1. Le respect des dispositions exposées dans la politique et les normes de sécurité informatique est obligatoire.
2. Le non-respect de la politique et des normes de sécurité informatique est passible d'une sanction disciplinaire conformément aux traités, au statut et au RAA, de sanctions contractuelles et/ou de poursuites judiciaires en vertu du droit national.
3. La direction générale de l'informatique est informée de toute exception à la politique de sécurité informatique.
4. Dans l'hypothèse où le CPSI estime qu'il existe un risque inacceptable persistant pour un SIC de la Commission, la direction générale de l'informatique soumet, en coopération avec le propriétaire du système, des mesures d'atténuation au CPSI pour approbation. Ces mesures peuvent consister, entre autres, en un renforcement des contrôles et des rapports, et en des restrictions, voire une interruption, de service.
5. Le CPSI impose, le cas échéant, la mise en œuvre des mesures d'atténuation approuvées. Il peut aussi recommander au directeur général de la direction générale des ressources humaines et de la sécurité d'ouvrir une enquête administrative. La direction générale de l'informatique fait rapport au CPSI sur toute situation où des mesures d'atténuation sont imposées.
6. Les processus liés aux responsabilités et aux activités énoncées aux paragraphes 1 à 5 sont décrits plus en détail dans les règles d'application conformément à l'article 13.