Varnost v Komisiji

Nova pravila o informacijski varnosti

Predlog uredbe o informacijski varnosti v institucijah, organih, uradih in agencijah Unije.

Ozadje

Zaradi vse večjega obsega občutljivih netajnih podatkov in tajnih podatkov Evropske unije, ki jih morajo institucije, organi, uradi in agencije Unije izmenjevati med seboj, in ob upoštevanju dramatičnega razvoja groženj je evropska uprava izpostavljena napadom na vseh področjih svojega delovanja. Informacije, ki jih obravnavajo naše institucije, organi, uradi in agencije, so zelo pomembne za številne različne akterje groženj in jih je treba ustrezno zaščititi.

Države članice so že pozvale naše institucije, naj ukrepajo v tej smeri. Ključni element strateške agende za obdobje 2019–2024, ki jo je Evropski svet sprejel junija 2019, je zaščita naših družb pred grožnjami, usmerjenimi v informacije, ki jih obravnava evropska uprava. Evropski svet je v svojih sklepih zlasti pozval „[i]nstitucije EU [...], naj skupaj z državami članicami pripravijo ukrepe za okrepitev odpornosti in izboljšanje varnostne kulture EU v zvezi s kibernetskimi in hibridnimi grožnjami, ki prihajajo iz okolja zunaj EU, ter za boljšo zaščito informacijskih in komunikacijskih omrežij EU ter njenih postopkov odločanja pred raznovrstnimi zlonamernimi dejavnostmi“.

Komisija je julija 2020 sprejela strategijo EU za varnostno unijo, s katero se je zavezala, da bo dopolnila nacionalna prizadevanja na področju varnosti. V okvir tega spada pobuda za uskladitev notranjih pravnih okvirov za informacijsko varnost v vseh institucijah, organih, uradih in agencijah Unije.

Cilji

Splošni cilj tega predloga je oblikovati standardni sklop pravil o informacijski varnosti na visoki ravni za vse institucije, organe, urade in agencije Unije, da se zagotovi okrepljena in dosledna raven zaščite pred spreminjajočimi se grožnjami za njihove informacije.

Splošni cilj je izražen v štirih specifičnih ciljih:

• vzpostavitev usklajenih in celovitih kategorij informacij glede na raven zaupnosti;
• opredelitev varnostnih vrzeli in izvajanje potrebnih ukrepov;
• vzpostavitev učinkovitega foruma za sodelovanje na področju informacijske varnosti med institucijami, organi, uradi in agencijami;
• posodobitev politik za informacijsko varnost ob upoštevanju sedanjih trendov, kot sta digitalna preobrazba in delo na daljavo.

Vprašanja in odgovori

Zakaj Komisija predlaga uredbo o informacijski varnosti v institucijah, organih, uradih in agencijah Unije?

Institucije, organi, uradi in agencije Unije imajo trenutno lastna pravila o informacijski varnosti ali pa takih pravil sploh niso sprejeli. Zaradi razdrobljenosti veljavnega pravnega okvira nastajajo znatne razlike med ravnmi varnosti, ki jih lahko te organizacije zagotovijo za informacije, ki jih obdelujejo. Tako se povečuje tveganje, da napadalci vdrejo v najšibkejši člen in to uporabijo kot izhodišče za nadaljnje napade na druge institucije ali organe.

Komisija z oblikovanjem enotnega sklopa pravil o informacijski varnosti v vseh institucijah, organih, uradih in agencijah Unije predlaga skupno izhodišče visokih standardov za varstvo informacij, ki se obravnavajo. Poleg tega bodo usklajena pravila olajšala izmenjavo informacij med institucijami, organi, uradi in agencijami ter tudi z državami članicami.

Za koga se bo uporabljala predlagana uredba?

Ta predlog določa pravila, ki se uporabljajo za upravo Unije (institucije, organe, urade in agencije). Posredno lahko nalaga obveznosti posameznikom, ki opravljajo naloge v imenu te uprave ali na podlagi pogodbe (mednje ne štejejo komisarji, predstavniki držav članic v Svetu, poslanci in poslanke Evropskega parlamenta, sodnice in sodniki sodišč Unije ter člani in članice Evropskega računskega sodišča).

Predlagana uredba se ne uporablja za države članice.

Katere kategorije informacij zajema predlagana uredba?

Ta predlog zajema netajne in tajne podatke EU ter se uporablja za naslednje stopnje zaupnosti:

• tri stopnje netajnih podatkov: za javno uporabo, običajni podatki in občutljivi netajni podatki;
• štiri stopnje tajnih podatkov EU: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRÈS SECRET UE/EU TOP SECRET.

Ali bodo predlagana pravila pregledana?

Komisija bo vsakih pet let po datumu začetka uporabe ocenila Uredbo, da bi ocenila njene dejanske učinke in potrebo po nadaljnjem ukrepanju.

Poleg tega bo Komisija Evropskemu parlamentu in Svetu redno poročala o izvajanju te uredbe.

Kaj sledi?

Za predlog Komisije se bo začel redni zakonodajni postopek v Evropskem parlamentu in Svetu.

Ministri in ministrice za telekomunikacije so na neformalnem srečanju v Neversu 9. marca 2022 pozvali „institucije, agencije in organe EU, naj dodatno okrepijo svojo kibernetsko in informacijsko varnost, saj je EU postala ključni strateški akter, katerega vloga na mednarodnem prizorišču zahteva zaščito njegovih podatkov in omrežij pred kibernetskimi grožnjami“.

Dokumenti

Impact analysis accompanying the proposal

JRC study on information security in the age of EU institutions digitalisation

Sorodne povezave

Sporočilo za medije

Text of the proposal

The EU Security Union Strategy: European Security Union

Sklepi Komisije

Strategija EU za varnostno unijo: Evropska varnostna unija | Evropska komisija (europa.eu)

Cilj varnosti v Komisiji je omogočiti Komisiji, da deluje v varnem in stabilnem okolju. Zato mora Komisija zagotoviti varnost oseb, sredstev in informacij v Komisiji na podlagi Sklepa Komisije (EU, Euratom) 2015/443 o varnosti v Komisiji in Sklepa Komisije (EU, Euratom) 2015/444 o varnostnih predpisih za varovanje tajnih podatkov EU. To vključuje zlasti fizično integriteto oseb in sredstev, integriteto, zaupnost in razpoložljivost informacij ter komunikacijskih in informacijskih sistemov ter neovirano delovanje dejavnosti Komisije.

V tem okviru mora Komisija včasih obdelovati osebne podatke. Vsakršna obdelava takih podatkov mora biti skladna z Uredbo (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (Besedilo velja za EGP).

Izjave o varstvu osebnih podatkov v zvezi s postopki, relevantnimi za varnost, so navedene spodaj: