A aviação civil europeia passou a ter de gerir o risco digital como parte da segurança operacional, mas o setor tem dificuldade em encontrar quem o faça. O alerta parte do Piaget, que lança a 16 de novembro um curso de especialização em cibersegurança aeronáutica, e coincide com dados da ENISA sobre a escassez de profissionais na União Europeia. O regulamento europeu Part-IS já se aplica a todo o setor e as autoridades estão a fiscalizar.
Resposta rápida: O Piaget defende que faltam profissionais que juntem cibersegurança e conhecimento aeronáutico, e abre um curso online sobre o tema a 16 de novembro de 2026. O Part-IS obriga as organizações de aviação a ter um sistema de gestão da segurança da informação, com datas de aplicação em outubro de 2025 e fevereiro de 2026. Na UE, 76% das organizações inquiridas pela ENISA têm dificuldade em recrutar especialistas. As entidades abrangidas devem confirmar o seu enquadramento e rever competências internas.
O que o Piaget anunciou
A formação chama-se Curso de Especialização em Cibersegurança Aeronáutica. As aulas arrancam a 16 de novembro de 2026 e prolongam-se até 14 de janeiro de 2027, sempre à distância. O horário é pós-laboral, com três fins de tarde por semana (segunda, quarta e quinta), entre as 18h00 e as 20h30.
Aeronaves, aeroportos, navegação aérea e drones compõem a parte técnica dos conteúdos, a que se juntam regulamentação, gestão do risco e resposta a incidentes, com um projeto prático no final. Quem tiver licenciatura ou experiência profissional relevante em aviação, engenharia, tecnologias de informação, defesa ou segurança pode candidatar-se.
Faltam, no entender da instituição, perfis que juntem a cibersegurança ao conhecimento dos sistemas aeronáuticos e do risco operacional. Trata-se da posição de uma entidade que vende formação nesta área, pelo que importa confrontá-la com dados independentes.
O que o Part-IS já exige
Dois regulamentos europeus formam o Part-IS, o Delegado (UE) 2022/1645 e o de Execução (UE) 2023/203, e ambos impõem um sistema de gestão da segurança da informação (SGSI) ligado aos objetivos de segurança da aviação. A aplicação foi faseada:
| Data | Entidades abrangidas | Base legal |
|---|---|---|
| 16 de outubro de 2025 | Organizações de projeto e de produção e operadores de aeródromo | Regulamento Delegado (UE) 2022/1645 |
| 22 de fevereiro de 2026 | Transportadoras aéreas, organizações de manutenção e de gestão da aeronavegabilidade, organizações de formação, prestadores de serviços de navegação aérea e de U-space, e autoridades de supervisão | Regulamento de Execução (UE) 2023/203 |
Incidentes significativos têm de chegar à autoridade competente em 72 horas, segundo um guia sobre o regulamento revisto em outubro de 2026. A fase de supervisão já começou, indica a IATA, com as autoridades a avaliarem os sistemas implementados nas suas ações de fiscalização.
Nas perguntas frequentes da EASA há um ponto relevante para equipas de TI. Quem já tem certificação ISO/IEC 27001 parte em vantagem, mas não fica automaticamente conforme, porque a segurança operacional da aviação tem de entrar na gestão do risco da organização. É esta ponte entre os dois mundos que exige o perfil híbrido de que o Piaget fala.
O que dizem os dados europeus
A escassez de talento está documentada no relatório NIS Investments 2025. Recrutar especialistas em cibersegurança é um problema para 76% das organizações inquiridas pela ENISA, e mantê-los nos quadros é-o para 71%. O inquérito ouviu 1 080 profissionais dos 27 Estados-Membros. Estes valores dizem respeito a todos os setores abrangidos pela diretiva, não apenas à aviação.
Quanto à ameaça, a ENISA coloca os transportes no segundo lugar entre os setores mais visados na UE, com 7,5% dos incidentes analisados. Mais de metade desses casos (58,4%) recaiu sobre o transporte aéreo. Os passageiros sentiram esse risco em setembro de 2025, quando um ataque de ransomware chegou ao MUSE, o software de check-in e embarque da Collins Aerospace.
O retrato não é só negativo. Nenhum outro modo de transporte atinge, na avaliação NIS360 da ENISA, o nível de maturidade da aviação, que subiu da banda moderada para a elevada.
A Comissão Europeia dedica uma secção à cibersegurança no relatório anual de 2024 sobre a segurança da aviação civil, datado de maio de 2026, onde associa a digitalização do setor a riscos crescentes. Circulam na imprensa totais anuais de incidentes atribuídos a este relatório. A Cibersegurança.PT não conseguiu confirmar esses valores no documento primário e, por isso, não os reproduz.
O que as organizações podem fazer agora
- Confirmar se a organização, ou uma parte dela com certificado EASA, está no âmbito do Part-IS e desde que data.
- Verificar se o SGSI existente inclui o impacto na segurança operacional, e não apenas a confidencialidade e a disponibilidade dos dados.
- Testar o circuito de reporte de incidentes à autoridade competente e os prazos associados.
- Mapear as competências em falta e decidir entre formar equipas internas, recrutar ou contratar apoio externo.
Porque importa em Portugal
Em Portugal, a supervisão da aviação civil cabe à ANAC, que é a interlocutora natural para o Part-IS. Em paralelo, o transporte aéreo é um dos setores de criticidade elevada da NIS2, transposta pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), cuja supervisão envolve o CNCS e a notificação de incidentes ao CERT.PT. Companhias aéreas, gestores aeroportuários e prestadores de navegação aérea podem, por isso, responder a dois regimes com exigências próximas mas não idênticas.
Quando um incidente expõe dados de passageiros ou de trabalhadores, acresce o RGPD e a notificação à CNPD. Para as PME da cadeia de fornecimento aeronáutica, como oficinas de manutenção, escolas de aviação e fornecedores de software, a pressão chega também por via contratual, através dos requisitos impostos pelos clientes regulados.
Perguntas frequentes
O que é o Part-IS?
É o quadro europeu de segurança da informação para a aviação civil, composto pelos Regulamentos (UE) 2022/1645 e 2023/203. Obriga as organizações abrangidas a gerir os riscos de segurança da informação que possam afetar a segurança da aviação.
Desde quando é obrigatório?
Desde 16 de outubro de 2025 para organizações de projeto e produção e operadores de aeródromo, e desde 22 de fevereiro de 2026 para as restantes entidades, incluindo transportadoras aéreas e organizações de manutenção.
A certificação ISO/IEC 27001 chega para cumprir?
Não por si só. A EASA considera os requisitos em grande parte alinhados, mas exige que a segurança operacional da aviação seja integrada na gestão do risco da organização.
Quando decorre o curso do Piaget?
De 16 de novembro de 2026 a 14 de janeiro de 2027, em formato online, com sessões às segundas, quartas e quintas-feiras, das 18h00 às 20h30.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Piaget, pela EASA, pela ENISA (NIS Investments 2025 e Threat Landscape 2025), pela Comissão Europeia e pela IATA.