(EU) 2023/203Prováděcí nařízení Komise (EU) 2023/203 ze dne 27. října 2022, prováděcí nařízení Komise ze dne 27. října 2022, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) 2018/1139, pokud jde o požadavky na řízení rizik v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví pro organizace, na které se vztahují nařízení Komise (EU) č. 1321/2014, (EU) č. 965/2012, (EU) č. 1178/2011, (EU) 2015/340, prováděcí nařízení Komise (EU) 2017/373 a (EU) 2021/664, a pro příslušné orgány, na které se vztahují nařízení Komise (EU) č. 748/2012, (EU) č. 1321/2014, (EU) č. 965/2012, (EU) č. 1178/2011, (EU) 2015/340 a (EU) č. 139/2014, prováděcí nařízení Komise (EU) 2017/373 a (EU) 2021/664, a kterým se mění nařízení Komise (EU) č. 1178/2011, (EU) č. 748/2012, (EU) č. 965/2012, (EU) č. 139/2014, (EU) č. 1321/2014, (EU) 2015/340 a prováděcí nařízení Komise (EU) 2017/373 a (EU) 2021/664

„f)

zavést a udržovat systém řízení bezpečnosti v souladu s bodem ATM/ANS.OR.D.010 v hlavě D přílohy III prováděcího nařízení (EU) 2017/373 a systém řízení bezpečnosti informací v souladu s přílohou II (část IS.I.OR) prováděcího nařízení (EU) 2023/203.;“

„l)

zřídit, zavést a udržovat systém řízení bezpečnosti informací v souladu s přílohou I (část IS.AR) prováděcího nařízení (EU) 2023/203.“

1)

zavede politiku v oblasti bezpečnosti informací, která stanoví obecné zásady příslušného orgánu s ohledem na potenciální dopad rizik bezpečnosti informací na bezpečnost letectví;

2)

identifikuje a přezkoumává rizika bezpečnosti informací v souladu s bodem IS.AR.205;

3)

definuje a provádí opatření k řešení rizik bezpečnosti informací v souladu s bodem IS.AR.210;

4)

definuje a provádí v souladu s bodem IS.AR.215 opatření potřebná k odhalení událostí bezpečnosti informací, identifikuje ty, které jsou považovány za incidenty s potenciálním dopadem na bezpečnost letectví, a reaguje na tyto incidenty bezpečnosti informací a zotavuje se z nich;

5)

splňuje požadavky uvedené v bodě IS.AR.220 při uzavírání smluv na jakoukoli část činností popsaných v bodě IS.AR.200 s jinými organizacemi;

6)

splňuje požadavky na personál obsažené v bodě IS.AR.225;

7)

splňuje požadavky na vedení záznamů obsažené v bodě IS.AR.230;

8)

sleduje dodržování požadavků tohoto nařízení svou organizací a poskytuje zpětnou vazbu o zjištěních osobě uvedené v bodě IS.AR.225 písm. a), aby zajistila účinné provádění nápravných opatření;

9)

chrání důvěrnost veškerých informací, které může mít příslušný orgán k dispozici v souvislosti s organizacemi podléhajícími jeho dozoru, a informací získaných prostřednictvím systémů externího hlášení organizací zřízených v souladu s bodem IS.I.OR.230 přílohy II (část IS.I.OR) tohoto nařízení a bodem IS.D.OR.230 přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645.

10)

oznámí agentuře změny, které mají vliv na schopnost příslušného orgánu plnit své úkoly a povinnosti stanovené v tomto nařízení;

11)

definuje a provádí postupy pro sdílení relevantních informací, pokud je to vhodné a praktickým způsobem a včas, s cílem pomoci ostatním příslušným orgánům a agenturám, jakož i organizacím, na které se vztahuje toto nařízení, provádět účinné hodnocení bezpečnostních rizik souvisejících s jejich činnostmi.

1)

činnosti, zařízení a zdroje příslušného orgánu a služby, které příslušný orgán provozuje, poskytuje, přijímá nebo udržuje;

2)

zařízení, systémy, údaje a informace, které přispívají k fungování prvků uvedených v bodě 1.

1)

přiřadí úroveň rizika podle předem stanovené klasifikace stanovené příslušným orgánem;

2)

přiřadí každé riziko a jeho úroveň odpovídajícímu prvku nebo rozhraní identifikovanému podle písmen a) a b).

1)

dojde ke změně prvků, na které se vztahují rizika v oblasti bezpečnosti informací;

2)

dojde ke změně rozhraní mezi organizací příslušného orgánu a ostatními organizacemi nebo ke změně rizik, o kterých ostatní organizace informují;

3)

dojde ke změně informací nebo znalostí používaných k identifikaci, analýze a klasifikaci rizik;

4)

z analýzy incidentů v oblasti bezpečnosti informací vyplývají poučení.

1)

kontrolovat okolnosti, které přispívají ke skutečnému výskytu scénáře hrozeb;

2)

snížit důsledky pro bezpečnost letectví spojené s naplněním scénáře hrozeb;

3)

vyhnout se rizikům.

1)

zjistit odchylky od předem stanovených základních hodnot funkční výkonnosti;

2)

spustit varování, aby se v případě jakékoli odchylky aktivovala vhodná opatření.

1)

iniciovat reakci své vlastní organizace na varování uvedená v písm. a) bodě 2 aktivací předem definovaných zdrojů a postupů;

2)

omezit šíření útoku a zabránit úplnému naplnění scénáře hrozby;

3)

kontrolovat poruchový režim dotčených prvků definovaných v bodě IS.AR.205 písm. a).

1)

odstranit stav, který incident způsobil, nebo jej omezit na únosnou míru;

2)

obnovit bezpečný stav dotčených prvků definovaných v bodě IS.AR.205 písm. a) během doby obnovy předem stanovené vlastní organizací.

1)

má oprávnění k úplnému přístupu ke zdrojům, které příslušný orgán potřebuje k plnění všech úkolů požadovaných tímto nařízením;

2)

má přenesené pravomoci potřebné k výkonu přidělených úkolů;

1)

Příslušný orgán zajistí, aby byly archivovány a byly vysledovatelné tyto záznamy:

2)

Záznamy uvedené v bodě 1 podbodě i) se uchovávají nejméně po dobu pěti let poté, co byla smlouva pozměněna nebo ukončena.

3)

Záznamy uvedené v bodě 1 podbodech ii) a iii) se uchovávají nejméně po dobu pěti let.

4)

Záznamy uvedené v bodě 1 podbodě iv) se uchovávají do té doby, než budou uvedené události bezpečnosti informací znovu posouzeny v souladu s periodicitou vymezenou v postupu stanoveném příslušným orgánem.

1)

Záznamy o kvalifikaci a zkušenostech pracovníků se uchovávají po dobu, po kterou daná osoba pracuje pro příslušný orgán, a po dobu alespoň tří let poté, co daná osoba příslušný orgán opustila.

2)

Pracovníkům se na jejich žádost poskytne přístup k jejich individuálním záznamům. Kromě toho jim příslušný orgán na jejich žádost poskytne kopii jejich individuálních záznamů při odchodu z příslušného orgánu.

1)

stanoví politiku bezpečnosti informací, která určí celkové zásady organizace s ohledem na možný dopad rizik bezpečnosti informací na bezpečnost letectví;

2)

identifikuje a přezkoumává rizika bezpečnosti informací v souladu s bodem IS.I.OR.205;

3)

definuje a provádí opatření k řešení rizik bezpečnosti informací v souladu s bodem IS.I.OR.210;

4)

zavede systém interního hlášení v oblasti bezpečnosti informací v souladu s bodem IS.I.OR.215;

5)

definuje a provede v souladu s bodem IS.I.OR.220 opatření potřebná k odhalování událostí v oblasti bezpečnosti informací, určuje události, které jsou považovány za incidenty s možným dopadem na bezpečnost letectví, s výjimkou případů povolených v bodě IS.I.OR.205 písm. e), reaguje na tyto incidenty v oblasti bezpečnosti informací a odstraňuje jejich následky;

6)

provádí opatření, která příslušný orgán oznámil jako okamžitou reakci na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví;

7)

přijme vhodná opatření v souladu s bodem IS.I.OR.225 k řešení zjištění oznámených příslušným orgánem;

8)

zavede systém externího hlášení v souladu s bodem IS.I.OR.230, aby mohl příslušný orgán přijmout vhodná opatření;

9)

dodržuje požadavky obsažené v bodě IS.I.OR.235, pokud zadává jakoukoli část činností uvedených v bodě IS.I.OR.200 jiným organizacím;

10)

splňuje požadavky na zaměstnance stanovené v bodě IS.I.OR.240;

11)

splňuje požadavky na vedení záznamů stanovené v bodě IS.I.OR.245;

12)

sleduje, jak organizace plní požadavky tohoto nařízení a poskytuje zpětnou vazbu o zjištěních odpovědnému vedoucímu pracovníkovi, aby zajistil účinné provádění nápravných opatření;

13)

chrání, aniž by byly dotčeny platné požadavky na hlášení incidentů, důvěrnost všech informací, které organizace mohla obdržet od jiných organizací, a to podle úrovně jejich citlivosti.

1)

činnosti, zařízení a zdroje organizace, jakož i služby, které organizace provozuje, poskytuje, přijímá nebo udržuje;

2)

vybavení, systémy, údaje a informace, které přispívají k fungování prvků uvedených v bodě 1.

1)

přiřadí úroveň rizika podle předem definované klasifikace, kterou si stanovila;

2)

přiřadí každé riziko a jeho úroveň odpovídajícímu prvku nebo rozhraní identifikovanému podle písmen a) a b).

1)

dojde ke změně prvků, na které se vztahují rizika v oblasti bezpečnosti informací;

2)

dojde ke změně rozhraní mezi organizací a ostatními organizacemi nebo ke změně rizik, o kterém ostatní organizace informují;

3)

dojde ke změně informací nebo znalostí používaných pro identifikaci, analýzu a klasifikaci rizik;

4)

z analýzy incidentů v oblasti bezpečnosti informací vyplývají poučení.

1)

kontrolovat okolnosti, které přispívají ke skutečnému výskytu scénáře hrozeb;

2)

snížit důsledky pro bezpečnost letectví spojené s naplněním scénáře hrozeb;

3)

vyhnout se rizikům.

1)

identifikovat, které z událostí oznámených podle písmene a) jsou považovány za incidenty nebo zranitelnosti v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví;

2)

zjistit příčiny a faktory přispívající k incidentům a zranitelnostem v oblasti bezpečnosti informací zjištěným podle bodu 1 a řešit je v rámci procesu řízení rizik bezpečnosti informací v souladu s body IS.I.OR.205 a IS.I.OR.220;

3)

zajistit vyhodnocení všech známých relevantních informací týkajících se incidentů a slabých míst v oblasti bezpečnosti informací zjištěných v souladu s bodem 1;

4)

zajistit zavedení metody pro interní distribuci informací podle potřeby.

1)

zjistit odchylky od předem stanovených základních hodnot funkční výkonnosti;

2)

spustit varování, aby se v případě jakékoli odchylky aktivovala vhodná opatření.

1)

zahájit reakci na varování uvedená v písmenu a) bodě 2 aktivací předem definovaných zdrojů a postupů;

2)

omezit šíření útoku a zabránit úplnému naplnění scénáře hrozby;

3)

kontrolovat poruchový režim dotčených prvků definovaných v bodě IS.I.OR.205 písm. a).

1)

odstranit stav, který incident způsobil, nebo jej omezit na únosnou míru;

2)

dosáhnout bezpečného stavu dotčených prvků definovaných v bodě IS.I.OR.205 písm. a) v době obnovy předem stanovené organizací.

1)

zjistí hlavní příčinu nebo příčiny nesouladu a faktory, které k němu přispěly;

2)

vytvoří plán nápravných opatření;

3)

prokáže nápravu nesouladu ke spokojenosti příslušného orgánu.

1)

pokud se takový incident nebo zranitelnost týká letadla nebo přidruženého systému či konstrukční části, musí o tom organizace informovat také držitele schválení projektu;

2)

pokud se takový incident nebo zranitelnost týká systému nebo prvku používaného organizací, organizace to oznámí organizaci odpovědné za návrh systému nebo prvku.

1)

oznámení musí být předloženo příslušnému orgánu a případně držiteli schválení návrhu nebo organizaci odpovědné za návrh systému nebo prvku, jakmile se organizace o tomto stavu dozví;

2)

hlášení musí být předloženo příslušnému orgánu a případně držiteli schválení projektu nebo organizaci odpovědné za projekt systému nebo prvku, a to co nejdříve, nejdéle však do 72 hodin od okamžiku, kdy se organizace o tomto stavu dozvěděla, pokud tomu nebrání výjimečné okolnosti.

Hlášení se podává ve formě stanovené příslušným orgánem a musí obsahovat všechny relevantní informace o stavu, které jsou organizaci známy;

3)

příslušnému orgánu a případně držiteli schválení návrhu nebo organizaci odpovědné za návrh systému nebo prvku se předloží hlášení o následných opatřeních, v němž se uvedou podrobnosti o opatřeních, která organizace přijala nebo hodlá přijmout k nápravě po incidentu, a o opatřeních, která hodlá přijmout k předcházení podobným incidentům v oblasti bezpečnosti informací v budoucnosti.

Následné hlášení se předkládá, jakmile jsou tato opatření zjištěna, a vypracovává se ve formě stanovené příslušným orgánem.

1)

zajistí, aby byly k dispozici veškeré zdroje nezbytné ke splnění požadavků tohoto nařízení;

2)

zavede a podporuje politiku bezpečnosti informací uvedenou v bodě IS.I.OR.200 písm. a) bodě 1;

3)

prokáže základní porozumění tomuto nařízení.

1)

Organizace zajistí, aby byly archivovány a byly vysledovatelné tyto záznamy:

2)

Záznamy uvedené v bodě 1 podbodě i) se uchovávají nejméně po dobu pěti let poté, co oprávnění pozbylo platnosti.

3)

Záznamy uvedené v bodě 1 podbodě ii) se uchovávají nejméně po dobu pěti let poté, co byla smlouva pozměněna nebo ukončena.

4)

Záznamy uvedené v bodě 1 podbodech iii), iv) a v) se uchovávají nejméně po dobu pěti let.

5)

Záznamy uvedené v bodě 1 podbodě vi) se uchovávají do té doby, než budou uvedené události bezpečnosti informací znovu posouzeny v souladu s periodicitou vymezenou v postupu stanoveném organizací.

1)

Záznamy o kvalifikaci a zkušenostech pracovníků se uchovávají po dobu, po kterou daná osoba pracuje pro organizaci, a po dobu alespoň tří let poté, co daná osoba organizaci opustila.

2)

Pracovníkům se na jejich žádost poskytne přístup k jejich individuálním záznamům. Kromě toho jim organizace na jejich žádost poskytne kopii jejich individuálních záznamů při odchodu z organizace.

1)

prohlášení podepsané odpovědným vedoucím, kterým se potvrzuje, že organizace bude svou činnost vždy vykonávat v souladu s touto přílohou a příručkou ISMM. Pokud odpovědný vedoucí pracovník není generálním ředitelem organizace, musí prohlášení spolupodepsat generální ředitel;

2)

funkci (funkce), jméno (jména), úkoly, odpovědnosti, povinnosti a pravomoci osoby či osob uvedených v bodě IS.I.OR.240 písm. b) a c);

3)

v příslušných případech funkci, jméno, úkoly, odpovědnosti, povinnosti a pravomoc společné odpovědné osoby definované v bodě IS.I.OR.240 písm. d);

4)

politiku bezpečnosti informací organizace uvedenou v bodě IS.I.OR.200 písm. a) bodě 1;

5)

obecný popis počtu a kategorií pracovníků a zavedeného systému plánování dostupnosti pracovníků, jak je požadováno v bodě IS.I.OR.240;

6)

funkci (funkce), jméno (jména), úkoly, odpovědnosti, povinnosti a pravomoci klíčových osob odpovědných za provádění bodu IS.I.OR.200, včetně osoby nebo osob odpovědných za funkci sledování souladu uvedenou v bodě IS.I.OR.200 písm. a) bodě 12;

7)

organizační schéma znázorňující související odpovědnostní vztahy mezi osobami uvedenými v bodech 2 a 6;

8)

popis systému interního hlášení podle bodu IS.I.OR.215;

9)

postupy upřesňující, jak organizace zajišťuje soulad s touto částí, a zejména:

10)

podrobnosti o aktuálně schválených alternativních způsobech plnění předpisů.

1)

Žádost o provedení změny musí být podána předtím, než k jakýmkoli takovým změnám dojde, aby příslušný orgán mohl určit, zda budou i nadále dodrženy požadavky tohoto nařízení a aby v případě potřeby mohl změnit osvědčení organizace a s ním spojené podmínky schválení;

2)

organizace poskytne příslušnému orgánu veškeré informace, které si vyžádá k posouzení změny;

3)

změna se provede až po získání formálního schválení příslušným orgánem;

4)

během provádění těchto změn bude organizace svou činnost provozovat v souladu s platnými podmínkami, které jí příslušný orgán stanovil.

a)

v bodě ARA.GEN.125 se doplňuje nové písmeno c), které zní:

b)

za bod ARA.GEN.135 se vkládá nový bod ARA.GEN.135A, který zní:

„ARA.GEN.135A Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví

c)

v bodě ARA.GEN.200 se doplňuje nové písmeno e), které zní:

d)

bod ARA.GEN.205 se mění takto:

e)

v bodě ARA.GEN.300 se doplňuje nové písmeno g), které zní:

f)

za bod ARA.GEN.330 se vkládá nový bod ARA.GEN.330A, který zní:

„ARA.GEN.330A Změny systému řízení bezpečnosti informací

a)

za nadpis 21.B.20 se vkládá nový nadpis, který zní:

„21.B.20A Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví“;

b)

nadpis bodu 21.B.30 se nahrazuje tímto:

„21.B.30 Přidělování úkolů“;

c)

za nadpis 21.B.240 se vkládá nový nadpis, který zní:

„21.B.240A Změny systému řízení bezpečnosti informací“;

d)

za nadpis 21.B.435 se vkládá nový nadpis, který zní:

„21.B.435A Změny systému řízení bezpečnosti informací“;

„c)

Příslušný orgán členského státu poskytne agentuře co nejdříve informace důležité pro bezpečnost vyplývající z hlášení o bezpečnosti informací, které obdržel podle bodu IS.D.OR.230 přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645.“;

a)

Příslušný orgán zavede systém pro náležité shromažďování, analýzu a šíření informací týkajících se incidentů a zranitelností v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví, které organizace nahlásí. Tato činnost se provádí v koordinaci s dalšími příslušnými orgány odpovědnými za bezpečnost informací nebo kybernetickou bezpečnost v členském státě s cílem zvýšit koordinaci a kompatibilitu systémů podávání hlášení.

b)

Agentura zavede systém, jehož prostřednictvím je možné náležitě analyzovat veškeré příslušné informace významné z hlediska bezpečnosti, které obdrží v souladu s bodem 21.B.15 písm. c), a neprodleně členským státům a Komisi poskytovat veškeré informace, včetně doporučení nebo nápravných opatření, která je nutno přijmout a která jsou nezbytná k tomu, aby členské státy a Komise mohly včas reagovat na incident nebo zranitelnost v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví týkající se výrobků, letadlových částí, neinstalovaného zařízení, osob nebo organizací, na něž se vztahuje nařízení (EU) 2018/1139 a jeho akty v přenesené pravomoci a prováděcí akty.

c)

Poté, co příslušný orgán obdrží informace uvedené v písmenech a) a b), přijme odpovídající opatření k řešení možného dopadu incidentu nebo zranitelnosti v oblasti ochrany informací na bezpečnost letectví.

d)

O opatřeních přijatých podle písmene c) se neprodleně vyrozumí všechny osoby a organizace, které se podle nařízení (EU) 2018/1139 a jeho aktů v přenesené pravomoci a prováděcích aktů těmito opatřeními řídí. Příslušný orgán členského státu o těchto opatřeních vyrozumí rovněž agenturu a v případě, že je třeba, aby se na jejich uplatňování podílelo více členských států, vyrozumí i příslušné orgány dalších dotčených členských států.“;

„e)

Kromě požadavků uvedených v písmenu a) musí být systém řízení zavedený a udržovaný příslušným orgánem v souladu s přílohou I (část IS.AR) prováděcího nařízení (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“;

a)

nadpis se nahrazuje tímto:

„21.B.30 Přidělování úkolů“;

b)

doplňuje se nové písmeno c), které zní:

„g)

Pokud jde o certifikaci a dozor nad dodržováním bodu 21.A.139A ze strany organizace, musí příslušný orgán kromě dodržování písmen a) až f) přezkoumat každé schválení udělené podle bodu IS.I.OR.200 písm. e) tohoto nařízení nebo bodu IS.D.OR.200 písm. e) nařízení v přenesené pravomoci (EU) 2022/1645 po příslušném cyklu dozorových auditů a vždy, když dojde ke změnám v rozsahu činnosti organizace.“;

a)

V případě změn řízených a oznámených příslušnému orgánu v souladu s postupem stanoveným v bodě IS.D.OR.255 písm. a) přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645 zahrne příslušný orgán přezkum těchto změn do svého průběžného dozoru v souladu se zásadami stanovenými v bodě 21.B.221. Zjistí-li příslušný orgán jakýkoli nesoulad, oznámí to organizaci, vyžádá si další změny a jedná v souladu s bodem 21.B.225.

b)

Pro ostatní změny vyžadující žádost o schválení podle bodu IS.D.OR.255 písm. b) přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645:

„d)

Při certifikaci a dozoru nad dodržováním bodu 21.A.239A ze strany organizace musí příslušný orgán kromě dodržování písmen a) až c) dodržovat následující zásady:

a)

V případě změn řízených a oznámených příslušnému orgánu v souladu s postupem stanoveným v bodě IS.D.OR.255 písm. a) přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645 zahrne příslušný orgán přezkum těchto změn do svého průběžného dozoru v souladu se zásadami stanovenými v bodě 21.B.431. Zjistí-li příslušný orgán jakýkoli nesoulad, oznámí to organizaci, vyžádá si další změny a jedná v souladu s bodem 21.B.433.

b)

Pro ostatní změny vyžadující žádost o schválení podle bodu IS.D.OR.255 písm. b) přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645:

a)

v bodě ARO.GEN.125 se doplňuje nové písmeno c), které zní:

b)

za bod ARO.GEN.135 se vkládá nový bod ARO.GEN.135A, který zní:

„ARO.GEN.135A    Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví

c)

v bodě ARO.GEN.200 se doplňuje nové písmeno e), které zní:

d)

bod ARO.GEN.205 se mění takto:

e)

v bodě ARO.GEN.300 se doplňuje nové písmeno g), které zní:

f)

za bod ARO.GEN.330 se vkládá nový bod ARO.GEN.330A, který zní:

„ARO.GEN.330A    Změny systému řízení bezpečnosti informací

„c)

Příslušný orgán členského státu poskytne agentuře co nejdříve informace důležité pro bezpečnost vyplývající z hlášení o bezpečnosti informací, které obdržel podle bodu IS.D.OR.230 přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645.“;

a)

Příslušný orgán zavede systém pro náležité shromažďování, analýzu a šíření informací týkajících se incidentů a zranitelností v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví, které organizace nahlásí. Tato činnost se provádí v koordinaci s dalšími příslušnými orgány odpovědnými za bezpečnost informací nebo kybernetickou bezpečnost v členském státě s cílem zvýšit koordinaci a kompatibilitu systémů podávání hlášení.

b)

Agentura zavede systém, jehož prostřednictvím je možné náležitě analyzovat veškeré příslušné informace významné z hlediska bezpečnosti, které obdrží v souladu s bodem ADR.AR.A.025 písm. c), a neprodleně členským státům a Komisi poskytovat veškeré informace, včetně doporučení nebo nápravných opatření, která je nutno přijmout a která jsou nezbytná k tomu, aby členské státy a Komise mohly včas reagovat na incident nebo zranitelnost v oblasti bezpečnosti informací s možným dopadem na bezpečnost letectví týkající se výrobků, letadlových částí, neinstalovaného zařízení, osob nebo organizací, na něž se vztahuje nařízení (EU) 2018/1139 a jeho akty v přenesené pravomoci a prováděcí akty.

c)

Poté, co příslušný orgán obdrží informace uvedené v písmenech a) a b), přijme odpovídající opatření pro řešení možného dopadu incidentu nebo zranitelnosti v oblasti ochrany informací na bezpečnost letectví.

d)

O opatřeních přijatých podle písmene c) se neprodleně vyrozumí všechny osoby a organizace, které se podle nařízení (EU) 2018/1139 a jeho aktů v přenesené pravomoci a prováděcích aktů těmito opatřeními řídí. Příslušný orgán členského státu o těchto opatřeních vyrozumí rovněž agenturu a v případě, že je třeba, aby se na jejich uplatňování podílelo více členských států, vyrozumí i příslušné orgány dalších dotčených členských států.“;

„d)

Kromě požadavků uvedených v písmenu a) musí být systém řízení zavedený a udržovaný příslušným orgánem v souladu s přílohou I (část IS.AR) prováděcího nařízení (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“;

i)

nadpis se nahrazuje tímto:

„ADR.AR.B.010 Přidělování úkolů“;

ii)

doplňuje se nové písmeno c), které zní:

„f)

Pokud jde o certifikaci a dozor nad dodržováním bodu ADR.OR.D.005A ze strany organizace, musí příslušný orgán kromě dodržování písmen a) až f) přezkoumat každé schválení udělené podle bodu IS.I.OR.200 písm. e) tohoto nařízení nebo bodu IS.D.OR.200 písm. e) nařízení v přenesené pravomoci (EU) 2022/1645 po příslušném cyklu dozorových auditů a vždy, když dojde ke změnám v rozsahu činnosti organizace.“;

a)

V případě změn řízených a oznámených příslušnému orgánu v souladu s postupem stanoveným v bodě IS.D.OR.255 písm. a) přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645 zahrne příslušný orgán přezkum těchto změn do svého průběžného dozoru v souladu se zásadami stanovenými v bodě ADR.AR.C.005. Zjistí-li příslušný orgán jakýkoli nesoulad, oznámí to organizaci, vyžádá si další změny a jedná v souladu s bodem ADR.AR.C.055.

b)

V případě ostatních změn vyžadujících žádost o schválení podle bodu IS.D.OR.255 písm. b) přílohy (část IS.D.OR) nařízení v přenesené pravomoci (EU) 2022/1645:

a)

Obsah se mění takto:

b)

za bod 145.A.200 se vkládá nový bod 145.A.200A, který zní:

„145.A.200A    Systém řízení bezpečnosti informací

Kromě systému řízení uvedeného v bodě 145.A.200 organizace údržby zavede, uplatňuje a udržuje systém řízení bezpečnosti informací v souladu s prováděcím nařízením (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“;

c)

v bodě 145.B.125 se doplňuje nové písmeno c), které zní:

d)

za bod 145.B.135 se vkládá nový bod 145.B.135A, který zní:

„145.B.135A    Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví

e)

v bodě 145.B.200 se doplňuje nové písmeno e), které zní:

f)

bod 145.B.205 se mění takto:

g)

v bodě 145.B.300 se doplňuje nové písmeno g), které zní:

h)

za bod 145.B.330 se vkládá nový bod 145.B.330A, který zní:

„145.B.330A    Změny systému řízení bezpečnosti informací

a)

v obsahu se za nadpis 66.B.10 vkládá nový nadpis, který zní:

b)

za bod 66.B.10 se vkládá nový bod 66.B.15, který zní:

„66.B.15    Systém řízení bezpečnosti informací

Příslušný orgán zřídí, zavede a udržuje systém řízení bezpečnosti informací v souladu s přílohou I (část IS.AR) prováděcího nařízení (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“

a)

Obsah se mění takto:

b)

za bod CAMO.A.200 se vkládá nový bod CAMO.A.200A, který zní:

„CAMO.A.200A    Systém řízení bezpečnosti informací

Kromě systému řízení uvedeného v bodě CAMO.A.200 musí organizace vytvořit, zavést a udržovat systém řízení bezpečnosti informací v souladu s prováděcím nařízením (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“;

c)

v bodě CAMO.B.125 se doplňuje nové písmeno c), které zní:

d)

za bod CAMO.B.135 se vkládá nový bod CAMO.B.135A, který zní:

„CAMO.B.135A    Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví

e)

v bodě CAMO.B.200 se doplňuje nové písmeno e), které zní:

f)

bod CAMO.B.205 se mění takto:

g)

v bodě CAMO.B.300 se doplňuje nové písmeno g), které zní:

h)

za bod CAMO.B.330 se vkládá nový bod CAMO.B.330A, který zní:

„CAMO.B.330A    Změny systému řízení bezpečnosti informací

a)

v bodě ATCO.AR.A.020 se doplňuje nové písmeno c), které zní:

b)

za bod ATCO.AR.A.025 se vkládá nový bod ATCO.AR.A.025A, který zní:

„ATCO.AR.A.025A    Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví

c)

v bodě ATCO.AR.B.001 se doplňuje nové písmeno e), které zní:

d)

bod ATCO.AR.B.005 se mění takto:

e)

v bodě ATCO.AR.C.001 se doplňuje nové písmeno f), které zní:

f)

za bod ATCO.AR.E.010 se vkládá nový bod ATCO.AR.E.010A, který zní:

„ATCO.AR.E.010A    Změny systému řízení bezpečnosti informací

a)

v bodě ATM/ANS.AR.A.020 se doplňuje nové písmeno c), které zní:

b)

za bod ATM/ANS.AR.A.025 se vkládá nový bod ATM/ANS.AR.A.025A, který zní:

„ATM/ANS.AR.A.025A Okamžitá reakce na incident nebo zranitelnost v oblasti bezpečnosti informací s dopadem na bezpečnost letectví

c)

v bodě ATM/ANS.AR.B.001 se doplňuje nové písmeno e), které zní:

d)

bod ATM/ANS.AR.B.005 se mění takto:

e)

v bodě ATM/ANS.AR.C.010 se doplňuje nové písmeno d), které zní:

f)

za bod ATM/ANS.AR.C.025 se vkládá nový bod ATM/ANS.AR.C.025A, který zní:

„ATM/ANS.AR.C.025A Změny systému řízení bezpečnosti informací

a)

za bod ATM/ANS.OR.B.005 se vkládá nový bod ATM/ANS.OR.B.005A, který zní:

„ATM/ANS.OR.B.005A Systém řízení bezpečnosti informací

Kromě systému řízení uvedeného v bodě ATM/ANS.OR.B.005 poskytovatel služeb zřídí, zavede a udržuje systém řízení bezpečnosti informací v souladu s prováděcím nařízením (EU) 2023/203, aby bylo zajištěno řádné řízení rizik bezpečnosti informací, která mohou mít dopad na bezpečnost letectví.“;

b)

bod ATM/ANS.OR.D.010 se nahrazuje tímto:

„ATM/ANS.OR.D.010 Řízení ochrany