Delegierte Verordnung (EU) 2022/1645 der Kommission vom 14. Juli 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates im Hinblick auf die Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission fallen, und zur Änderung der Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

26.9.2022 DE Amtsblatt der Europäischen Union L 248/18 DELEGIERTE VERORDNUNG (EU) 2022/1645 DER KOMMISSION vom 14. Juli 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates im Hinblick auf die Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission fallen, und zur Änderung der Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission DIE EUROPÄISCHE KOMMISSION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, gestützt auf die Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates vom 4. Juli 2018 zur Festlegung gemeinsamer Vorschriften für die Zivilluftfahrt und zur Errichtung einer Agentur der Europäischen Union für Flugsicherheit sowie zur Änderung der Verordnungen (EG) Nr. 2111/2005, (EG) Nr. 1008/2008, (EU) Nr. 996/2010, (EU) Nr. 376/2014 und der Richtlinien 2014/30/EU und 2014/53/EU des Europäischen Parlaments und des Rates, und zur Aufhebung der Verordnungen (EG) Nr. 552/2004 und (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates und der Verordnung (EWG) Nr. 3922/91 des Rates (1), insbesondere auf Artikel 19 Absatz 1 Buchstabe g und Artikel 39 Absatz 1 Buchstabe b, in Erwägung nachstehender Gründe: (1) Gemäß den grundlegenden Anforderungen in Anhang II Nummer 3.1 Buchstabe b der Verordnung (EU) 2018/1139 müssen Entwicklungs- und Herstellungsorganisationen für das Management von Sicherheitsrisiken ein Managementsystem einführen und aufrechterhalten. (2) Gemäß den grundlegenden Anforderungen in Anhang VII Nummern 2.2.1 und 5.2 der Verordnung (EU) 2018/1139 müssen Flughafenbetreiber und für Vorfeldkontrolldienste zuständige Organisationen für das Management von Sicherheitsrisiken ein Managementsystem einführen und aufrechterhalten. (3) Die in den Erwägungsgründen 1 und 2 genannten Sicherheitsrisiken können aus verschiedenen Quellen herrühren, darunter Anfälligkeiten in der Konstruktion oder bei der Instandhaltung, Aspekte der menschlichen Leistungsfähigkeit, Bedrohungen durch das Umfeld und Bedrohungen der Informationssicherheit. Daher sollten die in den Erwägungsgründen 1 und 2 genannten und von den Organisationen eingerichteten Managementsysteme nicht nur Sicherheitsrisiken berücksichtigen, die sich aus zufälligen Ereignissen ergeben, sondern auch sich aus Bedrohungen der Informationssicherheit ergebende Sicherheitsrisiken, bei denen bestehende Anfälligkeiten von Personen mit böswilliger Absicht ausgenutzt werden können. Diese Risiken für die Informationssicherheit nehmen in der Zivilluftfahrt ständig zu, da die derzeitigen Informationssysteme immer stärker vernetzt werden und immer häufiger zum Angriffsziel böswilliger Akteure werden. (4) Die mit diesen Informationssystemen verbundenen Risiken beschränken sich nicht auf mögliche Angriffe im Cyberraum, sondern umfassen auch Bedrohungen, die Prozesse und Verfahren sowie die menschliche Leistungsfähigkeit beeinträchtigen können. (5) Eine beträchtliche Anzahl von Organisationen wendet bereits internationale Normen wie ISO 27001 an, um die Sicherheit digitaler Informationen und Daten zu verbessern. Allerdings berücksichtigen diese Normen möglicherweise nicht alle Besonderheiten der Zivilluftfahrt. (6) Daher sollten Anforderungen für das Management von sich potenziell auf die Flugsicherheit auswirkenden Informationssicherheitsrisiken eingeführt werden. (7) Angesichts des hochgradig vernetzten Luftfahrtsystems kommt es darauf an, dass diese Anforderungen die verschiedenen Bereiche der Luftfahrt und deren Schnittstellen abdecken. Daher sollten sie für alle Organisationen gelten, die bereits jetzt über ein Managementsystem im Einklang mit den geltenden Rechtsvorschriften der Union im Bereich der Flugsicherheit verfügen müssen. (8) Die in dieser Verordnung festgelegten Anforderungen sollten in allen Bereichen der Luftfahrt einheitlich angewandt werden und sich dabei nur geringfügig auf die bereits für diese Bereiche geltenden Rechtsvorschriften der Union im Bereich der Flugsicherheit auswirken. (9) Die in dieser Verordnung festgelegten Anforderungen sollten die in Nummer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998 der Kommission (2) und in Artikel 14 der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates (3) festgelegten Anforderungen an die Informationssicherheit und die Cybersicherheit unberührt lassen. (10) Die für die Zwecke dieses Rechtsakts verwendete Definition der Informationssicherheit sollte nicht so ausgelegt werden, dass sie von der Begriffsbestimmung der Sicherheit von Netz- und Informationssystemen in der Richtlinie (EU) 2016/1148 abweicht. (11) Um Überschneidungen bei den rechtlichen Anforderungen zu vermeiden, sollte in Fällen, in denen unter diese Verordnung fallende Organisationen bereits bestimmten Sicherheitsanforderungen unterliegen, die sich aus anderen in Erwägungsgrund 9 genannten Rechtsakten der Union ergeben und die in ihrer Wirkung den Bestimmungen dieser Verordnung gleichwertig sind, die Einhaltung jener Sicherheitsanforderungen als Erfüllung der in dieser Verordnung festgelegten Anforderungen gelten. (12) Unter diese Verordnung fallende Organisationen, die bereits den Sicherheitsanforderungen der Durchführungsverordnung (EU) 2015/1998 unterliegen, sollten auch die Anforderungen von Anhang I (Teil IS.D.OR.230 „Informationssicherheitssystem für externe Meldungen“) dieser Verordnung erfüllen, da die Verordnung (EU) 2015/1998 keine Bestimmungen über die externe Meldung von Störungen der Informationssicherheit enthält. (13) Zur Verknüpfung der in den oben genannten Verordnungen vorgeschriebenen Managementsysteme mit den in dieser Verordnung festgelegten Anforderungen an das Informationssicherheitsmanagement sollten die Verordnungen (EU) Nr. 748/2012 (4) und (EU) Nr. 139/2014 (5) geändert werden. (14) Damit die Organisationen ausreichend Zeit haben, um die Einhaltung der mit dieser Verordnung eingeführten neuen Vorschriften und Verfahren sicherzustellen, sollte die Geltung dieser Verordnung erst nach einem Zeitraum von drei Jahren ab ihrem Inkrafttreten beginnen. (15) Die in dieser Verordnung festgelegten Anforderungen beruhen auf der Stellungnahme Nr. 03/2021 (6), die von der Agentur gemäß Artikel 75 Absatz 2 Buchstaben b und c sowie Artikel 76 Absatz 1 der Verordnung (EU) 2018/1139 abgegeben wurde. (16) Wie nach Artikel 128 Absatz 4 der Verordnung (EU) 2018/1139 vorgeschrieben, hat die Kommission die von den einzelnen Mitgliedstaaten benannten Sachverständigen im Einklang mit den in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung enthaltenen Grundsätzen konsultiert (7) — HAT FOLGENDE VERORDNUNG ERLASSEN: Artikel 1 Gegenstand In dieser Verordnung werden die Anforderungen festgelegt, die die in Artikel 2 genannten Organisationen erfüllen müssen und zwar im Hinblick die Identifizierung und das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit, die für die Zwecke der Zivilluftfahrt eingesetzte Systeme und Daten der Informations- und Kommunikationstechnik beeinträchtigen könnten, sowie im Hinblick auf die Erkennung von Informationssicherheitsereignissen und die Identifizierung solcher Ereignisse, die als Störungen der Informationssicherheit mit potenziellen Auswirkungen auf die Flugsicherheit gelten, sowie mit Blick auf die Reaktion auf diese und die Wiederherstellung. Artikel 2 Geltungsbereich (1) Diese Verordnung gilt für folgende Organisationen: a) Herstellungs- und Entwicklungsorganisationen, für die Anhang I (Teil 21) Hauptabschnitt A Abschnitte G und J der Verordnung (EU) Nr. 748/2012 gilt, mit Ausnahme von Entwicklungs- und Herstellungsorganisationen, die ausschließlich an der Entwicklung und/oder Herstellung von ELA2-Luftfahrzeugen im Sinne des Artikels 1 Absatz 2 Buchstabe j jener Verordnung beteiligt sind. b) Flugplatzbetreiber und Anbieter von Vorfeldkontrolldiensten, die Anhang III „Teil Organisatorische Anforderungen (Teil-ADR.OR)“ der Verordnung (EU) Nr. 139/2014 unterliegen. (2) Diese Verordnung lässt die in Nummer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998 und in Artikel 14 der Richtlinie (EU) 2016/1148 festgelegten Anforderungen an die Informationssicherheit und die Cybersicherheit unberührt. Artikel 3 Begriffsbestimmungen Für die Zwecke der vorliegenden Verordnung gelten folgende Begriffsbestimmungen: 1. „Informationssicherheit“ (information security): die Wahrung der Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit von Netz- und Informationssystemen; 2. „Informationssicherheitsereignis“ (information security event): ein identifizierter System-, Dienst- oder Netzzustand, der auf einen möglichen Verstoß gegen das Informationssicherheitskonzept oder ein Versagen von Informationssicherheitskontrollen oder auf eine bis dahin unbekannte Situation hinweist, die für die Informationssicherheit relevant sein kann; 3. „Störung“ (incident): jedes Ereignis im Sinne des Artikels 4 Nummer 7 der Richtlinie (EU) 2016/1148, das sich nachteilig auf die Sicherheit von Netz- und Informationssystemen auswirkt; 4. „Informationssicherheitsrisiko“ (information security risk): auf ein mögliches Informationssicherheitsereignis zurückzuführendes Risiko für die Organisation des Zivilluftfahrtbetriebs sowie für Vermögenswerte, Privatpersonen und andere Organisationen. Informationssicherheitsrisiken bergen das Potenzial, dass Bedrohungen Schwachstellen eines Informationsbestands oder einer Gruppe von Informationsbeständen ausnutzen; 5. „Bedrohung“ (threat): eine potenzielle Verletzung der Informationssicherheit, die vorliegt, wenn durch eine Einrichtung, einen Umstand, eine Handlung oder ein Ereignis ein Schaden verursacht werden könnte; 6. „Schwachstelle“ (vulnerability): eine Anfälligkeit oder eine Schwäche in einem Bestand oder System, in Verfahren, im Design, in der Umsetzung oder bei Maßnahmen zur Informationssicherheit, die ausgenutzt werden und zu einer Verletzung des Informationssicherheitskonzepts führen könnten. Artikel 4 Anforderungen, die sich aus anderen Rechtsvorschriften der Union ergeben (1) Erfüllt eine in Artikel 2 genannte Organisation bestimmte Sicherheitsanforderungen, die in Artikel 14 der Richtlinie (EU) 2016/1148 festgelegt und den Anforderungen dieser Verordnung gleichwertig sind, so gilt die Einhaltung jener Sicherheitsanforderungen als Erfüllung der dieser Verordnung festgelegten Anforderungen. (2) Handelt es sich bei einer in Artikel 2 genannten Organisation um einen Betreiber oder eine Stelle, auf die in den nationalen Luftsicherheitsprogrammen der Mitgliedstaaten nach Artikel 10 der Verordnung (EG) Nr. 300/2008 des Europäischen Parlaments und des Rates (8) Bezug genommen wird, so gelten die in Nummer 1.7 des Anhangs der Durchführungsverordnung (EU) 2015/1998 festgelegten Cybersicherheitsanforderungen als gleichwertig mit den Anforderungen dieser Verordnung, mit Ausnahme von Punkt IS.D.OR.230 des Anhangs dieser Verordnung, der eingehalten werden muss. (3) Die Kommission kann nach Konsultation der EASA und der in Artikel 11 der Richtlinie (EU) 2016/1148 genannten Kooperationsgruppe Leitlinien für die Bewertung der Gleichwertigkeit der in dieser Verordnung und der Richtlinie (EU) 2016/1148 festgelegten Anforderungen herausgeben. Artikel 5 Zuständige Behörde (1) Für die Bescheinigung und Überwachung der Einhaltung dieser Verordnung ist folgende Behörde zuständig: a) In Bezug auf die in Artikel 2 Buchstabe a genannten Organisationen die gemäß Anhang I (Teil 21) der Verordnung (EU) Nr. 748/2012 benannte zuständige Behörde; b) in Bezug auf die in Artikel 2 Buchstabe b genannten Organisationen die gemäß Anhang III (Teil ADR.OR) der Verordnung (EU) Nr. 139/2014 benannte zuständige Behörde. (2) Die Mitgliedstaaten können für die Zwecke dieser Verordnung eine unabhängige und autonome Stelle benennen, die die zugewiesenen Aufgaben und Zuständigkeiten der in Absatz 1 genannten zuständigen Behörden wahrnimmt. In diesem Fall müssen zwischen dieser Stelle und den in Absatz 1 genannten zuständigen Behörden Koordinierungsmaßnahmen festgelegt werden, damit eine wirksame Aufsicht über alle von der Organisation zu erfüllenden Anforderungen gewährleistet ist. Artikel 6 Änderung der Verordnung (EU) Nr. 748/2012 Anhang I (Teil 21) der Verordnung (EU) Nr. 748/2012 wird wie folgt geändert: 1. Das Inhaltsverzeichnis wird wie folgt geändert: a) Nach der Überschrift von Punkt 21.A.139 wird die folgende Überschrift eingefügt: „21.A.139A Informationssicherheitsmanagementsystem“ b) Nach der Überschrift von Punkt 21.A.239 wird die folgende Überschrift eingefügt: „21.A.239A Informationssicherheitsmanagementsystem“ 2. Nach Punkt 21.A.139 wird folgender Punkt 21.A.139A eingefügt: „21.A.139A Informationssicherheitsmanagementsystem Zusätzlich zu dem nach Punkt 21.A.139 vorgeschriebenen Produktionsmanagementsystem muss die Herstellungsorganisation ein Informationssicherheitsmanagementsystem gemäß der Delegierten Verordnung (EU) 2022/1645 der Kommission (*1) einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist. (*1) Delegierte Verordnung (EU) 2022/1645 der Kommisson vom 14.Juli 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates im Hinblick auf die Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission fallen, und zur Änderung der Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission (ABl. L 248 vom 26.9.2022, S. 18).“ " 3. Nach Punkt 21.A.239 wird folgender Punkt 21.A.239A eingefügt: „21.A.239A Informationssicherheitsmanagementsystem Zusätzlich zu dem nach Punkt 21.A.239 vorgeschriebenen Konstruktionsmanagementsystem muss die Entwicklungsorganisation ein Informationssicherheitsmanagementsystem gemäß der Delegierten Verordnung (EU) 2022/1645 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist.“ Artikel 7 Änderung der Verordnung (EU) Nr. 139/2014 Anhang III (Teil-ADR.AR) der Verordnung (EU) Nr. 139/2014 wird wie folgt geändert: 1. Nach Punkt ADR.OR.D.005 wird folgender Punkt ADR.OR.D.005A eingefügt: „ADR.OR.D.005A Informationssicherheitsmanagementsystem Der Flugplatzbetreiber muss ein Informationssicherheitsmanagementsystem gemäß der Delegierten Verordnung (EU) 2022/1645 der Kommission (*2) einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist. (*2) Delegierte Verordnung (EU) 2022/1645 der Kommisson vom 14.Juli 2022 zur Festlegung von Vorschriften für die Anwendung der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates im Hinblick auf die Anforderungen an das Management von Informationssicherheitsrisiken mit potenziellen Auswirkungen auf die Flugsicherheit für Organisationen, die unter die Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission fallen, und zur Änderung der Verordnungen (EU) Nr. 748/2012 und (EU) Nr. 139/2014 der Kommission (ABl. L 248 vom 26.9.2022, S.18).“ " 2. Punkt ADR.OR.D.007 erhält folgende Fassung: „ADR.OR.D.007 Management von Luftfahrtdaten und Luftfahrtinformationen a) Im Rahmen seines Managementsystems muss der Flugplatzbetreiber ein Qualitätsmanagementsystem einführen und aufrechterhalten, das die folgenden Tätigkeiten umfasst: 1. seine Tätigkeiten in Bezug auf Luftfahrtdaten, 2. seine Tätigkeiten zur Bereitstellung von Luftfahrtinformationen. b) Im Rahmen seines Managementsystems muss der Flugplatzbetreiber ein Sicherheitsmanagementsystem einrichten, mit dem der Schutz der Betriebsdaten, die er erhält oder erzeugt oder auf sonstige Weise nutzt, gewährleistet wird, sodass der Zugang zu diesen Daten auf Befugte beschränkt ist. c) Im Sicherheitsmanagementsystem müssen folgende Elemente festgelegt werden: 1. Verfahren zur Beurteilung des Datensicherheitsrisikos und dessen Minderung, zur Überwachung und Erhöhung der Sicherheit, für Sicherheitsüberprüfungen und die Verbreitung der daraus gezogenen Lehren; 2. die zur Erkennung von Sicherheitsverletzungen und zur Alarmierung des Personals durch geeignete Sicherheitswarnungen vorgesehenen Mittel; 3. die Mittel zur Beherrschung der Auswirkungen von Sicherheitsverletzungen und zur Ermittlung von Abhilfemaßnahmen und Minderungsverfahren, um eine Wiederholung zu verhindern. d) Der Flugplatzbetreiber muss gewährleisten, dass sein Personal im Hinblick auf die Sicherheit der Luftfahrtdaten sicherheitsüberprüft ist. e) Die mit der Informationssicherheit zusammenhängenden Aspekte müssen nach Punkt ADR.OR.D.005A geregelt werden.“ 3. Nach Punkt ADR.OR.F.045 wird folgender Punkt ADR.OR.F.045A eingefügt: „ADR.OR.F.045A Informationssicherheitsmanagementsystem Die für die Bereitstellung von AMS verantwortliche Organisation muss ein Informationssicherheitsmanagementsystem gemäß der Delegierten Verordnung (EU) 2022/1645 einrichten, umsetzen und pflegen, damit ein ordnungsgemäßes Management der Informationssicherheitsrisiken, die sich auf die Flugsicherheit auswirken können, gewährleistet ist.“ Artikel 8 Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt ab dem 16. Oktober 2025. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Brüssel, den 14. Juli 2022 Für die Kommission Die Präsidentin Ursula VON DER LEYEN (1) ABl. L 212 vom 22.8.2018, S. 1. (2) Durchführungsverordnung (EU) 2015/1998 der Kommission vom 5. November 2015 zur Festlegung detaillierter Maßnahmen für die Durchführung der gemeinsamen Grundstandards für die Luftsicherheit (ABl. L 299 vom 14.11.2015, S. 1). (3) Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (ABl. L 194 vom 19.7.2016, S. 1). (4) Verordnung (EU) Nr. 748/2012 der Kommission vom 3. August 2012 zur Festlegung der Durchführungsbestimmungen für die Erteilung von Lufttüchtigkeits- und Umweltzeugnissen für Luftfahrzeuge und zugehörige Produkte, Bau- und Ausrüstungsteile sowie für die Zulassung von Entwicklungs- und Herstellungsbetrieben (ABl. L 224 vom 21.8.2012, S. 1). (5) Verordnung (EU) Nr. 139/2014 der Kommission vom 12. Februar 2014 zur Festlegung von Vorschriften und von Verwaltungsverfahren in Bezug auf Flugplätze gemäß der Verordnung (EG) Nr. 216/2008 des Europäischen Parlaments und des Rates (ABl. L 44 vom 14.2.2014, S. 1). (6) https://www.easa.europa.eu/document-library/opinions (7) ABl. L 123 vom 12.5.2016, S. 1. (8) Verordnung (EG) Nr. 300/2008 des Europäischen Parlaments und des Rates vom 11. März 2008 über gemeinsame Vorschriften für die Sicherheit in der Zivilluftfahrt und zur Aufhebung der Verordnung (EG) Nr. 2320/2002 (ABl. L 97 vom 9.4.2008, S. 72). ANHANG INFORMATIONSSICHERHEIT — ANFORDERUNGEN AN DIE ORGANISATION [TEIL-IS.D.OR] IS.D.OR.100 Umfang IS.D.OR.200 Informationssicherheitsmanagementsystem IS.D.OR.205 Bewertung des Informationssicherheitsrisikos IS.D.OR.210 Umgang mit dem Informationssicherheitsrisiko IS.D.OR.215 Informationssicherheitssystem für interne Meldungen IS.D.OR.220 Störungen der Informationssicherheit — Erkennung, Reaktion und Wiederherstellung IS.D.OR.225 Reaktion auf die von der zuständigen Behörde gemeldeten Beanstandungen IS.D.OR.230 Informationssicherheitssystem für externe Meldungen IS.D.OR.235 Auftragsvergabe für Tätigkeiten des Informationssicherheitsmanagements IS.D.OR.240 Anforderungen an das Personal IS.D.OR.245 Führen von Aufzeichnungen IS.D.OR.250 Handbuch zum Informationssicherheitsmanagement (ISMM) IS.D.OR.255 Änderungen des Informationssicherheitsmanagementsystems IS.D.OR.260 Kontinuierliche Verbesserung IS.D.OR.100 Umfang In diesem Teil werden die Anforderungen festgelegt, die die in Artikel 2 dieser Verordnung genannten Organisationen erfüllen müssen. IS.D.OR.200 Informationssicherheitsmanagementsystem (ISMS) a) Damit die in Artikel 1 genannten Ziele erreicht werden, muss die Organisation ein Informationssicherheitsmanagementsystem (ISMS) einrichten, umsetzen und pflegen, mit dem sie Folgendes sicherstellt: 1. Festlegung eines Konzepts für die Informationssicherheit, in der die allgemeinen Grundsätze der Organisation im Hinblick auf die potenziellen Auswirkungen von Informationssicherheitsrisiken auf die Flugsicherheit dargelegt werden; 2. Identifizierung und Überprüfung von Informationssicherheitsrisiken nach Punkt IS.D.OR.205; 3. Festlegung und Umsetzung der Maßnahmen für den Umgang mit Informationssicherheitsrisiken nach Punkt IS.D.OR.210; 4. Umsetzung eines Informationssicherheitssystems für interne Meldungen nach Punkt IS.D.OR.215; 5. Festlegung und Umsetzung nach Punkt IS.D.OR.220 der zur Erkennung von Informationssicherheitsereignissen notwendigen Maßnahmen, Identifizierung solcher Ereignisse, die als Störungen mit potenziellen Auswirkungen auf die Flugsicherheit gelten, es sei denn, dies ist nach Punkt IS.D.OR.205(e) zulässig, sowie Reaktion auf diese Störungen Informationssicherheit und Wiederherstellung; 6. Umsetzung der Maßnahmen, die von der zuständigen Behörde als unmittelbare Reaktion auf eine Störung oder Schwachstelle der Informationssicherheit mit Auswirkungen auf die Flugsicherheit gemeldet wurden; 7. Ergreifung geeigneter Maßnahmen nach Punkt IS.D.OR.225, um den von der zuständigen Behörde mitgeteilten Beanstandungen Rechnung zu tragen; 8. Umsetzung eines Systems für externe Meldungen nach Punkt IS.D.OR.230, damit die zuständige Behörde geeignete Maßnahmen ergreifen kann; 9. Erfüllung der Anforderungen von Punkt IS.D.OR.235 für den Fall, dass ein Teil der unter Punkt IS.D.OR.200 genannten Tätigkeiten an andere Organisationen vergeben wird; 10. Erfüllung der Anforderung an das Personal nach Punkt IS.D.OR.240; 11. Erfüllung der Anforderung an das Führen von Aufzeichnungen nach Punkt IS.D.OR.245; 12. Überwachung der Einhaltung der Anforderungen dieser Verordnung durch die Organisation und Unterrichtung des leitenden Managers bzw. — im Falle von Entwicklungsorganisationen — des Leiters der Entwicklungsorganisation über Beanstandungen, damit Abhilfemaßnahmen wirksam umgesetzt werden; 13. Schutz der V