„е)

въвежда и поддържа система за управление на сигурността в съответствие с точка ATM/ANS.OR.D.010 от подчаст Г на приложение III към Регламент за изпълнение (ЕС) 2017/373 и система за управление на информационната сигурност в съответствие с приложение II (част IS.I.OR) към Регламент за изпълнение (ЕС) 2023/203.“;

„л)

създава, въвежда и поддържа система за управление на информационната сигурност в съответствие с приложение I (част IS.AR) към Регламент за изпълнение (ЕС) 2023/203.“;

1.

установява политика за информационна сигурност, която определя общите принципи на компетентния орган по отношение на потенциалното въздействие на рисковете за информационната сигурност върху авиационната безопасност;

2.

установява и преглежда рисковете за информационната сигурност в съответствие с точка IS.AR.205;

3.

определя и прилага мерки за третиране на риска за информационната сигурност в съответствие с точка IS.AR.210;

4.

определя и прилага, в съответствие с точка IS.AR.215, необходимите мерки за откриване на събития, свързани с информационната сигурност, идентифицира тези събития, които се считат за инциденти с потенциално въздействие върху авиационната безопасност, реагира на тези инциденти, свързани с информационната сигурност, и се възстановява от тях;

5.

спазва изискванията, съдържащи се в точка IS.AR.220, когато възлага на други организации която и да е част от дейностите, описани в точка IS.AR.200;

6.

спазва изискванията по отношение на персонала, съдържащи се в точка IS.AR.225;

7.

спазва изискванията за водене на документация, съдържащи се в точка IS.AR.230;

8.

наблюдава съответствието на собствената си организация с изискванията на настоящия регламент и предоставя обратна информация относно констатациите на лицето, посочено в точка IS.AR.225, буква а), за да се гарантира ефективното изпълнение на коригиращите действия;

9.

защитава поверителността на всякаква информация, с която компетентният орган може да разполага във връзка с организациите, подлежащи на неговия надзор, и на информацията, получена чрез схемите за външно докладване на организацията, създадени в съответствие с точка IS.I.OR.230 от приложение II (част IS.I.OR) към настоящия регламент и точка IS.D.OR.230 от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645;

10.

уведомява Агенцията за промени, които засягат способността на компетентния орган да изпълнява своите задачи и задължения, както е определено в настоящия регламент;

11.

определя и прилага процедури за обмен, по целесъобразност и по практичен и навременен начин, на относима информация с цел подпомагане на други компетентни органи и агенции, както и на организациите, за които се прилага настоящият регламент, да извършват ефективни оценки на риска за сигурността във връзка с техните дейности.

1.

дейностите, съоръженията и ресурсите на компетентния орган, както и услугите, които компетентният орган експлоатира, предоставя, получава или поддържа;

2.

оборудването, системите, данните и информацията, които допринасят за функционирането на елементите, посочени в точка 1.

1.

определя нивото на риска съгласно предварително определена класификация, възприета от него;

2.

свързва всеки риск и неговото ниво със съответния елемент или връзка, установени в съответствие с букви а) и б).

1.

когато има промяна в елементите, които са изложени на рискове за информационната сигурност;

2.

когато има промяна във връзките между организацията на компетентния орган и други организации или в рисковете, съобщени от другите организации;

3.

когато има промяна в информацията или знанията, използвани за установяване, анализ и класификация на рисковете;

4.

когато са извлечени поуки от анализа на инцидентите, свързани с информационната сигурност.

1.

да контролира обстоятелствата, които допринасят за действителното възникване на сценария за заплаха;

2.

да смекчава последиците за авиационната безопасност, свързани с реализирането на сценария за заплаха;

3.

да избягва рисковете.

1.

да установява отклонения от предварително определени базови стойности на функционалните показатели;

2.

да задейства предупреждения за начало на подходящи мерки за реагиране в случай на отклонение.

1.

да започне да реагира на предупрежденията на собствената си организация, посочени в буква а), подточка 2, като активира предварително определени ресурси и начин на действие;

2.

да ограничи разрастването на атаката и да избегне пълното реализиране на сценария за заплаха;

3.

да контролира режима на неизправност на засегнатите елементи, определени в точка IS.AR.205, буква а).

1.

да отстрани състоянието, което е причинило инцидента, или да го ограничи до допустимо ниво;

2.

да възстанови безопасното състояние на засегнатите елементи, определени в точка IS.AR.205, буква а), в рамките на период на възстановяване, определен предварително от собствената му организация.

1.

има правомощия за пълен достъп до ресурсите, необходими на компетентния орган за изпълнение на всички задачи, изисквани от настоящия регламент;

2.

има делегирани правомощия, необходими за изпълнение на възложените му задължения.

1.

Компетентният орган гарантира, че следните записи са архивирани и проследими:

2.

Документацията, посочена в подточка 1, i), се съхранява най-малко 5 години след изменението или прекратяването на договора.

3.

Записите, посочени в подточка 1, ii) и iii), се съхраняват най-малко за срок от 5 години.

4.

Записите, посочени в подточка 1, iv), се съхраняват, докато конкретните събития, свързани с информационната сигурност, бъдат преразгледани в съответствие с периодичността, определена в установена от компетентния орган процедура.

1.

Данните за квалификацията и опита на персонала се съхраняват, докато лицето работи за компетентния орган, и в продължение на най-малко 3 години след напускането му.

2.

По тяхно искане членовете на персонала получават достъп до личните си досиета. Освен това — при поискване от тяхна страна — компетентният орган им предоставя копие от личните им досиета при напускане на компетентния орган.

1.

установява политика за информационна сигурност, която определя общите принципи на организацията по отношение на потенциалното въздействие на рисковете за информационната сигурност върху авиационната безопасност;

2.

установява и преглежда рисковете за информационната сигурност в съответствие с точка IS.I.OR.205;

3.

определя и прилага мерки за третиране на риска за информационната сигурност в съответствие с точка IS.I.OR.210;

4.

прилага схема за вътрешно докладване във връзка с информационната сигурност в съответствие с точка IS.I.OR.215;

5.

определя и прилага — в съответствие с точка IS.I.OR.220 — необходимите мерки за откриване на събития, свързани с информационната сигурност, установява тези събития, които се считат за инциденти с потенциално въздействие върху авиационната безопасност, с изключение на разрешеното по точка IS.I.OR.205, буква д), реагира на тези инциденти, свързани с информационната сигурност, и се възстановява от тях;

6.

изпълнява мерките, за които компетентният орган е уведомил, като незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност;

7.

предприема подходящи действия в съответствие с точка IS.I.OR.225 за отстраняване на констатациите, за които компетентният орган я е информирал;

8.

прилага схема за външно докладване в съответствие с точка IS.I.OR.230, за да се даде възможност на компетентния орган да предприеме подходящи действия;

9.

отговаря на изискванията, съдържащи се в точка IS.I.OR.235, когато възлага на други организации която и да е част от дейностите, посочени в точка IS.I.OR.200;

10.

отговаря на изискванията по отношение на персонала, определени в точка IS.I.OR.240;

11.

отговаря на изискванията за водене на документация, определени в точка IS.I.OR.245;

12.

наблюдава съответствието на организацията с изискванията на настоящия регламент и предоставя обратна информация относно констатациите на отговорния ръководител, за да се гарантира ефективното изпълнение на коригиращите действия;

13.

без да се засягат приложимите изисквания за докладване на инциденти, защитава поверителността на всяка информация, която организацията може да е получила от други организации, в съответствие с нейната степен на поверителност.

1.

дейностите, съоръженията и ресурсите на организацията, както и услугите, които организацията експлоатира, предоставя, получава или поддържа;

2.

оборудването, системите, данните и информацията, които допринасят за функционирането на елементите, изброени в подточка 1.

1.

определя нивото на риска съгласно предварително определена класификация, възприета от организацията;

2.

свързва всеки риск и неговото ниво със съответния елемент или връзка, установени в съответствие с букви а) и б).

1.

когато има промяна в елементите, които са изложени на рискове за информационната сигурност;

2.

когато има промяна във връзките между организацията и други организации или в рисковете, съобщени от другите организации;

3.

когато има промяна в информацията или знанията, използвани за установяване, анализ и класификация на рисковете;

4.

когато са извлечени поуки от анализа на инцидентите, свързани с информационната сигурност.

1.

да контролира обстоятелствата, които допринасят за действителното възникване на сценария за заплаха;

2.

да смекчава последиците за авиационната безопасност, свързани с реализирането на сценария за заплаха;

3.

да избягва рисковете.

1.

да определя кои от събитията, докладвани съгласно буква а), се считат за инциденти или уязвимости, свързани с информационната сигурност, с потенциално въздействие върху авиационната безопасност;

2.

да разпознава причините за установените в съответствие с подточка 1 инциденти и уязвимости, свързани с информационната сигурност, както и факторите, допринасящи за тях, и — като част от процеса на управление на риска за информационната сигурност в съответствие с точки IS.I.OR.205 и IS.I.OR.220 — да ги отстранява;

3.

да осигурява оценка на цялата известна информация от значение за инцидентите и уязвимостите, свързани с информационната сигурност, установени в съответствие с подточка 1;

4.

да гарантира прилагането на метод за вътрешно разпространение на информацията, ако е необходимо.

1.

да установява отклонения от предварително определени базови стойности на функционалните показатели;

2.

да задейства предупреждения за начало на подходящи мерки за реагиране в случай на отклонение.

1.

да започне да реагира на предупрежденията, посочени в буква а), подточка 2, като активира предварително определени ресурси и начин на действие;

2.

да ограничи разрастването на атаката и да избегне пълното реализиране на сценария за заплаха;

3.

да контролира режима на неизправност на засегнатите елементи, определени в точка IS.I.OR.205, буква а).

1.

да отстрани състоянието, което е причинило инцидента, или да го ограничи до допустимо ниво;

2.

да достигне безопасно състояние на засегнатите елементи, определени в точка IS.I.OR.205, буква а), в рамките на период на възстановяване, определен предварително от организацията.

1.

установява причината или причините и факторите, които са допринесли за възникване на несъответствието;

2.

изготвя план с коригиращи действия;

3.

доказва отстраняването на несъответствието по удовлетворителен за компетентния орган начин.

1.

когато такъв инцидент или уязвимост засяга въздухоплавателно средство или свързана система или компонент, организацията докладва за това и на притежателя на одобрението на проекта;

2.

когато такъв инцидент или уязвимост засяга система или съставен елемент, използвани от организацията, тя докладва за това на организацията, отговорна за проектирането на системата или съставния елемент.

1.

на компетентния орган и, ако е приложимо, на притежателя на одобрението на проекта или на организацията, отговорна за проектирането на системата или съставния елемент, се изпраща уведомление веднага щом състоянието стане известно на организацията;

2.

на компетентния орган и, ако е приложимо, на притежателя на одобрението на проекта или на организацията, отговорна за проектирането на системата или съставния елемент, се представя доклад във възможно най-кратък срок, но не повече от 72 часа от момента, в който състоянието е станало известно на организацията, освен ако изключителни обстоятелства не попречат на това.

Докладът се изготвя във формата, определена от компетентния орган, и съдържа цялата информация от значение за състоянието, известна на организацията;

3.

на компетентния орган и, ако е приложимо, на притежателя на одобрението на проекта или на организацията, отговорна за проектирането на системата или съставния елемент, се представя доклад за последващите действия, в който се предоставят подробности за действията, които организацията е предприела или възнамерява да предприеме, за да се възстанови от инцидента, и действията, които възнамерява да предприеме, за да предотврати подобни инциденти, свързани с информационната сигурност в бъдеще.

Докладът за последващите действия се представя веднага след определянето на тези действия и се изготвя във формата, определена от компетентния орган.

1.

гарантира, че са налице всички необходими ресурси за спазване на изискванията на настоящия регламент;

2.

създава и популяризира политиката за информационна сигурност, посочена в точка IS.I.OR.200, буква а), подточка 1;

3.

показва основно разбиране на разпоредбите на настоящия регламент.

1.

Организацията гарантира, че следните записи са архивирани и проследими:

2.

Записите, посочени в подточка 1, i), се съхраняват най-малко 5 години след изтичане на валидността на одобрението.

3.

Документацията, посочена в подточка 1, ii), се съхранява най-малко 5 години след изменението или прекратяването на договора.

4.

Записите, посочени в подточка 1, iii), iv) и v), се съхраняват най-малко за срок от 5 години.

5.

Записите, посочени в подточка 1, vi), се съхраняват, докато конкретните събития, свързани с информационната сигурност, бъдат преразгледани в съответствие с периодичността, определена в установена от организацията процедура.

1.

Данните за квалификацията и опита на персонала се съхраняват, докато лицето работи за организацията, и в продължение на най-малко 3 години след напускането му.

2.

По тяхно искане членовете на персонала получават достъп до личните си досиета. Освен това — при поискване от тяхна страна — организацията им предоставя копие от личните им досиета при напускане на организацията.

1.

декларация, подписана от отговорния ръководител, в която се потвърждава, че организацията ще работи винаги в съответствие с настоящото приложение и с ISMM. Ако отговорният ръководител не е главният изпълнителен директор на организацията, този главен изпълнителен директор подписва декларацията;

2.

длъжността, имената, задълженията, отчетността, отговорностите и правомощията на лицето или лицата, определено/и в точка IS.I.OR.240, букви б) и в);

3.

длъжността, имената, задълженията, отчетността, отговорностите и правомощията на общото отговорно лице, определено в точка IS.I.OR.240, буква г), ако е приложимо;

4.

политиката за информационна сигурност на организацията, както е посочено в точка IS.I.OR.200, буква а), подточка 1;

5.

общо описание на броя и категориите персонал и на въведената система за планиране на наличния персонал съгласно изискванията на точка IS.I.OR.240;

6.

длъжността, имената, задълженията, отчетността, отговорностите и правомощията на ключовите лица, отговарящи за изпълнението на точка IS.I.OR.200, включително лицето или лицата, отговарящи за функцията по наблюдение на съответствието, посочена в точка IS.I.OR.200, буква а), подточка 12;

7.

органиграма, показваща свързаните вериги на отчетност и отговорност за лицата, посочени в подточки 2 и 6;

8.

описание на схемата за вътрешно докладване, посочена в точка IS.I.OR.215;

9.

процедурите, определящи начина, по който организацията гарантира спазването на настоящата част, и по-специално:

10.

данни за одобрените понастоящем алтернативни начини за постигане на съответствие.

1.

заявлението се подава преди извършването на такава промяна, за да се даде възможност на компетентния орган да установи дали се запазва съответствието с настоящия регламент и да измени, ако е необходимо, сертификата на организацията и съответните приложени към него условия на одобрението;

2.

организацията предоставя на компетентния орган всяка поискана от него информация за оценка на промяната;

3.

промяната се прилага само след получаване на официално одобрение от компетентния орган;

4.

организацията работи при условията, предписани от компетентния орган при прилагането на такива промени.

а)

в точка ARA.GEN.125 се добавя следната буква в):

б)

след точка ARA.GEN.135 се вмъква следната точка ARA.GEN.135А:

„ARA.GEN.135A Незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност

в)

в точка ARA.GEN.200 се добавя следната буква д):

г)

точка ARA.GEN.205 се изменя, както следва:

д)

в точка ARA.GEN.300 се добавя следната буква ж):

е)

след точка ARA.GEN.330 се вмъква следната точка ARA.GEN.330А:

„ARA.GEN.330A Промени в системата за управление на информационната сигурност

а)

след заглавие 21.Б.20 се вмъква следното заглавие:

„21.Б.20A Незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност“;

б)

заглавието на точка 21.Б.30 се заменя със следното:

„21.Б.30 Разпределение на задачите“;

в)

след заглавие 21.Б.240 се вмъква следното заглавие:

„21.Б.240A Промени в системата за управление на информационната сигурност“;

г)

след заглавие 21.Б.435 се вмъква следното заглавие:

„21.Б.435A Промени в системата за управление на информационната сигурност“;

„в)

Компетентният орган на държавата членка предоставя на Агенцията във възможно най-кратък срок значима за безопасността информация, произтичаща от докладите за информационната сигурност, които е получил съгласно точка IS.D.OR.230 от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645.“;

а)

Компетентният орган прилага система за подходящо събиране, анализиране и разпространяване на информация, свързана с инциденти и уязвимости в областта на информационната сигурност с потенциално въздействие върху авиационната безопасност, които са докладвани от организациите. Това се извършва в сътрудничество с всички други съответни органи, отговарящи за информационната сигурност или киберсигурността в държавата членка, за да се подобри координацията и съвместимостта на схемите за докладване.

б)

Агенцията прилага система за подходящ анализ на всяка значима за безопасността информация, получена в съответствие с точка 21.Б.15, буква в), и без неоправдано забавяне предоставя на държавите членки и на Комисията всякаква информация (включително препоръки или коригиращи действия, които трябва да бъдат предприети), необходима за своевременната им реакция при инцидент или уязвимост, свързани с информационната сигурност, с потенциално въздействие върху авиационната безопасност, включващи продукти, части, немонтирано оборудване, лица или организации, предмет на Регламент (ЕС) 2018/1139 и свързаните с него делегирани актове и актове за изпълнение.

в)

При получаване на информацията, посочена в букви а) и б), компетентният орган предприема адекватни мерки за справяне с потенциалното въздействие на инцидента или уязвимостта, свързани с информационната сигурност, върху авиационната безопасност.

г)

За мерките, предприети в съответствие с буква в), се съобщава незабавно на всички лица или организации, които ги изпълняват съгласно Регламент (ЕС) 2018/1139 и свързаните с него делегирани актове и актове за изпълнение. Компетентният орган на държавата членка съобщава тези мерки и на Агенцията, а когато са необходими съвместни действия — на компетентните органи на останалите засегнати държави членки.“;

„д)

В допълнение към изискванията, съдържащи се в буква а), системата за управление, създадена и поддържана от компетентния орган, е в съответствие с приложение I (част IS.АR) към Регламент за изпълнение (ЕС) 2023/203, за да се осигури правилното управление на рисковете за информационната сигурност, които може да окажат въздействие върху авиационната безопасност.“;

а)

заглавието се заменя със следното:

„21.Б.30 Разпределение на задачите“;

б)

добавя се следната буква в):

„ж)

По отношение на сертифицирането и надзора над съответствието на организацията с точка 21.A.139A, в допълнение към спазването на букви а)—е), компетентният орган преразглежда всяко одобрение, издадено съгласно точка IS.I.OR.200, буква д) от настоящия регламент или точка IS.D.OR.200, буква д) от Делегиран регламент (ЕС) 2022/1645, след приложимия цикъл на одит на надзора и всеки път, когато бъдат въведени промени в обхвата на дейностите на организацията.“;

а)

По отношение на промените, управлявани и съобщени на компетентния орган в съответствие с процедурата, посочена в точка IS.D.OR.255, буква а) от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645, компетентният орган включва прегледа на тези промени в своя продължаващ надзор в съответствие с принципите, изложени в точка 21.Б.221. Ако се установи несъответствие, компетентният орган уведомява организацията за това, изисква допълнителни промени и действа в съответствие с точка 21.Б.225.

б)

По отношение на други промени, за които се изисква заявление за одобрение в съответствие с точка IS.D.OR.255, буква б) от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645:

„г)

По отношение на сертифицирането и надзора над съответствието на организацията с точка 21.A.239A, в допълнение към съответствието с букви а)—в), компетентният орган трябва да спазва следните принципи:

а)

По отношение на промените, управлявани и съобщени на компетентния орган в съответствие с процедурата, посочена в точка IS.D.OR.255, буква а) от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645, компетентният орган включва прегледа на тези промени в своя продължаващ надзор в съответствие с принципите, изложени в точка 21.Б.431. Ако се установи несъответствие, компетентният орган уведомява организацията за това, изисква допълнителни промени и действа в съответствие с точка 21.Б.433.

б)

По отношение на други промени, за които се изисква заявление за одобрение в съответствие с точка IS.D.OR.255, буква б) от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645:

а)

в точка ARО.GEN.125 се добавя следната буква в):

б)

след точка ARО.GEN.135 се вмъква следната точка ARО.GEN.135А:

„ARО.GEN.135A    Незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност

в)

в точка ARО.GEN.200 се добавя следната буква д):

г)

точка ARO.GEN.205 се изменя, както следва:

д)

в точка ARО.GEN.300 се добавя следната буква ж):

е)

след точка ARО.GEN.330 се вмъква следната точка ARО.GEN.330А:

„ARO.GEN.330A    Промени в системата за управление на информационната сигурност

„в)

Компетентният орган на държавата членка предоставя на Агенцията във възможно най-кратък срок значима за безопасността информация, произтичаща от докладите за информационната сигурност, които е получил съгласно точка IS.D.OR.230 от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645.“;

а)

Компетентният орган прилага система за подходящо събиране, анализиране и разпространяване на информация, свързана с инциденти и уязвимости в областта на информационната сигурност с потенциално въздействие върху авиационната безопасност, които са докладвани от организациите. Това се извършва в сътрудничество с всички други съответни органи, отговарящи за информационната сигурност или киберсигурността в държавата членка, за да се подобри координацията и съвместимостта на схемите за докладване.

б)

Агенцията прилага система за подходящ анализ на всяка значима за безопасността информация, получена в съответствие с точка ADR.AR.A.025, буква в), и без неоправдано забавяне предоставя на държавите членки и на Комисията всякаква информация (включително препоръки или коригиращи действия, които трябва да бъдат предприети), необходима за своевременната им реакция при инцидент или уязвимост, свързани с информационната сигурност, с потенциално въздействие върху авиационната безопасност, включващи продукти, части, немонтирано оборудване, лица или организации, предмет на Регламент (ЕС) 2018/1139 и свързаните с него делегирани актове и актове за изпълнение.

в)

При получаване на информацията, посочена в букви а) и б), компетентният орган предприема подходящи мерки за справяне с потенциалното въздействие на инцидента или уязвимостта, свързани с информационната сигурност, върху авиационната безопасност.

г)

За мерките, предприети в съответствие с буква в), се съобщава незабавно на всички лица или организации, които ги изпълняват съгласно Регламент (ЕС) 2018/1139 и свързаните с него делегирани актове и актове за изпълнение. Компетентният орган на държавата членка съобщава тези мерки и на Агенцията, а когато са необходими съвместни действия — на компетентните органи на останалите засегнати държави членки.“;

„г)

В допълнение към изискванията, съдържащи се в буква а), системата за управление, създадена и поддържана от компетентния орган, е в съответствие с приложение I (част IS.АR) към Регламент за изпълнение (ЕС) 2023/203, за да се осигури правилното управление на рисковете за информационната сигурност, които може да окажат въздействие върху авиационната безопасност.“;

i)

заглавието се заменя със следното:

„ADR.AR.B.010 Разпределение на задачите“;

ii)

добавя се следната буква в):

„е)

По отношение на сертифицирането и надзора над съответствието на организацията с точка ADR.OR.D.005A, в допълнение към спазването на букви а)—д), компетентният орган преразглежда всяко одобрение, издадено съгласно точка IS.I.OR.200, буква д) от настоящия регламент или точка IS.D.OR.200, буква д) от Делегиран регламент (ЕС) 2022/1645, след приложимия цикъл на одит на надзора и всеки път, когато бъдат въведени промени в обхвата на дейностите на организацията.“;

а)

По отношение на промените, управлявани и съобщени на компетентния орган в съответствие с процедурата, посочена в точка IS.D.OR.255, буква а) от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645, компетентният орган включва прегледа на тези промени в своя продължаващ надзор, в съответствие с принципите, изложени в точка ADR.AR.C.005. Ако се установи несъответствие, компетентният орган уведомява организацията за това, изисква допълнителни промени и действа в съответствие с точка ADR.AR.C.055.

б)

По отношение на други промени, за които се изисква заявление за одобрение в съответствие с точка IS.D.OR.255, буква б) от приложението (част IS.D.OR) към Делегиран регламент (ЕС) 2022/1645:

а)

съдържанието се изменя, както следва:

б)

след точка 145.A.200 се вмъква следната точка 145.A.200A:

„145.A.200A    Система за управление на информационната сигурност

В допълнение към системата за управление, посочена в точка 145.A.200, организацията за техническо обслужване създава, въвежда и поддържа система за управление на информационната сигурност в съответствие с Регламент за изпълнение (ЕС) 2023/203, за да се осигури правилното управление на рисковете за информационната сигурност, които може да окажат въздействие върху авиационната безопасност.“;

в)

в точка 145.Б.125 се добавя следната буква в):

г)

след точка 145.Б.135 се вмъква следната точка 145.Б.135A:

„145.Б.135A    Незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност

д)

в точка 145.Б.200 се добавя следната буква д):

е)

точка 145.Б.205 се изменя, както следва:

ж)

в точка 145.Б.300 се добавя следната буква ж):

з)

след точка 145.Б.330 се вмъква следната точка 145.Б.330A:

„145.Б.330A    Промени в системата за управление на информационната сигурност

а)

в съдържанието след заглавие 66.Б.10 се добавя следното заглавие:

б)

след точка 66.Б.10 се вмъква следната точка 66.Б.15:

„66.Б.15    Система за управление на информационната сигурност

Компетентният орган създава, въвежда и поддържа система за управление на информационната сигурност в съответствие с приложение I (част IS.АR) към Регламент за изпълнение (ЕС) 2023/203, за да се осигури правилното управление на рисковете за информационната сигурност, които може да окажат въздействие върху авиационната безопасност.“;

а)

съдържанието се изменя, както следва:

б)

след точка САМО.A.200 се вмъква следната точка САМО.A.200A:

„CAMO.A.200A    Система за управление на информационната сигурност

В допълнение към системата за управление, посочена в точка САМО.А.200, организацията създава, въвежда и поддържа система за управление на информационната сигурност в съответствие с Регламент за изпълнение (ЕС) 2023/203, за да се осигури правилното управление на рисковете за информационната сигурност, които може да окажат въздействие върху авиационната безопасност.“;

в)

в точка CAMO.Б.125 се добавя следната буква в):

г)

след точка САМО.Б.135 се вмъква следната точка САМО.Б.135A:

„САМО.Б.135A    Незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност

д)

в точка CAMO.Б.200 се добавя следната буква д):

е)

точка CAMO.Б.205 се изменя, както следва:

ж)

в точка CAMO.Б.300 се добавя следната буква ж):

з)

след точка САМО.Б.330 се вмъква следната точка САМО.Б.330A:

„САМО.Б.330A    Промени в системата за управление на информационната сигурност

а)

в точка ATCO.AR.A.020 се добавя следната буква в):

б)

след точка ATCO.AR.A.025 се вмъква следната точка ATCO.AR.A.025А:

„ATCO.AR.A.025A    Незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност

в)

в точка ATCO.AR.Б.001 се добавя следната буква д):

г)

точка ATCO.AR.Б.005 се изменя, както следва:

д)

в точка ATCO.АR.В.001 се добавя следната буква е):

е)

след точка ATCO.AR.Д.010 се вмъква следната точка ATCO.AR.Д.010А:

„ATCO.AR.Д.010A    Промени в системата за управление на информационната сигурност

а)

в точка ATM/ANS.AR.A.020 се добавя следната буква в):

б)

след точка ATM/ANS.AR.A.025 се вмъква следната точка ATM/ANS.AR.A.025А:

„ATM/ANS.AR.A.025А Незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност

в)

в точка ATM/ANS.AR.B.001 се добавя следната буква д):

г)

точка ATM/ANS.AR.B.005 се изменя, както следва:

д)

в точка ATM/ANS.AR.C.010 се добавя следната буква г):

е)

след точка ATM/ANS.AR.C.025 се вмъква следната точка ATM/ANS.AR.C.025A:

„ATM/ANS.AR.C.025A Промени в системата за управление на информационната сигурност

а)

след точка ATM/ANS.OR.B.005 се вмъква следната точка ATM/ANS.OR.B.005А:

„ATM/ANS.OR.B.005А Система за управление на информационната сигурност

В допълнение към системата за управление, посочена в точка ATM/ANS.OR.B.005, доставчикът на услуги създава, въвежда и поддържа система за управление на информационната сигурност в съответствие с Регламент за изпълнение (ЕС) 2023/203, за да се осигури правилното управление на рисковете за информационната сигурност, които може да окажат въздействие върху авиационната безопасност.“;

б)

точка ATM/ANS.OR.D.010 се заменя със следното:

„ATM/ANS.OR.D.010 Управление на сигурността