1. INTRODUCTION
La présente annexe énonce des mesures concernant la réception par type de systèmes visant à contrer les tentatives de manipulation et les atteintes à la sécurité et à la cybersécurité.
2. DÉFINITIONS
Aux fins de la présente annexe, les définitions du règlement ONU no 155 s’appliquent.
«Attaques» s’entend comme comprenant les tentatives de manipulation, les tentatives de contournement de la sécurité et les cyberattaques.
3. PRESCRIPTIONS POUR LA RÉCEPTION PAR TYPE
3. 1. Responsabilités des constructeurs
Il est de la responsabilité du constructeur que le type de véhicule (au regard des émissions) soit équipé de mesures suffisantes lui permettant de résister aux tentatives de manipulation et aux atteintes à la sécurité et à la cybersécurité au cours de toutes les phases de son cycle de vie.
Afin de satisfaire à cette responsabilité, les vulnérabilités qui peuvent conduire à une manipulation doivent être minimisées dans toute la mesure du possible, sur la base des meilleures connaissances disponibles au moment de la réception par type, pour tous les systèmes énumérés à l’article 4, paragraphe 7, du règlement (UE) 2024/1257.
Cette disposition est réputée respectée lorsque:
a) le type de véhicule au regard des émissions satisfait aux prescriptions du règlement ONU no 155.
b) l’analyse des vulnérabilités/menaces et l’évaluation des risques du constructeur considèrent, le cas échéant, les objectifs du règlement (UE) 2024/1257 et, en particulier:
i) pour le système d’injection de carburant et de réactif, le moteur et les unités de commande du moteur et les systèmes antipollution, l’analyse des vulnérabilités/menaces et l’évaluation des risques du constructeur prennent en considération au moins les vulnérabilités/menaces de haut niveau, les exemples de vulnérabilités ou de méthodes d’attaque, et les exemples de remédiations du tableau 4.1 de l’appendice 1 de la présente annexe.
ii) pour le système OBM, le système OBD et le dispositif OBFCM, l’analyse des vulnérabilités/menaces et l’évaluation des risques du constructeur prennent en considération au moins les vulnérabilités/menaces de haut niveau, les exemples de vulnérabilités ou de méthodes d’attaque, et les exemples de remédiations du tableau 4.2 de l’appendice 1 de la présente annexe.
iii) pour le compteur kilométrique, la distance totale indiquée et les valeurs de distance totale sont protégées conformément au règlement ONU no 39 tel que modifié par la série 02 d’amendements.
iv) pour les batteries de traction et leurs systèmes de gestion, les moteurs électriques et leurs unités de commande et le passeport environnemental du véhicule, l’analyse des vulnérabilités/menaces et l’évaluation des risques du constructeur prennent en considération au moins les vulnérabilités/menaces de haut niveau, les exemples de vulnérabilités ou méthodes d’attaque et les exemples de remédiations du tableau 4.3 de l’appendice 1 de la présente annexe.
Sans préjudice des prescriptions du point 7.2.2.2 g) du règlement ONU no 155, le constructeur surveille, détecte, réagit et informe l’autorité compétente en matière de réception des preuves d’attaques réussies contre l’un des systèmes énumérés à l’article 4, paragraphe 7 du règlement (UE) 2024/1257.
3. 2. Responsabilité des autorités compétentes en matière de réception
Sans préjudice des prescriptions du point 5.1.1 du règlement ONU no 155, les autorités compétentes en matière de réception par type vérifient si l’analyse des vulnérabilités/menaces et l’évaluation des risques menées par le constructeur sont appropriées et suffisantes. Cette vérification garantit que les vulnérabilités et menaces des tableaux de l’appendice 1 ont été gérées de manière appropriée par le constructeur. Les exemples contenus dans ces tableaux sont à utiliser comme référence.
L’autorité compétente en matière de réception par type peut demander une documentation supplémentaire pour vérifier que les actions de remédiation proposées sont correctement mises en œuvre.
Les autorités compétentes en matière de réception par type sont encouragées à échanger leurs bonnes pratiques et expériences au sein du forum pour l’échange d’informations sur l’application, tel qu’il a été établi dans le règlement (UE) 2018/858.
3. 3. Responsabilités des autorités de surveillance du marché
Suivant les prescriptions de l’article 8 du règlement (UE) 2018/858, les autorités de surveillance du marché mènent des essais réguliers pour vérifier si les mesures visant à contrer les tentatives de manipulation et les atteintes à la sécurité et à la cybersécurité sont suffisantes. Les autorités de surveillance du marché sont responsables de la sélection de véhicules, de l’application de méthodes d’essai, des activités de suivi, de la communication de rapports et des mesures correctives ou restrictives.
3. 3.1. Sélection de véhicules pour la surveillance du marché
Lorsqu’elles effectuent des essais de surveillance du marché, les autorités de surveillance du marché sélectionnent les types de véhicule au regard des émissions à soumettre aux essais sur la base d’une évaluation des risques. Les types de véhicule (au regard des émissions) considérés comme posant un risque plus grand selon l’évaluation des risques sont prioritaires pour les essais réalisés conformément au point 3.3.2.
L’évaluation des risques considère les aspects suivants:
a) Preuve que des produits de manipulation efficaces sont largement disponibles sur le marché pour utilisation sur certains types de véhicule au regard des émissions;
b) Preuve de vulnérabilités connues affectant certains types de véhicule au regard des émissions;
c) Preuve concernant la prévalence de manipulations pour certains types de véhicule au regard des émissions (comprenant, entre autres, les données OBM soumises par les constructeurs de véhicules);
d) Nombre de véhicules en circulation appartenant à certains types de véhicule au regard des émissions;
e) Autres informations pertinentes, y compris les résultats d’essais menés par des tiers reconnus et les informations échangées au sein du forum pour l’échange d’informations sur l’application, tel qu’il a été établi dans le règlement (UE) 2018/858.
3. 3.2. Méthodes d’essai
Les autorités de surveillance du marché peuvent employer toute méthode d’essai pour établir si des véhicules appartenant à un certain type de véhicule au regard des émissions sont suffisamment protégés contre des attaques qui pourraient affecter le fonctionnement correct de systèmes énumérés à l’article 4, paragraphe 7, du règlement (UE) 2024/1257. Les autorités de surveillance du marché sont encouragées à échanger leurs bonnes pratiques et expériences au sein du forum pour l’échange d’informations sur l’application, tel qu’il a été établi dans le règlement (UE) 2018/858.
Le bon état de chaque véhicule d’essai doit être vérifié avant de mener les essais, en veillant tout particulièrement au fonctionnement correct des systèmes énumérés à l’article 4, paragraphe 7, du règlement (UE) 2024/1257, et en s’assurant qu’ils n’aient pas fait l’objet d’attaques dans le cadre des essais. La vérification doit garantir qu’aucun code de défaillance pertinent n’est mémorisé ni qu’aucun voyant d’avertissement pertinent n’est allumé, qu’il n’y a aucun statut d’erreur pour la surveillance des polluants et que le niveau de détection de manipulations fixé à l’annexe I du règlement d’exécution (UE) 2025/1707 et déclaré par le système OBM correspond au «Niveau 0».
Cette vérification doit également inclure, le cas échéant, la réalisation d’un essai du type 1 ex-ante ou d’un essai RDE conformément au présent règlement. L’essai d’attaque ne doit pas se poursuivre à moins que les résultats des émissions de l’essai ex-ante ne respectent les limites d’émissions applicables.
Les essais menés par les autorités de surveillance du marché visent à reproduire les attaques susceptibles d’être subies par certains types de véhicule au regard des émissions sur le terrain en raison d’un ratio bénéfice-coût élevé. Ces attaques peuvent inclure des tentatives de manipulation des véhicules en exploitant des vulnérabilités existantes en matière de manipulation, de sécurité et de cybersécurité, ou en installant des produits de manipulation qui sont disponibles sur le marché. La sélection des attaques repose sur l’évaluation des risques décrite au point 3.3.1.
3. 3.3. Évaluation de l’essai
L’autorité de surveillance du marché détermine le résultat de l’essai en évaluant les effets de l’attaque sur les émissions d’échappement ou sur l’intégrité des données utilisées par les systèmes énumérés à l’article 4, paragraphe 7, du règlement (UE) 2024/1257, en tenant compte de la réponse du véhicule aux attaques. L’autorité parvient à une décision «succès», «à suivre» ou «échec» sur l’un ou sur les deux aspects, selon le cas, en fonction de la nature de l’attaque.
Un résultat «succès» ne nécessite pas d’autre action.
Un résultat «à suivre» est suivi des activités décrites au point 3.3.4.
Un résultat «échec» est suivi des activités décrites au point 3.3.5.
À la suite de l’attaque, l’autorité de surveillance du marché peut conditionner le véhicule en le conduisant sur une certaine distance, sur plusieurs parcours, ou dans d’autres conditions qui sont jugées appropriées pour l’attaque à détecter.
3. 3.3.1. Évaluation des effets sur les émissions d’échappement (polluants suivis par le système OBM)
Après l’attaque et un conditionnement facultatif, un essai ex-post du type 1 ou RDE et effectué. Les essais ex-ante et ex-post doivent être du même type. Si deux essais RDE sont menés, les essais doivent être effectués sur le même parcours, avec un comportement de conduite similaire, et dans des conditions environnementales et de trafic similaires.
À la suite de l’essai ex-post des émissions, le résultat de l’essai est déterminé pour chaque polluant suivi par le système OBM. Le résultat de l’essai est considéré comme un «succès» si l’une des situations suivantes est observée:
a) les émissions d’échappement n’ont pas augmenté de façon substantielle par rapport à celles de l’essai ex-ante des émissions. Une augmentation substantielle est à interpréter comme une augmentation des émissions d’échappement de plus de 100 % de la limite d’émission applicable et où les émissions de l’essai ex-post sont au-dessus du seuil OBD applicable;
b) les émissions d’échappement sont substantiellement accrues à un niveau jusqu’à 2,5 fois la limite d’émissions applicable, alors que le niveau de détection des manipulations est réglé sur le «niveau 1» ou plus;
c) les émissions d’échappement sont substantiellement accrues à un niveau égal ou supérieur à 2,5 fois la limite d’émissions applicable, alors que le niveau de détection des manipulations est réglé sur le «niveau 2» et le statut OBM correspondant est passé à «Erreur».
Si le résultat de l’essai n’est pas un «succès» direct, le véhicule peut être conditionné davantage afin de donner au système OBM un temps d’évaluation plus long pour changer les statuts de suivi des polluants et le niveau de détection des manipulations.
Lorsque, après le conditionnement supplémentaire, les statuts de suivi ou le niveau de détection des manipulations ne changent pas de telle manière qu’ils conduisent à un résultat «succès», le résultat de l’essai est considéré comme étant «à suivre» si l’un des résultats suivants est observé:
a) les émissions d’échappement sont substantiellement accrues à un niveau jusqu’à 2,5 fois la limite d’émissions applicable, alors que le niveau de détection des manipulations est réglé sur le «niveau 0»;
b) les émissions d’échappement sont substantiellement accrues à un niveau égal ou supérieur à 2,5 fois la limite d’émissions applicable, alors que le statut OBM correspondant est passé à «Erreur» et le niveau de détection des manipulations est réglé sur «niveau 1» ou moins.
Si le résultat n’est ni «succès» ni «à suivre» il est considéré comme «échec».
Les véhicules qui ne sont pas équipés d’un système OBM sont exclus de l’évaluation des effets sur les émissions d’échappement conformément au présent paragraphe.
3. 3.3.2. Évaluation des effets sur les émissions d’échappement (polluants non suivis par un système OBM)
Après l’attaque et un conditionnement facultatif, un essai ex-post du type 1 ou RDE et effectué. Les essais ex-ante et ex-post doivent être du même type. Si deux essais RDE sont menés, les essais doivent être effectués sur le même parcours, avec un comportement de conduite similaire, et dans des conditions environnementales et de trafic similaires.
À la suite de l’essai ex-post des émissions, pour tous les polluants qui ne sont pas suivis par le système OBM, le résultat de l’essai est considéré comme «à suivre» lorsque les polluants sont accrus de façon substantielle à un niveau supérieur aux valeurs seuils OBD spécifiées au point 6.8.2 du règlement ONU no 154 alors que l’indicateur de défaillance (MI) n’est pas activé. Dans tous les autres cas, il est considéré comme «succès».
Si le résultat de l’essai n’est pas un «succès» direct, le véhicule peut être conditionné davantage pour donner au système OBD un temps d’évaluation plus long pour activer l’indicateur de défaillance.
3. 3.3.3. Évaluation des effets sur l’intégrité des données
À la suite de l’attaque et du conditionnement supplémentaire, le résultat est considéré comme «succès» lorsque l’attaque ne réussit pas à modifier les données des systèmes énumérés à l’article 4, paragraphe 7, du règlement (UE) 2024/1257.
Si l’attaque réussit à modifier les données des systèmes énumérés à l’article 4, paragraphe 7, du règlement (UE) 2024/1257, le résultat est évalué par l’autorité de surveillance du marché selon les deux critères suivants:
a) Impact: quelle est la pertinence de la modification des données en termes d’impact sur l’environnement et sur les objectifs du règlement (UE) 2024/1257;
b) Réponse: si le véhicule a ou non répondu en transmettant adéquatement les informations concernant l’invalidité des données modifiées.
Lorsque l’impact est considéré comme insignifiant, le résultat est considéré comme étant un «succès».
Lorsque l’impact est considéré comme significatif et la réponse est jugée adéquate par l’autorité, le résultat est considéré comme étant un «succès».
Lorsque l’impact est considéré comme significatif et la réponse est jugée inadéquate, le résultat est considéré comme étant «à suivre». Dans ces cas, l’autorité de surveillance du marché prend contact avec le constructeur pour l’informer du résultat de l’essai des caractéristiques du véhicule et de la nature des essais effectués.
Le constructeur peut proposer un conditionnement supplémentaire afin de donner au véhicule davantage de temps pour répondre à l’attaque ou la répétition des essais sur des véhicules similaires. À la suite du conditionnement supplémentaire ou de la répétition des essais, la réponse du véhicule est évaluée. Si la réponse du véhicule est toujours jugée inadéquate par l’autorité de surveillance du marché, le résultat est confirmé comme étant «à suivre». Si la réponse du véhicule est jugée adéquate, le résultat est considéré comme étant un «succès».
3. 3.4. Mesures de suivi
Un résultat «à suivre» à une attaque est étudié en détail, si nécessaire en coopération avec le constructeur et l’autorité chargée de l’octroi de la réception par type, afin d’établir:
a) quelles vulnérabilités ont été exploitées et si celles-ci étaient identifiées au moment de la réception par type;
b) dans le cas où les vulnérabilités avaient été identifiées au moment de la réception par type, si les mesures de remédiation ont été correctement appliquées;
c) si les vulnérabilités s’appliquent à d’autres types de véhicule au regard des émissions.
Sans préjudice des prescriptions du chapitre IX du règlement (UE) 2018/858, le constructeur doit, dans un délai convenu avec l’autorité de surveillance du marché, proposer à celle-ci une solution technique pour accroître la résistance du véhicule aux attaques, soit en remédiant effectivement à l’exploitation de la vulnérabilité, soit en mettant en œuvre des méthodes permettant de détecter une attaque et d’enclencher une réponse appropriée, ainsi qu’un plan pour la mise en œuvre de cette solution technique. L’autorité de surveillance du marché évalue la solution technique et le plan de mise en œuvre qui l’accompagne et demande des modifications le cas échéant.
Lorsque la solution technique et le plan de mise en œuvre sont acceptés par l’autorité de surveillance du marché, le constructeur procède à la mise en œuvre de la solution technique comme convenu avec l’autorité de surveillance du marché.
Lorsque la solution technique et le plan de mise en œuvre ne satisfont pas l’autorité de surveillance du marché, le résultat est considéré comme étant un «échec».
Les résultats de l’enquête sur les attaques ayant donné un résultat «à suivre» sont portés à l’attention du forum pour l’échange d’informations sur l’application établi par le règlement (UE) 2018/858.
3. 3.5. Communication de rapports, mesures correctives et administratives à la suite d’un résultat «échec»
Un résultat «échec» à une attaque est étudié en détail, si nécessaire en coopération avec le constructeur et l’autorité chargée de l’octroi de la réception par type, afin d’établir:
a) quelles vulnérabilités ont été exploitées et si celles-ci étaient identifiées au moment de la réception par type;
b) dans le cas où les vulnérabilités avaient été identifiées au moment de la réception par type, si les mesures de remédiation ont été correctement appliquées;
c) si les vulnérabilités s’appliquent à d’autres types de véhicule au regard des émissions.
Les détails des essais ayant un résultat «échec» sont communiqués au constructeur, et l’autorité de surveillance du marché demande au constructeur de prendre les mesures prévues au chapitre XI du règlement (UE) 2018/858 pour garantir qu’il soit effectivement remédié à la vulnérabilité exploitée, de préférence par la transmission sans fil d’une mise à jour du logiciel des systèmes de véhicule concernés conformément au règlement ONU no 156.
Pour déterminer l’adéquation des mesures correctives, les autorités prennent en considération l’état technologique du type de véhicule au regard des émissions, la faisabilité technique des mesures de remédiation possibles et la probabilité d’exploitation de la vulnérabilité (approchée par le ratio bénéfice-coût de l’attaque). Le constructeur peut, avec des preuves à l’appui appropriées, démontrer qu’une vulnérabilité ne peut pas faire l’objet d’une remédiation effective ou qu’une réponse appropriée de la détection des manipulations ne peut pas être réalisée, en raison de limitations techniques de l’architecture du véhicule. Si le fabricant démontre de manière exhaustive à l’autorité de surveillance du marché qu’une action de remédiation n’est pas techniquement réalisable, il n’est pas tenu d’apporter des mesures correctives.
Les résultats de l’enquête sur les attaques ayant donné un résultat «échec» sont portés à l’attention du forum pour l’échange d’informations sur l’application tel qu’il a été établi dans le règlement (UE) 2018/858. Si des vulnérabilités auxquelles il n’est pas possible de remédier effectivement en raison de limitations techniques sont identifiées, le forum pour l’échange d’informations sur l’application envisage de demander des remédiations supplémentaires correspondantes dans les futures réceptions par type.
3. 4. Rôles et responsabilité de la Commission et des tiers reconnus
La Commission et les tiers reconnus peuvent vérifier si des véhicules appartenant à un certain type de véhicule au regard des émissions sont suffisamment protégés contre les tentatives de manipulation et les atteintes à la sécurité et à la cybersécurité affectant les systèmes énumérés à l’article 4, paragraphe 7, du règlement (UE) 2024/1257 conformément aux méthodes décrites au point 3.3.2.
4. DISPOSITIONS ADMINISTRATIVES
4. 1. Dispositions administratives concernant les tentatives de manipulation et les atteintes à la sécurité et à la cybersécurité
Une documentation visant à démontrer la conformité au point 3.1 est communiquée par le constructeur en deux parties: a) le dossier de documentation officielle pour la réception, conforme aux exigences en matière de documentation du point 3.3 du règlement ONU no 155, qui doit être remis à l’autorité compétente en matière de réception au moment de la soumission de la demande de réception par type. Ce dossier de documentation est utilisé par l’autorité compétente en matière de réception comme référence de base pour le processus de réception. L’autorité compétente en matière de réception fait en sorte que ce dossier de documentation reste disponible pendant au moins 10 ans à partir du moment où la production du type de véhicule (au regard des émissions) est définitivement arrêtée; b) un matériel supplémentaire relatif aux prescriptions du présent règlement peut être conservé par le constructeur mais ouvert à l’inspection au moment de la réception par type. Le constructeur veille à ce que tout matériel ouvert à l’inspection au moment de la réception par type reste disponible pendant une période d’au moins 10 ans à compter du moment où la production du type de véhicule (au regard des émissions) est définitivement arrêtée.
Dans les cas où il est indiqué que les informations font l’objet de droits de propriété intellectuelle, ou qu’elles constituent un savoir-faire spécifique du constructeur ou de ses fournisseurs, le constructeur ou les fournisseurs doivent fournir des éléments d’information suffisants pour permettre d’effectuer convenablement les vérifications mentionnées dans le présent règlement. Ces éléments d’information doivent être utilisés de façon confidentielle.
Le constructeur fournit une déclaration de conformité aux prescriptions du présent règlement en matière de lutte contre les tentatives de manipulation et les atteintes à la sécurité et à la cybersécurité aux fins de la réception par type. Cette déclaration doit utiliser le format prescrit à l’appendice 2 de la présente annexe.