Les annexes II (partie ATM/ANS.AR) et III (partie ATM/ANS.OR) du règlement d’exécution (UE) 2017/373 sont modifiées comme suit:
1) L’annexe II (partie ATM/ANS.AR) est modifiée comme suit:
a) au point ATM/ANS.AR.A.020, le point c) suivant est ajouté:
«c) L’autorité compétente de l’État membre fournit dès que possible à l’Agence les informations pertinentes en matière de sécurité provenant des rapports sur la sécurité de l’information qu’elle a reçus en application du point IS.I.OR.230 de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203.»;
b) le point ATM/ANS.AR.A.025A suivant est inséré après le point ATM/ANS.AR.A.025:
«ATM/ANS.AR.A.025A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne
a) L’autorité compétente met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne qui sont signalés par les organismes. Ce système est mis en œuvre en coordination avec toutes les autres autorités compétentes en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre afin d’améliorer la coordination et la compatibilité des systèmes de comptes rendus.
b) L’Agence met en œuvre un système visant à analyser de manière appropriée toute information pertinente en matière de sécurité reçue conformément au point ATM/ANS.AR.A.020 c) et à fournir dans les meilleurs délais aux États membres et à la Commission toute information, notamment des recommandations ou des actions correctives à mettre en œuvre, utile pour leur permettre de réagir en temps opportun à un incident ou à une vulnérabilité en matière de sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne ayant trait à des produits, des pièces, des équipements non fixes, des personnes ou des organismes soumis au règlement (UE) 2018/1139 et à ses actes délégués et d’exécution.
c) Dès réception des informations auxquelles il est fait référence aux points a) et b), l’autorité compétente prend des mesures appropriées pour traiter l’incidence potentielle sur la sécurité aérienne de l’incident ou de la vulnérabilité en matière de sécurité de l’information.
d) Les mesures prises en application du point c) sont immédiatement notifiées à l’ensemble des personnes ou des organismes qui sont tenus de s’y conformer en vertu du règlement (UE) 2018/1139 et de ses actes délégués et d’exécution. L’autorité compétente de l’État membre notifie également ces mesures à l’Agence et, lorsqu’une action conjuguée est nécessaire, aux autorités compétentes des autres États membres concernés.»;
c) au point ATM/ANS.AR.B.001, le point e) suivant est ajouté:
«e) Outre les exigences énoncées au point a), le système de gestion établi et entretenu par l’autorité compétente doit être conforme à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.»;
d) le point ATM/ANS.AR.B.005 est modifié comme suit:
i) le titre est remplacé par le texte suivant:
«ATM/ANS.AR.B.005 Attribution de tâches»;
ii) le point c) suivant est ajouté:
«c) En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point ATM/ANS.OR.B.005A, l’autorité compétente peut confier des tâches à des entités qualifiées conformément au point a), ou à toute autorité compétente en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre. Lors de l’attribution de tâches, l’autorité compétente s’assure:
1) que tous les aspects liés à la sécurité aérienne sont coordonnés et pris en considération par l’entité qualifiée ou l’autorité concernée;
2) que les résultats des activités de certification et de supervision menées par l’entité qualifiée ou l’autorité concernée sont intégrés dans les dossiers généraux de certification et de supervision de l’organisme;
3) que son propre système de gestion de la sécurité de l’information établi conformément au point ATM/ANS.AR.B.001 e) englobe toutes les tâches de certification et de supervision continue effectuées pour son compte.»;
e) au point ATM/ANS.AR.C.010, le point d) suivant est ajouté:
«d) En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point ATM/ANS.OR.B.005A, outre le respect des points a) à c), l’autorité compétente examine tout agrément accordé en vertu du point IS.I.OR.200 e) du présent règlement ou du point IS.D.OR.200 e) du règlement délégué (UE) 2022/1645 à l’issue du cycle d’audit de supervision applicable et chaque fois que des modifications sont mises en œuvre dans le cadre des travaux de l’organisme.»;
f) le point ATM/ANS.AR.C.025A suivant est inséré après le point ATM/ANS.AR.C.025:
«ATM/ANS.AR.C.025A Modification du système de gestion de la sécurité de l’information
a) Pour les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.I.OR.255 a) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point ATM/ANS.AR.C.010. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point ATM/ANS.AR.C.050.
b) En ce qui concerne les autres modifications nécessitant une demande d’approbation conformément au point IS.I.OR.255 b) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203:
1) dès la réception de la demande de modification, l’autorité compétente vérifie que l’organisme satisfait aux exigences applicables avant de donner son approbation;
2) l’autorité compétente définit les conditions dans lesquelles l’organisme peut exercer ses activités pendant la mise en œuvre de la modification;
3) si elle est assurée que l’organisme satisfait aux exigences applicables, l’autorité compétente approuve la modification.».
2) L’annexe III (partie ATM/ANS.OR) est modifiée comme suit:
a) le point ATM/ANS.OR.B.005A suivant est inséré après le point ATM/ANS.OR.B.005:
«ATM/ANS.OR.B.005A Système de gestion de la sécurité de l’information
Outre le système de gestion visé au point ATM/ANS.OR.B.005, le prestataire de services établit, met en œuvre et entretient un système de gestion de la sécurité de l’information conformément au règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.»;
b) le point ATM/ANS.OR.D.010 est remplacé par le texte suivant:
«ATM/ANS.OR.D.010 Gestion de la sûreté
a) Les prestataires de services de navigation aérienne et de gestion des courants de trafic aérien et le gestionnaire de réseau établissent, en tant que partie intégrante de leur système de gestion tel que requis au point ATM/ANS.OR.B.005, un système de gestion de la sûreté afin de garantir:
1) la sûreté de leurs installations et de leur personnel de manière à prévenir toute interférence illicite dans la fourniture des services;
2) la sûreté des données opérationnelles qu’ils reçoivent, produisent ou utilisent, de manière que leur accès soit réservé aux seules personnes autorisées.
b) Le système de gestion de la sûreté définit:
1) le processus et les procédures relatifs à l’évaluation et à l’atténuation des risques dans le domaine de la sûreté, à la surveillance et à l’amélioration de la sûreté, aux évaluations de la sûreté et à la diffusion des enseignements;
2) les moyens destinés à recenser, superviser et déceler les manquements à la sûreté et à alerter le personnel par des signaux d’avertissement appropriés;
3) les moyens de contrôler les effets des manquements à la sûreté et d’identifier les mesures de rétablissement et les procédures d’atténuation permettant d’en éviter la réapparition.
c) Les prestataires de services de navigation aérienne et de gestion des courants de trafic aérien et le gestionnaire de réseau garantissent, s’il y a lieu, l’habilitation de sûreté de leur personnel et travaillent en coordination avec les autorités civiles et militaires compétentes pour assurer la sûreté de leurs installations, de leur personnel et de leurs données.
d) Les aspects relatifs à la sécurité de l’information sont gérés conformément au point ATM/ANS.OR.B.005A.».