1)

inrättar en policy för informationssäkerhet som fastställer den behöriga myndighetens övergripande principer med avseende på informationssäkerhetsriskernas potentiella inverkan på flygsäkerheten,

2)

identifierar och ser över informationssäkerhetsrisker i enlighet med punkt IS.AR.205,

3)

definierar och genomför åtgärder för hantering av informationssäkerhetsrisker i enlighet med punkt IS.AR.210,

4)

definierar och genomför, i enlighet med punkt IS.AR.215, de åtgärder som krävs för att upptäcka informationssäkerhetshändelser, identifierar de händelser som anses vara incidenter med en potentiell inverkan på flygsäkerheten samt hanterar och sköter återställning efter sådana informationssäkerhetsincidenter,

5)

uppfyller kraven i punkt IS.AR.220 när den utkontrakterar någon del av den verksamhet som beskrivs i punkt IS.AR.200 till andra organisationer,

6)

uppfyller de personalkrav som anges i punkt IS.AR.225,

7)

uppfyller de dokumentationskrav som anges i punkt IS.AR.230,

8)

övervakar att den egna organisationen uppfyller kraven i denna förordning och ger återkoppling om brister till den person som avses i punkt IS.AR.225 a för att säkerställa ett effektivt genomförande av korrigerande åtgärder,

9)

skyddar konfidentialiteten för all information som den behöriga myndigheten innehar och som är kopplad till organisationer som står under dess tillsyn samt information som mottagits genom organisationens externa rapporteringssystem som inrättats i enlighet med punkt IS.I.OR.230 i bilaga II (Del-IS.I.OR) till denna förordning och punkt IS.D.OR.230 i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645,

10)

underrättar byrån om ändringar som påverkar den behöriga myndighetens förmåga att utföra sina arbetsuppgifter och fullgöra sina skyldigheter enligt denna förordning,

11)

definierar och genomför förfaranden för att, när så är lämpligt samt på ett praktiskt sätt och i god tid, utbyta relevant information för att bistå andra behöriga myndigheter och byråer, samt organisationer som omfattas av denna förordning, för att genomföra effektiva bedömningar av säkerhetsrisker kopplade till deras verksamhet.

1)

den behöriga myndighetens verksamhet, anläggningar och resurser samt de tjänster som den behöriga myndigheten driver, tillhandahåller, tar emot eller upprätthåller,

2)

den utrustning och information och de system och data som bidrar till att de delar som avses i punkt 1 fungerar.

1)

tilldela en risknivå enligt en fördefinierad klassificering som fastställts av den behöriga myndigheten,

2)

associera varje risk och dess nivå med motsvarande del eller gränssnitt som identifierats i enlighet med punkterna a och b.

1)

Det sker en förändring i de delar som omfattas av informationssäkerhetsrisker.

2)

Det sker en förändring i gränssnitten mellan den behöriga myndighetens organisation och andra organisationer, eller i de risker som meddelats av de andra organisationerna.

3)

Det sker en förändring i den information eller kunskap som används för att identifiera, analysera och klassificera risker.

4)

Lärdom dras av analysen av informationssäkerhetsincidenter.

1)

kontrollera de omständigheter som bidrar till att hotscenariot faktiskt inträffar,

2)

minska konsekvenserna för flygsäkerheten i samband med att hotscenariot förverkligas,

3)

undvika riskerna.

1)

identifiera avvikelser från fördefinierade utgångsvärden för funktionsprestanda,

2)

utlösa varningar för att aktivera lämpliga reaktionsåtgärder, vid eventuella avvikelser.

1)

inleda den egna organisationens reaktion på de varningar som avses i punkt a.2 genom att aktivera fördefinierade resurser och åtgärder,

2)

begränsa spridningen av en attack och undvika att ett hotscenario förverkligas fullt ut,

3)

kontrollera felläget för de berörda delar som anges i punkt IS.AR.205 a.

1)

eliminera det förhållande som orsakade incidenten eller begränsa det till en acceptabel nivå,

2)

återställa ett säkert tillstånd för de berörda delar som anges i punkt IS.AR.205 a inom en återställningstid som tidigare fastställts av den egna organisationen.

1)

vara bemyndigad att till fullo utnyttja de resurser som krävs för att den behöriga myndigheten ska kunna utföra alla de uppgifter som krävs enligt denna förordning,

2)

kunna delegera befogenheter när så krävs för att utföra de tilldelade uppgifterna.

1)

Den behöriga myndigheten ska säkerställa att följande dokumentation arkiveras och kan spåras:

2)

Den dokumentation som avses i punkt 1 i ska bevaras i minst fem år efter det att kontraktet har ändrats eller sagts upp.

3)

Den dokumentation som avses i punkt 1 ii och iii ska bevaras i minst fem år.

4)

Den dokumentation som avses i punkt 1 iv ska bevaras till dess att dessa informationssäkerhetshändelser har omprövats i enlighet med en periodicitet som anges i ett förfarande som fastställts av den behöriga myndigheten.

1)

Dokumentationen av personalens kvalifikationer och erfarenhet ska bevaras så länge personen arbetar för den behöriga myndigheten och i minst tre år efter det att personen har lämnat den behöriga myndigheten.

2)

Anställda ska på egen begäran få tillgång till den dokumentation som gäller dem. På deras begäran ska den behöriga myndigheten också ge dem en kopia av den dokumentation som gäller dem när de lämnar den behöriga myndigheten.

1)

inrättar en policy för informationssäkerhet som fastställer organisationens övergripande principer med avseende på informationssäkerhetsriskernas potentiella inverkan på flygsäkerheten,

2)

identifierar och ser över informationssäkerhetsrisker i enlighet med punkt IS.I.OR.205,

3)

definierar och genomför åtgärder för hantering av informationssäkerhetsrisker i enlighet med punkt IS.I.OR.210,

4)

genomför ett internt rapporteringssystem för informationssäkerhet i enlighet med punkt IS.I.OR.215,

5)

definierar och genomför, i enlighet med punkt IS.I.OR.220, de åtgärder som krävs för att upptäcka informationssäkerhetshändelser, identifierar de händelser som anses vara incidenter med en potentiell inverkan på flygsäkerheten med undantag för vad som är tillåtet enligt punkt IS.I.OR.205 e samt hanterar och sköter återställning efter sådana informationssäkerhetsincidenter,

6)

genomför de åtgärder som har anmälts av den behöriga myndigheten som en omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten,

7)

vidtar lämpliga åtgärder, i enlighet med punkt IS.I.OR.225, för att hantera brister som anmälts av den behöriga myndigheten,

8)

genomför ett externt rapporteringssystem i enlighet med punkt IS.I.OR.230 för att den behöriga myndigheten ska kunna vidta lämpliga åtgärder,

9)

uppfyller kraven i punkt IS.I.OR.235 när den utkontrakterar någon del av den verksamhet som avses i punkt IS.I.OR.200 till andra organisationer,

10)

uppfyller de personalkrav som fastställs i punkt IS.I.OR.240,

11)

uppfyller de dokumentationskrav som fastställs i punkt IS.I.OR.245,

12)

övervakar att organisationen uppfyller kraven i denna förordning och ger återkoppling om brister till den verksamhetsansvariga chefen för att säkerställa ett effektivt genomförande av korrigerande åtgärder,

13)

utan att det påverkar tillämpliga krav på incidentrapportering, skyddar konfidentialiteten för all information som organisationen kan ha mottagit från andra organisationer, i enlighet med informationens känslighetsnivå.

1)

organisationens verksamhet, anläggningar och resurser, liksom de tjänster som organisationen driver, tillhandahåller, tar emot eller upprätthåller,

2)

den utrustning och information och de system och data som bidrar till att de delar som anges i punkt 1 fungerar.

1)

tilldela en risknivå enligt en fördefinierad klassificering som fastställts av organisationen,

2)

associera varje risk och dess nivå med motsvarande del eller gränssnitt som identifierats i enlighet med punkterna a och b.

1)

Det sker en förändring i de delar som omfattas av informationssäkerhetsrisker.

2)

Det sker en förändring i gränssnitten mellan organisationen och andra organisationer, eller i de risker som meddelats av de andra organisationerna.

3)

Det sker en förändring i den information eller kunskap som används för att identifiera, analysera och klassificera risker.

4)

Lärdom dras av analysen av informationssäkerhetsincidenter.

1)

kontrollera de omständigheter som bidrar till att hotscenariot faktiskt inträffar,

2)

minska konsekvenserna för flygsäkerheten i samband med att hotscenariot förverkligas,

3)

undvika riskerna.

1)

identifiera vilka av de händelser som rapporterats i enlighet med punkt a som anses vara informationssäkerhetsincidenter eller sårbarheter med potentiell inverkan på flygsäkerheten,

2)

identifiera orsakerna och bidragande faktorer till de informationssäkerhetsincidenter och sårbarheter som identifierats i enlighet med punkt 1 och ta itu med dem som en del av riskhanteringsprocessen för informationssäkerhet i enlighet med punkterna IS.I.OR.205 och IS.I.OR.220,

3)

säkerställa en utvärdering av all känd och relevant information om de informationssäkerhetsincidenter och sårbarheter som identifierats i enlighet med punkt 1,

4)

säkerställa genomförandet av en metod för att internt distribuera informationen vid behov.

1)

identifiera avvikelser från fördefinierade utgångsvärden för funktionsprestanda,

2)

utlösa varningar för att aktivera lämpliga reaktionsåtgärder, vid eventuella avvikelser.

1)

inleda reaktionen på de varningar som avses i punkt a.2 genom att aktivera fördefinierade resurser och åtgärder,

2)

begränsa spridningen av en attack och undvika att ett hotscenario förverkligas fullt ut,

3)

kontrollera felläget för de berörda delar som anges i punkt IS.I.OR.205 a.

1)

eliminera det förhållande som orsakade incidenten eller begränsa det till en acceptabel nivå,

2)

uppnå ett säkert tillstånd för de berörda delar som anges i punkt IS.I.OR.205 a inom en återställningstid som tidigare fastställts av organisationen.

1)

identifiera grundorsaken eller grundorsakerna, samt bidragande faktorer, till den bristande kravuppfyllelsen,

2)

utarbeta en plan för korrigerande åtgärder,

3)

påvisa att den bristande kravuppfyllelsen har korrigerats på ett för den behöriga myndigheten tillfredsställande sätt.

1)

Om en sådan incident eller sårbarhet påverkar ett luftfartyg eller tillhörande system eller komponent ska organisationen också rapportera den till innehavaren av konstruktionsgodkännandet.

2)

Om en sådan incident eller sårbarhet påverkar ett system eller en komponent som används av organisationen, ska organisationen rapportera den till den organisation som ansvarar för konstruktionen av systemet eller komponenten.

1)

En anmälan ska lämnas in till den behöriga myndigheten och, i tillämpliga fall, till innehavaren av konstruktionsgodkännandet eller till den organisation som ansvarar för konstruktionen av systemet eller komponenten, så snart som organisationen får kännedom om omständigheterna.

2)

En rapport ska lämnas in till den behöriga myndigheten och, i tillämpliga fall, till innehavaren av konstruktionsgodkännandet eller till den organisation som ansvarar för konstruktionen av systemet eller komponenten, så snart som möjligt men senast 72 timmar efter det att organisationen får kännedom om omständigheterna, såvida inte exceptionella omständigheter förhindrar detta.

Rapporten ska göras i den form som fastställs av den behöriga myndigheten och innehålla all relevant information som organisationen känner till om omständigheten.

3)

En uppföljningsrapport ska lämnas in till den behöriga myndigheten och, i tillämpliga fall, till innehavaren av konstruktionsgodkännandet eller till den organisation som ansvarar för konstruktionen av systemet eller komponenten, med uppgifter om de åtgärder som organisationen har vidtagit eller avser att vidta för återställning efter incidenten och de åtgärder den avser att vidta för att förhindra liknande informationssäkerhetsincidenter i framtiden.

Uppföljningsrapporten ska lämnas in så snart dessa åtgärder har identifierats och ska utarbetas i den form som fastställs av den behöriga myndigheten.

1)

säkerställa att alla nödvändiga resurser finns tillgängliga för att uppfylla kraven i denna förordning,

2)

fastställa och främja den informationssäkerhetspolicy som avses i punkt IS.I.OR.200 a.1,

3)

uppvisa en grundläggande förståelse av denna förordning.

1)

Organisationen ska säkerställa att följande dokumentation arkiveras och kan spåras:

2)

Den dokumentation som avses i punkt 1 i ska bevaras i minst fem år efter det att godkännandet inte längre än giltigt.

3)

Den dokumentation som avses i punkt 1 ii ska bevaras i minst fem år efter det att kontraktet har ändrats eller sagts upp.

4)

Den dokumentation som avses i punkt 1 iii, iv och v ska bevaras i minst fem år.

5)

Den dokumentation som avses i punkt 1 vi ska bevaras till dess att dessa informationssäkerhetshändelser har omprövats i enlighet med en periodicitet som anges i ett förfarande som fastställts av organisationen.

1)

Dokumentationen av personalens kvalifikationer och erfarenhet ska bevaras så länge personen arbetar för organisationen och i minst tre år efter det att personen har lämnat organisationen.

2)

Anställda ska på egen begäran få tillgång till den dokumentation som gäller dem. På deras begäran ska organisationen också ge dem en kopia av den dokumentation som gäller dem när de lämnar organisationen.

1)

En försäkran undertecknad av den verksamhetsansvariga chefen som bekräftar att organisationen alltid kommer att utföra sin verksamhet i enlighet med denna bilaga och ISMM. Om den verksamhetsansvariga chefen inte är organisationens verkställande direktör ska den verkställande direktören kontrasignera försäkran.

2)

Titlar, namn, arbetsuppgifter, skyldigheter, ansvar och befogenheter för den eller de personer som avses i punkt IS.I.OR.240 b och c.

3)

Titlar, namn, arbetsuppgifter, skyldigheter, ansvar och befogenheter för den gemensamma ansvariga person som avses i punkt IS.I.OR.240 d, i tillämpliga fall.

4)

Organisationens informationssäkerhetspolicy som avses i punkt IS.I.OR.200 a.1.

5)

En allmän beskrivning av antalet anställda och personalkategorierna samt det system som finns för att planera personalens tillgänglighet i enlighet med punkt IS.I.OR.240.

6)

Titlar, namn, arbetsuppgifter, skyldigheter, ansvar och befogenheter för de centrala personer som ansvarar för genomförandet av punkt IS.I.OR.200, inbegripet den eller de personer som ansvarar för övervakning av kravuppfyllelse enligt punkt IS.I.OR.200 a.12.

7)

Ett organisationsschema som visar tillhörande kedjor av ansvarsskyldighet och ansvar för de personer som avses i punkterna 2 och 6.

8)

Beskrivningen av det interna rapporteringssystem som avses i punkt IS.I.OR.215.

9)

De förfaranden som specificerar hur organisationen säkerställer efterlevnad av denna del, särskilt

10)

Uppgifter om de för närvarande godkända alternativa sätten att uppfylla kraven.

1)

Ansökan ska lämnas in innan någon ändring äger rum för att den behöriga myndigheten ska kunna fastställa fortsatt efterlevnad av denna förordning samt vid behov ändra organisationens certifikat och de villkor för godkännande som bifogas certifikatet.

2)

Organisationen ska ge den behöriga myndigheten tillgång till all information den begär för att kunna utvärdera ändringen.

3)

Ändringen ska genomföras först efter att ett formellt godkännande har mottagits från den behöriga myndigheten.

4)

Vid genomförandet av sådana ändringar ska organisationen agera enligt de villkor som föreskrivs av den behöriga myndigheten.

(a)

I punkt ARA.GEN.125 ska följande punkt läggas till som punkt c:

(b)

Efter punkt ARA.GEN.135 ska följande punkt införas som punkt ARA.GEN.135A:

” ARA.GEN.135A Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten

(c)

I punkt ARA.GEN.200 ska följande punkt läggas till som punkt e:

(d)

Punkt ARA.GEN.205 ska ändras på följande sätt:

(e)

I punkt ARA.GEN.300 ska följande punkt läggas till som punkt g:

(f)

Efter punkt ARA.GEN.330 ska följande punkt införas som punkt ARA.GEN.330A:

” ARA.GEN.330A Ändringar av systemet för hantering av informationssäkerhet

(a)

Följande rubrik ska införas efter rubrik 21.B.20:

”21.B.20A Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten”.

(b)

Rubriken till punkt 21.B.30 ska ersättas med följande:

”21.B.30 Tilldelning av uppgifter”.

(c)

Följande rubrik ska införas efter rubrik 21.B.240:

”21.B.240A Ändringar av systemet för hantering av informationssäkerhet”.

(d)

Följande rubrik ska införas efter rubrik 21.B.435:

”21.B.435A Ändringar av systemet för hantering av informationssäkerhet”.

”c)

Medlemsstatens behöriga myndighet ska så snart som möjligt förse byrån med information av betydelse för säkerheten som härrör från de informationssäkerhetsrapporter som den har mottagit enligt punkt IS.D.OR.230 i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645.”

a)

Den behöriga myndigheten ska införa ett system för att på lämpligt sätt samla in, analysera och sprida information om informationssäkerhetsincidenter och sårbarheter med en potentiell inverkan på flygsäkerheten som rapporteras av organisationer. Detta ska göras i samordning med andra relevanta myndigheter som ansvarar för informationssäkerhet eller cybersäkerhet i medlemsstaten för att öka samordningen av och förenligheten hos rapporteringssystemen.

b)

Byrån ska införa ett system för att på lämpligt sätt analysera all relevant information av betydelse för säkerheten som mottagits i enlighet med punkt 21.B.15 c och utan onödigt dröjsmål förse medlemsstaterna och kommissionen med all information, inklusive rekommendationer eller korrigerande åtgärder som ska vidtas, som krävs för att de i god tid ska kunna reagera på en informationssäkerhetsincident eller sårbarhet med en potentiell inverkan på flygsäkerheten som inbegriper produkter, delar, utrustning som inte är fast installerad, personer eller organisationer som omfattas av förordning (EU) 2018/1139 och dess delegerade akter och genomförandeakter.

c)

När den behöriga myndigheten har mottagit den information som avses i punkterna a och b ska den vidta lämpliga åtgärder för att ta itu med den potentiella inverkan av informationssäkerhetsincidenten eller sårbarheten på flygsäkerheten.

d)

Åtgärder som vidtas i enlighet med punkt c ska omgående meddelas alla personer eller organisationer som ska följa dem enligt förordning (EU) 2018/1139 och dess delegerade akter och genomförandeakter. Medlemsstatens behöriga myndighet ska också informera byrån och, om kombinerade åtgärder krävs, de behöriga myndigheterna i övriga berörda medlemsstater, om dessa åtgärder.”

”e)

Utöver kraven i punkt a ska det ledningssystem som inrättats och upprätthålls av den behöriga myndigheten uppfylla kraven i bilaga I (Del-IS.AR) till genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.”

(a)

Rubriken ska ersättas med följande:

”21.B.30 Tilldelning av uppgifter”.

(b)

Följande punkt ska läggas till som punkt c:

”g)

När det gäller certifiering och tillsyn av organisationens efterlevnad av punkt 21.A.139A ska den behöriga myndigheten, utöver att uppfylla kraven i punkterna a–f, se över alla godkännanden som beviljats enligt punkt IS.I.OR.200 e i denna förordning eller punkt IS.D.OR.200 e i delegerad förordning (EU) 2022/1645 efter den tillämpliga tillsynscykeln och närhelst ändringar genomförs i organisationens arbetsområde.”

a)

För ändringar som hanteras och anmäls till den behöriga myndigheten i enlighet med förfarandet i punkt IS.D.OR.255 a i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645 ska den behöriga myndigheten inkludera en översyn av sådana ändringar i sin fortlöpande tillsyn i enlighet med principerna i punkt 21.B.221. Om bristande efterlevnad konstateras ska den behöriga myndigheten underrätta organisationen om detta, begära ytterligare ändringar och agera i enlighet med punkt 21.B.225.

b)

För andra ändringar som kräver en ansökan om godkännande i enlighet med punkt IS.D.OR.255 b i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645 gäller följande:

”d)

När det gäller certifiering och tillsyn av organisationens efterlevnad av punkt 21.A.239A ska den behöriga myndigheten, utöver att uppfylla kraven i punkterna a–c, iaktta följande principer:

a)

För ändringar som hanteras och anmäls till den behöriga myndigheten i enlighet med förfarandet i punkt IS.D.OR.255 a i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645 ska den behöriga myndigheten inkludera en översyn av sådana ändringar i sin fortlöpande tillsyn i enlighet med principerna i punkt 21.B.431. Om bristande efterlevnad konstateras ska den behöriga myndigheten underrätta organisationen om detta, begära ytterligare ändringar och agera i enlighet med punkt 21.B.433.

b)

För andra ändringar som kräver en ansökan om godkännande i enlighet med punkt IS.D.OR.255 b i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645 gäller följande:

(a)

I punkt ARO.GEN.125 ska följande punkt läggas till som punkt c:

(b)

Efter punkt ARO.GEN.135 ska följande punkt införas som punkt ARO.GEN.135A:

”ARO.GEN.135A    Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten

(c)

I punkt ARO.GEN.200 ska följande punkt läggas till som punkt e:

(d)

Punkt ARO.GEN.205 ska ändras på följande sätt:

(e)

I punkt ARO.GEN.300 ska följande punkt läggas till som punkt g:

(f)

Efter punkt ARO.GEN.330 ska följande punkt införas som punkt ARO.GEN.330A:

”ARO.GEN.330A    Ändringar av systemet för hantering av informationssäkerhet

”c)

Medlemsstatens behöriga myndighet ska så snart som möjligt förse byrån med information av betydelse för säkerheten som härrör från de informationssäkerhetsrapporter som den har mottagit enligt punkt IS.D.OR.230 i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645.”

a)

Den behöriga myndigheten ska införa ett system för att på lämpligt sätt samla in, analysera och sprida information om informationssäkerhetsincidenter och sårbarheter med en potentiell inverkan på flygsäkerheten som rapporteras av organisationer. Detta ska göras i samordning med andra relevanta myndigheter som ansvarar för informationssäkerhet eller cybersäkerhet i medlemsstaten för att öka samordningen av och förenligheten hos rapporteringssystemen.

b)

Byrån ska införa ett system för att på lämpligt sätt analysera all relevant information av betydelse för säkerheten som mottagits i enlighet med punkt ADR.AR.A.025 c och utan onödigt dröjsmål förse medlemsstaterna och kommissionen med all information, inklusive rekommendationer eller korrigerande åtgärder som ska vidtas, som krävs för att de i god tid ska kunna reagera på en informationssäkerhetsincident eller sårbarhet med en potentiell inverkan på flygsäkerheten som inbegriper produkter, delar, utrustning som inte är fast installerad, personer eller organisationer som omfattas av förordning (EU) 2018/1139 och dess delegerade akter och genomförandeakter.

c)

När den behöriga myndigheten har mottagit den information som avses i punkterna a och b ska den vidta lämpliga åtgärder för att ta itu med den potentiella inverkan av informationssäkerhetsincidenten eller sårbarheten på flygsäkerheten.

d)

Åtgärder som vidtas i enlighet med punkt c ska omgående meddelas alla personer eller organisationer som ska följa dem enligt förordning (EU) 2018/1139 och dess delegerade akter och genomförandeakter. Medlemsstatens behöriga myndighet ska också informera byrån och, om kombinerade åtgärder krävs, de behöriga myndigheterna i övriga berörda medlemsstater, om dessa åtgärder.”

”d)

Utöver kraven i punkt a ska det ledningssystem som inrättats och upprätthålls av den behöriga myndigheten uppfylla kraven i bilaga I (Del-IS.AR) till genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.”

(i)

Rubriken ska ersättas med följande:

” ADR.AR.B.010 Tilldelning av uppgifter ”.

(ii)

Följande punkt ska läggas till som punkt c:

”f)

När det gäller certifiering och tillsyn av organisationens efterlevnad av punkt ADR.OR.D.005A ska den behöriga myndigheten, utöver att uppfylla kraven i punkterna a–e, se över alla godkännanden som beviljats enligt punkt IS.I.OR.200 e i denna förordning eller punkt IS.D.OR.200 e i delegerad förordning (EU) 2022/1645 efter den tillämpliga tillsynscykeln och närhelst ändringar genomförs i organisationens arbetsområde.”

a)

När det gäller ändringar som hanteras och anmäls till den behöriga myndigheten i enlighet med förfarandet i punkt IS.D.OR.255 a i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645 ska den behöriga myndigheten inkludera en översyn av sådana ändringar i sin fortlöpande tillsyn i enlighet med principerna i punkt ADR.AR.C.005. Om bristande efterlevnad konstateras ska den behöriga myndigheten underrätta organisationen om detta, begära ytterligare ändringar och agera i enlighet med punkt ADR.AR.C.055.

b)

När det gäller andra ändringar som kräver en ansökan om godkännande i enlighet med punkt IS.D.OR.255 b i bilagan (Del-IS.D.OR) till delegerad förordning (EU) 2022/1645 gäller följande:

(a)

Innehållsförteckningen ska ändras på följande sätt:

(b)

Efter punkt 145.A.200 ska följande punkt införas som punkt 145.A.200A:

”145.A.200A    System för hantering av informationssäkerhet

Utöver det ledningssystem som avses i punkt 145.A.200 ska underhållsorganisationen inrätta, genomföra och upprätthålla ett system för hantering av informationssäkerhet i enlighet med genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.”

(c)

I punkt 145.B.125 ska följande punkt läggas till som punkt c:

(d)

Efter punkt 145.B.135 ska följande punkt införas som punkt 145.B.135A:

”145.B.135A    Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten

(e)

I punkt 145.B.200 ska följande punkt läggas till som punkt e:

(f)

Punkt 145.B.205 ska ändras på följande sätt:

(g)

I punkt 145.B.300 ska följande punkt läggas till som punkt g:

(h)

Efter punkt 145.B.330 ska följande punkt införas som punkt 145.B.330A:

”145.B.330A    Ändringar av systemet för hantering av informationssäkerhet

(a)

I innehållsförteckningen ska följande rubrik införas efter rubrik 66.B.10:

(b)

Efter punkt 66.B.10 ska följande punkt införas som punkt 66.B.15:

”66.B.15    System för hantering av informationssäkerhet

Den behöriga myndigheten ska inrätta, genomföra och upprätthålla ett system för hantering av informationssäkerhet i enlighet med bilaga I (Del-IS.AR) till genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.”

(a)

Innehållsförteckningen ska ändras på följande sätt:

(b)

Efter punkt CAMO.A.200 ska följande punkt införas som punkt CAMO.A.200A:

”CAMO.A.200A    System för hantering av informationssäkerhet

Utöver det ledningssystem som avses i punkt CAMO.A.200 ska organisationen inrätta, genomföra och upprätthålla ett system för hantering av informationssäkerhet i enlighet med genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.”

(c)

I punkt CAMO.B.125 ska följande punkt läggas till som punkt c:

(d)

Efter punkt CAMO.B.135 ska följande punkt införas som punkt CAMO.B.135A:

”CAMO.B.135A    Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten

(e)

I punkt CAMO.B.200 ska följande punkt läggas till som punkt e:

(f)

Punkt CAMO.B.205 ska ändras på följande sätt:

(g)

I punkt CAMO.B.300 ska följande punkt läggas till som punkt g:

(h)

Efter punkt CAMO.B.330 ska följande punkt införas som punkt CAMO.B.330A:

”CAMO.B.330A    Ändringar av systemet för hantering av informationssäkerhet

(a)

I punkt ATCO.AR.A.020 ska följande punkt läggas till som punkt c:

(b)

Efter punkt ATCO.AR.A.025 ska följande punkt införas som punkt ATCO.AR.A.025A:

”ATCO.AR.A.025A    Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten

(c)

I punkt ATCO.AR.B.001 ska följande punkt läggas till som punkt e:

(d)

Punkt ATCO.AR.B.005 ska ändras på följande sätt:

(e)

I punkt ATCO.AR.C.001 ska följande punkt läggas till som punkt f:

(f)

Efter punkt ATCO.AR.E.010 ska följande punkt införas som punkt ATCO.AR.E.010A:

”ATCO.AR.E.010A    Ändringar av systemet för hantering av informationssäkerhet

(a)

I punkt ATM/ANS.AR.A.020 ska följande punkt läggas till som punkt c:

(b)

Efter punkt ATM/ANS.AR.A.025 ska följande punkt införas som punkt ATM/ANS.AR.A.025A:

” ATM/ANS.AR.A.025A Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten

(c)

I punkt ATM/ANS.AR.B.001 ska följande punkt läggas till som punkt e:

(d)

Punkt ATM/ANS.AR.B.005 ska ändras på följande sätt:

(e)

I punkt ATM/ANS.AR.C.010 ska följande punkt läggas till som punkt d:

(f)

Efter punkt ATM/ANS.AR.C.025 ska följande punkt införas som punkt ATM/ANS.AR.C.025A:

” ATM/ANS.AR.C.025A Ändringar av systemet för hantering av informationssäkerhet

(a)

Efter punkt ATM/ANS.OR.B.005 ska följande punkt införas som punkt ATM/ANS.OR.B.005A:

” ATM/ANS.OR.B.005A System för hantering av informationssäkerhet

Utöver det ledningssystem som avses i punkt ATM/ANS.OR.B.005 ska tjänsteleverantören inrätta, genomföra och upprätthålla ett system för hantering av informationssäkerhet i enlighet med genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.”

(b)

Punkt ATM/ANS.OR.D.010 ska ersättas med följande:

” ATM/ANS.OR.D.010 Skyddsledning