Document ID: 32008R0482

KOMMISSIONENS FÖRORDNING (EG) nr 482/2008
av den 30 maj 2008
om ett system för säkerhetssäkring av programvara vilket ska genomföras av leverantörer av flygtrafiktjänster och om ändring av bilaga II till förordning (EG) nr 2096/2005
(Text av betydelse för EES)
EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR ANTAGIT DENNA FÖRORDNING
med beaktande av fördraget om upprättandet av Europeiska gemenskapen,
med beaktande av Europaparlamentets och rådets förordning (EG) nr 550/2004 av den 10 mars 2004 om tillhandahållande av flygtrafiktjänster inom det gemensamma europeiska luftrummet (”förordning om tillhandahållande av tjänster”) (1), särskilt artikel 4, och
av följande skäl:
(1)
Enligt förordning (EG) nr 550/2004 ska kommissionen välja ut och anta de relevanta bestämmelserna i Eurocontrols flygsäkerhetskrav (Eurocontrol Safety Regulatory Requirements - ESARR) med beaktande av gällande gemenskapslagstiftning. ESARR 6 (med titeln ”Software in ATM systems”) innehåller en samling krav för genomförandet av ett system för säkerhetssäkring av programvara.
(2)
I kommissionens förordning (EG) nr 2096/2005 av den 20 december 2005 om gemensamma krav i fråga om tillhandahållande av flygtrafiktjänster (2) fastställs i den sista meningen i skäl 12 följande: ”De relevanta bestämmelserna i ESARR 1 om tillsyn i säkerhetshänseende i samband med flygledningstjänster och ESARR 6 om programvara i flygledningstjänstsystem bör kartläggas och antas genom separata gemenskapsrättsakter.”
(3)
Enligt bilaga II i förordning (EG) nr 2096/2005 ska leverantörer av flygtrafikledningstjänster tillhandahålla ett säkerhetsledningssystem samt säkerhetskrav för riskbedömning och riskreducering vid förändringar. Leverantören av flygtrafikledningstjänster bör inom ramen för sitt säkerhetsledningssystem och sina riskbedömnings- och riskreduceringsåtgärder vid förändringar utarbeta och genomföra ett system för säkerhetssäkring som specifikt ska omfatta programvarurelaterade aspekter.
(4)
När det gäller programvara är det viktigaste säkerhetsmålet för funktionssystem som innehåller programvara att säkerställa att de risker som är förbundna med användningen av programvara i det europeiska nätverket för flygledningstjänst (”EATMN-programvara”) har reducerats till en tolerabel nivå.
(5)
Denna förordning bör inte omfatta militära operationer eller militär träning enligt artikel 1.2 i Europaparlamentets och rådets förordning (EG) nr 549/2004 av den 10 mars 2004 om ramen för inrättande av det gemensamma europeiska luftrummet (”ramförordning”) (3).
(6)
Bilaga II till förordning (EG) nr 2096/2005 bör därför ändras i enlighet med detta.
(7)
De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från kommittén för det gemensamma luftrummet.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Syfte och tillämpningsområde
1. I denna förordning fastställs villkoren för definition och införande av ett säkerhetssäkringsystem för programvara som ska genomföras av leverantörer av flygtrafikledningstjänster (ATS), enheter som tillhandahåller flödesplanering (ATFM) och luftrumsplanering (ASM) för allmän flygtrafik och av leverantörer av kommunikations-, navigerings- och övervakningstjänster (CNS).
Genom förordningen fastställs och antas de obligatoriska bestämmelserna i Eurocontrols säkerhetskrav för programvara i flygledningstjänstsystem (ESARR 6) med titeln ”Software in ATM systems” som utfärdades den 6 november 2003.
2. Denna förordning ska tillämpas på ny programvara och alla ändringar som avser programvara i system för ATS, ASM, ATFM och CNS.
Förordningen ska inte tillämpas på programvara i luftburna komponenter eller rymdbaserad utrustning.
Artikel 2
Definitioner
I denna förordning gäller de definitioner som fastställs i artikel 2 i förordning (EG) nr 549/2004.
Dessutom gäller följande definitioner:
1.
programvara: datorprogram och motsvarande konfigureringsdata, även standardprogramvara, men inte elektroniska delar, närmare bestämt tillämpningsspecifika integrerade kretsar, programmerbara gate arrayer och solid-state logic controllers,
2.
konfigureringsdata: data som konfigurerar ett generiskt programvarusystem till en viss användning,
3.
standardprogramvara: en programvara som inte utvecklats för det ifrågavarande kontraktet,
4.
säkerhetssäkring: de planerade och systematiska åtgärder som krävs för att skapa en tillräcklig visshet om att en produkt, tjänst, organisation eller ett funktionssystem har en godtagbar eller tolerabel säkerhet,
5.
organisation: en leverantör av flygtrafikledningstjänster (ATS), en leverantör som tillhandahåller kommunikations-, navigerings-, övervakningstjänster (CNS) eller en enhet som tillhandahåller flödesplanering (ATFM) eller luftrumsplanering (ASM),
6.
funktionssystem: en kombination av system, förfaranden och personal som samverkar på ett organiserat sätt för att utföra en uppgift inom flygledningstjänster,
7.
risk: kombinationen av den övergripande sannolikheten för eller frekvensen av en skadlig konsekvens som orsakas av en riskkälla, och konsekvensens allvarlighet,
8.
riskkälla: ett förhållande, en händelse eller en omständighet som kan ge upphov till ett haveri,
9.
ny programvara: programvara som har beställts eller för vilken bindande kontrakt har undertecknats efter denna förordnings ikraftträdande,
10.
säkerhetsmål: en kvalitativ eller kvantitativ angivelse av maximal frekvens eller sannolikhet för att en riskkälla kan förväntas uppstå,
11.
säkerhetskrav: ett sätt att reducera risker, fastställt i syfte att uppnå ett visst säkerhetsmål inom en riskreduceringsstrategi; ett säkerhetskrav kan röra t.ex. organisation, drift, form, funktion, resultat, driftskompatibilitet eller miljöegenskaper,
12.
cutover eller byte under drift: när systemkomponenter eller programvara i det europeiska nätverket för flygledningstjänst (EATMN) byts när systemet är i drift,
13.
säkerhetskrav för programvara: en beskrivning av vad programvaran ska producera utifrån input och begränsningar; om säkerhetskraven uppfylls säkerställer det att EATMN-programvaran fungerar säkert och i enlighet med de operativa behoven,
14.
EATMN-programvara: programvara som används i de EATMN-system som avses i artikel 1,
15.
validering av krav: bekräftelse genom granskning eller tillhandahållande av objektiva bevis för att de specifika kraven för en specifik användning är de avsedda,
16.
uppnås oberoende: när det gäller åtgärder för att verifiera programvara, att verifieringsprocessen utförs av någon annan (en eller flera) än den person som har utvecklat den programvara som är föremål för verifieringen,
17.
programfunktionsfel: att ett program inte kan utföra en viss funktion på ett korrekt sätt,
18.
programfel: att ett program inte kan utföra en viss funktion,
19.
COTS: en kommersiellt tillgänglig tillämpning som säljs av försäljare genom allmänna kataloger och som inte är avsedda att anpassas till den enskilda kunden eller förbättras,
20.
programvarukomponenter: en byggsten som kan sammanfogas med eller kopplas till andra återanvändningsbara programvarubyggstenar för att kombinera och skapa en kundspecifik programvarutillämpning,
21.
oberoende programvarukomponenter: de programvarukomponenter som inte sätts ur funktion genom samma felförhållande som orsakar riskkällan,
22.
programvarans reaktionstid: den tid som programvaran behöver för att reagera på en viss input eller periodisk händelse, eller programvarans prestanda när det gäller antal transaktioner eller meddelanden som hanteras per tidsenhet,
23.
programvarans kapacitet: programvarans förmåga att hantera en viss mängd dataflöde,
24.
noggrannhet: den precision som krävs för de beräknade resultaten,
25.
resursutnyttjande för programvaran: den mängd resurser inom datasystemet som kan användas av tillämpningsprogramvaran,
26.
programvarans stabilitet: programvarans beteende vid oväntad input, hårdvarufel och avbrott i strömförsörjningen, både i själva datorsystemet och i inkopplade enheter,
27.
förmåga att hantera extra belastning (overload tolerance): systemets beteende vid input i snabbare takt än väntat under systemets normala drift - och i synnerhet dess förmåga att hantera detta,
28.
korrekt och komplett verifiering av EATMN-programvara: alla säkerhetskrav för programvara som på ett korrekt sätt anger vad processen för riskbedömning och riskreducering ställer för krav på programvarukomponenten och att uppfyllandet av dessa säkerhetskrav har visats till den nivå som krävs enligt säkerhetssäkringsnivån för programvaran,
29.
livscykeldata för programvara: data som produceras under programvarans livscykel för att planera, styra, förklara, definiera, registrera eller dokumentera aktivitet. Dessa data möjliggör livscykelprocesser, godkännande av system eller utrustning samt ändringar av programvaruprodukten efter godkännandet,
30.
programvarans livscykel:
a)
en ordnad samling processer som en organisation bedömer vara tillräckliga och ändamålsenliga för att producera en programvaruprodukt, och
b)
den tidsperiod som inleds med beslutet att producera eller ändra en programvaruprodukt och som avslutas när produkten tas ur drift,
31.
säkerhetskrav för system: ett säkerhetskrav för ett funktionssystem.
Artikel 3
Generella säkerhetskrav
1. När en organisation är skyldig att genomföra en riskbedömnings- och riskreduceringsprocess i enlighet med tillämplig gemenskapslagstiftning eller nationell lagstiftning ska den utforma och genomföra ett system för säkerhetssäkring av programvara som särskilt hanterar programvarurelaterade EATMN-aspekter, inbegripet alla operativa programvaruändringar online och särskilt cutover eller byte under drift.
2. Organisationen ska som ett minimum se till att dess system för säkerhetssäkring av programvara producerar bevis och argument som demonstrerar följande:
a)
Säkerhetskraven för programvara anger på ett korrekt sätt vad som krävs av programvaran för att säkerhetsmålen och säkerhetskraven som identifierats under riskbedömnings- och riskreduceringsprocessen, ska vara uppfyllda.
b)
Alla säkerhetskrav för programvara omfattar spårbarhet.
c)
Tillämpningen av programvaran innehåller inga funktioner som försämrar säkerheten.
d)
EATMN-programvaran uppfyller sina krav med en konfidensnivå som motsvarar programvarans kritikalitet.
e)
Försäkringar ges som bekräftar att de generella säkerhetskraven enligt a-d uppfylls, och argumenten som demonstrerar den krävda säkerheten härrör hela tiden från
i)
en känd exekverbar version av programvaran,
ii)
en känd uppsättning konfigureringsdata,
iii)
en känd uppsättning programvaruprodukter och -beskrivningar, inklusive specifikationer, som har använts vid produktionen av den berörda versionen.
3. Organisationen ska se till att den nationella tillsynsmyndigheten får tillgång till de försäkringar som krävs för att visa att kraven i punkt 2 har uppfyllts.
Artikel 4
Krav tillämpliga på systemet för säkerhetssäkring av programvara
Organisationen ska som ett minimum se till att dess system för säkerhetssäkring av programvara uppfyller följande:
1.
Att systemet är dokumenterat, särskilt som en del i den allmänna dokumentationen av riskbedömningen och riskreduceringen,
2.
Att systemet anger säkerhetssäkringsnivåer för all operativ EATMN-programvara i enlighet med kraven i bilaga I.
3.
Att systemet omfattar säkring av att
a)
säkerhetskraven för programvara har validerats i enlighet med kraven i bilaga II, del A,
b)
programvaran har verifierats i enlighet med kraven i bilaga II, del B,
c)
konfigureringshanteringen för programvaran (configuration management) överensstämmer med kraven i bilaga II, del C,
d)
säkerhetskraven för programvara är spårbara i enlighet med kraven i bilaga II, del D.
4.
Att systemet anger hur strikta krav säkerhetssäkringen uppfyller; striktheten ska fastställas för varje säkerhetssäkringsnivå för programvaran och den ska öka när programvarans kritikalitet ökar; för detta ändamål ska
a)
variationerna i strikthet per säkerhetssäkringsnivå för programvara omfatta följande kriterier:
i)
Måste uppnås oberoende.
ii)
Måste uppnås.
iii)
Måste inte uppnås.
b)
försäkringarna för varje säkerhetssäkringsnivå på ett tillfredsställande sätt visa att EATMN-programvaran kan användas med tolerabel säkerhet.
5.
Att systemet använder återkoppling från erfarenheter av EATMN-programvara för att bekräfta att systemet för säkerhetssäkring av programvara och fastställandet av säkerhetssäkringsnivåerna är lämpliga. För detta ändamål ska effekterna från fel eller felfunktion i programvaran som rapporteras i enlighet med de tillämpliga kraven om rapportering och utvärdering av säkerhetshändelser bedömas i jämförelse med de effekter som identifierats för det berörda systemet enligt den klassificering av allvarlighetsgrad som fastställs i avsnitt 3.2.4 i bilaga II till förordning (EG) nr 2096/2005.
Artikel 5
Krav för ändringar av programvara och specifik programvara
1. För varje ändring av programvaran och för specifika typer av programvara som COTS, standardprogramvara eller tidigare använd programvara för vilken en del av kraven i artikel 3.2 d eller 3.2 e eller i artikel 4.2-4.5 inte kan tillämpas, ska organisationen se till att systemet för säkerhetssäkring av programvara på annat sätt, som väljs och godkänns i samråd med den nationella tillsynsmyndigheten, ger samma konfidensnivå som tillämplig säkerhetssäkringsnivå för programvaran när en sådan definierats.
De sätt som används ska ge tillfredsställande konfidens om att programvaran uppfyller säkerhetsmålen och säkerhetskraven, såsom de identifierats genom riskbedömnings- och riskreduceringsprocessen.
2. För den utvärdering som avses i punkt 1 får den nationella tillsynsmyndigheten använda sig av en erkänd organisation eller ett anmält organ.
Artikel 6
Ändring av förordning (EG) nr 2096/2005
I bilaga II till förordning (EG) nr 2096/2005 ska följande avsnitt läggas till:
”3.2.5 Avsnitt 5
System för säkerhetssäkring av programvara
Inom ramen för driften av säkerhetsledningssystemet ska leverantörer av flygtrafikledningstjänster genomföra ett system för säkerhetssäkring av programvara i enlighet med kommissionens förordning (EG) nr 482/2008 av den 30 maj 2008 om ett system för säkerhetssäkring av programvara vilket ska genomföras av leverantörer av flygtrafiktjänster och om ändring av bilaga II till förordning (EG) nr 2096/2005 (4).
Artikel 7
Ikraftträdande
Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
Den ska tillämpas från och med den 1 januari 2009 på ny programvara för EATMN-system enligt artikel 1.2.
Den ska tillämpas från och med den 1 juli 2010 på alla ändringar av programvaran för EATMN-system enligt artikel 1.2 och som är i drift vid den tidpunkten.
Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
Utfärdad i Bryssel den 30 maj 2008.

Labels: 3
12
8