(1) Der Herkunftsmitgliedstaat gewährleistet die Datensicherheit vor und während der Übermittlung an das Zentralsystem.

(2) Jeder Mitgliedstaat trifft für sämtliche Daten, die von seinen zuständigen Behörden gemäß dieser Verordnung verarbeitet werden, die erforderlichen Maßnahmen, einschließlich der Aufstellung eines Sicherheitsplans, um

1. a. die Daten physisch zu schützen, auch durch die Aufstellung von Notfallplänen für den Schutz kritischer Infrastrukturen;
2. b. zu verhindern, dass Unbefugte Zugang zu den nationalen Anlagen erhalten, in denen der Mitgliedstaat Tätigkeiten ausführt, die dem Zweck von Eurodac dienen (Zugangskontrolle);
3. c. das unbefugte Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verhindern (Datenträgerkontrolle);
4. d. die unbefugte Eingabe von Daten sowie die unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter personenbezogener Daten zu verhindern (Speicherkontrolle);
5. e. die unbefugte Verarbeitung von Eurodac-Daten und die unbefugte Änderung oder Löschung von Daten, die in Eurodac verarbeitet wurden, zu verhindern (Kontrolle der Dateneingabe);
6. f. sicherzustellen, dass die zur Benutzung von Eurodac- befugten Personen über individuelle und einmalig vergebene Benutzerkennung und einen geheimen Zugangsmodus ausschließlich Zugriff auf die ihrer Zugriffsberechtigung unterliegenden Daten haben (Kontrolle des Datenzugriffs);
7. g. sicherzustellen, dass die zum Zugriff auf Eurodac berechtigten Behörden Profile mit einer Beschreibung der Aufgaben und Befugnisse der Personen erstellen, die zum Zugriff auf die Daten sowie zu ihrer Eingabe, Aktualisierung, Löschung und Abfrage berechtigt sind, und dass diese Profile und alle anderen einschlägigen Informationen, die diese Behörden zur Überwachung anfordern könnten, den nationalen Kontrollbehörden nach Artikel 28 der Richtlinie 95/46/EG und Artikel 25 des Rahmenbeschlusses 2008/799/JI auf deren Anfrage unverzüglich zur Verfügung gestellt werden (Profile der zugriffsberechtigten Personen);
8. h. zu gewährleisten, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Datenübertragungseinrichtungen übermittelt werden können (Übermittlungskontrolle);
9. i. sicherzustellen, dass nachgeprüft und festgestellt werden kann, welche Daten wann, von wem und zu welchem Zweck in Eurodac verarbeitet worden sind (Datenerfassungskontrolle);
10. j. insbesondere durch geeignete Verschlüsselungstechniken zu verhindern, dass bei der Übermittlung personenbezogener Daten an Eurodac oder von Eurodac oder während des Transports von Datenträgern die Daten von Unbefugten gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle);
11. k. die Effizienz der in diesem Absatz genannten Sicherheitsmaßnahmen zu überwachen und die notwendigen organisatorischen Maßnahmen im Zusammenhang mit der internen Überwachung zu treffen, um sicherzustellen, dass dieser Verordnung entsprochen wird (Eigenkontrolle) und innerhalb von 24 Stunden sämtlichen relevanten Fälle automatisch zu erkennen, zu denen es infolge der Anwendung der in den Buchstaben b bis j beschriebenen Maßnahmen kommt und die auf den Eintritt eines Sicherheitsvorfalls hinweisen könnten.

(3) Die Mitgliedstaaten unterrichten die Agentur über in ihren Systemen festgestellte Sicherheitsvorfälle. Die Agentur setzt bei einem Sicherheitsvorfall die Mitgliedstaaten, Europol und den Europäischen Datenschutzbeauftragten davon in Kenntnis. Der betreffende Mitgliedstaat, die Agentur und Europol arbeiten während eines Sicherheitsvorfalls zusammen.

(4) Die Agentur ergreift die Maßnahmen, die erforderlich sind, um die in Absatz 2 genannten Ziele in Bezug auf den Betrieb von Eurodac, einschließlich der Annahme eines Sicherheitsplans, zu verwirklichen.