diritto.io

Regolamento delegato (UE) 2022/1645 della Commissione del 14 luglio 2022 recante modalità di applicazione del regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio per quanto riguarda i requisiti per la gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea per le imprese disciplinate dai regolamenti (UE) n. 748/2012 e (UE) n. 139/2014 della Commissione e che modifica i regolamenti (UE) n. 748/2012 e (UE) n. 139/2014 della Commissione

Testo vigente

LA COMMISSIONE EUROPEA,

visto il regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio, del 4 luglio 2018, recante norme comuni nel settore dell’aviazione civile, che istituisce un’Agenzia dell’Unione europea per la sicurezza aerea e che modifica i regolamenti (CE) n. 2111/2005, (CE) n. 1008/2008, (UE) n. 996/2010, (UE) n. 376/2014 e le direttive 2014/30/UE e 2014/53/UE del Parlamento europeo e del Consiglio, e abroga i regolamenti (CE) n. 552/2004 e (CE) n. 216/2008 del Parlamento europeo e del Consiglio e il regolamento (CEE) n. 3922/91 del Consiglio1, in particolare l’articolo 19, paragrafo 1, lettera g), e l’articolo 39, paragrafo 1, lettera b),

Conformemente ai requisiti essenziali di cui all’allegato II, punto 3.1, lettera b), del regolamento (UE) 2018/1139, le organizzazioni di progettazione e produzione devono realizzare e mantenere un sistema di gestione per gestire i rischi in materia di sicurezza.

Inoltre, conformemente ai requisiti essenziali di cui all’allegato VII, punti 2.2.1 e 5.2, del regolamento (UE) 2018/1139, i gestori aeroportuali e le organizzazioni responsabili della fornitura di servizi di gestione del piazzale devono realizzare e mantenere un sistema di gestione per gestire i rischi in materia di sicurezza.

I rischi in materia di sicurezza di cui ai considerando 1 e 2 possono derivare da varie fonti, tra cui difetti di progettazione e di manutenzione, aspetti relativi alle prestazioni umane, minacce ambientali e alla sicurezza delle informazioni. È opportuno pertanto che i sistemi di gestione realizzati dalle organizzazioni di cui ai considerando 1 e 2 tengano conto non solo dei rischi in materia di sicurezza derivanti da eventi casuali, ma anche dei rischi in materia di sicurezza derivanti da minacce alla sicurezza delle informazioni in cui le falle esistenti possono essere sfruttate da individui con l’intento di nuocere. Tali rischi per la sicurezza delle informazioni sono in costante aumento nell’ambiente dell’aviazione civile dal momento che gli attuali sistemi informativi stanno diventando sempre più interconnessi e sempre più bersaglio di attori malintenzionati.

I rischi associati a tali sistemi informativi non si limitano a possibili attacchi al ciberspazio, ma comprendono anche minacce che possono influire sui processi e sulle procedure nonché sulle prestazioni umane.

Un numero significativo di imprese utilizza già norme internazionali, come l’ISO 27001, al fine di affrontare la questione della sicurezza delle informazioni e dei dati digitali. Tali norme potrebbero non affrontare pienamente tutte le specificità dell’aviazione civile.

È pertanto opportuno stabilire requisiti per la gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea.

È essenziale che tali requisiti riguardino i diversi settori dell’aviazione e le relative interfacce, dal momento che l’aviazione è un sistema di sistemi altamente interconnesso. Essi dovrebbero pertanto applicarsi a tutte le imprese che sono già tenute a disporre un sistema di gestione conformemente alla vigente normativa dell’Unione in materia di sicurezza aerea.

I requisiti di cui al presente regolamento dovrebbero essere applicati in modo coerente in tutti i settori dell’aviazione, generando nel contempo un impatto minimo sulla legislazione dell’Unione in materia di sicurezza aerea già applicabile a tali settori.

I requisiti di cui al presente regolamento dovrebbero lasciare impregiudicati gli obblighi in materia di sicurezza delle informazioni e cibersicurezza di cui al punto 1.7 dell’allegato del regolamento di esecuzione (UE) 2015/1998 della Commissione2 e all’articolo 14 della direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio3.

La definizione di sicurezza delle informazioni utilizzata ai fini del presente atto giuridico non dovrebbe essere interpretata come divergente dalla definizione di sicurezza delle reti e dei sistemi informativi di cui alla direttiva 2016/1148.

Al fine di evitare la duplicazione dei requisiti giuridici, qualora le imprese contemplate dal presente regolamento siano già soggette a obblighi di sicurezza derivanti da altri atti dell’Unione di cui al considerando 9, che sono, nei relativi effetti, equivalenti alle disposizioni del presente regolamento, la conformità a tali obblighi di sicurezza dovrebbe essere considerata conforme ai requisiti stabiliti dal presente regolamento.

Le imprese di cui al presente regolamento che sono già soggette agli obblighi di sicurezza derivanti dal regolamento di esecuzione (UE) 2015/1998 dovrebbero inoltre conformarsi ai requisiti di cui all’allegato I (parte IS.D.OR.230 «Sistema di segnalazione esterna della sicurezza delle informazioni») del presente regolamento, poiché il regolamento (UE) 2015/1998 non contiene disposizioni relative alla segnalazione esterna degli inconvenienti per la sicurezza delle informazioni.

I regolamenti di esecuzione (UE) n. 748/20124 e (UE) n. 139/2014 della Commissione5 dovrebbero essere modificati al fine di stabilire un legame tra i sistemi di gestione prescritti dai regolamenti sopra elencati e i requisiti di gestione della sicurezza delle informazioni prescritti dal presente regolamento.

Al fine di fornire alle imprese il tempo sufficiente per garantire la conformità alle nuove norme e procedure introdotte dal presente regolamento, è opportuno che il presente regolamento si applichi a decorrere da tre anni dalla data di entrata in vigore.

I requisiti stabiliti dal presente regolamento si basano sul parere n. 03/20216, emesso dall’Agenzia in conformità all’articolo 75, paragrafo 2, lettere b) e c), e dell’articolo 76, paragrafo 1, del regolamento (UE) 2018/1139.

Conformemente all’articolo 128, paragrafo 4, del regolamento (UE) 2018/1139, la Commissione ha consultato gli esperti designati da ciascuno Stato membro nel rispetto dei principi stabiliti nell’accordo interistituzionale «Legiferare meglio» del 13 aprile 20167,

HA ADOTTATO IL PRESENTE REGOLAMENTO:

Art. 1 Oggetto

Il presente regolamento stabilisce i requisiti che devono essere soddisfatti dalle imprese di cui all’articolo 2 al fine di individuare e gestire i rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea che potrebbero incidere sui sistemi di tecnologia dell’informazione e della comunicazione e sui dati utilizzati per finalità relative all’aviazione civile, nonché rilevare gli eventi relativi alla sicurezza delle informazioni e individuare quelli che sono considerati inconvenienti per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea, rispondere a tali inconvenienti e provvedere al ripristino.

Art. 2 Ambito di applicazione

1. Il presente regolamento si applica alle seguenti imprese:

  1. a) le imprese di produzione e le imprese di progettazione soggette all’allegato I (parte 21), sezione A, capitoli G e J, del regolamento (UE) n. 748/2012, ad eccezione delle imprese di progettazione e di produzione che partecipano esclusivamente alla progettazione e/o alla produzione di aeromobili ELA2, quali definiti all’articolo 1, paragrafo 2, lettera j), del regolamento (UE) n. 748/2012;

  2. b) i gestori aeroportuali e i fornitori di servizi di gestione del piazzale soggetti all’allegato III «Parte requisiti per l’organizzazione (Parte-ADR.OR)» del regolamento (UE) n. 139/2014.

2. Il presente regolamento lascia impregiudicati gli obblighi in materia di sicurezza delle informazioni e cibersicurezza di cui al punto 1.7 dell’allegato del regolamento di esecuzione (UE) 2015/1998 e all’articolo 14 della direttiva (UE) 2016/1148.

Art. 3 Definizioni

Ai fini del presente regolamento si applicano le definizioni seguenti:

  1. 1) «sicurezza delle informazioni»: la salvaguardia della riservatezza, dell’integrità, dell’autenticità e della disponibilità della rete e dei sistemi informativi;

  2. 2) «evento relativo alla sicurezza delle informazioni»: un evento individuato di un sistema, di un servizio o di uno stato di rete che indica una possibile violazione della politica di sicurezza delle informazioni, o un’avaria dei controlli di sicurezza delle informazioni, o una situazione precedentemente sconosciuta che può essere pertinente per la sicurezza delle informazioni;

  3. 3) «inconveniente»: ogni evento con un effetto pregiudizievole per la sicurezza della rete e dei sistemi informativi quale definito all’articolo 4, punto 7, della direttiva (UE) 2016/1148;

  4. 4) «rischio per la sicurezza delle informazioni»: il rischio per le operazioni organizzative dell’aviazione civile, i beni, le persone fisiche e altre imprese a causa del potenziale di un evento relativo alla sicurezza delle informazioni. I rischi per la sicurezza delle informazioni sono associati alla possibilità che le minacce sfruttino le vulnerabilità di una risorsa informativa o di un gruppo di risorse informative;

  5. 5) «minaccia»: una potenziale violazione della sicurezza delle informazioni che sussiste in presenza di un’entità, una circostanza, un’azione o un evento che potrebbe nuocere;

  6. 6) «vulnerabilità»: una falla o una debolezza in un bene o in un sistema, nelle procedure, nella progettazione, nell’attuazione o nelle misure di sicurezza delle informazioni, che potrebbe essere sfruttata e che si traduce in una violazione della politica di sicurezza delle informazioni.

Art. 4 Obblighi derivanti da altre normative dell’Unione

1. Se un’impresa di cui all’articolo 2 soddisfa gli obblighi in materia di sicurezza di cui all’articolo 14 della direttiva (UE) 2016/1148 equivalenti ai requisiti di cui al presente regolamento, la conformità a tali obblighi di sicurezza è considerata come conformità ai requisiti di cui al presente regolamento.

2. Se un’impresa di cui all’articolo 2 è un operatore o un’entità di cui ai programmi nazionali per la sicurezza dell’aviazione civile degli Stati membri stabiliti a norma dell’articolo 10 del regolamento (CE) n. 300/2008 del Parlamento europeo e del Consiglio8, gli obblighi in materia di cibersicurezza di cui al punto 1.7 dell’allegato del regolamento di esecuzione (UE) 2015/1998 sono considerati equivalenti ai requisiti di cui al presente regolamento, tranne per quanto riguarda il punto IS.D.OR.230 dell’allegato del presente regolamento che è da rispettare.

3. La Commissione, previa consultazione dell’AESA e del gruppo di cooperazione di cui all’articolo 11 della direttiva (UE) 2016/1148, può emanare orientamenti per la valutazione dell’equivalenza tra i requisiti di cui al presente regolamento e gli obblighi di cui alla direttiva (UE) 2016/1148.

Art. 5 Autorità competente

1. L’autorità responsabile della certificazione e del controllo della conformità al presente regolamento è:

  1. a) per quanto riguarda le imprese di cui all’articolo 2, lettera a), l’autorità competente designata conformemente all’allegato I (parte 21) del regolamento (UE) n. 748/2012;

  2. b) per quanto riguarda le imprese di cui all’articolo 2, lettera b), l’autorità competente designata conformemente all’allegato III (Parte-ADR.OR) del regolamento (UE) n. 139/2014.

2. Ai fini del presente regolamento gli Stati membri possono designare un’entità indipendente e autonoma per svolgere il ruolo e le responsabilità assegnati alle autorità competenti di cui al paragrafo 1. In tal caso, sono stabilite misure di coordinamento tra tale entità e le autorità competenti di cui al paragrafo 1, al fine di garantire una supervisione efficace di tutti i requisiti che l’impresa deve soddisfare.

Art. 6 Modifica del regolamento (UE) n. 748/2012

L’allegato I (parte 21) del regolamento (UE) n. 748/2012 è così modificato:

  1. 1) l’indice è così modificato:

    1. a) dopo il titolo 21.A.139 è inserito il titolo seguente: «21.A.139 A Sistema di gestione della sicurezza delle informazioni»;

    2. b) dopo il titolo 21.A.239 è inserito il titolo seguente: «21.A.239 A Sistema di gestione della sicurezza delle informazioni»;

  2. 2) il seguente punto 21.A.139 A è inserito dopo il punto 21.A.139: «21.A.139 A Sistema di gestione della sicurezza delle informazioni Oltre al sistema di gestione della produzione di cui al punto 21.A.139, l’impresa di produzione istituisce, realizza e mantiene un sistema di gestione della sicurezza delle informazioni conformemente al regolamento delegato (UE) 2022/1645 della Commissione9 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.

  3. 3) il seguente punto 21.A.239 A è inserito dopo il punto 21.A.239: «21.A.239 A Sistema di gestione della sicurezza delle informazioni Oltre al sistema di gestione del progetto di cui al punto 21.A.239, l’impresa di progettazione istituisce, realizza e mantiene un sistema di gestione della sicurezza delle informazioni conformemente al regolamento delegato (UE) 2022/1645 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.».

Art. 7 Modifica del regolamento (UE) n. 139/2014

L’allegato III (Parte-ADR.OR) del regolamento (UE) n. 139/2014 è così modificato:

  1. 1) la seguente norma ADR.OR.D.005 A è inserita dopo la norma ADR.OR.D.005: «ADR.OR.D.005 A Sistema di gestione della sicurezza delle informazioni Il gestore aeroportuale istituisce, attua e mantiene un sistema di gestione della sicurezza delle informazioni conformemente al regolamento delegato (UE) 2022/1645 della Commissione10 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.

  2. 2) la norma ADR.OR.D.007 è sostituita dalla seguente: «ADR.OR.D.007 Gestione dei dati aeronautici e delle informazioni aeronautiche a) Nell’ambito del suo sistema di gestione, il gestore aeroportuale deve attuare e mantenere un sistema di gestione della qualità che comprenda: 1) le sue attività sui dati aeronautici; 2) le sue attività di fornitura di informazioni aeronautiche. b) Nell’ambito del suo sistema di gestione, il gestore aeroportuale deve istituire un sistema di gestione della sicurezza per garantire la sicurezza dei dati operativi che riceve, o produce, o impiega in altro modo, in maniera tale che l’accesso a tali dati operativi sia limitato a coloro che sono stati autorizzati. c) Il sistema di gestione della sicurezza deve definire i seguenti elementi: 1) le procedure relative alla valutazione e all’attenuazione dei rischi per la sicurezza dei dati, al monitoraggio e al miglioramento della sicurezza, al riesame della sicurezza e alla diffusione degli insegnamenti tratti; 2) i mezzi per rilevare le violazioni della sicurezza e allertare il personale con opportuni avvisi di sicurezza; 3) i mezzi per controllare gli effetti delle violazioni della sicurezza e individuare le misure di ripristino della sicurezza e le procedure di attenuazione per evitare che tali eventi si ripetano. d) Il gestore aeroportuale deve garantire che il suo personale abbia ricevuto il nulla osta di sicurezza per quanto riguarda la sicurezza dei dati aeronautici. e) Gli aspetti relativi alla sicurezza delle informazioni devono essere gestiti conformemente alla norma ADR.OR.D.005 A.»;

  3. 3) la seguente norma ADR.OR.F.045 A è inserita dopo la norma ADR.OR.F.045: «ADR.OR.F.045 A Sistema di gestione della sicurezza delle informazioni L’impresa responsabile della fornitura di servizi di gestione del piazzale deve istituire, attuare e mantenere un sistema di gestione della sicurezza delle informazioni conformemente al regolamento delegato (UE) 2022/1645 al fine di garantire la corretta gestione dei rischi per la sicurezza delle informazioni che possono avere un impatto sulla sicurezza aerea.».

Art. 8

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Esso si applica a decorrere dal 16 ottobre 2025.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri. Fatto a Bruxelles, il 14 luglio 2022 Per la Commissione La presidente Ursula von der Leyen

Fonti e licenze