»f)

gennemføre og opretholde et sikkerhedsstyringssystem i overensstemmelse med punkt ATM/ANS.OR.D.010 i subpart D i bilag III til gennemførelsesforordning (EU) 2017/373 og et system til styring af informationssikkerhed i overensstemmelse med bilag II (del-IS.I.OR) til gennemførelsesforordning (EU) 2023/203.«

»l)

oprette, gennemføre og opretholde et system til styring af informationssikkerhed i overensstemmelse med bilag I (del-IS.AR) til gennemførelsesforordning (EU) 2023/203.«

1)

fastlægger en politik for informationssikkerhed og fastlægger den kompetente myndigheds overordnede principper med hensyn til informationssikkerhedsrisicis potentielle indvirkning på flyvesikkerheden

2)

indkredser og gennemgår informationssikkerhedsrisici i overensstemmelse med punkt IS.AR.205

3)

udarbejder og gennemfører foranstaltninger til håndtering af informationssikkerhedsrisici i overensstemmelse med punkt IS.AR.210

4)

udarbejder og gennemfører, i overensstemmelse med punkt IS.AR.215, de foranstaltninger, der er nødvendige for at opdage informationssikkerhedsbegivenheder, finder frem til dem, der betragtes som hændelser med en potentiel indvirkning på flyvesikkerheden, og sørger for reaktion på disse informationssikkerhedshændelser og efterfølgende genopretning

5)

opfylder kravene i punkt IS.AR.220, når der indgås kontrakter med andre organisationer om en hvilken som helst del af de aktiviteter, der er beskrevet i punkt IS.AR.200

6)

opfylder personalekravene i punkt IS.AR.225

7)

opfylder registreringskravene i punkt IS.AR.230

8)

overvåger sin egen organisations opfyldelse af kravene i denne forordning og giver feedback om resultaterne til den person, der er omhandlet i punkt IS.AR.225, litra a), for at sikre en effektiv gennemførelse af afhjælpende foranstaltninger

9)

beskytter fortroligheden af alle oplysninger, som den kompetente myndighed kan have vedrørende organisationer, der er underlagt dens tilsyn, og oplysninger, som modtages gennem organisationens eksterne rapporteringsordninger, der er oprettet i overensstemmelse med punkt IS.I.OR.230 i bilag II (del-IS.I.OR) til nærværende forordning og punkt IS.D.OR.230 i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645

10)

underretter agenturet om ændringer, der påvirker den kompetente myndigheds evne til at udføre sine opgaver og varetage sit ansvar som defineret i denne forordning

11)

definerer og gennemfører procedurer for deling, hvor det er relevant og på en praktisk og rettidig måde, af relevante oplysninger for at bistå andre kompetente myndigheder og agenturer samt organisationer, der er omfattet af denne forordning, med at foretage effektive vurderinger af sikkerhedsrisici i forbindelse med deres aktiviteter.

1)

den kompetente myndigheds aktiviteter, faciliteter og ressourcer samt de tjenester, som den kompetente myndighed udøver, yder, modtager eller vedligeholder

2)

det udstyr og de systemer, data og oplysninger, som bidrager til funktionen af de elementer, der er nævnt i nr. 1)

1)

tildele et risikoniveau i henhold til en foruddefineret klassifikation fastsat af den kompetente myndighed

2)

knytte hver risiko og dens niveau til det tilsvarende element eller den tilsvarende grænseflade, der er identificeret i overensstemmelse med litra a) og b).

1)

der er sket en ændring i de elementer, der er genstand for informationssikkerhedsrisici

2)

der er sket en ændring i grænsefladerne mellem den kompetente myndigheds organisation og andre organisationer eller i de risici, der meddeles af andre organisationer

3)

der er sket en ændring i den information eller viden, der bruges til identifikation, analyse og klassificering af risici

4)

der er høstet erfaring fra analysen af informationssikkerhedshændelser.

1)

udøve kontrol over de omstændigheder, der bidrager til, at trusselsscenariet rent faktisk opstår

2)

mindske de konsekvenser for flyvesikkerheden, der er forbundet med trusselsscenariets opståen

3)

undgå risiciene.

1)

opdage afvigelser fra forudbestemte funktionelle præstationsreferencescenarier

2)

udløse advarsler for at aktivere passende reaktionsforanstaltninger i tilfælde af afvigelser.

1)

indlede en reaktion fra sin egen organisation på de advarsler, der er omhandlet i litra a), nr. 2), ved at aktivere foruddefinerede ressourcer og fremgangsmåder

2)

begrænse spredningen af et angreb og undgå, at et trusselsscenarie bliver til virkelighed

3)

kontrollere svigttilstanden for de berørte elementer, der er omhandlet i punkt IS.AR.205, litra a).

1)

fjerne den omstændighed, der forårsagede hændelsen, eller begrænse den til et acceptabelt niveau

2)

genetablere en sikker tilstand for de berørte elementer, der er omhandlet i punkt IS.AR.205, litra a), inden for en genopretningstid, der i forvejen er fastlagt af dens egen organisation.

1)

have bemyndigelse til at få fuld adgang til de ressourcer, der er nødvendige for, at den kompetente myndighed kan udføre alle de opgaver, der kræves i henhold til denne forordning

2)

være i besiddelse af den delegation af beføjelser, der nødvendig for at udføre de tildelte opgaver

1)

Den kompetente myndighed skal sikre, at følgende dokumentation arkiveres og kan spores:

2)

Dokumentationen i nr. 1), i), skal opbevares i mindst fem år efter, at kontrakten er blevet ændret eller afsluttet.

3)

Dokumentationen i nr. 1), ii) og iii), skal opbevares i mindst fem år.

4)

Dokumentationen i nr. 1), iv), skal opbevares, indtil disse informationssikkerhedsbegivenheder er blevet revurderet i overensstemmelse med den hyppighed, der er defineret i en procedure, som den kompetente myndighed har fastsat.

1)

Dokumentationen for personalets kvalifikationer og erfaring opbevares, så længe personen arbejder for den kompetente myndighed og i mindst tre år efter, at personen har fratrådt den kompetente myndighed.

2)

De ansatte skal på deres anmodning have adgang til deres personlige oplysninger. Endvidere skal den kompetente myndighed efter anmodning forsyne personalet med en udskrift af deres personlige oplysninger, når de fratræder den kompetente myndighed.

1)

fastlægger en politik for informationssikkerhed og fastlægger organisationens overordnede principper med hensyn til informationssikkerhedsrisicis potentielle indvirkning på flyvesikkerheden

2)

indkredser og gennemgår informationssikkerhedsrisici i overensstemmelse med punkt IS.I.OR.205

3)

udarbejder og gennemfører foranstaltninger til håndtering af informationssikkerhedsrisici i overensstemmelse med punkt IS.I.OR.210

4)

indfører en intern indberetningsordning for informationssikkerhed i overensstemmelse med punkt IS.I.OR.215

5)

udarbejder og gennemfører, i overensstemmelse med punkt IS.I.OR.220, de foranstaltninger, der er nødvendige for at opdage informationssikkerhedsbegivenheder, finder frem til de begivenheder, der betragtes som hændelser med en potentiel indvirkning på flyvesikkerheden, bortset fra når det er tilladt i henhold til punkt IS.I.OR.205, litra e), og sørger for reaktion på disse informationssikkerhedshændelser og efterfølgende genopretning

6)

gennemfører de foranstaltninger, som den kompetente myndighed har givet meddelelse om, som en omgående reaktion på en informationssikkerhedshændelse eller -sårbarhed med indvirkning på flyvesikkerheden

7)

træffer passende foranstaltninger i overensstemmelse med punkt IS.I.OR.225 for at følge op på de anmærkninger, som den kompetente myndighed har meddelt

8)

indfører en ekstern indberetningsordning i overensstemmelse med punkt IS.I.OR.230 med henblik på at sætte den kompetente myndighed i stand til at træffe passende foranstaltninger

9)

opfylder kravene i punkt IS.I.OR.235, når der indgås kontrakter med andre organisationer om en hvilken som helst del af de aktiviteter, der er omhandlet i punkt IS.I.OR.200

10)

opfylder personalekravene i punkt IS.I.OR.240

11)

opfylder registreringskravene i punkt IS.I.OR.245

12)

overvåger organisationens opfyldelse af kravene i denne forordning og giver feedback om resultaterne til den teknisk/økonomisk ansvarlige person for at sikre en effektiv gennemførelse af afhjælpende foranstaltninger

13)

beskytter, uden at dette berører gældende krav om indberetning af hændelser, fortroligheden af alle oplysninger, som organisationen måtte have modtaget fra andre organisationer, i henhold til deres følsomhedsgrad.

1)

organisationens aktiviteter, faciliteter og ressourcer samt de tjenester, som organisationen opererer, udøver, modtager eller vedligeholder

2)

det udstyr og de systemer, de data og de oplysninger, som bidrager til funktionen af de elementer, der er nævnt i nr. 1).

1)

tildele et risikoniveau i henhold til en foruddefineret klassifikation fastsat af organisationen

2)

knytte hver risiko og dens niveau til det tilsvarende element eller den tilsvarende grænseflade, der er identificeret i overensstemmelse med litra a) og b).

1)

der er sket en ændring i de elementer, der er genstand for informationssikkerhedsrisici

2)

der er sket en ændring i grænsefladerne mellem organisationen og andre organisationer eller i de risici, der meddeles af andre organisationer

3)

der er sket en ændring i den information eller viden, der bruges til identifikation, analyse og klassificering af risici

4)

der er høstet erfaring fra analysen af informationssikkerhedshændelser.

1)

udøve kontrol over de omstændigheder, der bidrager til, at trusselsscenariet rent faktisk opstår

2)

mindske de konsekvenser for flyvesikkerheden, der er forbundet med trusselsscenariets opståen

3)

undgå risiciene.

1)

fastlægge, hvilke af de begivenheder der indberettes i henhold til litra a), der anses som informationssikkerhedshændelser eller -sårbarheder med en potentiel indvirkning på flyvesikkerheden

2)

afdække årsagerne til og de faktorer, der medvirker til de informationssikkerhedshændelser og -sårbarheder, der fastlægges i overensstemmelse med nr. 1), og håndtere dem som led i proceduren for styring af informationssikkerhedsrisici i overensstemmelse med punkt IS.I.OR.205 og IS.I.OR.220

3)

sikre en evaluering af alle kendte og relevante oplysninger vedrørende de informationssikkerhedshændelser og -sårbarheder, der fastlægges i overensstemmelse med nr. 1)

4)

sikre indførelsen af en metode til intern distribution af oplysningerne, hvis det er nødvendigt.

1)

opdage afvigelser fra forudbestemte funktionelle præstationsreferencescenarier

2)

udløse advarsler for at aktivere passende reaktionsforanstaltninger i tilfælde af afvigelser.

1)

indlede en reaktionen på de advarsler, der er omhandlet i litra a), nr. 2), ved at aktivere foruddefinerede ressourcer og fremgangsmåder

2)

begrænse spredningen af et angreb og undgå, at et trusselsscenarie bliver til virkelighed

3)

kontrollere svigttilstanden for de berørte elementer, der er omhandlet i punkt IS.I.OR.205, litra a).

1)

fjerne den omstændighed, der forårsagede hændelsen, eller begrænse den til et acceptabelt niveau

2)

opnå en sikker tilstand for de berørte elementer, der er omhandlet i punkt IS.I.OR.205, litra a), inden for en genopretningstid, der i forvejen er fastlagt af organisationen.

1)

påvise den eller de bagvedliggende årsager til samt medvirkende faktorer, som ligger til grund for den manglende overensstemmelse

2)

fastlægge en plan for afhjælpende foranstaltninger

3)

påvise, at den manglende overensstemmelse er afhjulpet til den kompetente myndigheds tilfredshed.

1)

Hvor en sådan hændelse eller sårbarhed påvirker et luftfartøj eller et dermed forbundet system eller en dermed forbundet komponent, skal organisationen også indberette hændelsen eller sårbarheden til indehaveren af konstruktionsgodkendelsen

2)

Hvor en sådan hændelse eller sårbarhed påvirker et system eller dele heraf, der anvendes af organisationen, skal organisationen indberette hændelsen eller sårbarheden til den organisation, der er ansvarlig for konstruktionen af systemet eller komponenten.

1)

der skal foretages en underretning til den kompetente myndighed og, hvis det er relevant, til indehaveren af konstruktionsgodkendelsen eller til den organisation, der er ansvarlig for systemets eller komponentens konstruktion, så snart organisationen har fået kendskab til omstændigheden

2)

der skal forelægges en rapport for den kompetente myndighed og, hvis det er relevant, for indehaveren af konstruktionsgodkendelsen eller for den organisation, der er ansvarlig for systemets eller komponentens konstruktion, hurtigst muligt, men ikke senere end 72 timer fra det tidspunkt, hvor organisationen har fået kendskab til omstændigheden, medmindre særlige omstændigheder forhindrer dette.

Rapporten skal udarbejdes i den form, der er fastlagt af den kompetente myndighed, og skal indeholde alle de relevante oplysninger om den omstændighed, som organisationen er bekendt med

3)

der skal forelægges en opfølgningsrapport for den kompetente myndighed og, hvis det er relevant, for indehaveren af konstruktionsgodkendelsen eller for den organisation, der er ansvarlig for systemets eller komponentens konstruktion, med oplysninger om de foranstaltninger, som organisationen har truffet eller agter at træffe for at forebygge lignende informationssikkerhedshændelser i fremtiden.

Den opfølgende rapport skal forelægges, så snart disse foranstaltninger er identificeret, og skal udarbejdes i den form, der er fastlagt af den kompetente myndighed.

1)

sikre, at alle nødvendige ressourcer er til rådighed for at opfylde kravene i denne forordning

2)

fastlægge og fremme den informationssikkerhedspolitik, der er angivet i punkt IS.I.OR.200, litra a), nr. 1)

3)

udvise en grundlæggende forståelse af denne forordning.

1)

Organisationen skal sikre, at følgende dokumentation arkiveres og kan spores:

2)

Dokumentationen i nr. 1), i), skal opbevares i mindst fem år efter udløbet af godkendelsens gyldighedsperiode.

3)

Dokumentationen i nr. 1), ii), skal opbevares i mindst fem år efter, at kontrakten er blevet ændret eller afsluttet.

4)

Dokumentationen i nr. 1), iii), iv) og v), skal opbevares i mindst fem år.

5)

Dokumentationen i nr. 1), vi), skal opbevares, indtil disse informationssikkerhedsbegivenheder er blevet revurderet i overensstemmelse med den hyppighed, der er defineret i en procedure, som organisationen har fastsat.

1)

Dokumentationen for personalets kvalifikationer og erfaring skal opbevares, så længe personen arbejder for organisationen og i mindst tre år efter, at personen har fratrådt organisationen.

2)

De ansatte skal på deres anmodning have adgang til deres personlige oplysninger. Endvidere skal organisationen efter anmodning forsyne personalet med en udskrift af deres personlige oplysninger, når de fratræder organisationen.

1)

en erklæring, der er underskrevet af den teknisk/økonomisk ansvarlige person, hvori det bekræftes, at organisationen til enhver tid vil arbejde i overensstemmelse med dette bilag og med ISMM. Hvis den teknisk/økonomisk ansvarlige person ikke er organisationens administrerende direktør, skal en sådan administrerende direktør kontrasignere erklæringen

2)

stillingsbetegnelse, navn, opgaver, ansvarlighed, ansvarsområder og bemyndigelser for den eller de personer, der er defineret i punkt IS.I.OR.240, litra b) og c)

3)

stillingsbetegnelse, navn, opgaver, ansvarlighed, ansvarsområder og bemyndigelse for den fælles ansvarlige person defineret i punkt IS.I.OR.240, litra d), hvis det er relevant

4)

organisationens informationssikkerhedspolitik som omhandlet i punkt IS.I.OR.200, litra a), nr. 1)

5)

en generel beskrivelse af antallet af personalemedlemmer og disses kategorier og af det system, der er indført for at planlægge disponibiliteten af det personale, der kræves i henhold til punkt IS.I.OR.240

6)

stillingsbetegnelse, navn, opgaver, ansvarlighed, ansvarsområder og bemyndigelser for de centrale personer, der har ansvaret for gennemførelsen af punkt IS.I.OR.200, herunder den eller de personer, der har ansvaret for overvågningsfunktionen, jf. punkt IS.I.OR.200, litra a), nr. 12)

7)

en organisationsplan, der viser de tilknyttede ansvarligheds- og ansvarskæder for de personer, der er omhandlet i nr. 2) og 6)

8)

beskrivelsen af den interne indberetningsordning, jf. punkt IS.I.OR.215

9)

procedurerne for, hvordan organisationen sikrer overensstemmelse med denne del og især:

10)

oplysningerne om de på nuværende tidspunkt godkendte alternative måder for overensstemmelse.

1)

ansøgningen skal indgives, før en sådan ændring foretages, for at gøre det muligt for den kompetente myndighed at fastslå den fortsatte overensstemmelse med denne forordning og om nødvendigt ændre organisationens certifikat og de betingelser for godkendelse, som er knyttet til det

2)

organisationen skal stille alle oplysninger til rådighed for den kompetente myndighed, som denne ønsker for at evaluere ændringen

3)

ændringen må først gennemføres efter, at den kompetente myndigheds formelle godkendelse er modtaget

4)

Organisationen skal drives i overensstemmelse med de betingelser, som den kompetente myndighed foreskriver, under gennemførelsen af sådanne ændringer.

a)

I punkt ARA.GEN.125 tilføjes følgende litra c):

b)

Følgende indsættes som punkt ARA.GEN.135A efter punkt ARA.GEN.135:

»ARA.GEN.135A Omgående reaktion på en informationssikkerhedshændelse eller -sårbarhed med indvirkning på flyvesikkerheden

c)

I punkt ARA.GEN.200 tilføjes følgende litra e):

d)

I ARA.GEN.205 foretages følgende ændringer:

e)

I punkt ARA.GEN.300 tilføjes følgende litra g):

f)

Følgende indsættes som punkt ARA.GEN.330A efter punkt ARA.GEN.330:

»ARA.GEN.330A Ændring af systemet til styring af informationssikkerhed

(a)

Følgende overskrift indsættes efter overskriften 21.B.20:

»21.B.20A Omgående reaktion på en informationssikkerhedshændelse eller sårbarhed med indvirkning på flyvesikkerheden«

(b)

Overskriften til punkt 21.B.30 affattes således:

»21.B.30 Tildeling af opgaver«

(c)

Følgende overskrift indsættes efter overskriften 21.B.240:

»21.B.240A Ændring af systemet til styring af informationssikkerhed«

(d)

Følgende overskrift indsættes efter overskriften 21.B.435:

»21.B.435A Ændring af systemet til styring af informationssikkerhed«

»c)

Medlemsstatens kompetente myndighed forelægger så hurtigt som muligt agenturet alle sikkerhedsrelevante oplysninger, der er uddraget af de indberetninger om informationssikkerhed, som den har modtaget i henhold til punkt IS.D.OR.230 i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645.«

a)

Den kompetente myndighed gennemfører et system til behørig indsamling, analyse og formidling af oplysninger om informationssikkerhedshændelser og sårbarheder med potentiel indvirkning på flyvesikkerheden, som indberettes af organisationer. Dette gøres koordineret med andre relevante myndigheder med ansvar for informationssikkerhed eller cybersikkerhed i medlemsstaten for at øge koordineringen og kompatibiliteten mellem indberetningsordninger.

b)

Agenturet indfører et system til på passende vis at analysere alle relevante oplysninger, der er væsentlige for sikkerheden, som modtages i overensstemmelse med punkt 21.B.15, litra c), og giver uden unødigt ophold medlemsstaterne og Kommissionen alle de oplysninger, herunder henstillinger eller afhjælpende foranstaltninger, der skal iværksættes, som de skal bruge for at reagere rettidigt på en informationssikkerhedshændelse eller - sårbarhed med potentiel indvirkning på flyvesikkerheden, som involverer materiel, dele og apparatur, ikkefastmonteret udstyr samt personer eller organisationer, der er underlagt forordning (EU) 2018/1139 samt delegerede retsakter og gennemførelsesretsakter hertil.

c)

Efter modtagelse af de oplysninger, der er omhandlet i litra a) og b), skal den kompetente myndighed iværksætte passende foranstaltninger for at afhjælpe de potentielle virkninger på flyvesikkerheden af informationssikkerhedshændelsen eller sårbarheden.

d)

Foranstaltninger, der iværksættes i henhold til litra c), skal omgående meddeles alle personer eller organisationer, som skal overholde dem i henhold til forordning (EU) 2018/1139 samt delegerede retsakter og gennemførelsesretsakter hertil. Medlemsstatens kompetente myndighed underretter også agenturet om disse foranstaltninger og, når der kræves en kombineret indsats, de andre berørte medlemsstaters kompetente myndigheder.«

»e)

Det styringssystem, der oprettes og opretholdes af den kompetente myndighed, skal ud over kravene i litra a) være i overensstemmelse med bilag I (del-IS-AR) til gennemførelsesforordning (EU) 2023/203 for at sikre en korrekt styring af informationssikkerhedsrisici, som kan have indvirkning på flyvesikkerheden.«

(a)

Overskriften affattes således:

»21.B.30 Tildeling af opgaver«

(b)

Følgende litra c) tilføjes:

»g)

Med hensyn til certificering af og tilsyn med organisationens overholdelse af punkt 21.A.139A skal den kompetente myndighed ud over at overholde litra a)-f) gennemgå enhver godkendelse, der er givet i henhold til punkt IS.I.OR.200, litra e), i nærværende forordning eller punkt IS.D.OR.200, litra e), i delegeret forordning (EU) 2022/1645 efter den gældende cyklus for evaluering af tilsynet, og når der gennemføres ændringer i organisationens arbejdsområde.«

a)

Med hensyn til de ændringer, der styres og meddeles den kompetente myndighed i overensstemmelse med proceduren i punkt IS.D.OR.255, litra a), i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645, medtager den kompetente myndighed gennemgangen af sådanne ændringer i sit løbende tilsyn i overensstemmelse med principperne i punkt 21.B.221. Hvis der konstateres manglende overholdelse af kravene, skal den kompetente myndighed underrette organisationen herom, anmode om yderligere ændringer og handle i overensstemmelse med punkt 21.B.225.

b)

Med hensyn til andre ændringer, der kræver en ansøgning om godkendelse i overensstemmelse med punkt IS.D.OR.255, litra b), i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645:

»d)

Med hensyn til certificering af og tilsyn med organisationens overholdelse af punkt 21.A.239A skal den kompetente myndighed ud over at overholde litra a)-c) overholde følgende principper:

a)

Med hensyn til de ændringer, der styres og meddeles den kompetente myndighed i overensstemmelse med proceduren i punkt IS.D.OR.255, litra a), i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645, medtager den kompetente myndighed gennemgangen af sådanne ændringer i sit løbende tilsyn i overensstemmelse med principperne i punkt 21.B.431. Hvis der konstateres manglende overholdelse af kravene, skal den kompetente myndighed underrette organisationen herom, anmode om yderligere ændringer og handle i overensstemmelse med punkt 21.B.433.

b)

Med hensyn til andre ændringer, der kræver en ansøgning om godkendelse i overensstemmelse med punkt IS.D.OR.255, litra b), i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645:

a)

I punkt ARO.GEN.125 tilføjes følgende litra c):

b)

Følgende indsættes som punkt ARO.GEN.135A efter punkt ARO.GEN.135:

»ARO.GEN.135A    Omgående reaktion på en informationssikkerhedshændelse eller -sårbarhed med indvirkning på flyvesikkerheden

c)

I punkt ARO.GEN.200 tilføjes følgende litra e):

d)

I ARO.GEN.205 foretages følgende ændringer:

e)

I punkt ARO.GEN.300 tilføjes følgende litra g):

f)

Følgende indsættes som punkt ARO.GEN.330A efter punkt ARO.GEN.330:

»ARO.GEN.330A    Ændring af systemet til styring af informationssikkerhed

»c)

Medlemsstatens kompetente myndighed forelægger så hurtigt som muligt agenturet alle sikkerhedsrelevante oplysninger, der er uddraget af de indberetninger om informationssikkerhed, som den har modtaget i henhold til punkt IS.D.OR.230 i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645.«

a)

Den kompetente myndighed gennemfører et system til behørig indsamling, analyse og formidling af oplysninger om informationssikkerhedshændelser og -sårbarheder med potentiel indvirkning på flyvesikkerheden, som indberettes af organisationer. Dette gøres koordineret med andre relevante myndigheder med ansvar for informationssikkerhed eller cybersikkerhed i medlemsstaten for at øge koordineringen og kompatibiliteten mellem indberetningsordninger.

b)

Agenturet indfører et system til på passende vis at analysere alle relevante oplysninger, der er væsentlige for sikkerheden, som er modtages i overensstemmelse med punkt ADR.AR.A.025, litra c), og giver uden unødigt ophold medlemsstaterne og Kommissionen alle de oplysninger, herunder henstillinger eller afhjælpende foranstaltninger, der skal iværksættes, som de skal bruge for at reagere rettidigt på en informationssikkerhedshændelse eller -sårbarhed med potentiel indvirkning på flyvesikkerheden, som involverer materiel, dele og apparatur, ikkefastmonteret udstyr samt personer eller organisationer, der er underlagt forordning (EU) 2018/1139 samt delegerede retsakter og gennemførelsesretsakter hertil.

c)

Efter modtagelse af de oplysninger, der er omhandlet i litra a) og b), skal den kompetente myndighed iværksætte passende foranstaltninger for at afhjælpe de potentielle virkninger på flyvesikkerheden af informationssikkerhedshændelsen eller -sårbarheden.

d)

Foranstaltninger, der iværksættes i henhold til litra c), skal omgående meddeles alle personer eller organisationer, som skal overholde dem i henhold til forordning (EU) 2018/1139 samt delegerede retsakter og gennemførelsesretsakter hertil. Medlemsstatens kompetente myndighed underretter også agenturet om disse foranstaltninger og, når der kræves en kombineret indsats, de andre berørte medlemsstaters kompetente myndigheder.«

»d)

Det styringssystem, der oprettes og opretholdes af den kompetente myndighed, skal ud over kravene i litra a) være i overensstemmelse med bilag I (del-IS-AR) til gennemførelsesforordning (EU) 2023/203 for at sikre en korrekt styring af informationssikkerhedsrisici, som kan have indvirkning på flyvesikkerheden.«

i)

Overskriften affattes således:

»ADR.AR.B.010 Tildeling af opgaver«

ii)

Følgende litra c) tilføjes:

»f)

Med hensyn til certificering af og tilsyn med organisationens overholdelse af punkt ADR.OR.D.005A skal den kompetente myndighed ud over at overholde litra a)-e) gennemgå enhver tilladelse, der er givet i henhold til punkt IS.I.OR.200, litra e), i nærværende forordning eller punkt IS.D.OR.200, litra e), i delegeret forordning (EU) 2022/1645 efter den gældende cyklus for evaluering af tilsynet, og når der gennemføres ændringer i organisationens arbejdsområde.«

a)

Med hensyn til de ændringer, der styres og meddeles den kompetente myndighed i overensstemmelse med proceduren i punkt IS.D.OR.255, litra a), i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645, medtager den kompetente myndighed gennemgangen af sådanne ændringer i sit løbende tilsyn i overensstemmelse med principperne i punkt ADR.AR.C.005. Hvis der konstateres manglende overholdelse af kravene, skal den kompetente myndighed underrette organisationen herom, anmode om yderligere ændringer og handle i overensstemmelse med punkt ADR.AR.C.055.

b)

Med hensyn til andre ændringer, der kræver en ansøgning om godkendelse i overensstemmelse med punkt IS.D.OR.255, litra b), i bilaget (del-IS.D.OR) til delegeret forordning (EU) 2022/1645:

(a)

I indholdsfortegnelsen foretages følgende ændringer:

(b)

Følgende indsættes som punkt 145.A.200A efter punkt 145.A.200:

»145.A.200A    System til styring af informationssikkerhed

Vedligeholdelsesorganisationen skal ud over det styringssystem, der kræves i punkt 145.A.200, oprette, gennemføre og opretholde et system til styring af informationssikkerhed i overensstemmelse med gennemførelsesforordning (EU) 2023/203 for at sikre en korrekt styring af informationssikkerhedsrisici, som kan have indvirkning på flyvesikkerheden.«

(c)

I punkt 145.B.125 tilføjes følgende litra c):

(d)

Følgende indsættes som punkt 145.B.135A efter punkt 145.B.135:

»145.B.135A    Omgående reaktion på en informationssikkerhedshændelse eller sårbarhed med indvirkning på flyvesikkerheden

(e)

I punkt 145.B.200 tilføjes følgende litra e):

(f)

I punkt 145.B.205 foretages følgende ændringer:

(g)

I punkt 145.B.300 tilføjes følgende litra g):

(h)

Følgende indsættes som punkt 145.B.330A efter punkt 145.B.330:

»145.B.330A    Ændring af systemet til styring af informationssikkerhed

a)

I indholdsfortegnelsen indsættes følgende overskrift efter overskriften 66.B.10:

b)

Følgende indsættes som punkt 66.B.15 efter punkt 66.B.10:

»66.B.15    System til styring af informationssikkerhed

Den kompetente myndighed skal oprette, gennemføre og opretholde et system til styring af informationssikkerhed i overensstemmelse med bilag I (del-IS.AR) til gennemførelsesforordning (EU) 2023/203 for at sikre en korrekt styring af informationssikkerhedsrisici, som kan have indvirkning på flyvesikkerheden.«

a)

I indholdsfortegnelsen foretages følgende ændringer:

b)

Følgende indsættes som punkt CAMO.A.200A efter punkt CAMO.A.200:

»CAMO.A.200A    System til styring af informationssikkerhed

Organisationen skal ud over det styringssystem, der kræves i punkt CAMO.A.200, oprette, gennemføre og opretholde et system til styring af informationssikkerhed i overensstemmelse med gennemførelsesforordning (EU) 2023/203 for at sikre en korrekt styring af informationssikkerhedsrisici, som kan have indvirkning på flyvesikkerheden.«

c)

I punkt CAMO.B.125 tilføjes følgende litra c):

d)

Følgende indsættes som punkt CAMO.B.135A efter punkt CAMO.B.135:

»CAMO.B.135A    Omgående reaktion på en informationssikkerhedshændelse eller -sårbarhed med indvirkning på flyvesikkerheden

e)

I punkt CAMO.B.200 tilføjes følgende litra e):

f)

I CAMO.B.205 foretages følgende ændringer:

g)

I punkt CAMO.B.300 tilføjes følgende litra g):

h)

Følgende indsættes som punkt CAMO.B.330A efter punkt CAMO.B.330:

»CAMO.B.330A    Ændring af systemet til styring af informationssikkerhed

a)

I punkt ATCO.AR.A.020 tilføjes følgende litra c):

b)

Følgende indsættes som punkt ATCO.AR.A.025A efter punkt ATCO.AR.A.025:

»ATCO.AR.A.025A    Omgående reaktion på en informationssikkerhedshændelse eller -sårbarhed med indvirkning på flyvesikkerheden

c)

I punkt ATCO.AR.B.001 tilføjes følgende litra e):

d)

I ATCO.AR.B.005 foretages følgende ændringer:

e)

I punkt ATCO.AR.C.001 indsættes følgende litra f):

f)

Følgende indsættes som punkt ATCO.AR.E.010A efter punkt ATCO.AR.E.010:

»ATCO.AR.E.010A    Ændring af systemet til styring af informationssikkerhed

a)

I punkt ATM/ANS.AR.A.020 tilføjes følgende litra c):

b)

Følgende indsættes som punkt ATM/ANS.AR.A.025A efter punkt ATM/ANS.AR.A.025:

»ATM/ANS.AR.A.025A Omgående reaktion på en informationssikkerhedshændelse eller -sårbarhed med indvirkning på flyvesikkerheden

c)

I punkt ATM/ANS.AR.B.001 tilføjes følgende litra e):

d)

I punkt ATM/ANS.AR.B.005 foretages følgende ændringer:

e)

I punkt ATM/ANS.AR.C.010 tilføjes følgende litra d):

f)

Følgende indsættes som punkt ATM/ANS.AR.C.025A efter punkt ATM/ANS.AR.C.025:

»ATM/ANS.AR.C.025A Ændring af systemet til styring af informationssikkerhed

a)

Følgende indsættes som punkt ATM/ANS.OR.B.005A efter punkt ATM/ANS.OR.B.005:

»ATM/ANS.OR.B.005A System til styring af informationssikkerhed

Tjenesteudøveren skal ud over det styringssystem, der kræves i punkt ATM/ANS.OR.B.005, oprette, gennemføre og opretholde et system til styring af informationssikkerhed i overensstemmelse med gennemførelsesforordning (EU) 2023/203 for at sikre en korrekt styring af informationssikkerhedsrisici, som kan have indvirkning på flyvesikkerheden.«

b)

Punkt ATM/ANS.OR.D.010 affattes således:

»ATM/ANS.OR.D.010 Luftfartssikkerhedsstyring (security)