AirCyber, c’est quoi ?
Dans l’aérospatial, l’aviation et la défense, les grands industriels de la filière ont décidé de s’occuper du risque fournisseurs. Leur consortium, BoostAeroSpace, a mis en place AirCyber, un référentiel de maturité en cybersécurité. Il vise à élever le niveau de sécurité de toute la chaîne d’approvisionnement : un fournisseur mal protégé peut devenir la porte d’entrée vers ses clients.
Il comporte trois niveaux : Bronze, Argent et Or. On commence par s’autoévaluer, puis on peut demander une évaluation à un organisme comme AFNOR Certification. Le niveau obtenu pèse dans la relation avec les donneurs d’ordre. Pour un sous-traitant, c’est aussi un argument commercial : démontrer sa maturité cyber rassure les clients.
Comprendre chaque exigence
Beaucoup de sous-traitants sont peu familiers avec l’univers de la cyber, bien loin de leur cœur de métier. Le référentiel est dense, et sa lecture laisse souvent des questions : que faut-il vraiment mettre en place, quel niveau de preuve est attendu, comment l’appliquer dans une PME industrielle qui n’a pas d’équipe sécurité ? Je vous aide à le lire exigence par exigence, à le traduire dans votre contexte et à distinguer l’essentiel du superflu.
Chaque exigence revient à quelques questions simples : qui en est responsable, qu’est-ce qui est en place, quelle preuve pouvez-vous montrer ? C’est cette lecture concrète, plutôt qu’une liste de documents à produire, qui prépare vraiment une évaluation.
Préparer votre évaluation
- Un état des lieux de votre situation par rapport au niveau visé.
- Un plan d’action priorisé pour combler les écarts.
- L’accompagnement de vos équipes dans la mise en œuvre.
- La préparation des preuves et des entretiens de l’évaluation.
Je connais le référentiel de l’intérieur : je suis qualifié évaluateur AirCyber.
Au-delà de l’évaluation
Les exigences AirCyber reposent sur des bonnes pratiques reconnues, proches de celles d’ISO 27001. Le travail mené pour l’évaluation renforce réellement votre sécurité, et peut servir de base si vous visez un jour une certification.
Questions fréquentes
Quel niveau viser ?
Celui qu’attendent vos donneurs d’ordre, au regard de votre activité et des informations que vous traitez. Bronze pose les bases de l’hygiène informatique ; Argent et Or demandent une démarche plus structurée et davantage de preuves.
Faut-il être certifié ISO 27001 ?
Non. AirCyber est un dispositif à part, accessible à une PME qui n’a pas de système de management formalisé. Une démarche ISO 27001 déjà engagée facilite toutefois le travail.