a)

Virasto ottaa käyttöön järjestelmän, jolla kerätään, analysoidaan ja levitetään asianmukaisesti turvallisuus-, turva- ja yhteentoimivuustietoja, sanotun kuitenkaan rajoittamatta Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 376/2014 (1) ja sen nojalla annettujen delegoitujen ja täytäntöönpanosäädösten soveltamista.

b)

Virasto toteuttaa a alakohdassa tarkoitetut tiedot saatuaan asianmukaiset toimenpiteet havaittujen turvallisuus-, turva- tai yhteentoimivuusongelmien ratkaisemiseksi, mukaan lukien ATM/ANS-laitemääräyksen julkaiseminen delegoidun asetuksen (EU) 2023/1768 liitteessä I olevan ATM/ANS.EQMT.AR.A.030 kohdan mukaisesti.

c)

Toimenpiteistä, jotka on toteutettu b alakohdan mukaisesti, on ilmoitettava viipymättä sille organisaatiolle, jonka on DPO.OR.A.035 kohdan mukaisesti noudatettava niitä. Asiasta on ilmoitettava myös asianomaisten ATM/ANS-palvelujen tarjoajien toimivaltaisille viranomaisille.

a)

Virasto ottaa käyttöön järjestelmän, jolla kerätään, analysoidaan ja jaetaan asianmukaisesti tiedot, jotka koskevat niitä organisaatioiden ilmoittamia tietoturvapoikkeamia ja haavoittuvuuksia, joilla saattaa olla vaikutusta ilmailun turvallisuuteen. Tämä on toteutettava koordinoidusti muiden tietoturvasta tai kyberturvallisuudesta jäsenvaltiossa vastaavien asiaankuuluvien viranomaisten kanssa ilmoitusjärjestelmien koordinoinnin ja yhteensopivuuden lisäämiseksi.

b)

Virasto toteuttaa a alakohdassa tarkoitetut tiedot saatuaan asianmukaiset toimenpiteet, joilla puututaan tietoturvapoikkeaman tai haavoittuvuuden mahdolliseen vaikutukseen ilmailun turvallisuuteen.

c)

Edellä b alakohdassa tarkoitetuista toimenpiteistä on ilmoitettava välittömästi kaikille henkilöille tai organisaatioille, joiden on asetuksen (EU) 2018/1139 ja sen nojalla annettujen delegoitujen ja täytäntöönpanosäädösten mukaan noudatettava niitä. Virasto ilmoittaa näistä toimenpiteistä myös asianomaisten jäsenvaltioiden toimivaltaisille viranomaisille.

a)

Virasto perustaa hallintojärjestelmän ja pitää sitä yllä, ja tähän järjestelmään on kuuluttava vähintään

b)

Virasto nimittää jokaiselle hallintojärjestelmään kuuluvalle toimialalle yhden tai useamman henkilön, jolla on kokonaisvastuu asiaankuuluvien tehtävien hallinnoinnista.

c)

Virasto laatii menettelyt, joilla se osallistuu kaikkien tarvittavien tietojen keskinäiseen vaihtoon komission täytäntöönpanoasetuksen (EU) 2017/373 (2) 4 artiklassa tarkoitettujen muiden toimivaltaisten viranomaisten kanssa, ja antaa niille apua tai pyytää niiltä apua, mukaan lukien DPO.OR.A.045 kohdassa vaadituista pakollisista ja vapaaehtoisista poikkeamailmoituksista saadut tiedot;

d)

Viraston perustaman ja ylläpitämän hallintojärjestelmän on oltava täytäntöönpanoasetuksen (EU) 2023/203 liitteen I (osa IS.AR) mukainen, jotta varmistetaan ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukainen hallinta.

a)

Virastolla on oltava käytössään järjestelmä sellaisten muutosten tunnistamiseksi, jotka vaikuttavat sen valmiuksiin suorittaa tehtäviään ja täyttää sille asetuksessa (EU) 2018/1139 sekä sen nojalla annetuissa delegoiduissa ja täytäntöönpanosäädöksissä asetetut velvollisuudet. Järjestelmän avulla viraston on pystyttävä toteuttamaan tarkoituksenmukaisia toimia sen varmistamiseksi, että hallintojärjestelmä pysyy riittävänä ja tehokkaana.

b)

Varmistaakseen hallintojärjestelmänsä tehokkaan täytäntöönpanon virasto saattaa järjestelmän nopeasti ajan tasalle niin, että siinä otetaan huomioon asetukseen (EU) 2018/1139 sekä sen nojalla annettuihin delegoituihin säädöksiin ja täytäntöönpanosäädöksiin mahdollisesti tehtävät muutokset.

a)

Virasto ottaa käyttöön tietojen tallennusjärjestelmän, jolla turvataan seuraavien tietojen asianmukainen säilytys, saatavuus ja luotettava jäljitettävyys:

b)

Virasto pitää yllä luetteloa myöntämistään todistuksista ja rekisteröimistään ilmoituksista.

c)

Kaikki a ja b alakohdassa tarkoitetut tiedot on talletettava tavalla, joka suojaa ne vahingoittumiselta, muuttamiselta ja varkauksilta, ja säilytettävä vähintään viiden vuoden ajan sen jälkeen, kun hyväksyntöjen ja todistusten voimassaolo on päättynyt tai ilmoitukset peruutettu, jollei sovellettavasta tietosuojalainsäädännöstä muuta johdu.

a)

Hyväksynnän myöntämistä ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvalle organisaatiolle koskevan hakemuksen saatuaan virasto varmistaa, että organisaatio täyttää delegoidun asetuksen (EU) 2023/1768 liitteissä II ja III sekä tämän asetuksen liitteessä II vahvistetut vaatimukset.

b)

Virasto voi pyytää tarpeellisiksi katsomiaan auditointeja, tarkastuksia tai arviointeja ennen hyväksynnän myöntämistä kaikkien tämän liitteen lisäyksessä 1 esitettyjen asiaankuuluvien tietojen kanssa.

c)

Hyväksyntä myönnetään rajoittamattomaksi ajaksi. Oikeudet, jotka koskevat niitä toimintoja, joita organisaatio on hyväksytty suorittamaan, on määriteltävä hyväksyntään liitetyissä ehdoissa.

d)

Hyväksyntää ei myönnetä, jos DPO.AR.C.015 kohdassa tarkoitettu tason 1 havainto on edelleen avoinna. Poikkeuksellisissa olosuhteissa organisaation on tarpeen mukaan arvioitava muut kuin tason 1 havainnot, lievennettävä niitä ja saatava viraston hyväksyntä korjaavien toimien suunnitelmalle havaintojen sulkemiseksi ennen hyväksynnän myöntämistä.

e)

Kaikki hyväksyntään ja sen ehtoihin tehtävät muutokset edellyttävät viraston hyväksyntää.

a)

Virasto laatii ja saattaa vuosittain ajan tasalle valvontaohjelman, jossa otetaan huomioon sen valvomien organisaatioiden erityisluonne, toiminnan vaativuus sekä aiempien sertifiointi- tai valvontatoimien tulokset ja joka perustuu toimintaan liittyvien riskien arviointiin. Valvontaohjelmaan on sisällyttävä auditointeja, jotka täyttävät seuraavat vaatimukset:

b)

Virasto voi päättää tarpeen mukaan muuttaa etukäteen suunniteltujen auditointien tavoitteita ja laajuutta, asiakirjojen tarkastelu ja lisäauditoinnit mukaan luettuina.

c)

Virasto päättää, mitkä järjestelyt, osatekijät, fyysiset paikat ja toimet on tarkastettava tietyn ajan kuluessa.

d)

DPO.AR.C.015 kohdan mukaisesti esitetyt auditointihuomautukset ja -havainnot on dokumentoitava.

e)

Havaintojen tueksi on esitettävä todisteet, ja ne on yksilöitävä suhteessa niihin sovellettaviin vaatimuksiin ja täytäntöönpanojärjestelyihin, joiden noudattamista auditoinnissa on tarkasteltu.

f)

On laadittava auditointikertomus, joka sisältää yksityiskohtaiset tiedot havainnoista ja huomautuksista, ja toimitettava se asianomaiselle organisaatiolle.

a)

Niiden muutosten osalta, joita hallinnoidaan ja joista ilmoitetaan virastolle täytäntöönpanoasetuksen (EU) 2023/203 liitteessä II (osa IS.I.OR) olevan IS.I.OR.255 kohdan a alakohdan mukaisella menettelyllä, virasto sisällyttää muutosten uudelleentarkastelun jatkuvan valvonnan ohjelmaansa tässä liitteessä olevassa DPO.AR.C.005 kohdassa vahvistettujen periaatteiden mukaisesti. Jos vaatimusten noudattamisessa havaitaan puutteita, virasto ilmoittaa asiasta organisaatiolle, pyytää lisämuutoksia ja toimii tämän liitteen DPO.AR.C.015 kohdan mukaisesti.

b)

Muiden sellaisten muutosten osalta, jotka edellyttävät hyväksynnän hakemista täytäntöönpanoasetuksen (EU) 2023/203 liitteessä II (osa IS.I.OR) olevan IS.I.OR.255 kohdan b alakohdan mukaisesti:

a)

Jos virasto tutkinnan tai valvonnan aikana tai muulla tavoin havaitsee, että jotakin tämän asetuksen vaatimusta tai sen edellyttämää menettelyä tai käsikirjaa taikka tämän asetuksen mukaisesti annettua todistusta tai ilmoitusta ei ole noudatettu, se tekee havainnon, sanotun kuitenkaan rajoittamatta asetuksessa (EU) 2018/1139 edellytettyjen lisätoimien toteuttamista.

b)

Virastolla on käytössään järjestelmä, jolla

c)

Virasto tekee tason 1 havainnon, kun se havaitsee delegoidun asetuksen (EU) 2023/1768 liitteessä I olevan ATM/ANS.EQMT.AR.B.001 kohdan mukaisia merkittäviä puutteita, jotka voivat johtaa hallitsemattomaan vaatimustenvastaisuuteen ja mahdolliseen ei-toivottuun tilaan.

Tason 1 havaintoihin kuuluvat muun muassa seuraavat:

d)

Virasto tekee tason 2 havainnon, jos havaitaan, että jotakin seuraavista vaatimuksista ei ole noudatettu:

kun tätä ei luokitella tason 1 havainnoksi.

e)

Kun havainto tehdään, virasto ilmoittaa siitä kirjallisesti asianomaiselle organisaatiolle ja vaatii sitä toteuttamaan korjaavia toimia havaitun vaatimustenvastaisuuden korjaamiseksi, sanotun kuitenkaan rajoittamatta asetuksessa (EU) 2018/1139 ja sen nojalla annetuissa delegoiduissa ja täytäntöönpanosäädöksissä edellytettyjen lisätoimien toteuttamista.

f)

Jos tason 1 tai 2 havainto ei ole tarpeen, virasto voi esittää huomautuksia.

g)

Virasto

h)

Toteuttaessaan g alakohdan mukaisia vaatimustenmukaisuuden varmistamistoimenpiteitä virasto ilmoittaa niistä toimenpiteiden kohteelle, esittää niiden syyt ja ilmoittaa kohteelle tämän muutoksenhakuoikeudesta.

a)

virasto hyväksynnän myöntävänä toimivaltaisena viranomaisena;

b)

hakijan nimi ja postiosoite;

c)

hakijan työn laajuus;

d)

paikka, jossa toimintaa on tarkoitus harjoittaa;

e)

hakijalle hyväksytyt oikeudet;

f)

vakuutus hakijan vaatimustenmukaisuudesta ja sovellettavien vaatimusten noudattamisesta;

g)

hyväksynnän myöntämispäivä ja voimassaoloaika;

h)

hyväksyntään liitetyt lisäehdot tai -rajoitukset.

a)

Suunnittelu- tai tuotanto-organisaation hyväksyntää koskeva hakemus on tehtävä viraston vahvistamassa muodossa ja sen vahvistamalla tavalla.

b)

Hyväksynnän saadakseen ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on täytettävä tässä asetuksessa säädetyt vaatimukset siltä osin kuin niitä sovelletaan sellaiseen ATM/ANS-järjestelmien ja ATM/ANS-rakenneosien suunnitteluun tai tuotantoon, jota organisaatio harjoittaa tai aikoo harjoittaa.

a)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on laadittava ja ylläpidettävä organisaation käsikirjaa, jossa annetaan seuraavat tiedot:

b)

Organisaation käsikirjaa muutettava tarpeen mukaan organisaation kuvauksen pitämiseksi ajan tasalla, ja virastolle on toimitettava jäljennös käsikirjasta ja kaikista sen muutoksista.

c)

Tämän liitteen DPO.OR.B.005 kohdassa tarkoitetun muutoshyväksyntähakemuksen on perustuttava organisaation käsikirjaan ehdotettujen muutosten hyväksyttämiseen.

a)

Organisaation hyväksyntä on voimassa rajoittamattoman ajan edellyttäen, että

b)

Jos hyväksyntä on annettu paperimuodossa, se on palautettava virastolle viipymättä, kun se peruutetaan tai siitä luovutaan.

c)

Organisaation hyväksynnän haltijalla on hyväksymisehtojensa puitteissa ja suunnittelunhallintajärjestelmän asiaa koskevien menettelyjen mukaisesti oikeus

a)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on helpotettava viraston tai sen puolesta toimivan pätevän yksikön suorittamia tarkastuksia ja auditointeja, ja sen on tehtävä tarvittaessa yhteistyötä viraston valtuuksien tehokkaan ja tuloksellisen käytön varmistamiseksi.

b)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on tehtävä yhteistyötä sen ATM/ANS-laitteita käyttävien ATM/ANS-palveluntarjoajien kanssa ja tuettava niitä prosessissa, jolla ne osoittavat vaatimustenmukaisuutensa asianomaisille toimivaltaisille viranomaisille.

a)

määritettävä vaatimustenvastaisuuden juurisyy;

b)

tehtävä suunnitelma korjaavista toimista;

c)

osoitettava korjaavien toimien toteuttaminen virastoa tyydyttävällä tavalla sellaisessa määräajassa, jonka virasto on ehdottanut ja hyväksynyt siten kuin DPO.AR.C.015 kohdan e alakohdan 2 alakohdassa määritellään.

a)

Tämän asetuksen mukaisesti myönnetyn hyväksynnän haltijan on

b)

Niiden organisaatioiden osalta, joiden päätoimipaikka on jossakin jäsenvaltiossa, a alakohdan 1 alakohdan mukaisesti perustettuun järjestelmään on sisällyttävä poikkeamien ilmoittamista ja seurantaa koskevat säännökset, jotka täyttävät asetusten (EU) N:o 376/2014 ja (EU) 2018/1139 sekä niiden nojalla annettujen delegoitujen ja täytäntöönpanosäädösten vaatimukset.

c)

Hyväksynnän haltijan on ilmoitettava virastolle kaikista tiedossaan olevista vaurioista, toimintahäiriöistä, vioista tai muista poikkeamista, jotka ovat aiheuttaneet tai saattavat aiheuttaa turvallisuutta tai turvatoimia vaarantavan tilan taikka laitteen toimintakyvyn alenemisen.

d)

Jos hyväksynnän haltijan päätoimipaikka ei ole jäsenvaltiossa, ilmoitukset on tehtävä viraston vahvistamassa muodossa ja sen vahvistamalla tavalla niin pian kuin se on käytännössä mahdollista ja joka tapauksessa viimeistään 72 tunnin kuluttua siitä, kun henkilö tai organisaatio on saanut tiedon kyseisestä poikkeamasta, jolleivät poikkeukselliset olosuhteet sitä estä.

e)

Hyväksynnän haltijan on tutkittava c alakohdan mukaisesti ilmoitettu poikkeama, mukaan lukien poikkeamaan johtaneet puutteet, ja ilmoitettava virastolle tutkintansa tulokset ja kaikki toimet, jotka se aikoo toteuttaa tai ehdottaa toteutettavaksi puutteiden korjaamiseksi.

a)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on otettava käyttöön seuraavat tiedot sisältävä hallintojärjestelmä, ja pidettävä sitä yllä:

b)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on dokumentoitava kaikki hallintojärjestelmän avainprosessit, mukaan lukien prosessi, jolla henkilöstölle tiedotetaan heidän velvollisuuksistaan, sekä menettely kyseisten prosessien muuttamiseksi.

c)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on perustettava hallintojärjestelmäänsä toiminto, jolla seurataan sovellettavien vaatimusten noudattamista ja vahvistettujen menettelyjen riittävyyttä. Vaatimustenmukaisuuden valvontaan on sisällyttävä järjestelmä havaintoja koskevan palautteen antamiseksi vastuulliselle johtajalle, jotta voidaan varmistaa tarvittavien korjaavien toimenpiteiden tehokas toteuttaminen.

d)

Hallintojärjestelmän on oltava oikeasuhtainen ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation kokoon ja toiminnan vaativuuteen nähden, kun otetaan huomioon tähän toimintaan liittyvät vaarat ja riskit.

e)

Edellä a alakohdassa tarkoitetun hallintojärjestelmän lisäksi ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 mukainen tietoturvan hallintajärjestelmä.

a)

Kun organisaation hyväksyntä on myönnetty, kaikille merkittäville hallintojärjestelmän muutoksille on saatava viraston hyväksyntä ennen niiden toteuttamista, paitsi jos tällaisesta muutoksesta ilmoitetaan ja sitä hallinnoidaan viraston hyväksymää menettelyä noudattaen. Organisaation on toimitettava virastolle hyväksyntähakemus, jossa osoitetaan sovellettavien vaatimusten jatkuva noudattaminen.

b)

Jokaisesta ATM/ANS-laitteen muutoksesta on ilmoitettava virastolle ja sen on hyväksyttävä muutos ennen muutoksen toteuttamista, paitsi jos tällaista muutosta hallinnoidaan viraston hyväksymää muutostenhallintamenettelyä noudattaen. Muutostenhallintamenettelyssä on määriteltävä ATM/ANS-laitteiden muutosten luokitus ja kuvattava, miten tällaisista muutoksista ilmoitetaan ja miten niitä hallinnoidaan.

a)

Alihankinnalla tarkoitetaan kaikkia organisaation toimintaan hyväksyntätodistuksen ehtojen mukaan kuuluvia toimia, jotka suorittaa joko toinen tällaiseen toimintaan sertifioitu organisaatio tai muu kuin sertifioitu organisaatio alihankintatyön teettävän palveluntarjoajan valvonnassa. Kun ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuva organisaatio tekee alihankintasopimuksen jostakin toimintansa osasta tai kun se ostaa osan toiminnastaan ulkopuolisilta organisaatioilta, sen on varmistettava, että sopimuksen kohteena oleva tai ostettu toiminta on sovellettavien vaatimusten mukaista.

b)

Jos ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuva organisaatio tekee alihankintasopimuksen jostakin toimintansa osasta sellaisen organisaation kanssa, jota itseään ei ole sertifioitu tämän asetuksen mukaisesti kyseiseen toimintaan, sen on varmistettava, että alihankkijaorganisaatio työskentelee sen valvonnassa. ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on varmistettava, että virastolla on pääsy alihankkijaorganisaatioon sen määrittämiseksi, noudattaako se jatkuvasti tämän asetuksen sovellettavia vaatimuksia.

a)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on nimettävä vastuullinen johtaja, jolla on valtuudet varmistaa, että kaikki toimet voidaan rahoittaa ja toteuttaa tämän asetuksen sovellettavien vaatimusten mukaisesti. Vastuullinen johtaja vastaa tehokkaan hallintojärjestelmän perustamisesta ja ylläpitämisestä.

b)

Nimettyjen vastuuhenkilöiden valtuudet, tehtävät ja vastuut erityisesti turvallisuuteen, laatuun, turvatoimiin, talouteen ja henkilöstöasioihin liittyvistä tehtävistä vastaavien päälliköiden osalta on myös määriteltävä.

a)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on perustettava tietojen tallennusjärjestelmä, joka mahdollistaa tietojen asianmukaisen tallettamisen ja kaiken toimintansa luotettavan jäljitettävyyden ja joka kattaa erityisesti kaikki DPO.OR.B.001 kohdassa mainitut seikat.

b)

Edellä a alakohdassa tarkoitettujen tietojen muoto ja säilytysaika on määritettävä organisaation hallintojärjestelmän menettelyissä.

c)

Tiedot on talletettava siten, että ne ovat suojassa vahingoittumiselta, muutoksilta ja varkaudelta.

d)

ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvan organisaation on pidettävä rekisteriä käyttöön luovutetuista ATM/ANS-laitteista.

a)

ATM/ANS-laitteiden suunnittelu- tai tuotanto-organisaation hyväksynnän hakijalla ja haltijalla on oikeus tapauksen mukaan johonkin seuraavista:

b)

Suunnittelutoiminnan osalta ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvien organisaatioiden on

c)

Tuotantotoiminnan osalta ATM/ANS-laitteiden suunnitteluun tai tuotantoon osallistuvien organisaatioiden on

d)

Sen lisäksi, mitä c alakohdassa säädetään, ATM/ANS-laitteiden tuotantoon osallistuvalla organisaatiolla on hyväksyntäehtojensa puitteissa oikeus todeta, että jokainen valmistunut ATM/ANS-laite on sovellettavien suunnittelutietojen mukainen ja turvallisessa käyttökunnossa, ennen kuin se antaa EASAn valmistustodistuksen, jossa todetaan, että ATM/ANS-laitteet on valmistettu tämän asetuksen sovellettavien vaatimusten ja sovellettavien suunnittelutietojen mukaisesti.

e)

Kunkin valmistetun ATM/ANS-laitteen osalta d alakohdassa tarkoitetussa EASAn valmistustodistuksessa on oltava vähintään seuraavat tiedot:

a)

suunnittelu- ja tuotantotoiminnan riittävä koordinointi asianmukaisin järjestelyin tarpeen mukaan;

b)

riittävä koordinointi ja asianmukainen tuki asianomaisten ATM/ANS-palvelujen tarjoajien ja ilmailuyritysten kanssa ATM/ANS-laitteiden jatkuvan soveltuvuuden varmistamiseksi tarpeen mukaan.

a)

ehdotettava sopivaa korjaavaa toimea ja esitettävä se yksityiskohtaisine tietoineen virastolle hyväksyttäväksi;

b)

sen jälkeen, kun virasto on hyväksynyt a alakohdassa tarkoitetun ehdotuksen, asetettava asianmukaiset kuvaustiedot ja toteutusohjeet kaikkien ATM/ANS-laitteen tunnettujen käyttäjien tai omistajien saataville sekä pyynnöstä kaikkien sellaisten henkilöiden saataville, joiden on noudatettava ATM/ANS-laitemääräystä.