PART-IS ist der europäische Rechtsrahmen, der das Management von Informationssicherheitsrisiken im Luftfahrtsektor einführt. Es gibt nur sehr wenig Material auf Italienisch zu diesem Thema, und wer in einem Betreiberunternehmen, einer CAMO oder einer zugelassenen Organisation arbeitet, muss oft Vorschriften, AMC und Leitfäden in englischer Sprache selbst entschlüsseln. Dieser Leitfaden schafft Klarheit: Was die Verordnung (EU) 2023/203 vorsieht, wer in den Anwendungsbereich fällt und wo man beginnt.
Was ist PART-IS und woher kommt es?
Der Begriff PART-IS bezeichnet die Anforderungen an die Informationssicherheit, die durch die Verordnung (EU) 2023/203 und die dazugehörige delegierte Verordnung in das EASA-Regulierungssystem eingeführt wurden. Das Ziel ist klar: Informationssicherheitsrisiken zu identifizieren und zu managen, die sich auf die Luftsicherheit, d.h. die Safety, auswirken können. Es handelt sich also nicht um eine allgemeine Cybersicherheitsnorm: Der Umfang wird durch die potenziellen Auswirkungen auf die Flugsicherheit und den Flugbetrieb definiert.
Das Herzstück von PART-IS ist das ISMS, das Informationssicherheitsmanagementsystem: ein strukturierter Satz von Richtlinien, Prozessen und Verantwortlichkeiten, den die Organisation im Laufe der Zeit einrichten, aufrechterhalten und verbessern muss, integriert in ihr bestehendes Managementsystem.
Wer ist betroffen (in scope)?
PART-IS gilt für eine breite Palette von Organisationen im europäischen Luftfahrtsystem, darunter insbesondere:
- Betreiber von kommerziellen Luftverkehrsdiensten (AOC-zertifiziert);
- Organisationen zur Führung der Aufrechterhaltung der Lufttüchtigkeit (CAMO);
- Part-145-zugelassene Instandhaltungsbetriebe;
- Entwurfs- und Produktionsorganisationen (DOA und POA);
- Ausbildungsorganisationen (ATO) und andere Akteure im Bereich Ausbildung und Betrieb;
- zertifizierte Flughäfen und Anbieter von Flugsicherungsdiensten gemäß den jeweiligen Vorschriften.
Es sind einige Ausnahmen vorgesehen und die Möglichkeit für bestimmte Organisationen, eine auf der Risikobewertung basierende Ausnahmegenehmigung zu beantragen, wenn die Tätigkeit keine potenziellen Auswirkungen auf die Safety hat. Die Ausnahme muss jedoch begründet und von der zuständigen Behörde genehmigt werden: Es handelt sich nicht um eine Selbstzertifizierung.
Was das luftfahrttechnische ISMS konkret fordert
Die Anforderungen von PART-IS decken den gesamten Risikomanagementzyklus ab: Identifizierung der Elemente des Informationssystems, die die Safety beeinflussen können, Bewertung der Informationssicherheitsrisiken, Behandlung der Risiken mit verhältnismäßigen Maßnahmen, Management von Vorfällen und Schwachstellen, Meldung relevanter Ereignisse an die Behörde, Management von Risiken, die von Lieferanten und Dritten ausgehen, Personalkompetenz und kontinuierliche Verbesserung. Es ist außerdem die Ernennung einer verantwortlichen Person (der sogenannten „common responsible person“ auf Managementsystemebene) und die Festlegung einer vom Top-Management genehmigten Informationssicherheitsrichtlinie erforderlich.
Wer mit luftfahrttechnischen Managementsystemen vertraut ist, wird eine bekannte Struktur wiederfinden: Die Logik ist die gleiche wie die des Safety Management Systems, angewendet auf den Bereich der Informationssicherheit. Und wer die ISO 27001 kennt, wird viele Elemente wiedererkennen, mit einem fundamentalen Unterschied: Hier ist das Relevanzkriterium der Einfluss auf die Luftsicherheit, nicht die allgemeine Vertraulichkeit von Daten.
Wo anfangen: Ein realistischer Weg
Der typische Weg, den wir mit Organisationen gehen, beginnt mit einer Gap-Analyse: Das Bestehende (Managementsystem, IT-Verfahren, Verträge mit IT-Dienstleistern) wird im Hinblick auf die anwendbaren PART-IS-Anforderungen abgebildet. Darauf aufbauend wird das Dokumentationspaket erstellt, typischerweise ein ISMS-Handbuch oder dessen Integration in bestehende Handbücher, die Verfahren für Risikobewertung, Incident Management und Reporting sowie der Schulungsplan. Es folgt die operative Implementierung und der Dialog mit der zuständigen Behörde zur Genehmigung der Änderungen am Managementsystem.
Der zu vermeidende Fehler ist die Duplizierung: PART-IS ist dazu gedacht, in bestehende luftfahrttechnische Managementsysteme integriert zu werden, nicht um einen parallelen, nur von der IT verwalteten Weg zu schaffen. Informationssicherheit mit Safety-Auswirkungen ist ein Thema des Managementsystems, mit direkter Beteiligung des Accountable Managers.
PL Consulting unterstützt Betreiber, CAMO und zugelassene Organisationen bei der Implementierung von PART-IS mit direkter Erfahrung im Luftfahrtsektor. Entdecken Sie den Service unter pl-consulting.it/servizi/partis und fordern Sie eine Gap-Analyse an, um zu verstehen, wie viel Ihrer Organisation bereits konform ist und was wirklich fehlt.
Hinweis: Dies ist ein allgemeiner informativer Artikel; die genaue Anwendbarkeit der Anforderungen muss anhand der geltenden Vorschriften und mit Ihrer zuständigen Behörde überprüft werden. Artikel aktualisiert im Juli 2026.