Richtlinie für sicherheitsrelevante Änderungen an funktionalen Systemen der Flugsicherung

Transkript

1 Richtlinie für sicherheitsrelevante Änderungen an funktionalen Systemen der Flugsicherung Anmeldung, Sicherheitsdokumentation und Genehmigung Bundesaufsichtsamt für Flugsicherung (SOP/2.50.7/ /10)

2 Herausgeber Bundesaufsichtsamt für Flugsicherung (BAF) Robert-Bosch-Str Langen Ansprechpartner Referat SOP Tel. +49 (0) Stand August 2010 Dieses Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwendung außerhalb der Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Bundesaufsichtsamtes für Flugsicherung unzulässig und wird zivil- und strafrechtlich verfolgt. Das gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. BAF 2010 August 2010 Seite 2 von 19

3 Inhaltsverzeichnis 1. EINLEITUNG SICHERHEITSRELEVANTE ÄNDERUNGEN ANMELDUNG SICHERHEITSRELEVANTER ÄNDERUNGEN MELDUNG AN DAS BUNDESAUFSICHTSAMT FÜR FLUGSICHERUNG BEARBEITUNG DER ANMELDUNG DURCH DAS BUNDESAUFSICHTSAMT FÜR FLUGSICHERUNG ERSTELLUNG DER SICHERHEITSDOKUMENTATION SICHERHEITSARGUMENTE SICHERHEITSBEWERTUNG BEGUTACHTUNG UND GENEHMIGUNG PROZESSÜBERSICHT NACHWEISFÜHRUNG FÜR ANDERE VORHABEN...18 ANHANG: FORMULARE...19 August 2010 Seite 3 von 19

4 1. Einleitung Diese Richtlinie beschreibt die zur Erfüllung der Nachweispflicht gegenüber dem Bundesaufsichtsamt für Flugsicherung (BAF) im Zusammenhang mit Änderungen an funktionalen Systemen anzuwendenden Verfahren. Sie enthält für die in der Bundesrepublik Deutschland tätigen Flugsicherungsorganisationen verbindliche Konkretisierungen für die Dokumentation und den Nachweis der Sicherheit geplanter Änderungen auf Basis der Verordnungen der Europäischen Kommission zur Festlegung gemeinsamer Anforderungen bezüglich der Erbringung von Flugsicherungsdiensten sowie über die Sicherheitsaufsicht hinsichtlich des Flugverkehrsmanagements im einheitlichen europäischen Luftraum ( Single European Sky, SES). Des Weiteren dokumentiert sie das Verfahren, mittels dessen die Begutachtung der Sicherheitsargumente durch das Bundesaufsichtsamt für Flugsicherung im Rahmen der Sicherheitsaufsicht erfolgt. Die Richtlinie betrifft die Sicherheitsaufsicht für Flugsicherungsdienste (bestehend aus den Flugverkehrsdiensten (ATS), den Kommunikations-, Navigationsund Überwachungsdiensten (CNS), den Flugwetterdiensten (MET) und den Flugberatungsdiensten (AIS), sowie für die Verkehrsflussregelung (ATFM) und das Luftraummanagement (ASM). Diese Richtlinie konkretisiert die Anwendung der Vorgaben aus folgenden Rechtsgrundlagen: Verordnung (EG) Nr. 2096/2005 (Festlegung gemeinsamer Anforderungen bezüglich der Erbringung von Flugsicherungsdiensten) Verordnung (EG) Nr. 1315/2007 (Sicherheitsaufsicht im Bereich des Flugverkehrsmanagements). Die Verordnung (EG) Nr. 2096/2005 beschreibt in Anhang II, Nr. 3.2 die Anforderungen an den Prozess der Risikobewertung und minderung für Änderungen an funktionalen Systemen der Flugsicherung. Die dort beschriebenen Schritte zur Gefahrenermittlung, Risikobewertung und Risikominderung sind von der jeweils verantwortlichen Flugsicherungsorganisation für jede sicherheitsrelevante Änderung durchzuführen. 1 Dieser Prozess wird im Folgenden Sicherheitsbewertung genannt. Das Ergebnis der Sicherheitsbewertung wird durch die durchführende Organisation vollständig, nachvollziehbar und verständlich dokumentiert ( Sicherheitsdokumentation ). Die Verordnung (EG) Nr. 1315/2007 regelt die Sicherheitsaufsicht über die Flugsicherungsorganisationen durch die nationale Aufsichtsbehörde. Artikel 8 fordert, dass die Organisationen die nationale Aufsichtsbehörde von sämtlichen geplanten sicherheitsrelevanten Änderungen in Kenntnis setzen. Darüber hinaus wird in Artikel 9 festgelegt, dass einige dieser Änderungen erst nach einer Begutachtung der Sicherheitsdokumentation durch die nationale Aufsichtsbehörde und daraufhin erfolgter Genehmigung durchgeführt werden dürfen. 1 Siehe dazu die Anmerkung auf Seite 11 August 2010 Seite 4 von 19

5 2. Sicherheitsrelevante Änderungen Anhang II, Nr. 3.2 der Verordnung (EG) Nr. 2096/2005 bestimmt: Bei der Handhabung des SMS gewährleistet der Erbringer von Flugverkehrsdiensten, dass die Ermittlung von Gefahren sowie die Risikobewertung und - minderung systematisch für alle Veränderungen an denjenigen Bestandteilen des funktionalen ATM-Systems und der unterstützenden Vorkehrungen erfolgen, die innerhalb seiner Kontrollverantwortung liegen Ein funktionales ATM-System (im Folgenden kurz: funktionales System ) ist gemäß Artikel 2 Absatz 2c der Verordnung (EG) Nr. 2096/2005 definiert als eine Kombination von Systemen, Verfahren und Personal mit dem Ziel, eine Funktion im Bereich des Flugverkehrsmanagements zu erfüllen. Das bedeutet, dass ein funktionales System ganzheitlich die Personen die Technik/Infrastruktur die Prozesse/Verfahren/Vorschriften und die Informationen/Daten umfasst, welche die für eine sichere, flüssige und geordnete Abwicklung des Luftverkehrs notwendigen Dienste erbringen. Der Begriff Veränderung (im Folgenden: Änderung ) bezeichnet die Modifikation des bestehenden funktionalen Systems einschließlich der CNS- Komponenten und beinhaltet u. a. die Einführung oder Umrüstung technischer Systeme und Komponenten, die Einführung oder Modifikation von Verfahren. Für eine korrekte Anwendung der genannten Verordnungen untersucht die Flugsicherungsorganisation jedes geplante Vorhaben zunächst daraufhin, ob es sich um eine sicherheitsrelevante Änderung an einem funktionalen System handelt. Dabei ist zunächst zu prüfen, ob überhaupt eine Änderung im Sinne der oben genannten Definition vorliegt. August 2010 Seite 5 von 19

6 Die folgenden, nicht abschließend zu verstehenden Kriterien können als Anhaltspunkte für die Einstufung eines Vorhabens als Änderung im Sinne der Verordnung (EG) Nr. 1315/2007 verwendet werden: Das Vorhaben macht die Einführung neuer Luftfahrtnormen erforderlich. Durch das Vorhaben werden technische Systeme eingeführt oder verändert. Durch das Vorhaben werden Flugsicherungsverfahren eingeführt oder verändert. Durch die Umsetzung des Vorhabens werden neue Berechtigungen oder Erlaubnisse benötigt. Die Umsetzung des Vorhabens erfordert eine Änderung der in amtlichen Luftfahrtveröffentlichungen beschriebenen Tatsachen oder Verfahren. Das Vorhaben hat Auswirkungen auf die Erbringung der Dienste anderer Flugsicherungsorganisationen. Treffen eines oder mehrere der hier beispielhaft genannten Kriterien zu, liegt ein Indiz für eine Änderung vor. Es ist dann im Einzelfall unter Würdigung aller Tatsachen zu beurteilen, ob es sich bei dem Vorhaben um eine Änderung im Sinne der Art. 8 f. der Verordnung (EG) Nr. 1315/2007 handelt. Die nachfolgend abschließend genannten Vorgänge werden nicht als Änderungen im Sinne der Art. 8 f. der Verordnung (EG) Nr. 1315/2007 angesehen: Vorhaben, die keinerlei Auswirkungen auf ein funktionales System haben Fehlerbehebungen zur Wiederherstellung des Sollzustandes 2 Alle im Sollzustand bereits vorgesehenen und vollständig dokumentierten Vorgänge Im Sollzustand spezifizierte Adaptions- und Konfigurationsänderungen Instandhaltungs- und Wartungsmaßnahmen, die vollständig im Rahmen von organisationseigenen Vorgaben beschrieben sind, sofern diese bereits sicherheitsbewertet oder nach dem Inkrafttreten der Verordnung (EG) Nr. 2096/2005 nicht mehr verändert wurden Austausch von mit dem Sollzustand kompatiblen und freigegebenen Komponenten bzw. Teilkomponenten (Bauteile, Geräte, Software), sofern durch diesen Austausch keine neuen Funktionalitäten oder Arbeitsweisen entstehen Maßnahmen, die zum operativen Tagesgeschäft gehören und vollständig in den organisationseigenen Betriebshandbüchern beschrieben sind. 2 Sollzustand = In der Systemspezifikation beschriebene und sicherheitsbewertete Ausprägung, Funktionalität und Konfiguration eines funktionalen Systems. (Im Falle von Altsystemen, d. h. Systemen, die nach dem Inkrafttreten der Verordnung (EG) Nr. 2096/2005 am nicht mehr verändert wurden, ist der Sollzustand mit dem bei Inkrafttreten der Verordnung (EG) Nr. 2096/2005 angetroffenen Zustand des Systems gleichzusetzen.) August 2010 Seite 6 von 19

7 In allen anderen Fällen liegt eine Änderung im Sinne der Verordnung (EG) Nr. 1315/2007 vor. Da sich die nach den genannten Indizien regelmäßig als Änderungen zu beurteilenden Vorhaben stets auf ein funktionales System beziehen, sind sie in aller Regel auch sicherheitsrelevant. In seltenen Fällen kann jedoch nachgewiesen werden, dass eine Änderung keine Auswirkungen auf die Sicherheit des Luftverkehrs hat. In diesen Fällen handelt es sich um nicht sicherheitsrelevante Änderungen. Für diese ist der Artikel 8 der Verordnung (EG) Nr. 1315/2007 nicht anzuwenden (vgl. aber Kapitel 7 dieser Richtlinie). Zu unterscheiden sind danach drei verschiedene Arten von Vorhaben: sicherheitsrelevante Änderungen eines funktionalen Systems nicht sicherheitsrelevante Änderungen eines funktionalen Systems Vorhaben, die keine Änderungen eines funktionalen Systems darstellen. Abbildung 1: Entscheidung über die Art eines Vorhabens Im Zweifelsfall ist davon auszugehen, dass ein Vorhaben eine sicherheitsrelevante Änderung darstellt. August 2010 Seite 7 von 19

8 3. Anmeldung sicherheitsrelevanter Änderungen 3.1 Meldung an das Bundesaufsichtsamt für Flugsicherung Die Verordnung (EG) Nr. 1315/2007 fordert in Artikel 8 Absatz 2: Die Organisationen setzen die nationale Aufsichtsbehörde von sämtlichen geplanten sicherheitsrelevanten Änderungen in Kenntnis. Jede sicherheitsrelevante Änderung muss damit dem Bundesaufsichtsamt für Flugsicherung zur Kenntnis gebracht werden. Dieser Vorgang heißt Anmeldung und soll unter Verwendung des Formulars C.1.1 Anmeldung einer sicherheitsrelevanten Änderung erfolgen. Dieses Formular liegt in elektronischer Form vor und soll auch in dieser Form bearbeitet (d. h. ausgefüllt) werden. Es ist sorgfältig und in deutscher Sprache auszufüllen. Die Angaben in der Anmeldung müssen vollständig und so aussagekräftig sein, dass sie es dem Bundesaufsichtsamt für Flugsicherung erlauben, sich ein realistisches Bild von der Sicherheitsrelevanz des Vorhabens zu machen. (Zum Formular existiert eine ausführliche Ausfüllanleitung.) Das ausgefüllte elektronische Formular ist vorzugsweise als PDF-Datei per an folgende Adresse zu senden: 3 change@baf.bund.de Es ist wichtig, dass die anmeldende Flugsicherungsorganisation die Planung des Vorhabens mit allen anderen betroffenen Organisationen abstimmt. Dazu gehört vor allem eine Einbeziehung derjenigen Flugsicherungsorganisationen, deren Dienstleistung durch das Vorhaben beeinflusst wird. Beispielsweise muss eine Änderung der technischen Infrastruktur (etwa im CNS-Bereich) auf mögliche betriebliche Auswirkungen überprüft werden. Dazu stimmt sich der Unterstützungsdienstleister bereits im Vorfeld der Anmeldung mit der für die Flugverkehrskontrolle zuständigen Flugsicherungsorganisation ab. Die Anmeldung muss alle technischen und betrieblichen Aspekte berücksichtigen. 3 soweit keine anderen Verfahren vereinbart wurden August 2010 Seite 8 von 19

9 3.2 Bearbeitung der Anmeldung durch das Bundesaufsichtsamt für Flugsicherung Jede Anmeldung wird durch das Bundesaufsichtsamt für Flugsicherung auf Vollständigkeit und Konformität mit den hier beschriebenen Regelungen und Vorgaben geprüft. Das Ergebnis dieser Prüfung wird der anmeldenden Flugsicherung unter Verwendung des Formulars C.2.1 Stellungnahme zur Anmeldung einer sicherheitsrelevanten Änderung mitgeteilt. In der Stellungnahme wird auch die eindeutige Vorgangsnummer (Aktenzeichen) genannt, anhand derer das angemeldete Vorhaben fortan identifiziert wird. Diese Vorgangsnummer ist in allen nachfolgenden Schriftstücken zu verwenden. Das Bundesaufsichtsamt für Flugsicherung prüft weiterhin, ob Artikel 9 der Verordnung (EG) Nr. 1315/2007 einschlägig ist. Dieser regelt, dass für bestimmte Änderungen eine Begutachtung und Genehmigung durch die nationale Aufsichtsbehörde erfolgen muss: Die nationale Aufsichtsbehörde begutachtet die Sicherheitsargumente für von einer Organisation vorgeschlagene neue funktionale Systeme oder Änderungen an bestehenden funktionalen Systemen, falls a) die gemäß Anhang II Abschnitt der Verordnung (EG) Nr. 2096/2005 durchgeführte Bewertung des Schweregrads für die möglichen Auswirkungen der ermittelten Gefahren den Schweregrad 1 oder 2 ergibt, oder b) die Durchführung dieser Änderungen die Einführung neuer Luftfahrtnormen erforderlich macht. Zu Ziffer (a) ist anzumerken, dass streng genommen jede der identifizierten Gefahren neben anderen Auswirkungen prinzipiell immer auch mögliche Auswirkungen der Schweregrade 1 oder 2 hat 4. Diese sind jedoch, je nach Art der Gefahr, mehr oder weniger wahrscheinlich. Da die Verordnung (EG) Nr. 1315/2007 selbst keine Aussage darüber macht, welche der oft zahlreichen möglichen Auswirkungen einer Gefahr für das genannte Kriterium zu betrachten ist, muss die an dieser Stelle zitierte Verordnung (EG) Nr. 2096/2005 herangezogen werden. Gemäß dem Anhang II Nr dieser Verordnung ist jeweils der Schweregrad der wahrscheinlichsten Auswirkung der Gefahr im schlimmstmöglichen Fall zu betrachten. Trifft eines der in Artikel 9 genannten Kriterien zu, verlangt das Bundesaufsichtsamt für Flugsicherung die Vorlage der Sicherheitsdokumentation. Die Vorlage kann auch verlangt werden, wenn das Bundesaufsichtsamt für Flugsicherung in einem der nicht den in Buchstaben a und b genannten Fälle eine Begutachtung für erforderlich erachtet. 4 Dies ergibt sich auch aus der Definition in der Verordnung (EG) Nr. 2096/2005: Gefahr ist jede Bedingung, Vorfall oder Umstand, die einen Unfall verursachen könnte. August 2010 Seite 9 von 19

10 Sofern eine Genehmigung der Änderung durch das Bundesaufsichtsamt für Flugsicherung erforderlich ist, darf eine Umsetzung nicht vor der Erteilung dieser Genehmigung erfolgen. Die Stellungnahme wird der meldenden Flugsicherungsorganisation nach Möglichkeit spätestens 30 Tage nach dem Eingang der Anmeldung bekannt gegeben. August 2010 Seite 10 von 19

11 4. Erstellung der Sicherheitsdokumentation 4.1 Sicherheitsargumente Gemäß Artikel 9 Absatz 1 der Verordnung (EG) Nr. 1315/2007 sind für alle sicherheitsrelevanten Änderungen Sicherheitsargumente zu erarbeiten und der Aufsichtsbehörde bei Vorliegen der Voraussetzungen der Rechtsvorschrift vorzulegen. Art und Form dieser Argumente ergeben sich aus dem Anhang II der Verordnung (EG) Nr. 2096/2005. Danach ist für alle Änderungen eine systematische Gefahren- und Risikoanalyse durchzuführen. Als Ergebnis dieses Vorgangs entsteht ggf. eine Strategie zur Risikominderung (in der Regel in Form von Sicherheitsanforderungen), in jedem Fall aber der Nachweis, dass das veränderte System auch nach Durchführung der Änderung tolerierbar sicher ist. Der Prozess der Risikobewertung und minderung ist Bestandteil des zertifizierten Sicherheitsmanagementsystems der Flugsicherungsorganisation. Er wird im Folgenden als Sicherheitsbewertung bezeichnet. (Häufig wird die im Rahmen dieses Prozesses für jede sicherheitsrelevante Änderung entstehende Dokumentation ebenfalls Sicherheitsbewertung genannt.) Diese Form der Sicherheitsdokumentation ist wesentlicher und unverzichtbarer Bestandteil der in der Verordnung (EG) Nr. 1315/2007 genannten Sicherheitsargumente für sicherheitsrelevante Änderungen. Der Anhang II der Verordnung (EG) Nr. 2096/2005 ist für Organisationen, die lediglich Wetterdienste (MET) oder Flugberatungsdienste (AIS) erbringen, nicht verbindlich. Da aber auch diese Organisationen auf Anforderung der Aufsichtsbehörde Sicherheitsargumente vorzulegen haben und sie bei der Entscheidung über die Durchführung sicherheitsrelevanter Änderungen ausschließlich die von der Aufsichtsbehörde gebilligten Verfahren zugrunde legen dürfen, wird empfohlen, dass auch diese Organisationen sich bezüglich der Erstellung der Sicherheitsargumente an den hier beschriebenen Verfahren orientieren. August 2010 Seite 11 von 19

12 4.2 Sicherheitsbewertung Ziel einer Sicherheitsbewertung ist es, durch die Identifikation und Bewertung von Gefahren und sicherheitsrelevanten Auswirkungen, durch die Definition von Sicherheitszielen und ggf. Sicherheitsanforderungen sowie ggf. durch die Vorgabe risikomindernder Sicherheitsmaßnahmen zu gewährleisten und zu dokumentieren, dass eine Änderung bei anforderungsgerechter Umsetzung der vorgesehenen Maßnahmen keine nicht tolerierbaren Risiken birgt. Dabei sind folgende Elemente zu berücksichtigen: a) der vollständige Lebenszyklus des betreffenden Bestandteils des funktionalen Systems von der ursprünglichen Planung und Festlegung bis zum Betrieb nach seiner Einführung sowie Instandhaltung und Außerbetriebnahme, b) die Komponenten des funktionalen Systems an Bord, am Boden und gegebenenfalls im Weltraum in Zusammenarbeit mit den zuständigen Beteiligten sowie c) Ausrüstung, Verfahren und Personal des funktionalen Systems, das Zusammenwirken dieser Elemente untereinander sowie das Zusammenwirken des betreffenden Bestandteils mit dem Rest des funktionalen Systems. Die Sicherheitsbewertung ist unter Beachtung der nachfolgend beschriebenen vier Schritte durchzuführen: Schritt 1: Systembeschreibung und abgrenzung Festlegung des Umfangs, der Grenzen und der Schnittstellen der betreffenden Komponente sowie Ermittlung der Funktionen, die die Komponente zu erfüllen hat, und des Betriebsumfelds, in dem sie betrieben werden soll, Schritt 2: Gefahrenanalyse Festlegung der für die Komponente geltenden Sicherheitsziele unter Einschluss von Folgendem: Angabe der ATM-bezogenen glaubhaften Gefahren und Ausfallzustände zusammen mit deren kombinierten Auswirkungen Bewertung der Auswirkungen, die sie auf die Sicherheit von Luftfahrzeugen haben können, sowie eine Bewertung der Schwere dieser Auswirkungen anhand des Klassifikationssystems in Anhang II Nr der Verordnung(EG) Nr. 2096/2005, Festlegung ihrer Tolerierbarkeit hinsichtlich der maximalen Eintrittswahrscheinlichkeit, abgeleitet vom Schweregrad und der maximalen Wahrscheinlichkeit der Auswirkungen gemäß Anhang II, Nr der Verordnung (EG) Nr. 2096/2005 August 2010 Seite 12 von 19

13 Schritt 3: Bestimmung von Sicherheitsanforderungen Gegebenenfalls Herleitung einer Risikominderungsstrategie, die die umzusetzenden Schutzmaßnahmen gegen die ermittelten Gefahren angibt gegebenenfalls Entwicklung von Sicherheitsanforderungen mit möglichen Auswirkungen auf die betreffende Komponente oder andere Teile des funktionalen Systems oder das Betriebsumfeld umfasst 5 Zusicherungen der Durchführbarkeit und Wirksamkeit enthält. Schritt 4: Bestätigung des Sicherheitsniveaus Bestätigung, dass alle ermittelten Sicherheitsziele und Sicherheitsanforderungen erfüllt sind bevor die Änderung umgesetzt wird während etwaiger Phasen des Übergangs zum betrieblichen Einsatz während der betrieblichen Lebensdauer und während etwaiger Übergangsphasen bis zur Außerbetriebnahme. Bei der Erstellung der Sicherheitsdokumentation sind methodische Verfahren anzuwenden, die sich an den von EUROCONTROL im Rahmen der ANS Safety Assessment Methodology (SAM) beschriebenen Phasen Functional Hazard Assessment (FHA) Preliminary System Safety Assessment (PSSA) System Safety Assessment (SSA) orientieren sollten. Diese stellen einen sinnvollen Weg dar, die oben beschriebenen Schritte vollständig umzusetzen (siehe Abbildung 2). 5 Es ist zu beachten, dass für konkrete Themenbereiche die Entwicklung von Sicherheitsanforderungen auch in einigen anderen EG-Verordnungen explizit gefordert wird (z. B. Verordnung (EG) Nr. 1032/2006 und 1033/2006). August 2010 Seite 13 von 19

14 Systembeschreibung und -abgrenzung Gefahrenanalyse F H A Bestimmung von Sicherheitsanforderungen PSSA Bestätigung des Sicherheitsniveaus SSA Abbildung 2: Die Schritte einer Sicherheitsbewertung Die Ergebnisse mit den zugehörigen Begründungen sowie die Nachweise der Risikobewertungs- und Risikominderungsprozesse einschließlich der Gefahrenermittlung sind zu sammeln und so zu dokumentieren, dass vollständig dargelegt wird, dass die betreffende Komponente sowie das gesamte funktionale System derzeit und künftig tolerierbar sicher sind, indem festgelegte Sicherheitsziele und -anforderungen erfüllt werden; dies schließt gegebenenfalls Spezifikationen verwendeter Techniken für Vorhersage, Überwachung und Überprüfung ein, alle Sicherheitsanforderungen im Zusammenhang mit der Umsetzung einer Änderung bis zu den vorgesehenen Betriebstätigkeiten/Funktionen nachverfolgt werden können. Die abschließende Dokumentation der Sicherheitsbewertung muss vollständig, nachvollziehbar und verständlich sein und mindestens die Ergebnisse der oben beschriebenen Schritte enthalten. Sicherheitsbewertungen sind in deutscher Sprache zu verfassen. In Ausnahmefällen kann mit Zustimmung des Bundesaufsichtsamtes für Flugsicherung zugunsten der Verwendung der englischen Sprache von dieser Regelung abgewichen werden, wenn zwingende Gründe dafür sprechen. Diese Gründe können beispielsweise die Zusammenarbeit mit ausländischen Flugsicherungsorganisationen bei der Erstellung der Sicherheitsbewertung oder die spätere Verwendung in internationalen Projekten sein. August 2010 Seite 14 von 19

15 5. Begutachtung und Genehmigung Sofern im Rahmen der Stellungnahme (siehe Kap. 3) die Vorlage der Sicherheitsdokumentation verlangt wurde, ist diese dem Bundesaufsichtsamt für Flugsicherung zuzuleiten. Dieses entscheidet sodann, ob die geplante Änderung genehmigt wird. Grundlage der Entscheidung ist eine Begutachtung gemäß Artikel 9 Absatz 2 der Verordnung (EG) Nr. 1315/2007. Dabei werden insbesondere die folgenden Aspekte berücksichtigt: Erfüllung der in Anhang II Nr. 3.2 der Verordnung (EG) Nr. 2096/2005 aufgeführten Anforderungen an den Prozess der Risikobewertung und minderung 6 die mit der zu begutachtenden Änderung verbundenen Sicherheitsziele, Sicherheitsanforderungen und anderen sicherheitsrelevanten Bedingungen die Akzeptanz der vorgelegten Sicherheitsargumente, unter Berücksichtigung o o o o o o der Gefahrenermittlung der konsequenten Festlegung von Schweregraden der Gültigkeit der Sicherheitsziele der Gültigkeit, Wirksamkeit und Durchführbarkeit der Sicherheitsanforderungen und jeglicher anderer ermittelter sicherheitsrelevanter Bedingungen des Nachweises, dass die Sicherheitsziele, Sicherheitsanforderungen und andere sicherheitsrelevante Bedingungen durchgehend eingehalten werden des Nachweises, dass das für die Erstellung der Sicherheitsargumente zugrunde gelegte Verfahren den geltenden Anforderungen im Bereich der Sicherheitsregelung entspricht die Verfahren, die die Organisation bei der Erstellung der Sicherheitsargumente für die zu begutachtende Änderungen zugrunde gelegt hat. Das Ergebnis der Begutachtung wird der einreichenden Flugsicherungsorganisation mittels des Formulars. C.3.1 Ergebnis der Begutachtung einer Sicherheitsdokumentation sowie ggf. eines detaillierten Prüfberichts (Formular C.3.2) mitgeteilt. 6 Soweit erforderlich; siehe dazu die Anmerkung auf Seite 11 August 2010 Seite 15 von 19

16 Falls die Sicherheitsdokumentation Mängel aufweist, die vor Indienststellung durch die Flugsicherungsorganisation zu beheben sind, so ist dies dem Ergebnis der Begutachtung zu entnehmen. In diesem Fall wird eine Genehmigung in der Regel nicht ausgesprochen; die Sicherheitsdokumentation ist nach Überarbeitung erneut vorzulegen. Das Begutachtungsverfahren für vorgeschlagene Änderungen endet, sobald das Bundesaufsichtsamt für Flugsicherung das Vorhaben abschließend (ggf. unter Auflagen) genehmigt. August 2010 Seite 16 von 19

17 6. Prozessübersicht Die Abbildung 3 zeigt den Gesamtprozess im Überblick. Abbildung 3: Prozessübersicht August 2010 Seite 17 von 19

18 7. Nachweisführung für andere Vorhaben Wie in Kapitel 2 beschrieben, gelten die Artikel 8 und 9 der Verordnung (EG) Nr. 1315/2007 nur für sicherheitsrelevante Änderungen funktionaler Systeme. Das bedeutet, dass nur diese gemäß dem oben beschriebenen Verwaltungsverfahren angemeldet werden müssen und ggf. durch die nationale Aufsichtsbehörde begutachtet werden. Allerdings wird im Rahmen der Sicherheitsaufsicht von den Flugsicherungsorganisationen gefordert, dass sie auch Nachweisdokumentationen erstellen und bereithalten, welche die Entscheidung für eine der beiden anderen Arten von Vorhaben (gemäß Kapitel 2) belegen. Diese Nachweisdokumente können im Rahmen von Audits, Inspektionen oder sonstigen Überprüfungen durch die nationale Aufsichtsbehörde angefordert werden. Insbesondere für Änderungen, die von der Flugsicherungsorganisation als nicht sicherheitsrelevant eingestuft werden, ist eine Nachweisführung zu erbringen. Eine Änderung eines funktionalen Systems der Flugsicherung gilt als nicht sicherheitsrelevant, wenn sie keinerlei Auswirkung auf die Sicherheit des Luftverkehrs hat. Diese Tatsache muss durch einen Nachweis fehlender Sicherheitsrelevanz nachgewiesen und dokumentiert werden. Das Dokument muss mindestens die folgenden Inhalte aufweisen: eine ausführliche und zutreffende Beschreibung des Vorhabens bzw. des Vorgangs, das Ergebnis einer Gefahrenanalyse, d. h. eine Liste erkannter Gefahren bzw. eine nachvollziehbare Erklärung, dass trotz sorgfältiger Analyse keine Gefahren identifiziert werden konnten, die nachvollziehbare Erklärung, dass die identifizierten Gefahren (soweit vorhanden) nicht zu Auswirkungen auf die Sicherheit des Luftverkehrs führen können. Die in dem Nachweis fehlender Sicherheitsrelevanz gemachten Aussagen müssen nachprüfbar und plausibel sein. In einigen Fällen kann zum Nachweis fehlender Sicherheitsrelevanz die Durchführung der ersten zwei Schritte einer Sicherheitsbewertung (siehe Kapitel 4) notwendig sein. Das Bundesaufsichtsamt für Flugsicherung legt fest, ob und in welcher Form die Nachweise fehlender Sicherheitsrelevanz vorzulegen sind. Dazu kann es auch notwendig sein, die nationale Aufsichtsbehörde in einem gesonderten Verfahren über alle nicht sicherheitsrelevanten Änderungen in Kenntnis zu setzen, sofern die Aufsichtsbehörde dies im Einzelfall fordert. August 2010 Seite 18 von 19

19 Anhang: Formulare C.1.1 Anmeldung einer geplanten sicherheitsrelevanten Änderung bei der nationalen Aufsichtsbehörde (inkl. der Ausfüllanleitung ) C.2.1 Stellungnahme zur Anmeldung einer geplanten sicherheitsrelevanten Änderung C.3.1 Ergebnis der Begutachtung einer Sicherheitsdokumentation C.3.2 Prüfbericht zur Begutachtung einer Sicherheitsdokumentation August 2010 Seite 19 von 19