(1)

Bilaga VI (Del ARA) ska ändras på följande sätt: (a) I punkt ARA.GEN.125 ska följande punkt läggas till som punkt c: ”c) Medlemsstatens behöriga myndighet ska så snart som möjligt förse byrån med information av betydelse för säkerheten som härrör från de informationssäkerhetsrapporter som den har mottagit enligt punkt IS.I.OR.230 i bilaga II (Del-IS.I.OR) till genomförandeförordning (EU) 2023/203.” (b) Efter punkt ARA.GEN.135 ska följande punkt införas som punkt ARA.GEN.135A: ”ARA.GEN.135A Omedelbar reaktion på en informationssäkerhetsincident eller sårbarhet med en inverkan på flygsäkerheten a) Den behöriga myndigheten ska införa ett system för att på lämpligt sätt samla in, analysera och sprida information om informationssäkerhetsincidenter och sårbarheter med en potentiell inverkan på flygsäkerheten som rapporteras av organisationer. Detta ska göras i samordning med andra relevanta myndigheter som ansvarar för informationssäkerhet eller cybersäkerhet i medlemsstaten för att öka samordningen av och förenligheten hos rapporteringssystemen. b) Byrån ska införa ett system för att på lämpligt sätt analysera all relevant information av betydelse för säkerheten som mottagits i enlighet med punkt ARA.GEN.125 c och utan onödigt dröjsmål förse medlemsstaterna och kommissionen med all information, inklusive rekommendationer eller korrigerande åtgärder som ska vidtas, som krävs för att de i god tid ska kunna reagera på en informationssäkerhetsincident eller sårbarhet med en potentiell inverkan på flygsäkerheten som inbegriper produkter, delar, utrustning som inte är fast installerad, personer eller organisationer som omfattas av förordning (EU) 2018/1139 och dess delegerade akter och genomförandeakter. c) När den behöriga myndigheten har mottagit den information som avses i punkterna a och b ska den vidta lämpliga åtgärder för att ta itu med den potentiella inverkan av informationssäkerhetsincidenten eller sårbarheten på flygsäkerheten. d) Åtgärder som vidtas i enlighet med punkt c ska omgående meddelas alla personer eller organisationer som ska följa dem enligt förordning (EU) 2018/1139 och dess delegerade akter och genomförandeakter. Medlemsstatens behöriga myndighet ska också informera byrån och, om kombinerade åtgärder krävs, de behöriga myndigheterna i övriga berörda medlemsstater, om dessa åtgärder.” (c) I punkt ARA.GEN.200 ska följande punkt läggas till som punkt e: ”e) Utöver kraven i punkt a ska det ledningssystem som inrättats och upprätthålls av den behöriga myndigheten uppfylla kraven i bilaga I (Del-IS.AR) till genomförandeförordning (EU) 2023/203 för att säkerställa korrekt hantering av informationssäkerhetsrisker som kan påverka flygsäkerheten.” (d) Punkt ARA.GEN.205 ska ändras på följande sätt: i) Rubriken ska ersättas med följande: ”ARA.GEN.205 Tilldelning av uppgifter”. ii) Följande punkt ska läggas till som punkt c: ”c) När det gäller certifiering och tillsyn av organisationens efterlevnad av punkt ORA.GEN.200A får den behöriga myndigheten tilldela uppgifter till behöriga organ i enlighet med punkt a eller till en relevant myndighet som ansvarar för informationssäkerhet eller cybersäkerhet i medlemsstaten. När den behöriga myndigheten tilldelar uppgifter ska den säkerställa att 1) alla aspekter som rör flygsäkerheten samordnas och beaktas av det behöriga organet eller den relevanta myndigheten, 2) resultaten av den certifiering och tillsyn som utförs av det behöriga organet eller den relevanta myndigheten integreras i den övergripande certifierings- och tillsynsdokumentationen för organisationen, 3) det egna systemet för hantering av informationssäkerhet, som inrättats i enlighet med punkt ARA.GEN.200 e, omfattar alla arbetsuppgifter i samband med certifiering och fortlöpande tillsyn som utförs för dess räkning.” (e) I punkt ARA.GEN.300 ska följande punkt läggas till som punkt g: ”g) När det gäller certifiering och tillsyn av organisationens efterlevnad av punkt ORA.GEN.200A ska den behöriga myndigheten, utöver att uppfylla kraven i punkterna a–f, se över alla godkännanden som beviljats enligt punkt IS.I.OR.200 e i denna förordning eller punkt IS.D.OR.200 e i delegerad förordning (EU) 2022/1645 efter den tillämpliga tillsynscykeln och närhelst ändringar genomförs i organisationens arbetsområde.” (f) Efter punkt ARA.GEN.330 ska följande punkt införas som punkt ARA.GEN.330A: ”ARA.GEN.330A Ändringar av systemet för hantering av informationssäkerhet a) För ändringar som hanteras och anmäls till den behöriga myndigheten i enlighet med förfarandet i punkt IS.I.OR.255 a i bilaga II (Del-IS.I.OR) till genomförandeförordning (EU) 2023/203 ska den behöriga myndigheten inkludera en översyn av sådana ändringar i sin fortlöpande tillsyn i enlighet med principerna i punkt ARA.GEN.300. Om bristande efterlevnad konstateras ska den behöriga myndigheten underrätta organisationen om detta, begära ytterligare ändringar och agera i enlighet med punkt ARA.GEN.350. b) För andra ändringar som kräver en ansökan om godkännande i enlighet med punkt IS.I.OR.255 b i bilaga II (Del-IS.I.OR) till genomförandeförordning (EU) 2023/203 gäller följande: 1) När den behöriga myndigheten har mottagit ansökan om ändring ska den, innan den utfärdar ett godkännande, kontrollera att organisationen uppfyller de tillämpliga kraven. 2) Den behöriga myndigheten ska fastställa de villkor enligt vilka organisationen får verka under genomförandet av ändringen. 3) Efter att ha försäkrat sig om att organisationen uppfyller de tillämpliga kraven ska den behöriga myndigheten godkänna ändringen.”