Povzetek mnenja evropskega nadzornika za varstvo podatkov o strategiji za kibernetsko varnost ter direktivi o varnosti omrežij in informacijskih sistemov 2.0

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP www.edps.europa.eu)

(2021/C 183/03)

Evropska komisija je 16. decembra 2020 sprejela predlog direktive Evropskega parlamenta in Sveta o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148 (v nadaljnjem besedilu: predlog). Hkrati sta Evropska komisija ter visoki predstavnik Unije za zunanje zadeve in varnostno politiko izdala skupno sporočilo Evropskemu parlamentu in Svetu z naslovom „Strategija EU za kibernetsko varnost v digitalnem desetletju“ (v nadaljnjem besedilu: strategija).

ENVP v celoti podpira splošni cilj strategije, da se v okviru večdeležniškega modela zagotovi globalen in odprt internet z močnimi varovali pred tveganji za varnost in temeljne pravice s priznavanjem strateške vrednosti interneta in njegovega upravljanja ter krepitvijo delovanja Unije v zvezi s tem.

ENVP zato prav tako pozdravlja namen predloga, da se sedanja direktiva o varnosti omrežij in informacijskih sistemov sistemsko in strukturno spremeni tako, da se zajame širša skupina subjektov v Uniji, z močnejšimi varnostnimi ukrepi, vključno z obveznim obvladovanjem tveganj, minimalnimi standardi ter ustreznimi določbami o nadzoru in izvrševanju. V zvezi s tem ENVP meni, da je treba za doseganje enotne ravni varstva v celotni okvir kibernetske varnosti za vso EU popolnoma vključiti institucije Unije, njene urade, organe in agencije, in sicer z njihovo izrecno vključitvijo v področje uporabe predloga.

Poleg tega ENVP poudarja pomembnost vključevanja vidika varstva zasebnosti in podatkov v ukrepe za kibernetsko varnost, ki izhajajo iz predloga ali drugih pobud strategije za kibernetsko varnost, da se zagotovi celosten pristop in omogoči sinergija pri upravljanju kibernetske varnosti in varovanju osebnih podatkov, ki se pri tem obdelujejo. Enako pomembno je, da morebitna omejitev pravice do varstva osebnih podatkov in zasebnosti, ki jo prinašajo taki ukrepi, izpolnjuje merila iz člena 52 Listine EU o temeljnih pravicah, zlasti pa da se doseže z zakonodajnim ukrepom ter da je hkrati potrebna in sorazmerna.

ENVP pričakuje, da namen predloga ni vplivati na uporabo obstoječih zakonov EU, ki urejajo obdelavo osebnih podatkov, vključno z nalogami in pooblastili neodvisnih nadzornih organov, pristojnih za spremljanje skladnosti s temi instrumenti. To pomeni, da bi morali biti vsi sistemi in storitve za kibernetsko varnost, ki so vključeni v preprečevanje kibernetskih groženj, njihovo odkrivanje in odzivanje nanje, v skladu s sedanjim okvirom varstva zasebnosti in podatkov. V zvezi s tem ENVP meni, da je za namene predloga pomembna in potrebna jasna in nedvoumna opredelitev pojma „kibernetska varnost“.

ENVP izdaja posebna priporočila, da bi predlog pravilno in uspešno dopolnjeval sedanjo zakonodajo Unije o varstvu osebnih podatkov, zlasti splošno uredbo o varstvu podatkov ter direktivo o zasebnosti in elektronskih komunikacijah, tudi tako, da se v postopek po potrebi vključita ENVP in Evropski odbor za varstvo podatkov ter vzpostavijo jasni mehanizmi sodelovanja med pristojnimi organi z različnih regulativnih področij.

Poleg tega bi morale določbe o upravljanju registrov vrhnjih internetnih domen jasno opredeliti ustrezno zakonsko področje uporabe in pogoje. Tudi pri pojmu proaktivnih pregledov omrežij in informacijskih sistemov, ki jih opravljajo skupine CSIRT, je treba dodatno pojasniti področje uporabe in vrste osebnih podatkov, ki se obdelujejo. Pozornost je treba nameniti tveganjem za mogoče neskladne prenose podatkov, povezane z oddajanjem storitev za kibernetsko varnost zunanjim izvajalcem, ali pridobivanju proizvodov za kibernetsko varnost ter njihovi dobavni verigi.

ENVP pozdravlja poziv k spodbujanju uporabe šifriranja, zlasti šifriranja od konca do konca, in ponavlja svoje stališče o šifriranju kot kritični in nenadomestljivi tehnologiji za uspešno varstvo podatkov in zasebnosti, izogibanje tej tehnologiji pa bi mehanizem prikrajšalo za kakršno koli zmožnost varstva zaradi možnosti njihove nezakonite uporabe in izgube zaupanja v varnostni nadzor. Zato bi moralo biti pojasnjeno, da se nič v predlogu ne bi smelo razlagati, kot da podpira slabljenje šifriranja od konca do konca skozi „stranska vrata“ ali podobne rešitve.

1. Uvod in ozadje

1. Evropska komisija je 16. decembra 2020 sprejela predlog direktive Evropskega parlamenta in Sveta o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148 ( 1 ) (v nadaljnjem besedilu: predlog).

2. Istega dne sta Evropska komisija ter visoki predstavnik Unije za zunanje zadeve in varnostno politiko izdala skupno sporočilo Evropskemu parlamentu in Svetu z naslovom „Strategija EU za kibernetsko varnost v digitalnem desetletju“ (v nadaljnjem besedilu: strategija). ( 2 )

3. Strategija je namenjena okrepitvi strateške avtonomije Unije na področjih kibernetske varnosti, izboljšanju njene odpornosti in kolektivnega odziva ter vzpostavitvi globalnega in odprtega interneta z močnimi varovali za obravnavanje tveganj za varnost ter temeljne pravice in svoboščine prebivalcev Evrope. ( 3 )

4. Strategija vsebuje predloge za regulativne, naložbene in politične pobude na treh področjih delovanja EU: (1) odpornosti, tehnološke neodvisnosti in vodilne vloge, (2) krepitve operativne zmogljivosti za preprečevanje, odvračanje in odzivanje ter (3) spodbujanja globalnega in odprtega kibernetskega prostora.

5. Predlog je ena od regulativnih pobud strategije, zlasti na področju odpornosti, tehnološke neodvisnosti in vodilne vloge.

6. V skladu z obrazložitvenim memorandumom je namen predloga posodobiti obstoječi pravni okvir, tj. Direktivo (EU) 2016/1148 Evropskega parlamenta in Sveta (v nadaljnjem besedilu: direktiva o varnosti omrežij in informacijskih sistemov) ( 4 ) . Namen predloga je izhajati iz sedanje direktive o varnosti omrežij in informacijskih sistemov, ki je bila prva zakonodaja o kibernetski varnosti, ki se uporablja po vsej EU, in določa pravne ukrepe za zvišanje splošne ravni kibernetske varnosti v Uniji, ter jo razveljaviti. Predlog upošteva večjo digitalizacijo notranjega trga v zadnjih letih in razvijajoče se okolje kibernetskih groženj, ki sta se od začetka krize zaradi pandemije covida-19 še dodatno okrepila. Namen predloga je obravnavati več ugotovljenih pomanjkljivosti direktive o varnosti omrežij in informacijskih sistemov ter zvišati raven kibernetske odpornosti vseh javnih in zasebnih sektorjev, ki opravljajo pomembno funkcijo za gospodarstvo in družbo.

7. Glavni elementi predloga so: (i) razširitev področja uporabe sedanje direktive o varnosti omrežij in informacijskih sistemov z dodajanjem novih sektorjev na podlagi njihove kritičnosti za gospodarstvo in družbo; (ii) močnejše varnostne zahteve za zajete družbe in subjekte z naložitvijo pristopa k obvladovanju tveganj, ki določa minimalni seznam osnovnih varnostnih elementov, ki jih je treba uporabiti; (iii) obravnava varnosti dobavnih verig in odnosov z dobavitelji z zahtevo, da posamezne družbe obravnavajo tveganja za kibernetsko varnost v dobavnih verigah in odnosih z dobavitelji; (iv) krepitev sodelovanja med organi držav članic ter institucijami, uradi, organi in agencijami Unije pri obravnavanju dejavnosti, povezanih s kibernetsko varnostjo, vključno s kriznim upravljanjem kibernetske varnosti.

8. ENVP je 14. januarja 2021 od Evropske komisije prejel zahtevo za uradno posvetovanje o predlogu direktive Evropskega parlamenta in Sveta o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148.

3. Sklepne ugotovitve

77. Glede na navedeno ENVP priporoča naslednje:

glede strategije za kibernetsko varnost

— naj se upošteva, da je prvi korak k ublažitvi tveganj za varstvo podatkov in zasebnost, povezanih z novimi tehnologijami za izboljšanje kibernetske varnosti, kot je umetna inteligenca, uporaba zahtev vgrajenega in privzetega varstva podatkov iz člena 25 splošne uredbe o varstvu podatkov, ki bodo pomagale pri vključevanju ustreznih zaščitnih ukrepov, kot so psevdonimizacija, šifriranje, točnost podatkov in najmanjši obseg podatkov, v snovanje in uporabo teh tehnologij in sistemov,

— naj se upošteva pomembnost vključevanja vidika varstva zasebnosti in podatkov v politike ter standarde, povezane s kibernetsko varnostjo, in v tradicionalno upravljanje kibernetske varnosti, da se zagotovi celosten pristop ter javnim in zasebnim organizacijam omogoči sinergija pri upravljanju kibernetske varnosti in varovanju osebnih podatkov, ki jih obdelujejo, brez nekoristnega povečevanja prizadevanj,

— naj se viri, ki jih morajo institucije, uradi, organi in agencije EU uporabiti za krepitev svoje zmogljivosti za kibernetsko varnost, proučijo in načrtujejo tudi tako, da so v celoti spoštovane vrednote EU,

— naj se upoštevajo razsežnosti kibernetske varnosti pri varstvu zasebnosti in podatkov z vlaganjem v politike, prakse in orodja, ki bo v tradicionalno upravljanje kibernetske varnosti vključilo vidik varstva zasebnosti in podatkov, v obdelavo osebnih podatkov pri dejavnostih kibernetske varnosti pa uspešne zaščitne ukrepe za varstvo podatkov,

glede področja uporabe strategije ter predloga v zvezi z institucijami, uradi, organi in agencijami Unije

— naj se potrebe ter vloga institucij, uradov, organov in agencij EU upoštevajo tako, da se v ta celotni okvir kibernetske varnosti za vso EU vključijo kot subjekti, ki uživajo enako visoko raven varstva kot tisti v državah članicah; ter

— naj se institucije, uradi, organi in agencije EU izrecno vključijo v področje uporabe predloga;

glede razmerja z obstoječo zakonodajo Unije o varstvu osebnih podatkov

— naj se v členu 2 predloga pojasni, da se zakonodaja Unije o varstvu osebnih podatkov, zlasti splošna uredba o varstvu podatkov ter direktiva o zasebnosti in elektronskih komunikacijah, uporablja za vsako obdelavo osebnih podatkov, ki spada na področje uporabe predloga (in ne le v posebnih okoliščinah), ter

— naj se v ustrezni uvodni izjavi pojasni, da namen predloga ni vplivati na uporabo obstoječih zakonov EU, ki urejajo obdelavo osebnih podatkov, vključno z nalogami in pooblastili neodvisnih nadzornih organov, pristojnih za spremljanje skladnosti s temi instrumenti;

glede opredelitve pojma kibernetska varnost

— naj se pojasni različna raba pojmov „kibernetska varnost“ ter „varnost omrežij in informacijskih sistemov“ in naj se pojem „kibernetska varnost“ uporablja na splošno, pojem „varnost omrežij in informacijskih sistemov“ pa le, kadar okvir (npr. popolnoma tehničen, ki ne upošteva vplivov na uporabnike sistemov in druge osebe) to dovoljuje;

glede domenskih imen in podatkov o registraciji (v nadaljnjem besedilu: podatki „WHOIS“)

— naj se jasno pove, kaj so „ustrezne informacije“ za identifikacijo imetnikov domenskih imen in kontaktnih točk, ki upravljajo domenska imena v okviru vrhnjih domen, in navezavo stika z njimi,

— naj se podrobneje pojasni, katere kategorije podatkov o registraciji domene (ki niso osebni podatki) bi morale biti predmet objave,

— naj se dodatno pojasni, kateri (javni ali zasebni) subjekti bi lahko bili „osebe, ki imajo upravičen razlog za dostop“,

— naj se pojasni, ali bi osebni podatki, ki jih imajo registri vrhnjih domen in subjekti, ki opravljajo storitve registracije domenskih imen za vrhnje domene, morali biti dostopni tudi subjektom zunaj EGP, in če je tako, kadar je ustrezno, jasno določijo pogoji, omejitve in postopki za tak dostop ob hkratnem upoštevanju zahtev člena 49(2) splošne uredbe o varstvu podatkov; ter

— naj se vnese dodatno pojasnilo, kaj je „zakonit in ustrezno utemeljen“ zahtevek, na podlagi katerega se odobri dostop, in pod katerimi pogoji;

glede „proaktivnega pregleda omrežij in informacijskih sistemov“, ki ga opravljajo skupine CSIRT

— naj se jasno razmejijo vrste proaktivnega pregleda, za katere se lahko zaprosi skupine CSIRT, in opredelijo glavne vrste osebnih podatkov, vključene v besedilo predloga;

glede oddajanja zunanjim izvajalcem in dobavne verige

— naj se pri ocenjevanju dobavnih verig tehnologije in sistemov za obdelavo osebnih podatkov upoštevajo značilnosti, ki omogočajo uspešno izvajanje načela vgrajenega in privzetega varstva podatkov,

— naj se pri ocenjevanju tveganj v zvezi z dobavno verigo storitev, sistemov ali proizvodov IKT upoštevajo posebne zahteve države porekla, ki lahko ovirajo skladnost z zakonodajo EU o varstvu zasebnosti in podatkov; ter

— naj se v pravno besedilo vključi obvezno posvetovanje z ENVP pri opredeljevanju navedenih značilnosti in po potrebi pri usklajeni sektorski oceni tveganj, navedeni v uvodni izjavi 46,

— naj se v uvodni izjavi navede, da lahko odprtokodni proizvodi za kibernetsko varnost (programska in strojna prema), vključno z odprtokodnim šifriranjem, zagotovijo potrebno preglednost za ublažitev posebnih tveganj v zvezi z dobavnimi verigami;

glede šifriranja

— naj se v uvodni izjavi 54 pojasni, da se nič v predlogu ne bi smelo razlagati, kot da podpira slabljenje šifriranja od konca do konca skozi „stranska vrata“ ali podobne rešitve;

glede ukrepov za obvladovanje tveganj v zvezi s kibernetsko varnostjo

— naj se v uvodne izjave in vsebinski del predloga vključi pojem, da se bo z vključitvijo vidika varstva zasebnosti in podatkov v tradicionalno obvladovanje tveganj v zvezi s kibernetsko varnostjo zagotovil celosten pristop ter javnim in zasebnim organizacijam omogočila sinergija pri upravljanju kibernetske varnosti in varovanju osebnih podatkov, ki jih obdelujejo, brez nekoristnega povečevanja prizadevanj,

— naj se v pravno besedilo doda obveznost Agencije Evropske unije za kibernetsko varnost (ENISA), da se pri pripravi ustreznih nasvetov posvetuje z ENVP;

glede kršitve varstva osebnih podatkov

— naj se v členu 32(1) besedilo „v razumnem času“ spremeni v „brez nepotrebnega odlašanja“;

glede skupine za sodelovanje

— naj se v pravno besedilo vključi udeležba ENVP v skupini za sodelovanje ob upoštevanju povezave med nalogo te skupine in okvirom varstva podatkov;

glede sodne pristojnosti in teritorialnosti

— naj se v pravnem besedilu pojasni, da predlog ne vpliva na pristojnosti nadzornih organov za varstvo podatkov iz splošne uredbe o varstvu podatkov,

— naj se zagotovi celovita pravna podlaga za sodelovanje in izmenjavo informacij med pristojnimi in nadzornimi organi, ki delujejo znotraj svojih ustreznih področij pristojnosti; ter

— naj se pojasni, da bi morali biti pristojni organi iz predloga zmožni pristojnim nadzornim organom iz Uredbe (EU) 2016/679 na njihovo zahtevo ali na lastno pobudo zagotoviti vse informacije v okviru revizij in preiskav, ki se nanašajo na obdelavo osebnih podatkov, ter v zvezi s tem vključiti izrecno pravno podlago.

V Bruslju, 11. marca 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Predlog direktive Evropskega parlamenta in Sveta o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148, COM (2020) 823 final.

(2) Strategija EU za kibernetsko varnost v digitalnem desetletju, JOIN (2020) 18 final.

(3) Glej poglavje I. UVOD, stran 4 strategije.

(4) Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta z dne 6. julija 2016 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (UL L 194, 19.7.2016, str. 1).