Regolamento (UE) 2023/203

Regolamento di esecuzione (UE) 2023/203 sulla gestione dei rischi per la sicurezza delle informazioni in aviazione civile

Il regolamento istituisce un quadro orizzontale e armonizzato per la gestione dei rischi di sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea. La logica sottesa, richiamata nei considerando, è che l’aviazione civile costituisce un sistema altamente interconnesso e che i rischi informativi non si esauriscono nel ciberspazio, ma possono incidere anche su processi, procedure e prestazioni umane.

Ambito di applicazione

L’articolo 2 estende l’obbligo alle principali categorie di operatori e organizzazioni dell’aviazione civile soggetti ai regolamenti UE richiamati nel testo, nonché alle autorità competenti e, in parte, all’Agenzia. Il perimetro è ampio, ma con esclusioni puntuali per soggetti o attività a rischio più contenuto: ad esempio, talune attività di manutenzione o CAMO riferite esclusivamente alla parte ML, specifici operatori aerei di piccole dimensioni o con profilo operativo limitato, ATO con sola formazione teorica o su ELA 2, FSTD per ELA 2 e alcuni fornitori di servizi ATM/ANS con certificazioni o dichiarazioni limitate.

Il regolamento precisa espressamente che restano fermi gli obblighi già previsti dal regolamento di esecuzione (UE) 2015/1998 e dalla direttiva (UE) 2016/1148. Inoltre, per i casi in cui il soggetto sia già tenuto a obblighi equivalenti in altri atti UE, è prevista una regola di equivalenza per evitare duplicazioni, salvo il punto relativo alla segnalazione esterna degli inconvenienti di sicurezza delle informazioni.

Definizioni e coordinamento con altre nozioni UE

L’articolo 3 chiarisce il significato di termini fondamentali. La "sicurezza delle informazioni" è definita in termini di riservatezza, integrità, autenticità e disponibilità di reti e sistemi informativi; l’"evento relativo alla sicurezza delle informazioni" è una situazione che segnala una possibile violazione della politica di sicurezza o un malfunzionamento dei controlli; l’"inconveniente" corrisponde, in sostanza, a un incidente con effetti reali sulla sicurezza della rete e dei sistemi informativi.

La scelta lessicale non intende creare una nozione autonoma in contrasto con la direttiva NIS: il regolamento afferma anzi che la nozione di sicurezza delle informazioni è sostanzialmente analoga a quella di "sicurezza della rete e dei sistemi informativi" di cui alla direttiva (UE) 2016/1148.

Requisiti generali per organizzazioni e autorità competenti

L’articolo 4 rinvia ai due grandi blocchi di allegati. Le organizzazioni devono rispettare l’allegato II, parte IS.I.OR, mentre le autorità competenti devono rispettare l’allegato I, parte IS.AR. Si tratta di una disciplina parallela: da un lato il sistema di gestione della sicurezza delle informazioni per gli operatori, dall’altro quello per le autorità di vigilanza.

Sistema di gestione della sicurezza delle informazioni per le autorità competenti

L’allegato I impone alle autorità competenti di istituire e mantenere un ISMS con una politica, un processo di valutazione dei rischi, misure di trattamento, strumenti di rilevamento/risposta/ripristino e regole di miglioramento continuo. L’autorità deve inoltre proteggere la riservatezza delle informazioni di cui dispone, incluse quelle provenienti dai sistemi di segnalazione esterna delle organizzazioni.

Tra gli obblighi organizzativi figurano:

• designazione di una persona con autorità adeguata;
• adeguatezza del personale, competenze, consapevolezza delle responsabilità e verifica di identità/affidabilità;
• regole di archiviazione per appalti, registri dei rischi, eventi e qualifiche del personale;
• valutazione periodica dell’efficacia e della maturità dell’ISMS.

È rilevante anche la disciplina degli appalti: l’autorità resta responsabile, deve vigilare sull’appaltatore e assicurare la conformità delle attività esternalizzate ai requisiti del regolamento.

Sistema di gestione della sicurezza delle informazioni per le organizzazioni

L’allegato II impone alle organizzazioni l’istituzione, attuazione e mantenimento di un ISMS coerente con la dimensione e complessità delle proprie attività. Il sistema deve includere, in sintesi:

• politica di sicurezza delle informazioni;
• identificazione e riesame dei rischi;
• trattamenti per i rischi inaccettabili;
• sistema di segnalazione interna;
• rilevamento, risposta e ripristino;
• attuazione delle misure immediate eventualmente richieste dall’autorità competente;
• reazione alle non conformità notificate;
• segnalazione esterna;
• gestione degli appalti;
• requisiti relativi al personale;
• archiviazione documentale;
• monitoraggio della conformità e miglioramento continuo.

Il regolamento consente, in via eccezionale, che un’organizzazione sia autorizzata dall’autorità competente a non applicare l’intero impianto ISMS se dimostra, con valutazione documentata e approvata, che le proprie attività, strutture, risorse e servizi non comportano rischi per la sicurezza delle informazioni con potenziale impatto sulla sicurezza aerea né per sé né per altre imprese. La validità di tale approvazione è riesaminata nel ciclo di audit e quando intervengono modifiche nel perimetro operativo.

Valutazione e trattamento dei rischi

Sia per autorità sia per organizzazioni, la metodologia è strutturata in tre fasi: individuazione di elementi e interfacce esposti al rischio, classificazione del rischio secondo livelli predefiniti, trattamento dei rischi inaccettabili. Il rischio deve essere riesaminato quando cambiano gli elementi esposti, le interfacce con altre organizzazioni, le informazioni disponibili o gli insegnamenti tratti dagli inconvenienti.

Per i servizi ATM/ANS soggetti alla sottoparte C dell’allegato III del regolamento di esecuzione (UE) 2017/373, il regolamento prevede una specifica adattamento: l’analisi dell’impatto sulla sicurezza aerea è sostituita, per alcuni profili, da un’analisi dell’impatto sui servizi nell’ambito della valutazione del sostegno alla sicurezza.

Segnalazione interna ed esterna; tempi di notifica

Le organizzazioni devono predisporre un sistema di segnalazione interna che raccolga e valuti gli eventi, anche quelli da notificare esternamente. Devono inoltre cooperare con altre organizzazioni che contribuiscono in modo significativo alla loro sicurezza informativa.

La segnalazione esterna è disciplinata in modo puntuale: l’organizzazione deve notificare all’autorità competente gli inconvenienti o vulnerabilità che possano rappresentare un rischio significativo per la sicurezza aerea e, se la condizione riguarda un aeromobile o un sistema/componente associato, anche al titolare dell’approvazione del progetto; se riguarda un sistema o componente utilizzato dall’organizzazione, anche all’organizzazione responsabile della progettazione. La notifica va presentata non appena la condizione è conosciuta; la segnalazione formale deve essere effettuata il prima possibile e comunque entro 72 ore, salvo circostanze eccezionali.

Personale, documentazione e manuale ISMM

Il regolamento dedica ampia attenzione ai requisiti organizzativi. Il dirigente responsabile deve avere autorità giuridica sufficiente a garantire risorse e attuazione del sistema; deve inoltre nominare persone o strutture responsabili della conformità e del monitoraggio della conformità. L’organizzazione deve assicurare personale sufficiente, competente, consapevole dei propri ruoli e la verifica dell’identità e affidabilità di chi accede a sistemi e dati rilevanti.

Sul piano documentale, l’organizzazione deve mantenere registri su approvazioni, appalti, processi principali, rischi e trattamenti, segnalazioni di inconvenienti e vulnerabilità, e eventi da rivalutare. I termini minimi di conservazione sono in genere di cinque anni, con alcune eccezioni: ad esempio, i registri del personale sono conservati per tutta la durata del rapporto e per almeno tre anni dopo la cessazione; gli eventi da rivalutare restano archiviati fino alla rivalutazione stessa.

L’ISMM costituisce il documento di riferimento per il sistema di gestione: deve contenere dichiarazione del dirigente responsabile, ruoli e responsabilità, politica, organigramma, descrizione del sistema di segnalazione interna, procedure di conformità, controlli sugli appalti e metodologia di modifica. Le modifiche ordinarie possono essere gestite tramite procedura interna approvata; quelle fuori procedura richiedono approvazione dell’autorità competente prima dell’attuazione.

Sorveglianza, equivalenza e reazione immediata agli eventi

Le autorità competenti devono essere in grado di raccogliere, analizzare e diffondere le informazioni sugli inconvenienti e sulle vulnerabilità di sicurezza delle informazioni, coordinandosi con eventuali altre autorità nazionali competenti in materia di cibersicurezza o sicurezza delle informazioni. L’Agenzia deve ricevere e rielaborare le informazioni rilevanti e trasmettere tempestivamente Stati membri, Commissione e soggetti interessati le informazioni necessarie, incluse eventuali raccomandazioni o misure correttive.

In più punti degli allegati modificativi viene ribadito che il sistema di gestione dell’autorità competente deve essere conforme all’allegato I (parte IS.AR), e che l’autorità può affidare taluni compiti a soggetti qualificati o ad altre autorità pertinenti, purché restino garantiti coordinamento, integrazione dei risultati nei fascicoli di sorveglianza e inclusione dei compiti delegati nel proprio sistema di gestione.

Modifiche ai regolamenti esistenti

Il regolamento modifica numerosi atti settoriali: regolamenti (UE) n. 1178/2011, n. 748/2012, n. 965/2012, n. 139/2014, n. 1321/2014, 2015/340, il regolamento di esecuzione (UE) 2017/373 e il regolamento di esecuzione (UE) 2021/664. In ciascun caso, vengono introdotti nuovi punti che impongono un sistema di gestione della sicurezza delle informazioni per l’organizzazione interessata e un corrispondente sistema per l’autorità competente, oltre a regole di reazione immediata, assegnazione dei compiti e modifica/sorveglianza del sistema.

Per gli operatori U-space e per i fornitori di servizi ATM/ANS, il testo interviene anche sulla gestione della sicurezza (security) fisica e operativa, chiarendo che gli aspetti di sicurezza delle informazioni devono essere gestiti secondo il nuovo regolamento.

Entrata in vigore e decorrenza

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale dell’Unione europea, ma si applica dal 22 febbraio 2026. In via eccezionale, per il fornitore di servizi di navigazione aerea EGNOS l’applicazione decorre dal 1° gennaio 2026. Il regolamento è direttamente applicabile in tutti gli Stati membri.