REGULAMENTO DELEGADO (UE) 2022/1645 DA COMISSÃO

de 14 de julho de 2022

que estabelece regras de execução do Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho no que respeita aos requisitos em matéria de gestão dos riscos de segurança da informação com potencial impacto na segurança da aviação para as entidades abrangidas pelos Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão e que altera os Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, de 4 de julho de 2018, relativo a regras comuns no domínio da aviação civil, que cria a Agência da União Europeia para a Segurança da Aviação, altera os Regulamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010 e (UE) n.o 376/2014 e as Diretivas 2014/30/UE e 2014/53/UE do Parlamento Europeu e do Conselho, e revoga os Regulamentos (CE) n.o 552/2004 e (CE) n.o 216/2008 do Parlamento Europeu e do Conselho e o Regulamento (CEE) n.o 3922/91 do Conselho (1), nomeadamente o artigo 19.o, n.o 1, alínea g), e o artigo 39.o, n.o 1, alínea b)

Considerando o seguinte:

(1) Em conformidade com os requisitos essenciais estabelecidos no anexo II, ponto 3.1, alínea b), do Regulamento (UE) 2018/1139, as organizações que exercem atividades de projeto e produção devem aplicar e manter um sistema de gestão dos riscos para a segurança.

(2) Além disso, em conformidade com os requisitos essenciais estabelecidos no anexo VII, pontos 2.2.1 e 5.2, do Regulamento (UE) 2018/1139, os operadores de aeródromos e as organizações responsáveis pela prestação de serviços de gestão da placa de estacionamento devem implementar e manter um sistema de gestão dos riscos para a segurança.

(3) Os riscos para a segurança referidos nos considerandos 1 e 2 podem ter origens diversas, incluindo falhas de conceção e manutenção, aspetos relacionados com o desempenho humano, ameaças ambientais e ameaças à segurança da informação. Por conseguinte, os sistemas de gestão implementados pelas entidades, tal como referido nos considerandos 1 e 2, devem ter em conta não só os riscos para a segurança decorrentes de eventos aleatórios, mas também os riscos para a segurança decorrentes de ameaças à segurança da informação, nos casos em que as falhas existentes possam ser utilizadas por pessoas com intenção dolosa. Estes riscos para a segurança da informação estão a aumentar constantemente no ambiente da aviação civil, à medida que os atuais sistemas de informação vão estando cada vez mais interligados, tornando-se cada vez mais alvo de intervenientes mal-intencionados.

(4) Os riscos associados a esses sistemas de informação não se limitam a eventuais ataques ao ciberespaço, abrangendo também ameaças que podem afetar processos e procedimentos, bem como o desempenho dos seres humanos.

(5) Um número significativo de entidades já utiliza normas internacionais, como a ISO 27001, para abordar a segurança da informação e dos dados digitais. Estas normas podem não ter plenamente em conta todas as especificidades da aviação civil.

(6) Consequentemente, é conveniente adotar requisitos para a gestão dos riscos de segurança da informação com um impacto potencial na segurança da aviação.

(7) É essencial que esses requisitos abranjam os diferentes domínios da aviação e as suas interfaces, uma vez que a aviação constitui uma rede de sistemas altamente interligados. Por conseguinte, devem aplicar-se a todas as entidades que já são obrigadas a dispor de um sistema de gestão em conformidade com a legislação da União em vigor em matéria de segurança da aviação.

(8) Os requisitos estabelecidos no presente regulamento devem ser aplicados de forma coerente em todos os domínios da aviação, criando simultaneamente um impacto mínimo na legislação da União em matéria de segurança da aviação já aplicável a esses domínios.

(9) Os requisitos estabelecidos no presente regulamento não devem prejudicar os requisitos de segurança da informação e de cibersegurança estabelecidos no ponto 1.7 do anexo do Regulamento de Execução (UE) 2015/1998 da Comissão (2) e no artigo 14.o da Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (3).

(10) A definição de segurança da informação utilizada para efeitos do presente ato jurídico não deve ser interpretada como divergente da definição de segurança das redes e dos sistemas de informação estabelecida na Diretiva 2016/1148.

(11) A fim de evitar uma duplicação dos requisitos legais, caso as entidades abrangidas pelo presente regulamento já estejam sujeitas a requisitos de segurança decorrentes de outros atos da União referidos no considerando 9, que sejam, de facto, equivalentes às disposições estabelecidas no presente regulamento, o cumprimento desses requisitos de segurança deverá ser considerado como equivalente ao cumprimento dos requisitos estabelecidos no presente regulamento.

(12) As entidades abrangidas pelo presente regulamento que já estejam sujeitas a requisitos de segurança decorrentes do Regulamento de Execução (UE) 2015/1998 devem também cumprir os requisitos do anexo I (parte IS.D.OR.230 «Sistema de comunicação externa de informações sobre segurança da informação») do presente regulamento, uma vez que o Regulamento (UE) 2015/1998 não contém quaisquer disposições relativas à comunicação externa de incidentes de segurança da informação.

(13) Os Regulamentos (UE) n.o 748/2012 (4) e (UE) n.o 139/2014 da Comissão (5) devem ser alterados a fim de estabelecer um elo entre os sistemas de gestão previstos nos regulamentos acima enumerados e os requisitos de gestão da segurança da informação previstos no presente regulamento.

(14) A fim de proporcionar às entidades tempo suficiente para assegurarem o cumprimento das novas regras e dos procedimentos introduzidos pelo presente regulamento, este deve ser aplicável 3 anos após a sua data de entrada em vigor.

(15) Os requisitos estabelecidos no presente regulamento baseiam-se no Parecer n.o 03/2021 (6), emitido pela Agência em conformidade com o artigo 75.o, n.o 2, alíneas b) e c), e com o artigo 76.o, n.o 1, do Regulamento (UE) 2018/1139.

(16) Em conformidade com o artigo 128.o, n.o 4, do Regulamento (UE) 2018/1139, a Comissão consultou os peritos designados por cada Estado-Membro, de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (7).

ADOTA O PRESENTE REGULAMENTO:

Artigo 1.o Objeto O presente regulamento estabelece os requisitos a cumprir pelas entidades a que se refere o artigo 2.o a fim de identificar e gerir os riscos de segurança da informação com potencial impacto na segurança da aviação que possam afetar os sistemas de tecnologias da informação e comunicação e os dados utilizados para fins da aviação civil, de detetar incidentes de segurança da informação e de identificar os que são considerados incidentes de segurança da informação com potencial impacto na segurança da aviação, além de dar resposta a esses incidentes de segurança da aviação e de recuperar dos mesmos.

Artigo 2.o Âmbito de aplicação 1. O presente regulamento é aplicável: a) às entidades de produção e às entidades de projeto abrangidas pelo anexo I (parte 21), secção A, subpartes G e J, do Regulamento (UE) n.o 748/2012, exceto às entidades de projeto e produção que participam exclusivamente no projeto e/ou na produção de aeronaves ELA2, na aceção do artigo 1.o, n.o 2, alínea j), do Regulamento (UE) n.o 748/2012; b) aos operadores de aeródromos e prestadores de serviços de gestão da placa de estacionamento sujeitos ao anexo III «Parte Requisitos aplicáveis às organizações (parte ADR.OR)» do Regulamento (UE) n.o 139/2014. 2. O presente regulamento não deve prejudicar os requisitos de segurança da informação e de cibersegurança estabelecidos no ponto 1.7 do anexo do Regulamento de Execução (UE) 2015/1998 e no artigo 14.o da Diretiva (UE) 2016/1148.

Artigo 3.o Definições Para efeitos do presente regulamento, entende-se por: 1) «segurança da informação», a preservação da confidencialidade, integridade, autenticidade e disponibilidade das redes e dos sistemas de informação; 2) «incidente de segurança da informação», uma ocorrência identificada de um estado de um sistema, serviço ou rede que indique uma possível violação da política de segurança da informação ou uma falha dos controlos de segurança da informação, ou uma situação anteriormente desconhecida que possa ser relevante para a segurança da informação; 3) «incidente», qualquer evento que tenha um efeito adverso na segurança das redes e dos sistemas informáticos, tal como definido no artigo 4.o, n.o 7, da Diretiva (UE) 2016/1148; 4) «risco para a segurança da informação», o risco para as operações organizacionais da aviação civil, os ativos, as pessoas singulares e outras entidades devido ao impacto potencial de um evento de segurança da informação. Os riscos de segurança da informação estão associados ao potencial de as ameaças explorarem as vulnerabilidades de um ativo de informação ou de um grupo de ativos de informação; 5) «ameaça», uma potencial violação da segurança da informação suscitada por uma entidade, circunstância, ação ou um evento suscetível de causar danos; 6) «vulnerabilidade», uma falha ou deficiência de um ativo ou sistema, dos procedimentos, da conceção, da aplicação ou de medidas de segurança da informação que possam ser exploradas e resultem numa infração ou violação da política de segurança da informação.

Artigo 4.o Requisitos decorrentes de outra legislação da União 1. Sempre que uma entidade referida no artigo 2.o cumpra requisitos de segurança estabelecidos no artigo 14.o da Diretiva (UE) 2016/1148 equivalentes aos estabelecidos no presente regulamento, considera-se que o cumprimento desses requisitos de segurança equivale ao cumprimento dos requisitos estabelecidos no presente regulamento. 2. Se uma entidade referida no artigo 2.o for um operador ou uma entidade referida nos programas nacionais de segurança da aviação civil dos Estados-Membros estabelecidos em conformidade com o artigo 10.o do Regulamento (CE) n.o 300/2008 do Parlamento Europeu e do Conselho (8), os requisitos de cibersegurança constantes do ponto 1.7 do anexo do Regulamento de Execução (UE) 2015/1998 são considerados equivalentes aos requisitos estabelecidos no presente regulamento, exceto no que diz respeito aos requisitos incluídos no ponto IS.D.OR.230 do anexo do presente regulamento, que devem ser cumpridos. 3. A Comissão, após consulta da AESA e do grupo de cooperação referido no artigo 11.o da Diretiva (UE) 2016/1148, pode emitir orientações para a avaliação da equivalência dos requisitos estabelecidos no presente regulamento e na Diretiva (UE) 2016/1148.

Artigo 5.o Autoridade competente 1. A autoridade responsável pela certificação e supervisão do cumprimento do presente regulamento é: a) no que respeita às entidades referidas no artigo 2.o, alínea a), a autoridade competente designada em conformidade com o anexo I (parte 21) do Regulamento (UE) n.o 748/2012; b) no que respeita às entidades referidas no artigo 2.o, alínea b), a autoridade competente designada em conformidade com o anexo III (parte ADR.OR) do Regulamento (UE) n.o 139/2014. 2. Para efeitos do presente regulamento, os Estados-Membros podem designar uma entidade independente e autónoma para desempenhar as funções e responsabilidades atribuídas às autoridades competentes a que se refere o n.o 1. Nesse caso, devem ser estabelecidas medidas de coordenação entre essa entidade e as outras autoridades competentes, a que se refere o n.o 1, a fim de assegurar uma supervisão eficaz de todos os requisitos a cumprir pela entidade.

Artigo 6.o Alteração do Regulamento (UE) n.o 748/2012 O anexo I (parte 21) do Regulamento (UE) n.o 748/2012 é alterado do seguinte modo: 1) o índice é alterado do seguinte modo: a) a seguir ao título 21.A.139 é inserido o seguinte título: «21.A.139A Sistema de gestão da segurança das informações»; b) a seguir ao título 21.A.239 é inserido o seguinte título: «21.A.239A Sistema de gestão da segurança das informações»; 2) a seguir ao ponto 21.A.139A é inserido o seguinte ponto 21.A.139: «21.A.139A Sistema de gestão da segurança das informações Para além do sistema de gestão da produção exigido pelo ponto 21.A.139, a entidade de produção deve estabelecer, implementar e manter um sistema de gestão da segurança da informação em conformidade com o Regulamento Delegado (UE) 2022/1645 da Comissão (*1) a fim de assegurar a gestão adequada dos riscos para a segurança da informação que possam ter impacto na segurança da aviação. (*1) Regulamento Delegado (UE) 2022/1645 da Comissão, de 14 de julho de 2022, que estabelece regras de execução do Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho no que respeita aos requisitos em matéria de gestão dos riscos de segurança da informação com potencial impacto na segurança da aviação para as entidades abrangidas pelos Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão e que altera os Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão (JO L 248 de 26.9.2022, p. 18)»;" 3) A seguir ao ponto 21.A.239A é inserido o seguinte ponto 21.A.239: «21.A.239A Sistema de gestão da segurança das informações Para além do sistema de gestão do projeto exigido pelo ponto 21.A.239, a entidade de projeto deve estabelecer, implementar e manter um sistema de gestão da segurança da informação em conformidade com o Regulamento Delegado (UE) 2022/1645 a fim de assegurar a gestão adequada dos riscos para a segurança da informação que possam ter impacto na segurança da aviação.»

Artigo 7.o Alteração do Regulamento (UE) n.o 139/2014 O anexo III (parte ADR.OR) do Regulamento (UE) n.o 139/2014 é alterado do seguinte modo: 1) A seguir ao ponto ADR.OR.D.005A é inserido o seguinte ponto ADR.OR.D.005: «ADR.OR.D.005A Sistema de gestão da segurança das informações O operador do aeródromo deve estabelecer, implementar e manter um sistema de gestão da segurança da informação em conformidade com o Regulamento Delegado (UE) 2022/1645 da Comissão (*2) a fim de assegurar a gestão adequada dos riscos para a segurança da informação que possam ter impacto na segurança da aviação. (*2) Regulamento Delegado (UE) 2022/1645 da Comissão, de 14 de julho de 2022, que estabelece regras de execução do Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho no que respeita aos requisitos em matéria de gestão dos riscos de segurança da informação com potencial impacto na segurança da aviação para as entidades abrangidas pelos Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão e que altera os Regulamentos (UE) n.o 748/2012 e (UE) n.o 139/2014 da Comissão (JO L 248 de 26.9.2022, p. 18)»;" 2) O ponto ADR.OR.D.007 passa a ter a seguinte redação: «ADR.OR.D.007 Gestão de dados aeronáuticos e de informações aeronáuticas a) Como parte do seu sistema de gestão, o operador do aeródromo deve aplicar e manter um sistema de gestão da qualidade que abranja as atividades seguintes; 1) as suas atividades relacionadas com o fornecimento de dados aeronáuticos; 2) as suas atividades relacionadas com o fornecimento de informações aeronáuticas. b) Como parte do seu sistema de gestão, o operador do aeródromo deve definir um sistema de gestão da segurança para garantir a segurança dos dados operacionais que recebe, produz ou utiliza, de forma a que o acesso a esses dados operacionais seja restrito exclusivamente às pessoas autorizadas. c) O sistema de gestão da segurança deve definir os seguintes elementos: 1) os procedimentos relacionados com a avaliação e a atenuação dos riscos para a segurança dos dados, a monitorização e a melhoria da segurança, as revisões da segurança e a difusão de ensinamentos; 2) Os meios para detetar falhas da segurança e alertar o pessoal através de avisos adequados; 3) os meios para circunscrever os efeitos de falhas na segurança e identificar ações de recuperação e procedimentos de atenuação dos riscos a fim de prevenir a repetição da ocorrência. d) O operador de aeródromo deve assegurar a credenciação de segurança do seu pessoal no que respeita à segurança dos dados aeronáuticos. e) Os aspetos relacionados com a segurança da informação devem ser geridos em conformidade com o ponto ADR.OR.D.005A.»; 3) A seguir ao ponto ADR.OR.F.045A é inserido o seguinte ponto ADR.OR.F.045: «ADR.OR.F.045A Sistema de gestão da segurança das informações A entidade responsável pela prestação de AMS deve estabelecer, implementar e manter um sistema de gestão da segurança da informação em conformidade com o Regulamento Delegado (UE) 2022/1645 a fim de assegurar a gestão adequada dos riscos para a segurança da informação que possam ter impacto na segurança da aviação.»

Artigo 8.o O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. O presente regulamento é aplicável a partir de 16 de outubro de 2025.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros. Feito em Bruxelas, em 14 de julho de 2022. Pela Comissão A Presidente Ursula VON DER LEYEN

(1) JO L 212 de 22.8.2018, p. 1..

(2) Regulamento de Execução (UE) 2015/1998 da Comissão, de 5 de novembro de 2015, que estabelece as medidas de execução das normas de base comuns sobre a segurança da aviação (JO L 299 de 14.11.2015, p. 1).

(3) Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194 de 19.7.2016, p. 1).

(4) Regulamento (UE) n.o 748/2012 da Comissão, de 3 de agosto de 2012, que estabelece as normas de execução relativas à aeronavegabilidade e à certificação ambiental das aeronaves e dos produtos, peças e equipamentos conexos, bem como à certificação das entidades de projeto e produção (JO L 224 de 21.8.2012, p. 1).

(5) Regulamento (UE) n.o 139/2014 da Comissão, de 12 de fevereiro de 2014, que estabelece requisitos e procedimentos administrativos relativos aos aeródromos em conformidade com o Regulamento (CE) n.o 216/2008 do Parlamento Europeu e do Conselho (JO L 44 de 14.2.2014, p. 1).

(6) https://www.easa.europa.eu/document-library/opinions

(7) JO L 123 de 12.5.2016, p. 1.

(8) Regulamento (CE) n.o 300/2008 do Parlamento Europeu e do Conselho, de 11 de março de 2008, relativo ao estabelecimento de regras comuns no domínio da segurança da aviação civil e que revoga o Regulamento (CE) n.o 2320/2002 (JO L 97 de 9.4.2008, p. 72).