Rijksoverheid start opnieuw voorlichtingscampagne voor updaten van iot-apparaten

De Nederlandse Rijksoverheid hervat de voorlichtingscampagne Doe Je Updates. Daarin roept de overheid burgers op hun verbonden apparaten te updaten zodat die niet gehackt kunnen worden. Dat doet de overheid, nu steeds meer apparaten verbonden raken.

Het ministerie van Economische Zaken zegt dat het weer verdergaat met de campagne Doe Je Updates, een onderdeel van Veilig Internetten. Doe Je Updates is een bewustwordingscampagne die begon in 2022. De campagne wordt nu opnieuw gestart.

Opvallend is de reden waarom dat gebeurt. De overheid verwijst naar het stijgende aantal verbonden apparaten en de bereidheid van Nederlanders om die te updaten, maar de campagne gaat voorbij aan de praktische risico's. De overheid verwijst naar het rapport Alert Online 2025, waarin het ministerie van EZK de beveiliging van Nederlandse burgers liet onderzoeken. Daaruit blijkt dat 89 procent van de Nederlanders een iot-apparaat in huis heeft en dat driekwart van de Nederlanders vorig jaar te maken had met 'een poging tot cybercrime'. "Hiervoor worden ook slecht beveiligde apparaten ingezet die verbonden zijn met het internet", schrijft het ministerie, maar daar wordt in het rapport geen link mee gelegd.

De overheid verwijst in een persbericht wel naar incidenteel nieuws waarbij slecht beveiligde iot-apparaten op afstand worden overgenomen, zoals in 2019 met een verbonden voederbak voor katten. "Cybercriminelen kunnen slecht beveiligde apparaten hacken of overnemen en gebruiken voor ddos-aanvallen, phishingmails, het installeren van ransomware en datadiefstal", stelt de overheid. "Bovendien kunnen ze het apparaat, afhankelijk van het type, op afstand bedienen. Daarom is het belangrijk om die slimme apparaten goed te beveiligen met de laatste updates." Iot-apparaten worden inderdaad regelmatig misbruikt in botnets, maar ransomware en phishing via iot-aanvallen zijn buiten wat academische voorbeelden nauwelijks een probleem te noemen.

In het onderzoek schrijft de overheid dat twee derde van de Nederlanders hun iot-apparaten regelmatig updatet, wat ze in zeventig procent van de gevallen weer doen om apparaten veilig te houden. Daarbij moet worden opgemerkt dat in het onderzoek niet wordt gedefinieerd wat 'een slim apparaat' precies betekent.

Reacties (56)

[lenwar]

Dit voelt toch echt heel erg als mosterd na de maaltijd. Veel IoT-apparaten zijn niet eens te updaten. (nieuwe versie van de fabrikant/fabrikant gestopt(failliet?)/fabrikant onderhoudt het apparaat überhaupt niet/enz).

Het zou beter zijn als er Europese wetgeving komt die IoT-apparaten verplicht om minimaal de verwachtte levensduur van updates te blijven voorzien. (Desnoods ook een verplichting de broncode te deponeren bij een stichting, plus een bepaald bedrag per jaar, voor als het bedrijf failliet gaat.) En of dat IoT-apparaten, waar van toepassing, ook zonder internettoegang bruikbaar zijn. Lang niet IoT-apparaten hebben iets op het internet te doen. (denk aan zaken als een koelkast, kookplaat, luchtreiniger, wasmachine, lampen, maar ook een domotica-hub, enz.) Dat het optioneel het internet op kan is natuurlijk helemaal prima (voor als je je wasmachine op afstand wil kunnen aanzetten of zo.), maar het verplichten is nergens voor nodig. Je ziet ook vrij vaak dat veel producten ook 'lokaal' te bedienen zijn door wat hack en slash werk van hobbyisten.
Mijn Dyson luchtreiniger en Siemens kookplaat bedien ik lokaal via Home Assistant. Ze hebben geen internetverbinding, maar ze doen het prima. (Overigens doen de apps het ook prima lokaal, maar ik kan het niet op een normale manier uitzetten. Dan moet ik met vlans enzo gaan werken, en dat is natuurlijk niet voor iedereen weggelegd.)

Maar goed. We zitten nu eenmaal met al die slecht ontworpen apparaten en diensten, dus er moet nu wel iets gedaan worden. Ik hoop oprecht dat deze campagne als neveneffect gaat krijgen dat meer mensen bewust worden van de onveiligheid van dat 'slimme spul'.

[bzzzt]

Het zou beter zijn als er Europese wetgeving komt die IoT-apparaten verplicht om minimaal de verwachtte levensduur van updates te blijven voorzien.

Die is er al sinds vorig jaar: nieuws: EU-wet: fabrikanten moeten techproducten vijf jaar ondersteunen met u...

[lenwar]

Oh kijk is aan. Die had ik even niet meer in m'n hoofd zitten. Bedankt!
Vooral het stuk:

Wanneer redelijkerwijs kan worden verwacht dat het product met digitale elementen langer dan vijf jaar zal worden gebruikt, zoals vaak het geval is bij hardwarecomponenten zoals moederborden of microprocessors, netwerkapparatuur zoals routers, modems of netwerkswitches, alsook software zoals besturingssystemen of video-editingprogramma’s, moeten fabrikanten zorgen voor langere ondersteuningsperioden die daarbij aansluiten.

Is hier essentieel.

[schrikbeeld]

@bzzzt Die wetgeving blijkt er dus al te zijn, maar het lijkt mij dat er weinig op gehandhaafd wordt.

Recent merkte ik dat mijn 4,5 jaar oude vaatwasser van Bosch niet meer ondersteund wordt, ik kan er met mijn Home Aut spullen nog wel bij maar er komen geen updates meer.

[R_Zwart]

Als niemand aangifte doet kan er ook.niet veel gehandhaafd worden. Onderdeel van de campagne zou kunnen zijn dat consumenten aangifte doen als ze niet kunnen updaten.

[The Realone]

Die wet, of verordering, treedt dan ook pas eind 2027 in werking.

[Jay-v]

Ja. succes daarmee. Mijn splinternieuwe auto (bj 2025) heeft de laatste Android security updates van 2023 👎.

Ik zou mijn IoT netwerk voor de gein wel eens willen scannen. Het is waarschijnlijk om te janken. Laatst nog iemand geholpen met het aansluiten van een goedkope laadpaal, Webasto Next, error logs zaten vol met een EOL python runtime 3.6 volgens mij, en de fabrikant heeft de ondersteuning gestopt.

[THETCR]

Onder de Europese wetgeving is het verboden wat de fabrikant van jouw auto op het moment doet.

Schrijf ze aan en verwijs naar de EU wetgeving over verplichte beveiligingsupdates. Gaan ze daar niet op in meld het dan bij de toezichthouder.

[The Realone]

Welke wetgeving is dat dan precies die nu van kracht is?

[CAPSLOCK2000]

Dit voelt toch echt heel erg als mosterd na de maaltijd. Veel IoT-apparaten zijn niet eens te updaten. (nieuwe versie van de fabrikant/fabrikant gestopt(failliet?)/fabrikant onderhoudt het apparaat überhaupt niet/enz).

Het zou beter zijn als er Europese wetgeving komt die IoT-apparaten verplicht om minimaal de verwachtte levensduur van updates te blijven voorzien. (Desnoods ook een verplichting de broncode te deponeren bij een stichting, plus een bepaald bedrag per jaar, voor als het bedrijf failliet gaat.)

Mee eens, maar broncode alleen is niet genoeg. Om die broncode te kunnen gebruiken heb je typisch nog veel meer nodig, zoals de documentatie van de hardware (als die al bestaat), een compiler, plaatjes, data en andere assets, en een manier om je nieuwe versie op het apparaat te zetten.
Dat allemaal achteraf uitzoeken en herconstrueren op grond van de resten van een failliet bedrijf zal in praktijk niet uitvoerbaar en onbetaalbaar zijn.

Op een bepaalde manier pakken we het nu ook niet handig aan. Er zijn (bv) duizenden verschillende magnetrons in de wereld en die hebben allemaal hun eigen software ontwikkeld terwijl ze praktische hetzelfde doen. Dat kost een hoop geld en moeite. Het zou handiger zijn als er een gemeenschappelijk MagnetronOS is dat op alle magnetrons kan draaien.
En hoewel ik net schreef dat al die apparaten hun eigen software ontwikkelen is dat eigenlijk niet helemaal waar. Vaak baseren ze zich op bestaande software waar ze zelf nog een klein beetje aan klussen. Zo heel anders dan een gedeeld "free software" MagnetronOS is het niet, anders dat er geen mogelijkheid is om die verbeteringen (rechtstreeks) uit te wisselen met andere fabrikanten.

Nu is de magnetron maar een voorbeeld, ik denk niet dat we echt een apart MagnetronOS nodig hebben, maar ik denk dat we wel veel zouden kunnen bereiken met veel meer samenwerking tussen al die bedrijfjes die nu IOT-software & firmware maken. Ik zou liever een meer PC-achtig model zien waarbij er verschillende generieke OS'en zijn die je op ieder compatible apparaat kan installeren en waarbij de fabrikant van het apparaat alleen zorgt voor een applicatie die los staat van het OS en de firmware.
Tegelijkertijd hoop ik ook dat hardware meer gebruik gaat maken van standaard API's en drivers, wederom net als bij de PC. Iedere USB-muis werkt bv op iedere PC met een USB-poort. Misschien dat er extra features zijn die je via de software van de fabrikant werken, maar de basis-functionaliteit werkt altijd.
(Matter/Threads maakt op zich wel goede stappen die kant op)

[lenwar]

Om die broncode te kunnen gebruiken heb je typisch nog veel meer nodig

Uiteraard. Dat was in mijn hoofd impliciet, maar moet uiteraard ook wel geregeld zijn!

Het zou handiger zijn als er een gemeenschappelijk MagnetronOS is dat op alle magnetrons kan draaien.

Een woord "verkoopmarketing". Verkoopmarketing-mensen hebben erg veel last van het 'not invented here syndrome'. Door een apparaat/systeem 'breed inzetbaar' te maken, duw je je klanten niet in hun ecosysteem, wat voor de fabrikant natuurlijk heel handig is om wel te hebben. (de klant heeft er in de praktijk vrij weinig aan.) Het meest ideale zou zijn als er een soort Home Assistant komt die wel toegankelijk is voor iedereen, en dat apparaten daarop inhaken. Dan heb je één apparaat dat het internet op gaat. Dit apparaat moet dan tot op de tanden beveiligd en bewapend zijn natuurlijk. Maar nogmaals. Dat vinden de verkoopmarketeers niet leuk, want die willen natuurlijk dat je een LG-domotica-hub of een Siemens-domotica-hub gaat gebruiken.
Het kan allemaal maar zo mooi zijn.. Maar ja... Verkoopmarketing maakt alles stuk dat mooi kan zijn...

[Xanthorax]

Dit wat hier boven staat graag.

Graag ook gelijk IPv6 support gaan verplichten.

Ik heb hier oa. Philips Hue, Tado, Ring Door Bell, HomeWizzard spullen, Tapo Camera's en wat Xiaomi dingen en niks, maar dan ook niks support IPv6 op enige manier.

Voor de microcontroller achtige zaken is er misschien nog een excuus gezien de resource requirments voor dual-stack, maar voor alles wat onderwater een full-fleged os draait (meestal linux) is er gewoon geen excuus.

[cdwave]

Twee valkuilen.

Ten eerste de onderliggende gedachte dat "als je een apparaat maar update dan is hij wel veilig". Niet alle lekken worden gevonden, en het is maar de vraag of een update ook echt iets dicht. De mogelijkheid om te kunnen updaten maakt een apparaat ook minder veilig. Vanwege de update functionaliteit moet het apparaat "schrijfbaar" worden, moet het op een of andere manier met de buitenwereld verbinden, en moet er ook extra software op komen te staan om die update uit te voeren.

Ten tweede is er wel wetgeving over de update termijn (vijf jaar), maar die zegt maar weinig over de inhoud van de updates. Je telefoon krijgt bijvoorbeeld updates, maar in de tijd dat ik er nog "in" kon kijken ging het dan bijvoorbeeld om 5 jaar oude kernel patches die weinig met security te maken hadden. Maar ja, update, dus iedereen lyrisch...

[merethan]

De campagne had beter kunnen zeggen: "Verbind je zonnepanelen/boiler/wasmachine/vaatwasser/stofzuiger/auto* niet met internet".

^{*) doorhalen wat niet van toepassing is}

[FairPCsPlease]

Precies. Eén van de grote problemen van IoT apparaten is nu juist dat op een gegeven moment de ondersteuning met updates stopt, lang voordat het apparaat zelf versleten is. Daarom haal ikzelf ook geen enkel IoT apparaat in huis. Dus ook de slimme meter die ik aangeboden kreeg van de netwerkbeheerder heb ik geweigerd. Toen ik mijn Canon printer kocht, kwam ik erachter dat deze wel met internet verbonden en draadloos bediend kon worden, maar dat heb ik dus niet gedaan, door deze niet met mijn Wifi netwerk te verbinden, alleen met een usb-kabel contact te laten maken met mijn desktop PC en verder niet.

[Reactie gewijzigd door FairPCsPlease op 6 oktober 2025 17:04]

[HakanX]

Alsof 90% van die apparaten überhaupt updates krijgen. Ze kunnen hun tijd beter steken in een Europese wetgeving dat verplicht alle met internet verbonden apparatuur minimaal 10 jaar beveiligingsupdates te geven en dat het standaard op automatisch installeren staat.

Dat sommige goedkope aanbieders dan niet meer kunnen meedoen is pech voor hun. Een andere oplossing is er niet.

[wiseger]

Wetgeving heeft alleen zin als er ook handhaving plaats vind.

Trouwens, hele volksstammen bestellen rechtstreeks hun spullen bij een Chinese leverancier via Temu, Alibaba of Shein. Hoe wil je met Europees recht afdwingen dat die minimaal tien jaar beveiligingsupdates moeten leveren?

[lenwar]

Dit is inderdaad lastiger, maar dan is het dus aan de EU om die producten te weren. Temu en consorten willen uiteindelijk ook aan de EU blijven leveren. Zaken die expliciet verboden zijn, zul je niet (heel) veel zien op die sites. Wat ik al elders aangaf. Maak het verplicht dat de broncodes worden gedeponeerd bij een stichting, waar ze ook geld in moeten steken. Zodra ze verzaken krijgen ze een boete of een handelsverbod en neemt die stichting het patchen over. (dit werkt dan ook bij faillissement.)

(Uiteraard is bovenstaande natuurlijk heel erg versimpeld en niet in 3 weken geregeld, maar je snapt waar ik naartoe wil.)

Dat broncode deponeren gebeurd overigens ook bij andere soorten organisaties. Mijn werkgever heeft ook van een paar leveranciers deze eis. Ze mochten pas hun software/diensten aan ons verkopen als ze de broncode deponeerde bij een organisatie die dat als businessmodel heeft, en bij faillissement, krijgt m'n werkgever de broncode ter beschikking om door een ander over te laten nemen. We hebben dit zover ik weet minimaal 1x moeten gebruiken. We hadden de broncode laten overhevelen naar een ander softwarehuis die het onderhoud van die software voor ons ging doen.

[R_Zwart]

Het is praktisch onmogelijk voor de EU, of beter: de landen van de EU om alle producten te certificeren. En als dat al gebeurt gaan consumenten lekker goedkoop direct in China kopen omdat producten hier door zo'n certificering duurder worden.

[cdwave]

Bij mijn bedrijf is het juist standaard dat de klant eigenaar wordt van alles wat wij voor ze ontwikkelen. Dus niet alleen dat de klant een zipje met alleen de laatste versie erin krijgt, nee, standaard krijgt de klant nog tijdens het lopende project gewoon toegant tot alle code, met historie en incluis build omgeving en instructies. Zal misschien te maken hebben met de bedrijfstakken waarin wij bewegen.

Vooral bij medische projecten komen klanten nog wel eens met een berg puinhoop van de vorige leverancier, en dat zijn nog de gunstige gevallen, waar er nog source code is. Soms hebben ze alleen binaries voor een antieke CPU of FPGA die niet meer gemaakt wordt...

[HakanX]

Chinese producten zijn ook bijna allemaal hetzelfde op de achtergrond. Volgens mij is Tuya de grootste iot-aanbieder, welke ook onder verschillende merknamen in Europa in de winkels staan zoals bij de Action. Als ze voor die whitelabels al updates moeten ontwikkelen, kunnen ze dat net zo goed direct voor hun hele gamma uitrollen en het als een USP gebruiken.

Je moet ergens beginnen. Langdurige beveiligingsupdates is een onmisbare minimale eis in de moderne wereld. Uiteindelijk moeten ze allemaal het voorbeeld volgen. Zelfs China zal uiteindelijk wetgeving ervoor moeten maken als ze niet willen dat om de haverklap het halve internet eruit ligt.

[Knallmeister]

Bepaalde apparaatjes door Tuya ontworpen kunnen zelfs met OpenSource firmware geupdated worden. (Github). Ik ga binnenkort samen met mijn buurman de LED spotjes in het plafond van de luifel updaten met geschikte opensource firmware. Daarna het uit de cloud halen, want ik vind het toch een beetje raar dat die LED spotjes mijn externe IP-adres (lijken te) hebben.

[bzzzt]

Hoge importheffingen zodat je beter in de EU kan kopen?

[wiseger]

Dat is een optie maar dan moet je wel handhaven. Op dit moment kan de douane de tsunami van Chinese pakketjes niet aan. Bijna alles komt ongecontroleerd ons land binnen.

[bzzzt]

Die tsunami wordt wel minder als je er 100 euro overheen mag betalen. Daarnaast kunnen de reële kosten (zoals extra personeel) van de douane met de heffing worden betaald.

[Knallmeister]

Zinloos als ze in China ontworpen worden.

[bzzzt]

Het gaat alleen om de particuliere parallel import. Grote bedrijven die bulk inkopen in China en hier verkopen zijn al verplicht hier de support te leveren. Is dat niet geregeld met de Chinese ontwerpers mag het spul hier dus domweg niet verkocht worden.

[nonestpraens]

Bedrijven en anderen netwerken verplichten alle IoT devices gebaseerd op soort categorie achter een vlan te gooien, die vnets isoleren van het standaard netwerk en de rechten limiteren, gefeliciteerd nu heb je een vlan met onveillige iot device's die geen gevaar vormen.

[bzzzt]

Een vlan met onveilige producten kan misschien niet bij het interne netwerk maar alsnog overgenomen worden voor botnet doeleinden en nog steeds impact hebben op beschikbaarheid van de verbinding.

[IrBaboon79]

Euh, doe dat dan wel zodanig via wetgeving dat een bedrijf dat je spullen remote bricked via een of andere troep update 100% van de aankoopsom moet teruggeven...

Ja, ik kijk naar jullie 'Remeha'...

[gevoelig]

Wat gebeurde daar dan?

[hjalmarvw]

Er is al wetgeving die dit gaat verplichten, kijk maar eens naar de Cyber Resilience Act (CRA) : https://www.rdi.nl/onderwerpen/handel-en-apparatuur/cra

[HansvDr]

Veel apparaten krijgen helemaal geen updates.

En die gaan echt niet zomaar de container in.

[agile_tester]

Mijn vrouw vroeg vorige week nog wat de maandelijkse 'Firmware Friday' inhoudt in onze gemeenschappelijke agenda

[IrBaboon79]

De overheid die IT advies gaat geven - het moet niet gekker of laagdrempeliger worden. Natuurlijk wel goed dat ze iets proberen uit te sralen naar de burgers maar zouden ze niet tegelijkertijd ook wat aan hun eigen 'IT en update probleempjes' doen? (Ik noem maar een Citrix...als voorbeeld :) )

[Unknown Alien]

Goede zaak Hopelijk houden ze wel rekening met de huishoudens die geen idee hebben waar ze het over hebben. IoT, zegt ze niks.

De titel zegt ze al weinig tot niks.

Doe je updates!

Zou eerder een korte zin gebruiken die een gebruiker triggert, van he ik moet wat doen.

B.v.:

Veilig op het internet

[jpsch]

"Knoop je jas dicht, doe een das om was eerst je handen"

"'Kam je haren, recht je schouders, denk aan je tanden"

"Blijf niet hangen, recht naar huis toe, spreek met twee woorden"

"Stel je netjes voor, eet zoals het hoort, en update!".

[fletnix2.0]

Laat ze eerst maar eens hun eigen IT op orde hebben. Kennelijk valt daar nog genoeg aan te verbeteren.

[jpsch]

Vraag me af hoeveel van die apparatuur daadwerkelijk te updaten is.

[JCG]

Onthoud: de S in IOT staat voor security.

[JayPe]

Maar de S in 'Internet Of Things' staat helemaal achteraan. En dingen die achteraan staan, hebben geen prioriteit.


/s

[Miglow]

Mijn slimme lampen hebben al in geen jaren een update gehad en gelukkig hoeven ze alleen maar aan/uit/kleuren te doen. En dat doen ze. Gewoon van de Gamma ofzo maar wel Tuya.

[jpsch]

Heb ooit redelijk dure universele afstandsbediening gekocht, zodat ik alles met 1 ab kon bedienen. Weet dat 'ie niet aan internet hing, maar ik had er niets meer aan toen ik niet meer de codes voor mij apparatuur van internet kon halen. Ja, zolang ik niets verving kon ik 'm nog gebruiken.

[Itrme]

Maar aan de andere kant. Waarschijnlijk moest je een account maken, specifieke app installeren etc. om ze uberhaupt te kunnen gebruiken. En tenzij je het dicht hebt gezet, hangen die dingen nu permanent aan het internet via een cloud dienst.

[bzzzt]

Ondertussen halen die lampen firmware uit China op die ze in principe om kan bouwen naar reverse proxies naar je netwerk. Ik zou de netwerkstekker niet in mijn oude Windows 10 PC laten zitten met dat soort troep in huis.

[Xbeek]

Op zich mooi initiatief. Denk best dat er veel mensen zijn die het graag een maandelijkse 'Firmware Friday' zouden willen doen, maar de grote vraag is: Hoe dan!

Ook in mijn omgeving zijn steeds meer mensen zich bewust van noodzaak om internet gekoppelde devices up to date te houden.

Zou mooi zijn als er een (centrale Europese) database zou zijn met status van het product en manier van updaten.

Toevoeging:

Eigenlijk zouden beveiligingsupdates verplicht automatisch gepusht moeten worden naar consumenten IOT apparaten...

[Reactie gewijzigd door Xbeek op 6 oktober 2025 15:31]