Kokkuvõte Euroopa Andmekaitseinspektori arvamusest, mis käsitleb küberturvalisuse strateegiat ja küberturvalisuse 2. direktiivi (NIS 2.0)

(Arvamuse täistekst on inglise, prantsuse ja saksa keeles Euroopa Andmekaitseinspektori veebilehel www.edps.europa.eu)

(2021/C 183/03)

Euroopa Komisjon võttis 16. detsembril 2020 vastu ettepaneku võtta vastu Euroopa Parlamendi ja nõukogu direktiiv, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148 (edaspidi „ettepanek“). Paralleelselt avaldasid Euroopa Komisjon ning liidu välisasjade ja julgeolekupoliitika kõrge esindaja Euroopa Parlamendile ja nõukogule ühisteatise „ELi küberturvalisuse strateegia digikümnendi jaoks“ (edaspidi „strateegia“).

Euroopa Andmekaitseinspektor toetab täielikult strateegia üldeesmärki tagada julgeolekuriskide ja põhiõiguste tugevate kaitsemeetmetega ülemaailmne ja avatud internet, tunnistades interneti ja selle haldamise strateegilist väärtust ning tugevdades liidu tegevust internetis mitut sidusrühma hõlmava mudeli raames.

Seetõttu kiidab Euroopa Andmekaitseinspektor ühtlasi heaks ettepaneku eesmärgi teha kehtivas küberturvalisuse direktiivis süsteemseid ja struktuurseid muudatusi, et hõlmata rohkem üksusi kogu liidus, võttes rangemaid turbemeetmeid, sh kohustuslik riskijuhtimine, miinimumnõuded ning asjakohased järelevalve- ja jõustamissätted. Sellega seoses on Euroopa Andmekaitseinspektor seisukohal, et ühtse kaitsetaseme saavutamiseks on vaja liidu institutsioonid, bürood, asutused ja ametid täielikult integreerida kogu ELi hõlmavasse üldisesse küberturvalisuse raamistikku, lisades liidu institutsioonid, bürood, organid ja asutused sõnaselgelt ettepaneku kohaldamisalasse.

Lisaks rõhutab Euroopa Andmekaitseinspektor, kui oluline on integreerida privaatsuse ja andmekaitse perspektiiv küberturvalisuse meetmetesse, mis tulenevad ettepanekust või muudest strateegia küberturvalisuse algatustest, et tagada terviklik käsitlus ning võimaldada sünergiat küberturvalisuse haldamisel ja töödeldavate isikuandmete kaitsmisel. Sama oluline on, et selliste meetmetega kaasnevad isikuandmete ja privaatsuse kaitse õiguse mis tahes võimalikud piirangud vastaksid ELi põhiõiguste harta artiklis 52 sätestatud kriteeriumidele, eelkõige sellele, et need saavutataks seadusandliku meetmega ja et need oleksid vajalikud ning proportsionaalsed.

Euroopa Andmekaitseinspektor eeldab, et ettepanekuga ei püüta mõjutada isikuandmete töötlemist reguleerivate olemasolevate ELi õigusaktide kohaldamist, sh nende õigusaktide täitmist kontrollivate sõltumatute järelevalveasutuste ülesandeid ja volitusi. See tähendab, et kõik küberohtude ennetamise, avastamise ja neile reageerimise valdkonnas osalevad küberturvalisuse süsteemid ja teenused peaksid olema kooskõlas kehtiva privaatsuse ja andmekaitse raamistikuga. Sellega seoses peab Euroopa Andmekaitseinspektor oluliseks ja vajalikuks kehtesta ettepanekus mõiste „küberturvalisus“ selge ja üheselt mõistetav määratlus.

Euroopa Andmekaitseinspektor esitab konkreetsed soovitused tagamaks, et ettepanek täiendab asjakohaselt ja tõhusalt isikuandmete kaitset käsitlevaid olemasolevaid liidu õigusakte, eelkõige isikuandmete kaitse üldmäärust ja e-privaatsuse direktiivi, kaasates vajaduse korral ka Euroopa Andmekaitseinspektori ja Euroopa Andmekaitsenõukogu ning luues selged mehhanismid pädevate asutuste koostööks erinevates reguleerimisvaldkondades.

Lisaks peaksid interneti üladomeeni registrite haldamist käsitlevad sätted määratlema selgelt asjakohase kohaldamisala ja õiguslikud tingimused. Küberturbe intsidentide lahendamise üksuste (CSIRT) tehtavate võrgu- ja infosüsteemide ennetavate kontrollide kontseptsioon nõuab samuti täiendavat selgitamist seoses töödeldavate isikuandmete ulatuse ja liikidega. Tähelepanu juhitakse võimalike nõuetele mittevastavate andmeedastuste riskidele, mis on seotud küberturvalisuse teenuste allhangete või küberturvalisuse toodete omandamise ja nende tarneahelaga.

Euroopa Andmekaitseinspektor kiidab heaks üleskutse edendada krüpteerimise ja eelkõige otspunktkrüpteerimise kasutamist ning kordab oma seisukohta, et krüpteerimine on tõhusa andmekaitse ja privaatsuse tagamiseks kriitiline ja asendamatu tehnoloogia, millest kõrvalehoidmine jätaks mehhanismi selle võimaliku ebaseadusliku kasutamise ja turbekontrollide suhtes usalduse kaotamise tõttu ilma igasuguse kaitsevõimeta. Sellega seoses tuleks selgitada, et ettepanekus sisalduvat ei tohiks tõlgendada kui toetust otspunktkrüpteerimise nõrgendamisele nn tagaukse või muu sarnase lahenduse kaudu.

1. Sissejuhatus ja taust

1. Euroopa Komisjon võttis 16. detsembril 2020 vastu ettepaneku võtta vastu Euroopa Parlamendi ja nõukogu direktiiv, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148 ( 1 ) (edaspidi „ettepanek“).

2. Samal kuupäeval avaldasid Euroopa Komisjon ning liidu välisasjade ja julgeolekupoliitika kõrge esindaja Euroopa Parlamendile ja nõukogule ühisteatise „ELi küberturvalisuse strateegia digikümnendi jaoks“ ( 2 ) (edaspidi „strateegia“).

3. Strateegia eesmärk on tugevdada liidu strateegilist sõltumatust küberturvalisuse valdkonnas ning suurendada liidu vastupidavusvõimet, tõhustada ühist reageerimist ning rajada tugevate kaitsevahenditega avatud ja ülemaailmne internet, et reageerida Euroopa inimeste turvalisust ning põhiõigusi ja -vabadusi ähvardavatele riskidele. ( 3 )

4. Strateegia sisaldab ettepanekuid regulatiivseteks, investeerimis- ja poliitikaalgatusteks kolmes ELi tegevusvaldkonnas: 1) vastupidavus, tehnoloogiline suveräänsus ja juhtpositsioon, 2) tegevussuutlikkuse suurendamine, et ennetada, heidutada ja reageerida, ning 3) ülemaailmse ja avatud küberruumi edendamine.

5. Ettepanek on üks strateegia regulatiivsetest algatustest, eelkõige vastupidavuse, tehnoloogilise suveräänsuse ja juhtpositsiooni valdkonnas.

6. Seletuskirja kohaselt on ettepaneku eesmärk ajakohastada olemasolevat õigusraamistikku, st Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/1148 (edaspidi „küberturvalisuse direktiiv“) ( 4 ) . Ettepaneku eesmärk on tugineda kehtivale küberturvalisuse direktiivile, mis oli esimene kogu ELi hõlmav küberturvalisuse õigusakt ja milles nähakse ette õiguslikud meetmed liidu üldise küberturvalisuse taseme tõstmiseks, ning see direktiiv kehtetuks tunnistada. Ettepanekus võetakse arvesse viimastel aastatel toimunud siseturu digiteerimise kasvu ja küberturvalisusega seotud muutuvat ohumaastikku, mis on võimendunud alates COVID-19 kriisi puhkemisest. Ettepaneku eesmärk on kõrvaldada küberturvalisuse direktiivi mitu tuvastatud puudust ning suurendada kõigi nende avaliku ja erasektori valdkondade kübervastupidavusvõimet, mis täidavad majanduse ja ühiskonna jaoks olulist funktsiooni.

7. Ettepaneku põhielemendid on järgmised: (i) kehtiva küberturvalisuse direktiivi kohaldamisala laiendamine, lisades uusi valdkondi, lähtudes nende kriitilisusest majanduse ja ühiskonna jaoks; (ii) rangemad turbenõuded hõlmatud ettevõtetele ja üksustele, kehtestades riskijuhtimise lähenemisviisi, milles esitatakse miinimumloetelu põhilistest turbeelementidest, mida tuleb kohaldada; (iii) tarneahelate ja tarnijasuhete turvalisuse käsitlemine, nõudes, et üksikettevõtted lahendaksid tarneahelate ja tarnijasuhete küberturvalisuse riskid; (iv) koostöö tugevdamine liikmesriikide ametiasutuste vahel ning liidu institutsioonide, büroode, organite ja asutustega küberturvalisusega seotud tegevusvaldkondades, sh küberkriiside ohjamisel.

8. Euroopa Andmekaitseinspektor sai 14. jaanuaril 2021 Euroopa Komisjonilt ametliku konsulteerimise taotluse seoses dokumendiga „Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148“.

3. Järeldused

77. Eelnevast lähtudes esitab Euroopa Andmekaitseinspektor järgmised soovitused.

Küberturvalisuse strateegia kohta

— võtta arvesse, et küberturvalisuse parandamise uute tehnoloogiatega (nt tehisintellekt) seotud andmekaitse- ja privaatsusriskide maandamise esimene etapp on andmekaitse rakendamine isikuandmete kaitse üldmääruse artiklis 25 sätestatud lõimitud ja vaikimisi andmekaitse nõuete kohaselt, mis aitavad integreerida nende tehnoloogiate ja süsteemide projekteerimisel ja kasutamisel asjakohaseid kaitsemeetmeid, näiteks pseudonüümimine, krüpteerimine, andmete täpsus, andmete minimeerimine;

— võtta arvesse privaatsuse ja andmekaitse integreerimise olulisust küberturvalisusega seotud poliitikatesse ja standarditesse ning tavapärasesse küberturvalisuse haldamisse, et tagada terviklik lähenemisviis ja võimaldada avalik-õiguslike ja erasektori organisatsioonide koostoimet küberturvalisuse haldamisel ja nende töödeldavate isikuandmete kaitsmisel, ilma tegevuste tarbetu kordamiseta;

— kaaluda ja kavandada ressursse, mida ELi institutsioonid saaksid kasutada oma küberturvalisuse võimekuse suurendamiseks, sealhulgas viisil, mis järgib täielikult ELi väärtusi;

— võtta arvesse küberturvalisuse privaatsuse ja andmekaitse mõõdet, investeerides poliitikameetmetesse, tavadesse ja vahenditesse, milles privaatsuse ja andmekaitse perspektiiv integreeritakse tavapärasesse küberturvalisuse haldamisse ning isikuandmete töötlemisel integreeritakse tõhusad andmekaitsemeetmed küberturvalisuse tegevustesse;

Strateegia ja ettepaneku kohaldamisala kohta liidu institutsioonidele, büroodele, organitele ning asutustele

— võtta arvesse ELi institutsioonide vajadusi ja ülesandeid, et nad saaks integreerida täielikult kogu ELi hõlmavasse üldisesse küberturvalisuse raamistikku üksustena, kellel on sama kõrge kaitse tase kui liikmesriikide üksustel, ning

— lisada liidu institutsioonid, bürood, organid ja asutused sõnaselgelt ettepaneku kohaldamisalasse;

Seose kohta isikuandmete kaitset käsitlevate olemasolevate liidu õigusaktidega

— selgitada ettepaneku artiklis 2, et isikuandmete kaitset käsitlevaid liidu õigusakte, eelkõige isikuandmete kaitse üldmäärust ja e-privaatsuse direktiivi, kohaldatakse ettepaneku kohaldamisalasse kuuluva mis tahes isikuandmete töötlemise suhtes (mitte üksnes konkreetses kontekstis), ning

— selgitada ka asjakohases põhjenduses, et ettepanekuga ei püüta mõjutada isikuandmete töötlemist reguleerivate olemasolevate ELi õigusaktide kohaldamist, sealhulgas nende õigusaktide täitmist kontrollivate sõltumatute järelevalveasutuste ülesandeid ja volitusi;

Küberturvalisuse määratluse kohta

— selgitada mõistete „küberturvalisus“ ning „võrgu- ja infosüsteemide turvalisus“ erinevat kasutamist ning kasutada terminit „küberturvalisus“ üldiselt ja terminit „võrgu- ja infosüsteemide turvalisus“ ainult siis, kui kontekst seda võimaldab (nt puhttehniline tekst, võtmata arvesse mõju ka süsteemide kasutajatele ja teistele isikutele);

Domeeninimede ja registreerimisandmete (WHOIS-andmed) kohta

— sõnastada selgelt, mis on „asjakohane teave“, mis võimaldab tuvastada domeeninimede omanikud ja üladomeenide all domeeninimesid haldavad kontaktpunktid ning nendega ühendust võtta;

— selgitada üksikasjalikumalt, mis domeeninimede registreerimise andmeliike (mis ei ole isikuandmed) tuleks avaldada;

— selgitada täpsemalt, mis (avalik-õiguslikud või eraõiguslikud) üksused võivad olla „õigustatud juurdepääsu taotlejad“;

— selgitada, kas üladomeenide registrites sisalduvatele ja üladomeenide domeeninimede registreerimise teenuseid osutavate üksuste valduses olevatele isikuandmetele peaks olema juurdepääs ka EMP-välistel üksustel, ja kui see oleks nii, siis sätestada selgelt sellise juurdepääsu tingimused, piirangud ja kord, võttes vajaduse korral arvesse ka isikuandmete kaitse üldmääruse artikli 49 lõike 2 nõudeid, ning

— lisada täiendav selgitus selle kohta, mis on „õiguspärane ja nõuetekohaselt põhjendatud“ taotlus, mille alusel juurdepääs antakse ja mis tingimustel;

CSIRTide tehtavate võrgu- ja infosüsteemide ennetavate kontrollide kohta

— määratleda selgelt ennetavate kontrollide liigid, mille tegemist võidakse CSIRTidelt nõuda, ja määratleda ettepaneku tekstiga seotud peamised isikuandmete liigid;

Allhanke ja tarneahela kohta

— võtta isikuandmeid töötleva tehnoloogia ja süsteemide tarneahelate hindamisel arvesse funktsioone, mis võimaldavad tõhusalt rakendada lõimitud ja vaikimisi andmekaitse põhimõtet;

— võtta IKT-teenuste, -süsteemide või -toodete tarneahelariskide hindamisel arvesse päritoluriigi erinõudeid, mis võivad takistada privaatsust ja andmekaitset käsitlevate ELi õigusaktide järgimist; ning

— lisada õigusakti ja vajaduse korral põhjenduses 46 nimetatud koordineeritud valdkonnapõhisesse riskihindamisse kohustuslik konsulteerimine Euroopa Andmekaitsenõukoguga eespool nimetatud tunnuste määratlemisel;

— soovitada põhjenduses märkida, et avatud lähtekoodiga küberturvalisuse tooted (tarkvara ja riistvara), sh avatud lähtekoodiga krüpteerimine, võivad tagada vajaliku läbipaistvuse konkreetsete tarneahelariskide maandamiseks;

Krüpteerimise kohta

— selgitada põhjenduses 54, et ettepanekus sisalduvat ei tohiks tõlgendada kui toetust otspunktkrüpteerimise nõrgendamisele nn tagaukse või muu sarnase lahenduse kaudu;

Küberturvalisuse riskijuhtimise meetmete kohta

— lisada nii põhjendustesse kui ka ettepaneku sisulisse osasse põhimõte, et privaatsuse ja andmekaitse perspektiivi integreerimine tavapärasesse küberturvalisuse riskijuhtimisse tagab tervikliku lähenemisviisi ja võimaldab avalik-õiguslike ja erasektori organisatsioonide sünergiat küberturvalisuse haldamisel ja nende töödeldava isikuandmete kaitsmisel, ilma tegevuste tarbetu kordamiseta;

— lisada õigusakti ENISA-le kohustus konsulteerida asjakohaste nõuannete koostamisel Euroopa Andmekaitsenõukoguga;

Isikuandmetega seotud rikkumise kohta

— asendada artikli 32 lõike 1 tekst „mõistliku aja jooksul“ tekstiga „põhjendamatu viivituseta“;

Koostöörühma kohta

— lisada õigusakti Euroopa Andmekaitsenõukogu osalemine koostöörühmas, võttes arvesse selle rühma ülesande ja andmekaitseraamistiku vahelist seost;

Jurisdiktsiooni ja territoriaalsuse kohta

— selgitada õigusaktis, et ettepanek ei mõjuta isikuandmete kaitse üldmääruse kohaseid andmekaitse järelevalveasutuste pädevusi;

— tagada kõikehõlmav õiguslik alus koostööle ja teabevahetusele pädevate ja järelevalveasutuste vahel, kes kõik tegutsevad oma vastava pädevusvaldkonna piires, ning

— täpsustada, et ettepanekule vastavad pädevad asutused peaksid olema võimelised esitama määruse (EL) 2016/679 kohaselt pädevate järelevalveasutuste taotlusel või oma algatusel mis tahes teavet, mis on saadud isikuandmete töötlemisega seotud audititest või uurimistest, ning lisada selleks sõnaselge õiguslik alus.

Brüssel, 11. märts 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Ettepanek: Euroopa Parlamendi ja nõukogu direktiiv, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148 (COM(2020) 823 final).

(2) ELi küberturvalisuse strateegia digikümnendi jaoks (JOIN(2020) 18 final).

(3) Vt strateegia I peatükk („SISSEJUHATUS“), lk 4.

(4) Euroopa Parlamendi ja nõukogu 6. juuli 2016. aasta direktiiv (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus (ELT L 194, 19.7.2016, lk 1).