a)

Sem prejuízo do disposto no Regulamento (UE) n.o 376/2014 do Parlamento Europeu e do Conselho (1) e dos atos delegados e de execução com base nele adotados, a Agência deve criar um sistema que assegure a recolha, a análise e a divulgação adequadas das informações relativas à segurança e à interoperabilidade.

b)

Após receber as informações referidas na alínea a), a Agência deve tomar as medidas adequadas para resolver qualquer problema de segurança ou de interoperabilidade identificado, incluindo a emissão de diretivas relativas ao equipamento ATM/ANS, em conformidade com a secção ATM/ANS.EQMT.AR.A.030 do anexo I do Regulamento Delegado (UE) 2023/1768.

c)

As medidas tomadas ao abrigo da alínea b) devem ser imediatamente notificadas à entidade em causa, que tem a obrigação de as cumprir, em conformidade com a secção DPO.OR.A.035. As autoridades competentes dos prestadores ATM/ANS em causa devem igualmente ser notificadas.

a)

A Agência deve implementar um sistema de recolha, análise e divulgação adequadas de informações relacionadas com incidentes e vulnerabilidades de segurança da informação com potencial impacto na segurança da aviação que sejam comunicadas pelas entidades. Tal deve ser feito em coordenação com quaisquer outras autoridades pertinentes responsáveis pela segurança da informação ou pela cibersegurança no Estado-Membro, a fim de aumentar a coordenação e a compatibilidade dos sistemas de comunicação de informações.

b)

Ao receber as informações referidas na alínea a), a Agência toma as medidas adequadas para fazer face ao potencial impacto na segurança da aviação do incidente ou da vulnerabilidade de segurança da informação.

c)

As medidas tomadas ao abrigo da alínea b) devem ser imediatamente notificadas a todas as pessoas ou entidades visadas, nos termos do Regulamento (UE) 2018/1139 e dos atos delegados e de execução adotados com base nele. A Agência deve comunicar também essas informações às autoridades competentes dos Estados-Membros em causa.

a)

A Agência deve estabelecer e manter um sistema de gestão que inclua, no mínimo, os seguintes elementos:

b)

A Agência deve nomear, para cada área de atividade incluída no sistema de gestão, uma ou mais pessoas com a responsabilidade geral pela gestão das tarefas em causa.

c)

A Agência deve estabelecer procedimentos para a sua participação no intercâmbio mútuo de todas as informações necessárias com outra(s) autoridade(s) competente(s) referida(s) no artigo 4.o do Regulamento de Execução (UE) 2017/373 da Comissão (2) e prestar-lhes assistência ou solicitar-lhes assistência, incluindo quaisquer informações decorrentes da comunicação obrigatória e voluntária de ocorrências, conforme exigido na secção DPO.OR.A.045;

d)

O sistema de gestão estabelecido e mantido pela Agência deve cumprir o disposto no anexo I (parte IS.AR) do Regulamento de Execução (UE) 2023/203 a fim de assegurar a gestão adequada dos riscos para a segurança da informação que possam ter impacto na segurança da aviação.

a)

A Agência deve instituir um sistema que lhe permita identificar as alterações que afetem a sua capacidade para desempenhar as funções e cumprir as responsabilidades que lhe incumbem, conforme definidas no Regulamento (UE) 2018/1139 e nos atos delegados e de execução com base nele adotados. Tal sistema deve permitir à Agência tomar todas as medidas adequadas para garantir a adequação e a eficácia do sistema de gestão.

b)

A Agência deve atualizar o seu sistema de gestão de modo a refletir quaisquer alterações do Regulamento (UE) 2018/1139 ou dos atos delegados e de execução com base nele adotados, a fim de garantir uma aplicação eficaz desse sistema de gestão.

a)

A Agência deve instituir e manter um sistema de conservação de registos que garanta um armazenamento e um acesso adequados e uma rastreabilidade fiável:

b)

A Agência deve manter uma lista de todos os certificados que emitiu e de todas as declarações que registou.

c)

Todos os registos referidos nas alíneas a) e b) devem ser armazenados de forma a garantir a proteção contra danos, alterações e furto, e conservados por um período mínimo de cinco anos após as aprovações e os certificados deixarem de ser válidos ou as declarações terem sido retiradas, sob reserva da legislação aplicável em matéria de proteção de dados.

a)

Ao receber um pedido de emissão de certificação a uma entidade envolvida no projeto ou na produção de equipamento ATM/ANS, a Agência deve verificar a conformidade da entidade com os requisitos estabelecidos nos anexos II e III do Regulamento Delegado (UE) 2023/1768 e no anexo II do presente regulamento.

b)

A Agência pode solicitar quaisquer auditorias, inspeções ou avaliações que considere necessárias antes de emitir a certificação com todas as informações pertinentes previstas no apêndice 1 do presente anexo.

c)

As certificações emitidas têm um prazo de validade ilimitado. As prerrogativas relacionadas com as atividades que a organização está autorizada a exercer são especificadas nas condições associadas à certificação.

d)

A certificação não pode ser emitida sempre que uma constatação de nível 1 referida na secção DPO.AR.C.015 permaneça em aberto. Em circunstâncias excecionais, a entidade deve avaliar a(s) constatação(ões), exceto de nível 1, e tomar as medidas de atenuação necessárias, e a Agência deve aprovar um plano de medidas corretivas para o encerramento dessa(s) constatação(ões) antes de a certificação ser emitida.

e)

As alterações da certificação e dos respetivos termos devem ser aprovadas pela Agência.

a)

A Agência deve estabelecer e atualizar anualmente um programa de supervisão, tendo em conta a natureza específica das entidades que supervisiona, a complexidade das suas atividades e os resultados obtidos no quadro de atividades de certificação ou de supervisão anteriores e baseá-lo na avaliação dos riscos associados. O programa de supervisão deve incluir a realização de auditorias, que devem:

b)

A Agência pode decidir alterar os objetivos e o âmbito das auditorias pré-programadas, incluindo análises documentais e auditorias adicionais, sempre que necessário.

c)

A Agência deve decidir quais as disposições, os elementos, os serviços, as instalações físicas e as atividades que devem ser objeto de auditorias num prazo especificado.

d)

As observações e constatações das auditorias, emitidas em conformidade com a secção DPO.AR.C.015, devem ser documentadas.

e)

Tais constatações devem ser apoiadas em elementos de prova e identificadas em termos dos requisitos pertinentes e das disposições de aplicação à luz das quais a auditoria foi efetuada.

f)

Deve ser preparado e comunicado à entidade em causa um relatório de auditoria, incluindo os dados pormenorizados sobre as constatações e observações registadas.

a)

No que diz respeito às alterações geridas e notificadas à Agência em conformidade com o procedimento estabelecido na secção IS.I.OR.255, alínea a), do anexo II (parte IS.I.OR) do Regulamento de Execução (UE) 2023/203, a Agência deve incluir a revisão dessas alterações no seu programa de supervisão contínua, em conformidade com os princípios estabelecidos na secção DPO.AR.C.005 do presente anexo. Se for detetado qualquer incumprimento, a Agência deve notificar a entidade, solicitar novas alterações e agir em conformidade com a secção DPO.AR.C.015 do presente anexo.

b)

No que diz respeito a outras alterações que requeiram um pedido de aprovação em conformidade com a secção IS.I.OR.255, alínea b), do anexo II (parte IS.I.OR), do Regulamento de Execução (UE) 2023/203:

a)

Sempre que, durante a investigação, a supervisão ou por qualquer outro meio, a Agência identifique qualquer caso de não conformidade com os requisitos aplicáveis do presente regulamento de um procedimento ou manual exigido pelo presente regulamento, ou de um certificado ou declaração emitido em conformidade com o presente regulamento, deve, sem prejuízo de quaisquer medidas adicionais exigidas pelo Regulamento (UE) 2018/1139, apresentar uma constatação.

b)

A Agência deve instituir um sistema para:

c)

Uma constatação de nível 1 deve ser levantada pela Agência quando esta identifica um caso de não conformidade significativo com a base da certificação ATM/ANS, de acordo com a secção ATM/ANS.EQMT.AR.B.001 do anexo I do Regulamento Delegado (UE) 2023/1768 que possa conduzir a uma não conformidade não controlada e a uma potencial situação indesejada.

As constatações de nível 1 incluem, mas não exclusivamente, as seguintes situações:

d)

A Agência deve levantar uma constatação de nível 2 sempre que detete um caso de não conformidade relacionado:

que não seja classificada como constatação de nível 1.

e)

Caso seja levantada uma constatação, a Agência deve, sem prejuízo de eventuais medidas adicionais exigidas pelo Regulamento (UE) 2018/1139 e pelos atos delegados e de execução adotados com base no mesmo, comunicar a constatação por escrito à entidade em causa e exigir-lhe que tome medidas corretivas para resolver o(s) caso(s) de não conformidade detetado(s).

f)

Nos casos que não obrigam a constatações de nível 1 e 2, a Agência poderá fazer observações.

g)

A Agência deve:

h)

Ao tomar medidas de execução nos termos da alínea g), a Agência notifica-as ao destinatário, fundamenta-as e informa o destinatário do seu direito de recurso.

a)

A Agência, enquanto autoridade competente que emite a certificação;

b)

O nome e endereço completo do requerente;

c)

O âmbito dos trabalhos do requerente;

d)

O local onde as atividades devem ser realizadas;

e)

As prerrogativas associadas para as quais o requerente foi aprovado;

f)

Uma declaração da conformidade do requerente com os requisitos aplicáveis;

g)

A data de emissão e a validade da certificação;

h)

As condições ou limitações adicionais que lhe estão associadas.

a)

O pedido de certificação de entidade de projeto ou de produção deve ser efetuado da forma e modo estabelecidos pela Agência.

b)

A fim de obter uma certificação, uma entidade envolvida no projeto ou na produção de equipamento ATM/ANS deve cumprir os requisitos estabelecidos no presente regulamento, sempre que esses requisitos sejam aplicáveis ao projeto ou produção de sistemas e componentes ATM/ANS que a organização execute ou tencione executar.

a)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem estabelecer e manter um manual da entidade que forneça as seguintes informações:

b)

O manual da entidade deve ser alterado, na medida do necessário, de modo a manter atualizada a descrição da entidade, devendo a Agência receber uma cópia das alterações ao mesmo.

c)

O pedido de aprovação de alterações referido na secção DPO.OR.B.005 do presente anexo deve basear-se na apresentação das alterações propostas ao manual da entidade.

a)

A certificação de uma entidade mantém-se válida por um período ilimitado, desde que:

b)

Em caso de revogação ou renúncia da certificação, se emitida em formato papel, a mesma deve ser devolvida sem demora à Agência.

c)

O titular de uma certificação de entidade pode, no âmbito dos termos de certificação da mesma e em conformidade com os procedimentos relevantes do sistema de gestão do projeto:

a)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem facilitar as inspeções e auditorias realizadas pela Agência ou por uma entidade qualificada que atue em seu nome, e devem cooperar na medida do necessário para o exercício eficiente e eficaz das competências da Agência.

b)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem cooperar e apoiar os prestadores ATM/ANS que utilizam o seu equipamento ATM/ANS no seu processo de demonstração da conformidade às autoridades competentes em causa.

a)

Identificar a causa principal da não conformidade;

b)

Definir um plano de medidas corretivas;

c)

Demonstrar a aplicação das medidas corretivas a contento da Agência no prazo proposto e aprovado pela Agência, tal como definido na alínea e), ponto 2), da secção DPO.AR.C.015.

a)

O titular de uma certificação emitida em conformidade com o presente regulamento deve:

b)

No caso das entidades que tenham o seu estabelecimento principal num Estado-Membro, o sistema estabelecido em conformidade com o ponto 1), alínea a), deve incluir disposições relativas à comunicação e acompanhamento de ocorrências que cumpram os requisitos dos Regulamentos (UE) n.o 376/2014 e (UE) 2018/1139 e dos atos delegados e de execução adotados com base nos mesmos.

c)

O titular da certificação deve comunicar à Agência qualquer avaria, anomalia, defeito ou outra ocorrência de que tenha conhecimento e que tenha resultado ou possa resultar numa condição insegura ou de desempenho insuficiente.

d)

No caso dos titulares de certificação que não tenham o seu estabelecimento principal num Estado-Membro, os relatórios devem ser elaborados de acordo com a forma e o modo estabelecidos pela Agência, logo que possível e, em qualquer caso, apresentados o mais tardar 72 horas após a pessoa ou entidade ter tomado conhecimento da ocorrência em causa, salvo se circunstâncias excecionais o impedirem.

e)

O titular da certificação deve investigar uma ocorrência que tenha sido comunicada nos termos da alínea c), incluindo as deficiências que conduziram a essa ocorrência, e comunicar à Agência os resultados da sua investigação e quaisquer medidas que tencione tomar ou se proponha tomar para corrigir essas deficiências.

a)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem implementar e manter um sistema de gestão que inclua o seguinte:

b)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem documentar todos os principais processos do sistema de gestão, incluindo um processo de sensibilização do pessoal para as suas responsabilidades, bem como o procedimento de alteração desses processos.

c)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem estabelecer uma função no seu sistema de gestão para controlar a sua conformidade com os requisitos aplicáveis e a adequação dos procedimentos estabelecidos. Este controlo deve incluir o envio de informação de retorno sobre as constatações ao administrador responsável, de modo a garantir, se necessário, a aplicação efetiva de medidas corretivas.

d)

O sistema de gestão deve ser proporcional à dimensão da entidade envolvida no projeto ou na produção do equipamento ATM/ANS e à complexidade das atividades desenvolvidas, tendo em conta os perigos e riscos que lhes estão associados.

e)

Para além do sistema de gestão referido na alínea a), a entidade envolvida no projeto e na produção de equipamento ATM/ANS deve estabelecer, implementar e manter um sistema de gestão da segurança da informação em conformidade com o Regulamento de Execução (UE) 2023/203, a fim de assegurar a gestão adequada dos riscos para a segurança da informação que possam ter impacto na segurança da aviação.

a)

Na sequência da emissão da certificação de uma entidade, qualquer alteração significativa do sistema de gestão deve ser aprovada pela Agência antes de ser aplicada, a menos que tal alteração seja notificada e gerida em conformidade com um procedimento aprovado pela Agência. A entidade deve apresentar à Agência um pedido de aprovação que demonstre a conformidade contínua com os requisitos aplicáveis.

b)

Qualquer alteração do equipamento ATM/ANS deve ser notificada à Agência e por esta aprovada antes de ser implementada, a menos que tal alteração seja gerida em conformidade com um procedimento de gestão de alterações aprovado pela Agência. O procedimento de gestão de alterações deve definir a classificação das alterações ao equipamento ATM/ANS e descrever a forma como essas alterações serão notificadas e geridas.

a)

As atividades contratadas incluem todas as atividades abrangidas pelas operações da entidade, em conformidade com os termos do certificado, que sejam realizadas por outras entidades, elas próprias certificadas para o exercício dessas atividades ou, caso não estejam certificadas, que exerçam a sua atividade ao abrigo da supervisão da entidade. As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem assegurar que, quando contratam qualquer parte das suas atividades a entidades externas, ou quando lhe adquirem qualquer parte das suas atividades, a atividade contratada ou adquirida, consoante o caso, está em conformidade com os requisitos aplicáveis.

b)

Quando uma entidade envolvida no projeto ou na produção de equipamento ATM/ANSS contrata parte da sua atividade a uma organização não certificada nos termos do presente regulamento para realizar essas atividades, essa entidade deve assegurar que a organização contratada trabalha sob a sua supervisão. Uma entidade envolvida no projeto ou na produção de equipamento ATM/ANS deve garantir o acesso da Agência à organização contratada para verificar a conformidade permanente com os requisitos aplicáveis ao abrigo do presente regulamento.

a)

Uma entidade envolvida no projeto ou na produção de equipamento ATM/ANS deve nomear um administrador responsável com poderes para assegurar o financiamento e a realização de todas as atividades de acordo com os requisitos aplicáveis do presente regulamento. Ao administrador responsável caberá estabelecer e manter um sistema de gestão eficaz.

b)

Devem também ser definidos os poderes, obrigações e responsabilidade dos detentores de postos nomeados, em especial do pessoal responsável por funções relacionadas com a gestão da segurança, da qualidade, da proteção, dos recursos financeiros e dos recursos humanos.

a)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem criar um sistema de conservação de registos que permita o armazenamento adequado dos registos e o rastreio fiável de todas as suas atividades, abrangendo, em especial, todos os elementos indicados na secção DPO.OR.B.001.

b)

O formato e o período de conservação dos registos a que se refere a alínea a) devem ser especificados nos procedimentos do sistema de gestão da organização.

c)

Os registos devem ser armazenados de forma a garantir a proteção dos mesmos contra danos, alterações e furto.

d)

As entidades envolvidas no projeto ou na produção de equipamento ATM/ANS devem manter um registo do equipamento ATM/ANS implantado.

a)

O requerente e o titular de uma certificação de entidade de projeto ou produção para equipamento ATM/ANS são autorizados a exercer, consoante o caso, qualquer um dos seguintes direitos:

b)

No que diz respeito às atividades de projeto, uma entidade envolvida no projeto ou na produção de equipamento ATM/ANS deve:

c)

No que respeita às atividades de produção, uma entidade envolvida no projeto ou na produção de equipamento ATM/ANS deve:

d)

Para além do disposto na alínea c), as entidades envolvidas na produção de equipamento ATM/ANS têm o direito, no âmbito dos termos de certificação das mesmas, de determinar que cada equipamento ATM/ANS completo está em conformidade com os dados de projeto aplicáveis e em condições de funcionamento seguro antes de emitir um formulário de autorização da AESA que ateste que o equipamento ATM/ANS foi produzido em conformidade com os requisitos aplicáveis do presente regulamento e com os dados de projeto aplicáveis.

e)

O formulário de autorização da AESA a que se refere a alínea d) deve conter, pelo menos, as seguintes informações para cada equipamento ATM/ANS fabricado:

a)

A coordenação satisfatória, com as disposições adequadas, entre as atividades de projeto e de produção, se for caso disso;

b)

A coordenação satisfatória e o apoio adequado aos prestadores ATM/ANS e à(s) empresa(s) de aviação pertinentes no que diz respeito à adequação contínua do equipamento ATM/ANS, conforme aplicável.

a)

Propor as medidas corretivas adequadas e apresentá-las à Agência em conjunto com informações pormenorizadas com vista à sua aprovação;

b)

Logo que a Agência aprove a proposta referida na alínea a), disponibilizar dados descritivos adequados e instruções de execução a todos os utilizadores conhecidos ou proprietários de equipamento ATM/ANS e, mediante pedido, a toda e qualquer pessoa que deva satisfazer as disposições da diretiva relativa ao equipamento ATM/ANS.