48.

Edellä esitetyn perusteella Euroopan tietosuojavaltuutettu antaa seuraavat suositukset: — Euroopan tietosuojavaltuutettu suosittelee tekemään johdanto-osan 4 kappaleeseen lisäyksen siitä, että ehdotus perustuu tarkistettua verkko- ja tietoturvadirektiiviä koskevaan ehdotukseen, ja selkeyttämään johdanto-osan 5 kappaleessa ehdotuksen yhteyttä verkko- ja tietoturvadirektiiviin sekä tarkistettua verkko- ja tietoturvadirektiiviä koskevaan ehdotukseen. Lisäksi Euroopan tietosuojavaltuutettu suosittelee, että itse tekstiin lisätään seuraava ilmaisu: ”Vähimmäisturvallisuusvaatimusten olisi oltava vähintään samat tai tiukemmat kuin niitä toimijoita koskevien vähimmäisturvallisuusvaatimusten, jotka kuuluvat verkko- ja tietoturvadirektiivin ja tarkistettua verkko- ja tietoturvadirektiiviä koskevan ehdotuksen soveltamisalaan”; — Euroopan tietosuojavaltuutettu kehottaa painokkaasti, että ehdotuksessa on säädettävä selkeästi oikeusperusteesta henkilötietojen käsittelylle kyberturvallisuuskeskuksessa sekä unionin toimielimissä, elimissä ja laitoksissa. Tämä koskee erityisesti käsittelyn tarkoituksia ja henkilötietoryhmiä. Myös seuraavista tekijöistä olisi säädettävä yksiselitteisesti: a) soveltuvin osin rekisterinpitäjän (rekisterinpitäjien), henkilötietojen käsittelijöiden tai yhteisrekisterinpitäjien henkilöllisyys, b) rekisteröityjen luokat, c) säilytysajat tai vähintään perusteet kyseisten aikojen määrittämiselle. Euroopan tietosuojavaltuutettu katsoo, että näistä tekijöistä olisi säädettävä yksiselitteisesti ehdotuksessa tai, aivan viimeistään, komission myöhemmin antamassa delegoidussa säädöksessä. Ehdotuksessa olisi säädettävä kyseisestä toimivallan siirrosta; — Euroopan tietosuojavaltuutettu suosittelee painokkaasti, että ehdotuksen liitteessä II olevaan luetteloon kyberturvallisuutta koskevista vähimmäistoimenpiteistä sisällytetään ”lepäävän datan salaus”, ”liikkuvan datan salaus” ja ”päästä päähän -salaus”; — Euroopan tietosuojavaltuutettu kehottaa painokkaasti, että ehdotuksessa säädetään 4 artiklan 5 kohdassa tarkoitetun paikallisen kyberturvallisuusvastaavan erityisvelvollisuudesta tehdä yhteistyötä EU:n tietosuoja-asetuksen 43 artiklan mukaisesti nimetyn tietosuojavastaavan kanssa, kun käsitellään päällekkäisiä toimintoja, kuten sisäänrakennetun ja oletusarvoisen tietosuojan soveltamista kyberturvallisuustoimenpiteisiin, henkilötietoja sisältävien kyberturvallisuustoimenpiteiden valitsemista, yhdennettyä riskinhallintaa ja yhdennettyä turvallisuuspoikkeamien hallintaa; — Euroopan tietosuojavaltuutettu kehottaa painokkaasti lisäämään CERT-EU:n tarkoitusta ja tehtäviä koskevaan 12 artiklaan, että ”CERT-EU tekee Euroopan tietosuojavaltuutetun kanssa tiivistä yhteistyötä, kun käsitellään poikkeamia, jotka voivat johtaa henkilötietojen tietoturvaloukkauksiin tai jotka rikkovat sähköisen viestinnän luottamuksellisuutta”; — Euroopan tietosuojavaltuutettu suosittelee lisäämään CERT-EU:lle velvollisuuden ilmoittaa Euroopan tietosuojavaltuutetulle, kun se käsittelee merkittäviä haavoittuvuuksia, merkittäviä poikkeamia tai laajoja hyökkäyksiä, jotka voivat johtaa henkilötietojen tietoturvaloukkauksiin ja/tai rikkoa sähköisen viestinnän luottamuksellisuutta; — Euroopan tietosuojavaltuutettu suosittelee säätämään 12 artiklassa, että Euroopan tietosuojavaltuutettu osallistuu toimiin, joilla CERT-EU parantaa kyberturvallisuutta koskevaa tietoisuutta unionin toimielimissä, elimissä ja laitoksissa, jotta henkilötietojen tietoturvaloukkausten ja kyberturvallisuuspoikkeamien välistä vuorovaikutusta voidaan käsitellä; — Euroopan tietosuojavaltuutettu suosittelee lisäämään CERT-EU:n tarkoitusta ja tehtäviä koskevaan 12 artiklaan säännöksen, jossa täsmennetään, että CERT-EU:n on ilmoitettava ilman aiheetonta viivytystä Euroopan tietosuojavaltuutetulle, kun sillä on viitteitä siitä, että ehdotuksessa säädettyjen velvoitteiden rikkomiseen unionin toimielimissä, elimissä ja laitoksissa sisältyy henkilötietojen tietoturvaloukkauksia; — Euroopan tietosuojavaltuutettu kehottaa painokkaasti lisäämään Euroopan tietosuojavaltuutetun 9 artiklan 3 kohdassa toimielinten välisen kyberturvallisuuslautakunnan (IICB) pysyväksi osallistujaksi, jolla on yksi edustaja.