Přehrát audio verzi
Jak chránit obnovitelné zdroje energie před kybernetickými útoky
00:00
00:00
1x
- 0.25x
- 0.5x
- 0.75x
- 1x
- 1.25x
- 1.5x
- 2x
Stačí zacílit na 160 tisíc fotovoltaických elektráren a použít několik jednoduchých příkazů. Výsledkem může být rozsáhlý výpadek sítě – blackout. I o takových scénářích se mluvilo na letošním veletrhu URBIS v Brně. Odborníci z energetiky a práva se tam sešli nad otázkami, které zatím leží mimo zájem většiny obcí: jak chránit obnovitelné zdroje energie před kybernetickými útoky a jaké nástroje již mají obce k dispozici.
Nejde přitom o vzdálenou hrozbu. Podle Mezinárodní agentury pro energii (IEA) se počet kybernetických útoků na energetické společnosti za poslední čtyři roky ztrojnásobil, a s nástupem umělé inteligence jsou útoky stále sofistikovanější. Doposud nejzávažnější zdokumentovaný kybernetický útok na energetickou infrastrukturu připravil v prosinci 2015 o elektřinu přibližně 225 000 ukrajinských domácností.
Že kybernetická rizika nejsou jen akademická hrozba, ukazují i další nedávné incidenty ze zahraničí. V roce 2024 etický hacker z Řecka z notebooku a smartphonu ze svého domu v Soluni obešel řízení solárních panelů po celém světě a získal přístup k většímu výkonu, než jaký protéká německou elektrickou soustavou. Polsko v zimě 2025 zaznamenalo útok na několik velkých zdrojů a více než 30 větrných a fotovoltaických elektráren.
Útočníci nechodí pěšky
Leopold Benda ze společnosti Benekov ESCO, která se instalací fotovoltaických elektráren zabývá, popsal na konferenci v rámci veletrhu URBIS princip útoku bez technického žargonu: útočník nemusí přijít k elektrárnám. Stačí mu dostat se do cloudu přes komunikační modul nebo samotné zařízení, třeba prostřednictvím napadnutého výrobce, který se dálkově připojuje v rámci servisu.
Měřítko problému ilustroval na příkladu čínského výrobce střídačů DEYE. Ten provozuje přes platformu Solarman přibližně 5 milionů zařízení po celém světě. To odpovídá výkonu 77 jaderných bloků Temelínu.
Zmínil také dosud nepublikovaný výzkum diplomanta VUT, který u nejpoužívanější značky střídačů identifikoval 13 bezpečnostních děr. Leopold Benda popsal i čtyři linie obrany, přes které musí útočník proniknout – a přes něž se naopak provozovatel zdroje může také bránit: hardware (střídač, baterie, komunikační modul), ukládání dat v cloudu, přenos dat a konečně samotný uživatel nebo servisní firma s jejich interními procesy.
Čínský faktor: data, právo a trh
Specifickou kapitolou je dominance právě čínských výrobců. Anna Francová, advokátka Frank Bold Advokáti specializující se na energetické právo i oblast veřejných zakázek, upozornila, že čínští výrobci jsou ze zákona povinni vyhovět požadavkům čínského státu. Data ze střídačů navíc na základě požadavků výrobce putují na servery v Číně.
Problém umocňuje délka záruky: střídače se dnes prodávají se zárukou 10 let. Po tuto dobu nelze bez její ztráty změnit, kam data ze zařízení odtékají a kdo a jak je případně použije. Číselně je závislost Evropy znepokojivá: Čína drží 79 % trhu se solárními panely, 50 % trhu se střídači a 79 % trhu s fotovoltaickými wafery, křemíkovými destičkami, které jsou základem solárních článků.
Co ukládá právo – povinnosti zadavatelů
Základní referencí je varování NÚKIB ze září 2025 k rizikům i možnému postupu v rámci zadávacího řízení.
Od 1. července 2026 vstupuje v platnost povinnost zohledňovat v nadlimitních veřejných zakázkách požadavky na environmentální udržitelnost podle nařízení NZIA. Kybernetická bezpečnost je jedním ze tří doplňkových kritérií, z nichž si zadavatel musí vybrat alespoň jedno. Nařízení také stanoví, že maximálně 50 % hodnoty dodávek může pocházet ze třetích zemí mimo Evropský hospodářský prostor.
Klíčová je samotná zadávací dokumentace. Anna Francová popsala, co musí obsahovat, aby obstála před Úřadem pro ochranu hospodářské soutěže (ÚOHS): „Zadávací dokumentace obstojí, když zadavatel zpracuje analýzu rizik – identifikuje hlavní a podpůrné aktivity, zohlední varování NÚKIB, vyčíslí hodnotu rizika, zohlední svá aktiva, hrozbu a pravděpodobnost zranitelnosti, srovná riziková a neriziková řešení a dojde k závěru o akceptovatelnosti rizika.“
Důležité je také nastavení smluvních podmínek. „V nich si nadefinujte podmínky pro hlavního dodavatele, ale hlavně také kontrolní mechanismy a mechanismy exitů, abyste byli schopni ověřit, že dodavatel skutečně podmínky plní – není to jen o podpisu čestného prohlášení, musíte být připraveni reagovat, pokud zjistíte, že dodavatel podmínky neplní,“ zdůraznila advokátka Anna Francová.
Jak se právo dostává do praxe?
Přestože nástroje existují, 80 % vypsaných zakázek týkajících se investic do OZE podle Leopolda Bendy neobsahuje žádné kybernetické požadavky. O výběr technologií tak často rozhoduje především cena. Anna Francová doplnila, že i tam, kde zadavatelé kybernetická kritéria formálně zapracují, nevyužívají v kvalifikačních podmínkách ani smluvních ujednáních možnost odlišně zacházet s dodavateli z EU a z třetích zemí.
Technická zranitelnost, právní mezery a pasivita zadavatelů souhrnně vytvářejí systémové riziko. Obce a veřejní zadavatelé ale mohou už teď sami nebezpečí předcházet: Začít analyzovat rizika. Zahrnout kybernetická kritéria do zadávací dokumentace, včetně nastavení podmínek účasti pro dodavatele ze třetích zemí, se kterými nemá EU uzavřenou Dohodu o vládních zakázkách (GPA). A nepodceňovat, že za nízkými cenami čínských výrobců může stát cena jiná – datová, bezpečnostní nebo geopolitická.
Seminář Kyberbezpečnost OZE proběhl 3. června 2026 v rámci veletrhu URBIS v Brně. Vystoupili Leopold Benda (Benkov ESCO) a Anna Francová (Frank Bold Advokáti). Moderovala Kristína Šabová (Frank Bold).
Autorka: Kristína Šabová, právnička Frank Bold, specialistka na energetické právo
Sdílet / hodnotit tento článek