PART-IS è il quadro normativo europeo che introduce la gestione dei rischi di sicurezza delle informazioni nel settore aeronautico. Di materiale in italiano su questo tema ce n’è pochissimo, e chi lavora in un operatore, in una CAMO o in un’organizzazione approvata si trova spesso a decifrare da solo regolamenti, AMC e guidance material in inglese. Questa guida mette ordine: cosa prevede il Regolamento (UE) 2023/203, chi è in scope e da dove si comincia.
Cos’è il PART-IS e da dove nasce
Con il termine PART-IS si indicano i requisiti sulla sicurezza delle informazioni introdotti nel sistema regolamentare EASA dal Regolamento (UE) 2023/203 e dal regolamento delegato che lo accompagna. L’obiettivo è preciso: identificare e gestire i rischi di sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea, cioè sulla safety. Non si tratta quindi di una norma di cybersecurity generica: il perimetro è definito dal potenziale impatto sulla sicurezza del volo e delle operazioni aeronautiche.
Il cuore del PART-IS è l’ISMS, il sistema di gestione della sicurezza delle informazioni: un insieme strutturato di politiche, processi e responsabilità che l’organizzazione deve istituire, mantenere e migliorare nel tempo, in modo integrato con il proprio sistema di gestione esistente.
Chi è in scope
Il PART-IS si applica a un’ampia platea di organizzazioni del sistema aeronautico europeo, tra cui in particolare:
- operatori di trasporto aereo commerciale (certificato AOC);
- organizzazioni di gestione del mantenimento della navigabilità (CAMO);
- imprese di manutenzione approvate Part-145;
- organizzazioni di progettazione e di produzione (DOA e POA);
- organizzazioni di addestramento (ATO) e altri soggetti del dominio formazione ed esercizio;
- aeroporti certificati e fornitori di servizi di navigazione aerea, secondo i rispettivi regolamenti.
Sono previste alcune esclusioni e la possibilità, per determinate organizzazioni, di richiedere un’approvazione di deroga basata sulla valutazione del rischio, quando l’attività non presenta un potenziale impatto sulla safety. Anche la deroga, però, va motivata e approvata dall’autorità competente: non è un’autocertificazione.
Cosa chiede in concreto l’ISMS aeronautico
I requisiti del PART-IS coprono l’intero ciclo di gestione del rischio: identificazione degli elementi del sistema informativo che possono impattare la safety, valutazione dei rischi di sicurezza delle informazioni, trattamento dei rischi con misure proporzionate, gestione degli incidenti e delle vulnerabilità, segnalazione degli eventi rilevanti all’autorità, gestione dei rischi derivanti da fornitori e terze parti, competenza del personale e miglioramento continuo. È richiesta inoltre la nomina di una figura responsabile (il cosiddetto common responsible person a livello di sistema di gestione) e la definizione di una politica di sicurezza delle informazioni approvata dal vertice.
Chi conosce i sistemi di gestione aeronautici ritroverà una struttura familiare: la logica è la stessa del safety management system, applicata al dominio dell’information security. E chi conosce la ISO 27001 riconoscerà molti elementi, con una differenza fondamentale: qui il criterio di rilevanza è l’impatto sulla sicurezza aerea, non la riservatezza dei dati in generale.
Da dove cominciare: un percorso realistico
Il percorso tipico che seguiamo con le organizzazioni parte da una gap analysis: si mappa l’esistente (sistema di gestione, procedure IT, contratti con i fornitori di servizi informatici) rispetto ai requisiti PART-IS applicabili. Da lì si costruisce il pacchetto documentale, tipicamente un manuale ISMS o l’integrazione nei manuali esistenti, le procedure di risk assessment, incident management e reporting, e il piano di formazione. Segue l’implementazione operativa e il dialogo con l’autorità competente per l’approvazione delle modifiche al sistema di gestione.
L’errore da evitare è duplicare: il PART-IS nasce per integrarsi nei sistemi di gestione aeronautici esistenti, non per creare un binario parallelo gestito solo dall’IT. La sicurezza delle informazioni con impatto safety è un tema del sistema di gestione, con il coinvolgimento diretto dell’accountable manager.
PL Consulting affianca operatori, CAMO e organizzazioni approvate nell’implementazione del PART-IS, con esperienza diretta nel settore aeronautico. Scopri il servizio su pl-consulting.it/servizi/partis e richiedi una gap analysis per capire quanto della tua organizzazione è già conforme e cosa manca davvero.
Nota: articolo informativo di carattere generale; l’applicabilità puntuale dei requisiti va verificata sui regolamenti vigenti e con la propria autorità competente. Articolo aggiornato a luglio 2026.