Al fine di conseguire gli obiettivi di cui all’articolo 1, l’impresa istituisce, realizza e mantiene un sistema di gestione della sicurezza delle informazioni (ISMS) che le garantisca di:

▼M1

▼B

Al fine di soddisfare in modo continuativo i requisiti di cui all’articolo 1, l’impresa attua un processo di miglioramento continuo conformemente al punto IS.D.OR.260.

L’impresa documenta, conformemente al punto IS.D.OR.250, tutti i processi, le procedure, i ruoli e le responsabilità principali necessari per conformarsi al punto IS.D.OR.200, lettera a), e per definire un processo di modifica di tale documentazione. Le modifiche a tali processi, procedure, ruoli e responsabilità sono gestite conformemente al punto IS.D.OR.255.

I processi, le procedure, i ruoli e le responsabilità stabiliti dall’impresa per conformarsi al punto IS.D.OR.200, lettera a), corrispondono alla natura e alla complessità delle sue attività, sulla base di una valutazione dei rischi per la sicurezza delle informazioni inerenti a tali attività e possono essere integrati in altri sistemi di gestione esistenti già attuati dall’impresa.

Fatto salvo l’obbligo di rispettare gli obblighi di segnalazione di cui al regolamento (UE) n. 376/2014 ( 2 ) e i requisiti di cui al punto IS.D.OR.200, lettera a), punto 13), l’impresa può essere autorizzata dall’autorità competente a non attuare i requisiti di cui alle lettere da a) a d) e i relativi requisiti di cui ai punti da IS.D.OR.205 a IS.D.OR.260 se dimostra, in modo giudicato soddisfacente da detta autorità, che le sue attività, strutture e risorse, nonché i servizi che gestisce, fornisce, riceve e mantiene, non comportano rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea né per se stessa né per altre imprese. L’approvazione si basa su una valutazione documentata dei rischi per la sicurezza delle informazioni effettuata dall’impresa o da un terzo conformemente al punto IS.D.OR.205 e riesaminata e approvata dalla sua autorità competente.

Il mantenimento della validità di tale approvazione sarà riesaminato dall’autorità competente a seguito del ciclo di audit di supervisione applicabile e ogniqualvolta le modifiche siano attuate nell’ambito del lavoro dell’impresa.

L’impresa individua tutti i suoi elementi che potrebbero essere esposti a rischi per la sicurezza delle informazioni. Ciò comprende:

L’impresa individua le interfacce che ha con altre imprese e che potrebbero comportare l’esposizione reciproca a rischi per la sicurezza delle informazioni.

Per quanto riguarda gli elementi e le interfacce di cui alle lettere a) e b), l’impresa individua i rischi per la sicurezza delle informazioni che possono avere un potenziale impatto sulla sicurezza aerea. Per ogni rischio individuato l’impresa:

La classificazione predefinita di cui al punto 1) tiene conto del potenziale di insorgenza dello scenario di minaccia e della gravità delle sue conseguenze per la sicurezza. Sulla base di tale classificazione e tenendo conto del fatto che l’impresa dispone di un processo operativo di gestione dei rischi strutturato e ripetibile, l’impresa è in grado di stabilire se il rischio è accettabile o deve essere trattato conformemente al punto IS.D.OR.210.

Al fine di agevolare la comparabilità reciproca delle valutazioni dei rischi, l’assegnazione del livello di rischio a norma del punto 1) tiene conto delle informazioni pertinenti acquisite in coordinamento con le imprese di cui alla lettera b).

L’impresa riesamina e aggiorna la valutazione dei rischi effettuata conformemente alle lettere a), b) e c) in una delle seguenti situazioni:

L’impresa elabora misure per affrontare i rischi inaccettabili individuati conformemente al punto IS.D.OR.205, le attua tempestivamente e ne verifica l’efficacia nel tempo. Tali misure consentono all’impresa di:

Tali misure non introducono nuovi potenziali rischi inaccettabili per la sicurezza aerea.

La persona di cui al punto IS.D.OR.240, lettere a) e b), e gli altri membri del personale interessati dell’impresa sono informati dell’esito della valutazione dei rischi effettuata conformemente al punto IS.D.OR.205, dei corrispondenti scenari di minaccia e delle misure da attuare.

L’impresa informa inoltre le imprese con le quali ha un’interfaccia conformemente al punto IS.D.OR.205, lettera b), di qualsiasi rischio condiviso tra le due imprese.

L’impresa istituisce un sistema di segnalazione interna per consentire la raccolta e la valutazione degli eventi relativi alla sicurezza delle informazioni, compresi quelli da segnalare ai sensi del punto IS.D.OR.230.

Tale sistema e il processo di cui al punto IS.D.OR.220 consentono all’impresa di:

Qualsiasi impresa appaltatrice che possa esporre l’impresa a rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea è tenuta a segnalare alla stessa gli eventi relativi alla sicurezza delle informazioni. Tali segnalazioni sono presentate secondo le procedure stabilite negli accordi contrattuali specifici e sono valutate conformemente alla lettera b).

L’impresa coopera alle indagini con qualsiasi altra impresa che fornisca un contributo significativo alla sicurezza delle informazioni delle proprie attività.

L’impresa può integrare tale sistema di segnalazione con altri sistemi di segnalazione già attuati.

Sulla base dell’esito della valutazione dei rischi effettuata conformemente al punto IS.D.OR.205 e dell’esito del trattamento dei rischi effettuato conformemente al punto IS.D.OR.210, l’impresa attua misure per rilevare gli inconvenienti e le vulnerabilità che indicano il potenziale verificarsi di rischi inaccettabili e che possono avere un potenziale impatto sulla sicurezza aerea. Tali misure di rilevamento consentono all’impresa di:

L’impresa attua misure per rispondere a qualsiasi evento individuato in conformità alla lettera a), che può trasformarsi o si è trasformato in un inconveniente per la sicurezza delle informazioni. Tali misure di risposta consentono all’impresa di:

L’impresa attua misure volte al ripristino dopo inconvenienti per la sicurezza delle informazioni, comprese, se necessario, misure di emergenza. Tali misure di ripristino consentono all’impresa di:

Dopo aver ricevuto la notifica delle non conformità presentate dall’autorità competente, l’impresa:

Le azioni di cui alla lettera a) sono eseguite entro il termine concordato con l’autorità competente.

L’impresa attua un sistema di segnalazione della sicurezza delle informazioni conforme agli obblighi di cui al regolamento (UE) n. 376/2014 e ai suoi atti delegati e di esecuzione se tale regolamento è applicabile all’impresa.

Fatti salvi gli obblighi del regolamento (UE) n. 376/2014, l’impresa garantisce che qualsiasi inconveniente o vulnerabilità riguardante la sicurezza delle informazioni che possa rappresentare un rischio significativo per la sicurezza aerea sia segnalato o segnalata alla relativa autorità competente. Inoltre:

L’impresa comunica le condizioni di cui alla lettera b) come segue:

L’impresa garantisce che, nell’appaltare una parte delle attività di cui al punto IS.D.OR.200 ad altre imprese, le attività oggetto dell’appalto siano conformi ai requisiti del presente regolamento e l’impresa appaltatrice lavori sotto la sua supervisione. L’impresa garantisce che i rischi associati alle attività oggetto dell’appalto siano adeguatamente gestiti.

L’impresa garantisce che l’autorità competente abbia modo di accedere, su richiesta, all’impresa appaltatrice per stabilire la costante conformità ai requisiti applicabili di cui al presente regolamento.

Il dirigente responsabile dell’impresa o, nel caso delle imprese di progettazione, il capo dell’impresa di progettazione, designato a norma del regolamento (UE) n. 748/2012 e del regolamento (UE) n. 139/2014 di cui all’articolo 2, paragrafo 1, lettere a) e b), del presente regolamento, ha l’autorità giuridica per garantire che tutte le attività richieste dal presente regolamento possano essere finanziate e svolte. Tale persona:

Il dirigente responsabile o, nel caso delle imprese di progettazione, il capo dell’impresa di progettazione nomina una persona o un gruppo di persone che garantisca la conformità dell’impresa ai requisiti del presente regolamento, e definisce la portata della loro autorità. Tale persona o gruppo di persone riferisce direttamente al dirigente responsabile o, nel caso delle imprese di progettazione, al capo dell’impresa di progettazione e dispone delle conoscenze, della preparazione e dell’esperienza adeguate per assolvere le proprie responsabilità. Nelle procedure è stabilito chi farà le veci di una determinata persona in caso di prolungata assenza della stessa.

Il dirigente responsabile o, nel caso delle imprese di progettazione, il capo dell’impresa di progettazione nomina una persona o un gruppo di persone responsabile della gestione della funzione di monitoraggio della conformità di cui al punto IS.D.OR.200, lettera a), punto 12).

Se l’impresa condivide strutture organizzative, politiche, processi e procedure di sicurezza delle informazioni con altre imprese o con aree della propria impresa che non fanno parte dell’approvazione o della dichiarazione, il dirigente responsabile o, nel caso delle imprese di progettazione, il capo dell’impresa di progettazione può delegare le proprie attività a una persona responsabile comune.

In tal caso, sono stabilite misure di coordinamento tra il dirigente responsabile dell’impresa o, nel caso delle imprese di progettazione, il capo dell’impresa di progettazione e la persona responsabile comune per garantire un’adeguata integrazione della gestione della sicurezza delle informazioni all’interno dell’impresa.

Il dirigente responsabile o il capo dell’impresa di progettazione o la persona responsabile comune di cui alla lettera d) ha l’autorità giuridica per stabilire e mantenere le strutture organizzative, le politiche, le procedure e i processi necessari per attuare il punto IS.D.OR.200.

L’impresa dispone di un processo atto a garantire la presenza di personale sufficiente per svolgere le attività contemplate dal presente allegato.

L’impresa dispone di un processo atto a garantire che il personale di cui alla lettera f) abbia le competenze necessarie per svolgere i propri compiti.

L’impresa dispone di un processo atto a garantire che il personale riconosca le responsabilità associate ai ruoli e ai compiti assegnati.

L’impresa garantisce che l’identità e l’affidabilità del personale che ha accesso ai sistemi informativi e ai dati soggetti ai requisiti del presente regolamento siano adeguatamente accertate.

L’organizzazione conserva i registri delle proprie attività di gestione della sicurezza delle informazioni.

L’organizzazione conserva i registri delle qualifiche e dell’esperienza del proprio personale coinvolto nelle attività di gestione della sicurezza delle informazioni.

Il formato dei registri è specificato nelle procedure dell’impresa.

I registri sono conservati in modo da garantire la protezione da danni, alterazioni e furti, identificando le informazioni, se necessario, in base al loro livello di classificazione di sicurezza. L’impresa garantisce che i registri siano conservati utilizzando strumenti che garantiscano l’integrità, l’autenticità e l’accesso autorizzato.

L’impresa mette a disposizione dell’autorità competente un manuale di gestione della sicurezza delle informazioni (ISMM) e, ove applicabile, manuali e procedure di riferimento associati e pertinenti, contenenti:

Il rilascio iniziale dell’ISMM è approvato e l’autorità competente ne conserva una copia. Per le organizzazioni dichiaranti non è necessaria un’approvazione. L’ISMM è modificato in base alle necessità per riflettere sempre una descrizione aggiornata dell’ISMS dell’impresa. Una copia delle eventuali modifiche dell’ISMM è fornita all’autorità competente.

Le modifiche all’ISMM sono gestite secondo una procedura stabilita dall’impresa. Le modifiche non incluse nell’ambito di applicazione di tale procedura e quelle connesse alle modifiche di cui al punto IS.D.OR.255, lettera b), sono approvate dall’autorità competente. Per le organizzazioni dichiaranti non è necessaria un’approvazione.

L’impresa può integrare l’ISMM con altri manuali o guide di gestione in suo possesso, a condizione che vi sia un chiaro riferimento incrociato che indichi quali parti dei manuali o delle guide di gestione corrispondono ai diversi requisiti contenuti nel presente allegato.

Le modifiche dell’ISMS possono essere gestite dall’impresa e notificate all’autorità competente in una procedura sviluppata dall’impresa stessa. Tale procedura è approvata dall’autorità competente, fatta eccezione per le organizzazioni dichiaranti.

Per quanto riguarda le modifiche dell’ISMS non contemplate dalla procedura di cui alla lettera a), l’impresa richiede e ottiene un’approvazione rilasciata dall’autorità competente, fatta eccezione per le organizzazioni dichiaranti, per le quali non è necessaria un’approvazione.

Per quanto riguarda tali modifiche:

L’impresa valuta, utilizzando adeguati indicatori di prestazione, l’efficacia e la maturità dell’ISMS. Tale valutazione è effettuata sulla base di un calendario predefinito dall’impresa o a seguito di un inconveniente per la sicurezza delle informazioni.

Se si riscontrano carenze a seguito della valutazione effettuata conformemente alla lettera a), l’impresa adotta le misure di miglioramento necessarie per garantire che l’ISMS continui a rispettare i requisiti applicabili e mantenga i rischi per la sicurezza delle informazioni a un livello accettabile. L’impresa riesamina inoltre gli elementi dell’ISMS interessati dalle misure adottate.