IS.D.OR.100

IS.D.OR.200

IS.D.OR.205

IS.D.OR.210

IS.D.OR.215

IS.D.OR.220

IS.D.OR.225

IS.D.OR.230

IS.D.OR.235

IS.D.OR.240

IS.D.OR.245

IS.D.OR.250

IS.D.OR.255

IS.D.OR.260

α)

Για την επίτευξη των στόχων που ορίζονται στο άρθρο 1, ο φορέας δημιουργεί, εφαρμόζει και διατηρεί σύστημα διαχείρισης της ασφάλειας των πληροφοριών (ISMS), το οποίο διασφαλίζει ότι ο φορέας:

β)

Προκειμένου να πληροί συνεχώς τις απαιτήσεις που αναφέρονται στο άρθρο 1, ο φορέας εφαρμόζει διαδικασία συνεχούς βελτίωσης σύμφωνα με την IS.D.OR.260.

γ)

Ο φορέας τεκμηριώνει, σύμφωνα με την IS.D.OR.250, όλες τις βασικές διεργασίες, διαδικασίες, ρόλους και αρμοδιότητες που απαιτούνται για τη συμμόρφωση με την IS.D.OR.200 στοιχείο α) και θεσπίζει διαδικασία τροποποίησης της εν λόγω τεκμηρίωσης. Η διαχείριση των αλλαγών των εν λόγω διεργασιών, διαδικασιών, ρόλων και αρμοδιοτήτων πραγματοποιείται σύμφωνα με την IS.D.OR.255.

δ)

Οι διεργασίες, οι διαδικασίες, οι ρόλοι και οι αρμοδιότητες που καθορίζονται από τον φορέα για τη συμμόρφωση με την IS.D.OR.200 στοιχείο α) αντιστοιχούν στη φύση και την πολυπλοκότητα των δραστηριοτήτων του, βάσει εκτίμησης των κινδύνων για την ασφάλεια των πληροφοριών που είναι εγγενείς στις εν λόγω δραστηριότητες, και μπορούν να ενσωματωθούν σε άλλα υφιστάμενα συστήματα διαχείρισης που εφαρμόζονται ήδη από τον φορέα.

ε)

Με την επιφύλαξη της υποχρέωσης συμμόρφωσης με τις απαιτήσεις υποβολής αναφορών που περιέχονται στον κανονισμό (ΕΕ) αριθ. 376/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (1) και τις απαιτήσεις της IS.D.OR.200 στοιχείο α) σημείο 13), ο φορέας μπορεί να λάβει έγκριση από την αρμόδια αρχή για τη μη εφαρμογή των απαιτήσεων που αναφέρονται στα στοιχεία α) έως δ) και των σχετικών απαιτήσεων που περιέχονται στις IS.D.OR.205 έως IS.D.OR.260, εάν αποδείξει στην εν λόγω αρχή ότι οι δραστηριότητες, οι εγκαταστάσεις και οι πόροι του, καθώς και οι υπηρεσίες τις οποίες εκτελεί, παρέχει, λαμβάνει και συντηρεί, δεν ενέχουν κινδύνους για την ασφάλεια των πληροφοριών με ενδεχόμενο αντίκτυπο στην ασφάλεια της αεροπορίας ούτε για τον ίδιο ούτε για άλλους φορείς. Η έγκριση βασίζεται σε τεκμηριωμένη εκτίμηση κινδύνων για την ασφάλεια των πληροφοριών, η οποία διενεργείται από τον φορέα ή τρίτο μέρος σύμφωνα με την IS.D.OR.205 και εξετάζεται και εγκρίνεται από την αρμόδια αρχή του.

Η συνεχιζόμενη ισχύς της εν λόγω έγκρισης θα επανεξετάζεται από την αρμόδια αρχή σύμφωνα με τον εφαρμοστέο κύκλο ελέγχου εποπτείας και όποτε εφαρμόζονται αλλαγές στο πεδίο εργασιών του φορέα.

α)

Ο φορέας προσδιορίζει όλα τα στοιχεία του τα οποία θα μπορούσαν να εκτεθούν σε κινδύνους για την ασφάλεια των πληροφοριών. Αυτά περιλαμβάνουν:

β)

Ο φορέας προσδιορίζει τις διεπαφές που έχει με άλλους φορείς και οι οποίες θα μπορούσαν να οδηγήσουν σε αμοιβαία έκθεση σε κινδύνους για την ασφάλεια των πληροφοριών.

γ)

Όσον αφορά τα στοιχεία και τις διεπαφές που αναφέρονται στα στοιχεία α) και β), ο φορέας προσδιορίζει τους κινδύνους για την ασφάλεια των πληροφοριών που μπορεί να έχουν ενδεχόμενο αντίκτυπο στην ασφάλεια της αεροπορίας. Για κάθε κίνδυνο που προσδιορίζεται, ο φορέας:

Στην προκαθορισμένη ταξινόμηση που αναφέρεται στο σημείο 1) λαμβάνεται υπόψη το ενδεχόμενο επέλευσης του σεναρίου απειλής και η σοβαρότητα των συνεπειών του για την ασφάλεια. Με βάση την εν λόγω ταξινόμηση, και λαμβανομένου υπόψη του αν ο φορέας διαθέτει δομημένη και επαναλαμβανόμενη διαδικασία διαχείρισης κινδύνων για πτητικές λειτουργίες, ο φορέας είναι σε θέση να διαπιστώσει αν ο κίνδυνος είναι αποδεκτός ή πρέπει να αντιμετωπιστεί σύμφωνα με την IS.D.OR.210.

Προκειμένου να διευκολύνεται η αμοιβαία συγκρισιμότητα των εκτιμήσεων κινδύνων, στον καθορισμό του επιπέδου κινδύνου σύμφωνα με το σημείο 1) λαμβάνονται υπόψη συναφείς πληροφορίες που αποκτώνται σε συντονισμό με τους φορείς που αναφέρονται στο στοιχείο β).

δ)

Ο φορέας επανεξετάζει και επικαιροποιεί την εκτίμηση κινδύνων που διενεργείται σύμφωνα με τα στοιχεία α), β) και γ) σε οποιαδήποτε από τις ακόλουθες περιπτώσεις:

α)

Ο φορέας αναπτύσσει μέτρα για την αντιμετώπιση των μη αποδεκτών κινδύνων που προσδιορίζονται σύμφωνα με την IS.D.OR.205, τα εφαρμόζει εγκαίρως και ελέγχει τη συνεχή αποτελεσματικότητά τους. Τα μέτρα αυτά επιτρέπουν στον φορέα:

Τα μέτρα αυτά δεν επιφέρουν νέους ενδεχόμενους μη αποδεκτούς κινδύνους για την ασφάλεια της αεροπορίας.

β)

Το πρόσωπο που αναφέρεται στην IS.D.OR.240 στοιχεία α) και β) και το λοιπό επηρεαζόμενο προσωπικό του φορέα ενημερώνονται για το αποτέλεσμα της εκτίμησης κινδύνων που διενεργείται σύμφωνα με την IS.D.OR.205, τα αντίστοιχα σενάρια απειλής και τα μέτρα που πρέπει να εφαρμοστούν.

Ο φορέας ενημερώνει επίσης τους φορείς με τους οποίους έχει διεπαφή σύμφωνα με την IS.D.OR.205 στοιχείο β) για κάθε κίνδυνο που είναι κοινός μεταξύ των δύο φορέων.

α)

Ο φορέας θεσπίζει εσωτερικό σύστημα αναφοράς για τη συλλογή και αξιολόγηση γεγονότων που αφορούν την ασφάλεια των πληροφοριών, συμπεριλαμβανομένων εκείνων που πρέπει να αναφέρονται σύμφωνα με την IS.D.OR.230.

β)

Το εν λόγω σύστημα και η διαδικασία που αναφέρεται στην IS.D.OR.220 επιτρέπουν στον φορέα:

γ)

Κάθε συμβεβλημένος φορέας που ενδέχεται να εκθέσει τον φορέα σε κινδύνους για την ασφάλεια των πληροφοριών με ενδεχόμενο αντίκτυπο στην ασφάλεια της αεροπορίας υποχρεούται να αναφέρει στον φορέα τα γεγονότα που αφορούν την ασφάλεια των πληροφοριών. Οι αναφορές αυτές υποβάλλονται σύμφωνα με τις διαδικασίες που καθορίζονται στις ειδικές συμβατικές ρυθμίσεις και αξιολογούνται σύμφωνα με το στοιχείο β).

δ)

Ο φορέας συνεργάζεται σε έρευνες με κάθε άλλο φορέα που συμβάλλει σημαντικά στην ασφάλεια των πληροφοριών των δραστηριοτήτων του.

ε)

Ο φορέας μπορεί να ενσωματώσει το εν λόγω σύστημα αναφοράς σε άλλα συστήματα υποβολής αναφορών που έχει ήδη εφαρμόσει.

α)

Με βάση το αποτέλεσμα της εκτίμησης κινδύνων που διενεργείται σύμφωνα με την IS.D.OR.205 και το αποτέλεσμα της αντιμετώπισης κινδύνων που διενεργείται σύμφωνα με την IS.D.OR.210, ο φορέας εφαρμόζει μέτρα για την ανίχνευση συμβάντων και τρωτών σημείων που υποδεικνύουν την πιθανή επέλευση μη αποδεκτών κινδύνων και τα οποία ενδέχεται να έχουν αντίκτυπο στην ασφάλεια της αεροπορίας. Τα εν λόγω μέτρα ανίχνευσης επιτρέπουν στον φορέα:

β)

Ο φορέας εφαρμόζει μέτρα για την αντιμετώπιση τυχόν συνθηκών γεγονότος που προσδιορίζεται σύμφωνα με το στοιχείο α) και ενδέχεται να εξελιχθεί ή να έχει εξελιχθεί σε συμβάν ασφάλειας πληροφοριών. Τα εν λόγω μέτρα αντίδρασης επιτρέπουν στον φορέα:

γ)

Ο φορέας εφαρμόζει μέτρα που αποσκοπούν στην αποκατάσταση έπειτα από συμβάντα ασφάλειας πληροφοριών, συμπεριλαμβανομένων μέτρων έκτακτης ανάγκης, εάν απαιτείται. Τα εν λόγω μέτρα αποκατάστασης επιτρέπουν στον φορέα:

α)

Μετά την παραλαβή της κοινοποίησης των ευρημάτων που έχει υποβάλει η αρμόδια αρχή, ο φορέας:

β)

Τα μέτρα που αναφέρονται στο στοιχείο α) τίθενται σε εφαρμογή εντός της προθεσμίας που έχει συμφωνηθεί με την αρμόδια αρχή.

α)

Ο φορέας εφαρμόζει σύστημα αναφοράς για την ασφάλεια των πληροφοριών που συμμορφώνεται με τις απαιτήσεις που καθορίζονται στον κανονισμό (ΕΕ) αριθ. 376/2014 και στις κατ’ εξουσιοδότηση και εκτελεστικές πράξεις του, εάν ο εν λόγω κανονισμός εφαρμόζεται στον φορέα.

β)

Με την επιφύλαξη των υποχρεώσεων που απορρέουν από τον κανονισμό (ΕΕ) αριθ. 376/2014, ο φορέας διασφαλίζει ότι κάθε συμβάν ασφάλειας πληροφοριών ή τρωτό σημείο, που ενδέχεται να συνιστά σημαντικό κίνδυνο για την ασφάλεια της αεροπορίας, αναφέρεται στην οικεία αρμόδια αρχή. Επιπλέον:

γ)

Ο φορέας αναφέρει τις καταστάσεις που αναφέρονται στο στοιχείο β) ως εξής:

α)

Ο φορέας διασφαλίζει ότι, όταν αναθέτει με σύμβαση σε άλλους φορείς οποιοδήποτε μέρος των δραστηριοτήτων που αναφέρονται στην IS.D.OR.200, οι δραστηριότητες που ανατίθενται με σύμβαση συμμορφώνονται με τις απαιτήσεις του παρόντος κανονισμού και ο συμβεβλημένος φορέας εργάζεται υπό την εποπτεία του. Ο φορέας διασφαλίζει την κατάλληλη διαχείριση των κινδύνων που συνδέονται με τις δραστηριότητες που ανατίθενται με σύμβαση.

β)

Ο φορέας διασφαλίζει ότι η αρμόδια αρχή μπορεί να έχει πρόσβαση, κατόπιν αιτήματος, στον συμβεβλημένο φορέα για να διαπιστώσει τη συνεχή συμμόρφωση με τις εφαρμοστέες απαιτήσεις που καθορίζονται στον παρόντα κανονισμό.

α)

Ο υπόλογος διευθυντής του οργανισμού ή, στην περίπτωση των φορέων σχεδιασμού, ο επικεφαλής του φορέα σχεδιασμού, ο οποίος έχει οριστεί σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 748/2012 και τον κανονισμό (ΕΕ) αριθ. 139/2014, όπως αναφέρεται στο άρθρο 2 παράγραφος 1) στοιχεία α) και β) του παρόντος κανονισμού, έχει την εξουσία νομικού προσώπου να διασφαλίζει τη χρηματοδότηση και την εκτέλεση όλων των δραστηριοτήτων που απαιτούνται από τον παρόντα κανονισμό. Το πρόσωπο αυτό:

β)

Ο υπόλογος διευθυντής ή, στην περίπτωση των φορέων σχεδιασμού, ο επικεφαλής του φορέα σχεδιασμού, διορίζει ένα πρόσωπο ή ομάδα προσώπων για να διασφαλίζει ότι ο φορέας συμμορφώνεται με τις απαιτήσεις του παρόντος κανονισμού και καθορίζει την έκταση της εξουσίας του/της. Το εν λόγω πρόσωπο ή ομάδα προσώπων λογοδοτεί απευθείας στον υπόλογο διευθυντή ή, στην περίπτωση των φορέων σχεδιασμού, στον επικεφαλής του φορέα σχεδιασμού, και διαθέτει τις κατάλληλες γνώσεις, το υπόβαθρο και την πείρα για την εκτέλεση των καθηκόντων του/της. Στις διαδικασίες καθορίζεται ποιος αντικαθιστά οποιοδήποτε πρόσωπο απουσιάζει για μεγάλο χρονικό διάστημα από τη δουλειά του.

γ)

Ο υπόλογος διευθυντής ή, στην περίπτωση των φορέων σχεδιασμού, ο επικεφαλής του φορέα σχεδιασμού, διορίζει ένα πρόσωπο ή ομάδα προσώπων που είναι αρμόδιο/-α για τη διαχείριση της λειτουργίας παρακολούθησης της συμμόρφωσης που αναφέρεται στην IS.D.OR.200 στοιχείο α) σημείο 12).

δ)

Όταν ο φορέας ανταλλάσσει οργανωτικές δομές, πολιτικές, διεργασίες και διαδικασίες για την ασφάλεια των πληροφοριών, με άλλους φορείς ή με τομείς του ίδιου του φορέα που δεν αποτελούν μέρος της έγκρισης ή της δήλωσης, ο υπόλογος διευθυντής ή, στην περίπτωση των φορέων σχεδιασμού, ο επικεφαλής του φορέα σχεδιασμού, μπορεί να αναθέτει τις δραστηριότητές του σε κοινό αρμόδιο πρόσωπο.

Στην περίπτωση αυτή, θεσπίζονται μέτρα συντονισμού μεταξύ του υπόλογου διευθυντή του φορέα ή, στην περίπτωση των φορέων σχεδιασμού, του επικεφαλής του φορέα σχεδιασμού, και του κοινού αρμόδιου προσώπου, ώστε να διασφαλίζεται επαρκής ενσωμάτωση της διαχείρισης της ασφάλειας των πληροφοριών εντός του φορέα.

ε)

Ο υπόλογος διευθυντής ή ο επικεφαλής του φορέα σχεδιασμού ή το κοινό αρμόδιο πρόσωπο που αναφέρεται στο στοιχείο δ) έχει την εξουσία νομικού προσώπου να θεσπίζει και να διατηρεί τις οργανωτικές δομές, τις πολιτικές, τις διεργασίες και τις διαδικασίες που απαιτούνται για την εφαρμογή της IS.D.OR.200.

στ)

Ο φορέας εφαρμόζει διαδικασία που διασφαλίζει ότι διαθέτει επαρκές προσωπικό σε υπηρεσία για την εκτέλεση των δραστηριοτήτων που καλύπτονται από το παρόν παράρτημα.

ζ)

Ο φορέας εφαρμόζει διαδικασία που διασφαλίζει ότι το προσωπικό που αναφέρεται στο στοιχείο στ) διαθέτει την αναγκαία επάρκεια για την εκτέλεση των καθηκόντων του.

η)

Ο φορέας εφαρμόζει διαδικασία που διασφαλίζει ότι το προσωπικό αναγνωρίζει τις αρμοδιότητες που συνδέονται με τους ανατιθέμενους ρόλους και καθήκοντα.

θ)

Ο φορέας διασφαλίζει ότι η ταυτότητα και η αξιοπιστία του προσωπικού που έχει πρόσβαση σε συστήματα πληροφοριών και δεδομένα που υπόκεινται στις απαιτήσεις του παρόντος κανονισμού είναι δεόντως εξακριβωμένες.

α)

Ο φορέας τηρεί αρχεία των δραστηριοτήτων του όσον αφορά τη διαχείριση της ασφάλειας των πληροφοριών

β)

Ο φορέας τηρεί αρχεία των προσόντων και της πείρας του προσωπικού του που συμμετέχει σε δραστηριότητες διαχείρισης της ασφάλειας των πληροφοριών.

γ)

Η μορφή των αρχείων καθορίζεται στις διαδικασίες του φορέα.

δ)

Τα αρχεία αποθηκεύονται κατά τρόπο που εξασφαλίζει προστασία έναντι φθοράς, παραποίησης και κλοπής, ενώ οι πληροφορίες προσδιορίζονται, όταν απαιτείται, ανάλογα με την αντίστοιχη διαβάθμιση ασφάλειας. Ο φορέας μεριμνά ώστε τα αρχεία να αποθηκεύονται με τη χρήση μέσων που διασφαλίζουν την ακεραιότητα, τη γνησιότητα και την εξουσιοδοτημένη πρόσβαση.

α)

Ο φορέας θέτει στη διάθεση της αρμόδιας αρχής εγχειρίδιο διαχείρισης της ασφάλειας των πληροφοριών (ISMM) και, κατά περίπτωση, τυχόν αναφερόμενα σχετικά εγχειρίδια και διαδικασίες, το οποίο περιέχει:

β)

Η αρχική έκδοση του εγχειριδίου διαχείρισης της ασφάλειας των πληροφοριών εγκρίνεται και αντίγραφο φυλάσσεται από την αρμόδια αρχή. Το εγχειρίδιο διαχείρισης της ασφάλειας των πληροφοριών τροποποιείται ανάλογα με τις ανάγκες, ώστε να παραμένει επικαιροποιημένη η περιγραφή του συστήματος διαχείρισης της ασφάλειας των πληροφοριών του φορέα. Αντίγραφο τυχόν τροποποιήσεων του εγχειριδίου διαχείρισης της ασφάλειας των πληροφοριών παρέχεται στην αρμόδια αρχή.

γ)

Η διαχείριση των τροποποιήσεων του εγχειριδίου διαχείρισης της ασφάλειας των πληροφοριών πραγματοποιείται σύμφωνα με διαδικασία την οποία θεσπίζει ο φορέας. Τυχόν τροποποιήσεις που δεν περιλαμβάνονται στο πεδίο εφαρμογής της διαδικασίας αυτής, καθώς και τυχόν τροποποιήσεις που αφορούν τις αλλαγές που απαριθμούνται στην IS.D.OR.255 στοιχείο β), εγκρίνονται από την αρμόδια αρχή.

δ)

Ο φορέας μπορεί να ενσωματώσει το εγχειρίδιο διαχείρισης της ασφάλειας των πληροφοριών σε άλλα εγχειρίδια διαχείρισης που έχει στην κατοχή του, υπό την προϋπόθεση ότι υπάρχει σαφής παραπομπή που υποδεικνύει ποια τμήματα του εγχειριδίου διαχείρισης αντιστοιχούν στις διάφορες απαιτήσεις του παρόντος παραρτήματος.

α)

Η διαχείριση των αλλαγών του συστήματος διαχείρισης της ασφάλειας των πληροφοριών και η κοινοποίησή τους στην αρμόδια αρχή μπορούν να πραγματοποιούνται στο πλαίσιο διαδικασίας που καταρτίζεται από τον φορέα. Η διαδικασία αυτή εγκρίνεται από την αρμόδια αρχή.

β)

Όσον αφορά τις αλλαγές του συστήματος διαχείρισης της ασφάλειας των πληροφοριών που δεν καλύπτονται από τη διαδικασία που αναφέρεται στο στοιχείο α), ο φορέας υποβάλλει αίτηση και λαμβάνει έγκριση που εκδίδεται από την αρμόδια αρχή.

Όσον αφορά τις αλλαγές αυτές:

α)

Ο φορέας αξιολογεί, χρησιμοποιώντας επαρκείς δείκτες επιδόσεων, την αποτελεσματικότητα και την ωριμότητα του συστήματος διαχείρισης της ασφάλειας των πληροφοριών. Η εν λόγω αξιολόγηση διενεργείται σε ημερολογιακή βάση που προκαθορίζεται από τον φορέα ή έπειτα από συμβάν ασφάλειας πληροφοριών.

β)

Εάν διαπιστωθούν ελλείψεις μετά την αξιολόγηση που διενεργείται σύμφωνα με το στοιχείο α), ο φορέας λαμβάνει τα αναγκαία μέτρα βελτίωσης για να διασφαλίσει ότι το σύστημα διαχείρισης της ασφάλειας των πληροφοριών εξακολουθεί να συμμορφώνεται με τις εφαρμοστέες απαιτήσεις και διατηρεί τους κινδύνους για την ασφάλεια των πληροφοριών σε αποδεκτό επίπεδο. Επιπλέον, ο φορέας επαναξιολογεί τα στοιχεία του συστήματος διαχείρισης της ασφάλειας των πληροφοριών που επηρεάζονται από τα θεσπισθέντα μέτρα.