Règlement d’exécution (UE) 2023/203 de la Commission du 27 octobre 2022 portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences en matière de gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne pour les organismes relevant des règlements (UE) no 1321/2014, (UE) no 965/2012, (UE) no 1178/2011 et (UE) 2015/340 de la Commission, des règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission, et pour les autorités compétentes relevant des règlements (UE) no 748/2012, (UE) no 1321/2014, (UE) no 965/2012, (UE) no 1178/2011, (UE) 2015/340 et (UE) no 139/2014 de la Commission, des règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission, et modifiant les règlements (UE) no 1178/2011, (UE) no 748/2012, (UE) no 965/2012, (UE) no 139/2014, (UE) no 1321/2014 et (UE) 2015/340 de la Commission, et les règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission

Le présent règlement définit les exigences auxquelles doivent satisfaire les organismes et les autorités compétentes pour: a) déterminer et gérer les risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne et d’affecter les systèmes et les données de technologies de l’information et de la communication utilisés aux fins de l’aviation civile; b) détecter les événements liés à la sécurité de l’information et déterminer ceux qui sont considérés comme des incidents de sécurité de l’information susceptibles d’avoir des répercussions sur la sécurité aérienne; c) réagir à ces incidents de sécurité de l’information et garantir le rétablissement après incident.

1 Le présent règlement s’applique aux organismes suivants: a) les organismes de maintenance relevant la section A de l’annexe II (partie 145) du règlement (UE) no 1321/2014, à l’exception de ceux qui participent uniquement à la maintenance des aéronefs conformément à l’annexe V ter (partie ML) du règlement (UE) no 1321/2014; b) les organismes responsables de la gestion du maintien de la navigabilité (CAMO) relevant de la section A de l’annexe V quater (partie CAMO) du règlement (UE) no 1321/2014, à l’exception de ceux qui participent uniquement à la gestion du maintien de la navigabilité des aéronefs conformément à l’annexe V ter (partie ML) du règlement (UE) no 1321/2014; c) les transporteurs aériens relevant de l’annexe III (partie ORO) du règlement (UE) no 965/2012, à l’exception de ceux qui participent exclusivement à l’exploitation de l’un des éléments suivants: i) un aéronef ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012; ii) des avions monomoteurs à hélice dont la configuration maximale opérationnelle en sièges passagers est inférieure ou égale à 5 et qui ne sont pas classés comme aéronefs motorisés complexes, lorsqu’ils décollent et atterrissent sur le même aérodrome ou site d’exploitation et qu’ils sont exploités selon les règles de vol à vue (VFR) de jour; iii) des hélicoptères monomoteurs dont la configuration maximale opérationnelle en sièges passagers est inférieure ou égale à 5 et qui ne sont pas classés comme aéronefs motorisés complexes, lorsqu’ils décollent et atterrissent sur le même aérodrome ou site d’exploitation et qu’ils sont exploités en VFR de jour: d) les organismes de formation agréés (ATO) relevant de l’annexe VII (partie ORA) du règlement (UE) no 1178/2011, à l’exception de ceux qui participent uniquement aux activités de formation pour les aéronefs ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012, ou qui participent uniquement à la formation théorique; e) les centres aéromédicaux du personnel navigant relevant de l’annexe VII (partie ORA) du règlement (UE) no 1178/2011; f) les exploitants de simulateurs d’entraînement au vol (FSTD) relevant de l’annexe VII (partie ORA) du règlement (UE) no 1178/2011, à l’exception de ceux qui participent uniquement à l’exploitation de FSTD pour les aéronefs ELA2 au sens de l’article 1er, paragraphe 2, point j), du règlement (UE) no 748/2012; g) les organismes de formation des contrôleurs de la circulation aérienne (ATCO) et les centres aéromédicaux ATCO relevant de l’annexe III (partie ATCO.OR) du règlement (UE) 2015/340; h) les organismes relevant de l’annexe III (partie ATM/ANS.OR) du règlement d’exécution (UE) 2017/373, à l’exception des prestataires de services suivants: i) les prestataires de services de navigation aérienne titulaires d’un certificat limité conformément au point ATM/ANS.OR.A.010 de ladite annexe; ii) les prestataires de services d’information de vol déclarant leurs activités conformément au point ATM/ANS.OR.A.015 de ladite annexe; i) les prestataires de services U-space et les prestataires uniques de services d’informations communes soumis au règlement d’exécution (UE) 2021/664.

2 Le présent règlement s’applique aux autorités compétentes, y compris l’Agence de l’Union européenne pour la sécurité aérienne (ci-après l’«Agence»), visées à l’article 6 du présent règlement et à l’article 5 du règlement délégué (UE) 2022/1645 de la Commission .

3 Le présent règlement s’applique également à l’autorité compétente responsable de la délivrance, de la prolongation, de la modification, de la suspension ou du retrait des licences de maintenance d’aéronefs conformément à l’annexe III (partie 66) du règlement (UE) no 1321/2014.

4 Le présent règlement est sans préjudice des exigences en matière de sécurité de l’information et de cybersécurité énoncées au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 et à l’article 14 de la directive (UE) 2016/1148.

Aux fins du présent règlement, on entend par: 1) «sécurité de l’information»: la préservation de la confidentialité, de l’intégrité, de l’authenticité et de la disponibilité des réseaux et des systèmes d’information; 2) «événement lié à la sécurité de l’information»: un fait détecté dans l’état d’un système, d’un service ou d’un réseau pouvant indiquer une atteinte à la politique de sécurité de l’information ou une défaillance des mesures de sécurité de l’information, ou une situation auparavant inconnue pouvant avoir de l’importance pour la sécurité de l’information; 3) «incident»: tout événement ayant un impact négatif réel sur la sécurité des réseaux et des systèmes d’information au sens de l’article 4, paragraphe 7, de la directive (UE) 2016/1148; 4) «risque lié à la sécurité de l’information»: le risque que pose, pour l’organisation des activités de l’aviation civile, les actifs, les personnes et d’autres organismes, un éventuel événement lié à la sécurité de l’information. Les risques liés à la sécurité de l’information sont associés à l’éventualité que des menaces exploitent les vulnérabilités d’un actif d’information ou d’un groupe d’actifs d’information; 5) «menace»: une violation potentielle de la sécurité de l’information qui existe lorsqu’une entité, une circonstance, une action ou un événement est susceptible de causer des dommages; 6) «vulnérabilité»: une faille ou une faiblesse que présentent un actif ou un système, des procédures, une conception, une mise en œuvre ou des mesures de sécurité de l’information qui pourrait être exploitée et entraîner une atteinte à la politique de sécurité de l’information.

1 Les organismes visés à l’article 2, paragraphe 1, se conforment aux exigences de l’annexe II (partie IS.I.OR) du présent règlement.

2 Les autorités compétentes visées à l’article 2, paragraphes 2 et 3, se conforment aux exigences de l’annexe I (partie IS.AR) du présent règlement.

1 Lorsqu’un organisme visé à l’article 2, paragraphe 1, satisfait à des exigences de sécurité fixées conformément à l’article 14 de la directive (UE) 2016/1148 qui sont équivalentes aux exigences fixées dans le présent règlement, le respect desdites exigences de sécurité vaut respect des exigences fixées dans le présent règlement.

2 Lorsqu’un organisme visé à l’article 2, paragraphe 1, est un exploitant ou une entité visée dans les programmes nationaux de sûreté de l’aviation civile des États membres établis conformément à l’article 10 du règlement (CE) no 300/2008 du Parlement européen et du Conseil . Les exigences de cybersécurité figurant au point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 sont considérées comme équivalentes aux exigences fixées dans le présent règlement, sauf en ce qui concerne le point IS.I.OR.230 de l’annexe II du présent règlement, qui est respecté en tant que tel.

3 Lorsque l’organisme visé à l’article 2, paragraphe 1, est le prestataire de services de navigation aérienne du système européen de navigation par recouvrement géostationnaire (EGNOS) visé dans le règlement (UE) 2021/696, les exigences de sécurité énoncées aux articles 33 à 43 du titre V dudit règlement sont considérées comme équivalentes aux exigences énoncées dans le présent règlement, sauf en ce qui concerne le point IS.I.OR.230 de l’annexe II du présent règlement, qui est respecté en tant que tel.

4 La Commission, après consultation de l’Agence et du groupe de coopération visé à l’article 11 de la directive (UE) 2016/1148, peut publier des lignes directrices pour l’évaluation de l’équivalence des exigences fixées dans le présent règlement et dans la directive (UE) 2016/1148.

1 Sans préjudice des tâches confiées au conseil d’homologation de sécurité visé à l’article 36 du règlement (UE) 2021/696, l’autorité chargée de certifier et de contrôler le respect du présent règlement est: a) à l’égard des organismes visés à l’article 2, paragraphe 1, point a), l’autorité compétente désignée conformément à l’annexe II (partie 145) du règlement (UE) no 1321/2014; b) à l’égard des organismes visés à l’article 2, paragraphe 1, point b), l’autorité compétente désignée conformément à l’annexe V quater (partie CAMO) du règlement (UE) no 1321/2014; c) à l’égard des organismes visés à l’article 2, paragraphe 1, point c), l’autorité compétente désignée conformément à l’annexe III (partie ORO) du règlement (UE) no 965/2012; d) à l’égard des organismes visés à l’article 2, paragraphe 1, points d) à f), l’autorité compétente désignée conformément à l’annexe VII (partie ORA) du règlement (UE) no 1178/2011; e) à l’égard des organismes visés à l’article 2, paragraphe 1, point g), l’autorité compétente désignée conformément à l’article 6, paragraphe 2, du règlement (UE) 2015/340; f) à l’égard des organismes visés à l’article 2, paragraphe 1, point h), l’autorité compétente désignée conformément à l’article 4, paragraphe 1, du règlement d’exécution (UE) 2017/373; g) à l’égard des organismes visés à l’article 2, paragraphe 1, point i), l’autorité compétente désignée conformément à l’article 14, paragraphe 1 ou 2, selon le cas, du règlement d’exécution (UE) 2021/664.

2 Les États membres peuvent, aux fins du présent règlement, désigner une entité indépendante et autonome chargée de remplir le rôle et les responsabilités assignés aux autorités compétentes visées au paragraphe 1. Dans ce cas, des mesures de coordination sont établies entre cette entité et les autorités compétentes visées au paragraphe 1, afin d’assurer une surveillance efficace de toutes les exigences auxquelles l’organisme est tenu de satisfaire.

3 L’Agence coopère dans le strict respect des règles applicables en matière de confidentialité, de protection des données à caractère personnel et de protection des informations classifiées avec l’Agence de l’Union européenne pour le programme spatial (EUSPA) et le conseil d’homologation de sécurité visé à l’article 36 du règlement (UE) 2021/696 afin d’assurer une surveillance efficace des exigences applicables au prestataire de services de navigation aérienne EGNOS.

Les autorités compétentes au titre du présent règlement communiquent sans retard au point de contact unique désigné conformément à l’article 8 de la directive (UE) 2016/1148 toute information pertinente contenue dans les notifications soumises conformément au point IS.I.OR.230 de l’annexe II du présent règlement et au point IS.D.OR.230 de l’annexe I du règlement délégué (UE) 2022/1645 par les opérateurs de services essentiels identifiés conformément à l’article 5 de la directive (UE) 2016/1148.

Les annexes VI (partie ARA) et VII (partie ORA) du règlement (UE) no 1178/2011 sont modifiées conformément à l’annexe III du présent règlement.

L’annexe I (partie 21) du règlement (UE) no 748/2012 est modifiée conformément à l’annexe IV du présent règlement.

Les annexes II (partie ARO) et III (partie ORO) du règlement (UE) no 965/2012 sont modifiées conformément à l’annexe V du présent règlement.

L’annexe II (partie ADR.AR) du règlement (UE) no 139/2014 est modifiée conformément à l’annexe VI du présent règlement.

Les annexes II (partie 145), III (partie 66) et V quater (partie CAMO) du règlement (UE) no 1321/2014 sont modifiées conformément à l’annexe VII du présent règlement.

Les annexes II (partie ATCO.AR) et III (partie ATCO.OR) du règlement (UE) 2015/340 sont modifiées conformément à l’annexe VIII du présent règlement.

Les annexes II (partie ATM/ANS.AR) et III (partie ATM/ANS.OR) du règlement d’exécution (UE) 2017/373 sont modifiées conformément à l’annexe IX du présent règlement.

Le règlement d’exécution (UE) 2021/664 est modifié comme suit: 1) À l’article 15, paragraphe 1, le point f) est remplacé par le texte suivant: «f) qu’ils mettent en œuvre et entretiennent un système de gestion de la sûreté conformément à l’annexe III, sous-partie D, point ATM/ANS.OR.D.010, du règlement d’exécution (UE) 2017/373 et un système de gestion de la sécurité de l’information conformément à l’annexe II (partie IS.I.OR) du règlement d’exécution (UE) 2023/203;». 2) À l’article 18, le point l) suivant est ajouté: «l) établissent, mettent en œuvre et entretiennent un système de gestion de la sécurité de l’information conformément à l’annexe I (partie IS.AR) du règlement d’exécution (UE) 2023/203.».

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il est applicable à compter du 22 février 2026. Toutefois, dans le cas du prestataire de services de navigation aérienne EGNOS relevant du règlement d’exécution (UE) 2017/373, il s’applique à compter du 1er janvier 2026.