1. L'eu-LISA adopte, pour le SIS central et l'infrastructure de communication, les mesures, dont un plan de sécurité, un plan de continuité des opérations et un plan de rétablissement après sinistre, nécessaires pour:
a) assurer la protection physique des données, notamment en élaborant des plans d'urgence pour la protection des infrastructures critiques;
b) empêcher l'accès de toute personne non autorisée aux installations utilisées pour le traitement de données à caractère personnel (contrôle de l'accès aux installations);
c) empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données (contrôle des supports de données);
d) empêcher l'introduction non autorisée de données ainsi que le contrôle, la modification ou la suppression non autorisés de données à caractère personnel stockées (contrôle du stockage);
e) empêcher l'utilisation des systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données (contrôle des utilisateurs);
f) empêcher le traitement non autorisé de données dans le SIS et toute modification ou tout effacement non autorisés de données traitées dans le SIS (contrôle de la saisie des données);
g) garantir que les personnes autorisées à utiliser un système de traitement automatisé de données ne puissent avoir accès qu'aux données couvertes par leur autorisation d'accès, uniquement grâce à des identifiants d'utilisateur individuels et uniques et à des modes d'accès confidentiels (contrôle de l'accès aux données);
h) créer des profils décrivant les fonctions et responsabilités des personnes autorisées à avoir accès aux données ou aux installations de traitement de données, et mettre ces profils à la disposition du Contrôleur européen de la protection des données, sans tarder et à la demande de celui-ci (profils des membres du personnel);
i) garantir la possibilité de vérifier et d'établir à quels organismes des données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données (contrôle de la transmission);
j) garantir la possibilité de vérifier et d'établir a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé de données, à quel moment et par qui (contrôle de l'introduction);
k) empêcher toute lecture, copie, modification ou suppression non autorisées de données à caractère personnel pendant la transmission de données à caractère personnel ou durant le transport de supports de données, en particulier au moyen de techniques de cryptage adaptées (contrôle du transport);
l) contrôler l'efficacité des mesures de sécurité visées au présent paragraphe et prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement (autocontrôle);
m) garantir le rétablissement des systèmes installés en cas d'interruption des opérations (rétablissement);
n) garantir que le SIS exécute correctement ses fonctions, que les erreurs soient signalées (fiabilité) et que les données à caractère personnel conservées dans le SIS ne puissent pas être corrompues par le dysfonctionnement du système (intégrité); et
o) garantir la sécurité de ses sites techniques.
2. L'eu-LISA prend des mesures équivalentes à celles visées au paragraphe 1 pour assurer la sécurité du traitement et de l'échange d'informations supplémentaires par l'intermédiaire de l'infrastructure de communication.