En ce qui concerne la sécurité informatique au sein de son service, chaque chef de service de la Commission:
1) désigne officiellement, pour chaque SIC, un fonctionnaire ou un agent temporaire en qualité de propriétaire de système, qui sera responsable de la sécurité informatique du SIC en question, et désigne officiellement, pour chaque ensemble de données traité dans un SIC, un propriétaire des données qui doit appartenir à la même entité administrative que celle responsable du traitement des données pour les ensembles de données couverts par le règlement (CE) no 45/2001;
2) désigne officiellement un responsable local de la sécurité informatique (LISO) qui puisse exercer ses responsabilités indépendamment des propriétaires de système et de données. Un LISO peut être désigné pour un ou plusieurs services de la Commission;
3) veille à ce que des évaluations des risques dans le domaine de la sécurité informatique et des plans de sécurité informatique appropriés aient été mis en œuvre;
4) veille à ce qu'un résumé des risques et mesures de sécurité informatique soit communiqué régulièrement à la direction générale de l'informatique;
5) veille, avec le soutien de la direction générale de l'informatique, à ce que les processus, procédures et solutions appropriés soient en place pour assurer une détection, un signalement et une résolution efficaces des incidents de sécurité informatique relatifs à ses SIC;
6) lance une procédure d'urgence en cas de situations d'urgence en matière de sécurité informatique;
7) assume la responsabilité ultime de la sécurité informatique, notamment les responsabilités du propriétaire du système et du propriétaire des données;
8) détient les risques liés à ses SIC et ensembles de données;
9) résout les désaccords éventuels entre les propriétaires de systèmes et les propriétaires de données et, en cas de persistance du désaccord, porte l'affaire devant le CPSI en vue de sa résolution;
10) veille à ce que des plans et des mesures de sécurité informatique soient mis en œuvre et que les risques soient couverts de manière adéquate;
11) les processus liés aux responsabilités et aux activités énoncées aux points 1) à 10) sont décrits plus en détail dans les règles d'application conformément à l'article 13.