EPHJ 2026 – Cybersécurité CRA : l'approche de Beckhoff pour sécuriser les machines

Related Vendors

Beckhoff Automation SA

Kubo Tech AG

Heule Werkzeug AG

SCHMIDT Technology GmbH

En 2027, le Cyber Resilience Act (CRA) européen imposera des normes de cybersécurité strictes aux équipements connectés. Une révolution entre autres pour les constructeurs de machines suisses exportant vers l'UE. Philippe Abt et Jérôme Sovilla, de Beckhoff Automation, expliquent comment s'y préparer.

Bientôt, la cybersécurité industrielle ne sera plus une simple option technique mais un impératif légal. Avec l'entrée en vigueur prochaine du Cyber Resilience Act (CRA), l'Union européenne exige de ses fournisseurs qu'ils sécurisent tout équipement doté d'une communication numérique. Si la Suisse n'est pas dans l'UE, ses fabricants devront s'y conformer sous peine de perdre le droit d'apposer le marquage CE sur les produits. En cas de manquement aux règles de sécurité, des amendes pouvant atteindre 2,5 % du chiffre d'affaires sont à la clé.

Pour aider les industriels à anticiper cette échéance, Beckhoff Automation présente cette année à l'EPHJ une application de « cyber-résilience » complète. « L'Union européenne a décidé de légiférer face à l'augmentation des cyberattaques. L'une des exigences du CRA est que le produit soit soutenu techniquement au minimum cinq ans après sa vente, notamment en termes d'OS », explique Philippe Abt, Business Development Manager CNC chez Beckhoff Automation. « Par exemple, une machine utilisant un PC industriel sous Windows 10 ne pourra plus obtenir le label CE en 2027, car cet OS ne sera bientôt plus supporté en termes de mises à jour de sécurité. »

Galerie d'images

La séparation physique comme bouclier

Il est important de noter que si une machine n'est pas connectée au réseau, et n'a aucun contact avec l'extérieur, elle n'est pas un risque. Mais toute machine connectée l'est et est soumise au CRA. Pour sécuriser une machine, il existe plusieurs solutions. Cependant, toutes ne sont pas aisées à implémenter. Par exemple, modifier le système d'exploitation de la commande numérique (CNC) d'une machine existante est complexe, et peut potentiellement poser des problèmes en termes de fonctionnement futurs des programmes existants. Pour contourner ce problème, Beckhoff Automation préconise une séparation physique.

« La solution la plus simple consiste à implémenter dans la machine un second petit ordinateur, que nous appelons Edge Computer », souligne Jérôme Sovilla, Application Specialist chez Beckhoff. « Cet ordinateur répond aux normes du CRA, et sert à la fois de filet de protection et de porte de communication entre la machine et le réseau. Ainsi, la machine est protégée, et il n'est pas nécessaire d'appliquer des patchs de sécurité ou de modifier l'OS de la CNC. »

Bien qu'il soit aussi possible de créer une machine virtuelle sur le PC principal pour séparer les flux, la solution du boîtier externe est privilégiée car nettement plus simple d'implémentation. « Ce petit PC séparé représente un surcoût d'environ 1000 francs, ce qui reste raisonnable », note Philippe Abt. Un investissement minime face au risque financier d'une attaque bloquant la production d'une usine pendant plusieurs jours. Sans compter l'impact sur l'image de l'entreprise envers ses clients, et les potentielles poursuites encourues.

Analyse de risques : la sécurité devient la norme

Les fabricants de machines se voient donc dans l'obligation de réaliser une évaluation des risques (TARA - Threat and Risk Assessment). Une démarche qui demande un changement de mentalité. « Jusqu'à présent, l'analyse de risques concernait la sécurité, c'est-à-dire protéger l'humain de la machine. Désormais, avec la notion de cybersécurité, on cherche à protéger la machine de l'humain malveillant », résume Jérôme Sovilla.

Cette analyse relève de la propriété intellectuelle et de la responsabilité exclusive du constructeur de la machine. Si Beckhoff évalue les risques pour ses propres composants (PC, automates), l'entreprise ne réalise pas l'audit global de la machine finale de ses clients. « Nous répondons à toutes les questions techniques de nos clients sur la façon d'intégrer nos produits en toute sécurité, mais nous ne signons pas d'audit final. Pour cela, nous les mettons en relation avec des entreprises spécialisées en cybersécurité », précise Jérôme Sovilla.

EtherCAT : une connexion sécurisée face aux attaques

Au-delà de l'architecture matérielle, le choix des bus de terrain est crucial. Sur ce point, Beckhoff Automation s'appuie sur la robustesse intrinsèque de son protocole EtherCAT, certifié Security Level 2 par Underwriters Laboratories (UL).

« Comparé à certains protocoles Ethernet industriels qui s'appuient sur du TCP/IP, nous n'avons pris que ce dont nous avions besoin. Nous ne sommes pas du tout dans ces couches IP classiques, ce qui rend EtherCAT beaucoup plus difficile à attaquer », détaille Jérôme Sovilla. Le niveau de sécurité 2 suffit largement aux applications industrielles standards. Pour des infrastructures ultra-critiques (gouvernement, distribution d'eau), des modifications logicielles (incluant de la cryptographie) permettent même d'atteindre le niveau 3, le tout sans sacrifier la légendaire rapidité du protocole.

Face à la convergence IT/OT, l'industrie doit s'adapter rapidement. Avec l'évolution des normes internationales telles que l'IEC 62443, Beckhoff se positionne en fournisseur de briques technologiques fiables, prêtes pour l'industrie de 2027.

(ID:50845938)