Un jour, un courriel arrive du service achats de votre donneur d'ordre. Il vous demande de vous inscrire à AirCyber et d'atteindre un niveau de maturité, souvent avec une échéance. Pour beaucoup de PME de la filière, c'est la première fois que la cybersécurité devient une condition commerciale et non une bonne intention.
D'où vient AirCyber
En 2011, Airbus, Dassault Aviation, Safran et Thales créent une société commune, BoostAeroSpace, pour outiller ce que les quatre groupes font de toute façon chacun de leur côté : échanger des plans, des commandes et des prévisions avec des milliers de fournisseurs. De cette société sortent des plateformes partagées comme AirSupply pour la chaîne logistique ou AirDesign pour les données de conception.
En 2019, un service s'ajoute à la liste : AirCyber. Il ne sert plus à échanger des données, mais à savoir si celui qui les reçoit est capable de les protéger. C'est, à notre connaissance, le premier programme industriel à vouloir mesurer le niveau de protection d'une filière entière, du grand groupe à l'atelier de dix personnes.
La raison est simple à comprendre pour qui a déjà vu une chaîne de production s'arrêter. Le directeur des systèmes d'information de Dassault Aviation déclare publiquement constater deux attaques par mois provenant de ses propres fournisseurs, avec parfois près d'un mois d'interruption de service. Un attaquant qui vise un avionneur n'attaque pas l'avionneur : il attaque le sous-traitant de rang trois qui lui ouvrira la porte.
Le problème que le programme résout
Avant AirCyber, chaque donneur d'ordre envoyait son propre questionnaire de sécurité. Un fournisseur travaillant pour trois groupes remplissait trois formulaires différents, sur trois échelles différentes, sans qu'aucun ne soit comparable. Le temps passé était considérable et le résultat inexploitable.
AirCyber remplace cela par un référentiel unique. Le fournisseur s'évalue une fois, et ses donneurs d'ordre lisent tous la même mesure. C'est d'abord un gain de temps pour vous, et une vision homogène pour eux.
Le second apport est moins visible mais plus profond : le programme fixe une échelle. Avant, « nous sommes sérieux sur la sécurité » ne voulait rien dire. Maintenant, un niveau se déclare, se documente et se vérifie.
Comment il fonctionne, concrètement
Le parcours tient en quatre temps.
L'inscription, à la demande d'un donneur d'ordre le plus souvent, parfois à votre initiative si vous anticipez.
L'auto-évaluation. Un questionnaire couvre l'organisation, les pratiques et les mesures techniques. BoostAeroSpace annonce deux à quatre heures pour le remplir. C'est vrai si vous connaissez déjà vos réponses. C'est faux si vous devez aller chercher qui détient les sauvegardes, depuis quand elles ne sont plus testées, et combien de comptes d'anciens salariés restent actifs.
Le score et la feuille de route. Vous recevez un niveau de maturité et un plan d'action priorisé. C'est là que le programme devient utile : il ne se contente pas de constater, il ordonne.
La progression et le maintien. Le niveau se réévalue périodiquement. Un fournisseur qui atteint un palier puis laisse tout retomber le perd.
Bronze, Argent, Or : ce que recouvre chaque palier
Le programme distingue trois niveaux, que l'on trouve écrits tantôt Bronze, Silver et Gold, tantôt Bronze, Argent et Or selon les documents. C'est la même échelle.
Bronze correspond au socle : les mesures d'hygiène qui écartent les incidents les plus courants. Sauvegardes, mises à jour, gestion des accès, sensibilisation. C'est le niveau demandé en premier dans la grande majorité des cas, et l'objectif que fixe le programme d'accompagnement du GIFAS.
Argent demande la preuve. Les pratiques ne sont plus seulement appliquées, elles sont formalisées, documentées et vérifiables. On ne déclare plus un niveau, on le démontre.
Or relève de la maîtrise : surveillance, détection, amélioration continue. Un palier exigeant, pertinent pour les fournisseurs les plus exposés ou porteurs de données sensibles.
Le contenu exact de chaque palier est fixé par le questionnaire de BoostAeroSpace et évolue avec le programme. Méfiez-vous des grilles détaillées que vous trouverez ailleurs : elles datent souvent d'une version précédente.
Ce que le programme vaut au-delà de la filière
AirCyber a été conçu en cohérence avec le paysage réglementaire européen, et notamment avec NIS2 et l'ISO 27001. Le travail que vous fournissez pour vos donneurs d'ordre sert donc aussi vos obligations, ce qui est rare.
Une reconnaissance moins connue mérite d'être signalée. Dans le dispositif Cyber PME, financé par France 2030, piloté par la Direction générale des entreprises et opéré par Bpifrance avec l'ANSSI, l'évaluation AirCyber figurait parmi les diagnostics reconnus comme équivalents au Diagnostic Cybersécurité de Bpifrance. Une entreprise passée par AirCyber pouvait candidater directement au financement de son plan de sécurisation.
Ce dispositif a clos son dernier appel à projets le 26 novembre 2025 et ne figure plus au catalogue de Bpifrance. Nous le mentionnons parce que beaucoup de pages le présentent encore comme ouvert, et parce que cette équivalence en dit long sur le sérieux du référentiel : l'État l'a jugé équivalent à son propre diagnostic.
Le financement du GIFAS, et son échéance
Le GIFAS a lancé Cyber Boost, un parcours adossé à AirCyber qui prend en charge l'accompagnement de 200 entreprises au maximum d'ici fin 2027. Il réunit quatre volets : sensibilisation au facteur humain, tests de résilience et de phishing, le parcours AirCyber avec évaluation initiale, feuille de route et dix jours d'accompagnement, puis une mise en relation avec des partenaires bancaires. L'objectif fixé est d'atteindre au minimum le niveau Bronze.
La prise en charge dépend de votre affiliation : 21 000 € HT, soit la totalité, pour les adhérents du GIFAS, 10 500 € HT, soit la moitié, pour les adhérents d'un pôle ou d'un cluster de la filière.
Pour être éligible, il faut être une PME ou une ETI de la filière, réaliser plus de 20 % de son chiffre d'affaires dans le secteur ou être reconnu fournisseur stratégique de la supply chain, et adhérer au GIFAS ou à un pôle ou cluster.
Les inscriptions ferment en décembre 2026. L'exécution court de septembre 2026 à décembre 2027, pour une durée de trois à neuf mois selon votre maturité de départ.
Ce qui reste à votre charge
Deux conditions méritent d'être lues avant de s'engager, et elles sont décisives pour votre budget.
La contribution du GIFAS est subordonnée à l'atteinte d'un niveau supérieur dans AirCyber au 31 décembre 2027. Ce n'est pas une subvention pour avoir essayé.
Surtout, elle couvre l'accompagnement, pas les investissements. Les mesures à déployer pour monter de niveau restent à votre charge : sauvegardes réellement testées, authentification forte généralisée, journalisation exploitable, cloisonnement du réseau, gestion des accès. C'est là que se joue le budget réel, et aucun programme ne le paiera à votre place.
Pourquoi se faire accompagner
Trois raisons, et aucune n'est le questionnaire lui-même, que vous pouvez remplir seul.
Répondre juste. C'est le piège le plus fréquent. Surestimer son niveau se paie au moment de la vérification, devant le donneur d'ordre. Le sous-estimer crée un plan d'action démesuré et un budget que la direction refusera. Entre les deux, il faut savoir ce qu'une réponse engage réellement.
Mesurer l'écart entre le déclaré et le réel. Une politique de sauvegarde existe dans presque toutes les entreprises. Une restauration effectivement testée dans les six derniers mois, beaucoup plus rarement. L'analyse d'écarts se fait sur le terrain, pas dans un formulaire.
Faire servir le même travail plusieurs fois. Si vous êtes aussi concerné par NIS2, si un client vous demande l'ISO 27001, ou si le RGPD vous impose une analyse de risques, une seule démarche peut alimenter les trois. Menées séparément, elles coûtent trois fois le même travail.
Nous préparons les entreprises de la filière à cette démarche, de l'auto-évaluation à la montée en maturité. Nous ne sommes ni affiliés au programme ni à ses organismes d'évaluation : notre rôle est de vous y amener, pas de vous y noter.
Si votre donneur d'ordre vient de vous écrire, la première question à lui poser n'est pas technique. C'est celle-ci : quel niveau attendez-vous, et pour quand ? Tout le reste en découle.