EU-Verordnungen zur Informationssicherheit (Part-IS)
Die EU-Verordnung zur Informationssicherheit in der Zivilluftfahrt, bekannt als Part IS (Information Security), legt verbindliche Sicherheitsstandards fest, die darauf abzielen, die Cybersicherheit im Luftverkehr zu stärken und die Luftfahrtakteure gegen die wachsende Bedrohung durch Cyberangriffe zu schützen.
Part IS ist eine Erweiterung der bestehenden Sicherheitsvorschriften der Europäischen Agentur für Flugsicherheit (EASA) und richtet sich an Fluggesellschaften, Flughafenbetreiber, Flugsicherungsdienste und andere Akteure in der Luftfahrtbranche sowie Luftfahrtbehörden. Die Vorgaben sind in der Delegierten Verordnung (EU) 2022/1645 und der Durchführungsverordnung (EU) 2023/203 geregelt.
Die Verordnung schreibt allen Akteuren in der Luftfahrtbranche vor, robuste Informationssicherheitsmassnahmen zu implementieren, die den Schutz von IT-Systemen und Netzwerken gewährleisten sollen. Unternehmen und Regulatoren müssen sowohl technische als auch organisatorische Massnahmen einführen, um die Risiken eines Cyberangriffs zu minimieren und die Resilienz zu verbessern. Dazu gehören beispielsweise Verschlüsselung, Zugriffskontrollen und die regelmässige Aktualisierung und Wartung von IT-Systemen.
Die Verordnung fordert von Luftfahrtorganisationen die Einrichtung eines Informationssicherheits-Managementsystems (ISMS), das sich z.B an der ISO/IEC 27001-Norm orientieren kann. Ein ISMS soll Unternehmen dabei helfen, systematisch und proaktiv gegen Sicherheitsbedrohungen vorzugehen, d.h Sicherheitsvorfälle zu erkennen, zu schützen, darauf zu reagieren und die Integrität und Verfügbarkeit nach einem Vorfall wiederherzustellen. Dies beinhaltet die Festlegung von Zuständigkeiten und Verantwortlichkeiten, die Identifizierung und Bewertung von Informationssicherheitsrisiken, die Entwicklung entsprechender Massnahmen, die Schulung des Personals sowie die Überwachung der Einhaltung der Anforderungen.
Am 16. Oktober 2025 treten die EU-Bestimmungen zur Informationssicherheit (Part-IS) für Flughafenbetreiber, Vorfeldkontrolldienste, Herstellungs- und Entwicklungsorganisationen in Kraft. In einem zweiten Schritt folgen ab dem 22. Februar 2026 Luftfahrtunternehmen, Instandhaltungsorganisationen, Organisationen zur Führung der Aufrechterhaltung der Lufttüchtigkeit (CAMO), zugelassene Ausbildungsorganisationen (ATO), Flugmedizinische Zentren für das fliegende Personal, Betreiber von Flugsimulationsübungsgeräten, Ausbildungsorganisationen für Fluglotsen (ATCO TO), flugmedizinische Zentren für Fluglotsen, Flugsicherungsorganisationen, Anbieter von U-Space-Diensten sowie die zuständigen Aufsichtsbehörden, einschliesslich der EASA.
Die EU-Verordnung zur Informationssicherheit (Part IS) soll sich positiv auf die Cybersicherheitslage der Luftfahrtbranche auswirken, erfordert jedoch auch beträchtliche Investitionen in Technologie und Fachpersonal. Die Verordnung schreibt Luftfahrtunternehmen und -organisationen sowie Regulatoren vor, Sicherheitsmassnahmen zu priorisieren und ihre IT-Infrastrukturen und Prozesse kontinuierlich an die steigenden Anforderungen der digitalen Sicherheit anzupassen. Die Einhaltung der neuen IS-Anforderungen wird von nationalen Behörden und der EASA überwacht, und regelmässige Audits stellen sicher, dass die Organisationen den Vorschriften entsprechen. Zusammengefasst erhöht Part IS die Widerstandsfähigkeit der Zivilluftfahrt gegenüber Cyberangriffen und stärkt das Vertrauen der Öffentlichkeit in die Luftsicherheit.
Die neue EU-Verordnung fördert eine engere Zusammenarbeit zwischen der EASA, den nationalen Aufsichtsbehörden und den Luftfahrtunternehmen. Diese Kooperation erleichtert den Informationsaustausch und die Koordination bei Sicherheitsvorfällen, die möglicherweise grenzübergreifende Auswirkungen haben. Durch diese Zusammenarbeit soll die europäische Luftfahrtbranche widerstandsfähiger gegenüber Cyberbedrohungen werden und schneller auf neue Bedrohungen reagieren können.
Im Hinblick auf die Umsetzung der EU-Bestimmungen zur Informationssicherheit (Part-IS) wurde im BAZL eine neue Fachstelle gegründet. Seit dem 1. August 2024 ist die Fachstelle Informationssicherheit in der Sektion Schutzmassnahmen der Abteilung Sicherheit Infrastruktur angegliedert. Die Mitarbeiter/innen dieser Fachstelle arbeiten abteilungsübergreifend und unterstützen die Inspektoren/innen in Ihren Tätigkeiten in Bezug auf die Anforderungen der Informationssicherheit.
