C 183/3

Kopsavilkums Eiropas Datu aizsardzības uzraudzītāja atzinumam par kiberdrošības stratēģiju un TID 2.0 direktīvu

(Pilns šā atzinuma teksts angļu, franču un vācu valodā ir pieejams EDAU tīmekļa vietnē www.edps.europa.eu)

(2021/C 183/03)

Eiropas Komisija 2020. gada 16. decembrī pieņēma priekšlikumu Eiropas Parlamenta un Padomes Direktīvai, ar ko paredz pasākumus nolūkā panākt vienādi augsta līmeņa kiberdrošību visā Savienībā un ar ko atceļ Direktīvu (ES) 2016/1148 (“priekšlikums”). Paralēli Eiropas Komisija un Savienības Augstais pārstāvis ārlietās un drošības politikas jautājumos izdeva kopīgu paziņojumu Eiropas Parlamentam un Padomei ar nosaukumu “ES kiberdrošības stratēģija digitālajai desmitgadei” (“stratēģija”).

EDAU pilnībā atbalsta stratēģijas vispārējo mērķi nodrošināt globālu un atvērtu internetu ar spēcīgiem aizsardzības pasākumiem attiecībā uz drošības un pamattiesību apdraudējumiem, atzīstot interneta un tā pārvaldības stratēģisko vērtību un stiprinot Eiropas Savienības rīcību šajā jomā ar modeli, kurā iesaistītas daudzas ieinteresētās personas.

Tādēļ EDAU ir gandarīts par priekšlikuma mērķi ieviest sistēmiskas un strukturālas izmaiņas spēkā esošajā TID direktīvā, lai iekļautu plašāku personu loku visā Eiropas Savienībā, paredzētu stingrākus drošības pasākumus, tostarp obligātu riska pārvaldību, minimālos standartus un attiecīgus uzraudzības un izpildes noteikumus. Šajā aspektā EDAU uzskata, ka ir nepieciešams pilnībā integrēt Eiropas Savienības iestādes, birojus, struktūras un aģentūras kopējā ES līmeņa kiberdrošības regulējumā, lai sasniegtu vienotu aizsardzības līmeni, skaidri iekļaujot Eiropas Savienības iestādes, birojus, struktūras un aģentūras priekšlikuma darbības jomā.

Turklāt EDAU uzsver arī to, ka ir svarīgi integrēt privātuma un datu aizsardzības perspektīvu kiberdrošības pasākumos, kas izriet no priekšlikuma vai no citām stratēģijā paredzētajām kiberdrošības iniciatīvām, lai nodrošinātu holistisku pieeju un sinerģiju, pārvaldot kiberdrošību un aizsargājot apstrādāto personas informāciju. Ir tikpat svarīgi, lai visi potenciālie ierobežojumi attiecībā uz personas datu aizsardzības un privātuma tiesībām, kas noteikti šādos pasākumos, atbilstu kritērijiem, kuri ir noteikti Eiropas Savienības Pamattiesību hartas 52. pantā, un tiktu panākti ar leģislatīviem līdzekļiem, turklāt tiem jābūt gan nepieciešamiem, gan proporcionāliem.

EDAU sagaida, ka priekšlikums nemēģinās ietekmēt to esošo Eiropas Savienības tiesību aktu piemērošanu, ar kuriem tiek reglamentēta personas datu apstrāde, tostarp to neatkarīgo uzraudzības iestāžu uzdevumus un pilnvaras, kuras ir kompetentas uzraudzīt atbilstību šiem instrumentiem. Tas nozīmē, ka visām kiberdrošības sistēmām un pakalpojumiem, kas iesaistīti kiberdraudu novēršanā, atklāšanā un reaģēšanā uz tiem, būtu jāatbilst spēkā esošajiem privātuma un datu aizsardzības regulējumiem. Šajā kontekstā EDAU uzskata, ka priekšlikumā ir svarīgi un nepieciešami izveidot skaidru un nepārprotamu definīciju terminam “kiberdrošība”.

EDAU izdod konkrētus ieteikumus, lai nodrošinātu to, ka priekšlikums pareizi un efektīvi papildina esošos Eiropas Savienības tiesību aktus personas datu aizsardzības jomā, jo īpaši VDAR un E-privātuma direktīvu, ja nepieciešams, iesaistot arī EDAU un Eiropas Datu aizsardzības kolēģiju, kā arī izveidojot skaidrus mehānismus sadarbībai starp kompetentām iestādēm no dažādām normatīvajām jomām.

Turklāt noteikumiem par interneta augstākā līmeņa domēna reģistru pārvaldību tiesību aktos skaidri jānosaka attiecīgā darbības joma un nosacījumi. Tīkla un informācijas proaktīvas skenēšanas koncepcijai, ko veic CSIRT, nepieciešama papildu precizēšana attiecībā uz apstrādāto personas datu apjomu un veidiem. Uzmanību piesaista iespējamas neatbilstīgas datu pārsūtīšanas riski, kas saistīti ar kiberdrošības ārpakalpojumu izmantošanu vai kiberdrošības produktu iegādi un to piegādes ķēdi.

EDAU atzinīgi vērtē aicinājumu veicināt šifrēšanas izmantošanu, jo īpaši pilnīgas (end-to-end) šifrēšanas izmantošanu, un vēlreiz uzsver savu pozīciju par šifrēšanu kā svarīgu un neaizstājamu tehnoloģiju efektīvai datu aizsardzībai un privātumam, kuras apiešana atņemtu mehānismam jebkādas aizsardzības spējas iespējamas nelikumīgas izmantošanas un uzticības zaudēšanas dēļ drošības kontroles kontekstā. Tādēļ būtu jāprecizē, ka nekas priekšlikumā nebūtu jāuztver kā apstiprinājums pilnīgas (end-to-end) šifrēšanas vājināšanai, izmantojot “backdoors” vai līdzīgus risinājumus.

1. Ievads un pamatinformācija

1. Eiropas Komisija 2020. gada 16. decembrī pieņēma priekšlikumu Eiropas Parlamenta un Padomes Direktīvai, ar ko paredz pasākumus nolūkā panākt vienādi augsta līmeņa kiberdrošību visā Savienībā un ar ko atceļ Direktīvu (ES) 2016/1148 ( 1 ) (“priekšlikums”).

2. Tajā pašā datumā Eiropas Komisija un Savienības Augstais pārstāvis ārlietās un drošības politikas jautājumos izdeva kopīgu paziņojumu Eiropas Parlamentam un Padomei ar nosaukumu “ES kiberdrošības stratēģija digitālajai desmitgadei” (“stratēģija”). ( 2 )

3. Stratēģijas mērķis ir stiprināt Eiropas Savienības stratēģisko autonomiju kiberdrošības jomās un uzlabot tās izturētspēju un kolektīvo reakciju, kā arī veidot globālu un atvērtu internetu ar spēcīgiem drošības pasākumiem, lai risinātu drošības, pamattiesību un cilvēktiesību apdraudējumus Eiropā. ( 3 )

4. Stratēģija ietver priekšlikumus normatīvām, ieguldījumu un politikas iniciatīvām trīs ES rīcības jomās: 1) izturētspēja, tehnoloģiskā suverenitāte un līderība; 2) darbības spēju veidošana, lai novērstu, atvairītu un reaģētu, kā arī 3) globālas un atvērtas kibertelpas veidošana.

5. Priekšlikums ir viena no stratēģijas normatīvajām iniciatīvām, jo īpaši izturētspējas, tehnoloģiskās suverenitātes un līderības jomā.

6. Saskaņā ar paskaidrojuma rakstu priekšlikuma mērķis ir modernizēt esošo tiesisko regulējumu, t. i., Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/1148 (“TID direktīvu”) ( 4 ) . Priekšlikuma mērķis ir papildināt un atcelt spēkā esošo TID direktīvu, kas bija pirmais ES mēroga tiesību akts par kiberdrošību un nodrošina juridiskos pasākumus kiberdrošības kopējā līmeņa uzlabošanai Eiropas Savienībā. Priekšlikums ņem vērā vienotā tirgus pieaugošo digitalizāciju pēdējos gados un pieaugošo kiberdrošības apdraudējumu vidi, kas ir pastiprinājusies kopš COVID-19 krīzes sākuma. Priekšlikuma mērķis ir risināt vairākus apzinātos TID direktīvas trūkumus un palielināt visu to sektoru — publisko un privāto — kiberdrošības izturētspēju, kuri veic svarīgu funkciju ekonomikai un sabiedrībai.

7. Priekšlikuma galvenie elementi ir šādi: (i) paplašināt spēkā esošās TID direktīvas darbības jomu, iekļaujot jaunus sektorus, pamatojoties uz to kritiskumu ekonomikai un sabiedrībai; (ii) spēcīgākas drošības prasības iesaistītajiem uzņēmumiem un struktūrām, nosakot riska pārvaldības pieeju, kas nodrošinās minimālo drošības pamatelementu obligāto sarakstu, kas jāpiemēro; (iii) risināt drošības problēmas piegādes ķēdēs un piegādātāju attiecībās, pieprasot atsevišķiem uzņēmumiem risināt kiberdrošības riskus piegādes ķēdēs un piegādāju attiecībās; (iv) uzlabot sadarbību starp dalībvalstu iestādēm un Eiropas Savienības iestādēm, birojiem, struktūrām un aģentūrām, risinot ar kiberdrošību saistītas darbības, tostarp kiberkrīžu pārvaldību.

8. EDAU 2021. gada 14. janvārī saņēma pieprasījumu veikt formālu apspriešanos no Eiropas Komisijas par priekšlikumu Eiropas Parlamenta un Padomes Direktīvai, ar ko paredz pasākumus nolūkā panākt vienādi augsta līmeņa kiberdrošību visā Savienībā un ar ko atceļ Direktīvu (ES) 2016/1148.

3. Secinājumi

77. Ņemot vērā iepriekš minēto, EDAU sniedz tālāk minētos ieteikumus.

Attiecībā uz kiberdrošības stratēģiju

— ņemt vērā to, ka pirmais solis, lai mazinātu datu aizsardzības un privātuma riskus, kas saistīti ar jaunajām tehnoloģijām kiberdrošības uzlabošanai, piemēram, mākslīgo intelektu, ir piemērot integrēto datu aizsardzību un datu aizsardzību pēc noklusējuma, kas noteikta VDAR 25. pantā un kas palīdzēs integrēt piemērotus drošības pasākumus, piemēram, pseidonimizāciju, šifrēšanu, datu precizitāti, datu minimizēšanu šo tehnoloģiju un sistēmu dizainā un lietošanā;

— ņemt vērā privātuma un datu aizsardzības perspektīvas integrēšanas nozīmību ar kiberdrošību saistītajā politikā un standartos, kā arī tradicionālajā kiberdrošības pārvaldībā, lai nodrošinātu holistisku pieeju un veidotu sinerģiju starp publiskām un privātām organizācijām, pārvaldot kiberdrošību un aizsargājot informāciju, kuru tās apstrādā, bez nevajadzīgas centienu dublēšanās;

— izvērtēt un plānot resursus, ko izmantot EUI, lai stiprinātu to kiberdrošības jaudu, tostarp veidā, kas pilnībā ievēro ES vērtības;

— ņemt vērā kiberdrošības privātuma un datu aizsardzības dimensijas, ieguldot politikā, praksē un rīkos, ar kuriem privātuma un datu aizsardzības perspektīva tiek integrēta tradicionālajā kiberdrošības pārvaldībā, un, apstrādāt personas datus kiberdrošības aktivitātēs, integrējot efektīvus datu aizsardzības pasākumus.

Attiecībā uz stratēģijas un priekšlikuma darbības jomu saistībā ar Eiropas Savienības iestādēm, birojiem, struktūrām un aģentūrām

— ņemt vērā EUI vajadzības un lomu, lai EUI būtu integrēti šajā kopējā ES mēroga kiberdrošības regulējumā kā struktūras, kurām pienākas tāds pats augsts aizsardzības līmenis kā tām, kas atrodas dalībvalstīs; un

— skaidri iekļaut Eiropas Savienības iestādes, birojus, struktūras un aģentūras priekšlikuma darbības jomā.

Attiecībā uz saikni ar esošajiem Eiropas Savienības tiesību aktiem par personas datu aizsardzību

— priekšlikuma 2. pantā precizēt, ka Eiropas Savienības tiesību akti attiecībā uz personas datu aizsardzību, jo īpaši VDAR un E-privātuma direktīva, attiecas uz jebkādu personas datu apstrādi, kas atbilst priekšlikuma darbības jomai (nevis tikai konkrētos kontekstos); un

— attiecīgajā apsvērumā precizēt arī to, ka priekšlikums nemēģina ietekmēt to esošo Eiropas Savienības tiesību aktu piemērošanu, ar kuriem tiek reglamentēta personas datu apstrāde, tostarp neatkarīgu uzraudzības iestāžu uzdevumus un pilnvaras, kuras ir kompetentas uzraudzīt atbilstību šiem instrumentiem.

Attiecībā uz kiberdrošības definīciju

— precizēt jēdzienu “kiberdrošība” un “tīkla un informācijas sistēmu drošība” atšķirīgu lietojumu, kā arī termina “kiberdrošības” vispārīgu lietojumu un termina “tīkla un informācijas sistēmu drošība” lietojumu tikai tad, kad to pieļauj konteksts (piemēram, tīri tehnisks, neņemot vērā ietekmi arī uz sistēmu lietotājiem un citām personām).

Attiecībā uz domēna vārdiem un reģistrācijas datiem (“WHOIS dati”)

— skaidri noteikt, ko nozīmē “attiecīga informācija” attiecībā uz domēna nosaukumu turētāju un kontaktpunktu, kuri administrē domēna vārdus saskaņā ar TLD, identifikāciju un saziņu ar tiem;

— skaidrāk precizēt, kuras datu domēnu reģistrācijas datu kategorijas (kas nav personas dati) būtu jāpublicē;

— precizēt, kuras (publiskās un privātās) struktūras var būt “leģitīmi piekļuves prasītāji”;

— precizēt, vai personas dati, kas tiek glabāti TLD reģistros, un struktūras, kas sniedz domēna vārdu reģistrācijas pakalpojumus TLD, arī būtu pieejami struktūrām ārpus EEZ un, ja tā būtu, skaidri noteikt nosacījumus, ierobežojumus un procedūras šādai piekļuvei, attiecīgajos gadījumos ņemot vērā arī VDAR 49. panta 2. punktu; un

— precizēt, ko nozīmē “likumīgs un pienācīgi pamatots” pieprasījums, uz kura pamata tiek piešķirta piekļuve un kādos apstākļos tā tiek piešķirta.

Attiecībā uz “tīklu un informācijas sistēmu proaktīvu skenēšanu”, ko veic CSIRT

— priekšlikuma tekstā skaidri nodalīt proaktīvās skenēšanas veidus, kādus CSIRT var pieprasīt veikt, lai identificētu galvenās iesaistītās personas datu kategorijas.

Attiecībā uz ārpakalpojumiem un piegādes ķēdi

— ņemt vērā funkcijas, ka ļauj efektīvi īstenot datu integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma principu, novērtējot personas datu apstrādei izmantoto tehnoloģiju un sistēmu piegādes ķēdes;

— ņemt vērā konkrētas prasības izcelsmes valstī, kas varētu radīt šķēršļus atbilstībai ES privātuma un datu aizsardzības tiesību aktiem, novērtējot IKT pakalpojumu, sistēmu vai produktu piegādes ķēdes riskus; un

— iekļaut juridiskajā tekstā obligātu apspriešanos ar EDAK, nosakot iepriekš minētās funkcijas (pēc vajadzības) koordinētajā nozares risku novērtējumā, kas minēts 46. apsvērumā;

— ieteikt minēt apsvērumā, ka atvērta pirmkoda kiberdrošības produkti (programmatūra un aparatūra), tostarp atvērta pirmkoda šifrēšana, var nodrošināt nepieciešamo pārredzamību, lai mazinātu konkrētus piegādes ķēdes riskus.

Attiecībā uz šifrēšanu

— precizēt 54. apsvērumā, ka neko priekšlikumā nedrīkst uztvert kā apstiprinājumu pilnīgas (end-to-end) šifrēšanas vājināšanai, izmantojot “backdoors” vai līdzīgus risinājumus.

Attiecībā uz kiberdrošības risku pārvaldības pasākumiem

— iekļaut gan priekšlikuma apsvērumos, gan pamatdaļā koncepciju, ka privātuma un datu aizsardzības perspektīvas integrēšana tradicionālajā kiberdrošības risku pārvaldībā nodrošinās kopīgu pieeju un sinerģiju starp publiskām un privātām organizācijām, pārvaldot kiberdrošības un to apstrādātās informācijas aizsardzību, bez nevajadzīgas centienu dublēšanās;

— iekļaut juridiskajā tekstā ENISA pienākumu apspriesties ar EDAK, sagatavojot attiecīgos ieteikumus.

Attiecībā uz personas datu pārkāpumiem

— mainīt tekstu “saprātīgā termiņā” 32. panta 1. punktā pret “bez nepamatotas kavēšanās”.

Attiecībā uz sadarbības grupu

— iekļaut juridiskajā tekstā EDAK dalību sadarbības grupā, ņemot vērā saikni starp šīs grupas uzdevumu un datu aizsardzības regulējumu.

Attiecībā uz jurisdikciju un teritorialitāti

— precizēt juridiskajā tekstā, ka priekšlikums neietekmē datu aizsardzības uzraudzības iestāžu kompetences, kas noteiktas VDAR;

— sniegt visaptverošu juridisko pamatu sadarbībai un informācijas apmaiņai starp kompetentajām un uzraudzības iestādēm, kas darbojas katra savā attiecīgajā kompetences jomā; un

— precizēt to, ka priekšlikumā noteiktajām kompetentajām uzraudzības iestādēm pēc kompetento uzraudzības iestāžu pieprasījuma, kas noteiktas Regulā (ES) 2016/679, vai pēc savas iniciatīvas būtu jāspēj sniegt jebkuru informāciju, kas iegūta revīzijas un izmeklēšanas kontekstā attiecībā uz personas datu apstrādi, iekļaujot skaidru juridisko pamatu.

Briselē, 2021. gada 11. Martā. Wojciech Rafał WIEWIÓROWSKI

(1) Priekšlikums Eiropas Parlamenta un Padomes Direktīvai, ar ko paredz pasākumus nolūkā panākt vienādi augsta līmeņa kiberdrošību visā Savienībā un ar ko atceļ Direktīvu (ES) 2016/1148 (COM (2020) 823 final).

(2) Eiropas Savienības Kiberdrošības stratēģija digitālajai desmitgadei (JOIN (2020) 18 final).

(3) Sk. stratēģijas I nodaļu “IEVADS”, 4. lpp.

(4) Eiropas Parlamenta un Padomes 2016. gada 6. jūlija Direktīva (ES) 2016/1148 par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā (OV L 194., 19.7.2016., 1. lpp.).