RÈGLEMENT DÉLÉGUÉ (UE) 2022/1645 DE LA COMMISSION

du 14 juillet 2022

portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences relatives à la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne imposées aux organismes relevant des règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission et modifiant les règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1139 du Parlement européen et du Conseil du 4 juillet 2018 concernant des règles communes dans le domaine de l’aviation civile et instituant une Agence de l’Union européenne pour la sécurité aérienne, et modifiant les règlements (CE) no 2111/2005, (CE) no 1008/2008, (UE) no 996/2010, (UE) no 376/2014 et les directives 2014/30/UE et 2014/53/UE du Parlement européen et du Conseil, et abrogeant les règlements (CE) no 552/2004 et (CE) no 216/2008 du Parlement européen et du Conseil ainsi que le règlement (CEE) no 3922/91 du Conseil (1), et notamment son article 19, paragraphe 1, point g), et son article 39, paragraphe 1, point b),

considérant ce qui suit:

(1) Conformément aux exigences essentielles énoncées à l’annexe II, point 3.1 b), du règlement (UE) 2018/1139, les organismes de conception et de production sont tenus de mettre en œuvre et d’entretenir un système de gestion afin d’assurer la gestion des risques pour la sécurité.

(2) En outre, conformément aux exigences essentielles énoncées à l’annexe VII, points 2.2.1 et 5.2, du règlement (UE) 2018/1139, les exploitants d’aérodrome et les prestataires de services de gestion d’aire de trafic sont tenus de mettre en œuvre et de maintenir un système de gestion afin d’assurer la gestion des risques pour la sécurité.

(3) Les risques pour la sécurité visés aux considérants 1 et 2 peuvent provenir de sources diverses, parmi lesquelles des défauts de conception et d’entretien, des aspects liés aux performances humaines, des menaces pour l’environnement et des menaces relatives à la sécurité de l’information. Par conséquent, les systèmes de gestion mis en œuvre par les organismes visés aux considérants 1 et 2 devraient tenir compte non seulement des risques pour la sécurité découlant d’événements fortuits, mais aussi de ceux découlant de menaces relatives à la sécurité de l’information lorsque des failles existantes peuvent être exploitées par des personnes animées d’intentions malveillantes. Ces risques liés à la sécurité de l’information ne cessent de croître dans le contexte de l’aviation civile, les systèmes d’information actuels étant de plus en plus interconnectés et ciblés par des acteurs malveillants.

(4) Les risques associés à ces systèmes d’information ne se limitent pas à d’éventuelles attaques dans le cyberespace, mais comprennent également des menaces pesant sur les processus et procédures ainsi que sur les performances des êtres humains.

(5) De nombreux organismes recourent déjà à des normes internationales, telles que la norme ISO 27001, pour assurer la sécurité des données et des informations numériques. Il est possible que ces normes ne tiennent pas pleinement compte de toutes les spécificités de l’aviation civile.

(6) Il convient, dès lors, d’établir des exigences pour la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.

(7) Il est essentiel que ces exigences couvrent les différents domaines de l’aviation et leurs interfaces car l’aviation constitue un système de systèmes fortement interconnecté. Par conséquent, elles devraient s’appliquer à tous les organismes qui sont déjà tenus de disposer d’un système de gestion conforme à la législation existante de l’Union en matière de sécurité aérienne.

(8) Les exigences énoncées dans le présent règlement devraient être appliquées de manière cohérente dans tous les domaines de l’aviation, en réduisant au minimum les répercussions sur la législation de l’Union en matière de sécurité aérienne déjà applicable à ces domaines.

(9) Les exigences fixées dans le présent règlement devraient être sans préjudice des exigences en matière de sécurité de l’information et de cybersécurité énoncées au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 de la Commission (2) et à l’article 14 de la directive (UE) 2016/1148 du Parlement européen et du Conseil (3).

(10) La définition relative à la sécurité de l’information aux fins du présent acte juridique ne devrait pas être interprétée comme s’écartant de celle relative à la sécurité des réseaux et des systèmes d’information figurant dans la directive (UE) 2016/1148.

(11) Afin d’éviter la duplication des exigences légales, lorsque des organismes relevant du présent règlement sont déjà soumis à des exigences de sécurité découlant d’autres actes de l’Union visés au considérant 9, dont l’effet équivaut à celui des dispositions du présent règlement, le respect de ces exigences de sécurité devrait valoir respect des exigences fixées dans le présent règlement.

(12) Les organismes relevant du présent règlement qui sont déjà soumis aux exigences de sécurité découlant du règlement d’exécution (UE) 2015/1998 devraient également se conformer aux exigences de l’annexe I (partie IS.D.OR.230 «Système de comptes rendus externe en matière de sécurité de l’information») du présent règlement, dès lors que le règlement d’exécution (UE) 2015/1998 ne contient aucune disposition liée aux comptes rendus externes des incidents relatifs à la sécurité de l’information.

(13) Il convient de modifier les règlements (UE) no 748/2012 (4) et (UE) no 139/2014 (5) de la Commission de manière à assurer le lien entre les systèmes de gestion prescrits par les règlements énumérés ci-dessus et les exigences en matière de gestion de la sécurité de l’information prévues par le présent règlement.

(14) Afin de donner aux organismes un délai suffisant pour se conformer aux nouvelles règles et procédures instaurées par le présent règlement, il convient que celui-ci entre en application 3 ans après la date d’entrée en vigueur.

(15) Les exigences fixées par le présent règlement sont fondées sur l’avis no 03/2021 (6) émis par l’Agence conformément à l’article 75, paragraphe 2, points b) et c), et à l’article 76, paragraphe 1, du règlement (UE) 2018/1139.

(16) Conformément à l’article 128, paragraphe 4, du règlement (UE) 2018/1139, la Commission a consulté les experts désignés par chaque État membre, dans le respect des principes définis dans l’accord interinstitutionnel du 13 avril 2016«Mieux légiférer» (7),

A ADOPTÉ LE PRÉSENT RÈGLEMENT:

Article premier Objet Le présent règlement énonce les exigences auxquelles doivent satisfaire les organismes visés à l’article 2 pour déterminer et gérer les risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne et d’affecter les données et systèmes de technologies de l’information et de la communication utilisés aux fins de l’aviation civile, pour détecter les événements liés à la sécurité de l’information et pour déterminer ceux qui sont considérés comme des incidents de sécurité de l’information susceptibles d’avoir des répercussions sur la sécurité aérienne, réagir à ces incidents de sécurité de l’information et garantir le rétablissement après incident.

Article 2 Champ d’application 1. Le présent règlement s’applique aux organismes suivants: a) organismes de production et organismes de conception relevant de l’annexe I (partie 21), section A, sous-parties G et J, du règlement (UE) no 748/2012, à l’exception des organismes de conception et de production qui sont uniquement associés à la conception et/ou à la production d’aéronefs ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012; b) exploitants d’aérodrome et prestataires de services de gestion des aires de trafic relevant de l’annexe III «Partie exigences applicables aux organismes (partie ADR.OR)» du règlement (UE) no 139/2014. 2. Le présent règlement est sans préjudice des exigences en matière de sécurité de l’information et de cybersécurité énoncées au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 et à l’article 14 de la directive (UE) 2016/1148.

Article 3 Définitions Aux fins du présent règlement, on entend par: 1) «sécurité de l’information»: la préservation de la confidentialité, de l’intégrité, de l’authenticité et de la disponibilité des réseaux et des systèmes d’information; 2) «événement lié à la sécurité de l’information»: un fait détecté dans l’état d’un système, d’un service ou d’un réseau pouvant indiquer une atteinte à la politique de sécurité de l’information ou d’une défaillance des mesures de sécurité de l’information, ou une situation auparavant inconnue pouvant avoir de l’importance pour la sécurité de l’information; 3) «incident»: tout événement ayant un impact négatif sur la sécurité des réseaux et des systèmes d’information au sens de l’article 4, paragraphe 7, de la directive (UE) 2016/1148; 4) «risque lié à la sécurité de l’information»: le risque que pose, pour l’organisation des activités de l’aviation civile, les actifs, les personnes et d’autres organismes, un éventuel événement lié à la sécurité de l’information. Les risques liés à la sécurité de l’information sont associés à l’éventualité que des menaces exploitent les vulnérabilités d’un actif d’information ou d’un groupe d’actifs d’information; 5) «menace»: une violation potentielle de la sécurité de l’information qui existe lorsqu’une entité, une circonstance, une action ou un événement est susceptible de causer des dommages; 6) «vulnérabilité»: une faille ou une faiblesse que présentent un actif ou un système, des procédures, une conception, une mise en œuvre ou des mesures de sécurité de l’information qui pourrait être exploitée et entraîner une atteinte à la politique de sécurité de l’information.

Article 4 Exigences découlant d’autres dispositions législatives de l’Union 1. Lorsqu’un organisme visé à l’article 2 satisfait à des exigences de sécurité énoncées à l’article 14 de la directive (UE) 2016/1148 qui sont équivalentes aux exigences fixées dans le présent règlement, le respect desdites exigences de sécurité vaut respect des exigences fixées dans le présent règlement. 2. Lorsqu’un organisme visé à l’article 2 est un exploitant ou une entité visée dans les programmes nationaux de sûreté de l’aviation civile des États membres établis conformément à l’article 10 du règlement (CE) no 300/2008 du Parlement européen et du Conseil (8), les exigences de cybersécurité figurant au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 sont considérées comme équivalentes aux exigences fixées dans le présent règlement, sauf en ce qui concerne le point IS.D.OR.230 de l’annexe du présent règlement, qui doit être respecté. 3. La Commission, après consultation de l’AESA et du groupe de coopération visé à l’article 11 de la directive (UE) 2016/1148, peut publier des lignes directrices pour l’évaluation de l’équivalence des exigences fixées dans le présent règlement et dans la directive (UE) 2016/1148.

Article 5 Autorité compétente 1. L’autorité chargée de certifier et de contrôler le respect du présent règlement est: a) à l’égard des organismes visés à l’article 2, point a), l’autorité compétente désignée conformément à l’annexe I (partie 21) du règlement (UE) no 748/2012; b) à l’égard des organismes visés à l’article 2, point b), l’autorité compétente désignée conformément à l’annexe III (partie ADR.OR) du règlement (UE) no 139/2014. 2. Les États membres peuvent, aux fins du présent règlement, désigner une entité indépendante et autonome chargée de remplir le rôle et les responsabilités assignés aux autorités compétentes visées au paragraphe 1. Dans ce cas, des mesures de coordination sont établies entre cette entité et les autorités compétentes visées au paragraphe 1, afin d’assurer une surveillance efficace de toutes les exigences auxquelles l’organisme est tenu de satisfaire.

Article 6 Modification du règlement (UE) no 748/2012 L’annexe I (partie 21) du règlement (UE) no 748/2012 est modifiée comme suit: 1) La table des matières est modifiée comme suit: a) le titre suivant est inséré après le titre 21.A.139: «21.A.139A Système de gestion de la sécurité de l’information»; b) le titre suivant est inséré après le titre 21.A.239: «21.A.239A Système de gestion de la sécurité de l’information». 2) Le point 21.A.139A suivant est inséré après le point 21.A.139: «21.A.139A Système de gestion de la sécurité de l’information Outre le système de gestion de la production requis par le point 21.A.139, l’organisme de production établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 de la Commission (*1) afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne. (*1) Règlement délégué (UE) 2022/1645 de la Commission du 14 juillet 2022 portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences relatives à la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne imposées aux organismes relevant des règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission et modifiant les règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission (JO L 248 du 26.9.2022, p. 18).»." 3) Le point 21.A.239A suivant est inséré après le point 21.A.239: «21.A.239A Système de gestion de la sécurité de l’information Outre le système de gestion de la conception requis par le point 21.A.239, l’organisme de conception établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».

Article 7 Modification du règlement (UE) no 139/2014 L’annexe III (partie ADR.OR) du règlement (UE) no 139/2014 est modifiée comme suit: 1) Le point suivant ADR.OR.D.005A est inséré après le point ADR.OR.D.005: «ADR.OR.D.005A Système de gestion de la sécurité de l’information L’exploitant d’aérodrome établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 de la Commission (*2) afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne. (*2) Règlement délégué (UE) 2022/1645 de la Commission du 14 juillet 2022 portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences relatives à la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne imposées aux organismes relevant des règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission et modifiant les règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission (JO L 248 du 26.9.2022, p. 18).»." 2) Le point ADR.OR.D.007 est remplacé par le texte suivant: «ADR.OR.D.007 Gestion des données et des informations aéronautiques a) Dans le cadre de son système de gestion, l’exploitant d’aérodrome met en œuvre et tient à jour un système de gestion de la qualité couvrant les activités suivantes: 1) ses activités liées aux données aéronautiques; 2) ses activités de fourniture d’informations aéronautiques. b) Dans le cadre de son système de gestion, l’exploitant d’aérodrome établit un système de gestion de la sûreté afin de garantir la sécurité des données opérationnelles qu’il reçoit, produit ou utilise d’une autre manière, de sorte que l’accès à ces données opérationnelles soit réservé aux seules personnes autorisées. c) Le système de gestion de la sûreté définit les éléments suivants: 1) les procédures relatives à l’évaluation et à l’atténuation des risques dans le domaine de la sécurité des données, à la surveillance et à l’amélioration de la sûreté, aux évaluations de la sûreté et à la diffusion des enseignements; 2) les moyens destinés à déceler les manquements à la sûreté et à alerter le personnel par des signaux d’avertissement appropriés; 3) les moyens de contrôler les effets des manquements à la sûreté et d’identifier les mesures de rétablissement et les procédures d’atténuation permettant d’en éviter la réapparition. d) L’exploitant d’aérodrome s’assure de l’habilitation de sûreté de son personnel en ce qui concerne la sécurité des données aéronautiques. e) Les aspects relatifs à la sécurité de l’information sont gérés conformément au point ADR.OR.D.005A.». 3) Le point suivant ADR.OR.F.045A est inséré après le point ADR.OR.F.045: «ADR.OR.F.045A Système de gestion de la sécurité de l’information L’organisme chargé de la fourniture des services de gestion des aires de trafic établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».

Article 8 Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il entre en application le 16 octobre 2025.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre. Fait à Bruxelles, le 14 juillet 2022. Par la Commission La présidente Ursula VON DER LEYEN

(1) JO L 212 du 22.8.2018, p. 1.

(2) Règlement d’exécution (UE) 2015/1998 de la Commission du 5 novembre 2015 fixant des mesures détaillées pour la mise en œuvre des normes de base communes dans le domaine de la sûreté de l’aviation civile (JO L 299 du 14.11.2015, p. 1).

(3) Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (JO L 194 du 19.7.2016, p. 1).

(4) Règlement (UE) no 748/2012 de la Commission du 3 août 2012 établissant des règles d’application pour la certification de navigabilité et environnementale des aéronefs et produits, pièces et équipements associés, ainsi que pour la certification des organismes de conception et de production (JO L 224 du 21.8.2012, p. 1).

(5) Règlement (UE) no 139/2014 de la Commission du 12 février 2014 établissant des exigences et des procédures administratives relatives aux aérodromes conformément au règlement (CE) no 216/2008 du Parlement européen et du Conseil (JO L 44 du 14.2.2014, p. 1).

(6) https://www.easa.europa.eu/document-library/opinions

(7) JO L 123 du 12.5.2016, p. 1.

(8) Règlement (CE) no 300/2008 du Parlement européen et du Conseil du 11 mars 2008 relatif à l’instauration de règles communes dans le domaine de la sûreté de l’aviation civile et abrogeant le règlement (CE) no 2320/2002 (JO L 97 du 9.4.2008, p. 72).