(a)

Fără a aduce atingere Regulamentului (UE) nr. 376/2014 al Parlamentului European și al Consiliului (1) și actelor delegate și de punere în aplicare adoptate în temeiul acestuia, agenția trebuie să implementeze un sistem pentru colectarea, analizarea și difuzarea în mod corespunzător a informațiilor privind siguranța, securitatea și interoperabilitatea.

(b)

La primirea informațiilor menționate la litera (a), agenția trebuie să ia măsurile corespunzătoare pentru a aborda orice problemă identificată în materie de siguranță, securitate sau interoperabilitate, inclusiv prin emiterea de directive privind echipamentele ATM/ANS în conformitate cu punctul ATM/ANS.EQMT.AR.A.030 din anexa I la Regulamentul delegat (UE) 2023/1768.

(c)

Măsurile luate în temeiul literei (b) trebuie să fie notificate imediat organizației vizate, care este obligată să le respecte, în conformitate cu punctul DPO.OR.A.035. Autoritățile competente ale furnizorilor de ATM/ANS în cauză trebuie să fie și ele notificate.

(a)

Agenția trebuie să implementeze un sistem de colectare, analizare și difuzare corespunzătoare a informațiilor referitoare la incidentele și vulnerabilitățile în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, care sunt raportate de organizații. Aceste activități trebuie să se desfășoare în coordonare cu orice altă autoritate relevantă responsabilă cu securitatea informațiilor sau cu securitatea cibernetică pe teritoriul statului membru, pentru a spori coordonarea și compatibilitatea sistemelor de raportare.

(b)

La primirea informațiilor menționate la litera (a), agenția trebuie să ia măsurile adecvate pentru abordarea impactului potențial asupra siguranței aviației al incidentului sau al vulnerabilității în materie de securitate a informațiilor.

(c)

Măsurile luate în conformitate cu litera (b) se notifică imediat tuturor persoanelor sau organizațiilor care trebuie să le respecte în temeiul Regulamentului (UE) 2018/1139 și al actelor delegate și de punere în aplicare adoptate în temeiul său. Agenția trebuie să notifice aceste măsuri și autorităților competente din statele membre vizate.

(a)

Agenția trebuie să instituie și să întrețină un sistem de management care să cuprindă cel puțin următoarele elemente:

(b)

Pentru fiecare domeniu de activitate inclus în sistemul de management, agenția trebuie să atribuie uneia sau mai multor persoane răspunderea generală pentru managementul sarcinii (sarcinilor) relevante.

(c)

Agenția trebuie să stabilească proceduri pentru participarea sa la un schimb reciproc al tuturor informațiilor necesare cu orice altă autoritate sau autorități competente menționate la articolul 4 din Regulamentul de punere în aplicare (UE) 2017/373 al Comisiei (2) și trebuie să le ofere sau să le solicite asistență, inclusiv orice informații care rezultă din raportarea obligatorie și voluntară a evenimentelor, astfel cum se prevede la punctul DPO.OR.A.045.

(d)

Sistemul de management instituit și întreținut de agenție trebuie să fie conform cu anexa I (partea IS.AR) la Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.

(a)

Agenția trebuie să dispună de un sistem pentru identificarea modificărilor care îi afectează capacitatea de a își executa sarcinile și de a se achita de responsabilitățile prevăzute în Regulamentul (UE) 2018/1139 și în actele delegate și de punere în aplicare adoptate în temeiul acestuia. Respectivul sistem trebuie să îi permită agenției să ia măsurile necesare pentru a garanta faptul că sistemul său de management rămâne adecvat și eficient.

(b)

Agenția trebuie să își actualizeze sistemul de management pentru a reflecta în timp util orice modificare a Regulamentului (UE) 2018/1139 și a actelor delegate și de punere în aplicare adoptate în temeiul acestuia, astfel încât să asigure o implementare eficace a sistemului său de management.

(a)

Agenția trebuie să instituie și să întrețină un sistem de evidență a documentelor care să permită stocarea adecvată, accesibilitatea și trasabilitatea fiabilă a:

(b)

Agenția trebuie să păstreze o listă a tuturor certificatelor pe care le-a eliberat și a oricăror declarații pe care le-a înregistrat.

(c)

Toate evidențele menționate la literele (a) și (b) trebuie stocate într-un mod care să asigure protecția împotriva deteriorării, modificării și furtului și trebuie păstrate pentru o perioadă minimă de cinci ani de la încetarea valabilității aprobărilor și a certificatelor sau de la retragerea declarațiilor, sub rezerva legislației aplicabile privind protecția datelor.

(a)

La primirea unei cereri de autorizare a unei organizații implicate în proiectarea sau producția de echipamente ATM/ANS, agenția trebuie să verifice conformitatea organizației cu cerințele prevăzute în anexele II și III la Regulamentul delegat (UE) 2023/1768 și în anexa II la prezentul regulament.

(b)

Agenția poate solicita orice audit, inspecție sau evaluare pe care le consideră necesare înainte de a emite aprobarea, împreună cu toate informațiile relevante prevăzute în apendicele 1 la prezenta anexă.

(c)

Aprobarea se eliberează pe o durată nelimitată. Privilegiile legate de activitățile pe care organizația le poate desfășura conform aprobării trebuie să fie specificate în condițiile anexate aprobării.

(d)

Aprobarea nu se eliberează în cazul în care o constatare de nivelul 1, menționată la DPO.AR.C.015, rămâne deschisă. În circumstanțe excepționale, organizația trebuie să evalueze constatările care nu sunt de nivelul 1 și să reducă riscurile în funcție de necesități, iar agenția trebuie să aprobe un plan de acțiuni corective pentru închiderea constatărilor înainte de eliberarea aprobării.

(e)

Fiecare modificare a aprobării și a condițiilor acesteia trebuie să fie aprobată de agenție.

(a)

Agenția trebuie să elaboreze și să actualizeze anual un program de supraveghere care să țină cont de natura specifică a organizațiilor pe care le supraveghează, de complexitatea activităților acestora și de rezultatele activităților anterioare de certificare sau de supraveghere, și care să fie întemeiat pe evaluarea riscurilor asociate. Programul de supraveghere trebuie să includă audituri, care trebuie:

(b)

Agenția poate decide să modifice obiectivele și sfera de acoperire a auditurilor programate, inclusiv prin efectuarea de analize ale documentelor și prin audituri suplimentare, ori de câte ori este necesar.

(c)

Agenția decide ce acorduri, elemente, amplasamente fizice și activități urmează să fie auditate într-un interval de timp specificat.

(d)

Observațiile și constatările auditurilor emise în conformitate cu punctul DPO.AR.C.015 trebuie să fie documentate.

(e)

Constatările trebuie să fie susținute de dovezi și trebuie să fie definite în ceea ce privește cerințele aplicabile și modalitățile de implementare a acestora pe baza cărora s-a efectuat auditul.

(f)

Se elaborează un raport de audit, incluzând detaliile constatărilor și ale observațiilor, care se comunică organizației în cauză.

(a)

Pentru modificările gestionate și notificate agenției în conformitate cu procedura prevăzută la punctul IS.I.OR.255 litera (a) din anexa II (partea IS.I.OR) la Regulamentul de punere în aplicare (UE) 2023/203, agenția trebuie să includă examinarea modificărilor respective în programul său de supraveghere continuă, în conformitate cu principiile stabilite la punctul DPO.AR.C.005 din prezenta anexă. În cazul în care se constată orice fel de neconformitate, agenția trebuie să notifice acest lucru organizației, să solicite modificări suplimentare și să acționeze în conformitate cu punctul DPO.AR.C.015 din prezenta anexă.

(b)

În ceea ce privește alte modificări care necesită o cerere de aprobare în conformitate cu punctul IS.I.OR.255 litera (b) din anexa II (partea IS.I.OR) la Regulamentul de punere în aplicare (UE) 2023/203:

(a)

Atunci când, în cursul investigației, al supravegherii sau prin orice alte mijloace, agenția constată că o procedură sau un manual prevăzute de prezentul regulament, sau un certificat sau o declarație eliberate în conformitate cu prezentul regulament nu sunt conforme cu cerințele aplicabile din prezentul regulament, ea trebuie să formuleze o constatare, fără a aduce atingere niciunei alte acțiuni suplimentare prevăzute în Regulamentul (UE) 2018/1139.

(b)

Agenția trebuie să dispună de un sistem pentru:

(c)

Agenția trebuie să formuleze o constatare de nivelul 1 atunci când identifică orice neconformitate semnificativă cu baza de certificare ATM/ANS, în conformitate cu punctul ATM/ANS.EQMT.AR.B.001 din anexa I la Regulamentul delegat (UE) 2023/1768, care poate conduce la o neconformitate necontrolată și la o potențială situație nedorită.

Constatările de nivelul 1 trebuie să includă, dar nu se limitează la:

(d)

Agenția trebuie să formuleze o constatare de nivelul 2 atunci când se constată neconformitatea cu oricare dintre următoarele:

care nu este clasificată drept constatare de nivelul 1.

(e)

Atunci când se formulează o constatare, agenția, fără a aduce atingere niciunei acțiuni suplimentare impuse de Regulamentul (UE) 2018/1139 și de actele delegate și de punere în aplicare adoptate pe baza acestuia, trebuie să comunice constatarea în scris organizației în cauză și să îi solicite să ia măsuri corective pentru a remedia neconformitatea sau neconformitățile identificate.

(f)

Pentru acele cazuri care nu impun formularea de constatări de nivelul 1 și 2, agenția poate emite observații.

(g)

Agenția trebuie:

(h)

Atunci când ia măsuri de asigurare a respectării legislației în conformitate cu litera (g), agenția trebuie să le notifice destinatarului, să precizeze motivele care stau la baza acestora și să îl informeze pe destinatar cu privire la dreptul său de a introduce o cale de atac.

(a)

agenția, în calitate de autoritate competentă care eliberează aprobarea;

(b)

numele și adresa completă a solicitantului;

(c)

domeniul de activitate al solicitantului;

(d)

locul în care urmează să se desfășoare activitățile;

(e)

privilegiile asociate pentru care solicitantul a primit aprobarea;

(f)

o declarație privind conformitatea solicitantului și respectarea de către acesta a cerințelor aplicabile;

(g)

data eliberării și valabilitatea aprobării;

(h)

condițiile sau limitările suplimentare aferente.

(a)

Cererea de aprobare de organizație de proiectare sau de producție se întocmește în forma și modul stabilite de agenție.

(b)

Pentru a obține o aprobare, o organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să respecte cerințele stabilite în prezentul regulament, atunci când cerințele respective sunt aplicabile proiectării sau producției de sisteme ATM/ANS și de componente ATM/ANS pe care organizația o efectuează sau intenționează să o efectueze.

(a)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să elaboreze și să întrețină o prezentare a organizației, care să ofere următoarele informații:

(b)

Prezentarea organizației de producție trebuie să fie modificată, atunci când este necesar, astfel încât ea să rămână o descriere la zi a organizației de producție, iar o copie a acestei prezentări, inclusiv a modificărilor aduse, trebuie să fie transmisă agenției.

(c)

Cererile de aprobare a unei modificări menționate la punctul DPO.OR.B.005 din prezenta anexă trebuie să se bazeze pe depunerea modificărilor propuse referitoare la prezentarea întreprinderii.

(a)

Aprobarea unei organizații rămâne valabilă pe o perioadă nelimitată de timp, cu condiția ca:

(b)

În caz de revocare sau de renunțare la o aprobare care a fost emisă pe suport de hârtie, ea trebuie înapoiată agenției fără întârziere.

(c)

Titularul unei aprobări de organizație are dreptul, în limita sferei de acoperire a condițiilor sale de aprobare și în temeiul procedurilor relevante ale sistemului de management al proiectării:

(a)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să faciliteze inspecțiile și auditurile efectuate de agenție sau de o entitate calificată care acționează în numele acesteia și trebuie să coopereze dacă este necesar pentru exercitarea eficientă și eficace a competențelor agenției.

(b)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să coopereze cu și să sprijine furnizorii de ATM/ANS care utilizează echipamentele sale ATM/ANS în procesul lor de demonstrare a conformității către autoritățile competente vizate.

(a)

să identifice cauza apariției neconformității;

(b)

să definească un plan de acțiuni corective;

(c)

să demonstreze implementarea acțiunii corective într-un mod considerat satisfăcător de agenție, în termenul propus și aprobat de agenție conform definiției de la punctul DPO.AR.C.015 litera (e) subpunctul 2.

(a)

Titularul unei aprobări eliberate în conformitate cu prezentul regulament trebuie:

(b)

În ceea ce privește organizațiile care își au sediul principal de activitate într-un stat membru, sistemul instituit în conformitate cu litera (a) subpunctul 1 trebuie să includă dispoziții privind raportarea evenimentelor și acțiunile subsecvente, care să îndeplinească cerințele Regulamentelor (UE) nr. 376/2014 și (UE) 2018/1139 și ale actelor delegate și de punere în aplicare adoptate pe baza acestora.

(c)

Titularul aprobării trebuie să raporteze agenției orice avarie, funcționare defectuoasă, defecțiune sau alt eveniment de care are cunoștință și care a condus sau poate conduce la o carență în materie de siguranță, securitate sau performanțe.

(d)

În ceea ce privește titularii de aprobări care nu își au sediul principal de activitate într-un stat membru, rapoartele se întocmesc în forma și modul stabilite de agenție, de îndată ce este posibil și, în orice caz, nu mai târziu de 72 de ore de la momentul la care persoana sau organizația a luat cunoștință de evenimentul respectiv, în afara cazului în care circumstanțe excepționale împiedică acest lucru.

(e)

Titularul aprobării trebuie să investigheze un eveniment care a fost raportat în temeiul literei (c), inclusiv deficiențele care au condus la evenimentul respectiv, și trebuie să raporteze agenției rezultatele investigației sale, precum și orice acțiune pe care intenționează să o întreprindă sau pe care propune să o întreprindă pentru a corecta aceste deficiențe.

(a)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să implementeze și să întrețină un sistem de management care să includă următoarele elemente:

(b)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să documenteze toate procesele-cheie ale sistemului de management, inclusiv un proces de sensibilizare a personalului cu privire la responsabilitățile care îi revin, precum și procedura de modificare a proceselor respective.

(c)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să instituie o funcție în cadrul sistemului său de management pentru a monitoriza conformitatea sa cu cerințele aplicabile și caracterul adecvat al procedurilor instituite. Monitorizarea conformării trebuie să includă un sistem de feedback prin care constatările să fie transmise managerului responsabil, pentru a se asigura implementarea eficace a măsurilor corective, după caz.

(d)

Sistemul de management trebuie să fie proporțional cu dimensiunea organizației implicate în proiectarea sau producția de echipamente ATM/ANS și cu complexitatea activităților sale, ținând cont de pericolele și riscurile asociate, inerente respectivelor activități.

(e)

Pe lângă sistemul de management menționat la litera (a), organizația implicată în proiectarea și producția de echipamente ATM/ANS trebuie să instituie, să implementeze și să întrețină un sistem de management al securității informațiilor în conformitate cu Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al acelor riscuri în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.

(a)

După eliberarea aprobării unei organizații, orice modificare a sistemului de management care este semnificativă trebuie să fie aprobată de agenție înainte de a fi pusă în aplicare, cu excepția cazului în care o astfel de modificare este notificată și gestionată în conformitate cu o procedură aprobată de agenție. Organizația trebuie să prezinte agenției o cerere de aprobare, demonstrând conformitatea continuă cu cerințele aplicabile.

(b)

Fiecare modificare a echipamentelor ATM/ANS trebuie să fie notificată agenției și aprobată de aceasta înainte de a fi implementată, cu excepția cazului în care o astfel de modificare este gestionată în conformitate cu o procedură de gestionare a modificărilor aprobată de agenție. Această procedură de gestionare a modificărilor trebuie să definească clasificarea modificărilor aduse echipamentelor ATM/ANS și trebuie să descrie modul în care respectivele modificări vor fi notificate și gestionate.

(a)

Activitățile contractate includ toate acele activități ce intră în sfera de activitate a organizației, conform condițiilor certificatului, efectuate de alte organizații care fie sunt certificate să desfășoare ele însele astfel de activități, fie, dacă nu sunt certificate, lucrează sub supravegherea unei organizații certificate. O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să se asigure că, atunci când contractează o parte a activităților sale sau când achiziționează orice parte a activităților sale de la organizații externe, activitatea contractată sau achiziționată, după caz, este conformă cu cerințele aplicabile.

(b)

Atunci când o organizație implicată în proiectarea sau producția de echipamente ATM/ANS contractează orice parte a activităților sale unei organizații care nu este ea însăși certificată în conformitate cu prezentul regulament pentru a desfășura astfel de activități, aceasta trebuie să se asigure că organizația contractată lucrează sub supravegherea sa. O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să se asigure că agenției i se acordă acces la organizația contractată pentru a stabili conformitatea continuă a acesteia cu cerințele aplicabile ale prezentului regulament.

(a)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să numească un manager responsabil care are autoritatea de a asigura faptul că toate activitățile pot fi finanțate și desfășurate în conformitate cu cerințele aplicabile ale prezentului regulament. Managerul responsabil poartă răspunderea pentru instituirea și întreținerea unui sistem de management eficace.

(b)

Trebuie, de asemenea, să fie definite autoritatea, sarcinile și responsabilitățile titularilor de posturi desemnați, în special ale personalului de conducere cu funcții în domeniul siguranței, calității, securității, resurselor financiare și resurselor umane.

(a)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să instituie un sistem de păstrare a evidențelor care să permită stocarea adecvată a evidențelor și trasabilitatea fiabilă a tuturor activităților sale, acoperind în special toate elementele indicate la punctul DPO.OR.B.001.

(b)

Formatul și perioada de păstrare a evidențelor menționate la litera (a) trebuie specificate în procedurile aferente sistemului de management al organizației.

(c)

Evidențele trebuie stocate într-un mod care să asigure protecția lor împotriva deteriorării, a alterării și a furtului.

(d)

O organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie să întrețină un registru al echipamentelor ATM/ANS instalate:

(a)

Un solicitant și un titular al unei aprobări de organizație de proiectare sau de producție pentru echipamente ATM/ANS are dreptul, după caz, la oricare dintre următoarele:

(b)

În ceea ce privește activitățile de proiectare, o organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie:

(c)

În ceea ce privește activitățile de producție, o organizație implicată în proiectarea sau producția de echipamente ATM/ANS trebuie:

(d)

În plus față de dispozițiile literei (c), o organizație implicată în producția de echipamente ATM/ANS are dreptul, în limitele condițiilor sale de aprobare, să stabilească dacă fiecare echipament ATM/ANS finalizat este conform cu datele de proiectare aplicabile și poate funcționa în condiții de siguranță înainte de a emite un formular de dare în exploatare al AESA care să ateste că echipamentele ATM/ANS au fost produse în conformitate cu cerințele aplicabile ale prezentului regulament și cu datele de proiectare aplicabile.

(e)

Formularul de dare în exploatare al AESA menționat la litera (d), aferent fiecărui echipament ATM/ANS fabricat, trebuie să conțină cel puțin următoarele informații:

(a)

o coordonare satisfăcătoare, prin mijloace adecvate, între activitățile de proiectare și activitățile de producție, după caz;

(b)

o coordonare satisfăcătoare și un sprijin corespunzător pentru furnizorii de ATM/ANS relevanți și întreprinderea relevantă (întreprinderile relevante) din domeniul aviației în ceea ce privește adecvarea continuă a echipamentelor ATM/ANS, după caz.

(a)

să propună o acțiune corectivă corespunzătoare și să o prezinte agenției, însoțită de detalii, în vederea aprobării;

(b)

în urma aprobării de către agenție a propunerii menționate la litera (a), să pună la dispoziția tuturor utilizatorilor sau proprietarilor cunoscuți ai echipamentelor ATM/ANS și, la cerere, oricărei persoane care are obligația să se conformeze directivei privind echipamentele ATM/ANS, date descriptive și instrucțiuni de realizare adecvate.