Povzetek mnenja Evropskega nadzornika za varstvo podatkov o predlogu Uredbe o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije

[Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP www.edps.europa.eu]

(2022/C 258/07)

Dne 22. marca 2022 je Evropska komisija sprejela predlog Uredbe o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije (v nadaljnjem besedilu: predlog).

ENVP pozdravlja namen predloga, da se izboljša odnos institucij, organov, uradov in agencij Unije glede kibernetske varnosti, enako pa pozdravlja tudi novo vlogo nekdanje skupine za odzivanje na računalniške grožnje, ki se sedaj imenuje center za kibernetsko varnost (CERT-EU), ki upošteva okrepljeno digitalizacijo, čedalje hitreje razvijajoče se okolje kibernetskih groženj in nedaven digitalizacijski premik, do katerega je prišlo tudi zaradi pandemije covida-19.

ENVP obžaluje, da predlog ni skladen z direktivo o varnosti omrežij in informacijskih sistemov ter predlogom revidirane direktive o varnosti omrežij in informacijskih sistemov, tako da bi bila dosežena skladna in enotna pravila za države članice ter institucije, organe, urade in agencije Unije, kar bi prispevalo k splošni stopnji kibernetske varnosti v Uniji. ENVP priporoča, da se v predlog doda, da bi njegove minimalne varnostne zahteve morale biti vsaj enake minimalnim varnostnim zahtevam subjektov iz direktive o varnosti omrežij in informacijskih sistemov ter predloga revidirane direktive o varnosti omrežij in informacijskih sistemov ali večje od njih.

Za skladnost s predlogom bodo morali institucije, organi, uradi in agencije Unije ter CERT-EU vzpostaviti nekatere postopke in ukrepe za kibernetsko varnost, ki se bodo nanašali na dodatno obdelavo osebnih podatkov. Za doseganje pravne varnosti in predvidljivosti ter zagotovitev skladnosti z uredbo EUDPR ENVP še posebej priporoča, naj predlog ali vsaj delegirani akt, ki ga pozneje sprejme Komisija, jasno zagotovi pravno podlago za obdelavo osebnih podatkov, ki jo izvajajo CERT-EU ter institucije, organi, uradi in agencije Unije, zlasti pa naj vključuje namene obdelave in vrste osebnih podatkov.

ENVP poudarja pomembnost vključitve vidika varstva zasebnosti in podatkov v upravljanje kibernetske varnosti, da se doseže pozitivna sinergija med predlogom ter zakonodajo o varstvu zasebnosti in podatkov, ter podaja posebna priporočila o mogočem načinu doseganja take sinergije, vključno s posebno obveznostjo uradnikov EU, odgovornih za kibernetsko varnost, da tesno sodelujejo s pooblaščeno osebo za varstvo podatkov, imenovano v skladu z uredbo EUDPR.

ENVP še posebej priporoča, da predlog določi tesno sodelovanje med CERT-EU in ENVP pri dejavnostih, kot so tiste, v okviru katerih se obravnavajo incidenti, ki povzročijo kršitve varnosti osebnih podatkov, v okviru katerih se obravnavajo pomembne ranljivosti, pomembni incidenti ali večji napadi, ki lahko povzročijo kršitve varnosti osebnih podatkov, in kadar CERT-EU sumi, da kršitev predloga vključuje kršitev varnosti osebnih podatkov.

ENVP prav tako še posebej priporoča, da predlog določi udeležbo ENVP v Medinstitucionalnem odboru za kibernetsko varnost.

1. UVOD IN OZADJE

1. Dne 22. marca 2022 je Evropska komisija sprejela predlog Uredbe o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije (1) (v nadaljnjem besedilu: predlog).

2. Evropska komisija je istega dne sprejela predlog Uredbe o informacijski varnosti v institucijah, organih, uradih in agencijah Unije (2) (v nadaljnjem besedilu: predlog o informacijski varnosti).

3. Oba predloga sta predvidena v strategiji EU za kibernetsko varnost v digitalnem desetletju, predstavljeni 16. decembra 2020 (3) (v nadaljnjem besedilu: strategija). Splošni namen strategije je okrepiti strateško avtonomijo Unije na področju kibernetske varnosti, izboljšati njeno odpornost in kolektivni odziv ter vzpostaviti globalni in odprt internet z močnimi varovali za obravnavanje tveganj za varnost ter temeljne pravice in svoboščine prebivalcev Evrope (4).

4. Predlog je ena od regulativnih pobud strategije, zlasti na področju kibernetske varnosti institucij, organov, uradov in agencij EU. Predlog ima v skladu s strategijo dvojni namen: — obravnavati vse bolj sovražno okolje kibernetskih groženj in večjo pojavnost izpopolnjenih kibernetskih napadov, ki škodijo institucijam, organom in agencijam EU, zaradi katerih so potrebne večje naložbe za doseganje visoke ravni kibernetske zrelosti, in — okrepiti skupino EU za odzivanje na računalniške grožnje (CERT-EU) z izboljšanim mehanizmom financiranja, da bi se povečala njena sposobnost zagotavljanja pomoči institucijam, organom in agencijam EU pri uporabi novih pravil o kibernetski varnosti, ter izboljšati njihovo kibernetsko odpornost.

5. ENVP ugotavlja, da je predmet obravnavanega predloga povezan s predlogom Direktive Evropskega parlamenta in Sveta o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148 (v nadaljnjem besedilu: predlog revidirane direktive o varnosti omrežij in informacij). ENVP poudarja, da je izdal Mnenje 5/2021 o strategiji za kibernetsko varnost (5) in revidirani direktivi o varnosti omrežij in informacij (v nadaljnjem besedilu: mnenje o revidirani direktivi o varnosti omrežij in informacij) (6). Zato se bo to mnenje nanašalo na mnenje o revidirani direktivi o varnosti omrežij in informacij.

6. V skladu s strategijo je namen predloga dodatno izboljšati odpornost vseh institucij, organov in agencij Unije skupaj z njihovimi zmogljivostmi odzivanja na incidente. Poleg tega je v skladu s prednostnimi nalogami Komisije, da se Evropa prilagodi digitalni dobi in vzpostavi gospodarstvo, pripravljeno na prihodnost, ki koristi ljudem. Prav tako poudarja, da sta varnost in odpornost javne uprave temelj digitalne preobrazbe družbe kot celote.

7. Predlog v skladu z obrazložitvenim memorandumom: — določa ukrepe za zagotavljanje visoke skupne ravni kibernetske varnosti za institucije, organe in agencije Unije, — vzpostavlja Medinstitucionalni odbor za kibernetsko varnost, ki je odgovoren za spremljanje izvajanja predlagane uredbe, — vzpostavlja novo vlogo skupine za odzivanje na računalniške grožnje za evropske institucije, organe in agencije (v nadaljnjem besedilu: CERT-EU) (7) kot centra za kibernetsko varnost za institucije, organe in agencije Unije, skladno z razvojem v državah članicah in v svetu.

8. Komisija je 22. marca 2022 v skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (v nadaljnjem besedilu: uredba EUDPR) (8) ENVP zaprosila, da izda mnenje o predlogu. Pripombe in priporočila v tem mnenju so omejeni na določbe predloga, ki so najpomembnejše z vidika varstva podatkov in zasebnosti.

4. SKLEPNE UGOTOVITVE

48. Glede na navedeno ENVP podaja naslednja glavna priporočila: — ENVP priporoča, da se doda uvodna izjava, da predlog temelji na predlogu revidirane direktive o varnosti omrežij in informacij, in da se v uvodnih izjavah 4 in 5 dodatno pojasni povezava med predlogom in direktivo o varnosti omrežij in informacijskih sistemov ter predlogom revidirane direktive o varnosti omrežij in informacij. Poleg tega ENVP priporoča vključitev naslednjega besedila v glavno besedilo: „Minimalne varnostne zahteve bi morale biti vsaj enake minimalnim varnostnim zahtevam subjektov iz direktive o varnosti omrežij in informacijskih sistemov ter predloga revidirane direktive o varnosti omrežij in informacijskih sistemov ali večje od njih“; — ENVP še posebej priporoča, naj predlog jasno zagotovi pravno podlago za obdelavo osebnih podatkov, ki jo izvajajo CERT-EU ter institucije, organi, uradi in agencije Unije, še zlasti namene obdelave in vrste osebnih podatkov. Poleg tega bi bilo treba izrecno določiti naslednje elemente: (a) identifikacija upravljavcev, obdelovalcev in skupnih upravljavcev, kadar je primerno; (b) kategorije posameznikov, na katere se nanašajo osebni podatki; (c) obdobja hrambe ali vsaj merila za določitev takih obdobij. ENVP meni, da bi bilo treba te elemente izrecno določiti v predlogu ali vsaj v delegiranem aktu, ki ga pozneje sprejme Komisija. Predlog bi moral določiti tako pooblastilo; — ENVP še posebej priporoča vključitev šifriranja v mirovanju, šifriranja v tranzitu in šifriranja od konca do konca na seznam minimalnih ukrepov za kibernetsko varnost iz Priloge II k predlogu; — ENVP še posebej priporoča, da predlog določi posebno obveznost za lokalnega uradnika za kibernetsko varnost, opredeljenega v členu 4(5), da sodeluje s pooblaščeno osebo za varstvo podatkov, imenovano v skladu s členom 43 uredbe EUDPR, pri obravnavi prekrivajočih se dejavnosti, kot so uporaba vgrajenega in privzetega varstva podatkov pri ukrepih za kibernetsko varnost, izbira ukrepov za kibernetsko varnost, ki zajemajo osebne podatke, integrirano obvladovanje tveganj in integrirana obravnava varnostnih incidentov; — ENVP še posebej priporoča, da se v člen 12 „Poslanstvo in naloge CERT-EU“ predloga doda določba, da „CERT-EU tesno sodeluje z ENVP pri obravnavi incidentov, ki povzročijo kršitve varnosti osebnih podatkov ali kršitev zaupnosti elektronskih sporočil“; — ENVP priporoča dodajanje obveznosti za CERT-EU, da seznani ENVP, ko obravnava pomembne ranljivosti, pomembne incidente ali večje napade, ki lahko povzročijo kršitve varnosti osebnih podatkov in/ali kršitev zaupnosti elektronskih sporočil; — ENVP priporoča, da se v členu 12 določi, da je ENVP vključen v dejavnosti ozaveščanja CERT-EU o kibernetski varnosti pri institucijah, organih, uradih in agencijah Unije, da se zajame medsebojno vplivanje kršitve varnosti osebnih podatkov in kibernetskih incidentov; — ENVP priporoča, da se v člen 12 „Poslanstvo in naloge CERT-EU“ predloga doda določba, ki bi opredelila, da CERT-EU nemudoma seznani ENVP, ko posumi, da kršitev obveznosti institucij, organov, uradov in agencij Unije iz predloga vključuje kršitev varnosti osebnih podatkov; — ENVP še posebej priporoča, da se Evropski nadzornik za varstvo podatkov doda v člen 9(3) kot stalni udeleženec Medinstitucionalnega odbora za kibernetsko varnost z enim predstavnikom.

Bruselj, 17. maja 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 122 final.

(2) COM(2022) 119 final.

(3) Strategija EU za kibernetsko varnost v digitalnem desetletju | Oblikovanje digitalne prihodnosti (europa.eu), vključno s skupnim sporočilom z visokim predstavnikom Unije za zunanje zadeve in varnostno politiko (JOIN(2020)18).

(4) Glej poglavje I. UVOD strategije, stran 4.

(5) Skupno sporočilo Evropske komisije ter visokega predstavnika Unije za zunanje zadeve in varnostno politiko Evropskemu parlamentu in Svetu z naslovom Strategija EU za kibernetsko varnost v digitalnem desetletju.

(6) Mnenje ENVP 5/2021 o strategiji za kibernetsko varnost in revidirani direktivi o varnosti omrežij in informacij.

(7) Sedanja vloga CERT-EU izhaja iz Medinstitucionalnega sporazuma 2018/C 12/01.

(8) Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL L 295, 21.11.2018, str. 39).