Regolamento (UE) 2025/22

Modifica del regolamento delegato (UE) 2022/1645 per i servizi di assistenza a terra

Il regolamento delegato (UE) 2025/22 modifica il quadro UE sulla gestione dei rischi per la sicurezza delle informazioni nel settore dell’aviazione civile, al fine di includere espressamente talune organizzazioni che forniscono servizi di assistenza a terra. La Commissione richiama, tra l’altro, i requisiti essenziali del regolamento (UE) 2018/1139, l’esigenza di proteggere la sicurezza aerea anche da minacce informatiche o legate alla sicurezza delle informazioni e il parere tecnico dell’EASA n. 01/2024.

Ambito soggettivo e collegamento con la disciplina settoriale

La modifica riguarda il regolamento delegato (UE) 2022/1645, che disciplina i requisiti per la gestione dei rischi per la sicurezza delle informazioni con potenziale impatto sulla sicurezza aerea. Con il nuovo articolo 2, paragrafo 1, lettera c), vi rientrano anche le organizzazioni di assistenza a terra soggette al regolamento delegato (UE) 2025/20, ma solo se, per svolgere i servizi, devono raccogliere, conservare, analizzare o trattare dati forniti da terzi, oppure se forniscono direttamente agli operatori di aeromobili dati destinati a impieghi operativi.

Autorità competente e regime dichiarativo

L’articolo 1 introduce anche una regola specifica sull’autorità competente applicabile a tali organizzazioni, rinviando all’autorità designata secondo l’allegato parte ARGH del regolamento di esecuzione (UE) 2025/23. Il considerando 3 chiarisce la logica del sistema: le organizzazioni di assistenza a terra operano in un regime di dichiarazione, per cui il sistema di gestione e i relativi componenti non richiedono approvazione preventiva. Di conseguenza, le norme su manuale di gestione della sicurezza delle informazioni e gestione delle modifiche sono adattate per escludere l’approvazione dell’autorità competente nei casi previsti per le organizzazioni dichiaranti.

Gestione della sicurezza delle informazioni: ISMM e ISMS

Il regolamento interviene in modo puntuale sull’allegato del regolamento delegato (UE) 2022/1645, in particolare sui punti IS.D.OR.250 e IS.D.OR.255. Per l’ISMM, il rilascio iniziale continua a essere approvato e una copia resta presso l’autorità competente, ma per le organizzazioni dichiaranti tale approvazione non è richiesta; l’ISMM deve comunque essere aggiornato per riflettere la descrizione corrente dell’ISMS e le modifiche devono essere trasmesse all’autorità competente.

Per l’ISMS, il nuovo testo del punto IS.D.OR.255 distingue tra:

• modifiche gestite tramite una procedura interna dell’impresa, notificata all’autorità competente e approvata da quest’ultima, salvo per le organizzazioni dichiaranti;
• modifiche non contemplate da tale procedura, per le quali è necessaria un’approvazione preventiva dell’autorità competente, salvo il caso delle organizzazioni dichiaranti.

In questi casi, la domanda deve essere presentata prima dell’attuazione della modifica; l’impresa deve fornire tutte le informazioni necessarie alla valutazione; la modifica può essere eseguita solo dopo approvazione formale, mentre le organizzazioni dichiaranti possono applicarla immediatamente. Resta fermo che l’impresa deve operare alle condizioni eventualmente imposte dall’autorità competente durante l’attuazione.

Rilevazione, segnalazione e risposta agli incidenti di sicurezza delle informazioni

Il punto IS.D.OR.200, lettera a), punto 5), è riscritto per imporre all’impresa di definire e attuare misure, conformemente al punto IS.D.OR.220, per rilevare gli eventi di sicurezza delle informazioni, individuare quelli che costituiscono inconvenienti con potenziale impatto sulla sicurezza aerea, rispondere a tali inconvenienti e assicurare il ripristino. Il considerando 4 evidenzia inoltre che, per le organizzazioni già soggette al regolamento di esecuzione (UE) 2015/1998 in materia di sicurezza aerea, continua a valere anche l’obbligo di conformarsi al punto IS.D.OR.230 sulla segnalazione esterna degli inconvenienti, che non è disciplinato dal regolamento 2015/1998.

Entrata in vigore e date di applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Le nuove disposizioni non si applicano immediatamente in modo uniforme: l’articolo 1 si applica dal 27 marzo 2031, mentre l’articolo 2, relativo alle modifiche dell’allegato del regolamento 2022/1645, si applica dal 16 ottobre 2025. Il differimento dell’articolo 1 è motivato dall’esigenza, richiamata nel considerando 7, di concedere alle organizzazioni tempo sufficiente per adeguare sistemi e procedure alle nuove regole.