Is je omvormer of batterij een cybersecurity-risico voor je bedrijf?

Ja. De cybersecurity van je omvormer is een echt bedrijfsrisico: een omvormer of batterij is verbonden met een portaal, een app en vaak met de installateur. Weet wie toegang heeft, geef minimale rechten, houd de toestellen van je kantoornetwerk en werk de firmware bij. Met onze energiebeheer software bepaal je wie toegang krijgt.

Panelen en batterij werken, de zaakvoerder volgt ze in een app, de installateur heeft nog een account van bij de oplevering. Dan vraagt je IT-partner om een NIS2-inventaris, of je leest dat omvormers vanuit het buitenland uitgeschakeld kunnen worden.

Niemand weet wie kan inloggen. Toch is toegang op afstand niet de vijand: in Kapellen krijgt de eigenaar een alarm op de gsm als de batterij vol is.

Waarom is de cybersecurity van een omvormer of batterij een risico voor een bedrijf?

Zodra ze via een netwerk bereikbaar is, kan iemand anders dan jij ze uitlezen of er opdrachten naar sturen. De omvormer praat met een controller, de controller met een portaal in de cloud, en het portaal met apps op verschillende gsm's.

Fluvius noemt vier risico's voor zonnepaneleninstallaties. Een hacker kan gegevens stelen, zoals je productiecijfers, of de omvormer uitschakelen en de productie verstoren. Een gehackte installatie kan een springplank zijn naar andere systemen op hetzelfde netwerk. De financiële schade loopt van verloren productie tot schade aan de installatie zelf.

Een batterij die op afstand uitgeschakeld of verkeerd ingesteld wordt, is er niet als het net uitvalt. Een productielijn op zonnestroom valt dan mee stil. Een slecht beveiligde wifi-dongle naast de pc's van de boekhouding is een achterdeur naar je kantoornetwerk.

In april 2025 vond een risicorapport van SolarPower Europe dat meer dan tien fabrikanten ruim meer dan 3 GW aan geïnstalleerd zonnevermogen aansturen. Een gerichte aanval op 3 GW kan grote gevolgen hebben voor het Europese stroomnet.

In december 2025 noemde de Europese economische veiligheidsdoctrine omvormers volgens PV Tech een afhankelijkheid met hoog risico. Eén reden: één software-update kan miljoenen systemen tegelijk bereiken.

Kan een omvormer echt gehackt worden?

Ja: het duidelijkste geval in Europa is Polen. Op 29 december 2025 troffen aanvallers er 30 wind- en zonne-installaties en een grote warmtekrachtcentrale. CERT Polska, het Poolse nationale responsteam, spreekt van de eerste aanval op de Poolse energiesector die puur op vernieling gericht was.

De aanvallers beschadigden de firmware van controllers, wisten systeembestanden of lieten wiper-malware los. De stroomproductie liep door, zegt CERT Polska, maar de communicatie met de netbeheerders en de sturing op afstand van de sites lagen plat.

Een vervolgrapport van augustus 2026 beschrijft een nieuwe aanvalsroute: een slecht ingesteld privé mobiel netwerk (APN) dat toegang gaf tot het operationele netwerk. Volgens CERT Polska komt die opstelling vaak voor, in Polen en in andere landen.

In mei 2025 meldde Reuters, op basis van twee anonieme bronnen, niet-gedocumenteerde communicatieonderdelen in sommige omvormers en batterijen van Chinese leveranciers.

Laboratoria van het Amerikaanse ministerie van Energie onderzochten later een dertigtal omvormers. In twee gevallen week de communicatie af van de documentatie, beoordeeld als niet kwaadwillig en niet opzettelijk. Het echte risico is geen spionagechip, maar een account, een wachtwoord of een netwerkpad dat niemand beheert.

Wie kan je omvormer of batterij op afstand uitschakelen?

Iedereen met voldoende rechten op een account, of een netwerkpad naar het toestel, kan in principe instellingen wijzigen of het uitschakelen. Voor een bedrijfsinstallatie is die lijst langer dan de meeste eigenaars denken.

• Jij en je medewerkers, via de app of het portaal.
• De installateur, die na de oplevering vaak een account houdt om te helpen bij storingen.
• De fabrikant, als een functie voor ondersteuning op afstand aan staat.
• Je energiebeheer of een derde partij die je het systeem laat sturen, bijvoorbeeld voor een dynamisch contract of om de injectie te beperken.
• Iedereen op hetzelfde lokale netwerk, als het toestel opdrachten aanvaardt zonder wachtwoord.

Op afstand uitschakelen is vaak gewenst: niet injecteren bij negatieve prijzen, of de injectie beperken als het net daarom vraagt. Ons artikel over de injectie van je zonnepanelen beperken legt uit wanneer dat telt. Een energiemanagementsysteem voor je bedrijf stuurt de batterij de hele dag.

De vraag is dus wie opdrachten op afstand kan sturen, en of jij dat weet. Goede systemen scheiden kijken van sturen: in het VRM-portaal van Victron nodig je elke gebruiker apart uit en beslis je wie volledige controle krijgt.

Op de GX-controller voorkomt het toegangsniveau "User" dat iemand per ongeluk instellingen wijzigt. De toegang voor ondersteuning door Victron-technici kun je aan of uit zetten.

Valt je bedrijf door zijn zonnepanelen of batterij onder NIS2?

Dat kan. Het Centrum voor Cybersecurity België (CCB) beschouwt een organisatie met zonnepanelen op het net als een elektriciteitsproducent, in de energiesector van NIS2.

De Belgische NIS2-wet van 26 april 2024 geldt sinds 18 oktober 2024. Ze is van toepassing op opgesomde types organisaties vanaf middelgroot. In het algemeen is dat 50 werknemers of meer, of een jaaromzet en balanstotaal boven 10 miljoen euro.

De Vereniging van Waalse Steden en Gemeenten (UVCW) vatte het antwoord van het CCB uit zijn FAQ van maart 2026 samen. De aansluiting op het net beslist, niet of je echt stroom injecteert.

Bron: UVCW, op basis van de FAQ van het CCB (versie van maart 2026). In mei 2026 voegde de UVCW toe dat het CCB geen juridische ruimte ziet om kleine producenten vrij te stellen. Op Europees niveau loopt daar nog overleg over.

Voor die producenten aanvaardt het CCB dat het niveau "Basic" van zijn CyberFundamentals-kader kan volstaan, omdat de impact van kleine productie beperkt is. De plichten blijven wel: je registreren bij het CCB, significante incidenten melden en beveiligingsmaatregelen nemen.

Artikel 30 van de wet somt die maatregelen op. Daar horen onder meer bij: beveiliging van de toeleveringsketen met je rechtstreekse leveranciers, een toegangsbeleid en waar gepast multifactorauthenticatie. Volgens artikel 31 keurt het bestuursorgaan de maatregelen goed en is het aansprakelijk voor inbreuken.

Nog twee types in de energiesector tellen voor een bedrijf met een batterij of laadpalen. Het gaat om marktdeelnemers die aggregatie, vraagrespons of energieopslagdiensten leveren, en exploitanten van laadpunten voor eindgebruikers.

Wat veranderen de nieuwe Europese productregels voor omvormers en batterijen?

Nieuwe regels maken fabrikanten verantwoordelijk voor basisbeveiliging, maar alleen voor producten die vanaf nu verkocht worden: je bestaande installatie blijft zoals ze is.

• Sinds augustus 2025 gelden de cyberveiligheidsregels van de Radioapparatuurrichtlijn (Gedelegeerde Verordening 2022/30) voor bepaalde draadloze toestellen met internet, zoals de wifi- of gsm-modules van veel omvormers. Het doel: betere cyberveiligheid, bescherming van persoonsgegevens en privacy.
• De Cyber Resilience Act trad in werking op 10 december 2024. Fabrikanten moeten vanaf 11 september 2026 kwetsbaarheden melden. De belangrijkste plichten gelden vanaf 11 december 2027: beveiliging tijdens ontwerp, ontwikkeling en onderhoud van verbonden producten, en beheer van kwetsbaarheden tijdens hun hele levensduur.
• Er kan meer volgen. In januari 2026 stelde de Europese Commissie volgens Solar Magazine een herziene Cybersecurity Act voor: lidstaten zouden de banden met ICT-leveranciers met hoog risico uit derde landen moeten verbreken in kritieke sectoren zoals energie. In Litouwen mogen netbeheerders nu al zonneparken boven 100 kW afkoppelen die niet aan de cyberregels voldoen.

Hoe beveilig je de toegang op afstand tot je omvormer of batterij?

Beveilig de toegang, niet alleen het toestel: ken elk account, geef minimale rechten, scheid het netwerk en houd de firmware bij. Zeven stappen dekken het grootste deel van het risico:

Moet je je omvormer dan niet gewoon loskoppelen van het internet? Voor de meeste bedrijven niet: naar een losgekoppeld systeem kijkt niemand. Geen alarm als de batterij uitvalt, geen firmware-updates, en de installateur kan niet eerst kijken voor hij uitrijdt.

De middenweg: een Victron-systeem volg en stuur je lokaal op je eigen netwerk, en ook via de VRM-app en het portaal. Zo beperk je wat naar het internet gaat, zonder blind te varen.

Welke vragen over cybersecurity stel je aan je installateur?

Stel deze vragen voor je tekent, en opnieuw bij de oplevering. De antwoorden horen in je dossier, en voor een NIS2-organisatie in het register van je toeleveringsketen.

Vergelijk je meerdere offertes? Ons artikel over een offerte voor een bedrijfsbatterij vergelijken geeft de andere vragen. Dat over welke omvormer een bedrijf nodig heeft legt de toestellen zelf uit.