AirCyber et NIS 2 : Conformité Supply Chain Aérospatiale

La directive NIS 2 (Network and Information Security 2), transposée en droit français fin 2024 et dont les obligations entrent pleinement en application pour les sous-traitants à partir de fin 2027, crée un mécanisme de cascade réglementaire inédit dans la filière aéronautique et spatiale. Les entités essentielles comme Airbus, Dassault Aviation, Safran et Thales — membres fondateurs de BoostAerospace depuis 2011 — sont directement assujetties à NIS 2 et doivent désormais démontrer qu'elles sécurisent l'ensemble de leur chaîne d'approvisionnement numérique. Cette obligation de cascade impose aux sous-traitants et équipementiers de démontrer leur maturité cybersécurité sous peine de déréférencement commercial. Dans ce contexte, le label AirCyber Bronze, avec ses 44 mesures ANSSI et ses exigences sectorielles, s'impose comme la réponse la plus naturelle et la plus rapide pour les sous-traitants aérospatiaux cherchant à satisfaire simultanément les exigences de leurs donneurs d'ordre et la réglementation NIS 2. Ce dossier analyse point par point les synergies et complémentarités entre les deux référentiels.

Ce que NIS 2 impose aux entités essentielles aérospatiales

L'Article 21 de la directive NIS 2 impose aux entités essentielles un ensemble de mesures de gestion des risques de cybersécurité qui s'étendent explicitement à la chaîne d'approvisionnement. Pour les grands donneurs d'ordre aérospatiaux, cela se traduit concrètement par :

• Évaluation des risques fournisseurs : obligation d'analyser les risques cyber introduits par chaque prestataire et sous-traitant ayant accès au SI
• Clauses contractuelles sécurité : intégration d'exigences minimales de cybersécurité dans tous les contrats de sous-traitance
• Surveillance continue : mécanismes de vérification périodique de la conformité des sous-traitants
• Notification d'incidents : obligation de remontée d'information en cas d'incident affectant la chaîne d'approvisionnement
• Pénalités : amendes pouvant atteindre 10 M€ ou 2% du CA mondial pour les entités essentielles en cas de non-conformité

Ces obligations transforment fondamentalement la relation donneur d'ordre / sous-traitant : un équipementier sans preuve de maturité cyber devient un risque légal direct pour son client.

Ce que NIS 2 impose aux sous-traitants aérospatiaux

Si les sous-traitants ne sont pas directement soumis à NIS 2 (sauf s'ils dépassent les seuils d'entité importante), ils subissent la pression contractuelle de leurs clients. Concrètement, les sous-traitants auront à :

• Démontrer leur niveau de maturité cyber via une labellisation reconnue (AirCyber, ISO 27001) ou un questionnaire d'évaluation
• Mettre en place des procédures de notification d'incidents vers leurs donneurs d'ordre dans des délais contraints (72h)
• Appliquer des mesures de sécurité minimales sur les actifs traitant des données ou des systèmes du donneur d'ordre
• Documenter leur politique de gestion des risques cyber liés à la chaîne d'approvisionnement

Comment AirCyber Bronze répond aux exigences NIS 2 pour les sous-traitants

L'alignement entre AirCyber Bronze et les exigences NIS 2 Article 21 est remarquable. Les 44 mesures de Bronze couvrent les principaux domaines NIS 2 applicables aux sous-traitants :

AirCyber Bronze ne couvre pas exhaustivement NIS 2 (notamment les aspects de gouvernance avancée et les obligations de reporting direct vers l'ANSSI), mais il constitue une base solide et sectorielle reconnue qui répond à l'essentiel des attentes contractuelles des donneurs d'ordre assujettis à NIS 2.

Le risque de déréférencement supply chain pour les non-conformes

Le risque pour les sous-traitants non-conformes est concret et croissant. Les pénalités NIS 2 en France entrent pleinement en vigueur fin 2027 pour la chaîne d'approvisionnement, mais les donneurs d'ordre n'attendent pas cette échéance : les clauses contractuelles cyber sont déjà intégrées dans les nouveaux appels d'offres Airbus, Dassault et Safran.

Un sous-traitant sans labellisation AirCyber expose son donneur d'ordre à un risque de non-conformité NIS 2, ce qui peut conduire à :

• Une suspension ou résiliation de contrat lors du renouvellement
• Un déclassement dans la qualification fournisseur (impact sur les volumes alloués)
• Une exclusion des appels d'offres futurs nécessitant un niveau de maturité démontré
• La perte de statut de fournisseur qualifié pour les programmes sensibles

Double conformité AirCyber + NIS 2 : ce qu'il faut faire en plus

Pour les entreprises directement assujetties à NIS 2 (entités importantes dépassant 50 salariés ou 10 M€ de CA dans un secteur critique), AirCyber Bronze ne suffit pas seul. La double conformité exige des compléments :

• Enregistrement auprès de l'ANSSI via le portail MonEspaceNIS2 (obligation légale)
• Notification d'incidents en 24h/72h/30j selon le niveau de gravité
• Désignation d'un point de contact NIS 2 identifié auprès des autorités
• Extension de l'analyse de risques à l'ensemble de la chaîne d'approvisionnement numérique
• Tests de pénétration annuels sur les systèmes critiques (recommandé NIS 2, non obligatoire Bronze)

Notre service d'accompagnement AirCyber intègre ces compléments NIS 2 dans la feuille de route globale. Consultez également notre Centre de Ressources AirCyber pour les modèles documentaires adaptés.

CERT Aviation : rôle dans la détection et l'alerte

Créé en novembre 2022 par 9 fondateurs de la filière aéronautique, le CERT Aviation (Computer Emergency Response Team sectoriel) joue un rôle central dans l'articulation entre AirCyber et NIS 2. Ses missions :

• Collecte et analyse des incidents remontés par les membres AirCyber
• Diffusion d'alertes sectorielles sur les menaces spécifiques à l'aéronautique (ransomware, espionnage industriel)
• Coordination avec l'ANSSI pour les incidents majeurs relevant de NIS 2
• Partage de renseignement sur les menaces (CTI) entre membres du réseau
• Reconnaissance mondiale comme Aviation ISAC lors du sommet de Dublin en 2023

FAQ : AirCyber et NIS 2

Un sous-traitant aéronautique est-il directement soumis à NIS 2 ?

Pas automatiquement. La directive NIS 2 s'applique directement aux entités essentielles et importantes selon des critères de taille (50+ salariés ou 10 M€+ de CA) et de secteur. Cependant, même les PME non-assujetties directement subissent la pression contractuelle de leurs clients donneurs d'ordre assujettis, qui doivent sécuriser leur chaîne d'approvisionnement pour respecter leurs propres obligations NIS 2.

AirCyber Bronze suffit-il pour satisfaire les clauses NIS 2 imposées par Airbus ou Dassault ?

Dans la grande majorité des cas, oui. Les clauses contractuelles dérivées de NIS 2 que les donneurs d'ordre intègrent dans leurs appels d'offres référencent des niveaux de maturité compatibles avec AirCyber Bronze. Certains contrats très sensibles peuvent exiger Silver ou un audit spécifique — vérifiez toujours les clauses exactes de votre contrat.

Quelle est la différence entre AirCyber et NIS 2 en termes d'obligations de notification ?

AirCyber Bronze prévoit une procédure de gestion des incidents interne et une remontée vers le CERT Aviation pour les incidents significatifs. NIS 2 impose en plus une notification obligatoire à l'ANSSI en 24h (alerte préliminaire), 72h (notification complète) et 30 jours (rapport final) pour les entités assujetties. Ces obligations de notification sont complémentaires et non redondantes.