ISMS nach Part-IS
Vom Informationssicherheitsmanagementsystem (ISMS) zum integrierten Managementsystem in der Luftfahrt
EASA Part-IS als Pflichtrahmen für das ISMS
Luftfahrtorganisationen in Europa sind verpflichtet, ein Informationssicherheitsmanagementsystem (ISMS) gemäß EASA Part-IS (Commission Implementing Regulation (EU) 2023/203 und Delegated Regulation (EU) 2022/1645) zu implementieren. Die Verordnung gilt für alle EASA-zugelassenen Organisationen – darunter Airlines, MROs (Maintenance, Repair & Overhaul), CAMOs (Continuing Airworthiness Management Organisations), Designorganisationen sowie zugelassene Ausbildungseinrichtungen wie Flugschulen und Maintenance Training Organisations (Part-147). Ziel ist es, Informationen und IT-/OT-Systeme zu schützen, deren Kompromittierung die Flugsicherheit, den Flugbetrieb oder die regulatorische Compliance gefährden könnte. OT-Systeme (Operational Technology) umfassen dabei alle physischen Steuerungs- und Überwachungssysteme – von der Avionik über Triebwerksdiagnostik bis hin zu Flugsimulatoren –, die in der modernen Luftfahrt zunehmend mit klassischen IT-Systemen vernetzt sind.
Anforderungen an das ISMS in der Luftfahrt
Die Part-IS-Anforderungen sind weitgehend konsistent mit ISO/IEC 27001, gehen jedoch in einem zentralen Punkt darüber hinaus: Luftfahrtsicherheit (Aviation Safety) muss zwingend in das organisationale Risikomanagement integriert sein. Konkret verlangt Part-IS u. a.:
- Identifikation, Bewertung und Behandlung von Informationssicherheitsrisiken mit Bezug zur Flugsicherheit
- Rollenbasierte Zugangskontrollen und Least-Privilege-Prinzipien
- Überwachung und Reaktion auf Sicherheitsvorfälle
- Backup-, Business-Continuity- und Disaster-Recovery-Fähigkeiten
- Kontinuierliche Verbesserung des ISMS
Organisationen, die bereits nach ISO/IEC 27001 zertifiziert sind, können ihre bestehende Zertifizierung als Grundlage nutzen – müssen jedoch gezielt die luftfahrtspezifischen Lücken schließen, insbesondere die Verknüpfung von Informationssicherheitsrisiken mit der Flugsicherheit.
Asset Management als Fundament des ISMS
Ein strukturiertes Asset Management ist die unverzichtbare Grundlage jedes ISMS: Nur wer seine schutzbedürftigen Assets vollständig kennt und bewertet, kann Risiken gezielt adressieren. In der Luftfahrt umfasst das eine breite Palette von Assetgruppen – von Avionik-Software, Wartungsdokumentationen und Crew-Scheduling-Systemen über Flugsimulatoren bis hin zu Prüfungsunterlagen und Lizenzdatenbanken in Ausbildungsorganisationen. Dabei sind Schutzbedarfsfeststellungen und Abhängigkeiten zwischen Assets konsequent zu dokumentieren, da sich Schutzbedarfe zwischen verknüpften Assets gegenseitig beeinflussen können. Ein leistungsfähiges Asset Management schafft eine konsistente, auditierbare Datenbasis für alle nachgelagerten ISMS-Prozesse – von der Risikoanalyse bis zum Auditmanagement.
Integration von ISMS und Safety Management System (SMS)
EASA Part-IS verlangt ausdrücklich die Integration des ISMS in das Safety Management System (SMS). Beide Systeme adressieren Risiken, die den sicheren Flugbetrieb beeinflussen können – allerdings aus unterschiedlichen Blickwinkeln: Das SMS bewertet operative Sicherheitsrisiken wie technisches Versagen oder menschliche Fehler, während das ISMS Bedrohungen durch Cyberangriffe, Datenverlust oder Systemkompromittierung in den Fokus nimmt. Durch die Zusammenführung beider Ansätze entsteht ein ganzheitliches Risikobild, das beide Dimensionen verbindet und Doppelarbeit vermeidet. EASA empfiehlt darüber hinaus, auch das Qualitätsmanagementsystem (QMS) in diesen integrierten Ansatz einzubinden, um ein übergreifendes, effizientes Managementsystem zu schaffen.
Integriertes Managementsystem für die Luftfahrt: ISMS, SMS, QM, Compliance und mehr. Alles in einer einzigen vernetzten Lösung. Mehr erfahren …
Synergiepotenziale durch integrierte Software
Eine gemeinsame Softwareplattform für SMS und ISMS schafft erhebliche Synergien: Risiken, Maßnahmen, Audits und Dokumentationen können systemübergreifend verwaltet, verknüpft und nachverfolgt werden. Informationssicherheitsrisiken mit Sicherheitsrelevanz lassen sich direkt im SMS-Kontext bewerten, Korrekturmaßnahmen werden einheitlich gesteuert, und Berichtspflichten gegenüber Aufsichtsbehörden lassen sich effizienter erfüllen. Dies gilt für alle Organisationstypen gleichermaßen – ob ein MRO seine Wartungssysteme absichert, eine CAMO die Integrität von Lufttüchtigkeitsnachweisen schützt, eine Designorganisation ihre Konstruktionsdaten sichert oder eine Ausbildungsorganisation die Vertraulichkeit von Prüfungsdaten und die Echtheit von Lizenznachweisen gewährleistet. Intrafox bildet beide Welten in einer integrierten Lösung ab und unterstützt so Luftfahrtorganisationen dabei, die Part-IS-Konformität nachhaltig und auditfest sicherzustellen.
Fazit: Vernetzung als strategischer Vorteil
Die Einführung eines Part-IS-konformen ISMS – verknüpft mit einem robusten Asset Management und eingebettet in das bestehende SMS – ist für Luftfahrtorganisationen kein rein regulatorisches Pflichtprogramm, sondern eine strategische Investition in die operative Resilienz. Angesichts zunehmend vernetzter IT- und OT-Systeme schützt ein integriertes Managementsystem nicht nur vor Cyberbedrohungen, sondern stärkt auch das Vertrauen von Behörden, Partnern und Passagieren in die Sicherheitskultur der gesamten Organisation – vom Wartungsbetrieb über die Ausbildungsstätte bis in den Cockpit.