Startpakke for styringssystem for informasjonssikkerhet (ISMS) etter Part-IS

Situasjonen

Arbeidet med informasjonssikkerhet trenger et avgrenset omfang og en dokumentert kobling til flysikkerhet. Policyer, risiko, grensesnitt og hendelseshåndtering må passe inn i det eksisterende styringssystemet. Pakken gir arbeidsdokumenter for disse forberedelsene.

Hva du får til

Organiser omfang, policy, risikoregistreringer, hendelseshåndtering og underlag for et styringssystem for informasjonssikkerhet med vekt på flysikkerhet.

Hva som er inkludert

Filene i pakken er på engelsk.

• Examples/worked-example.docx
• Working/A-applicability-scope.xlsx
• Working/B-information-security-policy.docx
• Working/C-risk-assessment-method.docx
• Working/D-asset-risk-register.xlsx
• Working/E-incident-response-procedure.docx
• Working/F-change-and-review.docx
• Working/G-evidence-index.xlsx
• Working/Sources.docx
• Working/ai-walkthrough-brief.docx
• Working/first-session.docx
• Working/guide.docx
• Working/one-page-checklist.docx

Hvem det er for

• Mindre luftfartsvirksomheter som undersøker om Part-IS gjelder for dem.
• Personer som utarbeider og kontrollerer dokumentasjon for ISMS innenfor et eksisterende styringssystem.

Hva pakken ikke er

Pakken gir støtte til egne vurderinger av operativ risiko, men resultatet er verken en formell bekreftelse på oppfylte regelverkskrav, en driftstillatelse for en landingsplass eller en avgjørelse fra en myndighet.

Pakken gir et utgangspunkt for dokumentasjon av et ISMS. Den vurderer eller reviderer ikke virksomheten deres og inneholder verken tekniske sikkerhetsverktøy eller en katalog over tekniske tiltak. Den dekker ikke myndighetens egne krav etter Part-IS og gir ikke juridisk rådgivning.

Vanlige spørsmål

Hva trenger vi for å begynne?

Beskriv virksomheten, aktivitetene og grensesnittene, og velg hvem som skal kontrollere arbeidet. Kontroller først virkeområdet og unntakene. Registrer deretter eget underlag og åpne spørsmål før dere tar operative eller regelverksrelaterte beslutninger.

Følger det med utfylte eksempler?

Ja. Mappen Examples inneholder oppdiktede registreringer til opplæring. Erstatt de oppdiktede opplysningene med deres eget underlag. Eksemplene gir ingen tillatelse til drift og inneholder ingen aksept av risiko.

Erstatter pakken håndboken eller ordningene vi har?

Pakken er ment å inngå i det eksisterende systemet deres. Dere må avklare aktuelt virkeområde og fylle ut policy, metoder, prosedyrer og underlag. Pakken leverer ikke et ferdig eller vurdert ISMS.

Hvilke kilder viser pakken til, og hvor kontrollerer vi dem?

Sources.docx viser til forordningene (EU) 2022/1645 og 2023/203, EASAs veiledning om informasjonssikkerhet og kilden til norsk gjennomføring. Kontroller om reglene gjelder for dere, inkludert unntak og relevant fremgangsmåte, og kontroller gjeldende konsoliderte tekst og myndighetens prosedyre gjennom kildelenkene.

Hva gjør vi når reglene eller driften endres?

Gå gjennom virkeområdet, registreringene og prosedyrene når regelverk, drift eller myndighetsvilkår endres. Bruk malene for endringer og ledelsens gjennomgang, og behold en sporbar oversikt over underlaget.

Hvem eier innholdet vi skriver inn?

Du kan fylle ut, tilpasse og bygge videre på malene, skjemaene, registrene og regnearkene og bruke resultatet som ditt eget operative dokument. Du kan gi det utfylte resultatet, men ikke selve pakken, til en tilsynsmyndighet, revisor, forsikringsselskap eller kunde. Du kan ikke videredistribuere pakken eller bruke den til å levere betalte tjenester til tredjeparter.