Dans l'industrie, le Cyber Resilience Act frappe un point précis : les équipements connectés d'un atelier — automates, passerelles, capteurs, coffrets de supervision — sont des produits comportant des éléments numériques, et leurs accès embarqués deviennent des caractéristiques réglementées. L'obstacle n'est pas technique, il est temporel : une ligne installée aujourd'hui tournera encore dans quinze ans, avec les comptes constructeur et les accès de télémaintenance livrés avec elle.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. La qualification de vos équipements au regard du règlement (UE) 2024/2847, comme votre statut au regard des dispositifs nationaux, doit être confirmée avec vos conseils.
Équipements industriels : ce que le règlement déplace
Le règlement est en vigueur depuis fin 2024, ses obligations principales portent à horizon fin 2027, et la montée en charge est progressive — les obligations de notification arrivant avant les obligations principales. Le raisonnement général du texte est détaillé dans la lecture d'ensemble des obligations d'authentification posées par le CRA.
Ce qui change ici tient en une phrase : dans un atelier, l'authentification était un sujet d'exploitation, arbitré au cas par cas selon la contrainte de production. Elle devient un sujet d'achat. La question posée au fournisseur n'est plus « peut-on mettre un mot de passe ? » mais « avec quoi ce matériel sort-il d'usine, et pour combien de temps le tiendrez-vous ? ».
CRA et opérateur d'importance vitale : deux régimes distincts
La qualification d'opérateur d'importance vitale relève d'un dispositif national, distinct du règlement européen sur les produits et distinct de NIS2. Les régimes se superposent sans se confondre : l'un porte sur ce que vous exploitez, l'autre sur ce qui est mis sur le marché. Un équipement conforme ne dispense d'aucune obligation d'exploitant, et inversement. Le rattachement précis de votre site doit être vérifié avec vos conseils.
Les accès embarqués qui posent problème sur une ligne de production
Le compte constructeur
Il existe presque partout : compte de support, identifiant de mise en service, séquence de déverrouillage documentée dans un manuel qui circule. Souvent identique sur une gamme entière, connu de plusieurs générations de techniciens, jamais changé — le changer revient à perdre le moyen de dépanner la machine un dimanche soir. C'est ce que vise l'exigence d'absence de mot de passe par défaut, et le plus difficile à corriger sur un parc installé.
La télémaintenance
L'accès distant d'un intégrateur est une nécessité économique : sans lui, chaque diagnostic devient un déplacement. Il concentre pourtant trois faiblesses : un compte partagé par l'équipe du prestataire, une ouverture permanente plutôt qu'à la demande, une journalisation qui identifie une société et non une personne. La question à laquelle il faut savoir répondre : qui, nommément, s'est connecté sur cet automate le mois dernier ?
Les comptes techniques d'automates et de supervision
Les échanges entre supervision, historisation, MES et GMAO reposent sur des comptes de service dont le secret est écrit dans un fichier de configuration, parfois dans un programme automate. Ces identifiants n'expirent pas et survivent aux changements d'équipe. Ils relèvent de la même logique que les accès à privilèges côté informatique de gestion, avec une contrainte supplémentaire : les couper arrête la production.
Quinze ans de machine face à une durée de support
L'écart entre la durée de vie d'une machine et la durée de support de son composant numérique est le vrai sujet de conformité. Il se traite à l'achat, pas à l'exploitation.
| Famille d'équipement | Accès en place aujourd'hui | Ce que l'exigence produit oblige à revoir | Contrainte d'exploitation à ne pas casser |
|---|---|---|---|
| Automate programmable | Mot de passe de gamme, parfois désactivé pour la mise au point | Unicité par unité, capacité de renouvellement à distance | Reprise après coupure sans intervention humaine |
| Passerelle IT/OT | Compte administrateur d'usine, accès console local | État livré sûr, journalisation nominative | Cloisonnement des flux, pas de dépendance à un service externe |
| Capteur ou objet de terrain | Secret dérivé du numéro de série | Secret non déductible, chemin de renouvellement | Autonomie énergétique, absence d'interface |
| Poste de supervision | Session ouverte en permanence, compte de quart partagé | Rattachement de l'action à une personne | Aucun écran verrouillé pendant une conduite d'installation |
| Accès de télémaintenance | Compte prestataire permanent | Ouverture à la demande, révocation unitaire | Délai d'intervention contractuel |
Deux réflexes changent la donne à l'achat : exiger que la durée de support figure au contrat, et demander comment un accès de maintenance se révoque sans intervention sur site. Un fournisseur incapable de répondre à la seconde question vous transmet une dette qui durera toute la vie de la machine.
Les contraintes d'atelier que l'authentification doit absorber
Une exigence qui gêne la production sera contournée, et le contournement deviendra la norme. Quatre contraintes reviennent partout.
- Pas de smartphone. Salle blanche, zone à atmosphère explosive, gants, port du téléphone interdit : les méthodes qui supposent un terminal personnel en main sont inopérantes sur une partie du site.
- Pas d'écran ni de clavier. Beaucoup d'équipements n'offrent aucune interface locale. La mise en service passe par un outil de configuration, qui devient lui-même un accès à protéger.
- La disponibilité prime. Sur un poste de conduite, un verrouillage au mauvais moment crée un risque supérieur à celui qu'il prévient. Il faut distinguer la consultation de l'action engageante.
- Une main-d'œuvre mouvante. Intérimaires, sous-traitants de maintenance parfois extra-européens, rotations de quart : les comptes se créent vite et se ferment mal.
Les méthodes qui fonctionnent en atelier ne sont donc pas celles des postes de bureau. Une clé physique pour les accès d'administration convient à un local technique. Pour une validation réalisée par un opérateur sans terminal professionnel, un enrôlement hors ligne dotant chaque personne d'une résolution propre, sans secret partagé, est plus réaliste — c'est le principe de l'authentification cognitive.
Par où commencer sur un parc installé
- Recensez les accès par machine, pas par utilisateur. L'inventaire des comptes du système d'information ignore les identifiants embarqués.
- Testez une remise en configuration d'usine sur un équipement représentatif : avec quel identifiant redémarre-t-il ?
- Reprenez les contrats de maintenance : ouverture à la demande, nominativité, révocation, durée de support. Ce sont des clauses, pas des paramètres.
- Traitez d'abord ce qui commande un mouvement — changement de recette, écriture automate, arrêt de sécurité — avant les accès en lecture.
- Portez ces exigences dans le cahier des charges d'achat, seul levier qui agisse sur les quinze prochaines années.
FAQ
Un industriel utilisateur est-il concerné, ou seulement son fournisseur ?
Le règlement porte sur les produits mis sur le marché, donc d'abord sur ceux qui les fabriquent ou les mettent à disposition. Un industriel qui intègre, modifie substantiellement ou commercialise un équipement peut se trouver dans une autre position : cette qualification doit être instruite avec vos conseils.
Que faire des automates installés qui partagent le même mot de passe ?
Le remplacement immédiat est rarement possible sans arrêt de production. La démarche réaliste consiste à isoler ces équipements derrière un point de passage authentifié et journalisé, à supprimer les accès permanents des prestataires, puis à traiter l'unicité des secrets lors des arrêts programmés.
Comment authentifier un opérateur sans téléphone ni adresse professionnelle ?
En dissociant l'identité du terminal. Les méthodes fondées sur une résolution personnelle, apprise lors d'un enrôlement hors ligne, ne dépendent ni d'un smartphone ni d'un annuaire nominatif.
Le statut d'opérateur d'importance vitale ajoute-t-il des exigences produit ?
Ce sont deux régimes distincts : le dispositif national porte sur l'exploitant et ses installations, le règlement européen sur les produits mis sur le marché. Ils se cumulent sans se substituer l'un à l'autre, et le périmètre applicable à votre site doit être confirmé avec vos conseils.
Aller plus loin : NIS2 dans l'industrie et chez les OIV · hameçonnage en environnement industriel · détournement de session sur un site industriel · choisir une solution d'authentification