La cybersécurité dans le secteur de l'énergie solaire : d'une question secondaire à une priorité absolue

La transition énergétique bat son plein. L'énergie solaire n'est plus un marché de niche, mais est au cœur d'un système énergétique de plus en plus intelligent et complexe. En tant que partenaire de référence dans la construction, la surveillance et la maintenance de parcs solaires, et en tant qu’installateur de systèmes EMS et BESS en Belgique, aux Pays-Bas et en France, Solora mise fortement sur l’innovation et la numérisation. Mais cette numérisation s’accompagne également d’une responsabilité importante : la cybersécurité.

Dans cet article, nous nous penchons en détail sur les risques, les tendances et les bonnes pratiques à la croisée de l’énergie solaire et de la sécurité numérique. Car ceux qui pensent encore aujourd’hui que la cybersécurité est l’affaire des banques ou des pouvoirs publics seront dépassés par les événements demain.

1. La numérisation des parcs solaires : une aubaine et une source de préoccupation

Alors qu’autrefois les systèmes photovoltaïques fonctionnaient en grande partie de manière autonome, ils sont aujourd’hui entièrement connectés à des outils numériques : des onduleurs intelligents et des enregistreurs de données aux plateformes EMS basées sur le cloud et aux systèmes de batteries intégrés (BESS). Cette connectivité offre d’énormes avantages : un meilleur suivi, une gestion plus intelligente et une maintenance plus efficace. Mais elle ouvre également la porte à des intrus indésirables.

La société de cybersécurité Forescout a publié un rapport alarmant : plus de 35 000 appareils photovoltaïques présentant de graves vulnérabilités ont été identifiés à l’échelle mondiale. La plupart d’entre eux étaient directement accessibles via Internet, sans protection adéquate. Dans certains cas, aucun mot de passe n’avait même été défini.

Qu’est-ce qui rend les systèmes photovoltaïques si vulnérables ?

• Des micrologiciels obsolètes sur les onduleurs et les passerelles

• Mots de passe codés en dur ou identifiants par défaut qui n’ont jamais été modifiés

• Absence ou segmentation limitée du réseau entre les appareils

• Communications non chiffrées entre les appareils et le cloud

• Accès à distance sans authentification multifactorielle

Les conséquences d’une cyberattaque sur un parc solaire ne sont pas uniquement financières. Dans le pire des cas, un pirate peut, via les onduleurs ou le système de gestion de l’énergie (EMS), manipuler le comportement d’injection, surcharger les batteries ou paralyser l’ensemble du système – ce qui peut avoir des répercussions sur le réseau, voire sur la sécurité.

2. BESS et EMS : des infrastructures critiques vulnérables

Outre les panneaux solaires, Solora installe également des systèmes de batteries à grande échelle (BESS) et des systèmes de gestion de l'énergie (EMS). Ces systèmes sont eux aussi connectés, communiquent avec les gestionnaires de réseau et reçoivent des mises à jour via le cloud. C’est précisément pour cette raison qu’ils constituent une cible de choix pour les cybercriminels.

Pourquoi les systèmes BESS et EMS sont-ils particulièrement vulnérables ?

• Les systèmes BESS contiennent une énergie puissante et peuvent, en cas de sabotage, entraîner une surchauffe ou une décharge.

• Les plateformes EMS coordonnent le fonctionnement de l’ensemble d’un site : une seule attaque peut affecter plusieurs systèmes à la fois.

• De nombreux EMS utilisent des API ouvertes ou des portails cloud qui ne sont pas suffisamment sécurisés.

• Les fournisseurs de BESS sont souvent issus de régions asiatiques, où la transparence en matière de politique de cybersécurité fait défaut.

Selon Energy Storage News, le risque d’attaques de type « command & control » contre les installations BESS est bien réel : les attaquants peuvent donner à distance des instructions susceptibles de causer des dommages physiques ou de paralyser l’ensemble du système.

3. Politique et législation européennes

Heureusement, les décideurs politiques prennent également conscience de ces enjeux. L’UE a récemment mis en place une réglementation plus stricte en matière de sécurité numérique des infrastructures critiques :

• la directive NIS2 (en vigueur depuis 2024) oblige notamment les entreprises du secteur de l’énergie et leurs fournisseurs à réaliser des analyses de risques, à signaler les incidents et à prendre des mesures techniques et organisationnelles adéquates.

• La loi sur la cyber-résilience (Cyber Resilience Act ) exige que les fabricants d’appareils intelligents (tels que les onduleurs et les enregistreurs de données) conçoivent et entretiennent leurs produits de manière sécurisée.

• Le « Network Code for Cybersecurity » est en cours d'élaboration afin d'harmoniser et de sécuriser les réseaux numériques dans le secteur de l'énergie.

Des organisations sectorielles telles que SolarPower Europe et l’European Solar Manufacturing Council (ESMC) plaident également en faveur d’une « Inverter Security Toolbox » – une sorte de guide technique définissant des exigences minimales de sécurité pour les installations solaires.

4. ISO 27001 et NIS2 : notre approche structurelle de la cybersécurité

Chez Solora, nous avons délibérément choisi d’aborder la cybersécurité non pas de manière réactive, mais de façon structurelle et proactive. C’est pourquoi nous sommes actuellement dans la phase finale de notre processus de certification ISO 27001, la norme internationale en matière de sécurité de l’information. Parallèlement, nous nous préparons activement à la conformité NIS2, même si nous n’y sommes pas légalement tenus.

Pourquoi ? Parce que nous intervenons sur des infrastructures énergétiques critiques, et parce que nos clients – actifs dans les secteurs de l’industrie, de la logistique, de l’agroalimentaire et de l’industrie pharmaceutique – s’attendent, à juste titre, à ce que leur partenaire énergétique gère les risques numériques avec le même professionnalisme que la sécurité physique.

Dans le cadre de la norme ISO 27001, nous mettons en place un système de gestion de la sécurité de l’information (SGSI) qui couvre notamment les domaines suivants :

• Gestion des risques et planification de la continuité des activités pour tous les actifs, des onduleurs aux systèmes EMS et BESS.

• La sélection des fournisseurs, dans le cadre de laquelle nous prenons également en compte l’origine du matériel (comme les composants chinois) dans notre évaluation des risques.

• Contrôle d'accès et journalisation, y compris la segmentation, l'authentification multifactorielle (MFA) et la gestion centralisée des journaux.

• Gestion des correctifs et mises à jour sécurisées du micrologiciel.

• Réponse aux incidents et sensibilisation, avec des procédures claires et la formation de nos équipes techniques.

Par ailleurs, nous nous préparons également en interne aux directives de la directive NIS2. Celle-ci impose notamment des exigences en matière de signalement des incidents, de gestion des risques, de sécurisation des chaînes d’approvisionnement et de gouvernance au niveau de la direction. Bien que Solora ne soit pas légalement soumise à cette directive, nous y accordons délibérément une grande importance, convaincus que la sécurité numérique est un pilier fondamental de notre fiabilité en tant que partenaire de la transition énergétique.

Conclusion : la cybersécurité n’est pas une option, c’est une condition sine qua non

Pour Solora, la cybersécurité n’est pas un simple plus, mais un élément fondamental de nos services. Un parc solaire qui n’est pas sécurisé n’est tout simplement pas achevé. À l’heure où nous évoluons vers des systèmes énergétiques décentralisés intégrant stockage, gestion dans le cloud et connectivité transfrontalière, la sécurité n’est pas seulement une question technique, mais aussi stratégique.

L’avenir de l’énergie solaire est numérique. Veillons à ce qu’il soit également sécurisé.