(a)

Ne dovodeći u pitanje Uredbu (EU) br. 376/2014 Europskog parlamenta i Vijeća (1) te delegirane i provedbene akte donesene na temelju nje, Agencija uspostavlja sustav za primjereno prikupljanje, analizu i širenje informacija o sigurnosti, zaštiti i interoperabilnosti.

(b)

Nakon što primi informacije iz podtočke (a), Agencija poduzima odgovarajuće mjere za rješavanje svih utvrđenih problema povezanih sa sigurnošću, zaštitom ili interoperabilnošću, uključujući izdavanje naloga o opremi za pružanje usluga ATM-a/ANS-a u skladu s točkom ATM/ANS.EQMT.AR.A.030 Priloga I. Delegiranoj uredbi (EU) 2023/1768.

(c)

O mjerama poduzetima u skladu s podtočkom (b) odmah se obavještavaju dotični pružatelji usluga kako bi se s njima uskladili, u skladu s točkom DPO.OR.A.035. Obavješćuju se i nadležna tijela dotičnih pružatelja ATM-a/ANS-a.

(a)

Agencija uspostavlja sustav za primjereno prikupljanje, analizu i širenje informacija o incidentima i ranjivostima povezanima s informacijskom sigurnošću koji bi mogli utjecati na sigurnost zračnog prometa i o kojima izvješćuju organizacije. To se provodi u koordinaciji s drugim relevantnim tijelima koja su odgovorna za informacijsku sigurnost ili kibersigurnost u državi članici kako bi se poboljšale koordinacija i usklađenost sustava izvješćivanja.

(b)

Nakon što zaprimi informacije iz podtočke (a), Agencija poduzima prikladne mjere kako bi ispravno uklonila mogući utjecaj incidenta ili ranjivosti povezanih s informacijskom sigurnošću na sigurnost zračnog prometa.

(c)

O mjerama poduzetima u skladu s podtočkom (b) odmah se obavješćuju sve osobe ili organizacije koje moraju postupiti u skladu s tim mjerama na temelju Uredbe (EU) 2018/1139 i delegiranih i provedbenih akata koji su na temelju nje doneseni. Agencija o tim mjerama obavješćuje i nadležna tijela dotičnih država članica.

(a)

Agencija uspostavlja i održava sustav upravljanja uključujući, kao minimum, sljedeće elemente:

(b)

Agencija za svako područje djelatnosti, uključujući sustav upravljanja, imenuje jednu ili više osoba s ukupnom odgovornošću za upravljanje relevantnom zadaćom (relevantnim zadaćama).

(c)

Agencija uspostavlja postupke za svoje sudjelovanje u međusobnoj razmjeni svih potrebnih informacija sa svim drugim nadležnim tijelima iz članka 4. Provedbene uredbe Komisije (EU) 2017/373 (2) i pruža im pomoć ili od njih traži pomoć, uključujući sve informacije koje proizlaze iz obveznog i dobrovoljnog izvješćivanja o događajima u skladu s točkom DPO.OR.A.045;

(d)

Sustav upravljanja koji uspostavlja i održava Agencija mora biti usklađen s Prilogom I. (dio IS.AR) Provedbenoj uredbi (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.

(a)

Agencija mora imati uspostavljen sustav za utvrđivanje promjena koje utječu na njezinu sposobnost obavljanja svojih zadataka i izvršavanje svojih odgovornosti kako je utvrđeno u Uredbi (EU) 2018/1139 i delegiranim i provedbenim aktima donesenima na temelju te uredbe. Taj sustav Agenciji omogućuje poduzimanje mjera, po potrebi, kojima se osigurava da sustav upravljanja ostane odgovarajući i djelotvoran.

(b)

Agencija pravodobno ažurira svoj sustav upravljanja u skladu sa svim izmjenama Uredbe (EU) 2018/1139 i delegiranim i provedbenim aktima donesenima na temelju te uredbe kako bi se osigurala djelotvorna provedba njezina sustava upravljanja.

(a)

Agencija uspostavlja i održava sustav čuvanja evidencije kojim se osiguravaju odgovarajuće pohranjivanje, dostupnost i pouzdana sljedivost:

(b)

Agencija vodi popis svih certifikata koje je izdala i svih izjava koje je registrirala.

(c)

Sva evidencija iz točaka (a) i (b) pohranjuje se na način kojim se osigurava zaštita od oštećenja, izmjena i krađe te se čuva najmanje pet godina nakon što odobrenja i certifikati prestanu biti valjani ili se izjave povuku, podložno primjenjivom pravu o zaštiti podataka.

(a)

Po primitku zahtjeva za izdavanje odobrenja organizaciji uključenoj u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a, Agencija provjerava usklađenost organizacije sa zahtjevima utvrđenima u prilozima II. i III. Delegiranoj uredbi (EU) 2023/1768 i u Prilogu II. ovoj Uredbi.

(b)

Agencija može zatražiti sve revizije, inspekcijske preglede ili procjene koje smatra potrebnima prije izdavanja odobrenja sa svim relevantnim informacijama utvrđenima u Dodatku 1. ovom Prilogu.

(c)

Odobrenje se izdaje na neograničeno vrijeme. Privilegije u pogledu aktivnosti za koje je organizacija dobila odobrenje navode se u uvjetima priloženima odobrenju.

(d)

Odobrenje se ne izdaje ako je ostao otvoren nalaz razine 1 iz DPO.AR.C.015. U iznimnim okolnostima nalazi koji nisu razine 1 ocjenjuju se i organizacije ih rješavaju prema potrebi, a Agencija ne izdaje odobrenje dok ne odobri plan korektivnih mjera radi zatvaranja tih nalaza.

(e)

Za svaku izmjenu odobrenja i njegovih uvjeta potrebno je odobrenje Agencije.

(a)

Agencija utvrđuje i svake godine ažurira program nadzora uzimajući u obzir specifičnu prirodu organizacija koje nadzire, složenost njihove djelatnosti i rezultate prethodnih aktivnosti certificiranja ili nadzora te temelji taj program na ocjeni povezanih rizika. Program nadzora uključuje revizije koje:

(b)

Agencija može odlučiti da promijeni ciljeve i opseg unaprijed planiranih revizija, uključujući revizije dokumentacije i dodatne revizije, kada se za time pojavi potreba.

(c)

Agencija odlučuje o tome koji će se aranžmani, elementi, fizičke lokacije i aktivnosti revidirati u određenom roku.

(d)

Zapažanja i nalazi revizija izdani u skladu s točkom DPO.AR.C.015 dokumentiraju se.

(e)

Nalazi se potkrjepljuju dokazima te se utvrđuju na temelju primjenjivih zahtjeva i njihovih provedbenih rješenja u odnosu na koje je revizija bila provedena.

(f)

Priprema se revizorsko izvješće, uključujući pojedinosti o nalazima i opažanjima, te se dostavlja dotičnoj organizaciji.

(a)

Za promjene kojima se upravlja i o kojima se obavješćuje Agencija u skladu s postupkom iz točke IS.I.OR.255 podtočke (a) Priloga II. (dio IS.I.OR) Provedbenoj uredbi (EU) 2023/203 Agencija uključuje preispitivanje tih promjena u svoj program za kontinuirani nadzor u skladu s načelima utvrđenima u točki DPO.AR.C.005 ovog Priloga. Ako se utvrdi bilo kakva neusklađenost, Agencija o tome obavješćuje organizaciju, zahtijeva daljnje promjene i postupa u skladu s točkom DPO.AR.C.015 ovog Priloga.

(b)

U vezi s drugim promjenama za koje je potreban zahtjev za odobrenje u skladu s točkom IS.I.OR.255 podtočkom (b) Priloga II. (dio IS.I.OR) Provedbenoj uredbi (EU) 2023/203:

(a)

Ako Agencija tijekom provjere, nadzora ili na bilo koji drugi način utvrdi neusklađenost postupka ili priručnika koji se zahtijevaju ovom Uredbom ili certifikata ili izjave izdanih u skladu s ovom Uredbom s primjenjivim zahtjevima iz ove Uredbe, ona, ne dovodeći u pitanje bilo kakve dodatne mjere propisane Uredbom (EU) 2018/1139, sastavlja nalaz.

(b)

Agencija mora imati uspostavljen sustav za:

(c)

Agencija sastavlja nalaz razine 1 kada utvrdi bilo kakvu znatnu neusklađenost s osnovom za certificiranje opreme za pružanje usluga ATM-a/ANS-a u skladu s točkom ATM/ANS.EQMT.AR.B.001 Priloga I. Delegiranoj uredbi (EU) 2023/1768 koja može dovesti do nekontrolirane neusklađenosti i mogućeg neželjenog stanja.

Nalazi razine 1 uključuju, između ostalog:

(d)

Agencija sastavlja nalaz razine 2 ako se utvrdi nesukladnost s bilo kojim od sljedećeg:

ako nije klasificiran kao nalaz razine 1.

(e)

Ako se sastavi nalaz Agencija, ne dovodeći u pitanje bilo koje dodatne mjere propisane Uredbom (EU) 2018/1139 i delegiranim i provedbenim aktima donesenima na temelju te uredbe, pisanim putem obavješćuje dotičnu organizaciju o nalazu i zahtijeva od nje da poduzme korektivne mjere za uklanjanje utvrđenih nesukladnosti.

(f)

Za slučajeve u kojima se ne zahtijevaju nalazi razine 1 i 2, Agencija može dati primjedbe.

(g)

Agencija:

(h)

Nakon poduzimanja provedbenih mjera u skladu s podtočkom (g) Agencija o njima obavješćuje adresata, navodi razloge za njih i obavješćuje adresata o njegovu pravu na žalbu.

(a)

agencija kao nadležno tijelo koje izdaje odobrenje;

(b)

ime i potpuna adresa podnositelja zahtjeva;

(c)

opseg rada podnositelja zahtjeva;

(d)

lokacija na kojoj će se aktivnosti provoditi;

(e)

pripadajuće privilegije koje su odobrene podnositelju zahtjeva;

(f)

izjava o sukladnosti podnositelja zahtjeva u pogledu primjenjivih zahtjeva;

(g)

datum izdavanja i valjanost odobrenja;

(h)

povezani dodatni uvjeti ili ograničenja.

(a)

Zahtjev za odobrenje projektne ili proizvodne organizacije podnosi se u obliku i na način koji utvrdi Agencija.

(b)

Kako bi dobila odobrenje, organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a mora ispunjavati zahtjeve utvrđene u ovoj Uredbi ako su ti zahtjevi primjenjivi na projektiranje ili proizvodnju sustava za pružanje usluga ATM-a/ANS-a i sastavnih dijelova ATM-a/ANS-a kojim se organizacija bavi ili namjerava baviti.

(a)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a uspostavlja i održava priručnik organizacije u kojem se navode sljedeće informacije:

(b)

Priručnik organizacije prema potrebi se izmjenjuje kako bi ostao ažuran opis organizacije, a jedna njegova kopija, uključujući izmjene, dostavlja se Agenciji.

(c)

Zahtjev za odobrenje izmjene iz točke DPO.OR.B.005 ovog Priloga mora se temeljiti na podnošenju predloženih izmjena priručnika organizacije.

(a)

Odobrenje organizacije vrijedi neograničeno vrijeme pod sljedećim uvjetima:

(b)

Nakon što je odobrenje predano ili ukinuto, bez odgode se vraća Agenciji ako je izdano u papirnatom obliku.

(c)

Nositelj odobrenja organizacije ima pravo, u okviru uvjeta odobrenja i u skladu s odgovarajućim postupcima sustava upravljanja projektom:

(a)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a olakšava inspekcijske preglede i revizije koje provodi Agencija ili kvalificirani subjekt koji djeluje u njezino ime te surađuje prema potrebi radi učinkovitog i djelotvornog izvršavanja ovlasti Agencije.

(b)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a surađuje s pružateljima ATM-a/ANS-a koji upotrebljavaju njezinu opremu za pružanje usluga ATM-a/ANS-a i pomaže im u postupku dokazivanja sukladnosti dotičnim nadležnim tijelima.

(a)

utvrđuje temeljni uzrok nesukladnosti;

(b)

određuje plan korektivnih mjera;

(c)

dokazuje zadovoljavajuću provedbu korektivne mjere Agenciji u roku koji je Agencija predložila i odobrila, kako je definirano u točki DPO.AR.C.015. podtočki (e) podpodtočki 2.

(a)

Nositelj odobrenja izdanog u skladu s ovom Uredbom:

(b)

Za organizacije koje imaju glavno mjesto poslovanja u državi članici sustav uspostavljen u skladu s podtočkom (a) podpodtočkom 1. uključuje odredbe o izvješćivanju o događajima povezanima sa sigurnošću i daljnjem postupanju koje ispunjavaju zahtjeve iz uredbi (EU) br. 376/2014 i (EU) 2018/1139 te delegiranih i provedbenih akata donesenih na temelju tih uredbi.

(c)

Nositelj odobrenja izvješćuje Agenciju o svakom otkazivanju, nepravilnom funkcioniranju, kvaru ili drugom događaju za koji dozna i koji je prouzročio ili bi mogao dovesti do nesigurnog, nezaštićenog ili oslabljenog stanja.

(d)

Za nositelje odobrenja koji nemaju glavno mjesto poslovanja u državi članici izvješća se sastavljaju u obliku i na način koji utvrdi Agencija, što je prije moguće i u svakom slučaju podnose najkasnije 72 sata nakon što je osoba ili organizacija saznala za određeni događaj, osim ako to spriječe iznimne okolnosti.

(e)

Nositelj odobrenja istražuje događaj o kojem je izviješteno u skladu s podtočkom (c), uključujući nedostatke koji su doveli do tog događaja, te izvješćuje Agenciju o rezultatima svoje istrage i svim mjerama koje namjerava poduzeti ili koje predlaže poduzeti kako bi ispravio te nedostatke.

(a)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a uspostavlja i održava sustav upravljanja koji uključuje sljedeće:

(b)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a dokumentira sve ključne procese sustava upravljanja, uključujući postupak za informiranje osoblja o njihovim odgovornostima i postupak za izmjenu tih procesa.

(c)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a uspostavlja u okviru svojeg sustava upravljanja funkciju za praćenje njezine usklađenosti s primjenjivim zahtjevima i primjerenosti uspostavljenih postupaka. Praćenje usklađenosti mora uključivati sustav povratnih informacija o nalazima koje se dostavljaju odgovornom rukovoditelju kako bi se, prema potrebi, osigurala djelotvorna provedba korektivnih mjera.

(d)

Sustav upravljanja mora biti razmjeran veličini organizacije uključene u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a i razmjeran složenosti njezinih aktivnosti, uzimajući u obzir opasnosti i povezane rizike svojstvene tim aktivnostima.

(e)

Uz sustav upravljanja iz podtočke (a) organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a uspostavlja, provodi i održava sustav upravljanja informacijskom sigurnošću u skladu s Provedbenom uredbom (EU) 2023/203 kako bi se osiguralo pravilno upravljanje rizicima za informacijsku sigurnost koji mogu utjecati na sigurnost zračnog prometa.

(a)

Nakon što se izda odobrenje organizacije, za svaku značajnu promjenu sustava upravljanja prije provedbe potrebno je odobrenje Agencije, osim ako se o takvoj promjeni obavijesti i ako se njome upravlja u skladu s postupkom koji je odobrila Agencija. Organizacija Agenciji podnosi zahtjev za odobrenje kojim dokazuje trajnu sukladnost s primjenjivim zahtjevima.

(b)

O svakoj izmjeni opreme za pružanje usluga ATM-a/ANS-a obavješćuje se Agenciju te je prije provedbe svake takve izmjene potrebno odobrenje Agencije, osim ako se takvom promjenom upravlja u skladu s postupkom upravljanja promjenama koji je odobrila Agencija. U tom se postupku upravljanja promjenama definira klasifikacija izmjena opreme za pružanje usluga ATM-a/ANS-a i opisuje kako će se o takvim promjenama obavješćivati i kako će se njima upravljati.

(a)

Ugovorene aktivnosti uključuju sve aktivnosti unutar područja djelovanja organizacije u skladu s uvjetima certifikata, koje obavljaju druge organizacije koje su ili same certificirane za obavljanje takvih aktivnosti ili, ako nisu certificirane, rade pod nadzorom takve organizacije. Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a osigurava da je pri ugovaranju bilo kojeg dijela svojih aktivnosti s vanjskim organizacijama ili pri nabavi bilo kojeg dijela svojih aktivnosti od vanjskih organizacija, ugovorena ili kupljena aktivnost, ovisno o slučaju, u skladu s primjenjivim zahtjevima.

(b)

Ako organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a ugovori bilo koji dio svojih aktivnosti s organizacijom koja sama nije certificirana u skladu s ovom Uredbom za provedbu takvih aktivnosti, ona osigurava da organizacija s kojom je sklopljen ugovor radi pod njezinim nadzorom. Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a osigurava da Agencija ima pristup organizaciji s kojom je sklopljen ugovor kako bi se utvrdila njezina kontinuirana usklađenost s primjenjivim zahtjevima iz ove Uredbe.

(a)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a imenuje odgovornog rukovoditelja koji je ovlašten osigurati da se sve aktivnosti mogu financirati i provoditi u skladu s primjenjivim zahtjevima ove Uredbe. Odgovorni rukovoditelj odgovoran je za uspostavljanje i održavanje djelotvornog sustava upravljanja.

(b)

Definiraju se i ovlasti, dužnosti i odgovornosti osoba imenovanih za određeno radno mjesto, a posebno za rukovodeće osoblje koje je odgovorno za sigurnost, kvalitetu, zaštitu, financije i ljudske resurse.

(a)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a uspostavlja sustav za vođenje evidencije koji omogućuje odgovarajuće pohranjivanje evidencije i pouzdanu sljedivost svih svojih aktivnosti, posebno obuhvaćajući sve elemente navedene u točki DPO.OR.B.001.

(b)

Format i vrijeme čuvanja zapisa iz podtočke (a) utvrđuju se u postupcima sustava upravljanja organizacije.

(c)

Zapisi se pohranjuju na način kojim se osigurava njihova zaštita od oštećenja, mijenjanja i krađe.

(d)

Organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a održava registar opreme za pružanje usluga ATM-a/ANS-a koja je u upotrebi.

(a)

Podnositelj zahtjeva za odobrenje projektne ili proizvodne organizacije za opremu za pružanje usluga ATM-a/ANS-a i nositelj odobrenja projektne ili proizvodne organizacije za opremu za pružanje usluga ATM-a/ANS-a imaju pravo, ovisno o slučaju, na bilo što od sljedećeg:

(b)

U pogledu aktivnosti projektiranja, organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a:

(c)

U pogledu aktivnosti proizvodnje, organizacija uključena u projektiranje ili proizvodnju opreme za pružanje usluga ATM-a/ANS-a:

(d)

Uz podtočku (c), organizacija uključena u proizvodnju opreme za pružanje usluga ATM-a/ANS-a ima pravo, u okviru svojih uvjeta odobrenja, utvrditi da je svaka dovršena oprema za pružanje usluga ATM-a/ANS-a u skladu s primjenjivim projektnim podacima i da je u stanju za siguran rad prije izdavanja EASA-ina obrasca o otpuštanju u uporabu u kojem se navodi da je oprema za pružanje usluga ATM-a/ANS-a proizvedena u skladu s primjenjivim zahtjevima ove Uredbe i primjenjivim projektnim podacima.

(e)

EASA-in obrazac o otpuštanju u uporabu iz podtočke (d) za svaki primjerak proizvedene opreme za pružanje usluga ATM-a/ANS-a sadržava barem sljedeće informacije:

(a)

zadovoljavajuću koordinaciju, uz odgovarajuće dogovore, između aktivnosti projektiranja i proizvodnje, prema potrebi;

(b)

zadovoljavajuću koordinaciju i odgovarajuću potporu relevantnim pružateljima ATM-a/ANS-a i zrakoplovnim poduzećima u pogledu kontinuirane prikladnosti opreme za pružanje usluga ATM-a/ANS-a, prema potrebi.

(a)

predlaže odgovarajuće korektivne mjere i podnosi ih, zajedno s pripadajućim detaljima, Agenciji na odobrenje;

(b)

nakon što Agencija odobri prijedlog iz podtočke (a), svim poznatim korisnicima i vlasnicima opreme za pružanje usluga ATM-a/ANS-a stavlja na raspolaganje odgovarajuće opisne podatke i upute za izvedbu, a na zahtjev i svakoj osobi koja mora poštovati nalog o opremi za pružanje usluga ATM-a/ANS-a.