GEDELEGEERDE VERORDENING (EU) 2025/22 VAN DE COMMISSIE

van 19 december 2024

tot wijziging van Gedelegeerde Verordening (EU) 2022/1645 wat betreft de eisen inzake informatiebeveiliging voor organisaties die grondafhandelingsdiensten verlenen

(Voor de EER relevante tekst)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2018/1139 van het Europees Parlement en de Raad van 4 juli 2018 inzake gemeenschappelijke regels op het gebied van burgerluchtvaart en tot oprichting van een Agentschap van de Europese Unie voor de veiligheid van de luchtvaart, en tot wijziging van de Verordeningen (EG) nr. 2111/2005, (EG) nr. 1008/2008, (EU) nr. 996/2010, (EU) nr. 376/2014 en de Richtlijnen 2014/30/EU en 2014/53/EU van het Europees Parlement en de Raad, en tot intrekking van de Verordeningen (EG) nr. 552/2004 en (EG) nr. 216/2008 van het Europees Parlement en de Raad en Verordening (EEG) nr. 3922/91 van de Raad (1), met name artikel 39, lid 1, punt e),

Overwegende hetgeen volgt:

(1)

Verordening (EU) 2018/1139 stelt de essentiële eisen vast voor de veilige verlening van grondafhandelingsdiensten en organisaties die deze verlenen, alsook eisen voor het toezicht door de bevoegde autoriteiten op die organisaties en de grondafhandelingsdiensten die worden verleend op luchtvaartterreinen in de Unie die binnen het toepassingsgebied van die verordening vallen.

(2)

Overeenkomstig de essentiële eisen van bijlage VII, punt 4.2.1, bij Verordening (EU) 2018/1139 en Gedelegeerde Verordening (EU) 2025/20 van de Commissie (2), moeten organisaties die verantwoordelijk zijn voor de veilige verlening van grondafhandelingsdiensten een beheersysteem opzetten en onderhouden om veiligheidsrisico’s te beheren. Dergelijke veiligheidsrisico’s kunnen ook voortvloeien uit bedreigingen voor de informatiebeveiliging. De risico’s van deze aard moeten naar behoren worden aangepakt door organisaties die grondafhandelingsdiensten verlenen. Om dit mogelijk te maken, moet het toepassingsgebied van Gedelegeerde Verordening (EU) 2022/1645 van de Commissie (3) worden gewijzigd, zodat organisaties die grondafhandelingsdiensten verlenen erin worden opgenomen.

(3)

Organisaties die onder Gedelegeerde Verordening (EU) 2022/1645 vallen, zoals de grondafhandelingsorganisaties en de organisaties die platformbeheerdiensten verlenen, voeren hun activiteiten uit op basis van een verklaringsregeling. Dit betekent dat hun beheersysteem of een van de onderdelen daarvan niet hoeft te worden goedgekeurd door hun bevoegde autoriteiten. Dankzij die regeling kunnen deze organisaties de bepalingen inzake informatiebeveiliging toepassen zonder dat zij hun handboek informatiebeveiligingsbeheer en het proces voor het beheer van wijzigingen door de bevoegde autoriteit moeten laten goedkeuren. De eisen met betrekking tot deze elementen moeten worden gewijzigd om rekening te houden met deze vrijstelling voor verklarende organisaties.

(4)

Onder deze verordening vallende organisaties die reeds onderworpen zijn aan beveiligingseisen die voortvloeien uit Uitvoeringsverordening (EU) 2015/1998 van de Commissie (4), moeten ook voldoen aan de eisen van bijlage I (Deel IS.D.OR.230 “Regeling voor de externe rapportering van informatiebeveiligingsincidenten”) bij Gedelegeerde Verordening (EU) 2022/1645 aangezien Uitvoeringsverordening (EU) 2015/1998 geen bepalingen bevat die betrekking hebben op de externe rapportering van informatiebeveiligingsincidenten.

(5)	De in deze verordening vastgestelde eisen zijn gebaseerd op Advies nr. 01/2024 (5), dat door het Agentschap is uitgebracht overeenkomstig artikel 75, lid 2, punten b) en c), en artikel 76, lid 1, van Verordening (EU) 2018/1139.

(6)	Overeenkomstig artikel 128, lid 4, van Verordening (EU) 2018/1139, heeft de Commissie de door elke lidstaat aangewezen deskundigen geraadpleegd overeenkomstig de beginselen die zijn neergelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven (6).

(7)	Om organisaties voldoende tijd te geven om de naleving van de bij deze verordening ingevoerde nieuwe regels en procedures te waarborgen, moet deze verordening van toepassing worden met ingang van zes jaar na de datum van inwerkingtreding,

HEEFT DE VOLGENDE VERORDENING VASTGESTELD:

Artikel 1

Gedelegeerde Verordening (EU) 2022/1645 van de Commissie wordt als volgt gewijzigd:

Aan artikel 2, lid 1, wordt het volgende punt c) toegevoegd:

“c)

grondafhandelingsorganisaties die vallen onder Gedelegeerde Verordening (EU) 2025/20 van de Commissie (*1) en die:

i)	om de respectieve diensten te verlenen, door derden verstrekte gegevens moeten verzamelen, opslaan, analyseren of anderszins verwerken, of

ii)	gegevens die voor operationele doeleinden zullen worden gebruikt rechtstreeks aan luchtvaartuigexploitanten verstrekken.

(*1) Gedelegeerde Verordening (EU) 2025/20 van de Commissie van 19 december 2024 tot aanvulling van Verordening (EU) 2018/1139 van het Europees Parlement en de Raad door de vaststelling van eisen voor de veilige verlening van grondafhandelingsdiensten en voor organisaties die deze diensten verlenen (PB L, 2025/20, 7.3.2025, ELI: http://data.europa.eu/eli/reg_del/2025/20/oj).”."

Aan artikel 5, lid 1, wordt het volgende punt c) toegevoegd:

“c)	met betrekking tot de in artikel 2, punt c), bedoelde organisaties, de bevoegde autoriteit die is aangewezen overeenkomstig de bijlage (deel-ARGH) bij Uitvoeringsverordening (EU) 2025/23 van de Commissie (*2).

(*2) Uitvoeringsverordening (EU) 2025/23 van de Commissie van 19 december 2024 tot vaststelling van uitvoeringsbepalingen van Verordening (EU) 2018/1139 van het Europees Parlement en de Raad, wat betreft eisen voor het toezicht op grondafhandelingsdiensten en organisaties die deze verlenen (PB L, 2025/23, 7.3.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/23/oj.”."

Artikel 2

De bijlage bij Gedelegeerde Verordening (EU) 2022/1645 wordt gewijzigd overeenkomstig de bijlage bij deze verordening.

Artikel 3

1. Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

2. Artikel 1 is van toepassing met ingang van 27 maart 2031.

3. Artikel 2 is van toepassing met ingang van 16 oktober 2025.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel, 19 december 2024.

Voor de Commissie

De voorzitter

Ursula VON DER LEYEN

(1) PB L 212 van 22.8.2018, blz. 1, ELI: http://data.europa.eu/eli/reg/2018/1139/oj.

(2) Gedelegeerde Verordening (EU) 2025/20 van de Commissie van 19 december 2024 tot aanvulling van Verordening (EU) 2018/1139 van het Europees Parlement en de Raad door de vaststelling van eisen voor de veilige verlening van grondafhandelingsdiensten en voor organisaties die deze diensten verlenen (PB L, 2025/20, 7.3.2025, ELI: http://data.europa.eu/eli/reg_del/2025/20/oj).

(3) Gedelegeerde Verordening (EU) 2022/1645 van de Commissie van 14 juli 2022 tot vaststelling van regels voor de toepassing van Verordening (EU) 2018/1139 van het Europees Parlement en de Raad, wat betreft eisen voor het beheer van risico’s voor de informatiebeveiliging met mogelijke gevolgen voor de luchtvaartveiligheid voor organisaties die onder Verordeningen (EU) nr. 748/2012 en (EU) nr. 139/2014 van de Commissie vallen en tot wijziging van Verordeningen (EU) nr. 748/2012 en (EU) nr. 139/2014 van de Commissie (PB L 248 van 26.9.2022, blz. 18, ELI: http://data.europa.eu/eli/reg_del/2022/1645/oj).

(4) Uitvoeringsverordening (EU) 2015/1998 van de Commissie van 5 november 2015 tot vaststelling van gedetailleerde maatregelen voor de tenuitvoerlegging van de gemeenschappelijke basisnormen op het gebied van de beveiliging van de luchtvaart (PB L 299 van 14.11.2015, blz. 1, ELI: http://data.europa.eu/eli/reg_impl/2015/1998/oj).

(5) https://www.easa.europa.eu/en/document-library/opinions/opinion-no-012024.

(6) PB L 123 van 12.5.2016, blz. 1, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.

BIJLAGE

De bijlage bij Gedelegeerde Verordening (EU) 2022/1645 wordt als volgt gewijzigd:

IS.D.OR.200, punt a), 5), wordt als volgt gewijzigd:

“5)

overeenkomstig IS.D.OR.220 de maatregelen vaststelt en toepast die nodig zijn om informatiebeveiligingsvoorvallen op te sporen, bepaalt welke daarvan worden beschouwd als incidenten met potentiële gevolgen voor de luchtvaartveiligheid, en reageert op en herstelt van dergelijke informatiebeveiligingsincidenten;”.

IS.D.OR.250, punten b) en c), worden als volgt gewijzigd:

“b)

De eerste uitgave van het handboek informatiebeveiligingsbeheer wordt goedgekeurd en een kopie ervan wordt bewaard door de bevoegde autoriteit. Voor verklarende organisaties is geen goedkeuring vereist. Het handboek informatiebeveiligingsbeheer dient zo nodig te worden gewijzigd om een actuele beschrijving van het beheersysteem voor informatiebeveiliging van de organisatie te blijven bieden. Een kopie van eventuele wijzigingen van het handboek informatiebeveiligingsbeheer wordt verstrekt aan de bevoegde autoriteit.

Wijzigingen van het handboek informatiebeveiligingsbeheer worden beheerd volgens een door de organisatie vastgestelde procedure. Alle wijzigingen die buiten het toepassingsgebied van deze procedure vallen en alle amendementen van de in IS.D.OR.255, punt b), bedoelde wijzigingen moeten worden goedgekeurd door de bevoegde autoriteit. Voor verklarende organisaties is geen goedkeuring vereist.”.

IS.D.OR.255 wordt vervangen door:

“IS.D.OR.255 Wijzigingen van het beheersysteem voor informatiebeveiliging

a)	Wijzigingen van het beheersysteem voor informatiebeveiliging worden beheerd en meegedeeld aan de bevoegde autoriteit volgens een door de organisatie ontwikkelde procedure. Deze procedure moet door de bevoegde autoriteit worden goedgekeurd, behalve voor verklarende organisaties.

Voor wijzigingen van het beheersysteem voor informatiebeveiliging die niet onder de in punt a) bedoelde procedure vallen, moet de organisatie bij de bevoegde autoriteit een goedkeuring aanvragen en verkrijgen, behalve voor verklarende organisaties, waarvoor geen goedkeuring vereist is.

Wat deze wijzigingen betreft:

1)	wordt de aanvraag ingediend alvorens een dergelijke wijziging wordt doorgevoerd, zodat de bevoegde autoriteit kan bepalen of er nog altijd wordt voldaan aan deze verordening en zo nodig het certificaat van de organisatie en de bijbehorende voorwaarden van de goedkeuring kan aanpassen;

2)	verstrekt de organisatie aan de bevoegde autoriteit alle informatie die zij vraagt om de wijziging te evalueren;

3)	wordt de wijziging pas uitgevoerd na ontvangst van een formele goedkeuring door de bevoegde autoriteit, met uitzondering van verklarende organisaties, die de wijziging onmiddellijk kunnen uitvoeren;

4)	werkt de organisatie tijdens de uitvoering van dergelijke wijzigingen onder de door de bevoegde autoriteit voorgeschreven voorwaarden.”.