La cybersécurité des machines
Applicable au 20 janvier 2027. Le nouveau règlement Machines fait de la protection contre la corruption une exigence essentielle de santé et de sécurité, et demande à la machine de connaître ses logiciels. Ce qu'il demande, à qui, et ce qu'euvex en prépare.
Qui est concerné
Art. 2 et 3
Le règlement (UE) 2023/1230 remplace la directive Machines 2006/42/CE. Il s'applique aux machines, à cinq familles de produits connexes et aux quasi-machines (art. 2, paragraphe 1).
Les machines.
Un ensemble équipé d'un système d'entraînement autre que la force humaine ou animale appliquée directement, dont au moins une pièce est mobile, réuni en vue d'une application définie. Y compris un ensemble auquel ne manque que le téléchargement du logiciel destiné à l'application prévue par le fabricant (art. 3, point 1).
Les produits connexes.
Les équipements interchangeables, les composants de sécurité, les accessoires de levage, les chaînes, câbles et sangles, et les dispositifs amovibles de transmission mécanique.
Le logiciel.
Un composant de sécurité peut être « physique ou numérique, y compris un logiciel », quand il assure une fonction de sécurité et qu'il est mis isolément sur le marché (art. 3, point 3).
Les quasi-machines.
Un ensemble qui ne peut pas assurer seul une application définie, destiné à être incorporé à une machine. Il porte une déclaration d'incorporation, pas une déclaration de conformité (art. 22 et annexe V, partie B).
Les exclusions.
L'article 2, paragraphe 2, en compte dix-sept. L'une concerne directement l'électronique : certains produits électriques et électroniques ne relèvent pas du règlement quand ils entrent dans le champ de la directive basse tension ou de RED, à savoir les appareils électroménagers à usage domestique, les équipements audio et vidéo, les équipements informatiques, les machines de bureau courantes, les mécanismes de connexion et de contrôle basse tension, et les moteurs électriques (point p).
Plus spécifique.
Quand une autre législation de l'Union, plus spécifique, couvre des risques de l'annexe III pour un produit, le règlement ne s'y applique pas dans cette mesure (art. 9).
Dire si votre produit est une machine, une quasi-machine, un produit connexe ou rien de cela est une question de droit. euvex ne la tranche pas : dans la console, un texte qui ne concerne pas un produit se déclare « ne s'applique pas », et il sort de sa déclaration UE.
Ce qui est exigé en cybersécurité
Annexe III, 1.1.9 et 1.2.1
La cybersécurité n'y est pas un chapitre à part : c'est une exigence essentielle de santé et de sécurité, au point 1.1.9, protection contre la corruption, et au point 1.2.1, sécurité et fiabilité des systèmes de commande. Le point 1.2.1 est surtout de la sécurité fonctionnelle ; seuls ses passages de cybersécurité sont repris ici.
1.1.9, 1er alinéa
Brancher un autre dispositif sur la machine, y compris un dispositif distant qui communique avec elle, ne crée pas de situation dangereuse.
Le texte : « ne crée pas de situation dangereuse ».
Une question du volet Machines.
1.1.9, 2e alinéa
Un composant matériel qui transmet des signaux ou des données, et qui compte pour l'accès au logiciel essentiel à la conformité, est protégé contre la corruption. La machine garde la preuve d'une intervention sur ce composant.
Le texte : « protégé de manière adéquate contre la corruption accidentelle ou intentionnelle ».
Deux questions du volet Machines.
1.1.9, 3e alinéa
Les logiciels et les données essentiels à la conformité de la machine sont désignés comme tels, et protégés contre la corruption.
Le texte : « sont identifiés comme tels ».
Une question du volet Machines.
1.1.9, 4e alinéa
La machine connaît les logiciels installés dont elle a besoin pour fonctionner en toute sécurité, et sait en donner la liste à tout moment. C'est un inventaire logiciel, que le texte ne nomme pas SBOM.
Le texte : « en mesure de fournir ces informations à tout moment sous une forme aisément accessible ».
Mesuré sur le scan logiciel lié au produit, sinon déclaré par vous.
1.1.9, 5e alinéa
La machine garde la preuve d'une intervention dans ses logiciels, ou d'une modification de ses logiciels installés ou de sa configuration.
Le texte : « recueillent la preuve d'une intervention légitime ou illégitime ».
Une question du volet Machines.
1.2.1, point a)
Le système de commande résiste, quand les circonstances et les risques le justifient, aux influences extérieures volontaires et involontaires.
Le texte : « y compris les tentatives malveillantes raisonnablement prévisibles de tiers ».
Une question du volet Machines.
1.2.1, point f)
Le journal de suivi des données d'une intervention et des versions des logiciels de sécurité téléchargés après la mise sur le marché reste activé cinq ans après le téléchargement, pour démontrer la conformité sur demande motivée d'une autorité.
Le texte : « activé pendant cinq ans après ce téléchargement ».
Une question du volet Machines.
1.2.1, machines auto-évolutives
Pour une machine au comportement ou à la logique totalement ou partiellement auto-évolutifs : ne pas sortir de son espace défini de travail et de mouvement, enregistrer et garder un an les données du processus décisionnel de ses fonctions de sécurité, et pouvoir être corrigée à tout moment.
Le texte : « qu'il soit possible à tout moment de corriger la machine ou le produit connexe afin de préserver leur sécurité intrinsèque ».
Trois questions du volet Machines. Pour les machines auto-évolutives seulement ; les autres le déclarent sans objet.
1.2.1, dernier alinéa
Pour une commande sans fil, une défaillance de la communication ou de la connexion n'entraîne pas de situation dangereuse.
Le texte : « une connexion défectueuse n'entraîne pas de situation dangereuse ».
Une question du volet Machines.
Un inventaire logiciel, sans le mot
La procédure et les normes
Art. 20 et 25, annexe I
La procédure.
Une machine qui ne figure pas à l'annexe I suit le contrôle interne de la production (module A). Une catégorie de l'annexe I, partie A, passe par un organisme notifié. Une catégorie de la partie B peut suivre le module A si la machine est conçue selon des normes harmonisées ou des spécifications communes propres à sa catégorie, couvrant toutes ses exigences essentielles ; sinon, elle passe aussi par un organisme notifié (art. 25).
L'annexe I et le logiciel.
La partie A comprend les composants de sécurité au comportement totalement ou partiellement auto-évolutif qui utilisent l'apprentissage automatique pour assurer des fonctions de sécurité, et les machines qui intègrent de tels systèmes sans qu'ils aient été mis sur le marché à part, pour ces systèmes seulement (points 5 et 6).
La présomption.
Appliquer une norme harmonisée dont la référence est publiée au Journal officiel donne une présomption de conformité aux exigences qu'elle couvre (art. 20, paragraphe 1). À défaut de norme, la Commission peut adopter des spécifications communes (paragraphe 3).
La certification.
Une machine certifiée, ou couverte par une déclaration de conformité, au titre d'un schéma européen de certification de cybersécurité (règlement (UE) 2019/881) dont la référence est publiée au Journal officiel est présumée satisfaire aux points 1.1.9 et 1.2.1, dans la mesure de ce que le certificat couvre (art. 20, paragraphe 9).
La norme attendue.
Au 27 octobre 2026, nous n'avons trouvé au Journal officiel aucune référence de norme harmonisée publiée au titre du règlement (UE) 2023/1230. La norme en préparation pour la protection contre la corruption porte la référence prEN 50742 : le préfixe « pr » désigne un projet, qui ne donne aucune présomption.
Dire si votre machine relève de l'annexe I, et quelle procédure suivre, n'est pas le rôle d'euvex. Les références de son volet Machines sont des identifiants internes, pas des numéros de clause d'une norme.
Le calendrier
Applicable au 20.01.2027
Le règlement est applicable au 20 janvier 2027. Jusque-là, c'est la directive 2006/42/CE qui s'applique, et elle est abrogée avec effet à cette même date (art. 51, paragraphe 2).
La date.
Le texte publié au Journal officiel le 29 juin 2023 disait « 14 janvier 2027 ». Le rectificatif du 4 juillet 2023 écrit « 20 janvier 2027 », aux articles 51, 52 et 54. Une source qui donne la première date cite le texte d'avant le rectificatif.
La transition.
Un produit mis sur le marché conformément à la directive avant le 20 janvier 2027 peut continuer d'être mis à disposition (art. 52, paragraphe 1). Les certificats d'examen CE de type délivrés au titre de la directive restent valides jusqu'à leur expiration (paragraphe 2).
Les modifications.
Deux règlements ont modifié le texte depuis sa publication : le règlement (UE) 2024/2748, sur les procédures d'urgence, et le règlement (UE) 2026/1744, qui prévoit des exigences pour les systèmes d'IA à haut risque, par des actes délégués applicables au plus tard le 2 août 2028. Aucun ne déplace la date d'application.
Toutes les échéances de la séquence, avec leur source : les repères.
Avec le CRA
CRA, art. 2(1) et 28(3), considérant 53
Une machine qui comporte des éléments numériques peut relever aussi du Cyber Resilience Act, dont le champ couvre les produits comportant des éléments numériques dont l'utilisation prévue ou raisonnablement prévisible comprend une connexion, directe ou indirecte, à un dispositif ou à un réseau (art. 2, paragraphe 1), sous réserve de ses exclusions.
Pas d'équivalence d'office.
Le CRA ne prévoit pas de présomption pour le règlement Machines. Son considérant 53 dit que respecter le CRA pourrait faciliter le respect des points 1.1.9 et 1.2.1, et que « ces synergies doivent être démontrées par le fabricant », qui suit les procédures d'évaluation des deux textes.
Les échéances du CRA.
Le signalement des vulnérabilités activement exploitées, art. 14, est applicable au 11 septembre 2026, et les exigences essentielles, dont le SBOM, au 11 décembre 2027. Le jour où un dossier art. 14 s'ouvre.
Une seule déclaration.
Quand une machine relève de plusieurs textes qui imposent une déclaration UE de conformité, le fabricant en établit une seule pour tous, qui mentionne leurs titres et leurs références de publication. Le règlement Machines le dit à son article 21, paragraphe 3, le CRA à son article 28, paragraphe 3.
Le dossier et la déclaration
Art. 10 et 21, annexes IV et V
La documentation technique.
Établie avant la mise sur le marché, selon l'annexe IV, partie A (art. 10, paragraphe 2). Elle comprend notamment la liste des exigences essentielles applicables et les mesures prises, les rapports d'essai, les normes appliquées, et, sur demande motivée d'une autorité nationale, le code source ou la logique de programmation des logiciels dédiés à la sécurité (point m).
Dix ans au moins.
La documentation technique et la déclaration restent à la disposition des autorités pendant au moins dix ans après la mise sur le marché ou la mise en service (art. 10, paragraphe 3).
La déclaration.
Établie selon l'annexe V, partie A, « sous la seule responsabilité du fabricant » (point 4), et « mise à jour en permanence » (art. 21, paragraphe 2). Elle peut accompagner la machine, ou être rendue accessible par une adresse internet ou un code lisible par machine, en ligne pendant au moins dix ans (art. 10, paragraphe 8).
Ce qu'euvex prépare pour le règlement Machines
Le produit
Le volet Machines.
Douze questions sur les passages de cybersécurité de 1.1.9 et 1.2.1, rattachées à un produit et à sa version, chacune avec la preuve que vous citez, et un rapport imprimable.
L'inventaire mesuré.
Quand un scan logiciel est rattaché au produit et que son inventaire tient, l'exigence du 4e alinéa de 1.1.9 est établie sur mesure, et la liste s'exporte en CycloneDX à tout moment. Sinon, euvex reprend ce que vous avez déclaré, ou la laisse « non renseignée ». Le rapport dit toujours sur quoi il s'appuie, mesure ou déclaration.
La déclaration.
Le volet alimente la déclaration UE de conformité unique du produit, à côté du CRA et de RED, avec la référence de chaque texte.
Ce qu'euvex ne fait pas
- Il ne dit pas si votre produit relève du règlement, ni de quelle partie de l'annexe I, ni quelle procédure suivre.
- Il ne teste pas la machine, et ne couvre pas la sécurité fonctionnelle : l'essentiel de 1.2.1 et le reste de l'annexe III sont hors de son périmètre.
- Il n'est pas un organisme notifié. Son volet donne un état de préparation, pas une évaluation de conformité.
- Il ne prépare pas la déclaration d'incorporation des quasi-machines, et il ne signe rien : la déclaration reste établie sous votre seule responsabilité.
Sources
Lu au Journal officiel le 27.10.2026
- Règlement (UE) 2023/1230 du Parlement européen et du Conseil du 14 juin 2023 sur les machines, JO L 165 du 29.6.2023, p. 1. Articles 2, 3, 8, 10, 20, 21, 25, 51, 52 et 54 ; annexes I, III (1.1.9 et 1.2.1), IV, V et IX.
- Rectificatif au règlement (UE) 2023/1230 JO L 169 du 4.7.2023, p. 35. Points 5, 6 et 10 : le 20 janvier 2027 remplace le 14 janvier 2027 aux articles 51, 52 et 54.
- Règlement (UE) 2024/2847, le Cyber Resilience Act Article 2, paragraphe 1 ; article 14 ; article 28, paragraphe 3 ; considérant 53.
- Règlement (UE) 2026/1744 du 8 juillet 2026, omnibus numérique sur l'IA. Article 3, qui modifie les articles 8, 20 et 47 du règlement Machines pour les systèmes d'IA à haut risque. La date d'application n'en change pas.
- Règlement (UE) 2024/2748 du 9 octobre 2024, procédures d'urgence dans le marché intérieur. Article 6, qui ajoute un chapitre IV bis au règlement Machines. La date d'application n'en change pas.
- Toutes les échéances de la séquence, avec leur source : les repères.
Déclarer une machine
Le volet Machines est gratuit pendant la bêta. Créez un produit, rattachez son scan logiciel, répondez aux questions. Voir un dossier complet, sur un produit fictif.