Нидерланды предупреждают о пробеле в правилах ЕС: домашние батареи, тепловые насосы и зарядки управляются из облака, а защита облака почти не регулируется
Коротко: государственная инспекция цифровой инфраструктуры Нидерландов (RDI) опубликовала позицию о кибербезопасности домашних батарей, тепловых насосов и зарядных станций. Главный вывод: уязвимы не столько сами устройства, сколько облачные платформы производителей, через которые ими управляют. Внезапный перекос между производством и потреблением в 3 ГВт и больше может нарушить работу энергосистемы.
Что сказал регулятор
Число тепловых насосов и зарядных станций для электромобилей в Нидерландах с 2019 по 2024 год выросло в пять раз. Добавьте к этому домашние батареи и инверторы. Большинство таких устройств подключено к интернету и получает команды с серверов производителя, поставщика системы управления энергией или агрегатора — компании, которая объединяет тысячи домашних устройств и продаёт их гибкость энергосистеме.
Инспекция выделяет три сценария, при которых много устройств может одновременно повести себя неправильно:
- Ошибочное обновление или настройка, которую разослал сам производитель или другая законная сторона.
- Взлом через уязвимость в устройстве или в платформе управления.
- Давление государства на производителя или поставщика услуги, в том числе из страны за пределами ЕС.
Если одна платформа управляет сотнями тысяч устройств, её сбой может разом выключить или включить мощность, сравнимую с крупной электростанцией.
Где пробел в правилах ЕС
| Правило ЕС | Что не так, по оценке RDI |
|---|---|
| Закон о киберустойчивости (CRA), с 11 декабря 2027 года | Требования общие, производитель сам оценивает, соответствует ли он им |
| Директива NIS2 | Применяется в зависимости от размера компании, а не от того, какой мощностью она управляет. Небольшие фирмы выпадают |
| Сетевой кодекс по кибербезопасности, обязательства с середины 2028 года | В предварительном списке нет производителей и поставщиков систем управления энергией |
Инспекция предлагает три меры: единые стандарты ЕС именно для таких устройств; отнести домашние батареи, тепловые насосы и зарядные станции к продуктам «важного класса II» по CRA, то есть с независимой проверкой до начала продаж; распространить NIS2 на любую компанию, которая управляет опасной для сети мощностью, независимо от её размера и страны. Отдельно регулятор советует снижать зависимость от компаний за пределами ЕС.
Исследователь безопасности Харм ван ден Бринк, на которого ссылаются издания, говорит, что уязвимости в некоторых устройствах уже использовали и могут использовать снова, чтобы нарушить работу сети. Ранее исследователи нашли в Европе 8547 систем управления солнечными и ветровыми станциями, доступных из интернета. Об этом мы писали в новостях.
Что это значит в Беларуси
Частных станций в Беларуси пока гораздо меньше, чем в Нидерландах, и угрозы для всей энергосистемы от домашних батарей здесь нет. Но для конкретного дома вопрос тот же. Гибридный инвертор с Wi-Fi-модулем отправляет данные в облачное приложение производителя, и из этого же приложения часто можно менять настройки: режим заряда батареи, отдачу в сеть, расписание по двухтарифному учёту. Если кто-то получит доступ к вашей учётной записи, он может не только смотреть графики, но и поменять настройки.
Белорусских правил по кибербезопасности домашних инверторов нет. Поэтому защита сейчас зависит от владельца и монтажника. О том, как устроен удалённый мониторинг, рассказано в разделе мониторинг и управление. Если станция нужна прежде всего для резервного питания дома, важно, чтобы она работала и без интернета.
Выводы
- Смените заводской пароль в приложении мониторинга и в Wi-Fi-модуле инвертора, не используйте один пароль на несколько сервисов.
- Не давайте доступ с правом изменения настроек посторонним. Монтажнику или сервису достаточно доступа на время работ.
- Убедитесь, что инвертор и батарея работают в нужном режиме без облака: при пропаже интернета станция должна продолжать питать дом.
- Обновляйте прошивку только из официального приложения или через сервис, а после обновления проверяйте ключевые настройки.
- В Европе к 2027–2028 годам ожидаются более строгие требования к таким устройствам. Скорее всего, это коснётся и тех моделей, что продаются у нас.
Источник: Rijksinspectie Digitale Infrastructuur (Нидерланды), ess-news, pv magazine; обзор SmartEnergy.