BEKANNTMACHUNG DER KOMMISSION

Leitlinien für jährliche Prüfberichte, die gemäß Artikel 15 Absatz 8 der Richtlinie 2014/40/EU im Rahmen des EU-Rückverfolgbarkeitssystems für Tabakerzeugnisse vorzulegen sind

(Text von Bedeutung für den EWR)

(2020/C 167/01)

HAFTUNGSAUSSCHLUSS: Ziel dieses Dokuments ist es, zugelassenen Prüfern Leitlinien zum Prüfumfang und zum Verfahren für die Vorlage des jährlichen Prüfberichts an die Hand zu geben. Es ist nicht rechtsverbindlich, enthält jedoch allgemeine Leitlinien mit Empfehlungen und Überlegungen zu bewährten Verfahren. Diese Leitlinien lassen nationale Vorschriften unberührt.

1. Einleitung

Artikel 15 der Richtlinie 2014/40/EU des Europäischen Parlaments und des Rates (1) sieht die Einrichtung eines EU-weiten Rückverfolgbarkeitssystems für Tabakerzeugnisse vor, um gegen das Problem des illegalen Handels vorzugehen. Das System wurde am 20. Mai 2019 in Betrieb genommen.

Im Rahmen dieses Systems müssen die Mitgliedstaaten gemäß Artikel 15 Absatz 8 der Richtlinie 2014/40/EU sicherstellen, dass die Hersteller und Importeure von Tabakerzeugnissen mit einem unabhängigen Dritten („Drittanbieter“) Datenspeicherungsverträge über die Einrichtung eines Speichers schließen, in dem Daten über Tabakerzeugnisse einzelner Hersteller und Importeure gespeichert werden („primäres Repository“).

Um den unabhängigen Betrieb des Rückverfolgbarkeitssystems zu gewährleisten, sieht Artikel 15 Absatz 8 der Richtlinie 2014/40/EU vor, dass ein externer Prüfer die Tätigkeiten des primären Repository und seines externen Anbieters überwacht. Der Prüfer wird vom Hersteller von Tabakerzeugnissen vorgeschlagen und bezahlt und von der Kommission zugelassen. Der externe Prüfer legt den zuständigen nationalen Behörden und der Kommission seine Bewertung in Form eines jährlichen Berichts vor, in dem er insbesondere etwaige Unregelmäßigkeiten in Bezug auf den Zugriff beurteilt.

Dieses Dokument soll zugelassenen Prüfern Leitlinien zum Prüfumfang und zum Verfahren für die Vorlage des jährlichen Prüfberichts an die Hand geben. Es sollte in Verbindung mit der Durchführungsverordnung (EU) 2018/574 der Kommission (2) gelesen werden, in der die technischen Anforderungen für die Einrichtung und den Betrieb des Rückverfolgbarkeitssystems, auch für primäre Repositories‚ festgelegt sind, sowie mit der Delegierten Verordnung (EU) 2018/573 der Kommission (3), in der die Kernelemente der im Rahmen eines Rückverfolgbarkeitssystems zu schließenden Datenspeicherungsverträge festgelegt sind.

Dieses Dokument wird als Hilfsmittel zur Unterstützung zugelassener Prüfer angeboten; es handelt sich um unverbindliche Leitlinien, die keine neuen rechtlichen Verpflichtungen begründen. Insoweit diese Leitlinien Rechtsauslegungen enthalten, greift der Standpunkt der Kommission künftigen Auslegungen des Gerichtshofs der Europäischen Union zu dieser Richtlinie in keiner Weise vor.

2. Allgemeiner Kontext der Prüfungen

Jedes primäre Repository, für das ein Hersteller einen Vertrag abgeschlossen hat, unterliegt einem jährlichen Prüfverfahren. Betreibt ein und derselbe Drittanbieter zwei oder mehr primäre Repositories, so sollte für jedes Repository eine getrennte Prüfung durchgeführt und ein gesonderter Prüfbericht vorgelegt werden.

In Bezug auf ein primäres Repository und die damit verbundenen Dienstleistungen ist eine Prüfung durchzuführen, einschließlich einer Bewertung, ob der jeweilige Drittanbieter und gegebenenfalls seine Unterauftragnehmer die einschlägigen rechtlichen Anforderungen der Richtlinie 2014/40/EU, der Durchführungsverordnung (EU) 2018/574 und der Delegierten Verordnung (EU) 2018/573 erfüllen.

Jeder Hersteller oder Importeur unterrichtet die Kommission über den Prüfer, den er zur Prüfung seines primären Repository vorschlägt, und über den jeweiligen Drittanbieter. Alle vorgeschlagenen Prüfer müssen von der Kommission zugelassen werden.

3. Prüfumfang

Ziel und Umfang

Es sind Prüfberichte vorzulegen, um die zuständigen nationalen Behörden und die Kommission über die Feststellungen der Prüfer zu informieren, insbesondere über etwaige Unregelmäßigkeiten in Bezug auf den Zugang zu den in den primären Repositories gespeicherten Daten.

In den Prüfberichten sollten für jeden der sechs nachstehend aufgeführten Bereiche gesonderte Kapitel vorgesehen werden. Jedes Kapitel sollte sich mit den Prüfpunkten des jeweiligen Bereichs befassen, die in der Checkliste im Anhang aufgeführt sind.

Die Prüfungen sollten gemäß dieser Checkliste durchgeführt werden, in der die erforderlichen Bereiche und Prüfpunkte gemäß ISO/IEC 27001:2013 über „Informationssicherheitsmanagementsysteme“ festgelegt sind (4). Zu diesem Zweck sollten die Prüfer zur Kenntnis nehmen, dass in Artikel 10 der Delegierten Verordnung (EU) 2018/573 der Kommission auf ISO/IEC 27001:2013 als bevorzugte Norm für das Informationssicherheitsmanagement im Zusammenhang mit dem Betrieb von primären Repositories Bezug genommen wird.

Bereich Ziele Organisatorische und physische Sicherheit Schaffung eines Managementrahmens für die Informationssicherheit innerhalb der Organisation. Gewährleistung, dass Mitarbeiter und Auftragnehmer ihre Zuständigkeiten verstehen und für die Rollen, für die sie herangezogen werden, geeignet sind. Verhinderung des unbefugten physischen Zugangs, der Beschädigung oder des Eingriffs in die Organisation, einschließlich Daten und Datenverarbeitungseinrichtungen. Verhinderung des Verlusts, der Beschädigung, des Diebstahls oder der Gefährdung von Werten sowie der Unterbrechung des Betriebs der Organisation. Betriebssicherheit Gewährleistung eines korrekten und sicheren Betriebs der Informationsverarbeitungseinrichtungen. Schutz vor Datenverlust. Aufzeichnung von Ereignissen und Generierung von Nachweisen. Gewährleistung der Integrität der Betriebssysteme. Vermeidung der Ausnutzung technischer Schwachstellen. Zugangssteuerung (Benutzer und Anwendungen) Beschränkung des Zugangs zu Informationen und Informationsverarbeitungseinrichtungen. Gewährleistung des Zugangs für befugte Benutzer und Verhinderung des unbefugten Zugangs zu Systemen und Diensten. Übertragung der Verantwortung an die Benutzer, die Sicherung ihrer Authentifizierungsinformationen zu gewährleisten. Verhinderung des unbefugten Zugangs zu Systemen und Anwendungen. Gewährleistung, dass die Informationssicherheit innerhalb des Entwicklungszyklus von Informationssystemen konzipiert und umgesetzt wird. Kommunikationssicherheit Gewährleistung einer ordnungsgemäßen und wirksamen Nutzung von Kryptografie zum Schutz der Vertraulichkeit, Authentizität und/oder Integrität von Informationen. Gewährleistung des Schutzes von Informationen in Netzen und der unterstützenden Informationsverarbeitungseinrichtungen. Aufrechterhaltung der Sicherheit von Informationen, die innerhalb der Organisation und innerhalb externer Stellen übermittelt werden. Aufrechterhaltung des Betriebs Gewährleistung eines kohärenten und wirksamen Ansatzes für den Umgang mit Informationssicherheitsvorfällen, einschließlich der Kommunikation über sicherheitsrelevante Ereignisse und Schwachstellen. Die Kontinuität der Informationssicherheit ist in die Systeme der Organisation für das Business Continuity Management zu integrieren. Gewährleistung der Verfügbarkeit von Informationsverarbeitungseinrichtungen. Vermeidung von Verstößen gegen rechtliche, gesetzliche, regulatorische oder vertragliche Verpflichtungen im Zusammenhang mit der Informationssicherheit und gegen etwaige Sicherheitsanforderungen. Integrität von Werten und Daten Ermittlung der Werte der Organisation und Festlegung der entsprechenden Zuständigkeiten für deren Schutz. Gewährleistung, dass die Informationen ein ausreichendes Maß an Schutz erhalten. Verhinderung der unbefugten Weitergabe, Änderung, Entfernung oder Vernichtung von auf Datenträgern gespeicherten Informationen.

Schlussfolgerungen und Empfehlungen

Die Schlussfolgerungen einer Prüfung sollten für jeden in der Checkliste aufgeführten Prüfpunkt vorgelegt werden.

In einem Prüfbericht sollten nur Feststellungen im Zusammenhang mit Verstößen oder anderen ermittelten Risiken hervorgehoben und ausgeführt werden. Neben den Feststellungen sollten auch geeignete Empfehlungen zu den Maßnahmen angeführt werden, die zur Behebung der bei der Prüfung festgestellten Probleme und Mängel erforderlich sind.

4. Verfahrenstechnische Aspekte

Häufigkeit

Die Prüfer müssen ihre Prüfberichte jährlich vorlegen. Da das Rückverfolgbarkeitssystem am 20. Mai 2019 in Betrieb genommen wurde, sind die Prüfer aufgefordert, ihre ersten jährlichen Prüfberichte für das erste Betriebsjahr des Rückverfolgbarkeitssystems (d. h. 20. Mai 2019 bis 19. Mai 2020) bis zum 30. November 2020 vorzulegen. Danach sind die Prüfer aufgefordert, bis Ende Oktober jedes Kalenderjahres jährliche Berichte für die folgenden Betriebsjahre vorzulegen.

Folgemaßnahmen

Werden Folgemaßnahmen durchgeführt, um zu bewerten, ob der betreffende Drittanbieter die Empfehlungen des jährlichen Prüfberichts angemessen umgesetzt hat, wird der Prüfer aufgefordert, die Ergebnisse der Kommission und den zuständigen nationalen Behörden nach Möglichkeit innerhalb von drei Monaten nach Vorlage des jährlichen Prüfberichts vorzulegen.

5. Verfahrenstechnische Aspekte von Prüfberichten

Angaben zu den Prüfern

Die Namen des (der) Prüfer(s) und gegebenenfalls der verbundenen Prüfungsgesellschaft(en) sollten in der Einleitung des Prüfberichts angegeben werden.

Format

Der Prüfbericht sollte in elektronischer Form (durchsuchbare, nicht geschützte PDF-Datei) vorgelegt werden.

Die Prüfer werden gebeten, der Kommission die jährlichen Berichte nach Möglichkeit in englischer Sprache vorzulegen.

Übermittlungsverfahren

Der jährliche Prüfbericht und etwaige Folgemaßnahmen zu diesem Bericht sind elektronisch per E-Mail an SANTE-TT-SW@ec.europa.eu mit dem folgenden Betreff zu übermitteln: „Audit report [Follow-up to the audit report] for [Jahr] — [Name des vertragschließenden Herstellers] — [Name des geprüften Drittanbieters]“.

Transparenz

Um die Transparenz und Verantwortlichkeit im Rahmen des Rückverfolgbarkeitssystems für Tabakerzeugnisse insgesamt zu fördern, fordert die Kommission die Hersteller auf, auf freiwilliger Basis mit ihren jeweiligen Prüfern zu vereinbaren, der Kommission auch eine öffentlich zugängliche Fassung ihres Prüfberichts vorzulegen, aus der personenbezogene und geschäftlich sensible Daten entfernt wurden.

Solche öffentlich zugänglichen Fassungen der Prüfberichte würden auf der entsprechenden Website der Kommission veröffentlicht.

(1) Richtlinie 2014/40/EU des Europäischen Parlaments und des Rates vom 3. April 2014 zur Angleichung der Rechts- und Verwaltungsvorschriften der Mitgliedstaaten über die Herstellung, die Aufmachung und den Verkauf von Tabakerzeugnissen und verwandten Erzeugnissen und zur Aufhebung der Richtlinie 2001/37/EG (ABl. L 127 vom 29.4.2014, S. 1).

(2) Durchführungsverordnung (EU) 2018/574 der Kommission vom 15. Dezember 2017 über technische Standards für die Errichtung und den Betrieb eines Rückverfolgbarkeitssystems für Tabakerzeugnisse (ABl. L 96 vom 16.4.2018, S. 7).

(3) Delegierte Verordnung (EU) 2018/573 der Kommission vom 15. Dezember 2017 über Kernelemente der im Rahmen eines Rückverfolgbarkeitssystems für Tabakerzeugnisse zu schließenden Datenspeicherungsverträge (ABl. L 96 vom 16.4.2018, S. 1).

(4) ISO/IEC 27001:2013. IT — Sicherheitsverfahren — Informationssicherheitsmanagementsysteme — Anforderungen. Die in der Norm ISO/IEC 27001:2013 festgelegten Anforderungen sind allgemeine Anforderungen, die für alle Organisationen unabhängig von Art, Größe oder Art gelten sollen.