Selon l'évaluation du gouvernement fédéral, 70 à 80 pour cent des onduleurs photovoltaïques utilisés en Europe proviennent de fabricants chinois. Parallèlement, les initiatives réglementaires se multiplient au niveau mondial, européen et fédéral, qualifiant précisément cette dépendance de risque pour la sécurité des infrastructures énergétiques critiques. Le débat autour de la Cybersécurité s'est considérablement durcie pour les installations d'énergie renouvelable.
Du point de vue de la sécurité informatique, il en résulte une vaste surface d'attaque difficile à contrôler. Celle-ci attire de plus en plus l'attention d'acteurs à motivation géopolitique ou d'organisations criminelles.
Pour les exploitants et les investisseurs de systèmes de stockage d'énergie par batterie (BESS) et d'installations photovoltaïques, il en résulte un nouveau domaine de conformité à trois volets. La mise en œuvre de la directive NIS-2 dans la loi allemande sur la sécurité des technologies de l'information (BSIG) et la loi sur l'industrie de l'énergie (EnWG), la loi européenne sur la cyberrésilience (CRA) ainsi que la réforme en cours de la loi sur la cybersécurité (CSA) avec une liste potentielle de fabricants à haut risque. Cet article dresse un état des lieux et montre ce qui devient pertinent dès à présent pour les exploitants.
Pourquoi le sujet s'envenime maintenant
Le sujet prend de l'ampleur parce que les onduleurs et les systèmes de gestion de batterie (BMS) ne sont plus de nos jours de simples composants passifs, mais composants en réseau, télémaintenables avec connexion cloud, des mises à jour du micrologiciel et, dans certains cas, de vastes fonctions de télécommande. C'est précisément cette connectivité qui les place dans le collimateur des autorités de sécurité – non pas la technologie solaire ou de stockage en soi, mais le contrôle des interfaces numériques.
La recrudescence du débat a notamment été déclenchée par des rapports selon lesquels, dans des onduleurs chinois ainsi que dans des batteries de plusieurs fournisseurs chinois composants de communication non documentés ont été identifiés – selon des reportages de presse citant des représentants du gouvernement américain partiellement avec modules cellulaires inclus. Ces informations n'ont pas pu être vérifiées de manière indépendante jusqu'à présent, mais elles ont entraîné une réévaluation réglementaire accélérée tant aux États-Unis qu'dans l'UE.
Le gouvernement fédéral ne fonde pas seulement son évaluation des risques sur des critères techniques, mais aussi expressément sur des critères juridiques et géopolitiques : les entreprises chinoises sont soumises à de vastes obligations légales de coopération avec les services étatiques, ce qui, du point de vue allemand et européen, représente un risque structurel indépendant de chaque cas particulier.
Les trois domaines clés du débat sur la cybersécurité
Le “ choc réglementaire ” : NIS-2 et les nouveaux catalogues de sécurité informatique
Les contraintes légales en matière de cybersécurité se durcissent sensiblement. Les exploitants d'installations d'énergies renouvelables subissent une pression énorme pour mettre en œuvre les nouvelles directives juridiques :
- Mise en œuvre de NIS-2 : La directive européenne sur la cybersécurité impose désormais des obligations à de nombreux exploitants de taille moyenne et fournisseurs. Alors qu'auparavant seules les installations à partir de 104 MW étaient considérées comme des “ infrastructures critiques ” (KRITIS), elles sont désormais beaucoup plus nombreuses. De plus, la loi-cadre KRITIS de janvier 2026 élargit la protection physique des installations d'énergies renouvelables, prescrit des analyses de risques, des mesures de résilience ainsi qu'une gestion des crises et des urgences, et définit des obligations de signalement. La Fédération allemande des énergies renouvelables (BEE) demande donc de la mesure afin que les plus petits exploitants ne soient pas submergés par la bureaucratie.
- Mise à jour des catalogues de sécurité informatique : La Bundesnetzagentur a durci les exigences pour les gestionnaires de réseaux électriques et d'installations. L'accent est désormais nettement mis sur Orientation processus – cela implique des analyses de risques continues et un management de la continuité des activités (MCA) opérationnel afin de rester capable d'agir en cas de panne.
Vulnérabilités techniques et le “ dilemme du cloud ”
L'Office fédéral de la sécurité des technologies de l'information (BSI) et des experts du secteur mettent en garde contre des déficits structurels dans la cybersécurité des installations d'énergie renouvelable en pratique :
- Accès direct à Internet : De nombreux systèmes photovoltaïques et éoliens ont été raccordés rapidement au réseau par le passé, sans que la sécurité informatique ne soit une priorité. Des ports ouverts dans le routeur ou des mots de passe par défaut facilitent souvent la tâche aux attaquants.
- Dépendance vis-à-vis des clouds de constructeurs : Un sujet de discussion majeur est la dépendance fonctionnelle des systèmes de contrôle vis-à-vis des clouds des fabricants (souvent situés hors d'Europe). Si le cloud tombe en panne ou est piraté, l'exploitant perd le contrôle de l'installation. L'Office fédéral de la sécurité des technologies de l'information (BSI) recommande donc instamment de passer à un fonctionnement local ou à des connexions hautement sécurisées (telles qu'un VPN).
- Manque de segmentation : Contrairement aux anciennes centrales fossiles, les réseaux des installations d'énergies renouvelables ne sont souvent pas clairement séparés entre l'informatique administrative et la technologie opérationnelle (OT).
La chaîne d'approvisionnement comme point d'entrée (risques liés à la chaîne d'approvisionnement)
Un attaquant n'a pas besoin de piroter chaque éolienne ou parc solaire individuellement. Si le logiciel du fabricant de la onduleur formant le réseau ou que le prestataire de maintenance à distance soit compromis, des milliers d'installations peuvent être manipulées en même temps. Cela s'applique tout autant à l'infrastructure numérique de Stockage C&I ou Utility-Scale-BESS. C'est pourquoi NIS-2 prend explicitement en compte chaîne d'approvisionnement globale responsabilité. Les exploitants doivent vérifier activement leurs prestataires de services et la cybersécurité des composants achetés.
Le risque systémique : Une seule éolienne piratée ne met pas en danger le réseau électrique. Cependant, si des milliers de producteurs décentralisés sont déconnectés ou manipulés de manière coordonnée via des interfaces mal sécurisées ou des botnets, cela peut compromettre la stabilité de l'ensemble du réseau électrique.
La trilogie réglementaire de la cybersécurité : NIS-2, CRA et réforme de la CSA
Bruxelles et Berlin ont réagi à cette configuration combinant surface d'attaque technique, concentration du marché et contrôle géopolitique, non pas par une loi unique, mais par un cadre réglementaire à plusieurs niveaux. Il aborde la cybersécurité séparément pour les exploitants, les fabricants et les fournisseurs individuels. Ces trois ensembles de règles se chevauchent, s'imbriquent et sont pertinents pour les exploitants d'installations BESS et photovoltaïques :
Aperçu rapide
| NIS-2 (BSIG/EnWG) | Législation sur la cyberrésilience | Réforme du CSA / Liste des fabricants à haut risque | |
| Nature juridique | Loi nationale (loi de transposition de la directive NIS 2), mise en œuvre par le BSIG et l'EnWG (§ 5c et suiv.) | Règlement de l'UE, d'application directe, aucune transposition nationale nécessaire | Révision d'un règlement européen existant, actuellement en cours de procédure législative |
| Adressé | Exploitants (gestionnaires de réseau et d'installations, services énergétiques numériques / agrégateurs) | Fabricants, importateurs, distributeurs de produits comportant des éléments numériques | Fabricant de composants TIC critiques ; interdictions d'utilisation potentielles pour certains fournisseurs |
| Règlement | Sécurité informatique organisationnelle, gestion des risques, obligations de déclaration, utilisation de composants critiques | Sécurité par la conception, gestion des vulnérabilités, marquage CE pour les produits numériques | Schémas de certification (notamment EUCC/ECCF), interdictions potentielles de fabricants sur le modèle de la boîte à outils 5G |
| Autorités compétentes | BSI, BNetzA, BMI (pour les composants critiques), BBK (loi-cadre KRITIS) | Autorité nationale de surveillance du marché, ENISA, organismes d'évaluation de la conformité notifiés | ENISA (pouvoirs étendus prévus), Commission européenne |
| Délais centraux | En vigueur depuis le 05.12.2025 ; enregistrement dans un délai de 3 mois ; justificatifs de résilience dans un délai de 3 ans | Obligations de déclaration à partir du 11.9.2026 ; obligations complètes, y compris le marquage CE, à partir du 11.12.2027 | Proposition présentée en janvier 2026 ; procédure législative en cours, calendrier encore ouvert |
| cadre des sanctions | Amendes comprises entre 100 000 € et 20 millions d'euros, parfois proportionnelles au chiffre d'affaires | Interdiction d'accès au marché en cas de non-conformité, amendes | Exclusion complète potentielle des fabricants cotés en bourse |
| Pertinence pour BESS/PV | Les exploitants doivent prouver qu'ils mettent en œuvre une gestion des risques, une détection des attaques et, le cas échéant, l'exclusion de composants critiques. | Les fabricants d'onduleurs et de BMS doivent sécuriser leurs produits tout au long de leur cycle de vie et signaler les vulnérabilités. | Décidez quels fabricants (par exemple de Chine) restent autorisés pour les projets financés par l'UE ou les projets critiques. |
Important pour la mise en contexte : Les trois ensembles de règles sont complémentaires. NIS-2 oblige le Opérateur, le CRA oblige le Fabricant, la réforme de la certification CSA détermine potentiellement quels fabricants seront encore autorisés. Un opérateur peut être en conformité avec NIS-2 tout en utilisant un produit qui figurera ultérieurement sur une liste à haut risque. Ainsi, bien que ces questions soient juridiquement distinctes, elles ne peuvent être considérées isolément dans la pratique.
Qu'est-ce qu'un „ composant critique ” et qui a le droit de l'interdire ?
La loi de transposition de la directive NIS-2 a supprimé l'ancienne obligation, complexe, de déclaration de garantie pour les fabricants de composants critiques et l'a remplacée par une procédure d'examen et d'interdiction plus flexible et axée sur les risques. Le ministère fédéral de l'Intérieur (BMI) peut interdire aux exploitants d'installations critiques l'utilisation de composants critiques d'un fabricant ou prendre des mesures si cette utilisation est susceptible de compromettre l'ordre ou la sécurité publics. Lors de son examen, le ministère prend notamment en compte les éléments suivants :
- le fabricant est contrôlé directement ou indirectement par le gouvernement d'un pays tiers,
- le fabricant est ou peut être tenu de collaborer avec les services étatiques ou les forces armées d'un pays tiers,
- que le fabricant a participé à des activités susceptibles de compromettre l'ordre public ou la sécurité de la République fédérale ou d'autres États membres de l'UE ou de l'AELE.
Dans le secteur de l'énergie, les fonctions et composants critiques sont fondamentalement définis depuis 2025 ; à partir de 2026, ils devront être déclarés aux autorités dans le cadre de l'enregistrement en tant qu'exploitant d'installations critiques. Des prescriptions concrètes s'appliquent déjà aux gestionnaires de réseau de transport pour les fonctions de gestion des réseaux et des systèmes ; l'extension à d'autres catégories d'installations est prévisible.
À l'échelle de l'UE, le débat va un pas plus loin : la Banque européenne d'investissement exclut déjà progressivement les nouveaux financements pour les projets utilisant des onduleurs provenant d'États à haut risque (Chine, Russie, Iran, Corée du Nord), avec une période de transition pour les projets en cours jusqu'au 1er novembre 2026 et une phase plus stricte à partir d'avril 2027. Selon la Commission, les onduleurs représentent environ 5 pour cent des coûts des grandes installations solaires ; le passage à des fournisseurs moins risqués devrait augmenter les coûts totaux des projets de moins de 2 pour cent estimés.
Importation de composants au lieu de produits finis comme solution pour la cybersécurité ?
Le grand public simplifie généralement le débat en l'opposant sous forme de „ fabricants chinois contre fabricants européens ”. Dans la pratique, nous observons chez CUBE CONCEPTS une troisième voie, de plus en plus courante, qui associe cybersécurité et rentabilité. Les fabricants importent directement de Chine des composants individuels – cellules ou modules solaires, cellules de batterie, semi-conducteurs de puissance – et assemblent les produits finis (module, onduleur, Stockage sur batterie) en Europe et les équipent ici de logiciels européens de commande, de communication et de sécurité.
C'est pertinent pour la classification réglementaire, car tant la directive NIS-2 / la loi allemande sur la sécurité informatique (BSIG) que la liste des fabricants à haut risque en discussion se fondent principalement sur le fabricant légal et ses conditions de contrôle – et non sur l'origine des différents composants. Les critères d'examen du ministère fédéral de l'Intérieur (BMI) mentionnés (contrôle par le gouvernement d'un État tiers, obligations de coopération envers les organismes étatiques) sont taillés sur mesure pour le fabricant au sens juridique, et non pour la chaîne de fabrication physique des produits intermédiaires. Cela ouvre une marge d'interprétation qui n'est pas encore définitivement clarifiée dans les textes de loi et les consultations actuels :
- Un onduleur dont les semi-conducteurs de puissance proviennent de Chine, mais qui est fabriqué en final par une entreprise européenne avec un micrologiciel européen, est-il considéré comme le produit d'un fabricant à haut risque ?
- Une couche logicielle et de communication européenne suffit-elle à dissiper les inquiétudes liées aux accès à distance et aux portes dérobées évoquées à propos des fabricants chinois, ou un risque persiste-t-il au niveau des composants, par exemple pour les cellules de batterie dotées d'un micrologiciel de gestion (BMS) intégré en usine ?
- Comment une telle chaîne de fabrication hybride est-elle représentée dans le cadre de l'évaluation de la conformité au titre du CRA (nomenclature/SBOM, documentation technique selon l'annexe VII), lorsque des produits intermédiaires essentiels proviennent de fournisseurs de pays tiers ?
Pour les concepteurs, les exploitants et les investisseurs, cela signifie qu'une simple vérification du pays d'origine est insuffisante. Quiconque souhaite obtenir des informations fiables sur la chaîne d'approvisionnement doit également s'enquérir de l'origine des composants critiques (chimie des cellules, électronique de puissance, modules de communication) ainsi que du contrôle exercé sur les niveaux logiciel et micrologiciel, indépendamment du lieu où s'effectue l'assemblage final.
BESS par rapport aux onduleurs photovoltaïques : profils de risque différents
Le débat public sur la cybersécurité se concentre jusqu'à présent fortement sur les onduleurs photovoltaïques, car leur concentration sur le marché chez les fabricants chinois (entre autres Huawei, Sungrow, Ginlong Solis) est particulièrement prononcée. Pour les exploitants de systèmes de stockage d'énergie par batterie (BESS), plusieurs points doivent être examinés séparément :
- Systèmes de gestion de batterie (BMS) et électronique de puissance (PCS) sont soumis aux mêmes risques fondamentaux de connectivité que les onduleurs – des rapports de presse ont indiqué que des modules de communication non documentés concernaient non seulement les onduleurs, mais aussi des composants de batteries de plusieurs fournisseurs chinois.
- Grand stockage FTM les contrats de services de réseau (énergie de réglage, redispatch) sont potentiellement plus sensibles du point de vue de la stabilité du réseau que les petites installations distribuées, car ils regroupent une puissance concentrée ayant une pertinence directe pour le système – en même temps, ils sont généralement déjà soumis aujourd'hui à des exigences plus strictes, par exemple via la directive NIS-2 ou le catalogue de sécurité IT de la BNetzA, s'ils sont classés comme installation critique.
- Petites installations décentralisées (systèmes résidentiels et petits C&I) ont tendance, selon SolarPower Europe, à être moins bien réglementés, bien qu'ils soient également connectés via des clouds propriétaires ou des backends d'installateurs et puissent ainsi représenter un risque agrégé.
Pour les exploitants et les investisseurs, cela signifie que l'évaluation de la cybersécurité d'un projet ne doit pas se limiter au niveau des onduleurs, mais doit inclure l'ensemble de la chaîne numérique – BMS, EMS, PCS, Modules de communication et les connexions backend respectives.
Implications pratiques pour les exploitants et investisseurs
- Documenter la sélection des fournisseurs : Quiconque exploite ou pourrait exploiter une installation critique devrait dès à présent documenter de manière traçable l'origine et la structure de contrôle juridique des fabricants d'onduleurs, de BMS et de PCS – et non pas seulement lorsqu'une interdiction menace. Cela inclut le niveau des composants : en cas d'assemblage final européen avec des produits intermédiaires chinois, il convient de se pencher sur l'origine de la chimie des cellules, des semi-conducteurs et des micrologiciels.
- Ne pas perdre les délais de vue : Les obligations de déclaration au titre du CRA pour les fabricants s'appliquent à partir de septembre 2026, et l'ensemble des exigences à partir de décembre 2027. Les exploitants devraient exiger de leurs fournisseurs des preuves de la feuille de route du CRA dès le début, même si l'obligation incombe formellement au fabricant.
- Vérifier l'assujettissement à NIS-2 : Même les exploitants qui n'étaient pas soumis aux obligations KRITIS de manière classique jusqu'à présent (tels que les services énergétiques numériques / agrégateurs) peuvent désormais être assujettis à la loi sur la sécurité des technologies de l'information (BSIG) ou à la loi sur l'industrie énergétique (Enwg) en raison de l'élargissement du cercle des destinataires.
- Le développement réglementaire n'est pas encore achevé : La réforme de la CSA avec l'éventuelle liste de fabricants à haut risque est toujours en cours de procédure législative ; une exclusion de certains fabricants est probable, mais la portée et le calendrier restent ouverts.
Chronologie : Les principales échéances en matière de cybersécurité
FAQ
Les onduleurs chinois vont-ils être interdits dans l'UE ?
Il n'existe pas d'interdiction générale à compter de juillet 2026. Toutefois, la BEI exclut progressivement les nouveaux financements pour les projets utilisant des onduleurs provenant d'États à haut risque, et la Commission européenne discute d'une liste de fabricants à haut risque sur le modèle de la boîte à outils 5G dans le cadre de la réforme de l'AC S (Cybersecurity Act). En outre, en Allemagne, le ministère fédéral de l'Intérieur (BMI) peut interdire l'utilisation de composants critiques de certains fabricants au cas par cas.
À partir de quand le Cyber Resilience Act s'applique-t-il aux composants BESS ?
Les obligations de signalement pour les vulnérabilités activement exploitées s'appliquent aux fabricants à partir du 11 septembre 2026. L'ensemble des exigences, y compris le marquage CE pour les produits comportant des éléments numériques, s'applique à partir du 11 décembre 2027.
Les exploitants de systèmes de stockage d'énergie par batterie (BESS) sont-ils automatiquement soumis à la directive NIS-2 ?
Non. Les obligations NIS-2 dépendent de la taille de l'entreprise, du secteur et de la classification en tant qu'installation critique selon le BSI-KritisV ou des seuils applicables aux entités „ importantes ” et „ essentielles ”. Une évaluation au cas par cas est nécessaire.
Quelle est la différence entre la directive NIS-2 et le règlement sur la cyberrésilience (Cyber Resilience Act) ?
NIS-2 s'adresse aux exploitants d'installations et de réseaux et réglemente la cybersécurité organisationnelle (gestion des risques, obligations de notification). Le CRA s'adresse aux fabricants de produits comportant des éléments numériques et réglemente la sécurité des produits tout au long de leur cycle de vie.