Selon le gouvernement fédéral, 70 à 80 % des onduleurs photovoltaïques utilisés en Europe proviennent de fabricants chinois. Paralellement, des initiatives réglementaires se multiplient à l’échelle mondiale, européenne et fédérale, qui classent cette dépendance comme un risque de sécurité pour les infrastructures énergétiques critiques. La discussion sur la cybersécurité des installations éoliennes (EE-installations) s’est considérablement intensifiée.
Le passage à une économie énergétique a fondamentalement modifié la structure de notre système électrique. De loin des grandes centrales électriques centralisées, nous sommes passés à des millions d’acteurs décentralisés et connectés digitalement (comme les parcs éoliens, les installations photovoltaïques à grande échelle et les éoliennes virtuelles). De plus, des systèmes de gestion de l’énergie (EMS) sont intégrés, contrôlés en temps réel par l’IA et connectés aux opérateurs de réseau, aux plateformes de marché et aux agrégateurs, permettant de diriger les flux d’énergie d’une entreprise. Du point de vue de la sécurité informatique, cela crée une zone d’attaque gigantesque et difficilement contrôlable. Cette zone devient de plus en plus l’objectif de groupes criminels ou d’acteurs motivés par des considérations géopolitiques.
Pour les exploitants et les investisseurs de systèmes de stockage d'énergie par batterie (BESS) et d'installations photovoltaïques, il en résulte un nouveau domaine de conformité à trois volets. La mise en œuvre de la directive NIS-2 dans la loi allemande sur la sécurité des technologies de l'information (BSIG) et la loi sur l'industrie de l'énergie (EnWG), la loi européenne sur la cyberrésilience (CRA) ainsi que la réforme en cours de la loi sur la cybersécurité (CSA) avec une liste potentielle de fabricants à haut risque. Cet article dresse un état des lieux et montre ce qui devient pertinent dès à présent pour les exploitants.
Pourquoi le sujet s'envenime maintenant
Le sujet s’intensifie car les onduleurs et les systèmes de gestion de batterie (BMS) ne sont plus aujourd’hui des composants passifs, mais des composants connectés, remboursables à distance, dotés d’une connexion à la cloud, de mises à jour de firmware et, dans certains cas, de fonctions de contrôle à distance étendues. C’est précisément cette connectivité qui les place sous le feu des autorités de sécurité – pas la technologie solaire ou de stockage en elle-même, mais le contrôle des interfaces numériques.
Le déclencheur de la récente discussion ont été notamment des rapports selon lesquels des composants de communication non documentés ont été identifiés dans les chargeurs de batteries chinois et également dans les batteries de plusieurs fournisseurs chinois – selon des rapports de presse, en partie incluant des modules de téléphonie mobile. Ces informations n’avaient jusqu’à présent pas pu être vérifiées indépendamment, mais elles ont toutefois conduit à une réévaluation réglementaire accélérée tant aux États-Unis qu’en Europe.
Le gouvernement fédéral ne fonde pas seulement son évaluation des risques sur des critères techniques, mais aussi expressément sur des critères juridiques et géopolitiques : les entreprises chinoises sont soumises à de vastes obligations légales de coopération avec les services étatiques, ce qui, du point de vue allemand et européen, représente un risque structurel indépendant de chaque cas particulier.
Les trois domaines clés du débat sur la cybersécurité
Le “ choc réglementaire ” : NIS-2 et les nouveaux catalogues de sécurité informatique
Les contraintes légales en matière de cybersécurité se durcissent sensiblement. Les exploitants d'installations d'énergies renouvelables subissent une pression énorme pour mettre en œuvre les nouvelles directives juridiques :
- Mise en œuvre de NIS-2 : La directive européenne sur la cybersécurité impose désormais des obligations à de nombreux exploitants de taille moyenne et fournisseurs. Alors qu'auparavant seules les installations à partir de 104 MW étaient considérées comme des “ infrastructures critiques ” (KRITIS), elles sont désormais beaucoup plus nombreuses. De plus, la loi-cadre KRITIS de janvier 2026 élargit la protection physique des installations d'énergies renouvelables, prescrit des analyses de risques, des mesures de résilience ainsi qu'une gestion des crises et des urgences, et définit des obligations de signalement. La Fédération allemande des énergies renouvelables (BEE) demande donc de la mesure afin que les plus petits exploitants ne soient pas submergés par la bureaucratie.
- Mise à jour des catalogues de sécurité informatique : l’Agence fédérale de la sécurité des réseaux et des installations a renforcé les exigences pour les exploitants de réseaux électriques et d’installations. L’accent est désormais nettement davantage mis sur une approche axée sur les processus – ce qui signifie des analyses de risque continues et une gestion efficace de la continuité des opérations (BCM) afin de rester opérationnel en cas d’interruption.
Vulnérabilités techniques et le “ dilemme du cloud ”
L'Office fédéral de la sécurité des technologies de l'information (BSI) et des experts du secteur mettent en garde contre des déficits structurels dans la cybersécurité des installations d'énergie renouvelable en pratique :
- Accès direct à Internet : De nombreux systèmes photovoltaïques et éoliens ont été raccordés rapidement au réseau par le passé, sans que la sécurité informatique ne soit une priorité. Des ports ouverts dans le routeur ou des mots de passe par défaut facilitent souvent la tâche aux attaquants.
- Dépendance vis-à-vis des clouds de constructeurs : Un sujet de discussion majeur est la dépendance fonctionnelle des systèmes de contrôle vis-à-vis des clouds des fabricants (souvent situés hors d'Europe). Si le cloud tombe en panne ou est piraté, l'exploitant perd le contrôle de l'installation. L'Office fédéral de la sécurité des technologies de l'information (BSI) recommande donc instamment de passer à un fonctionnement local ou à des connexions hautement sécurisées (telles qu'un VPN).
- Manque de segmentation : Contrairement aux anciennes centrales fossiles, les réseaux des installations d'énergies renouvelables ne sont souvent pas clairement séparés entre l'informatique administrative et la technologie opérationnelle (OT).
La chaîne d'approvisionnement comme point d'entrée (risques liés à la chaîne d'approvisionnement)
Un attaquant n’a pas besoin de pirater individuellement chaque installation éolienne ou parc solaire. Si le logiciel du fabricant des onduleurs de réseau ou du prestataire de services de maintenance à distance est compromis, des milliers d’installations peuvent être manipulées en même temps. Cela s’applique également à l’infrastructure numérique de C&I Storage ou aux BESS à grande échelle. NIS-2 prend donc expressément en charge toute la chaîne d’approvisionnement. Les opérateurs doivent examiner activement leurs fournisseurs de services et la sécurité informatique des composants achetés.
Le risque systémique : Une seule éolienne piratée ne met pas en danger le réseau électrique. Cependant, si des milliers de producteurs décentralisés sont déconnectés ou manipulés de manière coordonnée via des interfaces mal sécurisées ou des botnets, cela peut compromettre la stabilité de l'ensemble du réseau électrique.
La trilogie réglementaire de la cybersécurité : NIS-2, CRA et réforme de la CSA
Bruxelles et Berlin ont réagi à cette conjonction de facteurs : une surface d’attaque technologique, une concentration du marché et un contrôle géopolitique. Ils n’ont pas réagi avec une seule loi, mais avec un cadre réglementaire à plusieurs niveaux. Il s’adresse séparément à la cybersécurité des opérateurs, des fabricants et des fournisseurs individuels. Ces trois réglementations s’entremêlent, s’interpénètrent et sont pertinentes pour les exploitants de systèmes de stockage d’énergie renouvelable (BESS) et de production d’électricité solaire (PV).
Aperçu rapide
| NIS-2 (BSIG/EnWG) | Législation sur la cyberrésilience | Réforme du CSA / Liste des fabricants à haut risque | |
| Nature juridique | Loi nationale (loi de transposition de la directive NIS 2), mise en œuvre par le BSIG et l'EnWG (§ 5c et suiv.) | Règlement de l'UE, d'application directe, aucune transposition nationale nécessaire | Révision d'un règlement européen existant, actuellement en cours de procédure législative |
| Adressé | Exploitants (gestionnaires de réseau et d'installations, services énergétiques numériques / agrégateurs) | Fabricants, importateurs, distributeurs de produits comportant des éléments numériques | Fabricant de composants TIC critiques ; interdictions d'utilisation potentielles pour certains fournisseurs |
| Règlement | Sécurité informatique organisationnelle, gestion des risques, obligations de déclaration, utilisation de composants critiques | Sécurité par la conception, gestion des vulnérabilités, marquage CE pour les produits numériques | Schémas de certification (notamment EUCC/ECCF), interdictions potentielles de fabricants sur le modèle de la boîte à outils 5G |
| Autorités compétentes | BSI, BNetzA, BMI (pour les composants critiques), BBK (loi-cadre KRITIS) | Autorité nationale de surveillance du marché, ENISA, organismes d'évaluation de la conformité notifiés | ENISA (pouvoirs étendus prévus), Commission européenne |
| Délais centraux | En vigueur depuis le 05.12.2025 ; enregistrement dans un délai de 3 mois ; justificatifs de résilience dans un délai de 3 ans | Obligations de déclaration à partir du 11.9.2026 ; obligations complètes, y compris le marquage CE, à partir du 11.12.2027 | Proposition présentée en janvier 2026 ; procédure législative en cours, calendrier encore ouvert |
| cadre des sanctions | Amendes comprises entre 100 000 € et 20 millions d'euros, parfois proportionnelles au chiffre d'affaires | Interdiction d'accès au marché en cas de non-conformité, amendes | Exclusion complète potentielle des fabricants cotés en bourse |
| Pertinence pour BESS/PV | Les exploitants doivent prouver qu'ils mettent en œuvre une gestion des risques, une détection des attaques et, le cas échéant, l'exclusion de composants critiques. | Les fabricants d'onduleurs et de BMS doivent sécuriser leurs produits tout au long de leur cycle de vie et signaler les vulnérabilités. | Décidez quels fabricants (par exemple de Chine) restent autorisés pour les projets financés par l'UE ou les projets critiques. |
Important pour l’interprétation : Les trois réglementations agissent de manière complémentaire. NIS-2 oblige l’exploitant, CRA oblige le fabricant, la réforme de la CSA pourrait décider quelles fabricants sont encore admissibles. Un exploitant peut être conforme à NIS-2 et utiliser néanmoins un produit qui sera ultérieurement inclus sur une liste à haut risque. Ainsi, les sujets sont certes juridiquement distincts, mais ne peuvent pas être considérés isolément dans la pratique.
Qu'est-ce qu'un « composant critique » et qui a le droit de l'interdire ?
La loi de transposition de la directive NIS-2 a supprimé l'ancienne obligation, complexe, de déclaration de garantie pour les fabricants de composants critiques et l'a remplacée par une procédure d'examen et d'interdiction plus flexible et axée sur les risques. Le ministère fédéral de l'Intérieur (BMI) peut interdire aux exploitants d'installations critiques l'utilisation de composants critiques d'un fabricant ou prendre des mesures si cette utilisation est susceptible de compromettre l'ordre ou la sécurité publics. Lors de son examen, le ministère prend notamment en compte les éléments suivants :
- le fabricant est contrôlé directement ou indirectement par le gouvernement d'un pays tiers,
- le fabricant est ou peut être tenu de collaborer avec les services étatiques ou les forces armées d'un pays tiers,
- que le fabricant a participé à des activités susceptibles de compromettre l'ordre public ou la sécurité de la République fédérale ou d'autres États membres de l'UE ou de l'AELE.
Dans le secteur de l'énergie, les fonctions et composants critiques sont fondamentalement définis depuis 2025 ; à partir de 2026, ils devront être déclarés aux autorités dans le cadre de l'enregistrement en tant qu'exploitant d'installations critiques. Des prescriptions concrètes s'appliquent déjà aux gestionnaires de réseau de transport pour les fonctions de gestion des réseaux et des systèmes ; l'extension à d'autres catégories d'installations est prévisible.
À l'échelle de l'UE, le débat va un pas plus loin : la Banque européenne d'investissement exclut déjà progressivement les nouveaux financements pour les projets utilisant des onduleurs provenant d'États à haut risque (Chine, Russie, Iran, Corée du Nord), avec une période de transition pour les projets en cours jusqu'au 1er novembre 2026 et une phase plus stricte à partir d'avril 2027. Selon la Commission, les onduleurs représentent environ 5 pour cent des coûts des grandes installations solaires ; le passage à des fournisseurs moins risqués devrait augmenter les coûts totaux des projets de moins de 2 pour cent estimés.
Importation de composants au lieu de produits finis comme solution pour la cybersécurité ?
Dans la plupart des cas, le public simplifie le débat en le réduisant à un contraste „ fabricants chinois vs. fabricants européens ”. En pratique, chez CUBE CONCEPTS, nous observons une troisième voie de plus en plus répandue, qui combine la sécurité informatique et l’économie. Les fabricants importent directement des composants – cellules solaires ou modules, cellules de batterie, semi-conducteurs de puissance – en Chine, puis assemblent les produits finis (module, onduleur, batterie) en Europe et les équipent de logiciels de contrôle, de communication et de sécurité européens.
C'est pertinent pour la classification réglementaire, car tant la directive NIS-2 / la loi allemande sur la sécurité informatique (BSIG) que la liste des fabricants à haut risque en discussion se fondent principalement sur le fabricant légal et ses conditions de contrôle – et non sur l'origine des différents composants. Les critères d'examen du ministère fédéral de l'Intérieur (BMI) mentionnés (contrôle par le gouvernement d'un État tiers, obligations de coopération envers les organismes étatiques) sont taillés sur mesure pour le fabricant au sens juridique, et non pour la chaîne de fabrication physique des produits intermédiaires. Cela ouvre une marge d'interprétation qui n'est pas encore définitivement clarifiée dans les textes de loi et les consultations actuels :
- Un onduleur dont les semi-conducteurs de puissance proviennent de Chine, mais qui est fabriqué en final par une entreprise européenne avec un micrologiciel européen, est-il considéré comme le produit d'un fabricant à haut risque ?
- Une couche logicielle et de communication européenne suffit-elle à dissiper les inquiétudes liées aux accès à distance et aux portes dérobées évoquées à propos des fabricants chinois, ou un risque persiste-t-il au niveau des composants, par exemple pour les cellules de batterie dotées d'un micrologiciel de gestion (BMS) intégré en usine ?
- Comment une telle chaîne de fabrication hybride est-elle représentée dans le cadre de l'évaluation de la conformité au titre du CRA (nomenclature/SBOM, documentation technique selon l'annexe VII), lorsque des produits intermédiaires essentiels proviennent de fournisseurs de pays tiers ?
Pour les concepteurs, les exploitants et les investisseurs, cela signifie qu'une simple vérification du pays d'origine est insuffisante. Quiconque souhaite obtenir des informations fiables sur la chaîne d'approvisionnement doit également s'enquérir de l'origine des composants critiques (chimie des cellules, électronique de puissance, modules de communication) ainsi que du contrôle exercé sur les niveaux logiciel et micrologiciel, indépendamment du lieu où s'effectue l'assemblage final.
BESS par rapport aux onduleurs photovoltaïques : profils de risque différents
Le débat public sur la cybersécurité se concentre jusqu'à présent fortement sur les onduleurs photovoltaïques, car leur concentration sur le marché chez les fabricants chinois (entre autres Huawei, Sungrow, Ginlong Solis) est particulièrement prononcée. Pour les exploitants de systèmes de stockage d'énergie par batterie (BESS), plusieurs points doivent être examinés séparément :
- Les systèmes de gestion de batterie (BMS) et les régulateurs de charge (PCS) sont exposés aux mêmes risques de connectivité fondamentaux que les onduleurs – selon les informations de presse, les rapports concernant des modules de communication non documentés concernaient non seulement les onduleurs, mais aussi les batteries de plusieurs fournisseurs chinois.
- Les grands agrégateurs de stockage avec contrats de services d’alimentation en réseau (énergie régulée, redispacement) sont potentiellement plus sensibles à la stabilité du réseau que les petites installations décentralisées, car ils regroupent une puissance concentrée avec une répercussion directe sur le système – en même temps, ils sont généralement déjà soumis à des exigences plus strictes, telles que NIS-2 ou le catalogue de sécurité informatique de BNetzA, lorsqu’ils sont classés comme installations critiques.
- Les installations plus petites et distribuées (home storage, petits systèmes C&I) sont généralement moins bien réglementées, même si elles sont également connectées à des clouds propriétaires ou à des backends d’installateurs, ce qui peut représenter un risque global.
Pour les opérateurs et les investisseurs, cela signifie que l'évaluation de la sécurité informatique d'un projet ne doit pas se limiter au niveau des onduleurs, mais doit également couvrir l'ensemble de la chaîne numérique – BMS, EMS, PCS, modules de communication et les connexions de backend respectives.
Implications pratiques pour les exploitants et investisseurs
- Documenter la sélection des fournisseurs : Quiconque exploite ou pourrait exploiter une installation critique devrait dès à présent documenter de manière traçable l'origine et la structure de contrôle juridique des fabricants d'onduleurs, de BMS et de PCS – et non pas seulement lorsqu'une interdiction menace. Cela inclut le niveau des composants : en cas d'assemblage final européen avec des produits intermédiaires chinois, il convient de se pencher sur l'origine de la chimie des cellules, des semi-conducteurs et des micrologiciels.
- Ne pas perdre les délais de vue : Les obligations de déclaration au titre du CRA pour les fabricants s'appliquent à partir de septembre 2026, et l'ensemble des exigences à partir de décembre 2027. Les exploitants devraient exiger de leurs fournisseurs des preuves de la feuille de route du CRA dès le début, même si l'obligation incombe formellement au fabricant.
- Vérifier l'assujettissement à NIS-2 : Même les exploitants qui n'étaient pas soumis aux obligations KRITIS de manière classique jusqu'à présent (tels que les services énergétiques numériques / agrégateurs) peuvent désormais être assujettis à la loi sur la sécurité des technologies de l'information (BSIG) ou à la loi sur l'industrie énergétique (Enwg) en raison de l'élargissement du cercle des destinataires.
- Le développement réglementaire n'est pas encore achevé : La réforme de la CSA avec l'éventuelle liste de fabricants à haut risque est toujours en cours de procédure législative ; une exclusion de certains fabricants est probable, mais la portée et le calendrier restent ouverts.
Chronologie : Les principales échéances en matière de cybersécurité
FAQ
Les onduleurs chinois vont-ils être interdits dans l'UE ?
Il n'existe pas d'interdiction générale à compter de juillet 2026. Toutefois, la BEI exclut progressivement les nouveaux financements pour les projets utilisant des onduleurs provenant d'États à haut risque, et la Commission européenne discute d'une liste de fabricants à haut risque sur le modèle de la boîte à outils 5G dans le cadre de la réforme de l'AC S (Cybersecurity Act). En outre, en Allemagne, le ministère fédéral de l'Intérieur (BMI) peut interdire l'utilisation de composants critiques de certains fabricants au cas par cas.
À partir de quand le Cyber Resilience Act s'applique-t-il aux composants BESS ?
Les obligations de signalement pour les vulnérabilités activement exploitées s'appliquent aux fabricants à partir du 11 septembre 2026. L'ensemble des exigences, y compris le marquage CE pour les produits comportant des éléments numériques, s'applique à partir du 11 décembre 2027.
Les exploitants de systèmes de stockage d'énergie par batterie (BESS) sont-ils automatiquement soumis à la directive NIS-2 ?
Non. Les obligations NIS-2 dépendent de la taille de l'entreprise, du secteur et de la classification en tant qu'installation critique selon le BSI-KritisV ou des seuils applicables aux entités « importantes » et « essentielles ». Une évaluation au cas par cas est nécessaire.
Quelle est la différence entre la directive NIS-2 et le règlement sur la cyberrésilience (Cyber Resilience Act) ?
NIS-2 s'adresse aux exploitants d'installations et de réseaux et réglemente la cybersécurité organisationnelle (gestion des risques, obligations de notification). Le CRA s'adresse aux fabricants de produits comportant des éléments numériques et réglemente la sécurité des produits tout au long de leur cycle de vie.