EUROOPA KOMISJON Brüssel,4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, mis käsitleb ENISAt ehk ELi küberturvalisuse ametit, millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 ja mis käsitleb info- ja kommunikatsioonitehnoloogia küberturvalisuse sertifitseerimist („küberturvalisust käsitlev õigusakt“) (EMPs kohaldatav tekst) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



SELETUSKIRI 1.ETTEPANEKU TAUST •Ettepaneku põhjused ja eesmärgid Euroopa Liit on võtnud mitmeid meetmeid, et suurendada oma vastupidavusvõimet ja valmisolekut küberturvalisuse valdkonnas. 2013. aastal vastu võetud esimeses Euroopa Liidu küberjulgeoleku strateegias sätestati strateegilised eesmärgid ja konkreetsed meetmed, et saavutada vastupidavusvõime, vähendada küberkuritegevust, töötada välja küberkaitse põhimõtted ja suutlikkus, arendada tööstuslikke ja tehnoloogilisi ressursse ning luua ELi jaoks ühtne rahvusvaheline küberruumi poliitika. Selles kontekstis on hiljem toimunud olulisi arenguid, sealhulgas eelkõige Euroopa Liidu Võrgu- ja Infoturbeametile (edaspidi „ENISA“) teise mandaadi andmine ning võrgu ja infosüsteemide turvalisuse direktiivi (edaspidi „võrgu- ja infoturbe direktiiv“) vastuvõtmine, mis on käesoleva ettepaneku alus. Lisaks sellele võttis Euroopa Komisjon 2016. aastal vastu teatise „Euroopa kübervastupidavusvõime süsteemi tugevdamine ning konkurentsivõimelise ja uuendusliku küberjulgeolekutööstuse soodustamine“, milles teatati täiendavatest meetmetest, et suurendada koostööd, teavitamist ja teadmiste jagamist ning suurendada ELi vastupidavusvõimet ja valmisolekut, võttes arvesse ka suuremahuliste intsidentide ja üleeuroopalise küberturvalisuse kriisi tekkimise võimalust. Selles kontekstis teatas komisjon, et ta korraldab Euroopa Parlamendi ja nõukogu määruse (EL) nr 526/2013 (mis käsitleb Euroopa Liidu Võrgu- ja Infoturbeametit (ENISA) ning millega tunnistatakse kehtetuks määrus (EÜ) nr 460/2004, edaspidi „ENISA määrus“) hindamise ja läbivaatamise. Hindamise tulemusena võidakse ametit reformida ning suurendada selle suutlikkust ja võimet toetada liikmesriike jätkusuutlikul viisil. Seega saaks amet hindamise tulemusena operatiivsema ja kesksema rolli küberturvalisuse vastupidavusvõime saavutamisel ning ameti uues mandaadis võetaks arvesse selle uusi kohustusi võrgu- ja infoturbe direktiivi alusel. Võrgu- ja infoturbe direktiiv on esimene oluline etapp, et edendada riskijuhtimise kultuuri, kehtestades turvanõuded juriidilise kohustusena peamistele majandustegevuses osalejatele, eelkõige olulisi teenuseid osutavatele operaatoritele (edaspidi „oluliste teenuste operaator“) ja peamiste digitaalsete teenuste osutajatele (edaspidi „digitaalse teenuse osutaja“). Kuna turvanõuded on üliolulised, et kaitsta ühiskonna üha suuremast digitaaltehnoloogiale üleminekust saadavat kasu, ja võttes arvesse ühendatud seadmete kiiret levikut (asjade internet), esitatakse 2016. aasta teatises ka mõte luua IKT toodete ja teenuste turvalisuse sertifitseerimise raamistik, et suurendada usaldust ja turvalisust digitaalsel ühtsel turul. IKT küberturvalisuse sertifitseerimine muutub eriti oluliseks, võttes arvesse kõrgetasemelist küberturvalisust eeldava tehnoloogia suuremat kasutamist, näiteks internetiühendusega ja automatiseeritud autod, e-tervis ning tööstuslikud automatiseeritud juhtimissüsteemid. Neid poliitikameetmeid ja teadaandeid toetati veelgi nõukogu 2016. aasta järeldustes, milles kinnitati, et „küberohud ja -haavatavused arenevad edasi ja muutuvad intensiivsemaks, mis nõuab jätkuvat ja tihedamat koostööd, eriti laiaulatuslike piiriüleste küberintsidentide käsitlemisel“. Järeldustes kinnitati, et ENISA määrus on üks ELi kübervastupidavusvõime raamistiku põhielementidest, ning kutsuti komisjoni üles võtma täiendavaid meetmeid, et tegeleda sertifitseerimise küsimusega Euroopa tasandil. Sertifitseerimissüsteemi loomiseks oleks vaja luua ELi tasandil nõuetekohane juhtimissüsteem, sealhulgas sõltumatu ELi ameti kaudu antavate oskusteadmiste abil. Selles kontekstis määratakse käesoleva ettepanekuga kindlaks, et ENISA kui küberturvalisuse küsimustes pädev ELi tasandi amet peaks hakkama täitma seda ülesannet, et tuua kokku sertifitseerimise valdkonnas pädevad liikmesriikide asutused ja nende tööd koordineerida. Komisjon täpsustas oma 2017. aasta mai digitaalse ühtse turu strateegia vahekokkuvõtet käsitlevas teatises veelgi, et ta vaatab ENISA mandaadi läbi 2017. aasta septembriks. Selle eesmärk on määrata kindlaks ENISA roll muutunud küberturvalisuse keskkonnas ja töötada välja küberturvalisuse standardeid, sertifitseerimist ja märgistamist käsitlevad meetmed, et parandada IKT-põhiste süsteemide, sealhulgas ühendatud seadmete küberturvalisust. 2017. aasta juunis toimunud Euroopa Ülemkogu järeldustes tunnustati komisjoni kavatsust vaadata septembris läbi küberjulgeoleku strateegia ning esitada enne 2017. aasta lõppu ettepanekud täiendavate sihipäraste meetmete võtmiseks. Väljapakutud määruses sätestatakse terviklik meetmete komplekt, mis tugineb varasematele meetmetele ja edendab järgmisi üksteist toetavaid erieesmärke: ·arendada liikmesriikide ja ettevõtjate suutlikkust ja valmisolekut; ·parandada koostööd ja koordineerimist liikmesriikides ning ELi institutsioonides, organites ja asutustes; ·suurendada ELi tasandil suutlikkust täiendada liikmesriikide võetavaid meetmeid, eelkõige piirüleste küberkriiside puhul; ·suurendada kodanike ja ettevõtjate teadlikkust küberturvalisusega seotud küsimustest; ·suurendada IKT toodete ja teenuste küberturvalisuse alase usaldusväärsuse üldist läbipaistvust, et tugevdada usaldust digitaalse ühtse turu ja digitaalse uuendustegevuse vastu, ning ·vältida sertifitseerimiskavade killustatust ELis ning nendega seotud turvanõuete ja hindamiskriteeriumide killustatust liikmesriikides ja sektorites. Seletuskirja järgmises osas selgitatakse üksikasjalikumalt selle algatuse põhjusi seoses ENISA ja küberturvalisuse sertifitseerimise jaoks välja pakutud meetmetega.





ENISA ENISA on eksperdikeskus, mille eesmärk on täiustada võrgu- ja infoturvet liidus ning toetada liikmesriikide suutlikkuse arendamist. ENISA loodi 2004. aastal, et aidata kaasa üldise eesmärgi saavutamisele, milleks on tagada ELis võrgu- ja infoturbe kõrge tase. 2013. aastal anti ametile määrusega (EL) nr 526/2013 uus seitsmeaastane mandaat kuni 2020. aastani. Amet asub Kreekas, selle juhatuse asukoht on Irákleios (Kreetal) ja peamine tegevuskoht Ateenas. ENISA on teiste ELi ametitega võrreldes väike amet, millel on väike eelarve ja töötajate arv. Selle mandaat on tähtajaline. ENISA toetab Euroopa Liidu institutsioone, liikmesriike ja äriringkondi võrgu- ja infoturbe probleemidega tegelemisel, neile reageerimisel ja eelkõige nende vältimisel. Ta teeb seda, võttes mitmeid meetmeid oma strateegias kindlaks määratud viies tegevusvaldkonnas: ·oskusteadmised: peamistes võrgu- ja infoturbe küsimustes teabe ja oskusteadmiste jagamine; ·poliitika: toetus liidu poliitika kujundamisele ja rakendamisele; ·suutlikkus: toetus suutlikkuse arendamisele kogu liidus (näiteks koolituste, soovituste ja teadlikkuse suurendamise tegevuste abil); ·kogukond: võrgu- ja infoturbe kogukonna edendamine (näiteks toetus infoturbeintsidentidega tegelevatele rühmadele (edaspidi „CERT“), üleeuroopaliste küberõppuste koordineerimine); ·võimaldamine (näiteks suhtlus sidusrühmadega ja rahvusvahelised suhted). ELi kaasseadusandjad otsustasid võrgu- ja infoturbe direktiivi üle peetavate läbirääkimiste käigus anda ENISA-le olulise rolli selle direktiivi rakendamisel. Eelkõige tagab amet sekretariaaditeenused CSIRTide võrgustikule (mis luuakse, et edendada liikmesriikide vahel kiiret ja tõhusat operatiivkoostööd konkreetsete küberturvalisuse intsidentide puhul ja jagada teavet riskide kohta) ja aitab koostöörühmal täita oma ülesandeid. Lisaks selle nõutakse direktiivis, et ENISA abistaks liikmesriike ja komisjoni, pakkudes neile oma oskusteadmisi ja andes nõu ning toetades parimate tavade vahetamist. Komisjon on teinud ENISA määruse kohaselt ameti hindamise, mis hõlmab sõltumatut uuringut ja avalikku konsultatsiooni. Hindamise käigus analüüsiti ameti asjakohasust, mõju, tulemuslikkust, tõhusust, sidusust ja sellest saadavat ELi lisaväärtust seoses ameti tulemuste, juhtimise, asutusesisese organisatsioonilise struktuuri ja töötavadega ajavahemikus 2013–2016. ENISA üldisele tulemuslikkusele andis positiivse hinnangu enamik avalikule konsultatsioonile vastanutest (74 %). Enamik vastanutest oli ka seisukohal, et ENISA saavutab oma erinevaid eesmärke (vähemalt 63 % iga eesmärgi puhul). ENISA teenuseid ja tooteid kasutavad korrapäraselt (kord kuus või sagedamini) peaaegu pooled vastanutest (46 %) ning neid hinnatakse seetõttu, et neid pakub ELi tasandi asutus (83 %) ja need on kvaliteetsed (62 %). Samas oli valdav enamik vastanutest (88 %) seisukohal, et ELi tasandil praegu saadaval olevad vahendid ja mehhanismid ei ole piisavad, et tegeleda praeguste küberturvalisuse probleemidega, või sobivad selleks ainult osaliselt. Valdav enamik vastanutest (98 %) märkis, et nende küsimustega peaks tegelema ELi asutus, ning 99 % vastanutest pidas ENISAt selle jaoks õigeks organisatsiooniks. Lisaks sellele oli 67,5 % vastanutest seisukohal, et ENISA võiks osaleda IT toodete ja teenuste turvalisuse sertifitseerimise ühtlustatud raamistiku loomises. Üldise hindamise käigus (mis ei põhine ainult avalikul konsultatsioonil vaid ka mitmel individuaalsel küsitlusel, täiendavatel sihtotstarbelistel uuringutel ja seminaridel) jõuti järgmistele järeldustele. ·ENISA eesmärgid on ka praegu asjakohased. Tehnoloogia kiire arengu ja muutvate ohtude kontekstis ning suurenevaid ülemaailmseid küberturvalisuse riske arvesse võttes on selgelt vaja edendada ja tugevdada ELi kõrgetasemelisi tehnilisi oskusteadmisi küberturvalisuse valdkonnas. Tuleb suurendada liikmesriikide suutlikkust mõista ohte ja neile reageerida ning sidusrühmad peavad tegema koostööd temaatiliste valdkondade ja institutsioonide üleselt. ·Ameti väikesest eelarvest hoolimata on see olnud operatiivselt tõhus oma ressursside kasutamisel ja ülesannete täitmisel. Nii Ateenas kui ka Irákleios paiknemine on siiski tekitanud täiendavaid halduskulusid. ·Tõhususe seisukohast on ENISA täitnud oma eesmärgid osaliselt. Amet on edukalt aidanud parandada võrgu- ja infoturvet Euroopas, pakkudes suutlikkuse arendamist 28 liikmesriigis, tõhustades koostööd liikmesriikide ning võrgu- ja infoturbe sidusrühmade vahel ning jagades oskusteadmisi, kujundades kogukonda ja toetades tegevuspõhimõtete väljatöötamist. Kokkuvõttes keskendus ENISA põhjalikult oma tööprogrammi täitmisele ja oli oma sidusrühmadele usaldusväärne partner valdkonnas, mille puhul on selle tähtsat piiriülest mõju tunnustatud alles hiljuti.

·ENISA suutis avaldada vähemalt teatavas ulatuses mõju väga mahukas võrgu- ja infoturbe valdkonnas, aga ei olnud täiesti edukas tugeva kaubamärgi väljakujundamisel ning piisava märgatavuse saamisel, et olla tunnustatud peamise eksperdikeskusena Euroopas. Selle põhjus seisneb ENISA ulatuslikus mandaadis, mille jaoks ei eraldatud proportsionaalselt piisavalt ressursse. Lisaks sellele on ENISA ainus ELi amet, millel on tähtajaline mandaat, mis piirab tema võimet koostada pikaajalist strateegiat ja toetada oma sidusrühmi jätkusuutlikul viisil. See on ka vastuolus võrgu- ja infoturbe direktiivi sätetega, mis annavad ENISA-le ülesanded, millel ei ole lõppkuupäeva. Hindamise käigus leiti, et see piiratud tulemuslikkus on osaliselt põhjustatud tuginemisest asutusesiseste oskusteadmiste asemel suurel määral asutusevälistele oskusteadmistele ning spetsialistide värbamise ja tööl hoidmisega seotud probleemidest. ·Hindamise tulemusena järeldati, et ENISA lisaväärtus seisneb peamiselt ameti võimes tõhustada koostööd liikmesriikide vahel ning eelkõige asjaomaste võrgu- ja infoturbe kogukondadega (eriti CSIRTidega). ELi tasandil ei ole ühtegi teist osalejat, kes toetaks sedavõrd laialdast võrgu- ja infoturbe sidusrühmade võrgustikku. Samas kuna ENISA peab määrama oma tegevuse jaoks rangeid prioriteete, lähtub selle tööprogramm peamiselt liikmesriikide vajadustest. Seetõttu ei tegele ta piisavalt teiste sidusrühmade, eelkõige tööstusvaldkonna vajadustega. Samuti peab amet sellest tulenevalt täitma oma peamiste sidusrühmade vajadusi ja ei saa avaldada suuremat mõju. Seega andis amet erinevat lisaväärtust lähtuvalt oma sidusrühmade erinevatest vajadustest ja võimest neile reageerida (näiteks suured liikmesriigid võrreldes väikeste liikmesriikidega ja liikmesriigid võrreldes tööstusvaldkonnaga). Kokkuvõttes nähtus sidusrühmadega konsulteerimise ja hindamise tulemustest, et ENISA ressursse ja mandaati tuleb kohandada, et amet saaks nõuetekohaselt täita oma osa praegustele ja tulevastele probleemidele reageerimisel. Neid tulemusi arvesse võttes vaadatakse käesolevas ettepanekus läbi ENISA praegune mandaat ning määratakse kindlaks uued ülesanded eesmärgiga toetada tulemuslikult ja tõhusalt liikmesriikide, ELi institutsioonide ja muude sidusrühmade jõupingutusi Euroopa Liidus turvalise küberruumi tagamiseks. Uue välja pakutud mandaadi eesmärk on anda ametile tugevam ja kesksem osa, eelkõige toetades ka liikmesriike aktiivsemalt võrgu- ja infoturbe direktiivi rakendamisel ning konkreetsete ohtude vastases võitluses (tegevussuutlikkus) ning saades liikmesriike ja komisjoni küberturvalisuse sertifitseerimise valdkonnas toetavaks eksperdikeskuseks. Käesoleva ettepanekuga tehtaks järgmised muudatused. ·ENISA saaks alalise mandaadi ja seega kindla tuleviku. Mandaati, eesmärke ja ülesandeid tuleks siiski korrapäraselt läbi vaadata. ·Välja pakutud mandaadi puhul täpsustatakse veelgi ENISA rolli küberturvalisuse ELi ametina ja ELi küberturvalisuse ökosüsteemi võrdlusalusena, kes tegutseb tihedas koostöös kõnealuse ökosüsteemi kõigi teiste asjaomaste asutustega. ·Ameti korraldus ja juhtimine, mida peeti hindamise käigus positiivseks, vaadatakse piiratud ulatuses läbi, eelkõige veendumaks, et ameti töös kajastuvad paremini laiema sidusrühmade kogukonna vajadused. ·Mandaadi soovituslik ulatus piiritletakse, tugevdades neid valdkondi, kus amet on näidanud selget lisaväärtust, ja lisades valdkonnad, kus vajatakse tuge, võttes arvesse uusi poliitilisi prioriteete ja vahendeid, eelkõige võrgu- ja infoturbe direktiivi, Euroopa Liidu küberjulgeoleku strateegia läbivaatamist, tulevast ELi küberturvalisuse tegevuskava küberkriiside valdkonnas tehtava koostöö jaoks ning IKT turvalisuse sertifitseerimist. ·ELi põhimõtete arendamine ja rakendamine: ENISA-le antaks ülesandeks aidata enesealgatuslikult kaasa poliitikakujundamisele võrgu- ja infoturbe valdkonnas ning erinevates valdkondades (näiteks energeetika, transport ja rahandus) tehtud teistele poliitilistele algatustele, millel on küberturvalisuse elemente. Selleks peaks tal olema tugev nõustav roll, mida ta saaks täita, esitades sõltumatuid arvamusi ja tehes ettevalmistavat tööd tegevuspõhimõtete ja õigusaktide väljatöötamiseks ning ajakohastamiseks. ENISA toetaks ka ELi põhimõtteid ja õigusakte elektroonilise side, elektroonilise identiteedi ja usaldusteenuste valdkonnas, et suurendada küberturvalisust. Rakendamise etapis ning eelkõige võrgu- ja infoturbe koostöörühma kontekstis aitaks ENISA liikmesriikidel võtta kasutusele lähenemisviisi, mille alusel rakendataks võrgu- ja infoturbe direktiivi ning teisi asjaomaseid tegevuspõhimõtteid ja õigusakte ühtselt piiride ja valdkondade üleselt. Selleks et toetada küberturvalisuse valdkonna tegevuspõhimõtete ja õigusaktide korrapärast läbivaatamist, esitab ENISA ka korrapäraseid aruandeid ELi õigusraamistiku rakendamise olukorra kohta. ·Suutlikkuse arendamine: ENISA aitab suurendada ELi ja riigi ametiasutuste suutlikkust ja oskusteadmisi, sealhulgas intsidentidele reageerimise ning küberturvalisusega seotud regulatiivsete meetmete järelevalve valdkonnas. Ametilt nõutakse ka seda, et ta aitaks luua erinevates valdkondades teabe jagamise ja analüüsimise keskused (ISACid), tutvustades parimaid tavasid ja andes suuniseid saadaolevate vahendite ja menetluste kohta ning tegeledes nõuetekohaselt teabe jagamisega seotud regulatiivsete küsimustega. ·Teadmised, teave ja teadlikkuse suurendamine: ENISAst saaks ELi teabekeskus. See tähendaks parimate tavade ja algatuste edendamist ning jagamist ELis, koondades ELi ning riiklikelt institutsioonidelt, asutustelt ja organitelt saadud küberturvalisust käsitleva teabe. Amet annaks ka nõuandeid ja suuniseid ning tutvustaks parimaid tavasid elutähtsa taristu turvalisuse valdkonnas. Pärast olulisi piiriüleseid küberturvalisuse intsidente koostaks ENISA ka aruanded, et anda suuniseid ettevõtjatele ja kodanikele kogu ELis. Selle töövoo raames korraldataks ka koostöös liikmesriikide ametiasutustega korrapäraselt teadlikkuse suurendamise tegevusi. ·Turuga seotud ülesanded (standardimine ja küberturvalisuse sertifitseerimine): ENISA täidaks mitmeid ülesandeid, täpsemalt toetaks siseturgu ja küberturvalisuse turu vaatlusrühma, analüüsides küberturvalisuse turu asjaomaseid suundumusi, et reageerida paremini nõudlusele ja pakkumisele, ning toetades ELi poliitika kujundamist IKT standardimise ja IKT küberturvalisuse sertifitseerimise valdkonnas. Standardimise valdkonnas aitaks ENISA täpsemalt koostada ja võtta kasutusele küberturvalisuse standardeid. ENISA täidaks ka tulevase sertifitseerimisraamistiku (vt jaotis allpool) kontekstis ette nähtud ülesandeid. ·Teadusuuringud ja innovatsioon: ENISA kasutaks oma oskusteadmisi, et nõustada ELi ja riigi ametiasutusi teadus- ja arendustegevuse valdkonnas prioriteetide määramisel, sealhulgas küberturvalisuse alase lepingulise avaliku ja erasektori partnerluse kontekstis. Teadusuuringute valdkonnas ENISA antud nõuandeid kasutataks järgmise mitmeaastase finantsraamistiku alusel uue Euroopa küberturvalisuse uurimis- ja pädevuskeskuse huvides. ENISA osaleks komisjoni taotluse korral ka ELi teadusuuringute ja innovatsiooni rahastamisprogrammide rakendamises. ·Operatiivkoostöö ja kriisiohjamine: see töövoog peaks põhinema olemasoleva vältimise tegevussuutlikkuse tugevdamisel, eelkõige täiustades üleeuroopalisi küberturvalisuse õppusi (Cyber Europe), muutes need iga-aastasteks, ning toetades operatiivkoostööd CSIRTide võrgustiku sekretariaadina (võrgu- ja infoturbe direktiivi nõuete kohaselt), tagades muu hulgas, et CSIRTide võrgustiku IT taristu ja sidekanalid toimivad hästi. Selles kontekstis on vajalik struktureeritud koostöö CERT-EU, küberkuritegevuse vastase võitluse Euroopa keskuse ja teiste asjaomaste ELi asutustega. Lisaks sellele peaks CERT-EUga füüsiliselt lähestikku tehtav struktureeritud koostöö võimaldama anda oluliste intsidentide korral tehnilist abi ja toetada intsidentide analüüsi. Vastava taotluse esitanud liikmesriigid saaksid abi intsidentidega tegelemiseks ning toetust nõrkuste, moonutuste ja intsidentide analüüsimiseks, et tugevdada oma vältimis- ja reageerimissuutlikkust. ·ENISA-l oleks ka osa ELi küberturvalisuse tegevuskavas, mida tutvustatakse selle paketi osana ja milles esitatakse komisjoni soovitused liikmesriikidele, et reageerida koordineeritud viisil suurtele piiriülestele küberturvalisuse intsidentidele ja kriisidele ELi tasandil. ENISA edendaks hädaolukordadele reageerimise käigus individuaalsete liikmesriikide vahelist koostööd, analüüsides ja koondades riiklikke olukorraaruandeid lähtuvalt teabest, mille liikmesriigid ja muud üksused on ametile vabatahtlikult esitanud. ·IKT toodete ja teenuste küberturvalisuse sertifitseerimine Selleks et luua ja säilitada usaldust ja turvalisust, tuleb IKT toodetesse ja teenustesse otseselt inkorporeerida turvaomadused nende tehnilise projekteerimise ja arendamise algetappides (sisseprojekteeritud turve). Lisaks sellele peab klientidel ja kasutajatel olema võimalik kindlaks teha nende hangitud või ostetud toodete ja teenuste turvalisuse alase usaldusväärsuse tase. Sertifitseerimine, mille puhul sõltumatu ja akrediteeritud asutus hindab ametlikult tooteid, teenuseid ja protsesse kindlaks määratud standardikriteeriumide alusel ning väljastatakse vastavust tõendav sertifikaat, on oluline, et suurendada toodete ja teenuste turvalisust ning usaldust nende vastu. Kuigi turvalisuse hindamine on üpris tehniline valdkond, on sertifitseerimise abil võimalik teavitada ostjaid ja kasutajaid nende ostetud või kasutatavate IKT toodete ja teenuste turvaomadustest ning neid selles valdkonnas julgustada. Nagu eespool märgitud, kehtib see eelkõige suurel määral digitehnoloogiat kasutavate ja väga heal tasemel turvalisust eeldavate uute süsteemide suhtes, nt internetiühendusega ja automatiseeritud autod, e-tervis, tööstuslikud automatiseeritud juhtimissüsteemid või arukad võrgud. Praegu on IKT toodete ja teenuste küberturvalisuse sertifitseerimine ELis üpris lünklik. On mitmeid rahvusvahelisi algatusi, näiteks infotehnoloogia turvalisuse hindamise nn ühiskriteeriumid (ISO 15408), mille puhul on tegemist arvuti turvalisuse hindamise rahvusvahelise standardiga. See põhineb kolmanda isiku tehtaval hindamisel ja sellega nähakse ette seitse hindamise usaldusväärsuse taset. Ühiskriteeriumid ja nendega kaasnev infotehnoloogia turvalisuse hindamise ühine metoodika on tehniline alus rahvusvahelisele kokkuleppele Common Criteria Recognition Arrangement (ühiskriteeriumide tunnustamise kokkulepe, edaspidi „CCRA“), millega tagatakse, et ühiskriteeriumide sertifikaate tunnustavad kõik CCRA allakirjutanud. Samas tunnustatakse CCRA kehtiva versiooni alusel vastastikku ainult hindamisi kuni tasemeni EAL 2. Lisaks sellele on kokkuleppe allkirjastanud ainult 13 liikmesriiki.

12 liikmesriigi sertifitseerimisasutused on sõlminud vastastikuse tunnustamise kokkuleppe nende sertifikaatide kohta, mis on väljastatud lähtuvalt ühiskriteeriumidest ja kokkuleppe kohaselt. Liikmesriikides on praegu tehtud või hakatakse tegema mitmeid IKT sertifitseerimise algatusi. Kuigi need on olulised, kaasneb nende algatustega ka risk, et turg killustub ja tekivad probleemid koostalitusvõimega. Seetõttu võib ettevõtjal olla vaja hankida mitu sertifikaati mitmes liikmesriigis, et ta saaks oma tooteid mitmel turul pakkuda. Näiteks nutiarvestite tootja, kes soovib müüa oma tooteid kolmes liikmesriigis, näiteks Saksamaal, Prantsusmaal ja Ühendkuningriigis, peab praegu täitma kolme erineva sertifitseerimiskava nõudeid. Need on Commercial Product Assurance (CPA) Ühendkuningriigis, Certification de Sécurité de Premier Niveau (CSPN) Prantsusmaal ja ühiskriteeriumidel põhinev konkreetne kaitseprofiil Saksamaal. See olukord tekitab suuremad kulud ja põhjustab märkimisväärset halduskoormust ettevõtjatele, kes tegutsevad mitmes liikmesriigis. Kuigi sertifitseerimise kulud võivad olenevalt tootest/teenusest, soovitud hindamise usaldusväärsuse tasemest ja/või muudest asjaoludest märkimisväärselt erineda, on see summa ettevõtjate jaoks üldjuhul üpris suur. BSI „Smart Meter Gateway“ sertifikaadi saamine maksab rohkem kui 1 miljon eurot (kõrgeim katsetus- ja usaldusväärsuse tase, mis kehtib lisaks tootele ka kogu seda ümbritseva taristu kohta). Nutiarvestite sertifitseerimise maksumus Ühendkuningriigis on peaaegu 150 000 eurot. Prantsusmaal on see maksumus Ühendkuningriigiga sarnane (ligikaudu 150 000 eurot või rohkem). Peamised avaliku ja erasektori sidusrühmad kinnitasid, et kuna puudub ELi-ülene küberturvalisuse sertifitseerimise kava, on ettevõtjad pidanud mitmel juhul hankima sertifikaadi individuaalselt igas liikmesriigis, mis põhjustab turu killustatuse. Kõige olulisem on, et ELi ühtlustatud õigusaktide puudumise tõttu IKT toodete ja teenuste valdkonnas võivad küberturvalisuse sertifitseerimise standardite ja tavade erinevused liikmesriikides luua ELis tegelikkuses 28 eraldi turvalisuse turgu, millest igaühel on oma tehnilised nõuded, katsemeetodid ja küberturvalisuse sertifitseerimise menetlused. Kui ELi tasandil nõuetekohaseid meetmeid ei võeta, siis võivad need erinevad lähenemisviisid riiklikul tasandil põhjustada märkimisväärse tagasilöögi digitaalse ühtse turu saavutamisel, aeglustades või takistades majanduskasvu ja töökohtade loomise seisukohast ühendatud positiivse mõju tekkimist. Eespool nimetatust lähtuvalt luuakse määruse ettepanekuga IKT toodete ja teenuste Euroopa küberturvalisuse sertifitseerimise raamistik (edaspidi „raamistik“) ning täpsustatakse ENISA olulised ülesanded küberturvalisuse sertifitseerimise valdkonnas. Käesoleva ettepanekuga kehtestatakse Euroopa küberturvalisuse sertifitseerimise kavasid reguleerivate õigusnormide üldine raamistik. Ettepanekuga ei võeta kasutusele otseselt kasutusvalmis sertifitseerimiskavasid, vaid luuakse süsteem (raamistik) konkreetsete IKT toodete/teenuste jaoks konkreetsete sertifitseerimiskavade koostamiseks (edaspidi „Euroopa küberturvalisuse sertifitseerimise kavad“). Raamistiku kohaselt Euroopa küberturvalisuse sertifitseerimise kavade loomine võimaldab tagada nende kavade alusel väljastatud sertifikaatide kehtivuse ja tunnustamise kõikides liikmesriikides ning vähendada praegust turu killustatust. Euroopa küberturvalisuse sertifitseerimise kava üldeesmärk on kinnitada, et selle kava kohaselt sertifitseeritud IKT tooted ja teenused vastavad kindlaksmääratud küberturvalisuse nõuetele. See hõlmaks näiteks nende võimet kaitsta (salvestatud, edastatud või muul viisil töödeldud) andmeid juhusliku või lubamatu salvestamise, töötlemise, juurdepääsu, avaldamise, hävitamise, juhusliku kaotamise või muutmise eest. ELi küberturvalisuse sertifitseerimise kavad kasutaksid tehniliste nõuete ja hindamismenetluste valdkonnas kehtivaid standardeid, millele tooted peavad vastama, ja nende raames ei koostataks uusi tehnilisi standardeid. Näiteks selleks, et tagada selliste toodete nagu kiipkaartide ELi-ülene sertifitseerimine, mida katsetatakse praegu mitmepoolse SOG-ISi kava alusel ühiskriteeriumide rahvusvaheliste standarditega võrreldes (ja mida on eespool kirjeldatud), oleks vaja muuta see kava kehtivaks kogu ELi ulatuses. Lisaks sellele, et ettepanekus kirjeldatakse konkreetsete turvaeesmärkide komplekti, mida tuleb võtta arvesse konkreetse Euroopa küberturvalisuse sertifitseerimise kava koostamisel, esitatakse selles nõuded kõnealuste kavade miinimumsisule. Nendes kavades tuleb muu hulgas määrata kindlaks konkreetsed nõuded küberturvalisuse sertifitseerimise ulatusele ja eesmärgile. See hõlmab asjakohaste toodete ja teenuste kategooriate kindlaksmääramist, küberturvalisuse nõuete üksikasjalikku kirjeldamist (näiteks osutades asjakohastele standarditele või tehnilistele kirjeldustele), konkreetseid hindamiskriteeriume ja -meetodeid ning usaldusväärsuse taset, mida nendega soovitakse tagada (näiteks baastase, märkimisväärne või kõrge tase). Euroopa küberturvalisuse sertifitseerimise kavad koostab ENISA, kasutades eksperdiabi ja tehes tihedat koostööd Euroopa küberturvalisuse sertifitseerimise rühmaga (vt allpool) ning need võtab vastu komisjon rakendusaktide alusel. Kui küberturvalisuse sertifitseerimise kava peetakse vajalikuks, siis esitab komisjon ENISA-le taotluse, et ta koostaks kava konkreetse IKT toote või teenuse jaoks. ENISA koostab kava tihedas koostöös rühmas esindatud riiklike sertifitseerimise järelevalveasutustega. Liikmesriigid ja rühm võivad teha komisjonile ettepaneku, et ta taotleks ENISA-lt konkreetse kava koostamist. Sertifitseerimine võib olla väga kulukas protsess, mis võib suurendada klientidelt ja tarbijatelt küsitavaid hindu. Sertifitseerimisvajadus võib ka märkimisväärselt erineda, lähtuvalt toodete ja teenuste kasutamise konkreetsest kontekstist ning tehniliste muutuste kiirest tempost. Euroopa küberturvalisuse sertifitseerimise kasutamine peaks seega jääma vabatahtlikuks, kui liidu õigusaktides, millega kehtestatakse IKT toodete ja teenuste turvanõuded, ei ole sätestatud teisiti. Selleks et tagada ühtlustamine ja vältida killustatust, lõpetatakse Euroopa küberturvalisuse sertifitseerimise kavaga hõlmatud IKT toodete ja teenuste puhul riiklike küberturvalisuse sertifitseerimise kavade või menetluste kasutamine alates Euroopa küberturvalisuse sertifitseerimise kava vastuvõtmise rakendusaktis sätestatud kuupäevast. Liikmesriigid ei tohiks ka kehtestada uusi riiklikke küberturvalisuse sertifitseerimise kavasid IKT toodetele ja teenustele, mis on kaetud kehtiva Euroopa küberturvalisuse sertifitseerimise kavaga. Kui Euroopa küberturvalisuse sertifitseerimise kava on vastu võetud, saavad IKT toodete tootjad või IKT teenuste osutajad esitada enda valitud vastavushindamisasutusele taotluse oma toodete või teenuste sertifitseerimiseks. Akrediteerimisasutus peaks vastavushindamisasutused akrediteerima, kui need vastavad teatavatele konkreetsetele nõuetele. Akrediteering antakse maksimaalselt viieks aastaks ja selle kehtivust võib pikendada samadel tingimustel senikaua, kuni vastavushindamisasutus vastab nõuetele. Akrediteerimisasutus tühistab vastavushindamisasutuse akrediteerimise, kui akrediteerimise tingimused ei ole täidetud või ei ole enam täidetud või asutuse poolt võetavad meetmed rikuvad käesolevat määrust. Ettepaneku kohaselt täidavad seire, järelevalve ja täitmise tagamise ülesandeid liikmesriigid. Liikmesriigid peavad tagama ühe sertifitseerimise järelevalveasutuse olemasolu. See asutus peab kontrollima, et vastavushindamisasutused ja nende territooriumil asutatud vastavushindamisasutuste väljastatud sertifikaadid vastavad käesoleva määruse ning asjakohaste Euroopa küberturvalisuse sertifitseerimise kavade nõuetele. Riiklikud sertifitseerimise järelevalveasutused on pädevad tegelema füüsiliste või juriidiliste isikute esitatud kaebustega, mis käsitlevad nende territooriumil asutatud vastavushindamisasutuste väljastatud sertifikaate. Nad uurivad nõuetekohases ulatuses kaebuse sisu ja annavad kaebuse esitajale mõistliku aja jooksul teada tehtud edusammudest ning uurimise tulemusest. Lisaks sellele teevad nad koostööd teiste sertifitseerimise järelevalveasutuste või muude avaliku sektori asutusega, näiteks jagades teavet IKT toodete ja teenuste võimaliku mittevastavuse kohta käesoleva määruse või konkreetsete Euroopa küberturvalisuse sertifitseerimise kavade nõuetele. Ettepaneku alusel luuakse Euroopa küberturvalisuse sertifitseerimise rühm (edaspidi „rühm“), kuhu kuuluvad kõigi liikmesriikide riiklikud sertifitseerimise järelevalveasutused. Rühma põhiülesanne on nõustada komisjoni küberturvalisuse sertifitseerimise poliitikaga seotud küsimustes ning teha koostööd ENISAga, et koostada Euroopa küberturvalisuse sertifitseerimise kavade projektid. ENISA aitab komisjoni, tagades rühma sekretariaaditeenused ja hoides käigus Euroopa küberturvalisuse sertifitseerimise raamistiku alusel heaks kiidetud kavade ajakohastatud avalikku andmikku. ENISA suhtleks ka standardiorganisatsioonidega, et tagada heakskiidetud kavades kasutatud standardite asjakohasus ja määrata kindlaks küberturvalisuse standardeid vajavad valdkonnad. Euroopa küberturvalisuse sertifitseerimise raamistik (edaspidi „raamistik“) annab kodanikele ja ettevõtjatele mitmeid eeliseid. Need eelised on eelkõige järgmised. ·Konkreetsete toodete ja teenuste jaoks ELi-üleste küberturvalisuse sertifitseerimise kavade loomine tagab ettevõtjatele ühtse kontaktpunkti ELis küberturvalisuse sertifikaadi hankimiseks. Kõnealustel ettevõtjatel tekib võimalus sertifitseerida oma toode ainult korra ja saada sertifikaat, mis kehtib kõikides liikmesriikides. Nad ei pea sertifitseerima oma tooteid uuesti teiste riiklike sertifitseerimisasutuste juures. See vähendab märkimisväärselt ettevõtjatele tekkivaid kulusid, lihtsustab piiriülest tegevust ning lõppkokkuvõttes vähendab ja aitab vältida asjaomaste toodete siseturu killustatust. ·Raamistikuga kehtestatakse Euroopa küberturvalisuse sertifitseerimise kavade ülimuslikkus riiklike kavade suhtes: selle tingimuse kohaselt muutub Euroopa küberturvalisuse sertifitseerimise kava selle vastuvõtmisel ülimuslikuks kõigi samal usaldusväärsuse tasemel sama IKT toote või teenuse puhul kehtivate riiklike kavade suhtes. See suurendab selgust ning vähendab kattuvate ja vahel ka vastandlike riiklike küberturvalisuse sertifitseerimise kavade praegust levikut. ·Ettepanekuga toetatakse ja täiendatakse ka võrgu- ja infoturbe direktiivi rakendamist, andes ettevõtjatele, kelle suhtes seda direktiivi kohaldatakse, väga kasulikud vahendid, mille abil nad saavad tõendada vastavust võrgu- ja infoturbe nõuetele kogu liidus. Komisjon ja ENISA pööravad uute küberturvalisuse sertifitseerimise kavade väljatöötamisel eritähelepanu vajadusele tagada, et võrgu- ja infoturbe direktiivi nõuded kajastuvad küberturvalisuse sertifitseerimise kavades. ·Ettepanekuga toetatakse ja edendatakse Euroopa küberturvalisuse poliitika väljatöötamist, ühtlustades tingimusi ja sisulisi nõudeid IKT toodete ja teenuste küberturvalisuse sertifitseerimisele ELis. Euroopa küberturvalisuse sertifitseerimise kavad osutavad hindamis- ja katsemeetodite ühistele standarditele või kriteeriumidele. See aitab märkimisväärselt (kuigi kaudselt) kaasa ühiste turvalahenduste kasutuselevõtule ELis, kõrvaldades ka tõkked siseturul. ·Raamistik on koostatud selliselt, et tagada küberturvalisuse sertifitseerimise kavade jaoks vajalik paindlikkus. Olenevalt konkreetsetest küberturvalisuse vajadustest võidakse toode või teenus sertifitseerida kõrgemal või madalamal turvalisuse tasemel. Euroopa küberturvalisuse sertifitseerimise kavad koostatakse seda paindlikkust arvesse võttes ja nendega tagatakse seetõttu erinevad usaldusväärsuse tasemed (s.o baastase, märkimisväärne või kõrge tase), et neid saaks kasutada erinevas kontekstis erineval otstarbel. ·Kõik eespool märgitud elemendid muudavad küberturvalisuse sertifitseerimise ettevõtjatele atraktiivsemaks kui tõhusa vahendi, mille abil saab anda teavet IKT toodete või teenuste küberturvalisuse usaldusväärsuse taseme kohta. Kuna küberturvalisuse sertifitseerimine muutub odavamaks, tõhusamaks ja ärilises mõistes atraktiivsemaks, on ettevõtjatel suurem ajend sertifitseerida oma tooteid küberturvalisuse riskide vältimiseks, aidates seeläbi kaasa paremate küberturvalisuse tavade levikule IKT toodete ja teenuste projekteerimisel (sisseprojekteeritud küberturvalisus).

•Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega Võrgu- ja infoturbe direktiivi kohaselt peavad meie majanduse ja ühiskonna jaoks elutähtsates sektorites (näiteks energeetika, vesi, pangandus, finantsturutaristud, tervishoid ja digitaalne taristu) tegutsevad operaatorid ning digitaalsete teenuste (näiteks otsingumootorid, pilvandmetöötlusteenused ja internetipõhised kauplemiskohad) osutajad võtma meetmeid, et juhtida nõuetekohaselt turvariske. Käesoleva ettepaneku uued õigusnormid täiendavad võrgu- ja infoturbe direktiivi sätteid ja tagavad nendega kooskõla, et suurendada veelgi ELi kübervastupidavusvõimet tänu suuremale suutlikkusele, koostööle, riskijuhtimisele ja küberteadlikkusele. Lisaks sellele on küberturvalisuse sertifitseerimise õigusnormid ülioluline vahend ettevõtjatele, kelle suhtes kohaldatakse võrgu- ja infoturbe direktiivi, kuna nad saavad sertifitseerida oma IKT tooteid ja teenuseid küberturvalisuse riskide vastu, kasutades selleks kogu ELis kehtivaid ja tunnustatud küberturvalisuse sertifitseerimise kavasid. Need täiendavad ka e-identimise ja e-tehingute jaoks vajalike usaldusteenuste määruses ning raadioseadmete direktiivis sätestatud turvanõudeid. •Kooskõla muude liidu tegevuspõhimõtetega Määrus (EL) 2016/679 (edaspidi „isikuandmete kaitse üldmäärus“) sisaldab sätteid sertifitseerimismehhanismide ning andmekaitsepitserite ja -märgiste kasutuselevõtuks eesmärgiga tõendada, et vastutavate töötlejate ja volitatud töötlejate isikuandmete töötlemise toimingud vastavad kõnealusele määrusele. Käesolev määrus ei piira andmetöötlustoimingute sertifitseerimist isikuandmete kaitse üldmääruse kohaselt, sealhulgas juhul, kui sellised toimingud sisalduvad toodetes või teenustes. Määruse ettepaneku puhul tagatakse kooskõla määrusega (EÜ) nr 765/2008, millega sätestatakse akrediteerimise ja turujärelevalve nõuded, osutades selle riiklikke akrediteerimisasutusi ja vastavushindamisasutusi käsitleva raamistiku õigusnormidele. Järelevalveasutuste puhul nõutakse välja pakutud määrusega, et liikmesriigid nimetaksid riiklikud sertifitseerimise järelevalveasutused, kes vastutavad õigusnormide järelevalve, seire ja täitmise tagamise eest. Need asutused on eraldiseisvad määrusega (EÜ) nr 765/2008 ette nähtud vastavushindamisasutustest. 2.ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS •Õiguslik alus ELi meetme õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 114, mis käsitleb liikmesriikide õigusaktide ühtlustamist, et saavutada Euroopa Liidu toimimise lepingu artiklis 26 seatud eesmärk, nimel siseturu nõuetekohane toimimine. Siseturu õiguslikku alust ENISA loomiseks on kinnitanud Euroopa Kohus (kohtuasjas C-217/04 Ühendkuningriik vs. Euroopa Parlament ja nõukogu) ning seda toetati veelgi 2013. aasta määrusega, millega anti ametile praegune mandaat. Lisaks sellele kuuluvad tegevused, mille eesmärk on suurendada liikmesriikide koostööd ja koordineerimist ning mis lisavad ELi tasandi suutlikkust, et täiendada liikmesriikide võetavaid meetmeid, operatiivkoostöö kategooria alla. See on määratud kindlaks võrgu- ja infoturbe direktiivis (mille õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 114) CSIRTide võrgustiku kontekstis seatud eesmärgina, mille puhul „ENISA tagab sekretariaadi töö ja toetab aktiivselt [...] koostööd“ (artikli 12 lõige 2). Eelkõige tuuakse artikli 12 lõike 3 punktis f veelgi esile CSIRTide võrgutikule ülesandeks antud operatiivkoostöö täiendavaid vorme, sealhulgas seoses i) riskide ja intsidentide kategooriatega, ii) varajaste hoiatustega, iii) vastastikuse abiga ning iv) koostöö põhimõtete ja korraga juhtudeks, kui liikmesriigid reageerivad piirülestele riskidele ja intsidentidele. ·IKT toodete ja teenuste sertifitseerimise kavade praegune killustatus on ka põhjustatud liikmesriikide suhtes kohaldatava ühise õiguslikult siduva ja tõhusa raamistiku protsessi puudumisest. See takistab IKT toodete ja teenuste siseturu loomist ning piirab Euroopa tööstuse konkurentsivõimet selles sektoris. Käesoleva ettepaneku eesmärk on tegeleda praeguse killustatuse ja sellest siseturule tekkivate takistustega, tagades ühise raamistiku, et luua kogu ELis kehtivad küberturvalisuse sertifitseerimise kavad. Subsidiaarsus (liidu ainupädevusse mittekuuluva valdkonna puhul) Subsidiaarsuse põhimõtte kohaselt on vaja hinnata ELi meetme vajalikkust ja lisaväärtust. Subsidiaarsuse põhimõtte järgimist selles valdkonnas kinnitati juba kehtiva ENISA määruse vastuvõtmise ajal. Küberturvalisus on liidule ühist huvi pakkuv küsimus. Võrkude ja infosüsteemide omavaheline seotus on selline, et üksikud osalejad (avalikust ja erasektorist, sealhulgas kodanikud) ei saa sageli üksi toime tulla küberturvalisuse intsidentide ohtudega, juhtida nende riske ega hallata nende võimalikku mõju. Ühest küljest muudab liikmesriikide omavaheline seotus, sealhulgas elutähtsa taristu (muu hulgas energeetika, transport, vesi) käitamise puhul Euroopa tasandil avaliku sekkumise mitte ainult kasulikuks, aga ka vajalikuks. Teisest küljest võib ELi sekkumine avaldada positiivset kõrvalmõju lähtuvalt heade tavade jagamisest liikmesriikides, mis võib anda tulemuseks parema küberturvalisuse liidus. Kokkuvõttes nähtub praeguses kontekstis ja tulevikustsenaariume arvesse võttes, et ELi liikmesriikide individuaalsetest meetmetest ja küberturvalisuse puhul killustatud lähenemisviisi rakendamisest ei piisa liidu ühise kübervastupidavusvõime suurendamiseks. ELi meetmeid peetakse ka vajalikuks, et tegeleda küberturvalisuse sertifitseerimise kavade praeguse killustatusega. See annaks tootjatele võimaluse saada siseturust täielikku kasu, hoides märkimisväärselt kokku katsetamise ja ümberkujundamise kulusid. Kuigi näiteks kõrgemate ametnike infosüsteemide turbe rühma (edaspidi „SOG-IS“) vastastikuse tunnustamise kokkulepe on saavutanud selles valdkonnas märkimisväärseid tulemusi, on selle tegevuse käigus ilmnenud ka märkimisväärseid piiranguid, mille tõttu see ei saa pakkuda pikaajalisi jätkusuutlikke lahendusi siseturu täieliku potentsiaali saavutamiseks. ELi tasandil tegutsemise lisaväärtust, eelkõige et suurendada koostööd liikmesriikide vahel, aga ka võrgu- ja infoturbe kogukondade vahel, on kinnitatud nõukogu 2016. aasta järeldustes ja see ilmneb ka selgelt ENISA tehtud hindamisest.

•Proportsionaalsus Kavandatud meede ei lähe kaugemale sellest, mis on vajalik selle poliitikaeesmärkide saavutamiseks. ELi sekkumise ulatus ei takista riikliku julgeoleku valdkonnas täiendavate riiklike meetmete võtmist. ELi meede on seega subsidiaarsuse ja proportsionaalsuse seisukohast põhjendatud. •Vahendi valik Käesoleva ettepanekuga vaadatakse läbi määrus (EL) nr 526/2013, milles sätestatakse ENISA kehtiv mandaat ja ülesanded. Võttes arvesse ENISA olulist rolli ELi küberturvalisuse sertifitseerimise raamistiku loomisel ja haldamisel, on kõige parem luua ENISA uus mandaat ja kõnealune raamistik ühe õigusakti alusel, kasutades selleks määrust. 3.JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll Komisjon analüüsis hindamise tegevuskava alusel tehtud hindamise käigus ameti asjakohasust, mõju, tulemuslikkust, tõhusust, sidusust ja sellest saadavat lisaväärtust seoses ameti tulemuste, juhtimise, asutusesisese organisatsioonilise struktuuri ja töötavadega ajavahemikus 2013–2016. Põhitulemused on järgmised (lisateavet leiate mõjuhinnangule lisatud komisjoni talituste töödokumendist). ·Asjakohasus: tehnika arengu ja muutuvate ohtude kontekstis ning võttes arvesse märkimisväärset vajadust suurema küberturvalisuse järele ELis, osutusid ENISA eesmärgid asjakohaseks. Liikmesriigid ja ELi asutused tuginevad selle märkimisväärsetele oskusteadmistele küberturvalisuse küsimustes. Tuleb suurendada liikmesriikide suutlikkust mõista paremini ohte ja neile reageerida ning sidusrühmad peavad tegema koostööd temaatiliste valdkondade ja institutsioonide üleselt. Küberturvalisus on jätkuvalt ELi peamine poliitiline prioriteet, millega ENISA peab eeldatavasti tegelema, kuid kuna ENISA on tähtajalise mandaadiga ELi amet: i) ei saa ta teha pikaajalisi plaane ega toetada jätkusuutlikult liikmesriike ja ELi institutsioone; ii) võib tekkida õiguslik vaakum, sest võrgu- ja infoturbe direktiivi sätted, millega pandi ENISA-le tema ülesanded, on oma olemuselt alalised; iii) puudub sidusus arusaamaga, mille kohaselt seostatakse ENISAt ELi parema küberturvalisuse keskkonnaga. ·Tulemuslikkus: ENISA on kokkuvõttes saavutanud oma eesmärgid ja täitnud oma ülesanded. Ta panustas oma põhitegevuse kaudu (suutlikkuse arendamine, oskusteadmiste pakkumine, kogukonna loomine ja poliitika toetamine) suuremasse võrgu- ja infoturbesse Euroopas. Saamas oleks selle tegevust saanud kõigis neis valdkondades parandada. Hindamise käigus jõuti järeldusele, et ENISA on tulemuslikult loonud tugevad ja usaldusväärsed suhted teatavate sidusrühmadega, eelkõige liikmesriikide ja CSIRTide kogukonnaga. Suutlikkuse arendamise valdkonnas tehtud sekkumisi peeti tulemuslikuks eelkõige vähemate ressurssidega liikmesriikide puhul. Ulatusliku koostöö edendamine on olnud üks peamistest saavutustest ning enamik sidusrühmadest on nõus, et ENISA-l on olnud inimeste kokku toomisel positiivne roll. Samas oli ENISA-l keerukas avaldada suurt mõju võrgu- ja infoturbe väga ulatuslikus valdkonnas. See oli ka põhjustatud asjaolust, et tal olid oma väga ulatusliku mandaadi täitmiseks suhteliselt piiratud inimressursid ja rahalised vahendid. Hindamise käigus jõuti ka järeldusele, et ENISA täitis oskusteabe pakkumise eesmärgi osaliselt, kuna tal oli probleeme ekspertide värbamisega (mida on käsitletud ka tõhususe jaotises allpool). ·Tõhusus: ENISA on hoolimata oma piiratud eelarvest, mis on teiste ELi ametitega võrreldes üks väiksemaid, suutnud aidata kaasa sihtotstarbeliste eesmärkide saavutamisele, kasutades oma ressursse kokkuvõttes tõhusalt. Hindamise tulemusena järeldati, et protsessid olid üldiselt tõhusad ning selge vastutusvaldkondade jaotus ameti piires võimaldas töö hästi ellu viia. Üks ameti peamistest probleemidest tõhususe valdkonnas seisneb selles, et ENISA-l on probleeme kõrgetasemelise kvalifikatsiooniga ekspertide värbamisel ja tööl hoidmisel. Tulemuste kohaselt seisneb selle põhjus mitme teguri koosmõjus, sealhulgas avaliku sektori üldised probleemid erasektoriga konkureerimisel, kui proovitakse värvata väga suure erialase pädevusega eksperte, ameti pakutavate lepingute liik (tähtajaline leping) ning ENISA asukoha suhteliselt väikse atraktiivsus, näiteks abikaasadel töö leidmisel tekkivate probleemide tõttu. Samal ajal Ateenas ja Irákleios tegutsemise tõttu oli vaja täiendavat koordineerimist ja tekkisid lisakulud, aga ameti põhitegevuse osakonna 2013. aastal Ateenasse viimine suurendas ameti tegevuslikku tõhusust. ·Sidusus: ENISA tegevus on olnud üldjoontes kooskõlas selle sidusrühmade põhimõtete ja tegevusega riiklikul ja ELi tasandil, aga vajatakse paremini koordineeritud küberturvalisuse lähenemisviisi ELi tasandil. ENISA ja teiste ELi asutuste vahelise koostöö potentsiaali ei ole täielikult kasutatud. ELi õigus- ja poliitilise keskkonna muutumise tõttu ei ole kehtiv mandaat enam sidus. ·ELi lisaväärtus: ENISA lisaväärtus seisneb peamiselt ameti võimes tõhustada koostööd, eelkõige liikmesriikide vahel, aga ka asjaomaste võrgu- ja infoturbe kogukondadega. ELi tasandil ei ole ühtegi teist osalejat, kes toetaks kõnealuste võrgu- ja infoturbe sidusrühmade koostööd. Ametist saadav lisaväärtus erines olenevalt selle sidusrühmade erinevatest ressurssidest ja vajadustest (näiteks suured liikmesriigid võrreldes väikeste liikmesriikidega, liikmesriigid võrreldes tööstusvaldkonnaga) ning ameti vajadusest tähtsustada oma tegevust tööprogrammi alusel. Hindamise tulemusena jõuti järeldusele, et ENISA tegevuse võimalik lõpetamine oleks kaotatud võimalus kõigi liikmesriikide jaoks. Küberturvalisuse valdkonnas ei oleks võimalik tagada samal määral kogukonna loomist ja koostööd liikmesriikide vahel. Ilma kesksema ELi ametita oleks olukord rohkem killustatud ning ENISA jäetud tühimikku hakkaks täitma kahepoolne või piirkondlik koostöö. Võttes konkreetselt arvesse ENISA varasemaid tulemusi ja tulevikku, on 2017. aasta konsultatsioonist ilmnevad peamised suundumused järgmised. ·Enamik vastanutest (74 %) hindas ENISA üldist tulemuslikkust ajavahemikus 2013–2016 positiivselt. Enamik vastanutest oli ka seisukohal, et ENISA saavutab oma erinevaid eesmärke (vähemalt 63 % iga eesmärgi puhul). ENISA teenuseid ja tooteid kasutavad korrapäraselt (kord kuus või sagedamini) peaaegu pooled vastanutest (46 %) ning neid hinnatakse seetõttu, et neid pakub ELi tasandi asutus (83 %) ja need on kvaliteetsed (62 %). ·Vastanud nimetasid ELi küberturvalisuse tuleviku mitut lünka ja probleemi, millest peamised (16 lüngast ja probleemist koosnevast nimekirjast) olid: liikmesriikide koostöö, võime ära hoida, avastada ja lahendada suuremahulisi küberründeid; liikmesriikide koostöö küberturvalisusega seotud küsimustes; koostöö ja teabe jagamine erinevate sidusrühmade vahel, sealhulgas avaliku ja erasektori koostöö; elutähtsa taristu kaitse küberrünnete eest. ·Valdav enamik vastanutest (88 %) oli seisukohal, et ELi tasandil praegu saadaval olevad vahendid ja mehhanismid ei ole piisavad nende küsimustega tegelemiseks või sobivad selleks ainult osaliselt. Valdav enamik vastanutest (98 %) märkis, et nende küsimustega peaks tegelema ELi asutus, ning 99 % neist pidas ENISAt selle jaoks õigeks organisatsiooniks. Konsulteerimine sidusrühmadega ·Komisjon korraldas ENISA läbivaatamiseks 12. aprillist 5. juulini 2016 avaliku konsultatsiooni, millele laekus 421 vastust. Tulemuste kohaselt oli 67,5 % vastanutest seisukohal, et ENISA võiks aidata luua IT toodete ja teenuste turvalisuse sertifitseerimise ühtlustatud raamistikku.

Küberturvalisuse alast lepingulist avaliku ja erasektori partnerlust käsitleva 2016. aasta avaliku konsultatsiooni sertifitseerimist käsitleva osa tulemused näitavad järgmist. ·50,4 % vastanutest (121 vastanut 240st) ei tea, kas riiklikke sertifitseerimiskavasid tunnustatakse vastastikku ELi liikmesriikides. 25,8 % (62 vastanut 240st) vastas „Ei“ ja 23,8 % (57 vastanut 240st) vastas „Jah“. ·37,9 % vastanutest (91 vastanut 240st) arvab, et olemasolevad sertifitseerimiskavad ei toeta Euroopa tööstuse vajadusi. Teisest küljest 17,5 % (42 vastanut 240st, kes olid peamiselt Euroopa turul tegutsevad ülemaailmsed ettevõtjad) olid vastupidisel seisukohal. ·49,6 % vastanutest (119 vastanut 240st) oli arvamusel, et ei ole lihtne tõendada standardite, sertifitseerimiskavade ja märgiste samaväärsust. 37,9 % (91 vastanut 240st) vastas „Ei oska öelda“ ja 12,5 % (30 vastanut 240st) vastas „Jah“. Eksperdiarvamuste kogumine ja kasutamine Komisjon tugines järgmisele asutusevälisele eksperdiabile. ·Study on the Evaluation of ENISA (ENISA hindamist käsitlev uuring) (Ramboll/Carsa 2017; SMART 2016/0077); ·Study on ICT Security Certification and Labelling – Evidence gathering and impact assessment (IKT turvalisuse sertifitseerimist ja märgistamist käsitlev uuring – tõendite kogumine ja mõjuhinnang) (PriceWaterhouseCoopers 2017; SMART 2016/0029). Mõjuhinnang ·Käesoleva algatuse mõjuhinnangus määrati kindlaks järgmised peamised probleemid, mis tuleb lahendada: ·liikmesriikide killustatud tegevuspõhimõtted ja lähenemisviisid küberturvalisuse valdkonnas, ·ELi institutsioonide, organite ja asutuste poolt küberturvalisuse jaoks eraldatavate ressursside hajusus ja kasutatavate lähenemisviiside killustatus ning ·kodanike ja ettevõtjate ebapiisav teadlikkus ja teave, samal ajal kui võetakse kasutusele mitmeid riiklikke ja valdkondlikke sertifitseerimiskavasid. Mõjuhinnangus analüüsiti ENISA mandaadi puhul järgmisi võimalikke variante: ·praeguse olukorra säilitamine, mille puhul pikendatakse mandaati, aga jäetakse see tähtajaliseks (lähtestsenaariumi variant); ·ENISA kehtiva mandaadi aegumine ilma seda uuendamata ja ENISA tegevuse lõpetamine (poliitilisi meetmeid ei võeta); ·reformitud ENISA ning ·täieliku tegevusvõimega ELi küberturvalisuse amet.

Mõjuhinnangus analüüsiti küberturvalisuse sertifitseerimise puhul järgmisi võimalikke variante: ·poliitilisi meetmeid ei võeta (lähtestsenaarium); ·muud kui seadusandlikud (pehme õiguse) meetmed; ·ELi õigusakt, millega luuakse SOG-ISi süsteemi alusel kõikide liikmesriikide jaoks kohustuslik süsteem, ning ·ELi üldine IKT küberturvalisuse sertifitseerimise raamistik. Analüüsi tulemusena järeldati, et eelistatud variant on reformitud ENISA koos ELi üldise IKT küberturvalisuse sertifitseerimise raamistikuga. Eelistatud varianti peeti ELi jaoks kõige tõhusamaks, et saavutada järgmised kindlaks määratud eesmärgid: küberturvalisuse suutlikkuse, valmisoleku, koostöö, teadlikkuse ja läbipaistvuse suurendamine ning turu killustatuse vältimine. Seda peeti ka kõige sidusamaks Euroopa Liidu küberjulgeoleku strateegia ja sellega seotud poliitikameetmete (näiteks võrgu- ja infoturbe direktiiv) ning digitaalse ühtse turu strateegia poliitiliste prioriteetidega. Lisaks sellele ilmnes konsultatsiooniprotsessi käigus, et eelistatud varianti toetab enamik sidusrühmadest. Mõjuhinnangu käigus tehtud analüüs näitas ka seda, et eelistatud variandi puhul saaks eesmärgid saavutada, kasutades selleks mõistlikus koguses ressursse. Komisjoni õiguskontrollikomitee esitas esialgu 24. juulil negatiivse arvamuse ja 25. augustil 2017 pärast mõjuhinnangu uuesti esitamist positiivse arvamuse. Muudetud mõjuhinnang sisaldas lisatõendusmaterjali, ENISA hindamise lõplikke järeldusi ning poliitikavariantide ja nende mõju täiendavaid selgitusi. Lõpliku mõjuhinnangu 1. lisas esitatakse kokkuvõte selle kohta, kuidas on võetud arvesse komitee teises arvamuses esitatud märkusi. Eelkõige ajakohastati mõjuhinnangut, et kirjeldada üksikasjalikumalt ELi küberturvalisuse konteksti, sealhulgas meetmeid, mis on lisatud ühisteatisesse „Vastupidavusvõime, heidutus ja kaitse – tugeva küberturvalisuse tagamine ELis“ (JOIN(2017) 450) ning mis omavad ENISA jaoks erilist tähtsust: ELi küberturvalisuse tegevuskava ning Euroopa küberturvalisuse uurimis- ja pädevuskeskus, millega amet oleks seotud ELi teadusuuringute vajaduste kohta antavate nõuannete puhul. Mõjuhinnangus selgitatakse, kuidas ameti reformimine, sealhulgas uued ülesanded, paremad tööhõive tingimused ja struktuurne koostöö ELi sama valdkonna asutustega, parandaks ameti atraktiivsust tööandjana ning aitaks tegeleda ekspertide värbamisel tekkivate probleemiga. Mõjuhinnangu 6. lisas esitatakse ka ENISA poliitikavariantidest tekkivate kulude läbivaadatud prognoos. Sertifitseerimise puhul on mõjuhinnangut muudetud, et selgitada eelistatud varianti üksikasjalikumalt, sealhulgas graafiliselt, ning esitada liikmesriikidele ja komisjonile uuest sertifitseerimisraamistikust tekkivate kulude prognoos. On põhjalikumalt selgitatud mõttekäiku, mille alusel valiti ENISA selle raamistiku võtmetähtsusega osalejaks, lähtuvalt ameti eksperditeadmistest selles valdkonnas ning asjaolust, et see on ainus küberturvalisusega tegelev ELi tasandi asutus. Sertifitseerimist käsitlevad jaotised vaadati läbi, et selgitada erinevusi praeguse SOG-ISi süsteemiga, erinevatest poliitikavariantidest saadavat kasu ning et Euroopa sertifitseerimiskavaga hõlmatud IKT toote või teenuse liik määratakse kindlaks heaks kiidetud kavas endas. Õigusnormide toimivus ja lihtsustamine Ei kohaldata. Põhiõigused Küberturvalisus on ülioluline, et kaitsta üksikisikute privaatsust ja isikuandmeid kooskõlas Euroopa Liidu põhiõiguste harta artiklitega 7 ja 8. Küberturvalisuse intsidendid mõjutavad selgelt meie privaatsust ja isikuandmete kaitset. Seetõttu on küberturvalisus meie isikuandmete privaatsuse ja konfidentsiaalsuse austamise eeltingimus. Sellest lähtuvalt täiendab ettepanek, seades eesmärgiks küberturvalisuse suurendamise Euroopas, märkimisväärselt kehtivaid õigusakte, millega kaitstakse privaatsuse ja isikuandmetega seotud põhiõigust. Küberturvalisus on ka ülioluline, et kaitsta meie elektroonilise side konfidentsiaalsust ja et me saaksime kasutada oma sõna- ja teabevabadust ning nendega seotud muid õigusi, näiteks mõtte-, südametunnistuse- ja usuvabadust. 4.MÕJU EELARVELE Vt finantsselgitus. 5.MUU TEAVE •Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Komisjon teeb määruse kohaldamise järelevalvet ja esitab selle hindamise aruande Euroopa Parlamendile ja nõukogule ning Euroopa Majandus- ja Sotsiaalkomiteele iga viie aasta tagant. Need aruanded on avalikud ja kirjeldavad käesoleva määruse tegelikku kohaldamist ja täitmist.

•Ettepaneku sätete üksikasjalik selgitus Määruse I jaotis sisaldab üldsätteid: reguleerimisese (artikkel 1), mõisted (artikkel 2), sealhulgas viited asjakohastele mõistetele sellistes teistes ELi õigusaktides nagu Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus (edaspidi „võrgu- ja infoturbe direktiiv), Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 765/2008, millega sätestatakse akrediteerimise ja turujärelevalve nõuded seoses toodete turustamisega ja tunnistatakse kehtetuks määrus (EMÜ) nr 339/93, ning Euroopa Parlamendi ja nõukogu määrus (EL) nr 1025/2012, mis käsitleb Euroopa standardimist. II jaotis sisaldab ENISA kui ELi küberturvalisuse ametiga seotud peamisi sätteid. Selle jaotise I peatükis sätestatakse ameti mandaat (artikkel 3), eesmärgid (artikkel 4) ja ülesanded (artiklid 5–11). II peatükis sätestatakse ENISA töökorraldus ja see sisaldab selle struktuuri suhtes kehtivaid olulisi nõudeid (artikkel 12). Selles peatükis käsitletakse haldusnõukogu koosseisu, hääletuskorda ja ülesandeid (1. jao artiklid 13–17), juhatust (2. jao artikkel 18) ja tegevdirektorit (3. jao artikkel 19). See sisaldab ka sätteid alalise sidusrühma koosseisu ja rolli kohta (4. jao artikkel 20). Selle peatüki 5. jaos kirjeldatakse ameti tegevuskorda, sealhulgas tegevuse programmi koostamist, huvide konflikte, läbipaistvust, konfidentsiaalsust ja juurdepääsu dokumentidele (artiklid 21–25). III peatükis käsitletakse ameti eelarve koostamist ja struktuuri (artiklid 26 ja 27) ning selle täitmise eeskirju (artiklid 28 ja 29). Peatükk sisaldab ka sätteid pettuste, korruptsiooni ja muu ebaseadusliku tegevuse tõkestamise kohta (artikkel 30). IV peatükk käsitleb ameti personali. See sisaldab üldsätteid personalieeskirjade ja muude teenistujate teenistustingimuste kohta ning privileege ja immuniteete reguleerivaid norme (artiklid 31 ja 32). Selles sätestatakse ka ameti tegevdirektori töölevõtmist ja ametisse nimetamist reguleerivad normid (artikkel 33). See sisaldab samuti sätteid, mis reguleerivad lähetatud riiklike ekspertide või muude ametiväliste töötajate kasutamist (artikkel 34). V peatükk sisaldab ametiga seotud üldsätteid. Selles kirjeldatakse ameti õiguslikku seisundit (artikkel 35) ja see sisaldab sätteid, millega reguleeritakse vastutust, kasutatavaid keeli ja isikuandmete kaitset (artiklid 36–38) ning julgeolekueeskirju salastatud teabe ja tundliku, kuid salastamata teabe kaitse kohta (artikkel 40). Selles on esitatud normid, mis reguleerivad ameti koostööd kolmandate riikide ja rahvusvaheliste organisatsioonidega (artikkel 39). See sisaldab ka sätteid ameti peakorteri ja tegutsemistingimuste ning ombudsmani tehtava halduskontrolli kohta (artiklid 41 ja 42). Määruse III jaotisega luuakse üldise õigusnormina (lex generalis) IKT toodete ja teenuste Euroopa küberturvalisuse sertifitseerimise raamistik (edaspidi „raamistik“) (artikkel 1). Selles määratakse kindlaks Euroopa küberturvalisuse sertifitseerimise kavade üldeesmärk, s.o tagada, et IKT tooted ja teenused vastavad kindlaks määratud küberturvalisuse nõuetele selles osas, mis puudutab nende võimet pidada teataval usaldusväärsuse tasemel vastu tegevustele, mille eesmärk on rikkuda salvestatud, edastatud või töödeldud andmete või nendega seotud funktsioonide või teenuste käideldavust, autentsust, terviklust või konfidentsiaalsust (artikkel 43). Seal loetletakse ka Euroopa küberturvalisuse sertifitseerimise kavade turvalisusega seotud eesmärgid (artikkel 45), näiteks võime kaitsta andmeid juhusliku või volitamata juurdepääsu või avalikustamise, hävitamise või muutmise eest, ning Euroopa küberturvalisuse sertifitseerimise kavade sisu (s.o elemendid), näiteks nende ulatuse, turvalisusega seotud eesmärkide, hindamiskriteeriumide jms üksikasjalik kirjeldus (artikkel 47). III jaotisega kehtestatakse ka Euroopa küberturvalisuse sertifitseerimise kavade peamine õiguslik mõju, nimelt i) kohustus rakendada kava riiklikul tasandil ja sertifitseerimise vabatahtlikkus ning ii) et Euroopa küberturvalisuse sertifitseerimise kavade vastuvõtmine muudab samade toodete või teenuste puhul kasutatavad riiklikud kavad kehtetuks (artiklid 48 ja 49). Selles jaotises sätestatakse ka Euroopa küberturvalisuse sertifitseerimise kavade vastuvõtmise menetlus ning komisjoni, ENISA ja Euroopa küberturvalisuse sertifitseerimise rühma (edaspidi „rühm“) vastavad rollid (artikkel 44). Selle jaotisega reguleeritakse ka vastavushindamisasutusi, sealhulgas neile seatavaid nõudeid, nende volitusi ja ülesandeid, riiklikke sertifitseerimise järelevalveasutusi ning karistusi. Selle jaotise alusel luuakse rühm olulise organina, mis koosneb riiklike sertifitseerimise järelevalveasutuste esindajatest ja mille peamine ülesanne on teha ENISAga koostööd Euroopa küberturvalisuse sertifitseerimise kavade koostamisel ning nõustada komisjoni küberturvalisuse sertifitseerimise poliitikaga seotud üldistes ja konkreetsetes küsimustes. IV jaotis sisaldab lõppsätteid, mis kirjeldavad delegeeritud õiguste kasutamist, hindamisnõudeid, kehtetuks tunnistamist ja õigusjärglust ning jõustumist.



2017/0225 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, mis käsitleb ENISAt ehk ELi küberturvalisuse ametit, millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 ja mis käsitleb info- ja kommunikatsioonitehnoloogia küberturvalisuse sertifitseerimist („küberturvalisust käsitlev õigusakt“) (EMPs kohaldatav tekst) EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU,

võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 114, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust, võttes arvesse Regioonide Komitee arvamust, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1)Võrgu- ja infosüsteemidel ning telekommunikatsioonivõrkudel ja -teenustel on ühiskonnas elutähtis roll ning neist on saanud majanduskasvu tugisammas. Info- ja kommunikatsioonitehnoloogia on aluseks keerukatele süsteemidele, millele toetub ühiskondlik tegevus, mis tagavad majanduse toimimise võtmetähtsusega sektorites nagu tervishoid, energeetika, rahandus ja transport ning mis toetavad ennekõike siseturu toimimist. (2)Võrgu- ja infosüsteemide kasutamine kogu liidu kodanike, ettevõtjate ja valitsusasutuste seas on nüüd valdav. Digiteeritus ja ühenduvus on muutumas üha suurema hulga toodete ja teenuste põhitunnusteks ning asjade interneti kasutuselevõtuga võib eeldada, et järgmise kümne aasta jooksul võetakse kogu ELis kasutusele miljoneid kui mitte miljardeid ühendatud digitaalseid seadmeid. Kuigi internetti ühendatud seadmete arv kasvab, ei ole turvalisus ja vastupidavus neisse piisavalt sisse projekteeritud ning see toob kaasa ebapiisava küberturvalisuse. Sellises olukorras tähendab sertifitseerimise piiratud kasutamine, et organisatsioonidest ja eraisikutest kasutajatel ei ole IKT toodete ja teenuste küberturvalisuse omaduste kohta piisavalt teavet ning see vähendab usaldust digilahenduste vastu. (3)Ulatuslikum digiteerimine ja ühenduvus toovad kaasa suuremad küberturvalisuse riskid, mille tõttu on kogu ühiskond küberohtude poolt lihtsamini haavatav ning üksikisikute, sh haavatavate isikute (nt laste) vastu suunatud ohud tulevad selgemalt esile. Et seda ühiskonna vastu suunatud riski leevendada, tuleb võtta kõik vajalikud meetmed, et parandada ELis küberturvalisust ning pakkuda küberohtude eest paremat kaitset võrgu- ja infosüsteemidele, telekommunikatsioonivõrkudele, digitaalsetele toodetele, teenustele ja seadmetele, mida kasutavad kodanikud, valitsused ja ettevõtjad alates VKEdest kuni elutähtsate taristute operaatoriteni. (4)Küberründeid tuleb ette üha sagedamini ning küberohtude poolt lihtsamini haavatavat ühendatud majandust ja ühiskonda tuleb jõulisemalt kaitsta. Kuigi küberründed on sageli piiriülesed, on küberturvalisusega tegelevate ametiasutuste reageeringud ja õiguskaitseasutuste pädevus valdavalt riigipõhised. Mastaapsed küberintsidendid võivad katkestada elutähtsate teenuste pakkumise kogu ELis. See tähendab, et ELi tasandil on vaja tõhusat reageerimist ja kriisihaldust, mis tugineks sellekohastele põhimõtetele ning Euroopa solidaarsuse ja vastastikuse abi mitmekülgsetele vahenditele. Seepärast on usaldusväärsetel liidu andmetel põhinev liidu küberturvalisuse ja vastupidavuse olukorra regulaarne hindamine ning nii liidu kui ka maailma tasandi edasiste arengusuundade, väljakutsete ja ohtude süstemaatiline hindamine tähtis nii poliitikakujundajate ja tööstuse kui ka kasutajate jaoks. (5)Arvestades, et liitu ähvardavad küberturvalisuse probleemid kasvavad, on vaja igakülgset meetmete kogumit, mis toetuks liidu varasemale tegevusele ja edendaks üksteist vastastikku tugevdavaid eesmärke. Siia hulka kuulub vajadus veelgi suurendada liikmesriikide ja ettevõtjate suutlikkust ja valmisolekut ning parandada koostööd ja koordineerimist liikmesriikide ja ELi institutsioonide, asutuste ja organite vahel. Küberohud ei hooli riigipiiridest ja seepärast tuleb suurendada liidu tasandi suutlikkust, et see täiendaks liikmesriikide meetmeid eeskätt mastaapsete piiriüleste küberintsidentide ja -kriiside korral. Rohkem tuleb ära teha ka selleks, et suurendada kodanike ja ettevõtjate teadlikkust küberturvalisuse küsimustest. Ühtlasi tuleks veelgi suurendada usaldust digitaalse ühtse turu vastu ning pakkuda selleks läbipaistvat teavet IKT toodete ja teenuste turvalisuse tasemete kohta. Sellele saab kaasa aidata kogu ELi hõlmava sertifitseerimisega, mis tagab ühised küberturvalisuse nõuded ja hindamiskriteeriumid liikmesriikide turgudel ja sektorites. (6)Euroopa Parlament ja nõukogu võtsid 2004. aastal vastu määruse (EÜ) nr 460/2004, millega loodi ENISA, et aidata kaasa kõrgetasemelise võrgu- ja infoturbe tagamise eesmärkidele liidus ning arendada võrgu- ja infoturbekultuuri kodanike, tarbijate, ettevõtete ja ametiasutuste heaks. 2008. aastal võtsid Euroopa Parlament ja nõukogu vastu määruse (EÜ) nr 1007/2008, millega pikendati ameti mandaati 2012. aasta märtsini. Määrusega (EÜ) nr 580/2011 pikendati ameti mandaati 13. septembrini 2013. 2013. aastal võtsid Euroopa Parlament ja nõukogu vastu määruse (EL) nr 526/2013, mis käsitleb ENISAt ja millega tunnistati kehtetuks määrus (EÜ) nr 460/2004, millega oli ameti mandaati pikendatud kuni 2020. aasta juunikuuni. (7)Euroopa Liit on juba astunud olulisi samme, et tagada küberturvalisus ja suurendada usaldust digitehnoloogia vastu. 2013. aastal võeti vastu ELi küberjulgeoleku strateegia, millest juhinduda liidu poliitilises reageerimises küberturvalisuse ohtudele ja riskidele. Et eurooplasi veebis paremini kaitsta, võttis liit 2016. aastal vastu küberturvalisuse valdkonna esimese õigusakti – direktiivi (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus (edaspidi „võrgu- ja infoturbe direktiiv“). Võrgu- ja infoturbe direktiiviga pandi paika riikide suutlikkust puudutavad nõuded küberturvalisuse valdkonnas, kehtestati liikmesriikide vahelise strateegilise ja operatiivkoostöö edendamise esimesed mehhanismid ning juurutati turbemeetmete ja intsidentidest teatamise kohustused majanduse ja ühiskonna jaoks eluliselt tähtsates sektorites, nagu energeetika, transport, veevarustus, pangandus, finantsturutaristud, tervishoid, digitaristu, aga ka oluliste digitaalsete teenuste osutajate puhul (otsingumootorid, pilvandmetöötlusteenused ja internetipõhised kauplemiskohad). ENISA-le anti selle direktiivi rakendamise toetamisel põhiroll. Võitlus küberkuritegevusega on olulisel kohal ka Euroopa julgeoleku tegevuskavas, kus see aitab kaasa küberturvalisuse kõrge taseme saavutamise üldeesmärgile. (8)Tuleb tõdeda, et 2013. aasta küberjulgeoleku strateegia vastuvõtmisest ja ameti mandaadi viimasest läbivaatamisest möödunud aja jooksul on üldine poliitiline kontekst oluliselt muutunud, seda ka seoses ebakindlama ja vähem turvalise üldise õhustikuga maailmas. Sellist olukorda arvestades on vaja liidu uue küberturvalisuse poliitika raames läbi vaadata ENISA mandaat; et määrata kindlaks ameti roll muutunud küberturvalisuse tingimustes ning tagada, et see annab tulemusliku panuse sellesse, kuidas liit reageerib põhjalikult muutnud ohtude maastikul esile kerkivatele küberturvalisuse probleemidele, millega toimetulemiseks ei ole praegune mandaat ameti hinnangul piisav. (9)Käesoleva määrusega loodav amet peaks olema määrusega (EL) nr 526/2013 asutatud ENISA õigusjärglane. Amet peaks täitma talle käesoleva määruse ja küberturvalisuse valdkonna liidu õigusaktidega pandud ülesandeid, pakkudes muu hulgas oskusteavet ja nõuandeid ning tegutsedes liidu selle valdkonna teabe- ja teadmuskeskusena. Amet peaks edendama parimate tavade vahetamist liikmesriikide ja eraõiguslike sidusrühmade vahel, tehes selleks Euroopa Komisjonile ja liikmesriikidele põhimõttelisi ettepanekuid, tegutsedes küberturvalisuse küsimustes liidu valdkondliku poliitika algatuste kontaktüksusena ning soodustades nii liikmesriikide omavahelist kui ka liikmesriikide ja Euroopa Liidu institutsioonide, organite ja asutuste vahelist operatiivkoostööd. (10)Liikmesriikide esindajad otsustasid Euroopa Ülemkogu 13. detsembri 2003. aasta kohtumisel vastuvõetud otsuses 2004/97/EÜ, Euratom, et ENISA asukohaks saab Kreeka valitsuse määratud linn Kreekas. Ameti asukohaliikmesriik peaks tagama ameti tõrgeteta ja tõhusaks tegevuseks parimad võimalikud tingimused. Ameti ülesannete nõuetekohaseks ja tulemuslikuks täitmiseks, personali värbamiseks ja töölhoidmiseks ning võrgustikuga seotud tegevuse tulemuslikkuse tõhustamiseks peab amet asuma sobivas asukohas, mis muu hulgas pakub asjakohaseid transpordiühendusi ning rajatisi töötajate abikaasade ja laste jaoks. Vajalik kord tuleks sätestada ameti ja asukohaliikmesriigi vahelises kokkuleppes, mis sõlmitakse pärast ameti haldusnõukogu heakskiitu. (11)Arvestades liidu ees seisvate küberturvalisusega seotud probleemide kasvu, tuleks suurendada ametile eraldatavaid finants- ja inimressursse, et need vastaksid ameti tõhustatud rollile ja ülesannetele ning ameti tähtsale positsioonile Euroopa digitaalse ökosüsteemi kaitsmisel. (12)Amet peaks välja kujundama oskusteabe kõrge taseme ja seda hoidma ning tegutsema kontaktüksusena, mis tekitab ühtsel turul usaldust ja kindlustunnet tänu oma sõltumatusele, antud nõu ja levitatava teabe kvaliteedile, menetluste ja töömeetodite läbipaistvusele ning oma ülesannete hoolikale täitmisele. Täites oma ülesandeid täielikus koostöös liidu institutsioonide, organite ja asutuste, aga ka liikmesriikidega, peaks amet andma ennetava panuse riikide ja liidu tegevusse. Lisaks peaks amet arendama edasi erasektorilt saadud sisendit, lähtudes erasektori ja muude asjaomaste sidusrühmadega tehtavast koostööst. Ameti ülesannete kogumiga tuleks paika panna, kuidas amet peab oma eesmärgid saavutama, tagades talle samas tööks vajaliku paindlikkuse. (13)Amet peaks abistama komisjoni nõuannete, arvamuste ja analüüsidega kõigis liidu küsimustes, mis on seotud küberturvalisuse valdkonna, sealhulgas elutähtsa sideinfrastruktuuri kaitse ja kübervastupidavusvõime alase poliitika ja õigusaktide väljatöötamisega. Amet peaks tegutsema nõuandva ja oskusteavet pakkuva kontaktüksusena selliste liidu sektorispetsiifilise poliitika ja õigusalaste algatuste jaoks, mis puudutavad küberturvalisust.

(14)Ameti põhiülesanne on toetada asjakohase õigusraamistiku järjepidevat rakendamist, eelkõige võrgu- ja infoturbe direktiivi tulemuslikku rakendamist, mis on kübervastupidavusvõime suurendamise jaoks eluliselt tähtis. Arvestades seda, kui kiiresti küberturvalisuse ohud muutuvad, on selge, et liikmesriike tuleb toetada igakülgsema ja eri valdkondi hõlmava poliitilise lähenemisega kübervastupidavusvõime loomisele. (15)Amet peaks abistama liikmesriike ja liidu institutsioone, organeid ja asutusi töös, mida nad teevad, et luua ja suurendada suutlikkust ja valmisolekut ennetada ja avastada küberturvalisuse intsidente ja neile reageerida, ning seoses võrgu- ja infosüsteemide turvalisusega. Eeskätt peaks amet toetama riiklike CSIRTide arendamist ja tõhustamist, et neil oleks kogu liidus ühtemoodi kõrge küpsuse aste. Samuti peaks amet abistama liidu ja liikmesriikide võrgu- ja infosüsteemide turvalisuse strateegiate väljatöötamist ja uuendamist, edendama nende levitamist ja hoidma silma peal nende rakendamisel. Lisaks peaks amet pakkuma koolitusi ja koolitusmaterjali avalikele asutustele ning koolitama vajaduse korral koolitajaid, et aidata liikmesriikidel välja kujundada nende endi koolitussuutlikkus. (16) Amet peaks abistama võrgu- ja infoturbe direktiiviga loodud koostöörühma selle ülesannete täitmisel, eeskätt pakkuma oskusteavet ja nõu ning hõlbustama parimate tavade vahetamist peamiselt seoses oluliste teenuste operaatorite identifitseerimisega liikmesriikide poolt, sealhulgas selles osas, mis puudutab riskide ja intsidentidega seotud piiriüleseid sõltuvusseoseid. (17)Selleks et ergutada avaliku ja erasektori koostööd ja koostööd erasektori sees, pidades silmas eeskätt toetust elutähtsate infrastruktuuride kaitsele, peaks amet hõlbustama valdkondlike teabe jagamise ja analüüsimise keskuste (ISACide) loomist, pakkudes parimaid tavasid ja juhiseid kättesaadavate töövahendite ja menetluste kohta ning selle kohta, kuidas lahendada teabe jagamisega seotud regulatiivsed küsimused. (18)Amet peaks koondama ja analüüsima riikide CSIRTide ja CERT-EU aruandeid ning koostama teabevahetuse jaoks ühised eeskirjad, keele ja terminoloogia. Võrgu- ja infoturbe direktiiviga loodud CSIRTide võrgustikuga loodi alus vabatahtlikuks tehnilise teabe vahetamiseks operatiivtasandil – selle raames peaks amet kaasama ka erasektori. (19)Amet peaks andma oma panuse sellesse, kuidas ELi tasandil reageeritakse mastaapsetele piiriülestele küberturvalisuse intsidentidele ja kriisidele. See funktsioon peaks hõlmama asjaomase teabe kogumist ning vahendajarolli CSIRTide võrgustiku ja tehnilise kogukonna, aga ka kriisi haldamise eest vastutavate otsusetegijate vahel. Lisaks võiks amet toetada intsidendikäsitlust tehnilise külje pealt, hõlbustades vajalike lahenduste tehnilist vahetamist liikmesriikide vahel ja pakkudes sisendit avaliku teabevahetuse jaoks. Amet peaks seda protsessi toetama sellise koostöö aspektide testimisega iga-aastaste küberturvalisuse õppuste käigus. (20)Operatiivülesannete täitmisel peaks amet tegema CERT-EUga füüsiliselt lähestikku olles struktureeritud koostööd ja kasutama nende kättesaadavat oskusteavet. Struktureeritud koostöö soodustab vajalikku koosmõju ja ENISA oskusteabe kasvu. Vajaduse korral tuleks kahe organisatsiooni vahel kehtestada erikord, et määrata kindlaks sellise koostöö praktiline kulg. (21)Amet peaks kooskõlas oma operatiivülesannetega suutma pakkuda liikmesriikidele toetust, näiteks jagama nõu ja tehnilist abi või tagama ohtude ja intsidentide analüüsimise. Komisjoni soovituses koordineeritud reageerimiseks ulatuslike küberturvalisuse intsidentide ja kriiside korral on öeldud, et liikmesriigid peaksid tegema heas usus koostööd ja jagama ilma põhjendamatute viivitusteta nii omavahel kui ka ENISAga teavet mastaapsete küberturvalisuse intsidentide ja kriiside kohta. Sellisest teabest oleks ENISA-l oma operatiivülesannete täitmisel täiendavat abi. (22)Amet peaks liidu olukorrateadlikkust toetava tehnilise tasandi korrapärase koostöö raames korrapäraselt koostama intsidentide ja ohtude kohta ELi küberturvalisuse tehnilist olukorda käsitlevaid aruandeid, mis põhinevad avalikult kättesaadaval teabel, tema enda analüüsidel ja aruannetel, mida jagavad temaga liikmesriikide CSIRTid (vabatahtlikkuse alusel) või võrgu- ja infosüsteemide direktiivi kohased ühtsed kontaktpunktid, Europoli juures tegutsev küberkuritegevuse vastase võitluse Euroopa keskus (EC3) ja CERT-EU ja kui asjakohane, siis Euroopa Liidu luureandmete analüüsi keskus (INTCEN) Euroopa välisteenistuse juures. Aruanne tuleks teha kättesaadavaks nõukogu asjakohastele organitele, komisjonile, liidu välisasjade ja julgeolekupoliitika kõrgele esindajale ja CSIRTide võrgustikule. (23)Kui intsidendil on oluline mõju mitmes liikmesriigis, peaks tehniline järeluurimine, mida amet toetab või teostab asjaomaste liikmesriikide taotluse korral või nende nõusolekuga, keskenduma edasiste intsidentide ärahoidmisele ning see tuleks ellu viia ilma, et see piiraks süüd või vastutust omistavaid kohtu-või haldusmenetlusi. (24)Asjaomased liikmesriigid peaksid uurimise käigus pakkuma ametile vajalikku teavet ja abi, ilma et see piiraks Euroopa Liidu toimimise lepingu artikli 346 sätteid või muid avaliku poliitikaga seotud põhjuseid. (25)Liikmesriigid võivad paluda, et intsidendist mõjutatud ettevõtjad teeksid koostööd ning pakuksid ametile vajalikku teavet ja abi, ilma et see piiraks nende õigust kaitsta tundlikku äriteavet. (26)Et küberturvalisuse valdkonna probleemidest paremini aru saada ning liikmesriikidele ja liidu institutsioonidele pikaajalist strateegilist nõu anda, peab amet analüüsima praeguseid ja kujunemisjärgus riske. Sel eesmärgil peaks amet koostöös liikmesriikidega ja vajaduse korral ka statistikaasutuste ja muude asutustega koguma asjakohast teavet ning analüüsima kujunemisjärgus tehnoloogiaid ja andma teemakohaseid hinnanguid võrgu- ja infoturbe, eeskätt küberturvalisuse tehnoloogiliste uuenduste eeldatavale ühiskondlikule, õiguslikule, majanduslikule ja regulatiivsele mõjule. Peale selle peaks amet toetama ohtude ja intsidentide analüüsimise kaudu liikmesriike ja liidu institutsioone, organeid ja asutusi esilekerkivate suundumuste kindlakstegemisel ja küberturvalisusega seotud probleemide vältimisel. (27)Amet peaks liidu vastupidavuse suurendamiseks arendama internetitaristu ja elutähtsate infrastruktuuride turvalisuse alaseid teadmisi, pakkudes nõuandeid, juhiseid ja parimaid tavasid. Et tagada hõlpsam juurdepääs paremini struktureeritud teabele küberturvalisuse riskide ja võimalike lahenduste kohta, peaks amet arendama välja liidu teabekeskuse ja hoidma seda käigus. Teabekeskus oleks universaalne portaal, mis jagaks üldsusele küberturvalisuse kohta teavet, mis on saadud ELi ja riikide institutsioonidelt, organitelt ja asutustelt. (28)Amet peaks aitama suurendada üldsuse teadlikkust küberturvalisusega seotud riskidest ja jagama kodanikele ja organisatsioonidele mõeldud juhiseid individuaalsete kasutajate heade tavade kohta; Amet peaks aitama kaasa ka parimate tavade ja lahenduste propageerimisele üksikisikute ja organisatsioonide tasandil; selleks tuleks koguda ja analüüsida avalikult kättesaadavat teavet oluliste intsidentide kohta ning koostada aruanded, et pakkuda ettevõtjatele ja kodanikele juhiseid ning parandada valmisoleku ja vastupidavuse üldist taset. Amet peaks korraldama koostöös liikmesriikide ja liidu institutsioonide, organite, asutuste ja ametitega korrapäraseid lõppkasutajatele suunatud üldsuse harimise ja teavituskampaaniaid, mille eesmärk on propageerida üksikisikute ohutumat veebikäitumist ja suurendada teadlikkust küberkeskkonnas varitseda võivatest ohtudest, sealhulgas sellistest küberkuritegudest nagu andmepüügi rünnakud, robotvõrgud, finants- ja pangapettused, ning tutvustada autentimise ja andmekaitse alaseid elementaarseid nõuandeid. Ametil peaks olema keskne roll selles, et lõppkasutajad saaksid kiiremini teadlikuks seadmete turvalisusest. (29)Küberturvalisuse sektoris tegutsevate ettevõtjate, aga ka küberturvalisuse lahenduste kasutajate toetuseks peaks amet rajama nn turuseirekeskuse ja seda käigus hoidma, analüüsides korrapäraselt nii küberturvalisuse turu nõudluse kui ka pakkumise poole peamisi suundumusi ja neid tutvustades. (30)Tagamaks, et amet saavutab oma eesmärgid täies ulatuses, peaks ta suhtlema asjaomaste institutsioonide, organite ja asutustega, kelle hulgas on CERT-EU, Europoli juures tegutsev küberkuritegevuse vastase võitluse Euroopa keskus (EC3), Euroopa Kaitseagentuur (EDA), Vabadusel, Turvalisusel ja Õigusel Rajaneva Ala Suuremahuliste IT-süsteemide Operatiivjuhtimise Euroopa Amet (eu-LISA), Euroopa Lennundusohutusamet (EASA) ja mistahes muud ELi ametid, kes tegelevad küberturvalisusega. Peale selle peaks ta suhtlema veel andmekaitsega tegelevate ametiasutustega, et vahetada oskusteavet ja parimaid tavasid ning anda nõu küberturvalisuse aspektide kohta, mis võiksid mõjutada nende tööd. Riikide ja liidu õiguskaitseasutuste ja andmekaitseasutuste esindajad peaksid olema esindatud ameti alalises sidusrühmas. Õiguskaitseasutustega koostöö tegemisel võrgu- ja infoturbe küsimustes, mis võivad nende tööd mõjutada, peaks amet arvestama olemasolevate teabekanalite ja rajatud võrgustikega. (31)Amet on CSIRTide võrgustiku liige ja pakub neile ka sekretariaaditeenuseid ning peaks toetama liikmesriikide CSIRTe ja CERT-EUd operatiivkoostöös, mis lisandub CSIRTide võrgustiku kõigile asjaomastele ülesannetele, mis on kindlaks määratud võrgu- ja infotrube direktiivis. Veelgi enam, amet peaks edendama ja toetama ka asjaomaste CSIRTide koostööd, kui toimuvad intsidendid, ründed või häired CSIRTide hallatavates või kaitstavates võrkudes või taristutes, mis hõlmavad või võivad hõlmata vähemalt kahte CSIRTi, võttes sealjuures nõuetekohaselt arvesse CSIRTide võrgustiku standardset töökorda. (32)Selleks et suurendada liidu valmisolekut reageerida küberturvalisuse intsidentidele, peaks amet korraldama igal aastal liidu tasandi küberturvalisuse õppusi ning toetama liikmesriike ja ELi institutsioone, organeid ja asutusi nende taotluse korral õppuste korraldamisel. (33)Lisaks peaks amet arendama ja säilitama oma oskusteavet küberturvalisuse sertifitseerimise kohta, et toetada liidu poliitikat selles valdkonnas. Amet peaks edendama küberturvalisuse sertifitseerimise kasutuselevõttu liidus muu hulgas sellega, et aitab kehtestada liidu tasandil küberturvalisuse sertifitseerimise raamistiku ja seda hallata, et suurendada IKT toodete ja teenuste küberturvalisuse alase usaldusväärsuse läbipaistvust ning tugevdada seeläbi usaldust digitaalse siseturu vastu.

(34)Tõhusad küberturvalisuse põhimõtted peaksid tuginema hästi väljatöötatud riskihindamismeetoditele, seda nii avalikus kui ka erasektoris. Riskihindamisemeetodeid kasutatakse erinevatel tasanditel ning puudub nende tõhusa kohaldamise üldine tava. Riskide hindamise ja koostalitlusvõimeliste riskihalduse lahenduste parimate tavade propageerimine ja arendamine avaliku ja erasektori organisatsioonides suurendab küberturvalisuse taset liidus. Selleks peaks amet toetama sidusrühmade koostööd liidu tasandil, hõlbustades nende jõupingutusi seoses elektrooniliste toodete, süsteemide, võrkude ja teenuste – mis koos tarkvaraga moodustavad võrgu- ja infosüsteemid – riskihalduse ja mõõdetava turvalisuse Euroopa ja rahvusvaheliste standardite väljatöötamise ja kasutuselevõtmisega. (35)Amet peaks innustama liikmesriike ja teenusepakkujaid tõstma oma üldisi turbestandardeid, et kõik internetikasutajad saaksid võtta vajalikud meetmed oma isikliku küberturvalisuse tagamiseks. Eelkõige peaksid tootjad ja teenuseosutajad võtma tagasi või taaskasutusse tooted ja teenused, mis ei vasta küberturvalisuse standarditele. Koostöös pädevate asutustega võib ENISA jagada teavet siseturul pakutavate toodete ja teenuste küberturvalisuse taseme kohta ning avaldada teenusepakkujatele ja tootjatele suunatud hoiatusi, milles nõutakse nende toodete ja teenuste turvalisuse, sealhulgas küberturvalisuse parandamist. (36)Amet peaks täies ulatuses võtma arvesse tehtavaid teadusuuringuid, arendustegevust ja tehnoloogilisi hindamisi, eelkõige neid, mida tehakse mitmesuguste Euroopa Liidu teadusalgatuste raames, et nõustada liidu institutsioone, organeid ja asutusi ning kui see on asjakohane, liikmesriike nende taotlusel seoses vajadusega teadusuuringute järele võrgu- ja infoturbe, eelkõige küberturvalisuse valdkonnas. (37)Küberturvalisusega seotud probleemid on ülemaailmsed. Vaja on teha tihedamat rahvusvahelist koostööd, et parandada turbestandardeid, (sealhulgas määratleda ühised käitumisnormid) ja teabe jagamist, millega edendatakse nii kiiremat rahvusvahelist koostööd reageerimise valdkonnas kui ka ühtset ülemaailmset lähenemisviisi võrgu- ja infoturbele. Selleks peaks amet toetama liidu tihedamat kaasamist ning koostööd kolmandate riikide ja rahvusvaheliste organisatsioonidega, pakkudes vajaduse korral asjaomastele liidu institutsioonidele, organitele ja asutustele vajalikku oskusteavet ja analüüsi. (38)Amet peaks suutma reageerida liikmesriikide ja ELi institutsioonide, ametite ja organite ad hoc nõuande- ja abitaotlustele, mis kuuluvad ameti eesmärkide hulka. (39)Ameti juhtimisel on oluline rakendada teatavaid põhimõtteid, et järgida ühisavaldust ja ühist lähenemisviisi, mille institutsioonidevaheline ELi detsentraliseeritud ametite töörühm juulis 2012 kokku leppis ning mille eesmärk on ühtlustada ametite tegevust ja parandada nende toimimist. Ühisavaldus ja ühine lähenemisviis peaksid vajaduse korral samuti kajastuma ameti tööprogrammides, ameti hindamistes ning ameti aruandlus- ja haldustavades. (40)Liikmesriikide ja komisjoni esindajatest koosnev haldusnõukogu peaks kindlaks määrama ameti tegevuse üldsuuna ning tagama, et amet täidab oma ülesandeid vastavalt käesolevale määrusele. Haldusnõukogule tuleks anda õigus koostada ameti eelarve ja kontrollida selle täitmist, võtta vastu kohased finantseeskirjad, kehtestada ameti otsuste tegemiseks läbipaistev kord, võtta vastu ameti ühtne programmdokument, võtta vastu ameti töökord, nimetada ametisse tegevdirektor ning otsustada tegevdirektori ametiaja pikendamise ja tema ametiaja lõpetamise üle. (41)Ameti nõuetekohaseks ja tulemuslikuks toimimiseks peaksid komisjon ja liikmesriigid tagama, et haldusnõukogu liikmeteks nimetatavatel isikutel on vajalikud erialateadmised ja kogemused. Komisjon ja liikmesriigid peaksid püüdma piirata oma esindajate vahetumist haldusnõukogus, et tagada selle töö järjepidevus. (42)Ameti sujuvaks toimimiseks on tarvis, et tegevdirektor nimetataks ametisse silmas pidades tema teeneid, dokumenteeritud haldamis- ja juhtimisoskust ning küberturvalisuse alaseid teadmisi ja kogemusi ning et tegevdirektori ülesandeid täidetaks täiesti sõltumatult. Tegevdirektor peaks pärast komisjoniga konsulteerimist koostama ettepaneku ameti tööprogrammi kohta ning võtma kõik vajalikud meetmed ameti tööprogrammi nõuetekohase täitmise tagamiseks. Tegevdirektor peaks koostama igal aastal haldusnõukogule esitatava aruande, koostama ameti tulude ja kulude kalkulatsiooni eelnõu ning vastutama eelarve täitmise eest. Lisaks peaks tegevdirektoril olema võimalus luua ajutisi töörühmi selleks, et käsitleda eelkõige teaduslikke, tehnilisi, juriidilisi või sotsiaal-majanduslikke küsimusi. Tegevdirektor peaks tagama, et ajutistesse töörühmadesse valitakse liikmed kõige põhjalikumate erialateadmiste põhjal, võttes nõuetekohaselt arvesse, et seal oleksid (lähtuvalt sellest, kuidas see on konkreetset küsimust arvestades asjakohane) tasakaalustatult esindatud liikmesriikide riiklikud haldusorganid, liidu institutsioonid ja erasektor, sealhulgas majandusringkonnad, kasutajad ning võrgu- ja infoturbe alal pädevad teaduseksperdid. (43)Juhatus peaks aitama kaasa haldusnõukogu tõhusale toimimisele. Osana haldusnõukogu otsustega seotud ettevalmistustööst peaks juhatus põhjalikult analüüsima asjakohast teavet ja olemasolevaid võimalusi ning pakkuma nõuandeid ja lahendusi haldusnõukogu asjakohaste otsuste ettevalmistamiseks. (44)Ametil peaks olema nõuandva organina alaline sidusrühm, mis tagaks regulaarse dialoogi erasektori, tarbijate organisatsioonide ja teiste asjaomaste sidusrühmadega. Tegevdirektori ettepanekul haldusnõukogu asutatud alaline sidusrühm peaks keskenduma sidusrühmade jaoks olulistele küsimustele ja juhtima neile ameti tähelepanu. Alalise sidusrühma koosseis ja ülesanded (eelkõige tuleb rühmaga konsulteerida tööprogrammi projekti üle) peaksid tagama sidusrühmade piisava esindatuse ameti töös. (45)Amet peaks vastu võtma huvide konfliktide ennetamise ja lahendamise eeskirjad. Amet peaks kohaldama ka asjaomaseid liidu sätteid, mis käsitlevad üldsuse juurdepääsu dokumentidele, nagu on sätestatud Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 1049/2001. Isikuandmeid tuleks töödelda vastavalt Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrusele (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta. Amet peaks teabe käitlemisel, eelkõige tundliku kuid salastamata teabe ja ELi salastatud teabe käitlemisel järgima liidu institutsioonide kohta kehtivaid sätteid ja liikmesriikide õigusakte. (46)Et tagada ameti täielik autonoomia ja sõltumatus ning võimaldada tal täita uusi ja lisaülesandeid, sealhulgas kiireloomulisi erakorralisi ülesandeid, tuleks ametile eraldada piisav ja autonoomne eelarve, mille peamine tulu tuleb liidu osamaksest ja ameti töös osalevate kolmandate riikide sissemaksetest. Enamik ameti töötajaid peaks olema otseselt tegev ameti manaadi rakendamises. Asukohaliikmesriigil või mis tahes muul liikmesriigil peaks olema lubatud teha ameti tuludesse vabatahtlikult sissemakseid. Liidu eelarvemenetluse kohaldamist tuleks jätkata mis tahes subsiidiumide suhtes, mida makstakse Euroopa Liidu üldeelarvest. Lisaks sellele peaks ameti raamatupidamisarvestust läbipaistvuse ja vastutuse tagamiseks auditeerima kontrollikoda. (47)Vastavushindamine on hindamisprotsess, mille käigus hinnatakse, kas toote, protsessi, teenuse, süsteemi, isiku või asutusega seotud erinõuded on täidetud. Käesoleva määruse kohaldamisel tuleks sertifitseerimist käsitada teatavat liiki vastavushindamisena, mis puudutab toote, protsessi, teenuse, süsteemi või nende kombinatsiooni (edaspidi „IKT tooted ja teenused“) küberturvalisuse elemente ja mida teostab sõltumatu kolmas isik, mitte tootja või teenusepakkuja. Sertifitseerimine iseenesest ei taga, et sertifitseeritud IKT tooted ja teenused on küberturvalised. Pigem on see menetlus ja tehniline metoodika tõendamaks, et IKT tooteid ja teenuseid on kontrollitud ja et need vastavad teatavatele küberturvalisuse nõuetele, mis on sätestatud mujal, näiteks tehnilistes standardites. (48)Küberturvalisuse sertifitseerimisel on tähtis ülesanne IKT toodete ja teenuste turvalisuse ja nende vastu usalduse suurendamises. Digitaalne ühtne turg ning eelkõige andmepõhine majandus ja asjade internet saavad olla edukad vaid juhul, kui avalikkusel on kindlustunne, et sellised tooted ja teenused pakuvad teatavat küberturvalisuse taset. Internetiühendusega ja automatiseeritud autod, elektroonilised meditsiiniseadmed, tööstuslikud automatiseeritud juhtimissüsteemid või arukad võrgud on vaid mõned näited sektoritest, kus sertifitseerimist juba ulatuslikult kasutatakse või tõenäoliselt hakatakse lähitulevikus kasutama. Võrgu- ja infoturbe direktiiviga reguleeritud sektorid on ka sektorid, kus küberturvalisuse sertifitseerimine on äärmiselt oluline. (49)2016. aasta teatises „Euroopa kübervastupidavusvõime süsteemi tugevdamine ning konkurentsivõimelise ja uuendusliku küberjulgeolekutööstuse soodustamine“ tõi komisjon välja vajaduse kvaliteetsete, taskukohaste ja koostalitlusvõimeliste küberturvalisuse toodete ja -lahenduste järele. IKT toodete ja teenuste pakkumine ühtsel turul on endiselt geograafiliselt väga killustatud. Selle põhjuseks on asjaolu, et küberturvalisuse tööstus on Euroopas peamiselt arenenud riikliku, täpsemalt valitsuse nõudluse najal. Lisaks kuulub kübeturvalisuse ühtse turu kitsaskohtade hulka koostalitusvõimeliste lahenduste (tehniliste standardite), tavade ja kogu ELi hõlmavate sertifitseerimismehhanismide puudumine. Ühest küljest teeb see riiklikul, Euroopa ja üleilmsel tasandil konkureerimise Euroopa ettevõtjate jaoks keerukaks. Teisest küljest tähendab see üksikisikute ja ettevõtjate jaoks võimaliku ja kasutatava küberturvalisuse tehnoloogia kättesaadavust väiksemas valikus. Euroopa digitaalse ühtse turu strateegia rakendamise vahekokkuvõttes rõhutas komisjon vajadust turvaliste võrgustatud toodete ja süsteemide järele ning märkis, et Euroopa IKT turvalisuse raamistiku loomine, millega kehtestatakse õigusnormid selle kohta, kuidas korraldada IKT turvalisuse sertifitseerimist liidus, võib aidata säilitada usaldust interneti vastu ja vähendada küberturvalisuse turu praegust killustatust. (50)Praegu kasutatakse IKT toodete ja teenuste küberturvalisuse sertifitseerimist ainult piiratud ulatuses. Kui sertifitseerimine on olemas, siis peamiselt liikmesriigi tasandil või tööstusest lähtuvate kavade raames. Sellistes tingimustes ei tunnusta teised liikmesriigid üldiselt ühe riigi küberturvalisuse asutuse poolt välja antud sertifikaati. Seega võib juhtuda, et ettevõtted peavad sertifitseerima oma tooted ja teenused mitmes liikmesriigis, kus nad tegutsevad, näiteks et osaleda riiklikes hankemenetlustes. Lisaks sellele paistab, et kuigi on tekkimas uusi kavasid, ei ole ühtset ja terviklikku lähenemisviisi küberturvalisuse horisontaalsetele küsimustele, näiteks asjade interneti valdkonnas. Olemasolevatel kavadel on märkimisväärseid puudujääke ning erinevusi tootehõlmavuses, usaldusväärsuse tasemetes, sisulistes kriteeriumides ja tegelikus kasutamises. (51)Minevikus on tehtud pingutusi, et saavutada Euroopas sertifikaatide vastastikune tunnustamine. See on olnud aga vaid osaliselt edukas. Kõige olulisem näide siinkohal on kõrgemate ametnike infosüsteemide turvalisuse rühma (SOG-IS) vastastikuse tunnustamise kokkulepe. Kuigi see on kõige tähtsam koostöö ja vastastikuse tunnustamise mudel turvalisuse sertifitseerimise valdkonnas, esineb SOG-IS vastastikuse tunnustamise kokkuleppes siiski märkimisväärseid puudujääke seoses selle suurte kulude ja piiratud ulatusega. Praeguseks on välja arendatud vaid mõned digitaalsete toodete kaitseprofiilid, näiteks digitaalallkiri, digitaalne sõidumeerik ja kiipkaardid. Kõige olulisem on aga see, et SOG-IS hõlmab vaid osa liidu liikmesriike. See on piiranud SOG-IS vastastikuse tunnustamise kokkuleppe tulemuslikkust siseturu seisukohast. (52)Eelnevat arvestades on vaja luua Euroopa küberturvalisuse sertifitseerimise raamistik, milles kehtestatakse välja töötatavate Euroopa küberturvalisuse sertifitseerimise kavade peamised horisontaalsed nõuded ning mis võimaldab tunnustada ja kasutada IKT toodete ja teenuste sertifikaate kõigis liikmesriikides. Euroopa raamistikul peaks olema kaks eesmärki: ühest küljest peaks see aitama suurendada usaldust nende kavade kohaselt sertifitseeritud IKT toodete ja teenuste vastu. Teisest küljest peaks see vältima üksteisele vastukäivate või kattuvate riiklike küberturvalisuse sertifikaatide paljusust ja seeläbi vähendama digitaalsel ühtsel turul tegutsevate ettevõtjate kulusid. Kavad peaksid olema mittediskrimineerivad ning põhinema rahvusvahelistel ja/või ELi standarditel, välja arvatud juhul, kui need standardid on ebatõhusad või ebasobivad ELi õiguspäraste eesmärkide saavutamiseks selles valdkonnas. (53)Komisjonile tuleks anda volitused võtta vastu Euroopa küberturvalisuse sertifitseerimise kavad konkreetsete IKT toodete ja teenuste rühmade kohta. Neid kavu peaksid rakendama ja nende üle järelevalvet teostama riiklikud sertifitseerimise järelevalveasutused ning nende kavade kohaselt välja antud sertifikaadid peaksid kehtima ja olema tunnustatud kogu liidus. Tööstuse või muude eraorganisatsioonide rakendatavad sertifitseerimiskavad peaksid jääma väljapoole määruse kohaldamisala. Siiski võivad selliseid kavu haldavad asutused teha komisjonile ettepaneku kaaluda nende heakskiitmist Euroopa kavana.

(54)Käesoleva määruse sätted ei tohiks mõjutada liidu õigusakte, milles on sätestatud konkreetsed eeskirjad IKT toodete ja teenuste sertifitseerimise kohta. Isikuandmete kaitse üldmäärus sisaldab sätteid selliste sertifitseerimismehhanismide ning andmekaitsepitserite ja -märgiste kasutuselevõtuks, mille abil saab tõendada, et vastutavate töötlejate ja volitatud töötlejate isikuandmete töötlemise toimingud vastavad kõnealusele määrusele. Sellised sertifitseerimismehhanismid ning andmekaitsepitserid ja -märgised peaksid võimaldama andmesubjektidel kiiresti hinnata asjakohaste toodete ja teenuste andmekaitse taset. Käesolev määrus ei piira andmetöötlustoimingute sertifitseerimist isikuandmete kaitse üldmääruse kohaselt, sealhulgas juhul, kui sellised toimingud sisalduvad toodetes või teenustes. (55)Euroopa küberturvalisuse sertifitseerimise kavade eesmärk on kinnitada, et sellise kava kohaselt sertifitseeritud IKT tooted ja teenused vastavad kirjeldatud nõuetele. Nimetatud nõuded puudutavad võimet pidada teataval usaldusväärsuse tasemel vastu tegevustele, mille eesmärk on rikkuda salvestatud, edastatud või töödeldud andmete või nende toodete, protsesside, teenuste ja süsteemide asjaomaste funktsioonide või nende poolt pakutavate või nende kaudu juurdepääsetavate teenuste käideldavust, autentsust, terviklust või konfidentsiaalsust käesoleva määruse tähenduses. Käesolevas määruses ei ole võimalik üksikasjalikult kirjeldada kõigi IKT toodete ja teenuste suhtes kohaldatavaid küberturvalisuse nõudeid. IKT tooted ja teenused ning nendega seotud küberturvalisuse vajadused on nii mitmekesised, et on väga raske esitada üldiseid küberturvalisuse nõudeid, mis kehtiksid kõikjal. Seetõttu on vaja sertifitseerimise eesmärgil võtta kasutusele lai ja üldine küberturvalisuse mõiste, mida täiendab rida konkreetseid küberturvalisuse eesmärke, mida tuleb Euroopa küberturvalisuse sertifitseerimise kavade koostamisel arvesse võtta. Nende eesmärkide saavutamise meetodid konkreetsete IKT toodete ja teenuste puhul tuleks täpsustada üksikasjalikult igas individuaalses sertifitseerimiskavas, mille komisjon vastu võtab, näiteks viidates standarditele või tehnilistele kirjeldustele. (56)Komisjonile tuleks anda volitused paluda ENISA-l koostada ettevalmistav sertifitseerimiskava konkreetsete IKT toodete ja teenuste jaoks. Seejärel tuleks anda komisjonile volitused võtta ENISA esitatud ettevalmistava kava põhjal rakendusaktidega vastu Euroopa küberturvalisuse sertifitseerimise kava. Võttes arvesse käesolevas määruses määratletud üldeesmärki ja turvalisusega seotud eesmärke, tuleks komisjoni poolt vastu võetud Euroopa küberturvalisuse sertifitseerimise kavades täpsustada konkreetse kava sisu, ulatuse ja toimimise minimaalsed üksikasjad. Need peaksid hõlmama muu hulgas küberturvalisuse sertifikaadi ulatust ja sisu, sealhulgas hõlmatud IKT toodete ja teenuste kategooriad, küberturvalisuse nõuete üksikasjalik kirjeldus, näiteks viide standarditele või tehnilistele kirjeldustele, konkreetsed hindamiskriteeriumid ja -meetodid ning kavandatud usaldusväärsuse tase: baastase, märkimisväärne ja/või kõrge tase (57)Euroopa küberturvalisuse sertifitseerimise kasutamine peaks jääma vabatahtlikuks, kui liidu või siseriiklikes õigusaktides pole sätestatud teisiti. Käesoleva määruse eesmärkide saavutamiseks ja siseturu killustumise vältimiseks tuleks siiski lõpetada riiklike küberturvalisuse sertifitseerimise kavade või menetluste kohaldamine Euroopa küberturvalisuse sertifitseerimise kavaga hõlmatud IKT toodete ja teenuste suhtes alates kuupäevast, mille komisjon on rakendusaktiga kehtestanud. Lisaks ei peaks liikmesriigid kehtestama uusi riiklikke küberturvalisuse sertifitseerimise kavasid IKT toodetele ja teenustele, mis on juba kaetud kehtiva Euroopa küberturvalisuse sertifitseerimise kavaga. (58)Kui Euroopa küberturvalisuse sertifitseerimise kava on vastu võetud, peaksid IKT toodete tootjad või IKT teenuste osutajad saama esitada enda valitud vastavushindamisasutusele taotluse oma toodete või teenuste sertifitseerimiseks. Kui vastavushindamisasutused vastavad käesolevas määruses sätestatud teatavatele konkreetsetele nõuetele, peaks akrediteerimisasutus need akrediteerima. Akrediteeringu saab anda maksimaalselt viieks aastaks ja selle kehtivust võib pikendada samadel tingimustel senikaua, kuni vastavushindamisasutus vastab nõuetele. Akrediteerimisasutus peaks vastavushindamisasutuse akrediteerimise tühistama, kui akrediteerimise tingimused ei ole täidetud või ei ole enam täidetud või asutuse poolt võetavad meetmed rikuvad käesolevat määrust. (59)Liikmesriike tuleb kohustada määrama ühe küberturvalisuse sertifitseerimise järelevalveasutuse, kes jälgiks nende territooriumil asutatud vastavushindamisasutuste ja nende väljastatud sertifikaatide vastavust käesoleva määruse ja vastavate küberturvalisuse sertifitseerimise kavade nõuetele. Riiklikud sertifitseerimise järelevalveasutused peavad käsitlema füüsiliste või juriidiliste isikute esitatud kaebusi seoses nende riigi territooriumil asutatud vastavushindamisasutuste väljastatud sertifikaatidega, uurima asjakohasel määral kaebuse sisu ja teavitama kaebuse esitajat mõistliku aja jooksul uurimise käigust ja tulemusest. Lisaks peavad nad tegema koostööd teiste riiklike sertifitseerimise järelevalveasutuste või muude avaliku sektori asutustega, sealhulgas jagades teavet IKT toodete ja teenuste võimaliku mittevastavuse kohta käesoleva määruse v