C 183/3

Zhrnutie stanoviska európskeho dozorného úradníka pre ochranu údajov k stratégii kybernetickej bezpečnosti a smernici NIS 2

(Úplné znenie tohto stanoviska je k dispozícii v anglickom, francúzskom a nemeckom jazyku na webovom sídle európskeho dozorného úradníka pre ochranu údajov www.edps.europa.eu)

(2021/C 183/03)

Európska komisia prijala 16. decembra 2020 návrh smernice Európskeho parlamentu a Rady o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice (EÚ) 2016/1148 (ďalej len „návrh“). Európska komisia a vysoký predstaviteľ Únie pre zahraničné veci a bezpečnostnú politiku zároveň vydali spoločné oznámenie Európskemu parlamentu a Rade s názvom „Stratégia kybernetickej bezpečnosti EÚ v digitálnej dekáde“ (ďalej len „stratégia“).

Európsky dozorný úradník pre ochranu údajov (ďalej len „EDPS“) plne podporuje všeobecný cieľ tejto stratégie, ktorým je zabezpečenie globálneho a otvoreného internetu so silnými prvkami ochrany pred rizikami z hľadiska bezpečnosti a základných práv, pričom uznáva strategickú hodnotu internetu a jeho správy a posilnenia činnosti Únie v tejto oblasti, a to prostredníctvom modelu založeného na viacerých zainteresovaných stranách.

EDPS preto rovnako víta cieľ návrhu zaviesť systémové a štrukturálne zmeny súčasnej smernice NIS s cieľom zahrnúť širšiu skupinu subjektov v Únii s prísnejšími bezpečnostnými opatreniami vrátane povinného riadenia rizík, minimálnych pravidiel a príslušných ustanovení o dohľade a presadzovaní práva. V tejto súvislosti sa EDPS domnieva, že je potrebné v plnej miere zapojiť inštitúcie, úrady, orgány a agentúry Únie do celkového rámca pre kybernetickú bezpečnosti v rámci celej EÚ, aby sa dosiahla jednotná úroveň ochrany, a to výslovným zahrnutím inštitúcií, úradov, orgánov a agentúr Únie do rozsahu pôsobnosti návrhu.

EDPS ďalej zdôrazňuje, že je dôležité začleniť hľadisko ochrany súkromia a údajov do opatrení v oblasti kybernetickej bezpečnosti, ktoré vyplývajú z tohto návrhu alebo z iných iniciatív stratégie v oblasti kybernetickej bezpečnosti, s cieľom zabezpečiť holistický prístup a umožniť dosahovanie synergií pri riadení kybernetickej bezpečnosti a ochrane osobných informácií, ktoré sa spracúvajú. Rovnako dôležité je, aby každé prípadné obmedzenie práva na ochranu osobných údajov a súkromia vyplývajúce z takýchto opatrení spĺňalo kritériá stanovené v článku 52 Charty základných práv EÚ, a najmä aby k nemu dochádzalo na základe legislatívneho opatrenia, a aby bolo nevyhnutné a primerané.

EDPS predpokladá, že cieľom návrhu nie je ovplyvniť uplatňovanie existujúcich právnych predpisov EÚ, ktoré upravujú spracúvanie osobných údajov vrátane úloh a právomocí nezávislých dozorných orgánov oprávnených monitorovať dodržiavanie týchto nástrojov. To znamená, že všetky systémy a služby v oblasti kybernetickej bezpečnosti využívané pri prevencii kybernetických hrozieb, ich odhaľovaní a reakcii na ne by mali byť v súlade so súčasným rámcom ochrany súkromia a údajov. V tejto súvislosti EDPS považuje za dôležité a potrebné stanoviť jasnú a jednoznačnú definíciu pojmu „kybernetická bezpečnosť“ na účely tohto návrhu.

EDPS vydáva konkrétne odporúčania s cieľom zabezpečiť, aby návrh správne a účinne dopĺňal existujúce právne predpisy Únie o ochrane osobných údajov, najmä všeobecné nariadenie o ochrane údajov a smernicu o súkromí a elektronických komunikáciách, v prípade potreby aj zapojením EDPS a Európskeho výboru pre ochranu údajov a vytvorením jasných mechanizmov spolupráce medzi príslušnými orgánmi z rôznych regulačných oblastí.

Okrem toho by sa v ustanoveniach o riadení správcov mien domény najvyššej úrovne na internete mal v právnych predpisoch jasne vymedziť príslušný rozsah pôsobnosti a podmienky. Aj pojem proaktívneho skenovania sietí a informačných systémov jednotkami CSIRT si vyžaduje ďalšie objasnenie rozsahu pôsobnosti a druhov spracúvaných osobných údajov. Je potrebné poukázať na riziká spojené s možnými prenosmi údajov, pri ktorých sa nedodržiava súlad vzhľadom na externé zabezpečovanie služieb kybernetickej bezpečnosti alebo nadobúdanie produktov z oblasti kybernetickej bezpečnosti a ich dodávateľské reťazce.

EDPS víta výzvu na podporu používania šifrovania, a najmä šifrovania medzi koncovými zariadeniami, a znovu vyjadruje svoj názor na šifrovanie ako na kritickú a nenahraditeľnú technológiu na účinnú ochranu údajov a súkromia, ktorej obchádzanie by zbavovalo mechanizmus akejkoľvek možnosti ochrany z dôvodu možného nezákonného používania a straty dôvery v bezpečnostné kontroly. Na tento účel by sa malo objasniť, že nič v návrhu by sa nemalo vykladať ako schválenie oslabenia šifrovania medzi koncovými zariadeniami prostredníctvom „zadných dvierok“ alebo podobných riešení.

1. Úvod a súvislosti

1. Európska komisia prijala 16. decembra 2020 návrh smernice Európskeho parlamentu a Rady o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice (EÚ) 2016/1148 ( 1 ) (ďalej len „návrh“).

2. V ten istý deň Európska komisia a vysoký predstaviteľ Únie pre zahraničné veci a bezpečnostnú politiku vydali spoločné oznámenie Európskemu parlamentu a Rade s názvom „Stratégia kybernetickej bezpečnosti EÚ v digitálnej dekáde“ (ďalej len „stratégia“). ( 2 )

3. Cieľom stratégie je posilniť strategickú autonómiu Únie v oblasti kybernetickej bezpečnosti a zlepšiť jej odolnosť a spoločnú reakciu, ako aj vybudovať globálny a otvorený internet so silnými prvkami ochrany pred rizikami z hľadiska bezpečnosti a základných práv a slobôd Európanov. ( 3 )

4. Stratégia obsahuje návrhy regulačných, investičných a politických iniciatív v troch oblastiach činnosti EÚ: 1. odolnosť, technologická suverenita a vedúce postavenie, 2. budovanie operačnej kapacity na prevenciu, odrádzanie a reakciu a 3. presadzovanie globálneho a otvoreného kybernetického priestoru.

5. Návrh predstavuje jednu z regulačných iniciatív stratégie, a to najmä v oblasti odolnosti, technologickej suverenity a vedúceho postavenia.

6. Podľa dôvodovej správy je cieľom návrhu modernizovať existujúci právny rámec, t. j. smernicu Európskeho parlamentu a Rady (EÚ) 2016/1148 (ďalej len „smernica NIS“). ( 4 ) Cieľom návrhu je vychádzať zo súčasnej smernice NIS, ktorá bola prvým právnym predpisom o kybernetickej bezpečnosti platným v celej EÚ a poskytuje právne opatrenia na zvyšovanie celkovej úrovne kybernetickej bezpečnosti v Únii, a zrušiť ju. V návrhu sa zohľadňuje rastúca digitalizácia vnútorného trhu počas posledných rokov a vyvíjajúce sa hrozby v oblasti kybernetickej bezpečnosti, pričom tento vývoj sa ďalej zintenzívnil od vypuknutia krízy spôsobenej ochorením COVID-19. Cieľom návrhu je riešiť niekoľko zistených nedostatkov smernice NIS a zvýšiť úroveň kybernetickej odolnosti všetkých tých sektorov, verejných aj súkromných, ktoré plnia dôležitú funkciu pre hospodárstvo a spoločnosť.

7. Hlavnými prvkami návrhu sú: (i) rozšírenie rozsahu pôsobnosti súčasnej smernice NIS pridaním nových odvetví na základe ich kritického významu pre hospodárstvo a spoločnosť; (ii) prísnejšie bezpečnostné požiadavky pre zahrnuté spoločnosti a subjekty, a to zavedením takého prístupu k riadeniu rizík, ktorý zahŕňa minimálny zoznam základných bezpečnostných prvkov, ktoré sa musia uplatňovať; (iii) riešenie bezpečnosti dodávateľských reťazcov a vzťahov s dodávateľmi tým, že sa od jednotlivých spoločností bude vyžadovať, aby riešili riziká v oblasti kybernetickej bezpečnosti v dodávateľských reťazcoch a vzťahoch s dodávateľmi; (iv) posilnenie spolupráce medzi orgánmi členských štátov a inštitúciami, úradmi, orgánmi a agentúrami Únie v oblasti činností týkajúcich sa kybernetickej bezpečnosti vrátane riadenia kybernetických krízových situácií.

8. EDPS prijal 14. januára 2021 žiadosť Európskej komisie o formálnu konzultáciu o „návrhu smernice Európskeho parlamentu a Rady o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice (EÚ) 2016/1148“.

3. Závery

77. V kontexte uvedeného EDPS uvádza tieto odporúčania:

Pokiaľ ide o stratégiu kybernetickej bezpečnosti

— zohľadniť, že prvým krokom na zmiernenie rizík súvisiacich s ochranou údajov a súkromia, ktoré súvisia s novými technológiami na zlepšenie kybernetickej bezpečnosti, ako je umelá inteligencia, je uplatňovanie požiadaviek špecificky navrhnutej a štandardnej ochrany údajov stanovených v článku 25 všeobecného nariadenia o ochrane údajov, čo pomôže pri začleňovaní primeraných záruk, ako je pseudonymizácia, šifrovanie, správnosť údajov, minimalizácia údajov, do návrhu a používania týchto technológií a systémov;

— zohľadniť význam začlenenia hľadiska ochrany súkromia a údajov do politík a noriem týkajúcich sa kybernetickej bezpečnosti, ako aj do tradičného riadenia kybernetickej bezpečnosti s cieľom zabezpečiť holistický prístup a umožniť dosahovanie synergií s verejnými a súkromnými organizáciami pri riadení kybernetickej bezpečnosti a ochrane informácií, ktoré spracúvajú, a to bez zbytočného znásobovania úsilia;

— zvážiť a plánovať zdroje, ktoré majú inštitúcie Únie použiť na posilnenie svojich kapacít v oblasti kybernetickej bezpečnosti, a to aj spôsobom, ktorý plne rešpektuje hodnoty EÚ;

— zohľadniť aspekty kybernetickej bezpečnosti týkajúce sa ochrany súkromia a údajov investovaním do politík, postupov a nástrojov, pri ktorých je hľadisko ochrany súkromia a údajov začlenené do tradičného riadenia kybernetickej bezpečnosti a účinné záruky ochrany údajov sú súčasťou spracúvania osobných údajov v rámci činností v oblasti kybernetickej bezpečnosti.

Pokiaľ ide o rozsah pôsobnosti stratégie a návrhu pre inštitúcie, úrady, orgány a agentúry Únie (ďalej aj „inštitúcie Únie“)

— zohľadniť potreby a úlohu inštitúcií Únie tak, aby sa začlenili do tohto celkového rámca pre kybernetickú bezpečnosť v rámci celej EÚ ako subjekty s rovnako vysokou úrovňou ochrany ako majú subjekty v členských štátoch; a

— výslovne zahrnúť inštitúcie, úrady, orgány a agentúry Únie do rozsahu pôsobnosti návrhu.

Pokiaľ ide o vzťah k existujúcim právnym predpisom Únie o ochrane osobných údajov

— objasniť v článku 2 návrhu, že právne predpisy Únie na ochranu osobných údajov, najmä všeobecné nariadenie o ochrane údajov a smernica o súkromí a elektronických komunikáciách, sa vzťahujú na každé spracúvanie osobných údajov, ktoré patrí do rozsahu pôsobnosti návrhu (namiesto spracúvania len v osobitných kontextoch); a

— v príslušnom odôvodnení tiež objasniť, že cieľom návrhu nie je ovplyvniť uplatňovanie existujúcich právnych predpisov EÚ, ktoré upravujú spracúvanie osobných údajov vrátane úloh a právomocí nezávislých dozorných orgánov oprávnených monitorovať dodržiavanie týchto nástrojov.

Pokiaľ ide o definíciu kybernetickej bezpečnosti

— objasniť odlišné používanie pojmov „kybernetická bezpečnosť“ a „bezpečnosť sietí a informačných systémov“; a používať pojem „kybernetická bezpečnosť“ vo všeobecnosti a pojem „bezpečnosť sietí a informačných systémov“ len vtedy, ak to umožňuje kontext (napr. vo výlučne technickom kontexte bez ohľadu na vplyv na používateľov systémov a iných osôb).

Pokiaľ ide o mená domén a registračné údaje (ďalej len „údaje WHOIS“)

— jasne vymedziť, čo predstavuje „relevantné informácie“ na účely identifikácie a kontaktovania držiteľov mien domén a kontaktných miest spravujúcich mená domén v rámci TLD;

— podrobnejšie objasniť, ktoré kategórie registračných údajov domény (ktoré nepredstavujú osobné údaje) by mali byť zverejňované;

— ďalej objasniť, ktoré (verejné alebo súkromné) subjekty by mohli predstavovať „oprávnených záujemcov o prístup“;

— objasniť, či by k osobným údajom, ktoré majú správcovia TLD a subjekty poskytujúce služby registrácie doménových mien pre TLD, mali mať prístup aj subjekty mimo EHP, a ak áno, jasne stanoviť podmienky, obmedzenia a postupy pre takýto prístup, v prípade potreby aj so zohľadnením požiadaviek podľa článku 49 ods. 2 všeobecného nariadenia o ochrane údajov;

— ďalej objasniť, čo predstavuje „zákonnú a riadne odôvodnenú“ žiadosť, na základe ktorej sa prístup poskytne a za akých podmienok.

Pokiaľ ide o „proaktívne skenovanie sietí a informačných systémov“ jednotkami CSIRT

— jasne vymedziť druhy proaktívneho skenovania, o ktorého vykonanie môžu byť požiadané jednotky CSIRT, a určiť hlavné kategórie osobných údajov, ktorých sa znenie návrhu týka.

Pokiaľ ide o externé zabezpečovanie činností a dodávateľský reťazec

— pri posudzovaní dodávateľských reťazcov z hľadiska technológie a systémov na spracúvanie osobných údajov zohľadniť prvky umožňujúce účinné uplatňovanie zásady špecificky navrhnutej a štandardnej ochrany údajov;

— pri posudzovaní rizík týkajúcich sa služieb, systémov alebo produktov IKT v rámci dodávateľského reťazca zohľadniť osobitné požiadavky v krajine pôvodu, ktoré by mohli predstavovať prekážku súladu s právnymi predpismi EÚ o ochrane súkromia a údajov;

— zahrnúť do textu právneho predpisu povinnú konzultáciu s Európskym výborom pre ochranu údajov pri vymedzovaní uvedených prvkov a v prípade potreby pri koordinovanom odvetvovom posúdení rizika uvedenom v odôvodnení 46.

— odporučiť, aby sa v odôvodnení uviedlo, že produkty kybernetickej bezpečnosti s otvoreným zdrojovým kódom (softvér a hardvér) vrátane šifrovania s otvoreným zdrojovým kódom by mohli poskytovať potrebnú transparentnosť na zmiernenie špecifických rizík v rámci dodávateľského reťazca.

Pokiaľ ide o šifrovanie

— objasniť v odôvodnení 54, že nič v návrhu by sa nemalo vykladať ako schválenie oslabenia šifrovania medzi koncovými zariadeniami prostredníctvom „zadných dvierok“ alebo podobných riešení.

Pokiaľ ide o opatrenia na riadenie rizík v oblasti kybernetickej bezpečnosti

— začleniť do odôvodnení a do vecnej časti návrhu koncepciu, podľa ktorej sa začlenením hľadiska ochrany súkromia a údajov do tradičného riadenia rizík v oblasti kybernetickej bezpečnosti zabezpečí holistický prístup a umožní dosahovanie synergií s verejnými a súkromnými organizáciami pri riadení kybernetickej bezpečnosti a ochrane informácií, ktoré spracúvajú, a to bez zbytočného znásobovania úsilia;

— doplniť do textu právneho predpisu povinnosť agentúry ENISA konzultovať s Európskym výborom pre ochranu údajov pri vypracúvaní príslušných odporúčaní.

Pokiaľ ide o porušenia ochrany osobných údajov

— zmeniť v znení článku 32 ods. 1 „v primeranej lehote“ na „bez zbytočného odkladu“.

Pokiaľ ide o skupinu pre spoluprácu

— zahrnúť do textu právneho predpisu účasť Európskeho výboru pre ochranu údajov v skupine pre spoluprácu, pri zohľadnení súvislosti medzi úlohou tejto skupiny a rámcom ochrany údajov.

Pokiaľ ide o jurisdikciu a teritorialitu

— objasniť v texte právneho predpisu, že návrh nemá vplyv na právomoci dozorných orgánov pre ochranu údajov podľa všeobecného nariadenia o ochrane údajov;

— poskytnúť komplexný právny základ pre spoluprácu a výmenu informácií medzi príslušnými orgánmi a dozornými orgánmi, ktoré konajú v rámci svojich príslušných oblastí pôsobnosti; a

— objasniť, že príslušné orgány by podľa návrhu mali na žiadosť príslušných dozorných orgánov podľa nariadenia (EÚ) 2016/679 alebo z vlastnej iniciatívy byť schopné poskytnúť akékoľvek informácie získané v súvislosti s akýmikoľvek auditmi a vyšetrovaniami, ktoré sa týkajú spracúvania osobných údajov, a zahrnúť na tento účel výslovný právny základ.

V Bruseli 11. marca 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Návrh smernice Európskeho parlamentu a Rady o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice (EÚ) 2016/1148, COM(2020) 823 final.

(2) Stratégia kybernetickej bezpečnosti EÚ v digitálnej dekáde, JOIN(2020) 18 final.

(3) Pozri kapitolu I. ÚVOD, na strane 4 stratégie.

(4) Smernica Európskeho parlamentu a Rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (Ú. v. EÚ L 194, 19.7.2016, s. 1).