La normativa EASA Part IS introduce un cambio strutturale per le organizzazioni dell’aviazione civile: la sicurezza delle informazioni entra nel perimetro della sorveglianza sulla safety. La resilienza informatica non è più una funzione separata dell’area tecnica, ma un elemento che incide su conformità, continuità operativa e gestione del rischio. L’entrata in vigore tra ottobre 2025 e febbraio 2026 impone alla maggior parte dei soggetti interessati l’adozione di un sistema strutturato di gestione della sicurezza delle informazioni, con governance, valutazione dei rischi, segnalazione degli incidenti e meccanismi di controllo estesi all’intero ambiente operativo.
L’impatto riguarda direttamente compagnie aeree, aeroporti, centri manutentivi, costruttori e fornitori dei servizi della navigazione aerea. Le compagnie dipendono da centri di controllo operativo, strumenti di pianificazione del volo, sistemi manutentivi e piattaforme di gestione equipaggi. Gli aeroporti fanno leva su sistemi per il trattamento dei passeggeri, gestione bagagli e servizi integrati di terze parti. In questo quadro, un incidente informatico non si limita a causare fermo dei sistemi o perdita di dati: può influire sulle decisioni operative, sull’invio degli aeromobili, sulle attività di manutenzione e, in alcuni casi, su processi critici per la sicurezza del volo.
Part IS supera anche un modello organizzativo diffuso finora, con la cybersicurezza collocata quasi solo nei dipartimenti informatici. La norma richiede strutture di governo chiare e responsabilità definite a livello dirigenziale. Gli Accountable Manager devono dimostrare una comprensione di base del regolamento e dei rischi informatici. I responsabili della conformità Part IS devono conoscere a fondo il contesto operativo e i requisiti regolatori. Il tema si estende alla filiera: fornitori esterni, servizi in cloud e sistemi esternalizzati distribuiscono il rischio lungo catene complesse, che richiedono maggiore visibilità e presidio.
L’applicazione pratica presenta criticità concrete. Compagnie, aeroporti, MRO, ANSP e ATO operano con pressioni operative diverse, sistemi ereditati e requisiti regolatori non uniformi. In molti casi le infrastrutture non sono nate per rispondere agli standard attuali di resilienza informatica. C’è poi il nodo delle competenze: servono profili capaci di unire operazioni di volo, safety management, risk management, risposta agli incidenti e cybersicurezza. Per molte organizzazioni questo significa costruire nello stesso momento processi, competenze e strutture di governo. La direzione indicata da EASA è netta: con la digitalizzazione crescente del trasporto aereo, dai sistemi connessi alle operazioni in cloud fino all’automazione, la sicurezza del volo dipende sempre più dalla robustezza dei sistemi informativi.
The Flying Guru
Vuoi capire subito il punto centrale di questo articolo?
