This document is an excerpt from the EUR-Lex website
Document 32023R0203
Commission Implementing Regulation (EU) 2023/203 of 27 October 2022 laying down rules for the application of Regulation (EU) 2018/1139 of the European Parliament and of the Council, as regards requirements for the management of information security risks with a potential impact on aviation safety for organisations covered by Commission Regulations (EU) No 1321/2014, (EU) No 965/2012, (EU) No 1178/2011, (EU) 2015/340, Commission Implementing Regulations (EU) 2017/373 and (EU) 2021/664, and for competent authorities covered by Commission Regulations (EU) No 748/2012, (EU) No 1321/2014, (EU) No 965/2012, (EU) No 1178/2011, (EU) 2015/340 and (EU) No 139/2014, Commission Implementing Regulations (EU) 2017/373 and (EU) 2021/664 and amending Commission Regulations (EU) No 1178/2011, (EU) No 748/2012, (EU) No 965/2012, (EU) No 139/2014, (EU) No 1321/2014, (EU) 2015/340, and Commission Implementing Regulations (EU) 2017/373 and (EU) 2021/664
Komission täytäntöönpanoasetus (EU) 2023/203, annettu 27 päivänä lokakuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamissäännöistä komission asetusten (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia organisaatioita sekä komission asetusten (EU) N:o 748/2012, (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011, (EU) 2015/340 ja (EU) N:o 139/2014 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia toimivaltaisia viranomaisia varten ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevien vaatimusten osalta sekä komission asetusten (EU) N:o 1178/2011, (EU) N:o 748/2012, (EU) N:o 965/2012, (EU) N:o 139/2014, (EU) N:o 1321/2014 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 muuttamisesta
Komission täytäntöönpanoasetus (EU) 2023/203, annettu 27 päivänä lokakuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamissäännöistä komission asetusten (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia organisaatioita sekä komission asetusten (EU) N:o 748/2012, (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011, (EU) 2015/340 ja (EU) N:o 139/2014 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia toimivaltaisia viranomaisia varten ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevien vaatimusten osalta sekä komission asetusten (EU) N:o 1178/2011, (EU) N:o 748/2012, (EU) N:o 965/2012, (EU) N:o 139/2014, (EU) N:o 1321/2014 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 muuttamisesta
C/2022/7215
EUVL L 31, 2.2.2023, p. 1–40
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force: This act has been changed. Current consolidated version: 05/10/2023
2.2.2023 |
FI |
Euroopan unionin virallinen lehti |
L 31/1 |
KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2023/203,
annettu 27 päivänä lokakuuta 2022,
Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamissäännöistä komission asetusten (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia organisaatioita sekä komission asetusten (EU) N:o 748/2012, (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011, (EU) 2015/340 ja (EU) N:o 139/2014 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia toimivaltaisia viranomaisia varten ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevien vaatimusten osalta sekä komission asetusten (EU) N:o 1178/2011, (EU) N:o 748/2012, (EU) N:o 965/2012, (EU) N:o 139/2014, (EU) N:o 1321/2014 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 muuttamisesta
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
ottaa huomioon yhteisistä siviili-ilmailua koskevista säännöistä ja Euroopan unionin lentoturvallisuusviraston perustamisesta, Euroopan parlamentin ja neuvoston asetusten (EY) N:o 2111/2005, (EY) N:o 1008/2008, (EU) N:o 996/2010, (EU) N:o 376/2014 ja direktiivien 2014/30/EU ja 2014/53/EU muuttamisesta sekä Euroopan parlamentin ja neuvoston asetusten (EY) N:o 552/2004 ja (EY) N:o 216/2008 ja neuvoston asetuksen (ETY) N:o 3922/91 (1) kumoamisesta 4 päivänä heinäkuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 ja erityisesti sen 17 artiklan 1 kohdan b alakohdan, 27 artiklan 1 kohdan a alakohdan, 31 artiklan 1 kohdan b alakohdan, 43 artiklan 1 kohdan b alakohdan, 53 artiklan 1 kohdan a alakohdan sekä 62 artiklan 15 kohdan c alakohdan,
sekä katsoo seuraavaa:
(1) |
Jatkuvan lentokelpoisuuden hallintaorganisaatioiden ja huolto-organisaatioiden on asetuksen (EU) 2018/1139 liitteessä II olevan 3.1 kohdan b alakohdassa vahvistettujen keskeisten vaatimusten mukaan luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä. |
(2) |
Asetuksen (EU) 2018/1139 liitteessä IV olevan 3.3 kohdan b alakohdassa ja 5 kohdan b alakohdassa vahvistettujen keskeisten vaatimusten mukaan myös lentokoulutusorganisaatioiden, matkustamomiehistön koulutusorganisaatioiden, lentomiehistön ilmailulääketieteen keskusten ja simulaatiokoulutuslaitteiden käyttäjien on luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä. |
(3) |
Asetuksen (EU) 2018/1139 liitteessä V olevan 8.1 kohdan c alakohdassa vahvistettujen keskeisten vaatimusten mukaan lentotoiminnan harjoittajien on luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä. |
(4) |
Lisäksi ilmaliikenteen hallinnan ja lennonvarmistuspalvelun tarjoajien, U-space-palveluntarjoajien ja yksinoikeudella toimivien yhteisen tietopalvelun tarjoajien sekä lennonjohtajien koulutusorganisaatioiden ja ilmailulääketieteen keskusten on asetuksen (EU) 2018/1139 liitteessä VIII olevan 5.1 kohdan c alakohdassa ja 5.4 kohdan b alakohdassa vahvistettujen keskeisten vaatimusten mukaan luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä. |
(5) |
Turvallisuusriskeillä voi olla erilaisia alkulähteitä, kuten puutteet suunnittelussa tai kunnossapidossa, ihmisen suorituskykyyn liittyvät näkökohdat, ympäristöuhkat ja tietoturvauhkat. Sen vuoksi näissä Euroopan unionin lentoturvallisuusviraston, jäljempänä ’virasto’, sekä kansallisten toimivaltaisten viranomaisten ja edellä olevissa johdanto-osan kappaleissa tarkoitettujen organisaatioiden luomissa hallintojärjestelmissä olisi otettava huomioon sattumanvaraisista tapahtumista johtuvien turvallisuusriskien lisäksi myös sellaisista tietoturvauhkista johtuvat turvallisuusriskit, joissa pahantahtoisessa tarkoituksessa toimivat henkilöt saattavat hyödyntää olemassa olevia puutteita. Tällaiset tietoturvariskit lisääntyvät siviili-ilmailuympäristössä jatkuvasti, sillä nykyiset tietojärjestelmät ovat yhä useammin yhteenliitettyjä ja entistä yleisemmin pahantahtoisten toimijoiden kohteina. |
(6) |
Tietojärjestelmiin liittyvät riskit eivät rajoitu mahdollisiin kyberavaruuteen kohdistuviin hyökkäyksiin, vaan niihin kuuluvat myös prosesseihin ja menettelyihin sekä ihmisten suorituskykyyn mahdollisesti vaikuttavat uhkat. |
(7) |
Organisaatioista suuri osa käyttää jo digitaalisen tiedon ja datan suojaamiseen kansainvälisiä standardeja, kuten ISO 27001 -standardia. Näissä standardeissa ei välttämättä oteta täysin huomioon kaikkia siviili-ilmailun erityispiirteitä. Tästä syystä on tarpeen asettaa vaatimuksia sellaisten tietoturvariskien hallitsemiseksi, joilla saattaa olla vaikutusta ilmailun turvallisuuteen. |
(8) |
On olennaisen tärkeää, että vaatimukset kattavat kaikki ilmailun eri osa-alueet ja niiden rajapinnat, koska ilmailu on varsin yhteenliitetty järjestelmien järjestelmä. Sen vuoksi niitä olisi sovellettava kaikkiin komission asetusten (EU) N:o 748/2012 (2), (EU) N:o 1321/2014 (3), (EU) N:o 965/2012 (4), (EU) N:o 1178/2011 (5), (EU) 2015/340 (6), (EU) N:o 139/2014 (7) ja täytäntöönpanoasetuksen (EU) 2021/664 (8) soveltamisalaan kuuluviin organisaatioihin ja toimivaltaisiin viranomaisiin, myös niihin, joilla jo vaaditaan olevan unionin ilmailun turvallisuusalan lainsäädännön mukainen hallintojärjestelmä. Jotkin organisaatiot olisi kuitenkin jätettävä tämän asetuksen soveltamisalan ulkopuolelle asianmukaisen oikeasuhteisuuden varmistamiseksi niiden ilmailujärjestelmälle aiheuttamiin pienempiin tietoturvariskeihin nähden. |
(9) |
Tässä asetuksessa säädetyillä vaatimuksilla olisi varmistettava johdonmukainen soveltaminen kaikilla ilmailun osa-alueilla, ja vaatimusten vaikutuksen kyseisillä osa-alueilla jo sovellettavaan unionin ilmailun turvallisuusalan lainsäädäntöön olisi oltava mahdollisimman vähäinen. |
(10) |
Tässä asetuksessa säädetyt vaatimukset eivät saisi vaikuttaa komission täytäntöönpanoasetuksen (EU) 2015/1998 (9) liitteessä olevassa 1.7 kohdassa eivätkä Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 (10) 14 artiklassa vahvistettuihin tietoturva- ja kyberturvallisuusvaatimuksiin. |
(11) |
Euroopan parlamentin ja neuvoston asetuksen (EU) 2021/696 (11) V osaston ”Ohjelman turvallisuus” 33–43 artiklassa säädettyjen turvallisuusvaatimusten katsotaan vastaavan tässä asetuksessa säädettyjä vaatimuksia, paitsi tämän asetuksen liitteessä II olevan IS.I.OR.230 kohdan osalta, jota olisi noudatettava. |
(12) |
Oikeusvarmuuden vuoksi tässä asetuksessa määritellyn termin ’tietoturva’ tulkinnan, joka kuvastaa termin yleistä käyttöä siviili-ilmailussa maailmanlaajuisesti, olisi katsottava olevan yhdenmukainen direktiivin (EU) 2016/1148 4 artiklan 2 kohdassa määritellyn termin ’verkko- ja tietojärjestelmien turvallisuus’ kanssa. Tätä asetusta sovellettaessa käytettävää tietoturvan määritelmää ei saisi tulkita direktiivissä (EU) 2016/1148 vahvistetusta verkko- ja tietojärjestelmien turvallisuuden määritelmästä poikkeavaksi. |
(13) |
Jotta vältetään oikeudellisten vaatimusten päällekkäisyys silloin, kun tämän asetuksen soveltamisalaan kuuluviin organisaatioihin jo sovelletaan johdanto-osan 10 ja 11 kappaleessa tarkoitetuista unionin säädöksistä johtuvia turvavaatimuksia, jotka vaikutukseltaan vastaavat tämän asetuksen säännöksiä, kyseisten turvavaatimusten noudattamista olisi pidettävä tässä asetuksessa säädettyjen vaatimusten noudattamisena. |
(14) |
Tämän asetuksen soveltamisalaan kuuluvien organisaatioiden, joihin jo sovelletaan täytäntöönpanoasetuksesta (EU) 2015/1998 tai asetuksesta (EU) 2021/696 taikka molemmista johtuvia turvavaatimuksia, olisi täytettävä myös tämän asetuksen liitteen II (osa IS.I.OR.230 ”Tietoturvaa koskeva ulkoinen ilmoitusjärjestelmä”) vaatimukset, koska kummassakaan asetuksessa ei ole säännöksiä tietoturvapoikkeamien ulkoisesta ilmoittamisesta. |
(15) |
Kattavuuden vuoksi asetuksia (EU) N:o 1178/2011, (EU) N:o 748/2012, (EU) N:o 965/2012, (EU) N:o 139/2014, (EU) N:o 1321/2014, (EU) 2015/340 sekä täytäntöönpanoasetuksia (EU) 2017/373 (12) ja (EU) 2021/664 olisi muutettava, jotta tietoturvan hallintajärjestelmälle tässä asetuksessa asetetut vaatimukset voidaan ottaa käyttöön näissä asetuksissa säädettyjen hallintojärjestelmien kanssa sekä vahvistaa toimivaltaisia viranomaisia koskevat vaatimukset edellä mainittuja tietoturvan hallintavaatimuksia täytäntöönpanevien organisaatioiden valvonnan osalta. |
(16) |
Jotta organisaatioilla olisi riittävästi aikaa varmistaa, että uusia sääntöjä ja menettelyjä noudatetaan, tätä asetusta olisi sovellettava kolmen vuoden kuluttua sen voimaantulosta, lukuun ottamatta täytäntöönpanoasetuksessa (EU) 2017/373 määriteltyä Euroopan geostationaarisen navigointilisäjärjestelmän (EGNOS) lennonvarmistuspalvelun tarjoajaa, jonka osalta sitä olisi sovellettava meneillään olevan EGNOS-järjestelmän ja -palvelujen asetuksen (EU) 2021/696 mukaisen turvallisuusjärjestelyjen hyväksynnän vuoksi 1 päivästä tammikuuta 2026. |
(17) |
Tässä asetuksessa säädetyt vaatimukset perustuvat viraston antamaan lausuntoon nro 03/2021 (13), jonka se on antanut asetuksen (EU) 2018/1139 75 artiklan 2 kohdan b ja c alakohdan ja 76 artiklan 1 kohdan mukaisesti. |
(18) |
Tässä asetuksessa säädetyt vaatimukset ovat asetuksen (EU) 2018/1139 127 artiklalla perustetun yhteisten turvallisuussääntöjen soveltamista siviili-ilmailun alalla käsittelevän komitean lausunnon mukaiset, |
ON HYVÄKSYNYT TÄMÄN ASETUKSEN:
1 artikla
Kohde
Tässä asetuksessa vahvistetaan vaatimukset, jotka organisaatioiden ja toimivaltaisten viranomaisten on täytettävä
a) |
tunnistaakseen ja hallitakseen sellaisia tietoturvariskejä, jotka saattavat vaikuttaa tieto- ja viestintäteknisiin järjestelmiin ja siviili-ilmailussa käytettävään dataan, |
b) |
havaitakseen tietoturvatapahtumat ja tunnistaakseen niistä ne, joita pidetään mahdollisesti ilmailun turvallisuuteen vaikuttavina tietoturvapoikkeamina, |
c) |
reagoidakseen näihin tietoturvapoikkeamiin ja palautuakseen niistä. |
2 artikla
Soveltamisala
1. Tätä asetusta sovelletaan seuraaviin organisaatioihin:
a) |
asetuksen (EU) N:o 1321/2014 liitteen II (145 osa) osaston A soveltamisalaan kuuluvat huolto-organisaatiot, lukuun ottamatta niitä, jotka osallistuvat yksinomaan asetuksen (EU) N:o 1321/2014 liitteen Vb (ML osa) mukaiseen ilma-alusten huoltoon; |
b) |
asetuksen (EU) N:o 1321/2014 liitteen Vc (CAMO osa) osaston A soveltamisalaan kuuluvat jatkuvan lentokelpoisuuden hallintaorganisaatiot, lukuun ottamatta niitä, jotka osallistuvat yksinomaan asetuksen (EU) N:o 1321/2014 liitteen Vb (ML osa) mukaiseen ilma-alusten jatkuvan lentokelpoisuuden hallintaan; |
c) |
asetuksen (EU) N:o 965/2012 liitteen III (osa ORO) soveltamisalaan kuuluvat lentotoiminnan harjoittajat, lukuun ottamatta niitä, jotka osallistuvat yksinomaan seuraavien ilma-alusten käyttöön lentotoiminnassa:
|
d) |
asetuksen (EU) N:o 1178/2011 liitteen VII (osa ORA) soveltamisalaan kuuluvat hyväksytyt koulutusorganisaatiot, lukuun ottamatta niitä, jotka osallistuvat koulutustoimintaan yksinomaan asetuksen (EU) N:o 748/2012 1 artiklan 2 kohdan j alakohdassa määritellyillä ELA2-ilma-aluksilla tai yksinomaan teoriakoulutukseen; |
e) |
lentomiehistön ilmailulääketieteen keskukset, joihin sovelletaan asetuksen (EU) N:o 1178/2011 liitettä VII (osa ORA); |
f) |
asetuksen (EU) N:o 1178/2011 liitteen VII (osa ORA) soveltamisalaan kuuluvat lentoa simuloivien koulutuslaitteiden (FSTD) käyttäjät, lukuun ottamatta niitä, jotka osallistuvat FSTD-laitteiden käyttöön yksinomaan asetuksen (EU) N:o 748/2012 1 artiklan 2 kohdan j alakohdassa määriteltyjen ELA2-ilma-alusten osalta; |
g) |
asetuksen (EU) 2015/340 liitteen III (osa ATCO.OR) soveltamisalaan kuuluvat lennonjohtajien koulutusorganisaatiot ja lennonjohtajien ilmailulääketieteen keskukset; |
h) |
organisaatiot, joihin sovelletaan täytäntöönpanoasetuksen (EU) 2017/373 liitettä III (osa ATM/ANS.OR), lukuun ottamatta seuraavia palveluntarjoajia:
|
i) |
U-space-palveluntarjoajat ja yksinoikeudella toimivat yhteisen tietopalvelun tarjoajat, joihin sovelletaan täytäntöönpanoasetusta (EU) 2021/664. |
2. Tätä asetusta sovelletaan tämän asetuksen 6 artiklassa ja komission delegoidun asetuksen (EU) 2022/1645 (14) 5 artiklassa tarkoitettuihin toimivaltaisiin viranomaisiin sekä Euroopan unionin lentoturvallisuusvirastoon, jäljempänä ’virasto’.
3. Tätä asetusta sovelletaan myös siihen toimivaltaiseen viranomaiseen, joka vastaa asetuksen (EU) N:o 1321/2014 liitteen III (66 osa) mukaisten ilma-aluksen huoltohenkilöstön lupakirjojen myöntämisestä, voimassaolon jatkamisesta, muuttamisesta, keskeyttämisestä tai peruuttamisesta.
4. Tämä asetus ei vaikuta täytäntöönpanoasetuksen (EU) 2015/1998 liitteessä olevassa 1.7 kohdassa eikä direktiivin (EU) 2016/1148 14 artiklassa vahvistettuihin tietoturva- ja kyberturvallisuusvaatimuksiin.
3 artikla
Määritelmät
Tässä asetuksessa tarkoitetaan:
1) |
’tietoturvalla’ verkko- ja tietojärjestelmien luottamuksellisuuden, eheyden, aitouden ja käytettävyyden säilyttämistä; |
2) |
’tietoturvatapahtumalla’ järjestelmän, palvelun tai verkkotilan tunnistettua poikkeamaa, joka viittaa tietoturvapolitiikan mahdolliseen rikkomiseen tai tietoturvan valvontatoimien laiminlyöntiin taikka aiemmin tuntemattomaan tilanteeseen, jolla voi olla merkitystä tietoturvan kannalta; |
3) |
’poikkeamalla’ mitä tahansa tapahtumaa, joka tosiasiassa vaikuttaa haitallisesti direktiivin (EU) 2016/1148 4 artiklan 7 kohdassa määriteltyyn verkko- ja tietojärjestelmien turvallisuuteen; |
4) |
’tietoturvariskillä’ tietoturvatapahtuman mahdollisuudesta organisaation siviili-ilmailutoiminnalle, omaisuudelle, yksityishenkilöille tai muille organisaatioille aiheutuvaa riskiä. Tietoturvariskeihin liittyy mahdollisuus, että uhkissa hyödynnetään tieto-omaisuuden tai tieto-omaisuusryhmän haavoittuvuuksia; |
5) |
’uhkalla’ tietoturvaloukkauksen mahdollisuutta, joka on olemassa, kun on yhteisö, olosuhde, toimi tai tapahtuma, joka voisi aiheuttaa vahinkoa; |
6) |
’haavoittuvuudella’ sellaista omaisuuden tai järjestelmän, menetelmien, suunnittelun, toteutuksen tai tietoturvatoimenpiteiden vikaa tai heikkoutta, jota voitaisiin hyödyntää ja joka johtaisi tietoturvapolitiikan rikkomiseen tai loukkaamiseen. |
4 artikla
Organisaatioita ja toimivaltaisia viranomaisia koskevat vaatimukset
1. Edellä 2 artiklan 1 kohdassa tarkoitettujen organisaatioiden on täytettävä tämän asetuksen liitteen II (osa IS.I.OR) vaatimukset.
2. Edellä 2 artiklan 2 ja 3 kohdassa tarkoitettujen toimivaltaisten viranomaisten on täytettävä tämän asetuksen liitteen I (osa IS.AR) vaatimukset.
5 artikla
Muusta unionin lainsäädännöstä johtuvat vaatimukset
1. Jos 2 artiklan 1 kohdassa tarkoitettu organisaatio täyttää direktiivin (EU) 2016/1148 14 artiklan mukaisesti säädetyt turvavaatimukset, jotka vastaavat tässä asetuksessa säädettyjä vaatimuksia, kyseisten turvavaatimusten täyttäminen katsotaan tässä asetuksessa säädettyjen vaatimusten täyttämiseksi.
2. Jos 2 artiklan 1 kohdassa tarkoitettu organisaatio on Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 300/2008 (15) 10 artiklan mukaisesti vahvistetuissa jäsenvaltioiden kansallisissa siviili-ilmailun turvaohjelmissa tarkoitettu lentotoiminnan harjoittaja tai yhteisö, täytäntöönpanoasetuksen (EU) 2015/1998 liitteessä olevaan 1.7 kohtaan sisältyvien kyberturvallisuusvaatimusten katsotaan vastaavan tässä asetuksessa säädettyjä vaatimuksia, lukuun ottamatta tämän asetuksen liitteessä II olevaa IS.I.OR.230 kohtaa, jota on noudatettava sellaisenaan.
3. Jos 2 artiklan 1 kohdassa tarkoitettu organisaatio on asetuksessa (EU) 2021/696 tarkoitetun Euroopan geostationaarisen navigointilisäjärjestelmän (EGNOS) lennonvarmistuspalvelun tarjoaja, mainitun asetuksen V osaston 33–43 artiklaan sisältyvien turvavaatimusten katsotaan vastaavan tässä asetuksessa säädettyjä vaatimuksia, lukuun ottamatta tämän asetuksen liitteessä II olevaa IS.I.OR.230 kohtaa, jota on noudatettava sellaisenaan.
4. Komissio voi virastoa ja direktiivin (EU) 2016/1148 11 artiklassa tarkoitettua yhteistyöryhmää kuultuaan antaa ohjeita tässä asetuksessa ja direktiivissä (EU) 2016/1148 säädettyjen vaatimusten vastaavuuden arvioimista varten.
6 artikla
Toimivaltainen viranomainen
1. Rajoittamatta asetuksen (EU) 2021/696 36 artiklassa tarkoitettuja turvallisuusjärjestelyjen hyväksyntälautakunnalle annettuja tehtäviä, tämän asetuksen noudattamisen todentamisesta ja valvonnasta vastaava viranomainen on
a) |
2 artiklan 1 kohdan a alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 1321/2014 liitteen II (145 osa) mukaisesti nimetty toimivaltainen viranomainen; |
b) |
2 artiklan 1 kohdan b alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 1321/2014 liitteen Vc (CAMO osa) mukaisesti nimetty toimivaltainen viranomainen; |
c) |
2 artiklan 1 kohdan c alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 965/2012 liitteen III (osa ORO) mukaisesti nimetty toimivaltainen viranomainen; |
d) |
2 artiklan 1 kohdan d–f alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 1178/2011 liitteen VII (osa ORA) mukaisesti nimetty toimivaltainen viranomainen; |
e) |
2 artiklan 1 kohdan g alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) 2015/340 6 artiklan 2 kohdan mukaisesti nimetty toimivaltainen viranomainen; |
f) |
2 artiklan 1 kohdan h alakohdassa tarkoitettujen organisaatioiden osalta täytäntöönpanoasetuksen (EU) 2017/373 4 artiklan 1 kohdan mukaisesti nimetty toimivaltainen viranomainen; |
g) |
2 artiklan 1 kohdan i alakohdassa tarkoitettujen organisaatioiden osalta tapauksen mukaan täytäntöönpanoasetuksen (EU) 2021/664 14 artiklan 1 tai 2 kohdan mukaisesti nimetty toimivaltainen viranomainen. |
2. Jäsenvaltiot voivat tämän asetuksen soveltamiseksi nimetä riippumattoman ja itsenäisen yksikön hoitamaan 1 kohdassa tarkoitetut toimivaltaisten viranomaisten tehtävät ja velvollisuudet. Tällöin on otettava käyttöön koordinointitoimenpiteitä kyseisen yksikön ja 1 kohdassa tarkoitettujen toimivaltaisten viranomaisten välillä sen varmistamiseksi, että kaikkia vaatimuksia, jotka organisaation on täytettävä, valvotaan tehokkaasti.
3. Virasto tekee yhteistyötä Euroopan unionin avaruusohjelmaviraston (EUSPA) ja asetuksen (EU) 2021/696 36 artiklassa tarkoitetun turvallisuusjärjestelyjen hyväksyntäviranomaisen kanssa noudattaen kaikilta osin salassapitovelvollisuutta, henkilötietojen suojaa ja turvallisuusluokiteltujen tietojen suojaa koskevia sääntöjä varmistaakseen EGNOS-lennonvarmistuspalvelun tarjoajaan sovellettavien vaatimusten tehokkaan valvonnan.
7 artikla
Merkityksellisten tietojen toimittaminen verkko- ja tietoturvasta vastaavalle toimivaltaiselle viranomaiselle
Niiden viranomaisten, jotka tämän asetuksen mukaan ovat toimivaltaisia, on ilman aiheetonta viivytystä annettava direktiivin (EU) 2016/1148 8 artiklan mukaisesti nimetylle keskitetylle yhteyspisteelle kaikki merkitykselliset tiedot, jotka sisältyvät direktiivin (EU) 2016/1148 5 artiklan mukaisesti määritettyjen keskeisten palvelujen tarjoajien tämän asetuksen liitteessä II olevan IS.I.OR.230 kohdan ja delegoidun asetuksen 2022/1645 liitteessä I olevan IS.D.OR.230 kohdan mukaisesti toimittamiin ilmoituksiin.
8 artikla
Asetuksen (EU) N:o 1178/2011 muuttaminen
Muutetaan asetuksen (EU) N:o 1178/2011 liitteet VI (osa ARA) ja VII (osa ORA) tämän asetuksen liitteen III mukaisesti.
9 artikla
Asetuksen (EU) N:o 748/2012 muuttaminen
Muutetaan asetuksen (EU) N:o 748/2012 liite I (21 osa) tämän asetuksen liitteen IV mukaisesti.
10 artikla
Asetuksen (EU) N:o 965/2012 muuttaminen
Muutetaan asetuksen (EU) N:o 965/2012 liitteet II (osa ARO) ja III (osa ORO) tämän asetuksen liitteen V mukaisesti.
11 artikla
Asetuksen (EU) N:o 139/2014 muuttaminen
Muutetaan asetuksen (EU) N:o 139/2014 liite II (osa ADR.AR) tämän asetuksen liitteen VI mukaisesti.
12 artikla
Asetuksen (EU) N:o 1321/2014 muuttaminen
Muutetaan asetuksen (EU) N:o 1321/2014 liitteet II (145 osa), III (66 osa) ja Vc (CAMO osa) tämän asetuksen liitteen VII mukaisesti.
13 artikla
Asetuksen (EU) 2015/340 muuttaminen
Muutetaan asetuksen (EU) 2015/340 liitteet II (osa ATCO.AR) ja III (osa ATCO.OR) tämän asetuksen liitteen VIII mukaisesti.
14 artikla
Täytäntöönpanoasetuksen (EU) 2017/373 muuttaminen
Muutetaan täytäntöönpanoasetuksen (EU) 2017/373 liitteet II (osa ATM/ANS.AR) ja III (osa ATM/ANS.OR) tämän asetuksen liitteen IX mukaisesti.
15 artikla
Täytäntöönpanoasetuksen (EU) 2021/664 muuttaminen
Muutetaan täytäntöönpanoasetus (EU) 2021/664 seuraavasti:
1) |
Korvataan 15 artiklan 1 kohdan f alakohta seuraavasti:
|
2) |
Lisätään 18 artiklaan l alakohta seuraavasti:
|
16 artikla
Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
Sitä sovelletaan 22 päivästä helmikuuta 2026.
Täytäntöönpanoasetuksen (EU) 2017/373 soveltamisalaan kuuluvan EGNOS-lennonvarmistuspalvelun tarjoajan osalta sitä sovelletaan kuitenkin 1 päivästä tammikuuta 2026.
Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.
Tehty Brysselissä 27 päivänä lokakuuta 2022.
Komission puolesta
Puheenjohtaja
Ursula VON DER LEYEN
(1) EUVL L 212, 22.8.2018, s. 1.
(2) Komission asetus (EU) N:o 748/2012, annettu 3 päivänä elokuuta 2012, ilma-alusten ja niihin liittyvien tuotteiden, osien ja laitteiden lentokelpoisuus- ja ympäristösertifiointia sekä suunnittelu- ja tuotanto-organisaatioiden sertifiointia koskevista täytäntöönpanosäännöistä (EUVL L 224, 21.8.2012, s. 1).
(3) Komission asetus (EU) N:o 1321/2014, annettu 26 päivänä marraskuuta 2014, ilma-alusten sekä ilmailutuotteiden, osien ja laitteiden jatkuvan lentokelpoisuuden ylläpidosta ja näihin tehtäviin osallistuvien organisaatioiden ja henkilöstön hyväksymisestä (EUVL L 362, 17.12.2014, s. 1).
(4) Komission asetus (EU) N:o 965/2012, annettu 5 päivänä lokakuuta 2012, lentotoimintaan liittyvistä teknisistä vaatimuksista ja hallinnollisista menettelyistä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 mukaisesti (EUVL L 296, 25.10.2012, s. 1).
(5) Komission asetus (EU) N:o 1178/2011, annettu 3 päivänä marraskuuta 2011, siviili-ilmailun lentomiehistöä koskevien teknisten vaatimusten ja hallinnollisten menettelyjen säätämisestä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 nojalla (EUVL L 311, 25.11.2011, s. 1).
(6) Komission asetus (EU) 2015/340, annettu 20 päivänä helmikuuta 2015, lennonjohtajien lupakirjoja ja todistuksia koskevista teknisistä vaatimuksista ja hallinnollisista menettelyistä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 mukaisesti, komission täytäntöönpanoasetuksen (EU) N:o 923/2012 muuttamisesta ja komission asetuksen (EU) N:o 805/2011 kumoamisesta (EUVL L 63, 6.3.2015, s. 1).
(7) Komission asetus (EU) N:o 139/2014, annettu 12 päivänä helmikuuta 2014, lentopaikkoihin liittyvistä vaatimuksista ja hallinnollisista menettelyistä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 mukaisesti (EUVL L 44, 14.2.2014, s. 1).
(8) Komission täytäntöönpanoasetus (EU) 2021/664, annettu 22 päivänä huhtikuuta 2021, U-spacen sääntelykehyksestä (EUVL L 139, 23.4.2021, s. 161).
(9) Komission täytäntöönpanoasetus (EU) 2015/1998, annettu 5 päivänä marraskuuta 2015, yksityiskohtaisista toimenpiteistä ilmailun turvaamista koskevien yhteisten perusvaatimusten täytäntöönpanemiseksi (EUVL L 299, 14.11.2015, s. 1).
(10) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).
(11) Euroopan parlamentin ja neuvoston asetus (EU) 2021/696, annettu 28 päivänä huhtikuuta 2021, unionin avaruusohjelman ja Euroopan unionin avaruusohjelmaviraston perustamisesta sekä asetusten (EU) N:o 912/2010, (EU) N:o 1285/2013 ja (EU) N:o 377/2014 ja päätöksen N:o 541/2014/EU kumoamisesta (EUVL L 170, 12.5.2021, s. 69).
(12) Komission täytäntöönpanoasetus (EU) 2017/373, annettu 1 päivänä maaliskuuta 2017, ilmaliikenteen hallinta- ja lennonvarmistuspalvelujen sekä muiden ilmaliikenteen hallintaverkon toimintojen palveluntarjoajia koskevista yhteisistä vaatimuksista ja näiden palveluntarjoajien valvonnasta, asetuksen (EY) N:o 482/2008 sekä täytäntöönpanoasetusten (EU) N:o 1034/2011, (EU) N:o 1035/2011 ja (EU) 2016/1377 kumoamisesta ja asetuksen (EU) N:o 677/2011 (EUVL L 62, 8.3.2017, s. 1)
(13) https://www.easa.europa.eu/document-library/opinions
(14) Komission delegoitu asetus (EU) 2022/1645, annettu 14 päivänä heinäkuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamista koskevista säännöistä siltä osin kuin on kyse ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevista vaatimuksista komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 soveltamisalaan kuuluville organisaatioille sekä komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 muuttamisesta (EUVL L 248, 26.9.2022, s. 18).
(15) Euroopan parlamentin ja neuvoston asetus (EY) N:o 300/2008, annettu 11 päivänä maaliskuuta 2008, yhteisistä siviili-ilmailun turvaamista koskevista säännöistä ja asetuksen (EY) N:o 2320/2002 kumoamisesta (EUVL L 97, 9.4.2008, s. 72).
LIITE I
TIETOTURVA – VIRANOMAISIA KOSKEVAT VAATIMUKSET
[OSA IS.AR]
IS.AR.100 |
Soveltamisala |
IS.AR.200 |
Tietoturvan hallinnan käsikirja (ISMS) |
IS.AR.205 |
Tietoturvariskien arviointi |
IS.AR.210 |
Tietoturvariskien käsittely |
IS.AR.215 |
Tietoturvapoikkeamat – havaitseminen, reagointi ja palautuminen |
IS.AR.220 |
Tietoturvan hallinnan teettäminen alihankintana |
IS.AR.225 |
Henkilöstövaatimukset |
IS.AR.230 |
Tietojen tallentaminen |
IS.AR.235 |
Jatkuva parantaminen |
IS.AR.100 Soveltamisala
Tässä osassa vahvistetaan hallintaa koskevat vaatimukset, jotka tämän asetuksen 2 artiklan 2 kohdassa tarkoitettujen toimivaltaisten viranomaisten on täytettävä.
Vaatimukset, jotka kyseisten toimivaltaisten viranomaisten on täytettävä sertifiointi-, valvonta- ja vaatimustenmukaisuuden varmistamistoimiensa suorittamiseksi, sisältyvät tämän asetuksen 2 artiklan 1 kohdassa ja delegoidun asetuksen (EU) 2022/1645 2 artiklassa tarkoitettuihin asetuksiin.
IS.AR.200 Tietoturvan hallinnan käsikirja (ISMS)
a) |
Toimivaltaisen viranomaisen on 1 artiklassa vahvistettujen tavoitteiden saavuttamiseksi perustettava, otettava käyttöön ja ylläpidettävä tietoturvan hallintajärjestelmä (ISMS), jolla varmistetaan, että toimivaltainen viranomainen
|
b) |
Täyttääkseen jatkuvasti 1 artiklassa tarkoitetut vaatimukset toimivaltaisen viranomaisen on otettava käyttöön IS.AR.235 kohdan mukainen jatkuvan parantamisen prosessi. |
c) |
Toimivaltaisen viranomaisen on dokumentoitava kaikki IS.AR.200 kohdan a alakohdan noudattamisen edellyttämät keskeiset prosessit, menettelyt, tehtävät ja vastuut sekä otettava käyttöön prosessi dokumentoinnin muuttamiseksi. |
d) |
Niiden prosessien, menettelyjen, tehtävien ja vastuiden, jotka toimivaltainen viranomainen on laatinut IS.AR.200 kohdan a alakohdan noudattamiseksi, on kyseiseen toimintaan liittyvien tietoturvariskien arvioinnin perusteella vastattava organisaation toiminnan luonnetta ja vaativuutta, ja ne voidaan sisällyttää muihin olemassa oleviin hallintajärjestelmiin, jotka toimivaltainen viranomainen on jo ottanut käyttöön. |
IS.AR.205 Tietoturvariskien arviointi
a) |
Toimivaltaisen viranomaisen on tunnistettava kaikki ne osa-alueet omassa organisaatiossaan, jotka voivat altistua tietoturvariskeille. Näihin kuuluvat
|
b) |
Toimivaltaisen viranomaisen on tunnistettava ne rajapinnat, joita sen omalla organisaatiolla on muiden organisaatioiden kanssa ja jotka voivat johtaa keskinäiseen altistumiseen tietoturvariskeille. |
c) |
Toimivaltaisen viranomaisen on tunnistettava a ja b alakohdassa tarkoitettujen osa-alueiden ja rajapintojen osalta tietoturvariskit, joilla saattaa olla vaikutusta ilmailun turvallisuuteen. Toimivaltaisen viranomaisen on kunkin tunnistetun riskin osalta
Edellä 1 kohdassa tarkoitetussa ennalta määritellyssä luokituksessa on otettava huomioon uhkaskenaarion toteutumismahdollisuus ja sen turvallisuusvaikutusten merkittävyys. Tämän luokituksen avulla ja ottaen huomioon, onko toimivaltaisella viranomaisella jäsennelty ja toistettavissa oleva toiminnan riskienhallintaprosessi, toimivaltaisen viranomaisen on pystyttävä määrittämään, onko riski hyväksyttävä vai onko sitä tarpeen käsitellä IS.AR.210 kohdan mukaisesti. Riskiarvioiden keskinäisen vertailtavuuden helpottamiseksi 1 kohdan mukaisessa riskitason määrittämisessä on otettava koordinoidusti huomioon asiaankuuluvat tiedot, jotka on saatu b alakohdassa tarkoitettujen organisaatioiden kanssa. |
d) |
Toimivaltaisen viranomaisen on tarkasteltava uudelleen ja päivitettävä a, b ja c alakohdan mukaisesti tehtyä riskinarviointia seuraavissa tilanteissa:
|
IS.AR.210 Tietoturvariskien käsittely
a) |
Toimivaltaisen viranomaisen on laadittava toimenpiteet IS.AR.205 kohdan mukaisesti tunnistettujen ei-hyväksyttävien riskien torjumiseksi, otettava ne käyttöön kohtuullisessa ajassa ja tarkistettava, että toimenpiteet säilyvät jatkuvasti tehokkaina. Näiden toimenpiteiden on mahdollistettava se, että toimivaltainen viranomainen
Toimenpiteet eivät saa aiheuttaa ilmailun turvallisuuteen mahdollisesti kohdistuvia uusia riskejä, joita ei voida hyväksyä. |
b) |
IS.AR.225 kohdan a alakohdassa tarkoitetulle henkilölle ja muulle toimivaltaisen viranomaisen henkilöstölle, jota asia koskee, on annettava tieto IS.AR.205 kohdan mukaisesti tehdyn riskinarvioinnin tuloksista, vastaavista uhkaskenaarioista ja käyttöön otettavista toimenpiteistä. Toimivaltaisen viranomaisen on myös annettava tieto kaikista toimivaltaisen viranomaisen ja organisaation yhteisistä riskeistä niille organisaatioille, joiden kanssa sillä on IS.AR.205 kohdan b alakohdan mukainen rajapinta. |
IS.AR.215 Tietoturvapoikkeamat – havaitseminen, reagointi ja palautuminen
a) |
Toimivaltaisen viranomaisen on IS.AR.205 kohdan mukaisesti tehdyn riskinarvioinnin tulosten ja IS.AR.210 kohdan mukaisesti suoritetun riskien käsittelyn tulosten perusteella otettava käyttöön toimenpiteitä sellaisten tapahtumien havaitsemiseksi, jotka osoittavat ei-hyväksyttävien riskien toteutumismahdollisuutta ja joilla saattaa olla vaikutusta ilmailun turvallisuuteen. Näiden havaitsemistoimenpiteiden on mahdollistettava se, että toimivaltainen viranomainen
|
b) |
Toimivaltaisen viranomaisen on otettava käyttöön toimenpiteet reagoidakseen kaikkiin a alakohdan mukaisesti tunnistettuihin tilanteisiin, jotka saattavat kehittyä tietoturvapoikkeamaksi tai joista on kehittynyt tietoturvapoikkeama. Näiden vastatoimenpiteiden on mahdollistettava se, että toimivaltainen viranomainen
|
c) |
Toimivaltaisen viranomaisen on otettava käyttöön tietoturvapoikkeamista palautumiseen tähtäävät toimenpiteet ja tarvittaessa myös hätätoimenpiteet. Näiden palautumistoimenpiteiden on mahdollistettava se, että toimivaltainen viranomainen
|
IS.AR.220 Tietoturvan hallinnan teettäminen alihankintana
Teetettäessä osa IS.AR.200 kohdassa tarkoitetusta toiminnasta alihankintana muilla organisaatioilla toimivaltaisen viranomaisen on varmistettava, että alihankintana teetettävä toiminta on tämän asetuksen mukaista ja että alihankkijaorganisaatio työskentelee sen valvonnassa. Toimivaltaisen viranomaisen on varmistettava, että alihankintana teetettävään toimintaan liittyviä riskejä hallitaan asianmukaisesti.
IS.AR.225 Henkilöstövaatimukset
Toimivaltaisella viranomaisella on
a) |
oltava henkilö, jolla on valtuudet laatia ja ylläpitää tämän asetuksen täytäntöönpanon edellyttämät organisaatiorakenteet, toimintaperiaatteet, prosessit ja menettelyt. Tällä henkilöllä on
|
b) |
oltava käytössään prosessi sen varmistamiseksi, että sillä on riittävästi henkilöstöä tämän liitteen soveltamisalaan kuuluvien toimien suorittamiseen; |
c) |
oltava käytössään prosessi sen varmistamiseksi, että b alakohdassa tarkoitetulla henkilöstöllä on tarvittava pätevyys tehtäviensä suorittamiseen; |
d) |
oltava käytössään prosessi sen varmistamiseksi, että henkilöstö tuntee sille annettuihin rooleihin ja työtehtäviin liittyvät vastuut; |
e) |
oltava varmuus siitä, että sen henkilöstön henkilöllisyys ja luotettavuus, jolla on pääsy tämän asetuksen vaatimusten mukaisiin tietojärjestelmiin ja dataan, on osoitettu asianmukaisesti. |
IS.AR.230 Tietojen tallentaminen
a) |
Toimivaltaisen viranomaisen on pidettävä kirjaa tietoturvan hallinnastaan.
|
b) |
Toimivaltaisen viranomaisen on pidettävä kirjaa tietoturvan hallintaan osallistuvan oman henkilöstönsä pätevyydestä ja kokemuksesta
|
c) |
Tietojen tallennusmuoto on määritettävä toimivaltaisen viranomaisen menettelyissä. |
d) |
Tiedot on säilytettävä tavalla, joka varmistaa niiden suojaamisen vioittumiselta, muuttamiselta ja varkaudelta, ja niin, että tiedot tunnistetaan vaadittaessa niiden turvallisuusluokituksen mukaan. Toimivaltaisen viranomaisen on varmistettava, että tiedot säilytetään tavalla, joka varmistaa niiden eheyden ja aitouden sekä pääsyn tietoihin vain siihen oikeutetuille. |
IS.AR.235 Jatkuva parantaminen
a) |
Toimivaltaisen viranomaisen on arvioitava oman tietoturvan hallintajärjestelmänsä tehokkuutta ja kypsyyttä käyttäen asianmukaisia suorituskykyindikaattoreita. Arviointi on tehtävä toimivaltaisen viranomaisen ennalta määrittelemän kalenterin mukaan tai tietoturvapoikkeaman jälkeen. |
b) |
Jos a alakohdan mukaisesti tehdyn arvioinnin perusteella havaitaan puutteita, toimivaltaisen viranomaisen on toteutettava tarvittavat parannustoimenpiteet sen varmistamiseksi, että tietoturvan hallintajärjestelmä täyttää edelleen sovellettavat vaatimukset ja pitää tietoturvariskit hyväksyttävällä tasolla. Lisäksi toimivaltaisen viranomaisen on arvioitava uudelleen ne tietoturvan hallintajärjestelmän osa-alueet, joihin hyväksytyt toimenpiteet vaikuttavat. |
LIITE II
TIETOTURVA – ORGANISAATIOITA KOSKEVAT VAATIMUKSET
[OSA IS.I.OR]
IS.I.OR.100 |
Soveltamisala |
IS.I.OR.200 |
Tietoturvan hallinnan käsikirja (ISMS) |
IS.I.OR.205 |
Tietoturvariskien arviointi |
IS.I.OR.210 |
Tietoturvariskien käsittely |
IS.I.OR.215 |
Tietoturvaa koskeva sisäinen ilmoitusjärjestelmä |
IS.I.OR.220 |
Tietoturvapoikkeamat – havaitseminen, reagointi ja palautuminen |
IS.I.OR.225 |
Reagointi toimivaltaisen viranomaisen ilmoittamiin havaintoihin |
IS.I.OR.230 |
Tietoturvaa koskeva ulkoinen ilmoitusjärjestelmä |
IS.I.OR.235 |
Tietoturvan hallinnan teettäminen alihankintana |
IS.I.OR.240 |
Henkilöstövaatimukset |
IS.I.OR.245 |
Tietojen tallentaminen |
IS.I.OR.250 |
Tietoturvan hallinnan käsikirja (ISMM) |
IS.I.OR.255 |
Tietoturvan hallintajärjestelmän muutokset |
IS.I.OR.260 |
Jatkuva parantaminen |
IS.I.OR.100 Soveltamisala
Tässä osassa vahvistetaan vaatimukset, jotka tämän asetuksen 2 artiklan 1 kohdassa tarkoitettujen organisaatioiden on täytettävä.
IS.I.OR.200 Tietoturvan hallinnan käsikirja (ISMS)
a) |
Organisaation on 1 artiklassa vahvistettujen tavoitteiden saavuttamiseksi perustettava, otettava käyttöön ja ylläpidettävä tietoturvan hallintajärjestelmä (ISMS), jolla varmistetaan, että organisaatio
|
b) |
Täyttääkseen jatkuvasti 1 artiklassa tarkoitetut vaatimukset organisaation on otettava käyttöön IS.I.OR.260 kohdan mukainen jatkuvan parantamisen prosessi. |
c) |
Organisaation on IS.I.OR.250 kohdan mukaisesti dokumentoitava kaikki IS.I.OR.200 kohdan a alakohdan noudattamisen edellyttämät keskeiset prosessit, menettelyt, tehtävät ja vastuut sekä otettava käyttöön prosessi dokumentoinnin muuttamiseksi. Näiden prosessien, menettelyjen, tehtävien ja vastuiden muutoksia on hallittava IS.I.OR.255 kohdan mukaisesti. |
d) |
Niiden prosessien, menettelyjen, tehtävien ja vastuiden, jotka organisaatio on laatinut IS.I.OR.200 kohdan a alakohdan noudattamiseksi, on kyseiseen toimintaan liittyvien tietoturvariskien arvioinnin perusteella vastattava organisaation toiminnan luonnetta ja vaativuutta, ja ne voidaan sisällyttää muihin olemassa oleviin hallintajärjestelmiin, jotka organisaatio on jo ottanut käyttöön. |
e) |
Toimivaltainen viranomainen voi antaa organisaatiolle hyväksynnän, jonka mukaan sen ei tarvitse täyttää a–d alakohdassa tarkoitettuja vaatimuksia eikä IS.I.OR.205–IS.I.OR.260 kohdassa olevia asiaan liittyviä vaatimuksia, jos organisaatio osoittaa asianomaista viranomaista tyydyttävällä tavalla, että sen toiminta, tilat ja resurssit sekä ne palvelut, joita se tuottaa, tarjoaa, vastaanottaa ja ylläpitää, eivät aiheuta sellaisia tietoturvariskejä, joilla saattaa olla vaikutusta ilmailun turvallisuuteen sen itsensä tai muiden organisaatioiden osalta, sanotun kuitenkaan rajoittamatta velvoitetta täyttää asetukseen (EU) N:o 376/2014 sisältyvät ilmoitusvaatimukset ja IS.I.OR.200 kohdan a alakohdan 13 alakohdan vaatimukset. Hyväksynnän on perustuttava organisaation tai kolmannen osapuolen IS.I.OR.205 kohdan mukaisesti suorittamaan dokumentoituun tietoturvariskien arviointiin, jonka toimivaltainen viranomainen on tarkastanut ja hyväksynyt. Toimivaltainen viranomainen tarkastelee hyväksynnän voimassaolon jatkumista sovellettavan valvonnan auditointisyklin mukaan ja aina, kun organisaation työn laajuuteen tehdään muutoksia. |
IS.I.OR.205 Tietoturvariskien arviointi
a) |
Organisaation on tunnistettava kaikki ne osa-alueet organisaatiossa, jotka voivat altistua tietoturvariskeille. Näihin kuuluvat muun muassa seuraavat:
|
b) |
Organisaation on tunnistettava ne rajapinnat, joita sillä on muiden organisaatioiden kanssa ja jotka voivat johtaa keskinäiseen altistumiseen tietoturvariskeille. |
c) |
Organisaation on tunnistettava a ja b alakohdassa tarkoitettujen osa-alueiden ja rajapintojen osalta tietoturvariskit, joilla saattaa olla vaikutusta ilmailun turvallisuuteen. Organisaation on kunkin tunnistetun riskin osalta
Edellä 1 kohdassa tarkoitetussa ennalta määritellyssä luokituksessa on otettava huomioon uhkaskenaarion toteutumismahdollisuus ja sen turvallisuusvaikutusten merkittävyys. Tämän luokituksen perusteella ja ottaen huomioon, onko organisaatiolla jäsennelty ja toistettavissa oleva toiminnan riskienhallintaprosessi, organisaation on pystyttävä määrittämään, onko riski hyväksyttävä vai onko sitä tarpeen käsitellä IS.I.OR.210 kohdan mukaisesti. Riskiarvioiden keskinäisen vertailtavuuden helpottamiseksi 1 kohdan mukaisessa riskitason määrittämisessä on otettava koordinoidusti huomioon asiaankuuluvat tiedot, jotka on saatu b alakohdassa tarkoitettujen organisaatioiden kanssa. |
d) |
Organisaation on tarkasteltava uudelleen ja päivitettävä a, b ja tapauksen mukaan c tai e alakohdan mukaisesti tehtyä riskinarviointia seuraavissa tilanteissa:
|
e) |
Poiketen siitä, mitä c alakohdassa säädetään, organisaatioiden, joiden on noudatettava täytäntöönpanoasetuksen (EU) 2017/373 liitteen III (osa ATM/ANS.OR) osastoa C, on ilmailun turvallisuuteen kohdistuvien vaikutusten analyysin sijaan tehtävä ATM/ANS.OR.C.005 kohdassa vaadittu turvallisuustukiarvioinnin mukainen analyysi niiden palveluihin kohdistuvista vaikutuksista. Tämä turvallisuustukiarviointi on asetettava niiden ilmaliikennepalvelun tarjoajien saataville, joille organisaatio tarjoaa palveluja, ja kyseisten ilmaliikennepalvelun tarjoajat vastaavat ilmailun turvallisuuteen kohdistuvien vaikutusten arvioinnista. |
IS.I.OR.210 Tietoturvariskien käsittely
a) |
Organisaation on laadittava toimenpiteet IS.I.OR.205 kohdan mukaisesti tunnistettujen ei-hyväksyttävien riskien torjumiseksi, otettava ne käyttöön ne kohtuullisessa ajassa ja tarkistettava, että toimenpiteet säilyvät jatkuvasti tehokkaina. Näiden toimenpiteiden on mahdollistettava se, että organisaatio
Toimenpiteet eivät saa aiheuttaa ilmailun turvallisuuteen mahdollisesti kohdistuvia uusia riskejä, joita ei voida hyväksyä. |
b) |
IS.I.OR.240 kohdan a ja b alakohdassa tarkoitetulle henkilölle ja muulle organisaation henkilöstölle, jota asia koskee, on annettava tieto IS.I.OR.205 kohdan mukaisesti tehdyn riskinarvioinnin tuloksista, vastaavista uhkaskenaarioista ja käyttöön otettavista toimenpiteistä. Organisaation on myös annettava tieto kaikista organisaatioille yhteisistä riskeistä niille organisaatioille, joiden kanssa sillä on IS.I.OR.205 kohdan b alakohdan mukainen rajapinta. |
IS.I.OR.215 Tietoturvaa koskeva sisäinen ilmoitusjärjestelmä
a) |
Organisaation on perustettava sisäinen ilmoitusjärjestelmä, jonka avulla voidaan kerätä ja arvioida tietoturvatapahtumia, IS.I.OR.230 kohdan mukaisesti ilmoitettavat tapahtumat mukaan luettuina. |
b) |
Tämän järjestelmän ja IS.I.OR.220 kohdassa tarkoitetun prosessin on mahdollistettava se, että organisaatio
|
c) |
Alihankkijaorganisaation, joka saattaa altistaa organisaation sellaisille tietoturvariskeille, joilla saattaa olla vaikutusta ilmailun turvallisuuteen, on ilmoitettava organisaatiolle tietoturvatapahtumista. Ilmoitukset on annettava sopimusjärjestelyissä vahvistettuja menettelyjä noudattaen, ja ne on arvioitava b alakohdan mukaisesti. |
d) |
Organisaation on tehtävä tutkinnassa yhteistyötä muiden sellaisten organisaatioiden kanssa, joilla on merkittävä vaikutus tietoturvaan sen omassa toiminnassa. |
e) |
Organisaatio voi yhdistää tämän ilmoitusjärjestelmän muihin ilmoitusjärjestelmiin, jotka se on jo ottanut käyttöön. |
IS.I.OR.220 Tietoturvapoikkeamat – havaitseminen, reagointi ja palautuminen
a) |
Organisaation on IS.I.OR.205 kohdan mukaisesti tehdyn riskinarvioinnin tulosten ja IS.I.OR.210 kohdan mukaisesti suoritetun riskien käsittelyn tulosten perusteella otettava käyttöön toimenpiteitä sellaisten poikkeamien ja haavoittuvuuksien havaitsemiseksi, jotka osoittavat ei-hyväksyttävien riskien toteutumismahdollisuutta ja joilla saattaa olla vaikutusta ilmailun turvallisuuteen. Näiden havaitsemistoimenpiteiden on mahdollistettava se, että organisaatio
|
b) |
Organisaation on otettava käyttöön toimenpiteet reagoidakseen kaikkiin a alakohdan mukaisesti tunnistettuihin tilanteisiin, jotka saattavat kehittyä tietoturvapoikkeamaksi tai joista on kehittynyt tietoturvapoikkeama. Näiden vastatoimien on mahdollistettava se, että organisaatio
|
c) |
Organisaation on otettava käyttöön tietoturvapoikkeamasta palautumiseen tähtäävät toimenpiteet ja tarvittaessa myös hätätoimenpiteet. Näiden palautumistoimien on mahdollistettava se, että organisaatio
|
IS.I.OR.225 Reagointi toimivaltaisen viranomaisen ilmoittamiin havaintoihin
a) |
Saatuaan toimivaltaiselta viranomaiselta ilmoituksen havainnoista organisaation on
|
b) |
Edellä a alakohdassa tarkoitetut toimet on toteutettava toimivaltaisen viranomaisen kanssa sovitussa määräajassa. |
IS.I.OR.230 Tietoturvaa koskeva ulkoinen ilmoitusjärjestelmä
a) |
Organisaation on otettava käyttöön tietoturvaa koskeva ilmoitusjärjestelmä, joka täyttää asetuksessa (EU) N:o 376/2014 sekä sen delegoiduissa säädöksissä ja täytäntöönpanosäädöksissä säädetyt vaatimukset, jos mainittua asetusta sovelletaan organisaatioon. |
b) |
Organisaation on varmistettava, että kaikista tietoturvaan liittyvistä poikkeamista tai haavoittuvuuksista, joista saattaa aiheutua merkittävä riski ilmailun turvallisuudelle, ilmoitetaan sen toimivaltaiselle viranomaiselle, sanotun kuitenkaan rajoittamatta asetuksen (EU) N:o 376/2014 velvoitteiden soveltamista. Lisäksi:
|
c) |
Organisaation on raportoitava b alakohdassa tarkoitetuista tilanteista seuraavasti:
|
IS.I.OR.235 Tietoturvan hallinnan teettäminen alihankintana
a) |
Teetettäessä osa IS.I.OR.200 kohdassa tarkoitetusta toiminnasta alihankintana muilla organisaatioilla organisaation on varmistettava, että alihankintana teetettävä toiminta on tämän asetuksen mukaista ja että alihankkijaorganisaatio työskentelee sen valvonnassa. Organisaation on varmistettava, että alihankintana teetettävään toimintaan liittyviä riskejä hallitaan asianmukaisesti. |
b) |
Organisaation on varmistettava, että toimivaltaisella viranomaisella on pyynnöstä pääsy alihankkijaorganisaatioon sen toteamiseksi, että tässä asetuksessa säädettyjä sovellettavia vaatimuksia noudatetaan edelleen. |
IS.I.OR.240 Henkilöstövaatimukset
a) |
Tämän asetuksen 2 artiklassa tarkoitetun organisaation vastuullisella johtajalla, joka on tapauksen mukaan nimetty asetusten (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011, (EU) 2015/340, täytäntöönpanoasetuksen (EU) 2017/373 tai täytäntöönpanoasetuksen (EU) 2021/664 mukaisesti, on oltava valtuudet varmistaa yrityksen puolesta, että kaikki tämän asetuksen edellyttämät toimet kyetään rahoittamaan ja toteuttamaan. Kyseisen henkilön on
|
b) |
Vastuullisen johtajan on nimitettävä henkilö tai henkilöryhmä varmistamaan, että organisaatio noudattaa tämän asetuksen vaatimuksia, ja määriteltävä toimivaltansa laajuus. Kyseisen henkilön tai henkilöryhmän on raportoitava suoraan vastuulliselle johtajalle, ja hänellä on oltava asianmukaiset tiedot, tausta ja kokemus tehtäviensä hoitamiseen. Menetelmissä on määritettävä, kuka toimii kenenkin henkilön sijaisena pitkien poissaolojen aikana. |
c) |
Vastuullisen johtajan on nimitettävä henkilö tai henkilöryhmä, joka vastaa IS.I.OR.200 kohdan a alakohdan 12 alakohdassa tarkoitetun vaatimustenmukaisuuden valvontatoiminnon hallinnoinnista. |
d) |
Jos organisaatiolla on yhteiset tietoturvaa koskevat organisaatiorakenteet, periaatteet, prosessit ja menettelyt muiden organisaatioiden tai sen oman organisaation sellaisten osien kanssa, joita hyväksyntä tai ilmoitus ei kata, vastuullinen johtaja voi delegoida toimintansa yhteiselle vastuuhenkilölle. Tällöin organisaation vastuullisen johtajan ja yhteisen vastuuhenkilön välillä on otettava käyttöön koordinointitoimenpiteet tietoturvan hallinnan asianmukaisen integroinnin varmistamiseksi organisaatiossa. |
e) |
Vastuullisella johtajalla tai d alakohdassa tarkoitetulla yhteisellä vastuuhenkilöllä on oltava valtuudet luoda yrityksen puolesta IS.I.OR.200 kohdan täytäntöönpanemiseksi tarvittavat organisaatiorakenteet, periaatteet, prosessit ja menettelyt ja ylläpitää niitä. |
f) |
Organisaatiolla on oltava käytössään prosessi sen varmistamiseksi, että sillä on riittävästi henkilöstöä tämän liitteen soveltamisalaan kuuluvien toimien suorittamiseen. |
g) |
Organisaatiolla on oltava käytössään prosessi sen varmistamiseksi, että f alakohdassa tarkoitetulla henkilöstöllä on tarvittava pätevyys tehtäviensä suorittamiseen. |
h) |
Organisaatiolla on oltava käytössään prosessi sen varmistamiseksi, että henkilöstö tuntee sille annettuihin rooleihin ja työtehtäviin liittyvät vastuut. |
i) |
Organisaation on varmistettava, että sen henkilöstön henkilöllisyys ja luotettavuus, jolla on pääsy tämän asetuksen vaatimusten mukaisiin tietojärjestelmiin ja dataan, on osoitettu asianmukaisesti. |
IS.I.OR.245 Tietojen tallentaminen
a) |
Organisaation on pidettävä kirjaa tietoturvan hallinnastaan.
|
b) |
Organisaation on pidettävä kirjaa tietoturvan hallintaan osallistuvan oman henkilöstönsä pätevyydestä ja kokemuksesta
|
c) |
Tietojen tallennusmuoto on määritettävä organisaation menettelyissä. |
d) |
Tiedot on säilytettävä tavalla, joka varmistaa niiden suojaamisen vioittumiselta, muuttamiselta ja varkaudelta, ja niin, että tiedot tunnistetaan vaadittaessa niiden turvallisuusluokituksen mukaan. Organisaation on varmistettava, että tiedot säilytetään tavalla, joka varmistaa niiden eheyden ja aitouden sekä pääsyn tietoihin vain siihen oikeutetuille. |
IS.I.OR.250 Tietoturvan hallinnan käsikirja (ISMM)
a) |
Organisaation on asetettava toimivaltaisen viranomaisen saataville tietoturvan hallinnan käsikirja (ISMM) sekä tarvittaessa siihen liittyvät käsikirjat ja menettelyt, joihin viitataan ja jotka sisältävät
|
b) |
Tietoturvan hallinnan käsikirjan alkuperäiselle versiolle on saatava hyväksyntä, ja toimivaltaisen viranomaisen on säilytettävä sen jäljennös. Tietoturvan hallinnan käsikirjaa on tarvittaessa muutettava, jotta organisaation tietoturvan hallintajärjestelmän kuvaus pysyy ajantasaisena. Toimivaltaiselle viranomaiselle on toimitettava jäljennös kaikista tietoturvan hallinnan käsikirjaan tehdyistä muutoksista. |
c) |
Tietoturvan hallinnan käsikirjaan tehtäviä muutoksia on hallittava organisaation laatimalla menettelyllä. Toimivaltaiselta viranomaiselta on saatava hyväksyntä kaikkiin muutoksiin, jotka eivät kuulu tämän menettelyn soveltamisalaan, ja kaikkiin muutoksiin, jotka liittyvät IS.I.OR.255 kohdan b alakohdassa tarkoitettuihin muutoksiin. |
d) |
Organisaatio voi yhdistää tietoturvan hallinnan käsikirjan muihin sen laatimiin organisaation käsikirjoihin sillä edellytyksellä, että on olemassa selkeät ristiviittaukset, jotka osoittavat, mitkä organisaation käsikirjan osat vastaavat tässä liitteessä esitettyjä eri vaatimuksia. |
IS.I.OR.255 Tietoturvan hallintajärjestelmän muutokset
a) |
Tietoturvan hallintajärjestelmän muutoksia voidaan hallita ja niistä voidaan ilmoittaa toimivaltaiselle viranomaiselle organisaation laatimalla menettelyllä. Menettelyn on oltava toimivaltaisen viranomaisen hyväksymä. |
b) |
Sellaisten tietoturvan hallinnan käsikirjan muutosten osalta, jotka eivät kuulu a alakohdassa tarkoitetun menettelyn piiriin, organisaation on haettava ja saatava toimivaltaisen viranomaisen antama hyväksyntä. Näiden muutosten osalta:
|
IS.I.OR.260 Jatkuva parantaminen
a) |
Organisaation on arvioitava tietoturvan hallintajärjestelmän tehokkuutta ja kypsyyttä käyttäen asianmukaisia suorituskykyindikaattoreita. Arviointi on tehtävä organisaation ennalta määrittelemän kalenterin mukaan tai tietoturvapoikkeaman jälkeen. |
b) |
Jos a alakohdan mukaisesti tehdyn arvioinnin perusteella havaitaan puutteita, organisaation on toteutettava tarvittavat parannustoimenpiteet sen varmistamiseksi, että tietoturvan hallintajärjestelmä täyttää edelleen sovellettavat vaatimukset ja pitää tietoturvariskit hyväksyttävällä tasolla. Lisäksi organisaation on arvioitava uudelleen ne tietoturvan hallintajärjestelmän osa-alueet, joihin hyväksytyt toimenpiteet vaikuttavat. |
LIITE III
Muutetaan asetuksen (EU) N:o 1178/2011 liitteet VI (osa ARA) ja VII (osa ORA) seuraavasti:
1) |
Muutetaan liite VI (osa ARA) seuraavasti:
|
2) |
Muutetaan liite VII (osa ORA) seuraavasti: Lisätään ORA.GEN.200 kohdan jälkeen ORA.GEN.200A kohta seuraavasti: ”ORA.GEN.200A Tietoturvan hallintajärjestelmä ORA.GEN.200 kohdassa tarkoitetun hallintojärjestelmän lisäksi organisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 mukainen tietoturvan hallintajärjestelmä.” |
LIITE IV
Muutetaan asetuksen (EU) N:o 748/2012 liite I (21 osa) seuraavasti:
1) |
Muutetaan sisällysluettelo seuraavasti:
|
2) |
Lisätään 21.B.15 kohtaan c alakohta seuraavasti:
|
3) |
Lisätään 21.B.20 kohdan jälkeen 21.B.20A kohta seuraavasti: ”21.B.20A Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen
|
4) |
Lisätään 21.B.25 kohtaan e alakohta seuraavasti:
|
5) |
Muutetaan 21.B.30 kohta seuraavasti:
|
6) |
Lisätään 21.B.221 kohtaan g alakohta seuraavasti:
|
7) |
Lisätään 21.B.240 kohdan jälkeen 21.B.240A kohta seuraavasti: ”21.B.240A Tietoturvan hallintajärjestelmän muutokset
|
8) |
Lisätään 21.B.431 kohtaan d alakohta seuraavasti:
|
9) |
Lisätään 21.B.435 kohdan jälkeen 21.B.435A kohta seuraavasti: ”21.B.435A Tietoturvan hallintajärjestelmän muutokset
|
LIITE V
Muutetaan asetuksen (EU) N:o 965/2012 liitteet II (osa ARO) ja III (osa ORO) seuraavasti:
1) |
Muutetaan liite II (osa ARO) seuraavasti:
|
2) |
Muutetaan liite III (osa ORO) seuraavasti: Lisätään ORO.GEN.200 kohdan jälkeen ORO.GEN.200A kohta seuraavasti: ”ORO.GEN.200A Tietoturvan hallintajärjestelmä ORO.GEN.200 kohdassa tarkoitetun hallintojärjestelmän lisäksi lentotoiminnan harjoittajan on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 mukainen tietoturvan hallintajärjestelmä.” |
LIITE VI
Muutetaan asetuksen (EU) N:o 139/2014 liite II (osa ADR.AR) seuraavasti:
1) |
Lisätään ADR.AR.A.025 kohtaan c alakohta seuraavasti:
|
2) |
Lisätään ADR.AR.A.030 kohdan jälkeen ADR.AR.A.030A kohta seuraavasti: ”ADR.AR.A.030A Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen
|
3) |
Lisätään ADR.AR.B.005 kohtaan d alakohta seuraavasti:
|
4) |
Muutetaan ADR.AR.B.010 kohta seuraavasti:
|
5) |
Lisätään ADR.AR.C.005 kohtaan f alakohta seuraavasti:
|
6) |
Lisätään ADR.AR.C.040 kohdan jälkeen ADR.AR.C.040A kohta seuraavasti: ”ADR.AR.C.040A Tietoturvan hallintajärjestelmän muutokset
|
LIITE VII
Muutetaan asetuksen (EU) N:o 1321/2014 liitteet II (145 osa), III (66 osa) ja VII (CAMO osa) seuraavasti:
1) |
Muutetaan liite II (145 osa) seuraavasti:
|
2) |
Muutetaan liite III (66 osa) seuraavasti:
|
3) |
Muutetaan liite Vc (CAMO osa) seuraavasti:
|
LIITE VIII
Muutetaan asetuksen (EU) 2015/340 liitteet II (osa ATCO.AR) ja III (osa ATCO.OR) seuraavasti:
1) |
Muutetaan liite II (osa ATCO.AR) seuraavasti:
|
2) |
Muutetaan liite III (osa ATCO.AR) seuraavasti: Lisätään ATCO.OR.C.001 kohdan jälkeen ATCO.OR.C.001A kohta seuraavasti: ”ATCO.OR.C.001A Tietoturvan hallintajärjestelmä ATCO.OR.C.001 kohdassa tarkoitetun hallintojärjestelmän lisäksi koulutusorganisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 mukainen tietoturvan hallintajärjestelmä.” |
LIITE IX
Muutetaan täytäntöönpanoasetuksen (EU) 2017/373 liitteet II (osa ATM/ANS.AR) ja III (osa ATM/ANS.OR) seuraavasti:
1) |
Muutetaan liite II (osa ATM/ANS.AR) seuraavasti:
|
2) |
Muutetaan liite III (osa ATM/ANS.OR) seuraavasti:
|