Kyberbezpečnost pro BESS a fotovoltaické střídače: 3 předpisy EU při 80% podílu čínských výrobců na trhu

Podle vládní politiky pochází 70 až 80 procent fotovoltaických měničů používaných v Evropě od čínských výrobců. Současně se na celosvětové, EU i vnitrostátní úrovni zintenzivňují regulační iniciativy, které tuto závislost označují jako bezpečnostní riziko pro kritickou energetickou infrastrukturu. Diskuze o kyberbezpečnosti u zařízení pro obnovitelnou energii (EE-instalace) se výrazně zintenzivnila.

Energetická transformace zásadně změnila strukturu naší energetické infrastruktury. Od několika velkých centrálních elektráren jsme přešli k milionům decentralizovaných hráčů propojených digitálně (jako jsou větrné farmy, velké solární systémy a virtuální elektrárny). K tomu přicházejí systémy řízení energetických toků (EMS), které v reálném čase řídí energetické toky společnosti v spojení s provozovateli sítě, platformami pro obchodování a agregátory a jsou řízeny umělou inteligencí. Z hlediska IT bezpečnosti to vytváří obrovskou, těžko kontrolovatelnou oblast útoků. Tato oblast stále více zaujímá pozornost geopoliticky motivovaných aktérů nebo zločineckých skupin.

Pro provozovatele a investory bateriových úložných systémů (BESS) a fotovoltaických elektráren z toho vyplývá nové, trojkolejné compliance prostředí. Implementace směrnice NIS-2 v zákonech BSIG a EnWG, evropský akt o kybernetické odolnosti (CRA) a probíhající reforma Aktu o kybernetické bezpečnosti (CSA) s možným seznamem vysoce rizikových výrobců. Tento článek hodnotí aktuální stav a ukazuje, co je odteď pro provozovatele relevantní.

Proč toto téma nyní eskaluje

Téma eskaluje, protože střídače a systémy řízení baterií (BMS) již nejsou pasivními komponentami, ale propojenými, vzdáleně ovladatelnými komponentami s připojením k cloudovému prostředí, aktualizacemi firmwaru a v některých případech s rozsáhlými funkcemi dálkového řízení. Přesně tato konektivita je nyní v centru pozornosti bezpečnostních úřadů – nikoli samotná solární nebo bateriová technologie, ale kontrola nad digitálními rozhraními.

Spouštějícími faktory současné debaty byly mimo jiné zprávy o tom, že v čínských převodních skříních a také v bateriích několika čínských dodavatelů byly identifikovány neindukované komunikační komponenty – podle zpráv v médiích, přičemž v některých případech se jednalo o mobilní moduly. Tyto údaje zatím nelze nezávisle ověřit, nicméně vedly k urychlené regulatorní rekalibrování jak v USA, tak v EU.

Spolková vláda přitom opírá své hodnocení rizik nejen o technická, nýbrž výslovně také o právní a geopolitická kritéria: čínské podniky podléhají dalekosáhlým zákonným povinnostem součinnosti vůči státním orgánům, což z německého a evropského pohledu představuje strukturální riziko bez ohledu na jednotlivý případ.

Tři klíčové oblasti debaty o kybernetické bezpečnosti

Regulační šok: NIS-2 a nové katalogy kybernetické bezpečnosti

Zákonné šrouby v oblasti kybernetické bezpečnosti se citelně utahují. Provozovatelé zařízení obnovitelných zdrojů energie čelí masivnímu tlaku na implementaci nových právních předpisů:

• Implementace NIS-2: Evropská směrnice o kybernetické bezpečnosti nyní zavazuje také mnoho středně velkých provozovatelů a dodavatelů. Zatímco dříve se za “kritickou infrastrukturu” (KRITIS) považovala pouze zařízení od výkonu 104 MW, nyní je jich mnohem více. Zákon o ochraně kritické infrastruktury (KRITIS-Dachgesetz) z ledna 2026 navíc rozšiřuje fyzickou ochranu zařízení využívajících obnovitelné zdroje energie, předepisuje analýzy rizik, opatření k zajištění odolnosti, krizové řízení a plánování pro případ nouze a definuje ohlašovací povinnosti. Spolkový svaz pro obnovitelné energie (BEE) proto požaduje přiměřenost, aby menší provozovatelé nebyli přetíženi administrativou.
• Aktualizace IT bezpečnostních katalogů: Agentura Bundesnetzagentur zintenzivnila požadavky na provozovatele energetických sítí a zařízení. Zvýšený důraz je nyní kladen na procesní orientaci – to znamená průběžné analýzy rizik a funkční řízení business continuity (BCM), aby bylo možné v případě výpadků pokračovat v činnosti.

Technické zranitelnosti a “dilema cloudu”

Spolkový úřad pro bezpečnost v informační technologii (BSI) a oboroví odborníci varují před strukturálními nedostatky v kybernetické bezpečnosti zařízení využívajících obnovitelné zdroje energie v praxi:

• Přímá dostupnost internetu: Mnoho fotovoltaických a větrných elektráren bylo v minulosti připojeno k síti rychle, aniž by byla zajištěna priorita IT bezpečnosti. Otevřené porty v routeru nebo standardní hesla útočníkům často usnadňují práci.
• Závislost na cloudových službách výrobců: Velkým tématem k diskusi je závislost fungování řídicích systémů na cloudech výrobců (často mimo Evropu). Pokud cloud vypadne nebo je napaden hackery, provozovatel ztrácí nad zařízením kontrolu. Spolkový úřad pro bezpečnost v informačních technologiích (BSI) proto naléhavě doporučuje přechod na lokální provoz nebo vysoce zabezpečená připojení (jako je VPN).
• Nedostatečná segmentace: Na rozdíl od starých fosilních elektráren nejsou sítě u zařízení na OZE často čistě oddělené na administrativní IT a provozní technologii (OT).

Dodavatelský řetězec jako brána (rizika v dodavatelském řetězci)

Útočník nemusí hacknout jednotlivé větrné elektrárny nebo solární parky. Pokud je softwarový systém výrobce síťových měničů nebo poskytovatele služeb vzdálené údržby zneužíván, lze manipulovat s tisíci zařízeními najednou. To platí stejně o digitální infrastruktuře C&I storage nebo utility-scale BESS. NIS-2 proto explicitně přikládá odpovědnost celému dodavatelském řetězci. Provozovatelé musí aktivně kontrolovat své poskytovatele služeb a kybernetickou bezpečnost zakoupených komponent.

Systemické riziko: Jednotlivá napadená větrná turbína elektrickou síť neohrožuje. Pokud jsou však přes špatně zabezpečená rozhraní nebo botnety koordinovaně odpojeny nebo zmanipulovány tisíce decentralizovaných výrobců elektřiny, může to ohrozit stabilitu celé elektrické sítě.

Regulační trojice pro kybernetickou bezpečnost: NIS-2, CRA a reforma CSA

Brusel a Berlín reagovali na tuto směs technických útočných prostředků, koncentrace trhu a geopolitické kontroly. Nejednalo se o jediný zákon, ale o víceúrovňový regulační rámec. Tento rámec se týká kybernetické bezpečnosti odděleně pro provozovatele, výrobce a jednotlivé dodavatele. Tyto tři právní předpisy se navzájem překrývají, vzájemně se propojují a jsou relevantní pro provozovatele systémů BESS a fotovoltaických elektráren:

Stručný přehled

Důležité pro uvést do souvislosti: Tyto tři předpisy působí komplementárně. NIS-2 ukládá povinnost provozovateli, CRA ukládá povinnost výrobci, zatímco reforma CSA potenciálně rozhodne o tom, které výrobci vůbec budou ještě schváleni. Provozovatel může být postaven v souladu s NIS-2 a přesto používat produkt, který bude později zařazen na seznam vysoce rizikových výrobků. I když jsou tedy tyto témata právně oddělená, v praxi je nelze považovat za izolované.

Co je „kritická komponenta” – a kdo ji může zakázat?

Zákon o implementaci NIS-2 zrušil dřívější náročnou povinnost předkládat prohlášení o záruce pro výrobce kritických komponent a nahradil ji flexibilnějším, na rizicích založeným postupem přezkumu a zákazu. Spolkové ministerstvo vnitra (BMI) může provozovatelům kritických zařízení zakázat používání kritických komponent od určitých výrobců nebo vydat příkazy, pokud by toto použití pravděpodobně ohrozilo veřejný pořádek nebo bezpečnost. Při svém posuzování bere BMI v úvahu mimo jiné to, zda:

• výrobce je přímo nebo nepřímo kontrolován vládou třetí země,
• pokud je výrobce povinen nebo může být povinen spolupracovat se státními orgány nebo ozbrojenými silami třetího státu,
• výrobce se podílel na činnostech, které by mohly narušit veřejný pořádek nebo bezpečnost Spolkové republiky Německo či jiných států EU/EFTA.

V energetickém sektoru jsou kritické funkce a komponenty obecně definovány od roku 2025; od roku 2026 je nutné je v rámci registrace jako provozovatel kritických zařízení nahlásit orgánům. Pro provozovatele přenosových soustav již platí konkrétní požadavky na funkce řízení sítě a systému; lze očekávat rozšíření těchto požadavků na další kategorie zařízení.

Na úrovni EU pokračuje debata o krok dále: Evropská investiční banka již postupně vylučuje nové financování projektů se střídači z vysoce rizikových států (Čína, Rusko, Írán, Severní Korea), přičemž přechodné období pro probíhající projekty platí do 1. listopadu 2026 a přísnější fáze začíná v dubnu 2027. Podle údajů Komise tvoří střídače přibližně 5 procent nákladů na velké solární elektrárny; přechod na dodavatele s nižším rizikem by měl celkové náklady projektů zvýšit odhadem o méně než 2 procenta.

Je import komponent namísto importu hotových výrobků řešením v oblasti kyberbezpečnosti?

Veřejnost většinou zjednodušuje debatu na kontrast „čínských výrobců vs. evropských výrobců”. Ve skutečnosti v CUBE CONCEPTS pozorujeme třetí, stále častější cestu, která kombinuje kybernetickou bezpečnost a ekonomickou efektivitu. Výrobci dovážejí jednotlivé komponenty – solární články nebo moduly, bateriové články, výkonové polovodiče – přímo z Číny, montují konečné výrobky (modul, měnič napětí, bateriový akumulátor) v Evropě a zde vybavují je evropskou řídicí, komunikační a bezpečnostní softwarem.

Z hlediska regulatorního zařazení je to důležité, protože jak směrnice NIS-2/BSIG, tak i diskutovaný seznam výrobců s vysokým rizikem vycházejí primárně z právního výrobce a jeho kontrolních vztahů – nikoli z původu jednotlivých komponentů. Uvedená kontrolní kritéria BMI (kontrola ze strany vlády třetí země, povinnosti spolupracovat s státními orgány) jsou přizpůsobena výrobci v právním smyslu, nikoli fyzickému výrobnímu řetězci předvýrobků. To otevírá prostor pro výklad, který v aktuálních zněních zákonů a konzultacích dosud nebyl definitivně vyjasněn:

• Lze měnič, jehož výkonové polovodiče pocházejí z Číny, ale jehož finální výrobu provádí evropská společnost s evropským firmwarem, považovat za výrobek výrobce s vysokým rizikem?
• Stačí evropská softwarová a komunikační vrstva k vyřešení obav ohledně vzdáleného přístupu a zadních vrátek, o nichž se diskutuje v souvislosti s čínskými výrobci – nebo přetrvává riziko na úrovni komponent, například u bateriových článků s továrně integrovaným firmwarem BMS?
• Jak se takový hybridní výrobní řetězec zohledňuje v rámci posuzování shody podle CRA (kusovník/SBOM, technická dokumentace podle přílohy VII), pokud podstatné meziprodukty pocházejí od dodavatelů ze třetích zemí?

Pro projektanty, provozovatele a investory to znamená: Pouhá kontrola země původu nestačí. Kdo chce mít spolehlivé informace o dodavatelském řetězci, měl by se navíc ptát na původ kritických meziproduktů (chemie článků, výkonová elektronika, komunikační moduly) a na kontrolu nad úrovní softwaru a firmwaru – bez ohledu na to, kde probíhá konečná montáž.

BESS versus fotovoltaické střídače: odlišné rizikové profily

Veřejná debata o kybernetické bezpečnosti se dosud silně soustředí na fotovoltaické střídače, protože jejich tržní koncentrace u čínských výrobců (m.j. Huawei, Sungrow, Ginlong Solis) je mimořádně výrazná. Pro provozovatele systémů BESS je třeba zvážit několik specifických bodů:

• Systémy pro správu baterií (BMS) a elektronika napájení (PCS) jsou vystaveny stejným základním rizikům spojeným s konektivitou jako střídače – podle zpráv v médiích se však o neindikovaných komunikačních modulech nejedná pouze o střídače, ale také o bateriové komponenty několika čínských dodavatelů.
• Velké úložiště FTM s dohodami o poskytování síťových služeb (regulovaná energie, redispečing) jsou z hlediska stability sítě potenciálně citlivější než rozdělené malé zařízení, protože koncentrují koncentrovanou energii s přímou systémovou relevantností – zároveň jsou obvykle již dnes podrobeny přísnějším požadavkům, například normám NIS-2 nebo katalogu IT bezpečnostních opatření BNetzA, pokud jsou klasifikovány jako kritická zařízení.
• Menší distribuované systémy (home storage, malé systémy C&I) jsou podle Solarpower Europe obvykle méně regulovány, ačkoli jsou také propojeny s vlastními cloudovými službami nebo instalačními back-endy, což může představovat agregované riziko.

Pro provozovatele a investory to znamená: hodnocení kybernetické bezpečnosti projektu by nemělo zohledňovat pouze úroveň měničů, ale i celou digitální řetězce – BMS, EMS, PCS, komunikační moduly a příslušné backendové připojení.

Praktické důsledky pro provozovatele a investory

• Dokumentovat výběr dodavatele: Kdo je nebo by se mohl stát provozovatelem kritického zařízení, měl by již dnes prokazatelně dokumentovat původ a právní kontrolní strukturu výrobců střídačů, BMS a PCS – a ne až ve chvíli, kdy hrozí zákaz. To zahrnuje i úroveň komponent: V případě evropské konečné montáže s čínskými polotovary se vyplatí podívat se na původ chemie článků, polovodičů a firmwaru.
• Sledování termínů: Oznamovací povinnosti v rámci CRA pro výrobce začínají platit od září 2026, plné požadavky pak od prosince 2027. Provozovatelé by měli po svých dodavatelích včas požadovat důkazy o plánech (roadmapách) pro CRA, přestože povinnost formálně leží na výrobci.
• Zkontrolovat dotčenost směrnicí NIS-2: Také dosud klasicky pod povinnosti KRITIS nespadající provozovatelé (např. digitální energetické služby / agregátoři) mohou v důsledku rozšíření okruhu adresátů nově spadnout pod zákon o bezpečnosti IT (BSIG) příp. energetický zákon (EnWG).
• Regulatorický vývoj ještě není dokončen: Reforma CSA s možným seznamem vysoce rizikových výrobců se stále nachází v legislativním procesu; vyloučení určitých výrobců je pravděpodobné, ale rozsah a časový plán jsou stále otevřené.

Časová osa: Nejdůležitější termíny v oblasti kyberbezpečnosti

Často kladené dotazy