48.

Vzhledem k výše uvedenému vydává evropský inspektor ochrany údajů tato hlavní doporučení: — Evropský inspektor ochrany údajů doporučuje doplnit do jednoho bodu odůvodnění, že návrh vychází z návrhu NIS 2.0, a dále ve 4. a 5. bodě odůvodnění vysvětlit vazbu mezi návrhem a směrnicí o bezpečnosti sítí a informací a s návrhem NIS 2.0. Dále evropský inspektor ochrany údajů doporučuje, aby byla do hlavního textu zařazena následující formulace: „Minimální bezpečnostní požadavky by měly být přinejmenším stejné jako minimální bezpečnostní požadavky subjektů NIS a návrhu NIS 2.0 nebo přísnější“; — Evropský inspektor ochrany údajů doporučuje, aby návrh jasně stanovil právní základ pro zpracování osobních údajů ze strany CERT-EU a EUI, zejména účely zpracování a kategorie osobních údajů. Kromě toho by měly být výslovně stanoveny následující položky: a) identifikace správce (správců) a případně zpracovatelů nebo společných správců; b) kategorie subjektů údajů; c) doby uchovávání nebo alespoň kritéria pro stanovení těchto dob. Evropský inspektor ochrany údajů se domnívá, že tyto položky by měly být výslovně stanoveny v návrhu nebo alespoň v aktu v přenesené pravomoci, který má Komise později přijmout. Toto zmocnění by mělo být v návrhu stanoveno; — Evropský inspektor ochrany údajů důrazně doporučuje zařadit do seznamu minimálních opatření kybernetické bezpečnosti v příloze II návrhu „šifrování při uchovávání“, „šifrování při přenosu“ a „šifrování mezi koncovými body“; — Evropský inspektor ochrany údajů důrazně doporučuje, aby návrh ukládal místnímu pracovníkovi kybernetické bezpečnosti podle definice v čl. 4 odst. 5 povinnost spolupracovat s pověřencem pro ochranu osobních údajů určeným v souladu s článkem 43 nařízení EU o ochraně osobních údajů při zvládání překrývajících se činností, jako jsou aplikace záměrné a standardní ochrany osobních údajů na opatření kybernetické bezpečnosti, volba opatření kybernetické bezpečnosti, při kterých dochází k nakládání s osobními údaji, integrované řízení rizik a integrované řešení bezpečnostních incidentů; — Evropský inspektor ochrany údajů důrazně doporučuje doplnit do článku 12 návrhu „Poslání a úkoly CERT-EU“ ustanovení, podle kterého „CERT-EU úzce spolupracuje s evropským inspektorem ochrany údajů při řešení incidentů majících za následek porušení zabezpečení osobních údajů nebo důvěrnosti elektronických komunikací“; — Evropský inspektor ochrany údajů doporučuje doplnit povinnost CERT-EU informovat evropského inspektora ochrany údajů při řešení významných slabin, významných incidentů nebo závažných útoků, které mohou vést k porušení zabezpečení osobních údajů a/nebo k porušení důvěrnosti elektronických komunikací; — Evropský inspektor ochrany údajů doporučuje v článku 12 stanovit, že evropský inspektor ochrany údajů se bude účastnit činností CERT-EU zaměřených na zvyšování povědomí o kybernetické bezpečnosti EUI, aby bylo možné řešit vazbu mezi porušením zabezpečení osobních údajů a kybernetickými bezpečnostními incidenty; — Evropský inspektor ochrany údajů doporučuje doplnit do článku 12 návrhu, „Poslání a úkoly CERT-EU“, ustanovení, podle kterého CERT-EU neprodleně informuje evropského inspektora ochrany údajů, pokud bude mít informace naznačující, že porušení povinností stanovených v návrhu ze strany EUI představuje porušení zabezpečení osobních údajů; — Evropský inspektor ochrany údajů důrazně doporučuje, aby byl do ustanovení čl. 9 odst. 3 doplněn evropský inspektor ochrany údajů jako stálý účastník interinstitucionálního výboru pro kybernetickou bezpečnost s jedním zástupcem.