2.2.2023 |
RO |
Jurnalul Oficial al Uniunii Europene |
L 31/1 |
REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2023/203 AL COMISIEI
din 27 octombrie 2022
de stabilire a normelor de aplicare a Regulamentului (UE) 2018/1139 al Parlamentului European și al Consiliului în ceea ce privește cerințele referitoare la managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, impuse organizațiilor care intră sub incidența Regulamentelor (UE) nr. 1321/2014, (UE) nr. 965/2012, (UE) nr. 1178/2011, (UE) 2015/340 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei, precum și autorităților competente care intră sub incidența Regulamentelor (UE) nr. 748/2012, (UE) nr. 1321/2014, (UE) nr. 965/2012, (UE) nr. 1178/2011, (UE) 2015/340 și (UE) nr. 139/2014 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei, și de modificare a Regulamentelor (UE) nr. 1178/2011, (UE) nr. 748/2012, (UE) nr. 965/2012, (UE) nr. 139/2014, (UE) nr. 1321/2014, (UE) 2015/340 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Regulamentul (UE) 2018/1139 al Parlamentului European și al Consiliului din 4 iulie 2018 privind normele comune în domeniul aviației civile și de înființare a Agenției Uniunii Europene pentru Siguranța Aviației, de modificare a Regulamentelor (CE) nr. 2111/2005, (CE) nr. 1008/2008, (UE) nr. 996/2010, (UE) nr. 376/2014 și a Directivelor 2014/30/UE și 2014/53/UE ale Parlamentului European și ale Consiliului, precum și de abrogare a Regulamentelor (CE) nr. 552/2004 și (CE) nr. 216/2008 ale Parlamentului European și ale Consiliului și a Regulamentului (CEE) nr. 3922/91 al Consiliului (1), în special articolul 17 alineatul (1) litera (b), articolul 27 alineatul (1) litera (a), articolul 31 alineatul (1) litera (b), articolul 43 alineatul (1) litera (b), articolul 53 alineatul (1) litera (a) și articolul 62 alineatul (15) litera (c),
întrucât:
(1) |
În conformitate cu cerințele esențiale prevăzute la punctul 3.1 litera (b) din anexa II la Regulamentul (UE) 2018/1139, organizațiile de management al continuității navigabilității și organizațiile de întreținere trebuie să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță. |
(2) |
În conformitate cu cerințele esențiale prevăzute la punctul 3.3 litera (b) și la punctul 5 litera (b) din anexa IV la Regulamentul (UE) 2018/1139, organizațiile de pregătire a piloților, organizațiile de pregătire a echipajului de cabină, centrele de medicină aeronautică pentru personalul aeronautic navigant și operatorii de echipamente de pregătire sintetică pentru zbor trebuie de asemenea să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță. |
(3) |
În conformitate cu cerințele esențiale prevăzute la punctul 8.1 litera (c) din anexa V la Regulamentul (UE) 2018/1139, operatorii aerieni trebuie, la rândul lor, să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță. |
(4) |
În conformitate cu cerințele esențiale prevăzute la punctul 5.1 litera (c) și la punctul 5.4 litera (b) din anexa VIII la Regulamentul (UE) 2018/1139, și furnizorii de servicii de management al traficului aerian, furnizorii de servicii de navigație aeriană, furnizorii de servicii U-space, furnizorii unici de servicii de informații comune, organizațiile de pregătire și centrele de medicină aeronautică pentru controlorii de trafic aerian trebuie să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță. |
(5) |
Respectivele riscuri în materie de siguranță pot proveni din diferite surse, cum ar fi deficiențe de proiectare și de întreținere, aspecte ale performanțelor umane, amenințări la adresa mediului și amenințări la adresa securității informațiilor. Prin urmare, sistemele de management instituite de Agenția Uniunii Europene pentru Siguranța Aviației (denumită în continuare „agenția”), de autoritățile naționale competente și de organizațiile menționate în considerentele de mai sus trebuie să țină seama nu doar de riscurile în materie de siguranță care decurg din evenimente fortuite, ci și de riscurile în materie de siguranță care decurg din amenințări la adresa securității informațiilor, atunci când deficiențele existente pot fi exploatate de persoane cu intenții răuvoitoare. Aceste riscuri în materie de securitate a informațiilor sunt în continuă creștere în mediul aviației civile, pe măsură ce sistemele informatice actuale devin tot mai interconectate și devin tot mai des ținta unor actori răuvoitori. |
(6) |
Riscurile asociate acestor sisteme informatice nu se limitează la posibile atacuri asupra spațiului cibernetic, ci includ și amenințări care pot afecta procesele și procedurile, precum și performanțele ființelor umane. |
(7) |
Un număr semnificativ de organizații utilizează deja standarde internaționale, cum ar fi ISO 27001, pentru a aborda securitatea informațiilor și a datelor digitale. Este posibil ca respectivele standarde să nu abordeze pe deplin toate specificitățile aviației civile. Prin urmare, este oportun să se prevadă cerințe privind managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației. |
(8) |
Este esențial ca respectivele cerințe să acopere toate domeniile aviației și interfețele acestora, dat fiind că aviația este un sistem de sisteme cu grad înalt de interconectare. Prin urmare, aceste cerințe trebuie să se aplice tuturor organizațiilor și autorităților competente care intră sub incidența Regulamentelor (UE) nr. 748/2012 (2), (UE) nr. 1321/2014 (3), (UE) nr. 965/2012 (4), (UE) nr. 1178/2011 (5), (UE) 2015/340 (6), (UE) nr. 139/2014 (7) ale Comisiei și a Regulamentului de punere în aplicare (UE) 2021/664 al Comisiei (8), inclusiv celor care au deja obligația de a dispune de un sistem de management în conformitate cu legislația existentă a Uniunii în domeniul siguranței aviației. Unele organizații trebuie totuși să fie excluse din domeniul de aplicare al prezentului regulament, pentru a se asigura proporționalitatea corespunzătoare cu gradul mai scăzut de riscuri în materie de securitate a informațiilor pe care acestea le prezintă pentru sistemul aviatic. |
(9) |
Cerințele stabilite în prezentul regulament trebuie să asigure o punere în aplicare consecventă în toate domeniile aviației, creând în același timp un impact minim asupra legislației Uniunii din domeniul siguranței aviației, aplicabilă deja respectivelor domenii. |
(10) |
Cerințele stabilite în prezentul regulament nu trebuie să aducă atingere cerințelor de securitate a informațiilor și de securitate cibernetică stabilite la punctul 1.7 din anexa la Regulamentul de punere în aplicare (UE) 2015/1998 al Comisiei (9) și la articolul 14 din Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului (10). |
(11) |
Cerințele de securitate stabilite în titlul V, „Securitatea programului”, articolele 33-43 din Regulamentul (UE) 2021/696 al Parlamentului European și al Consiliului (11) sunt considerate echivalente cu cerințele stabilite în prezentul regulament, cu excepția punctului IS.I.OR.230 din anexa II la prezentul regulament, care trebuie respectat. |
(12) |
Pentru a se asigura securitatea juridică, interpretarea termenului „securitatea informațiilor”, astfel cum este definit în prezentul regulament, interpretare care reflectă utilizarea obișnuită a acestuia în aviația civilă la nivel mondial, trebuie să fie considerată consecventă cu interpretarea termenului „securitatea rețelelor și a sistemelor informatice”, astfel cum este definit la articolul 4 punctul 2 din Directiva (UE) 2016/1148. Definiția securității informațiilor utilizată în sensul prezentului regulament nu trebuie să fie interpretată ca îndepărtându-se de definiția securității rețelelor și a sistemelor informatice stabilită în Directiva (UE) 2016/1148. |
(13) |
Pentru a se evita suprapunerea cerințelor juridice, în cazurile în care organizațiile care intră sub incidența prezentului regulament sunt deja supuse unor cerințe de securitate, decurgând din acte ale Uniunii menționate în considerentele 10 și 11 și având un efect echivalent cu dispozițiile prevăzute în prezentul regulament, trebuie să se considere că îndeplinirea respectivelor cerințe de securitate constituie o îndeplinire a cerințelor stabilite în prezentul regulament. |
(14) |
Organizațiile care intră sub incidența prezentului regulament și care sunt deja supuse cerințelor de securitate decurgând din Regulamentul de punere în aplicare (UE) 2015/1998, din Regulamentul (UE) 2021/696 sau din ambele trebuie să îndeplinească și cerințele din anexa II (partea IS.I.OR.230 – „Sistemul de raportare externă în materie de securitate a informațiilor”) la prezentul regulament, întrucât niciunul dintre regulamente nu conține dispoziții referitoare la raportarea externă a incidentelor de securitate a informațiilor. |
(15) |
Din motive de exhaustivitate, Regulamentele (UE) nr. 1178/2011, (UE) nr. 748/2012, (UE) nr. 965/2012, (UE) nr. 139/2014, (UE) nr. 1321/2014, (UE) 2015/340 și Regulamentele de punere în aplicare (UE) 2017/373 (12) și (UE) 2021/664 trebuie modificate pentru a se introduce cerințele prevăzute în prezentul regulament cu privire la sistemele de management al securității informațiilor împreună cu sistemele de management prevăzute în acesta și pentru a se stabili cerințele pe care trebuie să le îndeplinească autoritățile competente în ceea ce privește supravegherea organizațiilor care pun în aplicare cerințele de management al securității informațiilor, menționate anterior. |
(16) |
Pentru a se oferi organizațiilor suficient timp să asigure conformitatea cu noile norme și proceduri, prezentul regulament trebuie să intre în aplicare după trei ani de la data intrării în vigoare, mai puțin pentru furnizorul de servicii de navigație aeriană al Serviciului european geostaționar mixt de navigare (EGNOS), definit în Regulamentul de punere în aplicare (UE) 2017/373, în cazul căruia, dat fiind că procesul de acreditare de securitate al sistemului și serviciilor EGNOS este în curs, în conformitate cu Regulamentul (UE) 2021/696, ar trebui să devină aplicabil de la 1 ianuarie 2026. |
(17) |
Cerințele stabilite în prezentul regulament se bazează pe Avizul nr. 3/2021 (13), emis de agenție în conformitate cu articolul 75 alineatul (2) literele (b) și (c) și cu articolul 76 alineatul (1) din Regulamentul (UE) 2018/1139. |
(18) |
Cerințele stabilite în prezentul regulament sunt conforme cu avizul Comitetului pentru aplicarea de norme comune de siguranță în domeniul aviației civile, instituit în temeiul articolului 127 din Regulamentul (UE) 2018/1139, |
ADOPTĂ PREZENTUL REGULAMENT:
Articolul 1
Obiect
În prezentul regulament sunt prevăzute cerințele pe care trebuie să le îndeplinească organizațiile și autoritățile competente în vederea:
(a) |
identificării și a managementului riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, care ar putea afecta sistemele de tehnologie a informației și comunicațiilor și datele utilizate în scopul aviației civile; |
(b) |
detectării evenimentelor de securitate a informațiilor și a identificării celor care sunt considerate incidente de securitate a informațiilor cu impact potențial asupra siguranței aviației; |
(c) |
asigurării unui răspuns la respectivele incidente de securitate a informațiilor și a redresării în urma acestora. |
Articolul 2
Domeniu de aplicare
(1) Prezentul regulament se aplică următoarelor organizații:
(a) |
organizații de întreținere supuse dispozițiilor din secțiunea A din anexa II (partea 145) la Regulamentul (UE) nr. 1321/2014, cu excepția celor implicate exclusiv în întreținerea aeronavelor în conformitate cu anexa Vb (partea ML) la Regulamentul (UE) nr. 1321/2014; |
(b) |
organizații de management al continuității navigabilității (CAMO-uri) supuse dispozițiilor din secțiunea A din anexa Vc (partea CAMO) la Regulamentul (UE) nr. 1321/2014, cu excepția celor implicate exclusiv în managementul continuității navigabilității aeronavelor în conformitate cu anexa Vb (partea ML) la Regulamentul (UE) nr. 1321/2014; |
(c) |
operatori aerieni supuși dispozițiilor din anexa III (partea ORO) la Regulamentul (UE) nr. 965/2012, cu excepția celor implicați exclusiv în operarea oricăreia dintre următoarele:
|
(d) |
organizații de pregătire aprobate (ATO-uri) supuse dispozițiilor din anexa VII (partea ORA) la Regulamentul (UE) nr. 1178/2011, cu excepția celor implicate exclusiv în activități de pregătire aferente aeronavelor ELA 2, astfel cum sunt definite la articolul 1 alineatul (2) litera (j) din Regulamentul (UE) nr. 748/2012, sau implicate exclusiv în pregătire teoretică; |
(e) |
centre de medicină aeronautică pentru personalul navigant supuse dispozițiilor din anexa VII (partea ORA) la Regulamentul (UE) nr. 1178/2011; |
(f) |
operatori de echipamente de pregătire sintetică pentru zbor (FSTD-uri) supuși dispozițiilor din anexa VII (partea ORA) la Regulamentul (UE) nr. 1178/2011, cu excepția celor implicați exclusiv în operarea FSTD-urilor aferente aeronavelor ELA 2, astfel cum sunt definite la articolul 1 alineatul (2) litera (j) din Regulamentul (UE) nr. 748/2012; |
(g) |
organizații de pregătire a controlorilor de trafic aerian (ATCO) și centre de medicină aeronautică pentru ATCO supuse dispozițiilor din anexa III (partea ATCO.OR) la Regulamentul (UE) 2015/340; |
(h) |
organizații supuse dispozițiilor din anexa III (partea ATM/ANS.OR) la Regulamentul de punere în aplicare (UE) 2017/373, cu excepția următorilor furnizori de servicii:
|
(i) |
furnizori de servicii U-space și furnizori unici de servicii de informații comune care sunt supuși dispozițiilor din Regulamentul de punere în aplicare (UE) 2021/664. |
(2) Prezentul regulament se aplică autorităților competente, inclusiv Agenției Uniunii Europene pentru Siguranța Aviației („agenția”), astfel cum sunt menționate la articolul 6 din prezentul regulament și la articolul 5 din Regulamentul delegat (UE) 2022/1645 al Comisiei (14).
(3) Prezentul regulament se aplică, de asemenea, autorității competente responsabile cu eliberarea, prelungirea, modificarea, suspendarea sau revocarea licențelor de întreținere a aeronavelor în conformitate cu anexa III (partea 66) la Regulamentul (UE) nr. 1321/2014.
(4) Prezentul regulament nu aduce atingere cerințelor privind securitatea informațiilor și securitatea cibernetică stabilite la punctul 1.7 din anexa la Regulamentul de punere în aplicare (UE) 2015/1998 și la articolul 14 din Directiva (UE) 2016/1148.
Articolul 3
Definiții
În sensul prezentului regulament, se aplică următoarele definiții:
1. |
„securitate a informațiilor” înseamnă păstrarea confidențialității, integrității, autenticității și disponibilității rețelelor și sistemelor informatice; |
2. |
„eveniment de securitate a informațiilor” înseamnă un eveniment identificat al unui sistem, al unui serviciu sau al unei rețele, care indică o posibilă încălcare a politicii de securitate a informațiilor sau o deficiență a controalelor de securitate a informațiilor ori o situație necunoscută anterior care poate fi relevantă pentru securitatea informațiilor; |
3. |
„incident” înseamnă orice eveniment care are un efect negativ real asupra securității rețelelor și sistemelor informatice, astfel cum este definit la articolul 4 punctul 7 din Directiva (UE) 2016/1148; |
4. |
„risc în materie de securitate a informațiilor” înseamnă riscul la adresa organizării operațiunilor de aviație civilă, precum și la adresa activelor, a persoanelor fizice și a altor organizații, atribuibil unui posibil eveniment de securitate a informațiilor. Riscurile în materie de securitate a informațiilor sunt asociate cu posibilitatea ca amenințările să exploateze vulnerabilitățile unui activ informațional sau ale unui grup de active informaționale; |
5. |
„amenințare” înseamnă o încălcare potențială a securității informațiilor care există atunci când o entitate, o circumstanță, o acțiune sau un eveniment ar putea cauza prejudicii; |
6. |
„vulnerabilitate” înseamnă o deficiență sau slăbiciune a unui activ sau a unui sistem, a procedurilor, a concepției, a implementării sau a măsurilor de securitate a informațiilor, care ar putea fi exploatată și s-ar putea solda cu o încălcare sau nerespectare a politicii de securitate a informațiilor. |
Articolul 4
Cerințe pentru organizații și pentru autorități competente
(1) Organizațiile menționate la articolul 2 alineatul (1) trebuie să respecte cerințele din anexa II (partea IS.I.OR) la prezentul regulament.
(2) Autoritățile competente menționate la articolul 2 alineatele (2) și (3) trebuie să respecte cerințele din anexa I (partea IS.AR) la prezentul regulament.
Articolul 5
Cerințe care decurg din alte acte legislative ale Uniunii
(1) Atunci când o organizație menționată la articolul 2 alineatul (1) îndeplinește cerințe de securitate stabilite în conformitate cu articolul 14 din Directiva (UE) 2016/1148 care sunt echivalente cu cerințele stabilite în prezentul regulament, se consideră că îndeplinirea respectivelor cerințe de securitate constituie îndeplinirea cerințelor stabilite în prezentul regulament.
(2) În cazul în care o organizație menționată la articolul 2 alineatul (1) este un operator sau o entitate menționată în programele naționale de securitate a aviației civile ale statelor membre, stabilite în conformitate cu articolul 10 din Regulamentul (CE) nr. 300/2008 al Parlamentului European și al Consiliului (15), cerințele de securitate cibernetică de la punctul 1.7 din anexa la Regulamentul de punere în aplicare (UE) 2015/1998 trebuie considerate echivalente cu cerințele stabilite în prezentul regulament, cu excepția punctului IS.I.OR.230 din anexa II la prezentul regulament, care trebuie respectat ca atare.
(3) În cazul în care organizația menționată la articolul 2 alineatul (1) este furnizorul de servicii de navigație aeriană al Serviciului european geostaționar mixt de navigare (EGNOS) menționat în Regulamentul (UE) 2021/696, cerințele de securitate prevăzute în titlul V articolele 33-43 din regulamentul respectiv sunt considerate echivalente cu cerințele stabilite în prezentul regulament, cu excepția punctului IS.I.OR.230 din anexa II la prezentul regulament, care trebuie respectat ca atare.
(4) După consultarea agenției și a grupului de cooperare menționat la articolul 11 din Directiva (UE) 2016/1148, Comisia poate să emită orientări pentru evaluarea echivalenței cerințelor stabilite în prezentul regulament și în Directiva (UE) 2016/1148.
Articolul 6
Autoritatea competentă
(1) Fără a aduce atingere sarcinilor încredințate consiliului de acreditare de securitate menționat la articolul 36 din Regulamentul (UE) 2021/696, autoritatea responsabilă cu certificarea și supravegherea respectării prezentului regulament este:
(a) |
în ceea ce privește organizațiile menționate la articolul 2 alineatul (1) litera (a), autoritatea competentă desemnată în conformitate cu anexa II (partea 145) la Regulamentul (UE) nr. 1321/2014; |
(b) |
în ceea ce privește organizațiile menționate la articolul 2 alineatul (1) litera (b), autoritatea competentă desemnată în conformitate cu anexa Vc (partea CAMO) la Regulamentul (UE) nr. 1321/2014; |
(c) |
în ceea ce privește organizațiile menționate la articolul 2 alineatul (1) litera (c), autoritatea competentă desemnată în conformitate cu anexa III (partea ORO) la Regulamentul (UE) nr. 965/2012; |
(d) |
în ceea ce privește organizațiile menționate la articolul 2 alineatul (1) literele (d)-(f), autoritatea competentă desemnată în conformitate cu anexa VII (partea ORA) la Regulamentul (UE) nr. 1178/2011; |
(e) |
în ceea ce privește organizațiile menționate la articolul 2 alineatul (1) litera (g), autoritatea competentă desemnată în conformitate cu articolul 6 alineatul (2) din Regulamentul (UE) 2015/340; |
(f) |
în ceea ce privește organizațiile menționate la articolul 2 alineatul (1) litera (h), autoritatea competentă desemnată în conformitate cu articolul 4 alineatul (1) din Regulamentul de punere în aplicare (UE) 2017/373; |
(g) |
în ceea ce privește organizațiile menționate la articolul 2 alineatul (1) litera (i), autoritatea competentă desemnată în conformitate cu articolul 14 alineatul (1) sau cu articolul 14 alineatul (2) din Regulamentul de punere în aplicare (UE) 2021/664, după caz. |
(2) În sensul prezentului regulament, statele membre pot desemna o entitate independentă și autonomă care să îndeplinească rolul și responsabilitățile atribuite autorităților competente menționate la alineatul (1). În acest caz, trebuie stabilite măsuri de coordonare între entitatea respectivă și autoritățile competente, astfel cum se menționează la alineatul (1), pentru a se asigura supravegherea efectivă a tuturor cerințelor care trebuie respectate de către organizație.
(3) Agenția cooperează, în deplină conformitate cu normele aplicabile privind confidențialitatea, protecția datelor cu caracter personal și protecția informațiilor clasificate, cu Agenția Uniunii Europene pentru Programul spațial (EUSPA) și cu consiliul de acreditare de securitate menționat la articolul 36 din Regulamentul (UE) 2021/696, pentru a asigura supravegherea eficace a cerințelor aplicabile furnizorului de servicii de navigație aeriană al EGNOS.
Articolul 7
Transmiterea informațiilor relevante către autoritățile competente din domeniul NIS
Autoritățile competente în temeiul prezentului regulament comunică, fără întârzieri nejustificate, punctului unic de contact desemnat în conformitate cu articolul 8 din Directiva (UE) 2016/1148 orice informație relevantă inclusă în notificările transmise în temeiul punctului IS.I.OR.230 din anexa II la prezentul regulament și în temeiul punctului IS.D.OR.230 din anexa I la Regulamentul delegat (UE) 2022/1645 de către operatorii de servicii esențiale identificați în conformitate cu articolul 5 din Directiva (UE) 2016/1148.
Articolul 8
Modificarea Regulamentului (UE) nr. 1178/2011
Anexele VI (partea ARA) și VII (partea ORA) la Regulamentul (UE) nr. 1178/2011 se modifică în conformitate cu anexa III la prezentul regulament.
Articolul 9
Modificarea Regulamentului (UE) nr. 748/2012
Anexa I (partea 21) la Regulamentul (UE) nr. 748/2012 se modifică în conformitate cu anexa IV la prezentul regulament.
Articolul 10
Modificarea Regulamentului (UE) nr. 965/2012
Anexele II (partea ARO) și III (partea ORO) la Regulamentul (UE) nr. 965/2012 se modifică în conformitate cu anexa V la prezentul regulament.
Articolul 11
Modificarea Regulamentului (UE) nr. 139/2014
Anexa II (partea ADR.AR) la Regulamentul (UE) nr. 139/2014 se modifică în conformitate cu anexa VI la prezentul regulament.
Articolul 12
Modificarea Regulamentului (UE) nr. 1321/2014
Anexele II (partea 145), III (partea 66) și Vc (partea CAMO) la Regulamentul (UE) nr. 1321/2014 se modifică în conformitate cu anexa VII la prezentul regulament.
Articolul 13
Modificarea Regulamentului (UE) 2015/340
Anexele II (partea ATCO.AR) și III (partea ATCO.OR) la Regulamentul (UE) 2015/340 se modifică în conformitate cu anexa VIII la prezentul regulament.
Articolul 14
Modificarea Regulamentului de punere în aplicare (UE) 2017/373
Anexele II (partea ATM/ANS.AR) și III (partea ATM/ANS.OR) la Regulamentul de punere în aplicare (UE) 2017/373 se modifică în conformitate cu anexa IX la prezentul regulament.
Articolul 15
Modificarea Regulamentului de punere în aplicare (UE) 2021/664
Regulamentul de punere în aplicare (UE) 2021/664 se modifică după cum urmează:
1. |
La articolul 15 alineatul (1), litera (f) se înlocuiește cu următorul text:
|
2. |
La articolul 18 se adaugă următoarea literă (l):
|
Articolul 16
Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
Se aplică de la 22 februarie 2026.
În cazul furnizorului de servicii de navigație aeriană al EGNOS, care se supune dispozițiilor Regulamentului de punere în aplicare (UE) 2017/373, prezentul regulament se aplică însă de la 1 ianuarie 2026.
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
Adoptat la Bruxelles, 27 octombrie 2022.
Pentru Comisie
Președinta
Ursula VON DER LEYEN
(1) JO L 212, 22.8.2018, p. 1.
(2) Regulamentul (UE) nr. 748/2012 al Comisiei din 3 august 2012 de stabilire a normelor de punere în aplicare privind certificarea pentru navigabilitate și mediu a aeronavelor și a produselor, pieselor și echipamentelor aferente, precum și certificarea organizațiilor de proiectare și producție (JO L 224, 21.8.2012, p. 1).
(3) Regulamentul (UE) nr. 1321/2014 al comisiei din 26 noiembrie 2014 privind menținerea navigabilității aeronavelor și a produselor, reperelor și dispozitivelor aeronautice și autorizarea întreprinderilor și a personalului cu atribuții în domeniu (JO L 362, 17.12.2014, p. 1).
(4) Regulamentul (UE) nr. 965/2012 al Comisiei din 5 octombrie 2012 de stabilire a cerințelor tehnice și a procedurilor administrative referitoare la operațiunile aeriene în temeiul Regulamentului (CE) nr. 216/2008 al Parlamentului European și al Consiliului (JO L 296, 25.10.2012, p. 1).
(5) Regulamentul (UE) nr. 1178/2011 al Comisiei din 3 noiembrie 2011 de stabilire a cerințelor tehnice și a procedurilor administrative referitoare la personalul navigant din aviația civilă în temeiul Regulamentului (CE) nr. 216/2008 al Parlamentului European și al Consiliului (JO L 311, 25.11.2011, p. 1).
(6) Regulamentul (UE) 2015/340 al Comisiei din 20 februarie 2015 de stabilire a cerințelor tehnice și a procedurilor administrative referitoare la licențele și certificatele controlorilor de trafic aerian în conformitate cu Regulamentul (CE) nr. 216/2008 al Parlamentului European și al Consiliului, de modificare a Regulamentului de punere în aplicare (UE) nr. 923/2012 al Comisiei și de abrogare a Regulamentului (UE) nr. 805/2011 al Comisiei (JO L 63, 6.3.2015, p. 1).
(7) Regulamentul (UE) nr. 139/2014 al Comisiei din 12 februarie 2014 de stabilire a cerințelor tehnice și a procedurilor administrative referitoare la aerodromuri în temeiul Regulamentului (CE) nr. 216/2008 al Parlamentului European și al Consiliului (JO L 44, 14.2.2014, p. 1).
(8) Regulamentul de punere în aplicare (UE) 2021/664 al Comisiei din 22 aprilie 2021 privind un cadru de reglementare pentru U-space (JO L 139, 23.4.2021, p. 161).
(9) Regulamentul de punere în aplicare (UE) 2015/1998 al Comisiei din 5 noiembrie 2015 de stabilire a măsurilor detaliate de implementare a standardelor de bază comune în domeniul securității aviației (JO L 299, 14.11.2015, p. 1).
(10) Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului din 6 iulie 2016 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune (JO L 194, 19.7.2016, p. 1).
(11) Regulamentul (UE) 2021/696 al Parlamentului European și al Consiliului din 28 aprilie 2021 de instituire a Programului spațial al Uniunii și a Agenției Uniunii Europene pentru Programul spațial și de abrogare a Regulamentelor (UE) nr. 912/2010, (UE) nr. 1285/2013 și (UE) nr. 377/2014 și a Deciziei nr. 541/2014/UE (JO L 170, 12.5.2021, p. 69).
(12) Regulamentul de punere în aplicare (UE) 2017/373 al Comisiei din 1 martie 2017 de stabilire a unor cerințe comune pentru furnizorii de management al traficului aerian/servicii de navigație aeriană și de alte funcții ale rețelei de management al traficului aerian și pentru supravegherea acestora, de abrogare a Regulamentului (CE) nr. 482/2008, a Regulamentelor de punere în aplicare (UE) nr. 1034/2011, (UE) nr. 1035/2011 și (UE) 2016/1377, precum și de modificare a Regulamentului (UE) nr. 677/2011 (JO L 62, 8.3.2017, p. 1).
(13) https://www.easa.europa.eu/document-library/opinions
(14) Regulamentul delegat (UE) 2022/1645 al Comisiei din 14 iulie 2022 de stabilire a normelor de aplicare a Regulamentului (UE) 2018/1139 al Parlamentului European și al Consiliului în ceea ce privește cerințele referitoare la managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației impuse organizațiilor care intră sub incidența Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei și de modificare a Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei (JO L 248, 26.9.2022, p. 18).
(15) Regulamentul (CE) nr. 300/2008 al Parlamentului European și al Consiliului din 11 martie 2008 privind norme comune în domeniul securității aviației civile și de abrogare a Regulamentului (CE) nr. 2320/2002 (JO L 97, 9.4.2008, p. 72).
ANEXA I
SECURITATEA INFORMAȚIILOR – CERINȚE APLICABILE AUTORITĂȚILOR
[PARTEA IS.AR]
IS.AR.100 |
Domeniul de aplicare |
IS.AR.200 |
Sistemul de management al securității informațiilor (SMSI) |
IS.AR.205 |
Evaluarea riscurilor în materie de securitate a informațiilor |
IS.AR.210 |
Tratarea riscurilor în materie de securitate a informațiilor |
IS.AR.215 |
Incidentele de securitate a informațiilor – detectare, răspuns și redresare |
IS.AR.220 |
Subcontractarea activităților de management al securității informațiilor |
IS.AR.225 |
Cerințele în materie de personal |
IS.AR.230 |
Păstrarea evidențelor |
IS.AR.235 |
Îmbunătățirea continuă |
IS.AR.100 Domeniul de aplicare
Prezenta parte stabilește cerințele în materie de management care trebuie îndeplinite de organizațiile menționate la articolul 2 alineatul (2) din prezentul regulament.
Cerințele pe care trebuie să le îndeplinească autoritățile competente respective când își desfășoară activitățile de certificare, de supraveghere și de asigurare a respectării sunt cuprinse în regulamentele menționate la articolul 2 alineatul (1) din prezentul regulament și la articolul 2 din Regulamentul delegat (UE) 2022/1645.
IS.AR.200 Sistemul de management al securității informațiilor (SMSI)
(a) |
Pentru a atinge obiectivele prevăzute la articolul 1, autoritatea competentă trebuie să instituie, să implementeze și să mențină un sistem de management al securității informațiilor (SMSI) care asigură faptul că autoritatea competentă:
|
(b) |
Pentru a îndeplini în permanență cerințele menționate la articolul 1, autoritatea competentă trebuie să implementeze un proces de îmbunătățire continuă în conformitate cu punctul IS.AR.235. |
(c) |
Autoritatea competentă trebuie să documenteze toate procesele, procedurile, rolurile și responsabilitățile cheie necesare pentru a se conforma punctului IS.AR.200 litera (a) și să instituie un proces de modificare a acestei documentații. |
(d) |
Procesele, procedurile, rolurile și responsabilitățile instituite de autoritatea competentă pentru a se conforma punctului IS.AR.200 litera (a) trebuie să corespundă naturii și complexității activităților sale, pe baza unei evaluări a riscurilor în materie de securitate a informațiilor inerente activităților respective, și pot fi integrate în alte sisteme de management existente care sunt deja implementate de autoritatea competentă. |
IS.AR.205 Evaluarea riscurilor în materie de securitate a informațiilor
(a) |
Autoritatea competentă trebuie să identifice toate elementele propriei organizații care ar putea fi expuse unor riscuri în materie de securitate a informațiilor. Acestea cuprind:
|
(b) |
Autoritatea competentă trebuie să identifice interfețele pe care propria organizație le are cu alte organizații și care ar putea conduce la expunerea reciprocă la riscuri în materie de securitate a informațiilor. |
(c) |
Pentru elementele și interfețele menționate la literele (a) și (b), autoritatea competentă trebuie să identifice riscurile în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației. Pentru fiecare risc identificat, autoritatea competentă trebuie:
Clasificarea predefinită menționată la subpunctul 1 trebuie să țină seama de potențialul de producere a scenariului de amenințare și de gravitatea consecințelor acestuia asupra siguranței. Prin această clasificare și în funcție de existența sau absența, în cadrul autorității competente, a unui proces structurat și repetabil de management al riscurilor pentru operațiuni, autoritatea competentă trebuie să fie în măsură să stabilească dacă riscul este acceptabil sau dacă trebuie tratat în conformitate cu punctul IS.AR.210. Pentru a se facilita comparabilitatea reciprocă a evaluărilor riscurilor, la atribuirea nivelului de risc în conformitate cu subpunctul 1 se ține seama de informațiile relevante obținute în coordonare cu organizațiile menționate la litera (b). |
(d) |
Autoritatea competentă trebuie să revizuiască și să actualizeze evaluarea riscurilor efectuată în conformitate cu literele (a), (b) și (c) în oricare dintre următoarele cazuri:
|
IS.AR.210 Tratarea riscurilor în materie de securitate a informațiilor
(a) |
Autoritatea competentă trebuie să elaboreze măsuri de abordare a riscurilor inacceptabile identificate în conformitate cu punctul IS.AR.205, să le implementeze în timp util și să verifice menținerea eficacității acestora. Respectivele măsuri trebuie să permită autorității competente:
Respectivele măsuri nu trebuie să introducă noi riscuri potențiale inacceptabile pentru siguranța aviației. |
(b) |
Persoana menționată la punctul IS.AR.225 litera (a) și ceilalți membri vizați ai personalului autorității competente trebuie să fie informați de rezultatul evaluării riscurilor efectuate în conformitate cu punctul IS.AR.205, de scenariile de amenințare corespunzătoare și de măsurile care trebuie implementate. Autoritatea competentă trebuie să informeze, de asemenea, organizațiile cu care are o interfață în conformitate cu punctul IS.AR.205 litera (b) cu privire la orice risc comun autorității competente și organizației în cauză. |
IS.AR.215 Incidentele de securitate a informațiilor – detectare, răspuns și redresare
(a) |
În funcție de rezultatul evaluării riscurilor, efectuată în conformitate cu punctul IS.AR.205, și de rezultatul tratării riscurilor, efectuată în conformitate cu punctul IS.AR.210, autoritatea competentă trebuie să implementeze măsuri de detectare a evenimentelor care indică materializarea potențială a unor riscuri inacceptabile și care pot avea un impact potențial asupra siguranței aviației. Respectivele măsuri de detectare trebuie să permită autorității competente:
|
(b) |
Autoritatea competentă trebuie să implementeze măsuri pentru a răspunde oricăror evenimente identificate în conformitate cu litera (a) care se pot transforma ori s-au transformat într-un incident de securitate a informațiilor. Respectivele măsuri de răspuns trebuie să permită autorității competente:
|
(c) |
Autoritatea competentă trebuie să implementeze măsuri de redresare în urma incidentelor de securitate a informațiilor, inclusiv măsuri de urgență, dacă este necesar. Respectivele măsuri de redresare trebuie să permită autorității competente:
|
IS.AR.220 Subcontractarea activităților de management al securității informațiilor
Autoritatea competentă trebuie să se asigure, atunci când subcontractează altor organizații orice parte a activităților menționate la punctul IS.AR.200, că activitățile subcontractate respectă cerințele din prezentul regulament și că organizația subcontractată lucrează sub supravegherea sa. Autoritatea competentă trebuie să se asigure că riscurile asociate activităților subcontractate sunt gestionate în mod corespunzător.
IS.AR.225 Cerințele în materie de personal
Autoritatea competentă trebuie:
(a) |
să dispună de o persoană care are drepturile statutare necesare pentru a institui și a menține structurile organizaționale, politicile, procesele și procedurile necesare pentru punerea în aplicare a prezentului regulament. Această persoană trebuie:
|
(b) |
să dispună de o procedură prin care să se asigure că are suficient personal disponibil pentru desfășurarea activităților reglementate de prezenta anexă; |
(c) |
să dispună de o procedură prin care să se asigure că personalul menționat la litera (b) are competența necesară pentru a-și îndeplini sarcinile; |
(d) |
să dispună de o procedură prin care să se asigure că personalul este informat de responsabilitățile aferente rolurilor și sarcinilor atribuite; |
(e) |
să se asigure că identitatea și fiabilitatea personalului care are acces la sistemele informatice și la datele care fac obiectul cerințelor prezentului regulament sunt stabilite în mod corespunzător. |
IS.AR.230 Păstrarea evidențelor
(a) |
Autoritatea competentă trebuie să păstreze evidența activităților sale de management al securității informațiilor.
|
(b) |
Autoritatea competentă trebuie să păstreze evidența calificărilor și a experienței personalului propriu implicat în activități de management al securității informațiilor.
|
(c) |
Formatul evidențelor se specifică în procedurile autorității competente. |
(d) |
Evidențele se stochează astfel încât să fie protejate împotriva deteriorării, alterării și furtului, informațiile fiind identificate, după caz, conform nivelului lor de clasificare de securitate. Autoritatea competentă trebuie să se asigure că evidențele sunt stocate prin mijloace care să asigure integritatea, autenticitatea și accesul autorizat. |
IS.AR.235 Îmbunătățirea continuă
(a) |
Autoritatea competentă trebuie să evalueze, cu ajutorul unor indicatori de performanță adecvați, eficacitatea și maturitatea propriului SMSI. Evaluarea trebuie efectuată pe baza unui calendar predefinit, stabilit de autoritatea competentă, sau în urma unui incident de securitate a informațiilor. |
(b) |
Dacă în urma evaluării efectuate în conformitate cu litera (a) se constată deficiențe, autoritatea competentă trebuie să ia măsurile de îmbunătățire necesare pentru a se asigura că SMSI-ul continuă să respecte cerințele aplicabile și că el menține riscurile în materie de securitate a informațiilor la un nivel acceptabil. În plus, autoritatea competentă trebuie să reevalueze elementele SMSI-ului vizate de măsurile adoptate. |
ANEXA II
SECURITATEA INFORMAȚIILOR – CERINȚE APLICABILE ORGANIZAȚIILOR
[PARTEA IS.I.OR]
IS.I.OR.100 |
Domeniul de aplicare |
IS.I.OR.200 |
Sistemul de management al securității informațiilor (SMSI) |
IS.I.OR.205 |
Evaluarea riscurilor în materie de securitate a informațiilor |
IS.I.OR.210 |
Tratarea riscurilor în materie de securitate a informațiilor |
IS.I.OR.215 |
Sistemul de raportare internă în materie de securitate a informațiilor |
IS.I.OR.220 |
Incidentele de securitate a informațiilor – detectare, răspuns și redresare |
IS.I.OR.225 |
Răspunsul la constatările notificate de autoritatea competentă |
IS.I.OR.230 |
Sistemul de raportare externă în materie de securitate a informațiilor |
IS.I.OR.235 |
Subcontractarea activităților de management al securității informațiilor |
IS.I.OR.240 |
Cerințele în materie de personal |
IS.I.OR.245 |
Păstrarea evidențelor |
IS.I.OR.250 |
Manualul de management al securității informațiilor (MMSI) |
IS.I.OR.255 |
Modificări ale sistemului de management al securității informațiilor |
IS.I.OR.260 |
Îmbunătățirea continuă |
IS.I.OR.100 Domeniul de aplicare
Prezenta parte stabilește cerințele care trebuie îndeplinite de organizațiile menționate la articolul 2 alineatul (1) din prezentul regulament.
IS.I.OR.200 Sistemul de management al securității informațiilor (SMSI)
(a) |
Pentru a atinge obiectivele prevăzute la articolul 1, organizația trebuie să instituie, să implementeze și să mențină un sistem de management al securității informațiilor (SMSI) care asigură faptul că organizația:
|
(b) |
Pentru a îndeplini în permanență cerințele menționate la articolul 1, organizația trebuie să implementeze un proces de îmbunătățire continuă în conformitate cu punctul IS.I.OR.260. |
(c) |
Organizația trebuie să documenteze, în conformitate cu punctul IS.I.OR.250, toate procesele, procedurile, rolurile și responsabilitățile cheie necesare pentru a se conforma punctului IS.I.OR.200 litera (a) și să instituie un proces de modificare a documentației respective. Modificările aduse respectivelor procese, proceduri, roluri și responsabilități se gestionează în conformitate cu punctul IS.I.OR.255. |
(d) |
Procesele, procedurile, rolurile și responsabilitățile instituite de organizație pentru a se conforma punctului IS.I.OR.200 litera (a) trebuie să corespundă naturii și complexității activităților sale, pe baza unei evaluări a riscurilor în materie de securitate a informațiilor inerente activităților respective, și pot fi integrate în alte sisteme de management existente care sunt deja implementate de organizație. |
(e) |
Fără a se aduce atingere obligației de conformitate cu cerințele de raportare stabilite în Regulamentul (UE) nr. 376/2014 și cu cerințele stabilite la punctul IS.I.OR.200 litera (a) subpunctul 13, organizația poate primi din partea autorității competente aprobarea de a nu implementa cerințele menționate la literele (a)-(d) și cerințele aferente de la punctele IS.I.OR.205-IS.I.OR.260 dacă demonstrează într-un mod considerat satisfăcător de autoritatea respectivă că activitățile, instalațiile și resursele sale, precum și serviciile pe care le operează, furnizează, primește și menține nu prezintă niciun risc în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației pentru organizația în sine sau pentru alte organizații. Aprobarea trebuie să se bazeze pe o evaluare documentată a riscurilor în materie de securitate a informațiilor, efectuată de organizație sau de o parte terță în conformitate cu punctul IS.I.OR.205 și examinată și aprobată de autoritatea sa competentă. Menținerea valabilității respectivei aprobări va fi examinată de autoritatea competentă în urma ciclului de audit de supraveghere aplicabil și ori de câte ori sunt implementate modificări ale domeniului de activitate al organizației. |
IS.I.OR.205 Evaluarea riscurilor în materie de securitate a informațiilor
(a) |
Organizația trebuie să identifice toate elementele sale care ar putea fi expuse unor riscuri în materie de securitate a informațiilor. Acestea trebuie să includă:
|
(b) |
Organizația trebuie să identifice interfețele pe care le are cu alte organizații și care ar putea conduce la expunerea reciprocă la riscuri în materie de securitate a informațiilor. |
(c) |
În ceea ce privește elementele și interfețele menționate la literele (a) și (b), organizația trebuie să identifice riscurile în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației. Pentru fiecare risc identificat, organizația trebuie:
Clasificarea predefinită menționată la subpunctul 1 trebuie să țină seama de potențialul de producere a scenariului de amenințare și de gravitatea consecințelor acestuia asupra siguranței. Pe baza acestei clasificări și în funcție de existența sau absența, în cadrul organizației, a unui proces structurat și repetabil de management al riscurilor pentru operațiuni, organizația trebuie să fie în măsură să stabilească dacă riscul este acceptabil sau dacă trebuie tratat în conformitate cu punctul IS.I.OR.210. Pentru a se facilita comparabilitatea reciprocă a evaluărilor riscurilor, la atribuirea nivelului de risc în temeiul subpunctului 1 se ține seama de informațiile relevante obținute în coordonare cu organizațiile menționate la litera (b). |
(d) |
Organizația trebuie să revizuiască și să actualizeze evaluarea riscurilor efectuată în conformitate cu literele (a), (b) și, după caz, (c) sau (e) în oricare dintre următoarele situații:
|
(e) |
Prin derogare de la litera (c), organizațiile care trebuie să respecte subpartea C din anexa III (partea ATM/ANS.OR) la Regulamentul de punere în aplicare (UE) 2017/373 înlocuiesc analiza impactului asupra siguranței aviației cu o analiză a impactului asupra serviciilor lor, în conformitate cu evaluarea în sprijinul siguranței prevăzută la punctul ATM/ANS.OR.C.005. Această evaluare în sprijinul siguranței se pune la dispoziția furnizorilor de servicii de trafic aerian cărora organizațiile le furnizează servicii, iar respectivii furnizori de servicii de trafic aerian sunt responsabili cu evaluarea impactului asupra siguranței aviației. |
IS.I.OR.210 Tratarea riscurilor în materie de securitate a informațiilor
(a) |
Organizația trebuie să elaboreze măsuri de abordare a riscurilor inacceptabile identificate în conformitate cu punctul IS.I.OR.205, să le implementeze în timp util și să verifice menținerea eficacității acestora. Respectivele măsuri trebuie să permită organizației:
Respectivele măsuri nu trebuie să introducă noi riscuri potențiale inacceptabile pentru siguranța aviației. |
(b) |
Persoana menționată la punctul IS.I.OR.240 literele (a) și (b) și ceilalți membri vizați ai personalului organizației trebuie să fie informați de rezultatul evaluării riscurilor efectuate în conformitate cu punctul IS.I.OR.205, de scenariile de amenințare corespunzătoare și de măsurile care trebuie implementate. Organizația trebuie să informeze, de asemenea, organizațiile cu care are o interfață în conformitate cu punctul IS.I.OR.205 litera (b) cu privire la orice risc comun celor două organizații. |
IS.I.OR.215 Sistemul de raportare internă în materie de securitate a informațiilor
(a) |
Organizația trebuie să instituie un sistem de raportare internă pentru a permite colectarea și evaluarea evenimentelor legate de securitatea informațiilor, inclusiv a celor care trebuie raportate în temeiul punctului IS.I.OR.230. |
(b) |
Sistemul respectiv și procesul menționat la punctul IS.I.OR.220 trebuie să permită organizației:
|
(c) |
Orice organizație subcontractată care ar putea expune organizația la riscuri în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației are obligația de a raporta organizației evenimentele de securitate a informațiilor. Rapoartele respective se transmit prin procedurile stabilite în angajamentele contractuale specifice și se evaluează în conformitate cu litera (b). |
(d) |
Organizația trebuie să coopereze în cadrul investigațiilor cu orice altă organizație care are o contribuție semnificativă la securitatea informațiilor în cadrul propriilor sale activități. |
(e) |
Organizația poate integra sistemul de raportare respectiv în alte sisteme de raportare pe care le-a implementat deja. |
IS.I.OR.220 Incidentele de securitate a informațiilor – detectare, răspuns și redresare
(a) |
În funcție de rezultatul evaluării riscurilor, efectuată în conformitate cu punctul IS.I.OR.205, și de rezultatul tratării riscurilor, efectuată în conformitate cu punctul IS.I.OR.210, organizația trebuie să implementeze măsuri de detectare a incidentelor și vulnerabilităților care să indice materializarea potențială a unor riscuri inacceptabile și care pot avea un impact potențial asupra siguranței aviației. Respectivele măsuri de detectare trebuie să permită organizației:
|
(b) |
Organizația trebuie să implementeze măsuri pentru a răspunde oricăror evenimente identificate în conformitate cu litera (a) care se pot transforma ori s-au transformat într-un incident de securitate a informațiilor. Respectivele măsuri de răspuns trebuie să permită organizației:
|
(c) |
Organizația trebuie să implementeze măsuri de redresare în urma incidentelor de securitate a informațiilor, inclusiv măsuri de urgență, dacă este necesar. Respectivele măsuri de redresare trebuie să permită organizației:
|
IS.I.OR.225 Răspunsul la constatările notificate de autoritatea competentă
(a) |
După primirea notificării constatărilor de la autoritatea competentă, organizația trebuie:
|
(b) |
Acțiunile menționate la litera (a) trebuie întreprinse în termenul convenit cu autoritatea competentă. |
IS.I.OR.230 Sistemul de raportare externă în materie de securitate a informațiilor
(a) |
Organizația trebuie să implementeze un sistem de raportare în materie de securitate a informațiilor care să fie conform cu cerințele stabilite în Regulamentul (UE) nr. 376/2014 și în actele delegate și de punere în aplicare ale acestuia, dacă regulamentul respectiv îi este aplicabil. |
(b) |
Fără a aduce atingere obligațiilor prevăzute în Regulamentul (UE) nr. 376/2014, organizația trebuie să se asigure că orice incident sau vulnerabilitate în materie de securitate a informațiilor care poate reprezenta un risc semnificativ pentru siguranța aviației este raportată autorității sale competente. În plus:
|
(c) |
Organizația trebuie să raporteze situațiile menționate la litera (b) după cum urmează:
|
IS.I.OR.235 Subcontractarea activităților de management al securității informațiilor
(a) |
Organizația trebuie să se asigure că, atunci când subcontractează altor organizații orice parte a activităților menționate la punctul IS.I.OR.200, activitățile subcontractate respectă cerințele din prezentul regulament și că organizația subcontractată lucrează sub supravegherea sa. Organizația trebuie să se asigure că riscurile asociate activităților subcontractate sunt gestionate în mod corespunzător. |
(b) |
Organizația trebuie să se asigure că autoritatea competentă poate avea acces, la cerere, la organizația subcontractată, pentru a determina menținerea conformității cu cerințele aplicabile stabilite în prezentul regulament. |
IS.I.OR.240 Cerințele în materie de personal
(a) |
Managerul responsabil, desemnat în conformitate cu Regulamentele (UE) nr. 1321/2014, (UE) nr. 965/2012, (UE) nr. 1178/2011, (UE) 2015/340, cu Regulamentul de punere în aplicare (UE) 2017/373 sau cu Regulamentul de punere în aplicare (UE) 2021/664, după caz, al organizației menționate la articolul 2 alineatul (1) din prezentul regulament trebuie să aibă drepturile statutare necesare pentru a se asigura că toate activitățile prevăzute în prezentul regulament pot fi finanțate și efectuate. Persoana respectivă trebuie:
|
(b) |
Managerul responsabil trebuie să numească o persoană sau un grup de persoane pentru a se asigura că organizația respectă cerințele prezentului regulament și trebuie să definească nivelul de autoritate al acestora. Persoana sau grupul de persoane au obligația să raporteze direct managerului responsabil și trebuie să dețină pregătirea, cunoștințele și experiența necesare îndeplinirii responsabilităților asumate. În cadrul procedurilor trebuie să se stabilească cine suplinește o anumită persoană în cazul unei absențe îndelungate a persoanei respective. |
(c) |
Managerul responsabil trebuie să însărcineze o persoană sau un grup de persoane cu responsabilitatea de a gestiona funcția de monitorizare a conformității menționată la punctul IS.I.OR.200 litera (a) subpunctul 12. |
(d) |
Atunci când organizația partajează structuri organizaționale, politici, procese și proceduri în materie de securitate a informațiilor cu alte organizații sau cu domenii ale propriei organizații care nu fac parte din aprobare sau din declarație, managerul responsabil își poate delega activitățile unei persoane responsabile comune. Într-un astfel de caz, se stabilesc măsuri de coordonare între managerul responsabil al organizației și persoana responsabilă comună pentru a se asigura integrarea adecvată a managementului securității informațiilor în cadrul organizației. |
(e) |
Managerul responsabil sau persoana responsabilă comună menționată la litera (d) trebuie să aibă drepturile statutare necesare pentru a institui și menține structurile organizaționale, politicile, procesele și procedurile necesare pentru implementarea punctului IS.I.OR.200. |
(f) |
Organizația trebuie să dispună de o procedură prin care să se asigure că are suficient personal disponibil pentru îndeplinirea activităților reglementate de prezenta anexă. |
(g) |
Organizația trebuie să dispună de o procedură prin care să se asigure că personalul menționat la litera (f) are competența necesară pentru a-și îndeplini sarcinile. |
(h) |
Organizația trebuie să dispună de o procedură prin care să se asigure că personalul este informat de responsabilitățile aferente rolurilor și sarcinilor atribuite. |
(i) |
Organizația trebuie să se asigure că identitatea și fiabilitatea personalului care are acces la sistemele informatice și la datele care fac obiectul cerințelor prezentului regulament sunt stabilite în mod corespunzător. |
IS.I.OR.245 Păstrarea evidențelor
(a) |
Organizația trebuie să păstreze evidența activităților sale de management al securității informațiilor.
|
(b) |
Organizația trebuie să păstreze evidența calificărilor și a experienței personalului propriu implicat în activități de management al securității informațiilor.
|
(c) |
Formatul evidențelor se specifică în procedurile organizației. |
(d) |
Evidențele se stochează astfel încât să fie protejate împotriva deteriorării, alterării și furtului, informațiile fiind identificate, după caz, conform nivelului lor de clasificare de securitate. Organizația trebuie să se asigure că evidențele sunt stocate prin mijloace care să asigure integritatea, autenticitatea și accesul autorizat. |
IS.I.OR.250 Manualul de management al securității informațiilor (MMSI)
(a) |
Organizația trebuie să pună la dispoziția autorității competente un manual de management al securității informațiilor (MMSI) și, când este cazul, eventualele manuale și proceduri conexe la care se face trimitere în manualul respectiv, conținând:
|
(b) |
Ediția inițială a MMSI-ului trebuie să fie aprobată, iar o copie trebuie să fie păstrată de autoritatea competentă. MMSI-ul trebuie modificat în funcție de necesități, astfel încât să reprezinte o descriere actualizată a SMSI-ului organizației. O copie a oricăror modificări aduse MMSI-ului trebuie transmisă autorității competente. |
(c) |
Modificările aduse MMSI-ului se gestionează în cadrul unei proceduri instituite de organizație. Orice modificare care nu este acoperită de domeniul de aplicare al acestei proceduri și orice modificare legată de modificările menționate la punctul IS.I.OR.255 litera (b) trebuie să fie aprobată de autoritatea competentă. |
(d) |
Organizația poate integra MMSI-ul în alte specificații sau manuale de management pe care le deține, cu condiția să existe o referință încrucișată clară indicând părțile din specificațiile sau manualul de management care corespund diferitelor cerințe cuprinse în prezenta anexă. |
IS.I.OR.255 Modificări ale sistemului de management al securității informațiilor
(a) |
Modificările aduse SMSI-ului pot fi gestionate și notificate autorității competente în cadrul unei proceduri elaborate de organizație. Procedura respectivă trebuie să fie aprobată de autoritatea competentă. |
(b) |
În ceea ce privește modificările SMSI-ului care nu fac obiectul procedurii menționate la litera (a), organizația trebuie să solicite și să obțină o aprobare din partea autorității competente. În ceea ce privește respectivele modificări:
|
IS.I.OR.260 Îmbunătățirea continuă
(a) |
Organizația trebuie să evalueze, cu ajutorul unor indicatori de performanță adecvați, eficacitatea și maturitatea SMSI-ului. Respectiva evaluare trebuie efectuată pe baza unui calendar predefinit de organizație sau în urma unui incident de securitate a informațiilor. |
(b) |
Dacă în urma evaluării efectuate în conformitate cu litera (a) se constată deficiențe, organizația trebuie să ia măsurile de îmbunătățire necesare pentru a se asigura că SMSI-ul continuă să respecte cerințele aplicabile și că el menține riscurile în materie de securitate a informațiilor la un nivel acceptabil. În plus, organizația trebuie să reevalueze elementele SMSI vizate de măsurile adoptate. |
ANEXA III
Anexele VI (partea ARA) și VII (partea ORA) la Regulamentul (UE) nr. 1178/2011 se modifică după cum urmează:
1. |
Anexa VI (partea ARA) se modifică după cum urmează:
|
2. |
Anexa VII (partea ORA) se modifică după cum urmează: După punctul ORA.GEN.200 se introduce punctul ORA.GEN.200A cu următorul text: „ORA.GEN.200A Sistemul de management al securității informațiilor Pe lângă sistemul de management menționat la punctul ORA.GEN.200, organizația instituie, implementează și menține un sistem de management al securității informațiilor în conformitate cu Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.” |
ANEXA IV
Anexa I (partea 21) la Regulamentul (UE) nr. 748/2012 se modifică după cum urmează:
1. |
Cuprinsul se modifică după cum urmează:
|
2. |
La punctul 21.B.15 se adaugă litera (c) cu următorul text:
|
3. |
După punctul 21.B.20 se introduce punctul 21.B.20A cu următorul text: „21.B.20A Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației
|
4. |
La punctul 21.B.25 se adaugă litera (e) cu următorul text:
|
5. |
Punctul 21.B.30 se modifică după cum urmează:
|
6. |
La punctul 21.B.221 se adaugă litera (g) cu următorul text:
|
7. |
După punctul 21.B.240 se introduce punctul 21.B.240A cu următorul text: „21.B.240A Modificări ale sistemului de management al securității informațiilor
|
8. |
La punctul 21.B.431 se adaugă litera (d) cu următorul text:
|
9. |
După punctul 21.B.435 se introduce punctul 21.B.435A cu următorul text: „21.B.435A Modificări ale sistemului de management al securității informațiilor
|
ANEXA V
Anexele II (partea ARO) și III (partea ORO) la Regulamentul (UE) nr. 965/2012 se modifică după cum urmează:
1. |
Anexa II (partea ARO) se modifică după cum urmează:
|
2. |
Anexa III (partea ORO) se modifică după cum urmează: După punctul ORO.GEN.200 se introduce punctul ORO.GEN.200A cu următorul text: „ORO.GEN.200A Sistemul de management al securității informațiilor Pe lângă sistemul de management menționat la punctul ORO.GEN.200, operatorul instituie, implementează și menține un sistem de management al securității informațiilor în conformitate cu Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.” |
ANEXA VI
Anexa II (partea ADR.AR) la Regulamentul (UE) nr. 139/2014 se modifică după cum urmează:
1. |
La punctul ADR.AR.A.025 se adaugă litera (c) cu următorul text:
|
2. |
După punctul ADR.AR.A.030 se introduce punctul ADR.AR.A.030A cu următorul text: „ADR.AR.A.030A Reacția imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației
|
3. |
La punctul ADR.AR.B.005 se adaugă litera (d) cu următorul text:
|
4. |
Punctul ADR.AR.B.010 se modifică după cum urmează:
|
5. |
La punctul ADR.AR.C.005 se adaugă litera (f) cu următorul text:
|
6. |
După punctul ADR.AR.C.040 se introduce punctul ADR.AR.C.040A cu următorul text: „ADR.AR.C.040A Modificări ale sistemului de management al securității informațiilor
|
ANEXA VII
Anexele II (partea 145), III (partea 66) și Vc (partea CAMO) la Regulamentul (UE) nr. 1321/2014 se modifică după cum urmează:
1. |
Anexa II (partea 145) se modifică după cum urmează:
|
2. |
Anexa III (partea 66) se modifică după cum urmează:
|
3. |
Anexa Vc (partea CAMO) se modifică după cum urmează:
|
ANEXA VIII
Anexele II (partea ATCO.AR) și III (partea ATCO.OR) la Regulamentul (UE) 2015/340 se modifică după cum urmează:
1. |
Anexa II (partea ATCO.AR) se modifică după cum urmează:
|
2. |
Anexa III (partea ATCO.OR) se modifică după cum urmează: După punctul ATCO.OR.C.001 se introduce punctul ATCO.OR.C.001A cu următorul text: „ATCO.OR.C.001A Sistemul de management al securității informațiilor Pe lângă sistemul de management menționat la punctul ATCO.OR.C.001, organizația de pregătire instituie, implementează și menține un sistem de management al securității informațiilor în conformitate cu Regulamentul de punere în aplicare (UE) 2023/203, pentru a asigura managementul corespunzător al riscurilor în materie de securitate a informațiilor care pot avea un impact asupra siguranței aviației.” |
ANEXA IX
Anexele II (partea ATM/ANS.AR) și III (partea ATM/ANS.OR) la Regulamentul de punere în aplicare (UE) 2017/373 se modifică după cum urmează:
1. |
Anexa II (partea ATM/ANS.AR) se modifică după cum urmează:
|
2. |
Anexa III (partea ATM/ANS.OR) se modifică după cum urmează:
|