zum Inhalt springen

    Retour à l'aperçu

    Cybersécurité des installations photovoltaïques

    Tags:

    Des installations photovoltaïques d’importance systémique: analyse approfondie de la cybersécurité assortie de recommandations concrètes

    Une analyse approfondie de l’Institut national de test pour la cybersécurité NTC montre que le parc croissant d’installations photovoltaïques en Suisse représente une surface d’attaque sous-estimée pour le réseau électrique. Sept onduleurs et quatre systèmes de gestion de l’énergie de huit fabricants ont été testés, soit des appareils tels qu’on en trouve dans des milliers de foyers suisses. Plus de 50 constats ont été identifiés, dont sept critiques et six élevés. Les constats ont été communiqués de manière confidentielle aux fabricants. La plupart ont réagi rapidement, tandis que la correction des vulnérabilités est encore en cours pour certains produits.

    Un schéma réel observé au cours de l’analyse montre à quel point ce risque est concret : sur presque tous les onduleurs testés, l’interface de commande locale permettait, sans authentification, de modifier la puissance injectée par l’installation, jusqu’à la ramener à zéro. Pris isolément, cela ne concerne qu’une seule installation. Toutefois, si un attaquant prend le contrôle du cloud d’un fabricant, il peut déclencher la même manipulation simultanément sur des milliers d’installations raccordées. Une installation solaire individuelle sur le toit d’une habitation est insignifiante pour le réseau électrique, mais le parc dans son ensemble constitue une infrastructure critique.

    Il en résulte un changement dangereux: ce qui nécessitait autrefois un accès physique à une centrale électrique est aujourd’hui possible par l’intermédiaire d’un accès à distance centralisé. Le principal risque ne peut pas être éliminé uniquement en améliorant la sécurité des produits : il résulte du raccordement de milliers d’installations aux clouds d’un petit nombre de fabricants.

    Résultats de l’analyse de sécurité et principaux schémas de risque

    Afin d’évaluer le niveau de sécurité des technologies photovoltaïques répandues en Suisse, le NTC a soumis, sur une période d’environ un an, onze produits numériques de huit fabricants à une analyse technique de sécurité approfondie: sept onduleurs et quatre systèmes de gestion de l’énergie.

    Au total, les tests ont donné lieu à plus de 50 constats, dont sept critiques et six autres élevés. Cinq des onze produits présentaient au moins un constat élevé ou critique et, pour quatre produits, le NTC a obtenu le contrôle complet de l’appareil. Le rapport public renonce délibérément aux noms des produits et aux détails techniques. Il décrit à la place des schémas de risque typiques:

      • des lacunes dans l’authentification et le contrôle d’accès, par exemple des mots de passe par défaut
      • des accès de maintenance non sécurisés, par exemple avec des identifiants identiques pour l’ensemble du parc d’appareils
      • un chiffrement absent ou insuffisant de la communication via les interfaces locales
      • des interfaces qui ne peuvent pas être désactivées

      Le niveau de sécurité des différents produits ne diffère pas sensiblement de celui d’autres appareils connectés largement répandus. Le risque réel pour le réseau électrique suisse ne réside pas dans un appareil individuel, mais dans la dépendance à l’égard d’un petit nombre de fabricants: leurs infrastructures cloud permettent de commander les installations et de leur fournir le micrologiciel, et la plupart des fabricants conservent un accès de maintenance privilégié à l’ensemble du parc d’appareils.

      2026-pv-2

      Recommandations pour réduire les risques

      Le rapport en déduit des recommandations pour cinq groupes de destinataires:

      Exploitantes et exploitants de petites installations: choisir un prestataire établi et lui confier l’exploitation technique

      Exploitants d’installations plus grandes: inventorier et segmenter le parc d’installations et régler contractuellement les accès des fabricants

      Entreprises d’installation: utiliser des identifiants individuels et séparer l’installation du reste du réseau

      Fabricants: faire de la sécurité un principe de conception, notamment au moyen d’un verrouillage en usine de la commande à distance des fonctions pertinentes pour le réseau qui ne puisse être levé que sur place

      Monde politique et autorités: définir des exigences minimales pour la mise sur le marché et désigner l’entité responsable du risque lié aux petites installations

      Il n’existe pas de solution simple et complète; toutes les approches présentent des avantages et des inconvénients, et des risques résiduels subsistent. Le rapport ne se veut pas un argument contre le photovoltaïque, mais une base pour assurer son développement en toute sécurité.

      L’étude a été menée à l’initiative de l’Institut national de test pour la cybersécurité NTC, qui a fourni l’équipe de test et une part substantielle des moyens financiers. Elle a bénéficié du soutien de plusieurs organisations, principalement issues du secteur de l’énergie, ainsi que de SuisseEnergie, que le NTC remercie pour leur contribution. Afin de garantir l’indépendance des résultats, les fabricants des produits testés n’ont participé ni à leur sélection ni à la réalisation des tests et n’ont été contactés que dans le cadre du signalement confidentiel des vulnérabilités.

      Le rapport de synthèse est disponible en allemand, en anglais, en français et en italien.
       
      Observation des médias

      Le rapport sur la cybersécurité des installations photovoltaïques a fait l'objet de nombreux articles de presse. Voici une liste non exhaustive d'articles parus à ce sujet: