1. Tout événement ayant ou pouvant avoir un impact sur la sécurité de l’EES et susceptible d’entraîner des dommages ou des pertes au niveau des données stockées dans l’EES est considéré comme un incident de sécurité, en particulier lorsque des données peuvent avoir été consultées sans autorisation ou que la disponibilité, l’intégrité et la confidentialité de données ont été ou peuvent avoir été compromises.
2. Les incidents de sécurité sont gérés de telle sorte qu’une réponse rapide, efficace et idoine y soit apportée.
3. Sans préjudice de la notification et de la communication d’une violation de données à caractère personnel conformément à l’article 33 du règlement (UE) 2016/679, à l’article 30 de la directive (UE) 2016/680, ou aux deux, les États membres notifient les incidents de sécurité à la Commission, à l’eu-LISA et au Contrôleur européen de la protection des données. En cas d’incident de sécurité concernant le système central de l’EES, l’eu-LISA en informe la Commission et le Contrôleur européen de la protection des données.
4. Les informations relatives à un incident de sécurité ayant ou pouvant avoir un impact sur le fonctionnement de l’EES ou sur la disponibilité, l’intégrité et la confidentialité des données sont communiquées aux États membres et consignées conformément au plan de gestion des incidents qui doit être élaboré par l’eu-LISA.
5. Les États membres concernés et l’eu-LISA coopèrent en cas d’incident de sécurité.