Cybersécurité des machines
Sytance · Mis à jour
Le règlement (UE) 2023/1230 traite de cybersécurité lorsqu’elle affecte la sécurité des machines. Ses exigences de protection contre la corruption concernent les connexions, logiciels, données et configurations susceptibles de créer des situations dangereuses, ainsi que les enregistrements d’intervention dans les systèmes liés à la sécurité.
Exigences de cybersécurité pour les machines
Les exigences de l’annexe III applicables dépendent du produit mis à disposition sur le marché de l’UE ou mis en service. Les pages ci-dessous expliquent ces exigences, leur place dans l’évaluation des risques pour la sécurité et l’appui technique disponible dans les normes relatives aux machines et aux systèmes de commande industriels.
Produits dans le champ d’application
Le règlement (UE) 2023/1230 s’applique aux machines, aux produits connexes répertoriés et aux quasi-machines. Un logiciel peut également être un composant de sécurité s’il répond à la définition juridique.
Protection contre la corruption
La section 1.1.9 de l’annexe III traite des situations dangereuses dues à la corruption, de la protection des logiciels et données critiques et des enregistrements d’intervention.
Évaluation des risques
La cybersécurité doit être prise en compte dans l’évaluation des risques des machines lorsqu’un chemin de corruption peut compromettre une mesure de protection ou créer une situation dangereuse.
Logiciels et modifications
Évaluez les versions logicielles, les configurations, les mises à jour et les enregistrements d’intervention tout au long du cycle de vie, notamment pour déterminer si une modification ultérieure constitue une modification substantielle.
prEN 50742
La prEN 50742 est un projet de référence pour la protection contre la corruption propre aux machines. Son statut doit rester distinct de celui d’une norme harmonisée définitive.
Robotique
La norme ISO 10218-1:2025 ajoute des éléments de cybersécurité uniquement dans la mesure où ils s’appliquent à la sécurité des robots industriels.
IEC 62443
La série IEC 62443 peut étayer les preuves relatives au développement sécurisé, aux systèmes et aux composants, mais elle ne remplace pas le règlement Machines.
Documentation technique
La documentation technique relie le périmètre du produit, les fonctions de sécurité, les interfaces, les logiciels et la configuration, les mesures de protection et les informations destinées aux utilisateurs.
Parcours de lecture
Lisez les pages dans cet ordre lorsque le produit est une machine connectée, un robot, un système de commande de machine, un composant de sécurité ou une quasi-machine comportant des logiciels ou données liés à la sécurité.
Statut des sources
Le règlement établit les exigences essentielles de santé et de sécurité. Les normes et les recommandations fournissent des méthodes techniques. Une norme harmonisée ne confère une présomption de conformité que pour les exigences et le champ couverts par sa référence au Journal officiel ; un projet n’a pas cet effet.
Le règlement (UE) 2023/1230 a été publié au Journal officiel et contient la section 1.1.9 de l’annexe III sur la protection contre la corruption.
Le règlement s’applique à partir de cette date, sous réserve de dates antérieures pour certaines dispositions administratives et transitoires.
Le CEN-CENELEC indique que le CLC/TC 44X poursuivra les travaux sur l’EN 50742 pour la protection des machines contre la corruption. La source prEN 50742 reste un projet.
La norme ISO 10218-1:2025 est une norme définitive de sécurité des robots industriels. Ce n’est pas une norme générale de cybersécurité.
Limite de sécurité
Une faiblesse de cybersécurité relève du règlement Machines lorsqu’elle peut affecter le fonctionnement sûr d’une machine ou d’un produit connexe. L’analyse de sécurité couvre notamment les ports de service permettant de modifier des limites de sécurité, les paramètres de robot susceptibles de changer les espaces protégés et les mises à jour du micrologiciel pouvant modifier le comportement d’arrêt sûr. Un système métier compromis sur le même réseau d’usine ne relève de la section 1.1.9 de l’annexe III que si l’attaque peut affecter la sécurité des machines.