KOMISIJOS REGLAMENTAS (EB) Nr. 482/2008
2008 m. gegužės 30 d.
kuriuo nustatoma oro navigacijos paslaugų teikėjų diegtina programinės įrangos saugos užtikrinimo sistema ir iš dalies keičiamas Reglamento (EB) Nr. 2096/2005 II priedas
(Tekstas svarbus EEE)
EUROPOS BENDRIJŲ KOMISIJA,
atsižvelgdama į Europos bendrijos steigimo sutartį,
atsižvelgdama į 2004 m. kovo 10 d. Europos Parlamento ir Tarybos reglamentą (EB) Nr. 550/2004 dėl oro navigacijos paslaugų teikimo bendrame Europos danguje (paslaugų teikimo reglamentas) (1), ypač į jo 4 straipsnį,
kadangi:
(1)
Pagal Reglamentą (EB) Nr. 550/2004 Komisija, atsižvelgdama į Bendrijos teisės aktus, turi nustatyti ir priimti atitinkamas Europos saugios oro navigacijos organizacijos norminių saugos reikalavimų (ESARR) nuostatas. Dokumente ESARR 6 „Programinė įranga ATM sistemose“ pateikiamas norminių saugos reikalavimų, taikomų diegiant programinės įrangos saugos užtikrinimo sistemas, paketas.
(2)
2005 m. gruodžio 20 d. Komisijos reglamento (EB) Nr. 2096/2005, nustatančio bendruosius oro navigacijos paslaugų teikimo reikalavimus (2), 12 konstatuojamosios dalies paskutiniame sakinyje pažymėta, kad „Reikėtų nustatyti atitinkamus ESARR 1 reikalavimus dėl OEV saugos priežiūros ir ESARR 6 reikalavimus dėl OEV sistemų programinės įrangos bei juos priimti atskirais Bendrijos aktais.“
(3)
Pagal Reglamento (EB) Nr. 2096/2005 II priedą oro eismo paslaugų teikėjai privalo įdiegti saugos valdymo sistemą bei įgyvendinti rizikos įvertinimo ir sumažinimo saugos reikalavimus atsižvelgdami į pokyčius. Vykdydamas rizikos vertinimo ir mažinimo atsižvelgiant į pokyčius veiklą oro eismo paslaugų teikėjas saugos valdymo sistemoje turėtų apibrėžti ir įdiegti programinės įrangos saugos užtikrinimo sistemą, kuri būtų specialiai skirta darbui su programinės įrangos aspektais.
(4)
Funkcinių sistemų, kuriose naudojama programinė įranga, atveju svarbiausias su programinės įrangos sauga susijęs uždavinys yra iki leistino lygio sumažinti riziką, susijusią su Europos oro eismo valdymo tinklo sistemose naudojama programinės įranga (EATMN programinė įranga).
(5)
Šis reglamentas neturėtų būti taikomas karinėms operacijoms ir mokymams, kaip nustatyta 2004 m. kovo 10 d. Europos Parlamento ir Tarybos reglamente (EB) Nr. 549/2004 1 straipsnio 2 dalyje, nustatančiame bendro Europos dangaus sukūrimo pagrindą (pagrindų reglamentas) (3).
(6)
Todėl Reglamento (EB) Nr. 2096/2005 II priedą reikėtų atitinkamai iš dalies pakeisti.
(7)
Šiame reglamente numatytos priemonės atitinka Bendro dangaus komiteto nuomonę,
PRIĖMĖ ŠĮ REGLAMENTĄ:
1 straipsnis
Dalykas ir taikymo sritis
1. Šiuo reglamentu nustatomi reikalavimai, kurių laikydamiesi oro eismo paslaugų (ATS) teikėjai, subjektai, užsiimantys oro eismo srautų valdymu (ATFM) bei oro erdvės valdymu (ASM) bendrajam oro eismui bei ryšių, navigacijos ir priežiūros (CNS) tarnybos apibrėžtų ir įdiegtų programinės įrangos saugos užtikrinimo sistemą.
Šiuo reglamentu nustatomos ir priimamos 2003 m. lapkričio 6 d. paskelbtos Eurokontrolės norminių saugos reikalavimų, ESSAR 6 „Programinė įranga ATM sistemose“ (ESARR 6) privalomosios nuostatos.
2. Šis reglamentas taikomas naujai programinei įrangai bei ATS, ASM, ATFM ir CNS sistemų programinės įrangos pakeitimams.
Jis netaikomas programinei įrangai, naudojamai orlaiviuose esančiuose komponentuose, ir kosminei įrangai.
2 straipsnis
Apibrėžtys
Šiame reglamente vartojami Reglamento (EB) Nr. 549/2004 2 straipsnyje nustatytos apibrėžtys.
Taip pat vartojami šios apibrėžtys:
1)
programinė įranga - kompiuterinės programos ir atitinkami sąrankos duomenys, įskaitant standartinę įrangą, tačiau išskyrus elektroninius elementus, kaip antai: specialieji integriniai grandynai (ASIC), programuojamosios loginių elementų matricos arba puslaidininkiai loginiai valdikliai;
2)
sąrankos duomenys - duomenys, būtini bendrosios paskirties programinės įrangos sistemai konfigūruoti konkrečiu tos sistemos naudojimo atveju;
3)
standartinė programinė įranga - programinė įranga, kuri nekurta pagal konkrečią sutartį;
4)
saugos užtikrinimas - visi planuoti ir metodiški veiksmai, būtini tinkamai užtikrinti, kad produktas, paslauga, organizacija ar funkcinė sistema būtų priimtino arba leistino saugos lygio;
5)
organizacija - ATS tarnyba, CNS tarnyba arba subjektas, teikiantis ATFM arba ASM paslaugas;
6)
funkcinė sistema - sistemų, procedūrų ir žmogiškųjų išteklių derinys tam tikrai ATM srities funkcijai atlikti;
7)
rizika - pavojaus sukeltų žalingų padarinių bendros tikimybės arba dažnumo ir tų padarinių sunkumo derinys;
8)
pavojus - sąlyga, įvykis arba aplinkybė, dėl kurių gali įvykti avarija;
9)
nauja programinė įranga - programinė įranga, kuri yra užsakyta arba dėl kurios sudarytos įpareigojančios sutartys įsigaliojus šiam reglamentui;
10)
saugos tikslas - kokybinis arba kiekybinis teiginys, kuriuo nustatomas didžiausias galimo pavojaus dažnumas arba tikimybė;
11)
saugos reikalavimas - pagal rizikos mažinimo strategiją nustatyta rizikos mažinimo priemonė, kuria pasiekiamas tam tikras saugos tikslas, įskaitant organizacinius, veiklos, procedūrinius, funkcinius, rezultatų ir tarpusavio sąveikos reikalavimus arba aplinkos savybes;
12)
perjungimas arba prijungimas veikiant - techniniai metodai Europos oro eismo valdymo tinklo (EATMN) sistemos komponentams arba programinei įrangai keisti nenutraukiant pačios sistemos veikimo;
13)
programinės įrangos saugos reikalavimas - to, ką galima atlikti programine įranga esant tam tikriems įvedamiems duomenims ir apribojimams, aprašas; jei reikalavimo laikomasi, užtikrinamas saugus ir eksploatavimo poreikius atitinkantis EATMN programinės įrangos veikimas;
14)
EATMN programinė įranga - programinė įranga, naudojama 1 straipsnyje nurodytose EATMN sistemose;
15)
reikalavimų tikrumas - tikrinimu arba pateiktais objektyviais įrodymais pagrįstas patvirtinimas, kad įvykdyti su tam tikru naudojimo tikslu susiję reikalavimai;
16)
nepriklausomai atliekamas - programinės įrangos patikrinimo procedūros atveju, patikrinimo procedūros veiksmai, kuriuos atlieka ne tą elementą kūręs, o kitas asmuo (asmenys);
17)
programinės įrangos triktis - programos negalėjimas tinkamai atlikti būtinos funkcijos;
18)
programinės įrangos gedimas - programos negalėjimas atlikti būtinos funkcijos;
19)
komercinė programinė įranga (COTS) - taikomoji programa, kuri parduodama užsisakius iš pardavėjų viešųjų katalogų ir kurios nenumatyta pritaikyti pagal specialius poreikius arba tobulinti;
20)
programinės įrangos komponentai - sudėtinės dalys, kurios įdiegtos kartu su kitomis daugkartinio naudojimo programinės įrangos sudėtinėmis dalimis arba sujungtos su tomis dalimis sudaro vartotojo poreikius atitinkančią taikomąją programą;
21)
nepriklausomi programinės įrangos komponentai - programinės įrangos komponentai, kurių veikimo nenutraukia pavojų sukelti galintis gedimas;
22)
programinės įrangos atsako laikas - laikas, per kurį programinė įranga turi pateikti atsaką į tam tikrus įvedamus duomenis arba reguliarius įvykius, ir (arba) programinės įrangos našumas - per laiko vienetą įvykdytos operacijos arba apdoroti pranešimai;
23)
programinės įrangos pajėgumas - programinės įrangos geba apdoroti tam tikro dydžio duomenų srautą;
24)
tikslumas - privalomas suskaičiuotų rezultatų tikslumas;
25)
ištekliai programinei įrangai - kompiuterinės sistemos išteklių, kuriuos gali naudoti taikomoji programa, kiekis;
26)
programinės įrangos stabilumas - kompiuterinės sistemos arba prijungtų įrenginių programinės įrangos elgsena įvedus nenumatytus duomenis, sugedus techninei įrangai ir nutrūkus elektros energijos tiekimui;
27)
atsparumas perkrovai - sistemos elgsena ir visų pirma jos atsparumas tuo atveju, kai duomenys įvedami sparčiau, nei numatyta sistemą eksploatuojant normalia veika;
28)
„tikslus ir išsamus programinės įrangos EATMN patikrinimas“ - atvejis, kai visuose programinės įrangos saugos reikalavimuose tiksliai suformuluoti reikalavimai, taikomi programinės įrangos komponentui pagal rizikos vertinimo ir mažinimo procedūrą, ir tų reikalavimų laikymasis įrodytas pagal būtiną programinės įrangos garantijos lygį;
29)
programinės įrangos gyvavimo ciklo duomenys - programinės įrangos gyvavimo ciklu sukurti duomenys, naudojami veiksmams planuoti, valdyti, aiškinti, apibrėžti, registruoti arba tiems veiksmams įrodyti. Remiantis šiais duomenimis patvirtinami programinės įrangos gyvavimo ciklu vykstantys procesai, sistema arba įranga, taip pat programinės įrangos pakeitimai po jos patvirtinimo;
30)
„programinės įrangos gyvavimo ciklas“ yra:
a)
tvarkingas procesų rinkinys, kurį organizacija laiko pakankamu ir tinkamu programinei įrangai sukurti;
b)
laikotarpis nuo sprendimo kurti arba keisti programinę įrangą iki programinės įrangos eksploatavimo nutraukimo;
31)
sistemos saugos reikalavimas - funkcinei sistemai keliamas saugos reikalavimas.
3 straipsnis
Bendrieji saugos reikalavimai
1. Jei pagal galiojančius nacionalinius arba Bendrijos teisės aktus organizacija privalo įdiegti rizikos vertinimo ir mažinimo procedūrą, ji apibrėžia ir įdiegia programinės įrangos saugos užtikrinimo sistemą, kuri yra specialiai skirta darbui su EATMN programine įranga susijusiais aspektais, įskaitant tinklu atliekamus programinės įrangos pakeitimus, visų pirma perjungimą arba prijungimą veikiant.
2. Organizacija užtikrina, kad jos programinės įrangos saugos užtikrinimo sistema pateikia bent įrodymus ir argumentus, kad:
a)
programinės įrangos saugos reikalavimuose tiksliai nurodyta, kokie reikalavimai keliami programinei įrangai, kad ji atitiktų saugos tikslus ir reikalavimus, apibrėžtus rizikos vertinimo ir mažinimo procedūroje;
b)
užtikrintas visų programinės įrangos saugos reikalavimų atsekamumas;
c)
programinė įranga įdiegta be funkcijų, galinčių neigiamai paveikti saugą;
d)
EATMN programinė įranga atitinka jai keliamus reikalavimus tokiu patikimumo lygiu, kuris atitinka programinės įrangos svarbumą;
e)
bendrųjų saugos reikalavimų, nustatytų a-d punktuose, atitikimas patvirtinamas garantijomis, o argumentai, kuriais įrodomos būtinos garantijos, gaunami iš:
i)
žinomos vykdomosios programinės įrangos versijos;
ii)
žinomo sąrankos duomenų rinkinio; ir
iii)
žinomo programinės įrangos produktų ir aprašymų rinkinio, įskaitant specifikacijas, kurį naudojant gaminta ta versija.
3. Organizacija pateikia nacionalinei priežiūros institucijai būtinas garantijas, kad 2 dalyje nustatyti reikalavimai yra įvykdyti.
4 straipsnis
Programinės įrangos saugos užtikrinimo sistemai keliami reikalavimai
Organizacija užtikrina, kad programinės įrangos saugos užtikrinimo sistema atitiktų bent toliau išvardytus kriterijus:
1)
sistemos dokumentai parengti pagal bendrus rizikos vertinimo ir mažinimo dokumentus;
2)
programinės įrangos garantijos lygiai paskirti visai eksploatuojamai EATMN programinei įrangai laikantis I priede nustatytų reikalavimų;
3)
sistema užtikrinama, kad:
a)
programinės įrangos saugos reikalavimų tikrumas užtikrinamas pagal II priedo A dalyje nustatytus reikalavimus;
b)
programinės įrangos patikrinimas atitinka II priedo B dalyje nustatytus reikalavimus;
c)
programinės įrangos sąranka valdoma pagal II priedo C dalyje nustatytus reikalavimus;
d)
programinės įrangos saugos reikalavimų atsekamumas užtikrinamas pagal II priedo D dalyje nustatytus reikalavimus;
4)
sistemoje nustatytas programinės įrangos garantijos griežtumas; griežtumas nustatomas kiekvienam programinės įrangos garantijos lygiui: kuo programinė įranga svarbesnė, tuo griežtesni reikalavimai; šiuo tikslu:
a)
programinės įrangos garantijos lygių griežtumas skirstomas pagal tokius kriterijus:
i)
nepriklausomai teikiamos garantijos;
ii)
privalomos garantijos;
iii)
nereikalaujamos garantijos;
b)
kiekvieną programinės įrangos garantijos lygį atitinkančiomis garantijomis pakankamai užtikrinama, kad EATMN programinė įranga gali būti eksploatuojama pakankamai saugiai;
5)
EATMN programinės įrangos vartotojų sukaupta patirtis naudojama patvirtinti, kad programinės įrangos saugos užtikrinimo sistema ir saugos reikalavimų lygių paskyrimas yra tinkami. Tuo tikslu visi programinės įrangos trikčių ir gedimų poveikiai, apie kuriuos pranešta pagal atitinkamus saugos įvykių pranešimo ir vertinimo reikalavimus, vertinami juos lyginant su atitinkamai sistemai nustatytu pavojaus poveikiu pagal pavojingumo klasifikavimo sistemą, numatytą Reglamento (EB) Nr. 2096/2005 II priedo 3.2.4 dalyje.
5 straipsnis
Programinės įrangos ir specialios programinės įrangos keitimui keliami reikalavimai
1. Keičiant programinę įrangą, konkrečių tipų programinę įrangą, pavyzdžiui COTS, standartinę programinę įrangą arba anksčiau naudotą programinę įrangą, kuriai negali būti taikomi kai kurie iš 3 straipsnio 2 dalies d arba e punkte arba 4 straipsnio 2, 3, 4 arba 5 dalyje nurodytų reikalavimų, organizacijos pasirūpina, kad programinės įrangos saugos užtikrinimo sistema kitomis priemonėmis, parinktomis ir suderintomis su nacionaline priežiūros institucija, suteikia tokį patį patikimumo lygį kaip ir nustatytas programinės įrangos garantijos lygis.
Šiomis priemonėmis pakankamai užtikrinama, kad programinė įranga atitiktų saugos tikslus ir reikalavimus, kaip nustatyta saugos rizikos vertinimo ir mažinimo procedūroje.
2. Nacionalinė priežiūros institucija gali pavesti vertinti 1 dalyje nurodytas priemones pripažintai organizacijai arba notifikuotajai įstaigai.
6 straipsnis
Dalinis Reglamento (EB) Nr. 2096/2005 keitimas
Reglamento (EB) Nr. 2096/2005 II priedas papildomas šiuo skirsniu:
„3.2.5 5 skirsnis
Programinės įrangos saugos užtikrinimo sistema
Eksploatuodamas saugos valdymo sistemą oro eismo paslaugų teikėjas įdiegia programinės įrangos saugos užtikrinimo sistemą pagal 2008 m. gegužės 30 d. Komisijos reglamentą (EB) Nr. 482/2007 (kuriuo nustatoma oro navigacijos paslaugų teikėjų diegtina programinės įrangos saugos užtikrinimo sistema ir iš dalies keičiamas Reglamentas (EB) Nr. 2096/2005 (4).
7 straipsnis
Įsigaliojimas
Šis reglamentas įsigalioja dvidešimtą dieną nuo jo paskelbimo Europos Sąjungos oficialiajame leidinyje.
Šis reglamentas nuo 2009 m. sausio 1 d. taikomas naujoms 1 straipsnio 2 dalyje nurodytoms EATMN sistemoms.
Šis reglamentas nuo 2010 m. liepos 1 d. taikomas keičiant 1 straipsnio 2 dalyje minimų EATMN sistemų, kurios jau veikė iki minėtos datos, programinę įrangą.
Šis reglamentas yra privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.
Priimta Briuselyje, 2008 m. gegužės 30 d.