(1) Jedes Ereignis, das sich auf die Sicherheit des Betriebs des ETIAS auswirkt bzw. auswirken und ETIAS-Daten beschädigen oder ihren Verlust herbeiführen kann, ist als Sicherheitsvorfall anzusehen; dies gilt insbesondere, wenn möglicherweise ein unbefugter Datenzugriff erfolgt ist oder die Verfügbarkeit, die Integrität und die Vertraulichkeit von Daten tatsächlich oder möglicherweise nicht mehr gewährleistet war.

(2) Sicherheitsvorfällen ist durch eine rasche, wirksame und angemessene Reaktion zu begegnen.

(3) Unbeschadet der Meldung und Mitteilung einer Verletzung des Schutzes personenbezogener Daten gemäß Artikel 33 der Verordnung (EU) 2016/679, Artikel 30 der Richtlinie (EU) 2016/680 oder beiden Artikeln unterrichten die Mitgliedstaaten die Kommission, eu-LISA und den Europäischen Datenschutzbeauftragten über Sicherheitsvorfälle. Im Falle eines Sicherheitsvorfalls in Verbindung mit dem ETIAS-Informationssystem unterrichtet eu-LISA die Kommission und den Europäischen Datenschutzbeauftragten. Bei einem Sicherheitsvorfall im Zusammenhang mit dem ETIAS unterrichtet Europol die Kommission und den Europäischen Datenschutzbeauftragten.

(4) Informationen über einen Sicherheitsvorfall, der sich auf den Betrieb des ETIAS oder die Verfügbarkeit, die Integrität und die Vertraulichkeit der ETIAS-Daten auswirkt oder auswirken kann, werden der Kommission, und, falls sie betroffen sind, der ETIAS-Zentralstelle, den nationalen ETIAS-Stellen und Europol bereitgestellt. Ein solcher Sicherheitsvorfall wird nach Maßgabe des von eu-LISA bereitzustellenden Plans für die Bewältigung von Sicherheitsvorfällen gemeldet.

(5) Die Mitgliedstaaten, die Europäische Agentur für die Grenz- und Küstenwache, eu-Lisa und Europol arbeiten im Falle eines Sicherheitsvorfalls zusammen.