Conformité numérique : le contrôle des fournisseurs remplace la simple règle de conduite

**De Bruxelles à Washington, les régulateurs ne se contentent plus d'encadrer les pratiques : ils ciblent la juridiction d'origine des fournisseurs de technologie. Cette bascule déplace le coût de la conformité vers l'approvisionnement et le parc installé, sans qu'il soit encore possible de le chiffrer.**

Une logique qui change de nature

Pendant une décennie, la conformité numérique s'est pensée en procédures : registres, notifications, analyses d'impact. Les décisions récentes dessinent autre chose. Le critère devient le lieu d'où relève le fournisseur, et non seulement la manière dont il traite les données ou sécurise ses produits. Le dossier de ce début d'automne ne permet pas de documenter les sanctions en matière de protection des données personnelles, mais il éclaire avec précision ce déplacement vers un contrôle par l'origine.

Le cas le plus détaillé concerne le photovoltaïque européen. Un groupe d'experts conseillant la Commission, issu du Smart Energy Expert Group, recommande de restreindre les composants et logiciels de fournisseurs relevant de pays tiers présentant des risques cyber significatifs. Cette recommandation vaut pour tous les segments, des systèmes enfichables résidentiels aux centrales de grande taille. Le rapport ne désigne cependant aucun pays ni aucune entreprise : il renvoie aux critères du projet de révision du Cybersecurity Act, dit CSA2.

Pourquoi le photovoltaïque est devenu un sujet de gouvernance

Une surface d'exposition multipliée

La capacité installée de l'Union est passée de 86 GW en 2015 à 406 GW en 2025. Les onduleurs, qui relient chaque installation à internet, sont devenus un point d'entrée dans l'infrastructure électrique. Les experts identifient trois risques élevés : l'attaque de plateformes cloud de fabricants connectées à un grand nombre d'onduleurs, les rétro-portes introduites au profit d'un État, et les intrusions dans les centrales via les réseaux locaux. Ils signalent aussi une « architecture opérationnelle scindée », où les tableaux de bord sont hébergés dans l'Union tandis que les mises à jour de micrologiciel, la signature et le contrôle à distance sont opérés depuis des pays jugés à risque.

L'enjeu se mesure à l'aune du réseau : l'impact d'une attaque est évalué par la quantité de production qu'un attaquant pourrait piloter, rapportée aux 3 000 MW de réserves de maintien de la fréquence du réseau continental. Le risque est donc systémique, et c'est ce qui justifie, aux yeux du groupe, de passer d'une obligation de moyens à une restriction d'accès au marché.

Un risque déjà tangible côté exposition

Une recherche publiée la même semaine par une société néerlandaise et le centre national de cybersécurité des Pays-Bas a recensé 7 942 systèmes de parcs solaires, répartis dans 34 pays européens, accessibles depuis internet alors qu'ils ne devraient pas l'être. Les experts en tirent une recommandation simple : les services web et SSH des onduleurs ne doivent pas être exposés directement. Ce chiffre ne prouve aucune exploitation malveillante ; il mesure une négligence de configuration, et rappelle que la conformité documentaire ne suffit pas sans vérification technique.

Des juridictions qui convergent

La logique ne se limite pas à l'Union. La Lituanie a interdit en novembre 2024 l'accès à distance de sociétés chinoises aux installations solaires, éoliennes et de stockage de plus de 100 kW. L'agence tchèque de cybersécurité a averti en septembre 2025 que les onduleurs chinois des petites centrales constituent une menace potentielle. En avril, la Commission a publié une orientation restreignant le financement européen des projets recourant à des onduleurs de fournisseurs à haut risque, avec une période de transition pour les projets déjà en préparation.

Aux États-Unis, un avis du Department of Homeland Security impose aux agences civiles fédérales de retirer de leurs systèmes les produits de la start-up chinoise d'intelligence artificielle DeepSeek et l'exclut des contrats fédéraux, en s'appuyant sur les lois américaines de cybersécurité. Les contextes diffèrent, énergie d'un côté, logiciel d'IA de l'autre, mais l'outil est le même : l'exclusion par l'origine, mobilisée via les achats publics, les aides et la désignation de pays.

Où se loge le coût de conformité

Le mécanisme économique est direct. Une obligation de conduite se traduit par du temps juridique et des audits. Une restriction d'origine impose de remplacer, de requalifier ou d'isoler des équipements, et de documenter la chaîne de fourniture. Les experts du groupe eux-mêmes préviennent qu'interdire des fournisseurs « peut affecter sérieusement le marché » si l'offre alternative est insuffisante, et reconnaissent n'avoir pas réalisé l'évaluation de risque qui devrait précéder une telle décision.

Le calendrier creuse un écart entre le neuf et l'existant. Le Cyber Resilience Act ne s'applique qu'aux produits mis sur le marché à partir du 11 décembre 2027, pas au parc installé. Les onduleurs relèvent aujourd'hui de la catégorie par défaut, qui autorise l'auto-évaluation ; le groupe demande leur classement en catégorie « importante » de classe II, impliquant une évaluation par un organisme notifié. Le CSA2, lui, ne viserait que les entités couvertes par la directive NIS2, d'où la demande d'étendre l'interdiction aux ventes d'onduleurs aux consommateurs et de fixer un seuil commun de 1 MW pour l'application de NIS2 et du code de réseau cyber. Pour les installations déjà équipées, les experts préconisent de remplacer les mises à jour automatiques déclenchées par le fabricant par des mises à jour manuelles contrôlées, réalisées par des prestataires qualifiés : un coût d'exploitation récurrent, non évalué.

Un coût perçu avant d'être mesuré

Ailleurs dans l'économie, la charge réglementaire s'exprime d'abord en ressenti. Le dirigeant du constructeur autrichien Plasser & Theurer, qui vient d'inaugurer un site de 60 millions d'euros créant 80 emplois, cite parmi les pressions subies par l'Autriche une « augmentation massive de la bureaucratie ». En France, un collectif de forestiers qui bloque un dépôt pétrolier à Rennes conteste l'obligation, issue du règlement européen contre la déforestation applicable le 30 décembre 2026, de déclarer chaque chantier sur une plateforme européenne. Ces prises de position sont des plaidoyers d'acteurs, pas des mesures de coût ; elles indiquent toutefois que la conformité est devenue un facteur de compétitivité dans le débat public.

Ce que les données ne disent pas

Trois limites s'imposent. D'abord, aucun montant de conformité, d'amende ou de coût de remplacement n'figure dans le dossier : parler de coût chiffré serait extrapoler. Ensuite, le rapport du groupe d'experts n'engage pas la Commission, le CSA2 n'est pas adopté et aucune attaque par rétro-porte de fabricant n'a été observée à ce jour. Enfin, les règles de protection des données personnelles et leur application ne sont pas documentées ici ; l'on ne peut donc pas conclure sur une tendance des sanctions.

Une conclusion proportionnée

Ce que les faits établissent est un mouvement : plusieurs autorités, en Europe et aux États-Unis, recourent à l'origine du fournisseur comme levier de conformité, par les aides, les marchés publics et la désignation de pays. La charge qui en découle portera surtout sur les choix d'approvisionnement et sur le parc installé que les nouvelles règles ne couvrent pas. Son niveau reste à mesurer, et c'est précisément l'évaluation de risque que les experts disent ne pas avoir menée qui conditionnera la soutenabilité de ces restrictions.

Cet article a ete redige avec l assistance de l intelligence artificielle et verifie par notre equipe editoriale.