Une machine équipée d’un simple port USB ou d’un port ethernet peut suffire à la faire basculer dans le champ de deux réglementations européennes distinctes : le règlement Machines 2023/1230 et le Cyber Resilience Act (CRA). L’un ne se substituent pas l’un à l’autre : ils s’appliquent de façon cumulative à toute machine connectée ou connectable, avec des procédures d’évaluation de conformité distinctes, même si certaines preuves techniques peuvent être mutualisées. Le règlement Machines s’appliquera pleinement le 20 janvier 2027, le CRA le 11 décembre 2027. Retour en détails sur ce sujet stratégique, à la lumière des échanges tenus en webinaire animé par AFNOR BAO le 10 septembre 2026.
L'essentiel en 3 points
Deux réglementations cumulatives : le règlement Machines (UE 2023/1230) et le règlement sur la cyberrésilience, ou CRA (UE 2024/2847), s’appliquent en parallèle à toute machine connectée ou connectable — un simple port USB ou Wi-Fi suffit à les déclencher toutes les deux.
Un calendrier déjà engagé : notification des incidents obligatoire depuis le 11 septembre 2026 pour le CRA ; règlement Machines pleinement applicable au 20 janvier 2027 ; CRA au 11 décembre 2027.
Des sanctions lourdes : jusqu’à 15 millions d’euros d’amende ou 2,5% du chiffre d’affaires mondial, avec une responsabilité pénale possible des dirigeants.
Le Règlement (UE) 2023/1230, dit règlement machines, remplacera la directive machines 2006/42/CE à partir du 20 janvier 2027. Ce texte européen, directement applicable dans tous les États membres de l’Union européenne sans transposition nationale, introduit pour la première fois des exigences explicites de cybersécurité pour les machines et produits connectés. Il s’applique de manière cumulative avec le Cyber Resilience Act (CRA), règlement (UE) 2024/2847, dès lors qu’une machine est également un produit comportant des éléments numériques : le considérant 53 du CRA le précise explicitement (texte consolidé sur EUR-Lex). Le règlement machines encadre la sécurité physique de la machine, avec des exigences cyber ciblées sur les risques de sûreté. Quant au CRA, il impose un socle horizontal de cybersécurité applicable à l’ensemble des produits numériques connectés ou connectables, tout au long de leur cycle de vie et selon ses propres procédures d’évaluation de conformité (texte consolidé sur EUR-Lex).
Sophie Sala, responsable d’AFNOR BAO, Samuel Kohen et Itamar Ferreira Dos Santos, consultants BAO, experts en cybersécurité et cofondateurs d’Akenatech, ont pris la parole ensemble sur le sujet lors d’un webinaire le 10 septembre 2026 pour présenter ces nouvelles réglementations et répondre aux questions des participants.
Pourquoi la cybersécurité devient-elle un enjeu majeur en environnement industriel ?
En environnement industriel, une faille de cybersécurité ne reste jamais un simple problème informatique : elle peut aller jusqu’à l’arrêt de production. Tout système informatique repose sur trois ensembles : l’IT, l’OT (les technologies opérationnelles qui pilotent des processus physiques) et l’IoT. Ces deux derniers restent les moins bien protégés. Samuel Kohen le résume ainsi : « L’OT et l’IoT sont vraiment des grands trous dans la raquette en matière de protection cyber des entreprises. »
Dans un environnement industriel, une attaque ne se limite pas à un problème informatique. Samuel Kohen poursuit : « Les enjeux de la cybersécurité industrielle, c’est que ça peut vite se traduire en un arrêt de production, en un arrêt d’usine, et là, les conséquences peuvent être très importantes. »
C’est ce contexte qui a poussé l’Union européenne à agir. En effet, la directive NIS 2 identifie 18 secteurs critiques et impose un niveau élevé de gouvernance du risque cyber et de responsabilité des dirigeants. Ainsi le règlement machines et le règlement sur la cyber résilience la complètent côté produits. Tous deux s’appuient sur les différentes parties de la norme IEC 62443, qui, selon Samuel Kohen, « sert vraiment de socle aux réglementations européennes ».
Quels sont les principaux défis pour les PME et ETI face à ces nouvelles exigences ?
Ces nouvelles réglementations creusent un écart entre grands groupes et PME/ETI, ces dernières étant les plus exposées au risque de perte de marché. Itamar Ferreira rappelle : « Ces réglementations ne sont pas juste une adaptation du marquage CE, c’est un vrai changement de paradigme qui demande une organisation interne solide et une expertise pointue. »
Samuel Kohen observe un décalage entre les entreprises : « Les grands groupes sont déjà bien avancés dans la mise en conformité et l’exigent d’ores et déjà beaucoup de leurs fournisseurs. En revanche, les PME et les ETI sont beaucoup plus en retard. » Ce retard fait peser un risque de perte de marché.
Pour les PME et ETI, les défis sont nombreux :
- comprendre et interpréter des textes réglementaires complexes ;
- disposer des compétences techniques en cybersécurité industrielle ;
- mettre en place une organisation interne pour la gestion continue des vulnérabilités ;
- adapter la conception des produits, ce qui peut prendre un an ou plus ;
- assurer la traçabilité et la documentation exigées.
AFNOR BAO aide ces entreprises à éviter les risques de non-conformité et de perte de marché en trouvant le bon profil qui saura les accompagner selon un plan personnalisé en fonction de leur besoin et du contexte.
Quelles sont les nouvelles réglementations qui impactent les fabricants de machines et produits connectés ?
Le règlement Machines ajoute la notion de risque intentionnel à la sûreté de fonctionnement classique. Alors que le CRA introduit une obligation de cybersécurité inédite pour les produits connectés. « Le Règlement Machines remplace la directive machine à partir du 20 janvier 2027, en intégrant la notion de risque intentionnel lié aux attaques cyber. » Samuel Kohen a expliqué les éléments principaux de la directive machine. Les fabricants doivent désormais prendre en compte non seulement les risques d’accidents physiques, mais aussi les risques d’attaques malveillantes pouvant compromettre la sécurité des machines.
En ce qui concerne la sûreté de fonctionnement, il précise : « La partie sûreté fonctionnelle, ou safety, est relativement inchangée, et on rajoute la notion de risque intentionnel. » En effet, une machine connectée peut subir des modifications malveillantes, qui lui feraient faire, selon lui, « des choses qu’elle n’est pas censée faire », ou servir de point d’entrée vers le réseau de l’entreprise.
Existe-t-il des différences d’application selon les Etats membres ?
C’est aussi une autre différence avec la directive : le règlement s’applique tel quel dans tous les États membres. « Tout est écrit noir sur blanc dans le règlement et on l’applique tel quel », souligne Samuel Kohen.
En outre, le règlement introduit la notion de modification substantielle, c’est-à-dire une modification qui touche aux fonctions de sécurité de la machine. Dans ce cas, l’expert nous explique que, « l’entité qui réalise cette intervention prend de facto le statut de fabricant et doit donc faire son propre Marquage CE ».
Le CRA, quant à lui, s’applique à tous les produits comportant des éléments numériques mis sur le marché de l’Union, connectés ou connectables, y compris aux machines. Il vise à garantir la sécurité des produits tout au long de leur cycle de vie. Il impose notamment un marquage CE spécifique et le respect de procédures d’évaluation de conformité propres au règlement (UE) 2024/2847. Beaucoup de fabricants estiment que leurs machines sont peu concernées parce qu’elles sont rarement connectées. Samuel Kohen les met en garde : « Le fait qu’elles soient connectables les soumet à ces deux réglementations. » Un simple port USB ou Ethernet suffit.
Comment le règlement Machines et le CRA s'articulent-ils ?
Les deux règlements se superposent plutôt qu’ils ne se substituent : chacun couvre un périmètre différent du même produit. Samuel Kohen le résume : « Ces deux règlements sont intimement liés. »
La différence tient à leur périmètre :
- Le règlement machines vise la sécurité des machines et leurs fonctions de sécurité. Selon l’expert : « Dans le règlement machines, on s’intéresse vraiment spécifiquement aux fonctions de sécurité de la machine. » L’objectif est d’éviter qu’une attaque cyber n’altère ces fonctions.
- Le règlement sur la cyber résilience (CRA) est plus large : « Il s’intéresse à tous les éléments numériques d’un produit connecté ou connectable. »
Pour y voir plus clair, voici les principales différences entre le règlement machines et le règlement sur la cyber résilience :
Protection contre la corruption / manipulation
Oui, annexe III, section 1.1.9
Oui, exigences de l’annexe I
Sûreté et fiabilité du système de commande
Oui, annexe III, section 1.2.1
Oui, exigences d’intégrité et de sécurité du produit
Analyse des risques
Risques liés à la sécurité de la machine
Risques de cybersécurité du produit numérique
Gestion des vulnérabilités sur le cycle de vie
Traitement indirect
Exigence centrale (annexe I, partie II)
Notification des incidents et vulnérabilités
Cadre général Machines
Obligations spécifiques (24h / 72h / rapport final)
Évaluation de conformité
Procédures propres au règlement Machines (article 25)
Procédures propres au CRA (article 32), non substituables
Quel est le calendrier d'entrée en vigueur du CRA et du Règlement Machine ?
L’entrée en vigueur est progressive, et une partie du CRA s’applique déjà partiellement. Depuis le 11 septembre 2026, les fabricants doivent notifier aux autorités (ANSSI, ENISA) les incidents et les vulnérabilités activement exploitées. Samuel Kohen explique : « À partir de demain, tous les fabricants de produits numériques et de machines vont devoir avoir une organisation interne et un suivi de leurs produits qui vont leur permettre d’informer les autorités. »
Le règlement machines s’appliquera pleinement le 20 janvier 2027, et le CRA le 11 décembre 2027. Dès janvier, précise Samuel Kohen, « pour pouvoir continuer à vendre ces machines avec le marquage CE, il faudra avoir pris en compte la cybersécurité pour les fonctions de sûreté de la machine ».
Les produits déjà sur le marché ne sont pas concernés. Ceux vendus à partir du 11 décembre 2027 devront en revanche être conformes. Or la mise en conformité prend du temps, de six mois à un an, voire plus. Samuel Kohen conclut : « C’est vraiment dès maintenant qu’il faut se mettre au CRA et à la conformité sur le règlement machines. »
À quels produits s'applique le règlement machines (UE) 2023/1230 ?
Le champ d’application du règlement machines est large : il couvre non seulement les machines au sens strict, mais aussi les quasi-machines, composants et accessoires qui les entourent. Le champ d’application du règlement machines couvre un large périmètre d’équipements industriels :
- les machines au sens strict (ensembles équipés d’un système d’entraînement, avec au moins une pièce mobile) ;
- les quasi-machines, destinées à être incorporées dans une machine complète ;
- les équipements interchangeables ;
- les composants de sécurité, y compris les logiciels ;
- les accessoires de levage, chaînes, câbles et sangles ;
- certains dispositifs amovibles de transmission mécanique.
Les machines présentant les risques les plus élevés, listées à l’annexe I du règlement, sont soumises à une évaluation de la conformité obligatoire par un organisme notifié, même lorsqu’une norme harmonisée est intégralement respectée. Comme pour toute machine mise sur le marché européen, elle s’accompagne de l’obligation de fournir une notice d’instructions et une déclaration de conformité.
En quoi consistent les exigences de sécurité by design et de gestion des vulnérabilités ?
- Le CRA impose d’intégrer la cybersécurité dès la conception plutôt que de la traiter après coup, avec un suivi des vulnérabilités qui se poursuit pendant toute la vie du produit. Itamar Ferreira précise : « Il faut intégrer la cybersécurité dès la conception, et assurer une analyse des risques et une gestion rigoureuse des vulnérabilités. Cela y compris pour les logiciels open source. »
Concrètement, Samuel Kohen et Itamar Ferreira reviennent sur plusieurs points et expliquent que les entreprises doivent :
- limiter la surface d’attaque en configurant les produits avec des paramètres de sécurité par défaut ;
- mettre en place des mécanismes de contrôle d’accès et d’authentification robustes ;
- assurer un suivi continu des vulnérabilités détectées, qu’elles proviennent du logiciel développé en interne ou des composants tiers (ex : automates, capteurs) ;
- développer et distribuer des correctifs de sécurité de manière sécurisée et gratuite pendant toute la durée de vie prévue du produit.
Ainsi pour les systèmes de commande, la conception doit éviter la corruption des données et des fonctions, qu’elle soit intentionnelle ou accidentelle. Samuel Kohen en donne l’enjeu : « Il ne faut pas qu’on puisse utiliser la machine comme une passerelle vers le réseau du client pour hacker le client. »
Comment réagir en cas d’incident grave ?
En cas d’incident grave, les délais de signalement à l’autorité compétente sont courts :
- une alerte préliminaire sous 24 heures,
- un rapport détaillé sous 72 heures,
- puis un rapport final.
Samuel Kohen insiste : « Ce sont vraiment des délais qui sont stricts. »
Cette charge va s’alourdir avec l’intelligence artificielle. L’expert anticipe : « Avec l’IA qui trouve des quantités de failles en quelques minutes, il va y avoir un gros travail de traitement. » La relation avec les clients change aussi. Selon lui, « à partir de l’entrée en vigueur du règlement machines et du CRA, la communication devrait être permanente ». Alors que les fabricants communiquaient jusqu’ici très rarement avec leurs clients après la période de garantie.
Quelles sont les obligations en matière de traçabilité et quelles sont les conséquences en cas de non-conformité ?
La réglementation impose de documenter et de conserver la preuve de sa conformité pendant plusieurs années, sous peine de sanctions. Samuel Kohen souligne : « Le fabricant doit conserver un journal de suivi des interventions pendant au moins cinq ans, pour démontrer sa conformité en cas d’incident. » Cela implique de documenter toutes les modifications, interventions et mises à jour liées à la sécurité du produit. En cas d’attaque ou de faille exploitée, cette documentation permet de retracer l’origine du problème et d’établir les responsabilités, notamment grâce à la traçabilité des décisions. Samuel Kohen décrit l’esprit du texte : « C’est une logique de démonstration, d’apport de preuve. »
Il ajoute : « On ne le dit jamais assez : il faut être en mesure de démontrer sa conformité, et il ne faut pas négliger le temps que prend la constitution d’un dossier de marquage CE. » Les sanctions en cas de non-respect sont sévères : jusqu’à 15 millions d’euros d’amende ou 2,5 % du chiffre d’affaires annuel mondial, avec une responsabilité pénale possible des dirigeants.
Auto-certification, organisme notifié, tests d'intrusion : que dit la réglementation ?
Dans 90 % des cas les fabricants s’auto-certifient, mais auto-déclaration et certification ne sont pas la même chose. Dans la grande majorité des cas, environ 90%, le fabricant procède par auto-certification, sans passer par un organisme notifié. Itamar Ferreira invite à la prudence sur le vocabulaire : « Une auto-déclaration n’est pas une certification. Attention : il n’y a que les organismes notifiés qui peuvent certifier un produit. »
Machines et Cyber Resilience Act : vos questions et nos réponses
Un fabricant dont les machines disposent d’un point d’accès Wi-Fi est-il concerné ?
Oui, et pas seulement par le CRA. Itamar Ferreira répond : « Vous allez tomber aussi dans la directive RED, qui est la directive radio. »
Certains produits sont-ils exclus ?
Samuel Kohen indique : « Le matériel médical connecté est aussi exclu du CRA, au même titre que l’automobile. » Pour ce dernier secteur, Itamar Ferreira ajoute qu’avec une démarche de certification ISO 21434 et R155, « le CRA ne va pas changer votre vie ».
Les organismes notifiés / concernés sont-ils prêts ?
Le sujet est nouveau pour tout le monde. Samuel Kohen reconnaît : « Pour l’instant, tout le monde navigue encore un peu à vue. » Il manque encore des normes harmonisées.
Comment AFNOR BAO accompagne-t-il les industriels dans cette transition réglementaire ?
AFNOR BAO met les industriels en relation avec un consultant expert en cybersécurité industrielle, comme Samuel Kohen ou Itamar Ferreira Dos Santos.
Samuel Kohen précise : « Notre objectif est que les clients deviennent autonomes. Malgré tout nous restons disponibles pour un accompagnement ponctuel ou à plus long terme. » Sa méthode est de coller à la réalité de l’entreprise : « S’adapter vraiment au contexte industriel du client, prioriser les risques, parce qu’il y aura forcément des risques résiduels. » Chaque choix doit être documenté : « Il faut être capable de justifier pourquoi il y a certains risques qu’on n’attaque pas. » Les réponses peuvent être techniques, mais aussi juridiques ou organisationnelles.
L’accompagnement peut aussi inclure des formations spécifiques au codage sécurisé et à la gestion des incidents de cybersécurité, ainsi que des tests d’intrusion réalisés avec des partenaires. La certification par un organisme notifié se fait séparément : « Un organisme notifié n’a pas le droit de faire du conseil, et inversement », rappelle Samuel Kohen.