欧盟委员会-网络安全条例（英文）-65页_723kb

欧盟机构信息安全管理提案总结

核心内容

本提案旨在通过建立统一的信息安全规则，提高欧盟所有机构、组织、办事处和代理机构的信息保护水平。提案是欧盟“安全联盟战略”的一部分，目标是增强整个欧盟在面对网络和混合威胁时的韧性，并确保信息和通信系统的安全。

主要观点

• 统一信息安全管理框架：当前欧盟各机构和组织的信息安全规则不统一，部分机构甚至没有明确规则。提案希望通过设立统一的分类和处理规则，减少重复工作，提升信息处理的互操作性。
• 提高安全文化：提案强调建立一致的信息安全文化，以应对日益复杂的威胁环境，包括网络攻击、间谍活动和恶意行为。
• 适应数字化转型：随着远程办公和数字工具的普及，提案考虑了新的工作模式对信息保护带来的挑战，并相应调整了规则。
• 确保合规与效率：提案设立协调小组和五个专家小组，以促进机构间的合作和规则实施，同时允许各机构根据自身安全成熟度采取适当的措施。
• 保护个人数据与隐私：提案确保所有信息处理活动符合《通用数据保护条例》（GDPR）及其他相关数据保护法规，保护个人数据安全。

关键信息

1. 提案背景与目标

• 提案基于《欧盟运作条约》第298条和《欧洲原子能共同体条约》第106a条，适用于欧盟所有机构和组织。
• 目标是创建统一的信息安全规则，确保所有机构对非机密信息和欧盟机密信息（EUCI）进行一致的保护。
• 旨在增强欧盟的网络安全能力，并与《欧盟网络安全战略》保持一致。

2. 法律基础与适用范围

• 法律基础：基于《欧盟运作条约》第298条和《欧洲原子能共同体条约》第106a条。
• 适用范围：涵盖所有欧盟机构和组织处理和存储的信息，但不包括欧洲原子能共同体（Euratom）机密信息。
• 不适用对象：包括欧盟委员会成员、成员国代表、欧洲议会成员、欧盟法院法官和欧洲审计院成员。

3. 信息分类与处理规则

• 非机密信息：分为三类：公众使用信息、正常信息和敏感非机密信息，每类都有明确的标记和处理要求。
• EUCI：分为四个保密级别：TRES SECRET UE/EU TOP SECRET、SECRET UE/EU SECRET、CONFIDENTIEL UE/EU CONFIDENTIAL、RESTREINT UE/EU RESTRICTED。
• 处理原则：所有机构必须根据信息安全风险评估结果，采取相应的保护措施。

4. 协调机制与实施

• 协调小组：设立跨机构信息安全协调小组，由各机构的安全主管组成，负责制定指导文件和促进机构间合作。
• 专家小组：设立五个专家小组，分别负责信息安全保障、非机密信息、物理安全、通信与信息系统认证以及EUCI共享与交换。
• 过渡期：本法规将在生效后两年内实施，确保平稳过渡。

5. 与现有政策的一致性

• 与《欧盟网络安全指令》、《欧盟数据保护条例》、《欧洲议会、理事会和委员会文件公开条例》保持一致。
• 确保欧盟机构在保护信息时遵循透明、比例、效率和问责原则。

6. 财政影响

• 提案要求欧盟委员会在安全总局设立一名AD官员和一名AST助理，用于协调小组的日常运作。
• 各机构预计在实施新法规后节省成本，包括减少重复工作和预防潜在的安全损失。

主要利益相关者参与

• 咨询对象：包括欧盟机构、成员国国家安全机构、欧洲核研究机构（JRC）专家。
• 咨询方式：通过在线调查、反馈平台、专题问卷和专家会议收集意见。
• 不进行公众咨询：由于提案主要针对欧盟机构，对公民和企业影响有限，因此未进行公开咨询。

基本权利保障

• 良好行政权：通过提升信息安全性，保障良好行政原则。
• 个人数据保护：确保信息处理符合《通用数据保护条例》。
• 文件公开权：非机密信息和EUCI的公开仍受《文件公开条例》约束。
• 知识产权保护：符合《信息社会服务指令》。
• 言论自由：在保障欧盟安全的前提下，允许对敏感信息进行限制。

监督与评估

• 报告机制：每三年向欧洲议会和理事会提交一次实施报告。
• 评估机制：每五年对法规进行评估，以确定是否需要修改。

总结

本提案是欧盟推动信息安全统一化的重要举措，旨在提升整个欧盟行政体系的信息安全水平，确保信息在机构间共享时的安全性与一致性。通过设立协调机制、专家小组和统一分类标准，提案力求在保持各机构自主性的同时，建立一个高效、安全、互操作的信息管理框架。