Le déploiement accéléré des Infrastructures de Recharge de Véhicules Électriques (IRVE) transforme en profondeur le paysage énergétique français. Avec plus de 120 000 points de recharge publics ouverts sur le territoire national, le maillage des métropoles et des axes autoroutiers progresse à un rythme soutenu. Néanmoins, cette digitalisation massive de la distribution d’énergie crée une nouvelle surface d’attaque pour la cybercriminalité.
Longtemps considérées comme de simples prises de courant améliorées, les bornes de recharge modernes sont en réalité des terminaux informatiques intelligents connectés en permanence au réseau Internet. Prise de contrôle à distance, vol de données bancaires, altération des systèmes de paiement ou attaques DDoS susceptibles de déstabiliser le réseau électrique local : les menaces pesant sur les réseaux publics imposent une réponse sécuritaire et financière à la hauteur des enjeux.
Une borne de recharge publique constitue le point de jonction entre trois réseaux d’information distincts : le système d’information de l’opérateur de charge (CPO), le réseau de distribution d’électricité (Enedis) et le calculateur embarqué du véhicule électrique. Cette interconnexion permanente multiplie les vecteurs d’intrusion pour les pirates informatiques.
Parmi les failles les plus régulièrement identifiées par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et les experts en cybersécurité, trois scénarios d’attaque préoccupent particulièrement les gestionnaires de réseaux :
- Le détournement du protocole OCPP (Open Charge Point Protocol) : Les versions anciennes de ce protocole de communication (notamment l’OCPP 1.6) présentent des faiblesses d’authentification permettant l’interception et la falsification des échanges entre la borne et le serveur central.
- Le piratage des cartes bancaires et badges RFID : L’absence d’isolation matérielle renforcée dans la borne permet à des attaquants d’installer des dispositifs de capture de données (skimming) ou d’usurper les identifiants des utilisateurs.
- L’injection de malwares via les ports de maintenance : Les accès physiques directs (ports USB ou Ethernet internes) laissés sans protection mécanique robuste ouvrent la porte à la modification du micrologiciel (firmware) de la borne.
À une échelle plus vaste, la prise de contrôle simultanée d’un parc de plusieurs milliers de bornes haute puissance (150 kW à 350 kW) permettrait d’orchestrer un appel de charge massif ou une coupure brutale, créant un choc de fréquence dangereux pour l’équilibre du réseau électrique national.
Face à la multiplication des incidents cyber à l’échelle européenne, l’Union européenne a durci son arsenal juridique avec l’entrée en application de la directive NIS 2 (Network and Information Security). Cette législation classe désormais les opérateurs de recharge d’envergure et les gestionnaires de réseaux de distribution d’énergie parmi les « entités essentielles » ou « importantes ».
En France, cette réglementation impose aux collectivités territoriales, aux syndicats d’énergie et aux opérateurs privés d’élever drastiquement le niveau de protection de leurs infrastructures. Les acteurs publics doivent obligatoirement mettre en place des audits de sécurité réguliers, notifier toute violation de données dans un délai maximal de 24 heures et garantir le chiffrement de bout en bout des communications.
La norme internationale ISO 15118, qui régit la technologie Plug & Charge (permettant la recharge automatique dès le branchement du câble sans carte de paiement), intègre d’origine l’obligation d’une infrastructure à clés publiques (PKI). L’utilisation de certificats cryptographiques devient la condition sine qua non pour sécuriser les transactions énergétiques et financières.
Mettre à niveau la cybersécurité d’un parc de bornes existant exige des investissements matériels et logiciels importants. Pour soutenir les collectivités locales, les régies de transport et les petites entreprises, plusieurs guichets de financement public ont été activés en France.
Les principaux dispositifs d’aide financière mobilisables s’articulent autour de programmes nationaux et européens :
- Le parcours « Diagnostic Cyber » de BpiFrance : Réalisé en partenariat avec l’ANSSI, ce programme prend en charge jusqu’à 50 % du coût de l’analyse de vulnérabilité et de l’audit d’architecture informatique pour les entreprises et opérateurs de recharge.
- Le fonds d’innovation du programme ADVENIR : Une enveloppe spécifique du programme de CEE soutient l’expérimentation et le déploiement de logiciels de supervision dotés de modules de cybersécurité certifiés (OCPP 2.0.1 chiffré TLS 1.3).
- Le plan France 2030 (Volet Numérique) : Les projets de développement de bornes souveraines basées sur des puces électroniques sécurisées (Secure Element) conçues en France bénéficient de subventions d’État couvrant 30 % à 40 % des dépenses de R&D et d’industrialisation.
- Les dotations d’équipement des territoires ruraux (DETR) : Les communes et communautés de communes peuvent intégrer le volet cybersécurité et mise à niveau logicielle de leurs bornes IRVE dans leurs demandes de subvention auprès des préfectures.
Pour les directeurs des services informatiques (DSI) et les responsables de voirie au sein des collectivités territoriales, la sécurisation des bornes de recharge publiques ne peut plus être reléguée au second plan lors de la rédaction des cahiers des charges d’appel d’offres.
La démarche de conformité s’organise autour de trois chantiers prioritaires :
1. La refonte des marchés de concession
Les contrats de délégation de service public (DSP) attribués aux CPO doivent impérativement intégrer des clauses de pénalités financières en cas de non-respect des critères de cybersécurité. L’exigence de serveurs d’hébergement localisés en France ou au sein de l’Union européenne garantit l’application du Règlement Général sur la Protection des Données (RGPD).
2. Le renouvellement du parc logiciel et matériel
Les bornes anciennes ne supportant pas le chiffrement renforcé doivent faire l’objet d’un rétrofit informatique ou d’un remplacement planifié. L’installation de routeurs cellulaires (4G/5G) industriels sécurisés avec tunnels VPN dédiés isole le trafic de la borne du reste d’Internet.
3. La réalisation de tests d’intrusion (Pen-Testing)
Confier la réalisation de campagnes de piratage éthique à des prestataires certifiés PASSI (Prestataires d’Audit de la Sécurité des Systèmes d’Information) permet d’identifier les failles physiques et logicielles avant qu’elles ne soient exploitées par des cybercriminels.
La protection de l’infrastructure de recharge ne constitue plus une simple option technique : elle s’impose désormais comme la condition clé de la confiance des usagers et de la stabilité du réseau électrique national.
Tableau récapitulatif : Menaces cyber vs Dispositifs de protection et financements publics
| Type de menace informatique | Solution technique recommandée | Norme / Protocole requis | Dispositif de subvention associé |
|---|---|---|---|
| Interception des transactions | Chiffrement des communications | OCPP 2.0.1 + TLS 1.3 | Programme ADVENIR / Fonds CEE |
| Usurpation d’identité véhicule | Authentification par certificat PKI | Norme ISO 15118 | Plan France 2030 (Souveraineté) |
| Piratage physique du terminal | Module matériel sécurisé (HSM) | Certification Common Criteria | Diagnostic Cyber BpiFrance |
| Vol de données bancaires | Chiffrement au standard monétique | Conduite de test de pénétration | Subvention ANSSI / DETR collectivités |
Les budgets des collectivités locales font l’objet d’arbitrages rigoureux, les petits syndicats d’énergie ruraux disposeront-ils des ressources nécessaires pour mettre aux normes leurs bornes publiques avant l’entrée en vigueur des sanctions prévues par la directive NIS 2 ?
