Règlement délégué (UE) 2026/699 de la Commission du 23 mars 2026 modifiant le règlement (UE) 2018/858 du Parlement européen et du Conseil en ce qui concerne l’accès normalisé aux informations du système de diagnostic embarqué des véhicules et aux informations sur la réparation et l’entretien, et les prescriptions et procédures pour l’accès sécurisé aux informations du système de diagnostic embarqué

1.

Champ d’application

1.1.

Le présent appendice contient les seules conditions d’accès que le constructeur est autorisé à définir et les procédures que le constructeur du véhicule applique ou qu’il est autorisé, à titre exclusif, à exiger d’autres parties qu’elles les appliquent, tout en mettant en œuvre les mesures de sécurité requises pour l’accès aux informations du système OBD visées au point 2.9, a) et b), de la présente annexe.

1.2.

Toute référence dans le présent appendice à des opérateurs indépendants ou à des partenaires, concessionnaires et réparateurs agréés du constructeur, ainsi qu’à un constructeur de véhicules agissant à des fins de réparation et d’entretien, inclut toute personne ou tout opérateur agissant pour leur compte, tel qu’un prestataire de services agissant à distance pour la fourniture d’un service à l’opérateur indépendant, la programmation, l’installation ou l’activation de pièces et d’équipements sur un véhicule (fournisseurs de services à distance).

2.

Obligations du constructeur

2.1.

Il incombe au constructeur de véhicules de veiller à ce que toutes les conditions techniques préalables à l’application des procédures visées au présent appendice soient en place, y compris les identifiants d’accès tels que les certificats ou les jetons logiciels, et les dispositions nécessaires prises avec les fabricants d’outils de diagnostic.

2.2.

Le constructeur de véhicules démontre à l’autorité compétente en matière de réception que le véhicule est conçu pour permettre l’accès aux informations du système OBD, conformément aux prescriptions du présent appendice, à l’aide d’outils de diagnostic multimarques.

2.3.

Le constructeur de véhicules fournit aux fabricants d’outils de diagnostic les informations visées au point 11 du présent appendice.

2.4.

Le constructeur de véhicules veille à ce que tout serveur utilisé pour permettre l’accès prévu au point 2.9 de la présente annexe soit accessible sans interruption, sauf circonstances exceptionnelles et imprévisibles indépendantes de sa volonté et non imputables à une négligence de sa part, ou nécessaires à des fins d’entretien du système d’information. En cas de maintenance, la période d’indisponibilité ne doit pas dépasser la période de maintenance de tout autre serveur utilisé par le constructeur pour permettre l’accès aux fins visées au point 2.9 de la présente annexe. Les informations relatives à l’entretien planifié doivent être mises à la disposition des fabricants d’outils de diagnostic suffisamment à l’avance.

Le constructeur de véhicules met les informations statistiques annuelles sur la disponibilité de ses serveurs à la disposition de l’autorité compétente en matière de réception, lorsque celle-ci le demande. Les cas d’indisponibilité du serveur doivent être rapidement signalés par le constructeur du véhicule au forum OBD défini au point 12.

2.5.

Le constructeur de véhicules ne restreint pas l’accès aux informations du système OBD au-delà des restrictions énoncées au présent appendice, sauf disposition contraire spécifiquement énoncée par le présent règlement. En outre, le constructeur de véhicules ne restreint pas l’accès des opérateurs indépendants aux informations du système OBD au-delà des restrictions qui s’appliquent à ses partenaires, concessionnaires et réparateurs agréés ou à lui-même lorsqu’il accède aux informations du système OBD à des fins de réparation et d’entretien.

2.6.

Le constructeur du véhicule veille à ce que les mesures de cybersécurité qu’il met en œuvre, y compris les exigences de compatibilité visées au point 6.2, n’aient pas pour effet de restreindre ou d’entraver l’accès aux informations du système OBD au titre du présent appendice au-delà de ce qui est nécessaire et proportionné pour se conformer à l’article 4, paragraphe 5, point d), et à la ligne D4 de l’annexe II du règlement (UE) 2019/2144. Ces mesures peuvent anticiper des risques et menaces futurs si le constructeur du véhicule peut démontrer leur incidence et leur probabilité.

2.7.

Toute mesure mise en œuvre par le constructeur du véhicule pour empêcher la manipulation des émissions et la fraude au compteur kilométrique ne doit pas restreindre ou entraver l’accès aux informations du système OBD au-delà de ce qui est nécessaire et proportionné pour se conformer à l’article 4, paragraphes 7 et 8, du règlement (UE) 2024/1257 du Parlement européen et du Conseil (*4).

3.

Authentification

3.1.

3.2.

Lorsque l’accès aux informations du système OBD suppose des modifications du véhicule, le constructeur du véhicule peut, pour délivrer les identifiants d’accès, exiger l’authentification de l’opérateur. Dans le cas de dispositifs utilisés à des fins de suivi, lorsque les données sont en lecture seule et communiquées de manière autonome au serveur des fabricants d’outils de diagnostic sans interaction humaine, le constructeur du véhicule n’exige pas l’authentification de l’opérateur.

3.3.

Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule ou de sa configuration/de ses paramètres consistant en une reprogrammation du code logiciel du véhicule, entraînant une modification du comportement prévu du véhicule et persistant au-delà de l’opération de réparation et d’entretien, de sorte qu’elle ne peut être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger l’authentification du salarié de l’opérateur qui cherche à accéder aux informations du système OBD, à moins que le constructeur de l’outil de diagnostic n’atteste au constructeur du véhicule que, sur la base du résultat d’un audit indépendant effectué au plus tôt trois ans avant la demande, l’opérateur dispose d’un système permettant d’identifier sans ambiguïté le salarié qui le demande.

3.4.

Les cas d’accès visés au point 3.2 comprennent les opérations de réparation et d’entretien telles que l’activation des actionneurs et des procédures d’essai fonctionnelles, l’effacement des codes de diagnostic d’anomalie, la remise en position initiale des voyants de service, la remise à l’état initial des paramètres d’apprentissage adaptatif et le remplacement de pièces, y compris l’initialisation des composants non intelligents et les données de lecture par identificateur, sauf lorsqu’ils sont utilisés aux fins de l’inspection technique périodique avec des valeurs comparables aux valeurs définies à l’annexe B de la norme ISO20730-3, à condition que ces valeurs soient disponibles dans le véhicule.

3.5.

Les cas d’accès visés au point 3.2 comprennent l’étalonnage, entendu comme un processus d’ajustement ou d’alignement des paramètres logiciels et matériels du véhicule, tel que prescrit par le constructeur du véhicule et sans codage de variante ni modification du logiciel du véhicule.

3.6.

3.7.

Dans les cas visés aux point 3.6, b) et c), l’identité de l’opérateur et, le cas échéant, de son salarié ainsi que leur observation des exigences en matière d’autorisation visées aux points 8.1 et 8.2 doivent être vérifiés par le fabricant de l’outil de diagnostic utilisé pour accéder aux informations du système OBD ou établis sur la base d’un certificat d’autorisation visé au point 9.2.

3.8.

Le constructeur de véhicules n’exige pas de redevance pour assurer l’accès prévu au point 2.9 de l’annexe X. Toutefois, le constructeur de véhicules peut facturer des frais justifiés et proportionnés pour l’utilisation de l’installation à distance visée au point 2.9, c).

4.

Exigences de connexion

4.1.

Sauf dans les cas d’accès visés au point 3.1, a) à c), le constructeur du véhicule peut avoir besoin d’établir une connexion en ligne unique entre l’outil de diagnostic et le serveur du constructeur de véhicules, via le serveur du fabricant de l’outil de diagnostic, pour recevoir les identifiants d’accès. Après la fourniture de ces identifiants, l’accès ne nécessite pas de connexion en ligne.

4.2.

Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule, de sa configuration ou de ses paramètres entraînant une modification du comportement prévu du véhicule qui persiste au-delà de l’opération de réparation et d’entretien et qui ne peut être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger une connexion en ligne continue au moment de la réparation, de l’outil de diagnostic au serveur du fabricant de l’outil de diagnostic ainsi qu’au serveur du constructeur de véhicules.

4.3.

4.4.

Les cas d’accès visés au point 4.2 ne comprennent pas les opérations de réparation et d’entretien énumérées aux points 3.4 et 3.5.

4.5.

Toutefois, par dérogation au point 4.4, les cas d’accès visés au point 4.2 comprennent les opérations de réparation et d’entretien visées au point 3.5 lorsqu’il est nécessaire de valider des valeurs d’étalonnage qui sont soumises à des exigences réglementaires ou lorsque l’étalonnage ne peut pas être achevé sans que des données spécifiques d’un composant ou d’une entité technique distincte soient nécessaires pour achever le processus de réparation et extraites du serveur du constructeur dans le cadre d’un processus de codage de variantes.

5.

Exigences en matière de traçabilité

5.1.

Sauf dans les cas d’accès visés au point 3.1, a) à c), le constructeur de véhicules peut exiger du constructeur de l’outil de diagnostic qu’il collecte et stocke le VIN du véhicule et l’identifiant unique de l’outil de diagnostic.

5.2.

Lorsque l’accès aux informations du système OBD suppose des modifications du véhicule, le constructeur du véhicule peut demander au fabricant de l’outil de diagnostic de recueillir et de consigner les informations sur tous les travaux de diagnostic exécutés (par exemple, l’ID de service et la sous-fonction) ainsi que la date et l’heure UTC d’utilisation de paramètres/attributs pour chaque interaction avec le véhicule.

5.3.

Les cas d’accès visés au point 5.2 comprennent les opérations de réparation et d’entretien visées aux points 3.4, 3.5, 4.3 et 4.5.

5.4.

Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule ou de sa configuration/de ses paramètres consistant en une reprogrammation du code logiciel du véhicule, entraînant une modification du comportement prévu du véhicule et persistant au-delà de l’opération de réparation et d’entretien, de sorte qu’elle ne puisse être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger du fabricant de l’outil de diagnostic qu’il recueille et fournisse les résultats de l’inspection topologique du réseau du véhicule, l’état initial du véhicule lors de la connexion, y compris les versions matérielles/logicielles de toutes les unités de contrôle électronique installées dans le véhicule, les résultats de toutes les interactions et routines du module (par exemple, les paramètres de retour) et les résultats de la lecture du contrôle de santé final du véhicule après réparation.

5.5.

Les cas d’accès visés au point 5.4 comprennent les opérations de réparation et d’entretien telles que le couplage d’une pièce de rechange d’origine [y compris le logiciel et le matériel compatibles (tels que définis par le constructeur du véhicule) remanufacturés ou réutilisés] ou d’une pièce de rechange autorisée par le constructeur du véhicule à l’aide d’un outil de diagnostic indépendant et la reprogrammation d’un module à l’aide du logiciel d’équipement d’origine du véhicule et du logiciel de programmation de l’équipement d’origine conformément aux instructions du constructeur du véhicule. Ils comprennent aussi les cas de découplage ou de radiation d’une pièce d’un véhicule.

5.6.

Les cas d’accès visés au point 5.4 ne comprennent pas les opérations de réparation et d’entretien énumérées aux points 3.4, 3.5, 4.3 et 4.5.

6.

Exigences en matière de cybersécurité applicables à l’outil de diagnostic

6.1.

Sauf dans les cas d’accès visés au point 3.1, a) à c), le constructeur du véhicule peut exiger que l’outil de diagnostic utilisé pour accéder aux informations du système OBD soit conforme aux exigences pertinentes du règlement (UE) 2024/2847 du Parlement européen et du Conseil (*7) et que le fabricant de l’outil de diagnostic observe soit la norme TISAX (Trusted Information Security Assessment Exchange), au niveau spécifié par le constructeur du véhicule conformément au point 2.5, soit la norme ISO 27001.

6.2.

Lorsque l’accès aux informations du système OBD suppose des modifications du véhicule visées au point 3.2, le constructeur du véhicule peut exiger que l’outil de diagnostic utilisé pour accéder aux informations du système OBD et le fabricant de l’outil de diagnostic respectent les prescriptions du constructeur du véhicule relatives à la mise en œuvre de la sécurité.

6.3.

Les prescriptions pour la mise en œuvre de la sécurité élaborées par le constructeur du véhicule ne vont pas au-delà des prescriptions imposées à l’outil de diagnostic, aux fournisseurs d’outils et à l’organisation du constructeur du véhicule et sont appliquées de manière non discriminatoire.

6.4.

Le constructeur du véhicule peut exiger du fabricant de l’outil de diagnostic qu’il réalise des essais pour vérifier la conformité de l’outil de diagnostic avec les prescriptions spécifiées. Un accord sur le niveau de service doit prévoir que toute vérification des résultats de ces essais réalisés par le constructeur du véhicule est effectuée en temps utile. Si la conformité d’un fabricant d’outils de diagnostic avec les prescriptions de la présente section n’est pas confirmée, le constructeur du véhicule doit fournir une déclaration claire des raisons de la non-conformité, ainsi que les mesures à mettre en œuvre par le fabricant de l’outil de diagnostic.

6.5.

Les cas d’accès visés au point 6.2 comprennent les opérations de réparation et d’entretien visées aux points 3.4 et 3.5.

6.6.

Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule ou de sa configuration/de ses paramètres entraînant une modification du comportement prévu du véhicule qui persiste au-delà de l’opération de réparation et d’entretien, de sorte qu’elle ne peut être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger que l’outil de diagnostic utilisé pour accéder aux informations du système OBD et le fabricant de l’outil de diagnostic respectent les prescriptions pertinentes du constructeur du véhicule relatives à la mise en œuvre du système de gestion des mises à jour logicielles [telles que définies dans le règlement ONU no 156 (*8)]. Ces prescriptions ne vont pas au-delà des prescriptions imposées à l’outil de diagnostic, aux fournisseurs d’outils et à l’organisation du constructeur du véhicule et sont appliquées sur une base non discriminatoire.

6.7.

Les cas d’accès visés au point 6.6 comprennent les opérations de réparation et d’entretien visées aux points 4.3, 4.5 et 5.5 et n’incluent pas ceux visés aux points 3.4 et 3.5.

7.

Identifiants d’accès

7.1.

Lorsque toutes les conditions visées aux points 3, 4 et 6 sont remplies, le constructeur du véhicule fournit sans délai au fabricant de l’outil de diagnostic des identifiants d’accès suffisants pour lui permettre d’accéder aux informations requises du système OBD.

7.2.

Les identifiants d’accès peuvent être spécifiques au VIN.

7.3.

Les identifiants d’accès sont valables pendant au moins 30 jours à compter de la date où ils ont été communiqués.

7.4.

Toutefois, lorsque l’accès aux informations du système OBD suppose une modification du véhicule, le constructeur du véhicule peut limiter la validité des identifiants d’accès à 24 heures.

7.5.

Les cas d’accès visés au point 7.4 comprennent les opérations de réparation et d’entretien visées aux points 3.4, 3.5, 4.3, 4.5 et 5.5.

8.

Critères d’autorisation et certificats d’autorisation

8.1.

Aucune condition de délivrance des identifiants d’accès autre que celles spécifiées aux points a) et b) n’est imposée par le constructeur du véhicule.

8.2.

Dans les cas visés au point 5.4, lorsque le constructeur du véhicule exige l’authentification du salarié de l’opérateur et à moins que le fabricant de l’outil de diagnostic n’atteste au constructeur du véhicule, dans le respect des conditions énoncées au point 3.3, que l’opérateur dispose d’un système permettant d’identifier sans ambiguïté le salarié qui demande l’accès, le constructeur du véhicule peut refuser de délivrer des identifiants d’accès si le fabricant de l’outil de diagnostic utilisé pour accéder aux informations du système OBD n’atteste pas, outre le respect des conditions visées au point 8.1, que le salarié demandant à accéder aux informations du système OBD a conclu un contrat de travail avec l’opérateur demandant à accéder aux informations du système OBD et que le salarié concerné dispose d’une carte d’identité spécifique du pays ou d’un document équivalent en cours de validité.

8.3.

Pour pouvoir bénéficier de la procédure d’authentification au titre du présent appendice, le fabricant de l’outil de diagnostic s’est engagé, dans les conditions générales des contrats conclus avec les opérateurs, à accepter, à la demande de l’opérateur indépendant, aux fins d’attester le respect des prescriptions visées aux points 8.1 et 8.2, un certificat visé au point 9.2 du présent appendice et délivré au plus tôt 60 mois avant la demande d’accès. Toutefois, lorsque l’opérateur ne demande pas à être authentifié sur la base d’un tel certificat, le fabricant de l’outil de diagnostic peut, aux fins de l’authentification, choisir de vérifier l’identité de l’opérateur ou de son salarié et le respect des critères d’autorisation au moyen de ses propres processus.

9.

Organisme d’évaluation de la conformité et centre de confiance

9.1.

Les certificats visés aux points 3.7 et 8.3 sont délivrés par un centre de confiance visé au point 2.1.6 de l’appendice 3 sur la base des constatations d’un organisme d’évaluation de la conformité au sens du point 4.2.2 de l’appendice 3 en ce qui concerne les circonstances visées au point 9.2.

9.2.

9.3.

10.

Accès du constructeur du véhicule aux informations concernant l’opérateur

10.1.

Dans les cas visés aux points b) et c), ces informations comprennent, le cas échéant, les informations concernant l’opérateur et/ou son personnel. Dans les cas où le fabricant de l’outil de diagnostic s’est appuyé pour l’authentification sur un certificat fourni par le centre de confiance, le CAB concerné fournit les informations requises sur la base de son évaluation d’une demande documentée du constructeur du véhicule.

Le constructeur du véhicule veille à ce que les informations relatives à une opération individuelle de réparation ou d’entretien auxquelles il a accès aux fins visées aux points a) à c) ne soient pas utilisées à d’autres fins.

10.2.

Dans les cas visés au point 10.1, le fabricant de l’outil de diagnostic informe sans délai l’opérateur indépendant et, le cas échéant, son salarié, de l’accès aux informations relatives à une opération de réparation ou d’entretien individuelle ou aux informations concernant l’opérateur et/ou son personnel.

10.3.

Dans les cas visés au point 10.1, a) et c), et lorsque cela est nécessaire et proportionné pour prévenir de nouvelles utilisations abusives ou faire face à des risques de cybersécurité, le constructeur du véhicule peut temporairement suspendre ou restreindre l’accès de l’outil de diagnostic concerné ou demander au fabricant de l’outil de diagnostic concerné de prendre des mesures immédiates pour restreindre temporairement l’accès de l’opérateur, de l’outil de diagnostic ou du salarié concerné aux informations du système OBD concernant les véhicules de ce constructeur.

10.4.

Dans des cas exceptionnels, en réponse à un incident de cybersécurité important présent ou imminent, un constructeur de véhicules peut suspendre l’accès aux informations du système OBD, au niveau le plus fin possible, lorsque cela est nécessaire et proportionné pour réagir à l’incident concerné.

10.5.

Dans un délai de dix jours à compter du jour de la notification, l’autorité compétente en matière de réception réexamine les motifs de la suspension et, si la suspension est manifestement injustifiée ou disproportionnée, demande au constructeur du véhicule ou au fabricant de l’outil de diagnostic concerné de rétablir l’accès.

L’autorité compétente en matière de réception peut, à tout moment, demander au constructeur du véhicule et au fabricant de l’outil de diagnostic concerné de rétablir l’accès lorsqu’elle estime que les motifs de suspension ont cessé d’exister.

11.

Informations à fournir aux fabricants d’outils de diagnostic

11.1.

11.2.

11.3.

11.4.

11.5.

Les informations visées aux points 11.1 à 11.3 doivent être fournies en même temps que la demande de réception par type.

12.

Forum OBD

12.1.

12.2.

12.3.

Les membres du forum OBD sont représentés par les constructeurs de véhicules et les opérateurs indépendants participant à la mise en œuvre et à l’utilisation des procédures et processus décrits au point 12.1.

12.4.

Le forum OBD fonctionne selon la structure juridique et organisationnelle commune en tant que “forum pour l’accès aux informations sur la réparation et l’entretien (RMI) des véhicules liées à la sécurité”, au sens du point 2.1.12 de l’appendice 3.