1. Un point de contact national pour la santé numérique, ou la Commission selon le cas, informe le président du groupe de pilotage, la Commission et tout point de contact national pour la santé numérique concerné dès que possible et, en tout état de cause, dans un délai de 24 heures après avoir eu connaissance d’un incident important.
2. À la suite de la notification visée au paragraphe 1, ou de sa propre initiative, la Commission, en accord avec le président du groupe de pilotage, traite l’incident important.
3. Le point de contact national pour la santé numérique dont l’échange transfrontière de données de santé électroniques à caractère personnel est affecté par l’incident important et le groupe de pilotage, si nécessaire, prennent les mesures requises pour atténuer cet incident. Ces mesures peuvent comprendre la suspension temporaire de l’échange de données de santé électroniques à caractère personnel.
4. Après approbation du groupe de pilotage, le point de contact national pour la santé numérique concerné rétablit l’échange transfrontière suspendu de données de santé électroniques à caractère personnel dès que possible après la résolution de l’incident important.
5. Le point de contact national pour la santé numérique dont l’échange transfrontière de données de santé électroniques à caractère personnel a été affecté par l’incident important ou la Commission, si un service visé à l’article 3, paragraphe 1, a été touché par l’incident important, fait rapport au groupe de pilotage au plus tard un mois après la soumission de la notification visée au paragraphe 1. Ce rapport comprend au moins les éléments suivants:
a) une description détaillée de l’incident important, y compris de sa gravité et de ses répercussions;
b) le type de menace ou la cause profonde qui a probablement déclenché l’incident important;
c) les mesures d’atténuation déjà prises et toujours en cours.