Part-IS der EASA für kleine Organisationen, verständlich erklärt

Sind Sie betroffen?

Part-IS ist das Regelwerk der EASA zur Informationssicherheit in der Luftfahrt (die amtlichen deutschen Texte und das LBA sprechen von „Teil-IS“). Es besteht aus zwei Verordnungen: der Durchführungsverordnung (EU) 2023/203 für Organisationen, die von nationalen Behörden beaufsichtigt werden, und der Delegierten Verordnung (EU) 2022/1645 für Entwicklungs- und Herstellungsorganisationen sowie Flugplatzbetreiber. Für Betreiber und Ausbildungsorganisationen zählt die 2023/203. Sie gilt ab dem 22. Februar 2026 Art. 16.

Artikel 2 Absatz 1 nennt, wer erfasst ist. Die Fälle, nach denen kleine Organisationen am häufigsten fragen:

• Luftfahrtunternehmen nach Part-ORO, außer wenn sie ausschließlich ELA2-Luftfahrzeuge betreiben oder ausschließlich einmotorige Propellerflugzeuge oder Hubschrauber mit höchstens 5 Fluggastsitzen, die nicht technisch kompliziert sind, auf demselben Flugplatz oder Einsatzort starten und landen und nach VFR am Tag fliegen Art. 2 Abs. 1 Buchst. c.
• ATOs, außer wenn sie ausschließlich für ELA2-Luftfahrzeuge ausbilden oder ausschließlich theoretische Ausbildung anbieten Art. 2 Abs. 1 Buchst. d.
• CAMOs und Part-145-Betriebe, außer wenn sie ausschließlich Luftfahrzeuge nach Part-ML betreuen Art. 2 Abs. 1 Buchst. a, b.
• Flugmedizinische Zentren und FSTD-Betreiber nach Part-ORA Art. 2 Abs. 1 Buchst. e, f.

DTOs stehen nicht auf der Liste. Wer eine erklärte Ausbildungsorganisation betreibt und sonst nichts, für den gilt Part-IS nicht.

Erklärungen abgebende Organisationen, die erfasst sind, brauchen trotzdem ein ISMS. Ihr Handbuch und dessen Änderungen bedürfen aber keiner Genehmigung IS.I.OR.250(b), IS.I.OR.255, geändert durch die Durchführungsverordnung (EU) 2025/2293.

Was Part-IS verlangt

Kern ist IS.I.OR.200(a): ein Informationssicherheitsmanagementsystem (ISMS), mit dem die Organisation dreizehn Dinge sicherstellt. In einfachen Worten:

Zwei Punkte in IS.I.OR.200 helfen kleinen Organisationen am meisten. Nach Buchstabe d müssen die Prozesse „der Art und Komplexität ihrer Tätigkeiten entsprechen und können in andere bestehende Managementsysteme integriert werden“. Buchstabe e erlaubt eine Ausnahme: Die zuständige Behörde kann genehmigen, dass die Organisation das ISMS nicht umsetzt, wenn eine dokumentierte Risikobewertung zeigt, dass ihre Tätigkeiten keine Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit darstellen, weder für sie selbst noch für andere. Die Meldepflichten nach der Verordnung (EU) Nr. 376/2014 bleiben unberührt, und die Behörde überprüft die Genehmigung nach dem geltenden Auditzyklus für die Aufsicht.

Quellen: Durchführungsverordnung (EU) 2023/203 auf EUR-Lex (deutscher Wortlaut) und EASA Easy Access Rules for Information Security (englisch), Stand Dezember 2025.

Der Weg für einfache Organisationen (EASA G-04, Juni 2026)

Am 8. Juni 2026 hat die Part-IS Implementation Task Force von EASA und nationalen Behörden den Leitfaden G-04, „Part-IS proportional implementation“, veröffentlicht. Er richtet sich an die Behörden, ist nach eigener Aussage aber auch als Orientierung für die Organisationen gedacht. Er sagt Inspektoren, was sie von informationssicherheitlich einfachen Organisationen akzeptieren sollen. G-04 gibt es nur auf Englisch.

Klein zu sein reicht allein nicht. G-04 arbeitet mit drei Faktoren, deren Einstufung Sie mit Ihrer Behörde abstimmen:

• wie sicherheitsrelevant Ihre Rolle ist (Stellung in der Kette, Luftfahrzeuge, Organisationen, mit denen Sie verbunden sind);
• wie komplex Ihre Organisation ist (Personal, Abteilungen, Ebenen);
• wie komplex Ihre IT und Ihre Daten sind (und wie stark sie mit Dritten verbunden sind).

Das akzeptiert G-04 bei einer einfachen Organisation:

• Kurze Dokumente. Konzepte und Verfahren dürfen knapp, klar und leicht lesbar sein. Vorlagen sind in Ordnung, wenn sie angepasst werden.
• Zuerst die Schlüsselkonzepte: Bekenntnis der Leitung, Zugriffskontrolle und Reaktion auf Störungen.
• Integration in das SMS. Das Informationssicherheitskonzept steht im Sicherheitskonzept, die Risikomethode ist dieselbe, das interne Meldewesen läuft über die SMS-Meldung, und dieselben Auditoren prüfen beides, wenn sie für beides qualifiziert sind.
• Ausgang ist Ihre SMS-Gefahrenliste. Fragen Sie, welche vorhandenen Sicherheitsrisiken eine Bedrohung der Informationssicherheit auslösen könnte, und listen Sie die beteiligten Werte und Schnittstellen auf.
• Eine einfache Bewertung der Eintrittswahrscheinlichkeit. Anlage 1 bewertet Gelegenheit, Vorbereitung und Durchführung mit je 1 bis 3 Punkten: 3 bis 4 ist niedrig, 5 bis 6 mittel, 7 bis 9 hoch.
• Playbooks. Eine vorab festgelegte Liste von Auslösern, die dem Personal bekannt sind (eine Anwendung reagiert nicht mehr, eine verdächtige Nachricht trifft ein), mit einer Standardreaktion je Auslöser.
• Externe Meldungen über ECCAIRS 2, also den Weg, den Sie für Flugsicherheitsereignisse ohnehin nutzen.
• Wenige Kennzahlen. Eine Handvoll sinnvoller, etwa die Quote abgeschlossener Schulungen oder Part-IS-Feststellungen aus Audits.
• Angepasste Audits. Schwerpunkt auf den kritischsten Bereichen, Ergebnisse an den verantwortlichen Manager.

Quelle: Part-IS TF G-04, Part-IS proportional implementation, Juni 2026 (PDF, englisch).

Meldung: die 72-Stunden-Regel

Nach IS.I.OR.230 müssen alle Störungen oder Schwachstellen der Informationssicherheit, „die ein erhebliches Risiko für die Flugsicherheit darstellen können“, der zuständigen Behörde gemeldet werden, bei Auswirkungen auf ein Luftfahrzeug oder zugehörige Systeme und Komponenten auch dem Inhaber der Konstruktionsgenehmigung. Die Fristen IS.I.OR.230(c):

1. Mitteilung, sobald die Organisation von dem Zustand Kenntnis erlangt hat.
2. Meldung so bald wie möglich, höchstens jedoch 72 Stunden, nachdem die Organisation Kenntnis erlangt hat, sofern dem nicht außergewöhnliche Umstände entgegenstehen.
3. Folgemeldung zu Wiederherstellung und Vorbeugung, sobald diese Maßnahmen festgelegt wurden.

Das gilt zusätzlich zur Verordnung (EU) Nr. 376/2014, nicht an ihrer Stelle IS.I.OR.230(a), (b). Die Durchführungsverordnung (EU) 2026/1821 hat außerdem Informationssicherheit in die Listen der meldepflichtigen Ereignisse aufgenommen, siehe die Liste der meldepflichtigen Ereignisse (englisch). Ihre Daten berechnen Sie mit dem Meldefristen-Rechner.

Ansprechpartner in Deutschland, Österreich und der Schweiz

Die Fristen sind in allen drei Ländern dieselben (16. Oktober 2025 für Flugplätze und Herstellungsbetriebe, 22. Februar 2026 für Betreiber, ATOs, CAMOs und weitere). Die Verfahren der Behörden unterscheiden sich. Gelesen am 31. Oktober 2026 auf den öffentlichen Seiten der Behörden; was sich danach geändert hat, klären Sie bitte direkt mit Ihrer Behörde.

• Deutschland, LBA. Das Merkblatt zur Einführung von Teil-IS (Ausgabe 2 vom 31.07.2025) nennt als betroffene Behörden das LBA, das BAF und die Landesluftfahrtbehörden und nennt als ersten Schritt die Bewertung der Informationssicherheitsrisiken nach IS.I.OR.205 samt Prüfung der Ausnahme nach IS.I.OR.200(e). Der Fragebogen „Implementierung von Teil-IS“ (Ausgabe 1.1 vom 01.09.2025) bewertet die Einführung grundsätzlich als nicht signifikante organisatorische Änderung. Für Inhaber eines AOC führt das LBA das Rundschreiben RS 01/2025 vom 05.12.2025 „Einführung eines Informationssicherheitsmanagementsystems (ISMS)“. Für ATOs ist in Deutschland häufig die Landesluftfahrtbehörde zuständig; fragen Sie im Zweifel Ihren Ansprechpartner.
• Österreich, Austro Control. Die Part-IS-Seite der Luftfahrtbehörde bietet unter anderem eine Compliance-Matrix, eine Checkliste, Hinweise zur Ausnahme nach IS.I.OR.200(e) mit eigenem Antragsformular sowie für die von Austro Control beaufsichtigten Organisationen ein monatliches, kostenloses „Part-IS-Café“.
• Schweiz, BAZL. Das BAZL ist Aufsichtsbehörde und hat eine Fachstelle Informationssicherheit. Auf der Part-IS-Seite des BAZL liegen das Dokument „FOCA GM/INFO Information Security“, eine Compliance-Matrix und eine Vorlage für Ausnahmeanträge.

Ein 30-Tage-Plan für ein kleines Team

1. Woche 1: Geltungsbereich. Nehmen Sie Ihre SMS-Gefahrenliste. Markieren Sie jede Gefahr, die ein gehacktes, falsches oder nicht verfügbares System auslösen könnte: Flugplanung, Masse und Schwerpunkt, Bordbuch, Besatzungsunterlagen, E-Mail, das Instandhaltungssystem. Notieren Sie zu jedem die Systeme und die Dritten dahinter.
2. Woche 2: Risiken und Maßnahmen. Bewerten Sie die Eintrittswahrscheinlichkeit mit den drei Fragen aus G-04. Schreiben Sie für jedes Risiko über Ihrer Akzeptanzgrenze die Maßnahme und einen Verantwortlichen auf. Schließen Sie zuerst die Lücken bei Zugriffskontrolle, Datensicherung und Mehrfaktor-Anmeldung.
3. Woche 3: Melden und reagieren. Ergänzen Sie Ihr SMS-Meldeformular um die Kategorie „Informationssicherheit“. Schreiben Sie eine einseitige Playbook-Liste mit Auslösern und Reaktionen. Nehmen Sie Part-IS mit der 72-Stunden-Meldung in Ihr Verfahren für Ereignismeldungen auf.
4. Woche 4: Handbuch und Personal. Schreiben Sie das Konzept in Ihr Sicherheitskonzept, ergänzen Sie ein ISMM-Kapitel (oder einen Abschnitt mit Querverweis), benennen Sie die verantwortliche Person für Part-IS und die Überwachung der Compliance, halten Sie eine kurze Sensibilisierung ab und nehmen Sie Part-IS in Ihren Auditplan auf.

Zeigt Ihre Risikobewertung gar kein sicherheitsrelevantes Informationssicherheitsrisiko, dokumentieren Sie das und fragen Sie Ihre Behörde nach der Ausnahme nach IS.I.OR.200(e).