Thuisbatterij en omvormer veilig online: wat je zelf regelt

In oktober 2026 presenteerde de Rijksinspectie Digitale Infrastructuur (RDI) een position paper over apparaten die via internet veel vermogen aansturen: zonne-omvormers, thuisbatterijen, laadpalen en warmtepompen. De RDI noemt ze samen high-power IoT. Het bijbehorende nieuwsbericht van 7 oktober 2026 zet de kern op een rij. Veel van die apparaten hangen aan dezelfde digitale achterkant: de servers en software van een fabrikant, een energiemanagementsysteem of een aggregator. Via die ene ingang kun je heel veel apparaten tegelijk aansturen.

De RDI noemt drie manieren waarop dat mis kan gaan:

• een fabrikant of aanbieder verspreidt per ongeluk een foute update of instelling;
• kwaadwillenden misbruiken een kwetsbaarheid in de apparaten of systemen;
• een staat met kwaadwillende bedoelingen kan beschikken over dwangmiddelen om fabrikanten en aanbieders van energiemanagementsystemen, aggregatoren en cloudplatformen die onder zijn jurisdictie vallen tot medewerking te dwingen.

Gebeurt dat bij heel veel apparaten tegelijk, dan kunnen vraag en aanbod van stroom plotseling hard schommelen. Dat kan het stroomnet verstoren. Het risico ontstaat volgens de RDI wanneer een groot aantal apparaten tegelijk wordt beïnvloed. Het grootste risico ligt bij de backendsystemen van fabrikanten, energiemanagementsystemen en aggregatoren, en de cloudplatformen die zij gebruiken. Het gaat om veel vermogen dat tegelijk wegvalt of bijkomt: volgens de RDI kan vanaf 3 gigawatt een plotselinge onbalans in vraag en aanbod tot verstoringen leiden. De RDI noemt in het position paper geen merken of landen als bron van het risico. Twee van de drie oorzaken, een foute update en misbruik van een kwetsbaarheid, kunnen bij elke fabrikant en aanbieder voorkomen. Het gaat om hoe het systeem in elkaar zit.

Dezelfde verbinding biedt ook kansen: verbonden apparaten kunnen bijdragen aan de stabiliteit van het net en congestie tegengaan. Lees meer over energie thuis slim sturen, over netsturing en over een dynamisch energiecontract.

De Europese Cyber Resilience Act (CRA) stelt eisen aan de digitale veiligheid van producten met digitale elementen. Ook voor zonne-omvormers, thuisbatterijen en laadpalen is de CRA een bestaande regel. De CRA gaat in stappen in.

Voor apparaten met een radioverbinding (wifi, Bluetooth of 4G) die zelf of via een ander apparaat met internet kunnen communiceren, gelden sinds 1 augustus 2025 al cybersecurityeisen uit de Radioapparatuurrichtlijn, via Gedelegeerde Verordening (EU) 2022/30. Daarvoor zijn geharmoniseerde normen (EN 18031) opgesteld. Vanaf 11 december 2027 is die verordening ingetrokken en vervangt de CRA haar.

Volgens de RDI zijn de CRA-regels voor dit soort apparaten nog vrij algemeen: de CRA stelt vooral algemene eisen aan high-power IoT. Daarom beschrijft de RDI drie mogelijke oplossingsrichtingen. Status: voorstel toezichthouder, nog geen wet. De RDI schrijft dat een antwoord op Europees niveau nodig is.

• Europese eisen per type apparaat en de bijbehorende backend, waarin de risico's voor het stroomnet zijn meegenomen. Eventueel komt er een onafhankelijke keuring voordat het apparaat op de markt komt. Nu controleert de fabrikant dat zelf.
• Partijen die op afstand veel vermogen aansturen onder de Europese cybersecurityregels voor organisaties (NIS2) brengen, ongeacht hun omvang of vestigingsplaats.
• Aanvullende maatregelen om de digitale autonomie te versterken. Partijen die veel apparaten op afstand kunnen aansturen, bevinden zich deels buiten de Europese Unie, en dat geeft volgens de RDI geopolitieke risico's. Vitale processen moeten daar minder van afhankelijk worden.

Status: opdracht gegeven, nog geen eisen of datum. Het kabinet heeft het Nederlands Normalisatie-instituut (NEN) opdracht gegeven technische afspraken te ontwikkelen voor warmtepompen, laadpalen, thuisbatterijen en zonne-omvormers, en een norm voor home energy managementsystemen (HEMS). Die afspraken moeten vastleggen aan welke eisen apparaten moeten voldoen om aanstuurbaar te zijn. Het kabinet werkt daarnaast aan Europese standaarden. Cybersecurity wordt daarbij nadrukkelijk meegenomen, aldus het kabinet.

Het Kamerstuk noemt nog geen eisen of datum voor die afspraken. Baseer een aankoop dus niet op wat er misschien komt.

De regels van de overheid gaan over fabrikanten. Dit zijn de dingen die je zelf in de hand hebt.

Vier vragen die je bij elke installateur kunt stellen:

• Draait de batterij of omvormer op de nieuwste software, en staan automatische updates aan?
• Op welk account staat de installatie, en kan ik daar zelf het wachtwoord en tweestapsverificatie instellen?
• Welke partijen hebben toegang om op afstand te sturen, en hoe zet ik dat uit?
• Werkt de batterij nog (bijvoorbeeld voor eigen verbruik of noodstroom) als de internetverbinding wegvalt?

Dit artikel gaat over de digitale kant. Nog aan het oriënteren? Lees dan over een thuisbatterij kiezen en over waar je een thuisbatterij plaatst, de fysieke kant van veiligheid. Meer over een thuisbatterij laten installeren lees je op onze productpagina.

Twijfel je hoe je systeem is ingesteld? Plan een adviesgesprek.