Regolamenti UE concernenti la sicurezza delle informazioni (parte IS)
Il regolamento UE concernente la sicurezza delle informazioni nell’aviazione civile, noto come parte IS (information security) stabilisce standard di sicurezza vincolanti volti a rafforzare la cibersicurezza nel traffico aereo e a proteggere gli operatori aeronautici dalle crescenti minacce di ciberattacchi.
La parte IS integra le attuali prescrizioni di sicurezza dell’Agenzia europea per la sicurezza aerea (AESA) ed è destinata alle compagnie aeree, agli esercenti degli aeroporti, ai servizi della navigazione aerea e ad altri attori del settore aeronautico come pure alle autorità. Le norme sono disciplinate nel regolamento delegato (UE) 2022/1645 e nel regolamento di esecuzione (UE) 2023/203.
Il regolamento prescrive a tutti gli attori del settore aeronautico di attuare misure per la sicurezza delle informazioni efficaci atte a garantire la protezione dei sistemi e delle reti IT. Le imprese e i regolatori devono adottare misure sia a livello tecnico che organizzativo, al fine di ridurre al minimo i rischi di ciberattacchi e migliorare la resilienza. Queste misure comprendono ad esempio la crittografia, i controlli degli accessi come pure l’aggiornamento e la manutenzione regolari dei sistemi IT.
Il regolamento chiede alle organizzazioni aeronautiche l’istituzione di un sistema di gestione della sicurezza delle informazioni (ISMS) che può prendere spunto dalla norma ISO/IEC 27001. Grazie all’ISMS le imprese possono affrontare in maniera sistematica e proattiva le minacce alla sicurezza, ovvero rilevare gli eventi legati alla sicurezza, prendere le misure di protezione, reagire e ripristinare l’integrità e la disponibilità dei sistemi dopo un evento. Questi compiti presuppongono la definizione delle competenze e delle responsabilità, l’identificazione e la valutazione dei rischi per la sicurezza delle informazioni, lo sviluppo delle relative misure, la formazione del personale nonché la sorveglianza e il rispetto dei requisiti.
Il 16 ottobre 2025 entrerà in vigore la normativa UE concernente la sicurezza delle informazioni (parte IS) per gli esercenti degli aeroporti, i fornitori di servizi di gestione del piazzale come pure per le imprese di produzione e di progettazione. In una seconda fase, a partire dal 22 febbraio 2026 seguiranno le imprese di trasporto aereo, le imprese di manutenzione, le imprese addette alla gestione del mantenimento dell’aeronavigabilità (CAMO), le organizzazioni di addestramento certificate (ATO), i centri aeromedici per il personale di volo, gli operatori di dispositivi di addestramento al volo simulato, le organizzazioni di addestramento dei controllori di volo (ATCO CO), i centri aeromedici per i controllori di volo, i servizi della navigazione aerea, i fornitori di servizi U-space nonché le autorità di sorveglianza competenti compresa l’AESA.
Il regolamento UE concernente la sicurezza delle informazioni (parte IS) avrà effetti positivi sulla cibersicurezza del settore aeronautico, tuttavia richiede notevoli investimenti in tecnologie e personale specializzato. Le imprese e le organizzazioni del trasporto aereo come pure i regolatori devono dare la priorità alle misure di sicurezza e adeguare le infrastrutture IT e i processi ai sempre più severi requisiti della sicurezza digitale.
Le autorità nazionali e l’AESA vigilano sul rispetto dei nuovi requisiti IS. Grazie ad audit regolari viene garantita l’osservanza delle prescrizioni da parte delle organizzazioni. In sintesi, la parte IS aumenta la resilienza dell’aviazione civile ai ciberattacchi e rafforza la fiducia dell’opinione pubblica nella sicurezza dell’aviazione.
Il nuovo regolamento UE chiede una più stretta collaborazione tra l’AESA, le autorità di sorveglianza nazionali e le imprese di trasporto aereo. Tale collaborazione facilita lo scambio di informazioni e il coordinamento in caso di eventi legati alla sicurezza che potrebbero avere ripercussioni oltreconfine. Il settore aeronautico europeo diventa più resiliente alle ciberminacce ed è in grado di reagire più rapidamente ai nuovi rischi.
In vista dell’attuazione delle disposizioni UE concernenti la sicurezza delle informazioni (parte IS) è stato istituito un nuovo Servizio specializzato all’UFAC. Dal 1° agosto 2024 il Servizio è stato integrato nella Sezione Misure di sicurezza della Divisione Sicurezza delle infrastrutture. I collaboratori del Servizio lavorano a contatto con diverse Divisioni e sostengono gli ispettori nell’ambito dei requisiti della sicurezza delle informazioni.
