Vous volez en croisière, votre GPS affiche une position cohérente, votre transpondeur répond normalement. Pourtant, à des milliers de kilomètres de là, un audit fédéral américain vient de confirmer ce que certains experts redoutaient : la surveillance de la cybersécurité avionique présente des lacunes structurelles, y compris dans les plus grands organismes de régulation du monde.
Ce que l'audit américain révèle vraiment
Le 16 juillet dernier, le Government Accountability Office (GAO) a publié un rapport mettant en évidence des failles importantes dans la façon dont les États-Unis supervisent la cybersécurité du transport aérien. Deux agences sont directement concernées : la FAA (Federal Aviation Administration) et la TSA (Transportation Security Administration). Les conclusions sont sans ambiguïté : les responsabilités ne sont pas clairement définies, et la stratégie de cybersécurité de la FAA n'est que partiellement mise en œuvre.
Sur sept objectifs soutenant la stratégie de cybersécurité de la FAA, seulement trois ont été pleinement atteints. Les quatre restants demeurent en cours d'implémentation. Par ailleurs, la FAA n'a pas déclaré l'intégralité de ses dépenses cybersécurité à l'Office of Management and Budget pour les exercices fiscaux 2024 à 2026 — notamment les coûts liés à la recherche et au développement. Le GAO a formulé cinq recommandations officielles à l'attention des deux agences.
Ce rapport ne concerne pas directement la réglementation européenne, mais il illustre une réalité qui dépasse les frontières : la cybersécurité des systèmes avioniques est un chantier ouvert, partout dans le monde.
Les systèmes avioniques face aux nouvelles menaces
L'avionique moderne n'est plus un ensemble de systèmes analogiques isolés. Les récepteurs GNSS/GPS, les systèmes ADS-B, les FMS et même certains équipements de communication embarquée communiquent avec des infrastructures sol. Cette connectivité accroît les performances opérationnelles, mais elle ouvre aussi des vecteurs d'attaque inédits.
Le spoofing GPS est l'exemple le plus documenté : un signal falsifié peut induire une position erronée sur votre récepteur, sans aucun message d'alerte visible. Des incidents de ce type ont été signalés en zones de conflits, notamment au Moyen-Orient et dans certaines régions d'Europe de l'Est, affectant aussi bien l'aviation commerciale que l'aviation générale.
Le jamming, ou brouillage intentionnel, constitue une autre menace : il dégrade ou coupe le signal de navigation, forçant le pilote à basculer sur des moyens alternatifs — lesquels peuvent eux-mêmes être limités sur un appareil léger. Connaître les ressources disponibles à bord en cas de perte GNSS n'est pas optionnel ; c'est une compétence de base.
Ce que les certifications couvrent — et ce qu'elles ne couvrent pas
Point positif souligné par le GAO : les processus de certification des aéronefs et d'autorisation de sécurité des systèmes de la FAA s'alignent globalement sur les bonnes pratiques fédérales et industrielles pour traiter les risques cybersécurité liés à l'avionique et aux systèmes sol. En Europe, l'EASA intègre des exigences similaires dans ses processus de certification, notamment via la norme EUROCAE ED-202A dédiée à la cybersécurité aéronautique.
Cependant, la certification d'un équipement à la sortie d'usine ne garantit pas sa sécurité tout au long de sa vie opérationnelle. Les mises à jour logicielles, les modifications d'installation, ou simplement l'évolution des techniques d'attaque peuvent créer des vulnérabilités sur du matériel pourtant certifié. Le suivi post-certification reste aujourd'hui la zone grise la plus préoccupante.
Bonnes pratiques pour les pilotes en opération
En l'absence de consigne réglementaire spécifique imposée aux pilotes privés français sur ce point, c'est la vigilance opérationnelle qui prime. Avant chaque vol, vérifiez les NOTAMs relatifs aux perturbations GNSS sur votre route : la DGAC et le SIA diffusent régulièrement des avertissements en cas d'activités militaires ou de brouillage connu.
En vol, une incohérence entre votre position GPS et les repères visuels au sol ou les indications VOR disponibles doit immédiatement alerter. Ne faites jamais confiance à une seule source de navigation. Croiser les informations — GNSS, VOR, DME, lecture de carte — reste la meilleure défense contre toute forme de manipulation du signal.
Si vous utilisez des applications de navigation sur tablette ou smartphone connectés, soyez conscient que ces appareils grand public n'offrent aucune garantie de robustesse face aux perturbations électromagnétiques ou aux cyberattaques. Ils sont des outils d'aide, pas des systèmes certifiés.
Ce que cela implique pour la filière française
L'EASA et la DGAC travaillent sur des cadres réglementaires intégrant la cybersécurité comme critère de navigabilité continue. Ce travail est en cours, et il est probable que les exigences imposées aux opérateurs et aux ateliers de maintenance s'étoffent dans les prochaines années. Rester informé via les publications officielles — circulaires DGAC, bulletins EASA — devient un réflexe indispensable.
L'audit américain du GAO, aussi lointain qu'il puisse paraître, envoie un signal utile : même les systèmes les mieux établis ont des angles morts. Pour un pilote, l'honnêteté sur les limites de ses équipements et la maîtrise des procédures dégradées constituent, aujourd'hui comme hier, la meilleure ligne de défense.
