Directive NIS 2 : les défenseurs des données veulent uniformiser les voies de notification des incidents de sécurité informatique et des violations de données

Les autorités de contrôle de la protection des données veulent uniformiser les obligations de notification selon la NIS-2 et le RGPD.
Catégories :

L'actuel projet de rapport du ministère fédéral de l'Intérieur sur la mise en œuvre de la directive NIS-2 se heurte à de vives critiques de la part des autorités de surveillance de la protection des données des Länder. Les critiques portent essentiellement sur l'insuffisance de l'obligation d'information des autorités de sécurité informatique vis-à-vis des autorités de surveillance de la protection des données ainsi que sur le manque d'interaction entre les obligations de notification de la directive NIS-2 et celles de la directive sur la protection des données. RGPD. Ce que les autorités de contrôle de la protection des données demandent maintenant.

Contexte et objectif de la directive NIS 2

Avec la directive NIS 2 (RL (UE) 2022/2555), l'Union européenne poursuit l'objectif de renforcer la cybersécurité des infrastructures critiques et des services numériques en Europe. Elle est une évolution de la directive NIS initiale de 2016. Par rapport à la directive précédente, elle étend considérablement son champ d'application. Alors que seuls les exploitants d'infrastructures critiques (CRITIS) étaient concernés jusqu'à présent, un grand nombre d'entités dites "essentielles" et "importantes" seront désormais soumises à la directive, notamment celles des secteurs de la santé, des services numériques, de l'administration publique et de l'industrie manufacturière.

Un élément central est l'obligation de notifier les incidents de sécurité importants. Ceux-ci peuvent également concerner des aspects pertinents pour la protection des données, notamment lorsque données à caractère personnel sont concernés.

Conseil de lecture : Directive NIS 2 - ces entreprises sont concernées

Critique 1 : Limitation des possibilités Obligations d'information du BSI

L'article 35, paragraphe 1, de la NIS-2 oblige les autorités de sécurité informatique compétentes à informer les autorités de contrôle de la protection des données lorsque des incidents de sécurité ont des conséquences importantes pour la protection des données au sens de l'article 33 de la NIS-2. RGPD pourraient avoir.

Le projet de loi actuel limite toutefois l'obligation d'information de l'Office fédéral de la sécurité des technologies de l'information (BSI) aux violations "manifestes" de la protection des données. Selon les autorités régionales de protection des données, cela va à l'encontre du libellé clair de la directive.

Les autorités de surveillance de la protection des données demandent donc une adaptation de l'article 61, paragraphe 11, du projet, de sorte que les violations potentielles de la protection des données, et pas seulement les violations manifestes, déclenchent une obligation de notification de la part du BSI. Cela répondrait aux exigences de l'article 35 NIS-2 et renforcerait l'efficacité de la coopération entre les autorités.

Point critique 2 : absence de regroupement des obligations de déclaration

Selon le § 40 du projet de référendum, le Office fédéral de la sécurité dans la technologie de l'information (BSI) comme point central de notification des incidents de sécurité informatique. C'est là que les institutions essentielles et importantes au sens de la NIS-2 devront à l'avenir déposer leurs notifications conformément à l'article 32 de la loi de transposition.

Ce que le § 40 ne prévoit toutefois pas : Un lien ou une intégration de l'obligation de déclaration parallèle de l'art. 33 RGPD. Donc l'obligation de notifier les violations de données aux autorités de contrôle de la protection des données compétentes. Ainsi, la possibilité de traiter deux processus de notification qui coïncident souvent via un portail ou une procédure commune reste inexploitée.

Conséquence : double emploi pour les entreprises

Dans la pratique, cela signifie que les entreprises pour lesquelles un incident de sécurité informatique est aussi données à caractère personnel (ce qui est souvent le cas) doivent envoyer deux déclarations distinctes :

  • Une notification au BSI conformément à la loi de mise en œuvre NIS-2
  • Une deuxième notification à l'autorité de contrôle de la protection des données conformément à l'art. 33 RGPD


Cela entraîne une augmentation de la charge administrative, des bases de données incohérentes et éventuellement des retards dans le temps.

Exigence des autorités de surveillance

Le site Conférence sur la protection des données propose donc d'élargir le § 40 : "Le BSI doit être légalement tenu de développer une procédure électronique intégrée permettant aux entreprises de remplir simultanément leurs obligations au titre du § 32 (NIS-2) et de l'article 33 de la directive. RGPD de se conformer à la loi".

Un tel processus de notification groupé permettrait non seulement de réduire la bureaucratie, mais aussi de favoriser la coopération entre le BSI et l'autorité de surveillance de la protection des données. D'autres pays de l'UE, comme le Luxembourg ou le Danemark, montrent déjà que cette intégration est techniquement réalisable.

En outre, les autorités de surveillance recommandent une réglementation interne à l'administration pour la coordination entre le BSI et les autorités de protection des données ainsi que la mise en place d'un bureau central auprès de la Conférence sur la protection des données (DSK) afin de gérer systématiquement les échanges.

Mise en place d'un bureau DSK avec NIS-2

Le site Conférence sur la protection des données (DSK) des Länder n'est jusqu'à présent pas un organe institutionnalisé par la loi. L'avis suggère de créer un bureau de la CCPD légalement établi dans le cadre de la mise en œuvre de NIS-2. Celui-ci pourrait servir d'organe de coordination pour les notifications au titre de l'article 33 de la loi sur la protection des données. RGPD et ainsi professionnaliser et centraliser davantage la coopération avec le BSI.

Conclusion sur le projet de référentiel NIS 2

La prise de position des autorités de surveillance de la protection des données des Länder met le doigt sur la plaie de la mise en œuvre de la NIS-2 : une obligation d'information plus complète de la part du BSI ainsi que le regroupement des processus de notification avec la notification RGPD seraient avant tout praticables et peu bureaucratiques.

La balle est maintenant dans le camp du législateur. Une révision du projet de référendum intégrant les exigences en matière de protection des données pourrait améliorer considérablement l'acceptation des nouvelles règles et mettre en œuvre l'objectif de l'UE, à savoir un niveau élevé et uniforme de cybersécurité, tout en respectant la protection des données.

Source : Avis des autorités indépendantes de surveillance de la protection des données des Länder sur la loi de mise en œuvre NIS-2

Les tags :
Partager ce post :