Article considérant 264

(264) Sans préjudice de l’obligation matérielle incombant au fournisseur en matière de sécurité en vertu de la présente directive, le contrat devrait préciser le type de mesure que le fournisseur pourrait prendre afin de réagir à des incidents de sécurité ou de faire face à des menaces ou à des situations de vulnérabilité. En outre, le contrat devrait également préciser toute formule d’indemnisation et de remboursement disponible si un fournisseur réagit de manière inadéquate à un incident de sécurité, notamment si l’incident de sécurité, notifié au fournisseur, survient en raison de vulnérabilités dans le logiciel ou le matériel connues, pour lesquelles des correctifs, publiés par le fabricant ou le développeur, n’ont pas été mis en œuvre par le fournisseur de services ou pour lesquelles celui-ci n’a pas pris d’autre contre-mesure adéquate.