Le nouveau règlement européen sur les machines définit plus clairement les responsabilités du fabricant, du fournisseur et de l'utilisateur
Dans quelques mois, le règlement (UE) 2023/1230 relatif aux machines entrera en vigueur dans toute l'Union européenne. Ce règlement remplace l'ancienne directive 'Machines' de 2006 et définit plus clairement les responsabilités de chacun au sein de la chaîne comprenant le fabricant, le fournisseur et l'utilisateur – ainsi que, en cas de modifications substantielles, la partie qui les effectue. Cela a des conséquences auxquelles on ne pense pas toujours d'emblée.
Le 20 janvier 2027 est le jour J pour le règlement européen sur les machines. À partir de cette date, tout le monde devra appliquer les nouvelles règles. Le règlement est déjà entré en vigueur le 19 juillet 2023 dans les 27 États membres de l’UE ainsi qu’en Islande, au Liechtenstein et en Norvège. Comme indiqué précédemment dans Metallerie, il s’applique simultanément et de la même manière dans tous ces pays.
L'ère numérique
L’une des principales raisons qui ont poussé l’UE à élaborer le nouveau règlement sur les machines est l’évolution technologique rapide de ces dernières années. L’ancienne directive sur les machines 2006/42/CE date d’une époque où la numérisation et l’intelligence artificielle (IA) en étaient encore à leurs balbutiements. Le nouveau règlement offre un cadre juridique mieux adapté aux défis modernes tels que la cybersécurité, les robots mobiles autonomes et les systèmes d’auto-apprentissage.
Les logiciels en tant que composants de sécurité
Un point crucial réside dans le fait que les logiciels peuvent être considérés comme des composants de sécurité. Les logiciels remplissant des fonctions de sécurité sont explicitement considérés, dans la nouvelle réglementation, comme des produits devant satisfaire à des exigences de sécurité strictes. Les fabricants doivent donc non seulement se concentrer sur les barrières physiques ou les arrêts mécaniques, mais aussi garantir l’intégrité du code source et la résilience des logiciels face à toute manipulation externe.
La cybersécurité devient ainsi une exigence explicite. Si une mise à jour logicielle affecte la sécurité ou la conformité, introduit de nouveaux risques ou apporte des modifications substantielles, une nouvelle déclaration de conformité doit être délivrée. Le fabricant doit alors suivre à nouveau la procédure.
Systèmes séparés
L’une des solutions mises en œuvre dans la construction mécanique consiste à séparer les systèmes de sécurité et l’automatisation standard. Pilz, par exemple, fait fonctionner les fonctions de sécurité sur du matériel distinct, de sorte qu’elles soient totalement protégées des mises à jour, des erreurs et des attaques dans le domaine standard. Pour renforcer encore davantage la protection, le groupe préconise même de regrouper les appareils exécutant des fonctions de sécurité dans un segment de réseau distinct.
Nouvelles fonctions
L’obligation de refaire la procédure de conformité s’applique également lorsqu’une machine est dotée de nouvelles fonctions. Sur ce point, le règlement relatif aux machines attribue clairement davantage de responsabilités à l’importateur ou au fournisseur. Les rôles du fabricant, du distributeur et du fournisseur, ainsi que les responsabilités qui leur incombent, sont décrits avec précision. Si, à l’avenir, une machine s’avère dangereuse ou si son logiciel ne répond pas aux exigences de sécurité, aucune de ces parties ne pourra plus se dédouaner.
Modification substantielle
Par ailleurs, le règlement apporte des modifications importantes concernant la notion de « modification substantielle ». Dans la pratique, les utilisateurs adaptent ou étendent souvent les machines existantes afin d’augmenter leur capacité de production. En vertu des nouvelles règles, on considérera plus rapidement qu’il s’agit d’une modification importante qui rend la machine techniquement 'nouvelle'.
Dans ce cas, l’entière responsabilité est transférée du fabricant d’origine à la partie qui effectue la modification. Cette partie devient, d’un point de vue juridique, le fabricant et doit effectuer une toute nouvelle évaluation de la conformité, y compris la documentation technique et le marquage CE. Cela nécessite une administration rigoureuse et une bonne compréhension de l’analyse des risques, car en cas d’incident, la responsabilité peut incomber directement à la partie ayant effectué la modification.
Mise sur le marché
Comme indiqué précédemment, le règlement sur les machines entrera pleinement en vigueur à compter du 20 janvier 2027 dans les 27 pays de l’UE et les trois pays de l’EEE. Un détail juridique important est que le règlement s’applique à toutes les machines mises sur le marché pour la première fois dans l’UE à compter de cette date. Il ne s’agit pas de la date de commande ou de fabrication. On peut supposer que les marques établies construisent d’ores et déjà leurs machines conformément aux nouvelles règles, afin qu’elles soient conformes en 2027.
Lors de l’achat, par exemple, d’une machine provenant d’un fabricant chinois moins connu, il convient d’y prêter une attention particulière. Les constructeurs européens de machines se plaignent depuis longtemps de l’arrivée sur le marché européen de nombreuses machines chinoises qui ne répondent pas aux exigences CE. Les responsabilités étant désormais définies de manière encore plus explicite, la vigilance s’impose.
Machines en stock
Et que se passe-t-il si l’on achète une machine en stock chez un revendeur depuis plusieurs mois déjà ? Si le fabricant a livré cette machine au revendeur avant cette date, c’est l’ancienne directive 'Machines' qui s’applique. En effet, la machine a alors été mise sur le marché avant le 20 janvier 2027. La situation est différente si la machine se trouve encore dans l’entrepôt européen du fabricant. Dans ce cas, elle est toujours la propriété du fabricant.
Si celui-ci livre la machine après le 20 janvier 2027, elle doit alors répondre aux nouvelles exigences, quelle que soit sa date de fabrication. Si le fabricant vend la machine à un revendeur ou à un distributeur avant le 20 janvier 2027, celle-ci est alors considérée comme 'mise sur le marché' dans l’UE et les anciennes normes continuent de s’appliquer. Dans ce cas, veillez à demander des justificatifs.
Machines d’occasion
L’achat d’une machine d’occasion peut également être affecté différemment par le nouveau règlement sur les machines. Là encore, tout dépend de la date à laquelle la machine a été mise sur le marché pour la première fois au sein de l’UE. Les machines d’occasion provenant de pays de l’UE peuvent être achetées sans autre ; elles restent soumises aux anciennes règles. Cela vaut également pour les machines provenant du Liechtenstein, de la Norvège et de l’Islande. Ces trois pays ont déclaré, par le biais de l’accord EEE, qu’ils appliquaient la directive 'Machines', et le règlement «Machines» entrera également en vigueur chez eux l’année prochaine.
Ce n’est pas le cas de la Suisse. Ce pays a en effet rejeté à l’époque l’adhésion à l’EEE. L’UE et la Suisse ont toutefois conclu un accord de reconnaissance mutuelle, notamment pour les machines. Elles reconnaissent ainsi leurs procédures d’évaluation de la conformité respectives, mais cela ne signifie pas pour autant qu’il y ait libre-échange. Toute personne qui achète une machine d’occasion en Suisse – ou dans un autre pays hors de la zone UE/EEE – après le 20 janvier 2027 la met pour la première fois sur le marché de l’UE. La machine doit alors satisfaire aux exigences du nouveau règlement sur les machines.
Il en va de même pour le Royaume-Uni, qui n’est plus membre de l’UE depuis le Brexit. Après leur départ, les Britanniques ont adopté la directive 'Machines' 2006/42/CE comme norme et l’ont rebaptisée 'Supply of Machinery (Safety) Regulations 2008' (UKCA). En 2024, ils ont instauré une reconnaissance illimitée du marquage CE pour un certain nombre de catégories de produits, dont les machines. L’UE ne reconnaît toutefois pas la législation britannique UKCA. Pour les exportations vers l’UE, les machines devront donc satisfaire aux nouvelles exigences à compter du 20 janvier 2027.
Logiciels
Pour les machines plus anciennes, notamment celles de type mécanique, la mise en conformité avec le nouveau règlement sur les machines restera généralement réalisable. Un effort supplémentaire sera nécessaire pour les machines plus récentes disposant d’une connexion Internet. En effet, le règlement impose des exigences plus strictes concernant tout ce qui touche à la numérisation et à la cybersécurité. Seules les personnes autorisées peuvent avoir accès aux logiciels, la communication entre la machine et le réseau doit être cryptée et le fabricant doit réaliser une analyse des risques liés à la cybersécurité.
Il faut également préciser clairement comment ces risques sont couverts. À cet égard, le règlement sur les machines ne peut être dissocié de deux autres réglementations européennes: la directive NIS2 et la loi sur la cyber-résilience (voir encadrés). Les machines commercialisées sur le marché européen doivent satisfaire à la fois aux exigences de sécurité et de sûreté. Ce n’est plus une option, mais une condition préalable à leur mise sur le marché.
Systèmes à haut risque
Le nouveau règlement sur les machines a notamment été élaboré pour mieux répondre aux évolutions en matière d’intelligence artificielle. Les systèmes considérés comme à haut risque doivent suivre une procédure de conformité stricte. Les systèmes concernés sont désormais clairement identifiés.
Les annexes du règlement prévoient une liste A et une liste B. La liste A comprend six catégories, soit deux de plus que dans l’actuelle directive 'Machines'. Pour ces catégories, la certification doit toujours être effectuée par un organisme notifié. Les systèmes figurant sur la liste B font exception à cette règle s’il existe des normes harmonisées; dans ce cas, le fabricant est autorisé à procéder lui-même à la certification. Une nouveauté réside dans le fait que ces listes sont dynamiques. Tous les cinq ans, la Commission européenne évalue les listes et peut y apporter des modifications. Parmi les catégories pour lesquelles la certification doit être effectuée par un organisme notifié figurent, dans certains cas, les robots mobiles (AMR).
Les robots et les cobots figurent en revanche sur la liste B. La raison en est qu’ils sont construits selon une norme standardisée, notamment la norme de sécurité ISO 20218, et que leurs fonctions de sécurité sont définies. Les valeurs limites de force, de vitesse et de distance sont fixées avec précision. Un AMR, en revanche, peut déterminer, à l’aide d’un algorithme d’auto-apprentissage et d’informations visuelles, s’il doit s’arrêter ou changer de trajectoire. Le système d’évitement de collision ne dispose alors d’aucune valeur seuil fixe.
Ces exigences plus strictes s’appliquent également aux systèmes de caméras ou de vision intelligents qui, à l’aide de l’apprentissage automatique, distinguent les personnes des objets. Ces systèmes sont disponibles en tant que composants autonomes pour la construction mécanique et doivent donc toujours être certifiés par un organisme externe. Sur ce point, la nouvelle réglementation diffère nettement de la réglementation existante: si un logiciel remplit une fonction de sécurité et est commercialisé en tant que tel, il est considéré comme un produit autonome. En cas de modification essentielle susceptible d’affecter la fonction de sécurité, une nouvelle certification est nécessaire.
LA DIRECTIVE NIS2 POURRAIT TOUCHER L'ENSEMBLE DE LA CHAÎNE
Alors que le nouveau règlement sur les machines met l’accent sur la sécurité intrinsèque du produit, la directive NIS2 (Network and Information Security Directive) impose des exigences à l’organisation et à l’infrastructure dans lesquelles ces machines fonctionnent. Les entreprises manufacturières sont également concernées par ces dispositions. La directive NIS2 s'applique à partir de 50 salariés ou d'un chiffre d'affaires de 10 millions d'euros et oblige les entreprises à passer au crible l'ensemble de leur chaîne numérique: de la phase de conception et des mises à jour logicielles jusqu'à la connexion au réseau d'usine de l'utilisateur final.
Le pilote du secteur de la santé dans la chaîne
Cette réglementation peut donc également concerner des entreprises plus petites qui, en principe, ne relèvent pas de la directive en raison de leur chiffre d’affaires et de leurs effectifs. En effet, dans le cadre du devoir de diligence prévu par la directive NIS2, les entreprises doivent imposer des exigences à leurs fournisseurs. La directive oblige les entreprises manufacturières à mieux sécuriser leurs processus numériques et opérationnels. Elles doivent être en mesure de démontrer les mesures de cybersécurité qu’elles ont mises en place et de signaler plus rapidement les incidents. Bien que la directive vise principalement les équipementiers (OEM) et les fournisseurs de niveau 1, notamment dans l’industrie métallurgique, d’autres entreprises peuvent également être concernées.
Leurs clients – souvent eux-mêmes des fournisseurs de niveau 2 – pourraient commencer à poser des questions et exiger que leurs sous-traitants soient en conformité. Non seulement les amendes infligées aux entreprises soumises à la directive NIS2 peuvent atteindre des montants considérables, jusqu’à 2 % du chiffre d’affaires mondial ou 10 millions d’euros, mais les dirigeants peuvent également être tenus personnellement responsables de la politique de cybersécurité. La directive NIS2 est une directive européenne et doit donc être transposée en législation par les gouvernements nationaux. En Belgique, la réglementation est mise en œuvre progressivement depuis 2024; aux Pays-Bas, elle est en vigueur depuis la mi-août 2026.
Automatisation d’une chaîne de production
Attention : cela s'applique de manière générale à toute personne qui apporte des modifications substantielles, tant sur le plan physique que numérique. Dans la pratique, cela signifie notamment qu'un utilisateur final qui modifie en profondeur une machine est considéré, d'un point de vue juridique, comme un fabricant. Par exemple, quiconque automatise une ligne de production obsolète en y ajoutant de nouveaux capteurs pilotés par l’IA ou un système de transport autonome peut se trouver confronté à une 'modification substantielle'. Le règlement définit celle-ci comme une adaptation physique ou numérique imprévue d’une machine après sa mise en service, susceptible d’affecter la conformité en matière de sécurité.
L’entretien régulier et les réparations n’ayant pas d’incidence sur cette conformité n’entrent pas dans ce cadre. En cas de modification substantielle, le marquage CE d’origine perd sa validité et l’utilisateur doit refaire l’intégralité du processus d’évaluation de la conformité conformément aux exigences du nouveau règlement sur les machines. Cela implique non seulement des défis techniques, mais aussi une charge administrative considérable: la documentation technique et l’évaluation des risques doivent être entièrement mises à jour conformément à l’état actuel de la technique. À partir de janvier 2027, la documentation pourra toutefois être fournie sous forme numérique. Au cours des six premiers mois suivant l’achat, le client pourra encore demander une version papier.
Le règlement freine-t-il l’IA?
Une question pertinente concernant l’IA est de savoir comment la nouvelle réglementation européenne s’articule avec l’essor des algorithmes d’auto-apprentissage et des jumeaux numériques. Selon le nouveau règlement, le constructeur de machines doit indiquer dans quelle fourchette le système est autorisé à effectuer des ajustements sans compromettre les fonctions de sécurité. Tant que le système s'entraîne dans des limites validées, il n'y a aucun problème. La situation est différente lorsqu'un ajustement n'était pas prévu dans l'évaluation des risques initiale. Dans ce cas, un nouveau processus de certification CE est nécessaire. Sans cette restriction, un système d'IA serait en effet pratiquement impossible à certifier.
À l’avenir, cela pourrait susciter des débats sur la question de savoir jusqu’où l’on peut aller avec, par exemple, l’IA agentique, qui permet de programmer automatiquement des automates programmables (PLC). Dès que de tels systèmes font partie intégrante de la machine, ils doivent être pris en compte dans l’évaluation des risques. Les fabricants de machines limiteront donc probablement l’utilisation de l’IA en stipulant que seuls les paramètres non liés à la sécurité peuvent être optimisés. Ils intégreront également une étape de validation humaine avant que la logique de sécurité générée par l’IA ne soit mise en service. Dans le même temps, il convient de préciser que le règlement a avant tout un caractère orientatif. Les pratiques de mise en œuvre concernant l’IA agentique, à la frontière entre outil de conception et composant opérationnel d’une machine, sont encore en pleine évolution.
LOI SUR LA CYBER-RÉSILIENCE : CYBERSÉCURITÉ OBLIGATOIRE
Le Cyber Resilience Act (CRA) est la troisième nouvelle réglementation européenne qui concerne notamment les systèmes IoT industriels, les systèmes d’exploitation, les logiciels sur site et les systèmes d’IA présentant un profil de risque élevé. La CRA est entrée en vigueur en décembre 2024. Sa mise en œuvre se fait par étapes: la législation devra être transposée dans tous les États membres de l’UE au plus tard le 11 décembre 2027.
Le 'Software-as-a-Service' (SaaS) n’entre pas dans le champ d’application de la CRA. Il en va de même pour le secteur médical, ainsi que pour les industries automobile, de la défense et aéronautique, car ces secteurs sont déjà soumis à des exigences plus strictes. L’une des obligations majeures est que les logiciels bénéficient de mises à jour de sécurité tout au long de la durée de vie prévue de la machine.
En outre, les incidents et les vulnérabilités logicielles détectées sont soumis à une obligation de notification. Un ensemble limité d’informations doit être transmis à l’autorité nationale dans les 24 heures. Dans les 72 heures suivant la première notification, un rapport plus détaillé doit être transmis, précisant la cause et les mesures prises. Ces délais s’appliquent également en dehors des jours ouvrables.
