1)

l'allegato II (parte 145) è così modificato: a) l'indice è così modificato: i) dopo il titolo 145.A.200 è inserito il titolo seguente: «145.A.200A Sistema di gestione della sicurezza delle informazioni»; ii) dopo il titolo 145.B.135 è inserito il titolo seguente: «145.B.135A Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea»; iii) il titolo della norma 145.B.205 è sostituito dal seguente: «145.B.205 Assegnazione dei compiti»; iv) dopo il titolo 145.B.330 è inserito il titolo seguente: «145.B.330A Modifiche al sistema di gestione della sicurezza delle informazioni»; b) dopo il punto 145.A.200 è inserito il seguente punto 145.A.200A: «145.A.200A Sistema di gestione della sicurezza delle informazioni Oltre al sistema di gestione di cui al punto 145.A.200, l'impresa deve istituire, realizzare e mantenere un sistema di gestione della sicurezza delle informazioni conformemente al regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.»; c) al punto 145.B.125 è aggiunta la seguente lettera c): «c) L'autorità competente dello Stato membro deve fornire quanto prima all'Agenzia tutte le informazioni rilevanti dal punto di vista della sicurezza derivanti dalle relazioni sulla sicurezza delle informazioni ricevute a norma del punto IS.I.OR.230 dell'allegato II (parte IS.I.OR) del regolamento di esecuzione (UE) 2023/203.»; d) dopo il punto 145.B.135 è inserito il seguente punto 145.B.135A: «145.B.135A Reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea a) L'autorità competente deve attuare un sistema per raccogliere, analizzare e diffondere in maniera adeguata le informazioni relative agli inconvenienti e alle vulnerabilità riguardanti la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea segnalati dalle imprese. A tal fine si deve coordinare con eventuali altre autorità pertinenti responsabili della sicurezza delle informazioni o della cibersicurezza all'interno dello Stato membro, per migliorare il coordinamento e la compatibilità dei sistemi di segnalazione. b) L'Agenzia deve attuare un sistema per analizzare in maniera adeguata tutte le pertinenti informazioni rilevanti dal punto di vista della sicurezza ricevute conformemente al punto 145.B.125, lettera c), e deve trasmettere immediatamente agli Stati membri e alla Commissione tutte le informazioni, incluse le raccomandazioni o le azioni correttive da intraprendere, necessarie per reagire tempestivamente a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea concernente i prodotti, le parti, gli equipaggiamenti non installati, le persone o le organizzazioni (imprese) soggette al regolamento (UE) 2018/1139 e ai relativi atti delegati e di esecuzione. c) Non appena ricevute le informazioni di cui alle lettere a) e b), l'autorità competente deve adottare le misure adeguate per affrontare il potenziale impatto sulla sicurezza aerea dell'inconveniente o della vulnerabilità riguardante la sicurezza delle informazioni. d) Le misure adottate conformemente alla lettera c) devono essere immediatamente notificate a tutte le persone o organizzazioni (imprese) tenute a rispettarle a norma del regolamento (UE) 2018/1139 e dei relativi atti delegati e di esecuzione. L'autorità competente deve inoltre notificare tali misure all'Agenzia e, nel caso in cui fosse necessaria un'azione combinata, agli altri Stati membri interessati.»; e) al punto 145.B.200 è aggiunta la seguente lettera e): «e) Oltre ai requisiti di cui alla lettera a), il sistema di gestione istituito e mantenuto dall'autorità competente deve essere conforme all'allegato I (parte IS.AR) del regolamento di esecuzione (UE) 2023/203 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.»; f) il punto 145.B.205 è così modificato: i) il titolo è sostituito dal seguente: «145.B.205 Assegnazione dei compiti»; ii) è aggiunta la seguente lettera c): «c) Per quanto riguarda la certificazione e la sorveglianza della conformità dell'impresa al punto 145.A.200A, l'autorità competente può assegnare compiti a soggetti qualificati in conformità al punto a), o a qualsiasi autorità pertinente responsabile della sicurezza delle informazioni o della cibersicurezza nello Stato membro. Nell'assegnare tali compiti, l'autorità competente deve assicurarsi che: 1) tutti gli aspetti legati alla sicurezza aerea siano coordinati e presi in considerazione dal soggetto qualificato o dall'autorità pertinente; 2) i risultati delle attività di certificazione e sorveglianza svolte dal soggetto qualificato o dall'autorità pertinente siano integrati nei fascicoli complessivi di certificazione e sorveglianza dell'organizzazione; 3) il proprio sistema di gestione della sicurezza delle informazioni, istituito conformemente al punto 145.B.200, lettera e), includa tutti i compiti di certificazione e di sorveglianza continua svolti per suo conto.»; g) al punto 145.B.300 è aggiunta la seguente lettera g): «g) Per quanto riguarda la certificazione e la sorveglianza della conformità dell'organizzazione al punto 145.A.200A, oltre a rispettare le lettere da a) a f), l'autorità competente riesamina qualsiasi approvazione concessa a norma del punto IS.I.OR.200, lettera e), del presente regolamento o del punto IS.D.OR.200, lettera e), del regolamento delegato (UE) 2022/1645 a seguito del ciclo di audit di supervisione applicabile e ogniqualvolta siano attuate modifiche nell'ambito del lavoro dell'organizzazione.»; h) dopo il punto 145.B.330 è inserito il seguente punto 145.B.330A: «145.B.330A Modifiche al sistema di gestione della sicurezza delle informazioni a) Per quanto riguarda le modifiche gestite e notificate all'autorità competente in conformità alla procedura di cui al punto IS.I.OR.255, lettera a), dell'allegato II (parte IS.I.OR) del regolamento di esecuzione (UE) 2023/203, l'autorità competente deve includere l'analisi delle modifiche nella sua sorveglianza continua, conformemente ai principi stabiliti al punto 145.B.300. Qualora siano riscontrate non conformità, l'autorità competente deve informare l'impresa, richiedere ulteriori modifiche e agire in conformità al punto 145.B.350. b) Per quanto riguarda le altre modifiche per le quali occorre una richiesta di approvazione in conformità al punto IS.I.OR.255, lettera b), dell'allegato II (parte IS.I.OR) del regolamento di esecuzione (UE) 2023/203: 1) al ricevimento di una richiesta relativa a una modifica, l'autorità competente deve verificare che l'impresa sia conforme ai requisiti applicabili prima di rilasciare l'approvazione; 2) l'autorità competente deve definire le condizioni alle quali l'impresa può operare durante l'attuazione della modifica; 3) se è convinta che l'impresa risponde ai requisiti applicabili, l'autorità competente deve approvare la modifica.»;