a)

Ilma et see piiraks Euroopa Parlamendi ja nõukogu määruse (EL) nr 376/2014 (1) ning selle alusel vastu võetud delegeeritud õigusaktide ja rakendusaktide kohaldamist, rakendab amet süsteemi ohutus-, turvalisus- ja koostalitlusteabe nõuetekohaseks kogumiseks, analüüsimiseks ja levitamiseks.

b)

Pärast alapunktis a osutatud teabe saamist võtab amet asjakohased meetmed tuvastatud ohutus-, julgeoleku- või koostalitlusprobleemi lahendamiseks, sealhulgas annab välja ATM/ANS-seadmeid käsitlevaid ettekirjutusi vastavalt delegeeritud määruse (EL) 2023/1768 I lisa punktile ATM/ANS.EQMT.AR.A.030.

c)

Alapunkti b kohaselt võetud meetmetest teavitatakse viivitamata asjaomast organisatsiooni, kes on kohustatud neid järgima punkti DPO.OR.A.035 kohaselt. Samuti teavitatakse asjaomaste ATM/ANS-teenuste osutajate pädevaid asutusi.

a)

Amet rakendab süsteemi, et asjakohaselt koguda, analüüsida ja levitada teavet, mis on seotud organisatsioonide teatatud infoturvaintsidentide või turvaaukudega, mis võivad mõjutada lennuohutust. Seda tehakse kooskõlastatult kõigi muude asjaomaste asutustega, kes vastutavad liikmesriigis info- või küberturvalisuse eest, et suurendada aruandluskavade kooskõlastatust ja ühilduvust.

b)

Pärast alapunktis a osutatud teabe saamist võtab amet asjakohased meetmed, et käsitleda infoturvaintsidendi või turvaaugu võimalikku mõju lennuohutusele.

c)

Alapunkti b kohaselt võetud meetmetest teavitatakse viivitamata kõiki isikuid ja organisatsioone, kes järgivad neid meetmeid vastavalt määrusele (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusaktidele ja rakendusaktidele. Amet teavitab nendest meetmetest ka asjaomaste liikmesriikide pädevaid asutusi.

a)

Amet kehtestab ja haldab juhtimissüsteemi, mis sisaldab vähemalt järgmist:

b)

Amet määrab juhtimissüsteemi iga tegevusvaldkonna jaoks ühe või mitu isikut, kes on üldiselt vastutavad asjakohaste ülesannete haldamise eest.

c)

Amet kehtestab korra kogu vajaliku teabe vastastikuseks vahetamiseks komisjoni rakendusmääruse (EL) 2017/373 (2) artiklis 4 osutatud mis tahes muude pädevate asutustega ning annab neile abi või taotleb neilt abi, sealhulgas teavet, mis tuleneb lennuohutust mõjutavatest juhtumitest kohustuslikust ja vabatahtlikust teatamisest punkti DPO.OR.A.045 kohaselt.

d)

Lennuohutust mõjutada võivate infoturvariskide nõuetekohase juhtimise tagamiseks peab ameti kehtestatud ja hallatav juhtimissüsteem vastama rakendusmääruse (EL) 2023/203 I lisale (osa IS.AR).

a)

Ametil peab olema süsteem selliste muudatuste kindlakstegemiseks, mis mõjutavad tema suutlikkust täita määruses (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusaktides ja rakendusaktides kindlaks määratud ülesandeid ja kohustusi. See süsteem võimaldab ametil võtta vajaduse korral meetmeid juhtimissüsteemi asjakohasuse ja tõhususe tagamiseks.

b)

Amet peab juhtimissüsteemi ajakohastama nii, et see kajastaks õigeaegselt kõiki määruse (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusaktide ja rakendusaktide muudatusi ning tagaks juhtimissüsteemi tõhusa rakendamise.

a)

Amet võtab kasutusele ja haldab andmete registreerimise süsteemi, mis võimaldab nõuetekohase juurdepääsetavuse järgmisele teabele, selle säilitamise ja usaldusväärse jälgitavuse:

b)

Amet peab kõikide väljastatud sertifikaatide ja registreeritud deklaratsioonide registrit.

c)

Kõiki andmeid a ja b osutatud registreid säilitatakse viisil, mis tagab kaitse kahjustumise, muutmise ja varguse eest. Andmeid säilitatakse vähemalt viis aastat pärast heakskiitude ja sertifikaatide kehtivuse lõppemist või deklaratsioonide kehtetuks tunnistamist, kui kohaldatavast andmekaitseseadusest ei tulene teisiti.

a)

ATM/ANS-seadmete projekteerimises või tootmises osaleva organisatsiooni sertifitseerimistaotluse saamisel kontrollib amet organisatsiooni vastavust delegeeritud määruse (EL) 2023/1768 II ja III lisas ning käesoleva määruse II lisas kindlaks määratud nõuetele.

b)

Amet võib enne sertifikaadi andmist nõuda mis tahes auditeid, inspekteerimisi või hindamisi koos kogu käesoleva lisa 1. liites kindlaks määratud asjakohase teabe esitamisega, kui ta peab seda vajalikuks.

c)

Sertifikaat antakse tähtajatult. Tegevused, milleks organisatsioonile õigused antakse, määratakse kindlaks sertifikaadile lisatud tingimustes.

d)

Sertifikaati ei anta välja, kui punktis DPO.AR.C.015 osutatud esimese astme puudus on kõrvaldamata. Erandlikel asjaoludel (muu kui esimese astme puuduse korral) hindab ja leevendab organisatsioon puudust vastavalt vajadusele ning enne sertifikaadi väljaandmist kiidab amet heaks parandusmeetmete kava puuduse kõrvaldamiseks.

e)

Heakskiidu ja selle tingimuste iga muudatus peab saama ameti kinnituse.

a)

Amet koostab järelevalveprogrammi ja igal aastal ajakohastab seda kaasnevatele riskidele antud hinnangu alusel, võttes arvesse tema järelevalve all olevate organisatsioonide eripära, nende tegevuse keerukust ja varasemate sertifitseerimiste või järelevalvetegevuste tulemusi. Järelevalveprogramm peab sisaldama auditeid, mis:

b)

Pädev asutus võib vajaduse korral otsustada muuta eelnevalt kavandatud auditi eesmärki ja ulatust. Sellega võivad kaasneda dokumentide täiendav läbivaatamine ja täiendavad auditid.

c)

Amet otsustab, milliseid meetmeid, elemente, füüsilisi asukohti ja tegevusi tuleb kindlaksmääratud aja jooksul auditeerida.

d)

Punkti DPO.AR.C.015 kohaselt tehtud auditi tähelepanekud ja leitud puudused dokumenteeritakse.

e)

Auditi käigus leitud puuduste kohta tuleb esitada tõendid ja need identifitseerida vastavalt kohaldatavatele nõuetele ja rakenduskorrale, mille alusel audit tehti.

f)

Koostatakse auditiaruanne, mis sisaldab leitud puuduste ja tähelepanekute üksikasju, ning edastatakse see asjaomasele organisatsioonile.

a)

Selliste muudatuste läbivaatamise, mida hallatakse ja millest teatatakse ametile rakendusmääruse (EL) 2023/203 II lisa (osa IS.I.OR) punkti IS.I.OR.255 alapunktis a kindlaks määratud menetluse kohaselt, lisab amet oma pideva järelevalve programmi kooskõlas käesoleva lisa punktis DPO.AR.C.005 kindlaks määratud põhimõtetega. Mis tahes mittevastavuse avastamise korral teavitab amet sellest organisatsiooni, nõuab täiendavaid muudatusi ja tegutseb käesoleva lisa punkti DPO.AR.C.015 kohaselt.

b)

Muude muudatuste puhul, kui on nõutav taotleda heakskiitu vastavalt rakendusmääruse (EL) 2023/203 II lisa (osa IS.I.OR) punkti IS.I.OR.255 alapunktile b, tehakse järgmist:

a)

Kui amet tuvastab uurimise, järelevalve või mis tahes muul teel käesoleva määruse kohaldatavate nõuete, käesoleva määrusega nõutava menetluse või käsiraamatu või käesoleva määruse kohaselt välja antud sertifikaadi või deklaratsiooni mis tahes mittevastavuse, registreerib amet puuduse, ilma et see piiraks määrusega (EL) 2018/1139 nõutavate täiendavate meetmete võtmist.

b)

Ametil on süsteem, mille abil:

c)

Amet registreerib esimese astme puuduse, kui tuvastab mis tahes olulise mittevastavuse delegeeritud määruse (EL) 2023/1768 I lisa punkti ATM/ANS.EQMT.AR.B.001 kohastele ATM/ANS-sertifitseerimise alustele, mis võib põhjustada kontrollimatut mittevastavust ja soovimatut olukorda.

Esimese astme puudused hõlmavad muu hulgas järgmist:

d)

Amet registreerib teise astme puuduse, kui tuvastab mittevastavuse ühega järgmistest:

kui see mittevastavus ei ole liigitatud esimese astme puuduseks.

e)

Ilma et see piiraks määruses (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusaktides ja rakendusaktides nõutud täiendavate meetmete võtmist, teatab amet puudusest kirjalikult asjaomasele organisatsioonile ja nõuab, et see võtaks tuvastatud mittevastavus(t)e kõrvaldamiseks parandusmeetmeid.

f)

Kui esimese või teise astme puudusena registreerimine ei ole nõutav, võib amet esitada tähelepanekuid.

g)

Amet teeb järgmist:

h)

Kui amet võtab alapunkti g kohaselt täitemeetmeid, teavitab ta neist adressaati, põhjendab neid meetmeid ja informeerib adressaati tema õigusest esitada kaebus.

a)

amet kui sertifikaati andev pädev asutus;

b)

taotleja nimi ja postiaadress;

c)

taotleja töövaldkond;

d)

tegevuskoht;

e)

taotleja jaoks heakskiidetud õigused;

f)

kinnitus taotleja vastavuse ja kohaldatavatele nõuetele vastavuse kohta;

g)

sertifikaadi andmise kuupäev ja kehtivus;

h)

seotud lisatingimused või piirangud.

a)

Projekteerimis- või tootjaorganisatsiooni sertifikaadi taotlus esitatakse ameti kehtestatud vormis ja viisil.

b)

Sertifikaadi saamiseks peab ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon vastama käesolevas määruses kindlaks määratud nõuetele, kui neid nõudeid kohaldatakse selliste ATM/ANS-süsteemide ja ATM/ANS-koostisosade projekteerimise või tootmise suhtes, mida organisatsioon teeb või kavatseb teha.

a)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon koostab ja haldab organisatsiooni käsiraamatut, mis sisaldab järgmist teavet:

b)

Organisatsiooni käsiraamatut muudetakse vastavalt vajadusele, et säilitada organisatsiooni ajakohane kirjeldus, ning ametile esitatakse selle koopia koos muudatustega.

c)

Käesoleva lisa punktis DPO.OR.B.005 osutatud muudatuse heakskiitmise taotlus peab põhinema organisatsiooni käsiraamatus esitatud muudatusettepanekutel.

a)

Organisatsiooni sertifikaat kehtib tähtajatult, tingimusel et:

b)

Paberkandjal sertifikaadist loobumisel või sertifikaadi kehtetuks tunnistamisel tagastatakse see viivitamata ametile.

c)

Organisatsiooni sertifikaadi omanikul on sertifikaadi tingimuste piires ja projektijuhtimissüsteemi asjakohaste menetluste kohaselt õigus:

a)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon hõlbustab ametil või ameti nimel tegutseval kvalifitseeritud üksusel inspekteerimiste ja auditite tegemist ning teeb ameti volituste tõhusaks ja tulemuslikuks kasutamiseks vajalikku koostööd.

b)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon teeb tema ATM/ANS-seadmeid kasutavate ATM/ANS-teenuste osutajatega koostööd ja toetab neid asjaomaste pädevate asutuste nõuetele vastavuse tõendamisel.

a)

selgitab välja mittevastavuse algpõhjuse;

b)

töötab välja parandusmeetmete kava;

c)

tõendab ametit rahuldaval viisil parandusmeetmete rakendamist ameti kavandatud ja heakskiidetud ajavahemiku jooksul, nagu on kindlaks määratud punkti DPO.AR.C.015 alapunkti e alapunktis 2.

a)

Käesoleva määruse kohaselt välja antud sertifikaadi omanik:

b)

Organisatsioonide puhul, kelle peamine tegevuskoht on liikmesriigis, sisaldab alapunkti a alapunkti 1 kohaselt loodud süsteem juhtumitest teatamise ja järelmeetmete nõudeid, mis vastavad määrustele (EL) nr 376/2014 ja (EL) 2018/1139 ning nende alusel vastu võetud delegeeritud õigusaktidele ja rakendusaktidele.

c)

Sertifikaadi omanik teatab ametile kõikidest talle teada olevatest tõrgetest, riketest, defektidest või muudest juhtumitest, mis on põhjustanud või võivad põhjustada ohtliku, ebaturvalise või nõuetele mittevastava seisundi.

d)

Sertifikaadi omanike puhul, kelle peamine tegevuskoht ei ole liikmesriigis, esitatakse aruanded ameti kehtestatud vormis ja viisil niipea kui võimalik, kuid mitte hiljem kui 72 tunni jooksul pärast seda, kui isik või organisatsioon on konkreetsest juhtumist teada saanud, välja arvatud erakorraliste takistavate asjaolude korral.

e)

Sertifikaadi omanik uurib alapunkti c kohaselt teatatud juhtumit, sealhulgas sellise juhtumi põhjustanud puudusi, ning teatab ametile oma uurimise tulemused ja meetmed, mida ta kavatseb võtta või soovitab võtta nende puuduste kõrvaldamiseks.

a)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon rakendab ja haldab juhtimissüsteemi, mis hõlmab järgmist:

b)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon dokumenteerib juhtimissüsteemi kõik peamised protsessid, sealhulgas töötajatele nende kohustustest teavitamise korra ja nende protsesside muutmise menetluse.

c)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon kehtestab oma juhtimissüsteemis tegevuskorra, et jälgida selle vastavust kohaldatavatele nõuetele ja kehtestatud menetluste piisavust. Nõuetele vastavuse jälgimine hõlmab vastutavale juhile puuduste kohta tagasiside andmise süsteemi, et vajaduse korral tagada tõhusate parandusmeetmete võtmine.

d)

Juhtimissüsteem peab olema proportsionaalne ATM/ANS-seadmete projekteerimises või tootmises osaleva organisatsiooni suuruse ja tegevuse keerukusega ning võtma arvesse nendest tegevustest tulenevaid ohte ja seotud riske.

e)

Lisaks alapunktis a osutatud juhtimissüsteemile kehtestab, rakendab ja haldab ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon rakendusmääruse (EL) 2023/203 kohase infoturbe haldamise süsteemi, et tagada lennuohutust mõjutada võivate infoturvariskide nõuetekohane juhtimine.

a)

Pärast organisatsiooni sertifikaadi väljastamist, tuleb juhtimissüsteemi kõikidele olulistele muudatustele enne nende rakendamist saada ameti heakskiit, välja arvatud juhul, kui sellisest muudatusest teatatakse ja seda juhitakse ameti heakskiidetud korra kohaselt. Organisatsioon esitab ametile taotluse heakskiiduks, mis tõendab jätkuvat vastavust kohaldatavatele nõuetele.

b)

Igast ATM/ANS-seadmete muudatusest teatakse ametile ja taotletakse enne muudatuse rakendamist ameti heakskiitu, välja arvatud juhul, kui muudatust juhitakse ameti heakskiidetud muudatuste juhtimise korra kohaselt. Selles muudatuste juhtimise korras määratakse kindlaks ATM/ANS-seadmete muudatuste liigitus ning kirjeldatakse, kuidas muudatusest tuleb teatada ja seda juhtida.

a)

Allhankeks loetakse kõiki organisatsiooni sertifitseerimistingimustega hõlmatud töövaldkonda kuuluvaid tegevusi, mida teevad muud organisatsioonid. Need organisatsioonid peavad olema selliseks tegevuseks sertifitseeritud või töötama sertifitseeritud organisatsiooni järelevalve all. ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon tagab, et mis tahes sisseostetud või allhanketegevus või selle osa vastab kohaldatavatele nõuetele.

b)

Kui ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon sõlmib oma mis tahes tegevuse tegemiseks lepingu allhankeorganisatsiooniga, kes ei ole käesoleva määruse kohaselt sertifitseeritud, tagab ta, et allhankeorganisatsioon töötab tema järelevalve all. ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon tagab ameti juurdepääsu allhankeorganisatsioonile, et amet saaks kontrollida käesoleva määruse kohaldatavate nõuete jätkuvat täitmist.

a)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon määrab vastutava juhi, kellel on volitused tagada, et kõikide tegevuste rahastamine ja teostamine on kooskõlas käesoleva määruse kohaldatavate nõuetega. Vastutav juht vastutab tõhusa juhtimissüsteemi kehtestamise ja haldamise eest.

b)

Samuti määratakse kindlaks ametisse nimetatud juhtivtöötajate, eelkõige ohutuse, kvaliteedi, turvalisuse, rahanduse ja personali valdkonna juhtide kohustused ja vastutus.

a)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon kehtestab andmete registreerimise süsteemi, mis tagab andmete nõuetekohase säilitamise ja kogu tegevuse usaldusväärse jälgitavuse ja hõlmab eelkõige kõiki punktis DPO.OR.B.001 nimetatud elemente.

b)

Alapunktis a osutatud andmete vorming ja säilitamise aeg määratakse kindlaks organisatsiooni juhtimissüsteemi menetlustes.

c)

Andmeid säilitatakse viisil, mis tagab nende kaitse kahjustumise, muutmise ja varguse eest.

d)

ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon peab kasutusele võetud ATM/ANS-seadmete registrit.

a)

ATM/ANS-seadmete projekti kinnituse või tootjaorganisatsiooni sertifikaadi taotlejal või omanikul on õigus vastavalt vajadusele:

b)

Projekteerimistegevuse puhul teeb ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon järgmist:

c)

Tootmistegevuse puhul teeb ATM/ANS-seadmete projekteerimises või tootmises osalev organisatsioon järgmist:

d)

Lisaks alapunktile c on ATM/ANS-seadmete tootmises osaleval organisatsioonil õigus sertifitseerimistingimuste piires kindlaks teha, et ATM/ANS-seadmete iga valminud eksemplar vastab kohaldatavatele projekteerimisandmetele ja on kõlblik ohutuks kasutamiseks enne Euroopa Liidu Lennundusohutusameti käitamisdokumendi väljastamist, milles kinnitatakse, et ATM/ANS-seadmed on toodetud kooskõlas käesoleva määruse kohaldatavate nõuete ja kohaldatavate projekteerimisandmetega.

e)

Alapunktis d osutatud Euroopa Liidu Lennundusohutusameti käitamisdokument peab ATM/ANS-seadmete iga toodetud eksemplari kohta sisaldama vähemalt järgmist teavet:

a)

vajaduse korral projekteerimis- ja tootmistegevuse piisava kooskõlastamise ja asjakohase tegevuskorra;

b)

vajaduse korral piisava kooskõlastamise asjaomaste ATM/ANS-teenuste osutajate ja lennundusettevõtjatega ning nende nõuetekohase toetamise ATM/ANS-seadmete jätkuva sobivusega seoses.

a)

teeb ettepaneku asjakohaste parandusmeetmete kohta ja esitab selle koos üksikasjadega ametile heakskiitmiseks;

b)

pärast seda, kui amet on alapunktis a osutatud ettepaneku heaks kiitnud, teeb kõigile ATM/ANS-seadmete teadaolevatele kasutajatele või omanikele ja taotluse korral kõigile isikutele, kes peavad järgima ATM/ANS-seadmeid käsitlevat ettekirjutust, kättesaadavaks asjakohased kirjeldavad andmed ja rakendamise juhised.