La Part-IS de l’EASA est la réglementation de l’UE sur la sécurité de l’information dans l’aviation civile. Elle impose aux organismes de l’aviation de mettre en place un système de gestion de la sécurité de l’information (SGSI) pour les risques susceptibles d’avoir une incidence sur la sécurité aérienne. Elle s’applique depuis le 16 octobre 2025 aux organismes de conception, de production et d’aérodrome, et depuis le 22 février 2026 aux compagnies aériennes, aux organismes de maintenance et aux prestataires de services de navigation aérienne.
Ce guide présente ce qu’est la Part-IS, à qui elle s’applique, les échéances, les exigences, le recoupement avec NIS2, ce qu’elle implique pour les fournisseurs, ce qu’il faut mettre en place et une liste de contrôle.
| Règlement | Organismes concernés | Date d’application |
|---|---|---|
| Règlement délégué (UE) 2022/1645 | Organismes de conception et de production Part 21, exploitants d’aérodrome, prestataires de services de gestion des aires de trafic | 16 octobre 2025 |
| Règlement d’exécution (UE) 2023/203 | Organismes de maintenance Part-145, CAMO, exploitants aériens, organismes de formation, centres aéromédicaux, exploitants de FSTD, prestataires de services de navigation aérienne et de services U-space, autorités compétentes, y compris l’EASA | 22 février 2026 |
| Règlement d’exécution (UE) 2025/2293 | Modifie le 2023/203 pour les organismes déclarés (pas d’approbation préalable du manuel) | 22 février 2026 |
| Règlement délégué (UE) 2025/22 | Ajoute certains organismes d’assistance en escale | 27 mars 2031 |
Qu’est-ce que la Part-IS de l’EASA ?
Part-IS est le nom des annexes de deux règlements de la Commission adoptés au titre du règlement de base de l’EASA, le règlement (UE) 2018/1139. Part-IS.D.OR figure dans le règlement délégué ; Part-IS.I.OR (organismes) et Part-IS.AR (autorités) figurent dans le règlement d’exécution. Les numéros de points cités ci-dessous sont ceux de Part-IS.I.OR, qui suit la même numérotation que Part-IS.D.OR.
Ce qui distingue la Part-IS d’une norme généraliste, c’est qu’il s’agit d’un règlement de sécurité aérienne : les risques qui comptent sont ceux qui pourraient atteindre la sécurité aérienne, pas la confidentialité commerciale. La plupart des organismes concernés font fonctionner des systèmes de gestion de la sécurité depuis des années. La Part-IS arrive comme un second système de gestion sur les mêmes rails, et le point IS.I.OR.200(d) permet d’intégrer les deux.
À qui s’applique la Part-IS ?
Les exclusions comptent autant que le tableau. Sont hors champ les organismes qui travaillent uniquement sur des aéronefs ELA2 ou uniquement au titre de la Part-ML, ainsi que certains exploitants de petits aéronefs volant en VFR de jour. Le sont aussi les prestataires de services de navigation aérienne titulaires d’un certificat limité et les prestataires de services d’information de vol qui déclarent leurs activités.
Un organisme concerné peut obtenir de son autorité une dérogation au titre du point IS.I.OR.200(e) si une évaluation des risques documentée montre que ses activités ne présentent aucun risque lié à la sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne. L’autorisation est réexaminée à chaque cycle d’audit de supervision et à chaque modification.
Quand la Part-IS s’applique-t-elle ?
Les deux règlements s’appliquent déjà :
- Depuis le 16 octobre 2025 : les organismes relevant du 2022/1645.
- Depuis le 22 février 2026 : les organismes et autorités relevant du 2023/203.
- À partir du 27 mars 2031 : les organismes d’assistance en escale qui traitent des données fournies par des tiers ou qui fournissent aux exploitants d’aéronefs des données à usage opérationnel (2025/22).
Des lignes directrices communes de l’EASA et des autorités nationales attendent qu’à la date d’applicabilité, le SGSI soit en place et adapté (niveaux « present » et « suitable ») : un manuel de gestion de la sécurité de l’information, une procédure de modification, une évaluation initiale des risques et une activité de surveillance de la conformité. Atteindre le niveau « operating » (opérationnel) prend plus de temps, et un organisme n’est considéré comme conforme qu’une fois que son autorité conclut qu’il a atteint ce niveau. En pratique, la supervision en 2026 passe des documents à la question de savoir si le système fonctionne.
Qu’exige la Part-IS ?
Le point IS.I.OR.200 impose à l’organisme d’« établir, mettre en œuvre et entretenir » un SGSI, dont les processus doivent « correspondre à la nature et à la complexité de ses activités, sur la base d’une évaluation des risques liés à la sécurité de l’information inhérents à ces activités ».
| Point | Exigence |
|---|---|
| IS.I.OR.200 | SGSI, politique de sécurité de l’information, surveillance de la conformité avec retour au dirigeant responsable |
| IS.I.OR.205 | Évaluation des risques pour les éléments exposés et les interfaces avec d’autres organismes |
| IS.I.OR.210 | Traitement des risques inacceptables, dont l’efficacité est vérifiée dans la durée |
| IS.I.OR.215 | Système de comptes rendus internes des événements liés à la sécurité de l’information |
| IS.I.OR.220 | Détection, réaction et rétablissement |
| IS.I.OR.230 | Comptes rendus externes à l’autorité compétente |
| IS.I.OR.235 | Maîtrise des activités de gestion de la sécurité de l’information sous-traitées |
| IS.I.OR.240 | Dirigeant responsable, personne ou groupe responsable, compétences |
| IS.I.OR.225, 245 à 260 | Réponse aux constatations, archivage, manuel, modifications, amélioration |
Trois points la distinguent d’un SMSI classique :
- Le risque est classé selon ses conséquences pour la sécurité aérienne. La classification doit tenir compte de la probabilité du scénario de menace et de « la gravité de ses conséquences pour la sécurité » (IS.I.OR.205(c)). La FAQ de l’EASA exclut le transfert du risque, par exemple à un assureur, comme mode de traitement.
- Les interfaces sont nommées. L’organisme « doit déterminer les interfaces qu’il partage avec d’autres organismes et qui pourraient entraîner une exposition mutuelle à des risques liés à la sécurité de l’information » (IS.I.OR.205(b)). Les niveaux de risque tiennent compte des informations coordonnées avec ces organismes.
- La norme ISO/IEC 27001 ne suffit pas à elle seule. Selon l’EASA, un système ISO 27001 peut être adapté et étendu au moyen d’une analyse du périmètre et des écarts, car la Part-IS ajoute des dispositions propres à la sécurité aérienne.
Comment fonctionne la notification des incidents au titre de la Part-IS ?
Tout incident ou vulnérabilité en matière de sécurité de l’information « susceptible de représenter un risque important pour la sécurité aérienne » doit être signalé à l’autorité compétente (IS.I.OR.230) :
- Notification dès que l’organisme a connaissance de la situation.
- Compte rendu dès que possible, au plus tard 72 heures après que l’organisme a eu connaissance de la situation, sauf si des circonstances exceptionnelles l’en empêchent.
- Rapport de suivi sur les mesures de rétablissement et de prévention, dès qu’elles sont définies.
Le titulaire de l’agrément de conception est également informé lorsqu’un aéronef ou ses systèmes ou éléments sont affectés. Ce dispositif s’ajoute aux comptes rendus d’événements prévus par le règlement (UE) n° 376/2014.
Quel est le lien entre la Part-IS et NIS2 ?
De nombreux organismes relèvent des deux. L’annexe I de NIS2 vise les transporteurs aériens utilisés à des fins commerciales, les entités gestionnaires d’aéroports et les aéroports, les entités exploitant les installations annexes se trouvant dans les aéroports, ainsi que les opérateurs du contrôle de la circulation aérienne. L’annexe II couvre la fabrication d’autres matériels de transport (NACE C30), qui comprend les aéronefs.
La Part-IS n’écarte pas NIS2. Les lignes directrices de la Commission de 2023 sur l’article 4 de NIS2 ne citent que DORA comme acte juridique sectoriel, et l’EASA confirme que la Part-IS n’est pas une lex specialis. La reconnaissance joue dans l’autre sens : l’article 4, paragraphe 1, du 2022/1645 et l’article 5, paragraphe 1, du 2023/203 considèrent que le respect d’exigences de sécurité NIS équivalentes, désormais lues comme celles de NIS2, vaut respect de la Part-IS. L’autorité compétente vérifie l’équivalence dans les faits ; elle n’est pas automatique.
En pratique, une compagnie aérienne ou un aéroport fait fonctionner un seul SGSI et notifie deux fois. Pour un incident important, NIS2 exige une alerte précoce dans les 24 heures et une notification d’incident dans les 72 heures, adressées au CSIRT ou à l’autorité. La Part-IS exige un compte rendu dans les 72 heures à l’autorité de l’aviation civile. Destinataires différents, seuils différents, une seule procédure d’incident. Le volet NIS2 est traité dans NIS2 pour l’aérien, le ferroviaire, le maritime et la route.
La Part-IS s’applique-t-elle aux fournisseurs ?
On lit souvent que la Part-IS s’impose en cascade à tous les fournisseurs. Ce n’est pas le cas, et l’EASA a répondu directement à ce point. Le point IS.I.OR.235 ne s’applique qu’aux fournisseurs et sous-traitants qui exécutent des tâches relevant des activités de gestion de la sécurité de l’information. Tous les autres fournisseurs sont couverts par l’évaluation des risques du client au titre du point IS.I.OR.205.
Si vous assurez une partie du SGSI de votre client, comme le monitoring de sécurité, la réponse aux incidents ou la surveillance de la conformité, le point IS.I.OR.235 s’applique. Votre travail doit satisfaire à la Part-IS, vous travaillez sous la supervision de votre client, et l’autorité compétente peut, sur demande, avoir accès à votre organisme. La responsabilité d’exécution peut être sous-traitée ; l’obligation de rendre des comptes reste à l’organisme agréé.
Si vous fournissez autre chose, comme des composants, des logiciels, des services hébergés ou des équipements, vous entrez dans l’évaluation des risques d’interface de votre client. Selon l’EASA, le client peut atténuer ce risque à l’intérieur de son propre périmètre ou par contrat, en exigeant du fournisseur qu’il mette en œuvre des mesures.
Vous êtes donc tout de même évalué, par des questionnaires, des clauses contractuelles et parfois des audits. Une exigence vous atteint presque mot pour mot : au titre du point IS.I.OR.215(c), tout organisme sous-traitant susceptible d’exposer le client à de tels risques « est tenu de rendre compte à celui-ci des événements liés à la sécurité de l’information ».
Mais l’obligation légale reste celle du client. Vous n’avez pas besoin d’un SGSI Part-IS, sauf si vous entrez vous-même dans le champ d’application. Quand un avenant au contrat indique que vous devez être « conforme à la Part-IS », la réponse honnête est généralement que vous démontrerez une sécurité de l’information appropriée pour les interfaces que vous touchez, et que vous signalerez les événements. C’est un engagement plus maîtrisable ; l’annexe sécurité, clause par clause montre comment le négocier.
Quels fournisseurs reçoivent les questions les plus exigeantes ?
La pression se concentre là où une défaillance du fournisseur pourrait plausiblement avoir des conséquences sur la sécurité aérienne. Cela concerne les logiciels liés aux opérations (opérations aériennes, planification des équipages, dossiers de maintenance, masse et centrage), tout ce qui comporte une interface de données, les données de conception et de production, ainsi que les équipements au sol et de test connectés. Un dossier de maintenance corrompu est une question de sécurité aérienne, pas une question informatique. Un fournisseur de fixations sans interface de données en connaît une version allégée.
Que doit mettre en place un fournisseur aéronautique ?
Pour un fournisseur de 20 à 250 personnes, la réponse efficace n’est pas un SGSI Part-IS. C’est un système de management ISO 27001 dont le périmètre couvre les interfaces qui comptent pour vos clients de l’aviation, avec trois ajouts :
- Évaluez le risque selon son impact sur la sécurité aérienne, pas seulement sur l’activité. Le registre de votre client demande ce qui pourrait blesser quelqu’un. Le vôtre devrait répondre dans les mêmes termes.
- Faites de vos interfaces la limite du périmètre, consignées dans un registre comme celui ci-dessous.
- Soyez en mesure de signaler. Le délai de 72 heures de votre client court à partir du moment où il a connaissance de l’incident : votre notification fixe donc son rythme. Convenez du circuit avant d’en avoir besoin.
REGISTRE DES INTERFACES AVEC LES CLIENTS AÉRONAUTIQUES
Client et agrément : ex. Part-145, CAMO, exploitant aérien, POA
Interface : système, flux de données ou service fourni
Données échangées : quelles données, dans quel sens, à quelle fréquence
Accès chez le client : comptes, accès à distance, clés API, VPN
Enjeu sécurité aérienne : ce qui tourne mal pour le client si les données
sont erronées, tardives ou indisponibles
Mesures : accès, journalisation, sauvegarde, gestion
des changements
Délai de rétablissement : délai engagé, dernier test (date)
Remontée des événements : qui vous prévenez, comment, dans quel délai
Dernière revue : date, par quiLe même système répond aux questionnaires d’autres clients et s’aligne sur NIS2. Si vous fabriquez des logiciels ou des appareils connectés, une obligation distincte s’applique directement à vous : le signalement au titre du règlement sur la cyberrésilience (CRA) s’applique aux fabricants depuis le 11 septembre 2026.
Ce que la Part-IS laisse ouvert
La Part-IS, comme tout règlement fondé sur un système de gestion, demande un processus et une évaluation. Elle ne vérifie pas si vos mesures fonctionnent.
Votre client vous demandera si vous disposez d’un contrôle des accès, d’une journalisation, d’une gestion des vulnérabilités et de sauvegardes. Des réponses documentées satisfont l’évaluation. Elles restent tout aussi vraies là où personne n’a jamais interrogé un journal, où une vulnérabilité critique est ouverte depuis le printemps et où aucune restauration n’a jamais été chronométrée.
Cet écart pèse plus lourd ici, parce que l’organisme de l’autre côté de votre interface est jugé sur des résultats de sécurité aérienne. Si une défaillance d’intégrité de vos données atteint ses opérations, personne ne demandera ensuite si vous aviez une politique. On demandera combien de temps le problème est resté là avant que quelqu’un le remarque.
L’investissement utile n’est pas une réponse plus épaisse au questionnaire. C’est la détection et la gestion de l’exposition sur les systèmes qui touchent ceux de votre client, des constats avec un responsable et une échéance, et des preuves collectées depuis ces systèmes au fil de l’eau, avec une personne qui examine les exceptions. C’est ainsi que fonctionne la plateforme CloudSoul : une plateforme automatisée, avec une expertise humaine dans la boucle. Un audit de sécurité montre la distance entre votre situation et ce que vos clients vont demander.
Liste de contrôle Part-IS pour les fournisseurs aéronautiques
- Vérifiez si vous êtes vous-même un organisme soumis à la Part-IS, ou seulement un fournisseur.
- Si vous réalisez des tâches de gestion de la sécurité de l’information pour un client, préparez-vous à la supervision au titre du point IS.I.OR.235.
- Recensez chaque interface avec chaque client aéronautique et évaluez-la selon son impact sur la sécurité aérienne.
- Convenez avec chaque client d’un circuit et d’un délai de signalement des événements.
- Remplacez les clauses « conforme à la Part-IS » par des engagements précis et étayés par des preuves.
- Testez et chronométrez la restauration des systèmes qui se trouvent derrière chaque interface.
Sources
- Règlement délégué (UE) 2022/1645 de la Commission, articles 1er, 2, 4 et 8 et annexe (Part-IS.D.OR), EUR-Lex.
- Règlement d’exécution (UE) 2023/203 de la Commission, articles 1er, 2, 5 et 16 et annexe II (Part-IS.I.OR), EUR-Lex.
- Règlement délégué (UE) 2025/22 de la Commission (assistance en escale), EUR-Lex.
- Règlement d’exécution (UE) 2025/2293 de la Commission (organismes déclarés), EUR-Lex.
- EASA, Easy Access Rules for Information Security, révision de décembre 2025, avec AMC et GM (décisions ED 2023/008/R à 2023/010/R, mises à jour en 2025), EASA.
- EASA, FAQ Information Security (Part-IS), dont la FAQ 142369 sur IS.I.OR.235, la FAQ 142374 sur la date d’applicabilité, la FAQ 139288 sur ISO/IEC 27001 et la FAQ 139289 sur NIS2, EASA.
- EASA et autorités nationales, lignes directrices sur l’approche de supervision Part-IS, révision d’août 2025, EASA.
- Directive (UE) 2022/2555 (NIS2), articles 2, 23 et 44 et annexes I et II, EUR-Lex.
- Lignes directrices de la Commission sur l’application de l’article 4, paragraphes 1 et 2, de NIS2 (2023/C 328/02), EUR-Lex.
- Commission européenne, obligations de signalement au titre du règlement sur la cyberrésilience, Shaping Europe’s digital future.
Questions fréquentes
Qu'est-ce que la Part-IS de l'EASA ?
La Part-IS est la réglementation de l'UE sur la sécurité de l'information dans l'aviation civile, fixée par le règlement délégué (UE) 2022/1645 et le règlement d'exécution (UE) 2023/203. Elle impose aux organismes concernés un système de gestion de la sécurité de l'information pour les risques susceptibles d'avoir une incidence sur la sécurité aérienne. Ils doivent aussi signaler à leur autorité compétente les incidents et vulnérabilités susceptibles de représenter un risque important pour la sécurité aérienne.
Quand la Part-IS s'applique-t-elle ?
Le règlement délégué (UE) 2022/1645 s'applique depuis le 16 octobre 2025 aux organismes de conception et de production, aux exploitants d'aérodrome et aux prestataires de services de gestion des aires de trafic. Le règlement d'exécution (UE) 2023/203 s'applique depuis le 22 février 2026 aux organismes de maintenance, aux CAMO, aux exploitants aériens, aux organismes de formation, aux prestataires de services de navigation aérienne et aux autorités. Certains organismes d'assistance en escale suivront à partir du 27 mars 2031.
La Part-IS s'applique-t-elle aux fournisseurs ?
Pas directement. Selon l'EASA, le point IS.I.OR.235 ne s'applique qu'aux fournisseurs qui exécutent des tâches de gestion de la sécurité de l'information pour un organisme soumis à la Part-IS. Tous les autres fournisseurs relèvent de l'évaluation des risques que le client mène au titre du point IS.I.OR.205. Elle les atteint par des questionnaires et des clauses contractuelles, y compris une obligation de signaler les événements liés à la sécurité de l'information.
La certification ISO 27001 suffit-elle pour la Part-IS ?
Non. Selon l'EASA, un système de management ISO/IEC 27001 existant peut être adapté au moyen d'une analyse du périmètre et des écarts, mais la Part-IS ajoute des dispositions propres à la sécurité aérienne, comme le classement des risques selon la gravité de leurs conséquences pour la sécurité.
La conformité à NIS2 vaut-elle conformité à la Part-IS ?
Pas automatiquement. La Part-IS considère que le respect d'exigences de sécurité NIS équivalentes vaut respect de la Part-IS, mais l'EASA précise que l'autorité compétente doit vérifier l'équivalence dans les faits. La Part-IS n'est pas un acte sectoriel qui écarte NIS2 : les organismes soumis aux deux régimes appliquent les deux.
