L'obligation de notification du CRA est en vigueur depuis le 11 septembre 2026. Le règlement machines n'entre en application que le 20 janvier 2027, et le marquage CE complet du CRA que le 11 décembre 2027. Voici ce qu'un pont roulant piloté par automate doit documenter, quelles radiocommandes perdent leur présomption de conformité, et combien coûte l'ensemble de l'exercice par machine.
Depuis le 11 septembre 2026, quiconque fabrique pour le marché de l'UE un pont roulant doté d'un automate communicant a l'obligation légale de notifier les vulnérabilités activement exploitées au sein de ce pont roulant dans les 24 heures suivant leur découverte. Ce compte à rebours a démarré il y a six semaines. Les règles de sécurité des machines que la plupart des usines préparent encore n'entrent en application que le 20 janvier 2027. Les règles cyber horizontales qui transforment l'ensemble en dossier de marquage CE ne s'appliquent pleinement que le 11 décembre 2027. Trois dates, deux règlements, une seule machine.
La plupart des acheteurs à qui nous répondons en Europe ont entendu parler d'exactement une de ces échéances. Généralement le règlement machines, parce que c'est ce que leur organisme notifié leur demande. Presque personne ne nous a encore interrogés sur l'obligation de notification du CRA, et c'est précisément celle qui est déjà en cours.
Le règlement (UE) 2023/1230, dit règlement machines, remplace l'ancienne directive machines 2006/42/CE et s'applique aux machines mises sur le marché à partir du 20 janvier 2027. C'est un texte de sécurité qui contient désormais une exigence de cybersécurité. La section 1.1.9 de l'annexe III est intitulée « Protection contre la corruption » : les connexions à d'autres dispositifs ne doivent pas créer de situations dangereuses, le matériel, les logiciels et les données critiques pour la sécurité doivent être protégés contre la corruption accidentelle ou intentionnelle et doivent être identifiés, et les interventions légitimes ou illégitimes doivent être enregistrées. La section 1.2.1 porte sur la sécurité et la fiabilité des systèmes de commande.
Le règlement (UE) 2024/2847, le Cyber Resilience Act, est un texte de cybersécurité des produits. Il est entré en vigueur le 10 décembre 2024. Le chapitre IV relatif aux organismes notifiés s'applique depuis le 11 juin 2026. Les obligations de notification ont commencé le 11 septembre 2026. Les obligations principales s'appliquent à partir du 11 décembre 2027.
Un pont roulant aérien piloté par automate est une machine au sens du premier texte et un produit comportant des éléments numériques au sens du second. La FAQ officielle de la Commission sur le CRA est sans ambiguïté sur ce que cela implique. La question 2.4.1 indique que les fabricants de produits relevant des deux textes « devraient respecter à la fois les exigences essentielles de cybersécurité énoncées dans le présent règlement et les exigences essentielles de santé et de sécurité énoncées dans le règlement (UE) 2023/1230 », et que toute synergie « doit être démontrée par le fabricant ». La question 2.4.3 va plus loin : l'évaluation de la conformité au titre d'un instrument « ne peut pas être automatiquement considérée comme suffisante pour satisfaire également la procédure qu'il est requis de suivre au titre de l'autre instrument ».
Deux dossiers, deux déclarations, un seul pont roulant. Telle est la forme du problème.
| Élément | Règlement machines 2023/1230 | Cyber Resilience Act 2024/2847 |
|---|---|---|
| Objet | Sécurité physique de la machine, plus protection contre la corruption des fonctions de sécurité | Cybersécurité du produit numérique sur toute sa durée de vie, mises à jour comprises |
| S'applique à un pont roulant à partir du | 20 janvier 2027 | 11 décembre 2027 pour les obligations principales, 11 septembre 2026 pour la notification d'incidents |
| Qui évalue | Auto-évaluation pour la plupart des ponts roulants, organisme notifié pour les machines listées à l'annexe I | Auto-évaluation par défaut, tiers pour les « produits importants » de l'annexe III |
| Livrable | Dossier technique, déclaration UE de conformité, marquage CE, notices avec risques résiduels | Documentation technique, déclaration UE de conformité, marquage CE, SBOM, période de support, processus de gestion des vulnérabilités |
| Obligation continue | Conserver le dossier 10 ans, agir sur les incidents révélant une non-conformité | Traiter les vulnérabilités pendant toute la période de support, notifier les vulnérabilités exploitées sous 24 heures |
C'est la partie qui se perd dans les synthèses. Le CRA n'est pas une échéance unique. C'est un escalier, et la marche qui pénalise le plus une usine est celle qui est déjà en vigueur.
| Date | Ce qui s'applique | Ce que cela signifie pour un constructeur de ponts roulants |
|---|---|---|
| 10 décembre 2024 | Entrée en vigueur du CRA | Rien d'opérationnel, mais le compte à rebours de la conception démarre |
| 1er août 2025 | Exigences cyber de la directive sur les équipements radio (règlement délégué 2022/30) | Touche déjà chaque radiocommande expédiée dans l'UE |
| 11 juin 2026 | Chapitre IV du CRA, organismes notifiés | L'évaluation par un tiers devient réservable |
| 11 septembre 2026 | Obligations de notification du CRA et plateforme unique de notification de l'ENISA | Déjà en vigueur. S'applique aux produits déjà sur le marché de l'UE, pas seulement aux nouveaux |
| 20 janvier 2027 | Règlement machines 2023/1230 | Les sections 1.1.9 et 1.2.1 de l'annexe III entrent dans le dossier CE |
| 11 décembre 2027 | Obligations principales du CRA | Marquage CE complet au titre du CRA, SBOM, période de support déclarée dans les notices |
| 11 décembre 2027 | Notification pour les intendants de logiciels libres | Pertinent uniquement si vous maintenez un projet que vous commercialisez également |
L'annonce de la Commission du 11 septembre 2026 a précisé le détail qui prend les entreprises au dépourvu : les obligations de notification s'appliquent à tous les produits comportant des éléments numériques mis à disposition dans l'UE, « y compris ceux qui sont déjà sur le marché ». Un pont roulant de 2019 doté d'une passerelle de diagnostic 4G, installé dans une usine néerlandaise depuis sept ans, entre dans cette phrase. L'obligation est attachée au fabricant, et non à l'année de vente.
Deux catégories, quatre délais. Une vulnérabilité activement exploitée dans votre produit et un incident grave affectant sa sécurité sont deux déclencheurs distincts, et ils aboutissent à des échéances différentes.
| Étape | Délai | Contenu |
|---|---|---|
| Alerte précoce | 24 heures à compter de la prise de connaissance | Le fait qu'une vulnérabilité exploitable suspectée ou un incident grave existe, plus les faits essentiels |
| Notification complète | 72 heures | Informations générales sur le produit, nature de l'exploit ou de l'incident, et mesures d'atténuation initiales |
| Rapport final, vulnérabilité exploitée | 14 jours après la disponibilité d'une mesure corrective | Cause racine, correctif appliqué, versions concernées, actions à réaliser par les utilisateurs |
| Rapport final, incident grave | 1 mois à compter de la notification sous 72 heures | Même structure, plus ce qui a été fait pour empêcher la récidive |
La voie de dépôt est un portail unique. L'ENISA a construit et exploite la plateforme unique de notification du CRA, opérationnelle depuis le 11 septembre 2026. Un fabricant notifie une seule fois. La plateforme achemine la notification vers le CSIRT de l'État membre où le fabricant a son établissement principal et, sauf circonstances exceptionnelles, met l'information à la disposition de l'ENISA en même temps. Le CSIRT destinataire la partage ensuite avec les autres CSIRT nationaux des pays où le produit est vendu.
Il existe une porte étroite pour différer. Le 11 décembre 2025, la Commission a adopté un acte délégué fixant les conditions dans lesquelles un CSIRT peut retenir la diffusion vers d'autres CSIRT pour des motifs de cybersécurité justifiés. Partez du principe que vous ne remplirez pas ces conditions. Planifiez comme si l'autorité nationale de votre client apprenait la nouvelle le jour même de votre dépôt.
Pour une usine du Zhejiang sans établissement dans l'UE, la question pratique est de savoir qui dépose. Le règlement attache l'obligation au fabricant, et un distributeur ou un importateur ne peut pas l'absorber. C'est le seul point où un partenaire commercial européen doit être impliqué très tôt, car la plateforme exige une organisation nommée disposant d'un véritable processus de gestion des incidents, et non d'un simple bureau commercial.
Une plus grande part de la nomenclature que ne l'admettent la plupart des devis. Le critère n'est pas « y a-t-il une puce », mais de savoir si l'élément est un produit logiciel ou matériel qui se connecte, directement ou indirectement, à un autre dispositif ou à un réseau.
| Composant d'un pont roulant EOT standard | Produit comportant des éléments numériques ? | Pourquoi il entre dans le dossier |
|---|---|---|
| PLC / automate de pont roulant avec Ethernet ou bus de terrain | Oui | Exécute la logique de sécurité, connecté au réseau de l'usine |
| Variateur de fréquence avec logiciel de configuration | Oui | Micrologiciel, paramètres qui modifient le freinage et les limites de vitesse |
| Pupitre HMI ou écran tactile | Oui | Exécute un système d'exploitation, souvent avec un serveur web |
| Passerelle de diagnostic à distance, routeur 4G, boîtier VPN | Oui, et généralement un « produit important » | Les passerelles VPN et les routeurs sont nommés à l'annexe III, classe I |
| Émetteur et récepteur de radiocommande | Oui, et également équipement radio | Deux régimes à la fois : exigences cyber de la RED plus CRA |
| Automate anti-balancement ou de positionnement | Oui | Micrologiciel qui commande directement le mouvement |
| Cellule de charge, afficheur de limiteur de charge, protection contre les surcharges | Oui lorsqu'il traite et transmet des données | Un signal de charge falsifié contourne la protection de la machine elle-même |
| Poutre, chariot de tête, tambour, moufle, câble | Non | Pas de logiciel, pas de connexion. L'acier reste de l'acier. |
Cette liste compte parce que le CRA ne vous demande pas de certifier chaque vis. Il vous demande de savoir quels éléments sont numériques, qui les a fabriqués, quelle version est en service, et comment une vulnérabilité dans l'un d'eux est corrigée pendant la période de support. C'est un problème d'inventaire avant d'être un problème d'ingénierie.
Un pont roulant à poutre unique standard avec palan à chaîne et commande par boîte pendante embarque généralement trois ou quatre de ces éléments. Ajoutez une passerelle de diagnostic à distance et le compte double. Une offre de palan et accessoires vendue séparément apporte sa propre déclaration, car le palan est un produit comportant des éléments numériques à part entière lorsqu'il est livré avec un variateur et une carte de commande.
Non. La Commission a fixé les descriptions techniques des produits importants comportant des éléments numériques dans le règlement d'exécution (UE) 2025/2392, et les ponts roulants n'y figurent pas. C'est une bonne nouvelle, car les produits de classe I et de classe II relèvent de procédures d'évaluation de la conformité plus lourdes.
Mais les composants sont une autre histoire. La liste de classe I comprend des éléments qui apparaissent chaque semaine dans les nomenclatures de ponts roulants :
| Catégorie de classe I à l'annexe III | Où elle apparaît sur un pont roulant |
|---|---|
| Produits ayant la fonction d'un réseau privé virtuel | Le tunnel de service à distance que vous installez pour que votre ingénieur puisse se connecter depuis le Zhejiang |
| Routeurs, modems destinés à la connexion à internet, et commutateurs | Le routeur 4G dans l'armoire qui donne au pont roulant sa carte SIM |
| Interfaces réseau physiques et virtuelles | Cartes et adaptateurs d'interface Ethernet, Wi-Fi et bus de terrain |
| Systèmes d'exploitation | Le système d'exploitation temps réel ou la version de Windows dans le pupitre HMI |
| Gestion des identités et gestion des accès privilégiés | Le système de comptes d'accès à distance utilisé par votre équipe de service |
| Systèmes de gestion des informations et des événements de sécurité | Uniquement si vous revendez une supervision d'usine avec le pont roulant |
L'article 7, paragraphe 1, du CRA vous protège d'un effet en cascade : l'intégration d'un produit ayant la fonctionnalité essentielle d'une catégorie de classe I ou de classe II n'entraîne pas en soi le produit hôte dans ces procédures. Mais vous devez toujours vous assurer que le fournisseur a fait son travail, et s'il n'existe ni déclaration de conformité ni marquage CE pour ce composant, la responsabilité vous incombe. Inscrivez-le dans le bon de commande, pas dans un appel téléphonique.
Cinq ans est le plancher, et pour les équipements industriels le considérant vous invite à aller plus loin. Le considérant 60 du CRA indique que la période de support ne devrait pas être inférieure à cinq ans, sauf si la durée de vie du produit est plus courte, et ajoute que les produits « destinés à être utilisés dans des environnements industriels, tels que les systèmes de commande industriels, sont souvent utilisés pendant des périodes sensiblement plus longues ».
À lire en regard d'une durée de service réelle de 20 à 30 ans pour un pont roulant, l'écart est évident. Personne n'attend d'un PLC livré en 2027 qu'il reçoive des correctifs en 2052. Ce que le règlement attend, c'est que vous indiquiez par écrit quand les correctifs s'arrêtent.
L'annexe II exige que la date de fin de la période de support soit communiquée à l'utilisateur avec le produit. Cette seule ligne dans la notice est ce que le responsable de maintenance utilisera pour planifier la modernisation, et c'est la première chose qu'un agent de surveillance du marché lira.
| Classe et service du pont roulant | Durée de vie typique | Période de support déclarée défendable |
|---|---|---|
| Pont roulant d'atelier léger, A3-A4, 1-10 t | 15-20 ans | 5 ans pour les composants numériques, indiqué comme tel |
| Pont roulant de production, A5-A6, 10-50 t | 20-25 ans | 8-10 ans, avec une trajectoire de mise à niveau de l'automate documentée |
| Pont roulant lourd ou de process, A7-A8, 50-100 t | 25-30 ans | 10 ans, plus une fenêtre de migration contractuelle |
| Pont roulant avec radiocommande uniquement, sans réseau | 15-20 ans | Période de support fixée par l'équipement radio, souvent 5-7 ans |
Ces fourchettes de durées sont nos propres hypothèses de planification, tirées de dossiers de service chinois et européens, et non une statistique publiée. Le plancher de cinq ans relève de la loi ; tout ce qui va au-delà est une décision commerciale à prendre avec l'acheteur avant la commande, car il est bien moins coûteux de promettre dix ans avec une feuille de route d'automate que d'en discuter la sixième année.
L'exigence de documentation technique est ce qui transforme le dossier CE existant d'une usine en document de travail. Un dossier de pont roulant rédigé pour l'ancienne directive machines contient typiquement des plans, des calculs, une analyse des risques, des rapports d'essai et une déclaration. Il ne contient presque jamais d'inventaire des composants avec leurs versions.
| Élément | À quoi cela ressemble sur un pont roulant | Lacune courante aujourd'hui |
|---|---|---|
| Description générale et usage prévu | Capacité, portée, classe de service, environnement, interfaces | Généralement présent, mentionne rarement l'interface réseau |
| Analyse des risques incluant le risque cyber | Ce qui arrive au mouvement si un signal est falsifié ou rejoué | Absent. L'analyse des risques de sécurité s'arrête aux dangers mécaniques |
| Nomenclature logicielle (SBOM) | Chaque bibliothèque tierce et version de micrologiciel dans l'automate, le HMI et la passerelle | N'existe pas. Le considérant 77 en attend une, et n'exige pas qu'elle soit publique |
| Processus de traitement des vulnérabilités | Qui reçoit un signalement, qui le trie, comment un correctif atteint un pont roulant en Espagne | Absent, et c'est la clause que le service informatique d'un acheteur testera |
| Mécanisme de mise à jour sécurisé | Micrologiciel signé, retour arrière, et une voie qui fonctionne sans connexion internet | Généralement une clé USB et un courriel, non documentés |
| Politique de divulgation coordonnée et contact | Un contact sécurité public, pas une boîte commerciale | Absent, et c'est l'élément le moins coûteux à corriger de la liste |
Deux choses méritent d'être dites clairement au sujet de la SBOM. Premièrement, le règlement ne vous oblige pas à la publier. Le considérant 77 indique que les fabricants « ne devraient pas être tenus de rendre la SBOM publique ». Deuxièmement, elle est inutile si elle n'est établie qu'une seule fois. Sa valeur réside dans la capacité à répondre, en une journée, à la question de savoir si une bibliothèque révélée la semaine dernière se trouve dans le micrologiciel de votre automate. C'est une base de données, pas un PDF.
Les trois, de manières différentes, et l'importateur porte plus que ne le supposent la plupart des fournisseurs chinois. Au titre du CRA, l'importateur est l'entité de l'UE qui met sur le marché un produit portant le nom d'un fabricant non européen. Il doit vérifier que le fabricant a satisfait aux exigences essentielles de cybersécurité et dispose de processus de traitement des vulnérabilités, que l'évaluation de la conformité a été réalisée, que la documentation technique existe et que le marquage CE est apposé. Un importateur qui ne le fait pas n'est pas un canal passif ; c'est une partie responsable.
Le fabricant peut désigner un mandataire établi dans l'Union par mandat écrit pour accomplir des tâches déterminées. C'est facultatif, et cela ne remplace pas les obligations propres du fabricant, mais c'est le mécanisme qui rend une obligation de notification sous 24 heures supportable pour une entreprise dont les ingénieurs dorment quand l'Europe est éveillée.
| Rôle | Obligation centrale au titre du CRA | Où cela casse habituellement |
|---|---|---|
| Fabricant | Conception, évaluation de la conformité, CE, documentation, période de support, traitement des vulnérabilités, notification sous 24 heures | Aucun processus capable de tenir un week-end |
| Mandataire | Tâches énumérées dans un mandat écrit, généralement la liaison avec les autorités et la conservation de la documentation | Mandat signé mais aucune capacité technique derrière |
| Importateur | Vérifier la conformité, le CE, la documentation et le processus de vulnérabilités du fabricant avant la mise sur le marché | Traite le pont roulant comme n'importe quelle machine et ne demande qu'un certificat CE |
| Distributeur | Vérifier le CE et la déclaration avant de mettre le produit à disposition, agir en cas de non-conformité | Stocke un PDF, ne vérifie jamais la version |
Les sanctions expliquent pourquoi les importateurs commencent à poser des questions. L'article 64 fixe des amendes administratives pouvant atteindre 15 000 000 EUR ou 2,5 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, en cas de violation des exigences essentielles de cybersécurité et des obligations du fabricant. Les manquements documentaires et procéduraux se situent à 10 000 000 EUR ou 2 %. La fourniture d'informations incorrectes, incomplètes ou trompeuses à un organisme notifié ou à une autorité de surveillance du marché se situe à 5 000 000 EUR ou 1 %.
| Infraction | Amende administrative maximale |
|---|---|
| Exigences essentielles de cybersécurité, obligations du fabricant | 15 000 000 EUR ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu |
| Obligations de l'importateur, du distributeur et autres obligations procédurales | 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu |
| Informations incorrectes, incomplètes ou trompeuses fournies aux autorités | 5 000 000 EUR ou 1 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu |
Pour un constructeur de ponts roulants de taille moyenne, la branche du pourcentage mord rarement. La branche des 15 millions d'euros ne se soucie pas de vos effectifs, et l'obligation de retirer un modèle du marché de l'UE coûte plus cher que n'importe quelle amende.
Les systèmes de commande industriels ne sont pas une cible théorique. Le seul flux de divulgations raconte une histoire : le nombre d'avis industriels publiés ne cesse d'augmenter, et la gravité augmente avec lui.
| Mesure | Valeur | Source |
|---|---|---|
| Avis ICS publiés en 2025 | 508, couvrant 2 155 CVE (première année au-dessus de 500) | Forescout Research, février 2026, d'après les données de la CISA |
| CVSS moyen de ces avis | 8,07, en hausse de 25 % par rapport à 6,44 en 2010 ; 82 % élevés ou critiques | Forescout Research, février 2026 |
| Avis cumulés depuis 2010 | 3 637 avis, 12 174 vulnérabilités, 2 783 produits, 689 fournisseurs | Forescout Research, février 2026 |
| Appareils OT contenant des vulnérabilités exploitées connues | 12 % de plus de 940 000 appareils dans 270 organisations | Claroty Team82, State of CPS Security 2025 |
| Organisations dont de tels appareils sont exposés à internet | 40 %, et jusqu'à 31 % pour le sous-ensemble où la vulnérabilité est liée à un rançongiciel | Claroty Team82, State of CPS Security 2025 |
| Croissance des rançongiciels dans l'industrie, 2024 à 2025 | 61 %, la plus forte hausse de tous les secteurs critiques | Claroty, 31 octobre 2025 |
Lisez les quatrième et cinquième lignes ensemble. Environ quatre usines sur dix parmi celles interrogées avaient un accès à distance non sécurisé sur des actifs portant déjà une vulnérabilité exploitée connue. C'est exactement la configuration créée par une passerelle de diagnostic boulonnée sur un pont roulant pour que l'usine puisse aider le client sans envoyer d'ingénieur. La passerelle n'est pas le problème. La passerelle avec un mot de passe partagé et sans voie de mise à jour l'est.
Les radiocommandes sont arrivées les premières à ce rendez-vous. Le règlement délégué (UE) 2022/30 de la Commission a rendu obligatoires les exigences essentielles de cybersécurité des articles 3, paragraphe 3, points d), e) et f), de la directive sur les équipements radio pour les catégories d'équipements radio énumérées, à compter du 1er août 2025. Une paire émetteur-récepteur de pont roulant est un équipement radio, donc chaque boîtier portatif expédié dans l'UE depuis cette date entre dans ce champ.
Les normes harmonisées sont l'EN 18031-1:2024 pour les équipements radio connectés à internet et l'EN 18031-2:2024 pour les équipements traitant des données à caractère personnel. Elles sont citées au Journal officiel avec des restrictions, et l'une de ces restrictions est inhabituellement concrète. La citation dans la décision d'exécution (UE) 2025/138 comporte une mention selon laquelle l'EN 18031-1 ne confère pas de présomption de conformité si, lors de l'application de ses articles 6.2.5.1 et 6.2.5.2, « l'utilisateur est autorisé à ne pas définir et utiliser de mot de passe ».
Cette seule phrase disqualifie beaucoup de matériel. Un émetteur livré avec un code d'appairage fixe et sans obligation de définir un mot de passe ne peut pas s'appuyer sur la norme harmonisée. Cela ne rend pas automatiquement le produit illégal, mais cela supprime la voie la plus simple pour démontrer la conformité, et le service conformité d'un acheteur la trouvera.
| Classe d'attaque contre une radiocommande industrielle | Ce que fait l'attaquant | Question à poser au fournisseur |
|---|---|---|
| Capture et rejeu | Enregistre une télégramme valide et la rediffuse plus tard pour faire bouger le pont roulant | La liaison est-elle chiffrée, et les télégrammes sont-ils protégés contre le rejeu par un compteur ou un horodatage ? |
| Injection de commande | Décode la structure du télégramme et substitue une commande différente | Existe-t-il une authentification du message portant sur la charge utile de commande, et pas seulement sur l'adresse ? |
| Reprogrammation malveillante | Réécrit la correspondance entre un organe de commande et une sortie de la machine | Le micrologiciel peut-il être écrit sans image signée et sans étape de service physique ? |
| Réappairage malveillant | Émule l'émetteur d'origine pour que le récepteur en accepte un nouveau | L'appairage exige-t-il un accès physique au récepteur et une clé autorisée ? |
Les quatre classes d'attaque ci-dessus constituent la taxonomie utilisée par HBC-radiomatic dans son livre blanc publié sur la sécurité des radiocommandes industrielles, qui précise également que l'entreprise propose une transmission radio entièrement chiffrée depuis plus de dix ans et soumet ses systèmes à des tests d'intrusion externes lorsque cela est réalisable. C'est la norme à laquelle travaille aujourd'hui un fournisseur sérieux. C'est aussi une référence raisonnable pour un acheteur qui compare une radiocommande européenne à une moins chère : la question n'est pas de savoir si la fiche technique indique « chiffré », mais laquelle des quatre classes est fermée et comment vous le prouveriez.
L'IEC 62443 est la réponse industrielle à la question « comment démontrer que je l'ai fait correctement », et elle ne remplace pas le marquage CE. C'est une certification de votre processus de développement et des exigences techniques de sécurité de votre produit. Le dossier CE doit toujours exister.
Trois parties comptent pour un constructeur de ponts roulants : la 4-1 pour le cycle de développement sécurisé, la 4-2 pour les exigences techniques de sécurité du composant, et la 3-3 pour le système. Les frais de schéma et les fourchettes d'évaluation publiés pour 2026 donnent un ordre de grandeur exploitable.
| Ce qui est certifié | Norme | Frais de schéma | Évaluation, fourchette typique |
|---|---|---|---|
| Cycle de développement sécurisé | 62443-4-1 | 1 500 USD par an | 15 000-35 000 EUR au niveau de maturité 2 |
| Composant | 62443-4-2 | 1 200 USD par composant ou 1 500 par famille, par an | 25 000-50 000 EUR en plus d'un processus 4-1 certifié |
| Système | 62443-3-3 | 1 200 USD par an | 30 000-50 000 EUR |
| Première certification d'appareil, tout compris | Schéma ISASecure | Inclus ci-dessus | 50 000-75 000 USD, selon la FAQ du schéma lui-même |
Les normes elles-mêmes constituent la ligne la moins chère et la plus souvent oubliée. L'IEC vend chaque partie séparément : la 62443-4-1 coûte 335 CHF et la 62443-4-2 405 CHF, soit un ensemble minimal de 740 CHF pour un fournisseur de produit. L'ensemble complet nécessaire pour comprendre ce qu'une usine exigera de ses prestataires reste sous 3 000 CHF. Acheter la norme coûte moins cher que de payer un consultant pour la résumer.
Il existe une seconde voie qui compte spécifiquement pour le règlement machines. Une certification selon un schéma de cybersécurité adopté en vertu du règlement (UE) 2019/881 confère une présomption de conformité avec les sections 1.1.9 et 1.2.1 de l'annexe III du MR. Le schéma actuel est l'EUCC, établi par le règlement d'exécution (UE) 2024/482, applicable depuis le 27 février 2025, avec deux niveaux d'assurance, « substantiel » et « élevé ». L'auto-évaluation n'est pas autorisée au titre de l'EUCC. Pour un constructeur de ponts roulants qui veut un seul certificat servant les deux lois, c'est le mécanisme, et il est tarifé comme un vrai projet plutôt que comme une revue documentaire.
Personne dans ce secteur ne publie de chiffre unitaire, voici donc le nôtre. Les montants ci-dessous sont des estimations de planification SIEC pour une gamme de trois modèles de ponts roulants pilotés par automate, établies à partir de nos propres devis pour les essais et le travail documentaire. Ce ne sont pas des statistiques publiées et ils évolueront avec le périmètre du système de commande.
| Lot de travaux | Première année | Récurrent |
|---|---|---|
| Modèle de menace et analyse du risque cyber ajoutés au dossier de sécurité | 5-8 jours-ingénieur | 1-2 jours par changement de modèle |
| Construction et actualisation de la SBOM pour l'automate, le HMI et la passerelle | 4-6 jours | 1-2 jours par trimestre |
| Test d'intrusion externe de la passerelle et de la liaison radio | 8 000-15 000 EUR | 8 000-15 000 EUR tous les 2-3 ans |
| Documentation, déclaration de conformité, mise à jour de la notice | 3-5 jours | 1-2 jours par an |
| Traitement des vulnérabilités et obligation de notification sous 24 heures | Mise en place du processus, 3-4 jours | 4-8 jours par an plus une astreinte |
| Option : certification EUCC ou IEC 62443-4-2 | 40 000-90 000 EUR | Frais de schéma plus audit de surveillance |
| Total sans certification par un tiers | 25 000-55 000 EUR | 10 000-25 000 EUR par an |
Amorti sur la production, le tableau change complètement. À quarante ponts roulants par an, le coût de la première année est de 625 à 1 375 EUR par unité. À huit ponts roulants par an, il est de 3 100 à 6 900 EUR par unité, soit le même ordre de grandeur que le fret d'une machine de 20 tonnes. C'est le montant récurrent qui décide si un petit constructeur peut rester sur le segment : 10 000 à 25 000 EUR par an ne diminue pas avec le volume, de sorte que le coût fixe par pont roulant augmente à mesure que le carnet de commandes se réduit.
La ligne que les gens sous-estiment, c'est l'obligation de notification. Un délai de 24 heures signifie que quelqu'un doit être joignable à 3 heures du matin, heure européenne, depuis le Zhejiang. En pratique, cela suppose soit un partenaire de service européen doté d'un processus d'incident, soit un tour de garde. Les deux coûtent de l'argent, et ni l'un ni l'autre ne figure sur un devis.
Les acheteurs qui comprennent les deux régimes rédigent des bons de commande différents des autres. Voici les clauses que nous voyons désormais dans les demandes européennes et celles que nous inscririons si nous étions du côté acheteur.
| Clause | Formulation qui fonctionne |
|---|---|
| 1. Inventaire | Lister chaque produit comportant des éléments numériques dans le pont roulant, avec marque, modèle et version de micrologiciel |
| 2. Déclarations | Fournir la déclaration CE de conformité pour chaque élément tiers, ou indiquer par écrit qu'il n'en existe aucune |
| 3. Période de support | Indiquer la date de fin de support dans la notice et nommer la personne responsable |
| 4. Accès à distance | Connexion sortante uniquement, aucun port entrant, identifiants par site, aucun compte de service partagé |
| 5. Liaison radio | Transmission chiffrée, compteur anti-rejeu, mot de passe obligatoire à la première utilisation, étape d'appairage physique |
| 6. Mises à jour | Micrologiciel signé, voie de mise à jour hors ligne documentée, procédure de retour arrière |
| 7. SBOM | Fourniture sur demande sous cinq jours ouvrés, sous accord de confidentialité, actualisée à chaque version de micrologiciel |
| 8. Notification | Informer l'acheteur dans les 24 heures de la prise de connaissance d'une vulnérabilité activement exploitée touchant le pont roulant |
| 9. Escalade | Contact sécurité nommé avec un délai de réponse, et non une adresse commerciale générique |
| 10. Maîtrise des modifications | Tout remplacement d'un automate, d'un HMI ou d'une passerelle exige une approbation écrite et un dossier mis à jour |
La clause 10 est celle qui protège l'acheteur contre la défaillance la plus fréquente dans la réalité. Un automate est remplacé en usine à cause d'un retard d'approvisionnement, personne ne met la documentation à jour, et dix-huit mois plus tard le pont roulant sur site ne correspond plus au dossier déclaré. Au titre du règlement machines, c'est un problème de conformité. Au titre du CRA, c'est un manquement documentaire qui relève de la tranche des 10 millions d'euros.
Les commandes passées aujourd'hui tombent dans la fenêtre où les deux régimes se chevauchent, et la séquence compte davantage que la paperasse.
| Étape | Calendrier | Ce qui doit être prêt |
|---|---|---|
| Commande et gel de la conception | T4 2026 à T1 2027 | Inventaire des composants et déclarations des fournisseurs figés avec la commande, pas après |
| Entrée en application du règlement machines | 20 janvier 2027 | Preuves au titre de l'annexe III 1.1.9 : architecture de connectivité, interventions journalisées, logiciel de sécurité protégé |
| Obligation de notification du CRA sur le parc existant | Déjà en vigueur depuis le 11 septembre 2026 | Un contact nommé et un processus de tri écrit pour chaque pont roulant connecté déjà dans l'UE |
| Obligations principales du CRA | 11 décembre 2027 | Évaluation de la conformité CRA, déclaration, CE, SBOM, période de support déclarée |
| Premier cycle d'audit CRA | 2028 | Preuves que le processus de vulnérabilités a réellement fonctionné, et pas seulement qu'il a été rédigé |
La conséquence pratique est qu'un pont roulant livré au second semestre 2027 doit satisfaire au règlement machines lors de la livraison et se trouvera dans le régime du CRA quelques mois plus tard. Concevoir le dossier une seule fois, pour les deux, coûte moins cher que d'adapter l'un à l'autre après coup. Le système de commande est le point où les deux se recouvrent : la section 1.1.9 demande si une intervention peut corrompre une fonction de sécurité, et le CRA demande si vous pouvez en avoir connaissance et la corriger.
La conformité cyber des ponts roulants n'est pas une astuce européenne pour écarter les ponts roulants chinois. C'est un droit de la documentation et des processus, et une usine qui établit déjà un dossier CE correct est plus proche de la conformité que ne le suggère l'échéance. Ce que ce droit punit, en revanche, c'est la configuration sur laquelle reposent actuellement la plupart des exportateurs : un automate et une passerelle tiers, un mot de passe partagé, une voie de mise à jour non documentée, et personne qui porte la question.
L'obligation de notification est la partie à corriger en premier, parce qu'elle est déjà en vigueur et que sa mise en place correcte ne coûte presque rien. Un contact nommé, un court processus de tri écrit, et une règle selon laquelle tout signalement client d'un comportement inhabituel du pont roulant atteint ce contact dans l'heure. C'est une semaine de travail. L'alternative consiste à découvrir l'obligation au milieu d'un incident, avec un compte à rebours de 24 heures déjà lancé et un importateur qui demande pourquoi on ne l'a pas informé.
Oui, si l'une de ses parties est un produit comportant des éléments numériques qui se connecte directement ou indirectement à un autre dispositif. Un pont roulant équipé d'un PLC et d'un HMI sur un réseau local, sans aucune route vers internet, reste dans le champ d'application. Le règlement couvre aussi la connexion indirecte, et l'ordinateur portable d'un technicien branché dans l'armoire constitue une connexion. Ce qui change sans accès internet, c'est le risque pratique, pas le champ d'application juridique.
Non. Si le pont roulant porte votre nom ou votre marque, vous êtes le fabricant au sens du CRA, et l'obligation de notification vous incombe. Votre distributeur est un importateur s'il met le produit sur le marché, ce qui lui impose des obligations de vérification mais ne transfère pas vos obligations. Apposer votre marque sur la machine et le nom de votre distributeur sur les documents ne déplace pas la responsabilité.
La radiocommande est un équipement radio et également un produit comportant des éléments numériques. Les exigences cyber de la directive sur les équipements radio s'appliquent depuis le 1er août 2025 par le règlement délégué 2022/30, avec l'EN 18031-1 et l'EN 18031-2 comme normes harmonisées. Le CRA ajoute une couche horizontale distincte qui couvre l'ensemble du produit et son cycle de vie. Ne partez pas du principe qu'un certificat clôt l'autre ; selon les orientations de la Commission sur la combinaison des instruments, le fabricant doit démontrer les synergies.
Vous notifiez malgré tout. Le délai de 72 heures concerne la notification complète, pas la correction. Le rapport final relatif à une vulnérabilité activement exploitée est dû au plus tard 14 jours après qu'une mesure corrective est disponible, ce qui constitue un autre compte à rebours et reconnaît qu'une correction prend plus de temps qu'une notification. Ce qu'il ne faut pas faire, c'est attendre la correction avant de prévenir qui que ce soit.
Non. L'IEC 62443 n'est pas référencée comme norme harmonisée conférant une présomption de conformité automatique au titre du CRA. Ce que le règlement machines prévoit, c'est qu'une certification selon un schéma adopté en vertu du règlement (UE) 2019/881 confère une présomption de conformité avec les sections 1.1.9 et 1.2.1 de l'annexe III. L'IEC 62443 est la voie pratique pour construire le processus, et un acheteur peut la demander, mais ce n'est pas la porte légale. Pour un palan vendu comme produit distinct, la même logique s'applique à son propre automate et à sa propre déclaration.
Oui. La Commission a déclaré le 11 septembre 2026 que les obligations de notification s'appliquent à tous les produits comportant des éléments numériques mis à disposition dans l'UE, y compris ceux qui sont déjà sur le marché. L'obligation est attachée au fabricant, et non à la date de vente. En pratique, la plupart des ponts roulants de 2018 n'ont aucune connexion à distance et aucun moyen pour vous d'apprendre l'existence d'une vulnérabilité exploitée, ce qui plaide pour documenter ce fait plutôt que de supposer que la question ne sera pas posée.
Articles liés :
Périmètre CBAM des ponts roulants : ce que le trilogue d'octobre signifie pour les acheteurs à partir de 2028
Normes européennes des ponts roulants en 2026 : prEN 15011, le règlement machines et ce qui change
Automatisation et conduite à distance des ponts roulants en 2026 : ce que les acheteurs obtiennent réellement
Modernisation ou remplacement d'un pont roulant en 2026 : coût, arrêt de production et conformité
Pièces de rechange, réseaux de service et disponibilité : ce qui détermine réellement le délai de rétablissement
Ponts roulants spéciaux : pinces, préfabrication, décapage et salles blanches