Twój falownik może stać się bronią w cudzych rękach. Unijni eksperci ostrzegają przed cyberatakami na instalacje PV

Gdy panele słoneczne stają się furtką dla przestępców

Właściciel domowej instalacji fotowoltaicznej rzadko zastanawia się nad tym, że jego falownik jest w istocie komputerem podłączonym do internetu, zdalnie zarządzanym przez aplikację producenta. Tymczasem to właśnie ten element systemu stał się obiektem szczególnej uwagi specjalistów od cyberbezpieczeństwa. Powód jest prosty: liczba takich urządzeń rośnie lawinowo. Moc zainstalowana fotowoltaiki w Unii Europejskiej zwiększyła się z 86 GW w 2015 roku do ponad 406 GW obecnie, a do 2030 roku ma sięgnąć blisko 718 GW. Każda nowa instalacja podłączona do sieci to potencjalny punkt wejścia dla cyberprzestępców chcących zakłócić pracę systemu energetycznego.

Co ustalili eksperci Komisji Europejskiej

Grupa Ekspertów ds. Inteligentnej Energii, funkcjonująca przy Komisji Europejskiej, przygotowała raport poświęcony zagrożeniom cyfrowym w sektorze fotowoltaiki. Nad dokumentem pracowało jedenastu specjalistów z takich organizacji jak SolarPower Europe, ENTSO-E, Eurelectric, niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji oraz Europejska Rada Producentów Fotowoltaiki. Mimo że raport nie stanowi oficjalnego stanowiska Komisji, a jedynie ekspercką ocenę, jego wnioski trudno zbagatelizować.

Zdaniem autorów sprawa wymaga pilnej reakcji z kilku względów jednocześnie: w istniejących systemach wykryto liczne i poważne luki bezpieczeństwa, sytuacja geopolityczna na świecie staje się coraz bardziej napięta, a Europa wciąż w dużej mierze opiera się na sprzęcie sprowadzanym z Chin.

Jak podzielono instalacje i skąd grozi atak

Dla potrzeb analizy eksperci pogrupowali instalacje PV według mocy na cztery kategorie: mikroinstalacje typu plug-in poniżej 0,8 kW, domowe systemy dachowe o mocy 0,8-10 kW, instalacje komercyjne i przemysłowe w przedziale 10 kW-1 MW oraz duże farmy fotowoltaiczne powyżej 1 MW. Dla każdej z tych grup przeanalizowano osobno możliwe drogi ataku - między innymi za pośrednictwem chmurowych platform producentów, poprzez firmy instalatorskie i serwisowe oraz przez celowo zaprojektowane backdoory, czyli ukryte furtki dostępu wbudowane w sprzęt lub oprogramowanie.

Z przeprowadzonej oceny wynika, że ataki realizowane przez agregatorów energii niosą relatywnie niewielkie ryzyko niezależnie od segmentu rynku. Dużo poważniej eksperci oceniają trzy inne scenariusze, które mogą dotknąć różne typy instalacji.

Co to oznacza w praktyce - trzy scenariusze wysokiego ryzyka

• Ataki przez platformy producenckie - najbardziej narażone są instalacje przydomowe oraz komercyjno-przemysłowe. Znalezione w nich luki okazały się na tyle proste do wykorzystania, że stanowią realne zagrożenie.
• Celowe backdoory producenckie - ukryta furtka dostępu może zostać umieszczona przez producenta na zlecenie obcego państwa, w panelu zarządzającym, w firmware falownika lub nawet w samym sprzęcie. Raport zwraca uwagę na tzw. architekturę dzieloną, w której interfejs monitoringu jest formalnie hostowany w UE, ale kluczowe elementy - aktualizacje, firmware, kanały sterowania - pozostają poza unijną jurysdykcją i poza realną kontrolą.
• Ataki z sieci lokalnej na duże farmy PV - instalacje powyżej 1 MW są narażone na przejęcie zdalnego dostępu przez luki w zaporach sieciowych i koncentratorach VPN, co mogłoby zagrozić infrastrukturze krytycznej.

Jakie środki ochrony proponują specjaliści

Autorzy raportu wskazują konkretne działania, które mogłyby ograniczyć ryzyko. Wśród nich znajdują się:

• systematyczne wykrywanie i łatanie podatności na platformach producenckich,
• pełna dokumentacja interfejsów komunikacyjnych falowników oraz tworzenie list dozwolonych połączeń,
• blokowanie niechcianych usług przychodzących i ograniczanie łączności wyłącznie do serwerów zlokalizowanych w UE lub w krajach o porównywalnym poziomie ochrony danych,
• ograniczenie udziału dostawców wysokiego ryzyka na podstawie kryteriów wypracowanych w ramach nowego unijnego aktu o cyberbezpieczeństwie,
• rezygnacja z automatycznych aktualizacji w instalacjach komercyjno-przemysłowych i wielkoskalowych na rzecz wdrożeń kontrolowanych przez wykwalifikowanych serwisantów, poprzedzonych testami,
• stosowanie zasady bezpieczeństwa projektowanego od podstaw (security by design) - między innymi unikalnych haseł fabrycznych i domyślnego zamykania zbędnych portów.

Dlaczego obecne prawo nie wystarcza

Eksperci sprawdzili też, czy obowiązujące regulacje pozwalają skutecznie wyegzekwować proponowane zabezpieczenia - i wskazali liczne luki. Akt o cyberodporności formalnie obejmuje wszystkie falowniki, jednak to sami producenci oceniają zgodność swoich produktów z wymogami, a przepisy wejdą w życie dopiero w grudniu 2027 roku, nie obejmując przy tym sprzętu już zainstalowanego. W ocenie autorów raportu konieczne jest opracowanie zharmonizowanej normy dla falowników oraz przeniesienie ich do bardziej restrykcyjnej kategorii produktów, co wymusiłoby niezależną certyfikację bezpieczeństwa.

Za najpoważniejszy brak legislacyjny uznano jednak kwestię celowych backdoorów umieszczanych przez producentów. Zdaniem ekspertów nowe regulacje - Cybersecurity Act oraz Industrial Accelerator Act - powinny umożliwiać skuteczne wykluczanie dostawców wysokiego ryzyka, i to nie tylko w przypadku dużych instalacji, lecz także sprzedaży konsumenckiej, obejmującej nawet najmniejsze urządzenia typu plug-in.

To już się wydarzyło - przykłady z Polski i Niemiec

Opisane zagrożenia nie są czysto teoretyczne. W grudniu 2025 roku Polska odnotowała realny cyberatak wymierzony w instalacje OZE, dwie elektrociepłownie oraz zakład przemysłowy. Napastnicy zaatakowali co najmniej trzydzieści farm fotowoltaicznych i wiatrowych w okresie świątecznym, gdy kraj zmagał się z mrozem i trudnymi warunkami pogodowymi. Udało im się zerwać komunikację pomiędzy jednostkami wytwórczymi a operatorami systemów dystrybucyjnych, choć na szczęście nie wpłynęło to na bieżącą produkcję energii.

Jeszcze poważniejsza sytuacja omal nie wydarzyła się w Niemczech, gdzie haker uzyskał dostęp do systemu administracyjnego dużego producenta falowników. Teoretycznie mógł zdalnie wyłączyć 250 tysięcy instalacji na terenie Niemiec oraz 450 tysięcy w całej Europie - bez konieczności znajomości jakiegokolwiek hasła. Do poważnego kryzysu energetycznego nie doszło wyłącznie dlatego, że lukę odkrył tzw. etyczny haker, czyli specjalista zgłaszający podatności zamiast je wykorzystywać.

Oba przypadki pokazują, że cyberbezpieczeństwo fotowoltaiki przestaje być abstrakcyjnym zagadnieniem technicznym, a staje się realnym elementem bezpieczeństwa energetycznego całego kontynentu. W miarę wzrostu udziału OZE w europejskim miksie energetycznym kwestia ochrony tej infrastruktury przed cyberatakami będzie zyskiwać na znaczeniu - zarówno dla operatorów sieci, jak i dla zwykłych właścicieli domowych instalacji, którzy powinni traktować aktualizacje i zabezpieczenia swojego falownika równie poważnie jak zabezpieczenia domowego routera.