«f)

attuano e mantengono un sistema di gestione della sicurezza (security) conformemente all'allegato III, sottoparte D, punto ATM/ANS.OR.D.010 del regolamento di esecuzione (UE) 2017/373 e un sistema di gestione della sicurezza delle informazioni in conformità all'allegato II (parte IS.I.OR) del regolamento di esecuzione (UE) 2023/203.»;

«l)

istituire, attuare e mantenere un sistema di gestione della sicurezza delle informazioni in conformità all'allegato I (parte IS.AR) del regolamento di esecuzione (UE) 2023/203.».

1)

stabilire una politica in materia di sicurezza delle informazioni che definisca i principi generali dell'autorità competente per quanto riguarda il potenziale impatto dei rischi per la sicurezza delle informazioni sulla sicurezza aerea;

2)

individuare e riesaminare i rischi per la sicurezza delle informazioni conformemente al punto IS.AR.205;

3)

definire e attuare le misure di trattamento dei rischi per la sicurezza delle informazioni conformemente al punto IS.AR.210;

4)

definire e attuare, conformemente al punto IS.AR.215, le misure necessarie per rilevare gli eventi relativi alla sicurezza delle informazioni, individuare gli eventi che sono considerati inconvenienti con un potenziale impatto sulla sicurezza aerea, nonché rispondere a tali inconvenienti per la sicurezza delle informazioni e provvedere al ripristino;

5)

soddisfare i requisiti di cui al punto IS.AR.220 quando appalta una parte delle attività descritte al punto IS.AR.200 ad altre organizzazioni;

6)

soddisfare i requisiti relativi al personale di cui al punto IS.AR.225;

7)

soddisfare i requisiti per l'archiviazione dei documenti di cui al punto IS.AR.230;

8)

monitorare la conformità della propria organizzazione ai requisiti del presente regolamento e fornire un feedback sulle non conformità alla persona di cui al punto IS.AR.225, lettera a), per garantire l'efficace attuazione delle azioni correttive;

9)

proteggere la riservatezza delle informazioni di cui l'autorità competente può disporre in relazione alle organizzazioni soggette alla sua sorveglianza e delle informazioni ricevute attraverso i sistemi di segnalazione esterna dell'organizzazione stabiliti conformemente al punto IS.I.OR.230 dell'allegato II (parte IS.I.OR) del presente regolamento e al punto IS.D.OR.230 dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645;

10)

notificare all'agenzia i cambiamenti che influiscono sulla capacità dell'autorità competente di svolgere i propri compiti e di adempiere alle proprie responsabilità, quali definiti nel presente regolamento;

11)

definire e attuare procedure per condividere, opportunamente e in modo pratico e tempestivo, le informazioni pertinenti per assistere altre autorità e organismi competenti, nonché le organizzazioni soggette al presente regolamento, nel condurre efficaci valutazioni del rischio per la sicurezza in relazione alle proprie attività.

1)

le attività, le strutture e le risorse dell'autorità competente, nonché i servizi che essa gestisce, fornisce, riceve o mantiene;

2)

le apparecchiature, i sistemi, i dati e le informazioni che contribuiscono al funzionamento degli elementi di cui al punto 1).

1)

assegna un livello di rischio secondo una classificazione predefinita stabilita dall'autorità competente stessa;

2)

associa ciascun rischio e il suo livello all'elemento o all'interfaccia corrispondenti individuati conformemente alle lettere a) e b).

1)

in caso di una modifica degli elementi soggetti a rischi per la sicurezza delle informazioni;

2)

in caso di una modifica delle interfacce tra l'autorità competente e le altre organizzazioni, oppure dei rischi comunicati da queste ultime;

3)

in caso di una modifica delle informazioni o delle conoscenze utilizzate per l'individuazione, l'analisi e la classificazione dei rischi;

4)

in caso di insegnamenti tratti dall'analisi degli inconvenienti per la sicurezza delle informazioni.

1)

controllare le circostanze che contribuiscono all'effettivo verificarsi dello scenario di minaccia;

2)

ridurre le conseguenze per la sicurezza aerea associate al verificarsi dello scenario di minaccia;

3)

evitare i rischi.

1)

individuare le deviazioni dai livelli di base predeterminati delle prestazioni funzionali;

2)

attivare avvisi per avviare misure di risposta adeguate, in caso di deviazione.

1)

avviare la reazione della propria organizzazione agli avvisi di cui alla lettera a), punto 2), attivando risorse e procedure predefinite;

2)

contenere la diffusione di un attacco ed evitare il completo verificarsi di uno scenario di minaccia;

3)

controllare la modalità di guasto degli elementi interessati definiti al punto IS.AR.205, lettera a).

1)

eliminare la condizione che ha causato l'inconveniente o limitarla a un livello tollerabile;

2)

ripristinare uno stato di sicurezza degli elementi interessati definiti al punto IS.AR.205, lettera a), entro un tempo di recupero precedentemente definito dalla propria organizzazione.

1)

avere l'autorità di accedere pienamente alle risorse necessarie all'autorità competente per svolgere tutti i compiti richiesti dal presente regolamento;

2)

avere la delega di potere necessaria per svolgere i compiti assegnati;

1)

L'autorità competente garantisce che siano archiviati e tracciabili i documenti seguenti:

2)

I registri di cui al punto 1.i), sono conservati almeno fino a cinque anni dalla modifica o risoluzione dell'appalto.

3)

I registri di cui ai punti 1.ii) e 1.iii) sono conservati almeno per un periodo di cinque anni.

4)

I registri di cui al punto 1.iv), sono conservati fino a quando tali eventi relativi alla sicurezza delle informazioni non siano stati rivalutati secondo una periodicità definita in una procedura stabilita dall'autorità competente.

1)

I dati relativi alle qualifiche e all'esperienza del personale sono conservati per tutto il tempo in cui la persona lavora per l'autorità competente e per almeno tre anni dalla cessazione del rapporto di lavoro.

2)

Su richiesta, i membri del personale hanno accesso ai loro dati individuali. Inoltre, sempre dietro richiesta, l'autorità competente fornisce loro una copia dei rispettivi dati individuali al momento della cessazione del rapporto di lavoro.

1)

stabilire una politica in materia di sicurezza delle informazioni che definisca i principi generali dell'organizzazione per quanto riguarda il potenziale impatto dei rischi per la sicurezza delle informazioni sulla sicurezza aerea;

2)

individuare e riesaminare i rischi per la sicurezza delle informazioni conformemente al punto IS.I.OR.205;

3)

definire e attuare le misure di trattamento dei rischi per la sicurezza delle informazioni conformemente al punto IS.I.OR.210;

4)

attuare un sistema di segnalazione interna per la sicurezza delle informazioni conformemente al punto IS.I.OR.215;

5)

definire e attuare, conformemente al punto IS.I.OR.220, le misure necessarie per rilevare gli eventi relativi alla sicurezza delle informazioni, individuare gli eventi che sono considerati inconvenienti con un potenziale impatto sulla sicurezza aerea, salvo quanto consentito dal punto IS.I.OR.205, lettera e), nonché rispondere a tali inconvenienti e provvedere al ripristino;

6)

attuare le misure indicate dall'autorità competente come reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea;

7)

adottare le misure appropriate, conformemente al punto IS.I.OR.225, per rispondere alle non conformità notificate dall'autorità competente;

8)

attuare un sistema di segnalazione esterna conformemente al punto IS.I.OR.230 al fine di consentire all'autorità competente di adottare le misure appropriate;

9)

soddisfare i requisiti di cui al punto IS.I.OR.235 quando appalta una parte delle attività di cui al punto IS.I.OR.200 ad altre organizzazioni;

10)

soddisfare i requisiti relativi al personale di cui al punto IS.I.OR.240;

11)

soddisfare i requisiti per l'archiviazione dei documenti di cui al punto IS.I.OR.245;

12)

controllare la conformità dell'organizzazione ai requisiti del presente regolamento e fornire un riscontro sulle non conformità al dirigente responsabile, al fine di garantire un'efficace attuazione delle azioni correttive;

13)

proteggere, fatti salvi i requisiti applicabili in materia di segnalazione degli inconvenienti, la riservatezza di tutte le informazioni che l'organizzazione potrebbe aver ricevuto da altre organizzazioni, a seconda del relativo livello di sensibilità.

1)

le attività, le strutture e le risorse dell'organizzazione, nonché i servizi che essa gestisce, fornisce, riceve o mantiene;

2)

le apparecchiature, i sistemi, i dati e le informazioni che contribuiscono al funzionamento degli elementi elencati al punto 1).

1)

assegna un livello di rischio secondo una classificazione predefinita stabilita dall'organizzazione stessa;

2)

associa ciascun rischio e il suo livello all'elemento o all'interfaccia corrispondenti individuati conformemente alle lettere a) e b).

1)

in caso di una modifica degli elementi soggetti a rischi per la sicurezza delle informazioni;

2)

in caso di una modifica delle interfacce tra l'organizzazione e le altre organizzazioni, oppure dei rischi comunicati da queste ultime;

3)

in caso di una modifica delle informazioni o delle conoscenze utilizzate per l'individuazione, l'analisi e la classificazione dei rischi;

4)

in caso di insegnamenti tratti dall'analisi degli inconvenienti per la sicurezza delle informazioni.

1)

controllare le circostanze che contribuiscono all'effettivo verificarsi dello scenario di minaccia;

2)

ridurre le conseguenze sulla sicurezza aerea associate al verificarsi dello scenario di minaccia;

3)

evitare i rischi.

1)

individuare quali degli eventi segnalati a norma della lettera a) sono considerati inconvenienti o vulnerabilità relativi alla sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea;

2)

individuare le cause e i fattori che contribuiscono agli inconvenienti e alle vulnerabilità relativi alla sicurezza delle informazioni individuati conformemente al punto 1) e affrontarli nell'ambito del processo di gestione dei rischi per la sicurezza delle informazioni conformemente ai punti IS.I.OR.205 e IS.I.OR.220;

3)

garantire una valutazione di tutte le informazioni note e pertinenti in merito agli inconvenienti e alle vulnerabilità relativi alla sicurezza delle informazioni individuati conformemente al punto 1);

4)

garantire l'attuazione di un metodo per distribuire internamente le informazioni, se necessario.

1)

individuare le deviazioni dai livelli di base predeterminati delle prestazioni funzionali;

2)

attivare avvisi per avviare misure di risposta adeguate, in caso di deviazione.

1)

avviare la reazione agli avvisi di cui alla lettera a), punto 2), attivando risorse e procedure predefinite;

2)

contenere la diffusione di un attacco ed evitare il completo verificarsi di uno scenario di minaccia;

3)

controllare la modalità di guasto degli elementi interessati definiti al punto IS.I.OR.205, lettera a).

1)

eliminare la condizione che ha causato l'inconveniente o limitarla a un livello tollerabile;

2)

raggiungere uno stato di sicurezza degli elementi interessati definiti al punto IS.I.OR.205, lettera a), entro un tempo di ripristino precedentemente definito dall'organizzazione.

1)

individua la causa o le cause alla base delle non conformità e i fattori che vi contribuiscono;

2)

definisce un piano di azioni correttive;

3)

dimostra la correzione della non conformità in modo giudicato soddisfacente dall'autorità competente.

1)

se tale inconveniente o vulnerabilità riguarda un aeromobile o un sistema o componente associato, l'organizzazione segnala il fatto anche al titolare dell'approvazione del progetto;

2)

se tale inconveniente o vulnerabilità riguarda un sistema o un componente utilizzato dall'organizzazione, quest'ultima lo segnala all'organizzazione responsabile della progettazione del sistema o del componente.

1)

una notifica è presentata all'autorità competente e, se del caso, al titolare dell'approvazione del progetto o all'organizzazione responsabile della progettazione del sistema o del componente, non appena l'organizzazione viene a conoscenza della condizione;

2)

una segnalazione è presentata all'autorità competente e, se del caso, al titolare dell'approvazione del progetto o all'organizzazione responsabile della progettazione del sistema o del componente il prima possibile, ma non oltre 72 ore dal momento in cui l'organizzazione è venuta a conoscenza della condizione, a meno che circostanze eccezionali non lo impediscano.

La segnalazione è redatta nella forma definita dall'autorità competente e contiene tutte le informazioni pertinenti relative alla condizione nota all'organizzazione;

3)

una segnalazione di follow-up è presentata all'autorità competente e, se del caso, al titolare dell'approvazione del progetto o all'organizzazione responsabile della progettazione del sistema o del componente, fornendo i dettagli delle azioni che l'organizzazione ha intrapreso o intende intraprendere per il ripristino dopo l'inconveniente, e delle azioni che intende intraprendere per evitare inconvenienti analoghi per la sicurezza delle informazioni in futuro.

La segnalazione di follow-up è presentata non appena tali azioni sono state individuate ed è redatta nella forma definita dall'autorità competente.

1)

garantisce la disponibilità di tutte le risorse necessarie per conformarsi ai requisiti del presente regolamento;

2)

stabilisce e promuove la politica in materia di sicurezza delle informazioni di cui al punto IS.I.OR.200, lettera a), punto 1);

3)

dimostra una comprensione di base del presente regolamento.

1)

L'organizzazione garantisce che siano archiviati e tracciabili i documenti seguenti:

2)

I registri di cui al punto 1.i), sono conservati almeno fino a cinque anni dal termine della validità dell'approvazione.

3)

I registri di cui al punto 1.ii), sono conservati almeno fino a cinque anni dalla modifica o risoluzione dell'appalto.

4)

I registri di cui ai punti 1.iii), 1.iv) e 1.v), sono conservati almeno per un periodo di cinque anni.

5)

I registri di cui al punto 1.vi), sono conservati fino a quando tali eventi relativi alla sicurezza delle informazioni non siano stati rivalutati secondo una periodicità definita in una procedura stabilita dall'organizzazione.

1)

I registri delle qualifiche e dell'esperienza del personale sono conservati per tutto il tempo in cui la persona lavora per l'organizzazione e per almeno tre anni dalla cessazione del rapporto di lavoro con la stessa.

2)

Su richiesta, i membri del personale hanno accesso ai loro dati individuali. Su richiesta, l'organizzazione fornisce loro inoltre una copia dei rispettivi registri individuali al momento della cessazione del rapporto di lavoro con la stessa.

1)

una dichiarazione firmata dal dirigente responsabile, attestante che l'organizzazione opera in qualsiasi momento conformemente al presente allegato a all'ISMM. Qualora il dirigente responsabile non sia l'amministratore delegato (CEO) dell'organizzazione, quest'ultimo controfirma la dichiarazione;

2)

il titolo (o i titoli), il nome (o i nomi), i compiti, le responsabilità e le autorità della persona o delle persone definite al punto IS.I.OR.240, lettere b) e c);

3)

il titolo, il nome, i compiti, le responsabilità e l'autorità della persona responsabile comune definita al punto IS.I.OR.240, lettera d), se del caso;

4)

la politica in materia di sicurezza delle informazioni dell'organizzazione di cui al punto IS.I.OR.200, lettera a), punto 1);

5)

una descrizione generale del numero e delle categorie del personale e del sistema in atto per pianificare la disponibilità del personale, come richiesto al punto IS.I.OR.240;

6)

il titolo (o i titoli), il nome (o i nomi), i compiti, le responsabilità e le autorità delle persone di riferimento responsabili dell'attuazione del punto IS.I.OR.200, tra cui la persona o le persone responsabili della funzione di monitoraggio della conformità di cui al punto IS.I.OR.200, lettera a), punto 12);

7)

un organigramma che mostri le catene di responsabilità associate riguardanti le persone di cui ai punti 2) e 6);

8)

la descrizione del sistema di segnalazione interna di cui al punto IS.I.OR.215;

9)

le procedure che specificano in che modo l'organizzazione garantisce la conformità alla presente parte, in particolare:

10)

i dettagli dei metodi alternativi di rispondenza attualmente approvati.

1)

la domanda è presentata prima dell'effettuazione di ciascuna di tali modifiche, al fine di permettere all'autorità competente di stabilire il mantenimento della conformità al presente regolamento e di modificare, se necessario, il certificato dell'organizzazione e le relative condizioni di approvazione a esso allegate;

2)

l'organizzazione mette a disposizione dell'autorità competente tutte le informazioni richieste per valutare le modifiche;

3)

le modifiche sono attuate solo previa approvazione formale da parte dell'autorità competente;

4)

l'organizzazione opera alle condizioni prescritte dall'autorità competente durante l'attuazione di tali modifiche.

a)

al punto ARA.GEN.125 è aggiunta la seguente lettera c):

b)

dopo il punto ARA.GEN.135 è inserito il seguente punto ARA.GEN.135A:

«ARA.GEN.135A Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea

c)

al punto ARA.GEN.200 è aggiunta la seguente lettera e):

d)

il punto ARA.GEN.205 è così modificato:

e)

al punto ARA.GEN.300 è aggiunta la seguente lettera g):

f)

dopo il punto ARA.GEN.330 è inserito il seguente punto ARA.GEN.330A:

«ARA.GEN.330A Modifiche al sistema di gestione della sicurezza delle informazioni

a)

dopo il titolo 21.B.20 è inserito il titolo seguente:

«21.B.20A Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea»;

b)

il titolo della norma 21.B.30 è sostituito dal seguente:

«21.B.30 Assegnazione di compiti»;

c)

dopo il titolo 21.B.240 è inserito il titolo seguente:

«21.B.240A Modifiche al sistema di gestione della sicurezza delle informazioni»;

d)

dopo il titolo 21.B.435 è inserito il titolo seguente:

«21.B.435A Modifiche al sistema di gestione della sicurezza delle informazioni»;

«c)

L'autorità competente dello Stato membro deve fornire quanto prima all'Agenzia informazioni rilevanti dal punto di vista della sicurezza, derivanti dalle relazioni sulla sicurezza delle informazioni ricevute a norma del punto IS.D.OR.230 dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645»;

a)

L'autorità competente deve attuare un sistema per raccogliere, analizzare e diffondere in maniera adeguata le informazioni relative agli inconvenienti e alle vulnerabilità riguardanti la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea segnalati dalle imprese. A tal fine deve coordinarsi con eventuali altre autorità pertinenti responsabili della sicurezza delle informazioni o della cibersicurezza all'interno dello Stato membro, per migliorare il coordinamento e la compatibilità dei sistemi di segnalazione.

b)

L'Agenzia deve attuare un sistema per analizzare in maniera adeguata tutte le informazioni rilevanti dal punto di vista della sicurezza ricevuta conformemente al punto 21.B.15, lettera c), e trasmettere senza indebito ritardo agli Stati membri e alla Commissione tutte le informazioni necessarie, incluse le raccomandazioni o le azioni correttive da intraprendere, affinché possano reagire tempestivamente a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea concernente i prodotti, le parti, gli equipaggiamenti non installati, le persone o le organizzazioni (imprese) soggette al regolamento (UE) 2018/1139 e ai relativi atti delegati e di esecuzione.

c)

Non appena ricevute le informazioni di cui alle lettere a) e b), l'autorità competente deve adottare le misure adeguate per affrontare il potenziale impatto dell'inconveniente o della vulnerabilità riguardante la sicurezza delle informazioni sulla sicurezza aerea.

d)

Le misure adottate conformemente alla lettera c) devono essere immediatamente notificate a tutte le persone o le organizzazioni (imprese) che devono rispettarle a rispettarle a norma del regolamento (UE) 2018/1139 e dei relativi atti delegati e di esecuzione. L'autorità competente dello Stato membro deve inoltre notificare tali misure all'Agenzia e, nel caso in cui fosse necessaria un'azione combinata, agli altri Stati membri interessati.»;

«e)

Oltre ai requisiti di cui alla lettera a), il sistema di gestione istituito e mantenuto dall'autorità competente è conforme all'allegato I (parte IS.AR) del regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.»;

a)

il titolo è sostituito dal seguente:

«21.B.30 Assegnazione di compiti»;

b)

è aggiunta la seguente lettera c):

«g)

Per quanto riguarda la certificazione e la sorveglianza della conformità dell'organizzazione al punto 21.A.139A, oltre a rispettare le lettere da a) a f), l'autorità competente riesamina qualsiasi approvazione concessa a norma del punto IS.I.OR.200, lettera e), del presente regolamento o del punto IS.D.OR.200, lettera e), del regolamento delegato (UE) 2022/1645 a seguito del ciclo di audit di supervisione applicabile e ogniqualvolta siano attuate modifiche nell'ambito del lavoro dell'organizzazione.»;

a)

Per le modifiche gestite e notificate all'autorità competente in conformità alla procedura di cui al punto IS.D.OR.255, lettera a), dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645, l'autorità competente deve inserire il riesame di tali modifiche nella sua sorveglianza continua, conformemente ai principi stabiliti al punto 21.B.221. Qualora si riscontri una non conformità, l'autorità competente deve informare l'impresa, richiedere ulteriori modifiche e agire in conformità al punto 21.B.225.

b)

Per quanto riguarda altre modifiche per le quali occorre una richiesta di approvazione in conformità al punto IS.D.OR.255, lettera b), dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645:

«d)

Per la certificazione e la sorveglianza della conformità dell'impresa al punto 21.A.239A, oltre a rispettare le lettere da a) a c), l'autorità competente rispetta i principi seguenti:

a)

Per le modifiche gestite e notificate all'autorità competente in conformità alla procedura di cui al punto IS.D.OR.255, lettera a), dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645, l'autorità competente deve inserire il riesame di tali modifiche nella sua sorveglianza continua, conformemente ai principi stabiliti al punto 21.B.431. Se viene riscontrata una non conformità, l'autorità competente deve informare l'organizzazione, richiedere ulteriori modifiche e agire in conformità al punto 21.B.433.

b)

Per quanto riguarda altre modifiche per le quali occorre una richiesta di approvazione in conformità al punto IS.D.OR.255, lettera b), dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645:

a)

al punto ARO.GEN.125 è aggiunta la seguente lettera c):

b)

dopo il punto ARO.GEN.135 è inserito il seguente punto ARO.GEN.135A:

«ARO.GEN.135A    Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea

c)

al punto ARO.GEN.200 è aggiunta la seguente lettera e):

d)

il punto ARO.GEN.205 è così modificato:

e)

al punto ARO.GEN.300 è aggiunta la seguente lettera g):

f)

dopo il punto ARO.GEN.330 è inserito il seguente punto ARO.GEN.330A:

«ARO.GEN.330A    Modifiche al sistema di gestione della sicurezza delle informazioni

«c)

L'autorità competente dello Stato membro deve fornire quanto prima all'Agenzia informazioni rilevanti dal punto di vista della sicurezza, derivanti dalle relazioni sulla sicurezza delle informazioni ricevute a norma del punto IS.D.OR.230 dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645.»;

a)

L'autorità competente pone in atto un sistema per raccogliere, analizzare e diffondere in maniera adeguata le informazioni relative agli inconvenienti e alle vulnerabilità riguardanti la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea segnalati dalle organizzazioni. A tal fine si coordina con eventuali altre autorità pertinenti responsabili della sicurezza delle informazioni o della cibersicurezza all'interno dello Stato membro, per migliorare il coordinamento e la compatibilità dei sistemi di segnalazione.

b)

L'Agenzia attua un sistema per analizzare in maniera adeguata tutte le pertinenti informazioni rilevanti dal punto di vista della sicurezza ricevute conformemente al punto ADR.AR.A.025, lettera c), e fornisce agli Stati membri e alla Commissione, senza indebiti ritardi, tutte le informazioni, incluse le raccomandazioni o le azioni correttive da intraprendere, che sono necessarie per reagire tempestivamente a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea concernente i prodotti, le parti, gli equipaggiamenti non installati, le persone o le organizzazioni soggette al regolamento (UE) 2018/1139 e ai relativi atti delegati e di esecuzione.

c)

Al momento della ricezione delle informazioni di cui alle lettere a) e b), l'autorità competente adotta provvedimenti adeguati per affrontare il potenziale impatto dell'inconveniente o della vulnerabilità riguardante la sicurezza delle informazioni sulla sicurezza aerea.

d)

I provvedimenti adottati in conformità alla lettera c) vengono immediatamente comunicati a tutte le persone o organizzazioni tenute a rispettarle a norma del regolamento (UE) 2018/1139 e dei relativi atti delegati e di esecuzione. L'autorità competente dello Stato membro comunica tali provvedimenti anche all'Agenzia e, nel caso in cui fosse richiesta un'azione combinata, agli altri Stati membri interessati.»;

«d)

Oltre ai requisiti di cui alla lettera a), il sistema di gestione stabilito e mantenuto dall'autorità competente è conforme all'allegato I (parte IS.AR) del regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.»;

i)

il titolo è sostituito dal seguente:

«ADR.AR.B.010 Assegnazione dei compiti»;

ii)

è aggiunta la seguente lettera c):

«f)

Per quanto riguarda la certificazione e la sorveglianza della conformità dell'organizzazione al punto ADR.OR.D.005A, oltre a rispettare le lettere da a) a e), l'autorità competente riesamina qualsiasi approvazione concessa a norma del punto IS.I.OR.200, lettera e), del presente regolamento o del punto IS.D.OR.200, lettera e), del regolamento delegato (UE) 2022/1645 a seguito del ciclo di audit di supervisione applicabile e ogniqualvolta siano attuate modifiche nell'ambito del lavoro dell'organizzazione.»;

a)

Per quanto riguarda le modifiche gestite e notificate all'autorità competente in conformità alla procedura di cui al punto IS.D.OR.255, lettera a), dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645, l'autorità competente deve inserire il riesame di tali modifiche nella sua sorveglianza continua, conformemente ai principi stabiliti al punto ADR.AR.C.005. Qualora si riscontri una non conformità, l'autorità competente informa l'organizzazione, richiede ulteriori modifiche e agisce in conformità al punto ADR.AR.C.055.

b)

Per quanto riguarda altre modifiche per le quali occorre una richiesta di approvazione in conformità al punto IS.D.OR.255, lettera b), dell'allegato (parte IS.D.OR) del regolamento delegato (UE) 2022/1645:

a)

l'indice è così modificato:

b)

dopo il punto 145.A.200 è inserito il seguente punto 145.A.200A:

«145.A.200A    Sistema di gestione della sicurezza delle informazioni

Oltre al sistema di gestione di cui al punto 145.A.200, l'impresa deve istituire, realizzare e mantenere un sistema di gestione della sicurezza delle informazioni conformemente al regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.»;

c)

al punto 145.B.125 è aggiunta la seguente lettera c):

d)

dopo il punto 145.B.135 è inserito il seguente punto 145.B.135A:

«145.B.135A    Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea

e)

al punto 145.B.200 è aggiunta la seguente lettera e):

f)

il punto 145.B.205 è così modificato:

g)

al punto 145.B.300 è aggiunta la seguente lettera g):

h)

dopo il punto 145.B.330 è inserito il seguente punto 145.B.330A:

«145.B.330A    Modifiche al sistema di gestione della sicurezza delle informazioni

a)

nell'indice, dopo il titolo 66.B.10 è inserito il titolo seguente:

b)

dopo il punto 66.B.10 è inserito il seguente punto 66.B.15:

«66.B.15    Sistema di gestione della sicurezza delle informazioni

L'autorità competente deve istituire, attuare e mantenere un sistema di gestione della sicurezza delle informazioni in conformità all'allegato I (parte IS.AR) del regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.»;

a)

l'indice è così modificato:

b)

dopo il punto CAMO.A.200 è inserito il seguente punto CAMO.A.200A:

«CAMO.A.200A    Sistema di gestione della sicurezza delle informazioni

Oltre al sistema di gestione di cui al punto CAMO.A.200, l'impresa stabilisce, attua e mantiene un sistema di gestione della sicurezza delle informazioni conformemente al regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.»;

c)

al punto CAMO.B.125 è aggiunta la seguente lettera c):

d)

il punto seguente CAMO.B.135A è inserito dopo il punto CAMO.B.135:

«CAMO.B.135A    Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea

e)

al punto CAMO.B.200 è aggiunta la seguente lettera e):

f)

il punto CAMO.B.205 è così modificato:

g)

al punto CAMO.B.300 è aggiunta la seguente lettera g):

h)

dopo il punto CAMO.B.330 è inserito il seguente punto CAMO.B.330A:

«CAMO.B.330A    Modifiche al sistema di gestione della sicurezza delle informazioni

a)

al punto ATCO.AR.A.020 è aggiunta la seguente lettera c):

b)

dopo il punto ATCO.AR.A.025 è inserito il seguente punto ATCO.AR.A.025A:

«ATCO.AR.A.025A    Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea

c)

al punto ATCO.AR.B.001 è aggiunta la seguente lettera e):

d)

il punto ATCO.AR.B.005 è così modificato:

e)

al punto ATCO.AR.C.001 è aggiunta la seguente lettera f):

f)

dopo il punto ATCO.AR.E.010 è inserito il seguente punto ATCO.AR.E.010A:

«ATCO.AR.E.010A    Modifiche al sistema di gestione della sicurezza delle informazioni

a)

al punto ATM/ANS.AR.A.020, è aggiunta la seguente lettera c):

b)

il punto seguente ATM/ANS.AR.A.025A è inserito dopo il punto ATM/ANS.AR.A.025:

«ATM/ANS.AR.A.025A Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea

c)

al punto ATM/ANS.AR.B.001, è aggiunta la seguente lettera e):

d)

il punto ATM/ANS.AR.B.005 è così modificato:

e)

al punto ATM/ANS.AR.C.010, è aggiunta la seguente lettera d):

f)

il punto seguente ATM/ANS.AR.C.025A è inserito dopo il punto ATM/ANS.AR.C.025:

«ATM/ANS.AR.C.025A Modifiche del sistema di gestione della sicurezza delle informazioni

a)

il punto seguente ATM/ANS.OR.B.005A è inserito dopo il punto ATM/ANS.OR.B.005:

«ATM/ANS.OR.B.005 Sistema di gestione della sicurezza delle informazioni

Oltre al sistema di gestione di cui al punto ATM/ANS.OR.B.005, il fornitore di servizi istituisce, attua e mantiene un sistema di gestione della sicurezza delle informazioni conformemente al regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea»;

b)

il punto ATM/ANS.OR.D.010 è sostituito dal seguente:

«ATM/ANS.OR.D.010 Gestione della sicurezza (security)