（来源：电力国际汇epintl）

NEWS

在能源成本攀升、数据中心与人工智能（AI）用电需求持续增长、交通和供热领域电气化等推动能源需求不断上升的大背景下，美国亟需动用电网上的所有可用电力来满足当前需求。太阳能与储能持续显现出其作为保障美国能源未来战略资产的价值。确保这些关键资产免受网络安全威胁，并能持续提供可靠且可负担的能源，已成为行业的首要任务。

能源行业面临的网络安全威胁

从以间谍活动或为未来破坏行为预先布局为目的的民族国家高级持续性威胁（APT）组织，到谋取经济利益的勒索软件团伙、宣扬意识形态主张的黑客行动主义者，再到内部威胁，攻击者持续将包括能源行业在内的关键基础设施作为目标。由于能源为医疗、交通、水务、电信与国防等所有其他关键基础设施提供动力，故而能源安全对于国家安全来说至关重要。针对太阳能与储能行业的网络攻击，在频次与严重程度方面显著低于能源行业的其他领域，或其他关键基础设施。然而，随着太阳能与储能规模的持续增长，网络安全防护对于保障电网可靠性与韧性愈发重要。

太阳能与储能行业的关键网络安全考量

随着太阳能与储能资源持续增长，并在发电结构中占据日益重要的位置，其对电网安全与可靠性的影响也随之扩大。公用事业级光伏电站是面向电力批发主体而非终端用户售电的大型电站设施。相关项目规模正在不断扩大，2024年的平均项目规模为12万千瓦。许多现代公用事业级光伏电站还配备大容量电池系统，以在夜间或用电高峰时段调度电力。铭牌容量大于或等于7.5万千瓦、并以大于或等于100千伏电压并网的大型设施，必须遵守北美电力可靠性公司（NERC）制定的若干强制性网络安全要求，即关键基础设施保护标准（NERC CIP）。尽管NERC CIP要求为大电网系统的安全提供了重要基础保障，但其仅代表最低合规要求，需借助主动、纵深防御策略来进一步强化。

分布式发电与分布式储能是接入配电网、在消费点或其附近为商业、工业和居民用户供电的资产。与公用事业级设施不同，较小规模的太阳能与储能系统不在NERC CIP管辖范围内，这导致整个生态系统内的基线防护参差不齐。此外，大量分布式资产的聚合可能带来网络安全挑战。虚拟电厂等创新模式，通过集中式管理与控制平台聚合太阳能与储能等大量分布式能源资源（DERs），需要额外的网络安全考量。另外，与多数公用事业级设施不同，许多分布式系统依赖互联网连接实现并网及监控与控制功能。联网设备一直是攻击者所青睐的目标。此外，这些系统通常为用户或第三方所有，其网络安全知识或资源可能有限。

许多太阳能与储能资产依赖远程通信与管理，以支撑监控、维护与运行控制，从而优化性能、提高效率。这些远程访问通道必须得到妥善保护与管理，以降低未经授权访问的风险。太阳能与储能设施可能由公用事业公司、开发商或用户所有，网络安全责任由多方共担。资产所有者、运营商、工程采购施工（EPC）公司、供应商及其他第三方均以不同方式与该系统交互，无论是部署运营技术（OT）系统、维护远程访问，还是承担合规义务。这些利益相关方往往难以清晰界定网络安全的共担责任，而在网络事件发生时厘清并落实各实体的角色则更具挑战。

包括部署先进人工智能模型以优化能源资产在内的新兴技术，带来了新的网络安全风险并扩大了攻击面。若AI部署遭到破坏，可能造成运营效率下降、AI决策支持工具出错，以及电网组件误操作或故障等潜在的影响。此外，虽然防御方正迅速采用AI以提升可见性、识别并修复威胁，但AI也降低了恶意行为者攻击OT环境的门槛，并加快了漏洞被利用的速度。与供应商及第三方（包括资产集群管理平台、云服务商、托管服务提供商和电信运营商）的供应链相互依存关系，会带来网络安全风险，因而需要健全的第三方风险管理流程。

政策波动不仅带来可靠性风险，还威胁行业增长，也使网络安全规划复杂化。不可预测的联邦政策与法规，使各组织难以预判未来要求、协调采购决策，并投资于符合政策优先事项的安全措施。最后，许多组织面临将网络安全嵌入工程、运营与维护职能的内部挑战。确保各团队在网络安全目标上保持一致并落实安全防护措施可能颇为困难，因为这需要从根本上改变OT系统传统的设计、运行与维护方式。尽管能源行业各部分都面临网络安全挑战，太阳能与储能行业正日益为电网提供可靠性服务。主动应对行业内的网络安全挑战，对支撑其持续增长至关重要。

美国能源行业网络安全政策现状

太阳能与储能行业的网络安全政策现状，因部署规模不同而有所差异。截至2026年，NERC CIP强制性网络安全要求仅限于满足以下门槛、被认定为大电网系统(BPS)组成部分的设施：以100千伏以上电压并网，且容量达7.5万千伏安。NERC CIP可靠性标准传统上仅涵盖大型集中式发电设施。然而，主要由太阳能及其他可再生能源增长推动的电网转型，近年来重塑了NERC可靠性标准。这包括新的合规门槛、评估基于逆变器资源（IBR）影响等级的新标准，以及新出台的相关规范。

NERC的IBR注册计划将要求更多IBR向NERC注册并符合NERC可靠性标准。新的注册标准包括：单座IBR电厂以60千伏以上电压并网、聚合铭牌容量超过2万千伏安的IBR的发电业主与运营商，即所谓的第二类。NERC表示，这一变化意味着影响骨干电网(BES)的IBR中，97.5%将受NERC可靠性标准制约。截至2026年5月，561家新注册的第二类实体须遵守八项与运行和规划相关的NERC可靠性标准。虽然目前尚无针对这些实体生效并可强制执行的CIP标准，但NERC拟在将这些标准视为对新注册实体适用且可强制执行之前，至少修订部分现有CIP标准。这些变化将为此前不受NERC管辖的太阳能与储能实体带来新的网络安全要求。

此外，NERC将资产按低、中、高影响分级，并根据一旦泄漏所造成后果的严重程度，规定不同层级的安全要求。2025年，NERC作出重大调整，着手修订IBR等历史上属于低影响资产的分类，要求更严格的安全控制，甚至将其归类为中等影响。新的NERC CIP标准正进一步重塑太阳能与储能运营的网络安全格局。例如，自2026年4月起生效的NERC CIP-003-9，要求对低影响系统实施强健的供应商远程访问网络安全控制，以承认供应链与第三方供应商在安全中的关键作用。此外，联邦能源监管委员会（FERC）近期批准的CIP-003-11，将在未来几年内开始执行，将要求针对低影响BES网络系统设定新的电子访问网络安全基线保障。尽管BES发生了上述重大变化，但接入配电网的太阳能与储能场站仍不在NERC CIP的适用范围内。