IS.D.OR.100

IS.D.OR.200

IS.D.OR.205

IS.D.OR.210

IS.D.OR.215

IS.D.OR.220

IS.D.OR.225

IS.D.OR.230

IS.D.OR.235

IS.D.OR.240

IS.D.OR.245

IS.D.OR.250

IS.D.OR.255

IS.D.OR.260

a)

Afin d’atteindre les objectifs énoncés à l’article 1er, l’organisme doit établir, mettre en œuvre et tenir à jour un système de gestion de la sécurité de l’information (SGSI) qui garantit que l’organisme:

b)

Afin de satisfaire en permanence aux exigences visées à l’article 1er, l’organisme doit mettre en œuvre un processus d’amélioration constante conformément au point IS.D.OR.260.

c)

L’organisme doit documenter, conformément au point IS.D.OR.250, tous les processus, procédures, rôles et responsabilités clés requis pour se conformer au point IS.D.OR.200 a) et établir un processus de modification de cette documentation. Les modifications apportées à ces processus, procédures, rôles et responsabilités doivent être gérées conformément au point IS.D.OR.255.

d)

Les processus, procédures, rôles et responsabilités établis par l’organisme pour se conformer au point IS.D.OR.200 a) doivent correspondre à la nature et à la complexité de ses activités, sur la base d’une évaluation des risques liés à la sécurité de l’information inhérents à ces activités, et peuvent être intégrés dans d’autres systèmes de gestion existants déjà mis en œuvre par l’organisme.

e)

Sans préjudice de l’obligation de se conformer aux exigences en matière de comptes rendus énoncées dans le règlement (UE) no 376/2014 du Parlement européen et du Conseil (1) et aux exigences du point IS.D.OR.200 a), point 13), l’organisme peut recevoir l’autorisation de l’autorité compétente de ne pas mettre en œuvre les exigences visées aux points a) à d) et les exigences connexes énoncées aux points IS.D.OR.205 à IS.D.OR.260 s’il démontre à la satisfaction de cette autorité que ses activités, ses installations et ses ressources, ainsi que les services qu’il exploite, fournit, reçoit et gère ne présentent aucun risque en matière de sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne, ni pour lui-même ni pour d’autres organismes. L’autorisation doit reposer sur une évaluation documentée des risques liés à la sécurité de l’information effectuée par l’organisme ou un tiers conformément au point IS.D.OR.205 et examinée et approuvée par son autorité compétente.

L’autorité compétente examinera le maintien de la validité de cette autorisation à l’issue du cycle d’audit de supervision applicable et chaque fois que des modifications sont mises en œuvre dans le cadre des travaux de l’organisme.

a)

L’organisme doit recenser tous ceux de ses éléments qui sont susceptibles d’être exposés à des risques liés à la sécurité de l’information. Il s’agit notamment des éléments suivants:

b)

L’organisme doit déterminer les interfaces qu’il partage avec d’autres organismes et qui pourraient entraîner une exposition mutuelle à des risques liés à la sécurité de l’information.

c)

En ce qui concerne les éléments et interfaces visés aux points a) et b), l’organisme doit recenser les risques liés à la sécurité de l’information qui pourraient avoir une incidence sur la sécurité aérienne. Pour chaque risque recensé, l’organisme doit:

La classification prédéfinie visée au point 1) doit tenir compte du risque de réalisation du scénario de menace et de la gravité de ses conséquences pour la sécurité. Sur la base de cette classification, et compte tenu du fait que l’organisme dispose ou non d’un processus de gestion des risques structuré et reproductible pour les opérations, l’organisme doit être en mesure d’établir si le risque est acceptable ou s’il doit être traité conformément au point IS.D.OR.210.

Afin de faciliter la comparabilité des évaluations des risques, l’attribution du niveau de risque conformément au point 1) doit tenir compte des informations pertinentes obtenues en coordination avec les organismes visés au point b).

d)

L’organisme examine et met à jour l’évaluation des risques effectuée conformément aux points a), b) et c) dans l’une des situations suivantes:

a)

L’organisme doit élaborer des mesures pour faire face aux risques inacceptables recensés conformément au point IS.D.OR.205, les mettre en œuvre en temps utile et vérifier le maintien de leur efficacité. Ces mesures doivent permettre à l’organisme:

Ces mesures ne doivent pas introduire de nouveaux risques potentiels inacceptables pour la sécurité aérienne.

b)

La personne visée aux points IS.D.OR.240 a) et b), et les autres membres du personnel de l’organisme concernés doivent être informés des résultats de l’évaluation des risques effectuée conformément au point IS.D.OR.205, des scénarios de menace correspondants et des mesures à mettre en œuvre.

L’organisme doit également informer les organismes avec lesquels il partage une interface conformément au point IS.D.OR.205 b) de tout risque commun à tous les organismes.

a)

L’organisme établit un système de comptes rendus interne permettant le recensement et l’évaluation des événements liés à la sécurité de l’information, y compris ceux qui doivent être signalés conformément au point IS.D.OR.230.

b)

Ce système et la procédure visée au point IS.D.OR.220 doivent permettre à l’organisme:

c)

Tout organisme sous-traitant susceptible d’exposer l’organisme à des risques liés à la sécurité de l’information pouvant avoir une incidence sur la sécurité aérienne est tenu de lui rendre compte des événements liés à la sécurité de l’information. Ces comptes rendus doivent être soumis selon les procédures établies dans les arrangements contractuels spécifiques et être évalués conformément au point b).

d)

L’organisme doit coopérer dans le cadre des enquêtes avec tout autre organisme qui a contribué de manière significative à la sécurité de l’information dans le cadre de ses propres activités.

e)

L’organisme peut intégrer ce système de comptes rendus à d’autres systèmes de comptes rendus qu’il a déjà mis en œuvre.

a)

Sur la base des résultats de l’évaluation des risques effectuée conformément au point IS.D.OR.205 et des résultats du traitement des risques effectué conformément au point IS.D.OR.210, l’organisme doit mettre en œuvre des mesures pour détecter les incidents et les vulnérabilités qui indiquent une possible concrétisation de risques inacceptables et qui peuvent avoir une incidence potentielle sur la sécurité aérienne. Ces mesures de détection doivent permettre à l’organisme:

b)

L’organisme doit mettre en œuvre des mesures pour réagir à tout événement recensé conformément au point a) qui peut se transformer ou s’est transformé en incident de sécurité de l’information. Ces mesures de réaction doivent permettre à l’organisme:

c)

L’organisme doit mettre en œuvre des mesures visant au rétablissement à la suite d’incidents de sécurité de l’information, y compris, le cas échéant, des mesures d’urgence. Ces mesures de rétablissement doivent permettre à l’organisme:

a)

Après réception de la notification des constatations présentée par l’autorité compétente, l’organisme doit:

b)

Les actions visées au point a) doivent être mises en œuvre dans le délai convenu avec l’autorité compétente.

a)

L’organisme doit mettre en œuvre un système de comptes rendus en matière de sécurité de l’information qui satisfait aux exigences du règlement (UE) no 376/2014 et de ses actes délégués et d’exécution si ce règlement lui est applicable.

b)

Sans préjudice des obligations du règlement (UE) no 376/2014, l’organisme doit veiller à ce que tout incident ou vulnérabilité en matière de sécurité de l’information susceptible de représenter un risque important pour la sécurité aérienne soit signalé à son autorité compétente. En outre:

c)

L’organisme doit rendre compte de la situation visée au point b) comme suit:

a)

Lorsqu’il sous-traite une partie des activités visées au point IS.D.OR.200 à d’autres organismes, l’organisme veille à ce que les activités sous-traitées soient conformes aux exigences du présent règlement et que l’organisme sous-traitant travaille sous sa supervision. L’organisme doit faire en sorte que les risques associés aux activités sous-traitées soient gérés de manière appropriée.

b)

L’organisme doit veiller à ce que l’autorité compétente puisse, sur demande, avoir accès à l’organisme sous-traitant afin de déterminer le respect constant des exigences applicables énoncées dans le présent règlement.

a)

Le dirigeant responsable de l’organisme ou, dans le cas des organismes de conception, le responsable de l’organisme de conception désigné conformément au règlement (UE) no 748/2012 et au règlement (UE) no 139/2014 pour les organismes visés à l’article 2, paragraphe 1, points a) et b), du présent règlement, détient les droits statutaires pour assurer que toutes les activités requises par le présent règlement peuvent être financées et exécutées. Cette personne doit:

b)

Le dirigeant responsable ou, dans le cas des organismes de conception, le responsable de l’organisme de conception, doit désigner une personne ou un groupe de personnes chargées de s’assurer que l’organisme respecte les exigences du présent règlement, et doit définir l’étendue de leurs compétences. Cette personne ou ce groupe de personnes doit rendre compte directement au dirigeant responsable ou, dans le cas des organismes de conception, au responsable de l’organisme de conception, et doit posséder les connaissances, les qualifications et l’expérience appropriées pour s’acquitter de ses responsabilités. Les procédures doivent établir qui supplée une personne particulière dans le cas d’une absence de longue durée de cette personne.

c)

Le dirigeant responsable ou, dans le cas des organismes de conception, le responsable de l’organisme de conception, doit désigner une personne ou un groupe de personnes chargées de gérer la fonction de contrôle de la conformité visée au point IS.D.OR.200 a), point 12).

d)

Lorsque l’organisme partage des structures organisationnelles, des politiques, des processus et des procédures en matière de sécurité de l’information avec d’autres organismes ou avec des domaines de sa propre organisation qui ne font pas partie de l’agrément ou de la déclaration, le dirigeant responsable ou, dans le cas des organismes de conception, le responsable de l’organisme de conception, peut déléguer ses activités à une personne responsable commune.

Dans ce cas, des mesures de coordination doivent être établies entre le dirigeant responsable de l’organisme ou, dans le cas des organismes de conception, le responsable de l’organisme de conception, et la personne responsable commune afin de garantir une intégration adéquate de la gestion de la sécurité de l’information au sein de l’organisme.

e)

Le dirigeant responsable ou le responsable de l’organisme de conception, ou la personne responsable commune visée au point d), doit détenir les droits statutaires pour établir et maintenir les structures organisationnelles, les politiques, les processus et les procédures nécessaires à la mise en œuvre du point IS.D.OR.200.

f)

L’organisme doit avoir mis en place un processus garantissant qu’il dispose d’un personnel suffisant pour mener à bien les activités couvertes par la présente annexe.

g)

L’organisme doit mettre en place un processus garantissant que le personnel visé au point f) possède les compétences nécessaires pour accomplir ses tâches.

h)

L’organisme doit avoir mis en place un processus permettant de garantir que le personnel est informé des responsabilités liées aux rôles et tâches assignés.

i)

L’organisme doit veiller à ce que l’identité et la fiabilité du personnel ayant accès aux systèmes d’information et aux données soumises aux exigences du présent règlement soient établies de manière appropriée.

a)

L’organisme doit conserver des archives sur ses activités de gestion de la sécurité de l’information.

b)

L’organisme doit conserver les documents relatifs aux qualifications et à l’expérience de son propre personnel participant aux activités de gestion de la sécurité de l’information.

c)

Le format des dossiers doit être défini dans les procédures de l’organisme.

d)

Les documents doivent être stockés de manière à ne pas être endommagés, altérés ou dérobés, les informations étant signalées, le cas échéant, en fonction de leur niveau de classification de sécurité. L’organisme doit veiller à ce que les documents soient stockés de manière à garantir l’intégrité, l’authenticité et l’accès autorisé.

a)

L’organisme doit mettre à la disposition de l’autorité compétente un manuel de gestion de la sécurité de l’information (MGSI) et, le cas échéant, tous manuels et procédures associés auxquels il renvoie, contenant:

b)

La première édition du MGSI doit être approuvée et une copie doit être conservée par l’autorité compétente. Le MGSI doit être modifié en tant que de besoin pour conserver une description à jour du SGSI de l’organisme. Une copie de toute modification du MGSI doit être fournie à l’autorité compétente.

c)

Les modifications apportées au SGSI doivent être gérées selon une procédure établie par l’organisme. Toute modification qui n’entre pas dans le champ d’application de cette procédure et toute modification liée aux modifications visées au point IS.D.OR.255 b) doivent être approuvées par l’autorité compétente.

d)

L’organisme peut intégrer le MGSI à d’autres spécifications de gestion ou manuels qu’il détient, à condition qu’il existe une référence croisée claire indiquant quelles parties des spécifications de gestion ou du manuel correspondent aux différentes exigences énoncées dans la présente annexe.

a)

Les modifications apportées au SGSI peuvent être gérées et notifiées à l’autorité compétente dans le cadre d’une procédure élaborée par l’organisme. Cette procédure doit être approuvée par l’autorité compétente.

b)

En ce qui concerne les modifications du SGSI non couvertes par la procédure visée au point a), l’organisme doit demander et obtenir une approbation délivrée par l’autorité compétente.

En ce qui concerne ces modifications:

a)

L’organisme doit évaluer, à l’aide d’indicateurs de performance adéquats, l’efficacité et la maturité du SGSI. Cette évaluation doit être effectuée selon un calendrier prédéfini par l’organisme ou à la suite d’un incident de sécurité de l’information.

b)

Si des manquements sont constatés à la suite de l’évaluation effectuée conformément au point a), l’organisme doit prendre les mesures d’amélioration nécessaires pour garantir que le SGSI continue de respecter les exigences applicables et maintient les risques liés à la sécurité de l’information à un niveau acceptable. En outre, l’organisme réévalue les éléments du SGSI concernés par les mesures adoptées.