Teil-IS: Informationssicherheit ist jetzt Luftfahrtsicherheitsrecht.

Part-IS ist das Informationssicherheitsregime der Europäischen Union für die Luftfahrt, das durch die Delegierte Verordnung (EU) 2022/1645 und die Durchführungsverordnung (EU) 2023/203 eingeführt wurde. Es verpflichtet die unter seinen Geltungsbereich fallenden Organisationen zur Implementierung eines Informationssicherheitsmanagementsystems, das Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit verwaltet und in das Sicherheitsmanagementsystem integriert ist, anstatt parallel dazu betrieben zu werden.

Die Anwendbarkeit erfolgt schrittweise. Flughafenbetreiber und Vorfeldmanagement-Dienstleister fallen seit dem 16. Oktober 2025 unter die Regelung. Luftfahrtunternehmen, Organisationen für die Instandhaltung und Aufrechterhaltung der Lufttüchtigkeit, Ausbildungsorganisationen und Flugsicherungsdienste folgen ab dem 22. Februar 2026, während Bodenabfertigungsdienste zu einem späteren Zeitpunkt einbezogen werden. Entscheidend ist, dass die Anwendbarkeit den Beginn der Verpflichtung darstellt, nicht deren Erfüllung: Gemäß dem Stufenmodell muss eine Organisation ein operativ wirksames Informationssicherheitsmanagementsystem nachweisen, das nicht nur dokumentiert ist.

Der Kern des Systems liegt in der Integration. Jahrelang war die Informationssicherheit in der Luftfahrt eine IT-Funktion, die sich mit Vertraulichkeit befasste, während die Sicherheit an anderer Stelle geregelt wurde. Part-IS hebt diese Trennung per Gesetz auf, da ein Ransomware-Angriff auf Wartungsdaten oder eine gemeinsam genutzte Passagierplattform ein sicherheitsrelevantes Ereignis und keine bloße Unannehmlichkeit darstellt. In der Schweiz überwacht das BAG Part-IS im Rahmen seiner regulären Sicherheitsaufsicht und erkennt ausdrücklich die ISO-27001-Zertifizierung an, sofern die Flugsicherheit in das Risikomanagement integriert ist. Dadurch wird der Aufwand für die Einhaltung der Vorschriften auf einen einzigen Arbeitsschritt reduziert.