Direttiva NIS 2: i protezionisti dei dati vogliono standardizzare i canali di segnalazione degli incidenti di sicurezza informatica e delle violazioni di dati

Le autorità di controllo della protezione dei dati vogliono armonizzare gli obblighi di segnalazione previsti dal NIS-2 e dal GDPR.
Categorie:

L'attuale progetto di legge del Ministero federale dell'Interno per l'attuazione della direttiva NIS-2 è stato accolto da critiche significative da parte delle autorità di controllo della protezione dei dati degli Stati federali. Le critiche si concentrano sull'obbligo inadeguato delle autorità di sicurezza informatica di informare le autorità di controllo della protezione dei dati e sulla mancanza di interazione tra gli obblighi di segnalazione previsti dalla Direttiva NIS 2 e quelli delle autorità di controllo della protezione dei dati. GDPR. Cosa chiedono ora le autorità di protezione dei dati.

Contesto e obiettivi della direttiva NIS 2

Con la Direttiva NIS-2 (Direttiva (UE) 2022/2555), l'Unione Europea persegue l'obiettivo di rafforzare la sicurezza informatica delle infrastrutture critiche e dei servizi digitali in Europa. Si tratta di un ulteriore sviluppo della direttiva NIS originale del 2016 e ne amplia significativamente l'ambito di applicazione rispetto alla direttiva precedente. Mentre in precedenza erano coperti solo gli operatori di infrastrutture critiche (KRITIS), in futuro sarà soggetto alla direttiva un gran numero di organizzazioni cosiddette "essenziali" e "importanti", tra cui quelle dei settori sanitario, dei servizi digitali, della pubblica amministrazione e manifatturiero.

Un elemento centrale è l'obbligo di segnalare gli incidenti di sicurezza significativi. Questi possono riguardare anche aspetti rilevanti per la legge sulla protezione dei dati, in particolare se Dati personali sono interessati.

Suggerimento di lettura: Direttiva NIS 2 - Queste società sono interessate

Punto di critica 1: limitato Obbligo di informazione della BSI

L'art. 35 comma 1 NIS-2 obbliga le autorità competenti in materia di sicurezza informatica a informare le autorità di controllo della protezione dei dati se gli incidenti di sicurezza hanno conseguenze rilevanti per la legge sulla protezione dei dati ai sensi dell'art. 33 NIS-2. GDPR avrebbe potuto.

Tuttavia, l'attuale progetto di legge limita l'obbligo di informazione dell'Ufficio federale per la sicurezza informatica (BSI) alle violazioni "evidenti" dei dati. Secondo le autorità statali per la protezione dei dati, ciò contraddice la chiara formulazione della direttiva.

Le autorità di controllo della protezione dei dati chiedono pertanto che l'articolo 61 (11) della bozza sia modificato in modo che anche le potenziali violazioni dei dati, e non solo quelle evidenti, comportino l'obbligo di notifica al BSI. Ciò soddisferebbe i requisiti dell'art. 35 NIS-2 e rafforzerebbe l'efficacia della cooperazione tra le autorità.

Critica 2: Mancanza di raggruppamento degli obblighi di rendicontazione

Secondo il § 40 del progetto di legge, la Ufficio federale per la sicurezza delle informazioni (BSI) come centro di segnalazione centrale per gli incidenti di sicurezza informatica. In futuro, le organizzazioni essenziali e importanti ai sensi del NIS-2 dovranno inviare le loro segnalazioni a questo centro, in conformità con la Sezione 32 della Legge di attuazione.

Tuttavia, il § 40 non lo prevede: Un collegamento o un'integrazione dell'obbligo di segnalazione parallelo di cui all'art. 33 GDPR. In altre parole, l'obbligo di segnalare le violazioni dei dati alle autorità di controllo della protezione dei dati competenti. Ciò significa che l'opportunità di gestire due processi di segnalazione spesso coincidenti attraverso un portale o una procedura comune rimane inutilizzata.

Conseguenza: duplicazione del lavoro per le aziende

In pratica, ciò significa che le aziende per le quali si verifica un incidente di sicurezza IT Dati personali (cosa che accade spesso) devono presentare due relazioni separate:

  • Una notifica al BSI in conformità con la legge di attuazione del NIS-2.
  • Una seconda notifica all'autorità di controllo della protezione dei dati ai sensi dell'art. 33 GDPR


Ciò comporta un maggiore impegno amministrativo, basi di dati incoerenti e possibili ritardi.

Requisiti delle autorità di vigilanza

Il Conferenza sulla protezione dei dati propone quindi un'estensione dell'articolo 40: "Il BSI dovrebbe essere obbligato per legge a sviluppare una procedura elettronica integrata attraverso la quale le aziende possano adempiere contemporaneamente agli obblighi previsti dall'articolo 32 (NIS-2) e dall'articolo 33 del GDPR. GDPR può essere soddisfatta".

Un processo di rendicontazione così integrato non solo ridurrebbe la burocrazia, ma promuoverebbe anche la cooperazione tra il BSI e le autorità di protezione dei dati. Altri Paesi dell'UE, come il Lussemburgo e la Danimarca, stanno già dimostrando che questa integrazione è tecnicamente fattibile.

Inoltre, le autorità di controllo raccomandano un regolamento amministrativo interno per il coordinamento tra il BSI e le autorità di protezione dei dati, nonché l'istituzione di un ufficio centrale presso l'Istituto di vigilanza. Conferenza sulla protezione dei dati (DSK) per gestire sistematicamente la borsa.

Creazione di un ufficio DSK con NIS-2

Il Conferenza sulla protezione dei dati (DSK) degli Stati federali non è ancora un organo legalmente istituzionalizzato. La dichiarazione suggerisce che, nell'ambito dell'attuazione del NIS 2, venga creato un ufficio DSK obbligatorio. Tale ufficio potrebbe fungere da centro di coordinamento per le notifiche ai sensi dell'art. 33. GDPR e quindi di professionalizzare e centralizzare ulteriormente la collaborazione con il BSI.

Conclusione sulla bozza di riferimento NIS-2

Il parere delle autorità statali di controllo della protezione dei dati mette il dito nella piaga dell'attuazione della NIS 2: un obbligo di informazione più completo della VdB e l'accorpamento dei processi di notifica con la notifica del GDPR sarebbero soprattutto praticabili e ridurrebbero al minimo la burocrazia.

La palla passa ora al legislatore. Una revisione della bozza di legge per includere i requisiti di protezione dei dati potrebbe migliorare significativamente l'accettazione delle nuove norme e realizzare l'obiettivo dell'UE di un livello elevato e standardizzato di cybersicurezza in un modo favorevole alla protezione dei dati.

Fonte: Parere delle autorità indipendenti di controllo della protezione dei dati degli Stati federali sulla legge di attuazione della NIS 2

Tag:
Condividi questo post :