Povzetek mnenja Evropskega nadzornika za varstvo podatkov o predlogu uredbe Evropskega parlamenta in Sveta o horizontalnih zahtevah glede kibernetske varnosti za izdelke z digitalnimi elementi in spremembi Uredbe (EU) 2019/1020

(2022/C 452/07)

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP https://edps.europa.eu)

Evropska komisija je 15. septembra 2022 objavila predlog uredbe Evropskega parlamenta in Sveta o horizontalnih zahtevah glede kibernetske varnosti za izdelke z digitalnimi elementi in spremembi Uredbe (EU) 2019/1020 (1) (v nadaljnjem besedilu: predlog).

ENVP pozdravlja predlog in v celoti podpira njegov splošni cilj izboljšanja delovanja notranjega trga z določitvijo enotnega pravnega okvira za bistvene zahteve glede kibernetske varnosti za dajanje izdelkov z digitalnimi elementi na trg Unije.

ENVP opozarja, da je v členu 5(1)(f) splošne uredbe o varstvu podatkov varnost določena kot eno glavnih načel v zvezi z obdelavo osebnih podatkov. Člen 32 navedene uredbe dodatno opredeljuje to obveznost, ki velja za upravljavce in tudi obdelovalce, da se zagotovi ustrezna raven varnosti. ENVP zato pozdravlja dejstvo, da sta načeli varnosti in najmanjšega obsega podatkov že vključeni v bistvene zahteve glede kibernetske varnosti, naštete v Prilogi I k predlogu. Poleg tega ENVP močno priporoča, da se načelo vgrajenega in privzetega varstva podatkov vključi v bistvene zahteve glede kibernetske varnosti izdelkov z digitalnimi elementi.

Uvodna izjava 17 vsebuje zelo pomembne določbe o upravljanju, ki se ne odražajo v operativnem delu predloga. Zato ENVP priporoča, da se v operativnem delu predloga navedejo vsi vidiki, povezani z ustvarjanjem sinergij pri standardizaciji in certificiranju kibernetske varnosti, ter sinergije med tem predlogom in zakonodajo Unije o varstvu podatkov na področju nadzora trga in izvrševanja. Poleg tega ENVP meni, da je treba pojasniti, da namen predloga ni vplivati na uporabo obstoječih zakonov EU, ki urejajo obdelavo osebnih podatkov, vključno z nalogami in pooblastili neodvisnih nadzornih organov, pristojnih za spremljanje skladnosti s temi instrumenti.

ENVP pozdravlja dejstvo, da ta določba priznava, da je obdelava osebnih podatkov kritična in občutljiva funkcija, zaradi česar bi lahko bil za ustrezne kritične izdelke z digitalnimi elementi potreben evropski certifikat kibernetske varnosti v okviru evropske certifikacijske sheme za kibernetsko varnost. Hkrati priporoča, da se v uvodni izjavi predloga pojasni, da pridobitev evropskega certifikata kibernetske varnosti v skladu s predlogom ne zagotavlja skladnosti s splošno uredbo o varstvu podatkov.

Nazadnje ENVP pozdravlja predlagane kazni, ki so podobne kaznim iz splošne uredbe o varstvu podatkov za kršitev člena 32 splošne uredbe o varstvu podatkov glede varnosti obdelave in predvidevajo najvišjo globo v višini 2,5 % skupnega svetovnega letnega prometa. Zato bi lahko bil predlog še ena oblika varstva posameznikov, ki prebivajo v državah članicah EU, v povezavi z določbami splošne uredbe o varstvu podatkov.

1. UVOD

1. Evropska komisija je 15. septembra 2022 objavila predlog uredbe Evropskega parlamenta in Sveta o horizontalnih zahtevah glede kibernetske varnosti za izdelke z digitalnimi elementi in spremembi Uredbe (EU) 2019/1020.

2. Cilj predloga je izboljšati delovanje notranjega trga z določitvijo enotnega pravnega okvira za bistvene zahteve glede kibernetske varnosti za dajanje izdelkov z digitalnimi elementi na trg Unije ( 2 ) . Namen predloga je zlasti določiti mejne pogoje za razvoj varnih izdelkov z digitalnimi elementi z zagotovitvijo, da se na trg dajejo izdelki strojne in programske opreme z manj ranljivostmi ter da proizvajalci v celotnem življenjskem ciklu izdelka resno obravnavajo vprašanje varnosti. Poleg tega je njegov namen ustvariti pogoje, ki uporabnikom omogočajo upoštevanje kibernetske varnosti pri izbiri in uporabi izdelkov z digitalnimi elementi ( 3 )

3. V ta namen predlog določa ( 4 ) — pravila za dajanje izdelkov z digitalnimi elementi na trg za zagotovitev njihove kibernetske varnosti; — bistvene zahteve za zasnovo, razvoj in proizvodnjo izdelkov z digitalnimi elementi ter obveznosti gospodarskih subjektov v zvezi s kibernetsko varnostjo teh izdelkov; — bistvene zahteve za postopke obravnavanja ranljivosti, ki jih vzpostavijo proizvajalci, za zagotovitev kibernetske varnosti izdelkov z digitalnimi elementi v celotnem življenjskem ciklu ter obveznosti gospodarskih subjektov v zvezi s temi postopki; — pravila o nadzoru trga ter izvrševanju navedenih pravil in zahtev.

4. Okvir EU vključuje več aktov horizontalne zakonodaje, ki zajemajo določene vidike, povezane s kibernetsko varnostjo, z različnih zornih kotov (izdelki, storitve, krizno upravljanje in kazniva dejanja). Leta 2013 je začela veljati direktiva o napadih na informacijske sisteme ( 5 ) , s katero so bile usklajene inkriminacija in kazni za več kaznivih dejanj zoper informacijske sisteme. Avgusta 2016 je začela veljati Direktiva (EU) 2016/1148 ( 6 ) o varnosti omrežij in informacijskih sistemov kot prvi zakonodajni akt o kibernetski varnosti na ravni EU. Z njeno revizijo, na podlagi katere je bila pripravljena direktiva o ukrepih za visoko skupno raven kibernetske varnosti v Uniji (revidirana direktiva o varnosti omrežij in informacij), se zvišuje raven ambicije na ravni EU. Leta 2019 je začel veljati akt EU o kibernetski varnosti ( 7 ) , katerega namen je izboljšati varnost izdelkov IKT, storitev IKT in postopkov IKT z uvedbo prostovoljnega evropskega certifikacijskega okvira za kibernetsko varnost.

5. To mnenje ENVP je podano kot odgovor na posvetovanje Evropske komisije dne 15. septembra 2022 v skladu s členom 42(1) uredbe EU o varstvu podatkov. ENVP pozdravlja sklic na to posvetovanje v uvodni izjavi 71 predloga. V zvezi s tem pozitivno ocenjuje tudi dejstvo, da je bilo z njim že opravljeno neuradno posvetovanje v skladu z uvodno izjavo 60 uredbe EU o varstvu podatkov.

3. SKLEPNE UGOTOVITVE

31. Glede na navedeno ENVP podaja naslednja priporočila: (1) načelo vgrajenega in privzetega varstva podatkov je treba vključiti v bistvene zahteve glede kibernetske varnosti izdelkov z digitalnimi elementi; (2) v preambuli je treba pojasniti pomen izdelkov z digitalnimi elementi, ki izvajajo kriptografske postopke, vključno s šifriranjem v mirovanju in v tranzitu ter psevdonimizacijo, ki so potrebni za učinkovito informacijsko varnost, kibernetsko varnost, varstvo podatkov in zasebnost; (3) v Prilogo II je treba dodati materialne in nematerialne izdelke z digitalnimi elementi, ki izvajajo kriptografske postopke; (4) Uredbo (EU) 2017/745 (8) je treba črtati s seznama zakonodajnih aktov, izključenih iz uporabe predloga; (5) v predlogu je treba izrecno pojasniti, kateri so elementi bistvenih zahtev iz člena 3(3)(e) Direktive 2014/53/EU (9) o osebnih podatkih in zasebnosti; (6) v operativnem delu predloga je treba določiti praktične vidike, povezane z ustvarjanjem sinergij na področju standardizacije in certificiranja kibernetske varnosti, ter sinergije med tem predlogom in zakonodajo Unije o varstvu podatkov na področju nadzora trga in izvrševanja; (7) pojasniti je treba, da namen predloga ni vplivati na uporabo obstoječih zakonov EU, ki urejajo obdelavo osebnih podatkov, vključno z nalogami in pooblastili neodvisnih nadzornih organov, pristojnih za spremljanje skladnosti s temi instrumenti; (8) dodati je treba ustrezne opredelitve pojmov „brezplačna programska oprema“, „odprtokodna programska oprema“ ter „brezplačna in odprtokodna programska oprema“; (9) v uvodni izjavi predloga je treba pojasniti, da pridobitev evropskega certifikata kibernetske varnosti v skladu s predlogom ne zagotavlja skladnosti s splošno uredbo o varstvu podatkov.

Bruselj, 9. november 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM/2022/454 final.

(2) Uvodna izjava (1) predloga.

(3) Uvodna izjava (2) predloga.

(4) Člen 1 predloga.

(5) Direktiva 2013/40/EU Evropskega parlamenta in Sveta z dne 12. avgusta 2013 o napadih na informacijske sisteme in nadomestitvi Okvirnega sklepa Sveta 2005/222/PNZ (UL L 218, 14.8.2013, str. 8).

(6) Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta z dne 6. julija 2016 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (UL L 194, 19.7.2016, str. 1).

(7) Uredba (EU) 2019/881 Evropskega parlamenta in Sveta z dne 17. aprila 2019 o Agenciji Evropske unije za kibernetsko varnost (ENISA) in o certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti ter razveljavitvi Uredbe (EU) št. 526/2013 (Akt o kibernetski varnosti) (UL L 151, 7.6.2019, str. 15).

(8) Uredba (EU) 2017/745 Evropskega parlamenta in Sveta z dne 5. aprila 2017 o medicinskih pripomočkih, spremembi Direktive 2001/83/ES, Uredbe (ES) št. 178/2002 in Uredbe (ES) št. 1223/2009 ter razveljavitvi Direktivi Sveta 90/385/EGS in 93/42/EGS (UL L 117, 5.5.2017, str. 1).

(9) Direktiva 2014/53/EU Evropskega parlamenta in Sveta z dne 16. aprila 2014 o usklajevanju zakonodaje držav članic v zvezi z dostopnostjo radijske opreme na trgu in razveljavitvi Direktive 1999/5/ES (UL L 153, 22. 5. 2014, stran 62).