Artykuł 9

1. Jasne, wyczerpujące i łatwo dostępne informacje o wycofaniu rozwiązania w zakresie portfela wysyła się bez zbędnej zwłoki i nie później niż 24 godziny po wycofaniu rozwiązania w zakresie portfela do:

a) pojedynczych punktów kontaktowych wyznaczonych na podstawie art. 46c ust. 1 rozporządzenia (UE) nr 910/2014;

b) Komisji;

c) użytkowników portfela, których to dotyczy;

d) stron ufających portfela zarejestrowanych zgodnie z art. 5b rozporządzenia (UE) nr 910/2014.

2. Informacje przekazywane zgodnie z ust. 1 muszą zawierać co najmniej następujące elementy:

a) nazwę dostawcy rozwiązania w zakresie portfela, które zostało wycofane;

b) nazwę i identyfikator referencyjny tego rozwiązania w zakresie portfela wskazany w wykazie certyfikowanych portfeli sporządzonym zgodnie z art. 5d rozporządzenia (UE) nr 910/2014 oraz, w stosownych przypadkach, odnośną wersję;

c) datę i godzinę wykrycia naruszenia bezpieczeństwa lub kompromitacji, które doprowadziły do wycofania danego rozwiązania w zakresie portfela ze względu na ich wagę lub fakt, że nie wyeliminowano ich w ciągu trzech miesięcy;

d) datę i godzinę zaistnienia naruszenia bezpieczeństwa lub kompromitacji, jeżeli są znane, na podstawie dzienników sieciowych lub systemowych lub innych źródeł danych;

e) datę i godzinę wycofania rozwiązania w zakresie portfela oraz skutecznego unieważnienia poświadczeń jednostki portfela jednostek portfela dostarczonych w ramach rozwiązania w zakresie portfela;

f) informację, czy wycofanie jest wynikiem wagi naruszenia bezpieczeństwa lub kompromitacji, czy jest konsekwencją naruszenia bezpieczeństwa lub kompromitacji, których nie wyeliminowano;

g) dane kontaktowe, w tym co najmniej adres e-mail i numer telefonu w przypadku notyfikującego państwa członkowskiego, a gdy są one różne, w przypadku dostawcy portfela, o którym mowa w lit. a);

h) opis naruszenia bezpieczeństwa lub kompromitacji;

i) opis danych objętych kompromitacją, w tym, w stosownych przypadkach, kategorii danych osobowych określonych w art. 9 ust. 1 i art. 10 rozporządzenia (UE) 2016/679;

j) w miarę możliwości szacunkową, przybliżoną liczbę użytkowników portfela, których to dotyczy, oraz innych osób fizycznych, których to dotyczy;

k) opis potencjalnego wpływu na strony ufające portfela lub na użytkowników portfela, a w tym drugim przypadku, odpowiednio, wszelkie wskazania dotyczące środków, które użytkownicy portfela mogą przedsięwziąć w celu złagodzenia tych potencjalnych skutków;

l) opis środków zastosowanych lub planowanych w celu przejścia użytkowników portfela, których to dotyczy, na alternatywne rozwiązania w zakresie portfela lub, w miarę możliwości i w stosownych przypadkach, alternatywne usługi.