Hoymiles HIT a wymagania PME 2 w zakresie cyberbezpieczeństwa

Hoymiles HIT (seria HIT‑(5–20)L‑G3) jest popularnym inwerterem w Polsce. Jak wygląda jego dokumentacja w zakresie cyberbezpieczeństwa?

Aktualizacja 22.10.2026. Nabór PME 2 ruszył 20.10.2026; regulamin naboru nie zawiera katalogu dokumentów cyber, a zgodność opiera się na oświadczeniach Wnioskodawcy w protokole odbioru (szczegóły: Dotacja PME 2 a cyberbezpieczeństwo EMS). W tym wpisie poprawiłem ocenę EMS (program wymaga minimum: sterowania ładowaniem i rozładowaniem wg profili czasowych) oraz porównanie z Deye, który opublikował już deklaracje zgodności UE z RED (EN 18031-1:2024). Dla serii HIT nie znalazłem nowych publicznych deklaracji zgodności z RED ani atestów EN 18031 — stan przed zakupem należy potwierdzić u producenta. Komunikat NFOŚiGW z 14.10.2026 i FAQ programu (sprawdzone 23.10.2026): wymogi cyberbezpieczeństwa dotyczą EMS, a przy łączności bezprzewodowej także współpracującego falownika; dowodem są oświadczenia wykonawcy (protokół odbioru) i wnioskodawcy (wniosek).

W chwili obecnej nie udostępnia żadnych atestów cyberbezpieczeństwa do pobrania — są jedynie deklaracje marketingowe oraz deklaracja zgodności UE bez dyrektywy RED. Do wniosku w programie „Przydomowe Magazyny Energii” (PME 2) wymaga to skompletowania kilku dokumentów od producenta.

EMS w Hoymiles?

Karta katalogowa opisuje „inteligentną funkcję EMS„: tryby zużycia własnego, ekonomiczny, awaryjny, zmniejszania szczytowych obciążeń, taryf czasowych (8 okresów w ciągu 24 h) oraz „zarządzanie energią przez system AI” z generatorem, pompą ciepła i inteligentnym obciążeniem. Komunikacja z baterią: CAN; magazyn niskonapięciowy 40–60 V. Do zweryfikowania: program PME 2 wymaga co najmniej sterowania ładowaniem i rozładowaniem magazynu w oparciu o profile czasowe (pkt 7.3 ust. 8) — taryfy czasowe (8 okresów w ciągu 24 h) wydają się to spełniać. Program nie uznaje za EMS prostych sterowników i aplikacji wizualizacyjnych bez funkcji decyzyjnych i bez analizy danych pogodowych lub ekonomicznych (pkt 7.5 ust. 10), a karta katalogowa nie deklaruje wprost analizy prognozy pogody ani cen giełdowych / RCEm. Trzeba więc potwierdzić u producenta, czy S-Miles Cloud realizuje funkcje decyzyjne wg prognozy produkcji i cen oraz czy EMS działa lokalnie przy braku łączności z chmurą (tryb fail-safe). Moduł Wi‑Fi / 4G jest opcjonalny. Bez niego znika „wyzwalacz” RED DA dla łączności falownika — ale znika też chmura i EMS działający przez chmurę.

Co jest publicznie dostępne?

Element	Stan
Deklaracja zgodności UE (w instrukcji HIT‑*L‑G3)	Obejmuje EMC 2014/30/UE, LVD 2014/35/UE, RoHS 2011/65/UE + 2015/863, WEEE 2012/19/UE — bez dyrektywy RED 2014/53/UE, bez art. 3.3(d)(e)(f), bez EN 18031, bez EN 303 645. Wpięta do instrukcji, nie osobny dokument z datą po 1.08.2025.
Karta katalogowa — „Certyfikaty i normy”	Tylko grid‑code (IEC 61727 / 62116, EN 50549, VDE‑AR‑N 4105) i bezpieczeństwo / EMC (IEC 62109‑1/‑2, EN 61000‑6). Żadnej normy cyberbezpieczeństwa.
Atesty EN 303 645 / EN 18031 do pobrania	Brak na stronie Hoymiles. Firma jedynie deklaruje („current products comply with RED EN 18031″, „certyfikaty TÜV Rheinland i Dekra”, „firmware z szyfrowaniem AES‑128‑CBC i oceną cyberbezpieczeństwa wg RED EN 18031″). Konkretnych PDF‑ów z numerem raportu, modelem i wersją firmware nie ma.
Polityka zgłaszania podatności (CVD)	✅ Jest — strona Cyber Security (PSIRT), formularz zgłoszeń i opisany proces reagowania (potwierdzenie przyjęcia zgłoszenia w 3 dni robocze, ocena wg CVSS). W pierwszej wersji artykułu podałem także adres e-mail oraz terminy 5 / 10 dni i aktualizacje co 7 dni — przy weryfikacji 23.10.2026 poprzedniego adresu strony już nie ma, a obecna wersja tych parametrów nie podaje (potwierdź u producenta). To więcej niż Deye, który nie ma publicznego PSIRT.
Incydent bezpieczeństwa	Lipiec 2026 — Chaos Computer Club: mikroinwertery serii HM (produkcja zakończona 08.2023) przyjmowały aktualizacje OTA bez uwierzytelnienia. Seria HIT nie jest objęta. CCC skrytykował początkową opieszałość Hoymiles; poprawka firmware (bezpłatna) zapowiedziana na 30.08.2026 wg pv magazine z 13.07.2026 — aktualny stan wdrożenia potwierdź u producenta.
CRA / ISO 27001 / SBOM / okres wsparcia	Brak publicznych dokumentów; strona „Cyber Security” zawiera wyłącznie politykę CVD.
Chmura S‑Miles Cloud	Lokalizacja przetwarzania danych niepotwierdzona jako UE.
Pochodzenie	Chiny (Hangzhou) — bez bonusu za produkcję w UE.

Braki wobec wymogów PME 2

• Deklaracja zgodności UE nie obejmuje RED ani cyberbezpieczeństwa — brak podstawowego dokumentu.
• Brak jakiegokolwiek atestu EN 18031‑1 do pobrania (u Deye jest — TÜV SÜD dla rejestratora danych).
• Brak EN 18031‑2 (RED art. 3.3 lit. e — prywatność / dane osobowe).
• Brak dokumentu CRA, brak publicznego ISO/IEC 27001, brak zadeklarowanego okresu wsparcia aktualizacjami bezpieczeństwa.
• EMS — niepotwierdzone funkcje decyzyjne z analizą prognozy pogody i cen; minimum programu (sterowanie ładowaniem i rozładowaniem wg profili czasowych) wydaje się spełnione, ale producent powinien potwierdzić, że EMS nie jest „prostym sterownikiem”.
• Lokalizacja danych S‑Miles Cloud poza potwierdzeniem UE.
• Świeży incydent bezpieczeństwa (CCC, 2026) z publiczną krytyką reakcji — sygnał dojrzałości procesu.

Hoymiles HIT a Deye — krótkie porównanie

Kryterium	Deye	Hoymiles HIT
Atesty EN 18031‑1 / EN 303 645 do pobrania	Tak — TÜV SÜD (rejestrator DL1000B)	Nie — tylko deklaracje marketingowe
ISO/IEC 27001 (organizacja)	Tak — CQC 27001:2022 + 27701:2019	Nie znaleziono
Publiczna polityka CVD / kontakt PSIRT	Brak	Tak — formularz PSIRT, proces reagowania (potwierdzenie w 3 dni robocze)
Deklaracja UE obejmująca RED dla modelu	Tak — DoC z RED i EN 18031-1:2024 (falownik SM2 i rejestrator; bez EN 18031-2)	Nie — tylko LVD/EMC/RoHS/WEEE
Incydent w historii	Deye/Solarman 2024 (chmura)	Mikroinwertery HM 2026 (HIT nieobjęty)
EN 18031‑2	Brak	Brak

Deye ma przewagę realnych dokumentów z atestami oraz certyfikatu ISO 27001; Hoymiles — lepiej opublikowany proces zgłaszania podatności. Wspólne luki: brak EN 18031-2 i brak dokumentu CRA. Różnica: Deye ma już deklarację zgodności UE z RED (EN 18031-1:2024), a dla HIT takiej deklaracji Hoymiles nie opublikował.

Wnioski

Hoymiles musi potwierdzić, że seria HIT spełnia wymagania cyberbezpieczeństwa PME 2 — na dzień dzisiejszy nie ma opublikowanej deklaracji zgodności UE obejmującej RED, ani żadnego atestu EN 18031. Sprzęt może być zgodny (firma deklaruje badania TÜV Rheinland i Dekra), ale dowodu trzeba zażądać na piśmie. Przed decyzją o zakupie zestawu na bazie HIT należy uzyskać od Hoymiles komplet dokumentów wymieniony niżej i sprawdzić, czy wbudowany EMS realnie spełnia definicję z programu.

O co dopytać Hoymiles service?

1. Deklaracja zgodności UE dla HIT‑(5–20)L‑G3 i opcjonalnego modułu komunikacyjnego Wi‑Fi/4G, z powołaniem dyrektywy RED 2014/53/UE, art. 3.3(d)(e)(f) oraz norm EN 18031‑1 i EN 18031‑2 (i EN 18031‑3, jeśli dotyczy) — jako osobny dokument, nie wpis w instrukcji.
2. Rzeczywiste certyfikaty / raporty z badań TÜV Rheinland i/lub Dekra dla EN 18031 (numery, daty, model, wersja firmware) — nie samo oświadczenie o zgodności.
3. Ocena wg EN 18031‑2 (prywatność / dane osobowe) albo udokumentowane uzasadnienie niestosowalności.
4. Oświadczenie lub raport zgodności z ETSI EN 303 645 (opcjonalnie wynik oceny wg ETSI TS 103 701).
5. Oświadczenie o gotowości do CRA (rozp. (UE) 2024/2847): zadeklarowany okres bezpłatnych aktualizacji bezpieczeństwa (min. 5 lat), mechanizm podpisywanych aktualizacji firmware, dostępność SBOM na żądanie (kontakt PSIRT przez formularz: hoymiles.com/reporting-suspected-vulnerabilities.html).
6. Lokalizacja przetwarzania danych S‑Miles Cloud dla rynku UE + umowa powierzenia (RODO); certyfikat ISO/IEC 27001 lub IEC 62443 dla usługi chmurowej.
7. Potwierdzenie, że data produkcji dostarczanego falownika i modułu komunikacyjnego jest po 1.08.2025 (RED DA) i nie wcześniejsza niż 24 miesiące przed montażem.
8. Potwierdzenie, że wbudowany EMS analizuje prognozę pogody oraz dane ekonomiczne (taryfy dynamiczne / ceny giełdowe RCEm/TGE) i działa lokalnie przy braku łączności z chmurą — wymóg definicji EMS w PME 2.

Jak zweryfikować certyfikaty TÜV Rheinland i Dekra

Certyfikaty TÜV Rheinland — baza certipedia.com; Dekra — dekra‑product‑safety.com; ISO/IEC 27001 — po numerze certyfikatu u wystawcy zgodnie z akredytacją.   mgr inż. Jarosław Bodak 03.09.2026r.

Źródła i dokumenty

Poniżej wykaz dokumentów i stron, na które powołuję się w artykule — z odnośnikami do oryginałów. Dokumenty, których producent nie udostępnia publicznie, a które otrzymałem lub mam w swoim archiwum, wgrałem do biblioteki mediów i można je pobrać z tej strony. Pliki publikowane przez producentów i instytucje mają dodatkowo kopię archiwalną w mojej bibliotece (na wypadek wymiany lub usunięcia oryginału). Stan linków: 23.10.2026.

Dokumenty Hoymiles (hoymiles.com)

• HIT-(5–20)L-G3 — strona produktu — EMS: tryby pracy, taryfy czasowe, AI
• Karta katalogowa HIT-5-20L-G3 / G3S, rev. 1.5 (PDF) — sekcja „Certifications and Standards” — bez norm cyber · kopia z mojej biblioteki
• Instrukcja obsługi HIT-(5–20)L-G3 (PDF) — pkt 2.4 — deklaracja zgodności UE: EMC, LVD, RoHS, WEEE (bez RED)
• Cyber Security (PSIRT) — strona główna polityki bezpieczeństwa
• Reporting Suspected Vulnerabilities — formularz zgłoszeń
• Vulnerability Response Process — proces reagowania, potwierdzenie w 3 dni robocze
• Security Vulnerability Advisory — biuletyny bezpieczeństwa

Incydent z mikroinwerterami HM (lipiec 2026)

• pv magazine — Hoymiles issues response after security vulnerability identified in older microinverters (13.07.2026) — stanowisko Hoymiles, krytyka CCC, zapowiedź poprawki, deklaracje TÜV Rheinland / Dekra / RED EN 18031 (relacja)

Deye — dokumenty użyte w porównaniu

• Wykaz dokumentów Deye ze źródłami — w artykule o Deye — deklaracje UE, atesty TÜV SÜD, ISO 27001/27701

Program PME 2 i przepisy UE

• Strona programu „Przydomowe Magazyny Energii” (PME 2) — informacje o programie, dokumenty do wniosku
• Program priorytetowy (PDF) — pkt 7.3 ust. 2 i 8, pkt 7.5 ust. 9–10, pkt 8 · kopia z mojej biblioteki
• Dyrektywa RED 2014/53/UE — art. 3 ust. 3 lit. d, e, f
• Rozporządzenie delegowane (UE) 2022/30 (RED DA) — stosowane od 1.08.2025
• Rozporządzenie (UE) 2024/2847 (CRA) — Cyber Resilience Act

Moje powiązane artykuły

• Dotacja PME 2 a cyberbezpieczeństwo EMS — wymogi programu, korespondencja z Deye, zalecenie projektanta
• Certyfikaty cyberbezpieczeństwa Deye a dotacja PME 2 — analiza dokumentów Deye

---

Opracowanie własne na podstawie karty katalogowej Hoymiles serii HIT‑(5–20)L‑G3, polityki zgłaszania podatności i strony „Cyber Security” na hoymiles.com oraz materiałów prasy branżowej (stan na wrzesień 2026). Analiza nie stanowi oceny zgodności w rozumieniu przepisów o ocenie zgodności ani porady prawnej. Wymagania programu PME 2 należy zweryfikować z aktualnym regulaminem naboru na przydomowemagazyny.gov.pl, a status dokumentów — u ich wystawców.