Comment la filière aéronautique française veut sécuriser 200 PME et ETI face aux cyberattaques qui freinent la production et les livraisons

Dans l’aéronautique, la cybersécurité est désormais une condition de livraison. Une seule compromission chez un sous-traitant peut bloquer un programme entier pendant des semaines.

Pour éviter que la montée en cadence ne soit ralentie par des incidents informatiques, la filière française lance un accompagnement opérationnel destiné aux PME et aux ETI. L’objectif est clair : réduire le nombre de “portes d’entrée faciles” dans la chaîne d’approvisionnement.

Une chaîne d’approvisionnement sous pression, et la cyber devient un risque industriel

La filière aéronautique et spatiale doit déjà composer avec une équation exigeante : montée en cadence, tension sur certains composants, délais, exigences qualité. Dans ce contexte, le risque cyber n’est plus un sujet “informatique”. Il devient un risque de continuité industrielle.

Les attaques ne visent pas uniquement les donneurs d’ordre. Elles ciblent aussi, et souvent surtout, les ateliers et sites de production des fournisseurs. Ces entreprises fabriquent des pièces physiques, mais dépendent d’outils numériques pour planifier, usiner, contrôler, tracer et expédier.

Ce basculement est stratégique pour les ETI. Beaucoup opèrent à flux tendu, avec des marges et des délais contractuels serrés. Un arrêt de systèmes, même court, peut se transformer en pénalités, en surcoûts et en perte de confiance client.

Les faits : “Gifas Cyber Boost”, plusieurs millions d’euros pour 200 PME et ETI d’ici fin 2027

Le Groupement des industries françaises aéronautiques et spatiales (Gifas) lance le programme “Gifas Cyber Boost”. Il est doté d’un budget de plusieurs millions d’euros.

L’ambition est d’accompagner, d’ici à fin 2027, un total de 200 entreprises. Le périmètre vise à la fois le civil et la défense.

Dans ce total, 150 entreprises sont membres du Gifas. Les 50 autres proviennent de pôles et clusters régionaux de la filière aéronautique et spatiale.

Le dispositif cible les entreprises qui n’ont pas la capacité d’investissement des grands groupes. Catherine Jestin, présidente de la commission digital du Gifas et directrice du numérique chez Airbus, résume l’esprit du programme : “L’objectif n’est pas seulement de faire de la sensibilisation, mais aussi d’aider concrètement les PME et ETI de la chaîne de fournisseurs qui n’ont pas les ressources dédiées des grands groupes pour savoir par quel bout aborder la cybersécurité.”

Dans la filière, le message est assumé : la cybersécurité devient un standard de performance industrielle, au même titre que la qualité, le respect des délais et la capacité à livrer.

Le constat est préoccupant. La filière subit des millions de tentatives d’attaques chaque mois, et deux à trois réussissent. En France, en 2024, 43 % des attaques ont visé des PME.

Les impacts ne sont pas théoriques. En 2023, une attaque chez un fournisseur en Allemagne a pénalisé la production d’Airbus pendant plusieurs mois.

Autre cas cité : Satys, sous-traitant spécialisé dans le traitement de surface, a subi une paralysie totale de 1 200 postes informatiques. L’entreprise a choisi de rendre l’incident public pour sensibiliser la filière.

Le coût moyen d’une attaque est évalué entre 110 000 euros et plus d’un million d’euros pour l’entreprise victime. Pour une PME, ce niveau d’impact peut menacer la trésorerie, les investissements et parfois la survie.

Ce que contient le programme : du diagnostic à la feuille de route, avec un soutien “terrain”

Le programme est structuré en quatre blocs. D’abord, une formation aux bons gestes, car 70 % des attaques exploitent une vulnérabilité humaine, comme le phishing ou l’usage de clés USB.

Ensuite, des tests de vulnérabilité et des tentatives de phishing sont menés pour identifier les failles. L’objectif est de hiérarchiser rapidement les priorités, sans noyer l’entreprise dans une liste d’actions irréalistes.

Troisième étape : une feuille de route personnalisée et 10 jours d’accompagnement par des consultants experts. C’est un point clé pour les ETI et PME industrielles, qui manquent souvent de ressources cyber internes.

Enfin, le programme prévoit une mise en relation avec des partenaires bancaires. Le but est d’aider à financer le plan de sécurisation, car le frein principal est jugé budgétaire.

Le ciblage est explicite. “La cible prioritaire ne sont pas les offreurs de solutions digitales, mais bien les entreprises qui fabriquent des pièces physiques pour la chaîne de fournisseurs”, précise Catherine Jestin. L’enjeu est la propagation : une défaillance chez un petit fournisseur peut bloquer toute la chaîne.

Analyse ETI : transformer la cyber en “capacité de livraison” et limiter le risque de contagion

Pour une ETI aéronautique, la cyberrésilience relève désormais du pilotage industriel. D’abord, parce que l’atelier est connecté. Ensuite, parce que les systèmes de planification, de qualité et de traçabilité sont au cœur des audits clients.

Dans les faits, la menace crée une nouvelle asymétrie. Les grands groupes disposent d’équipes spécialisées, d’outils de surveillance et de capacités de réponse. En revanche, une PME de 80 à 300 salariés peut avoir un directeur informatique multi-casquettes, parfois aussi dirigeant.

Le risque devient alors systémique. Une attaque chez un fournisseur peut interrompre les flux, retarder des livraisons et provoquer des reprises de production coûteuses chez les rangs supérieurs. Pour une filière engagée dans des montées en cadence, c’est un scénario de “bouchon” industriel.

Le programme répond aussi à un enjeu de souveraineté. Catherine Jestin rappelle que la cybersécurité est un levier de compétitivité et de résilience, mais aussi un rempart contre le vol de propriété intellectuelle. Dans l’aéronautique, l’espionnage industriel fait partie du spectre de menace.

Autre point important pour les ETI : le passage d’une logique de conformité “papier” à une logique de pratiques. La formation, le test et l’accompagnement concret réduisent le risque de sécurité “déclarative” qui ne résiste pas à une attaque réelle.

Perspectives : NIS 2, accélération des attaques, et articulation avec les démarches existantes

Le programme s’inscrit dans un mouvement plus large de la filière. Depuis 2019, un dispositif de certification sur questionnaire, AirCyber, permet d’évaluer la robustesse des entreprises selon trois niveaux : bronze, argent et or. Plus de 300 entreprises sont déjà engagées dans cette démarche, et les 200 acteurs visés par Cyber Boost viendront s’y ajouter.

En parallèle, la pression réglementaire monte. La directive européenne NIS 2 doit imposer un niveau minimal de sécurité à des organisations jugées essentielles. La transposition française est en retard, et la Commission européenne a engagé, le 8 juillet 2026, une procédure en saisissant la Cour de justice de l’Union européenne contre plusieurs États, dont la France, pour absence de notification de transposition complète.

Pour les ETI de l’aéronautique, l’enjeu est de ne pas attendre la dernière minute. La conformité NIS 2 exigera des mesures, des preuves, et une gouvernance. Les entreprises qui auront déjà investi dans un diagnostic et une feuille de route auront un avantage net.

Enfin, la menace évolue. Catherine Jestin alerte sur l’usage malveillant de l’intelligence artificielle : “Le temps nécessaire pour créer un virus après la découverte d’une faille est passé de 26 jours à moins d’une heure, et pourrait tomber à la minute d’ici fin 2026.” Le message est simple : la vitesse d’exploitation augmente, et le temps de réaction doit diminuer.

Dans ce contexte, “Gifas Cyber Boost” joue un rôle de filet de sécurité industriel. Il vise à élever le niveau des fournisseurs les plus exposés, pour protéger l’ensemble de la chaîne. Et, au passage, il transforme la cybersécurité en un actif de performance, au service de la livraison et de la crédibilité commerciale.