Holanda propõe que UE regule cibersegurança de baterias por capacidade, não por tamanho

A Rijksinspectie Digitale Infrastructuur (RDI) dos Países Baixos publicou um documento posicionando que a legislação europeia de cibersegurança, incluindo o Cyber Resilience Act (CRA) e a Diretiva NIS2, possui lacunas críticas ao focar no tamanho das empresas em vez da capacidade técnica de controle remoto. O regulador argumenta que a segurança da rede elétrica não depende apenas da conformidade individual dos dispositivos, mas da resiliência dos sistemas backend dos fabricantes e agregadores, que atuam como pontos únicos de falha.

O risco central identificado reside na possibilidade de atualizações defeituosas ou ciberataques sincronizarem a desconexão de milhares de baterias, inversores e carregadores simultaneamente. Com o crescimento exponencial desses dispositivos nos Países Baixos, um desequilíbrio súbito de oferta e demanda superior a 3 GW pode desestabilizar a rede. Atualmente, o CRA permite autoavaliação pela maioria dos fabricantes, enquanto a NIS2 exclui pequenas empresas, mesmo que controlem gigawatts de potência através de plataformas em nuvem.

Para mitigar essa vulnerabilidade, a RDI propõe classificar dispositivos de energia residencial como produtos da classe II importante no CRA, exigindo avaliação de conformidade independente antes da venda na UE. Além disso, sugere estender o escopo da NIS2 a qualquer entidade capaz de controlar remotamente capacidade significativa, independentemente de seu faturamento ou localização jurídica. Essa mudança buscaria fortalecer a autonomia digital da rede europeia, reduzindo a dependência de atores externos que possam ser coagidos por governos estrangeiros.