L’annexe I (partie 21) du règlement (UE) no 748/2012 est modifiée comme suit:
1) La table des matières est modifiée comme suit:
a) le titre suivant est inséré après le titre 21.B.20:
«21.B.20A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne»;
b) le titre du point 21.B.30 est remplacé par le texte suivant:
«21.B.30 Attribution de tâches»;
c) le titre suivant est inséré après le titre 21.B.240:
«21.B.240A Modification du système de gestion de la sécurité de l’information»;
d) le titre suivant est inséré après le titre 21.B.435:
«21.B.435A Modification du système de gestion de la sécurité de l’information».
2) Au point 21.B.15, le point c) suivant est ajouté:
«c) L’autorité compétente de l’État membre fournit dès que possible à l’Agence les informations pertinentes en matière de sécurité provenant des rapports sur la sécurité de l’information qu’elle a reçus en application du point IS.D.OR.230 de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645.».
3) Le point suivant 21.B.20A est inséré après le point 21.B.20:
«21.B.20A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne
a) L’autorité compétente met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne qui sont signalés par les organismes. Ce système est mis en œuvre en coordination avec toutes les autres autorités compétentes en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre afin d’améliorer la coordination et la compatibilité des systèmes de comptes rendus.
b) L’Agence met en œuvre un système visant à analyser de manière appropriée toute information pertinente en matière de sécurité reçue conformément au point 21.B.15 c) et à fournir dans les meilleurs délais aux États membres et à la Commission toute information, notamment des recommandations ou des actions correctives à mettre en œuvre, utile pour leur permettre de réagir en temps opportun à un incident ou à une vulnérabilité en matière de sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne ayant trait à des produits, des pièces, des équipements non fixes, des personnes ou des organismes soumis au règlement (UE) 2018/1139 et à ses actes délégués et d’exécution.
c) Dès réception des informations auxquelles il est fait référence aux points a) et b), l’autorité compétente prend des mesures appropriées pour traiter l’incidence potentielle sur la sécurité aérienne de l’incident ou de la vulnérabilité en matière de sécurité de l’information.
d) Les mesures prises en application du point c) sont immédiatement notifiées à l’ensemble des personnes ou des organismes qui sont tenus de s’y conformer en vertu du règlement (UE) 2018/1139 et de ses actes délégués et d’exécution. L’autorité compétente de l’État membre notifie également ces mesures à l’Agence et, lorsqu’une action conjuguée est nécessaire, aux autorités compétentes des autres États membres concernés.».
4) Au point 21.B.25, le point e) suivant est ajouté:
«e) Outre les exigences énoncées au point a), le système de gestion établi et entretenu par l’autorité compétente doit être conforme à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».
5) Le point 21.B.30 est modifié comme suit:
a) le titre est remplacé par le texte suivant:
«21.B.30 Attribution de tâches»;
b) le point c) suivant est ajouté:
«c) Pour la certification et la supervision de la conformité de l’organisme avec les points 21.A.139A et 21.A.239A, l’autorité compétente peut confier des tâches à des entités qualifiées conformément au point a), ou à toute autorité compétente en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre. Lors de l’attribution de tâches, l’autorité compétente s’assure:
1) que tous les aspects liés à la sécurité aérienne sont coordonnés et pris en considération par l’entité qualifiée ou l’autorité concernée;
2) que les résultats des activités de certification et de supervision menées par l’entité qualifiée ou l’autorité concernée sont intégrés dans les dossiers généraux de certification et de supervision de l’organisme;
3) que son propre système de gestion de la sécurité de l’information établi conformément au point 21.B.25 e) englobe toutes les tâches de certification et de supervision continue effectuées pour son compte.».
6) Au point 21.B.221, le point g) suivant est ajouté:
«g) En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point 21.A.139A, outre le respect des points a) à f), l’autorité compétente examine tout agrément accordé en vertu du point IS.I.OR.200 e) du présent règlement ou du point IS.D.OR.200 e) du règlement délégué (UE) 2022/1645 à l’issue du cycle d’audit de supervision applicable et chaque fois que des modifications sont mises en œuvre dans le cadre des travaux de l’organisme.».
7) Le point suivant 21.B.240A est inséré après le point 21.B.240:
«21.B.240A Modification du système de gestion de la sécurité de l’information
a) Pour les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.D.OR.255 a) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point 21.B.221. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point 21.B.225.
b) Pour les autres modifications nécessitant une demande d’approbation conformément au point IS.D.OR.255 b) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645:
1) dès la réception de la demande de modification, l’autorité compétente vérifie que l’organisme satisfait aux exigences applicables avant de donner son approbation;
2) l’autorité compétente définit les conditions dans lesquelles l’organisme peut exercer ses activités pendant la mise en œuvre de la modification;
3) si elle est assurée que l’organisme satisfait aux exigences applicables, l’autorité compétente approuve la modification.».
8) Au point 21.B.431, le point d) suivant est ajouté:
«d) Pour la certification et la supervision de la conformité de l’organisme avec le point 21.A.239A, outre la conformité aux points a) à c), l’autorité compétente doit respecter les principes suivants:
1) l’autorité compétente examine les interfaces et les risques correspondants recensés conformément au point IS.D.OR.205 b) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645 par chaque organisme soumis à sa supervision;
2) si des divergences sont constatées dans les interfaces mutuelles et les risques correspondants recensés par différents organismes, l’autorité compétente doit les examiner avec les organismes concernés et, si nécessaire, établir les constatations nécessaires pour garantir la mise en œuvre de mesures correctives;
3) lorsque la documentation examinée conformément au point 2) révèle l’existence de risques significatifs liés aux interfaces avec des organismes soumis à la supervision d’une autorité compétente différente au sein du même État membre, ces informations doivent être communiquées à l’autorité compétente correspondante.».
9) Le point suivant 21.B.435A est inséré après le point 21.B.435:
«21.B.435A Modification du système de gestion de la sécurité de l’information
a) Pour les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.D.OR.255 a) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point 21.B.431. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point 21.B.433.
b) Pour les autres modifications nécessitant une demande d’approbation conformément au point IS.D.OR.255 b) de l’annexe (partie IS.D.OR) du règlement délégué (UE) 2022/1645:
1) dès la réception de la demande de modification, l’autorité compétente vérifie que l’organisme satisfait aux exigences applicables avant de donner son approbation;
2) l’autorité compétente définit les conditions dans lesquelles l’organisme peut exercer ses activités pendant la mise en œuvre de la modification;
3) si elle est assurée que l’organisme satisfait aux exigences applicables, l’autorité compétente approuve la modification.».