TISAX : Guide Complet du Référentiel de Sécurité de l’Information pour l’Industrie Automobile

TISAX (Trusted Information Security Assessment Exchange) s’impose comme le référentiel de sécurité de l’information incontournable de l’industrie automobile européenne et française. Les véhicules modernes intègrent des millions de lignes de code et génèrent des volumes massifs de données sensibles.

La protection des informations confidentielles échangées entre constructeurs automobiles et leurs fournisseurs est devenue un enjeu stratégique majeur. Développé par l’ENX Association et basé sur la norme ISO/IEC 27001, TISAX permet aux entreprises de l’écosystème automobile de démontrer leur niveau de maturité en cybersécurité à travers un processus d’évaluation standardisé.

En 2024, plus de 6 000 sites à travers le monde ont obtenu une évaluation TISAX, représentant plus de 3 500 organisations (source : ENX Association, 2024). Cette adoption massive reflète la nécessité pour les équipementiers automobiles français et européens, les sous-traitants et les prestataires de services de prouver leur conformité réglementaire aux exigences de sécurité informationnelle du secteur.

Qu’est-ce que TISAX ?

Vue d’ensemble du référentiel

TISAX est un mécanisme d’évaluation de la sécurité de l’information spécifiquement conçu pour l’industrie automobile européenne. L’acronyme signifie « Trusted Information Security Assessment Exchange », ce qui traduit son objectif principal : faciliter l’échange sécurisé d’informations sensibles au sein de la chaîne d’approvisionnement automobile.

Définition et origines du référentiel

Le référentiel a été créé en 2017 par le Verband der Automobilindustrie (VDA), l’association allemande des constructeurs automobiles, en collaboration avec l’ENX Association.

Avant TISAX, chaque constructeur automobile définissait ses propres exigences et menait ses propres évaluations auprès de ses fournisseurs. Un équipementier travaillant avec plusieurs donneurs d’ordres devait ainsi subir de multiples audits similaires, générant des coûts considérables. Selon une étude du VDA de 2016, certaines entreprises subissaient jusqu’à 15 audits de sécurité différents par an (source : VDA, 2016). Cette fragmentation coûtait à l’industrie automobile européenne plus de 500 millions d’euros annuellement (source : VDA, 2016).

Face à la multiplication des incidents de fuite de données dans les années 2010, les constructeurs allemands ont décidé en 2015 d’harmoniser leurs pratiques via le VDA. Un groupe de travail a élaboré les fondements de ce qui deviendrait TISAX. Le référentiel TISAX s’appuie sur le catalogue de contrôles VDA ISA (Information Security Assessment), lui-même dérivé de la norme internationale ISO/IEC 27001. Le catalogue ISA comprend des objectifs de contrôle adaptés aux spécificités de l’industrie automobile, notamment concernant la protection des prototypes, la sécurisation des zones de développement et la gestion des informations confidentielles spécifiques à l’automobile.

Le rôle de l’ENX Association

L’ENX Association est l’organisation à but non lucratif qui administre et développe le mécanisme TISAX. Fondée en 2000, elle compte aujourd’hui plus de 2 800 organisations membres issues de l’écosystème automobile mondial (source : ENX Association, 2024).

La plateforme ENX Portal constitue le cœur opérationnel du système TISAX. Cette infrastructure technique sécurisée permet aux organisations de gérer l’ensemble du cycle de vie de leurs évaluations : enregistrement des périmètres d’évaluation, téléchargement des rapports d’audit, partage des résultats avec les partenaires commerciaux et consultation des évaluations des fournisseurs potentiels. En 2023, la plateforme a enregistré plus de 180 000 partages de résultats (source : ENX Association, 2023), éliminant ainsi la redondance des audits.

Différence entre TISAX et ISO 27001

Bien que TISAX s’appuie sur ISO/IEC 27001, les deux approches présentent des différences fondamentales. ISO 27001 est une norme internationale de certification qui définit les exigences pour établir, mettre en œuvre, maintenir et améliorer continuellement un système de management de la sécurité de l’information (SMSI). Elle s’applique à tous types d’organisations, quelle que soit leur taille ou leur secteur d’activité. La certification est délivrée par un organisme certificateur accrédité.

TISAX, en revanche, n’est pas une certification mais une évaluation (assessment). L’évaluation TISAX vise à fournir une photographie du niveau de maturité en sécurité de l’information à un instant donné, selon des critères spécifiques à l’automobile. Les résultats TISAX sont exprimés en niveaux d’évaluation (Assessment Levels) qui indiquent le degré de confiance que peuvent avoir les partenaires commerciaux. Contrairement à ISO 27001 qui délivre un certificat binaire (certifié ou non), TISAX produit un rapport détaillé avec des niveaux de conformité par objectif de contrôle, offrant une vision plus granulaire.

Le périmètre d’application constitue une autre différence majeure. ISO 27001 exige généralement une approche globale couvrant l’ensemble de l’organisation ou a minima une unité d’affaires complète. TISAX permet des évaluations par site ou par périmètre défini de manière très flexible. Un équipementier français peut ainsi faire évaluer uniquement son centre de R&D sans inclure ses usines de production, tant que le périmètre correspond aux informations sensibles échangées avec un client spécifique.

Le catalogue VDA ISA compte plus de 110 contrôles répartis en plusieurs domaines, avec des contrôles additionnels sur la protection des prototypes, la sécurisation des zones de développement et la gestion des informations confidentielles spécifiques à l’automobile, contre 93 mesures dans l’annexe A d’ISO 27001.

Pourquoi TISAX est-il obligatoire dans l’automobile ?

Vue d’ensemble des enjeux

L’industrie automobile manipule quotidiennement des volumes considérables d’informations hautement sensibles dont la divulgation pourrait avoir des conséquences stratégiques majeures. La digitalisation croissante amplifie ces risques.

Protection des données et harmonisation des audits

Les données de conception et les plans techniques de nouveaux véhicules représentent plusieurs années d’investissement. Selon une étude de PwC, le développement d’une nouvelle plateforme automobile peut coûter entre 1 et 6 milliards d’euros (source : PwC, 2022).

Les informations commerciales stratégiques constituent un autre actif critique. En 2019, un cas d’espionnage industriel chez un constructeur allemand a révélé que des informations sur les futurs modèles électriques avaient été subtilisées, retardant le lancement de plusieurs mois (source : Reuters, 2019). La digitalisation croissante amplifie ces risques. Les véhicules connectés génèrent des téraoctets de données opérationnelles. En 2023, une faille de sécurité chez un constructeur a permis à des chercheurs d’accéder à distance aux systèmes de plus de 15 millions de véhicules (source : Sam Curry Security Research, 2023).

TISAX a révolutionné ce modèle en introduisant le principe de reconnaissance mutuelle : une seule évaluation TISAX par un auditeur accrédité, enregistrée sur le portail ENX et partagée avec tous les partenaires commerciaux. En 2024, le mécanisme TISAX a permis d’éviter environ 12 000 audits redondants (source : ENX Association, 2024). Les fournisseurs réduisent leurs coûts de mise en conformité de 40 à 60% en moyenne (source : étude Capgemini, 2021).

Les enjeux de la chaîne d’approvisionnement

La chaîne d’approvisionnement automobile présente une complexité sans équivalent. Un véhicule moderne intègre entre 20 000 et 30 000 composants provenant de centaines de fournisseurs répartis sur plusieurs niveaux (source : McKinsey, 2022). Cette fragmentation crée une surface d’attaque considérable où chaque maillon représente un risque potentiel.

Les risques se sont concrétisés à plusieurs reprises. En 2020, une cyberattaque contre un équipementier de rang 1 a compromis des données de conception d’un constructeur japonais, entraînant un arrêt de production de plusieurs jours (source : Nikkei Asia, 2020). En 2022, l’attaque d’un fournisseur de systèmes informatiques a paralysé les livraisons de pièces chez plusieurs constructeurs européens pendant une semaine (source : Automotive News Europe, 2022).

TISAX répond à ces enjeux en établissant un niveau de sécurité minimal pour tous les participants. Les constructeurs peuvent exiger de leurs fournisseurs directs et indirects une évaluation TISAX appropriée au niveau de sensibilité des informations échangées. En 2024, environ 40% des organisations évaluées TISAX sont des fournisseurs de rang 2 ou inférieur (source : ENX Association, 2024), illustrant la diffusion du référentiel au-delà des acteurs majeurs de l’écosystème automobile français et européen.

Comment obtenir une évaluation TISAX ?

Vue d’ensemble du processus

Le mécanisme TISAX repose sur un système structuré définissant la profondeur et la rigueur de l’audit. Le processus d’évaluation suit une méthodologie garantissant cohérence et qualité.

Les niveaux d’évaluation Assessment Levels

Le mécanisme TISAX propose trois niveaux d’évaluation (Assessment Levels) qui définissent le degré d’assurance.

Le niveau AL1 correspond à une auto-évaluation réalisée par l’organisation sans intervention d’un auditeur externe. Ce niveau fournit une première indication mais n’offre qu’une assurance limitée.

Le niveau AL2 constitue le standard le plus couramment exigé. Il implique un audit externe réalisé par un évaluateur indépendant accrédité. L’auditeur examine les preuves documentaires, interroge les personnes clés et réalise des tests de validation par échantillonnage. Environ 70% des évaluations TISAX sont réalisées en AL2 (source : ENX Association, 2023).

Le niveau AL3 représente le niveau d’assurance le plus élevé avec des vérifications additionnelles approfondies. AL3 est requis pour les informations de sensibilité critique. Les zones de développement de prototypes et les centres de R&D optent souvent pour ce niveau.

Une évaluation AL2 coûte généralement entre 15 000 et 40 000 euros, tandis qu’une AL3 peut atteindre 60 000 à 100 000 euros (source : estimations marché 2024).

Les objectifs de contrôle du catalogue ISA

Le catalogue VDA ISA (Information Security Assessment) constitue le référentiel technique de toutes les évaluations TISAX. La version VDA ISA 6.0 comprend plus de 110 objectifs de contrôle répartis en plusieurs domaines (source : VDA, 2023). La structure s’organise autour de grands thèmes alignés sur ISO/IEC 27001 : politique de sécurité, organisation, gestion des actifs, contrôle d’accès, cryptographie, sécurité physique et environnementale.

Le domaine Protection des prototypes constitue une spécificité TISAX sans équivalent dans ISO 27001. Il définit des mesures renforcées pour les environnements manipulant des prototypes physiques : contrôles d’accès biométriques, protection visuelle, gestion stricte des visiteurs et sécurisation des transports. Le domaine Connexion aux données traite des échanges électroniques sécurisés : tunnels chiffrés, authentification mutuelle et sécurité des plateformes cloud. En 2024, environ 65% des échanges de données de conception s’effectuent via des plateformes cloud sécurisées (source : étude Deloitte, 2024).

Le catalogue définit pour chaque objectif plusieurs niveaux de maturité : non implémenté, partiellement implémenté, largement implémenté et complètement implémenté. Pour obtenir une évaluation satisfaisante, la majorité des contrôles applicables doivent être au minimum « largement implémentés ».

Le processus d’audit et la plateforme ENX

Le processus d’évaluation TISAX suit une méthodologie structurée garantissant cohérence et qualité. L’organisation définit précisément le périmètre d’évaluation : site(s) concerné(s), processus inclus, types d’informations et niveau d’évaluation visé. Cette définition de périmètre fait généralement l’objet d’échanges avec les clients pour s’assurer qu’elle correspond à leurs attentes contractuelles.

Elle sélectionne ensuite un auditeur accrédité parmi ceux référencés par l’ENX Association. En 2024, environ 40 organismes d’audit sont accrédités mondialement (source : ENX Association, 2024). Le choix de l’auditeur doit tenir compte de son expérience dans le secteur automobile, sa connaissance des processus industriels, sa disponibilité et ses tarifs.

L’organisation doit préparer un dossier de preuves structuré avant l’audit : politiques de sécurité, procédures, enregistrements, rapports de tests, attestations de formation. Cette préparation documentaire représente souvent plusieurs semaines de travail pour une première évaluation. L’auditeur réalise des entretiens avec les responsables de processus, examine les preuves documentaires, observe les mesures de sécurité physique et technique, effectue des tests de validation et visite les zones sensibles.

Une fois l’évaluation complétée et validée par l’auditeur, les résultats sont enregistrés sur le portail ENX. Chaque évaluation reçoit un identifiant unique, une date d’émission et une date d’expiration (généralement 3 ans). L’organisation contrôle précisément avec quels partenaires elle souhaite partager ses résultats via un système de gestion des autorisations. En 2024, le portail comptait plus de 10 000 organisations actives (source : ENX Association, 2024).

Mise en œuvre opérationnelle de TISAX

Vue d’ensemble de l’implémentation

La réussite d’une démarche TISAX repose sur une gouvernance structurée et un engagement de la direction clairement établi. L’intégration dans les processus métier existants constitue une étape critique.

Gouvernance et organisation interne

La première étape consiste à désigner un responsable TISAX au niveau de l’organisation, généralement le RSSI (Responsable de la Sécurité des Systèmes d’Information) ou un responsable de la conformité réglementaire. Cette personne devient le point de contact unique pour la coordination de toutes les activités liées à TISAX. La mise en place d’un comité de pilotage TISAX s’avère indispensable pour les organisations de taille significative. Ce comité réunit les représentants des différentes fonctions impactées : direction des systèmes d’information, direction industrielle, ressources humaines, juridique, achats et qualité.

Il se réunit mensuellement pendant la phase de préparation pour suivre l’avancement, arbitrer les priorités, valider les investissements nécessaires et lever les blocages organisationnels. L’implication de la direction générale constitue un facteur critique de succès. Le sponsor exécutif doit communiquer régulièrement sur l’importance stratégique de TISAX, notamment son impact sur les relations commerciales avec les constructeurs et le positionnement concurrentiel.

La définition des rôles et responsabilités doit être formalisée dans une matrice RACI (Responsible, Accountable, Consulted, Informed) couvrant l’ensemble des objectifs de contrôle du catalogue VDA ISA. Par exemple, le responsable infrastructure est typiquement « Responsible » pour les contrôles liés à la sécurité réseau, tandis que le RSSI reste « Accountable » pour l’ensemble. L’intégration de TISAX dans les processus métier existants constitue une étape souvent sous-estimée. Plutôt que de créer des processus parallèles dédiés à TISAX, il est plus efficient d’enrichir les processus existants avec les exigences spécifiques.

Le processus de gestion des projets de R&D peut être complété avec une revue de sécurité systématique lors du lancement de tout nouveau projet impliquant des données sensibles client. Le processus d’onboarding des nouveaux collaborateurs peut intégrer une formation de sensibilisation à la cybersécurité et la signature des accords de confidentialité requis par TISAX.

Outils et technologies de support

La mise en conformité TISAX nécessite le déploiement ou l’optimisation de plusieurs outils techniques couvrant les différents domaines du catalogue VDA ISA.

Les organisations doivent déployer une gestion des identités (IAM) avec annuaire centralisé, authentification multi-facteurs (MFA) pour les accès distants et solutions de gestion des accès privilégiés (PAM) pour contrôler les sessions d’administration critiques. La protection des endpoints constitue un pilier de la défense en profondeur avec des solutions EDR (Endpoint Detection and Response) offrant des capacités avancées de détection des menaces, ainsi que le chiffrement des disques durs et la gestion des supports amovibles.

Pour la sécurité réseau, la segmentation via VLANs et pare-feu constitue un contrôle fondamental. Les organisations doivent séparer les réseaux bureautiques (IT) des réseaux industriels (OT), créer des zones DMZ pour les serveurs exposés et isoler les réseaux invités. Les systèmes de détection et prévention d’intrusion (IDS/IPS) surveillent le trafic réseau. La gestion des vulnérabilités nécessite des outils de scanning périodique couplés à un processus de patch management rigoureux garantissant l’application rapide des correctifs de sécurité critiques.

Un SIEM (Security Information and Event Management) centralise les journaux d’événements de sécurité, corrèle les alertes et facilite les investigations. La rétention des logs pendant 12 mois minimum est requise par TISAX pour permettre les analyses forensiques en cas d’incident de sécurité. Les plateformes de partage sécurisé de fichiers volumineux sont indispensables pour échanger les données de conception avec les clients constructeurs. Ces solutions doivent offrir le chiffrement de bout en bout, la gestion granulaire des droits, la traçabilité des téléchargements et la limitation de la durée de vie des liens de partage.

Indicateurs de performance et suivi

Le maintien de la conformité TISAX sur la durée de validité de 3 ans nécessite la mise en place d’indicateurs de performance (KPI) permettant de suivre l’efficacité des mesures de sécurité et d’anticiper les dérives potentielles. Les audits internes périodiques constituent un mécanisme essentiel de vérification continue. Il est recommandé de réaliser au moins un audit interne annuel couvrant un échantillon représentatif des contrôles TISAX, voire un audit complet tous les 18 mois.

Ces audits peuvent être réalisés par une équipe interne indépendante ou par des consultants externes. Ils permettent d’identifier les dérives avant l’audit officiel de renouvellement et de maintenir la vigilance des équipes. Le suivi des dates d’expiration des évaluations TISAX doit faire l’objet d’une attention particulière. Il est conseillé de planifier le renouvellement au moins 6 mois avant l’échéance pour disposer d’une marge de manœuvre en cas d’écarts identifiés lors de l’audit de renouvellement.

Tableau comparatif : TISAX vs ISO 27001 vs ISA/IEC 62443

Les équipementiers automobiles français et européens doivent souvent naviguer entre plusieurs référentiels de cybersécurité. Le tableau suivant permet de comparer rapidement leurs caractéristiques principales.

Critère	TISAX	ISO/IEC 27001	ISA/IEC 62443
Type	Évaluation sectorielle	Certification internationale	Certification/évaluation OT
Secteur cible	Industrie automobile	Tous secteurs	Systèmes de contrôle industriels
Périmètre	Par site ou projet flexible	Organisation ou unité complète	Environnements OT/IACS
Nombre de contrôles	110+ (catalogue VDA ISA)	93 (Annexe A)	Variable selon série
Durée de validité	3 ans (sans surveillance)	3 ans (avec audits annuels)	3 ans (selon schéma)
Reconnaissance	Écosystème automobile mondial	Mondiale tous secteurs	Industrie, énergies, infrastructures
Contrôles spécifiques	Prototypes, données conception	SMSI générique	Segmentation OT, zones/conduits
Organisme gestionnaire	ENX Association	ISO/IEC	ISA + IEC
Surveillance continue	Non (responsabilité interne)	Oui (audits annuels obligatoires)	Variable selon schéma
Adapté équipementiers français	Obligatoire pour clients OEM	Recommandé (base solide)	Essentiel si production OT

Ce tableau comparatif illustre la complémentarité de ces trois référentiels. TISAX répond aux exigences commerciales des clients constructeurs, ISO 27001 démontre une maturité globale du système de management de la sécurité, et ISA/IEC 62443 adresse spécifiquement la cybersécurité OT des environnements de production industriels.

TISAX pour les équipementiers : enjeux OT/IoT spécifiques

Vue d’ensemble de la convergence IT/OT

La transformation numérique de l’automobile a engendré une convergence entre technologies de l’information (IT) et technologies opérationnelles (OT) embarquées. Les équipementiers automobiles font face à des défis spécifiques nécessitant une approche intégrée.

Systèmes embarqués et véhicules connectés

Un véhicule moderne intègre entre 70 et 150 calculateurs électroniques (ECU) qui gèrent des fonctions critiques allant du freinage à la direction assistée (source : Continental, 2023). Les équipementiers automobiles développant des composants électroniques font face à un double défi. Ils doivent protéger leurs environnements de développement conformément à TISAX, tout en garantissant que les produits livrés ne comportent pas de vulnérabilités exploitables. Cette seconde dimension relève de la cybersécurité produit et s’inscrit dans les exigences du Cyber Resilience Act.

Les véhicules connectés amplifient ces enjeux. En 2024, plus de 85% des véhicules neufs vendus en Europe disposent d’une connectivité cellulaire intégrée (source : ACEA, 2024). Cette connectivité expose de nouvelles surfaces d’attaque. En 2023, une vulnérabilité dans un système télématique a permis d’accéder à distance à plus de 10 millions de véhicules (source : Pen Test Partners, 2023). En 2015, la prise de contrôle à distance d’un véhicule a déclenché le rappel de 1,4 million de véhicules (source : Wired, 2015).

Ces incidents illustrent la nécessité d’une approche de cybersécurité par conception (security by design) dès les phases de développement des systèmes embarqués. Les équipementiers doivent articuler leurs exigences TISAX avec la norme ISO 21434 (cybersécurité des véhicules routiers) pour couvrir à la fois la protection des données de conception et la résilience cyber des produits livrés. Le développement d’ECU sécurisés nécessite l’implémentation de threat modeling (modélisation des menaces), de revues de code sécurisé, de tests de pénétration et d’intégration de mécanismes cryptographiques robustes.

La gestion des mises à jour OTA (Over-The-Air) doit respecter les exigences de confidentialité TISAX tout en garantissant l’authenticité et l’intégrité des mises à jour déployées sur les véhicules en circulation. Les fabricants de calculateurs embarqués doivent également établir des processus de gestion des vulnérabilités tout au long du cycle de vie produit.

Sécurisation des environnements de production

Les sites de production automobile combinent des équipements industriels connectés, des systèmes informatiques de gestion et des zones de manipulation d’informations sensibles. Les lignes de production automatisées intègrent des automates programmables (PLC), des systèmes de supervision (SCADA) et des robots industriels. En 2024, environ 78% des sites de production automobile en Europe ont engagé des initiatives Industrie 4.0 (source : étude Roland Berger, 2024).

Cette convergence IT/OT crée de nouvelles vulnérabilités. En 2022, une cyberattaque a paralysé les lignes de production d’un équipementier pendant 72 heures en chiffrant les serveurs MES (source : Usine Digitale, 2022). L’application des principes de la norme ISA/IEC 62443 de segmentation réseau et de défense en profondeur devient complémentaire aux contrôles TISAX. Les réseaux industriels doivent être isolés des réseaux bureautiques, avec des zones de sécurité définies (cellules, zones de supervision, DMZ industrielle) et des conduits contrôlés entre ces zones.

La protection des données de conception circulant dans les environnements de production constitue un pont entre TISAX et la cybersécurité OT. Les fichiers de CAO transmis aux machines-outils à commande numérique contiennent des informations sensibles qui doivent être protégées conformément à TISAX, tout en garantissant que les systèmes OT ne peuvent servir de vecteur d’exfiltration. Les équipementiers doivent établir des procédures strictes pour le transfert de données de conception vers les environnements OT : validation des fichiers, traçabilité des transferts, limitation des accès et surveillance des flux sortants. Les postes d’ingénierie connectés aux réseaux industriels nécessitent un durcissement spécifique et une gestion des accès renforcée.

Enjeux spécifiques pour les centres d’essais et prototypage

Les centres d’essais et de prototypage présentent des enjeux particuliers combinant protection physique et sécurité numérique. Ces environnements manipulent simultanément des prototypes physiques de haute valeur et des données de conception numériques critiques. Les zones de tests de prototypes doivent implémenter des contrôles d’accès biométriques pour limiter strictement l’accès aux personnels autorisés. La protection visuelle est cruciale : films occultants sur les vitres, zones interdites de photographie clairement signalées, et procédures strictes de confiscation temporaire des appareils photo et smartphones lors des visites.

La gestion stricte des visiteurs clients nécessite un accompagnement permanent par un collaborateur autorisé, l’enregistrement détaillé de tous les accès avec identification et objet de la visite, et la limitation des zones accessibles selon le niveau de confidentialité. La vidéosurveillance avec conservation des enregistrements pendant la durée requise par le catalogue VDA ISA permet la traçabilité et les investigations en cas d’incident.

La sécurisation des transports de prototypes entre sites représente un défi logistique majeur. Les équipementiers doivent utiliser des véhicules sécurisés avec compartiments fermés et verrouillés, planifier des itinéraires confidentiels non divulgués à l’avance, et implémenter un tracking GPS en temps réel des convois. Les procédures de destruction sécurisée des prototypes en fin de projet constituent un contrôle spécifique TISAX : broyage des composants physiques, effacement sécurisé des données embarquées dans les ECU, et documentation complète du processus de destruction.

Une approche intégrée combinant TISAX pour la sécurité informationnelle et ISA/IEC 62443 pour la cybersécurité OT permet de couvrir l’ensemble de la surface d’attaque dans les environnements industriels français et européens.

TISAX et les nouvelles réglementations européennes

Vue d’ensemble des convergences réglementaires

Le paysage réglementaire européen connaît une évolution majeure avec l’entrée en vigueur de plusieurs textes impactant l’industrie automobile française et européenne.

La directive NIS 2 (Network and Information Security 2), entrée en vigueur en janvier 2023, redéfinit les obligations de cybersécurité pour les secteurs critiques dont l’automobile.

Le Cyber Resilience Act (CRA), adopté en mars 2024, introduit des exigences de cybersécurité pour les fabricants de produits numériques commercialisés dans l’Union européenne.

Le Règlement Machine, applicable à partir de 2027, intègre des exigences cyber dans le cadre de la sécurité des machines comportant des éléments numériques.

NIS 2 classe l’automobile parmi les secteurs hautement critiques. Les constructeurs et principaux équipementiers relèvent du statut d’entités essentielles. En France, on estime qu’entre 200 et 300 organisations du secteur automobile pourraient être assujetties à NIS 2 (source : ANSSI, 2024). La directive impose des mesures de gestion des risques cyber, incluant la sécurité des réseaux, la gestion des incidents, la continuité d’activité et la sécurité de la chaîne d’approvisionnement.

Le Cyber Resilience Act cible les fabricants de produits numériques commercialisés dans l’UE. Dans l’automobile, cela englobe les calculateurs électroniques, les systèmes d’infodivertissement et les systèmes d’aide à la conduite. Les fabricants doivent concevoir leurs produits sans vulnérabilités connues et assurer la résilience cyber sur l’ensemble du cycle de vie produit (minimum 5 ans de support sécurité).

Le Règlement Machine introduit des exigences de cybersécurité pour les machines comportant des éléments numériques. Les fabricants doivent évaluer les risques cyber et intégrer des mesures de protection dès la conception. Le marquage CE devient obligatoire avec démonstration de conformité aux exigences essentielles de sécurité incluant la dimension cyber.

Implications pour les équipementiers français

L’articulation entre TISAX et ces nouvelles réglementations crée des obligations complémentaires pour les équipementiers automobiles français et européens. TISAX répond aux exigences commerciales des clients constructeurs. Les réglementations imposent des obligations légales avec des sanctions dissuasives : jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires pour NIS 2, jusqu’à 15 millions d’euros ou 2,5% du CA pour le CRA.

La dimension chaîne d’approvisionnement constitue un pont entre NIS 2 et TISAX. La directive impose d’évaluer les risques cyber des fournisseurs et sous-traitants. TISAX peut servir de mécanisme d’évaluation acceptable, contribuant à la conformité réglementaire NIS 2. Cependant, TISAX ne couvre pas tous les aspects de la résilience cyber exigés par NIS 2, notamment la continuité d’activité et la notification d’incidents de sécurité aux autorités (ANSSI en France).

Le CRA introduit une dimension de cybersécurité produit absente de TISAX. Un équipementier peut avoir une excellente évaluation TISAX tout en livrant des produits comportant des vulnérabilités si son processus de développement n’intègre pas les pratiques de security by design. Le CRA impose la création d’un PSIRT (Product Security Incident Response Team) pour gérer les vulnérabilités sur l’ensemble du cycle de vie produit et notifier à l’ANSSI toute vulnérabilité activement exploitée dans un délai de 24 heures.

Pour les équipementiers fabricants de machines, le Règlement Machine ajoute une troisième couche d’exigences. Une approche holistique devient nécessaire pour les organisations françaises et européennes : TISAX pour la sécurité informationnelle, NIS 2 pour la résilience organisationnelle, CRA pour la cybersécurité des produits, ISA/IEC 62443 pour la sécurité OT des environnements de production et le Règlement Machine pour la sécurité des équipements industriels.

Checklist : 10 actions clés pour préparer votre évaluation TISAX

Chaque action présentée ci-dessous doit faire l’objet d’une analyse de risque préalable spécifique à votre contexte organisationnel, technique et opérationnel. Les mesures de sécurité doivent être proportionnées aux risques identifiés et adaptées aux contraintes de votre environnement industriel.

1. Définir précisément le périmètre et le niveau visé

Identifiez les sites, processus et informations couvertes par l’évaluation. Clarifiez le niveau d’évaluation (AL2 ou AL3) attendu par vos clients constructeurs. Documentez les flux d’informations sensibles et les interfaces avec les partenaires.

Pour les sites combinant R&D et production, délimitez clairement les zones OT incluses dans le périmètre TISAX. Cartographiez les flux de données de conception entre les environnements de développement et les lignes de production automatisées.

2. Réaliser un gap analysis VDA ISA

Téléchargez le catalogue VDA ISA depuis le site du VDA et conduisez une auto-évaluation complète. Identifiez les écarts par rapport aux objectifs de contrôle et priorisez les contrôles obligatoires selon votre activité. Estimez les investissements nécessaires.

Portez une attention particulière aux contrôles spécifiques automobile : protection des prototypes, sécurisation des transports, gestion des visiteurs en zones sensibles. Évaluez spécifiquement les exigences de segmentation réseau IT/OT et de protection des postes d’ingénierie connectés aux systèmes industriels.

3. Établir la politique de sécurité de l’information

Formalisez une politique de sécurité approuvée par la direction générale définissant les principes fondamentaux, les rôles et responsabilités, et les règles applicables à tous les collaborateurs.

Déclinez cette politique en procédures opérationnelles détaillées couvrant les spécificités de vos environnements de production et zones de développement. Incluez des procédures spécifiques pour la gestion des prototypes, le transfert sécurisé de fichiers de conception vers les machines-outils, et les protocoles de destruction en fin de projet.

4. Mettre en œuvre les contrôles d’accès physiques et logiques

Renforcez les accès physiques avec badges RFID, biométrie pour les zones sensibles, registres des visiteurs et vidéosurveillance des zones de prototypes. Déployez l’authentification multi-facteurs, appliquez le principe du moindre privilège et tracez tous les accès aux données sensibles.

Implémentez des contrôles spécifiques pour les postes d’ingénierie connectés aux réseaux industriels : isolation réseau, durcissement des configurations, surveillance renforcée des accès aux systèmes de contrôle et aux fichiers de données de conception.

5. Sécuriser les développements OT et systèmes embarqués

Si vous développez des composants embarqués ou des systèmes de contrôle industriels, implémentez des pratiques de security by design alignées sur ISA/IEC 62443-4-1. Réalisez une modélisation des menaces (threat modeling) et des revues de code sécurisé.

Établissez un processus de gestion des vulnérabilités produit avec PSIRT si vous êtes soumis au Cyber Resilience Act. Documentez vos procédures de développement sécurisé des ECU et des calculateurs embarqués, incluant les tests de pénétration et la validation cryptographique.

6. Implémenter le chiffrement des données

Déployez TLS 1.2+ minimum pour tous les échanges réseau, VPN IPsec pour les connexions distantes, AES-256 pour le chiffrement des disques et supports amovibles. Gérez rigoureusement les clés cryptographiques avec rotation périodique et séparation des responsabilités.

Sécurisez les transferts de données de conception vers les environnements OT avec chiffrement de bout en bout. Implémentez des tunnels chiffrés pour les échanges avec les plateformes cloud de vos clients constructeurs et assurez l’authentification mutuelle des systèmes communicants.

7. Établir la gestion des incidents de sécurité

Formalisez des procédures de détection, classification, réponse et récupération pour les incidents de sécurité. Définissez les circuits d’escalade et les délais de réaction. Réalisez des exercices de crise cyber semestriels pour tester l’efficacité du dispositif.

Intégrez les obligations de notification NIS 2 si votre organisation est classée entité essentielle. Préparez des scénarios d’incident spécifiques à l’automobile : fuite de données de prototypes, compromission de systèmes de production, et cyberattaque sur les environnements de développement.

8. Gérer rigoureusement les accès tiers et fournisseurs

Évaluez la maturité en cybersécurité de vos prestataires et sous-traitants critiques. Incluez des clauses de confidentialité et de sécurité dans tous les contrats. Supervisez leurs interventions avec des comptes temporaires à durée de vie limitée et journalisation des actions.

Exigez des évaluations TISAX de vos fournisseurs manipulant des informations sensibles clients. Établissez une matrice de criticité de vos sous-traitants selon le niveau de sensibilité des données échangées et adaptez les contrôles de supervision en conséquence.

9. Segmenter et sécuriser les réseaux IT/OT

Implémentez une segmentation réseau stricte entre environnements IT et OT conformément à ISA/IEC 62443. Créez des zones de sécurité (cellules, zones de supervision, DMZ industrielle) avec contrôles d’accès entre zones.

Déployez des IDS/IPS industriels adaptés aux protocoles OT. Protégez les postes d’ingénierie avec durcissement et isolation. Surveillez spécifiquement les flux de données de conception circulant entre IT et OT, et implémentez des passerelles de sécurité (data diodes) pour les environnements critiques.

10. Former et sensibiliser le personnel

Déployez un programme de sensibilisation à la cybersécurité couvrant les menaces actuelles (phishing, ingénierie sociale), les bonnes pratiques quotidiennes et les règles de sécurité spécifiques. Réalisez des campagnes de phishing simulé trimestrielles.

Formez spécifiquement les développeurs aux pratiques de code sécurisé et les opérateurs OT aux risques cyber industriels. Incluez des formations ciblées sur les exigences TISAX spécifiques : manipulation des prototypes, gestion des visiteurs, procédures de destruction, et sécurisation des transports entre sites.

FAQ : 8 questions fréquentes sur TISAX

Quelle est la durée de validité d’une évaluation TISAX ?

Une évaluation TISAX est valide pendant 3 ans à compter de l’enregistrement sur le portail ENX. Contrairement à ISO 27001, il n’y a pas d’audit de surveillance annuel obligatoire. Il est conseillé de planifier le renouvellement 6 mois avant l’expiration.

TISAX est-il reconnu en dehors de l’Europe ?

Bien que développé initialement pour l’industrie automobile européenne, TISAX s’étend progressivement au niveau mondial. Les constructeurs américains et asiatiques avec opérations en Europe acceptent généralement TISAX comme preuve de sécurité de l’information. En 2024, environ 25% des organisations enregistrées sur le portail ENX sont situées hors d’Europe (source : ENX Association, 2024).

Combien coûte une évaluation TISAX ?

Pour une évaluation AL2 sur un site moyen, les honoraires de l’auditeur se situent entre 10 000 et 50 000 euros. Une évaluation AL3 peut atteindre 50 000 à 100 000 euros. À ces coûts directs s’ajoutent les investissements internes nécessaires pour la mise en conformité.

TISAX remplace-t-il ISO 27001 ?

TISAX et ISO 27001 sont complémentaires, non substituables. ISO 27001 est une certification internationale générique applicable à tous secteurs, démontrant la mise en place d’un système de management de la sécurité de l’information complet. TISAX est une évaluation sectorielle spécifique à l’automobile, axée sur la protection des informations sensibles échangées dans la chaîne d’approvisionnement. Une organisation certifiée ISO 27001 dispose d’une base solide pour TISAX car environ 80% des contrôles ISA dérivent d’ISO 27001, mais devra compléter avec les exigences spécifiques automobile (prototypes, connexions données).

TISAX s’applique-t-il aux fournisseurs de rang 2 et 3 ?

L’exigence TISAX se diffuse effectivement au-delà des fournisseurs de rang 1. Lorsqu’un équipementier échange des informations sensibles avec ses sous-traitants de rang 2, ces derniers doivent généralement obtenir une évaluation TISAX appropriée. Le niveau d’évaluation requis dépend de la sensibilité des informations. En 2024, environ 40% des organisations enregistrées TISAX sont de rang 2 ou inférieur (source : ENX Association, 2024).

Comment TISAX s’articule-t-il avec NIS 2 et le CRA ?

TISAX, NIS 2 et le Cyber Resilience Act constituent trois cadres complémentaires avec des objectifs distincts. TISAX se concentre sur la sécurité informationnelle et la protection des données sensibles échangées dans la chaîne d’approvisionnement automobile. NIS 2 impose une résilience cyber globale de l’organisation incluant continuité d’activité, gestion des incidents et notification aux autorités. Le CRA exige la cybersécurité produit avec gestion des vulnérabilités sur l’ensemble du cycle de vie. Un équipementier français peut être simultanément soumis aux trois cadres. Une approche intégrée est nécessaire pour éviter la duplication d’efforts.

Quelles spécificités pour les développeurs de calculateurs embarqués ?

Les développeurs de calculateurs électroniques et systèmes embarqués font face à des exigences spécifiques. Au-delà de la protection de leurs environnements de développement (TISAX), ils doivent garantir la cybersécurité des produits livrés. Cela implique l’implémentation de pratiques de security by design dès la conception : modélisation des menaces, revues de code sécurisé, tests de sécurité, intégration de mécanismes de protection. Le Cyber Resilience Act impose la création d’un PSIRT pour gérer les vulnérabilités découvertes après la mise sur le marché et notifier les incidents dans des délais stricts.

Comment gérer les mises à jour de sécurité sur les automates en production sans compromettre TISAX ?

La gestion des correctifs de sécurité sur les systèmes industriels doit être documentée dans votre démarche TISAX. Établissez des fenêtres de maintenance planifiées, testez les patches en environnement de qualification miroir, et maintenez une matrice de criticité priorisant les vulnérabilités selon leur exposition. Documentez votre processus de patch management OT incluant : évaluation de l’impact sur la production, tests préalables, procédure de rollback, et validation post-déploiement. Les auditeurs TISAX vérifieront la cohérence entre votre politique de sécurité et son application effective dans les environnements industriels.

Conclusion

TISAX s’est imposé en moins d’une décennie comme le référentiel incontournable de sécurité de l’information pour l’industrie automobile française et européenne. Son adoption par plus de 3 500 organisations témoigne de sa pertinence pour protéger les données sensibles dans une chaîne d’approvisionnement globalisée. Le mécanisme de reconnaissance mutuelle a permis d’éliminer des milliers d’audits redondants tout en élevant le niveau de maturité en cybersécurité global du secteur. L’évolution du paysage réglementaire européen avec NIS 2, le Cyber Resilience Act et le Règlement Machine crée de nouvelles contraintes pour les équipementiers automobiles français.

TISAX s’inscrit désormais dans un ensemble plus large d’obligations couvrant la résilience organisationnelle, la cybersécurité produit et la sécurité des machines industrielles. Les équipementiers doivent adopter une approche holistique combinant la protection informationnelle TISAX, la cybersécurité industrielle ISA/IEC 62443 et la conformité réglementaire européenne. Pour les organisations débutant leur démarche TISAX, le succès réside dans une préparation méthodique, un engagement de la direction et une vision intégrée des enjeux IT/OT. La convergence des technologies de l’information et des technologies opérationnelles, l’essor des véhicules connectés et l’intensification des menaces cyber rendent ces investissements en cybersécurité critiques pour la pérennité des acteurs de la filière automobile.

Pour aller plus loin

Guide officiel TISAX de l’ENX Association https://portal.enx.com/en-US/tisax/

Catalogue VDA ISA – Information Security Assessment https://www.vda.de/en/topics/safety-and-standards/information-security/information-security-assessment

Norme ISO/IEC 27001 – Systèmes de management de la sécurité de l’information https://www.iso.org/fr/standard/27001

Directive NIS 2 – Sécurité des réseaux et des systèmes d’information dans l’Union https://www.ssi.gouv.fr/entreprise/reglementation/confiance-numerique/la-directive-nis-2/

Cyber Resilience Act – Règlement européen sur la cybersécurité des produits https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act

Norme ISA/IEC 62443 – Cybersécurité des systèmes industriels https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards

ANSSI – Guide d’hygiène informatique https://www.ssi.gouv.fr/guide/guide-dhygiene-informatique/

Règlement Machine – Sécurité des machines avec éléments numériques https://single-market-economy.ec.europa.eu/sectors/mechanical-engineering/machinery-regulation_en