REGLAMENTO DELEGADO (UE) 2022/1645 DE LA COMISIÓN

de 14 de julio de 2022

por el que se establecen disposiciones de aplicación del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo en lo que se refiere a los requisitos relativos a la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea destinados a las organizaciones contempladas en los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión, y por el que se modifican los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo, de 4 de julio de 2018, sobre normas comunes en el ámbito de la aviación civil y por el que se crea una Agencia de la Unión Europea para la Seguridad Aérea y por el que se modifican los Reglamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010, (UE) n.o 376/2014 y las Directivas 2014/30/UE y 2014/53/UE del Parlamento Europeo y del Consejo y se derogan los Reglamentos (CE) n.o 552/2004 y (CE) n.o 216/2008 del Parlamento Europeo y del Consejo y el Reglamento (CEE) n.o 3922/91 del Consejo (1), y en particular su artículo 19, apartado 1, letra g), y su artículo 39, apartado 1, letra b),

Considerando lo siguiente:

(1) De conformidad con los requisitos esenciales establecidos en el anexo II, punto 3.1, letra b), del Reglamento (UE) 2018/1139, las organizaciones de diseño y producción deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(2) Además, de conformidad con los requisitos esenciales establecidos en el anexo VII, puntos 2.2.1 y 5.2, del Reglamento (UE) 2018/1139, los operadores de aeródromos y las organizaciones responsables de proveer servicios de dirección de plataforma deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(3) Los riesgos de seguridad mencionados en los considerandos 1 y 2 pueden surgir de diferentes fuentes, tales como los defectos de diseño y mantenimiento, los aspectos relacionados con el factor humano y las amenazas al medio ambiente y a la seguridad de la información. Por lo tanto, los sistemas de gestión que aplican las organizaciones mencionadas en los considerandos 1 y 2 deben tener en cuenta no solo los riesgos para la seguridad cuyo origen se encuentre en hechos fortuitos, sino también aquellos derivados de amenazas a la seguridad de la información, si los defectos existentes pueden ser aprovechados por individuos que actúen de mala fe. Estos riesgos relacionados con la seguridad de la información aumentan constantemente en el entorno de la aviación civil, ya que los sistemas de información actuales están cada vez más interconectados y se están convirtiendo con mayor frecuencia en el objetivo de este tipo de individuos.

(4) Los riesgos asociados a estos sistemas de información no se limitan a posibles ataques al ciberespacio, sino que abarcan también las amenazas que pueden afectar a los procesos y procedimientos, así como a la actuación de los seres humanos.

(5) Un número significativo de organizaciones ya utilizan normas internacionales, como la ISO 27001, para ocuparse de la seguridad de la información y los datos digitales. Es posible que estas normas no traten en su totalidad las especificidades de la aviación civil.

(6) Por lo tanto, conviene establecer requisitos para la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea.

(7) Es esencial que estos requisitos cubran los distintos ámbitos de la aviación y sus interfaces, ya que la aviación es un sistema de sistemas altamente interconectado. Por lo tanto, deben aplicarse a todas las organizaciones que ya están obligadas a disponer de un sistema de gestión de conformidad con la legislación vigente en materia de seguridad aérea de la Unión.

(8) Los requisitos establecidos en el presente Reglamento deben aplicarse de manera coherente en todos los ámbitos de la aviación, generando al mismo tiempo un impacto mínimo sobre la legislación en materia de seguridad aérea de la Unión ya aplicable a dichos ámbitos.

(9) Los requisitos establecidos en el presente Reglamento deben entenderse sin perjuicio de los requisitos en materia de seguridad de la información y ciberseguridad establecidos en el punto 1.7 del anexo del Reglamento de Ejecución (UE) 2015/1998 de la Comisión (2) y en el artículo 14 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo (3).

(10) La definición de «seguridad de la información» utilizada a efectos del presente acto jurídico no debe interpretarse como distinta de la definición de seguridad de las redes y sistemas de información establecida en la Directiva 2016/1148.

(11) A fin de evitar la duplicación de los requisitos legales, cuando las organizaciones cubiertas por el presente Reglamento ya estén sujetas a requisitos de seguridad derivados de los otros actos de la Unión mencionados en el considerando 9 que sean, en cuanto a su efecto, equivalentes a las disposiciones establecidas en el presente Reglamento, debe considerarse que el cumplimiento de aquellos requisitos de seguridad equivale al cumplimiento de los requisitos establecidos en el presente Reglamento.

(12) Las organizaciones cubiertas por el presente Reglamento que ya estén sujetas a los requisitos de seguridad derivados del Reglamento (UE) 2015/1998 deben cumplir asimismo los requisitos del anexo I (parte IS.D.OR.230, «Sistema externo de notificación sobre seguridad de la información») del presente Reglamento, ya que el Reglamento de Ejecución (UE) 2015/1998 no contiene ninguna disposición relativa a la notificación externa de incidentes relacionados con la seguridad de la información.

(13) Los Reglamentos (UE) n.o 748/2012 (4) y (UE) n.o 139/2014 (5) de la Comisión deben modificarse a fin de establecer el vínculo entre los sistemas de gestión prescritos en los Reglamentos antes citados y los requisitos de gestión de la seguridad de la información prescritos en el presente Reglamento.

(14) A fin de que las organizaciones dispongan de tiempo suficiente para garantizar el cumplimiento de las nuevas normas y procedimientos introducidos por el presente Reglamento, este debe aplicarse una vez transcurridos tres años desde su fecha de entrada en vigor.

(15) Los requisitos establecidos en el presente Reglamento se basan en el Dictamen n.o 03/2021 (6), emitido por la Agencia de conformidad con el artículo 75, apartado 2, letras b) y c), y el artículo 76, apartado 1, del Reglamento (UE) 2018/1139.

(16) De conformidad con el artículo 128, apartado 4, del Reglamento (UE) 2018/1139, la Comisión consultó a los expertos designados por cada Estado miembro de acuerdo con los principios establecidos en el Acuerdo interinstitucional, de 13 de abril de 2016, sobre la mejora de la legislación (7).

HA ADOPTADO EL PRESENTE REGLAMENTO:

Artículo 1 Objeto El presente Reglamento establece los requisitos que deben cumplir las organizaciones mencionadas en el artículo 2 para detectar y gestionar riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea y afectar a los sistemas de tecnologías de la información y la comunicación y a los datos utilizados con fines de aviación civil, así como para detectar eventos de seguridad de la información y determinar cuáles de ellos se consideran incidentes de seguridad de la información con posibles repercusiones sobre la seguridad aérea, responder a dichos incidentes y recuperarse de ellos.

Artículo 2 Ámbito de aplicación 1. El presente Reglamento se aplica a las organizaciones siguientes: a) organizaciones de producción y organizaciones de diseño sujetas a las subpartes G y J de la sección A del anexo I (parte 21) del Reglamento (UE) n.o 748/2012, excepto las organizaciones de diseño y de producción que participan exclusivamente en el diseño o la producción de aeronaves ELA2, tal como se definen en el artículo 1, apartado 2, letra j), del Reglamento (UE) n.o 748/2012; b) operadores de aeródromos y proveedores de servicios de dirección de plataforma sujetos al anexo III, «Parte relativa a los requisitos de las organizaciones (Parte ADR.OR)», del Reglamento (UE) n.o 139/2014. 2. El presente Reglamento se entiende sin perjuicio de los requisitos en materia de seguridad de la información y ciberseguridad establecidos en el punto 1.7 del anexo del Reglamento de Ejecución (UE) 2015/1998 de la Comisión y en el artículo 14 de la Directiva (UE) 2016/1148.

Artículo 3 Definiciones A los efectos del presente Reglamento, se entenderá por: 1) «seguridad de la información»: la preservación de la confidencialidad, integridad, autenticidad y disponibilidad de las redes y sistemas de información; 2) «evento de seguridad de la información»: un suceso detectado en el estado de un sistema, servicio o red que indica una posible violación de la política de seguridad de la información o un fallo de los controles de seguridad de la información, o una situación desconocida hasta ese momento que puede tener importancia para la seguridad de la información; 3) «incidente»: todo hecho que tenga efectos adversos en la seguridad de las redes y sistemas de información, tal como se define en el artículo 4, apartado 7, de la Directiva (UE) 2016/1148; 4) «riesgo relacionado con la seguridad de la información»: el riesgo que implica la posibilidad de que se produzca un evento de seguridad de la información para las operaciones organizativas de la aviación civil, los activos, las personas y otras organizaciones; los riesgos relacionados con la seguridad de la información están asociados a la posibilidad de que las amenazas se aprovechen de las vulnerabilidades de un activo o grupo de activos de información; 5) «amenaza»: una posible violación de la seguridad de la información que existe desde el momento en que una entidad, circunstancia, acción o hecho puede ocasionar daños; 6) «vulnerabilidad»: defecto o debilidad presente en un activo o un sistema, en los procedimientos, en el diseño, en la aplicación o en las medidas de seguridad de la información que podría aprovecharse y dar lugar a un fallo o una violación de la política de seguridad de la información.

Artículo 4 Requisitos derivados de otros actos legislativos de la Unión 1. Si una organización de las contempladas en el artículo 2 cumple requisitos de seguridad establecidos en el artículo 14 de la Directiva (UE) 2016/1148 que sean equivalentes a los requisitos establecidos en el presente Reglamento, se considerará que el cumplimiento de aquellos requisitos de seguridad constituye un cumplimiento de los requisitos establecidos en el presente Reglamento. 2. Si una organización de las contempladas en el artículo 2 es un operador o una entidad mencionada en los programas nacionales de seguridad para la aviación civil de los Estados miembros establecidos de conformidad con el artículo 10 del Reglamento (CE) n.o 300/2008 del Parlamento Europeo y del Consejo (8), los requisitos de ciberseguridad que figuran en el punto 1.7 del anexo del Reglamento de Ejecución (UE) 2015/1998 se considerarán equivalentes a los requisitos establecidos en el presente Reglamento, salvo en lo que respecta al punto IS.D.OR.230 del anexo del presente Reglamento, que deberá cumplirse. 3. La Comisión, previa consulta a la AESA y al Grupo de cooperación a que se refiere el artículo 11 de la Directiva (UE) 2016/1148, podrá emitir directrices para la evaluación de la equivalencia de los requisitos establecidos en el presente Reglamento y en la Directiva (UE) 2016/1148.

Artículo 5 Autoridad competente 1. La autoridad responsable de certificar y supervisar el cumplimiento del presente Reglamento será: a) en lo que respecta a las organizaciones contempladas en el artículo 2, letra a), la autoridad competente designada de conformidad con el anexo I (parte 21) del Reglamento (UE) n.o 748/2012; b) en lo que respecta a las organizaciones contempladas en el artículo 2, letra b), la autoridad competente designada de conformidad con el anexo III (parte ADR.OR) del Reglamento (UE) n.o 139/2014. 2. A efectos del presente Reglamento, los Estados miembros podrán designar una entidad independiente y autónoma que desempeñe las funciones y responsabilidades asignadas a las autoridades competentes a que se refiere el apartado 1. En tal caso, se establecerán medidas de coordinación entre dicha entidad y las autoridades competentes mencionadas en el apartado 1, a fin de garantizar una supervisión eficaz de todos los requisitos que debe cumplir la organización.

Artículo 6 Modificación del Reglamento (UE) n.o 748/2012 El anexo I (parte 21) del Reglamento (UE) n.o 748/2012 se modifica como sigue: 1) El índice se modifica como sigue: a) tras el título 21.A.139, se inserta el título siguiente: «21.A.139A Sistema de gestión de la seguridad de la información»; b) tras el título 21.A.239, se inserta el título siguiente: «21.A.239A Sistema de gestión de la seguridad de la información». 2) Tras el punto 21.A.139, se inserta el punto 21.A.139A siguiente: «21.A.139A Sistema de gestión de la seguridad de la información Además del sistema de gestión de la producción exigido en el punto 21.A.139, la organización de producción deberá establecer, implantar y mantener un sistema de gestión de la seguridad de la información de conformidad con el Reglamento Delegado (UE) 2022/1645 de la Comisión (*1) a fin de garantizar una gestión adecuada de los riesgos relacionados con la seguridad de la información que puedan repercutir en la seguridad aérea. (*1) Reglamento Delegado (UE) 2022/1645 de la Comisión, de 14 de julio de 2022, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo en lo que se refiere a los requisitos relativos a la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea destinados a las organizaciones contempladas en los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión, y por el que se modifican los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión (DO L 248 de 26.9.2022, p. 18).»." 3) Tras el punto 21.A.239, se inserta el punto 21.A.239A siguiente: «21.A.239A Sistema de gestión de la seguridad de la información Además del sistema de gestión del diseño exigido en el punto 21.A.239, la organización de diseño deberá establecer, implantar y mantener un sistema de gestión de la seguridad de la información de conformidad con el Reglamento Delegado (UE) 2022/1645 a fin de garantizar una gestión adecuada de los riesgos relacionados con la seguridad de la información que puedan repercutir en la seguridad aérea.».

Artículo 7 Modificación del Reglamento (UE) n.o 139/2014 El anexo III (parte ADR.OR) del Reglamento (UE) n.o 139/2014 se modifica como sigue: 1) Tras el punto ADR.OR.D.005, se inserta el punto ADR.OR.D.005A siguiente: «ADR.OR.D.005A Sistema de gestión de la seguridad de la información El operador del aeródromo deberá establecer, implantar y mantener un sistema de gestión de la seguridad de la información de conformidad con el Reglamento Delegado (UE) 2022/1645 de la Comisión (*2) a fin de garantizar una gestión adecuada de los riesgos relacionados con la seguridad de la información que puedan repercutir en la seguridad aérea. (*2) Reglamento Delegado (UE) 2022/1645 de la Comisión, de 14 de julio de 2022, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo en lo que se refiere a los requisitos relativos a la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea destinados a las organizaciones contempladas en los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión, y por el que se modifican los Reglamentos (UE) n.o 748/2012 y (UE) n.o 139/2014 de la Comisión (DO L 248 de 26.9.2022, p. 18).»." 2) El punto ADR.OR.D.007 se sustituye por el texto siguiente: «ADR.OR.D.007 Gestión de datos aeronáuticos e información aeronáutica a) Como parte de su sistema de gestión, el operador del aeródromo implantará y mantendrá un sistema de gestión de la calidad que abarque las siguientes actividades: 1) sus actividades de datos aeronáuticos; 2) sus actividades de suministro de información aeronáutica. b) Como parte de su sistema de gestión, el operador del aeródromo establecerá un sistema de gestión de la seguridad que garantice la protección de los datos operativos que reciba, produzca o utilice de otro modo, de manera que el acceso a dichos datos operativos esté limitado únicamente a las personas autorizadas. c) El sistema de gestión de la seguridad definirá los siguientes elementos: 1) los procedimientos relativos al análisis y la mitigación de riesgos en materia de seguridad de los datos, al control y la mejora de la seguridad, a las evaluaciones de la seguridad y a la difusión de enseñanzas al respecto; 2) los medios elaborados para detectar fallos de seguridad y alertar al personal con los avisos oportunos; 3) los medios para controlar los efectos de los fallos de seguridad y determinar acciones de recuperación y procedimientos de reducción a fin de evitar que se repitan. d) El operador del aeródromo garantizará la habilitación de seguridad de su personal en relación con la seguridad de los datos aeronáuticos. e) Los aspectos relacionados con la seguridad de la información se gestionarán de conformidad con el punto ADR.OR.D.005A.». 3) Tras el punto ADR.OR.F.045, se inserta el punto ADR.OR.F.045A siguiente: «ADR.OR.F.045A Sistema de gestión de la seguridad de la información La organización responsable de la prestación de SDP deberá establecer, implantar y mantener un sistema de gestión de la seguridad de la información de conformidad con el Reglamento Delegado (UE) 2022/1645 a fin de garantizar una gestión adecuada de los riesgos relacionados con la seguridad de la información que puedan repercutir en la seguridad aérea.».

Artículo 8 El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 16 de octubre de 2025.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro. Hecho en Bruselas, el 14 de julio de 2022. Por la Comisión La Presidenta Ursula VON DER LEYEN

(1) DO L 212 de 22.8.2018, p. 1 .

(2) Reglamento de Ejecución (UE) 2015/1998 de la Comisión, de 5 de noviembre de 2015, por el que se establecen medidas detalladas para la aplicación de las normas básicas comunes de seguridad aérea (DO L 299 de 14.11.2015, p. 1).

(3) Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (DO L 194 de 19.7.2016, p. 1).

(4) Reglamento (UE) n.o 748/2012 de la Comisión, de 3 de agosto de 2012, por el que se establecen las disposiciones de aplicación sobre la certificación de aeronavegabilidad y medioambiental de las aeronaves y los productos, componentes y equipos relacionados con ellas, así como sobre la certificación de las organizaciones de diseño y de producción (DO L 224 de 21.8.2012, p. 1).

(5) Reglamento (UE) n.o 139/2014 de la Comisión, de 12 de febrero de 2014, por el que se establecen los requisitos y procedimientos administrativos relativos a los aeródromos, de conformidad con el Reglamento (CE) n.o 216/2008 del Parlamento Europeo y el Consejo (DO L 44 de 14.2.2014, p. 1).

(6) https://www.easa.europa.eu/document-library/opinions

(7) DO L 123 de 12.5.2016, p. 1.

(8) Reglamento (CE) n.o 300/2008 del Parlamento Europeo y del Consejo, de 11 de marzo de 2008, sobre normas comunes para la seguridad de la aviación civil y por el que se deroga el Reglamento (CE) n.o 2320/2002 (DO L 97 de 9.4.2008, p. 72).