Biztonság a Bizottságnál

Az információbiztonságra vonatkozó új szabályok

Rendeletjavaslat az uniós intézmények, szervek, hivatalok és ügynökségek információbiztonságáról

Háttér-információk

Az uniós intézmények, szervek, hivatalok és ügynökségek által egymás között megosztandó, nem minősített érzékeny és EU-minősített adatok egyre növekvő mennyisége miatt, valamint a fenyegetettségi helyzet drámai alakulására tekintettel az európai közigazgatás minden tevékenységi területén támadásnak van kitéve. Az intézményeink, szerveink, hivatalaink és ügynökségeink által kezelt információknak nagy értékük van különböző, az EU-ra fenyegetést jelentő szereplők számára, és megfelelő védelmet igényelnek.

A tagállamok már felszólították az EU intézményeit, hogy tegyenek lépéseket ennek érdekében. Az Európai Tanács által 2019 júniusában elfogadott, a 2019–2024-es időszakra szóló stratégiai menetrend kulcsfontosságú eleme, hogy megvédje társadalmainkat az EU intézményei által kezelt információkra irányuló fenyegetésektől. Következtetéseiben az Európai Tanács felszólította az uniós intézményeket, hogy „a tagállamokkal közösen dolgozzanak ki olyan intézkedéseket, amelyek fokozzák az EU-nak az Unión kívülről érkező kiberfenyegetésekkel és hibrid fenyegetésekkel szembeni rezilienciáját, illetve javítják az EU biztonsági kultúráját, valamint amelyek hatékonyabb védelmet biztosítanak a rossz szándékú tevékenységek minden formájával szemben az uniós információs és kommunikációs hálózatok és az EU döntéshozatali folyamatai számára”.

2020 júliusában a Bizottság elfogadta a biztonsági unióra vonatkozó uniós stratégiát, amelyben elkötelezte magát a biztonság területén tett nemzeti erőfeszítések kiegészítése mellett. E kötelezettségvállaláshoz tartozik az is, hogy a Bizottság össze fogja hangolni az információbiztonságra vonatkozó belső jogi keretet, hogy az egységes legyen mindegyik uniós intézmény, szerv, hivatal és ügynökség esetében.

Célkitűzések

E rendeletjavaslat általános célja, hogy magas szintű információbiztonsági szabályokat hozzon létre az Unió mindegyik intézménye, szerve, hivatala és ügynöksége számára annak érdekében, hogy információik egységesen magas védelemben részesüljenek a folyamatosan változó fenyegetésekkel szemben.

Ez az általános célkitűzés négy, közelebbről körülhatárolható célkitűzésre bontható le:

• harmonizált és átfogó információkategóriákat kell létrehozni az információk titoktartási szintje alapján;
• azonosítani kell a biztonsági hiányosságokat és végre kell hajtani a szükséges intézkedéseket;
• létre kell hozni egy hatékony együttműködési fórumot az uniós intézmények, szervek, hivatalok és ügynökségek információbiztonsága terén;
• korszerűsíteni kell az információbiztonsági politikákat, figyelembe véve napjaink meghatározó trendjeit, így a digitális transzformációt és a távmunka térnyerését.

Kérdések és válaszok

Miért nyújtott be a Bizottság rendeletjavaslatot az uniós intézmények, szervek, hivatalok és ügynökségek információbiztonságáról?

Az uniós intézmények, szervek, hivatalok és ügynökségek jelenleg saját információbiztonsági szabályokkal rendelkeznek, vagy egyáltalán nem fogadtak el ilyen szabályokat. Az alkalmazandó jogi keret széttagoltsága miatt jelentős különbségek vannak az EU szervezetei között a tekintetben, hogy az általuk kezelt információk biztonsági szintje milyen magas. Ez a helyzet növeli annak kockázatát, hogy a támadók a leggyengébb láncszemnél megsértik a biztonsági szabályokat, és ezt a más intézmények vagy szervek elleni további támadások kiindulópontjaként használják fel.

A Bizottság az Unió összes intézményére, szervére, hivatalára és ügynökségére vonatkozóan egységes és magas szintű információbiztonsági szabályrendszer létrehozását javasolja. A harmonizált szabályok ráadásul meg fogják könnyíteni a különböző intézmények, szervek, hivatalok és ügynökségek, valamint a tagállamok közötti információcserét.

Kik tartoznak majd a javasolt rendelet hatálya alá?

A javasolt szabályok kiterjednek az Európai Unió teljes igazgatására (az intézményekre, szervekre, hivatalokra és ügynökségekre egyaránt). Ennélfogva a rendelet közvetett módon kötelezettségeket róhat azokra a személyekre, akik az uniós igazgatás nevében vagy szerződéses alapon feladatokat látnak el (kivéve a biztosokat, a tagállamok Tanácson belül eljáró képviselőit, az Európai Parlament tagjait, az uniós bíróságok bíráit és az Európai Számvevőszék tagjait).

A rendeletjavaslat nem vonatkozik a tagállamok közigazgatási szerveire.

Az információk mely kategóriáira terjed ki a javasolt rendelet hatálya?

A javaslat a nem minősített és az EU-minősített adatokra terjed ki, és a következő titoktartási szintekre vonatkozik:

• a nem minősített adatok három szintje: nyilvános használatra szánt adatok, szokásos adatok és nem minősített érzékeny adatok;
• az EU-minősített adatok négy szintje: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.

Felül fogják-e vizsgálni a javasolt szabályokat?

A Bizottság az alkalmazás kezdőnapjától számítva ötévente értékeli a rendeletet annak érdekében, hogy felmérje annak tényleges hatásait és a további intézkedések szükségességét.

Ezen túlmenően a Bizottság rendszeresen jelenteni fog az Európai Parlamentnek és a Tanácsnak e rendelet végrehajtásáról.

Melyek a következő lépések?

A bizottsági javaslat elfogadása az Európai Parlament és a Tanács rendes jogalkotási eljárása keretében történik.

A 2022. március 9-én Neversben tartott informális találkozójukon a távközlési miniszterek felszólították az EU intézményeit, szerveit és ügynökségeit, hogy „erősítsék meg kiber- és információbiztonságukat, mivel az EU olyan kulcsfontosságú stratégiai szereplővé vált, amelynek a nemzetközi színtéren betöltött szerepe szükségessé teszi adatainak és hálózatainak védelmét a kiberfenyegetésekkel szemben”.

Dokumentumok

Impact analysis accompanying the proposal

JRC study on information security in the age of EU institutions digitalisation

Kapcsolódó linkek

Sajtóközlemény

Text of the proposal

The EU Security Union Strategy: European Security Union

Bizottsági határozatok

Az EU biztonsági unióra vonatkozó stratégiája: Európai biztonsági unió | Európai Bizottság (europa.eu)

Elengedhetetlenül fontos, hogy a Bizottság biztonságos és védett környezetben működhessen és végezhesse tevékenységét. A Bizottságnak ezért a Bizottságon belüli biztonságról szóló (EU, Euratom) 2015/443 bizottsági határozat és az EU-minősített adatok védelmét szolgáló biztonsági szabályokról szóló (EU, Euratom) 2015/444 bizottsági határozat alapján gondoskodnia kell a munkatársainak, eszközeinek és információinak biztonságáról. Ez magában foglalja különösen a személyek és eszközök sértetlenségét, az információk, a kommunikációs és információs rendszerek integritását, titkosságát és rendelkezésre állását, valamint a Bizottság akadálytalan működését.

Ennek során előfordulhat, hogy a Bizottságnak személyes adatokat kell kezelnie. Az adatkezelés minden esetben a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23-i (EU) 2018/1725 európai parlamenti és tanácsi rendelet előírásaival összhangban történik.

A biztonság szempontjából releváns eljárásokra vonatkozó adatvédelmi nyilatkozatok itt találhatók: