This document is an excerpt from the EUR-Lex website
Document 32023R0203
Commission Implementing Regulation (EU) 2023/203 of 27 October 2022 laying down rules for the application of Regulation (EU) 2018/1139 of the European Parliament and of the Council, as regards requirements for the management of information security risks with a potential impact on aviation safety for organisations covered by Commission Regulations (EU) No 1321/2014, (EU) No 965/2012, (EU) No 1178/2011, (EU) 2015/340, Commission Implementing Regulations (EU) 2017/373 and (EU) 2021/664, and for competent authorities covered by Commission Regulations (EU) No 748/2012, (EU) No 1321/2014, (EU) No 965/2012, (EU) No 1178/2011, (EU) 2015/340 and (EU) No 139/2014, Commission Implementing Regulations (EU) 2017/373 and (EU) 2021/664 and amending Commission Regulations (EU) No 1178/2011, (EU) No 748/2012, (EU) No 965/2012, (EU) No 139/2014, (EU) No 1321/2014, (EU) 2015/340, and Commission Implementing Regulations (EU) 2017/373 and (EU) 2021/664
Izvedbena uredba Komisije (EU) 2023/203 z dne 27. oktobra 2022 o določitvi pravil za uporabo Uredbe (EU) 2018/1139 Evropskega parlamenta in Sveta glede zahtev za obvladovanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu, za organizacije, zajete v uredbah Komisije (EU) št. 1321/2014, (EU) št. 965/2012, (EU) št. 1178/2011, (EU) 2015/340, izvedbenih uredbah Komisije (EU) 2017/373 in (EU) 2021/664, ter za pristojne organe, zajete v uredbah Komisije (EU) št. 748/2012, (EU) št. 1321/2014, (EU) št. 965/2012, (EU) št. 1178/2011, (EU) 2015/340 in (EU) št. 139/2014, izvedbenih uredbah Komisije (EU) 2017/373 in (EU) 2021/664, ter o spremembi uredb Komisije (EU) št. 1178/2011, (EU) št. 748/2012, (EU) št. 965/2012, (EU) št. 139/2014, (EU) št. 1321/2014, (EU) 2015/340 ter izvedbenih uredb Komisije (EU) 2017/373 in (EU) 2021/664
Izvedbena uredba Komisije (EU) 2023/203 z dne 27. oktobra 2022 o določitvi pravil za uporabo Uredbe (EU) 2018/1139 Evropskega parlamenta in Sveta glede zahtev za obvladovanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu, za organizacije, zajete v uredbah Komisije (EU) št. 1321/2014, (EU) št. 965/2012, (EU) št. 1178/2011, (EU) 2015/340, izvedbenih uredbah Komisije (EU) 2017/373 in (EU) 2021/664, ter za pristojne organe, zajete v uredbah Komisije (EU) št. 748/2012, (EU) št. 1321/2014, (EU) št. 965/2012, (EU) št. 1178/2011, (EU) 2015/340 in (EU) št. 139/2014, izvedbenih uredbah Komisije (EU) 2017/373 in (EU) 2021/664, ter o spremembi uredb Komisije (EU) št. 1178/2011, (EU) št. 748/2012, (EU) št. 965/2012, (EU) št. 139/2014, (EU) št. 1321/2014, (EU) 2015/340 ter izvedbenih uredb Komisije (EU) 2017/373 in (EU) 2021/664
C/2022/7215
UL L 31, 2.2.2023, p. 1–40
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force: This act has been changed. Current consolidated version: 05/10/2023
2.2.2023 |
SL |
Uradni list Evropske unije |
L 31/1 |
IZVEDBENA UREDBA KOMISIJE (EU) 2023/203
z dne 27. oktobra 2022
o določitvi pravil za uporabo Uredbe (EU) 2018/1139 Evropskega parlamenta in Sveta glede zahtev za obvladovanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu, za organizacije, zajete v uredbah Komisije (EU) št. 1321/2014, (EU) št. 965/2012, (EU) št. 1178/2011, (EU) 2015/340, izvedbenih uredbah Komisije (EU) 2017/373 in (EU) 2021/664, ter za pristojne organe, zajete v uredbah Komisije (EU) št. 748/2012, (EU) št. 1321/2014, (EU) št. 965/2012, (EU) št. 1178/2011, (EU) 2015/340 in (EU) št. 139/2014, izvedbenih uredbah Komisije (EU) 2017/373 in (EU) 2021/664, ter o spremembi uredb Komisije (EU) št. 1178/2011, (EU) št. 748/2012, (EU) št. 965/2012, (EU) št. 139/2014, (EU) št. 1321/2014, (EU) 2015/340 ter izvedbenih uredb Komisije (EU) 2017/373 in (EU) 2021/664
EVROPSKA KOMISIJA JE –
ob upoštevanju Pogodbe o delovanju Evropske unije,
ob upoštevanju Uredbe (EU) 2018/1139 Evropskega parlamenta in Sveta z dne 4. julija 2018 o skupnih pravilih na področju civilnega letalstva in ustanovitvi Agencije Evropske unije za varnost v letalstvu ter spremembi uredb (ES) št. 2111/2005, (ES) št. 1008/2008, (EU) št. 996/2010, (EU) št. 376/2014 ter direktiv 2014/30/EU in 2014/53/EU Evropskega parlamenta in Sveta ter razveljavitvi uredb (ES) št. 552/2004 in (ES) št. 216/2008 Evropskega parlamenta in Sveta ter Uredbe Sveta (EGS) št. 3922/91 (1), zlasti člena 17(1), točka (b), člena 27(1), točka (a), člena 31(1), točka (b), člena 43(1), točka (b), člena 53(1), točka (a), ter člena 62(15), točka (c), Uredbe,
ob upoštevanju naslednjega:
(1) |
V skladu z bistvenimi zahtevami iz Priloge II, točka 3.1(b), k Uredbi (EU) 2018/1139 morajo organizacije za vodenje stalne plovnosti in vzdrževalne organizacije izvajati in vzdrževati sistem upravljanja za obvladovanje varnostnih tveganj. |
(2) |
Tudi organizacije za usposabljanje pilotov, organizacije za usposabljanje kabinskega osebja, zdravstveni centri za letalsko osebje in operatorji naprav za simulacijo letenja morajo v skladu z bistvenimi zahtevami iz Priloge IV, točka 3.3(b) in točka 5(b), k Uredbi (EU) 2018/1139 izvajati in vzdrževati sistem upravljanja za obvladovanje varnostnih tveganj. |
(3) |
Poleg tega morajo letalski prevozniki v skladu z bistvenimi zahtevami iz Priloge V, točka 8.1(c), k Uredbi (EU) 2018/1139 izvajati in vzdrževati sistem upravljanja za obvladovanje varnostnih tveganj. |
(4) |
Tudi izvajalci upravljanja zračnega prometa in navigacijskih služb zračnega prometa, izvajalci služb U-space, enotni izvajalci skupne informacijske službe, organizacije za usposabljanje in zdravstveni centri za letalsko osebje za kontrolorje zračnega prometa morajo v skladu z bistvenimi zahtevami iz Priloge VIII, točka 5.1(c) in točka 5.4(b), k Uredbi (EU) 2018/1139 izvajati in vzdrževati sistem upravljanja za obvladovanje varnostnih tveganj. |
(5) |
Navedena varnostna tveganja lahko nastanejo iz različnih razlogov, na primer zaradi hib v zasnovi in vzdrževanju, vidikov človeške učinkovitosti, okoljskih groženj in groženj za informacijsko varnost. Zato bi morali sistemi upravljanja, ki jih izvajajo Agencija Evropske unije za varnost v letalstvu (v nadaljnjem besedilu: Agencija) ter nacionalni pristojni organi in organizacije iz zgornjih uvodnih izjav, upoštevati ne samo varnostna tveganja, ki izhajajo iz naključnih dogodkov, ampak tudi varnostna tveganja, ki izhajajo iz groženj za informacijsko varnost, kadar lahko posamezniki obstoječe pomanjkljivosti izkoristijo zlonamerno. Navedena tveganja za informacijsko varnost se v civilnem letalstvu nenehno povečujejo, saj sedanji informacijski sistemi postajajo čedalje bolj medsebojno povezani in čedalje pogosteje tarča zlonamernih akterjev. |
(6) |
Tveganja, povezana z navedenimi informacijskimi sistemi, niso omejena na morebitne napade na kibernetski prostor, ampak vključujejo tudi grožnje, ki lahko vplivajo na procese in postopke ter človeško uspešnost. |
(7) |
Veliko organizacij že uporablja mednarodne standarde, na primer ISO 27001, da bi obravnavale varnost digitalnih informacij in podatkov. Navedeni standardi ne obravnavajo nujno v celoti vseh posebnosti civilnega letalstva. Zato je primerno določiti zahteve za obvladovanje tveganj za informacijsko varnost, ki bi lahko vplivala na varnost v letalstvu. |
(8) |
Bistveno je, da navedene zahteve zajemajo vsa področja letalstva in njihove vmesnike, saj je letalstvo zelo povezan sistem več sistemov. Zato bi se morale uporabljati za vse organizacije in pristojne organe, zajete v uredbah Komisije (EU) št. 748/2012 (2), (EU) št. 1321/2014 (3), (EU) št. 965/2012 (4), (EU) št. 1178/2011 (5), (EU) 2015/340 (6), (EU) št. 139/2014 (7) in Izvedbeni uredbi Komisije (EU) 2021/664 (8), ter za tiste, ki že morajo imeti sistem upravljanja v skladu z veljavno zakonodajo Unije o varnosti v letalstvu. Vendar pa bi morale biti nekatere organizacije izključene s področja uporabe te uredbe, da se zagotovi ustrezna sorazmernost z nižjimi tveganji za informacijsko varnost, ki jo imajo za letalski sistem. |
(9) |
Zahteve iz te uredbe bi morale zagotoviti dosledno izvajanje na vseh področjih letalstva, hkrati pa čim manj vplivati na zakonodajo Unije o varnosti v letalstvu, ki se na teh področjih že uporablja. |
(10) |
Zahteve iz te uredbe ne bi smele posegati v zahteve glede informacijske in kibernetske varnosti iz točke 1.7 Priloge k Izvedbeni uredbi Komisije (EU) 2015/1998 (9) in iz člena 14 Direktive (EU) 2016/1148 Evropskega parlamenta in Sveta (10). |
(11) |
Varnostne zahteve iz členov 33 do 43 naslova V „Varnost programa“ Uredbe (EU) 2021/696 Evropskega parlamenta in Sveta (11) štejejo za enakovredne zahtevam iz te uredbe, razen kar zadeva točko IS.I.OR.230 Priloge II k tej uredbi, katere zahteve bi morale biti izpolnjene. |
(12) |
Da bi se zagotovila pravna varnost, bi bilo razlago izraza „informacijska varnost“, kot je opredeljen v tej uredbi in ki odraža splošno rabo v civilnem letalstvu po vsem svetu, treba šteti za skladno z razlago izraza „varnost omrežij in informacijskih sistemov“, kot je opredeljen v členu 4(2) Direktive (EU) 2016/1148. Opredelitev informacijske varnosti, ki se uporablja za namene te uredbe, se ne bi smela razlagati drugače kot opredelitev varnosti omrežij in informacijskih sistemov iz Direktive (EU) 2016/1148. |
(13) |
Da bi se izognili podvajanju pravnih zahtev, kadar za organizacije, ki so zajete v tej uredbi, že veljajo varnostne zahteve, ki izhajajo iz aktov Unije, navedenih v uvodnih izjavah 10 in 11, in ki so po svojem učinku enakovredne določbam iz te uredbe, bi bilo treba skladnost z navedenimi varnostnimi zahtevami šteti za skladnost z zahtevami iz te uredbe. |
(14) |
Organizacije, ki so zajete v tej uredbi in za katere že veljajo varnostne zahteve iz Uredbe (EU) 2015/1998 ali Uredbe (EU) 2021/696 ali obeh, bi morale izpolnjevati tudi zahteve iz Priloge II (del IS.I.OR.230 „Sistem zunanjega poročanja o informacijski varnosti“) k tej uredbi, saj nobena od obeh uredb ne vsebuje določb v zvezi z zunanjim poročanjem o informacijskovarnostnih incidentih. |
(15) |
Da bi bila zagotovljena popolnost, bi bilo treba uredbe (EU) št. 1178/2011, (EU) št. 748/2012, (EU) št. 965/2012, (EU) št. 139/2014, (EU) št. 1321/2014, (EU) 2015/340 ter izvedbeni uredbi (EU) 2017/373 (12) in (EU) 2021/664 spremeniti, da se uvedejo zahteve za sistem upravljanja informacijske varnosti, predpisane v tej uredbi, skupaj s sistemi upravljanja, določenimi v njej, ter da se določijo zahteve za pristojne organe glede nadzora nad tem, ali organizacije izvajajo navedene zahteve za upravljanje informacijske varnosti. |
(16) |
Da se organizacijam zagotovi dovolj časa za zagotovitev skladnosti z novimi pravili in postopki, bi se morala ta uredba začeti uporabljati tri leta po datumu začetka veljavnosti, razen za izvajalca navigacijskih služb zračnega prometa skupne evropske geostacionarne navigacijske storitve (EGNOS), opredeljenega v Izvedbeni uredbi Komisije (EU) 2017/373, za katerega bi se zaradi stalne varnostne akreditacije sistema in storitev EGNOS v skladu z Uredbo (EU) 2021/696 morala začeti uporabljati 1. januarja 2026. |
(17) |
Zahteve iz te uredbe temeljijo na Mnenju št. 03/2021 (13), ki ga je Agencija izdala v skladu s členom 75(2), točki (b) in (c), ter členom 76(1) Uredbe (EU) 2018/1139. |
(18) |
Zahteve iz te uredbe so skladne z mnenjem odbora za uporabo skupnih varnostnih predpisov na področju civilnega letalstva, ustanovljenega na podlagi člena 127 Uredbe (EU) 2018/1139 – |
SPREJELA NASLEDNJO UREDBO:
Člen 1
Predmet urejanja
Ta uredba določa zahteve, ki jih morajo izpolnjevati organizacije in pristojni organi, da:
(a) |
opredelijo in obvladujejo tveganja za informacijsko varnost, ki bi lahko vplivala na varnost v letalstvu in sisteme informacijske in komunikacijske tehnologije ter podatke, ki se uporabljajo za namene civilnega letalstva, |
(b) |
zaznajo informacijskovarnostne dogodke in opredelijo tiste, ki se štejejo za informacijskovarnostne incidente, ki bi lahko vplivali na varnost v letalstvu, |
(c) |
se na navedene informacijskovarnostne incidente odzovejo in jih sanirajo. |
Člen 2
Področje uporabe
1. Ta uredba se uporablja za naslednje organizacije:
(a) |
vzdrževalne organizacije, za katere velja Oddelek A Priloge II (del 145) k Uredbi (EU) št. 1321/2014, razen tistih, ki so vključene izključno v vzdrževanje zrakoplovov v skladu s Prilogo Vb (del ML) k Uredbi (EU) št. 1321/2014; |
(b) |
organizacije za vodenje stalne plovnosti (CAMO), za katere velja Oddelek A Priloge Vc (del CAMO) k Uredbi (EU) št. 1321/2014, razen tistih, ki so vključene izključno v vodenje stalne plovnosti zrakoplova v skladu s Prilogo Vb (del ML) k Uredbi (EU) št. 1321/2014; |
(c) |
letalske prevoznike, za katere velja Priloga III (del ORO) k Uredbi (EU) št. 965/2012, razen tistih, ki so vključeni izključno v upravljanje katerega koli od naslednjih zrakoplovov:
|
(d) |
odobrene organizacije za usposabljanje (ATO), za katere velja Priloga VII (del ORA) k Uredbi (EU) št. 1178/2011, razen tistih, ki so vključene izključno v dejavnosti usposabljanja za zrakoplov ELA2, kot je opredeljen v členu 1(2), točka (j), Uredbe (EU) št. 748/2012, ali so vključene izključno v teoretično usposabljanje; |
(e) |
zdravstvene centre za letalsko osebje, za katere velja Priloga VII (del ORA) k Uredbi (EU) št. 1178/2011; |
(f) |
operatorje naprav za simulacijo letenja (FSTD), za katere velja Priloga VII (del ORA) k Uredbi (EU) št. 1178/2011, razen tistih, ki so vključeni izključno v upravljanje naprav FSTD za zrakoplov ELA2, kot je opredeljen v členu 1(2), točka (j), Uredbe (EU) št. 748/2012; |
(g) |
organizacije za usposabljanje kontrolorjev zračnega prometa (ATCO TO) in zdravstvene centre za letalsko osebje za kontrolorje zračnega prometa, za katere velja Priloga III (del ATCO.OR) k Uredbi (EU) 2015/340; |
(h) |
organizacije, za katere velja Priloga III (del ATM/ANS.OR) k Izvedbeni uredbi (EU) 2017/373, razen naslednjih izvajalcev storitev:
|
(i) |
izvajalce služb U-space in enotne izvajalce skupnih informacijskih služb, za katere velja Izvedbena uredba (EU) 2021/664. |
2. Ta uredba se uporablja za pristojne organe, vključno z Agencijo Evropske unije za varnost v letalstvu (v nadaljnjem besedilu: Agencija), iz člena 6 te uredbe in člena 5 Delegirane uredbe Komisije (EU) 2022/1645 (14).
3. Ta uredba se uporablja tudi za pristojni organ, odgovoren za izdajo, podaljšanje, spremembo, začasno ukinitev ali preklic licenc za vzdrževanje zrakoplova v skladu s Prilogo III (del 66) k Uredbi (EU) št. 1321/2014.
4. Ta uredba ne posega v zahteve glede informacijske in kibernetske varnosti iz točke 1.7 Priloge k Izvedbeni uredbi (EU) 2015/1998 in člena 14 Direktive (EU) 2016/1148.
Člen 3
Opredelitev pojmov
V tej uredbi se uporabljajo naslednje opredelitve pojmov:
(1) |
„informacijska varnost“ pomeni ohranjanje zaupnosti, celovitosti, avtentičnosti in razpoložljivosti omrežij in informacijskih sistemov; |
(2) |
„informacijskovarnostni dogodek“ pomeni ugotovljen dogodek stanja sistema, storitve ali omrežja, ki kaže na morebitno kršitev politike informacijske varnosti ali neuspeh pri kontrolah informacijske varnosti ali na predhodno neznane razmere, ki so lahko pomembne za informacijsko varnost; |
(3) |
„incident“ pomeni vsak dogodek, ki dejansko negativno vpliva na varnost omrežij in informacijskih sistemov, kot so opredeljeni v členu 4(7) Direktive (EU) 2016/1148; |
(4) |
„tveganje za informacijsko varnost“ pomeni tveganje za organizacijske operacije civilnega letalstva, sredstva, posameznike in druge organizacije zaradi možnosti informacijskovarnostnega dogodka. Tveganja za informacijsko varnost so povezana z možnostjo, da bodo grožnje izkoristile ranljivosti informacijskega sredstva ali skupin informacijskih sredstev; |
(5) |
„grožnja“ pomeni morebitno kršitev informacijske varnosti, ki nastane zaradi subjekta, okoliščine, dejanja ali dogodka, ki bi lahko povzročil škodo; |
(6) |
„ranljivost“ pomeni hibo ali pomanjkljivost v sredstvu ali sistemu, postopkih, zasnovi, izvajanju ali ukrepih za informacijsko varnost, ki bi jih bilo mogoče izkoristiti in katerih posledica je kršitev politike informacijske varnosti. |
Člen 4
Zahteve za organizacije in pristojne organe
1. Organizacije iz člena 2(1) izpolnjujejo zahteve iz Priloge II (del IS.I.OR) k tej uredbi.
2. Pristojni organi iz člena 2(2) in (3) izpolnjujejo zahteve iz Priloge I (del IS.AR) k tej uredbi.
Člen 5
Zahteve, ki izhajajo iz druge zakonodaje Unije
1. Kadar organizacija iz člena 2(1) izpolnjuje varnostne zahteve, ki so določene v skladu s členom 14 Direktive (EU) 2016/1148 in so enakovredne zahtevam iz te uredbe, se skladnost z navedenimi varnostnimi zahtevami šteje za skladnost z zahtevami iz te uredbe.
2. Kadar je organizacija iz člena 2(1) operator ali subjekt iz nacionalnih programov varovanja v civilnem letalstvu držav članic, določenih v skladu s členom 10 Uredbe (ES) št. 300/2008 Evropskega parlamenta in Sveta (15), se zahteve glede kibernetske varnosti iz točke 1.7 Priloge k Izvedbeni uredbi (EU) 2015/1998 štejejo za enakovredne zahtevam iz te uredbe, razen kar zadeva točko IS.I.OR.230 Priloge II k tej uredbi, katere zahteve morajo biti izpolnjene.
3. Kadar je organizacija iz člena 2(1) izvajalec navigacijskih služb zračnega prometa skupne evropske geostacionarne navigacijske storitve (EGNOS) iz Uredbe (EU) 2021/696, se varnostne zahteve iz členov 33 do 43 naslova V navedene uredbe štejejo za enakovredne zahtevam iz te uredbe, razen kar zadeva točko IS.I.OR.230 Priloge II k tej uredbi, katere zahteve morajo biti izpolnjene.
4. Komisija lahko po posvetovanju z Agencijo in skupino za sodelovanje iz člena 11 Direktive (EU) 2016/1148 izda smernice za oceno enakovrednosti zahtev iz te uredbe in Direktive (EU) 2016/1148.
Člen 6
Pristojni organ
1. Brez poseganja v naloge, zaupane odboru za varnostno akreditacijo (SAB) iz člena 36 Uredbe (EU) 2021/696, je organ, pristojen za certificiranje in nadzor skladnosti s to uredbo, naslednji organ:
(a) |
v zvezi z organizacijami iz člena 2(1), točka (a), pristojni organ, imenovan v skladu s Prilogo II (del 145) k Uredbi (EU) št. 1321/2014; |
(b) |
v zvezi z organizacijami iz člena 2(1), točka (b), pristojni organ, imenovan v skladu s Prilogo Vc (del CAMO) k Uredbi (EU) št. 1321/2014; |
(c) |
v zvezi z organizacijami iz člena 2(1), točka (c), pristojni organ, imenovan v skladu s Prilogo III (del ORO) k Uredbi (EU) št. 965/2012; |
(d) |
v zvezi z organizacijami iz člena 2(1), točke (d) do (f), pristojni organ, imenovan v skladu s Prilogo VII (del ORA) k Uredbi (EU) št. 1178/2011; |
(e) |
v zvezi z organizacijami iz člena 2(1), točka (g), pristojni organ, imenovan v skladu s členom 6(2) Uredbe (EU) 2015/340; |
(f) |
v zvezi z organizacijami iz člena 2(1), točka (h), pristojni organ, imenovan v skladu s členom 4(1) Izvedbene uredbe (EU) 2017/373; |
(g) |
v zvezi z organizacijami iz člena 2(1), točka (i), pristojni organ, imenovan v skladu s členom 14(1) ali členom 14(2), kot je ustrezno, Izvedbene uredbe (EU) 2021/664. |
2. Države članice lahko za namene te uredbe imenujejo neodvisen in avtonomen subjekt za izpolnjevanje dodeljene vloge in obveznosti pristojnih organov iz odstavka 1. V tem primeru se med navedenim subjektom in pristojnimi organi, kot je navedeno v odstavku 1, vzpostavijo usklajevalni ukrepi, da se zagotovi učinkovit nadzor nad vsemi zahtevami, ki jih mora organizacija izpolnjevati.
3. Agencija ob popolnem upoštevanju veljavnih pravil o zaupnosti, varstvu osebnih podatkov in varovanju tajnih informacij sodeluje z Agencijo Evropske unije za vesoljski program (EUSPA) in odborom SAB iz člena 36 Uredbe (EU) 2021/696, da se zagotovi učinkovit nadzor nad zahtevami, ki se uporabljajo za izvajalca navigacijskih služb zračnega prometa storitve EGNOS.
Člen 7
Predložitev ustreznih informacij pristojnim organom na področju varnosti omrežij in informacijskih sistemov
Pristojni organi iz te uredbe enotno kontaktno točko, določeno v skladu s členom 8 Direktive (EU) 2016/1148, nemudoma obvestijo o vseh ustreznih informacijah, vključenih v obvestila, ki so jih v skladu s točko IS.I.OR.230 Priloge II k tej uredbi in točko IS.D.OR.230 Priloge I k Delegirani uredbi (EU) 2022/1645 (Delegirana uredba) predložili izvajalci bistvenih storitev, določeni v skladu s členom 5 Direktive (EU) 2016/1148.
Člen 8
Sprememba Uredbe (EU) št. 1178/2011
Prilogi VI (del ARA) in VII (del ORA) k Uredbi (EU) št. 1178/2011 se spremenita v skladu s Prilogo III k tej uredbi.
Člen 9
Sprememba Uredbe (EU) št. 748/2012
Priloga I (del 21) k Uredbi (EU) št. 748/2012 se spremeni v skladu s Prilogo IV k tej uredbi.
Člen 10
Sprememba Uredbe (EU) št. 965/2012
Prilogi II (del ARO) in III (del ORO) k Uredbi (EU) št. 965/2012 se spremenita v skladu s Prilogo V k tej uredbi.
Člen 11
Sprememba Uredbe (EU) št. 139/2014
Priloga II (del ADR.AR) k Uredbi (EU) št. 139/2014 se spremeni v skladu s Prilogo VI k tej uredbi.
Člen 12
Sprememba Uredbe (EU) št. 1321/2014
Priloge II (del 145), III (del 66) in Vc (del CAMO) k Uredbi (EU) št. 1321/2014 se spremenijo v skladu s Prilogo VII k tej uredbi.
Člen 13
Sprememba Uredbe (EU) 2015/340
Prilogi II (del ATCO.AR) in III (del ATCO.OR) k Uredbi (EU) 2015/340 se spremenita v skladu s Prilogo VIII k tej uredbi.
Člen 14
Sprememba Izvedbene uredbe (EU) 2017/373
Prilogi II (del ATM/ANS.AR) in III (del ATM/ANS.OR) k Izvedbeni uredbi (EU) 2017/373 se spremenita v skladu s Prilogo IX k tej uredbi.
Člen 15
Sprememba Izvedbene uredbe (EU) 2021/664
Izvedbena uredba (EU) 2021/664 se spremeni:
(1) |
v členu 15(1) se točka (f) nadomesti z naslednjim:
|
(2) |
v členu 18 se doda naslednja točka l:
|
Člen 16
Ta uredba začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.
Uporabljati se začne 22. februarja 2026.
Vendar se, kar zadeva primer izvajalca navigacijskih služb zračnega prometa storitve EGNOS, za katerega velja Izvedbena uredba (EU) 2017/373, začne uporabljati 1. januarja 2026.
Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.
V Bruslju, 27. oktobra 2022
Za Komisijo
predsednica
Ursula VON DER LEYEN
(1) UL L 212, 22.8.2018, str. 1.
(2) Uredba Komisije (EU) št. 748/2012 z dne 3. avgusta 2012 o določitvi izvedbenih določb za certificiranje zrakoplovov in sorodnih proizvodov, delov in naprav glede plovnosti in okoljske ustreznosti ter potrjevanje projektivnih in proizvodnih organizacij (UL L 224, 21.8.2012, str. 1).
(3) Uredba Komisije (EU) št. 1321/2014 z dne 26. novembra 2014 o stalni plovnosti zrakoplovov in letalskih izdelkov, delov in naprav ter o potrjevanju organizacij in osebja, ki se ukvarjajo s temi nalogami (UL L 362, 17.12.2014, str. 1).
(4) Uredba Komisije (EU) št. 965/2012 z dne 5. oktobra 2012 o tehničnih zahtevah in upravnih postopkih za letalske operacije v skladu z Uredbo (ES) št. 216/2008 Evropskega parlamenta in Sveta (UL L 296, 25.10.2012, str. 1).
(5) Uredba Komisije (EU) št. 1178/2011 z dne 3. novembra 2011 o tehničnih zahtevah in upravnih postopkih za letalsko osebje v civilnem letalstvu v skladu z Uredbo (ES) št. 216/2008 Evropskega parlamenta in Sveta (UL L 311, 25.11.2011, str. 1).
(6) Uredba Komisije (EU) 2015/340 z dne 20. februarja 2015 o tehničnih zahtevah in upravnih postopkih za licence in certifikate kontrolorjev zračnega prometa v skladu z Uredbo (ES) št. 216/2008 Evropskega parlamenta in Sveta, o spremembi Izvedbene uredbe Komisije (EU) št. 923/2012 ter razveljavitvi Uredbe Komisije (EU) št. 805/2011 (UL L 63, 6.3.2015, str. 1).
(7) Uredba Komisije (EU) št. 139/2014 z dne 12. februarja 2014 o določitvi zahtev in upravnih postopkov v zvezi z aerodromi v skladu z Uredbo (ES) št. 216/2008 Evropskega parlamenta in Sveta (UL L 44, 14.2.2014, str. 1).
(8) Izvedbena uredba Komisije (EU) 2021/664 z dne 22. aprila 2021 o regulativnem okviru za U-space (UL L 139, 23.4.2021, str. 161).
(9) Izvedbena uredba Komisije (EU) 2015/1998 z dne 5. novembra 2015 o določitvi podrobnih ukrepov za izvajanje skupnih osnovnih standardov za varovanje letalstva (UL L 299, 14.11.2015, str. 1).
(10) Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta z dne 6. julija 2016 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (UL L 194, 19.7.2016, str. 1).
(11) Uredba (EU) 2021/696 Evropskega parlamenta in Sveta z dne 28. aprila 2021 o vzpostavitvi Vesoljskega programa Unije in ustanovitvi Agencije Evropske unije za vesoljski program ter razveljavitvi uredb (EU) št. 912/2010, (EU) št. 1285/2013 in (EU) št. 377/2014 in Sklepa št. 541/2014/EU (UL L 170, 12.5.2021, str. 69).
(12) Izvedbena uredba Komisije (EU) 2017/373 z dne 1. marca 2017 o skupnih zahtevah za izvajalce storitev upravljanja zračnega prometa/izvajanja navigacijskih služb zračnega prometa in drugih funkcij omrežja za upravljanje zračnega prometa ter njihov nadzor, razveljavitvi Uredbe (ES) št. 482/2008, izvedbenih uredb (EU) št. 1034/2011, (EU) št. 1035/2011 in (EU) 2016/1377 ter spremembi Uredbe (EU) št. 677/2011 (UL L 62, 8.3.2017, str. 1).
(13) https://www.easa.europa.eu/en/document-library/opinions/opinion-032021
(14) Delegirana uredba Komisije (EU) 2022/1645 z dne 14. julija 2022 o določitvi pravil za uporabo Uredbe (EU) 2018/1139 Evropskega parlamenta in Sveta glede zahtev za obvladovanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu, za organizacije, zajete v uredbah Komisije (EU) št. 748/2012 in (EU) št. 139/2014, ter o spremembi uredb Komisije (EU) št. 748/2012 in (EU) št. 139/2014 (UL L 248, 26.9.2022, str. 18).
(15) Uredba (ES) št. 300/2008 Evropskega parlamenta in Sveta z dne 11. marca 2008 o skupnih pravilih na področju varovanja civilnega letalstva in o razveljavitvi Uredbe (ES) št. 2320/2002 (UL L 97, 9.4.2008, str. 72).
PRILOGA I
INFORMACIJSKA VARNOST – ZAHTEVE ZA ORGANE
[DEL IS.AR]
IS.AR.100 |
Področje uporabe |
IS.AR.200 |
Sistem upravljanja informacijske varnosti (ISMS) |
IS.AR.205 |
Ocena tveganja za informacijsko varnost |
IS.AR.210 |
Obravnava tveganja za informacijsko varnost |
IS.AR.215 |
Informacijskovarnostni incidenti – zaznavanje, odzivanje in sanacija |
IS.AR.220 |
Naročanje dejavnosti upravljanja informacijske varnosti |
IS.AR.225 |
Zahteve za osebje |
IS.AR.230 |
Vodenje evidenc |
IS.AR.235 |
Stalno izboljševanje |
IS.AR.100 Področje uporabe
Ta del določa zahteve za upravljanje, ki jih morajo izpolnjevati pristojni organi iz člena 2(2) te uredbe.
Zahteve, ki jih morajo navedeni pristojni organi izpolnjevati za izvajanje dejavnosti certificiranja, nadzora in izvrševanja, so navedene v uredbah iz člena 2(1) te uredbe in člena 2 Delegirane uredbe (EU) 2022/1645.
IS.AR.200 Sistem upravljanja informacijske varnosti (ISMS)
(a) |
Za doseganje ciljev iz člena 1 pristojni organ vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti (ISMS), ki zagotavlja, da pristojni organ:
|
(b) |
Za stalno izpolnjevanje zahtev iz člena 1 pristojni organ izvaja postopek stalnega izboljševanja v skladu s točko IS.AR.235. |
(c) |
Pristojni organ dokumentira vse ključne procese, postopke, vloge in obveznosti, potrebne za skladnost s točko IS.AR.200(a), ter vzpostavi proces za spremembo te dokumentacije. |
(d) |
Procesi, postopki, vloge in obveznosti, ki jih pristojni organ določi za skladnost s točko IS.AR.200(a), ustrezajo naravi in kompleksnosti njegovih dejavnosti na podlagi ocene tveganj za informacijsko varnost, povezanih z navedenimi dejavnostmi, ter so lahko vključeni v druge obstoječe sisteme upravljanja, ki jih pristojni organ že izvaja. |
IS.AR.205 Ocena tveganja za informacijsko varnost
(a) |
Pristojni organ opredeli vse elemente svoje organizacije, ki bi lahko bili izpostavljeni tveganjem za informacijsko varnost. To vključuje:
|
(b) |
Pristojni organ opredeli vmesnike, ki jih ima njegova organizacija z drugimi organizacijami in ki bi lahko povzročili vzajemno izpostavljenost tveganjem za informacijsko varnost. |
(c) |
Za elemente in vmesnike iz točk (a) in (b) pristojni organ opredeli tveganja za informacijsko varnost, ki bi lahko vplivala na varnost v letalstvu. Pristojni organ za vsako ugotovljeno tveganje:
Pri vnaprej določeni klasifikaciji iz točke 1 se upoštevata možnost pojava scenarija grožnje in resnost njegovih posledic za varnost. Na podlagi navedene klasifikacije in ob upoštevanju, ali ima pristojni organ strukturiran in ponovljiv postopek upravljanja tveganja za operacije, je pristojni organ sposoben ugotoviti, ali je tveganje sprejemljivo ali ga je treba obravnavati v skladu s točko IS.AR.210. Za lažjo medsebojno primerljivost ocen tveganj se pri določanju stopnje tveganja v skladu s točko 1 upoštevajo ustrezne informacije, pridobljene v sodelovanju z organizacijami iz točke (b). |
(d) |
Pristojni organ pregleda in posodobi oceno tveganja, opravljeno v skladu s točkami (a), (b) in (c), v katerem koli od naslednjih primerov:
|
IS.AR.210 Obravnava tveganja za informacijsko varnost
(a) |
Pristojni organ pripravi ukrepe za obravnavanje nesprejemljivih tveganj, ugotovljenih v skladu s točko IS.AR.205, jih pravočasno izvede in preveri njihovo nadaljnjo učinkovitost. Navedeni ukrepi pristojnemu organu omogočajo:
Navedeni ukrepi ne uvajajo novih morebitnih nesprejemljivih tveganj za varnost v letalstvu. |
(b) |
Oseba iz točke IS.AR.225(a) ter drugo zadevno osebje pristojnega organa se obvestijo o rezultatu ocene tveganja, izvedene v skladu s točko IS.AR.205, ustreznih scenarijih grožnje in ukrepih, ki jih je treba izvesti. Pristojni organ obvesti tudi organizacije, s katerimi ima vmesnik v skladu s točko IS.AR.205(b), o kakršnem koli tveganju, skupnem pristojnemu organu in organizaciji. |
IS.AR.215 Informacijskovarnostni incidenti – zaznavanje, odzivanje in sanacija
(a) |
Pristojni organ na podlagi rezultata ocene tveganja, izvedene v skladu s točko IS.AR.205, in rezultata obravnave tveganja, izvedene v skladu s točko IS.AR.210, izvaja ukrepe za zaznavanje dogodkov, ki kažejo morebitno uresničitev nesprejemljivih tveganj in ki bi lahko vplivali na varnost v letalstvu. Navedeni ukrepi za zaznavanje pristojnemu organu omogočajo, da:
|
(b) |
Pristojni organ izvaja ukrepe za odziv na kakršne koli dogodke, opredeljene v skladu s točko (a), ki so prerasli v informacijskovarnostni incident ali bi vanj lahko prerasli. Navedeni ukrepi za odzivanje pristojnemu organu omogočajo, da:
|
(c) |
Pristojni organ izvaja ukrepe za saniranje informacijskovarnostnih incidentov, po potrebi vključno z nujnimi ukrepi. Navedeni sanacijski ukrepi pristojnemu organu omogočajo, da:
|
IS.AR.220 Naročanje dejavnosti upravljanja informacijske varnosti
Pristojni organ zagotovi, da pri oddaji naročila v zvezi s katerim koli delom dejavnosti iz točke IS.AR.200 drugim organizacijam pogodbene dejavnosti izpolnjujejo zahteve iz te uredbe in da organizacija, ki je dejavnost prevzela v izvajanje, dela pod njegovim nadzorom. Pristojni organ zagotovi, da se tveganja, povezana s pogodbenimi dejavnostmi, ustrezno obvladujejo.
IS.AR.225 Zahteve za osebje
Pristojni organ:
(a) |
ima na voljo osebo, ki ima pooblastilo, da vzpostavi ter vzdržuje organizacijske strukture, politike, procese in postopke, potrebne za izvajanje te uredbe. Ta oseba:
|
(b) |
ima vzpostavljen postopek, s katerim zagotovi, da ima na delovnem mestu dovolj osebja za izvajanje dejavnosti iz te priloge; |
(c) |
ima vzpostavljen postopek za zagotovitev, da je osebje iz točke (b) ustrezno usposobljeno za opravljanje svojih nalog; |
(d) |
ima vzpostavljen postopek za zagotovitev, da osebje priznava odgovornosti, povezane z dodeljenimi vlogami in nalogami; |
(e) |
zagotovi, da sta identiteta in zanesljivost osebja, ki ima dostop do informacijskih sistemov in podatkov, za katere veljajo zahteve iz te uredbe, ustrezno določeni. |
IS.AR.230 Vodenje evidence
(a) |
Pristojni organ vodi evidenco svojih dejavnosti upravljanja informacijske varnosti.
|
(b) |
Pristojni organ vodi evidenco usposobljenosti in izkušenj svojega osebja, vključenega v dejavnosti upravljanja informacijske varnosti.
|
(c) |
Oblika evidenc se opredeli v postopkih pristojnega organa. |
(d) |
Evidence se hranijo na način, ki zagotavlja zaščito pred škodo, spremembo in tatvino, pri čemer se informacije po potrebi opredelijo v skladu s stopnjo klasifikacije varnosti. Pristojni organ zagotovi, da se evidence hranijo s sredstvi za zagotovitev celovitosti, pristnosti in pooblaščenega dostopa. |
IS.AR.235 Stalno izboljševanje
(a) |
Pristojni organ z ustreznimi kazalniki uspešnosti oceni učinkovitost in zrelost svojega sistema ISMS. Ocena se opravi na podlagi koledarja, ki ga pristojni organ vnaprej določi, ali po informacijskovarnostnem incidentu. |
(b) |
Če se po oceni, opravljeni v skladu s točko (a), ugotovijo pomanjkljivosti, pristojni organ sprejme potrebne ukrepe za izboljšanje, s katerimi zagotovi, da ISMS še naprej izpolnjuje veljavne zahteve in ohranja tveganja za informacijsko varnost na sprejemljivi ravni. Poleg tega pristojni organ ponovno oceni tiste elemente sistema ISMS, na katere so vplivali sprejeti ukrepi. |
PRILOGA II
INFORMACIJSKA VARNOST – ZAHTEVE ZA ORGANIZACIJE
[DEL IS.I.OR]
IS.I.OR.100 |
Področje uporabe |
IS.I.OR.200 |
Sistem upravljanja informacijske varnosti (ISMS) |
IS.I.OR.205 |
Ocena tveganja za informacijsko varnost |
IS.I.OR.210 |
Obravnava tveganja za informacijsko varnost |
IS.I.OR.215 |
Sistem notranjega poročanja o informacijski varnosti |
IS.I.OR.220 |
Informacijskovarnostni incidenti – zaznavanje, odzivanje in sanacija |
IS.I.OR.225 |
Odziv na ugotovitve, ki jih je sporočil pristojni organ |
IS.I.OR.230 |
Sistem zunanjega poročanja o informacijski varnosti |
IS.I.OR.235 |
Naročanje dejavnosti upravljanja informacijske varnosti |
IS.I.OR.240 |
Zahteve za osebje |
IS.I.OR.245 |
Vodenje evidenc |
IS.I.OR.250 |
Priročnik za upravljanje informacijske varnosti (ISMM) |
IS.I.OR.255 |
Spremembe sistema upravljanja informacijske varnosti |
IS.I.OR.260 |
Stalno izboljševanje |
IS.I.OR.100 Področje uporabe
Ta del določa zahteve, ki jih morajo izpolnjevati organizacije iz člena 2(1) te uredbe.
IS.I.OR.200 Sistem upravljanja informacijske varnosti (ISMS)
(a) |
Za doseganje ciljev iz člena 1 organizacija vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti (ISMS), ki zagotavlja, da organizacija:
|
(b) |
Za stalno izpolnjevanje zahtev iz člena 1 organizacija izvaja postopek stalnega izboljševanja v skladu s točko IS.I.OR.260. |
(c) |
Organizacija v skladu s točko IS.I.OR.250 dokumentira vse ključne procese, postopke, vloge in obveznosti, potrebne za skladnost s točko IS.I.OR.200(a), ter vzpostavi proces za spremembo navedene dokumentacije. Spremembe navedenih procesov, postopkov, vlog in obveznosti se upravljajo v skladu s točko IS.I.OR.255. |
(d) |
Procesi, postopki, vloge in obveznosti, ki jih organizacija določi za skladnost s točko IS.I.OR.200(a), ustrezajo naravi in kompleksnosti njenih dejavnosti na podlagi ocene tveganj za informacijsko varnost, povezanih z navedenimi dejavnostmi, ter so lahko vključeni v druge obstoječe sisteme upravljanja, ki jih organizacija že izvaja. |
(e) |
Brez poseganja v obveznost izpolnjevanja zahtev glede poročanja iz Uredbe (EU) št. 376/2014 in v zahteve iz točke IS.I.OR.200(a)(13) lahko pristojni organ organizaciji odobri, da ne izvaja zahtev iz točk (a) do (d) in povezanih zahtev iz točk IS.I.OR.205 do IS.I.OR.260, če navedenemu organu zadovoljivo dokaže, da njene dejavnosti, objekti in viri ter storitve, ki jih izvaja, zagotavlja, prejema in vzdržuje, niti zase niti za druge organizacije ne pomenijo nobenega tveganja za informacijsko varnost, ki bi lahko vplivalo na varnost v letalstvu. Odobritev temelji na dokumentirani oceni tveganja za informacijsko varnost, ki jo izvede organizacija ali tretja oseba v skladu s točko IS.I.OR.205 ter pregleda in odobri njen pristojni organ. Nadaljnjo veljavnost navedene odobritve bo pregledal pristojni organ po veljavnem ciklu presoje nadzora in kadar se bodo izvedle spremembe na področju dela organizacije. |
IS.I.OR.205 Ocena tveganja za informacijsko varnost
(a) |
Organizacija opredeli vse svoje elemente, ki bi lahko bili izpostavljeni tveganjem za informacijsko varnost. To vključuje:
|
(b) |
Organizacija opredeli vmesnike, ki jih ima z drugimi organizacijami in ki bi lahko povzročili vzajemno izpostavljenost tveganjem za informacijsko varnost. |
(c) |
V zvezi z elementi in vmesniki iz točk (a) in (b) organizacija opredeli tveganja za informacijsko varnost, ki bi lahko vplivala na varnost v letalstvu. Organizacija za vsako ugotovljeno tveganje:
Pri vnaprej določeni klasifikaciji iz točke 1 se upoštevata možnost pojava scenarija grožnje in resnost njegovih posledic za varnost. Na podlagi navedene klasifikacije ter ob upoštevanju, ali ima organizacija strukturiran in ponovljiv postopek upravljanja tveganja za operacije, je organizacija sposobna ugotoviti, ali je tveganje sprejemljivo ali ga je treba obravnavati v skladu s točko IS.I.OR.210. Za lažjo medsebojno primerljivost ocen tveganj se pri določanju stopnje tveganja v skladu s točko 1 upoštevajo ustrezne informacije, pridobljene v sodelovanju z organizacijami iz točke (b). |
(d) |
Organizacija pregleda in posodobi oceno tveganja, opravljeno v skladu s točkama (a) in (b) ter po potrebi točkama (c) ali (e), v katerem koli od naslednjih primerov:
|
(e) |
Z odstopanjem od točke (c) organizacije, ki morajo izpolnjevati zahteve iz poddela C Priloge III (del ATM/ANS.OR) k Izvedbeni Uredbi (EU) 2017/373, nadomestijo analizo vpliva na varnost v letalstvu z analizo vpliva na njihove storitve v skladu z oceno varnosti iz točke ATM/ANS.OR.C.005. Ocena varnosti je na voljo izvajalcem služb zračnega prometa, za katere izvajajo storitve, navedeni izvajalci služb zračnega prometa pa so odgovorni za ocenjevanje vpliva na varnost v letalstvu. |
IS.I.OR.210 Obravnava tveganja za informacijsko varnost
(a) |
Organizacija pripravi ukrepe za obravnavanje nesprejemljivih tveganj, ugotovljenih v skladu s točko IS.I.OR.205, jih pravočasno izvede in preveri njihovo nadaljnjo učinkovitost. Navedeni ukrepi organizaciji omogočajo:
Navedeni ukrepi ne uvajajo novih morebitnih nesprejemljivih tveganj za varnost v letalstvu. |
(b) |
Oseba iz točke IS.I.OR.240(a) in (b) ter drugo zadevno osebje organizacije se obvestijo o rezultatu ocene tveganja, izvedene v skladu s točko IS.I.OR.205, ustreznih scenarijih grožnje in ukrepih, ki jih je treba izvesti. Organizacija obvesti tudi organizacije, s katerimi ima vmesnik v skladu s točko IS.I.OR.205(b), o kakršnem koli tveganju, skupnem obema organizacijama. |
IS.I.OR.215 Sistem notranjega poročanja o informacijski varnosti
(a) |
Organizacija vzpostavi notranji sistem poročanja, da se omogoči zbiranje in ocenjevanje informacijskovarnostnih dogodkov, vključno s tistimi, o katerih je treba poročati v skladu s točko IS.I.OR.230. |
(b) |
Navedena shema in postopek iz točke IS.I.OR.220 organizaciji omogočata, da:
|
(c) |
Vsaka organizacija, ki je prevzela v izvajanje dejavnost in lahko organizacijo izpostavi tveganjem za informacijsko varnost, ki bi lahko vplivala na varnost v letalstvu, mora organizaciji poročati o informacijskovarnostnih dogodkih. Navedena poročila se predložijo po postopkih, določenih v posebnih pogodbenih dogovorih, in se ocenijo v skladu s točko (b). |
(d) |
Organizacija pri preiskavah sodeluje s katero koli drugo organizacijo, ki znatno prispeva k informacijski varnosti lastnih dejavnosti. |
(e) |
Organizacija lahko navedeni sistem poročanja vključi v druge sisteme poročanja, ki jih je že uvedla. |
IS.I.OR.220 Informacijskovarnostni incidenti – zaznavanje, odzivanje in sanacija
(a) |
Organizacija na podlagi rezultata ocene tveganja, izvedene v skladu s točko IS.I.OR.205, in rezultata obravnave tveganja, izvedene v skladu s točko IS.I.OR.210, izvaja ukrepe za zaznavanje incidentov in ranljivosti, ki kažejo morebitno uresničitev nesprejemljivih tveganj in ki bi lahko vplivali na varnost v letalstvu. Navedeni ukrepi za zaznavanje organizaciji omogočajo, da:
|
(b) |
Organizacija izvaja ukrepe za odziv na kakršne koli dogodke, opredeljene v skladu s točko (a), ki so prerasli v informacijskovarnostni incident ali bi vanj lahko prerasli. Navedeni ukrepi za odzivanje organizaciji omogočajo, da:
|
(c) |
Organizacija izvaja ukrepe za saniranje informacijskovarnostnih incidentov, po potrebi vključno z nujnimi ukrepi. Navedeni sanacijski ukrepi organizaciji omogočajo, da:
|
IS.I.OR.225 Odziv na ugotovitve, ki jih je sporočil pristojni organ
(a) |
Organizacija po prejemu obvestila o ugotovitvah, ki ga predloži pristojni organ:
|
(b) |
Ukrepi iz točke (a) se izvedejo v roku, dogovorjenem s pristojnim organom. |
IS.I.OR.230 Sistem zunanjega poročanja o informacijski varnosti
(a) |
Organizacija izvaja sistem poročanja o informacijski varnosti, ki izpolnjuje zahteve iz Uredbe (EU) št. 376/2014 ter njenih delegiranih in izvedbenih aktov, če se navedena uredba uporablja za organizacijo. |
(b) |
Brez poseganja v obveznosti iz Uredbe (EU) št. 376/2014 organizacija zagotovi, da se o vsakem informacijskovarnostnem incidentu ali ranljivosti, ki lahko pomeni znatno tveganje za varnost v letalstvu, poroča njenemu pristojnemu organu. Poleg tega:
|
(c) |
Organizacija poroča o pogojih iz točke (b), kot sledi:
|
IS.I.OR.235 Naročanje dejavnosti upravljanja informacijske varnosti
(a) |
Organizacija zagotovi, da pri oddaji naročila v zvezi s katerim koli delom dejavnosti iz točke IS.I.OR.200 drugim organizacijam pogodbene dejavnosti izpolnjujejo zahteve iz te uredbe in da organizacija, ki je dejavnost prevzela v izvajanje, dela pod njenim nadzorom. Organizacija zagotovi, da se tveganja, povezana s pogodbenimi dejavnostmi, ustrezno obvladujejo. |
(b) |
Organizacija zagotovi, da pristojni organ na zahtevo lahko pridobi dostop do organizacije, ki je dejavnost prevzela v izvajanje, da preveri stalno skladnost z ustreznimi zahtevami iz te uredbe. |
IS.I.OR.240 Zahteve za osebje
(a) |
Odgovorni vodja organizacije, imenovan v skladu z uredbami (EU) št. 1321/2014, (EU) št. 965/2012, (EU) št. 1178/2011, (EU) 2015/340, Izvedbeno uredbo (EU) 2017/373 ali Izvedbeno uredbo (EU) 2021/664, kot se uporablja, iz člena 2(1) te uredbe, ima pooblastilo podjetja, da zagotovi financiranje in izvajanje vseh dejavnosti, ki jih zahteva ta uredba. Ta oseba:
|
(b) |
Odgovorni vodja imenuje osebo ali skupino oseb za zagotovitev, da organizacija izpolnjuje zahteve iz te uredbe, in opredeli obseg njihovih pooblastil. Navedena oseba ali skupina oseb poroča neposredno odgovornemu vodji ter ima ustrezno znanje, izobrazbo in izkušnje za izvajanje svojih obveznosti. V postopkih se določi, kdo nadomešča neko osebo v primeru njene daljše odsotnosti. |
(c) |
Odgovorni vodja imenuje osebo ali skupino oseb z obveznostjo za upravljanje funkcije spremljanja skladnosti iz točke IS.I.OR.200(a)(12). |
(d) |
Kadar organizacija deli organizacijske strukture, politike, procese in postopke za informacijsko varnost z drugimi organizacijami ali področji svoje organizacije, ki niso del odobritve ali izjave, lahko odgovorni vodja prenese svoje dejavnosti na skupno odgovorno osebo. V takem primeru se določijo usklajevalni ukrepi med odgovornim vodjo organizacije in skupno odgovorno osebo, da se zagotovi ustrezna vključitev upravljanja informacijske varnosti v organizacijo. |
(e) |
Odgovorni vodja ali skupna odgovorna oseba iz točke (d) ima pooblastilo podjetja za vzpostavitev in vzdrževanje organizacijskih struktur, politik, procesov in postopkov, potrebnih za izvajanje točke IS.I.OR.200. |
(f) |
Organizacija ima vzpostavljen postopek, s katerim zagotovi, da ima na delovnem mestu dovolj osebja za izvajanje dejavnosti iz te priloge. |
(g) |
Organizacija ima vzpostavljen postopek za zagotovitev, da je osebje iz točke (f) ustrezno usposobljeno za opravljanje svojih nalog. |
(h) |
Organizacija ima vzpostavljen postopek za zagotovitev, da osebje priznava odgovornosti, povezane z dodeljenimi vlogami in nalogami. |
(i) |
Organizacija zagotovi, da sta identiteta in zanesljivost osebja, ki ima dostop do informacijskih sistemov in podatkov, za katere veljajo zahteve iz te uredbe, ustrezno določeni. |
IS.I.OR.245 Vodenje evidence
(a) |
Organizacija vodi evidenco svojih dejavnosti upravljanja informacijske varnosti.
|
(b) |
Organizacija vodi evidenco usposobljenosti in izkušenj svojega osebja, vključenega v dejavnosti upravljanja informacijske varnosti.
|
(c) |
Oblika evidenc se opredeli v postopkih organizacije. |
(d) |
Evidence se hranijo na način, ki zagotavlja zaščito pred škodo, spremembo in tatvino, pri čemer se informacije po potrebi opredelijo v skladu s stopnjo klasifikacije varnosti. Organizacija zagotovi, da se evidence hranijo s sredstvi za zagotovitev celovitosti, pristnosti in pooblaščenega dostopa. |
IS.I.OR.250 Priročnik za upravljanje informacijske varnosti (ISMM)
(a) |
Organizacija da pristojnemu organu na voljo priročnik za upravljanje informacijske varnosti (ISMM) ter, kadar je ustrezno, vse pripadajoče priročnike in postopke, na katere se sklicuje, z naslednjo vsebino:
|
(b) |
Prvo izdajo ISMM odobri pristojni organ in obdrži njeno kopijo. ISMM se po potrebi spremeni, da ostaja ažuren opis sistema ISMS organizacije. Pristojnemu organu se predloži kopija vseh sprememb ISMM. |
(c) |
Spremembe ISMM se upravljajo po postopku, ki ga določi organizacija. Vse spremembe, ki niso vključene v področje uporabe tega postopka, in vse spremembe, povezane s spremembami, navedenimi v točki IS.I.OR.255(b), odobri pristojni organ. |
(d) |
Organizacija lahko ISMM poveže z drugimi priročniki za upravljanje, ki jih ima na voljo, če obstaja jasno navzkrižno sklicevanje, ki kaže, kateri deli priročnika za upravljanje ustrezajo različnim zahtevam iz te priloge. |
IS.I.OR.255 Spremembe sistema upravljanja informacijske varnosti
(a) |
Spremembe sistema ISMS se lahko upravljajo in sporočijo pristojnemu organu s postopkom, ki ga razvije organizacija. Ta postopek odobri pristojni organ. |
(b) |
V zvezi s spremembami sistema ISMS, ki niso zajete v postopku iz točke (a), organizacija zaprosi za odobritev pristojnega organa in jo pridobi. V zvezi z navedenimi spremembami:
|
IS.I.OR.260 Stalno izboljševanje
(a) |
Organizacija z ustreznimi kazalniki uspešnosti oceni učinkovitost in zrelost sistema ISMS. Ta ocena se izvede na podlagi koledarja, ki ga organizacija vnaprej določi, ali po informacijskovarnostnem incidentu. |
(b) |
Če se po oceni, opravljeni v skladu s točko (a), ugotovijo pomanjkljivosti, organizacija sprejme potrebne ukrepe za izboljšanje, s katerimi zagotovi, da ISMS še naprej izpolnjuje veljavne zahteve in tveganja za informacijsko varnost ohranja na sprejemljivi ravni. Poleg tega organizacija ponovno oceni tiste elemente sistema ISMS, na katere so vplivali sprejeti ukrepi. |
PRILOGA III
Prilogi VI (del ARA) in VII (del ORA) k Uredbi (EU) št. 1178/2011 se spremenita na naslednji način:
(1) |
Priloga VI (del ARA) se spremeni:
|
(2) |
Priloga VII (del ORA) se spremeni: za točko ORA.GEN.200 se vstavi naslednja točka ORA.GEN.200A: „ORA.GEN.200A Sistem upravljanja informacijske varnosti Organizacija poleg sistema upravljanja iz točke ORA.GEN.200 vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti v skladu z Izvedbeno uredbo (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“. |
PRILOGA IV
Priloga I (del 21) k Uredbi (EU) št. 748/2012 se spremeni na naslednji način:
(1) |
kazalo se spremeni:
|
(2) |
v točki 21.B.15 se doda naslednja točka (c):
|
(3) |
za točko 21.B.20 se vstavi naslednja točka 21.B.20A: „21.B.20A Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu
|
(4) |
v točki 21.B.25 se doda naslednja točka (e):
|
(5) |
točka 21.B.30 se spremeni:
|
(6) |
v točki 21.B.221 se doda naslednja točka (g):
|
(7) |
za točko 21.B.240 se vstavi naslednja točka 21.B.240A: „21.B.240A Spremembe sistema upravljanja informacijske varnosti
|
(8) |
v točki 21.B.431 se doda naslednja točka (d):
|
(9) |
za točko 21.B.435 se vstavi naslednja točka 21.B.435A: „21.B.435A Spremembe sistema upravljanja informacijske varnosti
|
PRILOGA V
Prilogi II (del ARO) in III (del ORO) k Uredbi (EU) št. 965/2012 se spremenita na naslednji način:
(1) |
Priloga II (del ARO) se spremeni:
|
(2) |
Priloga III (del ORO) se spremeni: za točko ORO.GEN.200 se vstavi naslednja točka ORO.GEN.200A: „ORO.GEN.200A Sistem upravljanja informacijske varnosti Operator poleg sistema upravljanja iz točke ORO.GEN.200 vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti v skladu z Izvedbeno uredbo (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“. |
PRILOGA VI
Priloga II (del ADR.AR) k Uredbi (EU) št. 139/2014 se spremeni na naslednji način:
(1) |
v točki ADR.AR.A.025 se doda naslednja točka (c):
|
(2) |
za točko ADR.AR.A.030 se vstavi naslednja točka ADR.AR.A.030A: „ADR.AR.A.030A Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu
|
(3) |
v točki ADR.AR.B.005 se doda naslednja točka (d):
|
(4) |
točka ADR.AR.B.010 se spremeni:
|
(5) |
v točki ADR.AR.C.005 se doda naslednja točka (f):
|
(6) |
za točko ADR.AR.C.040 se vstavi točka ADR.AR.C.040A: „ADR.AR.C.040A Spremembe sistema upravljanja informacijske varnosti
|
PRILOGA VII
Priloge II (del 145), III (del 66) in Vc (del CAMO) k Uredbi (EU) št. 1321/2014 se spremenijo na naslednji način:
(1) |
Priloga II (del 145) se spremeni:
|
(2) |
Priloga III (del 66) se spremeni:
|
(3) |
Priloga Vc (del CAMO) se spremeni:
|
PRILOGA VIII
Prilogi II (del ATCO.AR) in III (del ATCO.OR) k Uredbi (EU) 2015/340 se spremenita na naslednji način:
(1) |
Priloga II (del ATCO.AR) se spremeni:
|
(2) |
Priloga III (del ATCO.OR) se spremeni: za točko ATCO.OR.C.001 se vstavi naslednja točka ATCO.OR.C.001A: „ATCO.OR.C.001A Sistem upravljanja informacijske varnosti Organizacija za usposabljanje poleg sistema upravljanja iz točke ATCO.OR.C.001 vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti v skladu z Izvedbeno uredbo (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“. |
PRILOGA IX
Prilogi II (del ATM/ANS.AR) in III (del ATM/ANS.OR) k Izvedbeni uredbi (EU) 2017/373 se spremenita na naslednji način:
(1) |
Priloga II (del ATM/ANS.AR) se spremeni:
|
(2) |
Priloga III (del ATM/ANS.OR) se spremeni:
|