GACS vraagt om verbinden. Maar wie beveiligt het?
Over GACS gaat het bijna altijd over meten, regelen en aantoonbaarheid. Zelden over de consequentie die eronder ligt: om aan de eisen te voldoen moeten installaties met elkaar en met de buitenwereld communiceren. Dat betekent netwerk. En over dat netwerk praat vrijwel niemand in deze markt.
Ondertussen treedt op 15 augustus 2026 de Cyberbeveiligingswet in werking. Voor een deel van de gebouweigenaren komen die twee dossiers in hetzelfde jaar samen, terwijl ze door verschillende mensen worden behandeld die elkaar zelden spreken.
Wat GACS technisch afdwingt
De functionele GACS-eisen zijn niet vrijblijvend over connectiviteit: permanent monitoren en registreren, analyseren en rendementsverlies opsporen, communiceren met verbonden technische bouwsystemen en bijsturing mogelijk maken. Ze veronderstellen die connectiviteit.
Concreet betekent dat in de praktijk:
- Installatiedelen die vroeger autonoom draaiden worden ontsloten via IP
- Meetdata moet centraal samenkomen, vaak buiten het gebouw
- Rapportage en analyse gebeuren steeds vaker in een cloudomgeving
- Leveranciers krijgen toegang op afstand voor beheer en storingsafhandeling
Elk van die stappen is verdedigbaar en meestal noodzakelijk. Bij elkaar veranderen ze wel het karakter van de installatie. Wat een gesloten technische omgeving was, wordt een aangesloten systeem.
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking
- De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).
- De Tweede Kamer stemde in op 15 april 2026, de Eerste Kamer op 7 juli 2026. De wet treedt op 15 augustus 2026 in werking.
- Vanaf die datum gelden nieuwe verplichtingen voor ruim 8.000 organisaties in Nederland.
- Registratie bij het Nationaal Cyber Security Centrum is per die datum verplicht voor organisaties die onder de wet vallen.
- Op dezelfde datum treedt de Wet weerbaarheid kritieke entiteiten in werking, de Nederlandse uitwerking van de CER-richtlijn.
- Organisaties zijn zelf verantwoordelijk om te toetsen of zij onder de wet vallen.
GACS en de Cyberbeveiligingswet zijn twee losstaande regimes. Een gebouw dat onder de GACS-verplichting valt, valt daarmee niet automatisch onder de Cyberbeveiligingswet, en andersom. Of de Cbw op u van toepassing is hangt af van uw sector en de omvang van uw organisatie, niet van uw installatie. Wat de twee wel gemeen hebben, is dat ze op dezelfde infrastructuur landen.
Waar de twee elkaar raken
GACS duwt richting meer verbinding, de Cyberbeveiligingswet stelt eisen aan het beveiligen van wat verbonden is. Voor organisaties die met beide te maken hebben, is het gebouwbeheersysteem geen losstaand technisch eiland meer maar onderdeel van de netwerkinfrastructuur waarover verantwoording moet worden afgelegd.
De Cbw stelt onder meer eisen aan risicobeheer, incidentmelding en beveiliging van de leveranciersketen. Dat laatste is voor gebouwautomatisering direct relevant, omdat installateurs en onderhoudspartijen structureel toegang hebben tot systemen.
Vijf punten waar het in de praktijk misgaat
- 1.
Het netwerk is vlak.
In veel gebouwen hangt het gebouwbeheersysteem op hetzelfde netwerk als de kantoorautomatisering, zonder segmentatie. Wie ergens binnenkomt, kan overal bij. Segmentatie in zones met gecontroleerde koppelpunten is de standaardaanpak in de industriële wereld, maar in gebouwen zelden toegepast.
- 2.
De protocollen zijn ontworpen zonder beveiliging.
BACnet/IP en Modbus TCP kennen van huis uit geen authenticatie en geen versleuteling. Dat was een verdedigbare keuze toen die netwerken fysiek gescheiden waren van al het andere. Zodra ze worden ontsloten, verandert die aanname.
- 3.
Toegang op afstand is ongedocumenteerd.
Voor storingsafhandeling worden VPN-verbindingen en remote-desktoptools geïnstalleerd die jaren blijven staan. Vaak weet de gebouweigenaar niet wie toegang heeft, sinds wanneer, en of die toegang nog nodig is. Dit is in de praktijk het grootste risico en tegelijk het makkelijkst in kaart te brengen.
- 4.
Levensduur en patchbaarheid lopen niet gelijk.
Een regelaar gaat vijftien jaar mee. Ondersteuning met beveiligingsupdates zelden. Vervangen is meestal geen optie, dus de oplossing zit in afscherming en monitoring in plaats van in updaten.
- 5.
De keten valt buiten beeld.
Installateurs, onderhoudspartijen en leveranciers van dashboards hebben toegang tot systemen en data. De Cyberbeveiligingswet stelt expliciet eisen aan beveiliging in de leveranciersketen. Wie niet weet welke partijen toegang hebben, kan daar niet aan voldoen.
Wie is eigenaar van dit probleem?
Er bestaat een verantwoordelijkheidsvacuüm:
- De IT-afdeling kent het gebouwbeheersysteem vaak niet en beschouwt het niet als haar domein
- De installateur levert techniek en onderhoud, geen netwerkbeveiliging
- De facility manager wordt bij netwerkbeslissingen zelden betrokken
- De gebouweigenaar is wel verantwoordelijk, maar mist doorgaans het overzicht
De conclusie is niet dat partijen tekortschieten, maar dat niemand deze vraag toegewezen heeft gekregen. Dat is een organisatorisch probleem, geen technisch probleem. Daarbij helpt het te beseffen dat een gebouwbeheersysteem niet automatisch een GACS is, en dus ook niet vanzelf onderdeel van een gestructureerd beheerproces.
Wat u nu kunt doen
- 1.Breng in kaart wie toegang heeft op afstand.
Welke partijen, via welke verbinding, sinds wanneer, en of het nog nodig is. Dit kost een middag en levert vrijwel altijd verrassingen op.
- 2.Stel vast of het gebouwbeheersysteem gescheiden is van het kantoornetwerk.
Zo niet, dan is dat het eerste gesprek met uw IT-partij.
- 3.Toets of uw organisatie onder de Cyberbeveiligingswet valt.
Dat hangt af van sector en omvang. Het NCSC biedt hiervoor informatie en een registratieomgeving.
- 4.Neem het gebouwbeheersysteem op in uw eigen inventarisatie.
Systemen die niet op een lijst staan, worden niet beveiligd en niet gepatcht.
- 5.Leg vast wat u aantreft.
Dat dient zowel de GACS-aantoonbaarheid als de risicobeheersing onder de Cbw.
Veelgestelde vragen
Verplicht GACS mij tot cybersecuritymaatregelen?+
Nee, niet rechtstreeks. GACS stelt functionele eisen aan monitoring, analyse en bijsturing, niet aan beveiliging. Maar de connectiviteit die daarvoor nodig is, brengt wel risico's met zich mee die elders geadresseerd moeten worden.
Valt mijn gebouw onder de Cyberbeveiligingswet omdat ik een GACS heb?+
Nee. Of de Cbw van toepassing is hangt af van de sector en de omvang van uw organisatie, niet van uw technische installatie.
Moet ik mijn gebouwbeheersysteem vervangen?+
Vrijwel nooit. De praktische aanpak is afscherming en toegangsbeheer rond bestaande systemen, niet vervanging.
Wie kan hier binnen mijn organisatie over beslissen?+
In de praktijk vraagt dit afstemming tussen IT, technisch beheer en de eigenaar. Het ontbreken van die afstemming is meestal het werkelijke knelpunt.
Bronnen
Deze kennisbankpagina is gebaseerd op:
- Cyberbeveiligingswet (Cbw)
- NIS2-richtlijn (EU)
- Informatie van het Nationaal Cyber Security Centrum en de Rijksoverheid over de inwerkingtreding per 15 augustus 2026
- Besluit bouwwerken leefomgeving (Bbl) en Omgevingsregeling (Or)
Disclaimer: aantoonbare compliance wordt altijd gebouwspecifiek beoordeeld. Dit artikel is geen juridisch advies over de toepasselijkheid van de Cyberbeveiligingswet.
Weten waar uw netwerk staat?
We denken graag mee over de raakvlakken tussen GACS, uw gebouwbeheersysteem en de Cyberbeveiligingswet.