Regelmäßig beschäftigt sich Luftrechtsexpertin Nina Naske auf airliners.de in ihrer Kolumne mit aktuellen Entwicklungen im Luftrecht. In ihrer Tutorial-Serie Basiswissen Luftrecht erklärt sie zudem juristische Grundlagen.
Die Verordnung (EU) Nr. 2022/1645 ist bereits im Jahr 2022 und die Verordnung (EU) Nr. 2023/203 vom 27.10.2022 schon im Jahr 2023 in Kraft getreten. Beide waren aber noch längere Zeit zunächst nicht anwendbar. Doch seit dem 16. Oktober 2025 ist die Verordnung (EU) 2022/1645 nun anzuwenden, an die sich seitdem die Herstellungs- und Entwicklungsbetriebe, die Flugplatzbetreiber und die Vorfeldkontrolldienste halten müssen.
Seit dem 1. Januar müssen die EGNOS-Anbieter und seit dem 22. Februar müssen auch die Teil-145-Betriebe, die CAMOs und die Luftfahrzeugbetreiber (auch Fluggesellschaften) und andere die Verordnung (EU) Nr. 2023/203 anwenden.
Was soll mit Part-IS erreicht werden?
Der Artikel 1 der Verordnung (EU) Nr. 2022/1645 und der Verordnung (EU) Nr. 2023/203 legen beinahe wortgleich fest, dass es um "die Identifizierung und das Management von Informationssicherheitsrisiken" und die "Identifizierung" und Reaktion auf Störungen der Informationssicherheit und die "Wiederherstellung" gehen soll ("to respond to and recover from ... information security incidents").
Diese Zielsetzung wird jedes Unternehmen für richtig und wichtig halten. Aber natürlich hängst an den neuen Rechtsanforderungen mehr als nur die Zielsetzung. Vorgeschrieben sind die aus dem Bereich Flugsicherheit (aviation safety) hinlänglich bekannten Anforderungen an die Aufbau- und Ablauforganisation im Unternehmen, die jetzt noch ein weiteres Mal in einem zusätzlichen Handbuch niedergeschrieben werden müssen – nun eben mit der Aufgabe "Informationssicherheit" im Fokus. Die Einhaltung der Anforderungen unterliegt auch der Aufsicht der Luftfahrtbehörde.
Im Kern geht es um Kontrolle
Pars pro toto lässt sich am Beispiel eines Luftfahrtunternehmens (gewerblicher Luftfahrzeugbetreiber) gut erklären, was die Anwendbarkeit von Part-IS seit dem 22. Februar bedeutet. ORO.GEN.200 des Anhangs II (Teil-ORO) der Verordnung (EU) Nr. 965/2012 fordert seit Jahren die Einrichtung und Aufrechterhaltung eines Managementsystems für die Flugsicherheit (aviation safety). Das ist jetzt ergänzt worden:
Zusätzlich zu dem nach Punkt ORO.GEN.200 vorgeschriebenen Managementsystem muss der Betreiber ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist. ORO.GEN.200A
Die Informationssicherheit wird mit dieser Vorgabe erst einmal von der Flugsicherheit getrennt – die nötigen Verknüpfungen müssen dann im Rahmen der zwei Managementsysteme wieder hergestellt werden.
Änderungen am Informationssicherheits-Management-System werden im Rahmen der Aufsicht von der Luftfahrtbehörde geprüft oder bedürfen sogar der Genehmigung (ARO.GEN.330A des Anhangs II (Teil-ARO) der Verordnung (EU) Nr. 965/2012 mit ISI.I.OR.255 des Anhangs II (Teil-IS-I.OR.255). Die Luftfahrtbehörde muss im Fall von Beanstandungen nach ARO.GEN.350 des Anhangs II (Teil-ARO) der Verordnung (EU) Nr. 965/2012 verfahren und das Unternehmen muss auf Beanstandungen gemäß ISI.I.OR.225 des Anhangs II (Teil-IS.I.OR) der Verordnung (EU) Nr. 2023/203 reagieren und der Grundursache nachgehen, einen Abhilfeplan erstellen und die Umsetzung der Abhilfemaßnahmen fristgerecht nachweisen.
Ohne "grünes Licht" von der Luftfahrtbehörde geht also auch im Bereich Informationstechnologie künftig (beinahe) nichts und mit Beanstandungen (und natürlich wie immer auch mit fehlerhaften Beanstandungen) der Luftfahrtbehörde ist jederzeit zu rechnen, so dass Abhilfepläne geschrieben und umgesetzt werden müssen. Manche werden sagen, dieser Zugriff der staatlichen Behörden auf die Informationssicherheit sei längst überfällig. Andere werden eher mit "noch mehr Sand im Getriebe" für die Unternehmen der Luftfahrt rechnen.
Was müssen Unternehmen tun?
Dabei lassen sich die Anforderungen von Part-IS (wiederum erklärt am Beispiel der für Fluggesellschaften und andere geltenden Anforderungen der Verordnung (EU) Nr. 2023/203) auf zwei Kernpunkte herunterbrechen: Zunächst muss die Aufbau- und Ablauforganisation in einem Handbuch beschrieben werden. Welche Stellen im Unternehmen sind verantwortlich (verantwortlicher Betriebsleiter und benannte Personen (nominated persons), welche Abläufe sind einzuhalten, wie laufen Änderungen des ISMS, und so weiter (siehe ORO.GEN.200A in Verbindung mit ISI.I.OR.200 (ISMS), ISI.I.OR.240 (Personal) und ISI.I.OR.250 (Handbuch)).
Diese Aufbau- und Ablauforganisation muss sich auf die Identifizierung und den Umgang mit Risiken der Informationssicherheit beziehen. Dafür müssen Systeme für interne und externe Meldungen eingerichtet werden (ISI.I.OR.215 und ISI.OR.230).
Vor allem aber müssen Informationssicherheitsrisiken bewertet (ISI.I.OR.205) und die Reaktion auf Störungen und Maßnahmen zur Wiederherstellung festgelegt werden (ISI.I.OR.220). Die Reaktion und Wiederherstellung "im Fall der Fälle" ist natürlich besonders wichtig, denn Schwachstellen oder Störungen lassen sich in der Informationstechnologie nicht vollständig ausschließen, sondern es kann nur angemessen darauf reagiert werden, wenn eine Schwachstelle erkannt wird oder eine Störung eintritt – wie etwa beim stundenlangen Totalausfall der griechischen Flugsicherungskommunikation Anfang 2026 eindrücklich zu sehen war. Genau das sieht auch ISI.I.OR.220 vor:
a) […] [D]ie Organisation [muss] Maßnahmen ergreifen, um Störungen und Schwachstellen zu erkennen, die auf das potenzielle Eintreten nicht hinnehmbarer Risiken, die sich auf die Flugsicherheit auswirken können, schließen lassen. [...]
b) Die Organisation muss Maßnahmen ergreifen, mit denen sie auf alle nach Buchstabe a identifizierten Ereigniszustände reagiert, die sich zu einer Störung der Informationssicherheit entwickeln können oder sich zu einer solchen entwickelt haben. [...]
c) Die Organisation muss Maßnahmen ergreifen, die der Wiederherstellung nach Störungen der Informationssicherheit dienen, auch gegebenenfalls durch Notfallmaßnahmen. […]. ISI.I.OR.220 Störungen der Informationssicherheit – Erkennung, Reaktion und Wiederherstellung
Diese Vorgehensweisen müssen so gut als möglich im Vorhinein festgelegt werden. Das erfordert nicht die Beschreibung der konkreten Reaktion auf jede denkbare Störung, sondern vor allem eine anhand von Risikokategorien und Eskalationsstufen ausgerichtete Planung. Auch sollte für jedes denkbare Szenario klar sein, wer die Entscheidungen trifft und wer diese umsetzt.
Checkliste abarbeiten
Unternehmen, die noch kein Handbuch zu Part-IS geschrieben und der für sie zuständigen Luftfahrtbehörde vorgelegt haben, müssen das jetzt schnell noch erledigen, denn der Part-IS ist seit Oktober 2025 nach und nach "scharf geschaltet" und seit Februar 2026 für alle einzuhalten. Wenn es schnell gehen und richtig laufen soll, hilft es, sich den Part-IS wie eine Checkliste vorzustellen: Wie die Vorgaben konkret umgesetzt werden, lässt sich der Reihe nach abarbeiten und im Handbuch aufschreiben.
Wichtig ist dafür insbesondere, dass die im Unternehmen eingesetzten Systeme vollständig erfasst und auch das Zusammenwirken von "Mensch und IT-System" richtig verstanden wird. Denn "Informationssicherheit" ist in Artikel 3 der Verordnungen (EU) Nr. 2022/1645 und 2023/203 definiert als "Wahrung der Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von Netz- und Informationssystemen". Dass die Branche das Thema ernstnimmt, zeigt auch eine Sita-Studie aus dem Jahr 2025, der zufolge 71 Prozent der Flughäfen Cybersicherheit als wichtigsten IT-Schwerpunkt einstufen. Mindestens auch eine große Rolle spielt deshalb, wer sich (und wie) Zugang zu den Systemen verschaffen kann. Auch die Nachverfolgbarkeit der Zugriffe auf das System oder die Verfügbarkeit trotz äußerer Störungen (Internetverbindung, Stromversorgung) kann eine Rolle spielen.
Vielleicht sind die neuen Anforderungen des Part-IS schlussendlich doch für manchen eine Hilfestellung, weil eine konzentrierte und lösungsorientierte Befassung mit der Informationssicherheit erreicht wird. Wenn die Luftfahrtbehörden gute Arbeit machen wollen, dann werden sie zudem auch nicht pingelig-bürokratisch, sondern zielorientiert nachfragen, bei der Lösungssuche unterstützen und mindestens im Jahr 2026 noch viel Zeit bei der weiteren Umsetzung lassen. Das würde der Luftfahrt dann sogar wirklich helfen.
