„(f)

da izvajajo in vzdržujejo sistem upravljanja varnosti v skladu s točko ATM/ANS.OR.D.010 v poddelu D Priloge III k Izvedbeni uredbi (EU) 2017/373 ter sistem upravljanja informacijske varnosti v skladu s Prilogo II (del IS.I.OR) k Izvedbeni uredbi (EU) 2023/203;“;

„(l)

vzpostavijo, izvajajo in vzdržujejo sistem upravljanja informacijske varnosti v skladu s Prilogo I (del IS.AR) k Izvedbeni uredbi (EU) 2023/203.“.

(1)

oblikuje politiko o informacijski varnosti, ki določa splošna načela pristojnega organa v zvezi z morebitnim učinkom tveganj za informacijsko varnost na varnost v letalstvu;

(2)

opredeli in pregleda tveganja za informacijsko varnost v skladu s točko IS.AR.205;

(3)

opredeli in izvaja ukrepe za obravnavo tveganj za informacijsko varnost v skladu s točko IS.AR.210;

(4)

v skladu s točko IS.AR.215 opredeli in izvaja ukrepe, potrebne za zaznavanje informacijskovarnostnih dogodkov, opredeli tiste, ki se štejejo za incidente, ki bi lahko vplivali na varnost v letalstvu, ter se odziva na navedene informacijskovarnostne incidente in jih sanira;

(5)

izpolnjuje zahteve iz točke IS.AR.220, kadar se kateri koli del dejavnosti iz točke IS.AR.200 odda v izvajanje drugim organizacijam;

(6)

izpolnjuje zahteve za osebje iz točke IS.AR.225.

(7)

izpolnjuje zahteve za vodenje evidenc iz točke IS.AR.230;

(8)

spremlja skladnost svoje organizacije z zahtevami iz te uredbe in osebi iz točke IS.AR.225(a) zagotavlja povratne informacije o ugotovitvah, da se zagotovi učinkovito izvajanje popravnih ukrepov;

(9)

varuje zaupnost vseh informacij, ki jih pristojni organ morda sporoči organizacijam, ki so pod njegovim nadzorom, in informacij, prejetih prek sistemov zunanjega poročanja organizacije, vzpostavljenih v skladu s točko IS.I.OR.230 Priloge II (del IS.I.OR) k tej uredbi in točko IS.D.OR.230 Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645;

(10)

Agencijo obvešča o spremembah, ki vplivajo na zmogljivost pristojnega organa za opravljanje njegovih nalog in izvajanje njegovih obveznosti, kot je opredeljeno v tej uredbi;

(11)

opredeljuje in izvaja postopke za praktično in pravočasno izmenjavo ustreznih informacij, kot je primerno, da pomaga drugim pristojnim organom in agencijam ter organizacijam, za katere velja ta uredba, da izvajajo učinkovite ocene tveganja za varnost v zvezi s svojimi dejavnostmi.

(1)

dejavnosti, objekte in vire pristojnega organa ter storitve, ki jih pristojni organ izvaja, zagotavlja, prejema ali vzdržuje;

(2)

opremo, sisteme, podatke in informacije, ki prispevajo k delovanju elementov iz točke 1.

(1)

določi stopnjo tveganja v skladu z vnaprej določeno klasifikacijo pristojnega organa;

(2)

poveže vsako tveganje in njegovo raven z ustreznim elementom ali vmesnikom, opredeljenim v skladu s točkama (a) in (b).

(1)

spremenijo se elementi, ki so izpostavljeni tveganjem za informacijsko varnost;

(2)

spremenijo se vmesniki med organizacijo pristojnega organa in drugimi organizacijami ali tveganja, ki jih sporočijo druge organizacije;

(3)

spremenijo se informacije ali znanje, ki se uporabljajo za opredelitev, analizo in klasifikacijo tveganj;

(4)

pridobijo se izkušnje na podlagi analize informacijskovarnostnih incidentov.

(1)

nadzor nad okoliščinami, ki prispevajo k uspešnemu nastanku scenarija grožnje;

(2)

zmanjšanje posledic za varnost v letalstvu, povezanih z uresničitvijo scenarija grožnje;

(3)

izogibanje tveganjem.

(1)

opredeli odstopanja od vnaprej določenih izhodišč za funkcionalno učinkovitost;

(2)

sproži opozorila za aktiviranje ustreznih odzivnih ukrepov v primeru kakršnega koli odstopanja.

(1)

sproži odziv svoje organizacije na opozorila iz točke (a)(2) z aktiviranjem vnaprej določenih virov in potekov ukrepov;

(2)

zajezi širjenje napada in prepreči, da bi se scenarij grožnje v celoti uresničil;

(3)

nadzira vrsto okvare prizadetih elementov, opredeljenih v točki IS.AR.205(a).

(1)

odpravi stanje, ki je povzročilo incident, ali ga omeji na sprejemljivo raven;

(2)

obnovi varno stanje prizadetih elementov, opredeljenih v točki IS.AR.205(a), v času sanacije, ki ga je predhodno določila njegova organizacija.

(1)

ima pooblastilo, da v celoti dostopa do virov, ki jih pristojni organ potrebuje za opravljanje vseh nalog, ki jih zahteva ta uredba;

(2)

je pridobila prenos pooblastil, potrebnih za izvajanje dodeljenih obveznosti;

(1)

Pristojni organ zagotovi, da so naslednje evidence arhivirane in sledljive:

(2)

Evidence iz točke 1(i) se hranijo vsaj pet let po spremembi ali odpovedi pogodbe.

(3)

Evidence iz točk 1(ii) in (iii) se hranijo vsaj pet let.

(4)

Evidence iz točke 1(iv) se hranijo, dokler se navedeni informacijskovarnostni dogodki ponovno ne ocenijo v skladu s periodičnostjo, opredeljeno v postopku, ki ga določi pristojni organ.

(1)

Evidence o usposobljenosti in izkušnjah osebja se hranijo toliko časa, dokler oseba dela za pristojni organ, ter vsaj tri leta po tem, ko oseba zapusti pristojni organ.

(2)

Članom osebja se na njihovo zahtevo omogoči dostop do njihovih individualnih evidenc. Poleg tega jim pristojni organ na njihovo zahtevo zagotovi kopijo njihovih individualnih evidenc ob odhodu iz pristojnega organa.

(1)

oblikuje politiko o informacijski varnosti, ki določa splošna načela organizacije v zvezi z morebitnim učinkom tveganj za informacijsko varnost na varnost v letalstvu;

(2)

opredeli in pregleda tveganja za informacijsko varnost v skladu s točko IS.I.OR.205;

(3)

opredeljuje in izvaja ukrepe za obravnavo tveganj za informacijsko varnost v skladu s točko IS.I.OR.210;

(4)

izvaja sistem notranjega poročanja o informacijski varnosti v skladu s točko IS.I.OR.215;

(5)

v skladu s točko IS.I.OR.220 opredeli in izvaja ukrepe, potrebne za zaznavanje informacijskovarnostnih dogodkov, opredeli tiste dogodke, ki se štejejo za incidente, ki bi lahko vplivali na varnost v letalstvu, razen v primerih, ki jih dovoljuje točka IS.I.OR.205(e), ter se odziva na te informacijskovarnostne incidente in jih sanira;

(6)

izvaja ukrepe, ki jih je pristojni organ sporočil kot takojšen odziv na incident ali ranljivost v zvezi z informacijsko varnostjo, ki vpliva na varnost v letalstvu;

(7)

sprejme ustrezne ukrepe v skladu s točko IS.I.OR.225 za obravnavanje ugotovitev, ki jih je sporočil pristojni organ;

(8)

izvaja sistem zunanjega poročanja v skladu s točko IS.I.OR.230, da se pristojnemu organu omogoči sprejetje ustreznih ukrepov;

(9)

izpolnjuje zahteve iz točke IS.I.OR.235, kadar se kateri koli del dejavnosti iz točke IS.I.OR.200 odda v izvajanje drugim organizacijam;

(10)

izpolnjuje zahteve za osebje iz točke IS.I.OR.240;

(11)

izpolnjuje zahteve za vodenje evidenc iz točke IS.I.OR.245;

(12)

spremlja skladnost organizacije z zahtevami iz te uredbe in odgovornemu vodji zagotavlja povratne informacije o ugotovitvah, da se zagotovi učinkovito izvajanje popravnih ukrepov;

(13)

brez poseganja v veljavne zahteve glede poročanja o incidentih varuje zaupnost vseh informacij glede na njihovo stopnjo občutljivosti, ki jih je organizacija morda prejela od drugih organizacij.

(1)

dejavnosti, objekte in vire organizacije ter storitve, ki jih organizacija izvaja, zagotavlja, prejema ali vzdržuje;

(2)

opremo, sisteme, podatke in informacije, ki prispevajo k delovanju elementov iz točke 1.

(1)

določi stopnjo tveganja v skladu z vnaprej določeno klasifikacijo organizacije;

(2)

poveže vsako tveganje in njegovo raven z ustreznim elementom ali vmesnikom, opredeljenim v skladu s točkama (a) in (b).

(1)

spremenijo se elementi, ki so izpostavljeni tveganjem za informacijsko varnost;

(2)

spremenijo se vmesniki med organizacijo in drugimi organizacijami ali tveganja, ki jih sporočijo druge organizacije;

(3)

spremenijo se informacije ali znanje, ki se uporabljajo za opredelitev, analizo in klasifikacijo tveganj;

(4)

pridobijo se izkušnje na podlagi analize informacijskovarnostnih incidentov.

(1)

nadzor nad okoliščinami, ki prispevajo k uspešnemu nastanku scenarija grožnje;

(2)

zmanjšanje posledic za varnost v letalstvu, povezanih z uresničitvijo scenarija grožnje;

(3)

izogibanje tveganjem.

(1)

ugotovi, kateri dogodki, sporočeni v skladu s točko (a), se štejejo za informacijskovarnostne incidente ali ranljivosti, ki bi lahko vplivali na varnost v letalstvu;

(2)

ugotovi vzroke in dejavnike, ki prispevajo k informacijskovarnostnim incidentom in ranljivostim, opredeljenim v skladu s točko 1, ter jih obravnava v okviru postopka upravljanja tveganja za informacijsko varnost v skladu s točkama IS.I.OR.205 in IS.I.OR.220;

(3)

zagotovi oceno vseh znanih, relevantnih informacij v zvezi z informacijskovarnostnimi incidenti in ranljivostmi, opredeljenimi v skladu s točko 1;

(4)

zagotovi izvajanje metode za interno razširjanje informacij po potrebi.

(1)

opredeli odstopanja od vnaprej določenih izhodišč za funkcionalno učinkovitost;

(2)

sproži opozorila za aktiviranje ustreznih odzivnih ukrepov v primeru kakršnega koli odstopanja.

(1)

sproži odziv na opozorila iz točke (a)(2) z aktiviranjem vnaprej določenih virov in potekov ukrepov;

(2)

zajezi širjenje napada in prepreči, da bi se scenarij grožnje v celoti uresničil;

(3)

nadzira vrsto okvare prizadetih elementov, opredeljenih v točki IS.I.OR.205(a).

(1)

odpravi stanje, ki je povzročilo incident, ali ga omeji na sprejemljivo raven;

(2)

doseže varno stanje prizadetih elementov, opredeljenih v točki IS.I.OR.205(a), v času sanacije, ki ga je predhodno določila organizacija.

(1)

opredeli temeljni vzrok ali vzroke za neskladnost in dejavnike, ki prispevajo k njej;

(2)

opredeli načrt popravnih ukrepov;

(3)

pristojnemu organu zadovoljivo dokaže odpravo neskladnosti.

(1)

kadar tak incident ali ranljivost vpliva na zrakoplov ali z njim povezan sistem ali komponento, organizacija o tem poroča tudi nosilcu odobritve projekta;

(2)

kadar tak incident ali ranljivost vpliva na sistem ali komponento, ki jo uporablja organizacija, organizacija o tem poroča organizaciji, odgovorni za projektiranje sistema ali komponente.

(1)

obvestilo se predloži pristojnemu organu in po potrebi nosilcu odobritve projekta ali organizaciji, odgovorni za projektiranje sistema ali komponente, takoj ko se organizacija seznani s stanjem;

(2)

poročilo se predloži pristojnemu organu in po potrebi nosilcu odobritve projekta ali organizaciji, odgovorni za projektiranje sistema ali komponente, čim prej, vendar ne pozneje kot 72 ur od trenutka, ko se je organizacija seznanila s stanjem, razen če to preprečujejo izjemne okoliščine.

Poročilo se pripravi v obliki, ki jo določi pristojni organ, in vsebuje vse ustrezne informacije o stanju, s katerim je organizacija seznanjena;

(3)

pristojnemu organu in po potrebi nosilcu odobritve projekta ali organizaciji, odgovorni za projektiranje sistema ali komponente, se predložijo nadaljnje poročilo, v katerem so podrobno navedeni ukrepi, ki jih je organizacija sprejela ali jih namerava sprejeti za sanacijo incidenta, in ukrepi, ki jih namerava sprejeti za preprečitev podobnih informacijskovarnostnih incidentov v prihodnosti.

Nadaljnje poročilo se predloži, takoj ko so opredeljeni navedeni ukrepi, in se pripravi v obliki, ki jo določi pristojni organ.

(1)

zagotovi, da so na voljo vsi potrebni viri za izpolnjevanje zahtev iz te uredbe;

(2)

vzpostavi in spodbuja politiko informacijske varnosti iz točke IS.I.OR.200(a)(1);

(3)

izkazuje osnovno razumevanje te uredbe.

(1)

Organizacija zagotovi, da so naslednje evidence arhivirane in sledljive:

(2)

Evidence iz točke 1(i) se hranijo vsaj pet let po prenehanju veljavnosti odobritve.

(3)

Evidence iz točke 1(ii) se hranijo vsaj pet let po spremembi ali odpovedi pogodbe.

(4)

Evidence iz točk 1(iii), (iv) in (v) se hranijo vsaj pet let.

(5)

Evidence iz točke 1(vi) se hranijo, dokler se navedeni informacijskovarnostni dogodki ponovno ne ocenijo v skladu s periodičnostjo, opredeljeno v postopku, ki ga določi organizacija.

(1)

Evidence o usposobljenosti in izkušnjah osebja se hranijo toliko časa, dokler oseba dela za organizacijo, in vsaj tri leta po tem, ko oseba zapusti organizacijo.

(2)

Članom osebja se na njihovo zahtevo omogoči dostop do njihovih individualnih evidenc. Poleg tega jim organizacija na njihovo zahtevo zagotovi kopijo njihovih individualnih evidenc ob odhodu iz organizacije.

(1)

izjava, ki jo je podpisal odgovorni vodja in ki potrjuje, da bo organizacija vedno delovala v skladu s to prilogo in ISMM. Če odgovorni vodja ni glavni direktor organizacije, potem glavni direktor sopodpiše izjavo;

(2)

nazivi, imena, dolžnosti, odgovornosti, obveznosti in pooblastila osebe ali oseb iz točk IS.I.OR.240(b) in (c);

(3)

naziv, ime, dolžnosti, odgovornosti, obveznosti in pooblastilo skupne odgovorne osebe iz točke IS.I.OR.240(d), če je ustrezno;

(4)

politika informacijske varnosti organizacije iz točke IS.I.OR.200(a)(1);

(5)

splošen opis števila in kategorij članov osebja ter sistema, vzpostavljenega za načrtovanje razpoložljivosti osebja, kot se zahteva v točki IS.I.OR.240;

(6)

nazivi, imena, dolžnosti, odgovornosti, obveznosti in pooblastila ključnih oseb, odgovornih za izvajanje točke IS.I.OR.200, vključno z osebo ali osebami, odgovornimi za funkcijo spremljanja skladnosti iz točke IS.I.OR.200(a)(12);

(7)

organigram, ki prikazuje povezane verige odgovornosti in obveznosti za osebe iz točk 2 in 6;

(8)

opis sistema notranjega poročanja iz točke IS.I.OR.215;

(9)

postopki, ki določajo, kako organizacija zagotavlja skladnost s tem delom, in zlasti:

(10)

podrobnosti trenutno odobrenih drugih načinov usklajevanja.

(1)

se predloži zahtevek pred izvedbo vsake take spremembe, da bi pristojni organ lahko ugotovil, ali je zagotovljena stalna skladnost s to uredbo, ter da bi po potrebi spremenil certifikat organizacije in z njim povezane pogoje za odobritev, ki so mu priloženi;

(2)

organizacija da pristojnemu organu na voljo vse informacije, ki jih zahteva za oceno spremembe;

(3)

sprememba se izvede šele po prejemu uradne odobritve pristojnega organa;

(4)

organizacija med izvajanjem takih sprememb deluje pod pogoji, ki jih predpiše pristojni organ.

(a)

v točki ARA.GEN.125 se doda naslednja točka (c):

(b)

za točko ARA.GEN.135 se vstavi naslednja točka ARA.GEN.135A:

„ARA.GEN.135A Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu

(c)

v točki ARA.GEN.200 se doda naslednja točka (e):

(d)

točka ARA.GEN.205 se spremeni:

(e)

v točki ARA.GEN.300 se doda naslednja točka (g):

(f)

za točko ARA.GEN.330 se vstavi naslednja točka ARA.GEN.330A:

„ARA.GEN.330A Spremembe sistema upravljanja informacijske varnosti

(a)

za naslovom 21.B.20 se vstavi naslednji naslov:

„21.B.20A Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu“;

(b)

naslov točke 21.B.30 se nadomesti z naslednjim:

„21.B.30 Dodelitev nalog“;

(c)

za naslovom 21.B.240 se vstavi naslednji naslov:

„21.B.240A Spremembe sistema upravljanja informacijske varnosti“;

(d)

za naslovom 21.B.435 se vstavi naslednji naslov:

„21.B.435A Spremembe sistema upravljanja informacijske varnosti“;

„(c)

Pristojni organ države članice Agenciji čim prej zagotovi informacije, pomembne za varnost, ki izhajajo iz poročil o informacijski varnosti, ki jih je prejel na podlagi točke IS.D.OR.230 Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645.“;

(a)

Pristojni organ vzpostavi sistem za ustrezno zbiranje, analiziranje in razširjanje informacij v zvezi z informacijskovarnostnimi incidenti in ranljivostmi, ki lahko vplivajo na varnost v letalstvu, o katerih poročajo organizacije. To se izvede ob usklajevanju z vsemi drugimi ustreznimi organi, odgovornimi za informacijsko ali kibernetsko varnost v državi članici, da se okrepita usklajevanje in združljivost sistemov poročanja.

(b)

Agencija vzpostavi sistem za ustrezno analiziranje vseh ustreznih informacij, pomembnih za varnost in prejetih v skladu s točko 21.B.15(c), ter državam članicam in Komisiji nemudoma zagotovi vse informacije, vključno s priporočili ali popravnimi ukrepi, ki jih morajo sprejeti za pravočasen odziv na informacijskovarnostni incident ali ranljivost, ki lahko vpliva na varnost v letalstvu in je v zvezi s proizvodi, deli, nenameščeno opremo, osebami ali organizacijami, za katere se uporabljajo Uredba (EU) 2018/1139 ter njeni delegirani in izvedbeni akti.

(c)

Pristojni organ po prejemu informacij iz točk (a) in (b) sprejme ustrezne ukrepe za obravnavo morebitnega vpliva informacijskovarnostnega incidenta ali ranljivosti na varnost v letalstvu.

(d)

Ukrepi, sprejeti v skladu s točko (c), se takoj sporočijo vsem osebam ali organizacijam, ki jih upoštevajo v skladu z Uredbo (EU) 2018/1139 ter njenimi delegiranimi in izvedbenimi akti. Pristojni organ države članice o navedenih ukrepih obvesti tudi Agencijo, in, če se zahteva skupno ukrepanje, pristojne organe drugih zadevnih držav članic.“;

„(e)

Sistem upravljanja, ki ga vzpostavi in vzdržuje pristojni organ, poleg zahtev iz točke (a) izpolnjuje tudi zahteve iz Priloge I (del IS.AR) k Izvedbeni uredbi (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“;

(a)

naslov se nadomesti z naslednjim:

„21.B.30 Dodelitev nalog“;

(b)

doda se naslednja točka (c):

„(g)

Kar zadeva certificiranje in nadzor skladnosti organizacije s točko 21.A.139A, pristojni organ poleg upoštevanja točk od (a) do (f) pregleda tudi vse odobritve, izdane v skladu s točko IS.I.OR.200(e) te uredbe ali točko IS.D.OR.200(e) Delegirane uredbe (EU) 2022/1645, potem ko se izvede veljavni cikel presoje nadzora in kadar se izvedejo spremembe na področju dela organizacije.“;

(a)

Pri spremembah, ki se upravljajo in sporočijo pristojnemu organu v skladu s postopkom iz točke IS.D.OR.255(a) Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645, pristojni organ vključi pregled takih sprememb v svoj stalni nadzor v skladu z načeli iz točke 21.B.221. V primeru ugotovljene neskladnosti pristojni organ o tem obvesti organizacijo, zahteva nadaljnje spremembe in ukrepa v skladu s točko 21.B.225.

(b)

Za druge spremembe, za katere je treba vložiti vlogo za odobritev v skladu s točko IS.D.OR.255(b) Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645:

„(d)

Za certificiranje in nadzor skladnosti organizacije s točko 21.A.239A pristojni organ poleg upoštevanja točk od (a) do (c) upošteva naslednja načela:

(a)

Pri spremembah, ki se upravljajo in sporočijo pristojnemu organu v skladu s postopkom iz točke IS.D.OR.255(a) Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645, pristojni organ vključi pregled takih sprememb v svoj stalni nadzor v skladu z načeli iz točke 21.B.431. V primeru ugotovljene neskladnosti pristojni organ o tem obvesti organizacijo, zahteva nadaljnje spremembe in ukrepa v skladu s točko 21.B.433.

(b)

Za druge spremembe, za katere je treba vložiti vlogo za odobritev v skladu s točko IS.D.OR.255(b) Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645:

(a)

v točki ARO.GEN.125 se doda naslednja točka (c):

(b)

za točko ARO.GEN.135 se vstavi naslednja točka ARO.GEN.135A:

„ARO.GEN.135A    Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu

(c)

v točki ARO.GEN.200 se doda naslednja točka (e):

(d)

točka ARO.GEN.205 se spremeni:

(e)

v točki ARO.GEN.300 se doda naslednja točka (g):

(f)

za točko ARO.GEN.330 se vstavi naslednja točka ARO.GEN.330A:

„ARO.GEN.330A    Spremembe sistema upravljanja informacijske varnosti

„(c)

Pristojni organ države članice Agenciji čim prej zagotovi informacije, pomembne za varnost, ki izhajajo iz poročil o informacijski varnosti, ki jih je prejel na podlagi točke IS.D.OR.230 Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645.“;

(a)

Pristojni organ vzpostavi sistem za ustrezno zbiranje, analiziranje in razširjanje informacij v zvezi z informacijskovarnostnimi incidenti in ranljivostmi, ki lahko vplivajo na varnost v letalstvu, o katerih poročajo organizacije. To se izvede ob usklajevanju z vsemi drugimi ustreznimi organi, odgovornimi za informacijsko ali kibernetsko varnost v državi članici, da se okrepita usklajevanje in združljivost sistemov poročanja.

(b)

Agencija vzpostavi sistem za ustrezno analiziranje vseh ustreznih informacij, pomembnih za varnost in prejetih v skladu s točko ADR.AR.A.025(c), ter državam članicam in Komisiji nemudoma zagotovi vse informacije, vključno s priporočili ali popravnimi ukrepi, ki jih morajo sprejeti za pravočasen odziv na informacijskovarnostni incident ali ranljivost, ki lahko vpliva na varnost v letalstvu in je v zvezi s proizvodi, deli, nenameščeno opremo, osebami ali organizacijami, za katere se uporabljajo Uredba (EU) 2018/1139 ter njeni delegirani in izvedbeni akti.

(c)

Pristojni organ po prejemu informacij iz točk (a) in (b) sprejme ustrezne ukrepe za obravnavo morebitnega vpliva informacijskovarnostnega incidenta ali ranljivosti na varnost v letalstvu.

(d)

Ukrepi, sprejeti v skladu s točko (c), se takoj sporočijo vsem osebam ali organizacijam, ki jih upoštevajo v skladu z Uredbo (EU) 2018/1139 ter njenimi delegiranimi in izvedbenimi akti. Pristojni organ države članice o navedenih ukrepih obvesti tudi Agencijo, in, če se zahteva skupno ukrepanje, pristojne organe drugih zadevnih držav članic.“;

„(d)

Sistem upravljanja, ki ga vzpostavi in vzdržuje pristojni organ, poleg zahtev iz točke (a) izpolnjuje tudi zahteve iz Priloge I (del IS.AR) k Izvedbeni uredbi (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“;

(i)

naslov se nadomesti z naslednjim:

„ADR.AR.B.010 Dodelitev nalog“;

(ii)

doda se naslednja točka (c):

„(f)

Kar zadeva certificiranje in nadzor skladnosti organizacije s točko ADR.OR.D.005A, pristojni organ poleg upoštevanja točk od (a) do (e) pregleda tudi vse odobritve, izdane v skladu s točko IS.I.OR.200(e) te uredbe ali točko IS.D.OR.200(e) Delegirane uredbe (EU) 2022/1645, potem ko se izvede veljavni cikel presoje nadzora in kadar se izvedejo spremembe na področju dela organizacije.“;

(a)

Pri spremembah, ki se upravljajo in sporočijo pristojnemu organu v skladu s postopkom iz točke IS.D.OR.255(a) Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645, pristojni organ vključi pregled takih sprememb v svoj stalni nadzor v skladu z načeli iz točke ADR.AR.C.005. V primeru ugotovljene neskladnosti pristojni organ o tem obvesti organizacijo, zahteva nadaljnje spremembe in ukrepa v skladu s točko ADR.AR.C.055.

(b)

Pri drugih spremembah, za katere je treba vložiti vlogo za odobritev v skladu s točko IS.D.OR.255(b) Priloge (del IS.D.OR) k Delegirani uredbi (EU) 2022/1645:

(a)

kazalo se spremeni:

(b)

za točko 145.A.200 se vstavi točka 145.A.200A:

„145.A.200A    Sistem upravljanja informacijske varnosti

Vzdrževalna organizacija poleg sistema upravljanja iz točke 145.A.200 vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti v skladu z Izvedbeno uredbo (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“;

(c)

v točki 145.B.125 se doda naslednja točka (c):

(d)

za točko 145.B.135 se vstavi točka 145.B.135A:

„145.B.135A    Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu

(e)

v točki 145.B.200 se doda naslednja točka (e):

(f)

točka 145.B.205 se spremeni:

(g)

v točki 145.B.300 se doda naslednja točka (g):

(h)

za točko 145.B.330 se vstavi točka 145.B.330A:

„145.B.330A    Spremembe sistema upravljanja informacijske varnosti

(a)

v kazalu se za naslovom 66.B.10 vstavi naslednji naslov:

(b)

za točko 66.B.10 se vstavi naslednja točka 66.B.15:

„66.B.15    Sistem upravljanja informacijske varnosti

Pristojni organ vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti v skladu s Prilogo I (del IS.AR) k Izvedbeni uredbi (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“;

(a)

kazalo se spremeni:

(b)

za točko CAMO.A.200 se vstavi naslednja točka CAMO.A.200A:

„CAMO.A.200A    Sistem upravljanja informacijske varnosti

Organizacija poleg sistema upravljanja iz točke CAMO.A.200 vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti v skladu z Izvedbeno uredbo (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“;

(c)

v točki CAMO.B.125 se doda naslednja točka (c):

(d)

za CAMO.B.135 se vstavi naslednja točka CAMO.B.135A:

„CAMO.B.135A    Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu

(e)

v točki CAMO.B.200 se doda naslednja točka (e):

(f)

točka CAMO.B.205 se spremeni:

(g)

v točki CAMO.B.300 se doda naslednja točka (g):

(h)

za točko CAMO.B.330 se vstavi naslednja točka CAMO.B.330A:

„CAMO.B.330A    Spremembe sistema upravljanja informacijske varnosti

(a)

v točki ATCO.AR.A.020 se doda naslednja točka (c):

(b)

za točko ATCO.AR.A.025 se vstavi naslednja točka ATCO.AR.A.025A:

„ATCO.AR.A.025A    Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu

(c)

v točki ATCO.AR.B.001 se doda naslednja točka (e):

(d)

točka ATCO.AR.B.005 se spremeni:

(e)

v točki ATCO.AR.C.001 se doda naslednja točka (f):

(f)

za točko ATCO.AR.E.010 se vstavi naslednja točka ATCO.AR.E.010A:

„ATCO.AR.E.010A    Spremembe sistema upravljanja informacijske varnosti

(a)

v točki ATM/ANS.AR.A.020 se doda naslednja točka (c):

(b)

za točko ATM/ANS.AR.A.025 se vstavi naslednja točka ATM/ANS.AR.A.025A:

„ATM/ANS.AR.A.025A Takojšen odziv na informacijskovarnostni incident ali ranljivost, ki vpliva na varnost v letalstvu

(c)

v točki ATM/ANS.AR.B.001 se doda naslednja točka (e):

(d)

točka ATM/ANS.AR.B.005 se spremeni:

(e)

v točki ATM/ANS.AR.C.010 se doda naslednja točka (d):

(f)

za točko ATM/ANS.AR.C.025 se vstavi naslednja točka ATM/ANS.AR.C.025A:

„ATM/ANS.AR.C.025A Spremembe sistema upravljanja informacijske varnosti

(a)

za točko ATM/ANS.OR.B.005 se vstavi naslednja točka ATM/ANS.OR.B.005A:

„ATM/ANS.OR.B.005A Sistem upravljanja informacijske varnosti

Izvajalec storitev poleg sistema upravljanja iz točke ATM/ANS.OR.B.005 vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti v skladu z Izvedbeno uredbo (EU) 2023/203, da se zagotovi primerno upravljanje tveganj za informacijsko varnost, ki lahko vplivajo na varnost v letalstvu.“;

(b)

točka ATM/ANS.OR.D.010 se nadomesti z naslednjim:

„ATM/ANS.OR.D.010 Upravljanje varovanja