48.

Vzhľadom na uvedené skutočnosti EDPS vydáva tieto hlavné odporúčania: — EDPS odporúča doplniť do odôvodnenia, že návrh vychádza z návrhu NIS 2.0, a podrobnejšie vysvetliť prepojenie medzi návrhom a smernicou NIS, ako aj návrhom NIS 2.0 v odôvodneniach 4 a 5. EDPS okrem toho odporúča, aby sa do hlavného textu vložilo toto znenie: „Minimálne bezpečnostné požiadavky by mali byť aspoň rovnaké alebo vyššie ako minimálne bezpečnostné požiadavky v prípade subjektov uvedených v NIS a návrhu NIS 2.0“; — EDPS dôrazne odporúča, aby sa v návrhu jasne stanovoval právny základ pre spracúvanie osobných údajov tímom CERT-EU a inštitúciami, orgánmi, úradmi a agentúrami Únie, a to najmä pokiaľ ide o účely spracovania a kategórie osobných údajov. Okrem toho by sa mali výslovne stanoviť tieto prvky: a) identifikácia prevádzkovateľov, sprostredkovateľov alebo prípadne spoločných prevádzkovateľov; b) kategórie dotknutých osôb; c) ) obdobia uchovávania alebo aspoň kritériá na určenie takýchto období. EDPS sa domnieva, že tieto prvky by sa mali výslovne stanoviť v návrhu alebo aspoň v delegovanom akte, ktorý následne prijme Komisia. V návrhu by sa malo stanoviť takéto delegovanie; — EDPS dôrazne odporúča zahrnúť do zoznamu minimálnych kybernetickobezpečnostných opatrení uvedených v prílohe II k návrhu „šifrovanie neaktívnych informácií“, „šifrovanie prenášaných informácií“, ako aj „šifrovanie medzi koncovými zariadeniami“; — EDPS dôrazne odporúča, aby sa v návrhu stanovila osobitná povinnosť miestneho úradníka pre kybernetickú bezpečnosť vymedzeného v článku 4 ods. 5 spolupracovať so zodpovednou osobou určenou v súlade s článkom 43 EUDPR pri riešení prekrývajúcich sa otázok, ako je uplatňovanie špecificky navrhnutej a štandardnej ochrany údajov na opatrenia v oblasti kybernetickej bezpečnosti, výber opatrení v oblasti kybernetickej bezpečnosti, ktoré zahŕňajú osobné údaje, integrované riadenie rizík a integrované riešenie bezpečnostných incidentov; — EDPS dôrazne odporúča doplniť do článku 12 „Poslanie a úlohy CERT-EU“ návrhu ustanovenie, že „CERT-EU úzko spolupracuje s EDPS pri riešení incidentov, ktoré majú za následok porušenie ochrany osobných údajov alebo porušenie dôvernosti elektronických komunikácií“; — EDPS odporúča doplniť povinnosť CERT-EU informovať európskeho dozorného úradníka pre ochranu údajov pri riešení závažných zraniteľných miest, závažných incidentov alebo významných útokov, ktoré môžu viesť k porušeniu ochrany osobných údajov a/alebo k narušeniu dôvernosti elektronických komunikácií; — EDPS odporúča, aby sa v článku 12 stanovilo, že EDPS sa zapojí do činností CERT-EU zameraných na zvyšovanie informovanosti o kybernetickej bezpečnosti inštitúcií, orgánov, úradov a agentúr Únie s cieľom pokryť vzájomný vzťah medzi porušovaním ochrany osobných údajov a kybernetickými incidentmi; — EDPS odporúča doplniť do článku 12 „Poslanie a úlohy CERT-EU“ návrhu ustanovenie, v ktorom by sa uviedlo, že CERT-EU bez zbytočného odkladu informuje európskeho dozorného úradníka pre ochranu údajov, ak má informácie o tom, že porušenie povinností stanovených v návrhu zo strany inštitúcií, orgánov, úradov a agentúr Únie predstavuje porušenie ochrany osobných údajov; — EDPS dôrazne odporúča, aby sa do článku 9 ods. 3 doplnil európsky dozorný úradník pre ochranu údajov ako stály účastník IICB s jedným zástupcom.