CELEX: 62004CJ0217
Forordning (EF) nr. 460/2004
Det Europæiske Agentur for Net- og Informationssikkerhed
valg af hjemmel

Det Forenede Kongerige Storbritannien og Nordirland har anlagt sag med påstand om annullation af Europa-Parlamentets og Rådets
forordning (EF) nr. 460/2004 af 10. marts 2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed (EUT
L 77, s. 1, herefter »forordningen«).
Ved kendelse afsagt af Domstolens præsident den 25. november 2004 har Republikken Finland og Kommissionen for De Europæiske
Fællesskaber fået tilladelse til at intervenere i sagen til støtte for henholdsvis Europa-Parlamentets og Rådet for Den Europæiske
Unions påstande.

Retsforskrifter

De generelle fællesskabsbestemmelser
Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7. marts 2002 om fælles rammebestemmelser for elektroniske kommunikationsnet
og ‑tjenester (rammedirektivet) (EFT L 108, s. 33) har ifølge sin artikel 1, stk. 1, til formål at fastlægge harmoniserede
rammer for regulering af elektroniske kommunikationstjenester samt tilhørende faciliteter og tjenester. Direktivet fastsætter
bl.a. de nationale tilsynsmyndigheders opgaver og opstiller en række procedurer, der skal sikre, at rammebestemmelserne anvendes
ensartet i hele EF.
Fællesskabslovgivningen om elektroniske kommunikationsnet omfatter ligeledes følgende direktiver (herefter »særdirektiverne«):
–        Europa-Parlamentets og Rådets direktiv 2002/19/EF af 7. marts 2002 om adgang til og samtrafik mellem elektroniske kommunikationsnet
og tilhørende faciliteter (adgangsdirektivet) (EFT L 108, s. 7)
–        Europa-Parlamentets og Rådets direktiv 2002/20/EF af 7. marts 2002 om tilladelser til elektroniske kommunikationsnet og ‑tjenester
(tilladelsesdirektivet) (EFT L 108, s. 21)
–        Europa-Parlamentets og Rådets direktiv 2002/22/EF af 7. marts 2002 om forsyningspligt og brugerrettigheder i forbindelse med
elektroniske kommunikationsnet og ‑tjenester (forsyningspligtdirektivet) (EFT L 108, s. 51)
–        Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets
fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201,
s. 37)
–        Europa-Parlamentets og Rådets direktiv 1999/93/EF af 13. december 1999 om en fællesskabsramme for elektroniske signaturer
(EFT 2000 L 13, s. 12, herefter »direktiv om elektroniske signaturer«)
–        Europa-Parlamentets og Rådets direktiv 2000/31/EF af 8. juni 2000 om visse retlige aspekter af informationssamfundstjenester,
navnlig elektronisk handel, i det indre marked (»direktivet om elektronisk handel«) (EFT L 178, s. 1).
Ved afgørelse 2002/627/EF af 29. juli 2002 (EFT L 200, s. 38) har Kommissionen nedsat De Europæiske Tilsynsmyndigheders Gruppe
vedrørende Elektroniske Kommunikationsnet og ‑tjenester.

Forordningen
Forordningen er vedtaget med hjemmel i artikel 95 EF. Ved artikel 1, stk. 1, oprettes der et europæisk agentur for net- og
informationssikkerhed (herefter »agenturet«).
Ifølge forordningens artikel 1, stk. 2, består agenturets opgave i at »[bistå] Kommissionen og medlemsstaterne, og [agenturet]
samarbejder i den forbindelse med erhvervslivet med at opfylde kravene til net- og informationssikkerhed, herunder de krav,
der er fastsat i nuværende og fremtidig fællesskabslovgivning såsom Europa-Parlamentets og Rådets direktiv 2002/21/EF for
dermed at sikre et velfungerende indre marked«.
Forordningens artikel 2, som har overskriften »Formål«, har følgende ordlyd:
»1.      Agenturet skal styrke Fællesskabets, medlemsstaternes og dermed også erhvervslivets evne til at forebygge, behandle og imødegå
sikkerhedsproblemer i net og informationssystemer.
2.      Agenturet skal bistå og rådgive Kommissionen og medlemsstaterne i spørgsmål vedrørende net- og informationssikkerhed, der
falder inden for dets kompetence som fastsat i denne forordning.
3.      Agenturet skal på grundlag af medlemsstaternes og Fællesskabets bestræbelser udvikle et højt ekspertiseniveau. Agenturet skal
bruge denne ekspertise til at fremme et bredt samarbejde mellem den offentlige og den private sektors aktører.
4.      Agenturet skal på anmodning bistå Kommissionen i det tekniske forberedende arbejde med at ajourføre og udvikle fællesskabslovgivningen
om net- og informationssikkerhed.«
I forordningens artikel 3 defineres de opgaver, som agenturet skal varetage »for at sikre at kompetenceområdet og formålene
i artikel 1 og 2 efterleves«. Disse opgaver er følgende:
»a)      indsamle relevante oplysninger til analyse af eksisterende og nye risici og navnlig på europæisk plan risici, der kan få følger
for de elektroniske kommunikationsnets modstandsdygtighed og tilgængelighed og for autenticiteten, integriteten og fortroligheden
i forbindelse med den information, der indhentes og overføres via disse net, samt forelægge medlemsstaterne og Kommissionen
analyseresultaterne
b)      rådgive og, efter anmodning, yde bistand til Europa-Parlamentet, Kommissionen, europæiske organer eller kompetente nationale
organer udpeget af medlemsstaterne inden for dets formål
c)      styrke samarbejdet mellem forskellige aktører på net- og informationssikkerhedsområdet, bl.a. ved regelmæssigt at afholde
høringer med erhvervslivet, universiteter samt andre berørte sektorer og ved at skabe kontaktnetværk for fællesskabsorganer,
den offentlige sektors organer udpeget af medlemsstaterne, den private sektors organer og forbrugerorganisationer
d)      lette samarbejdet mellem Kommissionen og medlemsstaterne om udvikling af fælles metoder med henblik på at forebygge, behandle
og imødegå sikkerhedsproblemer i net og informationssystemer
e)      bidrage til, at alle brugere bliver mere bevidste om og får adgang til hurtigt tilgængelige, objektive og dækkende oplysninger
om net- og informationssikkerhed, bl.a. ved at fremme udveksling af den aktuelt bedste praksis, herunder metoder til varsling
af brugere, og ved at skabe et positivt samspil mellem initiativer i den offentlige og den private sektor
f)      bistå Kommissionen og medlemsstaterne i deres dialog med erhvervslivet for at imødegå sikkerhedsrelaterede problemer i forbindelse
med hardware- og softwareprodukter
g)      gøre sig bekendt med udviklingen af standarder for produkter og tjenesteydelser vedrørende net- og informationssikkerhed
h)      rådgive Kommissionen vedrørende forskning inden for net- og informationssikkerhed og effektiv anvendelse af teknologier til
risikoforebyggelse
i)      fremme anvendelse af risikovurdering, interoperable løsninger til risikostyring og undersøgelser af løsninger til styring
af forebyggelse inden for den offentlige og den private sektors organisationer
j)      støtte Fællesskabets bestræbelser på at samarbejde med tredjelande og i givet fald med internationale organisationer om at
fremme en global strategi til net- og informationssikkerhed og dermed bidrage til at udvikle en net- og informationssikkerhedskultur
k)      uafhængigt fremsætte sine egne konklusioner, retningslinjer og afgive udtalelser i forbindelse med spørgsmål, der ligger inden
for dets kompetenceområde og formål«.
Forordningens kapitel 2 og 3 vedrører henholdsvis agenturets organisation og dets drift.

Om søgsmålet

Parternes argumenter
Det Forenede Kongerige har til støtte for sin påstand om annullation af forordningen gjort gældende, at artikel 95 EF ikke
er den korrekte hjemmel for vedtagelsen af denne forordning.  Den beføjelse, der er tillagt fællesskabslovgiver ved artikel
95 EF, er en beføjelse til at harmonisere national lovgivning og ikke en beføjelse til at oprette fællesskabsorganer og til
at overdrage opgaver til sådanne organer.
Ifølge det Forenede Kongerige består den analyse, der skal foretages, i at afgøre, om den retsakt, som er udstedt i medfør
af artikel 95 EF, forfølger et formål, som kunne være opnået ved samtidig vedtagelse af en ligelydende lovgivning i hver enkelt
medlemsstat. Hvis dette er tilfældet, harmoniserer forordningen de nationale lovgivninger. Hvis forordningen derimod »gør
et eller andet«, der ikke kunne være opnået ved samtidig vedtagelse af en ligelydende lovgivning på medlemsstatsniveau, dvs.
hvis den lovgiver på områder, som befinder sig uden for det område, hvor medlemsstaterne individuelt set har kompetence, er
der ikke tale om en harmoniseringsforanstaltning.
Det Forenede Kongerige har medgivet, at en harmoniseringsforanstaltning vedtaget med hjemmel i artikel 95 EF kan indeholde
bestemmelser, som ikke i sig selv udgør en harmonisering af de nationale lovgivninger, når disse bestemmelser blot er underordnede
eller iværksætter gennemførelsen af bestemmelser, der i sig selv harmoniserer nationale lovgivninger.
Medlemsstaten er af den opfattelse, at ingen af bestemmelserne i forordningen tilnærmer – heller ikke indirekte og på en meget
begrænset måde – nationale lovgivninger. Det vil tværtimod være udtrykkeligt udelukket, at agenturet kan gøre indgreb i nationale
organers kompetence, eftersom agenturet alene giver ikke-bindende rådgivning på det pågældende område.
Det Forenede Kongerige har anført, at forordningen ikke imødegår de risici, som emnets kompleksitet indebærer for det indre
markeds effektive funktion, ved harmonisering af nationale lovgivninger, men ved oprettelsen af et fællesskabsorgan med en
rådgivende funktion. Den omstændighed, at en fællesskabsretlig foranstaltning kan være gavnlig for det indre markeds funktion,
betyder imidlertid ikke, at der er tale om en harmoniseringsforanstaltning i artikel 95 EF’s forstand.
Det Forenede Kongerige har præciseret, at ikke-bindende rådgivning ikke kan sidestilles med en »indbyrdes tilnærmelse af medlemsstaternes
love og administrative bestemmelser«, jf. artikel 95 EF. Desuden vil udbredelsen af en sådan rådgivning i praksis kunne forøge
de forskelle, som findes mellem de nationale lovgivninger. Spørgsmålet om, hvorvidt agenturets rådgivning i praksis vil medføre,
at medlemsstaterne udøver den skønsmæssige beføjelse, som de råder over i medfør af rammedirektivet og særdirektiverne, på
en lignende måde, er rent teoretisk.
Medlemsstaten har understreget, at agenturets opgaver er begrænset til at udvikle ekspertise og til at rådgive en bred vifte
af potentielle modtagere, og at den eneste mulige forbindelse, der vil kunne være mellem de opgaver, som agenturet udfører,
og harmoniseringen af lovgivninger, er den forbindelse, der følger af, at agenturet bistår Kommissionen. Denne funktion, der
synes at være en teknisk forskningsfunktion, har ikke en tilstrækkelig tæt forbindelse med fællesskabslovgivningen vedrørende
harmonisering af national lovgivning.
Det Forenede Kongerige har anført, at tilstedeværelsen af rammedirektivet og særdirektiverne ikke kan ændre noget ved denne
vurdering. Agenturets aktiviteter går således alligevel ud over anvendelsesområdet for disse direktiver. Den ikke-bindende
rådgivning, som er indført ved forordningen, letter desuden ikke gennemførelsen af disse direktiver, eftersom denne funktion
udelukkende er forbeholdt andre kompetente organer i medlemsstaterne end agenturet.
Medlemsstaten har påpeget, at den funktion, der er tildelt agenturet, er mere vidtrækkende end den, der fastlægges af særdirektivernes
anvendelsesområde, da forordningen ikke alene vedrører sikkerheden med hensyn til kommunikationsnet, men også med hensyn til
informationssystemer såsom databaser.
Det Forenede Kongerige har ligeledes gjort gældende, at begrundelsen for forordningen er utilstrækkelig med hensyn til spørgsmålet
om sandsynligheden for, at der opstår hindringer for samhandelen som følge af, at der stilles forskellige nationale krav til
informationssikkerhed. Den blotte mulighed for en uensartet anvendelse af reglerne om netsikkerhed og den omstændighed, at
disse regler vil kunne føre til ineffektive løsninger og til hindringer for det indre marked, kan ikke anses for en tilstrækkelig
begrundelse i denne henseende.
Desuden har medlemsstaten anerkendt, at oprettelsen af agenturet opfylder et ønskeligt formål, dvs. Fællesskabets oprettelse
af sit eget ekspertisecenter på området for net- og informationssikkerhed. Medlemsstaten har ligeledes præciseret, at den
ikke anfægter indholdet af forordningens bestemmelser. Medlemsstaten har imidlertid på baggrund af samtlige fremførte argumenter
konkluderet, at forordningen burde være vedtaget med hjemmel i artikel 308 EF.
Parlamentet har gjort gældende, at det i artikel 95 EF ikke er defineret, i hvilken grad den påtænke fællesskabsretsakt skal
udgøre en indbyrdes tilnærmelse af medlemsstaternes retsordener. Det er ikke et krav i henhold til EF-traktaten, at foranstaltninger,
der er vedtaget på dette retsgrundlag, tilnærmer materielle bestemmelser i de nationale lovgivninger, når mindre indgribende
fællesskabsforanstaltninger er mere egnede. Det er således tilstrækkeligt, at en foranstaltning, der er vedtaget i medfør
af denne bestemmelse, vedrører indbyrdes tilnærmelse af nationale bestemmelser, selv om denne foranstaltning ikke i sig selv
gennemfører en sådan tilnærmelse.
Parlamentet har anført, at forordningen forsøger at imødegå den indbyrdes tilnærmelse af visse bestemmelser, som medlemsstaterne
har vedtaget eller skal til at vedtage på området for net- og informationssikkerhed, med henblik på at lette en effektiv gennemførelse
af den eksisterende fællesskabslovgivning på området. I denne sammenhæng ville anvendelsen af en anden og mere restriktiv
hjemmel være inkonsekvent, da forordningen skal ses som et supplement til en række direktiver vedrørende det indre marked
for elektroniske kommunikationsnet og ‑tjenester.
Parlamentet har gjort gældende, at lovgiver har fundet det passende at sikre en fælles tilgang til de aktuelle og forventede
problemer i forbindelse med net- og informationssikkerhed ved at oprette et organ, der har til opgave at rådgive offentlige
instanser på fællesskabsplan og på nationalt plan inden for rammerne af et snævert samarbejde med den private sektor. Agenturets
tre aktivitetsområder, dvs. indsamlingen og udbredelsen af oplysninger, de rådgivende funktioner samt den samarbejdsmæssige
opgave, bidrager til sikre en fælles tilgang til de forskellige aspekter af net- og informationssikkerhed.
Parlamentet har understreget, at mens Fællesskabet i teorien kunne have vedtaget lovgivning, der harmoniserer medlemsstaternes
bestemmelser vedrørende alle eller visse af de områder, som forordningen behandler, har fællesskabslovgiver som følge af det
pågældende områdes tekniske kompleksitet og dets hurtige udvikling udarbejdet forordningen for at forhindre, at der opstår
hindringer for samhandelen, og at effektiviteten svækkes som følge af medlemsstaternes ukoordinerede iværksættelse af tekniske
og organisatoriske procedurer. Lovgiver har søgt at opnå dette ved hjælp af en »indbyrdes tilnærmelse af lav intensitet«,
ved hjælp af hvilken medlemsstaterne er i stand til at vedtage ensartede retsakter, der gør det muligt at gennemføre de forskellige
fællesskabsretsakter vedrørende elektronisk kommunikation ved at oprette et ekspertisecenter, der kan yde vejledning, rådgivning
og bistand på området.
Parlamentet har tilføjet, at den omstændighed, at de materielle harmoniseringsbestemmelser er defineret i rammedirektivet
og særdirektiverne, ikke ændrer forordningens karakter af en supplerende foranstaltning, idet den er udarbejdet for at lette
gennemførelsen af nævnte direktiver.
Ifølge Parlamentet er agenturets funktioner relativt beskedne i den forstand, at de ikke omfatter beføjelsen til at vedtage
»standarder«. Rådgivning hidrørende fra en enkelt ekspertisekilde, der er anerkendt på europæisk plan, er således medvirkende
til at vedtage fælles holdninger i situationer, hvor Fællesskabet og de nationale aktører risikerer at modtage forskellige
tekniske råd. De forskellige former for samarbejde, som agenturet tilskynder til, letter ligeledes den indbyrdes tilnærmelse
af markedsvilkårene og medlemsstaternes vedtagelse af foranstaltninger til imødegåelse af problemerne i forbindelse med informationssikkerhed.
Endelig har Parlamentet gjort gældende, at såfremt Domstolen måtte konkludere, at forordningen ikke kan vedtages med hjemmel
i artikel 95 EF, kan forordningen under alle omstændigheder vedtages på grundlag af de implicitte beføjelser, der er tillagt
fællesskabslovgiver i medfør af denne bestemmelse. Henset til sådanne implicitte beføjelser kan oprettelsen af agenturet betragtes
som absolut nødvendig for at sikre opnåelsen af de mål, som særdirektiverne forfølger.
Rådet har anført, at den indbyrdes tilnærmelse, der er omhandlet i artikel 95 EF, ikke alene vedrører de nationale lovgivninger,
men også medlemsstaternes administrative bestemmelser. Retsakter, der vedtages på dette retsgrundlag, vil i øvrigt kunne indeholde
bestemmelser, som ikke i sig selv udgør harmoniseringsbestemmelser, men som letter indbyrdes tilnærmelse af nationale lovgivninger.
Særligt er der intet i ordlyden af denne artikel, der er til hinder for, at lovgiver opretter et fællesskabsorgan, der har
til opgave at skaffe sig specialkompetencer på et område, der allerede er gjort til genstand for harmonisering.
Rådet har i denne forbindelse præciseret, at fællesskabslovgivers mulighed for at træffe foranstaltninger, der har til formål
at undgå, at der opstår fremtidige hindringer for samhandelen, der skyldes en uensartet udvikling af de nationale lovgivninger,
ikke er udelukket i medfør af artikel 95 EF. Lovgiver er således bemyndiget til at vedtage retsakter, der – selv om de ikke
i sig selv udgør harmoniseringsbestemmelser – direkte vedrører indbyrdes tilnærmelse af nationale bestemmelser, bl.a. med
henblik på at undgå, at der udvikles ineffektive løsninger, og at der sker en uensartet udvikling af medlemsstaternes lovgivninger.
Rådet har anført, at agenturet ved at bistå Kommissionen i dens forberedende tekniske arbejde med henblik på udarbejdelsen
af fællesskabslovgivning selv ved hjælp af ikke-bindende rådgivning yder et afgørende bidrag til harmoniseringen af national
lovgivning og praksis på området for net- og informationssikkerhed samt til ajourføring, udvikling og gennemførelse af denne
lovgivning.
Ifølge Rådet letter en udtalelse fra et uafhængigt organ, der yder teknisk rådgivning på opfordring fra Kommissionen og medlemsstaterne,
gennemførelsen i medlemsstaternes nationale ret af de direktiver, der er vedtaget på området. Forordningen har derfor ikke
en accessorisk eller subsidiær virkning i forhold til harmoniseringen af markedsvilkårene inden for Fællesskabet, men yder
et direkte bidrag til den indbyrdes tilnærmelse af nationale lovgivninger.
Endelig har Rådet anført, at artikel 308 EF alene giver fællesskabslovgiver en residuel lovgivningskompetence på de områder,
hvor den materielle lovgivningskompetence til at opfylde visse formål ikke er blevet tildelt Fællesskabet. Når der forefindes
en specifik hjemmel for vedtagelsen af en fællesskabsretsakt, er det udelukket at anvende artikel 308 EF, da denne bestemmelse
alene kan udgøre et retsgrundlag, såfremt der ikke foreligger et andet.
Republikken Finland har gjort gældende, at forordningens formål og indhold er snævert forbundet med det indre markeds oprettelse
og funktion. Agenturets grundlæggende opgave består i at sikre et højt og effektivt net- og informationssikkerhedsniveau samt
i at reducere hindringerne for det indre markeds funktion som følge af de forskelle, der findes mellem medlemsstaternes lovgivninger
på området.
Medlemsstaten har anført, at agenturet letter den ensartede anvendelse af fællesskabsbestemmelserne om elektroniske kommunikationsnet
og -tjenester. Agenturet har bl.a. til formål at undgå, at der opstår fremtidige hindringer for handelen, der vil kunne indtræde
som følge af elektroniske nets komplekse og tekniske karakter samt som følge af uoverensstemmelserne mellem medlemsstaternes
praksis.
Republikken Finland er af den opfattelse, at der ved valget af retsgrundlag for bestemmelser, der opretter en fællesskabsenhed,
skal tages hensyn til i hvor høj grad fællesskabslovgivningen vedrørende det pågældende område udgør en indbyrdes tilnærmelse.
I betragtning af, at den ensretning, som er gennemført ved fællesskabsbestemmelserne om elektroniske kommunikationsnet og
-tjenester, allerede er fremskreden, vil den ordning, som er etableret på fællesskabsplan, med henblik på at sikre en ensartet
praksis for anvendelsen af disse bestemmelser kunne kræve iværksættelse af foranstaltninger, der er mere vidtrækkende end
dem, der normalt vedtages på området.
Kommissionen har anført, at forordningen henset til dens formål og indhold er en foranstaltning, der direkte letter gennemførelsen
og den ensartede anvendelse af visse direktiver vedtaget med hjemmel i artikel 95 EF. Et af de væsentligste kendetegn ved
den eksisterende ordning er, at en stor del af den nærmere anvendelse heraf er decentraliseret og overdraget til nationale
tilsynsmyndigheder.
Kommissionen har gjort gældende, at oprettelsen af agenturet er udtryk for et bredere harmoniseringsbegreb, navnlig idet den
letter de nationale tilsynsmyndigheders ensartede anvendelse af fællesskabsdirektiverne. Forordningens formål er således mere
vidtrækkende end selve oprettelsen af agenturet, eftersom dette skal rådgive og bistå Kommissionen såvel som nævnte myndigheder.
Der er derfor en forbindelse mellem oprettelsen af dette agentur og fællesskabslovgivningen vedrørende elektronisk kommunikation.
Kommissionen har anført, at rammedirektivet fastlægger et harmoniseret system for regulering af elektroniske net- og kommunikationstjenester
samt tilhørende faciliteter. Dette direktiv fastsætter de nationale tilsynsmyndigheders opgaver ved at opstille en række procedurer,
der skal sikre, at den pågældende fremgangsmåde anvendes ensartet i hele EF.
Kommissionen har henvist til, at selv om parametrene vedrørende den decentraliserede anvendelse af disse direktiver er klart
definerede, kan det ikke udelukkes, at de nationale tilsynsmyndigheder ved udøvelsen af den skønsbeføjelse, de er tillagt,
indtager forskellige opfattelser. Agenturet er blevet oprettet for at hjælpe disse myndigheder til at opnå en fælles teknisk
forståelse af spørgsmål vedrørende net- og informationssikkerhed.
Kommissionen har tilføjet, at agenturet udøver sin aktivitet inden for rammerne af de ensartede parametre, der er opstillet
af fællesskabslovgivningen om elektronisk kommunikation, og det er af mindre betydning, at dette organs funktion ikke blev
defineret ved vedtagelsen af denne generelle lovgivning.

Domstolens bemærkninger
Rækkevidden af artikel 95 EF
Hvad angår omfanget af de lovgivningsmæssige beføjelser, der er fastsat i artikel 95 EF, bemærkes – som Domstolen fastslog
i præmis 44 i dom af 6. december 2005, Det Forenede Kongerige mod Parlamentet og Rådet (sag C-66/04, endnu ikke trykt i Samling
af Afgørelser) – at denne bestemmelse kun anvendes som hjemmel, når det objektivt og reelt fremgår af retsakten, at den har
til formål at forbedre vilkårene for det indre markeds oprettelse og funktion.
I præmis 45 i dommen i sagen Det Forenede Kongerige mod Parlamentet og Rådet anførte Domstolen også, at traktatens fædre ved
udtrykket »foranstaltninger med henblik på indbyrdes tilnærmelse« i artikel 95 EF har villet tillægge fællesskabslovgiver
et skøn – på grundlag af den generelle sammenhæng og særlige omstændigheder vedrørende det område, der skal harmoniseres –
vedrørende den mest hensigtsmæssige metode for indbyrdes tilnærmelse med henblik på at opnå det ønskede resultat, især inden
for teknisk komplicerede områder.
Det skal i denne forbindelse tilføjes, at intet i ordlyden af artikel 95 EF gør det muligt at konkludere, at de foranstaltninger,
der vedtages af fællesskabslovgiver på grundlag af denne bestemmelse, skal begrænses til alene at have medlemsstaterne som
adressater. Det kan således vise sig nødvendigt i henhold til nævnte lovgivers vurdering at fastsætte bestemmelser om oprettelse
af et fællesskabsorgan, der har til opgave at bidrage til gennemførelsen af en harmoniseringsproces i situationer, hvor vedtagelsen
af ikke-bindende ledsage- og rammeforanstaltninger forekommer egnede til at lette gennemførelsen og den ensartede anvendelse
af retsakter vedtaget med hjemmel i denne bestemmelse.
Det skal imidlertid understreges, at de opgaver, der gives et sådant organ, skal være nært forbundet med de områder, som er
genstand for retsakterne om indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser. Dette er bl.a.
tilfældet, når et således oprettet fællesskabsorgan leverer ydelser til nationale myndigheder og/eller erhvervslivet, som
har betydning for den ensartede gennemførelse af harmoniseringsbestemmelserne, og som kan lette deres gennemførelse.
Forordningens forenelighed med kravene i artikel 95 EF
Det skal på denne baggrund efterprøves, om agenturets formål, som fastsat i forordningens artikel 2, og de opgaver, der er
tildelt agenturet i henhold til forordningens artikel 3, er i overensstemmelse med de forskrifter, der er omtalt i denne doms
præmis 44 og 45.
Med henblik herpå skal det for det første afgøres, om nævnte formål og opgaver er nært forbundet med de områder, der er genstand
for de bestemmelser, der i forordningens artikel 1, stk. 2, er beskrevet som »nuværende fællesskabslovgivning«, samt i bekræftende
fald og for det andet, om disse formål og opgaver vil kunne anses for ledsage- og rammeforanstaltninger i forbindelse med
gennemførelsen af denne lovgivning.
Med hensyn til rammedirektivet, der er omtalt i niende betragtning til forordningen, fremgår det af direktivets artikel 1,
stk. 1, at det har til formål at fastlægge harmoniserede rammer for regulering af elektroniske kommunikationstjenester, elektroniske
kommunikationsnet samt tilhørende faciliteter og tjenester. Direktivet fastsætter de nationale tilsynsmyndigheders opgaver
og opstiller en række procedurer, der skal sikre, at rammebestemmelserne anvendes ensartet i hele EF.
I 16. betragtning til rammedirektivet er det i denne henseende anført, at nævnte myndigheders tiltag er baseret på et harmoniseret
sæt af målsætninger og principper. Disse er opregnet i samme direktivs artikel 8 og omfatter bl.a. et højt beskyttelsesniveau
for så vidt angår personoplysninger og privatlivets fred samt de offentlige kommunikationsnets integritet og sikkerhed [jf.
rammedirektivets artikel 8, stk. 4, litra c) og f)].
Det skal ligeledes bemærkes, at de talrige bestemmelser i særdirektiverne er udtryk for fællesskabslovgivers ønsker for så
vidt angår net- og informationssikkerhed.
Som det for det første fremgår af sjette betragtning til forordningen, henvises der i bilaget, del A, punkt 7 og 16, til tilladelsesdirektivet
til beskyttelse af personoplysninger og privatlivets fred i den elektroniske kommunikationssektor samt sikring af offentlige
net mod ulovlig adgang.
Som det for det andet fremgår af syvende betragtning til forordningen, har forsyningspligtdirektivet til formål at sikre de
offentlige telefonnets integritet og tilgængelighed. I denne forbindelse er det fastsat i direktivets artikel 23, at medlemsstaterne
træffer alle nødvendige foranstaltninger for at sikre disse funktioner, særligt i tilfælde af netsvigt som følge af katastrofesituationer
eller i force majeure-situationer.
Som det for det tredje er præciseret i ottende betragtning til forordningen, kræver direktivet om databeskyttelse inden for
elektronisk kommunikation, at udbydere af offentligt tilgængelige elektroniske kommunikationstjenester træffer passende tekniske
og organisatoriske foranstaltninger til at beskytte de omhandlede tjenester samt stiller krav om kommunikationshemmelighed
for så vidt angår både selve kommunikationen og de dermed forbundne trafikdata. Disse krav er navnlig afspejlet i direktivets
artikel 4 og 5, der indeholder bestemmelser vedrørende henholdsvis netsikkerhed og kommunikationshemmelighed.
For det fjerde bestemmes det i artikel 17 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse
af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281,
s. 31), at medlemsstaterne skal sikre, at den registeransvarlige iværksætter de fornødne tekniske og organisatoriske foranstaltninger
til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet
udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelser af oplysninger i et net, samt mod
enhver anden form for ulovlig behandling.
For det femte skal det bemærkes, at det i artikel 3, stk. 4, i direktivet om elektroniske signaturer er fastsat, at de kompetente
organer, som udpeges af medlemsstaterne, fastsætter de nærmere bestemmelser vedrørende spørgsmålet om sikre signaturgenereringssystemers
forenelighed.
Hvad angår de opgaver, der er overdraget til agenturet, skal det først bemærkes, at de vedrører indsamling af relevante oplysninger
med henblik på at foretage en analyse af eksisterende og nye risici – navnlig risici, der vil kunne få følger for de elektroniske
kommunikationsnets modstandsdygtighed samt for autenticiteten, integriteten og fortroligheden i forbindelse med disse kommunikationer.
Agenturet skal ligeledes udvikle »fælles metoder« med henblik på at forebygge sikkerhedsproblemer, bidrage til, at alle brugere
bliver mere bevidste, og fremme udveksling af »den aktuelt bedste praksis« samt »metoder til varsling« og anvendelse af risikovurdering
og risikostyring.
For det andet har agenturet til opgave at styrke samarbejdet mellem de forskellige aktører på området for net- og informationssikkerhed
og til at bistå Kommissionen og medlemsstaterne i deres dialog med erhvervslivet for at imødegå sikkerhedsrelaterede problemer
i forbindelse med hardware- og softwareprodukter samt til at støtte Fællesskabets bestræbelser på at samarbejde med tredjelande
og i givet fald med internationale organisationer om at fremme en global strategi til net- og informationssikkerhed.
De opgaver, der er overdraget til agenturet i medfør af forordningens artikel 3, er følgelig nært forbundet med de formål,
der forfølges med rammedirektivet og særdirektiverne på området for net- og informationssikkerhed.
Under disse omstændigheder skal det, som nævnt i denne doms præmis 47, afgøres, om agenturets opgaver kan anses for ledsage-
og rammeforanstaltninger i forbindelse med gennemførelsen af fællesskabslovgivningen på området, dvs. om oprettelsen af agenturet
samt de formål og opgaver, der er overdraget til agenturet ved forordningen, kan bedømmes som »foranstaltninger med henblik
på indbyrdes tilnærmelse« i artikel 95 EF’s forstand.
Under hensyntagen til det omhandlede områdes særlige kendetegn skal det bemærkes, at forordningen ikke er en isoleret foranstaltning,
men indgår i en retlig systematik, som er afgrænset af rammedirektivet og særdirektiverne, og som har til formål at virkeliggøre
det indre marked på det elektroniske kommunikationsområde.
Det fremgår ligeledes af de samlede sagsakter, at fællesskabslovgiver stod over for et område, der iværksætter teknologier,
som ikke alene er komplicerede, men også i rivende udvikling. På denne baggrund konkluderede fællesskabslovgiver, at det måtte
forudses, at gennemførelsen og anvendelsen af rammedirektivet og særdirektiverne ville resultere i forskelligheder mellem
medlemsstaterne.
Under disse omstændigheder fandt fællesskabslovgiver, at oprettelsen af et fællesskabsorgan, såsom agenturet, var et egnet
middel til at forhindre, at der opstod forskelle, der kunne skabe hindringer for det indre markeds effektive funktion på området.
Det bemærkes, at det fremgår af tredje og tiende betragtning til forordningen, at fællesskabslovgiver således var af den opfattelse,
at nettenes og informationssystemernes tekniske kompleksitet, de mange forskellige indbyrdes forbundne produkter og tjenester
samt det enorme antal private og offentlige aktører, der hver især har deres eget ansvar at tilgodese, risikerede at underminere
et velfungerende indre marked ved en uensartet anvendelse af de tekniske forskrifter, der er fastsat i rammedirektivet og
særdirektiverne.
På denne baggrund kunne fællesskabslovgiver vurdere, at en udtalelse fra et uafhængigt organ, der yder teknisk rådgivning
på opfordring fra Kommissionen og medlemsstaterne, kunne lette gennemførelsen af de pågældende direktiver i medlemsstaternes
nationale ret og iværksættelsen af dem på nationalt plan.
Endelig bemærkes, at agenturet i henhold til forordningens artikel 27 oprettes fra den 14. marts 2004 for en periode på fem
år, og at Kommissionen ifølge forordningens artikel 25, stk. 1 og 2, senest den 17. marts 2007 skal gennemføre en evaluering,
der har til formål at vurdere resultaterne af agenturets arbejde med hensyn til de mål og opgaver, der er overdraget til det,
samt dets arbejdsmetoder.
Det fremgår følgelig af en sammenligning af de to bestemmelser, at fællesskabslovgiver fandt, at det var passende – før der
blev truffet afgørelse om agenturets skæbne – at gennemføre en evaluering af agenturets aktivitet samt af det faktiske bidrag,
som agenturet yder til iværksættelsen af rammedirektivet og særdirektiverne.
På denne baggrund og henset til de samlede sagsakter må det konkluderes, at det var med rette, at forordningen blev vedtaget
med hjemmel i artikel 95 EF, og de sagsøgte bør følgelig frifindes.

Sagens omkostninger
Ifølge procesreglementets artikel 69, stk. 2, pålægges det den tabende part at betale sagens omkostninger, hvis der er nedlagt
påstand herom. Da Parlamentet og Rådet har nedlagt påstand om, at Det Forenede Kongerige tilpligtes at betale sagens omkostninger,
og dette har tabt sagen, bør det pålægges Det Forenede Kongerige at betale sagens omkostninger. I henhold til artikel 69,
stk. 4, bærer Republikken Finland og Kommissionen deres egne omkostninger.
På grundlag af disse præmisser udtaler og bestemmer Domstolen (Store Afdeling):
1)
Europa-Parlamentet og Rådet for Den Europæiske Union frifindes.
2)
Det Forenede Kongerige Storbritannien og Nordirland betaler sagens omkostninger.
3)
Republikken Finland og Kommissionen for De Europæiske Fællesskaber bærer deres egne omkostninger.
Underskrifter
*
Processprog: engelsk.