Cyber Resilience Act (CRA) et nouveau règlement sur les machines 2023/1230 : Les exigences en matière de cybersécurité qui pèsent désormais sur la construction mécanique

Le Cyber Resilience Act (CRA) et le nouveau règlement européen sur les machines (UE) 2023/1230 modifient fondamentalement les exigences applicables aux constructeurs de machines. Pour ceux qui développent, produisent ou mettent sur le marché de l'UE des machines connectées, des systèmes de commande industriels et des composants numériques, la cybersécurité deviendra à l'avenir tout aussi obligatoire que la sécurité fonctionnelle classique.

Il ne s'agit pas seulement de mesures de protection informatique. Les nouvelles directives ont un impact sur l'ensemble du développement des produits – de l'évaluation des cyber-risques au Security by Design (sécurité dès la conception) et à la gestion des vulnérabilités, jusqu'à l'évaluation de la conformité CE.

Quelles sont les exigences concrètes ? En quoi le CRA et le règlement sur les machines diffèrent-ils ? Et quelles mesures les constructeurs de machines devraient-ils prendre dès maintenant ? Cet article répond aux questions les plus importantes.

En bref

• Le Cyber Resilience Act (CRA) oblige les fabricants à mettre en œuvre le Security by Design, la gestion des vulnérabilités et les mises à jour de sécurité.
• Le règlement sur les machines exige la protection des machines contre les manipulations (« corruption »).
• Les deux corpus de règles sont pertinents pour de nombreuses machines connectées.
• Les premières obligations de signalement du CRA s'appliqueront à partir de septembre 2026.
• Le règlement sur les machines s'applique à partir de janvier 2027, et les exigences essentielles du CRA à partir de décembre 2027.

Quelle est la différence entre le Cyber Resilience Act et le règlement sur les machines ?

Le règlement européen sur les machines et le Cyber Resilience Act poursuivent des objectifs différents, mais se complètent sur le fond.

Le règlement sur les machines (UE) 2023/1230 remplace l'ancienne directive machines 2006/42/CE et régit la sécurité des machines tout au long de leur cycle de vie. Outre les risques mécaniques, électriques et ergonomiques, il prend expressément en compte pour la première fois les cyber-risques. L'annexe III, section 1.1.9, est particulièrement pertinente : elle exige que les machines soient protégées contre la « corruption », c'est-à-dire contre les modifications non autorisées ou les manipulations des logiciels, des paramètres ou des commandes qui pourraient compromettre les fonctions de sécurité.

Le Cyber Resilience Act (CRA) s'applique aux produits comportant des éléments numériques et définit des exigences contraignantes pour leur cybersécurité. L'objectif est de prendre en compte systématiquement les aspects de sécurité dès le développement, ainsi que pendant l'exploitation et la maintenance.

CRA ou règlement sur les machines – que s'applique-t-il aux constructeurs de machines ?

Dans la pratique, la question n'est généralement pas « CRA ou règlement sur les machines ? », mais plutôt « CRA et règlement sur les machines ? ».

Le règlement sur les machines se concentre sur la sécurité des machines et des installations. Le Cyber Resilience Act, en revanche, cible la cybersécurité des produits comportant des éléments numériques. C'est pourquoi ces deux réglementations sont pertinentes pour de nombreuses machines connectées.

Les fabricants ne doivent pas considérer ces exigences séparément. Les évaluations des risques, les processus de développement, les mesures de protection technique et l'évaluation de la conformité CE devront à l'avenir prendre de plus en plus en compte les deux perspectives : Safety (sécurité fonctionnelle) et Security (cybersécurité).

Que stipule concrètement le règlement sur les machines concernant la cybersécurité ?

Le règlement sur les machines exige que les machines soient protégées contre les manipulations qui pourraient compromettre leur sécurité. La norme prEN 50742 « Sécurité des machines - Protection contre la corruption », actuellement en cours de développement, constitue une base technique importante. Elle décrit des mesures concrètes contre les modifications involontaires et intentionnelles :

• Protection de l'accès aux machines et aux systèmes de commande
• Sécurisation des interfaces externes telles que les ports USB et Ethernet
• Protection contre les versions logicielles non autorisées
• Garantie de l'intégrité des fonctions de sécurité
• Traçabilité des modifications apportées au matériel et aux logiciels

Important : Ces exigences ne concernent pas uniquement les nouveaux développements. Des modifications substantielles apportées aux machines existantes peuvent également déclencher de nouvelles exigences de conformité.

Quel est le rôle de l'IEC 62443 dans la construction mécanique ?

Quiconque s'intéresse à la cybersécurité dans la construction mécanique rencontrera rapidement la série de normes IEC 62443. Elle est considérée au niveau international comme l'une des normes les plus importantes pour la cybersécurité industrielle et la sécurisation des systèmes d'automatisation et de commande – bien qu'elle ne fasse partie ni du CRA ni du règlement sur les machines.

Une grande partie des mesures exigées dans le CRA s'y trouvent déjà :

• Security by Design
• Évaluation des risques
• Concepts d'utilisateurs et de droits
• Gestion des vulnérabilités
• Sécurisation des interfaces de communication
• Exigences relatives aux chaînes d'approvisionnement et aux composants

Pour les fabricants de machines, l'IEC 62443 peut donc offrir une orientation importante pour la mise en œuvre pratique des exigences réglementaires.

Qu'exige concrètement le Cyber Resilience Act (CRA) ?

Le CRA oblige les fabricants à garantir la cybersécurité tout au long du cycle de vie du produit. Les exigences les plus importantes :

• Security by Design & Default : La cybersécurité doit être prise en compte dès la phase de développement. Les produits ne doivent pas être livrés avec des paramètres par défaut non sécurisés – ce qui signifie, par exemple, pas de mots de passe par défaut et la désactivation des interfaces inutilisées.
• Évaluation des cyber-risques : Avant la mise sur le marché, les cyber-risques doivent être identifiés, évalués et documentés.
• Gestion des vulnérabilités : Les fabricants doivent établir des processus pour enregistrer, évaluer et corriger systématiquement les failles de sécurité – même après la vente.
• Mises à jour de sécurité : Les mises à jour de sécurité doivent être fournies pendant au moins cinq ans, ou plus longtemps en fonction de la durée de vie du produit.
• Nomenclature logicielle (Software Bill of Materials - SBOM) : Tous les composants logiciels utilisés doivent être documentés de manière transparente – y compris les parties open-source.
• Obligations de signalement : Les vulnérabilités activement exploitées et les incidents de sécurité graves doivent être signalés aux autorités dans les délais prescrits.
• Évaluation de la conformité CE : Les exigences du CRA feront partie de l'évaluation de la conformité pour les produits concernés.

Ce que cela signifie dans la pratique : Celui qui, jusqu'à présent, développait des machines sans documentation systématique de la cybersécurité doit fondamentalement adapter son processus de développement – et cela concerne tout autant le développement de produits, les achats, le service client et la gestion de la qualité.

Quels produits relèvent du Cyber Resilience Act ?

Le CRA s'applique fondamentalement à tous les produits comportant des éléments numériques pouvant être connectés directement ou indirectement à d'autres appareils ou réseaux. Il s'agit notamment de :

• Systèmes de commande industriels
• Systèmes IHM
• Solutions de service à distance
• Machines connectées
• Appareils IoT
• Produits logiciels

Le classement en produit standard, produit important ou produit critique détermine les procédures d'évaluation de la conformité applicables. Les machines situées dans les infrastructures critiques, la production industrielle ou le secteur de l'énergie entrent généralement dans une classe de risque plus élevée. Les exigences applicables au cas par cas doivent donc être vérifiées individuellement pour chaque produit.

Pour savoir si un produit relève des catégories CRA pertinentes, il est possible d'utiliser par exemple le CRA-Self-Check de TÜV Süd : https://www.tuvsud.com/de-de/dienstleistungen/produktpruefung-und-produktzertifizierung/cyber-resilience-act/cra-grafik

Quel est l'impact du CRA et du règlement sur les machines sur le marquage CE ?

Le règlement sur les machines, tout comme le Cyber Resilience Act, a un impact direct sur le marquage CE. À l'avenir, les fabricants devront prouver que les exigences pertinentes en matière de sécurité et de cybersécurité sont respectées.

Cela inclut notamment :

• Évaluations documentées des risques et des cyber-risques
• Mesures de protection technique contre les manipulations et les cyberattaques
• Processus de gestion des vulnérabilités et de mises à jour de sécurité
• Processus de développement et de modification traçables
• Documentation des composants logiciels utilisés

Pour les fabricants de machines, cela signifie que : La cybersécurité fera à l'avenir partie intégrante de l'évaluation de la conformité et de la documentation technique. Les entreprises doivent donc intégrer rapidement les aspects de sécurité dans leurs processus CE existants.

D'ici quand les nouvelles exigences du CRA et du règlement sur les machines doivent-elles être obligatoirement respectées ?

Cela semble laisser suffisamment de temps – mais ce n'est pas le cas. Les cycles de développement dans la construction mécanique sont souvent de deux à quatre ans. Ceux qui n'ont pas encore commencé risquent de se heurter aux échéances avec des produits non conformes.

Quelle est l'ampleur du risque réel lié aux cyberattaques ?

Les cyberattaques sur les systèmes industriels ne sont pas une menace abstraite pour l'avenir. Selon le rapport économique 2025 de Bitkom, 72 % des entreprises interrogées estiment que le niveau de menace actuel est élevé. Environ 66 % des entreprises allemandes ont été touchées l'année dernière par des vols de données, des sabotages ou de l'espionnage. Les dommages causés par les attaques contre les systèmes d'information et de production ont augmenté de près de 20 milliards d'euros entre 2024 et 2025, pour atteindre 73,3 milliards d'euros.

Pour les constructeurs de machines, c'est particulièrement explosif : les machines connectées offrent aux attaquants de nombreux points d'entrée – via les accès de télémaintenance, les interfaces de service, les supports de données externes ou les connexions réseau insuffisamment protégées. Les conséquences vont des arrêts de production et vols de données à la manipulation des fonctions de sécurité des machines. Environ 70 % de toutes les attaques sont attribuées au crime organisé – il ne s'agit donc pas d'auteurs isolés, mais de groupes opérant de manière professionnelle.

Pour les fabricants de machines, la cybersécurité devient donc non seulement une exigence de conformité, mais aussi de plus en plus un facteur de compétitivité.

Check-list CRA : Ce que les constructeurs de machines devraient faire dès maintenant

Même si les exigences essentielles ne deviendront obligatoires que dans les années à venir, les fabricants doivent agir tôt. Les étapes suivantes se sont révélées judicieuses :

1. Analyser le portefeuille de produits : Quelles machines, quels systèmes de commande et composants logiciels relèvent du CRA ?
2. Établir l'évaluation des cyber-risques : Les cyber-risques doivent être systématiquement intégrés aux processus de développement existants.
3. Mettre en œuvre le Security by Design : Les exigences de sécurité doivent être prises en compte dès l'architecture et le développement.
4. Rendre transparente la chaîne d'approvisionnement logicielle : Les composants logiciels utilisés – y compris les parties open-source – doivent être documentés et régulièrement contrôlés.
5. Mettre en place la gestion des mises à jour et des vulnérabilités : Les fabricants ont besoin de processus pour fournir des mises à jour de sécurité à long terme et traiter efficacement les vulnérabilités.

Pourquoi les interfaces USB et Ethernet sont-elles considérées comme des points d'attaque particulièrement critiques ?

Les interfaces physiques sur les machines sont souvent nécessaires pour la maintenance, le diagnostic, les mises à jour ou le paramétrage. Cela engendre des risques :

• Introduction de logiciels malveillants via des supports de données externes
• Extraction de données sensibles sur les machines ou la production
• Manipulation des paramètres ou de la logique de commande
• Installation de versions logicielles non autorisées

Le règlement sur les machines, tout comme le CRA, exigent donc des mesures pour sécuriser ces accès. Les interfaces non utilisées doivent être désactivées. L'accès ne doit être possible qu'aux personnes autorisées et doit être documenté de manière traçable.

Comment sécuriser techniquement les interfaces physiques ?

De nombreux fabricants recherchent actuellement des solutions techniques pour mettre en pratique les exigences réglementaires. Une possibilité est la solution matérielle 2BSecure de SCHLEGEL. Le système est installé entre l'interface et le terminal et prend en charge les ports USB-A, USB-C et Ethernet. Les interfaces sont désactivées par défaut et ne peuvent être activées que par des personnes autorisées à l'aide d'un commutateur à clé ou d'une RFID.

2BSecure peut être intégré aussi bien dans de nouvelles machines que dans des installations existantes – sans grand effort de transformation. Il peut constituer un élément concret pour mettre en œuvre techniquement et respecter de manière démontrable les exigences en matière de Security by Design, de protection des interfaces et de contrôle d'accès.

Questions fréquentes sur le Cyber Resilience Act et le règlement européen sur les machines (CRA et RM)

Le Cyber Resilience Act s'applique-t-il également aux constructeurs de machines ?

Oui. Le CRA s'applique fondamentalement aux produits comportant des éléments numériques. Cela inclut également de nombreuses machines connectées, des systèmes de commande industriels, des systèmes IHM et des solutions de service à distance.

Les fabricants de machines doivent-ils se conformer à la fois au CRA et au règlement sur les machines ?

Dans de nombreux cas, oui. Le règlement sur les machines régit la sécurité des machines, tandis que le CRA fixe des exigences en matière de cybersécurité des produits numériques. Par conséquent, les deux réglementations peuvent être pertinentes simultanément pour les machines connectées.

Quand les exigences du Cyber Resilience Act entrent-elles en vigueur ?

Les obligations de signalement pour les vulnérabilités activement exploitées et les incidents de sécurité s'appliquent à partir du 11 septembre 2026. Les exigences essentielles du CRA deviendront obligatoires à partir du 11 décembre 2027.

Quel est le rôle de l'IEC 62443 dans le CRA ?

L'IEC 62443 ne fait pas partie du CRA, mais est considérée comme l'une des normes les plus importantes pour la cybersécurité industrielle. Un grand nombre des mesures qui y sont décrites aident les entreprises à mettre en œuvre les exigences réglementaires en matière de cybersécurité.

Que signifie Security by Design dans la construction mécanique ?

Security by Design signifie que la cybersécurité est prise en compte dès le développement d'une machine. Les mesures de sécurité sont intégrées d'emblée dans le matériel, les logiciels et l'architecture du système.

Pourquoi les interfaces USB et Ethernet doivent-elles être sécurisées ?

Les interfaces non protégées peuvent être utilisées pour introduire des logiciels malveillants, extraire des données ou manipuler les paramètres des machines. C'est pourquoi le CRA et le règlement sur les machines exigent tous deux des mesures de protection appropriées.

Conclusion : La cybersécurité devient partie intégrante du développement de produits

Le Cyber Resilience Act et le nouveau règlement sur les machines 2023/1230 font de la cybersécurité une partie intégrante de la responsabilité des fabricants de machines à l'égard de leurs produits, et ce tout au long de leur cycle de vie. Les entreprises doivent utiliser le temps restant pour adapter rapidement les processus de développement, les évaluations des risques, les chaînes d'approvisionnement logicielles et les mesures de protection technique aux nouvelles exigences.

Ceux qui commencent aujourd'hui ne créent pas seulement la base de la conformité réglementaire, mais renforcent également la sécurité et la pérennité de leurs produits.

Sources et informations complémentaires

Législation et normes

• Règlement (UE) 2023/1230 sur les machines (règlement sur les machines)
• Règlement (UE) 2024/2847 sur les exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques (Cyber Resilience Act)
• IEC 62443 – Sécurité informatique pour les systèmes d'automatisation industrielle
• prEN 50742 – Sécurité des machines – Protection contre la corruption

Études et statistiques

• Protection économique Bitkom 2025
• Étude sur la cybercriminalité Bitkom 2025

Informations complémentaires

• CRA-Self-Check de TÜV Süd
• Lignes directrices et publications de la Commission européenne sur le Cyber Resilience Act
• Publications de l'ENISA (Agence de l'Union européenne pour la cybersécurité)