Regolamento (UE) 2022/1645

Regolamento delegato (UE) 2022/1645 — requisiti per la gestione dei rischi per la sicurezza delle informazioni con impatto sulla sicurezza aerea

Il regolamento delegato (UE) 2022/1645 dà attuazione al regolamento (UE) 2018/1139 introducendo un quadro armonizzato per la gestione dei rischi per la sicurezza delle informazioni che possono incidere sulla sicurezza aerea. La finalità è rafforzare la resilienza delle imprese aeronautiche di fronte a minacce che colpiscono sistemi ICT, dati e processi operativi, in un settore caratterizzato da elevata interconnessione tra soggetti e funzioni.

Contesto e ratio

Dai considerando emerge che la Commissione intende integrare gli obblighi di safety già esistenti con una disciplina specifica sui rischi derivanti dalla sicurezza delle informazioni, non limitata ai soli attacchi cibernetici ma estesa anche a effetti sui processi, sulle procedure e sulle prestazioni umane. Il regolamento mira inoltre a evitare duplicazioni con altri atti dell’Unione in materia di sicurezza/cibersicurezza e a mantenere un’impostazione coerente tra i diversi settori dell’aviazione.

Ambito di applicazione

Il regolamento si applica alle imprese di produzione e progettazione soggette alla parte 21 del regolamento (UE) n. 748/2012, con esclusione delle imprese che operano esclusivamente su aeromobili ELA2, e ai gestori aeroportuali nonché ai fornitori di servizi di gestione del piazzale soggetti al regolamento (UE) n. 139/2014. Restano salvi gli obblighi già previsti dal regolamento di esecuzione (UE) 2015/1998 e dalla direttiva (UE) 2016/1148; in alcune ipotesi tali obblighi sono considerati equivalenti ai fini del presente testo.

Definizioni rilevanti

L’articolo 3 chiarisce nozioni centrali quali:

• sicurezza delle informazioni, intesa come salvaguardia di riservatezza, integrità, autenticità e disponibilità di reti e sistemi informativi;
• evento relativo alla sicurezza delle informazioni;
• inconveniente, definito per rinvio alla direttiva (UE) 2016/1148;
• rischio per la sicurezza delle informazioni, minaccia e vulnerabilità. Queste definizioni delimitano il perimetro della valutazione e della gestione dei rischi, con riferimento alle possibili ricadute sulla sicurezza aerea.

Equivalenza e coordinamento con altri obblighi UE

L’articolo 4 disciplina il rapporto con altri regimi normativi. Se l’impresa adempie obblighi equivalenti ai sensi dell’articolo 14 della direttiva (UE) 2016/1148, tale conformità può valere anche ai fini del regolamento. Per operatori o entità inseriti nei programmi nazionali di sicurezza dell’aviazione civile, gli obblighi del regolamento di esecuzione (UE) 2015/1998 sono considerati equivalenti, con l’eccezione della segnalazione esterna prevista dal punto IS.D.OR.230, che resta dovuta. La Commissione può emanare orientamenti sull’equivalenza, previa consultazione dell’AESA e del gruppo di cooperazione NIS.

Autorità competente e vigilanza

La vigilanza è affidata all’autorità competente già designata nei rispettivi regimi settoriali: per le imprese di progettazione e produzione, quella prevista dalla parte 21 del regolamento (UE) n. 748/2012; per i gestori aeroportuali e i fornitori di servizi di gestione del piazzale, quella prevista dalla parte ADR.OR del regolamento (UE) n. 139/2014. Gli Stati membri possono affidare il ruolo a un’entità indipendente e autonoma, purché siano previste misure di coordinamento tali da assicurare una supervisione efficace.

Sistema di gestione della sicurezza delle informazioni (ISMS)

Il cuore della disciplina è l’allegato IS.D.OR, che impone alle imprese interessate di istituire, attuare e mantenere un ISMS adeguato alla natura e complessità delle attività. Il sistema deve consentire di:

• definire una politica di sicurezza delle informazioni;
• individuare e riesaminare i rischi;
• attuare misure di trattamento dei rischi;
• predisporre la segnalazione interna;
• rilevare eventi e inconvenienti, rispondere e ripristinare;
• attuare eventuali misure immediate richieste dall’autorità competente;
• gestire non conformità, segnalazione esterna, appalti, personale e registri;
• monitorare la conformità e proteggere la riservatezza delle informazioni ricevute da altre imprese. Il sistema può essere integrato in altri sistemi di gestione già esistenti.

Valutazione e trattamento dei rischi

Il punto IS.D.OR.205 richiede l’identificazione di tutti gli elementi esposti ai rischi per la sicurezza delle informazioni, comprese attività, strutture, risorse, servizi, apparecchiature, sistemi, dati e informazioni, nonché delle interfacce con altre imprese. Per ciascun rischio l’impresa deve attribuire un livello secondo una classificazione predefinita, collegandolo all’elemento o all’interfaccia interessata. La valutazione va riesaminata in caso di modifiche degli elementi esposti, delle interfacce, delle informazioni utilizzate o in seguito agli insegnamenti tratti dagli inconvenienti.

Il punto IS.D.OR.210 impone la definizione e l’attuazione tempestiva di misure per i rischi inaccettabili, con verifica dell’efficacia nel tempo. Le misure devono consentire di controllare le circostanze che favoriscono lo scenario di minaccia, ridurre le conseguenze sulla sicurezza aerea o evitare il rischio, senza introdurne di nuovi inaccettabili. Le informazioni rilevanti devono essere condivise con il personale interessato e con le imprese che condividono l’interfaccia di rischio.

Segnalazione interna, rilevamento, risposta e ripristino

Il sistema di segnalazione interna consente di raccogliere e valutare eventi relativi alla sicurezza delle informazioni, anche ai fini dell’eventuale segnalazione esterna. L’impresa deve poter individuare gli eventi da qualificare come inconvenienti o vulnerabilità, analizzarne le cause e i fattori contributivi, diffondere internamente le informazioni necessarie e cooperare alle indagini con altre imprese coinvolte.

Il punto IS.D.OR.220 richiede misure di rilevamento basate sulla valutazione del rischio, capaci di individuare deviazioni da livelli di prestazione predefiniti e attivare avvisi. Devono essere predisposte anche misure di risposta per contenere la diffusione dell’attacco, limitare il verificarsi dello scenario di minaccia e controllare la modalità di guasto. Sono infine richieste misure di ripristino, incluse quelle di emergenza, per rimuovere o limitare la causa dell’inconveniente e tornare a uno stato di sicurezza entro un tempo di recupero definito dall’impresa.

Segnalazione esterna e termini di notifica

Il punto IS.D.OR.230 disciplina la segnalazione esterna. Se il regolamento (UE) n. 376/2014 è applicabile, l’impresa deve conformarsi ai relativi obblighi di reporting. In ogni caso, gli inconvenienti o le vulnerabilità che possano rappresentare un rischio significativo per la sicurezza aerea devono essere segnalati all’autorità competente e, se del caso:

• al titolare dell’approvazione del progetto, quando riguardano un aeromobile o un sistema/componente associato;
• all’impresa responsabile della progettazione del sistema o componente, quando il fatto riguarda un elemento utilizzato dall’impresa. La notifica va effettuata non appena l’impresa viene a conoscenza della condizione; la segnalazione dettagliata deve seguire il prima possibile e comunque non oltre 72 ore, salvo circostanze eccezionali. Deve inoltre essere inviata una segnalazione di follow-up con le azioni di ripristino e prevenzione future.

Appalto, personale e responsabilità organizzative

L’impresa che appalta attività di gestione della sicurezza delle informazioni deve garantire che l’appaltatore operi sotto la sua supervisione e nel rispetto del regolamento, con adeguata gestione dei rischi e accesso dell’autorità competente all’appaltatore su richiesta.

Sul piano organizzativo, il dirigente responsabile o, per le imprese di progettazione, il capo dell’impresa di progettazione, deve avere l’autorità giuridica e le risorse necessarie per garantire l’attuazione del regolamento. Deve inoltre nominare persone o gruppi di persone responsabili della conformità e della funzione di monitoraggio della conformità, definire le relative competenze e assicurare personale sufficiente, competente e consapevole delle proprie responsabilità. È richiesta anche l’adeguata verifica dell’identità e dell’affidabilità del personale che accede a sistemi e dati sensibili.

Registri, ISMM e gestione delle modifiche

Il punto IS.D.OR.245 impone la conservazione tracciabile dei principali registri di gestione della sicurezza delle informazioni: approvazioni e valutazioni dei rischi, appalti, processi principali, rischi e misure di trattamento, segnalazioni di inconvenienti/vulnerabilità ed eventi da rivalutare. Sono previsti termini minimi di conservazione, generalmente pari a cinque anni, nonché regole specifiche per i registri del personale e l’accesso individuale ai propri dati.

Il punto IS.D.OR.250 richiede un manuale di gestione della sicurezza delle informazioni (ISMM), da mettere a disposizione dell’autorità competente e da mantenere aggiornato. Il manuale contiene la dichiarazione di impegno del vertice aziendale, le responsabilità organizzative, la politica di sicurezza, la struttura del personale, i sistemi di segnalazione e le procedure di conformità. Le modifiche del sistema e del manuale sono disciplinate da procedure interne; quelle non coperte dalla procedura approvata richiedono approvazione preventiva dell’autorità competente.

Miglioramento continuo

Infine, il punto IS.D.OR.260 impone una valutazione periodica dell’efficacia e della maturità dell’ISMS tramite indicatori di prestazione, su base programmata o a seguito di un inconveniente. Se emergono carenze, l’impresa deve adottare misure correttive e riesaminare gli elementi del sistema interessati, così da mantenere i rischi a un livello accettabile e garantire la continua conformità al regolamento.

Modifiche ai regolamenti settoriali

Il regolamento modifica il regolamento (UE) n. 748/2012 introducendo, per imprese di produzione e progettazione, l’obbligo espresso di istituire e mantenere un sistema di gestione della sicurezza delle informazioni. Modifica inoltre il regolamento (UE) n. 139/2014, imponendo ai gestori aeroportuali e ai fornitori di servizi di gestione del piazzale un analogo sistema e aggiornando la norma ADR.OR.D.007, che viene integrata con l’esigenza di gestire anche gli aspetti di sicurezza delle informazioni.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 16 ottobre 2025. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.