Sigurnost u Komisiji

Nova pravila o sigurnosti podataka

Prijedlog uredbe o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije

Kontekst

Zbog sve većih količina osjetljivih neklasificiranih podataka i klasificiranih podataka Europske unije („klasificirani podaci EU-a”) koje institucije, tijela, uredi i agencije Unije moraju međusobno razmjenjivati te s obzirom na znatno veći broj različitih prijetnji europska uprava izložena je napadima u svim područjima djelovanja. Podaci s kojima postupaju naše institucije, tijela, uredi i agencije bili bi vrlo vrijedni prijetećim akterima te ih zato moramo primjereno zaštititi.

Države članice već su pozvale naše institucije da to učine. Jedna je od ključnih značajki Strateškog programa za razdoblje 2019. – 2024., koji je Europsko vijeće donijelo u lipnju 2019., zaštita naših društava od prijetnji usmjerenih na podatke s kojima postupa europska uprava. Europsko vijeće u svojim je zaključcima pozvalo „institucije EU-a da s državama članicama rade na mjerama kako bi se pojačala otpornost i poboljšala kultura sigurnosti EU-a u pogledu kiberprijetnji i hibridnih prijetnji koje dolaze izvan EU-a i kako bi se informacijske i komunikacijske mreže EU-a te njegove postupke donošenja odluka bolje zaštitilo od svakog oblika zlonamjernih aktivnosti”.

Komisija je u srpnju 2020. donijela strategiju EU-a za sigurnosnu uniju, čime se obvezala da će dopuniti nacionalne mjere u području sigurnosti. Dio je tog angažmana i inicijativa za usklađivanje unutarnjih pravnih okvira za sigurnost podataka u svim institucijama, tijelima, uredima i agencijama Unije.

Ciljevi

Opći je cilj prijedloga utvrditi standardni skup strogih pravila o sigurnosti podataka za sve institucije, tijela, urede i agencije Unije kako bi se osigurala ojačana i dosljedna zaštita od novih prijetnji njihovim podacima.

Opći cilj proveo bi se kroz četiri posebna cilja:

• uspostavu usklađenih i sveobuhvatnih kategorija podataka na temelju razine povjerljivosti
• utvrđivanje sigurnosnih nedostataka i provedbu potrebnih mjera
• uspostavu učinkovitog foruma za suradnju institucija, tijela, ureda i agencija Unije u području sigurnosti podataka
• modernizaciju politika sigurnosti podataka kako bi se u obzir uzeli trenutačni trendovi kao što su digitalna transformacija i rad na daljinu.

Pitanja i odgovori

Zašto Komisija predlaže uredbu o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije?

Institucije, tijela, uredi i agencije Unije trenutačno imaju vlastita pravila o sigurnosti podataka ili uopće nemaju takva pravila. Zbog toga među njima postoje znatne razlike u razini sigurnosti koju mogu osigurati za podatke s kojima postupaju. Osim toga, zbog te situacije povećava se rizik da napadači probiju najslabiju kariku u lancu sigurnosti i to iskoriste kao polazište za daljnje napade na druge institucije ili tijela.

Utvrđivanjem jedinstvenog skupa pravila o sigurnosti podataka za sve institucije, tijela, urede i agencije Unije Komisija kao zajedničku osnovu predlaže visoke standarde za zaštitu podataka s kojima postupaju. Ta će usklađena pravila olakšati i razmjenu informacija među institucijama, tijelima, uredima i agencijama Unije, kao i s državama članicama.

Na koga će se predložena uredba primjenjivati?

Ovim se prijedlogom utvrđuju pravila koja se primjenjuju na upravu Unije (njezine institucije, tijela, urede i agencije). Njime se mogu neizravno uvesti obveze za osobe koje izvršavaju zadaće u ime te uprave ili na temelju ugovora (ne uključujući povjerenike, predstavnike država članica koji djeluju u sklopu Vijeća, zastupnike u Europskom parlamentu, suce sudova Unije ili članove Europskog revizorskog suda).

Predložena uredba ne primjenjuje se na države članice.

Koje su kategorije informacija obuhvaćene ovom predloženom uredbom?

Ovim prijedlogom obuhvaćeni su neklasificirani i klasificirani podaci EU-a te se on primjenjuje na sljedeće stupnjeve tajnosti:

• tri stupnja tajnosti neklasificiranih podataka: podaci za javnu upotrebu, uobičajeni podaci i osjetljivi neklasificirani podaci
• četiri stupnja tajnosti klasificiranih podataka EU-a: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.

Hoće li se predložena pravila preispitati?

Komisija će evaluirati uredbu svakih pet godina nakon datuma početka njezine primjene kako bi procijenila njezine stvarne učinke i potrebu za dodatnim djelovanjem.

Osim toga, Komisija će Europskom parlamentu i Vijeću redovito podnositi izvješća o provedbi Uredbe.

Koji su sljedeći koraci?

Donošenje prijedloga Komisije sada će razmotriti Europski parlament i Vijeće u okviru redovnog zakonodavnog postupka.

Na neformalnom sastanku ministara i ministrica nadležnih za telekomunikacije održanom 9. ožujka 2022. u Neversu upućen je poziv „institucijama, agencijama i tijelima EU-a da dodatno ojačaju svoju kibersigurnost i sigurnost podataka s obzirom na to da je EU postao ključan strateški akter, za čiju je ulogu na međunarodnoj razini nužno zaštititi njegove podatke i mreže od kiberprijetnji”.

Dokumenti

Impact analysis accompanying the proposal

JRC study on information security in the age of EU institutions digitalisation

Druge poveznice

Priopćenje za tisak

Text of the proposal

The EU Security Union Strategy: European Security Union

Odluke Komisije

Strategija EU-a za sigurnosnu uniju: Europska sigurnosna unija | Europska komisija (europa.eu)

Cilj sigurnosti u Komisiji jest omogućiti rad Komisije u sigurnom i zaštićenom okruženju. Stoga Komisija treba zajamčiti sigurnost osoba, imovine i podataka u Komisiji na temelju Odluke Komisije (EU, Euratom) 2015/443 o sigurnosti u Komisiji i Odluke Komisije (EU, Euratom) 2015/444 o sigurnosnim propisima za zaštitu klasificiranih podataka EU-a. To se posebno odnosi na fizički integritet osoba i imovine, cjelovitost, povjerljivost i dostupnost podataka i komunikacijskih i informacijskih sustava te nesmetan rad Komisije.

U tom kontekstu Komisija će možda morati obrađivati osobne podatke. Svaka takva obrada u skladu je s Uredbom (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (Tekst značajan za EGP).

Izjave o zaštiti osobnih podataka u postupcima relevantnima za sigurnost navedene su u nastavku: