L'attuale progetto di legge del Ministero federale dell'Interno per l'attuazione della direttiva NIS-2 è stato accolto da critiche significative da parte delle autorità di controllo della protezione dei dati degli Stati federali. Le critiche si concentrano sull'obbligo inadeguato delle autorità di sicurezza informatica di informare le autorità di controllo della protezione dei dati e sulla mancanza di interazione tra gli obblighi di segnalazione previsti dalla Direttiva NIS 2 e quelli delle autorità di controllo della protezione dei dati. GDPR. Cosa chiedono ora le autorità di protezione dei dati.
Contesto e obiettivi della direttiva NIS 2
Con la direttiva NIS 2 (direttiva (UE) 2022/2555), l’Unione europea persegue l’obiettivo di rafforzare la sicurezza informatica delle infrastrutture critiche e dei servizi digitali in Europa. Si tratta di un’evoluzione della direttiva NIS originaria del 2016. Rispetto alla direttiva precedente, ne amplia notevolmente il campo di applicazione. Mentre finora erano contemplati solo i gestori di infrastrutture critiche (KRITIS), in futuro saranno soggette alla direttiva numerose strutture cosiddette „essenziali“ e „importanti“, tra cui quelle dei settori della sanità, dei servizi digitali, della pubblica amministrazione e dell’industria manifatturiera.
Un elemento fondamentale è l’obbligo di segnalare incidenti di sicurezza significativi. Questi possono riguardare anche aspetti rilevanti ai fini della protezione dei dati, in particolare se Dati personali sono interessati.
Suggerimento di lettura: Direttiva NIS 2 – ecco le aziende interessate
Punto di critica n. 1: obblighi di informazione limitati del BSI
L'art. 35 comma 1 NIS-2 obbliga le autorità competenti in materia di sicurezza informatica a informare le autorità di controllo della protezione dei dati se gli incidenti di sicurezza hanno conseguenze rilevanti per la legge sulla protezione dei dati ai sensi dell'art. 33 NIS-2. GDPR avrebbe potuto.
L'attuale progetto di legge limita tuttavia l'obbligo di informazione dell'Ufficio federale per la sicurezza informatica (BSI) alle violazioni „evidenti“ della protezione dei dati. Secondo le autorità regionali per la protezione dei dati, ciò è in contrasto con il chiaro testo della direttiva.
Le autorità di controllo della protezione dei dati chiedono pertanto un adeguamento dell’articolo 61, paragrafo 11, del progetto di legge, affinché già le potenziali violazioni della protezione dei dati – e non solo quelle evidenti – diano luogo a un obbligo di notifica da parte del BSI. Ciò soddisferebbe i requisiti di cui all’articolo 35 della direttiva NIS-2 e rafforzerebbe l’efficacia della cooperazione tra le autorità.
Punto di critica n. 2: Mancanza di un’unificazione degli obblighi di segnalazione
Ai sensi dell’articolo 40 del progetto di legge, il Ufficio federale per la sicurezza informatica (BSI) è stato designato come centro di segnalazione centrale per gli incidenti di sicurezza informatica. In futuro, le strutture essenziali e importanti ai sensi della direttiva NIS-2 dovranno presentare le proprie segnalazioni a tale centro, ai sensi dell’articolo 32 della legge di recepimento.
Tuttavia, il § 40 non lo prevede: Un collegamento o un'integrazione dell'obbligo di segnalazione parallelo di cui all'art. 33 GDPR. In altre parole, l'obbligo di segnalare le violazioni dei dati alle autorità di controllo della protezione dei dati competenti. Ciò significa che l'opportunità di gestire due processi di segnalazione spesso coincidenti attraverso un portale o una procedura comune rimane inutilizzata.
Conseguenza: doppio lavoro per le aziende
In pratica, ciò significa che le aziende per le quali si verifica un incidente di sicurezza IT Dati personali (come spesso accade), è necessario presentare due segnalazioni distinte:
- Una segnalazione al BSI ai sensi della legge di attuazione della direttiva NIS 2
- Una seconda notifica all'autorità di controllo della protezione dei dati ai sensi dell'art. 33 GDPR
Ciò comporta un aumento degli oneri amministrativi, dati di base incoerenti e, potenzialmente, ritardi.
Richiesta delle autorità di vigilanza
Il Conferenza sulla protezione dei dati propone quindi un'estensione dell'articolo 40: "Il BSI dovrebbe essere obbligato per legge a sviluppare una procedura elettronica integrata attraverso la quale le aziende possano adempiere contemporaneamente agli obblighi previsti dall'articolo 32 (NIS-2) e dall'articolo 33 del GDPR. GDPR può essere soddisfatta".
Un processo di segnalazione così centralizzato non solo ridurrebbe la burocrazia, ma favorirebbe anche la collaborazione tra il BSI e l'autorità di controllo della protezione dei dati. Altri Stati membri dell'UE, come il Lussemburgo o la Danimarca, dimostrano già che tale integrazione è tecnicamente fattibile.
Inoltre, le autorità di vigilanza raccomandano l’adozione di una normativa interna all’amministrazione volta al coordinamento tra il BSI e le autorità per la protezione dei dati, nonché l’istituzione di un ufficio centrale presso il Conferenza sulla protezione dei dati (DSK) per gestire sistematicamente la borsa.
Istituzione di una sede operativa della DSK con NIS-2
Il Conferenza sulla protezione dei dati (DSK) degli Stati federali non è ancora un organo legalmente istituzionalizzato. La dichiarazione suggerisce che, nell'ambito dell'attuazione del NIS 2, venga creato un ufficio DSK obbligatorio. Tale ufficio potrebbe fungere da centro di coordinamento per le notifiche ai sensi dell'art. 33. GDPR e quindi di professionalizzare e centralizzare ulteriormente la collaborazione con il BSI.
Conclusione sulla bozza di riferimento NIS-2
Il parere delle autorità regionali di controllo della protezione dei dati mette il dito nella piaga dell'attuazione della direttiva NIS 2: un obbligo di informazione più ampio da parte del BSI e l'unificazione delle procedure di segnalazione con la GDPR-Una tale comunicazione sarebbe soprattutto praticabile e poco onerosa dal punto di vista burocratico.
La palla passa ora al legislatore. Una revisione del progetto di legge che tenga conto delle esigenze in materia di protezione dei dati potrebbe migliorare notevolmente l’accettazione delle nuove norme e consentire di attuare l’obiettivo dell’UE, ovvero un elevato livello uniforme di sicurezza informatica, nel rispetto della protezione dei dati.
German 
English 
Italian 
French