EN 50128 et EN 50657 sont-elles encore valides ?

Elles sont en cours de retrait. EN 50716:2023, « Applications ferroviaires, Exigences pour le développement de logiciels », a été approuvée par le CENELEC le 30 octobre 2023 et remplace EN 50128:2011 et EN 50657:2017 avec tous leurs amendements et corrigenda (EN 50128 AC:2014, A1:2020, A2:2020 et EN 50657 A1:2023). Son avant-propos européen fixe la date de publication au niveau national (dop) au 30 octobre 2024 et la date de retrait des normes nationales en contradiction (dow) au 30 octobre 2026. Après cette date, les organismes nationaux de normalisation doivent avoir retiré leurs reprises d'EN 50128 et d'EN 50657. Les projets en cours suivent les règles de transition du contrat ou de la STI applicable, pas une coupure générale.

Quelle est la différence entre EN 50128 et EN 50657 ?

Le périmètre. EN 50128:2011 couvre le logiciel des systèmes électroniques programmables pour les applications ferroviaires de commande et de protection, c'est-à-dire la signalisation. EN 50657:2017 couvre le logiciel des systèmes électroniques programmables embarqués sur le matériel roulant. EN 50716:2023 fusionne les deux : son article 1.1 couvre à la fois le contrôle-commande pour les applications de signalisation et les applications embarquées sur le matériel roulant, et exclut les installations fixes d'alimentation électrique de traction (pour lesquelles l'avant-propos renvoie à EN 50562). EN 50716 conserve autant que possible la numérotation de ses prédécesseurs, en laissant certaines entrées volontairement vides.

Qu'est-ce qu'un SSIL, et qu'utilise EN 50716 à la place ?

EN 50128:2011 définit cinq niveaux d'intégrité de sécurité du logiciel, de 0 à 4, et précise qu'elle ne s'applique pas au logiciel identifié comme sans impact sur la sécurité. EN 50716:2023 définit aussi cinq niveaux d'intégrité logicielle, mais le plus bas s'appelle Basic Integrity, notion introduite d'abord dans la série EN 50126, suivi des niveaux d'intégrité de sécurité 1 à 4. Dans les deux normes, les techniques exigées pour le niveau 1 sont les mêmes que pour le niveau 2, et celles du niveau 3 les mêmes que pour le niveau 4. Aucune des deux ne dit quel niveau convient à un risque donné : l'allocation découle du processus de sécurité système d'EN 50126-1 et d'EN 50126-2.

Quel lien entre EN 50128, EN 50716 et IEC 61508 ?

IEC 61508 est la norme générique de sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables relatifs à la sécurité. Les normes ferroviaires lui empruntent des éléments : l'avant-propos d'EN 50128:2011 indique que son nouvel article sur les outils s'appuie sur l'édition 2010 d'EN 61508. Mais un projet ferroviaire est évalué au regard des normes ferroviaires, et la STI CCS liste EN 50126-1, EN 50126-2, EN 50129 et, depuis le règlement (UE) 2026/693, EN 50716 comme moyen approprié de se conformer au processus de gestion des risques de la MSC. Elle ne liste pas IEC 61508.

Que signifient les classes d'outils T1, T2 et T3 ?

Elles classent les outils support selon leur effet sur le logiciel exécutable. Un outil T1 ne génère aucune sortie pouvant contribuer, directement ou indirectement, au code exécutable ou aux données (un éditeur de texte, par exemple). Un outil T2 sert au test ou à la vérification : une erreur de l'outil peut empêcher de révéler un défaut mais ne peut pas en créer un directement (analyseurs statiques, mesure de couverture). Un outil T3 génère des sorties qui contribuent directement ou indirectement au code exécutable ou aux données (un compilateur). Les exigences de l'article 6.7 croissent avec la classe, et EN 50716 conserve ce schéma dans un tableau qui relie chaque classe d'outil aux paragraphes applicables.

La STI CCS impose-t-elle EN 50128 ou EN 50716 ?

Ni l'une ni l'autre, au sens strict. L'appendice A, tableau A 3 de la STI CCS, règlement d'exécution (UE) 2023/1695, liste des normes dont l'application est un moyen approprié de se conformer pleinement au processus de gestion des risques du règlement (UE) n° 402/2013 ; d'autres normes peuvent être utilisées si au moins l'équivalence est démontrée. Le texte de 2023 listait EN 50128:2011+A2:2020. Le règlement d'exécution (UE) 2026/693, publié le 15 avril 2026, l'a remplacée par EN 50716:2023 et a ajouté une note selon laquelle l'ancienne EN 50128 peut encore être utilisée selon les tableaux de transition : pour les sous-systèmes bord dont la phase de conception a commencé avant le 28 septembre 2023, EN 50716 s'applique si la phase de conception se termine après le 30 octobre 2026.

EN 50716, EN 50128, EN 50657 : logiciel ferroviaire

Hugues Orgitello mis à jour le 7 oct. 2026 17 min de lecture

Pendant quinze ans, le logiciel ferroviaire européen a été développé selon deux normes CENELEC : EN 50128 pour la signalisation et EN 50657 pour le logiciel embarqué sur le matériel roulant. Toutes deux sont désormais remplacées par EN 50716:2023, « Applications ferroviaires, Exigences pour le développement de logiciels », dont la date de retrait des normes nationales en contradiction est le 30 octobre 2026. Le cadre de l'UE a suivi : EN 50716 a été ajoutée à la liste des normes harmonisées au titre de la directive (UE) 2016/797 en mars 2025, et en avril 2026 la STI CCS a remplacé EN 50128 par EN 50716 dans sa liste de normes. Ce guide lit les avant-propos et les domaines d'application des normes, le Journal officiel et les textes des STI, expose ce qui change, ce qui reste (niveaux d'intégrité, rôles, héritage IEC 61508, classes d'outils T1/T2/T3), et liste les affirmations que ces textes contredisent.

La famille CENELEC ferroviaire en 2026

La norme de logiciel ferroviaire n'est pas isolée. Elle s'inscrit sous un processus RAMS de niveau système et à côté d'une norme sur les systèmes électroniques de sécurité pour la signalisation. Les éditions ci-dessous sont celles listées dans la STI CCS modifiée en 2026 et dans la décision sur les normes harmonisées.

Référence	Édition	Titre (abrégé)	Rôle
EN 50126-1	2017	RAMS, partie 1 : processus RAMS générique	Cycle de vie et processus RAMS pour toute application ferroviaire. Harmonisée au titre de la directive (UE) 2016/797 (décision (UE) 2023/2584).
EN 50126-2	2017	RAMS, partie 2 : approche systémique de la sécurité	Analyse des dangers, acceptation des risques et allocation des exigences de sécurité jusqu'au logiciel. À utiliser avec EN 50126-1:2017. Harmonisée.
EN 50129	2018 + AC:2019	Systèmes électroniques de sécurité pour la signalisation	Dossier de sécurité et acceptation des systèmes électroniques de signalisation. Son annexe F donne des lignes directrices pour le développement de FPGA et de CPLD. Harmonisée.
EN 50716	2023	Exigences pour le développement de logiciels	Logiciel de signalisation et de matériel roulant. Remplace EN 50128 et EN 50657. Harmonisée depuis la décision (UE) 2025/424.
EN 50128	2011 + AC:2014 + A1:2020 + A2:2020	Logiciels pour systèmes de commande et de protection ferroviaire	Remplacée par EN 50716. Absente de la liste de la décision (UE) 2023/2584.
EN 50657	2017 + A1:2023	Logiciel embarqué sur le matériel roulant	Remplacée par EN 50716.

Les normes d'environnement comme EN 50121 (CEM ferroviaire) et EN 50155 (équipements électroniques du matériel roulant, édition 2021 dans la liste harmonisée) traitent du matériel, pas du processus logiciel. L'article 1.10 d'EN 50716 renvoie à EN 50155:2017 pour la logique programmable des fonctions non liées à la sécurité et à l'annexe F d'EN 50129:2018 pour les fonctions de sécurité, tandis que le logiciel exécuté sur un processeur « soft-core » dans un FPGA entre dans le domaine d'application d'EN 50716.

Chronologie : de deux normes à une seule

Date	Événement	Source
25 avril 2011	EN 50128:2011 approuvée par le CENELEC (dop 25 avril 2012, dow 25 avril 2014). Elle remplace EN 50128:2001.	Avant-propos d'EN 50128:2011
11 mai 2016	Adoption de la directive (UE) 2016/797 sur l'interopérabilité (pilier technique du 4e paquet ferroviaire).	JO L 138 du 26.5.2016
16 juin 2019	Date limite de transposition de la directive (UE) 2016/797, prorogeable d'un an ; les autorités nationales de sécurité ayant notifié la prorogation pouvaient encore autoriser au titre de la directive 2008/57/CE jusqu'au 16 juin 2020.	Directive (UE) 2016/797, articles 54 et 57
2020	Amendements A1:2020 et A2:2020 d'EN 50128.	Liste des normes remplacées par EN 50716
2023	Amendement A1:2023 d'EN 50657.	Liste des normes remplacées par EN 50716
10 août 2023	Nouvelle STI CCS, règlement d'exécution (UE) 2023/1695, qui liste EN 50128:2011+A2:2020 au tableau A 3. Elle abroge le règlement (UE) 2016/919.	JO L 222 du 8.9.2023
30 octobre 2023	EN 50716:2023 approuvée par le CENELEC (publiée en novembre 2023).	Page de titre d'EN 50716
15 novembre 2023	La décision (UE) 2023/2584 publie les normes harmonisées au titre de la directive (UE) 2016/797 : EN 50126-1:2017, EN 50126-2:2017 et EN 50129:2018 y figurent, pas EN 50128.	JO L du 21.11.2023
30 octobre 2024	dop d'EN 50716 : reprise nationale due.	Avant-propos d'EN 50716
4 mars 2025	La décision (UE) 2025/424 insère EN 50716:2023 en ligne 114a de la liste harmonisée.	JO L du 6.3.2025
15 avril 2026	Le règlement d'exécution (UE) 2026/693 modifie la STI CCS : EN 50716 remplace EN 50128 au tableau A 3. Entrée en vigueur le 5 mai 2026.	JO L du 15.4.2026
30 octobre 2026	dow d'EN 50716 : retrait des normes nationales en contradiction (les reprises d'EN 50128 et d'EN 50657). C'est aussi la date utilisée dans les tableaux de transition de la STI CCS.	Avant-propos d'EN 50716 ; règlement (UE) 2026/693

Ce que change EN 50716, article par article

L'avant-propos d'EN 50716 liste les modifications techniques significatives par rapport à EN 50128:2011 et EN 50657:2017. Le tableau met chacune en regard de l'article concerné. EN 50716 conserve l'ancienne numérotation autant que possible : certaines entrées sont « volontairement laissées vides » pour que le lecteur d'EN 50128 retrouve les exigences au même endroit.

Domaine	EN 50128:2011	EN 50716:2023
Domaine d'application (1.1)	Logiciel pour les applications ferroviaires de commande et de protection	Logiciel pour le contrôle-commande des applications de signalisation et pour les applications embarquées sur le matériel roulant ; installations fixes d'alimentation électrique de traction exclues (EN 50562 s'applique)
Logiciel sans impact sur la sécurité (1.3)	« Ne s'applique pas au logiciel identifié comme n'ayant aucun impact sur la sécurité »	1.3 laissé vide ; la norme s'applique à tout logiciel destiné aux applications ferroviaires, avec Basic Integrity comme niveau le plus bas
Logiciel développé selon une version antérieure (1.6)	Considéré comme conforme et non soumis aux exigences sur le logiciel préexistant	1.6 laissé vide
Niveaux d'intégrité	SSIL 0 à 4	Basic Integrity, puis SIL 1 à 4
Références système	EN 50126-1:1999 et EN 50129:2003	EN 50126-1:2017 et EN 50126-2:2017, avec définitions alignées
Organisation et rôles (article 5)	Organisation, indépendance, compétence	Exigences réécrites pour la lisibilité, options d'organisation globalement inchangées
Techniques (annexe A)	Tableaux par SSIL	Mis à jour pour s'aligner sur les phases du cycle de vie ; tableau A.17 sur la modélisation
Cycle de vie (annexe C)	Aucun cycle de vie imposé ; documents illustratifs	Toujours aucun cycle de vie imposé ; nouveau C.1 avec des exemples de cycles linéaires (cascade, V) et itératifs
Modélisation	Absente du texte de 2011	Nouveau C.2 de lignes directrices sur la modélisation pour le développement logiciel
Niveaux d'intégrité mixtes	Présenté comme nouveau dans l'avant-propos d'EN 50716	Lignes directrices supplémentaires pour les composants logiciels de niveaux d'intégrité différents
Langages de programmation	Exigences sur les langages de programmation	Exigences généralisées (tableau A.15, langages de programmation adaptés)
Cybersécurité	Non mentionnée dans l'avant-propos, l'introduction ou le domaine d'application	L'introduction indique que la norme ne spécifie pas d'exigences de sécurité informatique et renvoie aux normes de cybersécurité dédiées
Modifications mineures (1.9)	Seul 9.2 s'applique ; l'évaluateur vérifie la classification de la modification	Seul 9.2 s'applique

Niveaux d'intégrité du logiciel

Le niveau d'intégrité détermine les techniques et mesures choisies dans les tableaux normatifs de l'annexe A, l'indépendance des rôles et la profondeur de la vérification. Les deux normes disent la même chose des niveaux intermédiaires : les techniques exigées pour le niveau 1 sont les mêmes que pour le niveau 2, et celles du niveau 3 les mêmes que pour le niveau 4. En pratique, il y a trois paliers de tableaux de techniques, pas cinq.

EN 50128:2011	EN 50716:2023	Tableaux de techniques de l'annexe A
SSIL 0	Basic Integrity	Colonne propre
SSIL 1, SSIL 2	SIL 1, SIL 2	Mêmes exigences pour les deux niveaux
SSIL 3, SSIL 4	SIL 3, SIL 4	Mêmes exigences pour les deux niveaux

Le niveau ne se choisit pas côté logiciel. L'introduction d'EN 50716 indique qu'il relève d'EN 50126-1 et d'EN 50126-2 de définir les fonctions de sécurité allouées au logiciel, et que la norme « ne donne pas d'indication sur le niveau d'intégrité logicielle approprié à un risque donné ». L'allocation descend de l'analyse des dangers et de l'architecture système : à mesure que la spécification est décomposée en systèmes et composants, les niveaux d'intégrité sont alloués plus finement jusqu'à atteindre le logiciel.

Cycle de vie et documentation

Aucune des deux normes n'impose de cycle en V. EN 50128 indique qu'elle « n'impose pas l'utilisation d'un cycle de vie de développement logiciel particulier » ; EN 50716 le répète et ajoute des exemples de cycles itératifs en annexe C.1. Ce que les deux exigent, c'est un ensemble de phases avec des entrées, des sorties et une vérification définies :

exigences logicielles (SRS) et, en parallèle, architecture logicielle (7.2 et 7.3),
conception, réalisation et test des composants (7.4 et 7.5),
intégration sur le matériel cible (7.6),
test global du logiciel et validation finale (7.7),
déploiement et maintenance (9.1 et 9.2),
pour le logiciel générique configuré par des données d'application, le processus distinct de l'article 8.

Des activités d'assurance transverses couvrent tout le développement : test (6.1), vérification (6.2), validation (6.3), évaluation (6.4), assurance qualité (6.5), modification et maîtrise des changements (6.6), outils support et langages (6.7).

Rôles et indépendance

L'article 5.1 fixe l'organisation et l'indépendance des rôles, et l'annexe B décrit les rôles et responsabilités logiciels clés (Requirements Manager, Designer, Implementer, Tester, Verifier, Integrator, Validator, Assessor, Project Manager, Configuration Manager). L'indépendance exigée entre eux croît avec le niveau d'intégrité, et la figure 2 d'EN 50716 illustre la structure organisationnelle. L'avant-propos précise que la réécriture de l'article 5 a conservé les options d'organisation existantes « globalement inchangées » : une organisation mise en place pour EN 50128 n'a pas à être reconstruite.

Pour l'ETCS, la STI CCS change l'acteur de l'évaluation. Son point 4.2.1 prévoit que, lorsque les normes du tableau A 3 sont utilisées pour un sous-système ou un constituant d'interopérabilité ETCS, les activités d'évaluation indépendante de la sécurité exigées par ces normes sont réalisées par un organisme d'évaluation MSC accrédité ou reconnu selon l'annexe II du règlement (UE) n° 402/2013 dans le domaine contrôle-commande et signalisation, « au lieu d'un évaluateur indépendant de la sécurité CENELEC ». Les trois types d'indépendance (A, B et C) admis par le règlement (UE) n° 402/2013 sont permis.

Outils support : T1, T2, T3

L'article 6.7 classe les outils support logiciels selon leur effet sur le logiciel exécutable. EN 50716 conserve les trois classes et ajoute un tableau 1 qui relie chaque classe aux paragraphes applicables.

Classe	Définition	Exemples types
T1	Ne génère aucune sortie pouvant contribuer directement ou indirectement au code exécutable (données comprises)	Éditeur de texte, outil d'aide aux exigences ou à la conception sans génération de code, outil de gestion de configuration
T2	Sert au test ou à la vérification de la conception ou du code exécutable ; une erreur de l'outil peut empêcher de révéler des défauts mais ne peut pas créer directement d'erreur dans le logiciel exécutable	Analyseur statique, outil de mesure de couverture de test, générateur de bancs de test
T3	Génère des sorties pouvant contribuer directement ou indirectement au code exécutable (données comprises) du système relatif à la sécurité	Compilateur, éditeur de liens, générateur de code, compilateur de données ou d'algorithmes

La classe suit l'usage réel de l'outil dans le projet, pas sa catégorie commerciale. Un générateur qui ne produit que des rapports de test et un générateur qui produit des données de configuration embarquées ne sont pas dans la même classe.

Logiciel préexistant

Le logiciel préexistant (systèmes d'exploitation, bibliothèques, composants de projets antérieurs, logiciels commerciaux sur étagère) peut être utilisé si les exigences de 7.3.4.7 et 6.5.4.16 sur le logiciel préexistant, et de 6.7 pour les outils, sont satisfaites : l'article 1.5 le dit dans EN 50128 comme dans EN 50716. Un raccourci disparaît : l'article 1.6 d'EN 50128 indiquait qu'un logiciel développé selon n'importe quelle version d'EN 50128 est considéré comme conforme et non soumis aux exigences sur le logiciel préexistant. EN 50716 laisse l'article 1.6 volontairement vide.

Modification et maîtrise des changements

L'article 6.6 régit la modification et la maîtrise des changements, et le 9.2 la maintenance du logiciel. L'article 1.9 des deux normes précise qu'elles ne sont pas rétroactives : elles ne s'appliquent intégralement aux systèmes existants qu'en cas de modifications majeures, et pour les modifications mineures seul le 9.2 s'applique. EN 50128 ajoute que l'évaluateur analyse la documentation logicielle pour confirmer que la nature et l'ampleur de la modification ont été correctement déterminées.

Au niveau système, le terme européen opérant est « modification significative », pas « modification substantielle ». Selon l'article 4 du règlement (UE) n° 402/2013, le proposant décide si une modification est significative au regard des critères de l'article 4, paragraphe 2 ; si elle l'est, le processus de gestion des risques de l'article 5 s'applique et un organisme d'évaluation doit l'évaluer ; sinon, une documentation justifiant la décision suffit. La STI CCS liste aussi, pour les corrections d'erreurs, des conditions comme « le résultat du jugement de sécurité (par exemple le dossier de sécurité selon EN 50126) reste inchangé ».

STI, normes harmonisées et autorisation

Directive (UE) 2016/797. C'est la directive interopérabilité du 4e paquet ferroviaire. Selon l'article 17, les sous-systèmes et constituants d'interopérabilité conformes aux normes harmonisées publiées au Journal officiel sont présumés conformes aux exigences essentielles couvertes par ces normes. Selon l'article 15, le demandeur établit la déclaration « CE » de vérification d'un sous-système après que les organismes d'évaluation de la conformité qu'il a choisis ont appliqué la procédure de vérification « CE ». Selon l'article 21, l'autorisation de mise sur le marché d'un véhicule est délivrée par l'Agence de l'Union européenne pour les chemins de fer ou, lorsque le domaine d'utilisation se limite à un seul État membre et que le demandeur le souhaite, par l'autorité nationale de sécurité de cet État.

STI CCS. L'appendice A, tableau A 3 du règlement d'exécution (UE) 2023/1695 liste les normes dont l'application est « un moyen approprié de se conformer pleinement au processus de gestion des risques » de l'annexe I du règlement (UE) n° 402/2013. Lorsque d'autres normes sont appliquées, au moins l'équivalence doit être démontrée. Depuis le règlement (UE) 2026/693, le tableau se lit ainsi :

N°	Norme	Version	Note
A1	EN 50126-1	2017	Harmonisée
A2	EN 50716	2023	L'ancienne EN 50128 peut encore être utilisée selon les tableaux B1.1 et B2
A3	EN 50129	2018 + AC:2019	Harmonisée
A4	EN 50159	2010 + A1:2020	Harmonisée
A5	EN 50126-2	2017	Harmonisée ; à utiliser avec EN 50126-1:2017

Les tableaux de transition fixent le moment où EN 50716 s'impose :

Sous-système	Situation	EN 50716 à la place d'EN 50128
CCS bord (tableau B1.1)	Phase de conception commencée après le 28 septembre 2023	Directement applicable
CCS bord (tableau B1.1)	Phase de conception commencée avant le 28 septembre 2023	Applicable si la phase de conception se termine après le 30 octobre 2026
CCS bord (tableau B1.1)	Phase de production, véhicule en exploitation	Non applicable
CCS sol (tableau B2)	Tous cas	Après le 30 octobre 2026

Statut harmonisé d'EN 50716. La décision (UE) 2025/424 a inséré EN 50716:2023 dans la liste de la décision (UE) 2023/2584. Son considérant 5 limite la présomption : la norme confère, dans les limites de son domaine d'application, une présomption de conformité à certaines exigences du règlement (UE) 2016/919, la STI CCS abrogée en 2023, dans la mesure où l'article 14 du règlement (UE) 2023/1695 la maintient en application.

STI LOC&PAS. Le règlement (UE) n° 1302/2014 et sa modification de 2023, le règlement d'exécution (UE) 2023/1694, ne citent ni EN 50657, ni EN 50128, ni EN 50716. Pour le logiciel embarqué hors du sous-système CCS, la norme logicielle s'impose par l'analyse de risques et le contrat, pas par une référence de STI.

L'ERTMS est le système européen de contrôle-commande. Il associe l'ETCS (European Train Control System) à une radio mobile ferroviaire : le GSM-R aujourd'hui, le FRMCS à l'avenir, dont la STI CCS de 2023 juge encore les spécifications bord « non complètes aux fins de l'appel d'offres ».

Lien avec le marquage CE

Les sous-systèmes ferroviaires sont mis en service par la vérification CE et la déclaration « CE » de vérification au titre de la directive (UE) 2016/797, pas par la voie du marquage CE des directives produits. Certains équipements embarqués peuvent toutefois relever en parallèle d'autres textes de l'Union, comme la directive RED pour un émetteur radio embarqué. La page marquage CE détaille le cadre général et la présomption de conformité.

Pour le vocabulaire (SIL, RAMS, dossier de sécurité, PES, T1/T2/T3), voir le glossaire.

Voir aussi

Affirmations que les textes contredisent

Affirmation	Ce que dit le texte
« EN 50128 et EN 50657 sont les normes actuelles du logiciel ferroviaire. »	EN 50716:2023 les remplace toutes deux, avec tous leurs amendements et corrigenda. Les normes nationales en contradiction doivent être retirées au plus tard le 30 octobre 2026 (avant-propos d'EN 50716).
« EN 50716 ajoute des exigences de cybersécurité. »	Son introduction indique qu'elle ne spécifie pas d'exigences pour les politiques ou services de sécurité et qu'il convient d'appliquer les normes de cybersécurité appropriées. Elle signale seulement l'arbitrage entre mises à jour de sécurité rapides et approbation de sécurité.
« Les normes imposent un cycle en V. »	Les deux indiquent qu'elles n'imposent pas de cycle de vie particulier. L'annexe C.1 d'EN 50716 donne des exemples en V, en cascade et itératifs.
« SSIL 1 est plus léger que SSIL 2, et SSIL 4 plus strict que SSIL 3. »	Les techniques exigées pour le niveau 1 sont les mêmes que pour le niveau 2, et pour le niveau 3 les mêmes que pour le niveau 4 (introduction des deux normes).
« SSIL 0 n'impose rien au-delà d'ISO 9001. »	L'annexe A d'EN 50128 a une colonne pour le niveau 0. EN 50716 remplace le niveau 0 par Basic Integrity, qui a sa propre colonne.
« EN 50129 alloue le SIL au logiciel. »	L'introduction d'EN 50716 place la définition des fonctions de sécurité allouées au logiciel dans EN 50126-1 et EN 50126-2 (éditions 2017). EN 50129:2018 traite des systèmes électroniques de signalisation.
« IEC 61508 dit que la norme sectorielle prévaut, donc le ferroviaire n'y renvoie jamais. »	Cette phrase n'est pas une citation. Ce que montrent les textes est plus étroit : EN 50128 a fondé son article sur les outils sur EN 61508 (2010), et la STI CCS liste les normes ferroviaires CENELEC, pas IEC 61508.
« Chaque STI référence EN 50126, EN 50128, EN 50129 et EN 50657 ; la STI LOC&PAS référence EN 50657. »	Seule la STI CCS liste des normes de sécurité ferroviaire (tableau A 3). La STI LOC&PAS, règlement (UE) n° 1302/2014 et sa modification de 2023, n'en cite aucune.
« La STI CCS impose explicitement EN 50128 pour l'ETCS. »	Le tableau A 3 est « un moyen approprié » ; d'autres normes sont admises si au moins l'équivalence est démontrée. Depuis le règlement (UE) 2026/693, il liste EN 50716, EN 50128 n'étant conservée que dans le cadre des tableaux de transition.
« L'ISA pour SSIL 3-4 doit être une société externe accréditée par l'autorité nationale de sécurité. »	Pour l'ETCS, la STI CCS exige un organisme d'évaluation MSC accrédité ou reconnu selon le règlement (UE) n° 402/2013, au lieu d'un évaluateur indépendant de la sécurité CENELEC, et admet les types d'indépendance A, B et C.
« L'ERA délivre désormais toutes les autorisations de véhicules. »	L'article 21, paragraphe 8, de la directive (UE) 2016/797 permet à l'autorité nationale de sécurité de la délivrer lorsque le domaine d'utilisation se limite à un État membre et que le demandeur le demande.
« Une modification logicielle importante est une "modification substantielle" au sens du règlement 402/2013. »	Le règlement parle de « modification significative », appréciée selon les critères de l'article 4, paragraphe 2.

Pièges observés sur le terrain

Démarrer un nouveau projet sur EN 50128 fin 2026. Pour les sous-systèmes CCS bord dont la phase de conception a commencé après le 28 septembre 2023, EN 50716 est directement applicable selon la STI CCS modifiée, et pour le sol elle s'applique après le 30 octobre 2026. Vérifier les tableaux de transition et le contrat avant de figer le plan.
S'appuyer sur l'article 1.6 d'EN 50128. Un logiciel développé selon une version antérieure d'EN 50128 échappait aux exigences sur le logiciel préexistant. EN 50716 ne reprend pas cette phrase : les arguments de réutilisation sont à préparer au regard de 7.3.4.7 et 6.5.4.16.
Choisir le niveau d'intégrité côté logiciel. Le niveau découle du processus de sécurité système (EN 50126-1 et EN 50126-2) et de l'architecture. Le figer avant l'allocation système inverse l'ordre que décrivent les normes.
Lire cinq paliers là où il y en a trois. Les niveaux 1 et 2, et les niveaux 3 et 4, partageant les mêmes exigences de techniques, la marche de coût se situe entre Basic Integrity, la paire 1-2 et la paire 3-4.
Classer un outil d'après son nom commercial. T1, T2 et T3 dépendent de ce que fait la sortie dans ce projet. Un outil dont la sortie se retrouve dans l'exécutable ou ses données est T3.
Traiter une modification comme mineure sans décision tracée. L'article 9.2 traite les modifications mineures, mais au niveau système le règlement (UE) n° 402/2013 demande une documentation justifiant qu'une modification n'est pas significative.

Pour aller plus loin

Cette page couvre le cadre et le passage à EN 50716. Plusieurs sujets mériteraient un traitement dédié :

la structure du dossier de sécurité selon EN 50129:2018 et son lien avec la documentation logicielle,
les éléments de qualification des outils T2 et T3 selon l'article 6.7 et le tableau 1 d'EN 50716,
l'utilisation du logiciel préexistant selon 7.3.4.7 et 6.5.4.16,
le lien entre logiciel ferroviaire et exigences de cybersécurité (CLC/TS 50701, IEC 62443),
la répartition des rôles entre l'ERA et les autorités nationales de sécurité pour l'autorisation des véhicules.

Sources & références

EN 50716:2023, Applications ferroviaires, Exigences pour le développement de logiciels (aperçu BSI : page de titre, liste des normes remplacées, avant-propos européen avec dop et dow), CENELEC (via aperçu BSI) www.en-standard.eu/publicdoc/bs-en-50716-2023-preview-1.pdf
EN 50128:2011, Logiciels pour systèmes de commande et de protection ferroviaire (aperçu NSAI : avant-propos, introduction, domaine d'application), CENELEC (via aperçu NSAI) www.intertekinform.com/preview/98701753852.pdf?sku=859692_saig_nsai_nsai_2045205
Directive (UE) 2016/797 relative à l'interopérabilité du système ferroviaire au sein de l'Union européenne, EUR-Lex eur-lex.europa.eu/eli/dir/2016/797/oj
Règlement d'exécution (UE) 2023/1695, STI contrôle-commande et signalisation (STI CCS), appendice A, tableau A 3, EUR-Lex eur-lex.europa.eu/eli/reg_impl/2023/1695/oj
Règlement d'exécution (UE) 2026/693 modifiant la STI CCS (EN 50716 remplace EN 50128 au tableau A 3, tableaux de transition B1.1 et B2), EUR-Lex eur-lex.europa.eu/eli/reg_impl/2026/693/oj
Décision d'exécution (UE) 2023/2584 sur les normes harmonisées pour l'interopérabilité du système ferroviaire, EUR-Lex eur-lex.europa.eu/eli/dec_impl/2023/2584/oj
Décision d'exécution (UE) 2025/424 modifiant la décision (UE) 2023/2584 (ajout d'EN 50716:2023), EUR-Lex eur-lex.europa.eu/eli/dec_impl/2025/424/oj
Règlement d'exécution (UE) n° 402/2013, méthode de sécurité commune relative à l'évaluation et à l'appréciation des risques (MSC ER), EUR-Lex eur-lex.europa.eu/eli/reg_impl/2013/402/oj
Règlement (UE) n° 1302/2014, STI locomotives et matériel roulant destiné au transport de passagers (STI LOC&PAS), EUR-Lex eur-lex.europa.eu/eli/reg/2014/1302/oj
Agence de l'Union européenne pour les chemins de fer (ERA), spécifications techniques d'interopérabilité (STI), ERA www.era.europa.eu/domains/technical-specifications-interoperability_en
4e paquet ferroviaire, Commission européenne, Mobilité et transports, Commission européenne transport.ec.europa.eu/transport-modes/rail/railway-packages_en
IEC 61508, Sécurité fonctionnelle des systèmes électriques/électroniques/électroniques programmables relatifs à la sécurité, IEC www.iec.ch/functional-safety

Questions fréquentes

EN 50128 et EN 50657 sont-elles encore valides ?: Elles sont en cours de retrait. EN 50716:2023, « Applications ferroviaires, Exigences pour le développement de logiciels », a été approuvée par le CENELEC le 30 octobre 2023 et remplace EN 50128:2011 et EN 50657:2017 avec tous leurs amendements et corrigenda (EN 50128 AC:2014, A1:2020, A2:2020 et EN 50657 A1:2023). Son avant-propos européen fixe la date de publication au niveau national (dop) au 30 octobre 2024 et la date de retrait des normes nationales en contradiction (dow) au 30 octobre 2026. Après cette date, les organismes nationaux de normalisation doivent avoir retiré leurs reprises d'EN 50128 et d'EN 50657. Les projets en cours suivent les règles de transition du contrat ou de la STI applicable, pas une coupure générale.
Quelle est la différence entre EN 50128 et EN 50657 ?: Le périmètre. EN 50128:2011 couvre le logiciel des systèmes électroniques programmables pour les applications ferroviaires de commande et de protection, c'est-à-dire la signalisation. EN 50657:2017 couvre le logiciel des systèmes électroniques programmables embarqués sur le matériel roulant. EN 50716:2023 fusionne les deux : son article 1.1 couvre à la fois le contrôle-commande pour les applications de signalisation et les applications embarquées sur le matériel roulant, et exclut les installations fixes d'alimentation électrique de traction (pour lesquelles l'avant-propos renvoie à EN 50562). EN 50716 conserve autant que possible la numérotation de ses prédécesseurs, en laissant certaines entrées volontairement vides.
Qu'est-ce qu'un SSIL, et qu'utilise EN 50716 à la place ?: EN 50128:2011 définit cinq niveaux d'intégrité de sécurité du logiciel, de 0 à 4, et précise qu'elle ne s'applique pas au logiciel identifié comme sans impact sur la sécurité. EN 50716:2023 définit aussi cinq niveaux d'intégrité logicielle, mais le plus bas s'appelle Basic Integrity, notion introduite d'abord dans la série EN 50126, suivi des niveaux d'intégrité de sécurité 1 à 4. Dans les deux normes, les techniques exigées pour le niveau 1 sont les mêmes que pour le niveau 2, et celles du niveau 3 les mêmes que pour le niveau 4. Aucune des deux ne dit quel niveau convient à un risque donné : l'allocation découle du processus de sécurité système d'EN 50126-1 et d'EN 50126-2.
Quel lien entre EN 50128, EN 50716 et IEC 61508 ?: IEC 61508 est la norme générique de sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables relatifs à la sécurité. Les normes ferroviaires lui empruntent des éléments : l'avant-propos d'EN 50128:2011 indique que son nouvel article sur les outils s'appuie sur l'édition 2010 d'EN 61508. Mais un projet ferroviaire est évalué au regard des normes ferroviaires, et la STI CCS liste EN 50126-1, EN 50126-2, EN 50129 et, depuis le règlement (UE) 2026/693, EN 50716 comme moyen approprié de se conformer au processus de gestion des risques de la MSC. Elle ne liste pas IEC 61508.
Que signifient les classes d'outils T1, T2 et T3 ?: Elles classent les outils support selon leur effet sur le logiciel exécutable. Un outil T1 ne génère aucune sortie pouvant contribuer, directement ou indirectement, au code exécutable ou aux données (un éditeur de texte, par exemple). Un outil T2 sert au test ou à la vérification : une erreur de l'outil peut empêcher de révéler un défaut mais ne peut pas en créer un directement (analyseurs statiques, mesure de couverture). Un outil T3 génère des sorties qui contribuent directement ou indirectement au code exécutable ou aux données (un compilateur). Les exigences de l'article 6.7 croissent avec la classe, et EN 50716 conserve ce schéma dans un tableau qui relie chaque classe d'outil aux paragraphes applicables.
La STI CCS impose-t-elle EN 50128 ou EN 50716 ?: Ni l'une ni l'autre, au sens strict. L'appendice A, tableau A 3 de la STI CCS, règlement d'exécution (UE) 2023/1695, liste des normes dont l'application est un moyen approprié de se conformer pleinement au processus de gestion des risques du règlement (UE) n° 402/2013 ; d'autres normes peuvent être utilisées si au moins l'équivalence est démontrée. Le texte de 2023 listait EN 50128:2011+A2:2020. Le règlement d'exécution (UE) 2026/693, publié le 15 avril 2026, l'a remplacée par EN 50716:2023 et a ajouté une note selon laquelle l'ancienne EN 50128 peut encore être utilisée selon les tableaux de transition : pour les sous-systèmes bord dont la phase de conception a commencé avant le 28 septembre 2023, EN 50716 s'applique si la phase de conception se termine après le 30 octobre 2026.
EN 50716 est-elle une norme harmonisée ?: Oui, avec une portée étroite. La décision d'exécution (UE) 2025/424 du 4 mars 2025 a inséré EN 50716:2023 en ligne 114a de la liste des normes harmonisées au titre de la directive (UE) 2016/797. Son considérant 5 indique qu'elle confère, dans les limites de son domaine d'application, une présomption de conformité à certaines exigences de l'ancienne STI CCS, le règlement (UE) 2016/919, dans la mesure où l'article 14 du règlement (UE) 2023/1695 s'applique. EN 50128 ne figure pas dans la liste publiée par la décision d'exécution (UE) 2023/2584, alors qu'EN 50126-1:2017, EN 50126-2:2017 et EN 50129:2018 y figurent.