AirCyber : Guide Complet de la Labellisation Aéronautique

La certification AirCyber est devenue en 2026 le sésame incontournable pour les fournisseurs de la supply chain aéronautique européenne. Portée par BoostAeroSpace (plateforme collaborative du secteur) et l'ASD (AeroSpace and Defence Industries Association of Europe), cette labellisation cybersécurité répond à une réalité que les incidents récents ont cruellement illustrée : la supply chain aéronautique est une cible de choix pour les acteurs malveillants, et un fournisseur de rang 3 mal sécurisé peut compromettre l'ensemble de la chaîne de valeur. Airbus, Safran, Thales et Dassault l'ont compris. Depuis 2024-2025, les appels d'offres incluent de plus en plus des exigences explicites de labellisation AirCyber — Bronze au minimum, Silver pour les fournisseurs de rang 1 les plus critiques. Ce n'est pas encore une obligation légale universelle, mais la pression contractuelle produit le même effet. L'ENISA identifie la supply chain comme vecteur d'attaque numéro un depuis 2023 — et le secteur aéronautique, avec ses systèmes embarqués critiques et ses données de conception sensibles, est en première ligne. Pour les fournisseurs concernés, la question n'est plus de savoir si se lancer dans AirCyber, mais comment le faire efficacement.

Qu'est-ce qu'AirCyber et pourquoi existe-t-il ?

AirCyber n'est pas une norme ISO ni une réglementation gouvernementale. C'est un référentiel sectoriel développé par l'industrie, pour l'industrie, avec le soutien de l'ANSSI et en cohérence avec les cadres européens. Son origine remonte à la prise de conscience collective, vers 2020-2022, que les attaques par supply chain ciblant le secteur aéronautique étaient en hausse constante — et que les grandes entreprises ne pouvaient pas contrôler seules le niveau de cybersécurité de leurs milliers de fournisseurs.

La solution : créer un référentiel commun, accessible même aux PME, avec un processus d'évaluation gradué. Bronze pour les petites structures qui débutent leur démarche cybersécurité. Silver pour les fournisseurs importants qui ont atteint un niveau intermédiaire. Gold pour les partenaires stratégiques qui gèrent des données et des systèmes les plus sensibles.

BoostAeroSpace — la joint-venture créée par Airbus, Dassault Aviation, Safran et Thales — pilote la plateforme CSAE (Cyber Security Assessment and Excellence) qui héberge les questionnaires d'auto-évaluation et le processus de certification. L'ASD assure la dimension européenne, avec des équivalences en cours de développement avec d'autres secteurs (défense, spatial).

Ce qui distingue AirCyber d'une certification générique comme ISO 27001, c'est son ancrage sectoriel. Certains contrôles sont spécifiques aux risques de l'industrie aéronautique : protection des données de conception et de fabrication (ITAR/EAR pour les données à double usage), sécurisation des accès aux systèmes PLM (Product Lifecycle Management), gestion des sous-traitants eux-mêmes impliqués dans la supply chain, et mesures spécifiques pour les systèmes embarqués.

Bronze : l'auto-évaluation comme point d'entrée

Le niveau Bronze est conçu pour être accessible à une PME industrielle sans RSSI dédié ni expertise cybersécurité profonde. C'est intentionnel — l'objectif est de faire monter l'ensemble de la supply chain, pas seulement les grands fournisseurs.

L'auto-évaluation Bronze se réalise via la plateforme CSAE et couvre environ 30 contrôles de cybersécurité fondamentaux, organisés en domaines : gouvernance et organisation de la sécurité, gestion des risques basique, protection des systèmes d'information (mise à jour, antivirus, contrôle d'accès), sécurité physique des locaux et des postes de travail, sensibilisation des collaborateurs, et gestion des incidents de sécurité.

Pour chaque contrôle, l'organisation auto-déclare son niveau de conformité. Le questionnaire est structuré pour guider même une organisation sans expertise cybersécurité formelle. Il n'y a pas d'auditeur externe pour le Bronze — c'est une auto-déclaration avec engagement de l'organisation sur la sincérité de ses réponses. Ce qui n'empêche pas les donneurs d'ordre de vérifier par des questionnaires complémentaires ou des audits de second parti.

Durée typique pour réaliser l'auto-évaluation Bronze : 2 à 5 jours de travail pour une PME de 50 à 200 personnes, en impliquant le dirigeant, le responsable informatique et un ou deux responsables de processus clés. La plateforme CSAE génère un rapport de maturité et un plan d'action pour les contrôles non satisfaits. C'est aussi ce rapport qui sert de base aux échanges avec les donneurs d'ordre.

Silver : l'audit externe de conformité

Le niveau Silver est un saut qualitatif significatif. L'auto-déclaration ne suffit plus — un organisme d'audit accrédité doit évaluer la conformité de l'organisation à environ 70 contrôles, dont l'ensemble des contrôles Bronze plus des exigences supplémentaires dans des domaines plus techniques.

Les contrôles additionnels Silver couvrent notamment : la segmentation réseau et la protection des échanges de données avec les partenaires et sous-traitants, la gestion des identités et des accès privilégiés, la supervision et la journalisation des événements de sécurité, les tests de sécurité réguliers (au minimum un audit annuel de la sécurité des systèmes), la gestion de la continuité d'activité en cas d'incident cyber, et la gestion des risques liés aux prestataires et sous-traitants eux-mêmes.

L'audit Silver suit une méthodologie structurée : revue documentaire (politiques, procédures, preuves de conformité), entretiens avec les responsables, et vérifications techniques sur des échantillons. L'auditeur produit un rapport avec les constats, les non-conformités identifiées et un avis de conformité ou non-conformité.

La durée d'audit sur site varie selon la taille : de 3 jours pour une PME de 100 personnes à 7-10 jours pour une ETI de 500 personnes avec des systèmes complexes. Le coût total (préparation + audit + correction des non-conformités mineures) est typiquement de l'ordre de 20 000 à 60 000 euros pour une organisation qui part d'un niveau de maturité intermédiaire.

Gold : le niveau d'excellence comparable à ISO 27001

AirCyber Gold est réservé aux fournisseurs qui traitent les actifs les plus sensibles de la supply chain : données de conception classifiées, accès aux systèmes d'information du donneur d'ordre, systèmes embarqués critiques, équipements de défense. C'est le niveau le plus exigeant, avec 100+ contrôles et un processus d'audit approfondi.

La comparaison avec ISO 27001:2022 est légitime. Les 93 contrôles de l'Annexe A ISO 27001 et les contrôles Gold AirCyber partagent une base conceptuelle commune — gouvernance, gestion des risques, contrôles techniques, sécurité opérationnelle, conformité. Mais AirCyber Gold ajoute des contrôles spécifiques absents d'ISO 27001 pur : protection des données techniques à double usage (ITAR, EAR), sécurité des échanges via les portails collaboratifs aéronautiques (Airbus AirSupply, Safran Connect), gestion de la sécurité des systèmes embarqués, et exigences spécifiques pour les fournisseurs impliqués dans des programmes de défense.

Pour une organisation déjà certifiée ISO 27001:2022, viser Gold AirCyber représente un effort supplémentaire estimé à 20-30% par rapport à la certification ISO 27001 seule — principalement sur les contrôles sectoriels spécifiques. L'investissement est justifié si l'organisation a des ambitions de développement commercial avec les grands donneurs d'ordre de rang 1.

Tableau comparatif des trois niveaux AirCyber

Comment se lancer dans la démarche AirCyber ?

Le chemin le plus efficace commence par une évaluation de maturité initiale sur la plateforme CSAE, même si l'organisation vise Silver ou Gold à terme. Cette évaluation Bronze fournit une cartographie honnête des écarts et permet de dimensionner le projet correctement.

La séquence recommandée : accéder à la plateforme CSAE, créer le compte de l'organisation, réaliser l'auto-évaluation Bronze en impliquant les bonnes parties prenantes (DSI, responsable qualité, direction), analyser le rapport de résultats, identifier les actions prioritaires, puis planifier la progression vers Silver ou Gold selon les exigences contractuelles des donneurs d'ordre.

Un point souvent sous-estimé : la documentation. AirCyber, comme ISO 27001, exige des preuves documentées de la mise en œuvre des contrôles. Avoir une politique de sécurité, des procédures de gestion des incidents, un plan de continuité d'activité — tout cela doit exister sous forme écrite et être maintenu à jour. Beaucoup de PME industrielles ont des pratiques de sécurité correctes mais non documentées, ce qui les met en difficulté lors des audits Silver.

Les ressources disponibles : les guides AirCyber publiés par BoostAeroSpace, les formations proposées par certains organismes d'audit, et les accompagnements de consultants spécialisés. L'ANSSI propose également des ressources de sensibilisation adaptées aux PME industrielles dans le cadre du CERT-FR.

AirCyber et ISO 27001 : comment combiner les deux certifications ?

La question revient systématiquement lors des accompagnements : « Faut-il viser AirCyber ou ISO 27001 ? Peut-on faire les deux ? » La réponse dépend du contexte, mais la complémentarité est réelle.

Si l'organisation n'a aucune certification et travaille uniquement avec la supply chain aéronautique, AirCyber est le choix naturel : il est sectoriel, reconnu par les donneurs d'ordre, et plus directement applicable que la certification ISO 27001 générique. Si l'organisation a des clients dans plusieurs secteurs (aéronautique, défense, santé, industrie) et souhaite une certification de portée universelle, ISO 27001 est le cadre de référence, complété par AirCyber pour les exigences sectorielles.

La stratégie la plus efficiente pour les ETI visant Gold : démarrer par ISO 27001:2022 (qui donne la base SMSI), puis compléter avec les contrôles AirCyber spécifiques pour décrocher le Gold. Cette approche évite de faire deux fois le travail de gouvernance et de documentation de base.

Articulation avec NIS2 et IEC 62443

Pour les fournisseurs impliqués dans des systèmes d'automatisation et de contrôle industriel (SCADA, PLC, DCS), AirCyber Gold s'articule avec la norme IEC 62443 qui définit les exigences de cybersécurité pour les systèmes OT/ICS. Les deux référentiels sont complémentaires et non redondants : AirCyber Gold couvre la sécurité des systèmes d'information de l'organisation fournisseur, IEC 62443 couvre la sécurité des systèmes qu'elle conçoit ou opère pour le compte du client.

Du côté de NIS2, les fournisseurs aéronautiques qui sont eux-mêmes des opérateurs essentiels ou importants (ce qui peut être le cas pour des ETI de taille significative dans les secteurs transport ou industrie manufacturière critique) doivent aligner AirCyber avec leurs obligations NIS2. Bonne nouvelle : l'article 21 NIS2 et les contrôles AirCyber Silver/Gold convergent largement sur les mesures de sécurité requises.

Questions fréquentes

AirCyber Bronze est-il vraiment suffisant pour répondre aux exigences Airbus ou Safran ?

Bronze est le niveau minimal accepté pour les fournisseurs les moins critiques — ceux qui ne traitent pas de données techniques sensibles et n'ont pas d'accès direct aux systèmes d'information du donneur d'ordre. Dès lors qu'un fournisseur manipule des plans de conception, des données ITAR, ou a un accès distant aux portails collaboratifs des grands comptes, Silver minimum est requis. Pour les partenaires stratégiques avec des accès étendus, Gold est souvent imposé contractuellement.

Combien de temps faut-il pour décrocher Silver en partant de zéro ?

Pour une PME de 100-200 personnes sans SMSI formalisé mais avec des pratiques de sécurité existantes : 9 à 15 mois de travail. Ce délai comprend la phase de diagnostic et de cartographie (1-2 mois), la mise en œuvre des contrôles manquants (4-8 mois), la préparation à l'audit (1-2 mois) et l'audit lui-même. Une organisation déjà certifiée ISO 27001 peut viser Silver en 3-6 mois.

Que se passe-t-il si on échoue à l'audit Silver ?

Un rapport de non-conformité est émis, détaillant les écarts. L'organisation dispose généralement de 3 à 6 mois pour corriger les non-conformités et demander un audit de suivi. Il n'y a pas de limite au nombre d'audits de suivi, mais chaque audit supplémentaire a un coût. Le plus efficace est d'investir dans la préparation pour maximiser les chances de succès au premier audit.

Les sous-traitants de nos sous-traitants sont-ils concernés par AirCyber ?

C'est la question de la supply chain étendue. AirCyber Silver et Gold imposent explicitement des contrôles sur la gestion de la sécurité des sous-traitants et prestataires — y compris l'obligation de s'assurer que les sous-traitants ayant accès à des informations sensibles ont un niveau de maturité cybersécurité minimum. En pratique, cela crée une pression en cascade sur toute la supply chain aéronautique.

AirCyber dans la pratique : retours d'expérience de PME labellisées

La théorie du référentiel AirCyber est une chose. Ce que vivent les organisations qui s'y engagent en est une autre. Voici des retours représentatifs de PME accompagnées dans leur démarche de labellisation.

Une PME de 80 personnes spécialisée dans l'usinage de précision, fournisseur de rang 2 de Safran, a démarré sa démarche AirCyber Bronze en réalisant qu'elle n'avait pratiquement aucune politique de sécurité formalisée. La direction pensait que les pratiques informelles en place depuis quinze ans suffisaient. L'auto-évaluation CSAE a révélé 14 contrôles non satisfaits sur 30, principalement sur la gestion des mots de passe, les mises à jour des systèmes et l'absence de procédure de sauvegarde vérifiée. Six mois plus tard, la labellisation Bronze était obtenue — et l'entreprise avait comblé des lacunes sécurité qui existaient depuis des années sans que personne ne les ait formalisées.

Un bureau d'études de 40 ingénieurs travaillant sur des données de conception sensibles (données à double usage sous réglementation EAR) a dû atteindre Silver pour répondre à un appel d'offres Airbus. La principale difficulté rencontrée : la mise en conformité sur la protection des données à double usage, qui nécessitait une politique de contrôle des exportations et une formation spécifique des ingénieurs. Délai total : quatorze mois. Investissement global : 45 000 euros. Résultat : contrat signé pour trois ans — un retour sur investissement largement positif.

Les écueils à éviter dans la démarche BoostAerospace AirCyber

Quelques erreurs classiques observées dans les démarches BoostAerospace AirCyber, et comment les éviter.

Première erreur : sous-estimer le temps de préparation documentaire. L'audit Silver ne vérifie pas seulement que les contrôles sont en place — il vérifie qu'ils sont documentés et que les preuves de leur application existent. Une organisation qui gère ses sauvegardes correctement mais n'a pas de politique de sauvegarde écrite, de log de vérification hebdomadaire et de rapport de test de restauration annuel aura une non-conformité malgré une pratique correcte. La documentation n'est pas une bureaucratie inutile : c'est la preuve que la sécurité est gérée de manière délibérée.

Deuxième erreur : confier la démarche uniquement à l'informaticien. AirCyber couvre des domaines qui dépassent largement l'IT : sécurité physique, gestion des ressources humaines, conformité contractuelle, continuité d'activité, gestion des sous-traitants. Le directeur général, le responsable RH et le responsable qualité doivent être impliqués — pas juste consultés ponctuellement. Troisième erreur : viser un niveau trop élevé trop vite. Des PME qui n'ont jamais fait de sécurité formalisée visent parfois directement Silver ou Gold sous la pression commerciale. Le risque : un audit raté, de la frustration et des coûts élevés. Bronze bien préparé, avec un plan de progression vers Silver sur dix-huit à vingt-quatre mois, est une stratégie plus robuste et plus durable.

Évolutions du référentiel BoostAerospace AirCyber : ce qui vient en 2026-2027

BoostAerospace AirCyber est un référentiel vivant. BoostAeroSpace et l'ASD travaillent sur plusieurs évolutions qui impacteront les organisations labellisées ou en cours de labellisation. La convergence avec TISAX (Trusted Information Security Assessment Exchange, le référentiel équivalent dans l'industrie automobile allemande) est à l'étude. Une harmonisation des deux référentiels faciliterait la vie des fournisseurs qui opèrent dans les deux secteurs en évitant de multiplier les certifications distinctes.

L'intégration renforcée des contrôles spécifiques OT/ICS alignés avec IEC 62443 est également en cours, reflétant la montée en puissance des systèmes cyber-physiques dans la production aéronautique. Enfin, l'alignement avec l'AI Act pour les fournisseurs qui développent ou utilisent des systèmes IA dans leurs processus de conception, de fabrication ou de maintenance aéronautique est identifié comme un chantier prioritaire. Des contrôles spécifiques IA pourraient apparaître dans les prochaines versions du référentiel Gold.

Budget et ROI de la labellisation BoostAerospace AirCyber

La question du budget est légitime et souvent mal traitée dans les documents officiels. Voici une estimation réaliste des coûts par niveau, fondée sur des démarches réelles accompagnées en 2025-2026.

Pour le Bronze, le coût principal est le temps interne : deux à cinq jours de travail pour une PME de cinquante à deux cents personnes. Si l'organisation fait appel à un consultant pour piloter l'auto-évaluation et préparer le plan d'action, comptez entre cinq et quinze mille euros. Les actions correctives pour atteindre le niveau Bronze partent généralement de lacunes techniques basiques — mises à jour, mots de passe, sauvegardes — dont le coût de correction est faible si les outils sont déjà en place.

Pour le Silver, l'audit externe représente entre quinze et trente mille euros selon l'organisme et la taille de l'organisation. Les actions correctives pré-audit sont typiquement plus substantielles : mise en place d'une journalisation centralisée, segmentation réseau, formalisation des procédures de gestion des incidents. Budget global réaliste pour une ETI de cent personnes partant d'un niveau de maturité intermédiaire : quarante à soixante mille euros sur dix-huit mois. Pour le Gold, les coûts d'audit sont plus élevés (trente à quatre-vingts mille euros) et les actions correctives peuvent impliquer des investissements significatifs en outils ou en organisation. Pour les fournisseurs dont la relation avec les donneurs d'ordre stratégiques justifie Gold, l'investissement est généralement rentable sur deux à trois ans par la sécurisation et le développement des contrats.

Conclusion

La conformité réglementaire n'est pas une destination mais un état à maintenir. Chaque évolution du SI, chaque nouveau fournisseur peut modifier le périmètre. Documentation, audits réguliers et formation des équipes en sont les piliers.