1)

izveido informācijas drošības politiku, kurā izklāstīti kompetentās iestādes vispārējie principi, kas attiecas uz informācijas drošības risku iespējamo ietekmi uz aviācijas drošumu;

2)

identificē un pārskata informācijas drošības riskus saskaņā ar IS.AR.205. punktu;

3)

nosaka un īsteno informācijas drošības riska risināšanas pasākumus saskaņā ar IS.AR.210. punktu;

4)

saskaņā ar IS.AR.215. punktu nosaka un īsteno pasākumus, kas vajadzīgi, lai atklātu informācijas drošības notikumus, identificē tos notikumus, kuri uzskatāmi par incidentiem, kas spēj ietekmēt aviācijas drošumu, un reaģē uz minētajiem informācijas drošības incidentiem un novērš to sekas;

5)

ja tiek slēgts līgums ar citām organizācijām par jebkuru daļu no IS.AR.200. punktā aprakstītajām darbībām, nodrošina atbilstību IS.AR.220. punktā ietvertajām prasībām;

6)

nodrošina atbilstību prasībām, kas IS.AR.225. punktā noteiktas attiecībā uz personālu;

7)

nodrošina atbilstību IS.AR.230. punktā ietvertajām reģistrācijas prasībām;

8)

uzrauga savas organizācijas atbilstību šīs regulas prasībām un sniedz atsauksmes par konstatējumiem IS.AR.225. punkta a) apakšpunktā minētajai personai, lai nodrošinātu korektīvo pasākumu efektīvu īstenošanu;

9)

aizsargā jebkuras tādas informācijas konfidencialitāti, kas kompetentajai iestādei varētu būt pieejama saistībā ar organizācijām, uz kurām attiecas tās uzraudzība, un kas saņemta, izmantojot organizācijas ārējās ziņošanas sistēmas, kuras izveidotas saskaņā ar šīs regulas II pielikuma (IS.I.OR daļas) IS.I.OR.230. punktu un Deleģētās regulas (ES) 2022/1645 I pielikuma (IS.D.OR daļas) IS.D.OR.230. punktu;

10)

ziņo Aģentūrai par izmaiņām, kas ietekmē kompetentās iestādes spēju veikt uzdevumus un pildīt pienākumus, kas tai noteikti šajā regulā;

11)

nosaka un īsteno procedūras, kuras ļauj pienācīgi, praktiski un laikus apmainīties ar attiecīgo informāciju, kas nepieciešama, lai palīdzētu citām kompetentajām iestādēm un aģentūrām, kā arī organizācijām, uz kurām attiecas šī regula, veikt efektīvus drošības riska novērtējumus saistībā ar to darbībām.

1)

kompetentās iestādes darbības, objektus un resursus, kā arī kompetentās iestādes sniegtos, nodrošinātos, saņemtos vai uzturētos pakalpojumus;

2)

iekārtas, sistēmas, datus un informāciju, kas veicina 1. punktā minēto elementu darbību.

1)

nosaka riska līmeni saskaņā ar kompetentās iestādes iepriekšnoteiktu klasifikāciju;

2)

katru risku un tā līmeni sasaista ar attiecīgo elementu vai saskarni, kas identificēta saskaņā ar a) un b) apakšpunktu.

1)

mainās elementi, uz kuriem attiecas informācijas drošības riski;

2)

mainās saskarnes starp kompetentās iestādes organizāciju un citām organizācijām vai citu organizāciju paziņotie riski;

3)

mainās informācija vai zināšanas, ko izmanto risku identificēšanai, analīzei un klasifikācijai;

4)

ir gūta pieredze, kas izriet no informācijas drošības incidentu analīzes.

1)

saglabāt kontroli pār apstākļiem, kas veicina apdraudējuma scenārija faktisku īstenošanos;

2)

apdraudējuma scenārija īstenošanās gadījumā samazināt sekas aviācijas drošumam;

3)

novērst riskus.

1)

konstatēt novirzes no iepriekšnoteiktām funkcionālās veiktspējas bāzlīnijām;

2)

jebkādas novirzes gadījumā dot brīdinājumus, lai aktivizētu pienācīgus reaģēšanas pasākumus.

1)

sākt savas organizācijas reaģēšanu uz a) apakšpunkta 2. punktā minētajiem brīdinājumiem, aktivizējot iepriekšnoteiktus resursus un darbību gaitu;

2)

ierobežot uzbrukuma izvēršanos un novērst apdraudējuma scenārija pilnīgu īstenošanos;

3)

vadīt IS.AR.205. punkta a) apakšpunktā noteikto skarto elementu atteices režīmu.

1)

novērst incidentu izraisījušo apstākli vai ierobežot to līdz pieļaujamam līmenim;

2)

atjaunošanās laikā, ko iepriekš noteikusi tās organizācija, atjaunot IS.AR.205. punkta a) apakšpunktā noteikto skarto elementu drošu stāvokli.

1)

ir pilnvaras, kas nepieciešamas, lai pilnībā piekļūtu resursiem, kuri vajadzīgi, lai kompetentā iestāde varētu veikt visus šajā regulā paredzētos uzdevumus;

2)

ir deleģētas pilnvaras, kas vajadzīgas, lai veiktu piešķirtos pienākumus;

1)

Kompetentā iestāde nodrošina, ka ir arhivēti un izsekojami šādi ieraksti:

2)

Ierakstus, kas minēti 1. punkta i) apakšpunktā, glabā vismaz 5 gadus pēc tam, kad līgums ir grozīts vai izbeigts.

3)

Ierakstus, kas minēti 1. punkta ii) un iii) apakšpunktā, glabā vismaz 5 gadus.

4)

Ierakstus, kas minēti 1. punkta iv) apakšpunktā, glabā tik ilgi, līdz šie informācijas drošības notikumi ir atkārtoti izvērtēti saskaņā ar kompetentās iestādes izveidotā procedūrā noteiktu periodiskumu.

1)

Ierakstus par darbinieka kvalifikāciju un pieredzi glabā tik ilgi, kamēr persona strādā kompetentajā iestādē, un vismaz 3 gadus pēc tam, kad persona ir aizgājusi no darba kompetentajā iestādē.

2)

Darbiniekiem pēc pieprasījuma dod piekļuvi viņu individuālajiem datiem. Turklāt pēc darbinieka pieprasījuma kompetentā iestāde darbiniekam izsniedz viņa individuālo datu kopiju, kad darbinieks aiziet no darba kompetentajā iestādē.

1)

izveido informācijas drošības politiku, kurā izklāstīti organizācijas vispārējie principi, kas attiecas uz informācijas drošības risku iespējamo ietekmi uz aviācijas drošumu;

2)

identificē un pārskata informācijas drošības riskus saskaņā ar IS.I.OR.205. punktu;

3)

nosaka un īsteno informācijas drošības riska risināšanas pasākumus saskaņā ar IS.I.OR.210. punktu;

4)

īsteno sistēmu iekšējai ziņošanai par informācijas drošību saskaņā ar IS.I.OR.215. punktu;

5)

saskaņā ar IS.I.OR.220. punktu nosaka un īsteno pasākumus, kas vajadzīgi, lai atklātu informācijas drošības notikumus, identificē tos notikumus, kuri uzskatāmi par incidentiem, kas spēj ietekmēt aviācijas drošumu, neskarot izņēmumus, kuri atļauti saskaņā ar IS.I.OR.205. punkta e) apakšpunktu, reaģē uz minētajiem informācijas drošības incidentiem un novērš to sekas;

6)

īsteno kompetentās iestādes paziņotos pasākumus kā tūlītēju reakciju uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu;

7)

lai reaģētu uz kompetentās iestādes paziņotajiem konstatējumiem, veic atbilstīgus pasākumus saskaņā ar IS.I.OR.225. punktu;

8)

lai kompetentā iestāde varētu veikt atbilstīgus pasākumus, īsteno ārējās ziņošanas sistēmu saskaņā ar IS.I.OR.230. punktu;

9)

ja tiek slēgts līgums ar citām organizācijām par jebkuru daļu no IS.I.OR.200. punktā minētajām darbībām, nodrošina atbilstību IS.I.OR.235. punktā ietvertajām prasībām;

10)

nodrošina atbilstību prasībām, kas IS.I.OR.240. punktā noteiktas attiecībā uz personālu;

11)

nodrošina atbilstību IS.I.OR.245. punktā noteiktajām reģistrācijas prasībām;

12)

uzrauga organizācijas atbilstību šīs regulas prasībām un sniedz atsauksmes par konstatējumiem atbildīgajam vadītājam, lai nodrošinātu korektīvo pasākumu efektīvu īstenošanu;

13)

neskarot ziņošanai par incidentiem piemērojamās prasības, aizsargā jebkuras tādas informācijas konfidencialitāti, ko organizācija, iespējams, ir saņēmusi no citām organizācijām, atkarībā no tās sensitivitātes līmeņa.

1)

organizācijas darbības, objektus un resursus, kā arī organizācijas sniegtos, nodrošinātos, saņemtos vai uzturētos pakalpojumus;

2)

iekārtas, sistēmas, datus un informāciju, kas veicina 1. punktā uzskaitīto elementu darbību.

1)

nosaka riska līmeni saskaņā ar organizācijas iepriekšnoteiktu klasifikāciju;

2)

katru risku un tā līmeni sasaista ar attiecīgo elementu vai saskarni, kas identificēta saskaņā ar a) un b) apakšpunktu.

1)

mainās elementi, uz kuriem attiecas informācijas drošības riski;

2)

mainās saskarnes starp attiecīgo organizāciju un citām organizācijām vai citu organizāciju paziņotie riski;

3)

mainās informācija vai zināšanas, ko izmanto risku identificēšanai, analīzei un klasifikācijai;

4)

ir gūta pieredze, kas izriet no informācijas drošības incidentu analīzes.

1)

saglabāt kontroli pār apstākļiem, kas veicina apdraudējuma scenārija faktisku īstenošanos;

2)

samazināt ietekmi uz aviācijas drošumu, kas saistīta ar apdraudējuma scenārija īstenošanos;

3)

novērst riskus.

1)

noteikt, kuri no notikumiem, par kuriem ziņots saskaņā ar a) apakšpunktu, ir uzskatāmi par informācijas drošības incidentiem vai ievainojamībām, kas spēj ietekmēt aviācijas drošumu;

2)

noskaidrot saskaņā ar 1. punktu noteikto informācijas drošības incidentu un ievainojamību cēloņus un veicinošos faktorus un pievērsties tiem informācijas drošības riska pārvaldības procesā saskaņā ar IS.I.OR.205. un IS.I.OR.220. punktu;

3)

nodrošināt, ka tiek izvērtēta visa zināmā un būtiskā informācija saistībā ar informācijas drošības incidentiem un ievainojamībām, kas noteikti saskaņā ar 1. punktu;

4)

nodrošināt, ka tiek ieviesta metode informācijas iekšējai izplatīšanai pēc vajadzības.

1)

konstatēt novirzes no iepriekšnoteiktām funkcionālās veiktspējas bāzlīnijām;

2)

jebkādas novirzes gadījumā dot brīdinājumus, lai aktivizētu pienācīgus reaģēšanas pasākumus.

1)

sākt reaģēšanu uz a) apakšpunkta 2. punktā minētajiem brīdinājumiem, aktivizējot iepriekšnoteiktus resursus un darbību gaitu;

2)

ierobežot uzbrukuma izvēršanos un novērst apdraudējuma scenārija pilnīgu īstenošanos;

3)

vadīt IS.I.OR.205. punkta a) apakšpunktā noteikto skarto elementu atteices režīmu.

1)

novērst incidentu izraisījušo apstākli vai ierobežot to līdz pieļaujamam līmenim;

2)

atjaunošanās laikā, ko iepriekš noteikusi organizācija, sasniegt IS.I.OR.205. punkta a) apakšpunktā noteikto skarto elementu drošu stāvokli.

1)

noskaidro neatbilstības pamatcēloni vai cēloņus un veicinošos faktorus;

2)

izstrādā korektīvo pasākumu plānu;

3)

pierāda kompetentajai iestādei, ka neatbilstība ir novērsta.

1)

ja šāds incidents vai ievainojamība ietekmē gaisa kuģi vai ar to saistītu sistēmu vai sastāvdaļu, organizācija par to ziņo arī projekta apstiprinājuma turētājam;

2)

ja šāds incidents vai ievainojamība ietekmē organizācijas izmantotu sistēmu vai sastāvdaļu, organizācija par to ziņo organizācijai, kas atbild par sistēmas vai sastāvdaļas projektēšanu.

1)

tiklīdz organizācija ir uzzinājusi par apstākli, tā iesniedz paziņojumu kompetentajai iestādei un attiecīgā gadījumā projekta apstiprinājuma turētājam vai organizācijai, kas atbild par sistēmas vai sastāvdaļas projektēšanu;

2)

ja vien ārkārtas apstākļi to neliedz, cik drīz vien iespējams, bet ne vēlāk kā 72 stundas pēc tam, kad organizācija ir uzzinājusi par apstākli, tā iesniedz ziņojumu kompetentajai iestādei un attiecīgā gadījumā projekta apstiprinājuma turētājam vai organizācijai, kas atbild par sistēmas vai sastāvdaļas projektēšanu.

Ziņojumu sagatavo kompetentās iestādes noteiktā formā, un tajā iekļauj visu attiecīgo informāciju par apstākli, kas zināma organizācijai;

3)

iesniedz paveiktā darba pārbaudes ziņojumu kompetentajai iestādei un attiecīgā gadījumā projekta apstiprinājuma turētājam vai organizācijai, kas atbild par sistēmas vai sastāvdaļas projektēšanu, ziņojumā sīki izklāstot informāciju par darbībām, ko organizācija ir veikusi vai plāno veikt, lai novērstu incidenta sekas, un par darbībām, ko tā plāno veikt, lai nākotnē novērstu līdzīgus informācijas drošības incidentus.

Paveiktā darba pārbaudes ziņojumu iesniedz, tiklīdz minētās darbības ir noteiktas, un to sagatavo kompetentās iestādes noteiktā formā.

1)

nodrošina, ka ir pieejami visi šīs regulas prasību izpildei vajadzīgie resursi;

2)

izveido informācijas drošības politiku, kas minēta IS.I.OR.200. punkta a) apakšpunkta 1. punktā, un veicina tās īstenošanu;

3)

pierāda pamatizpratni par šo regulu.

1)

Organizācija nodrošina, ka ir arhivēti un izsekojami šādi ieraksti:

2)

Ierakstus, kas minēti 1. punkta i) apakšpunktā, glabā vismaz 5 gadus pēc tam, kad apstiprinājums ir zaudējis derīgumu.

3)

Ierakstus, kas minēti 1. punkta ii) apakšpunktā, glabā vismaz 5 gadus pēc tam, kad līgums ir grozīts vai izbeigts.

4)

Ierakstus, kas minēti 1. punkta iii), iv) un v) apakšpunktā, glabā vismaz 5 gadus.

5)

Ierakstus, kas minēti 1. punkta vi) apakšpunktā, glabā tik ilgi, līdz šie informācijas drošības notikumi ir atkārtoti izvērtēti saskaņā ar organizācijas izveidotā procedūrā noteiktu periodiskumu.

1)

Ierakstus par darbinieka kvalifikāciju un pieredzi glabā tik ilgi, kamēr persona strādā organizācijā, un vismaz 3 gadus pēc tam, kad persona ir aizgājusi no darba organizācijā.

2)

Darbiniekiem pēc pieprasījuma dod piekļuvi viņu individuālajiem datiem. Turklāt pēc darbinieka pieprasījuma organizācija darbiniekam izsniedz viņa individuālo datu kopiju, kad darbinieks aiziet no darba organizācijā.

1)

atbildīgā vadītāja parakstīts apliecinājums par to, ka organizācija savā darbībā vienmēr ievēros šā pielikuma un IDPR prasības. Ja atbildīgais vadītājs nav organizācijas izpilddirektors, tad izpilddirektors apstiprina šo apliecinājumu ar savu parakstu;

2)

IS.I.OR.240. punkta b) un c) apakšpunktā minētās personas vai minēto personu amats, vārds un uzvārds, pienākumi, pakļautība, atbildība un pilnvaras;

3)

attiecīgā gadījumā IS.I.OR.240. punkta d) apakšpunktā minētās kopīgās atbildīgās personas amats, vārds un uzvārds, pienākumi, pakļautība, atbildība un pilnvaras;

4)

organizācijas informācijas drošības politika, kas minēta IS.I.OR.200. punkta a) apakšpunkta 1. punktā;

5)

vispārīgs apraksts par darbinieku skaitu un kategorijām un par sistēmu, kas ieviesta personāla pieejamības plānošanai, kā prasīts IS.I.OR.240. punktā;

6)

galveno personu, kas atbild par IS.I.OR.200. punkta īstenošanu, tostarp personas vai personu, kas atbild par IS.I.OR.200. punkta a) apakšpunkta 12. punktā minēto atbilstības uzraudzības funkciju, amats, vārds un uzvārds, pienākumi, pakļautība, atbildība un pilnvaras;

7)

struktūrshēma, kurā parādītas ar 2. un 6. punktā minētajām personām saistītās pakļautības un atbildības ķēdes;

8)

IS.I.OR.215. punktā minētās iekšējās ziņošanas sistēmas apraksts;

9)

procedūras, kas precizē, kā organizācija nodrošina atbilstību šai daļai, un jo īpaši:

10)

sīka informācija par pašreizējiem apstiprinātajiem alternatīvajiem atbilstības nodrošināšanas līdzekļiem.

1)

pirms šādu izmaiņu veikšanas iesniedz pieteikumu, lai kompetentajai iestādei dotu iespēju pārliecināties par pastāvīgu atbilstību šai regulai un vajadzības gadījumā grozīt organizācijas sertifikātu un tam pievienotos attiecīgos apstiprinājuma noteikumus;

2)

organizācija kompetentajai iestādei dara pieejamu visu informāciju, ko tā pieprasa izmaiņu izvērtēšanai;

3)

izmaiņas īsteno tikai pēc kompetentās iestādes oficiāla apstiprinājuma saņemšanas;

4)

kamēr šādas izmaiņas tiek ieviestas, organizācija darbojas saskaņā ar nosacījumiem, ko noteikusi kompetentā iestāde.

a)

ARA.GEN.125. punktam pievieno šādu c) apakšpunktu:

b)

aiz ARA.GEN.135. punkta iekļauj šādu ARA.GEN.135.A punktu:

“ ARA.GEN.135.A Tūlītēja reakcija uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu

c)

pielikuma ARA.GEN.200. punktam pievieno šādu e) apakšpunktu:

d)

pielikuma ARA.GEN.205. punktu groza šādi:

e)

pielikuma ARA.GEN.300. punktam pievieno šādu g) apakšpunktu:

f)

aiz ARA.GEN.330. punkta iekļauj šādu ARA.GEN.330.A punktu:

“ ARA.GEN.330.A Informācijas drošības pārvaldības sistēmas izmaiņas

a)

aiz 21.B.20. punkta virsraksta iekļauj šādu virsrakstu:

“21.B.20.A Tūlītēja reakcija uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu”;

b)

pielikuma 21.B.30. punkta virsrakstu aizstāj ar šādu:

“21.B.30. Uzdevumu sadale”;

c)

aiz 21.B.240. punkta virsraksta iekļauj šādu virsrakstu:

“21.B.240.A Informācijas drošības pārvaldības sistēmas izmaiņas”;

d)

aiz 21.B.435. punkta virsraksta iekļauj šādu virsrakstu:

“21.B.435.A Informācijas drošības pārvaldības sistēmas izmaiņas”;

“c)

Dalībvalsts kompetentā iestāde pēc iespējas ātrāk sniedz Aģentūrai drošuma ziņā svarīgo informāciju, kas izriet no informācijas drošības ziņojumiem, kurus tā saņēmusi saskaņā ar Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.230. punktu.”;

a)

Kompetentā iestāde ievieš sistēmu, kas nepieciešama, lai pienācīgi vāktu, analizētu un izplatītu organizāciju paziņoto informāciju, kura saistīta ar informācijas drošības incidentiem un ievainojamībām, kas spēj ietekmēt aviācijas drošumu. To veic, saskaņojot ar visām citām attiecīgajām iestādēm, kas ir atbildīgas par informācijas drošību vai kiberdrošību dalībvalstī, lai sekmētu ziņošanas sistēmu koordināciju un saderību.

b)

Aģentūra ievieš sistēmu, kura nepieciešama, lai pienācīgi analizētu visu attiecīgo drošuma ziņā svarīgo informāciju, kas saņemta saskaņā ar 21.B.15. punkta c) apakšpunktu, un bez nepamatotas kavēšanās sniedz dalībvalstīm un Komisijai visu informāciju, tajā skaitā par ieteikumiem vai veicamajiem korektīvajiem pasākumiem, kura tām nepieciešama, lai laikus reaģētu uz informācijas drošības incidentu vai ievainojamību, kas spēj ietekmēt aviācijas drošumu, tajā skaitā saistībā ar ražojumiem, daļām, neuzstādītām ierīcēm, personām vai organizācijām, uz kurām attiecas Regula (ES) 2018/1139 un tās deleģētie un īstenošanas akti.

c)

Pēc a) un b) apakšpunktā minētās informācijas saņemšanas kompetentā iestāde veic attiecīgus pasākumus, kuri nepieciešami, lai novērstu informācijas drošības incidenta vai ievainojamības iespējamo ietekmi uz aviācijas drošumu.

d)

Par pasākumiem, kas veikti saskaņā ar c) apakšpunktu, nekavējoties paziņo visām personām vai organizācijām, kurām jānodrošina atbilstība šiem pasākumiem saskaņā ar Regulu (ES) 2018/1139 un tās deleģētajiem un īstenošanas aktiem. Dalībvalsts kompetentā iestāde par šiem pasākumiem informē arī Aģentūru un, ja nepieciešama kopīga rīcība, arī citu iesaistīto dalībvalstu kompetentās iestādes.”;

“e)

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, pārvaldības sistēma, ko izveido un uztur kompetentā iestāde, atbilst ne tikai a) apakšpunktā noteiktajām prasībām, bet arī Īstenošanas regulas (ES) 2023/203 I pielikumam (IS.AR daļai).”;

a)

virsrakstu aizstāj ar šādu:

“ 21.B.30. Uzdevumu sadale”;

b)

pievieno šādu c) apakšpunktu:

“g)

Attiecībā uz organizācijas atbilstības 21.A.139.A punktam sertificēšanu un uzraudzību kompetentā iestāde papildus a) līdz f) apakšpunkta ievērošanai pārskata visus apstiprinājumus, kas piešķirti saskaņā ar šīs regulas IS.I.OR.200. punkta e) apakšpunktu vai Deleģētās regulas (ES) 2022/1645 IS.D.OR.200. punkta e) apakšpunktu, pēc piemērojamā pārraudzības revīzijas cikla un ikreiz, kad tiek ieviestas izmaiņas organizācijas darbības jomā.”;

a)

Attiecībā uz izmaiņām, kas pārvaldītas un paziņotas kompetentajai iestādei saskaņā ar procedūru, kura noteikta Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.255. punkta a) apakšpunktā, kompetentā iestāde iekļauj šādu izmaiņu pārbaudi savā pastāvīgajā uzraudzībā saskaņā ar 21.B.221. punktā norādītajiem principiem. Ja tiek konstatēta neatbilstība, kompetentā iestāde informē par to organizāciju, pieprasa veikt papildu izmaiņas un rīkojas saskaņā ar 21.B.225. punktu.

b)

Attiecībā uz citām izmaiņām, kam nepieciešams apstiprināšanas pieteikums saskaņā ar Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.255. punkta b) apakšpunktu:

“d)

Attiecībā uz organizācijas atbilstības 21.A.239.A punktam sertificēšanu un uzraudzību kompetentā iestāde papildus a) līdz c) apakšpunkta ievērošanai arī ievēro šādus principus:

a)

Attiecībā uz izmaiņām, kas pārvaldītas un paziņotas kompetentajai iestādei saskaņā ar procedūru, kura noteikta Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.255. punkta a) apakšpunktā, kompetentā iestāde iekļauj šādu izmaiņu pārbaudi savā pastāvīgajā uzraudzībā saskaņā ar 21.B.431. punktā norādītajiem principiem. Ja tiek konstatēta neatbilstība, kompetentā iestāde informē par to organizāciju, pieprasa veikt papildu izmaiņas un rīkojas saskaņā ar 21.B.433. punktu.

b)

Attiecībā uz citām izmaiņām, kam nepieciešams apstiprināšanas pieteikums saskaņā ar Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.255. punkta b) apakšpunktu:

a)

ARO.GEN.125. punktam pievieno šādu c) apakšpunktu:

b)

aiz ARO.GEN.135. punkta iekļauj šādu ARO.GEN.135.A punktu:

“ARO.GEN.135.A    Tūlītēja reakcija uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu

c)

pielikuma ARO.GEN.200. punktam pievieno šādu e) apakšpunktu:

d)

pielikuma ARO.GEN.205. punktu groza šādi:

e)

pielikuma ARO.GEN.300. punktam pievieno šādu g) apakšpunktu:

f)

aiz ARO.GEN.330. punkta iekļauj šādu ARO.GEN.330.A punktu:

“ARO.GEN.330.A    Informācijas drošības pārvaldības sistēmas izmaiņas

“c)

Dalībvalsts kompetentā iestāde pēc iespējas ātrāk sniedz Aģentūrai drošuma ziņā svarīgo informāciju, kas izriet no informācijas drošības ziņojumiem, kurus tā saņēmusi saskaņā ar Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.230. punktu.”;

a)

Kompetentā iestāde ievieš sistēmu, kas nepieciešama, lai pienācīgi vāktu, analizētu un izplatītu organizāciju paziņoto informāciju, kura saistīta ar informācijas drošības incidentiem un ievainojamībām, kas spēj ietekmēt aviācijas drošumu. To veic, saskaņojot ar visām citām attiecīgajām iestādēm, kas ir atbildīgas par informācijas drošību vai kiberdrošību dalībvalstī, lai sekmētu ziņošanas sistēmu koordināciju un saderību.

b)

Aģentūra ievieš sistēmu, kura nepieciešama, lai pienācīgi analizētu visu attiecīgo drošuma ziņā svarīgo informāciju, kas saņemta saskaņā ar ADR.AR.A.025. punkta c) apakšpunktu, un bez nepamatotas kavēšanās sniedz dalībvalstīm un Komisijai visu informāciju, tajā skaitā par ieteikumiem vai veicamajiem korektīvajiem pasākumiem, kura tām nepieciešama, lai laikus reaģētu uz informācijas drošības incidentu vai ievainojamību, kas spēj ietekmēt aviācijas drošumu, tajā skaitā saistībā ar ražojumiem, daļām, neuzstādītām ierīcēm, personām vai organizācijām, uz kurām attiecas Regula (ES) 2018/1139 un tās deleģētie un īstenošanas akti.

c)

Pēc a) un b) apakšpunktā minētās informācijas saņemšanas kompetentā iestāde veic attiecīgus pasākumus, kuri nepieciešami, lai novērstu informācijas drošības incidenta vai ievainojamības iespējamo ietekmi uz aviācijas drošumu.

d)

Par pasākumiem, kas veikti saskaņā ar c) apakšpunktu, nekavējoties paziņo visām personām vai organizācijām, kurām jānodrošina atbilstība šiem pasākumiem saskaņā ar Regulu (ES) 2018/1139 un tās deleģētajiem un īstenošanas aktiem. Dalībvalsts kompetentā iestāde par šiem pasākumiem informē arī Aģentūru un, ja nepieciešama kopīga rīcība, arī citu iesaistīto dalībvalstu kompetentās iestādes.”;

“d)

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, pārvaldības sistēma, ko izveido un uztur kompetentā iestāde, atbilst ne tikai a) apakšpunktā noteiktajām prasībām, bet arī Īstenošanas regulas (ES) 2023/203 I pielikumam (IS.AR daļai).”;

i)

virsrakstu aizstāj ar šādu:

“ ADR.AR.B.010 Uzdevumu sadale ”;

ii)

pievieno šādu c) apakšpunktu:

“f)

Attiecībā uz organizācijas atbilstības ADR.OR.D.005.A punktam sertificēšanu un uzraudzību kompetentā iestāde papildus a) līdz e) apakšpunkta ievērošanai pārskata visus apstiprinājumus, kas piešķirti saskaņā ar šīs regulas IS.I.OR.200. punkta e) apakšpunktu vai Deleģētās regulas (ES) 2022/1645 IS.D.OR.200. punkta e) apakšpunktu, pēc piemērojamā pārraudzības revīzijas cikla un ikreiz, kad tiek ieviestas izmaiņas organizācijas darbības jomā.”;

a)

Attiecībā uz izmaiņām, kas pārvaldītas un paziņotas kompetentajai iestādei saskaņā ar procedūru, kura noteikta Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.255. punkta a) apakšpunktā, kompetentā iestāde iekļauj šādu izmaiņu pārbaudi savā pastāvīgajā uzraudzībā saskaņā ar ADR.AR.C.005. punktā norādītajiem principiem. Ja tiek konstatēta neatbilstība, kompetentā iestāde informē par to organizāciju, pieprasa veikt papildu izmaiņas un rīkojas saskaņā ar ADR.AR.C.055. punktu.

b)

Attiecībā uz citām izmaiņām, kam nepieciešams apstiprināšanas pieteikums saskaņā ar Deleģētās regulas (ES) 2022/1645 pielikuma (IS.D.OR daļas) IS.D.OR.255. punkta b) apakšpunktu:

a)

satura rādītāju groza šādi:

b)

aiz 145.A.200. punkta iekļauj šādu 145.A.200.A punktu:

“145.A.200.A    Informācijas drošības pārvaldības sistēma

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, papildus 145.A.200. punktā noteiktajai pārvaldības sistēmai tehniskās apkopes organizācija izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Īstenošanas regulu (ES) 2023/203.”;

c)

pielikuma 145.B.125. punktam pievieno šādu c) apakšpunktu:

d)

aiz 145.B.135. punkta iekļauj šādu 145.B.135.A punktu:

“145.B.135.A    Tūlītēja reakcija uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu

e)

pielikuma 145.B.200. punktam pievieno šādu e) apakšpunktu:

f)

pielikuma 145.B.205. punktu groza šādi:

g)

pielikuma 145.B.300. punktam pievieno šādu g) apakšpunktu:

h)

aiz 145.B.330. punkta iekļauj šādu 145.B.330.A punktu:

“145.B.330.A    Informācijas drošības pārvaldības sistēmas izmaiņas

a)

satura rādītājā aiz 66.B.10. punkta virsraksta iekļauj šādu virsrakstu:

b)

aiz 66.B.10. punkta iekļauj šādu 66.B.15. punktu:

“66.B.15.    Informācijas drošības pārvaldības sistēma

Lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu, kompetentā iestāde izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Īstenošanas regulas (ES) 2023/203 I pielikumu (IS.AR daļu).”;

a)

satura rādītāju groza šādi:

b)

aiz CAMO.A.200. punkta iekļauj šādu CAMO.A.200.A punktu:

“CAMO.A.200.A    Informācijas drošības pārvaldības sistēma

Papildus CAMO.A.200. punktā noteiktajai pārvaldības sistēmai organizācija izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Īstenošanas regulu (ES) 2023/203, lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu.”;

c)

CAMO.B.125. punktam pievieno šādu c) apakšpunktu:

d)

aiz CAMO.B.135. punkta iekļauj šādu CAMO.B.135.A punktu:

“CAMO.B.135.A    Tūlītēja reakcija uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu

e)

pielikuma CAMO.B.200. punktam pievieno šādu e) apakšpunktu:

f)

pielikuma CAMO.B.205. punktu groza šādi:

g)

pielikuma CAMO.B.300. punktam pievieno šādu g) apakšpunktu:

h)

aiz CAMO.B.330. punkta iekļauj šādu CAMO.B.330.A punktu:

“CAMO.B.330.A    Informācijas drošības pārvaldības sistēmas izmaiņas

a)

ATCO.AR.A.020. punktam pievieno šādu c) apakšpunktu:

b)

aiz ATCO.AR.A.025. punkta iekļauj šādu ATCO.AR.A.025.A punktu:

“ATCO.AR.A.025.A    Tūlītēja reakcija uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu

c)

pielikuma ATCO.AR.B.001. punktam pievieno šādu e) apakšpunktu:

d)

pielikuma ATCO.AR.B.005. punktu groza šādi:

e)

pielikuma ATCO.AR.C.001. punktam pievieno šādu f) apakšpunktu:

f)

aiz ATCO.AR.E.010. punkta iekļauj šādu ATCO.AR.E.010.A punktu:

“ATCO.AR.E.010.A    Informācijas drošības pārvaldības sistēmas izmaiņas

a)

ATM/ANS.AR.A.020. punktam pievieno šādu c) apakšpunktu:

b)

aiz ATM/ANS.AR.A.025. punkta iekļauj šādu ATM/ANS.AR.A.025.A punktu:

“ ATM/ANS.AR.A.025.A Tūlītēja reakcija uz informācijas drošības incidentu vai ievainojamību, kas ietekmē aviācijas drošumu

c)

pielikuma ATM/ANS.AR.B.001. punktam pievieno šādu e) apakšpunktu:

d)

pielikuma ATM/ANS.AR.B.005. punktu groza šādi:

e)

pielikuma ATM/ANS.AR.C.010. punktam pievieno šādu d) apakšpunktu:

f)

aiz ATM/ANS.AR.C.025. punkta iekļauj šādu ATM/ANS.AR.C.025.A punktu:

“ ATM/ANS.AR.C.025.A Informācijas drošības pārvaldības sistēmas izmaiņas

a)

aiz ATM/ANS.OR.B.005. punkta iekļauj šādu ATM/ANS.OR.B.005.A punktu:

“ ATM/ANS.OR.B.005.A Informācijas drošības pārvaldības sistēma

Papildus ATM/ANS.OR.B.005. punktā noteiktajai pārvaldības sistēmai pakalpojumu sniedzējs izveido, īsteno un uztur informācijas drošības pārvaldības sistēmu saskaņā ar Īstenošanas regulu (ES) 2023/203, lai nodrošinātu tādu informācijas drošības risku pienācīgu pārvaldību, kuri var ietekmēt aviācijas drošumu.”;

b)

pielikuma ATM/ANS.OR.D.010. punktu aizstāj ar šādu:

“ ATM/ANS.OR.D.010. Drošības pārvaldība