[Replay] Cybersécurité et Règlement Machines : une obligation et un risque majeur

Actuellement, une norme harmonisée spécifique à la cybersécurité pour les machines (norme de type B) est en cours d'élaboration sous la référence probable EN 50742. Ce projet n'est pas encore finalisé. Certaines normes de type C (spécifiques à un type de machine, comme les robots via l'ISO 10218-2) commencent à introduire la notion de risque cyber, mais renvoient souvent à des normes génériques, rendant l'application des solutions complexe. En l'absence de normes harmonisées finalisées, l'évaluation de la conformité repose sur l'analyse de risque du fabricant et le respect des exigences essentielles du Règlement.

Le Règlement Machines exige la traçabilité des modifications logicielles pendant 5 ans, mais ne prescrit pas la méthode technique pour garantir l'intégrité de ce journal. Le fabricant doit donc choisir une solution adaptée. Le journal de suivi des modifications, pour garantir son intégrité devrait être verrouillé en modification et suppression par les utilisateurs. L'historique sert de preuve et protège le fabricant en documentant les changements intervenus après la mise en service. L'objectif principal reste d'empêcher qu'une corruption (du système ou du journal) n'entraîne un risque pour la sécurité.

Le fabricant de la machine est responsable de réaliser sa propre analyse de risque cyber, en tenant compte des composants intégrés. Cette analyse évalue la criticité des failles potentielles dans le contexte d'utilisation de la machine. Les vulnérabilités connues doivent être intégrées dans ce processus. Le fabricant n'a pas l'obligation de lister exhaustivement les vulnérabilités des composants au client final, mais doit fournir dans la notice d'instruction les informations et préconisations nécessaires pour que l'utilisateur maintienne le niveau de sécurité cyber prévu (bonnes pratiques, mises à jour, etc.). La communication sur les vulnérabilités découvertes après la vente doit être gérée dans le cadre du suivi post-commercialisation.

À ce jour, il n'existe pas de logiciel standardisé équivalent à SISTEMA pour quantifier directement le niveau de sécurité cyber d'un composant ou d'une fonction. Les normes actuelles de sécurité fonctionnelle (comme l'ISO 13849-1 avec le CCF, ou l'IEC 62061 avec les calculs SIL) intègrent la cybersécurité de manière qualitative ou via des "recettes" générales, sans outil de calcul dédié. L'évaluation du niveau de sécurité repose sur des analyses de risques, des audits, des tests d'intrusion et l'application de normes et bonnes pratiques (ex: IEC 62443), une expertise que possède Apave et sa filiale Oppida.

Non, l'analyse de risque et l'ensemble du dossier technique appartiennent au fabricant et constituent la preuve de sa démarche de conception sécurisée. Le fabricant n'a pas l'obligation réglementaire de fournir ce dossier technique complet à l'utilisateur final. Il doit le tenir à disposition des autorités de surveillance du marché. En revanche, la notice d'instruction, qui doit être fournie à l'utilisateur, doit contenir toutes les informations nécessaires à une utilisation sûre, incluant désormais les aspects liés à la cybersécurité (mesures mises en place, consignes d'utilisation et de maintenance pour préserver la sécurité cyber). La fourniture de l'analyse de risque peut cependant être une exigence contractuelle spécifique entre le client et le fournisseur.

Les mises à jour effectuées par l'utilisateur sont autorisées. Cependant, la responsabilité de leur impact dépend de la nature de la mise à jour. Le fabricant de la machine doit intégrer des composants ayant une aptitude à résister aux risques cyber (conformité au Cyber Resilience Act - CRA pour les composants) et fournir des instructions pour leur intégration et leur maintenance.

Si l'utilisateur applique une mise à jour (fournie par le fabricant du composant ou de la machine) conformément aux instructions, la conformité initiale est préservée. Si l'utilisateur effectue une modification logicielle non prévue, qui impacte les fonctions de sécurité ou crée de nouveaux risques, il peut être considéré comme effectuant une modification substantielle et endosser alors la responsabilité de fabricant pour cette modification. Toute modification logicielle sur un système gérant des fonctions de sécurité doit être enregistrée dans le journal de suivi.