Kort antwoord: OT (operationele technologie) in utiliteitsgebouwen is de sturing van klimaat- en installatiesystemen: gebouwbeheersystemen (GBS), DDC-regelaars, koel- en luchtbehandelingregelaars — vaak met toegang op afstand voor onderhoud. Die OT-laag valt buiten klassieke kantoor-IT-monitoring en heeft eigen kwetsbaarheden. CISA adviseert besturingsapparatuur niet vanaf internet bereikbaar te maken, besturingsnetwerken achter firewalls te plaatsen en te scheiden van bedrijfsnetwerken, en bij remote toegang veiligere methoden (zoals VPN) te gebruiken — met de kanttekening dat een VPN zelf kwetsbaarheden kan hebben. Actuele fabrikant- en CERT-advisories: zie GBS-beveiliging.
Dit is geen juridisch advies en geen beveiligingsadvies voor een specifieke installatie. CISA, NCSC, CERT’s en fabrikanten blijven leidend.
Bijgewerkt: · Bronnen: CISA ICS · CISA OT-mitigaties · NCSC · Cyberbeveiligingswet
Wat is OT in gebouwautomatisering?
OT staat voor operationele technologie: systemen die fysieke processen meten en sturen. In utiliteitsgebouwen hoort daarbij typisch:
- het gebouwbeheersysteem (GBS) en de bijbehorende visualisatie/servers;
- DDC-regelaars en veldapparatuur voor verwarming, koeling en luchtbehandeling;
- koelcontrollers en vergelijkbare installatieregelaars (vaak met web/remote beheer);
- toegang op afstand voor onderhoud door installateur of fabrikant.
Die laag is niet hetzelfde als kantoor-IT (mail, documenten, kantoornetwerk), al zijn ze in de praktijk vaak gekoppeld. Actuele kwetsbaarheden in gebouwregelaars en koelcontrollers: GBS-beveiliging.
Waarom OT anders is dan kantoor-IT
In utiliteit blijven regelaars vaak jaren tot decennia in bedrijf. Onderhoud gebeurt regelmatig via remote toegang door derden. Patches en firmware volgen een ander ritme dan kantoorsoftware. CISA beschrijft OT/ICS-dreigingen apart van generieke IT en publiceert mitigaties die juist op besturingssystemen gericht zijn.
Minimize network exposure for all control system devices and/or systems, ensuring they are not accessible from the internet.
Bron: CISA – ICSA-26-281-01, Recommended Practices (8 oktober 2026; Update A 15 oktober 2026)
Locate control system networks and remote devices behind firewalls and isolating them from business networks.
Bron: CISA – ICSA-26-281-01, Recommended Practices (8 oktober 2026; Update A 15 oktober 2026)
When remote access is required, use more secure methods, such as Virtual Private Networks (VPNs), recognizing VPNs may have vulnerabilities and should be updated to the most current version available. Also recognize VPN is only as secure as the connected devices.
Bron: CISA – ICSA-26-281-01, Recommended Practices (8 oktober 2026; Update A 15 oktober 2026)
CISA vraagt organisaties daarnaast een impactanalyse en risicobeoordeling te maken voordat zij maatregelen invoeren.
Basismaatregelen (volgens CISA)
Onderstaande punten komen uit CISA’s Primary Mitigations to Reduce Cyber Threats to Operational Technology en de Recommended Practices bij ICS-advisories. Ze zijn geen checklist van Degero en geen juridische plicht per gebouw.
- Geen openbaar internet naar OT. CISA: verwijder OT-verbindingen met het openbare internet; OT-apparaten zijn makkelijke doelen als ze aan internet hangen.
- Standaardwachtwoorden wijzigen. CISA: verander default passwords onmiddellijk; gebruik sterke, unieke wachtwoorden.
- Remote toegang beveiligen. Als remote toegang essentieel is: private IP / VPN, sterk wachtwoord, en phishing-resistente multifactorauthenticatie (MFA) voor gebruikersremote toegang; least privilege; slapende accounts uitschakelen (CISA Primary Mitigations).
- IT en OT segmenteren. CISA: segmentatie van kritieke systemen en een DMZ voor controledata naar enterprise-logistiek.
- Back-ups en handmatig blijven draaien. CISA noemt onder meer softwareback-ups en het vermogen om OT handmatig te blijven bedienen na een incident — oefen dat.
Remove OT connections to the public internet.
Bron: CISA – Primary Mitigations to Reduce Cyber Threats to Operational Technology (6 mei 2025)
Segment IT and OT networks.
Bron: CISA – Primary Mitigations to Reduce Cyber Threats to Operational Technology (6 mei 2025)
If remote access is essential, upgrade to a private IP network connection to remove these OT assets from the public internet and use virtual private network (VPN) functionality with a strong password and phishing-resistant multifactor authentication (MFA) for user remote access.
Bron: CISA – Primary Mitigations to Reduce Cyber Threats to Operational Technology (6 mei 2025)
Fabrikantspecifieke mitigaties (Siemens, EasyIO, CERT-FR koelcontrollers): GBS-beveiliging.
Wet- en toezichtkader (kort)
De Cbw stelt eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen.
Bron: NCSC – samenwerkafspraken Cyberbeveiligingswet (7 oktober 2026)
Volgens het NCSC krijgen deze organisaties onder andere een registratie-, meld- en zorgplicht en moeten zij zich registreren in het nationaal entiteitenregister. Toezichthouders controleren naleving; welke toezichthouder hangt af van de sector.
Officiële wetstekst: Cyberbeveiligingswet · wetten.overheid.nl (geldend vanaf 15 augustus 2026). Meer context: nieuwsbericht NCSC en toezichthouders tekenen samenwerkafspraken.
Actuele advisories (Siemens, EasyIO, koelcontrollers)
Voor concrete CVE’s, firmwarestatus en fabrikantadvies verwijzen we naar de hub GBS-beveiliging, met onder meer:
- Siemens ProductCERT (o.a. Desigo/APOGEE) — SSA-333035;
- CISA ICS-advisories over EasyIO en netwerkapparatuur;
- CERT-FR-alert over koelcontrollers (Danfoss / Copeland / Dixell) — CERTFR-2026-ALE-012.
Veelgestelde vragen
Wat is OT in gebouwautomatisering?
OT (operationele technologie) is de technologie die fysieke processen aanstuurt. In utiliteit gelden tot die laag onder meer het GBS, DDC-regelaars en regelaars voor koeling en luchtbehandeling. Remote onderhoud hoort vaak bij die installaties. Dit is een toelichting, geen wettelijke definitie.
Waarom verschilt OT van kantoor-IT?
Besturingsapparatuur heeft vaak een lange levensduur, vendor-toegang voor onderhoud, en wordt niet hetzelfde gemonitord als kantoor-IT. CISA waarschuwt specifiek voor OT/ICS die aan internet hangen en noemt aparte mitigaties (geen internetblootstelling, segmentatie IT/OT, beveiligde remote toegang).
Mag een GBS- of koelregelaar vanaf internet bereikbaar zijn?
CISA (Recommended Practices bij ICS-advisories): minimaliseer netwerkblootstelling van alle besturingsapparatuur zodat die niet vanaf internet bereikbaar is. CERT-FR meldt bij koelcontrollers dat blootstelling van beheerinterfaces aan internet in strijd is met goede praktijken. Zie ook de pagina GBS-beveiliging.
Welke basismaatregelen noemt CISA voor OT?
Onder meer: OT-verbindingen met het openbare internet verwijderen; standaardwachtwoorden onmiddellijk wijzigen; remote toegang beveiligen (o.a. VPN met sterk wachtwoord en phishing-resistente MFA waar remote toegang essentieel is); IT- en OT-netwerken segmenteren; softwareback-ups en het vermogen om handmatig te blijven draaien oefenen. Bron: CISA Primary Mitigations for OT (mei 2025) en Recommended Practices in ICS-advisories.
Valt mijn utiliteitsgebouw onder de Cyberbeveiligingswet?
Volgens het NCSC stelt de Cyberbeveiligingswet eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen (registratie-, meld- en zorgplicht). Of uw organisatie daaronder valt, hangt af van sector en diensten — niet automatisch van “er staat een GBS in het gebouw”. Dit is geen juridisch advies. Wetstekst: wetten.overheid.nl (Cyberbeveiligingswet).
Waar vind ik actuele advisories over Siemens, EasyIO of koelcontrollers?
Op de Degero-pagina GBS-beveiliging staan recente advisories van CISA, Siemens (o.a. Desigo/APOGEE), EasyIO en CERT-FR (koelcontrollers), met links naar de officiële bronnen. Fabrikant-CERT-pagina’s blijven leidend.
Geeft Degero een cybersecurity-certificaat of vaste prijs?
Nee. Deze pagina is feitelijke uitleg met bronnen. Degero geeft onafhankelijk advies aan de kant van de gebouweigenaar; geen keuring, geen certificaat en geen vaste prijs op deze pagina. Voor een gesprek: contact of afspraak.
Volgende stap
Wilt u de OT-kant van uw GBS of remote onderhoud laten meenemen in een onafhankelijke beoordeling? Degero adviseert aan de kant van de gebouweigenaar — zonder hardwareverkoop.
Bronnen
- CISA – ICSA-26-281-01, Recommended Practices (8 oktober 2026; Update A 15 oktober 2026)
- CISA – Primary Mitigations to Reduce Cyber Threats to Operational Technology (6 mei 2025)
- NCSC – samenwerkafspraken Cyberbeveiligingswet (7 oktober 2026)
- Cyberbeveiligingswet · wetten.overheid.nl (geldend vanaf 15 augustus 2026)
- Siemens ProductCERT – SSA-333035
- CERT-FR – CERTFR-2026-ALE-012
Geen juridisch advies. CISA, NCSC, CERT’s en fabrikanten blijven leidend. Bijgewerkt: 16 oktober 2026. Indexering/meten volgens Google-tijdslijnen: ~15 nov en ~15 dec 2026 (geen ranking-claim nu).
Verder lezen
GBS-beveiliging · Gebouwbeheersysteem · Gebouwbeheer op afstand · NCSC Cyberbeveiligingswet · Second opinion GBS-offerte · Contact · Afspraak