1.

olyan információbiztonsági szabályokat hozzon létre, amelyek meghatározzák az illetékes hatóság általános elveit az információbiztonsági kockázatok repülésbiztonságra gyakorolt lehetséges hatásaival kapcsolatban;

2.

az IS.AR.205. pontnak megfelelően azonosítsa és felülvizsgálja az információbiztonsági kockázatokat;

3.

az IS.AR.210. pontnak megfelelően információbiztonsági kockázatkezelési intézkedéseket határozzon meg és hajtson végre;

4.

az IS.AR.215. pontnak megfelelően meghatározza és végrehajtsa az információbiztonsági események észleléséhez szükséges intézkedéseket, azonosítsa közülük azokat, amelyek potenciálisan hatással lehetnek a repülésbiztonságra, továbbá reagáljon és megoldást találjon rájuk;

5.

az IS.AR.200. pontban leírt tevékenységek bármely részére vonatkozó, más szervezetekkel létrehozott szerződések megkötésekor megfeleljen az IS.AR.220. pontban foglalt követelményeknek;

6.

megfeleljen az IS.AR.225. pontban foglalt személyzeti követelményeknek;

7.

megfeleljen az IS.AR.230. pontban foglalt nyilvántartási követelményeknek;

8.

ellenőrizze, hogy saját szervezete megfelel-e e rendelet követelményeinek, és a korrekciós intézkedések hatékony végrehajtásának biztosítása érdekében visszajelzést adjon a megállapításokról az IS.AR.225. a) pontban említett személynek;

9.

megvédje az illetékes hatóság által a felügyelete alatt álló szervezetekkel esetleg megosztott információknak, valamint a szervezet által az e rendelet II. mellékletének (IS.I.OR rész) IS.I.OR.230. pontja és az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.230. pontja szerint létrehozott külső jelentéstételi rendszeren keresztül kapott információknak a bizalmas jellegét;

10.

értesítse az Ügynökséget az illetékes hatóság e rendelet szerinti feladatainak végrehajtásával és kötelezettségeinek teljesítésével kapcsolatos képességeit érintő változásokról;

11.

kialakítson és alkalmazzon olyan eljárásokat, amelyek révén szükség szerint, praktikus módon és kellő időben meg tudja osztani a többi illetékes hatósággal és ügynökséggel, valamint az e rendelet hatálya alá tartozó szervezetekkel a releváns információkat, ezzel segítve őket abban, hogy hatékony biztonsági kockázatértékeléseket végezhessenek tevékenységeikhez kapcsolódóan.

1.

az illetékes hatóság tevékenységei, létesítményei és erőforrásai, valamint az illetékes hatóság által működtetett, nyújtott, kapott vagy fenntartott szolgáltatások;

2.

az 1. pontban említett elemek működéséhez hozzájáruló berendezések, rendszerek, adatok és információk.

1.

kockázati szintet állapít meg az illetékes hatóság által előre meghatározott osztályozásnak megfelelően;

2.

az egyes kockázatokat és azok szintjét társítja az a) és b) pontnak megfelelően azonosított megfelelő elemhez vagy kapcsolódási ponthoz.

1.

változás következik be az információbiztonsági kockázatoknak kitett elemek tekintetében;

2.

változás következik be az illetékes hatóság szervezete és más szervezetek közötti kapcsolódási pontok vagy a többi szervezet által közölt kockázatok tekintetében;

3.

változás következik be a kockázatok azonosításához, elemzéséhez és osztályozásához használt információk vagy ismeretek tekintetében;

4.

tanulságok kerültek levonásra az információbiztonsági incidensek elemzéséből.

1.

ellenőrizze a fenyegetettségi forgatókönyv tényleges megvalósulásához hozzájáruló körülményeket;

2.

a fenyegetettségi forgatókönyv megvalósulása esetén csökkentse a repülésbiztonsági következmények súlyosságát;

3.

elkerülje a kockázatokat.

1.

azonosítsa az előre meghatározott funkcionális teljesítmény-alapértékektől való eltéréseket;

2.

bármilyen eltérés esetén figyelmeztetéseket adjon a megfelelő válaszintézkedések aktiválása érdekében.

1.

előre meghatározott erőforrások és intézkedések aktiválásával kezdeményezze a saját szervezete az a) pont 2. alpontjában említett figyelmeztetésekre való reagálását;

2.

megfékezze a támadás terjedését és elkerülje a fenyegetettségi forgatókönyv teljes körű megvalósulását;

3.

ellenőrizze az IS.AR.205. a) pontban meghatározott érintett elemek meghibásodásának típusát.

1.

megszüntesse vagy elfogadható szintre korlátozza az eseményt okozó körülményt;

2.

a saját szervezete által előzetesen meghatározott helyreállási időn belül visszaállítsa az IS.AR.205. a) pontban meghatározott érintett elemek biztonságos állapotát.

1.

felhatalmazással rendelkezik arra, hogy maradéktalanul hozzáférjen az e rendelet szerinti összes feladat ellátásához az illetékes hatóság számára szükséges forrásokhoz;

2.

rendelkezik a kijelölt feladatok ellátásához szükséges felhatalmazással;

1.

Az illetékes hatóság biztosítja a következő nyilvántartások archiválását és nyomonkövethetőségét:

2.

Az 1. pont i. alpontjában említett nyilvántartásokat a szerződés módosítását vagy megszüntetését követően legalább öt évig meg kell őrizni.

3.

Az 1. pont ii. és iii. alpontjában említett nyilvántartásokat legalább 5 évig meg kell őrizni.

4.

Az 1. pont iv. alpontjában említett nyilvántartásokat mindaddig meg kell őrizni, amíg ezeket az információbiztonsági eseményeket az illetékes hatóság által megállapított eljárásban meghatározott rendszerességgel újraértékelik.

1.

A személyzet képesítéséről és tapasztalatáról vezetett nyilvántartást mindaddig meg kell őrizni, amíg az adott személy az illetékes hatóságnál dolgozik, és legalább három évig azt követően, hogy az adott személy elhagyta az illetékes hatóságot.

2.

A személyzet tagjai számára – kérésükre – hozzáférést kell biztosítani egyéni nyilvántartásaikhoz. Ezen túlmenően, amikor az említett személyek elhagyják az illetékes hatóságot, az illetékes hatóság az érintettek kérésére köteles átadni nekik a róluk vezetett egyéni nyilvántartás másolatát.

1.

olyan információbiztonsági szabályokat hozzon létre, amelyek meghatározzák a szervezet általános elveit az információbiztonsági kockázatok repülésbiztonságra gyakorolt lehetséges hatásaival kapcsolatban;

2.

az IS.I.OR.205. pontnak megfelelően azonosítsa és felülvizsgálja az információbiztonsági kockázatokat;

3.

az IS.I.OR.210. pontnak megfelelően információbiztonsági kockázatkezelési intézkedéseket határozzon meg és hajtson végre;

4.

az IS.I.OR.215. pontnak megfelelően információbiztonsági belső jelentéstételi rendszert alkalmazzon;

5.

az IS.I.OR.220. pontnak megfelelően meghatározza és végrehajtsa az információbiztonsági események észleléséhez szükséges intézkedéseket, azonosítsa közülük azokat, amelyek az IS.I.OR.205. e) pont által megengedettek kivételével potenciálisan hatással lehetnek a repülésbiztonságra, továbbá reagáljon és megoldást találjon rájuk;

6.

végrehajtsa az illetékes hatóság által a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre adott azonnali reagálásként bejelentett intézkedéseket;

7.

az IS.I.OR.225. pontnak megfelelően meghozza a megfelelő intézkedéseket az illetékes hatóság által közölt megállapítások kezelésére;

8.

az IS.I.OR.230. pontnak megfelelően külső jelentéstételi rendszert alkalmazzon annak érdekében, hogy az illetékes hatóság meghozhassa a megfelelő intézkedéseket;

9.

az IS.I.OR.200. pontban említett tevékenységek bármely részére vonatkozó, más szervezetekkel létrehozott szerződések megkötésekor megfeleljen az IS.I.OR.235. pontban foglalt követelményeknek;

10.

megfeleljen az IS.I.OR.240. pontban meghatározott személyzeti követelményeknek;

11.

megfeleljen az IS.I.OR.245. pontban meghatározott nyilvántartási követelményeknek;

12.

ellenőrizze, hogy a szervezete megfelel-e e rendelet követelményeinek, és a korrekciós intézkedések hatékony végrehajtásának biztosítása érdekében visszajelzést adjon a megállapításokról a felelős vezetőnek;

13.

a biztonsági események jelentésére vonatkozó alkalmazandó követelmények sérelme nélkül védje a szervezet más szervezetektől kapott információinak bizalmas jellegét, az adott információk érzékenységi szintjének megfelelően.

1.

a szervezet tevékenységei, létesítményei és erőforrásai, valamint a szervezet által működtetett, nyújtott, kapott vagy fenntartott szolgáltatások;

2.

az 1. pontban felsorolt elemek működéséhez hozzájáruló berendezések, rendszerek, adatok és információk.

1.

kockázati szintet állapít meg a szervezet által előre meghatározott osztályozásnak megfelelően;

2.

az egyes kockázatokat és azok szintjét társítja az a) és b) pontnak megfelelően azonosított megfelelő elemhez vagy kapcsolódási ponthoz.

1.

változás következik be az információbiztonsági kockázatoknak kitett elemek tekintetében;

2.

változás következik be a szervezet és más szervezetek közötti kapcsolódási pontok vagy a többi szervezet által közölt kockázatok tekintetében;

3.

változás következik be a kockázatok azonosításához, elemzéséhez és osztályozásához használt információk vagy ismeretek tekintetében;

4.

tanulságok kerültek levonásra az információbiztonsági incidensek elemzéséből.

1.

ellenőrizze a fenyegetettségi forgatókönyv tényleges megvalósulásához hozzájáruló körülményeket;

2.

a fenyegetettségi forgatókönyv megvalósulása esetén csökkentse a repülésbiztonsági következmények súlyosságát;

3.

elkerülje a kockázatokat.

1.

megállapítsa, hogy az a) pont szerint bejelentett események közül melyek minősülnek a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági incidenseknek vagy sebezhetőségeknek;

2.

azonosítsa az 1. pontnak megfelelően megállapított információbiztonsági incidensek és sebezhetőségek okait és az azokhoz hozzájáruló tényezőket, és az IS.I.OR.205. és az IS.I.OR.220. pont szerinti információbiztonsági kockázatkezelési eljárás részeként kezelje azokat;

3.

biztosítsa az 1. pontnak megfelelően azonosított információbiztonsági incidensekkel és sebezhetőségekkel kapcsolatos valamennyi ismert és releváns információ értékelését;

4.

szükség esetén biztosítsa az információk belső terjesztésére szolgáló módszer alkalmazását.

1.

azonosítsa az előre meghatározott funkcionális teljesítmény-alapértékektől való eltéréseket;

2.

bármilyen eltérés esetén figyelmeztetéseket adjon a megfelelő válaszintézkedések aktiválása érdekében.

1.

előre meghatározott erőforrások és intézkedések aktiválásával kezdeményezze az a) pont 2. alpontjában említett figyelmeztetésekre való reagálást;

2.

megfékezze a támadás terjedését és elkerülje a fenyegetettségi forgatókönyv teljes körű megvalósulását;

3.

ellenőrizze az IS.I.OR.205. a) pontban meghatározott érintett elemek meghibásodásának típusát.

1.

megszüntesse vagy elfogadható szintre korlátozza az eseményt okozó körülményt;

2.

a szervezet által előzetesen meghatározott helyreállási időn belül biztonságos állapotba hozza az IS.I.OR.205. a) pontban meghatározott érintett elemeket.

1.

meghatározza a meg nem felelés kiváltó okát vagy okait, illetve az azt előidéző tényezőket;

2.

korrekciós intézkedési tervet dolgoz ki;

3.

az illetékes hatóság számára kielégítő módon igazolja a meg nem felelés orvoslását.

1.

amennyiben egy ilyen incidens vagy sebezhetőség valamely légi járművet vagy kapcsolódó rendszert vagy komponenst érinti, a szervezet azt a tervjóváhagyás jogosultjának is jelenti;

2.

amennyiben egy ilyen incidens vagy sebezhetőség a szervezet által használt rendszert vagy rendszerelemet érinti, a szervezet jelenti azt a rendszer vagy rendszerelem tervezéséért felelős szervezetnek.

1.

amint a szervezet tudomást szerez a körülményről, értesítést nyújt be az illetékes hatóságnak és adott esetben a tervjóváhagyás jogosultjának, illetve a rendszer vagy rendszerelem tervezéséért felelős szervezetnek;

2.

a lehető leghamarabb, de legfeljebb 72 órával azt követően, hogy a szervezet tudomást szerez a körülményről, jelentést nyújt be az illetékes hatóságnak és adott esetben a tervjóváhagyás jogosultjának, illetve a rendszer vagy rendszerelem tervezéséért felelős szervezetnek, kivéve, ha ezt rendkívüli körülmények megakadályozzák.

A jelentést az illetékes hatóság által meghatározott formában kell elkészíteni, és annak tartalmaznia kell a körülményre vonatkozóan a szervezet birtokában lévő valamennyi lényeges információt;

3.

nyomonkövetési jelentést nyújt be az illetékes hatóságnak és adott esetben a tervjóváhagyás jogosultjának, illetve a rendszer vagy rendszerelem tervezéséért felelős szervezetnek, amelyben részletesen ismerteti azokat az intézkedéseket, amelyeket a szervezet az incidens utáni helyreállítás érdekében tett vagy szándékozik tenni, valamint a hasonló információbiztonsági incidensek jövőbeli megelőzése érdekében tervezett intézkedéseket.

A nyomonkövetési jelentést az intézkedések meghatározását követően azonnal be kell nyújtani, és az illetékes hatóság által meghatározott formában kell elkészíteni.

1.

biztosítja, hogy minden szükséges erőforrás rendelkezésre álljon az e rendelet követelményeinek való megfeleléshez;

2.

kidolgozza és előmozdítja az IS.I.OR.200. a) 1. pontban említett információbiztonsági szabályokat;

3.

igazolja, hogy e rendeletet illetően rendelkezik az alapvető ismeretekkel.

1.

A szervezet biztosítja a következő nyilvántartások archiválását és nyomonkövethetőségét:

2.

Az 1. pont i. alpontjában említett nyilvántartásokat a jóváhagyás érvényességének megszűnését követően legalább öt évig meg kell őrizni.

3.

Az 1. pont ii. alpontjában említett nyilvántartásokat a szerződés módosítását vagy megszüntetését követően legalább öt évig meg kell őrizni.

4.

Az 1. pont iii., iv. és v. alpontjában említett nyilvántartásokat legalább öt évig meg kell őrizni.

5.

Az 1. pont vi. alpontjában említett nyilvántartásokat mindaddig meg kell őrizni, amíg ezeket az információbiztonsági eseményeket a szervezet által megállapított eljárásban meghatározott rendszerességgel újraértékelik.

1.

A személyzet képesítéséről és tapasztalatáról vezetett nyilvántartást mindaddig meg kell őrizni, amíg az adott személy a szervezetnél dolgozik, és legalább három évig azt követően, hogy az adott személy elhagyta a szervezetet.

2.

A személyzet tagjai számára – kérésükre – hozzáférést kell biztosítani egyéni nyilvántartásaikhoz. Ezen túlmenően, amikor az említett személyek elhagyják a szervezetet, a szervezet az érintettek kérésére köteles átadni nekik a róluk vezetett egyéni nyilvántartás másolatát.

1.

a felelős vezető által aláírt nyilatkozat, amely megerősíti, hogy a szervezet mindenkor e mellékletnek és az ISMM-nek megfelelően fog működni. Amennyiben a felelős vezető nem a szervezet vezérigazgatója, akkor az ilyen nyilatkozatot a vezérigazgatónak ellen kell jegyeznie;

2.

az IS.I.OR.240. b) és c) pontban meghatározott személy vagy személyek beosztása, neve, feladatai, elszámoltathatósága, felelősségi köre és hatásköre;

3.

adott esetben az IS.I.OR.240. d) pontban meghatározott közös felelős személy beosztása, neve, feladatai, elszámoltathatósága, felelősségi köre és hatásköre;

4.

a szervezet IS.I.OR.200. a) 1. pontban említett információbiztonsági szabályai;

5.

az IS.I.OR.240. pontban előírt személyzet létszámának és kategóriáinak, valamint a személyzeti rendelkezésre állás tervezésére szolgáló rendszernek az általános leírása;

6.

az IS.I.OR.200. pont végrehajtásáért felelős kulcsfontosságú személyek, köztük az IS.I.OR.200. a) 12. pontban említett megfelelés-ellenőrzésért felelős személy vagy személyek beosztása, neve, feladatai, elszámoltathatósága, felelősségi köre és hatásköre;

7.

szervezeti ábra, amely bemutatja a kapcsolódó elszámoltathatósági és felelősségi láncokat a 2. és 6. pontban említett személyek tekintetében;

8.

az IS.I.OR.215. pontban említett belső jelentéstételi rendszer leírása;

9.

azok az eljárások, amelyek meghatározzák, hogy a szervezet hogyan biztosítja az e résznek való megfelelést, és különösen a következők:

10.

a jelenleg jóváhagyott alternatív megfelelési módozatok részletei.

1.

a kérelmet még a változtatás végrehajtása előtt be kell nyújtani, hogy az illetékes hatóság megállapíthassa, hogy a szervezet továbbra is megfelel-e ennek a rendeletnek, és szükség esetén módosíthassa a szervezet bizonyítványát és a hozzá csatolt jóváhagyási feltételeket;

2.

a szervezet az illetékes hatóság rendelkezésére bocsát minden olyan információt, amelyet az a változás értékeléséhez kér;

3.

a változtatás csak az illetékes hatóság hivatalos jóváhagyásának kézhezvételét követően hajtható végre;

4.

a szervezetnek az ilyen változtatások végrehajtása során az illetékes hatóság által előírt feltételek szerint kell működnie.

a)

az ARA.GEN.125. pont a következő c) alponttal egészül ki:

b)

a szöveg az ARA.GEN.135. pont után a következő ARA.GEN.135A. ponttal egészül ki:

„ ARA.GEN.135A. Azonnali reagálás a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre

c)

az ARA.GEN.200. pont a következő e) alponttal egészül ki:

d)

az ARA.GEN.205. pont a következőképpen módosul:

e)

az ARA.GEN.300. pont a következő g) alponttal egészül ki:

f)

a szöveg az ARA.GEN.330. pont után a következő ARA.GEN.330A. ponttal egészül ki:

„ ARA.GEN.330A. Az információbiztonsági irányítási rendszer változásai

a)

a szöveg a 21.B.20. cím után a következő címmel egészül ki:

„21.B.20A. Azonnali reagálás a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre”;

b)

a 21.B.30. pont címének helyébe a következő szöveg lép:

„21.B.30. Feladatok átruházása”;

c)

a szöveg a 21.B.240. cím után a következő címmel egészül ki:

„21.B.240A. Az információbiztonsági irányítási rendszer változásai”;

d)

a szöveg a 21.B.435. cím után a következő címmel egészül ki:

„21.B.435A. Az információbiztonsági irányítási rendszer változásai”;

„c)

Az illetékes tagállami hatóságnak a lehető leghamarabb közölnie kell az Ügynökséggel az általa kapott, az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.230. pontja szerinti információbiztonsági jelentésekben szereplő, a repülésbiztonság szempontjából jelentős információkat.”

a)

Az illetékes hatóság létrehoz egy rendszert a szervezetek által jelentett, a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági incidensekkel és sebezhetőségekkel kapcsolatos információk megfelelő szintű gyűjtésére, elemzésére és terjesztésére. Ezt az adott tagállam minden más érintett, információbiztonságért vagy kiberbiztonságért felelős hatóságával egyeztetve kell végrehajtani a jelentéstételi rendszerek közötti nagyobb összhang és összeegyeztethetőség érdekében.

b)

Az Ügynökségnek létre kell hoznia egy rendszert a 21.B.15. c) pont szerint kapott, a repülésbiztonság szempontjából lényeges információk megfelelő szintű elemzésére, és haladéktalanul tájékoztatnia kell mindenről – ideértve az ajánlásokat és a végrehajtandó kiigazító intézkedéseket – a tagállamokat és a Bizottságot annak érdekében, hogy azok időben megoldást találhassanak az (EU) 2018/1139 rendeletnek és annak felhatalmazáson alapuló és végrehajtási jogi aktusainak hatálya alá eső termékeket, alkatrészeket, fel nem szerelt berendezéseket, személyeket és szervezeteket érintő, a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági incidensre és sebezhetőségre.

c)

Az a) és b) pontban említett információk kézhezvétele után az illetékes hatóságnak meg kell tennie a szükséges intézkedéseket az információbiztonsági incidens vagy sebezhetőség repülésbiztonságra gyakorolt potenciális hatásának elhárítására.

d)

A c) pont szerinti intézkedésekről haladéktalanul értesíteni kell minden olyan személyt és szervezetet, akinek/amelynek az (EU) 2018/1139 rendeletnek és annak felhatalmazáson alapuló és végrehajtási jogi aktusainak értelmében teljesítenie kell ezeket az intézkedéseket. Az illetékes tagállami hatóságnak értesítenie kell az intézkedésekről az Ügynökséget is, valamint ha közös fellépésre van szükség, akkor a többi érintett tagállam illetékes hatóságát is.”

„e)

Az illetékes hatóság által létrehozott és fenntartott irányítási rendszernek az a) pontban foglalt követelményeken felül az (EU) 2023/203 végrehajtási rendelet I. mellékletében (IS.AR rész) foglalt rendelkezéseknek is meg kell felelnie a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”

a)

a cím helyébe a következő szöveg lép:

„21.B.30. Feladatok átruházása”;

b)

a szöveg a következő c) alponttal egészül ki:

„g)

A 21.A.139A. pont szervezet általi teljesítésének tanúsításával és felügyeletével összefüggésben az illetékes hatóság az a)–f) pont teljesítésén felül az e rendelet IS.I.OR.200. e) pontja vagy az (EU) 2022/1645 felhatalmazáson alapuló rendelet IS.D.OR.200. e) pontja alapján adott jóváhagyást is felülvizsgálja az alkalmazandó felügyeleti ellenőrzési ciklust követően, valamint minden olyan esetben, amikor a szervezet tevékenységi körében változtatásokat hajtanak végre.”

a)

Az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.255. a) pontja szerint kezelt és az illetékes hatóságnak bejelentett változtatások esetében az illetékes hatóságnak a 21.B.221. pontban meghatározott elvekkel összhangban ki kell terjesztenie a folyamatos felügyeletet a szóban forgó változtatások felülvizsgálatára. Amennyiben meg nem felelést állapít meg, az illetékes hatóság értesíti erről a szervezetet, további változtatásokat kér, és a 21.B.225. pont szerint jár el.

b)

Az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.255. b) pontja szerint jóváhagyás iránti kérelmet igénylő egyéb változtatások esetében:

„d)

A 21.A.239A. pont szervezet általi teljesítésének tanúsításával és felügyeletével összefüggésben az illetékes hatóságnak az a)–c) pont teljesítésén felül az alábbi elveknek kell megfelelnie:

a)

Az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.255. a) pontja szerint kezelt és az illetékes hatóságnak bejelentett változtatások esetében az illetékes hatóságnak a 21.B.431. pontban meghatározott elvekkel összhangban ki kell terjesztenie a folyamatos felügyeletet a szóban forgó változtatások felülvizsgálatára. Amennyiben meg nem felelést állapít meg, az illetékes hatóság értesíti erről a szervezetet, további változtatásokat kér, és a 21.B.433. pont szerint jár el.

b)

Az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.255. b) pontja szerint jóváhagyás iránti kérelmet igénylő egyéb változtatások esetében:

a)

az ARO.GEN.125. pont a következő c) alponttal egészül ki:

b)

a szöveg az ARO.GEN.135. pont után a következő ARO.GEN.135A. ponttal egészül ki:

„ARO.GEN.135A.    Azonnali reagálás a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre

c)

az ARO.GEN.200. pont a következő e) alponttal egészül ki:

d)

az ARO.GEN.205. pont a következőképpen módosul:

e)

az ARO.GEN.300. pont a következő g) alponttal egészül ki:

f)

az ARO.GEN.330. pont után a következő ARO.GEN.330A. ponttal egészül ki:

„ARO.GEN.330A.    Az információbiztonsági irányítási rendszer változásai

„c)

Az illetékes tagállami hatóságnak a lehető leghamarabb közölnie kell az Ügynökséggel az általa kapott, az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.230. pontja szerinti információbiztonsági jelentésekben szereplő, a repülésbiztonság szempontjából jelentős információkat.”

a)

Az illetékes hatóság létrehoz egy rendszert a szervezetek által jelentett, a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági incidensekkel és sebezhetőségekkel kapcsolatos információk megfelelő szintű gyűjtésére, elemzésére és terjesztésére. Ezt az adott tagállam minden más érintett, információbiztonságért vagy kiberbiztonságért felelős hatóságával egyeztetve kell végrehajtani a jelentéstételi rendszerek közötti nagyobb összhang és összeegyeztethetőség érdekében.

b)

Az Ügynökségnek létre kell hoznia egy rendszert az ADR.AR.A.025. c) pont szerint kapott, a repülésbiztonság szempontjából lényeges információk megfelelő szintű elemzésére, és haladéktalanul tájékoztatnia kell mindenről – ideértve az ajánlásokat és a végrehajtandó kiigazító intézkedéseket – a tagállamokat és a Bizottságot annak érdekében, hogy azok időben megoldást találhassanak az (EU) 2018/1139 rendeletnek és annak felhatalmazáson alapuló és végrehajtási jogi aktusainak hatálya alá eső termékeket, alkatrészeket, fel nem szerelt berendezéseket, személyeket és szervezeteket érintő, a repülésbiztonságra potenciálisan hatást gyakorló információbiztonsági incidensre és sebezhetőségre.

c)

Az a) és b) pontban említett információk kézhezvétele után az illetékes hatóságnak meg kell tennie a szükséges intézkedéseket az információbiztonsági incidens vagy sebezhetőség repülésbiztonságra potenciálisan hatásának elhárítására.

d)

A c) pont szerinti intézkedésekről haladéktalanul értesíteni kell minden olyan személyt és szervezetet, akinek/amelynek az (EU) 2018/1139 rendeletnek és annak felhatalmazáson alapuló és végrehajtási jogi aktusainak értelmében teljesítenie kell ezeket az intézkedéseket. Az illetékes tagállami hatóságnak értesítenie kell az intézkedésekről az Ügynökséget is, valamint ha közös fellépésre van szükség, akkor a többi érintett tagállam illetékes hatóságát is.”

„d)

Az illetékes hatóság által létrehozott és fenntartott irányítási rendszernek az a) pontban foglalt követelményeken felül az (EU) 2023/203 végrehajtási rendelet I. mellékletében (IS.AR rész) foglalt rendelkezéseknek is meg kell felelnie a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”

i.

a cím helyébe a következő szöveg lép:

„ ADR.AR.B.010. Feladatok átruházása ”;

ii.

a szöveg a következő c) alponttal egészül ki:

„f)

Az ADR.OR.D.005A. pont szervezet általi teljesítésének tanúsításával és felügyeletével összefüggésben az illetékes hatóság az a)–e) pont teljesítésén felül az e rendelet IS.I.OR.200. e) pontja vagy az (EU) 2022/1645 felhatalmazáson alapuló rendelet IS.D.OR.200. e) pontja alapján adott jóváhagyást is felülvizsgálja az alkalmazandó felügyeleti ellenőrzési ciklust követően, valamint minden olyan esetben, amikor a szervezet tevékenységi körében változtatásokat hajtanak végre.”

a)

Az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.255. a) pontja szerint kezelt és az illetékes hatóságnak bejelentett változtatások esetében az illetékes hatóságnak az ADR.AR.C.005. pontban meghatározott elvekkel összhangban ki kell terjesztenie a folyamatos felügyeletet a szóban forgó változtatások felülvizsgálatára. Amennyiben meg nem felelést állapít meg, az illetékes hatóság értesíti erről a szervezetet, további változtatásokat kér, és az ADR.AR.C.055. pont szerint jár el.

b)

Az (EU) 2022/1645 felhatalmazáson alapuló rendelet mellékletének (IS.D.OR rész) IS.D.OR.255. b) pontja szerint jóváhagyás iránti kérelmet igénylő egyéb változtatások esetében:

a)

a tartalomjegyzék a következőképpen módosul:

b)

a szöveg a 145.A.200. pont után a következő 145.A.200A. ponttal egészül ki:

„145.A.200A.    Információbiztonsági irányítási rendszer

A 145.A.200. pontban említett irányítási rendszeren kívül a karbantartó szervezet az (EU) 2023/203 végrehajtási rendeletnek megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”;

c)

a 145.B.125. pont a következő c) alponttal egészül ki:

d)

a szöveg a 145.B.135. pont után a következő 145.B.135A. ponttal egészül ki:

„145.B.135A.    Azonnali reagálás a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre

e)

a 145.B.200. pont a következő e) alponttal egészül ki:

f)

a 145.B.205. pont a következőképpen módosul:

g)

a 145.B.300 pont a következő g) alponttal egészül ki:

h)

a szöveg a 145.B.330. pont után a következő 145.B.330A. ponttal egészül ki:

„145.B.330A.    Az információbiztonsági irányítási rendszer változásai

a)

a tartalomjegyzék a 66.B.10. cím után a következő címmel egészül ki:

b)

a szöveg a 66.B.10. pont után a következő 66.B.15. ponttal egészül ki:

„66.B.15.    Információbiztonsági irányítási rendszer

Az illetékes hatóság az (EU) 2023/203 végrehajtási rendelet I. mellékletének (IS.AR. rész) megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”

a)

a tartalomjegyzék a következőképpen módosul:

b)

a szöveg a CAMO.A.200. pont után a következő CAMO.A.200A. ponttal egészül ki:

„CAMO.A.200A.    Információbiztonsági irányítási rendszer

A CAMO.A.200. pontban említett irányítási rendszeren kívül a szervezet az (EU) 2023/203 végrehajtási rendelet felhatalmazáson alapuló rendeletnek megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”;

c)

a CAMO.B.125. pont a következő c) alponttal egészül ki:

d)

a szöveg a CAMO.B.135. pont után a következő CAMO.B.135A. ponttal egészül ki:

„CAMO.B.135A.    Azonnali reagálás a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre

e)

a CAMO.B.200. pont a következő e) alponttal egészül ki:

f)

a CAMO.B.205. pont a következőképpen módosul:

g)

a CAMO.B.300. pont a következő g) alponttal egészül ki:

h)

a szöveg a CAMO.B.330. pont után a következő CAMO.B.330A. ponttal egészül ki:

„CAMO.B.330A.    Az információbiztonsági irányítási rendszer változásai

a)

az ATCO.AR.A.020. pont a következő c) alponttal egészül ki:

b)

a szöveg az ATCO.AR.A.025. pont után a következő ATCO.AR.A.025A. ponttal egészül ki:

„ATCO.AR.A.025A.    Azonnali reagálás a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre

c)

az ATCO.AR.B.001. pont a következő e) alponttal egészül ki:

d)

az ATCO.AR.B.005. pont a következőképpen módosul:

e)

az ATCO.AR.C.001. pont a következő f) alponttal egészül ki:

f)

a szöveg az ATCO.AR.E.010. pont után a következő ATCO.AR.E.010A. ponttal egészül ki:

„ATCO.AR.E.010A.    Az információbiztonsági irányítási rendszer változásai

a)

az ATM/ANS.AR.A.020. pont a következő c) alponttal egészül ki:

b)

a szöveg az ATM/ANS.AR.A.025. pont után a következő ATM/ANS.AR.A.025A. ponttal egészül ki:

„ ATM/ANS.AR.A.025A. Azonnali reagálás a repülésbiztonságra hatást gyakorló információbiztonsági incidensre vagy sebezhetőségre

c)

az ATM/ANS.AR.B.001. pont a következő e) ponttal egészül ki:

d)

az ATM/ANS.AR.B.005. pont a következőképpen módosul:

e)

az ATM/ANS.AR.C.010. pont a következő d) alponttal egészül ki:

f)

a szöveg az ATM/ANS.AR.C.025. pont után a következő ATM/ANS.AR.C.025A. ponttal egészül ki:

„ ATM/ANS.AR.C.025A. Az információbiztonsági irányítási rendszer változásai

a)

a szöveg az ATM/ANS.OR.B.005. pont után a következő ATM/ANS.OR.B.005A. ponttal egészül ki:

„ ATM/ANS.OR.B.005. Információbiztonsági irányítási rendszer

Az ATM/ANS.OR.B.005. pontban említett irányítási rendszeren kívül a szolgáltató az (EU) 2023/203 végrehajtási rendelet felhatalmazáson alapuló rendeletnek megfelelően létrehoz, alkalmaz és fenntart egy információbiztonsági irányítási rendszert a repülésbiztonságot esetlegesen befolyásoló információbiztonsági kockázatok megfelelő kezelésének biztosítása érdekében.”;

b)

az ATM/ANS.OR.D.010. pont helyébe a következő szöveg lép:

„ ATM/ANS.OR.D.010. Védelmi irányítás