1. La Commission met en place une politique de sécurité des technologies de l’information (ci-après dénommée «politique de sécurité informatique SFC») pour SFC2014 applicable aux membres du personnel utilisant SFC2014 conformément aux règles applicables de l’Union, et notamment la décision C(2006) 3602 de la Commission et ses règles d'application. La Commission désigne une ou plusieurs personnes responsables de la définition, de la maintenance et de l’application correcte de la politique de sécurité pour SFC2014.
2. Les États membres et les institutions européennes autres que la Commission, qui ont reçu des droits d’accès à SFC2014, se conforment aux termes et conditions de sécurité informatique publiés sur le portail SFC2014 ainsi qu'aux mesures appliquées dans SFC2014 par la Commission en vue de sécuriser la transmission des données, en particulier en ce qui concerne l’utilisation de l’interface technique visée à l’article 5, paragraphe 1, du présent règlement.
3. Les États membres et la Commission mettent en œuvre les mesures de sécurité adoptées pour protéger les données qu'ils ont stockées et transmises via SFC2014, et en garantissent l’efficacité.
4. Les États membres adoptent des politiques de sécurité informatique nationale, régionale ou locale concernant l’accès à SFC2014 et la saisie automatique de données dans ce système, afin d'assurer une série d'exigences minimales en matière de sécurité. Ces politiques de sécurité informatique nationale, régionale ou locale peuvent se référer à d’autres documents relatifs à la sécurité. Chaque État membre veille à ce que ces politiques de sécurité informatique s’appliquent à toutes les autorités qui utilisent SFC2014.
5. Ces politiques de sécurité informatique nationale, régionale ou locale portent sur:
a) la sécurité informatique des travaux effectués par le ou les responsables de la gestion des droits d’accès visés à l’article 3, paragraphe 3, du présent règlement, en cas d’application de l’utilisation directe;
b) dans le cas de systèmes informatiques nationaux, régionaux ou locaux connectés à SFC2014 par l’intermédiaire d’une interface technique visée à l’article 5, paragraphe 1, du présent règlement, les mesures de sécurité applicables à ces systèmes qui doivent pouvoir être alignées sur les exigences applicables à SFC2014 en matière de sécurité.
Aux fins du point b) du premier alinéa, les aspects suivants sont couverts, le cas échéant:
a) sécurité physique;
b) contrôle des supports de données et contrôle d’accès;
c) contrôle du stockage;
d) contrôle de l’accès et du mot de passe;
e) suivi;
f) interconnexion avec SFC2014;
g) infrastructure de communication;
h) gestion des ressources humaines avant l’embauche, pendant la durée du contrat et à l'issue de celui-ci;
i) gestion des incidents.
6. Ces politiques de sécurité informatique nationale, régionale ou locale sont fondées sur une analyse des risques et les mesures décrites sont proportionnées aux risques recensés.
7. Les documents exposant ces politiques de sécurité informatique nationale, régionale ou locale sont mis à la disposition de la Commission à sa demande.
8. Les États membres désignent, au niveau national ou régional, une ou plusieurs personnes responsables de l’application et du respect des politiques de sécurité informatique nationale, régionale ou locale. Cette ou ces personnes(s) joue(nt) le rôle de point de contact pour la ou les personnes désignée(s) par la Commission et visées à l'article 6, paragraphe 1, du présent règlement.
9. La politique de sécurité informatique SFC et les politiques de sécurité informatique nationale, régionale et locale pertinentes sont actualisées en cas d'évolutions technologiques, de découverte de nouvelles menaces ou d’autres évolutions pertinentes. En tout état de cause, elles sont réexaminées sur une base annuelle afin de garantir qu’elles continuent de fournir une réponse appropriée.