Sous-traitant aéronautique et cybersécurité : ce que vos donneurs d'ordre attendent

Si vous êtes sous-traitant ou équipementier dans l'aéronautique, vous l'avez sans doute déjà constaté : depuis 2025, vos donneurs d'ordre vous posent de plus en plus de questions sur votre cybersécurité. Questionnaires à rallonge, demandes de preuves, exigences dans les appels d'offres. Ce n'est pas une lubie passagère, c'est structurel, et ça va s'intensifier. Voici pourquoi, et comment vous y préparer sans y laisser vos semaines.

Pourquoi les donneurs d'ordre aéro vous évaluent

Airbus, Dassault Aviation, Safran, Thales : ces grands donneurs d'ordre sont directement soumis à la directive européenne NIS2. Celle-ci les oblige à sécuriser non seulement leurs propres systèmes, mais toute leur chaîne d'approvisionnement. Autrement dit, ils doivent démontrer que leurs fournisseurs, vous, présentent un niveau de sécurité suffisant.

Le mécanisme est simple et implacable : c'est l'effet cascade. Le donneur d'ordre régulé répercute ses obligations sur ses sous-traitants par voie contractuelle. En pratique, cela se traduit par des questionnaires de sécurité structurés autour des dix mesures de l'article 21 de NIS2, devenus le principal outil de sélection. Un sous-traitant qui ne peut pas démontrer sa maturité s'expose à un risque très concret : le déréférencement commercial.

AirCyber : le cadre de référence du secteur

Face à la multiplication des exigences, la filière s'est organisée. Dès 2018, Airbus, Dassault, Safran et Thales ont lancé AirCyber, un programme commun (hébergé par BoostAeroSpace) destiné à évaluer et faire progresser la maturité cyber des fournisseurs de la supply chain aérospatiale.

Le principe : après un diagnostic, le fournisseur progresse par niveaux, du bronze à l'or. Bonne nouvelle pour vous, le premier niveau (bronze) correspond déjà à l'essentiel de ce qu'exige NIS2. Autrement dit, se mettre au niveau attendu par AirCyber et se préparer à NIS2, c'est largement le même travail.

Si vos donneurs d'ordre vous ont parlé d'AirCyber, ou si vous voyez apparaître ce nom dans vos échanges commerciaux, ce n'est donc pas un obstacle de plus : c'est le cadre qui vous dit précisément quoi mettre en place.

Ce qu'on vous demandera concrètement

Que ce soit via AirCyber ou via un questionnaire maison, les attentes tournent toujours autour des mêmes thèmes, les dix familles de mesures de l'article 21 de NIS2 :

• une politique de sécurité et une analyse des risques ;
• la gestion des incidents (détection, réaction, notification) ;
• les sauvegardes et la continuité d'activité ;
• le contrôle des accès et l'authentification forte (MFA) ;
• la gestion des correctifs et des vulnérabilités ;
• le chiffrement des données sensibles ;
• la sensibilisation de vos équipes ;
• la maîtrise de vos propres sous-traitants.

Rien d'insurmontable pour une PME. La difficulté n'est pas technique : c'est de rassembler les preuves et de formaliser ce que, souvent, vous faites déjà en partie.

Comment s'y préparer sans y passer des semaines

Trois principes font toute la différence :

1. Ne subissez pas, anticipez. Plutôt que de découvrir chaque questionnaire dans l'urgence, constituez une fois pour toutes une base de réponses claire, couvrant les dix familles. À chaque nouvelle demande d'un donneur d'ordre, vous n'aurez plus qu'à piocher dedans.

2. Formalisez le minimum utile. Une politique de sécurité, une procédure de gestion des incidents, un plan de sauvegarde documenté : ces quelques documents répondent à l'essentiel des questions et servent de preuves.

3. Restez cohérent d'un client à l'autre. Vos donneurs d'ordre échangent entre eux. Dire la même chose à Airbus et à Safran n'est pas une option, c'est une nécessité de crédibilité.

En résumé

La pression cybersécurité sur les sous-traitants aéronautiques n'est pas une vague qui va retomber : NIS2 et AirCyber l'installent durablement. La bonne nouvelle, c'est que le travail est balisé (les dix mesures de l'article 21) et qu'il ne se fait qu'une fois. Les sous-traitants qui s'y prennent tôt transforment une contrainte en avantage commercial : ils rassurent leurs donneurs d'ordre, sécurisent leurs contrats, et se démarquent des concurrents encore à la traîne.

FAQ

Faut-il obligatoirement passer par AirCyber ? Pas toujours : certains donneurs d'ordre utilisent leur propre questionnaire. Mais le fond est le même (les mesures de NIS2), donc s'y préparer vous sert dans tous les cas.

Je suis une petite structure, est-ce vraiment pour moi ? Oui. Ce sont justement les petits sous-traitants, peu structurés, qui reçoivent ces demandes sans savoir comment y répondre. Anticiper est votre meilleur atout.

Par où commencer ? Par constituer votre base de réponses aux dix mesures de l'article 21. C'est exactement ce que permet notre kit ci-dessous.