¿Le afecta?
Part-IS, la parte de seguridad de la información de la normativa de EASA, son en realidad dos reglamentos: el Reglamento de Ejecución (UE) 2023/203, para las organizaciones supervisadas por las autoridades nacionales, y el Reglamento Delegado (UE) 2022/1645, para las organizaciones de diseño y producción. Para operadores y organizaciones de formación importa el 2023/203, que se aplica desde el 22 de febrero de 2026 art. 16. En la práctica, Part-IS le pide implantar un sistema de gestión de la seguridad de la información (SGSI, ISMS en inglés) proporcionado a su actividad. Folvan, la aplicación, de momento solo está disponible en inglés.
El artículo 2, apartado 1, enumera quién está dentro. Las que más preguntan las organizaciones pequeñas:
- Operadores aéreos sujetos a la Parte-ORO (AOC, SPO o NCC), salvo los que operen exclusivamente aeronaves ELA2, o exclusivamente aviones monomotor de hélice o helicópteros monomotor con cinco plazas de pasajeros o menos, no complejos, que despeguen y aterricen en el mismo aeródromo o lugar de operación y vuelen en VFR diurno art. 2.1, letra c).
- ATO (organizaciones de instrucción reconocidas), salvo las que solo formen sobre aeronaves ELA2 o solo impartan formación teórica art. 2.1, letra d).
- CAMO y organizaciones Parte-145, salvo las que trabajen exclusivamente con aeronaves Parte-ML art. 2.1, letras a), b).
- Centros de medicina aeronáutica para la tripulación y operadores de FSTD sujetos a la Parte-ORA art. 2.1, letras e), f).
Las DTO no están en la lista. Si dirige una organización de formación declarada y nada más, Part-IS no se le aplica.
Las organizaciones declarantes que sí estén dentro necesitan igualmente un SGSI, pero su manual y los cambios en él no requieren aprobación IS.I.OR.250, IS.I.OR.255, según la modificación del Reglamento de Ejecución (UE) 2025/2293.
Fuentes AESA: quién supervisa Part-IS, Part-IS y SA-16, jornada para operadores aéreos, primeros pasos (febrero de 2025). Texto legal: Reglamento de Ejecución (UE) 2023/203 y Reglamento de Ejecución (UE) 2025/2293 en EUR-Lex.
Qué exige Part-IS
El núcleo es el punto IS.I.OR.200, letra a): un SGSI que garantice que la organización cumple trece cosas. En lenguaje llano:
| Qué se exige | En la práctica, en una organización pequeña | Norma |
|---|---|---|
| Una política | Una página sobre cómo puede afectar la seguridad de la información a la seguridad aérea en su organización, establecida y promovida por el gestor responsable. | 200 a) 1), 240 a) |
| Detectar y revisar los riesgos | Un alcance (qué procesos, sistemas, datos e interfaces externas pueden afectar a la seguridad) y un registro de riesgos. | 200 a) 2), 205 |
| Tratamiento de los riesgos | Para cada riesgo que supere su límite de aceptación, la medida que lo controla y quién responde de ella. | 200 a) 3), 210 |
| Notificación interna | Una vía para que el personal comunique eventos de seguridad de la información. Puede ser su formulario de notificación del SMS. | 200 a) 4), 215 |
| Detectar, responder, recuperarse | Una lista breve de eventos desencadenantes y qué hacer en cada caso. | 200 a) 5), 220 |
| Medidas e incidencias de la autoridad | Un procedimiento para aplicar las medidas y atender las incidencias que le notifique su autoridad. | 200 a) 6), 7), 225 |
| Notificación externa | Comunicar a la autoridad en un máximo de 72 horas los incidentes y vulnerabilidades que puedan suponer un riesgo significativo para la seguridad aérea (véase más abajo). | 200 a) 8), 230 |
| Actividades contratadas | Saber qué tareas de seguridad de la información hace por usted un proveedor informático y recogerlas en el contrato. | 200 a) 9), 235 |
| Personal | El gestor responsable nombra a una persona o grupo para velar por el cumplimiento de Part-IS y a otra para la función de control del cumplimiento; los procedimientos fijan quién sustituye en una ausencia prolongada. | 200 a) 10), 240 |
| Registros | Registros de riesgos y su tratamiento, de incidentes y de procesos clave, conservados al menos cinco años. | 200 a) 11), 245 |
| Supervisión del cumplimiento | Auditar Part-IS como el resto de su sistema y transmitir las incidencias al gestor responsable. | 200 a) 12) |
| Confidencialidad | Proteger la información que le faciliten otras organizaciones según su nivel de sensibilidad. | 200 a) 13) |
| Manual y cambios | Un manual de gestión de la seguridad de la información (MGSI) que puede integrarse en su manual actual con referencias cruzadas claras, y un procedimiento de cambios. | 200 c), 250, 255 |
El texto de Part-IS habla del «gestor responsable»; en las Partes ORO y similares esa misma figura se llama «director responsable» (accountable manager). Dos puntos de IS.I.OR.200 ayudan sobre todo a las organizaciones pequeñas. El punto d) dice que los procesos «corresponderán a la naturaleza y complejidad» de sus actividades y «podrán integrarse en otros sistemas de gestión ya implantados». El punto e) permite una exención: la autoridad puede autorizarle a no aplicar el SGSI si demuestra con una evaluación de riesgos documentada que sus actividades, instalaciones y recursos no plantean ningún riesgo relacionado con la seguridad de la información que pueda repercutir en la seguridad aérea, ni para usted ni para otras organizaciones. La notificación del Reglamento (UE) n.º 376/2014 se mantiene y la autoridad revisa la aprobación tras cada ciclo de auditoría de supervisión.
Fuente: Reglamento de Ejecución (UE) 2023/203 en EUR-Lex (texto en español) y EASA Easy Access Rules for Information Security (en inglés), revisión de diciembre de 2025.
La vía para organizaciones sencillas (EASA G-04, junio de 2026)
El 8 de junio de 2026, el grupo de trabajo de implantación de Part-IS de EASA y las autoridades nacionales (Part-IS Implementation Task Force) publicó la guía G-04, «Part-IS proportional implementation». Está dirigida a las autoridades, pero afirma que puede usarse también como orientación para las organizaciones. Dice a los inspectores qué deben aceptar de las organizaciones que son sencillas desde el punto de vista de la seguridad de la información. G-04 solo está publicada en inglés; lo que sigue es un resumen en español.
Ser pequeño no basta por sí solo. G-04 usa tres factores, que usted acuerda con su autoridad:
- qué relevancia tiene su papel para la seguridad (su lugar en la cadena, las aeronaves, las organizaciones con las que se conecta);
- cuán compleja es su organización (personal, departamentos, niveles);
- cuán complejos son sus sistemas informáticos y sus datos (y cuán conectados están con terceros).
Qué acepta G-04 de una organización sencilla:
- Documentos breves. Las políticas y los procedimientos pueden ser concisos, claros y fáciles de leer. Las plantillas valen si se adaptan.
- Primero las políticas clave: compromiso de la dirección, control de accesos y respuesta a incidentes.
- Integración con el SMS. Incluya la política de seguridad de la información en su política de seguridad, use el mismo método de riesgos, canalice la notificación interna por el informe del SMS y use los mismos auditores si están cualificados para ambos ámbitos.
- Parta de la lista de peligros de su SMS. Pregúntese qué riesgos de seguridad ya identificados podría causar una amenaza de seguridad de la información y liste después los activos e interfaces implicados.
- Una puntuación de probabilidad sencilla. El apéndice 1 puntúa oportunidad, preparación y ejecución de 1 a 3 cada una: de 3 a 4 es baja, de 5 a 6 media y de 7 a 9 alta.
- Playbooks. Una lista predefinida de eventos desencadenantes que el personal conoce (una aplicación deja de responder, llega un mensaje sospechoso) con una respuesta estándar para cada uno.
- Notificaciones externas por ECCAIRS 2, la misma vía que ya usa para los sucesos de seguridad operacional.
- Pocos indicadores (KPI). Unos pocos relevantes, como la tasa de formación completada o las incidencias de Part-IS detectadas en auditorías.
- Auditorías proporcionadas. Centradas en las áreas más críticas, con los resultados al gestor responsable.
Fuente: Part-IS TF G-04, Part-IS proportional implementation, junio de 2026 (PDF, en inglés).
Notificación: la regla de las 72 horas
Según IS.I.OR.230, cualquier incidente o vulnerabilidad de seguridad de la información «que pueda representar un riesgo significativo para la seguridad aérea» debe comunicarse a su autoridad competente y, si afecta a una aeronave o a un sistema o componente asociado, al titular de la aprobación de diseño. El calendario IS.I.OR.230 c):
- Notificación tan pronto como la organización haya tenido conocimiento de la condición.
- Informe lo antes posible y, como máximo, en las 72 horas siguientes al momento en que tuvo conocimiento, a no ser que circunstancias excepcionales lo impidan. Se redacta en la forma que defina la autoridad competente.
- Informe de seguimiento con las medidas de recuperación y de prevención, en cuanto se hayan determinado.
Esto se suma al Reglamento (UE) n.º 376/2014, no lo sustituye IS.I.OR.230 a). El Reglamento (UE) 2026/1821 añadió además sucesos de seguridad de la información a las listas de sucesos de notificación obligatoria (en inglés). En España, las páginas de AESA sobre notificación de sucesos que hemos consultado no describen una vía propia para los incidentes de Part-IS: confirme con su inspector la forma que AESA define. Calcule sus fechas con nuestra calculadora de plazos de notificación de sucesos.
Un plan de 30 días para un equipo pequeño
- Semana 1: alcance. Tome la lista de peligros de su SMS. Marque cada peligro que pueda causar un sistema pirateado, erróneo o no disponible: planificación de vuelo, masa y centrado, libro técnico, registros de la tripulación, correo electrónico, el sistema de mantenimiento. Liste los sistemas y los terceros que hay detrás de cada uno.
- Semana 2: riesgos y medidas. Puntúe la probabilidad con el método de tres preguntas de G-04. Para cada riesgo por encima de su límite de aceptación, escriba la medida y un responsable. Cierre primero las carencias básicas: control de accesos, copias de seguridad y autenticación en dos pasos.
- Semana 3: notificación y respuesta. Añada una categoría «seguridad de la información» a su formulario de notificación del SMS. Redacte una lista de una página con los eventos desencadenantes y la respuesta a cada uno. Incluya Part-IS en su procedimiento de sucesos con el informe de 72 horas.
- Semana 4: manual y personas. Integre la política en su política de seguridad, añada un capítulo de MGSI (o una sección con referencias cruzadas), nombre al responsable de Part-IS y al de control del cumplimiento, haga una sesión breve de concienciación e incluya Part-IS en su plan de auditorías.
Si su evaluación de riesgos no muestra ningún riesgo de seguridad de la información con repercusión en la seguridad aérea, documéntelo y consulte a su autoridad la exención del punto IS.I.OR.200, letra e).
Autoevaluación gratuita de Part-IS
15 preguntas, unos 5 minutos. Basada en los elementos que la tabla 1 de EASA G-04 pide a las autoridades evaluar en los niveles «Present» y «Suitable». Sus respuestas se quedan en su navegador: no se envía ni se guarda nada.
Puntuación: Sí 2 puntos, En parte 1, No o No lo sé 0, sobre 30. Muestra dónde se encuentra frente a los elementos de G-04. No es una evaluación de la autoridad ni asesoramiento jurídico.
Preguntas frecuentes
¿Se aplica Part-IS a una DTO?
No. Las organizaciones de formación declaradas (DTO) no figuran en la lista del artículo 2, apartado 1, del Reglamento de Ejecución (UE) 2023/203. Si además tiene un AOC o una aprobación de ATO, esas partes sí están dentro.
Tenemos cuatro aeronaves y nueve empleados. ¿Somos una organización «sencilla»?
Es posible, pero el tamaño no lo decide por sí solo. G-04 mira la relevancia para la seguridad, la complejidad de la organización y la complejidad informática, y espera que usted acuerde el nivel con su autoridad. Un pequeño operador HEMS con un sistema de operaciones conectado puede no ser sencillo en el factor informático.
¿Puede nuestro responsable de seguridad asumir también Part-IS?
La norma pide al gestor responsable que nombre a una persona o grupo con los conocimientos adecuados para velar por el cumplimiento de Part-IS y a otra persona o grupo para la función de control del cumplimiento IS.I.OR.240 b), c). G-04 admite puestos combinados en organizaciones sencillas si pueden ejercerse las responsabilidades y hay competencia. En algunas combinaciones, cuando el control del cumplimiento recae en alguien que también dirige la actividad, G-04 pide que la auditoría interna anual la haga un auditor independiente.
¿Los incidentes de seguridad de la información se notifican por ECCAIRS 2?
G-04 espera que las organizaciones sencillas usen la vía de notificación externa que ya emplean para los sucesos de seguridad operacional, ECCAIRS 2, que ya incluye una taxonomía de seguridad de la información. En España, AESA pide que las notificaciones de las organizaciones sean compatibles con ECCAIRS y con la taxonomía ADREP, pero en su página de notificación no nombra ECCAIRS 2 ni describe una vía propia para Part-IS. Confirme con su inspector la forma que defina AESA IS.I.OR.230 c) 2).
¿Es realista una exención?
Solo si una evaluación de riesgos documentada demuestra que no hay ningún riesgo de seguridad de la información con repercusión en la seguridad aérea, ni para usted ni para otras organizaciones IS.I.OR.200 e). La mayoría de los operadores usan software de operaciones, planificación o mantenimiento que alimenta la seguridad del vuelo, así que cuente con necesitar un SGSI ligero. La evaluación de riesgos es el mismo trabajo en ambos casos: empiece por ella.