Le cloud des fabricants, maillon faible du photovoltaïque suisse

Les installations photovoltaïques sont généralement connectées aux serveurs de leurs fabricants. En cas d’attaque contre ces derniers, ou s’ils y étaient contraints, les fabricants pourraient désactiver les installations à distance. Le photovoltaïque étant devenu d’importance systémique pour l’approvisionnement électrique de la Suisse, cette situation représente un risque considérable, révèle une étude de l’Institut national de test pour la cybersécurité (NTC).

Les panneaux solaires présentent un risque d’importance systémique pour l’approvisionnement électrique de la Suisse. (Source: Soren H / Unsplash.com)

Les panneaux solaires présentent un risque d’importance systémique pour l’approvisionnement électrique de la Suisse. (Source: Soren H / Unsplash.com)

Les installations photovoltaïques sont largement répandues en Suisse et jouent désormais un rôle d’importance systémique dans l’approvisionnement électrique du pays. Leur connexion aux serveurs des fabricants, qui permet de les désactiver à distance, représente désormais un risque considérable pour l’approvisionnement en électricité. Selon une étude de l’Institut national de test pour la cybersécurité (NTC), plusieurs scénarios pourraient ainsi provoquer des coupures de courant importantes.

A fin 2025, 338'000 installations photovoltaïques étaient installées en Suisse, selon le NTC. Ensemble, elles développent une puissance de pointe de 9,5 gigawatts. Avec une production annuelle de 8 térawattheures (TWh), le photovoltaïque couvre environ 13,7% de la consommation finale d’électricité en Suisse. Une part considérable, comparable à la production de la centrale nucléaire de Gösgen. Les objectifs intermédiaires du Conseil fédéral prévoient de porter la production photovoltaïque à 18,7 TWh d’ici 2030. Comme une grande partie des installations photovoltaïques est exploitée par des particuliers, cette part importante de la production électrique ne ferait pas l’objet d’une surveillance répondant à des normes de sécurité élevées.

Les panneaux solaires des installations photovoltaïques produisent d’abord du courant continu. Pour pouvoir être injecté dans le réseau électrique suisse, celui-ci doit être converti en courant alternatif. Cette conversion s’effectue dans l’onduleur, qui intègre généralement aussi un module de communication. Celui-ci est à son tour connecté à Internet ainsi qu’au cloud du fabricant via un système de gestion de l’énergie.

Des fabricants chinois aux commandes

Sur presque tous les onduleurs, le fabricant peut, via l’interface de commande et sans authentification, réguler la quantité de puissance injectée par l’installation, jusqu’à pouvoir de fait la désactiver. Une manipulation simultanée d’un grand nombre d’installations pourrait compromettre la stabilité du réseau électrique suisse. Selon l’étude, la protection par mot de passe de l’accès aux systèmes de commande laisse elle aussi souvent à désirer. Des cas de mots de passe publiés sur Internet ont déjà été recensés et de nombreuses installations ne disposeraient pas non plus de mots de passe individualisés.

Le risque pour l’approvisionnement électrique ne résulte toutefois pas des appareils pris individuellement, mais du fait qu’ils proviennent d’un nombre limité de fabricants. En 2025, 80% des installations mises en place provenaient des quatre principaux fournisseurs Huawei, Fronius, Sungrow et SolarEdge.

Les fabricants n’auraient certes aucun intérêt économique à désactiver simultanément leurs appareils. Ils pourraient toutefois y être contraints par des acteurs étatiques ou par des cybercriminels exerçant un chantage à leur encontre, précise Raphael Reischuk, cofondateur du NTC, à la RTS.

A cela s’ajoute le fait que neuf des dix plus grands fabricants mondiaux d’onduleurs, dont Huawei et Sungrow, sont chinois. Plusieurs autorités nationales chargées de la sécurité ont déjà fait part de leurs préoccupations à ce sujet et qualifié cette situation de risque stratégique. La Chine rejette clairement l’accusation selon laquelle elle pourrait utiliser l’énergie comme moyen de pression.

Les installations privées échappent aux réglementations

La Suisse dispose déjà de différentes réglementations imposant des niveaux de protection variables selon la puissance d’une installation. Mais pratiquement toutes les installations photovoltaïques suisses échappent à ces niveaux de protection, car leur puissance individuelle est trop faible. L’Union européenne et les Etats-Unis travaillent à des mesures supplémentaires. L’UE, par exemple, ne soutient plus par des fonds d’encouragement les projets équipés d’onduleurs chinois.

L’étude appelle à renforcer les contrôles de cybersécurité des installations photovoltaïques, tout en soulignant qu’il faut continuer à les encourager et qu’elle ne préconise pas d’en réduire le nombre. Les exploitants de petites installations devraient s’assurer que des mots de passe individuels ont été définis et que leur installation n’est pas directement accessible depuis Internet.

L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi! 

Webcode

qWveiBYg