(1)   A Bizottság, a tagállamok által a 966/2012/EU, Euratom európai parlamenti és tanácsi rendelet (4) 59. cikkének (3) bekezdése és a 223/2014/EU rendelet 31. cikke alapján kijelölt hatóságok, valamint az ezen hatóságok feladataival megbízott szervek viszik be az SFC2014-be és frissítik azokat az adatokat, amelyek továbbításáért felelősek.

(2)   A Bizottsághoz továbbított minden információ benyújtását és ellenőrzését nem ugyanaz a személy hajtja végre, mint aki az adattovábbításkor az adatot bevitte. Az SFC2014-nek vagy az ahhoz automatikusan hozzákapcsolt tagállami irányítási és ellenőrzési információs rendszereknek támogatniuk kell a feladatok ilyen elválasztását.

(3)   A tagállamoknak nemzeti szinten ki kell nevezniük az SFC2014-hez való hozzáférési jogok kezeléséért felelős személyt (vagy személyeket), akinek (akiknek) a következő feladatokat kell ellátnia (ellátniuk):

a)	a hozzáférést kérő felhasználók azonosítása, biztosítva, hogy ezek a felhasználók a szervezet alkalmazásában állnak;

b)	a felhasználók kötelezettségeikről való tájékoztatása a rendszer biztonságának megőrzése érdekében;

c)	annak ellenőrzése, hogy a felhasználók feladatkörük és szervezeti beosztásuk alapján jogosultak-e az általuk igényelt jogosultsági szintre;

d)	a hozzáférési jogok megszüntetésének kérelmezése, ha azok már nem szükségesek vagy nem indokoltak;

e)	azon gyanús esetek haladéktalan jelentése, amelyek hátrányosan befolyásolhatják a rendszer biztonságát;

f)	az esetleges változások jelentése révén a pontos felhasználói azonosító adatok folyamatos biztosítása;

g)	az adatvédelemmel és az üzleti titokkal kapcsolatosan szükséges óvintézkedések megtétele az uniós és nemzeti szabályoknak megfelelően;

h)	a Bizottság tájékoztatása minden olyan változásról, amely hatással van a tagállami hatóságok vagy az SFC2014 felhasználóinak azon képességére, hogy az (1) bekezdésben foglalt feladataikat ellássák, illetve az a)–g) pontokban említett feladatok ellátásával kapcsolatos személyes kapacitásukra.

(4)   Az adatcseréket és ügyleteket az 1999/93/EK európai parlamenti és tanácsi irányelvben (5) meghatározottaknak megfelelően kötelező elektronikus aláírással kell ellátni. A tagállamok és a Bizottság a jogi eljárásokban bizonyító erejűként joghatályosnak és elfogadottnak ismerik el az SCF2014-ben alkalmazott elektronikus aláírást.

Az SFC2014 révén feldolgozott információk tekintetében a 2002/58/EK európai parlamenti és tanácsi irányelvnek (6), a 2009/136/EK európai parlamenti és tanácsi irányelvnek (7), az 1995/46/EK irányelvnek és a 45/2001/EK rendeletnek megfelelően tiszteletben kell tartani a magánéletnek, az egyének személyes adatainak és a jogi személyek üzleti titkainak védelmét.

(1)   Az SFC2014-hez a tagállamok és a Bizottság vagy közvetlenül egy interaktív felhasználói felületen (azaz webalkalmazáson), vagy egy előzetesen meghatározott protokollt alkalmazó műszaki interfészen (azaz webszolgáltatáson) keresztül férnek hozzá, amely lehetővé teszi a tagállami információs rendszerek és az SFC2014 közötti automatikus szinkronizálást és adattovábbítást.

(2)   A tagállam felől a Bizottság részére, valamint fordított irányban zajló elektronikus adattovábbítás időpontját kell az érintett dokumentum benyújtási időpontjának tekinteni.

(3)   Vis maior, az SFC2014 üzemzavara vagy az SFC2014-gyel való összeköttetés olyan hiánya esetén, amelynek időtartama az információk benyújtásának előírt határidejét megelőző egy hétben vagy a december 23. és 31. közötti időszakban meghaladja az egy munkanapot, illetve bármely más időszakban az öt munkanapot, a tagállam és a Bizottság között zajló információcsere az e rendelet 2. cikkének (1) bekezdésében említett minták, formátumok és sablonok révén nyomtatott formában is történhet.

Az elektronikus adatcsererendszer üzemzavarának megszűnésekor, a rendszerrel való összeköttetés visszaállításakor vagy a vis maiort kiváltó ok megszűnésekor az érintett félnek a nyomtatott formában elküldött információkat haladéktalanul be kell vinnie az SFC2014-be.

(4)   A (3) bekezdésben említett esetekben a postai bélyegző dátumát kell az érintett dokumentum benyújtási időpontjának tekinteni.

(1)   A Bizottság az SFC2014 részére információtechnológiai biztonságpolitikát alakít ki (a továbbiakban: SFC IT biztonságpolitika), amely a vonatkozó uniós szabályoknak, különösképpen az Európai Bizottság informatikai rendszereinek biztonságára vonatkozó szabályokról szóló C(2006) 3602 bizottsági határozatnak (8) és végrehajtási szabályainak megfelelően az SFC2014-et használó alkalmazottakra vonatkozik. A Bizottság kijelöli az SFC2014-re alkalmazandó biztonságpolitika meghatározásáért, fenntartásáért és megfelelő alkalmazásának biztosításáért felelős személyt vagy személyeket.

(2)   A tagállamoknak és a Bizottságon kívüli európai intézményeknek, amelyek hozzáférési jogot kaptak az SFC2014-hez, meg kell felelniük az SFC2014 portálon közzétett információtechnológiai biztonságpolitikai feltételeknek és az SFC2014 keretében a Bizottság által az adattovábbítás biztonsága érdekében végrehajtott intézkedéseknek, különösen az e rendelet 5. cikkének (1) bekezdésében említett műszaki interfész alkalmazására vonatkozóan.

(3)   A tagállamok és a Bizottság végrehajtják az általuk tárolt és az SFC2014 révén továbbított adatok védelme érdekében elfogadott biztonsági intézkedéseket, és biztosítják azok hatékonyságát.

(4)   A tagállamok nemzeti, regionális vagy helyi szintű információtechnológiai biztonságpolitikát fogadnak el, amely kiterjed az SFC2014-hez való hozzáférésre és az e rendszerbe való automatikus adatbevitelre, biztosítva a minimális biztonsági követelményeket. E nemzeti, regionális vagy helyi információtechnológiai biztonságpolitika hivatkozhat más biztonsági dokumentumokra. Az egyes tagállamok biztosítják, hogy ezen információtechnológiai biztonságpolitikák az SFC2014-et használó valamennyi hatóságra alkalmazandók.

(5)   E nemzeti, regionális vagy helyi információtechnológiai biztonságpolitika a következőket tartalmazza:

a)	közvetlen felhasználás esetén az e rendelet 3. cikkének (3) bekezdésében említett hozzáférési jogok kezeléséért felelős személy vagy személyek által végzett munka információtechnológiai biztonsági vonatkozásai;

b)

az SFC2014-hez az e rendelet 5. cikkének (1) bekezdésében említett műszaki interfészen keresztül kapcsolódó nemzeti, regionális vagy helyi számítógépes rendszerek esetében a rájuk vonatkozó azon biztonsági intézkedések, amelyek lehetővé teszik az SFC2014 biztonsági követelményeivel való összehangolást.

Az első albekezdés b) pontjának alkalmazásában az alábbi szempontokat kell lefedni, szükség szerint:

a)	fizikai biztonság;

b)	az adathordozók és a hozzáférés ellenőrzése;

c)	az adattárolás ellenőrzése;

d)	hozzáférési jogosultság ellenőrzése és jelszóellenőrzés;

e)	nyomon követés;

f)	összekapcsolás az SFC2014-gyel;

g)	hírközlési infrastruktúra;

h)	emberierőforrás-menedzsment a munkaerő alkalmazása előtt, alatt és után;

i)	a biztonsági események kezelése.

(6)   E nemzeti, regionális vagy helyi információtechnológiai biztonságpolitikát kockázatelemzésre kell alapozni, és a biztonságpolitika által meghatározott intézkedéseknek az azonosított kockázatokkal arányosaknak kell lenniük.

(7)   A nemzeti, regionális vagy helyi információtechnológiai biztonságpolitikát meghatározó dokumentumokat kérésre a Bizottság rendelkezésére kell bocsátani.

(8)   A tagállamoknak nemzeti szinten ki kell jelölniük a nemzeti, regionális vagy helyi információtechnológiai biztonságpolitika fenntartásáért és alkalmazásának biztosításáért felelős személyt vagy személyeket. E személy vagy személyek tartanak kapcsolatot a Bizottság által kinevezett és e rendelet 6. cikkének (1) bekezdésében említett személlyel vagy személyekkel.

(9)   A technológiai változások, új veszélyek azonosítása vagy más vonatkozó fejlemények alapján mind az SFC információtechnológiai biztonságpolitikát, mind pedig a vonatkozó nemzeti, regionális vagy helyi információtechnológiai biztonságpolitikát frissíteni kell. Az említett biztonságpolitikákat minden esetben évente felül kell vizsgálni annak biztosítása érdekében, hogy azok továbbra is megfelelő megoldást adjanak.