IS.D.OR.100

IS.D.OR.200

IS.D.OR.205

IS.D.OR.210

IS.D.OR.215

IS.D.OR.220

IS.D.OR.225

IS.D.OR.230

IS.D.OR.235

IS.D.OR.240

IS.D.OR.245

IS.D.OR.250

IS.D.OR.255

IS.D.OR.260

(a)

Za doseganje ciljev iz člena 1 organizacija vzpostavi, izvaja in vzdržuje sistem upravljanja informacijske varnosti (ISMS), ki zagotavlja, da organizacija:

(b)

Za stalno izpolnjevanje zahtev iz člena 1 organizacija izvaja postopek stalnega izboljševanja v skladu s točko IS.D.OR.260.

(c)

Organizacija v skladu s točko IS.D.OR.250 dokumentira vse ključne procese, postopke, vloge in obveznosti, potrebne za skladnost s točko IS.D.OR.200(a), in vzpostavi proces za spremembo navedene dokumentacije. Spremembe navedenih procesov, postopkov, vlog in odgovornosti se upravljajo v skladu s točko IS.D.OR.255.

(d)

Procesi, postopki, vloge in obveznosti, ki jih organizacija določi za skladnost s točko IS.D.OR.200(a), ustrezajo naravi in kompleksnosti njenih dejavnosti na podlagi ocene tveganj za informacijsko varnost, povezanih s temi dejavnostmi, in so lahko vključeni v druge obstoječe sisteme upravljanja, ki jih organizacija že izvaja.

(e)

Brez poseganja v obveznost izpolnjevanja zahtev glede poročanja iz Uredbe (EU) št. 376/2014 (1) in v zahteve iz točke IS.D.OR.200(a)(13) lahko pristojni organ organizaciji odobri, da ne izvaja zahtev iz točk (a) do (d) in povezanih zahtev iz točk IS.D.OR.205 do IS.D.OR.260, če navedenemu organu zadovoljivo dokaže, da njene dejavnosti, objekti in viri ter storitve, ki jih izvaja, prejema in vzdržuje, niti zase niti za druge organizacije ne predstavljajo nobenega tveganja za informacijsko varnost, ki bi lahko vplivalo na varnost v letalstvu. Odobritev temelji na dokumentirani oceni tveganja za informacijsko varnost, ki jo izvede organizacija ali tretja oseba v skladu s točko IS.D.OR.205 ter pregleda in odobri njen pristojni organ.

Nadaljnjo veljavnost navedene odobritve bo pregledal pristojni organ po veljavnem ciklu presoje nadzora in kadar se bodo izvedle spremembe na področju dela organizacije.

(a)

Organizacija opredeli vse svoje elemente, ki bi lahko bili izpostavljeni tveganjem za informacijsko varnost. To vključuje:

(b)

Organizacija opredeli vmesnike, ki jih ima z drugimi organizacijami in ki bi lahko povzročili vzajemno izpostavljenost tveganjem za informacijsko varnost.

(c)

V zvezi z elementi in vmesniki iz točk (a) in (b) organizacija opredeli tveganja za informacijsko varnost, ki bi lahko vplivala na varnost v letalstvu. Organizacija za vsako ugotovljeno tveganje:

Pri vnaprej določeni klasifikaciji iz točke 1 se upoštevata možnost pojava scenarija grožnje in resnost njegovih posledic za varnost. Na podlagi navedene klasifikacije in ob upoštevanju, ali ima organizacija strukturiran in ponovljiv postopek upravljanja tveganja za operacije, je organizacija sposobna ugotoviti, ali je tveganje sprejemljivo ali ga je treba obravnavati v skladu s točko IS.D.OR.210.

Za lažjo medsebojno primerljivost ocen tveganj se pri določanju stopnje tveganja v skladu s točko 1 upoštevajo ustrezne informacije, pridobljene v sodelovanju z organizacijami iz točke (b).

(d)

Organizacija pregleda in posodablja oceno tveganja, opravljeno v skladu s točkami (a), (b) in (c), v katerem koli od naslednjih primerov:

(a)

Organizacija pripravi ukrepe za obravnavanje nesprejemljivih tveganj, ugotovljenih v skladu s točko IS.D.OR.205, jih pravočasno izvede in preveri njihovo nadaljnjo učinkovitost. Navedeni ukrepi organizaciji omogočajo:

Navedeni ukrepi ne uvajajo novih morebitnih nesprejemljivih tveganj za varnost v letalstvu.

(b)

Oseba iz točke IS.D.OR.240(a) in (b) ter drugo zadevno osebje organizacije se obvestijo o rezultatu ocene tveganja, izvedene v skladu s točko IS.D.OR.205, ustreznih scenarijih grožnje in ukrepih, ki jih je treba izvesti.

Organizacija obvesti tudi organizacije, s katerimi ima vmesnik v skladu s točko IS.D.OR.205(b), o kakršnem koli tveganju, ki je skupno obema organizacijama.

(a)

Organizacija vzpostavi notranji sistem poročanja, da se omogoči zbiranje in ocenjevanje dogodkov v zvezi z informacijsko varnostjo, vključno s tistimi, o katerih je treba poročati v skladu s točko IS.D.OR.230.

(b)

Navedena shema in postopek iz točke IS.D.OR.220 organizaciji omogočata, da:

(c)

Vsaka organizacija, ki je prevzela v izvajanje dejavnost, ki lahko organizacijo izpostavi tveganjem za informacijsko varnost, ki bi lahko vplivala na varnost v letalstvu, mora organizaciji poročati o dogodkih v zvezi z informacijsko varnostjo. Navedena poročila se predložijo po postopkih, določenih v posebnih pogodbenih dogovorih, in se ocenijo v skladu s točko (b).

(d)

Organizacija pri preiskavah sodeluje s katero koli drugo organizacijo, ki znatno prispeva k informacijski varnosti lastnih dejavnosti.

(e)

Organizacija lahko ta sistem poročanja vključi v druge sisteme poročanja, ki jih je že uvedla.

(a)

Organizacija na podlagi rezultata ocene tveganja, izvedene v skladu s točko IS.D.OR.205, in rezultata obravnave tveganja, izvedenega v skladu s točko IS.D.OR.210, izvaja ukrepe za zaznavanje incidentov in ranljivosti, ki kažejo na morebitno uresničitev nesprejemljivih tveganj in ki bi lahko vplivali na varnost v letalstvu. Ti ukrepi za zaznavanje omogočajo organizaciji, da:

(b)

Organizacija izvaja ukrepe za odziv na kakršne koli dogodke, opredeljene v skladu s točko (a), ki so prerasli v informacijskovarnostni incident ali bi vanj lahko prerasli. Ti ukrepi za odzivanje omogočajo organizaciji, da:

(c)

Organizacija izvaja ukrepe za saniranje informacijskovarnostnih incidentov, po potrebi vključno z nujnimi ukrepi. Ti sanacijski ukrepi organizaciji omogočajo, da:

(a)

Organizacija po prejemu obvestila o ugotovitvah, ki ga predloži pristojni organ:

(b)

Ukrepi iz točke (a) se izvedejo v roku, dogovorjenem s pristojnim organom.

(a)

Organizacija izvaja sistem poročanja o informacijski varnosti, ki izpolnjuje zahteve iz Uredbe (EU) št. 376/2014 ter njenih delegiranih in izvedbenih aktov, če se navedena uredba uporablja za organizacijo.

(b)

Brez poseganja v obveznosti iz Uredbe (EU) št. 376/2014 organizacija zagotovi, da se o vsakem informacijskovarnostnem incidentu ali ranljivosti, ki lahko pomeni znatno tveganje za varnost v letalstvu, poroča njenemu pristojnemu organu. Poleg tega:

(c)

Organizacija poroča o pogojih iz točke (b), kot sledi:

(a)

Organizacija zagotovi, da pri oddaji naročila v zvezi s katerim koli delom dejavnosti iz točke IS.D.OR.200 drugim organizacijam, pogodbene dejavnosti izpolnjujejo zahteve iz te uredbe in da organizacija, ki je dejavnost prevzela v izvajanje, dela pod njenim nadzorom. Organizacija zagotovi, da se tveganja, povezana s pogodbenimi dejavnostmi, ustrezno obvladujejo.

(b)

Organizacija zagotovi, da pristojni organ na zahtevo lahko dostopa do organizacije, ki je dejavnost prevzela v izvajanje, da preveri stalno skladnost z ustreznimi zahtevami iz te uredbe.

(a)

Odgovorni vodja organizacije ali vodja projektivne organizacije v primeru projektivne organizacije, imenovan v skladu z uredbama (EU) št. 748/2012 in (EU) št. 139/2014, kot je navedeno v členu 2, točki 1(a) in (b), te uredbe, ima pooblastilo podjetja, da zagotovi financiranje in izvajanje vseh dejavnosti, ki jih zahteva ta uredba. Ta oseba:

(b)

Odgovorni vodja ali vodja projektivne organizacije v primeru projektivne organizacije imenuje osebo ali skupino oseb za zagotovitev, da organizacija izpolnjuje zahteve iz te uredbe, in opredeli obseg svojih pooblastil. Navedena oseba ali skupina oseb poroča neposredno odgovornemu vodji ali vodji projektivne organizacije v primeru projektivne organizacije ter ima ustrezno znanje, izobrazbo in izkušnje za izvajanje svojih obveznosti. V postopkih se določi, kdo nadomešča določeno osebo v primeru njene daljše odsotnosti.

(c)

Odgovorni vodja ali vodja projektivne organizacije v primeru projektivne organizacije imenuje osebo ali skupino oseb z obveznostjo za upravljanje funkcije spremljanja skladnosti iz točke IS.D.OR.200(a)(12).

(d)

Kadar si organizacija deli organizacijske strukture, politike, procese in postopke za informacijsko varnost z drugimi organizacijami ali področji svoje organizacije, ki niso del odobritve ali izjave, lahko odgovorni vodja ali vodja projektivne organizacije v primeru projektivne organizacije prenese svoje dejavnosti na skupno odgovorno osebo.

V takem primeru se določijo usklajevalni ukrepi med odgovornim vodjo organizacije ali vodjo projektivne organizacije v primeru projektivnih organizacij in skupno odgovorno osebo, da se zagotovi ustrezna vključitev upravljanja informacijske varnosti v organizacijo.

(e)

Odgovorni vodja ali vodja projektivne organizacije ali skupna odgovorna oseba iz točke (d) ima pooblastilo podjetja za vzpostavitev in vzdrževanje organizacijskih struktur, politik, procesov in postopkov, potrebnih za izvajanje točke IS.D.OR.200.

(f)

Organizacija ima vzpostavljen postopek, s katerim zagotovi, da ima na delovnem mestu dovolj osebja za izvajanje dejavnosti iz te priloge.

(g)

Organizacija ima vzpostavljen postopek za zagotovitev, da ima osebje iz točke (f) potrebno usposobljenost za opravljanje svojih nalog.

(h)

Organizacija ima vzpostavljen postopek za zagotovitev, da osebje priznava odgovornosti, povezane z dodeljenimi vlogami in nalogami.

(i)

Organizacija zagotovi, da sta identiteta in zaupanje v osebje, ki ima dostop do informacijskih sistemov in podatkov, za katere veljajo zahteve iz te uredbe, ustrezno določena.

(a)

Organizacija vodi evidenco svojih dejavnosti upravljanja informacijske varnosti.

(b)

Organizacija vodi evidenco usposobljenosti in izkušenj svojega osebja, vključenega v dejavnosti upravljanja informacijske varnosti.

(c)

Oblika evidenc se opredeli v postopkih organizacije.

(d)

Evidence se hranijo na način, ki zagotavlja zaščito pred škodo, spremembo in tatvino, pri čemer se informacije, kadar je potrebno, opredelijo v skladu s stopnjo klasifikacije varnosti. Organizacija zagotovi, da se evidence hranijo s sredstvi za zagotovitev celovitosti, pristnosti in pooblaščenega dostopa.

(a)

Organizacija da pristojnemu organu na voljo priročnik za upravljanje varnosti informacij (ISMM) in, kadar je ustrezno, vse pripadajoče priročnike in postopke, na katere se sklicuje, ki vsebuje:

(b)

Prva izdaja ISMM se odobri, kopijo pa obdrži pristojni organ. ISMM se po potrebi spremeni, da ostaja ažuren opis sistema ISMS organizacije. Pristojnemu organu se predloži kopija vseh sprememb ISMM.

(c)

Spremembe ISMM se upravljajo po postopku, ki ga določi organizacija. Pristojni organ odobri vse spremembe, ki niso vključene v področje uporabe tega postopka, in vse spremembe, povezane s spremembami, navedenimi v točki IS.D.OR.255(b).

(d)

Organizacija lahko ISMM poveže z drugimi priročniki za upravljanje ali priročniki, ki jih hrani, če obstaja jasna navzkrižna referenca, ki navaja, kateri deli priročnika za upravljanje ustrezajo različnim zahtevam iz te priloge.

(a)

Spremembe sistema ISMS se lahko upravljajo in sporočijo pristojnemu organu s postopkom, ki ga razvije organizacija. Ta postopek odobri pristojni organ.

(b)

V zvezi s spremembami sistema ISMS, ki niso zajete v postopku iz točke (a), organizacija zaprosi za odobritev pristojnega organa in jo pridobi.

V zvezi s temi spremembami:

(a)

Organizacija z ustreznimi kazalniki uspešnosti oceni učinkovitost in zrelost sistema ISMS. Ta ocena se izvede na podlagi koledarja, ki ga organizacija vnaprej določi, ali po informacijskovarnostnem incidentu.

(b)

Če se po oceni, opravljeni v skladu s točko (a), ugotovijo pomanjkljivosti, organizacija sprejme potrebne ukrepe za izboljšanje, s katerimi zagotovi, da ISMS še naprej izpolnjuje veljavne zahteve in tveganja za informacijsko varnost ohranja na sprejemljivi ravni. Poleg tega organizacija ponovno oceni tiste elemente sistema ISMS, na katere so vplivali sprejeti ukrepi.