Le règlement UN R155 : la cybersécurité devient obligatoire
La cybersécurité automobile n'est plus une bonne pratique d'ingénieur : c'est devenu une condition d'homologation. Le texte qui l'a imposée porte un nom peu lyrique — UN R155 — et il explique une large part de ce qu'un reprogrammateur constate aujourd'hui sur les véhicules récents.
D'où vient le texte
R155 est un règlement de la CEE-ONU, élaboré au sein du WP.29, le forum mondial d'harmonisation des règlements applicables aux véhicules. Il a été adopté en 2020, en même temps que son jumeau R156, qui traite des mises à jour logicielles.
Ce n'est ni une norme volontaire, ni un simple référentiel qualité : c'est un règlement d'homologation. Il conditionne la réception par type, c'est-à-dire l'autorisation administrative de commercialiser un modèle de véhicule sur un marché donné. Un constructeur qui n'y satisfait pas ne vend pas.
Ce qu'il impose : un système, pas un produit
Le cœur de R155 s'appelle le CSMS — Cyber Security Management System, système de management de la cybersécurité. Le point est essentiel et souvent mal compris : le règlement n'exige pas telle ou telle protection dans tel calculateur. Il exige que le constructeur démontre qu'il dispose d'une organisation capable de :
- identifier et analyser les risques de cybersécurité sur ses véhicules ;
- décider et appliquer des mesures de réduction proportionnées à ces risques ;
- vérifier que ces mesures fonctionnent réellement ;
- surveiller le parc après la commercialisation, détecter les attaques et y répondre ;
- couvrir toute la chaîne de fourniture, équipementiers compris.
La démonstration se fait en deux temps : un certificat de conformité du CSMS délivré au constructeur, puis, pour chaque type de véhicule, la preuve que ce CSMS lui a bien été appliqué.
Le calendrier — à manier avec prudence
Un règlement CEE-ONU ne s'applique que dans les pays qui l'ont adopté. Dans les marchés qui l'ont fait — Union européenne, Royaume-Uni, Japon, Corée notamment — les sources concordent sur deux échéances : obligation pour tous les nouveaux types de véhicules à partir de juillet 2022, puis pour tous les véhicules neufs à partir de juillet 2024.
Deux nuances à garder en tête avant d'affirmer quoi que ce soit devant un client :
- un véhicule antérieur à ces dates n'est pas pour autant dépourvu de protections : les constructeurs n'ont pas attendu le texte, et l'on constate des durcissements bien avant 2022 ;
- inversement, un véhicule récent importé d'un marché non signataire ne suit pas nécessairement le même cadre.
L'année du véhicule est un indice, jamais une preuve. Ce qui décide, c'est la version matérielle et logicielle du calculateur, lisible sur son étiquette et par ses identifiants de diagnostic.
L'effet en cascade sur les équipementiers
Bosch, Continental, Denso, Marelli ou Vitesco ne demandent pas eux-mêmes de réception par type : leur obligation passe par le contrat avec le constructeur et par l'audit du CSMS de celui-ci. C'est un point structurant du métier.
Il explique une observation qui déroute beaucoup de reprogrammateurs : une même référence de calculateur peut exister en version accessible et en version durcie, la bascule se faisant à une date de fabrication donnée. Les fabricants d'outils ont documenté publiquement ce type de bascule sur des plateformes Bosch récentes autour de l'été 2020. La corrélation avec l'entrée en application de R155 est cohérente sur le plan chronologique, mais aucune source officielle ne l'établit formellement : à présenter comme une corrélation, pas comme une causalité.
Conséquence directe : la référence du calculateur ne suffit plus, il faut aussi sa date de fabrication et ses versions logicielles. Voir MD1CS003 verrouillé ou non.
Ce que R155 ne dit pas
Le texte ne parle pas de reprogrammation, ne cite pas le tuning et n'interdit pas à un atelier indépendant de travailler. Il demande au constructeur de maîtriser qui peut modifier quoi dans son véhicule.
L'effet pratique est néanmoins sans ambiguïté : un chemin d'écriture non authentifié dans un calculateur est, du point de vue d'une analyse de risque, une vulnérabilité à traiter. Il est donc traité. Ce n'est pas dirigé contre le métier — le métier en subit la conséquence.
La conséquence concrète pour l'après-vente indépendante
- L'accès devient une question d'organisation autant que de technique. Un chemin fermé par conception ne s'ouvre pas à force d'outillage.
- Le véhicule garde la mémoire de ce qui lui arrive : identifiants de calibration, compteurs de programmation, journaux. Voir CAL ID et CVN.
- Le droit d'accès à l'information technique et aux outils de reprogrammation existe toujours en Europe — c'est le fondement de J2534 PassThru — mais il s'exerce désormais à travers des canaux sécurisés, souvent avec authentification de l'atelier et de l'opérateur. Les modalités varient d'un constructeur à l'autre : c'est un usage constaté, pas une règle uniforme.
- Certaines interventions basculent chez le constructeur ou chez un prestataire habilité. Ce n'est pas un échec, c'est une orientation.
La position professionnelle
Une protection se respecte. Un accès légitime passe par la voie officielle du constructeur ou par un prestataire habilité, jamais par le forçage d'un mécanisme de sécurité. Savoir refuser une intervention, et expliquer pourquoi, fait partie du métier autant que savoir la réaliser. Voir expliquer, cadrer, se protéger.
Voir aussi le règlement UN R156, ISO/SAE 21434 et ce que la cybersécurité change pour le reprogrammateur.
Sur ANP Engineering — file service de reprogrammation moteur pour professionnels : file service ECU, correction de checksum, calculateurs pris en charge, tarifs.
