Załącznik

W załączniku do rozporządzenia wykonawczego (UE) 2015/1998 wprowadza się następujące zmiany:

1) dodaje się punkt 1.0.6 w brzmieniu:

„1.0.6. Właściwy organ ustanawia i wdraża procedury wymiany istotnych informacji, w stosownych przypadkach i w sposób praktyczny i terminowy, w celu wspierania innych organów i agencji krajowych, operatorów portów lotniczych, przewoźników lotniczych i innych zainteresowanych podmiotów w procesie przeprowadzania skutecznej oceny ryzyka w zakresie ochrony w odniesieniu do wykonywanych przez nich rodzajów działalności.”;

2) dodaje się pkt 1.7 w brzmieniu:

„1.7. IDENTYFIKACJA SYSTEMÓW TECHNOLOGII INFORMACYJNO-KOMUNIKACYJNYCH I DANYCH KRYTYCZNYCH DLA LOTNICTWA CYWILNEGO ORAZ ICH OCHRONA PRZED ZAGROŻENIAMI DLA CYBERBEZPIECZEŃSTWA

1.7.1. Właściwy organ zapewnia, aby określeni w krajowym programie ochrony lotnictwa cywilnego operatorzy portów lotniczych, przewoźnicy lotniczy i podmioty identyfikowali swoje krytyczne systemy technologii informacyjno-komunikacyjnych i dane i chronili je przed cyberatakami, które mogłyby wpłynąć na bezpieczeństwo lotnictwa cywilnego.

1.7.2. Operatorzy portów lotniczych, przewoźnicy lotniczy i podmioty określają w swoim programie ochrony lub w innym odpowiednim dokumencie wymienionym w programie ochrony, krytyczne systemy technologii informacyjno-komunikacyjnych i dane zgodnie z pkt 1.7.1.

W programie ochrony lub w innym odpowiednim dokumencie, o którym mowa w programie ochrony, określa się szczegółowo środki mające na celu zapewnienie ochrony przed cyberatakami, które mogłyby wpłynąć na bezpieczeństwo lotnictwa cywilnego, wykrywania ich i reagowania na nie, zgodnie z pkt 1.7.1.

1.7.3. Szczegółowe środki mające na celu ochronę takich systemów i danych przed bezprawną ingerencją określa się, opracowuje i wdraża zgodnie z oceną ryzyka przeprowadzoną odpowiednio przez operatora portu lotniczego, przewoźnika lotniczego lub inny podmiot.

1.7.4. Jeżeli w obrębie jednego państwa członkowskiego w zakresie środków związanych z zagrożeniami dla cyberbezpieczeństwa wyznaczony jest organ lub agencja, ten organ lub agencja mogą zostać desygnowane jako odpowiednie do celów koordynacji lub monitorowania przepisów dotyczących cyberbezpieczeństwa określonych w niniejszym rozporządzeniu.

1.7.5. Jeżeli określeni w krajowym programie ochrony lotnictwa cywilnego operatorzy portów lotniczych, przewoźnicy lotniczy i podmioty podlegają odrębnym wymogom w zakresie cyberbezpieczeństwa wynikającym z innych przepisów unijnych lub krajowych, właściwy organ może zastąpić zgodność z wymogami niniejszego rozporządzenia zgodnością z elementami zawartymi w innych przepisach unijnych lub krajowych. Właściwy organ koordynuje swoje działania z wszelkimi innymi odpowiednimi wyznaczonymi organami w celu zapewnienia skoordynowanych lub kompatybilnych systemów nadzoru.”;

3) pkt 11.1.2 otrzymuje brzmienie:

„11.1.2. Następujący personel musi przejść rozszerzone lub standardowe sprawdzenie przeszłości z wynikiem pozytywnym:

a) Osoby rekrutowane w celu przeprowadzania kontroli bezpieczeństwa, kontroli dostępu lub stosowania innych środków kontroli w zakresie ochrony w miejscach innych niż strefa zastrzeżona lotniska, lub sprawowania odpowiedzialności za przeprowadzanie tych kontroli;

b) Osoby mające dostęp bez eskorty do ładunku lotniczego i poczty lotniczej, poczty przewoźnika lotniczego i materiałów przewoźnika lotniczego, zaopatrzenia pokładowego i zaopatrzenia portu lotniczego, do których zastosowano wymagane środki kontroli w zakresie ochrony;

c) Osoby mające uprawnienia administratora lub nieograniczony dostęp bez nadzoru do krytycznych systemów technologii informacyjno-komunikacyjnych i danych, wykorzystywanych do celów ochrony lotnictwa cywilnego zgodnie z pkt 1.7.1, zgodnie z krajowym programem ochrony lotnictwa lub które zostały w inny sposób określone w ocenie ryzyka zgodnie z pkt 1.7.3.

O tym, czy należy przeprowadzać rozszerzone czy standardowe sprawdzenie przeszłości, decyduje właściwy organ, działając zgodnie z mającymi zastosowanie przepisami krajowymi, chyba że w niniejszym rozporządzeniu określono inaczej.”;

4) dodaje się punkt 11.2.8 w brzmieniu:

„11.2.8. Szkolenie osób pełniących role lub wykonujących obowiązki związane z zagrożeniami dla cyberbezpieczeństwa

11.2.8.1. Osoby wdrażające środki ustanowione w pkt 1.7.2 posiadają kwalifikacje i umiejętności niezbędne do skutecznego wykonywania wyznaczonych zadań. Są one informowane o istotnych przypadkach zagrożeń dla cyberbezpieczeństwa zgodnie z zasadą ograniczonego dostępu.

11.2.8.2. Osoby mające dostęp do danych lub systemów przechodzą odpowiednie i specjalistyczne szkolenie zawodowe, współmierne do swojej roli i obowiązków, uwzględniające informacje o istotnych zagrożeniach, jeżeli wymaga tego zajmowane stanowisko pracy. Właściwy organ lub organ lub agencja określone w pkt 1.7.4 określają lub zatwierdzają treść kursu.”.