Regolamento (UE) 2025/2293

Rettifica e modifica dei requisiti UE in materia di sicurezza delle informazioni per l’aviazione civile

Il regolamento interviene sul quadro europeo introdotto dal regolamento di esecuzione (UE) 2023/203, che disciplina i requisiti relativi alla gestione dei rischi per la sicurezza delle informazioni con potenziale impatto sulla sicurezza aerea. La Commissione adotta la misura per garantire coerenza sistematica tra i requisiti applicabili alle organizzazioni soggette a dichiarazione e quelli previsti per le altre organizzazioni dell’ecosistema aeronautico, oltre che per correggere riferimenti normativi errati inseriti in diversi regolamenti di settore.

Ambito e finalità della modifica

L’atto non introduce un nuovo regime autonomo, ma modifica e rettifica disposizioni contenute in più regolamenti UE già vigenti in materia aeronautica. Il nucleo della disciplina riguarda le regole di certificazione, approvazione e sorveglianza delle organizzazioni che operano nell’aviazione civile, con riferimento alla gestione della sicurezza delle informazioni. La Commissione richiama, tra le basi giuridiche, il regolamento (UE) 2018/1139 e specifici poteri di esecuzione relativi alla sicurezza dell’aviazione civile.

Organizzazioni soggette a dichiarazione: eliminazione dell’obbligo di approvazione

L’allegato I modifica l’allegato II del regolamento di esecuzione (UE) 2023/203, intervenendo sul punto IS.I.OR.250 e sul punto IS.I.OR.255.

In particolare:

• il rilascio iniziale dell’ISMM resta soggetto ad approvazione e l’autorità competente conserva una copia, ma per le organizzazioni dichiarate non è necessaria un’approvazione;
• l’ISMM deve essere aggiornato quando necessario per descrivere in modo sempre attuale l’ISMS dell’organizzazione;
• le modifiche dell’ISMM sono gestite secondo una procedura interna dell’organizzazione; solo le modifiche non coperte da tale procedura e quelle connesse alle modifiche di cui al punto IS.I.OR.255, lettera b), richiedono approvazione dell’autorità competente, salvo che si tratti di organizzazioni dichiarate;
• il punto IS.I.OR.255 stabilisce che le modifiche dell’ISMS possono essere gestite dall’organizzazione e notificate all’autorità competente tramite una procedura sviluppata dall’organizzazione stessa, approvata dall’autorità competente salvo per le organizzazioni dichiarate;
• per le modifiche non contemplate dalla procedura, l’organizzazione deve chiedere e ottenere un’approvazione, ma per le organizzazioni dichiarate l’approvazione non è necessaria;
• la domanda deve essere presentata prima dell’effettuazione della modifica; l’organizzazione deve fornire tutte le informazioni necessarie; le modifiche possono essere attuate solo dopo approvazione formale, mentre le organizzazioni dichiarate possono attuarle immediatamente; durante l’attuazione l’organizzazione opera alle condizioni prescritte dall’autorità competente.

Rettifiche tecniche nei regolamenti aeronautici settoriali

Gli allegati II-VIII rettificano riferimenti errati introdotti dal regolamento (UE) 2023/203 in diversi atti settoriali. In tutti i casi si tratta di sostituire o correggere lettere di punti specifici relativi al riesame, da parte dell’autorità competente, delle approvazioni rilasciate in materia di sicurezza delle informazioni e alla sorveglianza successiva.

Le rettifiche interessano:

• il regolamento (UE) n. 1178/2011, punto ARA.GEN.300, lettera g), con riferimento al controllo delle organizzazioni ai fini della conformità al punto ORA.GEN.200A;
• il regolamento (UE) n. 748/2012, punti 21.B.221, lettera g), e 21.B.431, lettera d), con rinvio al regolamento delegato (UE) 2022/1645 e al punto IS.D.OR.200, lettera e);
• il regolamento (UE) n. 965/2012, punto ARO.GEN.300, lettera g), con rinvio al punto ORO.GEN.200A;
• il regolamento (UE) n. 139/2014, punto ADR.AR.C.005, lettera f), con rinvio al punto ADR.OR.D.005A e al regolamento delegato (UE) 2022/1645;
• il regolamento (UE) n. 1321/2014, punti 145.B.300, lettera g), e CAMO.B.300, lettera g), con rinvio ai punti 145.A.200A e CAMO.A.200A;
• il regolamento (UE) 2015/340, punto ATCO.AR.C.001, lettera f), con rinvio al punto ATCO.OR.C.001A;
• il regolamento di esecuzione (UE) 2017/373, punto ATM/ANS.AR.C.010, lettera d), con rinvio al punto ATM/ANS.OR.B.005A.

In ciascun caso, la logica sostanziale è identica: l’autorità competente deve riesaminare le approvazioni pertinenti a seguito del ciclo di audit di supervisione applicabile e ogniqualvolta intervengano modifiche nell’ambito di attività dell’organizzazione.

Decorrenza e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale dell’Unione europea, ma si applica solo a decorrere dal 22 febbraio 2026. La scelta di un’applicazione differita è espressamente giustificata dall’esigenza di allineare il nuovo testo al calendario di applicazione del regolamento di esecuzione (UE) 2023/203, assicurando un quadro giuridico coerente per operatori e autorità competenti.

Rilievo pratico per operatori e consulenti

Per i professionisti, l’aspetto più rilevante è la semplificazione per le organizzazioni dichiarate, che vengono sottratte all’obbligo di approvazione in relazione a specifiche fasi e modifiche del sistema di gestione della sicurezza delle informazioni. Parallelamente, gli operatori e le autorità devono verificare la correzione dei riferimenti normativi nei vari regolamenti settoriali, poiché le modalità di sorveglianza e riesame delle approvazioni dipendono dai richiami corretti ai nuovi punti IS.I.OR.200 e IS.D.OR.200 introdotti dalla disciplina sulla cybersecurity aeronautica.