Classe cybersécurité
2027 : votre conformité est-elle prête ?
Règlement Machines & Cyber :
formez-vous pour comprendre, anticiper et agir.
ACTUALITE - Règlement Machines
Le Règlement Machines (UE) 2023/1230, applicable dès le 20 janvier 2027, introduit une exigence essentielle inédite (point 1.1.9 de l’annexe III) relative à la protection contre la corruption et à la cybersécurité.
Application du Règlement MACHINES et CRA
Réponse opérationnelle
Prochaines sessions
Les obligations clés
• Intégrité des fonctions de sécurité : Les menaces liées à la cybersécurité ne doivent pas compromettre ou altérer les fonctions de sécurité de la machine.
• Prévention des modifications non autorisées : La conception de la machine doit empêcher la corruption intentionnelle ou non intentionnelle de son logiciel et de ses paramètres par des tiers ou par la connexion à d’autres dispositifs.
• Sécurisation des connexions : Les interfaces de maintenance à distance ou les raccordements réseau ne doivent pas créer de situations dangereuses ni faire de la machine un vecteur d’attaque.
• Traçabilité : Un mécanisme d’enregistrement des données de fonctionnement et des modifications de paramètres (journaux/logs) est requis pour identifier l’origine d’une défaillance ou d’une attaque
Cette applications présente la classification des niveaux requis de cybersécurité des systèmes industriels (ICS – IACS) selon le guide ANSSI.
Cette nouvelle version (V2 – 2025) permet de déterminer la classe requise (parmi 4 classes) en fonction de l’impact d’une attaque. A noter que la vraisemblance, jugée trop fluctuante dans le temps n’est plus prise en compte dans la version actuelle.
| Qualificatif | Gr. Env. | Conséquences environnementales |
|---|---|---|
| Catastrophique | Pollution externes au site majeure et durables | |
| Majeur | Pollution significative ou externe au site. Évacuation de personnes. | |
| Modéré | Pollution modérée limitée au site. | |
| Mineur | Dépassement d’une norme de rejet exigeant déclaration aux autorités. |
| Qualificatif | Gr. Hum. | Conséquences humaines |
|---|---|---|
| Catastrophique | Plusieurs décès | |
| Majeur | Un décès | |
| Modéré | Invalidité permanente | |
| Mineur | Accident déclaré avec arrêt ou traitement médical |
| Qualificatif | Gr. Eco. | Conséquences macroéconomiques |
|---|---|---|
| Catastrophique | Impacts lourds sur 10 000 000 personnes. | |
| Majeur | Impacts lourds sur 1 000 000 personnes. Perturbation de l’économie nationale. | |
| Modéré | Impacts lourds sur 100 000 personnes. Perturbation de l’économie régionale. | |
| Mineur | Impacts lourds sur 10 000 personnes. Perturbation de l’économie locale. |
Classe de cybersécurité pour systèmes industriels - OT
Les niveaux de cybersécurité sont définis en fonction des conséquences pour la Nation et non en fonction des conséquences propres aux entités responsables.
SL-C (Security Level capability) suivant CEI 62443
Guide d'utilisation
Sélectionnez dans chaque tableau (clic sur la colonne du milieu) les impacts de la zone ICS à évaluer.
Dans chaque tableau, lors du survol de la souris de la valeur associée à la caractéristique, une note (infobulle) précise en quelques mots et donne des exemples types.
En fonction des conséquences Humaines, environnementales ou macro-économiques, la classe est appréciée.
La classe (1, 2, 3 ou 4) requise pour le système de contrôle commande industriel étudié résulte de la gravité, la vraisemblance n’est pas prise en compte.
Selon la classe de cybersécurité requise, des mesures (techniques et organisationnelles) seront applicables à chacune d’entre elles.
Certaines mesures sont de simples recommandations, d’autres sont des directives, elles sont expliquées dans le guide ANSSI « Méthode de classification et mesures principales ».