EXIGENCES APPLICABLES À L’AGENCE
(Partie DPO.AR)
SOUS-PARTIE A — EXIGENCES GÉNÉRALES (DPO.AR.A)
DPO.AR.A.001 Champ d’application
La présente annexe établit les exigences applicables aux systèmes d’administration et de gestion de l’Agence, lorsque celle-ci exerce ses responsabilités et s’acquitte de ses tâches, en matière de certification, de supervision et de contrôle de l’application des organismes de conception ou de production.
DPO.AR.A.010 Réaction immédiate à un problème de sécurité, de sûreté et d’interopérabilité
a) Sans préjudice du règlement (UE) no 376/2014 du Parlement européen et du Conseil et des actes délégués et d’exécution adoptés sur la base de celui-ci, l’Agence met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives à la sécurité, à la sûreté et à l’interopérabilité.
b) Dès réception des informations auxquelles il est fait référence au point a), l’Agence prend des mesures appropriées pour remédier à tout problème de sécurité, de sûreté ou d’interopérabilité détecté, y compris l’émission de consignes relatives aux équipements ATM/ANS conformément au point ATM/ANS.EQMT.AR.A.030 de l’annexe I du règlement délégué (UE) 2023/1768.
c) Les mesures prises en vertu du point b) sont immédiatement notifiées à l’organisme concerné, qui se doit de les satisfaire conformément au point DPO.OR.A.035. Les autorités compétentes correspondant aux prestataires de services ATM/ANS concernés sont également notifiées.
DPO.AR.A.015 Réaction immédiate à un incident ou à une vulnérabilité en matière de sécurité de l’information ayant une incidence sur la sécurité aérienne
a) L’Agence met en œuvre un système permettant de recueillir, d’analyser et de diffuser de manière appropriée les informations relatives aux incidents et aux vulnérabilités en matière de sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne qui sont signalés par les organismes. Ce système est mis en œuvre en coordination avec toutes les autres autorités compétentes en matière de sécurité de l’information ou de cybersécurité au sein de l’État membre afin d’améliorer la coordination et la compatibilité des systèmes de comptes rendus.
b) Dès réception des informations auxquelles il est fait référence au point a), l’Agence prend des mesures appropriées pour traiter l’incidence potentielle sur la sécurité aérienne de l’incident ou de la vulnérabilité en matière de sécurité de l’information.
c) Les mesures prises en application du point b) sont immédiatement notifiées à l’ensemble des personnes ou des organismes qui sont tenus de s’y conformer en vertu du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci. L’Agence notifie également ces mesures aux autorités compétentes de l’État membre concerné.
SOUS-PARTIE B — GESTION (DPO.AR.B)
DPO.AR.B.001 Système de gestion
a) L’Agence établit et maintient un système de gestion, comportant au moins les éléments suivants:
1) des politiques et des procédures documentées décrivant son organisation, les moyens et les méthodes pour établir la conformité avec le règlement (UE) 2018/1139 et les actes délégués et d’exécution adoptés sur la base de celui-ci, le cas échéant, pour l’exécution de ses tâches de certification, de supervision et de contrôle de l’application. Lesdites procédures sont tenues à jour et servent de documents de travail de base au sein de l’Agence pour toutes les tâches concernées;
2) un nombre suffisant de membres du personnel pour s’acquitter de ses tâches et exercer ses responsabilités au titre du présent règlement. Un système est mis en place pour planifier la disponibilité du personnel aux fins de l’exécution correcte de toutes les tâches concernées;
3) un personnel qualifié pour s’acquitter des tâches qui lui sont attribuées et possédant les connaissances et l’expérience nécessaires, et qui a reçu les formations initiale et de remise à niveau périodique qui lui assurent un maintien de compétence;
4) des installations et des bureaux adéquats pour effectuer les tâches attribuées;
5) une fonction de contrôle de la conformité du système de gestion avec les exigences applicables et de l’adéquation des procédures, notamment par l’instauration d’un processus d’audit interne et d’un processus de gestion des risques liés à la sécurité. La fonction de contrôle de la conformité comporte un système de retour d’informations concernant les constatations résultant des audits vers les cadres dirigeants de l’Agence, afin d’assurer la mise en œuvre des mesures correctives le cas échéant;
6) une personne ou un groupe de personnes responsable de la fonction de contrôle de la conformité et qui dépend en dernier ressort des cadres dirigeants de l’Agence.
b) Pour chaque domaine d’activité compris dans le système de gestion, l’Agence nomme une ou plusieurs personnes assumant la responsabilité globale de la gestion de la/des tâche(s) pertinente(s).
c) L’Agence met en place des procédures pour participer à un échange mutuel de toute information nécessaire avec les autres autorités compétentes visées à l’article 4 du règlement d’exécution (UE) 2017/373 de la Commission et les assiste ou sollicite leur assistance, y compris toute information provenant des comptes rendus d’événements obligatoires et volontaires requis par le point DPO.OR.A.045.
d) Le système de gestion établi et maintenu par l’Agence doit être conforme à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.
DPO.AR.B.010 Modifications apportées au système de gestion
a) L’Agence doit disposer d’un système permettant d’identifier les modifications qui ont une incidence sur sa capacité à s’acquitter de ses tâches et à exercer ses responsabilités au sens du règlement (UE) 2018/1139 et des actes délégués et d’exécution adoptés sur la base de celui-ci. Ce système permet à l’Agence de prendre des mesures appropriées pour veiller à ce que le système de gestion reste adéquat et efficace.
b) L’Agence met à jour son système de gestion en temps opportun pour refléter toute modification apportée au règlement (UE) 2018/1139 et aux actes délégués et d’exécution adoptés sur la base de celui-ci, de manière à assurer la mise en œuvre efficace de son système de gestion.
DPO.AR.B.015 Archivage
a) L’Agence établit et maintient un système d’archivage assurant un stockage et une accessibilité adéquats, ainsi qu’une traçabilité fiable pour:
1) les politiques et procédures documentées du système de gestion;
2) la formation, les qualifications et l’agrément de son personnel, conformément au point DPO.AR.B.001, point a) 3);
3) l’attribution des tâches, couvrant les éléments requis par le point ATM/ANS.EQMT.AR.A.020 de l’annexe I du règlement délégué (UE) 2023/1768, ainsi que le détail des tâches attribuées;
4) le processus d’agrément des organismes participant à la conception ou à la production d’équipements ATM/ANS, le processus de certification, ainsi que l’enregistrement des déclarations de conformité de la conception pour les équipements ATM/ANS et la supervision continue, y compris:
i) les demandes de délivrance d’agréments;
ii) les agréments délivrés aux organismes participant à la conception ou à la production d’équipements ATM/ANS, y compris les privilèges associés et toute modification qui y est apportée;
iii) les certificats d’équipements ATM/ANS délivrés, y compris toute modification qu’elle y a apportée;
iv) toutes les déclarations valides de conformité de la conception d’équipements ATM/ANS qu’elle a enregistrées;
v) le programme de supervision continue de l’Agence, y compris tous les enregistrements des évaluations, des audits et des inspections;
vi) une copie du programme de supervision indiquant les dates auxquelles les audits sont prévus et les dates auxquelles les audits ont été effectués;
vii) des copies de toute la correspondance officielle;
viii) des recommandations pour la délivrance ou le maintien d’un certificat ou la conservation de l’enregistrement d’une déclaration, le détail des constatations, et les mesures prises par les organismes pour les clore, y compris la date de clôture de chacune d’entre elles, les mesures exécutoires, et les observations;
ix) tout rapport d’évaluation, d’audit ou d’inspection;
x) des copies de tous les guides, procédures et processus ou manuels des organismes, et de toutes les modifications qui y ont été apportées;
xi) des copies de tous les autres documents approuvés par l’Agence;
5) la notification et l’évaluation des moyens de conformité alternatifs proposés par les organismes participant à la conception ou à la production d’équipements ATM/ANS;
6) les informations relatives à la sécurité, les consignes relatives aux équipements ATM/ANS et les mesures de suivi;
7) l’utilisation de mesures dérogatoires au titre de l’article 76, paragraphe 4, du règlement (UE) 2018/1139.
b) L’Agence tient à jour une liste de tous les certificats qu’elle a délivrés et de toutes les déclarations qu’elle a enregistrées.
c) Tous les documents visés aux points a) et b) sont stockés de manière à ne pas être endommagés, altérés ou dérobés et sont conservés pendant une durée minimale de cinq ans après la fin de validité des agréments et des certificats ou le retrait des déclarations, dans le respect du droit applicable à la protection des données.
SOUS-PARTIE C — CERTIFICATION, SUPERVISION ET CONTRÔLE DE L’APPLICATION (DPO.AR.C)
DPO.AR.C.001 Délivrance des agréments aux organismes participant à la conception ou à la production d’équipements ATM/ANS
a) Dès réception d’une demande de délivrance d’un agrément à un organisme participant à la conception ou à la production d’équipements ATM/ANS, l’Agence vérifie que l’organisme respecte les exigences fixées dans les annexes II et III du règlement délégué (UE) 2023/1768 et dans l’annexe II du présent règlement.
b) L’Agence peut exiger la réalisation d’audits, d’inspections ou d’évaluations, selon ce qu’elle estime nécessaire, avant de délivrer l’agrément contenant toutes les informations pertinentes énumérées à l’appendice 1 de la présente annexe.
c) L’agrément est délivré pour une durée illimitée. Les privilèges associés aux activités pour lesquelles l’organisme est agréé sont précisés dans les conditions jointes à l’agrément.
1) Pour un organisme participant à la conception d’équipements ATM/ANS, les conditions précisent le type du travail de conception et les catégories d’équipements ATM/ANS pour lesquels l’organisme détient un agrément, ainsi que les privilèges que l’organisme est autorisé à exercer.
2) Pour un organisme participant à la production d’équipements ATM/ANS, les conditions précisent le domaine d’activité ainsi que les équipements ATM/ANS et/ou les catégories d’équipements pour lesquels le titulaire de l’agrément est autorisé à exercer les privilèges.
d) L’agrément n’est pas délivré lorsqu’une constatation de niveau 1, visée au point DPO.AR.C.015, reste ouverte. Dans certaines circonstances exceptionnelles, l’organisme évalue et atténue, si nécessaire, une ou plusieurs constatations autres que de niveau 1, et l’Agence approuve un plan de mesures correctives pour clore la ou les constatations avant la délivrance de l’agrément.
e) Toute modification apportée à l’agrément et à ses conditions doit être approuvée par l’Agence.
DPO.AR.C.005 Programme de supervision
a) L’Agence établit et met à jour chaque année un programme de supervision qui tient compte de la nature spécifique des organismes qu’elle supervise, de la complexité de leurs activités, ainsi que des résultats des activités de certification ou de supervision passées, et qui repose sur l’évaluation des risques associés. Le programme de supervision inclut des audits afin de:
1) couvrir tous les domaines de préoccupation potentielle, en se focalisant principalement sur les domaines où des problèmes ont été décelés par le passé;
2) couvrir l’ensemble des organismes, certificats et déclarations placés sous la supervision de l’Agence;
3) couvrir les moyens mis en œuvre par les organismes pour garantir la compétence de leur personnel;
4) garantir que des audits sont menés d’une manière proportionnée au niveau du risque que posent les activités de l’organisme;
5) garantir, pour les organismes placés sous sa supervision, l’application d’un cycle de planification de la supervision n’excédant pas 24 mois.
Le cycle de planification de la supervision peut être réduit s’il est prouvé que le niveau de performance de l’organisme en matière de sécurité a diminué.
Le cycle de planification de la supervision peut être prolongé jusqu’à un maximum de 36 mois si l’Agence a établi qu’au cours des 24 mois précédents:
i) l’organisme a démontré en permanence qu’il satisfaisait aux exigences en matière de gestion des modifications énoncées au point DPO.OR.B.005;
ii) aucune constatation de niveau 1, prévue au point DPO.AR.C.015, n’a été émise;
iii) toutes les mesures correctives prévues au point DPO.AR.C.015 ont été mises en œuvre dans le délai accordé ou prolongé par l’Agence, tel qu’établi au point DPO.AR.C.015.
Si, outre les points i), ii) et iii), l’organisme a mis en place un système, qui a été approuvé, lui permettant de faire rapport à l’Agence d’une manière continue et efficace sur son respect de la réglementation, le cycle de planification de la supervision peut être prolongé jusqu’à un maximum de 48 mois;
6) assurer le suivi de la mise en œuvre des mesures correctives prévues au point DPO.AR.C.015;
7) faire l’objet d’une consultation auprès des organismes concernés et ensuite d’une notification;
8) indiquer les intervalles prévus entre les inspections des différents sites, le cas échéant.
b) Lorsque cela s’avère nécessaire, l’Agence peut décider de modifier les objectifs et le champ d’application des audits planifiés, y compris des examens documentaires et des audits supplémentaires.
c) L’Agence décide quels arrangements, éléments, emplacements physiques et activités doivent être audités dans un délai déterminé.
d) Les observations et constatations résultant des audits conformément au point DPO.AR.C.015 sont documentées.
e) Les constatations sont étayées par des preuves et définies en termes d’exigences applicables et d’arrangements de mise en œuvre sur la base desquels l’audit a été effectué.
f) Un rapport d’audit, comprenant les détails des constatations et des observations, est établi et communiqué à l’organisme concerné.
DPO.AR.C.010 Modification du système de gestion de la sécurité de l’information
a) Pour les modifications gérées et notifiées à l’Agence conformément à la procédure définie au point IS.I.OR.255 a) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203, l’Agence inclut l’examen de ces modifications dans son programme de supervision continue conformément aux principes énoncés au point DPO.AR.C.005 de la présente annexe. En cas de constatation d’une non-conformité, l’Agence en informe l’organisme, demande de nouvelles modifications et agit conformément au point DPO.AR.C.015 de la présente annexe.
b) En ce qui concerne les autres modifications nécessitant une demande d’approbation conformément au point IS.I.OR.255 b) de l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203:
1) dès la réception de la demande de modification, l’Agence vérifie que l’organisme satisfait aux exigences applicables avant de donner son approbation;
2) l’Agence définit les conditions dans lesquelles l’organisme peut exercer ses activités pendant la mise en œuvre de la modification;
3) si elle est assurée que l’organisme satisfait aux exigences applicables, l’Agence approuve la modification.
DPO.AR.C.015 Constatations, mesures correctives et mesures exécutoires
a) Lorsque l’Agence constate, au cours d’une enquête, de la supervision ou par tout autre moyen, qu’une procédure ou un manuel requis par le présent règlement, ou qu’un certificat ou une déclaration délivré(e) conformément au présent règlement, ne sont pas conformes aux exigences applicables du présent règlement, elle formule une constatation, sans préjudice de toute action supplémentaire requise par le règlement (UE) 2018/1139.
b) L’Agence doit disposer d’un système permettant:
1) d’analyser les constatations quant à leur importance du point de vue de la sécurité et de l’interopérabilité;
2) de recenser les mesures exécutoires appropriées, y compris la suspension ou le retrait des agréments et des certificats;
3) d’émettre des consignes sur la base du risque que pose la non-conformité de l’organisme.
c) Une constatation de niveau 1 est émise par l’Agence lorsque celle-ci détecte une non-conformité importante par rapport à la base de certification des équipements ATM/ANS établie au point ATM/ANS.EQMT.AR.B.001 de l’annexe I du règlement délégué (UE) 2023/1768 susceptible d’engendrer une non-conformité incontrôlée ou une éventuelle situation indésirable.
Les constatations de niveau 1 comprennent, de manière non exhaustive:
1) la promulgation de procédures opérationnelles entraînant un risque important pour les activités de l’organisme;
2) l’obtention ou le maintien de la validité d’un agrément d’organisme par falsification des preuves documentaires présentées;
3) la preuve d’une négligence professionnelle ou d’une utilisation frauduleuse d’un agrément d’organisme;
4) l’absence de dirigeant responsable.
d) Une constatation de niveau 2 est émise par l’Agence en cas de détection d’une non-conformité par rapport:
i) aux exigences applicables du règlement (UE) 2018/1139;
ii) aux actes délégués et d’exécution adoptés sur la base du règlement (UE) 2018/1139;
iii) aux procédures et manuels requis par le règlement (UE) 2018/1139; ou
iv) à l’agrément délivré conformément au règlement (UE) 2018/1139,
lorsque la constatation ne relève pas du niveau 1.
e) Lorsqu’une constatation est émise, l’Agence, sans préjudice de toute action supplémentaire requise par le règlement (UE) 2018/1139 et les actes délégués et d’exécution adoptés sur la base de celui-ci, communique la constatation par écrit à l’organisme concerné et lui impose de prendre des mesures correctives pour remédier à la non-conformité ou aux non-conformités détectées.
1) Dans le cas des constatations de niveau 1, l’Agence prend immédiatement des mesures exécutoires appropriées et peut, le cas échéant, limiter, suspendre ou retirer en tout ou en partie l’agrément jusqu’à ce que l’organisme ait appliqué une mesure corrective avec succès.
2) Dans le cas des constatations de niveau 2, l’Agence:
i) accorde à l’organisme un délai de mise en œuvre de la mesure corrective, entrant dans le cadre d’un plan d’action adapté à la nature de la constatation;
ii) évalue le plan de mesures correctives et le plan de mise en œuvre proposés par l’organisme et, si l’évaluation conclut qu’ils sont suffisants pour corriger la ou les non-conformités, les accepte.
3) Dans le cas des constatations de niveau 2, lorsque l’organisme ne soumet pas de plan de mesures correctives qui soit acceptable pour l’Agence au regard de la constatation, ou lorsqu’il n’applique pas la mesure corrective dans le délai accordé ou prolongé par l’Agence, la constatation peut être portée au niveau 1 et des mesures sont alors prises conformément au point e) 1).
f) En ce qui concerne les cas n’appelant pas de constatations de niveau 1 ou 2, l’Agence peut émettre des observations.
g) L’Agence:
1) suspend un certificat lorsqu’elle estime qu’il existe des motifs raisonnables selon lesquels une telle mesure est nécessaire pour prévenir une menace crédible pour la sécurité, la sûreté, les performances ou l’interopérabilité des équipements ATM/ANS;
2) délivre une consigne relative à un équipement ATM/ANS dans les conditions prévues au point ATM/ANS.EQMT.AR.A.030 de l’annexe I du règlement délégué (UE) 2023/1768;
3) suspend, retire ou limite un certificat si cela est nécessaire en vertu du point c);
4) prend immédiatement les mesures appropriées requises pour limiter ou interdire les activités d’un organisme ou d’une personne physique ou morale lorsqu’elle estime qu’il existe des motifs raisonnables selon lesquels cette mesure est nécessaire pour prévenir une menace crédible pour les équipements ATM/ANS;
5) enregistre une déclaration de conformité de la conception uniquement lorsque toutes les constatations issues de l’enquête de supervision initiale ont été résolues;
6) radie temporairement ou définitivement une déclaration de conformité de la conception lorsqu’elle estime qu’il existe des motifs raisonnables selon lesquels cette mesure est nécessaire pour prévenir une menace crédible pour la sécurité, la sûreté, les performances ou l’interopérabilité des équipements ATM/ANS;
7) prend toute autre mesure exécutoire nécessaire pour que soient corrigées les non-conformités par rapport aux exigences essentielles de l’annexe VIII et, s’il y a lieu, de l’annexe VII du règlement (UE) 2018/1139, ainsi qu’à celles de la présente annexe, et pour atténuer leurs conséquences, le cas échéant.
h) Lorsqu’elle prend des mesures exécutoires conformément au point g), l’Agence en fait part au destinataire, expose les motifs justifiant ces mesures et informe le destinataire de son droit de recours.