Francia ha dado un paso más en la regulación de la ciberseguridad aplicada a la automoción. Un arrêté publicado en el Journal officiel de la République française el 30 de mayo de 2026 establece que los fabricantes de vehículos terrestres a motor, o sus mandatarios dentro de la Unión Europea, deberán comunicar sin demora determinados ciberataques que puedan afectar al funcionamiento o a la seguridad de los vehículos. La norma entrará en vigor el 1 de julio de 2026.
La medida no es una obligación general para todo el sector de la automoción, sino una regla específica para los actores que tienen responsabilidad sobre la recepción y homologación de los vehículos. En la práctica, esto incluye a los fabricantes y a sus representantes autorizados, que actuarán como interlocutores ante el Centre national de réception des véhicules. Este centro, a su vez, transmitirá la información a la agencia francesa de ciberseguridad, la ANSSI.
¿Qué incidentes se deben notificar?
El objetivo es reforzar la vigilancia sobre incidentes que ya no son solo técnicos, sino también de seguridad vial y seguridad digital. El texto fija que se deben notificar los ataques por vía electrónica que puedan comprometer la seguridad de uso del vehículo, interrumpir funciones críticas, alterar software o degradar el rendimiento, o bien afectar a la integridad, la confidencialidad o el acceso a datos útiles para el funcionamiento y la seguridad del coche.
En otras palabras, no se trata de reportar cualquier incidencia informática, sino solo aquellas que entran dentro de la tipología definida por la norma y que tienen potencial de impacto real en el vehículo. El modelo es claro: si un incidente puede afectar a la seguridad del conductor, de los ocupantes o de otros usuarios de la vía, o puede comprometer el comportamiento de un sistema embarcado, el fabricante o su representante deberá ponerlo en conocimiento de la autoridad de recepción.
¿Qué datos se deberán aportar?
El texto también concreta qué información se deberá aportar. Entre otros datos, el formulario incluye la identificación del fabricante o de su representante, el momento en que se ha detectado el ataque, su duración estimada, el sistema afectado, los tipos o versiones de vehículos impactados, el alcance geográfico, el estado del incidente y las medidas adoptadas o previstas. Esta lista muestra que la norma no busca solo una alerta general, sino un expediente técnico suficientemente detallado para analizar el incidente.
La base jurídica de esta obligación es el artículo L. 1514-8 del Code des transports, que ya preveía la necesidad de notificar ataques de este tipo. El arrêté de 2026 desarrolla ahora el procedimiento concreto: define qué ataques entran en la obligación, cómo se deben enviar las notificaciones y qué datos se deben facilitar. También establece que el cumplimiento se debe hacer a través de una plataforma digital pública, la Démarche Numérique.
Impacto para el sector
La lectura política y sectorial es clara: Francia quiere convertir la ciberseguridad del vehículo en una parte más del sistema de control regulador de la automoción. Esto es especialmente relevante en un momento en que los vehículos incorporan cada vez más conectividad, sistemas de actualización remota, asistencia a la conducción, sensores e intercambio de datos con el exterior. Cuanto más software y conectividad, mayor es el riesgo de que un incidente digital pueda tener efectos físicos o de seguridad.
Para el sector, la consecuencia práctica es que los fabricantes deberán reforzar sus protocolos internos de detección, clasificación y escalado de incidentes. También hará falta coordinar mejor a los equipos técnicos, jurídicos y de compliance, porque la notificación no es opcional cuando el caso encaja en las categorías fijadas. Además, la información que se entregue a la autoridad deberá ser suficientemente robusta para resistir una revisión técnica posterior, y esto puede tener efectos sobre la gestión de riesgos, la documentación de diseño y, en algunos casos, sobre acciones correctoras o recalls.