1.

„információbiztonság”: a hálózati és információs rendszerek bizalmas jellegének, integritásának, hitelességének és rendelkezésre állásának megőrzése;

2.

„információbiztonsági esemény”: egy rendszer-, szolgáltatás- vagy hálózati állapot olyan azonosított előfordulása, amely az információbiztonsági szabályok esetleges megsértésére vagy az információbiztonsági ellenőrzések hibájára utal, vagy olyan, korábban ismeretlen helyzet, amely az információbiztonság szempontjából releváns lehet;

3.

„biztonsági esemény”: minden olyan esemény, amely kedvezőtlen hatást gyakorol a hálózati és információs rendszerek biztonságára az (EU) 2016/1148 irányelv 4. cikkének 7. pontjában meghatározottak szerint;

4.

„információbiztonsági kockázat”: valamely szervezet polgári légiközlekedési műveleteit, vagyoni eszközeit, magánszemélyeket és más szervezeteket érintő, egy esetleges információbiztonsági eseményből eredő kockázat. Az információbiztonsági kockázatok azzal a veszéllyel járnak, hogy a fenyegetések kihasználhatják egy információs eszköz vagy információseszköz-csoport sebezhetőségét;

5.

„fenyegetés”: az információbiztonság olyan lehetséges megsértése, amely akkor áll fenn, ha egy szervezet, körülmény, cselekmény vagy esemény kárt okozhat;

6.

„sebezhetőség”: egy eszköz, rendszer, eljárás, tervezés, végrehajtás vagy információbiztonsági intézkedés olyan hiányossága vagy gyengesége, amely kihasználható, és amely az információbiztonsági szabályok megsértését eredményezi.

1.

A tartalomjegyzék a következőképpen módosul:

2.

A szöveg a 21.A.139. pont után a következő 21.A.139A. ponttal egészül ki:

A 21.A.139. pontban előírt gyártásirányítási rendszeren kívül a gyártó szervezet az (EU) 2022/1645 felhatalmazáson alapuló bizottsági rendeletnek (*1) megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.

(*1)  A Bizottság (EU) 2022/1645 felhatalmazáson alapuló rendelete (2022. július 14.) az (EU) 2018/1139 európai parlamenti és tanácsi rendeletnek a 748/2012/EU és a 139/2014/EU bizottsági rendelet hatálya alá tartozó szervezetekre vonatkozó, a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági kockázatok kezelésével kapcsolatos követelmények tekintetében történő alkalmazására irányadó szabályok megállapításáról, valamint a 748/2012/EU és a 139/2014/EU bizottsági rendelet módosításáról (HL L 248., 2022.9.26., 18 o.).”"

3.

A szöveg a 21.A.239. pont után a következő 21.A.239A. ponttal egészül ki:

A 21.A.239. pontban előírt tervezésirányítási rendszeren kívül a tervező szervezet az (EU) 2022/1645 felhatalmazáson alapuló rendeletnek megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”

1.

A szöveg az ADR.OR.D.005. pont után a következő ADR.OR.D.005A. ponttal egészül ki:

A repülőtér-üzemeltető az (EU) 2022/1645 felhatalmazáson alapuló bizottsági rendeletnek (*2) megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.

(*2)  A Bizottság (EU) 2022/1645 felhatalmazáson alapuló rendelete (2022. július 14.) az (EU) 2018/1139 európai parlamenti és tanácsi rendeletnek a 748/2012/EU és a 139/2014/EU bizottsági rendelet hatálya alá tartozó szervezetekre vonatkozó, a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági kockázatok kezelésével kapcsolatos követelmények tekintetében történő alkalmazására irányadó szabályok megállapításáról, valamint a 748/2012/EU és a 139/2014/EU bizottsági rendelet módosításáról (HL L 248., 2022.9.26., 18 o.).”"

2.

Az ADR.OR.D.007. pont helyébe a következő szöveg lép:

3.

A szöveg az ADR.OR.F.045. pont után a következő ADR.OR.F.045A. ponttal egészül ki:

Az előtér-irányítói szolgálat az (EU) 2022/1645 felhatalmazáson alapuló rendeletnek megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”

IS.D.OR.100.

IS.D.OR.200.

IS.D.OR.205.

IS.D.OR.210.

IS.D.OR.215.

IS.D.OR.220.

IS.D.OR.225.

IS.D.OR.230.

IS.D.OR.235.

IS.D.OR.240.

IS.D.OR.245.

IS.D.OR.250.

IS.D.OR.255.

IS.D.OR.260.

a)

Az 1. cikkben meghatározott célkitűzések megvalósítása érdekében a szervezet információbiztonsági irányítási rendszert (a továbbiakban: ISMS) hoz létre, alkalmaz és tart fenn, amely biztosítja, hogy a szervezet:

b)

Az 1. cikkben említett követelmények folyamatos teljesítése érdekében a szervezet az IS.D.OR.260. pontnak megfelelően folyamatos fejlesztést végez.

c)

A szervezet az IS.D.OR.250. pontnak megfelelően dokumentálja az IS.D.OR.200. a) pontnak való megfeleléshez szükséges valamennyi kulcsfontosságú folyamatot, eljárást, szerepet és felelősségi kört, és kialakítja a dokumentáció módosításának folyamatát. Az említett folyamatokat, eljárásokat, szerepeket és felelősségi köröket érintő változásokat az IS.D.OR.255. pontnak megfelelően kell kezelni.

d)

A szervezet által az IS.D.OR.200. a) pontnak való megfelelés érdekében megállapított folyamatoknak, eljárásoknak, szerepeknek és felelősségi köröknek összhangban kell lenniük a szervezet tevékenységeinek jellegével és összetettségével az e tevékenységekkel járó információbiztonsági kockázatok értékelése alapján, és azok integrálhatók a szervezet által már bevezetett egyéb meglévő irányítási rendszerekbe.

e)

A 376/2014/EU európai parlamenti és tanácsi rendeletben (1) foglalt jelentéstételi követelményeknek és az IS.D.OR.200. a) 13. pontban foglalt követelményeknek való megfelelésre vonatkozó kötelezettség sérelme nélkül az illetékes hatóság jóváhagyhatja, hogy a szervezet ne hajtsa végre az a)–d) pontban említett követelményeket, valamint az IS.D.OR.205–IS.D.OR.260. pontban említett kapcsolódó követelményeket, amennyiben a szervezet a szóban forgó hatóság számára kielégítően bizonyítja, hogy tevékenységei, létesítményei és erőforrásai, valamint az általa működtetett, nyújtott, kapott és fenntartott szolgáltatások sem az adott szervezet, sem más szervezetek tekintetében nem jelentenek a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági kockázatot. A jóváhagyásnak a szervezet vagy egy harmadik fél által az IS.D.OR.205. pontnak megfelelően elvégzett és dokumentált, valamint a releváns illetékes hatóság által felülvizsgált és jóváhagyott információbiztonsági kockázatértékelésen kell alapulnia.

A jóváhagyás folyamatos érvényességét az illetékes hatóság az alkalmazandó felügyeleti ellenőrzési ciklust követően, valamint minden olyan esetben felülvizsgálja, amikor a szervezet tevékenységi körében változtatásokat hajtanak végre.

a)

A szervezet azonosítja minden olyan elemét, amely ki lehet téve információbiztonsági kockázatoknak. Ez a következőket foglalja magában:

b)

A szervezet azonosítja a közte és más szervezetek között meglévő azon kapcsolódási pontokat, amelyek információbiztonsági kockázatoknak való kölcsönös kitettséget eredményezhetnek.

c)

Az a) és b) pontban említett elemek és kapcsolódási pontok tekintetében a szervezet azonosítja a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági kockázatokat. A szervezet minden egyes azonosított kockázat tekintetében:

Az 1. pontban említett, előre meghatározott osztályozásnak figyelembe kell vennie a fenyegetettségi forgatókönyv megvalósulásának valószínűségét és biztonsági következményeinek súlyosságát. Ezen osztályozás alapján és figyelembe véve, hogy a műveletek tekintetében a szervezet rendelkezik-e strukturált és megismételhető kockázatkezelési eljárással, a szervezetnek képesnek kell lennie annak megállapítására, hogy a kockázat elfogadható-e, vagy az az IS.D.OR.210. pontnak megfelelően kezelendő.

A kockázatértékelések kölcsönös összehasonlíthatóságának megkönnyítése érdekében a kockázati szint 1. pont szerinti megállapítása során figyelembe kell venni a b) pontban említett szervezetekkel együttműködésben szerzett releváns információkat.

d)

A szervezet az alábbi helyzetek bármelyikének fennállása esetén felülvizsgálja és aktualizálja az a), b) és c) pontnak megfelelően elvégzett kockázatértékelést:

a)

A szervezet intézkedéseket dolgoz ki az IS.D.OR.205. ponttal összhangban azonosított elfogadhatatlan kockázatok kezelésére, azokat időben végrehajtja, és ellenőrzi folyamatos hatékonyságukat. A szóban forgó intézkedéseknek lehetővé kell tenniük a szervezet számára, hogy:

Ezek az intézkedések nem jelenthetnek potenciális új elfogadhatatlan kockázatot a repülésbiztonságra nézve.

b)

Az IS.D.OR.240. a) és b) pontban említett személyt és a szervezet egyéb érintett személyzetét tájékoztatni kell az IS.D.OR.205. pont szerint elvégzett kockázatértékelés eredményéről, a megfelelő fenyegetettségi forgatókönyvekről és a végrehajtandó intézkedésekről.

A szervezet emellett tájékoztatja azokat a szervezeteket, amelyekkel az IS.D.OR.205. b) pontnak megfelelően kapcsolódási ponttal rendelkezik, a mindkét szervezetet érintő kockázatokról.

a)

A szervezet belső jelentéstételi rendszert hoz létre az információbiztonsági események – köztük az IS.D.OR.230. pont szerint bejelentendő események – összegyűjtésének és értékelésének lehetővé tétele érdekében.

b)

A szóban forgó rendszernek és az IS.D.OR.220. pontban említett eljárásnak lehetővé kell tennie a szervezet számára, hogy:

c)

Minden olyan, szerződés keretében megbízott szervezetnek, amely a szervezetet a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági kockázatnak teheti ki, be kell jelentenie a szervezetnek az információbiztonsági eseményeket. A szóban forgó jelentéseket az egyedi szerződéses megállapodásokban meghatározott eljárások szerint kell benyújtani és a b) ponttal összhangban kell értékelni.

d)

A szervezet együttműködik a vizsgálatokban minden más olyan szervezettel, amely jelentős mértékben hozzájárul saját tevékenységeinek információbiztonságához.

e)

A szervezet integrálhatja ezt a jelentéstételi rendszert más, már alkalmazott jelentéstételi rendszerekbe.

a)

Az IS.D.OR.205. pont szerint elvégzett kockázatértékelés és az IS.D.OR.210. szerint elvégzett kockázatkezelés eredménye alapján a szervezet intézkedéseket tesz az olyan események és sebezhetőségek észlelésére, amelyek elfogadhatatlan kockázatok lehetséges bekövetkezését jelzik, és amelyek potenciálisan hatással lehetnek a repülésbiztonságra. A szóban forgó észlelési intézkedéseknek lehetővé kell tenniük a szervezet számára, hogy:

b)

A szervezet intézkedéseket tesz annak érdekében, hogy valamely esemény kapcsán reagáljon az a) pontnak megfelelően azonosított bármely olyan körülményre, amelynek teljesülése esetén információbiztonsági incidens következhet vagy következett be. A szóban forgó válaszintézkedéseknek lehetővé kell tenniük a szervezet számára, hogy:

c)

A szervezet végrehajtja az információbiztonsági incidensek utáni helyreállítást célzó intézkedéseket, beleértve szükség esetén a vészhelyzeti intézkedéseket is. A szóban forgó helyreállítási intézkedéseknek lehetővé kell tenniük a szervezet számára, hogy:

a)

Az illetékes hatóság által benyújtott, a megállapításokról szóló értesítés kézhezvételét követően a szervezet:

b)

Az a) pontban említett intézkedéseket az illetékes hatósággal egyeztetett határidőn belül kell végrehajtani.

a)

A szervezet olyan információbiztonsági jelentéstételi rendszert működtet, amely megfelel a 376/2014/EU rendeletben, valamint az ahhoz kapcsolódó felhatalmazáson alapuló és végrehajtási jogi aktusokban meghatározott követelményeknek, amennyiben a szóban forgó rendelet alkalmazandó a szervezetre.

b)

A 376/2014/EU rendeletben foglalt kötelezettségek sérelme nélkül a szervezet biztosítja, hogy az illetékes hatóság bejelentést kapjon minden olyan információbiztonsági incidensről vagy sebezhetőségről, amely jelentős kockázatot jelenthet a repülésbiztonságra. Továbbá:

c)

A szervezet az alábbiak szerint jelenti a b) pontban említett körülményeket:

a)

A szervezet biztosítja, hogy az IS.D.OR.200. pontban említett tevékenységek bármely részére vonatkozó, más szervezetekkel létrehozott szerződések megkötésekor a kiszervezett tevékenységek megfeleljenek e rendelet követelményeinek, és a megbízott szervezet a megbízó szervezet felügyelete alatt működjön. A szervezet biztosítja a kiszervezett tevékenységekkel kapcsolatos kockázatok megfelelő kezelését.

b)

A szervezet biztosítja, hogy az illetékes hatóság kérésre felvehesse a kapcsolatot a megbízott szervezettel az e rendeletben meghatározott alkalmazandó követelményeknek való folyamatos megfelelés ellenőrzése céljából.

a)

Az e rendelet 2. cikke (1) bekezdésének a) és b) pontjában említett szervezet felelős vezetője, illetve tervező szervezetek esetében a tervező szervezet vezetője, aki a 748/2012/EU rendelettel és az 139/2014/EU rendelettel összhangban kerül kijelölésre, vállalati felhatalmazással rendelkezik annak biztosítására, hogy az e rendeletben előírt valamennyi tevékenység finanszírozható és elvégezhető legyen. A szóban forgó személy:

b)

A felelős vezető, illetve tervező szervezetek esetében a tervező szervezet vezetője kijelöl egy vagy több személyt annak biztosítására, hogy a szervezet megfeleljen e rendelet követelményeinek, és meghatározza az érintett(ek) hatáskörét. E személy(ek) közvetlenül a felelős vezetőnek, illetve tervező szervezetek esetében a tervező szervezet vezetőjének számol(nak) be, és rendelkezik/rendelkeznek a feladatai(k) ellátásához szükséges megfelelő ismeretekkel, háttérrel és tapasztalattal. Az eljárásokban meg kell határozni, hogy az adott személyek hosszabb távolléte esetén ki helyettesíti őket.

c)

A felelős vezető, illetve tervező szervezetek esetében a tervező szervezet vezetője kijelöl egy vagy több személyt, aki(k) az IS.D.OR.200. a) 12. pontban említett megfelelőség-ellenőrzés irányításáért felel(nek).

d)

Amennyiben a szervezet információbiztonsági szervezeti struktúrákat, szabályokat, folyamatokat és eljárásokat oszt meg más szervezetekkel vagy saját szervezete olyan területeivel, amelyekre nem terjed ki a jóváhagyás vagy a nyilatkozat, a felelős vezető, illetve tervező szervezetek esetében a tervező szervezet vezetője átruházhatja tevékenységét egy közös felelős személyre.

Ebben az esetben az információbiztonság-irányítás szervezeten belüli megfelelő integrációjának biztosítása érdekében meg kell határozni a szervezet felelős vezetője, illetve tervező szervezetek esetében a tervező szervezet vezetője és a közös felelős személy közötti koordinálási intézkedéseket.

e)

A felelős vezető vagy a tervező szervezet vezetője vagy a d) pontban említett közös felelős személy vállalati felhatalmazással rendelkezik az IS.D.OR.200. pont végrehajtásához szükséges szervezeti struktúrák, szabályok, folyamatok és eljárások kialakítására és fenntartására.

f)

A szervezetnek rendelkeznie kell egy olyan eljárással, amely biztosítja, hogy elegendő személyzet álljon rendelkezésre az e melléklet hatálya alá tartozó tevékenységek elvégzéséhez.

g)

A szervezetnek rendelkeznie kell egy olyan eljárással, amely biztosítja, hogy az f) pontban említett személyzet rendelkezzen a feladatai ellátásához szükséges szakértelemmel.

h)

A szervezetnek rendelkeznie kell egy olyan eljárással, amely biztosítja, hogy a személyzet elismerje a kijelölt szerepekhez és feladatokhoz kapcsolódó felelősségi köröket.

i)

A szervezet biztosítja, hogy az információs rendszerekhez és az e rendelet követelményeinek hatálya alá tartozó adatokhoz hozzáféréssel rendelkező személyzet megfelelő és megbízható legyen.

a)

A szervezet nyilvántartást vezet információbiztonsági irányítási tevékenységeiről.

b)

A szervezet nyilvántartást vezet az információbiztonsági irányítási tevékenységekben részt vevő saját személyzetének képesítéséről és tapasztalatáról.

c)

A nyilvántartások formátumát a szervezet eljárásaiban kell meghatározni.

d)

A nyilvántartásokat oly módon kell tárolni, hogy biztosított legyen a sérüléssel, megváltoztatással és lopással szembeni védelmük, és az információk szükség esetén biztonsági besorolási szintjüknek megfelelően azonosíthatók legyenek. A szervezet gondoskodik róla, hogy a nyilvántartásokat olyan eszközökkel tárolják, amelyek biztosítják azok integritását és hitelességét, valamint az azokhoz való engedélyezett hozzáférést.

a)

A szervezet az illetékes hatóság rendelkezésére bocsát egy információbiztonsági irányítási kézikönyvet (a továbbiakban: ISMM) – és adott esetben bármely hivatkozott kapcsolódó kézikönyvet és eljárást –, amely a következőket tartalmazza:

b)

Az ISMM első kiadását az illetékes hatóságnak jóvá kell hagynia, és annak egy példányát meg kell őriznie. Az ISMM-et szükség szerint módosítani kell annak érdekében, hogy a szervezet ISMS-ének naprakész leírása maradjon. Az ISMM módosításainak másolatát az illetékes hatóság rendelkezésére kell bocsátani.

c)

Az ISMM módosításait a szervezet által megállapított eljárás szerint kell kezelni. Az ezen eljárás hatálya alá nem tartozó módosításokat és az IS.D.OR.255. b) pontban említett változásokhoz kapcsolódó módosításokat az illetékes hatóságnak jóvá kell hagynia.

d)

A szervezet integrálhatja az ISMM-et a birtokában lévő egyéb irányítási szabályzatokkal vagy kézikönyvekkel, feltéve, hogy egyértelmű kereszthivatkozás áll rendelkezésre, amely jelzi, hogy az irányítási szabályzat vagy kézikönyv mely részei felelnek meg az e mellékletben foglalt különböző követelményeknek.

a)

Az ISMS változásait a szervezet által kidolgozott eljárás keretében lehet kezelni és bejelenteni az illetékes hatóságnak. A szóban forgó eljárást az illetékes hatóság hagyja jóvá.

b)

Az ISMS-t érintő, az a) pontban említett eljárás hatálya alá nem tartozó változások tekintetében a szervezetnek kérelmeznie kell és meg kell szereznie az illetékes hatóság jóváhagyását.

E változások tekintetében:

a)

A szervezet megfelelő teljesítménymutatók alkalmazásával értékeli az ISMS hatékonyságát és érettségét. Ezt az értékelést a szervezet által előre meghatározott naptári ütemezés szerint vagy egy információbiztonsági incidenst követően kell elvégezni.

b)

Amennyiben az a) pontnak megfelelően elvégzett értékelést követően hiányosságokat tárnak fel, a szervezet meghozza a szükséges javító intézkedéseket annak biztosítása érdekében, hogy az ISMS továbbra is megfeleljen az alkalmazandó követelményeknek, és elfogadható szinten tartsa az információbiztonsági kockázatokat. A szervezet továbbá újraértékeli az ISMS-nek az elfogadott intézkedések által érintett elemeit.