Cybersécurité PV : sécuriser la supervision, pas la couper

il y a 5 heures

3 min de lecture

Ce que dit réellement le BSI

L'Office fédéral allemand de la sécurité informatique (BSI) a publié des recommandations pour les systèmes de contrôle des installations de production, centrales photovoltaïques comprises, quelle que soit leur taille (pv magazine, 19/10/2026).

Le titre largement repris parle de « supprimer l'accès à Internet ». Le BSI ne demande pas de déconnecter la supervision. Il demande qu'aucun équipement ne soit directement joignable depuis Internet, et que les accès à distance passent par un canal sécurisé.

Les quatre recommandations

Le périmètre couvre les automates, équipements de communication, passerelles de supervision, onduleurs, SCADA et plateformes de surveillance à distance.

Supprimer l'exposition directe : pas d'équipement joignable depuis Internet par une IP publique ou une redirection de port.
Accès distant sécurisé : VPN chiffré et authentification multifacteur.
Mises à jour : appliquer les correctifs sur routeurs, pare-feu, automates, onduleurs et passerelles.
Contrôles périodiques : inventaire des équipements connectés, vérification des interfaces exposées, séparation du réseau informatique et du réseau de production.

Ce que cela change pour une installation supervisée

La question n'est pas « connecté ou non », mais « dans quel sens va la connexion ».

Architecture	Fonctionnement	Conformité BSI
Envoi sortant vers un portail	Le datalogger (Solar-Log, par exemple) transmet ses données au portail. Aucun port ouvert en entrée.	En phase avec le BSI
Portail de supervision	Accès protégé par un mot de passe unique et, lorsque le portail la propose, une authentification multifacteur.	À sécuriser
Accès distant via VPN	Routeur industriel avec VPN chiffré et authentification forte pour la maintenance.	Recommandé
Redirection de port / IP publique	L'interface web du datalogger ou de l'onduleur est joignable directement depuis Internet.	À supprimer

Le cas à risque est fréquent sur les parcs anciens : une redirection de port ouverte pour un dépannage, puis jamais refermée, avec le mot de passe d'usine.

Le portail de supervision. Quand le datalogger envoie ses données vers un portail, aucune connexion n'entre sur l'installation. Le portail, lui, est accessible depuis Internet : le risque se déplace de l'équipement vers le compte d'accès. Il faut donc un mot de passe propre à chaque utilisateur, une authentification multifacteur lorsque le portail la propose, et la suppression des comptes devenus inutiles (ancien prestataire, ancien exploitant).

Checklist pour l'exploitant

Lister tous les équipements connectés : datalogger, onduleurs, compteurs, routeur, automates
Vérifier qu'aucune redirection de port ne pointe vers ces équipements
Remplacer les mots de passe d'usine
Mettre à jour le firmware du datalogger, des onduleurs et du routeur
Faire passer la maintenance à distance par un VPN
Activer l'authentification forte sur les portails qui la proposent
Séparer le réseau de l'installation du réseau bureautique
Programmer une vérification annuelle

Ce que propose Sundays Data

Sundays Data accompagne la supervision photovoltaïque depuis 2009, avec plus de 900 installations suivies dans 12 pays. Nous proposons trois interventions alignées sur les recommandations du BSI :

Audit d'exposition : audit réalisé en ligne, à distance. Inventaire des équipements, recherche des redirections de port et des mots de passe par défaut, rapport avec actions correctives.
Accès distant sécurisé : aide à la mise en place d'un accès distant sécurisé, avec routeurs industriels Teltonika (partenaire depuis 2016), VPN et pare-feu configurés.
Firmwares à disposition : mise à disposition des firmwares pour les dataloggers Solar-Log et les équipements de communication.

Ces recommandations ne sont pas obligatoires en France. Elles constituent cependant une référence technique claire pour les exploitants.