Kyberbezpečnost pro systémy BESS a fotovoltaické střídače: 3 předpisy EU při 80 % podílu na čínském trhu v rámci programu %

Podle odhadů spolkové vlády pochází 70 až 80 procent fotovoltaických střídačů používaných v Evropě od čínských výrobců. Souběžně s tím se na celosvětové, EU a spolkové úrovni množí regulatorní iniciativy, které právě tuto závislost hodnotí jako bezpečnostní riziko pro kritickou energetickou infrastrukturu. Diskuse o Kybernetická bezpečnost u zařízení pro obnovitelné zdroje energie (OZE) se masivně zostřila.

Energetická transformace od základů změnila strukturu našeho zásobování elektřinou. Od několika velkých, centrálních velkých elektráren směrem k milionům decentralizovaných, digitálně propojených subjektů (jako jsou větrné farmy, velké fotovoltaické elektrárny a virtuální elektrárny). K tomu přistupují systémy energetického managementu (EMS), které jsou v reálném čase řízeny umělou inteligencí, propojeny s provozovateli sítí, tržními platformami a agregátory a řídí toky energie podniku. Z pohledu IT bezpečnosti tak vzniká obrovský, jen obtížně kontrolovatelný útočný povrch. Ta se stále více dostává do popředí zájmu geopoliticky motivovaných aktérů nebo kriminálních organizací.

Pro provozovatele a investory bateriových úložných systémů (BESS) a fotovoltaických elektráren z toho vyplývá nové, trojkolejné compliance prostředí. Implementace směrnice NIS-2 v zákonech BSIG a EnWG, evropský akt o kybernetické odolnosti (CRA) a probíhající reforma Aktu o kybernetické bezpečnosti (CSA) s možným seznamem vysoce rizikových výrobců. Tento článek hodnotí aktuální stav a ukazuje, co je odteď pro provozovatele relevantní.

Proč toto téma nyní eskaluje

Téma eskaluje, protože střídače a systémy správy baterií (BMS) již dnes nejsou pasivními součástkami, ale propojené komponenty s možností vzdálené údržby a připojením ke cloudu, aktualizacemi firmwaru a v některých případech rozsáhlými funkcemi dálkového ovládání. Právě tato konektivita je dostává do hledáčku bezpečnostních orgánů – nikoliv samotná solární nebo bateriová technologie, ale kontrola nad digitálními rozhraními.

Spouštěčem aktuální debaty byly mimo jiné zprávy, podle kterých v čínských střídačích a také v bateriích několika čínských dodavatelů nedokumentované komunikační komponenty – podle zpráv v tisku s odvoláním na představitele vládních kruhů USA částečně včetně mobilních modulů. Údaje se zatím nepodařilo nezávisle ověřit, vedly však jak v USA, tak v EU k urychlenému regulatornímu přehodnocení.

Spolková vláda přitom opírá své hodnocení rizik nejen o technická, nýbrž výslovně také o právní a geopolitická kritéria: čínské podniky podléhají dalekosáhlým zákonným povinnostem součinnosti vůči státním orgánům, což z německého a evropského pohledu představuje strukturální riziko bez ohledu na jednotlivý případ.

Tři klíčové oblasti debaty o kybernetické bezpečnosti

Regulační šok: NIS-2 a nové katalogy kybernetické bezpečnosti

Zákonné šrouby v oblasti kybernetické bezpečnosti se citelně utahují. Provozovatelé zařízení obnovitelných zdrojů energie čelí masivnímu tlaku na implementaci nových právních předpisů:

• Implementace NIS-2: Evropská směrnice o kybernetické bezpečnosti nyní zavazuje také mnoho středně velkých provozovatelů a dodavatelů. Zatímco dříve se za “kritickou infrastrukturu” (KRITIS) považovala pouze zařízení od výkonu 104 MW, nyní je jich mnohem více. Zákon o ochraně kritické infrastruktury (KRITIS-Dachgesetz) z ledna 2026 navíc rozšiřuje fyzickou ochranu zařízení využívajících obnovitelné zdroje energie, předepisuje analýzy rizik, opatření k zajištění odolnosti, krizové řízení a plánování pro případ nouze a definuje ohlašovací povinnosti. Spolkový svaz pro obnovitelné energie (BEE) proto požaduje přiměřenost, aby menší provozovatelé nebyli přetíženi administrativou.
• Aktualizace katalogů IT bezpečnosti: Spolková síťová agentura zpřísnila požadavky na provozovatele elektrizačních soustav a zařízení. Důraz je nyní kladen mnohem výrazněji na procesní orientace – to znamená kontinuální analýzy rizik a fungující řízení kontinuity činností (BCM), abychom zůstali schopni jednat i v případě výpadků.

Technické zranitelnosti a “dilema cloudu”

Spolkový úřad pro bezpečnost v informační technologii (BSI) a oboroví odborníci varují před strukturálními nedostatky v kybernetické bezpečnosti zařízení využívajících obnovitelné zdroje energie v praxi:

• Přímá dostupnost internetu: Mnoho fotovoltaických a větrných elektráren bylo v minulosti připojeno k síti rychle, aniž by byla zajištěna priorita IT bezpečnosti. Otevřené porty v routeru nebo standardní hesla útočníkům často usnadňují práci.
• Závislost na cloudových službách výrobců: Velkým tématem k diskusi je závislost fungování řídicích systémů na cloudech výrobců (často mimo Evropu). Pokud cloud vypadne nebo je napaden hackery, provozovatel ztrácí nad zařízením kontrolu. Spolkový úřad pro bezpečnost v informačních technologiích (BSI) proto naléhavě doporučuje přechod na lokální provoz nebo vysoce zabezpečená připojení (jako je VPN).
• Nedostatečná segmentace: Na rozdíl od starých fosilních elektráren nejsou sítě u zařízení na OZE často čistě oddělené na administrativní IT a provozní technologii (OT).

Dodavatelský řetězec jako brána (rizika v dodavatelském řetězci)

Útočník nemusí hacknout každou větrnou nebo solární elektrárnu zvlášť. Pokud software výrobce síťotvorný střídač nebo je kompromitován poskytovatel vzdálené správy, lze najednou zmanipulovat tisíce zařízení. To platí úplně stejně pro digitální infrastrukturu Komerční a průmyslová úložiště energie nebo velkých bateriových úložišť (Utility-Scale-BESS). NIS-2 proto výslovně bere celý dodavatelský řetězec povinnost. Provozovatelé musí aktivně prověřovat své poskytovatele služeb a kybernetickou bezpečnost nakupovaných komponent.

Systemické riziko: Jednotlivá napadená větrná turbína elektrickou síť neohrožuje. Pokud jsou však přes špatně zabezpečená rozhraní nebo botnety koordinovaně odpojeny nebo zmanipulovány tisíce decentralizovaných výrobců elektřiny, může to ohrozit stabilitu celé elektrické sítě.

Regulační trojice pro kybernetickou bezpečnost: NIS-2, CRA a reforma CSA

Na tuto změť technického útočného prostoru, tržní koncentrace a geopolitické kontroly zareagovaly Brusel a Berlín. A to ne jedním jediným zákonem, nýbrž víceúrovňový regulační rámec. Zabývá se kybernetickou bezpečností odděleně pro provozovatele, výrobce a jednotlivé dodavatele. Tyto tři soubory předpisů se překrývají, vzájemně do sebe zapadají a jsou relevantní pro provozovatele BESS a fotovoltaických zařízení:

Stručný přehled

Důležité pro zařazení: Tyto tři soubory pravidel působí komplementárně. NIS-2 zavazuje Provozovatel, CRA ukládá Výrobce, reforma CSA může potenciálně rozhodnout o tom, kteří výrobci budou vůbec ještě povoleni. Provozovatel může být v souladu s NIS-2 a přesto používat produkt, který bude později zařazen na seznam vysoce rizikových produktů. Tyto otázky jsou sice z právního hlediska oddělené, v praxi je však nelze posuzovat izolovaně.

Co je „kritická komponenta” – a kdo ji může zakázat?

Zákon o implementaci NIS-2 zrušil dřívější náročnou povinnost předkládat prohlášení o záruce pro výrobce kritických komponent a nahradil ji flexibilnějším, na rizicích založeným postupem přezkumu a zákazu. Spolkové ministerstvo vnitra (BMI) může provozovatelům kritických zařízení zakázat používání kritických komponent od určitých výrobců nebo vydat příkazy, pokud by toto použití pravděpodobně ohrozilo veřejný pořádek nebo bezpečnost. Při svém posuzování bere BMI v úvahu mimo jiné to, zda:

• výrobce je přímo nebo nepřímo kontrolován vládou třetí země,
• pokud je výrobce povinen nebo může být povinen spolupracovat se státními orgány nebo ozbrojenými silami třetího státu,
• výrobce se podílel na činnostech, které by mohly narušit veřejný pořádek nebo bezpečnost Spolkové republiky Německo či jiných států EU/EFTA.

V energetickém sektoru jsou kritické funkce a komponenty obecně definovány od roku 2025; od roku 2026 je nutné je v rámci registrace jako provozovatel kritických zařízení nahlásit orgánům. Pro provozovatele přenosových soustav již platí konkrétní požadavky na funkce řízení sítě a systému; lze očekávat rozšíření těchto požadavků na další kategorie zařízení.

Na úrovni EU pokračuje debata o krok dále: Evropská investiční banka již postupně vylučuje nové financování projektů se střídači z vysoce rizikových států (Čína, Rusko, Írán, Severní Korea), přičemž přechodné období pro probíhající projekty platí do 1. listopadu 2026 a přísnější fáze začíná v dubnu 2027. Podle údajů Komise tvoří střídače přibližně 5 procent nákladů na velké solární elektrárny; přechod na dodavatele s nižším rizikem by měl celkové náklady projektů zvýšit odhadem o méně než 2 procenta.

Je import komponent namísto importu hotových výrobků řešením v oblasti kyberbezpečnosti?

Veřejnost obvykle debatu zjednodušuje na protiklad „čínský výrobce vs. evropský výrobce”. V praxi u společnosti CUBE CONCEPTS pozorujeme třetí, stále rozšířenější cestu, která kombinuje kybernetickou bezpečnost a ekonomickou výhodnost. Výrobci dovážejí jednotlivé komponenty – solární články, resp. moduly, bateriové články, výkonové polovodiče – přímo z Číny, finální produkty montují (modul, střídač, Akumulátorové úložiště) v Evropě a vybavujeme je zde evropským řídicím, komunikačním a bezpečnostním softwarem.

Z hlediska regulatorního zařazení je to důležité, protože jak směrnice NIS-2/BSIG, tak i diskutovaný seznam výrobců s vysokým rizikem vycházejí primárně z právního výrobce a jeho kontrolních vztahů – nikoli z původu jednotlivých komponentů. Uvedená kontrolní kritéria BMI (kontrola ze strany vlády třetí země, povinnosti spolupracovat s státními orgány) jsou přizpůsobena výrobci v právním smyslu, nikoli fyzickému výrobnímu řetězci předvýrobků. To otevírá prostor pro výklad, který v aktuálních zněních zákonů a konzultacích dosud nebyl definitivně vyjasněn:

• Lze měnič, jehož výkonové polovodiče pocházejí z Číny, ale jehož finální výrobu provádí evropská společnost s evropským firmwarem, považovat za výrobek výrobce s vysokým rizikem?
• Stačí evropská softwarová a komunikační vrstva k vyřešení obav ohledně vzdáleného přístupu a zadních vrátek, o nichž se diskutuje v souvislosti s čínskými výrobci – nebo přetrvává riziko na úrovni komponent, například u bateriových článků s továrně integrovaným firmwarem BMS?
• Jak se takový hybridní výrobní řetězec zohledňuje v rámci posuzování shody podle CRA (kusovník/SBOM, technická dokumentace podle přílohy VII), pokud podstatné meziprodukty pocházejí od dodavatelů ze třetích zemí?

Pro projektanty, provozovatele a investory to znamená: Pouhá kontrola země původu nestačí. Kdo chce mít spolehlivé informace o dodavatelském řetězci, měl by se navíc ptát na původ kritických meziproduktů (chemie článků, výkonová elektronika, komunikační moduly) a na kontrolu nad úrovní softwaru a firmwaru – bez ohledu na to, kde probíhá konečná montáž.

BESS versus fotovoltaické střídače: odlišné rizikové profily

Veřejná debata o kybernetické bezpečnosti se dosud silně soustředí na fotovoltaické střídače, protože jejich tržní koncentrace u čínských výrobců (m.j. Huawei, Sungrow, Ginlong Solis) je mimořádně výrazná. Pro provozovatele systémů BESS je třeba zvážit několik specifických bodů:

• Systémy řízení baterií (BMS) a výkonová elektronika (PCS) podléhají týmž základním rizikům konektivity jako střídače – zprávy o nedokumentovaných komunikačních modulech se podle tiskových zpráv netýkaly pouze střídačů, ale také komponent baterií od několika čínských dodavatelů.
• Velkokapacitní úložiště FTM s ohledem na stabilitu sítě jsou potenciálně citlivější než distribuované malé výrobní zdroje, protože sdružují soustředěný výkon s přímým významem pro soustavu – zároveň však již dnes zpravidla podléhají přísnějším požadavkům, například podle směrnice NIS-2 nebo katalogu IT bezpečnosti Spolkové síťové agentury (BNetzA), pokud jsou klasifikovány jako kritické zařízení.
• Menší, decentralizovaná zařízení (domácí úložiska, malé C&I systémy) jsou podle SolarPower Europe tendenčně hůře regulovány, přestože jsou rovněž propojeny prostřednictvím cloudů patřících výrobcům nebo instalačních backendů, a mohou tak představovat agregované riziko.

Pro provozovatele a investory to znamená: Hodnocení kybernetické bezpečnosti projektu by se nemělo omezovat pouze na úroveň střídačů, ale na celý digitální řetězec – BMS, EMS, PCS, Komunikační moduly a příslušná backendová připojení.

Praktické důsledky pro provozovatele a investory

• Dokumentovat výběr dodavatele: Kdo je nebo by se mohl stát provozovatelem kritického zařízení, měl by již dnes prokazatelně dokumentovat původ a právní kontrolní strukturu výrobců střídačů, BMS a PCS – a ne až ve chvíli, kdy hrozí zákaz. To zahrnuje i úroveň komponent: V případě evropské konečné montáže s čínskými polotovary se vyplatí podívat se na původ chemie článků, polovodičů a firmwaru.
• Sledování termínů: Oznamovací povinnosti v rámci CRA pro výrobce začínají platit od září 2026, plné požadavky pak od prosince 2027. Provozovatelé by měli po svých dodavatelích včas požadovat důkazy o plánech (roadmapách) pro CRA, přestože povinnost formálně leží na výrobci.
• Zkontrolovat dotčenost směrnicí NIS-2: Také dosud klasicky pod povinnosti KRITIS nespadající provozovatelé (např. digitální energetické služby / agregátoři) mohou v důsledku rozšíření okruhu adresátů nově spadnout pod zákon o bezpečnosti IT (BSIG) příp. energetický zákon (EnWG).
• Regulatorický vývoj ještě není dokončen: Reforma CSA s možným seznamem vysoce rizikových výrobců se stále nachází v legislativním procesu; vyloučení určitých výrobců je pravděpodobné, ale rozsah a časový plán jsou stále otevřené.

Časová osa: Nejdůležitější termíny v oblasti kyberbezpečnosti

Často kladené dotazy