48.

W świetle powyższego EIOD wydaje następujące główne zalecenia: — EIOD zaleca, aby w motywie dodać, że wniosek opiera się na wniosku NIS 2, oraz aby w motywach 4 i 5 dokładniej wyjaśnić związek między wnioskiem a dyrektywą NIS oraz wnioskiem NIS 2. Ponadto EIOD sugeruje, aby do tekstu głównego dodać następujące sformułowanie: „Minimalne wymogi bezpieczeństwa powinny być co najmniej takie same lub wyższe niż minimalne wymogi bezpieczeństwa podmiotów objętych dyrektywą NIS i wnioskiem NIS 2”; — EIOD zdecydowanie zaleca, aby we wniosku wyraźnie określić podstawę prawną przetwarzania danych osobowych przez CERT-UE i unijne instytucje, organy, urzędy i agencje, w tym w szczególności cele przetwarzania i kategorie danych osobowych. Ponadto należy wyraźnie określić następujące elementy: a) identyfikator administratora lub administratorów, podmiotów przetwarzających lub współadministratorów, stosownie do przypadku; b) kategorie osób, których dane dotyczą; c) okresy przechowywania danych lub przynajmniej kryteria ustalania takich okresów. EIOD uważa, że powyższe elementy należy wyraźnie opisać we wniosku lub przynajmniej w akcie delegowanym, który zostanie przyjęty przez Komisję w późniejszym terminie. Wniosek powinien przewidywać taką delegację; — EIOD zdecydowanie zaleca, aby do wykazu podstawowych środków cyberbezpieczeństwa zawartego w załączniku II do wniosku włączyć „szyfrowanie w spoczynku”, „szyfrowanie w tranzycie” oraz „szyfrowanie end-to-end”; — EIOD zdecydowanie zaleca, aby we wniosku przewidzieć szczególny obowiązek współpracy lokalnego urzędnika ds. cyberbezpieczeństwa, o którym mowa w art. 4 ust. 5, z inspektorem ochrony danych wyznaczonym zgodnie z art. 43 EUDPR w zakresie pokrywających się działań, takich jak uwzględnienie ochrony danych już w fazie projektowania i domyślnej ochrony w środkach cyberbezpieczeństwa, wybór środków cyberbezpieczeństwa, które obejmują dane osobowe, zintegrowane zarządzanie ryzykiem oraz zintegrowane postępowanie w przypadku incydentów bezpieczeństwa; — EIOD zdecydowanie zaleca, aby w art. 12 „Misja i zadania CERT-UE” wniosku dodać zapis: „Przy zajmowaniu się incydentami skutkującymi naruszeniem danych osobowych lub poufności łączności elektronicznej CERT-UE ściśle współpracuje z EIOD”; — EIOD zaleca, aby dodać obowiązek informowania EIOD przez CERT-UE o zajmowaniu się istotnymi podatnościami na zagrożenia, istotnymi incydentami lub poważnymi atakami, które mogą potencjalnie prowadzić do naruszenia danych osobowych lub poufności komunikacji elektronicznej; — EIOD zaleca, aby w art.12 zapisać, że EIOD będzie uczestniczyć w działaniach CERT-UE podnoszących świadomość w zakresie cyberbezpieczeństwa w unijnych instytucjach, organach, urzędach i agencjach, aby poruszyć kwestię wzajemnych zależności między naruszeniem danych osobowych a cyberincydentami; — EIOD zaleca, aby do art. 12 wniosku „Misja i zadania CERT-UE” dodać przepis, który określałby, że gdy do CERT-UE docierają sygnały, że naruszenie przez unijne instytucje, organy, urzędy i agencje obowiązków określonych we wniosku pociąga za sobą naruszenie danych osobowych, bez zbędnej zwłoki zawiadamia EIOD; — EIOD zdecydowanie zaleca, aby w art. 9 ust. 3 dodać Europejskiego Inspektora Ochrony Danych jako stałego uczestnika IICB z jednym przedstawicielem.