KOMISSION DELEGOITU ASETUS (EU) 2022/1645,

annettu 14 päivänä heinäkuuta 2022,

Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamista koskevista säännöistä siltä osin kuin on kyse ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevista vaatimuksista komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 soveltamisalaan kuuluville organisaatioille sekä komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 muuttamisesta

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisistä siviili-ilmailua koskevista säännöistä ja Euroopan unionin lentoturvallisuusviraston perustamisesta, Euroopan parlamentin ja neuvoston asetusten (EY) N:o 2111/2005, (EY) N:o 1008/2008, (EU) N:o 996/2010, (EU) N:o 376/2014 ja direktiivien 2014/30/EU ja 2014/53/EU muuttamisesta sekä Euroopan parlamentin ja neuvoston asetusten (EY) N:o 552/2004 ja (EY) N:o 216/2008 ja neuvoston asetuksen (ETY) N:o 3922/91 kumoamisesta 4 päivänä heinäkuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 (1) ja erityisesti sen 19 artiklan 1 kohdan g alakohdan sekä 39 artiklan 1 kohdan b alakohdan,

sekä katsoo seuraavaa:

(1) Asetuksen (EU) 2018/1139 liitteessä II olevan 3.1 kohdan b alakohdassa vahvistettujen keskeisten vaatimusten mukaan suunnittelu- ja tuotanto-organisaatioiden on luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä.

(2) Lisäksi lentopaikkojen pitäjien ja asematasovalvontapalvelujen tarjoamisesta vastaavien organisaatioiden on asetuksen (EU) 2018/1139 liitteessä VII olevassa 2.2.1 ja 5.2 kohdassa vahvistettujen keskeisten vaatimusten mukaan luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä.

(3) Johdanto-osan 1 ja 2 kappaleessa tarkoitetuilla turvallisuusriskeillä voi olla erilaisia alkulähteitä, kuten puutteet suunnittelussa tai kunnossapidossa, ihmisen suorituskykyyn liittyvät näkökohdat, ympäristöuhkat ja tietoturvauhkat. Sen vuoksi johdanto-osan 1 ja 2 kappaleessa tarkoitetuissa organisaatioiden käyttöön ottamissa hallintajärjestelmissä olisi otettava huomioon sattumanvaraisista tapahtumista johtuvien turvallisuusriskien lisäksi myös sellaisista tietoturvauhkista johtuvat turvallisuusriskit, joissa pahantahtoisessa tarkoituksessa toimivat henkilöt saattavat hyödyntää olemassa olevia puutteita. Tällaiset tietoturvariskit lisääntyvät siviili-ilmailuympäristössä jatkuvasti, sillä nykyiset tietojärjestelmät ovat yhä useammin yhteenliitettyjä ja entistä yleisemmin pahantahtoisten toimijoiden kohteina.

(4) Tietojärjestelmiin liittyvät riskit eivät rajoitu mahdollisiin kyberavaruuteen kohdistuviin hyökkäyksiin, vaan niihin kuuluvat myös prosesseihin ja menettelyihin sekä ihmisten suorituskykyyn mahdollisesti vaikuttavat uhkat.

(5) Organisaatioista suuri osa käyttää jo digitaalisen tiedon ja datan suojaamiseen kansainvälisiä standardeja, kuten ISO 27001 -standardia. Näissä standardeissa ei välttämättä oteta täysin huomioon kaikkia siviili-ilmailun erityispiirteitä.

(6) Tästä syystä on tarpeen asettaa vaatimuksia sellaisten tietoturvariskien hallitsemiseksi, joilla saattaa olla vaikutusta ilmailun turvallisuuteen.

(7) On olennaisen tärkeää, että vaatimukset kattavat ilmailun eri osa-alueet ja niiden rajapinnat, koska ilmailu on varsin yhteenliitetty järjestelmien järjestelmä. Sen vuoksi vaatimusten olisi koskettava kaikkia organisaatioita, joilla jo vaaditaan olevan unionin nykyisen ilmailun turvallisuusalan lainsäädännön mukainen hallintajärjestelmä.

(8) Tässä asetuksessa säädettyjä vaatimuksia olisi sovellettava johdonmukaisesti kaikilla ilmailun osa-alueilla, ja niillä olisi oltava mahdollisimman vähäinen vaikutus kyseisillä osa-alueilla jo sovellettavaan unionin ilmailun turvallisuusalan lainsäädäntöön.

(9) Tässä asetuksessa säädetyt vaatimukset eivät saisi vaikuttaa komission täytäntöönpanoasetuksen (EU) 2015/1998 (2) liitteessä olevassa 1.7 kohdassa eivätkä Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 (3) 14 artiklassa vahvistettuihin tietoturva- ja kyberturvallisuusvaatimuksiin.

(10) Tässä säädöksessä käytetyn tietoturvan määritelmän olisi tulkittava vastaavan direktiivissä 2016/1148 vahvistettua verkko- ja tietojärjestelmien turvallisuuden määritelmää.

(11) Jotta vältetään oikeudellisten vaatimusten päällekkäisyys silloin, kun tämän asetuksen soveltamisalaan kuuluviin organisaatioihin jo sovelletaan johdanto-osan 9 kappaleessa tarkoitetuista muista unionin säädöksistä johtuvia turvavaatimuksia, jotka vaikutukseltaan vastaavat tämän asetuksen säännöksiä, kyseisten turvavaatimusten noudattamista olisi pidettävä tässä asetuksessa säädettyjen vaatimusten noudattamisena.

(12) Tämän asetuksen soveltamisalaan kuuluvien organisaatioiden, joihin jo sovelletaan täytäntöönpanoasetuksesta (EU) 2015/1998 johtuvia turvavaatimuksia, olisi täytettävä myös tämän asetuksen liitteen I (osa IS.D.OR.230 ”Tietoturvaa koskeva ulkoinen ilmoitusjärjestelmä”) vaatimukset, koska asetuksessa (EU) 2015/1998 ei ole säännöksiä tietoturvapoikkeamien ulkoisesta ilmoittamisesta.

(13) Komission asetuksia (EU) N:o 748/2012 (4) ja (EU) N:o 139/2014 (5) olisi muutettava edellä luetelluissa asetuksissa säädettyjen hallintajärjestelmien ja tässä asetuksessa säädettyjen tietoturvan hallintaa koskevien vaatimusten välisen yhteyden luomiseksi.

(14) Jotta organisaatioilla olisi riittävästi aikaa varmistaa tällä asetuksella käyttöön otettujen uusien sääntöjen ja menettelyjen noudattaminen, tätä asetusta olisi sovellettava kolmen vuoden kuluttua sen voimaantulopäivästä.

(15) Tässä asetuksessa säädetyt vaatimukset perustuvat viraston antamaan lausuntoon nro 03/2021 (6), jonka se on antanut asetuksen (EU) 2018/1139 75 artiklan 2 kohdan b ja c alakohdan ja 76 artiklan 1 kohdan mukaisesti.

(16) Komissio kuuli asetuksen (EU) 2018/1139 128 artiklan 4 kohdan mukaisesti kunkin jäsenvaltion nimeämiä asiantuntijoita paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (7) vahvistettujen periaatteiden mukaisesti,

ON HYVÄKSYNYT TÄMÄN ASETUKSEN:

1 artikla Kohde Tässä asetuksessa vahvistetaan vaatimukset, jotka 2 artiklassa tarkoitettujen organisaatioiden on täytettävä tunnistaakseen ja hallitakseen sellaisia ilmailun turvallisuuteen mahdollisesti vaikuttavia tietoturvariskejä, jotka saattavat vaikuttaa tieto- ja viestintäteknisiin järjestelmiin ja siviili-ilmailussa käytettävään dataan, sekä havaitakseen tietoturvatapahtumat ja tunnistaakseen niistä ne, joita pidetään mahdollisesti ilmailun turvallisuuteen vaikuttavina tietoturvapoikkeamina, ja reagoidakseen näihin tietoturvapoikkeamiin ja palautuakseen niistä.

2 artikla Soveltamisala 1. Tätä asetusta sovelletaan seuraaviin organisaatioihin: a) asetuksen (EU) N:o 748/2012 liitteessä I (21 osa) olevan A luvun G ja J alaluvun soveltamisalaan kuuluvat tuotanto- ja suunnitteluorganisaatiot, lukuun ottamatta niitä suunnittelu- ja tuotanto-organisaatioita, jotka osallistuvat yksinomaan asetuksen (EU) N:o 748/2012 1 artiklan 2 kohdan j alakohdassa määriteltyjen ELA2-ilma-alusten suunnitteluun ja/tai tuotantoon; b) asetuksen (EU) N:o 139/2014 liitteen III ”Organisaatioita koskevat vaatimukset (osa ADR.OR)” soveltamisalaan kuuluvat lentopaikkojen pitäjät ja asematasovalvontapalvelujen tarjoajat. 2. Tämä asetus ei vaikuta täytäntöönpanoasetuksen (EU) 2015/1998 liitteessä olevassa 1.7 kohdassa eikä direktiivin (EU) 2016/1148 14 artiklassa vahvistettuihin tietoturva- ja kyberturvallisuusvaatimuksiin.

3 artikla Määritelmät Tässä asetuksessa tarkoitetaan: 1) ’tietoturvalla’ verkko- ja tietojärjestelmien luottamuksellisuuden, eheyden, aitouden ja käytettävyyden säilyttämistä; 2) ’tietoturvatapahtumalla’ järjestelmän, palvelun tai verkkotilan tunnistettua poikkeamaa, joka viittaa tietoturvapolitiikan mahdolliseen rikkomiseen tai tietoturvan valvontatoimien laiminlyöntiin taikka aiemmin tuntemattomaan tilanteeseen, jolla voi olla merkitystä tietoturvan kannalta; 3) ’poikkeamalla’ mitä tahansa tapahtumaa, joka vaikuttaa haitallisesti direktiivin (EU) 2016/1148 4 artiklan 7 kohdassa määriteltyyn verkko- ja tietojärjestelmien turvallisuuteen; 4) ’tietoturvariskillä’ tietoturvatapahtuman mahdollisuudesta organisaation siviili-ilmailutoiminnalle, omaisuudelle, yksityishenkilöille tai muille organisaatioille aiheutuvaa riskiä. Tietoturvariskeihin liittyy mahdollisuus, että uhkissa hyödynnetään tieto-omaisuuden tai tieto-omaisuusryhmän haavoittuvuuksia; 5) ’uhkalla’ tietoturvaloukkauksen mahdollisuutta, joka on olemassa, kun on yhteisö, olosuhde, toimi tai tapahtuma, joka voisi aiheuttaa vahinkoa; 6) ’haavoittuvuudella’ sellaista omaisuuden tai järjestelmän, menetelmien, suunnittelun, toteutuksen tai tietoturvatoimenpiteiden vikaa tai heikkoutta, jota voitaisiin hyödyntää ja joka johtaisi tietoturvapolitiikan rikkomiseen tai loukkaamiseen.

4 artikla Muusta unionin lainsäädännöstä johtuvat vaatimukset 1. Jos 2 artiklassa tarkoitettu organisaatio täyttää direktiivin (EU) 2016/1148 14 artiklassa säädetyt turvavaatimukset, jotka vastaavat tässä asetuksessa säädettyjä vaatimuksia, kyseisten turvavaatimusten täyttäminen katsotaan tässä asetuksessa säädettyjen vaatimusten täyttämiseksi. 2. Jos 2 artiklassa tarkoitettu organisaatio on Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 300/2008 (8) 10 artiklan mukaisesti vahvistetuissa jäsenvaltioiden kansallisissa siviili-ilmailun turvaohjelmissa tarkoitettu lentotoiminnan harjoittaja tai yhteisö, täytäntöönpanoasetuksen (EU) 2015/1998 liitteessä olevaan 1.7 kohtaan sisältyvien kyberturvallisuusvaatimusten katsotaan vastaavan tässä asetuksessa säädettyjä vaatimuksia, lukuun ottamatta tämän asetuksen liitteessä olevaa IS.D.OR.230 kohtaa, jota on noudatettava. 3. Komissio voi EASAa ja direktiivin (EU) 2016/1148 11 artiklassa tarkoitettua yhteistyöryhmää kuultuaan antaa ohjeita tässä asetuksessa ja direktiivissä (EU) 2016/1148 säädettyjen vaatimusten vastaavuuden arvioimiseksi.

5 artikla Toimivaltainen viranomainen 1. Tämän asetuksen noudattamisen todentamisesta ja valvonnasta vastaava viranomainen on a) 2 artiklan a alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 748/2012 liitteen I (21 osa) mukaisesti nimetty toimivaltainen viranomainen; b) 2 artiklan b alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 139/2014 liitteen III (osa ADR.OR) mukaisesti nimetty toimivaltainen viranomainen. 2. Jäsenvaltiot voivat tämän asetuksen soveltamiseksi nimetä riippumattoman ja itsenäisen yksikön hoitamaan 1 kohdassa tarkoitetut toimivaltaisten viranomaisten tehtävät ja velvollisuudet. Tällöin on otettava käyttöön koordinointitoimenpiteitä kyseisen yksikön ja 1 kohdassa tarkoitettujen toimivaltaisten viranomaisten välillä sen varmistamiseksi, että kaikkia vaatimuksia, jotka organisaation on täytettävä, valvotaan tehokkaasti.

6 artikla Asetuksen (EU) N:o 748/2012 muuttaminen Muutetaan asetuksen (EU) N:o 748/2012 liite I (21 osa) seuraavasti: 1) Muutetaan sisällysluettelo seuraavasti: a) Lisätään 21.A.139 kohdan otsikon jälkeen otsikko seuraavasti: ”21.A.139A Tietoturvan hallintajärjestelmä”. b) Lisätään 21.A.239 kohdan otsikon jälkeen otsikko seuraavasti: ”21.A.239A Tietoturvan hallintajärjestelmä”. 2) Lisätään 21.A.139 kohdan jälkeen 21.A.139A kohta seuraavasti: ”21.A.139A Tietoturvan hallintajärjestelmä Edellä 21.A.139 kohdassa vaaditun tuotannonhallintajärjestelmän lisäksi tuotanto-organisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä tietoturvan hallintajärjestelmä komission delegoidun asetuksen (EU) 2022/1645 (*1) mukaisesti. (*1) Komission delegoitu asetus (EU) 2022/1645, annettu 14 päivänä heinäkuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamista koskevista säännöistä siltä osin kuin on kyse ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevista vaatimuksista komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 soveltamisalaan kuuluville organisaatioille sekä komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 muuttamisesta (EUVL L 248, 26.9.2022, s. 18)”." 3) Lisätään 21.A.239 kohdan jälkeen 21.A.239A kohta seuraavasti: ”21.A.239A Tietoturvan hallintajärjestelmä Edellä 21.A.239 kohdassa vaaditun suunnittelunhallintajärjestelmän lisäksi suunnitteluorganisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä tietoturvan hallintajärjestelmä delegoidun asetuksen (EU) 2022/1645 mukaisesti.”

7 artikla Asetuksen (EU) N:o 139/2014 muuttaminen Muutetaan asetuksen (EU) N:o 139/2014 liite III (osa ADR.OR) seuraavasti: 1) Lisätään ADR.OR.D.005 kohdan jälkeen ADR.OR.D.005A kohta seuraavasti: ”ADR.OR.005A Tietoturvan hallintajärjestelmä Lentopaikan pitäjän on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä tietoturvan hallintajärjestelmä komission delegoidun asetuksen (EU) 2022/1645 (*2) mukaisesti. (*2) Komission delegoitu asetus (EU) 2022/1645, annettu 14 päivänä heinäkuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamista koskevista säännöistä siltä osin kuin on kyse ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevista vaatimuksista komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 soveltamisalaan kuuluville organisaatioille sekä komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 muuttamisesta (EUVL L 248, 26.9.2022, s. 18)”." 2) Korvataan ADR.OR.D.007 kohta seuraavasti: ”ADR.OR.D.007 Ilmailutietojen ja ilmailutiedotuksen hallinta a) Lentopaikan pitäjän on hallintojärjestelmänsä osana otettava käyttöön laadunhallintajärjestelmä, joka kattaa seuraavat toiminnot, ja ylläpidettävä sitä: 1) sen ilmailutietoihin liittyvä toiminta; 2) sen ilmailutiedotuksen tarjoaminen. b) Lentopaikan pitäjän on hallintojärjestelmänsä osana otettava käyttöön turvatoimien hallintajärjestelmä, jolla varmistetaan sen vastaanottamien, tuottamien tai muuten käyttämien operatiivisten tietojen turvaaminen siten, että pääsy näihin operatiivisiin tietoihin on rajoitettu koskemaan vain siihen oikeutettuja henkilöitä. c) Turvatoimien hallintajärjestelmässä on määriteltävä 1) menettelyt, jotka liittyvät tietoturvariskien arvioimiseen ja lieventämiseen, turvatoimien seurantaan ja parantamiseen, turvakatselmuksiin ja aiemmista kokemuksista saatujen tietojen jakamiseen; 2) keinot, jotka on suunniteltu turvarikkomusten havaitsemiseksi ja asianmukaisten varoitusten välittämiseksi henkilöstölle; 3) keinot turvatoimiin liittyvien rikkomusten vaikutusten hallitsemiseksi sekä korjaavien toimien ja lieventämismenetelmien määrittelemiseksi, jotta tilanteen uusiutuminen kyetään estämään. d) Lentopaikan pitäjän on huolehdittava henkilöstönsä turvaselvityksistä ilmailutietojen turvaamisen osalta. e) Tietoturvanäkökohtia on hallittava ADR.OR.D.005A kohdan mukaisesti.” 3) Lisätään ADR.OR.F.045 kohdan jälkeen ADR.OR.F.045A kohta seuraavasti: ”ADR.OR.F.045A Tietoturvan hallintajärjestelmä Asematasovalvontapalvelujen tarjoamisesta vastaavan organisaation on ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien asianmukaisen hallinnan varmistamiseksi perustettava, toteutettava ja ylläpidettävä tietoturvan hallintajärjestelmä delegoidun asetuksen (EU) 2022/1645 mukaisesti.”

8 artikla Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä. Sitä sovelletaan 16 päivästä lokakuuta 2025.

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa. Tehty Brysselissä 14 päivänä heinäkuuta 2022. Komission puolesta Puheenjohtaja Ursula VON DER LEYEN

(1) EUVL L 212, 22.8.2018, s. 1.

(2) Komission täytäntöönpanoasetus (EU) 2015/1998, annettu 5 päivänä marraskuuta 2015, yksityiskohtaisista toimenpiteistä ilmailun turvaamista koskevien yhteisten perusvaatimusten täytäntöönpanemiseksi (EUVL L 299, 14.11.2015, s. 1).

(3) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

(4) Komission asetus (EU) N:o 748/2012, annettu 3 päivänä elokuuta 2012, ilma-alusten ja niihin liittyvien tuotteiden, osien ja laitteiden lentokelpoisuus- ja ympäristösertifiointia sekä suunnittelu- ja tuotanto-organisaatioiden sertifiointia koskevista täytäntöönpanosäännöistä (EUVL L 224, 21.8.2012, s. 1).

(5) Komission asetus (EU) N:o 139/2014, annettu 12 päivänä helmikuuta 2014, lentopaikkoihin liittyvistä vaatimuksista ja hallinnollisista menettelyistä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 mukaisesti (EUVL L 44, 14.2.2014, s. 1).

(6) https://www.easa.europa.eu/document-library/opinions

(7) EUVL L 123, 12.5.2016, s. 1.

(8) Euroopan parlamentin ja neuvoston asetus (EY) N:o 300/2008, annettu 11 päivänä maaliskuuta 2008, yhteisistä siviili-ilmailun turvaamista koskevista säännöistä ja asetuksen (EY) N:o 2320/2002 kumoamisesta (EUVL L 97, 9.4.2008, s. 72).