À partir du 20 janvier 2027, le règlement (UE) 2023/1230 remplace la directive Machines – sans phase transitoire et avec, pour la première fois, des exigences de cybersécurité contraignantes pour les machines. Nous accompagnons fabricants, intégrateurs et exploitants, de l'évaluation des risques à l'évaluation de la conformité.
Le règlement (UE) 2023/1230 – le nouveau règlement Machines – remplace la directive Machines 2006/42/CE à compter du 20 janvier 2027. En tant que règlement de l'UE, il s'applique directement dans tous les États membres ; une transposition nationale n'est plus nécessaire. En Allemagne, l'actuelle 9e ProdSV est abrogée à cette date ; en parallèle, la loi d'application MaschinenDG régit la surveillance du marché, les exigences linguistiques et les sanctions, avec des amendes pouvant atteindre 100 000 euros. L'échéance est ferme : il n'existe ni phase mixte ni option de mise sur le marché anticipée.
Sur le fond, le règlement répond à la numérisation de la construction mécanique : pour la première fois, des exigences de cybersécurité deviennent contraignantes pour les machines, les fonctions de sécurité fondées sur l'IA sont soumises à une évaluation obligatoire par un tiers, et un logiciel peut lui-même constituer un composant de sécurité. S'y ajoutent la définition harmonisée à l'échelle de l'UE de la modification substantielle, les notices d'instructions numériques et des obligations documentaires étendues. Les normes harmonisées relatives aux nouvelles exigences faisant encore défaut et les organismes notifiés disposant de capacités limitées, les fabricants devraient mettre à profit le temps restant pour l'analyse d'écarts et la mise en œuvre.
De l'entrée en vigueur à l'échéance ferme – les dates à connaître.
Le règlement (UE) 2023/1230 est publié et entre en vigueur le 19 juillet 2023. Il remplace la directive Machines 2006/42/CE et, en tant que règlement, s'applique directement dans chaque État membre.
Les dispositions relatives à la notification des organismes d'évaluation de la conformité (art. 26 à 42) s'appliquent de manière anticipée. Les fabricants ayant besoin d'une évaluation par un tiers devraient sécuriser tôt leurs capacités d'évaluation.
La loi allemande d'application du règlement Machines (MaschinenDG, BGBl. 2025 I n° 302) régit la surveillance du marché ainsi que les règles linguistiques et de sanction ; ses dispositions matérielles s'appliquent à partir du 20 janvier 2027. La 9e ProdSV est abrogée à l'expiration du 19 janvier 2027.
Les États membres communiquent à la Commission leurs régimes de sanctions. En Allemagne, la MaschinenDG prévoit des amendes pouvant atteindre 100 000 euros et, en cas d'infractions graves, jusqu'à un an d'emprisonnement.
À partir de ce jour, les machines ne peuvent plus être mises sur le marché qu'au titre du nouveau règlement ; jusqu'au 19 janvier 2027 inclus, seule la directive Machines s'applique. Les produits mis sur le marché avant l'échéance peuvent continuer à être mis à disposition.
Huit nouveautés qui touchent directement la conception, la documentation et l'accès au marché.
Le règlement (UE) 2023/1230 s'applique directement dans chaque État membre – les transpositions nationales divergentes disparaissent. L'ancienne ordonnance allemande sur les machines (9e ProdSV) est abrogée à l'expiration du 19 janvier 2027 ; en parallèle, la MaschinenDG régit la surveillance du marché et les sanctions.
Avec les exigences 1.1.9 (protection contre la corruption) et 1.2.1 (sécurité et fiabilité des systèmes de commande), l'annexe III contient pour la première fois des exigences de sécurité informatique contraignantes. La protection du matériel et des logiciels liés à la sécurité contre les interventions accidentelles et intentionnelles devient ainsi partie intégrante de la conformité CE.
La notion de composant de sécurité couvre expressément les composants physiques et numériques, y compris les logiciels (art. 3, point 3). Quiconque met séparément sur le marché un logiciel assurant une fonction de sécurité assume ses propres obligations de fabricant, marquage CE compris.
Les composants de sécurité et les systèmes embarqués au comportement totalement ou partiellement auto-évolutif fondé sur l'apprentissage automatique figurent à l'annexe I, partie A. Un organisme notifié doit toujours intervenir pour eux – même en cas d'application intégrale des normes harmonisées.
L'article 3, point 16, fixe de manière uniforme dans toute l'UE le moment où une modification physique ou numérique fait juridiquement d'une machine un produit nouveau. Quiconque procède à une modification substantielle – par exemple lors d'un rétrofit – est considéré comme fabricant et doit mener la procédure de conformité (art. 18).
La notice d'instructions et la déclaration UE de conformité peuvent être fournies sous forme numérique – imprimables, téléchargeables et disponibles en ligne pendant au moins dix ans. Sur demande lors de l'achat, une version papier gratuite doit être fournie dans un délai d'un mois ; pour les utilisateurs non professionnels, les informations de sécurité essentielles restent obligatoires sur papier.
Est désormais également considéré comme machine un ensemble auquel il ne manque que le chargement du logiciel prévu par le fabricant (art. 3, point 1, f). Les obligations CE ne peuvent donc plus être contournées par une installation logicielle en aval.
Pour les machines à capteurs, télécommandées ou autonomes, la documentation technique visée à l'annexe IV comprend aussi la description des processus de données, d'essai et de validation. Le code source ou la logique de programmation des logiciels liés à la sécurité doit être mis à la disposition des autorités sur demande motivée ; la documentation doit être conservée au moins dix ans.
Pour la première fois, le droit européen des machines impose une protection contre la manipulation numérique – comme condition du marquage CE.
Le raccordement d'autres dispositifs – y compris par accès à distance – ne doit pas conduire à des situations dangereuses. Le matériel, les logiciels et les données liés à la sécurité doivent être identifiés et protégés de manière appropriée contre toute corruption accidentelle ou intentionnelle. L'objectif de protection est la sécurité de la machine (safety), non la confidentialité ou la protection des données.
La machine doit collecter des preuves des interventions légitimes comme illégitimes sur le matériel et les logiciels liés à la sécurité – de fait, une journalisation de sécurité au niveau du produit. En outre, le logiciel installé pour le fonctionnement sûr doit pouvoir être identifié à tout moment sous une forme facilement accessible.
Les systèmes de commande doivent résister aux influences extérieures intentionnelles et non intentionnelles – y compris aux tentatives malveillantes de tiers raisonnablement prévisibles conduisant à une situation dangereuse. Le critère est fondé sur les risques : l'étendue et la profondeur des mesures dépendent des circonstances et des risques. Les défaillances matérielles, les erreurs de logique de commande et les erreurs d'utilisation prévisibles ne doivent pas non plus engendrer de dangers.
Le journal de traçabilité des interventions et des versions du logiciel de sécurité chargées ultérieurement doit rester accessible aux autorités jusqu'à cinq ans après le chargement. Les systèmes de commande au comportement auto-évolutif doivent enregistrer pendant un an les données de décision liées à la sécurité, ne pas quitter l'espace de tâches et de mouvements défini et rester corrigibles à tout moment.
Les exigences de cybersécurité du règlement Machines ne sont pas isolées : à partir du 11 décembre 2027, les machines comportant des éléments numériques relèvent en outre du Cyber Resilience Act, dont les obligations de notification des vulnérabilités activement exploitées s'appliquent dès le 11 septembre 2026. Il n'existe pas de présomption de conformité automatique du CRA vers le règlement Machines – les synergies doivent être démontrées au cas par cas. Une présomption de conformité pour les points 1.1.9 et 1.2.1 ne naît que par des normes harmonisées ou par des certifications selon un schéma du Cybersecurity Act (art. 20, paragraphe 9, du règlement Machines). La norme prévue à cet effet, l'EN 50742, n'existe pour l'instant qu'à l'état de projet (prEN 50742) ; son inscription au Journal officiel de l'UE avant l'échéance reste incertaine. Pour les fonctions de sécurité fondées sur le ML s'ajoutent, à partir du 2 août 2027, les obligations « haut risque » de l'AI Act, intégrées dans l'évaluation de la conformité au titre du règlement Machines.
Les obligations touchent toute la chaîne d'approvisionnement – du fabricant à l'exploitant qui modernise ses machines.
Ils portent les obligations essentielles : évaluation des risques, conception conforme à l'annexe III, documentation technique, évaluation de la conformité, déclaration UE de conformité et marquage CE. Documentation et déclaration doivent être conservées au moins dix ans ; pour les quasi-machines s'appliquent des obligations parallèles, avec déclaration d'incorporation et notice d'assemblage.
Avant la mise sur le marché, les importateurs vérifient l'existence de la procédure de conformité, de la documentation et du marquage, et indiquent leurs propres coordonnées ; les distributeurs contrôlent le marquage CE, la déclaration de conformité et la version linguistique de la notice d'instructions. Quiconque distribue des produits sous sa propre marque ou les modifie d'une manière affectant la conformité assume l'intégralité des obligations du fabricant (art. 17).
Quiconque modifie substantiellement une machine – physiquement ou numériquement, par exemple par une mise en réseau ultérieure ou de nouvelles fonctions de sécurité – est considéré comme fabricant de la machine modifiée. Pour les ensembles de machines, les obligations peuvent se limiter à la partie concernée ; cela suppose une évaluation des risques solide.
Un logiciel assurant des fonctions de sécurité peut constituer un composant de sécurité autonome soumis au marquage CE. Les composants de sécurité fondés sur le ML relèvent de l'évaluation obligatoire par un tiers au titre de l'annexe I, partie A, et constituent en même temps des IA à haut risque au sens de l'AI Act, dont les obligations applicables prennent effet le 2 août 2027.
Quatre étapes, de la classification à l'assurance continue de la conformité.
Il convient d'abord de déterminer si votre produit relève de l'annexe I. La partie A (notamment les composants de sécurité fondés sur le ML) exige toujours un organisme notifié – examen UE de type avec conformité au type, assurance qualité complète ou vérification à l'unité ; pour la partie B, le contrôle interne de la production n'est admis que si des normes harmonisées couvrent toutes les exigences pertinentes. Toutes les autres machines passent par le contrôle interne de la production (module A).
L'évaluation des risques est le point de départ de la conformité : limites du produit, identification des dangers, estimation puis réduction des risques selon la hiérarchie conception intrinsèquement sûre, mesures de protection, information des utilisateurs. La nouveauté : l'obligation d'intégrer les cybermenaces pertinentes pour la sécurité et l'évolution prévue des fonctions auto-apprenantes.
La documentation comprend notamment l'évaluation des risques, les normes appliquées ainsi que les rapports d'essai et de validation ; pour les machines à capteurs ou autonomes s'y ajoute la description des capacités, des limites et des processus de données. Il faut en outre un processus permettant de mettre le code source ou la logique de programmation des logiciels liés à la sécurité à la disposition des autorités sur demande motivée.
Par la déclaration UE de conformité, le fabricant assume la responsabilité de la conformité ; si le produit relève de plusieurs actes juridiques, une déclaration unique est établie. Après le marquage CE – avec le numéro d'identification de l'organisme notifié en cas d'évaluation par un tiers –, la conformité de série, les évolutions normatives et les mesures correctives doivent faire l'objet d'un suivi continu.
Des réponses concises aux questions typiques issues de notre pratique de conseil.
Le règlement s'applique à partir du 20 janvier 2027 ; jusqu'au 19 janvier 2027 inclus, les machines doivent être mises sur le marché selon la directive Machines 2006/42/CE – il n'existe ni phase mixte ni phase de choix. Les produits mis sur le marché conformément à la directive avant l'échéance peuvent continuer à être mis à disposition ; les attestations d'examen CE de type restent valables jusqu'à leur expiration. Le report des exigences de cybersécurité à l'échéance du CRA, réclamé par des fédérations industrielles, n'a pas été adopté à ce jour – le 20 janvier 2027 reste contraignant.
Non. La règle générale reste le contrôle interne de la production (module A), sans organisme externe. Un organisme notifié est obligatoire pour les six catégories de l'annexe I, partie A – dont les composants de sécurité fondés sur le ML – ainsi que pour les machines de la partie B lorsqu'aucune norme harmonisée couvrant toutes les exigences pertinentes n'est appliquée.
Le point 1.1.9 de l'annexe III exige que les raccordements et accès à distance ne conduisent pas à des situations dangereuses, que le matériel, les logiciels et les données liés à la sécurité soient identifiés et protégés contre les interventions accidentelles comme intentionnelles, et que la machine collecte des preuves des interventions. Le logiciel lié à la sécurité installé doit en outre être identifiable à tout moment. Concrètement : l'analyse des menaces, le durcissement, la détection des manipulations et la journalisation deviennent partie intégrante de la conception des machines.
Non, pas automatiquement. Le Cyber Resilience Act ne contient aucune présomption de conformité au bénéfice des exigences 1.1.9 et 1.2.1 du règlement Machines ; les deux évaluations de la conformité doivent être menées. Des synergies sont expressément prévues, mais elles doivent être démontrées par le fabricant – par exemple via des preuves communes et, à l'avenir, des normes harmonisées entre elles.
Lorsqu'une modification physique ou numérique non prévue par le fabricant crée un nouveau danger ou accroît un risque existant, au point de rendre nécessaires des dispositifs de protection supplémentaires avec adaptation du système de commande de sécurité, ou des mesures supplémentaires de stabilité et de résistance (art. 3, point 16). Celui qui procède à la modification est alors considéré comme fabricant – avec évaluation de la conformité, déclaration et marquage CE. Les rétrofits logiciels et de connectivité peuvent eux aussi franchir ce seuil.
Non, pas à la mi-2026. La norme prévue EN 50742 (« protection contre la corruption ») n'existe pour l'instant qu'à l'état de projet (prEN 50742) ; son inscription au Journal officiel de l'UE avant l'échéance reste incertaine. D'ici là, la série IEC 62443 et la spécification technique IEC/TS 63074 offrent des repères techniques – sans toutefois fonder de présomption de conformité. Une argumentation solide et fondée sur les risques dans la documentation technique n'en est que plus importante.
De la première classification à des preuves CE solides – expertise technique et réglementaire auprès d'un seul partenaire.
Nous évaluons vos produits, processus et documentations au regard des exigences du règlement – y compris la classification selon l'annexe I et l'examen des lacunes de cybersécurité vis-à-vis des points 1.1.9 et 1.2.1. Vous recevez une feuille de route de mise en œuvre priorisée jusqu'à l'échéance.
Nous étendons votre évaluation des risques existante aux cybermenaces pertinentes pour la sécurité : analyse systématique des menaces et des risques pour les systèmes de commande, les interfaces et les accès à distance. Les résultats alimentent directement vos mesures de protection et votre documentation technique.
Nous vous accompagnons dans la mise en œuvre au niveau de la conception : durcissement des systèmes de commande, concepts sécurisés d'accès à distance et de mise à jour, preuves d'intervention, journalisation de sécurité et inventaire logiciel. Nous nous appuyons sur l'état de l'art, en particulier la série IEC 62443.
Nos pentests OT et produits vérifient si votre machine résiste aux accès malveillants prévisibles – des interfaces réseau et radio aux accès de télémaintenance. Les résultats fournissent des preuves solides pour l'évaluation des risques et la documentation de conformité.
Nous vous guidons à travers la procédure adaptée – du choix de la procédure à la préparation de l'intervention de l'organisme notifié, en passant par la documentation technique selon l'annexe IV. Nous harmonisons les preuves pour le règlement Machines, le CRA et l'AI Act afin d'éviter les doublons.
Des formations pratiques pour la conception, le développement, la gestion de produit et les responsables CE : nouvelles exigences, fondamentaux de la sécurité pour la construction mécanique et gestion des modifications substantielles. Sur demande, sous forme d'atelier interne construit autour de vos lignes de produits.
L'échéance arrive sans période transitoire – et le paysage normatif reste en mouvement. Parlez-nous avant que les délais et les capacités d'évaluation ne se resserrent.
