Cybersécurité des machines : foire aux questions
Sytance · Mis à jour
La connexion des machines soulève des questions concernant les logiciels, la protection contre la corruption et les modifications ultérieures. Ces réponses expliquent quand ces sujets influent sur la sécurité des machines et comment les normes peuvent étayer l’évaluation.
Exigences légales et normes
La source juridique est le règlement (UE) 2023/1230. La prEN 50742 et la série IEC 62443 peuvent étayer les preuves, mais leur rôle dépend de l’édition, du statut de publication, du champ couvert par le certificat et de la citation éventuelle d’une référence de norme harmonisée pour l’exigence juridique concernée.
Produit et champ d’application
La question est de savoir si la connexion peut affecter la sécurité de la machine. Elle est pertinente si une corruption via cette connexion peut affecter une fonction de sécurité, une mesure de protection, des données critiques ou des preuves d’intervention.
Oui, lorsque le logiciel assure une fonction de sécurité ou modifie une voie de commande liée à la sécurité. Un logiciel utilisé uniquement pour l’administration des activités n’entre pas dans l’évaluation de la sécurité des machines, sauf s’il peut affecter le fonctionnement sûr de la machine.
Cybersécurité et normes
La section 1.1.9 de l’annexe III exige une protection contre la corruption susceptible d’affecter la sécurité des machines. Le dossier doit montrer comment le produit résiste à la corruption des appareils connectés, des logiciels, des données, de la configuration et des preuves d’intervention lorsque cette corruption peut créer une situation dangereuse.
Un projet de norme constitue une contribution technique utile, mais ne doit pas être présenté comme une norme harmonisée définitive. Toute revendication de présomption de conformité nécessite la norme définitive, l’exigence juridique qu’elle couvre et la citation pertinente au Journal officiel.
Pas à elle seule. La série IEC 62443 peut étayer les preuves relatives au développement sécurisé, aux composants, aux services ou aux systèmes. Le dossier de la machine doit toujours relier ces preuves au produit, au danger, à la fonction de sécurité et à l’exigence de l’annexe III.
Modifications et preuves
Pas toujours. Le dossier doit être réexaminé lorsqu’une mise à jour modifie une fonction de sécurité, un paramètre, une mesure de protection, une interface, un journal ou une preuve nécessaire pour démontrer la protection contre la corruption.
Uniquement si la voie de l’incident peut affecter la sécurité des machines. La compromission d’un système ERP, d’un réseau bureautique ou d’un tableau de bord de rapports ne constitue pas une preuve de cybersécurité des machines, sauf si elle peut modifier ou corrompre la machine, les données de sécurité, la configuration ou la voie de commande.