RÈGLEMENT D’EXÉCUTION (UE) 2023/203 DE LA COMMISSION

du 27 octobre 2022

portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences en matière de gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne pour les organismes relevant des règlements (UE) no 1321/2014, (UE) no 965/2012, (UE) no 1178/2011 et (UE) 2015/340 de la Commission, des règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission, et pour les autorités compétentes relevant des règlements (UE) no 748/2012, (UE) no 1321/2014, (UE) no 965/2012, (UE) no 1178/2011, (UE) 2015/340 et (UE) no 139/2014 de la Commission, des règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission, et modifiant les règlements (UE) no 1178/2011, (UE) no 748/2012, (UE) no 965/2012, (UE) no 139/2014, (UE) no 1321/2014 et (UE) 2015/340 de la Commission, et les règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2018/1139 du Parlement européen et du Conseil du 4 juillet 2018 concernant des règles communes dans le domaine de l’aviation civile et instituant une Agence de l’Union européenne pour la sécurité aérienne, et modifiant les règlements (CE) no 2111/2005, (CE) no 1008/2008, (UE) no 996/2010, (UE) no 376/2014 et les directives 2014/30/UE et 2014/53/UE du Parlement européen et du Conseil, et abrogeant les règlements (CE) no 552/2004 et (CE) no 216/2008 du Parlement européen et du Conseil ainsi que le règlement (CEE) no 3922/91 du Conseil (1), et notamment son article 17, paragraphe 1, point b), son article 27, paragraphe 1, point a), son article 31, paragraphe 1, point b), son article 43, paragraphe 1, point b), son article 53, paragraphe 1, point a), et son article 62, paragraphe 15, point c),

considérant ce qui suit:

(1) Conformément aux exigences essentielles énoncées à l’annexe II, point 3.1 b), du règlement (UE) 2018/1139, les organismes responsables de la gestion du maintien de la navigabilité et les organismes responsables de la maintenance sont tenus de mettre en œuvre et d’entretenir un système de gestion afin d’assurer la gestion des risques pour la sécurité.

(2) En outre, conformément aux exigences essentielles énoncées à l’annexe IV, points 3.3.b) et 5 b), du règlement (UE) 2018/1139, les organismes de formation des pilotes, les organismes de formation des membres d’équipage de cabine, les centres aéromédicaux pour les membres d’équipage et les exploitants de simulateurs d’entraînement au vol sont tenus de mettre en œuvre et d’entretenir un système de gestion afin d’assurer la gestion des risques pour la sécurité.

(3) En outre, conformément aux exigences essentielles énoncées à l’annexe V, point 8.1 c), du règlement (UE) 2018/1139, les transporteurs aériens sont tenus de mettre en œuvre et d’entretenir un système de gestion afin d’assurer la gestion des risques pour la sécurité.

(4) Qui plus est, conformément aux exigences essentielles énoncées à l’annexe VIII, points 5.1 c) et 5.4 b), du règlement (UE) 2018/1139, les prestataires de services de gestion du trafic aérien et de services de navigation aérienne, les prestataires de services U-space et les prestataires uniques de services d’informations communes, ainsi que les organismes de formation et les centres aéromédicaux pour les contrôleurs de la circulation aérienne doivent mettre en œuvre et entretenir un système de gestion afin d’assurer la gestion des risques pour la sécurité.

(5) Ces risques pour la sécurité peuvent provenir de sources diverses, telles que des défauts de conception et d’entretien, des aspects liés aux performances humaines, des menaces environnementales et des menaces relatives à la sécurité de l’information. Par conséquent, les systèmes de gestion mis en œuvre par l’Agence de l’Union européenne pour la sécurité aérienne (ci-après l’«Agence»), les autorités nationales compétentes et les organismes visés aux considérants ci-dessus devraient tenir compte non seulement des risques pour la sécurité découlant d’événements fortuits, mais aussi de ceux découlant de menaces relatives à la sécurité de l’information lorsque des failles existantes peuvent être exploitées par des personnes animées d’intentions malveillantes. Ces risques liés à la sécurité de l’information ne cessent de croître dans le contexte de l’aviation civile, les systèmes d’information actuels étant de plus en plus interconnectés et ciblés par des acteurs malveillants.

(6) Les risques associés à ces systèmes d’information ne se limitent pas à d’éventuelles attaques dans le cyberespace, mais comprennent également des menaces pesant sur les processus et procédures ainsi que sur les performances des êtres humains.

(7) De nombreux organismes recourent déjà à des normes internationales, telles que la norme ISO 27001, pour assurer la sécurité des données et des informations numériques. Il est possible que ces normes ne tiennent pas pleinement compte de toutes les spécificités de l’aviation civile. Il convient, dès lors, d’établir des exigences pour la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.

(8) Il est essentiel que ces exigences couvrent tous les domaines de l’aviation et leurs interfaces car l’aviation constitue un système de systèmes fortement interconnecté. Par conséquent, elles devraient s’appliquer à tous les organismes et autorités compétentes relevant des règlements (UE) no 748/2012 (2), (UE) no 1321/2014 (3), (UE) no 965/2012 (4), (UE) no 1178/2011 (5), (UE) 2015/340 (6) et (UE) no 139/2014 (7) de la Commission et du règlement d’exécution (UE) 2021/664 de la Commission (8), ainsi qu’à ceux qui sont déjà tenus de disposer d’un système de gestion conformément à la législation de l’Union en vigueur en matière de sécurité aérienne. Toutefois, certains organismes devraient être exclus du champ d’application du présent règlement afin de garantir une proportionnalité appropriée, les risques liés à la sécurité de l’information qu’ils représentent pour le système aéronautique étant moins élevés.

(9) Les exigences énoncées dans le présent règlement devraient garantir une application cohérente dans tous les domaines de l’aviation, en réduisant au minimum les répercussions sur la législation de l’Union en matière de sécurité aérienne déjà applicable à ces domaines.

(10) Les exigences fixées dans le présent règlement devraient être sans préjudice des exigences en matière de sécurité de l’information et de cybersécurité énoncées au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 de la Commission (9) et à l’article 14 de la directive (UE) 2016/1148 du Parlement européen et du Conseil (10).

(11) Les exigences de sécurité énoncées aux articles 33 à 43 du titre V «Sécurité du programme» du règlement (UE) 2021/696 du Parlement européen et du Conseil (11) sont considérées comme équivalentes aux exigences énoncées dans le présent règlement, sauf en ce qui concerne le point IS.I.OR.230 de l’annexe II du présent règlement, qui devrait être respecté.

(12) Afin de garantir la sécurité juridique, l’interprétation du terme «sécurité de l’information» tel que défini dans le présent règlement, qui reflète son utilisation commune dans l’aviation civile à l’échelle mondiale, devrait être considérée comme cohérente avec celle de l’expression «sécurité des réseaux et des systèmes d’information» telle que définie à l’article 4, point 2), de la directive (UE) 2016/1148. La définition de la sécurité de l’information aux fins du présent règlement ne devrait pas être interprétée comme s’écartant de celle relative à la sécurité des réseaux et des systèmes d’information figurant dans la directive (UE) 2016/1148.

(13) Afin d’éviter la duplication des exigences légales, lorsque des organismes relevant du présent règlement sont déjà soumis à des exigences de sécurité découlant d’actes de l’Union visés aux considérants 10 et 11, dont l’effet équivaut à celui des dispositions du présent règlement, le respect de ces exigences de sécurité devrait valoir respect des exigences fixées dans le présent règlement.

(14) Les organismes relevant du présent règlement qui sont déjà soumis aux exigences de sécurité découlant du règlement d’exécution (UE) 2015/1998 ou du règlement (UE) 2021/696, ou des deux, devraient également se conformer aux exigences de l’annexe II (partie IS.I.OR.230 «Système de comptes rendus externes en matière de sécurité de l’information») du présent règlement, dès lors qu’aucun des deux premiers règlements ne contient de disposition liée aux comptes rendus externes des incidents relatifs à la sécurité de l’information.

(15) Par souci d’exhaustivité, il convient de modifier les règlements (UE) no 1178/2011, (UE) no 748/2012, (UE) no 965/2012, (UE) no 139/2014, (UE) no 1321/2014 et (UE) 2015/340 et les règlements d’exécution (UE) 2017/373 (12) et (UE) 2021/664 afin d’introduire les exigences relatives aux systèmes de gestion de la sécurité de l’information prévues dans le présent règlement, ainsi que celles relatives aux systèmes de gestion qui y sont énoncées, et de définir les exigences applicables aux autorités compétentes en ce qui concerne la surveillance des organismes mettant en œuvre les exigences susmentionnées en matière de gestion de la sécurité de l’information.

(16) Afin de donner aux organismes suffisamment de temps pour assurer le respect des nouvelles règles et procédures, le présent règlement devrait s’appliquer 3 ans après son entrée en vigueur, sauf pour le prestataire de services de navigation aérienne du système européen de navigation par recouvrement géostationnaire (EGNOS) défini dans le règlement d’exécution (UE) 2017/373, pour lequel, en raison de l’homologation de sécurité en cours du système et des services EGNOS conformément au règlement (UE) 2021/696, il devrait devenir applicable à partir du 1er janvier 2026.

(17) Les exigences définies dans le présent règlement sont fondées sur l’avis no 03/2021 (13) émis par l’Agence conformément à l’article 75, paragraphe 2, points b) et c), et à l’article 76, paragraphe 1, du règlement (UE) 2018/1139.

(18) Les exigences définies dans le présent règlement sont conformes à l’avis du comité pour l’application des règles communes de sécurité dans le domaine de l’aviation civile institué par l’article 127 du règlement (UE) 2018/1139,

A ADOPTÉ LE PRÉSENT RÈGLEMENT:

Article premier Objet Le présent règlement définit les exigences auxquelles doivent satisfaire les organismes et les autorités compétentes pour: a) déterminer et gérer les risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne et d’affecter les systèmes et les données de technologies de l’information et de la communication utilisés aux fins de l’aviation civile; b) détecter les événements liés à la sécurité de l’information et déterminer ceux qui sont considérés comme des incidents de sécurité de l’information susceptibles d’avoir des répercussions sur la sécurité aérienne; c) réagir à ces incidents de sécurité de l’information et garantir le rétablissement après incident.

Article 2 Champ d’application 1. Le présent règlement s’applique aux organismes suivants: a) les organismes de maintenance relevant la section A de l’annexe II (partie 145) du règlement (UE) no 1321/2014, à l’exception de ceux qui participent uniquement à la maintenance des aéronefs conformément à l’annexe V ter (partie ML) du règlement (UE) no 1321/2014; b) les organismes responsables de la gestion du maintien de la navigabilité (CAMO) relevant de la section A de l’annexe V quater (partie CAMO) du règlement (UE) no 1321/2014, à l’exception de ceux qui participent uniquement à la gestion du maintien de la navigabilité des aéronefs conformément à l’annexe V ter (partie ML) du règlement (UE) no 1321/2014; c) les transporteurs aériens relevant de l’annexe III (partie ORO) du règlement (UE) no 965/2012, à l’exception de ceux qui participent exclusivement à l’exploitation de l’un des éléments suivants: i) un aéronef ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012; ii) des avions monomoteurs à hélice dont la configuration maximale opérationnelle en sièges passagers est inférieure ou égale à 5 et qui ne sont pas classés comme aéronefs motorisés complexes, lorsqu’ils décollent et atterrissent sur le même aérodrome ou site d’exploitation et qu’ils sont exploités selon les règles de vol à vue (VFR) de jour; iii) des hélicoptères monomoteurs dont la configuration maximale opérationnelle en sièges passagers est inférieure ou égale à 5 et qui ne sont pas classés comme aéronefs motorisés complexes, lorsqu’ils décollent et atterrissent sur le même aérodrome ou site d’exploitation et qu’ils sont exploités en VFR de jour: d) les organismes de formation agréés (ATO) relevant de l’annexe VII (partie ORA) du règlement (UE) no 1178/2011, à l’exception de ceux qui participent uniquement aux activités de formation pour les aéronefs ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012, ou qui participent uniquement à la formation théorique; e) les centres aéromédicaux du personnel navigant relevant de l’annexe VII (partie ORA) du règlement (UE) no 1178/2011; f) les exploitants de simulateurs d’entraînement au vol (FSTD) relevant de l’annexe VII (partie ORA) du règlement (UE) no 1178/2011, à l’exception de ceux qui participent uniquement à l’exploitation de FSTD pour les aéronefs ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012; g) les organismes de formation des contrôleurs de la circulation aérienne (ATCO) et les centres aéromédicaux ATCO relevant de l’annexe III (partie ATCO.OR) du règlement (UE) 2015/340; h) les organismes relevant de l’annexe III (partie ATM/ANS.OR) du règlement d’exécution (UE) 2017/373, à l’exception des prestataires de services suivants: i) les prestataires de services de navigation aérienne titulaires d’un certificat limité conformément au point ATM/ANS.OR.A.010 de ladite annexe; ii) les prestataires de services d’information de vol déclarant leurs activités conformément au point ATM/ANS.OR.A.015 de ladite annexe; i) les prestataires de services U-space et les prestataires uniques de services d’informations communes soumis au règlement d’exécution (UE) 2021/664. 2. Le présent règlement s’applique aux autorités compétentes, y compris l’Agence de l’Union européenne pour la sécurité aérienne (ci-après l’«Agence»), visées à l’article 6 du présent règlement et à l’article 5 du règlement délégué (UE) 2022/1645 de la Commission (14). 3. Le présent règlement s’applique également à l’autorité compétente responsable de la délivrance, de la prolongation, de la modification, de la suspension ou du retrait des licences de maintenance d’aéronefs conformément à l’annexe III (partie 66) du règlement (UE) no 1321/2014. 4. Le présent règlement est sans préjudice des exigences en matière de sécurité de l’information et de cybersécurité énoncées au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 et à l’article 14 de la directive (UE) 2016/1148.

Article 3 Définitions Aux fins du présent règlement, on entend par: 1) «sécurité de l’information»: la préservation de la confidentialité, de l’intégrité, de l’authenticité et de la disponibilité des réseaux et des systèmes d’information; 2) «événement lié à la sécurité de l’information»: un fait détecté dans l’état d’un système, d’un service ou d’un réseau pouvant indiquer une atteinte à la politique de sécurité de l’information ou une défaillance des mesures de sécurité de l’information, ou une situation auparavant inconnue pouvant avoir de l’importance pour la sécurité de l’information; 3) «incident»: tout événement ayant un impact négatif réel sur la sécurité des réseaux et des systèmes d’information au sens de l’article 4, paragraphe 7, de la directive (UE) 2016/1148; 4) «risque lié à la sécurité de l’information»: le risque que pose, pour l’organisation des activités de l’aviation civile, les actifs, les personnes et d’autres organismes, un éventuel événement lié à la sécurité de l’information. Les risques liés à la sécurité de l’information sont associés à l’éventualité que des menaces exploitent les vulnérabilités d’un actif d’information ou d’un groupe d’actifs d’information; 5) «menace»: une violation potentielle de la sécurité de l’information qui existe lorsqu’une entité, une circonstance, une action ou un événement est susceptible de causer des dommages; 6) «vulnérabilité»: une faille ou une faiblesse que présentent un actif ou un système, des procédures, une conception, une mise en œuvre ou des mesures de sécurité de l’information qui pourrait être exploitée et entraîner une atteinte à la politique de sécurité de l’information.

Article 4 Exigences applicables aux organismes et aux autorités compétentes 1. Les organismes visés à l’article 2, paragraphe 1, se conforment aux exigences de l’annexe II (partie IS.I.OR) du présent règlement. 2. Les autorités compétentes visées à l’article 2, paragraphes 2 et 3, se conforment aux exigences de l’annexe I (partie IS.AR) du présent règlement.

Article 5 Exigences découlant d’autres dispositions législatives de l’Union 1. Lorsqu’un organisme visé à l’article 2, paragraphe 1, satisfait à des exigences de sécurité fixées conformément à l’article 14 de la directive (UE) 2016/1148 qui sont équivalentes aux exigences fixées dans le présent règlement, le respect desdites exigences de sécurité vaut respect des exigences fixées dans le présent règlement. 2. Lorsqu’un organisme visé à l’article 2, paragraphe 1, est un exploitant ou une entité visée dans les programmes nationaux de sûreté de l’aviation civile des États membres établis conformément à l’article 10 du règlement (CE) no 300/2008 du Parlement européen et du Conseil (15). Les exigences de cybersécurité figurant au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 sont considérées comme équivalentes aux exigences fixées dans le présent règlement, sauf en ce qui concerne le point IS.I.OR.230 de l’annexe II du présent règlement, qui est respecté en tant que tel. 3. Lorsque l’organisme visé à l’article 2, paragraphe 1, est le prestataire de services de navigation aérienne du système européen de navigation par recouvrement géostationnaire (EGNOS) visé dans le règlement (UE) 2021/696, les exigences de sécurité énoncées aux articles 33 à 43 du titre V dudit règlement sont considérées comme équivalentes aux exigences énoncées dans le présent règlement, sauf en ce qui concerne le point IS.I.OR.230 de l’annexe II du présent règlement, qui est respecté en tant que tel. 4. La Commission, après consultation de l’Agence et du groupe de coopération visé à l’article 11 de la directive (UE) 2016/1148, peut publier des lignes directrices pour l’évaluation de l’équivalence des exigences fixées dans le présent règlement et dans la directive (UE) 2016/1148.

Article 6 Autorité compétente 1. Sans préjudice des tâches confiées au conseil d’homologation de sécurité visé à l’article 36 du règlement (UE) 2021/696, l’autorité chargée de certifier et de contrôler le respect du présent règlement est: a) à l’égard des organismes visés à l’article 2, paragraphe 1, point a), l’autorité compétente désignée conformément à l’annexe II (partie 145) du règlement (UE) no 1321/2014; b) à l’égard des organismes visés à l’article 2, paragraphe 1, point b), l’autorité compétente désignée conformément à l’annexe V quater (partie CAMO) du règlement (UE) no 1321/2014; c) à l’égard des organismes visés à l’article 2, paragraphe 1, point c), l’autorité compétente désignée conformément à l’annexe III (partie ORO) du règlement (UE) no 965/2012; d) à l’égard des organismes visés à l’article 2, paragraphe 1, points d) à f), l’autorité compétente désignée conformément à l’annexe VII (partie ORA) du règlement (UE) no 1178/2011; e) à l’égard des organismes visés à l’article 2, paragraphe 1, point g), l’autorité compétente désignée conformément à l’article 6, paragraphe 2, du règlement (UE) 2015/340; f) à l’égard des organismes visés à l’article 2, paragraphe 1, point h), l’autorité compétente désignée conformément à l’article 4, paragraphe 1, du règlement d’exécution (UE) 2017/373; g) à l’égard des organismes visés à l’article 2, paragraphe 1, point i), l’autorité compétente désignée conformément à l’article 14, paragraphe 1 ou 2, selon le cas, du règlement d’exécution (UE) 2021/664. 2. Les États membres peuvent, aux fins du présent règlement, désigner une entité indépendante et autonome chargée de remplir le rôle et les responsabilités assignés aux autorités compétentes visées au paragraphe 1. Dans ce cas, des mesures de coordination sont établies entre cette entité et les autorités compétentes visées au paragraphe 1, afin d’assurer une surveillance efficace de toutes les exigences auxquelles l’organisme est tenu de satisfaire. 3. L’Agence coopère dans le strict respect des règles applicables en matière de confidentialité, de protection des données à caractère personnel et de protection des informations classifiées avec l’Agence de l’Union européenne pour le programme spatial (EUSPA) et le conseil d’homologation de sécurité visé à l’article 36 du règlement (UE) 2021/696 afin d’assurer une surveillance efficace des exigences applicables au prestataire de services de navigation aérienne EGNOS.

Article 7 Communication d’informations pertinentes aux autorités compétentes en matière de sécurité des réseaux et des systèmes d’information (SRI) Les autorités compétentes au titre du présent règlement communiquent sans retard au point de contact unique désigné conformément à l’article 8 de la directive (UE) 2016/1148 toute information pertinente contenue dans les notifications soumises conformément au point IS.I.OR.230 de l’annexe II du présent règlement et au point IS.D.OR.230 de l’annexe I du règlement délégué (UE) 2022/1645 par les opérateurs de services essentiels identifiés conformément à l’article 5 de la directive (UE) 2016/1148.

Article 8 Modification du règlement (UE) no 1178/2011 Les annexes VI (partie ARA) et VII (partie ORA) du règlement (UE) no 1178/2011 sont modifiées conformément à l’annexe III du présent règlement.

Article 9 Modification du règlement (UE) no 748/2012 L’annexe I (partie 21) du règlement (UE) no 748/2012 est modifiée conformément à l’annexe IV du présent règlement.

Article 10 Modification du règlement (UE) no 965/2012 Les annexes II (partie ARO) et III (partie ORO) du règlement (UE) no 965/2012 sont modifiées conformément à l’annexe V du présent règlement.

Article 11 Modification du règlement (UE) no 139/2014 L’annexe II (partie ADR.AR) du règlement (UE) no 139/2014 est modifiée conformément à l’annexe VI du présent règlement.

Article 12 Modification du règlement (UE) no 1321/2014 Les annexes II (partie 145), III (partie 66) et V quater (partie CAMO) du règlement (UE) no 1321/2014 sont modifiées conformément à l’annexe VII du présent règlement.

Article 13 Modification du règlement (UE) 2015/340 Les annexes II (partie ATCO.AR) et III (partie ATCO.OR) du règlement (UE) 2015/340 sont modifiées conformément à l’annexe VIII du présent règlement.

Article 14 Modification du règlement d’exécution (UE) 2017/373 Les annexes II (partie ATM/ANS.AR) et III (partie ATM/ANS.OR) du règlement d’exécution (UE) 2017/373 sont modifiées conformément à l’annexe IX du présent règlement.

Article 15 Modification du règlement d’exécution (UE) 2021/664 Le règlement d’exécution (UE) 2021/664 est modifié comme suit: 1) À l’article 15, paragraphe 1, le point f) est remplacé par le texte suivant: «f) qu’ils mettent en œuvre et entretiennent un système de gestion de la sûreté conformément à l’annexe III, sous-partie D, point ATM/ANS.OR.D.010, du règlement d’exécution (UE) 2017/373 et un système de gestion de la sécurité de l’information conformément à l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203;». 2) À l’article 18, le point l) suivant est ajouté: «l) établissent, mettent en œuvre et entretiennent un système de gestion de la sécurité de l’information conformément à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203.».

Article 16 Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il est applicable à compter du 22 février 2026. Toutefois, dans le cas du prestataire de services de navigation aérienne EGNOS relevant du règlement d’exécution (UE) 2017/373, il s’applique à compter du 1er janvier 2026.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre. Fait à Bruxelles, le 27 octobre 2022. Par la Commission La présidente Ursula VON DER LEYEN

(1) JO L 212 du 22.8.2018, p. 1.

(2) Règlement (UE) no 748/2012 de la Commission du 3 août 2012 établissant des règles d’application pour la certification de navigabilité et environnementale des aéronefs et produits, pièces et équipements associés, ainsi que pour la certification des organismes de conception et de production (JO L 224 du 21.8.2012, p. 1).

(3) Règlement (UE) no 1321/2014 de la Commission du 26 novembre 2014 relatif au maintien de la navigabilité des aéronefs et des produits, pièces et équipements aéronautiques, et relatif à l’agrément des organismes et des personnels participant à ces tâches (JO L 362 du 17.12.2014, p. 1).

(4) Règlement (UE) no 965/2012 de la Commission du 5 octobre 2012 déterminant les exigences techniques et les procédures administratives applicables aux opérations aériennes conformément au règlement (CE) no 216/2008 du Parlement européen et du Conseil (JO L 296 du 25.10.2012, p. 1).

(5) Règlement (UE) no 1178/2011 de la Commission du 3 novembre 2011 déterminant les exigences techniques et les procédures administratives applicables au personnel navigant de l’aviation civile conformément au règlement (CE) no 216/2008 du Parlement européen et du Conseil (JO L 311 du 25.11.2011, p. 1).

(6) Règlement (UE) 2015/340 de la Commission du 20 février 2015 déterminant les exigences techniques et les procédures administratives applicables aux licences et certificats de contrôleur de la circulation aérienne conformément au règlement (CE) no 216/2008 du Parlement européen et du Conseil, modifiant le règlement d’exécution (UE) no 923/2012 de la Commission et abrogeant le règlement (UE) no 805/2011 de la Commission (JO L 63 du 6.3.2015, p. 1).

(7) Règlement (UE) no 139/2014 de la Commission du 12 février 2014 établissant des exigences et des procédures administratives relatives aux aérodromes conformément au règlement (CE) no 216/2008 du Parlement européen et du Conseil (JO L 44 du 14.2.2014, p. 1).

(8) Règlement d’exécution (UE) 2021/664 de la Commission du 22 avril 2021 relatif à un cadre réglementaire pour l’U-space (JO L 139 du 23.4.2021, p. 161).

(9) Règlement d’exécution (UE) 2015/1998 de la Commission du 5 novembre 2015 fixant des mesures détaillées pour la mise en œuvre des normes de base communes dans le domaine de la sûreté de l’aviation civile (JO L 299 du 14.11.2015, p. 1).

(10) Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (JO L 194 du 19.7.2016, p. 1).

(11) Règlement (UE) 2021/696 du Parlement européen et du Conseil du 28 avril 2021 établissant le programme spatial de l’Union et l’Agence de l’Union européenne pour le programme spatial et abrogeant les règlements (UE) no 912/2010, (UE) no 1285/2013 et (UE) no 377/2014 et la décision no 541/2014/UE. (JO L 170du 12.5.2021, p. 69).

(12) Règlement d’exécution (UE) 2017/373 de la Commission du 1er mars 2017 établissant des exigences communes relatives aux prestataires de services de gestion du trafic aérien et de services de navigation aérienne ainsi que des autres fonctions de réseau de la gestion du trafic aérien, et à leur supervision, abrogeant le règlement (CE) no 482/2008, les règlements d’exécution (UE) no 1034/2011, (UE) no 1035/2011 et (UE) 2016/1377 et modifiant le règlement (UE) no 677/2011 (JO L 62 du 8.3.2017, p. 1).

(13) https://www.easa.europa.eu/document-library/opinions

(14) Règlement délégué (UE) 2022/1645 de la Commission du 14 juillet 2022 portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences relatives à la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne imposées aux organismes relevant des règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission et modifiant les règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission (JO L 248 du 26.9.2022, p. 18).

(15) Règlement (CE) no 300/2008 du Parlement européen et du Conseil du 11 mars 2008 relatif à l’instauration de règles communes dans le domaine de la sûreté de l’aviation civile et abrogeant le règlement (CE) no 2320/2002 (JO L 97 du 9.4.2008, p. 72).