Eftersom digitalisering og konnektiviteten af økonomien og samfundet har en global dimension, rækker problemerne langt ud over en enkelt medlemsstats område. Der er derfor behov for en indsats på EU-plan. I den nuværende situation og med sigte på de fremtidige scenarier ser det ud til, at individuelle tiltag fra medlemsstaternes side og en fragmenteret tilgang til cybersikkerhed, navnlig i lyset af den stærke grænseoverskridende dimension, ikke vil kunne øge Unionens kollektive cybermodstandsdygtighed.

5.Øget overordnet gennemsigtighed af cybersikkerhedstillidsniveauet for IKT-produkter og tjenester med sigte på at styrke tilliden til det digitale indre marked og digital innovation.

Digitale teknologier og Internettet er rygraden i EU's økonomier og samfund. Kritiske økonomiske sektorer såsom transport, energi, sundhed eller finanssektoren er i stadig højere grad afhængige af net- og informationssystemer for at drive deres kernevirksomhed. Tingenes Internet forbinder genstande og personer via kommunikationsnet. Denne nye virkelighed skaber hidtil usete muligheder og også sårbarheder. Cyberhændelser er i kraftig vækst. Deres kompleksitet, hyppighed og "overfladevirkningerne" - fra adgang til væsentlige tjenester til demokratiske processer — forventes at tiltage yderligere.

B.Løsninger

Hvilke forskellige muligheder er der for at nå målene? Foretrækkes én løsning frem for andre?

I denne konsekvensanalyse undersøges et specifikt sæt politiske løsningsmodeller, som dækker revisionen af Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA) og IKT-sikkerhedscertificering.

ENISA-revisionen

Løsningsmodel 0 - Referencescenarie - Denne løsning bibeholder den nuværende situation. ENISA's mandat ville blive forlænget og Agenturets mål og opgaver vil forblive stort set uændret, idet der dog tages hensyn til de opgaver, som ENISA tillægges ved senere EU-lovgivning (f.eks. NIS-direktivet).

Løsningsmodel 1 - Udløb af ENISA's mandat (ENISA lukkes). Denne løsning indebærer lukningen af ENISA ved afslutningen af dets mandat (juni 2020) og eventuelt en omfordeling af kompetencer/aktiviteter på EU-plan og/eller nationalt plan.

Løsningsmodel 2 - et "reformeret ENISA". Denne løsning ville bygge på det nuværende mandat for ENISA med henblik på at vedtage selektive ændringer, som kan tage højde for udviklingen på cybersikkerhedsområdet. Agenturet ville få et permanent mandat baseret på følgende centrale elementer: støtte til udarbejdelse og gennemførelse af EU-politikker, kapacitetsopbygning, viden og information, markedsrelaterede opgaver, forskning og innovation og operationelt samarbejde og krisestyring.

Løsningsmodel 3 - et EU-agentur for cybersikkerhed med fuld operationel kapacitet. Denne løsning indebærer en reform af ENISA ved at samle de tre vigtigste funktioner: 1. En politisk/rådgivende funktion, 2. et viden- og ekspertisecenter, og 3. en IT-beredskabsenhed (Computer Emergency Response Team - CERT). I vidt omfang vil denne løsning indebære samme ændring i omfanget af mandatet som løsningsmodel 2. Der ville komme yderligere opgaver til inden for beredskab og krisestyring, således at Agenturet ville dække hele cybersikkerhedslivscyklussen og håndtere forebyggelse, opdagelse og reaktion på cyberhændelser.

Certificering

Løsningsmodel 0 - Referencescenarie - Ingen foranstaltninger. Denne løsning indebærer, at Kommissionen ville bibeholde den nuværende situation og ikke iværksætte politiske eller lovgivningsmæssige tiltag.

Løsningsmodel 1 - Ikkelovgivningsmæssige foranstaltninger ("blød lovgivning"). Denne løsning indebærer, at Kommissionen bruger "bløde" politikinstrumenter (f.eks. fortolkningsmeddelelser, støtte til EU-dækkende selvregulerende initiativer og standardiseringsaktiviteter) for at forbedre gennemsigtigheden og mindske opsplitningen.

Løsningsmodel 2 - En EU-retsakt, som udvider SOG-IS-aftalen, så den omfatter samtlige medlemsstater. Denne løsning indebærer, at Kommissionen foreslår en retsakt for at udvide medlemskabet til at være retligt bindende for alle medlemsstater.

Løsningsmodel 3 - En generel EU-ramme for IKT-sikkerhedscertificering. Denne løsning indebærer oprettelsen af en europæisk certificeringsramme for IKT-sikkerhed (herunder en ekspertgruppe bestående af nationale myndigheder) ved i videst muligt omfang at bygge videre på eksisterende IKT-sikkerhedscertificeringsordninger. Rammen ville gøre det muligt at oprette EU-certificeringsordninger, som accepteres i alle medlemsstater.

Den foretrukne løsning er en kombination af løsningsmodel 2 for ENISA og løsningsmodel 3 for certificering.

Hvem er de forskellige interessenter? Hvem støtter hvilken løsning?

Størstedelen af interessenterne på tværs af alle kategorier (medlemsstater, erhvervslivet, EU-institutioner, forskerkredse), som deltog i høringerne, synes at bifalde den foretrukne løsningsmodel, idet de går ind for en styrkelse af ENISA og oprettelsen af en europæisk ramme for IKT-sikkerhedscertificering.

Der er navnlig enighed om behovet for at have (som minimum) et velfungerende EU-agentur med et permanent mandat, som har tilstrækkelige ressourcer og mandat til at imødegå de nuværende og fremtidige udfordringer inden for cybersikkerhed. Der er også bred enighed blandt interessenterne om at oprette en frivillig skalerbar europæisk ramme.

På erhvervssiden støttes denne løsningsmodel for certificering af virksomheder, som allerede er underlagt certificeringskrav, og som ville have gavn af en EU-dækkende mekanisme, der bygger på gensidig anerkendelse af attester. Den støttes også af SMV, der ellers ville skuldre den største byrde, hvis de allerede skal eller ville skulle iværksætte forskellige certificeringstiltag i forskellige medlemsstater. Nogle medlemsstater, herunder navnlig dem med få ressourcer, og nogle repræsentanter fra erhvervslivet og EU's institutioner udtalte sig også positivt om løsningsmodel 3 for ENISA.

C. Den foretrukne løsnings virkninger