Informationssicherheit als neues regulatorisches Kernthema
Mit Part-IS (Information Security) erweitert die European Union Aviation Safety Agency ihren regulatorischen Rahmen um verbindliche Vorgaben zur Informationssicherheit. Ziel ist es, die zivile Luftfahrt systematisch gegen Cyberbedrohungen, Datenmanipulation, IT-Ausfälle und unbefugte Zugriffe zu schützen.
Die zunehmende Digitalisierung von Betriebsabläufen – von elektronischen Flugvorbereitungs-Tools über digitale Wartungsdokumentation bis hin zu vernetzten Flugbetriebssystemen – macht auch kleinere Organisationen zu potenziellen Angriffszielen. Gleichzeitig sind viele Prozesse heute von stabiler IT-Infrastruktur abhängig. Ein erfolgreicher Cyberangriff kann damit nicht nur wirtschaftliche Schäden verursachen, sondern unmittelbar die Flugsicherheit beeinträchtigen.
Part-IS verankert daher verbindliche Anforderungen an:
- Risikobewertung und Schutzbedarfsanalyse
- organisatorische Zuständigkeiten für Informationssicherheit
- Meldeprozesse bei Sicherheitsvorfällen
- Schulungen und Sensibilisierung
- Dokumentation und kontinuierliche Überwachung
Die Vorgaben gelten nicht nur für große Airlines, sondern unter anderem auch für:
- Flugschulen (ATO/DTO)
- gewerbliche CAT-Flugbetriebe
- NCC-Betreiber (Non-Commercial Complex)
- Instandhaltungsbetriebe nach Part-145
- CAMO-Organisationen
Gerade hier entsteht ein Spannungsfeld zwischen regulatorischem Anspruch und praktischer Umsetzbarkeit.
Kleine Betriebe unter erheblichem Umsetzungsdruck
Während größere Organisationen häufig bereits über Compliance- und IT-Sicherheitsabteilungen verfügen, arbeiten viele kleinere Luftfahrtunternehmen mit sehr schlanken Strukturen. Oft übernimmt eine Person mehrere Funktionen – vom Safety Manager bis zur administrativen Leitung.
Die Einführung eines vollumfänglichen Informationssicherheits-Managementsystems kann in solchen Strukturen schnell unverhältnismäßig wirken. Dokumentationspflichten, Risikoanalysen, Schulungsnachweise und Meldeprozesse erzeugen administrativen Aufwand, der personell und finanziell kaum abgebildet werden kann.
Vor diesem Hintergrund setzen sich Branchenvertreter gegenüber der European Union Aviation Safety Agency sowie dem Bundesministerium für Digitales und Verkehr für praktikable und verhältnismäßige Lösungen ein. Ziel ist es, sicherzustellen, dass kleine Betriebe ein hohes Schutzniveau erreichen können, ohne gezwungen zu sein, überdimensionierte Managementsysteme zu implementieren, die in keinem angemessenen Verhältnis zur Betriebsgröße stehen.
Musteranleitung als pragmatische Übergangslösung
Um betroffene Unternehmen konkret zu unterstützen, wurde eine Musteranleitung entwickelt, die die wesentlichen Anforderungen von Part-IS in eine schlanke, praxisnahe Struktur überführt.
Der Ansatz dahinter ist klar:
- Konzentration auf wesentliche Risiken
- einfache, nachvollziehbare Dokumentation
- klare Verantwortlichkeiten
- realistische Maßnahmenpläne
Die Musterunterlagen ermöglichen es kleinen Betrieben, fristgerecht einen Antrag einzureichen und damit regulatorische Anforderungen formal zu erfüllen. Auch wenn ein solcher Musterantrag naturgemäß nicht jeden Einzelfall vollständig abdecken kann, bietet er eine belastbare Grundlage für den Dialog mit der zuständigen Behörde.
Wesentlich ist dabei die Einhaltung der Fristen. Nach Antragstellung kann die Behörde gezielt Rückmeldungen geben und Anpassungen verlangen. Dieses iterative Vorgehen entspricht auch der behördlichen Praxis bei der Einführung neuer Regularien.
Behördenseitige Umsetzung noch im Aufbau
Ein weiterer Aspekt, der in der Branche für Diskussion sorgt, ist der Umsetzungsstand auf Behördenseite. Nach aktuellem Kenntnisstand sind auch die nationalen Behörden noch dabei, die im Rahmen der sogenannten Part-IS Authority Requirements geforderten internen Strukturen vollständig aufzubauen.
Das bedeutet: Auch die Aufsicht befindet sich in einer Übergangsphase. Vor diesem Hintergrund wird erwartet, dass bei leicht verspäteten oder noch nicht vollständig ausgearbeiteten Anträgen Augenmaß gewahrt wird – insbesondere wenn erkennbar ist, dass sich ein Betrieb ernsthaft mit der Thematik auseinandersetzt.
Cyberrisiken in der Allgemeinen Luftfahrt nehmen zu
Die Einführung von Part-IS kommt nicht zufällig. Weltweit steigt die Zahl gemeldeter Cybervorfälle in kritischen Infrastrukturen kontinuierlich. Auch die Luftfahrt bleibt davon nicht unberührt.
Typische Risikofelder in der Allgemeinen Luftfahrt sind unter anderem:
- Ransomware-Angriffe auf Wartungsbetriebe
- Manipulation oder Ausfall von Flugplanungssoftware
- Kompromittierte E-Mail-Systeme
- unzureichend gesicherte Cloud-Dienste
- fehlende Zugriffskontrollen auf digitale Dokumentationen
Gerade kleinere Organisationen gelten oft als „leichte Ziele“, da sie weniger stark in IT-Sicherheit investieren. Part-IS soll hier Mindeststandards etablieren, die europaweit einheitlich gelten.
Fazit: Balance zwischen Sicherheit und Verhältnismäßigkeit
Mit Part-IS wird Informationssicherheit endgültig zu einem integralen Bestandteil des Safety-Managements in der Luftfahrt. Für kleine Flugschulen, CAT- und NCC-Betreiber sowie Wartungsbetriebe bedeutet dies einen erheblichen organisatorischen Anpassungsbedarf.
Entscheidend wird sein, eine ausgewogene Balance zu finden: Einerseits müssen Cyberrisiken ernst genommen und systematisch adressiert werden. Andererseits dürfen regulatorische Anforderungen kleine Betriebe nicht strukturell überfordern.
Pragmatische Musterlösungen, ein konstruktiver Dialog mit den Behörden und eine verhältnismäßige Anwendung der Vorgaben können dazu beitragen, dass Informationssicherheit in der Allgemeinen Luftfahrt nicht zu einer administrativen Last, sondern zu einem echten Sicherheitsgewinn wird.
Quellverweise:
AOPA
