Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione

[Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu]

(2022/C 258/07)

Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione («la proposta»).

Il GEPD accoglie con favore l’obiettivo della proposta di migliorare la posizione di cibersicurezza fra le istituzioni, gli organi e gli organismi dell’Unione («IUE») e accoglie con altrettanto favore il nuovo ruolo dell’ex «squadra di pronto intervento informatico», ora denominata «Centro per la cibersicurezza» (CERT-UE), tenendo conto dell’amplificazione della digitalizzazione, della rapida evoluzione del panorama delle minacce alla cibersicurezza e del recente passaggio alla digitalizzazione anche a causa della pandemia di COVID-19.

Il GEPD si rammarica che la proposta non è in linea con la direttiva NIS e con la proposta NIS 2.0 in modo da conseguire norme coerenti e omogenee per gli Stati membri e le IUE, contribuendo al livello generale di cibersicurezza dell’Unione. Il GEPD raccomanda di aggiungere nella proposta che i requisiti minimi di sicurezza dovrebbero essere almeno equivalenti o superiori ai requisiti minimi di sicurezza dei soggetti della direttiva NIS e della proposta NIS 2.0.

Al fine di conformarsi alla proposta, le IUE e il CERT-UE dovranno attuare determinati processi e misure in materia di cibersicurezza, che comportano necessariamente un ulteriore trattamento dei dati personali. Per conseguire la certezza del diritto e la prevedibilità e garantire il rispetto del RGPD, il GEPD raccomanda vivamente che la proposta, o quanto meno un atto delegato che sarà successivamente adottato dalla Commissione, preveda chiaramente una base giuridica per il trattamento dei dati personali da parte del CERT-UE e delle IUE, comprese in particolare le finalità del trattamento e le categorie di dati personali.

Il GEPD sottolinea l’importanza di integrare la prospettiva della protezione della vita privata e dei dati nella gestione della cibersicurezza, al fine di realizzare sinergie positive tra la proposta e la normativa in materia di protezione della vita privata e dei dati, e formula raccomandazioni specifiche su come conseguire tali sinergie, compreso un obbligo specifico per i funzionari dell’UE responsabili della cibersicurezza di collaborare strettamente con il responsabile della protezione dei dati designato in conformità del RGPD.

Il GEPD raccomanda vivamente che la proposta preveda una stretta cooperazione tra il CERT-UE e il GEPD in attività come la gestione degli incidenti che comportano violazioni dei dati personali, nel far fronte a vulnerabilità significative, incidenti significativi o attacchi gravi che possono comportare violazioni dei dati personali, nonché quando il CERT-UE ha indicazioni che una violazione della proposta comporta una violazione dei dati personali.

Il GEPD raccomanda inoltre vivamente che la proposta preveda la partecipazione del GEPD al «comitato interistituzionale per la cibersicurezza» (IICB).

1. INTRODUZIONE E CONTESTO

1. Il 22 marzo 2022 la Commissione europea ha adottato una proposta di regolamento che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione (1) («la proposta»).

2. Lo stesso giorno la Commissione europea ha adottato la proposta di regolamento del Parlamento europeo e del Consiglio sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell’Unione (2) («la proposta Infosec»).

3. Entrambe le proposte erano previste dalla strategia dell’UE in materia di cibersicurezza per il decennio digitale, presentata il 16 dicembre 2020 (3) («la strategia»). L’obiettivo generale della strategia è rafforzare l’autonomia strategica dell’Unione nel settore della cibersicurezza e migliorarne la resilienza e la risposta collettiva, nonché costruire un’Internet globale e aperta con forti linee guida per affrontare i rischi per la sicurezza e per i diritti e le libertà fondamentali dei cittadini europei (4).

4. La proposta costituisce una delle iniziative normative della strategia, in particolare nel settore della cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione (IUE) Secondo la relazione, l’obiettivo della proposta è duplice: — affrontare il panorama sempre più ostile delle minacce informatiche, nonché la crescente incidenza di attacchi informatici più sofisticati che interessano le istituzioni, gli organismi e le agenzie dell’UE, che determina la necessità di aumentare gli investimenti per raggiungere un elevato livello di maturità informatica, e — rafforzare la squadra di pronto intervento informatico dell’UE (CERT-UE) con un meccanismo di finanziamento migliorato, necessario per aumentare la sua capacità di aiutare le istituzioni, gli organi e le agenzie dell’UE ad applicare le nuove norme in materia di cibersicurezza e migliorare la loro ciberresilienza.

5. Il GEPD osserva che l’oggetto della proposta in esame è interconnesso con la proposta di direttiva del Parlamento europeo e del Consiglio relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, che abroga la direttiva (UE) 2016/1148 («la proposta NIS 2.0»). Il GEPD ricorda di avere emanato il parere 5/2021 sulla strategia in materia di cibersicurezza (5) e sulla direttiva NIS 2.0 («il parere NIS 2.0») (6). Per questo motivo il presente parere farà riferimento al parere NIS 2.0.

6. In linea con la strategia, la proposta mira a migliorare ulteriormente la resilienza di tutte le istituzioni, gli organi e le agenzie dell’Unione e le loro capacità di risposta agli incidenti. È inoltre in linea con le priorità della Commissione di preparare l’Europa per l’era digitale e costruire un’economia pronta per le sfide del futuro e al servizio dei cittadini. Sottolinea inoltre che la sicurezza e la resilienza della pubblica amministrazione sono il fondamento della trasformazione digitale della società nel suo complesso.

7. Secondo la relazione, la proposta: — prevede misure volte a garantire un livello comune elevato di cibersicurezza per le istituzioni, gli organi e le agenzie dell’Unione europea; — istituisce il «comitato interistituzionale per la cibersicurezza», che avrà il compito di monitorare l’attuazione del regolamento proposto, — stabilisce il nuovo ruolo della squadra di pronto intervento informatico delle istituzioni, degli organi e delle agenzie dell’UE («CERT-UE») (7), quale «centro per la cibersicurezza» delle istituzioni, degli organi e delle agenzie dell’Unione, in linea con gli sviluppi negli Stati membri e a livello globale.

8. Il 22 marzo 2022 la Commissione ha chiesto al GEPD di formulare un parere sulla proposta, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio («RGPD») (8). Le osservazioni e le raccomandazioni di cui al presente parere si limitano alle disposizioni della proposta che sono più pertinenti in termini di protezione dei dati e della vita privata.

4. CONCLUSIONI

48. Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni principali: — il GEPD raccomanda di aggiungere in un considerando che la proposta si basa sulla proposta NIS 2.0 e di spiegare ulteriormente il legame tra la proposta e la direttiva NIS nonché la proposta NIS 2.0 nei considerando 4 e 5. Inoltre, il GEPD raccomanda di inserire nel testo principale la seguente formulazione: «I requisiti minimi di sicurezza dovrebbero essere almeno equivalenti o superiori ai requisiti minimi di sicurezza dei soggetti della direttiva NIS e della proposta NIS 2.0»; — il GEPD raccomanda vivamente che la proposta preveda chiaramente una base giuridica per il trattamento dei dati personali da parte del CERT-UE e delle IUE, comprese in particolare le finalità del trattamento e le categorie di dati personali. Inoltre, dovrebbero essere esplicitamente stabiliti gli elementi seguenti: a) l’individuazione del titolare o dei titolari del trattamento, dei responsabili del trattamento o dei contitolari del trattamento, a seconda dei casi; b) le categorie di interessati; c) i periodi di conservazione o almeno i criteri per determinare tali periodi. Il GEPD ritiene che tali elementi debbano essere previsti esplicitamente nella proposta, o quanto meno in un atto delegato che sarà successivamente adottato dalla Commissione. La proposta dovrebbe prevedere tale delega; — il GEPD raccomanda vivamente di includere la «cifratura a riposo», la «cifratura in transito» e la «cifratura da punto a punto» nell’elenco delle misure minime di cibersicurezza di cui all’allegato II della proposta; — il GEPD raccomanda vivamente che la proposta preveda un obbligo specifico per il responsabile locale della cibersicurezza di cui all’articolo 4, paragrafo 5, di cooperare con il responsabile della protezione dei dati designato a norma dell’articolo 43 del RGPD, quando si tratta di attività che si sovrappongono quali l’applicazione della protezione dei dati fin dalla progettazione e per impostazione predefinita alle misure di cibersicurezza, la selezione delle misure di cibersicurezza che comportano dati personali, la gestione integrata dei rischi e la gestione integrata degli incidenti di sicurezza; — il GEPD raccomanda vivamente di aggiungere una disposizione all’articolo 12 «Missione e compiti del CERT-UE» della proposta secondo la quale «il CERT-UE opera in stretta cooperazione con il GEPD nel trattare gli incidenti che comportano violazioni dei dati personali o violazioni della riservatezza delle comunicazioni elettroniche»; — il GEPD raccomanda di aggiungere l’obbligo per il CERT-UE di informare il GEPD quando affronta vulnerabilità significative, incidenti significativi o attacchi gravi che possono comportare violazioni dei dati personali e/o violazioni della riservatezza delle comunicazioni elettroniche; — il GEPD raccomanda di prevedere all’articolo 12 di coinvolgere il GEPD nelle attività di sensibilizzazione del CERT-UE in materia di cibersicurezza, al fine di considerare l’interazione tra violazioni dei dati personali e incidenti di cibersicurezza; — il GEPD raccomanda di aggiungere all’articolo 12 «Missione e compiti del CERT-UE» della proposta una disposizione che specifichi che il CERT-UE informa senza indebito ritardo il GEPD quando ha indicazioni che una violazione da parte delle IUE degli obblighi stabiliti nella proposta comporta una violazione dei dati personali; — il GEPD raccomanda vivamente che il Garante europeo della protezione dei dati sia aggiunto all’articolo 9, paragrafo 3, in qualità di partecipante permanente all’IICB con un rappresentante.

Bruxelles, 17 maggio 2022 Wojciech Rafał WIEWIÓROWSKI

(1) () COM(2022) 122 final.

(2) () COM(2022) 119 final.

(3) () La strategia dell’UE in materia di cibersicurezza per il decennio digitale | Plasmare il futuro digitale dell’Europa (europa.eu), compresa una comunicazione congiunta con l’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza (JOIN (2020) 18).

(4) () Cfr. capitolo I. INTRODUZIONE della strategia, pag. 4.

(5) () Comunicazione congiunta della Commissione europea e dell’alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza al Parlamento europeo e al Consiglio dal titolo «La strategia dell’UE in materia di cibersicurezza per il decennio digitale».

(6) () Parere 5/2021 del GEPD sulla strategia in materia di cibersicurezza e sulla direttiva NIS 2.0.

(7) () L’attuale ruolo del CERT-UE deriva dall’accordo interistituzionale 2018/C 12/01.

(8) () Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39).