Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie

(De volledige tekst van dit advies is in het Engels, Frans en Duits beschikbaar op de EDPS-website: www.edps.europa.eu)

(2022/C 258/06)

Op 22 maart 2022 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie (“het voorstel”).

De EDPS is ingenomen met het doel van het voorstel om de beveiliging van de door de EU-instellingen verwerkte informatie te verbeteren door hiervoor gemeenschappelijke voorschriften vast te stellen en te bevorderen dat een samenhangende informatiebeveiligingscultuur in een specifiek rechtsinstrument wordt vastgelegd.

De EDPS merkt op dat de beveiliging van persoonsgegevens op grond van de EUVG slechts gedeeltelijk overlapt met het toepassingsgebied van de informatiebeveiliging waarin het voorstel voorziet. In het voorstel ligt de nadruk op de vertrouwelijkheid van de informatie, terwijl in de EUVG ook de integriteit en de beschikbaarheid daarvan worden gewaarborgd. Voorts worden in de bepalingen van de EUVG inzake de beveiliging van persoonsgegevens uitdrukkelijk de risico’s voor de rechten en vrijheden van natuurlijke personen vermeld.

Op grond van het voorstel zijn de EU-instellingen verplicht met het oog op informatiebeveiliging bepaalde maatregelen te treffen. Daarbij zal het onvermijdelijk zijn persoonsgegevens en gegevens over elektronische communicatie, waaronder verkeersgegevens, te verwerken. De EDPS is van oordeel dat duidelijk moet worden gemaakt dat alle maatregelen in verband met informatiebeveiliging waarbij persoonsgegevens worden verwerkt, aan het huidige wettelijke kader voor gegevensbescherming en privacy moeten voldoen. De EU-instellingen dienen ook alle relevante technische en organisatorische waarborgen te bieden om ervoor te zorgen dat er voor de naleving van dit wettelijke kader verantwoording wordt afgelegd.

Om rechtszekerheid en voorzienbaarheid te bewerkstelligen en naleving van de EUVG te waarborgen, adviseert de EDPS met klem dat in het voorstel – of ten minste in een door de Commissie later vast te stellen gedelegeerde handeling – de gegevensverwerkingsactiviteiten worden omschreven die in het licht van deze verordening zijn toegestaan. De EDPS wijst er ook op dat de EUVG-regels betreffende de doorgifte van persoonsgegevens aan derde landen en internationale organisaties moeten worden nageleefd. Bovendien beveelt de EDPS aan in een overweging toe te lichten dat alle bepalingen van de EUVG van toepassing zullen zijn, waaronder de voorschriften voor internationale doorgiften.

De EDPS benadrukt hoe belangrijk het is dat er bij informatiebeveiligingsbeheer rekening wordt gehouden met privacy- en gegevensbeschermingsaspecten, om positieve synergieën tussen het voorstel en de wetgeving op het gebied van privacy en gegevensbescherming te bewerkstelligen. Ook doet de EDPS specifieke aanbevelingen over de manier waarop die synergieën tot stand kunnen worden gebracht. Zo kan aan EU-ambtenaren die verantwoordelijk zijn voor informatiebeveiliging de specifieke verplichting worden opgelegd om nauw samen te werken met de functionaris voor gegevensbescherming die in overeenstemming met artikel 43 van de EUVG is aangewezen, kan end-to-endversleuteling in de lijst van minimale beveiligingsmaatregelen van het voorstel worden opgenomen, in het bijzonder in het kader van de uitwisseling van gevoelige niet-gerubriceerde informatie wordt uitgewisseld, en kunnen geïntegreerde methoden voor het beheer van informatiebeveiligingsrisico’s en de afhandeling van incidenten worden bevorderd waarmee aan de verplichtingen – vanuit het oogpunt van zowel informatiebeveiliging als gegevensbescherming – op het gebied van kennisgevingen over inbreuken in verband met persoonsgegevens wordt voldaan.

1. INLEIDING EN ACHTERGROND

1. Op 22 maart 2022 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie (1) (“het voorstel”).

2. Op dezelfde datum heeft de Europese Commissie nog een ander voorstel aangenomen, ditmaal voor een verordening betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie (2) (“het cyberbeveiligingsvoorstel”).

3. Beide voorstellen waren al gepland in de EU-strategie inzake cyberbeveiliging voor het digitale tijdperk die op 16 december 2020 werd gepresenteerd (3) (“de strategie”). Het algehele doel van de strategie bestond erin de strategische autonomie van de Unie op het gebied van cyberbeveiliging te versterken en haar veerkracht en collectieve respons te verbeteren, en tevens een mondiaal en open internet met duidelijke waarborgen op te bouwen om de risico’s voor de veiligheid en de grondrechten en fundamentele vrijheden van de mensen in Europa aan te pakken (4).

4. Het voorstel vormt een van de regelgevingsinitiatieven van de strategie, met name op het gebied van de cyberbeveiliging van de instellingen, organen en instanties van de EU (“de EU-instellingen”). Volgens de strategie is het doel van het voorstel tweeledig: — de interoperabiliteit van gerubriceerde-informatiesystemen vergemakkelijken, waardoor een naadloze overdracht van informatie tussen de verschillende entiteiten mogelijk wordt, en — een interinstitutionele benadering van de behandeling van gerubriceerde EU-informatie en gevoelige niet-gerubriceerde EU-informatie mogelijk maken, die ook kan dienen als model voor interoperabiliteit tussen de lidstaten. De EU moet ook haar bekwaamheid om veilig te communiceren met relevante partners verder ontwikkelen, indien mogelijk op basis van bestaande regelingen en procedures.

5. De EDPS merkt op dat het onderwerp van het huidige voorstel ook rechtstreeks verband houdt met het voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot intrekking van Richtlijn (EU) 2016/1148 (“NIS 2.0-voorstel”). De EDPS wil zijn Advies 5/2021 over de strategie inzake cyberbeveiliging (5) en de NIS 2.0-richtlijn (“NIS 2.0-advies”) (6) in herinnering brengen. In dit advies wordt dan ook naar het NIS 2.0-advies verwezen.

6. In de toelichting op het voorstel staat te lezen dat het Europese bestuur blootstaat aan aanvallen op alle gebieden waarop het actief is, door de steeds grotere hoeveelheden gevoelige niet-gerubriceerde informatie en gerubriceerde informatie van de Europese Unie (“EUCI”) die de EU-instellingen onderling moeten uitwisselen en door de dramatische ontwikkeling van het dreigingslandschap. De informatie die de EU-instellingen verwerken, is zeer aantrekkelijk voor de dreigingsactoren en moet adequaat worden beschermd.

7. Volgens de toelichting zal het voorstel ervoor zorgen dat: — uitgebreide geharmoniseerde informatiecategorieën en gemeenschappelijke verwerkingsvoorschriften voor alle EU-instellingen worden vastgesteld; — een flexibele regeling voor de samenwerking inzake informatiebeveiliging tussen de EU-instellingen wordt opgezet, waarmee voor het gehele Europese bestuur een samenhangende informatiebeveiligingscultuur tot stand kan worden gebracht; — het informatiebeveiligingsbeleid op alle rubricerings- en categoriseringsniveaus voor alle EU-instellingen wordt gemoderniseerd, rekening houdend met de digitale transformatie en de ontwikkeling van thuiswerken als structurele praktijk.

8. Op 22 maart 2022 heeft de Commissie de Europese Toezichthouder voor gegevensbescherming geraadpleegd op grond van artikel 42, lid 1, van Verordening (EU) 2018/1725 v an het Europees Parlement en de Raad (“de EUVG”) (7). De opmerkingen en aanbevelingen in dit advies zijn beperkt tot de bepalingen in het voorstel die vanuit het oogpunt van gegevensbescherming en privacy het meest relevant zijn.

4. CONCLUSIES

31. In het licht van het voorgaande doet de EDPS in hoofdzaak de volgende aanbevelingen: — De EDPS adviseert met klem dat in het voorstel duidelijk wordt omschreven welke gegevensbeschermingsactiviteiten in het licht van deze verordening zijn toegestaan, onder vermelding van onder meer het doel of de doelen van de verwerking, de categorieën persoonsgegevens, de categorieën betrokkenen, een omschrijving van de toepasselijke rollen (verwerkingsverantwoordelijke, verwerker, gezamenlijke verwerkingsverantwoordelijken), de bewaartijden en de ontvangers in geval van doorzending aan entiteiten die niet onder de EUVG vallen. De EDPS is van oordeel dat deze elementen uitdrukkelijk dienen te worden genoemd in het voorstel, of ten minste in een gedelegeerde handeling die op een later tijdstip door de Commissie wordt vastgesteld. Het voorstel moet in deze delegatie voorzien. — De EDPS beveelt aan in een overweging toe te lichten dat alle bepalingen van de EUVG van toepassing zullen zijn, waaronder de voorschriften voor internationale doorgifte. In overweging 6 kunnen ook andere algemene aanbevelingen op het gebied van gegevensbescherming uit dit advies worden overgenomen die niet tot doel hebben de materiële bepalingen van de tekst te wijzigen. — De EDPS beveelt met klem aan om end-to-endversleuteling in de lijst van minimale beveiligingsmaatregelen van het voorstel op te nemen waar dit toepasselijk is, in het bijzonder in het kader van de uitwisseling van gevoelige niet-gerubriceerde informatie. — De EDPS beveelt aan in artikel 5, lid 3, toe te voegen dat ook dreigingen die gepaard gaan met toegang op basis van het rechtsgebied van derde landen (bijv. door de overheidsinstanties van die landen) tot de factoren worden gerekend waarmee bij het beheer van informatiebeveiligingsrisico’s rekening wordt gehouden. — De EDPS raadt met klem aan om in een relevante overweging uit te leggen wat de voordelen zijn van een geïntegreerd beheer van informatiebeveiligingsrisico’s en een geïntegreerde afhandeling van incidenten waarmee aan de verplichtingen op het gebied van kennisgevingen over inbreuken in verband met persoonsgegevens wordt voldaan, vanuit het oogpunt van zowel informatiebeveiliging als gegevensbescherming. — De EDPS adviseert dringend dat het voorstel voorziet in een specifieke verplichting voor EU-ambtenaren die verantwoordelijk zijn voor informatiebeveiliging om nauw samen te werken met de functionaris voor gegevensbescherming die in overeenstemming met artikel 43 van de EUVG is aangewezen in het kader van activiteiten als de toepassing van gegevensbescherming door ontwerp en door standaardinstellingen op informatiebeveiligingsmaatregelen, de selectie van beveiligingsmaatregelen waarmee persoonsgegevens gemoeid zijn, geïntegreerd risicobeheer en geïntegreerde afhandeling van beveiligingsincidenten.

Brussel, 17 mei 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk | De digitale toekomst van Europa vormgeven (europa.eu), die een gezamenlijke mededeling met de Hoge Vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid (JOIN(2020) 18) omvat.

(4) Zie hoofdstuk I (“Inleiding”) op blz. 4 van de strategie.

(5) Gezamenlijke mededeling van de Europese Commissie en de Hoge Vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid aan het Europees Parlement en de Raad met als titel “De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk”.

(6) Advies 5/2021 van de EDPS over de strategie inzake cyberbeveiliging en de NIS 2.0-richtlijn.

(7) Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).