Verordening 2008/482 - Invoering van een systeem ter verzekering van de softwareveiligheid door verleners van luchtvaartnavigatiediensten en tot wijziging van bijlage II bij Verordening (EG) nr. 2096/2005 - Hoofdinhoud

NL

Publicatieblad van de Europese Unie

L 141/5

Overeenkomstig Verordening (EG) nr. 550/2004 dient de Commissie de relevante Eurocontrol Safety Regulatory Requirements (ESARR’s) vast te stellen en goed te keuren met inachtneming van de bestaande communautaire regelgeving. ESARR 6, getiteld „Software in ATM systems”, omvat een aantal veiligheidsvoorschriften met betrekking tot de invoering van een systeem ter verzekering van de softwareveiligheid.

In de laatste zin van overweging 12 van Verordening (EG) nr. 2096/2005 van de Commissie van 20 december 2005 tot vaststelling van gemeenschappelijke eisen voor de verlening van luchtvaartnavigatiediensten (2) wordt gesteld dat „de relevante bepalingen van ESARR 1 betreffende veiligheidstoezicht bij de luchtverkeersbeveiliging en van ESARR 6 betreffende software in luchtverkeersbeveiligingssystemen in afzonderlijke Gemeenschapsbesluiten moeten worden vastgesteld en goedgekeurd.”.

Op grond van bijlage II bij Verordening (EG) nr. 2096/2005 dienen verleners van luchtvaartnavigatiediensten een veiligheidsbeheersysteem toe te passen, alsmede veiligheidseisen betreffende risicobeoordeling en -beperking bij wijzigingen. Binnen het kader van hun veiligheidsbeheersysteem en als onderdeel van hun procedure voor risicobeoordeling en -beperking bij wijzigingen dienen verleners van luchtvaartnavigatiediensten specifiek voor softwaregerelateerde aspecten een systeem ter verzekering van de softwareveiligheid te ontwikkelen en in te voeren.

De belangrijkste doelstelling inzake softwareveiligheid waaraan functionele systemen die software bevatten, dienen te voldoen, is de risico’s die zijn verbonden aan het gebruik van de software binnen het Europese netwerk voor luchtverkeersbeheer („EATMN-software”), tot een aanvaardbaar niveau te reduceren.

Deze verordening dient geen betrekking te hebben op militaire operaties en trainingen als bedoeld in artikel 1, lid 2, van Verordening (EG) nr. 549/2004 van het Europees Parlement en de Raad van 10 maart 2004 tot vaststelling van het kader voor de totstandbrenging van het gemeenschappelijke Europese luchtruim („de kaderverordening”) (3).

Bijlage II bij Verordening (EG) nr. 2096/2005 moet derhalve dienovereenkomstig worden gewijzigd.

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het Comité voor het gemeenschappelijke luchtruim,

„software”: computerprogramma’s en bijbehorende configuratiegegevens, met inbegrip van standaardsoftware, doch met uitzondering van elektronische elementen zoals toepassingsspecifieke geïntegreerde schakelingen, programmeerbare „gate arrays” of vaste logische regeleenheden;

„configuratiegegevens”: gegevens om de algemene software af te stemmen op een specifieke toepassing;

„standaardsoftware”: software die niet specifiek met het oog op het lopende contract is ontwikkeld;

„verzekering van de veiligheid”: alle geplande en systematische handelingen die nodig zijn om voldoende zekerheid te verschaffen dat een product, een dienst, een organisatie of een functioneel systeem een aanvaardbaar of toelaatbaar veiligheidsniveau bereikt;

„organisatie”: een verlener van ATS of CNS of een instantie die zorg draagt voor ATFM of ASM;

„functioneel systeem”: een combinatie van systemen, procedures en personeel die zijn georganiseerd om een taak op het gebied van luchtverkeersbeheer te verrichten;

„risico”: de combinatie van de algemene waarschijnlijkheid of de frequentie waarmee een schadelijk gevolg van een gevaar zich zal voordoen, en de ernst van dat gevolg;

„gevaar”: omstandigheid of gebeurtenis die een ongeval kan veroorzaken;

„nieuwe software”: software die is besteld of het voorwerp uitmaakt van een bindende overeenkomst die is ondertekend na de inwerkintreding van deze verordening;

„veiligheidsdoelstelling”: een kwalitatieve of kwantitatieve vaststelling van de maximale frequentie of waarschijnlijkheid waarmee een gevaar zich naar verwachting zal voordoen;

„veiligheidseis”: een op basis van de risicobeperkingsstrategie vastgesteld middel tot risicobeperking waarmee een specifieke veiligheidsdoelstelling wordt bereikt, met inbegrip van organisatorische, operationele, procedurele, functionele, prestatie- en interoperabiliteitseisen en omgevingskenmerken;

„omschakeling of hot swapping”: de vervanging van systeemcomponenten of software van het Europese netwerk voor luchtverkeersbeheer (EATMN) terwijl het systeem operationeel is;

„softwareveiligheidseis”: een omschrijving van de door de software op basis van een bepaalde input en randvoorwaarden te leveren output waardoor, indien aan de eis wordt voldaan, wordt gewaarborgd dat de EATMN-software veilig functioneert en voldoet aan de operationele behoeften;

„EATMN-software”: software die wordt gebruikt in de in artikel 1 bedoelde EATMN-systemen;

„validering van de eisen”: de bevestiging na onderzoek en het verstrekken van objectief bewijsmateriaal dat aan specifieke vereisten is voldaan;

„onafhankelijk te voldoen”: de omstandigheid in een softwareverificatieprocedure dat het proces wordt uitgevoerd door een andere persoon dan de ontwikkelaar van het geverifieerde onderdeel;

„softwarestoring”: wanneer een vereiste functie door een programma niet correct kan worden uitgevoerd;

„softwarefalen”: wanneer een vereiste functie door een programma niet kan worden uitgevoerd;

„COTS”: een in de handel verkrijgbare toepassing die is opgenomen in de publieke catalogus van een leverancier en niet bedoeld is om te worden aangepast of uitgebreid;

„softwarecomponenten”: modules die kunnen worden toegevoegd of gekoppeld aan andere herbruikbare softwaremodules om een softwaretoepassing op maat van de klant samen te stellen;

„onafhankelijke softwarecomponenten”: softwarecomponenten waarvan de werking niet wordt verstoord door dezelfde omstandigheden als die waardoor het gevaar wordt veroorzaakt;

„responstijd”: de tijd die de software krijgt om te reageren op geleverde input of periodieke gebeurtenissen, en/of de prestaties van de software, uitgedrukt in aantal transacties of boodschappen per tijdseenheid;

„softwarecapaciteit”: de capaciteit van de software om een bepaalde gegevensstroom te verwerken;

„nauwkeurigheid”: de vereiste nauwkeurigheid van de berekende resultaten;

„vereist geheugen”: het binnen een computersysteem beschikbare geheugen dat door de softwaretoepassing kan worden gebruikt;

„stabiliteit van de software”: het gedrag van de software bij onverwachte gebeurtenissen, hardwaredefecten en stroomonderbrekingen, hetzij binnen het computersysteem, hetzij in daaraan gekoppelde apparatuur;

„overbelastingstolerantie”: het gedrag van het systeem en met name zijn tolerantie bij een grotere input dan bij een normale werking van het systeem kan worden verwacht;

„correcte en volledige verificatie van de EATMN-software”: situatie waarin alle softwareveiligheidseisen correct de eisen weergeven die in het kader van het risicobeoordelings- en -beperkingsproces aan de softwarecomponent worden gesteld en waarin de toepassing van die eisen overeenkomstig het vereiste softwarezekerheidsniveau is aangetoond;

„gegevens betreffende de levenscyclus van de software”: de gegevens die gedurende de levenscyclus van de software worden gegenereerd om de activiteiten te plannen, te sturen, te verklaren, te definiëren, te registreren of aan te tonen; deze gegevens maken de goedkeuring van de softwarelevenscyclusprocessen, van het systeem of van de uitrusting en van wijzigingen van het softwareproduct na de goedkeuring mogelijk;

„levenscyclus van de software”:

„systeemveiligheidseis”: een veiligheidseis die van toepassing is op een functioneel systeem.

de softwareveiligheidseisen geven correct weer waaraan de software dient te beantwoorden om aan de door middel van het risicobeoordelings- en -beperkingsproces vastgestelde veiligheidsdoelstellingen en -eisen te voldoen;

de traceerbaarheid van alle softwareveiligheidseisen wordt verzekerd;

de invoering van de software creëert geen functies die een negatieve invloed hebben op de veiligheid;

de EATMN-software voldoet aan de toepasselijke eisen met een betrouwbaarheidsgraad die overeenstemt met de kritische factor van de software;

zekerheden worden verschaft die bevestigen dat is voldaan aan de onder a) tot en met d) genoemde algemene veiligheidseisen; het bewijs dat de vereiste zekerheid wordt geboden, wordt steeds geleverd op basis van:

gedocumenteerd is als onderdeel van de algemene documentatie inzake risicobeoordeling en -beperking;

een softwarezekerheidsniveau toewijst aan alle operationele EATMN-software overeenkomstig de in bijlage I genoemde eisen;

zekerheid biedt met betrekking tot:

bepaalt met welke striktheidsgraad de zekerheid wordt vastgesteld; voor elk softwarezekerheidsniveau wordt de striktheidsgraad vastgesteld; deze stijgt evenredig met de kritische factor van de software; daartoe:

de feedback van de EATMN-software gebruikt om te bevestigen dat het systeem ter verzekering van de softwareveiligheid en de toegewezen zekerheidsniveaus passend zijn. De overeenkomstig de relevante eisen inzake rapportage en evaluatie van veiligheidsincidenten gerapporteerde effecten van een softwarestoring of -falen worden getoetst aan de voor het betrokken systeem vastgestelde effecten per in punt 3.2.4 van bijlage II bij Verordening (EG) nr. 2096/2005 bepaalde ernstcategorie.

Het softwarezekerheidsniveau is de relatie tussen de striktheid van de softwarezekerheid en de kritische factor van EATMN-software op basis van de in punt 3.2.4, deel 4, van bijlage II bij Verordening (EG) nr. 2096/2005 vastgestelde ernstcategorieën in combinatie met de waarschijnlijkheid dat een incident zich voordoet. Er worden ten minste vier softwarezekerheidsniveaus gedefinieerd, waarbij softwarezekerheidsniveau 1 het meest kritische niveau is.

Het toegewezen softwarezekerheidsniveau wordt afgestemd op het ernstigste gevolg dat door een softwarestoring of -falen kan worden veroorzaakt, als bedoeld in punt 3.2.4, deel 4, van bijlage II bij Verordening (EG) nr. 2096/2005. Hierbij wordt met name rekening gehouden met de risico’s die een softwarestoring of -falen met zich brengt en de aanwezige architecturale en/of procedurele veiligheidsmaatregelen.

Aan EATMN-softwarecomponenten waarvan niet kan worden aangetoond dat zij onafhankelijk van elkaar kunnen functioneren, wordt het softwarezekerheidsniveau van de meest kritische afhankelijke component toegewezen.

In de softwareveiligheidseisen wordt het functionele gedrag van de EATMN-software bij normaal en gestoord bedrijf alsmede de passende responstijd, capaciteit, nauwkeurigheid, het vereiste geheugen op de doelhardware, de stabiliteit in uitzonderlijke omstandigheden en overbelastingstolerantie omschreven.

De softwareveiligheidseisen dienen volledig en correct te zijn en te beantwoorden aan de systeemveiligheidseisen.

Het functionele gedrag van de EATMN-software, de responstijd, capaciteit, nauwkeurigheid, het vereiste geheugen op de doelhardware, de stabiliteit in uitzonderlijke omstandigheden en overbelastingstolerantie dienen te voldoen aan de software-eisen.

De EATMN-software dient op passende wijze te worden gecontroleerd door middel van analyse en/of tests en/of gelijkwaardige middelen en overeenkomstig de afspraken met de nationale toezichthoudende instantie.

De verificatie van de EATMN-software dient correct en volledig te gebeuren.

Er wordt voorzien in procedures voor de identificatie, traceerbaarheid en status van de configuratie zodat kan worden aangetoond dat de gegevens betreffende de levenscyclus van de software tijdens de volledige levenscyclus van de EATMN-software aan een configuratiecontrole worden onderworpen.

Procedures voor de rapportage van storingen, tracking en de vaststelling van corrigerende maatregelen zodat kan worden aangetoond dat veiligheidsproblemen die met de software te maken hebben, worden opgevangen.

Opzoekings- en releaseprotocollen waardoor gegevens betreffende de levenscyclus van de software gedurende de gehele levenscyclus van de EATMN-software kunnen worden gegenereerd en geproduceerd.

Elke softwareveiligheidseis moet kunnen worden gekoppeld aan het ontwerpniveau waarop de conformiteit is aangetoond.

Elke softwareveiligheidseis moet op elk ontwerpniveau waarop zijn conformiteit is aangetoond, kunnen worden gekoppeld aan een systeemveiligheidseis.