Regolamento (UE) 2023/1769

Requisiti tecnici e procedure amministrative per l’approvazione delle organizzazioni coinvolte nella progettazione o nella produzione di sistemi e componenti ATM/ANS

Il regolamento di esecuzione (UE) 2023/1769 definisce il quadro armonizzato per l’approvazione delle organizzazioni che progettano o producono sistemi e componenti per la gestione del traffico aereo e i servizi di navigazione aerea. La disciplina si colloca nel sistema del regolamento (UE) 2018/1139 e del regolamento delegato (UE) 2023/1768, con l’obiettivo di garantire un’applicazione uniforme dei requisiti essenziali di sicurezza, prestazioni e interoperabilità, anche tenendo conto del rischio connesso alle attività svolte.

Ambito di applicazione e contesto normativo

Il regolamento si applica alle organizzazioni coinvolte nella progettazione o nella produzione di apparecchiature ATM/ANS oggetto di certificazione ai sensi dell’articolo 4 del regolamento delegato (UE) 2023/1768 oppure di dichiarazione di conformità del progetto ai sensi dell’articolo 5 del medesimo regolamento. Rileva per i soggetti che chiedono o detengono l’approvazione dell’Agenzia dell’Unione europea per la sicurezza aerea (EASA), nonché per le attività di sorveglianza e applicazione delle norme svolte da tale Agenzia.

Sono esclusi i componenti di bordo, che restano disciplinati dal regolamento (UE) n. 748/2012. Il regolamento è inoltre coordinato con il regolamento (UE) 2021/696 per il caso specifico di EGNOS e modifica il regolamento di esecuzione (UE) 2023/203 al fine di includere le organizzazioni approvate nel perimetro della gestione dei rischi di sicurezza delle informazioni con impatto sulla sicurezza aerea.

Definizioni essenziali

Ai fini del regolamento, per "apparecchiature ATM/ANS" si intendono i componenti e i sistemi ATM/ANS definiti nel regolamento (UE) 2018/1139, esclusi i componenti di bordo. È inoltre definita la "direttiva sulle apparecchiature ATM/ANS", che è il documento con il quale l’Agenzia prescrive interventi correttivi da eseguire sulle apparecchiature quando occorra rimediare a una condizione di non sicurezza o di non protezione e ripristinare prestazioni e interoperabilità.

Autorità competente e responsabilità dell’Agenzia

Il regolamento attribuisce all’EASA il ruolo di autorità competente per il rilascio delle approvazioni, per la sorveglianza e per l’applicazione delle norme nei confronti delle organizzazioni interessate. L’Agenzia deve operare secondo i requisiti dettagliati dell’allegato I, parte DPO.AR, svolgendo attività di certificazione, indagine, ispezione, audit e monitoraggio. È prevista la possibilità di chiedere sostegno amministrativo alle autorità nazionali competenti, senza che ciò comporti delega di poteri o responsabilità.

L’Agenzia deve anche reagire immediatamente ai problemi di sicurezza o interoperabilità e agli incidenti o vulnerabilità di sicurezza delle informazioni con potenziale impatto sulla sicurezza aerea, raccogliendo e analizzando le informazioni pertinenti e adottando misure appropriate, che devono essere notificate senza ritardo ai soggetti interessati e alle autorità competenti.

Regime speciale per EGNOS

Per le organizzazioni coinvolte nella progettazione o produzione delle apparecchiature EGNOS, il regolamento prevede un regime specifico. Tali organizzazioni sono considerate conformi ai requisiti dell’allegato II se dimostrano la conformità al regolamento (UE) 2021/696 e alle norme di gestione, progettazione e qualità applicabili a EGNOS. In questo caso non sono tenute a ottenere l’approvazione dell’Agenzia.

Il testo sottolinea che, per la complessità dell’assetto EGNOS, non esiste un unico soggetto responsabile della progettazione del sistema e delle sue apparecchiature; di conseguenza, l’EUSPA e l’ESA devono cooperare per garantire la conformità alle norme ICAO e un livello equivalente di sicurezza e interoperabilità.

Requisiti per l’Agenzia: sistema di gestione, archivi e sorveglianza

L’allegato I impone all’Agenzia un sistema di gestione articolato, con politiche e procedure documentate, personale sufficiente e qualificato, strutture adeguate, monitoraggio della conformità, audit interni e gestione dei rischi per la sicurezza. Deve esistere una persona o un gruppo di persone che risponda unicamente ai dirigenti dell’Agenzia per la funzione di monitoraggio della conformità.

L’Agenzia deve inoltre:

• mantenere procedure per lo scambio di informazioni con altre autorità competenti;
• aggiornare il sistema di gestione per recepire le modifiche normative;
• disporre di un archivio idoneo a conservare la documentazione su approvazioni, certificati, dichiarazioni, audit, rilievi, misure correttive e direttive;
• conservare i documenti per almeno cinque anni dopo la cessazione di validità delle approvazioni e dei certificati o dopo il ritiro delle dichiarazioni.

Rilascio delle approvazioni alle organizzazioni

Quando riceve una domanda, l’Agenzia verifica che l’organizzazione soddisfi i requisiti previsti dagli allegati II e III del regolamento delegato (UE) 2023/1768 e dall’allegato II del presente regolamento. Può effettuare audit, ispezioni o valutazioni prima del rilascio dell’approvazione, che è rilasciata a tempo indeterminato.

L’approvazione indica almeno:

• autorità competente che la rilascia;
• nome e indirizzo del richiedente;
• ambito delle attività e luogo di svolgimento;
• privilegi associati;
• dichiarazione di conformità ai requisiti applicabili;
• data di rilascio e validità;
• eventuali condizioni o limitazioni supplementari.

Se permane un rilievo di livello 1, l’approvazione non può essere rilasciata. Le modifiche dell’approvazione e delle relative condizioni devono essere approvate dall’Agenzia.

Sorveglianza continua e programma di audit

L’Agenzia deve predisporre un programma di sorveglianza annualmente aggiornato, fondato su un approccio basato sul rischio e calibrato sulla natura e complessità delle organizzazioni controllate. Il programma deve coprire tutte le organizzazioni, certificati e dichiarazioni soggetti alla sorveglianza e includere audit nei siti pertinenti, verifiche sulla competenza del personale e attività di follow-up sulle azioni correttive.

Il ciclo di sorveglianza ordinario non può superare 24 mesi. Può essere ridotto in caso di peggioramento delle prestazioni di sicurezza oppure esteso fino a 36 mesi se, nei 24 mesi precedenti, l’organizzazione ha dimostrato conformità costante alla gestione delle modifiche, non sono stati formulati rilievi di livello 1 e tutte le azioni correttive sono state attuate nei termini. In presenza di un sistema efficace e approvato di segnalazione continua alla Agenzia, il ciclo può arrivare fino a 48 mesi.

Rilievi, azioni correttive e misure attuative

Il regolamento distingue tra rilievi di livello 1 e di livello 2. Il livello 1 riguarda non conformità significative alla base di certificazione o situazioni che possono generare una non conformità incontrollata e una potenziale condizione indesiderata; il livello 2 riguarda altre non conformità ai requisiti applicabili, alle procedure o all’approvazione.

L’Agenzia deve comunicare per iscritto i rilievi e richiedere azioni correttive. In caso di livello 1, adotta immediatamente misure attuative e può limitare, sospendere o revocare in tutto o in parte l’approvazione. In caso di livello 2, concede un termine adeguato per l’azione correttiva e valuta e approva il piano di attuazione; se il piano non è accettabile o non viene rispettato, il rilievo può essere riclassificato a livello 1.

L’Agenzia può inoltre sospendere un certificato, revocarlo, limitarlo, emettere direttive sulle apparecchiature ATM/ANS, vietare o limitare attività e cancellare temporaneamente o definitivamente la registrazione di una dichiarazione di conformità del progetto quando ciò sia necessario per prevenire una minaccia credibile alla sicurezza, alle prestazioni o all’interoperabilità. Le misure devono essere motivate e accompagnate dall’indicazione del diritto di ricorso.

Obblighi delle organizzazioni approvate: manuale, governance e sistema di gestione

L’allegato II disciplina i requisiti per i soggetti che chiedono o detengono l’approvazione. La domanda va presentata secondo la forma e le modalità stabilite dall’Agenzia e presuppone la dimostrazione dell’idoneità alla progettazione o alla produzione.

L’organizzazione deve redigere e mantenere un manuale contenente, tra l’altro:

• dichiarazione firmata dal dirigente responsabile;
• titoli e nomi dei dirigenti chiave;
• doveri e responsabilità dei dirigenti;
• organigramma e catene di responsabilità;
• descrizione delle risorse umane e delle infrastrutture;
• ambito delle attività;
• procedure di verifica della conformità del progetto e delle modifiche;
• procedure per dati e documenti tecnici;
• procedure di notifica delle modifiche organizzative;
• procedura di modifica del manuale;
• descrizione del sistema di gestione e della supervisione degli appaltatori.

L’organizzazione deve inoltre mantenere un sistema di gestione proporzionato alle dimensioni e ai rischi, con catene di responsabilità, processi per il controllo delle prestazioni, gestione delle modifiche, formazione del personale, comunicazione interna, controlli di conformità e, separatamente, un sistema di gestione della sicurezza delle informazioni conforme al regolamento di esecuzione (UE) 2023/203.

Gestione delle modifiche

Le modifiche significative del sistema di gestione devono essere approvate dall’Agenzia prima dell’attuazione, salvo il caso in cui siano gestite mediante una procedura già approvata. Anche le modifiche alle apparecchiature ATM/ANS devono essere notificate e approvate prima della loro attuazione, salvo l’ipotesi di gestione tramite procedura approvata di classificazione e trattamento delle modifiche.

Il sistema di gestione deve quindi includere processi specifici per identificare le modifiche organizzative e tecniche, valutarne il rischio e aggiornare tempestivamente procedure e controlli.

Attività appaltate, personale e strutture

Quando parte delle attività viene appaltata o acquistata da soggetti esterni, l’organizzazione deve garantire che tali attività rispettino i requisiti applicabili. Se l’appaltatore non è certificato, deve operare sotto la supervisione dell’organizzazione approvata, e l’Agenzia deve poter accedere all’appaltatore per verificare il mantenimento della conformità.

Sul piano del personale, deve essere nominato un dirigente responsabile in grado di assicurare che le attività siano finanziate ed eseguite in conformità ai requisiti applicabili e che il sistema di gestione sia efficace. Devono inoltre essere definiti i poteri e le responsabilità del personale chiave. Le strutture, comprese quelle di prova, devono essere adeguate e idonee a tutti i compiti svolti.

Conservazione documentale

Le organizzazioni devono istituire un sistema di archiviazione che assicuri adeguata conservazione e tracciabilità delle attività. La documentazione deve essere protetta da danneggiamento, alterazione e furto; il formato e il periodo di conservazione sono definiti nelle procedure del sistema di gestione. Deve essere tenuto anche un registro delle apparecchiature ATM/ANS realizzate.

Requisiti tecnici di progettazione e produzione

Per le attività di progettazione, l’organizzazione autorizzata può detenere o richiedere il certificato di progettazione, rilasciare dichiarazioni di conformità del progetto e fornire dati e informazioni sotto la propria responsabilità. Deve inoltre preparare e conservare fascicoli tecnici aggiornati per ciascun modello di apparecchiatura oggetto di dichiarazione.

Per le attività di produzione, deve fabbricare ogni articolo in modo che, una volta completato, sia conforme ai dati di progettazione e sicuro per l’installazione. Deve conservare i fascicoli tecnici, mantenere i manuali richiesti, fornire istruzioni per il mantenimento dell’idoneità, contrassegnare ogni articolo e continuare a rispettare i requisiti applicabili.

In aggiunta, l’organizzazione può verificare che ciascuna apparecchiatura completata sia conforme e sicura prima di emettere il modulo AESA di ammissione in servizio, che deve contenere almeno descrizione, numero di parte, numero di serie, dichiarazione di conformità ai dati di progettazione e riferimento al certificato o alla dichiarazione pertinente.

Segnalazione di avarie, malfunzionamenti e difetti

Il titolare dell’approvazione deve disporre di un sistema per raccogliere, esaminare e analizzare segnalazioni e informazioni su avarie, malfunzionamenti, difetti o altri eventi che possano incidere negativamente sulla conformità delle apparecchiature ATM/ANS. Deve informare gli utenti noti e, su richiesta, i soggetti incaricati da altre norme di riferimento.

Le segnalazioni all’Agenzia devono essere effettuate per gli eventi di cui il titolare sia a conoscenza che abbiano determinato o possano determinare una condizione di non sicurezza o prestazioni insufficienti. Per i titolari non stabiliti in uno Stato membro, la segnalazione deve avvenire nella forma e nei modi stabiliti dall’Agenzia, non appena possibile e comunque entro 72 ore dalla conoscenza dell’evento, salvo circostanze eccezionali. Il titolare deve poi svolgere indagini, individuare le cause e comunicare all’Agenzia i risultati e le misure correttive proposte.

Disposizioni finali

Il regolamento è direttamente applicabile in tutti gli Stati membri e entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Con esso la Commissione dà attuazione al quadro previsto dal regolamento (UE) 2018/1139 e coordina il nuovo regime di approvazione delle organizzazioni di progettazione e produzione ATM/ANS con la disciplina sulla certificazione delle apparecchiature e con la gestione dei rischi di sicurezza delle informazioni.