ES    ES ES 
ES    ES  COMISIÓN EUROPEA  
Bruselas, 30.9.2010 
SEC(2010) 1127 
DOCUMENTO DE TRABAJO DE LOS SERVICIOS DE LA COMISIÓN 
RESUMEN DE LA EVAL UACIÓN DE IMPACTO  
 
Documento que acompaña a la 
  
Propuesta de  
 
REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO  
 
relativo a la Agencia Europea de Seguridad de las Redes y de la Información (ENISA) 
  
{COM(2010) 521  final } 
{SEC(2010) 1126}  
ES 2   ES RESUMEN DE LA EVALUACIÓN DE IMPACTO  
1. ALCANCE Y CONTEXTO  
1.1. Alcance 
La presente evaluación de impacto se centra en cuál es la mejor manera de configurar una 
Agencia modernizada en el ámbito de la segurid ad de las redes y de la información (SRI), que 
constituye, según reconoce la mayoría, un inst rumento político apropiado y necesario para 
afrontar los retos asociados a la SRI, a fin de que ayude a los organismos de los Estados 
miembros y a la Comisión a alcanzar los objetivos  políticos en materia de SRI, dado que el 
mandato de la Agencia Europea de Seguridad  de las Redes y de la Información (ENISA) 
expira en marzo de 2012. 
1.2. Contexto 
En el mundo actual, la sociedad y la ec onomía dependen vitalmente de un adecuado 
funcionamiento de las tecnologías de la inform ación y la comunicación (TIC). Por ello, es de 
la máxima importancia garantizar  que los sistemas sean estables  y que los usuarios confíen en 
ellos. El creciente número de amenazas, ataques y programas maliciosos utilizados contra los 
sistemas podría poner en peligro el adecuado func ionamiento de las infraestructuras básicas 
de las redes y la información. Dado que estos si stemas y redes tienen carácter trasnacional, 
hace falta una respuesta europea al reto que supone la seguridad de las redes y de la 
información (SRI). 
Para afrontar estos problemas, en marzo de  2004 se estableció la Agencia Europea de 
Seguridad de las Redes y de la Información (ENISA)1 por un período de cinco años con el 
objetivo de « garantizar un nivel efectivo y elevado de  seguridad de las redes y de la 
información dentro de la Comunidad, […] con el fin de desarrollar una cultura de la 
seguridad de las redes y de la información en  beneficio de los ciudadanos, los consumidores, 
las empresas y las organizaciones del sector pú blico de la Unión Europea, lo que contribuirá 
al correcto funcionamiento del mercado interior ». 
Desde entonces, los retos planteados por la SR I se han modificado constantemente, al compás 
de la evolución de la tecnología y el mercad o. Por ello, mucho ante s de que expirase el 
Reglamento de ENISA en marzo de 2009, la Comisión puso en marcha un proceso para determinar, con las partes interesadas per tinentes, qué propuestas políticas permitirían 
alcanzar mejor los objetivos de la UE en materi a de SRI a partir de 2009. Tras una evaluación 
intermedia de ENISA en 2007
2 y una consulta pública3, el 24 de septiembre de 2008 el 
Consejo y el Parlamento Europe o adoptaron un Reglamento por el  que se prorrogaba por tres 
años el mandato de ENISA, en sus mism os términos, hasta el 13 de marzo de 20124. En los 
                                                 
1 Reglamento (CE) nº 460/2004 del Parlamento Europeo y del Consejo, de 10 de marzo de 2004, por el 
que se crea la Agencia Europea de Seguridad de las Redes y de la Información. 
2 Comunicación de la Comisión al Pa rlamento Europeo y al Consejo sobr e la evaluación de la Agencia 
Europea de Seguridad de las Redes y de la Información (ENISA) - COM(2007) 285, 1.6.2007, 
 http://eur-lex.europa.eu/LexUriServ/Le xUriServ.do?uri=CELEX :52007DC0285:EN:NOT. 
3 La consulta pública tuvo lugar entre el 13 de junio y el 7 de septiembre de 2007. 
4 Reglamento (CE) nº 1007/2008 del Parlamento Europeo y del Consejo, de 24 de septiembre de 2008, 
que modifica el Reglamento (CE) nº 460/2004, por el que se crea la Agencia Europea de Seguridad de 
las Redes y de la Información, en lo que respecta a su duración (DO L 293 de 31.10.2008). 
ES 3   ES considerandos de este Reglamento, el Cons ejo y el Parlamento Europeo abogaban por 
«continuar el debate sobre la Agencia [y] la dirección general de los esfuerzos europeos 
para una mayor seguridad de las redes y la información» . 
La Comisión catalizó el debate poniendo en marcha, en noviembre de 2008, una nueva 
consulta pública en la UE sobre los posibles objetivos de una política de SRI reforzada y 
sobre la manera de alcanzarlos5. La Comisión organizó también, en diciembre de 2008, un 
seminario con expertos en SRI de los organismos competentes de los Estados miembros sobre 
los instrumentos y mecanismos de una política de  SRI reforzada en la UE. Además, en marzo 
de 2009, la Comisión adoptó una Comunicación sobre la protecci ón de las infraestructuras 
críticas de información (PICI)6 que atribuye un papel clave a EN ISA en el apoyo a la UE para 
potenciar la seguridad, resist encia y preparación. Este enf oque fue respaldado por la 
Conferencia Ministerial sobre PI CI celebrada en Tallinn el 27 y 28 de abril de 2009, una de 
cuyas conclusiones señalaba que «los viejos retos y los que no s deparará el futuro exigirán 
que se vuelva a pensar detenidamente y se fo rmule de nuevo el mandato de la Agencia para 
que se centre más en la s prioridades y en las necesidades de la UE,  así como para llegar a 
una capacidad de respuesta más flexible, para desarrollar los conocimientos y las competencias europeas y para aumentar la efic acia operativa de la Agencia y su impacto 
global. De este forma, ENISA podrá convertirse en un valor permanente para cada Estado 
miembro y para toda la Unión Europea» . 
El 18 de diciembre de 2009, el Consejo adoptó una Resolución «relativa a un planteamiento 
de colaboración en materia de seguri dad de las redes y de la información»
7 que ponía de 
relieve, entre otras cosas, que «ENISA, con arreglo a un mandato revisado, debería servir de 
centro de conocimientos especi alizados de la UE en los asuntos relacionados con la 
seguridad de las redes y de la información de la UE» . 
En la estrategia Europa 2020 de la Comisión para un crecimiento inteligente, sostenible e 
integrador8, una de las iniciativas emblemáticas para hacerla avanzar es la Agenda Digital 
Europea, en la que la SRI desempeña un papel fundamental. El objetivo de esta iniciativa 
política en favor de la confianza y la seguri dad que figura en la Agenda Digital Europea 
es que la UE, los Estados miembros y las pa rtes interesadas puedan desarrollar un nivel 
elevado de capacidad y preparación a fin de prevenir, detectar y dar una mejor 
respuesta a los problemas relacionados con la SRI. Así se contribuirá a incrementar la 
confianza y seguridad en el mer cado único digital de Europa y a mejorar la competitividad de 
las empresas europeas. 
2. DEFINICIÓN DEL PROBLEMA  
2.1. El problema 
Se han detectado los siguientes problemas que hacen que las partes interesadas resulten 
vulnerables a las amenazas e incidentes relacion ados con la SRI. Conjuntamente demuestran 
                                                 
5 Del 7 de noviembre de 2008 al 9 de enero de 2009, informe disponible en:  
http://ec.europa.eu/information_society/policy/nis/nis_public_consultation/index_en.htm . 
6 Comunicación de la Comisión al Pa rlamento Europeo y al Consejo so bre protección de infraestructuras 
críticas de información, COM (2009) 149 final, 30.3.2009. 
7 Resolución del Consejo, de 18 de diciembre de 2009, relativa a un planteamiento de colaboración en 
materia de seguridad de las redes y de la información (2009/C 321/01). 
8 COM (2010) 2020. 
ES 4   ES la necesidad de contar con una estructura fiable a nivel de la UE para abordar el problema y 
no perder en Europa el hilo de  la situación de la tecnología y del mercado en relación con la 
SRI, que cambia constantemente.  
• Diversidad y fragmentación de los enfoques nacionales.  Los problemas relacionados 
con la SRI no se ven contenidos por las front eras nacionales y, por tanto, no es posible 
abordarlos con eficacia exclusivamente a nive l nacional. Al mismo tiempo, las autoridades 
públicas de los distintos Estados miembros  abordan este problema de maneras muy 
distintas. Los múltiples requisitos en materia de  seguridad exigidos en los distintos Estados 
miembros ocasionan considerables gastos a las empresas que operan a escala de la UE, creando fragmentación y falta de competitividad en el mercado interior europeo.  
• Limitada capacidad europea de alerta temprana y respuesta a incidentes. Los actuales 
sistemas nacionales de alerta precoz y gestión de incidentes difieren considerablemente de 
un Estado miembro a otro, y no existe ningún sist ema de la UE. Hacen falta instrumentos 
políticos de la UE que defina n los riesgos y puntos vulnerabl es en relación con la SRI, 
establezcan los mecanismos de respuesta adecuados  y garanticen que las partes interesadas 
conocen y aplican estos mecanismos. 
• Ausencia de datos fiables y conocimientos limitados sobre la evolución de los 
problemas.  Se dispone de muy poca información cuan titativa fiable sobre el impacto, e 
incluso la existencia, de los incidentes de SRI, lo que dificulta la adopción de medidas 
adecuadas por parte de los responsables políticos  y la toma de decisiones de inversión en 
seguridad por parte de las empresas.  
• Escasa conciencia de los riesgos y los retos en relación con la SRI. La responsabilidad 
de garantizar la SRI corresponde a cad a parte interesada; no obstante, sus 
responsabilidades no siempre se definen y co munican con claridad. Por una parte, los 
consumidores suelen subestimar los riesgos e ignorar su responsabilidad personal en la 
seguridad de sus sistemas de TIC. Por otra , a menudo las empresas perciben los costes 
asociados a la SRI, pero no los a horros potenciales que conlleva.  
• Dimensión internacional de los problema s de seguridad de las redes y de la 
información.  Las amenazas a la SRI y los eventuales  incidentes consecuencia de ellas 
tienen un carácter intrínsecamente internacional,  por lo cual la actuación de la UE sería 
menos efectiva si los problemas de SRI no se  abordasen también adecuadamente a nivel 
internacional. Tenemos que elabor ar una estrategia y un punto de  referencia de la UE en 
relación con la SRI para mejorar la  posición internacional de la UE. 
• Necesidad de modelos de colaboración pa ra garantizar una aplicación adecuada de 
las políticas.  Una aplicación adecuada de las políticas de SRI exige contar con modelos de 
colaboración a nivel de la UE. Es preciso orient ar a las partes interesa das para que detecten 
las amenazas a la SRI y desarrollen buenas práct icas en la aplicación de las actuales 
políticas de SRI. 
• Necesidad de una actuación más efic iente contra la ciberdelincuencia. Los trabajos en 
materia de SRI se han organizado principalmente al amparo del antiguo primer pilar, es decir, asuntos debatidos entre las institucione s. Sin embargo, con la entrada en vigor del 
Tratado de Lisboa, es necesario contemplar un conjunto de funciones más amplio para una 
Agencia de SRI, que incluya también ámbito s de los pilares segundo y tercero, es decir, 
asuntos que anteriormente decidí a en solitario el Consejo.  
ES 5   ES 2.2. ¿A quién afecta más el problema? 
Los incidentes de SRI podrían tener un gran imp acto en diversas partes interesadas, entre ellas 
las grandes y pequeñas empresas, las auto ridades y administraciones públicas y los 
ciudadanos particulares. En otra s palabras, a todos afecta la SR I y todos son responsables al 
respecto. 
Se dispone de escasa o nula información cuan titativa objetiva sobre el número exacto de 
incidentes de SRI o sobre su correspond iente impacto económico. Una indicación la 
proporciona el estudio de mercado de IDC EMEA9, según el cual el 28 % de los hogares de 
EU-27 han experimentado problemas con virus o correos no solicitados en los últimos doce 
meses. En promedio, aproximadamente el 7 % de  los usuarios empresariales experimentaron 
un incidente de seguridad en el último año. 
3. JUSTIFICACIÓN DE LA ACCIÓN DE LA UE,  VALOR AÑADIDO DE LA UE Y 
SUBSIDIARIEDAD  
La interdependencia de las redes y los sistem as de información hace sumamente difícil, si no 
imposible, que cada agente en concreto aprecie correctamente el impacto económico y social 
mundial de sus medidas para prot egerse de los incidentes de SR I. Las diferentes políticas y 
prácticas nacionales perturban el  mercado interior, tanto por la s externalidades negativas de 
los incidentes de SRI (las políticas inadec uadas afectan a mercados de otros Estados 
miembros) como por las externalidades positivas  de las buenas prácticas de SRI (una buena 
práctica en un Estado miembro mejo ra la SRI en su conjunto, c on lo que se genera un bien 
social). Por tanto, la intervención política de la  UE está justificada y aportaría un auténtico 
valor añadido al funcionamiento del mercado interior. Este valor añadido se reconocía 
también en el Reglamento (CE) nº 460/2004 por el que se creaba ENISA, al indicar que las 
competencias de la misma se proponían contri buir al correcto funcionamiento del mercado 
interior. 
Además, la intervención de la UE en la política de SRI está justificada por el principio de 
subsidiariedad . Según se indica en la Comunicación PICI, una estrategia de absoluta no 
intervención por parte de la UE en las polític as nacionales de SRI equivaldría a pedir a cada 
Estado miembro que se ocupara solo de su parcela,  sin tener en cuenta la interdependencia de 
los sistemas de información. Por consiguiente , un grado apropiado de coordinación entre los 
Estados miembros para garantizar que se pue dan gestionar correctamen te las consecuencias 
transfronterizas de los riesgos  relacionados con la SRI es c oherente con el principio de 
subsidiariedad. Además, la actuación de la UE mejoraría la eficacia de cualquier política 
nacional existente.  
Los ciudadanos de la UE confían cada vez más sus datos a sistemas de información complejos 
(p. ej., computación en nube). Por ello, una actuación política en  materia de SRI concertada y 
de colaboración puede tene r una repercusión claramen te beneficiosa sobre la protección de 
los derechos fundamentales , y en concreto sobre el derecho a la protección de los datos y de 
la intimidad . Razón de más para que nuevas actuaciones políticas de la UE parezcan 
ampliamente justificadas.  
                                                 
9 IDC EMEA, The European Network and Information Security Market, Scenario, Trends and 
Challenges , abril de 2009, con referencia a la en cuesta sobre comunicaciones electrónicas de 
Eurobarómetro de abril de 2007. 
ES 6   ES 4. OBJETIVOS DE LA MEDIDA  
La presente evaluación de impacto examina cu ál sería la mejor mane ra de configurar una 
Agencia de SRI modernizada, que para la ma yoría sería la estructura organizativa más 
adecuada, para contribuir, junto con otros instru mentos de la Unión, al logro de los objetivos 
políticos. 
El objetivo general es que la UE, los Estados miembros y las partes interesadas puedan 
desarrollar un nivel elevado de capacidad y p reparación a fin de prevenir, detectar y dar 
una mejor respuesta a los problemas relacionados con la SRI. Así se contribuirá a 
incrementar la confianza y seguridad en el me rcado único digital de Europa y a mejorar la 
competitividad de las empresas europeas. 
Este objetivo general se  desglosa en seis objetivos específicos : 
(1) Coherencia de los enfoques reguladores  – facilitar orientaciones y asesoramiento a 
la Comisión y a los Estados miembros sobre la actualización y el desarrollo de un marco normativo holístico en el ámbito de la SRI. 
(2) Prevención, detección y respuesta  – mejorar la preparación contribuyendo a 
construir una capacidad de alerta precoz y respuesta a incidentes europea, con planes 
de contingencia y ejercicios paneuropeos. 
(3) Apoyo a la formulación de políticas  – prestar asistencia y as esorar a la Comisión y a 
los Estados miembros. 
(4) Capacitación de las partes interesadas  – desarrollar una cultura  de la seguridad y la 
gestión del riesgo fomentando el intercambi o de información y la cooperación general 
entre los agentes de los sect ores público y privado, también en beneficio directo de los 
ciudadanos y las PYME, y crear una cultura de sensibilización con respecto a la SRI. 
(5) Europa, partícipe viable en el contexto internacional  – alcanzar un alto nivel de 
cooperación con terceros país es y organizaciones internac ionales para fomentar un 
planteamiento mundial común en relación c on la SRI y conseguir que las iniciativas 
internacionales de alto nivel tengan repercusión en Europa. 
(6) Colaboración en la aplicación  – facilitar la colaboración en la aplicación de las 
políticas sobre SRI. 
(7) Lucha contra la ciberdelincuencia  – desarrollar una respuesta eficaz a los aspectos 
de la ciberdelincuencia relacionados con la SRI mediante la cooperación con las 
autoridades de los (antiguos) pilare s segundo y tercero, p. ej., con Europol. 
5. F
ORMATOS ORGANIZATIVOS Y OPCIONES POLÍTICAS POSIBLES  
En la evaluación de impacto (capítulo 4 y anexo 4) se examinan varios formatos organizativos 
posibles para aplicar las opciones políticas menc ionadas. Entre ellos figuran: i) una agencia, 
ii) una asociación público- privada (APP) más o menos formali zada, iii) una red de contactos 
informales, iv) una red permanente de organismos  competentes, y v) la  incorporación directa 
a un servicio de la Comisión.  
Tras comparar estos distintos formatos organizativos, parece que una agencia sería el 
instrumento político más adecuado, en atención a sus ventajas en lo que se refiere a: 1) seguridad jurídica de la estruc tura organizativa y de su funda mento, 2) idoneidad para las 
ES 7   ES preocupaciones específicas de un sector tan sensible como el de la SRI (organismo con 
conocimientos técnicos externos, coordinación de la relación con las partes interesadas, 
implicación o compromiso de los Estados miem bros) y 3) aceptación de ENISA y reputación 
de la misma dentro de la comunidad de la SRI. 
Por consiguiente, se desarrollaron y evalua ron detalladamente las siguientes opciones 
políticas en cuanto al formato organizativo de una agencia. 
Opción 1: Ausencia de política  
Esta opción supone que ENISA dejaría de ex istir después de marzo de 2012 y que ninguna 
otra institución de la UE asumiría total o parcialmente sus actividades actuales.  
El cierre de ENISA significaría que toda la inversión realizad a hasta el momento, por ejemplo 
en la creación de una organización capaz de at raer personal altamente especializado, en la 
acumulación de experiencia y en la creación de redes con las partes interesadas y entre estas, así como con las instituciones internacionale s, se paralizaría en un momento en que la 
Agencia que ya existe ha alcan zado su velocidad de crucero.  
La complejidad del problema de la SRI en Europa  exige la modernización y el refuerzo de la 
Agencia, no su cierre. Esto queda confirmado por la funci ón explícita que se atribuye a 
ENISA, por ejemplo en el marco regulador de las comunicaciones electrónicas reformado
10, 
así como por el respaldo genera l manifestado por las partes interesadas a la idea de que la 
Agencia europea de SRI desempeñe un papel más importante.  
Opción 2: Continuación en las mismas condiciones  
La opción 2 representa la continuación del mi smo instrumento político en forma idéntica y 
con los mismos recursos. Existe entre las part es interesadas el consenso general de que 
ENISA ha madurado hasta convertirse en un punt o de referencia creíble para cuestiones 
relacionadas con la SRI y en un centr o de excelencia en este campo.  
Dadas las actuales restricciones presupuestar ias y de personal, la Agencia podrá incidir 
solamente en un número muy limitado de cues tiones relacionadas con la SRI. Esto, sin 
embargo, se aleja de las expecta tivas globales de las partes inte resadas. Negar a la Agencia la 
posibilidad de seguir evolucionando y de estar a la altura de estas expectativas crecientes 
podría, en última instancia, genera r una crisis de credibilidad.  
Opción 3: Ampliar las funciones actualmente definidas para ENISA y añadir a las 
agencias encargadas de hacer cumplir la ley y proteger la intimidad como partes interesadas de pleno derecho  
Esta opción permitiría ampliar las funcione s de una Agencia de SRI, centrándola en: 
• construir y mantener un vínculo entre las part es interesadas y una red de conocimientos; 
• constituirse en centro de asistencia en mate ria de SRI para la formulación y aplicación de 
políticas (en particular en rela ción con el respeto de la intimi dad, la firma y la identidad en 
el ámbito digital y las normas para la contratación pública de SRI); 
                                                
 
10 Véase http://eur-lex.europa.eu/JOHtml.do?uri=OJ:L:2009:337:SOM:EN:HTML . 
ES 8   ES • respaldar la PICI y la política de resist encia de la Unión (p . ej., ejercicios, EP3R11, sistema 
europeo de intercambio de información y alerta, etc.); 
• crear un marco europeo para la recopilación de  datos sobre SRI, incluyendo la creación de 
métodos y prácticas para la notif icación legal y el intercambio; 
• estudiar la economía de la SRI y presentar informes al respecto; 
• estimular la cooperación con terceros países y organiz aciones internacionales para 
fomentar un planteamiento común mundial en  relación con la SRI y conseguir que las 
iniciativas internacionales de alto nivel tengan repercusión en Europa;  
• llevar a cabo tareas que no sean de índol e operativa relacionadas con los aspectos 
relacionados con la SRI de la cooperación policial y judicial.  
La Agencia dispondría de todos los recursos necesarios para llevar a cabo sus actividades en 
profundidad y de manera satisfactoria, es deci r, para poder tener un verdadero impacto. Al 
disponer de más recursos, ENISA podría asumir  una función mucho más proactiva y adoptar 
más iniciativas para estimular la participación activa de las partes interesadas. Además, esta 
nueva situación permitiría una mayor flexib ilidad para reaccionar co n rapidez ante los 
cambios que se produzcan en el entorno de la SRI, que está en constante evolución. 
Opción 4: Adición de funciones operativas en la lucha contra los ciberataques y la 
respuesta a los ciberincidentes  
Además de las actividades enumeradas en la opción 3, la Agencia ejercería funciones 
operativas tales como desempeñar un papel más activo en la PICI de la UE, por ejemplo en la prevención de incidentes y respuesta a los mi smos, específicamente actuando como equipo de 
respuesta ante emergencias informáticas (C ERT) y coordinando los CERT nacionales en 
calidad de centro de emergencias relacionada s con la SRI de la UE, incluyendo tanto las 
actividades administrativas ordinarias como la gestión de los servicios de emergencia.  
Esta opción exigiría un incremento sustancial de l presupuesto y de los recursos humanos de la 
Agencia, lo que suscita inquietud en cuanto a su capacidad de absorció n y al uso eficaz del 
presupuesto en relación con lo s beneficios esperados.  
Opción 5: Adición de funciones operativas de apoyo a las autoridades judiciales y policiales 
en la lucha contra la ciberdelincuencia  
Además de las actividades enumeradas en la opción 4, esta opción incluiría el desempeño por 
la Agencia de funci ones relacionadas con: 
• prestar apoyo en materia de derecho procesal (véase el Convenio sobre la 
Ciberdelincuencia): p. ej., recopilación de dato s sobre tráfico, interceptación de datos de 
contenidos, supervisión de flujos en caso de ataques de denegación de servicios; 
• convertirse en un centro de conocimientos técnicos sobre investigación de delitos, 
incluidos los aspectos re lacionados con la SRI. 
Al igual que la opción 4, esto requeriría un aumento sustancial de los recursos de la Agencia 
que plantearía inquietudes similares en relación con la capacidad de ab sorción y uso eficaz del 
presupuesto. 
                                                
 
11 Asociación público-privada europea de  resistencia, véase COM(2009) 149. 
ES 9   ES 6. COMPARACIÓN DE LAS OPCIONES Y EVALUACIÓN DE LOS IMPACTOS  
El análisis de los posibles impactos económicos, sociales y ambientales pone de manifiesto 
que la opción 1  tendría efectos negativos por todos los conceptos y empeoraría la situación.  
La opción 2  se revela subóptima, ya que la Agencia no dispondría de los recursos necesarios 
para afrontar adecuadamente los retos que plante a la continua transforma ción del paisaje de la 
SRI, lo que podría dañar su reputación y, en  última instancia, generar una crisis de 
credibilidad. 
Con arreglo a la opción 3 , una Agencia de la SRI modernizada contribuiría a: 
Reducir la fragmentación de los enfoques nacion ales (problema nº 1), reforzar la formulación 
de políticas y adopción de d ecisiones basadas en los datos y los conocimientos/información 
(problema nº 3) y potenciar el conocimiento de los riesgos y los retos asociados a la SRI y las 
medidas al respecto (problem a nº 4) contribuyendo a: 
• una mayor eficiencia en la recop ilación por cada Estado miembro de la 
información pertinente sobr e los riesgos, las amenazas y los puntos vulnerables; 
• una mayor disponibilidad de información so bre los retos y los riesgos presentes y 
futuros asociados a la SRI; 
• una mayor calidad de las disposiciones sobre polític a de SRI en los Estados 
miembros.  
Mejorar la capacidad europea de alerta  precoz y respuesta (problema nº 2): 
• ayudando a la Comisión y a los Estados miembros a preparar ejercicios 
paneuropeos y consiguiendo, de esta forma,  economías de escala en la respuesta a 
los incidentes que afectan a toda la UE; 
• facilitando el funcionamiento del EP3R, que en última instancia podría conseguir 
que los objetivos políticos comunes y las normas aplicables en toda la UE en 
relación con la seguridad y la resi stencia generaran más inversiones. 
Promover un planteamiento mundial común co n respecto a la SRI (problema nº 5): 
• aumentando el intercambio de información y conocimientos con países no 
pertenecientes a la UE. 
Combatir la ciberdelincuencia con más ef icacia y eficiencia (problema nº 7): 
• participando en tareas no operativas refe ridas a los aspectos relacionados con la 
SRI de la cooperación policial y judicial, tales como el intercambio bidireccional 
de información y formación (p. ej., en c ooperación con la Escuela Europea de 
Policía, CEPOL). 
La opción 4  tendría un mayor impacto a nivel operati vo, adicional a los que conseguiría la 
opción 3. Actuando en calidad de  CERT en relación con la SRI en la UE y coordinando a las 
CERT nacionales, la Agencia contribuiría a la obtención de unas economías de escala 
superiores en respuesta a los incidentes que afect asen a toda la UE y a la disminución de los 
ES 10   ES riesgos operativos para las empresas gracias a unos niveles más elevados de seguridad y 
resistencia, por ejemplo. 
La opción 5  conseguiría una mayor eficacia en la lu cha contra la ciberdelincuencia que las 
opciones 3 y 4, con la adición de funciones opera tivas para apoyar a las autoridades policiales 
y judiciales. 
No obstante, aun cuando las opciones 4 y 5 tendrían impactos positivos superiores a la opción 
3, ambas serían políticamente sensibles para los Estados miembros en relación con sus 
responsabilidades en materia de PICI (p. ej., varios Estados miembros no estarían a favor de 
centralizar funciones operativas).  Además, ampliar el mandato con arreglo a lo previsto en las 
opciones 4 y 5 podría hacer que la posición de la Agencia resultase ambigua. De la misma 
manera, incorporar estas funciones operativas nuevas y completamente distintas al mandato 
de la Agencia podría resultar muy complicado a corto plazo, existie ndo un riesgo importante 
de que la Agencia no fuera capaz de desempeñar adecuadamente este tipo de funciones dentro 
de un plazo razonable. Por último, aunque no sea menos importante, el coste de llevar a la 
práctica las opciones 4 y 5 resulta prohibitivam ente elevado: sería necesario un presupuesto 
cuatro o cinco veces superior al actual de ENISA. 
Al comparar los impactos de las cinco opciones  relativas al formato organizativo de una 
Agencia de SRI modernizada, es preciso descar tar las opciones 1 y 2, ya que ninguna de ellas 
permitiría afrontar adecuadamente a nivel de la  UE el complejo problema de la SRI. Las 
opciones 3, 4 y 5, por su parte, permitirían a la  UE hacer frente adecuadamente a las futuras 
opciones en materia de SRI. Las opciones 4 y 5 parecen, por el momento, excesivamente 
ambiciosas, tanto en lo que se refiere a las se nsibilidades políticas de la mayoría de los 
Estados miembros como en lo que se refi ere a sus implicaciones presupuestarias. Por 
consiguiente, la opción 3 parece ser la mejor para abordar  de la manera más eficiente los 
siete problemas detectados en relación con la SRI . 
7. SEGUIMIENTO Y EVALUACIÓN : ¿CÓMO CUANTIFICAR LOS COSTES Y BENEFICIOS 
REALES , ASÍ COMO EL GRADO DE CONSECUCIÓN DE LOS EFECTOS DESEADOS ? 
Esta iniciativa prevé unas evaluaciones periódi cas que serían trasmitidas a la Comisión, al 
Parlamento Europeo y al Consejo, y que adem ás se publicarían. Estas evaluaciones tendrían 
en cuenta las opiniones de todas las partes interesadas pertinentes, sobre la base de un pliego 
de condiciones acordado con el Consejo de Administ ración de la Agencia, y valorarían si esta 
es eficaz en el logro de su s objetivos, si sigue constituye ndo un instrumento eficaz y si 
convendría introducir modificaciones en el mand ato de la Agencia o en otros aspectos del 
Reglamento por el que se constituye. Tras cad a evaluación, el Consejo de Administración de 
la Agencia formularía recomendaciones a la Co misión en relación con cualquier modificación 
que procediera introducir en el  Reglamento. El Consejo de Administración y el Director 
Ejecutivo de la Agencia tendrían en cuenta los re sultados de la evaluaci ón en la planificación 
plurianual de la Agencia. 
El funcionamiento de la Agencia está sujeto a la supervisión del Defensor del Pueblo Europeo 
de conformidad con el artículo 228 del Tratado.