2.2.2023 |
CS |
Úřední věstník Evropské unie |
L 31/1 |
PROVÁDĚCÍ NAŘÍZENÍ KOMISE (EU) 2023/203
ze dne 27. října 2022,
prováděcí nařízení Komise ze dne 27. října 2022, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) 2018/1139, pokud jde o požadavky na řízení rizik v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví pro organizace, na které se vztahují nařízení Komise (EU) č. 1321/2014, (EU) č. 965/2012, (EU) č. 1178/2011, (EU) 2015/340, prováděcí nařízení Komise (EU) 2017/373 a (EU) 2021/664, a pro příslušné orgány, na které se vztahují nařízení Komise (EU) č. 748/2012, (EU) č. 1321/2014, (EU) č. 965/2012, (EU) č. 1178/2011, (EU) 2015/340 a (EU) č. 139/2014, prováděcí nařízení Komise (EU) 2017/373 a (EU) 2021/664, a kterým se mění nařízení Komise (EU) č. 1178/2011, (EU) č. 748/2012, (EU) č. 965/2012, (EU) č. 139/2014, (EU) č. 1321/2014, (EU) 2015/340 a prováděcí nařízení Komise (EU) 2017/373 a (EU) 2021/664
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1139 ze dne 4. července 2018 o společných pravidlech v oblasti civilního letectví a o zřízení Agentury Evropské unie pro bezpečnost letectví, kterým se mění nařízení (ES) č. 2111/2005, (ES) č. 1008/2008, (EU) č. 996/2010, (EU) č. 376/2014 a směrnice Evropského parlamentu a Rady 2014/30/EU a 2014/53/EU a kterým se zrušuje nařízení Evropského parlamentu a Rady (ES) č. 552/2004 a (ES) č. 216/2008 a nařízení Rady (EHS) č. 3922/91 (1), a zejména čl. 17 odst. 1 písm. b), čl. 27 odst. 1 písm. a), čl. 31 odst. 1 písm. b), čl. 43 odst. 1 písm. b), čl. 53 odst. 1 písm. a) a čl. 62 odst. 15 písm. c) uvedeného nařízení,
vzhledem k těmto důvodům:
(1) |
V souladu s hlavními požadavky stanovenými v bodě 3.1 písm. b) přílohy II nařízení (EU) 2018/1139 mají organizace k řízení zachování letové způsobilosti a organizace údržby zavést a udržovat systém řízení bezpečnostních rizik. |
(2) |
Kromě toho, v souladu s hlavními požadavky stanovenými v bodu 3.3 písm. b) a bodu 5 písm. b) přílohy IV nařízení (EU) 2018/1139 mají organizace provádějící výcvik pilotů, organizace provádějící výcvik palubních průvodčích, letecká zdravotní střediska pro posádky letadel a provozovatelé zařízení pro výcvik pomocí letové simulace navíc zavést a udržovat systém řízení bezpečnostních rizik. |
(3) |
V souladu s hlavními požadavky stanovenými v bodu 8.1 písm. c) přílohy V nařízení (EU) 2018/1139 musí letečtí provozovatelé zavést a udržovat systém řízení bezpečnostních rizik. |
(4) |
Dále v souladu s hlavními požadavky stanovenými v bodu 5.1 písm. c) a bodu 5.4 písm. b) přílohy VIII nařízení (EU) 2018/1139 mají poskytovatelé uspořádání letového provozu a letových navigačních služeb, poskytovatelé služeb U-space a poskytovatelé jednotné společné informační služby a organizace provádějící výcvik a letecká zdravotní střediska pro řídící letového provozu zavést a udržovat systém řízení pro řízení bezpečnostních rizik. |
(5) |
Tato bezpečnostní rizika mohou pocházet z různých zdrojů, jako jsou chyby v konstrukci a údržbě, aspekty lidské výkonnosti, hrozby pro životní prostředí a hrozby pro bezpečnost informací. Systémy řízení zavedené Agenturou Evropské unie pro bezpečnost letectví (dále jen „agentura“) a příslušnými vnitrostátními orgány a organizacemi uvedenými ve výše uvedených bodech odůvodnění by proto měly zohledňovat nejen bezpečnostní rizika vyplývající z náhodných událostí, ale také bezpečnostní rizika vyplývající z hrozeb pro bezpečnost informací, kdy mohou existující nedostatky zneužít osoby se zlým úmyslem. Tato rizika v oblasti bezpečnosti informací se v prostředí civilního letectví neustále zvyšují, protože současné informační systémy jsou stále propojenější a stále častěji se stávají cílem zlovolných aktérů. |
(6) |
Rizika spojená s těmito informačními systémy se neomezují pouze na možné útoky na kybernetický prostor, ale patří mezi ně i hrozby, které mohou ovlivnit procesy a postupy, jakož i výkonnost lidí. |
(7) |
Značný počet organizací již používá mezinárodní normy, jako například ISO 27001, s cílem řešit bezpečnost digitálních informací a údajů. Tyto normy však nemusí plně řešit všechny specifičnosti civilního letectví. Proto je vhodné stanovit požadavky na řízení rizik bezpečnosti informací s potenciálním dopadem na bezpečnost letectví. |
(8) |
Je nezbytné, aby se tyto požadavky vztahovaly na všechny oblasti letectví a jejich rozhraní, neboť letectví je vysoce propojeným systémem systémů. Proto by se měly vztahovat na všechny organizace a příslušné orgány, na které se vztahují nařízení Komise (EU) č. 748/2012 (2), (EU) č. 1321/2014 (3), (EU) č. 965/2012 (4), (EU) č. 1178/2011 (5), (EU) 2015/340 (6), (EU) č. 139/2014 (7) a prováděcí nařízení Komise (EU) 2021/664 (8), a to i na ty, které již musí mít systém řízení v souladu se stávajícími právními předpisy Unie v oblasti bezpečnosti letectví. Některé organizace by však měly být z oblasti působnosti tohoto nařízení vyňaty, aby se zajistila odpovídající přiměřenost vzhledem k nižším rizikům v oblasti bezpečnosti informací, která pro letecký systém představují. |
(9) |
Požadavky stanovené v tomto nařízení by měly zajistit důsledné provádění ve všech oblastech letectví a současně by měly mít minimální dopad na právní předpisy Unie v oblasti bezpečnosti letectví, které se na tyto oblasti již vztahují. |
(10) |
Požadavky stanovenými v tomto nařízení by neměly být dotčeny požadavky na bezpečnost informací a kybernetickou bezpečnost stanovené v bodě 1.7 přílohy prováděcího nařízení Komise (EU) 2015/1998 (9) a v článku 14 směrnice Evropského parlamentu a Rady (EU) 2016/1148 (10). |
(11) |
Bezpečnostní požadavky stanovené v článcích 33 až 43 hlavy V „Bezpečnost programu“ nařízení Evropského parlamentu a Rady (EU) 2021/696 (11) se považují za rovnocenné požadavkům stanoveným v tomto nařízení, s výjimkou bodu IS.I.OR.230 přílohy II tohoto nařízení, který by měl být dodržen. |
(12) |
V zájmu zajištění právní jistoty by se mělo v případě výkladu pojmu „bezpečnost informací“, jak je definován v tomto nařízení, odrážející jeho běžné používání v civilním letectví na celém světě, mít za to, že je v souladu s výkladem pojmu „bezpečnost sítí a informačních systémů“, jak je definován v čl. 4 bodě 2 směrnice (EU) 2016/1148. Definice bezpečnosti informací použitá pro účely tohoto nařízení by neměla být vykládána odchylně od definice bezpečnosti sítí a informačních systémů stanovené ve směrnici (EU) 2016/1148. |
(13) |
Aby se zabránilo zdvojování právních požadavků, pokud organizace, na něž se vztahuje toto nařízení, již podléhají bezpečnostním požadavkům vyplývajícím z aktů Unie uvedených v (10). a 11. bodě odůvodnění, které jsou ve svém důsledku rovnocenné ustanovením tohoto nařízení, měl by být soulad s uvedenými bezpečnostními požadavky považován za soulad s požadavky stanovenými v tomto nařízení. |
(14) |
Organizace, na něž se vztahuje toto nařízení a které již podléhají bezpečnostním požadavkům vyplývajícím z prováděcího nařízení (EU) 2015/1998 nebo nařízení (EU) 2021/696, by měly rovněž splňovat požadavky přílohy II (část IS.I.OR.230 „Systém externího hlášení v oblasti bezpečnosti informací“) tohoto nařízení, neboť ani jedno z těchto nařízení neobsahuje žádná ustanovení týkající se externího hlášení incidentů bezpečnosti informací. |
(15) |
Pro úplnost je třeba změnit nařízení (EU) č. 1178/2011, (EU) č. 748/2012, (EU) č. 965/2012, (EU) č. 139/2014, (EU) č. 1321/2014, (EU) 2015/340 a prováděcí nařízení (EU) 2017/373 (12) a (EU) 2021/664 tak, aby byly zavedeny požadavky na systém řízení bezpečnosti informací stanovené v tomto nařízení spolu se systémy řízení v něm uvedenými a aby byly stanoveny požadavky příslušných orgánů, pokud jde o dohled nad organizacemi, které provádějí výše uvedené požadavky na řízení bezpečnosti informací. |
(16) |
Aby měly organizace dostatek času na zajištění souladu s novými pravidly a postupy, mělo by se toto nařízení začít používat tři roky po vstupu v platnost, s výjimkou poskytovatele letových navigačních služeb evropské služby pro pokrytí geostacionární navigací (EGNOS) definovaného v prováděcím nařízení (EU) 2017/373, v jehož případě by se mělo začít používat od 1. ledna 2026 vzhledem k probíhající bezpečnostní akreditaci systému a služeb EGNOS v souladu s nařízením (EU) 2021/696. |
(17) |
Požadavky stanovené tímto nařízením vycházejí ze stanoviska č. 03/2021 (13) vydaného agenturou v souladu s čl. 75 odst. 2 písm. b) a c) a čl. 76 odst. 1 nařízení (EU) 2018/1139. |
(18) |
Požadavky stanovené v tomto nařízení jsou v souladu se stanoviskem výboru pro uplatňování společných bezpečnostních pravidel v oblasti civilního letectví zřízeného článkem 127 nařízení (EU) 2018/1139, |
PŘIJALA TOTO NAŘÍZENÍ:
Článek 1
Předmět
Toto nařízení stanoví požadavky, které musí organizace a příslušné orgány splnit s cílem:
a) |
identifikovat a řídit rizika v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví, která by mohla ovlivnit systémy a údaje informačních a komunikačních technologií používaných pro účely civilního letectví; |
b) |
zjistit události v oblasti bezpečnosti informací a určit ty, které jsou považovány za incidenty v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví; |
c) |
reagovat na tyto incidenty v oblasti bezpečnosti informací a zotavit se z nich. |
Článek 2
Oblast působnosti
1. Toto nařízení se vztahuje na tyto organizace:
a) |
organizace údržby, na které se vztahuje oddíl A přílohy II (část 145) nařízení (EU) č. 1321/2014, s výjimkou těch, které se zabývají výhradně údržbou letadel v souladu s přílohou Vb (část ML) nařízení Komise (EU) č. 1321/2014; |
b) |
organizace k řízení zachování letové způsobilosti, na které se vztahuje oddíl A přílohy Vc (část CAMO) nařízení (EU) č. 1321/2014, s výjimkou těch, které se zabývají výhradně řízením zachování letové způsobilosti letadel v souladu s přílohou Vb (část ML) nařízení Komise (EU) č. 1321/2014; |
c) |
letečtí provozovatelé, na které se vztahuje příloha III (část ORO) nařízení (EU) č. 965/2012, s výjimkou těch, kteří se podílejí výhradně na provozu některého z následujících letadel:
|
d) |
schválené organizace pro výcvik, na které se vztahuje příloha VII (část ORA) nařízení (EU) č. 1178/2011, s výjimkou těch, které se zabývají výhradně výcvikovými činnostmi u letadel ELA2 podle definice v čl. 1 odst. 2 písm. j) nařízení (EU) č. 748/2012 nebo se zabývají výhradně teoretickým výcvikem; |
e) |
letecká zdravotnická střediska pro posádky letadel, na která se vztahuje příloha VII (část ORA) nařízení (EU) č. 1178/2011; |
f) |
provozovatelé zařízení pro výcvik pomocí letové simulace (FSTD), na které se vztahuje příloha VII (část ORA) nařízení (EU) č. 1178/2011, s výjimkou těch, kteří se podílejí výhradně na provozu zařízení FSTD pro letadla ELA2, jak jsou definována v čl. 1 odst. 2 písm. j) nařízení (EU) č. 748/2012; |
g) |
organizace pro výcvik řídících letového provozu a letecká zdravotní střediska těchto organizací, na které se vztahuje příloha III (část ATCO.OR) nařízení (EU) 2015/340; |
h) |
organizace, na které se vztahuje příloha III (část ATM/ANS.OR) prováděcího nařízení (EU) 2017/373, s výjimkou následujících poskytovatelů služeb:
|
i) |
poskytovatelé služeb U-space a poskytovatelé jednotných společných informačních služeb, na které se vztahuje prováděcí nařízení (EU) 2021/664. |
2. Toto nařízení se vztahuje na příslušné orgány, včetně Agentury Evropské unie pro bezpečnost letectví (dále jen „agentura“), uvedené v článku 6 tohoto nařízení a v článku 5 nařízení v přenesené pravomoci (EU) 2022/1645 (14).
3. Toto nařízení se rovněž vztahuje na příslušný orgán odpovědný za vydávání, prodlužování platnosti, změnu, pozastavování platnosti a rušení průkazů způsobilosti k údržbě letadel v souladu s přílohou III (část 66) nařízení w(EU) č. 1321/2014.
4. Tímto nařízením nejsou dotčeny požadavky na bezpečnost informací a kybernetickou bezpečnost stanovené v bodě 1.7 přílohy prováděcího nařízení (EU) 2015/1998 a v článku 14 směrnice (EU) 2016/1148.
Článek 3
Definice
Pro účely tohoto nařízení se rozumí:
1) |
„bezpečností informací“ zachování důvěrnosti, integrity, autenticity a dostupnosti sítí a informačních systémů; |
2) |
„událostí bezpečnosti informací“ zjištěný výskyt stavu systému, služby nebo sítě, který poukazuje na možné narušení politiky bezpečnosti informací nebo na selhání kontrol bezpečnosti informací, nebo předem neznámá situace, která může být významná pro bezpečnost informací; |
3) |
„incidentem“ jakákoliv událost, která má reálný negativní dopad na bezpečnost sítí a informačních systémů ve smyslu čl. 4 bodu 7 směrnice (EU) 2016/1148; |
4) |
„rizikem bezpečnosti informací“ riziko pro organizační provoz civilního letectví, aktiva, jednotlivce a jiné organizace v důsledku potenciálu události bezpečnosti informací. Rizika bezpečnosti informací jsou spojena s potenciální možností, že hrozby zneužijí zranitelností informačního aktiva nebo skupiny informačních aktiv; |
5) |
„hrozbou“ potenciální porušení bezpečnosti informací, které existuje v případě výskytu subjektu, okolnosti, akce nebo události, které by mohly způsobit škodu; |
6) |
„zranitelností“ nedostatek nebo slabina aktiva nebo systému, postupů, projekce, provádění nebo opatření v oblasti bezpečnosti informací, která by mohla být zneužita a vést k narušení nebo porušení politiky bezpečnosti informací. |
Článek 4
Požadavky na organizace a příslušné orgány
1. Organizace uvedené v čl. 2 odst. 1 musí splňovat požadavky přílohy II (část IS.I.OR) tohoto nařízení.
2. Příslušné orgány uvedené v čl. 2 odst. 2 a 3 musí splňovat požadavky přílohy I (část IS.AR) tohoto nařízení.
Článek 5
Požadavky vyplývající z jiných právních předpisů Unie
1. Pokud organizace uvedená v čl. 2 odst. 1 splňuje bezpečnostní požadavky stanovené v souladu s článkem 14 směrnice (EU) 2016/1148, které jsou rovnocenné požadavkům stanoveným v tomto nařízení, má se za to, že soulad s uvedenými bezpečnostními požadavky zakládá soulad s požadavky stanovenými v tomto nařízení.
2. Pokud je organizace uvedená v čl. 2 odst. 1 provozovatelem nebo subjektem uvedeným v národních bezpečnostních programech ochrany civilního letectví před protiprávními činy vypracovaných členskými státy stanovených v souladu s článkem 10 nařízení Evropského parlamentu a Rady (ES) č. 300/2008 (15), považují se požadavky na kybernetickou bezpečnost obsažené v bodě 1.7 přílohy prováděcího nařízení (EU) 2015/1998 za rovnocenné požadavkům stanoveným v tomto nařízení, s výjimkou bodu IS.I.OR.230 přílohy II tohoto nařízení, který musí být splněn.
3. Pokud je organizace uvedená v čl. 2 odst. 1 poskytovatelem letových navigačních služeb evropské služby pro pokrytí geostacionární navigací (EGNOS) podle nařízení (EU) 2021/696, považují se bezpečnostní požadavky obsažené v článcích 33 až 43 hlavy V uvedeného nařízení za rovnocenné požadavkům stanoveným v tomto nařízení, s výjimkou bodu IS.I.OR.230 přílohy II tohoto nařízení, který se jako takový dodržuje.
4. Komise může po konzultaci s agenturou a skupinou pro spolupráci uvedenou v článku 11 směrnice (EU) 2016/1148 vydat pokyny pro posuzování rovnocennosti požadavků stanovených v tomto nařízení a ve směrnici (EU) 2016/1148.
Článek 6
Příslušný orgán
1. Aniž jsou dotčeny úkoly svěřené Komisi pro bezpečnostní akreditaci uvedené v článku 36 nařízení (EU) 2021/696, orgánem odpovědným za certifikaci a dohled nad dodržováním tohoto nařízení je:
a) |
pokud jde o organizace uvedené v čl. 2 odst. 1 písm. a), příslušný orgán určený v souladu s přílohou II (část 145) nařízení (EU) č. 1321/2014; |
b) |
pokud jde o organizace uvedené v čl. 2 odst. 1 písm. b), příslušný orgán určený v souladu s přílohou Vc (část CAMO) nařízení (EU) č. 1321/2014; |
c) |
pokud jde o organizace uvedené v čl. 2 odst. 1 písm. c), příslušný orgán určený v souladu s přílohou III (část ORO) nařízení (EU) č. 965/2012; |
d) |
pokud jde o organizace uvedené v čl. 2 odst. 1 písm. d) až f), příslušný orgán určený v souladu s přílohou VII (část ORA) nařízení (EU) č. 1178/2011; |
e) |
pokud jde o organizace uvedené v čl. 2 odst. 1 písm. g), příslušný orgán určený v souladu s čl. 6 odst. 2 nařízení (EU) 2015/340; |
f) |
pokud jde o organizace uvedené v čl. 2 odst. 1 písm. h), příslušný orgán určený v souladu s čl. 4 odst. 1 prováděcího nařízení (EU) 2017/373; |
g) |
pokud jde o organizace uvedené v čl. 2 odst. 1 písm. i), příslušný orgán určený v souladu s čl. 14 odst. 1, případně čl. 14 odst. 2 prováděcího nařízení (EU) 2021/664. |
2. Členské státy mohou pro účely tohoto nařízení určit nezávislý a autonomní subjekt, který bude plnit přidělenou úlohu a povinnosti příslušných úřadů uvedených v odstavci 1. V takovém případě se stanoví koordinační opatření mezi uvedeným subjektem a příslušnými úřady uvedenými v odstavci 1 s cílem zajistit účinný dozor nad všemi požadavky, které má organizace splňovat.
3. Agentura v plném souladu s platnými pravidly o utajení, ochraně osobních údajů a ochraně utajovaných informací spolupracuje s Agenturou Evropské unie pro Kosmický program (EUSPA) a s Komisí pro bezpečnostní akreditaci podle článku 36 nařízení (EU) 2021/696, aby byl zajištěn účinný dohled nad požadavky vztahujícími se na poskytovatele letových navigačních služeb EGNOS.
Článek 7
Předložení relevantních informací příslušným orgánům bezpečnosti sítí a informačních systémů
Příslušné orgány podle tohoto nařízení bez zbytečného odkladu informují jednotné kontaktní místo určené v souladu s článkem 8 směrnice (EU) 2016/1148 o všech relevantních informacích obsažených v oznámeních předložených podle bodu IS.I.OR.230 přílohy II tohoto nařízení a bodu IS.D.OR.230 přílohy I nařízení v přenesené pravomoci 2022/1645 provozovateli základních služeb určenými v souladu s článkem 5 směrnice (EU) 2016/1148.
Článek 8
Změna nařízení (EU) č. 1178/2011
Přílohy VI (část ARA) a VII (část ORA) nařízení (EU) č. 1178/2011 se mění v souladu s přílohou III tohoto nařízení.
Článek 9
Změna nařízení (EU) č. 748/2012
Příloha I (část 21) nařízení (EU) č. 748/2012 se mění v souladu s přílohou IV tohoto nařízení.
Článek 10
Změna nařízení (EU) č. 965/2012
Přílohy II (část ARO) a III (část ORO) nařízení (EU) č. 965/2012 se mění v souladu s přílohou V tohoto nařízení.
Článek 11
Změna nařízení (EU) č. 139/2014
Příloha II (část ADR.AR) nařízení (EU) č. 139/2014 se mění v souladu s přílohou VI tohoto nařízení.
Článek 12
Změna nařízení (EU) č. 1321/2014
Přílohy II (část 145), III (část 66) a Vc (část CAMO) nařízení (EU) č. 1321/2014 se mění v souladu s přílohou VII tohoto nařízení.
Článek 13
Změna nařízení (EU) 2015/340
Přílohy II (část ATCO.AR) a III (část ATCO.OR) nařízení (EU) 2015/340 se mění v souladu s přílohou VIII tohoto nařízení.
Článek 14
Změna prováděcího nařízení (EU) 2017/373
Přílohy II (část ATM/ANS.AR) a III (část ATM/ANS.OR) prováděcího nařízení (EU) 2017/373 se mění v souladu s přílohou IX tohoto nařízení.
Článek 15
Změna prováděcího nařízení (EU) 2021/664
Prováděcí nařízení (EU) 2021/664 se mění takto:
1) |
v čl. 15 odst. 1 se písmeno f) nahrazuje tímto:
|
2) |
v článku 18 se doplňuje nové písmeno l), které zní:
|
Článek 16
Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
Použije se od 22. února 2026.
Pokud však jde o poskytovatele letových navigačních služeb EGNOS, na kterého se vztahuje prováděcí nařízení (EU) 2017/373, použije se od 1. ledna 2026.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 27. října 2022.
Za Komisi
předsedkyně
Ursula VON DER LEYEN
(1) Úř. věst. L 212, 22.8.2018, s. 1.
(2) Nařízení Komise (EU) č. 748/2012 ze dne 3. srpna 2012, kterým se stanoví prováděcí pravidla pro certifikaci letové způsobilosti letadel a souvisejících výrobků, letadlových částí a zařízení a certifikaci ochrany životního prostředí, jakož i pro certifikaci projekčních a výrobních organizací (Úř. věst. L 224, 21.8.2012, s. 1).
(3) Nařízení Komise (EU) č. 1321/2014 ze dne 26. listopadu 2014 o zachování letové způsobilosti letadel a leteckých výrobků, letadlových částí a zařízení a schvalování organizací a personálu zapojených do těchto úkolů (přepracované znění) (Úř. věst. L 362, 17.12.2014, s. 1).
(4) Nařízení Komise (EU) č. 965/2012 ze dne 5. října 2012, kterým se stanoví technické požadavky a správní postupy týkající se letového provozu podle nařízení Evropského parlamentu a Rady (ES) č. 216/2008 (Úř. věst. L 296, 25.10.2012, s. 1).
(5) Nařízení Komise (EU) č. 1178/2011 ze dne 3. listopadu 2011, kterým se stanoví technické požadavky a správní postupy týkající se posádek v civilním letectví podle nařízení Evropského parlamentu a Rady (ES) č. 216/2008 (Úř. věst. L 311, 25.11.2011, s. 1).
(6) Nařízení Komise (EU) 2015/340 ze dne 20. února 2015, kterým se stanoví technické požadavky a správní postupy týkající se průkazů způsobilosti a osvědčení řídících letového provozu podle nařízení Evropského parlamentu a Rady (ES) č. 216/2008, kterým se mění prováděcí nařízení Komise (EU) č. 923/2012 a kterým se zrušuje nařízení Komise (EU) č. 805/2011 (Úř. věst. L 63, 6.3.2015, s. 1).
(7) Nařízení Komise (EU) č. 139/2014 ze dne 12. února 2014, kterým se stanoví požadavky a správní postupy týkající se letišť podle nařízení Evropského parlamentu a Rady (ES) č. 216/2008 (Úř. věst. L 44, 14.2.2014, s. 1).
(8) Prováděcí nařízení Komise (EU) 2021/664 ze dne 22. dubna 2021 o regulačním rámci pro vzdušný prostor U-space (Úř. věst. L 139, 23.4.2021, s. 161).
(9) Prováděcí nařízení Komise (EU) 2015/1998 ze dne 5. listopadu 2015, kterým se stanoví prováděcí opatření ke společným základním normám letecké bezpečnosti (Úř. věst. L 299, 14.11.2015, s. 1).
(10) Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (Úř. věst. L 194, 19.7.2016, s. 1).
(11) Nařízení Evropského parlamentu a Rady (EU) 2021/696 ze dne 28. dubna 2021, kterým se zavádí Kosmický program Unie a zřizuje Agentura Evropské unie pro Kosmický program a zrušují nařízení (EU) č. 912/2010, (EU) č. 1285/2013 a (EU) č. 377/2014 a rozhodnutí č. 541/2014/EU (Úř. věst. L 170, 12.5.2021, s. 69).
(12) Prováděcí nařízení Komise (EU) 2017/373 ze dne 1. března 2017, kterým se stanoví společné požadavky na poskytovatele služeb v oblasti uspořádání letového provozu / letových navigačních služeb a jiných funkcí sítě uspořádání letového provozu a dohled nad nimi, zrušují nařízení (ES) č. 482/2008, prováděcí nařízení (EU) č. 1034/2011, (EU) č. 1035/2011 a (EU) 2016/1377 a mění nařízení (EU) č. 677/2011 (Úř. věst. L 62, 8.3.2017, s. 1).
(13) https://www.easa.europa.eu/en/document-library/opinions/opinion-032021
(14) Nařízení Komise v přenesené pravomoci (EU) 2022/1645 ze dne 14. července 2022, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) 2018/1139, pokud jde o požadavky na řízení rizik bezpečnosti informací s potenciálním dopadem na bezpečnost letectví pro organizace, na něž se vztahují nařízení Komise (EU) č. 748/2012 a (EU) č. 139/2014, a kterým se mění nařízení Komise (EU) č. 748/2012 a (EU) č. 139/2014 (Úř. věst. L 248, 26.9.2022, s. 18).
(15) Nařízení Evropského parlamentu a Rady (ES) č. 300/2008 ze dne 11. března 2008 o společných pravidlech v oblasti ochrany civilního letectví před protiprávními činy a o zrušení nařízení (ES) č. 2320/2002 (Úř. věst. L 97, 9.4.2008, s. 72).
PŘÍLOHA I
BEZPEČNOST INFORMACÍ – POŽADAVKY NA ORGÁN
[PART-IS.AR]
IS.AR.100 |
Oblast působnosti |
IS.AR.200 |
Systém řízení bezpečnosti informací (ISMS) |
IS.AR.205 |
Posouzení rizik bezpečnosti informací |
IS.AR.210 |
Řešení rizik bezpečnosti informací |
IS.AR.215 |
Incidenty bezpečnosti informací — odhalení, reakce a zotavení |
IS.AR.220 |
Uzavírání smluv na činnosti týkající se řízení bezpečnosti informací |
IS.AR.225 |
Požadavky na personál |
IS.AR.230 |
Vedení záznamů |
IS.AR.235 |
Neustálé zlepšování |
IS.AR.100 Oblast působnosti
Tato část stanoví požadavky na řízení, které musí splňovat příslušné orgány uvedené v čl. 2 odst. 2 tohoto nařízení.
Požadavky, které musí tyto příslušné orgány splňovat pro výkon svých činností v oblasti certifikace, dozoru a prosazování, jsou obsaženy v nařízeních uvedených v čl. 2 odst. 1 tohoto nařízení a v článku 2 nařízení v přenesené pravomoci (EU) 2022/1645.
IS.AR.200 Systém řízení bezpečnosti informací (ISMS)
a) |
Za účelem dosažení cílů stanovených v článku 1 příslušný orgán vytvoří, provádí a udržuje systém řízení bezpečnosti informací (ISMS), který zajišťuje, že příslušný orgán:
|
b) |
Aby příslušný orgán splňoval požadavky uvedené v článku 1, provádí proces neustálého zlepšování v souladu s bodem IS.AR.235. |
c) |
Příslušný orgán dokumentuje všechny klíčové procesy, postupy, úlohy a povinnosti požadované za účelem dosažení souladu s bodem IS.AR.200 písm. a) a zavede proces pro změnu této dokumentace. |
d) |
Procesy, postupy, úlohy a povinnosti zavedené příslušným orgánem za účelem dosažení souladu s bodem IS.AR.200 písm. a) musí odpovídat povaze a složitosti jeho činností na základě posouzení rizik bezpečnosti informací spojených s uvedenými činnostmi a mohou být začleněny do jiných stávajících systémů řízení, které již příslušný orgán provádí. |
IS.AR.205 Posouzení rizik bezpečnosti informací
a) |
Příslušný orgán identifikuje všechny své prvky, které by mohly být vystaveny rizikům bezpečnosti informací. Ty zahrnují:
|
b) |
Příslušný orgán identifikuje rozhraní, která má jeho vlastní organizace s jinými organizacemi a která by mohla vést k vzájemné expozici rizikům v oblasti bezpečnosti informací. |
c) |
U prvků a rozhraní uvedených v písmenech a) a b) příslušný orgán identifikuje rizika v oblasti bezpečnosti informací, která případně mohou mít dopad na bezpečnost letectví. Pro každé zjištěné riziko příslušný orgán:
Předem stanovená klasifikace uvedená v bodě 1 zohledňuje možnost výskytu scénáře hrozeb a závažnost jeho bezpečnostních důsledků. Prostřednictvím této klasifikace a s přihlédnutím k tomu, zda má příslušný orgán pro svůj provoz strukturovaný a opakovatelný proces řízení rizik, musí být příslušný orgán schopen stanovit, zda je riziko přijatelné, nebo zda je třeba s ním zacházet v souladu s bodem IS.AR.210. V zájmu usnadnění vzájemné srovnatelnosti hodnocení rizik se při přidělování úrovně rizika podle bodu 1 zohlední příslušné informace získané v koordinaci s organizacemi uvedenými v písmenu b). |
d) |
Příslušný orgán přezkoumá a aktualizuje posouzení rizik provedené v souladu s písmeny a), b) a c) v kterémkoli z následujících případů:
|
IS.AR.210 Řešení rizik bezpečnosti informací
a) |
Příslušný orgán vypracuje opatření k řešení nepřijatelných rizik zjištěných v souladu s bodem IS.AR.205, včas je provede a kontroluje jejich trvalou účinnost. Tato opatření umožní příslušnému orgánu:
Tato opatření nesmí přinést žádná nová možná nepřijatelná rizika pro bezpečnost letectví. |
b) |
Osoba uvedená v bodě IS.AR.225 písm. a) a další dotčení pracovníci příslušného orgánu jsou informováni o výsledku posouzení rizik provedeného v souladu s bodem IS.AR.205, odpovídajících scénářích hrozeb a opatřeních, která mají být provedena. Příslušný orgán rovněž informuje organizace, s nimiž má rozhraní v souladu s bodem IS.AR.205 písm. b), o všech rizicích sdílených mezi příslušným orgánem a organizací. |
IS.AR.215 Incidenty bezpečnosti informací – odhalení, reakce a zotavení
a) |
Na základě výsledku posouzení rizik provedeného v souladu s bodem IS.AR.205 a výsledku řešení rizik provedeného v souladu s bodem IS.AR.210 provede příslušný orgán opatření k odhalování událostí, které naznačují možné naplnění nepřijatelných rizik a které mohou mít možný dopad na bezpečnost letectví. Tato opatření pro odhalování musí příslušnému orgánu umožnit:
|
b) |
Příslušný orgán zavede opatření pro reakci na všechny podmínky události zjištěné v souladu s písmenem a), které mohou přerůst nebo přerostly v incident v oblasti bezpečnosti informací. Tato reaktivní opatření musí příslušnému orgánu umožnit:
|
c) |
Příslušný orgán zavede opatření zaměřená na zotavení se z incidentů v oblasti bezpečnosti informací, včetně případných mimořádných opatření. Tato opatření k zotavení umožňují příslušnému orgánu:
|
IS.AR.220 Uzavírání smluv na činnosti týkající se řízení bezpečnosti informací
Příslušný orgán zajistí, aby při zadávání jakékoli části činností uvedených v bodě IS.AR.200 jiným organizacím byly smluvní činnosti v souladu s požadavky tohoto nařízení a aby smluvní organizace pracovala pod jeho dozorem. Příslušný orgán zajistí, aby rizika spojená se smluvními činnostmi byla vhodně řízena.
IS.AR.225 Požadavky na personál
Příslušný orgán:
a) |
má osobu, která je oprávněna vytvářet a udržovat organizační struktury, politiky, procesy a postupy nezbytné k provádění tohoto nařízení. Tato osoba:
|
b) |
má zaveden proces, který zajistí, aby měla ve službě dostatečný počet pracovníků za účelem provádění činností, na něž se vztahuje tato příloha; |
c) |
má zaveden proces, který zajistí, aby pracovníci uvedení v písmenu b) měli k plnění svých úkolů nezbytnou způsobilost; |
d) |
má zaveden proces, který zajistí, aby pracovníci uznali povinnosti spojené s přidělenými úlohami a úkoly; |
e) |
zajistí, aby byla náležitě prokázána totožnost a důvěryhodnost pracovníků, kteří mají přístup k informačním systémům a údajům, na něž se vztahují požadavky tohoto nařízení. |
IS.AR.230 Vedení záznamů
a) |
Příslušný orgán vede záznamy o svých činnostech v oblasti řízení bezpečnosti informací.
|
b) |
Příslušný orgán vede záznamy o kvalifikaci a zkušenostech svých zaměstnanců zapojených do činností v oblasti řízení bezpečnosti informací.
|
c) |
Formát záznamů je upřesněn v postupech příslušného orgánu. |
d) |
Záznamy jsou uchovávány způsobem zajišťujícím jejich ochranu před poškozením, pozměňováním a krádeží, přičemž informace se, je-li to vyžadováno, identifikují podle svého stupně utajení. Příslušný orgán zajistí, aby záznamy byly uchovávány za použití prostředků, které zajistí integritu, pravost a oprávněný přístup. information being identified, when required, according to its security classification level. |
IS.AR.235 Soustavné zlepšování
a) |
Příslušný orgán pomocí vhodných ukazatelů výkonnosti posoudí účinnost a vyspělost svého vlastního ISMS. Hodnocení se provádí na předem definovaném kalendářním základě vymezeném příslušným orgánem nebo po incidentu v oblasti bezpečnosti informací. |
b) |
Pokud jsou po posouzení provedeném podle písmene a) zjištěny nedostatky, přijme příslušný orgán nezbytná opatření ke zlepšení, aby zajistil, že systém ISMS bude i nadále splňovat platné požadavky a udrží rizika v oblasti bezpečnosti informací na přijatelné úrovni. Kromě toho příslušný orgán znovu posoudí ty prvky systému ISMS, na které mají přijatá opatření vliv. |
PŘÍLOHA II
BEZPEČNOST INFORMACÍ – POŽADAVKY ORGANIZACE
[ČÁST-IS.I.OR]
IS.I.OR.100 |
Oblast působnosti |
IS.I.OR.200 |
Systém řízení bezpečnosti informací (ISMS) |
IS.I.OR.205 |
Posouzení rizik bezpečnosti informací |
IS.I.OR.210 |
Řešení rizik bezpečnosti informací |
IS.I.OR.215 |
Systém interního hlášení v oblasti bezpečnosti informací |
IS.I.OR.220 |
Incidenty bezpečnosti informací — odhalení, reakce a zotavení |
IS.I.OR.225 |
Reakce na zjištění oznámená příslušným orgánem |
IS.I.OR.230 |
Systém externího hlášení v oblasti bezpečnosti informací |
IS.I.OR.235 |
Uzavírání smluv na činnosti týkající se řízení bezpečnosti informací |
IS.I.OR.240 |
Požadavky na personál |
IS.I.OR.245 |
Vedení záznamů |
IS.I.OR.250 |
Příručka řízení bezpečnosti informací |
IS.I.OR.255 |
Změny systému řízení bezpečnosti informací |
IS.I.OR.260 |
Neustálé zlepšování |
IS.I.OR.100 Oblast působnosti
Tato část stanoví požadavky, které musí splňovat organizace uvedené v čl. 2 odst. 1 tohoto nařízení.
IS.I.OR.200 Systém řízení bezpečnosti informací (ISMS)
a) |
Za účelem dosažení cílů stanovených v článku 1 organizace vytvoří, zavede a udržuje systém řízení bezpečnosti informací (ISMS), který zajistí, že organizace:
|
b) |
Za účelem trvalého plnění požadavků uvedených v článku 1 musí organizace zavést proces trvalého zlepšování v souladu s bodem IS.I.OR.260. |
c) |
Organizace musí v souladu s bodem IS.I.OR.250 zdokumentovat všechny klíčové procesy, postupy, role a odpovědnosti požadované pro splnění bodu IS.I.OR.200 písm. a) a musí zavést proces pro změnu této dokumentace. Změny těchto procesů, postupů, rolí a odpovědností se řídí podle bodu IS.I.OR.255. |
d) |
Procesy, postupy, úlohy a povinnosti zavedené organizací za účelem dosažení souladu s bodem IS.I.OR.200 písm. a) musí odpovídat povaze a složitosti jejích činností na základě posouzení rizik bezpečnosti informací spojených s uvedenými činnostmi a mohou být začleněny do jiných stávajících systémů řízení, které již organizace provádí. |
e) |
Aniž je dotčena povinnost dodržovat požadavky týkající se hlášení uvedené v nařízení (EU) č. 376/2014 a požadavky bodu IS.I.OR.200 písm. a) bodu 13, může příslušný úřad organizaci udělit oprávnění neprovádět požadavky uvedené v písmenech a) až d) a související požadavky uvedené v bodech IS.I.OR.205 až IS.I.OR.260, pokud ke spokojenosti uvedeného úřadu prokáže, že její činnosti, zařízení a zdroje, jakož i služby, které provozuje, poskytuje, přijímá a udržuje, nepředstavují ani pro ni, ani pro jiné organizace žádná rizika bezpečnosti informací s potenciálním dopadem na bezpečnost letectví. Schválení musí vycházet z dokumentovaného posouzení rizik bezpečnosti informací, které provede organizace nebo třetí strana v souladu s bodem IS.I.OR.205 a které přezkoumá a schválí její příslušný orgán. Platnost tohoto schválení bude přezkoumána příslušným orgánem v návaznosti na příslušný cyklus dozorových auditů a vždy, když dojde ke změnám v rozsahu činnosti organizace. |
IS.I.OR.205 Posouzení rizik bezpečnosti informací
a) |
Organizace identifikuje všechny své prvky, které by mohly být vystaveny rizikům bezpečnosti informací. Patří sem:
|
b) |
Organizace identifikuje rozhraní, která má s jinými organizacemi a která by mohla vést k vzájemné expozici rizikům v oblasti bezpečnosti informací. |
c) |
S ohledem na prvky a rozhraní uvedené v písmenech a) a b) organizace identifikuje rizika v oblasti bezpečnosti informací, která mohou mít možný dopad na bezpečnost letectví. Pro každé identifikované riziko organizace:
Předem stanovená klasifikace uvedená v bodě 1 zohledňuje možnost výskytu scénáře hrozeb a závažnost jeho bezpečnostních důsledků. Na základě této klasifikace a s přihlédnutím k tomu, zda má organizace strukturovaný a opakovatelný proces řízení rizik pro svůj provoz, musí být schopna stanovit, zda je riziko přijatelné, nebo zda je třeba s ním zacházet v souladu s bodem IS.I.OR.210. V zájmu usnadnění vzájemné srovnatelnosti hodnocení rizik se při přidělování úrovně rizika podle bodu 1 zohlední příslušné informace získané v koordinaci s organizacemi uvedenými v písmenu b). |
d) |
Organizace přezkoumá a aktualizuje posouzení rizik provedené podle písmen a), b) a případně podle písmen c) nebo e) v kterékoli z následujících situací:
|
e) |
Odchylně od písmene c) nahradí organizace, které musí splňovat požadavky hlavy C přílohy III (část ATM/ANS.OR) prováděcího nařízení (EU) 2017/373, analýzu dopadu na bezpečnost letectví analýzou dopadu na své služby podle posouzení podpory bezpečnosti požadovaného v bodě ATM/ANS.OR.C.005. Toto posouzení podpory bezpečnosti se zpřístupní poskytovatelům letových provozních služeb, kterým poskytují služby, a tito poskytovatelé letových provozních služeb jsou odpovědní za vyhodnocení dopadu na bezpečnost letectví. |
IS.I.OR.210 Řešení rizik bezpečnosti informací
a) |
Organizace vypracuje opatření k řešení nepřijatelných rizik zjištěných v souladu s bodem IS.I.OR.205, včas je provede a kontroluje jejich trvalou účinnost. Tato opatření musí organizaci umožnit:
Tato opatření nesmí přinést žádná nová možná nepřijatelná rizika pro bezpečnost letectví. |
b) |
Osoba uvedená v bodě IS.I.OR.240 písm. a) a b) a ostatní dotčení pracovníci organizace musí být informováni o výsledku posouzení rizik provedeného v souladu s bodem IS.I.OR.205, o odpovídajících scénářích hrozeb a o opatřeních, která mají být provedena. Organizace rovněž informuje organizace, s nimiž má rozhraní v souladu s bodem IS.I.OR.205 písm. b), o všech rizicích sdílených mezi oběma organizacemi. |
IS.I.OR.215 Systém interního hlášení v oblasti bezpečnosti informací
a) |
Organizace vytvoří systém interního hlášení, který umožní shromažďování a vyhodnocování událostí v oblasti bezpečnosti informací, včetně těch, které mají být hlášeny podle bodu IS.I.OR.230. |
b) |
Tento systém a postup uvedený v bodě IS.I.OR.220 umožní organizaci:
|
c) |
Každá smluvní organizace, která může organizaci vystavit rizikům v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví, je povinna této organizaci hlásit události v oblasti bezpečnosti informací. Tato hlášení se předkládají podle postupů stanovených ve zvláštních smluvních ujednáních a vyhodnocují se v souladu s písmenem b). |
d) |
Organizace spolupracuje při vyšetřování s jakoukoli jinou organizací, která významně přispívá k bezpečnosti informací v rámci své vlastní činnosti. |
e) |
Organizace může tento systém podávání hlášení integrovat s jinými systémy podávání hlášení, které již zavedla. |
IS.I.OR.220 Incidenty bezpečnosti informací – odhalení, reakce a zotavení
a) |
Na základě výsledku posouzení rizik provedeného podle bodu IS.I.OR.205 a výsledku ošetření rizik provedeného podle bodu IS.I.OR.210 organizace provede opatření k odhalování incidentů a zranitelností, které naznačují možné naplnění nepřijatelných rizik a které mohou mít možný dopad na bezpečnost letectví. Tato opatření pro odhalování musí organizaci umožnit:
|
b) |
Organizace zavede opatření, která reagují na všechny podmínky události zjištěné v souladu s písmenem a), které se mohou rozvinout nebo se rozvinuly do incidentu v oblasti bezpečnosti informací. Tato reaktivní opatření musí organizaci umožnit:
|
c) |
Organizace zavede opatření zaměřená na obnovu po incidentech v oblasti bezpečnosti informací, včetně případných mimořádných opatření. Tato opatření na obnovu musí organizaci umožnit:
|
IS.I.OR.225 Reakce na zjištění oznámená příslušným orgánem
a) |
Po obdržení oznámení o zjištěních předloženého příslušným orgánem organizace:
|
b) |
Opatření uvedená v písmenu a) se provedou ve lhůtě dohodnuté s příslušným orgánem. |
IS.I.OR.230 Systém externího hlášení v oblasti bezpečnosti informací
a) |
Organizace zavede systém podávání hlášení o bezpečnosti informací, který splňuje požadavky stanovené v nařízení (EU) č. 376/2014 a jeho aktech v přenesené pravomoci a prováděcích aktech, pokud se toto nařízení na organizaci vztahuje. |
b) |
Aniž jsou dotčeny povinnosti vyplývající z nařízení (EU) č. 376/2014, organizace zajistí, aby každý incident nebo zranitelnost v oblasti bezpečnosti informací, které mohou představovat významné riziko pro bezpečnost letectví, byly oznámeny jejich příslušnému orgánu. Dále:
|
c) |
Organizace ohlásí podmínky uvedené v písmenu b) takto:
|
IS.I.OR.235 Uzavírání smluv na činnosti týkající se řízení bezpečnosti informací
a) |
Organizace zajistí, aby při zadávání jakékoli části činností uvedených v bodě IS.I.OR.200 jiným organizacím byly zadané činnosti v souladu s požadavky tohoto nařízení a aby organizace provádějící zadání pracovala pod jejím dozorem. Organizace zajistí, aby rizika spojená se smluvními činnostmi byla náležitě řízena. |
b) |
Organizace zajistí, aby příslušný orgán mohl mít na požádání přístup do smluvní organizace, a mohl tak zjistit, zda jsou nadále plněny příslušné požadavky stanovené v tomto nařízení. |
IS.I.OR.240 Požadavky na personál
a) |
Odpovědný vedoucí organizace určený v souladu s nařízeními (EU) č. 1321/2014, (EU) č. 965/2012, (EU) č. 1178/2011, (EU) 2015/340, prováděcím nařízením (EU) 2017/373 nebo prováděcím nařízením (EU) 2021/664, jak je uvedeno v čl. 2 odst. 1 tohoto nařízení, má podnikovou pravomoc zajistit, aby všechny činnosti požadované tímto nařízením mohly být financovány a prováděny. Tato osoba:
|
b) |
Odpovědný vedoucí jmenuje osobu nebo skupinu osob, které zajistí, aby organizace splňovala požadavky tohoto nařízení, a vymezí rozsah jejich pravomoci. Tato osoba (nebo skupina osob) je podřízena přímo odpovědnému vedoucímu a má odpovídající znalosti, kvalifikaci a zkušenosti k plnění svých povinností. V postupech je určeno, kdo zastupuje určitou osobu v případě její dlouhodobé nepřítomnosti. |
c) |
Odpovědný vedoucí jmenuje osobu nebo skupinu osob s odpovědností za řízení funkce sledování souladu uvedené v bodě IS.I.OR.200 písm. a) bodě 12. |
d) |
Pokud organizace sdílí organizační struktury, politiky, procesy a postupy v oblasti bezpečnosti informací s jinými organizacemi nebo s částmi své vlastní organizace, na něž se nevztahuje oprávnění nebo prohlášení, může odpovědný vedoucí pověřit společnou odpovědnou osobu. V takovém případě se stanoví koordinační opatření mezi odpovědným vedoucím organizace a společnou odpovědnou osobou s cílem zajistit odpovídající integraci řízení bezpečnosti informací v rámci organizace. |
e) |
Odpovědný vedoucí nebo společná odpovědná osoba uvedená v písmenu d) má statutární pravomoc zavádět a udržovat organizační struktury, politiky, procesy a postupy nezbytné k provádění bodu IS.I.OR.200. |
f) |
Organizace musí mít zaveden proces, který zajistí, aby měla ve službě dostatečný počet pracovníků za účelem provádění činností, na něž se vztahuje tato příloha. |
g) |
Organizace musí mít zaveden proces, který zajistí, aby pracovníci uvedení v písmenu f) měli k plnění svých úkolů nezbytnou způsobilost. |
h) |
Organizace musí mít zaveden postup, který zajistí, aby pracovníci uznali povinnosti spojené s přidělenými úlohami a úkoly. |
i) |
Organizace zajistí, aby byla náležitě prokázána totožnost a důvěryhodnost pracovníků, kteří mají přístup k informačním systémům a údajům, na něž se vztahují požadavky tohoto nařízení. |
IS.I.OR.245 Vedení záznamů
a) |
Organizace vede záznamy o svých činnostech v oblasti řízení bezpečnosti informací
|
b) |
Organizace vede záznamy o kvalifikaci a zkušenostech vlastních zaměstnanců zapojených do činností řízení bezpečnosti informací
|
c) |
Formát záznamů je upřesněn v postupech organizace. |
d) |
Záznamy jsou uchovávány způsobem zajišťujícím jejich ochranu před poškozením, pozměňováním a krádeží, přičemž informace se, je-li to vyžadováno, identifikují podle svého stupně utajení. Organizace zajistí, aby záznamy byly uchovávány za použití prostředků, které zajistí integritu, pravost a oprávněný přístup. information being identified, when required, according to its security classification level. |
IS.I.OR.250 Příručka pro řízení bezpečnosti informací (ISMM)
a) |
Organizace zpřístupní příslušnému úřadu příručku pro řízení bezpečnosti informací (ISMM) a v příslušných případech veškeré související příručky a postupy, na něž odkazuje, která obsahuje:
|
b) |
První vydání příručky řízení bezpečnosti informací schvaluje a kopii si ponechá příslušný orgán. Příručka řízení bezpečnosti informací se mění podle potřeby tak, aby byla vždy aktuálním popisem systému ISMS organizace. Kopie všech změn příručky ISMM se poskytne příslušnému orgánu. |
c) |
Změny příručky ISMM se řídí postupem stanoveným organizací. Změny, které nespadají do oblasti působnosti tohoto postupu, a změny týkající se změn uvedených v bodě IS.I.OR.255 písm. b) schvaluje příslušný orgán. |
d) |
Organizace může integrovat příručku ISMM s jinými expozicemi nebo příručkami managementu, které má k dispozici, za předpokladu, že existuje jasný křížový odkaz, který uvádí, které části expozice nebo příručky managementu odpovídají jednotlivým požadavkům obsaženým v této příloze. |
IS.I.OR.255 Změny systému řízení bezpečnosti informací
a) |
Změny systému ISMS mohou být řízeny a oznamovány příslušnému orgánu postupem, který organizace vypracuje. Tento postup schvaluje příslušný orgán. |
b) |
Pokud jde o změny systému ISMS, na které se nevztahuje postup uvedený v písmenu a), musí organizace požádat o schválení vydané příslušným orgánem a získat ho. Pokud jde o tyto změny:
|
IS.I.OR.260 Soustavné zlepšování
a) |
Organizace musí pomocí vhodných ukazatelů výkonnosti hodnotit účinnost a vyspělost systému ISMS. Toto hodnocení se provádí na kalendářním základě předem stanoveném organizací nebo po incidentu v oblasti bezpečnosti informací. |
b) |
Pokud jsou po posouzení provedeném podle písmene a) zjištěny nedostatky, přijme organizace nezbytná opatření ke zlepšení, aby zajistila, že systém ISMS bude i nadále splňovat platné požadavky a udrží rizika bezpečnosti informací na přijatelné úrovni. Kromě toho organizace přehodnotí ty prvky systému ISMS, které jsou přijatými opatřeními ovlivněny. |
PŘÍLOHA III
Přílohy VI (část ARA) a VII (část ORA) nařízení (EU) č. 1178/2011 se mění takto:
1) |
příloha VI (část ARA) se mění takto:
|
2) |
příloha VII (část ORA) se mění takto: Za bod ORA.GEN.200 se vkládá nový bod ORA.GEN.200A, který zní: „ORA.GEN.200A Systém řízení bezpečnosti informací Kromě systému řízení uvedeného v bodě ORA.GEN.200 musí organizace vytvořit, zavést a udržovat systém řízení bezpečnosti informací v souladu s prováděcím nařízením (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“ |
PŘÍLOHA IV
Příloha I (část 21) nařízení (EU) č. 748/2012 se mění takto:
1) |
Obsah se mění takto:
|
2) |
v bodě 21.B.15 se doplňuje nové písmeno c), které zní:
|
3) |
za bod 21.B.20 se vkládá nový bod 21.B.20A, který zní: „21.B.20A Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví
|
4) |
v bodě 21.B.25 se doplňuje nové písmeno e), které zní:
|
5) |
bod 21.B.30 se mění takto:
|
6) |
v bodě 21.B.221 se doplňuje nové písmeno g), které zní:
|
7) |
za bod 21.B.240 se vkládá nový bod 21.B.240A, který zní: „21.B.240A Změny systému řízení bezpečnosti informací
|
8) |
v bodě bodu 21.B.431 se doplňuje nové písmeno d), které zní:
|
9) |
za bod 21.B.435 se vkládá nový bod 21.B.435A, který zní: „21.B.435A Změny systému řízení bezpečnosti informací
|
PŘÍLOHA V
Přílohy II (část ARO) a III (část ORO) nařízení (EU) č. 965/2012 se mění takto:
1) |
příloha II (část ARO) se mění takto:
|
2) |
příloha III (část ORO) se mění takto: za bod ORO.GEN.200 se vkládá nový bod ORO.GEN.200A, který zní: „ORO.GEN.200A Systém řízení bezpečnosti informací Kromě systému řízení uvedeného v bodě ORO.GEN.200 provozovatel zřídí, zavede a udržuje systém řízení bezpečnosti informací v souladu s prováděcím nařízením (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“ |
PŘÍLOHA VI
Příloha II (část ADR.AR) nařízení (EU) č. 139/2014 se mění takto:
1) |
v bodě ADR.AR.A.025 se doplňuje nové písmeno c), které zní:
|
2) |
za bod ADR.AR.A.030 se vkládá nový bod ADR.AR.A.030A, který zní: „ADR.AR.A.030A Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví
|
3) |
v bodě bodu ADR.AR.B.005 se doplňuje nové písmeno d), které zní:
|
4) |
bod ADR.AR.B.010 se mění takto:
|
5) |
v bodě ADR.AR.C.005 se doplňuje nové písmeno f), které zní:
|
6) |
za bod ADR.AR.C.040 se vkládá nový bod ADR.AR.C.040A, který zní: „ADR.AR.C.040A Změny systému řízení bezpečnosti informací
|
PŘÍLOHA VII
Přílohy II (část 145), III (část 66) a Vc (část CAMO) nařízení (EU) č. 1321/2014 se mění takto:
1) |
Příloha II (část 145) se mění takto:
|
2) |
Příloha III (část 66) se mění takto:
|
3) |
Příloha Vc (část CAMO) se mění takto:
|
PŘÍLOHA VIII
Přílohy II (část ATCO.AR) a III (část ATCO.OR) nařízení (EU) 2015/340 se mění takto:
1) |
Příloha II (část ATCO.AR) se mění takto:
|
2) |
Příloha III (část ATCO.OR) se mění takto: Za bod ATCO.OR.C.001 se vkládá nový bod ATCO.OR.C.001A, který zní: „ATCO.OR.C.001A Systém řízení bezpečnosti informací Kromě systému řízení uvedeného v bodě ATCO.OR.C.001 organizace pro odborný výcvik zřídí, zavede a udržuje systém řízení bezpečnosti informací v souladu s prováděcím nařízením (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“ |
PŘÍLOHA IX
Přílohy II (část ATM/ANS.AR) a III (část ATM/ANS.OR) prováděcí nařízení (EU) 2017/373 se mění takto:
1) |
Příloha II (část ATM/ANS.AR) se mění takto:
|
2) |
Příloha III (část ATM/ANS.OR) se mění takto:
|