1. Après la reprise réussie du système e-CODEX, l’eu-LISA est chargée de maintenir un niveau élevé de sécurité dans l’exécution de ses tâches, y compris en ce qui concerne la sécurité de l’infrastructure informatique matérielle et logicielle visée à l’article 7, paragraphe 2. En particulier, l’eu-LISA établit et tient à jour un plan de sécurité e-CODEX et veille à ce que l’exploitation du système e-CODEX soit conforme à ce plan de sécurité et tienne compte de la classification des informations traitées dans le système e-CODEX et des règles de l’eu-LISA en matière de sécurité de l’information. Le plan de sécurité prévoit des inspections et des audits de sécurité réguliers, y compris des analyses de la sécurité des logiciels, du système e-CODEX, avec la participation des entités exploitant des points d’accès e-CODEX autorisés.
2. Dans l’exercice de ses responsabilités, l’eu-LISA met en œuvre les principes de sécurité dès la conception et de protection des données dès la conception et par défaut.
3. Les entités exploitant des points d’accès e-CODEX autorisés sont exclusivement responsables de leur mise en place et de leur exploitation sécurisées, y compris en ce qui concerne la sécurité des données transmises par leur intermédiaire, en prenant en considération les normes techniques énoncées dans les actes d’exécution adoptés en vertu de l’article 6, paragraphe 1, point a), et les règles et orientations en matière de sécurité visées au paragraphe 6 du présent article.
4. Les entités exploitant des points d’accès e-CODEX autorisés notifient, sans tarder, tout incident de sécurité à l’eu-LISA et, dans le cas de points d’accès e-CODEX autorisés exploités par une autorité publique nationale ou une personne morale à laquelle une autorisation a été accordée en vertu du droit national, à l’État membre qui tient à jour la liste sur laquelle figurent ces points d’accès e-CODEX autorisés ou, dans le cas de points d’accès e-CODEX autorisés exploités par une institution, un organe ou un organisme de l’Union, à la Commission.
5. Lorsque l’eu-LISA détecte de quelconques vulnérabilités ou incidents de sécurité, ou dès qu’elle reçoit la notification d’un incident de sécurité conformément au paragraphe 4, l’eu-LISA analyse l’incident de sécurité et informe, sans tarder, les entités exploitant les points d’accès e-CODEX autorisés concernés par cet incident et le groupe consultatif sur l’e-CODEX.
6. L’eu-LISA élabore des règles et des orientations en matière de sécurité concernant les points d’accès e-CODEX autorisés. Les entités exploitant des points d’accès e-CODEX autorisés fournissent à l’eu-LISA des déclarations prouvant qu’ils respectent les règles de sécurité concernant les points d’accès e-CODEX autorisés. Ces déclarations sont mises à jour annuellement ou chaque fois qu’une modification est nécessaire pour d’autres raisons.