L'UE recommande de restreindre les composants solaires à risque cyber élevé
Un rapport du groupe d'experts SEEG propose d'écarter les fournisseurs présentant de graves risques de cybersécurité et de classer les onduleurs sous le Cyber Resilience Act.
Le groupe de travail sur la cybersécurité du Smart Energy Expert Group (SEEG), rattaché à la Commission européenne, a publié un rapport recommandant de restreindre l'usage des composants et logiciels solaires provenant de fournisseurs présentant des risques de cybersécurité élevés, sur l'ensemble du marché solaire, des petites installations plug-in aux centrales résidentielles, commerciales, industrielles et de grande taille.
Le document, intitulé « Recommendations on Responding to Cybersecurity Risks of Solar Power Generation », s'appuie sur les discussions d'experts menées en 2025-2026, selon aitimes.com.
Trois risques identifiés
Le rapport classe trois risques principaux : les attaques passant par les plateformes des fabricants connectées à plusieurs onduleurs, les backdoors intentionnelles insérées par des fabricants sous influence d'acteurs étatiques, et les attaques via les réseaux locaux des grandes centrales solaires.
Il recommande de restreindre les composants et logiciels de fournisseurs de pays tiers présentant des risques particulièrement graves, en incluant non seulement les fabricants d'onduleurs mais aussi les fournisseurs de matériel et de logiciels. Il propose également de limiter les mises à jour automatiques de firmware aux centrales commerciales et de grande taille, en exigeant que des opérateurs de maintenance qualifiés testent et appliquent les mises à jour manuellement.
Le rapport préconise enfin de classer les onduleurs comme « Important Products Class II » au titre du Cyber Resilience Act, afin d'imposer une évaluation de conformité indépendante par des organismes notifiés. Il ne désigne aucun pays ni aucune entreprise comme fournisseur à haut risque.
En arrière-plan, la capacité solaire de l'UE est passée de 86 GW en 2015 à 406 GW en 2025 et devrait atteindre 718 GW DC en 2030. La Commission a proposé un amendement au Cybersecurity Act susceptible de fournir des critères pour définir les fournisseurs à haut risque, tandis que les principales obligations du Cyber Resilience Act doivent s'appliquer à partir de décembre 2027. De nombreux fabricants d'équipements solaires sont basés en Chine, et la forte dépendance de l'UE à l'égard des équipements chinois est citée dans le rapport comme un facteur de risque pour la chaîne d'approvisionnement.
En bref
Que recommande le rapport du SEEG sur les onduleurs solaires ?
Il propose de les classer comme « Important Products Class II » au titre du Cyber Resilience Act, ce qui imposerait une évaluation de conformité indépendante par des organismes notifiés.
Le rapport vise-t-il un pays ou une entreprise en particulier ?
Non, il ne désigne aucun pays ni aucune entreprise comme fournisseur à haut risque.