Texte en vigueur, version consolidée au 6 novembre 2026.
Publics concernés : les constructeurs de véhicules terrestres à moteur ou leurs mandataires. Objet : nature des attaques par voie électronique devant faire l'objet d'une notification à l'autorité nationale de réception des véhicules, modalités de leur notification et informations à communiquer à cette autorité. Entrée en vigueur : le présent arrêté entre en vigueur le premier jour du deuxième mois suivant celui de sa publication au Journal officiel de la République française. Application : le présent arrêté est pris pour l'application de l'article L. 1514-8 du code des transports. Le ministre des transports,
Vu le Règlement de l'ONU n° 155 énonçant des prescriptions uniformes relatives à l'homologation des véhicules en ce qui concerne la cybersécurité et de leurs systèmes de gestion de la cybersécurité, notamment son annexe 5 ;
Vu le code des transports, notamment son article L. 1514-8 ;
Vu le décret n° 2008-680 du 9 juillet 2008 modifié portant organisation de l'administration centrale du ministère de l'écologie, de l'énergie, du développement durable et de l'aménagement du territoire ;
Vu le décret n° 2018-1278 du 28 décembre 2018 modifié portant création du service à compétence nationale dénommé Centre national de réception des véhicules,
Arrête :
1. Le présent arrêté définit la nature des attaques devant faire l'objet d'une notification à l'autorité nationale de réception des véhicules, les modalités de leur notification et les informations à communiquer à cette autorité, en application de l'article L. 1514-8 du code des transports.
1. L'autorité nationale de réception des véhicules pour l'application de l'article L. 1514-8 du code des transports est le Centre national de réception des véhicules.
1. Le constructeur d'un véhicule terrestre à moteur ou son mandataire notifie au Centre national de réception des véhicules, sans délai après en avoir pris connaissance, les attaques par voie électronique qui relèvent d'un type d'attaque figurant à l'annexe 1 du présent arrêté. Il adresse à cet effet au Centre national de réception des véhicules le formulaire complété figurant à l'annexe 2 du présent arrêté via la plate-forme « Démarche Numérique » à l'adresse suivante : « https://demarche.numerique.gouv.fr/commencer/notification-cyberattaque-vehicule ». Le constructeur ou son mandataire répond sans délai aux demandes d'informations complémentaires du Centre national de réception des véhicules concernant la notification qu'il a effectuée.
2. Le Centre national de réception des véhicules communique à l'Agence nationale de la sécurité des systèmes d'information, les informations recueillies relatives à ces attaques.
1. Le présent arrêté entre en vigueur le premier jour du deuxième mois suivant celui de sa publication au Journal officiel de la République française.
1. Le présent arrêté sera publié au Journal officiel de la République française.
1. ANNEXES
2. ANNEXE 1
3. Attaques susceptibles de porter atteinte au fonctionnement ou à la sécurité du véhicule, notamment celles pouvant :
4. a) Compromettre la sécurité d'utilisation du véhicule ;
5. b) Interrompre les fonctions nécessaires à la sécurité du véhicule ;
6. c) Modifier des logiciels et altérer les performances du véhicule ;
7. d) Compromettre l'intégrité des données utiles au fonctionnement ou à la sécurité du véhicule ;
8. e) Compromettre la confidentialité des données utiles au fonctionnement ou à la sécurité du véhicule ;
9. f) Affecter l'accès aux données utiles au fonctionnement ou à la sécurité du véhicule.
1. ANNEXE 2
Informations générales | |
|---|---|
Date de la notification | |
Nom et coordonnées du constructeur ou de son mandataire | |
Nom, fonction et coordonnées de la personne effectuant la notification | |
Coordonnées de la personne à contacter pour obtenir des informations complémentaires relatives à l'attaque : nom, fonction, adresse postale, téléphone, adresse électronique | |
Coordonnées de la personne à contacter en dehors des heures ouvrées, si différente de la personne ci-dessus | |
Description de l'attaque | |
Date et heure (UTC) auxquelles l'attaque a été constatée | |
Date et heure (UTC) estimées du début de l'attaque et durée de l'attaque | |
Moyen de détection de l'attaque | |
Nature du système attaqué (systèmes embarqués dans les véhicules/systèmes « dorsaux ») | |
Description du système affecté (logiciel, calculateur, etc.) | |
Numéros de réception par type (le cas échéant) des véhicules affectés | |
Types, variantes (le cas échéant) et versions (le cas échéant) des véhicules affectés | |
Nombre de véhicules affectés ou, à défaut, susceptibles d'avoir été affectés | |
Nombre de véhicules d'autres types/variantes/versions susceptibles d'être affectés | |
Méthode utilisée pour estimer le nombre de véhicules susceptibles d'avoir été affectés et le nombre de véhicules d'autres types/variantes/versions susceptibles d'être affectés par l'attaque | |
Portée géographique des véhicules affectés | |
Etat constaté ou présumé de l'attaque (activités préparatoires avant l'attaque/tentative d'attaque non aboutie/attaque aboutie) | |
Classification de l'attaque selon l'annexe 1 de l'arrêté | |
Impact constaté ou présumé sur la sécurité ou le fonctionnement du véhicule | |
Impact constaté ou présumé sur la disponibilité, l'intégrité ou la confidentialité des données utiles au fonctionnement ou à la sécurité du véhicule | |
Autres impacts constatés ou présumés (sécurité, financier, opérationnel, confidentialité, ou autre) | |
Traitement de l'attaque | |
Etat de la qualification de l'attaque (en cours de qualification/en cours de traitement/résolue) | |
Description de la méthode de l'attaquant : caractéristiques générales de l'attaque (motivation présumée de l'attaquant, type d'attaque, niveau de complexité de l'attaque, etc.) | |
Caractéristiques techniques de l'attaque (chronologie et nature des différentes étapes de l'attaque, périmètre de la compromission du système, vulnérabilités exploitées par l'attaquant, moyens techniques utilisés par l'attaquant, etc.) | |
S'ils ont été identifiés, marqueurs techniques de l'attaque (adresse IP, noms de fichiers ou de codes malveillants, etc.) | |
Le cas échéant, joindre au formulaire les résultats de l'analyse de l'attaque | |
Description des mesures prises et envisagées (traitement de l'incident et renforcement de la détection d'incidents, contact des propriétaires des véhicules, rappel des véhicules affectés) | |
Dépôt de plainte (envisagé/non envisagé/effectué) et déclaration à la CNIL (envisagée/non envisagée/effectuée) si des données personnelles sont compromises | |
Fait le 29 avril 2026.
Pour le ministre et par délégation :
La sous-directrice de la sécurité et des émissions des véhicules, C. Mahé-Deckers
Lire ce texte tel qu'il a été publié au Journal officiel, avant toute modification (le 30 mai 2026).