Que signifie la loi sur la cyber-résilience pour les utilisateurs de CNC ?
Ce que la loi sur la cyber-résilience signifie réellement pour les utilisateurs de machines CNC
Ces dix dernières années, les fabricants ont connecté leurs machines-outils à Internet afin d'accroître la productivité, d'automatiser les processus et de permettre le diagnostic à distance. Mais chaque connexion réseau a élargi la surface d'attaque potentielle.
Selon une nouvelle étude du cabinet de cybersécurité NCC Group, les attaques mondiales de ransomware ont augmenté de 50 % en glissement annuel en 2025, le secteur industriel représentant environ un tiers de toutes les attaques.
Cela souligne que la technologie opérationnelle (OT) et les systèmes de contrôle industriel (ICS) d'une entreprise ne sont plus des cibles périphériques, mais sont désormais les cibles principales. Cela n’est pas surprenant, étant donné que 41 % des entreprises n’investissent pas plus de 25 % de leur budget de sécurité dans les systèmes ICS/OT, selon une étude du partenariat de cybersécurité OPSWAT-SANS.
Dans ce contexte, le règlement européen sur la cyber-résilience (CRA) introduit un changement fondamental. À compter de septembre 2026, les fabricants devront signaler les vulnérabilités activement exploitées et les incidents de sécurité graves.
Les machines doivent non seulement être « sécurisées dès leur conception », mais leurs vulnérabilités doivent être gérées tout au long de leur cycle de vie opérationnel. Pour obtenir le marquage CE, la cybersécurité devra désormais être prise en compte au même titre que la sécurité et les performances mécaniques.
Il s'agit d'un changement majeur. Les machines CNC ne sont plus seulement des systèmes mécaniques dotés d'une interface de commande, ce sont des produits numériques connectés qui exécutent des systèmes d'exploitation embarqués, communiquent sur des réseaux, transfèrent des programmes et des fichiers et permettent une assistance à distance.
Sécurité dès la conception en pratique
Il existe cinq mesures pratiques que les utilisateurs de machines CNC peuvent prendre dès maintenant pour améliorer leur résilience et se préparer à la conformité.
Les fabricants devraient commencer par examiner la manière dont leurs machines CNC sont connectées et veiller à une séparation claire entre les systèmes informatiques de bureau et les réseaux OT d'atelier.
Historiquement, de nombreuses machines ont été connectées directement au réseau informatique de l'usine par commodité, et dans certains cas même exposées à Internet. L’ARC souligne la nécessité de sécuriser correctement ces connexions tout en préservant les avantages de la connectivité.
La deuxième consiste à vérifier la visibilité externe. Un moyen simple de vérifier si votre machine CNC est accessible depuis Internet consiste à effectuer un test « ping ». Si la machine parvient à effectuer un ping vers une adresse publique externe, telle que 8.8.8.8 de Google, cela signifie qu'elle n'est pas isolée sur le réseau.
La troisième étape consiste à examiner l'accès des utilisateurs distants. Les connexions destinées aux techniciens de maintenance ou aux tiers doivent être chiffrées, authentifiées et limitées à une liste définie d'utilisateurs avec des plages horaires limitées, plutôt que d'être laissées ouvertes en permanence. Cette approche « zéro confiance » signifie que l'accès au réseau est refusé par défaut, sauf autorisation explicite.
Quatrièmement, les fabricants devraient réévaluer la manière dont les programmes partiels sont transférés à leurs machines. Bien que les périphériques de stockage USB soient pratiques, ils augmentent considérablement les risques de sécurité et constituent souvent le maillon faible d'un réseau par ailleurs sécurisé. Les utilisateurs devraient plutôt se tourner vers des systèmes de transfert de fichiers sécurisés et d'autres plateformes traçables.
La division entre les technologies de l'information et les technologies opérationnelles
La plupart d'entre nous sommes habitués au fonctionnement de nos systèmes informatiques personnels. Si vous utilisez Microsoft Windows sur un ordinateur portable, vous êtes régulièrement invité à installer des mises à jour. Ne pas le faire est considéré comme une mauvaise pratique, car les systèmes non patchés deviennent vulnérables aux menaces de sécurité et aux logiciels malveillants.
Les machines CNC fonctionnent différemment. Leurs systèmes d'exploitation IoT industriels sont étroitement intégrés aux variateurs, aux commandes PLC et aux fonctions de sécurité, généralement validés dans le cadre d'un cycle de vie machine à long terme.
Même une mise à jour mineure du système d'exploitation peut modifier le timing, le comportement des communications ou la compatibilité des pilotes, ce qui peut affecter la précision, la fiabilité ou la sécurité.
Les mises à jour ne peuvent donc pas être déployées de la même manière que les logiciels bureautiques. Ils doivent être testés, validés et déployés de manière contrôlée, ce qui nécessite une planification claire et des responsabilités définies entre le fabricant d'équipement d'origine (OEM) et l'utilisateur final.
Chez Mazak, nous avons travaillé directement avec des ingénieurs réseau Cisco de haut niveau pendant une longue période pour développer notre solution matérielle. À compter du 1er janvier 2026, toutes les machines commandées seront dotées en standard de capacités de connectivité et de sécurité réseau extrêmement robustes.
La plateforme iCONNECT de Mazak s'appuie sur cette architecture sécurisée. Développé sur une période de trois ans, le centre d'information gratuit Mazak iCONNECT est désormais utilisé par 40 % de nos clients. Il donne accès aux manuels et informations des machines, aux FAQ et aux téléchargements de logiciels sécurisés.
Le service premium M2M (Machine-to-Mazak) ajoute une assistance et un diagnostic à distance assurés par les ingénieurs de Mazak, une surveillance en direct de la machine depuis n'importe où, un historique d'utilisation de la machine et la possibilité de configurer des sauvegardes quotidiennes qui peuvent être restaurées rapidement après un incident de sécurité, minimisant ainsi les temps d'arrêt. Point essentiel, ce service peut être adapté aux machines existantes.
Un changement structurel
La loi sur la cyber-résilience intervient à un moment où l'industrie manufacturière moderne est plus connectée que jamais.
Cela renforce la nécessité de mettre en œuvre ces connexions de manière sécurisée et structurée, grâce à une segmentation claire du réseau, un accès contrôlé et une approche qui gère les logiciels tout au long du cycle de vie de la machine.
Cela signifie également que les fabricants peuvent tirer parti des technologies connectées avec une confiance accrue, qu'il s'agisse d'ajouter de l'automatisation, des données en temps réel ou une assistance à distance, ce qui les aide à construire des environnements de fabrication plus fiables.