Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming betreffende de strategie inzake cyberbeveiliging en de NIS-richtlijn 2.0

(De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website: www.edps.europa.eu)

(2021/C 183/03)

Op 16 december 2020 heeft de Europese Commissie een voorstel aangenomen voor een richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot intrekking van Richtlijn (EU) 2016/1148 (“het voorstel”). Daarnaast hebben de Europese Commissie en de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid een gezamenlijke mededeling aan het Europees Parlement en de Raad uitgebracht, met de titel “De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk” (“de strategie”).

De EDPS staat volledig achter de algemene doelstelling van de strategie om te zorgen voor een mondiaal en open internet met duidelijke waarborgen voor de risico’s voor de veiligheid en de grondrechten, waarbij de strategische waarde van het internet en de governance ervan wordt erkend en het optreden van de Unie op dit gebied wordt versterkt, in een model met meerdere belanghebbenden.

Daarom is de EDPS evenzeer ingenomen met het doel van het voorstel om systemische en structurele wijzigingen in de huidige NIS-richtlijn aan te brengen, teneinde een bredere reeks entiteiten in de Unie te bestrijken, met strengere beveiligingsmaatregelen, waaronder verplicht risicobeheer, minimumnormen en relevante toezichts- en handhavingsbepalingen. In dit opzicht acht de EDPS het noodzakelijk om de instellingen, bureaus, organen en agentschappen van de Unie volledig te integreren in het algemene EU-brede kader voor cyberbeveiliging, teneinde een uniform niveau van bescherming te bereiken, door de instellingen, bureaus, organen en agentschappen van de Unie expliciet in het toepassingsgebied van het voorstel op te nemen.

De EDPS wijst er voorts op dat het van belang is het perspectief van privacy- en gegevensbescherming te integreren in de cyberbeveiligingsmaatregelen die voortvloeien uit het voorstel of uit andere cyberbeveiligingsinitiatieven van de strategie, om te zorgen voor een holistische aanpak en synergieën mogelijk te maken bij het beheer van cyberbeveiliging en de bescherming van de persoonsgegevens die zij verwerken. Het is evenzeer van belang dat elke mogelijke beperking van het recht op bescherming van persoonsgegevens en de persoonlijke levenssfeer die dergelijke maatregelen met zich meebrengen, voldoet aan de criteria die zijn vastgelegd in artikel 52 van het Handvest van de grondrechten van de Europese Unie, en met name dat zij door middel van een wetgevende maatregel wordt verwezenlijkt, en zowel noodzakelijk als evenredig is.

De EDPS verwacht dat het voorstel geen afbreuk zal doen aan de toepassing van de bestaande EU-wetgeving inzake de verwerking van persoonsgegevens, met inbegrip van de taken en bevoegdheden van de onafhankelijke toezichthoudende autoriteiten die bevoegd zijn om toezicht te houden op de naleving van die instrumenten. Dit betekent dat alle cyberbeveiligingssystemen en -diensten die betrokken zijn bij de preventie en opsporing van en de reactie op cyberdreigingen, moeten voldoen aan het huidige privacy- en gegevensbeschermingskader. In dit verband acht de EDPS het van belang en noodzakelijk dat er een duidelijke en ondubbelzinnige definitie wordt vastgesteld voor de term “cyberbeveiliging” in het kader van het voorstel.

De EDPS doet specifieke aanbevelingen om ervoor te zorgen dat het voorstel een correcte en doeltreffende aanvulling vormt op de bestaande wetgeving van de Unie inzake de bescherming van persoonsgegevens, met name de AVG en de e-privacyrichtlijn, ook door de EDPS en het Europees Comité voor gegevensbescherming er waar nodig bij te betrekken, en duidelijke mechanismen in te stellen voor de samenwerking tussen de bevoegde instanties van de verschillende regelgevingsgebieden.

Voorts moeten in de bepalingen betreffende het beheer van de registers voor topleveldomeinnamen duidelijk de desbetreffende werkingssfeer en voorwaarden in rechte worden vastgelegd. Ook het concept van de proactieve scans van netwerk- en informatiesystemen door de CSIRT’s vergt nadere verduidelijkingen over de werkingssfeer en de soorten persoonsgegevens die worden verwerkt. De aandacht wordt gevestigd op de risico’s voor mogelijke niet-conforme gegevensoverdrachten in verband met de uitbesteding van cyberbeveiligingsdiensten of de verwerving van cyberbeveiligingsproducten en de toeleveringsketen ervan.

De EDPS is ingenomen met de oproep om het gebruik van encryptie, met name eind-tot-eindcodering, te bevorderen en herhaalt zijn standpunt dat encryptie een essentiële en onvervangbare technologie is voor doeltreffende gegevensbescherming en privacy, en dat omzeiling ervan het mechanisme elke beschermingscapaciteit zou ontnemen wegens mogelijk onrechtmatig gebruik en verlies van vertrouwen in de beveiligingscontroles. Hiertoe moet worden verduidelijkt dat niets in het voorstel mag worden opgevat als een goedkeuring van het verzwakken van eind-tot-eindcodering door middel van “achterdeurtjes” of soortgelijke oplossingen.

1. Inleiding en achtergrond

1. Op 16 december 2020 heeft de Europese Commissie een voorstel aangenomen voor een richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot intrekking van Richtlijn (EU) 2016/1148 ( 1 ) (“het voorstel”).

2. Op dezelfde datum hebben de Europese Commissie en de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid een gezamenlijke mededeling aan het Europees Parlement en de Raad uitgebracht, met de titel “De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk” (“de strategie”). ( 2 )

3. De strategie is erop gericht de strategische autonomie van de Unie op het gebied van cyberbeveiliging te versterken en haar veerkracht en collectieve respons te verbeteren, alsook een mondiaal en open internet met duidelijke waarborgen op te bouwen om de risico’s voor de veiligheid en de grondrechten en fundamentele vrijheden van de mensen in Europa aan te pakken. ( 3 )

4. De strategie bevat voorstellen voor regelgevings-, investerings- en beleidsinitiatieven op drie gebieden voor EU-actie: 1) veerkracht, technologische soevereiniteit en leiderschap, 2) de opbouw van operationele capaciteit om te voorkomen, af te schrikken en te reageren, en 3) het bevorderen van een mondiale, open cyberspace.

5. Het voorstel vormt een van de regelgevingsinitiatieven van de strategie, met name op het gebied van veerkracht, technologische soevereiniteit en leiderschap.

6. Volgens de memorie van toelichting wordt met het voorstel beoogd het bestaande rechtskader, d.w.z. Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (“NIS-richtlijn”), te moderniseren ( 4 ) . Met het voorstel wordt beoogd voort te bouwen op de huidige NIS-richtlijn, die de eerste EU-brede wetgeving inzake cyberbeveiliging vormde en voorziet in wettelijke maatregelen om het algemene niveau van cyberbeveiliging in de Unie op te voeren, en deze richtlijn in te trekken. In het voorstel wordt rekening gehouden met de toegenomen digitalisering van de interne markt in de afgelopen jaren en met een zich ontwikkelend landschap van cyberdreiging, een situatie die is versterkt sinds het uitbreken van de COVID-19-crisis. Het voorstel heeft tot doel een aantal vastgestelde tekortkomingen van de NIS-richtlijn te verhelpen en de cyberveerkracht te verhogen van alle publieke en private sectoren die een belangrijke functie vervullen voor de economie en de samenleving.

7. De belangrijkste elementen van het voorstel zijn: (i) de uitbreiding van het toepassingsgebied van de huidige NIS-richtlijn door nieuwe sectoren toe te voegen op basis van hun kriticiteit voor de economie en de samenleving; (ii) strengere beveiligingseisen voor onder de richtlijn vallende bedrijven en entiteiten, door een risicobeheersaanpak op te leggen met een lijst van basisbeveiligingselementen die ten minste moeten worden toegepast; (iii) de beveiliging van toeleveringsketens en leveranciersrelaties aan te pakken door individuele bedrijven te verplichten cyberbeveiligingsrisico’s in toeleveringsketens en leveranciersrelaties aan te pakken; (iv) versterking van de samenwerking tussen de autoriteiten van de lidstaten en met de instellingen, bureaus, organen en agentschappen van de Unie op het gebied van cyberbeveiligingsgerelateerde activiteiten, waaronder cybercrisismanagement.

8. Op 14 januari 2021 heeft de EDPS een verzoek om formele raadpleging ontvangen van de Europese Commissie over het “Voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot intrekking van Richtlijn (EU) 2016/1148”.

3. Conclusies

77. In het licht van het voorgaande formuleert de EDPS de volgende aanbevelingen:

Betreffende de strategie inzake cyberbeveiliging

— dient in aanmerking te worden genomen dat de eerste stap ter beperking van de risico’s voor gegevensbescherming en privacy die verbonden zijn aan nieuwe technologieën ter verbetering van de cyberbeveiliging, zoals AI, bestaat in de toepassing van de in artikel 25 AVG vastgelegde vereisten inzake gegevensbescherming door ontwerp en door standaardinstellingen, die zullen helpen bij het integreren van de passende waarborgen, zoals pseudonimisering, encryptie, nauwkeurigheid van gegevens, minimale gegevensverwerking, in het ontwerp en het gebruik van deze technologieën en systemen;

— dient in aanmerking te worden genomen dat het van belang is het perspectief van privacy- en gegevensbescherming te integreren in het beleid en de normen inzake cyberbeveiliging, alsook in het traditionele beheer van cyberbeveiliging, teneinde een holistische aanpak te garanderen en synergieën mogelijk te maken voor publieke en particuliere organisaties bij het beheer van cyberbeveiliging en de bescherming van de gegevens die zij verwerken, zonder nodeloze inspanningen;

— dient te worden overwogen en gepland welke middelen de EU-instellingen moeten gebruiken om hun cyberbeveiligingscapaciteit te versterken, ook op een manier die volledig strookt met de waarden van de EU;

— dient rekening te worden gehouden met de dimensies van privacy- en gegevensbescherming in cyberbeveiliging, door te investeren in beleid, praktijken en instrumenten waarbij het perspectief van privacy- en gegevensbescherming wordt geïntegreerd in het traditionele cyberbeveiligingsbeheer en doeltreffende waarborgen voor gegevensbescherming worden ingebouwd wanneer bij cyberbeveiligingsactiviteiten persoonsgegevens worden verwerkt;

Betreffende de werkingssfeer van de strategie en van het voorstel aan de instellingen, bureaus, organen en agentschappen van de Unie

— dient rekening te worden gehouden met de behoeften en de rol van de EU-instellingen, zodat zij in dit algemene EU-brede cyberbeveiligingskader worden opgenomen als entiteiten die hetzelfde hoge niveau van bescherming genieten als de entiteiten in de lidstaten; en

— dienen in het toepassingsgebied van het voorstel ook uitdrukkelijk de instellingen, bureaus, organen en agentschappen van de Unie te worden opgenomen.

Betreffende de verhouding tot de bestaande wetgeving van de Unie inzake de bescherming van persoonsgegevens

— dient in artikel 2 van het voorstel te worden verduidelijkt dat de wetgeving van de Unie inzake de bescherming van persoonsgegevens, met name de AVG en de e-privacyrichtlijn, van toepassing is op elke verwerking van persoonsgegevens die binnen het toepassingsgebied van het voorstel valt (in plaats van alleen binnen specifieke contexten); en

— dient in een overweging dienaangaande tevens te worden verduidelijkt dat met het voorstel niet wordt beoogd afbreuk te doen aan de toepassing van de bestaande EU-wetgeving betreffende de verwerking van persoonsgegevens, met inbegrip van de taken en bevoegdheden van de onafhankelijke toezichthoudende autoriteiten die bevoegd zijn om toezicht te houden op de naleving van die instrumenten;

Betreffende de definitie van cyberbeveiliging

— dient duidelijk te worden gemaakt dat de termen “cyberbeveiliging” en “beveiliging van netwerk- en informatiesystemen” verschillend worden gebruikt; en dient de term “cyberbeveiliging” in het algemeen en de term “beveiliging van netwerk- en informatiesystemen” alleen te worden gebruikt wanneer de context (bv. een zuiver technische context, zonder rekening te houden met de gevolgen voor de gebruikers van de systemen en andere personen) dit toelaat.

Betreffende de domeinnamen en registratiegegevens (“whois-gegevens”)

— dient duidelijk te worden aangegeven wat “relevante informatie” inhoudt met het oog op de identificatie van en het contact met de houders van de domeinnamen en de contactpunten die de domeinnamen onder de topleveldomeinnamen beheren;

— dient nader te worden verduidelijkt welke categorieën domeinregistratiegegevens (die geen persoonsgegevens zijn) moeten worden bekendgemaakt;

— dient nader te worden verduidelijkt welke (openbare of particuliere) entiteiten “legitieme toegangvragende partijen” kunnen zijn;

— dient te worden verduidelijkt of de persoonsgegevens die worden bijgehouden in de registers voor topleveldomeinnamen en door de entiteiten die registratiediensten voor topleveldomeinnamen verlenen, ook toegankelijk moeten zijn voor entiteiten buiten de EER, en als dat het geval zou zijn, dient duidelijk te worden bepaald welke voorwaarden, beperkingen en procedures voor die toegang gelden, waarbij in voorkomend geval ook rekening wordt gehouden met de vereisten in artikel 49, lid 2, AVG; en

— dient nader te worden verduidelijkt wat een “rechtmatig en naar behoren gemotiveerd” verzoek is op basis waarvan toegang wordt verleend, en onder welke voorwaarden.

Betreffende het “proactief scannen van de netwerk- en informatiesystemen” door de CSIRT’s

— dient in de tekst van het voorstel duidelijk te worden afgebakend welke soorten proactieve scanning de CSIRT’s kunnen worden verzocht uit te voeren en wat de belangrijkste categorieën persoonsgegevens zijn.

Betreffende uitbesteding en toeleveringsketen

— dient bij de beoordeling van toeleveringsketens voor technologie en systemen voor de verwerking van persoonsgegevens rekening te worden gehouden met de kenmerken die een effectieve toepassing van het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen mogelijk maken;

— dient bij de beoordeling van de risico’s van ICT-diensten, -systemen of -producten voor de toeleveringsketen rekening te worden gehouden met specifieke vereisten in het land van oorsprong die een belemmering kunnen vormen voor de naleving van de EU-wetgeving inzake privacy en gegevensbescherming; en

— dient in de wetstekst de verplichte raadpleging van de EDPB te worden opgenomen bij de vaststelling van de bovengenoemde kenmerken en, in voorkomend geval, bij de in overweging 46 bedoelde gecoördineerde sectorale risicobeoordeling;

— dient te worden aanbevolen om in een overweging te vermelden dat opensourcecyberbeveiligingsproducten (software en hardware), met inbegrip van opensource-encryptie, de nodige transparantie zouden kunnen bieden om specifieke risico’s voor de toeleveringsketen te beperken

Betreffende encryptie

— dient in overweging 54 te worden verduidelijkt dat niets in het voorstel mag worden opgevat als een goedkeuring van het verzwakken van eind-tot-eindcodering door middel van “achterdeurtjes” of soortgelijke oplossingen;

Betreffende de maatregelen voor het beheer van cyberbeveiligingsrisico’s

— dient zowel in de overwegingen als in het inhoudelijk deel van het voorstel het concept te worden opgenomen dat de integratie van het perspectief van privacy- en gegevensbescherming in het traditionele beheer van cyberbeveiligingsrisico’s zal zorgen voor een holistische aanpak en synergieën mogelijk zal maken voor publieke en particuliere organisaties bij het beheer van cyberbeveiliging en de bescherming van de gegevens die zij verwerken, zonder nodeloze inspanningen;

— dient in de wettekst een verplichting te worden opgenomen voor Enisa om de EDPB te raadplegen bij het opstellen van relevante aanbevelingen;

Betreffende inbreuken in verband met persoonsgegevens

— dient de tekst “binnen een redelijke termijn” in artikel 32, lid 1, te worden gewijzigd in “zonder onnodige vertraging”;

Betreffende de samenwerkingsgroep

— dient in de wettekst te worden opgenomen dat de EDPB deelneemt aan de samenwerkingsgroep, rekening houdend met het verband tussen de taak van deze groep en het gegevensbeschermingskader.

Betreffende jurisdictie en territorialiteit

— dient in de wetstekst te worden verduidelijkt dat het voorstel geen gevolgen heeft voor de bevoegdheden van de toezichthoudende autoriteiten voor gegevensbescherming uit hoofde van de AVG;

— dient een alomvattende rechtsgrondslag te worden verschaft voor de samenwerking en uitwisseling van gegevens tussen bevoegde instanties en toezichthoudende autoriteiten, die elk op hun eigen bevoegdheidsgebied optreden; en

— dient te worden verduidelijkt dat de bevoegde instanties uit hoofde van het voorstel in staat moeten zijn om aan de bevoegde toezichthoudende autoriteiten op grond van Verordening (EU) 2016/679, op verzoek of op eigen initiatief, alle informatie te verstrekken die is verkregen in het kader van eventuele controles en onderzoeken die betrekking hebben op de verwerking van persoonsgegevens, en om daartoe een uitdrukkelijke rechtsgrondslag op te nemen.

Brussel, 11 maart 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot intrekking van Richtlijn (EU) 2016/1148, COM(2020) 823 final.

(2) De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk, JOIN(2020) 18 final.

(3) Zie hoofdstuk I. INLEIDING, blz. 4, van de strategie.

(4) Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PB L 194 van 19.7.2016, blz. 1).