Normes automobiles — la checklist de conformité pour OEM et fournisseurs

Peu de secteurs ont autant de règles que l’automobile. Un véhicule doit obtenir sa réception par type, son électronique doit être fonctionnellement sûre et protégée contre les attaques, son logiciel doit naître de processus traçables et ses pièces doivent être fabriquées avec une qualité constante. Pour chacune de ces exigences il existe une norme — et les constructeurs (OEM) répercutent la plupart d’entre elles sur leurs fournisseurs.

Personne n’a besoin de toutes. Les normes automobiles qui concernent une entreprise dépendent de ce qu’elle livre : pièces de série, calculateurs, logiciels, prestations d’ingénierie ou services pour lesquels elle traite des données confidentielles d’un constructeur. Cet article classe les principales normes par thème et se termine par une checklist qui vous permet de déterminer les vôtres.

Loi, contrat, état de l’art — pourquoi les normes automobiles s’appliquent

Les normes du secteur s’appliquent pour trois raisons différentes, et la différence décide de ce qui se passe quand l’une manque :

• Loi et réception par type. Les règlements ONU R155 et R156 conditionnent la réception par type ; le RGPD s’applique à tout traitement de données personnelles. Sans eux, un véhicule n’est pas immatriculé, ou la loi est enfreinte.
• Contrat. TISAX, Automotive SPICE, IATF 16949 ou les exigences de groupe d’un constructeur comme KGAS ne sont pas des lois. Ils sont convenus dans les contrats de fourniture et les cahiers des charges — et sans eux, pas de commande.
• État de l’art. Aucune loi n’impose directement ISO 26262 ou ISO/SAE 21434. Mais elles décrivent ce qui passe pour un développement diligent — lors de la réception, dans les contrats et en cas de mise en cause de la responsabilité.

Les normes automobiles en un coup d’œil

Sécurité de l’information : TISAX et ISO 27001

TISAX

TISAX (Trusted Information Security Assessment Exchange) est le mécanisme d’évaluation et d’échange du secteur automobile pour la sécurité de l’information. Il a été introduit par l’association allemande de l’industrie automobile (VDA) et est géré depuis 2017 par l’ENX Association. Il repose sur le catalogue VDA ISA (Information Security Assessment), avec des parties consacrées à la sécurité de l’information, à la protection des prototypes et à la protection des données.

TISAX concerne toute entreprise qui traite des informations confidentielles d’un constructeur — données de conception, prototypes, véhicules d’essai —, quel que soit son rang dans la chaîne d’approvisionnement. Un prestataire d’audit agréé réalise l’assessment, au niveau 2 ou 3 selon le besoin de protection. Le résultat est un label TISAX, valable trois ans, partagé avec les partenaires via la plateforme ENX. Ce n’est pas un certificat, même si le secteur l’appelle souvent ainsi. Les assessments commandés à partir de 2027 utilisent le nouveau catalogue ISA 2027.

ISO/IEC 27001

ISO/IEC 27001 n’est pas une norme automobile, mais la norme internationale des systèmes de management de la sécurité de l’information (SMSI). VDA ISA s’en inspire dans de nombreuses questions : une entreprise qui exploite un SMSI selon l’ISO 27001 a fait une bonne partie du travail pour TISAX — cela ne remplace pas l’assessment. Hors du secteur automobile, les clients demandent plutôt le certificat ISO que le label.

Cybersécurité du véhicule : UN R155, UN R156 et ISO/SAE 21434

TISAX protège les informations d’une entreprise. La cybersécurité du véhicule concerne le produit lui-même : les calculateurs, interfaces et liaisons radio par lesquels un véhicule peut être attaqué.

UN R155 et UN R156

Les deux règlements de la CEE-ONU ont été adoptés en 2020. R155 impose au constructeur un système de management de la cybersécurité (CSMS), R156 un système de management des mises à jour logicielles (SUMS). Dans l’UE, ils sont obligatoires depuis juillet 2022 pour les nouveaux types de véhicules et depuis juillet 2024 pour tous les véhicules neufs immatriculés. Ils s’adressent au constructeur — mais son CSMS doit inclure la chaîne d’approvisionnement, et les exigences arrivent donc chez les fournisseurs sous forme de clauses contractuelles.

ISO/SAE 21434

ISO/SAE 21434:2021, publiée conjointement par l’ISO et SAE International, décrit l’ingénierie de la cybersécurité sur tout le cycle de vie d’un véhicule : du concept et du développement à la production, à l’exploitation et à la mise hors service. Son cœur est l’analyse des menaces et l’évaluation des risques (Threat Analysis and Risk Assessment, TARA). Une annexe informative introduit les cybersecurity assurance levels (CAL), qui fixent la rigueur avec laquelle un élément est sécurisé.

La norme est le moyen habituel de satisfaire aux exigences de R155 et elle est conçue pour fonctionner aux côtés de l’ISO 26262. Une deuxième édition est en préparation ; c’est l’édition 2021 qui est en vigueur.

Sécurité fonctionnelle : ISO 26262

L’ISO 26262 régit la sécurité fonctionnelle des véhicules routiers équipés de systèmes électriques et électroniques : une défaillance matérielle ou logicielle ne doit pas entraîner de risque déraisonnable. L’édition en vigueur de 2018 compte douze parties et couvre le cycle de vie, du concept au développement et à la production jusqu’à la mise hors service. L’analyse des dangers et l’évaluation des risques attribuent à chaque objectif de sécurité un ASIL (Automotive Safety Integrity Level) de A à D. Plus l’ASIL est élevé, plus les exigences sur les méthodes, la vérification et l’indépendance de la confirmation sont strictes.

La partie 6 traite du logiciel : exigences, architecture, conception des unités, vérification et tests. Pour les fournisseurs de calculateurs et de logiciels embarqués, c’est généralement la partie dont dépend le travail.

Deux compléments gagnent en importance : l’ISO 21448 (SOTIF) pour les dangers qui surviennent sans défaillance — par exemple lorsqu’un capteur évalue mal une situation — et l’ISO/PAS 8800:2024 pour les systèmes liés à la sécurité qui utilisent l’intelligence artificielle. Une troisième édition de l’ISO 26262 est en préparation.

Processus de développement : Automotive SPICE et KGAS

Automotive SPICE

Automotive SPICE (Software Process Improvement and Capability dEtermination) est le modèle d’évaluation des processus du secteur, publié par le VDA QMC. Il n’évalue pas le produit, mais les processus qui le produisent : exigences, architecture, implémentation, intégration et tests, ainsi que la gestion de projet, de configuration et de la qualité. La première version est parue en 2005, sur la base de l’ISO/IEC 15504. La version actuelle 4.0, de 2023, s’appuie sur l’ISO/IEC 33020 et couvre, outre l’ingénierie système et logicielle, le matériel et l’apprentissage automatique.

Chaque processus évalué reçoit un capability level de 0 (incomplet) à 5 (innovant). Les constructeurs exigent souvent le niveau 2 de leurs fournisseurs, et le niveau 3 pour certains processus. Les assessments sont menés par des assesseurs certifiés selon le schéma intacs.

KGAS

Les KGAS (Konzerngrundanforderungen Software, les exigences logicielles de base du groupe) sont les exigences du groupe Volkswagen pour les logiciels qui influent sur les fonctions du véhicule. Elles ajoutent à Automotive SPICE des règles propres au groupe sur les processus, les produits d’activité et les métriques, et traitent aussi de la sécurité fonctionnelle et de la cybersécurité. Elles s’imposent aux fournisseurs qui développent des calculateurs ou des logiciels embarqués pour le groupe. D’autres constructeurs fixent des exigences comparables, qui figurent dans leurs cahiers des charges.

Management de la qualité : IATF 16949 et ISO 9001

IATF 16949

L’IATF 16949:2016 est la norme de l’International Automotive Task Force pour les systèmes de management de la qualité dans l’automobile. Elle a remplacé l’ISO/TS 16949 en 2016 et n’est pas une norme autonome : elle ajoute à l’ISO 9001 les exigences du secteur — les outils de base APQP, PPAP, AMDEC (FMEA), MSA et SPC, des exigences sur la sécurité des produits et les exigences spécifiques des constructeurs. Elle s’applique aux sites où sont fabriquées des pièces de série ou de rechange, et seuls des organismes reconnus par l’IATF peuvent certifier.

ISO 9001

L’ISO 9001 est la base de tout système de management de la qualité, et donc aussi de l’IATF 16949. Pour les sociétés d’ingénierie et les éditeurs de logiciels sans production en série, c’est souvent la preuve que demandent les clients. La sixième édition, ISO 9001:2026, est parue en septembre 2026 ; les certificats selon l’édition 2015 doivent avoir migré au plus tard le 30 septembre 2029. Quand l’IATF 16949 suivra la nouvelle édition, c’est à l’IATF d’en décider — interrogez votre organisme de certification.

Environnement et santé au travail : ISO 14001 et ISO 45001

Les constructeurs demandent de plus en plus à leurs fournisseurs des preuves sur l’environnement et les conditions de travail, dans leurs exigences fournisseurs et leurs évaluations de durabilité. L’ISO 14001 est la norme des systèmes de management environnemental ; sa nouvelle édition, ISO 14001:2026, est parue en avril 2026, avec une période de transition de 36 mois. L’ISO 45001 décrit les systèmes de management de la santé et de la sécurité au travail ; son édition de 2018 est en cours de révision.

Protection des données : le RGPD dans le véhicule connecté

Un véhicule connecté produit des données personnelles : localisation, comportement de conduite, contacts du téléphone couplé. Le RGPD n’est pas une norme automobile, mais il s’applique à tout constructeur, fournisseur et prestataire qui traite ces données — comme aux données des salariés, des clients et des partenaires. Le Comité européen de la protection des données a publié des lignes directrices sur les véhicules connectés (lignes directrices 01/2020). Dans TISAX, la protection des données est une partie à part entière du catalogue.

La checklist : quelles normes automobiles vous concernent ?

Parcourez les questions. Chaque oui désigne une norme dont vous devriez vous occuper :

• Traitez-vous des informations confidentielles d’un constructeur — données de conception, cahiers des charges, prototypes, véhicules d’essai ? TISAX, avec la protection des prototypes dès qu’il y a des prototypes.
• Traitez-vous des données personnelles pour le compte d’un constructeur ? Le RGPD et la partie protection des données de TISAX.
• Développez-vous des calculateurs, des logiciels ou des systèmes pour véhicules ? Automotive SPICE ; pour le groupe Volkswagen, en plus les KGAS.
• Votre produit a-t-il des fonctions liées à la sécurité — freinage, direction, propulsion, aides à la conduite ? ISO 26262, et pour les capteurs et la conduite automatisée aussi ISO 21448.
• Votre produit a-t-il des interfaces vers l’extérieur — radio, diagnostic, mises à jour over-the-air, backend ? ISO/SAE 21434 et les exigences que votre client tire d’UN R155 et R156.
• Êtes-vous constructeur ou demandez-vous des réceptions par type ? UN R155 et UN R156, avec CSMS et SUMS.
• Fabriquez-vous des pièces de série ou de rechange pour véhicules ? IATF 16949, sur la base de l’ISO 9001.
• Fournissez-vous de l’ingénierie, des logiciels ou des services sans production en série ? ISO 9001, souvent aussi ISO/IEC 27001.
• Vos clients vous demandent-ils des données environnementales et de durabilité ? ISO 14001.
• Votre client exige-t-il quelque chose qui manque ici ? Lisez ses exigences spécifiques (Customer Specific Requirements) et le cahier des charges : elles complètent les normes et sont souvent plus strictes.

Plusieurs oui sont la règle, pas l’exception : une société d’ingénierie qui développe des calculateurs peut avoir besoin à la fois de TISAX, d’Automotive SPICE, de l’ISO 26262, de l’ISO/SAE 21434 et de l’ISO 9001.

Là où les normes se recoupent

Les normes ont des éditeurs et des évaluateurs différents, mais demandent beaucoup de choses identiques :

• Un inventaire. Sites, processus, systèmes, composants et fournisseurs — TISAX et l’ISO 27001 portent sur les actifs informationnels, l’ISO/SAE 21434 et l’ISO 26262 sur les éléments du véhicule.
• La gestion des risques. Appréciation des risques dans le SMSI, TARA dans l’ISO/SAE 21434, analyse des dangers et évaluation des risques dans l’ISO 26262, risques et opportunités dans l’ISO 9001 et l’IATF 16949 — avec des méthodes différentes, souvent sur les mêmes objets.
• Des mesures avec responsables et échéances. Chaque norme exige que les écarts soient comblés et l’efficacité vérifiée.
• La gestion des fournisseurs. Ce qu’un constructeur exige de vous, vous devez souvent le répercuter sur vos propres fournisseurs.
• Des preuves. Documents, enregistrements et évaluations qui montrent à un auditeur ou à un assesseur que ce qui est écrit est appliqué.

Tenir chaque norme dans son propre tableur, c’est maintenir plusieurs fois les mêmes actifs, risques et preuves — et au plus tard au deuxième audit, les tableurs ne concordent plus.

Normes automobiles avec Complaica

Complaica est un logiciel de conformité dans lequel plusieurs référentiels travaillent sur une même base de données. Pour l’automobile, cela signifie :

• TISAX et VDA ISA. Auto-évaluation par question de contrôle avec niveau de maturité et niveau de maturité cible, périmètre de l’assessment par site, demandes de protection des prototypes et plan d’action.
• ISO/IEC 27001. Les exigences et les 93 mesures de l’annexe A ; DdA (SoA) et plan de traitement des risques sous forme de rapports.
• Automotive SPICE. Groupes de processus, capability levels et produits d’activité tout au long du développement.
• ISO/SAE 21434. Analyse des menaces et preuves de cybersécurité sur le cycle de vie du produit.
• ISO 9001. Cartographie des processus, objectifs qualité et programme d’audit.
• RGPD. Activités de traitement, bases légales et durées de conservation, à partir desquelles sont générés le registre et l’AIPD.
• Une seule base de données. Actifs, risques, mesures et preuves sont tenus une fois et utilisés par chaque référentiel ; chaque changement de statut avec auteur et date.
• Intégration IA (MCP). Pour les questions sur les exigences et les mesures. L’évaluation et la décision vous reviennent.

Découvrir Complaica comme logiciel TISAX

S’y ajoute du conseil issu de la pratique du secteur — sur Automotive SPICE, KGAS, TISAX, ISO/SAE 21434 et ISO 26262 — dans la mesure où vous en avez besoin : analyse des écarts, mise en place des systèmes de management, préparation de l’assessment et de l’audit. Labels, certificats et résultats d’assessment sont délivrés par des prestataires d’audit et des organismes de certification indépendants.

Vous souhaitez savoir quelles normes s’appliquent à votre entreprise et où vous en êtes ? Demandez le checkup gratuit de 20 minutes.

Comment rester à jour

Les normes du secteur changent plus vite que leurs cycles de trois ans ne le laissent penser : l’ISO 9001 et l’ISO 14001 sont parues en nouvelle édition en 2026, ISA 2027 remplace VDA ISA 6, et l’ISO 26262 et l’ISO/SAE 21434 sont en révision. Les normes pour les véhicules routiers sont élaborées au sein du comité technique ISO/TC 22 ; le VDA QMC, ENX, l’IATF et la CEE-ONU publient les modifications de leurs référentiels sur leurs propres sites. Avant chaque audit et à chaque nouvelle commande, vérifiez quelle édition votre client et votre évaluateur attendent.

Conclusion

Les normes automobiles ne sont pas une liste à traiter en entier, mais une sélection qui découle de votre produit, de votre client et de votre rôle dans la chaîne d’approvisionnement. Déterminez avec la checklist les normes qui vous concernent, vérifiez dans le cahier des charges quelle édition et quel niveau sont exigés — et gérez en un seul endroit ce que les normes ont en commun.