EDPS публикува становище, в което поиска съществена роля в наследника на CERT
На 22 март 2022 г. Европейската комисия предложи регламент за определяне на мерки за високо общо ниво на киберсигурност в институциите, органите, службите и агенции на Съюза. Писах на 6 май за него, както и за регламента за информационна сигурност.
На 17 май 2022 г. Европейският надзорен орган по защита на данните (EDPS/ЕНОЗД) публикува две становища, първото относно предложението за регламент за определяне на мерки за високо общо ниво на киберсигурност в институциите, органите, службите и агенциите на ЕС (EUI) („Предложение за киберсигурност“) и второто относно информационната сигурност в EUI („Предложение за информационна сигурност“).
В текста се казва, че ЕНОЗД приветства целта на предложението за подобряване на позицията за киберсигурност на институциите, органите, службите и агенциите на Съюза (EUI) и също така приветства новата роля на бившия „Екип за незабавно реагиране при компютърни инциденти“ (CERT-EU), преименуван в „Център за киберсигурност“ в съответствие с развитието в държавите членки и в световен мащаб.
За да се съобразят с предложението, EUI, както и CERT-EU ще трябва да въведат определени процеси и мерки за киберсигурност, които задължително предполагат допълнителна обработка на лични данни. За да се постигне правна сигурност и предвидимост и да се гарантира съответствие с EUDPR, ЕНОЗД настоятелно съветва, че предложението или най-малкото делегиран акт, който следва да бъде приет впоследствие от Комисията, трябва ясно да предоставя правно основание за обработката на лични данни от CERT-EU и EUI, включително по-специално целите на обработка и категориите лични данни.
ЕНОЗД подчертава значението на интегрирането на гледната точка на неприкосновеността на личния живот и защитата на данните в управлението на киберсигурността, за да се постигне положителна синергия между предложението и законодателството за защита на личния живот и защита на данните. Предоставени са и конкретни препоръки, например конкретно задължение за служителите на ЕС, отговорни за киберсигурността, да си сътрудничат тясно с длъжностното лице по защита на данните, определено в съответствие с EUDPR.
ЕНОЗД настоятелно съветва предложението да предвижда тясно сътрудничество между CERT-EU и ЕНОЗД в дейности като справяне с инциденти, водещи до нарушения на сигурността на личните данни. ЕНОЗД също така силно препоръчва в предложението да се предвиди участието на ЕНОЗД в „Междуинституционалния съвет по киберсигурност“ (IICB).
Според ЕНОЗД предложението за киберсигурност трябва да бъде подобрено, за да се приведе в съответствие с материалните правила на Директивата NIS 2.0.
ЕНОЗД изразява съжаление, че предложението не е в съответствие с Директивата за NIS и предложението за NIS 2.0, така че да бъдат постигнати последователни и хомогенни правила за държавите-членки и EUI, което допринася за общото ниво на киберсигурност на Съюза. ЕНОЗД препоръчва в предложението да се добави, че неговите минимални изисквания за сигурност трябва да бъдат най-малко равни или по-високи от минималните изисквания за сигурност на субектите от предложението NIS и NIS 2.0.