EXIGENCES APPLICABLES AUX AUTORITÉS COMPÉTENTES — SUPERVISION DE SERVICES ET AUTRES FONCTIONS DE RÉSEAU ATM
(Partie ATM/ANS.AR)
SOUS-PARTIE A — EXIGENCES GÉNÉRALES
ATM/ANS.AR.A.001 Champ d'application
La présente annexe établit les exigences applicables aux systèmes d'administration et de gestion des autorités compétentes responsables de la certification, de la supervision et de la mise en application en ce qui concerne le respect des exigences énoncées aux annexes III à XIII par les prestataires de services conformément à l'article 6.
ATM/ANS.AR.A.005 Tâches de certification, de supervision et de mise en application
a) L'autorité compétente exerce ses tâches de certification, de supervision et de mise en application en ce qui concerne le respect des exigences applicables aux prestataires de services, surveille la sécurité de la prestation de leurs services et vérifie que les exigences applicables sont satisfaites.
b) Les autorités compétentes établissent et exercent les responsabilités en matière de certification, de supervision et de mise en application de manière à ce que:
1) les responsabilités relatives à la mise en œuvre de chaque disposition du présent règlement soient clairement déterminées;
2) elles aient connaissance des dispositifs de supervision de la sécurité et de leurs résultats;
3) l'échange des informations pertinentes soit assuré entre les autorités compétentes.
Les autorités compétentes concernées réexaminent régulièrement l'accord sur la surveillance des prestataires de services qui fournissent des services de navigation aérienne dans les blocs d'espace aérien fonctionnels (FAB) s'étendant sur un espace aérien relevant de la responsabilité de plusieurs États membres, visé à l'article 2, paragraphe 3, du règlement (CE) no 550/2004 et, dans le cas d'une prestation transfrontalière des services de navigation aérienne, l'accord sur la reconnaissance mutuelle des tâches de supervision visé à l'article 2, paragraphe 5, du règlement (CE) no 550/2004, ainsi que ses modalités pratiques de mise en œuvre, à la lumière notamment des performances obtenues en matière de sécurité par les prestataires de services placés sous leur supervision.
c) L'autorité compétente établit des accords de coordination avec les autres autorités compétentes pour les changements apportés aux systèmes fonctionnels qui lui sont notifiés et impliquant des prestataires de services placés sous la supervision des autres autorités compétentes. Ces accords de coordination assurent la sélection efficace et l'examen de ces changements notifiés, conformément au point ATM/ANS.AR.C.025.
ATM/ANS.AR.A.010 Documents de certification, de supervision et de mise en application
L'autorité compétente fournit tout acte législatif, norme, règle, publication technique et document associé pertinent au personnel concerné aux fins de lui permettre de s'acquitter de ses tâches et d'exercer ses responsabilités.
ATM/ANS.AR.A.015 Moyens de conformité
a) L'Agence élabore des moyens acceptables de conformité (AMC) qui peuvent être utilisés pour établir la conformité avec les exigences du présent règlement. Lorsque ces AMC sont respectés, les exigences applicables du présent règlement sont réputées satisfaites.
b) Des moyens de conformité alternatifs (AltMOC) peuvent être utilisés pour établir la conformité avec les exigences du présent règlement.
c) L'autorité compétente établit un système en vue d'évaluer de manière cohérente si tous les AltMOC qu'elle utilise, ou que les prestataires de services placés sous sa supervision utilisent, permettent d'établir la conformité avec les exigences du présent règlement.
d) L'autorité compétente évalue tous les AltMOC proposés par un prestataire de services conformément au point ATM/ANS.OR.A.020 en analysant la documentation fournie et, si elle le juge nécessaire, en effectuant une inspection auprès du prestataire de services.
Lorsque l'autorité compétente estime que les AltMOC sont suffisants pour assurer la conformité avec les exigences applicables du présent règlement, elle doit, sans retard injustifié:
1) notifier au demandeur que les AltMOC peuvent être mis en œuvre et, le cas échéant, modifier le certificat du demandeur en conséquence;
2) notifier leur contenu à l'Agence, en y incluant des copies de tout document pertinent;
3) informer les autres États membres des AltMOC qui ont été acceptés.
e) Lorsque l'autorité compétente utilise elle-même les AltMOC pour satisfaire aux exigences applicables du présent règlement, elle doit:
1) les mettre à la disposition de tous les prestataires de services placés sous sa supervision;
2) le notifier à l'Agence sans retard injustifié.
L'autorité compétente fournit à l'Agence une description complète des AltMOC, notamment toute révision des procédures qui pourrait s'avérer pertinente, ainsi qu'une évaluation démontrant que les exigences applicables du présent règlement sont satisfaites.
ATM/ANS.AR.A.020 Informations fournies à l’Agence
a) L’autorité compétente notifie dans les meilleurs délais à l’Agence tout problème important lié à la mise en œuvre des dispositions pertinentes du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci, ou celles des règlements (CE) no 549/2004, (CE) no 550/2004 et (CE) no 551/2004 applicables aux prestataires de services.
b) Sans préjudice du règlement (UE) no 376/2014 du Parlement européen et du Conseil et de ses actes délégués et d’exécution, l’autorité compétente communique dès que possible à l’Agence les informations pertinentes en matière de sécurité provenant des comptes rendus d’événements stockés dans sa base de données nationale conformément à l’article 6, paragraphe 6, du règlement (UE) no 376/2014.
c) L’autorité compétente de l’État membre fournit dès que possible à l’Agence les informations pertinentes en matière de sécurité provenant des rapports sur la sécurité de l’information qu’elle a reçus en application du point IS.I.OR.230 de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203.
ATM/ANS.AR.A.025 Réaction immédiate à un problème de sécurité
a) Sans préjudice du règlement (UE) no 376/2014, l'autorité compétente met en œuvre un système visant à collecter, analyser et diffuser de manière appropriée des informations relatives à la sécurité.
b) L'Agence met en œuvre un système visant à analyser correctement toute information pertinente reçue des autorités compétentes concernant la sécurité et fournit sans retard injustifié aux États membres et à la Commission, le cas échéant, toute information, notamment des recommandations ou des mesures correctives à mettre en œuvre, qui serait requise pour leur permettre de réagir en temps utile à un problème de sécurité impliquant les prestataires de services.
c) Dès réception des informations auxquelles il est fait référence aux points a) et b), l'autorité compétente prend les mesures appropriées pour traiter le problème lié à la sécurité, notamment l'émission de consignes de sécurité conformément au point ATM/ANS.AR.A.030.
d) Les mesures prises en vertu du point c) sont immédiatement notifiées aux prestataires de services concernés qui se doivent de les satisfaire conformément au point ATM/ANS.OR.A.060. L'autorité compétente notifie également lesdites mesures à l'Agence et, lorsqu'une action conjuguée est nécessaire, aux autres autorités compétentes concernées.
ATM/ANS.AR.A.025A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne
a) L’autorité compétente met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne qui sont signalés par les organismes. Ce système est mis en œuvre en coordination avec toutes les autres autorités compétentes en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre afin d’améliorer la coordination et la compatibilité des systèmes de comptes rendus.
b) L’Agence met en œuvre un système visant à analyser de manière appropriée toute information pertinente en matière de sécurité reçue conformément au point ATM/ANS.AR.A.020 c) et à fournir dans les meilleurs délais aux États membres et à la Commission toute information, notamment des recommandations ou des actions correctives à mettre en œuvre, utile pour leur permettre de réagir en temps opportun à un incident ou à une vulnérabilité en matière de sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne ayant trait à des produits, des pièces, des équipements non fixes, des personnes ou des organismes soumis au règlement (UE) 2018/1139 et à ses actes délégués et d’exécution.
c) Dès réception des informations auxquelles il est fait référence aux points a) et b), l’autorité compétente prend des mesures appropriées pour traiter l’incidence potentielle sur la sécurité aérienne de l’incident ou de la vulnérabilité en matière de sécurité de l’information.
d) Les mesures prises en application du point c) sont immédiatement notifiées à l’ensemble des personnes ou des organismes qui sont tenus de s’y conformer en vertu du règlement (UE) 2018/1139 et de ses actes délégués et d’exécution. L’autorité compétente de l’État membre notifie également ces mesures à l’Agence et, lorsqu’une action conjuguée est nécessaire, aux autorités compétentes des autres États membres concernés.
ATM/ANS.AR.A.030 Consignes de sécurité
a) L’autorité compétente publie une consigne de sécurité lorsqu’elle a déterminé l’existence de l’une des situations suivantes:
1) une situation, au sein d’un système fonctionnel, compromettant la sécurité et exigeant une réaction immédiate;
2) une situation compromettant la sécurité, la sûreté, la performance ou l’interopérabilité des équipements soumis à une attestation de conformité conformément à l’article 6 du règlement délégué (UE) 2023/1768 et lorsque cette situation est susceptible d’exister ou de se développer dans d’autres équipements ATM/ANS.
b) La consigne de sécurité est transmise aux prestataires de services ATM/ANS concernés et contient, au minimum, les informations suivantes:
1) l’identification de la situation compromettant la sécurité;
2) l’identification du système fonctionnel concerné;
3) les actions nécessaires et leur justification;
4) le délai pour accomplir les actions requises;
5) sa date d’entrée en vigueur.
c) L’autorité compétente transmet une copie de la consigne de sécurité à l’Agence et à toute autre autorité compétente concernée dans un délai d’un mois à compter de sa publication.
d) L’autorité compétente vérifie que les prestataires de services ATM/ANS respectent les consignes de sécurité et les consignes relatives aux équipements ATM/ANS, selon les cas.
SOUS-PARTIE B — GESTION (ATM/ANS.AR.B)
ATM/ANS.AR.B.001 Système de gestion
a) L'autorité compétente établit et maintient un système de gestion, comportant au moins les éléments suivants:
1) des politiques et des procédures documentées décrivant son organisation, les moyens et les méthodes pour assurer le respect du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci, telles que nécessaires pour l’exercice de ses tâches de certification, de supervision et de mise en application. Lesdites procédures sont tenues à jour et servent de documents de travail de base au sein de ladite autorité compétente pour toutes les tâches concernées;
2) un nombre suffisant de membres du personnel, y compris des inspecteurs, pour s'acquitter de ses tâches et exercer ses responsabilités au titre du présent règlement. Le personnel est qualifié pour exécuter les tâches qui lui sont attribuées et dispose des connaissances et de l'expérience nécessaires ainsi que d'une formation initiale, sur le tas et continue qui lui assurent un maintien de compétence. Un système est mis en place pour planifier la disponibilité du personnel, aux fins de garantir l'exécution correcte de toutes les tâches concernées;
3) des installations adéquates et des bureaux pour effectuer les tâches attribuées;
4) un processus de surveillance de la conformité du système de gestion avec les exigences applicables et de l'adéquation des procédures, notamment par l'instauration d'un processus d'audit interne et d'un processus de gestion des risques pour la sécurité. La surveillance de la conformité comporte un système de retour d'informations concernant les constatations résultant des audits, vers les cadres dirigeants de l'autorité compétente, afin d'assurer la mise en œuvre des mesures correctives le cas échéant;
5) une personne ou un groupe de personnes, responsable de la fonction de surveillance de la conformité et qui dépend en dernier ressort des cadres dirigeants de l'autorité compétente.
b) Pour chaque domaine d'activité compris dans le système de gestion, l'autorité compétente nomme une ou plusieurs personnes assumant la responsabilité globale de la gestion de la/des tâche(s) pertinente(s).
c) L’autorité compétente établit des procédures visant à partager dans un échange mutuel toute information et toute assistance requise avec d’autres autorités compétentes impliquées, qu’elles appartiennent à l’État membre en question ou à d’autres États membres, notamment les informations suivantes:
1) les constatations pertinentes formulées et les mesures de suivi prises par suite de la supervision des prestataires de services ATM/ANS qui exercent des activités sur le territoire d’un État membre, mais qui sont certifiés par l’autorité compétente d’un autre État membre ou par l’Agence; et
2) les informations provenant des comptes rendus d’événements obligatoires et volontaires requis par le point ATM/ANS.OR.A.065.
d) Une copie des procédures liées au système de gestion, ainsi que de leurs mises à jour, est mise à la disposition de l'Agence en vue d'une normalisation.
e) Outre les exigences énoncées au point a), le système de gestion établi et entretenu par l’autorité compétente doit être conforme à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.
ATM/ANS.AR.B.005 Attribution de tâches
a) L'autorité compétente peut attribuer à des entités qualifiées ses tâches liées à la certification ou à la supervision des prestataires de services au titre du présent règlement, autres que la délivrance des certificats eux-mêmes. Lors de l'attribution de ces tâches, l'autorité compétente veille:
1) à mettre en place un système pour évaluer initialement et contrôler de manière continue que l'entité qualifiée satisfait à l'annexe V du règlement (CE) no 216/2008. Ce système et les résultats des évaluations sont documentés; et
2) à établir un accord documenté avec l'entité qualifiée, approuvé par le niveau approprié d'encadrement des deux parties, qui définit clairement:
i) les tâches à exécuter;
ii) les déclarations, comptes rendus et dossiers à fournir;
iii) les conditions techniques à remplir lors de l'exécution de telles tâches;
iv) la couverture de responsabilité correspondante;
v) la protection assurée pour les informations obtenues lors de l'exécution de ces tâches.
b) L'autorité compétente veille à ce que le processus d'audit interne et le processus de gestion des risques pour la sécurité exigés au point ATM/ANS.AR.B.001, point a) 4), couvrent toutes les tâches effectuées en son nom par l'entité qualifiée.
c) En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point ATM/ANS.OR.B.005A, l’autorité compétente peut confier des tâches à des entités qualifiées conformément au point a), ou à toute autorité compétente en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre. Lors de l’attribution de tâches, l’autorité compétente s’assure:
1) que tous les aspects liés à la sécurité aérienne sont coordonnés et pris en considération par l’entité qualifiée ou l’autorité concernée;
2) que les résultats des activités de certification et de supervision menées par l’entité qualifiée ou l’autorité concernée sont intégrés dans les dossiers généraux de certification et de supervision de l’organisme;
3) que son propre système de gestion de la sécurité de l’information établi conformément au point ATM/ANS.AR.B.001 e) englobe toutes les tâches de certification et de supervision continue effectuées pour son compte.
ATM/ANS.AR.B.010 Modifications apportées au système de gestion
a) L’autorité compétente a mis en place un système permettant d’identifier les modifications qui ont une incidence sur sa capacité à s’acquitter de ses tâches et à exercer ses responsabilités au titre du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci. Ce système lui permet de prendre des mesures appropriées pour veiller à ce que le système de gestion reste adéquat et efficace.
b) L’autorité compétente met à jour son système de gestion en temps opportun pour refléter toutes modifications apportées au règlement (UE) 2018/1139 et aux actes délégués et d’exécution adoptés sur la base de celui-ci, de manière à assurer une mise en œuvre efficace de son système de gestion.
c) L’autorité compétente notifie à l’Agence les modifications qui ont une incidence sur sa capacité à s’acquitter de ses tâches et à exercer ses responsabilités au titre du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci.
ATM/ANS.AR.B.015 Archivage
a) L'autorité compétente établit un système d'archivage assurant un stockage et une accessibilité adéquats, ainsi qu'une traçabilité fiable pour:
1) les politiques et procédures documentées du système de gestion;
2) la formation, la qualification et l'agrément de son personnel, conformément au point ATM/ANS.AR.B.001, point a) 2);
3) l'attribution des tâches, couvrant les éléments demandés par le point ATM/ANS.AR.B.005, ainsi que le détail des tâches attribuées;
4) les processus de certification et/ou de déclaration;
5) la désignation des prestataires de services de la circulation aérienne et de services météorologiques, le cas échéant;
6) la certification et la supervision des prestataires de services qui exercent des activités sur le territoire de l'État membre mais qui sont certifiés par l'autorité compétente d'un autre État membre ou par l'Agence, en vertu d'un accord entre lesdites autorités;
7) l'évaluation et la notification à l'Agence d'AltMOC proposés par des prestataires de services ainsi que l'évaluation des AltMOC utilisés par l'autorité compétente elle-même;
8) la conformité des prestataires de services avec les exigences applicables du présent règlement après la délivrance du certificat ou, le cas échéant, de la soumission d'une déclaration, notamment les rapports de tous les audits, couvrant les constatations, les mesures correctives et la date de clôture de l'action, les observations ainsi que d'autres archives liées à la sécurité;
9) les mesures exécutoires prises;
10) les informations relatives à la sécurité, les consignes de sécurité et les mesures de suivi;
11) l'utilisation de mesures dérogatoires conformément à l'article 14 du règlement (CE) no 216/2008.
b) L'autorité compétente tient à jour une liste de tous les certificats de prestataires de services qu'elle a délivrés et des déclarations qu'elle a reçues.
c) Toutes les archives sont conservées pendant une durée minimale de cinq ans, après la fin de validité du certificat ou le retrait de la déclaration, dans le respect du droit applicable à la protection des données.
SOUS-PARTIE C — SUPERVISION, CERTIFICATION ET MISE EN APPLICATION (ATM/ANS.AR.C)
ATM/ANS.AR.C.001 Suivi des performances en matière de sécurité
a) Les autorités compétentes assurent un suivi régulier et une évaluation des performances en matière de sécurité des prestataires de services placés sous leur supervision.
b) Les autorités compétentes utilisent les résultats du suivi des performances en matière de sécurité, notamment dans le cadre de leur supervision fondée sur les risques.
ATM/ANS.AR.C.005 Certification, déclaration et vérification du respect des exigences par les prestataires de services
a) Dans le champ d’application du point ATM/ANS.AR.B.001, point a) 1), l’autorité compétente établit un processus afin de vérifier:
1) le respect par les prestataires de services des exigences applicables énoncées aux annexes III à XIII, et de toute condition applicable liée au certificat avant sa délivrance. Le certificat est délivré conformément à l’appendice 1 à la présente annexe;
2) le respect de toute obligation en matière de sécurité dans l’acte de désignation délivré conformément à l’article 8 du règlement (CE) no 550/2004;
3) le respect continu des exigences applicables par les prestataires de services placés sous sa supervision;
4) la mise en œuvre des objectifs, des exigences applicables et des autres conditions de sécurité, de sûreté et d’interopérabilité établis dans les attestations de conformité des équipements ATM/ANS; les conditions et limitations techniques et de performance établies dans les certificats d’équipements ATM/ANS et/ou les déclarations relatives aux équipements ATM/ANS; et la mise en œuvre des mesures de sécurité, y compris des consignes relatives aux équipements ATM/ANS émises par l’Agence conformément au point ATM/ANS.EQMT.AR.A.030 de l’annexe I du règlement délégué (UE) 2023/1768;
5) la mise en œuvre des consignes de sécurité, des mesures correctives et des mesures exécutoires.
b) Le processus visé au point a):
1) est fondé sur des procédures documentées;
2) s'appuie sur une documentation spécifiquement conçue pour fournir au personnel des directives pour accomplir ses tâches de certification, de supervision et de mise en application;
3) fournit à l'organisme concerné une indication des résultats de l'activité de certification, de supervision et de mise en application;
4) repose sur des audits, des examens et des inspections menés par l'autorité compétente;
5) en ce qui concerne les prestataires de services certifiés, apporte à l'autorité compétente les preuves requises en vue de l'adoption de mesures supplémentaires, notamment celles visées à l'article 9 du règlement (CE) no 549/2004, par l'article 7, paragraphe 7, du règlement (CE) no 550/2004 et par les articles 10, 25 et 68 du règlement (CE) no 216/2008, dans les cas où les exigences ne sont pas respectées.
6) en ce qui concerne les prestataires de services qui font des déclarations, fournit à l'autorité compétente les preuves nécessaires quant à l'adoption, le cas échéant, de mesures actions correctives pouvant inclure des mesures exécutoires y compris, le cas échéant, en vertu du droit national.
ATM/ANS.AR.C.010 Supervision
a) L'autorité compétente, ou les entités qualifiées agissant en son nom, mènent des audits conformément à l'article 5.
b) Les audits visés au point a):
1) fournissent à l'autorité compétente des éléments de preuve du respect des exigences applicables et des arrangements de mise en œuvre;
2) sont indépendants de toute activité d'audit interne entreprise par le prestataire de services;
3) couvrent tout ou partie des arrangements de mise en œuvre, ainsi que les processus ou services;
4) servent à déterminer si:
i) les arrangements de mise en œuvre sont conformes aux exigences applicables;
ii) les mesures prises sont conformes aux arrangements de mise en œuvre et aux exigences applicables;
iii) les résultats des mesures prises correspondent aux résultats escomptés des arrangements de mise en œuvre.
c) Sur la base des éléments de preuve à sa disposition, l'autorité compétente surveille le respect continu, par les prestataires de services placés sous sa supervision, des exigences applicables du présent règlement.
d) En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point ATM/ANS.OR.B.005A, outre le respect des points a) à c) du présent point, l’autorité compétente examine tout agrément accordé en vertu du point IS.I.OR.200 e) de l’annexe II du règlement d’exécution (UE) 2023/203 à l’issue du cycle d’audit de supervision applicable et chaque fois que des modifications sont mises en œuvre dans le cadre des travaux de l’organisme.
ATM/ANS.AR.C.015 Programme de supervision
a) L'autorité compétente établit et met à jour chaque année un programme de supervision qui tient compte de la nature spécifique des prestataires de services, de la complexité de leurs activités, du résultat des activités de certification et/ou de supervision passées et se fonde sur l'évaluation des risques associés. Ce programme inclut des audits afin de:
1) couvrir tous les domaines de préoccupation potentielle en matière de sécurité, en se focalisant principalement sur les domaines où des problèmes ont été décelés;
2) couvrir l'ensemble des prestataires de services placés sous la supervision de l'autorité compétente;
3) couvrir les moyens mis en œuvre par le prestataire de services pour garantir la compétence du personnel;
4) garantir que des audits sont menés d'une manière proportionnée au niveau du risque que posent les opérations et les services fournis par le prestataire de services; et
5) garantir, pour les prestataires de services placés sous sa supervision, l'application d'un cycle de planification de la supervision n'excédant pas 24 mois.
Le cycle de planification de la supervision peut être réduit s'il est prouvé que le niveau de performance du prestataire de services en matière de sécurité a diminué.
Pour un prestataire de services certifié par l'autorité compétente, le cycle de planification de la supervision peut être prolongé jusqu'à un maximum de 36 mois si l'autorité compétente a établi qu'au cours des 24 mois précédents:
i) le prestataire de services a démontré son efficacité dans l'identification de dangers pour la sécurité aéronautique et dans la gestion des risques associés;
ii) le prestataire de services a démontré en permanence qu'il satisfaisait aux exigences en matière de gestion du changement, conformément aux points ATM/ANS.OR.A.040 et ATM/ANS.OR.A.045;
iii) aucune constatation de niveau 1 n'a été émise;
iv) toutes les mesures correctives ont été mises en œuvre dans le laps de temps imparti ou prolongé par l'autorité compétente, tel qu'établi au point ATM/ANS.AR.C.050.
Si, outre le point mentionné ci-dessus, le prestataire de services a établi un système, approuvé par l'autorité compétente, qui lui permet de faire rapport à celle-ci d'une manière continue et efficace sur ses performances en matière de sécurité et sur sa conformité réglementaire, le cycle de planification de la supervision peut être prolongé jusqu'à 48 mois maximum;
6) assurer le suivi de la mise en œuvre des mesures correctives;
7) faire l'objet d'une consultation avec les prestataires de services concernés et ensuite d'une notification;
8) indiquer l'intervalle envisagé entre les inspections des différents sites, le cas échéant.
b) L'autorité compétente peut décider de modifier les objectifs et le champ d'application des audits planifiés, y compris des examens documentaires et des audits supplémentaires lorsque cela s'avère nécessaire.
c) L'autorité compétente décide quels arrangements, éléments, services, fonctions, emplacements physiques et activités doivent être audités dans un délai déterminé.
d) Les observations et constatations résultant des audits conformément au point ATM/ANS.AR.C.050 sont documentées. Ces dernières sont étayées par des preuves et définies en termes d'exigences applicables et d'arrangements de mise en œuvre sur la base desquels l'audit a été effectué.
e) Un rapport d'audit, comprenant les détails des constatations et des observations, est établi et communiqué au prestataire de services concerné.
ATM/ANS.AR.C.020 Délivrance de certificats
a) À la suite du processus fixé au point ATM/ANS.AR.C.005, point a), dès la réception d'une demande de délivrance d'un certificat à un prestataire de services, l'autorité compétente vérifie que ce dernier satisfait aux exigences applicables du présent règlement.
b) L'autorité compétente peut exiger la réalisation d'audits, d'inspections ou d'évaluations selon ce qu'elle estime nécessaire avant de délivrer le certificat.
c) Le certificat est délivré pour une durée illimitée. Les privilèges des activités pour lesquelles le prestataire de services est agréé sont définis dans les conditions de prestation des services jointes au certificat.
d) Le certificat n'est pas délivré lorsqu'une constatation de niveau 1 reste ouverte. Dans certaines circonstances exceptionnelles, le prestataire de services évalue et atténue le cas échéant une ou plusieurs constatations, autres que de niveau 1, et l'autorité compétente approuve un plan de mesures correctives pour clôturer la ou les constatations avant la délivrance du certificat.
ATM/ANS.AR.C.025 Changements
a) Lors de la réception d'une notification de changement conformément au point ATM/ANS.OR.A.045, l'autorité compétente respecte les points ATM/ANS.AR.C.030, ATM/ANS.AR.C.035 et ATM/ANS.AR.C.040.
b) Lors de la réception d'une notification de changement conformément au point ATM/ANS.OR.A.040, point a) 2), qui requiert une approbation préalable, l'autorité compétente:
1) vérifie que le prestataire de services respecte les exigences applicables avant de donner son approbation au changement;
2) prend des mesures appropriées immédiates, sans préjudice de toute mesure de mise en application supplémentaire, lorsque le prestataire de services met en œuvre des changements nécessitant une approbation préalable sans avoir reçu cette dernière de l'autorité compétente visée au point 1).
c) Afin de permettre à un prestataire de services de mettre en œuvre des changements apportés à son système de gestion et/ou à son système de gestion de la sécurité, selon le cas, sans approbation préalable conformément au point ATM/ANS.OR.A.040, point b), l'autorité compétente approuve une procédure définissant la portée de ces changements et décrivant comment ceux-ci seront notifiés et gérés. Dans le cadre de la procédure de supervision continue, l'autorité compétente évalue les informations communiquées dans la notification afin de vérifier que les mesures prises sont conformes aux procédures approuvées et aux exigences applicables. En cas de non-conformité, l'autorité compétente:
1) informe le prestataire de services de la non-conformité et demande des changements supplémentaires;
2) dans le cas de constatations de niveau 1 ou de niveau 2, agit conformément au point ATM/ANS.AR.C.050.
ATM/ANS.AR.C.025A Modification du système de gestion de la sécurité de l’information
a) Pour les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.I.OR.255 a) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point ATM/ANS.AR.C.010. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point ATM/ANS.AR.C.050.
b) En ce qui concerne les autres modifications nécessitant une demande d’approbation conformément au point IS.I.OR.255 b) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203:
1) dès la réception de la demande de modification, l’autorité compétente vérifie que l’organisme satisfait aux exigences applicables avant de donner son approbation;
2) l’autorité compétente définit les conditions dans lesquelles l’organisme peut exercer ses activités pendant la mise en œuvre de la modification;
3) si elle est assurée que l’organisme satisfait aux exigences applicables, l’autorité compétente approuve la modification.
ATM/ANS.AR.C.030 Approbation des procédures de gestion du changement pour les systèmes fonctionnels
a) L'autorité compétente examine:
1) les procédures de gestion du changement pour les systèmes fonctionnels ou toute modification importante de ces procédures soumises par le prestataire de services conformément au point ATM/ANS.OR.B.010, point b);
2) tout écart par rapport aux procédures visées au point 1) pour un changement particulier, en cas de demande d'un prestataire de services conformément au point ATM/ANS.OR.B.010, point c) 1).
b) L'autorité compétente approuve les procédures, modifications et écarts visés au point a) lorsqu'elle a déterminé qu'ils sont nécessaires et suffisants pour que le prestataire de services démontre qu'il respecte les points ATM/ANS.OR.A.045, ATM/ANS.OR.C.005, ATS.OR.205 et ATS.OR.210, le cas échéant.
ATM/ANS.AR.C.035 Décision d'examiner un changement notifié du système fonctionnel
a) Dès réception d'une notification conformément au point ATM/ANS.OR.A.045, point a) 1), ou dès réception d'une information modifiée conformément au point ATM/ANS.OR.A.045, point b), l'autorité compétente prend une décision quant à un examen ou non du changement. L'autorité compétente demande au prestataire de services de lui fournir toute information supplémentaire nécessaire afin d'étayer cette décision.
b) L'autorité compétente détermine la nécessité d'un examen sur la base de critères spécifiques, valides et documentés qui, à tout le moins, garantissent que le changement notifié est examiné si la vraisemblance que l'argumentaire soit complexe ou peu familier pour le prestataire de services, d'une part, et la gravité des conséquences éventuelles du changement, d'autre part, se combinent de manière significative.
c) Lorsque l'autorité compétente décide de la nécessité d'un examen sur la base d'autres critères fondés sur le risque en plus de ceux mentionnés au point b), ces critères sont spécifiques, valides et documentés.
d) L'autorité compétente informe le prestataire de services de sa décision d'examiner un changement notifié apporté à un système fonctionnel et communique la justification de cette décision au prestataire de services sur demande.
ATM/ANS.AR.C.040 Examen d'un changement notifié du système fonctionnel
a) Lorsque l'autorité compétente examine l'argumentaire à l'appui d'un changement notifié, elle:
1) évalue la validité de l'argumentaire présenté en ce qui concerne le point ATM/ANS.OR.C.005, point a) 2) ou le point ATS.OR.205, point a) 2);
2) coordonne ses activités avec d'autres autorités compétentes si nécessaire.
b) L'autorité compétente:
1) soit approuve l'argumentaire visé au point a) 1), sous conditions le cas échéant, lorsqu'il s'avère valide, et en informe le prestataire de services;
2) soit rejette l'argumentaire visé au point a) 1) et informe le prestataire de services de ce rejet, justification à l'appui.
ATM/ANS.AR.C.045 Déclarations des prestataires de services d'information en vol
a) Dès réception d'une déclaration soumise par un prestataire de services d'information de vol dans l'intention de fournir ce type de services, l'autorité compétente vérifie que cette déclaration contient toutes les informations requises en vertu du point ATM/ANS.OR.A.015 et accuse réception de la déclaration auprès de ce prestataire de services.
b) Si la déclaration ne contient pas les informations requises, ou contient des informations indiquant une non-conformité avec les exigences applicables, l'autorité compétente en informe le prestataire de services d'information de vol concerné et demande des informations supplémentaires. Si nécessaire, l'autorité compétente réalise un audit auprès du prestataire de services d'information de vol. Si la non-conformité est confirmée, l'autorité compétente prend les mesures prévues au point ATM/ANS.AR.C.050.
c) L'autorité compétente tient un registre des déclarations des prestataires de services d'information de vol qui lui ont été faites conformément au présent règlement.
ATM/ANS.AR.C.050 Constatations, mesures correctives et mesures exécutoires
a) L'autorité compétente dispose d'un système pour analyser les constatations quant à leur importance du point de vue de la sécurité et décider de mesures exécutoires sur la base du risque pour la sécurité posé par la non-conformité du prestataire de services.
b) Lorsque des mesures d'atténuation appropriées immédiates peuvent écarter ou limiter très fortement tout risque supplémentaire pour la sécurité, l'autorité compétente peut accepter la prestation des services afin de garantir la continuité du service tandis que des mesures correctives sont entreprises.
c) Une constatation de niveau 1 est émise par l’autorité compétente lorsqu’une non-conformité grave est détectée par rapport aux exigences applicables du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci ainsi qu’à celles des règlements (CE) no 549/2004, (CE) no 550/2004 et (CE) no 551/2004 et de leurs modalités d’exécution, aux procédures et manuels du prestataire de services ATM/ANS, aux termes et conditions du certificat, à l’acte de désignation, le cas échéant, ou au contenu d’une déclaration, et que cette non-conformité présente un risque important pour la sécurité du vol ou remet autrement en cause la capacité du prestataire de services à poursuivre les opérations.
Les constatations de niveau 1 comprennent, de manière non exhaustive:
1) la promulgation de procédures opérationnelles et/ou la prestation d’un service d’une manière qui entraîne un risque important pour la sécurité du vol;
2) l’obtention ou le maintien de la validité d’un certificat de prestataire de services par falsification des preuves documentaires présentées;
3) la preuve d’une négligence professionnelle ou d’une utilisation frauduleuse du certificat de prestataire de services;
4) l’absence de dirigeant responsable.
d) Une constatation de niveau 2 est émise par l’autorité compétente lorsque toute autre non-conformité est détectée par rapport aux exigences applicables du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci ainsi qu’à celles des règlements (CE) no 549/2004, (CE) no 550/2004 et (CE) no 551/2004 et de leurs modalités d’exécution, aux procédures et manuels du prestataire de services ATM/ANS, aux termes et conditions du certificat ou au contenu de la déclaration.
e) Lorsqu’une constatation est formulée, au cours de la supervision ou par tout autre moyen, l’autorité compétente, sans préjudice de toute action supplémentaire requise par le règlement (UE) 2018/1139 et les actes délégués et d’exécution adoptés sur la base de celui-ci, ainsi que par les règlements (CE) no 549/2004, (CE) no 550/2004 et (CE) no 551/2004 et leurs modalités d’exécution, communique la constatation par écrit au prestataire de services et exige une mesure corrective pour remédier à la non-conformité ou aux non-conformités détectées.
1) Dans le cas de constatations de niveau 1, l’autorité compétente prend des mesures immédiates et appropriées et peut, le cas échéant, limiter, suspendre ou révoquer en tout ou en partie le certificat tout en assurant la continuité des services, à condition que la sécurité ne soit pas compromise, et, lorsque le gestionnaire de réseau est concerné, elle en informe la Commission. Les mesures prises dépendent de l’ampleur de la constatation et restent en vigueur jusqu’à ce que le prestataire de services ATM/ANS ait appliqué une mesure corrective avec succès.
2) Dans le cas de constatations de niveau 2, l’autorité compétente:
i) accorde au prestataire de services un délai de mise en œuvre de la mesure corrective dans le cadre d’un plan d’action adapté à la nature de la constatation;
ii) évalue la mesure corrective et le plan de mise en œuvre proposés par le prestataire de services et, si l’évaluation conclut qu’ils sont suffisants pour traiter la ou les non-conformités, elle les accepte.
3) Dans le cas d’une constatation de niveau 2, lorsque le prestataire de services ne soumet pas de plan de mesures correctives qui soit acceptable pour l’autorité compétente au regard de la constatation, ou lorsque le prestataire de services n’exécute pas la mesure corrective dans le délai accordé ou prolongé par l’autorité compétente, la constatation peut être portée au niveau 1 et des mesures sont alors prises, telles qu’énoncées au point 1).
f) Lorsque l’autorité compétente détecte que le prestataire de services ATM/ANS intègre des équipements ATM/ANS dans son système fonctionnel sans veiller au respect du point ATM/ANS.OR.A.045, point g), elle prend toutes les mesures nécessaires, en tenant dûment compte de l’impératif d’assurer la sécurité et la continuité des opérations, pour limiter le domaine d’application des équipements ATM/ANS concernés ou pour en interdire l’utilisation par les prestataires de services ATM/ANS placés sous sa supervision.
g) En ce qui concerne les cas n’appelant pas de constatations de niveau 1 ou 2, l’autorité compétente peut émettre des observations.