Mon onduleur centralisé étant connecté en permanence au cloud pour optimiser ma consommation, quelles sont les normes de cybersécurité obligatoires en 2026 pour éviter qu’un piratage à distance ne coupe mon électricité ou n’endommage mes appareils ?

Cybersécurité des onduleurs solaires en 2026 : normes obligatoires et bonnes pratiques pour éviter le piratage

Votre onduleur centralisé connecté au cloud est le pivot de votre installation photovoltaïque. Il optimise votre autoconsommation en temps réel, ajuste la charge de vos batteries et dialogue avec le réseau électrique. Mais cette connexion permanente expose votre foyer à des risques numériques concrets : un pirate informatique pourrait, à distance, couper votre production, déséquilibrer votre réseau domestique, voire endommager vos équipements sensibles comme votre pompe à chaleur ou votre borne de recharge pour véhicule électrique. Face à ces menaces, un cadre réglementaire renforcé entre en vigueur en 2026. Cet article détaille les normes obligatoires, les protocoles de sécurité à exiger et les gestes à adopter dès aujourd’hui pour protéger votre installation solaire connectée.

Les risques concrets d’un onduleur connecté non sécurisé

Un onduleur mal protégé n’est pas un simple risque théorique. Plusieurs incidents récents, comme le piratage de parcs solaires ukrainiens en 2022 ou les vulnérabilités découvertes sur des onduleurs grand public, montrent que les attaquants ciblent déjà ces équipements. Les conséquences possibles incluent :

• Coupure de production volontaire : un attaquant peut envoyer une commande d’arrêt d’urgence, vous privant de revenus de revente ou d’autoconsommation.
• Surcharge des batteries : en manipulant les paramètres de charge, le pirate peut détériorer vos batteries lithium-ion, voire provoquer un incendie.
• Déstabilisation du réseau local : en injectant des commandes de puissance erratiques, il peut faire disjoncter votre tableau électrique ou endommager vos appareils électroniques.

Ces scénarios ne sont plus de la science-fiction. La réglementation de 2026 vise précisément à les rendre impossibles.

Les deux piliers réglementaires de 2026 : RED-DA et NIS 2

Deux textes européens majeurs imposent un cadre strict pour les fabricants d’onduleurs et les fournisseurs de services cloud associés.

RED-DA (Radio Equipment Directive – Delegated Act)

Ce règlement, applicable dès février 2025 en première phase, sera renforcé en 2026. Il oblige tout équipement connecté (dont les onduleurs) à respecter des exigences de cybersécurité minimales. Concrètement, cela signifie :

• Signature cryptographique de tout firmware : impossible d’installer une mise à jour non officielle.
• Chiffrement obligatoire des communications entre l’onduleur, le cloud et l’application de pilotage.
• Gestion stricte des accès : authentification forte, journalisation des événements, révocation des certificats compromis.
• Transparence des correctifs : le fabricant doit publier un historique des vulnérabilités corrigées et fournir un mécanisme de rollback sécurisé.

Directive NIS 2 (Network and Information Security)

Transposée en droit français, cette directive impose aux fournisseurs de services cloud solaires (opérateurs de plateformes de monitoring) de :

• Notifier toute intrusion dans un délai de 24 heures.
• Garantir un niveau de résilience élevé contre les attaques par déni de service (DDoS).
• Appliquer le principe de security by design dès la conception de leurs services.

Si vous passez par un installateur ou un gestionnaire de flotte, assurez-vous que son cloud respecte NIS 2. Le site de l’ANSSI détaille les obligations.

Protocoles et chiffrement : TLS 1.3 et AES-256 deviennent la norme

En 2026, le protocole TLS 1.2, jugé vulnérable, sera interdit pour les communications avec les onduleurs. Les fabricants devront implémenter exclusivement TLS 1.3, qui offre :

• Des temps de connexion réduits et un chiffrement plus robuste
• Une protection contre les attaques par downgrade
• Un échange de clés éphémères parfait (Perfect Forward Secrecy)

Par ailleurs, les données en transit devront être chiffrées avec AES-256 (ou équivalent), et les certificats X.509 devront être délivrés par une autorité de certification reconnue. Le standard IEEE 2030.5, utilisé pour les communications avec le gestionnaire de réseau (Enedis en France), sera révisé pour exiger un contrôle d’intégrité des paquets. Sans ce niveau de sécurité, une attaque de type man-in-the-middle pourrait altérer les commandes d’injection ou de prélèvement.

Authentification forte (MFA) et contrôle d’accès renforcé

Le simple mot de passe, même complexe, ne suffit plus. La norme 2026 impose l’authentification multi-facteurs (MFA) pour toute action à distance modifiant les paramètres de l’onduleur :

• Un facteur de connaissance (mot de passe fort, ou mieux, phrase de passe)
• Un facteur de possession (code TOTP via application, clé de sécurité FIDO2, ou SMS validé)
• Dans certains cas, un facteur d’inhérence (reconnaissance biométrique via l’application)

De plus, les sessions « toujours connectées » seront interdites. Une session sur l’interface web ou l’application mobile devra expirer après une période d’inactivité définie (par défaut 15 minutes). En option, la norme encourage la restriction par adresse IP : vous pouvez configurer votre box pour que seul votre réseau local (ou un VLAN dédié) ait accès au cloud de pilotage. Le décret français sur la cybersécurité des objets connectés fournit des recommandations complémentaires.

Mise à jour sécurisée et journalisation infalsifiable

Une mauvaise mise à jour peut être plus dangereuse qu’aucune mise à jour. La norme 2026 impose plusieurs mécanismes :

Signature cryptographique des firmwares

Chaque mise à jour OTA (Over-The-Air) doit être signée avec la clé privée du constructeur. L’onduleur refusera toute installation non signée ou dont la signature ne correspond pas à la version attendue. Cela empêche l’injection de firmware malveillant via un site pirate ou un intermédiaire corrompu.

Rollback garanti

Si une mise à jour provoque un comportement anormal (surchauffe, coupures intempestives, défaut de communication), vous devez pouvoir revenir à la version précédente stable. Le constructeur doit fournir une procédure claire (via l’interface cloud ou un port USB dédié).

Log horodaté et infalsifiable

L’onduleur doit enregistrer chaque événement (connexion, modification de paramètre, mise à jour) avec un horodatage fiable. Ces logs ne doivent pas pouvoir être modifiés a posteriori, même par un administrateur. En cas d’attaque, ils serviront de preuve numérique pour déterminer l’origine et la nature de l’intrusion.

Se préparer dès aujourd’hui : vérifications et bonnes pratiques

En attendant l’entrée en vigueur des normes 2026, vous pouvez agir dès maintenant :

• Vérifiez le protocole de votre onduleur : consultez le manuel ou l’interface de configuration pour savoir s’il supporte TLS 1.3 et AES-256. Si ce n’est pas le cas, contactez le fabricant pour une mise à jour ou prévoyez un remplacement.
• Activez l’authentification multi-facteurs sur l’application de pilotage. Si votre modèle actuel ne le permet pas, exigez une mise à jour ou changez de plateforme.
• Segmentez votre réseau : placez vos équipements solaires (onduleur, batterie, compteur communicant) sur un VLAN ou un sous-réseau dédié, isolé de votre réseau domestique principal (ordinateurs, TV, objets connectés).
• Exigez de votre installateur une attestation de conformité aux futures normes RED-DA et NIS 2. Certains labels comme « Cybersécurité Solaire » (à vérifier) commencent à émerger.
• Suivez les avis de sécurité du fabricant et appliquez les mises à jour dès leur publication. Vérifiez que le processus de rollback est documenté.

Conclusion : anticiper, c’est sécuriser son investissement solaire

Les normes de cybersécurité 2026 pour onduleurs connectés ne sont pas une contrainte administrative : elles constituent votre meilleure barrière contre le piratage à distance. En vérifiant dès maintenant que votre équipement supporte TLS 1.3, le MFA et les mises à jour signées, vous protégez votre production, vos appareils électriques et votre tranquillité. N’attendez pas que les obligations deviennent des sanctions. Un onduleur sécurisé, c’est un système photovoltaïque fiable pour les années à venir.

Ressources utiles :

• ANSSI – Agence nationale de la sécurité des systèmes d’information
• European Commission – Radio Equipment Directive (RED)
• IEC – International Electrotechnical Commission