Votre onduleur ou votre batterie est-il un risque de cybersécurité ?

Oui : la cybersécurité de l'onduleur est un vrai risque, car onduleur et batterie sont reliés à un portail, une application et souvent à l'installateur. Sachez qui a accès, limitez les droits, gardez les appareils hors du réseau du bureau et tenez le firmware à jour. Notre gestion intelligente des batteries vous laisse décider qui y accède.

Panneaux et batterie fonctionnent, le gérant suit tout sur une application, l'installateur a gardé un compte depuis le démarrage. Puis votre prestataire informatique demande un inventaire NIS2, ou vous lisez que des onduleurs peuvent être coupés depuis l'étranger.

Personne ne sait qui peut se connecter. Pourtant l'accès à distance n'est pas l'ennemi : à Kapellen, le propriétaire reçoit une alarme sur son GSM quand la batterie est pleine.

Pourquoi un onduleur ou une batterie est-il un risque de cybersécurité pour une entreprise ?

Dès qu'il est joignable par un réseau, quelqu'un d'autre que vous peut le lire ou lui envoyer des ordres. On parle ici de l'onduleur solaire ou hybride, pas de l'onduleur informatique (UPS). Il dialogue avec un contrôleur, le contrôleur avec un portail dans le cloud, et le portail avec des applications sur plusieurs smartphones.

Fluvius, le gestionnaire de réseau flamand, cite quatre risques pour les installations solaires. Un pirate peut voler des données, comme vos chiffres de production, ou couper l'onduleur et perturber la production. Une installation piratée peut servir de tremplin vers d'autres systèmes du même réseau.

Le dommage financier va de la production perdue jusqu'aux dégâts à l'installation. Une batterie coupée ou mal réglée à distance n'est pas là quand le réseau tombe. Une ligne de production alimentée par le solaire s'arrête alors avec elle.

Un dongle Wi-Fi mal protégé, branché sur le même réseau que les PC de la comptabilité, est une porte dérobée vers le réseau du bureau.

Selon un rapport de SolarPower Europe d'avril 2025, plus d'une dizaine de fabricants contrôlent nettement plus de 3 GW de puissance solaire installée. Une attaque ciblée sur 3 GW pourrait avoir des conséquences importantes pour le réseau électrique européen.

En décembre 2025, selon PV Tech, la doctrine de sécurité économique de l'UE a classé les onduleurs solaires comme une dépendance à haut risque. Une raison : une seule mise à jour logicielle peut toucher des millions de systèmes à la fois.

Piratage d'onduleurs : que s'est-il réellement passé ?

Le cas le plus clair en Europe est la Pologne. Le 29 décembre 2025, des attaquants y ont frappé 30 installations éoliennes et solaires et une grande centrale de cogénération. CERT Polska, l'équipe nationale de réponse aux incidents, parle de la première attaque contre le secteur énergétique polonais au but purement destructeur.

Les attaquants ont endommagé le firmware de contrôleurs, supprimé des fichiers système ou lancé un logiciel d'effacement (wiper). La production a continué, selon CERT Polska, mais la communication avec les gestionnaires de réseau et le pilotage à distance des sites étaient coupés.

Un rapport de suivi d'août 2026 décrit une nouvelle voie d'attaque : un réseau mobile privé (APN) mal configuré qui donnait accès au réseau opérationnel. CERT Polska estime cette configuration courante, en Pologne comme ailleurs.

En mai 2025, Reuters a rapporté, selon deux sources anonymes, des composants de communication non documentés. Ils se trouvaient dans certains onduleurs et batteries de fournisseurs chinois.

Des laboratoires du département américain de l'Énergie ont ensuite analysé une trentaine d'onduleurs. Dans deux cas, la communication différait de la documentation, jugés non malveillants et non intentionnels. Le vrai risque n'est pas une puce espionne, mais un compte, un mot de passe ou un accès réseau que personne ne gère.

Qui peut couper votre onduleur ou votre batterie à distance ?

Toute personne avec assez de droits sur un compte, ou un accès réseau à l'appareil, peut en principe modifier les réglages ou le couper. Pour une installation d'entreprise, la liste est plus longue que ce que pensent la plupart des propriétaires.

• Vous et votre personnel, via l'application ou le portail.
• L'installateur, qui garde souvent un compte après le démarrage pour dépanner.
• Le fabricant, quand une fonction d'assistance à distance est activée.
• Votre gestion d'énergie ou un tiers que vous laissez piloter le système, par exemple pour un contrat dynamique ou pour limiter l'injection.
• Toute personne sur le même réseau local, si l'appareil accepte des ordres sans mot de passe.

Couper à distance est souvent voulu : arrêter l'injection quand les prix sont négatifs, ou la limiter quand le réseau le demande. Notre article sur la limitation de l'injection de vos panneaux solaires explique quand cela compte. Un système de gestion d'énergie en entreprise pilote la batterie toute la journée.

La question est donc qui peut envoyer des ordres à distance, et si vous le savez. Les bons systèmes séparent la consultation du pilotage. Dans le portail VRM de Victron, vous invitez chaque utilisateur et décidez s'il reçoit le contrôle total.

Sur le contrôleur GX, le niveau d'accès « User » évite les modifications accidentelles. L'accès d'assistance à distance des techniciens Victron peut être activé ou désactivé.

Vos panneaux solaires ou votre batterie vous font-ils entrer dans NIS2 ?

C'est possible. Pour le Centre pour la Cybersécurité Belgique (CCB), une organisation avec des panneaux solaires raccordés au réseau est un producteur d'électricité. Les producteurs sont dans le secteur de l'énergie de NIS2.

La loi belge NIS2 du 26 avril 2024 s'applique depuis le 18 octobre 2024. Elle vise des types d'organisations énumérés, au moins de taille moyenne. En général : 50 travailleurs ou plus, ou un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros.

L'Union des Villes et Communes de Wallonie (UVCW) a résumé la réponse du CCB tirée de sa FAQ de mars 2026. C'est le raccordement au réseau qui décide, pas le fait d'injecter réellement.

Source : UVCW, sur la base de la FAQ du CCB (version de mars 2026). En mai 2026, l'UVCW a ajouté que le CCB ne voit aucune marge juridique pour exempter les petits producteurs. La question est encore discutée au niveau européen.

Pour ces producteurs, le CCB admet que le niveau « Basic » de son cadre CyberFundamentals peut suffire, vu l'impact limité d'une petite production. Les obligations restent : s'enregistrer auprès du CCB, notifier les incidents significatifs et prendre des mesures de sécurité.

L'article 30 de la loi liste ces mesures. On y trouve la sécurité de la chaîne d'approvisionnement avec vos fournisseurs directs, une politique d'accès et, si approprié, l'authentification multifacteur. Selon l'article 31, l'organe de direction approuve les mesures et répond des manquements.

Deux autres types du secteur de l'énergie peuvent concerner une entreprise avec une batterie ou des bornes. D'abord les acteurs qui fournissent des services d'agrégation, de participation active de la demande ou de stockage d'énergie. Ensuite les exploitants de points de recharge pour utilisateurs finaux.

Que changent les nouvelles règles européennes pour les onduleurs et les batteries ?

Les nouvelles règles rendent les fabricants responsables d'une sécurité de base, mais seulement pour les produits vendus à partir de maintenant. Votre installation existante reste telle quelle.

• Depuis août 2025, les règles de cybersécurité de la directive sur les équipements radioélectriques (règlement délégué 2022/30) visent certains appareils sans fil connectés à Internet, comme les modules Wi-Fi ou mobiles de nombreux onduleurs. Objectif : une meilleure cybersécurité, la protection des données personnelles et de la vie privée.
• Le Cyber Resilience Act est entré en vigueur le 10 décembre 2024. Les fabricants doivent signaler les vulnérabilités à partir du 11 septembre 2026. Les obligations principales s'appliquent à partir du 11 décembre 2027 : sécurité dès la conception, le développement et la maintenance des produits connectés, et gestion des vulnérabilités pendant toute leur durée de vie.
• D'autres mesures peuvent suivre. En janvier 2026, selon Solar Magazine, la Commission européenne a proposé un Cybersecurity Act révisé : les États membres devraient rompre avec les fournisseurs TIC à haut risque de pays tiers dans des secteurs critiques comme l'énergie. En Lituanie, les gestionnaires de réseau peuvent déjà déconnecter les centrales solaires de plus de 100 kW qui ne respectent pas ses règles de cybersécurité.

Comment sécuriser l'accès à distance à un onduleur ou une batterie ?

Sécurisez l'accès, pas seulement l'appareil : connaissez chaque compte, donnez des droits minimaux, séparez le réseau et tenez le firmware à jour. Sept étapes couvrent l'essentiel du risque.

Faut-il simplement déconnecter votre onduleur d'Internet ? Pour la plupart des entreprises, non : personne ne surveille un système déconnecté. Pas d'alarme quand la batterie tombe en panne, pas de mise à jour du firmware, et l'installateur ne peut pas regarder avant de se déplacer.

La voie du milieu : un système Victron se suit et se pilote en local sur votre réseau, et via l'application et le portail VRM. Vous limitez ainsi ce qui sort vers Internet, sans travailler à l'aveugle.

Quelles questions de cybersécurité poser à votre installateur ?

Posez ces questions avant de signer, puis à nouveau à la réception. Les réponses vont dans votre dossier, et pour une organisation NIS2 dans le registre de votre chaîne d'approvisionnement.

Vous comparez plusieurs offres ? Notre article sur le devis d'une batterie d'entreprise liste les autres questions à poser. Celui sur l'onduleur dont une entreprise a besoin explique les appareils eux-mêmes.