IS.D.OR.100

IS.D.OR.200

IS.D.OR.205

IS.D.OR.210

IS.D.OR.215

IS.D.OR.220

IS.D.OR.225

IS.D.OR.230

IS.D.OR.235

IS.D.OR.240

IS.D.OR.245

IS.D.OR.250

IS.D.OR.255

IS.D.OR.260

а)

За постигане на целите, посочени в член 1, организацията създава, въвежда и поддържа система за управление на информационната сигурност (ISMS), която гарантира, че организацията:

б)

За да спазва системно изискванията, посочени в член 1, организацията осъществява процес на постоянно подобряване в съответствие с точка IS.D.OR.260.

в)

Организацията документира в съответствие с точка IS.D.OR.250 всички ключови процеси, процедури, роли и отговорности, необходими за спазване на точка IS.D.OR.200, буква а), и установява процес за изменение на тази документация. Промените в тези процеси, процедури, роли и отговорности се управляват в съответствие с точка IS.D.OR.255.

г)

Процесите, процедурите, ролите и отговорностите, установени от организацията с цел спазване на точка IS.D.OR.200, буква а), съответстват на естеството и сложността на нейните дейности въз основа на оценка на рисковете за информационната сигурност, присъщи на тези дейности, и могат да бъдат интегрирани в други съществуващи системи за управление, които вече са въведени от организацията.

д)

Без да се засяга задължението за спазване на изискванията за докладване, съдържащи се в Регламент (ЕС) № 376/2014 (1), и изискванията по точка IS.D.OR.200, буква а), точка 13, на организацията може да бъде издадено одобрение от компетентния орган да не прилага изискванията, посочени в букви а)—г), и свързаните изисквания, съдържащи се в точки IS.D.OR.205—IS.D.OR.260, ако тя докаже по удовлетворителен за този орган начин, че нейните дейности, съоръжения и ресурси, както и услугите, които експлоатира, предоставя, получава и поддържа, не пораждат рискове за информационната сигурност с потенциално въздействие върху авиационната безопасност нито на самата нея, нито на други организации. Одобрението се основава на документирана оценка на риска за информационната сигурност, извършена от организацията или от трета страна в съответствие с точка IS.D.OR.205 и разгледана и одобрена от нейния компетентен орган.

Поддържането на валидността на това одобрение се преразглежда от компетентния орган след приложимия цикъл на одит на надзора и всеки път, когато бъдат въведени промени в обхвата на дейностите на организацията.

а)

Организацията установява всички свои елементи, които биха могли да бъдат изложени на рискове за информационната сигурност. Това включва:

б)

Организацията установява връзките, които има с други организации и които биха могли да доведат до взаимно излагане на рискове за информационната сигурност.

в)

По отношение на елементите и връзките, посочени в букви а) и б), организацията установява рисковете за информационната сигурност, които могат да имат потенциално въздействие върху авиационната безопасност. За всеки установен риск организацията:

При предварително определената класификация, посочена в точка 1, се взема предвид потенциалът за възникване на сценария за заплаха и сериозността на последиците от него за безопасността. Въз основа на тази класификация и като се вземе предвид дали организацията има структуриран и възпроизводим процес на управление на риска за операциите, организацията трябва да е в състояние да установи дали рискът е приемлив или трябва да бъде третиран в съответствие с точка IS.D.OR.210.

За да се улесни взаимната съпоставимост на оценките на риска, при определянето на нивото на риска съгласно точка 1 се взема предвид съответната информация, получена в координация с организациите, посочени в буква б).

г)

Организацията преразглежда и актуализира оценката на риска, извършена в съответствие с букви а), б) и в), във всяка от следните ситуации:

а)

Организацията разработва мерки за справяне с неприемливите рискове, установени в съответствие с точка IS.D.OR.205, прилага ги своевременно и проверява дали те продължават да са ефективни. Тези мерки дават възможност на организацията:

Тези мерки не трябва да въвеждат нови потенциални неприемливи рискове за авиационната безопасност.

б)

Лицето, посочено в точка IS.D.OR.240, букви а) и б), и другият засегнат персонал на организацията се информират за резултатите от оценката на риска, извършена в съответствие с точка IS.D.OR.205, съответните сценарии за заплаха и мерките, които трябва да бъдат изпълнени.

Организацията също така информира организациите, с които си взаимодейства в съответствие с точка IS.D.OR.205, буква б), за всеки риск, който е общ и за двете организации.

а)

Организацията създава схема за вътрешно докладване, за да се даде възможност за събиране и оценка на събития, свързани с информационната сигурност, включително такива, които трябва да бъдат докладвани съгласно точка IS.D.OR.230.

б)

Тази схема и процесът, посочени в точка IS.D.OR.220, дават възможност на организацията:

в)

От всяка организация подизпълнител, която може да изложи организацията на рискове за информационната сигурност с потенциално въздействие върху авиационната безопасност, се изисква да ѝ докладва за събития, свързани с информационната сигурност. Тези доклади се представят, като се прилагат процедурите, установени в конкретните договорни споразумения, и се оценяват в съответствие с буква б).

г)

При разследвания организацията си сътрудничи с всяка друга организация, която има значителен принос за информационната сигурност на собствените ѝ дейности.

д)

Организацията може да обедини тази схема за докладване с други схеми за докладване, които вече прилага.

а)

Въз основа на резултатите от оценката на риска, извършена в съответствие с точка IS.D.OR.205, и на резултата от третирането на риска, извършено в съответствие с точка IS.D.OR.210, организацията прилага мерки за откриване на инциденти и уязвимости, които показват потенциалното възникване на неприемливи рискове и които могат да окажат потенциално въздействие върху авиационната безопасност. Тези мерки за откриване дават възможност на организацията:

б)

Организацията прилага мерки за реагиране на всяко събитие, определено в съответствие с буква а), което би могло да се развие или се е развило в инцидент, свързан с информационната сигурност. Тези мерки за реагиране дават възможност на организацията:

в)

Организацията прилага мерки, насочени към възстановяване от инциденти, свързани с информационната сигурност, включително спешни мерки, ако е необходимо. Тези мерки за възстановяване дават възможност на организацията:

а)

След получаване на уведомлението за констатации, представено от компетентния орган, организацията:

б)

Действията, посочени в буква а), се извършват в срока, договорен с компетентния орган.

а)

Организацията въвежда система за докладване във връзка с информационната сигурност, която отговаря на изискванията, определени в Регламент (ЕС) № 376/2014 и свързаните с него делегирани актове и актове за изпълнение, ако посоченият регламент е приложим за организацията.

б)

Без да се засягат задълженията по Регламент (ЕС) № 376/2014, организацията гарантира, че всеки инцидент или уязвимост, свързани с информационната сигурност, които може да представляват значителен риск за авиационната безопасност, се докладват на нейния компетентен орган. Също така:

в)

Организацията докладва условията, посочени в буква б), както следва:

а)

Организацията гарантира, че когато възлага на други организации която и да е част от дейностите, посочени в точка IS.D.OR.200, дейностите, за които е сключен договор, отговарят на изискванията на настоящия регламент, а организацията подизпълнител работи под неин надзор. Организацията гарантира, че рисковете, свързани с дейностите, възложени на подизпълнители, се управляват по подходящ начин.

б)

Организацията гарантира, че компетентният орган може да получи достъп при поискване до организацията подизпълнител, за да установи дали се запазва съответствие с приложимите изисквания, определени в настоящия регламент.

а)

Отговорният ръководител на организацията или, в случай на проектантски организации, ръководителят на проектантската организация, определен в съответствие с регламенти (ЕС) № 748/2012 и (ЕС) № 139/2014, както е посочено в член 2, точка 1, букви а) и б) от настоящия регламент, има административни правомощия да гарантира, че всички дейности, изисквани по настоящия регламент, могат да бъдат финансирани и извършени. Това лице:

б)

Отговорният ръководител или, в случай на проектантски организации, ръководителят на проектантската организация, назначава лице или група лица, които да гарантират, че организацията отговаря на изискванията на настоящия регламент, и определя обхвата на техните правомощия. Това лице или група лица докладват пряко на отговорния ръководител или, в случай на проектантски организации, на ръководителя на проектантската организация, и притежават необходимите знания, образование и опит, за да изпълняват своите отговорности. В процедурите се определя кой замества дадено лице в случай на продължителното му отсъствие.

в)

Отговорният ръководител или, в случай на проектантски организации, ръководителят на проектантската организация, назначава лице или група лица, които отговарят за управлението на функцията по наблюдение на съответствието, посочена в точка IS.D.OR.200, буква а), точка 12.

г)

Когато организацията споделя организационни структури, политики, процеси и процедури за информационна сигурност с други организации или с области от тяхната собствена организация, които не са част от одобрението или декларацията, отговорният ръководител или, в случай на проектантски организации, ръководителят на проектантската организация, може да делегира своите дейности на едно общо отговорно лице.

В този случай се установяват мерки за координация между отговорния ръководител на организацията или, в случай на проектантски организации, ръководителя на проектантската организация и общото отговорно лице, за да се осигури адекватно интегриране на управлението на информационната сигурност в рамките на организацията.

д)

Отговорният ръководител или ръководителят на проектантската организация, или общото отговорно лице, посочено в буква г), имат административни правомощия да създават и поддържат организационните структури, политики, процеси и процедури, необходими за прилагането на точка IS.D.OR.200.

е)

Организацията трябва да въведе процедура, която да гарантира, че тя има достатъчно персонал, който да е на разположение за извършване на дейностите, обхванати от настоящото приложение.

ж)

Организацията трябва да въведе процедура, която да гарантира, че персоналът, посочен в буква е), притежава необходимата компетентност за изпълнение на своите задачи.

з)

Организацията трябва да въведе процедура, която да гарантира, че персоналът отчита отговорностите, свързани с възложените роли и задачи.

и)

Организацията гарантира, че самоличността и надеждността на персонала, който има достъп до информационните системи и данните, за които се прилагат изискванията на настоящия регламент, са установени по подходящ начин.

а)

Организацията съхранява документация за своите дейности по управление на информационната сигурност.

б)

Организацията съхранява документация за квалификацията и опита на собствения си персонал, участващ в дейности по управление на информационната сигурност.

в)

Форматът на документацията се уточнява в процедурите на организацията.

г)

Записите се съхраняват по начин, който гарантира защита от повреда, изменение или кражба чрез идентифициране на информацията, при необходимост, съгласно нейното ниво на класификация за целите на сигурността. Организацията гарантира, че записите се съхраняват, като се използват средства за гарантиране на целостта, автентичността и разрешения достъп.

а)

Организацията предоставя на компетентния орган ръководство за управление на информационната сигурност (ISMM) и, когато е приложимо, всички съответни ръководства и процедури, съдържащи:

б)

Първоначалното издание на ISMM се одобрява и компетентният орган запазва копие от него. ISMM се изменя при необходимост, за да бъде актуално описанието на ISMS на организацията. Копие от всички изменения на ISMM се предоставя на компетентния орган.

в)

Измененията на ISMM се управляват съгласно процедура, установена от организацията. Всички изменения, които не са включени в обхвата на посочената процедура, и всички изменения, свързани с промените, посочени в точка IS.D.OR.255, буква б), се одобряват от компетентния орган.

г)

Организацията може да интегрира ISMM с други описания на управлението или ръководства, които поддържа, при условие че има ясна препратка, която показва кои части от описанието на управлението или наръчника отговарят на различните изисквания, съдържащи се в настоящото приложение.

а)

Промените в ISMS могат да се управляват и съобщават на компетентния орган по процедура, разработена от организацията. Тази процедура се одобрява от компетентния орган.

б)

По отношение на промените в ISMS, които не са обхванати от процедурата, посочена в буква а), организацията подава заявление и получава одобрение, издадено от компетентния орган.

По отношение на тези промени:

а)

Организацията оценява ефективността и зрелостта на ISMS като използва подходящи показатели за изпълнение. Тази оценка се извършва въз основа на график, предварително определен от организацията, или след инцидент, свързан с информационната сигурност.

б)

Ако в резултат на оценката, извършена в съответствие с буква а), бъдат открити недостатъци, организацията предприема необходимите мерки за подобряване, за да гарантира, че ISMS продължава да отговаря на приложимите изисквания, и поддържа рисковете за информационната сигурност на приемливо равнище. Освен това организацията извършва повторна оценка на елементите на ISMS, засегнати от приетите мерки.