Prosumatorii din România sunt din nou în centrul unei măsuri controversate. Ministerul Energiei a publicat un proiect prin care vrea să impună operatorilor de distribuție a energiei electrice, dar și prosumatorilor, obligația de a efectua anual un audit cibernetic al echipamentelor digitale. Asociațiile de prosumatori susțin că „prosumatorii sunt actori într-un film prost de spionaj” și că „ANRE îți dorește de fapt controlul total al invertoarelor din România”. Ministerul Energiei transmite că nu urmărește prosumatorii, prin această măsură, ci doar, eventual, marii producători/operatori de rețea.
Proiectul controversat
Controversele au plecat de la un proiect de ordonanță de urgență publicat de Ministerul Energiei în dezbatere publică. Actul normativ prevede că operatorii de rețea sunt obligați să auditeze cibernetic anual și periodic invertoarele și toate sistemele și rețelele informatice asociate centralelor electrice fotovoltaice, „în condițiile stabilite prin ordin comun al președintelui ANRE și al directorului Directoratului Național de Securitate Cibernetică”.
„Motivul este generat de constatări privind existența unor invertoare fotovoltaice și controlere energetice cu materii prime din China care sunt frecvent echipate cu firmware care transmit date către terți (din spațiul asiatic) fără ca utilizatorul să știe și care poate permit atacatorilor să preia controlul asupra dispozitivului/ rețelei energetice. Aceste dispozitive, conectate la rețele locale, pot fi vulnerabile la spionaj dacă sunt compromise. Ele transmit date despre consumul de energie, iar în scenarii nefericite, pot fi manipulate pentru a trimite aceste date către actori rău intenționați. Există date și informații clare că unele invertoare și controle de energie pentru panourile solare, produse în China, ar putea avea software care permite monitorizarea de la distanță a consumului și producției energetice. Printre modalitățile de colectare și transmitere a datelor din invertoare și controlere de energie în China s-au numărat: dispozitive IoT (Internet of Things) și module de comunicație precum modemuri GSM, module Wi-Fi, Bluetooth, sau tehnologii Zigbee/Z-Wave”, arată proiectul ministerului.
Totodată, Ministerul vrea introducerea auditului ca o condiție obligatorie pentru accesarea fondurilor publice. „Introducerea auditului cibernetic obligatoriu în ghidurile de finanțare nu ar adăuga o povară semnificativă, ci doar ar alinia aceste obligații la cerințele existente în materie de securitate cibernetică”, arată Ministerul.
Prosumatorii: „ANRE îți dorește de fapt controlul total al invertoarelor din România”
Asociația Prosumatorilor și Comunităților de Energie afirmă într-o reacție că „prosumatorii sunt actori într-un film prost de spionaj, sub regia ANRE”.
„Ministerul Energiei a publicat pe site-ul instituției un proiect de ordonanță de urgență în care apar lucruri bune și constructive privind stocarea, dublă taxare a energiei stocate, definește ce înseamnă o lucrare de interes public național, definește exact ce înseamnă serviciu de stocare și multe altele cu impact pozitiv în domeniul energetic. Când vine vorba despre prosumatori, lucrurile devin tragi-comice mai ales citind nota de fundamentare a propunerii legislative. Povești de spionaj cu atacatori cibernetici care ne preiau controlul Sistemului Energetic Național… prin invertoare…”, arată APCE.
Potrivit Asociației, „scenariul descris în Nota de Fundamentare parcă e rupt dintr-un film cu James Bond, ne prezintă o ipoteză a ANRE în care invertoarele cu componente chinezești spionează prosumatorii trimițând date sensibile pe serverele din China: producția, consumul de energie și, eventual, starea vremii din România. Mai mult, conform ”specialiștilor” ANRE, aceste invertoare, conectate la rețelele locale, pot fi vulnerabile la spionaj dacă sunt compromise și, mai departe pot vulnerabiliza tot Sistemul Energetic Național”.
Asociația Prosumatorilor atrage atenția că „ANRE își dorește de fapt controlul total al invertoarelor din România”.
„Asistăm la o încercare marca ANRE de a prelua controlul tuturor invertoarelor din România mergând cu un scenariu pe alocuri tragi-comic apelând la narative ca “siguranță națională” și implicând o instituție de siguranță cibernetică. Ne miră că CSAT (Consiliului Suprem de Apărare a Țării) a fost lăsat la o parte… Motivele invocate în Nota de Fundamentare privind obligativitatea auditului cibernetic anual sau periodic (gen ITP la autoturisme) atât a invertoarelor prosumatorilor din toată România, cât și a routerelor și a rețelelor în care aceste invertoare funcționează ar face să râdă și un novice din zona IT”, arată Asociația.
Ea se întreabă „cine va plăti aceste comisii de ciberneticieni și specialiști în securitate informatică care vor bate România în diagonale spre a verifica fiecare invertor în parte, în scopul de a dejuca planurile malefice ale spionajului chinez”.
APCE arată că putem discuta de peste 120.000 de invertoare fabricate în China la ora actuală care funcționează în România și mai așteptăm aproximativ 45-50.000 prin Casa Verde 2024. Asociația mai susține că Transelectrica, instituție a statului român, a autorizat deja aceste invertoare la vânzare în România.
„Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP a formulat în trecut un răspuns la cererea A.P.C.E. privind accesul la datele din invertoarele românilor prin care menționează că datele furnizate de către invertor se supun normelor GDPR și sunt date cu caracter personal. Acest răspuns va fi comunicat la cerere și către ANRE în cazul în care nu cunoaște legislația în domeniu. Asociația Prosumatorilor și a Comunităților de Energie din România va formula către Ministerul Energiei în timp util un punct de vedere cu privire la prounerea legislativă și în cazul în care nu se va ține cont, vom apela la căile legale de atac a acestui proiect legislativ”, arată Asociația.
Ministerul Energiei: Proiectul nu urmărește sub nicio formă obligarea prosumatorilor de a efectua audituri de securitate cibernetică
Ministerul Energiei a transmis într-o reacție ulterioară că „nu urmărește sub nicio formă obligarea prosumatorilor de a efectua audituri de securitate cibernetică, ci doar, eventual, a marilor producători/operatori de rețea”.
„Individualizarea marilor producători/ operatori de rețea se poate realiza doar prin raportare la calitatea de operator de servicii esențiale, astfel cum este definită prin Directiva NIS2 și viitoarea lege de transpunere”, arată instituția.
Potrivit acesteia, proiectul se află abia în faza consultării publice, ceea ce înseamnă că poate suferi modificări, completări sau chiar eliminarea normei, dacă autoritățile publice consultate, partenerii sociali și societatea civilă formulează propuneri în cauză.
„Singura intenție a Ministerului Energiei este aceea de a proteja, prin măsuri preventive, securitatea cibernetică a marilor producători de energie electrică, în scopul asigurării securității sistemului energetic național.
Ministerul Energiei rămâne deschis dialogului cu specialiștii din domeniu și garantează public că forma finală a proiectului de act normativ va satisface opiniilor formulate de specialiști și autoritățile naționale competente în domeniul energiei, securității cibernetice etc”, arată instituția.