Conformité à la norme EASA Part-IS en matière de sécurité de l'information 2026 – Auditeur GRC + IA agréé FedRAMP | Continuum GRC

À propos de cette norme

Le Cadre de sécurité de l'information EASA Part-ISÉlaborée et mise en œuvre par l'Agence européenne de la sécurité aérienne (AESA), la directive NIS2 représente une avancée réglementaire majeure qui intègre la cybersécurité à la sécurité aérienne. Elle s'applique à l'ensemble de l'écosystème de l'aviation civile en Europe et est pleinement alignée sur le cadre réglementaire européen en matière de cybersécurité.

Objectif du cadre EASA Part-IS

Le cadre vise à :

• Protéger la sécurité aérienne contre les risques liés à la sécurité de l'information (cybermenaces, violations de données, attaques contre la chaîne d'approvisionnement).
• Exiger des organisations qu’elles mettent en place un système de gestion de la sécurité de l’information (SGSI) formel, proportionné à leur taille, à leur complexité et à leur exposition aux risques.
• Intégrer la gestion de la sécurité de l'information aux systèmes de gestion de la sécurité (SGS) existants.
• Garantir une surveillance et une résilience cohérentes dans l'ensemble du secteur aéronautique européen.

Il s'applique à :

• exploitants aériens, organismes de maintenance (Partie 145), organismes de gestion du maintien de la navigabilité (Partie CAMO), organismes de conception et de production (Partie 21), aérodromes, fournisseurs de services de navigation aérienne et autres entités agréées par l'AESA.
• Toute organisation dont les systèmes d'information ou les données pourraient affecter la sécurité des vols ou des opérations aériennes.

Composantes clés de la partie IS de l'EASA

• Système de gestion de la sécurité de l'information (SMSI)Gouvernance, évaluation des risques, contrôles, réponse aux incidents et amélioration continue.
• Approche fondée sur le risqueLes mesures de sécurité doivent être proportionnées aux risques identifiés pour la sécurité aérienne.
• Intégration avec la sécuritéLes risques de cybersécurité sont évalués et gérés au même titre que les risques de sécurité traditionnels.
• Surveillance et responsabilisation: Des rôles clairement définis pour la haute direction, les autorités compétentes et les entités qualifiées.
• Rapports d'incidentsSignalement obligatoire des incidents de sécurité susceptibles d'avoir un impact sur la sécurité.
• Sécurité de la chaîne d'approvisionnementExigences relatives à la surveillance des tiers et des sous-traitants.

Processus de conformité EASA Part-IS

L’obtention et le maintien de la conformité suivent un cycle de vie structuré et fondé sur les risques :

1. Analyse des écarts et définition du périmètre: Identifier les exigences applicables et le niveau de maturité actuel.
2. Développement du SMSI: Établir des politiques, des procédures, un registre des risques et des contrôles.
3. Intégration avec les SMS: Aligner la sécurité de l'information sur les processus de sécurité existants.
4. Mise en œuvre et formationDéployer les contrôles, mener des formations de sensibilisation et tester leur efficacité.
5. Audit interne et revue de direction: Vérifier que le système de gestion de la sécurité de l'information (SGSI) est opérationnel et efficace.
6. Surveillance réglementaireLes autorités compétentes effectuent la vérification de la conformité (aucun « certificat » formel n’est requis, mais une efficacité démontrable est obligatoire).
7. Progrès continuSurveillance continue, réponse aux incidents et adaptation aux nouvelles menaces.

Principales réglementations et normes

• Règlement d'exécution (UE) 2023/203 de la Commission – Exigences fondamentales pour la gestion des risques liés à la sécurité de l'information.
• Règlement délégué (UE) 2022/1645 de la Commission – Règles complémentaires pour les autorités et organisations compétentes.
• Règles d'accès simplifié pour la sécurité de l'information – Directives consolidées et moyens acceptables de conformité (AMC/GM).
• Alignement fort au ISO 27001, NIST800-53, schémas ENISA, la directive NIS2 et les réglementations de sécurité EASA existantes (règlement de base, partie 21, partie 145, etc.).

Avantages de la conformité à la norme EASA Part-IS

• Renforce la sécurité aérienne en traitant les cyber-risques comme des risques pour la sécurité.
• Améliore la résilience opérationnelle et la sécurité de la chaîne d'approvisionnement.
• Fait preuve d'une conformité proactive aux exigences des organismes de réglementation, des clients et des assureurs.
• Réduit la probabilité et l'impact des cyberincidents sur les opérations aériennes.
• Tire parti des investissements SMS existants pour une mise en œuvre plus rapide.

Défis et considérations

• Délais de mise en œuvre serrés (principales dates d'application fin 2025 et février 2026).
• Nécessité d'une intégration poussée entre les équipes de sécurité et de sûreté.
• Exigences importantes en matière de documentation et de preuves pour la surveillance.
• L’évolution du paysage des menaces exige une adaptation continue.

La plateforme agréée FedRAMP de Continuum GRC, intégrant l'outil d'audit IA AITAMBot™, offre une prise en charge native et dédiée au secteur aéronautique pour une conformité totale à la réglementation EASA Part-IS. De l'évaluation automatisée des écarts et l'intégration des systèmes de gestion de la sécurité de l'information (SGSI) et des systèmes de gestion de la sécurité de l'information (SGSSI) à la surveillance des risques en temps réel, la collecte de preuves et la production de rapports prêts pour l'audit, nous rendons la conformité à la réglementation Part-IS plus rapide, plus intelligente et plus durable pour les organisations aéronautiques de toutes tailles.

QFP

Contactez-nous en utilisant le formulaire ci-dessous ou en nous appelant au 1-888-896-6207 pour une assistance immédiate.