1)

“informācijas drošība” ir tīklu un informācijas sistēmu konfidencialitātes, integritātes, autentiskuma un darbgatavības saglabāšana;

2)

“informācijas drošības notikums” ir identificēta sistēmas, pakalpojuma vai tīkla stāvokļa rašanās, norādot uz iespējamu informācijas drošības politikas neievērošanu vai informācijas drošības kontroles kļūdu, vai iepriekš nezināma situācija, kas var būt svarīga informācijas drošībai;

3)

“incidents” ir jebkāds notikums, kas nelabvēlīgi ietekmē tīklu un informācijas sistēmu drošību, kā definēts Direktīvas (ES) 2016/1148 4. panta 7. punktā;

4)

“informācijas drošības risks” ir risks, kas informācijas drošības notikuma iespējamības dēļ apdraud organizācijas civilās aviācijas darbības, aktīvus, indivīdus un citas organizācijas. Informācijas drošības riski ir saistīti ar apdraudējumu spēju izmantot informācijas aktīva vai informācijas aktīvu grupas ievainojamības;

5)

“apdraudējums” ir informācijas drošības pārkāpuma iespējamība, kas pastāv, ja ir subjekts, apstāklis, darbība vai notikums, kas varētu radīt kaitējumu;

6)

“ievainojamība” ir aktīva vai sistēmas, procedūru, projekta, īstenošanas vai informācijas drošības pasākumu nepilnība vai trūkums, ko varētu izmantot un izraisīt informācijas drošības politikas neievērošanu vai pārkāpumu.

1)

satura rādītāju groza šādi:

2)

pēc 21.A.139. punkta iekļauj šādu 21.A.139.A punktu:

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, papildus 21.A.139. punktā prasītajai ražošanas pārvaldības sistēmai ražošanas organizācija izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Komisijas Deleģēto regulu (ES) 2022/1645 (*1).

(*1)  Komisijas Deleģētā regula (ES) 2022/1645 (2022. gada 14. jūlijs), ar ko paredz noteikumus par Eiropas Parlamenta un Padomes Regulas (ES) 2018/1139 piemērošanu attiecībā uz prasībām par tādu informācijas drošības risku pārvaldību, kuri spēj ietekmēt aviācijas drošumu, kas noteiktas organizācijām, uz kurām attiecas Komisijas Regulas (ES) Nr. 748/2012 un (ES) Nr. 139/2014, un ar ko groza Komisijas Regulas (ES) Nr. 748/2012 un (ES) Nr. 139/2014 (OV L 248, 26.9.2022., 18.. lpp.).”;"

3)

pēc 21.A.239. punkta iekļauj šādu 21.A.239.A punktu:

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, papildus 21.A.239. punktā prasītajai projekta nodrošināšanas sistēmai projektēšanas organizācija izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Deleģēto regulu (ES) 2022/1645.”

1)

pēc ADR.OR.D.005. punkta iekļauj šādu ADR.OR.D.005.A punktu:

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, lidlauka ekspluatants izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Komisijas Deleģēto regulu (ES) 2022/1645 (*2).

(*2)  Komisijas Deleģētā regula (ES) 2022/1645 (2022. gada 14. jūlijs), ar ko paredz noteikumus par Eiropas Parlamenta un Padomes Regulas (ES) 2018/1139 piemērošanu attiecībā uz prasībām par tādu informācijas drošības risku pārvaldību, kuri spēj ietekmēt aviācijas drošumu, kas noteiktas organizācijām, uz kurām attiecas Komisijas Regulas (ES) Nr. 748/2012 un (ES) Nr. 139/2014, un ar ko groza Komisijas Regulas (ES) Nr. 748/2012 un (ES) Nr. 139/2014 (OV L 248, 26.9.2022., 18.. lpp.).”;"

2)

pielikuma ADR.OR.D.007. punktu aizstāj ar šādu:

3)

pēc ADR.OR.F.045. punkta iekļauj šādu ADR.OR.F.045.A punktu:

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, organizācija, kas atbild par perona pārvaldības pakalpojumu sniegšanu, izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Deleģēto regulu (ES) 2022/1645.”

IS.D.OR.100.

IS.D.OR.200.

IS.D.OR.205.

IS.D.OR.210.

IS.D.OR.215.

IS.D.OR.220.

IS.D.OR.225.

IS.D.OR.230.

IS.D.OR.235.

IS.D.OR.240.

IS.D.OR.245.

IS.D.OR.250.

IS.D.OR.255.

IS.D.OR.260.

a)

Lai sasniegtu 1. pantā noteiktos mērķus, organizācija izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu (IDPS), kas nodrošina, ka organizācija:

b)

Lai nodrošinātu pastāvīgu atbilstību 1. pantā minētajām prasībām, organizācija īsteno pastāvīgu uzlabojumu procesu saskaņā ar IS.D.OR.260. punktu.

c)

Organizācija saskaņā ar IS.D.OR.250. punktu dokumentē visus galvenos procesus, procedūras, funkcijas un pienākumus, kas vajadzīgi, lai izpildītu IS.D.OR.200. punkta a) apakšpunkta prasības, un izveido minētās dokumentācijas grozījumu veikšanas procesu. Šo procesu, procedūru, funkciju un pienākumu izmaiņas pārvalda saskaņā ar IS.D.OR.255. punktu.

d)

Procesi, procedūras, funkcijas un pienākumi, ko organizācija noteikusi, lai izpildītu IS.D.OR.200. punkta a) apakšpunkta prasības, atbilst tās darbību veidam un sarežģītībai, pamatojoties uz šīm darbībām raksturīgo informācijas drošības risku novērtējumu, un tos var integrēt citās esošās pārvaldības sistēmās, ko organizācija jau ir ieviesusi.

e)

Neskarot pienākumu nodrošināt atbilstību Eiropas Parlamenta un Padomes Regulā (ES) Nr. 376/2014 (1) ietvertajām ziņošanas prasībām un IS.D.OR.200. punkta a) apakšpunkta 13. punkta prasībām, kompetentā iestāde var organizācijai dot atļauju neīstenot prasības, kas minētas a) līdz d) apakšpunktā, un saistītās prasības, kas ietvertas IS.D.OR.205. līdz IS.D.OR.260. punktā, ja organizācija minētajai iestādei pārliecinoši pierāda, ka tās darbības, objekti un resursi, kā arī tās sniegtie, nodrošinātie, saņemtie un uzturētie pakalpojumi ne attiecīgajai organizācijai, ne citām organizācijām nerada informācijas drošības riskus, kas spēj ietekmēt aviācijas drošumu. Atļauja pamatojas uz dokumentētu informācijas drošības riska novērtējumu, ko organizācija vai trešā persona veikusi saskaņā ar IS.D.OR.205. punktu un ko pārskatījusi un apstiprinājusi tās kompetentā iestāde.

Pēc piemērojamā pārraudzības revīzijas cikla un ikreiz, kad tiek ieviestas organizācijas darbības jomas izmaiņas, kompetentā iestāde pārskatīs minētās atļaujas turpmāko derīgumu.

a)

Organizācija identificē visus tās elementus, kas varētu būt pakļauti informācijas drošības riskiem. Tas ietver:

b)

Organizācija identificē saskarnes, kas tai ir ar citām organizācijām un varētu radīt savstarpēju pakļautību informācijas drošības riskiem.

c)

Attiecībā uz a) un b) apakšpunktā minētajiem elementiem un saskarnēm organizācija identificē informācijas drošības riskus, kas varētu spēt ietekmēt aviācijas drošumu. Attiecībā uz katru identificēto risku organizācija:

Iepriekšnoteiktajā klasifikācijā, kas minēta 1. punktā, ņem vērā apdraudējuma scenārija īstenošanās iespējamību un to, cik smagi tā sekas ietekmētu drošumu. Pamatojoties uz minēto klasifikāciju un ņemot vērā to, vai organizācijā ir strukturēts un atkārtojams darbības riska pārvaldības process, organizācijai jāspēj noteikt, vai risks ir pieņemams, vai arī tas ir jārisina saskaņā ar IS.D.OR.210. punktu.

Lai veicinātu riska novērtējumu savstarpēju salīdzināmību, riska līmeņa noteikšanā saskaņā ar 1. punktu ņem vērā attiecīgo informāciju, kas iegūta koordinācijā ar b) apakšpunktā minētajām organizācijām.

d)

Organizācija saskaņā ar a), b) un c) apakšpunktu veikto riska novērtējumu pārskata un atjaunina jebkurā no šādām situācijām:

a)

Organizācija izstrādā pasākumus, ar kuriem novērst nepieņemamus riskus, kas identificēti saskaņā ar IS.D.OR.205. punktu, laikus īsteno tos un pārbauda to pastāvīgu rezultativitāti. Šie pasākumi organizācijai ļauj:

Šie pasākumi nerada jaunus iespējami nepieņemamus riskus, kas apdraud aviācijas drošumu.

b)

Personu, kas minēta IS.D.OR.240. punkta a) un b) apakšpunktā, un citu ietekmēto organizācijas personālu informē par saskaņā ar IS.D.OR.205. punktu veiktā riska novērtējuma rezultātiem, attiecīgajiem apdraudējuma scenārijiem un īstenojamajiem pasākumiem.

Organizācija arī informē organizācijas, ar kurām tai ir saskarne saskaņā ar IS.D.OR.205. punkta b) apakšpunktu, par visiem abu organizāciju dalītajiem riskiem.

a)

Organizācija izveido iekšējās ziņošanas sistēmu, kas ļauj apkopot un izvērtēt informācijas drošības notikumus, tostarp notikumus, par kuriem jāziņo saskaņā ar IS.D.OR.230. punktu.

b)

Minētā sistēma un IS.D.OR.220. punktā minētais process organizācijai ļauj:

c)

Visām nolīgtām organizācijām, kuras var pakļaut attiecīgo organizāciju informācijas drošības riskiem, kas spēj ietekmēt aviācijas drošumu, ir pienākums ziņot organizācijai par informācijas drošības notikumiem. Minētos ziņojumus iesniedz, izmantojot procedūras, kas īpaši noteiktas līgumos, un tos izvērtē saskaņā ar b) apakšpunktu.

d)

Organizācija izmeklēšanas jomā sadarbojas ar visām citām organizācijām, kas sniedz būtisku ieguldījumu organizācijas darbību informācijas drošībā.

e)

Organizācija var minēto ziņošanas sistēmu integrēt ar citām ziņošanas sistēmām, ko tā jau ir ieviesusi.

a)

Pamatojoties uz saskaņā ar IS.D.OR.205. punktu veiktā riska novērtējuma rezultātiem, kā arī rezultātiem, kas gūti riska risināšanā saskaņā ar IS.D.OR.210. punktu, organizācija īsteno pasākumus, kuru mērķis ir atklāt incidentus un ievainojamības, kas norāda uz nepieņemamu risku iespējamo īstenošanos un spēj ietekmēt aviācijas drošumu. Šie incidentu atklāšanas pasākumi organizācijai ļauj:

b)

Organizācija īsteno pasākumus, kuru mērķis ir reaģēt uz visiem notikuma apstākļiem, kas konstatēti saskaņā ar a) apakšpunktu un var attīstīties vai ir attīstījušies par informācijas drošības incidentu. Šie reaģēšanas pasākumi organizācijai ļauj:

c)

Organizācija īsteno pasākumus, kuru mērķis ir novērst informācijas drošības incidentu sekas, tostarp ārkārtas pasākumus vajadzības gadījumā. Šie seku novēršanas pasākumi organizācijai ļauj:

a)

Saņēmusi kompetentās iestādes iesniegto paziņojumu par konstatējumiem, organizācija:

b)

Šā punkta a) apakšpunktā minētās darbības veic laikposmā, par kuru panākta vienošanās ar kompetento iestādi.

a)

Organizācija ievieš informācijas drošības ziņošanas sistēmu, kas atbilst Regulā (ES) Nr. 376/2014 un tās deleģētajos un īstenošanas aktos noteiktajām prasībām, ja minētā regula ir piemērojama organizācijai.

b)

Neskarot Regulā (ES) Nr. 376/2014 noteiktos pienākumus, organizācija nodrošina, ka par visiem informācijas drošības incidentiem un ievainojamībām, kas var radīt būtisku risku aviācijas drošumam, tiek ziņots tās kompetentajai iestādei. Turklāt:

c)

Organizācija par b) apakšpunktā minētajiem apstākļiem ziņo šādi:

a)

Ja organizācija noslēdz līgumu ar citām organizācijām par kādu daļu no IS.D.OR.200. punktā minētajām darbībām, organizācija nodrošina, ka darbības, par kurām noslēgts līgums, atbilst šīs regulas prasībām un ka nolīgtā organizācija darbojas tās pārraudzībā. Organizācija nodrošina, ka riski, kas saistīti ar darbībām, par kurām noslēgts līgums, tiek pienācīgi pārvaldīti.

b)

Organizācija nodrošina, ka kompetentajai iestādei pēc pieprasījuma tiek dota piekļuve nolīgtajai organizācijai, lai kompetentā iestāde varētu pārliecināties par pastāvīgu atbilstību piemērojamajām prasībām, kas noteiktas šajā regulā.

a)

Organizācijas atbildīgajam vadītājam vai – projektēšanas organizāciju gadījumā – projektēšanas organizācijas vadītājam, kas norīkots saskaņā ar Regulu (ES) Nr. 748/2012 un Regulu (ES) Nr. 139/2014, kā minēts šīs regulas 2. panta 1. punkta a) un b) apakšpunktā, ir organizācijas dotas pilnvaras nodrošināt, ka visas šajā regulā paredzētās darbības ir iespējams finansēt un veikt. Minētā persona:

b)

Atbildīgais vadītājs vai – projektēšanas organizāciju gadījumā – projektēšanas organizācijas vadītājs ieceļ personu vai personu grupu, kas nodrošina, ka organizācija atbilst šīs regulas prasībām, un nosaka viņu pilnvaru apjomu. Minētā persona vai personu grupa ir tieši pakļauta atbildīgajam vadītājam vai – projektēšanas organizāciju gadījumā – projektēšanas organizācijas vadītājam, un tai ir pienākumu izpildei atbilstošas zināšanas, agrāka darbība un pieredze. Procedūrās nosaka, kas aizvieto konkrētu personu tās ilgstošas prombūtnes laikā.

c)

Atbildīgais vadītājs vai – projektēšanas organizāciju gadījumā – projektēšanas organizācijas vadītājs ieceļ personu vai personu grupu, kas atbild par IS.D.OR.200. punkta a) apakšpunkta 12. punktā minētās atbilstības uzraudzības funkcijas pārvaldību.

d)

Ja organizācijas informācijas drošības organizatoriskās struktūras, politika, procesi un procedūras ir kopīgas ar citām organizācijām vai savas organizācijas jomām, kas nav apstiprinājuma vai deklarācijas daļa, atbildīgais vadītājs vai – projektēšanas organizāciju gadījumā – projektēšanas organizācijas vadītājs var deleģēt savas darbības kopīgai atbildīgajai personai.

Lai nodrošinātu informācijas drošības pārvaldības pienācīgu integrāciju organizācijā, šādā gadījumā nosaka pasākumus koordinācijai starp organizācijas atbildīgo vadītāju vai – projektēšanas organizāciju gadījumā – projektēšanas organizācijas vadītāju un kopīgo atbildīgo personu.

e)

Atbildīgajam vadītājam vai projektēšanas organizācijas vadītājam, vai d) apakšpunktā minētajai kopīgajai atbildīgajai personai ir organizācijas dotas pilnvaras izveidot un uzturēt IS.D.OR.200. punkta īstenošanai vajadzīgās organizatoriskās struktūras, politiku, procesus un procedūras.

f)

Organizācijā ir ieviests process, ar ko nodrošināt, ka tai pietiek dežurējošo darbinieku šajā pielikumā izklāstīto darbību veikšanai.

g)

Organizācijā ir ieviests process, ar ko nodrošināt, ka f) apakšpunktā minētajiem darbiniekiem ir savu uzdevumu veikšanai vajadzīgā kompetence.

h)

Organizācijā ir ieviests process, ar ko nodrošināt, ka darbinieki atzīst pienākumus, kas saistīti ar tiem uzticētajām funkcijām un uzdevumiem.

i)

Organizācija nodrošina, ka tiek pienācīgi noteikta to darbinieku identitāte un uzticamība, kuriem ir piekļuve informācijas sistēmām un datiem, uz ko attiecas šīs regulas prasības.

a)

Organizācija reģistrē savas informācijas drošības pārvaldības darbības.

b)

Organizācija reģistrē savu informācijas drošības pārvaldības darbībās iesaistīto darbinieku kvalifikāciju un pieredzi.

c)

Ierakstu formāts ir noteikts organizācijas procedūrās.

d)

Ierakstus glabā veidā, kas nodrošina aizsardzību pret bojājumiem, pārveidošanu un zādzību, vajadzības gadījumā informāciju identificējot atbilstīgi tās drošības klasifikācijas līmenim. Organizācija nodrošina, ka ierakstus glabā, izmantojot līdzekļus, kas nodrošina integritāti, autentiskumu un atļautu piekļuvi.

a)

Organizācija kompetentajai iestādei dara pieejamu informācijas drošības pārvaldības rokasgrāmatu (IDPR) un attiecīgā gadījumā visas saistītās rokasgrāmatas un procedūras, uz kurām ir sniegtas atsauces, un rokasgrāmatā ir:

b)

Kompetentā iestāde apstiprina IDPR sākotnējo izdevumu un saglabā tās eksemplāru. IDPR vajadzības gadījumā groza, lai organizācijas IDPS apraksts vienmēr būtu atjaunināts. Visu IDPR grozījumu eksemplāru iesniedz kompetentajai iestādei.

c)

IDPR grozījumus pārvalda saskaņā ar organizācijas izveidotu procedūru. Visus grozījumus, kas nav iekļauti šīs procedūras darbības jomā, un visus grozījumus, kas saistīti ar IS.D.OR.255. punkta b) apakšpunktā minētajām izmaiņām, apstiprina kompetentā iestāde.

d)

Organizācija IDPR var integrēt ar citiem tās rīcībā esošiem pārvaldības pašraksturojumiem vai rokasgrāmatām, ja ir dota skaidra savstarpēja atsauce, kas norāda, kuras pārvaldības pašraksturojuma vai rokasgrāmatas daļas atbilst dažādām šajā pielikumā ietvertajām prasībām.

a)

IDPS izmaiņas var pārvaldīt un paziņot kompetentajai iestādei saskaņā ar organizācijas izstrādātu procedūru. Šo procedūru apstiprina kompetentā iestāde.

b)

Attiecībā uz IDPS izmaiņām, uz kurām neattiecas a) apakšpunktā minētā procedūra, organizācija iesniedz pieteikumu un saņem kompetentās iestādes dotu apstiprinājumu.

Attiecībā uz šīm izmaiņām:

a)

Organizācija, izmantojot atbilstīgus darbības rādītājus, novērtē IDPS efektivitāti un gatavību. Minēto novērtēšanu veic, pamatojoties uz organizācijas iepriekšnoteiktu kalendāro grafiku vai pēc informācijas drošības incidenta.

b)

Ja pēc novērtēšanas, kas veikta saskaņā ar a) apakšpunktu, tiek konstatēti trūkumi, organizācija īsteno uzlabošanas pasākumus, kuri vajadzīgi, lai nodrošinātu, ka IDPS joprojām atbilst piemērojamajām prasībām un uztur informācijas drošības riskus pieņemamā līmenī. Turklāt organizācija atkārtoti izvērtē tos IDPS elementus, kurus ietekmē pieņemtie pasākumi.