“f)

een beveiligingsbeheersysteem overeenkomstig ATM/ANS.OR.D.010 van subdeel D van bijlage III bij Uitvoeringsverordening (EU) 2017/373 en een beheersysteem voor informatiebeveiliging overeenkomstig bijlage II (deel-IS.I.OR) bij Uitvoeringsverordening (EU) 2023/203 toepassen en onderhouden.”.

“l)

een beheersysteem voor informatiebeveiliging opzetten, toepassen en onderhouden overeenkomstig bijlage I (deel-IS.AR) bij Uitvoeringsverordening (EU) 2023/203.”.

1)

een beleid inzake informatiebeveiliging vaststelt, waarin de algemene beginselen van de bevoegde autoriteit met betrekking tot de mogelijke gevolgen van informatiebeveiligingsrisico’s voor de veiligheid van de luchtvaart worden uiteengezet;

2)

informatiebeveiligingsrisico’s vaststelt en beoordeelt overeenkomstig IS.AR.205;

3)

maatregelen voor de behandeling van informatiebeveiligingsrisico’s definieert en uitvoert overeenkomstig IS.AR.210;

4)

overeenkomstig IS.AR.215 de maatregelen vaststelt en toepast die nodig zijn om informatiebeveiligingsvoorvallen op te sporen, om te bepalen welke daarvan worden beschouwd als informatiebeveiligingsincidenten met potentiële gevolgen voor de luchtvaartveiligheid en om te reageren op en te herstellen van dergelijke informatiebeveiligingsincidenten;

5)

voldoet aan de eisen van IS.AR.220 bij het uitbesteden van een deel van de in IS.AR.200 beschreven activiteiten aan andere organisaties;

6)

voldoet aan de personeelseisen die zijn vastgesteld in IS.AR.225;

7)

voldoet aan de eisen inzake het bijhouden van gegevens die zijn vastgesteld in IS.AR.230;

8)

erop toeziet dat zijn eigen organisatie voldoet aan de vereisten van deze verordening en de in IS.AR.225, punt a), bedoelde persoon feedback over bevindingen geeft om ervoor te zorgen dat corrigerende maatregelen doeltreffend worden uitgevoerd;

9)

de vertrouwelijkheid beschermt van alle informatie die de bevoegde autoriteit kan hebben met betrekking tot organisaties die onder haar toezicht staan en de informatie die is ontvangen via de externe rapportagesystemen van de organisatie die zijn vastgesteld overeenkomstig IS.I.OR.230 van bijlage II (Deel-IS.I.OR) bij deze verordening en IS.D.OR.230 van de bijlage (Deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645;

10)

het Agentschap in kennis stelt van wijzigingen die van invloed zijn op het vermogen van de bevoegde autoriteit om haar taken uit te voeren en zich te kwijten van haar verantwoordelijkheden zoals gedefinieerd in deze verordening;

11)

procedures vaststelt en uitvoert om, waar passend en op een praktische en tijdige manier, relevante informatie te delen om andere bevoegde autoriteiten en agentschappen, alsmede organisaties die onder deze verordening vallen, bij te staan bij het uitvoeren van doeltreffende veiligheidsrisicobeoordelingen met betrekking tot hun activiteiten.

1)

de activiteiten, faciliteiten en middelen van de bevoegde autoriteit en de diensten die de bevoegde autoriteit exploiteert, verleent, ontvangt of onderhoudt;

2)

de apparatuur, systemen, gegevens en informatie die bijdragen tot de werking van de in punt 1) bedoelde elementen.

1)

een risiconiveau toekennen op basis van een classificatie die zij vooraf heeft opgesteld;

2)

elk risico en het niveau ervan koppelen aan het overeenkomstige element of de overeenkomstige interface, zoals vastgesteld overeenkomstig de punten a) en b).

1)

er is een wijziging in de elementen die onderhevig zijn aan informatiebeveiligingsrisico’s;

2)

er is een wijziging in de interfaces tussen de organisatie van de bevoegde autoriteit en andere organisaties, of in de risico’s die door de andere organisaties zijn meegedeeld;

3)

er is een wijziging in de informatie of kennis die gebruikt is voor de identificatie, analyse en classificatie van risico’s;

4)

er zijn lessen getrokken uit de analyse van informatiebeveiligingsincidenten.

1)

controle uit te oefenen op de omstandigheden die ertoe bijdragen dat het dreigingsscenario zich effectief voordoet;

2)

de gevolgen van het dreigingsscenario voor de veiligheid van de luchtvaart te beperken;

3)

de risico’s te vermijden.

1)

afwijkingen van vooraf bepaalde referentiescenario’s voor functionele prestaties vast te stellen;

2)

waarschuwingen te geven om passende responsmaatregelen te activeren in geval van een afwijking.

1)

haar eigen organisatie te laten reageren op de in punt a), 2), bedoelde waarschuwingen door vooraf gedefinieerde middelen en acties te activeren;

2)

de verspreiding van een aanval in te dammen en te voorkomen dat het dreigingsscenario volledig werkelijkheid wordt;

3)

de faalwijze van de in IS.AR.205, a), gedefinieerde getroffen elementen te controleren.

1)

de omstandigheid die het incident heeft veroorzaakt, weg te nemen of tot een aanvaardbaar niveau te beperken;

2)

opnieuw een veilige toestand te bereiken van de in IS.AR.205, a), gedefinieerde getroffen elementen, binnen een vooraf door haar eigen organisatie vastgestelde hersteltijd.

1)

de bevoegdheid hebben om volledige toegang te krijgen tot de middelen die de bevoegde autoriteit nodig heeft om alle bij deze verordening voorgeschreven taken uit te voeren;

2)

beschikken over de bevoegdheidsdelegatie die nodig is om de toegewezen taken uit te voeren;

1)

De bevoegde autoriteit zorgt ervoor dat de volgende gegevens worden gearchiveerd en traceerbaar zijn:

2)

De in punt 1), i), bedoelde gegevens worden bewaard gedurende minstens 5 jaar nadat het contract is gewijzigd of beëindigd.

3)

De in punt 1), ii) en iii), bedoelde gegevens worden minstens 5 jaar bewaard.

4)

De in punt 1), iv), bedoelde gegevens worden bewaard totdat die informatiebeveiligingsvoorvallen opnieuw zijn beoordeeld overeenkomstig een frequentie die is vastgesteld in een door de bevoegde autoriteit opgestelde procedure.

1)

De gegevens over de kwalificaties en ervaring van het personeel moeten worden bewaard zolang de persoon in kwestie voor de bevoegde autoriteit werkt, en gedurende minstens 3 jaar nadat hij de bevoegde autoriteit heeft verlaten.

2)

Indien personeelsleden daarom verzoeken, moeten zij toegang krijgen tot hun persoonlijke gegevens. Wanneer zij de bevoegde autoriteit verlaten, moet de bevoegde autoriteit hen, op verzoek, een kopie geven van hun individuele gegevens.

1)

een beleid inzake informatiebeveiliging vaststelt, waarin de algemene beginselen van de organisatie met betrekking tot de mogelijke gevolgen van informatiebeveiligingsrisico’s voor de veiligheid van de luchtvaart worden uiteengezet;

2)

informatiebeveiligingsrisico’s vaststelt en beoordeelt overeenkomstig IS.I.OR.205;

3)

maatregelen voor de behandeling van informatiebeveiligingsrisico’s definieert en uitvoert overeenkomstig IS.I.OR.210;

4)

een regeling voor interne rapportage over informatiebeveiliging toepast overeenkomstig IS.I.OR.215;

5)

overeenkomstig IS.I.OR.220 de maatregelen vaststelt en toepast die nodig zijn om informatiebeveiligingsvoorvallen op te sporen, om te bepalen welke daarvan worden beschouwd als informatiebeveiligingsincidenten met potentiële gevolgen voor de luchtvaartveiligheid, met uitzondering van de voorvallen die zijn toegestaan uit hoofde van IS.I.OR.205, e), en om te reageren op en te herstellen van dergelijke informatiebeveiligingsincidenten;

6)

de maatregelen uitvoert die door de bevoegde autoriteit zijn gemeld als een onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart;

7)

passende maatregelen neemt, overeenkomstig IS.I.OR.225, om de door de bevoegde autoriteit gemelde bevindingen aan te pakken;

8)

een extern rapportagesysteem toepast, overeenkomstig IS.I.OR.230, om de bevoegde autoriteit in staat te stellen passende maatregelen te nemen;

9)

voldoet aan de eisen van IS.I.OR.235 bij het uitbesteden van een deel van de in IS.I.OR.200 bedoelde activiteiten aan andere organisaties;

10)

voldoet aan de personeelseisen die zijn vastgesteld in IS.I.OR.240;

11)

voldoet aan de eisen inzake het bijhouden van gegevens die zijn vastgesteld in IS.I.OR.245;

12)

erop toeziet dat de organisatie voldoet aan de vereisten van deze verordening en aan de verantwoordelijke manager feedback geeft over bevindingen om ervoor te zorgen dat corrigerende maatregelen doeltreffend worden uitgevoerd;

13)

onverminderd de toepasselijke vereisten inzake rapportage van incidenten, de vertrouwelijkheid beschermt van alle informatie die de organisatie heeft ontvangen van andere organisaties, volgens het niveau van vertrouwelijkheid.

1)

de activiteiten, faciliteiten en middelen van de organisatie, en de diensten die de organisatie exploiteert, verleent, ontvangt of onderhoudt;

2)

de apparatuur, systemen, gegevens en informatie die bijdragen tot de werking van de in punt 1) vermelde elementen.

1)

een risiconiveau toekennen op basis van een classificatie die zij vooraf heeft opgesteld;

2)

elk risico en het niveau ervan koppelen aan het overeenkomstige element of de overeenkomstige interface, zoals vastgesteld overeenkomstig de punten a) en b).

1)

er is een wijziging in de elementen die onderhevig zijn aan informatiebeveiligingsrisico’s;

2)

er is een wijziging in de interfaces tussen de organisatie en andere organisaties, of in de risico’s die door de andere organisaties zijn meegedeeld;

3)

er is een wijziging in de informatie of kennis die gebruikt is voor de identificatie, analyse en classificatie van risico’s;

4)

er zijn lessen getrokken uit de analyse van informatiebeveiligingsincidenten.

1)

controle uit te oefenen op de omstandigheden die ertoe bijdragen dat het dreigingsscenario zich effectief voordoet;

2)

de gevolgen van het dreigingsscenario voor de veiligheid van de luchtvaart te beperken;

3)

de risico’s te vermijden.

1)

te bepalen welke van de overeenkomstig punt a) gemelde gebeurtenissen moeten worden beschouwd als informatiebeveiligingsincidenten of kwetsbaarheden met potentiële gevolgen voor de veiligheid van de luchtvaart;

2)

de oorzaken van en de factoren die bijdragen tot de overeenkomstig punt 1) vastgestelde incidenten en kwetsbaarheden te bepalen en aan te pakken in het kader van het proces voor het beheer van risico’s voor de informatiebeveiliging, overeenkomstig IS.I.OR.205 en IS.I.OR.220;

3)

erop toe te zien dat een evaluatie wordt uitgevoerd van alle bekende relevante informatie met betrekking tot de overeenkomstig punt 1) vastgestelde informatiebeveiligingsincidenten en kwetsbaarheden;

4)

erop toe te zien dat een methode ten uitvoer wordt gelegd om de informatie indien nodig intern te verspreiden.

1)

afwijkingen van vooraf bepaalde referentiescenario’s voor functionele prestaties vast te stellen;

2)

waarschuwingen te geven om passende responsmaatregelen te activeren in geval van een afwijking.

1)

te reageren op de in punt a), 2), bedoelde waarschuwingen door vooraf gedefinieerde middelen en acties te activeren;

2)

de verspreiding van een aanval in te dammen en te voorkomen dat het dreigingsscenario volledig werkelijkheid wordt;

3)

de faalwijze van de in IS.I.OR.205, a), gedefinieerde getroffen elementen te controleren.

1)

de omstandigheid die het incident heeft veroorzaakt, weg te nemen of tot een aanvaardbaar niveau te beperken;

2)

een veilige toestand te bereiken van de in IS.I.OR.205, a), gedefinieerde getroffen elementen, binnen een vooraf door de organisatie vastgestelde hersteltijd.

1)

de fundamentele oorzaak of oorzaken van het geval van niet-naleving identificeren, alsook de factoren die ertoe hebben bijgedragen;

2)

een corrigerend actieplan opstellen;

3)

tot voldoening van de bevoegde autoriteit aantonen dat de niet-naleving is gecorrigeerd.

1)

als een incident of kwetsbaarheid gevolgen heeft voor een luchtvaartuig of bijbehorende systemen of componenten, moet de organisatie dit ook melden aan de houder van de ontwerpgoedkeuring;

2)

als een incident of kwetsbaarheid gevolgen heeft voor door de organisatie gebruikte systemen of onderdelen, moet de organisatie dit melden aan de organisatie die verantwoordelijk is voor het ontwerp van het systeem of onderdeel.

1)

zodra de organisatie weet krijgt van de omstandigheid, wordt een kennisgeving ingediend bij de bevoegde autoriteit en, indien van toepassing, de houder van de ontwerpgoedkeuring of de organisatie die verantwoordelijk is voor het ontwerp van het systeem of onderdeel;

2)

zo snel mogelijk, maar uiterlijk 72 uur na het tijdstip waarop de organisatie weet heeft gekregen van de omstandigheid, tenzij uitzonderlijke omstandigheden dit verhinderen, wordt een verslag ingediend bij de bevoegde autoriteit en, indien van toepassing, de houder van de ontwerpgoedkeuring of de organisatie die verantwoordelijk is voor het ontwerp van het systeem of onderdeel.

Het verslag wordt opgesteld in de door de bevoegde autoriteit bepaalde vorm en bevat alle relevante informatie over de omstandigheid waar de organisatie weet van heeft;

3)

er wordt een follow-upverslag ingediend bij de bevoegde autoriteit en, indien van toepassing, de houder van de ontwerpgoedkeuring of de organisatie die verantwoordelijk is voor het ontwerp van het systeem of onderdeel, met nadere informatie over de acties die de organisatie heeft genomen of voornemens is te nemen om van het incident te herstellen en de acties die zij voornemens is te nemen om soortgelijke informatiebeveiligingsincidenten in de toekomst te voorkomen.

Het follow-upverslag wordt ingediend zodra deze maatregelen zijn vastgesteld, en wordt opgesteld in de door de bevoegde autoriteit vastgestelde vorm.

1)

ervoor zorgen dat alle nodige middelen beschikbaar zijn om aan de voorschriften van deze verordening te voldoen;

2)

het in IS.I.OR.200, a), 1), bedoelde informatiebeveiligingsbeleid vaststellen en bevorderen;

3)

blijk te geven van een fundamenteel begrip van deze verordening.

1)

De organisatie zorgt ervoor dat de volgende gegevens worden gearchiveerd en traceerbaar zijn:

2)

De in punt 1), i), bedoelde gegevens worden bewaard gedurende minstens 5 jaar nadat de geldigheid van de goedkeuring is verstreken.

3)

De in punt 1), ii), bedoelde gegevens worden bewaard gedurende minstens 5 jaar nadat het contract is gewijzigd of beëindigd.

4)

De in punt 1), iii), iv) en v), bedoelde gegevens worden minstens 5 jaar bewaard.

5)

De in punt 1), vi), bedoelde gegevens worden bewaard totdat die informatiebeveiligingsvoorvallen opnieuw zijn beoordeeld overeenkomstig een frequentie die is vastgesteld in een door de organisatie opgestelde procedure.

1)

De gegevens over de kwalificaties en ervaring van het personeel worden bewaard zolang de persoon in kwestie voor de organisatie werkt, en gedurende minstens 3 jaar nadat hij de organisatie heeft verlaten.

2)

Indien personeelsleden daarom verzoeken, moeten zij toegang krijgen tot hun persoonlijke gegevens. Wanneer zij de organisatie verlaten, moet de organisatie hen, op verzoek, een kopie geven van hun individuele gegevens.

1)

een door de verantwoordelijke manager ondertekende verklaring waarbij wordt bevestigd dat de organisatie te allen tijde haar werkzaamheden zal verrichten in overeenstemming met deze bijlage en het handboek informatiebeveiligingsbeheer; Indien de verantwoordelijke manager niet de chief executive officer (CEO) van de organisatie is, moet de CEO de verklaring medeondertekenen;

2)

de titel(s), na(a)m(en), taken, aansprakelijkheden, verantwoordelijkheden en bevoegdheden van de in IS.I.OR.240, b) en c), bedoelde persoon of personen;

3)

de titel, naam, taken, aansprakelijkheden, verantwoordelijkheden en bevoegdheid van de in IS.I.OR.240, d), bedoelde gemeenschappelijke verantwoordelijke persoon, indien van toepassing;

4)

het informatiebeveiligingsbeleid van de organisatie, zoals bedoeld in IS.I.OR.200, a), 1);

5)

een algemene beschrijving van het aantal en de categorieën personeelsleden en van het systeem om de beschikbaarheid van personeel te plannen, zoals vereist bij IS.I.OR.240;

6)

de titel(s), na(a)m(en), taken, aansprakelijkheden, verantwoordelijkheden en bevoegdheden van de belangrijkste personen die verantwoordelijk zijn voor de uitvoering van IS.I.OR.200, met inbegrip van de persoon of personen die verantwoordelijk is (zijn) voor de in IS.I.OR.200, a), 12), bedoelde functie toezicht op de naleving;

7)

een organisatieschema met de bijbehorende aansprakelijkheids- en verantwoordelijkheidsketens voor de in de punten 2) en 6) bedoelde personen;

8)

de beschrijving van het in IS.I.OR.215 bedoelde interne rapportagesysteem;

9)

de procedures waarin gespecificeerd is hoe de organisatie de naleving van dit deel waarborgt, en met name:

10)

de bijzonderheden van de op dit moment goedgekeurde alternatieve wijzen van naleving.

1)

wordt de aanvraag ingediend alvorens een dergelijke wijziging wordt doorgevoerd, zodat de bevoegde autoriteit kan bepalen of er nog altijd wordt voldaan aan deze verordening en zo nodig het certificaat van de organisatie en de bijbehorende voorwaarden van de goedkeuring kan aanpassen;

2)

verstrekt de organisatie aan de bevoegde autoriteit alle informatie die zij vraagt om de wijziging te evalueren;

3)

worden ze pas doorgevoerd na ontvangst van een formele goedkeuring door de bevoegde autoriteit;

4)

werkt de organisatie tijdens de uitvoering van dergelijke wijzigingen onder de door de bevoegde autoriteit voorgeschreven voorwaarden.

a)

aan ARA.GEN.125 wordt het volgende punt c) toegevoegd:

b)

na punt ARA.GEN.135 wordt het volgende punt ARA.GEN.135A ingevoegd:

“ARA.GEN.135A Onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart

c)

aan ARA.GEN.200 wordt het volgende punt e) toegevoegd:

d)

ARA.GEN.205 wordt als volgt gewijzigd:

e)

aan ARA.GEN.300 wordt het volgende punt g) toegevoegd:

f)

na ARA.GEN.330 wordt ARA.GEN.330A ingevoegd:

“ARA.GEN.330A Wijzigingen van het beheersysteem voor informatiebeveiliging

a)

na 21.B.20 wordt de volgende titel ingevoegd:

“21.B.20A Onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart”;

b)

de titel van 21.B.30 wordt vervangen door:

“21.B.30 Toewijzing van taken”;

c)

na 21.B.240 wordt de volgende titel ingevoegd:

“21.B.240A Wijzigingen van het beheersysteem voor informatiebeveiliging”;

d)

na 21.B.435 wordt de volgende titel ingevoegd:

“21.B.435A Wijzigingen van het beheersysteem voor informatiebeveiliging”.

“c)

De bevoegde autoriteit van de lidstaat verstrekt het Agentschap zo spoedig mogelijk veiligheidsrelevante informatie die afkomstig is van de informatiebeveiligingsrapporten die zij heeft ontvangen overeenkomstig punt IS.D.OR.230 van de bijlage (Deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645.”.

a)

De bevoegde autoriteit past een systeem toe voor het op passende wijze verzamelen, analyseren en verspreiden van informatie over incidenten en kwetsbaarheden op het gebied van informatiebeveiliging met mogelijke gevolgen voor de veiligheid van de luchtvaart die door organisaties worden gemeld. Dit gebeurt in coördinatie met alle andere relevante autoriteiten die binnen de lidstaat verantwoordelijk zijn voor informatiebeveiliging of cyberbeveiliging om de coördinatie en compatibiliteit van meldingsregelingen te verbeteren.

b)

Het Agentschap voert een systeem in om alle veiligheidsrelevante informatie die is ontvangen overeenkomstig 21.B.15, punt c), op passende wijze te analyseren en verstrekt de lidstaten en de Commissie zonder onnodige vertraging alle informatie, met inbegrip van aanbevelingen of te nemen corrigerende maatregelen, die zij nodig hebben om tijdig te kunnen reageren op een informatiebeveiligingsincident of kwetsbaarheid met mogelijke gevolgen voor de luchtvaartveiligheid met betrekking tot producten, onderdelen, niet-geïnstalleerde apparatuur, personen of organisaties die onder Verordening (EU) 2018/1139 en de gedelegeerde en uitvoeringshandelingen daarvan vallen.

c)

Na ontvangst van de in de punten a) en b) bedoelde informatie neemt de bevoegde autoriteit passende maatregelen om de mogelijke gevolgen van het informatiebeveiligingsincident of de kwetsbaarheid voor de veiligheid van de luchtvaart aan te pakken.

d)

Overeenkomstig punt c) genomen maatregelen moeten onmiddellijk ter kennis worden gebracht van alle personen of organisaties die daaraan moeten voldoen krachtens Verordening (EU) 2018/1139 en de gedelegeerde en uitvoeringshandelingen daarvan. De bevoegde autoriteit van de lidstaat stelt ook het Agentschap in kennis van deze maatregelen, alsmede de bevoegde autoriteiten van de andere betrokken lidstaten in zoverre gecombineerd optreden vereist is.”.

“e)

Naast de eisen van punt a) moet het door de bevoegde autoriteit opgezette en onderhouden beheersysteem voldoen aan bijlage I (Deel-IS.AR) bij Uitvoeringsverordening (EU) 2023/203 om te zorgen voor een goed beheer van risico’s voor de informatiebeveiliging die gevolgen kunnen hebben voor de veiligheid van de luchtvaart.”.

a)

de titel wordt vervangen door:

“21.B.30 Toewijzing van taken”;

b)

het volgende punt c) wordt toegevoegd:

“g)

Met betrekking tot de certificering van en het toezicht op de naleving van 21.A.139A door de organisatie evalueert de bevoegde autoriteit, naast de punten a) tot en met f), elke goedkeuring die is verleend uit hoofde van IS.I.OR.200, punt e), van deze verordening of IS.D.OR.200, punt e), van Gedelegeerde Verordening (EU) 2022/1645 na de toepasselijke auditcyclus en telkens wanneer wijzigingen worden doorgevoerd in de reikwijdte van de werkzaamheden van de organisatie.”.

a)

Voor wijzigingen die worden beheerd en meegedeeld aan de bevoegde autoriteit overeenkomstig de procedure van IS.D.OR.255, punt a), van de bijlage (Deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645, neemt de bevoegde autoriteit de beoordeling van deze wijzigingen op in haar permanente toezicht overeenkomstig de beginselen van punt 21.B.221. Wanneer een geval van niet-naleving wordt vastgesteld, stelt de bevoegde autoriteit de organisatie daarvan in kennis, vraagt zij verdere wijzigingen en handelt zij overeenkomstig 21.B.225.

b)

Met betrekking tot andere wijzigingen waarvoor een erkenningsaanvraag vereist is overeenkomstig IS.D.OR.255, punt b), van de bijlage (deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645:

“d)

Voor de certificering van en het toezicht op de naleving door de organisatie van punt 21.A.239A moet de bevoegde autoriteit niet alleen voldoen aan de punten a), b) en c), maar ook aan de volgende beginselen:

a)

Voor wijzigingen die worden beheerd en meegedeeld aan de bevoegde autoriteit overeenkomstig de procedure van IS.D.OR.255, punt a), van de bijlage (Deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645, neemt de bevoegde autoriteit de beoordeling van deze wijzigingen op in haar permanente toezicht overeenkomstig de beginselen van punt 21.B.431. Wanneer een geval van niet-naleving wordt vastgesteld, stelt de bevoegde autoriteit de organisatie daarvan in kennis, vraagt zij verdere wijzigingen en handelt zij overeenkomstig 21.B.433.

b)

Met betrekking tot andere wijzigingen waarvoor een erkenningsaanvraag vereist is overeenkomstig IS.D.OR.255, punt b), van de bijlage (deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645:

a)

aan ARO.GEN.125 wordt het volgende punt c) toegevoegd:

b)

na ARO.GEN.135 wordt ARO.GEN.135A ingevoegd:

“ARO.GEN.135A    Onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart

c)

aan ARO.GEN.200 wordt het volgende punt e) toegevoegd:

d)

ARO.GEN.205 wordt als volgt gewijzigd:

e)

aan ARO.GEN.300 wordt het volgende punt g) toegevoegd:

f)

na ARO.GEN.330 wordt ARO.GEN.330A ingevoegd:

“ARO.GEN.330A    Wijzigingen van het beheersysteem voor informatiebeveiliging

“c)

De bevoegde autoriteit van de lidstaat verstrekt het Agentschap zo spoedig mogelijk veiligheidsrelevante informatie die afkomstig is van de informatiebeveiligingsrapporten die zij heeft ontvangen overeenkomstig punt IS.D.OR.230 van de bijlage (Deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645.”.

a)

De bevoegde autoriteit past een systeem toe voor het op passende wijze verzamelen, analyseren en verspreiden van informatie over incidenten en kwetsbaarheden op het gebied van informatiebeveiliging met mogelijke gevolgen voor de veiligheid van de luchtvaart die door organisaties worden gemeld. Dit gebeurt in coördinatie met alle andere relevante autoriteiten die binnen de lidstaat verantwoordelijk zijn voor informatiebeveiliging of cyberbeveiliging om de coördinatie en compatibiliteit van meldingsregelingen te verbeteren.

b)

Het Agentschap voert een systeem in om alle veiligheidsrelevante informatie die is ontvangen overeenkomstig ADR.AR.A.025, punt c), op passende wijze te analyseren en verstrekt de lidstaten en de Commissie zonder onnodige vertraging alle informatie, met inbegrip van aanbevelingen of te nemen corrigerende maatregelen, die zij nodig hebben om tijdig te kunnen reageren op een informatiebeveiligingsincident of kwetsbaarheid met mogelijke gevolgen voor de luchtvaartveiligheid met betrekking tot producten, onderdelen, niet-geïnstalleerde apparatuur, personen of organisaties die onder Verordening (EU) 2018/1139 en de gedelegeerde en uitvoeringshandelingen daarvan vallen.

c)

Na ontvangst van de in de punten a) en b) bedoelde informatie neemt de bevoegde autoriteit passende maatregelen om de mogelijke gevolgen van het informatiebeveiligingsincident of de kwetsbaarheid voor de veiligheid van de luchtvaart aan te pakken.

d)

Overeenkomstig punt c) genomen maatregelen moeten onmiddellijk ter kennis worden gebracht van alle personen of organisaties die daaraan moeten voldoen krachtens Verordening (EU) 2018/1139 en de gedelegeerde en uitvoeringshandelingen daarvan. De bevoegde autoriteit van de lidstaat stelt ook het Agentschap in kennis van deze maatregelen, alsmede de bevoegde autoriteiten van de andere betrokken lidstaten in zoverre gecombineerd optreden vereist is.”.

“d)

Naast de eisen van punt a) moet het door de bevoegde autoriteit opgezette en onderhouden beheersysteem voldoen aan bijlage I (Deel-IS.AR) bij Uitvoeringsverordening (EU) 2023/203 om te zorgen voor een goed beheer van risico’s voor de informatiebeveiliging die gevolgen kunnen hebben voor de veiligheid van de luchtvaart.”.

i)

de titel wordt vervangen door:

“ADR.AR.B.010 Toewijzing van taken”;

ii)

het volgende punt c) wordt toegevoegd:

“f)

Met betrekking tot de certificering van en het toezicht op de naleving van ADR.OR.D.005A door de organisatie evalueert de bevoegde autoriteit, naast de punten a) tot en met e), elke goedkeuring die is verleend uit hoofde van IS.I.OR.200, punt e), van deze verordening of IS.D.OR.200, punt e), van Gedelegeerde Verordening (EU) 2022/1645 na de toepasselijke auditcyclus en telkens wanneer wijzigingen worden doorgevoerd in de reikwijdte van de werkzaamheden van de organisatie.”.

a)

Met betrekking tot wijzigingen die worden beheerd en meegedeeld aan de bevoegde autoriteit overeenkomstig de procedure van IS.D.OR.255, punt a), van de bijlage (Deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645, neemt de bevoegde autoriteit de beoordeling van deze wijzigingen op in haar permanente toezicht overeenkomstig de beginselen van punt ADR.AR.C.005. Wanneer een geval van niet-naleving wordt vastgesteld, stelt de bevoegde autoriteit de organisatie daarvan in kennis, vraagt zij verdere wijzigingen en handelt zij overeenkomstig ADR.AR.C.055.

b)

Met betrekking tot andere wijzigingen waarvoor een erkenningsaanvraag vereist is overeenkomstig IS.D.OR.255, punt b), van de bijlage (deel-IS.D.OR) bij Gedelegeerde Verordening (EU) 2022/1645:

a)

de inhoudsopgave wordt als volgt gewijzigd:

b)

na 145.A.200 wordt 145.A.200A ingevoegd:

“145.A.200A    Beheersysteem voor informatiebeveiliging

Naast het bij punt 145.A.200 vereiste beheersysteem moet de organisatie een beheersysteem voor informatiebeveiliging opzetten, toepassen en onderhouden overeenkomstig Uitvoeringsverordening (EU) 2023/203 om te zorgen voor een goed beheer van risico’s voor de informatiebeveiliging die gevolgen kunnen hebben voor de veiligheid van de luchtvaart.”;

c)

aan 145.B.125 wordt het volgende punt c) toegevoegd:

d)

na 145.B.135 wordt 145.B.135A ingevoegd:

“145.B.135A    Onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart

e)

Aan 145.B.200 wordt het volgende punt e) toegevoegd:

f)

145.B.205 wordt als volgt gewijzigd:

g)

aan 145.B.300 wordt het volgende punt g) toegevoegd:

h)

na 145.B.330 wordt 145.B.330A ingevoegd:

“145.B.330A    Wijzigingen van het beheersysteem voor informatiebeveiliging

a)

na 66.B.10 wordt de volgende titel ingevoegd in de inhoudsopgave:

b)

na 66.B.10 wordt 66.B.15 ingevoegd:

“66.B.15    Beheersysteem voor informatiebeveiliging

De bevoegde autoriteit ontwikkelt, implementeert en onderhoudt een beheersysteem voor informatiebeveiliging overeenkomstig bijlage I (deel-IS.AR) bij Uitvoeringsverordening (EU) 2023/203 om te zorgen voor een goed beheer van risico’s voor de informatiebeveiliging die gevolgen kunnen hebben voor de veiligheid van de luchtvaart.”.

a)

de inhoudsopgave wordt als volgt gewijzigd:

b)

na CAMO.A.200 wordt CAMO.A.200A ingevoegd:

“CAMO.A.200A    Beheersysteem voor informatiebeveiliging

Naast het bij punt CAMO.A.200 vereiste beheersysteem moet de organisatie een beheersysteem voor informatiebeveiliging opzetten, toepassen en onderhouden overeenkomstig Uitvoeringsverordening (EU) 2023/203 om te zorgen voor een goed beheer van risico’s voor de informatiebeveiliging die gevolgen kunnen hebben voor de veiligheid van de luchtvaart.”;

c)

aan CAMO.B.125 wordt het volgende punt c) toegevoegd:

d)

na CAMO.B.135 wordt CAMO.B.135A ingevoegd:

“CAMO.B.135A    Onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart

e)

aan CAMO.B.200 wordt het volgende punt e) toegevoegd:

f)

CAMO.B.205 wordt als volgt gewijzigd:

g)

aan CAMO.B.300 wordt het volgende punt g) toegevoegd:

h)

na CAMO.B.330 wordt CAMO.B.330A ingevoegd:

“CAMO.B.330A    Wijzigingen van het beheersysteem voor informatiebeveiliging

a)

aan ATCO.AR.A.020 wordt het volgende punt c) toegevoegd:

b)

na ATCO.AR.A.025 wordt ATCO.AR.A.025A ingevoegd:

“ATCO.AR.A.025A    Onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart

c)

aan ATCO.AR.B.001 wordt het volgende punt e) toegevoegd:

d)

ATCO.AR.B.005 wordt als volgt gewijzigd:

e)

aan ATCO.AR.C.001 wordt het volgende punt f) toegevoegd:

f)

na ATCO.AR.E.010 wordt ATCO.AR.E.010A ingevoegd:

“ATCO.AR.E.010A    Wijzigingen van het beheersysteem voor informatiebeveiliging

a)

aan ATM/ANS.AR.A.020 wordt het volgende punt c) toegevoegd:

b)

na ATM/ANS.AR.A.025 wordt ATM/ANS.AR.A.025A ingevoegd:

“ATM/ANS.AR.A.025A Onmiddellijke reactie op een informatiebeveiligingsincident of kwetsbaarheid met gevolgen voor de veiligheid van de luchtvaart

c)

aan ATM/ANS.AR.B.001 wordt het volgende punt e) toegevoegd:

d)

ATM/ANS.AR.B.005 wordt als volgt gewijzigd:

e)

aan ATM/ANS.AR.C.010 wordt het volgende punt d) toegevoegd:

f)

na ATM/ANS.AR.C.025 wordt ATM/ANS.AR.C.025A ingevoegd:

“ATM/ANS.AR.C.025A Wijzigingen van het beheersysteem voor informatiebeveiliging

a)

na ATM/ANS.OR.B.005 wordt ATM/ANS.OR.B.005A ingevoegd:

“ATM/ANS.OR.B.005A Beheersysteem voor informatiebeveiliging

Naast het bij ATM/ANS.OR.B.005 vereiste beheersysteem moet de dienstverlener een beheersysteem voor informatiebeveiliging opzetten, toepassen en onderhouden overeenkomstig Uitvoeringsverordening (EU) 2023/203 om te zorgen voor een goed beheer van risico’s voor de informatiebeveiliging die gevolgen kunnen hebben voor de veiligheid van de luchtvaart.”;

b)

ATM/ANS.OR.D.010 wordt vervangen door:

“ATM/ANS.OR.D.010 Beheer van de beveiliging