Bezpieczeństwo w Komisji

Nowe przepisy dotyczące bezpieczeństwa informacji

Wniosek dotyczący rozporządzenia w sprawie bezpieczeństwa informacji w instytucjach, organach, urzędach i agencjach Unii

Kontekst

Ze względu na stale rosnącą ilość szczególnie chronionych informacji jawnych i informacji niejawnych UE („EUCI”), które instytucje, organy, urzędy i agencje Unii muszą udostępniać sobie nawzajem, oraz biorąc pod uwagę gwałtowny wzrost poziomu zagrożenia, administracja europejska jest narażona na ataki we wszystkich obszarach swojej działalności. Informacje przetwarzane przez nasze instytucje, organy, urzędy i agencje mają wysoką wartość dla wielu różnych agresorów i wymagają odpowiedniej ochrony.

Państwa członkowskie wezwały już nasze instytucje do zapewnienia takiej ochrony. Głównym elementem Programu strategicznego na lata 2019–2024, przyjętego przez Radę Europejską w czerwcu 2019 r., jest ochrona naszych społeczeństw przed zagrożeniami, na jakie narażone są informacje przetwarzane przez administrację unijną. W swoich konkluzjach Rada Europejska zwróciła się do „instytucji UE, aby wraz z państwami członkowskimi pracowały nad środkami na rzecz zwiększenia odporności i poprawy kultury bezpieczeństwa UE w obliczu cyberzagrożeń i zagrożeń hybrydowych spoza UE, a także na rzecz skuteczniejszej ochrony unijnych sieci informacyjnych i komunikacyjnych oraz unijnych procesów decyzyjnych przed wszelkiego rodzaju złośliwymi działaniami”.

W lipcu 2020 r. Komisja przyjęła strategię UE w zakresie unii bezpieczeństwa, w której zobowiązała się do uzupełnienia krajowych wysiłków w dziedzinie bezpieczeństwa. Jednym z elementów tego zobowiązania jest inicjatywa mająca na celu harmonizację wewnętrznych ram prawnych dotyczących bezpieczeństwa informacji we wszystkich instytucjach, organach, urzędach i agencjach Unii.

Cele

Ogólnym celem wniosku jest stworzenie standardowego zbioru przepisów dotyczących informacji wymagających wysokiego poziomu bezpieczeństwa, obowiązującego wszystkie instytucje, organy, urzędy i agencje Unii, aby zapewnić wyższy i spójny stopień ochrony przed zmieniającymi się zagrożeniami, na jakie narażone są ich informacje.

Ten cel ogólny przekłada się na cztery cele szczegółowe. Są to:

• ustanowienie zharmonizowanych i kompleksowych kategorii informacji w oparciu o poziom poufności
• określenie luk w zakresie bezpieczeństwa i wdrożenie wymaganych środków
• ustanowienie skutecznego forum współpracy ds. bezpieczeństwa informacji, w którym uczestniczyłyby instytucje, organy, urzędy i agencje Unii
• modernizacja polityki bezpieczeństwa informacji z uwzględnieniem aktualnych tendencji, takich jak transformacja cyfrowa i praca zdalna.

Pytania i odpowiedzi

Dlaczego Komisja występuje z wnioskiem dotyczącym rozporządzenia w sprawie bezpieczeństwa informacji w instytucjach, organach, urzędach i agencjach Unii?

Obecnie instytucje, organy, urzędy i agencje Unii posiadają własne przepisy dotyczące bezpieczeństwa informacji lub w ogóle nie przyjęły takich przepisów Rozdrobnienie obowiązujących ram prawnych prowadzi do znacznych różnic między poziomami bezpieczeństwa, które organizacje te mogą zapewnić w odniesieniu do posiadanych przez nie informacji. W takiej sytuacji wzrasta ryzyko, że napastnicy uderzą w najsłabsze ogniwo i wykorzystają to jako punkt wyjścia do dalszych ataków na inne instytucje lub organy.

Dzięki jednolitemu zbiorowi przepisów dotyczących bezpieczeństwa informacji we wszystkich instytucjach, organach, urzędach i agencjach Unii Komisja chce wprowadzić wspólny mianownik dla wysokich standardów ochrony przetwarzanych informacji. Ponadto zharmonizowane przepisy ułatwią wymianę informacji między instytucjami, organami, urzędami i agencjami, a także między państwami członkowskimi.

Do kogo będzie miało zastosowanie proponowane rozporządzenie?

Wniosek ustanawia przepisy mające zastosowanie do administracji Unii (instytucji, organów, urzędów i agencji). Pośrednio rozporządzenie może nałożyć obowiązki na jednostki wykonujące zadania w imieniu tej administracji lub na podstawie umowy (z wyłączeniem komisarzy, przedstawicieli państw członkowskich działających w ramach Rady, posłów do Parlamentu Europejskiego, sędziów sądów Unii lub członków Europejskiego Trybunału Obrachunkowego).

Proponowane rozporządzenie nie ma zastosowania do państw członkowskich.

Jakie kategorie informacji są objęte proponowanym rozporządzeniem?

Wniosek dotyczy informacji jawnych i niejawnych UE i ma zastosowanie do następujących poziomów poufności:

• trzech poziomów informacji jawnych: informacji do użytku publicznego, informacji zwykłych i szczególnie chronionych informacji jawnych
• czterech poziomów informacji niejawnych EUCI: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.

Czy proponowane przepisy zostaną poddane przeglądowi?

Co pięć lat od daty rozpoczęcia stosowania rozporządzenia Komisja będzie oceniać jego faktyczne skutki i to, czy potrzebne są dalsze działania.

Poza tym Komisja będzie regularnie przedstawiała Parlamentowi Europejskiemu i Radzie sprawozdania z wykonania tego rozporządzenia.

Jakie będą kolejne działania?

Wniosek Komisji zostanie przyjęty zgodnie ze zwykłą procedurą ustawodawczą w Parlamencie Europejskim i Radzie.

9 marca 2022 r. na nieformalnym posiedzeniu ministrów telekomunikacji w Nevers wezwano „instytucje, agencje i organy UE do dalszego wzmacniania bezpieczeństwa cybernetycznego i bezpieczeństwa informacji, ponieważ UE stała się kluczowym podmiotem strategicznym, którego rola na arenie międzynarodowej wymaga zabezpieczenia swoich danych i sieci przed zagrożeniami cybernetycznymi”.

Dokumenty

Impact analysis accompanying the proposal

JRC study on information security in the age of EU institutions digitalisation

Podobne strony

Komunikat prasowy

Text of the proposal

The EU Security Union Strategy: European Security Union

Decyzje Komisji

Strategia UE w zakresie unii bezpieczeństwa: Europejska unia bezpieczeństwa | Komisja Europejska (europa.eu)

Celem bezpieczeństwa w Komisji jest umożliwienie jej działania w bezpiecznym i zabezpieczonym środowisku. W związku z tym Komisja musi zapewnić bezpieczeństwo osób, mienia i informacji w Komisji na podstawie decyzji Komisji (UE, Euratom) 2015/443 w sprawie bezpieczeństwa w Komisji oraz decyzji Komisji (UE, Euratom) 2015/444 w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE. Dotyczy to w szczególności integralności fizycznej osób i mienia, integralności, poufności i dostępności informacji oraz systemów komunikacyjnych i informacyjnych, a także niezakłóconego funkcjonowania działań Komisji.

W tym kontekście Komisja może być zmuszona do przetwarzania danych osobowych. Wszelkie operacje przetwarzania muszą się odbywać zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE.

Poniżej wymieniono oświadczenia o ochronie prywatności dotyczące procedur związanych z bezpieczeństwem: