Aujourd’hui, les machines sont des systèmes numériques. Elles fonctionnent grâce à des logiciels, sont connectées, accessibles à distance, et génèrent en continu des données opérationnelles et d’utilisation. Avec le Cyber Resilience Act (CRA) et l’EU Data Act, l’Union européenne répond précisément à cette évolution. Les deux réglementations interviennent dans le même contexte technique.
Le calendrier réglementaire approche déjà rapidement. L’EU Data Act s’applique depuis le 12 septembre 2025. Les premières obligations du Cyber Resilience Act, notamment le signalement obligatoire des vulnérabilités activement exploitées, entrent en vigueur en septembre 2026, tandis que la conformité totale au CRA devient obligatoire à partir de décembre 2027. Pour les fabricants de machines, cela signifie que la préparation doit commencer dès maintenant.
Pour les fabricants de machines, cela signifie que la sécurité, l’accès aux données et l’architecture des services ne peuvent plus être envisagés séparément, mais doivent être traités comme une responsabilité partagée.
Dans cet article, découvrez :
Le Cyber Resilience Act est une réglementation produit qui s’applique aux produits comportant des éléments numériques. Il concerne donc aussi les machines industrielles, les systèmes de commande et les logiciels qui les équipent. Une question centrale se pose :
Une machine connectée peut-elle être exploitée en toute sécurité pendant toute sa durée de vie ?
Le CRA impose notamment :
Cette obligation de signalement concerne principalement les vulnérabilités des composants numériques utilisés au sein de la machine. Si un fabricant (OEM) utilise un composant tiers certifié, par exemple pour la connectivité ou l’accès à distance, une grande partie de la responsabilité de surveillance et de signalement des vulnérabilités revient au fournisseur de ce composant. Cela peut réduire considérablement la charge administrative pour les fabricants de machines.
Pour les fabricants de machines, cela représente un véritable changement de perspective. La cybersécurité ne s’arrête pas à la mise en service. Les fabricants restent responsables pendant toute la durée de vie prévue des logiciels et composants numériques déployés, ce qui représente souvent cinq ans ou plus. La cybersécurité devient ainsi une composante permanente de la conformité produit, qui ne se termine pas à la livraison de la machine
Dès la mise en service d’une machine, l’accès à distance devient un enjeu de sécurité. D’un point de vue réglementaire, toute connexion à distance est considérée comme un point d’entrée numérique vers la machine. Si cet accès n’est pas suffisamment sécurisé, il compromet la sécurité de fonctionnement de la machine.
Dans le cadre du Cyber Resilience Act, les solutions d’accès à distance sont donc considérées comme des composants critiques pour la sécurité. Si la connexion est fragile ou non certifiée, la responsabilité incombe au fabricant.
En pratique, cela signifie que les machines doivent être livrées avec des ports fermés, des identifiants clairement définis et des mécanismes de sécurité intégrés dès le départ. Si ces exigences ne sont pas respectées, le produit est considéré comme non sécurisé et ne peut pas être mis sur le marché.
Avec l’approche des échéances d’application du CRA à partir de 2026, le choix d’une technologie d’accès à distance sécurisée et certifiée devient une décision architecturale stratégique.
L’UE Data Act suit une logique différente. Il ne s’agit pas d’une réglementation de sécurité, mais d’une réglementation relative aux données et au marché. Elle porte sur les données générées par l’utilisation de produits connectés, y compris dans les environnements industriels.
Le Data Act encadre :
En pratique, le Cyber Resilience Act et l’UE Data Act se rejoignent sur un même point : la connexion internet de la machine.
L’accès à distance constitue, selon le CRA, un point d’accès critique pour la sécurité. Dans le même temps, selon l’UE Data Act, il représente le canal technique permettant l’accès et le partage des données.
Si l’accès est sécurisé de manière trop restrictive, l’accès aux données requis par la loi peut être entravé. S’il est conçu de façon trop ouverte, des failles de sécurité apparaissent. Les fabricants de machines doivent donc apprendre à concevoir ensemble la sécurité et l’accès aux données, plutôt que de les opposer.
Les deux réglementations modifient en profondeur des principes fondamentaux de la construction mécanique. La cybersécurité devient un élément de la stratégie produit, et non plus seulement une question informatique. L’accès aux données devient un élément de la relation client. Les services à distance deviennent visibles du point de vue réglementaire. Les choix en matière de cloud et de plateformes prennent une importance stratégique.
Une erreur fréquente consiste à sous-estimer les obligations à long terme. Les mises à jour de sécurité doivent continuer à être fournies plusieurs années après la vente. Dans le même temps, les modèles contractuels existants sont remis en question. Les revendications globales de propriété sur les données machine ne sont plus tenables au regard de l’UE Data Act.
À l’avenir, l’avantage concurrentiel ne dépendra plus de la possession des données, mais de la capacité à en tirer une valeur ajoutée durable.
Le Cyber Resilience Act et l’UE Data Act définissent de nouvelles règles pour la construction mécanique numérique.
La sécurité, l’accès aux données et les services à distance deviennent des facteurs stratégiques qui déterminent l’accès au marché, la relation client et la compétitivité.Les fabricants de machines qui intègrent ces enjeux dès maintenant réduisent les risques réglementaires et posent les bases de modèles d’affaires évolutifs et pérennes.
En pratique, cela signifie aussi qu’il n’est pas nécessaire de construire chaque architecture de sécurité et de données à partir de zéro. Le recours à des composants industriels spécialisés et certifiés peut considérablement réduire la charge liée à la mise en conformité.
Les passerelles industrielles conçues à cet effet en sont un bon exemple. Des solutions comme l’IXON SecureEdge Pro sont certifiées IEC 62443-4-2, répondant aux exigences strictes de sécurité du Cyber Resilience Act tout en offrant les API ouvertes nécessaires pour permettre un partage de données maîtrisé dans le cadre de l’UE Data Act.
Pour de nombreux fabricants de machines, l’utilisation de composants certifiés constitue donc la manière la plus efficace de répondre aux exigences réglementaires, sans avoir à développer eux-mêmes l’ensemble de l’infrastructure.
Le Cyber Resilience Act (CRA) est une réglementation produit. Il garantit que les machines connectées et les logiciels restent sécurisés pendant tout leur cycle de vie, du développement à l’exploitation. La sécurité devient une condition préalable à la mise sur le marché.
L’UE Data Act est une réglementation relative aux données et au marché. Il encadre l’accès aux données machine et renforce les droits des utilisateurs à exploiter ces données ou à les partager avec des tiers.
En résumé : le CRA empêche les attaquants d’entrer, tandis que le Data Act régule qui est autorisé à accéder aux données.
Les deux réglementations s’appliquent au même point technique : la connexion internet de la machine. L’accès à distance est à la fois critique pour la sécurité (CRA) et pertinent pour les données (EU Data Act).
Considérer ces deux lois séparément crée des objectifs contradictoires, par exemple des mesures de sécurité trop restrictives qui empêchent un accès légitime aux données, ou des interfaces trop ouvertes qui créent des failles de sécurité. Seule une approche intégrée permet de faire fonctionner ensemble la sécurité et l’accès aux données.
L’accès à distance devient l’interface centrale de conformité. Selon le CRA, il doit être sécurisé, clairement authentifié et traçable. Selon l’UE Data Act, ce même accès permet un accès maîtrisé aux données de la machine.
L’accès à distance évolue ainsi d’un simple outil de service vers une composante de l’architecture machine, désormais pertinente sur le plan réglementaire.
Sont principalement concernées les données générées par le fonctionnement de la machine, notamment :
Les données opérationnelles et d’utilisation
Les données d’état et de performance
Les données de maintenance et de diagnostic
Ne sont généralement pas concernés : le code source, la documentation de conception ou les algorithmes propriétaires. Le défi consiste à mettre en œuvre une séparation claire, tant technique que contractuelle, entre ces catégories.
La première étape consiste à réaliser un état des lieux numérique :
Quels composants logiciels fonctionnent sur la machine ?
Quelles données sont générées, et où ?
Quels points d’accès et interfaces existent ?
Sur cette base, les droits d’accès, les flux de données et les responsabilités doivent être clairement définis. Ce n’est qu’avec cette transparence que les exigences du Cyber Resilience Act et de l’UE Data Act pourront être respectées durablement.