(2022/C 258/07)
(Dz.U.UE C z dnia 5 lipca 2022 r.)
W dniu 22 marca 2022 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii ("wniosek").
EIOD z zadowoleniem przyjmuje cel wniosku, jakim jest poprawa stanu cyberbezpieczeństwa w unijnych instytucjach, organach, urzędach i agencjach, a także nową rolę dawnego "zespołu reagowania na incydenty komputerowe", obecnie zwanego Centrum ds. Cyberbezpieczeństwa (CERT-UE), biorąc pod uwagę wzmożoną transformację cyfrową, szybko zmieniający się krajobraz zagrożeń cyberbezpieczeństwa oraz niedawną transformację cyfrową spowodowaną także pandemią COVID-19.
EIOD wyraża ubolewanie, że wniosek nie jest zgodny z dyrektywą w sprawie bezpieczeństwa sieci i informacji (NIS) i wnioskiem dotyczącym zmienionej dyrektywy w sprawie bezpieczeństwa sieci i systemów informatycznych (NIS 2), dzięki czemu osiągnięto by spójne i jednolite zasady dla państw członkowskich i unijnych instytucji, organów, urzędów i agencji, co przyczyniłoby się do ogólnego poziomu cyberbezpieczeństwa w Unii. EIOD zaleca, aby uzupełnić wniosek o zapis o minimalnych wymogach bezpieczeństwa mających być co najmniej takimi samymi lub wyższymi niż minimalne wymogi bezpieczeństwa podmiotów objętych dyrektywą NIS i wnioskiem NIS 2.
Aby spełnić wymogi wniosku, unijne instytucje, organy, urzędy i agencje oraz CERT-UE będą musiały wprowadzić pewne procesy i środki cyberbezpieczeństwa, co będzie wiązać się z dodatkowym przetwarzaniem danych osobowych. Aby osiągnąć pewność prawa i przewidywalność oraz zapewnić zgodność z EUDPR, EIOD zdecydowanie zaleca, aby we wniosku lub przynajmniej w akcie delegowanym, który będzie przyjęty przez Komisję w późniejszym terminie, wyraźnie określono podstawę prawną przetwarzania danych osobowych przez CERT-UE i unijne instytucje, organy, urzędy i agencje i uwzględniono w szczególności cele przetwarzania i kategorie danych osobowych.
EIOD podkreśla znaczenie uwzględnienia perspektywy prywatności i ochrony danych w zarządzaniu cyberbezpieczeń- stwem, aby osiągnąć pozytywną synergię między wnioskiem a przepisami dotyczącymi prywatności i ochrony danych. Przedstawia także szczegółowe zalecenia dotyczące sposobu osiągnięcia takiej synergii, w tym szczegółowe zobowiązanie urzędników UE odpowiedzialnych za cyberbezpieczeństwo do ścisłej współpracy z inspektorem ochrony danych wyznaczonym zgodnie z EUDPR.
EIOD zdecydowanie zaleca, aby wniosek przewidywał ścisłą współpracę między CERT-UE a EIOD w takich działaniach, jak reagowanie na incydenty skutkujące naruszeniem danych osobowych, reagowanie na istotne podatności na zagrożenia, istotne incydenty lub poważne ataki, które mogą potencjalnie skutkować naruszeniem danych osobowych, a także gdy CERT-UE otrzymuje sygnały, że naruszenie przepisów wniosku wiąże się z naruszeniem danych osobowych.
EIOD zdecydowanie zachęca również do tego, aby we wniosku uwzględnić udział EIOD w Międzyinstytucjonalnej Radzie ds. Cyberbezpieczeństwa (IICB).
1. WPROWADZENIE I KONTEKST
1. W dniu 22 marca 2022 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii 1 ("wniosek").
2. Tego samego dnia Komisja Europejska przyjęła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie bezpieczeństwa informacji w instytucjach, organach, urzędach i agencjach Unii 2 ("wniosek w sprawie INFOSEC").
3. Strategia UE w zakresie cyberbezpieczeństwa na cyfrową dekadę przedstawiona w dniu 16 grudnia 2020 r. 3 ("strategia") przewiduje oba wnioski. Głównym celem strategii jest wzmocnienie strategicznej autonomii Unii w dziedzinie cyberbezpieczeństwa oraz poprawa jej odporności i zbiorowej reakcji, a także stworzenie globalnego i otwartego internetu z silną ochroną w celu przeciwdziałania zagrożeniom dla bezpieczeństwa oraz dla podstawowych praw i wolności obywateli w Europie 4 .
4. Wniosek stanowi jedną z inicjatyw regulacyjnych strategii, w szczególności w dziedzinie cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach UE. Zgodnie z uzasadnieniem cel wniosku jest dwutorowy. Uwzględnia:
- zaradzenie coraz bardziej nieprzyjaznemu krajobrazowi zagrożeń cyberbezpieczeństwa oraz nasileniu zaawansowanych cyberataków, których ofiarami są unijne instytucje, organy i agencje, co wymaga dodatkowych inwestycji na rzecz osiągnięcia wysokiego poziomu dojrzałości cybernetycznej oraz
- wsparcie unijnego zespołu reagowania na incydenty komputerowe (CERT-UE) za pomocą ulepszonego mechanizmu finansowania, który jest niezbędny do zwiększenia jego zdolności do pomocy instytucjom, organom i agencjom UE w stosowaniu nowych przepisów dotyczących cyberbezpieczeństwa oraz do poprawy ich cyberodpor- ności.
5. EIOD zauważa, że przedmiot omawianego wniosku wiąże się z wnioskiem dotyczącym dyrektywy Parlamentu Europejskiego i Rady w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, uchylającej dyrektywę (UE) 2016/1148 ("wniosek NIS 2"). EIOD nadmienia, że wydał opinię 5/2021 w sprawie strategii cyberbezpieczeństwa 5 i dyrektywy NIS 2 ("opinia NIS 2") 6 . Z tego powodu przedmiotowa opinia będzie odnosić się do opinii NIS 2.
6. Zgodnie ze strategią wniosek ma na celu dalszą poprawę odporności wszystkich unijnych instytucji, organów i agencji oraz ich zdolności reagowania na incydenty. Jest on również zgodny z priorytetami Komisji dotyczącymi rozwinięcia Europy na miarę ery cyfrowej i zbudowania gospodarki gotowej na przyszłość, która to gospodarka będzie przynosić korzyści obywatelom. Ponadto podkreśla się w nim, że bezpieczeństwo i odporność administracji publicznej jest podstawą cyfrowej transformacji całego społeczeństwa.
7. Zgodnie z uzasadnieniem we wniosku:
- przedstawia się środki mające na celu zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa dla instytucji, organów i agencji Unii Europejskiej;
- ustanawia się Międzyinstytucjonalną Radę ds. Cyberbezpieczeństwa, która będzie odpowiedzialna za monitorowanie wdrażania proponowanego rozporządzenia;
- ustanawia się nową rolę zespołu reagowania na incydenty komputerowe w instytucjach, agencjach i organach UE ("CERT-UE") 7 jako Centrum ds. Cyberbezpieczeństwa dla unijnych instytucji, organów i agencji, uwzględniając rozwój sytuacji w państwach członkowskich i na świecie.
8. W dniu 22 marca 2022 r. Komisja Europejska zwróciła się do EIOD o wydanie opinii w sprawie wniosku zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 ("EUDPR") 8 . Uwagi i zalecenia zawarte w przedmiotowej opinii ograniczają się do tych przepisów wniosku, które są najistotniejsze z punktu widzenia ochrony danych i prywatności.
4. WNIOSKI
48. W świetle powyższego EIOD wydaje następujące główne zalecenia:
- EIOD zaleca, aby w motywie dodać, że wniosek opiera się na wniosku NIS 2, oraz aby w motywach 4 i 5 dokładniej wyjaśnić związek między wnioskiem a dyrektywą NIS oraz wnioskiem NIS 2. Ponadto EIOD sugeruje, aby do tekstu głównego dodać następujące sformułowanie: "Minimalne wymogi bezpieczeństwa powinny być co najmniej takie same lub wyższe niż minimalne wymogi bezpieczeństwa podmiotów objętych dyrektywą NIS i wnioskiem NIS 2";
- EIOD zdecydowanie zaleca, aby we wniosku wyraźnie określić podstawę prawną przetwarzania danych osobowych przez CERT-UE i unijne instytucje, organy, urzędy i agencje, w tym w szczególności cele przetwarzania i kategorie danych osobowych. Ponadto należy wyraźnie określić następujące elementy:
a) identyfikator administratora lub administratorów, podmiotów przetwarzających lub współadministratorów, stosownie do przypadku;
b) kategorie osób, których dane dotyczą;
c) okresy przechowywania danych lub przynajmniej kryteria ustalania takich okresów. EIOD uważa, że powyższe elementy należy wyraźnie opisać we wniosku lub przynajmniej w akcie delegowanym, który zostanie przyjęty przez Komisję w późniejszym terminie. Wniosek powinien przewidywać taką delegację;
- EIOD zdecydowanie zaleca, aby do wykazu podstawowych środków cyberbezpieczeństwa zawartego w załączniku II do wniosku włączyć "szyfrowanie w spoczynku", "szyfrowanie w tranzycie" oraz "szyfrowanie end-to-end";
- EIOD zdecydowanie zaleca, aby we wniosku przewidzieć szczególny obowiązek współpracy lokalnego urzędnika ds. cyberbezpieczeństwa, o którym mowa w art. 4 ust. 5, z inspektorem ochrony danych wyznaczonym zgodnie z art. 43 EUDPR w zakresie pokrywających się działań, takich jak uwzględnienie ochrony danych już w fazie projektowania i domyślnej ochrony w środkach cyberbezpieczeństwa, wybór środków cyberbezpieczeństwa, które obejmują dane osobowe, zintegrowane zarządzanie ryzykiem oraz zintegrowane postępowanie w przypadku incydentów bezpieczeństwa;
- EIOD zdecydowanie zaleca, aby w art. 12 "Misja i zadania CERT-UE" wniosku dodać zapis: "Przy zajmowaniu się incydentami skutkującymi naruszeniem danych osobowych lub poufności łączności elektronicznej CERT-UE ściśle współpracuje z EIOD";
- EIOD zaleca, aby dodać obowiązek informowania EIOD przez CERT-UE o zajmowaniu się istotnymi podatnoś- ciami na zagrożenia, istotnymi incydentami lub poważnymi atakami, które mogą potencjalnie prowadzić do naruszenia danych osobowych lub poufności komunikacji elektronicznej;
- EIOD zaleca, aby w art.12 zapisać, że EIOD będzie uczestniczyć w działaniach CERT-UE podnoszących świadomość w zakresie cyberbezpieczeństwa w unijnych instytucjach, organach, urzędach i agencjach, aby poruszyć kwestię wzajemnych zależności między naruszeniem danych osobowych a cyberincydentami;
- EIOD zaleca, aby do art. 12 wniosku "Misja i zadania CERT-UE" dodać przepis, który określałby, że gdy do CER- T-UE docierają sygnały, że naruszenie przez unijne instytucje, organy, urzędy i agencje obowiązków określonych we wniosku pociąga za sobą naruszenie danych osobowych, bez zbędnej zwłoki zawiadamia EIOD;
- EIOD zdecydowanie zaleca, aby w art. 9 ust. 3 dodać Europejskiego Inspektora Ochrony Danych jako stałego uczestnika IICB z jednym przedstawicielem.
Bruksela, 17 maja 2022 r.
| Wojciech Rafał WIEWIÓROWSKI |
W tym roku po raz pierwszy wszyscy pracownicy będą cieszyli się Wigilią jako dniem wolnym od pracy. Także w handlu. I choć z dnia wolnego skorzystają także pracodawcy, to akurat w ich przypadku Wigilia będzie dniem, kiedy zaczną obowiązywać przepisy zobowiązujące ich do stosowania w ogłoszeniach o pracę i np. w regulaminach pracy nazw stanowisk neutralnych pod względem płci.
23.12.2025
Od 1 stycznia 2026 r. zacznie obowiązywać ustawa wprowadzająca Centralną e-Rejestrację. Zakłada ona, że od przyszłego roku podmioty lecznicze obowiązkowo dołączą do systemu m.in. w zakresie umawiania wizyt u kardiologa oraz badań profilaktycznych. Planowany start rejestracji na wszystkie świadczenia planowany jest na 2029 r. Kolejne świadczenia i możliwości w zakresie zapisywania się do lekarzy specjalistów będą wchodzić w życie stopniowo.
22.12.2025
W piątek, 19 grudnia 2025 roku, Senat przyjął bez poprawek uchwalone na początku grudnia przez Sejm bardzo istotne zmiany w przepisach dla pracodawców obowiązanych do tworzenia Zakładowego Funduszu Świadczeń Socjalnych. Odnoszą się one do tych podmiotów, w których nie działają organizacje związkowe. Ustawa trafi teraz na biurko prezydenta.
19.12.2025
Nowe okresy wliczane do okresu zatrudnienia mogą wpłynąć na wymiar urlopów wypoczynkowych osób, które jeszcze nie mają prawa do 26 dni urlopu rocznie. Pracownicy nie nabywają jednak prawa do rozliczenia urlopu za okres sprzed dnia objęcia pracodawcy obowiązkiem stosowania art. 302(1) Kodeksu pracy, wprowadzającego zaliczalność m.in. okresów prowadzenia działalności gospodarczej czy wykonywania zleceń do stażu pracy.
19.12.2025
Wszyscy pracodawcy, także ci zatrudniający choćby jednego pracownika, będą musieli dokonać wartościowania stanowisk pracy i określić kryteria służące ustaleniu wynagrodzeń pracowników, poziomów wynagrodzeń i wzrostu wynagrodzeń. Jeszcze więcej obowiązków będą mieli średni i duzi pracodawcy, którzy będą musieli raportować lukę płacową. Zdaniem prawników, dla mikro, małych i średnich firm dostosowanie się do wymogów w zakresie wartościowania pracy czy ustalenia kryteriów poziomu i wzrostu wynagrodzeń wymagać będzie zewnętrznego wsparcia.
18.12.2025
Minister finansów i gospodarki podpisał cztery rozporządzenia wykonawcze dotyczące funkcjonowania KSeF – potwierdził we wtorek resort finansów. Rozporządzenia określają m.in.: zasady korzystania z KSeF, w tym wzór zawiadomienia ZAW-FA, przypadki, w których nie ma obowiązku wystawiania faktur ustrukturyzowanych, a także zasady wystawiania faktur uproszczonych.
16.12.2025| Identyfikator: | Dz.U.UE.C.2022.258.10 |
| Rodzaj: | Informacja |
| Tytuł: | Streszczenie opinii Europejskiego Inspektora Ochrony Danych w sprawie wniosku dotyczącego rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii [Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD www.edps.europa.eu] |
| Data aktu: | 05/07/2022 |
| Data ogłoszenia: | 05/07/2022 |