Cyberbeveiliging van BMS is niet langer een technische bijzaak. Nu slimme gebouwen volledig verbonden digitale omgevingen worden, maken hun gebouwbeheersystemen deel uit van de operationele technologische voetafdruk van de organisatie en dus ook van het aanvalsoppervlak. Verwarming, ventilatie, toegangscontrole en veiligheidssystemen zijn niet langer geïsoleerde mechanische functies. Ze zijn genetwerkt, op afstand toegankelijk en in toenemende mate blootgesteld. Zonder een duidelijke BMS-cyberbeveiligingsstrategie kunnen deze systemen de zwakste schakel worden in een verder goed ontwikkelde beveiliging, met operationele verstoring, blootstelling aan regelgeving en reputatierisico's tot gevolg.
Veel organisaties behandelen BMS-cyberbeveiliging nog steeds als een secundair technisch aandachtspunt in plaats van als een strategische operationele prioriteit. Die aanname creëert blinde vlekken. Een gebouwbeheersysteem dat is aangesloten maar niet wordt gemonitord, introduceert blootstelling op infrastructuurniveau. Effectieve BMS-cyberbeveiliging betekent begrijpen welke apparaten zijn aangesloten, wie er toegang toe heeft en hoe ze samenwerken met de bredere OT-omgeving.
De meeste GBS-installaties maken deel uit van de operationele technologie (OT) van het gebouw, niet van de traditionele IT. Dat betekent dat ze vaak apart worden beheerd, met weinig integratie in de bredere cyberbeveiligingsstrategie van de organisatie. En dat is een probleem.
Naarmate deze systemen meer met elkaar verbonden zijn, worden ze ook kwetsbaarder. Veel beheerders van gebouwen zijn zich er niet van bewust dat hun GBS-infrastructuur nu een doelwit is en in toenemende mate binnen het toepassingsgebied valt van cyberbeveiligingsvoorschriften zoals die van de EU. NIS2-richtlijn.
Terwijl de wettelijke verantwoordelijkheid onder NIS2 bij de leidinggevenden ligt, ligt de dagelijkse verantwoordelijkheid voor het beveiligen van deze omgevingen vaak bij operationele, IT- en facilitaire teams.
In dit artikel bekijken we waarom BMS-omgevingen vaak over het hoofd worden gezien, wat ze kwetsbaar maakt en hoe we hun cyberweerbaarheid kunnen versterken zonder de dagelijkse werkzaamheden te verstoren.
Gebouwen zijn nu digitale ecosystemen
De tijd dat de infrastructuur van een gebouw puur mechanisch was, is voorbij. De slimme gebouwen van vandaag vertrouwen op een netwerk van verbonden apparaten en systemen die in realtime communiceren. Een typisch GBS bestuurt:
- HVAC (verwarming, ventilatie, airconditioning)
- Verlichting en energiebeheer
- Fysieke toegang (deuren, liften, barrières)
- Branddetectie- en veiligheidssystemen
- Bewoners- en omgevingssensoren
- Videobewaking en intercoms
De meeste worden aangestuurd via IP-gebaseerde protocollen, geïntegreerd in gebouwnetwerken of op afstand toegankelijk voor efficiëntie. Kortom, uw gebouw is een digitaal ecosysteem geworden en dat betekent dat het ook deel uitmaakt van uw aanvalsoppervlak.
Waarom BMS-cyberbeveiliging vaak over het hoofd wordt gezien
Het kernprobleem is niet een gebrek aan technologie, maar een gebrek aan eigenaarschap. Als BMS-cyberbeveiliging niet duidelijk onder IT- of OT-leiderschap valt, raakt de verantwoordelijkheid gefragmenteerd. Zonder gedefinieerd bestuur worden de controles van de BMS-cyberbeveiliging zelden met dezelfde frequentie getest, gelogd of beoordeeld als andere operationele systemen.
Er zijn een paar veel voorkomende redenen waarom BMS door de mazen van het net valt bij het plannen van cyberbeveiliging:
- De verantwoordelijkheid is versnipperd
BMS wordt vaak beheerd door facilitaire teams, uitbestede leveranciers of integrators, niet door de interne IT- of beveiligingsafdeling
- Legacy systemen komen veel voor
Veel systemen draaien 10 tot 15 jaar en vertrouwen op verouderde besturingssystemen of ongepatchte software
- Er worden nog steeds onveilige protocollen gebruikt
BACnet, Modbus en FOX hebben geen ingebouwde authenticatie of encryptie en worden veel gebruikt.
- Toegang op afstand is de norm
Externe leveranciers maken vaak gebruik van remote desktop tools, VPN's of cloud dashboards, soms zonder sterke toegangscontrole
- Waargenomen als laag risico
Omdat het GBS fysieke systemen bestuurt, geen gegevens, wordt het vaak als minder kritisch gezien, totdat er iets misgaat.
Dit leidt tot een vals gevoel van veiligheid. In werkelijkheid kan een compromittering van het GBS leiden tot verstoringen in de echte wereld.
Gevolgen van inbreuken op de GBS in de echte wereld
Verschillende geruchtmakende incidenten hebben laten zien wat er kan gebeuren als aanvallers toegang krijgen tot slimme gebouwsystemen:
- HVAC manipulatie
Aanvallers schakelen koeling in datacenters of gezondheidszorgomgevingen uit, waardoor oververhitting of uitval van apparatuur optreedt
- Misbruik van toegangscontrole
Deuren, poorten of liften kunnen worden ontgrendeld of uitgeschakeld, waardoor onbevoegden zich kunnen verplaatsen
- Energieverspilling of uitvaltijd
Systemen worden in een inefficiënte toestand gedwongen, waardoor de kosten toenemen of uitschakeling noodzakelijk wordt
- In bedrijfsnetwerken springen
BMS-systemen zijn vaak verbonden met het IT-netwerk, wat een brug vormt voor laterale verplaatsing
- Ransomware en verstoring
Operaties worden stilgelegd of gesaboteerd als onderdeel van grotere afpersingscampagnes
Elk van deze incidenten illustreert hetzelfde patroon. De aanvaller richtte zich niet op het gebouwsysteem omdat het op zichzelf waardevol was. Het was het doelwit omdat de cyberbeveiligingscontroles van het GBS zwak of afwezig waren. Wanneer bewaking, segmentatie en authenticatie onvoldoende zijn, wordt het gebouw een toegangspunt in plaats van een beschermd bedrijfsmiddel.
BMS is onderdeel van je OT en moet als zodanig worden behandeld
Cyberbeveiligingsstrategieën maken vaak onderscheid tussen IT (informatietechnologie) en OT (operationele technologie). BMS hoort duidelijk thuis in de OT-categorie: het bestuurt fysieke processen met behulp van netwerksystemen. Maar het wordt vaak genegeerd in zowel IT- als OT-strategieën.
Dit gebrek aan eigenaarschap leidt ertoe dat risico's niet worden beheerd of zelfs geïdentificeerd. En naarmate gebouwen slimmer worden en meer verbonden zijn met andere systemen zoals energienetwerken, logistieke stromen of zorgnetwerken, neemt de potentiële impact toe.
BMS behandelen als onderdeel van je OT-netwerk betekent dat je het hetzelfde niveau van aandacht en bescherming geeft als je industriële besturingssystemen of fabrieksautomatisering.
Wat betekent NIS2 voor slimme gebouwen?
NIS2 is van toepassing op essentiële en belangrijke entiteiten in kritieke sectoren. Hieronder vallen energie, water, gezondheidszorg, openbaar bestuur en digitale infrastructuur, maar ook veel particuliere exploitanten van openbare of strategische faciliteiten.
Onder druk van de regelgeving neemt de behoefte aan gestructureerde BMS cybersecurity governance toe. Zelfs als slimme gebouwen niet expliciet worden genoemd in de wetgeving, verwachten regelgevende instanties in toenemende mate aantoonbare BMS-cyberbeveiligingsmaatregelen wanneer fysieke systemen van invloed zijn op de gezondheid, veiligheid of continuïteit.
Als je gebouw deel uitmaakt van:
- Een ziekenhuis, kliniek of ouderenzorgcentrum
- Een overheidsgebouw of gerechtsgebouw
- Een luchthaven, datacentrum of telecomfaciliteit
- Een logistiek of transportknooppunt met grote volumes
- Een slimme campus of onderzoeksfaciliteit
... dan is NIS2 waarschijnlijk relevant voor uw organisatie.
Zelfs als uw bedrijf niet wettelijk verantwoordelijk is, wordt er nu van serviceproviders, vastgoedbeheerders en integrators verwacht dat ze aantonen dat ze cyberbeveiligingscontroles uitvoeren, verantwoordelijk zijn voor de toeleveringsketen en voorbereid zijn op incidenten. Dat betekent dat u moet bewijzen wat u doet, anders loopt u het risico uit de waardeketen te worden verwijderd.
Tekenen dat uw BMS risico loopt
Je hebt geen inbraak nodig om actie te ondernemen. Zoek naar deze veelvoorkomende waarschuwingssignalen in je gebouwomgeving:
- Geen actuele inventaris van GBS-componenten
- Gedeelde of standaardwachtwoorden die nog in gebruik zijn
- Onbewaakte toegang op afstand door externe leveranciers
- BMS-servers met verouderde of niet-ondersteunde OS-versies
- Netwerksegmentatie tussen GBS en IT ontbreekt of is zwak
- Geen anomaliedetectie of logboekbewaking aanwezig
- Geen betrokkenheid van beveiligingsteams bij GBS-gerelateerde projecten
Deze risico's zijn niet theoretisch. Aanvallers scannen het internet actief af op zoek naar blootliggende gebouwsystemen en zwakke toegangspunten, vooral in sectoren als vastgoed, horeca, gezondheidszorg, openbare gebouwen en logistiek.
De opkomst van regelgeving en aansprakelijkheid
Cyberincidenten in fysieke infrastructuur trekken nu de aandacht van de regelgevende instanties. Wetten en richtlijnen in heel Europa, waaronder de NIS2-richtlijn van de EU, leggen de lat voor het beheer van cyberrisico's hoger.
Hoewel BMS niet altijd de focus is, wordt dit nu wel van organisaties verwacht:
- Zichtbaarheid en controle demonstreren over verbonden systemen
- Toegang van derden en risico's in de toeleveringsketen beheren
- Grote cyberincidenten binnen strikte termijnen melden
- Bescherm systemen die essentieel zijn voor gezondheid, veiligheid en continuïteit
Deze verantwoordelijkheden vallen onder Artikel 21 van de NIS2-richtlijn, waarin technische en organisatorische maatregelen voor cyberbeveiliging worden beschreven. Als uw organisatie onder de richtlijn valt en nalaat actie te ondernemen, kunt u te maken krijgen met financiële boetes en persoonlijke aansprakelijkheid voor leiderschap.
Wat u kunt doen
U hoeft uw GBS niet te vervangen of uw gebouwactiviteiten te onderbreken. Met een paar praktische stappen kunt u al een heel eind komen bij het verminderen van risico's en het verbeteren van de zichtbaarheid. Om de cyberveiligheid van het BMS te verbeteren is geen complete revisie van de infrastructuur nodig. Het vereist zichtbaarheid, segmentatie en gecoördineerd toezicht. Door BMS-cyberbeveiliging te behandelen als onderdeel van uw OT-beveiligingsarchitectuur, kunnen risico's worden beperkt zonder de dagelijkse activiteiten in het gebouw te verstoren.
1. Begin met een passieve scan
Gebruik passieve, niet-intrusieve bewakingstools die alle verbonden systemen, IP-adressen en protocollen kunnen detecteren zonder de uptime te beïnvloeden. Dit creëert een basislijn van wat echt in gebruik is.
2. Toegang tot de kaart en connectiviteit
Documenteer hoe interne medewerkers en externe leveranciers toegang krijgen tot het systeem. Bekijk VPN's, remote desktop tools, cloud portals en fysieke verbindingen. Wie heeft toegang tot wat en hoe wordt die toegang gecontroleerd?
3. Standaardgegevens verwijderen
Deze eenvoudige stap wordt vaak over het hoofd gezien. Verander fabriekswachtwoorden en vermijd gedeelde accounts. Dwing rolgebaseerde toegang af.
4. Segment netwerken
BMS-systemen moeten worden geïsoleerd van het hoofdbedrijfsnetwerk en alleen communiceren met geautoriseerde eindpunten.
5. Monitoren op afwijkingen
Installeer monitoring die OT-protocollen en gedrag begrijpt. Anomaliedetectie kan misbruik of aanvalspatronen vroegtijdig opsporen.
6. Breng IT en faciliteiten samen
Zorg voor een gezamenlijk proces tussen uw cyberbeveiligings-, IT- en facilitaire teams. Maak duidelijk wie verantwoordelijk is voor het monitoren, patchen en reageren op incidenten.
Hoe Nautilus kan helpen
Nautilus helpt organisaties bij het beveiligen van hun OT-omgevingen, waaronder slimme gebouwen en BMS-systemen.
Met ons platform krijg je:
- Volledige zichtbaarheid van je BMS- en OT-netwerk
- Passieve activadetectie en protocolidentificatie
- Risicoscores en detectie van anomalieën
- Inzicht in financiële risico's gekoppeld aan operationele verstoringen
- Rapportage op directieniveau ter ondersteuning van strategische beslissingen
- Integratie met uw bestaande tools of SIEM-platform
We kunnen integreren met uw bestaande GBS-installatie, waardoor een cyberbeveiligingslaag wordt toegevoegd aan uw beheerde IP-activa zonder dat dit ten koste gaat van de manier waarop uw gebouw al wordt beheerd.
Of u nu één intelligent gebouw beheert of een hele vastgoedportefeuille, wij helpen u om de zichtbaarheid van gebouwen om te zetten in veerkracht van gebouwen.
Wil je weten hoe veilig je gebouwsystemen echt zijn?
Uiteindelijk draait het bij BMS-cyberbeveiliging om veerkracht. Slimme gebouwen zijn bedrijfsmiddelen en voor de bescherming ervan is dezelfde gestructureerde aanpak nodig als voor industriële besturingssystemen. Organisaties die in een vroeg stadium investeren in BMS-cyberbeveiliging verminderen de blootstelling aan regelgeving, operationele uitvaltijd en financiële risico's.
Plan een nulmeting of neem contact op:
jeroen@nautilus-ot.com
