EU専門家グループ、太陽光部品にサイバー高リスク供給元の制限勧告

欧州委員会の下に置かれるSmart Energy Expert Group（SEEG）のサイバーセキュリティ作業部会は、太陽光発電のサイバーセキュリティリスクへの対応に関する勧告を公表した。aitimes.comが伝えた。小型のプラグイン式太陽光から住宅用、商用、産業用、大規模プラントまで、太陽光市場全体にわたり、サイバーセキュリティリスクの高い供給元の部品やソフトウェアの使用を制限するよう勧告している。

報告書「太陽光発電のサイバーセキュリティリスクへの対応に関する勧告」は、2025年から2026年にかけての専門家による議論に基づいてまとめられた。高いリスクとして、複数のインバーターに接続されたメーカー製プラットフォーム経由の攻撃、国家主体の影響下にあるメーカーが意図的に組み込むバックドア、大規模太陽光プラントのローカルネットワーク経由の攻撃という3つを分類している。

勧告では、特に深刻なサイバーセキュリティリスクをもたらす第三国供給元の部品やソフトウェアを制限することとし、対象はインバーター製造事業者にとどまらず、ハードウェアおよびソフトウェアの供給事業者も含むとしている。商用および大規模プラントでは、メーカーによるファームウェアの自動更新を制限し、有資格の保守事業者がテストして手動で適用する運用を求めた。

また、インバーターをCyber Resilience Act（CRA）上の「Important Products Class II」に分類し、通知機関による独立した適合性評価を義務付けるよう提言した。報告書は特定の国や企業を高リスク供給元として指定してはいない。

背景

EUの太陽光発電容量は2015年の86 GWから2025年には406 GWへ増加し、2030年には718 GW DCに達すると予測されている。EUは高リスク供給元を定義する基準を提供し得るCybersecurity Actの改正を提案している。CRAの主要義務は2027年12月から適用される予定だ。