GBS-beveiliging: kwetsbaarheden in gebouwregelaars en wat fabrikanten adviseren

Kort antwoord: In oktober 2026 publiceerden CISA, Siemens en CERT-FR advisories over kwetsbaarheden en incidenten in gebouwregelaars, netwerkapparatuur en koelcontrollers, onder meer Siemens Desigo PXC/PXM en APOGEE, Johnson Controls EasyIO, Red Lion N-Tron 700-switches, en Danfoss AK-SM/AK-SC, Copeland xweb en Dixell xweb. CERT-FR (12 oktober 2026, bijgewerkt 13 oktober 2026) meldt talrijke compromitteringen van beheerinterfaces van koelinstallaties op afstand; blootstelling van zo'n interface aan internet is volgens CERT-FR in strijd met goede praktijken. Voor een deel is volgens de fabrikant geen fix gepland. CISA adviseert besturingssystemen niet vanaf internet bereikbaar te maken, ze achter firewalls te plaatsen en gescheiden te houden van het kantoornetwerk, en voor toegang op afstand veiligere methoden zoals een VPN te gebruiken.

Bijgewerkt: 15 oktober 2026 · Bronnen: CISA · Siemens ProductCERT · CERT-FR · NCSC

Recente advisories over gebouwregelaars en netwerkapparatuur

Overzicht van de advisories die Degero in het M&R-nieuws heeft samengevat. Elke regel linkt naar het nieuwsbericht met de volledige bron.

Wat CISA adviseert voor besturingssystemen

CISA neemt in zijn ICS-advisories een vaste lijst aanbevolen maatregelen op. In het advisory over de N-Tron 700-switches luidt die:

Minimize network exposure for all control system devices and/or systems, ensuring they are not accessible from the internet.

Bron: CISA – ICSA-26-281-01, Recommended Practices (8 oktober 2026)

Locate control system networks and remote devices behind firewalls and isolating them from business networks.

Bron: CISA – ICSA-26-281-01, Recommended Practices (8 oktober 2026)

When remote access is required, use more secure methods, such as Virtual Private Networks (VPNs), recognizing VPNs may have vulnerabilities and should be updated to the most current version available. Also recognize VPN is only as secure as the connected devices.

Bron: CISA – ICSA-26-281-01, Recommended Practices (8 oktober 2026)

CISA vraagt organisaties daarnaast een impactanalyse en risicobeoordeling te maken voordat zij maatregelen invoeren.

Wat de fabrikanten zelf noemen

• Siemens (SSA-333035): de FTP/Web-service uitschakelen (die staat standaard uit op APOGEE, Desigo en TALON), netwerksegmentatie toepassen en de controllers achter goed geconfigureerde gateways/firewalls plaatsen. Algemeen adviseert Siemens de netwerktoegang tot de producten met passende mechanismen te beschermen. Bron
• Johnson Controls EasyIO Neo (via CISA): HTTPS/TLS afdwingen, HTTP volledig uitschakelen, de regelaars in een gesegmenteerd netwerk achter een firewall plaatsen en op afstand via VPN werken. Bron
• Johnson Controls EasyIO FG (via CISA): geen firmwarepatch; migratie naar ondersteunde producten, bijvoorbeeld EasyIO Neo R1 Series. Bron
• Red Lion N-Tron 700 (via CISA): firmware 3.11.1 of hoger, SNMP-communities configureren of uitschakelen, toegang tot de web-GUI uitschakelen. Bron
• CERT-FR (koelcontrollers Danfoss/Copeland/Dixell): internetblootstelling van beheerinterfaces verwijderen; configuratie controleren (o.a. ontdooiperiodes); toegang alleen via beveiligde VPN of beschermd netwerk; fabrikantaanbevelingen volgen (firmware bijwerken; voor Danfoss: beveiligingsniveau Strict en standaardwachtwoorden wijzigen); bij compromis fabrieksreset en herconfiguratie. Bron

Cyberbeveiligingswet (Cbw)

De Cbw stelt eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen.

Bron: NCSC – samenwerkafspraken Cyberbeveiligingswet (7 oktober 2026)

Volgens het NCSC krijgen deze organisaties onder andere een registratie-, meld- en zorgplicht en moeten zij zich registreren in het nationaal entiteitenregister. Meer in het nieuwsbericht NCSC en toezichthouders tekenen samenwerkafspraken.

Veelgestelde vragen

Wat adviseert CERT-FR concreet voor Danfoss-apparaten?

Volgens CERT-FR: de firmware bijwerken, het beveiligingsniveau instellen op de modus Strict en zorgen dat standaardwachtwoorden zijn gewijzigd.

Is er een update voor Siemens Desigo PXC?

Volgens Siemens (SSA-333035, 13 oktober 2026) is voor de genoemde Desigo PXC/PXM-producten momenteel geen fix gepland. Siemens adviseert netwerksegmentatie en de controllers achter goed geconfigureerde gateways/firewalls te plaatsen. Voor APOGEE PXC (BACnet) en TALON TC is V3.5.7 beschikbaar, voor APOGEE PXC (P2 Ethernet) V2.8.21.

Wat adviseert CISA voor gebouwautomatisering en andere besturingssystemen?

CISA adviseert de netwerkblootstelling van alle besturingsapparatuur te minimaliseren zodat die niet vanaf internet bereikbaar is, besturingsnetwerken en apparaten op afstand achter firewalls te plaatsen en te isoleren van bedrijfsnetwerken, en bij toegang op afstand veiligere methoden zoals VPN te gebruiken. CISA wijst erop dat een VPN zelf kwetsbaarheden kan hebben en actueel gehouden moet worden, en dat een VPN maar zo veilig is als de verbonden apparaten.

Wat als een gebouwregelaar end-of-life is?

Bij de EasyIO FG-serie meldt Johnson Controls via CISA (ICSA-26-279-01) dat de serie end-of-life en end-of-support is en dat er geen firmwarepatch komt. CISA adviseert migratie naar ondersteunde producten en isolatie in BAS/OT-netwerken zonder internetblootstelling.

Staat de webservice op Siemens APOGEE, Desigo en TALON standaard aan?

Nee. Siemens vermeldt in SSA-333035 dat de FTP/Web-service standaard is uitgeschakeld op APOGEE-, Desigo- en TALON-producten, en adviseert die service uit te schakelen als mitigatie voor CVE-2026-102073 tot en met CVE-2026-102076.

Valt mijn gebouw onder de Cyberbeveiligingswet?

Volgens het NCSC stelt de Cyberbeveiligingswet eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen. Die organisaties krijgen onder andere een registratie-, meld- en zorgplicht. Of uw organisatie daaronder valt, hangt af van de sector en de diensten; dat staat niet vast per gebouw. Dit is geen juridisch advies.

Weten hoe uw GBS ervoor staat?

Degero kijkt onafhankelijk mee naar uw gebouwbeheersysteem: welke regelaars en firmware er draaien, hoe toegang op afstand is geregeld en wat de fabrikant daarover zegt. Alleen voor de opdrachtgever, zonder verkoopbelang bij een merk.

Deze pagina geeft weer wat de genoemde bronnen publiceren; het is geen beveiligingsadvies voor uw specifieke installatie.