L’EDPB (il Comitato europeo per la protezione dei dati) e l’EDPS (il Garante europeo della protezione dei dati) hanno adottato congiuntamente un parere sulla iniziativa di proposta della Commissione UE relativamente all’introduzione del nuovo Regolamento sulla sicurezza informatica, il cosiddetto Cybersecurity Act 2 (CSA 2), che abroga e sostituisce il precedente Regolamento (UE) 2019/881, e sulla proposta di modifica della Direttiva Network and Information Security 2 , la cosiddetta NIS 2 (2022/2555/UE).
Come è noto, la Commissione UE a gennaio scorso aveva proposto il pacchetto sulla sicurezza informatica, per rafforzare la cybersicurezza nell’Unione Europea e semplificare gli adempimenti per tutti i soggetti in campo.
Il pacchetto prevedeva l’adozione del nuovo Regolamento Cybersecurity Act2 (CSA2), con contestuale abrogazione del precedente Cybersecurity Act (2019/881/UE), e la modifica della NIS 2 (2022/2555).
L’ingresso sulla scena di soggetti come EDPB e EDPS ci ricordano in sostanza che il rapporto tra protezione dei dati e sicurezza informatica è duplice. Da una parte, la sicurezza informatica contribuisce alla protezione dei dati personali limitando i rischi di accesso non autorizzato. Dall’altro, alcune misure di sicurezza informatica possono interferire con i diritti e le libertà delle persone, con particolare riferimento al diritto in ambito di vita privata e alla protezione dei dati, il che richiama i principi di necessità e proporzionalità.
Quanto alla proposta di Regolamento Cybersecurity Act 2, EDPB e EDPS sostengono come sia necessario rafforzare il ruolo dell’Agenzia dell’Unione europea per la sicurezza informatica (ENISA), agevolare l’adozione delle certificazioni in materia di cybersicurezza ed affrontare i rischi che pesano sulle catene di approvvigionamento delle catene di fornitura dell’ICT.
EDPB e EDPS accolgono positivamente la modalità con cui ENISA offre supporto ai diversi soggetti interessati, così come prevista nella nuova proposta di regolamento.
Le due autorità precisano inoltre come, nel caso in cui ENISA decidesse di adottare ulteriori misure per l’applicazione del GDPR, queste dovrebbero limitarsi a dettagli tecnici in merito al trattamento dei dati personali e pur sempre previa consultazione di EDPS.
EDPB e EDPS raccomandano, in merito al Quadro europeo delle competenze in materia di sicurezza informatica (European Cybersecurity Skills Framework, ECSF), di modificare l’art. 19, par. 2, della proposta CSA 2, in modo che l’accesso a tale quadro non sia limitato esclusivamente ai professionisti della sicurezza informatica, ma includa anche profili destinati ai lavoratori in generale.
Nel parere congiunto dei due organismi europei, viene inoltre precisato come sia necessario evidenziare la portata applicativa del Quadro europeo di certificazione in materia di sicurezza informatica (European Cybersecurity Certification Framework, ECCF) e del suo rapporto con la certificazione GDPR. In aggiunta, ENISA dovrebbe consultare EDPB prima dell’adozione di uno schema di certificazione in merito alla sicurezza del trattamento dei dati personali.
In aggiunta, il parere sostiene l’adozione di un punto di accesso unico per la segnalazione delle violazioni dei dati personali.
In merito, invece, alle modifiche della Direttiva NIS 2, EDPB e EDPS sostengono la proposta di designare dei gestori di portafogli di identità digitale europei e di portafogli aziendali europei come “soggetti essenziali”.
