«f)

qu’ils mettent en œuvre et entretiennent un système de gestion de la sûreté conformément à l’annexe III, sous-partie D, point ATM/ANS.OR.D.010, du règlement d’exécution (UE) 2017/373 et un système de gestion de la sécurité de l’information conformément à l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203;».

«l)

établissent, mettent en œuvre et entretiennent un système de gestion de la sécurité de l’information conformément à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203.».

1)

met en place une politique en matière de sécurité de l’information définissant les principes généraux de l’autorité compétente en ce qui concerne l’incidence potentielle des risques liés à la sécurité de l’information sur la sécurité aérienne;

2)

recense et analyse les risques liés à la sécurité de l’information conformément au point IS.AR.205;

3)

définit et met en œuvre des mesures de traitement des risques liés à la sécurité de l’information conformément au point IS.AR.210;

4)

définit et met en œuvre, conformément au point IS.AR.215, les mesures requises pour détecter les événements liés à la sécurité de l’information, recense les événements qui sont considérés comme des incidents susceptibles d’avoir des répercussions sur la sécurité aérienne, réagit à ces incidents de sécurité de l’information et garantit le rétablissement après incident;

5)

satisfait aux exigences énoncées au point IS.AR.220 lorsqu’il sous-traite une partie des activités décrites au point IS.AR.200 à d’autres organismes;

6)

satisfait aux exigences en matière de personnel énoncées au point IS.AR.225;

7)

satisfait aux exigences en matière d’archivage énoncées au point IS.AR.230;

8)

vérifie que son propre organisme respecte les exigences du présent règlement et fournit à la personne visée au point IS.AR.225 a) un retour d’information sur les constatations afin de garantir la mise en œuvre effective des mesures correctives;

9)

protège la confidentialité des informations dont elle dispose au sujet des organismes soumis à sa supervision ainsi que des informations reçues par l’intermédiaire des systèmes de comptes rendus externes de l’organisme établis conformément au point IS.I.OR.230 de l’annexe II (partie IS.I.OR) du présent règlement et au point IS.D.OR.230 de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645;

10)

notifie à l’Agence les modifications qui ont une incidence sur la capacité de l’autorité compétente à s’acquitter de ses tâches et à exercer ses responsabilités telles que définies dans le présent règlement;

11)

définit et met en œuvre des procédures pour partager, le cas échéant, de manière pratique et en temps utile, les informations pertinentes pour aider les autres autorités compétentes et agences, ainsi que les organismes soumis au présent règlement, à procéder à des évaluations efficaces des risques de sécurité liés à leurs activités.

1)

les activités, installations et ressources de l’autorité compétente, ainsi que les services qu’elle exploite, fournit, reçoit ou gère;

2)

les équipements, systèmes, données et informations qui contribuent au fonctionnement des éléments visés au point 1).

1)

attribuer un niveau de risque selon une classification prédéfinie qu’elle a établie;

2)

associer chaque risque et son niveau à l’élément ou à l’interface correspondant(e) déterminé(e) conformément aux points a) et b).

1)

il y a un changement dans les éléments exposés à des risques liés à la sécurité de l’information;

2)

il y a un changement dans les interfaces entre l’organisme de l’autorité compétente et d’autres organismes, ou dans les risques communiqués par les autres organismes;

3)

il y a un changement dans les informations ou connaissances utilisées pour le recensement, l’analyse et la classification des risques;

4)

l’analyse des incidents de sécurité de l’information a permis de tirer des enseignements.

1)

de contrôler les circonstances qui contribuent à la réalisation effective du scénario de menace;

2)

de diminuer les conséquences sur la sécurité aérienne liées à la concrétisation du scénario de menace;

3)

d’éviter les risques.

1)

de recenser les écarts par rapport aux valeurs de base prédéterminées en matière de performances fonctionnelles;

2)

de déclencher des signaux d’avertissement pour activer les mesures de réaction appropriées, en cas d’écart.

1)

de déclencher la réaction de son propre organisme aux signaux d’avertissement visés au point a) 2) en activant des ressources et des actions prédéfinies;

2)

de contenir la propagation d’une attaque et d’éviter la pleine concrétisation d’un scénario de menace;

3)

de contrôler le mode de défaillance des éléments affectés définis au point IS.AR.205 a).

1)

de supprimer la situation qui est à l’origine de l’incident ou de la limiter à un niveau tolérable;

2)

d’assurer que les éléments affectés définis au point IS.AR.205 a) retrouvent un état garantissant la sécurité dans un délai de rétablissement préalablement défini par son propre organisme.

1)

être habilitée à accéder à toutes les ressources nécessaires pour permettre à l’autorité compétente d’accomplir toutes les tâches requises par le présent règlement;

2)

disposer de la délégation de pouvoir nécessaire à l’accomplissement des tâches qui lui sont assignées;

1)

L’autorité compétente doit veiller à ce que les documents suivants soient archivés et traçables:

2)

Les documents visés au point 1) i) doivent être conservés au moins 5 ans après la modification ou la résiliation du contrat.

3)

Les documents visés aux points 1) ii) et 1 iii) doivent être conservés pendant une période d’au moins 5 ans.

4)

Les documents visés au point 1) iv) doivent être conservés jusqu’à ce que ces événements liés à la sécurité de l’information aient été réévalués selon une périodicité définie dans une procédure établie par l’autorité compétente.

1)

Les documents relatifs aux qualifications et à l’expérience du personnel doivent être conservés aussi longtemps que la personne travaille pour l’autorité compétente et pendant au moins 3 ans après que la personne a quitté l’autorité compétente.

2)

À leur demande, les membres du personnel doivent avoir accès à leurs dossiers individuels. En outre, à leur demande, l’autorité compétente doit leur fournir une copie de leurs dossiers individuels lorsqu’ils quittent l’autorité compétente.

1)

met en place une politique en matière de sécurité de l’information définissant les principes généraux de l’organisme en ce qui concerne l’incidence potentielle des risques liés à la sécurité de l’information sur la sécurité aérienne;

2)

recense et analyse les risques liés à la sécurité de l’information conformément au point IS.I.OR.205;

3)

définit et met en œuvre des mesures de traitement des risques liés à la sécurité de l’information conformément au point IS.I.OR.210;

4)

met en œuvre un système de comptes rendus internes en matière de sécurité de l’information conformément au point IS.I.OR.215;

5)

définit et met en œuvre, conformément au point IS.I.OR.220, les mesures requises pour détecter les événements liés à la sécurité de l’information, recense les événements qui sont considérés comme des incidents susceptibles d’avoir des répercussions sur la sécurité aérienne, sauf dans les cas autorisés par le point IS.I.OR.205 e), réagit à ces incidents de sécurité de l’information et garantit le rétablissement après incident;

6)

met en œuvre les mesures qui ont été notifiées par l’autorité compétente en réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne;

7)

prend les mesures qui s’imposent, conformément au point IS.I.OR.225, pour remédier aux constatations notifiées par l’autorité compétente;

8)

met en œuvre un système de comptes rendus externes conformément au point IS.I.OR.230 pour permettre à l’autorité compétente de prendre les mesures qui s’imposent;

9)

satisfait aux exigences énoncées au point IS.I.OR.235 lorsqu’il sous-traite une partie des activités visées au point IS.I.OR.200 à d’autres organismes;

10)

satisfait aux exigences en matière de personnel énoncées au point IS.I.OR.240;

11)

satisfait aux exigences en matière d’archivage énoncées au point IS.I.OR.245;

12)

vérifie que l’organisme respecte les exigences du présent règlement et fournit un retour d’information sur les constatations au dirigeant responsable afin de garantir la mise en œuvre effective des mesures correctives;

13)

protège, sans préjudice des exigences applicables en matière de comptes rendus des incidents, la confidentialité de toute information que l’organisme aurait reçue d’autres organismes, en fonction de son niveau de sensibilité.

1)

les activités, installations et ressources de l’organisme, ainsi que les services qu’il exploite, fournit, reçoit ou gère;

2)

les équipements, systèmes, données et informations qui contribuent au fonctionnement des éléments énumérés au point 1).

1)

attribuer un niveau de risque selon une classification prédéfinie qu’il a établie;

2)

associer chaque risque et son niveau à l’élément ou à l’interface correspondant(e) déterminé(e) conformément aux points a) et b).

1)

il y a un changement dans les éléments exposés à des risques liés à la sécurité de l’information;

2)

il y a un changement dans les interfaces entre l’organisme et d’autres organismes, ou dans les risques communiqués par les autres organismes;

3)

il y a un changement dans les informations ou connaissances utilisées pour le recensement, l’analyse et la classification des risques;

4)

l’analyse des incidents de sécurité de l’information a permis de tirer des enseignements.

1)

de contrôler les circonstances qui contribuent à la réalisation effective du scénario de menace;

2)

de diminuer les conséquences sur la sécurité aérienne liées à la concrétisation du scénario de menace;

3)

d’éviter les risques.

1)

de recenser les événements signalés conformément au point a) qui sont considérés comme des incidents ou des vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne;

2)

de déterminer les causes des incidents et des vulnérabilités en matière de sécurité de l’information recensés conformément au point 1) et les facteurs qui y contribuent, et de les traiter dans le cadre du processus de gestion des risques liés à la sécurité de l’information conformément aux points IS.I.OR.205 et IS.I.OR.220;

3)

de procéder à une évaluation de toutes les informations connues et pertinentes relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information recensés conformément au point 1);

4)

de veiller à la mise en œuvre d’une méthode de diffusion des informations en interne, en tant que de besoin.

1)

de recenser les écarts par rapport aux valeurs de référence prédéterminées en matière de performances fonctionnelles;

2)

de déclencher des signaux d’avertissement pour activer les mesures de réaction appropriées, en cas d’écart.

1)

de déclencher la réaction aux signaux d’avertissement visés au point a) 2) en activant des ressources et des actions prédéfinies;

2)

de contenir la propagation d’une attaque et d’éviter la pleine concrétisation d’un scénario de menace;

3)

de contrôler le mode de défaillance des éléments affectés définis au point IS.I.OR.205 a).

1)

de supprimer la situation qui est à l’origine de l’incident ou de la limiter à un niveau tolérable;

2)

d’assurer que les éléments affectés définis au point IS.I.OR.205 a) retrouvent un état garantissant la sécurité dans un délai de rétablissement défini précédemment par l’organisme.

1)

déterminer la cause ou les causes profondes des cas de non-conformité ainsi que les facteurs qui y contribuent;

2)

définir un plan d’actions correctives;

3)

démontrer la correction du défaut de conformité à la satisfaction de l’autorité compétente.

1)

lorsqu’un tel incident ou une telle vulnérabilité affecte un aéronef ou un système ou élément associé, l’organisme doit également en rendre compte au titulaire de l’agrément de conception;

2)

lorsqu’un tel incident ou une telle vulnérabilité affecte un système ou un composant utilisé par l’organisme, celui-ci doit en rendre compte à l’organisme responsable de la conception du système ou du composant.

1)

une notification doit être soumise à l’autorité compétente et, le cas échéant, au titulaire de l’agrément de conception ou à l’organisme responsable de la conception du système ou du composant, dès que l’organisme a connaissance de la situation;

2)

un compte rendu doit être soumis à l’autorité compétente et, le cas échéant, au titulaire de l’agrément de conception ou à l’organisme responsable de la conception du système ou du composant, dès que possible, mais sans dépasser 72 heures à compter du moment où l’organisme a eu connaissance de la situation, sauf si des circonstances exceptionnelles l’empêchent.

Le compte rendu est établi sous la forme définie par l’autorité compétente et contient toutes les informations pertinentes sur la situation dont l’organisme a connaissance;

3)

un rapport de suivi précisant les mesures que l’organisme a prises ou a l’intention de prendre pour le rétablissement après l’incident et les mesures qu’il a l’intention de prendre pour prévenir de tels incidents de sécurité de l’information à l’avenir doit être présenté à l’autorité compétente et, le cas échéant, au titulaire de l’agrément de conception ou à l’organisme responsable de la conception du système ou du composant.

Le rapport de suivi doit être présenté dès que ces mesures ont été définies et être établi selon la forme prévue par l’autorité compétente.

1)

veiller à ce que toutes les ressources nécessaires soient disponibles pour assurer la conformité aux exigences du présent règlement;

2)

établir et promouvoir la politique en matière de sécurité de l’information visée au point IS.I.OR.200 a), point 1);

3)

démontrer qu’il a une vision d’ensemble du présent règlement.

1)

L’organisme doit veiller à ce que les documents suivants soient archivés et traçables:

2)

Les documents visés au point 1) i) doivent être conservés au moins 5 ans après que l’agrément a perdu sa validité.

3)

Les documents visés au point 1) ii) doivent être conservés au moins 5 ans après la modification ou la résiliation du contrat.

4)

Les documents visés aux points 1) iii), iv) et v), doivent être conservés pendant une période d’au moins 5 ans.

5)

Les documents visés au point 1) vi) doivent être conservés jusqu’à ce que ces événements liés à la sécurité de l’information aient été réévalués selon une périodicité définie dans une procédure établie par l’organisme.

1)

Les documents relatifs aux qualifications et à l’expérience du personnel doivent être conservés aussi longtemps que la personne travaille pour l’organisme et pendant au moins 3 ans après que la personne a quitté l’organisme.

2)

À leur demande, les membres du personnel doivent avoir accès à leurs dossiers individuels. En outre, à leur demande, l’organisme doit leur fournir une copie de leurs dossiers individuels lorsqu’ils quittent l’organisme.

1)

une déclaration signée par le dirigeant responsable confirmant que l’organisme travaillera en permanence conformément à la présente annexe et au MGSI. Lorsque le dirigeant responsable n’est pas le président de l’organisme, le président de l’organisme contresigne la déclaration;

2)

le(s) titre(s), le(s) nom(s), les missions, les obligations de rendre compte, les responsabilités et les pouvoirs de la ou des personnes visées aux points IS.I.OR.240 b) et c);

3)

le titre, le nom, les missions, les obligations de rendre compte, les responsabilités et les pouvoirs de la personne responsable commune visée au point IS.I.OR.240 d), le cas échéant;

4)

la politique en matière de sécurité de l’information de l’organisme visée au point IS.I.OR.200 a), point 1);

5)

une description générale des ressources humaines, en termes d’effectifs et de catégories, et du système qui est en place pour planifier la mise à disposition du personnel, comme requis au point IS.I.OR.240;

6)

le(s) titre(s), le(s) nom(s), les missions, les obligations de rendre compte, les responsabilités et les pouvoirs des personnes clés chargées de la mise en œuvre du point IS.I.OR.200, y compris la ou les personnes responsables de la fonction de contrôle de la conformité visée au point IS.I.OR.200 a), point 12);

7)

un organigramme montrant les rapports hiérarchiques en matière d’obligation de rendre compte et de responsabilité entre les personnes visées aux points 2) et 6);

8)

la description du système de comptes rendus internes visé au point IS.I.OR.215;

9)

les procédures qui précisent comment l’organisme garantit le respect de la présente partie, et notamment:

10)

des informations détaillées sur les autres moyens de mise en conformité actuellement approuvés.

1)

la demande doit être soumise avant que ne soient apportées de telles modifications, afin de permettre à l’autorité compétente de déterminer le respect constant du présent règlement et de modifier, au besoin, le certificat d’organisme ainsi que les termes de l’agrément correspondants qui y sont joints;

2)

l’organisme doit mettre à la disposition de l’autorité compétente toute information qu’elle demande pour évaluer la modification;

3)

la modification ne doit être mise en œuvre qu’après réception de l’approbation formelle de l’autorité compétente;

4)

l’organisme doit exercer ses activités dans les conditions prescrites par l’autorité compétente pendant la mise en œuvre de ces modifications.

a)

au point ARA.GEN.125, le point c) suivant est ajouté:

b)

le point ARA.GEN.135A suivant est inséré après le point ARA.GEN.135:

«ARA.GEN.135A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne

c)

au point ARA.GEN.200, le point e) suivant est ajouté:

d)

le point ARA.GEN.205 est modifié comme suit:

e)

au point ARA.GEN.300, le point g) suivant est ajouté:

f)

le point ARA.GEN.330A suivant est inséré après le point ARA.GEN.330:

«ARA.GEN.330A Modification du système de gestion de la sécurité de l’information

a)

le titre suivant est inséré après le titre 21.B.20:

«21.B.20A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne»;

b)

le titre du point 21.B.30 est remplacé par le texte suivant:

«21.B.30 Attribution de tâches»;

c)

le titre suivant est inséré après le titre 21.B.240:

«21.B.240A Modification du système de gestion de la sécurité de l’information»;

d)

le titre suivant est inséré après le titre 21.B.435:

«21.B.435A Modification du système de gestion de la sécurité de l’information».

«c)

L’autorité compétente de l’État membre fournit dès que possible à l’Agence les informations pertinentes en matière de sécurité provenant des rapports sur la sécurité de l’information qu’elle a reçus en application du point IS.D.OR.230 de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645.».

a)

L’autorité compétente met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne qui sont signalés par les organismes. Ce système est mis en œuvre en coordination avec toutes les autres autorités compétentes en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre afin d’améliorer la coordination et la compatibilité des systèmes de comptes rendus.

b)

L’Agence met en œuvre un système visant à analyser de manière appropriée toute information pertinente en matière de sécurité reçue conformément au point 21.B.15 c) et à fournir dans les meilleurs délais aux États membres et à la Commission toute information, notamment des recommandations ou des actions correctives à mettre en œuvre, utile pour leur permettre de réagir en temps opportun à un incident ou à une vulnérabilité en matière de sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne ayant trait à des produits, des pièces, des équipements non fixes, des personnes ou des organismes soumis au règlement (UE) 2018/1139 et à ses actes délégués et d’exécution.

c)

Dès réception des informations auxquelles il est fait référence aux points a) et b), l’autorité compétente prend des mesures appropriées pour traiter l’incidence potentielle sur la sécurité aérienne de l’incident ou de la vulnérabilité en matière de sécurité de l’information.

d)

Les mesures prises en application du point c) sont immédiatement notifiées à l’ensemble des personnes ou des organismes qui sont tenus de s’y conformer en vertu du règlement (UE) 2018/1139 et de ses actes délégués et d’exécution. L’autorité compétente de l’État membre notifie également ces mesures à l’Agence et, lorsqu’une action conjuguée est nécessaire, aux autorités compétentes des autres États membres concernés.».

«e)

Outre les exigences énoncées au point a), le système de gestion établi et entretenu par l’autorité compétente doit être conforme à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».

a)

le titre est remplacé par le texte suivant:

«21.B.30 Attribution de tâches»;

b)

le point c) suivant est ajouté:

«g)

En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point 21.A.139A, outre le respect des points a) à f), l’autorité compétente examine tout agrément accordé en vertu du point IS.I.OR.200 e) du présent règlement ou du point IS.D.OR.200 e) du règlement délégué (UE) 2022/1645 à l’issue du cycle d’audit de supervision applicable et chaque fois que des modifications sont mises en œuvre dans le cadre des travaux de l’organisme.».

a)

Pour les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.D.OR.255 a) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point 21.B.221. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point 21.B.225.

b)

Pour les autres modifications nécessitant une demande d’approbation conformément au point IS.D.OR.255 b) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645:

«d)

Pour la certification et la supervision de la conformité de l’organisme avec le point 21.A.239A, outre la conformité aux points a) à c), l’autorité compétente doit respecter les principes suivants:

a)

Pour les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.D.OR.255 a) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point 21.B.431. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point 21.B.433.

b)

Pour les autres modifications nécessitant une demande d’approbation conformément au point IS.D.OR.255 b) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645:

a)

au point ARO.GEN.125, le point c) suivant est ajouté:

b)

le point ARO.GEN.135A suivant est inséré après le point ARO.GEN.135:

«ARO.GEN.135A    Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne

c)

au point ARO.GEN.200, le point e) suivant est ajouté:

d)

le point ARO.GEN.205 est modifié comme suit:

e)

au point ARO.GEN.300, le point g) suivant est ajouté:

f)

le point ARO.GEN.330A suivant est inséré après le point ARO.GEN.330:

«ARO.GEN.330A    Modification du système de gestion de la sécurité de l’information

«c)

L’autorité compétente de l’État membre fournit dès que possible à l’Agence les informations pertinentes en matière de sécurité provenant des rapports sur la sécurité de l’information qu’elle a reçus en application du point IS.D.OR.230 de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645.».

a)

L’autorité compétente met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne qui sont signalés par les organismes. Ce système est mis en œuvre en coordination avec toutes les autres autorités compétentes en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre afin d’améliorer la coordination et la compatibilité des systèmes de comptes rendus.

b)

L’Agence met en œuvre un système visant à analyser de manière appropriée toute information pertinente en matière de sécurité reçue conformément au point ADR.AR.A.025 c) et à fournir dans les meilleurs délais aux États membres et à la Commission toute information, notamment des recommandations ou des actions correctives à mettre en œuvre, utile pour leur permettre de réagir en temps opportun à un incident ou à une vulnérabilité en matière de sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne ayant trait à des produits, des pièces, des équipements non fixes, des personnes ou des organismes soumis au règlement (UE) 2018/1139 et à ses actes délégués et d’exécution.

c)

Dès réception des informations auxquelles il est fait référence aux points a) et b), l’autorité compétente prend des mesures appropriées pour traiter l’incidence potentielle sur la sécurité aérienne de l’incident ou de la vulnérabilité en matière de sécurité de l’information.

d)

Les mesures prises en application du point c) sont immédiatement notifiées à l’ensemble des personnes ou des organismes qui sont tenus de s’y conformer en vertu du règlement (UE) 2018/1139 et de ses actes délégués et d’exécution. L’autorité compétente de l’État membre notifie également ces mesures à l’Agence et, lorsqu’une action conjuguée est nécessaire, aux autorités compétentes des autres États membres concernés.».

«d)

Outre les exigences énoncées au point a), le système de gestion établi et entretenu par l’autorité compétente doit être conforme à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».

i)

le titre est remplacé par le texte suivant:

«ADR.AR.B.010 Attribution de tâches»;

ii)

le point c) suivant est ajouté:

«f)

En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point ADR.OR.D.005A, outre le respect des points a) à e), l’autorité compétente examine tout agrément accordé en vertu du point IS.I.OR.200 e) du présent règlement ou du point IS.D.OR.200 e) du règlement délégué (UE) 2022/1645 à l’issue du cycle d’audit de supervision applicable et chaque fois que des modifications sont mises en œuvre dans le cadre des travaux de l’organisme.».

a)

En ce qui concerne les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.D.OR.255 a) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point ADR.AR.C.005. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point ADR.AR.C.055.

b)

En ce qui concerne les autres modifications nécessitant une demande d’approbation conformément au point IS.D.OR.255 b) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645:

a)

la table des matières est modifiée comme suit:

b)

le point suivant 145.A.200A est inséré après le point 145.A.200:

«145.A.200A    Système de gestion de la sécurité de l’information

Outre le système de gestion visé au point 145.A.200, l’organisme de maintenance établit, met en œuvre et entretient un système de gestion de la sécurité de l’information conformément au règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.»;

c)

au point 145.B.125, le point c) suivant est ajouté:

d)

le point suivant 145.B.135A est inséré après le point 145.B.135:

«145.B.135A    Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne

e)

au point 145.B.200, le point e) suivant est ajouté:

f)

le point 145.B.205 est modifié comme suit:

g)

au point 145.B.300, le point g) suivant est ajouté:

h)

le point suivant 145.B.330A est inséré après le point 145.B.330:

«145.B.330A    Modification du système de gestion de la sécurité de l’information

a)

dans la table des matières, le titre suivant est inséré après le titre 66.B.10:

b)

le point 66.B.15 suivant est inséré après le point 66.B.10:

«66.B.15    Système de gestion de la sécurité de l’information

L’autorité compétente établit, met en œuvre et entretient un système de gestion de la sécurité de l’information conformément à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».

a)

la table des matières est modifiée comme suit:

b)

le point CAMO.A.200A suivant est inséré après le point CAMO.A.200:

«CAMO.A.200A    Système de gestion de la sécurité de l’information

Outre le système de gestion visé au point CAMO.A.200, l’organisme établit, met en œuvre et entretient un système de gestion de la sécurité de l’information conformément au règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.»;

c)

au point CAMO.B.125, le point c) suivant est ajouté:

d)

le point CAMO.B.135A suivant est inséré après le point CAMO.B.135:

«CAMO.B.135A    Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne

e)

au point CAMO.B.200, le point e) suivant est ajouté:

f)

le point CAMO.B.205 est modifié comme suit:

g)

au point CAMO.B.300, le point g) suivant est ajouté:

h)

le point CAMO.B.330A suivant est inséré après le point CAMO.B.330:

«CAMO.B.330A    Modification du système de gestion de la sécurité de l’information

a)

au point ATCO.AR.A.020, le point c) suivant est ajouté:

b)

le point ATCO.AR.A.025A suivant est inséré après le point ATCO.AR.A.025:

«ATCO.AR.A.025A    Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne

c)

au point ATCO.AR.B.001, le point e) suivant est ajouté:

d)

le point ATCO.AR.B.005 est modifié comme suit:

e)

au point ATCO.AR.C.001, le point f) suivant est ajouté:

f)

le point ATCO.AR.E.010A suivant est inséré après le point ATCO.AR.E.010:

«ATCO.AR.E.010A    Modification du système de gestion de la sécurité de l’information

a)

au point ATM/ANS.AR.A.020, le point c) suivant est ajouté:

b)

le point ATM/ANS.AR.A.025A suivant est inséré après le point ATM/ANS.AR.A.025:

«ATM/ANS.AR.A.025A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne

c)

au point ATM/ANS.AR.B.001, le point e) suivant est ajouté:

d)

le point ATM/ANS.AR.B.005 est modifié comme suit:

e)

au point ATM/ANS.AR.C.010, le point d) suivant est ajouté:

f)

le point ATM/ANS.AR.C.025A suivant est inséré après le point ATM/ANS.AR.C.025:

«ATM/ANS.AR.C.025A Modification du système de gestion de la sécurité de l’information

a)

le point ATM/ANS.OR.B.005A suivant est inséré après le point ATM/ANS.OR.B.005:

«ATM/ANS.OR.B.005A Système de gestion de la sécurité de l’information

Outre le système de gestion visé au point ATM/ANS.OR.B.005, le prestataire de services établit, met en œuvre et entretient un système de gestion de la sécurité de l’information conformément au règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.»;

b)

le point ATM/ANS.OR.D.010 est remplacé par le texte suivant:

«ATM/ANS.OR.D.010 Gestion de la sûreté