INFORMATIE AFKOMSTIG VAN DE INSTELLINGEN, ORGANEN EN INSTANTIES VAN DE EUROPESE UNIE

5.7.2022

Publicatieblad van de Europese Unie

C 258/3

Wisselkoersen van de euro (1)

4 juli 2022

(2022/C 258/03)

1 euro =

	Munteenheid	Koers
USD	US-dollar	1,0455
JPY	Japanse yen	141,51
DKK	Deense kroon	7,4391
GBP	Pond sterling	0,85960
SEK	Zweedse kroon	10,7658
CHF	Zwitserse frank	1,0037
ISK	IJslandse kroon	139,30
NOK	Noorse kroon	10,2958
BGN	Bulgaarse lev	1,9558
CZK	Tsjechische koruna	24,745
HUF	Hongaarse forint	401,52
PLN	Poolse zloty	4,7100
RON	Roemeense leu	4,9440
TRY	Turkse lira	17,5994
AUD	Australische dollar	1,5205
CAD	Canadese dollar	1,3435
HKD	Hongkongse dollar	8,2033
NZD	Nieuw-Zeelandse dollar	1,6748
SGD	Singaporese dollar	1,4587
KRW	Zuid-Koreaanse won	1 353,40
ZAR	Zuid-Afrikaanse rand	17,0275
CNY	Chinese yuan renminbi	6,9977
HRK	Kroatische kuna	7,5301
IDR	Indonesische roepia	15 684,13
MYR	Maleisische ringgit	4,6138
PHP	Filipijnse peso	57,487
RUB	Russische roebel
THB	Thaise baht	37,298
BRL	Braziliaanse real	5,5663
MXN	Mexicaanse peso	21,1972
INR	Indiase roepie	82,5067

(1) Bron: door de Europese Centrale Bank gepubliceerde referentiekoers.

5.7.2022

Publicatieblad van de Europese Unie

C 258/5

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende de bescherming van geografische aanduidingen voor ambachtelijke en industriële producten

(De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website www.edps.europa.eu)

(2022/C 258/05)

Op 13 april 2022 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van geografische aanduidingen voor ambachtelijke en industriële producten en tot wijziging van de Verordeningen (EU) 2017/1001 en (EU) 2019/1753 van het Europees Parlement en de Raad en Besluit (EU) 2019/1754 van de Raad (hierna “het voorstel” genoemd).

Dit voorstel is bedoeld als aanvulling op het EU-beschermingssysteem voor geografische aanduidingen, dat reeds bestaat voor landbouwproducten en levensmiddelen, wijn en gedistilleerde dranken, en beoogt tevens de effectieve naleving mogelijk te maken van de verplichtingen die voortvloeien uit de toetreding van de EU tot de Akte van Genève bij de Overeenkomst van Lissabon.

De EDPS stelt met tevredenheid vast dat het voorstel de rol bepaalt van de Commissie, EUIPO en de bevoegde autoriteiten van de lidstaten met betrekking tot de verwerking van persoonsgegevens in de procedures in het kader van dit voorstel.

De EDPS beveelt aan te verduidelijken of de verschillende verwerkingsverantwoordelijken die betrokken zijn bij de verwerking van persoonsgegevens al dan niet als gezamenlijke verwerkingsverantwoordelijken zullen optreden. Indien dit het geval is, beveelt de EDPS aan te voorzien in een regeling als bedoeld in artikel 28 van de EUDPR en/of artikel 26 van de AVG. In dit verband herinnert de EDPS eraan dat, indien nodig, gedetailleerde regelingen om ervoor te zorgen dat de gegevensbeschermingsvereisten worden nageleefd ook door middel van een uitvoeringshandeling kunnen worden vastgesteld.

De EDPS merkt op dat het voorstel voorziet in de instelling van een openbaar elektronisch register van geografische aanduidingen voor ambachtelijke en industriële producten. In dit verband beveelt de EDPS een duidelijke afbakening aan van de categorieën gegevens die zullen worden verwerkt. De EDPS beveelt aan om in het voorstel zelf alle betrokken categorieën persoonsgegevens te specificeren. Ten slotte is de EDPS van mening dat de gekozen bewaartermijn voor de documentatie met betrekking tot de annulering van geografische aanduidingen verder moet worden gemotiveerd.

1. INLEIDING

Doel van het voorstel is een rechtstreeks toepasselijke bescherming van geografische aanduidingen (“GA’s”) van ambachtelijke en industriële producten op EU-niveau vast te stellen. Het heeft ook tot doel ervoor te zorgen dat producenten kunnen profiteren van het internationale kader voor de registratie en bescherming van GA’s (“Lissabon-systeem”) (1).

Het voorstel vormt een aanvulling op de bestaande EU-bescherming van GA’s op landbouwgebied. Het volgt soortgelijke benaderingen met betrekking tot de ontvankelijkheidsvoorwaarden en de bescherming van GA’s voor landbouwproducten en levensmiddelen, wijn en gedistilleerde dranken, zoals uiteengezet in:

—	Verordening (EU) nr. 1151/2012 van het Europees Parlement en de Raad (2) inzake kwaliteitsregelingen voor landbouwproducten en levensmiddelen;

—	Verordening (EU) 2019/787 van het Europees Parlement en de Raad (3) betreffende de definitie, omschrijving, presentatie en etikettering van gedistilleerde dranken; en

—	Verordening (EU) nr. 1308/2013 van het Europees Parlement en de Raad (4) tot vaststelling van een gemeenschappelijke ordening van de markten voor landbouwproducten (5).

Het voorstel leidt tot een wijziging van Verordening (EU) 2017/1001 van het Europees Parlement en de Raad inzake het Uniemerk, met betrekking tot mogelijke conflicten tussen GA’s en merken. Daarnaast wordt het Bureau voor intellectuele eigendom van de Europese Unie (“EUIPO”) er aanvullende taken in opgedragen. In het voorstel wordt ook een wijziging voorgesteld van Besluit (EU) 2019/1754 van de Raad inzake de toetreding van de Europese Unie tot de Akte van Genève bij de Overeenkomst van Lissabon betreffende oorsprongsbenamingen en geografische aanduidingen, teneinde een verband te leggen tussen het EU-beschermingssysteem voor ambachtelijke en industriële producten en het Lissabon-systeem (6).

Dit advies van de EDPS wordt uitgebracht naar aanleiding van een raadpleging door de Europese Commissie van 13 april 2022, overeenkomstig artikel 42, lid 1, van de EUDPR. De EDPS is ingenomen met de verwijzing naar deze raadpleging in overweging 63 van het voorstel. De opmerkingen en aanbevelingen in dit advies zijn beperkt tot de bepalingen in het voorstel die vanuit het oogpunt van gegevensbescherming het meest relevant zijn.

4. CONCLUSIES

16.

In het licht van het bovenstaande:

—	is de EDPS ingenomen met de expliciete aanwijzing van verwerkingsverantwoordelijken in verband met de verwerking van persoonsgegevens in de in het voorstel vastgelegde procedures;

—	beveelt de EDPS aan te verduidelijken of de verwerkingsverantwoordelijken al dan niet moeten worden beschouwd als “gezamenlijke verwerkingsverantwoordelijken” in de zin van artikel 28 van de EUDPR en artikel 26 van de AVG;

—	beveelt de EDPS aan in het voorstel te specificeren welke categorieën gegevens in het Unieregister van geografische aanduidingen voor ambachtelijke en industriële producten moeten worden opgenomen;

—	is de EDPS van mening dat de voorgestelde bewaartermijn voor documentatie in verband met de annulering van de registratie van GA’s verder moet worden gemotiveerd of verkort voor zover het persoonsgegevens betreft.

Brussel, 2 juni 2022.

Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 174 final, blz. 1.

(2) PB L 343 van 14.12.2012, blz. 1.

(3) PB L 130 van 17.5.2019, blz. 1.

(4) PB L 347 van 20.12.2013, blz. 671.

(5) De EDPS is geraadpleegd over Verordening (EU) nr. 1308/2013 en heeft op 14 december 2011 advies uitgebracht.

(6) COM(2022) 174 final, blz. 2.

5.7.2022

Publicatieblad van de Europese Unie

C 258/7

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie

(De volledige tekst van dit advies is in het Engels, Frans en Duits beschikbaar op de EDPS-website: www.edps.europa.eu)

(2022/C 258/06)

Op 22 maart 2022 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie (“het voorstel”).

De EDPS is ingenomen met het doel van het voorstel om de beveiliging van de door de EU-instellingen verwerkte informatie te verbeteren door hiervoor gemeenschappelijke voorschriften vast te stellen en te bevorderen dat een samenhangende informatiebeveiligingscultuur in een specifiek rechtsinstrument wordt vastgelegd.

De EDPS merkt op dat de beveiliging van persoonsgegevens op grond van de EUVG slechts gedeeltelijk overlapt met het toepassingsgebied van de informatiebeveiliging waarin het voorstel voorziet. In het voorstel ligt de nadruk op de vertrouwelijkheid van de informatie, terwijl in de EUVG ook de integriteit en de beschikbaarheid daarvan worden gewaarborgd. Voorts worden in de bepalingen van de EUVG inzake de beveiliging van persoonsgegevens uitdrukkelijk de risico’s voor de rechten en vrijheden van natuurlijke personen vermeld.

Op grond van het voorstel zijn de EU-instellingen verplicht met het oog op informatiebeveiliging bepaalde maatregelen te treffen. Daarbij zal het onvermijdelijk zijn persoonsgegevens en gegevens over elektronische communicatie, waaronder verkeersgegevens, te verwerken. De EDPS is van oordeel dat duidelijk moet worden gemaakt dat alle maatregelen in verband met informatiebeveiliging waarbij persoonsgegevens worden verwerkt, aan het huidige wettelijke kader voor gegevensbescherming en privacy moeten voldoen. De EU-instellingen dienen ook alle relevante technische en organisatorische waarborgen te bieden om ervoor te zorgen dat er voor de naleving van dit wettelijke kader verantwoording wordt afgelegd.

Om rechtszekerheid en voorzienbaarheid te bewerkstelligen en naleving van de EUVG te waarborgen, adviseert de EDPS met klem dat in het voorstel – of ten minste in een door de Commissie later vast te stellen gedelegeerde handeling – de gegevensverwerkingsactiviteiten worden omschreven die in het licht van deze verordening zijn toegestaan. De EDPS wijst er ook op dat de EUVG-regels betreffende de doorgifte van persoonsgegevens aan derde landen en internationale organisaties moeten worden nageleefd. Bovendien beveelt de EDPS aan in een overweging toe te lichten dat alle bepalingen van de EUVG van toepassing zullen zijn, waaronder de voorschriften voor internationale doorgiften.

De EDPS benadrukt hoe belangrijk het is dat er bij informatiebeveiligingsbeheer rekening wordt gehouden met privacy- en gegevensbeschermingsaspecten, om positieve synergieën tussen het voorstel en de wetgeving op het gebied van privacy en gegevensbescherming te bewerkstelligen. Ook doet de EDPS specifieke aanbevelingen over de manier waarop die synergieën tot stand kunnen worden gebracht. Zo kan aan EU-ambtenaren die verantwoordelijk zijn voor informatiebeveiliging de specifieke verplichting worden opgelegd om nauw samen te werken met de functionaris voor gegevensbescherming die in overeenstemming met artikel 43 van de EUVG is aangewezen, kan end-to-endversleuteling in de lijst van minimale beveiligingsmaatregelen van het voorstel worden opgenomen, in het bijzonder in het kader van de uitwisseling van gevoelige niet-gerubriceerde informatie wordt uitgewisseld, en kunnen geïntegreerde methoden voor het beheer van informatiebeveiligingsrisico’s en de afhandeling van incidenten worden bevorderd waarmee aan de verplichtingen – vanuit het oogpunt van zowel informatiebeveiliging als gegevensbescherming – op het gebied van kennisgevingen over inbreuken in verband met persoonsgegevens wordt voldaan.

1. INLEIDING EN ACHTERGROND

1.	Op 22 maart 2022 heeft de Europese Commissie een voorstel aangenomen voor een verordening van het Europees Parlement en de Raad betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie (1) (“het voorstel”).

2.	Op dezelfde datum heeft de Europese Commissie nog een ander voorstel aangenomen, ditmaal voor een verordening betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie (2) (“het cyberbeveiligingsvoorstel”).

Beide voorstellen waren al gepland in de EU-strategie inzake cyberbeveiliging voor het digitale tijdperk die op 16 december 2020 werd gepresenteerd (3) (“de strategie”). Het algehele doel van de strategie bestond erin de strategische autonomie van de Unie op het gebied van cyberbeveiliging te versterken en haar veerkracht en collectieve respons te verbeteren, en tevens een mondiaal en open internet met duidelijke waarborgen op te bouwen om de risico’s voor de veiligheid en de grondrechten en fundamentele vrijheden van de mensen in Europa aan te pakken (4).

Het voorstel vormt een van de regelgevingsinitiatieven van de strategie, met name op het gebied van de cyberbeveiliging van de instellingen, organen en instanties van de EU (“de EU-instellingen”). Volgens de strategie is het doel van het voorstel tweeledig:

—	de interoperabiliteit van gerubriceerde-informatiesystemen vergemakkelijken, waardoor een naadloze overdracht van informatie tussen de verschillende entiteiten mogelijk wordt, en

—

een interinstitutionele benadering van de behandeling van gerubriceerde EU-informatie en gevoelige niet-gerubriceerde EU-informatie mogelijk maken, die ook kan dienen als model voor interoperabiliteit tussen de lidstaten. De EU moet ook haar bekwaamheid om veilig te communiceren met relevante partners verder ontwikkelen, indien mogelijk op basis van bestaande regelingen en procedures.

De EDPS merkt op dat het onderwerp van het huidige voorstel ook rechtstreeks verband houdt met het voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot intrekking van Richtlijn (EU) 2016/1148 (“NIS 2.0-voorstel”). De EDPS wil zijn Advies 5/2021 over de strategie inzake cyberbeveiliging (5) en de NIS 2.0-richtlijn (“NIS 2.0-advies”) (6) in herinnering brengen. In dit advies wordt dan ook naar het NIS 2.0-advies verwezen.

In de toelichting op het voorstel staat te lezen dat het Europese bestuur blootstaat aan aanvallen op alle gebieden waarop het actief is, door de steeds grotere hoeveelheden gevoelige niet-gerubriceerde informatie en gerubriceerde informatie van de Europese Unie (“EUCI”) die de EU-instellingen onderling moeten uitwisselen en door de dramatische ontwikkeling van het dreigingslandschap. De informatie die de EU-instellingen verwerken, is zeer aantrekkelijk voor de dreigingsactoren en moet adequaat worden beschermd.

Volgens de toelichting zal het voorstel ervoor zorgen dat:

—	uitgebreide geharmoniseerde informatiecategorieën en gemeenschappelijke verwerkingsvoorschriften voor alle EU-instellingen worden vastgesteld;

—	een flexibele regeling voor de samenwerking inzake informatiebeveiliging tussen de EU-instellingen wordt opgezet, waarmee voor het gehele Europese bestuur een samenhangende informatiebeveiligingscultuur tot stand kan worden gebracht;

—	het informatiebeveiligingsbeleid op alle rubricerings- en categoriseringsniveaus voor alle EU-instellingen wordt gemoderniseerd, rekening houdend met de digitale transformatie en de ontwikkeling van thuiswerken als structurele praktijk.

Op 22 maart 2022 heeft de Commissie de Europese Toezichthouder voor gegevensbescherming geraadpleegd op grond van artikel 42, lid 1, van Verordening (EU) 2018/1725 v an het Europees Parlement en de Raad (“de EUVG”) (7). De opmerkingen en aanbevelingen in dit advies zijn beperkt tot de bepalingen in het voorstel die vanuit het oogpunt van gegevensbescherming en privacy het meest relevant zijn.

4. CONCLUSIES

31.

In het licht van het voorgaande doet de EDPS in hoofdzaak de volgende aanbevelingen:

—

De EDPS adviseert met klem dat in het voorstel duidelijk wordt omschreven welke gegevensbeschermingsactiviteiten in het licht van deze verordening zijn toegestaan, onder vermelding van onder meer het doel of de doelen van de verwerking, de categorieën persoonsgegevens, de categorieën betrokkenen, een omschrijving van de toepasselijke rollen (verwerkingsverantwoordelijke, verwerker, gezamenlijke verwerkingsverantwoordelijken), de bewaartijden en de ontvangers in geval van doorzending aan entiteiten die niet onder de EUVG vallen. De EDPS is van oordeel dat deze elementen uitdrukkelijk dienen te worden genoemd in het voorstel, of ten minste in een gedelegeerde handeling die op een later tijdstip door de Commissie wordt vastgesteld. Het voorstel moet in deze delegatie voorzien.

—

De EDPS beveelt aan in een overweging toe te lichten dat alle bepalingen van de EUVG van toepassing zullen zijn, waaronder de voorschriften voor internationale doorgifte. In overweging 6 kunnen ook andere algemene aanbevelingen op het gebied van gegevensbescherming uit dit advies worden overgenomen die niet tot doel hebben de materiële bepalingen van de tekst te wijzigen.

—	De EDPS beveelt met klem aan om end-to-endversleuteling in de lijst van minimale beveiligingsmaatregelen van het voorstel op te nemen waar dit toepasselijk is, in het bijzonder in het kader van de uitwisseling van gevoelige niet-gerubriceerde informatie.

—

De EDPS beveelt aan in artikel 5, lid 3, toe te voegen dat ook dreigingen die gepaard gaan met toegang op basis van het rechtsgebied van derde landen (bijv. door de overheidsinstanties van die landen) tot de factoren worden gerekend waarmee bij het beheer van informatiebeveiligingsrisico’s rekening wordt gehouden.

—

De EDPS raadt met klem aan om in een relevante overweging uit te leggen wat de voordelen zijn van een geïntegreerd beheer van informatiebeveiligingsrisico’s en een geïntegreerde afhandeling van incidenten waarmee aan de verplichtingen op het gebied van kennisgevingen over inbreuken in verband met persoonsgegevens wordt voldaan, vanuit het oogpunt van zowel informatiebeveiliging als gegevensbescherming.

—

De EDPS adviseert dringend dat het voorstel voorziet in een specifieke verplichting voor EU-ambtenaren die verantwoordelijk zijn voor informatiebeveiliging om nauw samen te werken met de functionaris voor gegevensbescherming die in overeenstemming met artikel 43 van de EUVG is aangewezen in het kader van activiteiten als de toepassing van gegevensbescherming door ontwerp en door standaardinstellingen op informatiebeveiligingsmaatregelen, de selectie van beveiligingsmaatregelen waarmee persoonsgegevens gemoeid zijn, geïntegreerd risicobeheer en geïntegreerde afhandeling van beveiligingsincidenten.

Brussel, 17 mei 2022.

Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk | De digitale toekomst van Europa vormgeven (europa.eu), die een gezamenlijke mededeling met de Hoge Vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid (JOIN(2020) 18) omvat.

(4) Zie hoofdstuk I (“Inleiding”) op blz. 4 van de strategie.

(5) Gezamenlijke mededeling van de Europese Commissie en de Hoge Vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid aan het Europees Parlement en de Raad met als titel “De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk”.

(6) Advies 5/2021 van de EDPS over de strategie inzake cyberbeveiliging en de NIS 2.0-richtlijn.

(7) Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).

5.7.2022

Publicatieblad van de Europese Unie

C 258/10

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie

[De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website www.edps.europa.eu]

(2022/C 258/07)

Op 22 maart 2022 heeft de Europese Commissie een voorstel aangenomen voor een verordening betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie (“het voorstel”).

De EDPS is ingenomen met het doel van het voorstel om de positie van de instellingen, organen en instanties van de Unie (hierna: “instellingen van de EU”) ten opzichte van cyberbeveiliging te verbeteren, en is tevens ingenomen met de nieuwe rol van het voormalige “Computercrisisreponsteam”, nu “Cyberbeveiligingscentrum” (CERT-EU) genoemd, rekening houdend met de toegenomen digitalisering, de snel veranderde dreigingen op het gebied van cyberbeveiliging en de recente ontwikkeling van digitalisering ook als gevolg van de COVID-19-pandemie.

De EDPS betreurt het dat het voorstel niet in overeenstemming is met de NIS-richtlijn en het NIS 2.0-voorstel, die streven naar consistente en homogene regels voor de lidstaten en de instellingen van de EU, hetgeen bijdraagt tot het algemene cyberbeveiligingsniveau van de Unie. De EDPS beveelt aan in het voorstel toe te voegen dat de erin opgenomen minimale veiligheidseisen ten minste gelijk moeten zijn aan of strenger moeten zijn dan de minimale veiligheidseisen van de entiteiten van het NIS-voorstel en het NIS 2.0-voorstel.

Om aan het voorstel te voldoen, zullen de instellingen van de EU en het CERT-EU bepaalde cyberbeveiligingsprocessen en -maatregelen moeten uitrollen, die onvermijdelijk bijkomende verwerking van persoonsgegevens met zich mee zullen brengen. Om rechtszekerheid en voorspelbaarheid te bieden en om ervoor te zorgen dat Verordening (EU) 2018/1725 (EUDPR) wordt nageleefd, beveelt de EDPS ten zeerste aan dat het voorstel, of ten minste een later door de Commissie vast te stellen gedelegeerde handeling, duidelijk een rechtsgrond biedt voor de verwerking van persoonsgegevens door het CERT-EU en de instellingen van de EU, met inbegrip van met name de doeleinden van de verwerking en de categorieën persoonsgegevens.

De EDPS benadrukt dat het van belang is dat het perspectief van de privacy- en gegevensbescherming wordt geïntegreerd in het cyberbeveiligingsbeheer teneinde positieve synergieën tot stand te brengen tussen het voorstel en de wetgeving inzake privacy- en gegevensbescherming, en doet specifieke aanbevelingen over de wijze waarop dergelijke synergieën tot stand kunnen worden gebracht, waaronder een specifieke verplichting voor EU-ambtenaren die verantwoordelijk zijn voor cyberbeveiliging om nauw samen te werken met de overeenkomstig de EUDPR aangewezen functionaris voor gegevensbescherming.

De EDPS beveelt ten zeerste aan dat het voorstel voorziet in nauwe samenwerking tussen het CERT-EU en de EDPS, bijvoorbeeld bij het aanpakken van incidenten die leiden tot inbreuken op persoonsgegevens, bij het aanpakken van significante kwetsbaarheden, significante incidenten of grote aanvallen die kunnen leiden tot inbreuken in verband met persoonsgegevens, alsook wanneer het CERT-EU aanwijzingen heeft dat een inbreuk op het voorstel een inbreuk in verband met persoonsgegevens inhoudt.

De EDPS beveelt ook ten zeerste aan dat het voorstel voorziet in de deelname van de EDPS aan de “Interinstitutionele raad voor cyberbeveiliging” (IICB).

1. INLEIDING EN ACHTERGROND

1.	Op 22 maart 2022 heeft de Europese Commissie een voorstel aangenomen voor een verordening betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie (1) (“het voorstel”).

2.	Op dezelfde datum heeft de Europese Commissie het voorstel voor een verordening van het Europees Parlement en de Raad betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie (2) (“het Infosec-voorstel”) aangenomen.

Beide voorstellen werden voorzien in de EU-strategie inzake cyberbeveiliging voor het digitale tijdperk, die op 16 december 2020 werd gepresenteerd (3) (“de strategie”). De strategie is er in het algemeen op gericht de strategische autonomie van de Unie op het gebied van cyberbeveiliging te versterken en haar veerkracht en collectieve respons te verbeteren, alsook een mondiaal en open internet met duidelijke waarborgen op te bouwen om de risico’s voor de veiligheid en de grondrechten en fundamentele vrijheden van de mensen in Europa aan te pakken (4).

Het voorstel vormt een van de regelgevingsinitiatieven van de strategie, met name op het gebied van cyberbeveiliging voor de instellingen, organen en instanties van de Unie (“instellingen van de EU”). Volgens de toelichting is het doel van het voorstel tweeledig:

—	de steeds vijandiger wordende cyberdreigingen en de toegenomen frequentie van geavanceerdere cyberaanvallen aanpakken die de instellingen, organen en instanties van de Unie treffen en die meer investeringen vereisen om het cybermaturiteitsniveau op te vijzelen, en

—	het computercrisisresponsteam van de EU (CERT-EU) versterken met een verbeterd financieringsmechanisme dat nodig is om de instellingen, organen en instanties van de EU te helpen de nieuwe cyberbeveiligingsregels toe te passen en hun cyberveerkracht te verbeteren.

De EDPS merkt op dat het onderwerp van het onderhavige voorstel verband houdt met het voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie en tot intrekking van Richtlijn (EU) 2016/1148 (“NIS 2.0-voorstel”). De EDPS herinnert eraan Advies 5/2021 betreffende de strategie inzake cyberbeveiliging (5) en de NIS-richtlijn 2.0 (“NIS 2.0-advies”) te hebben uitgebracht (6). Daarom zal in dit advies worden verwezen naar het NIS 2.0-advies.

In overeenstemming met de strategie beoogt het voorstel de veerkracht van alle instellingen, organen en instanties van de Unie en hun reactievermogen bij incidenten verder te verbeteren. Het sluit ook aan bij de prioriteiten van de Commissie om Europa geschikt te maken voor het digitale tijdperk en om een toekomstbestendige economie uit te bouwen die werkt voor de mensen. Bovendien wordt erin benadrukt dat de veiligheid en veerkracht van het openbaar bestuur een hoeksteen vormt van de digitale transformatie van de samenleving als geheel.

Volgens de toelichting:

—	worden in het voorstel maatregelen geschetst om een hoog gezamenlijk niveau van cyberbeveiliging voor de instellingen, organen en instanties van de Europese Unie te waarborgen,

—	wordt in het voorstel de “Interinstitutionele raad voor cyberbeveiliging” opgericht, die verantwoordelijk is voor het toezicht op de uitvoering van de voorgestelde verordening,

—

wordt in het voorstel de nieuwe rol vastgesteld van het computercrisisresponsteam voor de instellingen, organen en instanties van de Unie (CERT-EU) (7), dat voortaan het “cyberbeveiligingscentrum” zal zijn voor de instellingen, organen en instanties van de Unie, in overeenstemming met de ontwikkelingen in de lidstaten en wereldwijd.

De Europese Commissie heeft de EDPS op 22 maart 2022 verzocht een advies uit te brengen over het voorstel, overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (EUDPR) (8). De opmerkingen en aanbevelingen in dit advies zijn beperkt tot de bepalingen in het voorstel die vanuit het oogpunt van gegevens- en privacybescherming het meest relevant zijn.

4. CONCLUSIES

48.

In het licht van het voorgaande beveelt de EDPS in hoofdzaak het volgende aan:

—

de EDPS beveelt aan in een overweging toe te voegen dat het voorstel voortbouwt op het NIS 2.0-voorstel, en het verband tussen het voorstel en de NIS-richtlijn en het NIS 2.0-voorstel nader toe te lichten in de overwegingen 4 en 5. Voorts beveelt de EDPS aan om in de hoofdtekst de volgende formulering op te nemen: “De minimale beveiligingseisen moeten ten minste gelijk zijn aan of strenger zijn dan de minimale beveiligingseisen van de entiteiten van het NIS-voorstel en het NIS 2.0-voorstel”;

—

de EDPS beveelt ten zeerste aan dat het voorstel duidelijk een rechtsgrond moet bieden voor de verwerking van persoonsgegevens door het CERT-EU en de instellingen van de EU, met inbegrip van met name de doeleinden van de verwerking en de categorieën persoonsgegevens. Daarnaast moeten de volgende elementen uitdrukkelijk worden vastgelegd: (a) identificatie van de verwerkingsverantwoordelijke(n), verwerkers of gezamenlijke verwerkingsverantwoordelijken, naargelang het geval; (b) categorieën betrokkenen; (c) bewaringsperioden of ten minste criteria om dergelijke perioden te bepalen. De EDPS is van mening dat deze elementen uitdrukkelijk in het voorstel moeten worden opgenomen, of ten minste in een gedelegeerde handeling die later door de Commissie moet worden vastgesteld. Het voorstel moet voorzien in een dergelijke delegatie;

—	de EDPS beveelt ten zeerste aan om “versleuteling in rust”, “versleuteling bij verzending” en “eind-tot-eindversleuteling” op te nemen in de lijst van minimale cyberbeveiligingsmaatregelen in bijlage II bij het voorstel;

—

de EDPS beveelt ten zeerste aan dat het voorstel voorziet in een specifieke verplichting voor de in artikel 4, lid 5, bedoelde plaatselijke cyberbeveiligingsfunctionaris om samen te werken met de overeenkomstig artikel 43 van de EUDPR aangewezen functionaris voor gegevensbescherming bij het aanpakken van overlappende activiteiten zoals het toepassen van gegevensbescherming door ontwerp en door standaardinstellingen op cyberbeveiligingsmaatregelen, het selecteren van cyberbeveiligingsmaatregelen die persoonsgegevens betreffen, geïntegreerd risicobeheer en geïntegreerde behandeling van beveiligingsincidenten;

—

de EDPS beveelt ten zeerste aan dat aan artikel 12 “missie en taken van het CERT-EU” van het voorstel de bepaling wordt toegevoegd dat “het CERT-EU nauw met de EDPS samenwerkt bij het aanpakken van incidenten die leiden tot inbreuken in verband met persoonsgegevens of waarbij het vertrouwelijke karakter van elektronische communicatie wordt geschonden”;

—	de EDPS beveelt aan om het CERT-EU te verplichten de EDPS te informeren wanneer het belangrijke kwetsbaarheden, significante incidenten of grote aanvallen aanpakt die kunnen leiden tot inbreuken op persoonsgegevens en/of het vertrouwelijke karakter van elektronische communicatie kunnen schenden;

—	de EDPS beveelt aan in artikel 12 te bepalen dat de EDPS wordt betrokken bij de bewustmakingsactiviteiten op het gebied van cyberbeveiliging van het CERT-EU in de instellingen van de EU, teneinde de wisselwerking tussen inbreuken op persoonsgegevens en cyberincidenten te bestrijken;

—

de EDPS beveelt aan een bepaling aan artikel 12 “missie en taken van het CERT-EU” van het voorstel toe te voegen waarin wordt vermeld dat het CERT-EU de EDPS onverwijld in kennis stelt van aanwijzingen dat een schending door de instellingen van de EU van de in het voorstel vastgestelde verplichtingen een inbreuk in verband met persoonsgegevens inhoudt;

—	de EDPS beveelt ten zeerste aan dat de Europese Toezichthouder voor gegevensbescherming aan artikel 9, lid 3, wordt toegevoegd als permanente deelnemer aan de IICB met één vertegenwoordiger.

Brussel, 17 mei 2022

Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 122 final.

(2) COM(2022) 119 final.

(3) De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk | De digitale toekomst van Europa vormgeven (europa.eu) dat een gezamenlijke mededeling met de Hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid bevat (JOIN(2020)18).

(4) Zie hoofdstuk I. INLEIDING van de strategie, blz. 4.

(5) Gezamenlijke mededeling van de Europese Commissie en de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid aan het Europees Parlement en de Raad, met de titel “De EU-strategie inzake cyberbeveiliging voor het digitale tijdperk”.

(6) Advies 5/2021 van de EDPS betreffende de strategie inzake cyberbeveiliging en de NIS-richtlijn 2.0.

(7) De huidige rol van het CERT-EU vloeit voort uit het Interinstitutioneel Akkoord 2018/C 12/01.

(8) Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).

5.7.2022

Publicatieblad van de Europese Unie

C 258/13

Bijwerking van de lijst van de richtbedragen voor het overschrijden van de buitengrenzen bedoeld in artikel 6, punt 4, van Verordening (EU) 2016/399 van het Europees Parlement en de Raad betreffende een Uniecode voor de overschrijding van de grenzen door personen (Schengengrenscode) (1)

(2022/C 258/08)

De publicatie van de richtbedragen voor het overschrijden van de buitengrenzen bedoeld in artikel 6, punt 4, van Verordening (EU) 2016/399 van het Europees Parlement en de Raad van 9 maart 2016 betreffende een Uniecode voor de overschrijding van de grenzen door personen (Schengengrenscode) (codificatie) (2) is gebaseerd op de informatie die door de lidstaten aan de Commissie wordt verstrekt overeenkomstig artikel 39 van de Schengengrenscode.

Naast de publicatie in het Publicatieblad wordt de lijst regelmatig bijgewerkt op de website van het directoraat-generaal Binnenlandse Zaken.

DOOR DE NATIONALE AUTORITEITEN VASTGESTELDE RICHTBEDRAGEN VOOR HET OVERSCHRIJDEN VAN DE BUITENGRENZEN

I J S L A N D

Vervanging van de informatie die is bekendgemaakt in PB C 247 van 13.10.2006, blz. 19.

De IJslandse wet bepaalt dat vreemdelingen het bewijs dienen te leveren dat zij over voldoende financiële middelen beschikken om in IJsland in hun behoeften te voorzien en om terug te reizen. In de praktijk is het referentiebedrag vastgestel op 8 000 ISK per persoon per dag. Indien de verblijfskosten van de betrokkene door een derde ten laste worden genomen, wordt dit bedrag gehalveerd. Het totaalbedrag is minimaal 40 000 ISK voor elke binnenkomst.

Lijst van eerdere publicaties

PB C 247 van 13.10.2006, blz. 19.

PB C 77 van 5.4.2007, blz. 11.

PB C 153 van 6.7.2007, blz.22.

PB C 164 van 18.7.2007, blz. 45.

PB C 182 van 4.8. 2007, blz. 18.

PB C 57 van 1.3.2008, blz. 38.

PB C 134 van 31.5.2008, blz. 19.

PB C 331 van 31.12.2008, blz. 13.

PB C 33 van 10.2. 2009, blz. 1.

PB C 36 van 13.2. 2009, blz. 100.

PB C 37 van 14.2.2009, blz. 8.

PB C 98 van 29.4.2009, blz. 11.

PB C 35 van 12.2.2010, blz. 7.

PB C 304 van 10.11.2010, blz. 5.

PB C 24 van 26.1.2011, blz. 6.

PB C 157 van 27.5.2011, blz. 8.

PB C 203 van 9.7.2011, blz. 16.

PB C 11 van 13.1.2012, blz. 13.

PB C 72 van 10.3.2012, blz. 44.

PB C 199 van 7.7.2012, blz. 8.

PB C 298 van 4.10.2012, blz. 3.

PB C 56 van 26.2.2013, blz. 13.

PB C 98 van 5.4.2013, blz. 3.

PB C 269 van 18.09.2013, blz. 2.

PB C 57 van 28.2.2014, blz. 2.

PB C 152 van 20.5.2014, blz. 25.

PB C 224 van 15.7.2014, blz. 31.

PB C 434 van 4.12.2014, blz. 3.

PB C 447 van 13.12.2014, blz. 32.

PB C 38, van 4.2.2015, blz. 20.

PB C 96 van 11.3.2016, blz. 7.

PB C 146 van 26.4.2016, blz. 12.

PB C 248 van 8.7.2016, blz. 12.

PB C 111 van 8.4.2017, blz. 11.

PB C 21 van 20.1.2018, blz. 3.

PB C 93 van 12.3.2018, blz. 4.

PB C 153 van 2.5.2018, blz. 8.

PB C 186 van 31.5.2018, blz. 10.

PB C 264 van 26.7.2018, blz. 6.

PB C 366 van 10.10.2018, blz. 12.

PB C 459 van 20.12.2018, blz. 38.

PB C 140 van 16.4. 2019, blz. 7.

PB C 178 van 28.5. 2020, blz. 3.

PB C 102 van 24.3. 2021, blz. 8.

PB C 486 van 3.12. 2021, blz. 26.

PB C 139 van 29.3. 2022, blz. 3.

PB C 143 van 31.3. 2022, blz. 6.

(1) Zie de lijst van eerdere publicaties aan het eind van deze bijwerking.

(2) PB L 77 van 23.3.2016, blz. 1.

		ISSN 1977-0995
Publicatieblad van de Europese Unie		C 258

Uitgave in de Nederlandse taal	Mededelingen en bekendmakingen	65e jaargang 5 juli 2022

Inhoud		Bladzijde
	II Mededelingen
	MEDEDELINGEN VAN DE INSTELLINGEN, ORGANEN EN INSTANTIES VAN DE EUROPESE UNIE
	Europese Commissie
2022/C 258/01	Besluit om geen bezwaar aan te tekenen tegen een aangemelde concentratie (Zaak M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV) ( 1 )	1
2022/C 258/02	Besluit om geen bezwaar aan te tekenen tegen een aangemelde concentratie (Zaak M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON) ( 1 )	2

	IV Informatie
	INFORMATIE AFKOMSTIG VAN DE INSTELLINGEN, ORGANEN EN INSTANTIES VAN DE EUROPESE UNIE
	Europese Commissie
2022/C 258/03	Wisselkoersen van de euro — 4 juli 2022	3
	Rekenkamer
2022/C 258/04	Speciaal verslag 14/2022: — De reactie van de Commissie op fraude in het gemeenschappelijk landbouwbeleid: tijd om dieper te graven	4
	Europese Toezichthouder voor gegevensbescherming
2022/C 258/05	Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende de bescherming van geografische aanduidingen voor ambachtelijke en industriële producten (De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website www.edps.europa.eu)	5
2022/C 258/06	Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende informatiebeveiliging in de instellingen, organen en instanties van de Unie (De volledige tekst van dit advies is in het Engels, Frans en Duits beschikbaar op de EDPS-website: www.edps.europa.eu)	7
2022/C 258/07	Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming over het voorstel voor een verordening betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de instellingen, organen en instanties van de Unie [De volledige tekst van dit advies is beschikbaar in het Engels, Frans en Duits op de EDPS-website www.edps.europa.eu]	10
	INFORMATIE AFKOMSTIG VAN DE LIDSTATEN
2022/C 258/08	Bijwerking van de lijst van de richtbedragen voor het overschrijden van de buitengrenzen bedoeld in artikel 6, punt 4, van Verordening (EU) 2016/399 van het Europees Parlement en de Raad betreffende een Uniecode voor de overschrijding van de grenzen door personen (Schengengrenscode)	13


	(1) Voor de EER relevante tekst.