1. Tout événement ayant ou pouvant avoir une incidence sur la sécurité d’ETIAS et susceptible de causer des dommages ou des pertes au niveau des données conservées dans ETIAS est considéré comme étant un incident de sécurité, en particulier lorsque des données peuvent avoir été consultées sans autorisation ou que la disponibilité, l’intégrité et la confidentialité de données ont été ou peuvent avoir été compromises.
2. Les incidents de sécurité sont gérés de telle sorte qu’une réponse rapide, efficace et idoine y soit apportée.
3. Sans préjudice de la notification et de la communication d’une violation de données à caractère personnel conformément à l’article 33 du règlement (UE) 2016/679, à l’article 30 de la directive (UE) 2016/680, ou aux deux, les États membres notifient les incidents de sécurité à la Commission, à l’eu-LISA et au Contrôleur européen de la protection des données. En cas d’incident de sécurité concernant le système d’information ETIAS, l’eu-LISA en informe la Commission et le Contrôleur européen de la protection des données. Europol informe la Commission et le Contrôleur européen de la protection des données en cas d’incident de sécurité concernant ETIAS.
4. Les informations relatives à un incident de sécurité ayant ou pouvant avoir un impact sur le fonctionnement d’ETIAS ou sur la disponibilité, l’intégrité et la confidentialité des données conservées dans ETIAS sont communiquées à la Commission et, si elles sont concernées, à l’unité centrale ETIAS, aux unités nationales ETIAS et à Europol. Ces incidents sont également signalés conformément au plan de gestion des incidents qui doit être fourni par l’eu-LISA.
5. Les États membres, l’Agence européenne de garde-frontières et de garde-côtes, l’eu-LISA et Europol coopèrent en cas d’incident de sécurité.