Recitale
(1) În conformitate cu cerințele esențiale prevăzute la punctul 3.1 litera (b) din anexa II la Regulamentul (UE) 2018/1139, organizațiile de management al continuității navigabilității și organizațiile de întreținere trebuie să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță.
(2) În conformitate cu cerințele esențiale prevăzute la punctul 3.3 litera (b) și la punctul 5 litera (b) din anexa IV la Regulamentul (UE) 2018/1139, organizațiile de pregătire a piloților, organizațiile de pregătire a echipajului de cabină, centrele de medicină aeronautică pentru personalul aeronautic navigant și operatorii de echipamente de pregătire sintetică pentru zbor trebuie de asemenea să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță.
(3) În conformitate cu cerințele esențiale prevăzute la punctul 8.1 litera (c) din anexa V la Regulamentul (UE) 2018/1139, operatorii aerieni trebuie, la rândul lor, să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță.
(4) În conformitate cu cerințele esențiale prevăzute la punctul 5.1 litera (c) și la punctul 5.4 litera (b) din anexa VIII la Regulamentul (UE) 2018/1139, și furnizorii de servicii de management al traficului aerian, furnizorii de servicii de navigație aeriană, furnizorii de servicii U-space, furnizorii unici de servicii de informații comune, organizațiile de pregătire și centrele de medicină aeronautică pentru controlorii de trafic aerian trebuie să instituie și să mențină un sistem de management pentru gestionarea riscurilor în materie de siguranță.
(5) Respectivele riscuri în materie de siguranță pot proveni din diferite surse, cum ar fi deficiențe de proiectare și de întreținere, aspecte ale performanțelor umane, amenințări la adresa mediului și amenințări la adresa securității informațiilor. Prin urmare, sistemele de management instituite de Agenția Uniunii Europene pentru Siguranța Aviației (denumită în continuare „agenția”), de autoritățile naționale competente și de organizațiile menționate în considerentele de mai sus trebuie să țină seama nu doar de riscurile în materie de siguranță care decurg din evenimente fortuite, ci și de riscurile în materie de siguranță care decurg din amenințări la adresa securității informațiilor, atunci când deficiențele existente pot fi exploatate de persoane cu intenții răuvoitoare. Aceste riscuri în materie de securitate a informațiilor sunt în continuă creștere în mediul aviației civile, pe măsură ce sistemele informatice actuale devin tot mai interconectate și devin tot mai des ținta unor actori răuvoitori.
(6) Riscurile asociate acestor sisteme informatice nu se limitează la posibile atacuri asupra spațiului cibernetic, ci includ și amenințări care pot afecta procesele și procedurile, precum și performanțele ființelor umane.
(7) Un număr semnificativ de organizații utilizează deja standarde internaționale, cum ar fi ISO 27001, pentru a aborda securitatea informațiilor și a datelor digitale. Este posibil ca respectivele standarde să nu abordeze pe deplin toate specificitățile aviației civile. Prin urmare, este oportun să se prevadă cerințe privind managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației.
(8) Este esențial ca respectivele cerințe să acopere toate domeniile aviației și interfețele acestora, dat fiind că aviația este un sistem de sisteme cu grad înalt de interconectare. Prin urmare, aceste cerințe trebuie să se aplice tuturor organizațiilor și autorităților competente care intră sub incidența Regulamentelor (UE) nr. 748/2012 (2), (UE) nr. 1321/2014 (3), (UE) nr. 965/2012 (4), (UE) nr. 1178/2011 (5), (UE) 2015/340 (6), (UE) nr. 139/2014 (7) ale Comisiei și a Regulamentului de punere în aplicare (UE) 2021/664 al Comisiei (8), inclusiv celor care au deja obligația de a dispune de un sistem de management în conformitate cu legislația existentă a Uniunii în domeniul siguranței aviației. Unele organizații trebuie totuși să fie excluse din domeniul de aplicare al prezentului regulament, pentru a se asigura proporționalitatea corespunzătoare cu gradul mai scăzut de riscuri în materie de securitate a informațiilor pe care acestea le prezintă pentru sistemul aviatic.
(9) Cerințele stabilite în prezentul regulament trebuie să asigure o punere în aplicare consecventă în toate domeniile aviației, creând în același timp un impact minim asupra legislației Uniunii din domeniul siguranței aviației, aplicabilă deja respectivelor domenii.
(10) Cerințele stabilite în prezentul regulament nu trebuie să aducă atingere cerințelor de securitate a informațiilor și de securitate cibernetică stabilite la punctul 1.7 din anexa la Regulamentul de punere în aplicare (UE) 2015/1998 al Comisiei (9) și la articolul 14 din Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului (10).
(11) Cerințele de securitate stabilite în titlul V, „Securitatea programului”, articolele 33-43 din Regulamentul (UE) 2021/696 al Parlamentului European și al Consiliului (11) sunt considerate echivalente cu cerințele stabilite în prezentul regulament, cu excepția punctului IS.I.OR.230 din anexa II la prezentul regulament, care trebuie respectat.
(12) Pentru a se asigura securitatea juridică, interpretarea termenului „securitatea informațiilor”, astfel cum este definit în prezentul regulament, interpretare care reflectă utilizarea obișnuită a acestuia în aviația civilă la nivel mondial, trebuie să fie considerată consecventă cu interpretarea termenului „securitatea rețelelor și a sistemelor informatice”, astfel cum este definit la articolul 4 punctul 2 din Directiva (UE) 2016/1148. Definiția securității informațiilor utilizată în sensul prezentului regulament nu trebuie să fie interpretată ca îndepărtându-se de definiția securității rețelelor și a sistemelor informatice stabilită în Directiva (UE) 2016/1148.
(13) Pentru a se evita suprapunerea cerințelor juridice, în cazurile în care organizațiile care intră sub incidența prezentului regulament sunt deja supuse unor cerințe de securitate, decurgând din acte ale Uniunii menționate în considerentele 10 și 11 și având un efect echivalent cu dispozițiile prevăzute în prezentul regulament, trebuie să se considere că îndeplinirea respectivelor cerințe de securitate constituie o îndeplinire a cerințelor stabilite în prezentul regulament.
(14) Organizațiile care intră sub incidența prezentului regulament și care sunt deja supuse cerințelor de securitate decurgând din Regulamentul de punere în aplicare (UE) 2015/1998, din Regulamentul (UE) 2021/696 sau din ambele trebuie să îndeplinească și cerințele din anexa II (partea IS.I.OR.230 – „Sistemul de raportare externă în materie de securitate a informațiilor”) la prezentul regulament, întrucât niciunul dintre regulamente nu conține dispoziții referitoare la raportarea externă a incidentelor de securitate a informațiilor.
(15) Din motive de exhaustivitate, Regulamentele (UE) nr. 1178/2011, (UE) nr. 748/2012, (UE) nr. 965/2012, (UE) nr. 139/2014, (UE) nr. 1321/2014, (UE) 2015/340 și Regulamentele de punere în aplicare (UE) 2017/373 (12) și (UE) 2021/664 trebuie modificate pentru a se introduce cerințele prevăzute în prezentul regulament cu privire la sistemele de management al securității informațiilor împreună cu sistemele de management prevăzute în acesta și pentru a se stabili cerințele pe care trebuie să le îndeplinească autoritățile competente în ceea ce privește supravegherea organizațiilor care pun în aplicare cerințele de management al securității informațiilor, menționate anterior.
(16) Pentru a se oferi organizațiilor suficient timp să asigure conformitatea cu noile norme și proceduri, prezentul regulament trebuie să intre în aplicare după trei ani de la data intrării în vigoare, mai puțin pentru furnizorul de servicii de navigație aeriană al Serviciului european geostaționar mixt de navigare (EGNOS), definit în Regulamentul de punere în aplicare (UE) 2017/373, în cazul căruia, dat fiind că procesul de acreditare de securitate al sistemului și serviciilor EGNOS este în curs, în conformitate cu Regulamentul (UE) 2021/696, ar trebui să devină aplicabil de la 1 ianuarie 2026.
(17) Cerințele stabilite în prezentul regulament se bazează pe Avizul nr. 3/2021 (13), emis de agenție în conformitate cu articolul 75 alineatul (2) literele (b) și (c) și cu articolul 76 alineatul (1) din Regulamentul (UE) 2018/1139.
(18) Cerințele stabilite în prezentul regulament sunt conforme cu avizul Comitetului pentru aplicarea de norme comune de siguranță în domeniul aviației civile, instituit în temeiul articolului 127 din Regulamentul (UE) 2018/1139,