Durchführungsverordnung (EU) 2023/2117 der Kommission vom 12. Oktober 2023 zur Festlegung der für die Funktionsweise und die Verwaltung des Informationsspeichers nach der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates erforderlichen Vorschriften und detaillierten Anforderungen

Die Durchführungsverordnung (EU) 2023/2117 ist eine unmittelbar geltende Verordnung und konkretisiert als Durchführungsrechtsakt auf Grundlage von Artikel 74 Absatz 8 der Verordnung (EU) 2018/1139 die technischen und organisatorischen Vorgaben für den dort vorgesehenen „Informationsspeicher“. Systematisch ist sie dem EU-Luftfahrtsicherheitsrecht (Grundverordnung 2018/1139) nachgeordnet und regelt verbindlich Aufbau (zentrale Datenbank, Kommunikationsinfrastruktur, Schnittstellen), Betrieb/Verwaltung durch die Agentur, Informationsformate und -kategorien (Anhang I), Klassifizierung (Anhang II), Zugriffs- und Protokollierungsanforderungen sowie Sicherheitsmanagement. Zusätzlich ordnet sie die Datenschutzrollen (gemeinsame Verantwortlichkeit; zugleich alleinige Verantwortlichkeit in eigenen Systemen), Melde- und Kooperationspflichten bei Vorfällen, Speicherfristen (grundsätzlich max. 10 Jahre ab Ablauf des Dokuments) und Möglichkeiten der Archivierung zu Flugsicherheits- und Forschungszwecken. Der zeitliche Geltungsrahmen ist gestuft: Inkrafttreten 20 Tage nach Veröffentlichung am 13.10.2023 (damit am 02.11.2023), Anwendung von Kapitel I und II ab 01.04.2025 sowie stufenweise Anwendung der Objektanforderungen ab 01.01.2027 bis 01.01.2029. • Der Anwendungsbereich erfasst als „befugte Nutzer“ die Kommission, die Agentur der Europäischen Union für Flugsicherheit, zuständige nationale Behörden sowie nationale Stellen zur Untersuchung von Unfällen und Störungen; deren befugtes Personal erhält nur nach dokumentierten Verfahren und abhängig von Privatsphäre-/Vertraulichkeitsmerkmalen Zugriff. Nationale flugmedizinische Sachverständige und flugmedizinische Zentren greifen nicht unmittelbar zu, sondern über ihre zuständigen nationalen Behörden. „Interessierte Parteien“ (u. a. EU-/Mitgliedstaatenbehörden, betroffene natürliche/juristische Personen, qualifizierte Stellen) können Informationen nur auf Antrag und nur zweckgebunden erhalten, ohne Zugang zum gesamten Speicher und grundsätzlich ohne personenbezogene Daten, außer soweit zwingend erforderlich. Ausnahmeregelungen bestehen insbesondere für verhältnismäßige, zeitlich begrenzte Beschränkungen von Betroffenenrechten bei laufenden Untersuchungen/Verfahren bzw. IT-Sicherheitsuntersuchungen. • In der Praxis entsteht ein EU-weit einheitlicher Daten- und Kommunikationsrahmen für Zertifizierungs-, Aufsichts- und Durchsetzungsinformationen (z. B. Lizenzen, Zeugnisse, Tauglichkeitsdaten) mit API-gestützter Systemanbindung, verpflichtender Protokollierung und abgestufter Informationsklassifizierung. Organisationen müssen Zugriffsberechtigungen, Schulungen, Sicherheitsmanagement (inkl. Notfall-/Wiederanlaufplänen) und Löschroutinen entlang der 10-Jahres-Frist ab Dokumentablauf operationalisieren. Die Einführung erfolgt gestaffelt (01.04.2025; 01.01.2027/2028/2029), wodurch Migrations- und Parallelbetriebsphasen einzuplanen sind.

Stand: 20.03.2026