Jusqu’à ce que le constructeur du véhicule mette à disposition le logiciel ou les informations pour le type de véhicule visé au point 6.4 bis et pendant la période de deux ans suivant cette date, l’utilisation du matériel de diagnostic et du logiciel de diagnostic du constructeur du véhicule par les prestataires de services à distance visés au point 1.2 de l’appendice 4, aux fins de la reprogrammation et du codage des variantes ou de l’activation des pièces, est soumise aux mêmes frais et conditions de paiement que celles applicables aux réparateurs indépendants, que les outils de diagnostic soient ou non utilisés à distance. En outre, le constructeur de véhicules partage avec tous les fabricants d’outils de diagnostic intéressés, dès qu’elles sont disponibles: a) les informations nécessaires à la mise en œuvre de l’API entre les systèmes du constructeur de véhicules et des fabricants d’outils de diagnostic concernés, i) au plus tard le 23 juin 2027 pour toute opération supposant la réalisation de mises à jour logicielles ou dépendant de celle-ci; et ii) pour les autres opérations, au plus tard le 23 septembre 2026; ou iii) en ce qui concerne les véhicules pour lesquels la réception par type a été accordée pour la première fois avant le 6 juillet 2022, au plus tard le 23 décembre 2026; b) les informations nécessaires pour tester la fonctionnalité de mise à jour et l’interaction pour le matériel, au plus tard le 23 décembre 2027 pour toute opération supposant la réalisation de mises à jour logicielles ou dépendant de celle-ci.

20) Le point 6.4 quatersuivant est inséré:

• «6.4 quater. Le découplage des composants, entités techniques distinctes, pièces et équipements, à l’exception de ceux qui ont été initialement conçus pour ne pas être découplés, est effectué conformément au processus décrit au présent point. Il n’est soumis à aucune autre condition que celles visées au présent point.
• Le fabricant met en place un processus de découplage des composants, entités techniques distinctes, pièces et équipements. Aux fins de l’installation d’un composant, d’une entité technique distincte, d’une pièce ou d’un équipement réutilisé, les processus définis par le constructeur de véhicules peuvent inclure l’obligation de fournir l’identifiant unique (y compris, le cas échéant, le numéro de série d’une entité) de ce composant, de cette entité technique distincte, de cette pièce ou de cet équipement et le VIN du véhicule, ainsi que l’obligation d’obtenir un accord du propriétaire du véhicule ou du preneur du véhicule en leasing, lorsqu’ils sont identifiables. Lorsqu’un accord est requis, il peut être fourni de manière asynchrone par rapport à la désinstallation de la pièce.
• Aux fins du processus industriel de remanufacturage, par lequel les spécifications initiales d’un composant, d’une entité technique distincte, d’une pièce ou d’un équipement usagé ou défaillant sont rétablies, le VIN du véhicule d’origine ne sera pas requis pour le découplage du véhicule d’origine. Dans ce cas, l’identifiant unique du composant et l’accord du propriétaire du véhicule ou du preneur du véhicule en leasing, lorsqu’ils sont identifiables, peuvent être exigés.
• Tous les opérateurs indépendants, y compris les remanufactureurs et les reconditionneurs, authentifiés conformément aux exigences spécifiées à l’appendice 4, ont un accès égal à ces processus.
• Aux fins de l’authentification d’un tel opérateur, lorsque le processus de découplage du constructeur de véhicules doit être effectué sur ses plateformes extérieures, les identifiants d’authentification délivrés conformément au point 9.2 de l’appendice 4, ou ceux utilisés pour accéder au site internet RMI du constructeur de véhicules, sont acceptés.».

21) Les points 7.2 et 7.3 sont supprimés.

22) Le point 7.4 est remplacé par le texte suivant.

• «7.4. Sur la base d’un certificat dûment rempli relatif à l’accès aux informations du système OBD du véhicule et aux informations sur la réparation et l’entretien du véhicule, l’autorité compétente en matière de réception peut présumer que le constructeur a pris des mesures et mis en place des procédures satisfaisantes concernant l’accès auxdites informations, à condition qu’aucune plainte n’ait été déposée.».

23) Le point 7.5 suivant est ajouté:

• «7.5. Les informations du système OBD des véhicules et les informations sur la réparation et l’entretien des véhicules sont fournies aux opérateurs indépendants au plus tard à la date à laquelle le véhicule est mis sur le marché.».

24) À l’appendice 2, le point 3 est remplacé par le texte suivant:

• «3. Informations requises pour la fabrication d’outils de diagnostic
• Afin de faciliter la fourniture d’outils de diagnostic génériques aux réparateurs multimarques, le constructeur de véhicules communique les informations visées aux points 3.1, 3.2 et 3.3. Ces informations incluent toutes les fonctions des outils de diagnostic et tous les liens vers des instructions de dépannage et des informations en matière de réparation. Des frais raisonnables peuvent être facturés pour l’accès à ces informations.».

25) L’appendice 3 est modifié comme suit:

• a) au point 2, les points 2.1.14 et 2.1.15, suivants sont ajoutés:
  • «2.1.14. “fournisseur de services à distance (FSD)”,
  • un prestataire de services agissant à distance pour la fourniture d’un service à l’OI dans le cadre de ses activités liées au SERMI, la programmation, l’installation ou l’activation de pièces et d’équipements sur un véhicule;
  • 2.1.15. “salarié de FSD”,
  • le salarié d’un FSD agréé qui, sur autorisation du CAB, aura accès aux informations sur la réparation et l’entretien (RMI) liées à la sécurité.»;
• b) au point 3, les troisième et quatrième alinéas sont remplacés par le texte suivant:
  • « Les OI souhaitant recevoir des informations sur la réparation et l’entretien liées à la sécurité doivent obtenir un certificat d’inspection d’agrément auprès d’un CAB accrédité.
  • Les salariés d’OI qui sont appelés à traiter des informations sur la réparation et l’entretien liées à la sécurité doivent obtenir un certificat d’inspection d’autorisation auprès d’un CAB accrédité.»;
• c) au point 4.1.1, le point f) suivant est ajouté:
  • «f) Le SERMI gère une liste d’interprétations approuvées, à utiliser exclusivement aux fins de l’interprétation du système.»;
• d) le point 4.4.2 suivant est ajouté:
  • «4.4.2. Les FSD doivent assumer les responsabilités et remplir les obligations énoncées au point 4.4.1.»;
• e) le point 4.5.2 suivant est ajouté:
  • «4.5.2. Les salariés des FSD doivent assumer les responsabilités et remplir les obligations énoncées au point 4.5.1.».

26) L’appendice 4 suivant est ajouté:

«Appendice 4
Conditions et procédure d’accès aux informations du système OBD des véhicules

1. Champ d’application

1.1. Le présent appendice contient les seules conditions d’accès que le constructeur est autorisé à définir et les procédures que le constructeur du véhicule applique ou qu’il est autorisé, à titre exclusif, à exiger d’autres parties qu’elles les appliquent, tout en mettant en oeuvre les mesures de sécurité requises pour l’accès aux informations du système OBD visées au point 2.9, a) et b), de la présente annexe.

1.2. Toute référence dans le présent appendice à des opérateurs indépendants ou à des partenaires, concessionnaires et réparateurs agréés du constructeur, ainsi qu’à un constructeur de véhicules agissant à des fins de réparation et d’entretien, inclut toute personne ou tout opérateur agissant pour leur compte, tel qu’un prestataire de services agissant à distance pour la fourniture d’un service à l’opérateur indépendant, la programmation, l’installation ou l’activation de pièces et d’équipements sur un véhicule (fournisseurs de services à distance).

2. Obligations du constructeur

2.1. Il incombe au constructeur de véhicules de veiller à ce que toutes les conditions techniques préalables à l’application des procédures visées au présent appendice soient en place, y compris les identifiants d’accès tels que les certificats ou les jetons logiciels, et les dispositions nécessaires prises avec les fabricants d’outils de diagnostic.

2.2. Le constructeur de véhicules démontre à l’autorité compétente en matière de réception que le véhicule est conçu pour permettre l’accès aux informations du système OBD, conformément aux prescriptions du présent appendice, à l’aide d’outils de diagnostic multimarques.

2.3. Le constructeur de véhicules fournit aux fabricants d’outils de diagnostic les informations visées au point 11 du présent appendice.

2.4. Le constructeur de véhicules veille à ce que son serveur utilisé pour permettre l’accès prévu au point 2.9 de la présente annexe offre aux opérateurs indépendants, sans discrimination, la même disponibilité et les mêmes performances du système d’information que celles qu’il offre aux partenaires, concessionnaires et réparateurs officiels du constructeur de véhicules ou au constructeur de véhicules qui l’utilisent à cette fin.

Le constructeur de véhicules veille à ce que tout serveur utilisé pour permettre l’accès prévu au point 2.9 de la présente annexe soit accessible sans interruption, sauf circonstances exceptionnelles et imprévisibles indépendantes de sa volonté et non imputables à une négligence de sa part, ou nécessaires à des fins d’entretien du système d’information. En cas de maintenance, la période d’indisponibilité ne doit pas dépasser la période de maintenance de tout autre serveur utilisé par le constructeur pour permettre l’accès aux fins visées au point 2.9 de la présente annexe. Les informations relatives à l’entretien planifié doivent être mises à la disposition des fabricants d’outils de diagnostic suffisamment à l’avance.

Le constructeur de véhicules met les informations statistiques annuelles sur la disponibilité de ses serveurs à la disposition de l’autorité compétente en matière de réception, lorsque celle-ci le demande. Les cas d’indisponibilité du serveur doivent être rapidement signalés par le constructeur du véhicule au forum OBD défini au point 12.

2.5. Le constructeur de véhicules ne restreint pas l’accès aux informations du système OBD au-delà des restrictions énoncées au présent appendice, sauf disposition contraire spécifiquement énoncée par le présent règlement. En outre, le constructeur de véhicules ne restreint pas l’accès des opérateurs indépendants aux informations du système OBD au-delà des restrictions qui s’appliquent à ses partenaires, concessionnaires et réparateurs agréés ou à lui-même lorsqu’il accède aux informations du système OBD à des fins de réparation et d’entretien.

2.6. Le constructeur du véhicule veille à ce que les mesures de cybersécurité qu’il met en oeuvre, y compris les exigences de compatibilité visées au point 6.2, n’aient pas pour effet de restreindre ou d’entraver l’accès aux informations du système OBD au titre du présent appendice au-delà de ce qui est nécessaire et proportionné pour se conformer à l’article 4, paragraphe 5, point d), et à la ligne D4 de l’annexe II du règlement (UE) 2019/2144. Ces mesures peuvent anticiper des risques et menaces futurs si le constructeur du véhicule peut démontrer leur incidence et leur probabilité.

2.7. Toute mesure mise en oeuvre par le constructeur du véhicule pour empêcher la manipulation des émissions et la fraude au compteur kilométrique ne doit pas restreindre ou entraver l’accès aux informations du système OBD au-delà de ce qui est nécessaire et proportionné pour se conformer à l’article 4, paragraphes 7 et 8, du règlement (UE) 2024/1257 du Parlement européen et du Conseil (*).

3. Authentification

3.1. Le constructeur de véhicules peut, pour la délivrance des identifiants d’accès, exiger l’authentification du fabricant de l’outil de diagnostic et de l’outil de diagnostic utilisé, sauf pour les opérations de réparation et d’entretien suivantes:

• a) la lecture des codes d’anomalie de diagnostic;
• b) la lecture du VIN du véhicule;
• c) la lecture des données et l’effacement des codes d’anomalie de diagnostic lorsque l’accès sans restriction au moyen d’un outil de détection générique ou OBD est requis en vertu du règlement (UE) 2017/1151 ou du règlement (UE) 2024/1257, ou prévu dans le règlement ONU n°49, le règlement ONU n°83 (**), le règlement ONU n°168 (***)ou le règlement ONU n°154.

3.2. Lorsque l’accès aux informations du système OBD suppose des modifications du véhicule, le constructeur du véhicule peut, pour délivrer les identifiants d’accès, exiger l’authentification de l’opérateur. Dans le cas de dispositifs utilisés à des fins de suivi, lorsque les données sont en lecture seule et communiquées de manière autonome au serveur des fabricants d’outils de diagnostic sans interaction humaine, le constructeur du véhicule n’exige pas l’authentification de l’opérateur.

3.3. Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule ou de sa configuration/de ses paramètres consistant en une reprogrammation du code logiciel du véhicule, entraînant une modification du comportement prévu du véhicule et persistant au-delà de l’opération de réparation et d’entretien, de sorte qu’elle ne peut être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger l’authentification du salarié de l’opérateur qui cherche à accéder aux informations du système OBD, à moins que le constructeur de l’outil de diagnostic n’atteste au constructeur du véhicule que, sur la base du résultat d’un audit indépendant effectué au plus tôt trois ans avant la demande, l’opérateur dispose d’un système permettant d’identifier sans ambiguïté le salarié qui le demande.

3.4. Les cas d’accès visés au point 3.2 comprennent les opérations de réparation et d’entretien telles que l’activation des actionneurs et des procédures d’essai fonctionnelles, l’effacement des codes de diagnostic d’anomalie, la remise en position initiale des voyants de service, la remise à l’état initial des paramètres d’apprentissage adaptatif et le remplacement de pièces, y compris l’initialisation des composants non intelligents et les données de lecture par identificateur, sauf lorsqu’ils sont utilisés aux fins de l’inspection technique périodique avec des valeurs comparables aux valeurs définies à l’annexe B de la norme ISO20730-3, à condition que ces valeurs soient disponibles dans le véhicule.

3.5. Les cas d’accès visés au point 3.2 comprennent l’étalonnage, entendu comme un processus d’ajustement ou d’alignement des paramètres logiciels et matériels du véhicule, tel que prescrit par le constructeur du véhicule et sans codage de variante ni modification du logiciel du véhicule.

3.6. Aux fins de l’authentification visée aux points 3.1 à 3.3, le constructeur du véhicule peut exiger du fabricant de l’outil utilisé pour accéder aux informations du système OBD qu’il atteste:

• a) l’identité de l’outil de diagnostic;
• b) lorsque l’accès aux informations du système OBD suppose des modifications du véhicule visées au point 3.2, l’identité de l’outil de diagnostic et l’identité pseudonymisée de l’opérateur, et l’observation par l’opérateur des exigences en matière d’autorisation visées au point 8.1;
• c) lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule ou de sa configuration/de ses paramètres consistant en une reprogrammation du code logiciel du véhicule, entraînant une modification du comportement prévu du véhicule et persistant au-delà de l’opération de réparation et d’entretien, de sorte qu’elle ne puisse être annulée ou écrasée que par l’exécution d’une opération équivalente visée au point 3.3, l’identité pseudonymisée du salarié de l’opérateur et l’observation par ce salarié des exigences en matière d’autorisation visées au point 8.2.

3.7. Dans les cas visés aux point 3.6, b) et c), l’identité de l’opérateur et, le cas échéant, de son salarié ainsi que leur observation des exigences en matière d’autorisation visées aux points 8.1 et 8.2 doivent être vérifiés par le fabricant de l’outil de diagnostic utilisé pour accéder aux informations du système OBD ou établis sur la base d’un certificat d’autorisation visé au point 9.2.

3.8. Le constructeur de véhicules n’exige pas de redevance pour assurer l’accès prévu au point 2.9 de l’annexe X. Toutefois, le constructeur de véhicules peut facturer des frais justifiés et proportionnés pour l’utilisation de l’installation à distance visée au point 2.9, c).

4. Exigences de connexion

4.1. Sauf dans les cas d’accès visés au point 3.1, a) à c), le constructeur du véhicule peut avoir besoin d’établir une connexion en ligne unique entre l’outil de diagnostic et le serveur du constructeur de véhicules, via le serveur du fabricant de l’outil de diagnostic, pour recevoir les identifiants d’accès. Après la fourniture de ces identifiants, l’accès ne nécessite pas de connexion en ligne.

4.2. Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule, de sa configuration ou de ses paramètres entraînant une modification du comportement prévu du véhicule qui persiste au-delà de l’opération de réparation et d’entretien et qui ne peut être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger une connexion en ligne continue au moment de la réparation, de l’outil de diagnostic au serveur du fabricant de l’outil de diagnostic ainsi qu’au serveur du constructeur de véhicules.

4.3. Les cas d’accès visés au point 4.2 comprennent les situations suivantes:

• a) les opérations de réparation et d’entretien consistant à mettre en place un composant de rechange et à paramétrer les préférences du client, à identifier une unité de contrôle électronique (UCE) et à procéder au codage de variantes, à initialiser une UCE et un composant, à coder les variantes lors du remplacement de composants existants et à coder les variantes lors de l’ajout d’un nouveau composant;
• b) les opérations de réparation et d’entretien visées au point 5.5.

4.4. Les cas d’accès visés au point 4.2 ne comprennent pas les opérations de réparation et d’entretien énumérées aux points 3.4 et 3.5.

4.5. Toutefois, par dérogation au point 4.4, les cas d’accès visés au point 4.2 comprennent les opérations de réparation et d’entretien visées au point 3.5 lorsqu’il est nécessaire de valider des valeurs d’étalonnage qui sont soumises à des exigences réglementaires ou lorsque l’étalonnage ne peut pas être achevé sans que des données spécifiques d’un composant ou d’une entité technique distincte soient nécessaires pour achever le processus de réparation et extraites du serveur du constructeur dans le cadre d’un processus de codage de variantes.

5. Exigences en matière de traçabilité

5.1. Sauf dans les cas d’accès visés au point 3.1, a) à c), le constructeur de véhicules peut exiger du constructeur de l’outil de diagnostic qu’il collecte et stocke le VIN du véhicule et l’identifiant unique de l’outil de diagnostic.

5.2. Lorsque l’accès aux informations du système OBD suppose des modifications du véhicule, le constructeur du véhicule peut demander au fabricant de l’outil de diagnostic de recueillir et de consigner les informations sur tous les travaux de diagnostic exécutés (par exemple, l’ID de service et la sous-fonction) ainsi que la date et l’heure UTC d’utilisation de paramètres/attributs pour chaque interaction avec le véhicule.

5.3. Les cas d’accès visés au point 5.2 comprennent les opérations de réparation et d’entretien visées aux points 3.4, 3.5, 4.3 et 4.5.

5.4. Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule ou de sa configuration/de ses paramètres consistant en une reprogrammation du code logiciel du véhicule, entraînant une modification du comportement prévu du véhicule et persistant au-delà de l’opération de réparation et d’entretien, de sorte qu’elle ne puisse être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger du fabricant de l’outil de diagnostic qu’il recueille et fournisse les résultats de l’inspection topologique du réseau du véhicule, l’état initial du véhicule lors de la connexion, y compris les versions matérielles/logicielles de toutes les unités de contrôle électronique installées dans le véhicule, les résultats de toutes les interactions et routines du module (par exemple, les paramètres de retour) et les résultats de la lecture du contrôle de santé final du véhicule après réparation.

5.5. Les cas d’accès visés au point 5.4 comprennent les opérations de réparation et d’entretien telles que le couplage d’une pièce de rechange d’origine [y compris le logiciel et le matériel compatibles (tels que définis par le constructeur du véhicule) remanufacturés ou réutilisés] ou d’une pièce de rechange autorisée par le constructeur du véhicule à l’aide d’un outil de diagnostic indépendant et la reprogrammation d’un module à l’aide du logiciel d’équipement d’origine du véhicule et du logiciel de programmation de l’équipement d’origine conformément aux instructions du constructeur du véhicule. Ils comprennent aussi les cas de découplage ou de radiation d’une pièce d’un véhicule.

5.6. Les cas d’accès visés au point 5.4 ne comprennent pas les opérations de réparation et d’entretien énumérées aux points 3.4, 3.5, 4.3 et 4.5.

6. Exigences en matière de cybersécurité applicables à l’outil de diagnostic

6.1. Sauf dans les cas d’accès visés au point 3.1, a) à c), le constructeur du véhicule peut exiger que l’outil de diagnostic utilisé pour accéder aux informations du système OBD soit conforme aux exigences pertinentes du règlement (UE) 2024/2847 du Parlement européen et du Conseil (****) et que le fabricant de l’outil de diagnostic observe soit la norme TISAX (Trusted Information Security Assessment Exchange), au niveau spécifié par le constructeur du véhicule conformément au point 2.5, soit la norme ISO 27001.

6.2. Lorsque l’accès aux informations du système OBD suppose des modifications du véhicule visées au point 3.2, le constructeur du véhicule peut exiger que l’outil de diagnostic utilisé pour accéder aux informations du système OBD et le fabricant de l’outil de diagnostic respectent les prescriptions du constructeur du véhicule relatives à la mise en oeuvre de la sécurité.

6.3. Les prescriptions pour la mise en oeuvre de la sécurité élaborées par le constructeur du véhicule ne vont pas au-delà des prescriptions imposées à l’outil de diagnostic, aux fournisseurs d’outils et à l’organisation du constructeur du véhicule et sont appliquées de manière non discriminatoire.

6.4. Le constructeur du véhicule peut exiger du fabricant de l’outil de diagnostic qu’il réalise des essais pour vérifier la conformité de l’outil de diagnostic avec les prescriptions spécifiées. Un accord sur le niveau de service doit prévoir que toute vérification des résultats de ces essais réalisés par le constructeur du véhicule est effectuée en temps utile. Si la conformité d’un fabricant d’outils de diagnostic avec les prescriptions de la présente section n’est pas confirmée, le constructeur du véhicule doit fournir une déclaration claire des raisons de la non-conformité, ainsi que les mesures à mettre en oeuvre par le fabricant de l’outil de diagnostic.

6.5. Les cas d’accès visés au point 6.2 comprennent les opérations de réparation et d’entretien visées aux points 3.4 et 3.5.

6.6. Lorsque l’accès aux informations du système OBD suppose une modification du logiciel du véhicule ou de sa configuration/de ses paramètres entraînant une modification du comportement prévu du véhicule qui persiste au-delà de l’opération de réparation et d’entretien, de sorte qu’elle ne peut être inversée ou écrasée que par l’exécution d’une opération équivalente, le constructeur du véhicule peut exiger que l’outil de diagnostic utilisé pour accéder aux informations du système OBD et le fabricant de l’outil de diagnostic respectent les prescriptions pertinentes du constructeur du véhicule relatives à la mise en oeuvre du système de gestion des mises à jour logicielles [telles que définies dans le règlement ONU n°156 (*****)]. Ces prescriptions ne vont pas au-delà des prescriptions imposées à l’outil de diagnostic, aux fournisseurs d’outils et à l’organisation du constructeur du véhicule et sont appliquées sur une base non discriminatoire.

6.7. Les cas d’accès visés au point 6.6 comprennent les opérations de réparation et d’entretien visées aux points 4.3, 4.5 et 5.5 et n’incluent pas ceux visés aux points 3.4 et 3.5.

7. Identifiants d’accès

7.1. Lorsque toutes les conditions visées aux points 3, 4 et 6 sont remplies, le constructeur du véhicule fournit sans délai au fabricant de l’outil de diagnostic des identifiants d’accès suffisants pour lui permettre d’accéder aux informations requises du système OBD.

7.2. Les identifiants d’accès peuvent être spécifiques au VIN.

7.3. Les identifiants d’accès sont valables pendant au moins 30 jours à compter de la date où ils ont été communiqués.

7.4. Toutefois, lorsque l’accès aux informations du système OBD suppose une modification du véhicule, le constructeur du véhicule peut limiter la validité des identifiants d’accès à 24 heures.

7.5. Les cas d’accès visés au point 7.4 comprennent les opérations de réparation et d’entretien visées aux points 3.4, 3.5, 4.3, 4.5 et 5.5.

8. Critères d’autorisation et certificats d’autorisation

8.1. Dans les cas visés au point 3.2, le constructeur du véhicule peut refuser de délivrer des identifiants d’accès si le fabricant de l’outil de diagnostic utilisé pour accéder aux informations du système OBD n’atteste pas que l’opérateur qui demande à accéder aux informations du système OBD:

• a) a contracté une assurance responsabilité civile valable d’un montant de couverture minimal de 1 000 000 EUR pour les dommages corporels et de 500 000 EUR pour les dommages matériels;
• b) exerce une activité commerciale légitime dans le secteur automobile visée au point 6.3 de la présente annexe.

Aucune condition de délivrance des identifiants d’accès autre que celles spécifiées aux points a) et b) n’est imposée par le constructeur du véhicule.

8.2. Dans les cas visés au point 5.4, lorsque le constructeur du véhicule exige l’authentification du salarié de l’opérateur et à moins que le fabricant de l’outil de diagnostic n’atteste au constructeur du véhicule, dans le respect des conditions énoncées au point 3.3, que l’opérateur dispose d’un système permettant d’identifier sans ambiguïté le salarié qui demande l’accès, le constructeur du véhicule peut refuser de délivrer des identifiants d’accès si le fabricant de l’outil de diagnostic utilisé pour accéder aux informations du système OBD n’atteste pas, outre le respect des conditions visées au point 8.1, que le salarié demandant à accéder aux informations du système OBD a conclu un contrat de travail avec l’opérateur demandant à accéder aux informations du système OBD et que le salarié concerné dispose d’une carte d’identité spécifique du pays ou d’un document équivalent en cours de validité.

8.3. Pour pouvoir bénéficier de la procédure d’authentification au titre du présent appendice, le fabricant de l’outil de diagnostic s’est engagé, dans les conditions générales des contrats conclus avec les opérateurs, à accepter, à la demande de l’opérateur indépendant, aux fins d’attester le respect des prescriptions visées aux points 8.1 et 8.2, un certificat visé au point 9.2 du présent appendice et délivré au plus tôt 60 mois avant la demande d’accès. Toutefois, lorsque l’opérateur ne demande pas à être authentifié sur la base d’un tel certificat, le fabricant de l’outil de diagnostic peut, aux fins de l’authentification, choisir de vérifier l’identité de l’opérateur ou de son salarié et le respect des critères d’autorisation au moyen de ses propres processus.

9. Organisme d’évaluation de la conformité et centre de confiance

9.1. Les certificats visés aux points 3.7 et 8.3 sont délivrés par un centre de confiance visé au point 2.1.6 de l’appendice 3 sur la base des constatations d’un organisme d’évaluation de la conformité au sens du point 4.2.2 de l’appendice 3 en ce qui concerne les circonstances visées au point 9.2.

9.2. Aux fins de la délivrance des certificats d’autorisation par un centre de confiance, l’organisme d’évaluation de la conformité:

• a) satisfait aux prescriptions visées au point 4.3.1, a), b), d), e), f), g), h), i), k), l), n) et p), de l’appendice 3 de l’annexe X;
• b) inspecte et confirme les circonstances visées au point 4.3.3, d) et g), de l’appendice 3 de l’annexe X. Dans les cas visés au point 5.4, lorsque le constructeur du véhicule exige l’authentification du salarié de l’opérateur, l’inspection et la confirmation de ces circonstances se rapportent au salarié de l’opérateur.

9.3. Aux fins de la délivrance des certificats d’autorisation dans les cas visés au point 9.1, le centre de confiance:

• a) satisfait aux prescriptions du point 4.6 de l’appendice 3;
• b) fournit toutes les informations requises au fabricant de l’outil de diagnostic afin qu’il intègre les certificats dans ses outils de diagnostic.

10. Accès du constructeur du véhicule aux informations concernant l’opérateur

10.1. Le constructeur du véhicule n’obtient, sur demande du fabricant de l’outil de diagnostic, l’accès aux informations relatives à une opération individuelle de réparation ou d’entretien enregistrée conformément au point 5 que lorsque cela est nécessaire pour des travaux de réparation ou d’entretien effectués sur un véhicule individuel pour:

• a) réagir à un soupçon raisonnable d’utilisation abusive grave de l’accès au véhicule;
• b) mener des enquêtes en cas de recours en responsabilité du fait des produits ou en garantie;
• c) enquêter sur les incidents de cybersécurité ou de manipulation illicite, répondre aux questions du propriétaire du véhicule ou d’une autorité publique.

Dans les cas visés aux points b) et c), ces informations comprennent, le cas échéant, les informations concernant l’opérateur et/ou son personnel. Dans les cas où le fabricant de l’outil de diagnostic s’est appuyé pour l’authentification sur un certificat fourni par le centre de confiance, le CAB concerné fournit les informations requises sur la base de son évaluation d’une demande documentée du constructeur du véhicule.

Le constructeur du véhicule veille à ce que les informations relatives à une opération individuelle de réparation ou d’entretien auxquelles il a accès aux fins visées aux points a) à c) ne soient pas utilisées à d’autres fins.

10.2. Dans les cas visés au point 10.1, le fabricant de l’outil de diagnostic informe sans délai l’opérateur indépendant et, le cas échéant, son salarié, de l’accès aux informations relatives à une opération de réparation ou d’entretien individuelle ou aux informations concernant l’opérateur et/ou son personnel.

10.3. Dans les cas visés au point 10.1, a) et c), et lorsque cela est nécessaire et proportionné pour prévenir de nouvelles utilisations abusives ou faire face à des risques de cybersécurité, le constructeur du véhicule peut temporairement suspendre ou restreindre l’accès de l’outil de diagnostic concerné ou demander au fabricant de l’outil de diagnostic concerné de prendre des mesures immédiates pour restreindre temporairement l’accès de l’opérateur, de l’outil de diagnostic ou du salarié concerné aux informations du système OBD concernant les véhicules de ce constructeur.

10.4. Dans des cas exceptionnels, en réponse à un incident de cybersécurité important présent ou imminent, un constructeur de véhicules peut suspendre l’accès aux informations du système OBD, au niveau le plus fin possible, lorsque cela est nécessaire et proportionné pour réagir à l’incident concerné.

10.5. Dans les cas visés aux points 10.3 et 10.4, le constructeur du véhicule doit, dans le même temps, signaler la suspension à l’autorité compétente en matière de réception, en indiquant les motifs de la suspension et tous les éléments de preuve pertinents. La suspension est levée lorsque l’incident est réglé ou si l’autorité compétente en matière de réception demande au constructeur du véhicule de le faire.

Dans un délai de dix jours à compter du jour de la notification, l’autorité compétente en matière de réception réexamine les motifs de la suspension et, si la suspension est manifestement injustifiée ou disproportionnée, demande au constructeur du véhicule ou au fabricant de l’outil de diagnostic concerné de rétablir l’accès.

L’autorité compétente en matière de réception peut, à tout moment, demander au constructeur du véhicule et au fabricant de l’outil de diagnostic concerné de rétablir l’accès lorsqu’elle estime que les motifs de suspension ont cessé d’exister.

11. Informations à fournir aux fabricants d’outils de diagnostic

11.1. Le système RMI du constructeur du véhicule doit afficher les coordonnées et des informations sur la procédure à suivre pour obtenir les informations demandées, conformément aux points a), b), c) et d), concernant l’intégration de l’outil de diagnostic, au moment de la réception par type:

• a) coordonnées pour les demandes d’informations techniques et commerciales;
• b) description du processus d’intégration, avec calendrier indicatif;
• c) conditions générales d’intégration des outils de diagnostic par le fabricant de l’outil de diagnostic;
• d) barème des honoraires pour les services liés à l’intégration.

11.2. Sous réserve de la conclusion d’un accord de non-divulgation, le constructeur du véhicule met, sur demande, les informations suivantes à la disposition de tout opérateur indépendant se conformant à la norme TISAX, au niveau spécifié par le constructeur du véhicule conformément au point 2.5, ou à la norme ISO 27001:

• a) à titre de référence, un modèle d’accord sur l’intégration de la sécurité, indiquant clairement les conditions qu’il est prévu d’inclure dans tous les accords du constructeur de véhicules avec les fabricants d’outils de diagnostic en la matière;
• b) une description des exigences et des processus d’intégration sécurisée de l’outil de diagnostic, accompagnée d’un calendrier indicatif.

11.3. Le constructeur de véhicules fournit les informations suivantes et met les services suivants à la disposition du fabricant de l’outil de diagnostic, au moment de la conclusion d’un accord sur l’intégration de l’outil de diagnostic:

• a) les exigences, processus et spécifications techniques détaillés et actualisés en temps utile pour l’intégration sécurisée de l’outil de diagnostic, y compris les exigences de mise en oeuvre en matière de sécurité;
• b) moyennant une rémunération raisonnable, comme indiqué au point 2.3, une assistance technique avec réponse instantanée pour l’intégration de la sécurité et la vérification des outils de diagnostic.

11.4. Les prescriptions de mise en oeuvre en matière de sécurité visées au point 11.3 sont accompagnées d’une explication des raisons de cette exigence. Dans des cas exceptionnels, le constructeur de véhicules peut ne fournir que les prescriptions nécessaires sans explication détaillée lorsque:

• a) la divulgation des objectifs spécifiques qui sous-tendent une exigence pourrait compromettre des informations exclusives ou des secrets d’affaires; ou
• b) la divulgation du raisonnement révélerait une stratégie de cybersécurité plus large qui doit rester confidentielle afin de préserver l’intégrité du système.

11.5. Les informations visées aux points 11.1 à 11.3 doivent être fournies en même temps que la demande de réception par type.

12. Forum OBD

12.1. Le forum sur l’accès aux informations concernant les véhicules («forum OBD») est chargé de coordonner et de contrôler la mise en oeuvre des procédures pour:

• a) l’authentification et l’autorisation des opérateurs indépendants comme décrit aux points 3 et 8 du présent appendice, y compris les processus utilisés par les fabricants d’outils de diagnostic pour la vérification des critères d’autorisation, comme décrit au point 3 du présent appendice;
• b) la délivrance des identifiants d’accès décrits au point 7 du présent appendice, y compris le respect des exigences en matière de traçabilité et de connectivité;
• c) la divulgation des informations relatives à l’accès et à la suspension ou à la restriction de l’accès, comme décrit au point 10 du présent appendice.

12.2. Le forum

• a) conseille la Commission sur la mise en oeuvre du présent appendice;
• b) conseille les autorités compétentes en matière de réception sur les litiges relatifs à l’interprétation et à la mise en oeuvre du présent appendice;
• c) conseille les constructeurs dé véhicules, les fabricants d’outils de diagnostic et les opérateurs indépendants sur:
  • i) l’interprétation à donner au présent appendice;
  • ii) les aspects pratiques des procédures visées au point 12.1;
  • iii) les orientations concernant la résolution des litiges relatifs à la mise en oeuvre des procédures visées au point 12.1.

12.3. Les membres du forum OBD sont représentés par les constructeurs de véhicules et les opérateurs indépendants participant à la mise en oeuvre et à l’utilisation des procédures et processus décrits au point 12.1.

12.4. Le forum OBD fonctionne selon la structure juridique et organisationnelle commune en tant que “forum pour l’accès aux informations sur la réparation et l’entretien (RMI) des véhicules liées à la sécurité”, au sens du point 2.1.12 de l’appendice 3.
_____________
(*) Règlement (UE) 2024/1257 du Parlement européen et du Conseil du 24 avril 2024 relatif à la réception par type des véhicules à moteur et des moteurs, ainsi que des systèmes, des composants et des entités techniques distinctes destinés à ces véhicules, en ce qui concerne leurs émissions et la durabilité de leurs batteries (Euro 7), modifiant le règlement (UE) 2018/858 du Parlement européen et du Conseil, et abrogeant les règlements (CE) n°715/2007 et (CE) n°595/2009 du Parlement européen et du Conseil, le règlement (UE) n°582/2011 de la Commission, le règlement (UE) 2017/1151 de la Commission, le règlement (UE) 2017/2400 de la Commission et le règlement d’exécution (UE) 2022/1362 de la Commission (JO L, 2024/1257, 8.5.2024, ELI: http://data.europa.eu/eli/reg/2024/1257/oj).
(**) Règlement n°83 de la Commission économique pour l’Europe des Nations unies (CEE-ONU) — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne les émissions de polluants selon les exigences du moteur en matière de carburant (JO L 42 du 15.2.2012, p. 1, ELI: http://data.europa.eu/eli/reg/2012/83/oj).
(***) Règlement n°168 de la Commission économique pour l’Europe des Nations unies (CEE-ONU) — Prescriptions uniformes relatives à l’homologation des voitures particulières et des véhicules utilitaires légers en ce qui concerne les émissions en conditions réelles de conduite (RDE) [2024/211] (JO L, 2024/211, 12.1.2024, ELI: http://data.europa.eu/eli/reg/2024/211/oj).
(****) Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) n°168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience) (JO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/ 2024/2847/oj).
(*****) Règlement n°156 de la Commission économique pour l’Europe des Nations unies (CEE-ONU) — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne les mises à jour logicielles et le système de gestion des mises à jour logicielles [2021/388] (JO L 82 du 9.3.2021, p. 60, ELI: http://data.europa.eu/eli/reg/2021/388/oj).».