”f)

ottavansa käyttöön täytäntöönpanoasetuksen (EU) 2017/373 liitteessä III olevassa osastossa D olevan ATM/ANS.OR.D.010 kohdan mukaisen turvatoimien hallintajärjestelmän sekä täytäntöönpanoasetuksen (EU) 2023/203 liitteen II (osa IS.I.OR) mukaisen tietoturvan hallintajärjestelmän ja pitävänsä niitä yllä.”

”l)

perustettava ja toteutettava täytäntöönpanoasetuksen (EU) 2023/203 liitteen I (osa IS.AR) mukainen tietoturvan hallintajärjestelmä sekä pidettävä sitä yllä.”

1)

laatii tietoturvapolitiikan, jossa vahvistetaan tietoturvariskejä koskevat toimivaltaisen viranomaisen yleiset periaatteet ilmailun turvallisuuteen mahdollisesti kohdistuvien vaikutusten osalta;

2)

tunnistaa tietoturvariskit ja tarkastelee niitä IS.AR.205 kohdan mukaisesti;

3)

määrittelee ja ottaa käyttöön IS.AR.210 kohdan mukaiset tietoturvariskien käsittelytoimenpiteet;

4)

määrittelee ja ottaa käyttöön tarvittavat toimenpiteet tietoturvatapahtumien havaitsemiseksi IS.AR.215 kohdan mukaisesti ja tunnistaa ne tapahtumat, joita pidetään sellaisina vaaratilanteina, joilla saattaa olla vaikutusta ilmailun turvallisuuteen, sekä reagoi kyseisiin tietoturvapoikkeamiin ja palautuu niistä;

5)

täyttää IS.AR.220 kohdan vaatimukset, jos jokin osa IS.AR.200 kohdassa kuvatusta toiminnasta teetetään alihankintana muilla organisaatioilla;

6)

täyttää IS.AR.225 kohdassa olevat henkilöstövaatimukset;

7)

täyttää IS.AR.230 kohdassa olevat tietojen tallentamista koskevat vaatimukset;

8)

valvoo, että sen oma organisaatio täyttää tämän asetuksen vaatimukset, ja antaa IS.AR.225 kohdan a alakohdassa tarkoitetulle henkilölle palautetta havainnoista korjaavien toimien tehokkaan täytäntöönpanon varmistamiseksi;

9)

suojaa kaikkien sellaisten tietojen luottamuksellisuuden, joita toimivaltaisella viranomaisella mahdollisesti on sen valvonnan piiriin kuuluvista organisaatioista, sekä tämän asetuksen liitteessä II (osa IS.I.OR) olevan IS.I.OR.230 kohdan ja delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.I.OR) olevan IS.I.OR.230 kohdan mukaisesti perustettujen organisaation ulkoisten ilmoitusjärjestelmien kautta saatujen tietojen luottamuksellisuuden;

10)

ilmoittaa virastolle muutoksista, jotka vaikuttavat toimivaltaisen viranomaisen valmiuteen suorittaa tehtävänsä ja hoitaa tässä asetuksessa määritellyt velvollisuutensa;

11)

määrittelee ja ottaa käyttöön menettelyt asiaankuuluvien tietojen jakamiseksi tarpeen mukaan, käytännöllisesti ja oikea-aikaisesti muiden toimivaltaisten viranomaisten ja virastojen sekä tämän asetuksen soveltamisalaan kuuluvien organisaatioiden avustamiseksi tehokkaiden turvariskiarviointien tekemisessä niiden toiminnasta.

1)

toimivaltaisen viranomaisen toiminta, tilat ja resurssit sekä ne palvelut, joita toimivaltainen viranomainen käyttää, tarjoaa, vastaanottaa tai ylläpitää;

2)

edellä 1 kohdassa tarkoitettujen osa-alueiden toiminnassa käytettävät laitteet, järjestelmät, data ja tiedot.

1)

määritettävä riskitaso toimivaltaisen viranomaisen ennalta määrittelemän luokituksen mukaan;

2)

yhdistettävä kukin riski ja sen taso a ja b alakohdan mukaisesti tunnistettuun vastaavaan osa-alueeseen tai rajapintaan.

1)

tietoturvariskien kohteena olevissa osa-alueissa on tehty muutoksia;

2)

toimivaltaisen viranomaisen organisaation ja muiden organisaatioiden väliset rajapinnat tai muiden organisaatioiden ilmoittamat riskit ovat muuttuneet;

3)

riskien tunnistamiseen, analysointiin ja luokitteluun käytetyt tiedot tai tietämys ovat muuttuneet;

4)

tietoturvapoikkeamien analysoinnista on saatu uutta tietoa.

1)

valvoo olosuhteita, jotka vaikuttavat uhkaskenaarion tosiasialliseen toteutumiseen;

2)

vähentää uhkaskenaarion toteutumisesta ilmailun turvallisuudelle aiheutuvia seurauksia;

3)

välttää riskit.

1)

tunnistaa poikkeamat ennalta määritetyistä toiminnallisen suorituskyvyn perustasoista;

2)

antaa varoitukset asianmukaisten vastatoimien aktivoimiseksi, jos poikkeamia ilmenee.

1)

reagoi omassa organisaatiossaan a alakohdan 2 alakohdassa tarkoitettuihin varoituksiin aktivoimalla ennalta määritellyt resurssit ja toimet;

2)

estää hyökkäyksen leviämisen ja välttää uhkaskenaarion täysimääräisen toteutumisen;

3)

hallitsee IS.AR.205 kohdan a alakohdassa määriteltyjen, kohteena olevien osa-alueiden vikatilaa.

1)

poistaa poikkeaman aiheuttaneen tilanteen tai rajoittaa sen siedettävälle tasolle;

2)

saattaa IS.AR.205 kohdan a alakohdassa määritellyt kohteena olevat osa-alueet turvalliseen tilaan organisaationsa ennalta määrittämässä palautumisajassa.

1)

oltava valtuudet käyttää täysimääräisesti resursseja, joita toimivaltainen viranomainen tarvitsee suorittaakseen kaikki tässä asetuksessa edellytetyt tehtävät;

2)

oltava osoitettujen tehtävien hoitamiseksi tarvittava toimivallan siirto;

1)

Toimivaltaisen viranomaisen on varmistettava, että seuraavat tiedot arkistoidaan ja että ne ovat jäljitettävissä:

2)

Edellä 1 alakohdan i alakohdassa tarkoitetut tiedot on säilytettävä vähintään viiden vuoden ajan sopimuksen muuttamisesta tai irtisanomisesta.

3)

Edellä 1 alakohdan ii ja iii alakohdassa tarkoitetut tiedot on säilytettävä vähintään viiden vuoden ajan.

4)

Edellä 1 alakohdan iv alakohdassa tarkoitetut tiedot on säilytettävä, kunnes kyseiset tietoturvatapahtumat on arvioitu uudelleen toimivaltaisen viranomaisen laatimassa menettelyssä määritetyin väliajoin.

1)

Henkilöstön pätevyyttä ja kokemusta koskevat tiedot on säilytettävä niin kauan kuin henkilö työskentelee toimivaltaisessa viranomaisessa ja vähintään kolme vuotta sen jälkeen, kun henkilö on jättänyt toimivaltaisen viranomaisen.

2)

Henkilöstön jäsenille on heidän pyynnöstään annettava pääsy heidän henkilökohtaisiin asiakirjoihinsa. Lisäksi toimivaltaisen viranomaisen on pyynnöstä toimitettava heille jäljennös heidän henkilökohtaisista tiedoistaan, kun he jättävät toimivaltaisen viranomaisen.

1)

laatii tietoturvapolitiikan, jossa vahvistetaan tietoturvariskejä koskevat organisaation yleiset periaatteet ilmailun turvallisuuteen mahdollisesti kohdistuvien vaikutusten osalta;

2)

tunnistaa tietoturvariskit ja tarkastelee niitä IS.I.OR.205 kohdan mukaisesti;

3)

määrittelee ja ottaa käyttöön IS.I.OR.210 kohdan mukaiset tietoturvariskien käsittelytoimenpiteet;

4)

ottaa käyttöön IS.I.OR.215 kohdan mukaisen tietoturvaa koskevan sisäisen ilmoitusjärjestelmän;

5)

määrittelee ja ottaa käyttöön tarvittavat toimenpiteet tietoturvatapahtumien havaitsemiseksi IS.I.OR.220 kohdan mukaisesti ja tunnistaa ne tapahtumat, joita pidetään sellaisina vaaratilanteina, joilla saattaa olla vaikutusta ilmailun turvallisuuteen, lukuun ottamatta IS.I.OR.205 kohdan e alakohdan sallimia tapauksia, sekä reagoi kyseisiin tietoturvapoikkeamiin ja palautuu niistä;

6)

ottaa käyttöön toimenpiteet, joista toimivaltainen viranomainen on ilmoittanut välittömänä reaktiona sellaiseen tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen, joka vaikuttaa ilmailun turvallisuuteen;

7)

toteuttaa toimivaltaisen viranomaisen ilmoittamien havaintojen korjaamiseksi asianmukaiset toimet IS.I.OR.225 kohdan mukaisesti;

8)

ottaa käyttöön IS.I.OR.230 kohdan mukaisen ulkoisen ilmoitusjärjestelmän, jotta toimivaltainen viranomainen voi toteuttaa asianmukaiset toimet;

9)

täyttää IS.I.OR.235 kohdan vaatimukset, jos jokin osa IS.I.OR.200 kohdassa tarkoitetusta toiminnasta teetetään alihankintana muilla organisaatioilla;

10)

täyttää IS.I.OR.240 kohdassa säädetyt henkilöstövaatimukset;

11)

täyttää IS.I.OR.245 kohdassa säädetyt tietojen tallentamista koskevat vaatimukset;

12)

valvoo, että organisaatio täyttää tämän asetuksen vaatimukset, ja antaa vastuulliselle johtajalle palautetta havainnoista korjaavien toimien tehokkaan täytäntöönpanon varmistamiseksi;

13)

suojaa muilta organisaatioilta mahdollisesti saamiensa tietojen luottamuksellisuuden tietojen turvallisuusluokan mukaan, sanotun kuitenkaan rajoittamatta sovellettavia poikkeamista ilmoittamista koskevia vaatimuksia.

1)

organisaation toiminta, tilat ja resurssit sekä ne palvelut, joita organisaatio tuottaa, tarjoaa, vastaanottaa tai ylläpitää;

2)

edellä 1 kohdassa lueteltujen osa-alueiden toiminnassa käytettävät laitteet, järjestelmät, data ja tiedot.

1)

määritettävä riskitaso organisaation ennalta määrittelemän luokituksen mukaan;

2)

yhdistettävä kukin riski ja sen taso a ja b alakohdan mukaisesti tunnistettuun vastaavaan osa-alueeseen tai rajapintaan.

1)

tietoturvariskien kohteena olevissa osa-alueissa on tehty muutoksia;

2)

organisaation ja muiden organisaatioiden väliset rajapinnat tai muiden organisaatioiden ilmoittamat riskit ovat muuttuneet;

3)

riskien tunnistamiseen, analysointiin ja luokitteluun käytetyt tiedot tai tietämys ovat muuttuneet;

4)

tietoturvapoikkeamien analysoinnista on saatu uutta tietoa.

1)

valvoo olosuhteita, jotka vaikuttavat uhkaskenaarion tosiasialliseen toteutumiseen;

2)

vähentää uhkaskenaarion toteutumisesta ilmailun turvallisuudelle aiheutuvia seurauksia;

3)

välttää riskit.

1)

tunnistaa, mitkä a alakohdan mukaisesti ilmoitetuista tapahtumista katsotaan sellaisiksi tietoturvaan liittyviksi poikkeamiksi tai haavoittuvuuksiksi, joilla saattaa olla vaikutusta ilmailun turvallisuuteen;

2)

tunnistaa 1 kohdan mukaisesti tunnistettujen tietoturvaan liittyvien poikkeamien ja haavoittuvuuksien syyt ja myötävaikuttavat tekijät sekä käsittelee niitä osana IS.I.OR.205 ja IS.I.OR.220 kohdan mukaista tietoturvariskien hallintaprosessia;

3)

varmistaa, että kaikki tiedossa olevat 1 kohdan mukaisesti tunnistettuja tietoturvaan liittyviä poikkeamia tai haavoittuvuuksia koskevat asiaankuuluvat tiedot arvioidaan;

4)

varmistaa, että käytössä on menetelmä tietojen jakamiseen sisäisesti tarpeen mukaan.

1)

tunnistaa poikkeamat ennalta määritetyistä toiminnallisen suorituskyvyn perustasoista;

2)

antaa varoitukset asianmukaisten vastatoimien aktivoimiseksi, jos poikkeamia ilmenee.

1)

reagoi a alakohdan 2 alakohdassa tarkoitettuihin varoituksiin aktivoimalla ennalta määritellyt resurssit ja toimet;

2)

estää hyökkäyksen leviämisen ja välttää uhkaskenaarion täysimääräisen toteutumisen;

3)

hallitsee IS.I.OR.205 kohdan a alakohdassa määriteltyjen, kohteena olevien osa-alueiden vikatilaa.

1)

poistaa poikkeaman aiheuttaneen tilanteen tai rajoittaa sen siedettävälle tasolle;

2)

saattaa IS.I.OR.205 kohdan a alakohdassa määritellyt kohteena olevat osa-alueet turvalliseen tilaan organisaation ennalta määrittelemässä palautumisajassa.

1)

tunnistettava havaitun puutteen perussyyt ja myötävaikuttavat tekijät;

2)

laadittava korjaustoimenpidesuunnitelma;

3)

osoitettava toimivaltaista viranomaista tyydyttävällä tavalla, että vaatimustenvastaisuus on korjattu.

1)

jos tällainen poikkeama tai haavoittuvuus vaikuttaa ilma-alukseen tai siihen liittyvään järjestelmään tai komponenttiin, organisaation on ilmoitettava siitä myös suunnitteluhyväksynnän haltijalle;

2)

jos tällainen poikkeama tai haavoittuvuus vaikuttaa organisaation käyttämään järjestelmään tai rakenneosaan, organisaation on ilmoitettava siitä järjestelmän tai rakenneosan suunnittelusta vastaavalle organisaatiolle.

1)

ilmoitus toimivaltaiselle viranomaiselle ja tarvittaessa suunnitteluhyväksynnän haltijalle taikka järjestelmän tai rakenneosan suunnittelusta vastaavalle organisaatiolle heti, kun tilanne on tullut organisaation tietoon;

2)

raportti toimivaltaiselle viranomaiselle ja tarvittaessa suunnitteluhyväksynnän haltijalle taikka järjestelmän tai rakenneosan suunnittelusta vastaavalle organisaatiolle mahdollisimman pian, mutta kuitenkin enintään 72 tunnin kuluessa siitä, kun tilanne on tullut organisaation tietoon, ellei tämä poikkeuksellisten olosuhteiden vuoksi ole mahdotonta.

Raportti on laadittava toimivaltaisen viranomaisen määrittelemässä muodossa, ja sen on sisällettävä kaikki organisaation tiedossa olevat olennaiset tiedot tilanteesta;

3)

seurantaraportti toimivaltaiselle viranomaiselle ja tarvittaessa suunnitteluhyväksynnän haltijalle taikka järjestelmän tai rakenneosan suunnittelusta vastaavalle organisaatiolle; seurantaraportissa yksityiskohtaiset tiedot toimista, jotka organisaatio on toteuttanut tai aikoo toteuttaa palautuakseen poikkeamasta, sekä toimista, joita se aikoo toteuttaa estääkseen vastaavat tietoturvapoikkeamat tulevaisuudessa.

Seurantaraportti on toimitettava heti, kun kyseiset toimet on yksilöity, ja se on laadittava toimivaltaisen viranomaisen määrittelemässä muodossa.

1)

varmistettava, että käytettävissä on kaikki tarvittavat resurssit tämän asetuksen vaatimusten täyttämiseksi;

2)

laadittava IS.I.OR.200 kohdan a alakohdan 1 alakohdassa tarkoitettu tietoturvapolitiikka ja edistettävä sitä;

3)

osoitettava, että hän ymmärtää tämän asetuksen keskeisen sisällön.

1)

Organisaation on varmistettava, että seuraavat tiedot arkistoidaan ja että ne ovat jäljitettävissä:

2)

Edellä 1 alakohdan i alakohdassa tarkoitetut tiedot on säilytettävä vähintään viiden vuoden ajan hyväksynnän voimassaolon päättymisestä.

3)

Edellä 1 alakohdan ii alakohdassa tarkoitetut tiedot on säilytettävä vähintään viiden vuoden ajan sopimuksen muuttamisesta tai irtisanomisesta.

4)

Edellä 1 alakohdan iii, iv ja v alakohdassa tarkoitetut tiedot on säilytettävä vähintään viiden vuoden ajan.

5)

Edellä 1 alakohdan vi alakohdassa tarkoitetut tiedot on säilytettävä, kunnes kyseiset tietoturvatapahtumat on arvioitu uudelleen organisaation laatimassa menettelyssä määritetyin väliajoin.

1)

Henkilöstön pätevyyttä ja kokemusta koskevat tiedot on säilytettävä niin kauan kuin henkilö työskentelee organisaatiossa ja vähintään kolme vuotta sen jälkeen, kun henkilö on jättänyt organisaation.

2)

Henkilöstön jäsenille on heidän pyynnöstään annettava pääsy heidän henkilökohtaisiin asiakirjoihinsa. Lisäksi organisaation on pyynnöstä toimitettava heille jäljennös heidän henkilökohtaisista tiedoistaan, kun he jättävät organisaation.

1)

vastuullisen johtajan allekirjoittaman vakuutuksen, jossa vahvistetaan, että organisaatio toimii aina tämän liitteen ja tietoturvan hallinnan käsikirjan mukaisesti. Jos vastuullinen johtaja ei ole organisaation pääjohtaja, pääjohtajan on varmennettava vakuutus allekirjoituksellaan;

2)

IS.I.OR.240 kohdan b ja c alakohdassa määritettyjen henkilöiden tehtävänimikkeet, nimet, työtehtävät, vastuuvelvollisuudet, vastuualueet ja valtuudet;

3)

IS.I.OR.240 kohdan d alakohdassa määritetyn yhteisen vastuuhenkilön, jos sellainen on, tehtävänimikkeen, nimen, työtehtävät, vastuuvelvollisuudet, vastuualueet ja valtuudet;

4)

IS.I.OR.200 kohdan a alakohdan 1 alakohdassa tarkoitetun organisaation tietoturvapolitiikan;

5)

yleiskuvauksen henkilöstön lukumäärästä ja henkilöstöluokista sekä käytössä olevasta järjestelmästä, jolla henkilöstön käytettävyyttä suunnitellaan IS.I.OR.240 kohdan d alakohdassa vaaditun mukaisesti;

6)

IS.I.OR.200 kohdan täytäntöönpanosta vastaavien keskeisten henkilöiden tehtävänimikkeet, nimet, työtehtävät, vastuuvelvollisuudet, vastuualueet ja valtuudet, mukaan lukien IS.I.OR.200 kohdan a alakohdan 12 alakohdassa tarkoitetusta vaatimustenmukaisuuden valvontatoiminnosta vastaavat henkilöt;

7)

organisaatiokaavion, josta käyvät ilmi 2 ja 6 alakohdassa tarkoitettujen henkilöiden raportointi- ja vastuuketjut;

8)

kuvauksen IS.I.OR.215 kohdassa tarkoitetusta sisäisestä ilmoitusjärjestelmästä;

9)

menettelyt, joissa kuvataan, miten organisaatio varmistaa tämän osan noudattamisen, ja erityisesti

10)

yksityiskohtaiset tiedot voimassa olevista hyväksytyistä vaihtoehtoisista vaatimusten täyttämisen menetelmistä.

1)

hakemus on toimitettava ennen kyseisten muutosten tekemistä, jotta toimivaltainen viranomainen voi todeta tämän asetuksen vaatimusten täyttyvän edelleen ja tarvittaessa muuttaa organisaation hyväksyntätodistusta ja sen liitteenä olevia hyväksyntäehtoja.

2)

organisaation on asetettava toimivaltaisen viranomaisen saataville kaikki tiedot, joita se pyytää muutoksen arvioimiseksi;

3)

muutos voidaan tehdä vasta, kun toimivaltaiselta viranomaiselta on saatu virallinen hyväksyntä;

4)

organisaation on tällaisia muutoksia tehtäessä toimittava toimivaltaisen viranomaisen asettamin ehdoin.

a)

Lisätään ARA.GEN.125 kohtaan c alakohta seuraavasti:

b)

Lisätään ARA.GEN.135 kohdan jälkeen ARA.GEN.135A kohta seuraavasti:

”ARA.GEN.135A Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen

c)

Lisätään ARA.GEN.200 kohtaan e alakohta seuraavasti:

d)

Muutetaan ARA.GEN.205 kohta seuraavasti:

e)

Lisätään ARA.GEN.300 kohtaan g alakohta seuraavasti:

f)

Lisätään ARA.GEN.330 kohdan jälkeen ARA.GEN.330A kohta seuraavasti:

”ARA.GEN.330A Tietoturvan hallintajärjestelmän muutokset

a)

Lisätään 21.B.20 kohdan otsikon jälkeen otsikko seuraavasti:

”21.B.20A Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen”

b)

Korvataan 21.B.30 kohdan otsikko seuraavasti:

”21.B.30 Tehtävien antaminen”;

c)

Lisätään 21.B.240 kohdan otsikon jälkeen otsikko seuraavasti:

”21.B.240A Tietoturvan hallintajärjestelmän muutokset”

d)

Lisätään 21.B.435 kohdan otsikon jälkeen otsikko seuraavasti:

”21.B.435A Tietoturvan hallintajärjestelmän muutokset”

”c)

Jäsenvaltion toimivaltaisen viranomaisen on mahdollisimman pian toimitettava virastolle turvallisuuden kannalta merkittävät tiedot, jotka tulevat esiin sen delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.230 kohdan mukaisesti saamista tietoturvailmoituksista.”

a)

Toimivaltaisen viranomaisen on otettava käyttöön järjestelmä, jolla kerätään, analysoidaan ja jaetaan asianmukaisesti tiedot, jotka koskevat niitä organisaatioiden ilmoittamia tietoturvaan liittyviä poikkeamia ja haavoittuvuuksia, joilla saattaa olla vaikutusta ilmailun turvallisuuteen. Tämä on toteutettava koordinoidusti muiden tietoturvasta tai kyberturvallisuudesta jäsenvaltiossa vastaavien asiaankuuluvien viranomaisten kanssa ilmoitusjärjestelmien koordinoinnin ja yhteensopivuuden lisäämiseksi.

b)

Virasto ottaa käyttöön järjestelmän voidakseen analysoida asianmukaisesti kaikki 21.B.15 kohdan c alakohdan mukaisesti saadut asiaankuuluvat turvallisuuden kannalta merkittävät tiedot ja toimittaa ilman aiheetonta viivytystä jäsenvaltioille ja komissiolle kaikki tiedot, mukaan lukien suositukset tai toteutettavat korjaavat toimet, jotka ovat tarpeen, jotta ne voivat reagoida oikea-aikaisesti ilmailun turvallisuuteen mahdollisesti vaikuttavaan tietoturvaan liittyvään sellaiseen poikkeamaan tai haavoittuvuuteen, jossa on mukana asetuksen (EU) 2018/1139 ja sen delegoitujen säädösten ja täytäntöönpanosäädösten soveltamisalaan kuuluvia tuotteita, osia, irrallisia varusteita, henkilöitä tai organisaatioita.

c)

Saatuaan a ja b alakohdassa tarkoitetut tiedot toimivaltaisen viranomaisen on toteutettava asianmukaiset toimenpiteet, joilla puututaan tietoturvaan liittyvän poikkeaman tai haavoittuvuuden mahdolliseen vaikutukseen ilmailun turvallisuuteen.

d)

Edellä c alakohdassa tarkoitetuista toimenpiteistä on ilmoitettava välittömästi kaikille henkilöille tai organisaatioille, joiden on asetuksen (EU) 2018/1139 ja sen delegoitujen säädösten ja täytäntöönpanosäädösten mukaan noudatettava niitä. Jäsenvaltion toimivaltaisen viranomaisen on ilmoitettava näistä toimenpiteistä myös virastolle ja, jos yhteinen toiminta on tarpeen, niiden muiden jäsenvaltioiden toimivaltaisille viranomaisille, joita asia koskee.”

”e)

Edellä a alakohdassa esitettyjen vaatimusten lisäksi toimivaltaisen viranomaisen perustaman ja ylläpitämän hallintojärjestelmän on oltava täytäntöönpanoasetuksen (EU) 2023/203 liitteen I (osa IS.AR) mukainen ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi.”

a)

Korvataan otsikko seuraavasti:

”21.B.30 Tehtävien antaminen”;

b)

Lisätään c alakohta seuraavasti:

”g)

Sen sertifioimista ja valvomista varten, että organisaatio noudattaa 21.A.139A kohdan vaatimuksia, toimivaltaisen viranomaisen on a–f alakohdan noudattamisen lisäksi tarkasteltava uudelleen niitä hyväksyntöjä, jotka on myönnetty tämän asetuksen IS.I.OR.200 kohdan e alakohdan tai delegoidun asetuksen (EU) 2022/1645 IS.D.OR.200 kohdan e alakohdan mukaisesti, sovellettavan valvonnan auditointisyklin mukaan ja aina, kun organisaation työn laajuuteen tehdään muutoksia.”

a)

Niiden muutosten osalta, joita hallinnoidaan ja joista ilmoitetaan toimivaltaiselle viranomaiselle delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.255 kohdan a alakohdan mukaisella menettelyllä, toimivaltaisen viranomaisen on sisällytettävä muutosten uudelleentarkastelu jatkuvaan valvontaansa 21.B.221 kohdassa vahvistettujen periaatteiden mukaisesti. Jos vaatimusten noudattamisessa havaitaan puutteita, toimivaltaisen viranomaisen on ilmoitettava asiasta organisaatiolle, pyydettävä lisämuutoksia ja toimittava 21.B.225 kohdan mukaisesti.

b)

Muiden sellaisten muutosten osalta, jotka edellyttävät hyväksynnän hakemista delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.255 kohdan b alakohdan mukaisesti:

”d)

Sen sertifioimista ja valvomista varten, että organisaatio noudattaa 21.A.239A kohdan vaatimuksia, toimivaltaisen viranomaisen on a–c alakohdan noudattamisen lisäksi noudatettava seuraavia periaatteita:

a)

Niiden muutosten osalta, joita hallinnoidaan ja joista ilmoitetaan toimivaltaiselle viranomaiselle delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.255 kohdan a alakohdan mukaisella menettelyllä, toimivaltaisen viranomaisen on sisällytettävä muutosten uudelleentarkastelu jatkuvaan valvontaansa 21.B.431 kohdassa vahvistettujen periaatteiden mukaisesti. Jos vaatimusten noudattamisessa havaitaan puutteita, toimivaltaisen viranomaisen on ilmoitettava asiasta organisaatiolle, pyydettävä lisämuutoksia ja toimittava 21.B.433 kohdan mukaisesti.

b)

Muiden sellaisten muutosten osalta, jotka edellyttävät hyväksynnän hakemista delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.255 kohdan b alakohdan mukaisesti:

a)

Lisätään ARO.GEN.125 kohtaan c alakohta seuraavasti:

b)

Lisätään ARO.GEN.135 kohdan jälkeen ARO.GEN.135A kohta seuraavasti:

”ARO.GEN.135A    Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen

c)

Lisätään ARO.GEN.200 kohtaan e alakohta seuraavasti:

d)

Muutetaan ARO.GEN.205 kohta seuraavasti:

e)

Lisätään ARO.GEN.300 kohtaan g alakohta seuraavasti:

f)

Lisätään ARO.GEN.330 kohdan jälkeen ARO.GEN.330A kohta seuraavasti:

”ARO.GEN.330A    Tietoturvan hallintajärjestelmän muutokset

”c)

Jäsenvaltion toimivaltaisen viranomaisen on mahdollisimman pian toimitettava virastolle turvallisuuden kannalta merkittävät tiedot, jotka tulevat esiin sen delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.230 kohdan mukaisesti saamista tietoturvailmoituksista.”

a)

Toimivaltaisen viranomaisen on otettava käyttöön järjestelmä, jolla kerätään, analysoidaan ja jaetaan asianmukaisesti tiedot, jotka koskevat niitä organisaatioiden ilmoittamia tietoturvaan liittyviä poikkeamia ja haavoittuvuuksia, joilla saattaa olla vaikutusta ilmailun turvallisuuteen. Tämä on toteutettava koordinoidusti muiden tietoturvasta tai kyberturvallisuudesta jäsenvaltiossa vastaavien asiaankuuluvien viranomaisten kanssa ilmoitusjärjestelmien koordinoinnin ja yhteensopivuuden lisäämiseksi.

b)

Virasto ottaa käyttöön järjestelmän voidakseen analysoida asianmukaisesti kaikki ADR.AR.A.025 kohdan c alakohdan mukaisesti saadut asiaankuuluvat turvallisuuden kannalta merkittävät tiedot ja toimittaa ilman aiheetonta viivytystä jäsenvaltioille ja komissiolle kaikki tiedot, mukaan lukien suositukset tai toteutettavat korjaavat toimet, jotka ovat tarpeen, jotta ne voivat reagoida oikea-aikaisesti ilmailun turvallisuuteen mahdollisesti vaikuttavaan tietoturvaan liittyvään sellaiseen poikkeamaan tai haavoittuvuuteen, jossa on mukana asetuksen (EU) 2018/1139 ja sen delegoitujen säädösten ja täytäntöönpanosäädösten soveltamisalaan kuuluvia tuotteita, osia, irrallisia varusteita, henkilöitä tai organisaatioita.

c)

Saatuaan a ja b alakohdassa tarkoitetut tiedot toimivaltaisen viranomaisen on toteutettava asianmukaiset toimenpiteet, joilla puututaan tietoturvaan liittyvän poikkeaman tai haavoittuvuuden mahdolliseen vaikutukseen ilmailun turvallisuuteen.

d)

Edellä c alakohdassa tarkoitetuista toimenpiteistä on ilmoitettava välittömästi kaikille henkilöille tai organisaatioille, joiden on asetuksen (EU) 2018/1139 ja sen delegoitujen säädösten ja täytäntöönpanosäädösten mukaan noudatettava niitä. Jäsenvaltion toimivaltaisen viranomaisen on ilmoitettava näistä toimenpiteistä myös virastolle ja, jos yhteinen toiminta on tarpeen, niiden muiden jäsenvaltioiden toimivaltaisille viranomaisille, joita asia koskee.”

”d)

Edellä a alakohdassa esitettyjen vaatimusten lisäksi toimivaltaisen viranomaisen perustaman ja ylläpitämän hallintojärjestelmän on oltava täytäntöönpanoasetuksen (EU) 2023/203 liitteen I (osa IS.AR) mukainen ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi.”

i)

Korvataan otsikko seuraavasti:

”ADR.AR.B.010 Tehtävien antaminen”;

ii)

Lisätään c alakohta seuraavasti:

”f)

Sen sertifioimista ja valvomista varten, että organisaatio noudattaa ADR.OR.D.005A kohdan vaatimuksia, toimivaltaisen viranomaisen on a–e alakohdan noudattamisen lisäksi tarkasteltava uudelleen niitä hyväksyntöjä, jotka on myönnetty tämän asetuksen IS.I.OR.200 kohdan e alakohdan tai delegoidun asetuksen (EU) 2022/1645 IS.D.OR.200 kohdan e alakohdan mukaisesti, sovellettavan valvonnan auditointisyklin mukaan ja aina, kun organisaation työn laajuuteen tehdään muutoksia.”

a)

Niiden muutosten osalta, joita hallinnoidaan ja joista ilmoitetaan toimivaltaiselle viranomaiselle delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.255 kohdan a alakohdan mukaisella menettelyllä, toimivaltaisen viranomaisen on sisällytettävä muutosten uudelleentarkastelu jatkuvaan valvontaansa ADR.AR.C.005 kohdassa vahvistettujen periaatteiden mukaisesti. Jos vaatimusten noudattamisessa havaitaan puutteita, toimivaltaisen viranomaisen on ilmoitettava asiasta organisaatiolle, pyydettävä lisämuutoksia ja toimittava ADR.AR.C.055 kohdan mukaisesti.

b)

Muiden sellaisten muutosten osalta, jotka edellyttävät hyväksynnän hakemista delegoidun asetuksen (EU) 2022/1645 liitteessä I (osa IS.D.OR) olevan IS.D.OR.255 kohdan b alakohdan mukaisesti:

a)

Muutetaan sisällysluettelo seuraavasti:

b)

Lisätään 145.A.200 kohdan jälkeen 145.A.200A kohta seuraavasti:

”145.A.200A    Tietoturvan hallintajärjestelmä

Edellä 145.A.200 kohdassa tarkoitetun hallintojärjestelmän lisäksi huolto-organisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 mukainen tietoturvan hallintajärjestelmä.”

c)

Lisätään 145.B.125 kohtaan c alakohta seuraavasti:

d)

Lisätään 145.B.135 kohdan jälkeen 145.B.135A kohta seuraavasti:

”145.B.135A    Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen

e)

Lisätään 145.B.200 kohtaan e alakohta seuraavasti:

f)

Muutetaan 145.B.205 kohta seuraavasti:

g)

Lisätään 145.B.300 kohtaan g alakohta seuraavasti:

h)

Lisätään 145.B.330 kohdan jälkeen 145.B.330A kohta seuraavasti:

”145.B.330A    Tietoturvan hallintajärjestelmän muutokset

a)

Lisätään sisällysluetteloon 66.B.10 kohdan otsikon jälkeen otsikko seuraavasti:

b)

Lisätään 66.B.10 kohdan jälkeen 66.B.15 kohta seuraavasti:

”66.B.15    Tietoturvan hallintajärjestelmä

Toimivaltaisen viranomaisen on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 liitteen I (osa IS.AR) mukainen tietoturvan hallintajärjestelmä.”

a)

Muutetaan sisällysluettelo seuraavasti:

b)

Lisätään CAMO.A.200 kohdan jälkeen CAMO.A.200A kohta seuraavasti:

”CAMO.A.200A    Tietoturvan hallintajärjestelmä

CAMO.A.200 kohdassa tarkoitetun hallintojärjestelmän lisäksi organisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 mukainen tietoturvan hallintajärjestelmä.”

c)

Lisätään CAMO.B.125 kohtaan c alakohta seuraavasti:

d)

Lisätään CAMO.B.135 kohdan jälkeen CAMO.B.135A kohta seuraavasti:

”CAMO.B.135A    Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen

e)

Lisätään CAMO.B.200 kohtaan e alakohta seuraavasti:

f)

Muutetaan CAMO.B.205 kohta seuraavasti:

g)

Lisätään CAMO.B.300 kohtaan g alakohta seuraavasti:

h)

Lisätään CAMO.B.330 kohdan jälkeen CAMO.B.330A kohta seuraavasti:

”CAMO.B.330A    Tietoturvan hallintajärjestelmän muutokset

a)

Lisätään ATCO.AR.A.020 kohtaan c alakohta seuraavasti:

b)

Lisätään ATCO.AR.A.025 kohdan jälkeen ATCO.AR.A.025A kohta seuraavasti:

”ATCO.AR.A.025A    Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen

c)

Lisätään ATCO.AR.B.001 kohtaan e alakohta seuraavasti:

d)

Muutetaan ATCO.AR.B.005 kohta seuraavasti:

e)

Lisätään ATCO.AR.C.001 kohtaan f alakohta seuraavasti:

f)

Lisätään ATCO.AR.E.010 kohdan jälkeen ATCO.AR.E.010A kohta seuraavasti:

”ATCO.AR.E.010A    Tietoturvan hallintajärjestelmän muutokset

a)

Lisätään ATM/ANS.AR.A.020 kohtaan c alakohta seuraavasti:

b)

Lisätään ATM/ANS.AR.A.025 kohdan jälkeen ATM/ANS.AR.A.025A kohta seuraavasti:

”ATM/ANS.AR.A.025A Välitön reagointi ilmailun turvallisuuteen vaikuttavaan tietoturvaan liittyvään poikkeamaan tai haavoittuvuuteen

c)

Lisätään ATM/ANS.AR.B.001 kohtaan e alakohta seuraavasti:

d)

Muutetaan ATM/ANS.AR.B.005 kohta seuraavasti:

e)

Lisätään ATM/ANS.AR.C.010 kohtaan d alakohta seuraavasti:

f)

Lisätään ATM/ANS.AR.C.025 kohdan jälkeen ATM/ANS.AR.C.025A kohta seuraavasti:

”ATM/ANS.AR.C.025A Tietoturvan hallintajärjestelmän muutokset

a)

Lisätään ATM/ANS.OR.B.005 kohdan jälkeen ATM/ANS.OR.B.005A kohta seuraavasti:

”ATM/ANS.OR.B.005A Tietoturvan hallintajärjestelmä

ATM/ANS.OR.B.005 kohdassa tarkoitetun hallintojärjestelmän lisäksi palveluntarjoajan on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä täytäntöönpanoasetuksen (EU) 2023/203 mukainen tietoturvan hallintajärjestelmä.”

b)

Korvataan ATM/ANS.OR.D.010 kohta seuraavasti:

”ATM/ANS.OR.D.010 Turvatoimien hallinta