 2026/1821 amplía la notificación obligatoria de sucesos a drones, U-space e incidentes de seguridad de la información.){kind=link}
La lista europea de sucesos de notificación obligatoria incorpora por primera vez los incidentes de seguridad de la información, las operaciones con aeronaves no tripuladas y los sucesos propios del U-space. Lo hace el Reglamento de Ejecución (UE) 2026/1821, adoptado el 27 de julio de 2026 y en vigor desde el 17 de agosto de 2026, que también retira de la obligación de notificar determinados sucesos de seguridad física. El cambio afecta de lleno a los proveedores de servicios de navegación aérea, porque el comportamiento anómalo de un sistema por un incidente informático pasa a ser materia notificable como cualquier otra.
El texto es el Reglamento de Ejecución (UE) 2026/1821 de la Comisión, de 27 de julio de 2026, que modifica el Reglamento de Ejecución (UE) 2015/1018, la norma que clasifica los sucesos de la aviación civil que deben notificarse de forma obligatoria. Según la ficha de la Agencia de la Unión Europea para la Seguridad Aérea (European Union Aviation Safety Agency, EASA), la modificación se refiere a los sistemas de aeronaves no tripuladas (Unmanned Aircraft Systems, UAS), a los sucesos de U-space, a los sucesos de la parte IS (Part-IS, seguridad de la información) y a la retirada de ciertos sucesos de seguridad física del ámbito de notificación obligatoria.
La norma modificada se inserta en el marco del Reglamento (UE) n.º 376/2014, que es el que establece el sistema europeo de notificación, análisis y seguimiento de sucesos y el principio de cultura justa (Just Culture). El Reglamento 2015/1018 no crea la obligación de notificar: concreta qué hechos entran en ella. De ahí que una modificación de sus anexos amplíe, en la práctica, el perímetro de lo que una dependencia o un proveedor debe comunicar a su autoridad nacional.
La seguridad de la información entra en la lista de sucesos notificables
El elemento con mayor recorrido para el ámbito ATM es la incorporación de los sucesos de Part-IS. La redacción obliga a notificar el «comportamiento anómalo de un sistema debido a un incidente de seguridad de la información», y cita expresamente como ejemplos la información o los datos comprometidos, la infección por programas maliciosos y los ataques de denegación de servicio distribuido (Distributed Denial of Service, DDoS).
Ese enunciado tiene una consecuencia práctica poco llamativa pero real: el criterio de notificación deja de depender de que el incidente informático haya tenido consecuencias operativas evidentes y pasa a apoyarse en el comportamiento anómalo del sistema. En una dependencia de control, esa diferencia separa el episodio que se resuelve internamente del que genera un registro formal ante la autoridad.
Trece bloques de categorías y un perímetro que se amplía hacia el U-space
De acuerdo con el análisis publicado por Unmanned Airspace, el nuevo material se organiza en trece bloques de categorías que recorren la planificación del vuelo y la preparación del UAS, el despegue y el aterrizaje, todas las fases de vuelo, las operaciones de UAS con ocupantes, los sistemas técnicos, la propulsión, la interacción con la gestión del tránsito aéreo y los servicios de navegación aérea (Air Traffic Management / Air Navigation Services, ATM/ANS), las emergencias, los factores ambientales, las operaciones de U-space y los incidentes de seguridad de la información.
| Elemento | Dato verificado |
|---|---|
| Norma | Reglamento de Ejecución (UE) 2026/1821 |
| Norma modificada | Reglamento de Ejecución (UE) 2015/1018 |
| Marco general | Reglamento (UE) n.º 376/2014 |
| Fecha de adopción | 27 de julio de 2026 |
| Entrada en vigor | 17 de agosto de 2026 |
| Ámbitos añadidos | UAS, U-space, Part-IS |
| Ámbito retirado | Determinados sucesos de seguridad física |
La incorporación de la categoría de U-space alcanza a los proveedores de servicios de U-space (U-space Service Providers, USSP) y a los proveedores del servicio común de información. Es un perímetro nuevo de notificantes que se suma al existente y que, con el tiempo, alimentará la misma base europea de sucesos que ya recibe la notificación procedente de los servicios de tránsito aéreo.
Qué cambia para el notificante y qué no cambia en absoluto
Conviene ser preciso con el alcance. El Reglamento 2026/1821 amplía la lista de hechos notificables; no modifica las garantías del notificante, que siguen residiendo en el Reglamento 376/2014 y en su artículo dedicado a la protección de la fuente de información.
Lo que sí se desplaza es la carga de procedimiento. La autoridad italiana de aviación civil, ENAC, recordó a sus operadores que los sucesos cubiertos por la nueva norma deben notificarse a la autoridad nacional correspondiente y les recomendó «revisar o desarrollar sus procedimientos internos» para cumplirla. Es la misma tarea que, en España, corresponde encajar a los proveedores certificados en sus sistemas de gestión.
Lo que la documentación consultada todavía no aclara
Las fuentes consultadas no permiten fijar la fecha de publicación en el Diario Oficial ni confirmar si existe un régimen transitorio distinto de la entrada en vigor del 17 de agosto de 2026 para alguna de las categorías nuevas. Tampoco concretan cuáles son exactamente los sucesos de seguridad física que salen de la obligación de notificar, un punto que solo puede determinarse cotejando los anexos derogados con los vigentes.
No consta, a día de hoy, pronunciamiento público de la Agencia Estatal de Seguridad Aérea (AESA) sobre la adaptación del sistema español de notificación a esta modificación. El siguiente hito a vigilar es precisamente ese: la traslación del nuevo listado a las plantillas y sistemas de notificación nacionales, y la eventual actualización del material de orientación de la EASA. Hasta que eso ocurra, la referencia obligada sigue siendo el texto consolidado del Reglamento 2015/1018.