(1)

W rozporządzeniu (UE) 2018/1139 ustanowiono zasadnicze wymogi dotyczące bezpiecznego świadczenia usług obsługi naziemnej i organizacji świadczących takie usługi, a także wymogi dotyczące nadzoru sprawowanego przez właściwe organy nad tymi organizacjami i usługami obsługi naziemnej świadczonymi na lotniskach Unii objętych zakresem tego rozporządzenia.

(2)

Zgodnie z zasadniczymi wymogami określonymi w pkt 4.2.1 załącznika VII do rozporządzenia (UE) 2018/1139 oraz z rozporządzeniem delegowanym Komisji (UE) 2025/20 (2) organizacje odpowiedzialne za bezpieczne świadczenie usług obsługi naziemnej mają wdrożyć i utrzymywać system zarządzania ryzykiem dotyczącym bezpieczeństwa. Takie ryzyko dotyczące bezpieczeństwa może wynikać również z zagrożeń dla bezpieczeństwa informacji. Organizacje świadczące usługi obsługi naziemnej powinny odpowiednio przeciwdziałać tego rodzaju ryzyku. Aby to umożliwić, należy zmienić zakres rozporządzenia delegowanym Komisji (UE) 2022/1645 (3) w celu objęcia nim organizacji świadczących usługi obsługi naziemnej.

(3)

Organizacje podlegające rozporządzeniu delegowanemu (UE) 2022/1645, takie jak organizacje odpowiedzialne za obsługę naziemną i organizacje zapewniające służby zarządzania płytą postojową, działają w ramach systemu deklaracji. Oznacza to, że ich system zarządzania ani jakikolwiek z jego elementów nie musi być zatwierdzany przez ich właściwe organy. Ten sam system powinien umożliwiać tym organizacjom stosowanie przepisów dotyczących bezpieczeństwa informacji bez konieczności posiadania podręcznika zarządzania bezpieczeństwem informacji lub procesu zarządzania zmianami zatwierdzonego przez właściwy organ. Wymogi dotyczące tych elementów powinny zostać zmienione w celu odzwierciedlenia tego wyłączenia dla organizacji składających deklarację.

(4)

Organizacje objęte zakresem stosowania niniejszego rozporządzenia, które już podlegają wymogom w zakresie bezpieczeństwa wynikającym z rozporządzenia wykonawczego Komisji (UE) 2015/1998 (4), powinny również przestrzegać wymogów określonych w załączniku I (część IS.D.OR.230 „System zewnętrznego zgłaszania zdarzeń związanych z bezpieczeństwem informacji”) do rozporządzenia delegowanego (UE) 2022/1645, ponieważ rozporządzenie wykonawcze (UE) 2015/1998 nie zawiera żadnych przepisów dotyczących zewnętrznego zgłaszania incydentów związanych z bezpieczeństwem informacji.

(5)

Wymagania określone w niniejszym rozporządzeniu opierają się na opinii nr 01/2024 (5) wydanej przez Agencję zgodnie z art. 75 ust. 2 lit. b) i c) oraz art. 76 ust. 1 rozporządzenia (UE) 2018/1139.

(6)

Zgodnie z art. 128 ust. 4 rozporządzenia (UE) 2018/1139 Komisja skonsultowała się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa (6).

(7)

Aby organizacje miały wystarczająco dużo czasu na zapewnienie zgodności z nowymi przepisami i procedurami wprowadzonymi niniejszym rozporządzeniem, niniejsze rozporządzenie powinno mieć zastosowanie 6 lat od daty jego wejścia w życie,

1)

pkt IS.D.OR.200 lit. a) ppkt 5 otrzymuje brzmienie:

2)

pkt IS.D.OR.250 lit. b) i c) otrzymują brzmienie:

3)

pkt IS.D.OR.255 otrzymuje brzmienie:

„IS.D.OR.255 Zmiany w systemie zarządzania bezpieczeństwem informacji