Un nuovo regolamento europeo ridefinisce il rapporto tra sicurezza operativa e protezione dei dati nel settore aeronautico, introducendo un modello di gestione integrata dei rischi informativi.
Il 16 ottobre è entrato in vigore il Regolamento di esecuzione UE 2023/203 che stabilisce le regole per l’applicazione del regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio per quanto riguarda i requisiti relativi alla gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea, anche noto come “Regolamento PART-IS”.
Questo provvedimento è il frutto di un lungo lavoro collaborativo tra rappresentanti di diverse Istituzioni unionali e nazionali e di operatori aeronautici pubblici e privati, sviluppato nell’ambito dell’European Security Coordination Platform, forum di cooperazione voluto dall’Agenzia Europea sulla Safety Aeronautica, specificamente dedicato all’analisi degli impatti dell’Information Security sulla sicurezza dell’aviazione civile, di cui chi vi scrive ha fatto parte sin dalla sua costituzione.
Si tratta di un ulteriore tassello regolatorio che determina una situazione assai singolare e vale la pena spiegarne la ragione.
Il concetto di sicurezza nell’aviazione
La “sicurezza” è il pilastro su cui si fonda l’organizzazione dei sistemi aeronautici, sia per la salvaguardia della vita umana in volo sia per la tutela delle persone e dei beni a terra e, in questo senso, è valore universale – tale dichiarato dalla Convenzione sull’Aviazione Civile Internazionale di Chicago – sia quale attuazione di valori e diritti di rilevanza costituzionale per il nostro Ordinamento: tutela della vita, dell’incolumità pubblica e privata, dei diritti di libertà di circolazione e di impresa.
La collettività ed ogni utente del trasporto aereo esprimono una legittima aspettativa verso il sistema del trasporto aereo internazionale di assoluta sicurezza e di tasso di incidentalità tendente a zero. Aspettativa che sin dalle origini dell’aviazione civile ha imposto il rispetto di rigorosissimi standard sia sul versante tecnologico che di quello dei processi ed in particolare del fattore umano e che rendono il sistema aeronautico, a livello internazionale, il sistema di trasporto statisticamente più sicuro.
Safety e security: il necessario nesso operativo nel dominio aeronautico
Nel settore aeronautico, la sicurezza ha assunto una valenza sempre più integrata, dato che l’interdipendenza tra safety e security si è rivelata ardua da gestire con approcci separati e con una logica di “silos” concettuali, non più giustificabili né dal punto di vista scientifico né sotto il profilo del buon senso.
Soprattutto, si parte da un’osservazione che può apparire banale, ma non lo è: un incidente di sicurezza delle informazioni – deliberato che sia o meno – può trasformarsi in un fattore di rischio che ha impatto diretto sui valori attesi di safety operativa e, di conseguenza, la distinzione tradizionale che vede nella security il dominio degli “atti deliberati” – i penalisti direbbero “dolosi” – e nella safety quello dell’errore umano (ovvero della “colpa”, intesa come negligenza, imprudenza, imperizia o inosservanza di leggi, regolamenti, ordini o discipline) o delle avarie dei sistemi, oggi non appare più francamente sostenibile.
Questa affermazione è frutto di un’elaborazione tutt’altro che serena nell’Ordinamento internazionale e oggetto di discussioni pressoché infinite nei consessi internazionali come ICAO, frutto di posizioni spesso conservative dello status quo e, ancor più spesso, dell’incapacità dei rappresentanti nazionali – normalmente non tecnici e straordinariamente appassionati di sottigliezze lessicali e preoccupati di eccessive proiezioni in avanti della regolazione, a fronte del diverso livello di maturità presente tra i 193 Stati Membri – di cogliere i rischi di un’evoluzione digitale troppo veloce per essere confinata ai dibattiti di politica del diritto internazionale.
Ma ancor più grave, l’incapacità anche a livello tecnico – salve meritorie eccezioni o tentativi di dialogo tra i mondi della safety e della security – di cogliere la grande opportunità di ragionare con metriche omogenee su metodologie di analisi e gestione di rischi convergenti.
Così, si ripete ancor oggi un antico meme, che raffigura un dialogo sull’aeronave Enterprise tra il Dr. Spock e l’ingegnere Capo Scott, dove il primo osserva: “questo sistema operativo non è obsoleto ed è vulnerabile, dobbiamo aggiornarlo” e il secondo replica “Questa versione è stabile, Spock, non la cambierò”. Scenario immaginario solo nella rappresentazione scenografica, ma estremamente realistico nella vita quotidiana.
Eppure, in un documento ufficiale di ICAO, il Doc 9854 “Global Air Traffic Management Operational Concept”, pubblicato nel 2005, si legge una formula quasi impensabile per l’epoca e la provenienza: “Security refers to the protection against threats that stem from intentional acts (e.g. terrorism) or unintentional acts (e.g. human error, natural disaster) affecting aircraft, people or installations on the ground. Adequate security is a major expectation of the ATM community and of citizens”. Ovvero, quel documento prende le distanze dal concetto distintivo tra safety e security basato solo sull’intenzionalità del soggetto agente e mira ad un obiettivo più ampio nell’interesse collettivo e degli individui.
Dalla NIS2 al concetto di sicurezza integrata
In altre parole, da un’altra prospettiva, il ragionamento sottostante è: “va bene la cybersecurity, come momento di attenzione alle attività criminali, ma la sicurezza delle informazioni è tutt’altro”. Ed è esattamente il punto di partenza già fatto proprio dai legislatori europei, sin dalla direttiva NIS del 2016 ed oggi nel quadro della Direttiva 2022/2555, NIS2. In quest’ultima, in particolare, partendo dalla lettura combinata della definizione di incidente di cui all’art. 6 punto 6) “«incidente»: un evento che compromette la disponibilità, l’autenticità, l’integrità o la riservatezza di dati conservati, trasmessi o elaborati o dei servizi offerti dai sistemi informatici e di rete o accessibili attraverso di essi” e dei diversi considerando del preambolo, si intende in maniera incontrovertibile che l’interesse della norma è quello di prevenire e contenere qualunque evento che possa avere un impatto su disponibilità, integrità e riservatezza delle informazioni (e dei sistemi che ne garantiscono il trattamento), a prescindere da qualunque valutazione in ordine al profilo psicologico – dolo o colpa – del soggetto agente ed anche considerando cause non antropiche, assai spesso causa primaria di eventi di sicurezza delle informazioni.
Su questo presupposto, la distinzione del fattore di rischio tra “threat” e “hazard”, anch’essa cara alla vecchia dottrina della safety aeronautica, non appare più così rilevante ed anzi può rischiare di essere fuorviante, sia nella prevenzione che nella gestione di eventuali incidenti.
Il Regolamento UE 2018/1139 e la svolta della security delle informazioni
A livello di normazione, come sempre, l’Unione Europea non ha rivali, con un procedimento normativo piuttosto complesso, che merita un approfondimento.
Il Regolamento UE 2018/1139[1] del Parlamento Europeo e del Consiglio — noto come “Regolamento basico” — segna la svolta strategica con cui la sicurezza delle informazioni viene riconosciuta come parte essenziale della protezione degli interessi vitali: tutela della vita, dell’incolumità personale e pubblica, nonché delle libertà di circolazione e di impresa. Se l’approccio “Safety First” rappresenta il mantra della disciplina internazionale ed europea, il Regolamento basico, atto primario di natura normativa, confermando tale impostazione, introduce però la sicurezza informatica come un requisito funzionale essenziale proprio per garantire la safety: la protezione di disponibilità, integrità e riservatezza delle informazioni diventa elemento imprescindibile per rispettare gli obiettivi di sicurezza nell’intera filiera aeronautica, in questo caso con una spasmodica attenzione per i sistemi tecnologici.
Ma l’aspetto più rilevante è quello di avere, in maniera estremamente chiara in un testo normativo, definito ed ufficializzato, la rilevanza della stretta relazione tra Safety operativa e Information security. L’articolo 88, infatti, rubricato come “Interdipendenze tra sicurezza e security nell’aviazione civile”, introduce il complesso tema creando una necessaria sinergia tra Commissione europea, Agenzia per la Safety dell’Aviazione civile (EASA) e Stati Membri, per coordinare e disciplinare nel dettaglio i processi di investigazione e risoluzione delle criticità derivanti dalle interdipendenze.
Gli allegati al Regolamento – e quindi anch’essi parte della disciplina normativa – ciascuno dei quali dedicato ad un settore di regolazione (aeromobili, aeronavigabilità, equipaggi, mezzi a pilotaggio remoto, aerodromi, servizi della navigazione aerea e così via), la security è citata spesso e volentieri, sia in maniera esplicita che in modo implicita, con riguardo ai caratteri di disponibilità e integrità e riservatezza, sempre nell’ottica di garantire le condizioni attese di sicurezza sia al momento del rilascio del sistema che lungo il ciclo di vita.
La disciplina del Regolamento basico, in altre parole, impone obblighi stringenti a tutta la filiera del trasporto aereo, inclusi vettori, esercenti di aeromobili, operatori UAV, gestori aeroportuali, servizi di navigazione e controllo del traffico aereo, enti di erogazione di servizi aeronautici satellitari, che creano non pochi problemi di interpretazione sistematica nell’Ordinamento, sia a livello internazionale che nazionale. E vediamo perché.
Il modello cogente viene dettagliato dal Regolamento di esecuzione 2023/203, che in modo decisamente innovativo, impone sia alle Autorità nazionali per l’aviazione civile (in Italia, ricordiamo, è l’Ente Nazionale per l’Aviazione civile ENAC) sia a quasi tutti gli operatori aeronautici l’adozione di un sistema di gestione per la sicurezza delle informazioni al dichiarato fine di:
- individuare e gestire i rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea (safety) che potrebbero incidere sui sistemi di tecnologia dell’informazione e della comunicazione e sui dati utilizzati per finalità relative all’aviazione civile;
- rilevare gli eventi relativi alla sicurezza delle informazioni e individuare quelli che sono considerati inconvenienti per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea;
- rispondere a tali inconvenienti e provvedere al ripristino.
Un primo elemento critico nasce dalla considerazione che in un altro set regolamentare, costituito, di base, dal regolamento CE 300/2008 del Parlamento Europeo e del Consiglio che istituisce norme comuni per la sicurezza dell’aviazione civile e del Regolamento di Esecuzione UE 2018/1995, che ne dà attuazione, che indirizza norme specifiche sulla materia della sicurezza delle informazioni e che impone misure minime di sicurezza, inclusa la necessità di sottoporre a verifiche individuali dei precedenti per coloro che rivestono il ruolo di amministratore di sistema o posseggono credenziali con privilegi elevati.
È evidente che il “doppio binario” così costruito lascia perplessi e va decisamente a favore di chi vede nella bulimia normativa un rischio significativo e non un’opportunità. La stratificazione di norme, con ambiti di applicazione sovrapponibili in gran misura, non accompagnata da una corretta definizione di ruoli, responsabilità e di separazione di compiti dà ragione a chi vede nell’esagerata ipertrofia regolatoria più rischi che opportunità e, probabilmente, un decremento di sicurezza a favore della formalità.
Altro aspetto. Scorrendo il Regolamento 2023/203 “PART-IS”, l’attento lettore si accorgerà immediatamente che si tratta di un’architettura che ricalca assai da vicino la struttura dello standard ISO 27001 e, in effetti, nel corso del dibattito sviluppato nell’European Security Coordination Platform ci fu più d’una voce, tra cui quella di chi scrive, che segnalò l’inutilità della definizione di un nuovo sistema di gestione della sicurezza delle informazioni tagliato su misura per l’aviazione civile. Ossia la richiesta espressa di non reinventare la ruota, perché quella esistente funziona, anche piuttosto bene.
E queste obiezioni, non solo perché gli standard internazionali nascono da una sperimentazione consolidata di clausole applicate in concreto nel tempo, ma soprattutto perché l’aviazione civile non è un corpo monolitico ed unitario, ma è un quadro complesso che ha portato lo stesso legislatore europeo, proprio nel Regolamento Basico 2018/1139, a distinguere i diversi ambiti, ciascuno dei quali dotato della propria specificità. Sorprende, perciò, leggere nel settimo considerando del regolamento PART-IS affermazioni espresse con il condizionale che non sembrano sorrette da adeguate basi reali: “Un numero significativo di organizzazioni utilizza già norme internazionali, come l’ISO 27001, al fine di affrontare la questione della sicurezza delle informazioni e dei dati digitali. Tali norme potrebbero non affrontare pienamente tutte le specificità dell’aviazione civile. È pertanto opportuno stabilire requisiti per la gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea.” E non sembra di poter rilevare, nel contesto dell’articolato normativo, reali punti che diano valore aggiunto ai livelli di sicurezza attesi, se non il condivisibile obbligo, per l’organizzazione, di reagire tempestivamente agli eventi che abbiano attitudine a generare inconvenienti o incidenti di safety operativa.
E, a complicare questo quadro, vi è anche la scelta di sviluppare per il Regolamento PART-IS anche un ponderoso insieme di “linee guida” e “Acceptable Means of Compliance” (ossia modalità accettabili di conformità” che, attraverso le Decisioni di Esecuzione EASA 2023/008R, 2023/009R e 2023/010R, dettagliano le procedure tecniche, i requisiti e gli adempimenti di governance, management e auditing in materia di Information Security, obbligando ad una adozione sistemica lungo tutta la filiera.
E diremmo di più: guardando a fondo allo standard ISO 27001, all’allegato A ed ai controlli della norma ISO 27002 nelle edizioni vigenti, il Regolamento PART-IS appare come un approccio decisamente al ribasso.
Altro aspetto estremamente critico è il fatto che il legislatore europeo affida la responsabilità della vigilanza sull’attuazione di questa normativa essenzialmente all’Autorità dell’Aviazione civile (art. 6 del Regolamento 2023/203), creando non marginali questioni di sovrapposizione con altre normative, a partire, oggi, con il regime della Direttiva 2022/2555 NIS2 e, in Italia, con la stringente disciplina del Perimetro della Sicurezza Nazionale Cibernetica.
Quindi, a partire dal 16 ottobre 2026, si avrà un variegato patchwork nel quale le organizzazioni aeronautiche, a seconda della dimensione e dell’ambito di operatività, saranno soggette a diversi regimi afferenti alla sicurezza delle informazioni: tutte, alla disciplina del Regolamento di Esecuzione UE 2018/1985 (con le integrazioni del Regolamento di Esecuzione 2019/1583); tutte, incluse le organizzazioni di formazione, ad eccezione degli aeroporti minori e di altre marginali eccezioni, al Regolamento “basico” 2018/1139, nonché al Regolamento di Esecuzione 2022/203 PART-IS; un buon numero di soggetti rilevanti, al “Perimetro della Sicurezza Nazionale Cibernetica di cui al Decreto-legge 105/2019; un ampio novero – distinto tra soggetti essenziali ed importanti – alla disciplina della Direttiva NIS2, come recepita dal Decreto legislativo 138/2024.
Con diverse autorità di vigilanza: l’Agenzia per la Cibersicurezza Nazionale e l’ENAC e, in alcuni casi, anche la stessa EASA. E anche la stessa ENAC, poi, sarà obbligata a adottare un sistema di gestione della sicurezza delle informazioni, soggetto a vigilanza da parte dall’Agenzia europea.
E ancora, l’obbligo di conferire informazioni sugli incidenti di sicurezza ad autorità sovranazionali come EASA, parimenti previsto nei regolamenti “aviation”, potrebbe determinare non poche questioni in tema di gestione di informazioni classificate e a diffusione esclusiva, quando gli eventi di sicurezza possano avere una rilevanza per la sicurezza e la difesa nazionali, creandosi anche questioni di contrasto con le previsioni dell’articolo 4 del Trattato dell’Unione Europea, che riconosce la riserva di competenza nazionale per le questioni in queste delicate materie nelle quali si perimetra, ancor oggi, il pur liquido e variabile concetto di sovranità nazionale.
Una serena riflessione e una doverosa sospensione di giudizio
La progressiva integrazione tra safety e security nel settore aeronautico — come osservato, oggi rafforzata dalle più recenti normative europee e nazionali — evidenzia come la sicurezza delle informazioni sia diventata un cardine indispensabile per la tutela della vita, dell’incolumità pubblica e dell’essenza stessa dell’affidamento dei cittadini sul trasporto aereo.
I segnalati aspetti negativi del complicato intreccio regolatorio, che potranno essere certamente mitigati in sede di prudente applicazione, non devono mettere in secondo piano i molti aspetti pregevoli, a partire dalla significativa importanza assunta dalla sicurezza delle informazioni nel quadro dell’aviazione civile.
La disciplina, complessivamente considerata e con gli immensi caveat,impone un approccio sistemico, multidisciplinare, non più relegabile a singole funzioni o reparti, ma diffuso a livello di governance, processi operativi, formazione e auditing lungo l’intera filiera e per tutti gli attori coinvolti, inclusi le autorità regolatorie.
La compliance con gli standard ICAO e della disciplina europea sulla sicurezza delle informazioni nell’aviazione civile, l’allineamento con CER e NIS2, e l’obbligo di integrare nella gestione del rischio aeronautico anche le misure di Information Security, rappresentano una sfida strategica per il settore e un modello di riferimento per tutti i settori ad alta criticità, costituendo una delle frontiere più avanzate della protezione di valori costituzionali e della sicurezza pubblica.
Non resta che attendere, dunque, l’applicazione concreta di questo articolato edificio per poter comprendere se e in che misura esso porterà un effettivo innalzamento dei livelli di sicurezza. La vera sfida, dunque, non è la conformità formale, ma l’impegno a tradurre il sistema così profilato in una rivoluzione culturale, con l’obiettivo di rendere un reale servizio, in termini di sicurezza, ai cittadini.
[1] Regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio, del 4 luglio 2018, recante norme comuni nel settore dell’aviazione civile, che istituisce un’Agenzia dell’Unione europea per la sicurezza aerea e che modifica i regolamenti (CE) n. 2111/2005, (CE) n. 1008/2008, (UE) n. 996/2010, (UE) n. 376/2014 e le direttive 2014/30/UE e 2014/53/UE del Parlamento europeo e del Consiglio, e abroga i regolamenti (CE) n. 552/2004 e (CE) n. 216/2008 del Parlamento europeo e del Consiglio e il regolamento (CEE) n. 3922/91 del Consiglio
