1. L’eu-LISA veille à la sécurité et au chiffrement des données API, en particulier celles constituant des données à caractère personnel, qu’elle traite en vertu du présent règlement. Les autorités frontalières compétentes et les transporteurs aériens veillent à la sécurité des données API, en particulier celles constituant des données à caractère personnel, qu’ils traitent en vertu du présent règlement. L’eu-LISA, les autorités frontalières compétentes et les transporteurs aériens coopèrent entre eux, en fonction de leurs responsabilités respectives et dans le respect du droit de l’Union, afin d’assurer cette sécurité.
2. L’eu-LISA prend les mesures nécessaires pour assurer la sécurité du routeur et des données API, en particulier celles constituant des données à caractère personnel, transmises par l’intermédiaire du routeur, notamment en établissant, en mettant en œuvre et en mettant régulièrement à jour un plan de sécurité, un plan de continuité des activités et un plan de rétablissement après sinistre, afin:
a) de garantir la protection physique du routeur, notamment en élaborant des plans d’urgence pour la protection de ses composants critiques;
b) d’empêcher tout traitement non autorisé des données API, y compris tout accès non autorisé à celles-ci et leur copie, modification ou suppression, tant pendant le transfert des données API vers le routeur et depuis le routeur que pendant toute conservation des données API sur le routeur lorsque cela est nécessaire pour achever la transmission, notamment au moyen de techniques de chiffrement appropriées;
c) de garantir que les personnes autorisées à accéder au routeur n’ont accès qu’aux données couvertes par leur autorisation d’accès;
d) de garantir qu’il est possible de vérifier et d’établir à quelles autorités frontalières compétentes les données API sont transmises par l’intermédiaire du routeur;
e) d’informer dûment son conseil d’administration de toute anomalie dans le fonctionnement du routeur;
f) de contrôler l’efficacité des mesures de sécurité requises en vertu du présent article et du règlement (UE) 2018/1725, et d’évaluer et de mettre à jour ces mesures de sécurité si nécessaire au regard de l’évolution technologique ou opérationnelle.
Les mesures visées au premier alinéa du présent paragraphe sont sans préjudice de l’article 32 du règlement (UE) 2016/679 ou de l’article 33 du règlement (UE) 2018/1725.