EASA Part-IS ist eine Verordnung, die sich mit Informationssicherheitsrisiken befasst, die sich auf die Flugsicherheit auswirken können. Die Durchführungsverordnung (EU) 2023/203 und die delegierte Verordnung 2022/1645 der Kommission innerhalb von EASA Part-IS bieten ein Regelwerk zur Einführung eines modernen Rahmens, der sich mit den Risiken im Zusammenhang mit der Informationssicherheit in der Luftfahrt befasst und Verfahren zur Gewährleistung des Schutzes aller Elemente innerhalb des Anwendungsbereichs einführt. Durch die Umsetzung dieses Rahmens können die Akteure der Luftfahrt proaktiv gegen Cyber-Bedrohungen vorgehen und eine stärkere und widerstandsfähigere Infrastruktur gewährleisten, um die höchsten Sicherheitsstandards in der Branche aufrechtzuerhalten. Ziel ist es, ein Umfeld zu schaffen, in dem die Cybersicherheit nahtlos in die betrieblichen Sicherheitspraktiken im gesamten Luftfahrtsektor integriert ist. Für weitere Details kontaktieren Sie uns für einen unverbindlichen Austausch

Luftfahrt-Organisationen:

• Luftverkehrsbetreiber, Instandhaltungsbetriebe, Flugsicherungsdienstleister, Flughäfen, Entwicklungs- und Produktionsbetriebe sowie Ausbildungseinrichtungen (ATOs) müssen die Vorschriften zur Informationssicherheit einhalten.

Informationssicherheits-Managementsystem (ISMS):

• Die Einführung eines Informationssicherheits-Managementsystems (ISMS) ist für diese Organisationen obligatorisch, um Risiken für die Informationssicherheit, die die Flugsicherheit beeinträchtigen könnten, zu erkennen, zu bewerten und zu bewältigen.

Cybersecurity-Risiken:

• EASA Part-IS befasst sich mit Cybersicherheitsrisiken, die sich auf kritische Luftfahrtsysteme auswirken können, einschliesslich Flugbetrieb, Flugverkehrsmanagement (ATM), Flugsicherungsdienste (ANS) und Flughafenbetrieb.

Management von Zwischenfällen:

• Organisationen müssen Mechanismen zur Erkennung, Reaktion und Meldung von Cybersicherheitsvorfällen einrichten, die Auswirkungen auf die Flugsicherheit haben könnten.

Steuerung und Aufsicht:

• Die Verordnung legt den Schwerpunkt auf Governance und kontinuierliches Risikomanagement und stellt sicher, dass Organisationen klare Rollen, Verantwortlichkeiten und Berichtsmechanismen für den Umgang mit Informationssicherheitsrisiken festlegen.

Die Unternehmen müssen die EASA Part-IS innerhalb der folgenden Fristen erfüllen:

1. 16. Oktober 2025 für Organisationen, die in den Anwendungsbereich der delegierten Verordnung (EU) 2022/1645 fallen, d. h. für Luftfahrtunternehmen, Konstruktions- und Produktionsbetriebe, Instandhaltungsbetriebe und andere an kritischen Luftfahrtsystemen beteiligte Stellen.
2. 22. Februar 2026 für andere Organisationen, die unter die Durchführungsverordnung (EU) 2023/203 fallen. Dazu gehören weitere Luftfahrtdienstleister und zuständige Behörden, die für die Überwachung der Einhaltung der Vorschriften verantwortlich sind.

Die Organisationen werden aufgefordert, so früh wie möglich mit den Vorbereitungen zu beginnen, um sicherzustellen, dass sie diese Fristen einhalten und Unterbrechungen vermeiden.

Ja, es besteht die Möglichkeit, von bestimmten Anforderungen im Rahmen von EASA Part-IS abzusehen, und zwar durch ein Verfahren, das als Ausnahmeregelung bekannt ist. Dies ist jedoch nur für Organisationen möglich, die nachweisen können, dass ihr Betrieb kein erhebliches Informationssicherheitsrisiko für die Flugsicherheit darstellt. Um sich für diese Ausnahmeregelung zu qualifizieren:

1. Die Organisation muss eine dokumentierte Risikobewertung durchführen, aus der hervorgeht, dass ihre Tätigkeiten keine wesentliche Gefahr für die Informationssicherheit in der Luftfahrt darstellen.
2. Diese Risikobewertung muss der zuständigen Behörde (z. B. der nationalen Luftfahrtbehörde) vorgelegt werden, die sie prüft und entscheidet, ob die Ausnahmegenehmigung erteilt wird.
3. In der Regel gelten Ausnahmeregelungen für Stellen wie Konstruktions- oder Produktionsbetriebe, die an nicht sicherheitskritischen Komponenten arbeiten (z. B. Innenausstattung oder Teile, die die strukturelle Integrität oder Sicherheit des Flugzeugs nicht beeinträchtigen).

Es ist wichtig zu wissen, dass eine Ausnahmeregelung zeitlich begrenzt ist und regelmässig überprüft wird. Organisationen, die Ausnahmeregelungen erhalten, müssen ihr Risikoniveau neu bewerten, wenn sich ihr Arbeitsumfang ändert oder neue Bedrohungen der Cybersicherheit auftreten

Die Sicherstellung der Konformität mit EASA Part-IS kann ein komplexer Prozess sein, der einen massgeschneiderten Ansatz für die einzigartige Struktur und Risikoexposition jeder Organisation erfordert. Wir bei CyFort sind darauf spezialisiert, Luftfahrtakteure bei der nahtlosen Integration des erforderlichen Informationssicherheitsmanagementsystems (ISMS) in ihre Abläufe zu unterstützen und ihnen einen individuellen Weg zur Einhaltung der Vorschriften zu bieten. Mit unserer Erfahrung in den Bereichen Luftfahrt und Cybersicherheit haben wir zahlreiche Organisationen erfolgreich durch die komplizierten Anforderungen von Part-IS geführt. Durch die Durchführung von gründlichen Risikobewertungen, die Einrichtung von robusten Incident-Management-Prozessen und die Sicherstellung einer kontinuierlichen Verbesserung identifiziert CyFort die optimalen Lösungen, die auf Ihre Bedürfnisse zugeschnitten sind.

Eine Partnerschaft mit CyFort ermöglicht es Ihnen, sich auf Ihre Kernaufgaben zu konzentrieren, während wir mit Ihnen zusammenarbeiten, um eine nahtlose Einhaltung der EASA Part-IS zu gewährleisten. Gemeinsam mit Ihnen entwickeln wir massgeschneiderte Lösungen zum Schutz Ihrer Systeme, damit Sie die Sicherheit und Widerstandsfähigkeit gegen Cyber-Bedrohungen aufrechterhalten können, während Sie gleichzeitig die regulatorischen Standards vollständig einhalten.