Sag C-217/04

Det Forenede Kongerige Storbritannien og Nordirland

mod

Europa-Parlamentet

og

Rådet for Den Europæiske Union

»Forordning (EF) nr. 460/2004 – Det Europæiske Agentur for Net- og Informationssikkerhed – valg af hjemmel«

Sammendrag af dom

1. Tilnærmelse af lovgivningerne – artikel 95 EF – rækkevidde

(Art. 95 EF)

2. Tilnærmelse af lovgivningerne – telekommunikationssektoren

(Art. 95 EF; Europa-Parlamentets og Rådets forordning nr. 460/2004)

1. Ved udtrykket »foranstaltninger med henblik på indbyrdes tilnærmelse« i artikel 95 EF har traktatens fædre villet tillægge fællesskabslovgiver et skøn – på grundlag af den generelle sammenhæng og særlige omstændigheder vedrørende det område, der skal harmoniseres – vedrørende den mest hensigtsmæssige metode for indbyrdes tilnærmelse med henblik på at opnå det ønskede resultat, især inden for teknisk komplicerede områder.

Intet i ordlyden af artikel 95 EF gør det i denne forbindelse muligt at konkludere, at de foranstaltninger, der vedtages af fællesskabslovgiver på grundlag af denne bestemmelse, skal begrænses til alene at have medlemsstaterne som adressater. Det kan således vise sig nødvendigt i henhold til nævnte lovgivers vurdering at fastsætte bestemmelser om oprettelse af et fællesskabsorgan, der har til opgave at bidrage til gennemførelsen af en harmoniseringsproces i situationer, hvor vedtagelsen af ikke-bindende ledsage- og rammeforanstaltninger forekommer egnede til at lette gennemførelsen og den ensartede anvendelse af retsakter vedtaget med hjemmel i denne bestemmelse.

De opgaver, der gives et sådant organ, skal imidlertid være nært forbundet med de områder, som er genstand for retsakterne om indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser. Dette er bl.a. tilfældet, når et således oprettet fællesskabsorgan leverer ydelser til nationale myndigheder og/eller erhvervslivet, som har betydning for den ensartede gennemførelse af harmoniseringsbestemmelserne, og som kan lette deres gennemførelse.

(jf. præmis 43-45)

2. Det var med rette, at forordning nr. 460/2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed blev vedtaget med hjemmel i artikel 95 EF.

Hvad for det første angår agenturets formål, som fastsat i forordningens artikel 2, har direktiv 2002/21 om fælles rammebestemmelser for elektroniske kommunikationsnet og -tjenester ifølge direktivets artikel 1, stk. 1, således til formål at fastlægge harmoniserede rammer for regulering af elektroniske kommunikationstjenester, elektroniske kommunikationsnet samt tilhørende faciliteter og tjenester. Desuden er de talrige bestemmelser i særdirektiverne udtryk for fællesskabslovgivers ønsker for så vidt angår net- og informationssikkerhed. Dette er tilfældet med direktiv 2002/20 om tilladelser til elektroniske kommunikationsnet og -tjenester, direktiv 2002/22 om forsyningspligt og brugerrettigheder i forbindelse med elektroniske kommunikationsnet og -tjenester, direktiv 2002/58 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor, direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og direktiv 1999/93 om en fællesskabsramme for elektroniske signaturer. De opgaver, der er overdraget til agenturet i medfør af samme forordnings artikel 3, er desuden nært forbundet med de formål, der forfølges med direktiv 2002/21 og særdirektiverne på området for net- og informationssikkerhed.

Hvad for det andet angår gennemførelsen af fællesskabslovgivningen på området er forordningen ikke en isoleret foranstaltning, men indgår i en retlig systematik, som er afgrænset af direktiv 2002/21 og særdirektiverne vedrørende elektroniske kommunikationsnet og har til formål at virkeliggøre det indre marked på det elektroniske kommunikationsområde. Stillet over for et område, der iværksætter teknologier, som ikke alene er komplicerede, men også i rivende udvikling, fandt fællesskabslovgiver desuden, at oprettelsen af et fællesskabsorgan, såsom agenturet, var et egnet middel til at forhindre, at der opstod forskelle, der kunne skabe hindringer for det indre markeds effektive funktion på området.

Endelig fremgår det af forordningens artikel 25, stk. 1 og 2, sammenholdt med artikel 27, hvorefter agenturet oprettes for en begrænset periode og agenturets drift gøres til genstand for en evaluering, der har til formål at vurdere, om denne periode skal forlænges, at fællesskabslovgiver fandt, at det var passende – før der blev truffet afgørelse om agenturets skæbne – at gennemføre en evaluering af agenturets aktivitet samt af det faktiske bidrag, som agenturet yder til iværksættelsen af direktiv 2002/21 og særdirektiverne.

(jf. præmis 47, 48, 50-55, 58, 60-62 og 65-67)

DOMSTOLENS DOM (Store Afdeling)

2. maj 2006 ( )

»Forordning (EF) nr. 460/2004 – Det Europæiske Agentur for Net- og Informationssikkerhed – valg af hjemmel«

I sag C-217/04,

angående et annullationssøgsmål i henhold til artikel 230 EF, anlagt den 20. maj 2004,

Det Forenede Kongerige Storbritannien og Nordirland ved M. Bethell, som befuldmægtiget, bistået af Lord Goldsmith og N. Paines, QC, og barrister T. Ward,

sagsøger,

mod

Europa-Parlamentet ved K. Bradley og U. Rösslein, som befuldmægtigede, og med valgt adresse i Luxembourg,

Rådet for Den Europæiske Union ved M. Veiga og A. Lopes Sabino, som befuldmægtigede,

sagsøgte,

støttet af:

Republikken Finland ved T. Pynnä og A. Guimaraes-Purokoski, som befuldmægtigede,

Kommissionen for De Europæiske Fællesskaber ved F. Benyon og M. Shotter, som befuldmægtigede, og med valgt adresse i Luxembourg,

intervenienter,

har

DOMSTOLEN (Store Afdeling)

sammensat af præsidenten, V. Skouris, afdelingsformændene P. Jann, C.W.A. Timmermans, A. Rosas og J. Malenovský, samt dommerne R. Schintgen, N. Colneric, S. von Bahr, J.N. Cunha Rodrigues, R. Silva de Lapuerta (refererende dommer), M. Ilešič, J. Klučka og U. Lõhmus,

generaladvokat: J. Kokott

justitssekretær: fuldmægtig K. Sztranc,

på grundlag af den skriftlige forhandling og efter retsmødet den 7. september 2005,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 22. september 2005,

afsagt følgende

Dom

1 Det Forenede Kongerige Storbritannien og Nordirland har anlagt sag med påstand om annullation af Europa-Parlamentets og Rådets forordning (EF) nr. 460/2004 af 10. marts 2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed (EUT L 77, s. 1, herefter »forordningen«).

2 Ved kendelse afsagt af Domstolens præsident den 25. november 2004 har Republikken Finland og Kommissionen for De Europæiske Fællesskaber fået tilladelse til at intervenere i sagen til støtte for henholdsvis Europa-Parlamentets og Rådet for Den Europæiske Unions påstande.

Retsforskrifter

De generelle fællesskabsbestemmelser

3 Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7. marts 2002 om fælles rammebestemmelser for elektroniske kommunikationsnet og ‑tjenester (rammedirektivet) (EFT L 108, s. 33) har ifølge sin artikel 1, stk. 1, til formål at fastlægge harmoniserede rammer for regulering af elektroniske kommunikationstjenester samt tilhørende faciliteter og tjenester. Direktivet fastsætter bl.a. de nationale tilsynsmyndigheders opgaver og opstiller en række procedurer, der skal sikre, at rammebestemmelserne anvendes ensartet i hele EF.

4 Fællesskabslovgivningen om elektroniske kommunikationsnet omfatter ligeledes følgende direktiver (herefter »særdirektiverne«):

– Europa-Parlamentets og Rådets direktiv 2002/19/EF af 7. marts 2002 om adgang til og samtrafik mellem elektroniske kommunikationsnet og tilhørende faciliteter (adgangsdirektivet) (EFT L 108, s. 7)

– Europa-Parlamentets og Rådets direktiv 2002/20/EF af 7. marts 2002 om tilladelser til elektroniske kommunikationsnet og ‑tjenester (tilladelsesdirektivet) (EFT L 108, s. 21)

– Europa-Parlamentets og Rådets direktiv 2002/22/EF af 7. marts 2002 om forsyningspligt og brugerrettigheder i forbindelse med elektroniske kommunikationsnet og ‑tjenester (forsyningspligtdirektivet) (EFT L 108, s. 51)

– Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201, s. 37)

– Europa-Parlamentets og Rådets direktiv 1999/93/EF af 13. december 1999 om en fællesskabsramme for elektroniske signaturer (EFT 2000 L 13, s. 12, herefter »direktiv om elektroniske signaturer«)

– Europa-Parlamentets og Rådets direktiv 2000/31/EF af 8. juni 2000 om visse retlige aspekter af informationssamfundstjenester, navnlig elektronisk handel, i det indre marked (»direktivet om elektronisk handel«) (EFT L 178, s. 1).

5 Ved afgørelse 2002/627/EF af 29. juli 2002 (EFT L 200, s. 38) har Kommissionen nedsat De Europæiske Tilsynsmyndigheders Gruppe vedrørende Elektroniske Kommunikationsnet og ‑tjenester.

Forordningen

6 Forordningen er vedtaget med hjemmel i artikel 95 EF. Ved artikel 1, stk. 1, oprettes der et europæisk agentur for net- og informationssikkerhed (herefter »agenturet«).

7 Ifølge forordningens artikel 1, stk. 2, består agenturets opgave i at »[bistå] Kommissionen og medlemsstaterne, og [agenturet] samarbejder i den forbindelse med erhvervslivet med at opfylde kravene til net- og informationssikkerhed, herunder de krav, der er fastsat i nuværende og fremtidig fællesskabslovgivning såsom Europa-Parlamentets og Rådets direktiv 2002/21/EF for dermed at sikre et velfungerende indre marked«.

8 Forordningens artikel 2, som har overskriften »Formål«, har følgende ordlyd:

»1. Agenturet skal styrke Fællesskabets, medlemsstaternes og dermed også erhvervslivets evne til at forebygge, behandle og imødegå sikkerhedsproblemer i net og informationssystemer.

2. Agenturet skal bistå og rådgive Kommissionen og medlemsstaterne i spørgsmål vedrørende net- og informationssikkerhed, der falder inden for dets kompetence som fastsat i denne forordning.

3. Agenturet skal på grundlag af medlemsstaternes og Fællesskabets bestræbelser udvikle et højt ekspertiseniveau. Agenturet skal bruge denne ekspertise til at fremme et bredt samarbejde mellem den offentlige og den private sektors aktører.

4. Agenturet skal på anmodning bistå Kommissionen i det tekniske forberedende arbejde med at ajourføre og udvikle fællesskabslovgivningen om net- og informationssikkerhed.«

9 I forordningens artikel 3 defineres de opgaver, som agenturet skal varetage »for at sikre at kompetenceområdet og formålene i artikel 1 og 2 efterleves«. Disse opgaver er følgende:

»a) indsamle relevante oplysninger til analyse af eksisterende og nye risici og navnlig på europæisk plan risici, der kan få følger for de elektroniske kommunikationsnets modstandsdygtighed og tilgængelighed og for autenticiteten, integriteten og fortroligheden i forbindelse med den information, der indhentes og overføres via disse net, samt forelægge medlemsstaterne og Kommissionen analyseresultaterne

b) rådgive og, efter anmodning, yde bistand til Europa-Parlamentet, Kommissionen, europæiske organer eller kompetente nationale organer udpeget af medlemsstaterne inden for dets formål

c) styrke samarbejdet mellem forskellige aktører på net- og informationssikkerhedsområdet, bl.a. ved regelmæssigt at afholde høringer med erhvervslivet, universiteter samt andre berørte sektorer og ved at skabe kontaktnetværk for fællesskabsorganer, den offentlige sektors organer udpeget af medlemsstaterne, den private sektors organer og forbrugerorganisationer

d) lette samarbejdet mellem Kommissionen og medlemsstaterne om udvikling af fælles metoder med henblik på at forebygge, behandle og imødegå sikkerhedsproblemer i net og informationssystemer

e) bidrage til, at alle brugere bliver mere bevidste om og får adgang til hurtigt tilgængelige, objektive og dækkende oplysninger om net- og informationssikkerhed, bl.a. ved at fremme udveksling af den aktuelt bedste praksis, herunder metoder til varsling af brugere, og ved at skabe et positivt samspil mellem initiativer i den offentlige og den private sektor

f) bistå Kommissionen og medlemsstaterne i deres dialog med erhvervslivet for at imødegå sikkerhedsrelaterede problemer i forbindelse med hardware- og softwareprodukter

g) gøre sig bekendt med udviklingen af standarder for produkter og tjenesteydelser vedrørende net- og informationssikkerhed

h) rådgive Kommissionen vedrørende forskning inden for net- og informationssikkerhed og effektiv anvendelse af teknologier til risikoforebyggelse

i) fremme anvendelse af risikovurdering, interoperable løsninger til risikostyring og undersøgelser af løsninger til styring af forebyggelse inden for den offentlige og den private sektors organisationer

j) støtte Fællesskabets bestræbelser på at samarbejde med tredjelande og i givet fald med internationale organisationer om at fremme en global strategi til net- og informationssikkerhed og dermed bidrage til at udvikle en net- og informationssikkerhedskultur

k) uafhængigt fremsætte sine egne konklusioner, retningslinjer og afgive udtalelser i forbindelse med spørgsmål, der ligger inden for dets kompetenceområde og formål«.

10 Forordningens kapitel 2 og 3 vedrører henholdsvis agenturets organisation og dets drift.

Om søgsmålet

Parternes argumenter

11 Det Forenede Kongerige har til støtte for sin påstand om annullation af forordningen gjort gældende, at artikel 95 EF ikke er den korrekte hjemmel for vedtagelsen af denne forordning. Den beføjelse, der er tillagt fællesskabslovgiver ved artikel 95 EF, er en beføjelse til at harmonisere national lovgivning og ikke en beføjelse til at oprette fællesskabsorganer og til at overdrage opgaver til sådanne organer.

12 Ifølge det Forenede Kongerige består den analyse, der skal foretages, i at afgøre, om den retsakt, som er udstedt i medfør af artikel 95 EF, forfølger et formål, som kunne være opnået ved samtidig vedtagelse af en ligelydende lovgivning i hver enkelt medlemsstat. Hvis dette er tilfældet, harmoniserer forordningen de nationale lovgivninger. Hvis forordningen derimod »gør et eller andet«, der ikke kunne være opnået ved samtidig vedtagelse af en ligelydende lovgivning på medlemsstatsniveau, dvs. hvis den lovgiver på områder, som befinder sig uden for det område, hvor medlemsstaterne individuelt set har kompetence, er der ikke tale om en harmoniseringsforanstaltning.

13 Det Forenede Kongerige har medgivet, at en harmoniseringsforanstaltning vedtaget med hjemmel i artikel 95 EF kan indeholde bestemmelser, som ikke i sig selv udgør en harmonisering af de nationale lovgivninger, når disse bestemmelser blot er underordnede eller iværksætter gennemførelsen af bestemmelser, der i sig selv harmoniserer nationale lovgivninger.

14 Medlemsstaten er af den opfattelse, at ingen af bestemmelserne i forordningen tilnærmer – heller ikke indirekte og på en meget begrænset måde – nationale lovgivninger. Det vil tværtimod være udtrykkeligt udelukket, at agenturet kan gøre indgreb i nationale organers kompetence, eftersom agenturet alene giver ikke-bindende rådgivning på det pågældende område.

15 Det Forenede Kongerige har anført, at forordningen ikke imødegår de risici, som emnets kompleksitet indebærer for det indre markeds effektive funktion, ved harmonisering af nationale lovgivninger, men ved oprettelsen af et fællesskabsorgan med en rådgivende funktion. Den omstændighed, at en fællesskabsretlig foranstaltning kan være gavnlig for det indre markeds funktion, betyder imidlertid ikke, at der er tale om en harmoniseringsforanstaltning i artikel 95 EF’s forstand.

16 Det Forenede Kongerige har præciseret, at ikke-bindende rådgivning ikke kan sidestilles med en »indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser«, jf. artikel 95 EF. Desuden vil udbredelsen af en sådan rådgivning i praksis kunne forøge de forskelle, som findes mellem de nationale lovgivninger. Spørgsmålet om, hvorvidt agenturets rådgivning i praksis vil medføre, at medlemsstaterne udøver den skønsmæssige beføjelse, som de råder over i medfør af rammedirektivet og særdirektiverne, på en lignende måde, er rent teoretisk.

17 Medlemsstaten har understreget, at agenturets opgaver er begrænset til at udvikle ekspertise og til at rådgive en bred vifte af potentielle modtagere, og at den eneste mulige forbindelse, der vil kunne være mellem de opgaver, som agenturet udfører, og harmoniseringen af lovgivninger, er den forbindelse, der følger af, at agenturet bistår Kommissionen. Denne funktion, der synes at være en teknisk forskningsfunktion, har ikke en tilstrækkelig tæt forbindelse med fællesskabslovgivningen vedrørende harmonisering af national lovgivning.

18 Det Forenede Kongerige har anført, at tilstedeværelsen af rammedirektivet og særdirektiverne ikke kan ændre noget ved denne vurdering. Agenturets aktiviteter går således alligevel ud over anvendelsesområdet for disse direktiver. Den ikke-bindende rådgivning, som er indført ved forordningen, letter desuden ikke gennemførelsen af disse direktiver, eftersom denne funktion udelukkende er forbeholdt andre kompetente organer i medlemsstaterne end agenturet.

19 Medlemsstaten har påpeget, at den funktion, der er tildelt agenturet, er mere vidtrækkende end den, der fastlægges af særdirektivernes anvendelsesområde, da forordningen ikke alene vedrører sikkerheden med hensyn til kommunikationsnet, men også med hensyn til informationssystemer såsom databaser.

20 Det Forenede Kongerige har ligeledes gjort gældende, at begrundelsen for forordningen er utilstrækkelig med hensyn til spørgsmålet om sandsynligheden for, at der opstår hindringer for samhandelen som følge af, at der stilles forskellige nationale krav til informationssikkerhed. Den blotte mulighed for en uensartet anvendelse af reglerne om netsikkerhed og den omstændighed, at disse regler vil kunne føre til ineffektive løsninger og til hindringer for det indre marked, kan ikke anses for en tilstrækkelig begrundelse i denne henseende.

21 Desuden har medlemsstaten anerkendt, at oprettelsen af agenturet opfylder et ønskeligt formål, dvs. Fællesskabets oprettelse af sit eget ekspertisecenter på området for net- og informationssikkerhed. Medlemsstaten har ligeledes præciseret, at den ikke anfægter indholdet af forordningens bestemmelser. Medlemsstaten har imidlertid på baggrund af samtlige fremførte argumenter konkluderet, at forordningen burde være vedtaget med hjemmel i artikel 308 EF.

22 Parlamentet har gjort gældende, at det i artikel 95 EF ikke er defineret, i hvilken grad den påtænke fællesskabsretsakt skal udgøre en indbyrdes tilnærmelse af medlemsstaternes retsordener. Det er ikke et krav i henhold til EF-traktaten, at foranstaltninger, der er vedtaget på dette retsgrundlag, tilnærmer materielle bestemmelser i de nationale lovgivninger, når mindre indgribende fællesskabsforanstaltninger er mere egnede. Det er således tilstrækkeligt, at en foranstaltning, der er vedtaget i medfør af denne bestemmelse, vedrører indbyrdes tilnærmelse af nationale bestemmelser, selv om denne foranstaltning ikke i sig selv gennemfører en sådan tilnærmelse.

23 Parlamentet har anført, at forordningen forsøger at imødegå den indbyrdes tilnærmelse af visse bestemmelser, som medlemsstaterne har vedtaget eller skal til at vedtage på området for net- og informationssikkerhed, med henblik på at lette en effektiv gennemførelse af den eksisterende fællesskabslovgivning på området. I denne sammenhæng ville anvendelsen af en anden og mere restriktiv hjemmel være inkonsekvent, da forordningen skal ses som et supplement til en række direktiver vedrørende det indre marked for elektroniske kommunikationsnet og ‑tjenester.

24 Parlamentet har gjort gældende, at lovgiver har fundet det passende at sikre en fælles tilgang til de aktuelle og forventede problemer i forbindelse med net- og informationssikkerhed ved at oprette et organ, der har til opgave at rådgive offentlige instanser på fællesskabsplan og på nationalt plan inden for rammerne af et snævert samarbejde med den private sektor. Agenturets tre aktivitetsområder, dvs. indsamlingen og udbredelsen af oplysninger, de rådgivende funktioner samt den samarbejdsmæssige opgave, bidrager til sikre en fælles tilgang til de forskellige aspekter af net- og informationssikkerhed.

25 Parlamentet har understreget, at mens Fællesskabet i teorien kunne have vedtaget lovgivning, der harmoniserer medlemsstaternes bestemmelser vedrørende alle eller visse af de områder, som forordningen behandler, har fællesskabslovgiver som følge af det pågældende områdes tekniske kompleksitet og dets hurtige udvikling udarbejdet forordningen for at forhindre, at der opstår hindringer for samhandelen, og at effektiviteten svækkes som følge af medlemsstaternes ukoordinerede iværksættelse af tekniske og organisatoriske procedurer. Lovgiver har søgt at opnå dette ved hjælp af en »indbyrdes tilnærmelse af lav intensitet«, ved hjælp af hvilken medlemsstaterne er i stand til at vedtage ensartede retsakter, der gør det muligt at gennemføre de forskellige fællesskabsretsakter vedrørende elektronisk kommunikation ved at oprette et ekspertisecenter, der kan yde vejledning, rådgivning og bistand på området.

26 Parlamentet har tilføjet, at den omstændighed, at de materielle harmoniseringsbestemmelser er defineret i rammedirektivet og særdirektiverne, ikke ændrer forordningens karakter af en supplerende foranstaltning, idet den er udarbejdet for at lette gennemførelsen af nævnte direktiver.

27 Ifølge Parlamentet er agenturets funktioner relativt beskedne i den forstand, at de ikke omfatter beføjelsen til at vedtage »standarder«. Rådgivning hidrørende fra en enkelt ekspertisekilde, der er anerkendt på europæisk plan, er således medvirkende til at vedtage fælles holdninger i situationer, hvor Fællesskabet og de nationale aktører risikerer at modtage forskellige tekniske råd. De forskellige former for samarbejde, som agenturet tilskynder til, letter ligeledes den indbyrdes tilnærmelse af markedsvilkårene og medlemsstaternes vedtagelse af foranstaltninger til imødegåelse af problemerne i forbindelse med informationssikkerhed.

28 Endelig har Parlamentet gjort gældende, at såfremt Domstolen måtte konkludere, at forordningen ikke kan vedtages med hjemmel i artikel 95 EF, kan forordningen under alle omstændigheder vedtages på grundlag af de implicitte beføjelser, der er tillagt fællesskabslovgiver i medfør af denne bestemmelse. Henset til sådanne implicitte beføjelser kan oprettelsen af agenturet betragtes som absolut nødvendig for at sikre opnåelsen af de mål, som særdirektiverne forfølger.

29 Rådet har anført, at den indbyrdes tilnærmelse, der er omhandlet i artikel 95 EF, ikke alene vedrører de nationale lovgivninger, men også medlemsstaternes administrative bestemmelser. Retsakter, der vedtages på dette retsgrundlag, vil i øvrigt kunne indeholde bestemmelser, som ikke i sig selv udgør harmoniseringsbestemmelser, men som letter indbyrdes tilnærmelse af nationale lovgivninger. Særligt er der intet i ordlyden af denne artikel, der er til hinder for, at lovgiver opretter et fællesskabsorgan, der har til opgave at skaffe sig specialkompetencer på et område, der allerede er gjort til genstand for harmonisering.

30 Rådet har i denne forbindelse præciseret, at fællesskabslovgivers mulighed for at træffe foranstaltninger, der har til formål at undgå, at der opstår fremtidige hindringer for samhandelen, der skyldes en uensartet udvikling af de nationale lovgivninger, ikke er udelukket i medfør af artikel 95 EF. Lovgiver er således bemyndiget til at vedtage retsakter, der – selv om de ikke i sig selv udgør harmoniseringsbestemmelser – direkte vedrører indbyrdes tilnærmelse af nationale bestemmelser, bl.a. med henblik på at undgå, at der udvikles ineffektive løsninger, og at der sker en uensartet udvikling af medlemsstaternes lovgivninger.

31 Rådet har anført, at agenturet ved at bistå Kommissionen i dens forberedende tekniske arbejde med henblik på udarbejdelsen af fællesskabslovgivning selv ved hjælp af ikke-bindende rådgivning yder et afgørende bidrag til harmoniseringen af national lovgivning og praksis på området for net- og informationssikkerhed samt til ajourføring, udvikling og gennemførelse af denne lovgivning.

32 Ifølge Rådet letter en udtalelse fra et uafhængigt organ, der yder teknisk rådgivning på opfordring fra Kommissionen og medlemsstaterne, gennemførelsen i medlemsstaternes nationale ret af de direktiver, der er vedtaget på området. Forordningen har derfor ikke en accessorisk eller subsidiær virkning i forhold til harmoniseringen af markedsvilkårene inden for Fællesskabet, men yder et direkte bidrag til den indbyrdes tilnærmelse af nationale lovgivninger.

33 Endelig har Rådet anført, at artikel 308 EF alene giver fællesskabslovgiver en residuel lovgivningskompetence på de områder, hvor den materielle lovgivningskompetence til at opfylde visse formål ikke er blevet tildelt Fællesskabet. Når der forefindes en specifik hjemmel for vedtagelsen af en fællesskabsretsakt, er det udelukket at anvende artikel 308 EF, da denne bestemmelse alene kan udgøre et retsgrundlag, såfremt der ikke foreligger et andet.

34 Republikken Finland har gjort gældende, at forordningens formål og indhold er snævert forbundet med det indre markeds oprettelse og funktion. Agenturets grundlæggende opgave består i at sikre et højt og effektivt net- og informationssikkerhedsniveau samt i at reducere hindringerne for det indre markeds funktion som følge af de forskelle, der findes mellem medlemsstaternes lovgivninger på området.

35 Medlemsstaten har anført, at agenturet letter den ensartede anvendelse af fællesskabsbestemmelserne om elektroniske kommunikationsnet og -tjenester. Agenturet har bl.a. til formål at undgå, at der opstår fremtidige hindringer for handelen, der vil kunne indtræde som følge af elektroniske nets komplekse og tekniske karakter samt som følge af uoverensstemmelserne mellem medlemsstaternes praksis.

36 Republikken Finland er af den opfattelse, at der ved valget af retsgrundlag for bestemmelser, der opretter en fællesskabsenhed, skal tages hensyn til i hvor høj grad fællesskabslovgivningen vedrørende det pågældende område udgør en indbyrdes tilnærmelse. I betragtning af, at den ensretning, som er gennemført ved fællesskabsbestemmelserne om elektroniske kommunikationsnet og -tjenester, allerede er fremskreden, vil den ordning, som er etableret på fællesskabsplan, med henblik på at sikre en ensartet praksis for anvendelsen af disse bestemmelser kunne kræve iværksættelse af foranstaltninger, der er mere vidtrækkende end dem, der normalt vedtages på området.

37 Kommissionen har anført, at forordningen henset til dens formål og indhold er en foranstaltning, der direkte letter gennemførelsen og den ensartede anvendelse af visse direktiver vedtaget med hjemmel i artikel 95 EF. Et af de væsentligste kendetegn ved den eksisterende ordning er, at en stor del af den nærmere anvendelse heraf er decentraliseret og overdraget til nationale tilsynsmyndigheder.

38 Kommissionen har gjort gældende, at oprettelsen af agenturet er udtryk for et bredere harmoniseringsbegreb, navnlig idet den letter de nationale tilsynsmyndigheders ensartede anvendelse af fællesskabsdirektiverne. Forordningens formål er således mere vidtrækkende end selve oprettelsen af agenturet, eftersom dette skal rådgive og bistå Kommissionen såvel som nævnte myndigheder. Der er derfor en forbindelse mellem oprettelsen af dette agentur og fællesskabslovgivningen vedrørende elektronisk kommunikation.

39 Kommissionen har anført, at rammedirektivet fastlægger et harmoniseret system for regulering af elektroniske net- og kommunikationstjenester samt tilhørende faciliteter. Dette direktiv fastsætter de nationale tilsynsmyndigheders opgaver ved at opstille en række procedurer, der skal sikre, at den pågældende fremgangsmåde anvendes ensartet i hele EF.

40 Kommissionen har henvist til, at selv om parametrene vedrørende den decentraliserede anvendelse af disse direktiver er klart definerede, kan det ikke udelukkes, at de nationale tilsynsmyndigheder ved udøvelsen af den skønsbeføjelse, de er tillagt, indtager forskellige opfattelser. Agenturet er blevet oprettet for at hjælpe disse myndigheder til at opnå en fælles teknisk forståelse af spørgsmål vedrørende net- og informationssikkerhed.

41 Kommissionen har tilføjet, at agenturet udøver sin aktivitet inden for rammerne af de ensartede parametre, der er opstillet af fællesskabslovgivningen om elektronisk kommunikation, og det er af mindre betydning, at dette organs funktion ikke blev defineret ved vedtagelsen af denne generelle lovgivning.

Domstolens bemærkninger

Rækkevidden af artikel 95 EF

42 Hvad angår omfanget af de lovgivningsmæssige beføjelser, der er fastsat i artikel 95 EF, bemærkes – som Domstolen fastslog i præmis 44 i dom af 6. december 2005, Det Forenede Kongerige mod Parlamentet og Rådet (sag C-66/04, endnu ikke trykt i Samling af Afgørelser) – at denne bestemmelse kun anvendes som hjemmel, når det objektivt og reelt fremgår af retsakten, at den har til formål at forbedre vilkårene for det indre markeds oprettelse og funktion.

43 I præmis 45 i dommen i sagen Det Forenede Kongerige mod Parlamentet og Rådet anførte Domstolen også, at traktatens fædre ved udtrykket »foranstaltninger med henblik på indbyrdes tilnærmelse« i artikel 95 EF har villet tillægge fællesskabslovgiver et skøn – på grundlag af den generelle sammenhæng og særlige omstændigheder vedrørende det område, der skal harmoniseres – vedrørende den mest hensigtsmæssige metode for indbyrdes tilnærmelse med henblik på at opnå det ønskede resultat, især inden for teknisk komplicerede områder.

44 Det skal i denne forbindelse tilføjes, at intet i ordlyden af artikel 95 EF gør det muligt at konkludere, at de foranstaltninger, der vedtages af fællesskabslovgiver på grundlag af denne bestemmelse, skal begrænses til alene at have medlemsstaterne som adressater. Det kan således vise sig nødvendigt i henhold til nævnte lovgivers vurdering at fastsætte bestemmelser om oprettelse af et fællesskabsorgan, der har til opgave at bidrage til gennemførelsen af en harmoniseringsproces i situationer, hvor vedtagelsen af ikke-bindende ledsage- og rammeforanstaltninger forekommer egnede til at lette gennemførelsen og den ensartede anvendelse af retsakter vedtaget med hjemmel i denne bestemmelse.

45 Det skal imidlertid understreges, at de opgaver, der gives et sådant organ, skal være nært forbundet med de områder, som er genstand for retsakterne om indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser. Dette er bl.a. tilfældet, når et således oprettet fællesskabsorgan leverer ydelser til nationale myndigheder og/eller erhvervslivet, som har betydning for den ensartede gennemførelse af harmoniseringsbestemmelserne, og som kan lette deres gennemførelse.

Forordningens forenelighed med kravene i artikel 95 EF

46 Det skal på denne baggrund efterprøves, om agenturets formål, som fastsat i forordningens artikel 2, og de opgaver, der er tildelt agenturet i henhold til forordningens artikel 3, er i overensstemmelse med de forskrifter, der er omtalt i denne doms præmis 44 og 45.

47 Med henblik herpå skal det for det første afgøres, om nævnte formål og opgaver er nært forbundet med de områder, der er genstand for de bestemmelser, der i forordningens artikel 1, stk. 2, er beskrevet som »nuværende fællesskabslovgivning«, samt i bekræftende fald og for det andet, om disse formål og opgaver vil kunne anses for ledsage- og rammeforanstaltninger i forbindelse med gennemførelsen af denne lovgivning.

48 Med hensyn til rammedirektivet, der er omtalt i niende betragtning til forordningen, fremgår det af direktivets artikel 1, stk. 1, at det har til formål at fastlægge harmoniserede rammer for regulering af elektroniske kommunikationstjenester, elektroniske kommunikationsnet samt tilhørende faciliteter og tjenester. Direktivet fastsætter de nationale tilsynsmyndigheders opgaver og opstiller en række procedurer, der skal sikre, at rammebestemmelserne anvendes ensartet i hele EF.

49 I 16. betragtning til rammedirektivet er det i denne henseende anført, at nævnte myndigheders tiltag er baseret på et harmoniseret sæt af målsætninger og principper. Disse er opregnet i samme direktivs artikel 8 og omfatter bl.a. et højt beskyttelsesniveau for så vidt angår personoplysninger og privatlivets fred samt de offentlige kommunikationsnets integritet og sikkerhed [jf. rammedirektivets artikel 8, stk. 4, litra c) og f)].

50 Det skal ligeledes bemærkes, at de talrige bestemmelser i særdirektiverne er udtryk for fællesskabslovgivers ønsker for så vidt angår net- og informationssikkerhed.

51 Som det for det første fremgår af sjette betragtning til forordningen, henvises der i bilaget, del A, punkt 7 og 16, til tilladelsesdirektivet til beskyttelse af personoplysninger og privatlivets fred i den elektroniske kommunikationssektor samt sikring af offentlige net mod ulovlig adgang.

52 Som det for det andet fremgår af syvende betragtning til forordningen, har forsyningspligtdirektivet til formål at sikre de offentlige telefonnets integritet og tilgængelighed. I denne forbindelse er det fastsat i direktivets artikel 23, at medlemsstaterne træffer alle nødvendige foranstaltninger for at sikre disse funktioner, særligt i tilfælde af netsvigt som følge af katastrofesituationer eller i force majeure-situationer.

53 Som det for det tredje er præciseret i ottende betragtning til forordningen, kræver direktivet om databeskyttelse inden for elektronisk kommunikation, at udbydere af offentligt tilgængelige elektroniske kommunikationstjenester træffer passende tekniske og organisatoriske foranstaltninger til at beskytte de omhandlede tjenester samt stiller krav om kommunikationshemmelighed for så vidt angår både selve kommunikationen og de dermed forbundne trafikdata. Disse krav er navnlig afspejlet i direktivets artikel 4 og 5, der indeholder bestemmelser vedrørende henholdsvis netsikkerhed og kommunikationshemmelighed.

54 For det fjerde bestemmes det i artikel 17 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31), at medlemsstaterne skal sikre, at den registeransvarlige iværksætter de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelser af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.

55 For det femte skal det bemærkes, at det i artikel 3, stk. 4, i direktivet om elektroniske signaturer er fastsat, at de kompetente organer, som udpeges af medlemsstaterne, fastsætter de nærmere bestemmelser vedrørende spørgsmålet om sikre signaturgenereringssystemers forenelighed.

56 Hvad angår de opgaver, der er overdraget til agenturet, skal det først bemærkes, at de vedrører indsamling af relevante oplysninger med henblik på at foretage en analyse af eksisterende og nye risici – navnlig risici, der vil kunne få følger for de elektroniske kommunikationsnets modstandsdygtighed samt for autenticiteten, integriteten og fortroligheden i forbindelse med disse kommunikationer. Agenturet skal ligeledes udvikle »fælles metoder« med henblik på at forebygge sikkerhedsproblemer, bidrage til, at alle brugere bliver mere bevidste, og fremme udveksling af »den aktuelt bedste praksis« samt »metoder til varsling« og anvendelse af risikovurdering og risikostyring.

57 For det andet har agenturet til opgave at styrke samarbejdet mellem de forskellige aktører på området for net- og informationssikkerhed og til at bistå Kommissionen og medlemsstaterne i deres dialog med erhvervslivet for at imødegå sikkerhedsrelaterede problemer i forbindelse med hardware- og softwareprodukter samt til at støtte Fællesskabets bestræbelser på at samarbejde med tredjelande og i givet fald med internationale organisationer om at fremme en global strategi til net- og informationssikkerhed.

58 De opgaver, der er overdraget til agenturet i medfør af forordningens artikel 3, er følgelig nært forbundet med de formål, der forfølges med rammedirektivet og særdirektiverne på området for net- og informationssikkerhed.

59 Under disse omstændigheder skal det, som nævnt i denne doms præmis 47, afgøres, om agenturets opgaver kan anses for ledsage- og rammeforanstaltninger i forbindelse med gennemførelsen af fællesskabslovgivningen på området, dvs. om oprettelsen af agenturet samt de formål og opgaver, der er overdraget til agenturet ved forordningen, kan bedømmes som »foranstaltninger med henblik på indbyrdes tilnærmelse« i artikel 95 EF’s forstand.

60 Under hensyntagen til det omhandlede områdes særlige kendetegn skal det bemærkes, at forordningen ikke er en isoleret foranstaltning, men indgår i en retlig systematik, som er afgrænset af rammedirektivet og særdirektiverne, og som har til formål at virkeliggøre det indre marked på det elektroniske kommunikationsområde.

61 Det fremgår ligeledes af de samlede sagsakter, at fællesskabslovgiver stod over for et område, der iværksætter teknologier, som ikke alene er komplicerede, men også i rivende udvikling. På denne baggrund konkluderede fællesskabslovgiver, at det måtte forudses, at gennemførelsen og anvendelsen af rammedirektivet og særdirektiverne ville resultere i forskelligheder mellem medlemsstaterne.

62 Under disse omstændigheder fandt fællesskabslovgiver, at oprettelsen af et fællesskabsorgan, såsom agenturet, var et egnet middel til at forhindre, at der opstod forskelle, der kunne skabe hindringer for det indre markeds effektive funktion på området.

63 Det bemærkes, at det fremgår af tredje og tiende betragtning til forordningen, at fællesskabslovgiver således var af den opfattelse, at nettenes og informationssystemernes tekniske kompleksitet, de mange forskellige indbyrdes forbundne produkter og tjenester samt det enorme antal private og offentlige aktører, der hver især har deres eget ansvar at tilgodese, risikerede at underminere et velfungerende indre marked ved en uensartet anvendelse af de tekniske forskrifter, der er fastsat i rammedirektivet og særdirektiverne.

64 På denne baggrund kunne fællesskabslovgiver vurdere, at en udtalelse fra et uafhængigt organ, der yder teknisk rådgivning på opfordring fra Kommissionen og medlemsstaterne, kunne lette gennemførelsen af de pågældende direktiver i medlemsstaternes nationale ret og iværksættelsen af dem på nationalt plan.

65 Endelig bemærkes, at agenturet i henhold til forordningens artikel 27 oprettes fra den 14. marts 2004 for en periode på fem år, og at Kommissionen ifølge forordningens artikel 25, stk. 1 og 2, senest den 17. marts 2007 skal gennemføre en evaluering, der har til formål at vurdere resultaterne af agenturets arbejde med hensyn til de mål og opgaver, der er overdraget til det, samt dets arbejdsmetoder.

66 Det fremgår følgelig af en sammenligning af de to bestemmelser, at fællesskabslovgiver fandt, at det var passende – før der blev truffet afgørelse om agenturets skæbne – at gennemføre en evaluering af agenturets aktivitet samt af det faktiske bidrag, som agenturet yder til iværksættelsen af rammedirektivet og særdirektiverne.

67 På denne baggrund og henset til de samlede sagsakter må det konkluderes, at det var med rette, at forordningen blev vedtaget med hjemmel i artikel 95 EF, og de sagsøgte bør følgelig frifindes.

Sagens omkostninger

68 Ifølge procesreglementets artikel 69, stk. 2, pålægges det den tabende part at betale sagens omkostninger, hvis der er nedlagt påstand herom. Da Parlamentet og Rådet har nedlagt påstand om, at Det Forenede Kongerige tilpligtes at betale sagens omkostninger, og dette har tabt sagen, bør det pålægges Det Forenede Kongerige at betale sagens omkostninger. I henhold til artikel 69, stk. 4, bærer Republikken Finland og Kommissionen deres egne omkostninger.

På grundlag af disse præmisser udtaler og bestemmer Domstolen (Store Afdeling):

1) Europa-Parlamentet og Rådet for Den Europæiske Union frifindes.

2) Det Forenede Kongerige Storbritannien og Nordirland betaler sagens omkostninger.

3) Republikken Finland og Kommissionen for De Europæiske Fællesskaber bærer deres egne omkostninger.

Underskrifter