KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2023/203,

annettu 27 päivänä lokakuuta 2022,

Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamissäännöistä komission asetusten (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia organisaatioita sekä komission asetusten (EU) N:o 748/2012, (EU) N:o 1321/2014, (EU) N:o 965/2012, (EU) N:o 1178/2011, (EU) 2015/340 ja (EU) N:o 139/2014 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 soveltamisalaan kuuluvia toimivaltaisia viranomaisia varten ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevien vaatimusten osalta sekä komission asetusten (EU) N:o 1178/2011, (EU) N:o 748/2012, (EU) N:o 965/2012, (EU) N:o 139/2014, (EU) N:o 1321/2014 ja (EU) 2015/340 ja komission täytäntöönpanoasetusten (EU) 2017/373 ja (EU) 2021/664 muuttamisesta

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisistä siviili-ilmailua koskevista säännöistä ja Euroopan unionin lentoturvallisuusviraston perustamisesta, Euroopan parlamentin ja neuvoston asetusten (EY) N:o 2111/2005, (EY) N:o 1008/2008, (EU) N:o 996/2010, (EU) N:o 376/2014 ja direktiivien 2014/30/EU ja 2014/53/EU muuttamisesta sekä Euroopan parlamentin ja neuvoston asetusten (EY) N:o 552/2004 ja (EY) N:o 216/2008 ja neuvoston asetuksen (ETY) N:o 3922/91 (1) kumoamisesta 4 päivänä heinäkuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 ja erityisesti sen 17 artiklan 1 kohdan b alakohdan, 27 artiklan 1 kohdan a alakohdan, 31 artiklan 1 kohdan b alakohdan, 43 artiklan 1 kohdan b alakohdan, 53 artiklan 1 kohdan a alakohdan sekä 62 artiklan 15 kohdan c alakohdan,

sekä katsoo seuraavaa:

(1) Jatkuvan lentokelpoisuuden hallintaorganisaatioiden ja huolto-organisaatioiden on asetuksen (EU) 2018/1139 liitteessä II olevan 3.1 kohdan b alakohdassa vahvistettujen keskeisten vaatimusten mukaan luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä.

(2) Asetuksen (EU) 2018/1139 liitteessä IV olevan 3.3 kohdan b alakohdassa ja 5 kohdan b alakohdassa vahvistettujen keskeisten vaatimusten mukaan myös lentokoulutusorganisaatioiden, matkustamomiehistön koulutusorganisaatioiden, lentomiehistön ilmailulääketieteen keskusten ja simulaatiokoulutuslaitteiden käyttäjien on luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä.

(3) Asetuksen (EU) 2018/1139 liitteessä V olevan 8.1 kohdan c alakohdassa vahvistettujen keskeisten vaatimusten mukaan lentotoiminnan harjoittajien on luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä.

(4) Lisäksi ilmaliikenteen hallinnan ja lennonvarmistuspalvelun tarjoajien, U-space-palveluntarjoajien ja yksinoikeudella toimivien yhteisen tietopalvelun tarjoajien sekä lennonjohtajien koulutusorganisaatioiden ja ilmailulääketieteen keskusten on asetuksen (EU) 2018/1139 liitteessä VIII olevan 5.1 kohdan c alakohdassa ja 5.4 kohdan b alakohdassa vahvistettujen keskeisten vaatimusten mukaan luotava johtamisjärjestelmä turvallisuusriskien hallitsemiseksi ja pidettävä sitä yllä.

(5) Turvallisuusriskeillä voi olla erilaisia alkulähteitä, kuten puutteet suunnittelussa tai kunnossapidossa, ihmisen suorituskykyyn liittyvät näkökohdat, ympäristöuhkat ja tietoturvauhkat. Sen vuoksi näissä Euroopan unionin lentoturvallisuusviraston, jäljempänä ’virasto’, sekä kansallisten toimivaltaisten viranomaisten ja edellä olevissa johdanto-osan kappaleissa tarkoitettujen organisaatioiden luomissa hallintojärjestelmissä olisi otettava huomioon sattumanvaraisista tapahtumista johtuvien turvallisuusriskien lisäksi myös sellaisista tietoturvauhkista johtuvat turvallisuusriskit, joissa pahantahtoisessa tarkoituksessa toimivat henkilöt saattavat hyödyntää olemassa olevia puutteita. Tällaiset tietoturvariskit lisääntyvät siviili-ilmailuympäristössä jatkuvasti, sillä nykyiset tietojärjestelmät ovat yhä useammin yhteenliitettyjä ja entistä yleisemmin pahantahtoisten toimijoiden kohteina.

(6) Tietojärjestelmiin liittyvät riskit eivät rajoitu mahdollisiin kyberavaruuteen kohdistuviin hyökkäyksiin, vaan niihin kuuluvat myös prosesseihin ja menettelyihin sekä ihmisten suorituskykyyn mahdollisesti vaikuttavat uhkat.

(7) Organisaatioista suuri osa käyttää jo digitaalisen tiedon ja datan suojaamiseen kansainvälisiä standardeja, kuten ISO 27001 -standardia. Näissä standardeissa ei välttämättä oteta täysin huomioon kaikkia siviili-ilmailun erityispiirteitä. Tästä syystä on tarpeen asettaa vaatimuksia sellaisten tietoturvariskien hallitsemiseksi, joilla saattaa olla vaikutusta ilmailun turvallisuuteen.

(8) On olennaisen tärkeää, että vaatimukset kattavat kaikki ilmailun eri osa-alueet ja niiden rajapinnat, koska ilmailu on varsin yhteenliitetty järjestelmien järjestelmä. Sen vuoksi niitä olisi sovellettava kaikkiin komission asetusten (EU) N:o 748/2012 (2), (EU) N:o 1321/2014 (3), (EU) N:o 965/2012 (4), (EU) N:o 1178/2011 (5), (EU) 2015/340 (6), (EU) N:o 139/2014 (7) ja täytäntöönpanoasetuksen (EU) 2021/664 (8) soveltamisalaan kuuluviin organisaatioihin ja toimivaltaisiin viranomaisiin, myös niihin, joilla jo vaaditaan olevan unionin ilmailun turvallisuusalan lainsäädännön mukainen hallintojärjestelmä. Jotkin organisaatiot olisi kuitenkin jätettävä tämän asetuksen soveltamisalan ulkopuolelle asianmukaisen oikeasuhteisuuden varmistamiseksi niiden ilmailujärjestelmälle aiheuttamiin pienempiin tietoturvariskeihin nähden.

(9) Tässä asetuksessa säädetyillä vaatimuksilla olisi varmistettava johdonmukainen soveltaminen kaikilla ilmailun osa-alueilla, ja vaatimusten vaikutuksen kyseisillä osa-alueilla jo sovellettavaan unionin ilmailun turvallisuusalan lainsäädäntöön olisi oltava mahdollisimman vähäinen.

(10) Tässä asetuksessa säädetyt vaatimukset eivät saisi vaikuttaa komission täytäntöönpanoasetuksen (EU) 2015/1998 (9) liitteessä olevassa 1.7 kohdassa eivätkä Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 (10) 14 artiklassa vahvistettuihin tietoturva- ja kyberturvallisuusvaatimuksiin.

(11) Euroopan parlamentin ja neuvoston asetuksen (EU) 2021/696 (11) V osaston ”Ohjelman turvallisuus” 33–43 artiklassa säädettyjen turvallisuusvaatimusten katsotaan vastaavan tässä asetuksessa säädettyjä vaatimuksia, paitsi tämän asetuksen liitteessä II olevan IS.I.OR.230 kohdan osalta, jota olisi noudatettava.

(12) Oikeusvarmuuden vuoksi tässä asetuksessa määritellyn termin ’tietoturva’ tulkinnan, joka kuvastaa termin yleistä käyttöä siviili-ilmailussa maailmanlaajuisesti, olisi katsottava olevan yhdenmukainen direktiivin (EU) 2016/1148 4 artiklan 2 kohdassa määritellyn termin ’verkko- ja tietojärjestelmien turvallisuus’ kanssa. Tätä asetusta sovellettaessa käytettävää tietoturvan määritelmää ei saisi tulkita direktiivissä (EU) 2016/1148 vahvistetusta verkko- ja tietojärjestelmien turvallisuuden määritelmästä poikkeavaksi.

(13) Jotta vältetään oikeudellisten vaatimusten päällekkäisyys silloin, kun tämän asetuksen soveltamisalaan kuuluviin organisaatioihin jo sovelletaan johdanto-osan 10 ja 11 kappaleessa tarkoitetuista unionin säädöksistä johtuvia turvavaatimuksia, jotka vaikutukseltaan vastaavat tämän asetuksen säännöksiä, kyseisten turvavaatimusten noudattamista olisi pidettävä tässä asetuksessa säädettyjen vaatimusten noudattamisena.

(14) Tämän asetuksen soveltamisalaan kuuluvien organisaatioiden, joihin jo sovelletaan täytäntöönpanoasetuksesta (EU) 2015/1998 tai asetuksesta (EU) 2021/696 taikka molemmista johtuvia turvavaatimuksia, olisi täytettävä myös tämän asetuksen liitteen II (osa IS.I.OR.230 ”Tietoturvaa koskeva ulkoinen ilmoitusjärjestelmä”) vaatimukset, koska kummassakaan asetuksessa ei ole säännöksiä tietoturvapoikkeamien ulkoisesta ilmoittamisesta.

(15) Kattavuuden vuoksi asetuksia (EU) N:o 1178/2011, (EU) N:o 748/2012, (EU) N:o 965/2012, (EU) N:o 139/2014, (EU) N:o 1321/2014, (EU) 2015/340 sekä täytäntöönpanoasetuksia (EU) 2017/373 (12) ja (EU) 2021/664 olisi muutettava, jotta tietoturvan hallintajärjestelmälle tässä asetuksessa asetetut vaatimukset voidaan ottaa käyttöön näissä asetuksissa säädettyjen hallintojärjestelmien kanssa sekä vahvistaa toimivaltaisia viranomaisia koskevat vaatimukset edellä mainittuja tietoturvan hallintavaatimuksia täytäntöönpanevien organisaatioiden valvonnan osalta.

(16) Jotta organisaatioilla olisi riittävästi aikaa varmistaa, että uusia sääntöjä ja menettelyjä noudatetaan, tätä asetusta olisi sovellettava kolmen vuoden kuluttua sen voimaantulosta, lukuun ottamatta täytäntöönpanoasetuksessa (EU) 2017/373 määriteltyä Euroopan geostationaarisen navigointilisäjärjestelmän (EGNOS) lennonvarmistuspalvelun tarjoajaa, jonka osalta sitä olisi sovellettava meneillään olevan EGNOS-järjestelmän ja -palvelujen asetuksen (EU) 2021/696 mukaisen turvallisuusjärjestelyjen hyväksynnän vuoksi 1 päivästä tammikuuta 2026.

(17) Tässä asetuksessa säädetyt vaatimukset perustuvat viraston antamaan lausuntoon nro 03/2021 (13), jonka se on antanut asetuksen (EU) 2018/1139 75 artiklan 2 kohdan b ja c alakohdan ja 76 artiklan 1 kohdan mukaisesti.

(18) Tässä asetuksessa säädetyt vaatimukset ovat asetuksen (EU) 2018/1139 127 artiklalla perustetun yhteisten turvallisuussääntöjen soveltamista siviili-ilmailun alalla käsittelevän komitean lausunnon mukaiset,

ON HYVÄKSYNYT TÄMÄN ASETUKSEN:

1 artikla Kohde Tässä asetuksessa vahvistetaan vaatimukset, jotka organisaatioiden ja toimivaltaisten viranomaisten on täytettävä a) tunnistaakseen ja hallitakseen sellaisia tietoturvariskejä, jotka saattavat vaikuttaa tieto- ja viestintäteknisiin järjestelmiin ja siviili-ilmailussa käytettävään dataan, b) havaitakseen tietoturvatapahtumat ja tunnistaakseen niistä ne, joita pidetään mahdollisesti ilmailun turvallisuuteen vaikuttavina tietoturvapoikkeamina, c) reagoidakseen näihin tietoturvapoikkeamiin ja palautuakseen niistä.

2 artikla Soveltamisala 1. Tätä asetusta sovelletaan seuraaviin organisaatioihin: a) asetuksen (EU) N:o 1321/2014 liitteen II (145 osa) osaston A soveltamisalaan kuuluvat huolto-organisaatiot, lukuun ottamatta niitä, jotka osallistuvat yksinomaan asetuksen (EU) N:o 1321/2014 liitteen Vb (ML osa) mukaiseen ilma-alusten huoltoon; b) asetuksen (EU) N:o 1321/2014 liitteen Vc (CAMO osa) osaston A soveltamisalaan kuuluvat jatkuvan lentokelpoisuuden hallintaorganisaatiot, lukuun ottamatta niitä, jotka osallistuvat yksinomaan asetuksen (EU) N:o 1321/2014 liitteen Vb (ML osa) mukaiseen ilma-alusten jatkuvan lentokelpoisuuden hallintaan; c) asetuksen (EU) N:o 965/2012 liitteen III (osa ORO) soveltamisalaan kuuluvat lentotoiminnan harjoittajat, lukuun ottamatta niitä, jotka osallistuvat yksinomaan seuraavien ilma-alusten käyttöön lentotoiminnassa: i) ELA2-ilma-alukset, sellaisena kuin ne määritellään asetuksen (EU) N:o 748/2012 1 artiklan 2 kohdan j alakohdassa; ii) yksimoottoriset potkurikäyttöiset lentokoneet, joiden suurin käytettävä matkustajapaikkaluku on enintään 5 ja joita ei luokitella vaativiksi moottorikäyttöisiksi ilma-aluksiksi, kun ne lähtevät samalta lento- tai toimintapaikalta ja laskeutuvat samalle lento- tai toimintapaikalle ja harjoittavat näkölentosääntöjen (VFR) mukaista lentotoimintaa päivällä; iii) yksimoottoriset helikopterit, joiden suurin käytettävä matkustajapaikkaluku on enintään 5 ja joita ei ole luokiteltu vaativiksi moottorikäyttöisiksi ilma-aluksiksi, kun ne lähtevät samalta lento- tai toimintapaikalta ja laskeutuvat samalle lento- tai toimintapaikalle ja harjoittavat näkölentosääntöjen (VFR) mukaista lentotoimintaa päivällä. d) asetuksen (EU) N:o 1178/2011 liitteen VII (osa ORA) soveltamisalaan kuuluvat hyväksytyt koulutusorganisaatiot, lukuun ottamatta niitä, jotka osallistuvat koulutustoimintaan yksinomaan asetuksen (EU) N:o 748/2012 1 artiklan 2 kohdan j alakohdassa määritellyillä ELA2-ilma-aluksilla tai yksinomaan teoriakoulutukseen; e) lentomiehistön ilmailulääketieteen keskukset, joihin sovelletaan asetuksen (EU) N:o 1178/2011 liitettä VII (osa ORA); f) asetuksen (EU) N:o 1178/2011 liitteen VII (osa ORA) soveltamisalaan kuuluvat lentoa simuloivien koulutuslaitteiden (FSTD) käyttäjät, lukuun ottamatta niitä, jotka osallistuvat FSTD-laitteiden käyttöön yksinomaan asetuksen (EU) N:o 748/2012 1 artiklan 2 kohdan j alakohdassa määriteltyjen ELA2-ilma-alusten osalta; g) asetuksen (EU) 2015/340 liitteen III (osa ATCO.OR) soveltamisalaan kuuluvat lennonjohtajien koulutusorganisaatiot ja lennonjohtajien ilmailulääketieteen keskukset; h) organisaatiot, joihin sovelletaan täytäntöönpanoasetuksen (EU) 2017/373 liitettä III (osa ATM/ANS.OR), lukuun ottamatta seuraavia palveluntarjoajia: i) lennonvarmistuspalvelun tarjoajat, joilla on mainitussa liitteessä olevan ATM/ANS.OR.A.010 kohdan mukainen rajoitettu hyväksyntätodistus; ii) lentotiedotuspalvelun tarjoajat, jotka antavat toiminnastaan mainitussa liitteessä olevan ATM/ANS.OR.A.015 kohdan mukaisen ilmoituksen; i) U-space-palveluntarjoajat ja yksinoikeudella toimivat yhteisen tietopalvelun tarjoajat, joihin sovelletaan täytäntöönpanoasetusta (EU) 2021/664. 2. Tätä asetusta sovelletaan tämän asetuksen 6 artiklassa ja komission delegoidun asetuksen (EU) 2022/1645 (14) 5 artiklassa tarkoitettuihin toimivaltaisiin viranomaisiin sekä Euroopan unionin lentoturvallisuusvirastoon, jäljempänä ’virasto’. 3. Tätä asetusta sovelletaan myös siihen toimivaltaiseen viranomaiseen, joka vastaa asetuksen (EU) N:o 1321/2014 liitteen III (66 osa) mukaisten ilma-aluksen huoltohenkilöstön lupakirjojen myöntämisestä, voimassaolon jatkamisesta, muuttamisesta, keskeyttämisestä tai peruuttamisesta. 4. Tämä asetus ei vaikuta täytäntöönpanoasetuksen (EU) 2015/1998 liitteessä olevassa 1.7 kohdassa eikä direktiivin (EU) 2016/1148 14 artiklassa vahvistettuihin tietoturva- ja kyberturvallisuusvaatimuksiin.

3 artikla Määritelmät Tässä asetuksessa tarkoitetaan: 1) ’tietoturvalla’ verkko- ja tietojärjestelmien luottamuksellisuuden, eheyden, aitouden ja käytettävyyden säilyttämistä; 2) ’tietoturvatapahtumalla’ järjestelmän, palvelun tai verkkotilan tunnistettua poikkeamaa, joka viittaa tietoturvapolitiikan mahdolliseen rikkomiseen tai tietoturvan valvontatoimien laiminlyöntiin taikka aiemmin tuntemattomaan tilanteeseen, jolla voi olla merkitystä tietoturvan kannalta; 3) ’poikkeamalla’ mitä tahansa tapahtumaa, joka tosiasiassa vaikuttaa haitallisesti direktiivin (EU) 2016/1148 4 artiklan 7 kohdassa määriteltyyn verkko- ja tietojärjestelmien turvallisuuteen; 4) ’tietoturvariskillä’ tietoturvatapahtuman mahdollisuudesta organisaation siviili-ilmailutoiminnalle, omaisuudelle, yksityishenkilöille tai muille organisaatioille aiheutuvaa riskiä. Tietoturvariskeihin liittyy mahdollisuus, että uhkissa hyödynnetään tieto-omaisuuden tai tieto-omaisuusryhmän haavoittuvuuksia; 5) ’uhkalla’ tietoturvaloukkauksen mahdollisuutta, joka on olemassa, kun on yhteisö, olosuhde, toimi tai tapahtuma, joka voisi aiheuttaa vahinkoa; 6) ’haavoittuvuudella’ sellaista omaisuuden tai järjestelmän, menetelmien, suunnittelun, toteutuksen tai tietoturvatoimenpiteiden vikaa tai heikkoutta, jota voitaisiin hyödyntää ja joka johtaisi tietoturvapolitiikan rikkomiseen tai loukkaamiseen.

4 artikla Organisaatioita ja toimivaltaisia viranomaisia koskevat vaatimukset 1. Edellä 2 artiklan 1 kohdassa tarkoitettujen organisaatioiden on täytettävä tämän asetuksen liitteen II (osa IS.I.OR) vaatimukset. 2. Edellä 2 artiklan 2 ja 3 kohdassa tarkoitettujen toimivaltaisten viranomaisten on täytettävä tämän asetuksen liitteen I (osa IS.AR) vaatimukset.

5 artikla Muusta unionin lainsäädännöstä johtuvat vaatimukset 1. Jos 2 artiklan 1 kohdassa tarkoitettu organisaatio täyttää direktiivin (EU) 2016/1148 14 artiklan mukaisesti säädetyt turvavaatimukset, jotka vastaavat tässä asetuksessa säädettyjä vaatimuksia, kyseisten turvavaatimusten täyttäminen katsotaan tässä asetuksessa säädettyjen vaatimusten täyttämiseksi. 2. Jos 2 artiklan 1 kohdassa tarkoitettu organisaatio on Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 300/2008 (15) 10 artiklan mukaisesti vahvistetuissa jäsenvaltioiden kansallisissa siviili-ilmailun turvaohjelmissa tarkoitettu lentotoiminnan harjoittaja tai yhteisö, täytäntöönpanoasetuksen (EU) 2015/1998 liitteessä olevaan 1.7 kohtaan sisältyvien kyberturvallisuusvaatimusten katsotaan vastaavan tässä asetuksessa säädettyjä vaatimuksia, lukuun ottamatta tämän asetuksen liitteessä II olevaa IS.I.OR.230 kohtaa, jota on noudatettava sellaisenaan. 3. Jos 2 artiklan 1 kohdassa tarkoitettu organisaatio on asetuksessa (EU) 2021/696 tarkoitetun Euroopan geostationaarisen navigointilisäjärjestelmän (EGNOS) lennonvarmistuspalvelun tarjoaja, mainitun asetuksen V osaston 33–43 artiklaan sisältyvien turvavaatimusten katsotaan vastaavan tässä asetuksessa säädettyjä vaatimuksia, lukuun ottamatta tämän asetuksen liitteessä II olevaa IS.I.OR.230 kohtaa, jota on noudatettava sellaisenaan. 4. Komissio voi virastoa ja direktiivin (EU) 2016/1148 11 artiklassa tarkoitettua yhteistyöryhmää kuultuaan antaa ohjeita tässä asetuksessa ja direktiivissä (EU) 2016/1148 säädettyjen vaatimusten vastaavuuden arvioimista varten.

6 artikla Toimivaltainen viranomainen 1. Rajoittamatta asetuksen (EU) 2021/696 36 artiklassa tarkoitettuja turvallisuusjärjestelyjen hyväksyntälautakunnalle annettuja tehtäviä, tämän asetuksen noudattamisen todentamisesta ja valvonnasta vastaava viranomainen on a) 2 artiklan 1 kohdan a alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 1321/2014 liitteen II (145 osa) mukaisesti nimetty toimivaltainen viranomainen; b) 2 artiklan 1 kohdan b alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 1321/2014 liitteen Vc (CAMO osa) mukaisesti nimetty toimivaltainen viranomainen; c) 2 artiklan 1 kohdan c alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 965/2012 liitteen III (osa ORO) mukaisesti nimetty toimivaltainen viranomainen; d) 2 artiklan 1 kohdan d–f alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) N:o 1178/2011 liitteen VII (osa ORA) mukaisesti nimetty toimivaltainen viranomainen; e) 2 artiklan 1 kohdan g alakohdassa tarkoitettujen organisaatioiden osalta asetuksen (EU) 2015/340 6 artiklan 2 kohdan mukaisesti nimetty toimivaltainen viranomainen; f) 2 artiklan 1 kohdan h alakohdassa tarkoitettujen organisaatioiden osalta täytäntöönpanoasetuksen (EU) 2017/373 4 artiklan 1 kohdan mukaisesti nimetty toimivaltainen viranomainen; g) 2 artiklan 1 kohdan i alakohdassa tarkoitettujen organisaatioiden osalta tapauksen mukaan täytäntöönpanoasetuksen (EU) 2021/664 14 artiklan 1 tai 2 kohdan mukaisesti nimetty toimivaltainen viranomainen. 2. Jäsenvaltiot voivat tämän asetuksen soveltamiseksi nimetä riippumattoman ja itsenäisen yksikön hoitamaan 1 kohdassa tarkoitetut toimivaltaisten viranomaisten tehtävät ja velvollisuudet. Tällöin on otettava käyttöön koordinointitoimenpiteitä kyseisen yksikön ja 1 kohdassa tarkoitettujen toimivaltaisten viranomaisten välillä sen varmistamiseksi, että kaikkia vaatimuksia, jotka organisaation on täytettävä, valvotaan tehokkaasti. 3. Virasto tekee yhteistyötä Euroopan unionin avaruusohjelmaviraston (EUSPA) ja asetuksen (EU) 2021/696 36 artiklassa tarkoitetun turvallisuusjärjestelyjen hyväksyntäviranomaisen kanssa noudattaen kaikilta osin salassapitovelvollisuutta, henkilötietojen suojaa ja turvallisuusluokiteltujen tietojen suojaa koskevia sääntöjä varmistaakseen EGNOS-lennonvarmistuspalvelun tarjoajaan sovellettavien vaatimusten tehokkaan valvonnan.

7 artikla Merkityksellisten tietojen toimittaminen verkko- ja tietoturvasta vastaavalle toimivaltaiselle viranomaiselle Niiden viranomaisten, jotka tämän asetuksen mukaan ovat toimivaltaisia, on ilman aiheetonta viivytystä annettava direktiivin (EU) 2016/1148 8 artiklan mukaisesti nimetylle keskitetylle yhteyspisteelle kaikki merkitykselliset tiedot, jotka sisältyvät direktiivin (EU) 2016/1148 5 artiklan mukaisesti määritettyjen keskeisten palvelujen tarjoajien tämän asetuksen liitteessä II olevan IS.I.OR.230 kohdan ja delegoidun asetuksen 2022/1645 liitteessä I olevan IS.D.OR.230 kohdan mukaisesti toimittamiin ilmoituksiin.

8 artikla Asetuksen (EU) N:o 1178/2011 muuttaminen Muutetaan asetuksen (EU) N:o 1178/2011 liitteet VI (osa ARA) ja VII (osa ORA) tämän asetuksen liitteen III mukaisesti.

9 artikla Asetuksen (EU) N:o 748/2012 muuttaminen Muutetaan asetuksen (EU) N:o 748/2012 liite I (21 osa) tämän asetuksen liitteen IV mukaisesti.

10 artikla Asetuksen (EU) N:o 965/2012 muuttaminen Muutetaan asetuksen (EU) N:o 965/2012 liitteet II (osa ARO) ja III (osa ORO) tämän asetuksen liitteen V mukaisesti.

11 artikla Asetuksen (EU) N:o 139/2014 muuttaminen Muutetaan asetuksen (EU) N:o 139/2014 liite II (osa ADR.AR) tämän asetuksen liitteen VI mukaisesti.

12 artikla Asetuksen (EU) N:o 1321/2014 muuttaminen Muutetaan asetuksen (EU) N:o 1321/2014 liitteet II (145 osa), III (66 osa) ja Vc (CAMO osa) tämän asetuksen liitteen VII mukaisesti.

13 artikla Asetuksen (EU) 2015/340 muuttaminen Muutetaan asetuksen (EU) 2015/340 liitteet II (osa ATCO.AR) ja III (osa ATCO.OR) tämän asetuksen liitteen VIII mukaisesti.

14 artikla Täytäntöönpanoasetuksen (EU) 2017/373 muuttaminen Muutetaan täytäntöönpanoasetuksen (EU) 2017/373 liitteet II (osa ATM/ANS.AR) ja III (osa ATM/ANS.OR) tämän asetuksen liitteen IX mukaisesti.

15 artikla Täytäntöönpanoasetuksen (EU) 2021/664 muuttaminen Muutetaan täytäntöönpanoasetus (EU) 2021/664 seuraavasti: 1) Korvataan 15 artiklan 1 kohdan f alakohta seuraavasti: ”f) ottavansa käyttöön täytäntöönpanoasetuksen (EU) 2017/373 liitteessä III olevassa osastossa D olevan ATM/ANS.OR.D.010 kohdan mukaisen turvatoimien hallintajärjestelmän sekä täytäntöönpanoasetuksen (EU) 2023/203 liitteen II (osa IS.I.OR) mukaisen tietoturvan hallintajärjestelmän ja pitävänsä niitä yllä.” 2) Lisätään 18 artiklaan l alakohta seuraavasti: ”l) perustettava ja toteutettava täytäntöönpanoasetuksen (EU) 2023/203 liitteen I (osa IS.AR) mukainen tietoturvan hallintajärjestelmä sekä pidettävä sitä yllä.”

16 artikla Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä. Sitä sovelletaan 22 päivästä helmikuuta 2026. Täytäntöönpanoasetuksen (EU) 2017/373 soveltamisalaan kuuluvan EGNOS-lennonvarmistuspalvelun tarjoajan osalta sitä sovelletaan kuitenkin 1 päivästä tammikuuta 2026.

Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa. Tehty Brysselissä 27 päivänä lokakuuta 2022. Komission puolesta Puheenjohtaja Ursula VON DER LEYEN

(1) EUVL L 212, 22.8.2018, s. 1.

(2) Komission asetus (EU) N:o 748/2012, annettu 3 päivänä elokuuta 2012, ilma-alusten ja niihin liittyvien tuotteiden, osien ja laitteiden lentokelpoisuus- ja ympäristösertifiointia sekä suunnittelu- ja tuotanto-organisaatioiden sertifiointia koskevista täytäntöönpanosäännöistä (EUVL L 224, 21.8.2012, s. 1).

(3) Komission asetus (EU) N:o 1321/2014, annettu 26 päivänä marraskuuta 2014, ilma-alusten sekä ilmailutuotteiden, osien ja laitteiden jatkuvan lentokelpoisuuden ylläpidosta ja näihin tehtäviin osallistuvien organisaatioiden ja henkilöstön hyväksymisestä (EUVL L 362, 17.12.2014, s. 1).

(4) Komission asetus (EU) N:o 965/2012, annettu 5 päivänä lokakuuta 2012, lentotoimintaan liittyvistä teknisistä vaatimuksista ja hallinnollisista menettelyistä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 mukaisesti (EUVL L 296, 25.10.2012, s. 1).

(5) Komission asetus (EU) N:o 1178/2011, annettu 3 päivänä marraskuuta 2011, siviili-ilmailun lentomiehistöä koskevien teknisten vaatimusten ja hallinnollisten menettelyjen säätämisestä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 nojalla (EUVL L 311, 25.11.2011, s. 1).

(6) Komission asetus (EU) 2015/340, annettu 20 päivänä helmikuuta 2015, lennonjohtajien lupakirjoja ja todistuksia koskevista teknisistä vaatimuksista ja hallinnollisista menettelyistä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 mukaisesti, komission täytäntöönpanoasetuksen (EU) N:o 923/2012 muuttamisesta ja komission asetuksen (EU) N:o 805/2011 kumoamisesta (EUVL L 63, 6.3.2015, s. 1).

(7) Komission asetus (EU) N:o 139/2014, annettu 12 päivänä helmikuuta 2014, lentopaikkoihin liittyvistä vaatimuksista ja hallinnollisista menettelyistä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 216/2008 mukaisesti (EUVL L 44, 14.2.2014, s. 1).

(8) Komission täytäntöönpanoasetus (EU) 2021/664, annettu 22 päivänä huhtikuuta 2021, U-spacen sääntelykehyksestä (EUVL L 139, 23.4.2021, s. 161).

(9) Komission täytäntöönpanoasetus (EU) 2015/1998, annettu 5 päivänä marraskuuta 2015, yksityiskohtaisista toimenpiteistä ilmailun turvaamista koskevien yhteisten perusvaatimusten täytäntöönpanemiseksi (EUVL L 299, 14.11.2015, s. 1).

(10) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

(11) Euroopan parlamentin ja neuvoston asetus (EU) 2021/696, annettu 28 päivänä huhtikuuta 2021, unionin avaruusohjelman ja Euroopan unionin avaruusohjelmaviraston perustamisesta sekä asetusten (EU) N:o 912/2010, (EU) N:o 1285/2013 ja (EU) N:o 377/2014 ja päätöksen N:o 541/2014/EU kumoamisesta (EUVL L 170, 12.5.2021, s. 69).

(12) Komission täytäntöönpanoasetus (EU) 2017/373, annettu 1 päivänä maaliskuuta 2017, ilmaliikenteen hallinta- ja lennonvarmistuspalvelujen sekä muiden ilmaliikenteen hallintaverkon toimintojen palveluntarjoajia koskevista yhteisistä vaatimuksista ja näiden palveluntarjoajien valvonnasta, asetuksen (EY) N:o 482/2008 sekä täytäntöönpanoasetusten (EU) N:o 1034/2011, (EU) N:o 1035/2011 ja (EU) 2016/1377 kumoamisesta ja asetuksen (EU) N:o 677/2011 (EUVL L 62, 8.3.2017, s. 1)

(13) https://www.easa.europa.eu/document-library/opinions

(14) Komission delegoitu asetus (EU) 2022/1645, annettu 14 päivänä heinäkuuta 2022, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1139 soveltamista koskevista säännöistä siltä osin kuin on kyse ilmailun turvallisuuteen mahdollisesti vaikuttavien tietoturvariskien hallintaa koskevista vaatimuksista komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 soveltamisalaan kuuluville organisaatioille sekä komission asetusten (EU) N:o 748/2012 ja (EU) N:o 139/2014 muuttamisesta (EUVL L 248, 26.9.2022, s. 18).

(15) Euroopan parlamentin ja neuvoston asetus (EY) N:o 300/2008, annettu 11 päivänä maaliskuuta 2008, yhteisistä siviili-ilmailun turvaamista koskevista säännöistä ja asetuksen (EY) N:o 2320/2002 kumoamisesta (EUVL L 97, 9.4.2008, s. 72).