B.Řešení

Prostřednictvím kterých možností lze cílů dosáhnout? Je některá možnost upřednostňována?

Toto posouzení dopadů zkoumá specifický soubor možných opatření, která zahrnují přezkum činnosti Agentury Evropské unie pro bezpečnost sítí a informací (ENISA) a certifikaci bezpečnosti IKT.

Přezkum ENISA

Možnost 0 – základní scénář – tato možnost zachovává současný stav. Mandát agentury ENISA by byl prodloužen a cíle a úkoly agentury by zůstaly v zásadě nezměněné, pouze by se zohlednily úkoly svěřené agentuře ENISA následně přijatými právními předpisy EU (např. směrnicí o bezpečnosti sítí a informací).

Možnost 1 – ukončení mandátu ENISA (ukončení činnosti ENISA). Tato možnost by vedla k ukončení činnosti agentury ENISA na konci jejího mandátu (červen 2020) a případně k přerozdělení pravomocí a činností na úrovni EU a /nebo na úrovni členských států.

Možnost 2 – „reforma ENISA“. Tato možnost politiky by vycházela ze současného mandátu agentury ENISA s výhledem na přijetí selektivních změn zohledňujících vývoj v oblasti kybernetické bezpečnosti. Agentura by získala trvalý mandát, jehož základem by byly tyto prvky: podpora tvorby a provádění politik EU; budování kapacit; znalosti a informace; úkoly související s trhem; výzkum a inovace; a operativní spolupráce a řešení krizí.

Možnost 3 – agentura EU pro kybernetickou bezpečnost s plnými operačními schopnostmi. Tato možnost znamená reformu agentury ENISA prostřednictvím spojení tří hlavních funkcí: 1. politická/poradní funkce; 2. středisko informací a odborných znalostí; a 3. skupina pro reakci na počítačové hrozby (CERT). Tato možnost by do značné míry znamenala stejnou změnu rozsahu mandátu jako možnost 2. Byly by však přidány další úkoly v oblasti reakce na incidenty a řízení krizí, takže agentura by pokrývala celý životní cyklus kybernetické bezpečnosti a měla by na starosti prevenci a odhalování kybernetických incidentů i reakci na ně.

Certifikace

Možnost 0 – základní scénář – nečinnost. V tomto případě by Komise zachovala současný stav a nepodnikala by žádné politické ani legislativní kroky.

Možnost 1 – nelegislativní („měkká“) opatření. V rámci této možnosti by Komise použila měkké nástroje (jako jsou např. interpretační sdělení nebo podpora celoevropských samoregulačních iniciativ a aktivit v oblasti normalizace) s cílem zlepšit transparentnost a snížit roztříštěnost.

Možnost 2 – legislativní akt EU, kterým by se rozšířila dohoda SOG-IS na všechny členské státy. V rámci této možnosti by Komise navrhla legislativní akt, kterým by se rozšířilo členství na všechny členské státy.

Možnost 3 – obecný rámec EU pro certifikaci bezpečnosti IKT. Tato možnost znamená vytvoření evropského rámce certifikace bezpečnosti IKT (včetně skupiny odborníků složené ze zástupců vnitrostátních orgánů), jenž by v co nejvyšší možné míře vycházel ze stávajících systémů certifikace bezpečnosti IKT. Takový rámec by v zásadě umožnil vytvoření certifikačních systémů EU, které by byly uznávány napříč členskými státy.

Upřednostňovanou možností je kombinace možnosti 2 pro ENISA a možnosti 3 pro certifikaci.

Kdo jsou zúčastněné strany? Kdo podporuje kterou možnost?

Převážná většina zúčastněných stran ze všech kategorií (členské státy, průmysl, orgány EU, výzkumná obec), které se zúčastnily konzultací, očividně vítá upřednostňovanou možnost, jelikož tyto strany podporují posílení agentury ENISA a vytvoření evropského rámce certifikace bezpečnosti IKT.

Panuje zejména shoda ohledně nutnosti mít (alespoň) dobře fungující agenturu EU s trvalým mandátem, která bude mít odpovídající zdroje a mandát k tomu, aby čelila současným a budoucím kybernetickobezpečnostním výzvám. Mezi zúčastněnými stranami rovněž panuje široká shoda ohledně vytvoření dobrovolného evropského rámce, který bude možné přizpůsobit aktuálním potřebám.

Pokud jde o zástupce průmyslu, zvolené řešení pro certifikaci podporují podniky, na které se již vztahují požadavky certifikace a pro něž by byl celoevropský mechanismus vzájemného uznávání certifikátů přínosem. Podporují ho rovněž malé a střední podniky, které nejvíce trpí tím, že musí, nebo by musely absolvovat různé certifikační postupy v různých členských státech. Některé členské státy, zejména ty, jež mají k dispozici méně zdrojů, a někteří zástupci podniků a orgánů EU se vyjádřili kladně také k možnosti 3 pro ENISA.

C. Dopady upřednostňované možnosti