Regulamentul de punere în aplicare (UE) 2019/1583 al Comisiei din 25 septembrie 2019 de modificare a Regulamentului de punere în aplicare (UE) 2015/1998 de stabilire a măsurilor detaliate de implementare a standardelor de bază comune din domeniul securității aviației în ceea ce privește măsurile de securitate cibernetică (Text cu relevanță pentru SEE)

Anexa la Regulamentul de punere în aplicare (UE) 2015/1998 se modifică în conformitate cu anexa la prezentul regulament.

Prezentul regulament intră în vigoare la 31 decembrie 2021.

ANEXĂ

ANEXĂ

Anexa la Regulamentul de punere în aplicare (UE) 2015/1998 se modifică după cum urmează:

Se adaugă punctul 1.0.6, cu următorul text:

1.0.6.Autoritatea competentă stabilește și pune în aplicare proceduri pentru transmiterea informațiilor pertinente, în funcție de necesități și într-un mod practic și rapid, pentru a ajuta alte autorități și agenții naționale, administratorii de aeroporturi, transportatorii aerieni și alte entități vizate să efectueze evaluări eficace ale riscurilor în materie de securitate asociate operațiunilor lor.

Autoritatea competentă stabilește și pune în aplicare proceduri pentru transmiterea informațiilor pertinente, în funcție de necesități și într-un mod practic și rapid, pentru a ajuta alte autorități și agenții naționale, administratorii de aeroporturi, transportatorii aerieni și alte entități vizate să efectueze evaluări eficace ale riscurilor în materie de securitate asociate operațiunilor lor.

Se adaugă punctul 1.7, cu următorul text:

1.7IDENTIFICAREA DATELOR ȘI A SISTEMELOR DE TEHNOLOGIE A INFORMAȚIEI ȘI COMUNICAȚIILOR CRITICE PENTRU AVIAȚIA CIVILĂ ȘI PROTEJAREA ACESTORA ÎMPOTRIVA AMENINȚĂRILOR CIBERNETICE1.7.1.Autoritatea competentă se asigură că administratorii de aeroporturi, transportatorii aerieni și entitățile definite în programul național de securitate a aviației civile identifică și își protejează datele și sistemele de tehnologie a informației și comunicațiilor critice împotriva atacurilor cibernetice care ar putea afecta securitatea aviației civile.1.7.2.Administratorii de aeroporturi, transportatori aerieni și entitățile respective identifică în programul lor de securitate sau în orice document relevant la care se face trimitere în respectivul program de securitate datele și sistemele de tehnologie a informației și comunicațiilor critice descrise la punctul 1.7.1.Programul de securitate sau orice document relevant la care se face trimitere în respectivul program de securitate detaliază măsurile menite să asigure protecția împotriva atacurilor cibernetice, răspunsul la astfel de atacuri și redresarea în urma lor, după cum se descrie la punctul 1.7.1.1.7.3.Măsurile detaliate de protecție a acestor sisteme și date împotriva intervențiilor ilicite sunt identificate, elaborate și puse în aplicare în conformitate cu o evaluare a riscurilor efectuată de către administratorul aeroportului, transportatorul aerian sau entitatea respectivă, după caz.1.7.4.În cazul în care o anumită autoritate sau agenție este competentă pentru măsurile legate de amenințările cibernetice într-un stat membru, respectiva autoritate sau agenție poate fi desemnată ca fiind competentă pentru coordonarea și/sau monitorizarea dispozițiilor legate de securitatea cibernetică ale prezentului regulament.1.7.5.Atunci când administratorii de aeroporturi, transportatorii aerieni și entitățile definite în programul național de securitate a aviației civile fac obiectul unor cerințe de securitate cibernetică separate care decurg din alte acte legislative ale UE sau naționale, autoritatea competentă poate înlocui respectarea cerințelor din prezentul regulament cu respectarea elementelor cuprinse în alte acte legislative ale UE sau naționale. Autoritatea competentă se coordonează cu orice altă autoritate competentă relevantă pentru a asigura coordonarea sau compatibilitatea sistemelor de supraveghere.

IDENTIFICAREA DATELOR ȘI A SISTEMELOR DE TEHNOLOGIE A INFORMAȚIEI ȘI COMUNICAȚIILOR CRITICE PENTRU AVIAȚIA CIVILĂ ȘI PROTEJAREA ACESTORA ÎMPOTRIVA AMENINȚĂRILOR CIBERNETICE

Autoritatea competentă se asigură că administratorii de aeroporturi, transportatorii aerieni și entitățile definite în programul național de securitate a aviației civile identifică și își protejează datele și sistemele de tehnologie a informației și comunicațiilor critice împotriva atacurilor cibernetice care ar putea afecta securitatea aviației civile.

Administratorii de aeroporturi, transportatori aerieni și entitățile respective identifică în programul lor de securitate sau în orice document relevant la care se face trimitere în respectivul program de securitate datele și sistemele de tehnologie a informației și comunicațiilor critice descrise la punctul 1.7.1.

Programul de securitate sau orice document relevant la care se face trimitere în respectivul program de securitate detaliază măsurile menite să asigure protecția împotriva atacurilor cibernetice, răspunsul la astfel de atacuri și redresarea în urma lor, după cum se descrie la punctul 1.7.1.

Măsurile detaliate de protecție a acestor sisteme și date împotriva intervențiilor ilicite sunt identificate, elaborate și puse în aplicare în conformitate cu o evaluare a riscurilor efectuată de către administratorul aeroportului, transportatorul aerian sau entitatea respectivă, după caz.

În cazul în care o anumită autoritate sau agenție este competentă pentru măsurile legate de amenințările cibernetice într-un stat membru, respectiva autoritate sau agenție poate fi desemnată ca fiind competentă pentru coordonarea și/sau monitorizarea dispozițiilor legate de securitatea cibernetică ale prezentului regulament.

Atunci când administratorii de aeroporturi, transportatorii aerieni și entitățile definite în programul național de securitate a aviației civile fac obiectul unor cerințe de securitate cibernetică separate care decurg din alte acte legislative ale UE sau naționale, autoritatea competentă poate înlocui respectarea cerințelor din prezentul regulament cu respectarea elementelor cuprinse în alte acte legislative ale UE sau naționale. Autoritatea competentă se coordonează cu orice altă autoritate competentă relevantă pentru a asigura coordonarea sau compatibilitatea sistemelor de supraveghere.

Punctul 11.1.2 se înlocuiește cu următorul text:

11.1.2.Următorul personal trebuie să fi trecut cu succes printr-o verificare standard sau aprofundată a antecedentelor:În lipsa unor dispoziții contrare ale prezentului regulament, necesitatea efectuării unei verificări standard sau a unei verificări aprofundate a antecedentelor este stabilită de autoritatea competentă în conformitate cu normele naționale aplicabile.

Următorul personal trebuie să fi trecut cu succes printr-o verificare standard sau aprofundată a antecedentelor:

persoanele recrutate pentru a aplica sau pentru a fi responsabile cu aplicarea controlului de securitate, a controlului accesului sau a altor măsuri de securitate într-o altă parte decât o zonă de securitate cu acces restricționat;

persoanele care au acces neînsoțit la mărfurile și poșta destinate transportului aerian, la poșta transportatorului aerian și la materialele transportatorului aerian, la proviziile de bord și la proviziile de aeroport cărora le-au fost aplicate măsurile de securitate necesare;

persoanele care au drepturi de administrator sau acces nesupravegheat și nelimitat la datele și sistemele de tehnologie a informației și comunicațiilor critice utilizate în scopuri de securitate a aviației civile astfel cum se descrie la punctul 1.7.1 în conformitate cu programul național de securitate a aviației sau care au fost identificate în evaluarea riscurilor menționată la punctul 1.7.3.

În lipsa unor dispoziții contrare ale prezentului regulament, necesitatea efectuării unei verificări standard sau a unei verificări aprofundate a antecedentelor este stabilită de autoritatea competentă în conformitate cu normele naționale aplicabile.

Se adaugă punctul 11.2.8, cu următorul text:

11.2.8.Pregătirea persoanelor cu roluri și responsabilități în materie de amenințări cibernetice11.2.8.1.Persoanele care pun în aplicare măsurile prevăzute la punctul 1.7.2 trebuie să aibă competențele și aptitudinile necesare pentru îndeplinirea cu eficacitate a sarcinilor desemnate. Persoanele respective trebuie să fie informate cu privire la riscurile cibernetice relevante pe baza principiului necesității de a cunoaște.11.2.8.2.Persoanele care au acces la date sau sisteme trebuie să primească o pregătire corespunzătoare și specifică funcției ocupate, proporțională cu rolul și responsabilitățile lor, inclusiv să fie informate în legătură cu riscurile relevante atunci când funcția lor impune acest lucru. Autoritatea competentă sau autoritatea sau agenția prevăzută la punctul 1.7.4 precizează sau aprobă conținutul cursului.

Pregătirea persoanelor cu roluri și responsabilități în materie de amenințări cibernetice

Persoanele care pun în aplicare măsurile prevăzute la punctul 1.7.2 trebuie să aibă competențele și aptitudinile necesare pentru îndeplinirea cu eficacitate a sarcinilor desemnate. Persoanele respective trebuie să fie informate cu privire la riscurile cibernetice relevante pe baza principiului necesității de a cunoaște.

Persoanele care au acces la date sau sisteme trebuie să primească o pregătire corespunzătoare și specifică funcției ocupate, proporțională cu rolul și responsabilitățile lor, inclusiv să fie informate în legătură cu riscurile relevante atunci când funcția lor impune acest lucru. Autoritatea competentă sau autoritatea sau agenția prevăzută la punctul 1.7.4 precizează sau aprobă conținutul cursului.

Se adaugă punctul 1.0.6, cu următorul text:

Se adaugă punctul 1.7, cu următorul text:

Punctul 11.1.2 se înlocuiește cu următorul text:

persoanele recrutate pentru a aplica sau pentru a fi responsabile cu aplicarea controlului de securitate, a controlului accesului sau a altor măsuri de securitate într-o altă parte decât o zonă de securitate cu acces restricționat;

persoanele care au acces neînsoțit la mărfurile și poșta destinate transportului aerian, la poșta transportatorului aerian și la materialele transportatorului aerian, la proviziile de bord și la proviziile de aeroport cărora le-au fost aplicate măsurile de securitate necesare;

persoanele care au drepturi de administrator sau acces nesupravegheat și nelimitat la datele și sistemele de tehnologie a informației și comunicațiilor critice utilizate în scopuri de securitate a aviației civile astfel cum se descrie la punctul 1.7.1 în conformitate cu programul național de securitate a aviației sau care au fost identificate în evaluarea riscurilor menționată la punctul 1.7.3.

Se adaugă punctul 11.2.8, cu următorul text:

persoanele recrutate pentru a aplica sau pentru a fi responsabile cu aplicarea controlului de securitate, a controlului accesului sau a altor măsuri de securitate într-o altă parte decât o zonă de securitate cu acces restricționat;

persoanele care au acces neînsoțit la mărfurile și poșta destinate transportului aerian, la poșta transportatorului aerian și la materialele transportatorului aerian, la proviziile de bord și la proviziile de aeroport cărora le-au fost aplicate măsurile de securitate necesare;

persoanele care au drepturi de administrator sau acces nesupravegheat și nelimitat la datele și sistemele de tehnologie a informației și comunicațiilor critice utilizate în scopuri de securitate a aviației civile astfel cum se descrie la punctul 1.7.1 în conformitate cu programul național de securitate a aviației sau care au fost identificate în evaluarea riscurilor menționată la punctul 1.7.3.