Zakładając bezpłatne konto, uzyskasz:(2022/C 258/07)
(Dz.U.UE C z dnia 5 lipca 2022 r.)
W dniu 22 marca 2022 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii ("wniosek").
EIOD z zadowoleniem przyjmuje cel wniosku, jakim jest poprawa stanu cyberbezpieczeństwa w unijnych instytucjach, organach, urzędach i agencjach, a także nową rolę dawnego "zespołu reagowania na incydenty komputerowe", obecnie zwanego Centrum ds. Cyberbezpieczeństwa (CERT-UE), biorąc pod uwagę wzmożoną transformację cyfrową, szybko zmieniający się krajobraz zagrożeń cyberbezpieczeństwa oraz niedawną transformację cyfrową spowodowaną także pandemią COVID-19.
EIOD wyraża ubolewanie, że wniosek nie jest zgodny z dyrektywą w sprawie bezpieczeństwa sieci i informacji (NIS) i wnioskiem dotyczącym zmienionej dyrektywy w sprawie bezpieczeństwa sieci i systemów informatycznych (NIS 2), dzięki czemu osiągnięto by spójne i jednolite zasady dla państw członkowskich i unijnych instytucji, organów, urzędów i agencji, co przyczyniłoby się do ogólnego poziomu cyberbezpieczeństwa w Unii. EIOD zaleca, aby uzupełnić wniosek o zapis o minimalnych wymogach bezpieczeństwa mających być co najmniej takimi samymi lub wyższymi niż minimalne wymogi bezpieczeństwa podmiotów objętych dyrektywą NIS i wnioskiem NIS 2.
Aby spełnić wymogi wniosku, unijne instytucje, organy, urzędy i agencje oraz CERT-UE będą musiały wprowadzić pewne procesy i środki cyberbezpieczeństwa, co będzie wiązać się z dodatkowym przetwarzaniem danych osobowych. Aby osiągnąć pewność prawa i przewidywalność oraz zapewnić zgodność z EUDPR, EIOD zdecydowanie zaleca, aby we wniosku lub przynajmniej w akcie delegowanym, który będzie przyjęty przez Komisję w późniejszym terminie, wyraźnie określono podstawę prawną przetwarzania danych osobowych przez CERT-UE i unijne instytucje, organy, urzędy i agencje i uwzględniono w szczególności cele przetwarzania i kategorie danych osobowych.
EIOD podkreśla znaczenie uwzględnienia perspektywy prywatności i ochrony danych w zarządzaniu cyberbezpieczeń- stwem, aby osiągnąć pozytywną synergię między wnioskiem a przepisami dotyczącymi prywatności i ochrony danych. Przedstawia także szczegółowe zalecenia dotyczące sposobu osiągnięcia takiej synergii, w tym szczegółowe zobowiązanie urzędników UE odpowiedzialnych za cyberbezpieczeństwo do ścisłej współpracy z inspektorem ochrony danych wyznaczonym zgodnie z EUDPR.
EIOD zdecydowanie zaleca, aby wniosek przewidywał ścisłą współpracę między CERT-UE a EIOD w takich działaniach, jak reagowanie na incydenty skutkujące naruszeniem danych osobowych, reagowanie na istotne podatności na zagrożenia, istotne incydenty lub poważne ataki, które mogą potencjalnie skutkować naruszeniem danych osobowych, a także gdy CERT-UE otrzymuje sygnały, że naruszenie przepisów wniosku wiąże się z naruszeniem danych osobowych.
EIOD zdecydowanie zachęca również do tego, aby we wniosku uwzględnić udział EIOD w Międzyinstytucjonalnej Radzie ds. Cyberbezpieczeństwa (IICB).
1. WPROWADZENIE I KONTEKST
1. W dniu 22 marca 2022 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii 1 ("wniosek").
2. Tego samego dnia Komisja Europejska przyjęła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie bezpieczeństwa informacji w instytucjach, organach, urzędach i agencjach Unii 2 ("wniosek w sprawie INFOSEC").
3. Strategia UE w zakresie cyberbezpieczeństwa na cyfrową dekadę przedstawiona w dniu 16 grudnia 2020 r. 3 ("strategia") przewiduje oba wnioski. Głównym celem strategii jest wzmocnienie strategicznej autonomii Unii w dziedzinie cyberbezpieczeństwa oraz poprawa jej odporności i zbiorowej reakcji, a także stworzenie globalnego i otwartego internetu z silną ochroną w celu przeciwdziałania zagrożeniom dla bezpieczeństwa oraz dla podstawowych praw i wolności obywateli w Europie 4 .
4. Wniosek stanowi jedną z inicjatyw regulacyjnych strategii, w szczególności w dziedzinie cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach UE. Zgodnie z uzasadnieniem cel wniosku jest dwutorowy. Uwzględnia:
- zaradzenie coraz bardziej nieprzyjaznemu krajobrazowi zagrożeń cyberbezpieczeństwa oraz nasileniu zaawansowanych cyberataków, których ofiarami są unijne instytucje, organy i agencje, co wymaga dodatkowych inwestycji na rzecz osiągnięcia wysokiego poziomu dojrzałości cybernetycznej oraz
- wsparcie unijnego zespołu reagowania na incydenty komputerowe (CERT-UE) za pomocą ulepszonego mechanizmu finansowania, który jest niezbędny do zwiększenia jego zdolności do pomocy instytucjom, organom i agencjom UE w stosowaniu nowych przepisów dotyczących cyberbezpieczeństwa oraz do poprawy ich cyberodpor- ności.
5. EIOD zauważa, że przedmiot omawianego wniosku wiąże się z wnioskiem dotyczącym dyrektywy Parlamentu Europejskiego i Rady w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, uchylającej dyrektywę (UE) 2016/1148 ("wniosek NIS 2"). EIOD nadmienia, że wydał opinię 5/2021 w sprawie strategii cyberbezpieczeństwa 5 i dyrektywy NIS 2 ("opinia NIS 2") 6 . Z tego powodu przedmiotowa opinia będzie odnosić się do opinii NIS 2.
6. Zgodnie ze strategią wniosek ma na celu dalszą poprawę odporności wszystkich unijnych instytucji, organów i agencji oraz ich zdolności reagowania na incydenty. Jest on również zgodny z priorytetami Komisji dotyczącymi rozwinięcia Europy na miarę ery cyfrowej i zbudowania gospodarki gotowej na przyszłość, która to gospodarka będzie przynosić korzyści obywatelom. Ponadto podkreśla się w nim, że bezpieczeństwo i odporność administracji publicznej jest podstawą cyfrowej transformacji całego społeczeństwa.
7. Zgodnie z uzasadnieniem we wniosku:
- przedstawia się środki mające na celu zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa dla instytucji, organów i agencji Unii Europejskiej;
- ustanawia się Międzyinstytucjonalną Radę ds. Cyberbezpieczeństwa, która będzie odpowiedzialna za monitorowanie wdrażania proponowanego rozporządzenia;
- ustanawia się nową rolę zespołu reagowania na incydenty komputerowe w instytucjach, agencjach i organach UE ("CERT-UE") 7 jako Centrum ds. Cyberbezpieczeństwa dla unijnych instytucji, organów i agencji, uwzględniając rozwój sytuacji w państwach członkowskich i na świecie.
8. W dniu 22 marca 2022 r. Komisja Europejska zwróciła się do EIOD o wydanie opinii w sprawie wniosku zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 ("EUDPR") 8 . Uwagi i zalecenia zawarte w przedmiotowej opinii ograniczają się do tych przepisów wniosku, które są najistotniejsze z punktu widzenia ochrony danych i prywatności.
4. WNIOSKI
48. W świetle powyższego EIOD wydaje następujące główne zalecenia:
- EIOD zaleca, aby w motywie dodać, że wniosek opiera się na wniosku NIS 2, oraz aby w motywach 4 i 5 dokładniej wyjaśnić związek między wnioskiem a dyrektywą NIS oraz wnioskiem NIS 2. Ponadto EIOD sugeruje, aby do tekstu głównego dodać następujące sformułowanie: "Minimalne wymogi bezpieczeństwa powinny być co najmniej takie same lub wyższe niż minimalne wymogi bezpieczeństwa podmiotów objętych dyrektywą NIS i wnioskiem NIS 2";
- EIOD zdecydowanie zaleca, aby we wniosku wyraźnie określić podstawę prawną przetwarzania danych osobowych przez CERT-UE i unijne instytucje, organy, urzędy i agencje, w tym w szczególności cele przetwarzania i kategorie danych osobowych. Ponadto należy wyraźnie określić następujące elementy:
a) identyfikator administratora lub administratorów, podmiotów przetwarzających lub współadministratorów, stosownie do przypadku;
b) kategorie osób, których dane dotyczą;
c) okresy przechowywania danych lub przynajmniej kryteria ustalania takich okresów. EIOD uważa, że powyższe elementy należy wyraźnie opisać we wniosku lub przynajmniej w akcie delegowanym, który zostanie przyjęty przez Komisję w późniejszym terminie. Wniosek powinien przewidywać taką delegację;
- EIOD zdecydowanie zaleca, aby do wykazu podstawowych środków cyberbezpieczeństwa zawartego w załączniku II do wniosku włączyć "szyfrowanie w spoczynku", "szyfrowanie w tranzycie" oraz "szyfrowanie end-to-end";
- EIOD zdecydowanie zaleca, aby we wniosku przewidzieć szczególny obowiązek współpracy lokalnego urzędnika ds. cyberbezpieczeństwa, o którym mowa w art. 4 ust. 5, z inspektorem ochrony danych wyznaczonym zgodnie z art. 43 EUDPR w zakresie pokrywających się działań, takich jak uwzględnienie ochrony danych już w fazie projektowania i domyślnej ochrony w środkach cyberbezpieczeństwa, wybór środków cyberbezpieczeństwa, które obejmują dane osobowe, zintegrowane zarządzanie ryzykiem oraz zintegrowane postępowanie w przypadku incydentów bezpieczeństwa;
- EIOD zdecydowanie zaleca, aby w art. 12 "Misja i zadania CERT-UE" wniosku dodać zapis: "Przy zajmowaniu się incydentami skutkującymi naruszeniem danych osobowych lub poufności łączności elektronicznej CERT-UE ściśle współpracuje z EIOD";
- EIOD zaleca, aby dodać obowiązek informowania EIOD przez CERT-UE o zajmowaniu się istotnymi podatnoś- ciami na zagrożenia, istotnymi incydentami lub poważnymi atakami, które mogą potencjalnie prowadzić do naruszenia danych osobowych lub poufności komunikacji elektronicznej;
- EIOD zaleca, aby w art.12 zapisać, że EIOD będzie uczestniczyć w działaniach CERT-UE podnoszących świadomość w zakresie cyberbezpieczeństwa w unijnych instytucjach, organach, urzędach i agencjach, aby poruszyć kwestię wzajemnych zależności między naruszeniem danych osobowych a cyberincydentami;
- EIOD zaleca, aby do art. 12 wniosku "Misja i zadania CERT-UE" dodać przepis, który określałby, że gdy do CER- T-UE docierają sygnały, że naruszenie przez unijne instytucje, organy, urzędy i agencje obowiązków określonych we wniosku pociąga za sobą naruszenie danych osobowych, bez zbędnej zwłoki zawiadamia EIOD;
- EIOD zdecydowanie zaleca, aby w art. 9 ust. 3 dodać Europejskiego Inspektora Ochrony Danych jako stałego uczestnika IICB z jednym przedstawicielem.
Bruksela, 17 maja 2022 r.
| Wojciech Rafał WIEWIÓROWSKI |
Senat bez poprawek przyjął w środę ustawę, która obniża składkę zdrowotną dla przedsiębiorców. Zmiana, która wejdzie w życie 1 stycznia 2026 roku, ma kosztować budżet państwa 4,6 mld zł. Według szacunków Ministerstwo Finansów na reformie ma skorzystać około 2,5 mln przedsiębiorców. Teraz ustawa trafi do prezydenta Andrzaja Dudy.
23.04.2025
Rada Ministrów przyjęła we wtorek, 22 kwietnia, projekt ustawy o zmianie ustawy – Prawo geologiczne i górnicze, przedłożony przez minister przemysłu. Chodzi o wyznaczenie podmiotu, który będzie odpowiedzialny za monitorowanie i egzekwowanie przepisów w tej sprawie. Nowe regulacje dotyczą m.in. dokładności pomiarów, monitorowania oraz raportowania emisji metanu.
22.04.2025
Na wtorkowym posiedzeniu rząd przyjął przepisy zmieniające rozporządzenie w sprawie zakazu stosowania materiału siewnego odmian kukurydzy MON 810, przedłożone przez ministra rolnictwa i rozwoju wsi. Celem nowelizacji jest aktualizacja listy odmian genetycznie zmodyfikowanej kukurydzy, tak aby zakazać stosowania w Polsce upraw, które znajdują się w swobodnym obrocie na terytorium 10 państw Unii Europejskiej.
22.04.2025
Od 18 kwietnia policja oraz żandarmeria wojskowa będą mogły karać tych, którzy bez zezwolenia m.in. fotografują i filmują szczególnie ważne dla bezpieczeństwa lub obronności państwa obiekty resortu obrony narodowej, obiekty infrastruktury krytycznej oraz ruchomości. Obiekty te zostaną specjalnie oznaczone.
17.04.2025
Kompleksową modernizację instytucji polskiego rynku pracy poprzez udoskonalenie funkcjonowania publicznych służb zatrudnienia oraz form aktywizacji zawodowej i podnoszenia umiejętności kadr gospodarki przewiduje podpisana w czwartek przez prezydenta Andrzeja Dudę ustawa z dnia 20 marca 2025 r. o rynku pracy i służbach zatrudnienia. Ustawa, co do zasady, wejdzie w życie pierwszego dnia miesiąca następującego po upływie 14 dni od dnia ogłoszenia.
11.04.2025
Prezydent Andrzej Duda podpisał ustawę o warunkach dopuszczalności powierzania pracy cudzoziemcom na terytorium Rzeczypospolitej Polskiej. Jej celem jest ograniczenie występujących nadużyć, usprawnienie procedur dotyczących powierzania pracy cudzoziemcom, zmniejszenie zaległości załatwiania spraw przez urzędy oraz pełna elektronizacja postępowań. Nowe przepisy wejdą w życie pierwszego dnia miesiąca następującego po upływie 14 dni od dnia ogłoszenia.
11.04.2025| Identyfikator: | Dz.U.UE.C.2022.258.10 |
| Rodzaj: | Informacja |
| Tytuł: | Streszczenie opinii Europejskiego Inspektora Ochrony Danych w sprawie wniosku dotyczącego rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii [Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD www.edps.europa.eu] |
| Data aktu: | 05/07/2022 |
| Data ogłoszenia: | 05/07/2022 |
