Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til forordning om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU’s institutioner, organer, kontorer og agenturer

[Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu]

(2022/C 258/07)

Den 22. marts 2022 vedtog Europa-Kommissionen et forslag til forordning om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer (»forslaget«).

EDPS glæder sig over formålet med forslaget om at forbedre holdningen til cybersikkerhed i EU’s institutioner, organer, kontorer og agenturer og glæder sig ligeledes over den nye rolle, som den tidligere »IT-Beredskabsenhed«, der nu kaldes »Cybersikkerhedscentret« (CERT-EU), spiller under hensyntagen til den forstærkede digitalisering, trusselsbilledet for cybersikkerheden, der hastigt udvikler sig, og det nylige digitaliseringsskift, der også skyldes covid-19-pandemien.

EDPS beklager, at forslaget ikke stemmer overens med NIS-direktivet og NIS 2.0-forslaget, således at der opnås konsekvente og ensartede regler for medlemsstaterne og EU’s institutioner, organer, kontorer og agenturer, der bidrager til EU’s samlede cybersikkerhedsniveau. EDPS anbefaler, at det i forslaget tilføjes, at dets minimumssikkerhedskrav mindst bør svare til eller være højere end minimumssikkerhedskravene for enhederne i NIS og NIS 2.0-forslaget.

For at efterkomme forslaget skal EU’s institutioner, organer, kontorer og agenturer samt CERT-EU iværksætte visse cybersikkerhedsprocesser og -foranstaltninger, som nødvendigvis indebærer yderligere behandling af personoplysninger. For at opnå retssikkerhed og forudsigelighed og sikre overholdelse af EUDPR råder EDPS kraftigt til, at forslaget eller i det mindste en delegeret retsakt, der efterfølgende vedtages af Kommissionen, klart udgør et retsgrundlag for CERT-EU’s og EU’s institutioners, organers, kontorers og agenturers behandling af personoplysninger, herunder navnlig formålene med behandlingen og kategorierne af personoplysninger.

EDPS understreger vigtigheden af at indarbejde perspektivet om privatlivets fred og databeskyttelse i forvaltningen af cybersikkerhed med henblik på at opnå positive synergier mellem forslaget og lovgivningen om privatlivets fred og databeskyttelse og fremsætter specifikke anbefalinger til, hvordan sådanne synergier kan opnås, herunder en specifik forpligtelse for EU-embedsmænd med ansvar for cybersikkerhed til at arbejde tæt sammen med den databeskyttelsesrådgiver, der er udpeget i overensstemmelse med EUDPR.

EDPS råder kraftigt til, at forslaget indeholder bestemmelser om et tæt samarbejde mellem CERT-EU og EDPS i aktiviteter som f.eks. i forbindelse med håndtering af hændelser, der fører til brud på persondatasikkerheden, i forbindelse med håndtering af væsentlige sårbarheder, væsentlige hændelser eller større angreb, der potentielt kan føre til brud på persondatasikkerheden, samt når CERT-EU konstaterer tegn på, at en overtrædelse af forslaget medfører et brud på persondatasikkerheden.

EDPS anbefaler ligeledes kraftigt, at forslaget giver EDPS mulighed for at deltage i »Det Interinstitutionelle Råd for Cybersikkerhed« (IICB).

1. INDLEDNING OG BAGGRUND

1. Den 22. marts 2022 vedtog Europa-Kommissionen et forslag til forordning om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU’s institutioner, organer, kontorer og agenturer (1) (»forslaget«).

2. Samme dag vedtog Europa-Kommissionen forslaget til Europa-Parlamentets og Rådets forordning om informationssikkerhed i EU’s institutioner, organer, kontorer og agenturer (2) (»forslaget om informationssikkerhed«).

3. Begge forslag indgik i EU’s strategi for cybersikkerhed for det digitale årti, der blev fremlagt den 16. december 2020 (3) (»strategien«). Det overordnede formål med strategien er at styrke Unionens strategiske autonomi inden for cybersikkerhed og at forbedre dens modstandsdygtighed og kollektive reaktion samt at opbygge et globalt og åbent internet med stærke værn for at imødegå risici for sikkerheden og de grundlæggende rettigheder og frihedsrettigheder for befolkningerne i Europa (4).

4. Forslaget er et af reguleringstiltagene i strategien, mere specifikt på området cybersikkerhed i EU’s institutioner, organer, kontorer og agenturer. Ifølge begrundelsen har forslaget to formål: — at imødegå det stadig mere fjendtlige cybertrusselsbillede og det stigende antal mere avancerede cyberangreb mod EU's institutioner, organer og agenturer, der øger behovet for større investeringer for at nå et højt modenhedsniveau for så vidt angår cybersikkerhed, og — at styrke EU's IT-Beredskabsenhed (CERT-EU) med en forbedret finansieringsmekanisme, der er nødvendig for at øge dens evne til at hjælpe EU's institutioner, organer og agenturer med at anvende de nye regler for cybersikkerhed og forbedre deres cyberrobusthed.

5. EDPS bemærker, at det foreliggende forslags genstand er forbundet med forslaget til Europa-Parlamentets og Rådets direktiv om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148 (»NIS 2.0-forslag«). EDPS minder om, at han afgav udtalelse 5/2021 om cybersikkerhedsstrategien (5) og NIS 2.0-direktivet (»NIS 2.0-udtalelse«) (6). I denne udtalelse henvises der derfor til NIS 2.0-udtalelsen.

6. I overensstemmelse med strategien er formålet med forslaget at forbedre alle EU’s institutioners, organers og agenturers modstandsdygtighed sammen med deres beredskabskapacitet. Det er også i overensstemmelse med Kommissionens prioriteter om at gøre Europa klar til den digitale tidsalder og opbygge en fremtidsorienteret økonomi, der tjener alle. Desuden understreges det, at den offentlige forvaltnings sikkerhed og modstandsdygtighed er en hjørnesten i den digitale omstilling af samfundet som helhed.

7. Det fremgår af begrundelsen, at forslaget: — skitserer foranstaltninger med henblik på at sikre et højt fælles cybersikkerhedsniveau for EU's institutioner, organer og agenturer — etablerer et »Interinstitutionelt Råd for Cybersikkerhed«, som skal være ansvarligt for overvågningen af gennemførelsen af den foreslåede forordning — fastlægger den nye rolle, som IT-Beredskabsenheden for EU's institutioner, agenturer og organer (»CERT-EU«) (7) skal spille som »EU-institutionernes, -organernes og -agenturernes cybersikkerhedscenter« i overensstemmelse med udviklingen i medlemsstaterne og globalt.

8. Den 22. marts 2022 anmodede Europa-Kommissionen EDPS om at afgive udtalelse om forslaget i henhold til artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (»EUDPR«) (8). Kommentarerne og henstillingerne i denne udtalelse er begrænset til de bestemmelser i forslaget, der er mest relevante set i relation til databeskyttelse og privatlivets fred.

4. KONKLUSIONER

48. På baggrund af ovenstående fremsætter EDPS følgende henstillinger: — EDPS anbefaler, at det i en betragtning tilføjes, at forslaget bygger på NIS 2.0-forslaget, og at forbindelsen mellem forslaget og NIS-direktivet samt NIS 2.0-forslaget forklares yderligere i betragtning 4 og 5. Derudover anbefaler EDPS, at følgende ordlyd indsættes i hovedteksten: »Minimumssikkerhedskravene bør mindst svare til eller være højere end minimumssikkerhedskravene for enhederne i NIS og NIS 2.0-forslaget«; — EDPS råder kraftigt til, at forslaget klart udgør et retsgrundlag for CERT-EU's og EU's institutioners, organers, kontorers og agenturers behandling af personoplysninger, herunder navnlig formålene med behandlingen og kategorierne af personoplysninger. Desuden bør følgende elementer udtrykkeligt fastsættes: (a) identifikation af den eller de dataansvarlige, databehandlerne eller de fælles dataansvarlige, alt efter hvad der er relevant, (b) kategorier af registrerede, (c) opbevaringsperioder eller i det mindste kriterier for fastsættelse af sådanne perioder. EDPS mener, at disse elementer bør fastsættes udtrykkeligt i forslaget eller i det mindste i en delegeret retsakt, der efterfølgende vedtages af Kommissionen. Forslaget bør indeholde bestemmelser om en sådan delegering; — EDPS anbefaler kraftigt, at »kryptering i hvile«, »kryptering i transit« samt »end-to-end-kryptering« medtages på listen over minimumsforanstaltninger for cybersikkerhed i bilag II til forslaget; — EDPS råder kraftigt til, at forslaget indeholder en specifik forpligtelse for den lokale cybersikkerhedsansvarlige, der er defineret i artikel 4, stk. 5, til at samarbejde med den databeskyttelsesrådgiver, der er udpeget i overensstemmelse med artikel 43 i EUDPR, i forbindelse med overlappende aktiviteter såsom anvendelse af databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i forbindelse med cybersikkerhedsforanstaltninger, udvælgelse af cybersikkerhedsforanstaltninger, der omfatter personoplysninger, integreret risikostyring og integreret håndtering af sikkerhedshændelser; — EDPS råder kraftigt til, at der i forslagets artikel 12 »CERT-EU's mission og opgaver« tilføjes en bestemmelse om, at »CERT-EU arbejder tæt sammen med EDPS i forbindelse med håndtering af hændelser, der fører til brud på persondatasikkerheden eller brud på fortroligheden af elektronisk kommunikation«; — EDPS anbefaler, at der tilføjes en forpligtelse for CERT-EU til at underrette EDPS i forbindelse med håndtering af væsentlige sårbarheder, væsentlige hændelser eller større angreb, der potentielt kan føre til brud på persondatasikkerheden og/eller brud på fortroligheden af elektronisk kommunikation; — EDPS anbefaler, at det i artikel 12 fastsættes, at EDPS inddrages i CERT-EU's bevidstgørelsesaktiviteter vedrørende cybersikkerhed i EU's institutioner, organer, kontorer og agenturer med henblik på at dække samspillet mellem brud på persondatasikkerheden og cybersikkerhedshændelser; — EDPS anbefaler, at der i forslagets artikel 12 »CERT-EU's mission og -opgaver« tilføjes en bestemmelse, hvori det præciseres, at CERT-EU uden unødig forsinkelse skal underrette EDPS, når CERT-EU konstaterer tegn på, at EU's institutioners, organers, kontorers og agenturers overtrædelse af de forpligtelser, der er fastsat i forslaget, medfører et brud på persondatasikkerheden; — EDPS råder kraftigt til, at Den Europæiske Tilsynsførende for Databeskyttelse tilføjes i artikel 9, stk. 3, som fast deltager i IICB med én repræsentant.

Bruxelles, den 17. maj 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 122 final.

(2) COM(2022) 119 final.

(3) EU’s strategi for cybersikkerhed for det digitale årti | Europas digitale fremtid i støbeskeen (europa.eu), inklusive en fælles meddelelse med Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik (JOIN(2020) 18).

(4) Se kapitel I. INDLEDNING, s. 4 i strategien.

(5) Fælles meddelelse fra Europa-Kommissionen og Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik til Europa-Parlamentet og Rådet med titlen »EU's strategi for cybersikkerhed for det digitale årti«.

(6) EDPS’ udtalelse 5/2021 om cybersikkerhedsstrategien og NIS 2.0-direktivet.

(7) CERT-EU's nuværende rolle har sit grundlag i den interinstitutionelle aftale 2018/C 12/01.

(8) Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).