News
Bureau Veritas au salon AD2S à Bordeaux du 22 au 24 septembre
Cyber global 2
PART-IS : Sécuriser un secteur aéronautique en pleine transformation numérique
Les règlements (UE) 2022/1645 et (UE) 2023/203, connus sous le nom de PART-IS, imposent aux acteurs du secteur aérien européen de mettre en place une gestion rigoureuse des risques liés à la sécurité de l'information pouvant avoir un impact sur la sécurité aérienne. Bureau Veritas vous accompagne dans cette transition réglementaire.
Qu’est-ce que PART-IS et ses objectifs ?
La Part-IS (pour Information Security) est le cadre réglementaire européen de gestion des risques liés à la sécurité de l'information dans l'aviation civile. Elle repose sur deux textes : le règlement délégué (UE) 2022/1645 et le règlement d'exécution (UE) 2023/203, complétés par les moyens acceptables de conformité et documents d'orientation (AMC/GM) publiés par l'EASA.
Elle impose aux organismes concernés d'identifier et de traiter les risques liés à la sécurité de l'information susceptibles d'avoir un impact sur la sécurité aérienne : gouvernance, gestion des risques, détection et gestion des incidents, continuité d'activité.
Ses objectifs : prévenir les incidents de cybersécurité ayant un impact sur la sécurité aérienne, harmoniser les pratiques de sécurité de l'information dans l'aviation européenne et renforcer la coopération entre autorités compétentes et organismes.
Quand la Part-IS s'applique-t-elle ?
La Part-IS s'applique en plusieurs étapes, selon le texte dont relève votre organisme :
| Date d'application | Texte | Organismes concernés |
| 16 octobre 2025 | Règlement délégué (UE) 2022/1645 | Organismes de conception (Part 21, sous-partie J), organismes de production (Part 21, sous-partie G), exploitants d'aérodromes et prestataires de services de gestion d'aire de trafic |
| 1er janvier 2026 | Règlement d'exécution (UE) 2023/203 | Prestataire de services de navigation aérienne EGNOS |
| 22 février 2026 | Règlement d'exécution (UE) 2023/203 | Tous les autres organismes concernés (voir ci-dessous) et les autorités compétentes, dont l'EASA |
Une mise en conformité progressive
Pour sa surveillance, l'EASA a défini une approche progressive de la maturité de l'ISMS : présent, adapté, opérationnel et efficace. À la date d'application, les organismes doivent au minimum disposer des fondamentaux de leur système (politique de sécurité, rôles, première évaluation des risques, procédures de gestion et de signalement des incidents). Un délai supplémentaire de 18 mois est prévu pour atteindre les niveaux « opérationnel » et « efficace ».
Qui est concerné par la Part-IS ?
Outre les organismes couverts par le règlement délégué (conception, production, aérodromes), le règlement d'exécution (UE) 2023/203 s'applique à un large éventail d'acteurs de l'aviation civile, notamment :
- Organisations de maintenance (Part-145)
- Organismes de gestion du maintien de navigabilité (Part-CAMO)
- Exploitants aériens (Part-ORO)
- Organismes de formation agréés (ATO - Part-ORA)
- Centres médicaux pour le personnel navigant
- Fournisseurs de services U-space
- Organismes de formation des contrôleurs aériens (ATCO TOs)
- Fournisseurs de services ATM/ANS (Part-ATM/ANS.OR)
- Exploitants de simulateurs d'entraînement au vol (FSTD)
- Centres aéromédicaux pour les contrôleurs aériens
- Organismes de conception ou de production de systèmes et constituants ATM/ANS
- Autorités compétentes, dont l'EASA
Certaines activités sont exclues, par exemple les organismes de maintenance travaillant uniquement selon la Part-ML ou les organismes de formation limités aux aéronefs ELA2.
Dérogation possible : un organisme peut demander à son autorité compétente une dérogation s'il démontre, par une évaluation des risques documentée, que ses activités, installations et ressources ne présentent aucun risque lié à la sécurité de l'information pouvant avoir un impact sur la sécurité aérienne.
Quelles sont les exigences de la Part-IS ?
La Part-IS demande de mettre en place un système de gestion de la sécurité de l'information (ISMS), proportionné à la taille, à la complexité et à l'exposition aux risques de l'organisme, et intégré à son système de gestion existant. Ses principales exigences :
- Gouvernance : politique de sécurité de l'information, rôles et responsabilités définis, engagement du dirigeant responsable ;
- Évaluation et traitement des risques : identification des éléments critiques et des menaces, analyse de l'impact potentiel sur la sécurité aérienne, mesures de traitement ;
- Détection, réponse et rétablissement : capacités de détection des incidents, procédures de réponse et de reprise d'activité ;
- Signalement : système de signalement interne et notification à l'autorité compétente des incidents et vulnérabilités pouvant présenter un risque significatif pour la sécurité aérienne ;
- Maîtrise des prestataires : gestion des risques liés aux activités sous-traitées et à la chaîne d'approvisionnement ;
- Personnel : compétences des personnes en charge de l'ISMS, formation et sensibilisation des équipes ;
- Documentation : manuel de gestion de la sécurité de l'information (ISMM), enregistrements et gestion des changements ;
- Amélioration continue : audit interne et revue de l'efficacité de l'ISMS.
Part-IS, NIS 2 et ISO/IEC 27001 : quelles différences ?
La Part-IS est une réglementation propre à l'aviation, centrée sur l'impact des risques de sécurité de l'information sur la sécurité aérienne. Elle ne remplace pas la directive NIS 2 : selon l'EASA, un organisme qualifié d'entité essentielle ou importante au titre de NIS 2 reste soumis à ses obligations, même s'il est conforme à la Part-IS.
Un ISMS existant, par exemple certifié ISO/IEC 27001, constitue une base utile. Il doit toutefois être complété pour couvrir les exigences propres à la Part-IS, notamment l'analyse de l'impact sur la sécurité aérienne et la notification des incidents à l'autorité compétente.
L’accompagnement de Bureau Veritas sur la conformité PART-IS
Bureau Veritas propose une offre complète pour vous aider à atteindre la conformité PART-IS :
- Analyse d’écart : Évaluation de votre niveau de conformité actuel par rapport aux exigences PART-IS
- Mise en œuvre de l’ISMS : Accompagnement dans la structuration et le déploiement d’un système de gestion de la sécurité de l'information conforme
- Formations : Sessions de formation sur les exigences réglementaires, la gestion des risques et les bonnes pratiques
- Ateliers personnalisés : Ateliers pratiques pour renforcer les compétences internes et préparer les audits
- Analyse de risques : identification des éléments critiques et évaluation de leur impact potentiel sur la sécurité aérienne ;
- Documentation : rédaction du manuel ISMM et des procédures de signalement et de gestion des incidents ;
- Audit à blanc : évaluation de votre ISMS avant la surveillance de l'autorité compétente.
Pourquoi choisir Bureau Veritas ?
Fort de notre expertise en cybersécurité et en conformité réglementaire, nous vous aidons à sécuriser vos opérations tout en répondant aux exigences européennes. Nos équipes pluridisciplinaires vous accompagnent à chaque étape de votre mise en conformité PART-IS.
- Une double expertise aéronautique et cybersécurité, pour traiter les risques numériques au regard de vos activités aéronautiques ;
- Un accompagnement de bout en bout : formation, analyse d'écart, mise en œuvre de l'ISMS et préparation des audits ;
- Un tiers de confiance indépendant, reconnu mondialement en tests, inspection et certification.
BUREAU VERITAS, TIERS DE CONFIANCE MONDIAL EN TESTS, INSPECTIONS, CERTIFICATION
Véritable partenaire durant toutes les étapes de vos projets, nous vous aidons à faire face aux problématiques actuelles en vous appuyant sur notre expertise internationale.
Questions fréquentes sur la Part-IS
-
La Part-IS est-elle obligatoire ?
Oui. Elle s'applique depuis le 16 octobre 2025 aux organismes couverts par le règlement délégué (UE) 2022/1645, et depuis le 22 février 2026 à ceux couverts par le règlement d'exécution (UE) 2023/203, sauf dérogation accordée par l'autorité compétente.
-
Qui contrôle la conformité à la Part-IS ?
La conformité est vérifiée par l'autorité compétente de chaque organisme, dans le cadre de sa surveillance habituelle : en France, la DSAC (Direction de la sécurité de l'Aviation civile), ou l'EASA pour les organismes qu'elle agrée directement.
-
Quelle est la différence entre la Part-IS et la directive NIS 2 ?
La Part-IS est une réglementation aéronautique qui vise les risques de sécurité de l'information ayant un impact sur la sécurité aérienne. NIS 2 est une directive transversale sur la cybersécurité des entités essentielles et importantes. Les deux peuvent s'appliquer au même organisme.
-
Une certification ISO/IEC 27001 suffit-elle pour être conforme à la Part-IS ?
Non, pas à elle seule. Un ISMS certifié ISO/IEC 27001 est une base solide, mais il doit intégrer les exigences spécifiques de la Part-IS, en particulier l'évaluation de l'impact sur la sécurité aérienne et la notification des incidents à l'autorité compétente.
-
Que risque un organisme non conforme à la Part-IS ?
Les écarts sont relevés lors de la surveillance de l'autorité compétente, avec un plan d'actions correctives à mettre en œuvre. Dans les cas les plus graves, l'agrément de l'organisme peut être limité, suspendu ou retiré.
-
Peut-on être exempté de la Part-IS ?
Un organisme peut demander une dérogation à son autorité compétente s'il démontre, par une évaluation des risques documentée, que ses activités ne présentent aucun risque lié à la sécurité de l'information pouvant avoir un impact sur la sécurité aérienne.
-
Par où commencer sa mise en conformité Part-IS ?
Par une analyse d'écart entre vos pratiques actuelles et les exigences de la Part-IS, suivie d'une évaluation des risques. Elle permet de prioriser les actions et de construire une feuille de route vers un ISMS opérationnel et efficace.
