Experts EU: cybersecurity zonnepanelen schiet ernstig tekort, verbiedt verkoop omvormers uit China

De Smart Energy Expert Group (SEEG) is een officieel adviesorgaan van de Europese Commissie en heeft een uitgebreid rapport gepubliceerd over de cyberrisico’s voor het stroomnet van zonnepaneelinstallaties. De werkgroep analyseerde 4 installatiecategorieën: plug-in zonnepaneelinstallaties kleiner dan 800 watt, gewone zonnepaneelinstallaties tot 10 kilowatt, commerciële en industriële (c&i)-installaties tot 1 megawatt, en utility-scale zonneparken boven de 1 megawatt. Naast een risicoanalyse voerde de werkgroep een juridische analyse uit om te bepalen hoe goed bestaande EU-regelgeving de geconstateerde risico’s dekt.

3 hoge risico’s
De SEEG identificeert 3 scenario’s als hoog risico. Het eerste is aanvallen via de cloudplatforms van omvormerfabrikanten, met name bij consumenteninstallaties en c&i-installaties. Het tweede is de introductie van opzettelijke backdoors door de fabrikant op last van een staat. Het derde is aanvallen op utility-scale installaties via kwetsbaarheden in lokale netwerken, zoals een VPN-concentrator.

In alle gevallen is de vrees dat een aanvaller genoeg omvormervermogen kan aansturen om het elektriciteitsnet te destabiliseren: de werkgroep hanteert 3.000 megawatt als kritieke drempel, waarboven ernstige storingen op het continentale Europese netwerk niet zijn uit te sluiten.

Backdoors via de fabrikant
Het backdoor-scenario beoordeelt de SEEG als hoog risico voor alle 4 de categorieën, inclusief de kleinste plug-in installaties. De werkgroep beschrijft 3 varianten: toegang tot het centrale cloudplatform van de fabrikant, een aanpassing in de firmware van de omvormer zelf, of verborgen hardwarecomponenten waarmee draadloze communicatie mogelijk blijft ook als de omvormer offline is. Een complicerende factor is de ‘gesplitste operationele architectuur’ die veel fabrikanten hanteren: een monitoringsdashboard is gehost op Europese servers, maar firmware-updates, ondertekening en opdracht- en controlediensten worden beheerd vanuit landen die de EU aanmerkt als potentieel cyberveiligheidsrisico.

Na Kamervragen over verborgen communicatieapparatuur verscherpte het kabinet in Nederland het toezicht op Chinese omvormers, waarbij erkend werd dat de grote Europese zonne-energiecapaciteit gelinkt aan Chinese omvormers ‘reden is om alert te zijn’. De SEEG kwantificeert nu wanneer die alertheid te laat is.

Gigawatts op het spel
Het risico van aanvallen via fabrieksplatforms is grotendeels het gevolg van ernstige kwetsbaarheden die beveiligingsonderzoekers de afgelopen jaren hebben blootgelegd. Bitdefender analyseerde in 2024 het Solarman-platform en schatte dat dit platform wereldwijd 195 gigawatt aan vermogen coördineerde.

Forescout publiceerde in 2025 het SUN:DOWN-rapport met soortgelijke bevindingen: autorisatielekken waarmee accounts van andere gebruikers konden worden overgenomen, ontbrekende authenticatie op API-koppelvlakken en ontbrekende toegangscontrole op communicatieprotocollen. Dat de dreiging niet louter theoretisch is, bleek al in 2022: via een beveiligingslek in het Solarman-platform verkregen Nederlandse onderzoekers toegang tot 42.000 zonnepaneelinstallaties in Nederland.

Wet dekt risico’s niet
De juridische analyse laat zien dat bestaande EU-regelgeving meerdere gaten vertoont. De Cyber Resilience Act (CRA) is van toepassing op alle omvormers, maar die vallen momenteel in de standaardcategorie waarbij fabrikanten zelf mogen aantonen dat hun product aan de cybersecurityeisen voldoet, zonder onafhankelijke toets.

Brancheverenigingen Holland Solar, Energy Storage NL, NedZero en Energie-Nederland pleitten al voor externe keuring van omvormers op naleving van de CRA. De NIS2-richtlijn dekt utility-scale producenten en aggregatoren, maar laat consumenteninstallaties en hun eigenaren buiten beschouwing. En de Requirements for Generators (RfG), de Europese netcode die geldt voor alle zonnepaneelinstallaties boven 800 watt, stelt uitsluitend elektrotechnische eisen: een cybersecurityverplichting ontbreekt volledig.

Verbod, keuring en certificaat
De SEEG doet op grond van die analyse 6 concrete aanbevelingen. Fabrikanten moeten worden verplicht een kwetsbaarhedenbeheerproces in te richten voor hun cloudplatforms, met handhaafbare termijnen voor het verhelpen van gemelde lekken en bij voorkeur bugbountyprogramma’s om onafhankelijk beveiligingsonderzoek te stimuleren. Internetverkeer vanuit omvormers moet worden beperkt tot aantoonbaar noodzakelijke verbindingen met servers die gevestigd zijn in de EU of een gelijkwaardig rechtsgebied.

Via de herziene Cybersecurity Act moet de Europese Commissie fabrikanten uit aangewezen hoogrisicolanden weren van de Europese markt – waarmee impliciet China bedoeld wordt – ook voor consumentenproducten als plug-in zonnepanelen. Omvormers moeten worden geclassificeerd als ‘belangrijk product klasse II’ onder de CRA, zodat een onafhankelijke instantie de conformiteitsbeoordeling uitvoert in plaats van de fabrikant zelf. De RfG moet worden uitgebreid met een eis dat alleen installateurs met aantoonbare minimumeisen op het gebied van cybersecurity omvormers mogen plaatsen en configureren. En voor commerciële, industriële en grootschalige installaties moeten automatische firmware-updates door de fabrikant worden vervangen door handmatige updates van gekwalificeerde onderhoudsproviders, die op verzoek van autoriteiten kunnen worden uitgesteld of geblokkeerd wanneer het dreigingsniveau verhoogd is.