IS.D.OR.100

IS.D.OR.200

IS.D.OR.205

IS.D.OR.210

IS.D.OR.215

IS.D.OR.220

IS.D.OR.225

IS.D.OR.230

IS.D.OR.235

IS.D.OR.240

IS.D.OR.245

IS.D.OR.250

IS.D.OR.255

IS.D.OR.260

a)

For at nå de mål, der er fastsat i artikel 1, skal organisationen oprette, gennemføre og opretholde et system til styring af informationssikkerhed (ISMS), som sikrer, at organisationen:

b)

For kontinuerligt at opfylde kravene i artikel 1 skal organisationen gennemføre en løbende forbedringsproces i overensstemmelse med punkt IS.D.OR.260.

c)

Organisationen skal i overensstemmelse med punkt IS.D.OR.250 dokumentere alle centrale processer, procedurer, roller og ansvarsområder, der er nødvendige for at overholde punkt IS.D.OR.200, litra a), og fastlægge en procedure for ændring af denne dokumentation. Ændringer af disse processer, procedurer, roller og ansvarsområder skal forvaltes i overensstemmelse med punkt IS.D.OR.255.

d)

De processer, procedurer, roller og ansvarsområder, som organisationen har fastlagt med henblik på at overholde punkt IS.D.OR.200, litra a), skal stemme overens med karakteren og kompleksiteten af organisationens aktiviteter på grundlag af en vurdering af de informationssikkerhedsrisici, der er forbundet med disse aktiviteter, og kan integreres i andre eksisterende administrationssystemer, som organisationen allerede har indført.

e)

Uden at det berører forpligtelsen til at opfylde indberetningskravene i Europa-Parlamentets og Rådets forordning (EU) nr. 376/2014 (1) og kravene i punkt IS.D.OR.200, litra a), nr. 13), kan organisationen få tilladelse af den kompetente myndighed til ikke at gennemføre de krav, der er omhandlet i litra a)-d), og de relaterede krav i punkt IS.D.OR.205 til IS.D.OR.260, hvis den over for myndigheden godtgør, at dens aktiviteter, faciliteter og ressourcer samt de tjenester, den udøver, yder, modtager og vedligeholder, ikke udgør nogen informationssikkerhedsrisiko med potentiel indvirkning på luftfartssikkerheden, hverken for sig selv eller for andre organisationer. Godkendelsen skal baseres på en dokumenteret vurdering af informationssikkerhedsrisici, der er udført af organisationen eller en tredjepart i overensstemmelse med punkt IS.D.OR.205 og gennemgået og godkendt af dens kompetente myndighed.

Godkendelsens fortsatte gyldighed vil blive gennemgået af den kompetente myndighed efter den gældende cyklus for evaluering af tilsynet, og når der gennemføres ændringer i organisationens arbejdsområde.

a)

Organisationen skal identificere alle dens elementer, som kan være udsat for informationssikkerhedsrisici. Dette skal omfatte:

b)

Organisationen skal identificere de grænseflader, den har med andre organisationer, og som kan medføre gensidig eksponering for informationssikkerhedsrisici.

c)

Med hensyn til de elementer og grænseflader, der er omhandlet i litra a) og b), skal organisationen identificere de informationssikkerhedsrisici, som kan have en potentiel indvirkning på luftfartssikkerheden. For hver identificeret risiko skal organisationen:

Der skal i forbindelse med den foruddefinerede klassificering, der er omhandlet i nr. 1), tages hensyn til trusselsscenariets potentielle opståen og alvoren af de sikkerhedsmæssige konsekvenser heraf. På grundlag af denne klassificering og under hensyntagen til, hvorvidt organisationen har en struktureret og repeterbar risikostyringsprocedure for operationer, skal organisationen kunne fastslå, hvorvidt risikoen er acceptabel eller skal behandles i overensstemmelse med punkt IS.D.OR.210.

For at lette den gensidige sammenlignelighed af risikovurderinger skal der ved tildelingen af risikoniveauet i henhold til nr. 1) tages hensyn til relevante oplysninger, der er indhentet i samarbejde med de organisationer, der er omhandlet i litra b).

d)

Organisationen skal gennemgå og ajourføre den risikovurdering, der udføres i overensstemmelse med litra a), b) og c), i følgende situationer:

a)

Organisationen skal udvikle foranstaltninger til håndtering af de uacceptable risici, der identificeres i overensstemmelse med punkt IS.D.OR.205, gennemføre dem rettidigt og kontrollere deres fortsatte effektivitet. Disse foranstaltninger skal gøre det muligt for organisationen at:

Disse foranstaltninger må ikke medføre nye potentielle uacceptable risici for luftfartssikkerheden.

b)

Den person, der er omhandlet i punkt IS.D.OR.240, litra a) og b), og andet berørt personale i organisationen skal orienteres om resultatet af den risikovurdering, der udføres i overensstemmelse med punkt IS.D.OR.205, de tilsvarende trusselsscenarier og de foranstaltninger, der skal gennemføres.

Organisationen skal også underrette organisationer, som den har en grænseflade med, jf. punkt IS.D.OR.205, litra b), om enhver risiko, der deles af begge organisationer.

a)

Organisationen skal etablere en intern indberetningsordning for at muliggøre indsamling og evaluering af informationssikkerhedsbegivenheder, herunder begivenheder der skal indberettes i henhold til punkt IS.D.OR.230.

b)

Denne ordning og den proces, der er omhandlet i punkt IS.D.OR.220, skal gøre det muligt for organisationen at:

c)

Enhver organisation, med hvilken der er indgået kontrakt, og som kan udsætte organisationen for informationssikkerhedsrisici med potentiel indvirkning på luftfartssikkerheden, skal indberette informationssikkerhedsbegivenheder til organisationen. Disse indberetninger indsendes i henhold til de procedurer, der er fastsat i de specifikke kontraktlige ordninger, og evalueres i overensstemmelse med litra b).

d)

Organisationen skal arbejde sammen om undersøgelser med enhver anden organisation, der yder et væsentligt bidrag til informationssikkerheden for sine egne aktiviteter.

e)

Organisationen kan integrere denne indberetningsordning med andre indberetningsordninger, som den allerede har indført.

a)

Baseret på resultatet af den risikovurdering, der udføres i overensstemmelse med punkt IS.D.OR.205, og resultatet af den risikohåndtering, der udføres i overensstemmelse med punkt IS.D.OR.210, skal organisationen gennemføre foranstaltninger for at opdage hændelser og sårbarheder, der potentielt kan bevirke, at der opstår uacceptable risici, og som kan have en potentiel indvirkning på luftfartssikkerheden. Disse opdagelsesforanstaltninger skal gøre det muligt for organisationen at:

b)

Organisationen skal gennemføre foranstaltninger som reaktion på enhver omstændighed i forbindelse med en begivenhed i overensstemmelse med litra a), som kan udvikle sig eller har udviklet sig til en informationssikkerhedshændelse. Disse reaktionsforanstaltninger skal gøre det muligt for organisationen at:

c)

Organisationen skal gennemføre foranstaltninger med henblik på genopretning efter informationssikkerhedshændelser, herunder om nødvendigt nødforanstaltninger. Disse genopretningsforanstaltninger skal gøre det muligt for organisationen at:

a)

Efter modtagelsen af meddelelsen om anmærkninger, som den kompetente myndighed har forelagt, skal organisationen:

b)

Foranstaltningerne som omhandlet i litra a) skal træffes inden for den frist, der er aftalt med den pågældende kompetente myndighed.

a)

Organisationen skal indføre et indberetningssystem for informationssikkerhed, der opfylder kravene i forordning (EU) nr. 376/2014 og i dennes delegerede retsakter og gennemførelsesretsakter, hvis nævnte forordning finder anvendelse på organisationen.

b)

Uden at det berører forpligtelserne i henhold til forordning (EU) nr. 376/2014, skal organisationen sikre, at enhver informationssikkerhedshændelse eller sårbarhed, der kan udgøre en væsentlig risiko for luftfartssikkerheden, indberettes til dens kompetente myndighed. Derudover:

c)

Organisationen skal indberette de omstændigheder, der er omhandlet i litra b), som følger:

a)

Organisationen skal sikre at, når der er indgået kontrakt om enhver del af aktiviteterne i punkt IS.D.OR.200 med andre organisationer, opfylder disse aktiviteter kravene i denne forordning, og den organisation, med hvilken der er indgået kontrakt, arbejder under organisationens tilsyn. Organisationen skal sikre, at de risici, der er forbundet med de udliciterede aktiviteter, håndteres hensigtsmæssigt.

b)

Organisationen skal sikre, at den kompetente myndighed efter anmodning kan få adgang til den organisation, med hvilken der er indgået kontrakt, for at fastlægge, om de gældende krav i denne forordning fortsat er opfyldt.

a)

Den teknisk/økonomisk ansvarlige person eller, hvis der er tale om konstruktionsorganisationer, lederen af konstruktionsorganisationen, som er udpeget i overensstemmelse med forordning (EU) nr. 748/2012 og forordning (EU) nr. 139/2014, jf. artikel 2, nr. 1), litra a) og b), i denne forordning, skal have organisationens bemyndigelse til at sikre, at alle de aktiviteter, der kræves i henhold til denne forordning, kan finansieres og udføres. Denne person skal:

b)

Den teknisk/økonomisk ansvarlige person eller, hvis der er tale om konstruktionsorganisationer, lederen af konstruktionsorganisationen skal udpege en person eller en gruppe af personer for at sikre, at organisationen opfylder kravene i denne forordning, og skal definere omfanget af deres beføjelser. Denne person eller gruppe af personer skal rapportere direkte til den teknisk/økonomisk ansvarlige person eller, hvis der er tale om konstruktionsorganisationer, til lederen af konstruktionsorganisationen og skal have den nødvendige viden, baggrund og erfaring til at varetage sit ansvar. Det skal fastlægges i procedurerne, hvem der er stedfortræder for en given person i tilfælde af, at denne person er fraværende i længere tid.

c)

Den teknisk/økonomisk ansvarlige person eller, hvis der er tale om konstruktionsorganisationer, lederen af konstruktionsorganisationen skal udpege en person eller en gruppe af personer med ansvar for at forvalte den overvågningsfunktion, der er angivet i punkt IS.D.OR.200, litra a), nr. 12).

d)

Når organisationen deler organisationsstrukturer, politikker, processer og procedurer for informationssikkerhed med andre organisationer eller med områder af deres egen organisation, som ikke er omfattet af godkendelsen eller erklæringen, kan den teknisk/økonomisk ansvarlige person eller, hvis der er tale om konstruktionsorganisationer, lederen af konstruktionsorganisationen uddelegere sine aktiviteter til en fælles ansvarlig person.

I et sådant tilfælde skal der træffes koordineringsforanstaltninger mellem organisationens teknisk/økonomisk ansvarlige person eller, hvis der er tale om konstruktionsorganisationer, lederen af konstruktionsorganisationen og den fælles ansvarlige person for at sikre tilstrækkelig integration af styringen af informationssikkerheden i organisationen.

e)

Den teknisk/økonomisk ansvarlige personeller lederen af konstruktionsorganisationen eller den fælles ansvarlige person, der er omhandlet i litra d), skal have organisationens bemyndigelse til at etablere og vedligeholde de organisationsstrukturer, politikker, processer og procedurer, der er nødvendige for at gennemføre punkt IS.D.OR.200.

f)

Organisationen skal indføre en procedure for at sikre, at den har tilstrækkeligt personale i tjeneste til at udføre de aktiviteter, der er omfattet af dette bilag.

g)

Organisationen skal indføre en procedure for at sikre, at det personale, der er omhandlet i litra f), har de nødvendige kompetencer til at udføre deres opgaver.

h)

Organisationen skal indføre en procedure for at sikre, at personalet anerkender det ansvar, der er forbundet med de tildelte roller og opgaver.

i)

Organisationen skal sikre, at identiteten og troværdigheden af det personale, som har adgang til informationssystemer og data, der er omfattet af kravene i denne forordning, er behørigt fastlagt.

a)

Organisationen skal føre dokumentation for sine aktiviteter inden for styring af informationssikkerhed

b)

Organisationen skal føre dokumentation for kvalifikationer og erfaring hos sit eget personale, der er involveret i aktiviteter inden for styring af informationssikkerhed

c)

Formatet for dokumentationen specificeres i organisationens procedurer.

d)

Dokumentationen skal lagres på en måde, der sikrer beskyttelse mod skade, forandringer og tyveri, idet oplysningerne identificeres, når det er nødvendigt, i henhold til deres sikkerhedsklassificeringsniveau. Organisationen skal sikre, at dokumentationen lagres på en måde, der sikrer integritet, ægthed og autoriseret adgang.

a)

Organisationen skal stille en håndbog til styring af informationssikkerhed (ISMS) til rådighed for den kompetente myndighed og, hvis det er relevant, alle dertil knyttede håndbøger og procedurer, der indeholder:

b)

Den kompetente myndighed godkender og opbevarer en kopi af den første udstedelse af den pågældende ISMM. ISMM skal ændres i det nødvendige omfang for at forblive en ajourført beskrivelse af organisationens ISMS. En kopi af alle ændringer af ISMM'en skal sendes til den kompetente myndighed.

c)

Ændringer af ISMM skal forvaltes efter en procedure, der fastlægges af organisationen. Ændringer, der ikke er omfattet af denne procedure, og ændringer i forbindelse med de ændringer, der er omhandlet i punkt IS.D.OR.255, litra b), skal godkendes af den kompetente myndighed.

d)

Organisationen kan integrere ISMM'en i andre redegørelser eller håndbøger, den er i besiddelse af, forudsat at der er en klar krydshenvisning, der angiver, hvilke dele af redegørelsen eller håndbogen der svarer til de forskellige krav i dette bilag.

a)

Ændringer af ISMS kan håndteres og formidles til den kompetente myndighed efter en procedure, der er udviklet af organisationen. Denne procedure skal godkendes af den kompetente myndighed.

b)

For ændringer af ISMS, der ikke er omfattet af proceduren i litra a), skal organisationen ansøge om og opnå en godkendelse udstedt af den kompetente myndighed.

Hvad angår disse ændringer:

a)

Organisationen skal ved hjælp af passende resultatindikatorer vurdere effektiviteten og modenheden af ISMS. Denne vurdering skal foretages med en hyppighed, som organisationen på forhånd har fastsat, eller efter en informationssikkerhedshændelse.

b)

Hvis der konstateres mangler efter den vurdering, der foretages i henhold til litra a), skal organisationen træffe de nødvendige udbedrende foranstaltninger for at sikre, at ISMS fortsat opfylder de gældende krav og bevarer informationssikkerhedsrisiciene på et acceptabelt niveau. Desuden skal organisationen revurdere de elementer i ISMS, som påvirkes af de vedtagne foranstaltninger.