„(f)

provode i održavaju sustav upravljanja zaštitom u skladu s točkom ATM/ANS.OR.D.010 u poddijelu D Priloga III. Provedbenoj uredbi (EU) 2017/373 i sustav upravljanja informacijskom sigurnošću u skladu s Prilogom II. (dio IS.I.OR) Provedbenoj uredbi (EU) 2023/203.”;

„(l)

uspostavljaju, provode i održavaju sustav upravljanja informacijskom sigurnošću u skladu s Prilogom I. (dio IS.AR) Provedbenoj uredbi (EU) 2023/203.”

(1)

uspostavlja politiku informacijske sigurnosti kojom se utvrđuju opća načela nadležnog tijela u pogledu mogućeg utjecaja rizika za informacijsku sigurnost na sigurnost zračnog prometa;

(2)

identificira i preispituje rizike za informacijsku sigurnost u skladu s točkom IS.AR.205;

(3)

definira i provodi mjere postupanja s rizicima za informacijsku sigurnost u skladu s točkom IS.AR.210;

(4)

u skladu s točkom IS.AR.215 definira i provodi mjere potrebne za otkrivanje događaja povezanih s informacijskom sigurnošću, identificira one koji se smatraju incidentima koji mogu utjecati na sigurnost zračnog prometa, odgovara na te incidente i oporavlja se od njih;

(5)

ispunjava zahtjeve iz točke IS.AR.220 pri ugovaranju bilo kojeg dijela aktivnosti iz točke IS.AR.200 s drugim organizacijama;

(6)

ispunjava zahtjeve u vezi s osobljem iz točke IS.AR.225;

(7)

ispunjava zahtjeve u vezi s vođenjem evidencije iz točke IS.AR.230;

(8)

prati usklađenost vlastite organizacije sa zahtjevima ove Uredbe i pruža povratne informacije o nalazima osobi iz točke IS.AR.225 podtočke (a) kako bi se osigurala djelotvorna provedba korektivnih mjera;

(9)

štiti povjerljivost svih informacija koje nadležno tijelo posjeduje o organizacijama koje nadzire i informacija koje je primilo putem sustava vanjskog izvješćivanja organizacija uspostavljenih u skladu s točkom IS.I.OR.230 Priloga II. (dio IS.I.OR) ovoj Uredbi i točkom IS.D.OR.230 Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645;

(10)

obavješćuje Agenciju o promjenama koje utječu na sposobnost nadležnog tijela da obavlja svoje zadaće i izvršava svoje odgovornosti kako je definirano u ovoj Uredbi;

(11)

definira i provodi postupke za primjereno, praktično i pravodobno dijeljenje relevantnih informacija kako bi drugim nadležnim tijelima i agencijama te organizacijama koje podliježu ovoj Uredbi pomoglo u provođenju djelotvornih procjena rizika za sigurnost povezanih s njihovim aktivnostima.

(1)

aktivnosti, objekte i resurse nadležnog tijela, kao i usluge koje nadležno tijelo pruža, prima ili održava;

(2)

opremu, sustave, podatke i informacije koji pridonose funkcioniranju elemenata iz podpodtočke 1.

(1)

odrediti razinu rizika u skladu s unaprijed definiranom klasifikacijom koju je utvrdilo nadležno tijelo;

(2)

povezati svaki rizik i njegovu razinu s odgovarajućim elementom ili sučeljem utvrđenim u skladu s podtočkama (a) i (b).

(1)

došlo je do promjene elemenata koji su izloženi rizicima za informacijsku sigurnost;

(2)

došlo je do promjene u sučeljima između organizacije nadležnog tijela i drugih organizacija ili u rizicima koje su priopćile druge organizacije;

(3)

došlo je do promjene informacija ili znanja koji se upotrebljavaju za identifikaciju, analizu i klasifikaciju rizika;

(4)

izvučene su pouke na temelju analize incidenata povezanih s informacijskom sigurnošću.

(1)

kontrolira okolnosti koje pridonose stvarnoj pojavi scenarija prijetnje;

(2)

ublaži posljedice za sigurnost zračnog prometa povezane s nastankom scenarija prijetnje;

(3)

izbjegava rizike.

(1)

identificira odstupanja od unaprijed utvrđenih osnovnih vrijednosti funkcionalne učinkovitosti;

(2)

aktivira upozorenja za primjenu odgovarajućih mjera odgovora u slučaju bilo kakvog odstupanja.

(1)

pokrene reakciju vlastite organizacije na upozorenja iz podtočke (a) podpodtočke 2. aktiviranjem unaprijed definiranih resursa i načina postupanja;

(2)

ograniči širenje napada i izbjegne potpuno ostvarenje scenarija prijetnje;

(3)

kontrolira zakazivanje zahvaćenih elemenata definiranih u točki IS.AR.205 podtočki (a).

(1)

ukloni ili ograniči na prihvatljivu razinu uvjete koji su uzrokovali incident;

(2)

ponovno uspostavi sigurno stanje zahvaćenih elemenata definiranih u točki IS.AR.205 podtočki (a) unutar vremena oporavka koje je prethodno odredila njegova vlastita organizacija.

(1)

mora imati ovlast za potpun pristup resursima koji su nadležnom tijelu potrebni za obavljanje svih zadaća u skladu s ovom Uredbom;

(2)

mora imati delegiranu ovlast potrebnu za izvršavanje dodijeljenih dužnosti;

(1)

Nadležno tijelo osigurava arhiviranje i sljedivost sljedeće evidencije:

(2)

Evidencija iz podpodtočke 1. podpodpodtočke i. čuva se najmanje pet godina nakon izmjene ili raskida ugovora.

(3)

Evidencija iz podpodtočke 1. podpodpodtočaka ii. i iii. čuva se najmanje pet godina.

(4)

Evidencija iz podpodtočke 1. podpodpodtočke iv. čuva se dok se ti događaji povezani s informacijskom sigurnošću ponovno ne procijene u skladu s učestalošću utvrđenom u postupku koji je utvrdilo nadležno tijelo.

(1)

Evidencija o kvalifikacijama i iskustvu osoblja čuva se sve dok osoba radi za nadležno tijelo i najmanje tri godine nakon što je osoba napustila nadležno tijelo.

(2)

Članovima osoblja na njihov se zahtjev daje pristup njihovim pojedinačnim evidencijama. Osim toga, nadležno tijelo im na zahtjev po napuštanju nadležnog tijela dostavlja presliku njihove pojedinačne evidencije.

(1)

uspostavlja politiku informacijske sigurnosti kojom se utvrđuju opća načela organizacije u pogledu mogućeg utjecaja rizika za informacijsku sigurnost na sigurnost zračnog prometa;

(2)

identificira i preispituje rizike za informacijsku sigurnost u skladu s točkom IS.I.OR.205;

(3)

definira i provodi mjere postupanja s rizicima za informacijsku sigurnost u skladu s točkom IS.I.OR.210;

(4)

primjenjuje sustav unutarnjeg izvješćivanja o informacijskoj sigurnosti u skladu s točkom IS.I.OR.215;

(5)

u skladu s točkom IS.I.OR.220 definira i provodi mjere potrebne za otkrivanje događaja povezanih s informacijskom sigurnošću, identificira događaje koji se smatraju incidentima koji mogu utjecati na sigurnost zračnog prometa, osim u slučajevima koji su dopušteni točkom IS.I.OR.205 podtočkom (e), odgovara na te incidente i oporavlja se od njih;

(6)

provodi mjere koje je nadležno tijelo prijavilo kao neposrednu reakciju na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa;

(7)

poduzima odgovarajuće mjere u skladu s točkom IS.I.OR.225 kako bi postupilo u skladu s nalazima koje je prijavilo nadležno tijelo;

(8)

provodi sustav vanjskog izvješćivanja u skladu s točkom IS.I.OR.230 kako bi se nadležnom tijelu omogućilo poduzimanje odgovarajućih mjera;

(9)

ispunjava zahtjeve iz točke IS.I.OR.235 pri ugovaranju bilo kojeg dijela aktivnosti iz točke IS.I.OR.200 s drugim organizacijama;

(10)

ispunjava zahtjeve u vezi s osobljem utvrđene u točki IS.I.OR.240;

(11)

ispunjava zahtjeve u vezi s vođenjem evidencije utvrđene u točki IS.I.OR.245;

(12)

prati usklađenost organizacije sa zahtjevima ove Uredbe i pruža povratne informacije o nalazima odgovornom rukovoditelju kako bi se osigurala djelotvorna provedba korektivnih mjera;

(13)

ne dovodeći u pitanje primjenjive zahtjeve za izvješćivanje o incidentima, štiti povjerljivost svih informacija koje je organizacija primila od drugih organizacija, u skladu s njihovom razinom osjetljivosti.

(1)

aktivnosti, objekte i resurse organizacije, kao i usluge koje organizacija pruža, prima ili održava;

(2)

opremu, sustave, podatke i informacije koji pridonose funkcioniranju elemenata navedenih u podpodtočki 1.

(1)

odrediti razinu rizika u skladu s unaprijed definiranom klasifikacijom koju je utvrdila organizacija;

(2)

povezati svaki rizik i njegovu razinu s odgovarajućim elementom ili sučeljem utvrđenim u skladu s podtočkama (a) i (b).

(1)

došlo je do promjene elemenata koji su izloženi rizicima za informacijsku sigurnost;

(2)

došlo je do promjene u sučeljima između organizacije i drugih organizacija ili u rizicima koje su priopćile druge organizacije;

(3)

došlo je do promjene informacija ili znanja koji se upotrebljavaju za identifikaciju, analizu i klasifikaciju rizika;

(4)

izvučene su pouke na temelju analize incidenata povezanih s informacijskom sigurnošću.

(1)

kontrolira okolnosti koje pridonose stvarnoj pojavi scenarija prijetnje;

(2)

ublaži posljedice za sigurnost zračnog prometa povezane s nastankom scenarija prijetnje;

(3)

izbjegava rizike.

(1)

identificira događaje prijavljene u skladu s podtočkom (a) koji se smatraju incidentima ili ranjivostima povezanima s informacijskom sigurnošću koji mogu utjecati na sigurnost zračnog prometa;

(2)

identificira uzroke incidenata i ranjivosti povezanih s informacijskom sigurnošću utvrđenih u skladu s podpodtočkom 1. i čimbenike koji im doprinose i rješava ih u okviru procesa upravljanja rizicima za informacijsku sigurnost u skladu s točkama IS.I.OR.205 i IS.I.OR.220;

(3)

osigura procjenu svih poznatih i relevantnih informacija koje se odnose na incidente i ranjivosti povezane s informacijskom sigurnošću i identificirane u skladu s podpodtočkom 1.;

(4)

osigura primjenu metode za internu distribuciju informacija prema potrebi.

(1)

identificira odstupanja od unaprijed utvrđenih osnovnih vrijednosti funkcionalne učinkovitosti;

(2)

aktivira upozorenja za primjenu odgovarajućih mjera odgovora u slučaju bilo kakvog odstupanja.

(1)

pokrene reakciju na upozorenja iz podtočke (a) podpodtočke 2. aktiviranjem unaprijed definiranih resursa i načina postupanja;

(2)

ograniči širenje napada i izbjegne potpuno ostvarenje scenarija prijetnje;

(3)

kontrolira zakazivanje zahvaćenih elemenata definiranih u točki IS.I.OR.205 podtočki (a).

(1)

ukloni ili ograniči na prihvatljivu razinu uvjete koji su uzrokovali incident;

(2)

ostvari sigurno stanje zahvaćenih elemenata definiranih u točki IS.I.OR.205 podtočki (a) unutar vremena oporavka koje je prethodno odredila organizacija.

(1)

utvrđuje temeljni uzrok ili temeljne uzroke neusklađenosti i čimbenike koji tomu doprinose;

(2)

utvrđuje plan korektivnih mjera;

(3)

dokazuje korekciju neusklađenosti na način prihvatljiv nadležnom tijelu.

(1)

ako takav incident ili ranjivost utječe na zrakoplov ili povezani sustav ili sastavni dio, organizacija o tome također izvješćuje nositelja odobrenja projekta;

(2)

ako takav incident ili ranjivost utječe na sustav ili sastavni dio koji upotrebljava organizacija, ona o tome izvješćuje organizaciju odgovornu za projektiranje sustava ili sastavnog dijela.

(1)

obavijest se dostavlja nadležnom tijelu i, ako je primjenjivo, nositelju odobrenja projekta ili organizaciji odgovornoj za projektiranje sustava ili sastavnog dijela čim organizacija bude upoznata s tim stanjem;

(2)

izvješće se dostavlja nadležnom tijelu i, ako je primjenjivo, nositelju odobrenja projekta ili organizaciji odgovornoj za projektiranje sustava ili sastavnog dijela što prije, ali najkasnije 72 sata od trenutka kad je organizacija upoznata s tim stanjem, osim ako to spriječe izvanredne okolnosti.

Izvješće se sastavlja u obliku koji određuje nadležno tijelo i sadržava sve relevantne informacije o stanju koje je poznato organizaciji;

(3)

izvješće o daljnjim mjerama podnosi se nadležnom tijelu i, ako je primjenjivo, nositelju odobrenja projekta ili organizaciji odgovornoj za projektiranje sustava ili sastavnog dijela te sadržava pojedinosti o mjerama koje je organizacija poduzela ili koje namjerava poduzeti kako bi se oporavila od incidenta i mjerama koje namjerava poduzeti kako bi spriječila slične incidente povezane s informacijskom sigurnošću u budućnosti.

Izvješće o daljnjim mjerama podnosi se čim se utvrde te mjere i sastavlja se u obliku koji odredi nadležno tijelo.

(1)

osigurati dostupnost svih potrebnih sredstava za ispunjavanje zahtjeva ove Uredbe;

(2)

uspostaviti i promicati politiku informacijske sigurnosti iz točke IS.I.OR.200 podtočke (a) podpodtočke 1.;

(3)

pokazati osnovno razumijevanje ove Uredbe.

(1)

Organizacija osigurava arhiviranje i sljedivost sljedeće evidencije:

(2)

Evidencija iz podpodtočke 1. podpodpodtočke i. čuva se najmanje pet godina nakon što odobrenje prestane važiti.

(3)

Evidencija iz podpodtočke 1. podpodpodtočke ii. čuva se najmanje pet godina nakon izmjene ili raskida ugovora.

(4)

Evidencija iz podpodtočke 1. podpodpodtočaka iii., iv. i v. čuva se najmanje pet godina.

(5)

Evidencija iz podpodtočke 1. podpodpodtočke vi. čuva se dok se ti događaji povezani s informacijskom sigurnošću ponovno ne procijene u skladu s učestalošću utvrđenom u postupku koji je utvrdila organizacija.

(1)

Evidencija o kvalifikacijama i iskustvu osoblja čuva se sve dok osoba radi za organizaciju i najmanje tri godine nakon što je osoba napustila organizaciju.

(2)

Članovima osoblja na njihov se zahtjev daje pristup njihovim pojedinačnim evidencijama. Osim toga, organizacija im na zahtjev po napuštanju organizacije dostavlja presliku njihove pojedinačne evidencije.

(1)

izjavu koju je potpisao odgovorni rukovoditelj kojom se potvrđuje da će organizacija uvijek raditi u skladu s ovim Prilogom i ISMM-om. Ako odgovorni rukovoditelj nije glavni izvršni direktor (CEO) organizacije, glavni izvršni direktor supotpisuje izjavu;

(2)

titule, imena, dužnosti, odgovornosti i ovlasti osobe ili osoba iz točke IS.I.OR.240 podtočaka (b) i (c);

(3)

titulu, ime, dužnosti, odgovornosti i ovlasti zajedničke odgovorne osobe iz točke IS.I.OR.240 podtočke (d), ako je primjenjivo;

(4)

politiku informacijske sigurnosti organizacije iz točke IS.I.OR.200 podtočke (a) podpodtočke 1.;

(5)

opći opis broja i kategorija osoblja i uspostavljenog sustava za planiranje raspoloživosti osoblja kako je propisano točkom IS.I.OR.240;

(6)

titule, imena, dužnosti, odgovornosti i ovlasti ključnih osoba odgovornih za primjenu točke IS.I.OR.200, uključujući osobu ili osobe odgovorne za funkciju praćenja usklađenosti iz točke IS.I.OR.200 podtočke (a) podpodtočke 12.;

(7)

organigram koji prikazuje povezane lance odgovornosti za osobe iz podpodtočaka 2. i 6.;

(8)

opis sustava unutarnjeg izvješćivanja iz točke IS.I.OR.215;

(9)

postupke kojima se utvrđuje kako organizacija osigurava usklađenost s ovim dijelom, a posebno:

(10)

popis trenutačno odobrenih alternativnih načina usklađivanja.

(1)

zahtjev se podnosi prije uvođenja bilo kakve takve promjene, kako bi nadležno tijelo moglo utvrditi kontinuiranu usklađenost s ovom Uredbom i, prema potrebi, izmijeniti certifikat organizacije i povezane uvjete odobrenja koji su mu priloženi;

(2)

organizacija nadležnom tijelu stavlja na raspolaganje sve informacije koje zatraži radi ocjene promjene;

(3)

promjena se provodi tek nakon primitka službenog odobrenja nadležnog tijela;

(4)

organizacija mora postupati u skladu s uvjetima koje je propisalo nadležno tijelo tijekom provedbe takvih promjena.

(a)

u točki ARA.GEN.125 dodaje se sljedeća podtočka (c):

(b)

iza točke ARA.GEN.135 umeće se sljedeća točka ARA.GEN.135A:

„ARA.GEN.135A Neposredna reakcija na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa

(c)

u točki ARA.GEN.200 dodaje se sljedeća podtočka (e):

(d)

točka ARA.GEN.205 mijenja se kako slijedi:

(e)

u točki ARA.GEN.300 dodaje se sljedeća podtočka (g):

(f)

iza točke ARA.GEN.330 umeće se sljedeća točka ARA.GEN.330A:

„ARA.GEN.330A Promjene sustava upravljanja informacijskom sigurnošću

(a)

iza naslova 21.B.20 umeće se sljedeći naslov:

„21.B.20A Neposredna reakcija na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa”;

(b)

naslov točke 21.B.30 zamjenjuje se sljedećim:

„21.B.30 Dodjeljivanje zadataka”;

(c)

iza naslova 21.B.240 umeće se sljedeći naslov:

„21.B.240A Promjene sustava upravljanja informacijskom sigurnošću”;

(d)

iza naslova 21.B.435 umeće se sljedeći naslov:

„21.B.435A Promjene sustava upravljanja informacijskom sigurnošću”;

„(c)

Nadležno tijelo države članice što prije obavještava Agenciju o informacijama važnima za sigurnost koje proizlaze iz izvješća o informacijskoj sigurnosti koje je zaprimilo u skladu s točkom IS.D.OR.230 Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645”;

(a)

Nadležno tijelo uspostavlja sustav za primjereno prikupljanje, analizu i širenje informacija o incidentima i ranjivostima povezanima s informacijskom sigurnošću koji bi mogli utjecati na sigurnost zračnog prometa i o kojima izvješćuju organizacije. To se provodi u koordinaciji s drugim relevantnim tijelima koja su odgovorna za informacijsku sigurnost ili kibersigurnost u državi članici kako bi se poboljšale koordinacija i usklađenost sustava izvješćivanja.

(b)

Agencija uspostavlja sustav za primjerenu analizu svih relevantnih informacija važnih za sigurnost koje zaprimi u skladu s točkom 21.B.15 podtočkom (c) i bez nepotrebne odgode dostavlja državama članicama i Komisiji sve informacije, uključujući preporuke ili korektivne mjere koje se trebaju poduzeti, potrebne za pravodobnu reakciju na incident ili ranjivost povezanu s informacijskom sigurnošću koja bi mogla utjecati na sigurnost zračnog prometa i koja uključuje proizvode, dijelove, neugrađenu opremu, osobe ili organizacije podložne Uredbi (EU) 2018/1139 i njezinim delegiranim i provedbenim aktima.

(c)

Nakon što zaprimi informacije iz podtočaka (a) i (b), nadležno tijelo poduzima prikladne mjere kako bi ispravno pristupilo mogućem utjecaju incidenta ili ranjivosti povezane s informacijskom sigurnošću na sigurnost zračnog prometa.

(d)

O mjerama poduzetima u skladu s podtočkom (c) odmah se obavješćuju sve osobe ili organizacije koje moraju postupiti u skladu s tim mjerama na temelju Uredbe (EU) 2018/1139 i njezinih delegiranih i provedbenih akata. Nadležno tijelo države članice o tim mjerama također obavješćuje Agenciju i, ako je potrebno zajedničko djelovanje, nadležna tijela drugih predmetnih država članica.”;

„(e)

Uz zahtjeve iz podtočke (a) sustav upravljanja koji uspostavlja i održava nadležno tijelo mora biti usklađen s Prilogom I. (dio IS.AR) Provedbenoj uredbi (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.”;

(a)

naslov se zamjenjuje sljedećim:

„21.B.30 Dodjeljivanje zadataka”;

(b)

dodaje se sljedeća podtočka (c):

„(g)

U vezi s certifikacijom i nadzorom usklađenosti organizacije s točkom 21.A.139A nadležno tijelo, uz usklađivanje s točkama od (a) do (f), preispituje sva odobrenja izdana na temelju točke IS.I.OR.200 podtočke (e) ove Uredbe ili točke IS.D.OR.200 podtočke (e) Delegirane uredbe (EU) 2022/1645 nakon primjenjivog ciklusa nadzora sigurnosti i kad god se provedu promjene u opsegu rada organizacije.”;

(a)

Za promjene kojima se upravlja i o kojima se obavješćuje nadležno tijelo u skladu s postupkom iz točke IS.D.OR.255 podtočke (a) Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645 nadležno tijelo uključuje preispitivanje tih promjena u svoj kontinuirani nadzor u skladu s načelima utvrđenima u točki 21.B.221. Ako se utvrdi bilo kakva neusklađenost, nadležno tijelo o tome obavješćuje organizaciju, zahtijeva daljnje promjene i postupa u skladu s točkom 21.B.225.

(b)

Za druge promjene za koje je potreban zahtjev za odobrenje u skladu s točkom IS.D.OR.255 podtočkom (b) Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645:

„(d)

Za certifikaciju i nadzor usklađenosti organizacije s točkom 21.A.239A nadležno tijelo, uz usklađivanje s točkama od (a) do (c), mora biti usklađeno sa sljedećim načelima:

(a)

Za promjene kojima se upravlja i o kojima se obavješćuje nadležno tijelo u skladu s postupkom iz točke IS.D.OR.255 podtočke (a) Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645 nadležno tijelo uključuje preispitivanje tih promjena u svoj kontinuirani nadzor u skladu s načelima utvrđenima u točki 21.B.431. Ako se utvrdi bilo kakva neusklađenost, nadležno tijelo o tome obavješćuje organizaciju, zahtijeva daljnje promjene i postupa u skladu s točkom 21.B.433.

(b)

Za druge promjene za koje je potreban zahtjev za odobrenje u skladu s točkom IS.D.OR.255 podtočkom (b) Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645:

(a)

u točki ARO.GEN.125 dodaje se sljedeća podtočka (c):

(b)

iza točke ARO.GEN.135 umeće se sljedeća točka ARO.GEN.135A:

„ARO.GEN.135A    Neposredna reakcija na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa

(c)

u točki ARO.GEN.200 dodaje se sljedeća podtočka (e):

(d)

točka ARO.GEN.205 mijenja se kako slijedi:

(e)

u točki ARO.GEN.300 dodaje se sljedeća podtočka (g):

(f)

iza točke ARO.GEN.330 umeće se sljedeća točka ARO.GEN.330A:

„ARO.GEN.330A    Promjene sustava upravljanja informacijskom sigurnošću

„(c)

Nadležno tijelo države članice što prije obavještava Agenciju o informacijama važnima za sigurnost koje proizlaze iz izvješća o informacijskoj sigurnosti koje je zaprimilo u skladu s točkom IS.D.OR.230 Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645”;

(a)

Nadležno tijelo uspostavlja sustav za primjereno prikupljanje, analizu i širenje informacija o incidentima i ranjivostima povezanima s informacijskom sigurnošću koji bi mogli utjecati na sigurnost zračnog prometa i o kojima izvješćuju organizacije. To se provodi u koordinaciji s drugim relevantnim tijelima koja su odgovorna za informacijsku sigurnost ili kibersigurnost u državi članici kako bi se poboljšale koordinacija i usklađenost sustava izvješćivanja.

(b)

Agencija uspostavlja sustav za primjerenu analizu svih relevantnih informacija važnih za sigurnost koje zaprimi u skladu s točkom ADR.AR.A.025 podtočkom (c) i bez nepotrebne odgode dostavlja državama članicama i Komisiji sve informacije, uključujući preporuke ili korektivne mjere koje se trebaju poduzeti, potrebne za pravodobnu reakciju na incident ili ranjivost povezanu s informacijskom sigurnošću koja bi mogla utjecati na sigurnost zračnog prometa i koja uključuje proizvode, dijelove, neugrađenu opremu, osobe ili organizacije podložne Uredbi (EU) 2018/1139 i njezinim delegiranim i provedbenim aktima.

(c)

Nakon što zaprimi informacije iz podtočaka (a) i (b), nadležno tijelo poduzima prikladne mjere kako bi ispravno pristupilo mogućem utjecaju incidenta ili ranjivosti povezane s informacijskom sigurnošću na sigurnost zračnog prometa.

(d)

O mjerama poduzetima u skladu s podtočkom (c) odmah se obavješćuju sve osobe ili organizacije koje moraju postupiti u skladu s tim mjerama na temelju Uredbe (EU) 2018/1139 i njezinih delegiranih i provedbenih akata. Nadležno tijelo države članice o tim mjerama također obavješćuje Agenciju i, ako je potrebno zajedničko djelovanje, nadležna tijela drugih predmetnih država članica.”;

„(d)

Uz zahtjeve iz podtočke (a) sustav upravljanja koji uspostavlja i održava nadležno tijelo mora biti usklađen s Prilogom I. (dio IS.AR) Provedbenoj uredbi (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.”;

i.

naslov se zamjenjuje sljedećim:

„ADR.AR.B.010 Dodjeljivanje zadataka”;

ii.

dodaje se sljedeća podtočka (c):

„(f)

U vezi s certifikacijom i nadzorom usklađenosti organizacije s točkom ADR.OR.D.005A nadležno tijelo, uz usklađivanje s točkama od (a) do (e), preispituje sva odobrenja izdana na temelju točke IS.I.OR.200 podtočke (e) ove Uredbe ili točke IS.D.OR.200 podtočke (e) Delegirane uredbe (EU) 2022/1645 nakon primjenjivog ciklusa nadzora sigurnosti i kad god se provedu promjene u opsegu rada organizacije.”;

(a)

Za promjene kojima se upravlja i o kojima se obavješćuje nadležno tijelo u skladu s postupkom iz točke IS.D.OR.255 podtočke (a) Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645 nadležno tijelo uključuje preispitivanje tih promjena u svoj kontinuirani nadzor u skladu s načelima utvrđenima u točki ADR.AR.C.005. Ako se utvrdi bilo kakva neusklađenost, nadležno tijelo o tome obavješćuje organizaciju, zahtijeva daljnje promjene i postupa u skladu s točkom ADR.AR.C.055.

(b)

U vezi s drugim promjenama za koje je potreban zahtjev za odobrenje u skladu s točkom IS.D.OR.255 podtočkom (b) Priloga (dio IS.D.OR) Delegiranoj uredbi (EU) 2022/1645:

(a)

sadržaj se mijenja kako slijedi:

(b)

iza točke 145.A.200 umeće se sljedeća točka 145.A.200A:

„145.A.200A    Sustav upravljanja informacijskom sigurnošću

Uz sustav upravljanja iz točke 145.A.200 organizacija za održavanje uspostavlja, provodi i održava sustav upravljanja informacijskom sigurnošću u skladu s Provedbenom uredbom (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.”;

(c)

u točki 145.B.125 dodaje se sljedeća podtočka (c):

(d)

iza točke 145.B.135 umeće se sljedeća točka 145.B.135A:

„145.B.135A    Neposredna reakcija na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa

(e)

u točki 145.B.200 dodaje se sljedeća podtočka (e):

(f)

točka 145.B.205 mijenja se kako slijedi:

(g)

u točki 145.B.300 dodaje se sljedeća podtočka (g):

(h)

iza točke 145.B.330 umeće se sljedeća točka 145.B.330A:

„145.B.330A    Promjene sustava upravljanja informacijskom sigurnošću

(a)

iza naslova 66.B.10 u sadržaju umeće se sljedeći naslov:

(b)

iza točke 66.B.10 umeće se sljedeća točka 66.B.15:

„66.B.15    Sustav upravljanja informacijskom sigurnošću

Nadležno tijelo uspostavlja, provodi i održava sustav upravljanja informacijskom sigurnošću u skladu s Prilogom I. (dio IS.AR) Provedbenoj uredbi (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.”;

(a)

sadržaj se mijenja kako slijedi:

(b)

iza točke CAMO.A.200 umeće se sljedeća točka CAMO.A.200A:

„CAMO.A.200A    Sustav upravljanja informacijskom sigurnošću

Uz sustav upravljanja iz točke CAMO.A.200 organizacija uspostavlja, provodi i održava sustav upravljanja informacijskom sigurnošću u skladu s Provedbenom uredbom (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.”;

(c)

u točki CAMO.B.125 dodaje se sljedeća podtočka (c):

(d)

iza točke CAMO.B.135 umeće se točka CAMO.B.135A:

„CAMO.B.135A    Neposredna reakcija na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa

(e)

u točki CAMO.B.200 dodaje se sljedeća podtočka (e):

(f)

točka CAMO.B.205 mijenja se kako slijedi:

(g)

u točki CAMO.B.300 dodaje se sljedeća podtočka (g):

(h)

iza točke CAMO.B.330 umeće se sljedeća točka CAMO.B.330A:

„CAMO.B.330A    Promjene sustava upravljanja informacijskom sigurnošću

(a)

u točki ATCO.AR.A.020 dodaje se sljedeća podtočka (c):

(b)

iza točke ATCO.AR.A.025 umeće se sljedeća točka ATCO.AR.A.025A:

„ATCO.AR.A.025A    Neposredna reakcija na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa

(c)

u točki ATCO.AR.B.001 dodaje se sljedeća podtočka (e):

(d)

točka ATCO.AR.B.005 mijenja se kako slijedi:

(e)

u točki ATCO.AR.C.001 dodaje se sljedeća podtočka (f):

(f)

iza točke ATCO.AR.E.010 umeće se sljedeća točka ATCO.AR.E.010A:

„ATCO.AR.E.010A    Promjene sustava upravljanja informacijskom sigurnošću

(a)

u točki ATM/ANS.AR.A.020 dodaje se sljedeća podtočka (c):

(b)

iza točke ATM/ANS.AR.A.025 umeće se sljedeća točka ATM/ANS.AR.A.025A:

„ATM/ANS.AR.A.025A Neposredna reakcija na incident ili ranjivost povezanu s informacijskom sigurnošću koja utječe na sigurnost zračnog prometa

(c)

u točki ATM/ANS.AR.B.001 dodaje se sljedeća podtočka (e):

(d)

točka ATM/ANS.AR.B.005 mijenja se kako slijedi:

(e)

u točki ATM/ANS.AR.C.010 dodaje se sljedeća podtočka (d):

(f)

iza točke ATM/ANS.AR.C.025 umeće se sljedeća točka ATM/ANS.AR.C.025A:

„ATM/ANS.AR.C.025A Promjene sustava upravljanja informacijskom sigurnošću

(a)

iza točke ATM/ANS.OR.B.005 umeće se sljedeća točka ATM/ANS.OR.B.005A:

„ATM/ANS.OR.B.005A Sustav upravljanja informacijskom sigurnošću

Uz sustav upravljanja iz točke ATM/ANS.OR.B.005 pružatelj usluga uspostavlja, provodi i održava sustav upravljanja informacijskom sigurnošću u skladu s Provedbenom uredbom (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.”;

(b)

točka ATM/ANS.OR.D.010 zamjenjuje se sljedećim:

„ATM/ANS.OR.D.010 Upravljanje zaštitom