Aux Pays-Bas, une mise à jour défaillante ou un piratage pourrait compromettre des milliers d’appareils domestiques et mettre en péril le réseau électrique.

Préoccupations croissantes sur la cybersécurité aux Pays-Bas

Avec l’augmentation du nombre de foyers néerlandais qui installent des dispositifs comme des batteries domestiques, des chargeurs pour véhicules électriques, des pompes à chaleur et des inverters solaires, les régulateurs s’inquiètent des risques potentiels liés au piratage ou aux mises à jour logicielles défaillantes. Ces inquiétudes alimentent des demandes pour mettre en place des certifications appropriées.

État des lieux

D’après un rapport de PV Magazine, le bureau d’inspection des infrastructures numériques des Pays-Bas, connu sous le nom de Rijksinspectie Digitale Infrastructuur, souligne que la législation européenne sur la cybersécurité manque encore de sections essentielles pour encadrer les entreprises qui pilotent à distance un grand nombre de dispositifs énergétiques dans les foyers.

Dans son document de position, l’inspection a souligné que le véritable danger ne réside pas uniquement dans un chargeur ou une pompe à chaleur isolés, mais plutôt dans les systèmes cloud et les systèmes de gestion qui contrôlent de nombreuses unités à la fois.

Elle a cité des études de SolarPower Europe, notant que le réseau électrique pourrait être fragilisé par un écart d’offre et de demande soudain supérieur à 3 gigawatts. Depuis 2019, on constate une multiplication par cinq des installations de pompes à chaleur et de chargeurs de véhicules électriques aux Pays-Bas.

Risques de perturbation

Le régulateur a décrit plusieurs scénarios dans lesquels une perturbation massive pourrait survenir simultanément. Tout d’abord, une entreprise ayant un accès à distance pourrait déployer une mauvaise configuration ou une mise à jour non fiable. Ensuite, des attaquants pourraient réussir à pénétrer les dispositifs ou les systèmes qui les régissent. Enfin, un État pourrait exercer des pressions sur les fabricants et les prestataires de services présents sur son territoire.

Les dispositifs conçus pour réduire les factures et diminuer la pollution doivent également être sécurisés et fiables. À défaut, les risques cybernétiques et les pannes pourraient nuire à la confiance du public dans la transition vers l’électrification.

Contexte actuel

À l’heure actuelle, le Règlement sur la cyber-résilience de l’UE impose des obligations générales de cybersécurité pour ces produits, permet aux fabricants d’effectuer une auto-évaluation de leur conformité et s’appliquera aux produits mis sur le marché de l’UE seulement à partir du 11 décembre 2027.

Le cadre NIS2, qui repose principalement sur la taille des entreprises et non sur leur capacité à diriger des systèmes à distance, laisse souvent de côté les petits opérateurs, sauf si une autorité nationale les désigne spécifiquement.

Les fabricants et entreprises d’énergie situés hors de l’UE, qui n’ont pas d’établissements au sein de l’Union, sont également en grande partie exclus des règles. La future Code des réseaux sur la cybersécurité n’a toujours pas apporté de solutions à ces défis. Même sur sa liste provisoire d’entités couvertes, les fabricants et les gestionnaires de systèmes énergétiques sont toujours absents.

Cet état de fait est particulièrement préoccupant. Alors que les foyers continuent de connecter des dispositifs énergétiques à Internet dans le cadre de la transition vers des sources d’énergie plus durables, ces outils risquent de s’avérer plus vulnérables en pratique si leur sécurité n’est pas garantie.

Mesures proposées

Face à ces défis, l’inspection néerlandaise a suggéré plusieurs remèdes.

Premièrement, il est recommandé d’établir des normes au niveau de l’UE spécifiquement pour ces produits et d’ajouter davantage de technologies énergétiques domestiques à la liste des classes II importantes du Règlement sur la cyber-résilience, de manière à garantir une évaluation indépendante avant leur mise en vente dans l’Union européenne.

Ensuite, il souhaite que la couverture du NIS2 soit déterminée en fonction de la capacité à contrôler à distance d’une entreprise, surtout lorsque cela représente un risque pour la stabilité du réseau, et non pas en tenant compte de la taille ou d’origine de l’entreprise.

Une autre proposition consiste à renforcer l’autonomie numérique du réseau en dépendant moins des entreprises non européennes pouvant contrôler un grand nombre de dispositifs.

Dans un rapport publié en octobre, un groupe d’experts de la Commission européenne a indiqué que les inverters solaires devraient figurer dans la catégorie importante II du CRA et faire l’objet de restrictions concernant les fournisseurs à haut risque, tandis que les chargeurs de véhicules électriques, les pompes à chaleur et les systèmes de stockage d’énergie pourraient être révisés plus tard.

Lors d’un forum sur la cybersécurité à Bruxelles le 8 octobre, le European Network for Cyber Security a démontré qu’un seul dispositif de domotique compromis pourrait permettre à un attaquant de donner des instructions à un inverter résidentiel ou à une batterie domestique sur le même réseau.

Des chercheurs de Modat et du Centre national de cybersécurité néerlandais ont également révélé lors de la ONE Conference à La Haye que 8 547 systèmes de sites solaires et éoliens européens étaient exposés en ligne alors qu’ils n’étaient pas destinés à un accès public.

Selon Isabel van der Leij, responsable de la résilience numérique de l’inspection pour le secteur de l’énergie, « les dispositifs rendent le système électrique plus intelligent et durable, mais introduisent de nouveaux risques qui nécessitent à la fois des appareils sécurisés et une résilience au sein du système énergétique dans son ensemble. »

Recevez la newsletter gratuite de TCD pour des conseils pratiques, des astuces intelligentes et la possibilité de gagner 5 000 $ pour des rénovations domiciliaires. Pour voir d’autres histoires comme celle-ci, changez vos préférences Google ici.