48.

In het licht van het voorgaande beveelt de EDPS in hoofdzaak het volgende aan: — de EDPS beveelt aan in een overweging toe te voegen dat het voorstel voortbouwt op het NIS 2.0-voorstel, en het verband tussen het voorstel en de NIS-richtlijn en het NIS 2.0-voorstel nader toe te lichten in de overwegingen 4 en 5. Voorts beveelt de EDPS aan om in de hoofdtekst de volgende formulering op te nemen: “De minimale beveiligingseisen moeten ten minste gelijk zijn aan of strenger zijn dan de minimale beveiligingseisen van de entiteiten van het NIS-voorstel en het NIS 2.0-voorstel”; — de EDPS beveelt ten zeerste aan dat het voorstel duidelijk een rechtsgrond moet bieden voor de verwerking van persoonsgegevens door het CERT-EU en de instellingen van de EU, met inbegrip van met name de doeleinden van de verwerking en de categorieën persoonsgegevens. Daarnaast moeten de volgende elementen uitdrukkelijk worden vastgelegd: (a) identificatie van de verwerkingsverantwoordelijke(n), verwerkers of gezamenlijke verwerkingsverantwoordelijken, naargelang het geval; (b) categorieën betrokkenen; (c) bewaringsperioden of ten minste criteria om dergelijke perioden te bepalen. De EDPS is van mening dat deze elementen uitdrukkelijk in het voorstel moeten worden opgenomen, of ten minste in een gedelegeerde handeling die later door de Commissie moet worden vastgesteld. Het voorstel moet voorzien in een dergelijke delegatie; — de EDPS beveelt ten zeerste aan om “versleuteling in rust”, “versleuteling bij verzending” en “eind-tot-eindversleuteling” op te nemen in de lijst van minimale cyberbeveiligingsmaatregelen in bijlage II bij het voorstel; — de EDPS beveelt ten zeerste aan dat het voorstel voorziet in een specifieke verplichting voor de in artikel 4, lid 5, bedoelde plaatselijke cyberbeveiligingsfunctionaris om samen te werken met de overeenkomstig artikel 43 van de EUDPR aangewezen functionaris voor gegevensbescherming bij het aanpakken van overlappende activiteiten zoals het toepassen van gegevensbescherming door ontwerp en door standaardinstellingen op cyberbeveiligingsmaatregelen, het selecteren van cyberbeveiligingsmaatregelen die persoonsgegevens betreffen, geïntegreerd risicobeheer en geïntegreerde behandeling van beveiligingsincidenten; — de EDPS beveelt ten zeerste aan dat aan artikel 12 “missie en taken van het CERT-EU” van het voorstel de bepaling wordt toegevoegd dat “het CERT-EU nauw met de EDPS samenwerkt bij het aanpakken van incidenten die leiden tot inbreuken in verband met persoonsgegevens of waarbij het vertrouwelijke karakter van elektronische communicatie wordt geschonden”; — de EDPS beveelt aan om het CERT-EU te verplichten de EDPS te informeren wanneer het belangrijke kwetsbaarheden, significante incidenten of grote aanvallen aanpakt die kunnen leiden tot inbreuken op persoonsgegevens en/of het vertrouwelijke karakter van elektronische communicatie kunnen schenden; — de EDPS beveelt aan in artikel 12 te bepalen dat de EDPS wordt betrokken bij de bewustmakingsactiviteiten op het gebied van cyberbeveiliging van het CERT-EU in de instellingen van de EU, teneinde de wisselwerking tussen inbreuken op persoonsgegevens en cyberincidenten te bestrijken; — de EDPS beveelt aan een bepaling aan artikel 12 “missie en taken van het CERT-EU” van het voorstel toe te voegen waarin wordt vermeld dat het CERT-EU de EDPS onverwijld in kennis stelt van aanwijzingen dat een schending door de instellingen van de EU van de in het voorstel vastgestelde verplichtingen een inbreuk in verband met persoonsgegevens inhoudt; — de EDPS beveelt ten zeerste aan dat de Europese Toezichthouder voor gegevensbescherming aan artikel 9, lid 3, wordt toegevoegd als permanente deelnemer aan de IICB met één vertegenwoordiger.