Shrnutí stanoviska evropského inspektora ochrany údajů ke strategii kybernetické bezpečnosti EU a směrnici NIS 2

(Úplné znění tohoto stanoviska je k dispozici v angličtině, francouzštině a němčině na webových stránkách evropského inspektora ochrany údajů na adrese www.edps.europa.eu)

(2021/C 183/03)

Dne 16. prosince 2020 přijala Evropská komise návrh směrnice Evropského parlamentu a Rady o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o zrušení směrnice (EU) 2016/1148 (dále jen „návrh“). Evropská komise a vysoký představitel Unie pro zahraniční věci a bezpečnostní politiku současně vydali společné sdělení Evropskému parlamentu a Radě nazvané „Strategie kybernetické bezpečnosti EU pro digitální dekádu“ (dále jen „strategie“).

Evropský inspektor ochrany údajů (EIOÚ) plně podporuje obecný cíl strategie zajistit globální a otevřený internet se silnou ochranou k řešení rizik pro bezpečnost a základní lidská práva, uznává strategickou hodnotu internetu a jeho správy a podporuje činnost Unie v této oblasti, a to v modelu se zapojením různých zúčastněných stran.

EIOÚ tedy stejnou měrou vítá cíl návrhu zavést systémové a strukturální změny stávající směrnice o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii s cílem zavázat širší soubor subjektů napříč celou Unií přísnějšími bezpečnostními opatřeními, včetně povinného řízení rizik, minimálních standardů a příslušných ustanovení pro dohled a vymáhání. V tomto ohledu se EIOÚ domnívá, že pro dosažení jednotné úrovně ochrany je nezbytně nutné plně integrovat instituce, úřady, orgány a agentury Unie do celkového celoevropského rámce kybernetické bezpečnosti, a to jejich výslovným zahrnutím do oblasti působnosti návrhu.

EIOÚ dále zdůrazňuje význam zohlednění ochrany soukromí a osobních údajů v opatřeních kybernetické bezpečnosti vyplývajících z návrhu nebo z jiných iniciativ strategie v oblasti kybernetické bezpečnosti, aby byl zajištěn holistický přístup a aby byla umožněna součinnost při řízení kybernetické bezpečnosti a ochraně zpracovávaných osobních údajů. Rovněž je důležité, aby jakákoli potenciální omezení práva na ochranu osobních údajů a soukromí vycházející z těchto opatření splňovala kritéria stanovená v článku 52 Listiny základních práv EU, a zejména aby bylo těchto omezení dosaženo prostřednictvím legislativního opatření a aby tato omezení byla nezbytná i přiměřená.

EIOÚ očekává, že návrh nemá za cíl ovlivnit uplatňování stávajících právních předpisů Unie upravujících zpracování osobních údajů, a to ani úkoly a pravomoci nezávislých dozorových úřadů příslušných k monitorování dodržování těchto nástrojů. To znamená, že všechny systémy a služby kybernetické bezpečnosti, zapojené do prevence a odhalování kybernetických hrozeb a reakce na ně, by měly být v souladu se stávajícím rámcem ochrany soukromí a údajů. V tomto ohledu považuje EIOÚ za důležité a nezbytné stanovit pro účely návrhu jasnou a jednoznačnou definici pojmu „kybernetická bezpečnost“.

EIOÚ vydává konkrétní doporučení, aby zajistil, že návrh bude správně a účinně doplňovat stávající právní předpisy Unie o ochraně osobních údajů, zejména obecné nařízení o ochraně osobních údajů a směrnici o soukromí a elektronických komunikacích, a to i případným zapojením EIOÚ nebo Evropského sboru pro ochranu osobních údajů, jakož i zavedením jasných mechanismů pro spolupráci mezi příslušnými orgány z různých regulačních oblastí.

Kromě toho by ustanovení o správě registrů internetových domén nejvyšší úrovně měla jasně definovat příslušnou právní oblast působnosti a příslušné právní podmínky. Koncept aktivního skenování sítě a informačních systémů prováděného týmy CSIRT rovněž vyžaduje další objasnění oblasti působnosti a typů zpracovávaných osobních údajů. Je třeba pamatovat na rizika případných nevyhovujících přenosů dat související s externím zajištěním služeb kybernetické bezpečnosti nebo pořízením produktů kybernetické bezpečnosti a jejich dodavatelským řetězcem.

EIOÚ vítá výzvu k podpoře využívání šifrování, zejména pak šifrování mezi koncovými body, a znovu potvrzuje svůj postoj k šifrování jakožto kritické a nenahraditelné technologii pro účinnou ochranu údajů a soukromí, jejíž obcházení by zbavilo mechanismus jakýchkoli ochranných schopností kvůli možnému nezákonnému zneužití údajů a následné ztrátě důvěry v úroveň bezpečnosti celého mechanismu. Za tímto účelem by mělo být jasně stanoveno, že by žádná část návrhu neměla být vykládána jako podpora oslabení šifrování mezi koncovými body prostřednictvím „zadních vrátek“ nebo podobných řešení.

1. ÚVOD A SOUVISLOSTI

1. Dne 16. prosince 2020 přijala Evropská komise návrh směrnice Evropského parlamentu a Rady o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o zrušení směrnice (EU) 2016/1148 ( 1 ) (dále jen „návrh“).

2. Téhož dne vydali Evropská komise a vysoký představitel Unie pro zahraniční věci a bezpečnostní politiku společné sdělení Evropskému parlamentu a Radě nazvané „Strategie kybernetické bezpečnosti EU pro digitální dekádu“ (dále jen „strategie“). ( 2 )

3. Strategie si klade za cíl posílit strategickou autonomii Unie v oblasti kybernetické bezpečnosti a zlepšit její odolnost a kolektivní reakci, jakož i vybudovat globální a otevřený internet se silnou ochranou k řešení rizik pro bezpečnost a základní práva a svobody lidí v Evropě. ( 3 )

4. Strategie obsahuje návrhy regulačních, investičních a politických iniciativ ve třech oblastech činnosti Unie: 1) odolnost, technologická suverenita a vedoucí postavení, 2) budování operační kapacity s cílem předcházet, odrazovat a reagovat a 3) prosazování globálního a otevřeného kyberprostoru.

5. Návrh představuje jednu z regulačních iniciativ strategie, zejména v oblasti odolnosti, technologické suverenity a vedoucího postavení.

6. Podle důvodové zprávy je cílem návrhu modernizovat stávající právní rámec, tj. směrnici Evropského parlamentu a Rady (EU) 2016/1148 (dále jen „směrnice NIS“) ( 4 ) . Cílem návrhu je navázat na stávající směrnici NIS a zrušit ji. Tato směrnice byla prvním celoevropským právním předpisem o kybernetické bezpečnosti a zavedla právní opatření na zvýšení celkové úrovně kybernetické bezpečnosti v Unii. Návrh zohledňuje zvýšenou digitalizaci vnitřního trhu v posledních letech a vyvíjející se prostředí kybernetických bezpečnostních hrozeb, přičemž oba tyto vývojové trendy od vypuknutí krize COVID-19 dále zesílily. Cílem návrhu je vyřešit několik zjištěných nedostatků směrnice NIS a zvýšit úroveň kybernetické odolnosti všech odvětví, veřejných i soukromých, která plní důležitou funkci pro hospodářství a společnost.

7. Hlavní prvky návrhu jsou: i) rozšíření oblasti působnosti stávající směrnice NIS přidáním nových odvětví na základě jejich úrovně kritické důležitosti pro hospodářství a společnost; ii) přísnější bezpečnostní požadavky na společnosti a subjekty, na které se návrh vztahuje, a to zavedením přístupu založeného na řízení rizik, jež poskytuje minimální seznam základních bezpečnostních prvků, které je nutné používat; iii) řešení bezpečnosti dodavatelských řetězců a dodavatelských vztahů zavedením požadavku, aby jednotlivé společnosti řešily rizika kybernetické bezpečnosti v dodavatelských řetězcích a dodavatelských vztazích; iv) posílení spolupráce mezi orgány členských států a institucemi, úřady, orgány a agenturami Unie při řešení činností souvisejících s kybernetickou bezpečností, včetně řešení kybernetických krizí.

8. Dne 14. ledna 2021 obdržel EIOÚ od Evropské komise žádost o formální projednání „návrhu směrnice Evropského parlamentu a Rady o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o zrušení směrnice (EU) 2016/1148“.

3. ZÁVĚRY

77. Vzhledem k výše uvedenému vydává EIOÚ tato doporučení:

Ke strategii kybernetické bezpečnosti

— zohlednit, že prvním krokem ke zmírnění rizik v oblasti ochrany údajů a soukromí, která jsou spojena s novými technologiemi pro zlepšení kybernetické bezpečnosti, jako je umělá inteligence (AI), je uplatnění požadavků na záměrnou a standardní ochranu údajů stanovených v článku 25 obecného nařízení o ochraně osobních údajů, jež napomůže při integraci odpovídajících prvků zabezpečení, jako jsou pseudonymizace, šifrování, přesnost údajů, minimalizace údajů, do návrhu a používání těchto technologií a systémů,

— zohlednit význam integrace ochrany soukromí a údajů do politik a standardů souvisejících s kybernetickou bezpečností, jakož i do tradičního řízení kybernetické bezpečnosti, aby byl zajištěn holistický přístup a aby byla umožněna součinnost mezi veřejnými a soukromými organizacemi při řízení kybernetické bezpečnosti a ochraně zpracovávaných informací, a to bez zbytečného znásobení úsilí,

— zvážit a naplánovat zdroje, které budou orgány, instituce a jiné subjekty EU využívat k posílení své kapacity v oblasti kybernetické bezpečnosti, a to způsobem, který plně respektuje hodnoty EU,

— zohlednit dimenzi ochrany soukromí a údajů v oblasti kybernetické bezpečnosti investováním do politik, postupů a nástrojů, kde je hledisko ochrany soukromí a údajů již integrováno do tradičního řízení kybernetické bezpečnosti a kde jsou do činností v oblasti kybernetické bezpečnosti, při kterých dochází ke zpracování osobních údajů, integrovány účinné záruky ochrany údajů.

K oblasti působnosti strategie a návrhu pro instituce, úřady, orgány a agentury Unie

— zohlednit potřeby a úlohy orgánů, institucí a jiných subjektů EU, aby byly začleněny do tohoto celkového celoevropského rámce kybernetické bezpečnosti jako subjekty požívající stejně vysoké úrovně ochrany jako subjekty v členských státech,

— výslovně zahrnout do oblasti působnosti návrhu instituce, úřady, orgány a agentury Unie.

Ke vztahu ke stávajícím právním předpisům Unie o ochraně osobních údajů

— vyjasnit v článku 2 návrhu, že právní předpisy Unie na ochranu osobních údajů, zejména obecné nařízení o ochraně osobních údajů a směrnice o soukromí a elektronických komunikacích, se vztahují na jakékoli zpracování osobních údajů spadající do oblasti působnosti návrhu (a nikoli pouze v konkrétních kontextech),

— v příslušném bodu odůvodnění rovněž vyjasnit, že návrh nemá za cíl ovlivnit uplatňování stávajících právních předpisů Unie upravujících zpracování osobních údajů, a to ani úkoly a pravomoci nezávislých dozorových úřadů příslušných k monitorování dodržování těchto nástrojů.

K definici kybernetické bezpečnosti

— vyjasnit rozdílné používání pojmů „kybernetická bezpečnost“ a „bezpečnost sítí a informačních systémů“; obecně používat pojem „kybernetická bezpečnost“ a pojem „bezpečnost sítí a informačních systémů“ pouze tehdy, pokud to kontext umožňuje (např. v čistě technickém kontextu, bez ohledu na dopady rovněž na uživatele systémů a jiné osoby).

K názvům domén a registračním údajům („údaje WHOIS“)

— jasně vymezit, co tvoří „podstatné informace“ umožňující identifikaci a kontaktování držitelů doménových jmen a kontaktních míst spravujících doménová jména v registrech internetových domén nejvyšší úrovně,

— podrobněji objasnit, které kategorie údajů o registraci datové domény (jež nepředstavují osobní údaje) by měly být předmětem zveřejnění,

— dále objasnit, které (veřejné nebo soukromé) subjekty mohou představovat „oprávněné žadatele o přístup“,

— vyjasnit, zda by osobní údaje uchovávané registry internetových domén nejvyšší úrovně a subjekty poskytujícími služby registrace doménových jmen pro internetové domény nejvyšší úrovně měly být přístupné také subjektům mimo EHP, a pokud by tomu tak bylo, jasně stanovit podmínky, omezení a postupy pro takový přístup, a to případně i s přihlédnutím k požadavkům čl. 49 odst. 2 obecného nařízení o ochraně osobních údajů,

— zavést další objasnění toho, co představuje „oprávněnou a řádně odůvodněnou“ žádost, na jejímž základě bude poskytnut přístup a za jakých podmínek.

K „aktivnímu skenování sítě a informačních systémů“ prováděnému týmy CSIRT

— jasně vymezit typy aktivního skenování, o jejichž provedení mohou být týmy CSIRT požádány, a určit hlavní kategorie osobních údajů obsažené v textu návrhu.

K externímu zajištění služeb nebo činností a dodavatelskému řetězci

— při hodnocení dodavatelských řetězců pro technologie a systémy zpracovávající osobní údaje zohlednit prvky umožňující účinné uplatnění zásady záměrné a standardní ochrany údajů,

— při hodnocení rizik dodavatelského řetězce služeb, systémů nebo produktů IKT zohlednit konkrétní požadavky v zemi původu, které by mohly představovat překážku pro dodržování právních předpisů Unie o ochraně soukromí a osobních údajů,

— zahrnout do právního textu povinné projednání s Evropským sborem pro ochranu osobních údajů při definování výše uvedených prvků a v případě potřeby také při koordinovaném odvětvovém posouzení rizik zmíněném v bodě odůvodnění 46,

— doporučit uvedení zmínky v odůvodnění, že produkty kybernetické bezpečnosti s otevřeným zdrojovým kódem (software a hardware), včetně šifrování s otevřeným zdrojovým kódem, by mohly poskytnout nezbytnou transparentnost potřebnou ke zmírnění konkrétních rizik dodavatelského řetězce.

K šifrování

— jasně stanovit v bodě odůvodnění 54, že by žádná část návrhu neměla být vykládána jako podpora oslabení šifrování mezi koncovým body prostřednictvím „zadních vrátek“ nebo podobných řešení.

K opatřením k řízení rizik v oblasti kybernetické bezpečnosti

— zahrnout do odůvodnění i do hlavní části návrhu koncepci, která by objasňovala, že integrace hlediska ochrany soukromí a údajů do tradičního řízení rizik kybernetické bezpečnosti zajistí holistický přístup a umožní součinnost mezi veřejnými a soukromými organizacemi při řízení kybernetické bezpečnosti a ochraně zpracovávaných informací, a to bez zbytečného znásobení úsilí,

— přidat do právního textu povinnost agentury ENISA projednat přípravu příslušných doporučení s Evropským sborem pro ochranu osobních údajů.

K porušení zabezpečení osobních údajů

— změnit v čl. 32 odst. 1 text „v přiměřené lhůtě“ na „bez zbytečného odkladu“.

Ke skupině pro spolupráci

— zahrnout do právního textu účast Evropského sboru pro ochranu osobních údajů ve skupině pro spolupráci s přihlédnutím k vazbě mezi úkoly této skupiny a rámcem pro ochranu údajů.

K pravomoci a územní působnosti

— objasnit v právním textu, že návrh neovlivňuje pravomoci dozorových úřadů pro ochranu údajů podle obecného nařízení o ochraně osobních údajů,

— poskytnout komplexní právní základ pro spolupráci a výměnu informací mezi příslušnými orgány a orgány dohledu, kdy každý jedná v rámci svých příslušných oblastí působnosti,

— objasnit, že příslušné orgány podle návrhu by měly mít možnost poskytnout příslušným dozorovým úřadům podle nařízení (EU) 2016/679, na požádání nebo z vlastního podnětu, jakékoli informace získané v souvislosti s audity a šetřeními, které se týkají zpracování osobních údajů, a zařadit za tímto účelem do návrhu výslovný právní základ.

V Bruselu dne 11. března 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Návrh směrnice Evropského parlamentu a Rady o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o zrušení směrnice (EU) 2016/1148, COM/2020/823 final.

(2) Strategie kybernetické bezpečnosti EU pro digitální dekádu, JOIN/2020/18 final.

(3) Viz kapitola I. ÚVOD, strana 4 strategie.

(4) Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (Úř. věst. L 194, 19.7.2016, s. 1).