Le ministre des transports,
Vu le Règlement de l'ONU n° 155 énonçant des prescriptions uniformes relatives à l'homologation des véhicules en ce qui concerne la cybersécurité et de leurs systèmes de gestion de la cybersécurité, notamment son annexe 5 ;
Vu le code des transports, notamment son article L. 1514-8 ;
Vu le décret n° 2008-680 du 9 juillet 2008 modifié portant organisation de l'administration centrale du ministère de l'écologie, de l'énergie, du développement durable et de l'aménagement du territoire ;
Vu le décret n° 2018-1278 du 28 décembre 2018 modifié portant création du service à compétence nationale dénommé Centre national de réception des véhicules,
Arrête :
En vigueur depuis le 1 juillet 2026
Le présent arrêté définit la nature des attaques devant faire l'objet d'une notification à l'autorité nationale de réception des véhicules, les modalités de leur notification et les informations à communiquer à cette autorité, en application de l'article L. 1514-8 du code des transports.
En vigueur depuis le 1 juillet 2026
ANNEXES
ANNEXE 1
Attaques susceptibles de porter atteinte au fonctionnement ou à la sécurité du véhicule, notamment celles pouvant :
a) Compromettre la sécurité d'utilisation du véhicule ;
b) Interrompre les fonctions nécessaires à la sécurité du véhicule ;
c) Modifier des logiciels et altérer les performances du véhicule ;
d) Compromettre l'intégrité des données utiles au fonctionnement ou à la sécurité du véhicule ;
e) Compromettre la confidentialité des données utiles au fonctionnement ou à la sécurité du véhicule ;
f) Affecter l'accès aux données utiles au fonctionnement ou à la sécurité du véhicule.
En vigueur depuis le 1 juillet 2026
L'autorité nationale de réception des véhicules pour l'application de l'article L. 1514-8 du code des transports est le Centre national de réception des véhicules.
Fait le 29 avril 2026.
Pour le ministre et par délégation :
La sous-directrice de la sécurité et des émissions des véhicules,
C. Mahé-Deckers
En vigueur depuis le 1 juillet 2026
Le constructeur d'un véhicule terrestre à moteur ou son mandataire notifie au Centre national de réception des véhicules, sans délai après en avoir pris connaissance, les attaques par voie électronique qui relèvent d'un type d'attaque figurant à l'annexe 1 du présent arrêté. Il adresse à cet effet au Centre national de réception des véhicules le formulaire complété figurant à l'annexe 2 du présent arrêté via la plate-forme « Démarche Numérique » à l'adresse suivante : « https://demarche.numerique.gouv.fr/commencer/notification-cyberattaque-vehicule ». Le constructeur ou son mandataire répond sans délai aux demandes d'informations complémentaires du Centre national de réception des véhicules concernant la notification qu'il a effectuée.
Le Centre national de réception des véhicules communique à l'Agence nationale de la sécurité des systèmes d'information, les informations recueillies relatives à ces attaques.
En vigueur depuis le 1 juillet 2026
Le présent arrêté entre en vigueur le premier jour du deuxième mois suivant celui de sa publication au Journal officiel de la République française.
En vigueur depuis le 1 juillet 2026
Le présent arrêté sera publié au Journal officiel de la République française.
En vigueur depuis le 1 juillet 2026
ANNEXE 2
Informations générales | |
|---|---|
Date de la notification | |
Nom et coordonnées du constructeur ou de son mandataire | |
Nom, fonction et coordonnées de la personne effectuant la notification | |
Coordonnées de la personne à contacter pour obtenir des informations complémentaires relatives à l'attaque : nom, fonction, adresse postale, téléphone, adresse électronique | |
Coordonnées de la personne à contacter en dehors des heures ouvrées, si différente de la personne ci-dessus | |
Description de l'attaque | |
Date et heure (UTC) auxquelles l'attaque a été constatée | |
Date et heure (UTC) estimées du début de l'attaque et durée de l'attaque | |
Moyen de détection de l'attaque | |
Nature du système attaqué (systèmes embarqués dans les véhicules/systèmes « dorsaux ») | |
Description du système affecté (logiciel, calculateur, etc.) | |
Numéros de réception par type (le cas échéant) des véhicules affectés | |
Types, variantes (le cas échéant) et versions (le cas échéant) des véhicules affectés | |
Nombre de véhicules affectés ou, à défaut, susceptibles d'avoir été affectés | |
Nombre de véhicules d'autres types/variantes/versions susceptibles d'être affectés | |
Méthode utilisée pour estimer le nombre de véhicules susceptibles d'avoir été affectés et le nombre de véhicules d'autres types/variantes/versions susceptibles d'être affectés par l'attaque | |
Portée géographique des véhicules affectés | |
Etat constaté ou présumé de l'attaque (activités préparatoires avant l'attaque/tentative d'attaque non aboutie/attaque aboutie) | |
Classification de l'attaque selon l'annexe 1 de l'arrêté | |
Impact constaté ou présumé sur la sécurité ou le fonctionnement du véhicule | |
Impact constaté ou présumé sur la disponibilité, l'intégrité ou la confidentialité des données utiles au fonctionnement ou à la sécurité du véhicule | |
Autres impacts constatés ou présumés (sécurité, financier, opérationnel, confidentialité, ou autre) | |
Traitement de l'attaque | |
Etat de la qualification de l'attaque (en cours de qualification/en cours de traitement/résolue) | |
Description de la méthode de l'attaquant : caractéristiques générales de l'attaque (motivation présumée de l'attaquant, type d'attaque, niveau de complexité de l'attaque, etc.) | |
Caractéristiques techniques de l'attaque (chronologie et nature des différentes étapes de l'attaque, périmètre de la compromission du système, vulnérabilités exploitées par l'attaquant, moyens techniques utilisés par l'attaquant, etc.) | |
S'ils ont été identifiés, marqueurs techniques de l'attaque (adresse IP, noms de fichiers ou de codes malveillants, etc.) | |
Le cas échéant, joindre au formulaire les résultats de l'analyse de l'attaque | |
Description des mesures prises et envisagées (traitement de l'incident et renforcement de la détection d'incidents, contact des propriétaires des véhicules, rappel des véhicules affectés) | |
Dépôt de plainte (envisagé/non envisagé/effectué) et déclaration à la CNIL (envisagée/non envisagée/effectuée) si des données personnelles sont compromises | |