Beleidsregels van de Staatssecretaris van Infrastructuur en Milieu, betreffende het beoordelingskader voor wijzigingen in functionele systemen van de Luchtverkeersleiding Nederland en het daarbij te borgen veiligheidsniveau (Beleidsregels veiligheidsnormen ATC)

De Staatssecretaris van Infrastructuur en Milieu,

Gelet op de artikelen 9, eerste lid, en 10, van Uitvoeringsverordening (EU) nr. 1034/2011 van de Commissie van 17 oktober 2011 betreffende het veiligheidstoezicht op het gebied van luchtverkeersbeheer en luchtvaartnavigatiediensten en tot wijziging van Verordening (EU) nr. 691/2010 (PbEU L 271), onderdeel 3.1 van Bijlage I, de onderdelen 3.1.1, onder d, 3.1.2, onder c, 3.2.1, onder c, en 3.2.4 van Bijlage II bij Uitvoeringsverordening (EU) nr. 1035/2011 van de Commissie van 17 oktober 2011 tot vaststelling van de gemeenschappelijke eisen voor de verlening van luchtvaartnavigatiediensten en tot wijziging van de Verordeningen (EG) nr. 482/2008 en (EU) nr. 691/2010 (PbEU L 271) en artikel 4:81, eerste lid van de Algemene wet bestuursrecht;

Besluit:

Artikel 1

Voor de toepassing van de artikelen 9, eerste lid, en 10 van Uitvoeringsverordening (EU) nr. 1034/2011 van de Commissie van 17 oktober 2011 betreffende het veiligheidstoezicht op het gebied van luchtverkeersbeheer en luchtvaartnavigatiediensten en tot wijziging van Verordening (EU) nr. 691/2010 (PbEU L 271) en onderdeel 3.1 van Bijlage I en de onderdelen 3.1.1, onder d, 3.1.2, onder c, 3.2.1, onder c, en 3.2.4 van Bijlage II bij Uitvoeringsverordening (EU) nr. 1035/2011 van de Commissie van 17 oktober 2011 tot vaststelling van de gemeenschappelijke eisen voor de verlening van luchtvaartnavigatiediensten en tot wijziging van de Verordeningen (EG) nr. 482/2008 en (EU) nr. 691/2010 (PbEU L 271), gelden de beleidsregels opgenomen in de bijlage bij dit besluit.

Artikel 2

Dit besluit zal twee jaar na de datum van inwerkingtreding worden geëvalueerd.

Artikel 3

Dit besluit treedt in werking met ingang van de dag na publicatie in de Staatscourant.

Artikel 4

Dit besluit wordt aangehaald als: Beleidsregels veiligheidsnormen ATC.

Dit besluit zal met de toelichting in de Staatscourant worden geplaatst.

De Staatssecretaris van Infrastructuur en Milieu, namens deze: de Secretaris-Generaal L.C.M. Ongering

BIJLAGE

1. Inleiding en doelstelling

Deze beleidsregels hebben betrekking op de veiligheid van de luchtverkeersdienstverlening op en rond de luchthaven Schiphol. De beleidsregels geven een kader voor de wijze waarop de veiligheid van wijzigingen in de feitelijke uitvoering van de werkzaamheden door Luchtverkeersleiding Nederland (LVNL), het zogenaamde functionele systeem door de minister zullen worden beoordeeld. Tevens wordt hierbij aangegeven hoe het vereiste minimum veiligheidsniveau door de minister wordt ingevuld en zal worden beoordeeld.

2. Begripsbepalingen

Voor de toepassing van deze beleidsregel wordt verstaan onder:

a) luchtverkeersleiding (ATC) gerelateerd ongeval:

• botsing tussen twee of meer luchtvaartuigen,

• botsing tussen een luchtvaartuig en één of meer actief deelnemende grondvoertuigen, of

• ongeval door zogturbulentie van een ander luchtvaartuig,

waarbij ten minste één van de betrokkenen verkeersleiding verkrijgt;

b) LVNL:

organisatie voor het verlenen van luchtverkeersdiensten, bedoeld in artikel 5.22 van de Wet luchtvaart;

c) ongeval:

hetgeen in artikel 2 van Verordening (EU) nr. 996/2010 van het Europees Parlement en de Raad van 20 oktober 2010 inzake onderzoek en preventie van ongevallen en incidenten in de burgerluchtvaart en houdende intrekking van Richtlijn 94/56/EG is bepaald;

d) toezichthoudende autoriteit:

nationale toezichthoudende instantie als bedoeld in artikel 2, onderdeel 5, van Verordening 1035/2011;

e) verordening 1034/2011:

Uitvoeringsverordening (EU) nr. 1034/2011 van de Commissie van 17 oktober 2011 betreffende het veiligheidstoezicht op het gebied van luchtverkeersbeheer en luchtvaartnavigatiediensten en tot wijziging van Verordening (EU) nr. 691/2010 (PbEU L 271);

f) verordening 1035/2011:

Uitvoeringsverordening (EU) nr. 1035/2011 van de Commissie van 17 oktober 2011 tot vaststelling van de gemeenschappelijke eisen voor de verlening van luchtvaartnavigatiediensten en tot wijziging van de Verordeningen (EG) nr. 482/2008 en (EU) nr. 691/2010 (PbEU L 271).

3. De veiligheidsdoelstelling

De veiligheidsdoelstelling als bedoeld in Bijlage II bij verordening 1035/2011 betreft de doelstelling om aan de luchtverkeersleiding gerelateerde veiligheidsrisico’s te minimaliseren, voor zover redelijkerwijs mogelijk en in overeenstemming met deze beleidsregels en de daarin opgenomen veiligheidscriteria.

4. Veiligheidscriteria

• a) De minister ziet er op toe dat bij de beoordeling van de veiligheid van het functionele systeem en wijzigingen daarvan de LVNL gebruik maakt van veiligheidscriteria welke specifiek en verifieerbaar zijn. Ieder criterium is een maat voor veiligheidsrisico of een andere maat die gerelateerd is aan veiligheid.

• b) De veiligheidscriteria zijn:

  • (1) kwantitatieve veiligheidsrisiconiveaus, waarbij de kans op een luchtverkeersleiding (ATC) gerelateerd ongeval, niet groter is dan 3x10^-7 ongevallen per vlucht;

  • (2) erkende standaarden of praktijkcodes; of

  • (3) gerelateerd aan de veiligheidsprestatie van het bestaande systeem of een vergelijkbaar systeem, waarbij het systeem waaraan de veiligheidsprestatie wordt gerelateerd op een valide wijze als voldoende veilig wordt gekwalificeerd.

• c) Voor de toepassing van onderdelen a en b kan de LVNL gebruik maken van een safety criteria raamwerk.

5. Eisen aan de keuze van de veiligheidscriteria

De minister beoordeelt of de LVNL een valide onderbouwde keuze van de veiligheidscriteria die op een wijziging worden toegepast maakt. De veiligheidscriteria zijn:

• (1) toepasbaar op de desbetreffende wijziging;

• (2) geheel of gedeeltelijk kwantitatief, mits relevante modellen en data beschikbaar zijn; en

• (3) proportioneel, gelet op de aard en omvang van de inschatting van de veiligheidsrisico’s, de effecten op capaciteit, efficiency, milieu en kosten.

6. Verankering in het Veiligheidsmanagementsysteem

• a) De minister beoordeelt of in de procedures van de LVNL betreffende wijzigingen van functionele systemen tevens is bepaald hoe de validiteit van de toegepaste veiligheidscriteria wordt onderbouwd en de argumentatie wordt vormgegeven. Beoordeeld wordt tevens of de LVNL voor de toepassing van bovenstaande veiligheidscriteria zo nodig een onderverdeling maakt van de operatie in deelprocessen en daarvoor normwaarden vaststelt, waarbij de risico’s verbonden aan deze deelprocessen tezamen de veiligheidsnorm van 3x10^-7 ongevallen per vlucht niet overschrijden.

• b) In overeenstemming met de geldende versie van verordening 1034/2011 kunnen de procedures die conform deze beleidsregels door LVNL zijn opgesteld pas worden gebruikt nadat deze door de minister zijn geaccepteerd.

7. Overgangstermijn

Gedurende de periode dat de processen en procedures nog niet in overeenstemming zijn met deze beleidsregels zal de minister met de LVNL afspraken maken over de aanpassing daarvan teneinde deze in lijn te brengen met de beleidsregels. Het is voorzien dat uiterlijk per 1 januari 2016 de minister en de LVNL hun interne procesgang op deze beleidsregels hebben aangepast.

8. Evaluatie

Naast de evaluatie als bedoeld in artikel 2 van deze beleidsregel, vindt een evaluatie plaats van de veiligheid van het functionele systeem. De minister ziet er op toe dat de LVNL eens in de vijf jaar deze evaluatie uitvoert, en indien de LVNL deze evaluatie niet opportuun acht, de LVNL daartoe een argumentatie opstelt, welke voor de minister acceptabel is.

TOELICHTING

Korte schets van de voorgaande ontwikkeling en doel van deze beleidsregels

De kennis betreffende de beoordeling van de veiligheid van wijzigingen van functionele systemen is reeds geruime tijd in ontwikkeling. De Europese Unie heeft op basis van de ontwikkelde inzichten belangrijke stappen gezet met de introductie van de zogenaamde common requirements (gemeenschappelijke eisen) voor luchtverkeersdienstverleners. Door de complexiteit van de materie en de diversiteit van de organisaties en wijzigingen bleef na de introductie van de common requirements behoefte aan een verdere ontwikkeling van de vereisten en de definitie van het minimum veiligheidsniveau waaraan wijzigingen moeten voldoen.

Voortbouwend op de common requirements werkt het Europees Agentschap voor de veiligheid van de luchtvaart (EASA) aan een nieuw regelgevend raamwerk voor wijzigingen aan functionele systemen en uitwerking daarvan in de vorm van Acceptable Means of Compliance en Guidance Material. Met deze beleidsregels wordt vooruitgelopen op de totstandkoming hiervan. Daarnaast is in deze beleidsregels een beschrijving opgenomen met betrekking tot het minimum veiligheidsniveau voor de dienstverlening van de LVNL. Daarmee wordt meer duidelijkheid gegeven aan de LVNL over de motivering die geleverd moet worden bij wijzigingsvoorstellen en de wijze waarop deze getoetst kunnen worden. Daarmee wordt de voorspelbaarheid vergroot voor zowel de dienstverlener als de toezichthouder.

Juridisch kader

Deze beleidsregels vormen een nadere invulling van de vereisten in Uitvoeringsverordening (EU) nr. 1034/2011 van de Commissie van 17 oktober 2011 betreffende het veiligheidstoezicht op het gebied van luchtverkeersbeheer en luchtvaartnavigatiediensten en tot wijziging van Verordening (EU) nr. 691/2010 en Uitvoeringsverordening (EU) nr. 1035/2011 van de Commissie van 17 oktober 2011 tot vaststelling van de gemeenschappelijke eisen voor de verlening van luchtvaartnavigatiediensten en tot wijziging van de Verordeningen (EG) nr. 482/2008 en (EU) nr. 691/2010. Deze beleidsregels geven invulling aan enkele artikelen van genoemde verordeningen. Het betreft specifiek wijzigingen van functionele systemen die door de LVNL worden doorgevoerd en de wijze waarop de toezichthoudende autoriteit, in Nederland is dat de Inspectie Leefomgeving en Transport (ILT), die namens de minister, toezicht daarop uitoefent. Tevens wordt een minimum veiligheidsniveau aangegeven dat bij de beoordeling van wijzigingen als maatstaf zal worden gehanteerd. Daarnaast kan dit minimum veiligheidsniveau eveneens worden toegepast voor zover het de bestaande operatie betreft.

Relatie met veiligheidsmanagement

De hierboven beschreven noties sluiten aan bij de ontwikkelingen inzake veiligheidsmanagement, waarbij de bepaling van een acceptabel veiligheidsniveau door de Staat en de luchtvaartorganisaties nodig is, conform hetgeen door de Internationale burgerluchtvaartorganisatie (ICAO) hierover is opgenomen in Annex 19 bij het Verdrag van Chicago. Inmiddels is gestart met de update van het State Safety Program van Nederland waarbij ook aan deze nieuwe inzichten invulling wordt gegeven. De Staat richt zich op de veiligheid van het functioneren van de luchtvaart als geheel waaronder de luchtverkeerdienstverlening. De luchtvaartorganisaties zijn gericht op de veiligheid van de eigen dienstverlening en de veiligheidseffecten van de aansluiting van hun eigen processen bij die van andere luchtvaartorganisaties. De keuze van veiligheidscriteria die worden gebruikt bij de beoordeling van een wijziging van het functionele systeem, zal passen bij het veiligheidsbeleid dat wordt gevoerd. De procedures voor wijzigingen en het raamwerk voor bepaling van veiligheidscriteria worden gezien als onderdeel van dat veiligheidsmanagement. Niet wordt beoogd om met alle veranderingen de veiligheid te verbeteren, maar iedere wijziging zal aan het minimum veiligheidsniveau moeten voldoen. De keuze die gemaakt wordt voor het criterium dat gebruikt wordt voor een specifieke wijziging kan afhankelijk zijn van het doel van de wijziging. Bij wijzigingen die tot doel hebben om de veiligheid te verbeteren kan de lat hoger worden gelegd dan het minimum dat is in deze regel is bepaald.

Een onderdeel van safety management is het concept dat maatregelen die redelijkerwijs genomen kunnen worden om de veiligheid te vergroten, worden doorgevoerd (ALARP-As Low As Reasonably Practicable). De verplichting daartoe is opgenomen in de hierboven genoemde Europese verordeningen en wordt daarom niet in deze beleidsregels opgenomen. Er zijn geen nadere regels over de invulling van dit principe, omdat dit per situatie kan verschillen. Het gaat veelal om meer complexe afwegingen waarbij naast de veiligheid ook zaken als de effecten op milieu, efficiency, capaciteit en kosten worden meegewogen. Voorstellen voor wijzigingen van het functionele systeem in het kader van ALARP zullen door de LVNL ook als wijziging worden behandeld. Daarnaast zal de toezichthoudende autoriteit in het kader van het toezicht op het veiligheidsmanagement vaststellen dat ALARP wordt toegepast.

De werkwijzen die de LVNL toepast, worden vastgelegd in het veiligheidmanagementsysteem. Onderdeel hiervan is een raamwerk dat wordt benut om voor individuele wijzigingen veiligheidscriteria te bepalen. Met dit raamwerk worden verzekerd dat veiligheidscriteria voor gelijksoortige wijzigingen op consequente wijze worden bepaald. Het raamwerk kan ook behulpzaam zijn om de efficiency van het proces van vaststellen van criteria te bevorderen. Voorts kan hiermee ook de opgebouwde kennis en ervaring herkenbaar worden vastgelegd.

Deze beleidsregels hebben niet alleen betrekking op wijzigingen, maar ook op de veiligheid van de actuele LVNL-dienstverlening. Onderdeel van het veiligheidsbeleid van de overheid is het streven naar permanente verbetering van de veiligheid en het vormgeven van de moderne inzichten van het veiligheidsmanagement. Van de LVNL wordt verwacht dat deze visie in de processen en de organisatie nader wordt ingevuld ook rekening houdend met de ontwikkelingen in het luchtverkeer. Daarom is het aan de LVNL om in dit kader voor het eigen veiligheidsmanagementsysteem te bepalen welke veiligheidsdoelen worden nagestreefd en wat geschikte veiligheidscriteria zijn. Ook wordt het instrument geïntroduceerd om een algemeen kader vorm te geven om criteria voor individuele wijzigingen te bepalen. In het toezicht van de toezichthoudende autoriteit wordt vervolgens rekening gehouden met de gekozen doelen en de uitwerking daarvan.

Hoofdlijn van de normering

In de beleidsregels is gekozen voor een normering die bestaat uit een kwantitatief deel, een kwalitatief deel en een deel voor internationaal voorgeschreven technische en organisatorische vereisten (zogenoemde standards), zodat bij de beoordeling van de veiligheid van iedere wijziging van het functionele systeem kan worden aangesloten bij de aard van de wijziging en de stand van de kennis.

De expliciete kwantitatieve norm wordt gedefinieerd als de maximaal toelaatbare kans op een ATC-gerelateerd ongeval per vlucht. Op basis van analyse van wereldwijde, historische ongevalsdata is een kans van 3x10^-7 per vlucht bepaald. Waar deze norm wordt toegepast zal de veiligheid van het betrokken deel van het functionele systeem aan dit minimumniveau moeten voldoen, rekening houdend met het gegeven dat de scope van het functionele systeem slechts een deel van een totale vlucht betreft. Om de beoordeling te vereenvoudigen kan de LVNL ervoor kiezen afgeleide veiligheidsniveaus te bepalen voor delen van zijn operatie.

Het kwalitatieve element is in de beleidsregels opgenomen teneinde beoordeling van risico’s mogelijk te maken waar kwantificering niet mogelijk, wenselijk of noodzakelijk wordt geacht. Daarbij kan de veiligheid van het gewijzigde systeem of een onderdeel daarvan getoetst worden aan een erkende standaard, aan de veiligheid van de ongewijzigde situatie of aan die van een vergelijkbaar systeem. In de vergelijkende studie zal evenwel de mate van veiligheid herkenbaar moeten zijn. Daarbij kunnen ook verschillende maatstaven tezamen de veiligheid van het betrokken deel van het functionele systeem herkenbaar maken. Ook het referentiesysteem zal als voldoende veilig gekwalificeerd moeten worden. Er zijn verschillende manieren om dit op een valide wijze te doen, zoals een rapportage van de praktische ervaringen van experts met dat systeem gedurende een langere periode.

Basis voor de kwantitatieve norm

De kwantitatieve norm in deze beleidregels is gebaseerd op gegevens over ongevallen die wereldwijd hebben plaatsgevonden in de commerciële luchtvaart tussen 1980 en 2011, waarbij verkeersleiding een rol heeft gespeeld. Daarnaast zijn de ervaringen van de verkeersleiding op en rond Schiphol bestudeerd om vast te stellen of het mogelijk is om het gemiddelde langjarige veiligheidsniveau in de wereld als minimumniveau te hanteren voor de veiligheid van de operatie op en rond Schiphol. Uit deze studies is gebleken dat dit haalbaar is voor alle operationele scenario’s.

Periodieke herijking van de norm

In de hier beschreven veiligheidsnorm is gekozen voor de dimensie: kans op een ongeval per vlucht. Het overheidsbeleid is echter niet alleen daarop gericht, maar ook op het voorkomen van een toename van het aantal ongevallen per jaar, zelfs wanneer de luchtvaart groeit. Daarom is het nodig om periodiek te toetsen of de norm nog volstaat. Naast de ontwikkeling van de veiligheidsrisico’s en de omvang van de luchtvaart op Schiphol kunnen bij een periodieke evaluatie van de norm ook nieuwe ontwikkelingen op het gebied van luchtvaartveiligheid worden beschouwd op relevantie voor dit onderwerp.

De toezichthoudende autoriteit

De ILT zal namens de minister het beoordelingskader zoals opgenomen in deze beleidsregel ten aanzien van de processen en procedures die in deze beleidsregels worden beschreven, volgen, zo mogelijk naast het uitvoeren van het toezicht op de naleving van de vereisen die voorvloeien uit de regels van de Europese Unie.

Wanneer de ILT namens de minister een wijzigingsvoorstel toetst aan de veiligheidsnormering zal deze in ieder geval instemmen met het voorstel wanneer het in deze beleidsregels opgenomen minimum veiligheidsniveau aantoonbaar zal worden gerealiseerd. Het ruimere regelgevende kader vanuit de Europese Unie dat van toepassing is, zal bij deze toetsing worden betrokken.

Bij toepassing van onderdeel 4, sub b, onder (3) van deze beleidsregels kan de situatie ontstaan dat een voorgenomen wijziging resulteert in een veiligheidsniveau dat marginaal lager is dan het referentiesysteem, maar als voldoende veilig wordt beoordeeld conform het raamwerk voor de keuze van veiligheidcriteria bedoeld in artikel 5. Deze ruimte is in de beleidsregels opgenomen omdat niet alle ontwikkelingen tot een hoger veiligheidsniveau behoeven te leiden en in delen van de operatie reeds een veiligheidsniveau is bereikt dat beduidend boven het minimumniveau is gelegen. Ook kan door dit element in de beleidsregels besloten worden om oude systemen buiten werking te stellen waar vele jaren daarvoor nieuwe, veiliger systemen naast gezet zijn. Het ten slotte wegnemen van het oude systeem leidt dan mogelijk tot enige vermindering van veiligheid. Artikel 5 geeft aan betrokken partijen een duidelijk raamwerk om ook deze bijzondere situaties adequaat af te handelen.

Er kunnen drie verschillende situaties optreden bij toepassing van ALARP. Allereerst wordt het ALARP-principe door LVNL toegepast, zodat mogelijkheden die gezien worden om de veiligheid te verbeteren, worden benut. Ten tweede: wanneer LVNL ten tijde van een wijziging mogelijkheden ziet om een hoger niveau van veiligheid te realiseren dan de norm, worden deze meegenomen bij de wijziging. Ten derde kunnen verbetermogelijkheden worden gezien bij de voorbereiding van een wijziging, waarbij aanvullende aanpassingen van de processen nodig zijn die een langere doorlooptijd vergen. Dan kan LVNL ervoor kiezen om de wijziging door te voeren zonder aanvullende verbeteringen en zal de toezichthoudende autoriteit de ingediende wijziging toetsen aan de norm. De aanvullende wijziging kan dan later als separate wijziging worden ingediend en afgehandeld. Naast het toezicht op wijzigingen zal de toezichthoudende autoriteit toezicht houden op het veiligheidsmanagement van LVNL en de veiligheidsdoelstellingen daarvan. In dit kader kan ALARP eveneens van betekenis zijn.

Evaluatie

Teneinde te bepalen of de beleidsregels het beoogde effect sorteren, zullen deze na twee jaar worden geëvalueerd. Tevens zal LVNL de veiligheid van het totale functionele systeem eens in de vijf jaar evalueren. Als de LVNL van oordeel is dat deze evaluatie niet opportuun is, kan zij daarvan, mits gemotiveerd, afzien.

De evaluatie kan in samenhang met de vereisten van de Uitvoeringsverordening (EU) nr. 390/2013 van de Commissie van 3 mei 2013 houdende vaststelling van een prestatieregeling voor luchtvaartnavigatiediensten en netwerkfuncties (de zogenaamde performance-verordening) worden uitgevoerd.

Overgangstermijn

Deze beleidsregels zijn van toepassing vanaf de dag na publicatie in de Staatscourant. Zolang vanaf de datum van toepassing de processen en procedures nog niet in overeenstemming zijn met deze beleidsregels zullen de minister en de LVNL afspraken maken over de aanpassing van de processen en procedures teneinde deze in lijn te brengen met de beleidsregels. Dit ook omwille van de duidelijkheid ten aanzien van welke processen en procedures relevant zijn voor het toezicht. Het is voorzien dat uiterlijk per 1 januari 2016 de minister en de LVNL hun interne procesgang op deze beleidsregels hebben aangepast.

De Staatssecretaris van Infrastructuur en Milieu, namens deze: De Secretaris-Generaal L.C.M. Ongering