Onduleur cybersécurité : les trois risques relevés par l’Europe et vos réflexes

Un groupe d’experts européens, le Smart Energy Expert Group, a identifié en octobre 2026 trois scénarios de cyberattaque à haut risque sur le solaire connecté : les plateformes cloud des fabricants, les portes dérobées imposées par un État et le contournement du pare-feu des grandes centrales. Pour un particulier, le risque passe surtout par l’onduleur relié à internet.

Ce rapport ne crée aucune obligation pour vous. Il engage ses auteurs, pas la Commission européenne. Il éclaire en revanche ce qui compte sur votre toit : les mises à jour, les accès à distance et la manière dont votre installation se connecte au cloud.

Ce que dit le rapport européen

Selon le compte rendu publié par Now.Solar le 12 octobre 2026, la capacité solaire installée dans l’Union européenne est passée de 86 GW en 2015 à 406 GW en 2025 et pourrait atteindre 718 GWdc en 2030. Plus il y a d’onduleurs connectés, plus une faille touche d’appareils à la fois. Le groupe de travail sur la cybersécurité du Smart Energy Expert Group, qui réunit onze experts dont des représentants de SolarPower Europe et de l’ENTSO-E, a analysé ce risque.

Les experts prennent pour repère les quelque 3 000 MW de réserves de réglage de fréquence de la zone synchrone d’Europe continentale. Une attaque qui piloterait plus de production que ce volume pourrait provoquer des déconnexions simultanées, des congestions de lignes et de transformateurs, et des perturbations de tension. Le rapport ne désigne aucun fabricant comme étant à haut risque.

Les trois risques identifiés

1. Les plateformes cloud des fabricants

Un onduleur connecté envoie ses données vers la plateforme de son fabricant, de son installateur ou d’un prestataire de service. Une faille dans cette plateforme pourrait donner à un attaquant un accès à de nombreux onduleurs à la fois. Ce scénario concerne en premier lieu les installations résidentielles, commerciales et industrielles. Selon PV Europe, un seul système compromis a peu d’impact, mais beaucoup de systèmes réunis pourraient fonctionner comme une immense centrale virtuelle.

2. Les portes dérobées sous influence d’un État

Le deuxième scénario suppose qu’un fabricant, sous l’influence d’un État, introduise volontairement des accès cachés dans ses plateformes, son matériel ou son logiciel interne. Le rapport le juge pertinent pour toutes les catégories d’installations, petites ou grandes. Il relève que la réglementation actuelle traite mal les portes dérobées intentionnelles dans la chaîne d’approvisionnement.

3. Le contournement du pare-feu des grandes centrales

Le troisième risque vise les centrales de grande taille, via les réseaux locaux et les pare-feu d’accès à distance utilisés pour l’exploitation et la maintenance. Il ne vous concerne pas directement, mais il explique pourquoi les experts recommandent de chiffrer et d’authentifier le trafic des onduleurs de ces sites.

Ce que le Cyber Resilience Act change

Le règlement européen sur la cyber-résilience (Cyber Resilience Act) est entré en vigueur le 10 décembre 2024. Depuis le 11 septembre 2026, les fabricants doivent signaler activement les vulnérabilités exploitées. Les principales obligations s’appliqueront à partir du 11 décembre 2027. Le texte impose des exigences de cybersécurité sur la conception, le développement et la maintenance, et il prévoit le marquage CE des produits conformes.

Selon le rapport, ce règlement s’applique déjà aux onduleurs, mais son cadre de vérification actuel ne suffit pas à imposer toutes les protections souhaitées. Les experts proposent une norme européenne harmonisée pour les onduleurs, un classement en produits importants de classe II avec évaluation par un organisme notifié, et des qualifications minimales en cybersécurité pour les professionnels du solaire.

Ce que cela change pour votre installation

Le rapport ne donne aucune consigne aux particuliers. Les gestes ci-dessous relèvent de la prudence courante pour tout appareil connecté. Ils s’appliquent aux onduleurs reliés au Wi-Fi ou à une application mobile. Pour comprendre le rôle de cet appareil, lisez l’article sur l’onduleur solaire.

• Mises à jour. Demandez à l’installateur comment elles arrivent : automatiquement par le fabricant, ou après intervention d’un professionnel. Les experts recommandent, pour les sites professionnels, des mises à jour manuelles contrôlées plutôt qu’automatiques.
• Mot de passe. Remplacez celui fourni à l’installation par un mot de passe long et unique, sur l’application comme sur l’onduleur.
• Wi-Fi. Si votre box le permet, isolez l’onduleur sur un réseau invité, séparé de vos ordinateurs et téléphones.
• Accès à distance de l’installateur. Demandez qui peut se connecter à votre installation, avec quel compte, et comment l’accès se coupe quand l’intervention est terminée.
• Plateforme cloud. Notez le nom de l’hébergeur et le lieu de stockage des données. Le rapport recommande de limiter l’accès à distance depuis l’extérieur de l’Union.

Faut-il débrancher son onduleur d’internet ?

Selon le matériel, la connexion sert surtout à suivre la production et à recevoir des mises à jour ; l’installateur doit confirmer que l’onduleur produit normalement sans elle. Si vous n’avez aucun usage de l’application, la couper réduit la surface d’attaque, au prix de la perte du suivi. Dans ce cas, relevez la production à la main et comparez-la à l’estimation de l’outil de calcul de production pour repérer une panne. Si vous consommez toute votre production, voyez aussi l’article sur l’autoconsommation sans revente.

Pour un remplacement ou une nouvelle installation, trouvez un installateur RGE dans l’annuaire et posez-lui ces questions avant de signer. Le compte rendu complet est lisible sur Now.Solar, et le règlement est présenté sur la page de la Commission européenne consacrée au Cyber Resilience Act.

Cet article vous a-t-il été utile ?

 

Soyez le premier à donner votre avis.