1. Les IIP et les RRM prennent les mesures énumérées au paragraphe 2 en cas de survenance de l’un des incidents suivants:
a) utilisation abusive ou accès non autorisé aux systèmes informatiques de l’IIP ou du RRM;
b) «traitement des incidents», le traitement des incidents tel qu’il est défini à l’article 6, point 6), de la directive (UE) 2022/2555;
c) empêcher la divulgation non autorisée d’informations confidentielles provenant de clients d’IIP et de clients de RRM à l’IIP ou au RRM et de l’IIP ou du RRM à l’Agence;
d) garantir la confidentialité, l’intégrité, la disponibilité, l’authenticité, la responsabilité et la fiabilité des informations traitées dans le cadre des systèmes des IIP et des RRM et, pour les IIP, prévenir les fuites d’informations traitées avant leur publication;
e) tout événement qui empêcherait ou aurait une incidence sur la non-répudiation des données.
2. Les IIP et RRM:
a) notifie l’incident à l’Agence dans un délai de 24 heures après en avoir eu connaissance;
b) informe les clients d’IIP et les clients de RRM, le cas échéant, qui ont ou ont pu être touchés par l’incident dans un délai de 48 heures à compter de sa prise de connaissance;
c) fournit à l’Agence une première évaluation de l’incident dans les 72 heures suivant sa prise de connaissance;
d) fournissent à l’Agence, dans un délai d’un mois à compter de leur prise de connaissance, un rapport d’incident détaillé exposant la nature de l’incident, les mesures prises pour y remédier et les initiatives mises en œuvre pour éviter que des événements similaires ne se reproduisent à l’avenir.