Durchführungsverordnung (EU) 2023/203 der Kommission vom 27. Oktober 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates hinsichtlich der Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 1321/2014, (EU) Nr. 965/2012, (EU) Nr. 1178/2011, (EU) 2015/340 der Kommission, die Durchführungsverordnungen (EU) 2017/373 und (EU) 2021/664 der Kommission fallen, sowie für zuständige Behörden, die unter die Verordnungen (EU) Nr. 748/2012, (EU) Nr. 1321/2014, (EU) Nr. 965/2012, (EU) Nr. 1178/2011, (EU) 2015/340 und (EU) Nr. 139/2014 der Kommission und die Durchführungsverordnungen (EU) 2017/373 und (EU) 2021/664 der Kommission fallen, sowie zur Änderung der Verordnungen (EU) Nr. 1178/2011, (EU) Nr. 748/2012, (EU) Nr. 965/2012, (EU) Nr. 139/2014, (EU) Nr. 1321/2014, (EU) 2015/340 der Kommission und der Durchführungsverordnungen (EU) 2017/373 und (EU) 2021/664 der Kommission
(ABl. L 31 vom 02.02.2023 S. 1, ber. L 142 S. 46)
=> Zur nachfolgenden Fassung Die Europäische Kommission -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates vom 4. Juli 2018 zur Festlegung gemeinsamer Vorschriften für die Zivilluftfahrt und zur Errichtung einer Agentur der Europäischen Union für Flugsicherheit sowie zur Änderung der Verordnungen (EG) Nr. 2111/2005, (EG) Nr. 1008/2008, (EU) Nr. 996/2010, (EU) Nr. 376/2014 und der Richtlinien 2014/30/EU und 2014/53/EU des Europäischen Parlaments und des Rates, und zur Aufhebung der Verordnungen (EG) Nr. 552/2004 und (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates und der Verordnung (EWG) Nr. 3922/91 des Rates 1, insbesondere auf die Artikel 17 Absatz 1 Buchstabe b, Artikel 27 Absatz 1 Buchstabe a, Artikel 31 Absatz 1 Buchstabe b, Artikel 43 Absatz 1 Buchstabe b, Artikel 53 Absatz 1 Buchstabe a und Artikel 62 Absatz 15 Buchstabe c,
in Erwägung nachstehender Gründe:
(1) Gemäß den grundlegenden Anforderungen in Anhang II Nummer 3.1 Buchstabe b der Verordnung (EU) 2018/1139 müssen Organisationen zur Führung der Aufrechterhaltung der Lufttüchtigkeit und Instandhaltungsorganisationen für das Management von Sicherheitsrisiken ein Managementsystem einführen und aufrechterhalten.
(2) Gemäß den grundlegenden Anforderungen in Anhang IV Nummer 3.3 Buchstabe b und Nummer 5 Buchstabe b der Verordnung (EU) 2018/1139 müssen auch Ausbildungsorganisationen für Piloten, Ausbildungsorganisationen für Flugbegleiter, flugmedizinische Zentren für die Flugbesatzung und Betreiber von Flugsimulationsübungsgeräten für das Management von Sicherheitsrisiken ein Managementsystem einführen und aufrechterhalten.
(3) Zudem müssen gemäß den grundlegenden Anforderungen in Anhang V Nummer 8.1 Buchstabe c der Verordnung (EU) 2018/1139 Luftfahrtunternehmen für das Management von Sicherheitsrisiken ein Managementsystem einführen und aufrechterhalten.
(4) Außerdem müssen gemäß den grundlegenden Anforderungen in Anhang VIII Nummer 5.1 Buchstabe c und Nummer 5.4 Buchstabe b der Verordnung (EU) 2018/1139 Anbieter von Flugverkehrsmanagement- und Flugsicherungsdiensten, Anbieter von U-Space-Diensten und einzige Anbieter gemeinsamer Informationsdienste sowie Ausbildungsorganisationen und flugmedizinische Zentren für Fluglotsen für das Management von Sicherheitsrisiken ein Managementsystem einrichten und aufrechterhalten.
(5) Diese Sicherheitsrisiken können aus verschiedenen Quellen herrühren, darunter Anfälligkeiten in der Konstruktion oder bei der Instandhaltung, Aspekte der menschlichen Leistungsfähigkeit, Bedrohungen durch das Umfeld und Bedrohungen der Informationssicherheit. Daher sollten die von der Agentur der Europäischen Union für Flugsicherheit (im Folgenden die "Agentur") eingerichteten Managementsysteme sowie die Managementsysteme, die von den in den Erwägungsgründen genannten nationalen zuständigen Behörden und Organisationen eingerichtet wurden, nicht nur Sicherheitsrisiken berücksichtigen, die sich aus zufälligen Ereignissen ergeben, sondern auch solche, die sich aus Bedrohungen der Informationssicherheit ergeben und bei denen bestehende Anfälligkeiten von Personen mit böswilliger Absicht ausgenutzt werden können. Diese Risiken für die Informationssicherheit nehmen in der Zivilluftfahrt ständig zu, da die derzeitigen Informationssysteme immer stärker vernetzt werden und immer häufiger zum Angriffsziel böswilliger Akteure werden.
(6) Die mit diesen Informationssystemen verbundenen Risiken beschränken sich nicht auf mögliche Angriffe auf den Cyberraum, sondern umfassen auch Bedrohungen, die Prozesse und Verfahren sowie die menschliche Leistungsfähigkeit beeinträchtigen können.
(7) Eine beträchtliche Anzahl von Organisationen wendet bereits internationale Normen wie ISO 27001 an, um die Sicherheit digitaler Informationen und Daten zu verbessern. Allerdings berücksichtigen diese Normen möglicherweise nicht alle Besonderheiten der Zivilluftfahrt. Daher sollten Anforderungen für das Management von sich potenziell auf die Flugsicherheit auswirkenden Informationssicherheitsrisiken eingeführt werden.
(8) Angesichts des hochgradig vernetzten Luftfahrtsystems kommt es darauf an, dass diese Anforderungen alle Bereiche der Luftfahrt und deren Schnittstellen abdecken. Daher sollten sie für alle Organisationen und zuständigen Behörden gelten, die unter die Verordnungen (EU) Nr. 748/2012 2, (EU) Nr. 1321/2014 3, (EU) Nr. 965/2012 4, (EU) Nr. 1178/2011 5, (EU) 2015/340 6, (EU) Nr. 139/2014 7 der Kommission und die Durchführungsverordnung (EU) 2021/664 8 der Kommission fallen, sowie auch für die Organisationen, die bereits jetzt über ein Managementsystem im Einklang mit den geltenden Rechtsvorschriften der Union im Bereich der Flugsicherheit verfügen müssen. Einige Organisationen sollten jedoch zur Wahrung der Verhältnismäßigkeit vom Anwendungsbereich dieser Verordnung ausgenommen werden, da von ihnen nur geringe Informationssicherheitsrisiken für das Luftfahrtsystem ausgehen.
(9) Die in dieser Verordnung festgelegten Anforderungen sollten eine einheitliche Anwendung in allen Bereichen der Luftfahrt gewährleisten und sich dabei nur geringfügig auf die bereits für diese Bereiche geltenden Flugsicherheitsvorschriften der Union auswirken.
(10) Die in dieser Verordnung festgelegten Anforderungen sollten die in Nummer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998 der Kommission 9 und in Artikel 14 der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates 10 festgelegten Anforderungen an die Informationssicherheit und die Cybersicherheit unberührt lassen.
(11) Die in Titel V "Sicherheit des Programms" Artikel 33 bis 43 der Verordnung (EU) 2021/696 des Europäischen Parlaments und des Rates 11 festgelegten Sicherheitsanforderungen gelten als gleichwertig mit den Anforderungen der vorliegenden Verordnung, mit Ausnahme von Punkt IS.I.OR.230 des Anhang II dieser Verordnung, der eingehalten werden muss.
(12) Im Interesse der Rechtssicherheit sollte die Auslegung des in dieser Verordnung festgelegten Begriffs der "Informationssicherheit", wie er weltweit in der Zivilluftfahrt gebräuchlich ist, als mit der Auslegung des Begriffs "Sicherheit von Netz- und Informationssystemen", wie er in Artikel 4 Nummer 2 der Richtlinie (EU) 2016/1148 festgelegt ist, in Einklang stehend angesehen werden. Die für die Zwecke dieser Verordnung verwendete Definition der Informationssicherheit sollte nicht so ausgelegt werden, dass sie von der Begriffsbestimmung der Sicherheit von Netz- und Informationssystemen in der Richtlinie (EU) 2016/1148 abweicht.
(13) Um Überschneidungen bei den rechtlichen Anforderungen zu vermeiden, sollte in Fällen, in denen unter diese Verordnung fallende Organisationen bereits bestimmten Sicherheitsanforderungen unterliegen, die sich aus in den Erwägungsgründen 10 und 11 genannten Rechtsakten der Union ergeben und die in ihrer Wirkung den Bestimmungen dieser Verordnung gleichwertig sind, die Einhaltung jener Sicherheitsanforderungen als Erfüllung der in dieser Verordnung festgelegten Anforderungen gelten.
(14) Unter diese Verordnung fallende Organisationen, die bereits den Sicherheitsanforderungen der Durchführungsverordnung (EU) 2015/1998 oder der Verordnung (EU) 2021/696 oder beiden unterliegen, sollten auch die Anforderungen von Anhang II ( Teil IS.I.OR.230 "Informationssicherheitssystem für externe Meldungen") dieser Verordnung erfüllen, da keine der beiden genannten Verordnungen Bestimmungen über die externe Meldung von Störungen der Informationssicherheit enthält.
(15) Der Vollständigkeit halber sollten die Verordnungen (EU) Nr. 1178/2011, (EU) Nr. 748/2012, (EU) Nr. 965/2012, (EU) Nr. 139/2014, (EU) Nr. 1321/2014, (EU) 2015/340 sowie die Durchführungsverordnungen (EU) 2017/373 12 und (EU) 2021/664 dahingehend geändert werden, dass die in dieser Verordnung vorgeschriebenen Anforderungen an das Informationssicherheitsmanagementsystem zusammen mit den darin festgelegten Managementsystemen aufgenommen und die Anforderungen an die zuständigen Behörden hinsichtlich der Aufsicht über Organisationen, die die genannten Anforderungen an das Informationssicherheitsmanagement umsetzen, festgelegt werden.
(16) Damit die Organisationen ausreichend Zeit haben, um die Einhaltung der neuen Vorschriften und Verfahren sicherzustellen, sollte die Geltung dieser Verordnung drei Jahre nach ihrem Inkrafttreten beginnen. Ausgenommen hiervon sind die in der Durchführungsverordnung (EU) 2017/373 festgelegten Anbieter von Flugsicherungsdiensten für die Europäische Erweiterung des geostationären Navigationssystems (EGNOS), für die die Geltung aufgrund der laufenden Sicherheitsakkreditierung des EGNOS-Systems und der EGNOS-Dienste im Einklang mit der Verordnung (EU) 2021/696 ab dem 1. Januar 2026 beginnen sollte.
(17) Die in dieser Verordnung festgelegten Anforderungen beruhen auf der Stellungnahme Nr. 03/2021 13, die von der Agentur gemäß Artikel 75 Absatz 2 Buchstaben b und c sowie Artikel 76 Absatz 1 der Verordnung (EU) 2018/1139 abgegeben wurde.
(18) Die in dieser Verordnung festgelegten Anforderungen entsprechen der Stellungnahme des nach Artikel 127 der Verordnung (EU) 2018/1139 eingesetzten Ausschusses für die Anwendung der gemeinsamen Sicherheitsvorschriften für die Zivilluftfahrt
- hat folgende Verordnung erlassen:
Artikel 1 Gegenstand
In dieser Verordnung werden die von den Organisationen und zuständigen Behörden zu erfüllenden Anforderungen festgelegt, und zwar im Hinblick auf
Artikel 2 Geltungsbereich
(1) Diese Verordnung gilt für folgende Organisationen:
(2) Diese Verordnung gilt für die in Artikel 6 dieser Verordnung und in Artikel 5 der Delegierten Verordnung (EU) 2022/1645 der Kommission 14 genannten zuständigen Behörden, einschließlich der Agentur der Europäischen Union für Flugsicherheit (im Folgenden die "Agentur").
(3) Diese Verordnung gilt auch für die zuständige Behörde, die für die Erteilung, Aufrechterhaltung, Änderung, Aussetzung oder den Widerruf von Lizenzen für freigabeberechtigtes Personal nach Anhang III (Teil-66) der Verordnung (EU) Nr. 1321/2014 zuständig ist.
(4) Diese Verordnung lässt die in Nummer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998 und in Artikel 14 der Richtlinie (EU) 2016/1148 festgelegten Anforderungen an die Informationssicherheit und die Cybersicherheit unberührt.
Artikel 3 Begriffsbestimmungen
Für die Zwecke der vorliegenden Verordnung gelten folgende Begriffsbestimmungen:
Artikel 4 Anforderungen an Organisationen und zuständige Behörden
(1) Die in Artikel 2 Absatz 1 genannten Organisationen müssen die Anforderungen von Anhang II (Teil-IS.I.OR) dieser Verordnung erfüllen.
(2) Die in Artikel 2 Absätze 2 und 3 genannten zuständigen Behörden müssen die Anforderungen von Anhang I (Teil-IS.AR) dieser Verordnung erfüllen.
Artikel 5 Anforderungen, die sich aus anderen Rechtsvorschriften der Union ergeben
(1) Erfüllt eine in Artikel 2 Absatz 1 genannte Organisation Sicherheitsanforderungen, die in Artikel 14 der Richtlinie (EU) 2016/1148 festgelegt und den Anforderungen dieser Verordnung gleichwertig sind, so gilt die Einhaltung jener Sicherheitsanforderungen als Erfüllung der in dieser Verordnung festgelegten Anforderungen.
(2) Handelt es sich bei einer in Artikel 2 Absatz 1 genannten Organisation um einen Betreiber oder eine Stelle, auf die in den nationalen Luftsicherheitsprogrammen der Mitgliedstaaten nach Artikel 10 der Verordnung (EG) Nr. 300/2008 des Europäischen Parlaments und des Rates 15 Bezug genommen wird, so gelten die in Nummer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998 festgelegten Cybersicherheitsanforderungen als gleichwertig mit den Anforderungen dieser Verordnung, mit Ausnahme von Punkt IS.I.OR.230 des Anhang II dieser Verordnung, der als solcher eingehalten werden muss.
(3) Handelt es sich bei der in Artikel 2 Absatz 1 genannten Organisation um den Anbieter von Flugsicherungsdiensten der Europäischen Erweiterung des geostationären Navigationssystems (EGNOS) gemäß der Verordnung (EU) 2021/696, so gelten die Sicherheitsanforderungen nach Titel V Artikel 33 bis 43 jener Verordnung als gleichwertig mit den Anforderungen dieser Verordnung, mit Ausnahme von Anhang II Punkt IS.I.OR.230 dieser Verordnung, der als solcher eingehalten werden muss.
(4) Die Kommission kann nach Konsultation der Agentur und der in Artikel 11 der Richtlinie (EU) 2016/1148 genannten Kooperationsgruppe Leitlinien für die Bewertung der Gleichwertigkeit der in dieser Verordnung und der Richtlinie (EU) 2016/1148 festgelegten Anforderungen herausgeben.
Artikel 6 Zuständige Behörde
(1) Unbeschadet der der Sicherheitsakkreditierungsstelle (SAB) nach Artikel 36 der Verordnung (EU) 2021/696 übertragenen Aufgaben ist für die Bescheinigung und Überwachung der Einhaltung dieser Verordnung folgende Behörde zuständig:
(2) Die Mitgliedstaaten können für die Zwecke dieser Verordnung eine unabhängige und autonome Stelle benennen, die die zugewiesenen Aufgaben und Zuständigkeiten der in Absatz 1 genannten zuständigen Behörden wahrnimmt. In diesem Fall müssen zwischen dieser Stelle und den in Absatz 1 genannten zuständigen Behörden Koordinierungsmaßnahmen festgelegt werden, damit eine wirksame Aufsicht über alle von der Organisation zu erfüllenden Anforderungen gewährleistet ist.
(3) Zur Gewährleistung einer wirksamen Aufsicht über die für Anbieter von EGNOS-Flugsicherungsdiensten geltenden Anforderungen muss die Agentur unter uneingeschränkter Einhaltung der geltenden Vorschriften über die Geheimhaltung, den Schutz personenbezogener Daten und den Schutz von Verschlusssachen mit der Agentur der Europäischen Union für das Weltraumprogramm (EUSPA) und der in Artikel 36 der Verordnung (EU) 2021/696 genannten Sicherheitsakkreditierungsstelle zusammenarbeiten.
Artikel 7 Übermittlung relevanter Informationen an die zuständigen NIS-Behörden
Die gemäß dieser Verordnung zuständigen Behörden unterrichten die nach Artikel 8 der Richtlinie (EU) 2016/1148 benannte zentrale Anlaufstelle unverzüglich über alle relevanten Informationen, die in Meldungen enthalten sind, die nach Anhang II Punkt IS.I.OR.230 dieser Verordnung und nach Anhang I Punkt IS.D.OR.230 Delegierten Verordnung (EU) 2022/1645 von nach Artikel 5 der Richtlinie (EU) 2016/1148 ermittelten Betreibern wesentlicher Dienste übermittelt wurden.
Artikel 8 Änderung der Verordnung (EU) Nr. 1178/2011
Anhang VI (Teil-ARA) und Anhang VII (Teil-ORA) der Verordnung (EU) Nr. 1178/2011 werden gemäß Anhang III dieser Verordnung geändert.
Artikel 9 Änderung der Verordnung (EU) Nr. 748/2012
Anhang I (Teil 21) der Verordnung (EU) Nr. 748/2012 wird gemäß Anhang IV dieser Verordnung geändert.
Artikel 10 Änderung der Verordnung (EU) Nr. 965/2012
Anhang II (Teil-ARO) und Anhang III (Teil-ORO) der Verordnung (EU) Nr. 965/2012 werden gemäß Anhang V dieser Verordnung geändert.
Artikel 11 Änderung der Verordnung (EU) Nr. 139/2014
Anhang II (Teil-ADR.AR) der Verordnung (EU) Nr. 139/2014 wird gemäß Anhang VI dieser Verordnung geändert.
Artikel 12 Änderung der Verordnung (EU) Nr. 1321/2014
Anhang II (Teil-145), Anhang III (Teil-66) und Anhang Vc (Teil-CAMO) der Verordnung (EU) Nr. 1321/2014 werden gemäß Anhang VII dieser Verordnung geändert.
Artikel 13 Änderung der Verordnung (EU) 2015/340
Anhang II (Teil ATCO.AR) und Anhang III (Teil ATCO.OR) der Verordnung (EU) 2015/340 werden gemäß Anhang VIII dieser Verordnung geändert.
Artikel 14 Änderung der Durchführungsverordnung (EU) 2017/373
Anhang II (Teil-ATM/ANS.AR) und Anhang III (Teil-ATM/ANS.OR) der Durchführungsverordnung (EU) 2017/373 werden gemäß Anhang IX dieser Verordnung geändert.
Artikel 15 Änderung der Durchführungsverordnung (EU) 2021/664
Die Durchführungsverordnung (EU) 2021/664 wird wie folgt geändert:
1. Artikel 15 Absatz 1 Buchstabe f erhält folgende Fassung:
"f) ein Luftsicherheitsmanagementsystem nach Anhang III Teilabschnitt D Punkt ATM/ANS.OR.D.010 der Durchführungsverordnung (EU) 2017/373 und ein Informationssicherheitsmanagementsystem nach Anhang II (Teil-IS.I.OR) der Durchführungsverordnung (EU) 2023/203 implementieren und pflegen."
2. In Artikel 18 wird folgender Buchstabe l angefügt:
"l) ein Informationssicherheitsmanagementsystem nach Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 festlegen, implementieren und pflegen."
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Sie gilt ab dem 22. Februar 2026.
Für die Anbieter von EGNOS-Flugsicherungsdiensten nach der Durchführungsverordnung (EU) 2017/373, gilt sie jedoch ab dem 1. Januar 2026.
Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
Brüssel, den 27. Oktober 2022
2) Verordnung (EU) Nr. 748/2012 der Kommission vom 3. August 2012 zur Festlegung der Durchführungsbestimmungen für die Erteilung von Lufttüchtigkeits- und Umweltzeugnissen für Luftfahrzeuge und zugehörige Produkte, Bau- und Ausrüstungsteile sowie für die Zulassung von Entwicklungs- und Herstellungsbetrieben (ABl. L 224 vom 21.08.2012 S. 1).
3) Verordnung (EU) Nr. 1321/2014 der Kommission vom 26. November 2014 über die Aufrechterhaltung der Lufttüchtigkeit von Luftfahrzeugen und luftfahrttechnischen Erzeugnissen, Teilen und Ausrüstungen und die Erteilung von Genehmigungen für Organisationen und Personen, die diese Tätigkeiten ausführen (ABl. L 362 vom 17.12.2014 S. 1).
4) Verordnung (EU) Nr. 965/2012 der Kommission vom 5. Oktober 2012 zur Festlegung technischer Vorschriften und von Verwaltungsverfahren in Bezug auf den Flugbetrieb gemäß der Verordnung (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates (ABl. L 296 vom 25.10.2012 S. 1).
5) Verordnung (EU) Nr. 1178/2011 der Kommission vom 3. November 2011 zur Festlegung technischer Vorschriften und von Verwaltungsverfahren in Bezug auf den Flugbetrieb gemäß der Verordnung (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates (ABl. L 311 vom 25.11.2011 S. 1).
6) Verordnung (EU) 2015/340 der Kommission vom 20. Februar 2015 zur Festlegung technischer Vorschriften und von Verwaltungsverfahren in Bezug auf Lizenzen und Bescheinigungen von Fluglotsen gemäß der Verordnung (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates, zur Änderung der Durchführungsverordnung (EU) Nr. 923/2012 der Kommission und zur Aufhebung der Verordnung (EU) Nr. 805/2011 der Kommission (ABl. L 63 vom 06.03.2015 S. 1).
7) Verordnung (EU) Nr. 139/2014 der Kommission vom 12. Februar 2014 zur Festlegung von Anforderungen und Verwaltungsverfahren in Bezug auf Flugplätze gemäß der Verordnung (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates (ABl. L 44 vom 14.02.2014 S. 1).
8) Durchführungsverordnung (EU) 2021/664 der Kommission vom 22. April 2021 über einen Rechtsrahmen für den U-Space (ABl. L 139 vom 23.04.2021 S. 161).
9) Durchführungsverordnung (EU) 2015/1998 der Kommission vom 5. November 2015 zur Festlegung detaillierter Maßnahmen für die Durchführung der gemeinsamen Grundstandards für die Luftsicherheit (ABl. L 299 vom 14.11.2015 S. 1).
10) Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (ABl. L 194 vom 19.07.2016 S. 1).
11) Verordnung (EU) 2021/696 des Europäischen Parlaments und des Rates vom 28. April 2021 zur Einrichtung des Weltraumprogramms der Union und der Agentur der Europäischen Union für das Weltraumprogramm und zur Aufhebung der Verordnungen (EU) Nr. 912/2010, (EU) Nr. 1285/2013 und (EU) Nr. 377/2014 sowie des Beschlusses Nr. 541/2014/EU (ABl. L 170 vom 12.05.2021 S. 69).
12) Durchführungsverordnung (EU) 2017/373 der Kommission vom 1. März 2017 zur Festlegung gemeinsamer Anforderungen an Flugverkehrsmanagementanbieter und Anbieter von Flugsicherungsdiensten sowie sonstiger Funktionen des Flugverkehrsmanagementnetzes und die Aufsicht hierüber sowie zur Aufhebung der Verordnung (EG) Nr. 482/2008, der Durchführungsverordnungen (EU) Nr. 1034/2011, (EU) Nr. 1035/2011 und (EU) 2016/1377 und zur Änderung der Verordnung (EU) Nr. 677/2011 (ABl. L 62 vom 08.03.2017 S. 1).
13) https://www.easa.europa.eu/en/document-library/opinions/opinion-032021
14) Delegierte Verordnung (EU) 2022/1645 der Kommission vom 14. Juli 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates im Hinblick auf die Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission fallen, und zur Änderung der Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission (ABl. L 248 vom 26.09.2022 S. 18).
15) Verordnung (EG) Nr. 300/2008 des Europäischen Parlaments und des Rates vom 11. März 2008 über gemeinsame Vorschriften für die Sicherheit in der Zivilluftfahrt und zur Aufhebung der Verordnung (EG) Nr. 2320/2002 (ABl. L 97 vom 09.04.2008 S. 72).
Informationssicherheit - Anforderungen an die Behörde | Anhang I |
IS.AR.100 Umfang
In diesem Teil werden die Anforderungen festgelegt, die die in Artikel 2 Absatz 2 dieser Verordnung genannten zuständigen Behörden erfüllen müssen.
Die Anforderungen, die diese zuständigen Behörden bei der Durchführung ihrer Zertifizierungs-, Aufsichts- und Durchsetzungstätigkeiten erfüllen müssen, sind in den Verordnungen enthalten, die in Artikel 2 Absatz 1 dieser Verordnung und in Artikel 2 der Delegierten Verordnung (EU) 2022/1645 aufgeführt sind.
IS.AR.200 Informationssicherheitsmanagementsystem (ISMS)
IS.AR.205 Bewertung des Informationssicherheitsrisikos
Für jedes identifizierte Risiko muss die zuständige Behörde
Bei der in Nummer 1 genannten vordefinierten Klassifizierung müssen das Potenzial des Auftretens des Bedrohungsszenarios sowie die Schwere seiner Folgen für die Sicherheit berücksichtigt werden. Auf der Grundlage dieser Klassifizierung und unter Berücksichtigung der Frage, ob die zuständige Behörde über einen strukturierten und wiederholbaren Risikomanagementprozess für den Betrieb verfügt, muss die zuständige Behörde feststellen können, ob das Risiko hinnehmbar ist oder ein Tätigwerden nach Punkt IS.AR.210 erfordert.
Im Sinne einer leichteren gegenseitigen Vergleichbarkeit der Risikobewertungen müssen bei der Zuweisung des Risikoniveaus nach Nummer 1 einschlägige Informationen berücksichtigt werden, die in Abstimmung mit den unter Buchstabe b genannten Organisationen gewonnen wurden.
Die zuständige Behörde muss die nach den Buchstaben a, b und c durchgeführte Risikobewertung immer dann überprüfen und aktualisieren, wenn einer der folgenden Fälle eintritt:
IS.AR.210 Umgang mit dem Informationssicherheitsrisiko
Diese Maßnahmen dürfen nicht dazu führen, dass neue potenzielle und nicht hinnehmbare Risiken für die Flugsicherheit entstehen.
IS.AR.215 Störungen der Informationssicherheit - Erkennung, Reaktion und Wiederherstellung
IS.AR.220 Auftragsvergabe für Tätigkeiten des Informationssicherheitsmanagements
Die zuständige Behörde muss sicherstellen, dass bei der Vergabe eines Teils der unter Punkt IS.AR.200 genannten Tätigkeiten an andere Organisationen die in Auftrag gegebenen Tätigkeiten den Anforderungen dieser Verordnung genügen und dass die beauftragte Organisation unter ihrer Aufsicht arbeitet. Die zuständige Behörde muss sicherstellen, dass die mit den vertraglich vereinbarten Tätigkeiten verbundenen Risiken angemessen gemanagt werden.
IS.AR.225 Anforderungen an das Personal
Die zuständige Behörde muss
Diese Person muss
IS.AR.230 Führen von Aufzeichnungen
IS.AR.235 Kontinuierliche Verbesserung
Informationssicherheit - Anforderungen an Organisationen | Anhang II |
IS.I.OR.100 Umfang
In diesem Teil werden die Anforderungen festgelegt, die die in Artikel 2 Absatz 1 dieser Verordnung genannten Organisationen erfüllen müssen.
IS.I.OR.200 Informationssicherheitsmanagementsystem (ISMS)
IS.I.OR.205 Bewertung des Informationssicherheitsrisikos
Bei der in Nummer 1 genannten vordefinierten Klassifizierung müssen das Potenzial des Auftretens des Bedrohungsszenarios sowie die Schwere seiner Folgen für die Sicherheit berücksichtigt werden. Auf der Grundlage dieser Klassifizierung und unter Berücksichtigung der Frage, ob die Organisation über einen strukturierten und wiederholbaren Risikomanagementprozess für den Betrieb verfügt, muss die Organisation feststellen können, ob das Risiko hinnehmbar ist oder ein Tätigwerden nach Punkt IS.I.OR.210 erfordert.
Im Sinne einer leichteren gegenseitigen Vergleichbarkeit der Risikobewertungen müssen bei der Zuweisung des Risikoniveaus nach Nummer 1 einschlägige Informationen berücksichtigt werden, die in Abstimmung mit den unter Buchstabe b genannten Organisationen gewonnen wurden.
IS.I.OR.210 Umgang mit dem Informationssicherheitsrisiko
Diese Maßnahmen dürfen nicht dazu führen, dass neue potenzielle und nicht hinnehmbare Risiken für die Flugsicherheit entstehen.
IS.I.OR.215 Informationssicherheitssystem für interne Meldungen
IS.I.OR.220 Störungen der Informationssicherheit - Erkennung, Reaktion und Wiederherstellung
IS.I.OR.225 Reaktion auf von der zuständigen Behörde gemeldete Beanstandungen
IS.I.OR.230 Informationssicherheitssystem für externe Meldungen
IS.I.OR.235 Auftragsvergabe für Tätigkeiten des Informationssicherheitsmanagements
IS.I.OR.240 Anforderungen an das Personal
IS.I.OR.245 Führen von Aufzeichnungen
IS.I.OR.250 Handbuch zum Informationssicherheitsmanagement (ISMM)
IS.I.OR.255 Änderungen des Informationssicherheitsmanagementsystems
In Bezug auf diese Änderungen gilt Folgendes:
IS.I.OR.260 Kontinuierliche Verbesserung
Anhang III |
Anhang VI (Teil-ARA) und Anhang VII (Teil-ORA) der Verordnung (EU) Nr. 1178/2011 werden wie folgt geändert:
1. Anhang VI (Teil-ARA) wird wie folgt geändert:
a) In Punkt ARA.GEN.125 wird folgender Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.230 der Durchführungsverordnung (EU) 2023/203 erhalten hat."
b) Nach Punkt ARA.GEN.135 wird folgender Punkt ARA.GEN.135a eingefügt:
" ARA.GEN.135a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.
b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt ARA.GEN.125(c) erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen.
c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.
d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen."
c) In Punkt ARA.GEN.200 wird folgender Buchstabe e angefügt:
"e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
d) Punkt ARA.GEN.205 wird wie folgt geändert:
i) Die Überschrift erhält folgende Fassung:
" ARA.GEN.205 Zuweisung von Aufgaben".
ii) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ORA.GEN.200a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
e) In Punkt ARA.GEN.300 wird folgender Buchstabe g angefügt:
"g) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ORA.GEN.200a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis f jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
f) Nach Punkt ARA.GEN.330 wird folgender Punkt ARA.GEN.330a eingefügt:
" ARA.GEN.330a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt ARA.GEN.300 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt ARA.GEN.350.
b) Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes:
2. Anhang VII (Teil-ORA) wird wie folgt geändert:
Nach Punkt ORA.GEN.200 wird folgender Punkt ORA.GEN.200a eingefügt:
" ORA.GEN.200a Informationssicherheitsmanagementsystem
Zusätzlich zu dem nach Punkt ORA.GEN.200 vorgeschriebenen Managementsystem muss die Organisation ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
Anhang IV |
Anha6ng I (Teil 21) der Verordnung (EU) Nr. 748/2012 wird wie folgt geändert:
1. Das Inhaltsverzeichnis wird wie folgt geändert:
a) Nach der Überschrift von Punkt 21.B.20 wird die folgende Überschrift eingefügt:
"21.B.20a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit".
b) Die Überschrift von Punkt 21.B.30 erhält folgende Fassung:
"21.B.30 Zuweisung von Aufgaben".
c) Nach der Überschrift von Punkt 21.B.240 wird die folgende Überschrift eingefügt:
"21.B.240a Änderungen des Informationssicherheitsmanagementsystems".
d) Nach der Überschrift von Punkt 21.B.435 wird die folgende Überschrift eingefügt:
"21.B.435a Änderungen des Informationssicherheitsmanagementsystems".
2. In Punkt 21.B.15 wird der folgende Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach dem Anhang Punkt IS.D.OR.230 (Teil-IS.D.OR) der Delegierten Verordnung (EU) 2022/1645 erhalten hat."
3. Nach Punkt 21.B.20 wird folgender Punkt 21.B.20a eingefügt:
"21.B.20a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
4. In Punkt 21.B.25 wird folgender Buchstabe e angefügt:
"e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
5. Punkt 21.B.30 wird wie folgt geändert:
a) Die Überschrift erhält folgende Fassung:
"21.B.30 Zuweisung von Aufgaben".
b) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt 21.A.139a und Punkt 21.A.239a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
6. In Punkt 21.B.221 wird folgender Buchstabe g angefügt:
"g) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt 21.A.139a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis f jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
7. Nach Punkt 21.B.240 wird folgender Punkt 21.B.240a eingefügt:
" 21.B.240a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach dem Anhang (Teil IS.D.OR) Punkt IS.D.OR.255(a) der Delegierten Verordnung (EU) 2022/1645 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt 21.B.221 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt 21.B.225.
b) Für sonstige Änderungen, deren Genehmigung nach dem Anhang (Teil-IS.D.OR) Punkt IS.D.OR.255(b) der Delegierten Verordnung (EU) 2022/1645 beantragt werden muss, gilt Folgendes:
8. In Punkt 21.B.431 wird der folgende Buchstabe d angefügt:
"d) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt 21.A.239a durch die Organisation muss die zuständige Behörde zusätzlich zu den Buchstaben a bis c den folgenden Grundsätzen genügen:
9. Nach Punkt 21.B.435 wird folgender Punkt 21.B.435a eingefügt:
" 21.B.435a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach dem Anhang (Teil-IS.D.OR) Punkt IS.D.OR.255(a) der Delegierten Verordnung (EU) 2022/1645 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt 21.B.431 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt 21.B.433.
b) Für sonstige Änderungen, deren Genehmigung nach dem Anhang (Teil-IS.D.OR) Punkt IS.D.OR.255(b) der Delegierten Verordnung (EU) 2022/1645 beantragt werden muss, gilt Folgendes:
Anhang V |
Anhang II (Teil-ARO) und Anhang III (Teil-ORO) der Verordnung (EU) Nr. 965/2012 werden wie folgt geändert:
1. Anhang II (Teil-ARO) wird wie folgt geändert:
a) In Punkt ARO.GEN.125 wird der folgenden Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.230 der Durchführungsverordnung (EU) 2023/203 erhalten hat."
b) Nach Punkt ARO.GEN.135 wird folgender Punkt ARO.GEN.135a eingefügt:
" ARO.GEN.135a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.
b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt ARO.GEN.125(c) erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen.
c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.
d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen."
c) In Punkt ARO.GEN.200 wird folgender Buchstabe e angefügt:
"e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
d) Punkt ARO.GEN.205 wird wie folgt geändert:
i) Die Überschrift erhält folgende Fassung:
" ARO.GEN.205 Zuweisung von Aufgaben".
ii) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ORO.GEN.200a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
e) In Punkt ARO.GEN.300 wird folgender Buchstabe g angefügt:
"g) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ORO.GEN.200a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis f jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
f) Nach Punkt ARO.GEN.330 wird folgender Punkt ARO.GEN.330a eingefügt:
" ARO.GEN.330a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt ARO.GEN.300 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt ARO.GEN.350.
b) Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes:
2. Anhang III (Teil-ORO) wird wie folgt geändert:
Nach Punkt ORO.GEN.200 wird folgender Punkt ORO.GEN.200a eingefügt:
" ORO.GEN.200a Informationssicherheitsmanagementsystem
Zusätzlich zu dem nach Punkt ORO.GEN.200 vorgeschriebenen Managementsystem muss der Betreiber ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
Anhang VI |
Anhang II (Teil-ADR.AR) der Verordnung (EU) Nr. 139/2014 wird wie folgt geändert:
1. In Punkt ADR.AR.A.025 wird der folgenden Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Punkt IS.D.OR.230 des Anhangs (Teil-IS.D.OR) der Delegierten Verordnung (EU) 2022/1645 erhalten hat."
2. Nach Punkt ADR.AR.A.030 wird folgender Punkt ADR.AR.A.030a eingefügt:
" ADR.AR.A.030a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.
b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt ADR.AR.A.025(c) erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen.
c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.
d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen."
3. In Punkt ADR.AR.B.005 wird der folgende Buchstabe d angefügt:
"d) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
4. Punkt ADR.AR.B.010 wird wie folgt geändert:
i) Die Überschrift erhält folgende Fassung:
" ADR.AR.B.010 Zuweisung von Aufgaben".
ii) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ADR.OR.D.005a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
5. In Punkt ADR.AR.C.005 wird folgender Buchstabe f angefügt:
"f) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ADR.OR.D.005a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis e jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
6. Nach Punkt ADR.AR.C.040 wird folgender Punkt ADR.AR.C.040a eingefügt:
" ADR.AR.C.040a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach Punkt IS.D.OR.255(a) des Anhangs (Teil-IS.D.OR) der Delegierten Verordnung (EU) 2022/1645 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt ADR.AR.C.005 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt ADR.AR.C.055.
b) Für sonstige Änderungen, deren Genehmigung nach Punkt IS.D.OR.255(b) des Anhangs (Teil-IS.D.OR) der Delegierten Verordnung (EU) 2022/1645 beantragt werden muss, gilt Folgendes:
Anhang VII |
Anhang II (Teil-145), Anhang III (Teil-66) und Anhang Vc (Teil-CAMO) der Verordnung (EU) Nr. 1321/2014 werden wie folgt geändert:
1. Anhang II (Teil-145) wird wie folgt geändert:
a) Das Inhaltsverzeichnis wird wie folgt geändert:
i) Nach der Überschrift von Punkt 145.A.200 wird die folgende Überschrift eingefügt:
"145.A.200a Informationssicherheitsmanagementsystem".
ii) Nach der Überschrift von Punkt 145.B.135 wird die folgende Überschrift eingefügt:
"145.B.135a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit".
iii) Die Überschrift von Punkt 145.B.205 erhält folgende Fassung:
"145.B.205 Zuweisung von Aufgaben".
iv) Nach der Überschrift von Punkt 145.B.330 wird die folgende Überschrift eingefügt:
"145.B.330a Änderungen des Informationssicherheitsmanagementsystems".
b) Nach Punkt 145.A.200 wird folgender Punkt 145.A.200a eingefügt:
" 145.A.200a Informationssicherheitsmanagementsystem
Zusätzlich zu dem nach Punkt 145.A.200 vorgeschriebenen Managementsystem muss die Instandhaltungsorganisation ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
c) In Punkt 145.B.125 wird der folgende Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.230 der Durchführungsverordnung (EU) 2023/203 erhalten hat."
d) Nach Punkt 145.B.135 wird folgender Punkt 145.B.135a eingefügt:
" 145.B.135a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.
b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt 145.B.125(c) erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen.
c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.
d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen."
e) In Punkt 145.B.200 wird folgender Buchstabe e angefügt:
"e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
f) Punkt 145.B.205 wird wie folgt geändert:
i) Die Überschrift erhält folgende Fassung:
" 145.B.205 Zuweisung von Aufgaben".
ii) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt 145.A.200a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
g) In Punkt 145.B.300 wird folgender Buchstabe g angefügt:
"g) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt 145.A.200a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis f jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
h) Nach Punkt 145.B.330 wird folgender Punkt 145.B.330a eingefügt:
" 145.B.330a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt 145.B.300 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt 145.B.350.
b) Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes:
2. Anhang III (Teil-66) wird wie folgt geändert:
a) Nach der Überschrift von Punkt 66.B.10 wird die folgende Überschrift eingefügt:
" 66.B.15 Informationssicherheitsmanagementsystem".
b) Nach Punkt 66.B.10 wird folgender Punkt 66.B.15 eingefügt:
" 66.B.15 Informationssicherheitsmanagementsystem
Die zuständige Behörde muss ein Informationssicherheitsmanagementsystem nach Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
3. Anhang Vc (Teil-CAMO) wird wie folgt geändert:
a) Das Inhaltsverzeichnis wird wie folgt geändert:
i) Nach der Überschrift von Punkt CAMO.A.200 wird die folgende Überschrift eingefügt:
"CAMO.A.200a Informationssicherheitsmanagementsystem".
ii) Nach der Überschrift von Punkt CAMO.B.135 wird die folgende Überschrift eingefügt:
"CAMO.B.135a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit".
iii) Die Überschrift von Punkt CAMO.B.205 erhält folgende Fassung:
"CAMO.B.205 Zuweisung von Aufgaben".
iv) Nach der Überschrift von Punkt CAMO.B.330 wird die folgende Überschrift eingefügt:
"CAMO.B.330a Änderungen des Informationssicherheitsmanagementsystems".
b) Nach Punkt CAMO.A.200 wird folgender Punkt CAMO.A.200a eingefügt:
" CAMO.A.200a Informationssicherheitsmanagementsystem
Zusätzlich zu dem nach Punkt CAMO.A.200 vorgeschriebenen Managementsystem muss die Organisation ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
c) In Punkt CAMO.B.125 wird der folgenden Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.230 der Durchführungsverordnung (EU) 2023/203 erhalten hat."
d) Nach Punkt CAMO.B.135 wird folgender Punkt CAMO.B.135a eingefügt:
" CAMO.B.135a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.
b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt CAMO.B.125(c) erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen.
c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.
d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen."
e) In Punkt CAMO.B.200 wird folgender Buchstabe e angefügt:
"e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
f) Punkt CAMO.B.205 wird wie folgt geändert:
i) Die Überschrift erhält folgende Fassung:
" CAMO.B.205 Zuweisung von Aufgaben".
ii) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt CAMO.A.200a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
g) In Punkt CAMO.B.300 wird folgender Buchstabe g angefügt:(red. Anm.: Buchstabe g ist bereits vorhanden)
"g) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt CAMO.A.200a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis f jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
h) Nach Punkt CAMO.B.330 wird folgender Punkt CAMO.B.330a eingefügt:
" CAMO.B.330a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt CAMO.B.300 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt CAMO.B.350.
b) Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes:
Anhang VIII |
Anhang II (Teil-ATCO.AR) und Anhang III (Teil-ATCO.OR) der Verordnung (EU) 2015/340 werden wie folgt geändert:
1. Anhang II (Teil-ATCO.AR) wird wie folgt geändert:
a) In Punkt ATCO.AR.A.020 wird der folgenden Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.230 der Durchführungsverordnung (EU) 2023/203 erhalten hat."
b) Nach Punkt ATCO.AR.A.025 wird folgender Punkt ATCO.AR.A.025a eingefügt:
" ATCO.AR.A.025a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.
b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt ATCO.AR.A.020 erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen.
c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.
d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen."
c) In Punkt ATCO.AR.B.001 wird folgender Buchstabe e angefügt:
"e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
d) Punkt ATCO.AR.B.005 wird wie folgt geändert:
i) Die Überschrift erhält folgende Fassung:
" ATCO.AR.B.005 Zuweisung von Aufgaben".
ii) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ATCO.OR.C.001a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
e) In Punkt ATCO.AR.C.001 wird folgender Buchstabe f angefügt:
"f) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ATCO.OR.C.001a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis e jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
f) Nach Punkt ATCO.AR.E.010 wird folgender Punkt ATCO.AR.E.010a eingefügt:
" ATCO.AR.E.010a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt ATCO.AR.C.001 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt ATCO.AR.C.010.
b) Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes:
2. Anhang III (Teil-ATCO.OR) wird wie folgt geändert:
Nach Punkt ATCO.OR.C.001 wird folgender Punkt ATCO.OR.C.001a eingefügt:
" ATCO.OR.C.001a Informationssicherheitsmanagementsystem
Zusätzlich zu dem nach Punkt ATCO.OR.C.001 vorgeschriebenen Managementsystem muss die Ausbildungsorganisation ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
Anhang IX |
Anhang II (Teil-ATM/ANS.AR) und Anhang III (Teil-ATM/ANS.OR) der Durchführungsverordnung (EU) 2017/373 werden wie folgt geändert:
1. Anhang II (Teil-ATM/ANS.AR) wird wie folgt geändert:
a) In Punkt ATM/ANS.AR.A.020 wird der folgenden Buchstabe c angefügt:
"c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.230 der Durchführungsverordnung (EU) 2023/203 erhalten hat."
b) Nach Punkt ATM/ANS.AR.A.025 wird folgender Punkt ATM/ANS.AR.A.025a eingefügt:
" ATM/ANS.AR.A.025a Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit
a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind.
b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt ATM/ANS.AR.A.020(c) erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen.
c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen.
d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen."
c) In Punkt ATM/ANS.AR.B.001 wird der folgenden Buchstabe e angefügt:
"e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
d) Punkt ATM/ANS.AR.B.005 wird wie folgt geändert:
i) Die Überschrift erhält folgende Fassung:
" ATM/ANS.AR.B.005 Zuweisung von Aufgaben".
ii) Folgender Buchstabe c wird angefügt:
"c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ATM/ANS.OR.B.005a durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass
e) In Punkt ATM/ANS.AR.C.010 wird der folgenden Buchstabe d angefügt:
"d) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ANS.OR.B.005a durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis c jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung."
f) Nach Punkt ATM/ANS.AR.C.025 wird folgender Punkt ATM/ANS.AR.C.025a eingefügt:
" ATM/ANS.AR.C.025a Änderungen des Informationssicherheitsmanagementsystems
a) Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt ATM/ANS.AR.C.010 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt ATM/ANS.AR.C.050.
b) Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes:
2. Anhang III (Teil-ATM/ANS.OR) wird wie folgt geändert:
a) Nach Punkt ATM/ANS.OR.B.005 wird folgender Punkt ATM/ANS.OR.B.005a eingefügt:
" ATM/ANS.OR.B.005a Informationssicherheitsmanagementsystem
Zusätzlich zu dem nach Punkt ATM/ANS.OR.B.005 vorgeschriebenen Managementsystem muss der Diensteanbieter ein Informationssicherheitsmanagementsystem gemäß der Durchführungsverordnung (EU) 2023/203 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist."
b) Punkt ATM/ANS.OR.D.010 erhält folgende Fassung:
" ATM/ANS.OR.D.010 Sicherheitsmanagement
a) Die Anbieter von Flugsicherungsdiensten und Verkehrsflussregelungsanbieter sowie der Netzmanager müssen im Rahmen ihres Managementsystems nach Punkt ATM/ANS.OR.B.005 ein Luftsicherheitsmanagementsystem einrichten, mit dem Folgendes gewährleistet wird:
b) Für das Luftsicherheitsmanagementsystem sind folgende Festlegungen zu treffen:
c) Die Anbieter von Flugsicherungsdiensten, Verkehrsflussregelungsanbieter und der Netzmanager müssen gewährleisten, dass ihr Personal gegebenenfalls einer Zuverlässigkeitsprüfung unterzogen wurde, und stimmen sich mit den zuständigen zivilen und militärischen Behörden ab, um den Schutz ihrer Einrichtungen, ihres Personals und ihrer Daten zu gewährleisten.
d) Die mit der Informationssicherheit zusammenhängenden Aspekte müssen nach Punkt ATM/ANS.OR.B.005a geregelt werden."
![]() |
ENDE | ![]() |
(Stand: 09.10.2023)
Alle vollständigen Texte in der aktuellen Fassung im Jahresabonnement
Nutzungsgebühr: 90.- € netto (Grundlizenz)
(derzeit ca. 7200 Titel s.Übersicht - keine Unterteilung in Fachbereiche)
Die Zugangskennung wird kurzfristig übermittelt
? Fragen ?
Abonnentenzugang/Volltextversion