Photovoltaïque suisse : alerte sécurité autour des onduleurs chinois

En Suisse, environ 338 000 installations photovoltaïques sont actuellement en fonction, fruit d'une croissance constante liée à la transition énergétique. Une nouvelle étude de l'Institut national de test pour la cybersécurité (NTC), pas encore publiée mais consultée par la SRF, signale toutefois une faille jusqu'ici peu prise en compte : les onduleurs, ces appareils qui transforment le courant produit par les panneaux en électricité utilisable par le réseau.

Presque tous les onduleurs restent connectés en permanence à Internet et aux serveurs de leurs fabricants, explique Andreas Leisibach, expert en cybersécurité du NTC. Cette connexion permet un contrôle à distance, utile pour la maintenance, mais aussi exploitable de manière malveillante, par exemple pour éteindre ou manipuler un appareil.

La concentration du marché

Le problème principal mis en évidence par l'étude concerne la concentration du marché. Selon une estimation de l'Office fédéral de l'énergie, environ 100 000 installations photovoltaïques en Suisse sont équipées d'onduleurs chinois, les deux marques Huawei et Sungrow couvrant désormais plus de 60% du marché. Pour Raphael Reischuk, fondateur du NTC, cette concentration représente un risque important : qui contrôle les onduleurs contrôle en réalité l'ensemble de l'installation et le réseau auquel elle est raccordée.

L'arrêt simultané de tous les onduleurs d'un même fabricant, alors qu'ils fonctionnent à pleine puissance, pourrait provoquer de graves perturbations dans le réseau électrique suisse. Reischuk précise qu'un fabricant n'aurait aucun intérêt économique à provoquer un tel événement, mais pourrait y être contraint par un acteur étatique ou par des cybercriminels. Un précédent existe déjà : un fabricant chinois a désactivé à distance plusieurs onduleurs aux États-Unis et dans d'autres pays lors d'un différend commercial, affichant sur les appareils bloqués le message « Not allowed to use » (« utilisation non autorisée »).

La technologie la plus répandue, celle de Huawei, équipe aussi des bâtiments publics, comme une nouvelle installation en cours de réalisation sur le toit d'une école cantonale à Berne. Le directeur de l'entreprise chargée des travaux reconnaît la qualité et le prix compétitif des produits chinois, tout en admettant que le risque systémique lié à leur diffusion massive ne peut être résolu ni par les exploitants seuls, ni par le secteur. Interrogée par la SRF, Sungrow n'a pas répondu, tandis que Huawei a déclaré par écrit que la cybersécurité constitue une priorité absolue et que ses systèmes peuvent aussi fonctionner hors ligne, une option qui, selon les experts interrogés, reste toutefois difficile à appliquer dans la pratique.

Les États-Unis et l'Union européenne prennent déjà des mesures pour limiter l'usage d'onduleurs provenant de pays sous sanctions. Le Service de renseignement de la Confédération a lui aussi signalé ce risque, craignant que la Suisse ne devienne une cible plus facile si la protection des infrastructures critiques s'avérait moins stricte qu'au sein de l'UE. L'association professionnelle Swissolar réclame quant à elle des normes contraignantes en matière de cybersécurité, ainsi qu'un registre central permettant de savoir quelle part de la production électrique pourrait être effectivement contrôlée à distance.