a)

Utan att det påverkar tillämpningen av Europaparlamentets och rådets förordning (EU) nr 376/2014 (1) och de delegerade akter och genomförandeakter som antagits på grundval av denna, ska byrån införa ett system för att på lämpligt sätt samla in, analysera och sprida information om säkerhet, skydd och driftskompatibilitet.

b)

Efter att ha mottagit den information som avses i punkt a ska byrån vidta lämpliga åtgärder för att hantera eventuella identifierade problem som gäller säkerhet, skydd eller driftskompatibilitet, inbegripet utfärdande av direktiv för ATM/ANS-utrustning i enlighet med punkt ATM/ANS.EQMT.AR.A.030 i bilaga I till delegerad förordning (EU) 2023/1768.

c)

Åtgärder som vidtas enligt punkt b ska omedelbart meddelas till den berörda organisation som är skyldig att efterleva dessa, i enlighet med punkt DPO.OR.A.035. De behöriga myndigheterna för de berörda ATM/ANS-leverantörerna ska också underrättas.

a)

Byrån ska införa ett system för att på lämpligt sätt samla in, analysera och sprida information om incidenter och sårbarheter som rör informationssäkerhet och har en potentiell inverkan på flygsäkerheten, och som rapporteras av organisationer. Detta ska göras i samordning med andra relevanta myndigheter som ansvarar för informationssäkerhet eller cybersäkerhet i medlemsstaten för att öka samordningen av och förenligheten hos rapporteringssystemen.

b)

När byrån har mottagit den information som avses i punkt a ska den vidta lämpliga åtgärder för att ta itu med den potentiella inverkan av incidenten eller sårbarheten på informationssäkerheten och därmed på flygsäkerheten.

c)

Åtgärder som vidtas i enlighet med punkt b ska omedelbart meddelas alla personer eller organisationer som ska efterleva dem enligt förordning (EU) 2018/1139 och de delegerade akter och genomförandeakter som antagits på grundval av denna. Byrån ska också underrätta de behöriga myndigheterna i de berörda medlemsstaterna om dessa åtgärder.

a)

Byrån ska inrätta och underhålla ett ledningssystem som minst omfattar följande:

b)

Byrån ska för varje verksamhetsområde som ingår i ledningssystemet utse en eller flera personer med övergripande ledningsansvar för den/de relevanta uppgiften/uppgifterna.

c)

Byrån ska fastställa förfaranden för sitt deltagande i ett ömsesidigt utbyte av all nödvändig information med alla andra behöriga myndigheter som avses i artikel 4 i kommissionens genomförandeförordning (EU) 2017/373 (2) och ge dem bistånd eller begära bistånd från dem, inbegripet all eventuell information som härrör från obligatorisk och frivillig händelserapportering enligt kraven i punkt DPO.OR.A.045.

d)

Det ledningssystem som inrättats och underhålls av byrån ska uppfylla kraven i bilaga I (Del-IS.AR) till genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.

a)

Byrån ska ha inrättat ett system för att identifiera ändringar som påverkar dess förmåga att utföra sina uppgifter och fullgöra sitt ansvar enligt förordning (EU) 2018/1139 och de delegerade akter och genomförandeakter som antagits på grundval av den förordningen. Systemet ska göra det möjligt för byrån att vidta lämpliga åtgärder för att säkerställa att ledningssystemet förblir användbart och effektivt.

b)

Byrån ska uppdatera sitt ledningssystem så att det i rätt tid avspeglar varje ändring i förordning (EU) 2018/1139 och de delegerade akter och genomförandeakter som antagits på grundval av den förordningen, i syfte att säkerställa en effektiv tillämpning av ledningssystemet.

a)

Byrån ska upprätta och underhålla ett dokumentationssystem som tillhandahåller adekvat lagring, åtkomst och tillförlitlig spårbarhet vad gäller uppgifter om

b)

Byrån ska föra en förteckning över alla certifikat som den har utfärdat och över alla försäkringar som den har registrerat.

c)

All dokumentation som avses i leden a och b ska lagras på ett sätt som säkerställer skydd mot skada, ändring och stöld och ska bevaras i minst fem år efter det att godkännandena och certifikaten har upphört att gälla eller försäkringarna återkallats, med förbehåll för tillämplig dataskyddslagstiftning.

a)

När byrån tar emot en ansökan om utfärdande av ett godkännande till en organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning. ska den verifiera att organisationen uppfyller de krav som fastställs i bilagorna II och III till delegerad förordning (EU) 2023/1768 och i bilaga II till den här förordningen.

b)

Byrån får begära alla granskningar, inspektioner eller bedömningar som den anser nödvändiga innan den utfärdar godkännandet med all relevant information som anges i tillägg 1 till denna bilaga.

c)

Godkännandet ska utfärdas med obegränsad varaktighet. Befogenheterna avseende den verksamhet som organisationen är godkänd att utföra ska anges i de villkor som är knutna till godkännandet.

d)

Godkännandet får inte utfärdas om en brist på nivå 1 som avses i DPO.AR.C.015 kvarstår. Under exceptionella omständigheter ska andra brister än sådana på nivå 1 bedömas och mildras efter behov av organisationen, och en plan för korrigerande åtgärder som åtgärdar bristen eller bristerna ska godkännas av byrån innan certifikatet utfärdas.

e)

Varje ändring av godkännandet och dess villkor ska godkännas av byrån.

a)

Byrån ska upprätta och årligen uppdatera ett tillsynsprogram, med beaktande av den särskilda arten hos de organisationer den övervakar, komplexiteten i dessas verksamhet och resultaten av tidigare certifierings- och/eller tillsynsverksamhet, och ska grunda programmet på en bedömning av därmed förknippade risker. Tillsynsprogrammet ska omfatta granskningar, som ska uppfylla följande:

b)

Byrån får besluta att ändra målen för och omfattningen av planerade granskningar, även dokumentationsgranskningar och extra granskningar, där det behövs.

c)

Byrån ska besluta vilka arrangemang, delar, fysiska platser och verksamheter som ska granskas inom en angiven tidsram.

d)

Observationer och brister som framkommit vid granskningen och som meddelas i enlighet med punkt DPO.AR.C.015 ska dokumenteras.

e)

Bristerna ska styrkas med bevisning och innehålla hänvisningar till de tillämpliga kraven och tillhörande genomförandearrangemang i förhållande till vilka granskningen har genomförts.

f)

En granskningsrapport, inklusive uppgifter om brister och observationer, ska utarbetas och överlämnas till den berörda organisationen.

a)

För ändringar som hanteras och anmäls till byrån i enlighet med förfarandet i punkt IS.I.OR.255 a i bilaga II (Del-IS.I.OR) till genomförandeförordning (EU) 2023/203 ska byrån inkludera en översyn av sådana ändringar i sitt fortlöpande tillsynsprogram i enlighet med de principer som fastställs i punkt DPO.AR.C.005 i denna bilaga. Om bristande efterlevnad konstateras ska byrån underrätta organisationen om detta, begära ytterligare ändringar och agera i enlighet med punkt DPO.AR.C.015 i denna bilaga.

b)

För andra ändringar som kräver en ansökan om godkännande i enlighet med punkt IS.I.OR.255 b i bilaga II (Del-IS.I.OR) till genomförandeförordning (EU) 2023/203 gäller följande:

a)

När byrån under utredning, tillsyn eller på annat sätt konstaterar bristande efterlevnad av de tillämpliga kraven i denna förordning vad gäller ett förfarande eller en handbok som krävs enligt denna förordning, eller av ett certifikat eller en försäkran som utfärdats i enlighet med denna förordning, ska den, utan att det påverkar tillämpningen av eventuella ytterligare åtgärder som krävs enligt förordning (EU) 2018/1139, konstatera en brist.

b)

Byrån ska ha inrättat ett system för att

c)

En brist på nivå 1 ska konstateras av byrån när den identifierar en betydande bristande efterlevnad av certifieringsgrunden för ATM/ANS-certifiering enligt punkt ATM/ANS.EQMT.AR.B.001 i bilaga I till delegerad förordning (EU) 2023/1768 som kan leda till okontrollerad bristande efterlevnad och till en potentiellt oönskad situation.

Brister på nivå 1 ska bland annat omfatta följande:

d)

En brist på nivå 2 ska konstateras av byrån om bristande efterlevnad av något av följande identifieras:

Detta inte klassificeras som en brist på nivå 1.

e)

Om en brist konstateras ska byrån, utan att det påverkar tillämpningen av eventuella ytterligare åtgärder som krävs enligt förordning (EU) 2018/1139 och de delegerade akter och genomförandeakter som antagits på grundval av denna, skriftligen meddela den berörda organisationen denna brist och kräva att den vidtar korrigerande åtgärder för att komma till rätta med den bristande efterlevnad som konstaterats.

f)

I de fall som inte innebär en brist på nivå 1 eller nivå 2 får byrån meddela observationer.

g)

Byrån ska

h)

När byrån vidtar verkställighetsåtgärder i enlighet med led g ska den delge adressaten om åtgärderna, ange skälen för dem och informera adressaten om sin rätt att överklaga.

a)

Att byrån är den behöriga myndighet som har utfärdat godkännandet.

b)

Sökandens namn och fullständiga postadress.

c)

Sökandens arbetsområde.

d)

Den plats där verksamheten ska utföras.

e)

De tillhörande befogenheter för vilka sökanden har godkänts.

f)

En försäkran om sökandens överensstämmelse med och uppfyllelse av de tillämpliga kraven.

g)

Datum för utfärdande och giltighet för godkännandet.

h)

De ytterligare villkor eller begränsningar som är knutna till det.

a)

En ansökan om ett organisationsgodkännande för konstruktion eller produktion ska göras i en form och på ett sätt som fastställts av byrån.

b)

För att erhålla ett godkännande ska en organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning uppfylla kraven i denna förordning när dessa krav är tillämpliga på konstruktion eller produktion av ATM/ANS-system och ATM/ANS-komponenter som organisationen utför eller avser att utföra.

a)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska upprätta och underhålla en organisationshandbok som innehåller följande information:

b)

Organisationshandboken ska ändras på det sätt som är nödvändigt för att förbli en aktuell beskrivning av organisationen, och en kopia av den, inbegripet varje ändring, ska inlämnas till byrån.

c)

En ansökan om ett godkännande av ändring som avses i punkt DPO.OR.B.005 i denna bilaga ska baseras på inlämnandet av de föreslagna ändringarna av organisationshandboken.

a)

Ett organisationsgodkännande ska förbli giltigt under obegränsad tid under förutsättning av följande:

b)

Ett godkännande som återkallas eller återlämnas ska, om det utfärdats i pappersformat, utan dröjsmål lämnas in till byrån.

c)

Innehavaren av ett organisationsgodkännande ska, inom ramen för sina villkor för godkännande och enligt relevanta förfaranden för ledningssystemet för konstruktion, ha rätt att

a)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska underlätta inspektioner och granskningar som utförs av byrån eller av ett behörigt organ som agerar på byråns vägnar, och den ska samarbeta på det sätt som krävs för att byrån ska kunna utöva sina befogenheter på ett effektivt och ändamålsenligt sätt.

b)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska samarbeta med och stödja ATM/ANS-leverantörer som använder organisationens ATM/ANS-utrustning i deras process för att påvisa efterlevnad för de berörda behöriga myndigheterna.

a)

Identifiera grundorsaken till den bristande efterlevnaden.

b)

Utarbeta en plan för korrigerande åtgärder.

c)

Visa att den korrigerande åtgärden har genomförts på ett för byrån tillfredsställande sätt inom den tidsfrist som föreslagits och godkänts av byrån, såsom fastställs i punkt DPO.AR.C.C.015 led 2 e.

a)

Innehavaren av ett godkännande som utfärdats i enlighet med denna förordning ska

b)

För organisationer som har sitt huvudsakliga verksamhetsställe i en medlemsstat ska det system som inrättats i enlighet med led a.1 innehålla bestämmelser om händelserapportering och uppföljning av dessa händelser som uppfyller kraven i förordningarna (EU) nr 376/2014 och (EU) 2018/1139 och de delegerade akter och genomförandeakter som antagits på grundval av dessa.

c)

Innehavaren av godkännandet ska till byrån rapportera alla fel, störningar, defekter eller andra händelser som innehavaren känner till och som har lett till eller kan leda till osäkra eller otrygga situationer eller situationer med bristande prestanda.

d)

För innehavare av godkännanden som inte har sitt huvudsakliga verksamhetsställe i en medlemsstat ska rapporterna lämnas i en form och på ett sätt som fastställts av byrån, så snart det är praktiskt möjligt och under alla omständigheter senast 72 timmar efter det att personen eller organisationen har fått kännedom om den särskilda händelsen, såvida inte exceptionella omständigheter förhindrar detta.

e)

Innehavaren av godkännandet ska utreda en händelse som har rapporterats enligt led c, inbegripet de brister som har lett till händelsen, och till byrån rapportera resultaten av sin utredning och alla åtgärder som denne avser att vidta eller föreslår att vidta för att rätta till dessa brister.

a)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska upprätta och underhålla ett ledningssystem som innehåller följande:

b)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska dokumentera alla processer för viktiga ledningssystem, inbegripet en process för att göra personalen medveten om sitt ansvar, och förfarandet för att ändra dessa processer.

c)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska inrätta en funktion i sitt ledningssystem för att övervaka att den uppfyller de tillämpliga kraven och att de fastställda förfarandena är adekvata. Övervakning av kravuppfyllelse ska inbegripa ett system för återrapportering av brister till den verksamhetsansvarige chefen för att säkerställa ett effektivt genomförande av nödvändiga korrigerande åtgärder.

d)

Ledningssystemet ska stå i proportion till storleken på den organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning och till komplexiteten i dennes verksamhet, med beaktande av de faror och tillhörande risker som är förknippade med denna verksamhet.

e)

Utöver det ledningssystem som avses i led a ska den organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning fastställa, införa och underhålla ett ledningssystem för informationssäkerhet i enlighet med genomförandeförordning (EU) 2023/203 för att säkerställa en korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.

a)

Efter utfärdandet av ett godkännande för en organisation ska alla betydande ändringar av ledningssystemet godkännas av byrån innan de genomförs, såvida inte en sådan ändring anmäls och hanteras i enlighet med ett förfarande som godkänts av byrån. Organisationen ska till byrån lämna in en ansökan om godkännande som visar att de tillämpliga kraven fortlöpande uppfylls.

b)

Varje ändring av ATM/ANS-utrustning ska anmälas till och godkännas av byrån innan den genomförs, såvida inte en sådan ändring hanteras i enlighet med ett förfarande för ändringshantering som godkänts av byrån. Detta förfarande för ändringshantering ska definiera klassificeringen av ändringarna av ATM/ANS-utrustning och beskriva hur sådana ändringar kommer att anmälas och hanteras.

a)

Utkontrakterad verksamhet omfattar all verksamhet inom ramen för organisationens verksamhet, i enlighet med villkoren i certifikatet, som utförs av andra organisationer som antingen själva är certifierade för att utföra sådan verksamhet eller, om de inte är certifierade, arbetar under organisationens tillsyn. En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska säkerställa att när den utkontrakterar någon del av sin verksamhet till, eller när den köper in någon del av sin verksamhet från, externa organisationer ska den utkontrakterade eller köpta verksamheten, beroende på vad som är tillämpligt, uppfylla tillämpliga krav.

b)

När en organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning utkontrakterar någon del av sin verksamhet till en organisation som inte själv är certifierad i enlighet med denna förordning för att utföra sådan verksamhet, ska organisationen säkerställa att underleverantören arbetar under organisationens tillsyn. En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska säkerställa att byrån ges tillträde till underleverantören för att fastställa dess fortsatta uppfyllande av de tillämpliga kraven i denna förordning.

a)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska utse en verksamhetsansvarig chef som har befogenhet att säkerställa att all verksamhet kan finansieras och utföras i enlighet med de tillämpliga kraven i denna förordning. Den verksamhetsansvarige chefen ska vara ansvarig för att inrätta och underhålla ett effektivt ledningssystem.

b)

Befogenheter, uppgifter och ansvarsområden för de utsedda befattningshavarna, särskilt ledningspersonal med ansvar för säkerhet, kvalitet, skydd, ekonomi och HR, ska också fastställas.

a)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska inrätta ett dokumentationssystem som möjliggör lämplig lagring av dokumentation och tillförlitlig spårbarhet för all sin verksamhet, som särskilt omfattar alla de delar som anges i punkt DPO.OR.B.001.

b)

Formatet och lagringstiden för den dokumentation som avses i punkt a ska anges i organisationens förfaranden för ledningssystemet.

c)

Dokumentationen ska förvaras på ett sätt som säkerställer skydd mot skador, ändring och stöld.

d)

En organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning ska föra ett register över den ATM/ANS-utrustning som är i bruk.

a)

En som ansöker om, och en innehavare av, ett organisationsgodkännande för konstruktion eller produktion av ATM/ANS-utrustning ska, beroende på vad som är tillämpligt, ha rätt till något av följande:

b)

Vad gäller konstruktionsverksamhet ska en organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning

c)

Vad gäller produktionsverksamhet ska en organisation som medverkar i konstruktion eller produktion av ATM/ANS-utrustning

d)

Utöver vad som anges i led c ska en organisation som medverkar i produktionen av ATM/ANS-utrustning ha rätt att, inom ramen för sina godkännandevillkor, fastställa att all färdig ATM/ANS-utrustning överensstämmer med tillämpliga konstruktionsdata och är i ett skick som medger säker drift innan den utfärdar en Easa-blankett för frisläppande om att ATM/ANS-utrustningen har producerats i enlighet med de tillämpliga kraven i denna förordning och med tillämpliga konstruktionsdata.

e)

Den Easa-blankett för frisläppande som avses i led d för tillverkad ATM/ANS-utrustning ska innehålla åtminstone följande information:

a)

tillfredsställande samordning, med lämpliga arrangemang, mellan konstruktions- och produktionsverksamhet, beroende på vad som är lämpligt,

b)

tillfredsställande samordning med och lämpligt stöd till relevanta ATM/ANS-leverantörer och luftfartsföretag när det gäller ATM/ANS-utrustningens fortsatta lämplighet, beroende på vad som är tillämpligt.

a)

föreslå lämplig korrigerande åtgärd och lämna in förslaget tillsammans med detaljerade uppgifter till byrån för godkännande,

b)

efter byråns godkännande av det förslag som avses i led a göra lämpliga beskrivande uppgifter och utförandeinstruktioner tillgängliga för alla kända användare eller ägare av ATM/ANS-utrustning och, på begäran, för alla personer som är skyldiga att följa direktivet för ATM/ANS-utrustning.