NIS-2 : quelles sont les implications de la nouvelle directive européenne sur la cybersécurité pour les systèmes photovoltaïques et de stockage ?

La directive NIS-2 est une directive européenne qui définit des normes minimales contraignantes en matière de cybersécurité. Elle vise à instaurer un niveau de sécurité élevé et uniforme dans tous les États membres et remplace la directive NIS initiale de 2016. Elle concerne les moyennes et grandes entreprises de 18 secteurs au total, dont l'énergie, l'eau, les transports, la santé, l'administration publique et divers services numériques.

Non. Les exploitants privés d'installations photovoltaïques situées sur des bâtiments résidentiels ne sont pas considérés comme des entités soumises à la directive NIS 2. Ils en tirent toutefois un avantage indirect, dans la mesure où les fabricants, les fournisseurs d'énergie et les opérateurs de plateformes doivent se conformer à des exigences de sécurité plus strictes – par exemple grâce à des portails cloud sécurisés, à des communications cryptées et à des mises à jour de sécurité régulières.

Sont généralement considérées comme des « entités importantes » les entreprises comptant au moins 50 salariés ou dont le chiffre d'affaires annuel ou le total du bilan dépasse 10 millions d'euros, si elles exercent leurs activités dans l'un des secteurs visés par la directive NIS 2. Les « entités particulièrement importantes » comptent au moins 250 salariés ou affichent des indicateurs financiers nettement plus élevés. Dans le secteur de l’énergie, cela peut concerner, par exemple, les services municipaux, les exploitants de grandes installations photovoltaïques et de systèmes de stockage, ou encore les prestataires de services énergétiques. Les autorités chargées de la sécurité, telles que le BSI, apportent leur aide pour la classification.

Les entreprises directement concernées doivent mettre en place un système de gestion de la sécurité de l'information (par exemple selon la norme ISO 27001 et, le cas échéant, la norme CEI 62443), évaluer régulièrement les risques et mettre en œuvre des mesures de protection tant techniques qu'organisationnelles. Elles doivent disposer de processus de détection des attaques, de responsabilités clairement définies et de procédures de signalement bien établies pour les incidents de sécurité, qui doivent être signalés dans les plus brefs délais aux autorités compétentes. La direction assume expressément la responsabilité de la mise en œuvre de ces exigences.

Les petites entreprises ne dépassent souvent pas les seuils formels et ne sont donc pas directement soumises à la directive NIS-2. Elles peuvent néanmoins être concernées par le biais de la chaîne d'approvisionnement : les clients soumis à la directive NIS-2 intégreront des exigences de sécurité dans leurs appels d'offres et leurs contrats. Dans ce cas, des justificatifs concernant, par exemple, l’hygiène informatique, la gestion des correctifs, les politiques d’accès et de sauvegarde, ou encore des certifications telles que l’ISO 27001 ou la norme CEI 62443 seront exigés.

Il peut arriver que de petites entreprises d’installation fournissent leurs services à de grandes entreprises soumises aux exigences de la directive NIS-2. Dans de tels cas, les exigences de la directive NIS-2 doivent être respectées et mises en œuvre.

La directive NIS-2 ne concerne pas seulement les entreprises individuelles, mais des chaînes de valeur dans leur ensemble. Si vous fournissez des composants ou des services à des entreprises soumises à la directive NIS-2, les exigences de sécurité vous sont répercutées. Cela inclut des processus clairs de mise à jour et de sauvegarde, la désignation de personnes de contact pour les incidents de sécurité et, le cas échéant, l'intégration de SLA de sécurité dans les contrats.

Les certifications telles que l'ISO 27001 ou la CEI 62443 sont considérées comme des exemples de sécurité de l'information à la pointe de la technologie. Elles aident à mettre en œuvre de manière structurée les exigences de la directive NIS 2 et constituent une preuve tangible auprès des clients, des auditeurs et des autorités. Pour les installateurs et les fournisseurs, ces certifications peuvent constituer un critère important pour être pris en compte dans des projets et des chaînes d'approvisionnement sensibles.

La directive élargie sur les équipements radio (RED) introduit des exigences supplémentaires en matière de cybersécurité pour les appareils utilisant la radio. À compter du 1er août 2025, les fabricants d'appareils dotés de connexions sans fil – tels que les onduleurs équipés de modules radio, les compteurs intelligents ou les passerelles de communication – devront prouver que ces appareils protègent les réseaux, préservent les données à caractère personnel et la vie privée, et sont à l'abri de toute manipulation. Seuls les produits conformes pourront alors être vendus et installés dans l’UE. La norme EN 303 645 s’est imposée comme la certification adéquate.

Les entreprises d'installation doivent accorder davantage d'attention aux composants qu'elles installent et à la manière dont elles les exploitent. Les points importants sont les suivants : planifier systématiquement les mises à jour de sécurité, ne pas utiliser de mots de passe par défaut, choisir des portails et des plateformes cloud sécurisés, clarifier les responsabilités par contrat et connaître son propre rôle dans la chaîne d'approvisionnement NIS 2. Une sécurité informatique vérifiable peut constituer un avantage décisif dans le cadre d’appels d’offres et de relations clients à long terme.

Les clients finaux bénéficient d'un niveau de sécurité globalement plus élevé : les réseaux énergétiques, les plateformes et les solutions cloud doivent devenir plus résistants aux attaques, et les fabricants sont tenus de mettre en place une gestion structurée de la sécurité. Pour les exploitants d'installations photovoltaïques, cela se traduit par une meilleure protection des données et de l'exploitation des installations, même s'ils ne relèvent pas directement de la directive.

La directive NIS-2 relève du droit de l'Union européenne et ne s'applique directement qu'aux entreprises ayant leur siège ou un établissement dans un État membre de l'UE. Les entreprises situées en dehors de l'UE qui travaillent pour des clients européens ou font partie de leur chaîne d'approvisionnement devront toutefois souvent se conformer à des exigences de sécurité similaires, car les clients soumis à la directive NIS-2 répercutent ces exigences dans leurs contrats et leurs projets.