1.

Anhang II (Teil-ATM/ANS.AR) wird wie folgt geändert: a) In Punkt ATM/ANS.AR.A.020 wird der folgenden Buchstabe c angefügt: „c) Die zuständige Behörde des betreffenden Mitgliedstaats übermittelt der Agentur so bald wie möglich sicherheitsrelevante Informationen, die sie im Rahmen der Meldungen zur Informationssicherheit nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.230 der Durchführungsverordnung (EU) 2023/203 erhalten hat.“ b) Nach Punkt ATM/ANS.AR.A.025 wird folgender Punkt ATM/ANS.AR.A.025A eingefügt: „ATM/ANS.AR.A.025A Unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit a) Die zuständige Behörde richtet ein System zur angemessenen Erfassung, Analyse und Verbreitung von Informationen im Zusammenhang mit von Organisationen gemeldeten Störungen und Schwachstellen der Informationssicherheit ein, die sich auf die Flugsicherheit auswirken können. Zur Verbesserung der Koordinierung und Kompatibilität der Meldesysteme erfolgt dies in Abstimmung mit allen anderen einschlägigen Behörden, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig sind. b) Die Agentur richtet ein System zur angemessenen Analyse aller sicherheitsrelevanten Informationen ein, die sie nach Punkt ATM/ANS.AR.A.020(c) erhalten hat, und übermittelt den Mitgliedstaaten und der Kommission unverzüglich alle Informationen, auch Empfehlungen oder zu ergreifende Abhilfemaßnahmen, die diese benötigen, um zeitnah auf Störungen oder Schwachstellen der Informationssicherheit zu reagieren, die sich auf die Flugsicherheit auswirken können und von denen auch Erzeugnisse, Teile, nicht eingebaute Ausrüstung, Personen oder Organisationen betroffen sein können, die der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten unterliegen. c) Nach Eingang der unter den Buchstaben a und b genannten Informationen ergreift die zuständige Behörde geeignete Maßnahmen, um den potenziellen Auswirkungen der Störung oder Schwachstelle der Informationssicherheit auf die Flugsicherheit zu begegnen. d) Nach Buchstabe c ergriffene Maßnahmen müssen unverzüglich allen Personen bzw. Organisationen mitgeteilt werden, die diese nach Maßgabe der Verordnung (EU) 2018/1139 und deren delegierten Rechtsakten und Durchführungsrechtsakten befolgen müssen. Die zuständige Behörde des betreffenden Mitgliedstaats muss diese Maßnahmen auch der Agentur und, falls ein gemeinsames Handeln erforderlich ist, den übrigen betroffenen Mitgliedstaaten mitteilen.“ c) In Punkt ATM/ANS.AR.B.001 wird der folgenden Buchstabe e angefügt: „e) Zusätzlich zu den Anforderungen nach Buchstabe a muss das von der zuständigen Behörde eingerichtete und gepflegte Managementsystem Anhang I (Teil-IS.AR) der Durchführungsverordnung (EU) 2023/203 genügen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist.“ d) Punkt ATM/ANS.AR.B.005 wird wie folgt geändert: i) Die Überschrift erhält folgende Fassung: „ATM/ANS.AR.B.005 Zuweisung von Aufgaben“. ii) Folgender Buchstabe c wird angefügt: „c) In Bezug auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ATM/ANS.OR.B.005A durch die Organisation kann die zuständige Behörde nach Buchstabe a qualifizierten Stellen oder jeder einschlägigen Behörde, die in dem betreffenden Mitgliedstaat für Informationssicherheit oder Cybersicherheit zuständig ist, Aufgaben zuweisen. Bei der Zuweisung von Aufgaben stellt die zuständige Behörde sicher, dass 1. die qualifizierte Stelle oder die einschlägige Behörde alle Aspekte im Zusammenhang mit der Flugsicherheit koordiniert und berücksichtigt; 2. die Ergebnisse der von der qualifizierten Stelle oder der einschlägigen Behörde durchgeführten Zertifizierungs- und Aufsichtstätigkeiten in die gesamten Zertifizierungs- und Aufsichtsunterlagen der Organisation integriert werden; 3. ihr eigenes nach Punkt ATM/ANS.AR.B.001(e) eingerichtetes Informationssicherheitsmanagementsystem alle in ihrem Namen wahrgenommenen Aufgaben der Zertifizierung und fortlaufenden Aufsicht erfasst.“ e) In Punkt ATM/ANS.AR.C.010 wird der folgenden Buchstabe d angefügt: „d) Im Hinblick auf die Zertifizierung und Beaufsichtigung der Einhaltung von Punkt ANS.OR.B.005A durch die Organisation überprüft die zuständige Behörde im Anschluss an den anwendbaren Aufsichts-Auditzyklus und bei jeder Änderung des Arbeitsumfangs der Organisation zusätzlich zur Einhaltung der Buchstaben a bis c jede nach Punkt IS.I.OR.200(e) dieser Verordnung oder Punkt IS.D.OR.200(e) der Delegierten Verordnung (EU) 2022/1645 erteilte Genehmigung.“ f) Nach Punkt ATM/ANS.AR.C.025 wird folgender Punkt ATM/ANS.AR.C.025A eingefügt: „ATM/ANS.AR.C.025A Änderungen des Informationssicherheitsmanagementsystems a) Änderungen, die gemäß dem Verfahren nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(a) der Durchführungsverordnung (EU) 2023/203 verwaltet und der zuständigen Behörde gemeldet werden, muss die zuständige Behörde nach den in Punkt ATM/ANS.AR.C.010 festgelegten Grundsätzen in ihre fortlaufende Aufsicht zur Überprüfung aufnehmen. Wird eine Nichteinhaltung festgestellt, teilt die zuständige Behörde dies der Organisation mit, verlangt weitere Änderungen und verfährt nach Punkt ATM/ANS.AR.C.050. b) Für sonstige Änderungen, deren Genehmigung nach Anhang II (Teil-IS.I.OR) Punkt IS.I.OR.255(b) der Durchführungsverordnung (EU) 2023/203 beantragt werden muss, gilt Folgendes: 1. Bei Eingang eines Änderungsantrags prüft die zuständige Behörde, ob die Organisation die geltenden Anforderungen erfüllt, bevor sie die Genehmigung erteilt. 2. Die zuständige Behörde legt die Bedingungen fest, unter denen die Organisation während der Umsetzung der Änderung tätig sein darf. 3. Hat sich die zuständige Behörde vergewissert, dass die Organisation die geltenden Anforderungen erfüllt, genehmigt sie die Änderung.“