Règlement délégué (UE) 2022/1645 de la Commission du 14 juillet 2022 portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences relatives à la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne imposées aux organismes relevant des règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission et modifiant les règlements (UE) no 748/2012 et (UE) no 139/2014 de la Commission

Le présent règlement énonce les exigences auxquelles doivent satisfaire les organismes visés à l’article 2 pour déterminer et gérer les risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne et d’affecter les données et systèmes de technologies de l’information et de la communication utilisés aux fins de l’aviation civile, pour détecter les événements liés à la sécurité de l’information et pour déterminer ceux qui sont considérés comme des incidents de sécurité de l’information susceptibles d’avoir des répercussions sur la sécurité aérienne, réagir à ces incidents de sécurité de l’information et garantir le rétablissement après incident.

1 Le présent règlement s’applique aux organismes suivants: a) organismes de production et organismes de conception relevant de l’annexe I (partie 21), section A, sous-parties G et J, du règlement (UE) no 748/2012, à l’exception des organismes de conception et de production qui sont uniquement associés à la conception et/ou à la production d’aéronefs ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012; b) exploitants d’aérodrome et prestataires de services de gestion des aires de trafic relevant de l’annexe III «Partie exigences applicables aux organismes (partie ADR.OR)» du règlement (UE) no 139/2014.

2 Le présent règlement est sans préjudice des exigences en matière de sécurité de l’information et de cybersécurité énoncées au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 et à l’article 14 de la directive (UE) 2016/1148.

Aux fins du présent règlement, on entend par: 1) «sécurité de l’information»: la préservation de la confidentialité, de l’intégrité, de l’authenticité et de la disponibilité des réseaux et des systèmes d’information; 2) «événement lié à la sécurité de l’information»: un fait détecté dans l’état d’un système, d’un service ou d’un réseau pouvant indiquer une atteinte à la politique de sécurité de l’information ou d’une défaillance des mesures de sécurité de l’information, ou une situation auparavant inconnue pouvant avoir de l’importance pour la sécurité de l’information; 3) «incident»: tout événement ayant un impact négatif sur la sécurité des réseaux et des systèmes d’information au sens de l’article 4, paragraphe 7, de la directive (UE) 2016/1148; 4) «risque lié à la sécurité de l’information»: le risque que pose, pour l’organisation des activités de l’aviation civile, les actifs, les personnes et d’autres organismes, un éventuel événement lié à la sécurité de l’information. Les risques liés à la sécurité de l’information sont associés à l’éventualité que des menaces exploitent les vulnérabilités d’un actif d’information ou d’un groupe d’actifs d’information; 5) «menace»: une violation potentielle de la sécurité de l’information qui existe lorsqu’une entité, une circonstance, une action ou un événement est susceptible de causer des dommages; 6) «vulnérabilité»: une faille ou une faiblesse que présentent un actif ou un système, des procédures, une conception, une mise en œuvre ou des mesures de sécurité de l’information qui pourrait être exploitée et entraîner une atteinte à la politique de sécurité de l’information.

1 Lorsqu’un organisme visé à l’article 2 satisfait à des exigences de sécurité énoncées à l’article 14 de la directive (UE) 2016/1148 qui sont équivalentes aux exigences fixées dans le présent règlement, le respect desdites exigences de sécurité vaut respect des exigences fixées dans le présent règlement.

2 Lorsqu’un organisme visé à l’article 2 est un exploitant ou une entité visée dans les programmes nationaux de sûreté de l’aviation civile des États membres établis conformément à l’article 10 du règlement (CE) no 300/2008 du Parlement européen et du Conseil , les exigences de cybersécurité figurant au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 sont considérées comme équivalentes aux exigences fixées dans le présent règlement, sauf en ce qui concerne le point IS.D.OR.230 de l’annexe du présent règlement, qui doit être respecté.

3 La Commission, après consultation de l’AESA et du groupe de coopération visé à l’article 11 de la directive (UE) 2016/1148, peut publier des lignes directrices pour l’évaluation de l’équivalence des exigences fixées dans le présent règlement et dans la directive (UE) 2016/1148.

1 L’autorité chargée de certifier et de contrôler le respect du présent règlement est: a) à l’égard des organismes visés à l’article 2, point a), l’autorité compétente désignée conformément à l’annexe I (partie 21) du règlement (UE) no 748/2012; b) à l’égard des organismes visés à l’article 2, point b), l’autorité compétente désignée conformément à l’annexe III (partie ADR.OR) du règlement (UE) no 139/2014.

2 Les États membres peuvent, aux fins du présent règlement, désigner une entité indépendante et autonome chargée de remplir le rôle et les responsabilités assignés aux autorités compétentes visées au paragraphe 1. Dans ce cas, des mesures de coordination sont établies entre cette entité et les autorités compétentes visées au paragraphe 1, afin d’assurer une surveillance efficace de toutes les exigences auxquelles l’organisme est tenu de satisfaire.

L’annexe I (partie 21) du règlement (UE) no 748/2012 est modifiée comme suit: 1) La table des matières est modifiée comme suit: a) le titre suivant est inséré après le titre 21.A.139: «21.A.139A Système de gestion de la sécurité de l’information»; b) le titre suivant est inséré après le titre 21.A.239: «21.A.239A Système de gestion de la sécurité de l’information». 2) Le point 21.A.139A suivant est inséré après le point 21.A.139: «21.A.139A Système de gestion de la sécurité de l’information Outre le système de gestion de la production requis par le point 21.A.139, l’organisme de production établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 de la Commission afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne. 3) Le point 21.A.239A suivant est inséré après le point 21.A.239: «21.A.239A Système de gestion de la sécurité de l’information Outre le système de gestion de la conception requis par le point 21.A.239, l’organisme de conception établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».

L’annexe III (partie ADR.OR) du règlement (UE) no 139/2014 est modifiée comme suit: 1) Le point suivant ADR.OR.D.005A est inséré après le point ADR.OR.D.005: «ADR.OR.D.005A Système de gestion de la sécurité de l’information L’exploitant d’aérodrome établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 de la Commission afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne. 2) Le point ADR.OR.D.007 est remplacé par le texte suivant: «ADR.OR.D.007 Gestion des données et des informations aéronautiques a) Dans le cadre de son système de gestion, l’exploitant d’aérodrome met en œuvre et tient à jour un système de gestion de la qualité couvrant les activités suivantes: 1) ses activités liées aux données aéronautiques; 2) ses activités de fourniture d’informations aéronautiques. b) Dans le cadre de son système de gestion, l’exploitant d’aérodrome établit un système de gestion de la sûreté afin de garantir la sécurité des données opérationnelles qu’il reçoit, produit ou utilise d’une autre manière, de sorte que l’accès à ces données opérationnelles soit réservé aux seules personnes autorisées. c) Le système de gestion de la sûreté définit les éléments suivants: 1) les procédures relatives à l’évaluation et à l’atténuation des risques dans le domaine de la sécurité des données, à la surveillance et à l’amélioration de la sûreté, aux évaluations de la sûreté et à la diffusion des enseignements; 2) les moyens destinés à déceler les manquements à la sûreté et à alerter le personnel par des signaux d’avertissement appropriés; 3) les moyens de contrôler les effets des manquements à la sûreté et d’identifier les mesures de rétablissement et les procédures d’atténuation permettant d’en éviter la réapparition. d) L’exploitant d’aérodrome s’assure de l’habilitation de sûreté de son personnel en ce qui concerne la sécurité des données aéronautiques. e) Les aspects relatifs à la sécurité de l’information sont gérés conformément au point ADR.OR.D.005A.». 3) Le point suivant ADR.OR.F.045A est inséré après le point ADR.OR.F.045: «ADR.OR.F.045A Système de gestion de la sécurité de l’information L’organisme chargé de la fourniture des services de gestion des aires de trafic établit, met en œuvre et tient à jour un système de gestion de la sécurité de l’information conformément au règlement délégué (UE) 2022/1645 afin d’assurer la bonne gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne.».

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il entre en application le 16 octobre 2025.