Bezpečnosť v Komisii

Nové pravidlá informačnej bezpečnosti

Návrh nariadenia o bezpečnosti informácií v inštitúciách, orgánoch, úradoch a agentúrach Únie

Súvislosti

V dôsledku stále sa zvyšujúceho objemu citlivých neutajovaných skutočností a utajovaných skutočností Európskej únie, ktoré si musia inštitúcie, orgány, úrady a agentúry Únie medzi sebou vymieňať, a vzhľadom na dramatický vývoj panorámy hrozieb je európska administratíva vystavená útokom vo všetkých svojich oblastiach činnosti. Informácie, s ktorými manipulujú inštitúcie, orgány, úrady a agentúry, majú vysokú hodnotu pre mnohých rôznych aktérov hrozieb a treba ich primerane chrániť.

Členské štáty už vyzvali naše inštitúcie, aby sa uberali týmto smerom. Kľúčovým prvkom strategického programu na roky 2019 – 2024, ktorý prijala Európska rada v júni 2019, je ochrana našich spoločností pred hrozbami zameranými na informácie, s ktorými manipuluje európska administratíva. Európska rada vo svojich záveroch vyzvala „inštitúcie EÚ spolu s členskými štátmi, aby vypracovali opatrenia na posilnenie odolnosti a zlepšenie bezpečnostnej kultúry EÚ proti kybernetickým a hybridným hrozbám z prostredia mimo EÚ a na lepšiu ochranu informačných a komunikačných sietí EÚ a jej rozhodovacích procesov pred škodlivými činnosťami všetkého druhu“.

V júli 2020 Komisia prijala Stratégiu EÚ pre bezpečnostnú úniu, ktorou sa zaviazala dopĺňať úsilie členských štátov v oblasti bezpečnosti. Súčasťou tohto záväzku je iniciatíva na harmonizáciu vnútorných právnych rámcov informačnej bezpečnosti vo všetkých inštitúciách, orgánoch, úradoch a agentúrach Únie.

Ciele

Všeobecným cieľom tohto návrhu je vytvoriť štandardný súbor pravidiel vysokej úrovne informačnej bezpečnosti pre všetky inštitúcie, orgány, úrady a agentúry Únie, aby sa zabezpečila zvýšená a konzistentná úroveň ochrany pred vyvíjajúcimi sa hrozbami pre ich informácie.

Všeobecný cieľ sa premieta do štyroch špecifických cieľov:

• zaviesť harmonizované a komplexné kategórie informácií na základe stupňa dôvernosti,
• identifikovať bezpečnostné nedostatky a zaviesť potrebné opatrenia,
• vytvoriť efektívne fórum na spoluprácu v oblasti bezpečnosti informácií medzi inštitúciami, orgánmi, úradmi a agentúrami Únie,
• modernizovať politiky bezpečnosti informácií pri zohľadnení súčasných trendov, ako sú digitálna transformácia a práca na diaľku.

Otázky a odpovede

Prečo Komisia navrhuje nariadenie o informačnej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie?

Inštitúcie, orgány, úrady a agentúry Únie majú v súčasnosti buď vlastné predpisy v oblasti bezpečnosti informácií alebo takéto predpisy vôbec neprijali. Fragmentácia platného právneho rámca viedla k značným rozdielom medzi úrovňami bezpečnosti, ktoré tieto organizácie dokážu zabezpečiť pre informácie, s ktorými manipulujú. Táto situácia zvyšuje riziko, že útočníci narušia bezpečnosť v najslabšom článku a využijú ho ako východiskový bod pre ďalšie útoky na iné inštitúcie alebo orgány.

Vytvorením jednotného súboru pravidiel bezpečnosti informácií vo všetkých inštitúciách, orgánoch, úradoch a agentúrach Únie Komisia navrhuje spoločnú základnú úroveň pre vysoké normy na ochranu informácií, s ktorými sa manipuluje. Harmonizované pravidlá navyše uľahčia výmenu informácií medzi inštitúciami, orgánmi, úradmi a agentúrami, ako aj s členskými štátmi.

Na koho sa bude navrhované nariadenie vzťahovať?

V tomto návrhu sa stanovujú pravidlá, ktoré sa vzťahujú na administratívu Únie (inštitúcie, orgány, úrady a agentúry). Môžu sa v ňom nepriamo ukladať povinnosti jednotlivcom plniacim úlohy v mene tejto administratívy alebo na zmluvnom základe (nepatria k nim komisári, zástupcovia členských štátov pôsobiaci v Rade, členovia Európskeho parlamentu, sudcovia únijných súdov ani členovia Európskeho dvora audítorov).

Toto navrhované nariadenie sa nevzťahuje na členské štáty.

Na ktoré kategórie informácií sa toto navrhované nariadenie vzťahuje?

Tento návrh sa týka neutajovaných skutočností a utajovaných skutočností EÚ a uplatňuje sa na tieto stupne dôvernosti:

• tri stupne neutajovaných skutočností: verejné použitie, bežné použitie a citlivé neutajované skutočnosti,
• štyri úrovne utajovaných skutočností EÚ: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.

Budú navrhované pravidlá preskúmané?

Komisia každých päť rokov od začiatku uplatňovania nariadenia vykoná hodnotenie s cieľom posúdiť jeho skutočné účinky a potrebu akýchkoľvek ďalších opatrení.

Komisia bude navyše pravidelne predkladať Európskemu parlamentu a Rade správu o vykonávaní tohto nariadenia.

Čo bude nasledovať?

Na prijatie návrhu Komisie sa bude vzťahovať riadny legislatívny proces v Európskom parlamente a Rade.

Na neformálnom stretnutí v meste Nevers 9. marca 2022 ministri pre telekomunikácie vyzvali inštitúcie, agentúry a orgány EÚ k „ďalšiemu posilňovaniu kybernetickej a informačnej bezpečnosti, pretože EÚ sa stala kľúčovým strategickým hráčom a jej úloha na medzinárodnej scéne si vyžaduje zabezpečenie údajov a sietí proti kybernetickým hrozbám“.

Dokumenty

Impact analysis accompanying the proposal

JRC study on information security in the age of EU institutions digitalisation

Súvisiace odkazy

Tlačová správa

Text of the proposal

The EU Security Union Strategy: European Security Union

Rozhodnutia Komisie

Stratégia EÚ pre bezpečnostnú úniu: Európska bezpečnostná únia | Európska komisia (europa.eu)

Cieľom bezpečnosti v Komisii je umožniť Komisii fungovať v bezpečnom a chránenom prostredí. Komisia preto musí zabezpečiť bezpečnosť osôb, majetku a informácií v Komisii na základe rozhodnutia Komisie (EÚ, Euratom) 2015/443 o bezpečnosti v Komisii a rozhodnutia Komisie (EÚ, Euratom) 2015/444 o bezpečnostných predpisoch na ochranu utajovaných skutočností EÚ. Patrí sem najmä fyzická integrita osôb a majetku, integrita, dôvernosť a dostupnosť informácií a komunikačných a informačných systémov, ako aj neobmedzené fungovanie operácií Komisie.

V tejto súvislosti môže byť potrebné, aby Komisia spracúvala osobné údaje. Každá z takýchto spracovateľských činností je v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Text s významom pre EHP).

Vyhlásenia o ochrane osobných údajov týkajúce sa bezpečnostných postupov sú uvedené ďalej: