Artykuł 43

1. Zdarzenie, które ma lub może mieć wpływ na bezpieczeństwo elementów interoperacyjności i może spowodować uszkodzenie lub utratę przechowywanych w nich danych, uznaje się za incydent bezpieczeństwa, w szczególności gdy mogło dojść do nieuprawnionego dostępu do danych lub gdy zostały lub mogły zostać naruszone dostępność, integralność i poufność danych.

2. Incydentami bezpieczeństwa zarządza się w sposób zapewniający szybkie, skuteczne i właściwe reagowanie.

3. Niezależnie od zgłaszania i zawiadamiania w odniesieniu do naruszenia ochrony danych osobowych zgodnie z art. 33 rozporządzenia (UE) 2016/679 lub art. 30 dyrektywy (UE) 2016/680 lub obu z nich państwa członkowskie niezwłocznie powiadamiają o incydentach bezpieczeństwa Komisję, eu-LISA, właściwe organy nadzorcze i Europejskiego Inspektora Ochrony Danych.

Bez uszczerbku dla art. 34 i 35 rozporządzenia (UE) 2018/1725 i art. 34 rozporządzenia (UE) 2016/794 jednostka centralna ETIAS i Europol niezwłocznie powiadamiają o incydentach bezpieczeństwa Komisję, eu-LISA i Europejskiego Inspektora Ochrony Danych.

W przypadku incydentu bezpieczeństwa związanego z infrastrukturą elementów interoperacyjności eu-LISA niezwłocznie powiadamia Komisję i Europejskiego Inspektora Ochrony Danych.

4. Informacja o incydencie bezpieczeństwa, który ma lub może mieć wpływ na funkcjonowanie elementów interoperacyjności lub na dostępność, integralność i poufność danych, zostaje niezwłocznie przekazana państwom członkowskim, jednostce centralnej ETIAS oraz Europolowi i zgłoszona zgodnie z zapewnionym przez eu-LISA planem zarządzania na wypadek incydentów bezpieczeństwa.

5. W przypadku incydentu bezpieczeństwa zainteresowane państwa członkowskie, jednostka centralna ETIAS, Europol i eu-LISA współpracują ze sobą. Komisja określa specyfikację tej procedury współpracy za pomocą aktów wykonawczych. Akty te przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 70 ust. 2.