1. Cadre juridique de la notification des attaques par voie électronique visant les véhicules terrestres à moteur

1.1. L’arrêté du 29 avril 2026 relatif à la notification des attaques par voie électronique pouvant porter atteinte au fonctionnement ou à la sécurité des véhicules terrestres à moteur, publié au Journal officiel de la République française du 30 mai 2026 (Texte 44 sur 141), s’inscrit dans le champ des TEXTES GÉNÉRAUX du MINISTÈRE DES TRANSPORTS. Il vise les constructeurs de véhicules terrestres à moteur ou leurs mandataires et précise la mise en œuvre de l’article L. 1514-8 du code des transports relatif à la cybersécurité des véhicules.

1.2. Le texte se fonde explicitement sur le Règlement de l’ONU no 155, qui énonce des prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne la cybersécurité et leurs systèmes de gestion de la cybersécurité, notamment son annexe 5. Il s’appuie également sur le décret no 2008-680 du 9 juillet 2008 modifié portant organisation de l’administration centrale du ministère de l’écologie, de l’énergie, du développement durable et de l’aménagement du territoire, ainsi que sur le décret no 2018-1278 du 28 décembre 2018 modifié portant création du service à compétence nationale dénommé Centre national de réception des véhicules.

1.3. L’objet de l’arrêté est clairement défini : il précise la nature des attaques par voie électronique devant faire l’objet d’une notification à l’autorité nationale de réception des véhicules, les modalités de leur notification et les informations à communiquer à cette autorité. L’entrée en vigueur est fixée au premier jour du deuxième mois suivant celui de sa publication au Journal officiel, ce qui laisse un délai d’adaptation aux constructeurs et à leurs mandataires.

2. Désignation de l’autorité nationale de réception des véhicules

2.1. L’article 1er rappelle que le texte définit la nature des attaques, les modalités de notification et les informations à transmettre à l’autorité compétente, en application de l’article L. 1514-8 du code des transports. Cette articulation explicite entre le code des transports et l’arrêté permet de situer la notification des cyberattaques dans le dispositif global de réception des véhicules et de cybersécurité.

2.2. L’article 2 désigne comme autorité nationale de réception des véhicules le Centre national de réception des véhicules (CNRV). Cette désignation est cohérente avec le décret no 2018-1278 du 28 décembre 2018 modifié qui a créé ce service à compétence nationale. Le CNRV devient ainsi le point de contact central pour la notification des attaques par voie électronique susceptibles d’affecter le fonctionnement ou la sécurité des véhicules terrestres à moteur.

3. Obligation de notification des attaques par voie électronique

3.1. L’article 3 impose au constructeur d’un véhicule terrestre à moteur ou à son mandataire de notifier au CNRV, sans délai après en avoir pris connaissance, les attaques par voie électronique qui relèvent d’un type d’attaque figurant à l’annexe 1 de l’arrêté. L’exigence de notification « sans délai » renforce la dimension de réactivité et de gestion des incidents de cybersécurité dans le secteur automobile.

3.2. La notification s’effectue au moyen du formulaire complété figurant à l’annexe 2 de l’arrêté, transmis via la plate-forme « Démarche Numérique » à l’adresse suivante : « https://demarche.numerique.gouv.fr/commencer/notification-cyberattaque vehicule ». Le recours à une plate-forme numérique centralisée permet une standardisation des informations et une meilleure traçabilité des notifications de cyberattaque.

3.3. Le constructeur ou son mandataire doit également répondre sans délai aux demandes d’informations complémentaires du CNRV concernant la notification effectuée. Cette obligation prolonge la simple déclaration initiale par une coopération continue, indispensable pour l’analyse des attaques et la mise en place de mesures correctives.

3.4. Le texte prévoit que le Centre national de réception des véhicules communique à l’Agence nationale de la sécurité des systèmes d’information (ANSSI) les informations recueillies relatives à ces attaques. Cette transmission systématique inscrit la notification dans une logique de sécurité des systèmes d’information à l’échelle nationale, en associant l’autorité spécialisée en cybersécurité à la surveillance des attaques visant les véhicules.

4. Typologie des attaques susceptibles de porter atteinte au fonctionnement ou à la sécurité du véhicule

4.1. L’annexe 1 dresse la liste des attaques susceptibles de porter atteinte au fonctionnement ou à la sécurité du véhicule. Elle vise « notamment celles pouvant » :

4.2. Premièrement, les attaques pouvant compromettre la sécurité d’utilisation du véhicule (point a). Il s’agit de toutes les actions par voie électronique qui peuvent créer un risque direct pour les occupants, les tiers ou l’environnement, en altérant les fonctions de sécurité ou les systèmes de contrôle du véhicule.

4.3. Deuxièmement, les attaques susceptibles d’interrompre les fonctions nécessaires à la sécurité du véhicule (point b). Cette catégorie couvre les scénarios où des systèmes critiques (freinage, direction assistée, aides à la conduite, etc.) sont rendus indisponibles ou dysfonctionnels, avec un impact potentiel sur la sécurité routière.

4.4. Troisièmement, les attaques visant à modifier des logiciels et altérer les performances du véhicule (point c). La modification non autorisée de logiciels embarqués peut affecter la performance, la conformité réglementaire ou la sécurité, et constitue un enjeu central de la cybersécurité des véhicules.

4.5. Quatrièmement, les attaques pouvant compromettre l’intégrité des données utiles au fonctionnement ou à la sécurité du véhicule (point d). L’intégrité des données est essentielle pour le bon fonctionnement des systèmes embarqués ; toute altération peut entraîner des comportements imprévus ou dangereux.

4.6. Cinquièmement, les attaques susceptibles de compromettre la confidentialité des données utiles au fonctionnement ou à la sécurité du véhicule (point e). Cette dimension de confidentialité concerne aussi bien les données techniques que, le cas échéant, les données liées à l’usage du véhicule, dès lors qu’elles sont utiles à son fonctionnement ou à sa sécurité.

4.7. Sixièmement, les attaques pouvant affecter l’accès aux données utiles au fonctionnement ou à la sécurité du véhicule (point f). Il s’agit des atteintes à la disponibilité des données, qui peuvent empêcher les systèmes de fonctionner correctement ou de prendre les décisions nécessaires à la sécurité.

4.8. Cette typologie, centrée sur la sécurité d’utilisation, les fonctions nécessaires à la sécurité, les logiciels et les données utiles au fonctionnement ou à la sécurité du véhicule (intégrité, confidentialité, accès), structure le périmètre des attaques devant faire l’objet d’une notification et aligne le dispositif français sur les exigences du Règlement de l’ONU no 155.

5. Contenu détaillé de la notification : informations générales et description de l’attaque

5.1. L’annexe 2 précise de manière exhaustive les informations générales à fournir lors de la notification. Elle commence par la date de la notification, les nom et coordonnées du constructeur ou de son mandataire, ainsi que le nom, fonction et coordonnées de la personne effectuant la notification. Sont également demandées les coordonnées de la personne à contacter pour obtenir des informations complémentaires relatives à l’attaque (nom, fonction, adresse postale, téléphone, adresse électronique) et, le cas échéant, les coordonnées de la personne à contacter en dehors des heures ouvrées.

5.2. La description de l’attaque doit inclure la date et heure (UTC) auxquelles l’attaque a été constatée, la date et heure (UTC) estimées du début de l’attaque et la durée de l’attaque, ainsi que le moyen de détection de l’attaque. Le formulaire distingue la nature du système attaqué (systèmes embarqués dans les véhicules / systèmes « dorsaux ») et exige une description du système affecté (logiciel, calculateur, etc.).

5.3. Le constructeur doit préciser les numéros de réception par type (le cas échéant) des véhicules affectés, les types, variantes et versions des véhicules concernés, le nombre de véhicules affectés ou, à défaut, susceptibles d’avoir été affectés, ainsi que le nombre de véhicules d’autres types/variantes/versions susceptibles d’être affectés. Il doit également décrire la méthode utilisée pour estimer le nombre de véhicules susceptibles d’avoir été affectés et le nombre de véhicules d’autres types/variantes/versions susceptibles d’être affectés par l’attaque, ainsi que la portée géographique des véhicules affectés.

5.4. L’état constaté ou présumé de l’attaque doit être précisé : activités préparatoires avant l’attaque, tentative d’attaque non aboutie ou attaque aboutie. La classification de l’attaque selon l’annexe 1 est requise, de même que l’impact constaté ou présumé sur la sécurité ou le fonctionnement du véhicule et l’impact constaté ou présumé sur la disponibilité, l’intégrité ou la confidentialité des données utiles au fonctionnement ou à la sécurité du véhicule. Le formulaire prévoit aussi la mention d’autres impacts constatés ou présumés (sécurité, financier, opérationnel, confidentialité, ou autre).

6. Traitement de l’attaque et analyse technique

6.1. La section « Traitement de l’attaque » de l’annexe 2 demande de préciser l’état de la qualification de l’attaque (en cours de qualification / en cours de traitement / résolue). Le constructeur doit fournir une description de la méthode de l’attaquant : caractéristiques générales de l’attaque (motivation présumée de l’attaquant, type d’attaque, niveau de complexité de l’attaque, etc.).

6.2. Les caractéristiques techniques de l’attaque doivent être détaillées : chronologie et nature des différentes étapes de l’attaque, périmètre de la compromission du système, vulnérabilités exploitées par l’attaquant, moyens techniques utilisés par l’attaquant, etc. Lorsque cela est possible, les marqueurs techniques de l’attaque (adresse IP, noms de fichiers ou de codes malveillants, etc.) doivent être fournis, ce qui facilite la détection et la corrélation d’incidents par les autorités compétentes.

6.3. Le formulaire prévoit la possibilité de joindre au formulaire les résultats de l’analyse de l’attaque, ce qui permet d’intégrer des éléments issus de l’analyse forensique ou de l’investigation technique. Le constructeur doit également décrire les mesures prises et envisagées : traitement de l’incident, renforcement de la détection d’incidents, contact des propriétaires des véhicules, rappel des véhicules affectés. Ces éléments montrent que la notification ne se limite pas à un constat, mais s’inscrit dans une démarche de gestion de crise et de remédiation.

6.4. Enfin, le formulaire interroge le dépôt de plainte (envisagé / non envisagé / effectué) et la déclaration à la CNIL (envisagée / non envisagée / effectuée) si des données personnelles sont compromises. Cette articulation avec le droit pénal et la protection des données personnelles souligne que certaines attaques par voie électronique peuvent relever à la fois de la sécurité des véhicules et de la réglementation sur les données personnelles.

7. Enjeux de cybersécurité pour les transports et articulation avec les dispositifs existants

7.1. En définissant précisément les attaques susceptibles de porter atteinte au fonctionnement ou à la sécurité du véhicule et en imposant une notification sans délai au Centre national de réception des véhicules, l’arrêté du 29 avril 2026 renforce la cybersécurité des véhicules terrestres à moteur. Il met l’accent sur la sécurité d’utilisation du véhicule, les fonctions nécessaires à la sécurité, la modification des logiciels et l’intégrité, la confidentialité et l’accès aux données utiles au fonctionnement ou à la sécurité du véhicule.

7.2. L’obligation de passer par la plate-forme « Démarche Numérique » et l’utilisation du formulaire détaillé de l’annexe 2 structurent la remontée d’information et facilitent la communication à l’Agence nationale de la sécurité des systèmes d’information. Cette coopération institutionnelle entre le Centre national de réception des véhicules et l’ANSSI permet une vision consolidée des attaques par voie électronique affectant les véhicules, en cohérence avec le Règlement de l’ONU no 155 et les exigences du code des transports.

7.3. L’arrêté s’inscrit ainsi dans une logique d’homologation des véhicules en ce qui concerne la cybersécurité et de gestion des systèmes de cybersécurité, en complétant les dispositifs existants relatifs à l’organisation de l’administration centrale (décret no 2008-680) et à la création du Centre national de réception des véhicules (décret no 2018-1278). Il contribue à structurer un cadre opérationnel où les constructeurs et leurs mandataires sont tenus de documenter, analyser et traiter les attaques par voie électronique susceptibles d’affecter la sécurité et le fonctionnement des véhicules terrestres à moteur.

8. Dispositions finales et entrée en vigueur

8.1. L’article 4 confirme que le texte entre en vigueur le premier jour du deuxième mois suivant celui de sa publication au Journal officiel de la République française, ce qui laisse un délai d’appropriation des nouvelles obligations par les constructeurs et leurs mandataires. L’article 5 prévoit la publication au Journal officiel de la République française, condition de son opposabilité.

8.2. L’arrêté est signé « Pour le ministre et par délégation » par la sous-directrice de la sécurité et des émissions des véhicules, C. MAHÉ-DECKERS, ce qui souligne l’ancrage de ce dispositif dans la politique globale de sécurité et de maîtrise des émissions des véhicules, désormais étroitement liée aux enjeux de cybersécurité.

Pour en savoir plus

9.1. Plate-forme de notification des attaques par voie électronique visant les véhicules terrestres à moteur : https://demarche.numerique.gouv.fr/commencer/notification-cyberattaque vehicule