SÉCURITÉ DE L’INFORMATION — EXIGENCES APPLICABLES À L’AUTORITÉ
[PARTIE-IS.AR]
IS.AR.100Champ d’applicationIS.AR.200Système de gestion de la sécurité de l’information (SGSI)IS.AR.205Évaluation des risques liés à la sécurité de l’informationIS.AR.210Traitement des risques liés à la sécurité de l’informationIS.AR.215Incidents de sécurité de l’information — détection, réaction et rétablissementIS.AR.220Sous-traitance des activités de gestion de la sécurité de l’informationIS.AR.225Exigences en matière de personnelIS.AR.230ArchivageIS.AR.235Amélioration constante
IS.AR.100 Champ d’application
La présente partie établit les exigences en matière de gestion auxquelles doivent satisfaire les autorités compétentes visées à l’article 2, paragraphe 2, du présent règlement.
Les exigences auxquelles doivent satisfaire ces autorités compétentes pour l’exercice de leurs activités de certification, de supervision et de contrôle de l’application figurent dans les règlements visés à l’article 2, paragraphe 1, du présent règlement et à l’article 2 du règlement délégué (UE) 2022/1645.
IS.AR.200 Système de gestion de la sécurité de l’information (SGSI)
a) Afin d’atteindre les objectifs énoncés à l’article 1er, l’autorité compétente doit établir, mettre en œuvre et entretenir un système de gestion de la sécurité de l’information (SGSI) qui garantit que l’autorité compétente:
1) met en place une politique en matière de sécurité de l’information définissant les principes généraux de l’autorité compétente en ce qui concerne l’incidence potentielle des risques liés à la sécurité de l’information sur la sécurité aérienne;
2) recense et analyse les risques liés à la sécurité de l’information conformément au point IS.AR.205;
3) définit et met en œuvre des mesures de traitement des risques liés à la sécurité de l’information conformément au point IS.AR.210;
4) définit et met en œuvre, conformément au point IS.AR.215, les mesures requises pour détecter les événements liés à la sécurité de l’information, recense les événements qui sont considérés comme des incidents susceptibles d’avoir des répercussions sur la sécurité aérienne, réagit à ces incidents de sécurité de l’information et garantit le rétablissement après incident;
5) satisfait aux exigences énoncées au point IS.AR.220 lorsqu’il sous-traite une partie des activités décrites au point IS.AR.200 à d’autres organismes;
6) satisfait aux exigences en matière de personnel énoncées au point IS.AR.225;
7) satisfait aux exigences en matière d’archivage énoncées au point IS.AR.230;
8) vérifie que son propre organisme respecte les exigences du présent règlement et fournit à la personne visée au point IS.AR.225 a) un retour d’information sur les constatations afin de garantir la mise en œuvre effective des mesures correctives;
9) protège la confidentialité des informations dont elle dispose au sujet des organismes soumis à sa supervision ainsi que des informations reçues par l’intermédiaire des systèmes de comptes rendus externes de l’organisme établis conformément au point IS.I.OR.230 de l’annexe II (partie IS.I.OR) du présent règlement et au point IS.D.OR.230 de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645;
10) notifie à l’Agence les modifications qui ont une incidence sur la capacité de l’autorité compétente à s’acquitter de ses tâches et à exercer ses responsabilités telles que définies dans le présent règlement;
11) définit et met en œuvre des procédures pour partager, le cas échéant, de manière pratique et en temps utile, les informations pertinentes pour aider les autres autorités compétentes et agences, ainsi que les organismes soumis au présent règlement, à procéder à des évaluations efficaces des risques de sécurité liés à leurs activités.
b) Afin de satisfaire en permanence aux exigences visées à l’article 1er, l’autorité compétente doit mettre en œuvre un processus d’amélioration constante conformément au point IS.AR.235.
c) L’autorité compétente doit documenter l’ensemble des processus, procédures, rôles et responsabilités clés requis pour se conformer au point IS.AR.200 a) et établir un processus de modification de cette documentation.
d) Les processus, procédures, rôles et responsabilités établis par l’autorité compétente pour se conformer au point IS.AR.200 a) doivent correspondre à la nature et à la complexité de ses activités, sur la base d’une évaluation des risques liés à la sécurité de l’information inhérents à ces activités, et peuvent être intégrés dans d’autres systèmes de gestion existants déjà mis en œuvre par l’autorité compétente.
IS.AR.205 Évaluation des risques liés à la sécurité de l’information
a) L’autorité compétente doit recenser tous les éléments de son propre organisme qui sont susceptibles d’être exposés à des risques liés à la sécurité de l’information. Ces éléments sont notamment les suivants:
1) les activités, installations et ressources de l’autorité compétente, ainsi que les services qu’elle exploite, fournit, reçoit ou gère;
2) les équipements, systèmes, données et informations qui contribuent au fonctionnement des éléments visés au point 1).
b) L’autorité compétente doit déterminer les interfaces que son propre organisme partage avec d’autres organismes et qui pourraient entraîner une exposition mutuelle à des risques liés à la sécurité de l’information.
c) En ce qui concerne les éléments et interfaces visés aux points a) et b), l’autorité compétente doit recenser les risques liés à la sécurité de l’information qui pourraient avoir une incidence sur la sécurité aérienne.
Pour chaque risque recensé, l’autorité compétente doit:
1) attribuer un niveau de risque selon une classification prédéfinie qu’elle a établie;
2) associer chaque risque et son niveau à l’élément ou à l’interface correspondant(e) déterminé(e) conformément aux points a) et b).
La classification prédéfinie visée au point 1) doit tenir compte du risque de réalisation du scénario de menace et de la gravité de ses conséquences pour la sécurité. Sur la base de cette classification, et compte tenu du fait que l’autorité compétente dispose ou non d’un processus de gestion des risques structuré et reproductible pour les opérations, l’autorité compétente doit être en mesure d’établir si le risque est acceptable ou s’il doit être traité conformément au point IS.AR.210.
Afin de faciliter la comparabilité des évaluations des risques, l’attribution du niveau de risque conformément au point 1) doit tenir compte des informations pertinentes obtenues en coordination avec les organismes visés au point b).
d) L’autorité compétente examine et met à jour l’évaluation des risques effectuée conformément aux points a), b) et c) dans l’un des cas suivants:
1) il y a un changement dans les éléments exposés à des risques liés à la sécurité de l’information;
2) il y a un changement dans les interfaces entre l’organisme de l’autorité compétente et d’autres organismes, ou dans les risques communiqués par les autres organismes;
3) il y a un changement dans les informations ou connaissances utilisées pour le recensement, l’analyse et la classification des risques;
4) l’analyse des incidents de sécurité de l’information a permis de tirer des enseignements.
IS.AR.210 Traitement des risques liés à la sécurité de l’information
a) L’autorité compétente doit élaborer des mesures pour faire face aux risques inacceptables recensés conformément au point IS.AR.205, les mettre en œuvre en temps utile et vérifier le maintien de leur efficacité. Ces mesures doivent permettre à l’autorité compétente:
1) de contrôler les circonstances qui contribuent à la réalisation effective du scénario de menace;
2) de diminuer les conséquences sur la sécurité aérienne liées à la concrétisation du scénario de menace;
3) d’éviter les risques.
Ces mesures ne doivent pas introduire de nouveaux risques potentiels inacceptables pour la sécurité aérienne.
b) La personne visée au point IS.AR.225 a), et les autres membres du personnel de l’autorité compétente concernés doivent être informés des résultats de l’évaluation des risques effectuée conformément au point IS.AR.205, des scénarios de menace correspondants et des mesures à mettre en œuvre.
L’autorité compétente doit également informer les organismes avec lesquels elle partage une interface conformément au point IS.AR.205 b) de tout risque commun à l’autorité compétente et à l’organisme.
IS.AR.215 Incidents de sécurité de l’information — détection, réaction et rétablissement
a) Sur la base des résultats de l’évaluation des risques effectuée conformément au point IS.AR.205 et des résultats du traitement des risques effectué conformément au point IS.AR.210, l’autorité compétente doit mettre en œuvre des mesures pour détecter les événements qui indiquent une possible concrétisation de risques inacceptables et qui peuvent avoir une incidence potentielle sur la sécurité aérienne. Ces mesures de détection doivent permettre à l’autorité compétente:
1) de recenser les écarts par rapport aux valeurs de base prédéterminées en matière de performances fonctionnelles;
2) de déclencher des signaux d’avertissement pour activer les mesures de réaction appropriées, en cas d’écart.
b) L’autorité compétente doit mettre en œuvre des mesures pour réagir à tout événement recensé conformément au point a) qui peut se transformer ou s’est transformé en incident de sécurité de l’information. Ces mesures de réaction doivent permettre à l’autorité compétente:
1) de déclencher la réaction de son propre organisme aux signaux d’avertissement visés au point a) 2) en activant des ressources et des actions prédéfinies;
2) de contenir la propagation d’une attaque et d’éviter la pleine concrétisation d’un scénario de menace;
3) de contrôler le mode de défaillance des éléments affectés définis au point IS.AR.205 a).
c) L’autorité compétente doit mettre en œuvre des mesures visant au rétablissement à la suite d’incidents de sécurité de l’information, y compris, le cas échéant, des mesures d’urgence. Ces mesures de rétablissement doivent permettre à l’autorité compétente:
1) de supprimer la situation qui est à l’origine de l’incident ou de la limiter à un niveau tolérable;
2) d’assurer que les éléments affectés définis au point IS.AR.205 a) retrouvent un état garantissant la sécurité dans un délai de rétablissement préalablement défini par son propre organisme.
IS.AR.220 Sous-traitance des activités de gestion de la sécurité de l’information
Lorsqu’elle sous-traite une partie des activités visées au point IS.AR.200 à d’autres organismes, l’autorité compétente veille à ce que les activités sous-traitées soient conformes aux exigences du présent règlement et que l’organisme sous-traitant travaille sous sa supervision. L’autorité compétente doit faire en sorte que les risques associés aux activités sous-traitées soient gérés de manière appropriée.
IS.AR.225 Exigences en matière de personnel
L’autorité compétente doit:
a) disposer d’une personne habilitée à établir et à entretenir les structures organisationnelles, les politiques, les processus et les procédures nécessaires à la mise en œuvre du présent règlement.
Cette personne doit:
1) être habilitée à accéder à toutes les ressources nécessaires pour permettre à l’autorité compétente d’accomplir toutes les tâches requises par le présent règlement;
2) disposer de la délégation de pouvoir nécessaire à l’accomplissement des tâches qui lui sont assignées;
b) avoir mis en place un processus garantissant que l’autorité compétente dispose d’un personnel suffisant pour mener à bien les activités couvertes par la présente annexe;
c) avoir mis en place un processus garantissant que le personnel visé au point b) possède les compétences nécessaires pour accomplir ses tâches;
d) avoir mis en place un processus permettant de garantir que le personnel est informé des responsabilités liées aux rôles et tâches assignés;
e) veiller à ce que l’identité et la fiabilité du personnel ayant accès aux systèmes d’information et aux données soumis aux exigences du présent règlement soient établies de manière appropriée.
IS.AR.230 Archivage
a) L’autorité compétente doit conserver des archives sur ses activités de gestion de la sécurité de l’information.
1) L’autorité compétente doit veiller à ce que les documents suivants soient archivés et traçables:
i) les contrats portant sur les activités visées au point IS.AR.200 a), point 5);
ii) les documents relatifs aux processus clés visés au point IS.AR.200 d);
iii) les documents relatifs aux risques recensés dans l’évaluation des risques visée au point IS.AR.205 ainsi que les mesures connexes de traitement des risques visées au point IS.AR.210;
iv) les documents relatifs aux événements liés à la sécurité de l’information qui pourraient devoir être réévalués pour révéler des incidents ou des vulnérabilités en matière de sécurité de l’information non détectés.
2) Les documents visés au point 1) i) doivent être conservés au moins 5 ans après la modification ou la résiliation du contrat.
3) Les documents visés aux points 1) ii) et 1 iii) doivent être conservés pendant une période d’au moins 5 ans.
4) Les documents visés au point 1) iv) doivent être conservés jusqu’à ce que ces événements liés à la sécurité de l’information aient été réévalués selon une périodicité définie dans une procédure établie par l’autorité compétente.
b) L’autorité compétente doit conserver les documents relatifs aux qualifications et à l’expérience de son propre personnel participant aux activités de gestion de la sécurité de l’information.
1) Les documents relatifs aux qualifications et à l’expérience du personnel doivent être conservés aussi longtemps que la personne travaille pour l’autorité compétente et pendant au moins 3 ans après que la personne a quitté l’autorité compétente.
2) À leur demande, les membres du personnel doivent avoir accès à leurs dossiers individuels. En outre, à leur demande, l’autorité compétente doit leur fournir une copie de leurs dossiers individuels lorsqu’ils quittent l’autorité compétente.
c) Le format des dossiers est défini dans les procédures de l’autorité compétente.
d) Les documents doivent être stockés de manière à ne pas être endommagés, altérés ou dérobés, les informations étant signalées, le cas échéant, en fonction de leur niveau de classification de sécurité. L’autorité compétente doit veiller à ce que les documents soient stockés de manière à garantir l’intégrité, l’authenticité et l’accès autorisé.
IS.AR.235 Amélioration constante
a) L’autorité compétente doit évaluer, à l’aide d’indicateurs de performance adéquats, l’efficacité et la maturité de son propre SGSI. Cette évaluation doit être effectuée selon un calendrier prédéfini par l’autorité compétente ou à la suite d’un incident de sécurité de l’information.
b) Si des manquements sont constatés à la suite de l’évaluation effectuée conformément au point a), l’autorité compétente doit prendre les mesures d’amélioration nécessaires pour garantir que le SGSI continue de respecter les exigences applicables et maintient les risques liés à la sécurité de l’information à un niveau acceptable. En outre, l’autorité compétente réévalue les éléments du SGSI concernés par les mesures adoptées.