1. Un prestataire de services de confiance non qualifié qui fournit des services de confiance non qualifiés:
a) se dote des procédures appropriées et prend les mesures correspondantes pour gérer les risques juridiques, commerciaux et opérationnels ainsi que les autres risques directs ou indirects liés à la fourniture des services de confiance non qualifiés, lesquelles comprennent au moins, nonobstant l’article 21 de la directive (UE) 2022/2555, les mesures qui ont trait:
i) aux procédures d’enregistrement et d’enrôlement pour un service de confiance;
ii) aux vérifications procédurales ou administratives nécessaires pour fournir des services de confiance;
iii) à la gestion et la mise en œuvre des services de confiance;
b) notifie à l’organe de contrôle, aux personnes affectées identifiables, au public si cela est dans l’intérêt public et, le cas échéant, à d’autres autorités compétentes concernées, toute atteinte à la sécurité ou perturbation dans la fourniture du service ou la mise en œuvre des mesures visées au point a), i), ii) ou iii), ayant une incidence importante sur le service de confiance fourni ou sur les données à caractère personnel qui y sont conservées, dans les meilleurs délais et, en tout état de cause, au plus tard vingt-quatre heures à compter du moment où il a eu connaissance d’une atteinte à la sécurité ou d’une perturbation.
2. Au plus tard le 21 mai 2025, la Commission établit, au moyen d’actes d’exécution, une liste de normes de référence et, au besoin, les spécifications et les procédures applicables au paragraphe 1, point a), du présent article. Le respect des exigences fixées au présent article est présumé lorsque ces normes, spécifications et procédures sont respectées. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.