Le Comité européen de la protection des données (EDPB) et le Contrôleur européen de la protection des données (EDPS) ont publié un avis conjoint sur les propositions de la Commission européenne relatives à une loi sur la cybersécurité 2 (CSA2) et à des modifications de la directive sur la sécurité des réseaux et de l’information 2 (NIS2).

Publié le 19 mars 2026 à la suite d'une consultation de la Commission du 21 janvier 2026, cet avis soutient l'objectif général de renforcer la cybersécurité et de faciliter la conformité. Concernant la proposition de loi sur la cybersécurité 2, le Comité et le Contrôleur appuient le renforcement du rôle de l'Agence de l'Union européenne pour la cybersécurité (ENISA) et la promotion de la certification. Ils saluent la clarification de la coordination entre l'ENISA et le Comité, suggérant d'ajouter le Contrôleur comme demandeur potentiel d'avis. Ils recommandent de clarifier l'articulation entre le cadre européen de certification de cybersécurité et la certification RGPD, et préconisent une consultation du Comité par l'ENISA avant l'adoption de schémas de certification liés à la sécurité du traitement de données personnelles.

L'avis conjoint recommande également que toute décision du conseil d'administration de l'ENISA sur l'application du règlement sur la protection des données pour les institutions de l'UE soit limitée aux aspects techniques et précédée d'une consultation du Contrôleur. Il est aussi suggéré d'élargir le cadre européen des compétences en cybersécurité au-delà des seuls professionnels. Concernant les amendements à la directive sur la sécurité des réseaux et de l’information 2, les deux autorités soutiennent la création d'un point d'entrée unique pour la notification des violations de données personnelles afin de réduire la charge administrative et accueillent favorablement la désignation des fournisseurs de portefeuilles d'identité numérique européens et de portefeuilles d'entreprise européens comme "entités essentielles".