Wer das lesen sollte: ein Unternehmen, das Teile fertigt, Software schreibt, Ausrüstung oder Dienstleistungen an Luftfahrtunternehmen, Instandhaltungsbetriebe, Flughäfen, Flugsicherungsorganisationen oder Luftfahrtindustrie liefert und seit Kurzem Fragebögen zur Informationssicherheit erhält, die es vor zwei Jahren nicht bekam.
Diese Fragebögen haben einen Grund. Ihre Kunden sind in den Anwendungsbereich einer neuen Verordnung geraten, und die Verordnung sagt ihnen, an Sie zu denken.
Die zwei Daten
Part-IS ist das Informationssicherheitsregime der zivilen Luftfahrt. Es kam in zwei Schritten.
Delegierte Verordnung (EU) 2022/1645, anwendbar seit dem 16. Oktober 2025. Sie erfasst Flugplatzbetreiber, Vorfeldkontrolldienste sowie Entwicklungs- und Herstellungsbetriebe nach Part 21. Wer Teile, Werkstoffe oder Engineering in die Luftfahrzeugfertigung liefert, dessen Kunde ist seit fast einem Jahr betroffen.
Durchführungsverordnung (EU) 2023/203, anwendbar seit dem 22. Februar 2026. Das ist die größere. Instandhaltungsbetriebe nach Part 145, Organisationen zur Führung der Aufrechterhaltung der Lufttüchtigkeit, gewerbliche und nichtgewerbliche Luftfahrtunternehmen, genehmigte Ausbildungsorganisationen, Betreiber von Flugsimulationsübungsgeräten, Flugsicherungsorganisationen, Ausbildungseinrichtungen für Fluglotsen und die zuständigen Behörden selbst.
Dieses zweite Datum erklärt, weshalb Lieferantenbewertungen dieses Jahr und nicht letztes Jahr bei Luftfahrtsoftwareanbietern, Lieferanten von Bodenausrüstung und Instandhaltungszulieferern ankamen. Luftfahrtunternehmen, Instandhaltungsbetriebe und Flugsicherung sind erst seit Februar betroffen.
Was es Ihrem Kunden abverlangt
Eine genehmigte Organisation muss ein Managementsystem für Informationssicherheit einrichten, umsetzen und aufrechterhalten, angemessen zu Größe, Art und Komplexität und zum Risiko ihrer Tätigkeiten. Das Unterscheidungsmerkmal gegenüber einer allgemeinen Norm ist, dass Part-IS eine Flugsicherheitsverordnung ist. Es zählen die Risiken mit möglicher Auswirkung auf die Sicherheit, nicht auf die kommerzielle Vertraulichkeit.
Im Umriss verlangt es von ihnen, Informationssicherheitsrisiken mit Sicherheitsauswirkung zu erkennen und zu beurteilen, sie zu behandeln, Verantwortlichkeiten und Rollen festzulegen, Vorfälle zu erkennen und zu bewältigen, Vorfälle und Schwachstellen ihrer Behörde zu melden und all das mit dem bereits betriebenen Sicherheitsmanagementsystem zu verzahnen.
Für die meisten ist die ISMS-Disziplin neu, die Managementsystem-Disziplin nicht. Sie betreiben seit Jahren ein Sicherheitsmanagementsystem. Part-IS landet als zweites Managementsystem auf denselben Schienen.
Was alle übertreiben, und was die EASA tatsächlich sagt
Hier geht viel an Zulieferer gerichtete Kommentierung fehl, und Genauigkeit lohnt sich, weil sie ändert, was Sie unterschreiben sollten.
Verbreitet ist die Behauptung, Part-IS werde an jeden Lieferanten durchgereicht. Das stimmt nicht, und die EASA hat direkt geantwortet. Die Regel zu vergebenen Tätigkeiten, IS.I.OR.235, gilt für Lieferanten und Unterauftragnehmer, die Aufgaben ausführen, die für die Tätigkeiten des Informationssicherheitsmanagements einschlägig sind. Lieferanten und Unterauftragnehmer, auf die das nicht zutrifft, fallen stattdessen unter die allgemeine Bestimmung IS.I.OR.205.
Die Verordnung zieht also eine Linie. Wer einen Teil des Informationssicherheitsmanagements seines Kunden betreibt, fällt unter eine besondere Regel. Wer ihm eine Komponente, eine Leistung oder ein System liefert, wird im Rahmen seines eigenen Risikomanagements behandelt statt durch direkte Weitergabe.
Zwei praktische Folgen.
Sie werden dennoch bewertet. Ihr Kunde muss Informationssicherheitsrisiken aus seinen Schnittstellen zu Ihnen betrachten, denn diese Risiken könnten die Flugsicherheit erreichen. Diese Bewertung ist real und erreicht Sie als Fragebögen, Vertragsklauseln und mitunter Audits.
Die Pflicht ist aber seine, nicht Ihre. Sie müssen kein Part-IS ISMS führen, sofern Sie nicht selbst eine genehmigte Organisation sind. Kommerziell müssen Sie die Bewertung Ihres Kunden bestehen. Diese Unterscheidung zählt, wenn Ihnen jemand einen Nachtrag schickt, der behauptet, Sie müssten „Part-IS-konform“ sein. Die ehrliche Antwort lautet meist, dass Sie angemessene Informationssicherheit für die Schnittstellen nachweisen können müssen, die Sie berühren, eine andere und weit handhabbarere Zusage.
Welche Lieferanten die härtesten Fragen bekommen
Aus der Form der Verordnung folgt, dass der Druck ungleich verteilt ist. Er verdichtet sich dort, wo ein Sicherheitsversagen beim Lieferanten plausibel ein Flugsicherheitsergebnis erreichen könnte.
- Software, die den Betrieb berührt. Flugbetrieb, Crewplanung, Instandhaltungsaufzeichnungen, Masse und Schwerpunkt, Frachtsysteme, betriebliche Flughafendatenbanken. Eine beschädigte oder nicht verfügbare Instandhaltungsaufzeichnung ist eine Sicherheitsfrage, keine IT-Frage.
- Jede Datenschnittstelle in die genehmigte Organisation. Systemintegrationen, Fernzugriff, gehostete Dienste, Austausch von Konstruktionsdaten.
- Entwicklungs- und Fertigungsdaten. Technische Daten unter Konfigurationskontrolle, wo ein Integritätsversagen eine Lufttüchtigkeitsfolge hat.
- Boden- und Prüfausrüstung mit Software, besonders wenn vernetzt.
Ein Lieferant von Rohmaterial, Verbindungselementen oder Verbrauchsmaterial ohne Datenschnittstelle sieht dagegen meist eine leichtere Fassung desselben Fragebogens.
Ist Ihr Produkt Software oder ein vernetztes Gerät, beachten Sie zudem, dass eine zweite, völlig eigenständige Pflicht Sie direkt statt vertraglich treffen kann: der Cyber Resilience Act, dessen Meldepflichten am 11. September 2026 beginnen und der in der Meldepflicht des Cyber Resilience Act beschrieben ist.
Was zu bauen ist, und was nicht
Die effiziente Antwort für einen Lieferanten mit 20 bis 250 Beschäftigten ist kein Part-IS ISMS. Es ist ein an ISO 27001 ausgerichtetes Managementsystem, zugeschnitten auf die Schnittstellen, die Ihre Luftfahrtkunden interessieren, mit den luftfahrtspezifischen Ergänzungen darauf.
Das funktioniert, weil die Bewertung Ihres Kunden Nachweise zu Governance, Risikomanagement, Zugriffskontrolle, Lieferantenmanagement, Vorfallbewältigung und Wiederherstellung verlangt. Ein ISMS erzeugt all das ohnehin und beantwortet gleichzeitig die Fragebögen Ihrer Kunden außerhalb der Luftfahrt. Der praktische Weg ohne Sicherheitsteam steht in ISO 27001 für ein Unternehmen ohne Sicherheitsteam.
Die drei luftfahrtspezifischen Ergänzungen, die sich ausdrücklich lohnen:
- Beurteilen Sie Risiko nach Sicherheitsauswirkung, nicht nur nach Geschäftsauswirkung. Das ist der Denkwechsel. Das Risikoregister Ihres Kunden fragt, was jemanden verletzen könnte. Ihres sollte für die Schnittstellen, die Sie verantworten, in denselben Begriffen antworten können.
- Kennen Sie Ihre Schnittstellen und behandeln Sie sie als Grenze des Anwendungsbereichs. Welche Systeme verbinden sich, welche Daten fließen, wer hat Fernzugriff, wie hoch ist Ihre Wiederherstellungszeit je Schnittstelle. Danach wird gefragt.
- Können Sie melden. Ihr Kunde hat Melde- und Schwachstellenpflichten gegenüber seiner Behörde. Beginnt der Vorfall in Ihren Systemen und berührt seine, läuft bei ihm die Uhr. Vereinbaren Sie den Meldeweg, bevor Sie ihn brauchen, nicht währenddessen.
Beliefern Sie auch Verteidigungs- oder Raumfahrtkunden oder halten Verträge über mehrere Rechtsordnungen, verschärft sich das Abbildungsproblem, das Argument aus ISO 27001 und NIS2 einmal machen statt zweimal. Bauen Sie einen Maßnahmensatz und bilden Sie die Rahmenwerke darauf ab.
Ein unabhängiges Sicherheitsaudit ist der günstigste Weg herauszufinden, wie weit Ihre heutige Lage von dem entfernt ist, was Ihre Kunden gleich fragen werden, bevor der nächste Fragebogen eintrifft.
Die technische Realität: was eine Schnittstellenbewertung offen lässt
Part-IS verlangt wie jede Managementsystemverordnung ein Verfahren und eine Beurteilung. Es prüft nicht, ob Ihre Maßnahmen wirken.
Die Lieferantenbewertung Ihres Kunden fragt, ob Sie Zugriffskontrolle, Protokollierung, Schwachstellenmanagement und Sicherungen haben. Dokumentierte Antworten auf alle vier erfüllen sie. Dieselben vier Antworten sind vereinbar mit einer Umgebung, in der niemand ein Protokoll abgefragt hat, eine kritische Schwachstelle seit dem Frühjahr offen ist und nie ein Rückspielen gestoppt wurde.
Die Lücke wiegt hier schwerer als in den meisten Branchen, denn auf der anderen Seite Ihrer Schnittstelle steht eine Organisation, deren Behörde sie an Sicherheitsergebnissen misst. Erreicht ein Integritätsversagen Ihrer Daten deren Betrieb, wird danach nicht gefragt, ob Sie ein Regelwerk hatten. Gefragt wird, wie lange das Problem da war, bevor es jemand bemerkte.
Die sinnvolle Investition ist also keine dickere Fragebogenantwort. Es sind Erkennung und Expositionsmanagement, die laufend auf den Systemen arbeiten, die die Ihres Kunden berühren, mit Feststellungen, die Verantwortlichen und Frist tragen, und Nachweisen, die im Arbeitsfluss entstehen statt in der Woche der Auditankündigung zusammengesucht zu werden. Vollständig steht das in Nachweise, die sich selbst sammeln.
