Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnung (EU) 2019/1020

(2022/C 452/07)

(Der vollständige Text dieser Stellungnahme ist in englischer, französischer und deutscher Sprache auf der Internetpräsenz des EDSB unter https://edps.europa.eu erhältlich.)

Am 15. September 2022 legte die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnung (EU) 2019/1020 (1) (im Folgenden „Vorschlag“) vor.

Der EDSB begrüßt den Vorschlag und unterstützt uneingeschränkt dessen allgemeines Ziel, das Funktionieren des Binnenmarkts zu verbessern und dazu einen einheitlichen Rechtsrahmen für grundlegende Cybersicherheitsanforderungen für das Inverkehrbringen von Produkten mit digitalen Elementen auf dem Unionsmarkt festzulegen.

Der EDSB weist erneut darauf hin, dass in Artikel 5 Absatz 1 Buchstabe f der DSGVO die Sicherheit als einer der wichtigsten Grundsätze für die Verarbeitung personenbezogener Daten verankert ist. In Artikel 32 der DSGVO wird diese Verpflichtung, die sowohl für Verantwortliche als auch für Auftragsverarbeiter gilt, weiter ausgeführt, um ein angemessenes Maß an Sicherheit zu gewährleisten. Daher begrüßt der EDSB, dass die Grundsätze der Sicherheit und Datenminimierung bereits in den in Anhang I des Vorschlags aufgeführten grundlegenden Cybersicherheitsanforderungen enthalten sind. Darüber hinaus empfiehlt der EDSB nachdrücklich, den Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen in die grundlegenden Cybersicherheitsanforderungen für Produkte mit digitalen Elementen aufzunehmen.

Erwägungsgrund 17 enthält sehr wichtige Governance-Bestimmungen, die im operativen Teil des Vorschlags nicht berücksichtigt werden. Daher empfiehlt der EDSB, im operativen Teil des Vorschlags alle Aspekte im Zusammenhang mit der Schaffung von Synergien sowohl bei der Normung als auch bei der Zertifizierung im Bereich der Cybersicherheit sowie Synergien zwischen diesem Vorschlag und dem Datenschutzrecht der Union im Bereich der Marktüberwachung und der Rechtsdurchsetzung zu spezifizieren. Ferner erachtet es der EDSB für erforderlich, klarzustellen, dass mit dem Vorschlag nicht versucht wird, die Anwendung der bestehenden EU-Rechtsvorschriften für die Verarbeitung personenbezogener Daten zu beeinträchtigen, einschließlich der Aufgaben und Befugnisse der unabhängigen Aufsichtsbehörden, denen die Überwachung der Einhaltung dieser Instrumente obliegt.

Der EDSB begrüßt, dass in dieser Bestimmung anerkannt wird, dass die Verarbeitung personenbezogener Daten eine kritische und sensible Funktion ist und als solche für entsprechende kritische Produkte mit digitalen Elementen ein europäisches Cybersicherheitszertifikat im Rahmen eines europäischen Systems für die Cybersicherheitszertifizierung notwendig machen könnte. Gleichzeitig empfiehlt der EDSB, in einem Erwägungsgrund des Vorschlags klarzustellen, dass die Erlangung einer europäischen Cybersicherheitszertifizierung im Rahmen des Vorschlags keine Garantie für die Einhaltung der DSGVO darstellt.

Schließlich begrüßt der EDSB die vorgeschlagenen Sanktionen, die denen der DSGVO für einen Verstoß gegen Artikel 32 der DSGVO über die Sicherheit der Verarbeitung ähneln und in Form einer Geldbuße von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes verhängt werden sollen. Somit könnte der Vorschlag in Verbindung mit den Bestimmungen der DSGVO eine weitere Form des Schutzes für natürliche Personen bieten, die ihren Wohnsitz in EU-Mitgliedstaaten haben.

1. EINLEITUNG

1. Am 15. September 2022 legte die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnung (EU) 2019/1020 vor.

2. Das Ziel des Vorschlags besteht darin, das Funktionieren des Binnenmarkts zu verbessern und dazu einen einheitlichen Rechtsrahmen für grundlegende Cybersicherheitsanforderungen für das Inverkehrbringen von Produkten mit digitalen Elementen auf dem Unionsmarkt festzulegen ( 2 ) . Der Vorschlag soll insbesondere die Rahmenbedingungen für die Entwicklung sicherer Produkte mit digitalen Elementen schaffen, damit Hardware- und Softwareprodukte mit weniger Schwachstellen in Verkehr gebracht werden und damit die Hersteller sich während des gesamten Lebenszyklus eines Produkts ernsthaft um die Sicherheit kümmern. Außerdem sollen Bedingungen geschaffen werden, die es den Nutzern ermöglichen, bei der Auswahl und Verwendung von Produkten mit digitalen Elementen die Cybersicherheit zu berücksichtigen ( 3 )

3. Zu diesem Zweck wird mit dem Vorschlag Folgendes festgelegt ( 4 ) — Vorschriften für das Inverkehrbringen von Produkten mit digitalen Elementen, um die Cybersicherheit solcher Produkte zu gewährleisten; — grundlegende Anforderungen an die Konzeption, Entwicklung und Herstellung von Produkten mit digitalen Elementen sowie Pflichten der Wirtschaftsakteure in Bezug auf diese Produkte hinsichtlich der Cybersicherheit; — grundlegende Anforderungen an die von den Herstellern festgelegten Verfahren zur Behandlung von Schwachstellen, um die Cybersicherheit von Produkten mit digitalen Elementen während ihres gesamten Lebenszyklus zu gewährleisten, sowie Pflichten der Wirtschaftsakteure in Bezug auf diese Verfahren; — Vorschriften für die Marktüberwachung und die Durchsetzung der oben genannten Vorschriften und Anforderungen.

4. Der Rechtsrahmen der EU umfasst mehrere horizontale Rechtsvorschriften, die bestimmte Aspekte im Zusammenhang mit der Cybersicherheit aus unterschiedlichen Blickwinkeln (Produkte, Dienste, Krisenmanagement und Straftaten) abdecken. Im Jahr 2013 trat die Richtlinie über Angriffe auf Informationssysteme ( 5 ) in Kraft, mit der die Strafbarkeit und die Strafen für eine Reihe von Straftaten gegen Informationssysteme harmonisiert wurden. Im August 2016 trat die Richtlinie (EU) 2016/1148 ( 6 ) über die Sicherheit von Netz- und Informationssystemen (NIS-Richtlinie) als erster EU-weiter Rechtsakt zur Cybersicherheit in Kraft. Durch ihre Überarbeitung, die zur NIS-2-Richtlinie führte, wurde die gemeinsame Zielvorgabe der EU in Bezug auf die Cybersicherheit von IKT-Diensten heraufgesetzt. 2019 trat der EU-Rechtsakt zur Cybersicherheit ( 7 ) in Kraft, mit dem die Sicherheit von IKT-Produkten, -Diensten und -Prozessen durch die Einführung eines freiwilligen europäischen Rahmens für die Cybersicherheitszertifizierung erhöht werden sollte.

5. Mit der vorliegenden Stellungnahme des EDSB wird das Konsultationsersuchen der Europäischen Kommission vom 15. September 2022 gemäß Artikel 42 Absatz 1 der EU-DSVO beantwortet. Der EDSB begrüßt, dass in Erwägungsgrund 71 des Vorschlags auf diese Konsultation verwiesen wird. In diesem Zusammenhang stellt der EDSB auch erfreut fest, dass er bereits vorab informell gemäß Erwägungsgrund 60 EU-DSVO konsultiert wurde.

3. SCHLUSSFOGERUNGEN

31. Vor diesem Hintergrund spricht der EDSB folgende Empfehlungen aus: (1) den Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen in die grundlegenden Cybersicherheitsanforderungen für Produkte mit digitalen Elementen aufzunehmen; (2) in der Präambel die Bedeutung von Produkten mit digitalen Elementen zu erläutern, die kryptografische Operationen durchführen. Dazu gehören die Verschlüsselung gespeicherter oder gerade verwendeter oder übermittelter Daten sowie die Pseudonymisierung, wie es im Interesse einer wirksamen Informationssicherheit und Cybersicherheit sowie eines wirksamen Datenschutzes und Schutzes der Privatsphäre erforderlich ist; (3) in Anhang II materielle und immaterielle Produkte mit digitalen Elementen, die kryptografische Operationen ausführen, aufzunehmen; (4) die Verordnung (EU) 2017/745 (8) aus der Liste der Rechtsvorschriften zu streichen, die von der Anwendung des Vorschlags ausgenommen sind; (5) in dem Vorschlag ausdrücklich klarzustellen, auf welche Elemente der grundlegenden Anforderungen zu personenbezogenen Daten und zum Schutz sich Artikel 3 Absatz 3 Buchstabe e der Richtlinie 2014/53/EU (9) erstreckt; (6) im operativen Teil des Vorschlags die praktischen Aspekte im Zusammenhang mit der Schaffung von Synergien sowohl bei der Normung als auch bei der Zertifizierung im Bereich der Cybersicherheit sowie Synergien zwischen diesem Vorschlag und dem Datenschutzrecht der Union im Bereich der Marktüberwachung und der Rechtsdurchsetzung zu spezifizieren; (7) klarzustellen, dass mit dem Vorschlag nicht versucht wird, die Anwendung der bestehenden EU-Rechtsvorschriften für die Verarbeitung personenbezogener Daten zu beeinträchtigen, einschließlich der Aufgaben und Befugnisse der unabhängigen Aufsichtsbehörden, denen die Überwachung der Einhaltung dieser Instrumente obliegt; (8) einschlägige Begriffsbestimmungen für „freie Software“, „Open-Source-Software“ und „freie und quelloffene Software“ zu ergänzen; (9) in einem Erwägungsgrund des Vorschlags klarzustellen, dass die Erlangung einer europäischen Cybersicherheitszertifizierung im Rahmen des Vorschlags keine Garantie für die Einhaltung der DSGVO darstellt.

Brüssel, den 9. November 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM/2022/454 final.

(2) Erwägungsgrund 1 des Vorschlags.

(3) Erwägungsgrund 2 des Vorschlags.

(4) Artikel 1 des Vorschlags.

(5) Richtlinie 2013/40/EU des Europäischen Parlaments und des Rates vom 12. August 2013 über Angriffe auf Informationssysteme und zur Ersetzung des Rahmenbeschlusses 2005/222/JI des Rates (ABl. L 218 vom 14.8.2013, S. 8).

(6) Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (ABl. L 194 vom 19.7.2016, S. 1).

(7) Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik und zur Aufhebung der Verordnung (EU) Nr. 526/2013 (Rechtsakt zur Cybersicherheit) (ABl. L 151 vom 7.6.2019, S. 15).

(8) Verordnung (EU) 2017/745 des Europäischen Parlaments und des Rates vom 5. April 2017 über Medizinprodukte, zur Änderung der Richtlinie 2001/83/EG, der Verordnung (EG) Nr. 178/2002 und der Verordnung (EG) Nr. 1223/2009 und zur Aufhebung der Richtlinien 90/385/EWG und 93/42/EWG des Rates (ABl. L 117 vom 5.5.2017, S. 1).

(9) Richtlinie 2014/53/EU des Europäischen Parlaments und des Rates vom 16. April 2014 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten über die Bereitstellung von Funkanlagen auf dem Markt und zur Aufhebung der Richtlinie 1999/5/EG (ABl. L 153, 22.5.2014, S. 62).