RDI: cyberaanval op omvormers en thuisbatterijen kan stroomnet verstoren

De Rijksinspectie Digitale Infrastructuur (RDI) waarschuwt dat een gerichte cyberaanval of een foute software-update grote aantallen laadpalen, zonne-omvormers, thuisaccu's en warmtepompen tegelijk aan of uit kan zetten. Volgens de inspectie kan dat het stroomnet verstoren of zelfs laten uitvallen. De RDI presenteerde haar position paper Verbonden apparaten zetten het elektriciteitsnet onder druk op 7 oktober 2026 op de ONE Conference.

Belangrijk om meteen te weten: dit is een advies van de toezichthouder, geen nieuwe regel. Voor huishoudens met zonnepanelen, een thuisbatterij of een laadpaal verandert er nu niets. Wel laat het stuk zien waarom de veiligheid van slimme energieapparaten de komende jaren een belangrijk onderwerp wordt.

Wat is het probleem?

Steeds meer apparaten in huis hangen aan internet en kunnen samen een groot elektrisch vermogen opwekken of verbruiken. De RDI noemt dat high-power IoT. Het gaat vooral om zonne-omvormers, thuisbatterijen, laadpalen voor elektrische auto's en warmtepompen. Volgens het position paper waren er in 2024 vijf keer zoveel warmtepompen en laadpalen als in 2019.

Veel van die apparaten zijn verbonden met dezelfde digitale achterkant: de servers en software van de fabrikant, van een energiemanagementsysteem (EMS) of van een aggregator die apparaten op afstand aanstuurt. Via zo'n centrale ingang kun je in één keer heel veel apparaten tegelijk bedienen. Daar zit volgens de RDI het grootste risico.

Waarom is dat gevaarlijk voor het stroomnet?

Het elektriciteitsnet is in balans als de netfrequentie 50 hertz is. Komt de frequentie buiten de band van 49,99 tot 50,01 hertz, dan grijpen de grote netbeheerders in om de balans te herstellen. Het Nederlandse net is daarbij onderdeel van het grote continentaal-Europese net, waarin landen samenwerken.

De RDI wijst op onderzoek waaruit blijkt dat een plotselinge onbalans van 3 gigawatt of meer tot verstoringen kan leiden. Als heel veel omvormers, batterijen of laadpalen op hetzelfde moment aan- of uitschakelen, kan zo'n sprong ontstaan.

Drie manieren waarop het mis kan gaan

De inspectie onderscheidt drie oorzaken:

1. Een foute update of instelling. Een fabrikant of aanbieder verspreidt per ongeluk software die apparaten verkeerd laat werken.
2. Misbruik van kwetsbaarheden. Criminelen, hackers of statelijke actoren maken misbruik van zwakke plekken in apparaten of in de systemen waarmee ze op afstand worden aangestuurd.
3. Druk van een staat. Een land kan fabrikanten of aanbieders die onder zijn rechtsmacht vallen dwingen om mee te werken.

Regels dekken maar een deel af

Volgens de RDI vangen de huidige regels maar een deel van het risico af. De Europese Cyber Resilience Act (CRA) stelt alleen algemene eisen aan deze apparaten, en de fabrikant controleert dat zelf. Pas vanaf 11 december 2027 moeten nieuwe producten op de Europese markt aan de CRA voldoen. Apparaten die al eerder zijn verkocht, vallen er niet onder, tenzij ze daarna ingrijpend worden gewijzigd.

De Europese NIS2-richtlijn, in Nederland de Cyberbeveiligingswet, kijkt vooral naar de omvang van een organisatie en geldt maar beperkt voor partijen buiten de EU. Een klein bedrijf dat toch veel vermogen op afstand aanstuurt, kan er zo buiten vallen. Ook in de Europese netcode voor cybersecurity, waarvan de verplichtingen medio 2028 ingaan, is nog weinig aandacht voor dit soort apparaten.

Wat stelt de RDI voor?

De inspectie ziet drie oplossingsrichtingen, die volgens haar op Europees niveau moeten worden uitgewerkt:

• Strengere eisen aan apparaten. Europese standaarden per type apparaat, en eventueel een onafhankelijke keuring voordat een product op de markt komt, in plaats van zelfcontrole door de fabrikant.
• Regels voor wie apparaten aanstuurt. Partijen die zoveel vermogen op afstand bedienen dat ze het net in gevaar kunnen brengen, zouden onder de Europese cyberregels moeten vallen, ongeacht hun omvang of vestigingsplaats.
• Meer digitale autonomie. Minder afhankelijkheid van partijen buiten de EU bij vitale processen.

"Omvormers, laadpalen en warmtepompen maken ons elektriciteitssysteem slimmer en duurzamer, maar introduceren ook nieuwe risico's", zegt Isabel van der Leij, manager digitale weerbaarheid energiesector bij de RDI.

Wat kun je zelf doen?

Een aanval op de servers van een fabrikant kun je als huishouden niet tegenhouden. Je eigen apparaten goed beveiligen helpt wel. De RDI geeft consumenten deze tips voor slimme apparaten:

• Voer regelmatig (beveiligings)updates uit. Sommige apparaten doen dat zelf, bij andere moet het handmatig.
• Kies voor elk apparaat een sterk, uniek wachtwoord van minimaal 12 tekens met letters, cijfers en speciale tekens.
• Zet tweestapsverificatie aan als dat kan.
• Koppel een apparaat niet aan je thuisnetwerk als dat niet nodig is.
• Controleer of de optie 'universal plug and play' (UPnP) op je router uitstaat.
• Koop alleen apparaten waarvoor regelmatig updates verschijnen en die een juiste CE-markering hebben.

De RDI noemt zelf ook het dilemma: automatische updates dichten snel lekken, maar een foute update kan juist veel apparaten tegelijk raken. Volgens de RDI beschermen updates juist tegen misbruik van lekken, dus uitzetten ligt niet voor de hand.

Slim sturen blijft nuttig

Het stuk is geen pleidooi tegen slimme apparaten. Op afstand aansturen helpt juist om het volle stroomnet te ontlasten, zoals netbeheerders en leveranciers nu op grote schaal doen met slim sturen van batterijen, laadpalen en warmtepompen. De RDI wil dat die voordelen blijven, maar met betere beveiliging.

Overweeg je een thuisbatterij of laadpaal? Reken dan eerst uit wat het oplevert met de thuisbatterij-calculator en bekijk de kosten van een laadpaal thuis. Lees ook wanneer een thuisbatterij zinvol is en bereken de terugverdientijd van zonnepanelen.

• cybersecurity
• omvormer
• thuisbatterij
• laadpaal
• warmtepomp
• stroomnet
• RDI