REGULAMENTO DELEGADO (UE) 2025/22 DA COMISSÃO

de 19 de dezembro de 2024

que altera o Regulamento Delegado (UE) 2022/1645 no que respeita aos requisitos em matéria de segurança da informação aplicáveis às entidades prestadoras de serviços de assistência em escala

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, de 4 de julho de 2018, relativo a regras comuns no domínio da aviação civil que cria a Agência da União Europeia para a Segurança da Aviação, altera os Regulamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010 e (UE) n.o 376/2014 e as Diretivas 2014/30/UE e 2014/53/UE do Parlamento Europeu e do Conselho, e revoga os Regulamentos (CE) n.o 552/2004 e (CE) n.o 216/2008 do Parlamento Europeu e do Conselho e o Regulamento (CEE) n.o 3922/91 do Conselho (1), nomeadamente o artigo 39.o, n.o 1, alínea e),

Considerando o seguinte:

(1)

O Regulamento (UE) 2018/1139 estabelece os requisitos essenciais para a prestação segura de serviços de assistência em escala e as entidades que os prestam, bem como requisitos para a supervisão, pelas autoridades competentes, dessas entidades e dos serviços de assistência em escala prestados nos aeródromos da União abrangidos pelo âmbito de aplicação desse regulamento.

(2)

Em conformidade com os requisitos essenciais estabelecidos no anexo VII, ponto 4.2.1, do Regulamento (UE) 2018/1139 e com o Regulamento Delegado (UE) 2025/20 da Comissão (2), as entidades responsáveis pela prestação segura de serviços de assistência em escala devem implementar e manter um sistema de gestão dos riscos para a segurança. Tais riscos para a segurança podem também resultar de ameaças à segurança da informação. Os riscos desta natureza devem ser devidamente tidos em conta pelas entidades que prestam serviços de assistência em escala. Para o efeito, o âmbito de aplicação do Regulamento Delegado (UE) 2022/1645 da Comissão (3) deve ser alterado de modo que inclua as entidades que prestam serviços de assistência em escala.

(3)

As entidades abrangidas pelo Regulamento Delegado (UE) 2022/1645, tais como as entidades de assistência em escala e as entidades que prestam serviços de gestão da placa de estacionamento, operam ao abrigo de um regime de declaração, o que implica que o seu sistema de gestão ou qualquer um dos seus componentes não tem de ser aprovado pelas respetivas autoridades competentes. O mesmo regime deve permitir que essas entidades apliquem as disposições em matéria de segurança da informação sem que o seu manual de gestão da segurança da informação ou o processo de gestão de alterações tenha de ser aprovado pela autoridade competente. Os requisitos relacionados com estes elementos devem ser alterados de modo que reflitam esta isenção para as entidades declaradas.

(4)

As entidades abrangidas pelo presente regulamento que já estejam sujeitas a requisitos de segurança decorrentes do Regulamento de Execução (UE) 2015/1998 da Comissão (4) devem também cumprir os requisitos do anexo I (parte IS.D.OR.230 «Sistema de comunicação externa de informações sobre segurança da informação») do Regulamento Delegado (UE) 2022/1645, uma vez que o Regulamento (UE) 2015/1998 não contém quaisquer disposições relativas à comunicação externa de incidentes de segurança da informação.

(5)	Os requisitos estabelecidos no presente regulamento baseiam-se no Parecer n.o 01/2024 (5), emitido pela Agência em conformidade com o artigo 75.o, n.o 2, alíneas b) e c), e com o artigo 76.o, n.o 1, do Regulamento (UE) 2018/1139.

(6)	Em conformidade com o artigo 128.o, n.o 4, do Regulamento (UE) 2018/1139, a Comissão consultou os peritos designados por cada Estado-Membro, de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (6).

(7)	A fim de proporcionar às entidades tempo suficiente para assegurarem o cumprimento das novas regras e dos procedimentos introduzidos pelo presente regulamento, este deve ser aplicável seis anos após a sua data de entrada em vigor,

ADOTOU O PRESENTE REGULAMENTO:

Artigo 1.o

O Regulamento Delegado (UE) 2022/1645 é alterado do seguinte modo:

Ao artigo 2.o, n.o 1, é aditada a seguinte alínea c):

«c)

às entidades de assistência em escala abrangidas pelo Regulamento Delegado (UE) 2025/20 da Comissão (*1) que:

i)	a fim de prestarem os respetivos serviços, têm de recolher, armazenar, analisar ou tratar de qualquer outra forma os dados fornecidos por terceiros ou

ii)	fornecem diretamente aos operadores de aeronaves os dados que serão utilizados para fins operacionais.

(*1) Regulamento Delegado (UE) 2025/20 da Comissão, de 19 de dezembro de 2024, que complementa o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho através do estabelecimento de requisitos de prestação segura de serviços de assistência em escala aplicáveis às entidades que os prestam (JO L, 2025/20, 7.3.2025, ELI: http://data.europa.eu/eli/reg_del/2025/20/oj).»;"

Ao artigo 5.o, n.o 1, é aditada a seguinte alínea c):

«c)	No que respeita às entidades referidas no artigo 2.o, alínea c), a autoridade competente designada em conformidade com o anexo (parte ARGH) do Regulamento de Execução (UE) 2025/23 da Comissão (*2).

(*2) Regulamento de Execução (UE) 2025/23 da Comissão, de 19 de dezembro de 2024, que estabelece regras de aplicação do Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, através de requisitos de supervisão dos serviços de assistência em escala e das entidades que os prestam (JO L, 2025/23, 7.3.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/23/oj).»."

Artigo 2.o

O anexo do Regulamento Delegado (UE) 2022/1645 é alterado em conformidade com o anexo do presente regulamento.

Artigo 3.o

1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

2. O presente regulamento é aplicável a partir de 27 março 2031.

3. O artigo 2.o é aplicável a partir de 16 de outubro de 2025.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Feito em Bruxelas, em 19 de dezembro de 2024.

Pela Comissão

A Presidente

Ursula VON DER LEYEN

(1) JO L 212 de 22.8.2018, p. 1, ELI: http://data.europa.eu/eli/reg/2018/1139/oj.

(2) Regulamento Delegado (UE) 2025/20 da Comissão, de 19 de dezembro de 2024, que complementa o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho através do estabelecimento de requisitos de prestação segura de serviços de assistência em escala aplicáveis às entidades que os prestam (JO L, 2025/20, 7.3.2025, ELI: http://data.europa.eu/eli/reg_del/2025/20/oj).

(3) Regulamento Delegado (UE) 2022/1645 da Comissão, de 14 de julho de 2022, que estabelece regras de execução do Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho no que respeita aos requisitos em matéria de gestão dos riscos de segurança da informação com potencial impacto na segurança da aviação para as entidades abrangidas pelos Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão e que altera os Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão (JO L 248 de 26.9.2022, p. 18, ELI: http://data.europa.eu/eli/reg_del/2022/1645/oj).

(4) Regulamento de Execução (UE) 2015/1998 da Comissão, de 5 de novembro de 2015, que estabelece as medidas de execução das normas de base comuns sobre a segurança da aviação (JO L 299 de 14.11.2015, p. 1, ELI: http://data.europa.eu/eli/reg_impl/2015/1998/oj).

(5) https://www.easa.europa.eu/en/document-library/opinions/opinion-no-012024.

(6) JO L 123 de 12.5.2016, p. 1, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.

ANEXO

O anexo do Regulamento Delegado (UE) 2022/1645 é alterado do seguinte modo:

A secção IS.D.OR.200, alínea a), ponto 5, é alterada do seguinte modo:

«5)

define e aplica, em conformidade com a secção IS.D.OR.220, as medidas necessárias para detetar incidentes de segurança da informação, identifica os eventos considerados incidentes com potencial impacto na segurança da aviação, dá resposta a esses incidentes de segurança da informação e recupera desses incidentes;».

A secção IS.D.OR.250, alíneas b) e c), é alterada do seguinte modo:

«b)

A versão original do MGSI deve ser aprovada e deve ser conservada uma cópia pela autoridade competente. A aprovação não é obrigatória para entidades declaradas. O MGSI deve ser alterado na medida do necessário para manter uma descrição atualizada do SGSI da entidade. Deve ser fornecida à autoridade competente uma cópia de quaisquer alterações ao MGSI.

As alterações ao MGSI são geridas segundo um procedimento estabelecido pela entidade. As alterações não incluídas no âmbito deste procedimento e as alterações relacionadas com as alterações a que se refere a secção IS.D. OR.255, alínea b), devem ser aprovadas pela autoridade competente. A aprovação não é obrigatória para entidades declaradas.»

A secção IS.D.OR.255 passa a ter a seguinte redação:

«IS.D.OR.255 Alterações do sistema de gestão da segurança da informação

a)	As alterações ao MGSI podem ser geridas e notificadas à autoridade competente mediante um procedimento desenvolvido pela entidade. O procedimento deve ser aprovado pela autoridade competente, exceto no caso de entidades declaradas.

No que diz respeito às alterações do SGSI não abrangidas pelo procedimento referido na alínea a), a entidade deve solicitar e obter uma aprovação emitida pela autoridade competente, exceto no caso de entidades declaradas, para as quais não é requerida aprovação.

No que diz respeito a estas alterações:

1)	O pedido deve ser apresentado antes da introdução de qualquer alteração, de modo a permitir à autoridade competente determinar a conformidade permanente com o disposto no presente regulamento e, se necessário, alterar o certificado da entidade e os respetivos termos de certificação anexos a este;

2)	A entidade deve disponibilizar à autoridade competente todas as informações que esta solicite para avaliar a alteração;

3)	A alteração só pode ser aplicada após a receção de uma aprovação formal pela autoridade competente, exceto no caso das entidades declaradas, que podem aplicar imediatamente a alteração;

4)	A entidade deve operar nas condições prescritas pela autoridade competente durante a aplicação dessas alterações.»