a)

Bez toho, aby bolo dotknuté nariadenie Európskeho parlamentu a Rady (EÚ) č. 376/2014 (1) a delegované a vykonávacie akty prijaté na jeho základe, zavedie agentúra systém na primerané zhromažďovanie, analýzu a šírenie informácií o bezpečnosti, bezpečnostnej ochrane a interoperabilite.

b)

Po prijatí informácií uvedených v písmene a) prijme agentúra na riešenie všetkých zistených problémov v oblasti bezpečnosti, bezpečnostnej ochrany alebo interoperability vhodné opatrenia vrátane vydávania príkazov pre vybavenie ATM/ANS v súlade s ustanovením ATM/ANS.EQMT.AR.A.030 prílohy I k delegovanému nariadeniu (EÚ) 2023/1768.

c)

Opatrenia prijaté podľa písmena b) sa v súlade s ustanovením DPO.OR.A.035 okamžite oznámia dotknutej organizácii, ktorá je povinná ich dodržiavať. Oznámia sa aj príslušným orgánom dotknutých poskytovateľov ATM/ANS.

a)

Agentúra zavedie systém na primerané zhromažďovanie, analýzu a šírenie informácií týkajúcich sa incidentov a zraniteľností v oblasti informačnej bezpečnosti s možným vplyvom na bezpečnosť letectva, ktoré nahlásia organizácie. S cieľom zlepšiť koordináciu a kompatibilitu systémov nahlasovania sa to uskutočňuje v koordinácii so všetkými ďalšími relevantnými orgánmi zodpovednými v rámci členského štátu za informačnú alebo kybernetickú bezpečnosť.

b)

Po prijatí informácií uvedených v písmene a) prijme agentúra primerané opatrenia na riešenie potenciálneho vplyvu incidentu alebo zraniteľnosti v oblasti informačnej bezpečnosti na bezpečnosť letectva.

c)

O opatreniach prijatých v súlade s písmenom b) okamžite informuje všetky osoby alebo organizácie, ktoré ich musia podľa nariadenia (EÚ) 2018/1139 a delegovaných a vykonávacích aktov prijatých na jeho základe dodržiavať. Tieto opatrenia agentúra oznámi aj príslušným orgánom dotknutých členských štátov.

a)

Agentúra zriadi a udržiava systém riadenia zahŕňajúci minimálne tieto prvky:

b)

Pre každú oblasť činnosti v rámci systému riadenia vymenuje agentúra jednu alebo viac osôb s celkovou zodpovednosťou za riadenie príslušných úloh.

c)

Agentúra stanoví postupy svojej účasti na vzájomnej výmene všetkých potrebných informácií s inými príslušnými orgánmi uvedenými v článku 4 vykonávacieho nariadenia Komisie (EÚ) 2017/373 (2) vrátane všetkých informácií, ktoré vyplývajú z povinného a dobrovoľného hlásenia udalostí, ako sa vyžaduje v ustanovení DPO.OR.A.045, a poskytne týmto orgánom pomoc alebo ich o pomoc požiada.

d)

V záujme zabezpečenia riadneho riadenia rizík v oblasti informačnej bezpečnosti, ktoré môžu mať vplyv na bezpečnosť letectva, musí byť systém riadenia, ktorý zriadila a udržiava agentúra, v súlade s prílohou I (časť IS.AR) k vykonávaciemu nariadeniu (EÚ) 2023/203.

a)

Agentúra musí mať zavedený systém určovania tých zmien, ktoré ovplyvňujú jej schopnosť plniť si úlohy a vykonávať svoje povinnosti, ako sa stanovuje v nariadení (EÚ) 2018/1139 a delegovaných a vykonávacích aktoch prijatých na jeho základe. Tento systém musí agentúre umožňovať prijímať vhodné opatrenia na zabezpečenie zachovania primeranosti a účinnosti systému riadenia.

b)

Agentúra aktualizuje svoj systém riadenia tak, aby včas zohľadnila každú zmenu v nariadení (EÚ) 2018/1139 a delegovaných a vykonávacích aktoch prijatých na jeho základe a aby tak zaistila účinné vykonávanie svojho systému riadenia.

a)

Agentúra zavedie a udržiava systém vedenia záznamov, ktorý umožní vhodné uloženie, prístupnosť a spoľahlivú vysledovateľnosť:

b)

Agentúra vedie zoznam všetkých osvedčení, ktoré vydala, a všetkých vyhlásení, ktoré zaregistrovala.

c)

Všetky záznamy uvedené v písmenách a) a b) sa s výhradou uplatniteľných právnych predpisov o ochrane údajov uchovávajú spôsobom, ktorý zabezpečuje ochranu pred poškodením, pozmenením a krádežou, a uchovávajú sa najmenej päť rokov po skončení platnosti schválení a osvedčení alebo po stiahnutí vyhlásení.

a)

Po prijatí žiadosti o vydanie schválenia organizácii, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, agentúra overí, či organizácia spĺňa požiadavky stanovené v prílohách II a III k delegovanému nariadeniu (EÚ) 2023/1768 a v prílohe II k tomuto nariadeniu.

b)

Agentúra môže pred vydaním schválenia so všetkými relevantnými informáciami stanovenými v dodatku 1 k tejto prílohe požiadať o akékoľvek audity, kontroly alebo posúdenia, ktoré považuje za potrebné.

c)

Schválenie sa vydá na neobmedzené obdobie. Oprávnenia, pokiaľ ide o činnosti, na ktorých vykonávanie má organizácia schválenie, sa uvedú v podmienkach pripojených k schváleniu.

d)

Schválenie sa nevydá, ak sa neuzavrie zistenie úrovne 1 uvedené v DPO.AR.C.015. Zistenia iné než zistenia úrovne 1 musí organizácia vo výnimočných prípadoch posúdiť a podľa potreby zmierniť a pred vydaním schválenia musí agentúra schváliť plán nápravných opatrení na uzavretie týchto zistení.

e)

Každú zmenu schválenia a jeho podmienok schvaľuje agentúra.

a)

Agentúra vypracuje a každoročne aktualizuje program dohľadu, v ktorom zohľadní špecifický charakter organizácií, nad ktorými vykonáva dohľad, zložitosť ich činností a výsledky predchádzajúcich činností osvedčovania alebo dohľadu, pričom vychádza z posúdenia súvisiacich rizík. Program dohľadu zahŕňa audity, ktoré:

b)

Agentúra sa môže podľa potreby rozhodnúť zmeniť ciele a rozsah vopred naplánovaných auditov vrátane preskúmaní dokumentácie a doplnkových auditov.

c)

Agentúra rozhodne, ktoré opatrenia, prvky, fyzické lokality a činnosti budú v priebehu špecifikovaného časového rámca predmetom auditu.

d)

Pozorovania a zistenia auditu vydané v súlade s ustanovením DPO.AR.C.015 sa zdokumentujú.

e)

Zistenia sa podložia dôkazmi a identifikujú v zmysle uplatniteľných požiadaviek a ich vykonávacích opatrení, na základe ktorých sa audit uskutočnil.

f)

Vypracuje sa správa o audite vrátane podrobností o zisteniach a pozorovaniach a oznámi sa dotknutej organizácii.

a)

Pokiaľ ide o zmeny riadené a oznamované agentúre v súlade s postupom stanoveným v ustanovení IS.I.OR.255 písm. a) prílohy II (časť IS.I.OR) k vykonávaciemu nariadeniu (EÚ) 2023/203, agentúra začlení preskúmanie takýchto zmien do svojho programu nepretržitého dohľadu v súlade so zásadami stanovenými v ustanovení DPO.AR.C.005 tejto prílohy. Ak sa zistí akýkoľvek nesúlad, agentúra ho oznámi organizácii, požiada o ďalšie zmeny a koná v súlade s ustanovením DPO.AR.C.015 tejto prílohy.

b)

Pokiaľ ide o iné zmeny, ktoré si vyžadujú žiadosť o schválenie v súlade s ustanovením IS.I.OR.255 písm. b) prílohy II (časť IS.I.OR) k vykonávaciemu nariadeniu (EÚ) 2023/203:

a)

Ak agentúra počas vyšetrovania, dohľadu alebo akýmkoľvek iným spôsobom zistí nesúlad postupu alebo príručky, ktoré sa vyžadujú podľa tohto nariadenia, alebo nesúlad osvedčenia alebo vyhlásenia vydaného v súlade s týmto nariadením, s uplatniteľnými požiadavkami uvedenými v tomto nariadení, musí bez toho, aby boli dotknuté akékoľvek doplňujúce opatrenia vyžadované nariadením (EÚ) 2018/1139, vydať zistenie.

b)

Agentúra musí mať zavedený systém na:

c)

Zistenie úrovne 1 agentúra vydá, keď zistí akýkoľvek významný nesúlad s predpisovou základňou osvedčovania ATM/ANS podľa ustanovenia ATM/ANS.EQMT.AR.B.001 prílohy I k delegovanému nariadeniu (EÚ) 2023/1768, ktorý môže spôsobiť nekontrolovaný nesúlad a potenciálny neželaný stav.

K zisteniam úrovne 1 patrí okrem iného:

d)

Zistenie úrovne 2 agentúra vydá, keď zistí nesúlad:

ktorý nie je klasifikovaný ako zistenie úrovne 1.

e)

Ak agentúra vydá zistenie, bez toho, aby boli dotknuté doplňujúce opatrenia vyžadované nariadením (EÚ) 2018/1139 a delegovanými a vykonávacími aktmi prijatými na jeho základe, ho písomne oznámi dotknutej organizácii a požiada ju, aby prijala nápravné opatrenia na riešenie zisteného nesúladu.

f)

V prípadoch, keď sa nevyžadujú zistenia úrovne 1 a úrovne 2, môže agentúra vydať pripomienky.

g)

Agentúra:

h)

Keď agentúra prijme opatrenia na presadzovanie dodržiavania predpisov v súlade s písmenom g), oznámi ich adresátovi, uvedie ich dôvody a informuje adresáta o jeho práve odvolať sa.

a)

agentúra ako príslušný orgán, ktorý schválenie vydáva;

b)

názov a poštová adresa žiadateľa;

c)

rozsah činnosti žiadateľa;

d)

miesto, kde sa majú činnosti vykonávať;

e)

súvisiace oprávnenia, na ktoré bolo žiadateľovi udelené schválenie;

f)

vyhlásenie o zhode žiadateľa a jeho súlade s uplatniteľnými požiadavkami;

g)

dátum vydania a platnosť schválenia;

h)

dodatočné podmienky alebo obmedzenia, ktoré sú so schválením spojené.

a)

Žiadosť o schválenie projekčnej alebo výrobnej organizácie sa podáva formou a spôsobom, ktoré stanovuje agentúra.

b)

Na získanie schválenia musí organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, spĺňať požiadavky stanovené v tomto nariadení, ak sa tieto požiadavky vzťahujú na projektovanie alebo výrobu systémov ATM/ANS a komponentov ATM/ANS, ktoré organizácia vykonáva alebo plánuje vykonávať.

a)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, vytvorí a udržiava opis organizácie, ktorý poskytuje tieto informácie:

b)

Opis organizácie sa podľa potreby zmení tak, aby bol aktuálny, a agentúre sa predloží jeho kópia vrátane zmien.

c)

Ak sa navrhujú zmeny opisu organizácie, musí sa predložiť žiadosť o ich schválenie uvedená v ustanovení DPO.OR.B.005 tejto prílohy.

a)

Schválenie organizácie zostáva v platnosti na neobmedzené obdobie za predpokladu, že:

b)

Ak bolo schválenie vydané v papierovej podobe, po zrušení alebo odovzdaní sa bezodkladne vráti agentúre.

c)

V rámci rozsahu podmienok schválenia a podľa príslušných postupov systému riadenia projektovania je držiteľ schválenia organizácie oprávnený:

a)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, uľahčuje kontroly a audity vykonávané agentúrou alebo oprávneným subjektom, ktorý koná v jej mene, a v záujme efektívneho a účinného výkonu právomocí agentúry podľa potreby spolupracuje.

b)

Organizácia, ktorá sa podieľa na navrhovaní alebo výrobe vybavenia ATM/ANS, spolupracuje s poskytovateľmi ATM/ANS, ktorí používajú jej vybavenie ATM/ANS, a podporuje ich v ich procese preukazovania súladu dotknutým príslušným orgánom.

a)

určí hlavnú príčinu nesúladu;

b)

stanoví plán nápravných opatrení;

c)

v lehote, ktorú navrhla a schválila agentúra, ako sa vymedzuje v ustanovení DPO.AR.C.015 písm. e) bode 2, preukáže vykonanie nápravných opatrení k spokojnosti agentúry.

a)

Držiteľ schválenia vydaného v súlade s týmto nariadením:

b)

V prípade organizácií, ktoré majú hlavné miesto podnikateľskej činnosti v niektorom členskom štáte, musí systém zriadený v súlade s písmenom a) bodom 1 zahŕňať ustanovenia o hlásení udalostí a nadväzujúcich opatreniach, ktoré spĺňajú požiadavky nariadení (EÚ) č. 376/2014 a (EÚ) 2018/1139 a delegovaných a vykonávacích aktov prijatých na ich základe.

c)

Držiteľ schválenia nahlási agentúre každý výpadok, každú poruchu, chybu alebo inú udalosť, o ktorej vie a ktorá viedla alebo môže viesť k stavu, ktorý by ohrozoval bezpečnosť, bezpečnostnú ochranu alebo výkonnosť.

d)

V prípade držiteľov schválenia, ktorí nemajú hlavné miesto podnikateľskej činnosti v niektorom členskom štáte, sa správy vypracúvajú vo forme a spôsobom, ktoré stanoví agentúra, a to čo najskôr a v každom prípade sa predložia najneskôr 72 hodín po tom, ako sa osoba alebo organizácia dozvedela o konkrétnej udalosti, pokiaľ tomu nebránia výnimočné okolnosti.

e)

Držiteľ schválenia vyšetrí udalosť nahlásenú podľa písmena c) vrátane nedostatkov, ktoré k nej viedli, a nahlási agentúre výsledky svojho vyšetrovania a všetky opatrenia, ktoré plánuje prijať alebo ktoré navrhuje prijať na nápravu týchto nedostatkov.

a)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, zavedie a udržiava systém riadenia, ktorý zahŕňa:

b)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, zdokumentuje všetky kľúčové procesy systému riadenia vrátane procesu informovania zamestnancov o ich povinnostiach, ako aj postup na zmenu týchto procesov.

c)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, zavedie v rámci svojho systému riadenia funkciu na monitorovanie svojho súladu s uplatniteľnými požiadavkami a primeranosti zavedených postupov. Monitorovanie súladu musí zahŕňať systém spätnej väzby zistení pre zodpovedného manažéra, aby sa v prípade potreby zabezpečila účinná realizácia nápravných opatrení.

d)

Systém riadenia musí byť primeraný veľkosti organizácie podieľajúcej sa na projektovaní alebo výrobe vybavenia ATM/ANS a komplexnosti jej činností, pričom sa musia zohľadňovať nebezpečenstvá a súvisiace riziká vyplývajúce z týchto činností.

e)

S cieľom zabezpečiť riadne riadenie rizík v oblasti informačnej bezpečnosti, ktoré môžu mať vplyv na bezpečnosť letectva, musí organizácia podieľajúca sa na projektovaní alebo výrobe vybavenia ATM/ANS okrem systému riadenia uvedeného v písmene a) zriadiť, zaviesť a udržiavať systém riadenia informačnej bezpečnosti v súlade s vykonávacím nariadením (EÚ) 2023/203.

a)

Po vydaní schválenia organizácie musí každú závažnú zmenu systému riadenia pred jej vykonaním schváliť agentúra, pokiaľ takáto zmena nie je oznámená a riadená v súlade s postupom schváleným agentúrou. Organizácia predloží agentúre žiadosť o schválenie, v ktorej preukáže nepretržitý súlad s príslušnými požiadavkami.

b)

Každá zmena vybavenia ATM/ANS sa musí pred vykonaním oznámiť agentúre a tá ju musí schváliť, pokiaľ sa takáto zmena neriadi v súlade s postupom riadenia zmien schváleným agentúrou. V tomto postupe riadenia zmien sa vymedzí klasifikácia zmien vybavenia ATM/ANS a opíše spôsob oznamovania a riadenia takýchto zmien.

a)

Obstarávané činnosti zahŕňajú všetky tie činnosti, ktoré v súlade s podmienkami osvedčenia spadajú do rozsahu činností organizácie a ktoré vykonávajú iné organizácie, ktoré sú buď samy držiteľmi osvedčenia na vykonávanie takýchto činností, alebo ak nie sú držiteľmi osvedčenia, pracujú pod dohľadom takejto organizácie. Keď organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, zadáva niektorú časť svojich činností externým organizáciám alebo niektorú časť svojich činností od externých organizácií nakupuje, zabezpečí, aby zadaná, prípadne zakúpená činnosť bola v súlade s uplatniteľnými požiadavkami.

b)

Ak organizácia podieľajúca sa na projektovaní alebo výrobe vybavenia ATM/ANS obstaráva niektorú časť svojich činností od organizácie, ktorá sama nie je držiteľom osvedčenia v súlade s týmto nariadením na vykonávanie takýchto činností, zabezpečí, aby dodávateľská organizácia pracovala pod jej dohľadom. Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, zabezpečí, aby agentúra mala prístup k dodávateľskej organizácii a mohla tak určiť, či je v nepretržitom súlade s uplatniteľnými požiadavkami tohto nariadenia.

a)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, vymenuje zodpovedného manažéra, ktorý má právomoc zabezpečiť, aby sa všetky činnosti mohli financovať a vykonávať v súlade s uplatniteľnými požiadavkami tohto nariadenia. Zodpovedný manažér je zodpovedný za vytvorenie a udržiavanie efektívneho systému riadenia.

b)

Musia byť vymedzené aj právomoci, úlohy a povinnosti menovaných pracovníkov, najmä riadiacich pracovníkov zodpovedných za bezpečnosť, kvalitu, bezpečnostnú ochranu, financie a ľudské zdroje.

a)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, zavedie systém vedenia záznamov, ktorý umožní primerané uchovávanie záznamov a spoľahlivú vysledovateľnosť všetkých jej činností a ktorý pokrýva najmä všetky prvky uvedené v ustanovení DPO.OR.B.001.

b)

Formát a lehota uchovávania záznamov uvedených v písmene a) sa určí v rámci postupov systému riadenia organizácie.

c)

Záznamy sa uchovávajú tak, aby bola zabezpečená ich ochrana pred poškodením, pozmenením a krádežou.

d)

Organizácia, ktorá sa podieľa na projektovaní alebo výrobe vybavenia ATM/ANS, vedie register nasadeného vybavenia ATM/ANS.

a)

Žiadateľ a držiteľ schválenia organizácie na projektovanie alebo výrobu vybavenia ATM/ANS sú v náležitých prípadoch oprávnení:

b)

Pokiaľ ide o projekčné činnosti, organizácia podieľajúca sa na projektovaní alebo výrobe vybavenia ATM/ANS:

c)

Pokiaľ ide o výrobné činnosti, organizácia podieľajúca sa na projektovaní alebo výrobe vybavenia ATM/ANS:

d)

Okrem písmena c) je organizácia podieľajúca sa na výrobe vybavenia ATM/ANS v rozsahu podmienok svojho schválenia oprávnená pred vydaním formulára EASA o uvoľnení, v ktorom sa uvádza, že vybavenie ATM/ANS bolo vyrobené v súlade s uplatniteľnými požiadavkami tohto nariadenia a s príslušnými projekčnými údajmi, určiť, či každé hotové vybavenie ATM/ANS zodpovedá príslušným projekčným údajom a je v stave zaručujúcom bezpečnú prevádzku.

e)

Formulár EASA o uvoľnení pre každé vyrobené vybavenie ATM/ANS, ktorý sa uvádza v písmene d), musí obsahovať aspoň tieto informácie:

a)

medzi projekčnými a výrobnými činnosťami dochádza podľa potreby k uspokojivej koordinácii a boli prijaté vhodné opatrenia;

b)

s príslušnými poskytovateľmi ATM/ANS a leteckými subjektmi dochádza podľa potreby k uspokojivej koordinácii a poskytuje sa im náležitá podpora, pokiaľ ide o zachovanie vhodnosti vybavenia ATM/ANS.

a)

navrhne vhodné nápravné opatrenie a spolu s podrobnosťami ho predloží agentúre na schválenie;

b)

po tom, ako agentúra schváli návrh uvedený v písmene a), sprístupní všetkým známym používateľom alebo vlastníkom vybavenia ATM/ANS a na požiadanie každej osobe, od ktorej sa vyžaduje dodržiavanie príkazu pre vybavenie ATM/ANS, príslušné opisné údaje a sprievodné pokyny.