Veel gebouwen draaien nog op systemen die ooit zijn ontworpen voor betrouwbaarheid. Niet voor realtime data. Niet voor cloudkoppelingen. Niet voor AI. En zeker niet voor een wereld waarin cybersecurity een dagelijkse dreiging is.

Veroudering is op zichzelf geen probleem. Een regelkast kan jarenlang goed functioneren. Maar zodra IT en OT dichter bij elkaar komen, verandert het risico.

Vroeger stonden gebouwbeheersystemen vaak los van de buitenwereld. Tegenwoordig worden ze op afstand beheerd, gekoppeld aan IT-netwerken of verbonden met dashboards, energiemanagementsystemen en externe leveranciers. Elke koppeling kan waarde toevoegen. Maar elke koppeling kan ook een nieuwe kwetsbaarheid introduceren.

Gevaar 1: slechte data, slechte beslissingen
Een gebouwbeheersysteem is niet langer alleen bedoeld om installaties te bedienen. Het is een databron geworden. Data over bezetting, energieverbruik, comfort, storingen, luchtkwaliteit en installatieprestaties bepaalt hoe slim een gebouw kan worden aangestuurd.

Maar oude systemen leveren vaak te weinig data, inconsistente data of data zonder duidelijke structuur. Dan wordt energiemanagement giswerk. Je weet misschien dát het energieverbruik hoog is, maar niet waar, wanneer of waarom.

Dat is een probleem voor verduurzaming. Zonder realtime inzicht kun je niet gericht sturen op CO2-reductie, comfort of kostenbesparing. En zonder goede datastructuur zijn Smart Building, AI of predictive maintenance vooral mooie beloftes. Data heeft pas waarde als je die kunt ordenen en vergelijken. Anders heb je een bibliotheek vol boeken zonder catalogus.

Gevaar 2: cybersecurity als vergeten risico
Verouderde gebouwbeheersystemen zijn vaak gebouwd in een tijd waarin cyberdreiging geen ontwerpcriterium was. Communicatie tussen systemen is soms open, updates worden beperkt uitgevoerd en externe toegang is niet altijd strak geregeld.

Dat maakt gebouwen kwetsbaar. Zeker wanneer beheer op afstand is ingericht. Een servicepartij heeft toegang nodig, maar hoe is die toegang beveiligd? Wie logt in? Via welke verbinding? En hoe wordt gemonitord wat er gebeurt?

Voor veel organisaties is dit een blinde vlek. Ze weten niet precies welke OT-systemen in hun netwerk hangen, hoe oud ze zijn, welke firmware erop draait en hoe ze communiceren met bovenliggende systemen of externe partijen. Daar zit het risico, want al deze onbekende connecties zijn onbeheerd en soms onbeschermd.

Gevaar 3: toenemende compliance-druk
Wet- en regelgeving maakt dit vraagstuk urgenter. Sinds 15 augustus 2026 is NIS2 in Nederland van kracht als de Cyberbeveiligingswet. Organisaties die eronder vallen, moeten aantoonbaar maatregelen nemen tegen digitale risico’s en een significant incident binnen 24 uur melden. Voor essentiële entiteiten lopen de boetes op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Ook de EPBD legt de lat hoger. Gebouwen met een verwarmings- of koelinstallatie van 290 kW of meer moeten sinds 2026 een gebouwautomatiserings- en controlesysteem (GACS) hebben. Vanaf eind 2029 geldt dat al vanaf 70 kW. CSRD vergroot daarnaast de druk op betrouwbare duurzaamheidsdata.

Verouderde gebouwbeheersystemen kunnen die informatie vaak niet leveren. Of niet op de juiste manier. Daardoor ontstaat naast een technisch probleem, ook een compliance issue. Wat vandaag nog werkt, kan morgen onvoldoende zijn om aan wetgeving, audits of interne risicokaders te voldoen.

Waarom modernisering complex is

Een GBS vervangen in een in gebruik zijnd gebouw, zoals ziekenhuizen, datacenters, laboratoria, hoofdkantoren of campussen, is niet zo eenvoudig. Installaties kunnen niet zomaar uit. Gebruikers mogen er zo min mogelijk van merken.

Daarnaast is het bestaande landschap vaak versnipperd. Verschillende leveranciers. Meerdere generaties controllers. Weinig documentatie. Oude protocollen. Extern beheer. En soms geen duidelijk eigenaarschap tussen IT, vastgoed en facility management.

Rabobank liep daar precies tegenaan. De bank werkte met twee gebouwbeheersystemen op end-of-life software die IT niet langer ondersteunde. De systemen spraken niet dezelfde taal en waren alleen met tijdelijke maatregelen veilig te houden, terwijl de security-eisen toenamen en een vendor lock-in dreigde. Na een marktverkenning en een proof of concept in de eigen omgeving koos de bank voor één open platform, waarin IT en OT samenwerken binnen één beveiligd systeem. Dat legt meteen de basis voor datagedreven beheer. Lees de case van Rabobank.

IT kijkt soms naar OT als oude rommel, en vastgoed zucht over de moeilijke vragen van IT. Maar ze kunnen niet zonder elkaar. Het belangrijkste is dat er niets tussen wal en schip valt.

Hoe begin je?

Begin met inzicht. Wat hangt er in het netwerk? Welke systemen zijn kritisch? Welke verbindingen lopen naar buiten? Welke software wordt niet meer ondersteund? Welke data is beschikbaar? En waar zitten de grootste risico’s?

Een IT/OT Quickscan brengt dat landschap in kaart. Daarna kun je bepalen wat eerst moet: securitymaatregelen, datastandaardisatie, vervanging van kritieke onderdelen of een gefaseerde modernisering.

De beste aanpak is niet altijd alles vervangen. Soms is segmenteren, monitoren of standaardiseren de eerste stap. Soms moet hardware echt worden vernieuwd. Maar dan weet je in ieder geval wat prioriteit heeft.

Van gebouwbeheer naar digitale basis

Een modern gebouwbeheersysteem is geen sluitpost. Het is een digitale basis voor comfort, energie, veiligheid, compliance en toekomstig gebruik van AI. Wie blijft wachten tot het systeem uitvalt, stapelt risico op risico. Wie nu inzicht creëert, kan gericht moderniseren en de waarde van het gebouw vergroten.

Want een gebouw dat gewoon werkt, is niet automatisch toekomstbestendig. Pas als data betrouwbaar is, toegang veilig is en systemen beheersbaar zijn, wordt gebouwbeheer een strategisch instrument.