a)

Unbeschadet der Verordnung (EU) Nr. 376/2014 des Europäischen Parlaments und des Rates (1) und der auf deren Grundlage erlassenen delegierten Rechtsakte und Durchführungsrechtsakte muss die Agentur ein angemessenes System für die Erfassung, Analyse und Weitergabe von Sicherheits- und Interoperabilitätsinformationen anwenden.

b)

Nach Eingang der unter Buchstabe a genannten Informationen muss die Agentur geeignete Maßnahmen ergreifen, um festgestellte Flugsicherheits-, Luftsicherheits- oder Interoperabilitätsprobleme zu beheben, einschließlich der Herausgabe von ATM/ANS-Ausrüstungsanweisungen nach Punkt ATM/ANS.EQMT.AR.A.030 des Anhangs I der Delegierten Verordnung (EU) 2023/1768.

c)

Die unter Buchstabe b ergriffenen Maßnahmen sind den betreffenden Organisationen, die diese nach Punkt DPO.OR.A.035 einhalten müssen, unverzüglich mitzuteilen. Die zuständigen Behörden der betreffenden ATM/ANS-Anbieter sind ebenfalls zu benachrichtigen.

a)

Die Agentur richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.

b)

Nach Eingang der unter Buchstabe a genannten Informationen ergreift die Agentur geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.

c)

Nach Buchstabe b ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die Agentur muss diese Maßnahmen auch den zuständigen Behörden der betreffenden Mitgliedstaaten mitteilen.

a)

Die zuständige Behörde muss ein Managementsystem einrichten und pflegen, das mindestens Folgendes umfasst:

b)

Die Agentur muss für jeden Tätigkeitsbereich des Managementsystems eine oder mehrere Personen mit leitender Gesamtverantwortlichkeit für das Management der betreffenden Aufgabe(n) benennen.

c)

Die Agentur muss Verfahren für ihre Teilnahme am gegenseitigen Austausch aller erforderlichen Informationen mit anderen in Artikel 4 der Durchführungsverordnung (EU) 2017/373 der Kommission (2) genannten zuständigen Behörden festlegen und, auch in Bezug auf Informationen, die sich aus der obligatorischen und freiwilligen Meldung von Ereignissen nach Punkt DPO.OR.A.045 ergeben, diesen Unterstützung anbieten oder diese um Unterstützung ersuchen.

d)

Das von der Agentur eingerichtete und gepflegte Managementsystem muss Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist.

a)

Die Agentur muss über ein System zur Identifizierung solcher Änderungen verfügen, die sich auf ihre Fähigkeit auswirken, ihre Aufgaben und Zuständigkeiten wahrzunehmen, die in der Verordnung (EU) 2018/1139 und den auf deren Grundlage erlassenen delegierten Rechtsakten und Durchführungsrechtsakten festgelegt sind. Dieses System muss es der Agentur ermöglichen, geeignete Maßnahmen zu ergreifen, um sicherzustellen, dass das Managementsystem angemessen und effektiv bleibt.

b)

Im Fall von Änderungen der Verordnung (EU) 2018/1139 und der auf deren Grundlage erlassenen delegierten Rechtsakte und Durchführungsrechtsakte muss die Agentur ihr Managementsystem zeitnah entsprechend aktualisieren, um dessen wirksame Umsetzung sicherzustellen.

a)

Die Agentur muss ein Aufzeichnungssystem für die angemessene Aufbewahrung, Zugänglichkeit und verlässliche Rückverfolgbarkeit von Folgendem einrichten:

b)

Die Agentur muss eine Liste aller von ihr ausgestellten Zulassungen/Zeugnisse und aller von ihr registrierten Erklärungen führen.

c)

Sämtliche unter den Buchstaben a und b genannten Aufzeichnungen müssen vorbehaltlich des geltenden Datenschutzrechts für einen Zeitraum von mindestens fünf Jahren, nachdem die Genehmigungen und Zulassungen/Zeugnisse ungültig geworden sind oder die Erklärungen zurückgezogen wurden, so aufbewahrt werden, dass sie vor Beschädigung, Veränderung und Diebstahl geschützt sind.

a)

Nach Eingang eines Antrags auf Erteilung einer Genehmigung für eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligten Organisation muss die Agentur überprüfen, ob die Organisation die Anforderungen der Anhänge II und III der Delegierten Verordnung (EU) 2023/1768 und des Anhangs II dieser Verordnung erfüllt.

b)

Die Agentur kann alle von ihr für notwendig erachteten Audits, Inspektionen oder Bewertungen verlangen, bevor sie die Genehmigung mit allen in Anlage 1 zu diesem Anhang aufgeführten einschlägigen Angaben erteilt.

c)

Die Genehmigung ist unbefristet zu erteilen. Die Rechte in Bezug auf die Tätigkeiten, für deren Ausübung der Organisation die Genehmigung erteilt wurde, müssen in den der Genehmigung beiliegenden Bedingungen festgelegt werden.

d)

Liegen noch nicht beseitigte Beanstandungen der Stufe 1 nach Punkt DPO.AR.C.015 vor, darf keine Genehmigung erteilt werden. In außergewöhnlichen Fällen muss die Organisation Beanstandungen, bei denen es sich nicht um Beanstandungen der Stufe 1 handelt, bewerten und erforderlichenfalls abmildern sowie einen Abhilfemaßnahmenplan vorlegen, der von der Agentur vor Erteilung der Genehmigung genehmigt werden muss.

e)

Jede Änderung der Genehmigung und ihrer Bedingungen muss von der Agentur genehmigt werden.

a)

Die Agentur muss ein Aufsichtsprogramm festlegen, das sie jährlich aktualisiert und in dem sie der jeweiligen Art der ihrer Aufsicht unterstehenden Organisationen, der Komplexität deren Tätigkeit und den bisherigen Ergebnissen der Zertifizierungs- und/oder Aufsichtstätigkeiten Rechnung trägt, wobei sie sich auf die Beurteilung der mit diesen Tätigkeiten jeweils verbundenen Risiken stützt. Im Rahmen des Aufsichtsprogramms müssen Audits durchgeführt werden, die

b)

Die Agentur kann erforderlichenfalls beschließen, die Ziele und den Umfang der geplanten Audits zu ändern, Unterlagen zu überprüfen und zusätzliche Audits anzuberaumen.

c)

Die Agentur muss entscheiden, welche Vorkehrungen, Elemente, physischen Orte und Tätigkeiten innerhalb eines bestimmten Zeitraums einem Audit unterzogen werden müssen.

d)

Die Bemerkungen zu einem Audit und die Beanstandungen sind nach Punkt DPO.AR.C.015 zu dokumentieren.

e)

Die Beanstandungen müssen durch Nachweise belegt und unter Bezugnahme auf die geltenden Anforderungen und die entsprechenden Durchführungsmodalitäten, auf deren Grundlage das Audit durchgeführt wurde, benannt werden.

f)

Über die Einzelheiten der Beanstandungen und Bemerkungen ist ein Auditbericht zu erstellen, der der betreffenden Organisation mitgeteilt wird.

a)

Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der Agentur gemeldet werden, muss die Agentur nach den in Punkt DPO.AR.C.005 dieses Anhangs festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die Agentur dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt DPO.AR.C.015.

b)

Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes:

a)

Stellt die Agentur im Zuge einer Untersuchung, ihrer Aufsicht oder auf andere Weise fest, dass bei einem nach dieser Verordnung geforderten Verfahren oder Handbuch oder einer nach dieser Verordnung erteilten Zertifizierung oder Erklärung geltende Anforderungen dieser Verordnung nicht eingehalten wurden, muss sie unbeschadet etwaiger zusätzlicher nach der Verordnung (EU) 2018/1139 geforderter Maßnahmen eine Beanstandung vornehmen.

b)

Die Agentur muss über ein System verfügen, um

c)

Die Agentur muss eine Beanstandung der Stufe 1 („Level 1 Finding“) vornehmen, wenn sie eine wesentliche Nichteinhaltung der ATM/ANS-Zertifizierungsgrundlage nach Punkt ATM/ANS.EQMT.AR.B.001 des Anhangs I der Delegierten Verordnung (EU) 2023/1768 feststellt, die zu einer unkontrollierten Nichtkonformität und zu einem potenziell unerwünschten Zustand führen kann.

Beanstandungen der Stufe 1 umfassen unter anderem

d)

Eine Beanstandung der Stufe 2 muss von der Agentur vorgenommen werden, wenn eine Nichtkonformität, die nicht als Beanstandung der Stufe 1 eingestuft ist, mit Folgendem festgestellt wird:

e)

Wird eine Beanstandung vorgenommen, muss die Agentur unbeschadet etwaiger zusätzlicher Maßnahmen, die nach der Verordnung (EU) 2018/1139 und den auf deren Grundlage erlassenen delegierten Rechtsakten und Durchführungsrechtsakten erforderlich sind, der betreffenden Organisation die Beanstandung schriftlich mitteilen und sie auffordern, Abhilfemaßnahmen zu ergreifen, um die festgestellte(n) Nichtkonformität(en) zu beheben.

f)

Für Fälle, die nicht unter Beanstandungen der Stufe 1 oder 2 fallen, kann die Agentur Bemerkungen abgeben.

g)

Die Agentur

h)

Ergreift die Agentur Durchsetzungsmaßnahmen nach Buchstabe g, muss sie diese dem Adressaten unter Angabe der Gründe mitteilen und den Adressaten über sein Recht, Rechtsmittel einzulegen, unterrichten.

a)

die Agentur als zuständige Behörde, die die Genehmigung erteilt;

b)

Name und vollständige Anschrift des Antragstellers;

c)

den Arbeitsumfang des Antragstellers;

d)

den Ort, an dem die Tätigkeiten durchgeführt werden sollen;

e)

die mit der Genehmigung verbundenen Rechte des Antragstellers;

f)

eine Erklärung über die Konformität und eine Compliance-Bestätigung zum Nachweis der Einhaltung der geltenden Anforderungen durch den Antragsteller;

g)

das Ausstellungsdatum und die Gültigkeit der Genehmigung;

h)

die mit der Genehmigung verbundenen zusätzlichen Bedingungen oder Einschränkungen.

a)

Anträge auf Genehmigung einer Entwicklungs- oder Herstellungsorganisation müssen in der von der Agentur vorgegebenen Form und Weise vorgelegt werden.

b)

Um eine Genehmigung zu erhalten, muss eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation die Anforderungen dieser Verordnung erfüllen, sofern diese Anforderungen für die von der betreffenden Organisation durchgeführte oder geplante Entwicklung oder Herstellung von ATM/ANS-Systemen und ATM/ANS-Komponenten gelten.

a)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss ein Organisationshandbuch erstellen und pflegen, das folgende Informationen enthält:

b)

Das Organisationshandbuch muss im jeweils erforderlichen Umfang aktualisiert werden, wobei der Agentur eine jeweils aktuelle, die Änderungen berücksichtigende Fassung zugeleitet werden muss.

c)

Werden Änderungen am Organisationshandbuch vorgeschlagen, müssen diese nach Punkt DPO.OR.B.005 dieses Anhangs beantragt und vorgelegt werden.

a)

Die Organisationsgenehmigung bleibt für einen unbegrenzten Zeitraum gültig, sofern

b)

Werden in Papierform ausgestellte Genehmigungen widerrufen oder zurückgegeben, müssen sie unverzüglich an die Agentur ausgehändigt werden.

c)

Inhaber einer Organisationsgenehmigung sind berechtigt, im Rahmen ihres Genehmigungsumfangs und entsprechend den relevanten Verfahren ihres Konstruktionsmanagementsystems

a)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss Inspektionen und Audits, die von der Agentur oder einer in ihrem Namen handelnden qualifizierten Stelle durchgeführt werden, erleichtern und diesbezüglich kooperieren, damit die Agentur ihre Befugnisse effizient und wirksam ausüben kann.

b)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss mit den ATM/ANS-Anbietern, die ihre ATM/ANS-Ausrüstung bei deren Konformitätsnachweisverfahren gegenüber den betreffenden zuständigen Behörden nutzen, zusammenarbeiten und diese unterstützen.

a)

der Grundursache der Nichteinhaltung nachgehen;

b)

einen Abhilfemaßnahmenplan erstellen;

c)

die Durchführung der Abhilfemaßnahmen zur Zufriedenheit der Agentur innerhalb der vorgeschlagenen und von der Agentur genehmigten Frist nach Punkt DPO.AR.C.015(e)(2) nachweisen.

a)

Der Inhaber einer nach dieser Verordnung erteilten Genehmigung muss

b)

Organisationen, die ihren Hauptgeschäftssitz in einem Mitgliedstaat haben, müssen in das nach Buchstabe a Nummer 1 eingerichtete System Bestimmungen für die Meldung und Weiterverfolgung von Ereignissen aufnehmen, die den Anforderungen der Verordnungen (EU) Nr. 376/2014 und (EU) 2018/1139 sowie der auf deren Grundlage erlassenen delegierten Rechtsakte und Durchführungsrechtsakte entsprechen.

c)

Der Genehmigungsinhaber muss der Agentur alle ihm bekannten Ausfälle, Fehlfunktionen, Defekte oder sonstigen Ereignisse melden, die zu einem unsicheren oder nicht leistungsgemäßen Zustand geführt haben oder führen können.

d)

Genehmigungsinhaber, die ihren Hauptgeschäftssitz nicht in einem Mitgliedstaat haben, müssen — sofern dem nicht außergewöhnliche Umstände entgegenstehen — Ereignisse so bald wie möglich und in jedem Fall spätestens 72 Stunden, nachdem die Person oder Organisation von dem betreffenden Ereignis Kenntnis erlangt hat, in der von der Agentur festgelegten Form und Weise melden.

e)

Der Genehmigungsinhaber muss ein nach Buchstabe c gemeldetes Ereignis einschließlich der Mängel, die zu diesem Ereignis geführt haben, untersuchen und der Agentur die Ergebnisse seiner Untersuchung sowie alle Maßnahmen, die er zur Behebung dieser Mängel zu ergreifen beabsichtigt oder zu deren Behebung vorschlägt melden.

a)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss ein Managementsystem einrichten und aufrechterhalten, das Folgendes umfasst:

b)

An der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisationen müssen alle zentralen Prozesse des Managementsystems dokumentieren, auch den Prozess zur Sensibilisierung des Personals für dessen Verantwortlichkeiten, sowie das Verfahren zur Änderung dieser Prozesse.

c)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss innerhalb ihres Managementsystems eine Funktion einrichten, mit der die Einhaltung der geltenden Anforderungen und die Angemessenheit der festgelegten Verfahren überwacht werden kann. Die Überwachung der Compliance beinhaltet ein Rückmeldesystem der Beanstandungen an den verantwortlichen Manager, um die wirksame Umsetzung eventuell erforderlicher Abhilfemaßnahmen sicherzustellen.

d)

Das Managementsystem muss der Größe der an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligten Organisation und der Komplexität ihrer Tätigkeiten angemessen sein, wobei die mit diesen Tätigkeiten verbundenen Gefahren und zugehörigen Risiken zu berücksichtigen sind.

e)

Zusätzlich zu dem nach Buchstabe a vorgeschriebenen Managementsystem muss die an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist.

a)

Nach Erteilung der Organisationsgenehmigung muss jede wesentliche Änderung des Managementsystems vor ihrer Umsetzung von der Agentur genehmigt werden, es sei denn, eine solche Änderung wird nach einem von der Agentur genehmigten Verfahren mitgeteilt und verwaltet. Die Organisation muss zum Nachweis der Aufrechterhaltung der Einhaltung der geltenden Anforderungen bei der Agentur einen Antrag auf Genehmigung stellen.

b)

Jede Änderung der ATM/ANS-Ausrüstung muss der Agentur vor ihrer Durchführung mitgeteilt und von ihr genehmigt werden, es sei denn, eine solche Änderung wird nach einem von der Agentur genehmigten Änderungsmanagementverfahren verwaltet. Das Änderungsmanagementverfahren legt fest, wie die betreffende Änderung an einer ATM/ANS-Ausrüstung klassifiziert wird und legt dar, wie solche Änderungen gemeldet und verwaltet werden.

a)

Extern vergebene Tätigkeiten sind alle gemäß den Genehmigungsbedingungen der Organisation erfassten Tätigkeiten, die von anderen Organisationen durchgeführt werden, die entweder selbst für die Durchführung dieser Tätigkeiten zertifiziert sind, oder, falls dies nicht der Fall ist, unter der Aufsicht einer derartigen Organisation tätig sind. Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss sicherstellen, dass bei der Vergabe eines Teils ihrer Tätigkeiten an externe Organisationen oder beim Erwerb eines Teils ihrer Tätigkeiten von externen Organisationen die unter Vertrag genommenen bzw. erworbenen Tätigkeiten den geltenden Anforderungen entsprechen.

b)

Vergibt eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation einen Teil ihrer Tätigkeiten an eine Organisation, die nicht selbst für die Durchführung dieser Tätigkeiten gemäß dieser Verordnung zertifiziert ist, muss sie sicherstellen, dass die unter Vertrag genommene Organisation unter ihrer Aufsicht tätig ist. Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss sicherstellen, dass die Agentur Zugang zu der unter Vertrag genommenen Organisation erhält, um festzustellen, ob diese die geltenden Anforderungen dieser Verordnung kontinuierlich erfüllt.

a)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss einen verantwortlichen Manager benennen, der die Befugnis hat sicherzustellen, dass alle Tätigkeiten im Einklang mit den geltenden Anforderungen dieser Verordnung finanziert und durchgeführt werden können. Der verantwortliche Manager ist für die Einrichtung und Aufrechterhaltung eines effektiven Managementsystems verantwortlich.

b)

Zudem müssen die Befugnisse, Pflichten und Zuständigkeiten der benannten Stelleninhaber, insbesondere des für die Flug- und Luftsicherheit, Qualität, Finanzen und Humanressourcen jeweils zuständigen Managementpersonals festgelegt werden.

a)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss ein Aufzeichnungssystem einrichten, das eine angemessene Speicherung der Aufzeichnungen und die zuverlässige Rückverfolgbarkeit aller ihrer Tätigkeiten ermöglicht und insbesondere alle in Punkt DPO.OR.B.001 genannten Elemente abdeckt.

b)

Das Format und den Aufbewahrungszeitraum für die unter Buchstabe a genannten Aufzeichnungen muss die Organisation in ihren Verfahren für das Managementsystem festlegen.

c)

Die Aufzeichnungen müssen so aufbewahrt werden, dass sie vor Beschädigung, Änderung und Diebstahl geschützt sind.

d)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss eine Registrierung der eingesetzten ATM/ANS-Ausrüstung gewährleisten und diese aufrechterhalten.

a)

Eine Person, die eine Genehmigung als Entwicklungs- oder Herstellungsorganisation für ATM/ANS-Ausrüstung beantragt oder innehat, ist zu Folgendem berechtigt (falls zutreffend):

b)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss in Bezug auf die Entwicklungstätigkeiten

c)

Eine an der Entwicklung oder Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation muss in Bezug auf die Herstellungstätigkeiten

d)

Zusätzlich zu Buchstabe c ist eine an der Herstellung von ATM/ANS-Ausrüstung beteiligte Organisation berechtigt, im Rahmen ihrer Genehmigungsbedingungen zu überprüfen, ob jede fertiggestellte ATM/ANS-Ausrüstung den geltenden Konstruktionsdaten entspricht und sich in einem betriebssicheren Zustand befindet, bevor sie ein EASA-Freigabeformblatt ausstellt, aus dem hervorgeht, dass die ATM/ANS-Ausrüstung gemäß den geltenden Anforderungen dieser Verordnung und den anwendbaren Konstruktionsdaten hergestellt wurde.

e)

Das EASA-Freigabeformblatt nach Buchstabe d muss für jede hergestellte ATM/ANS-Ausrüstung mindestens folgende Angaben enthalten:

a)

Je nach Sachlage besteht zwischen den Entwicklungs- und Herstellungstätigkeiten eine zufriedenstellende Koordinierung und es werden entsprechende Vorkehrungen getroffen.

b)

Je nach Sachlage besteht hinsichtlich der Aufrechterhaltung der Eignung der ATM/ANS-Ausrüstung eine zufriedenstellende Koordinierung mit den einschlägigen ATM/ANS-Anbietern und Luftfahrtunternehmen, die zudem angemessen unterstützt werden.

a)

geeignete Abhilfemaßnahmen vorschlagen und diese unter Angabe von Einzelheiten der Agentur zur Genehmigung vorlegen,

b)

nach Genehmigung des in Buchstabe a genannten Vorschlags durch die Agentur allen bekannten Nutzern oder Eigentümern von ATM/ANS-Ausrüstung sowie auf Anfrage allen Personen, die die ATM/ANS-Ausrüstungsanweisungen einhalten müssen, geeignete beschreibende Daten und Ausführungsanweisungen zur Verfügung stellen.