Dotacja PME 2 a cyberbezpieczeństwo EMS

Program „Przydomowe Magazyny Energii” (PME 2) po raz pierwszy wiąże dotację z wymogiem cyberbezpieczeństwa dla systemu zarządzania energią (EMS) i falownika. Nabór wniosków trwa od 20.10.2026. Dla inwestora oznacza to jedno: wymóg jest wpisany w program i w protokół odbioru, a składając oświadczenia odpowiadasz za ich prawdziwość — dlatego komplet dokumentów od producenta trzeba mieć w ręku, zanim złożysz wniosek.

Aktualizacja 22.10.2026. Od pierwszej wersji tego artykułu (03.09.2026) zmieniło się kilka rzeczy: (1) NFOŚiGW opublikował program priorytetowy i regulamin naboru, a nabór ruszył 20.10.2026 — regulamin nie zawiera jednak wykazu dokumentów cyberbezpieczeństwa, a zgodność z wymogami opiera się na oświadczeniach Wnioskodawcy; (2) Deye opublikował deklaracje zgodności UE z dyrektywą RED dla falowników serii SG05LP3-EU-SM2 i rejestratora DL1000B — z powołaniem EN 18031-1:2024, ale bez EN 18031-2; (3) dodałem sekcję z moją korespondencją z Deye (zapytania z 03.09 i 07.09.2026 i odpowiedzi — a właściwie ich brak); (4) dodałem zalecenie projektanta, jak ująć EMS i wymagania cyber w dokumentacji technicznej magazynu energii, wraz z przykładowym tekstem dla układu z Deye. (5) 23.10.2026 dodałem sekcję z wyjaśnieniami NFOŚiGW z FAQ programu i komunikatu z 14.10.2026 (kto spełnia wymogi cyber przy falowniku i EMS, czym się je udowadnia).

Skąd wymóg w zakresie cyberbezpieczeństwa?

Współczesny magazyn energii nie pełni jedynie funkcji „baterii”. To urządzenie elektryczne zwykle połączone z siecią domową i Internetem: ma rejestrator danych (moduł Wi-Fi lub 4G), aplikację mobilną, konto w chmurze producenta, a często zdalne sterowanie z poziomu agregatora lub operatora sieci. Każdy z tych elementów jest potencjalnym punktem ataku i wejścia do urządzenia oraz sieci domowej i wywołania skutków w Twoim majątku, a „armia” tysięcy takich magazynów energii z możliwością zdalnego sterowania staje się elementem mogącym mieć wpływ na bezpieczeństwo społeczeństwa i krajowego systemu elektroenergetycznego. Co stało by się, gdyby grupa hakerów w przyszłośc włamała się do 200 tysięcy magazynów energii i dała polecenie ładowania z sieci z przeciążeniem niszczącym baterię? Ile z nich wywołałoby pożary i dodatkowo zapady napięcia w sieci dystrybucyjnej? Nie chcę przy tym podpowiadać innych możliwych scenariuszy złośliwego ataku na posaidaczy magazynów…

Dlatego w programie priorytetowym PME 2 (pkt 7.5 ust. 9) znalazł się zapis, że system zarządzania energią ma spełniać wymogi cyberbezpieczeństwa „wynikające z dokumentów UE takich jak NIS2, CRA oraz RED DA” — czyli lista jest otwarta — oraz być zgodny z normą ETSI EN 303 645. Wymóg dotyczy warstwy cyfrowej zestawu — rejestratora, chmury i aplikacji — a nie samych ogniw akumulatora.

Przepisy prawne i normy — co znaczą dla inwestora

Wymogi PME 2 obejmują cztery różne akty prawne i jedną normę – dokumenty działające na odmiennych zasadach:

• NIS2 (dyrektywa (UE) 2022/2555) — obowiązek organizacyjny, nie produktowy. Dotyczy operatorów, agregatorów i dostawców usług chmurowych — nie prosumenta i nie instalatora. W praktyce: producent lub operator chmury powinien wykazać się systemem zarządzania bezpieczeństwem (ISO/IEC 27001 lub IEC 62443) i przetwarzaniem danych w UE. W Polsce dyrektywę wdraża nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3.04.2026.
• CRA (rozp. (UE) 2024/2847) — obowiązek produktowy i wiążący. Wymaga projektowania z myślą o bezpieczeństwie, braku znanych podatności przy wprowadzeniu do obrotu, bezpłatnych aktualizacji przez cały okres wsparcia, wykazu komponentów oprogramowania (SBOM) i polityki obsługi podatności. Raportowanie podatności do ENISA od 11.09.2026, pełne stosowanie od 11.12.2027.
• RED DA (akt delegowany (UE) 2022/30 do art. 3 ust. 3 lit. d/e/f dyrektywy RED 2014/53/UE) — obowiązek produktowy dla urządzeń radiowych (Wi-Fi, Bluetooth, LTE). Obowiązuje od 1.08.2025. Zgodność wykazuje się deklaracją UE z powołaniem norm zharmonizowanych EN 18031-1 (ochrona sieci) i EN 18031-2 (ochrona danych osobowych).
• ETSI EN 303 645 — norma dobrowolna, ale traktowana jako techniczna „baza”: 13 zasad bezpieczeństwa urządzeń IoT (brak domyślnych haseł, kanał zgłaszania podatności, regularne aktualizacje, szyfrowana komunikacja, integralność oprogramowania). W praktyce jest podzbiorem EN 18031.

Najważniejszy wniosek: nie istnieje „certyfikat PME 2″. Liczy się komplet deklaracji i oświadczeń producenta.

Harmonogram

• 2024-09 — aktualna edycja ETSI EN 303 645 (V3.1.3) oraz normy EN 18031:2024.
• 01.08.2025 — RED DA zaczyna obowiązywać. Każde urządzenie radiowe wprowadzone do obrotu w UE po tej dacie musi mieć EN 18031 w deklaracji zgodności.
• 11.09.2026 — CRA: obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów do ENISA.
• 02.10.2026 — opublikowany regulamin naboru (program priorytetowy „Dofinansowanie przydomowych magazynów energii”, część 2, finansowanie ze środków FM); regulamin nie zawiera wykazu środków dowodowych z zakresu cyberbezpieczeństwa.
• 20.10.2026, godz. 9:00 — start naboru ciągłego w Generatorze Wniosków o Dofinansowanie; wnioski do 01.10.2027, godz. 20:00 lub do wyczerpania alokacji (budżet do 1 mld zł).
• 22.10.2026 — na stronie programu pojawia się zaktualizowany wzór protokołu odbioru (poprzednia wersja: 07.07.2026) — przed złożeniem wniosku sprawdź, że używasz aktualnego wzoru.
• 11.12.2027 — CRA: pełne stosowanie wymagań zasadniczych (załącznik I).

EMS to nie sterownik

Program wprost stwierdza, że za EMS nie uznaje się prostych sterowników ani aplikacji wizualizacyjnych bez funkcji decyzyjnych i bez analizy danych pogodowych oraz ekonomicznych. Wprost z programu wynika: sterowanie ładowaniem i rozładowaniem magazynu według profili czasowych (pkt 7.3 ust. 8) oraz zarządzanie przepływami energii według priorytetów z ograniczaniem niekontrolowanego eksportu w szczycie produkcji (pkt 7.5 ust. 9). Osobnym warunkiem dotacji do magazynu jest możliwość pracy wyspowej, wykazana w protokole odbioru (pkt 7.3 ust. 2). Poniższa lista to funkcje, które realnie odróżniają EMS od prostego sterownika — część wynika wprost z programu, część to moja ocena i dobra praktyka:

• automatyczne sterowanie ładowaniem i rozładowaniem magazynu;
• pracę według harmonogramów i profili czasowych;
• zarządzanie przepływami wg priorytetów: autokonsumpcja → magazyn energii → magazyn ciepła → eksport;
• ograniczanie niekontrolowanego eksportu w szczycie produkcji (limit dynamiczny lub zerowy);
• funkcje decyzyjne z prognozą produkcji PV (dane pogodowe) i analizą taryf oraz cen giełdowych energii;
• sterowanie odbiorami (grzałka, pompa ciepła, ładowarka EV) — najlepiej po otwartym protokole (EEBus, Modbus TCP, SG-Ready);
• współpracę z pracą wyspową magazynu oraz pracę lokalną przy braku łączności z chmurą (tryb fail-safe).

Rejestracja i wizualizacja danych jest tu uzupełnieniem — nie zastępuje funkcji decyzyjnych. Sam falownik z domyślną aplikacją monitorującą (np. Solarman) to za mało; potrzebna jest osobna warstwa EMS — u Deye rolę tę pełni Deye Copilot (Deye Cloud, aplikacja w wersji ≥ 3.2.0), i to jej nazwę wpisuje się do wniosku oraz protokołu odbioru.

Co musi dostarczyć producent urządzeń na potrzeby PME 2?

Realny pakiet dowodowy, o który należy wystąpić do producenta EMS i falownika przed zamówieniem sprzętu:

• Deklaracja zgodności UE (EU DoC) z powołaniem dyrektywy RED 2014/53/UE i aktu delegowanego (UE) 2022/30.
• Powołanie w deklaracji normy EN 18031-1 oraz EN 18031-2 (przy funkcjach płatniczych także EN 18031-3).
• Informacja, czy zastosowano „restrictions” z EN 18031 — jeśli tak, wymagany certyfikat jednostki notyfikowanej i raport z testów penetracyjnych.
• Oświadczenie lub raport zgodności z ETSI EN 303 645 (opcjonalnie wynik oceny wg ETSI TS 103 701).
• Oświadczenie o zgodności lub gotowości do CRA.
• Zadeklarowany okres bezpłatnych aktualizacji bezpieczeństwa — minimum 5 lat, najlepiej równy okresowi życia magazynu.
• Podpisywane aktualizacje firmware; brak domyślnych haseł i wymuszona zmiana przy pierwszym uruchomieniu.
• Polityka obsługi podatności i publiczny kanał zgłaszania (PSIRT / security.txt); SBOM na żądanie.
• Wykaz modułów radiowych w urządzeniu — to one wyzwalają obowiązek RED DA.
• Dla części chmurowej: ISO/IEC 27001 lub IEC 62443, przetwarzanie danych w UE, umowa powierzenia (RODO).
• Potwierdzenie, że data produkcji egzemplarza jest po dacie obowiązywania regulacji (RED DA: po 1.08.2025). Uwaga na rozbieżność w dokumentach programu: strona przydomowemagazyny.gov.pl mówi o urządzeniach „wyprodukowanych” po wejściu w życie tych dokumentów, a protokół odbioru (wzór z 22.10.2026) — o urządzeniach „zakupionych” po ich wejściu w życie. Bezpieczniej spełnić oba warunki.

Uwaga: dokumentację cyberbezpieczeństwa trzeba mieć skompletowaną, zanim złożysz wniosek. Regulamin naboru (opublikowany 2.10.2026) nie wymienia dokumentów cyber wśród załączników. Zgodność z wymogami programu jest oceniana na podstawie oświadczenia Wnioskodawcy (kryterium jakościowe nr 1), a w protokole odbioru Wnioskodawca potwierdza, że został poinformowany o wymogach i ma obowiązek pozyskać informację, czy jego EMS je spełnia — pod rygorem art. 297 § 1 k.k. Oceniający ma przy tym prawo skierować wniosek do uzupełnienia z prośbą o dodatkowe wyjaśnienia, oświadczenia i dokumenty, które nie są załącznikami obowiązkowymi (maksymalnie dwukrotnie, po 10 dni roboczych), a niespełnienie kryterium dostępu (np. brak zastosowanego EMS) oznacza odrzucenie bez możliwości poprawy. Wcześniejsza zapowiedź, że brak jednego dokumentu skutkuje odrzuceniem bez wezwania, nie znalazła potwierdzenia w regulaminie.

Kto może wydać ocenę zgodności?

Uprawnienia budowlane oraz świadectwa kwalifikacyjne SEP (E/D) nie obejmują cyberbezpieczeństwa ani oceny zgodności wyrobów radiowych — nie dają umocowania do wydania takiej oceny i każdy inwestor powinien to wiedzieć, zanim zleci jakąkolwiek usługę „specjaliście”. 1) uprawnienia budowlane (w specjalności instalacyjnej — sieci, instalacje i urządzenia elektryczne i elektroenergetyczne) upoważniają do projektowania i/lub kierowania robotami: doboru i zabezpieczenia instalacji, ochrony przeciwporażeniowej, przepięciowej i przeciwpożarowej, zgodności z Prawem budowlanym, warunkami technicznymi i normą PN-HD 60364. Oświadczenie projektanta z art. 20 Prawa budowlanego dotyczy zgodności projektu z przepisami — nie zgodności wyrobu z dyrektywą unijną. Projektant potwierdza, że instalacja jest zaprojektowana zgodnie z przepisami i zasadami wiedzy technicznej, czyli jest bezpieczna dla użytkownika; nie potwierdza natomiast, że firmware urządzenia nie ma zaszytych haseł ani że deklaracja zgodności powołuje EN 18031.

2) świadectwa kwalifikacyjne SEP (Grupa 1, stanowisko eksploatacja E / dozór D) — wydawane na podstawie rozporządzenia z 1 lipca 2022 r. — potwierdzają kompetencje do eksploatacji lub dozoru urządzeń elektrycznych: konserwacji, kontroli i pomiarów, montażu, napraw. To potwierdzenie podstawowych kwalifikacji osoby wykonującej prace elektryczne, a nie ocena, czy produkt spełnia wymagania RED, CRA czy normy ETSI. Świadectwo SEP nie mówi nic o wyrobach radiowych, EN 18031 ani ISO/IEC 27001 – Stąd osoba ze świadectwem G1+D nie ma podstaw, aby wydawać opinie w zakresie cyberbezpieczeństwa.

Ocena zgodności cyberbezpieczeństwa należy do innego systemu. Reguluje ją prawodawstwo produktowe UE (dyrektywa RED 2014/53/UE z aktem delegowanym 2022/30, rozporządzenie CRA 2024/2847), a w Polsce ustawa z 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku. Procedurę prowadzi producent (samoocena — moduł A) albo — gdy norm nie stosuje się w całości — jednostka notyfikowana (badanie typu UE), akredytowana przez PCA wg EN ISO/IEC 17065 i zgłoszona w bazie NANDO. Badania wykonują laboratoria akredytowane wg EN ISO/IEC 17025 (dla EN 303 645 — wg ETSI TS 103 701). Nadzór rynku nad urządzeniami radiowymi sprawuje UKE, ogólny — UOKiK. W polskim prawie nie istnieje uprawnienie osobiste, które pozwalałoby pojedynczemu inżynierowi wydać ocenę zgodności wyrobu — to funkcja akredytowanej organizacji. W związku z powyższym, do obowiązków projektanta, instalatora, należy skompletowanie i rzetelne sprawdzenie dokumentów producenta: deklaracji zgodności UE, oznakowania CE, przywołanych norm (EN 18031‑1/‑2, EN 303 645), raportów z badań lub atestów, zgodności modelu i wersji firmware, zadeklarowanego okresu wsparcia, kanału PSIRT (Product Security Incident Response Team — zespół u producenta odpowiedzialny za obsługę podatności (luk bezpieczeństwa) w jego produktach). Oświadczenie składane we wniosku powinno brzmieć: „urządzeniu towarzyszy deklaracja zgodności UE nr … powołująca normy …” — czyli oświadczenie potwierdza posiadanie dokumentów, a nie zawiera własnej atestacji bezpieczeństwa. Podpisanie oświadczenia typu „zaświadczam, że ten EMS spełnia NIS2 / CRA / RED DA / EN 303 645″ to wyjście poza umocowanie i przejęcie odpowiedzialności, której nie trzeba brać.

• Producent (lub jego upoważniony przedstawiciel w UE) ponosi odpowiedzialność prawną: wystawia deklarację zgodności UE i znak CE.
• Jednostka notyfikowana oraz akredytowane laboratoria (wg ISO/IEC 17025) i jednostki certyfikujące — np. TÜV SÜD, CQC — wykonują badania i wydają raporty oraz certyfikaty, gdy norm nie stosuje się w całości.
• Nadzór rynku: w Polsce UKE (urządzenia radiowe) i UOKiK; zgłoszenia podatności wg CRA trafiają do ENISA i właściwego CSIRT.
• Projektant i instalator kompletują i weryfikują dokumenty producenta (due diligence). Oświadczenie składane we wniosku potwierdza, że sprzęt posiada te dokumenty — nie jest własną atestacją podpisującego.

Do czego przypisana jest dokumentacja

Kto WYDAJE ocenę zgodności

Czy na rynku są rozwiązania zapewniające w 100% zgodność dokumentacji z PME 2?

Pamiętajmy, że PME 2 to program dotacyjny, a nie system certyfikacji. NFOŚiGW nie certyfikuje urządzeń, nie prowadzi listy zatwierdzonych modeli, nie ma znaku „PME 2 compliant” ani jednostki, która by go nadawała. Zgodność ocenia się z dokumentów wniosku wg regulaminu naboru — a ten (opublikowany 2.10.2026) nie zawiera katalogu środków dowodowych z zakresu cyberbezpieczeństwa. Zgodność wynika z oświadczeń Wnioskodawcy w protokole odbioru, a jedynym realnym zabezpieczeniem inwestora są dokumenty producenta.

Dlatego dziś nikt — łącznie z pracownikami NFOŚiGW — nie odpowie definitywnie: „tak, ten zestaw spełnia wymogi PME 2″. Jeśli Twój sprzedawca daje Ci takie zapewnienie „na 100%”, to niech wpisze to w umowę o dostawę i montaż magazynu energii z takim oświadczeniem i zastrzeżeniem, że w przypadku odrzucenia wniosku przez NFOŚiGW, zobowiąże się do zmniejszenia wartości umownej przedmiotu umowy o pełną wartość dotacji, o którą będzie w Twoim imieniu wnioskował…. jak podpisze taki paragraf, to ja też poproszę o namiar na takiego instalatora. W tym temacie bądźmy ze sobą szczerzy drodzy państwo.

Nie istnieje coś takiego jak „certyfikat PME 2″ — ani dla samodzielnego systemu EMS, ani dla falownika czy magazynu. Oceniana jest dokumentacja cyberbezpieczeństwa warstwy cyfrowej — w większości zestawów jest to falownik wraz z rejestratorem danych, chmurą i aplikacją (bo EMS to zwykle funkcja falownika), a osobno — samodzielne urządzenie EMS, jeśli występuje. Dojrzałość tej dokumentacji jest u poszczególnych producentów bardzo różna.

W większości ofert EMS nie jest osobnym pudełkiem — to funkcja falownika i jego chmury (Deye Copilot, Huawei EMMA, SMA Sunny Home Manager). Wtedy:

• ocenia się falownik + jego warstwę cyfrową (rejestrator + chmura + aplikacja) — i to jego dokumentacja jest „bardzo różnej dojrzałości” (Deye publikuje atesty, GoodWe DoC, większość — nic);
• magazyn bez modułu radiowego (HV po CAN) nie wnosi wymogu RED DA — potrzebuje tylko karty produktu i deklaracji CE;
• osobne urządzenie EMS to druga, niezależna ścieżka dowodowa — i tu też jest różnie.

Najpełniejsza dokumentacja

Producenci z najbardziej dojrzałym procesem bezpieczeństwa produktu. Huawei, SMA, Fronius, Kostal i SolarEdge prowadzą publiczne zespoły reagowania na podatności (PSIRT) i publikują biuletyny bezpieczeństwa, mają doświadczenie z dyrektywą RED i regularnie aktualizują oprogramowanie. Najpewniej jako pierwsi udostępnią kompletne deklaracje zgodności z RED DA / EN 18031 — ale status każdorazowo przesądza deklaracja konkretnego modelu i jego modułu radiowego (dla części z tych systemów wyrobem radiowym jest moduł komunikacyjny falownika, a nie sam „energy manager”).

• Huawei, SMA, Fronius, Kostal, SolarEdge rzeczywiście mają dojrzałe procesy bezpieczeństwa produktu — publiczne strony „Product Security / PSIRT” i biuletyny podatności (Huawei — PSIRT, SMA — Cybersecurity / security notifications, Fronius — Vulnerability Disclosure Policy, KOSTAL — Cyber security, SolarEdge — Coordinated Vulnerability Disclosure Policy i advisories SEDG; adresy w sekcji „Źródła i dokumenty” na końcu artykułu). To jest sprawdzalne — przy czym Fronius, wg mojego przeglądu z 23.10.2026, publikuje politykę zgłaszania podatności i informację o certyfikacji ISO 27001 (2022), ale nie znalazłem listy biuletynów bezpieczeństwa. Falowniki SMA i Fronius produkowane w UE kwalifikują się do bonusu za pochodzenie z UE.
• SMA (Niemcy) i Fronius (Austria) — falowniki produkowane w UE, co daje dodatkową dotację. Uwaga: wg wzoru protokołu odbioru bonus jest przypisany do kraju pochodzenia falownika i weryfikowany zdjęciem tabliczki znamionowej — bez zdjęcia brak bonusu.

Deye jako jedyny masowo dostępny producent publikuje atesty TÜV SÜD dla ETSI EN 303 645 (edycja V2.1.1) i EN 18031-1, brytyjski UK PSTI oraz certyfikaty CQC ISO/IEC 27001 i 27701 — z zastrzeżeniem, że dotyczą one rejestratora danych (DL1000B), a nie samego falownika. Aktualizacja 22.10.2026: na deyeinverter.com są już także deklaracje zgodności UE z dyrektywą RED dla falowników serii SG05LP3-EU-SM2 (DOC-DY260608002 z 8.06.2026 — SUN-14/15/16/18/20K; DOC-DY260713001 z 13.07.2026 — SUN-3…12K) oraz dla rejestratora DL1000B-WIFI (DOC-DY260716003 z 16.07.2026). W obszarze cyberbezpieczeństwa (art. 3.3 RED) powołują one wyłącznie EN 18031-1:2024 — bez EN 18031-2 i EN 18031-3. Deklaracja falownika jest sformułowana warunkowo („jeżeli falownik jest wyposażony w bezprzewodowy rejestrator danych”) i zawiera adnotację, że znak CE jest umieszczany na produkcie od 2026 r. — co warto zestawić z datą produkcji konkretnego egzemplarza. Poza Deye żaden z „toppowych” producentów nie publikuje otwarcie atestów cyber (EN 303 645 / EN 18031) do pobrania — trzeba je wyprosić. RED DA obowiązuje od 1.08.2025, więc deklaracje zgodności UE istnieją na portalach producentów, ale nie są eksponowane ani indeksowane w wyszukiwarkach. Poniżej stan realny.

Stan dokumentacji cyber — magazyny HV + falowniki

Żaden producent nie ma „certyfikatu CRA” — CRA nie jest jeszcze w pełni stosowana (od 11.12.2027). Można prosić o oświadczenie gotowości; realnie mają je dziś Huawei, SMA, Sungrow.

EMS niezależne (instalacja wielomarkowa)

Dla instalacji z wielu marek lub falownika bez funkcji decyzyjnych: gridX (XENON) — platforma klasy operatorskiej pozycjonowana pod wymagania agregacyjne, więc zwykle z dojrzałą dokumentacją (do potwierdzenia); Solarwatt Manager flex (niezależny HEMS, EEBus), Loxone Miniserver (wymaga konfiguracji; potwierdzić deklaracje RED DA). Rozwiązania „all‑in‑one” E3/DC oraz SENEC — z zastrzeżeniem, że SENEC ma w historii incydent bezpieczeństwa chmury (2023). myenergi (libbi) — sprzęt brytyjski, bez bonusu za UE.

Rozwiązania polskie

Na rynku mamy przykładowo: – ZiZE – otwarty HEMS, polski zespół z zapleczem IT-security, – Breeze EMS – działa lokalnie, dane pozostają w domu — najlepsza architektura pod kątem cyber, – SOLBAT EMS – dane w UE, – Prometeo. Wszystkie wymagają pozyskania pełnego kompletu deklaracji.

Rozwiązania DIY (Do It Yourself, „zrób to sam”)

Victron, ESP-EMS, Home Assistant — funkcjonalnie mocne, ale żaden z dostawców nie występuje jako producent zintegrowanego EMS w rozumieniu przepisów: brak deklaracji zgodności obejmującej wymagania cyberbezpieczeństwa (RED DA / EN 18031 / EN 303 645) oraz brak zadeklarowanego okresu wsparcia bezpieczeństwa i formalnej obsługi podatności (CRA). Odpowiedzialność Victrona kończy się na sprzęcie w konfiguracji fabrycznej; przy Home Assistant i ESP-EMS operatorem systemu staje się instalujący. Do wniosku PME 2 to ryzyko formalne — odradzane.

Home Assistant to programowanie open source (Apache 2.0), Open Home Foundation + Nabu Casa jako podmiot komercyjny, ma program bezpieczeństwa: politykę ujawniania podatności, biuletyny, szybkie wydania, bug bounty — więc nie jest „bez opieki”, ale dystrybuowane „as is”, bez rękojmi. Przy samodzielnym hostowaniu to instalujący jest operatorem/integratorem. Brak deklaracji zgodności UE — to nie jest wyrób wprowadzany do obrotu przez jeden podmiot; status pod CRA dla open source jest złagodzony (rola „opiekuna oprogramowania open source”), pełne obowiązki producenta włączają się dopiero przy działalności komercyjnej. Setki integracji społecznościowych o bardzo różnej jakości są poza kontrolą rdzenia. Jest zespół i proces bezpieczeństwa, ale nie ma „producenta wyrobu EMS” z deklaracją i zobowiązaniem wsparcia.

Przy wyborze sprzętu kieruj się faktem, czy istnieje jeden podmiot odpowiedzialny za cały system sterujący magazynem jako wyrób, który:

1. Wystawia deklarację zgodności UE obejmującą wymagania cyber — RED DA (rozp. (UE) 2022/30, art. 3(3) d/e/f, obowiązkowe od 1.08.2025; normy zharmonizowane serii EN 18031; EN 303 645 jako baseline IoT, do którego się odnosicie w analizie);
2. Deklaruje okres wsparcia bezpieczeństwa i prowadzi obsługę podatności — zgodnie z CRA (rozp. (UE) 2024/2847; obowiązki raportowania od 11.09.2026, obowiązki producenta od 11.12.2027);
3. Ponosi odpowiedzialność cywilną / rękojmię za wyrób.

Pojedynczo żaden z trójki Victron, ESP-EMS, Home Assistant nie spełnia pkt 1 dla zintegrowanego EMS. Co więcej — składając te klocki samodzielnie, wnioskodawca/instalator sam staje się „producentem” EMS i przejmuje obowiązki 1–3, co dla większości instalatorów jest niewykonalne. Stąd rekomendacja EMS z gotową deklaracją producenta.

Korespondencja z Deye w sprawie dokumentów cyber — stan na 22.10.2026

Projektując instalację fotowoltaiczną z magazynem energii dla klienta, który oczekiwał pełnej dokumentacji cyberbezpieczeństwa pod PME 2, dobrałem falownik Deye SUN-15K-SG05LP3-EU-SM2 i zwróciłem się do producenta o brakujące dokumenty. Przebieg korespondencji:

• 03.09.2026, godz. 19:54 — mój mail „Certyfikaty dla Deye SUN SG05 pod PME 2” do Deye Service (kontakt@deyeservice.com), z załącznikiem „Deye certyfikaty…”, z ośmioma konkretnymi pozycjami (zestawienie poniżej).
• 07.09.2026, godz. 9:51 — odpowiedź Deye Service (kontakt@deyeservice.com): „Nie posiadamy dokumentacji do falowników, zajmujemy się ich naprawą jako serwis, w celu uzyskania dokumentacji, proszę skontaktować się z Państwa dystrybutorem u którego planujecie zakupu falowników.”
• 07.09.2026, godz. 14:52 — ten sam mail wysłany do polskiego dystrybutora: kontakt@deyepolska.pl. Odpowiedzi brak — od 07.09.2026, czyli od 45 dni.

Zestawienie moich pytań ze stanem na 22.10.2026. W kolumnie „stan” opisuję, co udało mi się ustalić samodzielnie z dokumentów publicznych na deyeinverter.com — Deye ani Deye Polska nie odpowiedziały merytorycznie na żadną z pozycji.

Wnioski dla inwestora i instalatora: (1) serwis producenta nie jest właściwym adresatem — odsyła do dystrybutora; (2) dystrybutor, do którego trafiło zapytanie, milczy od 7 tygodni, więc nie zakładaj, że komplet dokumentów „dostarczy się sam” po zamówieniu sprzętu; (3) część dokumentów jest publicznie dostępna na stronie producenta i warto ją pobrać oraz sprawdzić treść (które normy faktycznie powołano), zamiast polegać na samym haśle „zgodne z RED”; (4) brakujące pozycje (EN 18031-2, CRA, aktualna ocena EN 303 645, chmura) wpisz do umowy z wykonawcą jako dokumenty do dostarczenia przed złożeniem wniosku. Jeśli Deye lub Deye Polska odpowie, uzupełnię tę sekcję.

Aktualne wymogi PME 2 dotyczące EMS i cyberbezpieczeństwa — stan na 22.10.2026

Zestawienie z dokumentów opublikowanych przez NFOŚiGW (program priorytetowy, regulamin naboru, wzór protokołu odbioru z 22.10.2026):

Wyjaśnienia NFOŚiGW z FAQ i komunikatu z 14.10.2026 — sprawdzone 23.10.2026

Na stronie programu są jeszcze dwa źródła, które po 22.10.2026 uzupełniły moją weryfikację: FAQ dla PME część 2 (FM) i komunikat „Cyberbezpieczeństwo magazynów w programie PME 2” z 14.10.2026. Z nich wynika:

• Wymogi cyber dotyczą EMS — niezależnie od tego, czy jest to odrębne urządzenie, moduł magazynu czy funkcja falownika hybrydowego (FAQ pyt. 23, komunikat). EMS nie jest kosztem kwalifikowanym, ale jego posiadanie jest warunkiem dotacji (FAQ pyt. 10).
• Falownik współpracujący z EMS: gdy EMS i falownik komunikują się przewodowo, wymagania cyber dotyczą przede wszystkim EMS; gdy komunikacja jest bezprzewodowa lub falownik jest podłączony do sieci, wymagania muszą spełniać oba urządzenia (FAQ pyt. 21, komunikat). Dla układu Deye, w którym EMS jest funkcją falownika i chmury, a łączność zapewnia rejestrator Wi-Fi/4G, oznacza to, że dokumentacja cyber dotyczy całego toru: falownika, rejestratora, chmury i aplikacji.
• Czym to się udowadnia: oświadczeniem Wykonawcy w protokole odbioru oraz oświadczeniem Wnioskodawcy we wniosku (FAQ pyt. 74). FAQ nie wskazuje listy dokumentów ani „certyfikatu PME 2”.
• Wyjątek, w którym dokumenty producenta trafiają do wniosku: jeżeli Wnioskodawca nie ma kontaktu z wykonawcą i nie uzyska protokołu podpisanego przez niego (np. likwidacja firmy), sam wypełnia protokół i dołącza fakturę oraz „dokumenty potwierdzające spełnianie wymagań cyberbezpieczeństwa (np. certyfikat wydany przez producenta, oświadczenie producenta itd.)” (FAQ pyt. 51). To kolejny powód, by mieć komplet dokumentów producenta.
• Praca wyspowa (warunek obligatoryjny, pkt 7.3 ust. 2 programu): w protokole wskazuje się funkcję backup, nazwę i model urządzenia, które ją realizuje, i dołącza kartę katalogową lub inny dokument producenta (FAQ pyt. 75).

Komunikat NFOŚiGW i FAQ nie podają wykazu środków dowodowych ani wzoru dokumentów cyberbezpieczeństwa.

Czy wystarczy oświadczyć, czy trzeba mieć dokumenty od producenta?

Krótko: do wniosku nie trzeba dołączać dokumentów cyberbezpieczeństwa — ale nie wolno oświadczać „na słowo”. Dokumenty producenta są podstawą prawdziwości oświadczenia.

Co formalnie wymaga program

• Regulamin naboru nie wymienia dokumentów cyber wśród załączników. Dowodem zgodności EMS jest oświadczenie Wykonawcy w protokole odbioru i oświadczenie Wnioskodawcy we wniosku (FAQ, pyt. 74).
• NFOŚiGW nie prowadzi listy zatwierdzonych urządzeń i nie wydaje „certyfikatu PME 2”.

Dlaczego mimo to warto mieć komplet dokumentów

1. Oświadczenie jest składane pod rygorem odpowiedzialności. Regulamin wskazuje sankcje karne — w szczególności art. 297 k.k. (m.in. złożenie nierzetelnego pisemnego oświadczenia, ISAP) — oraz cywilnoprawne: zwrot dotacji wraz z odsetkami jak od zaległości podatkowych w przypadkach opisanych w umowie o dofinansowanie, a dodatkowo odpowiedzialność odszkodowawcza do wysokości szkody (regulamin naboru).
2. Urządzenia mogą być skontrolowane. Regulamin przewiduje pięcioletni okres trwałości (od wypłaty dofinansowania) i prawo NFOŚiGW do kontroli zainstalowanych urządzeń (regulamin naboru). Dokumenty producenta pozwalają wykazać, na jakiej podstawie złożono oświadczenie.
3. Wezwanie do uzupełnienia. Oceniający może dwukrotnie (po 10 dni roboczych) wezwać do dodatkowych wyjaśnień, oświadczeń i dokumentów, które nie są załącznikami obowiązkowymi (regulamin naboru). Bez dokumentów nie ma czym odpowiedzieć.
4. Brak protokołu od wykonawcy. Gdy Wnioskodawca nie ma kontaktu z wykonawcą (np. likwidacja firmy), sam wypełnia protokół i dołącza fakturę oraz „dokumenty potwierdzające spełnianie wymagań cyberbezpieczeństwa (np. certyfikat wydany przez producenta, oświadczenie producenta itd.)” (FAQ, pyt. 51).
5. Wykonawca też potrzebuje podstawy. To on podpisuje oświadczenie w protokole odbioru. Dlatego w umowie warto zobowiązać go do przekazania dokumentów dla konkretnych egzemplarzy (numery deklaracji zgodności UE, wersje firmware, data produkcji) przed złożeniem wniosku.

Jak to ująć w praktyce

Oświadczenie powinno potwierdzać posiadanie dokumentów i powołanie się na nie („urządzeniu towarzyszy deklaracja zgodności UE nr … powołująca normy …”), a nie własną atestację bezpieczeństwa. Ocena zgodności wyrobu należy do producenta i akredytowanych jednostek, nie do inwestora, instalatora ani projektanta (patrz sekcja „Kto może wydać ocenę zgodności?”). Nie wiadomo jeszcze, jak NFOŚiGW będzie weryfikować te oświadczenia w praktyce — nabór ruszył 20.10.2026, a dokumentacja naborowa nie zawiera katalogu środków dowodowych. Ostrożne podejście: wniosek i protokół składać dopiero z kompletem dokumentów producenta w ręku.

Zalecenie projektanta: jak ująć EMS i wymagania cyber w dokumentacji technicznej magazynu energii

Wniosek i protokół odbioru wymagają podania nazwy, rodzaju i funkcjonalności EMS, a oświadczenia Wnioskodawcy składane są pod rygorem odpowiedzialności karnej. Dlatego jako projektant zalecam, aby dokumentacja techniczna magazynu energii zawierała osobny, jednoznaczny opis EMS — tak, by wykonawca i inwestor mieli z czego wypełnić protokół, a projektant nie przejmował odpowiedzialności za ocenę zgodności wyrobu. Rekomendowana treść opisu:

1. Nazwa, rodzaj i funkcjonalność EMS — w trzech osobnych akapitach, w układzie zgodnym z protokołem odbioru: czy EMS jest funkcją falownika, modułem sterującym magazynem czy systemem zewnętrznym, kto jest jego producentem i jak nazywa go producent.
2. Element wykonawczy i tor komunikacji — które urządzenie realizuje sterowanie (np. falownik z harmonogramami czasowymi), jak łączy się z chmurą (rejestrator danych / moduł komunikacyjny).
3. Priorytety przepływu energii w projektowanej konfiguracji — zgodne z definicją z programu (jeśli w układzie jest magazyn ciepła, dopisz go do łańcucha priorytetów), oraz sposób ograniczania niekontrolowanego eksportu.
4. Wymagania cyber jako wymagania stawiane systemowi, nie jako oświadczenie projektanta — sformułowanie „system zrealizować tak, aby spełniał…” (a nie „system spełnia…”), z wymienieniem regulacji z programu, z przypisem o dacie produkcji urządzeń.
5. Dokumenty producenta wskazane z numerami dla konkretnego modelu falownika i rejestratora (deklaracja zgodności UE z RED i powołaną normą EN 18031, atesty EN 303 645) oraz zobowiązanie wykonawcy do przekazania inwestorowi kompletu przed odbiorem.
6. Praca wyspowa — opis możliwości zasilania awaryjnego z odwołaniem do karty katalogowej lub dokumentu producenta (warunek obligatoryjny z pkt 7.3 ust. 2 programu).

Jak opisałbym układ EMS z Deye

W układzie z falownikiem hybrydowym Deye EMS nie jest osobnym urządzeniem, lecz funkcją falownika i chmury producenta: warstwę decyzyjną stanowi Deye Copilot (aplikacja Deye Cloud), a element wykonawczy — falownik SUN-15K-SG05LP3-EU-SM2 z harmonogramami Time of Use, trybami pracy i limitem eksportu; łączność z chmurą zapewnia rejestrator DL1000B. Jako projektant opisywałbym ten układ w dokumentacji technicznej w taki sposób, jak w przykładowym tekście poniżej (z dokumentacji technicznej magazynu energii 32 kWh z falownikiem Deye SUN-15K-SG05LP3-EU-SM2):

Magazyn energii zostanie wyposażony w funkcję zarządzania energią EMS, tj. system inteligentnego sterowania przepływem energii pozyskanej z OZE pomiędzy bieżącym zużyciem urządzeń korzystających z energii elektrycznej, magazynem energii elektrycznej i siecią elektroenergetyczną, według ustalonych priorytetów.

Nazwa systemu EMS: Deye Copilot (aplikacja Deye Cloud, wersja ≥ 3.2.0), współpracujący z falownikiem hybrydowym Deye SUN-15K-SG05LP3-EU-SM2 za pośrednictwem rejestratora DL1000B (WiFi lub 4G).

Rodzaj systemu: chmurowy EMS oparty na prognozach (pogoda, obciążenie, taryfa). Element wykonawczy stanowi falownik (inwerter) SUN-15K-SG05LP3-EU-SM2 (harmonogramy Time of Use, tryby pracy, limit eksportu).

Funkcjonalność systemu EMS: sterowanie ładowaniem magazynu, sterowanie rozładowaniem magazynu, praca według profili czasowych (harmonogramy Time of Use z mocą i progiem SOC dla każdego okna).

Priorytety przepływu energii w projektowanej konfiguracji:
1) bezpośrednie pokrycie bieżącego zapotrzebowania,
2) magazynowanie energii elektrycznej,
3) oddawanie nadwyżek do sieci elektroenergetycznej.

Zespół urządzeń obejmujący magazyn energii elektrycznej wraz z systemem zarządzania energią (EMS) i falownikiem tworzą system magazynowania energii.

Projektowany system EMS zrealizować tak, aby spełniał wymagania wynikające z europejskich regulacji:
1) NIS2 – Dyrektywa dotycząca cyberbezpieczeństwa infrastruktury krytycznej.
2) CRA (Cyber Resilience Act) – Rozporządzenie dotyczące cyberbezpieczeństwa produktów cyfrowych.
3) RED DA* – Wymagania cyberbezpieczeństwa wynikające z Dyrektywy RED dla urządzeń radiowych.
4) ETSI EN 303 645* – europejski standard cyberbezpieczeństwa dla urządzeń IoT.
* dla urządzeń wyprodukowanych po terminie wejścia w życie ww. dokumentów.

Dla rejestratora DL1000B producent posiada atesty TÜV SÜD: EN 18031-1:2024 oraz EN 303 645 V2.1.1.

Uwagi do przykładu, wynikające z weryfikacji z 22.10.2026: (1) ostatnie zdanie dotyczy rejestratora DL1000B — producent nie potwierdził jeszcze, że moduł „SM2” falownika jest z nim tożsamy (pytanie nr 4 z korespondencji powyżej), więc w dokumentacji warto dopisać zobowiązanie wykonawcy do przekazania dokumentów dla konkretnego egzemplarza; (2) do atestów warto dodać numery deklaracji zgodności UE producenta: DOC-DY260608002 (falownik SUN-15K-SG05LP3-EU-SM2) i DOC-DY260716003 (rejestrator DL1000B-WIFI), pamiętając, że powołują one EN 18031-1:2024, a nie EN 18031-2; (3) zapis „system zrealizować tak, aby spełniał” jest zamierzony — projektant określa wymaganie, a zgodność wyrobu potwierdza dokumentami producent.

Zapisy do umowy z wykonawcą

• Gwarancja, że urządzenie i EMS spełniają wymagania PME 2 w dniu odbioru, wraz z kompletem dokumentów.
• Zobowiązanie do dostarczania aktualizacji bezpieczeństwa przez cały zadeklarowany okres wsparcia (min. 5 lat).
• Wskazanie podmiotu odpowiedzialnego za obsługę incydentów i podatności oraz czasu reakcji.
• Warunek: data produkcji dostarczonych egzemplarzy po dacie wejścia w życie regulacji (RED DA: po 1.08.2025).
• Prawo odstąpienia lub wstrzymania płatności, jeśli dokumenty cyberbezpieczeństwa nie zostaną dostarczone przed złożeniem wniosku.
• Przekazanie inwestorowi instrukcji zmiany haseł, konfiguracji sieci i zasad bezpiecznego dostępu zdalnego.

Jak wybrać urządzenia?

Regulamin i program, opublikowane w październiku 2026, nie zawierają katalogu środków dowodowych cyber. Formę dowodu pokazuje wzór protokołu odbioru opublikowany przez NFOŚiGW (wersja z 22.10.2026; poprzednia — 07.07.2026): na etapie odbioru Wnioskodawca oświadcza, że został poinformowany o wymogach cyberbezpieczeństwa EMS i ma obowiązek pozyskać informację, czy jego system je spełnia — pod rygorem odpowiedzialności karnej za fałszywe oświadczenie (art. 297 § 1 K.k.). Dlatego:

1. Wybieraj EMS według realnych funkcji decyzyjnych (sterowanie ład./rozład., profile czasowe, analiza pogody i cen), nie po deklaracjach marketingowych „cybersecure”.
2. Zażądaj od producenta — na piśmie, przed zamówieniem — kompletu dokumentów dla falownika i jego modułu komunikacyjnego oraz, jeśli jest EMS jest realizowany przez osobne urządzenie – komplet dokumentów dla urządzenia EMS: deklaracji zgodności UE z powołaniem RED 2014/53/UE i norm EN 18031‑1/‑2, oświadczenia o gotowości do CRA z okresem wsparcia, kanału PSIRT, ISO/IEC 27001 dla chmury i lokalizacji danych w UE. Sprawdź treść deklaracji — czy faktycznie powołuje EN 18031, a nie tylko „RED 2014/53/EU”. Nie zamawiaj produktów, o których z góry wiadomo, że tych dokumentów nie mają, chyba, że dotację z góry odpuszczasz.
3. Wpisz do umowy z wykonawcą klauzule: gwarancji zgodności z PME 2 na dzień odbioru wraz z kompletem dokumentów, zobowiązania do aktualizacji bezpieczeństwa przez zadeklarowany okres, wskazania podmiotu ds. incydentów, warunku daty produkcji egzemplarzy i prawa wstrzymania płatności, jeśli dokumenty nie zostaną dostarczone przed złożeniem wniosku.
4. Zadbaj o formalności podpisu: pełnomocnik nie podpisuje załączników; wszystkie dokumenty w jednolitej formie podpisu (własnoręczny — z poświadczeniem, albo elektroniczny).
5. Korzystaj z aktualnych dokumentów z przydomowemagazyny.gov.pl — regulamin nie wymaga dołączenia dokumentów cyber do wniosku, ale w protokole odbioru (aktualny wzór z 22.10.2026) składasz oświadczenia pod rygorem art. 297 § 1 k.k.; dokumenty producenta są Twoim zabezpieczeniem na wypadek wezwania do wyjaśnień.

O co konkretnie prosić producenta?

1. Deklaracja zgodności UE dla falownika/systemu i modułu komunikacyjnego — z powołaniem RED 2014/53/UE art. 3(3) lit. d/e/f oraz norm EN 18031‑1 i ‑2 (nie samo „RED 2014/53/EU”).
2. Certyfikat ISO/IEC 27001 (i/lub IEC 62443) organizacji + informacja o lokalizacji serwerów chmury w UE + umowa powierzenia (RODO).
3. Oświadczenie o gotowości do CRA + polityka zgłaszania podatności / kontakt PSIRT / security.txt.
4. Zadeklarowany okres bezpłatnych aktualizacji bezpieczeństwa (min. 5 lat).
5. Potwierdzenie daty produkcji egzemplarza po 1.08.2025 (i „nie wcześniej niż 24 miesiące przed montażem” — wymóg protokołu odbioru).
6. Ewentualnie: raport z badań ETSI TS 103 701 (EN 303 645), jeśli producent go ma.

mgr inż. Jarosław Bodak
03.09.2026r.

Źródła i dokumenty

Poniżej wykaz dokumentów i stron, na które powołuję się w artykule — z odnośnikami do oryginałów. Dokumenty, których producent nie udostępnia publicznie, a które otrzymałem lub mam w swoim archiwum, wgrałem do biblioteki mediów i można je pobrać z tej strony. Pliki publikowane przez producentów i instytucje mają dodatkowo kopię archiwalną w mojej bibliotece (na wypadek wymiany lub usunięcia oryginału). Stan linków: 23.10.2026.

Program PME 2 — dokumenty NFOŚiGW (przydomowemagazyny.gov.pl)

• Strona programu „Przydomowe Magazyny Energii” (PME 2) — informacje o programie, dokumenty do wniosku
• Program priorytetowy (PDF) — pkt 7.3 ust. 2 i 8, pkt 7.5 ust. 9–10, pkt 8 · kopia z mojej biblioteki
• Regulamin naboru wniosków, część 2 (PDF) — brak katalogu dokumentów cyber; kryteria; wezwania do uzupełnień · kopia z mojej biblioteki
• Wzór protokołu odbioru z 22.10.2026 (DOCX) — część 3: dane EMS i oświadczenia o wymogach cyber · kopia z mojej biblioteki
• FAQ dla PME część 2 (FM) — pyt. 10, 21, 23, 51, 74, 75 — EMS, cyberbezpieczeństwo, dowody
• Komunikat „Cyberbezpieczeństwo magazynów w programie PME 2” (14.10.2026) — EMS, falownik, komunikacja przewodowa / bezprzewodowa

Przepisy UE i normy

• Dyrektywa RED 2014/53/UE — art. 3 ust. 3 lit. d, e, f
• Rozporządzenie delegowane (UE) 2022/30 (RED DA) — stosowane od 1.08.2025
• Decyzja wykonawcza (UE) 2025/138 — publikacja norm EN 18031-1/-2/-3 — norma zharmonizowana w Dz.U. UE
• TÜV SÜD — opracowanie o cytowaniu norm cyber RED w Dz.U. UE — komentarz jednostki badawczej
• Rozporządzenie (UE) 2024/2847 (CRA) — Cyber Resilience Act
• Dyrektywa (UE) 2022/2555 (NIS2) — obowiązki organizacyjne
• ETSI EN 303 645 V3.1.3 (2024) — pełny tekst normy (PDF) — baza bezpieczeństwa urządzeń IoT · kopia z mojej biblioteki

Przepisy krajowe

• Prawo budowlane (ISAP — tekst aktualny) — art. 20 — oświadczenie projektanta; nowy art. 102a
• Ustawa z 13.04.2016 o systemach oceny zgodności i nadzoru rynku (ISAP) — notyfikacja, akredytacja, nadzór rynku
• Kodeks karny (ISAP) — art. 297 § 1 — fałszywe oświadczenie przy dotacji

Dokumenty Deye opublikowane na deyeinverter.com (pobrane i sprawdzone 23.10.2026)

• Dział Download → Declaration & Certificate — strona producenta z deklaracjami i certyfikatami
• DOC-DY260608002 — deklaracja zgodności UE, SUN-14/15/16/18/20K-SG05LP3-EU-SM2 (8.06.2026) — RED + RoHS, EN 18031-1:2024 · kopia z mojej biblioteki
• DOC-DY260713001 — deklaracja zgodności UE, SUN-3…12K-SG05LP3-EU-SM2 (13.07.2026) — analogiczny zakres · kopia z mojej biblioteki
• DOC-DY260716003 — deklaracja zgodności UE, rejestrator DL1000B-WIFI (16.07.2026) — RED + EN 18031-1:2024 · kopia z mojej biblioteki
• EMTEK ENB2605150301W00101C — weryfikacja RED, SUN-3…12K-SG05LP3-EU-SM2 — raport cyber ENS2505210166N00201R · kopia z mojej biblioteki
• EMTEK ENB2510310408W01301C — certyfikat zgodności, seria SG04LP3-EU — nie dotyczy SG05LP3-EU-SM2 · kopia z mojej biblioteki
• EMTEK ENS2505210166N00301C — weryfikacja EN 18031, SUN-100/125K-PCS01HP3 — moduł PCS magazynu 100–125 kW · kopia z mojej biblioteki
• TÜV SÜD D10 126304 0001 r.02 — ETSI EN 303 645 V2.1.1, DL1000B-WIFI — raport 874902436203-02 · kopia z mojej biblioteki
• TÜV SÜD D10 126304 0010 r.01 — EN 18031-1:2024, DL1000B-WIFI — raport 874902502600-01 · kopia z mojej biblioteki
• TÜV SÜD D10 126304 0009 r.01 — EN 18031-1:2024, DL1000B-4G — raport 874902502601-01 · kopia z mojej biblioteki

Dokumenty Deye, których nie ma publicznie — z mojego archiwum, do pobrania z jbprojekt.pl

• TÜV SÜD D10 126304 0002 r.02 — UK PSTI, DL1000B-WIFI (PDF) — raport 874902436205-02; materiał przekazany przez Deye Service
• CQC 00124IS20489R0M/3302 — ISO/IEC 27001:2022 (PDF) — Ningbo Deye Technology, ważny do 2027-12-04
• CQC CQC25PIM10006R0M/3302 — ISO/IEC 27701:2019 (PDF) — Ningbo Deye Technology, ważny do 2028-02-10
• Deklaracja zgodności UE nr 240508001 (8.05.2024) — SUN-14…20K-SG05LP3-EU-SM2 (PDF, wyciąg z instrukcji) — tylko LVD/EMC/RoHS; nie znalazłem jej już w dziale Download — pochodzi z instrukcji obsługi (wersja PL V2.1.0, Załącznik II, pkt 11)

Incydent platformy Deye/Solarman (2024)

• Bitdefender — raport „60 Hurts per Second…” (PDF) — konto z hasłem 123456, generowanie tokenów; zgłoszone 22.05.2024, załatane do lipca 2024 · kopia z mojej biblioteki
• The Hacker News — Researchers Uncover Vulnerabilities in Solarman and Deye Solar Systems — omówienie raportu (źródło wtórne)

Producenci z UE i inni — strony bezpieczeństwa produktu (sprawdzone 23.10.2026)

• Huawei — PSIRT
• SMA — Cybersecurity: security notifications
• Fronius — Vulnerability Disclosure Policy
• KOSTAL — Cyber security
• SolarEdge — Coordinated Vulnerability Disclosure Policy + advisories
• Fronius — ISO 27001 (certyfikacja ISMS, wrzesień 2022) — informacja producenta

Moje powiązane artykuły

• Certyfikaty cyberbezpieczeństwa Deye a dotacja PME 2 — analiza dokumentów Deye
• Certyfikaty cyberbezpieczeństwa Hoymiles HIT a dotacja PME 2 — analiza dokumentów Hoymiles

---

Opracowanie własne na podstawie założeń programu „Przydomowe Magazyny Energii”, odpowiedzi NFOŚiGW oraz publicznie dostępnej dokumentacji producentów. Stan na 22.10.2026 (wersja pierwotna: 03.09.2026) — wg programu priorytetowego i regulaminu naboru PME 2 opublikowanych w październiku 2026 oraz wzoru protokołu odbioru z 22.10.2026; przed złożeniem wniosku należy zweryfikować aktualne wersje dokumentów na przydomowemagazyny.gov.pl. Materiał ma charakter informacyjny i nie stanowi porady prawnej ani oceny zgodności w rozumieniu przepisów o ocenie zgodności.