48.

A fentiek fényében az európai adatvédelmi biztos az alábbi főbb ajánlásokat fogalmazza meg: — az európai adatvédelmi biztos javasolja, hogy valamely preambulumbekezdésben jelezzék, hogy a javaslat a NIS 2 irányelvre irányuló javaslatra épül, illetve a 4 és 5 preambulumbekezdésben részletesebben magyarázzák el a javaslat és a kiberbiztonsági irányelv, valamint a NIS 2 irányelvre irányuló javaslat közötti kapcsolatot. Az európai adatvédelmi biztos javasolja továbbá, hogy a főszövegbe a következő szöveget illesszék be: „A biztonsági minimumkövetelményeknek legalább azonos vagy magasabb szintűnek kell lenniük, mint a NIS-irányelv és a NIS 2 irányelvre irányuló javaslat alanyaira vonatkozó biztonsági minimumkövetelmények”; — az európai adatvédelmi biztos határozottan javasolja, hogy a javaslatnak egyértelműen meg kell adnia a személyes adatoknak a CERT-EU és az uniós intézmények általi kezelésének jogalapját, ideértve különösen a kezelés célját és a személyes adatok kategóriáit. Ezen túlmenően a következő elemeket is egyértelműen meg kell határozni: a) az adatkezelő(k), az adatfeldolgozók vagy közös adatkezelők azonosítása; b) az érintettek kategóriái; c) az adatmegőrzési időszakok vagy legalább az ilyen időszakok meghatározására szolgáló kritériumok. Az európai adatvédelmi biztos úgy véli, hogy ezeket az elemeket kifejezetten a javaslatban, vagy legalábbis a Bizottság által később elfogadásra kerülő, felhatalmazáson alapuló jogi aktusban kell előírni. A javaslatnak rendelkeznie kell egy ilyen felhatalmazásról; — az európai adatvédelmi biztos határozottan ajánlja, hogy a javaslat II. mellékletének a kiberbiztonsági minimumintézkedésekről szóló listájába vegyék fel az „inaktív adatok titkosítását”, az „átadásban lévő adatok titkosítását”, valamint a „végponttól végpontig terjedő titkosítást”; — az európai adatvédelmi biztos határozottan javasolja, hogy a javaslat írjon elő külön kötelezettséget a 4. cikk (5) bekezdésében meghatározott helyi kiberbiztonsági tisztviselő számára, hogy működjön együtt az EUDPR 43. cikkével összhangban kijelölt adatvédelmi tisztviselővel az olyan, egymást átfedő tevékenységek során, mint a beépített és alapértelmezett adatvédelem alkalmazása a kiberbiztonsági intézkedésekre, a személyes adatokat érintő kiberbiztonsági intézkedések kiválasztása, az integrált kockázatkezelés és a biztonsági események integrált kezelése; — az európai adatvédelmi biztos határozottan javasolja, hogy a javaslatnak „A CERT-EU küldetése és feladatai” című 12. cikke egészüljön ki azzal a rendelkezéssel, hogy „a CERT-EU szorosan együttműködik az európai adatvédelmi biztossal a személyes adatok megsértését vagy az elektronikus kommunikáció titkosságának megsértését eredményező biztonsági események kezelése során”; — az európai adatvédelmi biztos javasolja, hogy a CERT-EU-t kötelezzék arra, hogy tájékoztassa az európai adatvédelmi biztost, ha olyan jelentős sebezhetőségekkel, jelentős biztonsági eseményekkel vagy súlyos támadásokkal foglalkozik, amelyek személyes adatok megsértését és/vagy az elektronikus kommunikáció titkosságának megsértését eredményezhetik; — az európai adatvédelmi biztos javasolja, hogy a 12. cikk rendelkezzen az európai adatvédelmi biztosnak a CERT-EU kiberbiztonsági tudatosságnövelő tevékenységében való részvételéről, hogy ily módon le legyen fedve a személyes adatok megsértése és a kiberbiztonsági események közötti kölcsönhatás; — az európai adatvédelmi biztos javasolja, hogy a javaslatnak a „A CERT-EU küldetése és feladatai” című 12. cikke egészüljön ki egy olyan rendelkezéssel, amely kimondja, hogy a CERT-EU indokolatlan késedelem nélkül tájékoztatja az európai adatvédelmi biztost, ha arra utaló információk vannak birtokában, hogy a javaslatban meghatározott kötelezettségek uniós intézmények általi megszegése személyes adatok megsértésével jár; — az európai adatvédelmi biztos határozottan javasolja, hogy a 9. cikk (3) bekezdése az európai adatvédelmi biztost az Intézményközi Kiberbiztonsági Testület egy képviselővel rendelkező állandó tagjaként szerepeltesse.