Article considérant 17

(17) En vue de garantir une gestion efficiente des notifications de vulnérabilité, les fournisseurs de solutions de portefeuille et le schéma d’identification électronique dans le cadre duquel celles-ci sont fournies devraient définir et mettre en œuvre des processus d’évaluation de la gravité et de l’impact potentiel des vulnérabilités. Les schémas nationaux de certification devraient fixer un seuil à partir duquel l’organisme de certification doit être informé. Cette obligation d’information ne devrait pas porter atteinte aux critères établis par la législation en matière de protection des données et par les autorités des États membres chargées de la protection des données pour la notification des violations de données à caractère personnel. D’éventuelles synergies pourraient être établies entre la notification obligatoire de la violation ou de l’altération des solutions de portefeuille et la notification des violations de données à caractère personnel conformément au règlement (UE) 2016/679. L’évaluation d’un rapport d’analyse d’impact de la vulnérabilité par l’organisme de certification devrait être sans préjudice de l’évaluation, par une autorité chargée de la protection des données, d’une analyse d’impact relative à la protection des données conformément aux articles 35 et 36 du règlement (UE) 2016/679.