1)

kehtestab infoturbepoliitika, milles sätestatakse pädeva asutuse üldpõhimõtted seoses infoturvariskide võimaliku mõjuga lennuohutusele;

2)

teeb kindlaks ja vaatab läbi infoturvariskid kooskõlas punktiga IS.AR.205;

3)

määrab kindlaks infoturvariski käsitlemise meetmed ja rakendab neid kooskõlas punktiga IS.AR.210;

4)

kooskõlas punktiga IS.AR.215 määrab kindlaks meetmed, mida on vaja infoturvasündmuste avastamiseks, ja rakendab neid meetmeid, teeb kindlaks juhtumid, mida käsitatakse intsidentidena, mis võivad mõjutada lennuohutust, ning reageerib nendele infoturvaintsidentidele ja võtab meetmeid neist taastumiseks;

5)

järgib punkti IS.AR.220 nõudeid, kui sõlmib punktis IS.AR.200 kirjeldatud tegevuse mis tahes osa kohta allhankelepingu mõne muu organisatsiooniga;

6)

järgib punktis IS.AR.225 esitatud nõudeid töötajatele;

7)

järgib punktis IS.AR.230 esitatud arvestuse pidamise nõudeid;

8)

jälgib oma organisatsiooni vastavust käesoleva määruse nõuetele ja annab puuduste kohta tagasisidet punkti IS.AR.225 alapunktis a osutatud isikule, et tagada parandusmeetmete tõhus rakendamine;

9)

kaitseb konfidentsiaalsust teabe puhul, mida pädev asutus võib omada tema järelevalve alla kuuluvate organisatsioonide kohta, ja teabe puhul, mis on saadud käesoleva määruse II lisa (osa IS.I.OR) punkti IS.I.OR.230 ja delegeeritud määruse (EL) 2022/1645 lisa (osa IS.I.OR) punkti IS.I.OR.230 kohaselt loodud organisatsiooniväliste aruandlusskeemide kaudu;

10)

teavitab ametit muudatustest, mis mõjutavad pädeva asutuse suutlikkust täita käesolevas määruses määratletud ülesandeid ja kohustusi;

11)

määrab kindlaks menetlused asjakohase teabe jagamiseks vastavalt vajadusele ning praktilisel ja õigeaegsel viisil, et abistada teisi pädevaid asutusi ja ameteid ning organisatsioone, kelle suhtes käesolevat määrust kohaldatakse, nende tegevusega seotud julgeolekuriskide tõhusal hindamisel, ja rakendab neid menetlusi.

1)

toimingud, mida pädev asutus teostab, rajatised, mida ta pakub, ressursid, mis talle eraldatakse ja teenused, mida ta osutab;

2)

seadmed, süsteemid, andmed ja teave, mis aitavad kaasa alapunktis 1 osutatud elementide toimimisele.

1)

määrab riskitaseme vastavalt pädeva asutuse kehtestatud ja eelnevalt kindlaks määratud liigitusele;

2)

seostab iga riski ja selle taseme alapunktide a ja b kohaselt kindlaks määratud asjakohase elemendi või liidesega.

1)

infoturvariskiga seotud elemendid on muutunud;

2)

pädeva asutuse ja teiste organisatsioonide vahelised liidesed või teiste organisatsioonide teatatud riskid on muutunud;

3)

riskide kindlakstegemiseks, analüüsimiseks ja liigitamiseks kasutatud teave või teadmised on muutunud;

4)

infoturvaintsidente analüüsides on saadud uusi teadmisi.

1)

kontrollida asjaolusid, mis aitavad kaasa ohustsenaariumi tegelikule esinemisele;

2)

vähendada ohustsenaariumi realiseerumisest tulenevaid tagajärgi lennuohutusele;

3)

vältida riske.

1)

avastada kõrvalekalded eelnevalt kindlaks määratud funktsionaalse tulemuslikkuse lähtetasemetest;

2)

anda hoiatus, et kõrvalekalde korral aktiveerida nõuetekohased reageerimismeetmed.

1)

panna oma organisatsioon reageerima alapunkti a alapunktis 2 osutatud hoiatustele, aktiveerides eelnevalt kindlaks määratud vahendid ja tegevussuunad;

2)

piirata rünnaku levikut ja vältida ohustsenaariumi täielikku realiseerumist;

3)

kontrollida punkti IS.AR.205 alapunktis a kindlaks määratud asjaomaste elementide tõrkeolekut.

1)

kõrvaldada intsidendi põhjustanud olukorra või muuta intsidendi ohutase vastuvõetavaks;

2)

taastada punkti IS.AR.205 alapunktis a kindlaks määratud asjaomaste elementide ohutus ajavahemiku jooksul, mille pädev asutus on taastumiseks eelnevalt kindlaks määranud.

1)

omama täielikku juurdepääsuõigust ressurssidele, mida pädev asutus vajab kõigi käesoleva määrusega nõutavate ülesannete täitmiseks;

2)

omama talle määratud ülesannete täitmiseks vajalikke volitusi;

1)

Pädev asutus tagab järgmiste dokumentide arhiveerimise ja jälgitavuse:

2)

Alapunkti 1 alapunktis i osutatud teavet säilitatakse vähemalt viis aastat pärast allhankelepingu muutmist või lõpetamist.

3)

Alapunkti 1 alapunktides ii ja iii osutatud teavet säilitatakse vähemalt viis aastat.

4)

Alapunkti 1 alapunktis iv osutatud teavet säilitatakse seni, kuni asjaomased infoturvasündmused on pädeva asutuse kehtestatud perioodilisusega ümber hinnatud.

1)

Töötajate kvalifikatsiooni ja kogemusi käsitlevat teavet säilitatakse seni, kuni isik töötab pädeva asutuse heaks, ja vähemalt kolm aastat pärast seda, kui asjaomane isik on pädevast asutusest lahkunud.

2)

Töötajate taotlusel tagatakse neile juurdepääs oma isiklikele dokumentidele. Lisaks esitab pädev asutus lahkuvatele töötajatele nende taotlusel koopia isiklikest dokumentidest.

1)

kehtestab infoturbepoliitika, milles sätestatakse organisatsiooni üldpõhimõtted seoses infoturvariskide võimaliku mõjuga lennuohutusele;

2)

teeb kindlaks ja vaatab läbi infoturvariskid kooskõlas punktiga IS.I.OR.205;

3)

määrab kindlaks infoturvariski käsitlemise meetmed ja rakendab neid kooskõlas punktiga IS.I.OR.210;

4)

rakendab infoturbealast sisearuandluskava kooskõlas punktiga IS.I.OR.215;

5)

kooskõlas punktiga IS.I.OR.220 määrab kindlaks meetmed, mida on vaja infoturvasündmuste avastamiseks, ja rakendab neid meetmeid, teeb kindlaks juhtumid, mida käsitatakse intsidentidena, mis võivad mõjutada lennuohutust, välja arvatud punkti IS.I.OR.205 alapunkti e kohaselt lubatud juhud, ning reageerib nendele infoturvaintsidentidele ja võtab meetmeid neist taastumiseks;

6)

rakendab meetmeid, millest pädev asutus on teatanud kui viivitamatust reageeringust lennuohutust mõjutavale infoturvaintsidendile või turvaaugule;

7)

võtab kooskõlas punktiga IS.I.OR.225 asjakohaseid meetmeid pädeva asutuse teatatud puuduste kõrvaldamiseks;

8)

rakendab punkti IS.I.OR.230 kohast välisaruandluskava, et pädev asutus saaks võtta asjakohaseid meetmeid;

9)

järgib punkti IS.I.OR.235 nõudeid, kui sõlmib punktis IS.I.OR.200 osutatud tegevuse mis tahes osa kohta allhankelepingu mõne muu organisatsiooniga;

10)

järgib punkti IS.I.OR.240 kohaseid nõudeid töötajatele;

11)

järgib punkti IS.I.OR.245 kohaseid arvestuse pidamise nõudeid;

12)

jälgib organisatsiooni vastavust käesoleva määruse nõuetele ja annab puuduste kohta tagasisidet vastutavale juhatajale, et tagada parandusmeetmete tõhus rakendamine;

13)

kaitseb kogu sellise teabe konfidentsiaalsust, mida organisatsioon võib olla saanud teistelt organisatsioonidelt, vastavalt teabe tundlikkustasemele, ilma et see piiraks intsidentidest teatamise suhtes kohaldatavate nõuete järgimist.

1)

toimingud, mida organisatsioon teostab, rajatised, mida ta pakub, ressursid, mis talle eraldatakse ja teenused, mida ta osutab;

2)

seadmed, süsteemid, andmed ja teave, mis aitavad kaasa alapunktis 1 loetletud elementide toimimisele.

1)

määrab riskitaseme vastavalt organisatsiooni kehtestatud ja eelnevalt kindlaks määratud liigitusele;

2)

seostab iga riski ja selle taseme alapunktide a ja b kohaselt kindlaks määratud asjakohase elemendi või liidesega.

1)

infoturvariskiga seotud elemendid on muutunud;

2)

organisatsiooni ja teiste organisatsioonide vahelised liidesed või teiste organisatsioonide teatatud riskid on muutunud;

3)

riskide kindlakstegemiseks, analüüsimiseks ja liigitamiseks kasutatud teave või teadmised on muutunud;

4)

infoturvaintsidente analüüsides on saadud uusi teadmisi.

1)

kontrollida asjaolusid, mis aitavad kaasa ohustsenaariumi tegelikule esinemisele;

2)

vähendada ohustsenaariumi realiseerumisest tulenevaid tagajärgi lennuohutusele;

3)

vältida riske.

1)

välja selgitada, milliseid alapunkti a kohaselt teatatud juhtumeid peetakse infoturvaintsidentideks või turvaaukudeks, mis võivad mõjutada lennuohutust;

2)

teha kindlaks alapunkti 1 kohaselt avastatud infoturvaintsidentide ja turvaaukude põhjused ning neid mõjutavad tegurid ning käsitleda neid infoturvariskide juhtimise protsessi osana kooskõlas punktidega IS.I.OR.205 ja IS.I.OR.220;

3)

tagada, et hinnatakse kogu teadaolevat asjakohast teavet, mis on seotud alapunkti 1 kohaselt kindlaks tehtud infoturvaintsidentide ja turvaaukudega;

4)

vajaduse korral tagada, et rakendatakse meetodit teabe asutusesiseseks levitamiseks.

1)

avastada kõrvalekalded eelnevalt kindlaks määratud funktsionaalse tulemuslikkuse lähtetasemetest;

2)

anda hoiatus, et kõrvalekalde korral aktiveerida nõuetekohased reageerimismeetmed.

1)

reageerida alapunkti a alapunktis 2 osutatud hoiatustele, aktiveerides eelnevalt kindlaks määratud vahendid ja tegevussuunad;

2)

piirata rünnaku levikut ja vältida ohustsenaariumi täielikku realiseerumist;

3)

kontrollida punkti IS.I.OR.205 alapunktis a kindlaks määratud asjaomaste elementide tõrkeolekut.

1)

kõrvaldada intsidendi põhjustanud olukorra või muuta intsidendi ohutase vastuvõetavaks;

2)

saavutada punkti IS.I.OR.205 alapunktis a kindlaks määratud asjaomaste elementide ohutus ajavahemiku jooksul, mille organisatsioon on taastumiseks eelnevalt kindlaks määranud.

1)

selgitab välja nõuetele mittevastavuse algpõhjuse või -põhjused ja nõuetele mittevastavust soodustavad tegurid;

2)

töötab välja parandusmeetmete kava;

3)

tõendab pädevat asutust rahuldaval viisil, et nõuetele mittevastavus on kõrvaldatud.

1)

kui selline intsident või turvaauk mõjutab õhusõidukit või sellega seotud süsteemi või komponenti, teatab organisatsioon sellest ka projekti kinnituse omanikule;

2)

kui selline intsident või turvaauk mõjutab organisatsioonis kasutatavat süsteemi või komponenti, teatab organisatsioon sellest süsteemi või komponendi konstrueerimise eest vastutavale organisatsioonile.

1)

pädevat asutust ja vajaduse korral projekti kinnituse omanikku või süsteemi või komponendi projekteerimise eest vastutavat organisatsiooni teavitatakse kohe, kui organisatsioon asjaomasest olukorrast teada saab;

2)

pädevat asutust ja vajaduse korral projekti kinnituse omanikku või süsteemi või komponendi projekteerimise eest vastutavat organisatsiooni teavitatakse nii kiiresti kui võimalik, kuid mitte hiljem kui 72 tundi pärast seda, kui organisatsioon asjaomasest olukorrast teada saab, välja arvatud erakorraliste takistavate asjaolude korral.

Teade koostatakse pädeva asutuse määratud vormis ja see peab sisaldama kogu asjakohast teavet, mida organisatsioon on olukorra kohta kogunud;

3)

pädevale asutusele ja vajaduse korral projekti kinnituse omanikule või süsteemi või komponendi projekteerimise eest vastutavale organisatsioonile esitatakse järelaruanne, milles on üksikasjalikult kirjeldatud meetmeid, mida organisatsioon on intsidendist taastumiseks võtnud või kavatseb võtta, ning meetmeid, mida ta kavatseb võtta samasuguste infoturvaintsidentide vältimiseks tulevikus.

Järelaruanne esitatakse kohe, kui need meetmed on kindlaks määratud, ja see koostatakse pädeva asutuse määratud vormis.

1)

tagama, et käesoleva määruse nõuete täitmiseks on olemas kõik vajalikud vahendid;

2)

kehtestama punkti IS.I.OR.200 alapunkti a alapunktis 1 osutatud infoturvapoliitika ja seda edendama;

3)

tõendama, et tal on olemas põhiteadmised käesoleva määruse kohta.

1)

Organisatsioon tagab järgmiste dokumentide arhiveerimise ja jälgitavuse:

2)

Alapunkti 1 alapunktis i osutatud teavet säilitatakse vähemalt viis aastat pärast asjaomase loa kehtivuse lõppemist.

3)

Alapunkti 1 alapunktis ii osutatud teavet säilitatakse vähemalt viis aastat pärast allhankelepingu muutmist või lõpetamist.

4)

Alapunkti 1 alapunktides iii, iv ja v osutatud teavet säilitatakse vähemalt viis aastat.

5)

Alapunkti 1 alapunktis vi osutatud teavet säilitatakse seni, kuni asjaomased infoturvasündmused on organisatsiooni kehtestatud perioodilisusega ümber hinnatud.

1)

Töötajate kvalifikatsiooni ja kogemusi käsitlevat teavet säilitatakse seni, kuni isik töötab organisatsiooni heaks, ja vähemalt kolm aastat pärast seda, kui asjaomane isik on organisatsioonist lahkunud.

2)

Töötajate taotlusel tagatakse neile juurdepääs oma isiklikele dokumentidele. Lisaks esitab organisatsioon lahkuvatele töötajatele nende taotlusel koopia isiklikest dokumentidest.

1)

vastutava juhataja allkirjastatud kinnitus selle kohta, et organisatsioon tegutseb pidevalt kooskõlas käesoleva lisa ja infoturbehalduse käsiraamatuga. Kui vastutav juhataja ei ole organisatsiooni tegevjuht, kaasallkirjastab avalduse tegevjuht;

2)

punkti IS.I.OR.240 alapunktides b ja c kindlaks määratud isiku(te) ametinimetus(ed), nimi (nimed), kohustused, vastutus, ülesanded ja volitused;

3)

vajaduse korral punkti IS.I.OR.240 alapunktis d määratletud ühise vastutava isiku ametinimetus, nimi, kohustused, vastutus, ülesanded ja volitused;

4)

organisatsiooni infoturvapoliitika, millele on osutatud punkti IS.I.OR.200 alapunkti a alapunktis 1;

5)

töötajate arvu ja kategooriate ning töötajate olemasolu planeerimiseks kasutatava süsteemi üldine kirjeldus vastavalt punkti IS.I.OR.240 nõuetele;

6)

punkti IS.I.OR.200 rakendamise eest vastutavate võtmeisikute, sealhulgas punkti IS.I.OR.200 alapunkti a alapunktis 12 osutatud vastavuskontrolli funktsiooni eest vastutava(te) isiku(te) ametinimetus(ed), kohustused, vastutus, ülesanded ja volitused;

7)

organisatsiooni skeem, milles on näidatud alapunktides 2 ja 6 osutatud isikute aruandlus- ja vastutusahelad;

8)

punktis IS.I.OR.215 osutatud sisearuandluskava kirjeldus;

9)

menetlused, milles täpsustatakse, kuidas organisatsioon tagab käesoleva osa nõuete täitmise, ning eelkõige:

10)

loetelu nõuete täitmise alternatiivsetest meetoditest, mis on praegu heaks kiidetud.

1)

taotlus tuleb esitada enne muudatuse tegemist, et pädeval asutusel oleks võimalik kontrollida, kas organisatsioon vastab jätkuvalt käesolevas määruses sätestatud nõuetele, ning vajaduse korral muuta organisatsiooni sertifikaati ja sellele lisatud sertifitseerimistingimusi;

2)

organisatsioon teeb pädevale asutusele kättesaadavaks kogu teabe, mida nõutakse muudatuse hindamiseks;

3)

muudatust rakendatakse alles siis, kui pädevalt asutuselt on selle kohta saadud ametlik heakskiit;

4)

organisatsioon peab selliste muudatuste rakendamise ajal tegutsema pädeva asutuse ettenähtud tingimustel.

a)

punktile ARA.GEN.125 lisatakse alapunkt c:

b)

punkti ARA.GEN.135 järele lisatakse punkt ARA.GEN.135A:

„ ARA.GEN.135A Viivitamatu reageering lennuohutust mõjutavale infoturvaintsidendile või turvaaugule

c)

punktile ARA.GEN.200 lisatakse alapunkt e:

d)

punkti ARA.GEN.205 muudetakse järgmiselt:

e)

punktile ARA.GEN.300 lisatakse alapunkt g:

f)

punkti ARA.GEN.330 järele lisatakse punkt ARA.GEN.330A:

„ ARA.GEN.330A Infoturbe halduse süsteemi muudatused

a)

pealkirja 21.B.20 järele lisatakse järgmine pealkiri:

„21.B.20A Viivitamatu reageering lennuohutust mõjutavale infoturvaintsidendile või turvaaugule“;

b)

punkti 21.B.30 pealkiri asendatakse järgmisega:

„21.B.30 Ülesannete jaotus“;

c)

pealkirja 21.B.240 järele lisatakse järgmine pealkiri:

„21.B.240A Infoturbe halduse süsteemi muudatused“;

d)

pealkirja 21.B.435 järele lisatakse järgmine pealkiri:

„21.B.435A Infoturbe halduse süsteemi muudatused“;

„c)

Liikmesriigi pädev asutus esitab ametile viivitamata ohutuse seisukohast olulise teabe, mis on pärit infoturbearuannetest, mis asutus on saanud vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punktile IS.D.OR.230.“;

a)

Pädev asutus rakendab süsteemi, et nõuetekohaselt koguda, analüüsida ja levitada teavet, mis on seotud lennuohutust mõjutada võivate infoturvaintsidentide ja turvaaukudega, millest organisatsioonid teatavad. Seda tehakse kooskõlastatult kõigi teiste asjaomaste asutustega, kes vastutavad liikmesriigis info- või küberturbe eest, et suurendada aruandluskavade kooskõlastatust ja ühilduvust.

b)

Amet rakendab süsteemi, et nõuetekohaselt analüüsida kogu punkti 21.B.15 alapunkti c kohaselt saadud asjakohast ohutusalast teavet, ning esitab põhjendamatu viivituseta liikmesriikidele ja komisjonile kogu teabe, sealhulgas soovitused või parandusmeetmed, mis on vaja võtta selleks, et nad saaksid õigeaegselt reageerida infoturvaintsidendile või turvaaugule, mis võib mõjutada lennuohutust seoses toodete, osade, teisaldatava varustuse, isikute või organisatsioonidega, kelle suhtes kohaldatakse määrust (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusakte ja rakendusakte.

c)

Alapunktides a ja b osutatud teabe saamisel võtab pädev asutus asjakohased meetmed, et käsitleda infoturvaintsidendi või turvaaugu võimalikku mõju lennuohutusele.

d)

Alapunkti c kohaselt võetavad meetmed tehakse viivitamata teatavaks kõikidele isikutele ja organisatsioonidele, kes vastavalt määrusele (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusaktidele ja rakendusaktidele neid meetmeid kohaldavad. Liikmesriigi pädev asutus teeb meetmed teatavaks ka ametile ning ühise tegutsemise vajaduse tekkimise korral teiste asjaomaste liikmesriikide pädevatele asutustele.“;

„e)

Lisaks alapunktis a esitatud nõuetele vastab pädeva asutuse poolt kehtestatud ja töös hoitav juhtimissüsteem rakendusmääruse (EL) 2023/203 I lisa (osa IS.AR) nõuetele, et tagada selliste infoturvariskide nõuetekohane juhtimine, mis võivad mõjutada lennuohutust.“;

a)

pealkiri asendatakse järgmisega:

„21.B.30 Ülesannete jaotus“;

b)

lisatakse alapunkt c:

„g)

Seoses sertifitseerimisega ja järelevalvega selle üle, kas organisatsioon täidab punkti 21.A.139A nõudeid, kontrollib pädev asutus alapunktide a–f järgimist ja vaatab läbi kõik käesoleva määruse punkti IS.I.OR.200 alapunkti e või delegeeritud määruse (EL) 2022/1645 punkti IS.D.OR.200 alapunkti e kohaselt antud sertifikaadid pärast kohaldatavat järelevalveauditi tsüklit ja iga kord, kui organisatsiooni töös tehakse muudatusi.“;

a)

Muudatuste puhul, mida hallatakse ja millest teavitatakse pädevat asutust vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punkti IS.D.OR.255 alapunktis a sätestatud menetlusele, lisab pädev asutus selliste muudatuste läbivaatamise oma pidevasse järelevalvesse kooskõlas punktis 21.B.221 sätestatud põhimõtetega. Nõuetele mittevastavuse korral teavitab pädev asutus sellest organisatsiooni, nõuab täiendavaid muudatusi ja tegutseb vastavalt punktile 21.B.225.

b)

Teiste muudatuste puhul, mis nõuavad heakskiidu taotlemist vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punkti IS.D.OR.255 alapunktile b, kohaldatakse järgmist:

„d)

Sertifitseerimisel ja järelevalve teostamisel selle üle, kas organisatsioon täidab punkti 21.A.239A nõudeid, kohaldab pädev asutus lisaks alapunktide a–c nõuetele järgmisi põhimõtteid:

a)

Muudatuste puhul, mida hallatakse ja millest teavitatakse pädevat asutust vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punkti IS.D.OR.255 alapunktis a sätestatud menetlusele, lisab pädev asutus selliste muudatuste läbivaatamise oma pidevasse järelevalvesse kooskõlas punktis 21.B.431 sätestatud põhimõtetega. Nõuetele mittevastavuse korral teavitab pädev asutus sellest organisatsiooni, nõuab täiendavaid muudatusi ja tegutseb vastavalt punktile 21.B.433.

b)

Teiste muudatuste puhul, mis nõuavad heakskiidu taotlemist vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punkti IS.D.OR.255 alapunktile b, kohaldatakse järgmist:

a)

punktile ARO.GEN.125 lisatakse alapunkt c:

b)

punkti ARO.GEN.135 järele lisatakse punkt ARO.GEN.135A:

„ARO.GEN.135A    Viivitamatu reageering lennuohutust mõjutavale infoturvaintsidendile või turvaaugule

c)

punktile ARO.GEN.200 lisatakse alapunkt e:

d)

punkti ARO.GEN.205 muudetakse järgmiselt:

e)

punktile ARO.GEN.300 lisatakse alapunkt g:

f)

punkti ARO.GEN.330 järele lisatakse punkt ARO.GEN.330A:

„ARO.GEN.330A    Infoturbe halduse süsteemi muudatused

„c)

Liikmesriigi pädev asutus esitab ametile viivitamata ohutuse seisukohast olulise teabe, mis on pärit infoturbearuannetest, mis asutus on saanud vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punktile IS.D.OR.230.“;

a)

Pädev asutus rakendab süsteemi, et nõuetekohaselt koguda, analüüsida ja levitada teavet, mis on seotud lennuohutust mõjutada võivate infoturvaintsidentide ja turvaaukudega, millest organisatsioonid teatavad. Seda tehakse kooskõlastatult kõigi teiste asjaomaste asutustega, kes vastutavad liikmesriigis info- või küberturbe eest, et suurendada aruandluskavade kooskõlastatust ja ühilduvust.

b)

Amet rakendab süsteemi, et nõuetekohaselt analüüsida kogu punkti ADR.AR.A.025 alapunkti c kohaselt saadud asjakohast ohutusalast teavet, ning esitab põhjendamatu viivituseta liikmesriikidele ja komisjonile kogu teabe, sealhulgas soovitused või parandusmeetmed, mis on vaja võtta selleks, et nad saaksid õigeaegselt reageerida infoturvaintsidendile või turvaaugule, mis võib mõjutada lennuohutust seoses toodete, osade, teisaldatava varustuse, isikute või organisatsioonidega, kelle suhtes kohaldatakse määrust (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusakte ja rakendusakte.

c)

Alapunktides a ja b osutatud teabe saamisel võtab pädev asutus asjakohased meetmed, et käsitleda infoturvaintsidendi või turvaaugu võimalikku mõju lennuohutusele.

d)

Alapunkti c kohaselt võetavad meetmed tehakse viivitamata teatavaks kõikidele isikutele ja organisatsioonidele, kes vastavalt määrusele (EL) 2018/1139 ning selle alusel vastu võetud delegeeritud õigusaktidele ja rakendusaktidele neid meetmeid kohaldavad. Liikmesriigi pädev asutus teeb meetmed teatavaks ka ametile ning ühise tegutsemise vajaduse tekkimise korral teiste asjaomaste liikmesriikide pädevatele asutustele.“;

„d)

Lisaks alapunktis a esitatud nõuetele vastab pädeva asutuse poolt kehtestatud ja töös hoitav juhtimissüsteem rakendusmääruse (EL) 2023/203 I lisa (osa IS.AR) nõuetele, et tagada selliste infoturvariskide nõuetekohane juhtimine, mis võivad mõjutada lennuohutust.“;

i)

pealkiri asendatakse järgmisega:

„ ADR.AR.B.010 Ülesannete jaotus “;

ii)

lisatakse alapunkt c:

„f)

Seoses sertifitseerimise ja järelevalvega selle üle, kas organisatsioon täidab punkti ADR.OR.D.005A nõudeid, kontrollib pädev asutus alapunktide a–e järgimist ja vaatab läbi kõik käesoleva määruse punkti IS.I.OR.200 alapunkti e või delegeeritud määruse (EL) 2022/1645 punkti IS.D.OR.200 alapunkti e kohaselt antud sertifikaadid pärast kohaldatavat järelevalveauditi tsüklit ja iga kord, kui organisatsiooni töös tehakse muudatusi.“

a)

Seoses muudatustega, mida hallatakse ja millest teavitatakse pädevat asutust vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punkti IS.D.OR.255 alapunktis a sätestatud menetlusele, lisab pädev asutus selliste muudatuste läbivaatamise oma pidevasse järelevalvesse kooskõlas punktis ADR.AR.C.005 sätestatud põhimõtetega. Nõuetele mittevastavuse korral teavitab pädev asutus sellest organisatsiooni, nõuab täiendavaid muudatusi ja tegutseb vastavalt punktile ADR.AR.C.055.

b)

Seoses teiste muudatustega, mis nõuavad heakskiidu taotlemist vastavalt delegeeritud määruse (EL) 2022/1645 lisa (osa IS.D.OR) punkti IS.D.OR.255 alapunktile b, kohaldatakse järgmist:

a)

sisukorda muudetakse järgmiselt.

b)

punkti 145.A.200 järele lisatakse punkt 145.A.200A:

„145.A.200A    Infoturbe halduse süsteem

Lisaks punktis 145.A.200 osutatud juhtimissüsteemile kehtestab hooldusorganisatsioon kooskõlas rakendusmäärusega (EL) 2023/203 infoturbe halduse süsteemi, et tagada selliste infoturvariskide nõuetekohane juhtimine, mis võivad mõjutada lennuohutust, ning rakendab süsteemi ja hoiab seda töös.“;

c)

punktile 145.B.125 lisatakse alapunkt c:

d)

punkti 145.B.135 järele lisatakse punkt 145.B.135A:

„145.B.135A    Viivitamatu reageering lennuohutust mõjutavale infoturvaintsidendile või turvaaugule

e)

punktile 145.B.200 lisatakse alapunkt e:

f)

punkti 145.B.205 muudetakse järgmiselt:

g)

punktile 145.B.300 lisatakse alapunkt g:

h)

punkti 145.B.330 järele lisatakse punkt 145.B.330A:

„145.B.330A    Infoturbe halduse süsteemi muudatused

a)

sisukorda lisatakse pealkirja 66.B.10 järele järgmine pealkiri:

b)

punkti 66.B.10 järele lisatakse punkt 66.B.15:

„66.B.15    Infoturbe halduse süsteem

Pädev asutus kehtestab kooskõlas rakendusmääruse (EL) 2023/203 I lisaga (osa IS.AR) infoturbe halduse süsteemi, et tagada selliste infoturvariskide nõuetekohane juhtimine, mis võivad mõjutada lennuohutust, ning rakendab süsteemi ja hoiab seda töös.“;

a)

sisukorda muudetakse järgmiselt:

b)

punkti CAMO.A.200 järele lisatakse punkt CAMO.A.200A:

„CAMO.A.200A    Infoturbe halduse süsteem

Lisaks punktis CAMO.A.200 osutatud juhtimissüsteemile kehtestab organisatsioon kooskõlas rakendusmäärusega (EL) 2023/203 infoturbe halduse süsteemi, et tagada selliste infoturvariskide nõuetekohane juhtimine, mis võivad mõjutada lennuohutust, ning rakendab süsteemi ja hoiab seda töös.“;

c)

punktile CAMO.B.125 lisatakse alapunkt c:

d)

punkti CAMO.B.135 järele lisatakse punkt CAMO.B.135A:

„CAMO.B.135A    Viivitamatu reageering lennuohutust mõjutavale infoturvaintsidendile või turvaaugule

e)

punktile CAMO.B.200 lisatakse alapunkt e:

f)

punkti CAMO.B.205 muudetakse järgmiselt:

g)

punktile CAMO.B.300 lisatakse alapunkt g:

h)

punkti CAMO.B.330 järele lisatakse punkt CAMO.B.330A:

„CAMO.B.330A    Infoturbe halduse süsteemi muudatused

a)

punktile ATCO.AR.A.020 lisatakse alapunkt c:

b)

punkti ATCO.AR.A.025 järele lisatakse punkt ATCO.AR.A.025A:

„ATCO.AR.A.025A    Viivitamatu reageering lennuohutust mõjutavale infoturvaintsidendile või turvaaugule

c)

punktile ATCO.AR.B.001 lisatakse alapunkt e:

d)

punkti ATCO.AR.B.005 muudetakse järgmiselt:

e)

punktile ATCO.AR.C.001 lisatakse alapunkt f:

f)

punkti ATCO.AR.E.010 järele lisatakse punkt ATCO.AR.E.010A:

„ATCO.AR.E.010A    Infoturbe halduse süsteemi muudatused

a)

punktile ATM/ANS.AR.A.020 lisatakse alapunkt c:

b)

punkti ATM/ANS.AR.A.025 järele lisatakse punkt ATM/ANS.AR.A.025A:

„ ATM/ANS.AR.A.025A Viivitamatu reageering lennuohutust mõjutavale infoturvaintsidendile või turvaaugule

c)

punktile ATM/ANS.AR.B.001 lisatakse alapunkt e:

d)

punkti ATM/ANS.AR.B.005 muudetakse järgmiselt:

e)

punktile ATM/ANS.AR.C.010 lisatakse alapunkt d:

f)

punkti ATM/ANS.AR.C.025 järele lisatakse punkt ATM/ANS.AR.C.025A:

„ ATM/ANS.AR.C.025A Infoturbe halduse süsteemi muudatused

a)

punkti ATM/ANS.OR.B.005 järele lisatakse punkt ATM/ANS.OR.B.005A:

„ ATM/ANS.OR.B.005A Infoturbe halduse süsteem

Lisaks punktis ATM/ANS.OR.B.005 osutatud juhtimissüsteemile kehtestab teenuseosutaja kooskõlas rakendusmäärusega (EL) 2023/203 infoturbe halduse süsteemi, et tagada selliste infoturvariskide nõuetekohane juhtimine, mis võivad mõjutada lennuohutust, ning rakendab süsteemi ja hoiab seda töös.“;

b)

punkt ATM/ANS.OR.D.010 asendatakse järgmisega:

„ ATM/ANS.OR.D.010 Julgestusalane juhtimine