„f)

taiko ir nuolat atnaujina saugumo valdymo sistemą pagal Įgyvendinimo reglamento (ES) 2017/373 III priedo D skyriaus ATM/ANS.OR.D.010 dalį ir informacijos saugumo valdymo sistemą pagal Įgyvendinimo reglamento (ES) 2023/203 II priedą (IS.I.OR dalį);“;

„l)

parengia, taiko ir nuolat atnaujina informacijos saugumo valdymo sistemą pagal Įgyvendinimo reglamento (ES) 2023/203 I priedą (IS.AR dalį).“

1)

parengtų informacijos saugumo politiką, kurioje būtų nustatyti bendrieji kompetentingos institucijos principai, susiję su galimu informacijos saugumo rizikos poveikiu aviacijos saugai;

2)

pagal IS.AR.205 dalį nustatytų ir peržiūrėtų informacijos saugumo riziką;

3)

pagal IS.AR.210 dalį parengtų ir įgyvendintų veiksmų su informacijos saugumo rizika priemones;

4)

pagal IS.AR.215 dalį parengtų ir įgyvendintų informacijos saugumo įvykiams aptikti skirtas priemones, nustatytų įvykius, kurie laikomi incidentais, galinčiais turėti įtakos aviacijos saugai, ir imtųsi reagavimo į tuos informacijos saugumo incidentus priemonių ir atkurtų veiklą;

5)

su kitomis organizacijomis sudarydama sutartis dėl bet kurios IS.AR.200 dalyje nurodytos veiklos dalies laikytųsi IS.AR.220 dalyje nustatytų reikalavimų;

6)

laikytųsi IS.AR.225 dalyje nustatytų darbuotojų reikalavimų;

7)

laikytųsi IS.AR.230 dalyje nustatytų įrašų saugojimo reikalavimų;

8)

stebėtų, kaip jos pačios organizacija laikosi šio reglamento reikalavimų, ir IS.AR.225 dalies a punkte nurodytam asmeniui teiktų grįžtamąją informaciją apie nustatytus faktus, kad būtų užtikrintas veiksmingas taisomųjų veiksmų įgyvendinimas;

9)

saugotų visos informacijos, kurią kompetentinga institucija gali turėti, susijusios su organizacijomis, kurioms taikoma jos priežiūra, ir informacijos, gautos per organizacijos išorės pranešimų teikimo sistemas, nustatytas pagal šio reglamento II priedo (IS.I.OR dalies) IS.I.OR.230 dalį ir Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.230 dalį, konfidencialumą;

10)

praneštų Agentūrai apie pokyčius, turinčius įtakos kompetentingos institucijos gebėjimui atlikti savo užduotis ir vykdyti šiame reglamente nustatytas pareigas;

11)

nustatytų ir įgyvendintų procedūras, pagal kurias, kai tinkama, praktiškai ir laiku dalijamasi aktualia informacija, siekiant padėti kitoms kompetentingoms institucijoms ir agentūroms, taip pat organizacijoms, kurioms taikomas šis reglamentas, atlikti veiksmingus su jų veikla susijusius saugumo rizikos vertinimus.

1.

kompetentingos institucijos veiklą, infrastruktūrą ir išteklius, taip pat paslaugas, kurias kompetentinga institucija valdo, teikia, gauna ar prižiūri;

2.

įrangą, sistemas, duomenis ir informaciją, kurie padeda užtikrinti 1 punkte išvardytų elementų veikimą.

1.

nustato rizikos lygį pagal kompetentingos institucijos nustatytą iš anksto parengtą klasifikaciją;

2.

kiekvieną riziką ir jos lygį susieja su atitinkamu elementu arba sąsaja, nustatytais pagal a ir b punktus.

1.

pasikeitus elementams, kuriems gali kelti grėsmę informacijos saugumo rizika;

2.

pasikeitus kompetentingos institucijos organizacijos ir kitų organizacijų sąsajoms arba rizikai, apie kurią pranešė kitos organizacijos;

3.

pasikeitus informacijai ar žinioms, naudojamoms rizikai nustatyti, analizuoti ir klasifikuoti;

4.

įgijus patirties vykdant informacijos saugumo incidentų analizę.

1.

kontroliuoti aplinkybes, kurios prisideda prie faktinio grėsmės scenarijaus atsiradimo;

2.

sumažinti su grėsmės scenarijaus išsipildymu susijusias pasekmes aviacijos saugai;

3.

išvengti rizikos.

1.

nustatyti nuokrypius nuo iš anksto nustatytų funkcinio veiksmingumo bazinių verčių;

2.

aktyvuoti įspėjimus, kad bet kokio nuokrypio atveju būtų taikomos tinkamos reagavimo priemonės.

1.

inicijuoti jos pačios organizacijos reakciją į a punkto 2 papunktyje nurodytus įspėjimus, aktyvuojant iš anksto nustatytus išteklius ir veiksmų seką;

2.

sustabdyti išpuolio plitimą ir išvengti visiško grėsmės scenarijaus išsipildymo;

3.

kontroliuoti IS.AR.205 dalies a punkte nustatytų paveiktų elementų veikimą trikties režimu.

1.

pašalinti incidentą sukėlusią aplinkybę arba apriboti ją iki toleruotino lygio;

2.

per jos pačios organizacijos iš anksto nustatytą veiklos atkūrimo laiką užtikrinti, kad paveiktų elementų, nustatytų IS.AR.205 dalies a punkte, būklė būtų saugi.

1.

turi įgaliojimus visapusiškai naudotis ištekliais, kurių reikia, kad kompetentinga institucija galėtų atlikti visas šiame reglamente nustatytas užduotis;

2.

gali perduoti galias, kurių reikia paskirtoms pareigoms atlikti;

1.

Kompetentinga institucija užtikrina, kad būtų archyvuojami ir atsekami šie įrašai:

2.

1 punkto i papunktyje nurodyti įrašai saugomi bent 5 metus nuo sutarties pakeitimo arba nutraukimo.

3.

1 punkto ii ir iii papunkčiuose nurodyti įrašai saugomi bent 5 metus.

4.

1 punkto iv papunktyje nurodyti įrašai saugomi tol, kol tie informacijos saugumo įvykiai bus pakartotinai įvertinti kompetentingos institucijos nustatytoje procedūroje numatytu periodiškumu.

1.

Įrašai apie darbuotojų kvalifikaciją ir patirtį saugomi tol, kol asmuo dirba kompetentingoje institucijoje, ir ne trumpiau kaip 3 metus po to, kai asmuo paliko kompetentingą instituciją.

2.

Jei darbuotojai paprašo, jiems suteikiama prieiga prie jų individualių įrašų. Be to, jei prieš palikdami kompetentingą instituciją jie pateikia prašymą, kompetentinga institucija jiems pateikia jų individualių įrašų kopiją.

1.

parengtų informacijos saugumo politiką, kurioje būtų nustatyti bendrieji organizacijos principai, susiję su galimu informacijos saugumo rizikos poveikiu aviacijos saugai;

2.

pagal IS.I.OR.205 dalį nustatytų ir peržiūrėtų informacijos saugumo riziką;

3.

pagal IS.I.OR.210 dalį parengtų ir įgyvendintų veiksmų su informacijos saugumo rizika priemones;

4.

pagal IS.I.OR.215 dalį įdiegtų informacijos saugumo vidaus pranešimų teikimo sistemą;

5.

pagal IS.I.OR.220 dalį parengtų ir įgyvendintų informacijos saugumo įvykiams aptikti skirtas priemones, nustatytų įvykius, kurie laikomi incidentais, galinčiais turėti įtakos aviacijos saugai, išskyrus leidžiamus atvejus pagal IS.I.OR.205 dalies e punktą, imtųsi reagavimo į tuos informacijos saugumo incidentus priemonių ir atkurtų veiklą;

6.

įgyvendintų neatidėliotino reagavimo į informacijos saugumo incidentą arba pažeidžiamumą, darantį poveikį aviacijos saugai, priemones, apie kurias pranešė kompetentinga institucija;

7.

pagal IS.I.OR.225 dalį imtųsi tinkamų veiksmų, kad pašalintų pažeidimus, apie kuriuos pranešė kompetentinga institucija;

8.

pagal IS.I.OR.230 dalį įdiegtų išorės pranešimų teikimo sistemą, kad kompetentinga institucija galėtų imtis tinkamų veiksmų;

9.

su kitomis organizacijomis sudarydama sutartis dėl kurios nors IS.I.OR.200 dalyje nurodytos veiklos dalies laikytųsi IS.I.OR.235 dalyje nustatytų reikalavimų;

10.

laikytųsi IS.I.OR.240 dalyje nustatytų darbuotojų reikalavimų;

11.

laikytųsi IS.I.OR.245 dalyje nustatytų įrašų saugojimo reikalavimų;

12.

stebėtų, kaip organizacija laikosi šio reglamento reikalavimų, ir atsakingam vadovui teiktų grįžtamąją informaciją apie nustatytus faktus, kad būtų užtikrintas veiksmingas taisomųjų veiksmų įgyvendinimas;

13.

nedarydama poveikio taikytiniems pranešimo apie incidentus reikalavimams, saugotų bet kokios informacijos, kurią organizacija gavo iš kitų organizacijų, konfidencialumą, atsižvelgdama į jos slaptumo lygį.

1.

organizacijos veiklą, įrenginius ir išteklius, taip pat paslaugas, kurias organizacija valdo, teikia, gauna ar prižiūri;

2.

įrangą, sistemas, duomenis ir informaciją, kurie padeda užtikrinti 1 punkte išvardytų elementų veikimą.

1.

nustato rizikos lygį pagal organizacijos nustatytą iš anksto parengtą klasifikaciją;

2.

kiekvieną riziką ir jos lygį susieja su atitinkamu elementu arba sąsaja, nustatytais pagal a ir b punktus.

1.

pasikeitus elementams, kuriems gali kelti grėsmę informacijos saugumo rizika;

2.

pasikeitus organizacijos ir kitų organizacijų sąsajoms arba rizikai, apie kurią pranešė kitos organizacijos;

3.

pasikeitus informacijai ar žinioms, naudojamoms rizikai nustatyti, analizuoti ir klasifikuoti;

4.

įgijus patirties vykdant informacijos saugumo incidentų analizę.

1.

kontroliuoti aplinkybes, kurios prisideda prie faktinio grėsmės scenarijaus atsiradimo;

2.

sumažinti su grėsmės scenarijaus išsipildymu susijusias pasekmes aviacijos saugai;

3.

išvengti rizikos.

1.

nustatyti, kurie iš įvykių, apie kuriuos pranešta pagal a punktą, laikomi informacijos saugumo incidentais arba pažeidžiamumu, galinčiais turėti įtakos aviacijos saugai;

2.

identifikuoti pagal 1 punktą nustatytų informacijos saugumo incidentų ir pažeidžiamumo priežastis ir juos lemiančius veiksnius, taip pat juos pašalinti taikant informacijos saugumo rizikos valdymo procesą pagal IS.I.OR.205 ir IS.I.OR.220 dalis;

3.

užtikrinti, kad visa žinoma svarbi informacija, susijusi su informacijos saugumo incidentais ir pažeidžiamumu, nustatytais pagal 1 punktą, būtų įvertinta;

4.

užtikrinti, kad prireikus būtų taikomas informacijos vidaus platinimo metodas.

1.

nustatyti nuokrypius nuo iš anksto nustatytų funkcinio veiksmingumo bazinių verčių;

2.

aktyvuoti įspėjimus, kad bet kokio nuokrypio atveju būtų taikomos tinkamos reagavimo priemonės.

1.

inicijuoti reakciją į a punkto 2 papunktyje nurodytus įspėjimus, aktyvuojant iš anksto nustatytus išteklius ir veiksmų seką;

2.

sustabdyti išpuolio plitimą ir išvengti visiško grėsmės scenarijaus išsipildymo;

3.

kontroliuoti IS.I.OR.205 dalies a punkte nustatytų paveiktų elementų veikimą trikties režimu.

1.

pašalinti incidentą sukėlusią aplinkybę arba apriboti ją iki toleruotino lygio;

2.

per organizacijos iš anksto nustatytą veiklos atkūrimo laiką užtikrinti, kad paveiktų elementų, kurie apibrėžti IS.I.OR.205 dalies a punkte, būklė būtų saugi.

1.

nustato pagrindinę neatitikties priežastį (-is) bei tos neatitikties veiksnius;

2.

parengia taisomųjų veiksmų planą;

3.

kompetentingai institucijai priimtinu būdu įrodo, kad neatitiktis yra pašalinta.

1.

jei toks incidentas ar pažeidžiamumas daro poveikį orlaiviui arba susijusiai sistemai ar komponentui, organizacija apie tai taip pat praneša projekto patvirtinimo turėtojui;

2.

jei toks incidentas ar pažeidžiamumas daro poveikį organizacijos naudojamai sistemai ar sudedamajai daliai, organizacija apie tai praneša organizacijai, atsakingai už sistemos ar sudedamosios dalies projektavimą.

1.

pranešimas pateikiamas kompetentingai institucijai ir, jei taikoma, projekto patvirtinimo turėtojui arba organizacijai, atsakingai už sistemos ar sudedamosios dalies projektavimą, kai tik organizacija sužino apie aplinkybę;

2.

pranešimas pateikiamas kompetentingai institucijai ir, jei taikoma, projekto patvirtinimo turėtojui arba už sistemos ar sudedamosios dalies projektavimą atsakingai organizacijai kuo greičiau ir ne vėliau kaip per 72 valandas nuo momento, kai organizacija sužinojo apie aplinkybę, nebent tai būtų neįmanoma dėl išskirtinių sąlygų.

Pranešimas parengiamas kompetentingos institucijos nustatyta forma ir jame pateikiama visa svarbi informacija apie organizacijai žinomą aplinkybę;

3.

kompetentingai institucijai ir, jei taikoma, projekto patvirtinimo turėtojui arba už sistemos ar sudedamosios dalies projektavimą atsakingai organizacijai pateikiama tolesnių veiksmų ataskaita, kurioje pateikiama išsami informacija apie veiksmus, kurių organizacija ėmėsi arba ketina imtis, kad atkurtų veiklą po incidento, ir apie veiksmus, kurių ji ketina imtis, kad ateityje užkirstų kelią panašiems informacijos saugumo incidentams.

Tolesnių veiksmų ataskaita pateikiama iš karto, kai tik nustatomi tie veiksmai, ir parengiama kompetentingos institucijos nustatyta forma.

1.

užtikrina, kad būtų prieinami visi šio reglamento reikalavimams įvykdyti būtini ištekliai;

2.

parengia S.I.OR.200 dalies a punkto 1 papunktyje nurodytą informacijos saugumo politiką ir skatina ją taikyti;

3.

įrodo, kad yra iš esmės susipažinęs su šiuo reglamentu.

1.

Organizacija užtikrina, kad būtų archyvuojami ir atsekami šie įrašai:

2.

1 punkto i papunktyje nurodyti įrašai saugomi bent 5 metus nuo patvirtinimo galiojimo pabaigos.

3.

1 punkto ii papunktyje nurodyti įrašai saugomi bent 5 metus nuo sutarties pakeitimo arba nutraukimo.

4.

1 punkto iii, iv ir v papunkčiuose nurodyti įrašai saugomi bent 5 metus.

5.

1 punkto vi papunktyje nurodyti įrašai saugomi tol, kol tie informacijos saugumo įvykiai bus pakartotinai įvertinti organizacijos nustatytoje tvarkoje numatytu periodiškumu.

1.

Įrašai apie darbuotojų kvalifikaciją ir patirtį saugomi tol, kol asmuo dirba organizacijoje, ir ne trumpiau kaip 3 metus po to, kai asmuo paliko organizaciją.

2.

Jei darbuotojai paprašo, jiems suteikiama prieiga prie jų individualių įrašų. Be to, jei prieš palikdami organizaciją jie pateikia prašymą, organizacija jiems pateikia jų individualių įrašų kopiją.

1.

atsakingo vadovo pasirašytas pareiškimas, kuriuo patvirtinama, kad organizacija visą laiką dirbs pagal šio priedo ir ISVV reikalavimus. Jei atsakingas vadovas nėra organizacijos vykdomasis direktorius (CEO), pareiškimą pasirašo vykdomasis direktorius;

2.

IS.I.OR.240 dalies b ir c punktuose nurodyto asmens (-ų) vardas (-ai) ir pavardė (-ės), pareigos, atskaitomybė, atsakomybė ir įgaliojimai;

3.

jei taikoma, IS.I.OR.240 dalies d punkte nurodyto bendro asmens vardas, pavardė, pareigos, atskaitomybė, atsakomybė ir įgaliojimai;

4.

organizacijos informacijos saugumo politika, nurodyta IS.I.OR.200 dalies a punkto 1 papunktyje;

5.

bendras turimų darbuotojų skaičiaus, jų kategorijų bei apsirūpinimo darbuotojais planavimo sistemos, reikalaujamos IS.I.OR.240 dalyje, aprašymas;

6.

pagrindinių asmenų, atsakingų už IS.I.OR.200 dalies įgyvendinimą, įskaitant asmenį (-is), atsakingą (-us) už atitikties stebėsenos funkciją, nurodytą IS.I.OR.200 dalies a punkto 12 papunktyje, pareigos, atskaitomybė, atsakomybė ir įgaliojimai;

7.

organizacijos struktūros schema, kurioje nurodyti susiję 2 ir 6 punktuose nurodytų asmenų atskaitomybės ir atsakomybės ryšiai;

8.

vidaus pranešimų teikimo sistemos, nurodytos IS.I.OR.215 dalyje, aprašymas;

9.

procedūros, kuriomis nustatoma, kaip organizacija užtikrina atitiktį šiai daliai, visų pirma:

10.

išsami informacija apie esamas patvirtintas alternatyvias atitikties užtikrinimo priemones.

1.

prašymas pateikiamas prieš įgyvendinant tokį pakeitimą, kad kompetentinga institucija galėtų nustatyti, ar tebesilaikoma šio reglamento, ir, jei reikia, iš dalies pakeisti organizacijos pažymėjimą ir atitinkamas prie jo pridėto patvirtinimo sąlygas.

2.

organizacija pateikia kompetentingai institucijai visą informaciją, kurios ji prašo pakeitimui įvertinti;

3.

pakeitimas įgyvendinamas tik gavus oficialų kompetentingos institucijos patvirtinimą;

4.

tokių pakeitimų įgyvendinimo metu organizacija veikia kompetentingos institucijos nustatytomis sąlygomis.

a)

ARA.GEN.125 dalis papildoma c punktu:

b)

po ARA.GEN.135 dalies įterpiama ARA.GEN.135A dalis:

„ARA.GEN.135A. Neatidėliotinas reagavimas į informacijos saugumo incidentą arba pažeidžiamumą, darančius poveikį aviacijos saugai

c)

ARA.GEN.200 dalis papildoma e punktu:

d)

ARA.GEN.205 dalis iš dalies keičiama taip:

e)

ARA.GEN.300 dalis papildoma g punktu:

f)

po ARA.GEN.330 dalies įterpiama ARA.GEN.330A dalis:

„ARA.GEN.330A. Informacijos saugumo valdymo sistemos pakeitimai

(a)

po 21.B.20 antraštės įterpiama ši antraštė:

„21.B.20A. Neatidėliotinas reagavimas į informacijos saugumo incidentą arba pažeidžiamumą, darančius poveikį aviacijos saugai“;

(b)

21.B.30 dalies antraštė pakeičiama taip:

„21.B.30. Užduočių paskirstymas“;

(c)

po 21.B.240 antraštės įterpiama ši antraštė:

„21.B.240A. Informacijos saugumo valdymo sistemos pakeitimai“;

(d)

po 21.B.435 antraštės įterpiama ši antraštė:

„21.B.435A. Informacijos saugumo valdymo sistemos pakeitimai“;

„c)

Valstybės narės kompetentinga institucija Agentūrai kuo greičiau pateikia saugos požiūriu svarbią informaciją, gautą iš informacijos saugumo ataskaitų, kurias ji gavo pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.230 dalį.“;

a)

Kompetentinga institucija įgyvendina sistemą, pagal kurią būtų tinkamai renkama, analizuojama ir skleidžiama informacija, susijusi su informacijos saugumo incidentais ir pažeidžiamumu, galinčiais turėti poveikį aviacijos saugai, apie kuriuos praneša organizacijos. Tai daroma koordinuojant veiksmus su visomis kitomis atitinkamomis institucijomis, atsakingomis už informacijos saugumą ar kibernetinį saugumą valstybėje narėje, kad būtų pagerintas pranešimų teikimo sistemų koordinavimas ir suderinamumas.

b)

Agentūra įgyvendina sistemą, kad tinkamai išanalizuotų visą aktualią saugos požiūriu svarbią informaciją, gautą pagal 21.B.15 dalies c punktą, ir nepagrįstai nedelsdama pateiktų valstybėms narėms ir Komisijai visą informaciją, įskaitant rekomendacijas ar taisomuosius veiksmus, kurių reikia imtis, kad jos galėtų laiku reaguoti į informacijos saugumo incidentą arba pažeidžiamumą, galinčius turėti poveikį aviacijos saugai, susijusį su gaminiais, dalimis, kilnojamąja įranga, asmenimis ar organizacijomis, kuriems taikomas Reglamentas (ES) 2018/1139 ir jo deleguotieji ir įgyvendinimo aktai.

c)

Gavusi a ir b punktuose nurodytos informacijos, kompetentinga institucija imasi tinkamų priemonių, kad pašalintų galimą informacijos saugumo incidento ar pažeidžiamumo poveikį aviacijos saugai.

d)

Apie priemones, kurių imamasi pagal c punktą, nedelsiant pranešama visiems asmenims arba organizacijoms, kurie jas turi taikyti pagal Reglamentą (ES) 2018/1139 ir jo deleguotuosius bei įgyvendinimo aktus. Valstybės narės kompetentinga institucija apie šias priemones taip pat praneša Agentūrai ir, jei reikia imtis bendrų veiksmų, kitų susijusių valstybių narių kompetentingoms institucijoms.“;

„e)

Be a punkte nustatytų reikalavimų, kompetentingos institucijos sukurta ir prižiūrima valdymo sistema turi atitikti Įgyvendinimo reglamento (ES) 2023/203 I priedą (IS.AR dalį), kad būtų užtikrintas tinkamas informacijos saugumo rizikos, kuri gali daryti poveikį aviacijos saugai, valdymas.“;

a)

antraštė pakeičiama taip:

„21.B.30. Užduočių paskirstymas“;

b)

pridedamas c punktas:

„g)

Vykdydama organizacijos sertifikavimą ir 21.A.139A dalies reikalavimų laikymosi priežiūrą, kompetentinga institucija ne tik laikosi a–f punktų, bet ir peržiūri visus patvirtinimus, suteiktus pagal šio reglamento IS.I.OR.200 dalies e punktą arba Deleguotojo reglamento (ES) 2022/1645 IS.D.OR.200 dalies e punktą, po taikomo priežiūros audito ciklo ir visais atvejais, kai įgyvendinami organizacijos darbo apimties pakeitimai.“;

a)

Dėl pakeitimų, kuriuos valdo kompetentinga institucija ir apie kuriuos jai pranešama pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.255 dalies a punkte nustatytą procedūrą, kompetentinga institucija tokių pakeitimų peržiūrą įtraukia į savo nuolatinę priežiūrą pagal 21.B.221 dalyje išdėstytus principus. Jei nustatoma kokia nors neatitiktis, kompetentinga institucija apie tai praneša organizacijai, paprašo atlikti papildomus pakeitimus ir imasi veiksmų pagal 21.B.225 dalį.

b)

Dėl kitų pakeitimų, dėl kurių reikia pateikti patvirtinimo paraišką pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.255 dalies b punktą:

„d)

Sertifikuodama organizaciją ir prižiūrėdama, kaip ji laikosi 21.A.239A dalies reikalavimų, kompetentinga institucija laikosi ne tik a–c punktų, bet ir šių principų:

a)

Dėl pakeitimų, kuriuos valdo kompetentinga institucija ir apie kuriuos jai pranešama pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.255 dalies a punkte nustatytą procedūrą, kompetentinga institucija tokių pakeitimų peržiūrą įtraukia į savo nuolatinę priežiūrą pagal 21.B.431 dalyje išdėstytus principus. Jei nustatoma kokia nors neatitiktis, kompetentinga institucija apie tai praneša organizacijai, paprašo atlikti papildomus pakeitimus ir imasi veiksmų pagal 21.B.433 dalį.

b)

Dėl kitų pakeitimų, dėl kurių reikia pateikti patvirtinimo paraišką pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.255 dalies b punktą:

a)

ARO.GEN.125 dalis papildoma c punktu:

b)

po ARO.GEN.135 dalies įterpiama ARO.GEN.135A dalis:

„ARO.GEN.135A.    Neatidėliotinas reagavimas į informacijos saugumo incidentą arba pažeidžiamumą, darančius poveikį aviacijos saugai

c)

ARO.GEN.200 dalis papildoma e punktu:

d)

ARO.GEN.205 dalis iš dalies keičiama taip:

e)

ARO.GEN.300 dalis papildoma g punktu:

f)

po ARO.GEN.330 dalies įterpiama ARO.GEN.330A dalis:

„ARO.GEN.330A.    Informacijos saugumo valdymo sistemos pakeitimai

„c)

Valstybės narės kompetentinga institucija Agentūrai kuo greičiau pateikia saugos požiūriu svarbią informaciją, gautą iš informacijos saugumo ataskaitų, kurias ji gavo pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.230 dalį.“;

a)

Kompetentinga institucija įgyvendina sistemą, pagal kurią būtų tinkamai renkama, analizuojama ir skleidžiama informacija, susijusi su informacijos saugumo incidentais ir pažeidžiamumu, galinčiais turėti poveikį aviacijos saugai, apie kuriuos praneša organizacijos. Tai daroma koordinuojant veiksmus su visomis kitomis atitinkamomis institucijomis, atsakingomis už informacijos saugumą ar kibernetinį saugumą valstybėje narėje, kad būtų pagerintas pranešimų teikimo sistemų koordinavimas ir suderinamumas.

b)

Agentūra įgyvendina sistemą, kad tinkamai išanalizuotų visą aktualią saugos požiūriu svarbią informaciją, gautą pagal ADR.AR.A.025 dalies c punktą, ir nepagrįstai nedelsdama pateiktų valstybėms narėms ir Komisijai visą informaciją, įskaitant rekomendacijas ar taisomuosius veiksmus, kurių reikia imtis, kad jos galėtų laiku reaguoti į informacijos saugumo incidentą arba pažeidžiamumą, galinčius turėti poveikį aviacijos saugai, susijusį su gaminiais, dalimis, kilnojamąja įranga, asmenimis ar organizacijomis, kuriems taikomas Reglamentas (ES) 2018/1139 ir jo deleguotieji ir įgyvendinimo aktai.

c)

Gavusi a ir b punktuose nurodytos informacijos, kompetentinga institucija imasi tinkamų priemonių, kad pašalintų galimą informacijos saugumo incidento ar pažeidžiamumo poveikį aviacijos saugai.

d)

Apie priemones, kurių imamasi pagal c punktą, nedelsiant pranešama visiems asmenims arba organizacijoms, kurie jas turi taikyti pagal Reglamentą (ES) 2018/1139 ir jo deleguotuosius bei įgyvendinimo aktus. Valstybės narės kompetentinga institucija apie šias priemones taip pat praneša Agentūrai ir, jei reikia imtis bendrų veiksmų, kitų susijusių valstybių narių kompetentingoms institucijoms.“;

„d)

Be a punkte nustatytų reikalavimų, kompetentingos institucijos sukurta ir prižiūrima valdymo sistema turi atitikti Įgyvendinimo reglamento (ES) 2023/203 I priedą (IS.AR dalį), kad būtų užtikrintas tinkamas informacijos saugumo rizikos, kuri gali daryti poveikį aviacijos saugumui, valdymas.“;

i)

antraštė pakeičiama taip:

„ADR.AR.B.010. Užduočių paskirstymas“;

ii)

pridedamas c punktas:

„f)

Vykdydama organizacijos ADR.OR.D.005A dalies reikalavimų laikymosi sertifikavimą ir priežiūrą, kompetentinga institucija ne tik laikosi a–e punktų, bet ir peržiūri visus patvirtinimus, suteiktus pagal šio reglamento IS.I.OR.200 dalies e punktą arba Deleguotojo reglamento (ES) 2022/1645 IS.D.OR.200 dalies e punktą, po taikomo priežiūros audito ciklo ir visais atvejais, kai įgyvendinami organizacijos darbo apimties pakeitimai.“;

a)

Dėl pakeitimų, kurie administruojami ir apie kuriuos kompetentingai institucijai pranešama pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.255 dalies a punkte nustatytą procedūrą, kompetentinga institucija tokių pakeitimų peržiūrą įtraukia į savo nuolatinę priežiūrą pagal ADR.AR.C.005 dalyje išdėstytus principus. Jei nustatoma kokia nors neatitiktis, kompetentinga institucija apie tai praneša organizacijai, paprašo atlikti papildomus pakeitimus ir imasi veiksmų pagal ADR.AR.C.055 dalį.

b)

Dėl kitų pakeitimų, dėl kurių reikia pateikti patvirtinimo paraišką pagal Deleguotojo reglamento (ES) 2022/1645 priedo (IS.D.OR dalies) IS.D.OR.255 dalies b punktą:

a)

turinys iš dalies keičiamas taip:

b)

po 145.A.200 dalies įrašoma 145.A.200A dalis:

„145.A.200A.    Informacijos saugumo valdymo sistema

Be 145.A.200 dalyje nurodytos valdymo sistemos, techninės priežiūros organizacija pagal Įgyvendinimo reglamentą (ES) 2023/203 parengia, įdiegia ir nuolat atnaujina informacijos saugumo valdymo sistemą, kad užtikrintų tinkamą informacijos saugumo rizikos, kuri gali daryti poveikį aviacijos saugai, valdymą.“;

c)

145.B.125 dalis papildoma c punktu:

d)

po 145.B.135 dalies įrašoma 145.B.135A dalis:

„145.B.135A.    Neatidėliotinas reagavimas į informacijos saugumo incidentą arba pažeidžiamumą, darančius poveikį aviacijos saugai

e)

145.B.200 dalis papildoma e punktu:

(f)

145.B.205 dalis iš dalies keičiama taip:

g)

145.B.300 dalis papildoma g punktu:

h)

po 145.B.330 dalies įrašoma 145.B.330A dalis:

„145.B.330A.    Informacijos saugumo valdymo sistemos pakeitimai

a)

turinyje po 66.B.10 antraštės įterpiama ši antraštė:

b)

po 66.B.10 dalies įterpiama 66.B.15 dalis:

„66.B.15.    Informacijos saugumo valdymo sistema

Kompetentinga institucija sukuria, įdiegia ir prižiūri informacijos saugumo valdymo sistemą pagal Įgyvendinimo reglamento (ES) 2023/203 I priedą (IS.AR dalį), kad užtikrintų tinkamą informacijos saugumo rizikos, kuri gali turėti įtakos aviacijos saugai, valdymą.“;

a)

turinys iš dalies keičiamas taip:

b)

po CAMO.A.200 dalies įterpiama CAMO.A.200A dalis:

„CAMO.A.200A.    Informacijos saugumo valdymo sistema

Be CAMO.A.200 dalyje nurodytos valdymo sistemos, organizacija pagal Įgyvendinimo reglamentą (ES) 2023/203 parengia, įdiegia ir nuolat atnaujina informacijos saugumo valdymo sistemą, kad užtikrintų tinkamą informacijos saugumo rizikos, kuri gali daryti poveikį aviacijos saugumui, valdymą.“;

c)

CAMO.B.125 dalis papildoma c punktu:

d)

po CAMO.B.135 dalies įterpiama CAMO.B.135A dalis:

„CAMO.B.135A.    Neatidėliotinas reagavimas į informacijos saugumo incidentą arba pažeidžiamumą, darančius poveikį aviacijos saugai

e)

CAMO.B.200 dalis papildoma e punktu:

f)

CAMO.B.205 dalis iš dalies keičiama taip:

g)

CAMO.B.300 dalis papildoma g punktu:

h)

po CAMO.B.330 dalies įterpiama CAMO.B.330A dalis:

„CAMO.B.330A.    Informacijos saugumo valdymo sistemos pakeitimai

a)

ATCO.AR.A.020 dalis papildoma c punktu:

b)

po ATCO.AR.A.025 dalies įterpiama ATCO.AR.A.025A dalis:

„ATCO.AR.A.025A.    Neatidėliotinas reagavimas į informacijos saugumo incidentą arba pažeidžiamumą, darančius poveikį aviacijos saugai

c)

ATCO.AR.B.001 dalis papildoma e punktu:

d)

ATCO.AR.B.005 dalis iš dalies keičiama taip:

e)

ATCO.AR.C.001 dalis papildoma f punktu:

f)

po ATCO.AR.E.010 dalies įterpiama ATCO.AR.E.010A dalis:

„ATCO.AR.E.010A.    Informacijos saugumo valdymo sistemos pakeitimai

a)

ATM/ANS.AR.A.020 dalis papildoma c punktu:

b)

po ATM/ANS.AR.A.025 dalies įterpiama ATM/ANS.AR.A.025A dalis:

„ATM/ANS.AR.A.025A. Neatidėliotinas reagavimas į informacijos saugumo incidentą arba pažeidžiamumą, darančius poveikį aviacijos saugai

c)

ATM/ANS.AR.B.001 dalis papildoma e punktu:

d)

ATM/ANS.AR.B.005 dalis iš dalies keičiama taip:

e)

ATM/ANS.AR.C.010 dalis papildoma d punktu:

f)

po ATM/ANS.AR.C.025 dalies įterpiama ATM/ANS.AR.C.025A dalis:

„ATM/ANS.AR.C.025A. Informacijos saugumo valdymo sistemos pakeitimai

a)

po ATM/ANS.OR.B.005 dalies įterpiama ATM/ANS.OR.B.005A dalis:

„ATM/ANS.OR.B.005A. Informacijos saugumo valdymo sistema

Be ATM/ANS.OR.B.005 dalyje nurodytos valdymo sistemos, paslaugų teikėjas pagal Įgyvendinimo reglamentą (ES) 2023/203 parengia, įdiegia ir nuolat atnaujina informacijos saugumo valdymo sistemą, kad užtikrintų tinkamą informacijos saugumo rizikos, kuri gali daryti poveikį aviacijos saugumui, valdymą.“;

b)

ATM/ANS.OR.D.010 dalis pakeičiama taip:

„ATM/ANS.OR.D.010. Saugumo valdymas