Une exigence de la chaîne
Votre client vous demande de vous inscrire au programme et d'atteindre un niveau de maturité.
AirCyber
AirCyber : prouvez votre maturité cyber à vos donneurs d'ordre
AirCyber est le programme de maturité en cybersécurité de la filière aéronautique, spatiale et défense, porté par BoostAeroSpace. Les grands donneurs d'ordre demandent à leurs fournisseurs d'y participer et de progresser. Nous préparons les entreprises de la filière à cette démarche, de l'auto-évaluation à la montée en maturité.
Filière aéronautique, spatiale et défense
Programme porté par BoostAeroSpace
Socle commun avec l'ISO 27001
Comprendre le programme
Un niveau de cybersécurité exigé par toute la filière
Un avion, un satellite ou un moteur mobilisent des milliers d'entreprises, des grands groupes aux PME. Une attaque sur un seul fournisseur peut arrêter une chaîne de production ou exposer des plans sensibles. La filière a donc mis en place une démarche commune pour élever le niveau de sécurité de bout en bout.
AirCyber, que l'on voit souvent écrit Air Cyber en deux mots, donne un cadre partagé : chaque fournisseur évalue sa maturité, met en place un plan d'action et progresse par paliers. Les donneurs d'ordre disposent ainsi d'une vision homogène du niveau de sécurité de leur chaîne d'approvisionnement.
Indépendance. AirCyber est un programme de BoostAeroSpace. P2CI est un cabinet de conseil indépendant : nous vous préparons à la démarche, sans lien d'affiliation avec le programme ni avec ses organismes d'évaluation.
Une évaluation structurée
Un questionnaire de maturité couvrant l'organisation, les pratiques et les mesures techniques.
Un plan de progression
Des actions priorisées pour combler les écarts et passer au niveau supérieur.
Une reconnaissance
Un niveau de maturité reconnu par les donneurs d'ordre de la filière, à maintenir dans le temps.
Les trois paliers
Bronze, Silver, Gold : ce que recouvre chaque niveau
La maturité se mesure par paliers. Votre donneur d'ordre vous en demande un, rarement le plus élevé d'emblée, et attend que vous progressiez ensuite.
Le socle
Les mesures d'hygiène qui écartent les incidents les plus courants : sauvegardes, mises à jour, gestion des accès, sensibilisation. C'est le niveau demandé en premier dans la grande majorité des cas.
La preuve
Les pratiques ne sont plus seulement appliquées, elles sont formalisées, documentées et vérifiables. Vous ne déclarez plus un niveau, vous le démontrez.
La maîtrise
Surveillance, détection et amélioration continue. Un palier exigeant, pertinent pour les fournisseurs les plus exposés ou porteurs de données sensibles.
Une précision utile. Les trois paliers se disent aussi Bronze, Argent et Or selon les documents, c'est la même échelle. Le contenu exact de chacun est défini par le questionnaire de BoostAeroSpace et il évolue avec le programme : nous travaillons toujours sur la version en vigueur au moment de votre évaluation, jamais sur une grille périmée.
Ce qui donne son poids au programme
Porté par les donneurs d'ordre, soutenu par la filière
AirCyber n'est pas la grille d'un cabinet. Le programme est porté par BoostAeroSpace, société commune d'Airbus, de Dassault Aviation, de Safran et de Thales, avec le soutien du GIFAS. Ce sont vos clients eux-mêmes qui en fixent le contenu, ce qui explique qu'un niveau atteint ait une valeur commerciale immédiate.
L'enjeu, vu d'en haut, n'a rien d'abstrait. Le directeur des systèmes d'information de Dassault Aviation indique constater deux attaques par mois provenant de ses propres fournisseurs, avec parfois près d'un mois d'interruption de service. C'est ce constat qui a fait passer la sécurité du rang de bonne pratique à celui de condition d'accès au marché.
Depuis 2019, plus de 430 entreprises de la filière ont progressé grâce au programme.
GIFAS Cyber Boost : la démarche peut être financée
Le GIFAS, avec BoostAeroSpace, prend en charge l'accompagnement de 200 entreprises au maximum. Le parcours se déroule en quatre étapes : sensibilisation au facteur humain, tests de résilience et de phishing, puis AirCyber proprement dit avec évaluation initiale, feuille de route et dix jours d'accompagnement par des consultants experts, enfin la mise en relation avec des partenaires bancaires. L'objectif fixé est d'atteindre au minimum le niveau Bronze.
La prise en charge dépend de votre affiliation : 21 000 € HT, soit 100 %, pour les adhérents du GIFAS, 10 500 € HT, soit 50 %, pour les adhérents d'un pôle ou d'un cluster de la filière.
Pour être éligible : être une PME ou une ETI de la filière, réaliser plus de 20 % de son chiffre d'affaires dans le secteur ou être reconnu fournisseur stratégique de la supply chain, et adhérer au GIFAS ou à un pôle ou cluster.
Les inscriptions ferment en décembre 2026. L'exécution court de septembre 2026 à décembre 2027, pour une durée de trois à neuf mois selon votre maturité de départ.
Deux conditions méritent d'être lues avant de s'engager. La contribution du GIFAS est subordonnée à l'atteinte d'un niveau supérieur dans AirCyber au 31 décembre 2027. Et elle couvre l'accompagnement, pas les investissements : les mesures à déployer pour monter de niveau restent à votre charge. C'est précisément là que se joue le budget réel, et c'est là que nous intervenons.
Attention aux informations périmées. Beaucoup de pages citent encore deux financements qui n'existent plus : le volet cyber de France Relance, terminé en 2022, et le dispositif Cyber PME de Bpifrance, dont le dernier appel à projets s'est clos le 26 novembre 2025. Ce dernier avait d'ailleurs reconnu AirCyber comme équivalent à son propre diagnostic, ce qui reste une marque de sérieux même si la porte est fermée. Si l'on vous promet aujourd'hui une aide à ces titres, vérifiez avant d'y compter.
Qui est concerné ?
Tous les rangs de la chaîne d'approvisionnement
La demande vient de votre client, quel que soit votre rang dans la chaîne. Les PME et ETI sont les plus sollicitées, souvent sans équipe de sécurité dédiée.
Mécanique, matériaux, électronique
Usinage, traitement de surface, cartes électroniques, câblage, composants : vos plans et vos moyens de production sont des cibles.
Bureaux d'études, MRO, logistique
Conception, maintenance, réparation, transport : vous manipulez des données techniques sensibles pour le compte de vos clients.
Logiciels et systèmes embarqués
Développement, intégration, informatique industrielle : votre code et vos accès font partie de la surface d'attaque de vos clients.
Le parcours
De la demande du client au niveau atteint
Les modalités précises sont fixées par le programme et par votre donneur d'ordre. Voici le déroulé type d'une démarche, tel que nous l'accompagnons.
Demande du donneur d'ordre
Votre client vous demande de rejoindre le programme et fixe un objectif de maturité.
Auto-évaluation
Vous évaluez vos pratiques : gouvernance, protection des données, accès, sauvegardes, incidents, fournisseurs.
Analyse des écarts
Chaque réponse est confrontée à la réalité du terrain pour identifier les écarts réels et les prioriser.
Plan de remédiation
Un plan d'action chiffré et réaliste, compatible avec vos moyens et vos délais clients.
Mise en œuvre
Déploiement des mesures organisationnelles et techniques, avec vos équipes et votre prestataire informatique.
Validation et maintien
Consolidation des preuves, passage au niveau visé, puis maintien dans la durée.
Notre accompagnement
Un appui concret, adapté aux PME industrielles
Nous travaillons avec vos équipes et votre prestataire informatique, sans jargon et sans documentation inutile.
Préparation à l'auto-évaluation
Nous vous aidons à répondre juste : comprendre les questions, réunir les preuves, éviter de surestimer votre niveau.
Analyse des écarts
Un état des lieux sur le terrain : postes, serveurs, sauvegardes, accès, prestataires, organisation.
Plan de remédiation
Des actions hiérarchisées par gain de sécurité et par effort, avec un calendrier tenable.
Mise en œuvre des mesures
Sauvegardes testées, authentification forte, gestion des accès, cloisonnement, journalisation, gestion des incidents.
Sensibilisation des équipes
Sessions courtes et concrètes pour les ateliers, les bureaux d'études et la direction.
Montée de niveau et maintien
Préparation du palier suivant, suivi des indicateurs et mise à jour des preuves.
Une seule démarche
AirCyber, ISO 27001, NIS2 : les mêmes fondations
Les exigences se recouvrent largement. Ce que vous mettez en place pour votre donneur d'ordre sert aussi vos obligations réglementaires.
Attente client
Démontrer à vos donneurs d'ordre un niveau de maturité, et progresser par paliers.
Reconnaissance internationale
Un système de management certifiable, utile bien au-delà de la filière aéronautique. En savoir plus.
Obligation réglementaire
Selon votre activité et votre taille, la directive peut s'appliquer à vous. Faites le test.
| AirCyber | ISO 27001 | NIS2 | |
|---|---|---|---|
| Nature | Programme de maturité sectoriel | Norme internationale certifiable | Directive européenne transposée en droit national |
| Qui l'exige | Vos donneurs d'ordre | Vos clients et vos appels d'offres | La loi, selon votre secteur et votre taille |
| Périmètre | Aéronautique, spatial et défense | Tous les secteurs | Les secteurs désignés par la directive |
| Ce que vous obtenez | Un niveau de maturité visible de vos clients | Un certificat délivré par un organisme accrédité | Aucun document, des mesures opposables en cas de contrôle |
| Dans la durée | Réévaluation périodique et progression par paliers | Audit de surveillance annuel, recertification tous les trois ans | Obligation permanente |
| Si vous ne faites rien | Perte de référencement chez vos donneurs d'ordre | Aucune sanction, mais des marchés qui vous échappent | Sanctions administratives, dirigeants engagés |
Les trois démarches reposent sur les mêmes fondations : analyse de risques, gestion des accès, sauvegardes éprouvées, traitement des incidents, sécurité des fournisseurs. Les mener séparément revient à payer trois fois le même travail.
FAQ AirCyber
Questions fréquentes
Mon client me demande AirCyber : par où commencer ?
Commencez par clarifier ce qui vous est demandé : le niveau de maturité attendu et l'échéance. Vient ensuite l'auto-évaluation, puis l'analyse des écarts sur le terrain. C'est elle qui donne la vraie mesure du travail à fournir et permet de bâtir un plan tenable.
AirCyber remplace-t-il l'ISO 27001 ?
Non, les deux démarches sont complémentaires. AirCyber est un programme sectoriel de maturité, porté par la filière aéronautique et attendu par vos donneurs d'ordre. L'ISO 27001 est une norme internationale certifiable, reconnue par tous les secteurs. Les mesures à mettre en place se recoupent très largement.
Faut-il une équipe de sécurité en interne ?
Non. La plupart des fournisseurs concernés sont des PME sans responsable sécurité. Nous travaillons avec votre direction, votre référent informatique et, le cas échéant, votre prestataire, en prenant en charge la partie méthode et pilotage.
Combien de temps faut-il pour progresser ?
Cela dépend entièrement de votre point de départ. Les premiers écarts, souvent les plus critiques (sauvegardes testées, authentification forte, gestion des accès), se traitent en quelques semaines. Une progression de niveau demande généralement plusieurs mois, le temps d'ancrer les pratiques et de réunir les preuves.
Quels sont les niveaux AirCyber, et lequel viser ?
Le programme distingue trois paliers : Bronze, Silver et Gold. Ne choisissez pas le niveau vous-même. Demandez à votre donneur d'ordre celui qu'il attend et pour quelle échéance, car c'est lui qui fixe l'exigence. Dans la grande majorité des cas la première demande porte sur le Bronze, avec une progression attendue ensuite.
Combien coûte la démarche AirCyber ?
Le coût a deux composantes distinctes. D'un côté les frais du programme lui-même, fixés par BoostAeroSpace, qui ne les publie pas et les communique sur demande selon votre taille. De l'autre l'accompagnement, s'il vous en faut un, et surtout les mesures à mettre en place. C'est ce dernier poste qui pèse le plus, et il dépend entièrement de votre point de départ. L'analyse des écarts est ce qui permet de le chiffrer : avant elle, tout montant annoncé serait une devinette.
Existe-t-il une aide financière pour AirCyber ?
Oui, et le calendrier est serré. Le GIFAS a lancé Cyber Boost, un parcours adossé à AirCyber, limité à 200 entreprises. L'accompagnement est pris en charge à hauteur de 21 000 € HT, soit 100 %, pour les adhérents du GIFAS, et de 10 500 € HT, soit 50 %, pour les adhérents d'un pôle ou d'un cluster. Il faut être une PME ou une ETI réalisant plus de 20 % de son chiffre d'affaires dans la filière, ou être reconnu fournisseur stratégique. Les inscriptions ferment en décembre 2026.
Lisez bien les deux conditions : la contribution suppose d'atteindre un niveau supérieur dans AirCyber au 31 décembre 2027, et elle ne couvre pas les investissements nécessaires pour y parvenir, qui restent à votre charge.
Méfiez-vous en revanche des deux financements encore cités un peu partout : le volet cyber de France Relance s'est achevé en 2022, et le dispositif Cyber PME de Bpifrance a clos son dernier appel à projets le 26 novembre 2025. Des aides régionales existent par ailleurs en Auvergne-Rhône-Alpes, avec des conditions qui changent d'une année sur l'autre. Nous faisons le point avec vous sur ce qui est réellement ouvert au moment où vous lancez votre projet.
Qui décide du contenu du programme ?
BoostAeroSpace, la société commune d'Airbus, de Dassault Aviation, de Safran et de Thales, avec le soutien du GIFAS. Autrement dit, vos propres clients. C'est ce qui distingue AirCyber d'un référentiel de cabinet : le niveau que vous atteignez est lu directement par ceux qui vous commandent.
Une échéance AirCyber à tenir ?
Faisons le point sur votre situation et sur le chemin jusqu'au niveau attendu par votre client.