Agencia Estatal Boletín Oficial del Estado

(1)

De conformidad con los requisitos esenciales establecidos en el anexo II, punto 3.1, letra b), del Reglamento (UE) 2018/1139, las organizaciones de gestión del mantenimiento de la aeronavegabilidad y las organizaciones de mantenimiento deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(2)

Además, de conformidad con los requisitos esenciales establecidos en el anexo IV, punto 3.3, letra b), y punto 5, letra b), del Reglamento (UE) 2018/1139, las organizaciones de formación de pilotos y tripulantes de cabina de pasajeros, los centros de medicina aeronáutica para la tripulación y los operadores de dispositivos de simulación de vuelo para entrenamiento deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(3)

Asimismo, de conformidad con los requisitos esenciales establecidos en el anexo V, punto 8.1, letra c), del Reglamento (UE) 2018/1139, los operadores aéreos deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(4)

Por otra parte, de conformidad con los requisitos esenciales establecidos en el anexo VIII, punto 5.1, letra c), y punto 5.4, letra b), del Reglamento (UE) 2018/1139, los proveedores de servicios de gestión del tránsito aéreo y de navegación aérea, los proveedores de servicios de U-Space y los proveedores únicos de servicios de información común, así como las organizaciones de formación y los centros de medicina aeronáutica para los controladores de tránsito aéreo deben aplicar y mantener un sistema de gestión para gestionar los riesgos de seguridad.

(5)

Dichos riesgos de seguridad pueden surgir de diferentes fuentes, tales como los defectos de diseño y mantenimiento, los aspectos relacionados con el factor humano y las amenazas al medio ambiente y a la seguridad de la información. Por lo tanto, los sistemas de gestión que aplican la Agencia de la Unión Europea para la Seguridad Aérea («Agencia») y las organizaciones y autoridades nacionales competentes mencionadas en los considerandos anteriores deben tener en cuenta no solo los riesgos de seguridad cuyo origen se encuentre en hechos fortuitos, sino también aquellos derivados de amenazas a la seguridad de la información, si los defectos existentes pueden ser aprovechados por individuos que actúen de mala fe. Estos riesgos relacionados con la seguridad de la información aumentan constantemente en el entorno de la aviación civil, ya que los sistemas de información actuales están cada vez más interconectados y se están convirtiendo con mayor frecuencia en el objetivo de este tipo de individuos.

(6)

Los riesgos asociados a estos sistemas de información no se limitan a posibles ataques al ciberespacio, sino que abarcan también las amenazas que pueden afectar a los procesos y procedimientos, así como a la actuación de los seres humanos.

(7)

Un número significativo de organizaciones ya utilizan normas internacionales, como la ISO 27001, para ocuparse de la seguridad de la información y los datos digitales. Es posible que esas normas no traten en su totalidad las especificidades de la aviación civil. Por lo tanto, conviene establecer requisitos para la gestión de los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea.

(8)

Es esencial que estos requisitos cubran todos los ámbitos de la aviación y sus interfaces, ya que la aviación es un sistema de sistemas altamente interconectado. Por consiguiente, deben aplicarse a todas las organizaciones y autoridades competentes contempladas en los Reglamentos (UE) n.o 748/2012 (2), (UE) n.o 1321/2014 (3), (UE) n.o 965/2012 (4), (UE) n.o 1178/2011 (5), (UE) 2015/340 (6), (UE) n.o 139/2014 (7) de la Comisión y el Reglamento de Ejecución (UE) 2021/664 de la Comisión (8), también a aquellas que ya están obligadas a disponer de un sistema de gestión de conformidad con la legislación vigente en materia de seguridad aérea de la Unión. No obstante, algunas organizaciones deben quedar excluidas del ámbito de aplicación del presente Reglamento, a fin de garantizar la proporcionalidad adecuada con respecto a los menores riesgos relacionados con la seguridad de la información que plantean para el sistema de aviación.

(9)

Los requisitos establecidos en el presente Reglamento deben garantizar una aplicación coherente en todos los ámbitos de la aviación, generando al mismo tiempo un impacto mínimo sobre la legislación en materia de seguridad aérea de la Unión ya aplicable a dichos ámbitos.

(10)

Los requisitos establecidos en el presente Reglamento deben entenderse sin perjuicio de los requisitos en materia de seguridad de la información y ciberseguridad establecidos en el punto 1.7 del anexo del Reglamento de Ejecución (UE) 2015/1998 de la Comisión (9) y en el artículo 14 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo (10).

(11)

Los requisitos de seguridad establecidos en los artículos 33 a 43 del título V «Seguridad del programa» del Reglamento (UE) 2021/696 del Parlamento Europeo y del Consejo (11) se consideran equivalentes a los requisitos establecidos en el presente Reglamento, salvo en lo que respecta al punto IS.I.OR.230 del anexo II del presente Reglamento, que debe cumplirse.

(12)

Con el objetivo de proporcionar seguridad jurídica, la interpretación del término «seguridad de la información», tal como se define en el presente Reglamento, que refleja su uso común en la aviación civil a escala mundial, debe considerarse coherente con la del término «seguridad de las redes y sistemas de información», tal como se define en el artículo 4, apartado 2, de la Directiva (UE) 2016/1148. La definición de «seguridad de la información» utilizada a efectos del presente Reglamento no debe interpretarse como distinta de la definición de «seguridad de las redes y sistemas de información» establecida en la Directiva (UE) 2016/1148.

(13)

A fin de evitar la duplicación de los requisitos legales, cuando las organizaciones cubiertas por el presente Reglamento ya estén sujetas a requisitos de seguridad derivados de los actos de la Unión mencionados en los considerandos (10) y 11 que sean, en cuanto a su efecto, equivalentes a las disposiciones establecidas en el presente Reglamento, debe considerarse que el cumplimiento de aquellos requisitos de seguridad equivale al cumplimiento de los requisitos establecidos en el presente Reglamento.

(14)

Las organizaciones cubiertas por el presente Reglamento que ya estén sujetas a los requisitos de seguridad derivados del Reglamento de Ejecución (UE) 2015/1998 o del Reglamento (UE) 2021/696, o ambos, deben cumplir asimismo los requisitos del anexo II (parte IS.I.OR.230, «Sistema externo de notificación sobre seguridad de la información») del presente Reglamento, ya que ninguno de los Reglamentos contiene disposiciones relativas a la notificación externa de incidentes relacionados con la seguridad de la información.

(15)

En aras de la exhaustividad, los Reglamentos (UE) n.o 1178/2011, (UE) n.o 748/2012, (UE) n.o 965/2012, (UE) n.o 139/2014, (UE) n.o 1321/2014, (UE) 2015/340, y los Reglamentos de Ejecución (UE) 2017/373 de la Comisión (12) y (UE) 2021/664 deben modificarse para introducir los requisitos relativos al sistema de gestión de la seguridad de la información prescritos en el presente Reglamento, junto con los sistemas de gestión que en él se establecen, y para establecer los requisitos de las autoridades competentes en lo que respecta a la supervisión de las organizaciones que aplican dichos requisitos de gestión de la seguridad de la información.

(16)

A fin de que las organizaciones dispongan de tiempo suficiente para garantizar el cumplimiento de las nuevas normas y procedimientos, el presente Reglamento debe aplicarse tres años después de su entrada en vigor, excepto en el caso del proveedor de servicios de navegación aérea del sistema europeo de navegación por complemento geoestacionario (EGNOS) definido en el Reglamento de Ejecución (UE) 2017/373, para el que, debido a la acreditación de seguridad en curso del sistema EGNOS y sus servicios de conformidad con el Reglamento (UE) 2021/696, debe ser aplicable a partir del 1 de enero de 2026.

(17)

Los requisitos establecidos en el presente Reglamento se basan en el Dictamen n.o 03/2021 (13), emitido por la Agencia de conformidad con el artículo 75, apartado 2, letras b) y c), y el artículo 76, apartado 1, del Reglamento (UE) 2018/1139.

(18)

Los requisitos establecidos en el presente Reglamento se ajustan al dictamen del Comité para la aplicación de las normas comunes de seguridad en el ámbito de la aviación civil establecidas en el artículo 127 del Reglamento (UE) 2018/1139.

a)

las organizaciones de mantenimiento sujetas a lo dispuesto en la sección A del anexo II (parte 145) del Reglamento (UE) n.o 1321/2014, excepto aquellas que participen exclusivamente en el mantenimiento de aeronaves de conformidad con el anexo V ter (parte ML) del Reglamento (UE) n.o 1321/2014;

b)

las organizaciones de gestión del mantenimiento de la aeronavegabilidad («CAMO») sujetas a lo dispuesto en la sección A del anexo V quater (parte CAMO) del Reglamento (UE) n.o 1321/2014, excepto aquellas que participen exclusivamente en la gestión del mantenimiento de la aeronavegabilidad de las aeronaves de conformidad con el anexo V ter (parte ML) del Reglamento (UE) n.o 1321/2014;

c)

los operadores aéreos sujetos a lo dispuesto en el anexo III (parte ORO) del Reglamento (UE) n.o 965/2012, excepto aquellos que participen exclusivamente en la operación de cualquiera de las siguientes aeronaves:

i) una aeronave ELA2, tal como se define en el artículo 1, apartado 2, letra j), del Reglamento (UE) n.o  748/2012,

ii) aviones monomotor propulsados por hélice con una configuración máxima operativa de asientos de pasajeros de cinco plazas o menos que no estén clasificados como aeronaves motopropulsadas complejas, cuando despeguen y aterricen en el mismo aeródromo o lugar de operación y operen de acuerdo con las reglas de vuelo visual (VFR) diurnas,

iii) helicópteros monomotor con una configuración máxima operativa de asientos de pasajeros de cinco plazas o menos que no estén clasificados como aeronaves motopropulsadas complejas, cuando despeguen y aterricen en el mismo aeródromo o lugar de operación y operen de acuerdo con las VFR diurnas;

d)

las organizaciones de instrucción reconocidas (ATO) sujetas a lo dispuesto en el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011, excepto aquellas que participen exclusivamente en actividades de formación relacionadas con las aeronaves ELA2, tal como se definen en el artículo 1, apartado 2, letra j), del Reglamento (UE) n.o 748/2012, o en la formación teórica;

e)

los centros de medicina aeronáutica para la tripulación sujetos a lo dispuesto en el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011;

f)

los operadores de dispositivos de simulación de vuelo para entrenamiento (FSTD) sujetos a lo dispuesto en el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011, excepto aquellos que participen exclusivamente en la operación de FSTD para aeronaves ELA2, tal como se definen en el artículo 1, apartado 2, letra j), del Reglamento (UE) n.o 748/2012;

g)

las organizaciones de formación de controladores de tránsito aéreo (ATCO TO) y los centros de medicina aeronáutica para ATCO sujetos a lo dispuesto en el anexo III (parte ATCO.OR) del Reglamento (UE) 2015/340;

h)

las organizaciones sujetas a lo dispuesto en el anexo III (parte ATM/ANS.OR) del Reglamento de Ejecución (UE) 2017/373, excepto los siguientes proveedores de servicios:

i) los proveedores de servicios de navegación aérea titulares de un certificado limitado con arreglo al punto ATM/ANS.OR.A.010 de dicho anexo,

ii) los proveedores de servicios de información de vuelo que declaren sus actividades con arreglo al punto ATM/ ANS.OR.A.015 de dicho anexo;

i)

los proveedores de servicios de U-Space y los proveedores únicos de servicios de información común sujetos al Reglamento de Ejecución (UE) 2021/664.

1)

«seguridad de la información»: la preservación de la confidencialidad, integridad, autenticidad y disponibilidad de las redes y sistemas de información;

2)

«evento de seguridad de la información»: un suceso detectado en el estado de un sistema, servicio o red que indica una posible violación de la política de seguridad de la información o un fallo de los controles de seguridad de la información, o una situación desconocida hasta ese momento que puede tener importancia para la seguridad de la información;

3)

«incidente»: todo hecho que tenga efectos adversos reales en la seguridad de las redes y sistemas de información, tal como se define en el artículo 4, apartado 7, de la Directiva (UE) 2016/1148;

4)

«riesgo relacionado con la seguridad de la información»: el riesgo que implica la posibilidad de que se produzca un evento de seguridad de la información para las operaciones organizativas de la aviación civil, los activos, las personas y otras organizaciones; los riesgos relacionados con la seguridad de la información están asociados a la posibilidad de que las amenazas se aprovechen de las vulnerabilidades de un activo o grupo de activos de información;

5)

«amenaza»: una posible violación de la seguridad de la información que existe desde el momento en que una entidad, circunstancia, acción o hecho puede ocasionar daños;

6)

«vulnerabilidad»: defecto o debilidad presente en un activo o un sistema, en los procedimientos, en el diseño, en la aplicación o en las medidas de seguridad de la información que podría aprovecharse y dar lugar a un fallo o una violación de la política de seguridad de la información.

a)

en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra a), la autoridad competente designada de conformidad con el anexo II (parte 145) del Reglamento (UE) n.o 1321/2014;

b)

en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra b), la autoridad competente designada de conformidad con el anexo V quater (parte CAMO) del Reglamento (UE) n.o 1321/2014;

c)

en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra c), la autoridad competente designada de conformidad con el anexo III (parte ORO) del Reglamento (UE) n.o 965/2012;

d)

en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letras d) a f), la autoridad competente designada de conformidad con el anexo VII (parte ORA) del Reglamento (UE) n.o 1178/2011;

e)

en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra g), la autoridad competente designada de conformidad con el artículo 6, apartado 2, del Reglamento (UE) 2015/340;

f)

en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra h), la autoridad competente designada de conformidad con el artículo 4, apartado 1, del Reglamento de Ejecución (UE) 2017/373;

g)

en lo que respecta a las organizaciones contempladas en el artículo 2, apartado 1, letra i), la autoridad competente designada de conformidad con el artículo 14, apartado 1 o 2, según proceda, del Reglamento de Ejecución (UE) 2021/664.

IS.AR.100

IS.AR.200

IS.AR.205

IS.AR.210

IS.AR.215

IS.AR.220

IS.AR.225

IS.AR.230

IS.AR.235

a)

A fin de alcanzar los objetivos establecidos en el artículo 1, la autoridad competente creará, implantará y mantendrá un sistema de gestión de la seguridad de la información (SGSI) que garantice que la autoridad competente:

b)

A fin de cumplir ininterrumpidamente los requisitos contemplados en el artículo 1, la autoridad competente aplicará un proceso de mejora continua de conformidad con el punto IS.AR.235.

c)

La autoridad competente documentará todos los procesos, procedimientos, funciones y responsabilidades clave necesarios para cumplir lo dispuesto en el punto IS.AR.200, letra a), y establecerá un proceso para modificar dicha documentación.

d)

Los procesos, procedimientos, funciones y responsabilidades establecidos por la autoridad competente para cumplir lo dispuesto en el punto IS.AR.200, letra a), corresponderán a la naturaleza y complejidad de sus actividades, sobre la base de una evaluación de los riesgos relacionados con la seguridad de la información inherentes a dichas actividades, y podrán integrarse en otros sistemas de gestión ya implantados por la autoridad competente.

a)

La autoridad competente determinará, entre todos los elementos de su propia organización, cuáles pueden estar expuestos a riesgos relacionados con la seguridad de la información. Esto deberá incluir:

b)

La autoridad competente identificará las interfaces que su propia organización tiene con otras organizaciones y que podrían dar lugar a una exposición mutua a riesgos relacionados con la seguridad de la información.

c)

Por lo que respecta a los elementos e interfaces a que se refieren las letras a) y b), la autoridad competente determinará los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea.

Para cada riesgo identificado, la autoridad competente:

La clasificación predefinida a que se refiere el punto 1) tendrá en cuenta el potencial para que suceda el escenario de amenaza y la gravedad de sus consecuencias para la seguridad. Mediante dicha clasificación, y teniendo en cuenta si la autoridad competente tiene un proceso de gestión de riesgos estructurado y repetible para las operaciones, la autoridad competente deberá ser capaz de establecer si el riesgo es aceptable o debe tratarse de conformidad con el punto IS.AR.210.

A fin de facilitar la comparabilidad mutua de las evaluaciones de riesgos, la asignación del nivel de riesgo con arreglo al punto 1) tendrá en cuenta la información pertinente obtenida en coordinación con las organizaciones a que se refiere la letra b).

d)

La autoridad competente revisará y actualizará la evaluación de riesgos efectuada de conformidad con las letras a), b) y c) en cualquiera de los casos siguientes:

a)

La autoridad competente desarrollará medidas para hacer frente a los riesgos inaceptables detectados de conformidad con el punto IS.AR.205, las aplicará a su debido tiempo y comprobará que siguen siendo eficaces. Dichas medidas permitirán a la autoridad competente:

Dichas medidas no introducirán nuevos riesgos potenciales para la seguridad aérea que resulten inaceptables.

b)

La persona a que se refiere el punto IS.AR.225, letra a), y el resto del personal afectado de la autoridad competente serán informados del resultado de la evaluación de riesgos efectuada de conformidad con el punto IS.AR.205, los escenarios de amenaza correspondientes y las medidas que deban aplicarse.

La autoridad competente también informará a las organizaciones con las que tenga una interfaz de conformidad con el punto IS.AR.205, letra b), de cualquier riesgo compartido entre la autoridad competente y la organización.

a)

Sobre la base del resultado de la evaluación de riesgos efectuada de conformidad con el punto IS.AR.205 y del resultado del tratamiento de los riesgos realizado de conformidad con el punto IS.AR.210, la autoridad competente aplicará medidas para detectar eventos que indiquen la posible materialización de riesgos inaceptables y que puedan repercutir sobre la seguridad aérea. Estas medidas de detección permitirán a la autoridad competente:

b)

La autoridad competente aplicará medidas para responder a cualquier situación identificada de conformidad con la letra a) que pueda evolucionar o haber evolucionado hasta convertirse en un incidente relacionado con la seguridad de la información. Estas medidas de respuesta permitirán a la autoridad competente:

c)

La autoridad competente aplicará medidas destinadas a recuperarse de incidentes relacionados con la seguridad de la información, incluidas medidas de emergencia, en caso necesario. Estas medidas de recuperación permitirán a la autoridad competente:

a)

contará con una persona facultada para establecer y mantener las estructuras organizativas, las políticas, los procesos y los procedimientos necesarios para aplicar el presente Reglamento.

Esta persona:

b)

contará con un proceso que garantice que dispone de personal suficiente para llevar a cabo las actividades contempladas en el presente anexo;

c)

contará con un proceso que garantice que el personal a que se refiere la letra b) tenga la competencia necesaria para llevar a cabo sus tareas;

d)

contará con un proceso que garantice que el personal reconozca las responsabilidades asociadas a las funciones y tareas que tiene asignadas;

e)

velará por que se establezca adecuadamente la identidad y la fiabilidad del personal que tenga acceso a los sistemas de información y a los datos sujetos a los requisitos del presente Reglamento.

a)

La autoridad competente conservará registros de sus actividades de gestión de la seguridad de la información.

b)

La autoridad competente llevará registros de la cualificación y experiencia del personal a su servicio que participe en actividades de gestión de la seguridad de la información.

c)

El formato de los registros se especificará en los procedimientos de la autoridad competente.

d)

Los registros deberán guardarse de forma que estén protegidos frente a daños, alteraciones y robo, y la información se clasificará, en caso necesario, de conformidad con su nivel de seguridad. La autoridad competente se asegurará de que los registros se almacenen utilizando métodos que garanticen la integridad, la autenticidad y el acceso autorizado.

a)

La autoridad competente evaluará, utilizando indicadores de rendimiento adecuados, la eficacia y madurez de su propio SGSI. La evaluación se realizará con arreglo a un calendario predefinido por la autoridad competente o a raíz de un incidente de seguridad de la información.

b)

Si se detectan deficiencias tras la evaluación realizada de conformidad con la letra a), la autoridad competente adoptará las medidas de mejora necesarias para garantizar que el SGSI sigue cumpliendo los requisitos aplicables y mantiene los riesgos relacionados con la seguridad de la información a un nivel aceptable. Además, la autoridad competente reevaluará los elementos del SGSI afectados por las medidas adoptadas.

IS.I.OR.100

IS.I.OR.200

IS.I.OR.205

IS.I.OR.210

IS.I.OR.215

IS.I.OR.220

IS.I.OR.225

IS.I.OR.230

IS.I.OR.235

IS.I.OR.240

IS.I.OR.245

IS.I.OR.250

IS.I.OR.255

IS.I.OR.260

a)

A fin de alcanzar los objetivos establecidos en el artículo 1, la organización creará, implantará y mantendrá un sistema de gestión de la seguridad de la información (SGSI) que garantice que la organización:

b)

A fin de cumplir ininterrumpidamente los requisitos contemplados en el artículo 1, la organización aplicará un proceso de mejora continua de conformidad con el punto IS.I.OR.260.

c)

La organización documentará, de conformidad con el punto IS.I.OR.250, todos los procesos, procedimientos, funciones y responsabilidades clave necesarios para cumplir lo dispuesto en el punto IS.I.OR.200, letra a), y establecerá un proceso para modificar dicha documentación. Los cambios que se produzcan en esos procesos, procedimientos, funciones y responsabilidades se gestionarán de conformidad con el punto IS.I.OR.255.

d)

Los procesos, procedimientos, funciones y responsabilidades establecidos por la organización para cumplir lo dispuesto en el punto IS.I.OR.200, letra a), corresponderán a la naturaleza y complejidad de sus actividades, sobre la base de una evaluación de los riesgos relacionados con la seguridad de la información inherentes a dichas actividades, y podrán integrarse en otros sistemas de gestión ya implantados por la organización.

e)

Sin perjuicio de la obligación de cumplir los requisitos de información establecidos en el Reglamento (UE) n.o 376/2014 y los requisitos establecidos en el punto IS.I.OR.200, letra a), punto 13), la autoridad competente podrá permitir que la organización no aplique los requisitos a que se refieren las letras a) a d) ni los requisitos relacionados que figuran en los puntos IS.I.OR.205 a IS.I.OR.260 si demuestra a satisfacción de dicha autoridad que sus actividades, instalaciones y recursos, así como los servicios que gestiona, presta, recibe y mantiene, no plantean ningún riesgo relacionado con la seguridad de la información que pueda repercutir en la seguridad aérea, ni para ella misma ni para otras organizaciones. La aprobación se basará en una evaluación del riesgo relacionado con la seguridad de la información documentada y realizada por la organización o un tercero de conformidad con el punto IS.I.OR.205 y revisada y aprobada por su autoridad competente.

El mantenimiento de la validez de dicha aprobación será revisado por la autoridad competente tras el ciclo de auditoría de supervisión aplicable y cada vez que se introduzcan cambios en el ámbito de trabajo de la organización.

a)

La organización determinará, entre todos sus elementos, cuáles pueden estar expuestos a riesgos relacionados con la seguridad de la información. Esto incluirá:

b)

La organización identificará las interfaces que tiene con otras organizaciones y que podrían dar lugar a una exposición mutua a riesgos relacionados con la seguridad de la información.

c)

Por lo que respecta a los elementos e interfaces a que se refieren las letras a) y b), la organización determinará los riesgos relacionados con la seguridad de la información que puedan repercutir sobre la seguridad aérea. Para cada riesgo identificado, la organización:

La clasificación predefinida a que se refiere el punto 1) tendrá en cuenta el potencial para que suceda el escenario de amenaza y la gravedad de sus consecuencias para la seguridad. Atendiendo a dicha clasificación, y teniendo en cuenta si la organización tiene un proceso de gestión de riesgos estructurado y repetible para las operaciones, la organización deberá ser capaz de establecer si el riesgo es aceptable o debe tratarse de conformidad con el punto IS.I.OR.210.

A fin de facilitar la comparabilidad mutua de las evaluaciones de riesgos, la asignación del nivel de riesgo con arreglo al punto 1) tendrá en cuenta la información pertinente obtenida en coordinación con las organizaciones a que se refiere la letra b).

d)

La organización revisará y actualizará la evaluación de riesgos efectuada de conformidad con las letras a), b) y, según proceda, con las letras c) o e) en cualquiera de las situaciones siguientes:

e)

Sin perjuicio de lo establecido en la letra c), las organizaciones que deban cumplir lo dispuesto en la subparte C del anexo III (parte ATM/ANS.OR) del Reglamento de Ejecución (UE) 2017/373 sustituirán el análisis de las repercusiones sobre la seguridad aérea por un análisis de las repercusiones sobre sus servicios con arreglo al estudio de seguridad exigido en el punto ATM/ANS.OR.C.005. Este estudio de seguridad se pondrá a disposición de los proveedores de servicios de tránsito aéreo a los que presten servicios, y dichos proveedores de servicios de tránsito aéreo serán responsables de evaluar las repercusiones sobre la seguridad aérea.

a)

La organización elaborará medidas para hacer frente a los riesgos inaceptables detectados de conformidad con el punto IS.I.OR.205, las aplicará a su debido tiempo y comprobará que siguen siendo eficaces. Dichas medidas permitirán a la organización:

Dichas medidas no introducirán nuevos riesgos potenciales para la seguridad aérea que resulten inaceptables.

b)

La persona a que se refiere el punto IS.I.OR.240, letras a) y b), y el resto del personal afectado de la organización serán informados del resultado de la evaluación de riesgos efectuada de conformidad con el punto IS.I.OR.205, los escenarios de amenaza correspondientes y las medidas que deban aplicarse.

La organización también informará a las organizaciones con las que tenga una interfaz de conformidad con el punto IS.I.OR.205, letra b), de cualquier riesgo compartido por ambas organizaciones.

a)

La organización establecerá un sistema interno de notificación que permita la recopilación y evaluación de eventos de seguridad de la información, incluidos los que deben notificarse con arreglo al punto IS.I.OR.230.

b)

Dicho sistema y el proceso a que se refiere el punto IS.I.OR.220 permitirán a la organización:

c)

Toda organización contratada que pueda exponer a la organización a riesgos relacionados con la seguridad de la información con posibles repercusiones sobre la seguridad aérea deberá notificar a la organización los eventos de seguridad de la información. Dichos informes se presentarán utilizando los procedimientos establecidos en los acuerdos contractuales específicos y se evaluarán de conformidad con la letra b).

d)

La organización cooperará en las investigaciones con cualquier otra organización que contribuya significativamente a la seguridad de la información de sus propias actividades.

e)

La organización podrá integrar ese sistema de notificación en otros sistemas de notificación que ya haya implantado.

a)

Sobre la base del resultado de la evaluación de riesgos efectuada de conformidad con el punto IS.I.OR.205 y del resultado del tratamiento de los riesgos realizado de conformidad con el punto IS.I.OR.210, la organización aplicará medidas para detectar incidentes y vulnerabilidades que indiquen la posible materialización de riesgos inaceptables y que puedan repercutir sobre la seguridad aérea. Estas medidas de detección permitirán a la organización:

b)

La organización aplicará medidas para responder a cualquier situación identificada de conformidad con la letra a) que pueda evolucionar o haber evolucionado hasta convertirse en un incidente relacionado con la seguridad de la información. Estas medidas de respuesta permitirán a la organización:

c)

La organización aplicará medidas destinadas a recuperarse de incidentes relacionados con la seguridad de la información, incluidas medidas de emergencia, en caso necesario. Estas medidas de recuperación permitirán a la organización:

a)

Tras la recepción de la notificación de incidencias presentada por la autoridad competente, la organización:

b)

Las acciones a que se refiere la letra a) se llevarán a cabo en el plazo acordado con la autoridad competente.

a)

La organización aplicará un sistema de notificación en materia de seguridad de la información que cumpla los requisitos establecidos en el Reglamento (UE) n.o 376/2014 y sus actos delegados y de ejecución, si dicho Reglamento es aplicable a la organización.

b)

Sin perjuicio de las obligaciones del Reglamento (UE) n.o 376/2014, la organización se asegurará de que se informe a su autoridad competente de cualquier incidente o vulnerabilidad en materia de seguridad de la información que pueda representar un riesgo significativo para la seguridad aérea. Además:

c)

La organización notificará las condiciones a que se refiere la letra b) del siguiente modo:

a)

La organización se asegurará de que, al contratar cualquier parte de las actividades mencionadas en el punto IS.I.OR.200 a otras organizaciones, las actividades contratadas cumplan los requisitos del presente Reglamento y la organización contratada trabaje bajo su supervisión. La organización velará por que los riesgos asociados a las actividades contratadas se gestionen adecuadamente.

b)

La organización garantizará que la autoridad competente pueda tener acceso, previa solicitud, a la organización contratada para determinar si sigue cumpliendo los requisitos aplicables establecidos en el presente Reglamento.

a)

El gestor responsable de la organización designado de conformidad con los Reglamentos (UE) n.o 1321/2014, (UE) n.o 965/2012, (UE) n.o 1178/2011, (UE) 2015/340, (UE) 2017/373 o el Reglamento de Ejecución (UE) 2021/664, según proceda, a que se refiere el artículo 2, apartado 1, del presente Reglamento tendrá autoridad corporativa para garantizar que todas las actividades exigidas por el presente Reglamento puedan financiarse y llevarse a cabo. Dicha persona deberá:

b)

El gestor responsable nombrará a una persona o grupo de personas que velarán por que la organización cumpla los requisitos del presente Reglamento, y definirá el alcance de su autoridad. Dicha persona o grupo de personas informará directamente al gestor responsable y tendrá los conocimientos, la formación y la experiencia adecuados para ejercer sus responsabilidades. En los procedimientos deberá determinarse quién sustituye a una persona determinada en caso de ausencia prolongada de esta.

c)

El gestor responsable nombrará a una persona o grupo de personas con la responsabilidad de gestionar la función de control del cumplimiento mencionada en el punto IS.I.OR.200, letra a), punto 12).

d)

Si la organización comparte estructuras organizativas, políticas, procesos y procedimientos de seguridad de la información con otras organizaciones o con áreas de su propia organización que no formen parte de la aprobación o declaración, el gestor responsable podrá delegar sus actividades en una persona responsable común.

En tal caso, se establecerán medidas de coordinación entre el gestor responsable de la organización y la persona responsable común para garantizar una integración adecuada de la gestión de la seguridad de la información en la organización.

e)

El gestor responsable o la persona responsable común a que se refiere la letra d) tendrá autoridad corporativa para establecer y mantener las estructuras organizativas, políticas, procesos y procedimientos necesarios para aplicar el punto IS.I.OR.200.

f)

La organización contará con un proceso que garantice que dispone de personal suficiente para llevar a cabo las actividades contempladas en el presente anexo.

g)

La organización contará con un proceso que garantice que el personal a que se refiere la letra f) tenga la competencia necesaria para llevar a cabo sus tareas.

h)

La organización contará con un proceso que garantice que el personal reconozca las responsabilidades asociadas a las funciones y tareas que tiene asignadas.

i)

La organización velará por que se establezca adecuadamente la identidad y la fiabilidad del personal que tenga acceso a los sistemas de información y a los datos sujetos a los requisitos del presente Reglamento.

a)

La organización conservará registros de sus actividades de gestión de la seguridad de la información.

b)

La organización llevará registros de la cualificación y experiencia del personal a su servicio que participe en actividades de gestión de la seguridad de la información.

c)

El formato de los registros se especificará en los procedimientos de la organización.

d)

Los registros deberán guardarse de forma que estén protegidos frente a daños, alteraciones y robo, y la información se clasificará, en caso necesario, de conformidad con su nivel de seguridad. La organización se asegurará de que los registros se almacenen utilizando métodos que garanticen la integridad, la autenticidad y el acceso autorizado.

a)

La organización pondrá a disposición de la autoridad competente un manual de gestión de la seguridad de la información (MGSI) y, en su caso, cualquier manual y procedimiento asociado referenciado que contenga:

b)

La autoridad competente aprobará la edición inicial del MGSI y conservará una copia. El MGSI se modificará según sea necesario para seguir constituyendo una descripción actualizada del SGSI de la organización. Se entregará a la autoridad competente una copia de las modificaciones introducidas en el MGSI.

c)

Las modificaciones del MGSI se gestionarán mediante un procedimiento establecido por la organización. Las modificaciones que no estén incluidas en el ámbito de este procedimiento, así como las modificaciones relacionadas con los cambios a que se refiere el punto IS.I.OR.255, letra b), serán aprobadas por la autoridad competente.

d)

La organización podrá integrar el MGSI con otras guías o manuales de gestión que posea, siempre que exista una referencia cruzada clara que indique qué partes de la guía o manual de gestión corresponden a los diferentes requisitos que figuran en el presente anexo.

a)

Los cambios en el SGSI podrán gestionarse y notificarse a la autoridad competente en un procedimiento elaborado por la organización. Este procedimiento deberá ser aprobado por la autoridad competente.

b)

Por lo que respecta a los cambios en el SGSI no cubiertos por el procedimiento a que se refiere la letra a), la organización solicitará y obtendrá una aprobación expedida por la autoridad competente.

Por lo que se refiere a estos cambios:

a)

La organización evaluará, utilizando indicadores de rendimiento adecuados, la eficacia y madurez del SGSI. Dicha evaluación se llevará a cabo con arreglo a un calendario predefinido por la organización o a raíz de un incidente de seguridad de la información.

b)

Si se detectan deficiencias tras la evaluación realizada de conformidad con la letra a), la organización adoptará las medidas de mejora necesarias para garantizar que el SGSI sigue cumpliendo los requisitos aplicables y mantiene los riesgos relacionados con la seguridad de la información a un nivel aceptable. Además, la organización reevaluará los elementos del SGSI afectados por las medidas adoptadas.

1)

El anexo VI (parte ARA) se modifica como sigue:

2)

El anexo VII (parte ORA) se modifica como sigue:

Tras el punto ORA.GEN.200, se inserta el punto ORA.GEN.200A siguiente:

«ORA.GEN.200A Sistema de gestión de la seguridad de la información

Además del sistema de gestión a que se refiere el punto ORA.GEN.200, la organización deberá establecer, implantar y mantener un sistema de gestión de la seguridad de la información de conformidad con el Reglamento de Ejecución (UE) 2023/203 a fin de garantizar una gestión adecuada de los riesgos relacionados con la seguridad de la información que puedan repercutir en la seguridad aérea.».

1)

el índice se modifica como sigue:

2)

en el punto 21.B.15, se añade la letra c) siguiente:

3)

tras el punto 21.B.20, se inserta el punto 21.B.20A siguiente:

“21.B.20A Reacción inmediata a un incidente o una vulnerabilidad relacionados con la seguridad de la información que repercutan en la seguridad aérea

4)

en el punto 21.B.25, se añade la letra e) siguiente:

5)

el punto 21.B.30 queda modificado como sigue:

6)

en el punto 21.B.221, se añade la letra g) siguiente:

7)

tras el punto 21.B.240, se inserta el punto 21.B.240A siguiente:

“21.B.240A Cambios en el sistema de gestión de la seguridad de la información

8)

en el punto 21.B.431, se añade la letra d) siguiente:

9)

tras el punto 21.B.435, se inserta el punto 21.B.435A siguiente:

«21.B.435A Cambios en el sistema de gestión de la seguridad de la información

1)

El anexo II (parte ARO) se modifica como sigue:

2)

El anexo III (parte ORO) se modifica como sigue:

tras el punto ORO.GEN.200, se inserta el punto ORO.GEN.200A siguiente:

«ORO.GEN.200A   Sistema de gestión de la seguridad de la información

Además del sistema de gestión a que se refiere el punto ORO.GEN.200, el operador deberá establecer, implantar y mantener un sistema de gestión de la seguridad de la información de conformidad con el Reglamento de Ejecución (UE) 2023/203 a fin de garantizar una gestión adecuada de los riesgos relacionados con la seguridad de la información que puedan repercutir en la seguridad aérea.».

1)

En el punto ADR.AR.A.025, se añade la letra c) siguiente:

2)

Tras el punto ADR.AR.A.030, se inserta el punto ADR.AR.A.030A siguiente:

«ADR.AR.A.030A Reacción inmediata a un incidente o una vulnerabilidad relacionados con la seguridad de la información que repercutan en la seguridad aérea

3)

En el punto ADR.AR.B.005, se añade la letra d) siguiente:

4)

El punto ADR.AR.B.010 queda modificado como sigue:

5)

En el apartado ADR.AR.C.005, se añade la letra f) siguiente:

6)

Tras el punto ADR.AR.C.040, se inserta el punto ADR.AR.C.040A siguiente:

«ADR.AR.C.040A Cambios en el sistema de gestión de la seguridad de la información

1)

El anexo II (parte 145) se modifica como sigue:

2)

El anexo III (parte 66) se modifica como sigue:

3)

El anexo V quater (parte CAMO) se modifica como sigue:

1)

El anexo II (parte ATCO.AR) se modifica como sigue:

2)

El anexo III (parte ATCO.OR) se modifica como sigue:

Tras el punto ATCO.OR.C.001, se inserta el punto ATCO.OR.C.001A siguiente:

«ATCO.OR.C.001A   Sistema de gestión de la seguridad de la información

Además del sistema de gestión a que se refiere el punto ATCO.OR.C.001, la organización de formación deberá establecer, implantar y mantener un sistema de gestión de la seguridad de la información de conformidad con el Reglamento de Ejecución (UE) 2023/203 a fin de garantizar una gestión adecuada de los riesgos relacionados con la seguridad de la información que puedan repercutir en la seguridad aérea.».

1)

El anexo II (parte ATM/ANS.AR) se modifica como sigue:

2)

El anexo III (parte ATM/ANS.OR) se modifica como sigue: