Nánari efnisumfjöllun
Markmið sem að er stefnt: Markmiðið með tillögunni er að setja kröfur um upplýsingaöryggi í almenningsflugi. Megináhættan hingað til hafi verið af slysum og þær ráðstafanir sem auðkenndar hafa verið í almenningsflugi hafi hingað til miðað að því að koma í veg fyrir þau. Ráðstafanir sem gerð er krafa um í dag miða við að þótt mistök, óhapp eða bilun verði ætti slíkt eitt og sér ekki að leiða til þess að slys eða alvarlegt atvik hljótist af. Áhyggjuefni er að ekki hafi nógu mikil áhersla verið lögð á þær aðstæður sem geta komið upp vegna ásetningsbrota þar sem stefnt er að því að gera verndarráðstafanir óvirkar. Hætta á slíku hefur aukist mikið í almenningsflugi þar sem upplýsingakerfi í flugi verða stöðugt meira samtengd. Það er af þessum sökum sem nauðsynlegt er að setja kröfur um stjórn á þeirri hættu sem að upplýsingaöryggi steðjar.Um er að ræða kröfur um fyrirbyggjandi aðgerðir til þess að verja upplýsingakerfi í flugi fyrir hættu og til að auka viðnámsþrótt kerfanna.Sú tillaga sem hér er til skoðunar hefur verið þó nokkurn tíma í vinnslu. EASA gaf út svokallað Notice of Proposed Action NPA um upplýsingaöryggi 2019, NPA 2019-07.Með EASA áliti 3/2021 e. Opinion 03/2021 – Management of information security risks – voru kröfur þróaðar frekar.Efnisútdráttur:I -GildissviðMeð reglugerðinni eru settar kröfur til eftirtalinna aðila í flugi:- Fyrirtækja sem sinna viðhaldi og viðhaldsstýringu, sbr. reglugerð (ESB) nr. 1321/2014, nema þeirra sem eingöngu sinna þjónustu við almannaflug;- Flugrekenda, sbr. reglugerð (ESB) nr. 965/2012, nema þeirra sem falla undir eftirfarandi:(i) an ELA 2 aircraft as defined in Article 1(2), point (j) of Regulation (EU) No 748/2012;(ii) single-engine propeller-driven aeroplanes with a Maximum Operational Passenger Seating Configuration of 5 or less that are not classified as complex motor-powered aircraft, when taking off and landing at the same aerodrome or operating site and operating under Visual Flight Rules (VFR) by day rules;(iii) single-engine helicopters with a Maximum Operational Passenger Seating Configuration of 5 or less that are not classified as complex motor-powered aircraft, when taking off and landing at the same aerodrome or operating site and operating under VFR by day rules.- Samþykktra flugskóla, nema þeirra sem kenna einungis þeim sem hyggjast fljúga ELA 2 loftfari, sbr. lið (i) að framan;- Fluglæknasetra;- Flugherma (FSTD), sbr. reglugerð (ESB) nr. 1178/2011, nema þeirra sem einungis þjálfa þá sem hyggjast fljúga ELA 2 loftfari, sbr. lið (i) að framan;- Þjálfunaraðila fyrir flugumferðarstjóra, sbr. reglugerð (ESB) 2015/340- Fyrirtækja sem falla undir reglugerð (ESB) nr. 2017/373, nema eftirfarandi:(i) Flugleiðsöguveitenda sem hafa takmarkað starfsleyfi skv ATM/ANS.OR.A.010(ii) Flugupplýsingaveitenda sem skilgreina þjónustu sína samkvæmt ATM/ANS.OR.A.015Þjónustuveitenda U-loftrýmis, sbr. reglugerð (ESB) nr. 2021/664Þá eru settar fram ítarlegar kröfur til lögbærs eftirlitsstjórnvalds, auk þess sem settar eru fram kröfur vegna útgáfu Part-66 skírteina á grundvelli reglugerðar (ESB) nr. 1321/2014.Til að setja þetta í samhengi þá hefur Samgöngustofa eftirlit með:Flugrekendum: 15Flugskólum: 8Fluglæknasetrum: 2Flugleiðsöguþjónustuveitendum: 1 (verða 2 eftir áramót)Part-CAMO fyrirtækjum sem stýra viðvarandi lofthæfi loftfara: 14Part-145 viðhaldsfyrirtækjum: 13II- Helstu kröfurLögbær stjórnvöld skulu uppfylla kröfur sem settar eru fram í viðauka I við reglugerðina. Helstu kröfur fyrir stjórnvöld, e. Authority Requirements, AR, sem bera ábyrgð á vottun/starfsleyfi, e. certification og eftirliti eru þær að stjórnvald skal innleiða stjórnunarkerfi upplýsingaöryggis, e. Information security management system – ISMS. Í slíku kerfi á m.a. að vera stefna um upplýsingaöryggi, vöktun á hættu, framsetningu og viðhald verklagsreglna fyrir upplýsingaöryggi og um verndun trúnaðarupplýsinga sem stofnunin hefur aðgang að í krafti eftirlits síns. Greina þarf og meta áhættu af öllum þáttum starfseminnar sem útsettir eru fyrir hættu í upplýsingaöryggi og gera viðeigandi ráðstafanir samkvæmt niðurstöðum hættugreiningar og áhættumata. Gera þarf ráðstafanir til þess að geta tekið við og greint atvik í upplýsingaöryggi, bæði innanhús og frá starfsleyfishöfum. Í reglugerðinni eru settar fram kröfur á ábyrgðarmann fyrir ISMS. Einnig eru settar fram kröfur um skrásetningu á ýmsum hlutum ISMS og skrásetningu á hæfni starfsmanna sem sinna verkefnum í upplýsingaöryggi. ISMS skal jafnframt tryggja stöðugar umbætur.Krafa er gerð til lögbærs stjórnvalds að gefa út vottanir/starfsleyfi til þeirra fyrirtækja sem falla undir gildissvið.Einnig eru settar fram kröfur á fyrirtæki í flugtengdri starfsemi, e. Operational Requirements, OR, en nánar var fjallað um þá aðila sem heyra undir þessar kröfur í gildissviði hér að framan. Kröfur til þessa aðila eru svipaðar og settar eru fram í AR hlutanum á reglugerðinni en eru þó ítarlegri á sumum sviðum auk þess eru kaflar um hvernig skal tilkynna atvik sem koma upp hjá starfsleyfishöfum. Kveðið er á um innra tilkynningarkerfi atvika, handbók fyrir stjórnunarkerfi upplýsingaöryggis og breytingar í stjórnkerfi upplýsingaöryggiskerfis.Í viðauka III við reglugerðina er ítarlegar kveðið á um kröfur bæði til stjórnalda og fyrirtækja innan ramma reglugerðar (ESB) nr. 1178/2011.Í viðauka IV við reglugerðina er ítarlegar kveðið á um kröfur bæði til stjórnalda og fyrirtækja innan ramma reglugerðar (ESB) nr. 748/2012.Í viðauka V við reglugerðina er ítarlegar kveðið á um kröfur bæði til stjórnalda og fyrirtækja innan ramma reglugerðar (ESB) nr. 965/2012.Í viðauka VI við reglugerðina er ítarlegar kveðið á um kröfur bæði til stjórnalda og fyrirtækja innan ramma reglugerðar (ESB) nr. 139/2014.Í viðauka VII við reglugerðina er ítarlegar kveðið á um kröfur bæði til stjórnalda og fyrirtækja innan ramma reglugerðar (ESB) nr. 1321/2014.Í viðauka VIII við reglugerðina er ítarlegar kveðið á um kröfur bæði til stjórnalda og fyrirtækja innan ramma reglugerðar (ESB) nr. 2015/340.Í viðauka IX við reglugerðina er ítarlegar kveðið á um kröfur bæði til stjórnalda og fyrirtækja innan ramma reglugerðar (ESB) 2017/373.Í 5. gr. er kveðið á um jafngildi krafna, og má líta til þess ef fyrirtækin falla ýmist undir kröfur flugverndarreglna eða NIS – tilskipunar (ESB) 2016/1148.Í 6. gr. er kveðið á um að lögbært eftirlitsstjórnvald skuli vera það stjórnvald sem fer með eftirlit í flugtengdum málum, nema sérstakt upplýsingaöryggisstjórnvald hafi verið tilnefnt í landinu til að fara með slík mál. Fari slík tilnefning fram í skilningi reglugerðarinnar sem hér er til umræðu kemur samt sem áður í hlut lögbærs stjórnvalds í flugmálum að tryggja rétta framkvæmd reglugerðarinnar.IIITil þess að koma í veg fyrir að kröfur séu tvíteknar eru hvorki gerðar kröfur um að reglugerðin gildi um fyrirtæki sem falla undir gildissvið reglugerðar nr. (ESB) 2015/1998 um flugvernd né fyrirtæki sem falla undir gildissvið tilskipunar (ESB) 2016/1148 – NIS tilskipunar. Á því eru þó þær undantekningar að eftir sem áður verður gerð krafa til allra fyrirtækja í flugi að fylgja kröfum um tilkynningar sem settar eru fram í viðauka II Part IS.I.OR.230 „Information security external reporting scheme“.Í því skyni að gefa fyrirtækjum í flugi nægan aðlögunartíma skal reglugerðin ekki koma til framkvæmda fyrr en 3 árum eftir að hún tekur gildi. Þá koma ákvæði reglugerðarinnar fyrir EGNOS kerfið ekki til framkvæmda fyrr en 1. janúar 2026.Lagastoð fyrir innleiðingu gerðar: Loftferðalög nr. 80/2022, 72. gr., 83. gr., 93. gr., 152. gr. og 188. gr. Gera þarf nýja reglugerð til innleiðingar.Mat eða tilgreining á kostnaði hins opinbera, sveitarfélaga og atvinnulífs og almennings, ef einhver er: Flugiðnaður þarf að uppfylla kröfur reglugerðarinnar (OR kröfur) um varnir og viðnám vegna áhættu á sviði upplýsingaöryggis. Samgöngustofa þarf að tryggja eftirlit og vottun/útgáfu starfsleyfis.Þá þarf Samgöngustofa einnig að uppfylla kröfur sem gerðar eru til lögbærs stjórnvalds (AR kröfur). Móta þarf eftirlit Samgöngustofu með framangreindum aðilum. Þá þarf í upphafi að votta/gefa út starfsleyfi fyrir aðilana sem felur í sér ítarlega yfirferð handbóka og gagna sem er tímafrekt.Nauðsynlegt er að stofnunin hafi yfir að ráða starfsfólki með þekkingu á upplýsingaöryggi. Því þarf að auka þjálfun í þessum málaflokki þar sem hvorki liggur fyrir nægjanleg þekking né reynsla innan stofnunninnar til að sinna svo umfangsmiklu eftirliti í upplýsingaöryggi.Að því er varðar verkefni Samgöngustofu má benda á að nú þegar eru í gildi á Íslandi lög um öryggi net- og upplýsingakerfa mikilvægra innviða nr. 78/2019. Með þessum lögum var innleidd NIS tilskipunin (ESB 2016/1148). Samgöngustofa hefur skilgreint eftirfarandi þjónustuveitendur mikilvægra innviða á sviði flugs: Isavia ANS, Isavia o. hf., Isavia Innanlands og Icelandair. Með þessari reglugerð myndi umfang eftirlits á upplýsingaöryggi aukast mikið þar sem margir aðilar sem Samgöngustofa hefur eftirlit með falla undir gildissvið þeirrar reglugerðar sem hér er til umfjöllunar. Alls er um að ræða 53 aðila sem þyrfti að votta.Samgöngustofa hefur þegar óskað eftir fjármagni til ráðningar starfsmanna vegna eftirlits stofnunarinnar á grundvelli laga nr. 78/2019. Þar óskaði Samgöngustofa eftir að lágmarki 2,4 stöðugildum með áætluðum viðbótarheildarkostnaði upp á 38.865.061 á ári.Af þeim sem skilgreindir eru sem rekstraraðilar nauðsynlegrar þjónustu samkvæmt lögum nr. 78/2019 og undir eftirliti Samgöngustofu, eru 4 af 7 flugtengdir aðilar, þ.e. Isavia ANS, Isavia ohf., Isavia Innanlands og Icelandair. Á grundvelli þessa telur Samgöngustofa að það sé þörf á að lágmarki 1,5 stöðugildi fyrir eftirlit með þessum 4 aðilum.Með þeirri reglugerð sem hér er til skoðunar er ljóst að heildarumfang við vottun og eftirlit á netöryggiskröfum eykst til muna en þó er líklegt að eftirlit á grundvelli hennar og eftirlit á grundvelli laga nr. 78/2019 gæti verið samverkandi.Samgöngustofa gerir ráð fyrir að þurfa að bæta við að lágmarki einum starfsmanni vegna eftirlits umfram það sem óskað hafði verið vegna NIS-eftirlits. Jafnframt er gert ráð fyrir að bæta þurfi við einum starfsmanni eða útvista verkefnum til utanaðkomandi ráðgjafa til þess að uppfylla AR kröfurnar.Miðað við reikningsforsendur sem notaðar voru við útreikning vegna laga nr. 78/2019 er áætlað að kostnaður á ári við tvo viðbótarstarfsmenn vegna þeirrar reglugerðar sem hér er til skoðunar verði um 32,4 milljónir á ári.Gert er ráð fyrir að útgjöld Samgöngustofu aukist um 71,3 m.kr. á ári vegna aukinna eftirlitskrafna á sviði netöryggis. Þar af eru 38,9 m.kr. til að uppfylla kröfur um eftirlit á grundvelli laga nr. 78/2019 um NIS í samræmi við fyrrgreint minnisblað til innviðaráðuneytis. Gert er ráð fyrir að verkefni um NIS verði fjármagnað með beinu framlagi úr ríkissjóð.Áætlað er að ráða þurfi 3,5 stöðugildi sérfræðinga til að sinna verkefnum tengdum upplýsingaöryggi stjórnvalda í flugiðnaði.Skörun við starfssvið annarra ráðuneyta: Skoða þarf hvort skörun er við framkvæmd og eftirlit samkvæmt lögum um öryggi net- og upplýsingakerfa mikilvægra innviða nr. 78/2019.Tilgreining á hagsmunaaðilum: FlugiðnaðurHorizontal issues: sektir, aðrar refsingar, stofnanir, lönd utan EES: Nei.Þörf fyrir EFTA-komment – aðlaganir sem þegar eru í gildi vegna undanfarandi gerða: Nei.
