Part-IS : la cybersécurité n'est plus une option, c'est une obligation réglementaire

24 Septembre 2026

Le règlement EASA Part-IS (UE 2023/203) est applicable depuis le 22 février 2026 aux organismes CAMO et Part-145. Ce qu'il impose, et comment sécuriser vos données de navigabilité et de maintenance.

Part-IS : la cybersécurité devient réglementaire

Depuis le 22 février 2026, la sécurité de l'information est une exigence opposable pour les organismes CAMO et Part-145. Voici ce que ça change, sans jargon inutile.

Longtemps, la cybersécurité a été vue comme une affaire d'informatique, à côté de la « vraie » sécurité aérienne. Ce temps est terminé. Avec le règlement Part-IS (règlement d'exécution UE 2023/203, complété par le délégué 2022/1645), l'Europe a acté un principe simple : un risque cyber qui peut affecter la sécurité des vols est un risque de sécurité. À traiter comme tel.

(Attention : la rédaction de la partie réglementaire n'engage que nous dans un but de prise de conscience et d'informations , vous êtes tenu de valider avec les autorités compétentes tous élements juridiques propres à votre entreprise sur ce sujet.)

Qui est concerné, et depuis quand

Les échéances sont désormais derrière nous ce qui veut dire que les autorités entrent dans la phase de contrôle :

16 octobre 2025 : organismes de conception et de production (Part-21), aérodromes… (via 2022/1645).
22 février 2026 : la majorité des acteurs opérationnels via 2023/203 organismes de gestion du maintien de la navigabilité (CAMO), organismes de maintenance Part-145, exploitants, organismes de formation.

Sur les douze mois qui suivent, les autorités nationales mènent leurs premiers audits « cyber ». Autrement dit : ce n'est plus « faut-il s'y mettre ? » mais « êtes-vous prêt à le démontrer ? ».

Aéronefs légers et cas particuliers. Des exemptions existent (notamment pour les organismes ne traitant que des aéronefs ELA1/ELA2). Et pour les activités militaires drones ou hélicoptères d'État le cadre applicable relève des autorités militaires (logique EMAR/national) plutôt que de l'EASA. Le principe « cyber = sécurité », lui, vaut partout : les donneurs d'ordre l'exigent de plus en plus, quel que soit le statut.

Ce que Part-IS demande concrètement

Le cœur du dispositif, c'est un système de gestion de la sécurité de l'information (ISMS) intégré à votre système de gestion de la sécurité (SGS). En pratique, cela suppose de savoir répondre à quatre questions :

Que dois-je protéger ? Identifier les actifs d'information critiques dossiers de navigabilité, données de maintenance, postes et tablettes d'atelier, comptes d'accès, échanges avec les OEM.
Quels sont mes risques ? Évaluer les menaces qui pourraient, via ces actifs, dégrader la sécurité (altération d'un dossier, indisponibilité d'un système, fuite).
Comment je me protège et je réagis ? Mesures de réduction du risque, détection et réponse à incident, avec notification quand c'est requis.
Comment je le prouve ? Politiques documentées, rôles désignés, formation du personnel, traçabilité de quoi tenir face à un audit.

À noter : une certification ISO 27001 est un excellent socle, mais elle ne suffit pas en soi Part-IS exige le lien explicite avec la sécurité aérienne que la norme générique ne fait pas.

Le lien direct avec votre outil de traçabilité

Une grande partie des « actifs critiques » d'un CAMO/MRO, ce sont précisément les données que vous gérez au quotidien : l'intégrité du dossier de navigabilité, l'authenticité d'une signature, la piste d'audit d'une modification, la maîtrise des accès. Un logiciel métier pensé pour la sécurité hébergement maîtrisé (cloud ou local), gestion fine des droits, journalisation, sauvegardes testées ne « fait » pas votre conformité Part-IS à votre place, mais il en constitue une brique concrète et démontrable.

Par où commencer

Inutile de tout faire d'un coup. La démarche réaliste : cartographier ses actifs de données, identifier les 2-3 risques majeurs, verrouiller les accès et les sauvegardes, écrire ce qu'on fait et former les équipes. Le reste se construit dans la durée et se contrôle.

Où en êtes-vous sur la sécurité de vos données de navigabilité ? Faisons le point.

👉 Échanger avec un conseillé TracingFlight