Les annexes II (partie ATCO.AR) et III (partie ATCO.OR) du règlement (UE) 2015/340 sont modifiées comme suit:
1) L’annexe II (partie ATCO.AR) est modifiée comme suit:
a) au point ATCO.AR.A.020, le point c) suivant est ajouté:
«c) L’autorité compétente de l’État membre fournit dès que possible à l’Agence les informations pertinentes en matière de sécurité provenant des rapports sur la sécurité de l’information qu’elle a reçus en application du point IS.I.OR.230 de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203.»;
b) le point ATCO.AR.A.025A suivant est inséré après le point ATCO.AR.A.025:
«ATCO.AR.A.025A Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne
a) L’autorité compétente met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne qui sont signalés par les organismes. Ce système est mis en œuvre en coordination avec toutes les autres autorités compétentes en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre afin d’améliorer la coordination et la compatibilité des systèmes de comptes rendus.
b) L’Agence met en œuvre un système visant à analyser de manière appropriée toute information pertinente en matière de sécurité reçue conformément au point ATCO.AR.A.020 et à fournir dans les meilleurs délais aux États membres et à la Commission toute information, notamment des recommandations ou des actions correctives à mettre en œuvre, utile pour leur permettre de réagir en temps opportun à un incident ou à une vulnérabilité en matière de sécurité de l’information susceptible d’avoir une incidence sur la sécurité aérienne ayant trait à des produits, des pièces, des équipements non fixes, des personnes ou des organismes soumis au règlement (UE) 2018/1139 et à ses actes délégués et d’exécution.
c) Dès réception des informations auxquelles il est fait référence aux points a) et b), l’autorité compétente prend des mesures appropriées pour traiter l’incidence potentielle sur la sécurité aérienne de l’incident ou de la vulnérabilité en matière de sécurité de l’information.
d) Les mesures prises en application du point c) sont immédiatement notifiées à l’ensemble des personnes ou des organismes qui sont tenus de s’y conformer en vertu du règlement (UE) 2018/1139 et de ses actes délégués et d’exécution. L’autorité compétente de l’État membre notifie également ces mesures à l’Agence et, lorsqu’une action conjuguée est nécessaire, aux autorités compétentes des autres États membres concernés.»;
c) au point ATCO.AR.B.001, le point e) suivant est ajouté:
«e) Outre les exigences énoncées au point a), le système de gestion établi et entretenu par l’autorité compétente doit être conforme à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.»;
d) le point ATCO.AR.B.005 est modifié comme suit:
i) le titre est remplacé par le texte suivant:
«ATCO.AR.B.005 Attribution de tâches»;
ii) le point c) suivant est ajouté:
«c) En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point ATCO.OR.C.001A, l’autorité compétente peut confier des tâches à des entités qualifiées conformément au point a), ou à toute autorité compétente en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre. Lors de l’attribution de tâches, l’autorité compétente s’assure:
1) que tous les aspects liés à la sécurité aérienne sont coordonnés et pris en considération par l’entité qualifiée ou l’autorité concernée;
2) que les résultats des activités de certification et de supervision menées par l’entité qualifiée ou l’autorité concernée sont intégrés dans les dossiers généraux de certification et de supervision de l’organisme;
3) que son propre système de gestion de la sécurité de l’information établi conformément au point ATCO.AR.B.001 e) englobe toutes les tâches de certification et de supervision continue effectuées pour son compte.»;
e) au point ATCO.AR.C.001, le point f) suivant est ajouté:
«f) En ce qui concerne la certification et la supervision de la conformité de l’organisme avec le point ATCO.OR.C.001A, outre le respect des points a) à e), l’autorité compétente examine tout agrément accordé en vertu du point IS.I.OR.200 e) du présent règlement ou du point IS.D.OR.200 e) du règlement délégué (UE) 2022/1645 à l’issue du cycle d’audit de supervision applicable et chaque fois que des modifications sont mises en œuvre dans le cadre des travaux de l’organisme.»;
f) le point ATCO.AR.E.010A suivant est inséré après le point ATCO.AR.E.010:
«ATCO.AR.E.010A Modification du système de gestion de la sécurité de l’information
a) En ce qui concerne les modifications gérées et notifiées à l’autorité compétente conformément à la procédure définie au point IS.I.OR.255 a) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203, l’autorité compétente inclut l’examen de ces modifications dans sa supervision continue conformément aux principes énoncés au point ATCO.AR.C.001. En cas de constatation d’une non-conformité, l’autorité compétente en informe l’organisme, demande de nouvelles modifications et agit conformément au point ATCO.AR.C.010.
b) En ce qui concerne les autres modifications nécessitant une demande d’approbation conformément au point IS.I.OR.255 b) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203:
1) dès la réception de la demande de modification, l’autorité compétente vérifie que l’organisme satisfait aux exigences applicables avant de donner son approbation;
2) l’autorité compétente définit les conditions dans lesquelles l’organisme peut exercer ses activités pendant la mise en œuvre de la modification;
3) si elle est assurée que l’organisme satisfait aux exigences applicables, l’autorité compétente approuve la modification.».
2) L’annexe III (partie ATCO.OR) est modifiée comme suit:
le point ATCO.OR.C.001A suivant est inséré après le point ATCO.OR.C.001:
«ATCO.OR.C.001A Système de gestion de la sécurité de l’information
Outre le système de gestion visé au point ATCO.OR.C.001, l’organisme de formation établit, met en œuvre et entretient un système de gestion de la sécurité de l’information conformément au règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».