1. Les autorités compétentes des États membres, l’eu-LISA et Europol veillent à la sécurité du traitement des données à caractère personnel au titre du présent règlement. Les autorités compétentes des États membres, l’eu-LISA et Europol coopèrent pour les tâches liées à la sécurité.
2. Sans préjudice de l’article 33 du règlement (UE) 2018/1725 et de l’article 32 du règlement (UE) 2016/794, l’eu-LISA et Europol prennent les mesures nécessaires pour garantir la sécurité du routeur et de l’EPRIS, respectivement, et de leurs infrastructures de communication connexes.
3. L’eu-LISA adopte les mesures nécessaires concernant le routeur et Europol adopte les mesures \nécessaires concernant l’EPRIS afin:
a) de garantir la protection physique des données, notamment en élaborant des plans d’urgence pour la protection des infrastructures critiques;
b) d’interdire à toute personne non autorisée d’accéder aux équipements et aux installations utilisés pour le traitement de données;
c) d’empêcher toute lecture, copie ou modification ou tout retrait non autorisés de supports de données;
d) d’empêcher l’introduction non autorisée de données et le contrôle, la modification ou l’effacement non autorisés de données à caractère personnel enregistrées;
e) d’empêcher le traitement non autorisé de données ainsi que toute copie, toute modification ou tout effacement non autorisés de données;
f) d’empêcher l’utilisation de systèmes de traitement automatisé de données par des personnes non autorisées au moyen de matériel de transmission de données;
g) de garantir, grâce à l’attribution d’identifiants individuels et à des modes d’accès confidentiels uniquement, que les personnes autorisées à avoir accès au routeur ou à l’EPRIS, selon le cas, n’ont accès qu’aux données couvertes par leur autorisation d’accès;
h) de garantir la possibilité de vérifier et d’établir à quels organismes les données à caractère personnel peuvent être transmises au moyen de matériel de transmission de données;
i) de garantir la possibilité de vérifier et d’établir quelles données ont été traitées dans le routeur ou l’EPRIS, selon le cas, à quel moment, par qui et dans quel but elles ont été traitées;
j) d’empêcher toute lecture, copie, modification ou tout effacement non autorisés de données à caractère personnel pendant leur transmission à partir du routeur ou de l’EPRIS, selon le cas, ou vers ceux-ci, ou durant le transport de supports de données, en particulier par des techniques de cryptage adaptées;
k) de garantir le rétablissement des systèmes installés en cas d’interruption;
l) de garantir la fiabilité en veillant à ce que toute erreur survenant dans le fonctionnement du routeur ou de l’EPRIS, selon le cas, soit dûment signalée;
m) de contrôler l’efficacité des mesures de sécurité visées au présent paragraphe et de prendre les mesures organisationnelles nécessaires en matière de contrôle interne pour assurer le respect du présent règlement et d’évaluer ces mesures de sécurité à la lumière des nouvelles évolutions technologiques.
Les mesures nécessaires visées au premier alinéa comprennent un plan de sécurité, un plan de continuité des activités et un plan de rétablissement après sinistre.