Sikkerhed i Kommissionen

Nye regler om informationssikkerhed

Forslag til forordning om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer

Baggrund

Som følge af de stadig stigende mængder af følsomme ikkeklassificerede informationer og EU-klassificerede informationer ("EUCI"), som EU's institutioner, organer, kontorer og agenturer har brug for at dele med hinanden, og i lyset af den dramatiske udvikling af trusselsbilledet, er den europæiske forvaltning eksponeret for angreb på alle sine aktivitetsområder. De informationer, som EU's institutioner, organer, kontorer og agenturer håndterer, har stor værdi for mange forskellige trusselsaktører og har derfor brug for behørig beskyttelse.

Medlemslandene har allerede opfordret vores institutioner til at gå i denne retning. Et af hovedpunkterne på den strategiske dagsorden for 2019-2024 vedtaget af Det Europæiske Råd i juni 2019 er at beskytte vores samfund mod trusler rettet mod de informationer, som den europæiske forvaltning håndterer. I sine konklusioner opfordrer Det Europæiske Råd "EU-institutionerne til sammen med medlemsstaterne at arbejde på foranstaltninger til at styrke EU's modstandsdygtighed og forbedre dets sikkerhedskultur over for cybertrusler og hybride trusler fra lande uden for EU og til bedre at beskytte EU's informations- og kommunikationsnetværk og dets beslutningsprocesser mod alle former for ondsindede aktiviteter".

I juli 2020 vedtog Kommissionen sin strategi for EU's sikkerhedsunion, som forpligter den til at supplere den nationale indsats på sikkerhedsområdet. En del af denne forpligtelse er initiativet til at harmonisere den interne retlige ramme for informationssikkerhed i alle EU's institutioner, organer, kontorer og agenturer.

Formål

Det generelle mål med dette forslag er at fastsætte et standardiseret regelsæt for informationssikkerhed på højt niveau, der er fælles for alle EU's institutioner, organer, kontorer og agenturer med henblik på at sikre en øget og konsekvent grad af beskyttelse mod de foranderlige trusler mod deres informationer.

Det generelle mål omsættes til fire specifikke mål:

• Oprette harmoniserede og dækkende informationskategorier baseret på graden af fortrolighed
• Identificere sikkerhedsmangler og gennemføre de nødvendige foranstaltninger
• Oprette et effektivt forum for samarbejde om informationssikkerhed mellem EU's institutioner, organer, kontorer og agenturer
• Modernisere informationssikkerhedspolitikkerne under hensyntagen til aktuelle tendenser såsom digital omstilling og fjernarbejde.

Spørgsmål og svar

Hvorfor foreslår Kommissionen en forordning om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer?

EU's institutioner, organer, kontorer og agenturer har i dag hver deres egne informationssikkerhedsregler eller har slet ikke fastsat sådanne regler. Fragmenteringen af de gældende retlige rammer har ført til betydelige forskelle mellem de sikkerhedsniveauer, som disse organisationer kan sikre for den information, de håndterer. Denne situation øger risikoen for, at angribere skaber et sikkerhedsbrud i det svageste led og bruger det som udgangspunkt for yderligere angreb på andre institutioner eller organer.

Ved at oprette et fælles sæt regler om informationssikkerhed i alle EU's institutioner, organer, kontorer og agenturer foreslår Kommissionen et fælles referencescenarie for høje standarder for beskyttelse af den information, der håndteres. Derudover vil harmoniserede regler lette udvekslingen af information mellem institutionerne, organerne, kontorerne og agenturerne og også med medlemslandene.

Hvem vil den foreslåede forordning finde gælde for?

Dette forslag fastsætter regler for Unionens forvaltning (institutioner, organer, kontorer og agenturer). Det kan indirekte medføre forpligtelser for enkeltpersoner (ikke inklusive kommissærer, repræsentanter for medlemsstaterne, der handler i Rådet, medlemmer af Europa-Parlamentet, dommere ved EU's domstole eller medlemmer af Den Europæiske Revisionsret), som udfører opgaver på vegne af denne forvaltning eller på kontraktbasis.

Denne foreslåede forordning gælder ikke for medlemslandene.

Hvilke kategorier af information er omfattet af denne foreslåede forordning?

Dette forslag dækker ikkeklassificerede og EU-klassificerede informationer og gælder for følgende fortrolighedsniveauer:

• tre grader af ikkeklassificerede informationer: til offentlig brug, normale og følsomme ikkeklassificerede informationer
• fire grader af EUCI: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET og TRES SECRET UE/EU TOP SECRET.

Vil de foreslåede regler blive taget op til fornyet overvejelse?

Hvert femte år efter anvendelsesdatoen vil Kommissionen evaluere forordningen for at kunne vurdere dens faktiske virkninger og behovet for yderligere handling.

Derudover vil Kommissionen jævnligt forelægge Europa-Parlamentet og Rådet en rapport om gennemførelsen af denne forordning.

Hvad bliver de næste skridt?

Kommissionens forslag vil følge den almindelige lovgivningsprocedure i Europa-Parlamentet og Rådet med henblik på vedtagelse.

På det uformelle møde mellem telekommunikationsministrene i Nevers den 9. marts 2022 blev "EU's institutioner, agenturer og organer opfordret til yderligere at styrke deres cyber- og informationssikkerhed, da EU er blevet en vigtig strategisk aktør, hvis rolle på den internationale scene kræver, at den sikrer sine data og netværk mod cybertrusler."

Dokumenter

Impact analysis accompanying the proposal

JRC study on information security in the age of EU institutions digitalisation

Relaterede links

Pressemeddelelse

Text of the proposal

The EU Security Union Strategy: European Security Union

Kommissionens afgørelser

Strategien for EU's sikkerhedsunion: Den europæiske sikkerhedsunion | Europa-Kommissionen (europa.eu)

Formålet med sikkerheden i Kommissionen er at sætte Kommissionen i stand til at operere i et sikkert og sikret miljø. Derfor bliver Kommissionen nødt til at sikre personer, aktiver og oplysninger i Kommissionen på grundlag af Kommissionens afgørelse (EU, Euratom) 2015/443 om sikkerhedsbeskyttelse i Kommissionen og Kommissionens afgørelse (EU, Euratom) 2015/444 om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer. Dette omfatter især personers og aktivers fysiske integritet, integriteten, fortroligheden og tilgængeligheden af information og kommunikation og informationssystemer samt uhindret funktion af Kommissionens aktiviteter.

I denne forbindelse kan det være nødvendigt for Kommissionen at behandle personoplysninger. Enhver sådan behandling foregår i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EØS-relevant tekst).

Databeskyttelseserklæringer om sikkerhedsrelevante procedurer er anført nedenfor: