La adaptación al marco europeo de ciberseguridad introduce un giro determinante en la gestión del empleo y la cualificación técnica. Las empresas de la aviación civil y sus subcontratas afrontan un riesgo de inhabilitación legal u operativa inmediata si no adaptan de forma urgente sus estructuras organizativas a los nuevos estándares europeos de ciberseguridad.
La publicación del Reglamento de Ejecución (UE) 2026/2031 de la Comisión, de 11 de septiembre de 2026 (el cual modifica el Reglamento de Ejecución (UE) 2017/373) impone la integración obligatoria de la ciberseguridad en las actividades operativas y contratadas por los proveedores de servicios de gestión del tránsito aéreo y navegación aérea (CNAE 51 y 52.23). La implantación del estándar Part-IS altera de forma directa el mercado laboral del transporte aéreo, endurece los requisitos de competencia del personal y reconfigura el régimen de responsabilidad en la externalización de servicios.
1. Reconfiguración de la estructura de plantilla y nuevas figuras obligatorias
La obligación de desplegar un Sistema de Gestión de la Seguridad de la Información (ISMS) fuerza a los proveedores y a sus contratas principales a modificar sus organigramas mediante la incorporación preceptiva de perfiles técnicos y directivos:
- Responsable de Seguridad de la Información (Information Security Manager): Posición directiva con responsabilidad legal directa ante la Agencia Estatal de Seguridad Aérea (AESA) y las autoridades de aviación civil.
- Analistas de Ciberseguridad y Auditores Internos: Roles orientados a la monitorización continua de las redes de navegación, gestión de vulnerabilidades y auditoría de proveedores externos.
2. Formación obligatoria y modificación del estándar de competencia
El reglamento exige que todo el personal involucrado en infraestructuras críticas y sistemas de información acredite una formación, competencia y cualificación específicas.
- Requisito Habilitante: Para los profesionales de Tecnologías de la Información (TI) y el personal ATSEP (Air Traffic Safety Electronics Personnel), la ciberseguridad deja de ser una especialización optativa y se convierte en un requisito legal de competencia obligatoria para el mantenimiento del puesto de trabajo.
- Evaluación Continua Documentada: Las empresas del sector deben formalizar programas permanentes de capacitación, sometidos a evaluación periódica y auditables ante las autoridades del sector.
3. Endurecimiento de las condiciones de contratación externa (Subcontratas)
Bajo las restricciones del punto ATM/ANS.OR.B.015 y las exigencias de integración del punto ATM/ANS.OR.B.016, la externalización de servicios técnicos, desarrollo de software y mantenimiento informático queda condicionada a un estricto control de seguridad:
- Habilitación de Seguridad (Background Checks): Los trabajadores de empresas contratistas externas quedan sujetos a procesos intensivos de verificación personal de seguridad para acceder a los entornos operativos.
- Exclusión de Proveedores No Certificados: Las firmas tecnológicas que no acrediten la alineación de sus plantillas con los estándares Part-IS quedan legalmente inhabilitadas para prestar servicios esenciales. Asimismo, el personal de contratas auxiliares debe quedar plenamente integrado bajo el control operativo y sistema de gestión del proveedor principal mediante contrato formal.
4. Responsabilidad legal
El nuevo marco legal equipara normativamente las brechas informáticas a riesgos directos para la seguridad operacional (safety). Esta elevación de estándar traslada un doble impacto jurídico:
- Para la Empresa: Asume la responsabilidad administrativa directa ante AESA por las infracciones cometidas en sus sistemas, obligándola a ejercer un estricto deber de control (in vigilando) sobre sus empleados y contratas.
- Para el Personal Técnico: La negligencia grave en la gestión de incidentes o la omisión de los protocolos de documentación de software expone al trabajador a expedientes disciplinarios graves (pudiendo justificar el despido procedente), así como a eventuales responsabilidades penales o civiles individuales si el fallo compromete la seguridad aérea, eliminando cualquier margen de informalidad en la operativa diaria.
5. Emergencia de Centros de Operaciones de Seguridad (SOC)
La exigencia de supervisión en tiempo real (24/7) de los sistemas de radar y torres de control impulsa la creación de Centros de Operaciones de Seguridad (SOC) especializados, incrementando la demanda de perfiles técnicos mixtos que aúnen ingeniería de telecomunicaciones y ciberseguridad.
El cumplimiento de los nuevos requisitos de la Part-IS exige revisar la adecuación de las cláusulas contractuales, los programas de formación obligatoria y las condiciones de externalización de servicios técnicos. En LEX AGREEMENT prestamos asesoramiento jurídico especializado en la articulación de planes de compliance laboral y la gestión de la responsabilidad legal en sectores altamente regulados.