Artykuł 11

1. Po pomyślnym przejęciu systemu e-CODEX eu-LISA odpowiada za utrzymanie wysokiego poziomu bezpieczeństwa podczas wykonywania swoich zadań, w tym bezpieczeństwa informatycznej infrastruktury sprzętowej i oprogramowania, o której mowa w art. 7 ust. 2. W szczególności eu-LISA opracowuje i utrzymuje plan bezpieczeństwa systemu e-CODEX oraz zapewnia obsługę systemu e-CODEX zgodnie z tym planem bezpieczeństwa, z uwzględnieniem klauzul tajności w odniesieniu do informacji przetwarzanych w ramach systemu e-CODEX oraz zasad eu-LISA dotyczących bezpieczeństwa informacji. Plan bezpieczeństwa przewiduje regularne kontrole i audyty bezpieczeństwa systemu e-CODEX, w tym oceny bezpieczeństwa oprogramowania, z udziałem podmiotów obsługujących wyznaczone punkty dostępu e-CODEX.

2. Podczas wykonywania swoich obowiązków eu-LISA stosuje zasadę uwzględniania bezpieczeństwa na etapie projektowania oraz zasadę uwzględniania ochrony danych w fazie projektowania i zasadę domyślnej ochrony danych.

3. Podmioty obsługujące wyznaczone punkty dostępu e-CODEX ponoszą wyłączną odpowiedzialność za ich bezpieczne utworzenie i bezpieczną obsługę, w tym w zakresie bezpieczeństwa danych przekazywanych za ich pośrednictwem, przy uwzględnieniu norm technicznych określonych w aktach wykonawczych przyjętych zgodnie z art. 6. ust. 1 lit. a) oraz zasad bezpieczeństwa i wytycznych, o których mowa w ust. 6 niniejszego artykułu.

4. Podmioty obsługujące wyznaczone punkty dostępu e-CODEX niezwłocznie zgłaszają wszelkie incydenty związane z bezpieczeństwem eu-LISA oraz – w przypadku wyznaczonych punktów dostępu e-CODEX obsługiwanych przez krajowy organ władzy publicznej lub osobę prawną wyznaczone na mocy prawa krajowego – państwu członkowskiemu prowadzącemu wykaz wyznaczonych punktów dostępu e-CODEX, w którym figuruje dany punkt dostępu, lub – w przypadku wyznaczonych punktów dostępu e-CODEX obsługiwanych przez instytucję, organ lub jednostkę organizacyjną Unii – Komisji.

5. W przypadku wykrycia przez eu-LISA luk w zabezpieczeniach lub incydentów związanych z bezpieczeństwem, lub w przypadku otrzymania przewidzianego w ust. 4 zawiadomienia o incydencie związanym z bezpieczeństwem, eu-LISA analizuje taki incydent i niezwłocznie informuje podmioty obsługujące wyznaczone punkty dostępu e-CODEX, na które dany incydent ma wpływ, oraz grupę doradczą ds. e-CODEX.

6. eu-LISA opracowuje zasady bezpieczeństwa i wytyczne dotyczące wyznaczonych punktów dostępu e-CODEX. Podmioty obsługujące wyznaczone punkty dostępu e-CODEX przekazują eu-LISA oświadczenia potwierdzające przestrzeganie przez nie zasad bezpieczeństwa dotyczących wyznaczonych punktów dostępu e-CODEX. Oświadczenia te są aktualizowane co roku lub za każdym razem, gdy konieczna jest zmiana.