Sûreté fonctionnelle ISO 26262, cybersécurité ISO 21434 et IEC 62443 : audit, conseil, formation et assistance technique pour l'automobile

Cadre normatif et réglementaire de la sûreté et de la cybersécurité du véhicule

Sûreté fonctionnelle : ISO 26262, ISO 21448 et ISO/PAS 8800

L'ISO 26262 traite de la sûreté fonctionnelle des systèmes électriques et électroniques des véhicules routiers. Dans sa deuxième édition, de 2018, elle forme une série de parties qui couvrent le management de la sûreté, la phase conceptuelle, le développement du système, du matériel et du logiciel, la production, l'exploitation et les processus de soutien. Son fil conducteur est l'analyse des dangers et l'évaluation des risques (HARA), qui aboutit à des niveaux d'intégrité ASIL (Automotive Safety Integrity Level, niveau d'intégrité de sécurité automobile), de A à D, puis à des objectifs et à des exigences de sécurité déclinés jusqu'au composant. Plus le niveau est élevé, plus les méthodes de vérification attendues sont exigeantes.

La norme ne prévoit pas de certificat d'entreprise. Un développement démontre sa conformité par son dossier de preuves, au premier rang desquelles le safety case, argumentaire qui établit que le risque résiduel du produit est acceptable. Des organismes indépendants, par exemple TÜV, DEKRA ou UTAC (organisme d'essais, d'homologation et de certification de l'automobile), peuvent confirmer un produit, un processus ou la compétence d'une personne à la demande du fabricant ou de son client : la confirmation est alors la leur, et Optédif ne tient pas ce rôle.

Deux textes complètent l'ISO 26262. L'ISO 21448, ou SOTIF (Safety Of The Intended Functionality, sécurité de la fonctionnalité prévue), publiée en première édition en juin 2022, traite des dangers liés aux insuffisances fonctionnelles, par exemple une perception qui interprète mal une scène alors qu'aucun composant n'est défaillant. Elle concerne en particulier les systèmes d'aide à la conduite. L'ISO/PAS 8800, publiée en décembre 2024, est une spécification accessible au public, et non une norme, consacrée à la sûreté des systèmes fondés sur l'intelligence artificielle dans les véhicules routiers. Elle s'appuie sur l'ISO 26262 et l'ISO 21448 et vise surtout l'apprentissage automatique. Vérifiez toujours l'édition de la norme imposée par votre contrat.

Cybersécurité du véhicule : ISO/SAE 21434

L'ISO/SAE 21434, publiée en première édition en août 2021 et élaborée conjointement par l'ISO et la SAE (SAE International, organisme de normalisation), remplace le guide SAE J3061. Elle fixe des exigences de processus pour la gestion des risques de cybersécurité pendant tout le cycle de vie des systèmes électriques et électroniques du véhicule : concept, développement, production, exploitation, maintenance et fin de vie. Elle ne prescrit aucune technologie particulière.

Son noyau est l'analyse des menaces et l'évaluation des risques (TARA) : identification des biens à protéger, scénarios de menace, évaluation de l'impact et de la faisabilité de l'attaque, décision de traitement du risque, puis objectifs et exigences de cybersécurité. La norme couvre aussi la répartition des activités entre le client et le fournisseur, la surveillance après la mise en production et la gestion des vulnérabilités, deux sujets sur lesquels les clients posent de plus en plus de questions aux équipementiers automobiles.

Règlements ONU R155 et R156 : le certificat est celui du constructeur

Les règlements ONU n° 155 (cybersécurité et système de management de la cybersécurité, CSMS) et n° 156 (mises à jour logicielles et système de gestion des mises à jour, SUMS) sont élaborés par le forum mondial WP.29 de la Commission économique des Nations unies pour l'Europe. Dans l'Union européenne, ils s'appliquent à la réception des véhicules par le jeu du règlement (UE) 2019/2144, avec une mise en application échelonnée entre 2022 et 2024. Ils visent les véhicules des catégories M et N et, selon leur équipement, de la catégorie O : voitures, véhicules utilitaires, poids lourds, autobus et autocars.

Le point décisif tient en une phrase : le certificat est celui du constructeur. Le constructeur démontre à l'autorité de réception, avec l'appui d'un service technique, que son CSMS couvre le développement, la production et l'exploitation de ses véhicules, puis il obtient un certificat de conformité. Il en va de même pour le SUMS, dont le certificat est de durée limitée, trois ans au maximum selon les sources consultées. En France, l'autorité compétente en matière de réception est le ministre chargé des transports, par délégation la sous-direction SD6 (sous-direction chargée de la réception des véhicules du ministère des transports) ; la réception européenne par type est délivrée par le CNRV (Centre national de réception des véhicules), après des essais confiés à un service technique désigné tel que l'UTAC.

Un équipementier automobile ne détient donc ni CSMS ni SUMS. Son client lui demande néanmoins des preuves : analyse de menaces, exigences, tests, plan de gestion des vulnérabilités, capacité à livrer des correctifs. Ces éléments alimentent le dossier du constructeur, qui reste responsable devant l'autorité. L'ISO/SAE 21434 et l'ISO 24089 sont couramment citées comme référentiels de méthode, sans que leur application vaille certificat.

Sites de production et systèmes industriels

IEC 62443 et IEC 61508

L'IEC 62443 est une série de documents consacrée à la cybersécurité des systèmes d'automatisation et de commande industriels. Elle distingue trois rôles : le propriétaire de l'installation, par exemple l'usine d'un équipementier automobile, le prestataire d'intégration, par exemple l'intégrateur d'une ligne, et le fournisseur de produits, par exemple le fabricant d'un automate ou d'une passerelle. Ses exigences se répartissent entre parties générales, politiques et procédures, exigences de système (zones, conduits, niveaux de sécurité cibles) et exigences de composant (cycle de développement sécurisé, capacités techniques d'un produit).

Dans une usine automobile, cela se traduit par la segmentation des réseaux de production, la sécurisation des automates, la détection d'intrusion sur les réseaux OT, la gestion des vulnérabilités des équipements et la maîtrise des passerelles entre systèmes d'information et systèmes de production. Des certifications de produit ou de processus selon cette série existent auprès d'organismes tiers : Optédif n'en délivre aucune. L'IEC 61508, de son côté, pose les bases génériques de la sûreté fonctionnelle (niveaux SIL), dont l'ISO 26262 est une adaptation aux véhicules routiers.

NIS2 : un cadre européen, une transposition française non achevée

La directive (UE) 2022/2555, dite NIS2, impose aux entités essentielles et importantes des mesures de gestion des risques de cybersécurité et des obligations de notification d'incidents. La fabrication de véhicules automobiles, de remorques et de semi-remorques figure, selon les analyses consultées, parmi les activités de fabrication visées. Cela ne signifie pas que chaque équipementier automobile soit concerné : l'applicabilité dépend de la taille et de l'activité exacte, et elle se vérifie avant toute démarche.

La date limite européenne de transposition était le 17 octobre 2024. En France, le projet de loi dit « résilience », qui transpose la directive, adopté par le Sénat en mars 2025, n'était pas promulgué à la date de rédaction de cette page, et son examen à l'Assemblée nationale a connu des reports. L'ANSSI (Agence nationale de la sécurité des systèmes d'information), désignée selon les sources consultées comme autorité nationale, a publié un référentiel d'accompagnement. Tant que le texte n'est pas adopté, nous préparons sans affirmer d'obligation acquise : cartographie des actifs, gouvernance, gestion des incidents, relations avec les fournisseurs.

TISAX et ISO/IEC 27001 : l'information et les prototypes

TISAX (Trusted Information Security Assessment eXchange, échange d'évaluations de la sécurité de l'information) est le mécanisme d'échange des résultats d'évaluation de la sécurité de l'information de la filière. Son référentiel est le questionnaire VDA (Verband der Automobilindustrie, association allemande de l'industrie automobile) ISA (Information Security Assessment, questionnaire d'évaluation de la sécurité de l'information de la VDA), et l'ENX Association gouverne le dispositif et approuve les prestataires d'audit, seuls autorisés à conduire les évaluations. Un label temporaire est valable neuf mois après la réunion de clôture de l'évaluation initiale, lorsque des non-conformités subsistent. Un constructeur peut exiger un label adapté avant de partager des données de projet sensibles avec un fournisseur.

L'ISO/IEC 27001, norme de système de management de la sécurité de l'information, offre une base utile, mais les clients de la filière ne la tiennent pas pour équivalente à TISAX. Nous aidons à préparer l'évaluation ; nous ne la réalisons pas et nous ne délivrons aucun label.

Enjeux d'un équipementier automobile et d'un constructeur

Répartition des rôles dans la chaîne de développement

Le constructeur définit les fonctions du véhicule, arbitre l'architecture, détient les certificats R155 et R156 et obtient la réception. L'équipementier de rang 1 livre un système ou un calculateur avec son dossier : plan de sûreté, analyse de dangers déclinée, exigences, preuves de vérification, analyse de menaces, plan de gestion des vulnérabilités. Les sous-traitants de rang 2 et 3 (composants électroniques, logiciels de base, outils) fournissent les preuves de leur propre périmètre. Une convention de répartition des activités, pour la sûreté comme pour la cybersécurité, fixe qui fait quoi à chaque jalon.

Le dossier de preuves, point de friction habituel

Les écarts relevés par les clients tiennent rarement à une méthode absente. Ils tiennent à une traçabilité rompue (une exigence de sécurité sans test associé), à des hypothèses d'intégration non transmises, à des analyses périmées après une évolution de conception, à une indépendance de revue mal organisée, ou à un correctif logiciel publié sans réévaluation du risque. Un dossier solide relie chaque danger ou chaque menace à ses mesures et à ses preuves, suit les changements, et se présente en quelques heures à un relecteur de votre client ou d'un organisme indépendant.

Les analyses se font tôt, alors que l'architecture bouge encore, et doivent être maintenues après la mise en série, puisque la cybersécurité continue avec le véhicule. Des modèles et une organisation adaptés rendent cette mise à jour peu coûteuse.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous réalisons des revues de conformité et des audits à blanc selon l'ISO 26262, l'ISO/SAE 21434 et l'IEC 62443. Nous conseillons sur l'organisation des rôles, des revues et des interfaces avec les fournisseurs. Nous produisons, avec vos équipes, les livrables d'ingénierie : analyses de dangers et de risques, analyses de menaces, AMDEC (analyse des modes de défaillance, de leurs effets et de leur criticité), arbres de défaillances, exigences dérivées, trame de safety case, architectures sécurisées. Nous évaluons les acquis de vos équipes et nous formons, en intra-entreprise, quand cela sert votre projet.

Nos analyses d'écarts et nos audits à blanc ont une valeur de conseil : ils vous permettent de corriger avant l'échéance et de présenter un dossier traçable et argumenté à votre client ou à votre organisme de certification.

Ce que nous ne faisons pas

Optédif ne délivre aucune certification, homologation, réception, agrément ni label, et n'emploie pas de personnel certifié par un organisme tiers : pas de personnel TÜV, pas d'assesseur ASPICE (Automotive SPICE, modèle d'évaluation de la capacité des processus de développement système et logiciel). Nous ne validons pas un produit, nous ne signons pas un safety case à votre place et nous n'engageons ni l'obtention d'un certificat R155 ou R156, ni celle d'une réception. Nous n'auditons pas un CSMS ou un SUMS pour le compte d'une autorité. Nos audits à blanc n'ont aucune valeur de certification et ne préjugent pas de la décision d'un client ou d'un organisme tiers. La décision d'accepter un risque résiduel et la responsabilité du produit restent celles du constructeur ou de l'équipementier automobile.

Assistance technique et confidentialité

Nos missions d'assistance technique sont réalisées par nos intervenants, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, dans le cadre d'un contrat de prestation de services portant sur un objectif et un périmètre convenus avec vous. Elles sont proposées au forfait ou en récurrent. Nos intervenants restent salariés d'Optédif, dirigés et encadrés par Optédif, et ne sont pas intégrés à votre hiérarchie. Les prototypes et les données de pré-série ne sont traités que dans le cadre contractuel (confidentialité, propriété intellectuelle, sécurité de l'information) défini avec vous avant le démarrage.

Références officielles

Textes et autorités

Pour les règlements ONU, consultez les pages de la CEE-ONU et le texte du règlement (UE) 2019/2144 sur EUR-Lex. Pour la réception en France, la page du ministère de la transition écologique sur l'homologation des véhicules décrit le rôle de la SD6, du CNRV et des services techniques. La directive NIS2 est publiée sur EUR-Lex, et l'ANSSI diffuse ses publications sur cyber.gouv.fr. Le Cyber Resilience Act, règlement (UE) 2024/2847, dont l'application aux composants vendus séparément est à vérifier, est présenté sur le site de la Commission européenne.

Normes et schémas de tiers

Les normes ISO et IEC sont des documents payants, que vous pouvez consulter sur les catalogues de l'ISO et de l'IEC. Le schéma TISAX est décrit par l'ENX Association. Vérifiez toujours l'édition et le périmètre exigés par votre contrat, et le statut de chaque référentiel à la date de votre projet.