Artykuł 14

1. Platformy informacji wewnętrznych i zarejestrowane mechanizmy sprawozdawcze podejmują działania wymienione w ust. 2 w przypadku wystąpienia któregokolwiek z następujących incydentów:

a) nieprawidłowego użycia systemów informatycznych platformy informacji wewnętrznych lub zarejestrowanego mechanizmu sprawozdawczego lub nieuprawnionego dostępu do tych systemów;

b) incydentów dotyczących systemów informatycznych, zdefiniowanych w art. 6 pkt 6 dyrektywy (UE) 2022/2555;

c) nieuprawnionego ujawnienia informacji poufnych przekazywanych przez klientów IIP i klientów RRM do platformy informacji wewnętrznych lub zarejestrowanego mechanizmu sprawozdawczego oraz z platformy informacji wewnętrznych lub zarejestrowanego mechanizmu sprawozdawczego do Agencji;

d) naruszenia poufności, integralności, dostępności, autentyczności, rozliczalności i wiarygodności informacji przetwarzanych w systemach platformy informacji wewnętrznych i zarejestrowanego mechanizmu sprawozdawczego, a w przypadku platform informacji wewnętrznych – wycieków przetwarzanych informacji przed ich publikacją;

e) każdego zdarzenia, które ograniczyłoby lub wpłynęło na niezaprzeczalność danych.

2. Platformy informacji wewnętrznych i zarejestrowane mechanizmy sprawozdawcze:

a) powiadamiają Agencję o incydencie w ciągu 24 godzin od uzyskania wiedzy o jego wystąpieniu;

b) powiadamiają, w stosownych przypadkach, wszystkich klientów IIP i wszystkich klientów RRM, na których dany incydent miał lub mógł mieć wpływ, w ciągu 48 godzin od uzyskania wiedzy o jego wystąpieniu;

c) przekazują Agencji wstępną ocenę incydentu w ciągu 72 godzin od uzyskania wiedzy o jego wystąpieniu;

d) przedstawiają Agencji szczegółowe sprawozdanie dotyczące incydentu w terminie jednego miesiąca od uzyskania wiedzy o jego wystąpieniu, opisujące charakter incydentu, środki wprowadzone w celu zaradzenia temu incydentowi oraz inicjatywy wdrożone w celu zapobieżenia podobnym zdarzeniom w przyszłości.