Juni 2026
Digitale warmtepomp moet op slot
Cyber
We horen steeds vaker over de gevaren én gevolgen van een digitale inbraak. Dit raakt niet alleen het bedrijf zelf, maar ook de honderden of duizenden mensen van wie de gegevens in de digitale systemen staan. Dat terwijl het juist zo handig is; monitoring en zelfs beheer en onderhoud van een warmtepompsysteem op afstand. Vier fabrikanten vertellen wat zij doen, en wat zij willen zij dat hun klanten doen, om die digitale risico’s bij online monitoring en service te minimaliseren.
Dreigings- en risicoanalyse
Nefit Bosch biedt de vakman toegang tot de HomeCom Pro webportal. Deze maakt het mogelijk om toestellen via een gateway op afstand te monitoren. Installateurs krijgen per e-mail proactief een melding wanneer er een vergrendelde storing optreedt.
Zij kunnen de status van de cv-ketel of warmtepomp bekijken, de gemeten waarden interpreteren en, als dat nodig is, op afstand de instellingen wijzigen. ‘Bosch Home Comfort treft diverse maatregelen om te voorkomen dat onbevoegden toegang krijgen tot warmtepompsystemen die met het internet zijn verbonden. Die aanpak is gebaseerd op een formeel proces voor dreigings- en risicoanalyse’, zegt Jan Bosch van Nefit Bosch. ‘Dit begint met een zogeheten Threat Analysis and Risk Assessment, afgekort als TARA, voor al onze producten. We voeren een systematische analyse uit om potentiële aanvallers, hun motivaties en mogelijke aanvalsscenario’s in kaart te brengen, zodat we technische en organisatorische maatregelen kunnen nemen. Vervolgens implementeren we concrete technische maatregelen, zoals de beveiligde injectie van cryptografische sleutels - dus wachtwoorden en digitale sleutels. Daarnaast ontwerpen we systemen die de warmtepompen ondersteunen zodanig, dat deze veilige connectiviteit garanderen en persoonlijke gegevens volgens de GDPR-wetgeving beschermen. Ook vindt er een doorlopend proces plaats voor het beheren van kwetsbaarheden in alle IT-systemen, applicaties en producten gedurende hun hele levenscyclus.’
Goed georganiseerd beheer
Volgens Bosch is ook het beheer van toegang binnen Bosch Home Comfort organisatorisch verankerd.
Het bedrijf heeft een Cybersecurity Officer voor Enterprise IT (CSO-E), die verantwoordelijk is voor de implementatie, monitoring en coördinatie van alle cyberbeveiligingsmaatregelen. ‘Deze persoon zorgt voor afstemming met iedereen die gaat over toegangsbeheer. Binnen dat proces hebben we daarnaast duidelijk omschreven rollen voor onder meer de IT-owner en projectmanager. Die zijn verantwoordelijk voor het beheer van de systemen. Voor het beheren van identiteiten maken we gebruik van centrale systemen voor interne medewerkers en voor externen. Hierop vindt een gestandaardiseerde en gecontroleerde aanpak van toegangsbeheer plaats. De IT-owners zijn verantwoordelijk voor het actueel houden van toegangsrechten.’ Verder vertelt Bosch dat het bedrijf een formeel protocol heeft, mocht het onverhoopt misgaan. Een speciaal Cyber Emergency & Product Security Incident Response Team is verantwoordelijk voor binnenkomende meldingen over kritieke kwetsbaarheden en reageert gestructureerd en gecoördineerd om de impact te beperken en de nodige maatregelen te treffen.
‘Installateurs moeten altijd inloggen met persoonlijke accounts’
Internationale beveiligingsstandaarden
‘Vanzelfsprekend vinden we het ontzettend belangrijk dat alle verbonden warmtepompen veilig zijn’, zegt Erik Jansen, product manager connectivity bij Vaillant Nederland. ‘Daarom werken we in onze myVaillant Pro Service tool volgens internationaal erkende beveiligingsstandaarden, zoals ISO/IEC 27001 en ISA/IEC 62443. We testen, scannen en controleren onze systemen zeer regelmatig. Denk dan aan risicobeoordelingen, kwetsbaarheidsscans en proefinbraken (pentests). We hebben een eigen securityteam dat continu meekijkt met wat er in de wereld gebeurt op beveiligingsgebied. Zodra er iets verandert of als het team een mogelijke kwetsbaarheid ontdekt, rollen we snel updates en patches uit. Zo houden we onze systemen zo veilig mogelijk en verkleinen we de kans dat iemand van buiten erbij kan.’
Volgens Jansen krijgen installateurs en partners die met hun systemen werken duidelijke richtlijnen mee over veilig gebruik. ‘Dat betekent dat installateurs altijd moeten inloggen met persoonlijke accounts, en dus niet met gedeelde wachtwoorden mogen werken. Wij eisen ook dat ze via goedgekeurde, beveiligde toegangsmethoden werken en up-to-date software gebruiken. En dat ze werken met sterke wachtwoorden en de voorschriften volgen voor veilig netwerkgebruik. Wij bieden klanten ook documentatie en instructies die helpen om op een veilige manier met onze producten en diensten te werken. Zo houden we samen de keten veilig.’
Eigen accounts managen
Vaillant hanteert een strak proces om te zorgen dat alleen de juiste mensen toegang hebben tot hun online systeem. ‘Via regelmatige audits en controles kijken we of accounts nog kloppen en of iemand misschien geen toegang meer zou moeten hebben. Vaillant zorgt hierbij voor het veilige platform, de governance, de monitoring en alle processen rondom toegangsbeheer. De installateurs en servicepartners managen zelf de accounts voor bijvoorbeeld de myVaillant Pro Service tool binnen hun organisatie. Dus als iemand vertrekt of een andere rol krijgt, zijn zij degenen die dat moeten bijwerken. Dankzij logging, monitoring en periodieke controles blijft het systeem actueel en veilig.’
Mocht er desondanks toch iets misgaan, dan heeft Vaillant een incident response-plan klaarstaan. ‘Ons securityteam monitort continu, zodat het meteen kan ingrijpen door snel patches en fixes uit te rollen.’
Samenwerking in keten is cruciaal
Remeha neemt diverse maatregelen, groot en klein, om de systemen die online te benaderen zijn, zo veilig mogelijk te maken. Daarover vertelt Tonnie Vinke, portfolio expert bij Remeha. ‘Cyberbeveiliging en gegevensbescherming nemen we serieus, al vanaf het ontwerp. Onze producten en digitale platforms zijn opgebouwd met meerdere beveiligingslagen, zoals versleutelde communicatie en duidelijke toegangsrechten. Zo zorgen we ervoor dat systemen betrouwbaar en veilig blijven, ook wanneer ze op afstand worden gebruikt.’
Een voorbeeld is de wijze waarop Remeha het online koppelen met toestellen heeft ingericht. ‘Voorheen kon je met een toestel verbinding maken als je de koppelcode had. Tegenwoordig gaat dat via een verificatie waarbij je op locatie bij het toestel aanwezig moet zijn.’ Vinke geeft ook aan dat samenwerking in de keten cruciaal is: ‘Installateurs en servicepartners spelen een essentiële rol in de veilige werking van onze verbonden warmtepompsystemen. Daarom ondersteunen we hen met duidelijke richtlijnen en gerichte trainingen. In die trainingen besteden we aandacht aan het veilig installeren en in bedrijf stellen van systemen, maar ook aan het verantwoord gebruik van verbonden functionaliteiten, zoals het beheer van inloggegevens, toegangsrechten en service op afstand.’
‘Vanaf de fabriek hangt er een uniek wachtwoord aan elk product’
Communiceren via 4G
Martijn van Leerdam, coördinator productmanagement bij Alklima vertelt welke maatregelen Mitsubishi Electric heeft genomen om toegang tot de MELCloud te krijgen. ‘Als installatie- of servicebedrijven een warmtepompsysteem op afstand willen monitoren en beheren, dan gebruiken ze daar niet de internetverbinding van de klant voor. We rusten de regelaars voor het beheer op afstand uit met een 4G module, waarmee het onderhoudsbedrijf contact met de installatie kan maken. Het voordeel is dat zo’n verbinding minder kwetsbaar is en de eventuele gevolgen van een hack voor de klant relatief klein. Niemand kan in zo’n geval via de installatie in het netwerk van de woning of het gebouw komen. De wifi-adapter die ook in het toestel zit, is puur bedoeld voor de gebruikers zelf, zodat zij de installatie met de MELCloud Home app kunnen bedienen.’ Een andere maatregel waarmee Mitsubishi Electric de producten veiliger maakt, is een productspecifiek wachtwoord. ‘Vroeger zag je nog wel dat we met een generiek wachtwoord toegang tot producten konden krijgen. Nu hangt er, vanaf de fabriek, een uniek wachtwoord aan elk product. Dat is gekoppeld aan het serienummer. Als de installateur het wachtwoord kwijt is, moet hij dat via ons bij Mitsubishi Electric opvragen.’
Toegangsrechten intrekken
Volgens Van Leerdam ligt er ook een grote verantwoordelijkheid bij de eigenaar van de installatie en de installateur. ‘Een installatiebedrijf kan toegang krijgen tot het systeem, maar pas als het gebouw en de installatie bij Mitsubishi Electric zijn aangemeld. Wij weten dan wie de eigenaar is en welke installateur het beheer over die installatie voert. De eigenaar kan, als hij van technisch dienstverlener wisselt, in het systeem de oude installateur eruit halen en de nieuwe toegang geven. De installateur is vervolgens verantwoordelijk voor het aanmelden van de monteurs die toegang tot het systeem krijgen.’ Van Leerdam adviseert met klem om geen algemene mailadressen te gebruiken, maar alleen persoonlijke mailadressen. ‘Als die medewerker uit dienst gaat, kan het bedrijf eenvoudig de rechten van die specifieke persoon intrekken.’
Dat Mitsubishi Electric cybersecurity erg serieus neemt, blijkt uit het wereldwijd opererende Product Security Incident Response Team (PSIR-team). Hier zitten specialisten die het internetverkeer op onze servers continu monitoren en bewaken. Dit resulteert onder meer in een Common Vulnerabilities & Exposures (CVE) programma dat elke kwetsbaarheid in de systemen detecteert. De specialisten zorgen ook voor patches of updates, en voor een RSS-feed voor klanten met ontdekte risico’s en kwetsbaarheden. Van Leerdam: ‘Zo zijn onze partners snel op de hoogte en worden ze geïnformeerd over de maatregelen die getroffen kunnen worden.’
Tekst: Rob van Mil
Fotografie: AI, Getty Images