1.Indledning

1.1 ENISA

Den Europæiske Unions Agentur for Net- og Informationssikkerhed ("ENISA") blev oprettet i 2004 og har fået sit mandat fornyet med jævne mellemrum. ENISA's aktuelle mandat er fastsat i forordning EU nr. 526/2013 (i det følgende benævnt "ENISA-forordningen") og udløber den 19. juni 2020.

ENISA's mandat er at bidrage til et højt net- og informationssikkerhedsniveau i Unionen. ENISA-forordningen beskriver de specifikke mål for Agenturet og fastsætter, at det skal:

·udvikle og fastholde et højt ekspertiseniveau

·bistå Unionens institutioner, organer, kontorer og agenturer med at udarbejde de nødvendige politikker for net- og informationssikkerhed

·bistå Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne med at gennemføre de politikker, der er nødvendige for at opfylde de retlige og reguleringsmæssige krav vedrørende net- og informationssikkerhed i henhold til eksisterende og fremtidige EU-retsakter og dermed bidrage til et velfungerende indre marked

·bistå Unionen og medlemsstaterne med at øge og styrke deres kapacitet og beredskab til at forebygge, opdage og imødegå net- og informationssikkerhedsproblemer og -hændelser

·bruge sin ekspertise til at fremme et bredt samarbejde mellem aktører fra både den offentlige og den private sektor.

Herudover besluttede EU-medlovgiverne med direktiv (EU) 2016/1148 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (NIS-direktivet), at tildele ENISA vigtige roller i forbindelse med gennemførelsen af lovgivningen. Agenturet varetager navnlig sekretariatsfunktionen for CSIRT-netværket (oprettet for at fremme et hurtigt og effektivt operationelt samarbejde mellem medlemsstaterne), og det bistår også samarbejdsgruppen for strategisk samarbejde med udførelsen af dens opgaver. Herudover pålægger direktivet ENISA at bistå medlemsstaterne og Kommissionen med ekspertise og rådgivning og at lette udveksling af bedste praksis.

Agenturet har sit hjemsted i Grækenland med det administrative sæde i Heraklion (Kreta) og det centrale operationelle hovedsæde i Athen. Det har 84 ansatte og et årligt driftsbudget på 11,25 mio. EUR. Det ledes af en administrerende direktør, og forvaltningen varetages af en bestyrelse, et forretningsudvalg og en stående gruppe af interessenter. Et uformelt netværk af nationale forbindelsesofficerer faciliterer kontakten med medlemsstaterne.

1.2 Rapportens formål

Ifølge artikel 32 i ENISA-forordningen skal Kommissionen få foretaget en evaluering af ENISA inden den 20. juni 2018 for "navnlig at vurdere virkningen, effektiviteten og produktiviteten af agenturets arbejde og dets arbejdsmetoder" og for at tage stilling til, om det aktuelle mandat bør forlænges.

I lyset af de betydelige ændringer, der er sket inden for cybersikkerhed siden 2013, hvor den nuværende ENISA-forordning blev vedtaget – og med tanke på det nåede modenhedsniveau på det politiske, markedsmæssige og teknologiske plan – bekendtgjorde Kommissionen i sin meddelelse fra 2016 om styrkelse af Europas system for modstandsdygtighed over for cyberangreb og fremme af en konkurrencedygtig og innovativ cybersikkerhedsindustri, at den ville fremskynde evalueringen og revisionen af ENISA. Kommissionen bemærkede især, at revisionen af ENISA ville være en anledning til at se nærmere på den mulige forbedring af Agenturets kapaciteter og muligheder for på bæredygtig vis at støtte medlemsstaterne i deres bestræbelser på at opnå modstandsdygtighed over for cyberangreb.

Denne vision blev yderligere styrket af Rådets konklusioner i 2016, som anerkendte, "at cybertrusler og sårbarheder fortsat udvikler sig og tiltager, hvilket vil kræve vedvarende og tættere samarbejde, særlig ved håndteringen af væsentlige grænseoverskridende cybersikkerhedshændelser". Konklusionerne bekræftede, at "ENISA-forordningen er et af de centrale elementer i EU's ramme for modstandsdygtighed over for cyberangreb".

Resultaterne af ENISA-evalueringen er blevet brugt i den konsekvensanalyse, der ledsager forslaget til en forordning om Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA, "EU's Agentur for Cybersikkerhed") og om ophævelse af forordning (EU) nr. 526/2013 og om sikkerhedscertificering af informations- og kommunikationsteknologi ("forordningen om cybersikkerhed").

I henhold til artikel 32 i ENISA-forordningen sender Kommissionen evalueringsrapporten og dens konklusioner til Europa-Parlamentet, Rådet og bestyrelsen. Denne sammenfattende rapport ledsages af et arbejdsdokument fra Kommissionens tjenestegrene om evalueringen af Den Europæiske Unions Agentur for Net- og Informationssikkerhed (SWD(2017) 502).

2.De vigtigste resultater af evalueringen

I overensstemmelse med Kommissionens retningslinjer for bedre regulering har Kommissionen vurderet Agenturets effektivitet, omkostningseffektivitet, sammenhæng, relevans og EU-merværdi med hensyn til dets resultater, styring, intern organisatorisk struktur og arbejdsmetoder.