48.

Vor diesem Hintergrund spricht der EDSB folgende Hauptempfehlungen aus: — Der EDSB empfiehlt, in einen Erwägungsgrund aufzunehmen, dass der Vorschlag auf dem NIS-2-Vorschlag aufbaut, und in den Erwägungsgründen 4 und 5 den Zusammenhang zwischen dem Vorschlag und der NIS-Richtlinie sowie dem NIS-2-Vorschlag näher zu erläutern. Darüber hinaus empfiehlt der EDSB, folgenden Wortlaut in den verfügenden Teil aufzunehmen: „Die Mindestsicherheitsanforderungen sollten mindestens den Mindestsicherheitsanforderungen der Einrichtungen der NIS-Richtlinie und des NIS-2-Vorschlags entsprechen oder darüber liegen“; — Der EDSB empfiehlt nachdrücklich, im Vorschlag eine eindeutige Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch das CERT-EU und die Organe, Einrichtungen und sonstigen Stellen der Union zu schaffen und unter anderem insbesondere die Zwecke der Verarbeitung und die Kategorien personenbezogener Daten zu regeln. Darüber hinaus sollten die folgenden Elemente ausdrücklich festgelegt werden: a) Angabe des/der Verantwortlichen, des Auftragsverarbeiters oder gegebenenfalls der gemeinsam Verantwortlichen; b) Kategorien betroffener Personen; c) Aufbewahrungsfristen oder zumindest Kriterien für die Festlegung solcher Zeiträume. Nach Auffassung des EDSB sollten diese Elemente ausdrücklich in dem Vorschlag oder zumindest in einem delegierten Rechtsakt enthalten sein, der später von der Kommission erlassen wird. Der Vorschlag sollte einen solchen delegierten Rechtsakt vorsehen; — Der EDSB empfiehlt nachdrücklich, „Verschlüsselung im Ruhezustand“, „Verschlüsselung während der Übertragung“ sowie „End-to-End-Verschlüsselung“ in die Liste der Mindestmaßnahmen im Bereich der Cybersicherheit in Anhang II des Vorschlags aufzunehmen; — Der EDSB empfiehlt nachdrücklich, dass der Vorschlag eine spezifische Verpflichtung für den lokalen Cybersicherheitsbeauftragten im Sinne von Artikel 4 Absatz 5 vorsieht, mit dem gemäß Artikel 43 EU-DSVO benannten Datenschutzbeauftragten zusammenzuarbeiten, wenn es um sich überschneidende Tätigkeiten wie die Anwendung des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen auf Cybersicherheitsmaßnahmen, die Auswahl von Cybersicherheitsmaßnahmen, bei denen personenbezogene Daten betroffen sind, ein integriertes Risikomanagement und die integrierte Behandlung von Sicherheitsvorfällen geht; — Der EDSB empfiehlt nachdrücklich, in Artikel 12 „Auftrag und Aufgaben des CERT-EU“ des Vorschlags eine Bestimmung aufzunehmen, wonach „das CERT-EU bei der Bewältigung von Sicherheitsvorfällen, die zu Verletzungen des Schutzes personenbezogener Daten oder zu einer Verletzung der Vertraulichkeit der elektronischen Kommunikation führen, eng mit dem EDSB zusammenarbeitet“; — Der EDSB empfiehlt, eine Verpflichtung für das CERT-EU aufzunehmen, den EDSB zu informieren, wenn es um die Behebung erheblicher Schwachstellen, erheblicher Sicherheitsvorfälle oder schwerer Angriffe geht, die zu Verletzungen des Schutzes personenbezogener Daten und/oder zu einer Verletzung der Vertraulichkeit der elektronischen Kommunikation führen können; — Der EDSB empfiehlt, in Artikel 12 vorzusehen, dass der EDSB an den Maßnahmen des CERT-EU zur Sensibilisierung der Organe, Einrichtungen und sonstigen Stellen der Union im Bereich Cybersicherheit beteiligt wird, um das Zusammenspiel zwischen Verletzungen des Schutzes personenbezogener Daten und Cybersicherheitsvorfällen abzudecken; — Der EDSB empfiehlt, in Artikel 12 „Auftrag und Aufgaben des CERT-EU“ des Vorschlags eine Bestimmung aufzunehmen, wonach das CERT-EU den EDSB unverzüglich zu unterrichten hat, wenn ihm Hinweise darauf vorliegen, dass ein Verstoß der Organe, Einrichtungen und sonstigen Stellen der Union gegen die in dem Vorschlag festgelegten Pflichten eine Verletzung des Schutzes personenbezogener Daten nach sich zieht; — Der EDSB empfiehlt nachdrücklich, dass der Europäische Datenschutzbeauftragte in Artikel 9 Absatz 3 als ständiger Teilnehmer am IICB mit einem Vertreter aufgenommen wird.