# Thuisbatterij en omvormer veilig online: zo doe je dat

Een thuisbatterij, omvormer of laadpaal hangt meestal aan internet. Wat je zelf regelt (updates, wachtwoord, wifi) en welke EU-regels er vanaf 2027 gelden.

## Waarom de overheid hier nu naar kijkt

In <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">oktober 2026</a> presenteerde de Rijksinspectie Digitale Infrastructuur (RDI) een position paper over apparaten die via internet veel vermogen aansturen: zonne-omvormers, thuisbatterijen, laadpalen en warmtepompen. De RDI noemt ze samen <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">high-power IoT</a>. Het bijbehorende <a href="https://www.rdi.nl/actueel/nieuws/2026/10/07/verbonden-energieapparaten-kunnen-leiden-tot-verstoring-van-elektriciteitsnet">nieuwsbericht van 7 oktober 2026</a> zet de kern op een rij. Veel van die apparaten hangen aan dezelfde digitale achterkant: de servers en software van een fabrikant, een energiemanagementsysteem of een aggregator. Via die ene ingang kun je heel veel apparaten tegelijk aansturen.

De RDI noemt drie manieren waarop dat mis kan gaan:

een fabrikant of aanbieder verspreidt per ongeluk een foute update of instelling;

kwaadwillenden misbruiken een kwetsbaarheid in de apparaten of systemen;

een staat met kwaadwillende bedoelingen kan beschikken over dwangmiddelen om fabrikanten en aanbieders van energiemanagementsystemen, aggregatoren en cloudplatformen die onder zijn jurisdictie vallen tot medewerking te dwingen.

Gebeurt dat bij heel veel apparaten tegelijk, dan kunnen <a href="https://www.rdi.nl/actueel/nieuws/2026/10/07/verbonden-energieapparaten-kunnen-leiden-tot-verstoring-van-elektriciteitsnet">vraag en aanbod van stroom plotseling hard schommelen</a>. Dat kan het stroomnet verstoren. Het risico ontstaat volgens de RDI wanneer <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">een groot aantal apparaten tegelijk wordt beïnvloed</a>. Het grootste risico ligt bij <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">de backendsystemen van fabrikanten, energiemanagementsystemen en aggregatoren, en de cloudplatformen die zij gebruiken</a>. Het gaat om veel vermogen dat tegelijk wegvalt of bijkomt: volgens de RDI kan <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">vanaf 3 gigawatt een plotselinge onbalans in vraag en aanbod tot verstoringen leiden</a>. De RDI noemt in het position paper geen merken of landen als bron van het risico. Twee van de drie oorzaken, een foute update en misbruik van een kwetsbaarheid, kunnen bij elke fabrikant en aanbieder voorkomen. Het gaat om hoe het systeem in elkaar zit.

Dezelfde verbinding biedt ook kansen: <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">verbonden apparaten kunnen bijdragen aan de stabiliteit van het net en congestie tegengaan</a>. Lees meer over <a href="/kennisbank/energie-thuis-slim-sturen">energie thuis slim sturen</a>, over <a href="/kennisbank/netsturing">netsturing</a> en over een <a href="/kennisbank/dynamisch-energiecontract">dynamisch energiecontract</a>.

## Wat de regels nu al vragen, en wat er in 2027 bij komt

De Europese Cyber Resilience Act (CRA) stelt <a href="https://ondernemersplein.overheid.nl/wetswijzigingen/veilige-digitale-producten-verplicht-cra/">eisen aan de digitale veiligheid van producten met digitale elementen</a>. Ook voor zonne-omvormers, thuisbatterijen en laadpalen is <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">de CRA een bestaande regel</a>. De CRA gaat in stappen in.

De CRA in twee stappen

Wanneer

Wat geldt dan voor fabrikanten

Sinds 11 september 2026

Fabrikanten moeten <a href="https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202402847">actief misbruikte kwetsbaarheden en ernstige incidenten melden</a> bij de aangewezen CSIRT (in Nederland het <a href="https://www.ncsc.nl/wet-en-regelgeving/cyber-resilience-act-cra/melden">NCSC</a>) en ENISA. Dat geldt ook voor <a href="https://www.ncsc.nl/wet-en-regelgeving/cyber-resilience-act-cra/melden">producten die al eerder op de markt zijn gebracht</a>.

Vanaf 11 december 2027

De <a href="https://ondernemersplein.overheid.nl/wetswijzigingen/veilige-digitale-producten-verplicht-cra/">meeste andere regels</a> gelden, voor producten die vanaf die datum op de markt komen. Een product dat al op de markt is, valt er pas onder na een <a href="https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202402847">substantiële wijziging</a>. Fabrikanten moeten dan onder meer hun producten veilig ontwerpen, kwetsbaarheden aanpakken en beveiligingsupdates leveren tijdens de ondersteuningsperiode, en informatie geven over veilig gebruik. Producten die aan de regels voldoen, krijgen een CE-markering. Ook importeurs en distributeurs moeten dan controleren of een product aan de CRA voldoet.

Dit zijn plichten voor de fabrikant, niet voor jou: de meldplicht geldt sinds 11 september 2026, ook voor producten die al op de markt zijn. De meeste andere regels gelden vanaf 11 december 2027, voor producten die vanaf die datum op de markt komen. Je kunt er bij aankoop wel naar vragen: zie de checklist hieronder.

Voor apparaten met een radioverbinding (wifi, Bluetooth of 4G) die zelf of via een ander apparaat met internet kunnen communiceren, gelden sinds <a href="https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32023R2444">1 augustus 2025</a> al cybersecurityeisen uit de Radioapparatuurrichtlijn, via <a href="https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022R0030">Gedelegeerde Verordening (EU) 2022/30</a>. Daarvoor zijn <a href="https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202500138">geharmoniseerde normen (EN 18031)</a> opgesteld. Vanaf 11 december 2027 is die verordening <a href="https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32026R0339">ingetrokken</a> en vervangt de CRA haar.

Volgens de RDI zijn de CRA-regels voor dit soort apparaten nog vrij algemeen: de <a href="https://www.rdi.nl/actueel/nieuws/2026/10/07/verbonden-energieapparaten-kunnen-leiden-tot-verstoring-van-elektriciteitsnet">CRA stelt vooral algemene eisen aan high-power IoT</a>. Daarom beschrijft de RDI drie mogelijke oplossingsrichtingen. Status: <strong>voorstel toezichthouder, nog geen wet</strong>. De RDI schrijft dat <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">een antwoord op Europees niveau nodig is</a>.

Europese eisen per type apparaat en de bijbehorende backend, waarin de risico's voor het stroomnet zijn meegenomen. Eventueel komt er <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">een onafhankelijke keuring voordat het apparaat op de markt komt</a>. Nu controleert de fabrikant dat zelf.

Partijen die op afstand veel vermogen aansturen onder de Europese cybersecurityregels voor organisaties (NIS2) brengen, ongeacht hun omvang of vestigingsplaats.

Aanvullende maatregelen om de digitale autonomie te versterken. Partijen die veel apparaten op afstand kunnen aansturen, bevinden zich deels buiten de Europese Unie, en <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">dat geeft volgens de RDI geopolitieke risico's</a>. Vitale processen moeten daar minder van afhankelijk worden.

## Wat komt er nog: afspraken over aanstuurbaarheid

Status: <strong>opdracht gegeven, nog geen eisen of datum</strong>. Het kabinet heeft het Nederlands Normalisatie-instituut (NEN) <a href="https://zoek.officielebekendmakingen.nl/kst-1275495.pdf">opdracht gegeven technische afspraken te ontwikkelen</a> voor warmtepompen, laadpalen, thuisbatterijen en zonne-omvormers, en een norm voor home energy managementsystemen (HEMS). Die afspraken moeten vastleggen aan welke eisen apparaten moeten voldoen om aanstuurbaar te zijn. Het kabinet werkt daarnaast aan Europese standaarden. <a href="https://zoek.officielebekendmakingen.nl/kst-1275495.pdf">Cybersecurity wordt daarbij nadrukkelijk meegenomen</a>, aldus het kabinet.

Het Kamerstuk noemt nog geen eisen of datum voor die afspraken. Baseer een aankoop dus niet op wat er misschien komt.

## Wat je zelf regelt: checklist

De regels van de overheid gaan over fabrikanten. Dit zijn de dingen die je zelf in de hand hebt.

Zes dingen die je zelf regelt

Wat

Waarom

Hoe

Updates installeren

Je houdt <a href="https://veiliginternetten.nl/hoe-moet-ik-mijn-slimme-apparaten-updaten/">online criminelen buiten</a>: via één apparaat kunnen ze anders bij je wifi-netwerk komen. Met de recentste software worden <a href="https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/internet-of-things/een-slim-apparaat-instellen">bekende kwetsbaarheden op tijd gerepareerd</a>.

Check bij een nieuw apparaat meteen of er een update is, en stel automatisch updaten in. Kan dat niet, zet dan een herinnering in je agenda om minimaal twee keer per jaar te checken.

Standaardwachtwoord vervangen

Het <a href="https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/internet-of-things/een-slim-apparaat-instellen">veranderen van je wachtwoord en gebruikersnaam</a> (als dat kan) is een van de belangrijkste stappen in het beveiligen van nieuwe apparatuur.

Blijf <a href="https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/internet-of-things/een-slim-apparaat-instellen">nooit een door de fabrikant ingesteld wachtwoord gebruiken</a>: vervang het meteen door een eigen wachtwoord.

Tweestapsverificatie aanzetten

Met <a href="https://veiliginternetten.nl/tweestapsverificatie-instellen/">tweestapsverificatie</a> is een gestolen wachtwoord niet genoeg om in te loggen.

Zet het aan in het account van de app, als de app dat aanbiedt. Ook de Autoriteit Persoonsgegevens vindt het <a href="https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/internet-of-things/een-slim-apparaat-instellen">aan te raden om meerfactorauthenticatie te gebruiken</a> als het apparaat of platform dat biedt.

Je wifi en router beveiligen

Via je router kunnen cybercriminelen bij <a href="https://veiliginternetten.nl/hoe-moet-ik-mijn-slimme-apparaten-updaten/">andere slimme apparaten in je huis</a> komen, en de router wordt het vaakst vergeten.

Kies <a href="https://veiliginternetten.nl/thema/basisbeveiliging/internet-of-things/hoe-kan-ik-apparaten-mijn-netwerk-veilig-gebruiken/">WPA2 en een wifi-wachtwoord van minimaal 20 tekens</a> en vervang het standaard beheerwachtwoord van je router.

Weten wie op afstand mag sturen

Niet alleen de fabrikant kan een apparaat op afstand beïnvloeden: <a href="https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf">ook een energiemanagementsysteem, een aggregator of een installateur</a> kan dat.

Vraag het je installateur: zie de vragen hieronder.

Vragen naar de ondersteuningsperiode

Vanaf 11 december 2027 moeten fabrikanten <a href="https://ondernemersplein.overheid.nl/wetswijzigingen/veilige-digitale-producten-verplicht-cra/">beveiligingsupdates leveren tijdens de ondersteuningsperiode</a>, voor producten die vanaf die datum op de markt komen. Een product dat al op de markt is, valt er pas onder na een <a href="https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202402847">substantiële wijziging</a>.

Vraag bij aankoop hoe lang de fabrikant updates belooft. Is de software sterk verouderd en zijn er geen updates meer? Dan <a href="https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/internet-of-things/een-slim-apparaat-instellen">kun je overwegen het apparaat en de software te vervangen</a>.

## Wat je je installateur kunt vragen

Vier vragen die je bij elke installateur kunt stellen:

Draait de batterij of omvormer op de nieuwste software, en staan automatische updates aan?

Op welk account staat de installatie, en kan ik daar zelf het wachtwoord en tweestapsverificatie instellen?

Welke partijen hebben toegang om op afstand te sturen, en hoe zet ik dat uit?

Werkt de batterij nog (bijvoorbeeld voor eigen verbruik of noodstroom) als de internetverbinding wegvalt?

Dit artikel gaat over de digitale kant. Nog aan het oriënteren? Lees dan over <a href="/kennisbank/thuisbatterij-kiezen">een thuisbatterij kiezen</a> en over <a href="/kennisbank/thuisbatterij-plaatsen">waar je een thuisbatterij plaatst</a>, de fysieke kant van veiligheid. Meer over een <a href="/thuisbatterij">thuisbatterij laten installeren</a> lees je op onze productpagina.

Twijfel je hoe je systeem is ingesteld? <a href="#advies">Plan een adviesgesprek</a>.

## Veelgestelde vragen

### Kan iemand mijn thuisbatterij hacken?

Elk apparaat aan het internet kan een zwakke plek hebben. Je verkleint de kans met updates, een eigen sterk wachtwoord, tweestapsverificatie en een beveiligde wifi. Het risico dat de RDI beschrijft ligt vooral bij de backendsystemen waarmee heel veel apparaten tegelijk worden aangestuurd.

### Wat is de Cyber Resilience Act?

Een Europese verordening met eisen voor de digitale veiligheid van producten met digitale elementen. Sinds 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden, bij de aangewezen CSIRT (in Nederland het NCSC) en ENISA. Vanaf 11 december 2027 gelden de meeste andere eisen, zoals veilig ontwerp en beveiligingsupdates, voor producten die vanaf die datum op de markt komen. Een product dat al op de markt is, valt er pas onder na een substantiële wijziging.

### Moet ik mijn batterij van het internet halen?

Niet zomaar. Via de internetverbinding komen meestal ook de updates van de fabrikant binnen. Wat er zonder verbinding nog werkt, verschilt per systeem. Beter: houd hem bijgewerkt en beveilig je account en wifi. Vraag je installateur welke partijen op afstand kunnen sturen.

### Wat gaat er volgens de RDI veranderen?

Nog niets vastgelegd. De RDI ziet drie mogelijke richtingen: Europese eisen per type apparaat met mogelijk een onafhankelijke keuring, passende cybersecurityeisen voor partijen die op afstand veel vermogen aansturen, en meer digitale autonomie. Dat is een voorstel van de toezichthouder, nog geen wet.

## Bronnen

- [Drie oorzaken van verstoring en de bestaande regels: Rijksinspectie Digitale Infrastructuur, nieuwsbericht 'Verbonden energieapparaten kunnen leiden tot verstoring van elektriciteitsnet' (7 oktober 2026)](https://www.rdi.nl/actueel/nieuws/2026/10/07/verbonden-energieapparaten-kunnen-leiden-tot-verstoring-van-elektriciteitsnet)
- [Oplossingsrichtingen, dwangmiddelen van staten, risico via backendsystemen en cloudplatformen, de grens van 3 GW en partijen met toegang op afstand: Rijksinspectie Digitale Infrastructuur, position paper 'Verbonden apparaten zetten het elektriciteitsnet onder druk' (oktober 2026)](https://www.rdi.nl/site/binaries/site-content/collections/documenten/2026/10/07/position-paper-verbonden-energieapparaten/position-paper-verbonden-apparaten-zetten-het-elektriciteitsnet-onder-druk.pdf)
- [Overzicht van de CRA-regels en data voor fabrikanten, importeurs en distributeurs: Ondernemersplein, 'Veilige digitale producten verplicht (Cyber Resilience Act)'](https://ondernemersplein.overheid.nl/wetswijzigingen/veilige-digitale-producten-verplicht-cra/)
- [Meldplicht voor fabrikanten, ook voor producten die al op de markt zijn: NCSC, Melden onder de Cyber Resilience Act](https://www.ncsc.nl/wet-en-regelgeving/cyber-resilience-act-cra/melden)
- [Wifi-wachtwoord (WPA2, minimaal 20 tekens) en beheerwachtwoord van je router: Veilig Internetten, 'Hoe beveilig ik apparaten die gekoppeld zijn aan internet?'](https://veiliginternetten.nl/thema/basisbeveiliging/internet-of-things/hoe-kan-ik-apparaten-mijn-netwerk-veilig-gebruiken/)
- [Opdracht aan NEN voor technische afspraken over aanstuurbaarheid: Tweede Kamer, Kamerstuk 21501-33 nr. 1242 (verslag schriftelijk overleg Energieraad, antwoord van 24 september 2026)](https://zoek.officielebekendmakingen.nl/kst-1275495.pdf)
- [Cybersecurityeisen voor apparaten met een radioverbinding (artikel 1 lid 1): EUR-Lex, Gedelegeerde Verordening (EU) 2022/30](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32022R0030)
- [Toepassing sinds 1 augustus 2025: EUR-Lex, Gedelegeerde Verordening (EU) 2023/2444 tot wijziging van Verordening (EU) 2022/30](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32023R2444)
- [Geharmoniseerde normen EN 18031: EUR-Lex, Uitvoeringsbesluit (EU) 2025/138](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202500138)
- [Intrekking van Verordening (EU) 2022/30 vanaf 11 december 2027: EUR-Lex, Gedelegeerde Verordening (EU) 2026/339](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32026R0339)