Hoe veilig is je IP-camerasysteem?

Een camera is tegenwoordig een computer

Twintig jaar geleden hing er een camera aan een coaxkabel, die ergens uitkwam op een recorder in een kast. Die keten had één ingang en één uitgang, en wie erbij wilde moest in het gebouw staan. Dat beeld zit nog in het hoofd van veel organisaties, terwijl er allang iets anders hangt.

Een moderne IP-camera is een klein computertje met een eigen besturingssysteem, een webinterface, gebruikers, wachtwoorden en een netwerkverbinding. Hij heeft firmware die bijgewerkt moet worden, en net als bij elk ander apparaat worden er zwakke plekken in gevonden. Het verschil met een laptop is dat niemand hem ooit opstart, niemand er een melding van ziet, en dat hij tien jaar aan het plafond blijft hangen nadat hij is opgehangen.

Daar zit het risico. Niet in het beeld, maar in de vraag wat er verder nog bereikbaar is vanaf het moment dat iemand op die camera zit. Hangt de camera in hetzelfde netwerk als je werkplekken, je kassasysteem of je server, dan is wie bij de camera komt niet beperkt tot de camera.

Wat het NCSC in juli 2026 adviseerde

Op 10 juli 2026 publiceerde het Nationaal Cyber Security Centrum een waarschuwing over kwetsbare IP-camera's, die volgens het NCSC misbruikt kunnen worden voor onder meer spionage. De adviezen die erbij stonden zijn opvallend praktisch, en bijna allemaal gaan ze over inrichting en onderhoud in plaats van over producten:

• Houd zicht op welke camera's en apparatuur er zijn.
• Voer beveiligingsupdates uit.
• Vervang apparatuur die geen ondersteuning meer krijgt.
• Scheid cameranetwerken van de rest.
• Blokkeer netwerktoegang die niet nodig is.
• Beveilig toegang van buitenaf.
• Zet onveilige protocollen uit.
• Houd het netwerkverkeer in de gaten.

Lees die lijst nog eens met je eigen installatie in gedachten. Vier van de acht punten gaan over het netwerk, twee over onderhoud en één over een lijst van wat er hangt. Geen enkel punt gaat over de camera zelf. Dat is de kern: de beveiliging van een camerasysteem wordt grotendeels bepaald door hoe het is aangesloten en bijgehouden, niet door welk merk er aan het plafond hangt.

Belangrijk is ook wat er níet staat. Er staat niet dat elk camerasysteem gehackt is, en er staat niet dat je iets moet vervangen. Er staat dat je moet weten wat er hangt en hoe het erbij staat. Dat is een redelijke vraag, en voor de meeste organisaties een vraag die ze nu niet kunnen beantwoorden.

Waar het in de praktijk misgaat

Uit wat we bij bestaande installaties aantreffen, komen steeds dezelfde vijf dingen terug. Geen daarvan is het gevolg van slecht werk; het zijn keuzes die ooit logisch waren en daarna zijn blijven staan.

1. De poort die ooit opengezet is

Iemand wilde van huis kunnen meekijken, en bij de installatie is er een poort op de router opengezet naar de recorder. Dat werkte, dus het bleef zo. Jaren later staat die poort nog open, op een recorder die geen updates meer krijgt. Apparaten die zo rechtstreeks aan het internet hangen worden gevonden: daar bestaan zoekmachines voor, en die scannen het hele internet af. Het is niet nodig dat iemand jóu zoekt.

De oplossing is niet dat meekijken op afstand niet meer kan. Het loopt dan via een beveiligde verbinding of via de cloudomgeving van de leverancier, met tweestapsverificatie erop. Voor de gebruiker verandert er weinig.

2. Het standaardwachtwoord of het gedeelde wachtwoord

Op de recorder staat nog het wachtwoord waarmee hij uit de doos kwam, of er is één wachtwoord dat iedereen kent die ooit beelden moest terugkijken. Dat tweede is net zo vervelend als het eerste: je kunt niemand toegang ontnemen zonder iedereen opnieuw iets te geven, en je kunt achteraf niet vaststellen wie welke beelden heeft bekeken of meegenomen. Dat is precies de vraag die bij een incident of een klacht als eerste komt.

3. Eén plat netwerk

De camera's zitten in hetzelfde netwerk als de werkplekken, omdat dat bij de aanleg de kortste weg was: er lag al een switch, daar kon het op. Zolang alles werkt, merkt niemand het verschil. Het verschil blijkt pas op het moment dat één apparaat in dat netwerk overgenomen wordt.

Het scheiden van een cameranetwerk is bijna altijd achteraf te doen, met de apparatuur die er al hangt. Het is werk aan de switch en de firewall, niet aan de camera's.

4. Apparatuur die van de ondersteuning af is

Twee camera's uit 2014 doen nog netjes hun werk. De fabrikant is jaren geleden gestopt met updates, dus elke zwakke plek die daarna bekend is geworden, zit er nog in. Je ziet dat aan niets: het beeld is hetzelfde als gisteren. Het is alleen te achterhalen via het type en het bouwjaar, en via wat de fabrikant daarover zegt.

5. Niemand weet precies wat er hangt

Dit is het punt waar de andere vier op stuklopen. Zonder lijst van wat er hangt, met type, plek en bouwjaar, is niet te zeggen of er nog updates uitkomen, of er iets vervangen moet worden, of welke apparaten van buiten bereikbaar zijn. Bij organisaties met meerdere gebouwen is die lijst er vrijwel nooit, en vaak hangt er op de ene locatie iets anders dan op de andere.

Hoe je het in een uur zelf nakijkt

Je hebt geen audit nodig om een eerste beeld te krijgen. Met de persoon die het systeem beheert erbij kom je in een uur een heel eind. Vier vragen, in deze volgorde:

1. Wat hangt er? Vraag om een lijst met type, locatie en bouwjaar van elke camera en recorder. Komt die lijst er niet, dan is dat op zichzelf de uitkomst van deze vraag.
2. Hoe komt iemand van buiten binnen? Via een beveiligde verbinding, via de cloudomgeving van de leverancier, of via een poort die openstaat? En staat er tweestapsverificatie op?
3. Zitten de camera's apart? Vraag of de camera's in een eigen netwerksegment zitten, los van de werkplekken en de servers. Mag een camera zelf het internet op? Dat is bijna nooit nodig.
4. Wie kan erbij, en is dat terug te zien? Eigen accounts of één gedeeld wachtwoord? En houdt het systeem bij wie wanneer beelden heeft bekeken of geëxporteerd?

Op elk van deze vier is “dat weet ik niet” een geldig antwoord, en een nuttig antwoord. Het is het verschil tussen een vermoeden en een lijstje waar iemand mee aan de slag kan.

Wat je het eerst aanpakt

Niet alles tegelijk, en niet in willekeurige volgorde. Dit levert het meeste op, in deze volgorde:

1. Zet rechtstreekse toegang van buiten dicht. Dit is het punt met het grootste verschil tussen moeite en effect, en het is meestal binnen een dag geregeld.
2. Maak de lijst van wat er hangt. Zonder die lijst blijft de rest giswerk.
3. Geef iedereen een eigen account en zet het logboek aan. Werk van een ochtend, en het is het enige dat de vraag “wie heeft dit bekeken?” ooit kan beantwoorden.
4. Scheid het cameranetwerk. Werk aan de switch en de firewall, met de apparatuur die er al hangt.
5. Vervang wat van de ondersteuning af is. Begin bij wat van buiten bereikbaar is; de rest kan vaak wachten tot het toch aan vervanging toe is.

Alleen de laatste stap kost apparatuur. De eerste vier zijn inrichting.

Wat dit met de AVG te maken heeft

Meer dan je zou denken. De AVG vraagt dat je persoonsgegevens passend beveiligt en de toegang ertoe beperkt, en camerabeelden waar mensen herkenbaar op staan zijn persoonsgegevens. Dat betekent dat de punten hierboven geen losse beveiligingswensen zijn maar een deel van wat de privacyregels van je vragen. Een open poort naar je recorder is daarmee geen technisch detail, maar een beveiligingsmaatregel die ontbreekt.

Omgekeerd geldt het ook. Wie een DPIA invult of zijn camerabeleid opschrijft, moet daar technische gegevens voor hebben: waar de camera's hangen en wat ze zien, waar de beelden staan, wie toegang heeft, hoe het netwerk is ingedeeld, wat er gelogd wordt en welke bewaarinstellingen er staan. Die gegevens komen uit dezelfde inventarisatie.

Twee aparte trajecten dus, die dezelfde feiten nodig hebben. Het loont om ze tegelijk te doen.

En BIO2 en NIS2?

Voor overheidsorganisaties is BIO2 het normenkader voor informatiebeveiliging; versie 1.3 is sinds maart 2026 het actuele kader voor alle overheidslagen. Het is risicogebaseerd en gebaseerd op ISO 27001 en 27002. Er bestaat geen algemeen “BIO2-certificaat” voor leveranciers, maar overheidsorganisaties kunnen wel beveiligingseisen stellen aan de partijen die systemen voor hen leveren en beheren. Welke eisen dat zijn, hangt af van de opdracht en de risico's.

De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, geldt sinds 15 augustus 2026. Niet elke organisatie valt er rechtstreeks onder, en NIS2 zegt nergens dat er nieuwe camera's of lezers moeten komen. Wel staan er verplichtingen in rond risicobeheersing, incidentafhandeling en de beveiliging van de toeleveringsketen. Voor organisaties die eronder vallen betekent dat in de praktijk dat ze ook naar hun leveranciers kijken, en dat een slecht beveiligd camerasysteem een onderwerp wordt dat op tafel komt.

Val je er niet onder, dan verandert er niets aan wat hierboven staat. De vragen zijn dezelfde, alleen de reden om ze te stellen is dan je eigen bedrijfsvoering in plaats van een wet.

Moet er dan nieuwe apparatuur komen?

Meestal niet, of niet alles. Bestaande camera's zijn vaak aan te sluiten op een nieuwe opname-omgeving, een bestaande poort of slagboom kunnen we aansturen, en een lezer die het doet mag blijven zitten. De winst zit in de eerste vier stappen hierboven, en die kosten geen hardware. Raden we toch vervanging aan, dan zeggen we waarom, en staat het verschil in de offerte.

Waar we wél eerlijk over zijn: apparatuur waarvan de fabrikant de ondersteuning heeft gestopt, is niet veilig te maken. Daar helpt geen instelling tegen. Dat is één van de weinige gevallen waarin vervangen de enige oplossing is, en ook dan hoeft het zelden in één keer.

Veelgestelde vragen

Bronnen

• Nationaal Cyber Security Centrum, Beveilig je IP-camera's om spionage van statelijke actoren te voorkomen, 10 juli 2026 — ncsc.nl
• Nationaal Cyber Security Centrum, De Cyberbeveiligingswet en toeleveranciers — ncsc.nl
• Rijksoverheid, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht — rijksoverheid.nl
• Digitale Overheid, BIO2 versie 1.3 voor alle overheidslagen, 5 maart 2026 — digitaleoverheid.nl
• Autoriteit Persoonsgegevens, Regels cameratoezicht voor organisaties — autoriteitpersoonsgegevens.nl

Regels en adviezen veranderen. Staat er iets in dit artikel dat niet meer klopt met de bron, dan geldt de bron. Voor een oordeel over jouw situatie kijkt een jurist of je functionaris gegevensbescherming mee.

Laatst bijgewerkt op 1 november 2026.