31.5.2008   

IT

Gazzetta ufficiale dell'Unione europea

L 141/5

(1)

A norma del regolamento (CE) n. 550/2004, la Commissione è tenuta a individuare e adottare le disposizioni pertinenti delle norme di sicurezza di Eurocontrol (ESARR), tenendo conto della normativa comunitaria vigente. L’ESARR 6 relativo al software dei sistemi ATM contiene una serie di norme di sicurezza per l’attuazione di un sistema di garanzia della sicurezza del software.

(2)

Il regolamento (CE) n. 2096/2005 della Commissione, del 20 dicembre 2005, che stabilisce requisiti comuni per la fornitura di servizi di navigazione aerea (2) stabilisce, al considerando 12, ultima frase, che «Le pertinenti disposizioni dell’ESARR 1 sul controllo ATM e dell’ESARR 6 sui software dei sistemi ATM devono essere individuate e adottate mediante distinti atti comunitari».

(3)

L'allegato II del regolamento (CE) n. 2096/2005 impone ai fornitori di servizi di traffico aereo di mettere in atto un sistema di gestione della sicurezza e requisiti di sicurezza per la valutazione e la riduzione del rischio con riferimento alle modifiche. Nel quadro del suo sistema di gestione della sicurezza e nell’ambito delle sue attività di valutazione e riduzione del rischio con riferimento alle modifiche, è opportuno che il fornitore di servizi di navigazione aerea definisca e attui un sistema di garanzia della sicurezza del software, focalizzato in modo specifico sugli aspetti relativi al software.

(4)

Il principale obiettivo in materia di sicurezza del software, che i sistemi funzionali contenenti software devono raggiungere, è quello di ridurre a un livello tollerabile i rischi collegati all’uso del software all’interno dei sistemi della rete europea di gestione del traffico aereo («software EATMN»).

(5)

È opportuno che le operazioni e l’addestramento militari di cui all’articolo 1, paragrafo 2, del regolamento (CE) n. 549/2004 del Parlamento europeo e del Consiglio, del 10 marzo 2004, che stabilisce i principi generali per l’istituzione del cielo unico europeo («regolamento quadro») (3) siano esclusi dal campo di applicazione del presente regolamento.

(6)

L'allegato II del regolamento (CE) n. 2096/2005 deve essere pertanto modificato di conseguenza.

(7)

Le misure di cui al presente regolamento sono conformi al parere del comitato per il cielo unico,

1)

«software», i programmi per computer e i corrispondenti dati di configurazione, compreso il software esterno, ma esclusi i dispositivi elettronici quali circuiti integrati destinati ad applicazioni specifiche, porte logiche oppure controllori logici programmabili a stato solido;

2)

«dati di configurazione», i dati che permettono di configurare un sistema di software generico per una determinata condizione di utilizzo;

3)

«software esterno», un software che non è stato sviluppato per il contratto in corso;

4)

«garanzia di sicurezza», tutte le azioni programmate e sistematiche necessarie a garantire con un grado di affidabilità sufficiente che un prodotto, un servizio, un’organizzazione o un sistema funzionale raggiunge un livello di sicurezza accettabile o tollerabile;

5)

«organizzazione», un fornitore ATS, un fornitore CNS oppure un ente che fornisce ATFM o ASM;

6)

«sistema funzionale», la combinazione di sistemi, procedure e risorse umane organizzate per svolgere una funzione nel contesto della gestione del traffico aereo;

7)

«rischio», la combinazione della probabilità generale o della frequenza del verificarsi di un effetto nocivo indotto da un pericolo e la gravità di tale effetto;

8)

«pericolo», qualsiasi condizione, evento o circostanza che possa indurre un incidente;

9)

«software nuovo», un software che è stato ordinato o per il quale sono stati sottoscritti contratti vincolanti dopo l’entrata in vigore del presente regolamento;

10)

«obiettivo di sicurezza», una dichiarazione qualitativa e quantitativa che definisce la frequenza o la probabilità massima con la quale può verificarsi un pericolo;

11)

«requisito di sicurezza», un dispositivo atto a ridurre il rischio, definito dalla strategia di riduzione del rischio per il conseguimento di un determinato obiettivo di sicurezza, compresi i requisiti organizzativi, operativi, procedurali, funzionali, di rendimento e interoperabilità o le caratteristiche del contesto ambientale;

12)

«cutover o sostituzione a caldo», la sostituzione di componenti o software del sistema della rete europea di gestione del traffico aereo (EATMN) mentre il sistema è in funzione;

13)

«requisito di sicurezza del software», una descrizione di ciò che il software deve produrre tenuto conto di determinati input e vincoli, il cui rispetto garantisce il funzionamento sicuro e conforme alle esigenze operative del software EATMN;

14)

«software EATMN», il software utilizzato nei sistemi EATMN di cui all’articolo 1;

15)

«validità dei requisiti», la conferma, attraverso il controllo e la fornitura di prove obiettive, che i requisiti particolari per un uso specifico sono quelli previsti;

16)

«da eseguire in modo indipendente», per quanto riguarda le attività del processo di verifica del software, l’indipendenza della verifica che deve essere compiuta da una o più persone diverse dallo sviluppatore dell’elemento da verificare;

17)

«malfunzionamento del software», l’incapacità di un programma di eseguire correttamente una funzione richiesta;

18)

«avaria del software», l’incapacità di un programma di eseguire una funzione richiesta;

19)

«COTS», un programma disponibile in commercio e venduto attraverso cataloghi pubblici e non destinato ad essere personalizzato o migliorato;

20)

«componente software», un modulo software che può essere aggiunto o collegato ad altri moduli software per combinare e creare un’applicazione software personalizzata;

21)

«componenti software indipendenti», i componenti software il cui funzionamento non è pregiudicato dalla stessa condizione di avaria che provoca un pericolo;

22)

«tempi di risposta del software», il tempo impiegato dal software per rispondere a determinati input o a eventi periodici e/o le prestazioni del software in termini di transazioni o messaggi gestiti per unità di tempo;

23)

«capacità del software», l’abilità del software a gestire un determinato volume di flusso di dati;

24)

«precisione», la precisione di calcolo richiesta;

25)

«utilizzo di risorse», la quantità di risorse del sistema informatico che può essere utilizzata dal software applicativo;

26)

«robustezza del software», il comportamento del software in caso di input imprevisti, guasti all’hardware e interruzioni dell’alimentazione elettrica, nel sistema informatico stesso oppure nei dispositivi collegati;

27)

«tolleranza al sovraccarico», il comportamento del sistema, in particolare la sua tolleranza, in caso di immissione di una quantità di dati superiore a quella prevista durante il normale funzionamento del sistema;

28)

«verifica corretta e completa del software EATMN», tutti i requisiti di sicurezza del software che enunciano correttamente le condizioni che devono essere rispettate dal componente software nell’ambito del processo di valutazione e riduzione dei rischi e che è dimostrato il rispetto di tali condizioni secondo il necessario livello di sicurezza del software;

29)

«dati del ciclo di vita del software», i dati prodotti durante il ciclo di vita del software per pianificare, dirigere, spiegare, definire, registrare o dare prova di attività; questi dati permettono l’approvazione del ciclo di vita del software, del sistema o delle apparecchiature, nonché delle modifiche apportate al prodotto software, dopo la sua approvazione;

30)

«ciclo di vita del software»:

31)

«requisito di sicurezza applicabile al sistema», un requisito di sicurezza che si applica a un sistema funzionale.

a)

i requisiti di sicurezza del software enunciano correttamente i criteri che il software deve rispettare per essere conforme agli obiettivi e ai requisiti di sicurezza, individuati dal processo di valutazione e riduzione dei rischi;

b)

è assicurata la tracciabilità di tutti i requisiti di sicurezza del software;

c)

l’implementazione del software non contiene alcuna funzione che ne possa pregiudicare la sicurezza;

d)

il software EATMN soddisfa i requisiti pertinenti, con un livello di affidabilità coerente con la criticità del medesimo;

e)

esistono garanzie del rispetto dei requisiti generali di sicurezza di cui alle lettere da a) a d) e argomentazioni che comprovano che tali garanzie poggiano, in ogni momento, su:

1)

è documentato, in particolare nell’ambito della documentazione complessiva relativa alla valutazione e riduzione dei rischi;

2)

attribuisce livelli di garanzia del software a tutto il software EATMN operativo conformemente alle prescrizioni di cui all’allegato I;

3)

offre garanzie circa:

4)

stabilisce il rigore delle singole garanzie. Il rigore è definito per ogni livello di garanzia del software e aumenta con l’aumentare della criticità del medesimo. A tal fine:

5)

utilizza l’esperienza acquisita nell’uso del software EATMN per confermare l’adeguatezza del sistema di garanzia della sicurezza e dell’attribuzione dei livelli di garanzia. A tal fine, per valutare gli effetti di un malfunzionamento o di un’avaria del software, notificati conformemente alle prescrizioni pertinenti in materia di notifica e analisi degli eventi legati alla sicurezza, si confrontano con gli effetti ottenuti applicando al sistema interessato lo schema di classificazione della gravità di cui alla sezione 3.2.4 dell’allegato II del regolamento (CE) n. 2096/2005.