1.

instituie o politică de securitate a informațiilor în care sunt prevăzute principiile generale ale autorității competente în ceea ce privește impactul potențial al riscurilor în materie de securitate a informațiilor asupra siguranței aviației;

2.

identifică și examinează riscurile în materie de securitate a informațiilor în conformitate cu punctul IS.AR.205;

3.

definește și implementează măsurile de tratare a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.AR.210;

4.

definește și implementează, în conformitate cu punctul IS.AR.215, măsurile necesare pentru detectarea evenimentelor de securitate a informațiilor, le identifică pe cele care sunt considerate incidente cu impact potențial asupra siguranței aviației, asigură un răspuns la respectivele incidente de securitate a informațiilor și se redresează în urma acestora;

5.

îndeplinește cerințele de la punctul IS.AR.220 când subcontractează altor organizații orice parte a activităților descrise la punctul IS.AR.200;

6.

îndeplinește cerințele în materie de personal de la punctul IS.AR.225;

7.

îndeplinește cerințele de păstrare a evidențelor de la punctul IS.AR.230;

8.

monitorizează îndeplinirea de către propria organizație a cerințelor din prezentul regulament și transmite persoanei menționate la punctul IS.AR.225 litera (a) feedback cu privire la constatări, pentru a asigura implementarea efectivă a măsurilor corective;

9.

protejează confidențialitatea oricăror informații pe care autoritatea competentă le-ar putea avea cu privire la organizații care fac obiectul supravegherii sale și a informațiilor primite prin intermediul sistemelor de raportare externă ale organizației, instituite în conformitate cu punctul IS.I.OR.230 din anexa II (partea IS.I.OR) la prezentul regulament și cu punctul IS.D.OR.230 din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645;

10.

notifică agenției schimbările care afectează capacitatea autorității competente de a-și executa sarcinile și de a-și îndeplini responsabilitățile definite în prezentul regulament;

11.

definește și pune în aplicare proceduri pentru transmiterea informațiilor pertinente, în funcție de necesități și într-un mod practic și rapid, pentru a ajuta alte autorități și agenții competente, precum și organizațiile supuse dispozițiilor prezentului regulament să efectueze evaluări eficace ale riscurilor în materie de securitate asociate activităților lor.

1.

activitățile, instalațiile și resursele autorității competente și serviciile pe care le operează, furnizează, primește sau menține autoritatea competentă;

2.

echipamentele, sistemele, datele și informațiile care contribuie la funcționarea elementelor menționate la subpunctul 1.

1.

să atribuie un nivel de risc în conformitate cu o clasificare predefinită stabilită de autoritatea competentă;

2.

să asocieze fiecare risc și nivelul său aferent cu elementul sau interfața corespunzătoare identificată în conformitate cu literele (a) și (b).

1.

când există o modificare a elementelor expuse unor riscuri în materie de securitate a informațiilor;

2.

când există o modificare a interfețelor dintre autoritatea competentă și alte organizații sau o modificare a riscurilor comunicate de celelalte organizații;

3.

când există o modificare a informațiilor sau a cunoștințelor utilizate pentru identificarea, analizarea și clasificarea riscurilor;

4.

când analiza incidentelor de securitate a informațiilor a permis desprinderea de învățăminte.

1.

să controleze circumstanțele care contribuie la apariția efectivă a scenariului de amenințare;

2.

să diminueze consecințele pentru siguranța aviației care sunt asociate materializării scenariului de amenințare;

3.

să evite riscurile.

1.

să identifice abaterile de la valorile de referință predeterminate ale performanței funcționale;

2.

să declanșeze avertizări pentru activarea unor măsuri de răspuns adecvate, în cazul oricărei abateri.

1.

să declanșeze reacția propriei organizației la avertizările menționate la litera (a) subpunctul 2 prin activarea unor resurse și planuri de acțiune predefinite;

2.

să limiteze răspândirea unui atac și să evite materializarea deplină a unui scenariu de amenințare;

3.

să controleze modul de defectare al elementelor afectate definite la punctul IS.AR.205 litera (a).

1.

să elimine situația care a cauzat incidentul sau să o limiteze la un nivel tolerabil;

2.

să restabilească starea de siguranță a elementelor afectate definite la punctul IS.AR.205 litera (a) în timpul de redresare definit în prealabil de propria organizație.

1.

să aibă drepturile statutare pentru accesarea deplină a resurselor necesare pentru ca autoritatea competentă să îndeplinească toate sarcinile prevăzute în prezentul regulament;

2.

să dețină delegarea de competențe necesară pentru îndeplinirea atribuțiilor primite;

1.

Autoritatea competentă trebuie să se asigure că următoarele evidențe sunt arhivate și trasabile:

2.

Evidențele menționate la subpunctul 1 punctul (i) se păstrează timp de cel puțin cinci ani de la data la care contractul a fost modificat sau reziliat.

3.

Evidențele menționate la subpunctul 1 punctele (ii) și (iii) se păstrează timp de cel puțin cinci ani.

4.

Evidențele menționate la subpunctul 1 punctul (iv) se păstrează până la reevaluarea respectivelor evenimente de securitate a informațiilor, efectuată cu o periodicitate definită în cadrul unei proceduri instituite de autoritatea competentă.

1.

Evidențele calificărilor și experienței personalului se păstrează atât timp cât persoana lucrează pentru autoritatea competentă și timp de cel puțin trei ani după ce persoana a părăsit autoritatea competentă.

2.

Membrii personalului trebuie să primească, la cerere, acces la evidențele personale. În plus, la cererea membrilor personalului, autoritatea competentă trebuie să le furnizeze acestora, la părăsirea autorității competente, o copie a evidențelor personale.

1.

instituie o politică de securitate a informațiilor în care sunt prevăzute principiile generale ale organizației în ceea ce privește impactul potențial al riscurilor în materie de securitate a informațiilor asupra siguranței aviației;

2.

identifică și examinează riscurile în materie de securitate a informațiilor în conformitate cu punctul IS.I.OR.205;

3.

definește și implementează măsurile de tratare a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.I.OR.210;

4.

implementează un sistem de raportare internă în materie de securitate a informațiilor în conformitate cu punctul IS.I.OR.215;

5.

definește și implementează, în conformitate cu punctul IS.I.OR.220, măsurile necesare pentru detectarea evenimentelor de securitate a informațiilor, le identifică pe cele care sunt considerate incidente cu impact potențial asupra siguranței aviației, cu excepția cazurilor permise conform punctului IS.I.OR.205 litera (e), asigură un răspuns la respectivele incidentele de securitate a informațiilor și se redresează în urma acestora;

6.

implementează măsurile care au fost notificate de autoritatea competentă ca reacție imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației;

7.

ia măsurile corespunzătoare, în conformitate cu punctul IS.I.OR.225, pentru abordarea constatărilor notificate de autoritatea competentă;

8.

implementează un sistem de raportare externă în conformitate cu punctul IS.I.OR.230, astfel încât autoritatea competentă să poată lua măsuri corespunzătoare;

9.

îndeplinește cerințele de la punctul IS.I.OR.235 când subcontractează altor organizații orice parte a activităților menționate la punctul IS.I.OR.200;

10.

îndeplinește cerințele în materie de personal stabilite la punctul IS.I.OR.240;

11.

îndeplinește cerințele de păstrare a evidențelor stabilite la punctul IS.I.OR.245;

12.

monitorizează îndeplinirea de către organizație a cerințelor din prezentul regulament și transmite managerului responsabil feedback cu privire la constatări, pentru a asigura implementarea efectivă a măsurilor corective;

13.

protejează, fără a aduce atingere cerințelor aplicabile în materie de raportare a incidentelor, confidențialitatea oricăror informații pe care organizația le-ar fi putut primi de la alte organizații, în funcție de nivelul de sensibilitate a informațiilor respective.

1.

activitățile, instalațiile și resursele organizației, precum și serviciile pe care le operează, furnizează, primește sau menține organizația;

2.

echipamentele, sistemele, datele și informațiile care contribuie la funcționarea elementelor enumerate la subpunctul 1.

1.

să atribuie un nivel de risc în conformitate cu o clasificare predefinită stabilită de organizație;

2.

să asocieze fiecare risc și nivelul său aferent cu elementul sau interfața corespunzătoare identificată în conformitate cu literele (a) și (b).

1.

când există o modificare a elementelor expuse unor riscuri în materie de securitate a informațiilor;

2.

când există o modificare a interfețelor dintre organizație și alte organizații sau o modificare a riscurilor comunicate de celelalte organizații;

3.

când există o modificare a informațiilor sau a cunoștințelor utilizate pentru identificarea, analizarea și clasificarea riscurilor;

4.

când analiza incidentelor de securitate a informațiilor a permis desprinderea de învățăminte.

1.

să controleze circumstanțele care contribuie la apariția efectivă a scenariului de amenințare;

2.

să diminueze consecințele asupra siguranței aviației care sunt asociate materializării scenariului de amenințare;

3.

să evite riscurile.

1.

să identifice care dintre evenimentele raportate în temeiul literei (a) sunt considerate incidente de securitate a informațiilor sau vulnerabilități cu impact potențial asupra siguranței aviației;

2.

să identifice cauzele și factorii determinanți ai incidentelor de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul 1 și să le abordeze în cadrul procesului de management al riscurilor în materie de securitate a informațiilor în conformitate cu punctele IS.I.OR.205 și IS.I.OR.220;

3.

să asigure o evaluare a tuturor informațiilor cunoscute și relevante legate de incidentele de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul 1;

4.

să asigure implementarea unei metode de distribuire internă a informațiilor, după caz.

1.

să identifice abaterile de la valorile de referință predeterminate ale performanței funcționale;

2.

să declanșeze avertizări pentru activarea unor măsuri de răspuns adecvate, în cazul oricărei abateri.

1.

să declanșeze reacția la avertizările menționate la litera (a) subpunctul 2 prin activarea unor resurse și planuri de acțiune predefinite;

2.

să limiteze răspândirea unui atac și să evite materializarea deplină a unui scenariu de amenințare;

3.

să controleze modul de defectare al elementelor afectate definite la punctul IS.I.OR.205 litera (a).

1.

să elimine situația care a cauzat incidentul sau să o limiteze la un nivel tolerabil;

2.

să asigure atingerea unei stări de siguranță a elementelor afectate definite la punctul IS.I.OR.205 litera (a) în timpul de redresare definit în prealabil de organizație.

1.

să identifice atât cauza sau cauzele profunde ale apariției neconformității, cât și factorii care contribuie la aceasta;

2.

să definească un plan de acțiuni corective;

3.

să demonstreze corectarea neconformității într-un mod considerat satisfăcător de către autoritatea competentă.

1.

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează o aeronavă ori un sistem sau o componentă asociată, organizația trebuie să raporteze acest lucru și titularului aprobării de proiect;

2.

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează un sistem sau element constitutiv utilizat de organizație, ea trebuie să raporteze acest lucru organizației responsabile cu proiectarea sistemului sau a elementului constitutiv.

1.

se transmite o notificare autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, de îndată ce organizația ia cunoștință de situație;

2.

se transmite un raport autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, cât mai curând posibil, însă fără a depăși 72 de ore de la momentul în care organizația a luat cunoștință de situație, în afara cazului în care circumstanțe excepționale împiedică acest lucru.

Raportul se întocmește în forma definită de autoritatea competentă și trebuie să conțină toate informațiile relevante despre situația de care a luat cunoștință organizația;

3.

se transmite autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv un raport de urmărire în care se oferă detalii privind acțiunile întreprinse sau pe care organizația intenționează să le întreprindă în urma incidentului, precum și privind acțiunile pe care organizația intenționează să le întreprindă pentru a preveni, în viitor, producerea unor incidente similare de securitate a informațiilor.

Raportul de urmărire se transmite de îndată ce au fost identificate respectivele acțiuni și se întocmește în forma definită de autoritatea competentă.

1.

să se asigure că sunt disponibile toate resursele necesare pentru a se asigura conformitatea cu cerințele prezentului regulament;

2.

să stabilească și să promoveze politica de securitate a informațiilor menționată la punctul IS.I.OR.200 litera (a) subpunctul 1;

3.

să demonstreze că are o înțelegere de bază a prezentului regulament.

1.

Organizația trebuie să se asigure că următoarele evidențe sunt arhivate și trasabile:

2.

Evidențele menționate la subpunctul 1 punctul (i) se păstrează timp de cel puțin cinci ani de la data la care aprobarea și-a pierdut valabilitatea.

3.

Evidențele menționate la subpunctul 1 punctul (ii) se păstrează timp de cel puțin cinci ani de la data la care contractul a fost modificat sau reziliat.

4.

Evidențele menționate la subpunctul 1 punctele (iii), (iv) și (v) se păstrează timp de cel puțin cinci ani.

5.

Evidențele menționate la subpunctul 1 punctul (vi) se păstrează până la reevaluarea respectivelor evenimente de securitate a informațiilor, efectuată cu o periodicitate definită în cadrul unei proceduri instituite de organizație.

1.

Evidențele calificărilor și experienței personalului se păstrează atât timp cât persoana lucrează pentru organizație și timp de cel puțin trei ani după ce persoana a părăsit organizația.

2.

Membrii personalului trebuie să primească, la cerere, acces la evidențele personale. În plus, la cererea membrilor personalului, organizația trebuie să le furnizeze acestora, la părăsirea organizației, o copie a evidențelor personale.

1.

o declarație semnată de managerul responsabil prin care se confirmă că organizația își va desfășura în permanență activitatea în conformitate cu prezenta anexă și cu MMSI. Dacă managerul responsabil nu este directorul general al organizației, declarația trebuie să fie contrasemnată de directorul general;

2.

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanei sau persoanelor definite la punctul IS.I.OR.240 literele (b) și (c);

3.

funcția, numele, atribuțiile, răspunderile, responsabilitățile și competența persoanei responsabile comune definite la punctul IS.I.OR.240 litera (d), dacă este cazul;

4.

politica de securitate a informațiilor instituită de organizație, astfel cum este menționată la punctul IS.I.OR.200 litera (a) subpunctul 1;

5.

o descriere generală a resurselor umane, din punctul de vedere al efectivelor și categoriilor, precum și a sistemului instituit pentru planificarea disponibilității personalului, astfel cum se prevede la punctul IS.I.OR.240;

6.

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanelor-cheie responsabile cu implementarea punctului IS.I.OR.200, inclusiv ale persoanei sau persoanelor responsabile cu funcția de monitorizare a conformității, menționată la punctul IS.I.OR.200 litera (a) subpunctul 12;

7.

o organigramă ilustrând liniile ierarhice conexe în materie de răspundere și responsabilitate pentru persoanele menționate la subpunctele 2 și 6;

8.

descrierea sistemului de raportare internă menționat la punctul IS.I.OR.215;

9.

procedurile în care se specifică modul în care organizația asigură conformitatea cu prezenta parte, în particular:

10.

informații detaliate referitoare la mijloace de conformare alternative aprobate în prezent.

1.

cererea se depune înainte să intervină modificarea respectivă, pentru a i se permite autorității competente să stabilească continuitatea conformității cu prezentul regulament și să modifice, dacă este necesar, certificatul organizației și condițiile de aprobare anexate acestuia;

2.

organizația trebuie să pună la dispoziția autorității competente toate informațiile solicitate pentru evaluarea modificării;

3.

modificarea se implementează numai după primirea unei aprobări oficiale din partea autorității competente;

4.

organizația trebuie să își desfășoare activitatea în condițiile stabilite de autoritatea competentă în timpul implementării modificărilor respective.

(a)

la punctul ARA.GEN.125 se adaugă următoarea literă (c):

(b)

după punctul ARA.GEN.135 se introduce punctul ARA.GEN.135A cu următorul text:

„ ARA.GEN.135A Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației

(c)

la punctul ARA.GEN.200 se adaugă litera (e) cu următorul text:

(d)

punctul ARA.GEN.205 se modifică după cum urmează:

(e)

la punctul ARA.GEN.300 se adaugă litera (g) cu următorul text:

(f)

după punctul ARA.GEN.330 se introduce punctul ARA.GEN.330A cu următorul text:

„ ARA.GEN.330A Modificări ale sistemului de management al securității informațiilor

(a)

după titlul 21.B.20 se introduce următorul titlu:

„21.B.20A Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației”;

(b)

titlul punctului 21.B.30 se înlocuiește cu următorul text:

„21.B.30 Atribuirea de sarcini”;

(c)

după titlul 21.B.240 se introduce următorul titlu:

„21.B.240A Modificări ale sistemului de management al securității informațiilor”;

(d)

după titlul 21.B.435 se introduce următorul titlu:

„21.B.435A Modificări ale sistemului de management al securității informațiilor”.

„(c)

Autoritatea competentă a statului membru furnizează agenției cât mai repede posibil informațiile semnificative din punctul de vedere al siguranței provenite din rapoartele de securitate a informațiilor pe care le-a primit în temeiul punctului IS.D.OR.230 din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645.”

(a)

Autoritatea competentă implementează un sistem de colectare, analizare și difuzare corespunzătoare a informațiilor referitoare la incidentele și vulnerabilitățile în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, care sunt raportate de organizații. Aceste activități se desfășoară în coordonare cu orice altă autoritate relevantă responsabilă cu securitatea informațiilor sau securitatea cibernetică în interiorul statului membru, pentru a se spori coordonarea și compatibilitatea sistemelor de raportare.

(b)

Agenția implementează un sistem pentru analizarea corespunzătoare a oricăror informații relevante semnificative din punctul de vedere al siguranței primite în conformitate cu punctul 21.B.15 litera (c) și pentru furnizarea fără întârzieri nejustificate către statele membre și Comisie a oricăror informații, inclusiv recomandări sau măsuri corective de întreprins, necesare pentru ca acestea să reacționeze în timp util la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației care implică produse, piese, echipamente neinstalate, persoane sau organizații supuse dispozițiilor Regulamentului (UE) 2018/1139 și ale actelor sale delegate și de punere în aplicare.

(c)

La primirea informațiilor menționate la literele (a) și (b), autoritatea competentă ia măsuri adecvate pentru abordarea impactului potențial al incidentului sau vulnerabilității în materie de securitate a informațiilor asupra siguranței aviației.

(d)

Măsurile luate în conformitate cu litera (c) se notifică imediat tuturor persoanelor sau organizațiilor care trebuie să le respecte în temeiul Regulamentului (UE) 2018/1139 și al actelor sale delegate și de punere în aplicare. Autoritatea competentă din statul membru notifică aceste măsuri în egală măsură agenției și, atunci când sunt necesare acțiuni combinate, autorităților competente ale celorlalte state membre vizate.”

„(e)

În plus față de cerințele de la litera (a), sistemul de management instituit și menținut de autoritatea competentă trebuie să respecte anexa I (partea IS.AR) la Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.”

(a)

titlul se înlocuiește cu următorul text:

„21.B.30 Atribuirea de sarcini”;

(b)

se adaugă litera (c) cu următorul text:

„(g)

În ceea ce privește certificarea și supravegherea conformității organizației cu punctul 21.A.139A, în plus față de respectarea dispozițiilor de la literele (a)-(f), autoritatea competentă examinează orice aprobare acordată în temeiul punctului IS.I.OR.200 litera (e) din prezentul regulament sau al punctului IS.D.OR.200 litera (e) din Regulamentul delegat (UE) 2022/1645 în urma ciclului de audit de supraveghere aplicabil și ori de câte ori sunt implementate modificări ale domeniului de activitate al organizației.”

(a)

Pentru modificările gestionate și notificate autorității competente în conformitate cu procedura prevăzută la punctul IS.D.OR.255 litera (a) din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645, autoritatea competentă include examinarea acestor modificări în supravegherea sa continuă, în conformitate cu principiile stabilite la punctul 21.B.221. În cazul în care se constată o neconformitate, autoritatea competentă notifică acest lucru organizației, solicită modificări suplimentare și acționează în conformitate cu punctul 21.B.225.

(b)

Pentru alte modificări care necesită o cerere de aprobare în conformitate cu punctul IS.D.OR.255 litera (b) din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645:

„(d)

Pentru certificarea și supravegherea conformității organizației cu punctul 21.A.239A, în plus față de respectarea dispozițiilor de la literele (a)-(c), autoritatea competentă respectă următoarele principii:

(a)

Pentru modificările gestionate și notificate autorității competente în conformitate cu procedura prevăzută la punctul IS.D.OR.255 litera (a) din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645, autoritatea competentă include examinarea acestor modificări în supravegherea sa continuă, în conformitate cu principiile stabilite la punctul 21.B.431. În cazul în care se constată o neconformitate, autoritatea competentă notifică acest lucru organizației, solicită modificări suplimentare și acționează în conformitate cu punctul 21.B.433.

(b)

Pentru alte modificări care necesită o cerere de aprobare în conformitate cu punctul IS.D.OR.255 litera (b) din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645:

(a)

la punctul ARO.GEN.125 se adaugă litera (c) cu următorul text:

(b)

după punctul ARO.GEN.135 se introduce punctul ARO.GEN.135A cu următorul text:

„ARO.GEN.135A    Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației

(c)

la punctul ARO.GEN.200 se adaugă litera (e) cu următorul text:

(d)

punctul ARO.GEN.205 se modifică după cum urmează:

(e)

la punctul ARO.GEN.300 se adaugă litera (g) cu următorul text:

(f)

după punctul ARO.GEN.330 se introduce punctul ARO.GEN.330A cu următorul text:

„ARO.GEN.330A    Modificări ale sistemului de management al securității informațiilor

„(c)

Autoritatea competentă a statului membru furnizează agenției cât mai repede posibil informațiile semnificative din punctul de vedere al siguranței provenite din rapoartele de securitate a informațiilor pe care le-a primit în temeiul punctului IS.D.OR.230 din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645.”

(a)

Autoritatea competentă implementează un sistem de colectare, analizare și difuzare corespunzătoare a informațiilor referitoare la incidentele și vulnerabilitățile în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, care sunt raportate de organizații. Aceste activități se desfășoară în coordonare cu orice altă autoritate relevantă responsabilă cu securitatea informațiilor sau securitatea cibernetică în interiorul statului membru, pentru a se spori coordonarea și compatibilitatea sistemelor de raportare.

(b)

Agenția implementează un sistem pentru analizarea corespunzătoare a oricăror informații relevante semnificative din punctul de vedere al siguranței primite în conformitate cu punctul ADR.AR.A.025 litera (c) și pentru furnizarea fără întârzieri nejustificate către statele membre și Comisie a oricăror informații, inclusiv recomandări sau măsuri corective de întreprins, necesare pentru ca acestea să reacționeze în timp util la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației care implică produse, piese, echipamente neinstalate, persoane sau organizații supuse dispozițiilor Regulamentului (UE) 2018/1139 și ale actelor sale delegate și de punere în aplicare.

(c)

La primirea informațiilor menționate la literele (a) și (b), autoritatea competentă ia măsuri adecvate pentru abordarea impactului potențial al incidentului sau vulnerabilității în materie de securitate a informațiilor asupra siguranței aviației.

(d)

Măsurile luate în conformitate cu litera (c) se notifică imediat tuturor persoanelor sau organizațiilor care trebuie să le respecte în temeiul Regulamentului (UE) 2018/1139 și al actelor sale delegate și de punere în aplicare. Autoritatea competentă din statul membru notifică aceste măsuri în egală măsură agenției și, atunci când sunt necesare acțiuni combinate, autorităților competente ale celorlalte state membre vizate.”

„(d)

În plus față de cerințele de la litera (a), sistemul de management instituit și menținut de autoritatea competentă trebuie să respecte anexa I (partea IS.AR) la Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.”

(i)

titlul se înlocuiește cu următorul text:

„ ADR.AR.B.010 Atribuirea de sarcini ”;

(ii)

se adaugă litera (c) cu următorul text:

„(f)

În ceea ce privește certificarea și supravegherea conformității organizației cu punctul ADR.OR.D.005A, în plus față de respectarea dispozițiilor de la literele (a)-(e), autoritatea competentă examinează orice aprobare acordată în temeiul punctului IS.I.OR.200 litera (e) din prezentul regulament sau al punctului IS.D.OR.200 litera (e) din Regulamentul delegat (UE) 2022/1645 în urma ciclului de audit de supraveghere aplicabil și ori de câte ori sunt implementate modificări ale domeniului de activitate al organizației.”

(a)

În ceea ce privește modificările gestionate și notificate autorității competente în conformitate cu procedura prevăzută la punctul IS.D.OR.255 litera (a) din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645, autoritatea competentă include examinarea acestor modificări în supravegherea sa continuă, în conformitate cu principiile stabilite la punctul ADR.AR.C.005. În cazul în care se constată o neconformitate, autoritatea competentă notifică acest lucru organizației, solicită modificări suplimentare și acționează în conformitate cu punctul ADR.AR.C.055.

(b)

În privința altor modificări care necesită o cerere de aprobare în conformitate cu punctul IS.D.OR.255 litera (b) din anexa (partea IS.D.OR) la Regulamentul delegat (UE) 2022/1645:

(a)

cuprinsul se modifică după cum urmează:

(b)

după punctul 145.A.200 se introduce punctul 145.A.200A cu următorul text:

„145.A.200A    Sistemul de management al securității informațiilor

Pe lângă sistemul de management menționat la punctul 145.A.200, organizația de întreținere instituie, implementează și menține un sistem de management al securității informațiilor în conformitate cu Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.”;

(c)

la punctul 145.B.125 se adaugă litera (c) cu următorul text:

(d)

după punctul 145.B.135 se introduce punctul 145.B.135A cu următorul text:

„145.B.135A    Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației

(e)

la punctul 145.B.200 se adaugă litera (e) cu următorul text:

(f)

punctul 145.B.205 se modifică după cum urmează:

(g)

la punctul 145.B.300 se adaugă litera (g) cu următorul text:

(h)

după punctul 145.B.330 se introduce punctul 145.B.330A cu următorul text:

„145.B.330A    Modificări ale sistemului de management al securității informațiilor

(a)

în cuprins, după titlul 66.B.10 se introduce următorul titlu:

(b)

după punctul 66.B.10 se introduce punctul 66.B.15 cu următorul text:

„66.B.15    Sistemul de management al securității informațiilor

Autoritatea competentă instituie, implementează și menține un sistem de management al securității informațiilor în conformitate cu anexa I (partea IS.AR) la Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.”

(a)

cuprinsul se modifică după cum urmează:

(b)

după punctul CAMO.A.200 se introduce punctul CAMO.A.200A cu următorul text:

„CAMO.A.200A    Sistemul de management al securității informațiilor

Pe lângă sistemul de management menționat la punctul CAMO.A.200, organizația instituie, implementează și menține un sistem de management al securității informațiilor în conformitate cu Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.”;

(c)

la punctul CAMO.B.125 se adaugă litera (c) cu următorul text:

(d)

după punctul CAMO.B.135 se introduce punctul CAMO.B.135A cu următorul text:

„CAMO.B.135A    Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației

(e)

la punctul CAMO.B.200 se adaugă litera (e) cu următorul text:

(f)

punctul CAMO.B.205 se modifică după cum urmează:

(g)

la punctul CAMO.B.300 se adaugă litera (g) cu următorul text:

(h)

după punctul CAMO.B.330 se introduce punctul CAMO.B.330A cu următorul text:

„CAMO.B.330A    Modificări ale sistemului de management al securității informațiilor

(a)

la punctul ATCO.AR.A.020 se adaugă litera (c) cu următorul text:

(b)

după punctul ATCO.AR.A.025 se introduce punctul ATCO.AR.A.025A cu următorul text:

„ATCO.AR.A.025A    Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației

(c)

la punctul ATCO.AR.B.001 se adaugă litera (e) cu următorul text:

(d)

punctul ATCO.AR.B.005 se modifică după cum urmează:

(e)

la punctul ATCO.AR.C.001 se adaugă litera (f) cu următorul text:

(f)

după punctul ATCO.AR.E.010 se introduce punctul ATCO.AR.E.010A cu următorul text:

„ATCO.AR.E.010A    Modificări ale sistemului de management al securității informațiilor

(a)

la punctul ATM/ANS.AR.A.020 se adaugă litera (c) cu următorul text:

(b)

după punctul ATM/ANS.AR.A.025 se introduce punctul ATM/ANS.AR.A.025A cu următorul text:

„ ATM/ANS.AR.A.025A Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației

(c)

la punctul ATM/ANS.AR.B.001 se adaugă litera (e) cu următorul text:

(d)

punctul ATM/ANS.AR.B.005 se modifică după cum urmează:

(e)

la punctul ATM/ANS.AR.C.010 se adaugă litera (d) cu următorul text:

(f)

după punctul ATM/ANS.AR.C.025 se introduce punctul ATM/ANS.AR.C.025A cu următorul text:

„ ATM/ANS.AR.C.025A Modificări ale sistemului de management al securității informațiilor

(a)

după punctul ATM/ANS.OR.B.005 se introduce punctul ATM/ANS.OR.B.005A cu următorul text:

„ ATM/ANS.OR.B.005A Sistemul de management al securității informațiilor

Pe lângă sistemul de management menționat la punctul ATM/ANS.OR.B.005, furnizorul de servicii instituie, implementează și menține un sistem de management al securității informațiilor în conformitate cu Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.”;

(b)

punctul ATM/ANS.OR.D.010 se înlocuiește cu următorul text:

„ ATM/ANS.OR.D.010 Managementul securității