Qui devrait lire ceci : une entreprise qui usine des pièces, écrit du logiciel, fournit des équipements ou des services à des compagnies aériennes, des ateliers de maintenance, des aéroports, des prestataires de navigation aérienne ou des industriels de l’aéronautique, et qui reçoit depuis peu des questionnaires de sécurité de l’information qu’elle ne recevait pas il y a deux ans.
Ces questionnaires ont une raison. Vos clients sont entrés dans le champ d’une nouvelle réglementation, et cette réglementation leur demande de penser à vous.
Les deux dates
Part-IS est le régime de sécurité de l’information de l’aviation civile. Il est arrivé en deux temps.
Règlement délégué (UE) 2022/1645, applicable depuis le 16 octobre 2025. Il vise les exploitants d’aérodromes, les prestataires de gestion d’aire de trafic et les organismes de conception et de production Part 21. Si vous fournissez des pièces, des matériaux ou de l’ingénierie dans la production d’aéronefs, votre client est concerné depuis près d’un an.
Règlement d’exécution (UE) 2023/203, applicable depuis le 22 février 2026. C’est le plus large. Organismes de maintenance Part 145, organismes de gestion du maintien de la navigabilité, exploitants aériens commerciaux et non commerciaux, organismes de formation agréés, exploitants de simulateurs, prestataires de services de navigation aérienne, centres de formation des contrôleurs, et les autorités compétentes elles-mêmes.
Cette seconde date explique pourquoi les évaluations fournisseurs ont commencé à atteindre les éditeurs de logiciels aéronautiques, les fournisseurs d’équipements au sol et les sous-traitants de maintenance cette année plutôt que l’an dernier. Compagnies, ateliers et prestataires de navigation ne sont concernés que depuis février.
Ce que cela demande à votre client
Un organisme agréé doit établir, mettre en œuvre et maintenir un système de management de la sécurité de l’information proportionné à sa taille, sa nature et sa complexité, et au risque que portent ses activités. La particularité par rapport à une norme généraliste est que Part-IS est une réglementation de sécurité aérienne. Les risques qui comptent sont ceux qui peuvent affecter la sécurité des vols, pas la confidentialité commerciale.
Dans les grandes lignes, cela leur impose d’identifier et d’apprécier les risques de sécurité de l’information ayant un impact sur la sécurité, de les traiter, de définir les responsabilités et les rôles, de détecter et de traiter les incidents, de notifier incidents et vulnérabilités à leur autorité, et d’intégrer l’ensemble au système de gestion de la sécurité qu’ils exploitent déjà.
Pour la plupart d’entre eux, la discipline SMSI est nouvelle, la discipline système de management ne l’est pas. Ils exploitent un système de gestion de la sécurité depuis des années. Part-IS arrive comme un second système de management sur les mêmes rails.
Ce que tout le monde exagère, et ce que dit réellement l’AESA
C’est ici que beaucoup de commentaires destinés aux fournisseurs se trompent, et il vaut la peine d’être précis car cela change ce que vous devriez accepter de signer.
On lit fréquemment que Part-IS se répercute sur tous les fournisseurs. C’est faux, et l’AESA a répondu directement. La règle sur les activités sous-traitées, l’IS.I.OR.235, s’applique aux fournisseurs et sous-traitants qui réalisent des tâches pertinentes pour les activités de management de la sécurité de l’information. Les fournisseurs et sous-traitants qui ne le font pas relèvent de la disposition générale de l’IS.I.OR.205.
La réglementation trace donc une ligne. Si vous exploitez une partie du management de la sécurité de l’information de votre client, vous êtes dans une règle spécifique. Si vous lui fournissez un composant, un service ou un système, vous êtes traité dans le cadre de sa propre gestion des risques plutôt que par répercussion directe.
Deux conséquences pratiques.
Vous êtes tout de même évalué. Votre client doit considérer les risques de sécurité de l’information issus de ses interfaces avec vous, car ces risques pourraient atteindre la sécurité des vols. Cette évaluation est réelle et vous parvient sous forme de questionnaires, de clauses contractuelles et parfois d’audits.
Mais l’obligation est la sienne, pas la vôtre. Vous n’êtes pas légalement tenu de détenir un SMSI Part-IS, sauf si vous êtes vous-même un organisme agréé. Ce à quoi vous êtes commercialement tenu, c’est de satisfaire l’évaluation de votre client. Cette distinction compte quand on vous envoie un avenant affirmant que vous devez être « conforme Part-IS ». La réponse honnête est généralement que vous devez pouvoir démontrer une sécurité de l’information appropriée pour les interfaces que vous touchez, engagement différent et bien plus gérable.
Quels fournisseurs reçoivent les questions les plus dures
D’après la forme de la réglementation, la pression n’est pas répartie uniformément. Elle se concentre là où une défaillance de sécurité chez le fournisseur pourrait plausiblement atteindre un résultat de sécurité des vols.
- Les logiciels qui touchent les opérations. Opérations aériennes, planification des équipages, dossiers de maintenance, masse et centrage, systèmes de fret, bases opérationnelles aéroportuaires. Un dossier de maintenance corrompu ou indisponible est une question de sécurité des vols, pas une question informatique.
- Toute interface de données vers l’organisme agréé. Intégrations, accès distant, services hébergés, échange de données d’ingénierie.
- Les données de conception et de production. Données techniques sous gestion de configuration, où une atteinte à l’intégrité a une conséquence de navigabilité.
- Les équipements au sol et de test embarquant du logiciel, surtout connectés.
Alors qu’un fournisseur de matière première, de fixations ou de consommables sans interface de données voit généralement une version allégée du même questionnaire.
Si votre produit est un logiciel ou un objet connecté, notez qu’une seconde obligation, entièrement distincte, peut vous viser directement plutôt que par contrat : le règlement sur la cyberrésilience, dont les obligations de notification débutent le 11 septembre 2026 et qui est décrit dans l’obligation de notification du règlement sur la cyberrésilience.
Ce qu’il faut construire, et ce qu’il ne faut pas
La réponse efficace pour un fournisseur de 20 à 250 personnes n’est pas un SMSI Part-IS. C’est un système de management aligné ISO 27001, cadré sur les interfaces qui intéressent vos clients aéronautiques, avec les ajouts spécifiques à l’aviation greffés dessus.
Cela fonctionne parce que l’évaluation de votre client demande des preuves de gouvernance, de gestion des risques, de contrôle d’accès, de gestion des fournisseurs, de traitement des incidents et de reprise. Un SMSI produit tout cela par nature, et répond en même temps aux questionnaires de vos clients non aéronautiques. Le chemin pratique sans équipe de sécurité est décrit dans ISO 27001 pour une entreprise sans équipe de sécurité.
Les trois ajouts propres à l’aviation à faire explicitement :
- Appréciez le risque au regard de l’impact sur la sécurité des vols, pas seulement de l’impact business. C’est le basculement mental. Le registre des risques de votre client demande ce qui pourrait blesser quelqu’un. Le vôtre devrait pouvoir répondre dans les mêmes termes pour les interfaces dont vous êtes responsable.
- Connaissez vos interfaces et traitez-les comme la frontière du périmètre. Quels systèmes se connectent, quelles données circulent, qui dispose d’un accès distant, quel est votre délai de reprise pour chacun. C’est là-dessus que l’on vous interrogera.
- Sachez notifier. Votre client a des obligations de notification d’incident et de vulnérabilité envers son autorité. Si l’incident naît dans vos systèmes et touche les siens, le chronomètre tourne pour lui. Convenez du canal de notification avant d’en avoir besoin, pas pendant.
Si vous fournissez aussi des clients de défense ou du spatial, ou détenez des contrats touchant plusieurs juridictions, le problème de projection s’aggrave, ce qui est l’argument de faire ISO 27001 et NIS2 une fois plutôt que deux. Construisez un référentiel de mesures et projetez les référentiels dessus.
Un audit de sécurité indépendant est le moyen le moins cher de savoir à quelle distance vous êtes de ce que vos clients s’apprêtent à demander, avant le prochain questionnaire.
La réalité technique : ce qu’une évaluation d’interface laisse ouvert
Part-IS, comme toute réglementation de système de management, demande un processus et une appréciation. Elle ne teste pas si vos mesures fonctionnent.
L’évaluation fournisseur de votre client demandera si vous avez du contrôle d’accès, de la journalisation, de la gestion des vulnérabilités et des sauvegardes. Des réponses documentées aux quatre y satisfont. Ces mêmes quatre réponses sont compatibles avec un environnement où personne n’a interrogé un journal, où une vulnérabilité critique est ouverte depuis le printemps et où aucune restauration n’a jamais été chronométrée.
L’écart compte davantage ici que dans la plupart des secteurs, car de l’autre côté de votre interface se trouve un organisme dont le régulateur le juge sur des résultats de sécurité des vols. Si une atteinte à l’intégrité de vos données atteint son exploitation, la question posée ensuite ne sera pas si vous aviez une politique. Ce sera combien de temps le problème est resté là avant que quiconque le remarque.
L’investissement utile n’est donc pas une réponse de questionnaire plus épaisse. C’est une détection et une gestion de l’exposition qui tournent en continu sur les systèmes qui touchent ceux de votre client, avec des constats portant un propriétaire et une échéance, et des preuves qui s’accumulent au fil de l’eau plutôt que d’être assemblées la semaine où l’audit est annoncé. Cet argument complet figure dans les preuves qui s’assemblent seules.
