Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om…

11.5.2021

Den Europæiske Unions Tidende

C 183/3

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om cybersikkerhedsstrategien og NIS 2.0-direktivet

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu)

(2021/C 183/03)

Den 16. december 2020 vedtog Europa-Kommissionen et forslag til Europa-Parlamentets og Rådets direktiv om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148 (»forslaget«). Samtidig udsendte Europa-Kommissionen og Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik en fælles meddelelse til Europa-Parlamentet og Rådet med overskriften »EU’s strategi for cybersikkerhed for det digitale årti«(»strategien«).

EDPS støtter fuldt ud strategiens overordnede mål om at sikre et globalt og åbent internet med stærke sikkerhedsforanstaltninger til at imødegå risici for sikkerheden og de grundlæggende rettigheder og anerkender internettets strategiske værdi samt forvaltningen af det og Unionens aktioner på internettet i en model med flere interessenter.

Ligeledes glæder EDPS sig over formålet med forslaget om at indføre systemiske og strukturelle ændringer af det nuværende NIS-direktiv med henblik på at dække flere enheder i hele Unionen med stærkere sikkerhedsforanstaltninger, der bl.a. omfatter obligatorisk risikostyring, minimumsstandarder og relevant tilsyn samt håndhævelsesbestemmelser. EDPS mener i denne forbindelse, at der er behov for fuldstændigt at integrere Unionens institutioner, kontorer, organer og agenturer i den overordnede ramme for cybersikkerhed med henblik på at opnå et ensartet niveau af beskyttelse ved eksplicit at medtage Unionens institutioner, kontorer, organer og agenturer i forslagets anvendelsesområde.

EDPS understreger desuden vigtigheden af at indarbejde perspektivet om privatlivets fred og databeskyttelse i de cybersikkerhedsforanstaltninger, der indføres med forslaget eller andre af strategiens cybersikkerhedstiltag, for at sikre en holistisk tilgang og bane vejen for synergier i varetagelsen af cybersikkerhed og beskyttelse af personoplysninger ved behandlingen af dem. Det er lige så vigtigt, at alle eventuelle begrænsninger af retten til beskyttelse af personoplysninger og privatlivets fred forbundet med sådanne foranstaltninger opfylder kriterierne i artikel 52 i EU’s charter om grundlæggende rettigheder, og navnlig at dette kan opnås ved hjælp af en lovgivningsmæssig foranstaltning, og at de er både nødvendige og forholdsmæssige.

EDPS antager, at forslaget ikke har til formål at påvirke anvendelsen af eksisterende EU-lovgivning om behandling af personoplysninger, herunder de opgaver og beføjelser, der påhviler de uafhængige tilsynsmyndigheder med kompetence til at overvåge, at disse instrumenter overholdes. Det betyder, at alle cybersikkerhedssystemer og -tjenester vedrørende forebyggelse, opdagelse og reaktion på cybertrusler skal være i overensstemmelse med den nuværende retlige ramme for privatlivets fred og databeskyttelse. EDPS finder det i denne henseende vigtigt og nødvendigt at fastlægge en klar og utvetydig definition af begrebet »cybersikkerhed« i forbindelse med forslaget.

EDPS udsteder specifikke henstillinger for at sikre, at forslaget korrekt og effektivt supplerer eksisterende EU-lovgivning om beskyttelse af personoplysninger, navnlig GDPR og e-databeskyttelsesdirektivet, ved desuden, når det er nødvendigt, at inddrage EDPS og Det Europæiske Databeskyttelsesråd og fastlægge klare mekanismer for samarbejde mellem kompetente myndigheder fra forskellige lovområder.

Derudover bør bestemmelserne om forvaltning af internettopdomæneadministratorer tydeligt definere det pågældende anvendelsesområde og betingelserne i loven. Ligeledes skal begrebet proaktiv scanning af netværks- og informationssystemer, der foretages af CSIRT’er, også præciseres nærmere, hvad angår anvendelsesområde, og hvilke typer personoplysninger der behandles. Der gøres opmærksom på risiciene for dataoverførsler, der ikke overholder lovgivningen, i forbindelse med outsourcing af cybersikkerhedstjenester eller erhvervelse af cybersikkerhedsprodukter og forsyningskæden bag disse.

EDPS glæder sig over opfordringen til at fremme brugen af kryptering, særlig end-to-end-kryptering, og gentager sin holdning til kryptering som en særdeles vigtig og uerstattelig teknologi til effektiv databeskyttelse og effektivt at beskytte privatlivets fred. Med en omgåelse af dette ville metoden ikke længere yde nogen beskyttelse på grund af den eventuelle ulovlige brug og mistede tillid til sikkerhedskontroller. Det bør derfor præciseres, at intet i forslaget skal fortolkes som en godkendelse af at svække end-to-end-kryptering gennem »bagdøre« eller lignende løsninger.

1. Indledning og baggrund

Samme dag offentliggjorde Europa-Kommissionen og Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik en fælles meddelelse til Europa-Parlamentet og Rådet med overskriften »EU’s strategi for cybersikkerhed for det digitale årti«(»strategien«). (2)

Formålet med strategien er at styrke Unionens strategiske autonomi inden for cybersikkerhed og at forbedre dens modstandsdygtighed og kollektive reaktion samt at opbygge et globalt og åbent internet med stærke værn for at imødegå risici for sikkerheden og de grundlæggende rettigheder og frihedsrettigheder for befolkningerne i Europa. (3)

Strategien indeholder forslag til regulerings-, investerings- og politiktiltag inden for tre af EU’s indsatsområder: 1) modstandsdygtighed, teknologisk suverænitet og lederskab, 2) opbygning af operationel kapacitet til at forebygge, modvirke og reagere og 3) fremme af et globalt og åbent cyberspace.

Forslaget er et af reguleringstiltagene i strategien, mere specifikt på området modstandsdygtighed, teknologisk suverænitet og lederskab.

I henhold til begrundelsen er formålet med forslaget at modernisere de eksisterende retlige rammer, dvs. i Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 (»NIS-direktivet«) (4). Forslaget sigter mod at videreudvikle og ophæve det nuværende NIS-direktiv, som var den første EU-retsakt om cybersikkerhed, og det indeholder retlige foranstaltninger, der skal styrke det generelle cybersikkerhedsniveau i Unionen. Forslaget tager højde for den øgede digitalisering af det indre marked i de senere år og et trusselsbillede for cybersikkerheden, der udvikler sig løbende, og som er blevet forstærket, siden covid-19-krisen satte ind. Forslaget har til hensigt at afhjælpe flere identificerede mangler i NIS-direktivet og sigter mod at øge cyberrobustheden i alle de sektorer, offentlige og private, som varetager vigtige funktioner i økonomien og samfundet.

De væsentligste elementer i forslaget er:

(i)	udvidelsen af det nuværende NIS-direktivs anvendelsesområde ved at tilføje nye sektorer baseret på deres kritiske betydning for økonomien og samfundet

(ii)	skærpede sikkerhedskrav til dækkede virksomheder og enheder ved at indføre krav om en metode til risikostyring med en minimumsliste over de basale sikkerhedselementer, der skal anvendes

(iii)

håndtering af sikkerheden i forsyningskæder og leverandørrelationer ved at kræve, at individuelle virksomheder håndterer cybersikkerhedsrisici i forsyningskæder og leverandørrelationer

(iv)	styrkelse af samarbejdet mellem medlemsstaters myndigheder og med Unionens institutioner, kontorer, organer og agenturer i forbindelse med aktiviteter vedrørende cybersikkerhed, bl.a. cyberkrisestyring.

Den 14. januar 2021 modtog EDPS en anmodning om en formel høring fra Europa-Kommissionen om »Forslag til Europa-Parlamentets og Rådets direktiv om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148«.

3. Konklusioner

77.

På baggrund af ovenstående fremsætter den tilsynsførende følgende henstillinger:

Vedrørende cybersikkerhedsstrategien

—

tage højde for, at første skridt til at afbøde risici for databeskyttelse og privatlivets fred, der er forbundet med nye teknologier til forbedring af cybersikkerhed, såsom AI, er at anvende databeskyttelse gennem design og gennem standardkrav, som fastlagt i artikel 25 i GDPR, som vil bidrage til at integrere de relevante sikkerhedsforanstaltninger, såsom pseudonymisering, kryptering, datanøjagtighed og dataminimering, i designet og anvendelsen af disse teknologier og systemer

—

tage højde for vigtigheden af at integrere perspektivet om privatlivets fred og databeskyttelse i politikker og standarder, der omhandler cybersikkerhed, samt i traditionel forvaltning af cybersikkerhed for at sikre en holistisk tilgang og bane vejen for synergier mellem offentlige og private organisationer i deres håndtering af cybersikkerhed og beskyttelse af de oplysninger, de behandler, uden unødvendigt dobbeltarbejde

—	overveje og planlægge de ressourcer, som EU’s institutioner, kontorer, organer og agenturer skal bruge til at styrke deres cybersikkerhedskapacitet, herunder på en måde, der er i fuld overensstemmelse med EU’s værdier

—

tage hensyn til privatlivets fred og databeskyttelse i cybersikkerhed ved at investere i politikker, praksis og redskaber, hvor privatlivets fred og databeskyttelse indarbejdes i traditionel cybersikkerhedshåndtering, og effektive sikkerhedsforanstaltninger til databeskyttelse er en integreret del af behandlingen af personoplysninger i cybersikkerhedsaktiviteter.

Vedrørende strategiens og forslagets anvendelsesområde for Unionens institutioner, kontorer, organer og agenturer

—	tage højde for EU’s institutioners, kontorers, organers og agenturers behov og rolle med henblik på, at de kan indgå i denne overordnede ramme for cybersikkerhed som enheder, der har samme høje beskyttelsesniveau, som enheder i medlemsstaterne, og

—	eksplicit omfatte Unionens institutioner, kontorer, organer og agenturer af forslagets anvendelsesområde.

Vedrørende forholdet til eksisterende EU-lovgivning om beskyttelse af personoplysninger

—	i forslagets artikel 2 at præcisere, at Unionens lovgivning om behandling af personoplysninger, navnlig GDPR og e-databeskyttelsesdirektivet, finder anvendelse på al behandling af personoplysninger, der er omfattet af forslaget (i stedet for kun i konkrete sammenhænge), og

—

også præcisere, at den relevante betragtning i forslaget ikke har til formål at berøre anvendelsen af eksisterende EU-lovgivning om behandling af personoplysninger, herunder de opgaver og beføjelser, der påhviler de uafhængige tilsynsmyndigheder med kompetence til at overvåge, at disse instrumenter overholdes.

Vedrørende definitionen af cybersikkerhed

—

tydeliggøre de forskellige anvendelser af begreberne »cybersikkerhed« og »sikkerhed i net- og informationssystemer« og benytte begrebet »cybersikkerhed« generelt og kun benytte begrebet »sikkerhed i net- og informationssystemer«, når det er hensigtsmæssigt i sammenhængen (f.eks. rene tekniske forhold, uden hensyntagen til påvirkning af brugere af systemer og andre personer).

Vedrørende domænenavne og registreringsdata (»WHOIS-data«)

—	klart og tydeligt at fastslå, hvad »relevante oplysninger« omfatter i forbindelse med identifikation og kontakt til indehaverne af domænenavne og de kontaktpunkter, der administrerer domænenavne under topdomænenavne

—	mere udførligt at tydeliggøre, hvilke kategorier af domæneregistreringsdata (som ikke udgør personoplysninger) der skal offentliggøres

—	yderligere at præcisere, hvilke (offentlige eller private) enheder der kan være »legitime adgangssøgende«

—

uddybe, om personoplysningerne i topdomæneadministratorerne og de enheder, der leverer domænenavnsregistreringstjenester for topdomænet, også skal være tilgængelige for enheder uden for EØS, og i så fald tydeligt fastlægge betingelserne, begrænsningerne og procedurerne for en sådan adgang, idet der, hvor det er relevant, også tages højde for kravene i artikel 49, stk. 2, i GDPR

—	yderligere at præcisere, hvad der udgør »lovlige og behørigt begrundede« anmodninger, der skal danne grundlag for adgang og under hvilke betingelser.

Vedrørende CSIRT’ers »proaktiv[e] scanning af net- og informationssystemer«

—	tydeligt at afgrænse de typer proaktiv scanning, som CSIRT’er kan blive anmodet om at foretage, og udpege de vigtigste kategorier af personoplysninger, der indgår i forslagets tekst.

Vedrørende outsourcing og forsyningskæde

—	tage højde for de funktioner, der gør det muligt effektivt at gennemføre princippet om databeskyttelse gennem design og standardindstillinger i vurderingen af forsyningskæder til teknologi og systemer, der behandler personoplysninger

—	for at tage højde for de specifikke krav i oprindelseslandet, som kan være til hinder for overholdelse af EU-lovgivningen om beskyttelse af privatlivets fred og om databeskyttelse, i vurderingen af risici i forsyningskæden for IKT-ydelser, -systemer eller -produkter og

—	i retsakten at medtage obligatorisk høring af Databeskyttelsesrådet ved definition af førnævnte egenskaber og om nødvendigt ved de koordinerede sektorbaserede risikovurderinger, der er omtalt i betragtning 46

—	anbefale, at det i en betragtning nævnes, at open source cybersikkerhedsprodukter (software og hardware), bl.a. open source-kryptering, kan give den gennemsigtighed, der er nødvendig for at afværge bestemte risici i forsyningskæden.

Vedrørende kryptering

—	i betragtning 54 at præcisere, at intet i forslaget skal fortolkes som en godkendelse af at svække end-to-end-kryptering gennem »bagdøre« eller lignende løsninger.

Vedrørende risikohåndteringsforanstaltninger for cybersikkerhed

—

både i betragtninger og i forslagets punkter at medtage det koncept, at indarbejdelse af privatlivets fred og databeskyttelse i traditionel styring af cybersikkerhedsrisici vil sikre en holistisk tilgang og bane vejen for synergier mellem offentlige og private organisationer i deres håndtering af cybersikkerhed og beskyttelse af de oplysninger, de behandler, uden unødvendigt dobbeltarbejde

—	i retsakten at tilføje en forpligtelse for ENISA om at høre Databeskyttelsesrådet ved udarbejdelsen af relevant rådgivning.

Vedrørende brud på persondatasikkerheden

—	ændre ordlyden »inden for en rimelig frist« i artikel 32, stk. 1, til »uden unødigt ophold«.

Vedrørende samarbejdsgruppen

—	i retsakten at nævne Databeskyttelsesrådets deltagelse i samarbejdsgruppen og tage højde for forbindelsen mellem samarbejdsgruppens opgave og databeskyttelsesrammen.

Vedrørende jurisdiktion og territorialitet

—	i retsakten at præcisere, at forslaget ikke berører databeskyttelsestilsynsmyndighedernes kompetencer i medfør af GDPR

—	fastlægge et omfattende retsgrundlag for samarbejdet og udvekslingen af oplysninger blandt kompetente tilsynsmyndigheder, der hver især handler inden for deres respektive kompetenceområder

—

præcisere, at kompetente myndigheder under forslaget i medfør af forordning (EU) 2016/679 efter anmodning eller på eget initiativ bør kunne forsyne de kompetente tilsynsmyndigheder med alle oplysninger, som er indhentet i forbindelse med revisioner og undersøgelser, der vedrører behandling af personoplysninger, og inkludere et udtrykkeligt retsgrundlag herfor.

Bruxelles, den 11. marts 2021.

Wojciech Rafał WIEWIÓROWSKI

(1) Forslag til Europa-Parlamentets og Rådets direktiv om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148, COM (2020) 823 final.

(2) EU’s strategi for cybersikkerhed for det digitale årti, JOIN(2020) 18 final.

(3) Jf. kapitel I. INDLEDNING, s. 4 i strategien.

(4) Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (EUT L 194, 19.7.2016, s. 1).