Sellist lähenemisviisi toetati ka nõukogu 2016. aasta järeldustes, milles tõdeti, et „küberohud ja -haavatavused arenevad edasi ja muutuvad intensiivsemaks, mis nõuab jätkuvat ja tihedamat koostööd, eriti laiaulatuslike piiriüleste küberintsidentide käsitlemisel“. Järeldustes kinnitati, et ENISA määrus on ELi kübervastupidavusvõime raamistiku üks põhielemente.

Võrreldes 2013. aastaga, mil võeti vastu praegune ENISA määrus, on küberturvalisuse maastik märgatavalt muutunud ning seetõttu teatas komisjon poliitikas, turul ja tehnoloogias saavutatud küpsuse taset arvestades oma 2016. aasta teatises „Euroopa kübervastupidavusvõime süsteemi tugevdamine ning konkurentsivõimelise ja uuendusliku küberjulgeolekutööstuse soodustamine“, et kavatseb ENISA tegevuse hindamise ja läbivaatamise kiiremini ette võtta. Komisjon täpsustas ühtlasi, et ENISA tegevuse läbivaatamine annab hea võimaluse parandada ameti võimekust ja suutlikkust toetada jätkusuutlikul viisil liikmesriike küberturvalisuse vastupidavusvõime saavutamisel.

Amet asub Kreekas: selle juhatuse asukoht on Irákleios (Kreetal) ja peamine tegevuskoht Ateenas. Ametil on 84 töötajat ja nende aastane tegevuseelarve on 11,25 miljonit eurot. Ameti eesotsas on tegevdirektor, igapäevase juhtimisega tegelevad haldusnõukogu, juhatus ja alaline sidusrühm. Suhtlusele liikmesriikidega aitab kaasa riikide kontaktametnike mitteametlik võrgustik.

Mandaadi kohaselt peab ENISA aitama kaasa kõrgetasemelisele võrgu- ja infoturbele liidus. ENISA määruses on välja toodud ameti konkreetsed eesmärgid ja sedastatud, et amet teeb järgmist:

Euroopa Liidu Võrgu- ja Infoturbeamet (ENISA) loodi 2004. aastal ning pärast seda on tema mandaati regulaarselt uuendatud. ENISA praegune mandaat on ette nähtud määrusega (EL) nr 526/2013 (edaspidi „ENISA määrus“), mis aegub 19. juunil 2020.

Analüüsi käigus võeti arvesse ka seda, kuidas on muutunud ameti tegevusraamistik, pidades eeskätt silmas järgmist: ELi uus reguleeriv ja poliitiline raamistik (nt võrgu- ja infoturbe direktiiv, ELi küberjulgeoleku strateegia läbivaatamine); ameti sidusrühmade muutunud vajadused ning täiendavus ja võimalik koosmõju muude ELi ja rahvusvaheliste institutsioonide, organite ja asutuste tööga (nt ELi institutsioonide ja ametite infoturbeintsidentidega tegelev rühm ehk CERT-EU ja Europoli juures tegutsev küberkuritegevuse vastase võitluse Euroopa keskus ehk EC3).

Ameti toimimise hindamiseks tehti järgmist.

·Komisjon tellis sõltumatu uuringu, mis toimus novembrist 2016 kuni juulini 2017 ning mis on koos komisjoni tehtud siseanalüüsiga hindamise peamine allikas.

·Uuring hõlmas dokumentide analüüsi, andmete kogumist ja analüüsi, sealhulgas uuringute korraldamist sidusrühmade seas, süvaintervjuusid küberturvalisuse valdkonna sidusrühmade seminari peamiste osalistega, ameti positsioneerimist ja SWOT-analüüsi.

·Lisaks korraldas komisjon 12 nädalat kestnud avaliku veebikonsultatsiooni, mis hõlmas nii järelhindamist kui ka ENISA tulevikku, ning sihtotstarbelisi konsultatsioone peamiste sidusrühmadega.

Hindamise tulemused võib hindamiskriteeriumide kaupa võtta kokku järgmiselt.

1.Asjakohasus: arvestades tehnika arengut ja muutuvaid ohte ning märkimisväärset vajadust suurema võrgu- ja infoturbe järele ELis, osutusid ENISA eesmärgid asjakohaseks. Kokkuvõttes sõltuvad liikmesriigid ja ELi asutused võrgu- ja infoturbe arengu alastest eksperditeadmistest; liikmesriikide suutlikkust ohte mõista ja neile reageerida tuleb suurendada ning sidusrühmad peavad tegema koostööd nii eri teemavaldkondades kui ka institutsioonides. Võrgu- ja infoturve on jätkuvalt üks ELi olulisi poliitilisi prioriteete, millega tegelemist ENISA-lt oodatakse, kuid kuna ENISA on tähtajalise mandaadiga ELi amet: i) ei ole võimalik teha pikaajalisi plaane ega pakkuda liikmesriikidele ja ELi institutsioonidele kiirelt muutuvate küberturvalisuse ohtude tingimustes jätkusuutlikku toetust; ii) võib tekkida õiguslik vaakum, sest võrgu- ja infoturbe direktiivi sätted, millega pandi ENISA-le tema ülesanded, on oma olemuselt alalised.

2.Tulemuslikkus: ENISA on üldiselt saavutanud oma eesmärgid ja täitnud oma ülesanded. ENISA põhitegevus (suutlikkuse arendamine, oskusteadmiste pakkumine, kogukonna loomine ja poliitika toetamine) on aidanud tugevdada võrgu- ja infoturvet Euroopas. Samas on tal igas valdkonnas potentsiaali tegevust veelgi parandada. Hindamise käigus jõuti järeldusele, et ENISA on tulemuslikult loonud tugevad ja usalduslikud suhted mõnede oma sidusrühmadega, eelkõige liikmesriikide ja CSIRTide kogukonnaga. Suutlikkuse arendamise valdkonnas tehtud sekkumisi peeti tulemuslikuks eelkõige vähemate ressurssidega liikmesriikide puhul. Üks peamisi saavutusi on olnud laialdase koostöö edendamine ning enamik sidusrühmadest on nõus, et ENISA-l on olnud inimeste kokkutoomisel positiivne roll. Samas on ENISA-l olnud keeruline avaldada võrgu- ja infoturbe väga ulatuslikus valdkonnas olulist mõju. Osaliselt oli selle põhjuseks asjaolu, et tal olid oma väga ulatusliku mandaadi täitmiseks suhteliselt piiratud rahalised ja inimressursid. Hindamise käigus jõuti ka järeldusele, et ENISA täitis oskusteabe pakkumise eesmärgi osaliselt, kuna tal oli probleeme ekspertide värbamisega (seda on käsitletud ka tõhususe jaotises allpool).

3.Tõhusus: ENISA on hoolimata oma väikesest eelarvest (teiste ELi ametitega võrreldes üks väiksemaid) suutnud aidata kaasa seatud eesmärkide saavutamisele, kasutades oma ressursse kokkuvõttes tõhusalt. Hindamise tulemusena järeldati, et protsessid olid üldiselt tõhusad ning vastutusvaldkondade selge jaotus organisatsiooni sees võimaldas töö hästi ellu viia. Ameti tõhususe seisukohast on üks peamisi probleeme see, et ENISA-l on raskusi kõrgetasemelise kvalifikatsiooniga ekspertide värbamisel ja tööl hoidmisel. Hindamise tulemuste kohaselt on selle põhjuseks mitme teguri koosmõju, sealhulgas avaliku sektori üldised probleemid erasektoriga konkureerimisel, kui proovitakse värvata väga suure erialase pädevusega eksperte, ameti poolt enamasti pakutavate lepingute liik (tähtajaline leping) ning ENISA asukoha suhteliselt väike atraktiivsus, mis on seotud näiteks abikaasadel töö leidmisel tekkivate probleemidega. Tegutsemine kahes kohas – nii Ateenas kui ka Irákleios – eeldas täiendavat koordineerimist ja tekitas lisakulusid, kuid põhitegevuse osakonna Ateenasse viimine 2013. aastal suurendas ameti tööalast tõhusust.

4.Sidusus: üldjoontes on ENISA tegevus olnud kooskõlas tema sidusrühmade põhimõtete ja tegevusega riiklikul ja ELi tasandil, kuid küberturvalisusele tuleks ELi tasandil läheneda koordineeritumalt. ENISA ja teiste ELi asutuste vahelise koostöö potentsiaali ei ole suudetud täielikult ära kasutada. ELi õigus- ja poliitilise keskkonna muutumise tõttu ei ole kehtiv mandaat enam nii sidus.

5.ELi lisaväärtus: ENISA lisaväärtus seisnes peamiselt ameti võimes tõhustada koostööd, eeskätt liikmesriikide vahel, aga ka asjaomaste võrgu- ja infoturbe kogukondadega. ELi tasandil ei ole ühtegi teist osalejat, kes toetaks niivõrd mitmekesiste võrgu- ja infoturbe sidusrühmade koostööd. Ameti pakutav lisaväärtus varieerus olenevalt sidusrühmade erinevatest vajadustest ja ressurssidest (näiteks suured liikmesriigid võrreldes väikestega, liimesriigid võrreldes tööstusega) ning sellest, kuivõrd oli ametil vaja oma tegevustes prioriteete seada vastavalt tööprogrammile. Hindamise tulemusena jõuti järeldusele, et ENISA tegevuse võimalik lõpetamine oleks kõigi liikmesriikide jaoks käest lastud võimalus. Ilma detsentraliseeritud ELi ametita ei ole küberturvalisuse valdkonnas võimalik tagada kogukonna loomist ja liikmesriikide koostööd sellises ulatuses. Kui ENISA jäetud tühimikku hakkaks täitma kahepoolne või piirkondlik koostöö, oleks olukord palju killustatum.

3.Järeldused/soovitused

Hindamise põhjal järeldati, et loomismäärusega anti ENISA-le ulatuslik mandaat, mis on küll paindlik, kuid jääb mõningatel juhtudel pisut ebamääraseks, ning seetõttu on ametil raske suurt mõju avaldada. Ühtlasi olid ameti eesmärgid aastatel 2013–2016 asjakohased. Ameti tõhusus oli heal tasemel ning ta demonstreeris ELi tasandil tegutsemise lisaväärtust eeskätt selliste põhitoimingute kaudu nagu üleeuroopalised küberõppused, CSIRTide kogukonna toetamine ja ohtude maastiku analüüsimine. ENISA aitas parandada võrgu- ja infoturvet Euroopas peamiselt liikmesriikide ja võrgu- ja infoturbe sidusrühmade koostöö toetamisega, aga ka kogukonna ja suutlikkuse loomisele suunatud tegevusega.

Amet suutis seda kõike teha hoolimata mitmetest probleemidest, mida on kirjeldatud aruande eelmistes punktides ja lisatud talituste töödokumendis. Üks peamisi probleeme oli seotud piiratud ressurssidega, mis ei olnud vastavuses ameti ulatusliku mandaadiga; eriti teravalt torkab see silma, arvestades võrgu- ja infoturbe direktiiviga ametile antud uusi ülesandeid ja ohtude maastiku kiiret muutumist. Peale selle on ENISA ainus ELi amet, kelle mandaat on tähtajaline hoolimata näiteks võrgu- ja infoturbe direktiiviga seotud ülesannetest, mida on nimetatud ka eespool.

Küberturvalisuse ohud muutuvad kiiresti ning esile kerkib uusi ohte, sest Euroopa muutub nii ühendatud seadmete kui ka kõikjale ulatuva ühenduvuse tõttu üha enam sõltuvaks digitaristust ja digitaalsetest teenustest. Asjade internet loob digitaalmajanduses ja -ühiskonnas uusi võimalusi seoses energiatõhususe, keskkonnakaitse, ühendatud liikuvuse, reaalajas toimuva tervisliku seisundi seire ning nutikate ja sujuvate finantstehingutega. Paraku kaasnevad nende ärivõimalustega uued haavatavused ja nõrkused, mille tõttu võivad rikutud seadmed digitaalsel ühtsel turul häireid tekitada.

Hindamise põhjal järeldati, et praegune mandaat ei anna ENISA-le piisavaid vahendeid, et praeguste ja tulevaste küberturvalisuse probleemidega toime tulla.

Lisaks on ELi tasandil pidevalt kasvav killustatuse oht, sest küberturvalisuse vallas on ELi tasandil hulk asjaosalisi, kelle tegevus ei ole piisavalt koordineeritud. EL vajab fookust, et tulla toime olemuselt horisontaalsete ja mitut tööstusharu mõjutavate uute ohtudega ning pakkuda lahendusi küberturvalisuse kogukonna, eeskätt liikmesriikide, ELi institutsioonide ja ettevõtjate vajadustele. Hinnangust võib järeldada, et olemas on vajadus sektoriüleselt/horisontaalselt tegutseva ja tugeva mandaadiga ELi ameti järele.

Hinnangust nähtub, et arvukatest probleemidest hoolimata on ENISA-l piisava mandaadi ning rahaliste vahendite ja personali olemasolul suur potentsiaal aidata suurendada küberturvalisust ELis.

Samuti on selgelt olemas vajadus eri sidusrühmade vahelise koostöö ja koordineerimise järele. Üha teravamalt tuleb esile vajadus ELi tasandi koordineeriva üksuse järele, kes lihtsustaks teabe liikumist, täidaks tühimikke ja aitaks vältida ülesannete ja vastutusalade kattuvust. ENISA-l kui ELi detsentraliseeritud ametil ja erapooletul vahendajal on võimalik koordineerida ELi lähenemisviisi küberohtudele.

Sellest lähtudes on komisjon esitanud ettepaneku korraldada ENISA tegevus ümber ja anda talle alaline mandaat, mille aluseks oleksid ameti peamised seni ilmnenud tugevad küljed ja uued prioriteetsed tegevusvaldkonnad, näiteks küberturvalisuse sertifitseerimise vallas. Uus mandaat peaks arvesse võtma muutunud reaalsust ning andma ametile volitused, mis võimaldaksid tal ELi edaspidi piisavalt toetada.