PART-IS : renforcer la cybersécurité et la résilience des systèmes d’information aéronautiques
Découvrez comment PART-IS contribue à protéger les systèmes d’information critiques dans l’aviation et pourquoi elle est devenue essentielle pour la sûreté aéronautique.
Qu’est-ce que PART-IS ?
PART-IS (Information Security) est une réglementation européenne obligatoire, introduite par l’EASA (Agence européenne de la sécurité aérienne), dont l’objectif est de protéger les systèmes d’information critiques de l’aviation et à renforcer leur résilience face aux cybermenaces.
Elle constitue un volet du corpus réglementaire de l’aviation civile, au même titre que la Part-145 (maintenance) ou la Part-21 (certification), et vise spécifiquement à protéger les systèmes d’information critiques utilisés dans l’aviation.
Son objectif est de garantir que les technologies aéronautiques essentielles – communications avioniques, navigation, systèmes de gestion du trafic aérien, infrastructures au sol – soient résilientes face aux cybermenaces.
PART-IS impose donc aux acteurs du secteur (compagnies aériennes, aéroports, constructeurs, prestataires de services de navigation aérienne) de :
- identifier et évaluer leurs vulnérabilités,
- mettre en œuvre des mesures correctives et préventives,
- assurer la continuité des opérations même en cas d’incident cyber.
Cette réglementation est contraignante et fait l’objet de contrôles par les autorités nationales (comme la DGAC en France). En cas de non-conformité, les autorités peuvent imposer des mesures correctives ou restreindre certaines activités jusqu’à mise en conformité. Au-delà des contraintes opérationnelles, une organisation non conforme s’expose également à une perte de confiance qui met directement en jeu la sécurité aérienne.
Pourquoi la réglementation PART-IS est-elle essentielle pour la sûreté aéronautique ?
Une menace croissante dans le secteur aérien
Le transport aérien est devenu une cible privilégiée pour les cyberattaques. Les vecteurs de menaces sont multiples :
- piratage des systèmes de communication entre avions et tours de contrôle,
- sabotage de logiciels de navigation ou d’applications de plan de vol,
- attaques par déni de service contre les infrastructures critiques des aéroports,
- compromission de données sensibles liées aux passagers ou aux opérations.
Chaque vulnérabilité représente un risque direct pour la sûreté des passagers, mais aussi pour la continuité économique du secteur aérien, qui repose sur une confiance absolue dans la fiabilité de ses systèmes. L’aviation, plus que tout autre secteur, ne peut tolérer l’approximation en matière de cybersécurité.
Une obligation de confiance et de continuité
L’aviation civile repose sur une équation simple : zéro compromis sur la sécurité.
- Une attaque informatique qui perturbe la gestion du trafic aérien peut provoquer des retards massifs, voire des arrêts d’exploitation, avec des conséquences financières et organisationnelles considérables.
- Une compromission d’un système avionique en vol peut avoir des répercussions dramatiques, mettant en jeu la vie des passagers et la réputation des compagnies aériennes.
Dans ce contexte, PART-IS est bien plus qu’une bonne pratique : c’est une obligation réglementaire inscrite dans le corpus de l’EASA. Elle établit des standards de résilience et de cybersécurité applicables à l’ensemble de la chaîne aéronautique : compagnies, constructeurs, prestataires techniques, aéroports et autorités de régulation.
Une réponse adaptée aux défis actuels
PART-IS répond à une double nécessité :
- protéger les systèmes critiques contre les menaces émergentes, qu’elles soient étatiques, criminelles ou opportunistes ;
- préserver la confiance des usagers et des régulateurs, condition indispensable à la continuité du transport aérien.
En imposant des démarches d’analyse de risques, de correction des vulnérabilités et de mise en place de plans de résilience, PART-IS transforme la cybersécurité en composante structurante de la sûreté aéronautique.
Les principes clés de PART-IS
PART-IS repose sur une série de principes destinés à renforcer la protection des systèmes d’information aéronautiques et à garantir leur résilience face aux cybermenaces.
Identification des actifs critiques
Recenser l’ensemble des systèmes, applications et infrastructures indispensables au fonctionnement sûr et continu du secteur aérien (systèmes avioniques, trafic aérien, infrastructures au sol, réseaux de communication).
Évaluation des vulnérabilités
Analyser les points faibles susceptibles d’être exploités par des attaquants, qu’il s’agisse de failles techniques, organisationnelles ou humaines. Cette analyse doit être documentée et régulièrement mise à jour.
Gestion des risques cyber
Appliquer une méthodologie de gestion des risques (ISO 27005, EBIOS Risk Manager) pour hiérarchiser les menaces et prioriser les actions de sécurité. Les exigences PART-IS sont alignées sur les normes ISO 27001 et NIST, ce qui facilite leur adoption par les organisations déjà certifiées ou en conformité avec ces référentiels.
Plans d’action correctifs et préventifs
Définir et mettre en œuvre des mesures concrètes pour sécuriser les systèmes : patching, durcissement des accès, redondance des infrastructures, segmentation réseau, mais aussi procédures d’audit et contrôle continu.
Résilience opérationnelle
Assurer la continuité des opérations même en cas d’incident : sauvegardes fiables, procédures de reprise, scénarios de crise testés régulièrement. La gestion des incidents (détection, réponse, récupération) fait partie des obligations centrales de PART-IS.
Conformité et amélioration continue
PART-IS ne se limite pas à la mise en place initiale de mesures : elle impose un cycle d’amélioration continue, incluant la tenue de registres (IS.D.OR.245), la réponse aux audits des autorités (IS.D.OR.225) et la mise à jour régulière du Système de Management de la Sécurité de l’Information (ISMS).
Un cadre harmonisé avec l’Europe
Pour éviter une multiplication des obligations, la PART-IS intègre et reconnaît des standards européens tels que ceux de l’EUROCAE, et un rapprochement est en cours avec la directive NIS 2 pour que la conformité PART-IS soit reconnue comme équivalente en matière de cybersécurité.
PART-IS et son articulation avec les autres réglementations
La PART-IS ne s’inscrit pas en vase clos. Elle complète et s’articule avec plusieurs référentiels et réglementations en cybersécurité :
- NIS 2 : la directive NIS 2 est une réglementation transsectorielle imposant des obligations de cybersécurité à de nombreux secteurs critiques, dont l’aviation. La Part IS, quant à elle, est une réglementation sectorielle propre à l’aéronautique, inscrite dans le corpus de l’EASA. À ce jour, la conformité à la Part IS ne dispense pas d’appliquer NIS 2, mais des travaux sont en cours entre l’EASA et la Commission européenne pour éviter les doublons.
- DORA : règlement européen sur la résilience opérationnelle numérique, applicable au secteur financier. Bien qu’il ne concerne pas directement l’aviation, il repose sur une logique similaire de gestion des risques, de continuité et de gouvernance de la cybersécurité. La comparaison permet donc d’illustrer une tendance générale à l’échelle européenne, mais DORA reste hors du périmètre aéronautique.
- Normes ISO (27001, 27005, 27019, etc.) : cadres méthodologiques pour mettre en place un système de management de la sécurité de l’information (ISMS) et gérer les risques cyber. Les exigences de PART-IS sont directement alignées avec ces standards, ce qui facilite leur mise en œuvre pour les organisations déjà certifiées.
- EBIOS Risk Manager : méthode française d’analyse de risques largement utilisée dans l’aéronautique et la défense, qui peut être mobilisée dans le cadre de la conformité PART-IS.
- EUROCAE standards : guides techniques et spécifications propres à l’industrie aéronautique, qui sont explicitement référencés dans PART-IS.
En pratique, PART-IS permet aux acteurs de l’aviation de renforcer leur posture cyber tout en s’alignant avec des cadres de conformité européens et internationaux. L’EASA travaille d’ailleurs avec la Commission européenne pour que la conformité PART-IS puisse être reconnue dans le contexte de NIS 2, afin d’éviter toute duplication réglementaire.
Comment se préparer à PART-IS ?
Pour réussir leur mise en conformité, les organisations du secteur aérien doivent adopter une démarche progressive et structurée. PART-IS définit 14 obligations principales (IS.D.OR) déclinées en moyens de conformité (AMC) et en guides (GM) publiés par l’EASA. Cela implique une approche rigoureuse, mêlant technique, organisation et gouvernance.
1. Cartographier les systèmes critiques
Identifier les systèmes avioniques, infrastructures au sol, logiciels de gestion, réseaux de communication et données sensibles. Cette étape doit aboutir à une vue exhaustive des actifs critiques, condition préalable à toute gestion de risques (IS.D.OR.100).
2. Analyser les risques et vulnérabilités
Évaluer la probabilité et l’impact des menaces cyber : attaques ciblées, intrusions, pannes, erreurs humaines. La PART-IS impose la mise en place d’un système de management de la sécurité de l’information (ISMS – IS.D.OR.200) aligné sur ISO 27001 et NIST, afin que chaque organisation dispose d’un cadre méthodologique solide.
3. Définir des scénarios de crise
La réglementation demande d’intégrer une gestion structurée des incidents de sécurité (IS.D.OR.220 à 230) avec des procédures de détection, de réponse et de reprise. Exemples de scénarios :
- attaque par rançongiciel bloquant un centre de contrôle,
- compromission d’un système de plan de vol,
- cyberattaque coordonnée pendant une situation météorologique critique.
4. Déployer des plans de résilience
Mettre en œuvre des mesures de prévention, de protection et de continuité : authentification renforcée, supervision en temps réel, PRA (Plan de Reprise d’Activité), segmentation des réseaux. La PART-IS demande aussi de formaliser un manuel de sécurité de l’information (IS.D.OR.250) qui décrit l’ensemble des dispositifs déployés.
5. Assurer une gouvernance continue
La conformité PART-IS n’est pas ponctuelle : elle impose une amélioration continue (IS.D.OR.260). Les organisations doivent mettre en place des indicateurs, des audits réguliers, tenir un registre (IS.D.OR.245), répondre aux autorités de contrôle (IS.D.OR.225) et mettre à jour leurs procédures en fonction des évolutions du contexte.
Comment rester en conformité avec la PART-IS ?
La mise en conformité initiale avec la PART-IS n’est qu’une étape. Pour répondre durablement aux exigences réglementaires et maintenir un haut niveau de cybersécurité, les organisations du secteur aéronautique doivent mettre en place un cadre de suivi et d’amélioration continue.
1. Mettre à jour régulièrement l’analyse de risques
La menace cyber évolue rapidement. Les compagnies et aéroports doivent réévaluer régulièrement leur exposition et adapter leur cartographie des risques en conséquence.
2. Tenir une documentation et des preuves à jour
La PART-IS impose de documenter les processus (IS.D.OR.250 – Manuel de sécurité, IS.D.OR.245 – Registres). Cette documentation doit être tenue à jour pour être présentée en cas d’audit par l’autorité compétente.
3. Réaliser des audits et contrôles réguliers
Les autorités de l’aviation civile, comme la DGAC en France, peuvent contrôler la conformité. Des audits internes fréquents permettent de détecter les écarts en amont et d’y remédier rapidement.
4. Tester et améliorer la résilience
La conformité n’est pas statique. Les organisations doivent organiser des exercices de crise, tester leurs plans de reprise et intégrer les retours d’expérience pour améliorer en continu leurs dispositifs (IS.D.OR.260).
5. Suivre les évolutions réglementaires et normatives
L’EASA et la Commission européenne travaillent à l’alignement entre la PART-IS et la directive NIS 2. Les organisations doivent rester vigilantes face aux évolutions réglementaires pour anticiper les nouvelles obligations.
Anticipez avec Egerie : votre allié pour la conformité
La plateforme Egerie vous aide à sécuriser vos systèmes d’information critiques en facilitant chaque étape de la mise en conformité :
- Cartographie dynamique des risques cyber, avec une vision claire des dépendances critiques.
- Modélisation de scénarios d’incidents, pour anticiper les impacts sur les opérations aériennes.
- Plans d’action intégrés, permettant un suivi collaboratif de la mise en œuvre des mesures de sécurité.
- Tableaux de bord temps réel, pour piloter la gouvernance et communiquer efficacement avec les autorités de régulation.
- Documentation centralisée, afin de fluidifier les audits et démontrer en continu la conformité.
Grâce à cette approche intégrée, vous gagnez en efficacité, en visibilité et en confiance face aux exigences réglementaires de la PART-IS.
Demandez une démo gratuite et découvrez comment Egerie peut simplifier votre mise en conformité.
Dans un secteur où la sécurité ne tolère aucun compromis, la PART-IS s’impose comme un levier stratégique pour renforcer la cybersécurité et la résilience des systèmes d’information aéronautiques.
En permettant aux organisations d’anticiper les menaces, d’intégrer la gestion des risques cyber dans leurs opérations et de démontrer leur conformité, elle constitue une réponse concrète aux enjeux actuels de l’aviation numérique.
Avec une solution comme Egerie, les acteurs du secteur peuvent transformer cette exigence en avantage stratégique, en renforçant à la fois la sécurité des passagers, la confiance des régulateurs et la continuité des opérations.
Foire aux questions sur PART-IS
Qu’est-ce que la PART-IS ?
La PART-IS est un cadre destiné à protéger et améliorer la résilience des systèmes d’information critiques dans l’aviation, afin de garantir la sûreté et la continuité des opérations aériennes face aux cybermenaces.
Qui est concerné par PART-IS ?
Toutes les parties prenantes du secteur aéronautique : compagnies aériennes, constructeurs, aéroports, prestataires techniques, fournisseurs de services de navigation aérienne, ainsi que les autorités de régulation.
Quelle est la différence entre PART-IS et NIS 2 ?
La directive NIS 2 est une réglementation européenne contraignante couvrant plusieurs secteurs critiques, dont l’aviation. La PART-IS, elle, est un cadre spécifiquement conçu pour la sûreté aéronautique, focalisé sur les systèmes d’information critiques.
Comment mettre en place PART-IS ?
La démarche repose sur l’analyse des vulnérabilités, la mise en place de plans d’action correctifs, et la construction d’une gouvernance continue de cybersécurité. L’utilisation d’une plateforme comme Egerie permet d’accélérer et de fiabiliser cette mise en œuvre.
