Die digitale Transformation schreitet in allen Bereichen der Luftfahrt rasant voran. Mit ihr wachsen auch die Risiken durch Cyberangriffe, die die Sicherheit und den reibungslosen Betrieb gefährden können. Die Europäische Agentur für Flugsicherheit (EASA) hat mit Part-IS (Information Security) eine neue Verordnung eingeführt, um diesen Herausforderungen zu begegnen und ein robustes Cybersicherheitsniveau in der europäischen Luftfahrt zu gewährleisten. Was ist EASA Part-IS?

Part-IS ist ein integraler Bestandteil der EASA-Grundverordnung (EU) 2018/1139 und trat im Februar 2024 in Kraft. Sie zielt darauf ab, die Informationssicherheit innerhalb von Luftfahrtorganisationen zu stärken, indem sie Anforderungen an das Management von Cybersicherheitsrisiken festlegt. Dies betrifft eine Vielzahl von Akteuren, darunter: 1. Fluggesellschaften (AOC-Inhaber) 2. Wartungsbetriebe (Part-145) 3. Luftfahrtunternehmen (z.B. Flughäfen, Flugsicherungsdienstleister) 4. Hersteller von Luftfahrzeugen und Teilen (Part-21) 5. Schulungsorganisationen (ATO) Im Kern fordert Part-IS die Einführung eines Informationssicherheits-Managementsystems (ISMS), das proaktiv Risiken identifiziert, bewertet und geeignete Maßnahmen zur Minderung dieser Risiken implementiert. Was müssen Sie beachten?

Die Implementierung von EASA Part-IS erfordert einen strategischen und umfassenden Ansatz. Hier sind die wichtigsten Punkte, die Sie berücksichtigen sollten:

1. Risikobasierter Ansatz: Der Fokus liegt auf der Identifizierung und Bewertung von Informationssicherheitsrisiken, die spezifisch für Ihre Organisation und deren Betrieb sind.

2. Managementsystem: Etablieren Sie ein formales ISMS, das klare Richtlinien, Prozesse und Verantwortlichkeiten für die Informationssicherheit definiert.

3. Governance und Verantwortlichkeiten: Klare Zuweisung von Verantwortlichkeiten für Informationssicherheit auf allen Ebenen der Organisation, von der Geschäftsleitung bis zu den operativen Mitarbeitern.

4. Awareness und Schulung Regelmäßige Schulungen und Sensibilisierung der Mitarbeiter für Cybersicherheitsrisiken und Best Practices.

5. Technische und organisatorische Maßnahmen: Implementierung geeigneter technischer (z.B. Firewalls, Verschlüsselung) und organisatorischer (z.B. Zugriffskontrolle, Notfallpläne) Sicherheitsmaßnahmen.

6. Kontinuierliche Verbesserung: Das ISMS muss regelmäßig überprüft und aktualisiert werden, um neuen Bedrohungen und sich ändernden Anforderungen gerecht zu werden.

7. Zusammenarbeit und Berichterstattung: Erforderlichkeit der Zusammenarbeit mit den zuständigen Behörden (z.B. nationalen Luftsicherheitsbehörden) und Berichtspflichten bei Sicherheitsvorfällen.

8. Integration mit anderen Managementsystemen: Part-IS sollte idealerweise in bestehende Managementsysteme (z.B. SMS – Safety Management System) integriert werden, um Synergien zu nutzen.

Die Nichteinhaltung der Part-IS-Anforderungen kann zu erheblichen Bußgeldern, Betriebseinschränkungen und einem nachhaltigen Reputationsverlust führen.