En mai 2026, le compte à rebours est engagé : il reste moins de neuf mois avant que le Règlement (UE) 2023/1230 ne remplace définitivement la Directive Machines 2006/42/CE. Pourtant, dans la majorité des PMI que nous rencontrons, la lecture de ce texte n'a pas encore commencé.
Ce n'est pas un règlement anecdotique. Il redéfinit qui est fabricant, ce qu'est une modification substantielle, ce que doit contenir un dossier technique - et, pour la première fois, il intègre la cybersécurité et l'intelligence artificielle dans le champ des exigences essentielles de sécurité.
Du règlement au terrain : cinq ruptures majeures avec la Directive 2006/42/CE
Avant de détailler les obligations, il faut identifier ce qui change vraiment. La Directive Machines 2006/42/CE avait ses faiblesses structurelles : rédigée avant l'industrie connectée, elle ne couvrait ni les logiciels, ni la cybersécurité, ni l'IA. Elle laissait une large marge d'interprétation sur la notion de « modification ». Le Règlement 2023/1230 comble ces lacunes - et renforce les obligations qui existaient déjà.
La modification substantielle : le point névralgique pour les exploitants
La définition de la modification substantielle à l'Art. 3§16 est sans doute la disposition la plus importante du Règlement 2023/1230 pour les exploitants industriels. Elle détermine si vous continuez à être simplement « exploitant » ou si vous devenez « fabricant » aux yeux du droit - avec toutes les obligations que cela implique.
Qualifier une modification : la question centrale
La qualification d'une modification comme « substantielle » ou non n'est pas un exercice administratif. C'est une analyse technique et juridique en trois temps :
Test 1
La modification est-elle prévue par le fabricant initial ?
Si la modification est explicitement couverte par la notice d'instructions ou le dossier technique du fabricant (ex : changement d'outil dans la plage d'usage prévu, réglage dans les limites définies), elle ne constitue pas une modification substantielle. Si elle sort de ce cadre, passez au test 2.
Test 2
La modification crée-t-elle un nouveau danger ou augmente-t-elle un risque existant ?
Si la modification n'affecte pas le niveau de risque initial - par exemple, un remplacement à l'identique d'un composant usé - elle n'est pas substantielle sur ce critère. Si elle crée un phénomène dangereux nouveau (accès à une zone précédemment inaccessible, augmentation d'énergie, nouveau risque électrique) ou aggrave un risque documenté, passez au test 3.
Test 3
Le risque créé ou aggravé est-il au-delà du niveau de risque acceptable initial ?
C'est le critère décisif de l'Art. 3§16. Si le risque résiduel après la modification dépasse le niveau acceptable documenté dans le dossier technique initial, la modification est substantielle. Cette comparaison exige d'avoir accès au dossier technique original - ce qui illustre l'importance de la traçabilité documentaire tout au long du cycle de vie de la machine.
Tableau comparatif : Directive 2006/42/CE vs Règlement 2023/1230
Cybersécurité des machines : ce que l'Annexe III §1.1.9 impose réellement
L'introduction de la cybersécurité dans les exigences essentielles de sécurité n'est pas symbolique. Elle traduit une réalité de terrain : de plus en plus de machines intègrent des systèmes de commande communicants, des automates connectés au réseau d'entreprise, des interfaces de mise à jour à distance. Ces connexions créent des vecteurs d'attaque qui n'existaient pas il y a dix ans.
Périmètre de l'exigence
L'Annexe III §1.1.9 ne s'applique pas à toutes les machines sans distinction. Elle cible les machines dont la sécurité peut être affectée par une altération non autorisée de leur logiciel. Ce critère de sélection est fonctionnel : si une modification du logiciel embarqué peut déclencher un mouvement dangereux, supprimer une barrière de sécurité logicielle ou désactiver un arrêt d'urgence, l'exigence s'applique.
L'ISO 12100 et la révision en cours : ce qu'il faut savoir
L'ISO 12100:2010 reste à ce jour la norme harmonisée centrale pour l'évaluation des risques machine - et sa présomption de conformité est maintenue sous le Règlement 2023/1230. Cependant, une révision de l'ISO 12100 est en cours de développement au sein de l'ISO/TC 199, avec un calendrier de publication attendu autour de 2026-2027.
Les chiffres de l'enjeu
Ce que le Règlement 2023/1230 ne change pas - et pourquoi c'est important
Clarifier ce qui change ne doit pas faire oublier ce qui reste identique. Plusieurs obligations fondamentales demeurent inchangées sous le Règlement 2023/1230 :
Comment ASI Industrie prépare les industriels au Règlement 2023/1230
La méthode MESP© - Mise en Sécurité Productive est la réponse opérationnelle d'ASI Industrie aux enjeux du Règlement 2023/1230. Elle couvre l'intégralité de la chaîne de mise en conformité, du diagnostic initial jusqu'à l'émission de la déclaration UE de conformité et à la mise à jour du DUERP exploitant.
« Anticiper le Règlement 2023/1230, c'est d'abord connaître l'état réel de son parc. Aucune stratégie de mise en conformité ne peut être bâtie sur un inventaire approximatif. »
Phase 1 - Diagnostic MESP©
Cartographie réglementaire complète du parc
Audit terrain de chaque machine et de chaque ligne de production : identification des non-conformités au regard de la Directive 2006/42/CE (texte applicable), qualification des modifications existantes au regard de l'Art. 3§16 (substantielles ou non), évaluation préliminaire des risques selon ISO 12100. Livrable : rapport d'orientations à solution hiérarchisées par criticité réglementaire et opérationnelle.
Phase 2 - Études et Réalisation
Évaluation complète des risques, dossier technique, intégration
Évaluation des risques machine complète selon ISO 12100 - identification des phénomènes dangereux, estimation et évaluation du risque, réduction par les trois niveaux de la hiérarchie. Calculs PLr selon EN ISO 13849-1 et SIL selon IEC 62061 pour les fonctions de sécurité. Couverture cybersécurité selon IEC 62443 si pertinent. Constitution du dossier technique, émission de la déclaration UE de conformité. ASI Industrie assume la responsabilité technique et juridique de la Phase 2.
Livrable final
Cohérence documentaire garantie : dossier technique + DUERP + plan de prévention
Le dossier technique CE, la déclaration UE de conformité et la mise à jour du DUERP exploitant sont produits en cohérence. Les risques résiduels formalisés dans le dossier technique constituent la donnée d'entrée directe du document unique. L'employeur dispose d'un corpus documentaire opposable - face à l'Inspection du Travail comme face à son assureur.
FAQ - Questions fréquentes sur le Règlement (UE) 2023/1230
Quelle est la différence entre le Règlement 2023/1230 et la Directive Machines 2006/42/CE ?
Le Règlement 2023/1230 est directement applicable dans tous les États membres au 20 janvier 2027, sans transposition nationale. Sur le fond, il étend le champ d'application aux machines pilotées par IA (Art. 3§1 + Annexe I §22), introduit des exigences de cybersécurité (Annexe III §1.1.9), définit textuellement la modification substantielle (Art. 3§16), et autorise le dossier technique sous format entièrement numérique (Annexe IV). Les machines en service avant le 20 janvier 2027 restent soumises à la Directive 2006/42/CE pour leur état d'origine, sauf modification substantielle postérieure.
Qu'est-ce qu'une modification substantielle selon le Règlement 2023/1230 ?
L'Art. 3§16 la définit comme toute modification - physique ou numérique, y compris via mise à jour logicielle - non prévue par le fabricant initial, qui crée un nouveau danger ou augmente un risque existant au-delà du niveau de risque acceptable initial. En cas de modification substantielle, l'entité qui la réalise est assimilée à un fabricant (Art. 10) et doit mener une évaluation complète des risques, constituer un dossier technique, émettre une déclaration UE de conformité et apposer le marquage CE avant toute remise en service.
Le Règlement 2023/1230 s'applique-t-il aux machines déjà en service avant le 20 janvier 2027 ?
Non, pour leur état d'origine. Une machine mise en service sous la Directive 2006/42/CE reste soumise à ce texte pour sa conformité initiale. Cependant, toute modification substantielle réalisée après le 20 janvier 2027 la fait basculer intégralement sous le Règlement 2023/1230. Par ailleurs, les prescriptions minimales de sécurité du Code du travail (Art. L4321-1 et décret 93-41) s'appliquent en permanence à toutes les machines en service, indépendamment du texte de mise sur le marché.
Quelles exigences de cybersécurité le Règlement 2023/1230 impose-t-il ?
L'Annexe III §1.1.9 impose que les machines dont la sécurité peut être affectée par une altération non autorisée de leur logiciel soient conçues pour résister à ces altérations. Cette exigence cible les systèmes de commande embarqués, les interfaces de communication et les fonctions de mise à jour à distance. Elle s'articule avec le Cyber Resilience Act (CRA) pour les composants logiciels. La série IEC 62443 constitue le cadre technique de référence pour les systèmes d'automatisation industriels.
Les machines que je fabrique en interne pour mon propre usage sont-elles concernées ?
Oui. L'Art. 10 du Règlement 2023/1230 s'applique à toute personne physique ou morale qui assemble ou modifie substantiellement une machine - y compris pour usage propre. Une machine fabriquée en interne (convoyeur, poste d'assemblage semi-automatisé, machine de process) exige : dossier technique complet, évaluation de la conformité, déclaration UE de conformité et marquage CE avant toute mise en service. Cette obligation existait déjà sous la Directive 2006/42/CE - elle est simplement plus précisément encadrée.
La norme ISO 12100 va-t-elle être révisée avant l'application du Règlement 2023/1230 ?
Une révision de l'ISO 12100:2010 est en cours au sein de l'ISO/TC 199, avec un calendrier de publication attendu autour de 2026-2027. À la date de publication de cet article (mai 2026), la norme révisée n'est pas encore disponible. L'ISO 12100:2010 reste donc le référentiel applicable et sa présomption de conformité est maintenue sous le Règlement 2023/1230. ASI Industrie effectue une veille active et mettra à jour cet article lors de la publication.
Articles connexes
Logigramme opérationnel
Gestion des modifications de machines : qualifier une modification et ses conséquences réglementaires
Voir le logigramme - La chaîne de décision complète pour déterminer si votre modification est substantielle et identifier les obligations applicables.
Comparatif de référence
Analyse des risques machine, évaluation des risques machine, EVRP et DUERP : le comparatif complet
Voir le comparatif - Quatre notions, deux univers juridiques, deux responsables. La confusion entre ces termes a des impacts directs en termes de responsabilité pénale.
Performance et conformité
Lean manufacturing et conformité machine : comment sécuriser vos gains de productivité
Lire l'article - Quelles actions Lean déclenchent une obligation de remise en conformité CE ? Le guide opérationnel par ASI Industrie.
En synthèse : moins de neuf mois pour prendre de l'avance
Le Règlement (UE) 2023/1230 entre en application le 20 janvier 2027. Pour les machines neuves mises sur le marché à compter de cette date, il se substitue intégralement à la Directive 2006/42/CE. Ses apports majeurs - définition légale de la modification substantielle, exigences de cybersécurité, prise en compte de l'IA, applicabilité directe sans transposition - ne sont pas des ajustements mineurs. Ils redessinent le périmètre des obligations du fabricant et les contours de la responsabilité de l'exploitant.
Les industriels qui anticipent aujourd'hui disposent d'un avantage structurel : ils peuvent planifier les arrêts machine, co-concevoir les solutions avec leurs équipes méthodes et étaler l'investissement. Ceux qui attendent feront face à une mise en conformité réactive, sous contrainte de délai et d'urgence - soit le scénario le plus coûteux.
La méthode MESP© d'ASI Industrie est conçue pour transformer cette contrainte réglementaire en performance industrielle durable. Un diagnostic, un dossier technique complet, une déclaration UE de conformité, un DUERP à jour - et une responsabilité juridique assumée de bout en bout.