diritto.io

Regolamento di esecuzione (UE) 2023/203 della Commissione del 27 ottobre 2022 che stabilisce le regole per l'applicazione del regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio per quanto riguarda i requisiti relativi alla gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea per le organizzazioni di cui ai regolamenti (UE) n. 1321/2014, (UE) n. 965/2012, (UE) n. 1178/2011 e (UE) 2015/340 della Commissione e ai regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione, e per le autorità competenti di cui ai regolamenti (UE) n. 748/2012, (UE) n. 1321/2014, (UE) n. 965/2012, (UE) n. 1178/2011, (UE) 2015/340 e (UE) n. 139/2014 della Commissione e ai regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione, e che modifica i regolamenti (UE) n. 1178/2011, (UE) n. 748/2012, (UE) n. 965/2012, (UE) n. 139/2014, (UE) n. 1321/2014 e (UE) 2015/340 della Commissione e i regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione

Testo vigente

LA COMMISSIONE EUROPEA,

visto il regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio, del 4 luglio 2018, recante norme comuni nel settore dell'aviazione civile, che istituisce un'Agenzia dell'Unione europea per la sicurezza aerea e che modifica i regolamenti (CE) n. 2111/2005, (CE) n. 1008/2008, (UE) n. 996/2010, (UE) n. 376/2014 e le direttive 2014/30/UE e 2014/53/UE del Parlamento europeo e del Consiglio, e abroga i regolamenti (CE) n. 552/2004 e (CE) n. 216/2008 del Parlamento europeo e del Consiglio e il regolamento (CEE) n. 3922/91 del Consiglio1, in particolare l'articolo 17, paragrafo 1, lettera b), l'articolo 27, paragrafo 1, lettera a), l'articolo 31, paragrafo 1, lettera b), l'articolo 43, paragrafo 1, lettera b), l'articolo 53, paragrafo 1, lettera a) e l'articolo 62, paragrafo 15, lettera c),

Conformemente ai requisiti essenziali di cui all'allegato II, punto 3.1, lettera b), del regolamento (UE) 2018/1139, le organizzazioni responsabili del mantenimento dell'aeronavigabilità e le organizzazioni di manutenzione devono realizzare e mantenere un sistema di gestione per gestire i rischi in materia di sicurezza.

Inoltre, conformemente ai requisiti essenziali di cui all'allegato IV, punto 3.3, lettera b), e punto 5, lettera b), del regolamento (UE) 2018/1139, le organizzazioni di addestramento dei piloti, le organizzazioni di addestramento degli equipaggi di cabina, i centri aeromedici per l'equipaggio e gli operatori di dispositivi di addestramento al volo simulato devono realizzare e mantenere un sistema di gestione per gestire i rischi in materia di sicurezza.

Inoltre conformemente ai requisiti essenziali di cui all'allegato V, punto 8.1, lettera c), del regolamento (UE) 2018/1139, gli operatori aerei devono realizzare e mantenere un sistema di gestione atto a gestire i rischi in materia di sicurezza.

Infine conformemente ai requisiti essenziali di cui all'allegato VIII, punto 5.1, lettera c), e punto 5.4, lettera b), del regolamento (UE) 2018/1139, i fornitori di servizi di gestione del traffico aereo e della navigazione aerea, i fornitori di servizi U-space e i fornitori unici di servizi comuni di informazione, nonché le organizzazioni di addestramento e i centri aeromedici per i controllori del traffico aereo devono realizzare e mantenere un sistema di gestione atto a gestire i rischi in materia di sicurezza.

Tali rischi in materia di sicurezza possono derivare da varie fonti, tra cui difetti di progettazione e di manutenzione, aspetti relativi alle prestazioni umane, minacce ambientali e alla sicurezza delle informazioni. È opportuno pertanto che i sistemi di gestione realizzati dall'Agenzia dell'Unione europea per la sicurezza aerea («l'Agenzia») e dalle autorità nazionali competenti e dalle organizzazioni di cui ai precedenti considerando, tengano conto non solo dei rischi in materia di sicurezza derivanti da eventi casuali, ma anche dei rischi in materia di sicurezza derivanti da minacce alla sicurezza delle informazioni in cui le falle esistenti possono essere sfruttate da individui con l'intento di nuocere. Tali rischi per la sicurezza delle informazioni sono in costante aumento nell'ambiente dell'aviazione civile poiché gli attuali sistemi informativi stanno diventando sempre più interconnessi e sempre più bersaglio di malintenzionati.

I rischi associati a tali sistemi informativi non si limitano a possibili attacchi al ciberspazio, ma comprendono anche minacce che possono influire sui processi e sulle procedure nonché sulle prestazioni umane.

Un numero significativo di organizzazioni utilizza già norme internazionali, come l'ISO 27001, al fine di affrontare la questione della sicurezza delle informazioni e dei dati digitali. Tali norme potrebbero non affrontare pienamente tutte le specificità dell'aviazione civile. È pertanto opportuno stabilire requisiti per la gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea.

È essenziale che tali requisiti riguardino tutti i settori dell'aviazione e le relative interfacce, dal momento che l'aviazione è un sistema di sistemi altamente interconnesso. Essi dovrebbero pertanto applicarsi a tutte le organizzazioni e autorità competenti di cui ai regolamenti (UE) n. 748/20122, (UE) n. 1321/20143, (UE) n. 965/20124, (UE) n. 1178/20115, (UE) 2015/3406 e (UE) n. 139/20147 della Commissione, e al regolamento di esecuzione (UE) 2021/664 della Commissione8, anche a quelle che sono già tenute a disporre di un sistema di gestione conformemente alla vigente normativa dell'Unione in materia di sicurezza aerea. Alcune organizzazioni dovrebbero tuttavia essere escluse dall'ambito di applicazione del presente regolamento al fine di garantire la debita proporzionalità ai minori rischi per la sicurezza delle informazioni che esse pongono al sistema dell'aviazione.

I requisiti di cui al presente regolamento dovrebbero garantire un'attuazione coerente in tutti i settori dell'aviazione, generando nel contempo un impatto minimo sulla legislazione dell'Unione in materia di sicurezza aerea già applicabile a tali settori.

I requisiti di cui al presente regolamento dovrebbero lasciare impregiudicati gli obblighi in materia di sicurezza delle informazioni e cibersicurezza di cui al punto 1.7 dell'allegato del regolamento di esecuzione (UE) 2015/1998 della Commissione9 e all'articolo 14 della direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio10.

I requisiti stabiliti al titolo V «Sicurezza del programma», articoli da 33 a 43, del regolamento (UE) 2021/696 del Parlamento europeo e del Consiglio11 sono considerati equivalenti ai requisiti di cui al presente regolamento, tranne per quanto riguarda il punto IS.I.OR.230 dell'allegato II del presente regolamento che dovrebbe essere rispettato.

Al fine di garantire la certezza del diritto, è opportuno che l'interpretazione del termine «sicurezza delle informazioni» quale definito nel presente regolamento, che riflette il suo uso comune nell'aviazione civile a livello mondiale, sia ritenuta analoga a quella del termine «sicurezza della rete e dei sistemi informativi» quale definito all'articolo 4, punto 2, della direttiva (UE) 2016/1148. La definizione di sicurezza delle informazioni utilizzata ai fini del presente regolamento non dovrebbe essere interpretata come divergente dalla definizione di sicurezza della rete e dei sistemi informativi di cui alla direttiva (UE) 2016/1148.

Al fine di evitare la duplicazione dei requisiti giuridici, qualora le organizzazioni contemplate dal presente regolamento siano già soggette a obblighi di sicurezza derivanti da atti dell'Unione di cui ai considerando 10 e 11, che sono, nei relativi effetti, equivalenti alle disposizioni del presente regolamento, la conformità a tali obblighi di sicurezza dovrebbe essere considerata conforme ai requisiti stabiliti dal presente regolamento.

Le organizzazioni di cui al presente regolamento che sono già soggette agli obblighi di sicurezza derivanti dal regolamento di esecuzione (UE) 2015/1998 o dal regolamento (UE) 2021/696, o da entrambi, dovrebbero inoltre conformarsi ai requisiti di cui all'allegato II (parte IS.I.OR.230 «Sistema di segnalazione esterna della sicurezza delle informazioni») del presente regolamento, poiché nessuno dei due regolamenti contiene disposizioni relative alla segnalazione esterna degli inconvenienti per la sicurezza delle informazioni.

Per completezza, i regolamenti (UE) n. 1178/2011, (UE) n. 748/2012, (UE) n. 965/2012, (UE) n. 139/2014, (UE) n. 1321/2014, (UE) 2015/340, e i regolamenti di esecuzione (UE) 2017/37312 e (UE) 2021/664 dovrebbero essere modificati al fine di introdurre i requisiti per i sistemi di gestione della sicurezza delle informazioni prescritti dal presente regolamento insieme ai sistemi di gestione ivi indicati, e stabilire i requisiti delle autorità competenti per quanto riguarda la sorveglianza delle organizzazioni che attuano i suddetti requisiti di gestione della sicurezza delle informazioni.

Al fine di offrire alle organizzazioni un periodo sufficiente per garantire la conformità alle nuove norme e procedure, è opportuno che il presente regolamento si applichi tre anni dopo la sua entrata in vigore, fatta eccezione per il fornitore di servizi di navigazione aerea del Servizio europeo di copertura per la navigazione geostazionaria (EGNOS) definito nel regolamento di esecuzione (UE) 2017/373, per il quale dovrebbe diventare applicabile dal 1o gennaio 2026 a causa dell'accreditamento di sicurezza in corso del sistema e dei servizi EGNOS conformemente al regolamento (UE) 2021/696.

I requisiti stabiliti nel presente regolamento si basano sul parere n. 03/202113, emesso dall'Agenzia in conformità all'articolo 75, paragrafo 2, lettere b) e c), e all'articolo 76, paragrafo 1, del regolamento (UE) 2018/1139.

I requisiti stabiliti nel presente regolamento sono conformi al parere del comitato per l'applicazione delle norme comuni di sicurezza nel settore dell'aviazione civile, istituito dall'articolo 127 del regolamento (UE) 2018/1139,

HA ADOTTATO IL PRESENTE REGOLAMENTO:

Art. 1 Oggetto

Il presente regolamento stabilisce i requisiti che devono essere soddisfatti dalle organizzazioni (imprese) e dalle autorità competenti al fine di:

  1. a) individuare e gestire i rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea che potrebbero incidere sui sistemi di tecnologia dell'informazione e della comunicazione e sui dati utilizzati per finalità relative all'aviazione civile;

  2. b) rilevare gli eventi relativi alla sicurezza delle informazioni e individuare quelli che sono considerati inconvenienti per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea;

  3. c) rispondere a tali inconvenienti e provvedere al ripristino.

Art. 2 Ambito di applicazione

Confronta versioni 3

1. Il presente regolamento si applica alle organizzazioni (imprese) seguenti:

  1. a) le imprese di manutenzione soggette all'allegato II (parte 145), sezione A, del regolamento (UE) n. 1321/2014, a eccezione di quelle che partecipano esclusivamente alla manutenzione di aeromobili conformemente all'allegato V ter (parte ML) del regolamento (UE) n. 1321/2014;

  2. b) le imprese per la gestione del mantenimento dell'aeronavigabilità (CAMO) soggette all'allegato V quater (parte CAMO), sezione A, del regolamento (UE) n. 1321/2014, a eccezione di quelle che partecipano esclusivamente alla gestione del mantenimento dell'aeronavigabilità degli aeromobili in conformità all'allegato V ter (parte ML) del regolamento (UE) n. 1321/2014;

  3. c) gli operatori aerei soggetti all'allegato III (parte ORO) del regolamento (UE) n. 965/2012, a eccezione di quelli che partecipano esclusivamente della gestione di uno dei velivoli seguenti:

    1. i) aeromobili ELA 2 quali definiti all'articolo 1, paragrafo 2, lettera j), del regolamento (UE) n. 748/2012;

    2. ii) velivoli monomotore a elica con una configurazione operativa massima di sedili passeggeri pari o inferiore a 5, che non sono classificati come aeromobili complessi a motore, quando decollano e atterrano nello stesso aerodromo o sito operativo e operano secondo le regole del volo a vista (VFR) diurno;

    3. iii) elicotteri monomotore con una configurazione operativa massima di sedili passeggeri pari o inferiore a 5, che non sono classificati come aeromobili complessi a motore, quando decollano e atterrano nello stesso aerodromo o sito operativo e operano secondo le regole del VFR diurno;

  4. d) le organizzazioni di addestramento autorizzate (ATO) soggette all'allegato VII (parte ORA) del regolamento (UE) n. 1178/2011, a eccezione di quelle che partecipano esclusivamente ad attività di addestramento per aeromobili ELA 2 quali definiti all'articolo 1, paragrafo 2, lettera j), del regolamento (UE) n. 748/2012, o che partecipano esclusivamente all'addestramento teorico;

  5. e) i centri aeromedici per equipaggi soggetti all'allegato VII (parte ORA) del regolamento (UE) n. 1178/2011;

  6. f) gli operatori di dispositivi di addestramento al volo simulato (FSTD) soggetti all'allegato VII (parte ORA) del regolamento (UE) n. 1178/2011, a eccezione di quelli che partecipano esclusivamente alla gestione di FSTD per aeromobili ELA 2, quali definiti all'articolo 1, paragrafo 2, lettera j), del regolamento (UE) n. 748/2012;

  7. g) le organizzazioni di addestramento dei controllori del traffico aereo (ATCO TO) e centri aeromedici ATCO soggetti all'allegato III (parte ATCO.OR) del regolamento (UE) 2015/340;

  8. h) le organizzazioni soggette all'allegato III (parte ATM/ANS.OR) del regolamento di esecuzione (UE) 2017/373, a eccezione dei fornitori di servizi seguenti:

    1. i) i fornitori di servizi di navigazione aerea in possesso di un certificato limitato in conformità al punto ATM/ ANS.OR.A.010 di tale allegato;

    2. ii) i fornitori di servizi di informazione di volo che dichiarano le loro attività in conformità al punto ATM/ ANS.OR.A.015 di tale allegato;

  9. i) i fornitori di servizi U-space e fornitori unici di servizi comuni di informazione soggetti al regolamento di esecuzione (UE) 2021/664.

  10. j) le organizzazioni approvate coinvolte nella progettazione o nella produzione di sistemi ATM/ANS e componenti ATM/ANS soggetti al regolamento di esecuzione (UE) 2023/1769 della Commissione1.

2. Il presente regolamento si applica alle autorità competenti, compresa l'Agenzia dell'Unione europea per la sicurezza aerea («l'Agenzia»), di cui all'articolo 6 del presente regolamento e all'articolo 5 del regolamento delegato (UE) 2022/1645 della Commissione14

3. Il presente regolamento si applica altresì all'autorità competente responsabile del rilascio, proroga, modifica, sospensione o revoca delle licenze di manutenzione aeronautica in conformità all'allegato III (parte 66) del regolamento (UE) n. 1321/2014.

3 bis. Il presente regolamento si applica anche all’autorità competente designata in conformità all’allegato I (parte AR.UAS) del regolamento di esecuzione (UE) 2024/1109 della Commissione3.

4. Il presente regolamento lascia impregiudicati gli obblighi in materia di sicurezza delle informazioni e cibersicurezza di cui al punto 1.7 dell'allegato del regolamento di esecuzione (UE) 2015/1998 e all'articolo 14 della direttiva (UE) 2016/1148.

Art. 3 Definizioni

Ai fini del presente regolamento si intende per:

  1. 1) «sicurezza delle informazioni»: la tutela della riservatezza, dell'integrità, dell'autenticità e della disponibilità della rete e dei sistemi informativi;

  2. 2) «evento relativo alla sicurezza delle informazioni»: un evento individuato di un sistema, di un servizio o di uno stato di rete che indica una possibile violazione della politica di sicurezza delle informazioni, o un'avaria dei controlli di sicurezza delle informazioni, o una situazione precedentemente sconosciuta che può essere pertinente per la sicurezza delle informazioni;

  3. 3) «inconveniente»: ogni evento con un reale effetto pregiudizievole per la sicurezza della rete e dei sistemi informativi, definito quale «incidente» all'articolo 4, punto 7, della direttiva (UE) 2016/1148;

  4. 4) «rischio per la sicurezza delle informazioni»: il rischio per le operazioni organizzative dell'aviazione civile, i beni, le persone fisiche e altre imprese a causa del potenziale di un evento relativo alla sicurezza delle informazioni. I rischi per la sicurezza delle informazioni sono associati alla possibilità che le minacce sfruttino le vulnerabilità di una risorsa informativa o di un gruppo di risorse informative;

  5. 5) «minaccia»: una potenziale violazione della sicurezza delle informazioni che sussiste in presenza di un'entità, una circostanza, un'azione o un evento che potrebbe nuocere;

  6. 6) «vulnerabilità»: una falla o una debolezza in un bene o in un sistema, nelle procedure, nella progettazione, nell'attuazione o nelle misure di sicurezza delle informazioni, che potrebbe essere sfruttata e che si traduce in una violazione della politica di sicurezza delle informazioni.

Art. 4 Requisiti per le organizzazioni (imprese) e le autorità competenti

Confronta versioni 2

1. Le organizzazioni (imprese) di cui all'articolo 2, paragrafo 1, rispettano i requisiti dell'allegato II (parte IS.I.OR) del presente regolamento.

2. Le autorità competenti di cui all’articolo 2, paragrafi 2, 3 e 3 bis, rispettano i requisiti dell’allegato I (parte IS.AR) del presente regolamento.

Art. 5 Obblighi derivanti da altre normative dell'Unione

1. Se un'impresa di cui all'articolo 2, paragrafo 1, soddisfa gli obblighi in materia di sicurezza stabiliti conformemente all'articolo 14 della direttiva (UE) 2016/1148, equivalenti agli obblighi di cui al presente regolamento, la conformità a tali obblighi di sicurezza è considerata come conformità agli obblighi di cui al presente regolamento.

2. Se un'organizzazione (impresa) di cui all'articolo 2, paragrafo 1, è un operatore o un'entità di cui ai programmi nazionali per la sicurezza dell'aviazione civile degli Stati membri stabiliti a norma dell'articolo 10 del regolamento (CE) n. 300/2008 del Parlamento europeo e del Consiglio15, gli obblighi in materia di cibersicurezza di cui al punto 1.7 dell'allegato del regolamento di esecuzione (UE) 2015/1998 sono considerati equivalenti ai requisiti di cui al presente regolamento, tranne per quanto riguarda il punto IS.I.OR.230 dell'allegato II del presente regolamento che è da rispettare di per sé.

3. Nei casi in cui l'organizzazione (impresa) di cui all'articolo 2, paragrafo 1, sia il fornitore di servizi di navigazione aerea del Servizio europeo di copertura per la navigazione geostazionaria (EGNOS) di cui al regolamento (UE) 2021/696, i requisiti di cui agli articoli da 33 a 43 del titolo V di tale regolamento sono considerati equivalenti ai requisiti di cui al presente regolamento, tranne per quanto riguarda il punto IS.I.OR.230 dell'allegato II del presente regolamento che è da rispettare di per sé.

4. La Commissione, previa consultazione dell'Agenzia e del gruppo di cooperazione di cui all'articolo 11 della direttiva (UE) 2016/1148, può emanare orientamenti per la valutazione dell'equivalenza tra i requisiti di cui al presente regolamento e quelli di cui alla direttiva (UE) 2016/1148.

Art. 6 Autorità competente

Confronta versioni 2

1. Fatti salvi i compiti affidati al comitato di accreditamento di sicurezza (SAB) di cui all'articolo 36 del regolamento (UE) 2021/696, l'autorità responsabile della certificazione e della supervisione della conformità al presente regolamento è:

  1. a) per quanto riguarda le imprese di cui all'articolo 2, paragrafo 1, lettera a), l'autorità competente designata conformemente all'allegato II (parte 145) del regolamento (UE) n. 1321/2014;

  2. b) per quanto riguarda le imprese di cui all'articolo 2, paragrafo 1, lettera b), l'autorità competente designata conformemente all'allegato V quater (parte CAMO) del regolamento (UE) n. 1321/2014;

  3. c) per quanto riguarda le organizzazioni di cui all'articolo 2, paragrafo 1, lettera c), l'autorità competente designata conformemente all'allegato III (parte ORO) del regolamento (UE) n. 965/2012;

  4. d) per quanto riguarda le organizzazioni di cui all'articolo 2, paragrafo 1, lettere da d) a f), l'autorità competente designata conformemente all'allegato VII (parte ORA) del regolamento (UE) n. 1178/2011;

  5. e) per quanto riguarda le organizzazioni di cui all'articolo 2, paragrafo 1, lettera g), l'autorità competente designata conformemente all'articolo 6, paragrafo 2, del regolamento (UE) 2015/340;

  6. f) per quanto riguarda le organizzazioni di cui all'articolo 2, paragrafo 1, lettera h), l'autorità competente designata conformemente all'articolo 4, paragrafo 1, del regolamento di esecuzione (UE) 2017/373;

  7. g) per quanto riguarda le organizzazioni di cui all'articolo 2, paragrafo 1, lettera i), l'autorità competente designata conformemente all'articolo 14, paragrafo 1 o, se del caso, all'articolo 14, paragrafo 2, del regolamento di esecuzione (UE) 2021/664.

  8. h) per quanto riguarda le organizzazioni di cui all’articolo 2, paragrafo 1, lettera j), l’autorità competente designata conformemente all’articolo 3, paragrafo 1, del regolamento di esecuzione (UE) 2023/1769.

2. Ai fini del presente regolamento gli Stati membri possono designare un'entità indipendente e autonoma per adempiere al ruolo e alle responsabilità assegnati alle autorità competenti di cui al paragrafo 1. In tal caso, sono stabilite misure di coordinamento tra tale entità e le autorità competenti di cui al paragrafo 1, al fine di garantire una sorveglianza efficace di tutti i requisiti che l'organizzazione deve soddisfare.

3. L'Agenzia collabora, nel pieno rispetto delle norme applicabili in materia di segretezza, protezione dei dati personali e protezione delle informazioni classificate, con l'Agenzia dell'Unione europea per il programma spaziale (EUSPA) e con il SAB di cui all'articolo 36 del regolamento (UE) 2021/696, al fine di garantire una sorveglianza efficace dei requisiti applicabili al fornitore di servizi di navigazione aerea EGNOS.

Art. 7 Invio di informazioni pertinenti alle autorità competenti per le reti e i sistemi informativi (NIS)

Le autorità competenti a norma del presente regolamento comunicano, senza indebito ritardo, al punto di contatto unico designato a norma dell'articolo 8 della direttiva (UE) 2016/1148 qualsiasi informazione pertinente inserita nelle notifiche presentate a norma dell'allegato II, punto IS.I.OR.230, del presente regolamento e dell'allegato I, punto IS.D.OR.230, del regolamento delegato 2022/1645 dagli operatori di servizi essenziali di cui all'articolo 5 della direttiva (UE) 2016/1148.

Art. 8 Modifica del regolamento (UE) n. 1178/2011

Gli allegati VI (parte ARA) e VII (parte ORA) del regolamento (UE) n. 1178/2011 sono modificati conformemente all'allegato III del presente regolamento.

Art. 10 Modifica del regolamento (UE) n. 965/2012

Gli allegati II (parte ARO) e III (parte ORO) del regolamento (UE) n. 965/2012 sono modificati conformemente all'allegato V del presente regolamento.

Fonti e licenze