Regolamento di esecuzione (UE) 2023/203 della Commissione del 27 ottobre 2022 che stabilisce le regole per l'applicazione del regolamento (UE) 2018/1139 del Parlamento europeo e del Consiglio per quanto riguarda i requisiti relativi alla gestione dei rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea per le organizzazioni di cui ai regolamenti (UE) n. 1321/2014, (UE) n. 965/2012, (UE) n. 1178/2011 e (UE) 2015/340 della Commissione e ai regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione, e per le autorità competenti di cui ai regolamenti (UE) n. 748/2012, (UE) n. 1321/2014, (UE) n. 965/2012, (UE) n. 1178/2011, (UE) 2015/340 e (UE) n. 139/2014 della Commissione e ai regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione, e che modifica i regolamenti (UE) n. 1178/2011, (UE) n. 748/2012, (UE) n. 965/2012, (UE) n. 139/2014, (UE) n. 1321/2014 e (UE) 2015/340 della Commissione e i regolamenti di esecuzione (UE) 2017/373 e (UE) 2021/664 della Commissione

IS.I.OR.100 Ambito di applicazione

La presente parte stabilisce i requisiti che le organizzazioni di cui all'articolo 2, paragrafo 1, del presente regolamento devono soddisfare.

IS.I.OR.200 Sistema di gestione della sicurezza delle informazioni (ISMS)

1. a) Al fine di conseguire gli obiettivi di cui all'articolo 1, l'organizzazione istituisce, attua e mantiene un sistema di gestione della sicurezza delle informazioni (ISMS) che le garantisca di:

   1. 1) stabilire una politica in materia di sicurezza delle informazioni che definisca i principi generali dell'organizzazione per quanto riguarda il potenziale impatto dei rischi per la sicurezza delle informazioni sulla sicurezza aerea;

   2. 2) individuare e riesaminare i rischi per la sicurezza delle informazioni conformemente al punto IS.I.OR.205;

   3. 3) definire e attuare le misure di trattamento dei rischi per la sicurezza delle informazioni conformemente al punto IS.I.OR.210;

   4. 4) attuare un sistema di segnalazione interna per la sicurezza delle informazioni conformemente al punto IS.I.OR.215;

   5. 5) definire e attuare, conformemente al punto IS.I.OR.220, le misure necessarie per rilevare gli eventi relativi alla sicurezza delle informazioni, individuare gli eventi che sono considerati inconvenienti con un potenziale impatto sulla sicurezza aerea, salvo quanto consentito dal punto IS.I.OR.205, lettera e), nonché rispondere a tali inconvenienti e provvedere al ripristino;

   6. 6) attuare le misure indicate dall'autorità competente come reazione immediata a un inconveniente o a una vulnerabilità riguardante la sicurezza delle informazioni con un impatto sulla sicurezza aerea;

   7. 7) adottare le misure appropriate, conformemente al punto IS.I.OR.225, per rispondere alle non conformità notificate dall'autorità competente;

   8. 8) attuare un sistema di segnalazione esterna conformemente al punto IS.I.OR.230 al fine di consentire all'autorità competente di adottare le misure appropriate;

   9. 9) soddisfare i requisiti di cui al punto IS.I.OR.235 quando appalta una parte delle attività di cui al punto IS.I.OR.200 ad altre organizzazioni;

   10. 10) soddisfare i requisiti relativi al personale di cui al punto IS.I.OR.240;

   11. 11) soddisfare i requisiti per l'archiviazione dei documenti di cui al punto IS.I.OR.245;

   12. 12) controllare la conformità dell'organizzazione ai requisiti del presente regolamento e fornire un riscontro sulle non conformità al dirigente responsabile, al fine di garantire un'efficace attuazione delle azioni correttive;

   13. 13) proteggere, fatti salvi i requisiti applicabili in materia di segnalazione degli inconvenienti, la riservatezza di tutte le informazioni che l'organizzazione potrebbe aver ricevuto da altre organizzazioni, a seconda del relativo livello di sensibilità.

2. b) Al fine di soddisfare in modo continuativo i requisiti di cui all'articolo 1, l'organizzazione attua un processo di miglioramento continuo conformemente al punto IS.I.OR.260.

3. c) L'organizzazione documenta, conformemente al punto IS.I.OR.250, tutti i processi, le procedure, i ruoli e le responsabilità principali necessari per conformarsi al punto IS.I.OR.200, lettera a), e definisce un processo di modifica di tale documentazione. Le modifiche a tali processi, procedure, ruoli e responsabilità sono gestite conformemente al punto IS.I.OR.255.

4. d) I processi, le procedure, i ruoli e le responsabilità stabiliti dall'organizzazione per conformarsi al punto IS.I.OR.200, lettera a), corrispondono alla natura e alla complessità delle sue attività, sulla base di una valutazione dei rischi per la sicurezza delle informazioni inerenti a tali attività e possono essere integrati in altri sistemi di gestione esistenti già attuati dall'organizzazione.

5. e) Fatto salvo l'obbligo di rispettare gli obblighi di segnalazione di cui al regolamento (UE) n. 376/2014 e i requisiti di cui al punto IS.I.OR.200, lettera a), punto 13), l'organizzazione può essere autorizzata dall'autorità competente a non attuare i requisiti di cui alle lettere da a) a d) e i relativi requisiti contenuti ai punti da IS.I.OR.205 a IS.I.OR.260, se dimostra, in modo giudicato soddisfacente da detta autorità, che le sue attività, strutture e risorse, nonché i servizi che gestisce, fornisce, riceve e mantiene, non comportano rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea né per se stessa né per altre imprese. L'approvazione si basa su una valutazione documentata dei rischi per la sicurezza delle informazioni effettuata dall'organizzazione o da un terzo conformemente al punto IS.I.OR.205 e riesaminata e approvata dalla sua autorità competente. Il mantenimento della validità di tale approvazione sarà riesaminato dall'autorità competente a seguito del ciclo di audit di supervisione applicabile e ogniqualvolta le modifiche siano attuate nell'ambito del lavoro dell'organizzazione.

IS.I.OR.205 Valutazione dei rischi per la sicurezza delle informazioni

1. a) L'organizzazione individua tutti i suoi elementi che potrebbero essere esposti a rischi per la sicurezza delle informazioni. Ciò comprende:

   1. 1) le attività, le strutture e le risorse dell'organizzazione, nonché i servizi che essa gestisce, fornisce, riceve o mantiene;

   2. 2) le apparecchiature, i sistemi, i dati e le informazioni che contribuiscono al funzionamento degli elementi elencati al punto 1).

2. b) L'organizzazione individua le interfacce che ha con altre organizzazioni e che potrebbero comportare l'esposizione reciproca a rischi per la sicurezza delle informazioni.

3. c) Per quanto riguarda gli elementi e le interfacce di cui alle lettere a) e b), l'organizzazione individua i rischi per la sicurezza delle informazioni che possono avere un potenziale impatto sulla sicurezza aerea. Per ogni rischio individuato l'organizzazione:

   1. 1) assegna un livello di rischio secondo una classificazione predefinita stabilita dall'organizzazione stessa;

   2. 2) associa ciascun rischio e il suo livello all'elemento o all'interfaccia corrispondenti individuati conformemente alle lettere a) e b).

   La classificazione predefinita di cui al punto 1) tiene conto del potenziale di insorgenza dello scenario di minaccia e della gravità delle sue conseguenze per la sicurezza. Sulla base di tale classificazione e tenendo conto del fatto che l'organizzazione dispone di un processo operativo di gestione dei rischi strutturato e ripetibile, l'organizzazione è in grado di stabilire se il rischio è accettabile o deve essere trattato conformemente al punto IS.I.OR.210. Al fine di agevolare la comparabilità reciproca delle valutazioni dei rischi, l'assegnazione del livello di rischio a norma del punto 1) tiene conto delle informazioni pertinenti acquisite in coordinamento con le organizzazioni di cui alla lettera b).

4. d) L'organizzazione riesamina e aggiorna la valutazione dei rischi effettuata conformemente alle lettere a), b) e, se del caso, c) o e) in una delle situazioni seguenti:

   1. 1) in caso di una modifica degli elementi soggetti a rischi per la sicurezza delle informazioni;

   2. 2) in caso di una modifica delle interfacce tra l'organizzazione e le altre organizzazioni, oppure dei rischi comunicati da queste ultime;

   3. 3) in caso di una modifica delle informazioni o delle conoscenze utilizzate per l'individuazione, l'analisi e la classificazione dei rischi;

   4. 4) in caso di insegnamenti tratti dall'analisi degli inconvenienti per la sicurezza delle informazioni.

5. e) In deroga alla lettera c), le organizzazioni tenute a rispettare la sottoparte C dell'allegato III (parte ATM/ANS.OR) del regolamento di esecuzione (UE) 2017/373 sostituiranno l'analisi dell'impatto sulla sicurezza aerea con un'analisi dell'impatto sui loro servizi come da valutazione del sostegno alla sicurezza richiesta dal punto ATM/ANS.OR.C.005. Tale valutazione del sostegno alla sicurezza sarà resa disponibile ai fornitori di servizi di traffico aereo ai quali forniscono servizi e tali fornitori di servizi di traffico aereo saranno responsabili della valutazione dell'impatto sulla sicurezza aerea.

IS.I.OR.210 Trattamento dei rischi per la sicurezza delle informazioni

1. a) L'organizzazione elabora misure per affrontare i rischi inaccettabili individuati conformemente al punto IS.I.OR.205, le attua tempestivamente e ne verifica l'efficacia nel tempo. Tali misure consentono all'organizzazione di:

   1. 1) controllare le circostanze che contribuiscono all'effettivo verificarsi dello scenario di minaccia;

   2. 2) ridurre le conseguenze sulla sicurezza aerea associate al verificarsi dello scenario di minaccia;

   3. 3) evitare i rischi.

   Tali misure non introducono nuovi potenziali rischi inaccettabili per la sicurezza aerea.

2. b) La persona di cui al punto IS.I.OR.240, lettere a) e b), e gli altri membri del personale interessati dell'organizzazione sono informati dell'esito della valutazione dei rischi effettuata conformemente al punto IS.I.OR.205, dei corrispondenti scenari di minaccia e delle misure da attuare. L'organizzazione informa inoltre le organizzazioni con le quali ha un'interfaccia conformemente al punto IS.I.OR.205, lettera b), di qualsiasi rischio condiviso tra le due organizzazioni.

IS.I.OR.215 Sistema di segnalazione interna della sicurezza delle informazioni

1. a) L'organizzazione istituisce un sistema di segnalazione interna per consentire la raccolta e la valutazione degli eventi relativi alla sicurezza delle informazioni, compresi quelli da segnalare ai sensi del punto IS.I.OR.230.

2. b) Tale sistema e il processo di cui al punto IS.I.OR.220 consentono all'organizzazione di:

   1. 1) individuare quali degli eventi segnalati a norma della lettera a) sono considerati inconvenienti o vulnerabilità relativi alla sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea;

   2. 2) individuare le cause e i fattori che contribuiscono agli inconvenienti e alle vulnerabilità relativi alla sicurezza delle informazioni individuati conformemente al punto 1) e affrontarli nell'ambito del processo di gestione dei rischi per la sicurezza delle informazioni conformemente ai punti IS.I.OR.205 e IS.I.OR.220;

   3. 3) garantire una valutazione di tutte le informazioni note e pertinenti in merito agli inconvenienti e alle vulnerabilità relativi alla sicurezza delle informazioni individuati conformemente al punto 1);

   4. 4) garantire l'attuazione di un metodo per distribuire internamente le informazioni, se necessario.

3. c) Qualsiasi impresa appaltatrice che possa esporre l'organizzazione a rischi per la sicurezza delle informazioni con un potenziale impatto sulla sicurezza aerea è tenuta a segnalare alla stessa gli eventi relativi alla sicurezza delle informazioni. Tali segnalazioni sono presentate secondo le procedure stabilite negli accordi contrattuali specifici e sono valutate conformemente alla lettera b).

4. d) L'organizzazione coopera alle indagini con qualsiasi altra organizzazione che fornisca un contributo significativo alla sicurezza delle informazioni delle proprie attività.

5. e) L'organizzazione può integrare tale sistema di segnalazione con altri sistemi di segnalazione già attuati.

IS.I.OR.220 Inconvenienti per la sicurezza delle informazioni — rilevamento, risposta e ripristino

1. a) Sulla base dell'esito della valutazione dei rischi effettuata conformemente al punto IS.I.OR.205 e dell'esito del trattamento dei rischi effettuato conformemente al punto IS.I.OR.210, l'organizzazione attua misure per rilevare gli inconvenienti e le vulnerabilità che indicano il potenziale verificarsi di rischi inaccettabili e che possono avere un potenziale impatto sulla sicurezza aerea. Tali misure di rilevamento consentono all'organizzazione di:

   1. 1) individuare le deviazioni dai livelli di base predeterminati delle prestazioni funzionali;

   2. 2) attivare avvisi per avviare misure di risposta adeguate, in caso di deviazione.

2. b) L'organizzazione attua misure per rispondere a qualsiasi evento individuato in conformità alla lettera a), che può trasformarsi o si è trasformato in un inconveniente nel settore della sicurezza delle informazioni. Tali misure di risposta consentono all'organizzazione di:

   1. 1) avviare la reazione agli avvisi di cui alla lettera a), punto 2), attivando risorse e procedure predefinite;

   2. 2) contenere la diffusione di un attacco ed evitare il completo verificarsi di uno scenario di minaccia;

   3. 3) controllare la modalità di guasto degli elementi interessati definiti al punto IS.I.OR.205, lettera a).

3. c) L'organizzazione attua misure volte al ripristino dopo inconvenienti per la sicurezza delle informazioni, comprese, se necessario, misure di emergenza. Tali misure di ripristino consentono all'organizzazione di:

   1. 1) eliminare la condizione che ha causato l'inconveniente o limitarla a un livello tollerabile;

   2. 2) raggiungere uno stato di sicurezza degli elementi interessati definiti al punto IS.I.OR.205, lettera a), entro un tempo di ripristino precedentemente definito dall'organizzazione.

IS.I.OR.225 Risposte alle non conformità notificate dall'autorità competente

1. a) Dopo aver ricevuto la notifica delle non conformità presentate dall'autorità competente, l'organizzazione:

   1. 1) individua la causa o le cause alla base delle non conformità e i fattori che vi contribuiscono;

   2. 2) definisce un piano di azioni correttive;

   3. 3) dimostra la correzione della non conformità in modo giudicato soddisfacente dall'autorità competente.

2. b) Le azioni di cui alla lettera a) sono eseguite entro il termine concordato con l'autorità competente.

IS.I.OR.230 Sistema di segnalazione esterna della sicurezza delle informazioni

1. a) L'organizzazione attua un sistema di segnalazione della sicurezza delle informazioni conforme agli obblighi di cui al regolamento (UE) n. 376/2014 e ai suoi atti delegati e di esecuzione se tale regolamento è applicabile all'organizzazione.

2. b) Fatti salvi gli obblighi del regolamento (UE) n. 376/2014, l'organizzazione garantisce che qualsiasi inconveniente o vulnerabilità riguardante la sicurezza delle informazioni che possa rappresentare un rischio significativo per la sicurezza aerea sia segnalato o segnalata alla relativa autorità competente. Inoltre:

   1. 1) se tale inconveniente o vulnerabilità riguarda un aeromobile o un sistema o componente associato, l'organizzazione segnala il fatto anche al titolare dell'approvazione del progetto;

   2. 2) se tale inconveniente o vulnerabilità riguarda un sistema o un componente utilizzato dall'organizzazione, quest'ultima lo segnala all'organizzazione responsabile della progettazione del sistema o del componente.

3. c) L'organizzazione comunica le condizioni di cui alla lettera b) come segue:

   1. 1) una notifica è presentata all'autorità competente e, se del caso, al titolare dell'approvazione del progetto o all'organizzazione responsabile della progettazione del sistema o del componente, non appena l'organizzazione viene a conoscenza della condizione;

   2. 2) una segnalazione è presentata all'autorità competente e, se del caso, al titolare dell'approvazione del progetto o all'organizzazione responsabile della progettazione del sistema o del componente il prima possibile, ma non oltre 72 ore dal momento in cui l'organizzazione è venuta a conoscenza della condizione, a meno che circostanze eccezionali non lo impediscano. La segnalazione è redatta nella forma definita dall'autorità competente e contiene tutte le informazioni pertinenti relative alla condizione nota all'organizzazione;

   3. 3) una segnalazione di follow-up è presentata all'autorità competente e, se del caso, al titolare dell'approvazione del progetto o all'organizzazione responsabile della progettazione del sistema o del componente, fornendo i dettagli delle azioni che l'organizzazione ha intrapreso o intende intraprendere per il ripristino dopo l'inconveniente, e delle azioni che intende intraprendere per evitare inconvenienti analoghi per la sicurezza delle informazioni in futuro. La segnalazione di follow-up è presentata non appena tali azioni sono state individuate ed è redatta nella forma definita dall'autorità competente.

IS.I.OR.235 Appalto delle attività di gestione della sicurezza delle informazioni

1. a) L'organizzazione garantisce che, nell'appaltare una parte delle attività di cui al punto IS.I.OR.200 ad altre organizzazioni, le attività oggetto dell'appalto siano conformi ai requisiti del presente regolamento e l'impresa appaltatrice lavori sotto la sua sorveglianza. L'organizzazione garantisce che i rischi associati alle attività oggetto dell'appalto siano adeguatamente gestiti.

2. b) L'organizzazione garantisce che l'autorità competente abbia modo di accedere, su richiesta, all'organizzazione appaltatrice per stabilire la costante conformità ai requisiti applicabili di cui al presente regolamento.

IS.I.OR.240 Requisiti relativi al personale

1. a) Il dirigente responsabile dell'organizzazione designato conformemente ai regolamenti (UE) n. 1321/2014, (UE) n. 965/2012, (UE) n. 1178/2011, (UE) 2015/340, e al regolamento di esecuzione (UE) 2017/373 o al regolamento di esecuzione (UE) 2021/664, a seconda dei casi di cui all'articolo 2, paragrafo 1, del presente regolamento, ha l'autorità giuridica necessaria per assicurare che tutte le attività richieste dal presente regolamento possano essere finanziate ed eseguite. Tale persona:

   1. 1) garantisce la disponibilità di tutte le risorse necessarie per conformarsi ai requisiti del presente regolamento;

   2. 2) stabilisce e promuove la politica in materia di sicurezza delle informazioni di cui al punto IS.I.OR.200, lettera a), punto 1);

   3. 3) dimostra una comprensione di base del presente regolamento.

2. b) Il dirigente responsabile nomina una persona o un gruppo di persone che garantisca la conformità dell'organizzazione ai requisiti del presente regolamento, e definisce la portata della loro autorità. Tale persona o gruppo di persone riferisce direttamente al dirigente responsabile e dispone delle conoscenze, della preparazione e dell'esperienza adeguate per assolvere le proprie responsabilità. Nelle procedure è stabilito chi farà le veci di una determinata persona in caso di prolungata assenza della stessa.

3. c) Il dirigente responsabile nomina una persona o un gruppo di persone responsabile della gestione della funzione di monitoraggio della conformità di cui al punto IS.I.OR.200, lettera a), punto 12).

4. d) Se l'organizzazione condivide strutture organizzative, politiche, processi e procedure relativi alla sicurezza delle informazioni con altre organizzazioni o con settori della propria organizzazione che non fanno parte dell'approvazione o della dichiarazione, il dirigente responsabile può delegare le proprie attività a una persona responsabile comune. In tal caso, sono stabilite misure di coordinamento tra il dirigente responsabile dell'organizzazione e la persona responsabile comune per garantire un'adeguata integrazione della gestione della sicurezza delle informazioni all'interno dell'organizzazione.

5. e) Il dirigente responsabile o la persona responsabile comune di cui alla lettera d) ha l'autorità giuridica per creare e mantenere le strutture organizzative, le politiche, le procedure e i processi necessari all'attuazione del punto IS.I.OR.200.

6. f) L'organizzazione dispone di un processo atto a garantire la presenza di personale sufficiente per svolgere le attività contemplate dal presente allegato.

7. g) L'organizzazione dispone di un processo atto a garantire che il personale di cui alla lettera f) abbia le competenze necessarie per svolgere i propri compiti.

8. h) L'organizzazione dispone di un processo atto a garantire che il personale riconosca le responsabilità associate ai ruoli e ai compiti assegnati.

9. i) L'organizzazione garantisce che l'identità e l'affidabilità del personale che ha accesso ai sistemi informativi e ai dati soggetti ai requisiti del presente regolamento siano adeguatamente accertate.

IS.I.OR.245 Archiviazione dei documenti

1. a) L'organizzazione archivia i documenti delle proprie attività di gestione della sicurezza delle informazioni.

   1. 1) L'organizzazione garantisce che siano archiviati e tracciabili i documenti seguenti:

      1. i) qualsiasi approvazione ricevuta e qualsiasi relativa valutazione dei rischi per la sicurezza delle informazioni conformemente al punto IS.I.OR.200, lettera e);

      2. ii) gli appalti delle attività di cui al punto IS.I.OR.200, lettera a), punto 9);

      3. iii) i registri dei processi principali di cui al punto IS.I.OR.200, lettera d);

      4. iv) i registri dei rischi individuati nella valutazione dei rischi di cui al punto IS.I.OR.205 e le relative misure di trattamento degli stessi di cui al punto IS.I.OR.210;

      5. v) i registri degli inconvenienti e delle vulnerabilità relativi alla sicurezza delle informazioni comunicati conformemente ai sistemi di segnalazione di cui ai punti IS.I.OR.215 e IS.I.OR.230;

      6. vi) i registri di quegli eventi relativi alla sicurezza delle informazioni che potrebbero dover essere rivalutati per individuare inconvenienti o vulnerabilità relativi alla sicurezza delle informazioni non rilevati.

   2. 2) I registri di cui al punto 1.i), sono conservati almeno fino a cinque anni dal termine della validità dell'approvazione.

   3. 3) I registri di cui al punto 1.ii), sono conservati almeno fino a cinque anni dalla modifica o risoluzione dell'appalto.

   4. 4) I registri di cui ai punti 1.iii), 1.iv) e 1.v), sono conservati almeno per un periodo di cinque anni.

   5. 5) I registri di cui al punto 1.vi), sono conservati fino a quando tali eventi relativi alla sicurezza delle informazioni non siano stati rivalutati secondo una periodicità definita in una procedura stabilita dall'organizzazione.

2. b) L'organizzazione conserva i registri delle qualifiche e dell'esperienza del proprio personale che partecipa alle attività di gestione della sicurezza delle informazioni.

   1. 1) I registri delle qualifiche e dell'esperienza del personale sono conservati per tutto il tempo in cui la persona lavora per l'organizzazione e per almeno tre anni dalla cessazione del rapporto di lavoro con la stessa.

   2. 2) Su richiesta, i membri del personale hanno accesso ai loro dati individuali. Su richiesta, l'organizzazione fornisce loro inoltre una copia dei rispettivi registri individuali al momento della cessazione del rapporto di lavoro con la stessa.

3. c) Il formato dei registri è specificato nelle procedure dell'organizzazione.

4. d) I registri sono conservati in modo da garantire la protezione da danni, alterazioni e furti, identificando le informazioni, se necessario, in base al loro livello di classificazione di sicurezza. L'organizzazione garantisce che i registri siano conservati utilizzando strumenti che garantiscano l'integrità, l'autenticità e l'accesso autorizzato.

IS.I.OR.250 Manuale di gestione della sicurezza delle informazioni (ISMM)

1. a) L'organizzazione mette a disposizione dell'autorità competente un manuale di gestione della sicurezza delle informazioni (ISMM) e, se del caso, manuali e procedure di riferimento associati e pertinenti, contenenti:

   1. 1) una dichiarazione firmata dal dirigente responsabile, attestante che l'organizzazione opera in qualsiasi momento conformemente al presente allegato a all'ISMM. Qualora il dirigente responsabile non sia l'amministratore delegato (CEO) dell'organizzazione, quest'ultimo controfirma la dichiarazione;

   2. 2) il titolo (o i titoli), il nome (o i nomi), i compiti, le responsabilità e le autorità della persona o delle persone definite al punto IS.I.OR.240, lettere b) e c);

   3. 3) il titolo, il nome, i compiti, le responsabilità e l'autorità della persona responsabile comune definita al punto IS.I.OR.240, lettera d), se del caso;

   4. 4) la politica in materia di sicurezza delle informazioni dell'organizzazione di cui al punto IS.I.OR.200, lettera a), punto 1);

   5. 5) una descrizione generale del numero e delle categorie del personale e del sistema in atto per pianificare la disponibilità del personale, come richiesto al punto IS.I.OR.240;

   6. 6) il titolo (o i titoli), il nome (o i nomi), i compiti, le responsabilità e le autorità delle persone di riferimento responsabili dell'attuazione del punto IS.I.OR.200, tra cui la persona o le persone responsabili della funzione di monitoraggio della conformità di cui al punto IS.I.OR.200, lettera a), punto 12);

   7. 7) un organigramma che mostri le catene di responsabilità associate riguardanti le persone di cui ai punti 2) e 6);

   8. 8) la descrizione del sistema di segnalazione interna di cui al punto IS.I.OR.215;

   9. 9) le procedure che specificano in che modo l'organizzazione garantisce la conformità alla presente parte, in particolare:

      1. i) la documentazione di cui al punto IS.I.OR.200, lettera c);

      2. ii) le procedure che definiscono il modo in cui l'organizzazione controlla le attività appaltate di cui al punto IS.I.OR.200, lettera a), punto 9);

      3. iii) la procedura di modifica dell'ISMM di cui alla lettera c);

   10. 10) i dettagli dei metodi alternativi di rispondenza attualmente approvati.

2. b) Il rilascio iniziale dell'ISMM è approvato e l'autorità competente ne conserva una copia. Per le organizzazioni dichiarate non è necessaria un'approvazione. L'ISMM è modificato in base alle necessità per riflettere sempre una descrizione aggiornata dell'ISMS dell'organizzazione. Una copia delle eventuali modifiche dell'ISMM è fornita all'autorità competente.

3. c) Le modifiche all'ISMM sono gestite secondo una procedura stabilita dall'organizzazione. Le modifiche non incluse nell'ambito di applicazione di tale procedura e quelle connesse alle modifiche di cui al punto IS.I.OR.255, lettera b), sono approvate dall'autorità competente. Per le organizzazioni dichiarate non è necessaria un'approvazione.

4. d) L'organizzazione può integrare l'ISMM con altri manuali o guide di gestione in suo possesso, a condizione che vi sia un chiaro riferimento incrociato che indichi quali parti dei manuali o delle guide di gestione corrispondono ai diversi requisiti contenuti nel presente allegato.

IS.I.OR.255 Modifiche del sistema di gestione della sicurezza delle informazioni

1. a) Le modifiche dell'ISMS possono essere gestite dall'organizzazione e notificate all'autorità competente in una procedura sviluppata dall'organizzazione stessa. Tale procedura è approvata dall'autorità competente, fatta eccezione per le organizzazioni dichiarate.

2. b) Per quanto riguarda le modifiche dell'ISMS non contemplate dalla procedura di cui alla lettera a), l'organizzazione richiede e ottiene un'approvazione rilasciata dall'autorità competente, fatta eccezione per le organizzazioni dichiarate, per le quali non è necessaria un'approvazione. Per quanto riguarda tali modifiche:

   1. 1) la domanda è presentata prima dell'effettuazione di ciascuna di tali modifiche, al fine di permettere all'autorità competente di stabilire il mantenimento della conformità al presente regolamento e di modificare, se necessario, il certificato dell'organizzazione e le relative condizioni di approvazione a esso allegate;

   2. 2) l'organizzazione mette a disposizione dell'autorità competente tutte le informazioni richieste per valutare le modifiche;

   3. 3) le modifiche sono attuate solo previa approvazione formale da parte dell'autorità competente, fatta eccezione per le organizzazioni dichiarate, che possono attuare le modifiche immediatamente;

   4. 4) l'organizzazione opera alle condizioni prescritte dall'autorità competente durante l'attuazione di tali modifiche.

IS.I.OR.260 Miglioramento continuo

1. a) L'organizzazione valuta, utilizzando adeguati indicatori di prestazione, l'efficacia e la maturità dell'ISMS. Tale valutazione è effettuata sulla base di un calendario predefinito dall'organizzazione o a seguito di un inconveniente nel settore della sicurezza delle informazioni.

2. b) Se si riscontrano carenze a seguito della valutazione effettuata conformemente alla lettera a), l'organizzazione adotta le misure di miglioramento necessarie per garantire che l'ISMS continui a rispettare i requisiti applicabili e mantenga i rischi per la sicurezza delle informazioni a un livello accettabile. L'organizzazione riesamina inoltre gli elementi dell'ISMS interessati dalle misure adottate.