L’annexe II du règlement d’exécution (UE) 2023/203 est modifiée comme suit:
1) Au point IS.I.OR.250, les points b) et c) sont remplacés par le texte suivant:
«b) La première édition du MGSI doit être approuvée et une copie doit être conservée par l’autorité compétente. Aucune approbation n’est requise pour les organismes déclarés. Le MGSI doit être modifié en tant que de besoin pour conserver une description à jour du SGSI de l’organisme. Une copie de toute modification du MGSI doit être fournie à l’autorité compétente.
c) Les modifications apportées au MGSI doivent être gérées selon une procédure établie par l’organisme. Les modifications qui n’entrent pas dans le champ d’application de cette procédure et les modifications liées aux modifications visées au point IS.I.OR.255 b) doivent être approuvées par l’autorité compétente. Aucune approbation n’est requise pour les organismes déclarés.».
2) Le point IS.I.OR.255 est remplacé par le texte suivant:
«IS.I.OR.255 Modification du système de gestion de la sécurité de l’information
a) Les modifications apportées au SGSI peuvent être gérées et notifiées à l’autorité compétente dans le cadre d’une procédure élaborée par l’organisme. Cette procédure doit être approuvée par l’autorité compétente, sauf pour les organismes déclarés.
b) En ce qui concerne les modifications du SGSI non couvertes par la procédure visée au point a), l’organisme doit demander et obtenir une approbation délivrée par l’autorité compétente, sauf pour les organismes déclarés, pour lesquels aucune approbation n’est requise.
En ce qui concerne ces modifications:
1) la demande doit être soumise avant que ne soient apportées de telles modifications, afin de permettre à l’autorité compétente de déterminer le respect constant du présent règlement et de modifier, au besoin, le certificat d’organisme ainsi que les termes de l’agrément correspondants qui y sont joints;
2) l’organisme doit mettre à la disposition de l’autorité compétente toute information qu’elle demande pour évaluer la modification;
3) la modification ne doit être mise en œuvre qu’après réception de l’approbation formelle de l’autorité compétente, sauf pour les organismes déclarés, qui peuvent mettre en œuvre la modification immédiatement;
4) l’organisme doit exercer ses activités dans les conditions prescrites par l’autorité compétente pendant la mise en œuvre de ces modifications.».