REGLAMENTO DE EJECUCIÓN (UE) 2023/203 DE LA COMISIÓN

de 27 de octubre de 2022

por el que se establecen disposiciones de aplicación del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo en lo que se refiere a los requisitos relativos a la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea destinados a las organizaciones contempladas en los Reglamentos (UE) n.o 1321/2014, (UE) n.o 965/2012, (UE) n.o 1178/2011 y (UE) 2015/340 de la Comisión y los Reglamentos de Ejecución (UE) 2017/373 y (UE) 2021/664 de la Comisión, así como a las autoridades competentes contempladas en los Reglamentos (UE) n.o 748/2012, (UE) n.o 1321/2014, (UE) n.o 965/2012, (UE) n.o 1178/2011, (UE) 2015/340 de la Comisión y en los Reglamentos de Ejecución (UE) 2017/373, (UE) n.o 139/2014 y (UE) 2021/664 de la Comisión, y por el que se modifican los Reglamentos (UE) n.o 1178/2011, (UE) n.o 748/2012, (UE) n.o 965/2012, (UE) n.o 139/2014, (UE) n.o 1321/2014 y (UE) 2015/340 de la Comisión y los Reglamentos de Ejecución (UE) 2017/373 y (UE) 2021/664 de la Comisión

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo, de 4 de julio de 2018, sobre normas comunes en el ámbito de la aviación civil y por el que se crea una Agencia de la Unión Europea para la Seguridad Aérea y por el que se modifican los Reglamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010, (UE) n.o 376/2014 y las Directivas 2014/30/UE y 2014/53/UE del Parlamento Europeo y del Consejo y se derogan los Reglamentos (CE) n.o 552/2004 y (CE) n.o 216/2008 del Parlamento Europeo y del Consejo y el Reglamento (CEE) n.o 3922/91 del Consejo (1), y en particular su artículo 17, apartado 1, letra b); su artículo 27, apartado 1, letra a); su artículo 31, apartado 1, letra b); su artículo 43, apartado 1, letra b); su artículo 53, apartado 1, letra a), y su artículo 62, apartado 15, letra c),

Considerando lo siguiente:

(1) De conformidad con los requisitos esenciales establecidos en el anexo II, punto 3.1, letra b), del Reglamento (UE) 2018/1139, las organizaciones de gestión del mantenimiento de la aeronavegabilidad y las organizaciones de mantenimiento deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(2) Además, de conformidad con los requisitos esenciales establecidos en el anexo IV, punto 3.3, letra b), y punto 5, letra b), del Reglamento (UE) 2018/1139, las organizaciones de formación de pilotos y tripulantes de cabina de pasajeros, los centros de medicina aeronáutica para la tripulación y los operadores de dispositivos de simulación de vuelo para entrenamiento deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(3) Asimismo, de conformidad con los requisitos esenciales establecidos en el anexo V, punto 8.1, letra c), del Reglamento (UE) 2018/1139, los operadores aéreos deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(4) Por otra parte, de conformidad con los requisitos esenciales establecidos en el anexo VIII, punto 5.1, letra c), y punto 5.4, letra b), del Reglamento (UE) 2018/1139, los proveedores de servicios de gestión del tránsito aéreo y de navegación aérea, los proveedores de servicios de U-Space y los proveedores únicos de servicios de información común, así como las organizaciones de formación y los centros de medicina aeronáutica para los controladores de tránsito aéreo deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(5) Dichos riesgos de seguridad pueden surgir de diferentes fuentes, tales como los defectos de diseño y mantenimiento, los aspectos relacionados con el factor humano y las amenazas al medio ambiente y a la seguridad de la información. Por lo tanto, los sistemas de gestión que aplican la Agencia de la Unión Europea para la Seguridad Aérea («Agencia») y las organizaciones y autoridades nacionales competentes mencionadas en los considerandos anteriores deben tener en cuenta no solo los riesgos de seguridad cuyo origen se encuentre en hechos fortuitos, sino también aquellos derivados de amenazas a la seguridad de la información, si los defectos existentes pueden ser aprovechados por individuos que actúen de mala fe. Estos riesgos relacionados con la seguridad de la información aumentan constantemente en el entorno de la aviación civil, ya que los sistemas de información actuales están cada vez más interconectados y se están convirtiendo con mayor frecuencia en el objetivo de este tipo de individuos.

(6) Los riesgos asociados a estos sistemas de información no se limitan a posibles ataques al ciberespacio, sino que abarcan también las amenazas que pueden afectar a los procesos y procedimientos, así como a la actuación de los seres humanos.

(7) Un número significativo de organizaciones ya utilizan normas internacionales, como la ISO 27001, para ocuparse de la seguridad de la información y los datos digitales. Es posible que esas normas no traten en su totalidad las especificidades de la aviación civil. Por lo tanto, conviene establecer requisitos para la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea.

(8) Es esencial que estos requisitos cubran todos los ámbitos de la aviación y sus interfaces, ya que la aviación es un sistema de sistemas altamente interconectado. Por consiguiente, deben aplicarse a todas las organizaciones y autoridades competentes contempladas en los Reglamentos (UE) n.o 748/2012 (2), (UE) n.o 1321/2014 (3), (UE) n.o 965/2012 (4), (UE) n.o 1178/2011 (5), (UE) 2015/340 (6), (UE) n.o 139/2014 (7) de la Comisión y el Reglamento de Ejecución (UE) 2021/664 de la Comisión (8), también a aquellas que ya están obligadas a disponer de un sistema de gestión de conformidad con la legislación vigente en materia de seguridad aérea de la Unión. No obstante, algunas organizaciones deben quedar excluidas del ámbito de aplicación del presente Reglamento, a fin de garantizar la proporcionalidad adecuada con respecto a los menores riesgos relacionados con la seguridad de la información que plantean para el sistema de aviación.

(9) Los requisitos establecidos en el presente Reglamento deben garantizar una aplicación coherente en todos los ámbitos de la aviación, generando al mismo tiempo un impacto mínimo sobre la legislación en materia de seguridad aérea de la Unión ya aplicable a dichos ámbitos.

(10) Los requisitos establecidos en el presente Reglamento deben entenderse sin perjuicio de los requisitos en materia de seguridad de la información y ciberseguridad establecidos en el punto 1.7 del anexo del Reglamento de Ejecución (UE) 2015/1998 de la Comisión (9) y en el artículo 14 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo (10).

(11) Los requisitos de seguridad establecidos en los artículos 33 a 43 del título V «Seguridad del programa» del Reglamento (UE) 2021/696 del Parlamento Europeo y del Consejo (11) se consideran equivalentes a los requisitos establecidos en el presente Reglamento, salvo en lo que respecta al punto IS.I.OR.230 del anexo II del presente Reglamento, que debe cumplirse.

(12) Con el objetivo de proporcionar seguridad jurídica, la interpretación del término «seguridad de la información», tal como se define en el presente Reglamento, que refleja su uso común en la aviación civil a escala mundial, debe considerarse coherente con la del término «seguridad de las redes y sistemas de información», tal como se define en el artículo 4, apartado 2, de la Directiva (UE) 2016/1148. La definición de «seguridad de la información» utilizada a efectos del presente Reglamento no debe interpretarse como distinta de la definición de «seguridad de las redes y sistemas de información» establecida en la Directiva (UE) 2016/1148.

(13) A fin de evitar la duplicación de los requisitos legales, cuando las organizaciones cubiertas por el presente Reglamento ya estén sujetas a requisitos de seguridad derivados de los actos de la Unión mencionados en los considerandos (10) y 11 que sean, en cuanto a su efecto, equivalentes a las disposiciones establecidas en el presente Reglamento, debe considerarse que el cumplimiento de aquellos requisitos de seguridad equivale al cumplimiento de los requisitos establecidos en el presente Reglamento.

(14) Las organizaciones cubiertas por el presente Reglamento que ya estén sujetas a los requisitos de seguridad derivados del Reglamento de Ejecución (UE) 2015/1998 o del Reglamento (UE) 2021/696, o ambos, deben cumplir asimismo los requisitos del anexo II (parte IS.I.OR.230, «Sistema externo de notificación sobre seguridad de la información») del presente Reglamento, ya que ninguno de los Reglamentos contiene disposiciones relativas a la notificación externa de incidentes relacionados con la seguridad de la información.

(15) En aras de la exhaustividad, los Reglamentos (UE) n.o 1178/2011, (UE) n.o 748/2012, (UE) n.o 965/2012, (UE) n.o 139/2014, (UE) n.o 1321/2014, (UE) 2015/340, y los Reglamentos de Ejecución (UE) 2017/373 de la Comisión (12) y (UE) 2021/664 deben modificarse para introducir los requisitos relativos al sistema de gestión de la seguridad de la información prescritos en el presente Reglamento, junto con los sistemas de gestión que en él se establecen, y para establecer los requisitos de las autoridades competentes en lo que respecta a la supervisión de las organizaciones que aplican dichos requisitos de gestión de la seguridad de la información.

(16) A fin de que las organizaciones dispongan de tiempo suficiente para garantizar el cumplimiento de las nuevas normas y procedimientos, el presente Reglamento debe aplicarse tres años después de su entrada en vigor, excepto en el caso del proveedor de servicios de navegación aérea del sistema europeo de navegación por complemento geoestacionario (EGNOS) definido en el Reglamento de Ejecución (UE) 2017/373, para el que, debido a la acreditación de seguridad en curso del sistema EGNOS y sus servicios de conformidad con el Reglamento (UE) 2021/696, debe ser aplicable a partir del 1 de enero de 2026.

(17) Los requisitos establecidos en el presente Reglamento se basan en el Dictamen n.o 03/2021 (13), emitido por la Agencia de conformidad con el artículo 75, apartado 2, letras b) y c), y el artículo 76, apartado 1, del Reglamento (UE) 2018/1139.

(18) Los requisitos establecidos en el presente Reglamento se ajustan al dictamen del Comité para la aplicación de las normas comunes de seguridad en el ámbito de la aviación civil establecidas en el artículo 127 del Reglamento (UE) 2018/1139.

HA ADOPTADO EL PRESENTE REGLAMENTO:

Artículo 1 Objeto El presente Reglamento establece los requisitos que deben cumplir las organizaciones y las autoridades competentes para: a) detectar y gestionar los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea y afectar a los sistemas de tecnologías de la información y de las comunicaciones, así como a los datos utilizados con fines de aviación civil; b) detectar eventos de seguridad de la información y determinar cuáles se consideran incidentes de seguridad de la información con posibles repercusiones sobre la seguridad aérea; c) responder a dichos incidentes de seguridad de la información y recuperarse de ellos.

Artículo 2 Ámbito de aplicación 1. El presente Reglamento se aplica a las organizaciones siguientes: a) las organizaciones de mantenimiento sujetas a lo dispuesto en la sección A del anexo II (parte 145) del Reglamento (UE) n.o 1321/2014, excepto aquellas que participen exclusivamente en el mantenimiento de aeronaves de conformidad con el anexo V ter (parte ML) del Reglamento (UE) n.o 1321/2014; b) las organizaciones de gestión del mantenimiento de la aeronavegabilidad («CAMO») sujetas a lo dispuesto en la sección A del anexo V quater (parte CAMO) del Reglamento (UE) n.o 1321/2014, excepto aquellas que participen exclusivamente en la gestión del mantenimiento de la aeronavegabilidad de las aeronaves de conformidad con el anexo V ter (parte ML) del Reglamento (UE) n.o 1321/2014; c) los operadores aéreos sujetos a lo dispuesto en el anexo III (parte ORO) del Reglamento (UE) n.o 965/2012, excepto aquellos que participen exclusivamente en la operación de cualquiera de las siguientes aeronaves: i) una aeronave ELA2, tal como se define en el artículo 1, apartado 2, letra j), del Reglamento (UE) n.o 748/2012, ii) aviones monomotor propulsados por hélice con una configuración máxima operativa de asientos de pasajeros de cinco plazas o menos que no estén clasificados como aeronaves motopropulsadas complejas, cuando despeguen y aterricen en el mismo aeródromo o lugar de operación y operen de acuerdo con las reglas de vuelo visual (VFR) diurnas, iii) helicópteros monomotor con una configuración máxima operativa de asientos de pasajeros de cinco plazas o menos que no estén clasificados como aeronaves motopropulsadas complejas, cuando despeguen y aterricen en el mismo aeródromo o lugar de operación y operen de acuerdo con las VFR diurnas; d) las organizaciones de instrucción reconocidas (ATO) sujetas a lo dispuesto en el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011, excepto aquellas que participen exclusivamente en actividades de formación relacionadas con las aeronaves ELA2, tal como se definen en el artículo 1, apartado 2, letra j), del Reglamento (UE) n.o 748/2012, o en la formación teórica; e) los centros de medicina aeronáutica para la tripulación sujetos a lo dispuesto en el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011; f) los operadores de dispositivos de simulación de vuelo para entrenamiento (FSTD) sujetos a lo dispuesto en el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011, excepto aquellos que participen exclusivamente en la operación de FSTD para aeronaves ELA2, tal como se definen en el artículo 1, apartado 2, letra j), del Reglamento (UE) n.o 748/2012; g) las organizaciones de formación de controladores de tránsito aéreo (ATCO TO) y los centros de medicina aeronáutica para ATCO sujetos a lo dispuesto en el anexo III (parte ATCO.OR) del Reglamento (UE) 2015/340; h) las organizaciones sujetas a lo dispuesto en el anexo III (parte ATM/ANS.OR) del Reglamento de Ejecución (UE) 2017/373, excepto los siguientes proveedores de servicios: i) los proveedores de servicios de navegación aérea titulares de un certificado limitado con arreglo al punto ATM/ANS.OR.A.010 de dicho anexo, ii) los proveedores de servicios de información de vuelo que declaren sus actividades con arreglo al punto ATM/ ANS.OR.A.015 de dicho anexo; i) los proveedores de servicios de U-Space y los proveedores únicos de servicios de información común sujetos al Reglamento de Ejecución (UE) 2021/664. 2. El presente Reglamento se aplica a las autoridades competentes, incluida la Agencia de la Unión Europea para la Seguridad Aérea («Agencia»), mencionada en el artículo 6 del presente Reglamento y en el artículo 5 del Reglamento Delegado (UE) 2022/1645 de la Comisión (14). 3. El presente Reglamento también se aplica a la autoridad competente responsable de la expedición, prórroga, modificación, suspensión o revocación de las licencias de mantenimiento de aeronaves de conformidad con el anexo III (parte 66) del Reglamento (UE) n.o 1321/2014. 4. El presente Reglamento se entiende sin perjuicio de los requisitos en materia de seguridad de la información y ciberseguridad establecidos en el punto 1.7 del anexo del Reglamento de Ejecución (UE) 2015/1998 y en el artículo 14 de la Directiva (UE) 2016/1148.

Artículo 3 Definiciones A los efectos del presente Reglamento, se entenderá por: 1) «seguridad de la información»: la preservación de la confidencialidad, integridad, autenticidad y disponibilidad de las redes y sistemas de información; 2) «evento de seguridad de la información»: un suceso detectado en el estado de un sistema, servicio o red que indica una posible violación de la política de seguridad de la información o un fallo de los controles de seguridad de la información, o una situación desconocida hasta ese momento que puede tener importancia para la seguridad de la información; 3) «incidente»: todo hecho que tenga efectos adversos reales en la seguridad de las redes y sistemas de información, tal como se define en el artículo 4, apartado 7, de la Directiva (UE) 2016/1148; 4) «riesgo relacionado con la seguridad de la información»: el riesgo que implica la posibilidad de que se produzca un evento de seguridad de la información para las operaciones organizativas de la aviación civil, los activos, las personas y otras organizaciones; los riesgos relacionados con la seguridad de la información están asociados a la posibilidad de que las amenazas se aprovechen de las vulnerabilidades de un activo o grupo de activos de información; 5) «amenaza»: una posible violación de la seguridad de la información que existe desde el momento en que una entidad, circunstancia, acción o hecho puede ocasionar daños; 6) «vulnerabilidad»: defecto o debilidad presente en un activo o un sistema, en los procedimientos, en el diseño, en la aplicación o en las medidas de seguridad de la información que podría aprovecharse y dar lugar a un fallo o una violación de la política de seguridad de la información.

Artículo 4 Requisitos para las organizaciones y las autoridades competentes 1. Las organizaciones a que se refiere el artículo 2, apartado 1, deberán cumplir los requisitos establecidos en el anexo II (parte IS.I.OR) del presente Reglamento. 2. Las autoridades competentes a que se refiere el artículo 2, apartados 2 y 3, deberán cumplir los requisitos establecidos en el anexo I (parte IS.AR) del presente Reglamento.

Artículo 5 Requisitos derivados de otros actos legislativos de la Unión 1. Si una organización de las contempladas en el artículo 2, apartado 1, cumple requisitos de seguridad establecidos en el artículo 14 de la Directiva (UE) 2016/1148 que sean equivalentes a los requisitos establecidos en el presente Reglamento, se considerará que el cumplimiento de aquellos requisitos de seguridad constituye un cumplimiento de los requisitos establecidos en el presente Reglamento. 2. Si una organización de las contempladas en el artículo 2, apartado 1, es un operador o una entidad mencionada en los programas nacionales de seguridad para la aviación civil de los Estados miembros establecidos de conformidad con el artículo 10 del Reglamento (CE) n.o 300/2008 del Parlamento Europeo y del Consejo (15), los requisitos de ciberseguridad que figuran en el punto 1.7 del anexo del Reglamento de Ejecución (UE) 2015/1998 se considerarán equivalentes a los requisitos establecidos en el presente Reglamento, salvo en lo que respecta al punto IS.I.OR.230 del anexo II del presente Reglamento, que deberá cumplirse como tal. 3. Si la organización contemplada en el artículo 2, apartado 1, es el proveedor de servicios de navegación aérea del sistema europeo de navegación por complemento geoestacionario (EGNOS) a que se refiere el Reglamento (UE) 2021/696, los requisitos de seguridad que figuran en los artículos 33 a 43 del título V de dicho Reglamento se considerarán equivalentes a los requisitos establecidos en el presente Reglamento, salvo en lo que respecta al punto IS.I.OR.230 del anexo II del presente Reglamento, que deberá cumplirse como tal. 4. La Comisión, previa consulta a la Agencia y al Grupo de cooperación a que se refiere el artículo 11 de la Directiva (UE) 2016/1148, podrá emitir directrices para la evaluación de la equivalencia de los requisitos establecidos en el presente Reglamento y en la Directiva (UE) 2016/1148.

Artículo 6 Autoridad competente 1. Sin perjuicio de las tareas encomendadas al Consejo de Acreditación de Seguridad a que se refiere el artículo 36 del Reglamento (UE) 2021/696, la autoridad responsable de certificar y supervisar el cumplimiento del presente Reglamento será: a) en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra a), la autoridad competente designada de conformidad con el anexo II (parte 145) del Reglamento (UE) n.o 1321/2014; b) en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra b), la autoridad competente designada de conformidad con el anexo V quater (parte CAMO) del Reglamento (UE) n.o 1321/2014; c) en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra c), la autoridad competente designada de conformidad con el anexo III (parte ORO) del Reglamento (UE) n.o 965/2012; d) en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letras d) a f), la autoridad competente designada de conformidad con el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011; e) en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra g), la autoridad competente designada de conformidad con el artículo 6, apartado 2, del Reglamento (UE) 2015/340; f) en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra h), la autoridad competente designada de conformidad con el artículo 4, apartado 1, del Reglamento de Ejecución (UE) 2017/373; g) en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra i), la autoridad competente designada de conformidad con el artículo 14, apartado 1 o 2, según proceda, del Reglamento de Ejecución (UE) 2021/664. 2. A efectos del presente Reglamento, los Estados miembros podrán designar una entidad independiente y autónoma que desempeñe las funciones y responsabilidades asignadas a las autoridades competentes a que se refiere el apartado 1. En tal caso, se establecerán medidas de coordinación entre dicha entidad y las autoridades competentes mencionadas en el apartado 1, a fin de garantizar una supervisión eficaz de todos los requisitos que debe cumplir la organización. 3. La Agencia cooperará, respetando plenamente las normas aplicables en materia de protección del secreto, de los datos personales y de la información clasificada, con la Agencia de la Unión Europea para el Programa Espacial (EUSPA) y con el Consejo de Acreditación de Seguridad a que se refiere el artículo 36 del Reglamento (UE) 2021/696, a fin de garantizar una supervisión eficaz de los requisitos aplicables al proveedor de servicios de navegación aérea del EGNOS.

Artículo 7 Presentación de la información pertinente a las autoridades competentes en materia de SRI Las autoridades competentes en virtud del presente Reglamento informarán, sin demora indebida, al punto de contacto único designado de conformidad con el artículo 8 de la Directiva (UE) 2016/1148 de cualquier información pertinente incluida en las notificaciones presentadas con arreglo al punto IS.I.OR.230 del anexo II del presente Reglamento y al punto IS.D.OR.230 del anexo I del Reglamento Delegado (UE) 2022/1645 por los operadores de servicios esenciales identificados de conformidad con el artículo 5 de la Directiva (UE) 2016/1148.

Artículo 8 Modificación del Reglamento (UE) n.o 1178/2011 Los anexos VI (parte ARA) y VII (parte ORA) del Reglamento (UE) n.o 1178/2011 se modifican de conformidad con el anexo III del presente Reglamento.

Artículo 9 Modificación del Reglamento (UE) n.o 748/2012 El anexo I (parte 21) del Reglamento (UE) n.o 748/2012 se modifica de conformidad con el anexo IV del presente Reglamento.

Artículo 10 Modificación del Reglamento (UE) n.o 965/2012 Los anexos II (parte ARO) y III (parte ORO) del Reglamento (UE) n.o 965/2012 se modifican de conformidad con el anexo V del presente Reglamento.

Artículo 11 Modificación del Reglamento (UE) n.o 139/2014 El anexo II (parte ADR.AR) del Reglamento (UE) n.o 139/2014 se modifica de conformidad con el anexo VI del presente Reglamento.

Artículo 12 Modificación del Reglamento (UE) n.o 1321/2014 Los anexos II (parte 145), III (parte 66) y V quater (parte CAMO) del Reglamento (UE) n.o 1321/2014 se modifican de conformidad con el anexo VII del presente Reglamento.

Artículo 13 Modificación del Reglamento (UE) 2015/340 Los anexos II (parte ATCO.AR) y III (parte ATCO.OR) del Reglamento (UE) 2015/340 se modifican de conformidad con el anexo VIII del presente Reglamento.

Artículo 14 Modificación del Reglamento de Ejecución (UE) 2017/373 Los anexos II (parte ATM/ANS.AR) y III (parte ATM/ANS.OR) del Reglamento de Ejecución (UE) 2017/373 se modifican de conformidad con el anexo IX del presente Reglamento.

Artículo 15 Modificación del Reglamento de Ejecución (UE) 2021/664 El Reglamento de Ejecución (UE) 2021/664 se modifica como sigue: 1) En el artículo 15, apartado 1, la letra f) se sustituye por la siguiente: «f) aplican y mantienen un sistema de gestión de la protección de conformidad con el punto ATM/ANS.OR.D.010 de la subparte D del anexo III del Reglamento de Ejecución (UE) 2017/373 y un sistema de gestión de la seguridad de la información de conformidad con el anexo II (parte IS.I.OR) del Reglamento de Ejecución (UE) 2023/203;». 2) En el artículo 18, se añade la letra l) siguiente: «l) establecerán, aplicarán y mantendrán un sistema de gestión de la seguridad de la información de conformidad con el anexo I (parte IS.AR) del Reglamento de Ejecución (UE) 2023/203.».

Artículo 16 El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 22 de febrero de 2026. No obstante, en lo que respecta al caso del proveedor de servicios de navegación aérea del EGNOS sujeto al Reglamento de Ejecución (UE) 2017/373, será aplicable a partir del 1 de enero de 2026.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro. Hecho en Bruselas, el 27 de octubre de 2022. Por la Comisión La Presidenta Ursula VON DER LEYEN

(1) DO L 212 de 22.8.2018, p. 1.

(2) Reglamento (UE) n.o 748/2012 de la Comisión, de 3 de agosto de 2012, por el que se establecen las disposiciones de aplicación sobre la certificación de aeronavegabilidad y medioambiental de las aeronaves y los productos, componentes y equipos relacionados con ellas, así como sobre la certificación de las organizaciones de diseño y de producción (DO L 224 de 21.8.2012, p. 1).

(3) Reglamento (UE) n.o 1321/2014 de la Comisión, de 26 de noviembre de 2014, sobre el mantenimiento de la aeronavegabilidad de las aeronaves y productos aeronáuticos, componentes y equipos y sobre la aprobación de las organizaciones y personal que participan en dichas tareas (DO L 362 de 17.12.2014, p. 1).

(4) Reglamento (UE) n.o 965/2012 de la Comisión, de 5 de octubre de 2012, por el que se establecen requisitos técnicos y procedimientos administrativos en relación con las operaciones aéreas en virtud del Reglamento (CE) n.o 216/2008 del Parlamento Europeo y del Consejo (DO L 296 de 25.10.2012, p. 1).

(5) Reglamento (UE) n.o 1178/2011 de la Comisión, de 3 de noviembre de 2011, por el que se establecen requisitos técnicos y procedimientos administrativos relacionados con el personal de vuelo de la aviación civil en virtud del Reglamento (CE) n o 216/2008 del Parlamento Europeo y del Consejo (DO L 311 de 25.11.2011, p. 1).

(6) Reglamento (UE) 2015/340 de la Comisión, de 20 de febrero de 2015, por el que se establecen requisitos técnicos y procedimientos administrativos relativos a las licencias y los certificados de los controladores de tránsito aéreo en virtud del Reglamento (CE) n.o 216/2008 del Parlamento Europeo y del Consejo, se modifica el Reglamento de Ejecución (UE) n.o 923/2012 de la Comisión y se deroga el Reglamento (UE) n.o 805/2011 de la Comisión (DO L 63 de 6.3.2015, p. 1).

(7) Reglamento (UE) n.o 139/2014 de la Comisión, de 12 de febrero de 2014, por el que se establecen los requisitos y procedimientos administrativos relativos a los aeródromos, de conformidad con el Reglamento (CE) n.o 216/2008 del Parlamento Europeo y el Consejo (DO L 44 de 14.2.2014, p. 1).

(8) Reglamento de Ejecución (UE) 2021/664 de la Comisión, de 22 de abril de 2021, sobre un marco regulador para el U-Space (DO L 139 de 23.4.2021, p. 161).

(9) Reglamento de Ejecución (UE) 2015/1998 de la Comisión, de 5 de noviembre de 2015, por el que se establecen medidas detalladas para la aplicación de las normas básicas comunes de seguridad aérea (DO L 299 de 14.11.2015, p. 1).

(10) Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (DO L 194 de 19.7.2016, p. 1).

(11) Reglamento (UE) 2021/696 del Parlamento Europeo y del Consejo, de 28 de abril de 2021, por el que se crean el Programa Espacial de la Unión y la Agencia de la Unión Europea para el Programa Espacial y por el que se derogan los Reglamentos (UE) n.o 912/2010, (UE) n.o 1285/2013 y (UE) n.o 377/2014 y la Decisión n.o 541/2014/UE (DO L 170 de 12.5.2021, p. 69).

(12) Reglamento de Ejecución (UE) 2017/373 de la Comisión, de 1 de marzo de 2017, por el que se establecen requisitos comunes para los proveedores de servicios de gestión del tránsito aéreo/navegación aérea y otras funciones de la red de gestión del tránsito aéreo y su supervisión, por el que se derogan el Reglamento (CE) n.o 482/2008 y los Reglamentos de Ejecución (UE) n.o 1034/2011, (UE) n.o 1035/2011 y (UE) 2016/1377, y por el que se modifica el Reglamento (UE) n.o 677/2011 (DO L 62 de 8.3.2017, p. 1).

(13) https://www.easa.europa.eu/document-library/opinions

(14) Reglamento Delegado (UE) 2022/1645 de la Comisión, de 14 de julio de 2022, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo en lo que se refiere a los requisitos relativos a la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea destinados a las organizaciones contempladas en los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión, y por el que se modifican los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión (DO L 248 de 26.9.2022, p. 18).

(15) Reglamento (CE) n.o 300/2008 del Parlamento Europeo y del Consejo, de 11 de marzo de 2008, sobre normas comunes para la seguridad de la aviación civil y por el que se deroga el Reglamento (CE) n.o 2320/2002 (DO L 97 de 9.4.2008, p. 72).