NIS 2 et fournisseurs aéronautiques : obligations 2026

La directive NIS 2 a changé la donne pour l'ensemble de la chaîne d'approvisionnement aéronautique française. Là où la première mouture du texte ne visait qu'une poignée d'opérateurs de transport aérien, la version révisée fait entrer dans son périmètre les industriels qui fabriquent les cellules, les moteurs, les trains d'atterrissage, l'avionique et les milliers de pièces élémentaires sans lesquelles aucun appareil ne sort d'usine. Pour un équipementier de rang 1, un usineur de rang 2 ou un traitant de surface de rang 3, la question n'est plus de savoir si la conformité cyber deviendra une condition d'accès aux marchés : elle l'est déjà devenue, par la double pression du régulateur et des donneurs d'ordre. Airbus, Safran, Thales et Dassault Aviation répercutent contractuellement leurs propres obligations de sécurisation de la chaîne d'approvisionnement, en s'appuyant notamment sur le référentiel AirCyber porté par BoostAeroSpace. Cet article détaille le classement réel des fournisseurs aéronautiques entre entités essentielles et entités importantes, le contenu concret des dix mesures de l'article 21, l'articulation entre NIS 2 et AirCyber, le régime de notification d'incident et une trajectoire de mise en conformité réaliste sur dix-huit mois.

Pourquoi NIS 2 rattrape enfin la supply chain aéronautique

Le raisonnement du législateur européen est simple : sécuriser les compagnies aériennes et les aéroports sans sécuriser ceux qui produisent les aéronefs revient à verrouiller la porte d'entrée en laissant la fenêtre ouverte. La directive (UE) 2022/2555 élargit donc le périmètre à dix-huit secteurs, dont la fabrication d'autres matériels de transport, catégorie qui englobe la construction aéronautique et spatiale.

Cet élargissement répond à une réalité opérationnelle documentée. Les attaques les plus coûteuses subies par les grands groupes aéronautiques ces dernières années ne sont presque jamais passées par leur périmètre propre, protégé par des SOC internes et des budgets à huit chiffres. Elles sont passées par un fournisseur de rang 2 dont le poste d'ingénierie était connecté au portail collaboratif du donneur d'ordre, par un prestataire de maintenance disposant d'un accès distant permanent à un banc d'essai, ou par un cabinet comptable détenant les plans de charge d'un site.

La valeur des données concernées explique l'appétit des attaquants. Un modèle CAO de pièce structurale, une gamme d'usinage, un dossier de qualification EASA ou un plan de charge industriel valent extrêmement cher pour un concurrent ou un service de renseignement étranger. À cela s'ajoute le levier du rançongiciel : une PME de quarante salariés qui usine une pièce critique en flux tendu peut arrêter une ligne d'assemblage finale. L'asymétrie entre la taille du fournisseur et l'ampleur du dommage est précisément ce que NIS 2 entend corriger.

Entités essentielles ou entités importantes : où se situent réellement les fournisseurs aéronautiques

C'est le point le plus mal compris de tout le dispositif, et celui sur lequel circulent le plus d'approximations commerciales. La directive distingue deux annexes. L'annexe I regroupe les secteurs de haute criticité, parmi lesquels le transport aérien : transporteurs, gestionnaires d'aéroports, prestataires de gestion du trafic aérien. L'annexe II regroupe les autres secteurs critiques, dont la fabrication d'autres matériels de transport, où se range la construction aéronautique.

La conséquence est structurante. Pour une entité relevant de l'annexe I, la taille détermine le statut : une grande entreprise devient entité essentielle, une entreprise moyenne devient entité importante. Pour une entité relevant de l'annexe II, le classement en entité importante s'applique quelle que soit la taille, dès lors que les seuils d'entrée sont franchis. Autrement dit, un motoriste de plusieurs milliers de salariés et un équipementier de cent vingt personnes relèvent en principe du même régime : celui des entités importantes.

Les seuils d'entrée reprennent la définition européenne des PME. Sont concernées les entreprises d'au moins cinquante salariés, ou dont le chiffre d'affaires annuel et le total de bilan dépassent dix millions d'euros. En dessous, l'entreprise n'entre pas automatiquement dans le périmètre — ce qui ne la dispense pas des exigences contractuelles de ses clients, nous y revenons plus loin.

Quelques cas conduisent malgré tout à un classement en entité essentielle : la désignation par l'autorité nationale au titre du caractère critique de l'activité, la qualité de fournisseur unique d'un service essentiel dans un État membre, ou l'identification comme entité critique au titre de la directive sur la résilience des entités critiques.

La différence entre les deux régimes n'est pas cosmétique. Une entité essentielle peut être auditée sans motif préalable et encourt une amende administrative plafonnée à dix millions d'euros ou deux pour cent du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Une entité importante encourt sept millions d'euros ou un virgule quatre pour cent, et n'est contrôlée qu'à la suite d'un signalement ou d'un incident. Cette nuance change la priorisation budgétaire d'un directeur industriel.

Le cas particulier de la BITD : NIS 2, LPM et périmètre de défense nationale

Beaucoup de fournisseurs aéronautiques opèrent simultanément sur le civil et le militaire. Pour ceux-là, l'articulation juridique mérite d'être posée précisément, car les raccourcis y sont fréquents.

La directive prévoit à son article 2 des exclusions pour les activités relevant de la sécurité nationale, de la défense et du maintien de l'ordre public. Une activité strictement défense ne relève donc pas de NIS 2 en tant que telle. Mais l'exclusion porte sur l'activité, pas sur l'entreprise : un industriel de la base industrielle et technologique de défense qui produit également des pièces pour l'aviation commerciale entre dans le périmètre au titre de cette seconde activité. Dans la pratique, très rares sont les sociétés de la BITD dont l'intégralité du chiffre d'affaires est purement militaire.

S'ajoute en France un empilement réglementaire antérieur : le dispositif des opérateurs d'importance vitale issu de la loi de programmation militaire, les obligations attachées au traitement d'informations classifiées, les clauses de sécurité de la DGA, et pour certains les référentiels de qualification de l'ANSSI. Ces régimes sont plus exigeants que NIS 2 sur leur périmètre, mais nettement plus étroits.

La règle de conduite est donc de cartographier deux périmètres distincts, d'identifier les exigences communes — journalisation, contrôle d'accès, gestion des vulnérabilités — et de ne dupliquer que ce qui doit l'être. Un RSSI externalisé familier des deux univers évite ici plusieurs mois d'errements.

L'effet cascade : quand l'article 21(2)(d) devient une clause contractuelle

Voici le mécanisme qui explique pourquoi des PME hors périmètre reçoivent malgré tout des questionnaires de sécurité de plus en plus lourds.

L'article 21(2)(d) impose à toute entité assujettie de traiter la sécurité de sa chaîne d'approvisionnement, y compris les aspects de sécurité des relations avec ses fournisseurs directs et ses prestataires de services. Airbus, Safran, Thales et Dassault Aviation, assujettis à ce titre, ne peuvent démontrer leur conformité qu'en apportant la preuve du niveau de sécurité de leurs fournisseurs. Ils disposent pour cela d'un instrument évident : le contrat.

Le résultat est une transmission descendante des exigences le long de la pyramide industrielle. Le rang 1 impose au rang 2, qui impose au rang 3. Une entreprise de trente salariés, juridiquement hors périmètre, se voit ainsi appliquer des exigences dérivées de NIS 2 par voie contractuelle — avec une sanction bien plus immédiate que l'amende administrative : la perte du référencement fournisseur, c'est-à-dire la perte du marché.

Cette réalité impose de renverser la question habituelle. Il ne s'agit pas seulement de se demander si l'on est assujetti, mais de se demander ce que ses clients vont exiger, et à quelle échéance. Dans l'aéronautique, la réponse est presque toujours la même : le référentiel AirCyber.

AirCyber : ce que le référentiel BoostAeroSpace couvre déjà de NIS 2

BoostAeroSpace, plateforme créée par les grands acteurs de la filière, opère le programme AirCyber, conçu pour élever le niveau de maturité cyber de la chaîne d'approvisionnement aéronautique européenne. Il repose sur un questionnaire de maturité, une évaluation, un plan d'amélioration et une labellisation par paliers — bronze, argent, or selon la version en vigueur du référentiel.

L'intérêt d'AirCyber tient à trois caractéristiques. D'abord il est sectoriel : les questions parlent d'ateliers, de machines à commande numérique, de transferts de fichiers CAO et de sous-traitance, pas d'abstractions génériques. Ensuite il est progressif : une PME peut viser un premier palier avec des moyens raisonnables, puis progresser par étapes. Enfin il est reconnu par les donneurs d'ordre, ce qui évite de répondre vingt fois à vingt questionnaires différents.

Le recouvrement avec NIS 2 est substantiel mais partiel. AirCyber couvre bien la gouvernance, l'hygiène informatique, le contrôle d'accès, la sauvegarde et la sensibilisation. Il couvre moins finement trois domaines que NIS 2 rend obligatoires : la procédure formalisée de notification d'incident aux autorités dans les délais réglementaires, la politique de gestion de crise et de continuité d'activité éprouvée par exercice, et l'évaluation périodique de l'efficacité des mesures. Une entreprise labellisée peut donc avoir parcouru quatre-vingts pour cent du chemin sans être conforme.

La stratégie efficace consiste à traiter AirCyber comme le socle et NIS 2 comme le delta. Notre accompagnement AirCyber est construit sur cette logique : une seule campagne de collecte de preuves, deux référentiels alimentés.

Les dix mesures de l'article 21 traduites pour un site de production aéronautique

L'article 21(2) énumère dix catégories de mesures techniques, opérationnelles et organisationnelles. Le texte européen reste volontairement abstrait ; l'exercice utile consiste à le traduire dans le vocabulaire d'un site industriel.

Deux lignes méritent une attention particulière car elles sont systématiquement sous-traitées dans les projets que nous reprenons : la mesure (f) sur l'évaluation de l'efficacité, et la partie « communication de crise hors du SI principal » de la mesure (j). Une entreprise qui découvre pendant le chiffrement de ses serveurs que sa liste de contacts de crise se trouvait dans la messagerie compromise perd les premières heures, celles qui comptent.

Priorisation : par quoi commencer avec un budget contraint

Une PME industrielle ne peut pas traiter dix domaines simultanément. L'ordonnancement suivant maximise la réduction de risque par euro investi, en tenant compte du fait que le scénario dominant dans la filière reste le rançongiciel avec exfiltration préalable.

Les quatre premières lignes représentent souvent moins de quinze pour cent du budget total et couvrent la majorité des scénarios d'incident réellement observés dans la filière. Elles constituent le socle minimal à présenter en cas de contrôle ou d'audit client.

Gouvernance : la responsabilité personnelle des dirigeants

L'article 20 de la directive introduit une disposition dont les conseils d'administration mesurent rarement la portée. Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, et peuvent être tenus responsables des manquements. Les États membres doivent en outre prévoir la possibilité de suspendre temporairement l'exercice de fonctions dirigeantes en cas de manquement persistant d'une entité essentielle.

La cybersécurité cesse donc d'être un sujet délégable au service informatique. Concrètement, trois éléments doivent exister et être datés : une délibération du comité de direction approuvant la politique de sécurité, un compte rendu périodique de suivi des risques cyber au niveau de la direction, et une preuve de formation des dirigeants eux-mêmes — la directive impose explicitement que les membres des organes de direction suivent une formation.

Dans les entreprises familiales nombreuses dans la filière, où la direction générale est très impliquée dans l'opérationnel, ce formalisme paraît souvent artificiel. Il ne l'est pas : c'est la première chose qu'un auditeur demande, et c'est aussi ce qui protège juridiquement le dirigeant en démontrant sa diligence. Un mandat de RSSI externalisé assorti d'une restitution trimestrielle en comité de direction produit mécaniquement cette traçabilité.

Notification d'incident : le calendrier 24 heures, 72 heures, un mois

L'article 23 impose un séquencement strict pour tout incident important, c'est-à-dire causant une perturbation opérationnelle grave, des pertes financières significatives, ou un préjudice considérable à des tiers.

• Sous 24 heures : alerte précoce auprès du CSIRT ou de l'autorité compétente, indiquant si l'incident est suspecté d'être dû à un acte malveillant ou peut avoir un impact transfrontalier.
• Sous 72 heures : notification complète, avec évaluation initiale de la gravité, de l'impact et des indicateurs de compromission connus.
• Sur demande : rapport intermédiaire faisant état de l'avancement du traitement.
• Sous un mois : rapport final décrivant l'incident, sa gravité, ses causes profondes, les mesures d'atténuation appliquées et l'impact transfrontalier éventuel.

Il faut également distinguer cette notification réglementaire des obligations parallèles : information des donneurs d'ordre au titre des clauses contractuelles, notification à la CNIL sous 72 heures en cas de violation de données personnelles, dépôt de plainte, et déclaration à l'assureur cyber dans le délai prévu au contrat. Ces quatre canaux ont des destinataires, des contenus et des horloges différents. Les traiter dans une seule procédure coordonnée évite les contradictions entre déclarations, qui se paient ensuite lors de l'indemnisation.

Sécuriser l'OT : ateliers, machines à commande numérique et bancs d'essai

C'est la spécificité aéronautique la plus lourde, et celle que les approches génériques de conformité traitent le plus mal. Un atelier d'usinage comporte des machines dont le contrôleur tourne sur un système d'exploitation obsolète, non corrigeable sans invalider la qualification de la machine, et parfois connecté au réseau bureautique pour recevoir les programmes d'usinage.

L'obligation de gestion des vulnérabilités de l'article 21(2)(e) ne peut évidemment pas se traduire par l'application de correctifs sur ces équipements. La réponse conforme et réaliste repose sur des mesures compensatoires documentées : segmentation stricte entre le réseau d'atelier et le reste du système d'information, passerelle de transfert unidirectionnelle ou contrôlée pour les programmes CN, suppression des accès directs depuis Internet, journalisation des connexions de maintenance des équipementiers, et inventaire précis des versions logicielles installées.

Le cadre technique de référence est la série IEC 62443, qui structure la sécurité des systèmes d'automatisation industrielle en zones et conduits. Un auditeur NIS 2 acceptera parfaitement une analyse de risque démontrant qu'une vulnérabilité non corrigeable est encadrée par des mesures compensatoires — à condition que cette analyse existe, soit datée et soit revue périodiquement.

Le second sujet OT concerne les accès distants de télémaintenance accordés aux fabricants de machines. Ces accès sont fréquemment permanents, partagés, non journalisés et parfois protégés par un mot de passe identique sur tout le parc installé du constructeur. Les reprendre un par un est fastidieux mais constitue l'une des actions à meilleur rendement du plan.

Gérer ses propres sous-traitants de rang 2 et rang 3

Toute entreprise assujettie devient à son tour donneur d'ordre au regard de l'article 21(2)(d). L'erreur classique consiste à envoyer un questionnaire de cent cinquante questions à un atelier de traitement de surface de douze personnes, qui ne le remplira pas ou le remplira au hasard.

Une approche proportionnée repose sur une segmentation en trois familles. Les fournisseurs critiques — pièce unique, source unique, accès au système d'information — justifient une évaluation approfondie, des clauses contractuelles précises et une revue annuelle. Les fournisseurs standards relèvent d'un questionnaire court d'une vingtaine de questions portant sur les fondamentaux : sauvegardes, MFA, protection des postes, sensibilisation, procédure d'incident. Les fournisseurs non critiques relèvent d'une simple clause contractuelle type.

Les clauses à insérer systématiquement couvrent l'obligation d'information en cas d'incident affectant les données du client dans un délai contractuel court, le droit d'audit ou la fourniture d'une attestation équivalente, l'interdiction de sous-traiter en cascade sans autorisation, les exigences de restitution et de destruction des données en fin de contrat, et le maintien d'un niveau de maturité AirCyber ou d'une certification équivalente. Ce corpus contractuel se construit une fois et se réutilise sur l'ensemble du panel.

Articuler NIS 2, ISO 27001, AirCyber et EN 9100 : un socle unique

Un fournisseur aéronautique gère déjà un système qualité EN 9100, souvent une certification ISO 9001, parfois ISO 14001, et se voit désormais demander AirCyber et NIS 2. Multiplier les systèmes de management parallèles est le meilleur moyen de n'en faire fonctionner aucun.

La logique gagnante consiste à greffer la sécurité de l'information sur le système qualité existant plutôt qu'à côté. Les mécanismes sont déjà en place et maîtrisés par les équipes : maîtrise documentaire, revue de direction, audits internes, actions correctives, gestion des non-conformités, plan de surveillance des fournisseurs. Une non-conformité de sécurité se traite exactement comme une non-conformité qualité.

La certification ISO 27001 apporte de son côté ce qui manque à AirCyber pour couvrir NIS 2 : la clause 9 sur l'évaluation des performances et la clause 10 sur l'amélioration continue répondent directement à l'article 21(2)(f). Pour une entreprise déjà certifiée EN 9100, l'effort marginal vers ISO 27001 est nettement plus faible qu'anticipé, car la structure de haut niveau des normes ISO est commune et les instances de pilotage existent déjà.

Une trajectoire réaliste sur dix-huit mois

Les projets qui échouent partagent une caractéristique : ils démarrent par la rédaction de politiques. Les projets qui aboutissent démarrent par la cartographie et par les mesures techniques à effet immédiat.

Mois 1 à 3 — Cadrage. Détermination du statut d'assujettissement et du périmètre, enregistrement auprès de l'autorité nationale selon les modalités prévues par la transposition française, inventaire des actifs, cartographie des flux avec les donneurs d'ordre, analyse d'écart par rapport à l'article 21 et à AirCyber, déploiement du MFA sur les accès distants.

Mois 4 à 9 — Fondations. Sauvegardes hors ligne testées, segmentation réseau IT/OT, procédure de notification d'incident, politique de sécurité approuvée en comité de direction, reprise des accès de télémaintenance, clauses contractuelles fournisseurs, première campagne de sensibilisation différenciée.

Mois 10 à 15 — Consolidation. Gestion des vulnérabilités outillée, journalisation centralisée, plan de continuité et de reprise formalisé, qualification cyber des fournisseurs critiques, évaluation AirCyber et plan d'amélioration associé.

Mois 16 à 18 — Preuve. Audit interne, test d'intrusion, exercice de crise impliquant la direction générale, test de restauration complet, revue de direction consolidée, constitution du dossier de conformité opposable. Ce dossier — analyse de risque datée, politique validée, registre des incidents, preuves de formation, rapports d'audit — est exactement ce qu'un contrôle demandera.

Sanctions, contrôles et supervision effective

Les plafonds d'amende sont connus, mais la mécanique de contrôle l'est moins. Pour les entités importantes, catégorie dont relèvent la majorité des industriels aéronautiques, la supervision est dite ex post : l'autorité n'audite pas de manière programmée, elle intervient lorsqu'elle dispose d'éléments indiquant un manquement — typiquement après un incident notifié, un signalement, ou une information transmise par une autre autorité.

Cette asymétrie a une conséquence pratique importante : le moment où une entreprise sera examinée est très probablement le pire moment possible, c'est-à-dire juste après un incident, lorsque ses équipes sont mobilisées sur la remédiation. La qualité du dossier de conformité constitué en amont détermine alors largement l'issue de l'examen.

Au-delà des amendes, l'autorité dispose d'un arsenal gradué : instructions contraignantes, mise en demeure, injonction d'informer les clients potentiellement affectés, publication de la non-conformité, et pour les entités essentielles suspension de certification ou d'autorisation. Dans une filière où la réputation industrielle conditionne le référencement, la publicité d'une non-conformité pèse souvent plus lourd que la sanction financière. Les ressources publiées par l'ANSSI précisent les modalités françaises applicables.

Les erreurs les plus fréquentes dans la filière

Cinq écueils reviennent avec régularité dans les démarches que nous reprenons.

• Confondre conformité documentaire et sécurité réelle. Un classeur de politiques parfaitement rédigées n'a jamais arrêté un rançongiciel. L'auditeur demandera des preuves d'exécution : journaux, rapports de test de restauration, comptes rendus d'exercice.
• Exclure l'atelier du périmètre. Le système d'information industriel fait partie du périmètre. Une analyse de risque limitée à la bureautique est incomplète par construction.
• Attendre l'échéance réglementaire. La pression contractuelle des donneurs d'ordre arrive presque toujours avant le contrôle de l'autorité, et impose ses propres délais.
• Traiter AirCyber et NIS 2 comme deux projets. Le recouvrement dépasse les deux tiers ; les mener séparément double le coût pour un résultat identique.
• Négliger la formation des dirigeants. C'est une obligation explicite de la directive et l'un des rares points vérifiables en quelques minutes lors d'un contrôle.

Questions fréquentes

Mon entreprise de quarante salariés est-elle concernée par NIS 2 ?

En dessous de cinquante salariés et de dix millions d'euros de chiffre d'affaires et de total de bilan, une entreprise n'entre en principe pas dans le périmètre direct, sauf désignation particulière par l'autorité nationale. En revanche, si elle fournit un acteur assujetti, elle recevra des exigences contractuelles dérivées de l'article 21(2)(d). Le résultat pratique est proche : il faut atteindre un niveau de sécurité démontrable, sans les obligations déclaratives.

Suis-je entité essentielle ou entité importante en tant qu'équipementier aéronautique ?

La construction aéronautique relève de l'annexe II de la directive, au titre de la fabrication d'autres matériels de transport. Les entités de l'annexe II sont classées entités importantes indépendamment de leur taille, dès lors qu'elles franchissent les seuils d'entrée. Le classement en entité essentielle reste possible par désignation de l'autorité, notamment en cas de fourniture unique d'un service critique.

Le label AirCyber suffit-il à démontrer la conformité NIS 2 ?

Non, mais il en couvre une part importante. AirCyber ne traite pas complètement la notification réglementaire d'incident, l'évaluation périodique de l'efficacité des mesures et la gestion de crise éprouvée par exercice. Un palier AirCyber élevé constitue un excellent socle qu'il faut compléter par un delta ciblé, plutôt que par une démarche parallèle qui dupliquerait l'effort.

Comment articuler NIS 2 avec mes obligations défense au titre de la LPM ?

Les activités relevant strictement de la sécurité nationale et de la défense sont exclues du champ de la directive, mais l'exclusion porte sur l'activité et non sur l'entreprise. Un industriel mixte reste assujetti au titre de son activité civile. La bonne pratique consiste à cartographier séparément les deux périmètres, à identifier les exigences communes et à ne dupliquer que ce qui doit l'être.

Que se passe-t-il si je découvre un incident un vendredi soir ?

Le délai de vingt-quatre heures pour l'alerte précoce court à compter de la connaissance de l'incident, week-ends inclus. Il faut donc disposer d'une astreinte, d'un décideur habilité et de son suppléant, et d'un canal de notification déjà identifié et testé. Cette procédure doit tenir sur une page et rester accessible hors du système d'information principal.

Mes machines à commande numérique ne peuvent pas être mises à jour, suis-je en infraction ?

Non, à condition de documenter la situation. Une analyse de risque identifiant la vulnérabilité, justifiant l'impossibilité de correction et décrivant les mesures compensatoires — segmentation, contrôle des transferts, journalisation des accès de maintenance — constitue une réponse acceptable au regard de l'article 21(2)(e), dès lors qu'elle est datée et revue périodiquement.

Combien de temps faut-il pour se mettre en conformité ?

Pour une PME industrielle de cent à trois cents salariés partant d'un niveau de maturité faible, une trajectoire de douze à dix-huit mois est réaliste si elle est correctement séquencée. Les mesures à plus fort rendement — authentification multifacteur, sauvegardes hors ligne testées, procédure de notification — sont atteignables en quatre-vingt-dix jours et couvrent déjà l'essentiel du risque opérationnel.

Dois-je recruter un RSSI à temps plein ?

Rarement en dessous de trois cents salariés. La charge réelle correspond souvent à un à trois jours par mois en régime de croisière, avec des pics lors du cadrage et des audits. Un dispositif mutualisé ou externalisé, associé à un correspondant interne issu du service qualité ou informatique, offre un meilleur rapport coût-efficacité tout en garantissant la traçabilité attendue en comité de direction.

Pour aller plus loin

• Guide complet de la directive NIS 2
• NIS 2 pour les opérateurs vitaux et secteurs OT
• NIS2, DORA et RGPD : cartographie des exigences
• Premières sanctions NIS 2 : les décisions ANSSI
• Budget cybersécurité PME : guide d'investissement