Załącznik I

W załączniku II do rozporządzenia wykonawczego (UE) 2023/203 wprowadza się następujące zmiany:

1) pkt IS.I.OR.250 lit. b) i c) otrzymuje brzmienie:

„b)

Właściwy organ zatwierdza pierwsze wydanie podręcznika zarządzania bezpieczeństwem informacji i zachowuje jego egzemplarz. Zatwierdzenie nie jest wymagane w przypadku zadeklarowanych organizacji. W razie potrzeby w podręczniku zarządzania bezpieczeństwem informacji wprowadza się zmiany niezbędne do zachowania aktualności opisu SZBI organizacji. Właściwy organ otrzymuje egzemplarz wszelkich zmian w podręczniku zarządzania bezpieczeństwem informacji.

c) Zarządzanie zmianami podręcznika zarządzania bezpieczeństwem informacji przebiega zgodnie z procedurą ustanowioną przez organizację. Wszelkie zmiany nieobjęte zakresem stosowania tej procedury, jak również wszelkie zmiany związane ze zmianami, o których mowa w pkt IS.I.OR.255 lit. b), podlegają zatwierdzeniu przez właściwy organ. Zatwierdzenie nie jest wymagane w przypadku zadeklarowanych organizacji.”;

2) pkt IS.I.OR.255 otrzymuje brzmienie:

„

IS.I.OR.255 Zmiany w systemie zarządzania bezpieczeństwem informacji

a) Zarządzanie zmianami w SZBI i powiadamianie o nich właściwego organu może przebiegać w ramach procedury opracowanej przez organizację. Procedura ta podlega zatwierdzeniu przez właściwy organ, z wyjątkiem przypadku zadeklarowanych organizacji.

b) Jeżeli chodzi o zmiany w SZBI nieobjęte procedurą, o której mowa w lit. a), organizacja ubiega się o zatwierdzenie wydawane przez właściwy organ i musi je uzyskać, z wyjątkiem zadeklarowanych organizacji, w przypadku których zatwierdzenie nie jest wymagane.

W odniesieniu do tych zmian:

1) wniosek składa się przed wprowadzeniem wszelkich zmian w celu umożliwienia właściwemu organowi stwierdzenia, czy zachowana zostanie zgodność z niniejszym rozporządzeniem, oraz – jeśli zajdzie taka potrzeba – zmiany certyfikatu organizacji szkoleniowej i powiązanych warunków zatwierdzania dołączonych do certyfikatu;

2) organizacja przekazuje właściwemu organowi wszelkie informacje, których organ ten zażąda, aby ocenić zmianę;

3) zmianę wprowadza się wyłącznie po otrzymaniu formalnego zatwierdzenia przez właściwy organ, z wyjątkiem przypadku zadeklarowanych organizacji, które mogą wprowadzić daną zmianę niezwłocznie;

4) organizacja wprowadza tego typu zmiany zgodnie z warunkami określonymi przez właściwy organ.”.