L’annexe du règlement délégué (UE) 2022/1645 est modifiée comme suit:
1) Le point IS.D.OR.200 a) 5) est modifié comme suit:
«5) définit et met en œuvre, conformément au point IS.D.OR.220, les mesures requises pour détecter les événements liés à la sécurité de l’information, recense les événements qui sont considérés comme des incidents susceptibles d’avoir des répercussions sur la sécurité aérienne, réagit à ces incidents de sécurité de l’information et garantit le rétablissement après incident;».
2) Les points IS.D.OR.250 b) et c) sont modifiés comme suit:
«b) La première édition du MGSI doit être approuvée et une copie doit être conservée par l’autorité compétente. Aucune approbation n’est requise pour les organismes déclarants. Le MGSI doit être modifié en tant que de besoin pour conserver une description à jour du SGSI de l’organisme. Une copie de toute modification du MGSI doit être fournie à l’autorité compétente.
c) Les modifications apportées au MGSI doivent être gérées selon une procédure établie par l’organisme. Toute modification qui n’entre pas dans le champ d’application de cette procédure et toute modification liée aux modifications visées au point IS.D.OR.255 b) doivent être approuvées par l’autorité compétente. Aucune approbation n’est requise pour les organismes déclarants.».
3) Le point IS.D.OR.255 est remplacé par le texte suivant:
«IS.D.OR.255 Modification du système de gestion de la sécurité de l’information
a) Les modifications apportées au SGSI peuvent être gérées et notifiées à l’autorité compétente dans le cadre d’une procédure élaborée par l’organisme. Cette procédure doit être approuvée par l’autorité compétente, sauf pour les organismes déclarants.
b) En ce qui concerne les modifications du SGSI non couvertes par la procédure visée au point a), l’organisme doit demander et obtenir une approbation délivrée par l’autorité compétente, sauf pour les organismes déclarants, pour lesquels aucune approbation n’est requise.
En ce qui concerne ces modifications:
1) la demande doit être soumise avant que ne soient apportées de telles modifications, afin de permettre à l’autorité compétente de déterminer le respect constant du présent règlement et de modifier, au besoin, le certificat d’organisme ainsi que les termes de l’agrément correspondants qui y sont joints;
2) l’organisme doit mettre à la disposition de l’autorité compétente toute information qu’elle demande pour évaluer la modification;
3) la modification ne doit être mise en œuvre qu’après réception de l’approbation formelle de l’autorité compétente, sauf pour les organismes déclarants, qui peuvent mettre en œuvre la modification immédiatement;
4) l’organisme doit exercer ses activités dans les conditions prescrites par l’autorité compétente pendant la mise en œuvre de ces modifications.».