IPv6 en NIS2: waarom dit installatiebedrijven raakt

Hoe een nieuw internetprotocol en Europese cyberwetgeving samenkomen in jouw dagelijkse werk

Als installateur heb je waarschijnlijk al gehoord van IPv6 en NIS2. Maar wat betekenen deze termen concreet voor jouw bedrijf? En waarom zou je je er druk om maken als je gewoon thermostaten, warmtepompen en gebouwbeheersystemen installeert?

Het korte antwoord: omdat elk slim apparaat dat je plaatst onderdeel wordt van een netwerk. En netwerken vallen steeds vaker onder wetgeving. Dit artikel legt uit wat er speelt, waarom het relevant is en wat je praktisch kunt doen.

Wat is IPv6 en waarom nu?

Elk apparaat dat met internet verbindt, heeft een IP-adres nodig. Tot nu toe gebruikten we IPv4, maar de wereldwijde voorraad nieuwe IPv4-adressen is uitgeput. IPv4 biedt ongeveer 4,3 miljard adressen — dat klinkt veel, maar met miljarden smartphones, laptops, slimme apparaten en IoT-sensoren wereldwijd zijn we door de voorraad heen. Bestaande adressen worden nog wel herverdeeld en verhandeld, maar structureel is er een tekort.

IPv6 lost dit op met een vrijwel oneindig aantal adressen: 340 undeciljoen (dat is 3,4 × 10³⁸). Belangrijk: IPv6 is geen toekomstmuziek. KPN en VodafoneZiggo bieden het al aan, en de Nederlandse overheid hanteert al sinds 2010 een "pas toe of leg uit"-beleid voor IPv6 bij ICT-inkopen boven €50.000 via het Forum Standaardisatie.

Wat verandert er voor installateurs?

Bij IPv4 deelden apparaten vaak één IP-adres via NAT (Network Address Translation). Die NAT fungeerde onbedoeld als een soort masker: apparaten waren niet direct zichtbaar vanaf het internet. Belangrijk om te weten: NAT was nooit bedoeld als beveiligingsmechanisme, maar het verhulde wel configuratiefouten.

Bij IPv6 krijgt elk apparaat een eigen, direct adresseerbaar adres. Dat is handig voor remote beheer en monitoring. Maar het betekent ook dat expliciete beveiliging essentieel wordt: zonder goede firewallconfiguratie kunnen apparaten direct bereikbaar zijn vanaf het internet.

De firewalls en beveiligingsmaatregelen werken bij IPv6 nog steeds — ze moeten alleen bewust worden ingesteld. Het echte risico zit niet in IPv6 zelf, maar in de aanname dat "het wel goed zit" terwijl de oude NAT-bescherming wegvalt.

Concreet: de KNX-controller, de omvormer van de zonnepanelen, de warmtepomp met wifi, het toegangscontrolesysteem — alles kan straks direct vanaf het internet worden benaderd. Tenzij je de beveiliging goed configureert.

Wat is NIS2 en de Cyberbeveiligingswet?

NIS2 is een Europese richtlijn die de cyberveiligheid van essentiële en belangrijke entiteiten moet verbeteren. In Nederland wordt dit de Cyberbeveiligingswet (Cbw), die naar verwachting in 2026 in werking treedt. De exacte datum is nog afhankelijk van de parlementaire behandeling.

De wet richt zich op sectoren die cruciaal zijn voor de samenleving: energie, gezondheidszorg, water, transport, digitale infrastructuur. Organisaties in deze sectoren krijgen verplichtingen rond cyberveiligheid, incidentmelding en bestuurlijke verantwoordelijkheid.

Waarom raakt dit installatiebedrijven?

Hier komt het belangrijke punt: NIS2 legt nadruk op ketenverantwoordelijkheid. Als jouw bedrijf gebouwbeheersystemen installeert in een ziekenhuis, datacenter of overheidsgebouw, ben je onderdeel van de toeleveringsketen van een 'essentiële entiteit'.

Let op: de meeste installatiebedrijven vallen niet direct onder NIS2 — daarvoor moet je groot genoeg zijn of in een specifiek aangewezen sector opereren. Maar je kunt wel indirect geraakt worden: opdrachtgevers die wél onder de wet vallen, zullen eisen gaan stellen aan de cyberveiligheid van hun leveranciers. Niet omdat ze vervelend willen doen, maar omdat de wet hen verplicht om risico's in hun hele keten te beoordelen.

Waar IPv6 en NIS2 elkaar raken

Dit is waar het interessant wordt. IPv6 maakt expliciete beveiliging noodzakelijk, precies op het moment dat NIS2 eist dat organisaties hun digitale risico's in kaart brengen en beheersen.

Aspect	Hoe IPv6 en NIS2 elkaar raken
Zichtbaarheid	Elk IPv6-apparaat is potentieel direct adresseerbaar. NIS2 vereist dat je weet welke apparaten er zijn — inclusief alle IoT-apparaten die installateurs plaatsen.
Zorgplicht	NIS2 verplicht een risicogebaseerde aanpak. Een gebouwbeheersysteem zonder adequate firewallconfiguratie kan een schending van die zorgplicht zijn.
Incidentmelding	Bij een cyberincident via een IoT-apparaat moet dit binnen 24 uur gemeld worden. Je moet weten welke apparaten je hebt geplaatst en hoe ze beveiligd zijn.
Ketenverantwoordelijkheid	Als leverancier van een 'essentiële entiteit' moet je kunnen aantonen dat jouw installaties adequaat beveiligd zijn.

Praktijkvoorbeelden per discipline

Wat betekent dit concreet voor verschillende typen installatiebedrijven?

Elektrotechniek

• PLC's en industriële controllers zijn steeds vaker IP-gebaseerd

• Omvormers voor zonnepanelen met monitoring via cloud

• Laadpalen met backend-koppelingen voor facturatie

• Risico: een slecht beveiligde omvormer kan in een botnet worden opgenomen voor DDoS-aanvallen

Klimaattechniek

• HVAC-systemen met remote monitoring en -bediening

• Warmtepompen met app-bediening en firmware-updates

• SaaS-platforms voor energiemanagement

• Risico: een gecompromitteerd klimaatsysteem kan een datacenter oververhitten of een ziekenhuis ontwrichten

Gebouwbeheer en -automatisering

• KNX, BACnet en andere protocollen steeds vaker over IP

• Toegangscontrolesystemen met cloudbeheer

• Integratie van verlichting, HVAC, beveiliging in één platform

• Risico: onderzoek uit 2020 (o.a. Computest) toonde aan dat ruim 17.000 gebouwen met KNX wereldwijd kwetsbaar waren door verkeerde configuratie — waarvan circa 1.300 in Nederland. Dit betrof vooral systemen met onbeveiligde internetkoppelingen.

Ook de AVG en AI Act spelen een rol

Naast NIS2 zijn er nog twee Europese regelgevingen die relevant worden zodra je slimme installaties plaatst.

AVG (privacywetgeving)

Slimme thermostaten registreren aanwezigheidspatronen. Camerasystemen verwerken biometrische data. Energiemanagementsystemen onthullen gedragspatronen van individuen. Al deze gegevens vallen onder de AVG.

Met IPv6 is elk apparaat direct adresseerbaar. Als de beveiliging niet goed is ingericht — bijvoorbeeld geen encryptie (TLS) of VPN — kunnen risico's toenemen. De AVG vereist 'privacy by design': installateurs moeten hier bij ontwerp en installatie al rekening mee houden.

AI Act

De EU AI Act wordt relevant zodra installaties AI-gestuurde componenten bevatten: voorspellend onderhoud op HVAC-systemen, slimme energiesturing die automatisch beslist over energieverdeling, geautomatiseerde toegangscontrole met gezichtsherkenning. Een AI-gestuurd toegangssysteem in een ziekenhuis zou als 'hoog-risico' geclassificeerd kunnen worden, met strenge eisen aan transparantie en menselijk toezicht.

Wat kun je als installateur doen?

De wetgeving kan overweldigend lijken, maar de basis is niet ingewikkeld. Hier zijn concrete stappen:

Aspect	Wat moet je doen?
Firewallconfiguratie	Ga er niet vanuit dat NAT je beschermt. Configureer firewalls expliciet — zorg dat apparaten niet onnodig van buitenaf bereikbaar zijn.
Apparaatbeheer	Houd een register bij van alle geplaatste IoT-apparaten, hun IP-adressen en firmwareversies.
Opleverdocumentatie	Documenteer beveiligingsmaatregelen als standaard onderdeel van de oplevering.
Kennisontwikkeling	Train monteurs in basisprincipes van netwerkbeveiliging. Dit wordt net zo essentieel als elektrische veiligheid.
Contracten	Neem cybersecurityverantwoordelijkheden expliciet op in contracten met opdrachtgevers.
Wachtwoordbeleid	Verander standaardwachtwoorden. Klinkt voor de hand liggend, maar is nog steeds de meest voorkomende kwetsbaarheid.

Let op je contracten

Een belangrijk aandachtspunt: cyberveiligheid komt steeds vaker terug in contracten en SLA's. Opdrachtgevers kunnen eisen dat je:

• Aantoont welke beveiligingsmaatregelen je hebt genomen

• Incidenten binnen een bepaalde termijn meldt

• Aansprakelijk bent voor schade door beveiligingslekken

• Een bepaald beveiligingsniveau garandeert
  

Lees contracten dus goed door en wees je bewust van wat je afspreekt. Als je geen cyberveiligheidsexpertise hebt, spreek dan ook geen garanties af die je niet kunt waarmaken.

Wanneer moet je in actie komen?

De Cyberbeveiligingswet treedt naar verwachting in 2026 in werking. Maar wacht daar niet op. De Rijksoverheid adviseert organisaties om nu al te beginnen, omdat de digitale risico's er al zijn. Bovendien: opdrachtgevers in kritieke sectoren stellen nu al eisen aan leveranciers.

IPv6 is al realiteit. De grote providers bieden het aan, nieuwe installaties draaien er vaak al op. De vraag is niet óf je ermee te maken krijgt, maar wanneer.

De kern

Installatiebedrijven zijn niet langer 'alleen' bezig met fysieke installaties.  Zodra je een apparaat op een netwerk aansluit — en zeker op IPv6 — word je onderdeel van een digitaal ecosysteem waar NIS2, AVG en de AI Act allemaal van toepassing kunnen zijn.

Het is geen IT-probleem. Het is een installatiebedrijf-probleem. En tegelijk is het een kans: installateurs die dit begrijpen en kunnen uitvoeren, onderscheiden zich van de concurrentie.

Meer weten?

Berkland helpt installatiebedrijven met het navigeren van digitalisering en regelgeving. Van bewustwordingstrainingen tot praktische implementatie.

Neem contact op via www.berkland.nl

Bronnen

• NCTV — Cyberbeveiligingswet: nctv.nl/onderwerpen/c/cyberbeveiligingswet

• NCSC — NIS2-richtlijn: ncsc.nl

• SIDN — IPv6 adoptie Nederland: sidn.nl/en/modern-internet-standards/ipv6

• Platform Internetstandaarden — IPv6 bijeenkomst 2025

• Computest — KNX-kwetsbaarheden onderzoek (2020)

• NLdigital — Cyberbeveiligingswet naar Tweede Kamer