EUROPA-KOMMISSIONEN Bruxelles, den 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om ENISA, "EU's Agentur for Cybersikkerhed", om ophævelse af forordning (EU) nr. 526/2013 og om cybersikkerhedscertificering af informations- og kommunikationsteknologi ("forordningen om cybersikkerhed") (EØS-relevant tekst) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET •Forslagets begrundelse og formål Den Europæiske Union har truffet en række foranstaltninger for at øge sin modstandsdygtighed og styrke sit cybersikkerhedsberedskab. Den første strategi for cybersikkerhed, som blev vedtaget i 2013, fastlagde de strategiske målsætninger og konkrete foranstaltninger til at opnå modstandsdygtighed, mindske cyberkriminalitet, udvikle cyberforsvarspolitik og -kapacitet, udvikle industrielle og teknologiske ressourcer og udarbejde en sammenhængende international cyberspacepolitik for EU. Der er i denne forbindelse sket en væsentlig udvikling siden da, herunder navnlig det andet mandat for Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA) og vedtagelsen af direktivet om sikkerhed for net- og informationssystemer ("NIS-direktivet"), som udgør grundlaget for det foreliggende forslag. Herudover vedtog Kommissionen i 2016 en meddelelse om styrkelse af Europas system for modstandsdygtighed over for cyberangreb og fremme af en konkurrencedygtig og innovativ cybersikkerhedsindustri, hvori der blev bebudet yderligere foranstaltninger til at øge samarbejde og informations- og videndeling, EU's modstandskraft og beredskab, også under hensyntagen til muligheden for væsentlige hændelser og en mulig paneuropæisk cybersikkerhedskrise. Kommissionen bebudede i denne sammenhæng, at den ville fremskynde evalueringen og revisionen af Europa-Parlamentets og Rådets forordning (EU) nr. 526/2013 om ENISA og om ophævelse af forordning (EF) nr. 460/2004 ("ENISA-forordningen") Evalueringsprocessen kunne give anledning til en reform af Agenturet og en styrkelse af dets kompetencer og kapacitet til at støtte medlemsstaterne på en bæredygtig måde. Forslaget ville give Agenturet en mere operationel og central rolle i gennemførelsen af bedre modstandsdygtighed på cybersikkerhedsområdet og ville i det nye mandat anerkende Agenturets nye ansvarsområder i henhold til NIS-direktivet. NIS-direktivet er et første afgørende skridt med henblik på at fremme en risikostyringskultur ved at indføre sikkerhedskrav som retlige forpligtelser for de vigtigste økonomiske aktører, herunder navnlig operatører af væsentlige tjenester og udbydere af visse centrale digitale tjenester. Da sikkerhedskrav anses for væsentlige for at sikre fordelene ved digitaliseringen af samfundet og på baggrund af den hurtige udbredelse af forbundet udstyr (tingenes Internet – IoT), indgik der i meddelelsen fra 2016 ligeledes et forslag om at fastlægge en ramme for sikkerhedscertificering for IKT-produkter og -tjenester med sigte på at øge tilliden til og sikkerheden i det digitale indre marked. IKT-sikkerhedscertificering er navnlig relevant i lyset af den tiltagende brug af teknologier, som kræver et højt cybersikkerhedsniveau, f.eks. forbundne og selvkørende biler, e-sundhedssystemer eller industrielle automationsstyringssystemer (IACS). Disse politiske foranstaltninger og meddelelser blev yderligere styrket af Rådets konklusioner i 2016, som anerkendte, at "at cybertrusler og sårbarheder fortsat udvikler sig og tiltager, hvilket vil kræve vedvarende og tættere samarbejde, særlig ved håndteringen af store grænseoverskridende cybersikkerhedshændelser". Konklusionerne bekræftede, at "ENISA-forordningen er et af de centrale elementer i EU's ramme for modstandsdygtighed over for cyberangreb" og opfordrede Kommissionen til at tage yderligere skridt til at håndtere certificeringsspørgsmålet på EU-niveau. Indførelse af en certificeringsordning forudsætter oprettelsen af et hensigtsmæssigt forvaltningssystem på EU-niveau, herunder en omfattende ekspertise leveret af et uafhængigt EU-agentur. I det foreliggende forslag identificeres ENISA som det naturlige organ på EU-plan, der er kompetent inden for cybersikkerhed, og som kunne overtage en sådan rolle med henblik på at samle og koordinere det arbejde, der udføres af kompetente nationale organer på certificeringsområdet. I sin meddelelse om midtvejsevalueringen af strategien for det digitale indre marked af maj 2017 angav Kommissionen endvidere, at den ville revidere ENISA's mandat senest i september 2017. Det skulle ske for at definere Agenturets rolle i det ændrede IT-sikkerhedsøkosystem og udvikle foranstaltninger vedrørende cybersikkerhedsstandarder, certificering og -mærkning for at gøre IKT-baserede systemer, herunder netforbundne objekter, mere cybersikre. Det Europæiske Råds konklusioner af juni 2017 ser positivt på Kommissionens intentioner om at revidere cybersikkerhedsstrategien i september og foreslå yderligere målrettede aktioner inden udgangen af 2017. Den foreslåede forordning fastlægger et omfattende sæt foranstaltninger, som bygger på tidligere foranstaltninger og fremmer specifikke mål, som indbyrdes styrker hinanden: ·Øgede kapaciteter og beredskab i medlemsstaterne og virksomhederne ·Forbedret samarbejde og samordning mellem medlemsstaterne og EU's institutioner, agenturer og organer ·Øget kapacitet på EU-niveau til at supplere medlemsstaternes indsats, navnlig i tilfælde af grænseoverskridende cyberkriser ·Øget oplysning til borgere og virksomhederne om cybersikkerhed ·Øget overordnet gennemsigtighed af cybersikkerhedstillidsniveauet for IKT-produkter og -tjenester med sigte på at styrke tilliden til det digitale indre marked og digital innovation og ·Undgåelse af opsplitning af certificeringsordningerne i EU og dermed forbundne sikkerhedskrav og evalueringskriterier på tværs af medlemsstater og sektorer. I den følgende del af begrundelsen forklares baggrunden for initiativet med hensyn til de foreslåede foranstaltninger vedrørende ENISA og cybersikkerhedscertificering nærmere.





ENISA ENISA fungerer som et ekspertisecenter, der har til opgave at forbedre net- og informationssikkerheden i EU og støtte kapacitetsopbygningen i medlemsstaterne. ENISA blev oprettet i 2004 for at bidrage til det overordnede mål om at sikre et højt fælles niveau for net- og informationssikkerhed i EU. I 2013 blev Agenturets nye mandat fastsat for en periode på syv år frem til 2020 ved forordning (EU) nr. 526/2013. Agenturet har sit hjemsted i Grækenland, dvs. det administrative sæde i Heraklion (Kreta) og det centrale operationelle hovedsæde i Athen. ENISA er et lille agentur med et lille budget og et lille antal ansatte i forhold til alle EU's andre agenturer. Det har en tidsbegrænset mandatperiode. ENISA bistår EU-institutionerne, medlemsstaterne og erhvervslivet med at behandle, tackle og navnlig forebygge net- og informationssikkerhedsproblemer. Det foregår gennem en række aktiviteter på fem områder, som er udpeget i Agenturets strategi: ·Ekspertise: tilrådighedsstillelse af oplysninger og ekspertviden om centrale net- og informationssikkerhedsspørgsmål ·Politik: støtte til politisk beslutningstagning og gennemførelse i Unionen ·Kapacitet: støtte til kapacitetsopbygning i hele EU (f.eks. gennem uddannelse, henstillinger, oplysningskampagner) ·Fællesskab: fremme net- og informationssikkerhedsfællesskabet (f.eks. støtte til IT-beredskabsenheder (CERT), koordinering af fælleseuropæiske cyberberedskabsøvelser) ·Facilitering (f.eks. ved at inddrage interesserede parter og internationale forbindelser). I løbet af forhandlingerne om NIS-direktivet besluttede EU-medlovgiverne at give ENISA en fremtrædende rolle ved gennemførelsen af dette direktiv. Agenturet varetager navnlig sekretariatsfunktionen for CSIRT-netværket (oprettet for at fremme et hurtigt og effektivt operationelt samarbejde mellem medlemsstaterne om specifikke cybersikkerhedshændelser og informationsudveksling om risici) og det bistår også samarbejdsgruppen med udførelsen af dens opgaver. Herudover pålægger direktivet ENISA at bistå medlemsstaterne og Kommissionen med ekspertise og rådgivning og at lette udveksling af bedste praksis. I overensstemmelse med ENISA-forordningen har Kommissionen gennemført en evaluering af Agenturet, som omfatter en uafhængig undersøgelse og en offentlig høring. Evalueringen vurderede Agenturets relevans, virkning, effektivitet, omkostningseffektivitet, sammenhæng og EU-merværdi med hensyn til dets præstationer, styring, intern organisatorisk struktur og arbejdsmetoder i perioden 2013-2016. ENISA's præstationer blev samlet set bedømt positivt af et flertal af respondenterne (74 %) i den offentlige høring. Et flertal af respondenterne mente endvidere, at ENISA når sine forskellige mål (mindst 63 % for hvert enkelt mål). ENISA's tjenester og produkter bruges regelmæssigt (en gang om måneden eller hyppigere) af næsten halvdelen af respondenterne (46 %), og de værdsættes for den omstændighed, at de stammer fra et EU-organ (83 %) og kvaliteten (62 %). Et stort flertal (88 %) af respondenterne mente dog, at de aktuelle instrumenter og mekanismer, der er til rådighed på EU-plan, er utilstrækkelige eller kun delvis fyldestgørende til at håndtere de nuværende udfordringer på cybersikkerhedsområdet. Et stort flertal af respondenterne (98 %) mente, at der var behov for et EU-organ til at tackle udfordringerne, og 99 % anså ENISA for at være den rette organisation hertil. Herudover udtrykte 67,5 % den mening, at ENISA kan spille en rolle ved fastlæggelse af en harmoniseret ramme for sikkerhedscertificering af IT-produkter og -tjenester. Den overordnede evaluering (ikke kun baseret på den offentlige høring, men også en række individuelle interviews, yderligere målrettede undersøgelser og workshopper) nåede til følgende konklusioner: ·ENISA's målsætninger er stadig relevante i dag. I en kontekst med hurtig teknologisk udvikling og skiftende trusler og i lyset af de tiltagende globale cybersikkerhedsrisici er der et klart behov i EU for fremme og yderligere styrkelse af teknisk ekspertise på højt plan, når det gælder cybersikkerhed. Der må opbygges kapacitet i medlemsstaterne til at forstå og imødegå trusler, og interessenterne må samarbejde på tværs af temaområder og institutioner. ·Til trods for sit begrænsede budget er Agenturet drevet omkostningseffektivt med hensyn til ressourceforbrug og gennemførelsen af dets opgaver. Opdelingen mellem Athen og Heraklion har imidlertid også medført ekstra administrative omkostninger. ·For så vidt angår omkostningseffektivitet, opfyldte ENISA delvis sine mål. Agenturet har med succes bidraget til at forbedre net- og informationssikkerheden i EU ved at tilbyde kapacitetsopbygning i 28 medlemsstater, ved at forbedre samarbejdet mellem medlemsstater og interessenter på net- og informationssikkerhedsområdet og ved at stille ekspertise til rådighed, opbygge fællesskaber og støtte udvikling af politikker. Overordnet set fokuserede ENISA omhyggeligt på gennemførelsen af sit arbejdsprogram og fungerede som en pålidelig partner for sine interessenter inden for et område, hvis grænseoverskridende dimension først for nylig er blevet anerkendt.

·ENISA har gjort en forskel, i hvert fald i et vist omfang, inden for det omfattende net- og informationssikkerhedsområde, men har ikke fuldt ud formået at udvikle et stærkt "brand" og opnå tilstrækkelig synlighed til at blive anerkendt som "det" europæiske ekspertisecenter. Årsagen hertil ligger i ENISA's brede mandat, idet der ikke blev tildelt tilsvarende tilstrækkelige ressourcer. Derudover er ENISA stadig det eneste EU-agentur med et tidsbegrænset mandat, hvilket begrænser dets evne til at udvikle en langsigtet vision og støtte sine interessenter på en bæredygtig måde. Dette er også i modstrid med bestemmelserne i NIS-direktivet, som overdrager opgaver til ENISA, som ikke har nogen slutdato. Endelig konstateres det i vurderingen, at denne manglende effektivitet delvis kan forklares med den høje afhængighed af ekstern i forhold til intern ekspertise og med vanskeligheder med at rekruttere og holde på specialiseret personale. ·Sidst men ikke mindst konkluderes det i evalueringen, at ENISA's merværdi primært ligger i Agenturets evne til at forbedre samarbejdet, hovedsageligt mellem medlemsstaterne og navnlig med beslægtede net- og informationssikkerhedsfælleskaber (navnlig mellem CSIRT). Der findes ingen anden aktør på EU-plan, der støtter et så bredt udsnit af interessenter på området net- og informationssikkerhed. På grund af behovet for nøje at prioritere sine aktiviteter er ENISA's arbejdsprogram for det meste styret af medlemsstaternes behov. Som følge heraf er det ikke tilstrækkeligt rettet mod andre interessenters behov, herunder navnlig erhvervslivets. Det gjorde også Agenturet mere tilbøjelig til at opfylde sine vigtigste interessenters behov, hvilket forhindrede det i at opnå en større virkning. Agenturets merværdi har således været varierende, alt efter de forskellige interessenters behov og det omfang, i hvilket Agenturet var i stand til at opfylde dem (f.eks. store over for små medlemsstater, medlemsstaterne over for erhvervslivet). Sammenfattende kan det siges, at høringerne af interessenter og evalueringen tydede på, at ENISA's ressourcer og mandat må tilpasses, så det i tilstrækkelig grad kan reagere på nuværende og fremtidige udfordringer. På baggrund af disse konstateringer gennemgår nærværende forslag ENISA's mandat og fastsætter et nyt sæt opgaver og funktioner med sigte på effektiv og omkostningseffektiv støtte til medlemsstaternes, EU-institutionernes og andre interessenters indsats for et sikkert cyberspace i Den Europæiske Union. Det nye foreslåede mandat søger at give Agenturet en stærkere og mere central rolle, navnlig ved også at støtte medlemsstaternes gennemførelse af NIS-direktivet og for at modvirke særlige trusler på en mere aktiv måde (operationel kapacitet) og ved at blive et ekspertisecenter, som støtter medlemsstaterne og Kommissionen i forbindelse med cybersikkerhedscertificering. I henhold til forslaget: ·Får ENISA et permanent mandat og således et stabilt grundlag for fremtiden. Mandatet, målene og opgaverne bør fortsat være genstand for regelmæssig revision. ·Det foreslåede mandat præciserer ENISA's mandat yderligere som EU' Agentur for cybersikkerhed og referencepunkt i EU's cybersikkerhedsøkosystem, der agerer i tæt samarbejde med alle andre relevante organer i et sådant økosystem. ·Agenturets organisation og styring, som fik en positiv vurdering under evalueringen, vil blive moderat revideret, navnlig for at tage højde for, at behovene i det bredere interessentfællesskab afspejles bedre i Agenturets arbejde. ·Det foreslåede omfang af mandatet opridses, idet de områder styrkes, hvor Agenturet har vist en klar merværdi, og der tilføjes de nye områder, hvor der er brug for støtte på grund af de nye politiske prioriteter og instrumenter, navnlig NIS-direktivet, revisionen af EU's strategi for cybersikkerhed, den kommende plan for EU's cybersikkerhedssamarbejde i krisesituationer og IKT-sikkerhedscertificering: ·Udvikling og gennemførelse af EU-politikker: ENISA får til opgave at bidrage proaktivt til udviklingen af politikken på området net- og informationssikkerhed samt andre politiske initiativer med cybersikkerhedselementer inden for forskellige sektorer (f.eks. energi, transport, finans). Agenturet får i denne forbindelse en stærk rådgivende rolle, som det kan udfylde ved at levere uafhængige vurderinger og forberedende arbejde til udvikling og ajourføring af politikker og lovgivning. ENISA vil også understøtte EU's politikker og lovgivning inden for området elektronisk kommunikation og elektroniske identifikations- og tillidstjenester med sigte på at fremme et højere cybersikkerhedsniveau. I gennemførelsesfasen, herunder navnlig i forbindelse med NIS-samarbejdsgruppen, vil ENISA bistå medlemsstaterne med at opnå en konsekvent tilgang for så vidt angår gennemførelsen af NIS-direktivet på tværs af grænser og sektorer samt i forbindelse med andre relevante politikker og lovgivning. Med sigte på at understøtte den regelmæssige revision af politikker og lovgivning på cybersikkerhedsområdet vil ENISA også foretage regelmæssige indberetninger om status for gennemførelsen af EU's retlige rammer. ·Kapacitetsopbygning: ENISA vil bidrage til at forbedre EU's og de nationale offentlige myndigheders kapacitet og ekspertise, herunder når det gælder håndtering af hændelser og overvågning af cybersikkerhedsrelaterede lovgivningsmæssige foranstaltninger. Agenturet vil også skulle bidrage til etableringen af centre for informationsudveksling og analyse (ISAC'er) inden for en række sektorer ved at stille bedste praksis og vejledning om tilgængelige værktøjer og procedurer til rådighed samt ved på passende vis at håndtere lovgivningsmæssige spørgsmål relateret til informationsudveksling. ·Viden og information samt oplysning: ENISA vil blive EU's informationsknudepunkt. Det indebærer fremme og udveksling af bedste praksis og initiativer på tværs af EU ved at samle oplysninger om cybersikkerhed, der kommer fra EU og nationale institutioner, agenturer og organer. Agenturet vil også stille rådgivning, vedledning og bedste praksis vedrørende sikkerheden af kritiske infrastrukturer til rådighed. I kølvandet på væsentlige grænseoverskridende cybersikkerhedshændelser vil ENISA desuden udarbejde rapporter med henblik på at give vejledning til virksomheder og borgere i hele EU. Denne arbejdsstrøm vil også omfatte tilrettelæggelse af oplysningskampagner i samarbejde med medlemsstaternes myndigheder. ·Markedsrelaterede opgaver (standardisering, cybersikkerhedscertificering): ENISA vil udføre en række funktioner, herunder navnlig understøttelse af det indre marked og et cybersikkerhedsmarkedsobservatorium, ved at analysere de relevante udviklingstendenser på cybersikkerhedsmarkedet med sigte på at matche udbud og efterspørgsel bedre, og ved at understøtte EU's politikudvikling inden for IKT-standardisering og IKT-cybersikkerhedscertificering. Navnlig for så vidt angår standardisering vil Agenturet lette indførelsen og udbredelsen af cybersikkerhedsstandarder. ENISA vil også udføre de opgaver, der er fastsat i forbindelse med den fremtidige ramme for certificering (se i det følgende). ·Forskning og innovation: ENISA vil bidrage med sin ekspertise ved at rådgive EU og nationale myndigheder om fastsættelse af prioriteter inden for forskning og udvikling, herunder også i sammenhæng med det kontraktlige offentlig-private partnerskab vedrørende cybersikkerhed (cPPP). ENISA's rådgivning om forskning ville bidrage til det nye europæiske forsknings- og kompetencecenter for cybersikkerhed under den næste flerårige finansielle ramme. ENISA ville også – efter anmodning fra Kommissionen – være involveret i gennemførelsen af EU's finansieringsprogrammer inden for forskning og innovation. ·Operationelt samarbejde og krisestyring: Denne strøm af arbejde bør bygge på en styrkelse af de eksisterende forebyggende operationelle kapaciteter, herunder navnlig en opgradering af den fælleseuropæiske cybersikkerhedsøvelse (Cyber Europe) ved at gennemføre den årligt, og på en understøttende rolle i det operationelle samarbejde som sekretariat for CSIRT-netværket (jf. NIS-direktivet) ved bl.a. at sikre, at CSIRT-netværkets IT-infrastruktur og kommunikationskanaler er velfungerende. I denne sammenhæng er et struktureret samarbejde med CERT-EU, Det europæiske Center til Bekæmpelse af Cyberkriminalitet (EC3) og andre relevante EU-organer påkrævet. Derudover burde et struktureret samarbejde med CERT-EU, i tæt fysisk nærhed, føre til en funktion bestående af levering af teknisk bistand i tilfælde af væsentlige hændelser og støtte til analyse af hændelser. Medlemsstater, som anmoder om det, vil modtage bistand til at håndtere hændelser og støtte til analyser af sårbarheder, spor (artefacts) og hændelser med det formål at styrke deres egen forebyggende og reaktive kapacitet. ·ENISA vil også spille en rolle i EU's cybersikkerhedsplan, der forelægges som en del af denne pakke, og som fastlægger Kommissionens henstilling til medlemsstaterne om en koordineret reaktion på væsentlige grænseoverskridende cybersikkerhedshændelser og -kriser på EU-plan. ENISA vil lette samarbejdet mellem de enkelte medlemsstater, når disse skal håndtere en krise, ved at analysere og aggregere nationale situationsrapporter, der bygger på oplysninger, som medlemsstaterne og andre enheder frivilligt stiller til rådighed for Agenturet. ·Cybersikkerhedscertificering af IKT-produkter og -tjenester Med henblik på at skabe og opretholde tillid og sikkerhed skal IKT-produkter og -tjenester direkte indeholde sikkerhedsfunktioner i de tidlige stader af deres tekniske udformning og udvikling (sikkerhed i designet). Herudover bør kunder og brugere kunne fastslå tillidsniveauet for sikkerheden af de produkter og tjenester, de kontraherer eller køber. Certificering, som består af en formel evaluering af produkter, tjenester og processer foretaget af et uafhængigt og godkendt organ i forhold til et defineret sæt standardkriterier og udstedelsen af en attest for overensstemmelse, spiller en vigtig rolle med hensyn til at øge tilliden til og sikkerheden af produkter og tjenester. Selv om sikkerhedsevalueringer er et ret teknisk område, har certificering til formål at informere og berolige købere og brugere for så vidt angår sikkerhedsegenskaberne for de produkter og tjenester, som de køber eller bruger. Som nævnt i det foregående er dette særligt relevant for nye systemer, der i vidt omfang benytter digitale teknologier, og som kræver et højt sikkerhedsniveau, såsom forbundne og selvkørende biler, e-sundhedssystemer, industrielle automationsstyringssystemer (IACS) eller intelligente net. I øjeblikket foregår cybersikkerhedscertificering af IKT-produkter og -tjenester i EU på en meget uensartet måde. Der er en række internationale initiativer såsom de såkaldte fælles kriterier (CC) for evaluering af IT-sikkerhed (ISO 15408), som er en international standard for evaluering af computersikkerhed. Den er baseret på tredjepartsevaluering og arbejder med syv Evaluation Assurance Levels (EAL). CC og den ledsagende fælles evalueringsmetode (Common Methodology for Information Technology Security Evaluation (CEM)) er det tekniske grundlag for en international aftale, aftalen om anerkendelse af de fælles kriterier (CCRA), som sikrer at CC-attester anerkendes af alle underskriverne af CCRA. I den aktuelle version af CCRA er det dog kun evalueringer op til EAL 2, der gensidigt anerkendes. Der er desuden kun 13 medlemsstater, der har undertegnet denne aftale.

Certificeringsmyndighederne i 12 medlemsstater har indgået en aftale om gensidig anerkendelse med hensyn til attester, der er udstedt i overensstemmelse med aftalen på grundlag af de fælles kriterier. Derudover findes der, eller der er ved at blive etableret en række IKT-certificeringsinitiativer i medlemsstaterne. Uanset hvor vigtige disse er, indebærer de en risiko for, at markedet fragmenteres, og at der opstår interoperabilitetsproblemer. Som følge heraf kan en virksomhed blive nødt til at gennemgå forskellige certificeringsprocedurer i en række medlemsstater for at være i stand til at udbyde sit produkt på flere markeder. F.eks. skal en producent af intelligente målere, som ønsker at sælge sit produkt i tre medlemsstater, f.eks. Tyskland, Frankrig og Det Forenede Kongerige, i øjeblikket overholde kravene i tre forskellige certificeringsordninger. Det drejer sig om Commercial Product Assurance (CPA) i Det Forenede Kongerige, Certification de Sécurité de Premier Niveau (CSPN) i Frankrig og en særlig beskyttelsesprofil baseret på de fælles kriterier i Tyskland. Denne situation fører til højere omkostninger og er en betydelig administrativ byrde for virksomheder, som er aktive i flere medlemsstater. Certificeringsomkostningerne kan variere væsentligt afhængigt af det/den pågældende produkt/tjeneste, det ønskede evalueringsniveau og/eller andre komponenter, men har tendens til at være temmelig store for virksomhederne. For BSI's "Smart Meter Gateway"-attest er omkostningerne f.eks. mere end 1 mio. EUR (højeste test- og sikkerhedsniveau, ikke blot for ét produkt men for hele den omgivende infrastruktur også). I Det Forenede Kongerige er omkostningerne til certificering af intelligente målere næsten 150 000 EUR. I Frankrig er omkostningerne omtrent det samme som i Det Forenede Kongerige, nemlig 150 000 EUR eller mere. Vigtige offentlige og private interessenter erkender, at når der ikke er en EU-dækkende certificeringsordning for cybersikkerhed, vil virksomheder i mange tilfælde skulle have foretaget en individuel certificering i hver medlemsstat, hvilket fører til markedsopsplitning. Vigtigst af alt – hvis der ikke er nogen EU-harmonisering af lovgivning for IKT-produkter og tjenester – vil forskelle i cybersikkerhedscertificeringsstandarder og -praksis i medlemsstaterne sandsynligvis skabe 28 separate cybersikkerhedsmarkeder i praksis, hvert med sine egne tekniske krav, testmetoder og certificeringsprocedurer for cybersikkerhed. Disse divergerende tilgange på nationalt plan vil - hvis der ikke træffes passende foranstaltninger på EU-plan - sandsynligvis medføre tilbageslag i gennemførelsen af det digitale indre marked ved at sinke eller forhindre de tilknyttede positive virkninger i form af vækst og beskæftigelse. På denne baggrund opstiller forslaget til forordning en europæisk ramme for cybersikkerhedscertificering ("rammen") for IKT-produkter og -tjenester og præciserer de væsentlige funktioner og opgaver for ENISA inden for cybersikkerhedscertificering. Nærværende forslag fastsætter en samlet ramme af regler for europæiske cybersikkerhedscertificeringsordninger. Forslaget indfører ikke direkte operationelle certificeringsordninger, men skaber nærmere et system (en ramme) for indførelsen af specifikke certificeringsordninger for specifikke IKT-produkter/tjenester ("europæiske cybersikkerhedscertificeringsordninger"). Oprettelsen af europæiske cybersikkerhedscertificeringsordninger i overensstemmelse med rammen vil sørge for, at attester udstedt i henhold til sådanne ordninger er gyldige og anerkendes i alle medlemsstater og afhjælpe den aktuelle markedsopsplitning. Det overordnede mål med en europæisk cybersikkerhedscertificeringsordning er at attestere, at de IKT-produkter og -tjenester, der er certificeret i overensstemmelse med en sådan ordning, opfylder de nærmere fastsatte cybersikkerhedskrav. Det vil f.eks. omfatte deres evne til at beskytte data (hvad enten de lagres, overføres eller på anden måde behandles) mod hændelig eller uautoriseret lagring, behandling, adgang, offentliggørelse, ødelæggelse, utilsigtet tab eller ændring. EU-ordninger for cybersikkerhedscertificering vil gøre brug af de eksisterende standarder i relation til de tekniske krav og evalueringsprocedurerne, som produkterne skal overholde, og vil ikke selv udvikle tekniske standarder. F.eks. vil en EU-dækkende certificering for produkter såsom smartkort, der i øjeblikket testes i henhold til internationale CC-standarder under den multilaterale SOG-IS-ordning (som tidligere beskrevet) betyde, at denne ordning bliver gyldig i hele EU. Ud over at beskrive et specifikt sæt sikkerhedsmålsætninger, som skal tages i betragtning i forbindelse med udformningen af en europæisk ordning for cybersikkerhedscertificering, er det også anført i forslaget, hvad sådanne ordninger mindst bør omfatte. Ordningerne vil bl.a. skulle fastsætte en række specifikke elementer, der angiver omfanget og indholdet af cybersikkerhedscertificeringen. Det omfatter bl.a. udpegelse af de omfattede produkter og tjenester, nærmere specifikation af cybersikkerhedskravene (f.eks. med henvisning til relevante standarder eller tekniske specifikationer, de specifikke evalueringskriterier og metoder og det tillidsniveau, de påtænkes at garantere (dvs. grundlæggende, betydeligt eller højt). De europæiske cybersikkerhedscertificeringsordninger udarbejdes af ENISA med bistand af og i tæt samarbejde med den europæiske cybersikkerhedscertificeringsgruppe (se nedenfor) og vedtages af Kommissionen ved hjælp af gennemførelsesretsakter. Når der konstateres et behov for en cybersikkerhedscertificeringsordning, anmoder Kommissionen ENISA om at udarbejde en ordning for specifikke IKT-produkter eller -tjenester. ENISA's arbejde med ordningen foregår i tæt samarbejde med nationale certificeringsmyndigheder, som er repræsenteret i gruppen. Medlemsstaterne og gruppen kan foreslå Kommissionen, at den anmoder ENISA om at udarbejde en særlig ordning. Certificering kan være en meget dyr proces, som kan medføre højere priser for kunderne og forbrugerne. Behovet for en certificering kan også variere betydeligt alt efter den specifikke sammenhæng, i hvilken produkter og tjenester anvendes, og hvor hurtigt den teknologiske udvikling forløber. At få foretaget en europæisk cybersikkerhedscertificering bør derfor fortsat være frivilligt, medmindre andet er fastsat i EU-lovgivningen eller national lovgivning om sikkerhedskrav for IKT-produkter og -tjenester. For at sikre harmonisering og undgå fragmentering bør nationale cybersikkerhedscertificeringsordninger eller -procedurer for IKT-produkter og -tjenester, der er omfattet af en europæisk cybersikkerhedscertificeringsordning, dog ophøre med at have virkning fra det tidspunkt, der er fastsat i den gennemførelsesretsakt, hvorved ordningen vedtages. Medlemsstaterne bør desuden ikke indføre nye nationale cybersikkerhedscertificeringsordninger for IKT-produkter og -tjenester, der er omfattet af en bestående europæisk cybersikkerhedscertificeringsordning. Når en europæisk cybersikkerhedscertificeringsordning er vedtaget, kan producenterne af IKT-produkter og udbydere af IKT-tjenester indgive en ansøgning om certificering af deres produkter eller tjenester til et overensstemmelsesvurderingsorgan efter eget valg. Overensstemmelsesvurderingsorganer bør akkrediteres af et akkrediteringsorgan, hvis de opfylder visse nærmere fastsatte krav. Akkreditering udstedes for en periode på højst fem år og kan forlænges på samme betingelser, såfremt overensstemmelsesvurderingsorganet opfylder kravene. Akkrediteringsorganer tilbagekalder akkrediteringen af et overensstemmelsesvurderingsorgan, hvis betingelserne for akkrediteringen ikke eller ikke længere er opfyldt, eller hvis foranstaltninger truffet af et overensstemmelsesvurderingsorgan er i modstrid med denne forordning. I henhold til forslaget er det medlemsstaterne, der har ansvaret for overvågning, tilsyn og håndhævelse. Medlemsstaterne vil skulle sørge for, at der er en myndighed, som fører tilsyn med certificeringen. Denne myndighed vil få til opgave at føre tilsyn med overensstemmelsesvurderingsorganernes overholdelse af reglerne og med attester udstedt af overensstemmelsesvurderingsorganer, der er etableret på deres område, samt overholdelsen af kravene i denne forordning og de relevante europæiske cybersikkerhedscertificeringsordninger. De nationale certificeringstilsynsmyndigheder vil være kompetente til at behandle klager fra fysiske eller juridiske personer i forbindelse med attester udstedt af overensstemmelsesvurderingsorganer, der er etableret på deres område. De undersøger i det relevante omfang genstanden for klagen og underretter klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist. Herudover samarbejder de med andre certificeringstilsynsmyndigheder eller andre offentlige myndigheder, f.eks. ved at dele oplysninger om mulige tilfælde af IKT-produkters og tjenesters manglende overholdelse af denne forordnings bestemmelser eller de specifikke europæiske cybersikkerhedscertificeringsordninger. Endelig fastsætter forslaget oprettelsen af den europæiske cybersikkerhedscertificeringsgruppe ("gruppen"), som består af alle medlemsstaters nationale certificeringstilsynsmyndigheder. Gruppens vigtigste opgave er at rådgive Kommissionen om problemstillinger vedrørende cybersikkerhedscertificeringspolitik og at samarbejde med ENISA om udarbejdelsen af udkast til europæiske cybersikkerhedscertificeringsordninger. ENISA vil bistå Kommissionen med at varetage sekretariatsfunktionen for gruppen og føre et ajourført offentligt register over ordninger, som er godkendt i henhold til den europæiske ramme for cybersikkerhedscertificering. ENISA vil også forestå kontakten med standardiseringsorganer for at sikre, at passende standarder bruges i godkendte ordninger, og for at udpege områder, hvor der er behov for cybersikkerhedsstandarder. Den europæiske ramme for cybersikkerhedscertificering ("rammen") vil give en række fordele for borgere og virksomheder Det gælder navnlig følgende: ·Oprettelsen af EU-dækkende cybersikkerhedscertificeringsordninger for bestemte produkter eller tjenester vil give virksomhederne en "one-stop-shop" for cybersikkerhedscertificering i EU. Virksomhederne vil kunne få certificeret deres produkt én gang og få en attest, som er gyldig i alle medlemsstater. De vil ikke være forpligtet til at foretage en fornyet certificering af deres produkter hos forskellige nationale certificeringsorganer. Det vil sænke virksomhedernes omkostninger væsentligt og lette grænseoverskridende transaktioner og i sidste ende mindske opsplitningen af det indre marked for de pågældende produkter. ·Rammen fastsætter, at de europæiske cybersikkerhedscertificeringsordninger har forrang frem for nationale ordninger: Denne bestemmelse betyder, at vedtagelsen af en europæisk cybersikkerhedscertificeringsordning træder i stedet for alle eksisterende parallelle nationale ordninger for de samme IKT-produkter og tjenester på et givet tillidsniveau. Det vil give yderligere klarhed og begrænse den nuværende udbredelse af overlappende og potentielt modstridende nationale cybersikkerhedscertificeringsordninger. ·Forslaget supplerer og støtter gennemførelsen af NIS-direktivet ved at give de af direktivet omfattede virksomheder et meget nyttigt redskab til at påvise overensstemmelse med NIS-kravene i hele Unionen. Under udvikling af nye cybersikkerhedscertificeringsordninger vil Kommissionen og ENISA lægge særlig vægt på behovet for at sikre, at NIS-kravene afspejles i cybersikkerhedscertificeringsordningerne. ·Forslaget vil støtte og fremme udviklingen af en europæisk cybersikkerhedspolitik ved at harmonisere betingelserne og de materielle krav til cybersikkerhedscertificering af IKT-produkter og -tjenester i EU. De europæiske cybersikkerhedscertificeringsordninger vil henvise til fælles standarder eller evalueringskriterier og prøvningsmetoder. Det vil bidrage væsentligt (omend indirekte) til udbredelsen af fælles sikkerhedsløsninger i EU og dermed også til at fjerne hindringer på det indre marked. ·Rammen er udformet på en sådan måde, at den sikrer den nødvendige fleksibilitet for cybersikkerhedscertificeringsordninger. Afhængigt af de specifikke cybersikkerhedsbehov kan et produkt eller en tjeneste certificeres på et højere eller lavere sikkerhedsniveau. De europæisk cybersikkerhedscertificeringsordninger vil blive udformet med denne fleksibilitet i tankerne og vil derfor tilbyde forskellige tillidsniveauer (dvs. grundlæggende, betydeligt eller høj), så de kan anvendes til forskellige formål eller i forskellige sammenhænge. ·Alle elementer nævnt i det foregående vil gøre cybersikkerhedscertificering mere tiltrækkende for virksomhederne som et effektivt middel til at kommunikere cybersikkerhedstillidsniveauet for IKT-produkter og tjenester. I det omfang cybersikkerhedscertificering bliver billigere, mere effektivt og kommercielt tiltrækkende vil virksomhederne have større incitament til at certificere deres produkter mod cybersikkerhedsrisici og derved bidrage til udbredelsen af bedre cybersikkerhedspraksis inden for udformningen af IKT-produkter og -tjenester (cybersecurity by design).

•Sammenhæng med de gældende regler på samme område Ifølge NIS-direktivet skal aktører i sektorer, som er af afgørende betydning for vores økonomi og samfund såsom energi, transport, vand, bankvirksomhed, finansmarkedsinfrastrukturer, sundhed og digital infrastruktur samt udbydere af digitale tjenester (dvs. søgemaskiner, cloud computing-tjenester og onlinemarkedspladser), træffe foranstaltninger for på passende vis at håndtere sikkerhedsrisici. De nye regler i dette forslag supplerer og sikrer sammenhængen med bestemmelserne i NIS-direktivet med sigte på at udbygge EU's cybermodstandsdygtighed gennem øget kapacitet, samarbejde, risikostyring og bevidsthed om cybersikkerhed. Herudover tilvejebringer reglerne om cybersikkerhedscertificering et væsentligt redskab for virksomheder, der er omfattet af NIS-direktivet, idet de vil kunne certificere deres IKT-produkter og -tjenester mod cybersikkerhedsrisici på grundlag af cybersikkerhedscertificeringsordninger, der er gyldige og anerkendes i hele EU. De vil også supplere sikkerhedskravene nævnt i forordningen om elektronisk identifikation og tillidstjenester og direktivet om radioudstyr. •Sammenhæng med Unionens politik på andre områder Forordning (EU) 2016/679 ("den generelle forordning om databeskyttelse") fastsætter bestemmelser om indførelse af certificeringsordninger og databeskyttelsesmærkninger med sigte på at demonstrere, at dataansvarliges og databehandleres databehandlingsoperationer er i overensstemmelse med denne forordning. Nærværende forordning berører ikke certificeringen af databehandlingsoperationer, herunder hvis sådanne operationer er indeholdt i produkter og tjenester, som foretages i henhold til den generelle forordning om databeskyttelse. Den foreslåede forordning vil sikre overensstemmelse med forordning (EF) nr. 765/2008 om akkreditering og markedsovervågning ved at henvise til denne rammes regler om nationale akkrediteringsorganer og overensstemmelsesvurderingsorganer. For så vidt angår tilsynsmyndigheder, vil den foreslåede forordning pålægge medlemsstaterne at udpege nationale certificeringstilsynsmyndigheder, som er ansvarlige for tilsyn, overvågning og håndhævelse af reglerne. Disse organer vil forblive adskilt fra overensstemmelsesvurderingsorganer som foreskrevet i forordning (EF) nr. 765/2008. 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET •Retsgrundlag Retsgrundlaget for EU's tiltag er artikel 114 i traktaten om Den Europæiske Unions funktionsmåde (TEUF), som omhandler tilnærmelse af medlemsstaternes love for at nå målene i artikel 26 TEUF, dvs. et velfungerende indre marked. Retsgrundlaget for det indre marked om oprettelse af ENISA er blevet stadfæstet af Domstolen (i sag C-217/04 Det Forenede Kongerige mod Europa-Parlamentet og Rådet) og blev bekræftet ved forordningen fra 2013, som fastsatte Agenturets nuværende mandat. Herudover vil aktiviteter, som afspejler målene om øget samarbejde og koordinering mellem medlemsstaterne, og de aktiviteter, som tilfører EU-kapacitet til at supplere medlemsstaternes foranstaltninger, falde ind under kategorien "operationelt samarbejde". Dette er specifikt fastlagt i NIS-direktivet (for hvilket artikel 114 i TEUF er retsgrundlaget) som et mål, der bør nås i forbindelse med CSIRT-netværket, hvor "ENISA varetager sekretariatsopgaverne og støtter aktivt samarbejdet" (artikel 12, stk. 2). Navnlig artikel 12, stk. 3, litra f), beskriver nærmere udpegelsen af yderligere former for operationelt samarbejde som CSIRT-netværkets opgave, herunder for så vidt angår: i) kategorier af risici og hændelser, ii) tidlig varsling, iii) gensidig bistand og iv) principper og retningslinjer for koordination, når medlemsstaterne reagerer på grænseoverskridende risici og hændelser. ·Den nuværende fragmentering af certificeringsordningerne for IKT-produkter og tjenester er også en følge af manglen på en fælles juridisk bindende og effektiv ramme, som gælder for medlemsstaterne. Det hindrer oprettelsen af et indre marked for IKT-produkter og -tjenester og hæmmer den europæiske industris konkurrenceevne i denne sektor. Det foreliggende forslag har til formål at afhjælpe den nuværende opsplitning og de dermed forbundne hindringer for det indre marked ved at skabe en fælles ramme for indførelsen af cybersikkerhedscertificeringsordninger, som gælder for hele EU. Nærhedsprincippet (for områder, der ikke er omfattet af enekompetence) Nærhedsprincippet indebærer en vurdering af nødvendigheden og merværdien af en indsats på EU-plan. Overholdelse af nærhedsprincippet på dette område blev allerede anerkendt i forbindelse med vedtagelsen af ENISA-forordningen. Cybersikkerhed er et anliggende af fælles interesse i EU. Den gensidige afhængighed af net og informationssystemer er af en sådan art, at individuelle aktører (offentlige og private, herunder borgere) meget ofte ikke kan imødegå truslerne, styre risiciene og modvirke effekten af cyberhændelser på egen hånd. På den ene side gør den gensidige afhængighed mellem medlemsstaterne, herunder når det gælder driften af kritisk infrastruktur (energi, transport og vand for blot at nævne nogle få), at offentlig indgriben på EU-niveau ikke blot er gavnligt, men også påkrævet. På den anden side kan EU's intervention give en positiv "afsmittende" virkning, når der udveksles bedste praksis mellem medlemsstaterne, hvilket kan føre til en forbedret cybersikkerhed i EU. Sammenfattende kan det siges, at en forøgelse af Unionens kollektive cybermodstandsdygtighed i den nuværende situation og med sigte på de fremtidige scenarier ikke vil kunne nås gennem individuelle tiltag fra EU's medlemsstater og en fragmenteret tilgang til cybersikkerhed. Det anses også for nødvendigt med en indsats på EU-plan for at afhjælpe fragmenteringen af de nuværende cybersikkerhedscertificeringsordninger. Det vil give producenterne mulighed for at drage fuld nytte af det indre marked og betydelige besparelser med hensyn til prøvnings- og nydesignomkostninger. Selv om den nuværende Gruppe af Højtstående Embedsmænd vedrørende Informationssystemers Sikkerheds (SOG-IS) aftale om gensidig anerkendelse (MRA) har givet vigtige resultater i denne henseende, har den også vist, at der er væsentlige begrænsninger, som gør den uegnet til at tilvejebringe langsigtede bæredygtige løsninger, der kan udnytte det indre markeds potentiale fuldt ud. Merværdien af en indsats på EU-plan, herunder navnlig for at styrke samarbejdet mellem medlemsstaterne, men også mellem net- og informationssikkerhedsfællesskaberne, blev anerkendt i Rådets konklusioner fra 2016 og fremgår også klart af evalueringen af ENISA.

•Proportionalitet De foreslåede foranstaltninger går ikke ud over, hvad der er nødvendigt for at nå de politiske mål. Derudover er omfanget af EU's indgriben ikke til hinder for yderligere nationale tiltag i forbindelse med nationale sikkerhedsanliggender. En EU-indsats er således berettiget på grundlag af nærhedsprincippet og proportionalitetsprincippet. •Valg af retsakt Det foreliggende forslag reviderer forordning (EU) nr. 526/2013, som fastsætter det nuværende mandat og opgaver for ENISA. Med tanke på ENISA's vigtige rolle ved indførelsen og forvaltningen af en europæisk ramme for cybersikkerhedscertificering bør det nye mandat og de nævnte rammebestemmelser fastlægges i et enkelt retligt instrument, nemlig en forordning. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER Efterfølgende evalueringer/kvalitetskontrol af gældende lovgivning Kommissionen vurderede i overensstemmelse med evalueringskøreplanen relevans, virkning, effektivitet, omkostningseffektivitet, sammenhæng og EU-merværdi af Agenturet med hensyn til dets præstationer, styring, intern organisatorisk struktur og arbejdsmetoder i perioden 2013-2016. De vigtigste resultater kan opsummeres som følger (yderligere oplysninger findes i arbejdsdokumentet fra Kommissionens tjenestegrene, som ledsager konsekvensanalysen). ·Relevans: I en kontekst med hurtig teknologiske udvikling og skiftende trusler og i betragtning af det betydelige behov for øget cybersikkerhed i EU har ENISA's mål vist sig at være relevante. Medlemsstaterne og EU's organer baserer sig faktisk på Agenturets betydelige ekspertise inden for cybersikkerhed. Der må desuden opbygges kapacitet i medlemsstaterne til bedre at forstå og imødegå trusler, og interessenterne må samarbejde på tværs af temaområder og institutioner. Cybersikkerhed er fortsat en central politisk prioritet for EU, hvor ENISA forventes at reagere, men ENISA's udformning som et EU-agentur med en tidsbegrænset mandatperiode: i) giver ikke mulighed for langsigtet planlægning og bæredygtig støtte til medlemsstaterne og EU-institutionerne, ii) kan føre til et juridisk tomrum, idet bestemmelserne i NIS-direktivet, som overdrager opgaver til ENISA, har en permanent karakter, iii) hænger ikke sammen med en vision, hvor ENISA indgår i et udvidet EU-cybersikkerhedsøkosystem. ·Effektivitet: ENISA har samlet set nået sine mål og løst sine opgaver. Det bidrog til at øge net- og informationssikkerheden i Europa via sine vigtigste aktiviteter (kapacitetsopbygning, tilrådighedsstillelse af ekspertise, fællesskabsopbygning og støtte til politikker). Der var dog potentiale for forbedringer i forhold til alle aktiviteter. Evalueringen konkluderede, at ENISA effektivt har skabt stærke og tillidsfulde forhold til nogle af interessenterne, herunder navnlig medlemsstaterne og CSIRT'erne. Indgreb inden for kapacitetsopbygning blev opfattet som effektive, navnlig i medlemsstater med få ressourcer. Stimulering af bredt samarbejde har været et af højdepunkterne, og interessenterne er enige om den positive rolle, som ENISA spiller for at bringe aktørerne sammen. ENISA havde dog svært ved at have en stor virkning på det store net- og informationssikkerhedsområde. Det skyldtes også, at der var forholdsvis begrænsede menneskelige og finansielle ressourcer til at dække et meget bredt mandat. Evalueringen konkluderede også, at ENISA delvist opfyldte målet om at yde ekspertise, hvilket hang sammen med problemer med at rekruttere eksperter (se også afsnittet om omkostningseffektivitet). ·Omkostningseffektivitet: Til trods for sit lille budget – blandt de laveste sammenlignet med andre EU-agenturer – formåede Agenturet at bidrage til specifikke målsætninger, og udnyttede generelt sine ressourcer på en omkostningseffektiv måde. Evalueringen konkluderede, at processerne generelt var effektive, og der var en klar afgrænsning af ansvar i organisationen, som førte til en god gennemførelse af arbejdet. En af de største udfordringer for Agenturets omkostningseffektivitet vedrører ENISA's vanskeligheder med at rekruttere og fastholde højt kvalificerede eksperter. Resultaterne viser, at dette kan forklares med en kombination af faktorer, herunder de generelle vanskeligheder i hele den offentlige sektor med at konkurrere med den private sektor, når det forsøges at ansætte højt specialiserede eksperter, den type kontrakter (tidsbegrænset), som Agenturet oftest kunne tilbyde, og ENISA's placering, som ikke anses for så attraktiv, f.eks. i forbindelse med ægtefællers mulighed for at finde arbejde. En placering fordelt mellem Athen og Heraklion medførte en ekstra koordineringsindsats og ekstra omkostninger, men flytningen til Athen i 2013 af den centrale operationelle afdeling øgede Agenturets operationelle omkostningseffektivitet. ·Sammenhæng: ENISA's aktiviteter har generelt været i overensstemmelse med interessenternes politikker og aktiviteter på nationalt plan og på EU-plan, men der er behov for en mere koordineret tilgang til cybersikkerhed på EU-plan. Potentialet for samarbejde mellem ENISA og andre EU-organer er ikke blevet udnyttet fuldt ud. Udviklingen i EU's juridiske og politiske landskab gør, at det aktuelle mandat nu er mindre sammenhængende. ·Merværdi for EU: ENISA's merværdi ligger primært i Agenturets evne til at forbedre samarbejdet, hovedsageligt mellem medlemsstaterne, men også med beslægtede net- og informationssikkerhedsfælleskaber. Der findes ingen anden aktør på EU-plan, der støtter samarbejdet mellem det samme udsnit af interessenter på net- og informationssikkerhedsområdet. Agenturets merværdi var forskelligt, alt efter dets interessenters forskellige behov og ressourcer (f.eks. store i forhold til små medlemsstater, medlemsstater i forhold til erhvervslivet) og Agenturets behov for at prioritere sine aktiviteter i overensstemmelse med arbejdsprogrammet. Evalueringen konkluderede, at en mulig lukning af ENISA ville være en tabt mulighed for alle medlemsstater. Det ville ikke være muligt at sikre samme grad af fælleskabsopbygning og samarbejde på tværs af medlemsstaterne inden for cybersikkerhed. Uden et mere centraliseret EU-agentur ville der ske en større opsplitning, hvor bilateralt eller regionalt samarbejde opstår for at fylde det tomrum, som ENISA efterlader. For så vidt angår ENISA's tidligere resultater og fremtiden, er de vigtigste tendenser fra høringen i 2017 følgende: ·ENISA's samlede resultater i perioden 2013 til 2016 blev positivt bedømt af et flertal af de adspurgte (74 %). Et flertal af respondenterne mente endvidere, at ENISA når sine forskellige mål (mindst 63 % for hvert enkelt mål). ENISA's tjenester og produkter bruges regelmæssigt (en gang om måneden eller hyppigere) af næsten halvdelen af respondenterne (46 %), og de værdsættes for den omstændighed, at de stammer fra et EU-organ (83 %) og for deres kvalitet (62 %). ·Respondenterne pegede på en række lakuner og udfordringer for fremtidens cybersikkerhed i EU, hvoraf de vigtigste 5 (på en liste over 16) var: samarbejde på tværs af medlemsstaterne, kapacitet til at forebygge, opdage og finde løsninger på væsentlige cyberangreb, samarbejdet mellem medlemsstaterne i spørgsmål om cybersikkerhed, samarbejde og informationsudveksling mellem forskellige interessenter, herunder offentlig-private partnerskaber, beskyttelse af kritisk infrastruktur mod cyberangreb. ·Et stort flertal (88 %) af respondenterne mente, at de aktuelle instrumenter og mekanismer, der er til rådighed på EU-plan hertil, er utilstrækkelige eller kun delvis fyldestgørende. Et stort flertal af respondenterne (98 %) mente, at der var behov for et EU-organ til at tackle udfordringerne, og 99 % af respondenterne anså ENISA for at være den rette organisation hertil. Høring af interesserede parter ·Kommissionen afholdt en offentlig høring om revisionen af ENISA mellem den 12. april og den 5. juli 2016 og modtog 421 svar. Ifølge resultaterne udtrykte 67,5 % af respondenterne den mening, at ENISA kan spille en rolle ved fastlæggelse af en harmoniseret ramme for sikkerhedscertificering af IT-produkter og -tjenester.

Resultaterne fra høringen i 2016 om cybersikkerhed cPPP om afsnittet om certificering viser: ·50,4 % (dvs. 121 ud af 240) af de adspurgte vidste ikke, om nationale certificeringsordninger gensidigt anerkendes på tværs af EU-medlemsstaterne. 25,8 % (62 ud af 240) svarede "nej", medens 23,8 % (57 ud af 240) svarede "ja". ·37,9 % af de adspurgte (91 ud af 240) mente, at de bestående certificeringsordninger ikke dækker det europæiske erhvervslivs behov. På den anden side gav 17,5 % (42 ud af 240) – hovedsageligt verdensomspændende virksomheder, som er aktive på EU-markedet – udtryk for den modsatte opfattelse. ·49,6 % (119 ud af 240) af de adspurgte anførte, at det ikke er let at påvise ækvivalensen mellem standarder, certificeringsordninger og mærkning. 37,9 % (91 ud af 240) svarede "ved ikke", medens 12,5 % (30 ud af 240) svarede "ja". Ekspertbistand Kommissionen har benyttet sig af følgende eksterne ekspertbistand: ·Study on the Evaluation of ENISA (Rambøll/Carsa 2017, SMART no. 2016/0077) ·Study on ICT Security Certification and Labelling – Evidence gathering and impact assessment (PriceWaterhouseCoopers 2017, SMART no. 2016/0029). Konsekvensanalyse ·Konsekvensanalysen om dette initiativ konstaterede følgende væsentlige problemer, der skal løses: ·opsplitning af politikker og strategier for cybersikkerhed på tværs af medlemsstaterne ·spredte ressourcer og fragmentering af tilgange til cybersikkerhed på tværs af EU's institutioner, agenturer og organer og ·utilstrækkeligt kendskabs- og oplysningsniveau hos borgerne, i sammenhæng med den stigende forekomst af flere nationale og sektorielle certificeringsordninger. I analysen vurderedes følgende mulige løsninger med hensyn til ENISA's mandat: ·opretholdelse af status quo, dvs. et udvidet, men stadig tidsbegrænset mandat (referencescenariet) ·udløb af ENISA's aktuelle mandat uden fornyelse og opløsning af ENISA (ingen politiske tiltag) ·et "reformeret" ENISA og ·et EU-agentur for cybersikkerhed med fuld operationel kapacitet.

I analysen vurderedes følgende mulige løsninger med hensyn til cybersikkerhedscertificering: ·ingen politiske tiltag (referencescenariet) ·ikkelovgivningsmæssige foranstaltninger ("blød lovgivning") ·en EU-retsakt med henblik på at oprette et obligatorisk system for alle medlemsstaterne baseret på SOG-IS-systemet og ·en generel EU-ramme for cybersikkerhedscertificering. I analysen konkluderes det, at et "reformeret" ENISA i kombination med en generel EU-ramme for cybersikkerhedscertificering er den foretrukne løsning. Den foretrukne løsningsmodel er vurderet som den mest effektive for EU til at nå de identificerede mål: øget cybersikkerhedskapacitet, beredskab, samarbejde, oplysning, gennemsigtighed og undgåelse af en opsplitning af markedet. Denne løsningsmodel er også vurderet til at være den, der hænger bedst sammen med de politiske prioriteter i EU's strategi for cybersikkerhed og de tilknyttede politikker (f.eks. NIS-direktivet) samt den digitale strategi for det indre marked. Herudover fremgik det af høringsprocessen, at den foretrukne løsning støttes af størstedelen af interessenterne. Konsekvensanalysen viste også, at den foretrukne løsning ville nå målene gennem en fornuftig brug af ressourcer. Kommissionens Udvalg for Forskriftskontrol afgav oprindeligt en negativ udtalelse den 24. juli og derefter en positiv udtalelse den 25. august 2017 efter fornyet forelæggelse. Den ændrede konsekvensanalyse indeholder yderligere støttedokumentation, de endelige konklusioner af evalueringen af ENISA og yderligere forklaringer på de forskellige politiske løsningsmodeller og deres konsekvenser. Bilag I til den endelige rapport om konsekvensanalysen summerer, hvordan bestyrelsens bemærkninger i den anden udtalelse er blevet behandlet. Rapporten blev navnlig ajourført for at beskrive cybersikkerhedskonteksten i EU nærmere, herunder de foranstaltninger, der er indeholdt i den fælles meddelelse "Resilience, Deterrence and Defence: Building strong cybersecurity for the EU", (JOIN(2017) 450), og hvad der er særlig relevant for ENISA: EU's plan for cybersikkerhedssamarbejde og det europæiske ekspertisecenter for cybersikkerhedsforskning, som Agenturet vil sammenkæde sin rådgivning om EU's forskningsbehov med. Rapporten forklarer, hvordan reformen af Agenturet, herunder de nye opgaver, bedre ansættelsesvilkår og strukturelt samarbejde med EU-organer på området, vil forbedre dets tiltrækningskraft som arbejdsgiver og bidrage med at løse problemerne i forbindelse med rekruttering af eksperter. Bilag 6 til rapporten indeholder også et revideret overslag over udgifterne, der er forbundet med de politiske løsningsmodeller for ENISA. Hvad angår certificering, er rapporten ændret for at give en mere detaljeret forklaring, herunder en grafisk præsentation af den foretrukne løsningsmodel, og for at give omkostningsoverslag for medlemsstaterne og Kommissionen vedrørende den nye certificeringsramme. Begrundelsen for valget af ENISA som den centrale aktør i rammen er yderligere forklaret med udgangspunkt i Agenturets ekspertise på området og den omstændighed, at det er det eneste Agentur på EU-plan for cybersikkerhed. Endelig er afsnittene om certificering blevet gennemgået for at afklare visse aspekter vedrørende forskellen mellem det nuværende SOG-IS-system, fordelene ved de forskellige politiske løsningsmodeller og for at forklare den omstændighed, at typen af IKT-produkter og -tjenester omfattet af en europæisk certificeringsordning vil blive fastlagt i selve den godkendte ordning. Målrettet regulering og forenkling Ikke relevant Indvirkning på de grundlæggende rettigheder Cybersikkerhed spiller en afgørende rolle i forbindelse med beskyttelse af privatlivets fred og personoplysninger i overensstemmelse med artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder. Cyberhændelser er en klar trussel mod privatlivets fred og beskyttelse af vores personoplysninger. Cybersikkerhed er således en nødvendig forudsætning for overholdelse af privatlivets fred og fortroligheden af vores personoplysninger. Set i dette perspektiv udgør forslaget ved at styrke cybersikkerheden i EU et vigtigt supplement til den eksisterende lovgivning om beskyttelse af den grundlæggende ret til beskyttelse af privatlivets fred og personoplysninger. Cybersikkerhed er også afgørende for at beskytte fortroligheden af elektronisk kommunikation og dermed for udøvelsen af ytringsfriheden og adgangen til oplysninger samt andre beslægtede rettigheder såsom retten til tanke-, samvittigheds- og religionsfrihed. 4.VIRKNINGER FOR BUDGETTET Se finansieringsoversigten 5.ANDRE FORHOLD •Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Kommissionen vil overvåge anvendelsen af forordningen og forelægge en rapport om evalueringen for Europa-Parlamentet og Rådet og Det Europæiske Økonomiske og Sociale Udvalg hvert femte år. I disse rapporter, der vil blive offentliggjort, vil der blive gjort rede for, hvordan forordningen anvendes og håndhæves i praksis.

•Nærmere redegørelse for de enkelte bestemmelser i forslaget Forordningens afsnit I indeholder de generelle bestemmelser: genstand (artikel 1), definitioner (artikel 2), herunder henvisninger til relevante definitioner fra andre EU-retsakter såsom Europa-Parlamentets og Rådets direktiv 2016/1148 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (NIS-direktivet), Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 om kravene til akkreditering og markedsovervågning i forbindelse med markedsføring af produkter og om ophævelse af Rådets forordning (EØF) nr. 339/93 og Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 om standardisering. Forordningens afsnit II indeholder de centrale bestemmelser vedrørende ENISA, EU's Agentur for Cybersikkerhed. I kapitel I i dette afsnit skitseres Agenturets mandat (artikel 3), mål (artikel 4) og opgaver (artikel 5-11). I kapitel II beskrives opbygningen af ENISA og de centrale bestemmelser vedrørende Agenturets struktur (artikel 12). Her er anført sammensætningen, afstemningsregler og funktioner for bestyrelsen (afdeling 1, artikel 13-17), forretningsudvalget (afdeling 2, artikel 18) og den administrerende direktør (afdeling 3, artikel 19). Det omfatter også bestemmelser om sammensætning og funktion af den Stående Gruppe af Interessenter (afdeling 4, artikel 20). Sidst men ikke mindst fastsættes i afdeling 5 i dette kapitel de nærmere operationelle bestemmelser for Agenturet, herunder i forbindelse med programmeringen af dets aktiviteter, interessekonflikter, gennemsigtighed, fortrolighed og adgang til dokumenter (artikel 21-25). Kapitel III vedrører opstilling af og strukturen for Agenturets budget (artikel 26 og 27) samt regler for dets gennemførelse (artikel 28 og 29). Det omfatter også bestemmelser for at lette bekæmpelsen af svig, korruption og andre ulovlige handlinger (artikel 30). Kapitel IV vedrører Agenturets personale. Det omfatter generelle bestemmelser om vedtægten og ansættelsesvilkårene og reglerne for privilegier og immuniteter (artikel 31 og 32). Det fastsætter også de nærmere regler for ansættelse og udnævnelse af Agenturets administrerende direktør (artikel 33). Sidst men ikke mindst omfatter det bestemmelser vedrørende brugen af udsendte nationale eksperter eller andre medarbejdere, som ikke er ansat af Agenturet (artikel 34). Endelig indeholder kapitel V de generelle bestemmelser for Agenturet. Det beskriver Agenturets retlige status (artikel 35) og indeholder bestemmelser om ansvar, sprogordning, beskyttelse af personoplysninger (artikel 36-38) samt sikkerhedsreglerne for beskyttelse af klassificerede og følsomme ikkeklassificerede oplysninger (artikel 40). Det beskriver reglerne for Agenturets samarbejde med tredjelande og internationale organisationer (artikel 39). Sidst men ikke mindst omfatter det også bestemmelser om Agenturets hjemsted og driftsbetingelser samt administrativ kontrol udøvet af Ombudsmanden (artikel 41 og 42). I forordningens afsnit III fastlægges den europæiske ramme for cybersikkerhedscertificering ("rammen") for IKT-produkter og -tjenester som lex generalis (artikel 1). Heri defineres det generelle formål med de europæiske cybersikkerhedscertificeringsordninger, nemlig at sikre, at IKT-produkter og -tjenester er i overensstemmelse med de fastlagte cybersikkerhedskrav for så vidt angår deres evne til, på et givet tillidsniveau, at modstå handlinger, der er til skade for tilgængeligheden, autenticiteten, integriteten eller fortroligheden i forbindelse med lagrede eller overførte eller behandlede data eller de dermed forbundne funktioner eller tjenester (artikel 43). Derudover anføres de sikkerhedsmål, som europæiske cybersikkerhedscertificeringsordninger skal søge at nå (artikel 45), bl.a. evnen til at beskytte data mod utilsigtet eller uautoriseret adgang eller videregivelse, ødelæggelse eller ændring, samt indholdet (dvs. elementerne) i de europæiske cybersikkerhedscertificeringsordninger, f.eks. den detaljerede beskrivelse af deres omfang, sikkerhedsmål, evalueringskriterier osv. (artikel 47). I afsnit III fastsættes også de væsentligste retlige virkninger af de europæiske cybersikkerhedscertificeringsordninger, nemlig i) forpligtelsen til at gennemføre ordningen på nationalt plan og den frivillige karakter af certificering og ii) at de europæiske cybersikkerhedscertificeringsordninger gør nationale ordninger for de samme produkter eller tjenester ugyldige (artikel 48 og 49). I dette afsnit fastsættes endvidere proceduren for vedtagelsen af europæiske cybersikkerhedscertificeringsordninger og Kommissionens, ENISA's og den europæiske cybersikkerhedscertificeringsgruppes ("gruppen") rolle (artikel 44). Endelig fastsættes i dette afsnit bestemmelser om overensstemmelsesvurderingsorganer, deres krav, beføjelser og opgaver, nationale tilsynsmyndigheder samt sanktioner. Gruppen oprettes også i dette afsnit som et essentielt organ bestående af repræsentanter for nationale certificeringstilsynsmyndigheder, hvis vigtigste funktion er at samarbejde med ENISA ved udarbejdelsen af europæiske cybersikkerhedscertificeringsordninger og at rådgive Kommissionen om generelle eller specifikke problemstillinger vedrørende cybersikkerhedscertificeringspolitik. Forordningens afsnit IV indeholder de afsluttende bestemmelser om udøvelsen af delegationen, evalueringskrav, ophævelse og afløsning samt ikrafttrædelse.



2017/0225 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om ENISA, "EU's Agentur for Cybersikkerhed", om ophævelse af forordning (EU) nr. 526/2013 og om cybersikkerhedscertificering af informations- og kommunikationsteknologi ("forordningen om cybersikkerhed") (EØS-relevant tekst) EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, under henvisning til udtalelse fra Regionsudvalget, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)Net- og informationssystemer og telekommunikationsnet og -tjenester spiller en afgørende rolle i samfundet og har udviklet sig til rygraden i den økonomiske vækst. Informations- og kommunikationsteknologier er grundlaget for de komplekse systemer, som understøtter samfundets aktiviteter, og sørger for, at vore økonomier fungerer inden for vigtige sektorer såsom sundhed, energi, finans og transport, og understøtter navnlig det indre markeds funktion. (2)Borgerne, erhvervslivet og myndighederne i EU benytter i stort omfang net- og informationssystemer. Digitalisering og forbindelsesmuligheder er centrale elementer i et stadigt stigende antal produkter og tjenester og med fremkomsten af tingenes Internet (IoT) forventes millioner eller endog milliarder styk forbundet digitalt udstyr at blive udbredt i hele EU i løbet af det næste årti. Stadigt mere udstyr er forbundet til Internettet, men der tages ikke tilstrækkeligt hensyn til sikkerhed og modstandsdygtighed i udformningen, hvilket medfører utilstrækkelig cybersikkerhed. I denne forbindelse fører den begrænsede anvendelse af certificering til, at organisationer og individuelle brugere får utilstrækkelige oplysninger om IKT-produkters og -tjenesters cybersikkerhedsfunktioner, hvilket undergraver tilliden til digitale løsninger. (3)Øget digitalisering og konnektivitet medfører øgede cybersikkerhedsrisici, hvilket gør samfundet som helhed mere sårbart over for cybertrusler og forværrer farerne for den enkelte, herunder også sårbare individer såsom børn. For at afbøde denne risiko for samfundet bør der træffes alle nødvendige foranstaltninger for at forbedre cybersikkerheden i EU, således at net- og informationssystemer, telekommunikationsnet, digitale produkter, tjenester og udstyr, der anvendes af borgerne, myndighederne og erhvervslivet – fra SMV'er til operatører af kritisk infrastruktur – er bedre beskyttet mod cybertrusler. (4)Mængden af cyberangreb er stigende og netforbundne økonomier og samfund, som er mere sårbare over for cybertrusler og -angreb, kræver stærkere forsvarsværker. Det er dog sådan, at cyberangreb ofte er grænseoverskridende, medens den politiske respons fra cybersikkerhedsmyndigheder og retshåndhævelsesbeføjelser hovedsageligt er et nationalt anliggende. Væsentlige cyberhændelser kunne afbryde leveringen af essentielle tjenester i hele EU. Dette kræver en effektiv indsats og krisestyring på EU-plan, der bygger på målrettede politikker og vidtrækkende instrumenter for europæisk solidaritet og gensidig bistand. Det er derfor vigtigt for politikerne, erhvervslivet og brugerne, at der jævnligt foretages en vurdering af cybersikkerhedssituationen og modstandsdygtigheden i Unionen på grundlag af pålidelige EU-data samt systematiske prognoser for fremtidige udviklinger, udfordringer og trusler, både på EU-plan og globalt plan. (5)I lyset af de tiltagende cybersikkerhedsudfordringer, som Unionen står over for, er der behov for et sammenhængende sæt foranstaltninger, som tager udgangspunkt i tidligere EU-tiltag og fremmer gensidigt forstærkende mål. Det omfatter behovet for yderligere at øge medlemsstaternes og virksomhedernes kapaciteter og beredskab samt at forbedre samarbejde og samordning mellem medlemsstaterne og EU's institutioner, agenturer og organer. På baggrund af cybertruslers grænseoverskridende karakter er der desuden behov for at øge kapaciteten på EU-plan, som kan supplere medlemsstaternes indsats, herunder navnlig i tilfælde af væsentlige grænseoverskridende cyberhændelser og -kriser. Der er også behov for yderligere bestræbelser på at øge borgernes og virksomhedernes kendskab til cybersikkerhed. Herudover bør tilliden til det digitale indre marked forbedres yderligere ved at give gennemsigtige oplysninger om sikkerhedsniveauet af IKT-produkter og -tjenester. Det kan fremmes ved EU-certificering, der anvender fælles cybersikkerhedskrav og evalueringskriterier på tværs af nationale markeder og sektorer. (6)I 2004 vedtog Europa-Parlamentet og Rådet forordning (EF) nr. 460/2004 om oprettelse af ENISA med det formål at bidrage til målet om at sikre et højt net- og informationssikkerhedsniveau i Unionen og udvikle en net- og informationssikkerhedskultur til gavn for borgerne, forbrugerne, virksomhederne og de offentlige forvaltninger. I 2008 vedtog Europa-Parlamentet og Rådet forordning (EF) nr. 1007/2008 om forlængelse af Agenturets mandat frem til marts 2012. Ved forordning (EU) nr. 580/2011 forlængedes Agenturets mandat frem til den 13. september 2013. I 2013 vedtog Europa-Parlamentet og Rådet forordning (EU) nr. 526/2013 om ENISA og om ophævelse af forordning (EF) nr. 460/2004, som forlængede Agenturets mandat frem til juni 2020. (7)Unionen har gjort en stor indsats for at sikre cybersikkerheden og øge tilliden til de digitale teknologier. I 2013 blev EU's strategi for cybersikkerhed vedtaget for at vejlede Unionens politiske reaktion på cybersikkerhedstrusler og -risici. Som led i indsatsen for at beskytte EU's borgere bedre online vedtog Unionen i 2016 den første retsakt inden for cybersikkerhed, nemlig direktiv (EU) 2016/1148 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (NIS-direktivet). Ved NIS-direktivet blev der indført krav om nationale kapaciteter på cybersikkerhedsområdet, de første mekanismer til bedre strategisk og operationelt samarbejde mellem medlemsstaterne blev indført, og der blev indført forpligtelser vedrørende sikkerhedsforanstaltninger og anmeldelse af hændelser i sektorer af afgørende betydning for økonomien og samfundet såsom energi, transport, vand, bankvirksomhed, finansmarkedsinfrastrukturer, sundhed og digital infrastruktur samt for udbydere af digitale tjenester (dvs. søgemaskiner, cloud computing-tjenester og onlinemarkedspladser). ENISA fik tildelt en central rolle som støtte for gennemførelsen af dette direktiv. Hertil kommer, at den effektive bekæmpelse af cyberkriminalitet er en vigtig prioritet på den europæiske dagsorden om sikkerhed og bidrager til det overordnede mål om at nå et højere niveau af cybersikkerhed. (8)Det anerkendes, at den overordnede politiske kontekst siden vedtagelsen af EU's strategi for cybersikkerhed i 2013 og den seneste revision af Agenturets mandat har ændret sig væsentligt, også i forbindelse med et mere usikkert og mindre sikkert globalt miljø. I denne sammenhæng og inden for rammerne af EU's nye cybersikkerhedspolitik er det nødvendigt at gennemgå ENISA's mandat for at fastlægge Agenturets rolle i det forandrede cybersikkerhedsøkosystem og for at sikre, at det bidrager effektivt til Unionens reaktioner på de cybersikkerhedsudfordringer, der opstår som følge af dette radikalt ændrede trusselsbillede, hvilket Agenturets aktuelle mandat ikke er tilstrækkeligt til, som det også blev anerkendt i evalueringen af Agenturet. (9)Agenturet, som oprettet ved nærværende forordning, bør afløse ENISA som oprettet ved forordning (EU) nr. 526/2013. Agenturet bør udføre de opgaver, det pålægges i kraft af nærværende forordning og EU-retsakter inden for cybersikkerhedsområdet, bl.a. ved at levere ekspertise og rådgivning og fungere som et center for information og viden i EU. Det bør fremme udveksling af bedste praksis mellem medlemsstaterne og private interessenter, forelægge politiske initiativer for EU-Kommissionen og medlemsstaterne, agere som et referencepunkt for EU's sektorielle politiske initiativer med hensyn til cybersikkerhed, fremme det operationelle samarbejde mellem medlemsstaterne og mellem medlemsstaterne og EU's institutioner, agenturer og organer. (10)Inden for rammerne af afgørelse 2004/97/EF, Euratom, vedtaget på Det Europæiske Råds møde den 13. december 2003, besluttede repræsentanterne for medlemsstaterne, at ENISA skulle have sit sæde i en by i Grækenland, som skulle fastlægges nærmere af den græske regering. Agenturets værtsmedlemsstat bør sikre de bedst mulige betingelser for, at Agenturet kan fungere problemfrit og effektivt. For at Agenturet korrekt og effektivt kan udføre sine opgaver og rekruttere og fastholde personale samt øge effektiviteten af netværksaktiviteter, er det afgørende, at Agenturet er placeret på et passende sted, hvor der bl.a. er passende transportforbindelser og faciliteter for ægtefæller og børn, som følger med Agenturets personale. De nødvendige foranstaltninger bør fastlægges i en aftale, som efter godkendelse af Agenturets bestyrelse indgås mellem Agenturet og værtsmedlemsstaten. (11)I betragtning af de tiltagende udfordringer på cybersikkerhedsområdet, som Unionen står over for, bør de finansielle og menneskelige ressourcer, der er tildelt Agenturet, forøges i overensstemmelse med dets udvidede rolle og opgaver og dets afgørende stilling, når det gælder forsvaret af det europæiske digitale økosystem. (12)Agenturet bør udvikle og fastholde et højt ekspertiseniveau og fungere som et referencepunkt og skabe tillid til det indre marked i kraft af sin uafhængighed, kvaliteten af den rådgivning, det yder, og af de informationer, det videregiver, samt i kraft af den åbenhed, der er forbundet med dets procedurer og drift, og dets omhu ved udførelsen af sine opgaver. Agenturet bør proaktivt bidrage til medlemsstaternes og Unionens indsats og udføre sine opgaver i fuldt samarbejde med Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne. Herudover bør Agenturet bygge på bidrag fra og samarbejde med den private sektor og andre relevante interessenter. Som grundlag for, hvordan Agenturet skal nå sine mål, bør der fastlægges et sæt opgaver, der samtidig giver Agenturet fleksibilitet i dets aktiviteter. (13)Agenturet bør bistå Kommissionen ved at levere rådgivning, udtalelser og analyser om alle EU-spørgsmål vedrørende udvikling af politik og lovgivning samt ajourføring og revision på cybersikkerhedsområdet, herunder beskyttelse af kritisk informationsinfrastruktur og cybermodstandsdygtighed. Agenturet bør fungere som et referencepunkt for rådgivning og ekspertise for de sektorspecifikke politikker og lovgivningsinitiativer i tilfælde, hvor cybersikkerhed er involveret.

(14)Agenturets grundlæggende opgave er at fremme en konsekvent gennemførelse af den relevante retlige ramme, herunder navnlig en effektiv gennemførelse af NIS-direktivet, som er afgørende for at øge cybermodstandsdygtigheden. På baggrund af det hurtigt skiftende cybersikkerhedstrusselsbillede står det klart, at medlemsstaterne må støttes med en mere overgribende tværpolitisk tilgang til opbygningen af cybermodstandsdygtighed. (15)Agenturet bør bistå medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer med at opbygge og forbedre deres kapacitet og beredskab med sigte på at forebygge, opdage og imødegå cybersikkerhedsproblemer og -hændelser og i forbindelse med sikkerheden af net- og informationssystemer. Agenturet bør især støtte udvikling og forbedring af nationale CSIRT'er for at nå et højt fælles niveau af deres modenhed i Unionen. Agenturet bør også bistå med udviklingen og ajourføringen af Unionens og medlemsstaternes strategier for net- og informationssystemers sikkerhed, herunder navnlig cybersikkerhed, fremme deres udbredelse og følge op på deres gennemførelse. Agenturet bør også tilbyde uddannelse og uddannelsesmateriale til offentlige organer og i givet fald "uddanne underviserne" med sigte på at bistå medlemsstaterne med at udvikle deres egne uddannelseskapaciteter. (16) Agenturet bør bistå den samarbejdsgruppe, der nedsættes ved NIS-direktivet, med udførelsen af dens opgaver, navnlig ved at levere ekspertise og rådgivning og fremme udvekslingen af bedste praksis vedrørende risici og hændelser, især med hensyn til medlemsstaternes identificering af operatører af væsentlige tjenester, herunder i forbindelse med grænseoverskridende afhængighed. (17)Med sigte på at stimulere samarbejdet mellem den offentlige og den private sektor samt inden for den private sektor, navnlig for at støtte beskyttelsen af kritisk infrastruktur bør Agenturet fremme etableringen af centre for informationsudveksling og analyse (ISAC'er) ved at stille bedste praksis og vejledning om tilgængelige værktøjer og procedurer til rådighed samt ved at vejlede om håndtering af lovgivningsmæssige spørgsmål relateret til informationsudveksling. (18)Agenturet bør samle og analysere de nationale rapporter fra CSIRT'er og CERT-EU og indføre fælles regler, sprog og terminologi med henblik på udveksling af oplysninger. Agenturet bør også inddrage den private sektor inden for rammerne af NIS-direktivet, som fastsatte grundlaget for frivillig teknisk informationsudveksling på det operationelle plan med oprettelsen af CSIRT-netværket. (19)Agenturet bør bidrage til en respons på EU-niveau i tilfælde af væsentlige grænseoverskridende cybersikkerhedshændelser og -kriser. Denne funktion bør omfatte indsamling af relevante oplysninger og etablering af kontakt mellem CSIRT-netværket og tekniske kredse samt de beslutningstagere, der er ansvarlige for krisestyringen. Derudover kunne Agenturet støtte håndteringen af hændelser fra et teknisk synspunkt ved at fremme udveksling af relevante tekniske løsninger mellem medlemsstaterne og ved at komme med input til kommunikation med offentligheden. Agenturet bør støtte processen ved at afprøve metoderne for et sådant samarbejde gennem årlige cybersikkerhedsøvelser. (20)For at løse sine operationelle opgaver bør Agenturet gøre brug af den tilgængelige ekspertise hos CERT-EU gennem et struktureret samarbejde i tæt fysisk nærhed. Det strukturerede samarbejde vil fremme de nødvendige synergier og opbygningen af ENISA's ekspertise. Hvor det er relevant, bør der indgås specifikke aftaler mellem de to organisationer med henblik på at fastlægge den praktiske gennemførelse af et sådant samarbejde. (21)I overensstemmelse med sine operationelle opgaver bør Agenturet være i stand til at yde støtte til medlemsstaterne, f.eks. i form at rådgivning eller teknisk bistand, eller ved at sikre analyse af trusler og hændelser. Kommissionens henstilling om en koordineret reaktion på væsentlige cyberhændelser og -kriser anbefaler, at medlemsstaterne samarbejder i god tro og hurtigst muligt udveksler oplysninger med hinanden og med ENISA om væsentlige cybersikkerhedshændelser og -kriser. Sådanne oplysninger burde hjælpe ENISA med at udføre sine operationelle opgaver. (22)Som led i det regelmæssige samarbejde på teknisk niveau til støtte for Unionens situationsbevidsthed bør Agenturet regelmæssigt udarbejde en teknisk EU-cybersikkerhedsrapport om hændelser og trusler, der skal være baseret på offentligt tilgængelige oplysninger, Agenturets egen analyse og rapporter tilsendt af medlemsstaternes CSIRT'er (på frivillig basis) eller NIS-direktivets centrale kontaktpunkter, Det Europæiske Center til Bekæmpelse af Cyberkriminalitet (EC3) hos Europol og CERT-EU samt, hvor det er relevant, Den Europæiske Unions Efterretningsanalysecenter (INTCEN) ved Tjenesten for EU's Optræden Udadtil (EU-Udenrigstjenesten). Rapporten bør stilles til rådighed for de relevante instanser i Rådet, Kommissionen, Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik og CSIRT-netværket. (23)Tekniske efterfølgende undersøgelser af hændelser med betydelig virkning i mere end én medlemsstat, som understøttes eller udføres af Agenturet efter anmodning fra den pågældende medlemsstat eller med dennes samtykke bør fokusere på forebyggelse af fremtidige hændelser og udføres uden at foregribe eventuelle retlige eller administrative procedurer med henblik på at placere skyld eller ansvar. (24)De berørte medlemsstater bør give Agenturet de nødvendige oplysninger og den nødvendige bistand med henblik på undersøgelsen uden at det berører artikel 346 i traktaten om Den Europæiske Unions funktionsmåde eller hensyn til den offentlige orden. (25)Medlemsstaterne kan opfordre de virksomheder, der er berørt af hændelsen, til at samarbejde ved at give Agenturet de nødvendige oplysninger og den nødvendige bistand, uden at det berører deres ret til at beskytte kommercielt følsomme oplysninger. (26)For bedre at forstå udfordringerne inden for cybersikkerhed og med sigte på at levere strategisk langsigtet rådgivning til medlemsstaterne og EU-institutionerne er Agenturet nødt til at analysere både bestående og nye risici. Med dette mål for øje bør Agenturet i samarbejde med medlemsstaterne og, hvis relevant, statistiske kontorer og andre organer indsamle relevante oplysninger og udføre analyser af nye teknologier og tilvejebringe emnespecifikke vurderinger af de forventede sociale, retlige, økonomiske og lovgivningsmæssige konsekvenser af teknologiske innovationer inden for net- og informationssikkerhed, herunder navnlig cybersikkerhed. Agenturet bør desuden bistå medlemsstaterne og Unionens institutioner, agenturer og organer med at identificere nye tendenser og forebygge problemer på cybersikkerhedsområdet ved at udføre analyser af trusler og hændelser. (27)Med henblik på at øge Unionens modstandsdygtighed bør Agenturet udvikle ekspertise vedrørende sikring af internettets infrastruktur og kritisk infrastruktur ved at stille rådgivning, vejledning og bedste praksis til rådighed. Med sigte på at give lettere adgang til bedre strukturerede oplysninger om cybersikkerhedsrisici og potentielle løsninger bør Agenturet udvikle og opretholde Unionens "informationsknudepunkt", en one-stop-shop-portal, som giver offentligheden adgang til oplysninger om cybersikkerhed, der kommer fra EU's og de enkelte landes institutioner, agenturer og organer. (28)Agenturet bør bidrage til at bevidstgøre offentligheden om risiciene i forbindelse med cybersikkerhed og give vejledning om god praksis for individuelle brugere, der er målrettet mod borgere og organisationer. Agenturet bør også bidrage til at fremme bedste praksis og løsninger på enkeltpersons- og organisationsniveauet ved at indsamle og analysere offentligt tilgængelige oplysninger om væsentlige hændelser og ved at sammenstille rapporter med henblik på at yde vejledning til virksomheder og borgere samt forbedre det generelle niveau af beredskab og modstandsdygtighed. Agenturet bør herudover i samarbejde med medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer tilrettelægge jævnlige informations- og oplysningskampagner for slutbrugere med sigte på at fremme en mere sikker individuel adfærd på nettet og øge bevidstheden om de potentielle farer på Internettet, herunder cyberkriminalitet, såsom phishing-angreb, botnet, økonomisk svig og banksvindel, samt fremme af grundlæggende autentificerings- og databeskyttelsesrådgivning. Agenturet bør spille en central rolle i bestræbelserne på at højne slutbrugernes oplysningsniveau om udstyrs sikkerhed. (29)For at støtte de virksomheder, der er aktive i cybersikkerhedssektoren samt brugerne af cybersikkerhedsløsninger bør Agenturet udvikle og opretholde et "markedsobservatorium" ved at gennemføre regelmæssige analyser og formidling af de vigtigste tendenser på markedet for cybersikkerhed, både på efterspørgsels- og udbudssiden. (30)For at sikre, at det når sine mål fuldt ud, bør Agenturet etablere kontakt med de relevante institutioner, agenturer og organer, herunder CERT-EU, Det Europæiske Center til Bekæmpelse af Cyberkriminalitet (EC3) hos Europol, Det Europæiske Forsvarsagentur (EDA), Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer (eu-LISA), Det Europæiske Luftfartssikkerhedsagentur (EASA) og ethvert andet EU-agentur, der er involveret i cybersikkerhed. Det bør også samarbejde med myndigheder med ansvar for databeskyttelse for at udveksle knowhow og bedste praksis og yde rådgivning om cybersikkerhedsaspekter, der kan have betydning for deres arbejde. Repræsentanter for de retshåndhævende myndigheder på nationalt og EU-plan og myndigheder, der har ansvar for databeskyttelse, bør kunne være repræsenteret i Agenturets stående gruppe af interessenter. I sine kontakter med retshåndhævende myndigheder vedrørende aspekter af net- og informationssikkerhed, der kan have indflydelse på disse myndigheders arbejde, bør Agenturet respektere de eksisterende informationskanaler og etablerede netværk. (31)Agenturet bør som medlem, der også fungerer som CSIRT-netværkets sekretariat, støtte medlemsstaternes CSIRT'er og CERT-EU i det operationelle samarbejde oven i alle CSIRT-netværkets relevante opgaver som defineret i NIS-direktivet. Agenturet bør endvidere fremme og støtte samarbejdet mellem de relevante CSIRT'er i tilfælde af hændelser, angreb på eller afbrydelser af net eller infrastruktur, der styres eller beskyttes af CSIRT'erne, og som berører eller vil kunne berøre mindst to CERT'er, under behørig hensyntagen til CSIRT-netværkets standardprocedurer. (32)Med henblik på at øge EU's beredskab, når det gælder om at reagere på cybersikkerhedshændelser, bør Agenturet tilrettelægge årlige cybersikkerhedsøvelser på EU-niveau og efter anmodning støtte medlemsstaterne og EU's institutioner, agenturer og organer i at tilrettelægge øvelser. (33)Agenturet bør videreudvikle og opretholde sin ekspertise inden for cybersikkerhedscertificering med sigte på at understøtte EU's politik på dette område. Agenturet bør fremme udbredelsen af cybersikkerhedscertificering i Unionen, herunder ved at bidrage til etablering og vedligeholdelse af en ramme for cybersikkerhedscertificering på EU-niveau, for at øge gennemsigtigheden af IKT-produkters og -tjenesters cybersikkerhedstillidsniveau og dermed styrke tilliden til det digitale indre marked.

(34)Effektive cybersikkerhedsstrategier bør baseres på velgennemtænkte risikovurderingsmetoder, både i den offentlige og den private sektor. Der anvendes risikovurderingsmetoder på forskellige niveauer, men der er ingen fælles praksis for, hvordan de anvendes effektivt. Ved at udvikle og fremme bedste praksis for risikovurdering og interoperable risikostyringsløsninger i den offentlige og den private sektors organisationer kan cybersikkerhedsniveauet i Unionen forbedres. Til dette formål bør agenturet støtte samarbejdet mellem interessenter på EU-plan og lette deres bestræbelser på at etablere og indføre europæiske og internationale standarder for risikostyring og for målbar sikkerhed i elektroniske produkter, systemer, net og tjenester, som sammen med software udgør net- og informationssystemerne. (35)Agenturet bør tilskynde medlemsstaterne og tjenesteudbydere til at hæve deres generelle sikkerhedsstandarder, så alle internetbrugere kan tage de nødvendige skridt til at sikre deres egen personlige cybersikkerhed. Navnlig bør tjenesteudbydere og produktproducenter tilbagekalde eller genbruge produkter og tjenester, som ikke overholder cybersikkerhedsstandarderne. I samarbejde med de kompetente myndigheder kan ENISA formidle oplysninger om cybersikkerhedsniveauet for produkter og tjenester, som udbydes i det indre marked, og udstede advarsler til udbydere og producenter og pålægge dem at forbedre sikkerheden, herunder cybersikkerheden, af deres produkter og tjenester. (36)Agenturet bør tage fuldt hensyn til igangværende forsknings-, udviklings- og teknologivurderingsaktiviteter, navnlig aktiviteter, der gennemføres som led i de forskellige EU-forskningsinitiativer, for at rådgive Unionen og, hvor det er relevant, medlemsstaterne, hvis de anmoder herom, om forskningsbehov inden for net- og informationssikkerhed, herunder navnlig cybersikkerhed. (37)Cybersikkerhedsproblemer er af global karakter. Der er behov for et tættere internationalt samarbejde for at forbedre cybersikkerhedsstandarderne, herunder definitionen af fælles adfærdsnormer, og informationsudveksling, hvilket vil fremme hurtigere internationalt samarbejde om samt en fælles global tilgang til net- og informationssikkerhedsspørgsmål. Agenturet bør derfor støtte et fortsat EU-engagement og samarbejde med tredjelande og internationale organisationer, ved, hvor det er relevant, at yde den nødvendige ekspertise og analyse til Unionens relevante institutioner, organer, kontorer og agenturer. (38)Agenturet bør være i stand til at reagere på ad hoc-anmodninger om rådgivning og bistand fra medlemsstaterne og EU's institutioner, agenturer og organer, som er omfattet af Agenturets mål. (39)Det er nødvendigt at gennemføre visse principper om Agenturets forvaltning for at overholde den fælles erklæring og fælles tilgang, som den interinstitutionelle arbejdsgruppe om EU's decentrale agenturer nåede til enighed om i juli 2012, og som har til formål at strømline agenturernes aktiviteter og forbedre deres resultater. Den fælles erklæring og fælles tilgang bør, alt efter hvad der er relevant, også afspejles i Agenturets arbejdsprogrammer, evalueringer og rapporterings- og administrationspraksis. (40)For at sikre, at Agenturet fungerer effektivt, bør medlemsstaterne og Kommissionen være repræsenteret i bestyrelsen, som bør fastlægge de overordnede retningslinjer for Agenturets drift og sikre, at det udfører sine opgaver i overensstemmelse med denne forordning. Bestyrelsen bør have de beføjelser, der er nødvendige, til at fastlægge budgettet, kontrollere dets gennemførelse, vedtage passende finansielle bestemmelser, fastlægge transparente arbejdsprocedurer for Agenturets beslutningstagning, vedtage Agenturets samlede programmeringsdokument, vedtage sin egen forretningsorden, udnævne den administrerende direktør og træffe afgørelse om at forlænge den administrerende direktørs mandatperiode eller bringe den til ophør. (41)For at Agenturet kan fungere korrekt, bør Kommissionen og medlemsstaterne sikre, at personer, der udpeges til bestyrelsen, har en hensigtsmæssig faglig ekspertise og erfaring inden for de relevante områder. Kommissionen og medlemsstaterne bør også gøre en indsats for at begrænse udskiftningen af deres respektive repræsentanter i bestyrelsen, så der sikres kontinuitet i bestyrelsens arbejde. (42)Et velfungerende Agentur kræver, at den administrerende direktør udnævnes på grundlag af kvalifikationer og dokumenterede administrative og ledelsesmæssige færdigheder samt kvalifikationer og erfaring, der er relevante for cybersikkerhed, og at den administrerende direktørs opgaver udføres i fuld uafhængighed. Den administrerende direktør bør efter høring af Kommissionen udarbejde et forslag til Agenturets arbejdsprogram og træffe alle nødvendige foranstaltninger til at sikre, at Agenturets arbejdsprogram gennemføres korrekt. Den administrerende direktør bør hvert år udarbejde en årsberetning, der skal forelægges for bestyrelsen, udfærdige et udkast til overslag over Agenturets indtægter og udgifter samt gennemføre budgettet. Den administrerende direktør bør endvidere kunne nedsætte ad hoc-arbejdsgrupper til at behandle specifikke spørgsmål, særlig af videnskabelig, teknisk, retlig eller samfundsøkonomisk art. Den administrerende direktør bør sikre, at medlemmerne af ad hoc-arbejdsgrupperne udvælges på grundlag af den højeste ekspertisestandard, og tage skridt til at sikre en passende repræsentativ balance, afhængigt af de specifikke spørgsmål, mellem medlemsstaternes offentlige forvaltninger, EU-institutionerne og den private sektor, herunder erhvervslivet, brugerne og akademiske eksperter i net- og informationssikkerhed. (43)Forretningsudvalget bør bidrage til en velfungerende bestyrelse. Som led i det forberedende arbejde i forbindelse med bestyrelsens afgørelser bør det nøje undersøge relevante oplysninger og gennemgå muligheder og tilbyde rådgivning og løsninger til forberedelse af relevante bestyrelsesafgørelser. (44)Agenturet bør have en stående gruppe af interessenter som et rådgivende organ, der kan sikre en løbende dialog med den private sektor, forbrugerorganisationerne og andre relevante interessenter. Den stående gruppe af interessenter, der nedsættes af bestyrelsen på forslag af den administrerende direktør, bør koncentrere sig om spørgsmål, der er relevante for interessenter, og forelægge dem for Agenturet. Sammensætningen af den stående gruppe af interessenter og de opgaver, som denne gruppe har, herunder navnlig at blive hørt i forbindelse med udkastet til arbejdsprogrammet, burde sikre en tilstrækkelig repræsentation af interessenter i Agenturets arbejde. (45)Bestyrelsen bør vedtage regler for forebyggelse og håndtering af interessekonflikter. Agenturet bør også følge de relevante EU-bestemmelser om aktindsigt som fastlagt i Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001. Agenturets behandling af personoplysninger bør være i overensstemmelse med Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger. Agenturet bør overholde de bestemmelser, der gælder for EU-institutionerne samt national lovgivning vedrørende behandling af oplysninger, herunder navnlig følsomme ikkeklassificerede oplysninger og EU-klassificerede oplysninger. (46)For at Agenturet kan sikres fuld selvstændighed og uafhængighed og for at sætte det i stand til at udføre supplerende og nye opgaver, herunder uforudsete hasteopgaver, bør Agenturet råde over et tilstrækkeligt og selvstændigt budget, hvis indtægter hovedsageligt kommer fra et bidrag fra Unionen og bidrag fra tredjelande, der deltager i Agenturets arbejde. Størstedelen af Agenturets ansatte bør være direkte involveret i den operationelle gennemførelse af Agenturets mandat. Værtsmedlemsstaten og enhver anden medlemsstat bør kunne yde frivillige bidrag til Agenturets indtægter. Unionens budgetprocedure bør finde anvendelse på ethvert bidrag, som kommer fra Unionens almindelige budget. Desuden bør revisionen af Agenturets regnskaber forestås af Revisionsretten for at sikre gennemsigtighed og ansvarlighed. (47)Overensstemmelsesvurdering er den proces, hvorved det fastslås, om nærmere bestemte krav til et produkt, en proces, en tjeneste, et system, en person eller et organ er opfyldt. I forbindelse med denne forordning bør certificering betragtes som en form for overensstemmelsesvurdering for så vidt angår cybersikkerhedsegenskaberne for et produkt, en proces, en tjeneste, et system eller en kombination af disse ("IKT-produkter og -tjenester"), der foretages af en uafhængig tredjepart, som ikke er produktproducenten eller tjenesteudbyderen. Certificering kan ikke i sig selv garantere, at certificerede IKT-produkter og -tjenester er cybersikre. Det er snarere en procedure og en teknisk metode til at attestere, at IKT-produkter og -tjenester er blevet prøvet og at de opfylder visse krav til cybersikkerhed, som er fastsat andetsteds, f.eks. i tekniske standarder. (48)Cybersikkerhedscertificering spiller en vigtig rolle for at øge tilliden til og sikkerheden af IKT-produkter og -tjenester. Det digitale indre marked og navnlig dataøkonomien og tingenes Internet kan kun trives, hvis offentligheden generelt har tillid til, at sådanne produkter og tjenester har et vist cybersikkerhedstillidsniveau. Netforbundne og selvkørende biler, elektronisk medicinsk udstyr, industrielle automatiseringskontrolsystemer eller intelligente forsyningsnet er kun nogle eksempler på sektorer, hvor certificering allerede bruges i vidt omfang eller snart vil blive brugt. De sektorer, der reguleres af NIS-direktivet, er også sektorer, hvor cybersikkerhedscertificering er afgørende. (49)I meddelelsen fra 2016 "Styrkelse af Europas modstandsdygtighed over for cyberangreb og fremme af en konkurrencedygtig og innovativ cybersikkerhedsindustri", beskrev Kommissionen nødvendigheden af cybersikkerhedsprodukter, som er af høj kvalitet, prismæssigt overkommelige og interoperable. Udbuddet af IKT- produkter og tjenester i det indre marked er fortsat meget opsplittet geografisk. Det skyldes, at cybersikkerhedsindustrien i Europa hovedsageligt har udviklet sig på grundlag af national statslig efterspørgsel. Derudover mangler der også interoperable løsninger (tekniske standarder), praksis og EU-dækkende mekanismer for certificering, og det har en negativ virkning på det indre marked for cybersikkerhed. På den ene side gør dette det vanskeligt for europæiske virksomheder at konkurrere på nationalt, europæisk og globalt plan. På den anden side begrænser det udbuddet af levedygtige og brugbare cybersikkerhedsteknologier, som enkeltpersoner og virksomheder har adgang til. Ligeledes fremhævede Kommissionen i midtvejsevalueringen om gennemførelsen af strategien for det digitale indre marked behovet for sikre netforbundne produkter og systemer og anførte, at indførelsen af en europæisk IKT-sikkerhedsramme, der fastsætter regler for IKT-sikkerhedscertificering i Unionen, både ville kunne bevare tilliden til Internettet og gøre noget ved den nuværende fragmentering af cybersikkerhedsmarkedet. (50)I øjeblikket anvendes cybersikkerhedscertificering af IKT-produkter og -tjenester kun i begrænset omfang. Hvis den findes, er det som regel på medlemsstatsniveau eller inden for rammerne af en brancheordning. En attest udstedt af en national cybersikkerhedsmyndighed anerkendes i princippet ikke i andre medlemsstater. Virksomhederne kan således være nødt til at certificere deres produkter og tjenester i flere medlemsstater, hvor de driver virksomhed, f.eks. hvis de vil deltage i nationale offentlige udbud. Desuden er der, selv om der laves nye ordninger, tilsyneladende ikke nogen sammenhængende og holistisk tilgang til horisontale cybersikkerhedsspørgsmål, f.eks. inden for tingenes Internet. De bestående ordninger har væsentlige mangler og forskelle med hensyn til produktdækning, tillidsniveau, materielle kriterier og den faktiske udnyttelse. (51)Der er tidligere taget tilløb til at få indført gensidig anerkendelse af attester i Europa. De har dog kun været delvis vellykkede. Det vigtigste eksempel herpå er Gruppen af Højtstående Embedsmænd vedrørende Informationssystemers Sikkerheds (SOG-IS) aftale om gensidig anerkendelse (MRA). Selv om det er den vigtigste model for samarbejde og gensidig anerkendelse af sikkerhedscertificering, har SOG-IS' MRA nogle væsentlige mangler i form af høje omkostninger og begrænset anvendelsesområde. Indtil videre er der kun udviklet nogle få beskyttelsesprofiler for digitale produkter såsom digital underskrift, digital tachograf og smartkort. Vigtigst er dog, at SOG-IS kun omfatter en del af Unionens medlemsstater. I forhold til det indre marked gør det, at SOG-IS' MRA kun er begrænset effektiv. (52)På denne baggrund er det nødvendigt at etablere en europæisk ramme for cybersikkerhedscertificering, som fastlægger de vigtigste horisontale krav til kommende europæiske cybersikkerhedscertificeringsordninger, og som giver mulighed for anerkendelse og brug af attester for IKT-produkter og -tjenester i alle medlemsstater. Den europæiske ramme har et dobbelt formål: På den ene side bør den bidrage til at øge tilliden til IKT-produkter og -tjenester, der er certificeret i henhold til sådanne ordninger. På den anden side bør den hindre udbredelsen af modstridende eller overlappende nationale cybersikkerhedscertificeringer og dermed mindske omkostningerne for virksomheder, der opererer på det digitale indre marked. Ordningerne bør være ikke-diskriminerende og baseret på internationale eller europæiske standarder, medmindre sådanne standarder er ineffektive eller uhensigtsmæssige til at opfylde EU's legitime mål i denne henseende. (53)Kommissionen bør have beføjelse til at vedtage europæiske cybersikkerhedscertificeringsordninger for specifikke grupper af IKT-produkter og tjenester. Ordningerne bør gennemføres og overvåges af nationale certificeringstilsynsmyndigheder, og attester udstedt i henhold til disse ordninger bør være gyldige og anerkendes i hele Unionen. Certificeringsordninger, som er branchedr