Figure 3 – How the GDPR and the NIS Directive complement each other 15 Personal data security Protection of natural persons with regard to the processing of personal data and rules relating to the free movement of personal data Applies to any person or entity processing personal data related to the offering of goods and services or to the monitoring of their behaviour Scope Target Highlights Notification Requirements Penalties Network security Achievement of high level of security of network and information systems within the Union so as to improve the functioning of the internal market General Data Protection Regulation (GDPR) Rights of the data subject Obligations of data controllers Rules for transferring personal data Report breaches to supervisory authority without delay In some cases the data subjects (individuals) need to be informed too Security and notification requirements apply to operators of essential services and digital service providers Obligation for Member States to define: a national strategy and to designate competent authorities, single points of contact and CSIRTs Establishment of Cooperation Group and CSIRTs Network Incident reporting to the Competent Authority by Operators of essential services (energy, transport, banking, health, water, digital infrastructure) Providers of digital services (online market places, online search engines, cloud computing services) Member States shall set penalties that are effective, proportionate and dissuasive NIS Directive Source: ECA. 
Kaavio 3 – Miten yleinen tietosuoja-asetus ja verkkoja tietoturvadirektiivi täydentävät toisiaan Miten yleinen tietosuoja-asetus ja verkkoja tietoturvadirektiivi täydentävät toisiaan Henkilötietosuoja Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn ja henkilötietojen vapaata liikkuvuutta koskevien sääntöjen osalta Soveltamisala Verkkoturvallisuus Verkkoturvallisuuden ja tietojärjestelmien korkeatasoisen 16 Sovelletaan henkilöihin tai tahoihin, jotka käsittelevät henkilötietoja tavaroiden ja palvelujen tarjoamisen yhteydessä, ja näiden käyttäytymisen seurantaan Rekisteröidyn oikeudet Rekisterinpitäjien velvoitteet Henkilötietojen siirtoa koskevat säännöt Kohde Pääkohdat Turvallisuus-ja ilmoitusvaatimuksia sovelletaan keskeisten palvelujen tarjoajiin ja digitaalisten palvelujen tarjoajiin Jäsenvaltioilla on velvollisuus laatia kansallinen strategia sekä nimetä toimivaltaiset viranomaiset, keskitetyt yhteyspisteet ja CSIRT-toimijat turvallisuuden saavuttaminen unionissa, jotta sisämarkkinoiden toiminta parantuu Yleinen tietosuoja-asetus Kyberturvallisuus-Rikkomuksista on ilmoitettava viipymättä valvontaviranomaiselle Ilmoitus on joissain tapauksissa annettava myös rekisteröidyille (yksityisille henkilöille) Enintään 20 miljoonaa euroa tai 4 prosenttia vuotuisesta kokonaisliikevaihdosta Seuraamukset Häiriötilanteista on ilmoitettava toimivaltaiselle viranomaiselle. Ilmoitusvelvollisia ovat keskeisten palvelujen tarjoajat (energia-, liikenne-, pankki-, terveydenhuolto-ja vesihuoltoala sekä digitaalinen infrastruktuuri) digitaalisten palvelujen tarjoajat (verkossa toimivat markkinapaikat, hakukoneet, pilvipalvelut) Jäsenvaltioiden on vahvistettava seuraamukset, jotka ovat tehokkaita, oikeasuhteisia ja varoittavia Ilmoitusvaatimukset Yhteistyöryhmän ja CSIRT-verkoston perustaminen direktiivi Lähde: Euroopan tilintarkastustuomioistuin. Toimijoihin, jotka keskeisiä palveluja tarjotessaan käsittelevät yksilöitä koskevia tietoja, sovelletaan kumpaakin lakia