Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO por el que se crea la Agencia Europea de Seguridad de las Redes y de la Información

(presentada por la Comisión)

EXPOSICIÓN DE MOTIVOS

1. ANTECEDENTES

En la actualidad, más del 90% de las empresas de la Unión Europea disponen de una conexión a Internet y la mayoría tienen también un sitio web. Una abrumadora mayoría de los trabajadores utilizan un teléfono móvil, un ordenador portátil o un dispositivo similar para enviar u obtener información para su trabajo. Esa información puede tener un valor considerable, ya que, por ejemplo, puede describir una operación comercial o contener conocimientos técnicos.

Incluso fuera del trabajo, la informática y las redes se han convertido en una parte esencial de la vida de los ciudadanos. En 2002, cerca del 40% de los hogares de la UE disponían de su propia conexión a Internet y más de dos tercios de la población utilizaba un teléfono móvil. Los centros escolares y las universidades están conectadas a la red, y estudiar utilizando Internet o un ordenador es una práctica habitual. Por su parte, las administraciones públicas están avanzando rápidamente hacia la llamada administración electrónica. Los ordenadores y las redes de comunicación controlan infraestructuras como el suministro de agua y electricidad o los sistemas de transporte público. Además, desde el 11 de septiembre de 2001, estos aspectos se han convertido en un asunto de seguridad nacional.

Dada la actual dependencia de las redes y los sistemas de información, la seguridad de su funcionamiento ha cobrado una importancia fundamental. De la misma forma que todos damos por sentado que dispondremos de electricidad o agua, los ciudadanos esperan también que un teléfono funcione cuando levantan el auricular o que un ordenador funcione correctamente cuando lo necesiten. Quieren tener acceso a la información almacenada sin excesivas demoras o interrupciones. Los fallos informáticos o de las redes han dejado de ser un problema aislado al que sólo tienen que enfrentarse los especialistas en informática. Los problemas de funcionamiento de las redes y los sistemas de información nos afectan a todos: ciudadanos, empresas y administraciones públicas.

La seguridad se ha convertido en una característica esencial de muchas empresas, sobre todo de las empresas que operan en Internet. Debido a ello, se ha convertido en una industria en la que empresas especializadas venden productos y servicios, y que está sujeta a mecanismos comerciales. Por ejemplo, los consumidores compran programas antivirus e instalan «cortafuegos» en sus ordenadores. Las empresas invierten en seguridad, crean intranets protegidas y encriptan los mensajes de correo electrónico o las comunicaciones inalámbricas. La información sensible se transmite utilizando el encriptado. Algunos usuarios parecen ser conscientes de la vulnerabilidad de sus sistemas y de los medios para hacer frente a la misma, mientras que otros están menos informados o interesados.

Desde la perspectiva actual, la seguridad de las redes y de la información consiste en garantizar la disponibilidad de servicios y datos, evitar las alteraciones y la intercepción no autorizada de las comunicaciones, confirmar que los datos que se han enviado, recibido o almacenado están completos y no se han modificado, garantizar la confidencialidad de los datos, proteger los sistemas de información contra accesos no autorizados y contra ataques con programas malintencionados y garantizar la autenticación, es decir, la confirmación de una identidad declarada de usuarios o entidades jurídicas.

En el futuro próximo, los requisitos de seguridad cambiarán rápidamente, puesto que las redes y la informática siguen desarrollándose y la informática se hará aún más omnipresente. Eso significa que las conexiones de banda ancha ofrecerán a los ciudadanos la oportunidad de estar conectados a Internet en todo momento, las nuevas aplicaciones inalámbricas permitirán a los usuarios acceder a Internet desde casi cualquier lugar y las posibilidades de conectar cualquier aparato, desde impresoras hasta frigoríficos, a Internet seguirán desarrollando y ampliando las formas en que los ciudadanos utilizan Internet.

La gestión de la seguridad ha resultado ser una tarea difícil y compleja, puesto que el usuario tiene que abordar la disponibilidad, la integridad, la autenticidad y la confidencialidad de los datos y los servicios. Dada la complejidad de la tecnología, muchos componentes y agentes deben trabajar al unísono y el comportamiento humano se ha convertido en un factor esencial.

Probablemente nunca podremos alcanzar la seguridad plena, o al menos no a un coste razonable. Siempre habrá puntos débiles, ataques, incidentes y fallos que causarán daños y que minarán la confianza en los sistemas y los servicios. Este campo no es distinto de otras tecnologías y aspectos de la vida diaria. Tanto la sociedad en su conjunto como los particulares tienen que aprender a gestionar los riesgos asociados a las redes y los sistemas de información.

2. FUNDAMENTO

La seguridad se ha convertido en una prioridad política de primer orden. Los gobiernos tienen una creciente responsabilidad para con la sociedad y hacen cada vez más esfuerzos por mejorar la seguridad en su territorio. Desean fomentar la seguridad, por ejemplo prestando su apoyo a equipos de respuesta rápida ante emergencias informáticas, a la investigación y a campañas de sensibilización. Asimismo, equipan y forman a sus cuerpos y fuerzas de seguridad para enfrentarse a la delincuencia relacionada con la informática e Internet.

Sin embargo, los Estados miembros se encuentran en distintas fases de este trabajo y los aspectos en los que centran su atención también varían de un país a otro. Aparte de redes administrativas como TESTA, no hay ninguna colaboración transnacional sistemática sobre seguridad de las redes y de la información entre los Estados miembros, a pesar de que los problemas de seguridad no se limitan a un país concreto. No hay ningún mecanismo que garantice respuestas eficaces a las amenazas en materia de seguridad. Asimismo, la aplicación de la legislación varía. La certificación de productos es nacional, mientras que las normas más importantes son desarrolladas por la industria mundial, y los operadores y vendedores se enfrentan a distintas actitudes de los gobiernos. Todo esto da lugar a una falta de interoperabilidad que dificulta una utilización correcta de los productos y servicios de seguridad.

La Comunidad Europea necesitaría una mayor coordinación entre Estados miembros con el fin de alcanzar un nivel de seguridad suficientemente alto en todos los Estados Miembros. Ése es el objetivo de la Comunicación de la Comisión sobre la seguridad de las redes y la información de junio de 2001 [1], que proponía una serie de medidas, entre las que cabe citar las acciones de sensibilización, la mejora de los mecanismos de intercambio de información y el apoyo a la normalización y la certificación orientadas al mercado.

[1] Comunicación de la Comisión al Consejo, al Parlamento Europeo, al Comité Económico y Social y al Comité de Regiones sobre la Seguridad de las Redes y de la Información; Propuesta para un enfoque político europeo, COM(2001) 298 final.

La Comunicación proponía también la creación de un sistema europeo de alerta e información. La Resolución del Consejo, de 28 de enero de 2002, relativa a un enfoque común y a acciones específicas en materia de seguridad de las redes y de la información ampliaba el desarrollo de este concepto. Ha quedado patente que los actuales mecanismos institucionales no permitirían que la seguridad de las redes y de la información se abordara de una forma adecuada en el ámbito europeo.

La Resolución se congratula por la intención de la Comisión de presentar propuestas para la creación de un grupo operativo sobre ciberseguridad, con el fin de reforzar los esfuerzos nacionales destinados tanto a mejorar la seguridad de las redes y de la información como a ampliar la capacidad de los Estados miembros, individual y colectivamente, para reaccionar ante los principales problemas en materia de seguridad de las redes y de la información.

En respuesta a las sugerencias de la Comisión, el Parlamento Europeo ha adoptado un dictamen, en el que exige una respuesta europea al creciente problema de la seguridad.

En junio de 2002, la OCDE aprobó sus «Directrices para la seguridad de la información y de las redes: Hacia una cultura de seguridad». Estas Directrices subrayan la importancia de aplicar determinados principios comunes de seguridad de la información y sirven de apoyo al trabajo que se está llevando a cabo en el ámbito europeo.

3. LA PROPUESTA DE CREAR UNA AGENCIA DE SEGURIDAD DE LAS REDES Y DE LA INFORMACIÓN

3.1. Antecedentes

El Parlamento Europeo, el Consejo y la Comisión abogan por una mayor coordinación europea en materia de seguridad de la información. La creación de un organismo con personalidad jurídica sería la forma más eficaz de conseguir ese objetivo. Por lo tanto, la propuesta de Reglamento propone crear una agencia reguladora europea de conformidad con las disposiciones de la Comunicación de la Comisión «El encuadramiento de las agencias reguladoras europeas», COM (2002) 718 final. Esta agencia se llamará la Agencia Europea de Seguridad de las Redes y de la Información, en adelante denominada «la Agencia».

No obstante, la legislación específica sobre comunicaciones electrónicas y, en particular, la Directiva marco sobre las comunicaciones electrónicas, atribuye un papel importante a los organismos nacionales competentes. Por eso, la Agencia no sólo asistirá a la Comisión sino también a las autoridades nacionales de reglamentación.

La propuesta se hace eco de varias preocupaciones expresadas durante las consultas con los Estados miembros celebradas por la Comisión. Esas preocupaciones se abordaron también en aportaciones del sector privado y pueden resumirse así: necesidad de flexibilidad, fiabilidad, competencia, eficacia y coherencia de la Agencia propuesta. Se han destacado especialmente los siguientes requisitos:

a) Dado que la seguridad de las redes y de la información es un campo en rápida evolución, es posible que los mecanismos institucionales óptimos cambien con el transcurso del tiempo. Por consiguiente, la Agencia debería estar en funcionamiento durante un período limitado de tiempo, después del cual debería llevarse a cabo un proceso de evaluación.

b) La Agencia debe englobar a organismos e instituciones públicas de los Estados miembros, además del sector privado.

c) La Agencia debe constituir un centro de conocimiento especializado reuniendo a personas competentes de todos los Estados miembros.

d) La Agencia debe ser capaz de actuar con eficacia y rápidamente. Por lo tanto, serán precisos unos recursos humanos y financieros suficientes para poder funcionar de una forma óptima y flexible, aunque la Agencia deberá estar limitada a un tamaño razonable.

e) La Comisión debe poder orientar el trabajo de la Agencia.

Estos requisitos constituyen las orientaciones generales de la propuesta de Reglamento. Explican por qué las tareas de la Agencia se describen claramente, pero al mismo tiempo permiten cierta flexibilidad. Asimismo, esos requisitos exigen una evaluación del funcionamiento de la Agencia tras los primeros tres años y establecen de forma clara que, para el correcto funcionamiento de la Agencia, es crucial una estrecha colaboración con las instituciones y los organismos de los Estados miembros, así como con las instituciones comunitarias.

La labor de la Agencia contará con un apoyo científico a través de actividades de investigación realizadas por el Centro Común de Investigación y otros programas de investigación comunitarios.

3.2. La elección del fundamento jurídico

Teniendo en cuenta estos antecedentes, esta propuesta aborda dos problemas estrechamente relacionados de interés para la Comunidad: el adecuado funcionamiento del Mercado Interior y la interoperabilidad de las redes electrónicas transeuropeas. En primer lugar, la introducción de requisitos de seguridad de gran complejidad técnica en las redes y los sistemas de información, tanto en los Estados miembros como a escala comunitaria, puede poner trabas al pleno desarrollo de los principios del Mercado Interior. En segundo lugar, el buen funcionamiento del Mercado Interior depende también de la interoperabilidad de las funciones de seguridad de las redes y de los sistemas de información.

Los siguientes apartados hacen referencia a los capítulos 1 a 5 de la propuesta.

3.3. Capítulo 1 - objetivos y funciones

3.3.1. Objetivos

El objetivo general de la Agencia es crear una comprensión común en Europa de los problemas en materia de seguridad de la información que es preciso abordar para garantizar la disponibilidad y seguridad de las redes y los sistemas de información en la Unión Europea. Para alcanzar ese objetivo, la definición de seguridad de las redes y de la información debe ser amplia y abarcar todas las actividades que tienen efectos negativos sobre la seguridad de las redes y los sistemas de información.

La Agencia deberá ser capaz de ofrecer asistencia en la aplicación de medidas comunitarias relativas a la seguridad de las redes y de la información. La asistencia que preste deberá contribuir a garantizar la interoperabilidad de las funciones de seguridad de la información en las redes y los sistemas de información, contribuyendo así al funcionamiento del Mercado Interior. Al mismo tiempo, deberá ampliar la capacidad tanto de la Comunidad como de los Estados miembros para responder a los problemas de seguridad de las redes y de la información. La Agencia tendrá un papel esencial para la seguridad de las redes y los sistemas de información europeos, así como para el desarrollo de la sociedad de la información en general.

3.3.2. Funciones

La Agencia tendrá funciones de asesoría y coordinación, recopilando y analizando datos sobre seguridad de la información. Hoy en día, organizaciones tanto públicas como privadas con distintos objetivos recogen datos sobre incidentes informáticos y otros datos de interés para la seguridad de la información. Sin embargo, no hay ninguna entidad central en el ámbito europeo que pueda recoger y analizar datos en toda la Comunidad y ofrecer dictámenes y asesoramiento para respaldar el trabajo normativo de la Unión Europea en materia de seguridad de las redes y de la información. La Agencia actuará como un centro de conocimiento especializado en el que tanto los Estados miembros como las instituciones comunitarias podrán asesorarse sobre aspectos técnicos relativos a la seguridad.

Asimismo, la Agencia contribuirá a una amplia cooperación entre distintos agentes del campo de la seguridad de la información, por ejemplo asistiéndoles en las actividades de seguimiento necesarias para garantizar la seguridad del comercio electrónico (e-business). Esa cooperación será un requisito previo de vital importancia para el funcionamiento seguro de las redes y los sistemas de información en Europa. Por eso, es necesaria la participación de todos los que tienen algo que decir en este campo.

La Agencia contribuirá a la creación de una estrategia coordinada de seguridad de la información respaldando a los Estados miembros, por ejemplo en la promoción de acciones de evaluación de riesgos y de sensibilización. Con el fin de garantizar la interoperabilidad de las redes y los sistemas de información, la Agencia también emitirá dictámenes y dará asistencia en relación con la utilización de procesos y procedimientos armonizados en los Estados miembros cuando éstos apliquen requisitos técnicos que afecten a la seguridad. No sólo los requisitos jurídicos, sino también en buena medida los requisitos técnicos pueden afectar a la interoperabilidad y poner trabas al buen funcionamiento del Mercado Interior.

Por otra parte, la Agencia tendrá también un papel de apoyo en la definición de las necesidades de normalización y en la promoción de las normas de seguridad y los programas de certificación, fomentando que la Comisión y los Estados miembros los utilicen tanto como sea posible para apoyar a la legislación europea.

Dado que los problemas de seguridad de las redes y de la información se dan a escala mundial, existe también una necesidad de cooperación internacional en este campo. La Agencia respaldará los contactos de la Comunidad con las entidades correspondientes de terceros países.

En el campo de los sistemas de información y las redes surgen de forma constante nuevas vulnerabilidades y riesgos. Por eso, es necesario que la Comisión pueda asignar otras funciones a la Agencia con el fin de no rezagarse con respecto al actual desarrollo tecnológico y social, de conformidad con lo dispuesto en el encuadramiento de las agencias reguladoras europeas.

3.4. Capítulo 2 - Organización

3.4.1. Estructura interna

La estructura organizativa debería facilitar la participación de todos los afectados por el trabajo de la Agencia, la independencia ante presiones externas, la transparencia y la responsabilidad ante las instituciones democráticas. Por consiguiente, se propone la creación de un Consejo de Administración formado por representantes nombrados por el Consejo y la Comisión. Asimismo, se propone que en el Consejo de Administración se incluyan representantes de la industria y de los consumidores, que serán propuestos por la Comisión y nombrados por el Consejo. Los representantes de la industria y de los consumidores no tendrán derecho de voto.

La Agencia estará dirigida por un Director Ejecutivo con un alto grado de independencia y flexibilidad, que será responsable de la organización del funcionamiento interno de la Agencia. El Director Ejecutivo se encargará también de preparar y ejecutar el presupuesto y el programa de trabajo de la Agencia, así como de los asuntos de personal. Con el fin de proporcionarle la legitimidad necesaria, el Director Ejecutivo deberá ser nombrado por el Consejo de Administración a propuesta de la Comisión.

En su calidad de organismo comunitario, la Agencia deberá garantizar un uso óptimo del conocimiento especializado y los recursos para alcanzar su misión, respetando al mismo tiempo el requisito general de independencia. Por consiguiente, se propone que la Agencia incluya un Comité Asesor restringido, formado por expertos cuya función será facilitar la cooperación y el intercambio de información entre la Agencia y las instituciones y organismos competentes en los distintos Estados miembros, como por ejemplo, un experto en protección de datos o un representante comunitario de investigación. El Comité Asesor tendrá funciones de asesoría y será responsable, conjuntamente con el Director Ejecutivo, de la elaboración del programa de trabajo anual de la Agencia.

3.5. Capítulo 3 - Funcionamiento

3.5.1. Programa de trabajo

La Agencia precisará cierta flexibilidad para poder adaptar su trabajo a la rápida evolución de la tecnología, así como modificar el enfoque de su trabajo. Por lo tanto, el Consejo de Administración adoptará un programa de trabajo para cada año, que deberá ser aprobado por la Comisión a propuesta del Director Ejecutivo. Los resultados de las actividades de acuerdo con el programa de trabajo de cada año se presentarán en el informe general, que elaborará el Director Ejecutivo y aprobará el Consejo de Administración.

3.5.2. Dictámenes

Existe el riesgo de que la Agencia se vea desbordada por peticiones de dictámenes y asistencia y, por lo tanto, debería especificarse quién puede presentar esas peticiones y el proceso de tramitación de las mismas.

3.5.3. Grupos de trabajo

A pesar de que el personal de la Agencia estará muy preparado, es posible que surjan asuntos de un carácter más especializado, razón por la cual la Agencia podrá crear grupos de trabajo de carácter temporal formados por expertos de diversos campos. De acuerdo con su política de transparencia, representantes de la Comisión podrán asistir a las reuniones de esos grupos de trabajo.

3.5.4. Independencia

La aceptación del asesoramiento y los dictámenes de la Agencia por los particulares, las administraciones públicas y las empresas dependerá de que se establezca un modelo de independencia. Por tanto, los miembros del Consejo de Administración y del Comité Asesor, el Director Ejecutivo y los expertos externos que participen en grupos de trabajo estarán obligados a declarar que no tienen ningún interés que pudiera poner en peligro su independencia.

3.5.5. Transparencia y confidencialidad

La Agencia aprobará sus normas sobre transparencia y acceso a los documentos de conformidad con las decisiones del Parlamento Europeo y del Consejo en el contexto del Artículo 255 del Tratado CE y con las Disposiciones de la Comisión en materia de seguridad [2].

[2] Decisión del Consejo CE/2001/264 de 19 de marzo de 2001 por la que se adopta el reglamento de seguridad del Consejo y la Decisión de la Comisión C(2001) 3831.

Aunque, para que el trabajo de la Agencia goce de aceptación, es preciso un elevado grado de transparencia y un amplio acceso a los documentos que publique, este organismo recogerá también información que deberá ser mantenida en la más estricta confidencialidad.

3.6. Capítulo 4 - Disposiciones financieras

Para el período 2004-2008, la Agencia necesitará una asignación presupuestaria de una cuantía suficiente para contratar al personal que se describe anteriormente y para dotar al personal del equipo tecnológico necesario para desempeñar sus tareas y funcionar correctamente. El presupuesto se especifica en la Ficha de Financiación Legislativa.

El presupuesto de la Agencia será financiado por una contribución de la Comunidad, con posibles aportaciones de terceros países que participen en el trabajo de la Agencia. El Director Ejecutivo será responsable de la elaboración de un proyecto preliminar de previsiones presupuestarias. El Consejo de Administración facilitará a la Comisión la previsión de ingresos y gastos, para su tramitación de conformidad con los procedimientos presupuestarios habituales.

El Director Ejecutivo será responsable de la ejecución del presupuesto. El Parlamento Europeo, sobre la base de la recomendación del Consejo, dará descargo al Director Ejecutivo de la Agencia respecto a la ejecución del presupuesto. El Auditor Financiero de la Comisión llevará a cabo la auditoría financiera. El Tribunal de Cuentas examinará las cuentas y publicará un informe anual.

3.7. Capítulo 5 - Disposiciones generales

3.7.1. Personalidad jurídica y privilegios

La Agencia gozará en cada uno de los Estados miembros de la más amplia capacidad jurídica y se beneficiará de los privilegios e inmunidades estipulados en el Protocolo sobre los privilegios e inmunidades de las Comunidades Europeas.

3.7.2. Responsabilidad

El régimen de responsabilidad contractual y extracontractual de la Agencia corresponde al régimen aplicable a la Comunidad en virtud del Artículo 288 del Tratado.

3.7.3. Personal

En su calidad de centro de conocimiento especializado, es de vital importancia que la Agencia tenga un número suficiente de empleados muy cualificados. Actualmente, en Europa escasean los profesionales con los perfiles necesarios, por lo que están muy solicitados. La Agencia podrá contratar a trabajadores procedentes tanto del sector público como del sector privado. Se aplicarán al personal de la Agencia el Estatuto de los funcionarios de las Comunidades Europeas y el Régimen aplicable a otros agentes de las Comunidades Europeas. Sin perjuicio de la necesidad de disponer de un personal suficiente, estable y cualificado, se harán contratos temporales con una duración máxima de cinco años.

3.7.4. Protección de datos personales

La Agencia tratará también datos personales relacionados con sus funciones y, a este respecto, aplicará los reglamentos aplicables a ese tratamiento en su condición de institución comunitaria.

3.7.5. Participación de terceros países

La Agencia estará abierta a la participación de terceros países que hayan firmado acuerdos con la Comunidad Europea en virtud de los cuales hayan adoptado y estén aplicando la legislación comunitaria en el ámbito regulado por el presente reglamento.

3.8. Capítulo 6 - Disposiciones finales

3.8.1. Evaluación

Habida cuenta de que la seguridad de las redes y de la información es un problema altamente tecnológico y, como consecuencia, en rápida evolución, incluso los mejores mecanismos institucionales pueden tener que cambiar con el transcurso del tiempo. En el plazo de tres años a partir de la fecha de comienzo de la actividad estipulada en el Artículo 26, o antes si lo considera necesario el Consejo de Administración, deberá iniciarse un proceso de evaluación con el fin de analizar si la continuidad de las operaciones tras ese período inicial de cinco años aportaría algún valor y, si fuera necesario, proponer cualquier modificación de sus responsabilidades, objetivos y mandato futuros.

Esta evaluación analizará especialmente hasta qué punto ha afectado negativamente a la eficacia y la eficiencia de las operaciones de la Agencia la falta de participación de cuerpos y fuerzas de seguridad. En el caso de que la evaluación demuestre la existencia de esa incidencia negativa, la Comisión examinará la idoneidad de una propuesta que complemente este reglamento.

3.8.2. Sede

La sede de la Agencia debería cumplir los siguientes criterios:

- ser fácilmente accesible en cuanto a comunicaciones, sobre todo servicios de comunicaciones electrónicas, y disponer de unas conexiones de transporte rápidas y eficaces;

- permitir a la Agencia trabajar estrecha y eficientemente con los servicios institucionales que tratan problemas de seguridad de las redes y de la información;

- ser económica y permitir a la Agencia comenzar sus trabajos de forma inmediata;

- facilitar la infraestructura necesaria para el personal de la Agencia.

3.8.3. Duración

Se propone que la Agencia comience sus actividades el 1 de enero de 2004 y que continúe en funcionamiento durante cinco años. La continuidad de la Agencia depende del resultado de la evaluación realizada por la Comisión en colaboración con el Comité Asesor.

2003/0032 (COD)

Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO por el que se crea la Agencia Europea de Seguridad de las Redes y de la Información

(Texto pertinente a efectos del EEE)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de la Comunidad Europea y, en particular, sus artículos 95 y 156,

Vista la propuesta de la Comisión [3],

[3] DO L [...], [...], p. [...].

Visto el dictamen del Comité Económico y Social Europeo [4],

[4] DO L [...], [...], p. [...].

Visto el dictamen del Comité de las Regiones [5],

[5] DO L [...], [...], p. [...].

De conformidad con el procedimiento establecido en el artículo 251 del Tratado [6],

[6] DO L [...], [...], p. [...].

Considerando lo siguiente:

(1) Las redes de comunicaciones y los sistemas de información se han convertido en un factor esencial del desarrollo económico y social. La informática y las redes se están convirtiendo en servicios públicos omnipresentes, tal y como ha ocurrido con la electricidad y el agua. A raíz de ello, la seguridad de las redes y de los sistemas de información, y en particular su disponibilidad, es un asunto que preocupa cada vez más a la sociedad.

(2) La seguridad de las redes y de la información implica la necesidad de garantizar la disponibilidad de servicios y datos, evitar las alteraciones y la intercepción no autorizada de las comunicaciones, confirmar que los datos que se han enviado, recibido o almacenado están completos y no se han modificado, garantizar la confidencialidad de los datos, proteger los sistemas de información contra accesos no autorizados y contra ataques con programas malintencionados y garantizar una autenticación fiable.

(3) El creciente número de fallos de seguridad ha causado ya importantes perjuicios económicos, ha minado la confianza de los usuarios y ha perjudicado al desarrollo del comercio electrónico. Los particulares, las administraciones públicas y las empresas han reaccionado desplegando tecnologías de seguridad y procedimientos de gestión de la seguridad. Los Estados miembros han tomado diversas medidas de apoyo, como la realización de campañas informativas y proyectos de investigación, con el fin de mejorar la seguridad de las redes y de la información en toda la sociedad.

(4) Las reacciones de los Estados miembros han sido dispares y no han estado debidamente coordinadas para garantizar una respuesta eficaz a los problemas de seguridad. Dada la complejidad técnica de las redes y de los sistemas de información, la variedad de productos y servicios que están interconectados y el gran número de agentes privados y públicos responsables de aspectos determinados, todavía no se ha desarrollado una respuesta de seguridad coherente en el ámbito comunitario. Uno de los problemas concretos planteados ha sido la falta de productos y servicios de seguridad interoperativos, que ha puesto en peligro la interoperabilidad de las redes afectadas. Asimismo, estas características han hecho que la aplicación efectiva de las medidas comunitarias esté sujeta a una comprensión y un análisis técnico bastante complejos.

(5) La ausencia de una respuesta europea común a los problemas de seguridad de la información en la aplicación de medidas comunitarias amenaza con dificultar un correcto funcionamiento del Mercado Interior.

(6) La Directiva 2002/21/CE, de 7 de marzo de 2002, relativa a un marco regulador común de las redes y los servicios de comunicación electrónicos [7] («la Directiva marco») fija las misiones de las autoridades nacionales de reglamentación, que incluyen fomentar el establecimiento y desarrollo de las redes transeuropeas y la interoperabilidad de los servicios paneuropeos, cooperar mutuamente y con la Comisión, de una forma transparente, para garantizar el desarrollo de prácticas reglamentarias coherentes, contribuir a alcanzar un alto nivel de protección de los datos personales y de la intimidad, y garantizar la integridad y la seguridad de las redes públicas de comunicaciones.

[7] DO L 108, 24.4.2002, p. 33.

(7) La Directiva 2002/20/CE, de 7 de marzo de 2002, relativa a la autorización de redes y servicios de comunicaciones electrónicas [8] faculta a los Estados miembros a imponer condiciones, al otorgar una autorización general, relativas a la protección de las redes públicas contra accesos no autorizados de conformidad con la Directiva 97/66/CE, de 15 de diciembre de 1997, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones.

[8] DO L 108, 24.4.2002, p. 21.

(8) La Directiva 2002/22/CE, de 7 de marzo de 2002, relativa al servicio universal y los derechos de los usuarios en relación con las redes y los servicios de comunicaciones electrónicas [9] exige que los Estados miembros tomen las medidas necesarias para garantizar la integridad y disponibilidad de las redes telefónicas públicas y que las empresas que presten servicios de telefonía disponibles al público desde ubicaciones fijas tomen todas las medidas razonables para garantizar un acceso ininterrumpido a los servicios de urgencia.

[9] DO L 108, 24.4.2002, p. 51.

(9) La Directiva 2002/58/CE, de 12 de julio de 2002, relativa al tratamiento de datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas [10] exige que los proveedores de servicios de comunicaciones electrónicas accesibles al público tomen las medidas técnicas y de organización necesarias para velar por la seguridad de sus servicios, y estipula la obligatoriedad de la confidencialidad de las comunicaciones y los datos de tráfico asociados a las mismas. La Directiva 95/46/CE, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos, [11] estipula que los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales.

[10] DO L 201, 31.7.2002, p. 37.

[11] DO L 281, 23.11.1995, p. 31.

(10) La Directiva marco y la Directiva 1999/93/CE, de 13 de diciembre, por la que se establece un marco comunitario para la firma electrónica [12] contienen disposiciones sobre las normas que deben publicarse en el Diario Oficial de las Comunidades Europeas. Los Estados miembros utilizan también normas de organismos internacionales, así como normas de facto elaboradas por la industria mundial. Dada esta situación, es preciso que la Comisión y los Estados miembros puedan determinar qué normas cumplen los requisitos establecidos por la legislación comunitaria.

[12] DO L 13, 19.1.2000, p.12.

(11) Estas medidas relativas al Mercado Interior exigen distintas formas de aplicaciones técnicas y de organización por parte de los Estados miembros y de la Comisión. Se trata de tareas de gran complejidad técnica sin soluciones únicas o evidentes. La heterogénea aplicación de estos requisitos puede dar lugar a soluciones ineficaces y poner trabas al Mercado Interior, así como poner en peligro la interoperabilidad de las funciones de seguridad de la información. Esta situación exige la creación de un centro de conocimiento especializado en el ámbito europeo que preste servicios de orientación, asistencia y emisión de dictámenes sobre la aplicación técnica y de organización de esos requisitos, en los que puedan basarse la Comisión y las autoridades nacionales de reglamentación y demás organismos competentes de los Estados miembros. Las autoridades competentes en el campo de la seguridad de las redes y de la información incluyen a las fuerzas de seguridad y a las autoridades judiciales de los Estados miembros.

(12) El establecimiento de una Agencia europea, la Agencia Europea de Seguridad de las Redes y de la Información, en adelante denominada «la Agencia», que actúe como punto de referencia y se gane la confianza de los agentes gracias a su independencia, a la calidad de los dictámenes que emita y de la información que divulgue, a la transparencia de sus procedimientos y métodos de funcionamiento y a su diligencia a la hora de desempeñar las funciones que se le asignen, respondería a esas necesidades. La Agencia debe desempeñar sus funciones cooperando con los Estados miembros y estar abierta a contactos con la industria y otros grupos interesados.

(13) La creciente incidencia en la Comunidad y en todo el mundo de incidentes de seguridad exige una respuesta rápida y efectiva a esos fallos. Sin embargo, en la actualidad no hay ningún organismo europeo autorizado que recopile de forma sistemática datos sobre la seguridad de las redes y de la información que puedan utilizarse para analizar los fallos de la seguridad.

(14) Conseguir que particulares, empresas y administraciones públicas confíen en las redes y en los sistemas de información requiere que estos agentes estén suficientemente informados y tengan suficientes conocimientos en materia de seguridad. Las autoridades públicas han tomado medidas para incrementar la sensibilización, informando al público. No obstante, esas medidas deben seguir desarrollándose, sobre todo en lo que respecta a las nuevas vulnerabilidades y los riesgos consiguientes. Un mayor intercambio de información entre Estados miembros facilitará la realización de esas acciones de sensibilización.

(15) A pesar de la necesidad de procesos fiables, con frecuencia resulta difícil evaluar la fiabilidad de productos y servicios. Existen programas de evaluación y certificación organizados por entidades públicas y privadas. Sin embargo, los procesos de evaluación y certificación suelen ser engorrosos, caros y lentos. Todos los agentes, incluidas las autoridades públicas, se beneficiarían de una mejor orientación técnica en sus esfuerzos para promover sistemas eficaces de certificación. Por consiguiente, un organismo europeo competente desde el punto de vista técnico que proporcione un asesoramiento objetivo sobre la calidad de las distintas normas mejoraría las posibilidades de promover normas de seguridad fiables en Europa, incluyendo, en su caso, normas para las tecnologías de protección de la intimidad.

(16) Toda política de seguridad eficaz se basa en métodos de evaluación de riesgos bien preparados, tanto en el sector público como en el privado. En la actualidad, los métodos y procedimientos de evaluación de riesgos se utilizan en distintos niveles sin que haya prácticas comunes para su aplicación eficaz. La promoción y el desarrollo de buenas prácticas para la evaluación de riesgos mejorarán la interoperabilidad e incrementarán el nivel de seguridad de las redes y los sistemas de información europeos.

(17) En su trabajo, la Agencia debe recurrir a las actividades de investigación, desarrollo y evaluación tecnológica actualmente en curso, en especial las llevadas a cabo por el Centro Común de Investigación y otras iniciativas de investigación de la Comunidad.

(18) Los problemas de seguridad de las redes y de la información son problemas de alcance mundial que no están limitados a un Estado miembro concreto ni a la Comunidad Europea. Un problema de seguridad puede originarse en un tercer país. A menudo, los productos y servicios se desarrollan y evalúan en terceros países. Una vez que entran en la Comunidad, los productos de seguridad circulan prácticamente sin restricciones y los servicios pueden ofrecerse con total libertad. Es precisa una colaboración más estrecha a escala mundial para mejorar las normas de seguridad y la información, y desarrollar mecanismos de respuesta comunes. Varios socios internacionales de la Unión Europea han empezado a crear organismos de seguridad para dar mejores respuestas y facilitar la elaboración de políticas. También en el ámbito europeo es precisa una eficaz cooperación con esos países y con la comunidad internacional.

(19) Con el fin de garantizar de forma eficaz el desempeño de las funciones de la Agencia, los Estados miembros y la Comisión deberán estar representados en un Consejo de Administración, al que se dotará de las facultades necesarias para establecer el presupuesto, supervisar su ejecución, aprobar el correspondiente reglamento financiero, establecer procedimientos de trabajo transparentes para la toma de decisiones por la Agencia, aprobar su programa de trabajo, estudiar las solicitudes de asistencia técnica enviadas por los Estados miembros y nombrar al Director Ejecutivo. Considerando el carácter altamente técnico y científico de la misión y tareas de la Agencia, el Consejo de Administración ha de estar constituido por personas con un alto nivel de conocimientos acerca de las cuestiones de las que se ocupa la Agencia, nombradas por el Consejo y la Comisión.

(20) Debe constituirse un Comité Asesor para asesorar al Director Ejecutivo sobre la cooperación y el adecuado intercambio de información entre los Estados miembros y la Agencia. La función asesora de dicho Comité Asesor incluye también la preparación de la propuesta del programa de trabajo anual de la Agencia. Al determinar la composición del Comité Asesor, deberá asegurarse que estén presentes los expertos pertinentes, incluidos expertos en protección de datos.

(21) En aras del buen funcionamiento de la Agencia, es preciso que su Director Ejecutivo sea nombrado sobre la base de sus méritos y de su capacidad administrativa y de gestión debidamente acreditada, así como su competencia y experiencia en relación con la seguridad de la información y las redes. También es necesario que desempeñe sus obligaciones con completa independencia y flexibilidad en lo tocante a la organización del funcionamiento interno de la Agencia. A tal fin, el Director Ejecutivo deberá preparar y tomar todas las medidas necesarias para garantizar el correcto cumplimiento del programa de trabajo de la Agencia, elaborar anualmente una propuesta de informe general que presentará al Consejo de Administración, así como redactar las previsiones de ingresos y gastos de la Agencia y ejecutar el presupuesto.

(22) La Agencia deberá aplicar la legislación comunitaria correspondiente relativa al acceso público a documentos [13] y a la protección de las personas físicas con respecto al tratamiento de los datos personales. [14]

[13] Reglamento (CE) nº 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión. DO L 145, 31.5.2001, p. 43.

[14] Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los órganos comunitarios y a la libre circulación de esos. DO L 8, 12.1.2001, p. 1.

(23) Teniendo en cuenta que la Agencia tratará datos relacionados con actos ilícitos contra sistemas de información, procedimientos de gestión de incidentes y funciones de evaluación de amenazas, será necesaria cierta coordinación política, tanto en el ámbito nacional como en el comunitario. Esa coordinación debería garantizarse dentro del marco del Comité Asesor al que se hace referencia en el artículo 7 y llevarse a cabo sin poner en peligro las obligaciones de confidencialidad mencionadas en el artículo 13.

(24) Con el fin de garantizar la plena autonomía e independencia de la Agencia, se considera necesario concederle un presupuesto autónomo cuyos ingresos procedan básicamente de una contribución de la Comunidad. El procedimiento presupuestario comunitario sigue siendo aplicable en lo tocante a cualesquiera subvenciones que puedan cargarse al presupuesto general de las Comunidades; asimismo, el Tribunal de Cuentas deberá realizar una auditoría de las cuentas.

(25) La Agencia deberá establecerse por un periodo limitado y sus actividades deberán evaluarse, con el fin de determinar si debe prolongarse la duración de las mismas.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

Capítulo 1 Objetivos y funciones

Artículo 1 Objetivos

1. Se crea una Agencia Europea de Seguridad de las Redes y de la Información, en adelante denominada «la Agencia».

2. La Agencia facilitará la aplicación de las disposiciones comunitarias en materia de seguridad de las redes y de la información y ayudará a garantizar la interoperabilidad de las funciones de seguridad en redes y sistemas de información, contribuyendo así al funcionamiento del Mercado Interior. Asimismo, reforzará la capacidad de la Comunidad y de los Estados miembros para responder a los problemas de seguridad de las redes y de la información.

Artículo 2 Funciones

Con el fin de alcanzar los objetivos establecidos en el artículo 1, las funciones de la Agencia serán las siguientes:

a) recoger y analizar datos, incluyendo información sobre riesgos actuales y emergentes y, en particular, sobre aquellos riesgos que afectarían a la resistencia de las redes de comunicaciones esenciales y a la información a la que se accede y que se trasmite a través de las mismas;

b) asistir y emitir dictámenes a la Comisión y otros órganos competentes en relación con los objetivos que le han sido asignados;

c) impulsar la cooperación entre los distintos agentes que operan en el campo de la seguridad de las redes y de la información, por ejemplo creando una red de órganos nacionales y comunitarios;

d) contribuir a la disponibilidad de información rápida, objetiva y exhaustiva sobre problemas de seguridad de las redes y de la información para todos los usuarios, por ejemplo promoviendo intercambios de buenas prácticas sobre métodos de alerta a los usuarios, incluidos los relacionados con sistemas de alerta ante ataques informáticos, y buscando sinergias entre las iniciativas de los sectores público y privado;

e) asistir siempre que se lo soliciten a la Comisión y a las autoridades nacionales de reglamentación a la hora de analizar la aplicación de los requisitos de seguridad de las redes y de la información para operadores y proveedores de servicios, incluidos los requisitos de protección de datos, contemplados en la legislación comunitaria;

f) contribuir a la evaluación de normas sobre seguridad de las redes y de la información;

g) promover actividades de evaluación de riesgos y fomentar soluciones interoperativas de gestión de riesgos dentro de las organizaciones;

h) contribuir a la estrategia comunitaria de cooperación con terceros países, incluyendo la mejora de los contactos con foros internacionales;

i) asumir cualquier otra función que le asigne la Comisión en el ámbito de sus objetivos.

Artículo 3 Definiciones

A efectos del presente Reglamento, serán de aplicación las siguientes definiciones:

- por «red» se entiende cualquier sistema de transmisión de datos y, en su caso, equipo de conmutación o encaminamiento y cualesquiera otros recursos que permitan la transmisión de señales por cable, radio, por medios ópticos o por otros medios electromagnéticos, incluidas las redes de satélites, las redes terrestres móviles y fijas (de conmutación de datos por paquetes y por circuitos, incluida Internet), las redes utilizadas para las emisiones de radio y televisión, y las redes de televisión por cable, con independencia del tipo de información que se transmita;

- por «sistema de información» se entienden los ordenadores y redes de comunicaciones electrónicas, así como los datos electrónicos almacenados, recuperados o transmitidos por los mismos en relación con su funcionamiento, uso, protección y mantenimiento;

- por «seguridad de las redes y de la información» se entiende la capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de confianza, todos los accidentes o acciones ilegales o malintencionadas que pongan en peligro la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados y transmitidos y de los correspondientes servicios que dichas redes y sistemas ofrecen o hacen accesibles;

- por «disponibilidad» se entiende que los datos son accesibles y los servicios están operativos;

- por «autenticación» se entiende la confirmación de la identidad declarada por entidades o usuarios;

- por «integridad de los datos» se entiende la confirmación de que los datos que se han enviado, recibido o almacenado están completos y no se han modificado;

- por «confidencialidad de los datos» se entiende la protección de las comunicaciones y de los datos almacenados contra la intercepción y la lectura de los mismos por personas no autorizadas;

- por «riesgo» se entiende una función de la probabilidad de que una vulnerabilidad del sistema afecte a la disponibilidad, autenticación, integridad o confidencialidad de los datos procesados o transferidos y la gravedad de esa incidencia, resultante de la utilización intencionada o no intencionada de esa vulnerabilidad;

- por «evaluación de riesgos» se entiende un proceso realizado con métodos científicos y tecnológicos que comprende cuatro pasos: la detección de amenazas, la caracterización de las amenazas, la evaluación de la exposición y la caracterización de los riesgos;

- por «gestión de riesgos» se entiende el proceso, distinto de la evaluación de riesgos, consistente en sopesar las alternativas en cuanto a políticas mediante consultas con las partes interesadas, analizar la evaluación de riesgos y otros factores legítimos y, si fuera necesario, seleccionar las opciones de prevención y control adecuadas.

Capítulo 2 Organización interna

Artículo 4 Órganos de la Agencia

La Agencia tendrá:

a) un Consejo de Administración;

b) un Director Ejecutivo con el personal a sus órdenes;

c) un Comité Asesor; y,

d) siempre que sea necesario, grupos de trabajo.

Artículo 5 Consejo de Administración

1. El Consejo de Administración estará formado por seis representantes nombrados por el Consejo y seis representantes nombrados por la Comisión, así como por dos representantes de la industria y un representante de los intereses de los consumidores propuestos por la Comisión y nombrados por el Consejo sin derecho a voto.

2. Los representantes podrán ser reemplazados por sustitutos, que serán nombrados al mismo tiempo. Su mandato tendrá una duración de dos años y medio, y podrá ser prorrogado en una sola ocasión.

3. El Director Ejecutivo participará en las reuniones del Consejo de Administración, sin derecho a voto, y se encargará de asegurar las labores de Secretaría.

4. El Consejo de Administración elegirá entre sus miembros a un Presidente, que ostentará ese cargo durante dos años y medio, mandato que será renovable.

5. El Consejo de Administración aprobará sus normas de procedimiento, que la Comisión habrá aprobado. Salvo que se estipule otra cosa, el Consejo de Administración adoptará sus decisiones por mayoría de sus miembros.

6. El Consejo de Administración se reunirá a iniciativa del Presidente o a petición de un mínimo de un tercio de sus miembros.

7. El Consejo de Administración aprobará el reglamento interno de funcionamiento de la Agencia a partir de una propuesta de la Comisión. Dicho reglamento deberá hacerse público.

8. El Consejo de Administración definirá las orientaciones generales para el funcionamiento de la Agencia y se asegurará de que la Agencia desempeñe sus funciones en condiciones que le permitan servir como punto de referencia en virtud de su independencia, la calidad de los dictámenes que emita y de la información que divulgue, la transparencia de sus procedimientos y métodos de actuación y su diligencia a la hora de desempeñar las funciones asignadas.

9. Antes del 31 de enero de cada año, el Consejo de Administración deberá aprobar, una vez recibida la aprobación de la Comisión, el programa de trabajo de la Agencia para ese año. El Consejo de Administración deberá asegurarse de que el programa de trabajo sea coherente con las prioridades legislativas y políticas de la Unión Europea en materia de seguridad de las redes y de la información.

10. Antes del 31 de marzo de cada año, el Consejo de Administración aprobará el informe general sobre las actividades de la Agencia del año anterior.

11. El reglamento financiero aplicable a la Agencia será aprobado por el Consejo de Administración previa consulta a la Comisión. Ese reglamento no deberá apartarse del Reglamento financiero marco adoptado por la Comisión en virtud del artículo 185 del Reglamento del Consejo (CE, Euratom) nº 1605/2002 [15] (en lo sucesivo denominado «el Reglamento financiero general»), salvo que sea necesario concretamente para el funcionamiento de la Agencia y la Comisión lo autorice previamente.

[15] DO L 248, 16.9.2002, p. 1.

Artículo 6 Director Ejecutivo

1. La Agencia será gestionada por su Director Ejecutivo, que deberá actuar con total independencia en el desempeño de sus funciones.

2. El Director Ejecutivo será nombrado por el Consejo de Administración a partir de una lista de candidatos propuesta por la Comisión una vez realizado un concurso general tras la publicación en el Diario Oficial de las Comunidades Europeas y en otros medios de una convocatoria de manifestaciones de interés. Antes de su nombramiento, el candidato propuesto por el Consejo de Administración será invitado inmediatamente a hacer una declaración ante el Parlamento Europeo y a responder a las preguntas presentadas por los diputados de esa institución. El Director Ejecutivo podrá ser destituido por el Consejo de Administración con la aprobación previa de la Comisión.

3. El mandato del Director Ejecutivo será de dos años y medio, y podrá ser prorrogado en una sola ocasión.

4. El Director Ejecutivo tendrá las siguientes funciones y competencias:

a) llevar a cabo la administración cotidiana de la Agencia;

b) redactar las propuestas de programa de trabajo de la Agencia tras consultarlo con el Comité Asesor;

c) poner en práctica los programas de trabajo y las decisiones adoptadas por el Consejo de Administración;

d) garantizar que la Agencia desempeñe sus funciones de conformidad con los requisitos de los usuarios de sus servicios, sobre todo en lo referente a la idoneidad de los servicios prestados;

e) elaborar el informe de previsiones de ingresos y gastos y la ejecución de su presupuesto;

f) encargarse de todos los asuntos relacionados con el personal;

g) desarrollar y mantener contactos con el Parlamento Europeo, especialmente para conseguir mantener un diálogo regular con sus comisiones competentes en la materia de la Agencia.

5. Con carácter anual, el Director Ejecutivo presentará al Consejo de Administración, para su aprobación:

a) un proyecto de informe general que deberá cubrir todas las actividades realizadas por la Agencia durante el año anterior;

b) un proyecto de programa de trabajo.

6. Una vez aprobado por el Consejo de Administración, el Director Ejecutivo deberá hacer llegar el programa de trabajo al Parlamento Europeo, al Consejo, a la Comisión y a los Estados miembros, así como encargarse de su publicación.

7. Una vez aprobado por el Consejo de Administración, el Director Ejecutivo hará llegar el informe general de la Agencia al Parlamento Europeo, al Consejo, a la Comisión, al Tribunal de Cuentas, al Comité Económico y Social y al Comité de las Regiones, y se encargará de su publicación.

Artículo 7 Comité Asesor

1. El Comité Asesor estará formado por nueve expertos propuestos por el Consejo de Administración y nombrados por el Director Ejecutivo. Los representantes podrán ser reemplazados por sustitutos, que serán nombrados al mismo tiempo. Tendrán derecho a estar presentes en las reuniones y a participar en el trabajo del Comité Asesor representantes de la Comisión.

2. Los miembros del Comité Asesor no podrán ser miembros del Consejo de Administración.

3. El Comité Asesor estará presidido por el Director Ejecutivo. Celebrará reuniones periódicas convocadas por el Presidente o a petición de un mínimo de un tercio de sus miembros. Sus procedimientos de funcionamiento se especificarán en el reglamento interno de funcionamiento de la Agencia y deberán hacerse públicos.

4. Los dictámenes del Comité Asesor podrán someterse a votación.

5. La Agencia proporcionará el apoyo técnico y logístico necesario al Comité Asesor y se encargará de las labores de secretaría para sus reuniones.

6. El Comité Asesor deberá:

a) asesorar al Director Ejecutivo en el desempeño de sus funciones en virtud de este Reglamento, especialmente en la elaboración de una propuesta de programa de trabajo de la Agencia.

b) asesorar al Director Ejecutivo para garantizar una estrecha colaboración entre la Agencia y las instituciones y órganos competentes de los Estados miembros, especialmente velando por la coherencia del trabajo de la Agencia con las actividades realizadas por los Estados miembros.

7. El Director Ejecutivo podrá invitar a representantes del Parlamento Europeo y de otros órganos competentes a participar en las reuniones del Comité Asesor.

Capítulo 3 Funcionamiento

Artículo 8 Programa de trabajo

La Agencia basará su funcionamiento en la ejecución del programa de trabajo aprobado según lo estipulado en el apartado 9 del artículo 5. El programa de trabajo no impedirá que la Agencia asuma actividades no previstas que se ajusten a sus objetivos y a las limitaciones presupuestarias establecidas.

Artículo 9 Dictámenes

1. Las solicitudes de dictámenes y de asistencia en asuntos dentro del ámbito de los objetivos de la Agencia se dirigirán al Director Ejecutivo y deberán ir acompañadas por información sobre el problema que se debe tratar. El Director Ejecutivo deberá transmitir las solicitudes a la Comisión en el plazo de diez días hábiles.

2. Las solicitudes a las que hace referencia el apartado 1 pueden ser presentadas por:

a) la Comisión

b) una autoridad nacional de reglamentación, según la definición de este término incluida en el artículo 2 de la Directiva marco, u otro órgano competente de un Estado miembro reconocido por el Consejo de Administración con este fin.

3. En el caso de que la Agencia tenga dificultades para responder a una solicitud o de que la solicitud no se haga de conformidad por lo dispuesto en el apartado 1, así como cuando se presenten distintas solicitudes sobre los mismos asuntos, el Director Ejecutivo consultará con el Consejo de Administración antes de tomar una decisión. Siempre que la Agencia rechace una solicitud, deberá justificar su decisión. El Director Ejecutivo también podrá dirigirse al Comité Asesor para solicitar asesoramiento sobre el establecimiento de prioridades entre las solicitudes de dictámenes.

Artículo 10 Grupos de trabajo

1. Cuando sea necesario y en el ámbito de sus objetivos, la Agencia podrá crear grupos de trabajo formados por expertos, propuestos por el Comité Asesor y nombrados por el Director Ejecutivo, en particular sobre asuntos técnicos y científicos.

2. El Comité Asesor establecerá los grupos de trabajo a propuesta del Director Ejecutivo y previa consulta al Consejo de Administración.

3. En las reuniones de los grupos de trabajo podrán estar presentes representantes de la Comisión.

4. Los procedimientos para el nombramiento de expertos y el funcionamiento de los grupos de trabajo deberán especificarse en el reglamento interno de la Agencia.

Artículo 11 Independencia

1. Los miembros del Consejo de Administración y del Comité Asesor, así como el Director Ejecutivo, deberán comprometerse a actuar con independencia en aras del interés público. A tal fin, deberán hacer una declaración de compromiso y una declaración de intereses, en la que deberán indicar que no tienen intereses directos ni indirectos que pudieran considerarse perjudiciales para su independencia. Esas declaraciones deberán hacerse por escrito.

2. Los expertos externos que participen en los grupos de trabajo deberán declarar en cada reunión cualesquiera intereses relacionados con los puntos del orden del día que pudieran considerarse perjudiciales para su independencia.

Artículo 12 Transparencia

1. La Agencia llevará a cabo sus actividades con un alto grado de transparencia, con arreglo a los artículos 13 y 14.

2. La Agencia deberá garantizar que el público y las partes interesadas reciban información objetiva, fiable y de fácil acceso, especialmente en lo que respecta a los resultados de su trabajo, si procede. Asimismo, deberá hacer públicas las declaraciones de intereses presentadas por los miembros del Consejo de Administración y del Comité Asesor y por el Director Ejecutivo, así como las declaraciones de intereses presentadas por expertos en relación con asuntos incluidos en los órdenes del día de las reuniones de los grupos de trabajo.

3. El Consejo de Administración, a propuesta del Director Ejecutivo, podrá autorizar a otras partes interesadas a observar las actuaciones en el caso de algunas de las actividades de la Agencia.

4. La Agencia estipulará en su reglamento interno las medidas prácticas de aplicación de las normas de transparencia a las que se hace referencia en los apartados 1 y 2.

Artículo 13 Confidencialidad

1. La Agencia no divulgará a terceros información que trate o reciba y para la que se haya solicitado o justificado un tratamiento confidencial, salvo la información que deba revelarse de conformidad con la legislación nacional con el fin de proteger la seguridad pública y de prevenir, investigar, detectar y enjuiciar delitos penales.

2. Los miembros del Consejo de Administración y del Comité Asesor, el Director Ejecutivo y los expertos externos que participen en grupos de trabajo, así como los miembros del personal de la Agencia, estarán sujetos a las obligaciones de confidencialidad estipuladas en el artículo 287 del Tratado CE, incluso después de haber cesado en sus cargos.

3. La Agencia estipulará en su reglamento interno las medidas prácticas de aplicación de las normas de confidencialidad a las que se hace referencia en los apartados 1 y 2.

4. A efectos de lo dispuesto en el apartado 1, el término «terceros» no incluye a la Comisión.

Artículo 14 Acceso a documentos

1. El Reglamento (CE) nº 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión [16] será de aplicación a los documentos en poder de la Agencia.

[16] DO L 145, 31.5.2001, p. 43.

2. El Consejo de Administración adoptará disposiciones para la aplicación del Reglamento (CE) nº 1049/2001 en el plazo de seis meses a partir de que la Agencia comience su funcionamiento.

3. Las decisiones tomadas por la Agencia al amparo del artículo 8 del Reglamento (CE) nº 1049/2001 podrán ser recurridas mediante una reclamación al Defensor del Pueblo Europeo o un recurso interpuesto ante el Tribunal de Justicia de las Comunidades Europeas, de conformidad con los artículos 195 y 230 del Tratado CE, respectivamente.

Capítulo 4 Disposiciones financieras

Artículo 15 Aprobación del presupuesto

1. Los ingresos de la Agencia comprenderán una contribución de la Comunidad y las contribuciones de terceros países que participen en el trabajo de la Agencia según lo estipulado en el artículo 22.

2. Los gastos de la Agencia incluirán los gastos de personal, administrativos y de soporte técnico, de infraestructura y funcionamiento, así como los gastos derivados de contratos firmados con terceras partes.

3. A más tardar el 1 de marzo de cada año, el Director Ejecutivo elaborará una previsión de los ingresos y los gastos de la Agencia para el próximo ejercicio, y la hará llegar al Consejo de Administración, acompañada de una relación de puestos de trabajo.

4. Los ingresos y gastos deberán estar equilibrados.

5. El Consejo de Administración redactará, a más tardar el 31 de marzo de cada año, una previsión de ingresos y gastos de la Agencia para el siguiente ejercicio, sobre la base de un proyecto elaborado por el Director Ejecutivo. El Consejo de Administración deberá hacer llegar a la Comisión y a los países con los que la Comisión haya celebrado acuerdos de conformidad con el artículo 22 esta previsión, que incluirá un proyecto de cuadro de efectivos y el programa de trabajo preliminar.

6. Sobre la base de esta previsión, la Comisión consginará los importes pertinentes en el anteproyecto de presupuesto general de las Comunidades Europeas, que deberá presentar al Parlamento Europeo y al Consejo (en adelante denominados «la autoridad presupuestaria») de conformidad con el artículo 272 del Tratado.

7. La autoridad presupuestaria determinará los créditos disponibles para la subvención a la Agencia.

8. La autoridad presupuestaria aprobará el cuadro de efectivos de la Agencia.

9. Una vez aprobado el presupuesto general de las Comunidades Europeas por parte de la autoridad presupuestaria, el Consejo de Administración aprobará el presupuesto y el programa de trabajo definitivos de la Agencia, ajustándolos en caso necesario a la contribución comunitaria, y los transmitirá inmediatamente a la Comisión y a la autoridad presupuestaria.

Artículo 16 Lucha contra el fraude

1. Para la lucha contra el fraude, la corrupción y otros actos ilegales, se aplicarán plenamente las disposiciones del Reglamento nº 1073/1999 del Parlamento Europeo y del Consejo, de 25 de mayo de 1999, relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) [17].

[17] DO L 136, 31.5.1999, p. 1.

2. La Agencia suscribirá el Acuerdo Interinstitucional, de 25 de mayo de 1999, relativo a las investigaciones internas efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) [18] y adoptará inmediatamente las disposiciones necesarias, que se aplicarán a todo el personal de la Agencia.

[18] DO L 136, 31.5.1999, p. 15.

Artículo 17 Ejecución del presupuesto

1. El Director Ejecutivo ejecutará el presupuesto de la Agencia.

2. El auditor interno de la Comisión ejercerá las mismas facultades sobre la Agencia que sobre los departamentos de la Comisión.

3. Tras la finalización de cada ejercicio y a más tardar el 31 de marzo, el contable de la Agencia comunicará las cuentas provisionales al contable de la Comisión, junto con un informe sobre la gestión presupuestaria y financiera correspondiente a ese ejercicio. El contable de la Comisión consolidará las cuentas provisionales de las instituciones y órganos descentralizados según lo estipulado en el artículo 128 del Reglamento financiero general.

4. Tras la finalización de cada ejercicio y a más tardar el 31 de marzo, el contable de la Comisión hará llegar las cuentas provisionales de la Agencia al Tribunal de Cuentas, junto con un informe sobre la gestión presupuestaria y financiera correspondiente a ese ejercicio. El informe sobre la gestión presupuestaria y financiera correspondiente al ejercicio se transmitirá también al Parlamento Europeo y al Consejo.

5. Cuando reciba las observaciones del Tribunal de Cuentas relativas a las cuentas provisionales de la Agencia, de conformidad con el artículo 129 del Reglamento financiero general, el Director Ejecutivo elaborará bajo su propia responsabilidad las cuentas definitivas de la Agencia y las transmitirá al Consejo de Administración para que éste emita un dictamen sobre las mismas.

6. El Consejo de Administración emitirá un dictamen sobre las cuentas definitivas de la Agencia.

7. El Director Ejecutivo deberá, a más tardar el 1 de julio posterior a cada ejercicio, transmitir las cuentas definitivas, junto con el dictamen del Consejo de Administración, al Parlamento Europeo, al Consejo, a la Comisión y al Tribunal de Cuentas.

8. Las cuentas definitivas se harán públicas.

9. El Director Ejecutivo deberá enviar al Tribunal de Cuentas una respuesta a sus observaciones a más tardar el 30 de septiembre. Asimismo, enviará esa respuesta al Consejo de Administración.

10. El Parlamento Europeo, sobre la base de una recomendación aprobada por mayoría en el Consejo, deberá dar descargo al Director Ejecutivo antes del 30 de abril del año N+2 respecto a la ejecución de las cuentas del año N.

Capítulo 5 Disposiciones generales

Artículo 18 Personalidad jurídica y privilegios

1. La Agencia será un organismo comunitario y tendrá personalidad jurídica.

2. La Agencia gozará en cada uno de los Estados miembros de la más amplia capacidad jurídica que las legislaciones nacionales reconocen a las personas jurídicas. Podrá, en particular, adquirir o enajenar bienes muebles e inmuebles y constituirse en parte en acciones legales.

3. La Agencia estará representada por su Director Ejecutivo.

4. Se aplicará a la Agencia y a su personal el Protocolo sobre los privilegios e inmunidades de las Comunidades Europeas.

Artículo 19 Responsabilidad

1. La responsabilidad contractual de la Agencia se regirá por la legislación aplicable al contrato de que se trate. El Tribunal de Justicia de las Comunidades Europeas será competente para conocer de los litigios en virtud de cualquier cláusula compromisoria contenida en los contratos celebrados por la Agencia.

2. En materia de responsabilidad extracontractual, la Agencia deberá reparar los daños causados por ella o sus agentes en el ejercicio de sus funciones, de conformidad con los principios generales comunes a las legislaciones de los Estados miembros. El Tribunal de Justicia de las Comunidades Europeas será competente para conocer de todos los litigios relativos a la indemnización por esos daños.

3. La responsabilidad personal de los agentes respecto a la Agencia se regirá por las disposiciones pertinentes de aplicación al personal de la Agencia.

Artículo 20 Personal

1. Se aplicarán al personal de la Agencia el Estatuto de los funcionarios y el Régimen aplicable a otros agentes de las Comunidades Europeas.

2. Sin perjuicio de lo dispuesto en el artículo 5, la Agencia ejercerá respecto a su propio personal las competencias conferidas a la autoridad facultada para proceder a los nombramientos por el Estatuto de los funcionarios y las competencias conferidas a la autoridad facultada para celebrar contratos por el Régimen aplicable a otros agentes.

Artículo 21 Protección de datos personales

Cuando trate datos relativos a personas físicas, la Agencia se regirá por las disposiciones del Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los órganos comunitarios y a la libre circulación de esos datos. [19]

[19] DO L 8, 12.1.2001, p. 1.

Artículo 22 Participación de terceros países

1. La Agencia estará abierta a la participación de terceros países que hayan celebrado acuerdos con la Comunidad Europea en virtud de los cuales hayan adoptado y estén aplicando la legislación comunitaria en el ámbito regulado por el presente Reglamento.

2. En virtud de las disposiciones pertinentes de esos acuerdos, se establecerán mecanismos que especificarán, entre otras cuestiones, el carácter, el alcance y la forma de la participación de esos países en el trabajo de la Agencia, incluidas disposiciones sobre participación en las redes gestionadas por la Agencia, contribuciones financieras y personal.

Capítulo 6 Disposiciones finales

Artículo 23 Cláusula de evaluación

1. En el plazo de tres años a partir de la fecha fijada en el artículo 26, o antes si el Consejo de Administración lo considera necesario, la Comisión, en colaboración con el Comité Asesor, llevará a cabo una evaluación sobre la base del mandato acordado con el Consejo de Administración. La evaluación deberá:

a) valorar las prácticas de trabajo y la incidencia de la Agencia;

b) evaluar de forma sustancial los objetivos y mecanismos establecidos;

c) prever, si fuera necesario, los cambios pertinentes a la luz de la evolución institucional y jurídica que haya tenido lugar en el Unión Europea y, sobre todo, teniendo en cuenta problemas de seguridad más amplios, incluidos los riesgos para la seguridad pública y la participación de las fuerzas de seguridad.

2. La evaluación se hará pública.

3. La Comisión se comprometerá a realizar la evaluación fundamentalmente con el objetivo de determinar si la duración de la Agencia debería prorrogarse después de la fecha estipulada en el artículo 26.

Artículo 24 Control administrativo

El funcionamiento de la Agencia estará sujeto a la supervisión del Defensor del Pueblo Europeo de conformidad con las disposiciones del artículo 195 del Tratado.

Artículo 25 Sede

La sede de la Agencia la decidirán las autoridades competentes, a propuesta de la Comisión, a más tardar seis meses después de la adopción del presente Reglamento.

Artículo 26 Duración

La Agencia estará en funcionamiento desde el 1 de enero de 2004 hasta el 31 de diciembre de 2008.

Artículo 27 Entrada en vigor

El presente Reglamento entrará en vigor el [...] día siguiente al de su publicación en el Diario Oficial de las Comunidades Europeas.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el [...]

Por el Parlamento Europeo Por el Consejo

El Presidente El Presidente

FICHA DE FINANCIACIÓN LEGISLATIVA

Ámbito político: Sociedad de la Información

Actividad: Seguridad de las redes y de la información

Denominación de la medida: Propuesta de reglamento del Parlamento Europeo y del Consejo por el que se crea la Agencia Europea de Seguridad de las Redes y de la Información

1. LÍNEA PRESUPUESTARIA + RÚBRICA

Se propondrá una nueva línea presupuestaria (esta acción forma parte de APS 2003).

2. DATOS GLOBALES EN CIFRAS

2.1. Dotación total de la medida (Parte B): millones de euros de compromiso

24,3 millones de euros para los Quince (tras la ampliación, otros 9 millones de euros, con lo que el coste total de esta acción ascenderá a 33,3 millones de euros).

Esta acción fue aprobada por la Comisión en su Comunicación al Parlamento Europeo y al Consejo de 27 de febrero de 2002 (SEC (2002)217/9).

2.2. Período de aplicación:

2004 - 2008

2.3. Estimación global plurianual de los gastos:

a) Calendario créditos de compromiso (CC)/créditos de pago (CP) (intervención financiera)

millones de euros (cifra aproximada al tercer decimal)

>SITIO PARA UN CUADRO>

b) Asistencia técnica y administrativa y gastos de apoyo

>SITIO PARA UN CUADRO>

>SITIO PARA UN CUADRO>

c) Incidencia financiera global de los recursos humanos y otros gastos de funcionamiento

>SITIO PARA UN CUADRO>

>SITIO PARA UN CUADRO>

2.4. Compatibilidad con la programación financiera y las perspectivas financieras

La propuesta implicará la reprogramación de la denominación correspondiente en las perspectivas financieras.

2.5. Incidencia financiera en los ingresos: [20]

[20] Para más información, véase la evaluación ex ante independiente.

La propuesta no tiene incidencia financiera (se refiere a aspectos técnicos relativos a la aplicación de una medida)

3. CARACTERÍSTICAS PRESUPUESTARIAS

>SITIO PARA UN CUADRO>

4. FUNDAMENTO JURÍDICO

Artículos 95 y 156 del Tratado.

5. DESCRIPCIÓN Y JUSTIFICACIÓN

5.1 Necesidad de una intervención comunitaria [21]

[21] Para más información, véase la evaluación ex ante independiente.

La evaluación ex ante demuestra que las diversas alternativas, tales como la creación de una red interna en el seno de la Comisión o la creación de una red de corresponsales de los Estados miembros, no cumplen los criterios cualitativos objetivos (transparencia, rentabilidad y visibilidad), ni tampoco el valor añadido que supone la creación de una estructura de agencia reguladora.

La primera alternativa no es factible, dado que la Comisión no dispone del necesario conocimiento especializado sobre seguridad de las redes y de la información. La segunda alternativa, la creación de una red de corresponsales nacionales, presenta importantes desventajas, entre las que destacan las siguientes:

* la Comisión pierde sus funciones de supervisión del trabajo; además, una red necesitaría más recursos humanos y financieros puesto que las funciones no estarían centralizadas, sino multiplicadas por el número de Estados miembros;

* la sensibilización sobre la dimensión transnacional sería limitada, porque cabe esperar que las autoridades nacionales se centren fundamentalmente en los intereses nacionales;

* la visibilidad del trabajo sería limitada y no ofrecería ningún punto de contacto para debates internacionales, que son absolutamente necesarios en este ámbito.

Por lo tanto, la actual propuesta sigue las directrices estructurales establecidas en la reciente Comunicación de la Comisión sobre el encuadramiento de las agencias reguladoras europeas (COM(2002) 718 final de 11 de diciembre de 2002). El objetivo principal es enfocar las actividades (como puede deducirse de la lista de tareas) a asuntos relacionados con la regulación y, al mismo tiempo, prestar apoyo a los Estados miembros y a la Comisión sobre aspectos altamente técnicos y tecnológicos relacionados con la seguridad de las redes y de la información.

Ese incremento del enfoque y de la visibilidad de una respuesta comunitaria coordinada ante unas amenazas de seguridad que aumentan de forma constante es especialmente necesario tras los acontecimientos del 11 de septiembre, como consecuencia de los cuales la seguridad de las redes y de la información se convirtió en una prioridad política de primer orden.

5.1.1. Objetivos perseguidos

Debido a la actual dependencia de las redes y los sistemas de información, la seguridad de su funcionamiento ha cobrado una importancia fundamental. Los sistemas de información son esenciales para la economía en su conjunto, no sólo para la mayor parte de los sectores industriales, sino también para el sector público y los propios ciudadanos. Los fallos de esos sistemas afectan a todos, ya sean personas físicas, administraciones públicas o empresas.

Por consiguiente, la seguridad se ha convertido en una prioridad política de primer orden. Los gobiernos tienen cada vez más responsabilidades para con la sociedad y hacen crecientes esfuerzos por mejorar la seguridad en su territorio. Sin embargo, los Estados miembros se encuentran en distintas fases de este trabajo y los aspectos en los que centran su atención también varían de un país a otro. No existe una cooperación transfronteriza sistemática en materia de seguridad de las redes y de la información entre los Estados miembros, a pesar de que los problemas de seguridad no se limitan a un único país. No hay ningún mecanismo que garantice respuestas eficaces a las amenazas en materia de seguridad. Asimismo, la aplicación del marco legislativo varía. Hay una falta de interoperabilidad que dificulta una utilización correcta de los productos de seguridad.

Aunque no es necesario alcanzar la plena armonización de las políticas, la Unión Europea se beneficiaría de una mayor coordinación entre Estados miembros y de la consecución de un nivel de seguridad suficientemente alto en todos los Estados miembros. Una estrategia europea coordinada en materia de seguridad de las redes y de la información y la recepción de los conocimientos acumulados por los Estados miembros beneficiarían al Mercado Interior. Al mismo tiempo, impulsarían la innovación y la capacidad de las empresas europeas para competir a escala mundial.

Se pretende que la Agencia propuesta mejore la seguridad de las redes y de la información en Europa y dé lugar a un incremento de la capacidad de los Estados miembros para hacer frente, de forma individual y colectiva, a los principales problemas de seguridad de las redes y de la información.

5.1.2. Disposiciones adoptadas a raíz de la evaluación ex ante

La Comunicación de la Comisión denominada «Seguridad de las redes y de la información: Propuesta para un enfoque político europeo», COM(2001) 298 final, proponía una serie de medidas destinadas a fortalecer la seguridad de la información en Europa. La Resolución del Consejo, de 28 de enero de 2002, relativa a un enfoque común y a acciones específicas en materia de seguridad de las redes y de la información ampliaba el desarrollo de este concepto. Sin embargo, ha quedado patente que los actuales mecanismos institucionales no permiten que la seguridad de las redes y de la información se aborde de una forma adecuada en el ámbito europeo.

Por lo tanto, la Resolución también celebra la propuesta de la Comisión sobre la creación de un «grupo de seguridad informática». Este grupo de seguridad informática ha adoptado ahora la forma de una agencia reguladora de duración limitada.

Se han estudiado diversas alternativas a la creación de una agencia, que, sin embargo, no se han considerado adecuadas para las tareas previstas para esa entidad. En la evaluación ex ante se explican más detalladamente los aspectos analizados para la creación de una nueva agencia.

5.2 Acciones previstas

5.2.1. Objetivos

El objetivo general de la Agencia es crear una comprensión común en Europa de los problemas en materia de seguridad de la información que es preciso abordar para garantizar la disponibilidad y seguridad de las redes y los sistemas de información en la Unión Europea.

La Agencia deberá poder:

- prestar asistencia en la aplicación de medidas comunitarias relativas a la seguridad de las redes y de la información;

- la asistencia que preste deberá contribuir a garantizar la interoperabilidad de las funciones de seguridad de la información en redes y sistemas de información, contribuyendo así al funcionamiento del Mercado Interior;

- mejorar la capacidad tanto de la Comunidad como de los Estados miembros para dar respuesta a los problemas de seguridad de las redes y la información.

La Agencia tendrá un papel esencial para la seguridad de las redes y los sistemas de información europeos, así como para el desarrollo de la sociedad de la información en general.

5.2.2. Funciones

La Agencia:

- tendrá funciones de asesoría y coordinación, ya que recopilará y analizará datos sobre seguridad de la información; hoy en día, organizaciones tanto públicas como privadas con distintos objetivos recogen datos sobre incidentes informáticos y otros datos relevantes para la seguridad de la información. Sin embargo, no hay ninguna entidad central en el ámbito europeo que pueda recoger y analizar datos en toda la Comunidad y ofrecer dictámenes y asesoramiento para respaldar el trabajo normativo de la Unión Europea en materia de seguridad de las redes y de la información;

- funcionará como centro de conocimiento especializado tanto para los Estados miembros como para las instituciones comunitarias, que podrán recurrir a la Agencia para solicitar dictámenes y asesoramiento sobre aspectos técnicos relacionados con la seguridad;

- contribuirá a una amplia cooperación entre distintos agentes del campo de la seguridad de la información, por ejemplo asistiéndoles en las actividades de seguimiento necesarias para garantizar la seguridad del comercio electrónico (e-business); esa cooperación será un requisito previo de vital importancia para el funcionamiento seguro de las redes y los sistemas de información en Europa, por lo cual es necesaria la participación de todos los que tienen algo que decir en este campo;

- contribuirá a la creación de una estrategia coordinada de seguridad de la información respaldando a los Estados miembros, por ejemplo en la promoción de acciones de evaluación de riesgos y de sensibilización;

- garantizará la interoperabilidad de las redes y los sistemas de información cuando los Estados miembros apliquen requisitos técnicos que afecten a la seguridad;

- determinará las necesidades de normalización y valorará las normas de seguridad y los programas de certificación actuales, fomentando una utilización de los mismos tan amplia como sea posible para apoyar a la legislación europea;

- apoyará la cooperación internacional en este campo, cada vez más necesaria puesto que los problemas de seguridad de las redes y de la información tienen un carácter mundial.

5.3. Modalidades de ejecución

Se propone que se cree una agencia reguladora por un período inicial de cinco años, como organismo externo a la Comisión, en adelante denominada «la Agencia». La Agencia tendrá personalidad jurídica propia.

La Agencia tendrá un Consejo de Administración, un Director Ejecutivo y un Comité Asesor. La responsabilidad global del trabajo político y de la gestión, así como del nombramiento del Director Ejecutivo, corresponderá al Consejo de Administración.

El Comité Asesor estará formado por expertos, tendrá funciones de asesoría y velará por la estrecha cooperación con los Estados miembros y las organizaciones competentes de los Estados miembros.

6. INCIDENCIA FINANCIERA

6.1. Incidencia financiera total en la Parte B - (para todo el período de programación)

Dado que la principal función de la Agencia será actuar como centro de conocimiento especializado, su personal se encargará de elaborar en su mayor parte los dictámenes e informes de asesoría. Como consecuencia, los costes administrativos de la Agencia constituirán una parte importante del presupuesto total.

6.1.1. Intervención financiera

Compromisos (en millones de euros, cifra aproximada al tercer decimal)

>SITIO PARA UN CUADRO>

6.1.2. Asistencia técnica y administrativa, gastos de apoyo y gastos de TI (créditos de compromiso)

>SITIO PARA UN CUADRO>

6.2. Cálculo de los costes por medida prevista en la Parte B (para todo el período de programación)

La siguiente tabla muestra el desglose de los costes de la Agencia durante el período de actividad previsto. El método de cálculo es distinto para la actual situación, en la que existen 15 Estados miembros (EUR 15) y para la situación derivada de la próxima adhesión de 10 nuevos Estados miembros durante el año 2004 (EUR + 10). En los apartados (a) - (f) a continuación se especifican las cifras.

>SITIO PARA UN CUADRO>

a) Trabajos preparatorios

La Agencia iniciará su actividad en enero de 2004.

Aunque no directamente relacionado con esta partida presupuestaria, hay un presupuesto facilitado a través del programa Modinis en el Presupuesto de 2003 [22]. De conformidad con este programa, una de las principales acciones es la «mejora de la seguridad de las redes y de la información» y la «preparación para la creación de un grupo operativo sobre ciberseguridad», tal y como prevén la Resolución del Consejo de 28 de enero de 2002 y el Plan de Acción eEuropa 2005, mediante, entre otras cosas, la financiación de estudios, talleres sobre aspectos como los mecanismos de seguridad y su interoperabilidad, la fiabilidad y la protección de las redes, la criptografía avanzada, la confidencialidad y la seguridad en las comunicaciones inalámbricas».

[22] En el Consejo de Telecomunicaciones del 5 de diciembre se llegó a un acuerdo político; la adopción formal tendrá lugar en el Consejo de Telecomunicaciones de marzo de 2003.

b) Recursos Humanos (incluidos edificios y gastos de funcionamiento relacionados)

La Agencia necesitará un personal altamente especializado y cualificado para llevar a cabo las tareas previstas. Actualmente, en Europa escasean los profesionales con los perfiles necesarios, lo que hace que estén muy solicitados. La Agencia podrá contratar a trabajadores procedentes tanto del sector público como del privado. Cuando esté plenamente operativa con 15 Estados miembros, la plantilla de la Agencia estará formada por 31 personas, cinco de las cuales se encargarán de la dirección y administración general de la Agencia, mientras que 26 serán contratadas para las tareas operativas mencionadas en el artículo 2 de esta propuesta de Reglamento. Las cifras de personal de apoyo administrativo se basan en la experiencia de las actuales Agencias comunitarias.

De los 26 trabajadores encargados de funciones operativas, uno será el secretario y el resto se contratarán por su experiencia concreta: seis serán expertos en el campo del análisis de riesgos y la gestión de riesgos, seis procederán del área de seguimiento de redes, tres serán expertos en componentes técnicos de redes y sistemas de información, dos serán expertos en información y comunicación, cuatro en gestión de incidentes informáticos y su respuesta, y cuatro en coordinación de las actividades de seguridad de la información realizadas por las autoridades de los Estados miembros. La distribución de los puestos se basa en un profundo análisis realizado tras varias conversaciones con las direcciones de seguridad de las autoridades nacionales y otros órganos de seguridad similares tanto del sector privado como del público, como por ejemplo equipos de respuesta a incidentes de seguridad informática. Esta distribución tiene en cuenta la carga de trabajo prevista y está directamente relacionada con la lista de funciones de la Agencia. El personal ha quedado reducido al mínimo indispensable debido a las restricciones presupuestarias.

Cuando la Agencia esté plenamente operativa, los costes anuales totales de personal para 15 Estados miembros ascenderán a 3,348 millones de euros, sobre la base de un coste medio por empleado de la Comisión de 108.000 euros por funcionario y año, que incluye gastos de edificios y gastos de funcionamiento relacionados.

Dado que se prevé que no se contratará a todo el personal a la vez, la tabla del apartado 6.2 se basa en un modelo de contratación progresiva, que prevé que estén contratadas 10 personas en 2004, 29 en 2005 y que las 31 se alcancen en 2006.

De conformidad con el artículo 20 de la propuesta, el personal de la Agencia estará sujeto al Estatuto del funcionario y al Régimen aplicable a otros agentes de las Comunidades Europeas.

>SITIO PARA UN CUADRO>

c) Costes de equipo

Mobiliario: La adquisición del mobiliario y los equipos de oficina costará 0,1 millones de euros el primer año y 0,025 millones de euros los años siguientes. Los gastos de espacio de oficina y otros gastos de funcionamiento relacionados están incluidos en los costes de personal.

Informática: Como consecuencia de la función que se le ha asignado, la Agencia será probablemente objeto de ataques de piratas informáticos y otros ataques a la seguridad. Por ello, deberá estar suficientemente protegida contra esas amenazas. Por lo tanto, esta Agencia precisará equipos informáticos muy avanzados de alta seguridad. Debido a la necesidad de garantizar la máxima protección, se calcula que el coste total en equipo informático por funcionario y año ascenderá de media a entre 15.500 y 18.000 euros. En total, el coste de la informática ascenderá a 0,22 millones de euros para el primer año, 0,48 millones de euros para el segundo año y 0,528 millones de euros para los años posteriores.

Mantenimiento del sitio web: Poner la información a disposición tanto del público general como de una audiencia especializada será un componente esencial de las tareas de la Agencia. Esto se hará fundamentalmente a través de la web. El coste mínimo (que cubre únicamente las necesidades básicas de información) asciende a 0,15 millones de euros el primer año y 0,05 millones de euros anuales a partir del segundo año.

d) Costes de funcionamiento

Publicaciones: Aunque el sitio web servirá como plataforma para la mayor parte de las publicaciones de la Agencia, ésta publicará algunos informes oficiales y material informativo también en soporte papel, sobre todo para informar a las instituciones comunitarias competentes. Se prevé que los costes de esas publicaciones asciendan a 35.000 euros el primer año y a 50.000 euros los años posteriores.

Conferencias: La organización de conferencias costará 0,1 millones de euros el primer año, 0,15 millones el segundo año y 0,2 millones de euros los años posteriores. Estas conferencias tendrán fundamentalmente el objetivo de garantizar la divulgación de los resultados del trabajo de la Agencia entre un público más amplio procedente tanto de entidades públicas como privadas.

Misiones: Una estrecha relación con los Estados miembros, así como, dado el carácter global del problema de la seguridad de las redes, con terceros países es un componente esencial de la estrategia de la Agencia. Se prevé que el coste de las misiones para cumplir estos objetivos ascenderá a 0,14 millones de euros el primer año y a 0,2 millones de euros anuales a partir del segundo año.

Reuniones: La propuesta de Reglamento prevé la creación de un Consejo de Administración y un Consejo Asesor, así como la organización de grupos de trabajo. Los detalles del funcionamiento de esas entidades (frecuencia de las reuniones, etc.) se establecerán en el reglamento interno de la Agencia. Sin embargo, teniendo en cuenta las prácticas habituales, para calcular los costes previstos se han utilizado tres reuniones anuales del Consejo de Administración y una reunión mensual del Consejo Asesor.

El total de reuniones del Consejo de Administración y del Consejo Asesor ascenderá a 15 al año. Los costes de las salas de reuniones y la traducción suman 7.000 euros por reunión y los costes de viajes ascenderán a otros 700 euros. Por consiguiente, los costes anuales serán 115.000 euros.

Es probable que, transcurrido cierto tiempo, se creen grupos de trabajo. Durante el primer año, los grupos de trabajo celebrarán menos reuniones.

Traducción: Con el fin de reducir los costes y el tiempo necesario para la traducción, el trabajo interno de la Agencia y los documentos para la Comisión estarán disponibles únicamente en uno de los idiomas de trabajo. Sin embargo, los documentos procedentes o destinados a los Estados miembros pueden tener que traducirse. El coste de esas traducciones tendrá que ajustarse teniendo en cuenta la experiencia. Se prevé un importe de 0,16 millones de euros el primer año y 0,2 millones de euros anuales a partir de entonces para cubrir los costes de traducción.

e) Estudios e investigación

El carácter muy especializado de la seguridad de las redes y de la información y la naturaleza cambiante del mundo interconectado darán lugar a nuevos e imprevistos retos a escala mundial. Dado que la plantilla de la Agencia será limitada, será necesario utilizar la asistencia de expertos externos para algunas tareas. Esos expertos externos se utilizarán, por ejemplo, para estudios destinados a recoger datos y elaborar estadísticas, estudios sobre la incidencia de la evolución tecnológica en aspectos de seguridad como los modelos de evaluación y gestión de riesgos, la inclusión de resultados de actividades de investigación en las tecnologías futuras y emergentes, y también la información sobre soluciones de seguridad de redes desarrolladas en terceros países.

Sobre la base de la información obtenida, la Agencia prestará asistencia y emitirá dictámenes a la Comisión y otros órganos competentes, propondrá soluciones para mejorar la cooperación entre los actores, contribuirá a la disponibilidad de información rápida, objetiva y exhaustiva, y hará su aportación a la estrategia comunitaria sobre cooperación con terceros países.

El coste total de los estudios ascenderá a 3,445 millones de euros. Es posible que durante los primeros años la Agencia no esté plenamente operativa y se prevé que se utilicen 0,42 millones de euros en 2004 y 0,55 millones de euros en 2005 para estudios, mientras que ese mismo coste ascenderá a 0,826 millones de euros a partir de 2006. El coste medio de los estudios será de entre 0,2 y 0,3 millones de euros

f) Estimaciones con los 10 nuevos Estados miembros

Una vez se produzca la adhesión de los 10 nuevos Estados miembros, la plantilla se incrementará correspondientemente puesto que serán necesarios la participación y el conocimiento especializado también de los nuevos Estados miembros. Ese incremento se realizará de forma progresiva, contratándose a cinco personas en 2004, a nueve en 2005 y a 13 personas más en los años 2006-2008. De esas 13 personas, 10 representarán a los nuevos Estados miembros y 3 tendrán funciones de secretaría y generales.

El mayor número de empleados incrementará también la necesidad de mobiliario y equipo informático para esas personas. El aumento de los costes del equipo se corresponderá con el número de nuevos empleados, con la salvedad del primer año, en el que los costes serán mayores (véase las estimaciones anteriores).

No se prevé que las conferencias generen costes adicionales con los nuevos Estados miembros, pero las publicaciones tendrán que llegar a un público más amplio y, por lo tanto, serán más costosas. Asimismo, será preciso enviar misiones a los nuevos Estados miembros con el fin de introducirlos en los planes de cooperación y de intercambio de información, etc. Con la entrada de los nuevos Estados miembros, habrá también más personas participando en las reuniones y una mayor necesidad de traducciones. Los cálculos de esos costes se han realizado con el mismo ratio que con los 15 Estados miembros.

El importe dedicado a los estudios deberá incrementarse igualmente con la entrada de los nuevos miembros, puesto que es importante tener una visión clara de la situación de la seguridad de la información en esos países y de las necesidades especiales que puedan surgir en relación con su entrada en la Unión. En 2004 será demasiado pronto para realizar otra cosa que un estudio básico, pero en 2005 es importante conocer con detalles la situación de los nuevos países, y ese año se producirá un aumento relativamente elevado de los costes de los estudios.

7. INCIDENCIA SOBRE LOS EFECTIVOS Y LOS GASTOS ADMINISTRATIVOS

La necesidad de recursos humanos y administrativos se cubrirá con la asignación concedida a la DG de gestión en el marco del procedimiento de asignación.

7.1. Incidencia sobre los recursos humanos

>SITIO PARA UN CUADRO>

7.2. Incidencia financiera global de los recursos humanos

>SITIO PARA UN CUADRO>

Los importes corresponden a los gastos totales durante 12 meses.

7.3. Otros gastos de funcionamiento que se derivan de la acción

>SITIO PARA UN CUADRO>

Los importes corresponden a los gastos totales durante 12 meses.

Precisar el tipo de comité y el grupo al que pertenezca.

>SITIO PARA UN CUADRO>

8. SEGUIMIENTO Y EVALUACIÓN

8.1. Mecanismos de aplicación

Con el fin de velar por que los fondos comunitarios se utilicen de forma eficiente, la Comisión garantizará que las actividades estipuladas en este Reglamento se realicen tras completar procedimientos de contratación pública y que se lleve a cabo un correcto seguimiento y evaluación de las actividades.

8.2. Modalidades y periodicidad de la evaluación prevista

La Comisión, conjuntamente con el Comité Asesor, realizará una evaluación de las prácticas de trabajo de la Agencia y de la incidencia de su actuación. Esa evaluación deberá realizarse en el plazo de tres años a partir de la fecha de comienzo de las actividades, es decir, antes del 31 de diciembre de 2007.

9. MEDIDAS DE LUCHA CONTRA EL FRAUDE

Los servicios de la Agencia deberán controlar los pagos de cualquier servicio o estudio solicitado antes de su pago, teniendo en cuenta cualesquiera obligaciones contractuales, principios económicos y buenas prácticas financieras o de gestión. Se incluirán disposiciones de lucha contra el fraude (supervisión, requisitos de presentación de informes, etc.) en todos los acuerdos y contratos firmados entre la Agencia y los receptores de cualquier pago.