Regulamentul delegat (UE) 2022/1645 al Comisiei din 14 iulie 2022 de stabilire a normelor de aplicare a Regulamentului (UE) 2018/1139 al Parlamentului European și al Consiliului în ceea ce privește cerințele referitoare la managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației impuse organizațiilor care intră sub incidența Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei și de modificare a Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei

În prezentul regulament sunt prevăzute cerințele care trebuie îndeplinite de organizațiile menționate la articolul 2 în vederea identificării și a managementului riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, care ar putea afecta sistemele de tehnologie a informației și comunicațiilor și datele utilizate în scopul aviației civile, în vederea detectării evenimentelor de securitate a informațiilor și a identificării acelora care sunt considerate incidente de securitate a informațiilor cu impact potențial asupra siguranței aviației, precum și în vederea asigurării unui răspuns la respectivele incidente de securitate a informațiilor și a redresării în urma acestora.

Prezentul regulament se aplică următoarelor organizații:

organizațiilor de producție și organizațiilor de proiectare supuse dispozițiilor din secțiunea A subpărțile G și J din anexa I (partea 21) la Regulamentul (UE) nr. 748/2012, cu excepția organizațiilor de proiectare și producție care sunt implicate exclusiv în proiectarea și/sau producția de aeronave ELA2, astfel cum sunt definite la articolul 1 alineatul (2) litera (j) din Regulamentul (UE) nr. 748/2012;

operatorilor de aerodromuri și furnizorilor de servicii de gestionare a platformei care sunt supuși dispozițiilor din anexa III – Partea Cerințe aplicabile organizațiilor (partea ADR.OR) – la Regulamentul (UE) nr. 139/2014.

Prezentul regulament nu aduce atingere cerințelor privind securitatea informațiilor și securitatea cibernetică stabilite la punctul 1.7 din anexa la Regulamentul de punere în aplicare (UE) 2015/1998 și la articolul 14 din Directiva (UE) 2016/1148.

În sensul prezentului regulament, se aplică următoarele definiții:

securitate a informațiilor înseamnă păstrarea confidențialității, integrității, autenticității și disponibilității rețelelor și sistemelor informatice;

eveniment de securitate a informațiilor înseamnă un eveniment identificat al unui sistem, al unui serviciu sau al unei rețele, care indică o posibilă încălcare a politicii de securitate a informațiilor sau o deficiență a controalelor de securitate a informațiilor ori o situație necunoscută anterior care poate fi relevantă pentru securitatea informațiilor;

incident înseamnă orice eveniment care are un efect negativ asupra securității rețelelor și sistemelor informatice, astfel cum este definit la articolul 4 punctul 7 din Directiva (UE) 2016/1148;

risc în materie de securitate a informațiilor înseamnă riscul la adresa organizării operațiunilor de aviație civilă, precum și la adresa activelor, persoanelor fizice și a altor organizații, atribuibil unui posibil eveniment de securitate a informațiilor. Riscurile în materie de securitate a informațiilor sunt asociate cu posibilitatea ca amenințările să exploateze vulnerabilitățile unui activ informațional sau ale unui grup de active informaționale;

amenințare înseamnă o încălcare potențială a securității informațiilor care există atunci când o entitate, o circumstanță, o acțiune sau un eveniment ar putea cauza prejudicii;

vulnerabilitate înseamnă o deficiență sau slăbiciune a unui activ sau a unui sistem, a procedurilor, a concepției, a implementării sau a măsurilor de securitate a informațiilor, care ar putea fi exploatată și s-ar putea solda cu o încălcare sau nerespectare a politicii de securitate a informațiilor.

Atunci când o organizație menționată la articolul 2 îndeplinește cerințe de securitate stabilite la articolul 14 din Directiva (UE) 2016/1148 care sunt echivalente cu cerințele stabilite în prezentul regulament, se consideră că îndeplinirea respectivelor cerințe de securitate constituie îndeplinirea cerințele stabilite în prezentul regulament.

În cazul în care o organizație menționată la articolul 2 este un operator sau o entitate menționată în programele naționale de securitate a aviației civile ale statelor membre, stabilite în conformitate cu articolul 10 din Regulamentul (CE) nr. 300/2008 al Parlamentului European și al Consiliului, cerințele de securitate cibernetică de la punctul 1.7 din anexa la Regulamentul de punere în aplicare (UE) 2015/1998 sunt considerate echivalente cu cerințele stabilite în prezentul regulament, cu excepția punctului IS.D.OR.230 din anexa la prezentul regulament, care trebuie respectat.

După consultarea AESA și a grupului de cooperare menționat la articolul 11 din Directiva (UE) 2016/1148, Comisia poate să emită orientări pentru evaluarea echivalenței cerințelor stabilite în prezentul regulament cu cerințele stabilite în Directiva (UE) 2016/1148.

Autoritatea responsabilă cu certificarea și supravegherea respectării prezentului regulament este:

în ceea ce privește organizațiile menționate la articolul 2 litera (a), autoritatea competentă desemnată în conformitate cu anexa I (partea 21) la Regulamentul (UE) nr. 748/2012;

în ceea ce privește organizațiile menționate la articolul 2 litera (b), autoritatea competentă desemnată în conformitate cu anexa III (partea ADR.OR) la Regulamentul (UE) nr. 139/2014.

În sensul prezentului regulament, statele membre pot desemna o entitate independentă și autonomă care să îndeplinească rolul și responsabilitățile atribuite autorităților competente menționate la alineatul (1). În acest caz, trebuie stabilite măsuri de coordonare între entitatea respectivă și autoritățile competente, astfel cum se menționează la alineatul (1), pentru a se asigura supravegherea efectivă a tuturor cerințelor care trebuie respectate de către organizație.

Anexa I (partea 21) la Regulamentul (UE) nr. 748/2012 se modifică după cum urmează:

cuprinsul se modifică după cum urmează:

după titlul 21.A.139 se introduce titlul următor:

Sistemul de management al securității informațiilor;

după titlul 21.A.239 se introduce titlul următor:

Sistemul de management al securității informațiilor;

Sistemul de management al securității informațiilor;

Sistemul de management al securității informațiilor;

după punctul 21.A.139 se introduce următorul punct 21.A.139A:

Sistemul de management al securității informațiilor

după punctul 21.A.239 se introduce următorul punct 21.A.239A:

Sistemul de management al securității informațiilor

Anexa III (partea ADR.OR) la Regulamentul (UE) nr. 139/2014 se modifică după cum urmează:

după punctul ADR.OR.D.005 se introduce următorul punct ADR.OR.D.005A:

Sistemul de management al securității informațiilor

punctul ADR.OR.D.007 se înlocuiește cu următorul text:

Managementul datelor aeronautice și al informațiilor aeronautice

În cadrul sistemului său de management, operatorul de aerodrom implementează și menține un sistem de management al calității care cuprinde următoarele activități:

activitățile sale legate de datele aeronautice;

activitățile sale de furnizare de informații aeronautice.

În cadrul sistemului său de management, operatorul de aerodrom stabilește un sistem de management al securității pentru a asigura securitatea datelor operaționale pe care le primește, le generează sau le utilizează în alt mod, astfel încât accesul la respectivele date operaționale să fie limitat numai la persoanele autorizate.

Sistemul de management al securității trebuie să definească următoarele elemente:

procedurile referitoare la evaluarea și reducerea riscurilor de securitate a datelor, monitorizarea și îmbunătățirea securității, examinările de securitate și diseminarea rezultatelor;

mijloacele destinate să detecteze breșele de securitate și să alerteze personalul prin avertizări adecvate cu privire la securitate;

mijloacele de control al efectelor cauzate de breșele de securitate și de identificare a măsurilor de remediere și a procedurilor de reducere a riscurilor pentru prevenirea repetării acestora.

Operatorul de aerodrom asigură autorizarea de securitate a personalului său în ceea ce privește securitatea datelor aeronautice.

Aspectele legate de securitatea informațiilor trebuie gestionate în conformitate cu punctul ADR.OR.D.005A.;

activitățile sale legate de datele aeronautice;

activitățile sale de furnizare de informații aeronautice.

procedurile referitoare la evaluarea și reducerea riscurilor de securitate a datelor, monitorizarea și îmbunătățirea securității, examinările de securitate și diseminarea rezultatelor;

mijloacele destinate să detecteze breșele de securitate și să alerteze personalul prin avertizări adecvate cu privire la securitate;

mijloacele de control al efectelor cauzate de breșele de securitate și de identificare a măsurilor de remediere și a procedurilor de reducere a riscurilor pentru prevenirea repetării acestora.

În cadrul sistemului său de management, operatorul de aerodrom implementează și menține un sistem de management al calității care cuprinde următoarele activități:

activitățile sale legate de datele aeronautice;

activitățile sale de furnizare de informații aeronautice.

În cadrul sistemului său de management, operatorul de aerodrom stabilește un sistem de management al securității pentru a asigura securitatea datelor operaționale pe care le primește, le generează sau le utilizează în alt mod, astfel încât accesul la respectivele date operaționale să fie limitat numai la persoanele autorizate.

Sistemul de management al securității trebuie să definească următoarele elemente:

procedurile referitoare la evaluarea și reducerea riscurilor de securitate a datelor, monitorizarea și îmbunătățirea securității, examinările de securitate și diseminarea rezultatelor;

mijloacele destinate să detecteze breșele de securitate și să alerteze personalul prin avertizări adecvate cu privire la securitate;

mijloacele de control al efectelor cauzate de breșele de securitate și de identificare a măsurilor de remediere și a procedurilor de reducere a riscurilor pentru prevenirea repetării acestora.

Operatorul de aerodrom asigură autorizarea de securitate a personalului său în ceea ce privește securitatea datelor aeronautice.

Aspectele legate de securitatea informațiilor trebuie gestionate în conformitate cu punctul ADR.OR.D.005A.;

activitățile sale legate de datele aeronautice;

activitățile sale de furnizare de informații aeronautice.

procedurile referitoare la evaluarea și reducerea riscurilor de securitate a datelor, monitorizarea și îmbunătățirea securității, examinările de securitate și diseminarea rezultatelor;

mijloacele destinate să detecteze breșele de securitate și să alerteze personalul prin avertizări adecvate cu privire la securitate;

mijloacele de control al efectelor cauzate de breșele de securitate și de identificare a măsurilor de remediere și a procedurilor de reducere a riscurilor pentru prevenirea repetării acestora.

după punctul ADR.OR.F.045 se introduce următorul punct ADR.OR.F.045A:

Sistemul de management al securității informațiilor

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Se aplică de la 16 octombrie 2025.

ANEXĂSECURITATEA INFORMAȚIILOR – CERINȚE APLICABILE ORGANIZAȚIEI[PARTEA-IS.D.OR]

ANEXĂ

SECURITATEA INFORMAȚIILOR – CERINȚE APLICABILE ORGANIZAȚIEI

[PARTEA-IS.D.OR]

Domeniul de aplicare

Prezenta parte stabilește cerințele care trebuie îndeplinite de organizațiile menționate la articolul 2 din prezentul regulament.

Sistemul de management al securității informațiilor (SMSI)

Pentru a atinge obiectivele prevăzute la articolul 1, organizația trebuie să instituie, să implementeze și să mențină un sistem de management al securității informațiilor (SMSI) care asigură faptul că organizația:

instituie o politică de securitate a informațiilor în care sunt prevăzute principiile generale ale organizației în ceea ce privește impactul potențial al riscurilor în materie de securitate a informațiilor asupra siguranței aviației;

identifică și examinează riscurile în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.205;

definește și implementează măsurile de tratare a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.210;

implementează un sistem de raportare internă în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.215;

definește și implementează, în conformitate cu punctul IS.D.OR.220, măsurile necesare pentru detectarea evenimentelor de securitate a informațiilor, le identifică pe cele care sunt considerate incidente cu impact potențial asupra siguranței aviației, asigură un răspuns la respectivele incidente de securitate a informațiilor și se redresează în urma acestora;

implementează măsurile care au fost notificate de autoritatea competentă ca reacție imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației;

ia măsurile corespunzătoare, în conformitate cu punctul IS.D.OR.225, pentru abordarea constatărilor notificate de autoritatea competentă;

implementează un sistem de raportare externă în conformitate cu punctul IS.D.OR.230, astfel încât autoritatea competentă să poată lua măsuri corespunzătoare;

îndeplinește cerințele de la punctul IS.D.OR.235 când subcontractează altor organizații orice parte a activităților menționate la punctul IS.D.OR.200;

îndeplinește cerințele în materie de personal stabilite la punctul IS.D.OR.240;

îndeplinește cerințele de păstrare a evidențelor stabilite la punctul IS.D.OR.245;

monitorizează îndeplinirea de către organizație a cerințelor din prezentul regulament și transmite managerului responsabil sau, în cazul organizațiilor de proiectare, șefului organizației de proiectare feedback cu privire la constatări, pentru a asigura implementarea efectivă a măsurilor corective;

protejează, fără a aduce atingere cerințelor aplicabile în materie de raportare a incidentelor, confidențialitatea oricăror informații pe care organizația le-ar fi putut primi de la alte organizații, în funcție de nivelul de sensibilitate a informațiilor respective.

Pentru a îndeplini în permanență cerințele menționate la articolul 1, organizația trebuie să implementeze un proces de îmbunătățire continuă în conformitate cu punctul IS.D.OR.260.

Organizația trebuie să documenteze, în conformitate cu punctul IS.D.OR.250, toate procesele, procedurile, rolurile și responsabilitățile cheie necesare pentru a se conforma punctului IS.D.OR.200 litera (a) și să instituie un proces de modificare a documentației respective. Modificările aduse respectivelor procese, proceduri, roluri și responsabilități se gestionează în conformitate cu punctul IS.D.OR.255.

Procesele, procedurile, rolurile și responsabilitățile instituite de organizație pentru a se conforma punctului IS.D.OR.200 litera (a) trebuie să corespundă naturii și complexității activităților sale, pe baza unei evaluări a riscurilor în materie de securitate a informațiilor inerente activităților respective, și pot fi integrate în alte sisteme de management existente care sunt deja implementate de organizație.

Fără a se aduce atingere obligației de conformitate cu cerințele de raportare prevăzute în Regulamentul (UE) nr. 376/2014 al Parlamentului European și al Consiliului și cu cerințele de la punctul IS.D.OR.200 litera (a) subpunctul (13), organizația poate primi din partea autorității competente aprobarea de a nu implementa cerințele menționate la literele (a)-(d) și cerințele conexe prevăzute la punctele IS.D.OR.205 – IS.D.OR.260, dacă demonstrează într-un mod considerat satisfăcător de autoritatea respectivă că activitățile, instalațiile și resursele sale, precum și serviciile pe care le operează, furnizează, primește și menține nu prezintă niciun risc în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației pentru organizația în sine sau pentru alte organizații. Aprobarea trebuie să se bazeze pe o evaluare documentată a riscurilor în materie de securitate a informațiilor, efectuată de organizație sau de o parte terță în conformitate cu punctul IS.D.OR.205 și examinată și aprobată de autoritatea sa competentă.

Regulamentul (UE) nr. 376/2014 al Parlamentului European și al Consiliului din 3 aprilie 2014 privind raportarea, analiza și acțiunile subsecvente cu privire la evenimentele de aviație civilă, de modificare a Regulamentului (UE) nr. 996/2010 al Parlamentului European și al Consiliului și de abrogare a Directivei 2003/42/CE a Parlamentului European și a Consiliului, și a Regulamentelor (CE) nr. 1321/2007 și (CE) nr. 1330/2007 ale Comisiei (JO L 122, 24.4.2014, p. 18).

Menținerea valabilității respectivei aprobări va fi examinată de autoritatea competentă în urma ciclului de audit de supraveghere aplicabil și ori de câte ori sunt implementate modificări ale domeniului de activitate al organizației.

Evaluarea riscurilor în materie de securitate a informațiilor

Organizația trebuie să identifice toate elementele sale care ar putea fi expuse unor riscuri în materie de securitate a informațiilor. Acestea trebuie să includă:

activitățile, instalațiile și resursele organizației, precum și serviciile pe care le operează, furnizează, primește sau menține organizația;

echipamentele, sistemele, datele și informațiile care contribuie la funcționarea elementelor enumerate la subpunctul (1).

Organizația trebuie să identifice interfețele pe care le are cu alte organizații și care ar putea conduce la expunerea reciprocă la riscuri în materie de securitate a informațiilor.

În ceea ce privește elementele și interfețele menționate la literele (a) și (b), organizația trebuie să identifice riscurile în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației. Pentru fiecare risc identificat, organizația trebuie:

să atribuie un nivel de risc în conformitate cu o clasificare predefinită stabilită de organizație;

să asocieze fiecare risc și nivelul său aferent cu elementul sau interfața corespunzătoare identificată în conformitate cu literele (a) și (b).

Clasificarea predefinită menționată la subpunctul (1) trebuie să țină seama de potențialul de producere a scenariului de amenințare și de gravitatea consecințelor acestuia asupra siguranței. Pe baza acestei clasificări și ținând cont dacă organizația dispune sau nu de un proces structurat și repetabil de management al riscurilor pentru operațiuni, organizația trebuie să fie în măsură să stabilească dacă riscul este acceptabil sau dacă trebuie tratat în conformitate cu punctul IS.D.OR.210.

Pentru a se facilita comparabilitatea reciprocă a evaluărilor riscurilor, la atribuirea nivelului de risc în temeiul subpunctului (1) se ține seama de informațiile relevante obținute în coordonare cu organizațiile menționate la litera (b).

Organizația trebuie să revizuiască și să actualizeze evaluarea riscurilor efectuată în conformitate cu literele (a), (b) și (c) în oricare dintre următoarele situații:

când există o modificare a elementelor expuse unor riscuri în materie de securitate a informațiilor;

când există o modificare a interfețelor dintre organizație și alte organizații sau o modificare a riscurilor comunicate de celelalte organizații;

când există o modificare a informațiilor sau a cunoștințelor utilizate pentru identificarea, analizarea și clasificarea riscurilor;

analiza incidentelor de securitate a informațiilor a permis desprinderea de învățăminte.

Tratarea riscurilor în materie de securitate a informațiilor

Organizația trebuie să elaboreze măsuri de abordare a riscurilor inacceptabile identificate în conformitate cu punctul IS.D.OR.205, să le implementeze în timp util și să verifice menținerea eficacității acestora. Respectivele măsuri trebuie să permită organizației:

să controleze circumstanțele care contribuie la apariția efectivă a scenariului de amenințare;

să diminueze consecințele asupra siguranței aviației, asociate materializării scenariului de amenințare;

să evite riscurile.

Respectivele măsuri nu trebuie să introducă noi riscuri potențiale inacceptabile pentru siguranța aviației.

Persoana menționată la punctul IS.D.OR.240 literele (a) și (b) și ceilalți membri vizați ai personalului organizației trebuie să fie informați de rezultatul evaluării riscurilor efectuate în conformitate cu punctul IS.D.OR.205, de scenariile de amenințare corespunzătoare și de măsurile care trebuie implementate.

Organizația trebuie să informeze, de asemenea, organizațiile cu care are o interfață în conformitate cu punctul IS.D.OR.205 litera (b) cu privire la orice risc comun celor două organizații.

Sistemul de raportare internă în materie de securitate a informațiilor

Organizația trebuie să instituie un sistem de raportare internă pentru a permite colectarea și evaluarea evenimentelor legate de securitatea informațiilor, inclusiv a celor care trebuie raportate în temeiul punctului IS.D.OR.230.

Sistemul respectiv și procesul menționat la punctul IS.D.OR.220 trebuie să îi permită organizației:

să identifice care dintre evenimentele raportate în temeiul literei (a) sunt considerate incidente de securitate a informațiilor sau vulnerabilități cu impact potențial asupra siguranței aviației;

să identifice cauzele și factorii determinanți ai incidentelor de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul (1) și să le abordeze în cadrul procesului de management al riscurilor în materie de securitate a informațiilor în conformitate cu punctele IS.D.OR.205 și IS.D.OR.220;

să asigure o evaluare a tuturor informațiilor cunoscute și relevante legate de incidentele de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul (1);

să asigure implementarea unei metode de distribuire internă a informațiilor, după caz.

Orice organizație subcontractată care ar putea expune organizația la riscuri în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației are obligația de a raporta organizației evenimentele de securitate a informațiilor. Rapoartele respective se transmit prin procedurile stabilite în angajamentele contractuale specifice și se evaluează în conformitate cu litera (b).

Organizația trebuie să coopereze în cadrul investigațiilor cu orice altă organizație care are o contribuție semnificativă la securitatea informațiilor în cadrul propriilor sale activități.

Organizația poate integra sistemul de raportare respectiv în alte sisteme de raportare pe care le-a implementat deja.

Incidentele de securitate a informațiilor – detectare, răspuns și redresare

În funcție de rezultatul evaluării riscurilor, efectuată în conformitate cu punctul IS.D.OR.205, și de rezultatul tratării riscurilor, efectuată în conformitate cu punctul IS.D.OR.210, organizația trebuie să implementeze măsuri de detectare a incidentelor și vulnerabilităților care indică materializarea potențială a unor riscuri inacceptabile și care pot avea un impact potențial asupra siguranței aviației. Respectivele măsuri de detectare trebuie să permită organizației:

să identifice abaterile de la valorile de referință predeterminate ale performanței funcționale;

să declanșeze avertizări pentru activarea unor măsuri de răspuns adecvate, în cazul oricărei abateri.

Organizația trebuie să implementeze măsuri pentru a răspunde oricăror evenimente identificate în conformitate cu litera (a) care se pot transforma ori s-au transformat într-un incident de securitate a informațiilor. Aceste măsuri de răspuns trebuie să permită organizației:

să declanșeze reacția la avertizările menționate la litera (a) subpunctul (2) prin activarea unor resurse și planuri de acțiune predefinite;

să limiteze răspândirea unui atac și să evite materializarea deplină a unui scenariu de amenințare;

să controleze modul de defectare al elementelor afectate definite la punctul IS.D.OR.205 litera (a).

Organizația trebuie să implementeze măsuri de redresare în urma incidentelor de securitate a informațiilor, inclusiv măsuri de urgență, dacă este necesar. Respectivele măsuri de redresare trebuie să permită organizației:

să elimine situația care a cauzat incidentul sau să o limiteze la un nivel tolerabil;

să asigure atingerea unei stări de siguranță a elementelor afectate definite la punctul IS.D.OR.205 litera (a) în timpul de redresare definit în prealabil de organizație.

Răspunsul la constatările notificate de autoritatea competentă

După primirea notificării constatărilor de la autoritatea competentă, organizația trebuie:

să identifice atât cauza sau cauzele profunde ale apariției neconformității, cât și factorii care contribuie la aceasta;

să definească un plan de acțiuni corective;

să demonstreze corectarea neconformității într-un mod considerat satisfăcător de către autoritatea competentă.

Acțiunile menționate la litera (a) trebuie întreprinse în termenul convenit cu autoritatea competentă.

Sistemul de raportare externă în materie de securitate a informațiilor

Organizația trebuie să implementeze un sistem de raportare în materie de securitate a informațiilor care să fie conform cu cerințele stabilite în Regulamentul (UE) nr. 376/2014 și în actele delegate și de punere în aplicare ale acestuia, dacă regulamentul respectiv îi este aplicabil.

Fără a aduce atingere obligațiilor prevăzute în Regulamentul (UE) nr. 376/2014, organizația trebuie să se asigure că orice incident de securitate a informațiilor sau vulnerabilitate care poate reprezenta un risc semnificativ pentru siguranța aviației este raportată autorității sale competente. În plus:

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează o aeronavă ori un sistem sau o componentă asociată, organizația trebuie să raporteze acest lucru și titularului aprobării de proiect;

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează un sistem sau element constitutiv utilizat de organizație, ea trebuie să raporteze acest lucru organizației responsabile cu proiectarea sistemului sau a elementului constitutiv.

Organizația trebuie să raporteze situațiile menționate la litera (b) după cum urmează:

se transmite o notificare autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, de îndată ce organizația ia cunoștință de situație;

se transmite un raport autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, cât mai curând posibil, însă fără a depăși 72 de ore de la momentul în care organizația a luat cunoștință de situație, în afara cazului în care circumstanțe excepționale împiedică acest lucru.

Raportul se întocmește în forma definită de autoritatea competentă și trebuie să conțină toate informațiile relevante despre situația de care a luat cunoștință organizația;

se transmite autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv un raport de urmărire în care se oferă detalii privind acțiunile întreprinse sau pe care organizația intenționează să le întreprindă în urma incidentului, precum și privind acțiunile pe care organizația intenționează să le întreprindă pentru a preveni, în viitor, producerea unor incidente similare de securitate a informațiilor.

Raportul de urmărire se transmite de îndată ce au fost identificate respectivele acțiuni și se întocmește în forma definită de autoritatea competentă.

Subcontractarea activităților de management al securității informațiilor

Organizația trebuie să se asigure că, atunci când subcontractează altor organizații orice parte a activităților menționate la punctul IS.D.OR.200, activitățile subcontractate respectă cerințele din prezentul regulament și că organizația subcontractată lucrează sub supravegherea sa. Organizația trebuie să se asigure că riscurile asociate activităților subcontractate sunt gestionate în mod corespunzător.

Organizația trebuie să se asigure că autoritatea competentă poate avea acces, la cerere, la organizația subcontractată, pentru a determina menținerea conformității cu cerințele aplicabile stabilite în prezentul regulament.

Cerințele în materie de personal

Managerul responsabil al organizației sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare, desemnat în conformitate cu Regulamentul (UE) nr. 748/2012 și cu Regulamentul (UE) nr. 139/2014, astfel cum se menționează la articolul 2 alineatul (1) literele (a) și (b) din prezentul regulament, trebuie să aibă drepturile statutare necesare pentru a se asigura că toate activitățile prevăzute în prezentul regulament pot fi finanțate și efectuate. Persoana respectivă trebuie:

să se asigure că sunt disponibile toate resursele necesare pentru a se conforma cerințelor prezentului regulament;

să stabilească și să promoveze politica de securitate a informațiilor menționată la punctul IS.D.OR.200 litera (a) subpunctul (1);

să demonstreze că deține cunoștințe de bază privind prezentul regulament.

Managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare trebuie să numească o persoană sau un grup de persoane pentru a asigura conformitatea organizației cu cerințele prezentului regulament și trebuie să definească nivelul de autoritate al acestora. Persoana sau grupul de persoane au obligația să raporteze direct managerului responsabil sau, în cazul organizațiilor de proiectare, șefului organizației de proiectare și trebuie să dețină pregătirea, cunoștințele și experiența necesare executării responsabilităților asumate. În cadrul procedurilor trebuie să se stabilească cine suplinește o anumită persoană în cazul unei absențe îndelungate a persoanei respective.

Managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare trebuie să însărcineze o persoană sau un grup de persoane cu responsabilitatea de a gestiona funcția de monitorizare a conformității menționată la punctul IS.D.OR.200 litera (a) subpunctul (12).

Atunci când organizația partajează structuri organizaționale, politici, procese și proceduri în materie de securitate a informațiilor cu alte organizații sau cu domenii ale propriei organizări care nu fac parte din aprobare sau din declarație, managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare, își poate delega activitățile unei persoane responsabile comune.

Într-un astfel de caz, se stabilesc măsuri de coordonare între managerul responsabil al organizației sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare și persoana responsabilă comună pentru a se asigura integrarea adecvată a managementului securității informațiilor în cadrul organizației.

Managerul responsabil sau șeful organizației de proiectare ori persoana responsabilă comună menționată la litera (d) trebuie să aibă drepturile statutare necesare pentru a institui și menține structurile organizaționale, politicile, procesele și procedurile necesare pentru implementarea punctului IS.D.OR.200.

Organizația trebuie să dispună de un proces prin care să se asigure că are suficient personal disponibil pentru îndeplinirea activităților reglementate de prezenta anexă.

Organizația trebuie să dispună de un proces prin care să se asigure că personalul menționat la litera (f) are competența necesară pentru a-și îndeplini sarcinile.

Organizația trebuie să dispună de un proces prin care să se asigure că personalul este informat de responsabilitățile aferente rolurilor și sarcinilor atribuite.

Organizația trebuie să se asigure că identitatea și fiabilitatea personalului care are acces la sistemele informatice și la datele care fac obiectul cerințelor prezentului regulament sunt stabilite în mod corespunzător.

Păstrarea evidențelor

Organizația trebuie să păstreze evidența activităților sale de management al securității informațiilor.

Organizația trebuie să se asigure că următoarele evidențe sunt arhivate și trasabile:

orice aprobare primită și orice evaluare conexă a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.200 litera (e);

contractele pentru activitățile menționate la punctul IS.D.OR.200 litera (a) subpunctul (9);

evidențele proceselor-cheie menționate la punctul IS.D.OR.200 litera (d);

evidențele riscurilor identificate în evaluarea riscurilor menționată la punctul IS.D.OR.205, împreună cu măsurile conexe de tratare a riscurilor menționate la punctul IS.D.OR.210;

evidențele incidentelor și vulnerabilităților în materie de securitate a informațiilor raportate în conformitate cu sistemele de raportare menționate la punctele IS.D.OR.215 și IS.D.OR.230;

evidențele evenimentelor de securitate a informațiilor care ar putea necesita o reevaluare în vederea depistării unor incidente sau vulnerabilități nedetectate în materie de securitate a informațiilor.

Evidențele menționate la subpunctul (1) punctul (i) se păstrează timp de cel puțin cinci ani de la data la care aprobarea și-a pierdut valabilitatea.

Evidențele menționate la subpunctul (1) punctul (ii) se păstrează timp de cel puțin cinci ani de la data la care contractul a fost modificat sau reziliat.

Evidențele menționate la subpunctul (1) punctele (iii), (iv) și (v) se păstrează timp de cel puțin cinci ani.

Evidențele menționate la subpunctul (1) punctul (vi) se păstrează până la reevaluarea respectivelor evenimente de securitate a informațiilor, efectuată cu o periodicitate definită în cadrul unei proceduri instituite de organizație.

Organizația trebuie să păstreze evidența calificărilor și a experienței personalului propriu implicat în activități de management al securității informațiilor.

Evidențele calificărilor și experienței personalului se păstrează atât timp cât persoana lucrează pentru organizație și timp de cel puțin trei ani după ce persoana a părăsit organizația.

Membrii personalului trebuie să primească, la cerere, acces la evidențele personale. În plus, la cererea membrilor personalului, organizația trebuie să le furnizeze acestora, la părăsirea organizației, o copie a evidențelor personale.

Formatul evidențelor se specifică în procedurile organizației.

Evidențele se stochează astfel încât să fie protejate împotriva deteriorării, alterării și furtului, informațiile fiind identificate, după caz, conform nivelului lor de clasificare de securitate. Organizația trebuie să se asigure că evidențele sunt stocate prin mijloace care să asigure integritatea, autenticitatea și accesul autorizat.

Manualul de management al securității informațiilor (MMSI)

Organizația trebuie să pună la dispoziția autorității competente un manual de management al securității informațiilor (MMSI) și, când este cazul, eventualele manuale și proceduri conexe la care se face trimitere în manualul respectiv, conținând:

o declarație semnată de managerul responsabil sau, în cazul organizațiilor de proiectare, de șeful organizației de proiectare, prin care se confirmă că organizația își va desfășura în permanență activitatea în conformitate cu prezenta anexă și cu MMSI. Dacă managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare nu este directorul general al organizației, declarația trebuie să fie contrasemnată de directorul general;

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanei sau persoanelor menționate la punctul IS.D.OR.240 literele (b) și (c);

funcția, numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanei responsabile comune menționate la punctul IS.D.OR.240 litera (d), dacă este cazul;

politica de securitate a informațiilor instituită de organizație, astfel cum este menționată la punctul IS.D.OR.200 litera (a) subpunctul (1);

o descriere generală a resurselor umane, din punctul de vedere al efectivelor și categoriilor, precum și a sistemului instituit pentru planificarea disponibilității personalului, astfel cum se prevede la punctul IS.D.OR.240 litera (d);

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanelor-cheie responsabile cu implementarea punctului IS.D.OR.200, inclusiv ale persoanei sau persoanelor responsabile cu funcția de monitorizare a conformității, menționată la punctul IS.D.OR.200 litera (a) subpunctul (12);

o organigramă ilustrând liniile ierarhice conexe în materie de răspundere și responsabilitate pentru persoanele menționate la subpunctele (2) și (6);

descrierea sistemului de raportare internă menționat la punctul IS.D.OR.215;

procedurile în care se specifică modul în care organizația asigură conformitatea cu prezenta parte, în particular:

documentația menționată la punctul IS.D.OR.200 litera (c);

procedurile care definesc modul în care organizația controlează eventualele activități subcontractate, astfel cum se menționează la punctul IS.D.OR.200 litera (a) subpunctul (9);

procedura de modificare a MMSI-ului, definită la litera (c);

informații detaliate referitoare la mijloace de conformare alternative aprobate în prezent.

Ediția inițială a MMSI-ului trebuie să fie aprobată, iar o copie trebuie păstrată de autoritatea competentă. Nu este necesară o aprobare pentru organizațiile care funcționează în regim de declarare. MMSI-ul trebuie modificat în funcție de necesități, astfel încât să reprezinte o descriere actualizată a SMSI-ului organizației. O copie a oricăror modificări aduse MMSI-ului trebuie transmisă autorității competente.

Modificările aduse MMSI-ului se gestionează în cadrul unei proceduri instituite de organizație. Orice modificare care nu este acoperită de domeniul de aplicare al respectivei proceduri și orice modificare legată de modificările menționate la punctul IS.D. OR.255 litera (b) trebuie să fie aprobată de autoritatea competentă. Nu este necesară o aprobare pentru organizațiile care funcționează în regim de declarare.

Organizația poate integra MMSI-ul în alte specificații sau manuale de management pe care le deține, cu condiția să existe o referință încrucișată clară indicând părțile din specificațiile sau manualul de management care corespund diferitelor cerințe cuprinse în prezenta anexă.

Modificări ale sistemului de management al securității informațiilor

Modificările aduse SMSI-ului pot fi gestionate și notificate autorității competente în cadrul unei proceduri elaborate de organizație. Această procedură trebuie să fie aprobată de autoritatea competentă, cu excepția organizațiilor care funcționează în regim de declarare.

În ceea ce privește modificările SMSI-ului care nu fac obiectul procedurii menționate la litera (a), organizația trebuie să solicite și să obțină o aprobare din partea autorității competente, cu excepția organizațiilor care funcționează în regim de declarare, care nu necesită o aprobare.

În ceea ce privește aceste modificări:

cererea se depune înainte să intervină modificarea respectivă, pentru a i se permite autorității competente să stabilească continuitatea conformității cu prezentul regulament și să modifice, dacă este necesar, certificatul organizației și condițiile de aprobare anexate acestuia;

organizația trebuie să pună la dispoziția autorității competente toate informațiile solicitate pentru evaluarea modificării;

modificarea trebuie să fie implementată numai după primirea unei aprobări oficiale din partea autorității competente, cu excepția organizațiilor care funcționează în regim de declarare, care pot implementa imediat modificarea;

organizația trebuie să își desfășoare activitatea în condițiile stabilite de autoritatea competentă în timpul implementării modificărilor respective.

Îmbunătățirea continuă

Organizația trebuie să evalueze, cu ajutorul unor indicatori de performanță adecvați, eficacitatea și maturitatea SMSI-ului. Respectiva evaluare trebuie efectuată pe baza unui calendar predefinit de organizație sau în urma unui incident de securitate a informațiilor.

Dacă în urma evaluării efectuate în conformitate cu litera (a) se constată deficiențe, organizația trebuie să ia măsurile de îmbunătățire necesare pentru a se asigura că SMSI-ul continuă să se conformeze cerințelor aplicabile și că el menține riscurile în materie de securitate a informațiilor la un nivel acceptabil. În plus, organizația trebuie să reevalueze elementele SMSI vizate de măsurile adoptate.

Pentru a atinge obiectivele prevăzute la articolul 1, organizația trebuie să instituie, să implementeze și să mențină un sistem de management al securității informațiilor (SMSI) care asigură faptul că organizația:

instituie o politică de securitate a informațiilor în care sunt prevăzute principiile generale ale organizației în ceea ce privește impactul potențial al riscurilor în materie de securitate a informațiilor asupra siguranței aviației;

identifică și examinează riscurile în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.205;

definește și implementează măsurile de tratare a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.210;

implementează un sistem de raportare internă în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.215;

definește și implementează, în conformitate cu punctul IS.D.OR.220, măsurile necesare pentru detectarea evenimentelor de securitate a informațiilor, le identifică pe cele care sunt considerate incidente cu impact potențial asupra siguranței aviației, asigură un răspuns la respectivele incidente de securitate a informațiilor și se redresează în urma acestora;

implementează măsurile care au fost notificate de autoritatea competentă ca reacție imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației;

ia măsurile corespunzătoare, în conformitate cu punctul IS.D.OR.225, pentru abordarea constatărilor notificate de autoritatea competentă;

implementează un sistem de raportare externă în conformitate cu punctul IS.D.OR.230, astfel încât autoritatea competentă să poată lua măsuri corespunzătoare;

îndeplinește cerințele de la punctul IS.D.OR.235 când subcontractează altor organizații orice parte a activităților menționate la punctul IS.D.OR.200;

îndeplinește cerințele în materie de personal stabilite la punctul IS.D.OR.240;

îndeplinește cerințele de păstrare a evidențelor stabilite la punctul IS.D.OR.245;

monitorizează îndeplinirea de către organizație a cerințelor din prezentul regulament și transmite managerului responsabil sau, în cazul organizațiilor de proiectare, șefului organizației de proiectare feedback cu privire la constatări, pentru a asigura implementarea efectivă a măsurilor corective;

protejează, fără a aduce atingere cerințelor aplicabile în materie de raportare a incidentelor, confidențialitatea oricăror informații pe care organizația le-ar fi putut primi de la alte organizații, în funcție de nivelul de sensibilitate a informațiilor respective.

Pentru a îndeplini în permanență cerințele menționate la articolul 1, organizația trebuie să implementeze un proces de îmbunătățire continuă în conformitate cu punctul IS.D.OR.260.

Organizația trebuie să documenteze, în conformitate cu punctul IS.D.OR.250, toate procesele, procedurile, rolurile și responsabilitățile cheie necesare pentru a se conforma punctului IS.D.OR.200 litera (a) și să instituie un proces de modificare a documentației respective. Modificările aduse respectivelor procese, proceduri, roluri și responsabilități se gestionează în conformitate cu punctul IS.D.OR.255.

Procesele, procedurile, rolurile și responsabilitățile instituite de organizație pentru a se conforma punctului IS.D.OR.200 litera (a) trebuie să corespundă naturii și complexității activităților sale, pe baza unei evaluări a riscurilor în materie de securitate a informațiilor inerente activităților respective, și pot fi integrate în alte sisteme de management existente care sunt deja implementate de organizație.

Fără a se aduce atingere obligației de conformitate cu cerințele de raportare prevăzute în Regulamentul (UE) nr. 376/2014 al Parlamentului European și al Consiliului și cu cerințele de la punctul IS.D.OR.200 litera (a) subpunctul (13), organizația poate primi din partea autorității competente aprobarea de a nu implementa cerințele menționate la literele (a)-(d) și cerințele conexe prevăzute la punctele IS.D.OR.205 – IS.D.OR.260, dacă demonstrează într-un mod considerat satisfăcător de autoritatea respectivă că activitățile, instalațiile și resursele sale, precum și serviciile pe care le operează, furnizează, primește și menține nu prezintă niciun risc în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației pentru organizația în sine sau pentru alte organizații. Aprobarea trebuie să se bazeze pe o evaluare documentată a riscurilor în materie de securitate a informațiilor, efectuată de organizație sau de o parte terță în conformitate cu punctul IS.D.OR.205 și examinată și aprobată de autoritatea sa competentă.

instituie o politică de securitate a informațiilor în care sunt prevăzute principiile generale ale organizației în ceea ce privește impactul potențial al riscurilor în materie de securitate a informațiilor asupra siguranței aviației;

identifică și examinează riscurile în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.205;

definește și implementează măsurile de tratare a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.210;

implementează un sistem de raportare internă în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.215;

definește și implementează, în conformitate cu punctul IS.D.OR.220, măsurile necesare pentru detectarea evenimentelor de securitate a informațiilor, le identifică pe cele care sunt considerate incidente cu impact potențial asupra siguranței aviației, asigură un răspuns la respectivele incidente de securitate a informațiilor și se redresează în urma acestora;

implementează măsurile care au fost notificate de autoritatea competentă ca reacție imediată la un incident sau o vulnerabilitate în materie de securitate a informațiilor cu impact asupra siguranței aviației;

ia măsurile corespunzătoare, în conformitate cu punctul IS.D.OR.225, pentru abordarea constatărilor notificate de autoritatea competentă;

implementează un sistem de raportare externă în conformitate cu punctul IS.D.OR.230, astfel încât autoritatea competentă să poată lua măsuri corespunzătoare;

îndeplinește cerințele de la punctul IS.D.OR.235 când subcontractează altor organizații orice parte a activităților menționate la punctul IS.D.OR.200;

îndeplinește cerințele în materie de personal stabilite la punctul IS.D.OR.240;

îndeplinește cerințele de păstrare a evidențelor stabilite la punctul IS.D.OR.245;

monitorizează îndeplinirea de către organizație a cerințelor din prezentul regulament și transmite managerului responsabil sau, în cazul organizațiilor de proiectare, șefului organizației de proiectare feedback cu privire la constatări, pentru a asigura implementarea efectivă a măsurilor corective;

protejează, fără a aduce atingere cerințelor aplicabile în materie de raportare a incidentelor, confidențialitatea oricăror informații pe care organizația le-ar fi putut primi de la alte organizații, în funcție de nivelul de sensibilitate a informațiilor respective.

Organizația trebuie să identifice toate elementele sale care ar putea fi expuse unor riscuri în materie de securitate a informațiilor. Acestea trebuie să includă:

activitățile, instalațiile și resursele organizației, precum și serviciile pe care le operează, furnizează, primește sau menține organizația;

echipamentele, sistemele, datele și informațiile care contribuie la funcționarea elementelor enumerate la subpunctul (1).

Organizația trebuie să identifice interfețele pe care le are cu alte organizații și care ar putea conduce la expunerea reciprocă la riscuri în materie de securitate a informațiilor.

În ceea ce privește elementele și interfețele menționate la literele (a) și (b), organizația trebuie să identifice riscurile în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației. Pentru fiecare risc identificat, organizația trebuie:

să atribuie un nivel de risc în conformitate cu o clasificare predefinită stabilită de organizație;

să asocieze fiecare risc și nivelul său aferent cu elementul sau interfața corespunzătoare identificată în conformitate cu literele (a) și (b).

Organizația trebuie să revizuiască și să actualizeze evaluarea riscurilor efectuată în conformitate cu literele (a), (b) și (c) în oricare dintre următoarele situații:

când există o modificare a elementelor expuse unor riscuri în materie de securitate a informațiilor;

când există o modificare a interfețelor dintre organizație și alte organizații sau o modificare a riscurilor comunicate de celelalte organizații;

când există o modificare a informațiilor sau a cunoștințelor utilizate pentru identificarea, analizarea și clasificarea riscurilor;

analiza incidentelor de securitate a informațiilor a permis desprinderea de învățăminte.

activitățile, instalațiile și resursele organizației, precum și serviciile pe care le operează, furnizează, primește sau menține organizația;

echipamentele, sistemele, datele și informațiile care contribuie la funcționarea elementelor enumerate la subpunctul (1).

să atribuie un nivel de risc în conformitate cu o clasificare predefinită stabilită de organizație;

să asocieze fiecare risc și nivelul său aferent cu elementul sau interfața corespunzătoare identificată în conformitate cu literele (a) și (b).

când există o modificare a elementelor expuse unor riscuri în materie de securitate a informațiilor;

când există o modificare a interfețelor dintre organizație și alte organizații sau o modificare a riscurilor comunicate de celelalte organizații;

când există o modificare a informațiilor sau a cunoștințelor utilizate pentru identificarea, analizarea și clasificarea riscurilor;

analiza incidentelor de securitate a informațiilor a permis desprinderea de învățăminte.

Organizația trebuie să elaboreze măsuri de abordare a riscurilor inacceptabile identificate în conformitate cu punctul IS.D.OR.205, să le implementeze în timp util și să verifice menținerea eficacității acestora. Respectivele măsuri trebuie să permită organizației:

să controleze circumstanțele care contribuie la apariția efectivă a scenariului de amenințare;

să diminueze consecințele asupra siguranței aviației, asociate materializării scenariului de amenințare;

să evite riscurile.

Persoana menționată la punctul IS.D.OR.240 literele (a) și (b) și ceilalți membri vizați ai personalului organizației trebuie să fie informați de rezultatul evaluării riscurilor efectuate în conformitate cu punctul IS.D.OR.205, de scenariile de amenințare corespunzătoare și de măsurile care trebuie implementate.

să controleze circumstanțele care contribuie la apariția efectivă a scenariului de amenințare;

să diminueze consecințele asupra siguranței aviației, asociate materializării scenariului de amenințare;

să evite riscurile.

Organizația trebuie să instituie un sistem de raportare internă pentru a permite colectarea și evaluarea evenimentelor legate de securitatea informațiilor, inclusiv a celor care trebuie raportate în temeiul punctului IS.D.OR.230.

Sistemul respectiv și procesul menționat la punctul IS.D.OR.220 trebuie să îi permită organizației:

să identifice care dintre evenimentele raportate în temeiul literei (a) sunt considerate incidente de securitate a informațiilor sau vulnerabilități cu impact potențial asupra siguranței aviației;

să identifice cauzele și factorii determinanți ai incidentelor de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul (1) și să le abordeze în cadrul procesului de management al riscurilor în materie de securitate a informațiilor în conformitate cu punctele IS.D.OR.205 și IS.D.OR.220;

să asigure o evaluare a tuturor informațiilor cunoscute și relevante legate de incidentele de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul (1);

să asigure implementarea unei metode de distribuire internă a informațiilor, după caz.

Orice organizație subcontractată care ar putea expune organizația la riscuri în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației are obligația de a raporta organizației evenimentele de securitate a informațiilor. Rapoartele respective se transmit prin procedurile stabilite în angajamentele contractuale specifice și se evaluează în conformitate cu litera (b).

Organizația trebuie să coopereze în cadrul investigațiilor cu orice altă organizație care are o contribuție semnificativă la securitatea informațiilor în cadrul propriilor sale activități.

Organizația poate integra sistemul de raportare respectiv în alte sisteme de raportare pe care le-a implementat deja.

să identifice care dintre evenimentele raportate în temeiul literei (a) sunt considerate incidente de securitate a informațiilor sau vulnerabilități cu impact potențial asupra siguranței aviației;

să identifice cauzele și factorii determinanți ai incidentelor de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul (1) și să le abordeze în cadrul procesului de management al riscurilor în materie de securitate a informațiilor în conformitate cu punctele IS.D.OR.205 și IS.D.OR.220;

să asigure o evaluare a tuturor informațiilor cunoscute și relevante legate de incidentele de securitate a informațiilor și vulnerabilitățile identificate în conformitate cu subpunctul (1);

să asigure implementarea unei metode de distribuire internă a informațiilor, după caz.

În funcție de rezultatul evaluării riscurilor, efectuată în conformitate cu punctul IS.D.OR.205, și de rezultatul tratării riscurilor, efectuată în conformitate cu punctul IS.D.OR.210, organizația trebuie să implementeze măsuri de detectare a incidentelor și vulnerabilităților care indică materializarea potențială a unor riscuri inacceptabile și care pot avea un impact potențial asupra siguranței aviației. Respectivele măsuri de detectare trebuie să permită organizației:

să identifice abaterile de la valorile de referință predeterminate ale performanței funcționale;

să declanșeze avertizări pentru activarea unor măsuri de răspuns adecvate, în cazul oricărei abateri.

Organizația trebuie să implementeze măsuri pentru a răspunde oricăror evenimente identificate în conformitate cu litera (a) care se pot transforma ori s-au transformat într-un incident de securitate a informațiilor. Aceste măsuri de răspuns trebuie să permită organizației:

să declanșeze reacția la avertizările menționate la litera (a) subpunctul (2) prin activarea unor resurse și planuri de acțiune predefinite;

să limiteze răspândirea unui atac și să evite materializarea deplină a unui scenariu de amenințare;

să controleze modul de defectare al elementelor afectate definite la punctul IS.D.OR.205 litera (a).

Organizația trebuie să implementeze măsuri de redresare în urma incidentelor de securitate a informațiilor, inclusiv măsuri de urgență, dacă este necesar. Respectivele măsuri de redresare trebuie să permită organizației:

să elimine situația care a cauzat incidentul sau să o limiteze la un nivel tolerabil;

să asigure atingerea unei stări de siguranță a elementelor afectate definite la punctul IS.D.OR.205 litera (a) în timpul de redresare definit în prealabil de organizație.

să identifice abaterile de la valorile de referință predeterminate ale performanței funcționale;

să declanșeze avertizări pentru activarea unor măsuri de răspuns adecvate, în cazul oricărei abateri.

să declanșeze reacția la avertizările menționate la litera (a) subpunctul (2) prin activarea unor resurse și planuri de acțiune predefinite;

să limiteze răspândirea unui atac și să evite materializarea deplină a unui scenariu de amenințare;

să controleze modul de defectare al elementelor afectate definite la punctul IS.D.OR.205 litera (a).

să elimine situația care a cauzat incidentul sau să o limiteze la un nivel tolerabil;

să asigure atingerea unei stări de siguranță a elementelor afectate definite la punctul IS.D.OR.205 litera (a) în timpul de redresare definit în prealabil de organizație.

După primirea notificării constatărilor de la autoritatea competentă, organizația trebuie:

să identifice atât cauza sau cauzele profunde ale apariției neconformității, cât și factorii care contribuie la aceasta;

să definească un plan de acțiuni corective;

să demonstreze corectarea neconformității într-un mod considerat satisfăcător de către autoritatea competentă.

Acțiunile menționate la litera (a) trebuie întreprinse în termenul convenit cu autoritatea competentă.

să identifice atât cauza sau cauzele profunde ale apariției neconformității, cât și factorii care contribuie la aceasta;

să definească un plan de acțiuni corective;

să demonstreze corectarea neconformității într-un mod considerat satisfăcător de către autoritatea competentă.

Organizația trebuie să implementeze un sistem de raportare în materie de securitate a informațiilor care să fie conform cu cerințele stabilite în Regulamentul (UE) nr. 376/2014 și în actele delegate și de punere în aplicare ale acestuia, dacă regulamentul respectiv îi este aplicabil.

Fără a aduce atingere obligațiilor prevăzute în Regulamentul (UE) nr. 376/2014, organizația trebuie să se asigure că orice incident de securitate a informațiilor sau vulnerabilitate care poate reprezenta un risc semnificativ pentru siguranța aviației este raportată autorității sale competente. În plus:

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează o aeronavă ori un sistem sau o componentă asociată, organizația trebuie să raporteze acest lucru și titularului aprobării de proiect;

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează un sistem sau element constitutiv utilizat de organizație, ea trebuie să raporteze acest lucru organizației responsabile cu proiectarea sistemului sau a elementului constitutiv.

Organizația trebuie să raporteze situațiile menționate la litera (b) după cum urmează:

se transmite o notificare autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, de îndată ce organizația ia cunoștință de situație;

se transmite un raport autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, cât mai curând posibil, însă fără a depăși 72 de ore de la momentul în care organizația a luat cunoștință de situație, în afara cazului în care circumstanțe excepționale împiedică acest lucru.

se transmite autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv un raport de urmărire în care se oferă detalii privind acțiunile întreprinse sau pe care organizația intenționează să le întreprindă în urma incidentului, precum și privind acțiunile pe care organizația intenționează să le întreprindă pentru a preveni, în viitor, producerea unor incidente similare de securitate a informațiilor.

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează o aeronavă ori un sistem sau o componentă asociată, organizația trebuie să raporteze acest lucru și titularului aprobării de proiect;

atunci când un astfel de incident sau o astfel de vulnerabilitate afectează un sistem sau element constitutiv utilizat de organizație, ea trebuie să raporteze acest lucru organizației responsabile cu proiectarea sistemului sau a elementului constitutiv.

se transmite o notificare autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, de îndată ce organizația ia cunoștință de situație;

se transmite un raport autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv, cât mai curând posibil, însă fără a depăși 72 de ore de la momentul în care organizația a luat cunoștință de situație, în afara cazului în care circumstanțe excepționale împiedică acest lucru.

se transmite autorității competente și, dacă este cazul, titularului aprobării de proiect sau organizației responsabile cu proiectarea sistemului sau a elementului constitutiv un raport de urmărire în care se oferă detalii privind acțiunile întreprinse sau pe care organizația intenționează să le întreprindă în urma incidentului, precum și privind acțiunile pe care organizația intenționează să le întreprindă pentru a preveni, în viitor, producerea unor incidente similare de securitate a informațiilor.

Organizația trebuie să se asigure că, atunci când subcontractează altor organizații orice parte a activităților menționate la punctul IS.D.OR.200, activitățile subcontractate respectă cerințele din prezentul regulament și că organizația subcontractată lucrează sub supravegherea sa. Organizația trebuie să se asigure că riscurile asociate activităților subcontractate sunt gestionate în mod corespunzător.

Organizația trebuie să se asigure că autoritatea competentă poate avea acces, la cerere, la organizația subcontractată, pentru a determina menținerea conformității cu cerințele aplicabile stabilite în prezentul regulament.

Managerul responsabil al organizației sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare, desemnat în conformitate cu Regulamentul (UE) nr. 748/2012 și cu Regulamentul (UE) nr. 139/2014, astfel cum se menționează la articolul 2 alineatul (1) literele (a) și (b) din prezentul regulament, trebuie să aibă drepturile statutare necesare pentru a se asigura că toate activitățile prevăzute în prezentul regulament pot fi finanțate și efectuate. Persoana respectivă trebuie:

să se asigure că sunt disponibile toate resursele necesare pentru a se conforma cerințelor prezentului regulament;

să stabilească și să promoveze politica de securitate a informațiilor menționată la punctul IS.D.OR.200 litera (a) subpunctul (1);

să demonstreze că deține cunoștințe de bază privind prezentul regulament.

Managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare trebuie să numească o persoană sau un grup de persoane pentru a asigura conformitatea organizației cu cerințele prezentului regulament și trebuie să definească nivelul de autoritate al acestora. Persoana sau grupul de persoane au obligația să raporteze direct managerului responsabil sau, în cazul organizațiilor de proiectare, șefului organizației de proiectare și trebuie să dețină pregătirea, cunoștințele și experiența necesare executării responsabilităților asumate. În cadrul procedurilor trebuie să se stabilească cine suplinește o anumită persoană în cazul unei absențe îndelungate a persoanei respective.

Managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare trebuie să însărcineze o persoană sau un grup de persoane cu responsabilitatea de a gestiona funcția de monitorizare a conformității menționată la punctul IS.D.OR.200 litera (a) subpunctul (12).

Atunci când organizația partajează structuri organizaționale, politici, procese și proceduri în materie de securitate a informațiilor cu alte organizații sau cu domenii ale propriei organizări care nu fac parte din aprobare sau din declarație, managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare, își poate delega activitățile unei persoane responsabile comune.

Managerul responsabil sau șeful organizației de proiectare ori persoana responsabilă comună menționată la litera (d) trebuie să aibă drepturile statutare necesare pentru a institui și menține structurile organizaționale, politicile, procesele și procedurile necesare pentru implementarea punctului IS.D.OR.200.

Organizația trebuie să dispună de un proces prin care să se asigure că are suficient personal disponibil pentru îndeplinirea activităților reglementate de prezenta anexă.

Organizația trebuie să dispună de un proces prin care să se asigure că personalul menționat la litera (f) are competența necesară pentru a-și îndeplini sarcinile.

Organizația trebuie să dispună de un proces prin care să se asigure că personalul este informat de responsabilitățile aferente rolurilor și sarcinilor atribuite.

Organizația trebuie să se asigure că identitatea și fiabilitatea personalului care are acces la sistemele informatice și la datele care fac obiectul cerințelor prezentului regulament sunt stabilite în mod corespunzător.

să se asigure că sunt disponibile toate resursele necesare pentru a se conforma cerințelor prezentului regulament;

să stabilească și să promoveze politica de securitate a informațiilor menționată la punctul IS.D.OR.200 litera (a) subpunctul (1);

să demonstreze că deține cunoștințe de bază privind prezentul regulament.

Organizația trebuie să păstreze evidența activităților sale de management al securității informațiilor.

Organizația trebuie să se asigure că următoarele evidențe sunt arhivate și trasabile:

orice aprobare primită și orice evaluare conexă a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.200 litera (e);

contractele pentru activitățile menționate la punctul IS.D.OR.200 litera (a) subpunctul (9);

evidențele proceselor-cheie menționate la punctul IS.D.OR.200 litera (d);

evidențele riscurilor identificate în evaluarea riscurilor menționată la punctul IS.D.OR.205, împreună cu măsurile conexe de tratare a riscurilor menționate la punctul IS.D.OR.210;

evidențele incidentelor și vulnerabilităților în materie de securitate a informațiilor raportate în conformitate cu sistemele de raportare menționate la punctele IS.D.OR.215 și IS.D.OR.230;

evidențele evenimentelor de securitate a informațiilor care ar putea necesita o reevaluare în vederea depistării unor incidente sau vulnerabilități nedetectate în materie de securitate a informațiilor.

Evidențele menționate la subpunctul (1) punctul (i) se păstrează timp de cel puțin cinci ani de la data la care aprobarea și-a pierdut valabilitatea.

Evidențele menționate la subpunctul (1) punctul (ii) se păstrează timp de cel puțin cinci ani de la data la care contractul a fost modificat sau reziliat.

Evidențele menționate la subpunctul (1) punctele (iii), (iv) și (v) se păstrează timp de cel puțin cinci ani.

Evidențele menționate la subpunctul (1) punctul (vi) se păstrează până la reevaluarea respectivelor evenimente de securitate a informațiilor, efectuată cu o periodicitate definită în cadrul unei proceduri instituite de organizație.

orice aprobare primită și orice evaluare conexă a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.200 litera (e);

contractele pentru activitățile menționate la punctul IS.D.OR.200 litera (a) subpunctul (9);

evidențele proceselor-cheie menționate la punctul IS.D.OR.200 litera (d);

evidențele riscurilor identificate în evaluarea riscurilor menționată la punctul IS.D.OR.205, împreună cu măsurile conexe de tratare a riscurilor menționate la punctul IS.D.OR.210;

evidențele incidentelor și vulnerabilităților în materie de securitate a informațiilor raportate în conformitate cu sistemele de raportare menționate la punctele IS.D.OR.215 și IS.D.OR.230;

evidențele evenimentelor de securitate a informațiilor care ar putea necesita o reevaluare în vederea depistării unor incidente sau vulnerabilități nedetectate în materie de securitate a informațiilor.

Organizația trebuie să păstreze evidența calificărilor și a experienței personalului propriu implicat în activități de management al securității informațiilor.

Evidențele calificărilor și experienței personalului se păstrează atât timp cât persoana lucrează pentru organizație și timp de cel puțin trei ani după ce persoana a părăsit organizația.

Membrii personalului trebuie să primească, la cerere, acces la evidențele personale. În plus, la cererea membrilor personalului, organizația trebuie să le furnizeze acestora, la părăsirea organizației, o copie a evidențelor personale.

Formatul evidențelor se specifică în procedurile organizației.

Evidențele se stochează astfel încât să fie protejate împotriva deteriorării, alterării și furtului, informațiile fiind identificate, după caz, conform nivelului lor de clasificare de securitate. Organizația trebuie să se asigure că evidențele sunt stocate prin mijloace care să asigure integritatea, autenticitatea și accesul autorizat.

Organizația trebuie să se asigure că următoarele evidențe sunt arhivate și trasabile:

orice aprobare primită și orice evaluare conexă a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.200 litera (e);

contractele pentru activitățile menționate la punctul IS.D.OR.200 litera (a) subpunctul (9);

evidențele proceselor-cheie menționate la punctul IS.D.OR.200 litera (d);

evidențele riscurilor identificate în evaluarea riscurilor menționată la punctul IS.D.OR.205, împreună cu măsurile conexe de tratare a riscurilor menționate la punctul IS.D.OR.210;

evidențele incidentelor și vulnerabilităților în materie de securitate a informațiilor raportate în conformitate cu sistemele de raportare menționate la punctele IS.D.OR.215 și IS.D.OR.230;

evidențele evenimentelor de securitate a informațiilor care ar putea necesita o reevaluare în vederea depistării unor incidente sau vulnerabilități nedetectate în materie de securitate a informațiilor.

Evidențele menționate la subpunctul (1) punctul (i) se păstrează timp de cel puțin cinci ani de la data la care aprobarea și-a pierdut valabilitatea.

Evidențele menționate la subpunctul (1) punctul (ii) se păstrează timp de cel puțin cinci ani de la data la care contractul a fost modificat sau reziliat.

Evidențele menționate la subpunctul (1) punctele (iii), (iv) și (v) se păstrează timp de cel puțin cinci ani.

Evidențele menționate la subpunctul (1) punctul (vi) se păstrează până la reevaluarea respectivelor evenimente de securitate a informațiilor, efectuată cu o periodicitate definită în cadrul unei proceduri instituite de organizație.

orice aprobare primită și orice evaluare conexă a riscurilor în materie de securitate a informațiilor în conformitate cu punctul IS.D.OR.200 litera (e);

contractele pentru activitățile menționate la punctul IS.D.OR.200 litera (a) subpunctul (9);

evidențele proceselor-cheie menționate la punctul IS.D.OR.200 litera (d);

evidențele riscurilor identificate în evaluarea riscurilor menționată la punctul IS.D.OR.205, împreună cu măsurile conexe de tratare a riscurilor menționate la punctul IS.D.OR.210;

evidențele incidentelor și vulnerabilităților în materie de securitate a informațiilor raportate în conformitate cu sistemele de raportare menționate la punctele IS.D.OR.215 și IS.D.OR.230;

evidențele evenimentelor de securitate a informațiilor care ar putea necesita o reevaluare în vederea depistării unor incidente sau vulnerabilități nedetectate în materie de securitate a informațiilor.

Evidențele calificărilor și experienței personalului se păstrează atât timp cât persoana lucrează pentru organizație și timp de cel puțin trei ani după ce persoana a părăsit organizația.

Membrii personalului trebuie să primească, la cerere, acces la evidențele personale. În plus, la cererea membrilor personalului, organizația trebuie să le furnizeze acestora, la părăsirea organizației, o copie a evidențelor personale.

Organizația trebuie să pună la dispoziția autorității competente un manual de management al securității informațiilor (MMSI) și, când este cazul, eventualele manuale și proceduri conexe la care se face trimitere în manualul respectiv, conținând:

o declarație semnată de managerul responsabil sau, în cazul organizațiilor de proiectare, de șeful organizației de proiectare, prin care se confirmă că organizația își va desfășura în permanență activitatea în conformitate cu prezenta anexă și cu MMSI. Dacă managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare nu este directorul general al organizației, declarația trebuie să fie contrasemnată de directorul general;

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanei sau persoanelor menționate la punctul IS.D.OR.240 literele (b) și (c);

funcția, numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanei responsabile comune menționate la punctul IS.D.OR.240 litera (d), dacă este cazul;

politica de securitate a informațiilor instituită de organizație, astfel cum este menționată la punctul IS.D.OR.200 litera (a) subpunctul (1);

o descriere generală a resurselor umane, din punctul de vedere al efectivelor și categoriilor, precum și a sistemului instituit pentru planificarea disponibilității personalului, astfel cum se prevede la punctul IS.D.OR.240 litera (d);

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanelor-cheie responsabile cu implementarea punctului IS.D.OR.200, inclusiv ale persoanei sau persoanelor responsabile cu funcția de monitorizare a conformității, menționată la punctul IS.D.OR.200 litera (a) subpunctul (12);

o organigramă ilustrând liniile ierarhice conexe în materie de răspundere și responsabilitate pentru persoanele menționate la subpunctele (2) și (6);

descrierea sistemului de raportare internă menționat la punctul IS.D.OR.215;

procedurile în care se specifică modul în care organizația asigură conformitatea cu prezenta parte, în particular:

documentația menționată la punctul IS.D.OR.200 litera (c);

procedurile care definesc modul în care organizația controlează eventualele activități subcontractate, astfel cum se menționează la punctul IS.D.OR.200 litera (a) subpunctul (9);

procedura de modificare a MMSI-ului, definită la litera (c);

informații detaliate referitoare la mijloace de conformare alternative aprobate în prezent.

documentația menționată la punctul IS.D.OR.200 litera (c);

procedurile care definesc modul în care organizația controlează eventualele activități subcontractate, astfel cum se menționează la punctul IS.D.OR.200 litera (a) subpunctul (9);

procedura de modificare a MMSI-ului, definită la litera (c);

Ediția inițială a MMSI-ului trebuie să fie aprobată, iar o copie trebuie păstrată de autoritatea competentă. Nu este necesară o aprobare pentru organizațiile care funcționează în regim de declarare. MMSI-ul trebuie modificat în funcție de necesități, astfel încât să reprezinte o descriere actualizată a SMSI-ului organizației. O copie a oricăror modificări aduse MMSI-ului trebuie transmisă autorității competente.

Modificările aduse MMSI-ului se gestionează în cadrul unei proceduri instituite de organizație. Orice modificare care nu este acoperită de domeniul de aplicare al respectivei proceduri și orice modificare legată de modificările menționate la punctul IS.D. OR.255 litera (b) trebuie să fie aprobată de autoritatea competentă. Nu este necesară o aprobare pentru organizațiile care funcționează în regim de declarare.

Organizația poate integra MMSI-ul în alte specificații sau manuale de management pe care le deține, cu condiția să existe o referință încrucișată clară indicând părțile din specificațiile sau manualul de management care corespund diferitelor cerințe cuprinse în prezenta anexă.

o declarație semnată de managerul responsabil sau, în cazul organizațiilor de proiectare, de șeful organizației de proiectare, prin care se confirmă că organizația își va desfășura în permanență activitatea în conformitate cu prezenta anexă și cu MMSI. Dacă managerul responsabil sau, în cazul organizațiilor de proiectare, șeful organizației de proiectare nu este directorul general al organizației, declarația trebuie să fie contrasemnată de directorul general;

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanei sau persoanelor menționate la punctul IS.D.OR.240 literele (b) și (c);

funcția, numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanei responsabile comune menționate la punctul IS.D.OR.240 litera (d), dacă este cazul;

politica de securitate a informațiilor instituită de organizație, astfel cum este menționată la punctul IS.D.OR.200 litera (a) subpunctul (1);

o descriere generală a resurselor umane, din punctul de vedere al efectivelor și categoriilor, precum și a sistemului instituit pentru planificarea disponibilității personalului, astfel cum se prevede la punctul IS.D.OR.240 litera (d);

funcția (funcțiile), numele, atribuțiile, răspunderile, responsabilitățile și competențele persoanelor-cheie responsabile cu implementarea punctului IS.D.OR.200, inclusiv ale persoanei sau persoanelor responsabile cu funcția de monitorizare a conformității, menționată la punctul IS.D.OR.200 litera (a) subpunctul (12);

o organigramă ilustrând liniile ierarhice conexe în materie de răspundere și responsabilitate pentru persoanele menționate la subpunctele (2) și (6);

descrierea sistemului de raportare internă menționat la punctul IS.D.OR.215;

procedurile în care se specifică modul în care organizația asigură conformitatea cu prezenta parte, în particular:

documentația menționată la punctul IS.D.OR.200 litera (c);

procedurile care definesc modul în care organizația controlează eventualele activități subcontractate, astfel cum se menționează la punctul IS.D.OR.200 litera (a) subpunctul (9);

procedura de modificare a MMSI-ului, definită la litera (c);

informații detaliate referitoare la mijloace de conformare alternative aprobate în prezent.

documentația menționată la punctul IS.D.OR.200 litera (c);

procedurile care definesc modul în care organizația controlează eventualele activități subcontractate, astfel cum se menționează la punctul IS.D.OR.200 litera (a) subpunctul (9);

procedura de modificare a MMSI-ului, definită la litera (c);

Modificările aduse SMSI-ului pot fi gestionate și notificate autorității competente în cadrul unei proceduri elaborate de organizație. Această procedură trebuie să fie aprobată de autoritatea competentă, cu excepția organizațiilor care funcționează în regim de declarare.

În ceea ce privește modificările SMSI-ului care nu fac obiectul procedurii menționate la litera (a), organizația trebuie să solicite și să obțină o aprobare din partea autorității competente, cu excepția organizațiilor care funcționează în regim de declarare, care nu necesită o aprobare.

cererea se depune înainte să intervină modificarea respectivă, pentru a i se permite autorității competente să stabilească continuitatea conformității cu prezentul regulament și să modifice, dacă este necesar, certificatul organizației și condițiile de aprobare anexate acestuia;

organizația trebuie să pună la dispoziția autorității competente toate informațiile solicitate pentru evaluarea modificării;

modificarea trebuie să fie implementată numai după primirea unei aprobări oficiale din partea autorității competente, cu excepția organizațiilor care funcționează în regim de declarare, care pot implementa imediat modificarea;

organizația trebuie să își desfășoare activitatea în condițiile stabilite de autoritatea competentă în timpul implementării modificărilor respective.

cererea se depune înainte să intervină modificarea respectivă, pentru a i se permite autorității competente să stabilească continuitatea conformității cu prezentul regulament și să modifice, dacă este necesar, certificatul organizației și condițiile de aprobare anexate acestuia;

organizația trebuie să pună la dispoziția autorității competente toate informațiile solicitate pentru evaluarea modificării;

modificarea trebuie să fie implementată numai după primirea unei aprobări oficiale din partea autorității competente, cu excepția organizațiilor care funcționează în regim de declarare, care pot implementa imediat modificarea;

organizația trebuie să își desfășoare activitatea în condițiile stabilite de autoritatea competentă în timpul implementării modificărilor respective.

Organizația trebuie să evalueze, cu ajutorul unor indicatori de performanță adecvați, eficacitatea și maturitatea SMSI-ului. Respectiva evaluare trebuie efectuată pe baza unui calendar predefinit de organizație sau în urma unui incident de securitate a informațiilor.

Dacă în urma evaluării efectuate în conformitate cu litera (a) se constată deficiențe, organizația trebuie să ia măsurile de îmbunătățire necesare pentru a se asigura că SMSI-ul continuă să se conformeze cerințelor aplicabile și că el menține riscurile în materie de securitate a informațiilor la un nivel acceptabil. În plus, organizația trebuie să reevalueze elementele SMSI vizate de măsurile adoptate.