Alors que les cyberattaques contre les infrastructures énergétiques se multiplient en Europe, un rapport alarmant publié le 29 avril par SolarPower Europe, en collaboration avec DNV, révèle les risques croissants de cybersécurité dans le secteur solaire. Avec l’essor des systèmes photovoltaïques connectés, les onduleurs deviennent des portes d’entrée potentielles pour les pirates. Les experts appellent à une réglementation renforcée et à une meilleure sécurisation des installations, en particulier pour les petites unités en toiture, souvent négligées.

Un risque critique pour la stabilité du réseau électrique

Le rapport met en lumière plusieurs vulnérabilités majeures :

• Les onduleurs connectés à Internet peuvent être piratés à distance, permettant à des acteurs malveillants de prendre le contrôle des installations.
• Un piratage coordonné de 3 GW de capacité solaire pourrait perturber gravement la stabilité du réseau électrique européen.
• Les petites installations résidentielles, moins réglementées que les centrales solaires à grande échelle, sont particulièrement exposées.

Contrairement aux infrastructures énergétiques traditionnelles (centrales nucléaires, barrages, etc.), les systèmes photovoltaïques décentralisés échappent souvent aux normes de cybersécurité strictes. Pourtant, lorsqu’ils sont agrégés (comme dans les centrales virtuelles), ils représentent une cible de choix pour des attaques à grande échelle.

Deux solutions clés pour sécuriser le secteur solaire

Pour réduire ces risques, SolarPower Europe propose deux mesures urgentes :

1. Établir des normes de cybersécurité spécifiques au solaire
   • Adapter des cadres existants comme la directive NIS 2 (sur la sécurité des réseaux et systèmes d’information) pour inclure les installations photovoltaïques.
   • Imposer des protocoles de sécurité renforcés pour les onduleurs et les systèmes de gestion à distance.
2. Limiter le contrôle des installations depuis l’extérieur de l’UE
   • Restreindre l’accès distant aux onduleurs depuis des pays ne garantissant pas un niveau de sécurité équivalent à celui de l’Union européenne.
   • S’inspirer du RGPD pour encadrer la gestion des données et des commandes à distance.

« Comme toute révolution technologique, la digitalisation offre des opportunités immenses, mais aussi de nouveaux défis, comme la cybersécurité. Nous n’avions pas besoin d’antivirus pour une machine à écrire, mais nous en avons besoin pour nos ordinateurs. Le secteur solaire doit se préparer dès maintenant. »
— Walburga Hemetsberger, CEO de SolarPower Europe

Les installations résidentielles, maillon faible de la cybersécurité solaire

Si les grandes centrales photovoltaïques bénéficient déjà d’une supervision renforcée (via la directive NIS 2), les petites installations en toiture restent vulnérables :

• Elles dépendent souvent de fournisseurs externes pour la maintenance à distance.
• Leurs onduleurs sont connectés à des clouds peu sécurisés (fabriquants, installateurs, etc.).
• Une attaque isolée semble anodine, mais un piratage massif pourrait avoir des conséquences systémiques.

Le rapport classe 14 risques majeurs, dont 3 critiques, notamment :

• La prise de contrôle malveillante des onduleurs.
• Les mises à jour logicielles compromises.
• L’espionnage industriel ou le sabotage à distance.

Vers une législation européenne plus stricte ?

SolarPower Europe appelle à :

• Étendre le champ d’application du « Cyber Resilience Act » (future réglementation européenne sur la cybersécurité des objets connectés).
• Mettre en place des audits obligatoires pour les fabricants d’onduleurs.
• Créer un cadre similaire au RGPD pour le contrôle des installations solaires.

Alors que l’Europe accélère sa transition énergétique, la sécurisation des infrastructures solaires doit devenir une priorité absolue. Les recommandations de SolarPower Europe pourraient servir de base à une réglementation plus stricte, protégeant à la fois les consommateurs et la stabilité du réseau.

➤ Pour aller plus loin :

• Lire le rapport complet de SolarPower Europe