EASA Part-IS ist das Regelwerk der EU für Informationssicherheit in der Zivilluftfahrt. Es verpflichtet Luftfahrtorganisationen, ein Informationssicherheits-Managementsystem (ISMS) für Risiken mit potenziellen Auswirkungen auf die Flugsicherheit zu betreiben. Es gilt seit dem 16. Oktober 2025 für Entwicklungs-, Herstellungs- und Flugplatzorganisationen und seit dem 22. Februar 2026 für Airlines, Instandhaltungsorganisationen und Anbieter von Flugsicherungsdiensten.
Dieser Leitfaden erklärt, was Part-IS ist, wer betroffen ist, welche Fristen gelten und was verlangt wird. Er behandelt die Überschneidung mit NIS2, die Folgen für Zulieferer und was Sie aufbauen sollten, und endet mit einer Checkliste.
| Verordnung | Erfasste Organisationen | Gilt ab |
|---|---|---|
| Delegierte Verordnung (EU) 2022/1645 | Entwicklungs- und Herstellungsorganisationen nach Part 21, Flugplatzbetreiber, Anbieter von Vorfeldkontrolldiensten | 16. Oktober 2025 |
| Durchführungsverordnung (EU) 2023/203 | Instandhaltungsorganisationen nach Part-145, CAMOs, Luftfahrtunternehmen, Ausbildungsorganisationen, flugmedizinische Zentren, FSTD-Betreiber, Anbieter von Flugsicherungs- und U-Space-Diensten, zuständige Behörden einschließlich der EASA | 22. Februar 2026 |
| Durchführungsverordnung (EU) 2025/2293 | Ändert 2023/203 für Organisationen, die eine Erklärung abgeben (keine vorherige Genehmigung des Handbuchs) | 22. Februar 2026 |
| Delegierte Verordnung (EU) 2025/22 | Nimmt bestimmte Bodenabfertigungsorganisationen auf | 27. März 2031 |
Was ist EASA Part-IS?
Part-IS ist die Bezeichnung für die Anhänge zweier Kommissionsverordnungen auf Grundlage der EASA-Grundverordnung (EU) 2018/1139. Part-IS.D.OR steht in der Delegierten Verordnung, Part-IS.I.OR (Organisationen) und Part-IS.AR (Behörden) stehen in der Durchführungsverordnung. Die Punktnummern unten stammen aus Part-IS.I.OR; Part-IS.D.OR ist gleich nummeriert.
Von einer allgemeinen Norm unterscheidet sich Part-IS dadurch, dass es um Flugsicherheit geht: Es zählen die Risiken, die die Flugsicherheit erreichen könnten, nicht die geschäftliche Vertraulichkeit. Die meisten erfassten Organisationen betreiben seit Jahren Safety-Managementsysteme. Part-IS kommt als zweites Managementsystem auf denselben Schienen hinzu, und IS.I.OR.200(d) erlaubt es, beide zu integrieren.
Für wen gilt Part-IS?
Die Ausnahmen sind genauso wichtig wie die Tabelle. Nicht erfasst sind Organisationen, die ausschließlich an ELA2-Luftfahrzeugen oder ausschließlich nach Part-ML arbeiten, sowie manche Betreiber kleiner Luftfahrzeuge im Sichtflug (VFR) am Tag. Ebenfalls ausgenommen sind Anbieter von Flugsicherungsdiensten mit eingeschränktem Zeugnis und Anbieter von Fluginformationsdiensten, die ihre Tätigkeit erklären.
Eine erfasste Organisation kann nach IS.I.OR.200(e) von ihrer Behörde eine Ausnahmegenehmigung erhalten, wenn eine dokumentierte Risikobewertung zeigt, dass ihre Tätigkeiten keine Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit darstellen. Die Genehmigung wird in jedem Auditzyklus der Aufsicht und bei jeder Änderung überprüft.
Ab wann gilt Part-IS?
Beide Verordnungen gelten bereits:
- Seit dem 16. Oktober 2025: Organisationen nach 2022/1645.
- Seit dem 22. Februar 2026: Organisationen und Behörden nach 2023/203.
- Ab dem 27. März 2031: Bodenabfertigungsorganisationen, die von Dritten bereitgestellte Daten verarbeiten oder Luftfahrzeugbetreibern Daten zur betrieblichen Nutzung liefern (2025/22).
Gemeinsame Leitlinien von EASA und nationalen Behörden erwarten, dass das ISMS zum Geltungsbeginn vorhanden und geeignet ist (Stufen „present“ und „suitable“): ein Handbuch zum Informationssicherheitsmanagement, ein Änderungsverfahren, eine erste Risikobewertung und eine Compliance-Überwachung. Die Stufe „operating“ (in Betrieb) zu erreichen dauert länger, und eine Organisation gilt erst dann als konform, wenn ihre Behörde feststellt, dass sie diese Stufe erreicht hat. In der Praxis verlagert sich die Aufsicht 2026 von den Dokumenten hin zur Frage, ob das System läuft.
Was verlangt Part-IS?
Nach IS.I.OR.200 muss die Organisation ein ISMS „einrichten, umsetzen und pflegen“. Seine Prozesse müssen „der Art und Komplexität ihrer Tätigkeiten entsprechen“, und zwar „beruhend auf einer Bewertung der mit diesen Tätigkeiten verbundenen Informationssicherheitsrisiken“.
| Punkt | Anforderung |
|---|---|
| IS.I.OR.200 | ISMS, Informationssicherheitskonzept, Compliance-Überwachung mit Berichterstattung an den verantwortlichen Manager |
| IS.I.OR.205 | Risikobewertung der exponierten Elemente und der Schnittstellen zu anderen Organisationen |
| IS.I.OR.210 | Behandlung nicht hinnehmbarer Risiken, laufend auf Wirksamkeit geprüft |
| IS.I.OR.215 | Internes Meldesystem für Informationssicherheitsereignisse |
| IS.I.OR.220 | Erkennung, Reaktion und Wiederherstellung |
| IS.I.OR.230 | Externe Meldungen an die zuständige Behörde |
| IS.I.OR.235 | Steuerung vergebener Tätigkeiten des Informationssicherheitsmanagements |
| IS.I.OR.240 | Verantwortlicher Manager, verantwortliche Person oder Gruppe, Kompetenz |
| IS.I.OR.225, 245 bis 260 | Reaktion auf Beanstandungen, Aufzeichnungen, Handbuch, Änderungen, Verbesserung |
Drei Punkte unterscheiden Part-IS von einem allgemeinen ISMS:
- Risiken werden nach ihren Folgen für die Flugsicherheit eingestuft. Die Klassifizierung muss die Wahrscheinlichkeit des Bedrohungsszenarios und „die Schwere seiner Folgen für die Sicherheit“ berücksichtigen (IS.I.OR.205(c)). Die FAQ der EASA schließen einen Risikotransfer, etwa an einen Versicherer, als Form der Behandlung aus.
- Schnittstellen werden benannt. Die Organisation „identifiziert die Schnittstellen zu anderen Organisationen, die dazu führen könnten, dass sie gegenseitig Informationssicherheitsrisiken ausgesetzt sind“ (IS.I.OR.205(b)). Die Risikoniveaus berücksichtigen Informationen, die mit diesen Organisationen abgestimmt wurden.
- ISO/IEC 27001 allein reicht nicht. Laut EASA lässt sich ein ISO-27001-System über eine Analyse von Anwendungsbereich und Lücken anpassen und erweitern, weil Part-IS flugsicherheitsspezifische Bestimmungen hinzufügt.
Wie funktioniert die Meldung von Vorfällen nach Part-IS?
Störungen oder Schwachstellen der Informationssicherheit, „die ein erhebliches Risiko für die Flugsicherheit darstellen können“, gehen an die zuständige Behörde (IS.I.OR.230):
- Mitteilung, sobald der Zustand bekannt ist.
- Meldung so bald wie möglich, höchstens 72 Stunden nachdem der Zustand bekannt wurde, sofern keine außergewöhnlichen Umstände entgegenstehen.
- Folgemeldung zu den Maßnahmen für Wiederherstellung und Vorbeugung, sobald diese festgelegt sind.
Auch der Inhaber der Konstruktionsgenehmigung wird informiert, wenn ein Luftfahrzeug oder seine Systeme oder Komponenten betroffen sind. Das gilt zusätzlich zur Ereignismeldung nach der Verordnung (EU) Nr. 376/2014.
Wie hängt Part-IS mit NIS2 zusammen?
Viele Organisationen fallen unter beide. Anhang I der NIS2 nennt Luftfahrtunternehmen, die für gewerbliche Zwecke genutzt werden, Flughafenleitungsorgane und Flughäfen, Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben, sowie Betreiber der Flugverkehrskontrolle. Anhang II erfasst den sonstigen Fahrzeugbau (NACE C30), zu dem auch Luftfahrzeuge gehören.
Part-IS verdrängt NIS2 nicht. Die Leitlinien der Kommission von 2023 zu Artikel 4 der NIS2 nennen nur DORA als sektorspezifischen Rechtsakt, und die EASA bestätigt, dass Part-IS keine Lex specialis ist. Die Anrechnung wirkt in die andere Richtung: Artikel 4 Absatz 1 der 2022/1645 und Artikel 5 Absatz 1 der 2023/203 lassen die Einhaltung gleichwertiger NIS-Sicherheitsanforderungen, heute als NIS2 zu lesen, als Erfüllung von Part-IS gelten. Die zuständige Behörde prüft die tatsächliche Gleichwertigkeit; automatisch gilt sie nicht.
In der Praxis betreibt eine Airline oder ein Flughafen ein ISMS und meldet zweimal. Für einen erheblichen Sicherheitsvorfall verlangt NIS2 eine Frühwarnung innerhalb von 24 Stunden und eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden an das CSIRT oder die Behörde. Part-IS verlangt eine Meldung innerhalb von 72 Stunden an die Luftfahrtbehörde. Unterschiedliche Empfänger, unterschiedliche Schwellen, ein Verfahren für Vorfälle. Die NIS2-Seite behandelt NIS2 für Luftfahrt, Schiene, Schifffahrt und Straße.
Gilt Part-IS für Zulieferer?
Oft wird behauptet, Part-IS werde an jeden Zulieferer weitergereicht. Das stimmt nicht, und die EASA hat diese Frage direkt beantwortet. IS.I.OR.235 gilt nur für Zulieferer und Unterauftragnehmer, die Aufgaben im Rahmen des Informationssicherheitsmanagements wahrnehmen. Alle anderen Zulieferer sind durch die Risikobewertung des Kunden nach IS.I.OR.205 abgedeckt.
Wenn Sie einen Teil des ISMS Ihres Kunden betreiben, etwa Monitoring, Incident Response oder Compliance-Überwachung, gilt IS.I.OR.235. Ihre Arbeit muss Part-IS genügen, Sie arbeiten unter der Aufsicht Ihres Kunden, und die zuständige Behörde kann auf Anfrage Zugang zu Ihnen erhalten. Die Zuständigkeit lässt sich vertraglich vergeben, die Rechenschaftspflicht bleibt bei der genehmigten Organisation.
Wenn Sie etwas anderes liefern, etwa Komponenten, Software, gehostete Dienste oder Ausrüstung, sind Sie Teil der Schnittstellen-Risikobewertung Ihres Kunden. Laut EASA kann der Kunde dieses Risiko innerhalb seiner eigenen Grenzen oder vertraglich mindern, indem er vom Zulieferer Maßnahmen verlangt.
Sie werden also trotzdem bewertet, über Fragebögen, Vertragsklauseln und manchmal Audits. Eine Anforderung erreicht Sie fast wörtlich: Nach IS.I.OR.215(c) ist jeder Auftragnehmer, der den Kunden solchen Risiken aussetzen kann, „verpflichtet, der Organisation Informationssicherheitsereignisse zu melden“.
Die rechtliche Pflicht liegt aber beim Kunden. Sie brauchen kein Part-IS-ISMS, es sei denn, Sie fallen selbst in den Anwendungsbereich. Wenn ein Vertragsnachtrag verlangt, Sie müssten „Part-IS-konform“ sein, lautet die ehrliche Antwort meist: Sie weisen angemessene Informationssicherheit für die Schnittstellen nach, die Sie berühren, und Sie melden Ereignisse. Das ist eine besser beherrschbare Zusage; der Sicherheitsanhang, Klausel für Klausel zeigt, wie Sie sie verhandeln.
Welche Zulieferer bekommen die schwierigsten Fragen?
Der Druck konzentriert sich dort, wo ein Versagen des Zulieferers plausibel die Flugsicherheit berühren könnte. Das betrifft Software mit Bezug zum Betrieb (Flugbetrieb, Crew-Planung, Instandhaltungsaufzeichnungen, Masse und Schwerpunktlage), alles mit einer Datenschnittstelle, Konstruktions- und Herstellungsdaten sowie vernetzte Boden- und Prüfausrüstung. Eine beschädigte Instandhaltungsaufzeichnung ist eine Frage der Flugsicherheit, keine IT-Frage. Ein Lieferant von Verbindungselementen ohne Datenschnittstelle erlebt eine abgeschwächte Version.
Was sollte ein Luftfahrtzulieferer aufbauen?
Für einen Zulieferer mit 20 bis 250 Beschäftigten ist die effiziente Antwort kein Part-IS-ISMS. Sie ist ein ISO-27001-Managementsystem, dessen Anwendungsbereich die Schnittstellen umfasst, die Ihren Luftfahrtkunden wichtig sind, mit drei Ergänzungen:
- Bewerten Sie Risiken nach ihren Auswirkungen auf die Flugsicherheit, nicht nur nach geschäftlichen Auswirkungen. Das Register Ihres Kunden fragt, was jemandem schaden könnte. Ihres sollte in denselben Begriffen antworten.
- Behandeln Sie Ihre Schnittstellen als Grenze des Anwendungsbereichs, erfasst in einem Register wie dem folgenden.
- Seien Sie meldefähig. Die 72-Stunden-Frist Ihres Kunden beginnt, wenn er von dem Vorfall erfährt; Ihre Meldung bestimmt also sein Tempo. Vereinbaren Sie den Meldeweg, bevor Sie ihn brauchen.
REGISTER DER SCHNITTSTELLEN ZU LUFTFAHRTKUNDEN
Kunde und Genehmigung : z. B. Part-145, CAMO, Luftfahrtunternehmen, POA
Schnittstelle : System, Datenfluss oder Dienst, den Sie liefern
Übertragene Daten : welche Daten, welche Richtung, wie oft
Zugang beim Kunden : Konten, Fernzugriff, API-Schlüssel, VPN
Flugsicherheitsrelevanz : was beim Kunden schiefgeht, wenn die Daten
falsch, verspätet oder nicht verfügbar sind
Controls : Zugriff, Protokollierung, Backup, Änderungssteuerung
Wiederherstellungszeit : zugesagte Zeit, zuletzt getestet (Datum)
Meldung von Ereignissen : wen Sie informieren, wie, in welcher Frist
Zuletzt geprüft : Datum, durch wenDasselbe System beantwortet die Fragebögen anderer Kunden und lässt sich auf NIS2 abbilden. Wenn Sie Software oder vernetzte Geräte herstellen, trifft Sie unmittelbar eine eigene Pflicht: Die Meldepflichten der Cyberresilienzverordnung (CRA) gelten für Hersteller seit dem 11. September 2026.
Was Part-IS offen lässt
Wie jede Regelung für Managementsysteme verlangt Part-IS einen Prozess und eine Bewertung. Ob Ihre Controls funktionieren, prüft Part-IS nicht.
Ihr Kunde wird fragen, ob Sie Zugriffskontrolle, Protokollierung, Schwachstellenmanagement und Backups haben. Dokumentierte Antworten genügen der Bewertung. Sie sind genauso wahr, wenn niemand je ein Log abgefragt hat, eine kritische Schwachstelle seit dem Frühjahr offen ist und nie jemand die Dauer einer Wiederherstellung gemessen hat.
Diese Lücke wiegt hier schwerer, weil die Organisation an Ihrer Schnittstelle an Ergebnissen für die Flugsicherheit gemessen wird. Wenn ein Integritätsfehler in Ihren Daten ihren Betrieb erreicht, wird hinterher niemand fragen, ob Sie eine Richtlinie hatten. Man wird fragen, wie lange das Problem bestand, bevor es jemand bemerkt hat.
Die sinnvolle Investition ist keine dickere Antwort auf den Fragebogen. Sie besteht aus Erkennung und Exposure Management auf den Systemen, die mit denen Ihres Kunden verbunden sind, aus Befunden mit Verantwortlichem und Frist und aus Nachweisen, die laufend aus diesen Systemen erhoben werden, wobei eine Person die Ausnahmen prüft. So arbeitet die CloudSoul-Plattform: automatisiert, mit menschlicher Expertise im Prozess (Human-in-the-Loop). Ein Sicherheitsaudit zeigt, wie weit Sie von dem entfernt sind, was Kunden fragen werden.
Part-IS-Checkliste für Luftfahrtzulieferer
- Klären Sie, ob Sie selbst eine erfasste Organisation sind oder nur Zulieferer.
- Wenn Sie für einen Kunden Aufgaben des Informationssicherheitsmanagements übernehmen, planen Sie die Aufsicht nach IS.I.OR.235 ein.
- Listen Sie jede Schnittstelle zu jedem Luftfahrtkunden auf und bewerten Sie sie nach ihren Auswirkungen auf die Flugsicherheit.
- Vereinbaren Sie mit jedem Kunden einen Meldeweg und eine Frist für Ereignisse.
- Ersetzen Sie Klauseln wie „Part-IS-konform“ durch konkrete, belegte Zusagen.
- Testen Sie die Wiederherstellung der Systeme hinter jeder Schnittstelle und messen Sie ihre Dauer.
Quellen
- Delegierte Verordnung (EU) 2022/1645 der Kommission, Artikel 1, 2, 4 und 8 und Anhang (Part-IS.D.OR), EUR-Lex.
- Durchführungsverordnung (EU) 2023/203 der Kommission, Artikel 1, 2, 5 und 16 und Anhang II (Part-IS.I.OR), EUR-Lex.
- Delegierte Verordnung (EU) 2025/22 der Kommission (Bodenabfertigung), EUR-Lex.
- Durchführungsverordnung (EU) 2025/2293 der Kommission (Organisationen mit Erklärung), EUR-Lex.
- EASA, Easy Access Rules for Information Security, Revision Dezember 2025, mit AMC und GM (ED-Beschlüsse 2023/008/R bis 2023/010/R, 2025 aktualisiert), EASA.
- EASA, Information Security (Part-IS) FAQs, darunter FAQ 142369 zu IS.I.OR.235, FAQ 142374 zum Geltungsbeginn, FAQ 139288 zu ISO/IEC 27001 und FAQ 139289 zu NIS2, EASA.
- EASA und nationale Behörden, Leitlinien zum Aufsichtsansatz für Part-IS, Revision August 2025, EASA.
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 23 und 44 sowie Anhänge I und II, EUR-Lex.
- Leitlinien der Kommission zur Anwendung von Artikel 4 Absätze 1 und 2 der NIS2 (2023/C 328/02), EUR-Lex.
- Europäische Kommission, Meldepflichten nach der Cyberresilienzverordnung, Shaping Europe’s digital future.
Häufige Fragen
Was ist EASA Part-IS?
Part-IS ist die EU-Regelung zur Informationssicherheit in der Zivilluftfahrt, festgelegt in der Delegierten Verordnung (EU) 2022/1645 und der Durchführungsverordnung (EU) 2023/203. Sie verpflichtet die erfassten Organisationen, ein Informationssicherheits-Managementsystem für Risiken mit potenziellen Auswirkungen auf die Flugsicherheit zu betreiben. Störungen oder Schwachstellen der Informationssicherheit, die ein erhebliches Risiko für die Flugsicherheit darstellen können, müssen sie ihrer zuständigen Behörde melden.
Ab wann gilt Part-IS?
Die Delegierte Verordnung (EU) 2022/1645 gilt seit dem 16. Oktober 2025 für Entwicklungs- und Herstellungsorganisationen, Flugplatzbetreiber und Anbieter von Vorfeldkontrolldiensten. Die Durchführungsverordnung (EU) 2023/203 gilt seit dem 22. Februar 2026 für Instandhaltungsorganisationen, CAMOs, Luftfahrtunternehmen, Ausbildungsorganisationen, Anbieter von Flugsicherungsdiensten und Behörden. Bestimmte Bodenabfertigungsorganisationen folgen ab dem 27. März 2031.
Gilt Part-IS für Zulieferer?
Nicht unmittelbar. Laut EASA gilt Punkt IS.I.OR.235 nur für Zulieferer, die für eine erfasste Organisation Aufgaben des Informationssicherheitsmanagements wahrnehmen. Alle anderen Zulieferer fallen unter die Risikobewertung des Kunden nach IS.I.OR.205. Diese erreicht sie über Fragebögen und Vertragsklauseln, einschließlich einer Pflicht, Informationssicherheitsereignisse zu melden.
Reicht eine ISO-27001-Zertifizierung für Part-IS?
Nein. Laut EASA lässt sich ein bestehendes Managementsystem nach ISO/IEC 27001 über eine Analyse von Anwendungsbereich und Lücken anpassen. Part-IS fügt jedoch flugsicherheitsspezifische Bestimmungen hinzu, etwa die Einstufung von Risiken nach der Schwere ihrer Folgen für die Sicherheit.
Gilt die Einhaltung von NIS2 als Einhaltung von Part-IS?
Nicht automatisch. Part-IS lässt die Einhaltung gleichwertiger NIS-Sicherheitsanforderungen als Erfüllung von Part-IS gelten, doch laut EASA muss die zuständige Behörde die tatsächliche Gleichwertigkeit prüfen. Part-IS ist kein sektorspezifischer Rechtsakt, der NIS2 verdrängt. Organisationen, die unter beide Regelwerke fallen, müssen beide einhalten.
