)	Weinig tijd, weinig kosten, direct effect	Afhankelijk van wat de fabrikant aanbiedt. Jij moet eraan denken.
Extra netwerklaag (apart netwerk voor energietoestellen)	Beperkt de schade als één toestel zwak is	Vraagt kennis of een installateur. Kan lokale functies bemoeilijken.
Enkel vertrouwen op wetgeving	Geen eigen werk	De CRA is pas volledig van kracht op 11 december 2027 en geldt niet volledig voor eerder verkochte producten.

Voor wie het technisch wil weten

Bump-in-the-wire. Een apparaat tussen netwerk en toestel dat verkeer controleert, authenticeert of versleutelt voor een toestel dat dat zelf niet kan.
TLS in Modbus. TLS 1.2 of hoger, wederzijdse certificaten (X.509) en een rolextensie in het certificaat die bepaalt wat een client mag doen. Terugvallen op oudere versies is niet toegelaten.
Structuur van IEC 62443. Deel 4-1 richt zich op het ontwikkelproces van de fabrikant, deel 4-2 op het product en deel 3-3 op het geheel dat een bouwer of integrator samenstelt. Wie een certificaat toont, moet zeggen op welk deel het slaat.
Radioapparatuur en CRA. Beide gaan over producten met een netwerkverbinding. Welke van de twee in een concreet geval telt, hangt af van het toestel. Vraag dat aan de fabrikant.

Veelgestelde vragen

Kan een omvormer gehackt worden?

Elk netwerktoestel kan zwakke plekken hebben. Er zijn geen cijfers over hoe vaak dat bij Vlaamse woninginstallaties voorkomt. De beste verdediging is een nieuw wachtwoord, updates en geen open verbinding met internet.

Wat is het belangrijkste dat ik moet doen?

Het standaardwachtwoord wijzigen en updates installeren.

Wie moet het hoofdaccount beheren?

Jij, als eigenaar. De installateur kan een onderhoudsrol krijgen. Spreek af wie rechten mag wijzigen en deel geen algemeen wachtwoord.

Maakt een elektrische keuring mijn installatie digitaal veilig?

Nee. Een keuring beantwoordt andere vragen dan digitale beveiliging. Controleer accounts, updates en netwerktoegang dus afzonderlijk.

Valt mijn toestel onder de Cyber Resilience Act?

De volledige eisen gelden voor producten die na 11 december 2027 op de markt komen. Voor eerder verkochte toestellen gelden ze enkel bij een substantiële wijziging. De meldingsplicht voor actief uitgebuite kwetsbaarheden geldt sinds 11 september 2026 ook voor hen.

Bronnen bij dit hoofdstuk