Evropský Cyber Resilience Act mění pravidla kybernetické bezpečnosti připojených zařízení. První povinnosti začnou platit už 11. září 2026, hlavní požadavky pak od prosince 2027. Pro českou fotovoltaiku ale zůstává zásadní otázka: co se střídači, které už dnes fungují v domácnostech, firmách a obcích a budou v provozu ještě mnoho let?
Regulace přichází. Rizikové střídače už jsou ale dávno připojené.
Při výběru fotovoltaické elektrárny se běžně řeší výkon panelů, kapacita baterie, návratnost investice nebo délka záruky. Mnohem méně pozornosti se věnuje tomu, kdo může na dálku komunikovat se střídačem, kam zařízení odesílá data nebo jakým způsobem přijímá vzdálené povely a aktualizace.
Právě tato témata se postupně dostávají do centra evropské regulace.
Co je to Cyber Resilience Act (CRA)?
Jedná se o nařízení Evropského parlamentu a Rady (EU), které zavádí požadavky na kybernetickou bezpečnost produktů s digitálními prvky v průběhu celého jejich životního cyklu. Netýká se tedy jen fotovoltaiky. Mění náhled na bezpečnost hardwaru a softwaru tak, že nemá být funkcí přidanou až ve chvíli, kdy se objeví problém, ale primární vlastností produktu od jeho návrhu přes aktualizace až po ukončení podpory.
„Cyber Resilience Act představuje důležitý posun. Odpovědnost za kybernetickou bezpečnost se výrazněji přesouvá přímo do návrhu a životního cyklu produktu. Problém je v tom, že evropská pravidla sama o sobě nevyřeší bezpečnost velkého množství zařízení, která už jsou dnes nainstalovaná a připojená k internetu,“ říká bezpečnostní expert Svetozár Nosko z Guardexy.
CRA přichází postupně. Stávající instalace zůstávají
První významný termín přichází už 11. září 2026, kdy výrobci budou muset prostřednictvím evropské platformy oznamovat aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty.
„Hlavní povinnosti Cyber Resilience Act začnou platit 11. prosince 2027 a budou se týkat především nově uváděných produktů.“
Provozovatelům současných fotovoltaických elektráren ale CRA automaticky nezajistí zpětné zabezpečení celé instalované základny. Střídače uvedené na trh před nástupem plných požadavků nebude nutné plošně vyměňovat nebo dodatečně certifikovat pouze kvůli nové regulaci.
Vzniká tak přechodné období, během kterého už Evropa definuje nový bezpečnostní standard, zatímco velké množství zařízení navržených podle starších pravidel zůstává v každodenním provozu. A právě tato zařízení mohou fungovat dalších 10, 15 nebo 20 let.
Střídač není jen součást elektrárny. Je to připojený řídicí systém
Solární panel je z pohledu kybernetické bezpečnosti relativně jednoduchá technologie. U střídače je situace zásadně odlišná.
Moderní střídač funguje jako řídicí počítač fotovoltaické elektrárny. Prostřednictvím dataloggeru nebo vestavěného komunikačního rozhraní může:
- odesílat informace o výrobě a spotřebě,
- komunikovat s cloudovou platformou výrobce,
- přijímat změny konfigurace,
- umožňovat vzdálený servis,
- přijímat aktualizace,
- v některých případech umožňovat také vzdálené spuštění nebo vypnutí zařízení.
To přináší pohodlnější správu a servis. Zároveň ale vzniká další vrstva závislosti na vzdálené infrastruktuře výrobce, jeho servisních účtech a cloudových službách.
Český trh má navíc svá specifika. Kvůli způsobu fázového měření se u menších střešních elektráren často využívají asymetrické střídače. Podle analýzy Národního úřadu pro kybernetickou a informační bezpečnost pochází přibližně 95 až 99 % zařízení vhodných pro tento segment od výrobců z Asie.
NÚKIB už v roce 2025 upozornil na rizika spojená s předáváním systémových a uživatelských dat do zahraničí a se vzdálenou správou technických zařízení vykonávanou z cizích území. Mezi dotčenými technologiemi zmínil také fotovoltaické střídače.
Největším rizikem není jedno zařízení. Je jím koncentrace
Z pohledu kybernetické bezpečnosti není hlavním problémem pouze možnost kompromitovat jednotlivý střídač. Mnohem významnější je koncentrace vzdálené správy.
Právě proto je důležité přemýšlet nejen o zabezpečení samotného zařízení, ale také o tom, jakou důvěru musí provozovatel automaticky vkládat do externí infrastruktury.
Kdo smí se střídačem komunikovat? Jaké vzdálené příkazy zařízení přijímá? Je možné zpětně dohledat, co se mezi elektrárnou a cloudem odehrálo? A lze podezřelou komunikaci zastavit ještě předtím, než střídač povel vykoná?
Největším rizikem není jedno zařízení. Je jím koncentrace
Z pohledu kybernetické bezpečnosti není hlavním problémem pouze možnost kompromitovat jednotlivý střídač. Mnohem významnější je koncentrace vzdálené správy.
Právě proto je důležité přemýšlet nejen o zabezpečení samotného zařízení, ale také o tom, jakou důvěru musí provozovatel automaticky vkládat do externí infrastruktury.
Kdo smí se střídačem komunikovat? Jaké vzdálené příkazy zařízení přijímá? Je možné zpětně dohledat, co se mezi elektrárnou a cloudem odehrálo? A lze podezřelou komunikaci zastavit ještě předtím, než střídač povel vykoná?
„Pro většinu elektráren u nás ale zůstává otázka stále stejná. Jak zvýšit bezpečnost střídače, který už máme instalovaný a připojený k internetu?“
Plošná výměna funkčních střídačů není realistickým řešením. Znamenala by vysoké náklady pro domácnosti, firmy i samosprávy, komplikace s kompatibilitou bateriových systémů a dalších technologií a zároveň značné množství elektronického odpadu.
„Na českém trhu je dnes velká většina mimoevropských střídačů. Tyto technologie tu budou ještě mnoho let. Klíč proto není v zákazu nebo okamžité výměně funkčních zařízení, ale v tom, jak je dokážeme bezpečněji provozovat,“ říká Nosko.
Guardexy: bezpečnostní vrstva mezi střídačem a okolním světem
Právě na ochranu již existujících instalací se zaměřuje Guardexy. To funguje jako bezpečnostní vrstva mezi střídačem a externí komunikací. Lze jej doplnit k existující fotovoltaické elektrárně bez nutnosti výměny samotného střídače a bez zásahu do silové části instalace.
Systém sleduje komunikaci oběma směry, vytváří auditní záznam a vyhodnocuje nestandardní provoz. V případě detekce podezřelé komunikace může zabránit tomu, aby se nežádoucí vzdálený povel dostal až ke střídači. Doplňuje tak schopnosti, které u již instalovaných zařízení často chybějí:
viditelnost, auditovatelnost a možnost kontrolovat komunikaci předtím, než se vzdálený příkaz vykoná.
Bezpečnost fotovoltaiky nezačíná v roce 2027
Cyber Resilience Act nastavuje důležitý směr pro budoucnost evropského trhu. Nové produkty budou muset vznikat s větším důrazem na bezpečný návrh, správu zranitelností, bezpečné aktualizace a dlouhodobou podporu.
Česká energetika ale nemůže čekat pouze na novou generaci zařízení. Stávající střídače už komunikují se vzdálenými cloudy. Už dnes zpracovávají data, přijímají aktualizace a vzdálené povely. A řada z nich bude součástí českých elektráren ještě mnoho let.
Zjistěte, jak Guardexy pomáhá chránit stávající fotovoltaické instalace, monitorovat komunikaci a omezovat rizika spojená se vzdálenou správou střídačů.