DE    DE DE 
DE    DE  EUROPÄISCHE KOMMISSION 
Brüssel, den 30.9.2010 
SEK(2010) 1127 
ARBEITSDOKUMENT DER KOMMISSIONSDIENSTSTELLEN 
ZUSAMMENFASSUNG DER FOLGENABSCHÄTZUNG  
 
Begleitdokument zum 
  
Vorschlag für eine  
 
VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES  
 
über die Europäische Agentur für Netz - und Informationssicherheit (ENISA) 
  
{KOM(2010) 521 endgültig} 
{SEK(2010) 1126} 
DE 2   DE ZUSAMMENFASSUNG DER FOLGENABSCHÄTZUNG  
1. GELTUNGSBEREICH UND KONTEXT  
1.1. Geltungsbereich 
Im Mittelpunkt dieser Folgenabschätzung steht die Frage, wie eine modernisierte Agentur für 
Netz- und Informationssicherheit (NIS), die al s geeignetes und notwendiges Politikinstrument 
für den Umgang mit NIS-Herausforderungen bre ite Anerkennung findet, am besten gestaltet 
werden sollte, damit sie die Einrichtungen de r Mitgliedstaaten und die Kommission bei der 
Erreichung ihrer Ziele im Bereich der NIS-Pol itik unterstützen kann, wenn das Mandat der 
Europäischen Agentur für Netz- und Informati onssicherheit (ENISA) im März 2012 ausläuft. 
1.2. Kontext 
In der heutigen Welt hängen Wirtschaft und  Gesellschaft entscheidend davon ab, dass 
Informations- und Kommunikationstechnolo gien (IKT) ordnungsgemäß funktionieren. 
Deshalb ist es von überragender Bedeutung sicher zustellen, dass die Systeme stabil laufen 
und dass die Nutzer ihnen vertrauen. Die zunehmende Anzahl von Bedrohungen, Angriffen 
und Schadprogrammen gegen diese Systeme könnte eine Gefahr fü r das ordnungsgemäße 
Funktionieren grundlegender Netz- und Informa tionsinfrastrukturen darstellen. Da diese 
Systeme und Netze länderübergreifend arbeiten,  ist auf die Herausforderung der Netz- und 
Informationssicherheit (NIS) eine europäische Antwort notwendig. 
Zur Bewältigung dieser Fragen wurde die Europäische Agentur für Netz- und 
Informationssicherheit (ENISA) 2004 für ei nen Zeitraum von fünf Jahren gegründet1. Das 
Hauptziel war die „Gewährleistung einer hohen und effektiven Netz- und 
Informationssicherheit innerhalb der Geme inschaft und der Entwicklung einer Kultur der 
Netz- und Informationssicherheit, die Bürgern, Verbrauchern, Unternehmen und Organisationen des öffentlichen Sektors der Europäischen Union Nutzen bringt und damit 
zum reibungslosen Funktionieren  des Binnenmarktes beiträgt“ . 
Seitdem haben sich die NIS-Herausforderungen mit der Technologie- u nd Marktentwicklung 
ständig verändert. Deshalb leitete die Ko mmission schon lange vor dem Auslaufen der 
ENISA-Verordnung im März 2009 einen Prozess ei n, um gemeinsam mit den einschlägigen 
Akteuren jene Politikvorschläge zu bestimmen, di e den NIS-Zielen der EU ab 2009 am besten 
dienen. Nach einer Halbzeitbewertung
2 der ENISA 2007 und einer öffentlichen Konsultation3 
erließen der Rat und das Europäische Parlam ent am 24. September 2008 eine Verordnung zur 
Verlängerung des bisherigen ENISA-Manda ts um drei Jahre bis zum 13. März 20124. In den 
Erwägungsgründen dieser Verordnung riefen de r Rat und das Europäische Parlament dazu 
                                                 
1 Verordnung (EG) Nr. 460/2004 des Europäischen Parlaments und des Rates vom 10. März 2004 zur 
Errichtung der Europäischen Agentur für Netz- und Informationssicherheit. 
2 Mitteilung der Kommission an das Europäische Parlament und den Rat über die Bewertung der 
Europäischen Agentur für Netz- und Informationssicherheit (ENISA), KOM(2007) 285 endg. vom 
1.6.2007: 
 http://eur-lex.europa.eu/LexUriServ/Le xUriServ.do?uri=C ELEX:52007DC0285:DE:NOT . 
3 Die Konsultation lief vom 13. Juni bis zum 7. September 2007. 
4 Verordnung (EG) Nr. 1007/2008 des Europäischen Parlaments und des Rates vom 24. September 2008 
zur Änderung der Verordnung (EG) Nr. 460/2004 zur Errichtung der Europäischen Agentur für Netz- 
und Informationssicherheit bezüglich deren Bestehensdauer, ABl. L 293 vom 31.10.2008. 
DE 3   DE auf, „weitergehende Überlegungen über die Zukunft der ENISA und die allgemeine 
Ausrichtung der europäischen Bemühungen  um eine verbesserte Netz- und 
Informationssicherheit “ anzustellen. 
Die Kommission förderte die Diskussion im  November 2008 durch die Einleitung einer 
weiteren EU-weiten öffentlichen Konsultation über die möglichen Ziele einer verstärkten 
Politik für Netz- und Informationssicherheit und die Mittel und Wege, um diese Ziele zu 
erreichen5. Darüber hinaus veranstaltete die Komm ission im Dezember 2008 einen Workshop 
mit NIS-Experten der zuständigen Stellen in den Mitgliedstaaten über die Instrumente und 
Verfahren einer verstärkten Politik für Netz- und Informationssicherheit. Ferner nahm die 
Kommission im März 2009 eine Mitte ilung über den Schutz kritischer 
Informationsinfrastrukturen6 (CIIP) an, in der sie der ENISA eine Schlüsselrolle zuweist, 
wenn es darum geht, die EU bei der Stär kung der Sicherheit, Abwehrbereitschaft und 
Stabilität zu unterstützen. Dieser Ansatz wu rde auf der Ministerkonferenz über den Schutz 
kritischer Informationsinfrastrukturen (CIIP ) am 27. und 28. April in Tallinn gebilligt, in 
deren Schlussfolgerungen es hieß: „Die neuen und lang andauernden künftigen 
Herausforderungen erfordern ein gründliches Überdenken und Überarbeiten des Mandats 
der Agentur, die es dieser gestatteten, sich besser auf die EU-Prioritäten und -Erfordernisse 
zu konzentrieren , eine flexiblere Reaktions fähigkeit zu erzielen, eu ropäische Fertigkeiten und 
Kompetenzen zu entwickeln und die operative Effizienz und die Gesamtwirkung der Agentur 
zu fördern. Auf diese Weise könnte ENIS A auf Dauer zu einem Trumpf für alle 
Mitgliedstaaten und die Europäische Union insgesamt werden.“  
Am 18. Dezember 2009 verabschiedete der Rat eine Entschließung über „ein kooperatives 
europäisches Vorgehen im Bereich der Netz- und Informationssicherheit“7, in der betont 
wird: „Die ENISA sollte im Rahmen eines überar beiteten Mandats als Kompetenzzentrum 
der Europäischen Union für EU-bezogene Netz- und Informationssicherheit dienen. “ 
In der Kommissionsstrategie „Europa 2020“ für in telligentes, nachhalt iges und integratives 
Wachstum8 wird als eine der sieben Leitinitiativen zu deren Um setzung die Digitale Agenda 
für Europa genannt, in der die NIS eine zentrale Rolle spielt. Ziel dieser Politikinitiative für 
Vertrauen und Sicherheit in der Digitalen Agenda für Europa ist es, die EU, die 
Mitgliedstaaten und die Akteur e in die Lage zu versetzen, ein hohes Niveau an 
Reaktionsfähigkeit und Abwehrbereitschaf t aufzubauen, um NIS-Probleme zu 
verhüten, zu erkennen und be sser bewältigen zu können . Dies wird zu mehr Vertrauen 
und Sicherheit im europäischen dig italen Binnenmarkt beitragen und die 
Wettbewerbsfähigkeit der europäischen Unternehmen verbessern. 
                                                 
5 Vom 7. November 2008 bis 9. Januar 2009, Bericht abrufbar unter  
http://ec.europa.eu/information_society/policy/nis/nis_public_consultation/index_en.htm . 
6 Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und 
Sozialausschuss und den Ausschuss der Regionen über den Schutz kritischer 
Informationsinfrastrukturen, KOM(2009) 149 vom 30.3.2009. 
7 Entschließung des Rates vom 18. D ezember 2009 über ein kooperativ es europäisches Vorgehen im 
Bereich der Netz- und Informationssicherheit (NIS) (ABl. C 321 vom 29.12.2009, S. 1). 
8 KOM(2010) 2020. 
DE 4   DE 2. PROBLEMSTELLUNG  
2.1. Worin besteht das Problem? 
Ermittelt wurden folgende Problempunkte, die die Akteure für NIS-Bedrohungen und NIS-
Störungen anfällig machen. Sie alle belegen di e Notwendigkeit einer ve rlässlichen Struktur 
auf EU-Ebene, die das Problem angehen und übe rall in Europa mit den sich ständig 
ändernden Technologie- und Marktbedingungen im  Bereich der NIS Schritt halten kann.  
• Die Vielfalt und Uneinheitlic hkeit nationaler Konzepte.  NIS-Probleme richten sich 
nicht nach nationalen Grenzen  und können deshalb nicht ausschließlich auf nationaler 
Ebene wirksam gelöst werden. Gleichzeitig gi bt es große Unterschiede in der Art und 
Weise, wie die Behörden in verschiedene n Mitgliedstaaten mit diesen Problemen 
umgehen. Die Vielzahl der unterschiedlichen Sicherheitsanforderungen in verschiedenen 
Mitgliedstaaten bedeutet eine Kostenbelast ung für EU-weit tätige Unternehmen und führt 
zu einer Fragmentierung und einem Verlust an  Wettbewerbsfähigkeit im europäischen 
Binnenmarkt.  
• Beschränkte Frühwarn- und Reaktionsfäh igkeit bei Störungen in Europa. Die 
derzeitigen, nationalen Frühwarn- und Krisenbewältigungssysteme weisen erhebliche 
Unterschiede zwischen den Mitgliedstaaten au f, wogegen es ein EU-System nicht gibt. Es 
besteht daher ein Bedarf an EU-Politikinst rumenten für die Ermittlung von NIS-Risiken 
und -Anfälligkeiten, für die Schaffung geeigneter Reaktionsmechanismen und für die Sicherstellung, dass den Bete iligten diese Reaktionsmech anismen bekannt sind und von 
ihnen auch angewandt werden. 
• Ein Mangel an zuverlässigen Daten und unzureichende Kenntnis über sich 
verändernde Probleme.  Es liegen kaum verlässliche quantitative Informationen über die 
Folgen oder auch nur das Auftreten von NIS- Störungen vor, weshalb es für politische 
Entscheidungsträger schwierig ist, angeme ssene politische Maßnahmen zu ergreifen, und 
für Unternehmen schwierig is t, über Investitionen im Be reich der Sicherheit zu 
entscheiden.  
• Geringes Bewusstsein für Risiken und Herausforderungen im Bereich der NIS. Die 
Verantwortung für die Gewährleistung der Ne tz- und Informationssicherheit liegt bei den 
einzelnen Akteuren, ihre Verantwortlichke iten werden jedoch nicht immer eindeutig 
festgelegt und mitgeteilt. Eine rseits neigen die Verbraucher zu einer Unterschätzung der 
NIS-Risiken und sind sich ihrer eigenen Verantwortung für die Sicherung ihrer IKT-
Systeme nicht bewusst. Andererseits sehen di e Unternehmen häufig vor allem die Kosten 
der NIS, nicht aber die mit ihr ve rbundenen potenziellen Einsparungen.  
• Die internationale Dimension der Pr obleme im Bereich der Netz- und 
Informationssicherheit.  NIS-Bedrohungen und daran ansch ließende Störungen sind von 
Natur aus international, so  dass EU-Maßnahmen weniger wirksam sein können, wenn NIS-
Problemen nicht auch auf internationaler Ebene in angemessener Weise begegnet wird. Daher muss eine EU-Strategie und eine Bez ugsstelle für NIS geschaffen werden, um die 
internationale Position der EU zu stärken. 
• Die Notwendigkeit von Kooperationsmodel len für die angemessene Umsetzung der 
Politik.  Für eine angemessene Umsetzung der NIS-Politik werden Kooperationsmodelle 
auf EU-Ebene benötigt. Die Akteure brauchen  Orientierungen für die Feststellung von 
DE 5   DE NIS-Bedrohungen und die Entwicklung einer guten  Praxis für die Umsetzung bestehender 
NIS-Vorgaben. 
• Die Notwendigkeit eines effizienteren Vorgehens gegen Cyberkriminalität. 
Bemühungen zur Erhöhung der Netz- und Inform ationssicherheit wurden bislang 
überwiegend im Rahmen der bisherigen ersten  Säule organisiert, d. h. die Fragen wurden 
zwischen den Organen erörte rt. Mit dem Inkrafttreten de s Vertrags von Lissabon ist nun 
jedoch eine breitere Palette von Aufgaben für eine NIS-Agentur in Betracht zu ziehen, die 
auch Gebiete der „zweiten und dritten Säule“  betreffen, d. h. Angelegenheiten, in denen 
der Rat bisher allein entschied.  
2.2. Wen betrifft das Problem am meisten? 
Störungen der Netz- und Informationssicherhe it haben sehr große Auswirkungen auf eine 
Vielzahl von Beteiligten, zu denen große und klei ne Unternehmen, öffentliche Stellen und 
Verwaltungen, aber auch einzelne Bürger zäh len. Mit anderen Worten, wir sind alle von der 
NIS betroffen und für sie verantwortlich. 
Über die genaue Zahl der NIS-Störungen oder ihre  wirtschaftlichen Folgen gibt es keine oder 
nur wenige objektive quantitative Informati onen. Einen Anhaltspunkt liefert die IDC-EMEA-
Marktuntersuchung9, der zufolge 28 % der Privathaushalte  in der EU-27 in den letzten 12 
Monaten von Spam- oder Virenproblemen betro ffen waren. Im Durchschnitt waren etwa 7 % 
der Geschäftsnutzer im letzten Jahr m it einem Sicherheitsproblem konfrontiert. 
3. GRÜNDE FÜR EU-M AßNAHMEN , MEHRWERT AUF EU-E BENE UND SUBSIDIARITÄT  
Wegen der wechselseitigen Abhängigkeit der Netze und Informationssysteme ist es für einen 
einzelnen Beteiligten extrem schwierig oder sogar unmöglich, die globalen wirtschaftlichen und gesellschaftlichen Folgen seiner Maßnah men zum Schutz vor NIS-Störungen richtig 
einzuschätzen. Eine unterschiedliche Politik und Praxis auf nationaler Ebene stört den 
Binnenmarkt, sowohl wegen der negativen Au swirkungen von NIS-Störu ngen (unzureichende 
Maßnahmen beeinträchtigen die Märkte in ande ren Mitgliedstaaten) als auch der positiven 
Auswirkungen einer guten NIS-Praxis (die gute Pr axis in einem Mitgliedstaat verbessert die 
NIS insgesamt und bildet somit ein eindeutiges gesellschaftlichen Gut). Ein politisches Eingreifen der EU ist daher gerechtfertigt, denn es würde einen echten Mehrwert für das 
Funktionieren des Binnenmarktes bedeuten. Ein solcher Mehrwert wurde auch in der 
Verordnung (EG) Nr. 460/2004 zu r Errichtung der ENISA anerka nnt, die festlegt, dass die 
ENISA mit ihren Zuständigkeiten einen Be itrag zum reibungslosen Funktionieren des 
Binnenmarktes leisten soll. 
Darüber hinaus ist ein Eingreifen der EU im  Bereich der NIS-Politik auch durch das 
Subsidiaritätsprinzip  gerechtfertigt. Wie schon in der Mi tteilung über den Schutz kritischer 
Informationsinfrastrukturen dargelegt, liefe ei ne EU-Strategie des Nichteingreifens in die 
nationale NIS-Politik eher dara uf hinaus, dass die Mitgliedst aaten trotz der wechselseitigen 
Abhängigkeit der Informationssysteme aufgef ordert würden, lediglich ihren eigenen 
                                                
 
9 IDC EMEA, The European Network and Information Security Market, Scenario, Trends and 
Challenges  (Der europäische Markt der Netz- und Informationssicherheit – Szenario, Trends, 
Herausforderungen), April 2009, in Bezug auf die Eurobarometer-Erhebung zur elektronischen 
Kommunikation, April 2007. 
DE 6   DE Hinterhof zu bewachen. Ei n hinreichendes Maß an K oordinierung zwischen den 
Mitgliedstaaten, das einen angemessenen Umgang mit den grenzübergreifenden Aspekten der 
NIS-Risiken sicherstellt, ist da her mit dem Subsidiaritätsprinzi p vereinbar. Zudem würde eine 
EU-Maßnahme die Wirksamkeit etwaiger nationaler Strategien erhöhen.  
Die EU-Bürger vertrauen in zunehm endem Maße ihre Daten komplexen 
Informationssystemen an (z. B. beim Cloud Computing ). Deshalb wird sich eine abgestimmte 
und kooperative NIS-Politik äußerst positiv auf den wirksamen Schutz der Grundrechte  
auswirken, insbesondere des Rechts auf den Schutz der personenbezogenen Daten und der 
Privatsphäre . Auch aus diesem Grund erscheinen EU-politische Maßnahmen hinlänglich 
gerechtfertigt.  
4. POLITISCHE ZIELE  
In dieser Folgenabschätzung wird geprüft, wie ei ne modernisierte NIS-Agentur, die als die am 
besten geeignete Organisationsst ruktur breite Anerkennung findet, am besten gestaltet werden 
sollte, damit sie im Zusammenspiel mit an deren EU-Instrumenten zur Erreichung der 
politischen Ziele beitragen kann. 
Das allgemeine Ziel besteht darin, die EU, die Mitgliedstaaten und die Akteure in die 
Lage zu versetzen, ein hohes Niveau an Reaktionsfähigkeit und Abwehrbereitschaft 
aufzubauen, um NIS-Probleme zu verhüt en, zu erkennen und besser zu bewältigen. Dies 
wird zu mehr Vertrauen und Sicherheit im europäischen digitalen Binnenmarkt beitragen und die Wettbewerbsfähigkeit der europäischen Unternehmen verbessern. 
Dieses Gesamtziel gliedert sich in sieben Einzelziele : 
(1) Angleichung der Regulierungskonzepte – Orientierungshilfen und Beratung für die 
Kommission und die Mitgliedstaaten bei de r Aktualisierung und Weiterentwicklung 
eines ganzheitlichen Regelungsrahmen s auf dem Gebiet der Netz- und 
Informationssicherheit; 
(2) Verhütung, Erkennung und Bewältigung  – Verbesserung der Abwehrbereitschaft 
durch einen Beitrag zu einer europäischen Frühwarn- und Reaktionsfähigkeit sowie 
europaweiten Notfallplänen und Übungen; 
(3) Unterstützung politisch er Entscheidungsprozesse  – Hilfestellung und Beratung für 
die Kommission und die Mitgliedstaaten; 
(4) Stärkung der Eigenverantwortung der Akteure  – Entwicklung einer Kultur des 
Sicherheits- und Risikomanagements durch di e Förderung des Informationsaustauschs 
und einer breiten Zusammenarbeit zwischen  Akteuren aus dem öffentlichen und 
privaten Sektor, auch zum unmittelbaren Nutzen der Bürger und KMU, sowie durch 
die Entwicklung einer Kultur des Problembewusstseins im Bereich der NIS; 
(5) Stärkung der Rolle Europas als int ernational ernstzunehmender Partner  – 
Aufbau einer hochrangigen Zusammenarbe it mit Drittländern und internationalen 
Organisationen, um auf ein gemeinsame s globales NIS-Konzept hinzuwirken und 
Impulse für hochrangige internationale  Initiativen in Europa zu geben; 
(6) Kooperative Umsetzung  – Förderung der Zusammenarbeit bei der Umsetzung der 
NIS-Politik; 
DE 7   DE (7) Bekämpfung der Cyberkriminalität  – Entwicklung wirksamer Antworten für die 
NIS-Aspekte der Cyberkriminalität durch die Zusammenarbeit mit den Behörden der (früheren) zweiten und dritten Säule, z. B. mit Europol. 
5. M
ÖGLICHE ORGANISATIONSFORMEN UND POLITIKOPTIONEN  
In der Folgenabschätzung (Kapitel 4 und Anhang 4) wird eine Reihe möglicher 
Organisationsformen für die Um setzung der oben genannten Polit ikoptionen geprüft: i) eine 
Agentur, ii) eine mehr oder weniger förmliche  öffentlich-private Partnerschaft (ÖPP), iii) ein 
informelles Kontaktnetz, iv) ein ständiges Netz der zuständigen Stellen und v) direkte 
Eingliederung in eine Ko mmissionsdienststelle.  
Im Vergleich dieser unterschiedlichen Organisa tionsformen erscheint die Agentur als das am 
besten geeignete Politikinstrument, weil sie folgende Vorteile aufweist: 1) Rechtssicherheit sowohl in Bezug auf die Organi sationsstruktur als auch die i nhaltlichen Aspekte, 2) ihre 
Eignung für die besonderen Belange eines so sensiblen Sektors wie der NIS (Stelle mit 
externer Sachkenntnis, Koordinier ung der Beziehungen mit den Akteuren, 
Einbeziehung/Mitarbeit der Mi tgliedstaaten) und 3) Anerke nnung und Ruf der ENISA in NIS-
Kreisen. 
Folglich wurden die folgenden Politikoptione n für die Organisationsform einer Agentur 
ausgearbeitet und ausführlich bewertet. 
Politikoption 1: Keine Maßnahmen 
Bei der Option „Keine Maßnahmen“ wird da von ausgegangen, dass die ENISA ab März 2012 
nicht mehr besteht und die laufenden ENISA-Tätigkeiten auch von keiner anderen EU-
Einrichtung übernommen werden.  
Eine Schließung der ENISA würde bedeuten, dass al le bisherigen Investitionen, z. B. in den 
Aufbau einer Organisation, die für hochspezialisie rte Fachleute attraktiv ist, in den Aufbau 
eines Erfahrungsschatzes und in die Vernet zung von und mit Akteuren und internationalen 
Einrichtungen, gerade in dem Moment abgez ogen würden, in dem die bestehende Agentur 
ihre volle Arbeitsfähigk eit erreicht hat.  
Die komplexe Natur der NIS-Problematik in ga nz Europa erfordert eine modernisierte und 
gestärkte Agentur, nicht die Schließung der best ehenden Agentur. Bekräftigt wird dies auch 
durch die Rolle, die z. B. der reformie rte Rechtsrahmen für die elektronische 
Kommunikation
10 der ENISA ausdrücklich zuweist,  und durch die von den Akteuren 
allgemein geäußerte Unterstützung für eine größ ere Rolle einer europäischen NIS-Agentur.  
Politikoption 2: Unveränderte Fortf ührung der gegenwärtigen Maßnahmen 
Option 2 ist das „Weiter-wie -bisher“-Szenario, d. h. die Fortführung des gleichen 
Politikinstruments in identischer  Form und mit gleicher Mittel ausstattung. Die Akteure sind 
sich im Allgemeinen darin einig, dass die ENISA inzwischen zu einer glaubwürdigen 
Bezugsstelle für NIS-Fragen gereift ist und sich in ihrem Fachgebiet zu einem 
Exzellenzzentrum entwickelt hat.  
                                                 
10 Siehe http://eur-lex.europa.eu/JOHtml.do?uri=OJ:L:2009:337:SOM:DE:HTML. 
DE 8   DE Mit ihrer derzeitig en Personalausstattung und angesichts der Hausha ltsbeschränkungen wird 
die Agentur ihren Einfluss aber nur in einer sehr begrenzten Zahl von NIS-Fragen ausüben 
können. Dies steht im krassen Widerspruch zu den Gesamterwartungen der Akteure an die 
Agentur und dürfte letztlich zu einer Vertra uenskrise führen, wenn der Agentur nicht die 
Möglichkeit gegeben wird, sich weiterzue ntwickeln und diesen wachsenden Erwartungen 
gerecht zu werden.  
Politikoption 3: Ausweitung der gegenwärtig en ENISA-Funktionen und Einbindung der 
Strafverfolgungs- und Datenschut zbehörden als vollwertige Akteure 
In dieser Option wird die Rolle eine NIS- Agentur erweitert und auf folgende Aufgaben 
ausgerichtet: 
• Aufbau und Pflege eines Verbindungsnetzes  zwischen den Akteuren sowie eines 
Wissensnetzes; 
• Funktion als NIS-Unterstützungszentrum fü r die Politikgesta ltung und -umsetzung 
(insbesondere was den Schutz der Privatsphä re, elektronische Signaturen, elektronische 
Identitäten (eID) und NIS-Standards be i öffentlichen Aufträgen anbelangt); 
• Unterstützung der EU-Politik für den Schutz kr itischer Informationsinfrastrukturen (CIIP) 
und deren Widerstandsfähigkeit (Übungen, EP3R11, Europäisches Informations- und 
Warnsystem usw.); 
• Schaffung eines EU-Rahmens für die Sa mmlung von NIS-Daten, einschließlich der 
Entwicklung von Methoden und Vorgehensweise n für die gesetzliche Erfassung und den 
Austausch solcher Daten; 
• Untersuchungen und Berichterstattung über di e wirtschaftlichen Aspekte der NIS; 
• Förderung der Zusammenarbeit mit Drittländern  und internationalen Organisationen, um 
auf ein gemeinsames globales NIS-Konzept hinzuwirken und Impulse für hochrangige 
internationale Initiativen  in Europa zu geben;  
• Durchführung nichtoperativer Maßnahmen im Zusammenhang mit den NIS-Aspekten der 
Strafverfolgung und justiziellen Zusammenarbeit.  
Die Agentur würde über alle notwendigen Ress ourcen verfügen, damit sie ihre Aufgaben 
zufriedenstellend und gründlich wahrnehmen und dadurch eine tatsächlic he Wirkung erzielen 
kann. Mit einer aufgestockten Mittelausstattung könnte die ENISA deutlich proaktiver werden 
und mehr Initiativen zur Förder ung der aktiven Mitarbeit der Akteure ergreifen. Außerdem 
würde diese neue Situation mehr Flexibilität ermöglichen, so dass schnell auf Änderungen im 
sich ständig weiterentwickelnden NI S-Umfeld reagiert werden könnte. 
Politikoption 4: Schaffung zusätzlicher operativer Funktionen zur Bekämpfung von 
Cyberangriffen und zur Reaktion auf Netzstörungen 
Zusätzlich zu den in Option 3 dargelegte n Tätigkeiten würde die Agentur operative 
Funktionen übernehmen, z. B. eine aktivere Rolle beim Schutz kritischer Infrastrukturen in 
der EU, etwa bei der Verhütung und Bewältigun g von Störungen, indem sie insbesondere als 
IT-Notfallteam ( Computer Emergency Response Team , CERT) der EU im NIS-Bereich wirkt 
                                                 
11 European Public Private Partnership for Resilience  (Europäische öffentlich-private Partnerschaft für 
Robustheit), siehe KOM(2009) 149. 
DE 9   DE und als EU-NIS-Krisenzentrum di e nationalen CERTs sowohl im Tagesgeschäft als auch bei 
Notfällen koordiniert.  
Diese Option würde eine beträchtliche Aufstoc kung der finanziellen und personellen Mittel 
der Agentur erforderlich machen, was Bedenke n bezüglich ihrer Aufnahmefähigkeit und der 
effektiven Mittelverwendung im Verhältnis zu den angestre bten Zielen hervorruft.  
Politikoption 5: Schaffung zusätzlicher ope rativer Funktionen zur Unterstützung der 
Strafverfolgungs- und der Justizbehörden bei der Bekämpfung von Cyberkriminalität 
Zusätzlich zu den in Option 4 dargelegten Tätigkeiten würde diese Option für die Agentur 
folgende Funktionen vorsehen: 
• Unterstützung in verfahre nsrechtlichen Fragen (vgl. das Übereinkommen über 
Computerkriminalität): z. B. Sammeln von Verkehrsdaten, Abfangen von Inhaltsdaten, 
Überwachung von Datenströmen im Fall von DoS-Überlastungsangriffen (Denial-of-Service-Angriffen); 
• Wirken als Kompetenzzentrum für die Un tersuchung von Straftaten und deren NIS-
Aspekte. 
Wie bei Option 4 würde dies eine beträchtl iche Aufstockung des Haushalts der Agentur 
erforderlich machen, was auf ähnliche Bede nken bezüglich ihrer Aufnahmefähigkeit und der 
effektiven Mittelverwendung stößt. 
6. V
ERGLEICH DER POLITIKOPTIONEN UND ABSCHÄTZUNG DER FOLGEN  
Aus der Analyse der möglichen wirtschaftlic hen, sozialen und umweltpolitischen Folgen 
ergibt sich, dass die Option  1 sich in jeder Hinsicht ne gativ auswirken und die Lage 
verschlechtern würde.  
Die Option  2 erweist sich als suboptimal, weil der Ag entur nicht die notwendigen Mittel zur 
Verfügung stünden, um den Herausforderunge n der sich ständig verändernden NIS-
Landschaft angemessen zu begegnen, was ihrem Ansehen schaden und letztlich in eine Vertrauenskrise führen könnte. 
In Option  3 würde eine modernisierte NIS- Agentur zu Folgendem beitragen: 
Vereinheitlichung der nationalen Konzepte (Pr oblempunkt 1), Stärkung einer daten- bzw. 
wissens-/informationsgestützten Po litikgestaltung und Entscheidungsfindung 
(Problempunkt 3) und Stärkung des Bewusstsein s für Risiken und Herausforderungen im 
Bereich der NIS und deren Bewältigung (Problempunkt 4) durch: 
• eine effizientere Sammlung einschlä giger Informationen über Risken, 
Bedrohungen und Anfälligkeiten durch je den einzelnen Mitgliedstaat; 
• eine bessere Verfügbarkeit von Informationen über gegenwärtige und künftige 
Herausforderungen und Risike n im Bereich der NIS; 
• eine höhere Qualität der NIS-Vorg aben in den Mitgliedstaaten.  
Verbesserung der Frühwarn- und Reaktionsfähi gkeit in Europa (Problempunkt 2) durch: 
DE 10   DE • Unterstützung der Kommission und der Mitg liedstaaten bei der Vorbereitung 
europaweiter Übungen, wodurch Größeneinsparungen bei der Bewältigung EU-
weiter Störungen erzielt werden; 
• die Förderung der Arbeit der EP3R, die da nk gemeinsamer poli tischer Ziele und 
EU-weiter Normen für die Sicherheit und Widerstandfähigkeit letztlich zu mehr 
Investitionen führen könnte. 
Förderung eines gemeinsamen globalen NIS-Konzepts (Problempunkt 5) durch: 
• die Verbesserung des Informations- und Wissensaustauschs mit Nicht-EU-
Ländern. 
Effizientere und wirksamere Bekämpfung der Cyberkriminalität (Problempunkt 7) durch: 
• Einbindung in nichtoperative Aufgaben im  Zusammenhang mit den NIS-Aspekten 
der Strafverfolgung und justiziellen Zusamm enarbeit, z. B. in den gegenseitigen 
Informationsaustausch und die Fortbildung (z. B. in Zusammenarbeit mit der Europäischen Polizeiakademie (EPA). 
Option  4 würde eine größere Wirkung auf operative r Ebene zusätzlich zu der von Option 3 
erzielen. Als EU-NIS-CERT und durch die K oordinierung der nationalen CERTs würde die 
Agentur zu höheren Größeneinsparungen bei der Bewältigung EU-weiter Störungen und zu 
geringeren operativen Risiken für Unternehme n beitragen, z. B. dank höherer Sicherheit und 
Widerstandsfähigkeit. 
Option  5 würde durch zusätzliche operative  Funktionen zur Unterstützung der 
Strafverfolgungs- und der Justizbehörden eine  größere Wirkung bei der Bekämpfung der 
Cyberkriminalität erzielen als die Optionen 3 und 4. 
Die Optionen 4 und 5 hätten zwar eine größere positive Wirkung als Option 3, sind aber beide 
für die Mitgliedstaaten politisch problematisch  im Bezug auf deren Zuständigkeiten für den 
Schutz kritischer Informationsinfrastrukturen  (eine Reihe von Mitgliedstaaten würde einer 
Zentralisierung operativer Funk tionen nicht zustimmen). Auße rdem könnte die Erweiterung 
des Mandats, wie in Option 4 und 5 geprüft, zu  einer unklaren Stellung der Agentur führen. 
Überdies könnte sich die Aufnahme dieser neuen und völlig andersartigen operativen Aufgaben in das Mandat der Agentur kurzfristig  als sehr schwierig er weisen, und es besteht 
die Gefahr, dass die Agentur nicht in der Lage ist, solche Aufgaben in einem vernünftigen 
zeitlichen Rahmen ordnungsgemäß zu erfüllen.  Nicht zuletzt sind auch die Kosten der 
Umsetzung der Optionen 4 und 5 prohibitiv hoch – die dafür erforderlichen Haushaltsmittel 
beliefen sich auf das vier- bis fünff ache des gegenwärtigen ENISA-Haushalts. 
Im Vergleich der Folgen aller fünf Politikoptionen  für die Organisationsform einer 
modernisierten NIS-Agentur scheiden die Optionen 1 und 2 aus, weil sie beide keine 
angemessene Bewältigung der komplexen NIS-Problematik auf EU-Ebene ermöglichen. Die Optionen 3, 4 und 5 würden dagegen die EU in die Lage versetzen, künftigen Fragen der NIS-
Politik angemessen zu begegnen. Die Optione n 4 und 5 erscheinen zum gegenwärtigen 
Zeitpunkt allerdings als zu ehrgeizig, sowohl im Hinblick auf die politische Sensibilität der 
meisten Mitgliedstaaten als auch die dam it verbundenen Haushalts auswirkungen. Folglich ist 
die Option  3 am besten geeignet, um die sieben er mittelten NIS-Probleme am effizientesten 
zu bewältigen . 
DE 11   DE 7. ÜBERWACHUNG UND BEWERTUNG : WIE KÖNNEN TATSÄCHLICHE KOSTEN UND 
VORTEILE SOWIE DIE ERREICHUNG DER GEWÜNSCHTEN WIRKUNGEN GEMESSEN 
WERDEN ? 
Diese politische Initiative würde regelmäßige Bewertungen vorsehen, die von der 
Kommission dem Europäischen Parlament und de m Rat zugeleitet und der Öffentlichkeit 
zugänglich gemacht werden. Diese Bewert ungen würden auch den Ansichten aller 
einschlägigen Beteiligten gemäß den mit de m Verwaltungsrat der Agentur vereinbarten 
Vorgaben Rechnung tragen, die Effektivität der Agentur bei der Erreichung ihrer Ziele 
beurteilen sowie abschätzen, ob eine Agentur noch immer ein wirksames Instrument ist und 
ob das Mandat der Agentur oder bestimmte Aspekte ihrer Gründungsverordnung geändert werden sollten. Im Anschluss an eine Be wertung würde der Verwaltungsrat der Agentur 
Empfehlungen für zweckmäßige Änderungen der Gründungsverordnung an  die Kommission 
richten. Der Verwaltungsrat und der Direktor  der Agentur sollten den Ergebnissen der 
Bewertungen bei der mehrjährigen Planung der Arbeit der Agentur Rechnung tragen. 
Die Tätigkeit der Agentur unterliegt der Aufsic ht des Bürgerbeauftragten gemäß Artikel 228 
AEUV.