IS.D.OR.100

IS.D.OR.200

IS.D.OR.205

IS.D.OR.210

IS.D.OR.215

IS.D.OR.220

IS.D.OR.225

IS.D.OR.230

IS.D.OR.235

IS.D.OR.240

IS.D.OR.245

IS.D.OR.250

IS.D.OR.255

IS.D.OR.260

a)

Za účelem dosažení cílů stanovených v článku 1 organizace vytvoří, provádí a udržuje systém řízení bezpečnosti informací (ISMS), který zajišťuje, že organizace:

b)

Aby organizace neustále splňovala požadavky uvedené v článku 1, provádí proces neustálého zlepšování v souladu s bodem IS.D.OR.260.

c)

Organizace v souladu s bodem IS.D.OR.250 dokumentuje všechny klíčové procesy, postupy, úlohy a povinnosti požadované za účelem dosažení souladu s bodem IS.D.OR.200 písm. a) a zavede proces pro změnu uvedené dokumentace. Změny uvedených procesů, postupů, úloh a povinností se řídí podle bodu IS.D.OR.255.

d)

Procesy, postupy, úlohy a povinnosti zavedené organizací za účelem dosažení souladu s bodem IS.D.OR.200 písm. a) musí odpovídat povaze a složitosti jejích činností na základě posouzení rizik bezpečnosti informací spojených s uvedenými činnostmi a mohou být začleněny do jiných stávajících systémů řízení, které již organizace provádí.

e)

Aniž je dotčena povinnost dodržovat požadavky týkající se hlášení uvedené v nařízení Evropského parlamentu a Rady (EU) č. 376/2014 (1) a požadavky bodu IS.D.OR.200 písm. a) bodu 13, může příslušný úřad organizaci udělit oprávnění neprovádět požadavky uvedené v písmenech a) až d) a související požadavky obsažené v bodech IS.D.OR.205 až IS.D.OR.260, pokud ke spokojenosti uvedeného úřadu prokáže, že její činnosti, zařízení a zdroje, jakož i služby, které provozuje, poskytuje, přijímá a udržuje, nepředstavují ani pro ni, ani pro jiné organizace žádná rizika bezpečnosti informací s potenciálním dopadem na bezpečnost letectví. Toto oprávnění musí být založeno na zdokumentovaném posouzení rizik bezpečnosti informací provedeném organizací nebo třetí stranou podle bodu IS.D.OR.205 a přezkoumaném a schváleném jejím příslušným úřadem.

Zachování platnosti uvedeného oprávnění bude přezkoumáno příslušným úřadem v návaznosti na příslušný cyklus auditu dozoru a pokaždé, když jsou provedeny změny v rozsahu činnosti organizace.

a)

Organizace identifikuje všechny své prvky, které by mohly být vystaveny rizikům bezpečnosti informací. To zahrnuje:

b)

Organizace identifikuje rozhraní, která má s jinými organizacemi a která by mohla vést ke vzájemné expozici rizikům bezpečnosti informací.

c)

S ohledem na prvky a rozhraní uvedené v písmenech a) a b), organizace identifikuje rizika bezpečnosti informací, která mohou mít potenciální dopad na bezpečnost letectví. V případě každého identifikovaného rizika organizace:

Předem definovaná klasifikace uvedená v bodě 1 zohlední potenciál výskytu scénáře hrozby a závažnost jeho bezpečnostních důsledků. Na základě uvedené klasifikace a s přihlédnutím k tomu, zda má organizace pro provoz strukturovaný a opakovatelný proces řízení rizik, musí být organizace schopna stanovit, zda je riziko přijatelné, nebo zda je třeba jej řešit v souladu s bodem IS.D.OR.210.

Aby se usnadnila vzájemná srovnatelnost posouzení rizik, zohlední se při přiřazení úrovně rizika podle bodu 1 relevantní informace získané v koordinaci s organizacemi uvedenými v písmenu b).

d)

Organizace přezkoumá a aktualizuje posouzení rizik provedené v souladu s písmeny a), b) a c) v kterékoli z těchto situací:

a)

Organizace vypracuje opatření k řešení nepřijatelných rizik identifikovaných podle bodu IS.D.OR.205, včas je provede a kontroluje jejich trvalou účinnost. Uvedená opatření umožní organizaci:

Uvedená opatření nesmí přinášet žádná nová potenciální nepřijatelná rizika pro bezpečnost letectví.

b)

Osoba uvedená v bodě IS.D.OR.240 písm. a) a b) a další dotčení pracovníci organizace musí být informováni o výsledku posouzení rizik provedeného v souladu s bodem IS.D.OR.205, odpovídajících scénářích hrozeb a opatřeních, jež budou provedena.

Organizace rovněž informuje organizace, s nimiž má rozhraní v souladu s bodem IS.D.OR.205 písm. b), o jakémkoli riziku sdíleném oběma organizacemi.

a)

Organizace zavede systém interního hlášení, který umožní shromažďování a hodnocení událostí bezpečnosti informací, včetně takových událostí, které mají být hlášeny podle bodu IS.D.OR.230.

b)

Zmíněný systém a proces uvedený v bodě IS.D.OR.220 umožní organizaci:

c)

Každá smluvní organizace, která může organizaci vystavit rizikům bezpečnosti informací s potenciálním dopadem na bezpečnost letectví, je organizaci povinna hlásit události bezpečnosti informací. Uvedená hlášení se předkládají podle postupů stanovených ve zvláštních smluvních ujednáních a vyhodnocují se v souladu s písmenem b).

d)

Organizace při vyšetřování spolupracuje s jakoukoli jinou organizací, která významně přispívá k bezpečnosti informací týkající se jejích vlastních činností.

e)

Organizace může uvedený systém hlášení integrovat s jinými systémy hlášení, které již zavedla.

a)

Na základě výsledku posouzení rizik uskutečněného v souladu s bodem IS.D.OR.205 a výsledku řešení rizik vykonaného v souladu s bodem IS.D.OR.210 provede organizace opatření k odhalení incidentů a zranitelností, které naznačují potenciální naplnění nepřijatelných rizik a jež mohou mít potenciální dopad na bezpečnost letectví. Uvedená odhalovací opatření umožní organizaci:

b)

Organizace provede opatření za účelem reakce na jakékoli podmínky události identifikované v souladu s písmenem a), z nichž by se mohl vyvinout nebo z nichž se vyvinul incident bezpečnosti informací. Uvedená reakční opatření umožní organizaci:

c)

Organizace provede opatření zaměřená na zotavení se z incidentů bezpečnosti informací, v případě potřeby včetně mimořádných opatření. Uvedená zotavovací opatření umožní organizaci:

a)

Po obdržení oznámení o nálezech předloženého příslušným úřadem organizace:

b)

Kroky uvedené v písmenu a) se provedou ve lhůtě dohodnuté s příslušným úřadem.

a)

Organizace provede systém hlášení v oblasti bezpečnosti informací, který splňuje požadavky stanovené v nařízení (EU) č. 376/2014 a jeho aktech v přenesené pravomoci a prováděcích aktech, pokud se uvedené nařízení na danou organizaci vztahuje.

b)

Aniž jsou dotčeny povinnosti podle nařízení (EU) č. 376/2014, organizace zajistí, aby byly veškeré incidenty nebo zranitelnosti bezpečnosti informací, které mohou představovat významné riziko pro bezpečnost letectví, hlášeny jejich příslušnému úřadu. Mimoto:

c)

Organizace hlásí stavy uvedené v písmenu b) takto:

a)

Organizace zajistí, aby při uzavírání smluv na jakoukoli část činností uvedených v bodě IS.D.OR.200 s jinými organizacemi byly smluvní činnosti v souladu s požadavky tohoto nařízení a aby smluvní organizace pracovala pod jejím dohledem. Organizace zajistí, aby rizika spojená se smluvními činnostmi byla náležitě řízena.

b)

Organizace zajistí, aby příslušný úřad mohl mít na požádání přístup do smluvní organizace, a mohl tak zjistit, zda jsou nadále plněny příslušné požadavky stanovené v tomto nařízení.

a)

Odpovědný vedoucí organizace nebo v případě projekčních organizací vedoucí projekční organizace určený v souladu s nařízením (EU) č. 748/2012 a nařízením (EU) č. 139/2014, jak se uvádí v čl. 2 odst. 1 písm. a) a b) tohoto nařízení, musí mít statutární pravomoc zajistit, aby mohly být financovány a prováděny všechny činnosti požadované tímto nařízením. Uvedená osoba:

b)

Odpovědný vedoucí nebo v případě projekčních organizací vedoucí projekční organizace jmenuje osobu nebo skupinu osob, která zajistí, aby organizace splňovala požadavky tohoto nařízení, a vymezí rozsah jejich pravomoci. Uvedená osoba nebo skupina osob jsou podřízeny přímo odpovědnému vedoucímu nebo v případě projekčních organizací vedoucímu projekční organizace a musí mít odpovídající znalosti, kvalifikaci a zkušenosti k plnění svých povinností. V postupech musí být určeno, kdo zastupuje určitou osobu v případě její dlouhodobé nepřítomnosti.

c)

Odpovědný vedoucí nebo v případě projekčních organizací vedoucí projekční organizace jmenuje osobu nebo skupinu osob s odpovědností za řízení funkce sledování souladu uvedené v bodě IS.D.OR.200 písm. a) bodě 12.

d)

Pokud organizace sdílí organizační struktury, politiky, procesy a postupy v oblasti bezpečnosti informací s jinými organizacemi nebo s částmi své vlastní organizace, na něž se nevztahuje oprávnění nebo prohlášení, může odpovědný vedoucí nebo v případě projekčních organizací vedoucí projekční organizace svými činnostmi pověřit společnou odpovědnou osobu.

V takovém případě se stanoví koordinační opatření mezi odpovědným vedoucím organizace nebo v případě projekčních organizací vedoucím projekční organizace a společnou odpovědnou osobou s cílem zajistit odpovídající integraci řízení bezpečnosti informací v rámci organizace.

e)

Odpovědný vedoucí či vedoucí projekční organizace nebo společná odpovědná osoba uvedená v písmenu d) musí mít statutární pravomoc zavádět a udržovat organizační struktury, politiky, procesy a postupy nezbytné k provádění bodu IS.D.OR.200.

f)

Organizace musí mít zaveden proces, který zajistí, aby měla ve službě dostatečný počet pracovníků za účelem provádění činností, na něž se vztahuje tato příloha.

g)

Organizace musí mít zaveden proces, který zajistí, aby pracovníci uvedení v písmenu f) měli k plnění svých úkolů nezbytnou způsobilost.

h)

Organizace musí mít zaveden postup, který zajistí, aby pracovníci uznali povinnosti spojené s přidělenými úlohami a úkoly.

i)

Organizace zajistí, aby byla náležitě prokázána totožnost a důvěryhodnost pracovníků, kteří mají přístup k informačním systémům a údajům, na něž se vztahují požadavky tohoto nařízení.

a)

Organizace vede záznamy o svých činnostech týkajících se řízení bezpečnosti informací

b)

Organizace vede záznamy o kvalifikaci a zkušenostech svých vlastních pracovníků podílejících se na činnostech týkajících se řízení bezpečnosti informací.

c)

Formát záznamů je upřesněn v postupech organizace.

d)

Záznamy jsou uchovávány způsobem zajišťujícím jejich ochranu před poškozením, pozměňováním a krádeží, přičemž informace se, je-li to vyžadováno, identifikují podle jejich stupně utajení. Organizace zajistí, aby záznamy byly uchovávány za použití prostředků, které zajistí integritu, pravost a oprávněný přístup.

a)

Organizace zpřístupní příslušnému úřadu příručku pro řízení bezpečnosti informací (ISMM) a v příslušných případech veškeré související příručky a postupy, na něž odkazuje, která obsahuje:

b)

První vydání příručky ISMM schvaluje příslušný úřad, který si ponechá jednu kopii. Příručka ISMM se podle potřeby pozmění tak, aby zůstala aktuálním popisem systému ISMS organizace. Kopie veškerých změn příručky ISMM se poskytne příslušnému úřadu.

c)

Změny příručky ISMM se řídí postupem stanoveným organizací. Veškeré změny, které nespadají do tohoto postupu, a veškeré změny, které se týkají změn uvedených v bodě IS.D.OR.255 písm. b), schvaluje příslušný úřad.

d)

Organizace může příručku ISMM začlenit do jiných výkladů řízení nebo příruček, které má k dispozici, za předpokladu, že je uveden jasný křížový odkaz udávající, které části výkladu řízení nebo příručky odpovídají jednotlivým požadavkům obsaženým v této příloze.

a)

Změny ISMS mohou být řízeny a příslušnému úřadu oznamovány v rámci postupu vytvořeného organizací. Tento postup schválí příslušný úřad.

b)

Pokud jde o změny ISMS, na něž se nevztahuje postup uvedený v písmenu a), organizace musí požádat o oprávnění, které vydává příslušný úřad, a toto oprávnění získat.

Pokud jde o tyto změny:

a)

Organizace za použití odpovídajících ukazatelů výkonnosti posuzuje účinnost a vyspělost ISMS. Uvedené posouzení se provádí na základě harmonogramu předem stanoveného organizací nebo v návaznosti na incident bezpečnosti informací.

b)

Jsou-li na základě posouzení provedeného v souladu s písmenem a) zjištěny nedostatky, organizace přijme nezbytná opatření ke zlepšení, aby zajistila, že ISMS nadále splňuje příslušné požadavky a udržuje rizika bezpečnosti informací na přijatelné úrovni. Kromě toho organizace znovu posoudí ty prvky ISMS, jež jsou přijatými opatřeními dotčeny.