EUROOPAN KOMISSIO Bryssel22.2.2018 COM(2017) 477 final/3 2017/0225(COD) CORRIGENDUM



This document corrects document COM(2017)477 final of 04.10.2017



Concerns all language versions.



Corrections of errors of a clerical nature, correction of some references and adding the title of an article.



The text shall read as follows: Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS EU:n kyberturvallisuusvirastosta ENISAsta ja asetuksen (EU) 526/2013 kumoamisesta sekä tieto- ja viestintätekniikan kyberturvallisuussertifioinnista (”kyberturvallisuusasetus”) (ETA:n kannalta merkityksellinen teksti) {SWD(2017) 500 final}



{SWD(2017) 501 final}



{SWD(2017) 502 final}



PERUSTELUT 1.EHDOTUKSEN TAUSTA •Ehdotuksen perustelut ja tavoitteet Euroopan unioni on päättänyt useista toimista kyberresilienssinsä ja varautumistasonsa parantamiseksi. EU:n ensimmäisessä 2013 hyväksytyssä kyberturvallisuusstrategiassa esiteltiin strategiset tavoitteet ja konkreettiset toimet, joiden tarkoituksena on saavuttaa häiriönsietokyky (resilienssi), vähentää kyberrikollisuutta, kehittää kyberpuolustuspolitiikkaa ja -valmiuksia, kehittää teollisia ja teknologisia voimavaroja ja luoda EU:lle johdonmukainen kansainvälinen verkkotoimintapolitiikka. Tässä yhteydessä on sittemmin tapahtunut merkittävää kehitystä, mistä ovat esimerkkeinä Euroopan unionin verkko- ja tietoturvavirastolle (ENISA) annettu jatkomandaatti ja Euroopan unionille hyväksytty verkko- ja tietoturvadirektiivi, jotka muodostavat perustan tälle ehdotukselle. Lisäksi Euroopan komissio hyväksyi vuonna 2016 tiedonannon Euroopan kyberresilienssijärjestelmän vahvistamisesta sekä kilpailukykyisen ja innovatiivisen kyberturvallisuustoimialan tukemisesta. Tiedonannossa ilmoitettiin toimenpiteistä lisätä yhteistyötä ja tiedon ja tietämyksen jakamista sekä parantaa EU:n resilienssiä ja varautumista, myös laajamittaisten turvallisuuspoikkeamien ja mahdollisen koko Euroopan laajuisen kyberturvallisuuskriisin tapauksessa. Tässä yhteydessä komissio ilmoitti, että se aikoo jouduttaa Euroopan parlamentin ja neuvoston asetuksesta (EY) N:o 526/2013 tehtävää arviointia ja uudelleentarkastelua. Kyseisellä asetuksella, jäljempänä ’ENISA-asetus’, jatkettiin ENISAn toimeksiantoa ja kumottiin asetus (EY) N:o 460/2004. Arviointi voi johtaa viraston toiminnan uudistamiseen ja sen valmiuksien ja resurssien lisäämiseen, jotta se voisi tukea jäsenvaltioita kestävällä tavalla. Tällöin se saisi operatiivisemman ja keskeisemmän roolin kyberresilienssin saavuttamisessa, ja sen tarkistettuun toimeksiantoon sisällytettäisiin viraston uudet verkko- ja tietoturvadirektiivin mukaiset vastuualueet. Verkko- ja tietoturvadirektiivi on ensimmäinen tärkeä askel riskinhallintakulttuurin edistämisessä. Sillä otetaan käyttöön turvallisuusvaatimukset oikeudellisina velvoitteina keskeisille talouden toimijoille, varsinkin keskeisiä palveluja tarjoaville toimijoille (keskeisten palvelujen tarjoajat) ja joidenkin keskeisten digitaalisten palvelujen toimittajille (digitaalisen palvelun tarjoajat). Koska turvallisuusvaatimusten merkitys nähdään olennaisena yhteiskunnan kehittyvän digitalisoinnin hyötyjen turvaamiseksi ja koska verkkoon liitettyjen laitteiden määrä on kasvaa nopeasti (esineiden internet), vuoden 2016 tiedonannossa nostettiin myös esille ajatus puitteiden luomisesta tieto- ja viestintäteknologian tuotteiden ja palvelujen turvallisuussertifioinnille, jotta voidaan lisätä turvallisuutta digitaalisilla sisämarkkinoilla ja näitä markkinoita kohtaan tunnettua luottamusta. Tieto- ja viestintäteknologian kyberturvallisuussertifioinnin merkitys korostuu erityisesti, kun korkeaa kyberturvallisuuden tasoa edellyttävät teknologiat, kuten verkkoyhteyksillä varustetut ja automatisoidut autot, sähköiset terveyspalvelut tai teollisuusautomaation ohjausjärjestelmät (IACS), tulevat yleisempään käyttöön. Nämä poliittiset toimenpiteet ja esitykset saivat lisävahvistuksen vuonna 2016 annetuissa neuvoston päätelmissä, joissa todettiin, että ”kyberuhkat ja haavoittuvuudet muuttuvat ja kasvavat, mikä edellyttää jatkuvaa ja tiiviimpää yhteistyötä erityisesti laajamittaisten rajatylittävien kyberturvallisuuspoikkeamien käsittelemiseksi”. Päätelmissä vahvistettiin, että ”ENISA-asetus on EU:n kyberresilienssikehyksen keskeisimpiä elementtejä”, ja kehotettiin komissiota ryhtymään lisätoimiin sertifiointikysymyksessä Euroopan tasolla. Sertifiointijärjestelmän perustaminen edellyttäisi asianmukaisen hallintojärjestelmän perustamista EU:n tasolla, mihin sisältyisi riippumattoman EU:n viraston tarjoama perusteellinen asiantuntemus. Tässä ehdotuksessa katsotaan, että ENISAlle lankeaa kyberturvallisuusasioiden toimivaltaisena EU-tason elimenä luonnostaan tällainen rooli toimia kansallisten toimivaltaisten elinten yhteistahona ja koordinoida niiden työtä sertifioinnin alalla. Toukokuussa 2017 julkaisemassaan digitaalisten sisämarkkinoiden strategian väliarvioinnissa komissio täsmensi, että se aikoo tarkastella uudelleen ENISAn toimeksiantoa syyskuuhun 2017 mennessä. Tarkoituksena on määritellä sen roolia muuttuneessa kyberturvallisuuden toimintaympäristössä ja kehittää kyberturvallisuuden standardeihin, sertifiointiin ja merkintöihin kohdistuvia toimenpiteitä, jotta tieto- ja viestintätekniikkaan perustuvien järjestelmien, kuten verkkoon liitettyjen esineiden, kyberturvallisuutta voidaan parantaa. Eurooppa-neuvoston päätelmissä kesäkuulta 2017 kannatettiin komission aikomusta tarkastella uudelleen kyberturvallisuusstrategiaa syyskuuhun mennessä ja ehdottaa uusia kohdennettuja toimia ennen vuoden 2017 loppua. Ehdotettu asetus sisältää kattavan joukon toimenpiteitä, jotka perustuvat aiempiin toimiin ja edistävät toisiaan vahvistavia erityistavoitteita ·lisätä jäsenvaltioiden ja yritysten valmiuksia ja varautumiskykyä, ·parantaa yhteistyötä ja koordinointia jäsenvaltioiden ja EU:n toimielinten, virastojen ja elinten välillä, ·lisätä EU-tason valmiuksia täydentää jäsenvaltioiden toimia erityisesti rajat ylittävien kyberkriisien yhteydessä, ·lisätä kansalaisten ja yritysten tietoisuutta kyberturvallisuuteen liittyvistä kysymyksistä, ·lisätä yleistä avoimuutta tieto- ja viestintäteknisten tuotteiden ja palvelujen kyberturvallisuuden varmistuksessa, jotta voidaan lisätä luottamusta digitaalisiin sisämarkkinoihin ja digitaalisiin innovaatioihin, ja ·välttää hajanaisuutta sertifiointijärjestelmissä ja niihin liittyvissä turvallisuusvaatimuksissa ja arviointiperusteissa jäsenvaltioissa ja eri aloilla. Perustelujen seuraavassa osassa aloitetta perustellaan tarkastelemalla lähemmin ENISAn ja kyberturvallisuussertifioinnin osalta ehdotettuja toimia.





ENISA ENISA toimii osaamiskeskuksena, jonka tehtävänä on tehostaa verkko- ja tietoturvaa unionissa ja tukea valmiuksien kehittämistä jäsenvaltioissa. ENISA perustettiin vuonna 2004 tarkoituksenaan edistää yleistä tavoitetta varmistaa verkko- ja tietoturvan korkea taso EU:ssa. Vuonna 2013 virastolle annettiin asetuksella (EU) N:o 526/2013 jatkomandaatti seitsemäksi vuodeksi vuoteen 2020 saakka. Virasto sijaitsee Kreikassa. Hallinnollinen toimipaikka on Iráklion (Kreeta). Ydintoiminnot ovat Ateenassa. ENISA on pieni virasto, jonka budjetti ja henkilöstö jäävät määrällisesti vähäisiksi verrattuna muihin EU:n virastoihin. Sen toimikausi on määräaikainen. ENISA tukee Euroopan unionin toimielimiä, jäsenvaltioita ja yritysmaailmaa verkko- ja tietoturvaongelmiin puuttumisessa ja reagoimisessa. Erityisesti sen tehtävänä on pyrkiä ehkäisemään verkko- ja tietoturvaongelmat. Tätä varten se huolehtii eri toimista viidellä sen strategiassa määritellyllä osa-alueella: ·asiantuntemus: tiedon ja asiantuntemuksen antaminen keskeisissä verkko- ja tietoturvakysymyksissä ·politiikka: tuki politiikanteolle ja politiikan täytäntöönpanolle unionissa ·valmiudet: tuki valmiuksien kehittämiselle kaikkialla unionissa (esim. koulutuksen, suositusten ja tietoisuuden lisäämisen avulla) ·yhteisöä palveleva toiminta: verkko- ja tietoturvayhteisön tukeminen (esim. tuki tietoturvaloukkauksiin ja niiden ennaltaehkäisyyn keskittyville ryhmille (CERT) ja yleiseurooppalaisten kyberharjoitusten koordinointi) ·toimintaedellytysten luominen (esim. sidosryhmien kanssa ja kansainvälisten suhteiden kautta). Verkko- ja tietoturvadirektiivistä neuvoteltaessa EU:n lainsäätäjät päättivät antaa ENISAlle keskeisiä tehtäviä direktiivin täytäntöönpanossa. Erityisesti virasto tarjoaa sihteeristöpalvelut CSIRT-verkostolle (joka on perustettu edistämään yksittäisiin kyberturvallisuuspoikkeamiin kohdennettua nopeaa operatiivista yhteistyötä jäsenvaltioiden välillä sekä tietojen vaihtamista riskeistä). Viraston tehtävänä on myös avustaa verkko- ja tietoturvadirektiivin yhteistyöryhmää sen tehtävien suorittamisessa. Lisäksi direktiivi velvoittaa ENISAn avustamaan jäsenvaltioita ja komissiota tarjoamalla asiantuntemusta ja neuvontaa ja helpottamalla parhaiden käytäntöjen vaihtoa. Komissio on ENISA-asetuksen mukaisesti tehnyt virastosta arvioinnin, johon on sisältynyt riippumaton tutkimus ja julkinen kuuleminen. Arvioinnissa tarkasteltiin viraston merkityksellisyyttä, vaikuttavuutta, toimivuutta ja tehokkuutta sekä sen toiminnan johdonmukaisuutta ja EU-tason lisäarvoa viraston suorituskyvyn, hallinnon, sisäisen organisaatiorakenteen ja työskentelytapojen suhteen vuosina 2013–2016. Vastaajien enemmistö (74 %) antoi julkisessa kuulemisessa myönteisen arvion ENISAn yleisestä suorituskyvystä. Enemmistö vastaajista katsoi ENISAn myös saavuttavan eri tavoitteensa (vähintään 63 % kunkin tavoitteen osalta). ENISAn palveluja ja tuotteita käyttää säännöllisesti (kuukausittain tai sitä useammin) lähes puolet vastaajista (46 %). Niitä pidetään arvossa, koska ne tulevat EU:n tason elimeltä (83 %) ja ovat laadukkaita (62 %). Suuri enemmistö (88 %) vastaajista kuitenkin piti nykyisiä EU:n tasolla käytettävissä olevia välineitä ja mekanismeja riittämättöminä tai vain osittain soveltuvina vastaamaan kyberturvallisuuden nykyisiin haasteisiin. Samoin suuri enemmistö vastaajista (98 %) katsoi, että jonkin EU:n elimen olisi vastattava näihin tarpeisiin, ja näistä elimistä ENISAa piti oikeana organisaationa 99 prosenttia vastaajista. Lisäksi 67,5 prosenttia vastanneista katsoi, että ENISAlla voisi olla rooli luotaessa yhdenmukaistettuja puitteita tietotekniikkatuotteiden ja -palvelujen turvallisuussertifioinnille. Yleisessä arvioinnissa (joka perustui julkisen kuulemisen lisäksi myös haastatteluihin, kohdennettuihin lisäkyselyihin ja työryhmätapaamisiin) tehtiin seuraavat päätelmät: ·ENISAn tavoitteet ovat edelleen ajankohtaisia. Ottaen huomioon tekniikan nopea kehitys ja kehittyvät uhat sekä kyberturvallisuuteen liittyvät kasvavat maailmanlaajuiset riskit EU:ssa on olemassa selkeä tarve edistää ja lujittaa edelleen korkean tason teknistä asiantuntemusta kyberturvallisuuteen liittyvissä kysymyksissä. Jäsenvaltioissa on tarpeen kehittää valmiuksia ymmärtää ja torjua uhkia, ja sidosryhmien on tarpeen toimia yhteistyössä eri temaattisten alojen ja instituutioiden välisesti. ·Rajoitetuista määrärahoistaan huolimatta virasto on ollut operatiivisesti tehokas resurssiensa käytössä ja tehtäviensä täytäntöönpanossa. Sijainti sekä Ateenassa että Iráklionissa on kuitenkin myös lisännyt hallinnollisia kustannuksia. ·Tehokkuutta tarkastellen ENISA on saavuttanut tavoitteensa osittain. Virasto on onnistuneesti kyennyt osaltaan parantamaan verkko- ja tietoturvallisuutta Euroopassa tukemalla valmiuksien kehittämistä 28 jäsenvaltiossa, tehostamalla jäsenvaltioiden ja verkko- ja tietoturvan sidosryhmien välistä yhteistyötä, tarjoamalla käyttöön asiantuntemusta sekä tukemalla yhteisöjen ja politiikan kehittämistä. Kaiken kaikkiaan ENISA on keskittynyt huolellisesti työohjelmansa täytäntöönpanoon ja toiminut luotettavana kumppanina sidosryhmilleen alalla, jonka vahva rajat ylittävä merkitys on tunnustettu vasta hiljattain.

·ENISA on kyennyt saamaan aikaan vaikutuksen, ainakin jossain määrin, verkko- ja tietoturvan laajalla toimintasaralla, mutta se ei ole täysin onnistunut kehittämään vahvaa brändiä ja riittävää näkyvyyttä alan ykkösosaamiskeskuksena Euroopassa. Tämä selittyy ENISAn laajalla toimeksiannolla, jonka tueksi sille ei ole annettu riittäviä resursseja vastaavassa suhteessa. Lisäksi ENISA on ainoa EU:n virasto, jonka toimikausi on määräaikainen, mikä rajoittaa sen mahdollisuuksia kehittää pitkän aikavälin visiota ja tukea sidosryhmiään kestävällä tavalla. Tämä on myös ristiriidassa verkko- ja tietoturvadirektiivin säännösten kanssa, joissa ENISAlle annetaan tehtäviä ilman päättymispäivää. Lisäksi arvioinnissa todettiin, että viraston vähäistä vaikutusta osittain selittävät suuri riippuvuus ulkoisesta asiantuntemuksesta sisäisen asiantuntemuksen sijasta sekä vaikeudet rekrytoida ja pitää palveluksessa erikoistunutta henkilöstöä. ·Arvioinnin keskeisiin päätelmiin kuuluu myös se, että ENISAn lisäarvo johtuu pääasiallisesti viraston mahdollisuuksista tehostaa yhteistyötä lähinnä jäsenvaltioiden välillä ja erityisesti kyseeseen tulevien verkko- ja tietoturvayhteisöjen kanssa (varsinkin CSIRT-toimijoiden välillä). Mikään muu toimija EU:n tasolla ei tue näin laajaa kirjoa verkko- ja tietoturva-alan sidosryhmiä. Koska ENISAn toimintaa joudutaan kuitenkin priorisoimaan tiukasti, viraston työohjelmaa ohjaavat pääosin jäsenvaltioiden tarpeet. Tämän vuoksi se ei riittävällä tavalla pysty vastaamaan muiden sidosryhmien, erityisesti toimialan, tarpeisiin. Tämä on myös tehnyt viraston toimintatavasta reaktiivisen, kun virasto on täyttänyt keskeisten sidosryhmiensä tarpeita pystymättä laajentamaan vaikutustaan. Näin ollen viraston tuoma lisäarvo vaihteli sidosryhmien eri tarpeiden mukaan ja riippuen siitä, missä määrin virasto pystyi vastaamaan niihin (esim. suuret v. pienet jäsenvaltiot tai jäsenvaltiot v. toimiala). Yhteenvetona voidaan todeta, että sidosryhmien kuulemisten ja arvioinnin tulokset viittaavat tarpeeseen mukauttaa ENISAn resursseja ja toimeksiantoa, jotta se voisi riittävällä tavalla vastata nykyisiin ja tuleviin haasteisiin. Näiden havaintojen pohjalta tässä ehdotuksessa tarkistetaan ENISAn tämänhetkistä toimeksiantoa ja määritellään uudelleen sen tehtäviä ja toimintoja, jotta se voisi tuloksekkaasti ja tehokkaasti tukea jäsenvaltioiden, EU:n toimielinten ja muiden sidosryhmien pyrkimyksiä turvallisen kyberavaruuden varmistamiseksi Euroopan unionissa. Ehdotetun uuden toimeksiannon tarkoituksena on antaa virastolle vahvempi ja keskeisempi rooli. Tavoitteena on erityisesti, että se tukee jäsenvaltioita verkko- ja tietoturvadirektiivin täytäntöönpanossa ja yksittäisten uhkien torjumisessa aiempaa aktiivisemmin (operatiiviset valmiudet) ja että siitä tulee jäsenvaltioiden ja komission kyberturvallisuussertifiointia tukeva omaamiskeskus. Tämän ehdotuksen mukaan ·ENISAlle myönnettäisiin pysyvä mandaatti, jonka myötä sen toiminta olisi vakaalla pohjalla tulevaisuudessa. Toimeksiantoa, tavoitteita ja tehtäviä tarkasteltaisiin jatkossakin uudelleen säännöllisesti. ·Ehdotetussa toimeksiannossa täsmennetään ENISAn roolia EU:n kyberturvallisuusvirastona ja EU:n kyberturvallisuusekosysteemin viitekeskuksena, joka toimii tiiviissä yhteistyössä tämän toimintaympäristön kaikkien muiden asiaankuuluvien elinten kanssa. ·Viraston organisaatiota ja hallintoa, jotka saivat arvioinnissa myönteisen arvion, tarkistettaisiin kevyesti erityisesti varmistamalla, että laajemman sidosryhmänyhteisön tarpeet voidaan ottaa paremmin huomioon viraston toiminnassa. ·Toimeksiannon ehdotettu soveltamisala on määritetty lujittamalla niitä osa-alueita, joilla viraston toiminnasta on ollut selvää lisäarvoa, ja lisäämällä sellaisia uusia aloja, joilla tukea tarvitaan uusien poliittisten painopisteiden ja välineiden vuoksi. Jälkimmäisiin kuuluvat erityisesti verkko- ja tietoturvadirektiivi, EU:n kyberturvallisuusstrategian tarkistus, tuleva EU:n kyberturvallisuussuunnitelma kyberkriiseissä tehtävää yhteistyötä varten sekä tieto- ja viestintäteknologian turvallisuussertifiointi. ·EU:n politiikan kehittäminen ja täytäntöönpano: ENISAn tehtäväksi annettaisiin edistää aktiivisesti politiikan kehittämistä verkko- ja tietoturvan alalla sekä muita toimintapoliittisia aloitteita eri aloilla (esim. energia-, liikenne- ja finanssipolitiikassa) silloin kun niihin liittyy kyberturvallisuustekijöitä. Tätä varten sillä olisi vahva neuvoa-antava rooli, jonka se voisi täyttää antamalla riippumattomia lausuntoja ja huolehtimalla valmistelutyöstä politiikan ja lainsäädännön kehittämistä ja päivittämistä varten. ENISA myös tukisi EU:n politiikkaa ja lainsäädäntöä sähköisen viestinnän, sähköisen tunnistamisen ja luottamuspalvelujen aloilla tavoitteena parantaa kyberturvallisuustasoa. Täytäntöönpanovaiheessa ENISA avustaisi – erityisesti verkko- ja tietoturvadirektiivin yhteistyöryhmän puitteissa – jäsenvaltioita johdonmukaisen lähestymistavan kehittämisessä verkko- ja tietoturvadirektiivin täytäntöönpanoon eri maiden ja alojen välisesti sekä muilla asiaankuuluvilla politiikan ja lainsäädännön lohkoilla. Politiikan ja lainsäädännön säännöllisen uudelleentarkastelun tukemiseksi kyberturvallisuuden alalla ENISA myös raportoisi säännöllisesti EU:n lainsäädännön täytäntöönpanon tilasta. ·Valmiuksien kehittäminen: ENISAn tehtävänä olisi osaltaan parantaa EU:n ja kansallisten viranomaisten valmiuksia ja asiantuntemusta muun muassa turvallisuuspoikkeamiin reagoimisessa ja kyberturvallisuuteen liittyvien sääntelytoimenpiteiden valvonnassa. Viraston tehtävänä olisi myös edistää tietojen jakamisen ja analysoinnin alakohtaisten keskusten (ISAC) perustamista eri aloilla tarjoamalla käyttöön parhaita käytäntöjä ja ohjeita saatavilla olevista välineistä ja menettelyistä sekä asianmukaisista tavoista ratkaista tietojen jakamiseen liittyviä sääntelykysymyksiä. ·Tietämys, tiedotus ja tietoisuuden lisääminen: ENISAsta tulisi EU:n tietokeskus. Tämä merkitsisi parhaiden käytäntöjen ja aloitteiden edistämistä ja jakamista koko EU:ssa kokoamalla yhteen tietoa kyberturvallisuudesta EU:n toimielimiltä, virastoilta ja elimiltä sekä kansallisilta instituutioilta, virastoilta ja laitoksilta. Virasto antaisi myös käyttöön neuvoja, ohjeita ja hyviä käytäntöjä elintärkeiden infrastruktuurien turvallisuutta koskevissa kysymyksissä. Merkittävien rajatylittävien kyberturvallisuuspoikkeamien tapauksessa ENISA laatisi myös jälkiraportteja ohjeistuksen antamiseksi yrityksille ja kansalaisille eri puolilla EU:ta. Tähän työsarkaan sisältyisi myös säännöllisten tiedotuskampanjoiden järjestäminen koordinoiden toimintaa jäsenvaltioiden viranomaisten kanssa. ·Markkinoihin liittyvät tehtävät (standardointi ja turvallisuussertifiointi): ENISAn tehtäväksi tulisi toimintoja, jotka erityisesti tukevat sisämarkkinoita. Se toimisi kyberturvallisuuteen keskittyvänä ”markkinoiden seurantakeskuksena” tehtävänään analysoida kyberturvallisuusmarkkinoiden kehityssuuntauksia, jotta kysyntä ja tarjonta saataisiin vastaamaan paremmin toisiaan, sekä tukea EU:n politiikan kehittämistä tieto- ja viestintätekniikan standardoinnin ja kyberturvallisuussertifioinnin aloilla. Erityisesti standardointiin liittyen se helpottaisi kyberturvallisuusstandardien laatimista ja käyttöönottoa. ENISA huolehtisi myös tehtävistä, jotka sisältyvät tulevaan sertifiointia varten kaavailtuun kehykseen (ks. jäljempänä). ·Tutkimus ja innovointi: ENISA tarjoaisi käyttöön asiantuntemusta neuvomalla EU:n ja kansallisia viranomaisia tutkimuksen ja kehittämisen painopisteistä, muun muassa sopimusperusteisen julkisen ja yksityisen sektorin kyberturvallisuuskumppanuuden puitteissa. ENISAn tutkimusneuvonta tarjoaisi aineksia uuteen Euroopan kyberturvallisuuden tutkimus- ja osaamiskeskukseen seuraavan monivuotisen rahoituskehyksen puitteissa. ENISA myös osallistuisi komission pyynnöstä EU:n tutkimuksen ja innovoinnin rahoitusohjelmien täytäntöönpanoon. ·Operatiivinen yhteistyö ja kriisinhallinta: Tämän työn lähtökohtana olisi nykyisten ennalta ehkäisevien operatiivisten valmiuksien vahvistaminen –erityisesti yleiseurooppalaisten kyberturvallisuusharjoitusten (Cyber Europe) tehostaminen pitämällä ne vuosittain. Virastolla olisi myös tukijan rooli operatiivisessa yhteistyössä CSIRT-verkoston sihteeristönä (verkko- ja tietoturvadirektiivin säännösten mukaisesti), joka varmistaisi muun muassa CSIRT-verkoston tietoteknisen infrastruktuurin ja viestintäkanavien toimivuuden. Tämä edellyttäisi jäsenneltyä yhteistyötä CERT-EU:n, Euroopan kyberrikostorjuntakeskuksen (EC3) ja muiden asiaankuuluvien EU:n elinten kanssa. CERT-EU:n kanssa tehtävä jäsennelty yhteistyö, jossa osapuolet ovat fyysisesti lähellä toisiaan, tarjoaisi käyttöön toiminnon teknisen avun antamiseksi merkittävien turvallisuuspoikkeamien tapauksessa ja niiden analysoinnin tueksi. Jäsenvaltiot saisivat pyynnöstä apua poikkeamien käsittelyyn ja tukea heikkouksien, artefaktien ja poikkeamien analysointiin, jotta ne voisivat vahvistaa omia ennaltaehkäiseviä ja reagointivalmiuksiaan. ·ENISAlla olisi tehtävä myös EU:n kyberturvallisuussuunnitelmassa. Suunnitelmassa, joka esitetään osana tätä pakettia, komissio antaa jäsenvaltioille suosituksensa koordinoiduista toimista laajamittaisissa rajatylittävissä kyberturvallisuuspoikkeamissa ja -kriiseissä EU:n tasolla. ENISA helpottaisi yksittäisten jäsenvaltioiden välistä yhteistyötä hätätilanteisiin vastaamisessa analysoimalla ja kokoamalla yhteen kansallisia tilannekatsauksia jäsenvaltioiden ja muiden tahojen vapaaehtoisesti viraston käyttöön antamien tietojen pohjalta. ·Tieto- ja viestintätekniikan tuotteiden ja palvelujen kyberturvallisuussertifiointi Tieto- ja viestintätekniikan tuotteisiin ja palveluihin on luottamuksen ja turvallisuuden luomiseksi ja ylläpitämiseksi tarpeen sisällyttää suoraan turvaominaisuudet varhaisessa vaiheessa niiden teknistä suunnittelua ja kehittämistä (sisäänrakennettu turvallisuus). Lisäksi asiakkaiden ja käyttäjien on voitava varmistua hankkimiensa tuotteiden ja palvelujen tietoturvavarmistustasosta. Sertifioinnilla, jossa riippumaton ja akkreditoitu elin arvioi virallisesti tuotteet, palvelut ja prosessit määriteltyjä kriteereitä ja standardeja vasten ja jossa annetaan sertifikaatti vaatimustenmukaisuudesta, on tärkeä merkitys pyrittäessä lisäämään tuotteiden ja palvelujen turvallisuutta ja niitä kohtaan tunnettua luottamusta. Vaikka turvallisuuden arvioinnit ovat luonteeltaan varsin teknisiä, sertifiointi palvelee kuitenkin sitä, että ostajat ja käyttäjät saavat informaatiota ja voivat vakuuttua tieto- ja viestintäteknisten tuotteiden ja palvelujen turvallisuusominaisuuksista. Kuten edellä mainitaan, tämä koskee erityisesti uusia järjestelmiä, joissa hyödynnetään laajasti digitaaliteknologiaa ja jotka edellyttävät korkeatasoista turvallisuutta. Tällaisia ovat esimerkiksi verkkoyhteyksillä varustetut ja automatisoidut autot, sähköiset terveyspalvelut, teollisuusautomaation ohjausjärjestelmät (IACS) ja älykkäät verkot. Tieto- ja viestintätekniikan tuotteiden kyberturvallisuussertifioinnin tilanne on tällä hetkellä melko hajanainen EU:ssa. Alan kansainvälisiin aloitteisiin kuuluu ns. Common Criteria (CC) -tietoturvastandardi (Common Criteria (CC) for Information Technology Security Evaluation, ISO 15408), joka on tietokoneiden turvallisuusarviointiin sovellettava kansainvälinen standardi. Se perustuu kolmannen osapuolen arviointiin ja käsittää seitsemän varmuustasoa (Evaluation Assurance Level, EAL). CC-standardi ja siihen liittyvät yhteiset CEM-menetelmät (Common Methodology for Information Technology Security Evaluation) muodostavat teknisen perustan kansainväliselle CCRA-järjestelylle (Common Criteria Recognition Arrangement), jolla varmistetaan, että CC-sertifikaatit ovat kaikkien CCRA-järjestelyn allekirjoittajien tunnustamia. Nykyisen CCRA-järjestelyn mukaan arvioinnit tunnustetaan vastavuoroisesti kuitenkin vain EAL 2 -varmuustasolle asti. Lisäksi vain 13 jäsenvaltiota on allekirjoittanut järjestelyn.

Sertifiointiviranomaiset 12 jäsenvaltiosta ovat tehneet vastavuoroista tunnustamista koskevan sopimuksen koskien sertifikaatteja, jotka on myönnetty sopimuksen mukaisesti yhteisten CC-kriteerien perusteella. Lisäksi jäsenvaltioissa on tehty tai tekeillä muita tieto- ja viestintätekniikan sertifiointiin liittyviä aloitteita. Vaikka nämä ovatkin tärkeitä, ne uhkaavat johtaa hajanaisuuteen markkinoilla ja yhteentoimivuusongelmiin. Yritys voi sen vuoksi joutua läpäisemään useita sertifiointimenettelyjä eri jäsenvaltioissa, jotta se voisi tarjota tuotettaan useilla eri markkinoilla. Esimerkiksi älymittareiden valmistaja, joka haluaa myydä tuotteitaan kolmessa jäsenvaltiossa (esim. Saksassa, Ranskassa ja Yhdistyneessä kuningaskunnassa), joutuu noudattamaan tällä hetkellä kolmen eri sertifiointijärjestelmän vaatimuksia. Nämä ovat Commercial Product Assurance (CPA) Yhdistyneessä kuningaskunnassa, Certification de Sécurité de Premier Niveau (CSPN) Ranskassa ja erityinen CC-kriteereihin perustuva suojausprofiili Saksassa. Tämä tilanne lisää kustannuksia ja merkitsee huomattavaa hallinnollista rasitetta niille yrityksille, jotka toimivat useissa jäsenvaltioissa. Sertifioinnin kustannukset voivat vaihdella paljon riippuen kyseessä olevasta tuotteesta tai palvelusta, halutusta varmuustasosta ja/tai muista tekijöistä. Sertifioinnista yrityksille aiheutuvat kustannukset ovat kuitenkin yleensä varsin huomattavat. Esimerkiksi BSI:n ”Smart Meter Gateway” -sertifikaatin kustannukset nousevat yli miljoonaan euroon (korkein testi- ja varmuustaso koskien yksittäisen tuotteen lisäksi myös koko ympäröivää infrastruktuuria). Älymittareiden sertifioinnin kustannukset ovat Yhdistyneessä kuningaskunnassa lähes 150 000 euroa ja Ranskassa samaa luokkaa, 150 000 euroa tai enemmän. Keskeiset julkiset ja yksityiset sidosryhmät myönsivät, että ilman EU:n laajuista kyberturvallisuuden sertifiointijärjestelmää yritysten on monissa olosuhteissa hankittava erillinen sertifiointi kussakin jäsenvaltiossa, mikä johtaa markkinoiden hajanaisuuteen. Mikä tärkeintä, viestintäteknisiä tuotteita ja palveluja koskevan EU:n yhdenmukaistamislainsäädännön puuttuessa erot jäsenvaltioiden kyberturvallisuuden sertifiointistandardeissa ja -käytännöissä voivat luoda EU:hun käytännössä 28 erillistä markkina-aluetta, joista kullakin on omat tekniset vaatimuksena, testausmenetelmänsä ja sertifiointimenettelynsä. Nämä toisistaan poikkeavat kansalliset toimintamallit voivat aiheuttaa – jollei riittäviin toimiin ryhdytä EU:n tasolla – merkittävän takaiskun digitaalisten sisämarkkinoiden toteutumiselle, sillä ne hidastavat kasvuun ja työllisyyteen kohdistuvia myönteisiä sisämarkkinavaikutuksia tai estävät niitä toteutumasta. Edellä selostetun kehityksen vuoksi esitetään, että ehdotettavalla asetuksella luodaan eurooppalainen kehys tieto- ja viestintätekniikan tuotteiden ja palvelujen kyberturvallisuussertifioinnille (”sertifiointikehys”) ja määritetään ENISAn keskeiset toiminnot ja tehtävät kyberturvallisuussertifioinnin alalla. Asetusehdotuksessa vahvistetaan yleiset puitteet säännöille, joita Euroopan kyberturvallisuuden sertifiointijärjestelmiin on määrä soveltaa. Ehdotuksella ei otettaisi käyttöön sellaisenaan toiminnallisia sertifiointijärjestelmiä, vaan luotaisiin yleinen järjestelmä (kehys) yksittäisten sertifiointijärjestelmien perustamiseksi erityisille tieto- ja viestintätekniikan tuotteille tai palveluille (jäljempänä ”eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät”). Sertifiointikehyksen mukaisesti perustetuissa eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä myönnetyt sertifikaatit olisivat voimassa ja tunnustettuja kaikissa jäsenvaltioissa, jolloin voitaisiin päästä markkinoiden nykyisestä hajanaisuudesta. Yleisenä tavoitteena eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä on antaa vahvistus siitä, että tällaisen järjestelmän mukaisesti sertifioidut tieto- ja viestintätekniset tuotteet ja palvelut ovat niille määriteltyjen kyberturvallisuusvaatimusten mukaisia. Tähän sisältyisi esimerkiksi niiden kyky suojella (tallennettua, siirrettyä tai muuten käsiteltyä) dataa vahingossa tapahtuvalta tai luvattomalta tallentamiselta, käsittelyltä, käytöltä, paljastamiselta, tuhoamiselta, tahattomalta katoamiselta tai muuttamiselta. EU:n kyberturvallisuuden sertifiointijärjestelmissä käytettäisiin olemassa olevia standardeja teknisissä vaatimuksissa ja arviointimenettelyissä, joita tuotteissa on noudatettava, ilman että laadittaisiin teknisiä standardeja itse. Esimerkiksi EU:n laajuinen sertifiointi vaikkapa älykorteille, joita testataan parhaillaan kansainvälisten CC-standardien pohjalta monenvälisessä SOGIS-järjestelmässä (edellä kuvatulla tavalla), merkitsisi sitä, että kyseisen järjestelmä tulisi päteväksi koko EU:n alueella. Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien suunnittelussa huomioon otettavien turvallisuustavoitteiden lisäksi ehdotuksessa esitetään myös, mikä tulisi olla tällaisten järjestelmien vähimmäissisältö. Näissä järjestelmissä on määriteltävä muun muassa joukko erityistekijöitä kyberturvallisuussertifioinnin soveltamisalan ja kohteen määrittelemiseksi. Tähän sisältyvät soveltamisalaan kuuluvien tuotteiden ja palvelujen luokkien määrittely, yksityiskohtainen eritelmä kyberturvallisuusvaatimuksista (esim. viittaamalla sovellettaviin standardeihin tai teknisiin eritelmiin), erityiset arviointiperusteet ja -menetelmät sekä varmuustaso, joka niiden avulla on määrä varmistaa (perustaso, korotettu tai korkea). Eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät valmistelee ENISA, jota avustaa ja neuvoo Euroopan kyberturvallisuuden sertifiointiryhmä tiiviissä yhteistyössä sen kanssa (ks. jäljempänä), ja ne hyväksyy komissio täytäntöönpanosäädöksillä. Kun kyberturvallisuuden sertifiointijärjestelmän tarve on tunnistettu, komissio pyytää ENISAa valmistelemaan järjestelmän erityisiä tieto- ja viestintäteknisiä tuotteita tai palveluja varten. ENISA työskentelee järjestelmän parissa läheisessä yhteistyössä kansallisten sertifiointialan valvontaviranomaisten kanssa, jotka ovat edustettuina sertifiointiryhmässä. Jäsenvaltiot tai sertifiointiryhmä voivat ehdottaa komissiolle, että se pyytäisi ENISAa laatimaan jonkin yksittäisen järjestelmän. Sertifiointi voi olla erittäin kallis prosessi, mikä vuorostaan voi johtaa korkeampiin hintoihin asiakkaille ja kuluttajille. Sertifiointitarve voi myös vaihdella paljon riippuen tuotteiden ja palvelujen käyttöyhteydestä ja teknologian nopeasta muutostahdista. Eurooppalaisen kyberturvallisuussertifioinnin käytön tulisi sen vuoksi edelleen olla vapaaehtoista, jollei toisin säädetä unionin lainsäädännössä, jossa määritetään turvallisuusvaatimukset tieto- ja viestintätekniikan tuotteille ja palveluille. Jotta voidaan varmistaa yhdenmukainen lähestymistapa ja välttää hajanaisuus, kansallisia kyberturvallisuuden sertifiointijärjestelmiä tai -menettelyjä, joiden kattamat tieto- ja viestintätekniikan tuotteet ja palvelut kuuluvat jonkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän soveltamisalaan, ei enää sovelleta alkaen päivästä, joka vahvistetaan järjestelmästä tehtävässä täytäntöönpanosäädöksessä. Jäsenvaltiot eivät myöskään saisi ottaa käyttöön uusia kansallisia kyberturvallisuuden sertifiointijärjestelmiä sellaisille tieto- ja viestintätekniikan tuotteille ja palveluille, jotka kuuluvat jonkin voimassa olevan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän soveltamisalaan. Kun eurooppalainen kyberturvallisuuden sertifiointijärjestelmä on hyväksytty, tieto- ja viestintäteknisten tuotteiden valmistajat tai tieto- ja viestintäteknisten palvelujen tarjoajat voivat jättää tuotteidensa tai palvelujensa sertifiointia koskevan hakemuksen valitsemalleen vaatimustenmukaisuuden arviointilaitokselle. Vaatimustenmukaisuuden arviointilaitosten olisi saatava akkreditointi akkreditointielimeltä, jos ne täyttävät tietyt erityiset vaatimukset. Akkreditointi myönnetään enintään viideksi vuodeksi, ja se voidaan uusia samoin edellytyksin, jos vaatimustenmukaisuuden arviointilaitos täyttää edelleen vaatimukset. Akkreditointielin peruuttaa vaatimustenmukaisuuden arviointilaitoksen akkreditoinnin, jos akkreditoinnin edellytykset eivät täyty tai eivät enää täyty tai jos vaatimustenmukaisuuden arviointilaitoksen toiminta rikkoo tämän asetuksen säännöksiä. Ehdotuksen mukaan seuranta-, valvonta- ja täytäntöönpanotehtävät kuuluvat jäsenvaltioille ja jäsenvaltioilla on oltava yksi sertifioinnin valvontaviranomainen. Tämän viranomaisen tehtävänä on valvoa sitä, ovatko sen alueelle sijoittautuneet vaatimustenmukaisuuden arviointilaitokset ja niiden myöntämät sertifikaatit tämän asetuksen vaatimusten ja vastaavien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaatimusten mukaisia. Kansallisilla sertifioinnin valvontaviranomaisilla on toimivalta käsitellä luonnollisten henkilöiden tai oikeushenkilöiden tekemät valitukset, jotka liittyvät niiden alueelle sijoittautuneiden vaatimustenmukaisuuden arviointilaitosten myöntämiin sertifikaatteihin. Ne tutkivat asianmukaisessa määrin valituksen kohteen ja ilmoittavat valituksen tekijälle valituksen etenemisestä ja tutkinnan tuloksista kohtuullisen ajan kuluessa. Ne tekevät yhteistyötä muiden sertifioinnin valvontaviranomaisten tai muiden viranomaisten kanssa esimerkiksi jakamalla tietoa mahdollisista tapauksista, joissa tieto- ja viestintätekniikan tuotteet ja palvelut eivät vastaa tämän asetuksen tai yksittäisten eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaatimuksia. Lisäksi ehdotuksella perustettaisiin Euroopan kyberturvallisuuden sertifiointiryhmä, jäljempänä ’sertifiointiryhmä’, joka koostuu kaikkien jäsenvaltioiden kansallisista sertifioinnin valvontaviranomaisista. Sertifiointiryhmän päätehtävänä on antaa komissiolle neuvoja kyberturvallisuuden sertifiointipolitiikkaan liittyvissä kysymyksissä ja työskennellä ENISAn kanssa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien valmistelemiseksi. ENISA avustaa komissiota sertifiointiryhmän sihteeristönä ja pitää yllä ajantasaista julkista luetteloa eurooppalaisessa kyberturvallisuuden sertifiointikehyksessä hyväksytyistä järjestelmistä. ENISA pitää myös yhteyksiä standardointielimiin, jotta voidaan varmistaa hyväksytyissä järjestelmissä käytettävien standardien tarkoituksenmukaisuus ja määritellä osa-alueita, joilla tarvitaan kyberturvallisuusstandardeja. Eurooppalainen kyberturvallisuuden sertifiointikehys tarjoaa useita etuja kansalaisille ja yrityksille, erityisesti seuraavat: ·EU:n laajuisten kyberturvallisuuden sertifiointijärjestelmien luominen erityisille tuotteille tai palveluille tuo yritysten käyttöön keskitetyn väylän kyberturvallisuussertifiointiin EU:ssa. Sitä käyttävien yritysten tarvitsee sertifioida tuotteensa vain kerran saadakseen sertifikaatin, joka on voimassa kaikissa jäsenvaltioissa. Niiden ei enää tarvitse hankkia tuotteilleen uutta sertifiointia muilta kansallisilta sertifiointilaitoksilta. Tämä vähentää huomattavasti yrityksille aiheutuvia kustannuksia, helpottaa rajatylittävää toimintaa ja siten viime kädessä vähentää ja ehkäisee sisämarkkinoiden hajanaisuutta kyseisten tuotteiden osalta. ·Eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä tulee ensisijaisia kansallisiin järjestelmiin nähden: tämän säännön nojalla pätee, että eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän hyväksyminen syrjäyttää kaikki olemassa olevat rinnakkaiset kansalliset järjestelmät, jotka koskevat samoja tieto- ja viestintätekniikan tuotteita tai palveluja tietyllä varmuustasolla. Tämä tuo selkeyttä vähentämällä nykyisiä päällekkäisiä ja mahdollisesti keskenään ristiriitaisia kansallisia kyberturvallisuuden sertifiointijärjestelmiä. ·Tämä ehdotus tukee ja täydentää verkko- ja tietoturvadirektiivin täytäntöönpanoa tarjoamalla yrityksille, joihin direktiiviä sovelletaan, hyödyllisen välineen osoittaa, että ne noudattavat direktiivin vaatimuksia koko unionissa. Uusien kyberturvallisuuden sertifiointijärjestelmien kehittämisessä komissio ja ENISA tulevat kiinnittämään erityistä huomiota tarpeeseen varmistaa, että verkko- ja tietoturvadirektiivin vaatimukset otetaan huomioon näissä järjestelmissä. ·Ehdotus tukee ja helpottaa eurooppalaisen kyberturvallisuuspolitiikan kehittämistä yhdenmukaistamalla ehtoja ja sisältövaatimuksia, joita tieto- ja viestintätekniikan tuotteiden ja palvelujen kyberturvallisuussertifiointiin sovelletaan EU:ssa. Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä viitataan yhteisiin arviointi- ja testausmenetelmien standardeihin tai kriteereihin. Tämä edistää merkittävästi, vaikkakin epäsuorasti, yhteisten turvallisuusratkaisujen käyttöönottoa EU:ssa ja sitä kautta myös poistaa esteitä sisämarkkinoiden toiminnalta. ·Sertifiointikehys on suunniteltu siten, että kyberturvallisuuden sertifiointijärjestelmille jää tarvittava joustavuus. Kyberturvallisuustarpeista riippuen tuote tai palvelu voidaan sertifioida ylemmän tai alemman turvallisuustason mukaisesti. Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien suunnittelussa otetaan huomioon tämä liikkumavara, ja ne tarjoavat näin ollen eri varmuustasoja (eli perustaso, korotettu tai korkea), jolloin niitä voidaan käyttää eri tarkoituksiin ja eri yhteyksissä. ·Kaikkien edellä mainittujen osatekijöiden ansiosta kyberturvallisuussertifioinnista tulee houkuttavampaa yrityksille, koska se tarjoaa käyttöön tehokkaan keinon tieto- ja viestintäteknisten tuotteiden tai palvelujen kyberturvallisuustason ilmaisemiseen. Kun kyberturvallisuussertifioinnista tulee edullisempaa, tehokkaampaa ja taloudellisesti houkuttelevaa, yrityksillä on suuremmat kannustimet hankkia tuotteilleen sertifiointi kyberturvallisuusriskien varalta, mikä edistää parempien kyberturvallisuuskäytäntöjen leviämistä tieto- ja viestintätekniikan tuotteiden ja palvelujen suunnittelussa (sisäänrakennettu kyberturvallisuus).

•Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa Verkko- ja tietoturvadirektiivi velvoittaa toimijat aloilla, jotka ovat elintärkeitä talouden ja yhteiskunnan kannalta (esim. energia, liikenne, vesihuolto, pankkitoiminta, rahoitusmarkkinoiden infrastruktuurit, terveydenhuolto ja digitaalinen infrastruktuuri), sekä digitaalisen palvelun tarjoajat (esim. hakukoneet, pilvipalvelut ja verkossa toimivat markkinapaikat) toimenpiteisiin turvallisuusriskien hallitsemiseksi asianmukaisesti. Tämän ehdotuksen uudet säännöt täydentävät verkko- ja tietoturvadirektiivin säännöksiä ja varmistavat johdonmukaisuuden niiden kanssa pyrittäessä edelleen kehittämään EU:n kykyä sietää kyberuhkia (kyberresilienssi) parantamalla valmiuksia, yhteistyötä, riskinhallintaa ja kybertietoisuutta. Lisäksi kyberturvallisuussertifiointia koskevat säännöt antavat käyttöön olennaisen välineen verkko- ja tietoturvadirektiivin kohteena oleville yrityksille, kun ne voivat hankkia tieto- ja viestintätekniikan tuotteilleen ja palveluilleen sertifioinnin kyberturvallisuusriskien varalta käyttämällä kyberturvallisuuden sertifiointijärjestelmiä, jotka ovat päteviä ja jotka tunnustetaan koko EU:n alueella. Ne myös täydentävät eIDAS-asetuksessa ja radiolaitedirektiivissä esitettyjä turvallisuusvaatimuksia. •Yhdenmukaisuus unionin muiden politiikkojen kanssa Asetuksessa (EU) 2016/679 (yleinen tietosuoja-asetus) säädetään sertifiointimekanismeista sekä tietosuojasineteistä ja -merkeistä, joiden tarkoituksena on osoittaa, että rekisterinpitäjät ja henkilötietojen käsittelijät noudattavat kyseistä asetusta käsittelytoimia suorittaessaan. Nyt käsillä oleva asetus ei rajoita tietojenkäsittelytoimien sertifiointia yleisen tietosuoja-asetuksen nojalla, ei myöskään silloin, kun nämä toimet on sisällytetty tuotteisiin ja palveluihin. Ehdotetulla asetuksella taataan yhteensopivuus akkreditointia ja markkinavalvontaa koskevista vaatimuksista annetun asetuksen 765/2008 kanssa viittaamalla kyseisen kehyksen sääntöihin, jotka koskevat kansallisia akkreditointielimiä ja vaatimustenmukaisuuden arviointilaitoksia. Mitä tulee valvontaviranomaisiin, ehdotettu asetus velvoittaa jäsenvaltiot nimeämään kansalliset sertifioinnin valvontaviranomaiset vastaamaan valvonnasta, seurannasta ja sääntöjen täytäntöönpanosta. Kyseiset elimet pidetään erillään asetuksessa 765/2008 tarkoitetuista vaatimustenmukaisuuden arviointilaitoksista. 2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE •Oikeusperusta Oikeusperusta EU:n toiminnalle on Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 114 artikla, joka koskee jäsenvaltioiden lainsäädännön lähentämistä, jotta voidaan saavuttaa SEUT-sopimuksen 26 artiklan tavoitteet eli sisämarkkinoiden moitteeton toiminta. Sisämarkkinoita koskeva oikeusperusta ENISAn perustamiselle on vahvistettu unionin tuomioistuimen oikeuskäytännössä (asia C-217/04, Yhdistynyt kuningaskunta v. Euroopan parlamentti ja neuvosto) ja käyttämällä sitä uudelleen vuoden 2013 asetuksessa viraston nykyisestä toimeksiannosta. Lisäksi toimet, jotka vastaisivat tavoitteita lisätä jäsenvaltioiden välistä yhteistyötä ja koordinointia sekä EU:n tason valmiuksia jäsenvaltioiden toimien täydentämiseksi, kuuluisivat ”operatiivisen yhteistyön” luokkaan. Tämä yksilöidään nimenomaisesti tavoitteeksi verkko- ja tietoturvadirektiivissä (jonka oikeusperusta on SEUT-sopimuksen 114 artikla) CSIRT-verkoston yhteydessä, jossa ”ENISA huolehtii sihteeristötehtävistä ja tukee aktiivisesti yhteistyötä” (12 artiklan 2 kohta). Direktiivin 12 artiklan 3 kohdan f alakohdassa esitetään tarkemmin muita operatiivisen yhteistyön muotoja CSIRT-verkostolle kuuluvina tehtävinä, myös seuraavien osalta: i) riskien ja poikkeamien luokat, ii) ennakkovaroitukset, iii) keskinäinen avunanto ja iv) periaatteet ja yksityiskohtaiset säännöt koordinointia varten tilanteisiin, joissa jäsenvaltiot reagoivat rajat ylittäviin riskeihin ja poikkeamiin. ·Tieto- ja viestintätekniikan tuotteiden ja palvelujen sertifiointijärjestelmien nykyinen hajanaisuus johtuu myös siitä, ettei käytössä ole yhteistä oikeudellisesti sitovaa ja tehokasta kehysprosessia, jota sovellettaisiin kaikissa jäsenvaltioissa. Tämä haittaa sisämarkkinoiden aikaansaamista tieto- ja viestintätekniikan tuotteille ja palveluille ja heikentää Euroopan teollisuuden kilpailukykyä tällä alalla. Tämän ehdotuksen tarkoituksena on puuttua nykyiseen hajanaisuuteen ja sen aiheuttamiin esteisiin sisämarkkinoilla tarjoamalla käyttöön yhteinen kehys kyberturvallisuuden sertifiointijärjestelmille, jotka ovat voimassa koko EU:n alueella. Toissijaisuusperiaate (muun kuin jaetun toimivallan osalta) Toissijaisuusperiaate edellyttää EU:n toiminnan tarpeellisuuden ja lisäarvon arvioimista. Toissijaisuusperiaatteen noudattaminen tällä alalla todettiin jo nykyisen ENISA-asetuksen hyväksymisen yhteydessä. Kyberturvallisuus on unionin yhteisen edun mukainen kysymys. Verkkojen ja tietojärjestelmien keskinäiset riippuvuudet ovat sellaisia, että yksittäiset toimijat (olipa kysymys julkisista tai yksityisistä toimijoista, myös kansalaisista) eivät useinkaan kykene hallitsemaan kyberturvallisuuspoikkeamiin liittyviä uhkia, riskejä ja mahdollisia vaikutuksia itsenäisesti. Jäsenvaltioiden väliset riippuvuussuhteet muun muassa elintärkeiden infrastruktuurien toiminnassa (energiahuolto, liikenne ja vesihuolto ovat tästä vain muutamia esimerkkejä) merkitsevät sitä, että julkiset toimet Euroopan tasolla ovat paitsi myönteisiä myös tarpeen. EU:n toiminnasta voi olla myös myönteisiä seurannaisvaikutuksia johtuen siitä, että hyviä käytäntöjä jaetaan jäsenvaltioiden kesken, mikä voi johtaa unionin kyberturvallisuuden tehostumiseen. Yhteenvetona voidaan todeta, että nykyisessä tilanteessa ja tulevaisuuden skenaarioita tarkastellen näyttää siltä, etteivät EU:n jäsenvaltioiden yksittäiset toimet ja hajanainen lähestymistapa kyberturvallisuuteen riittäisi, jotta unionin kollektiivista kyberresilienssiä voitaisiin lisätä. EU:n toiminta katsotaan myös tarpeelliseksi, jotta voidaan puuttua kyberturvallisuuden sertifiointijärjestelmien nykyiseen hajanaisuuteen. Se antaisi valmistajille mahdollisuuden hyötyä täysimääräisesti sisämarkkinoista ja saada merkittäviä säästöjä testaukseen ja uudelleensuunnitteluun liittyvissä kustannuksissa. Vaikka esimerkiksi nykyisellä johtavien virkamiesten tietoturvallisuusryhmän (SOGIS) vastavuoroista tunnustamista koskevalla sopimuksella (MRA) on tältä osin saavutettu merkittäviä tuloksia, se on myös osoittanut merkittävät rajoituksensa, jotka haittaavat sen soveltuvuutta pitkän aikavälillä kestäviin ratkaisuihin sisämarkkinoiden täyden potentiaalin hyödyntämisessä. EU:n tason toiminnasta saatava lisäarvo, erityisesti pyrittäessä tehostamaan yhteistyötä jäsenvaltioiden välillä samoin kuin verkko- ja tietoturvallisuusyhteisöjen välillä, on tunnustettu vuoden 2016 neuvoston päätelmissä ja käy myös selvästi ilmi ENISAn arvioinnista.

•Suhteellisuusperiaate Suunnitelluilla toimenpiteillä ei ylitetä sitä, mikä on tarpeen niiden poliittisten tavoitteiden saavuttamiseksi. EU:n toiminnan soveltamisala ei estä muita kansallisia toimia kansalliseen turvallisuuteen liittyvissä asioissa. EU:n toimet ovat siksi perusteltuja toissijaisuus- ja suhteellisuusperiaatteen nojalla. •Toimintatavan valinta Tällä ehdotuksella tarkistetaan asetusta (EU) N:o 526/2013, jossa vahvistetaan ENISAn nykyinen toimeksianto ja tehtävät. Kun lisäksi otetaan huomioon ENISAn tärkeä rooli EU:n kyberturvallisuuden sertifiointipuitteiden perustamisessa ja hallinnoinnissa, ENISAn uusi toimeksianto ja kyseinen sertifiointikehys on perusteltua vahvistaa yhdellä yksittäisellä oikeudellisella välineellä valitsemalla toimintatavaksi asetus. 3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET Voimassa olevan lainsäädännön jälkiarvioinnit/toimivuustarkastukset Komissio on arviointia koskevan etenemissuunnitelman mukaisesti arvioinut viraston merkityksellisyyden, vaikuttavuuden, toimivuuden ja tehokkuuden sekä sen toiminnan johdonmukaisuuden ja lisäarvon viraston suorituskyvyn, hallinnon, sisäisen organisaatiorakenteen ja työskentelytapojen suhteen vuosina 2013–2016. Pääasialliset havainnot voidaan tiivistää seuraavasti (ks. tarkemmat tiedot komission yksiköiden valmisteluasiakirjasta, joka on vaikutusten arvioinnin liitteenä). ·Merkityksellisyys: Kehittyvän teknologian ja muuttuvien uhkien tilanteessa ja ottaen huomioon merkittävä tarve lisätä kyberturvallisuutta EU:ssa ENISAn tavoitteet ovat osoittaneet merkityksensä. Jäsenvaltiot ja EU:n elimet nojautuvat sen laajaan asiantuntemukseen kyberturvallisuuskysymyksissä. Lisäksi jäsenvaltioissa on tarpeen kehittää valmiuksia ymmärtää ja torjua uhkia paremmin ja sidosryhmien on tarpeen toimia yhteistyössä eri temaattisten alojen ja instituutioiden välisesti. Kyberturvallisuus on edelleen EU:n keskeinen poliittinen prioriteetti, johon ENISAn odotetaan vastaavan. Toisaalta kuitenkin ENISAn toimeksianto EU:n virastona, jonka toimikausi on määräaikainen, i) ei mahdollista pitkän aikavälin suunnittelua ja kestävää tukea jäsenvaltioille ja EU:n toimielimille; ii) voi johtaa oikeudelliseen tyhjiöön, koska verkko- ja tietoturvadirektiivin säännöksillä ENISAlle annetaan luonteeltaan pysyviä tehtäviä; iii) ei johdonmukaisesti vastaa visiota, joka kytkee ENISAn kyberturvallisuustoimintaympäristön parantamiseen EU:ssa. ·Vaikuttavuus: ENISA on yleisesti ottaen saavuttanut tavoitteensa ja täyttänyt tehtävänsä. Se on myötävaikuttanut verkko- ja tietoturvan lisäämiseen Euroopassa tärkeimmillä toiminnoillaan (valmiuksien kehittäminen, asiantuntemuksen tarjoaminen, yhteisöjen rakentaminen ja toimintapoliittinen tuki). On kuitenkin todettu, että sen toimintaa on mahdollista parantaa kussakin näistä. Arvioinnissa todettiin ENISAn vaikutuksen näkyvän siinä, miten se on pystynyt luomaan tiiviit ja luottamukseen perustuvat suhteet joihinkin sidosryhmiinsä, erityisesti jäsenvaltioihin ja CSIRT-yhteisöön. Valmiuksien kehittämiseen liittyvällä toiminnalla katsottiin olleen vaikutus erityisesti jäsenvaltioissa, joilla on vähäisemmät resurssit. Tärkeimpiin saavutuksiin kuuluu laajan yhteistyön edistäminen, ja sidosryhmät ovat paljolti samaa mieltä ENISAn myönteisestä roolista sidosryhmien saattamisessa yhteen. ENISAn on kuitenkin ollut hankalaa saada aikaan suurta vaikutusta verkko- ja tietoturvan hyvin laajalla alalla. Tämä on johtunut myös sitä, että sillä on ollut laaja-alaiseen toimeksiantoonsa nähden melko rajalliset henkilö- ja taloudelliset resurssit. Arvioinnissa pääteltiin myös, että ENISA on täyttänyt osittain tavoitteensa tarjota asiantuntemusta. Tavoitteen saavuttamiseen vaikuttivat asiantuntijoiden palkkaamiseen liittyvät vaikeudet (ks. ”Tehokkuus” jäljempänä). ·Tehokkuus: Pienistä määrärahoistaan huolimatta – ENISAn budjetti on kuuluu EU:n virastojen suppeimpiin – virasto on kyennyt edistämään kohdennettuja tavoitteita tavalla, joka osoittaa kaiken kaikkiaan tehokasta resurssien käyttöä. Arvioinnissa todettiin, että prosessit olivat yleisesti ottaen tehokkaita ja että organisaation sisäisen selkeän vastuunjaon ansiosta viraston työ suoritettiin hyvin. Yksi viraston suurimmista tehokkuushaasteista liittyy ENISAn vaikeuksiin rekrytoida ja pitää palveluksessaan erittäin päteviä asiantuntijoita. Havaintojen mukaan tämä voi johtua useista eri tekijöistä, kuten julkisen sektorin yleisistä vaikeuksista kilpailla yksityisen sektorin kanssa pitkälle erikoistuneiden asiantuntijoiden palkkaamisessa, sopimusten tyypistä, sillä virasto voi tarjota enimmäkseen vain määräaikaisia työsopimuksia, sekä ENISAn sijaintiin liittyvästä verrattain vähäisestä houkuttelevuudesta, johtuen esimerkiksi puolisoiden kohtaamista vaikeuksista löytää töitä. Sijainti sekä Ateenassa että Iráklionissa edellytti lisätoimia viraston toiminnan koordinoimiseksi ja aiheutti lisäkustannuksia, mutta ydintoimintaosaston siirtyminen Ateenaan vuonna 2013 on lisännyt viraston toiminnallista tehokkuutta. ·Johdonmukaisuus: Vaikka ENISAn toimet ovat yleisesti olleet johdonmukaisia suhteessa sen sidosryhmien politiikkaan ja toimintaan kansallisella ja EU:n tasolla, kyberturvallisuuteen on tarpeen omaksua koordinoidumpi lähestymistapa EU:n tasolla. Potentiaalia ENISAn ja muiden EU:n elinten väliseen yhteistyöhön ei ole hyödynnetty täysimääräisesti. EU:n oikeudellisen ja poliittisen toimintaympäristön kehittymisen vuoksi nykyinen toimeksianto ei ole yhtä johdonmukainen suhteessa siihen. ·EU:n tason lisäarvo: Viraston lisäarvo syntyy pääasiassa viraston mahdollisuuksista tehostaa yhteistyötä – pääasiallisesti jäsenvaltioiden välillä mutta myös verkko- ja tietoturva-alan yhteisöjen kanssa. Mikään muu toimija EU:n tasolla ei tue vastaavan sidosryhmäkirjon yhteistyötä verkko- ja tietoturva-alalla. Viraston tuoma lisäarvo vaihteli eri sidosryhmien erilaisten tarpeiden ja resurssien mukaan (esim. suuret v. pienet jäsenvaltiot tai jäsenvaltiot v. toimiala) ja riippuen viraston tarpeesta priorisoida toimiaan työohjelman mukaisesti. Arvioinnissa todettiin, että mahdollinen ENISAn lakkauttaminen olisi menetetty mahdollisuus kaikille jäsenvaltioille. Vastaavanlaajuista yhteisöjen rakentamista ja yhteistyötä ei voitaisi varmistaa pelkästään jäsenvaltioiden välillä kyberturvallisuuden alalla. Ilman keskitettyä EU:n virastoa tilanne olisi nykyistä hajanaisempi, kun ENISAn jälkeensä jättämä tyhjiö korvautuisi kahdenvälisellä tai alueellisella yhteistyöllä. ENISAn aikaisempia suorituksia ja tulevaisuutta tarkastellen tärkeimmät vuoden 2017 sidosryhmäkuulemisessa esille tulleet trendit ovat seuraavat: ·Vastaajien enemmistö (74 %) antoi myönteisen arvion ENISAn yleisestä suorituskyvystä vuosina 2013–2016. Enemmistö vastaajista katsoi ENISAn myös saavuttavan eri tavoitteensa (vähintään 63 % kunkin tavoitteen osalta). ENISAn palveluja ja tuotteita käyttää säännöllisesti (kuukausittain tai sitä useammin) lähes puolet vastaajista (46 %). Niitä pidetään arvossa, koska ne tulevat EU:n tason elimeltä (83 %) ja ovat laadukkaita (62 %). ·Vastaajat määrittelivät useita toimintatarpeita ja haasteita kyberturvallisuuden tulevaisuudelle EU:ssa. Viisi tärkeintä (yhteensä 16:sta) olivat: yhteistyö jäsenvaltioiden välillä, valmiudet ehkäistä, havaita ja ratkaista laajamittaisia kyberhyökkäyksiä, jäsenvaltioiden välinen yhteistyö kyberturvallisuuteen liittyvissä kysymyksissä, yhteistyö ja tietojenvaihto eri sidosryhmien välillä, mukaan lukien julkisen ja yksityisen sektorin yhteistyö, sekä kriittisen infrastruktuurin suojaaminen kyberhyökkäyksiltä. ·Suuri enemmistö (88 %) vastaajista piti nykyisiä EU:n tasolla käytettävissä olevia välineitä ja mekanismeja riittämättöminä tai vain osittain soveltuvina vastaamaan kyberturvallisuuden nykyisiin haasteisiin. Samoin suuri enemmistö vastaajista (98 %) katsoi, että jonkin EU:n elimen olisi vastattava näihin tarpeisiin, ja näistä elimistä ENISAa piti oikeana organisaationa 99 prosenttia vastaajista. Sidosryhmien kuuleminen ·Komissio järjesti julkisen kuulemisen ENISA-asetuksen tarkistamisesta 12. huhtikuuta – 5. heinäkuuta 2016 ja sai 421 vastausta. Tulosten mukaan 67,5 prosenttia vastaajista katsoi, että ENISAlla voisi olla rooli luotaessa yhdenmukaistettuja puitteita tietotekniikkatuotteiden ja -palvelujen turvallisuussertifioinnille.

Vuonna 2016 järjestetyn kuulemisen tulokset kyberturvallisuutta koskevasta julkisen ja yksityisen sektorin sopimusperusteisesta kumppanuudesta osoittavat, että ·50,4 % vastaajista (121 yhteensä 240:stä) ei tiedä, ovatko kansalliset sertifiointijärjestelmät vastavuoroisesti tunnustettuja EU:n jäsenvaltioissa. 25,8 % (62 yhteensä 240:stä) vastasi ”ei” ja 23,8 % (57 yhteensä 240:stä) ”kyllä”. ·37,9 % vastaajista (91 yhteensä 240:stä) on sitä mieltä, että nykyiset sertifiointijärjestelmät eivät tue Euroopan teollisuuden tarpeita. Toisaalta 17,5 % (42 yhteensä 240:stä) – pääasiallisesti oli kyse Euroopan markkinoilla toimivista maailmanlaajuisista yrityksistä – oli päinvastaisella kannalla. ·49,6 % vastanneista (119 yhteensä 240:stä) sanoo, ettei ole helppoa osoittaa vastaavuutta standardien, sertifiointijärjestelmien ja merkintöjen välillä. 37,9 % (91 yhteensä 240:stä) vastasi ”en tiedä” ja vain 12,5 % (30 yhteensä 240:stä) ”kyllä”. Asiantuntijatiedon käyttö Komissio on nojautunut seuraavaan ulkopuoliseen asiantuntija-apuun: ·Tutkimus ENISAn arvioinnista (Study on the Evaluation of ENISA, Ramboll/Carsa 2017; SMART no. 2016/0077), ·Tutkimus tieto- ja viestintätekniikan turvallisuussertifioinnista ja merkinnöistä – näytön kerääminen ja vaikutusten arviointi (Study on ICT Security Certification and Labelling – Evidence gathering and impact assessment, PriceWaterhouseCoopers 2017; SMART no. 2016/0029). Vaikutusten arviointi ·Käsillä olevaa aloitetta koskevassa vaikutustenarviointiraportissa todettiin seuraavat keskeiset ongelmakohdat: ·kyberturvallisuuspolitiikan ja -lähestymistapojen hajanaisuus jäsenvaltioissa, ·hajanaiset resurssit ja yhtenäisen linjan puute kyberturvallisuuslähestymistavoissa EU:n toimielimissä, virastoissa ja elimissä ja ·riittämätön tietoisuus ja tiedotus kansalaisten ja yritysten keskuudessa yhdistettynä yhä useampien erillisten kansallisten ja alakohtaisten sertifiointijärjestelmien käyttöönottoon. ENISAn toimeksiannon osalta raportissa arvioitiin seuraavia mahdollisia vaihtoehtoja: ·nykytilanteen säilyttäminen eli jatkokausi, joka olisi edelleen määräaikainen (perusskenaario), ·ENISAn nykyisen toimikauden päättyminen ilman jatkokautta ja ENISAn lakkauttaminen (ei poliittisia toimia), ·”uudistettu ENISA” ja ·EU:n kyberturvallisuusvirasto, jolla on täydet operatiiviset valmiudet.

Kyberturvallisuussertifiointiin liittyen raportissa arvioitiin seuraavia mahdollisia vaihtoehtoja: ·ei poliittisia toimia (perusskenaario), ·muut kuin lainsäädäntötoimet (ei-sitovat toimenpiteet), ·unionin säädös, jolla luodaan kaikille jäsenvaltioille pakollinen järjestelmä SOGIS-järjestelmän pohjalta, ja ·yleinen EU:n kehys tieto- ja viestintätekniikan kyberturvallisuussertifioinnille. Analyysin perusteella voitiin päätellä, että parhaana pidetty vaihtoehto on ”uudistettu ENISA”, johon liittyy yleinen EU:n kehys tieto- ja viestintäteknologian kyberturvallisuussertifioinnille. Parhaaksi katsottu vaihtoehto on arvioitu toimintatavaksi, jolla avulla EU voi tuloksekkaimmin saavuttaa asetetut tavoitteet eli lisätä kyberturvallisuusvalmiuksia, varautumista, yhteistyötä, tietoisuutta ja avoimuutta ja estää markkinoiden pirstaloitumisen. Sen on myös arvioitu johdonmukaisimmin soveltuvan EU:n kyberturvallisuusstrategian ja siihen liittyvän toimintapolitiikan (esim. verkko- ja tietoturvadirektiivin) sekä digitaalisten sisämarkkinoiden strategian poliittisiin painopisteisiin. Lisäksi kuulemisessa kävi ilmi, että tämä parhaaksi arvioitu vaihtoehto saa sidosryhmien enemmistön kannatuksen. Vaikutustenarvioinnissa tehty analyysi osoitti, että parhaaksi arvioidulla vaihtoehdolla tavoitteet saavutettaisiin kohtuullisin resurssein. Komission sääntelyntarkastelulautakunta antoi ensin kielteisen lausunnon 24. heinäkuuta ja arvioinnin uudelleentoimituksen jälkeen myönteisen lausunnon 25. elokuuta 2017. Tarkistettu vaikutustenarviointiraportti sisälsi lisänäyttöä, ENISAn arvioinnin lopulliset päätelmät ja lisäselvityksiä toimintavaihtoehdoista ja niiden vaikutuksista. Vaikutustenarviointiraportin liitteessä 1 esitetään tiivistetysti, miten sääntelyntarkastelulautakunnan toisessa lausunnossa tekemät huomautukset on otettu huomioon. Raporttia päivitettiin esittämällä yksityiskohtaisemmin EU:n kyberturvallisuuden toimintaympäristö, myös toimenpiteet, jotka sisältyvät yhteiseen tiedonantoon ”Resilienssi, pelote ja puolustus: vahvan kyberturvallisuuden rakentaminen EU:lle”, (JOIN(2017) 450) ja joilla on erityinen merkitys ENISAn kannalta: EU:n kyberturvallisuussuunnitelma ja Euroopan kyberturvallisuuden tutkimus- ja osaamiskeskus, johon virasto ohjaisi neuvontansa EU:n tutkimustarpeista. Raportissa selitetään, miten viraston uudistus, mukaan lukien uudet tehtävät, paremmat työehdot ja EU:n elinten kanssa tehtävä rakenteellinen yhteistyö tällä alalla, lisäsivät sen houkuttelevuutta työnantajana ja auttaisivat ratkaisemaan asiantuntijoiden rekrytointiin liittyviä ongelmia. Raportin liitteessä 6 esitetään myös tarkistettu arvio ENISAn toimintavaihtoehtoihin liittyvistä kustannuksista. Sertifiointiaihepiirin osalta raporttia on tarkistettu antamalla yksityiskohtaisempi selvitys parhaaksi arvioidusta vaihtoehdosta, myös graafisen esityksen avulla, ja arviot kustannuksista, joita jäsenvaltioille ja komissiolle aiheutuu uudesta sertifiointikehyksestä. Perusteita sille, että ENISA on valittu sertifiointikehyksen keskeiseksi toimijaksi, on selitetty tarkemmin vedoten sen asiantuntemukseen alalla ja siihen, että se on ainoa kyberturvallisuuden alalla toimiva EU-tason virasto. Sertifiointia käsitteleviä osioita myös tarkistettiin selventämällä näkökohtia koskien eroja verrattuna nykyiseen SOGIS-järjestelmään ja eri toimintavaihtoehtojen hyötyjä sekä selittämällä, että eurooppalaisen sertifiointijärjestelmän piiriin kuuluvan tieto- ja viestintätekniikan tuotteen ja palvelun tyyppi määritellään hyväksytyssä järjestelmässä itsessään. Sääntelyn tila ja yksinkertaistaminen Ei sovelleta Vaikutus perusoikeuksiin Kyberturvallisuudella on keskeinen merkitys yksilöiden yksityisyyden ja henkilötietojen suojelemisessa EU:n perusoikeuskirjan 7 ja 8 artiklan mukaisesti. Kyberturvallisuuspoikkeamat kohdistavat selvän uhan yksityisyyteen ja henkilötietojen suojaukseen. Kyberturvallisuus on näin ollen välttämätön edellytys yksityisyyden suojalle ja henkilötietojen luottamuksellisuudelle. Tältä kannalta ehdotus, jonka tavoitteena on tehostaa kyberturvallisuutta Euroopassa, täydentää tärkeällä tavalla nykyistä lainsäädäntöä, jolla suojataan perusoikeutta yksityisyyteen ja henkilötietojen suojaan. Kyberturvallisuus on myös edellytys sähköisen viestinnän luottamuksellisuuden suojaamiselle ja näin ollen sananvapauden ja tiedonvälityksen vapauden sekä niihin liittyvien oikeuksien, kuten ajatuksen, omantunnon ja uskonnon vapauden, käyttämiselle. 4.TALOUSARVIOVAIKUTUKSET Ks. rahoitusselvitys 5.LISÄTIEDOT •Täytäntöönpanosuunnitelmat sekä seuranta-, arviointi- ja raportointijärjestelyt Komissio seuraa asetuksen soveltamista ja antaa arvioinnistaan kertomuksen Euroopan parlamentille, neuvostolle ja Euroopan talous- ja sosiaalikomitealle joka viides vuosi. Nämä tämän asetuksen käytännön soveltamista ja täytäntöönpanoa tarkastelevat kertomukset ovat julkisia.

•Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset Asetuksen I osasto sisältää yleiset säännökset asetuksen kohteesta (1 artikla) sekä määritelmät (2 artikla). Jälkimmäinen sisältää myös viittaukset muiden EU:n säädösten sovellettaviin määritelmiin. Näitä säädöksiä ovat Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148 toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (verkko- ja tietoturvadirektiivi), Euroopan parlamentin ja neuvoston asetus (EY) N:o 765/2008 tuotteiden kaupan pitämiseen liittyvää akkreditointia ja markkinavalvontaa koskevista vaatimuksista ja asetuksen (ETY) N:o 339/93 kumoamisesta sekä Euroopan parlamentin ja neuvoston asetus (EU) N:o 1025/2012 eurooppalaisesta standardoinnista. Asetuksen II osasto sisältää keskeiset EU:n kyberturvallisuusvirastoon ENISAan liittyvät säännökset. Kyseisen osaston I luvussa esitetään viraston toimeksianto (3 artikla), tavoitteet (4 artikla) ja tehtävät (5–11 artikla). Luvussa II esitetään ENISAn organisaatio ja keskeiset säännökset sen rakenteesta (12 artikla). Siinä säädetään johtokunnan koostumuksesta, äänestyssäännöistä ja tehtävistä (1 jakso, 13–17 artikla), hallituksesta (2 jakso, 18 artikla) ja pääjohtajasta (3 jakso, 19 artikla). Se sisältää myös säännökset pysyvän sidosryhmän kokoonpanosta ja roolista (4 jakso, 20 artikla). Kyseisen luvun 5 jaksossa määritellään lisäksi viraston toimintaa koskevat säännöt, mukaan lukien ohjelmasuunnittelu, eturistiriidat, avoimuus, luottamuksellisuus ja oikeus tutustua asiakirjoihin (21–25 artikla). Luvussa III säädetään viraston talousarvion laatimisesta ja rakenteesta (26 ja 27 artikla) sekä sen täytäntöönpanoa ohjaavista säännöistä (28 ja 29 artikla). Se sisältää myös säännökset, joilla helpotetaan petosten, korruption ja muun laittoman toiminnan torjuntaa (30 artikla). Luku IV koskee viraston henkilöstöä. Se sisältää yleiset säännökset henkilöstösäännöistä ja henkilöstöön sovellettavista palvelussuhteen ehdoista sekä erioikeuksista ja vapauksista (31 ja 32 artikla). Siinä säädetään myös viraston pääjohtajan valinnasta ja nimittämisestä (33 artikla). Lisäksi se sisältää säännökset, joiden mukaisesti virasto voi käyttää kansallisia asiantuntijoita ja muuta sellaisen henkilöstöä, joka ei ole viraston palveluksessa (34 artikla). Luku V sisältää virastoa koskevat yleiset säännökset. Siinä esitetään oikeudellinen asema (35 artikla), säännökset vastuusta, kielijärjestelyistä ja henkilötietojen suojasta (36–38 artikla) sekä turvallisuusluokiteltujen tietojen ja arkaluonteisten turvallisuusluokittelemattomien tietojen suojelemista koskevat turvallisuussäännökset (40 artikla). Se sisältää myös säännöt viraston yhteistyöstä kolmansien maiden ja kansainvälisten organisaatioiden kanssa (39 artikla) sekä toimipaikasta, toimintaolosuhteista ja oikeusasiamiehen vastuulle kuuluvasta hallinnollisesta valvonnasta (41 ja 42 artikla). Asetuksen III osastossa vahvistetaan eurooppalainen kehys tieto- ja viestintätekniikan tuotteiden ja palvelujen kyberturvallisuussertifioinnille (”sertifiointikehys”) nojautuen lex generalis -periaatteeseen (1 artikla). Siinä määritellään eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien yleinen tavoite varmistaa, että tieto- ja viestintätekniikan tuotteet ja palvelut täyttävät määritellyt kyberturvallisuusvaatimukset kykenemällä suojautumaan tietyllä varmuustasolla toimilta, jotka vaarantavat tallennettujen, siirrettyjen tai käsiteltyjen tietojen saatavuuden, aitouden, eheyden tai luottamuksellisuuden tai tähän liittyvät toiminnot tai palvelut (43 artikla). Lisäksi siinä luetellaan turvallisuustavoitteet, joihin eurooppalaisilla kyberturvallisuuden sertifiointijärjestelmillä pyritään (45 artikla), kuten valmius suojella tietoja tahattomalta tai luvattomalta käytöltä tai luovuttamiselta, tuhoamiselta tai muuttamiselta, sekä määritetään eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien sisältö (osatekijät), kuten yksityiskohtainen eritelmä niiden soveltamisalasta, turvallisuustavoitteista, arviointikriteereistä jne. (47 artikla). Asetuksen III osastossa määritellään myös eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tärkeimmät oikeudelliset vaikutukset eli i) velvollisuus panna järjestelmä täytäntöön kansallisella tasolla ja sertifioinnin vapaaehtoinen luonne sekä ii) eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien oikeusvaikutus, joka tekee kansalliset järjestelmät pätemättömiksi samojen tuotteiden tai palvelujen osalta (48 ja 49 artikla). Kyseisessä osastossa vahvistetaan menettely eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien hyväksymiselle sekä tehtävänjako komission, ENISAn ja Euroopan kyberturvallisuuden sertifiointiryhmän välillä (44 artikla). Lisäksi siinä annetaan säännökset vaatimustenmukaisuuden arviointilaitoksista, mukaan lukien niiden vaatimukset, valtuudet ja tehtävät, kansallisista sertifioinnin valvontaviranomaisista sekä seuraamuksista. Myös Euroopan kyberturvallisuuden sertifiointiryhmä perustetaan tämän osaston säännöksillä keskeisenä elimenä, joka koostuu kansallisten sertifioinnin valvontaviranomaisten edustajista ja jonka pääasiallisena tehtävänä on työskennellä yhdessä ENISAn kanssa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien valmistelemiseksi ja antaa komissiolle neuvoja kyberturvallisuussertifioinnin toimintapolitiikkaan liittyvissä yleisissä tai erityisissä kysymyksissä. Asetuksen IV osasto sisältää loppusäännökset siirretyn säädösvallan käyttämisestä, arviointivaatimuksista, kumoamisesta, seuraannosta ja voimaantulosta.



2017/0225 (COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS EU:n kyberturvallisuusvirastosta ENISAsta ja asetuksen (EU) 526/2013 kumoamisesta sekä tieto- ja viestintätekniikan kyberturvallisuussertifioinnista (”kyberturvallisuusasetus”) (ETA:n kannalta merkityksellinen teksti) EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka

ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon, ottavat huomioon alueiden komitean lausunnon, noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: (1)Verkko- ja tietojärjestelmillä ja televiestintäverkoilla ja -palveluilla on yhteiskunnassa elintärkeä rooli, ja niistä on tullut talouskasvun selkäranka. Tieto- ja viestintätekniikka luo pohjaa monimutkaisille järjestelmille, jotka tukevat yhteiskunnan toimintoja, pitävät talouden pyörät pyörimässä keskeisillä aloilla, kuten terveydenhuollossa, energia-alalla, rahoitusalalla ja liikenteessä, ja erityisesti tukevat sisämarkkinoiden toimintaa (2)Verkko- ja tietojärjestelmien käyttö on nykyisin laajalla levinnyttä kansalaisten, yritysten ja julkishallinnon piirissä kaikkialla unionissa. Digitoinnista ja verkkoyhteyksistä on tulossa keskeisiä ominaisuuksia yhä useammissa tuotteissa ja palveluissa, ja esineiden internetin myötä EU:ssa ennakoidaan otettavan käyttöön miljoonia, ellei miljardeja, verkkoon kytkettyjä digitaalisia laitteita seuraavan vuosikymmenen aikana. Yhä useammat laitteet liitetään internetiin huolehtimatta samalla siitä, että turvallisuus ja resilienssi ovat riittävällä tavalla sisäänrakennettuja, mikä johtaa puutteisiin kyberturvallisuudessa. Sertifioinnin vähäinen käyttö johtaa tässä yhteydessä siihen, että organisaatiot ja yksittäiset käyttäjät eivät saa riittävästi tietoa tieto- ja viestintätekniikan tuotteiden ja palvelujen kyberturvallisuusominaisuuksista, mikä heikentää luottamusta digitaalisiin ratkaisuihin. (3)Digitalisoinnin ja verkkoyhteyksien yleistyminen lisää kyberturvallisuuteen liittyviä riskejä, jolloin koko yhteiskunta on haavoittuvampi kyberuhkille, ja pahentaa yksilöihin, myös heikommassa asemassa oleviin henkilöihin, kuten lapsiin, kohdistuvia vaaroja. Tämän yhteiskuntaan kohdistuvan riskin lieventämiseksi kyberturvallisuutta on tarpeen parantaa EU:ssa kaikin tarvittavin toimenpitein, jotta kansalaisten, hallintojen ja yritysten – pk-yrityksistä elintärkeiden infrastruktuureiden ylläpitäjiin – käyttämät verkko- ja tietojärjestelmät, televiestintäverkot, digitaaliset tuotteet, palvelut ja laitteet voidaan suojata paremmin kyberuhilta. (4)Kyberhyökkäyksiä tapahtuu yhä enemmän, ja verkottunut talous ja yhteiskunta, jotka ovat alttiimpia kyberuhille ja -hyökkäyksille, edellyttävät vahvempaa puolustusvalmiutta. Vaikka kyberhyökkäykset ovat usein rajatylittäviä, kyberturvallisuusviranomaisten poliittiset vastatoimet ja lainvalvontavaltuudet ovat enimmäkseen kansallisia. Laajamittaiset kyberturvallisuuspoikkeamat voivat häiritä keskeisten palvelujen tarjoamista koko EU:ssa. Tämä edellyttää tehokasta EU-tason reagointia ja kriisinhallintaa, jossa nojaudutaan kohdennettuihin politiikkoihin ja laaja-alaisempiin eurooppalaisen yhteisvastuun ja keskinäisen avunannon välineisiin. Politiikan laatijoille, toimialalle ja käyttäjille on tärkeää, että kyberturvallisuuden ja resilienssin tilaa unionissa arvioidaan säännöllisesti luotettavan unionin tiedon pohjalta ja että laaditaan järjestelmällisesti ennusteita tulevista kehityskuluista, haasteista ja uhkista sekä unionin tasolla että maailmanlaajuisesti. (5)Unioniin kohdistuvien kyberturvallisuushaasteiden lisääntymisen vuoksi tarvitaan kattava joukko toimenpiteitä, jotka pohjautuvat aiempaan unionin toimintaan ja edistävät toisiaan vahvistavia tavoitteita. Tähän sisältyy tarve lisätä jäsenvaltioiden ja yritysten valmiuksia ja varautumiskykyä sekä parantaa yhteistyötä ja koordinointia jäsenvaltioiden ja EU:n toimielinten, virastojen ja elinten välillä. Koska kyberuhkat ovat luonteeltaan rajattomia, on myös tarpeen lisätä valmiuksia unionin tasolla jäsenvaltioiden toimien täydentämiseksi erityisesti laajamittaisten rajatylittävien kyberturvallisuuspoikkeamien ja -kriisien tapauksessa. Tarvitaan myös lisätoimia kansalaisten ja yritysten tietoisuuden lisäämiseksi kyberturvallisuuteen liittyvistä kysymyksistä. Lisäksi digitaalisiin sisämarkkinoihin tunnettua luottamusta olisi edelleen parannettava tarjoamalla avointa tietoa tieto- ja viestintätekniikan tuotteiden ja palvelujen turvallisuustasosta. Tätä voidaan helpottaa EU:n laajuisella sertifioinnilla, joka tuo käyttöön yhteiset kyberturvallisuusvaatimukset ja arviointiperusteet kansallisille markkinoille ja sektoreille. (6)Euroopan parlamentti ja neuvosto antoivat vuonna 2004 ENISAn perustamisesta asetuksen (EY) N:o 460/2004, jolla pyrittiin osaltaan varmistamaan korkeatasoinen verkko- ja tietoturva unionissa ja luomaan verkko- ja tietoturvakulttuuri, josta on hyötyä kansalaisille, kuluttajille, yrityksille ja julkishallinnoille. Vuonna 2008 Euroopan parlamentti ja neuvosto antoivat asetuksen (EY) N:o 1007/2008, jolla viraston toimikautta jatkettiin maaliskuuhun 2012. Asetuksella (EY) N:o 580/2011 viraston toimikautta jatkettiin edelleen 13 päivään syyskuuta 2013. Vuonna 2013 Euroopan parlamentti ja neuvosto antoivat ENISAsta ja asetuksen (EY) N:o 460/2004 kumoamisesta asetuksen (EU) N:o 526/2013, jolla viraston toimikautta jatkettiin kesäkuuhun 2020 saakka. (7)Unioni on jo toteuttanut merkittäviä toimia kyberturvallisuuden varmistamiseksi ja luottamuksen lisäämiseksi digitaaliteknologioihin. Vuonna 2013 hyväksyttiin EU:n kyberturvallisuusstrategia ohjaamaan unionin poliittisia vastatoimia kyberturvallisuusuhkiin ja -riskeihin. Tarjotakseen eurooppalaisille paremman suojan verkkoympäristössä unioni hyväksyi vuonna 2016 ensimmäisenä kyberturvallisuusalan säädöksenä direktiivin (EU) 2016/1148 toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa, jäljempänä ’verkko- ja tietoturvadirektiivi’. Verkko- ja tietoturvadirektiivillä otettiin käyttöön vaatimukset kansallisista valmiuksista kyberturvallisuuden alalla, ensimmäiset mekanismit jäsenvaltioiden strategisen ja operatiivisen yhteistyön tehostamiseksi sekä velvoitteet toteuttaa turvallisuustoimenpiteitä ja tehdä ilmoitukset poikkeamista talouden ja yhteiskunnan kannalta olennaisilla aloilla, kuten energia, liikenne, vesihuolto, pankkitoiminta, rahoitusmarkkinoiden infrastruktuurit, terveydenhuolto ja digitaalinen infrastruktuuri sekä keskeisten digitaalisten palvelujen (hakukoneet, pilvipalvelut ja verkossa toimivat markkinapaikat) tarjoajat. ENISAlle annettiin keskeinen rooli tukea direktiivin täytäntöönpanoa. Lisäksi kyberrikollisuuden tehokas torjunta on tärkeä prioriteetti Euroopan turvallisuusagendassa, joka tältä osin edistää yleistä tavoitetta saavuttaa kyberturvallisuuden korkea taso. (8)Yleisesti tunnustetaan, että sen jälkeen, kun EU:n kyberturvallisuusstrategia hyväksyttiin vuonna 2013 ja viraston toimeksiantoa viimeksi tarkistettiin, yleinen poliittinen tilanne on muuttunut merkittävästi, myös epävarmemman ja vähemmän turvatun globaalin toimintaympäristön vuoksi. Tässä yhteydessä ja osana uutta unionin kyberturvallisuuspolitiikkaa on tarpeen tarkistaa ENISAn toimeksiantoa, jotta voidaan määritellä sen rooli muuttuneessa kyberturvallisuuden toimintaympäristössä ja varmistaa, että se auttaa tehokkaasti unionia vastaamaan tästä perusteellisesti muuttuneesta uhkaympäristöstä johtuviin kyberturvallisuushaasteisiin. Kuten viraston arvioinnissa todetaan, sen nykyinen toimeksianto ei ole riittävä näiden haasteiden kannalta. (9)Tällä asetuksella perustettavan viraston olisi jatkettava asetuksella (EY) N:o 526/2013 perustetun ENISAn toimintaa. Viraston olisi hoidettava tehtäviä, jotka sille annetaan tässä asetuksessa ja unionin säädöksissä kyberturvallisuuden alalla, muun muassa tarjoamalla asiantuntemusta ja neuvontaa ja toimimalla unionin tietokeskuksena. Sen olisi edistettävä parhaiden käytäntöjen vaihtoa jäsenvaltioiden ja yksityisten sidosryhmien välillä antamalla toimintapoliittisia ehdotuksia Euroopan komissiolle ja jäsenvaltioille, toimimalla viitetahona unionin alakohtaisille toimintapoliittisille aloitteille kyberturvallisuuskysymyksissä ja edistämällä operatiivista yhteistyötä jäsenvaltioiden välillä sekä jäsenvaltioiden ja EU:n toimielinten, virastojen ja elinten välillä. (10)Eurooppa-neuvoston kokouksessa 13 päivänä joulukuuta 2003 hyväksytyllä päätöksellä 2004/97/EY, Euratom, jäsenvaltioiden edustajat päättivät, että ENISAn kotipaikaksi tulee Kreikan hallituksen myöhemmin nimeämä kaupunki Kreikassa. Viraston isäntäjäsenvaltion olisi huolehdittava siitä, että virastolla on parhaat mahdolliset toimintaedellytykset. Viraston tehtävien moitteettoman ja tehokkaan suorittamisen, henkilöstön palvelukseenoton ja sitouttamisen sekä verkostoitumisen tehokkuuden kannalta on ehdottoman tärkeää, että virasto sijaitsee soveltuvassa paikassa, jossa on muun muassa toimivat liikenneyhteydet ja palveluja viraston henkilöstön mukana tuleville puolisoille ja lapsille. Tarvittavat järjestelyt olisi vahvistettava viraston ja isäntäjäsenvaltion välisessä sopimuksessa, joka tehdään sen jälkeen kun viraston johtokunta on antanut hyväksyntänsä. (11)Unioniin kohdistuvien kyberturvallisuushaasteiden lisääntyessä viraston määrärahoja ja henkilöresursseja olisi lisättävä siten, että ne vastaavat sen uutta roolia ja tehtäviä sekä sen keskeistä asemaa eurooppalaista digitaalista toimintaympäristöä puolustavassa organisaatioiden ekosysteemissä. (12)Viraston olisi kehitettävä ja ylläpidettävä korkealaatuista asiantuntemusta ja toimittava viitetahona, joka vahvistaa uskoa ja luottamusta sisämarkkinoihin riippumattomuutensa, antamansa neuvonnan ja levittämänsä tiedon laadun, menettelyjensä ja toimintatapojensa avoimuuden sekä tehtäviensä suorittamisessa osoittamansa huolellisuuden ansiosta. Viraston olisi aktiivisesti edistettävä kansallisia ja unionin toimia ja suoritettava tehtävänsä täydessä yhteistyössä unionin toimielinten, elinten, laitosten ja virastojen sekä jäsenvaltioiden kanssa. Lisäksi viraston olisi hyödynnettävä yksityisen sektorin ja muiden asiaankuuluvien sidosryhmien näkemyksiä ja niiden kanssa tehtävää yhteistyötä. Viraston tehtävänannossa olisi vahvistettava, miten viraston on määrä saavuttaa tavoitteensa niin, että se pystyy toimimaan joustavasti. (13)Viraston olisi avustettava komissiota antamalla neuvoja, lausuntoja ja analyysejä kaikista unionin asioista, jotka liittyvät kyberturvallisuusalan toimintapolitiikan ja lainsäädännön kehittämiseen, päivittämiseen ja uudelleentarkasteluun, mukaan lukien kriittisen infrastruktuurin suojaaminen ja kyberresilienssi. Viraston olisi toimittava neuvonnan ja asiantuntemuksen viitetahona unionin alakohtaisille toimintapoliittisille ja lainsäädännöllisille aloitteille, kun niihin liittyy kyberturvallisuuskysymyksiä.

(14)Viraston lähtökohtaisena tehtävänä on edistää asianomaisen lainsäädännön johdonmukaista täytäntöönpanoa ja erityisesti verkko- ja tietoturvadirektiivin tehokasta täytäntöönpanoa, millä on olennainen merkitys kyberresilienssin lisäämisen kannalta. Koska kyberuhkaympäristö muuttuu nopeasti, on selvää, että jäsenvaltioita on tuettava omaksumalla kokonaisvaltaisempi, monialainen lähestymistapa kyberresilienssin rakentamiseen. (15)Viraston olisi avustettava jäsenvaltioita sekä unionin toimielimiä, elimiä, laitoksia ja virastoja niiden pyrkimyksissä kehittää ja parantaa valmiuksia ja varautumiskykyä ehkäistä ja havaita kyberturvallisuusongelmia ja -poikkeamia ja reagoida niihin verkko- ja tietojärjestelmien turvallisuuden kannalta. Viraston olisi erityisesti tuettava kansallisten CSIRT-toimijoiden kehittämistä ja tehostamista, jotta niiden kypsyys olisi yhteisellä korkealla tasolla unionissa. Viraston olisi myös autettava kehittämään ja päivittämään unionin ja jäsenvaltioiden strategioita, jotka koskevat verkko- ja tietojärjestelmien turvallisuutta, erityisesti kyberturvallisuutta, sekä edistettävä niiden levittämistä ja seurattava niiden täytäntöönpanon edistymistä. Viraston olisi myös tarjottava koulutusta ja koulutusmateriaalia julkisille elimille ja tarvittaessa ”koulutettava kouluttajia”, jotta voidaan auttaa jäsenvaltioita kehittämään omia koulutusvalmiuksia. (16) Viraston olisi avustettava verkko- ja tietoturvadirektiivillä perustettua yhteistyöryhmää sen tehtävien suorittamisessa erityisesti tarjoamalla asiantuntemusta ja neuvontaa sekä helpotettava parhaiden käytäntöjen vaihtoa muun muassa keskeisten palvelujen tarjoajien yksilöimisestä, myös rajat ylittävien riippuvuussuhteiden osalta, siltä osin kuin kyse on riskeistä ja poikkeamista. (17)Pyrkien edistämään julkisen ja yksityisen sektorin välistä ja yksityisen sektorin sisäistä yhteistyötä, erityisesti kriittisten infrastruktuurien suojelun tukemiseksi, viraston olisi helpotettava tietojen jakamisen ja analysoinnin alakohtaisten keskusten (ISAC) perustamista tarjoamalla käyttöön parhaita käytäntöjä ja ohjeita käytettävissä olevista välineistä ja menettelyistä sekä ohjeita tietojen jakamiseen liittyvien sääntelykysymysten ratkaisemiseksi. (18)Viraston olisi koottava ja analysoitava CSIRT-toimijoilta ja CERT-EU:lta saatavat kansalliset raportit ja otettava käyttöön yhteiset säännöt, kieli ja terminologia tiedonvaihtoa varten. Viraston olisi myös otettava yksityinen sektori mukaan verkko- ja tietoturvadirektiivin kehykseen, jossa vahvistettiin perusta vapaaehtoiselle teknisten tietojen vaihdolle operatiivisella tasolla perustamalla CSIRT-verkosto. (19)Viraston olisi osallistuttava EU:n tason vastaukseen laajamittaisten rajatylittävien kyberturvallisuuspoikkeamien ja -kriisien tapauksessa. Tähän tehtävään olisi kuuluttava tarvittavan tiedon keruu ja toimiminen välittäjänä CSIRT-verkoston ja tekniikan alan toimijoiden sekä kriisinhallinnasta vastaavien päätöksentekijöiden välillä. Lisäksi virasto voisi tukea poikkeamien käsittelyä teknisestä näkökulmasta helpottamalla tarvittavien ratkaisujen teknistä vaihtoa jäsenvaltioiden välillä ja osallistumalla julkiseen viestintään. Viraston olisi tuettava tätä prosessia testaamalla tällaisen yhteistyön menettelyjä vuotuisissa kyberturvallisuusharjoituksissa. (20)Operatiivisten tehtäviensä hoitamiseksi viraston olisi hyödynnettävä saatavilla olevaa CERT-EU:n asiantuntemusta jäsennellyssä yhteistyössä, jossa osapuolet ovat fyysisesti lähellä toisiaan. Jäsennelty yhteistyö helpottaa luomaan tarvittavaa synergiaa ja kehittämään ENISAn asiantuntemusta. Tarvittaessa tällaisen yhteistyön käytännön toteutus olisi määriteltävä erityisin järjestelyin näiden kahden organisaation välillä. (21)Operatiivisten tehtäviensä mukaisesti viraston olisi voitava tarjota tukea jäsenvaltioille, esimerkiksi antamalla neuvoja tai teknistä apua tai varmistamalla analyysit uhkista ja poikkeamista. Komission suosituksessa koordinoidusta reagoinnista laajamittaisiin kyberturvallisuuspoikkeamiin ja -kriiseihin suositellaan, että jäsenvaltiot tekisivät yhteistyötä vilpittömässä mielessä ja vaihtaisivat keskenään ja ENISAn kanssa tietoja laajamittaisista kyberturvallisuuspoikkeamista ja -kriiseistä ilman aiheetonta viivytystä. Tällainen tieto auttaisi ENISAa sen operatiivisten tehtävien suorittamisessa. (22)Viraston olisi osana unionin tilannetietoisuutta tukevaa säännöllistä teknisen tason yhteistyötä laadittava poikkeamista ja uhkista säännöllisesti EU:n kyberturvallisuuden tekninen tilanneraportti, joka perustuu julkisesti saatavilla oleviin tietoihin, sen omaan analyysiin sekä raportteihin, joita se on saanut jäsenvaltioiden CSIRT-toimijoilta (vapaaehtoisuuden pohjalta) tai verkko- ja tietoturvadirektiivillä perustetuilta keskitetyiltä yhteyspisteiltä, Europolissa toimivalta Euroopan kyberrikostorjuntakeskukselta (EC3) ja CERT-EU:lta sekä tarvittaessa EU:n tiedusteluanalyysikeskukselta (INTCEN) ja Euroopan ulkosuhdehallinnolta (EUH). Raportti olisi asetettava neuvoston, komission ja unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan asianomaisten yksiköiden ja CSIRT-verkoston saataville. (23)Useampaan kuin yhteen jäsenvaltioon merkittävästi vaikuttaneista poikkeamista jälkikäteen tehtävät tekniset tutkinnat, joita virasto tukee tai jotka se suorittaa asianomaisten jäsenvaltioiden pyynnöstä tai suostumuksella, olisi kohdistettava poikkeamien välttämiseen jatkossa ja suoritettava rajoittamatta mahdollisia oikeudellisia tai hallinnollisia menettelyjä syyllisyyden tai vastuun osoittamiseksi. (24)Asianomaisten jäsenvaltioiden olisi annettava virastolle tarvittavat tiedot ja apu tutkintaa varten rajoittamatta Euroopan unionin toiminnasta tehdyn sopimuksen 346 artiklan soveltamista ja sulkematta pois muita yleiseen järjestykseen liittyviä syitä. (25)Jäsenvaltiot voivat pyytää yrityksiä, joita poikkeama koskee, tekemään yhteistyötä antamalla tarvittavan tiedon ja avun virastolle, sanotun kuitenkaan rajoittamatta niiden oikeutta suojata kaupallisesti arkaluonteiset tiedot. (26)Ymmärtääkseen paremmin kyberturvallisuuteen liittyviä haasteita ja tarjotakseen strategista pitkän aikavälin neuvontaa jäsenvaltioille ja unionin toimielimille viraston on tarpeen analysoida nykyisiä ja kehittymässä olevia riskejä. Tätä varten viraston olisi yhteistyössä jäsenvaltioiden ja tarvittaessa tilastokeskusten ja muiden elinten kanssa kerättävä tarvittavaa tietoa sekä tehtävä analyysejä uusista teknologioista ja aihekohtaisia arviointeja teknologisten innovaatioiden odotettavissa olevista yhteiskunnallisista, oikeudellisista, taloudellisista ja sääntelyyn liittyvistä vaikutuksista verkko- ja tietoturvallisuuden ja erityisesti kyberturvallisuuden kannalta. Viraston olisi myös tuettava jäsenvaltioita ja unionin toimielimiä, virastoja ja elimiä kyberturvallisuuteen liittyvien uusien kehityssuuntausten kartoittamisessa ja kyberturvallisuuteen liittyvien ongelmien ehkäisyssä tekemällä analyyseja uhkista ja poikkeamista. (27)Unionin resilienssin lisäämiseksi viraston olisi kehitettävä internetinfrastruktuurin ja elintärkeiden infrastruktuurien turvallisuuteen liittyvää huippuosaamista tarjoamalla neuvontaa, ohjeita ja parhaita käytäntöjä. Jotta kyberturvallisuusriskeistä ja mahdollisista suojakeinoista saataisiin tietoa helpommin ja paremmin jäsennellyssä muodossa, viraston olisi kehitettävä unionin ”tietokeskus” ja ylläpidettävä sitä. Kyseessä on keskitetty verkkoportaali, josta yleisö saa EU:n ja kansallisilta toimielimiltä, virastoilta ja laitoksilta peräisin olevaa tietoa kyberturvallisuudesta. (28)Viraston olisi autettava lisäämään yleisön tietoisuutta kyberturvallisuuteen liittyvistä riskeistä ja annettava yksittäisille käyttäjille ohjeita hyvistä toimintatavoista kansalaisten ja organisaatioiden käyttöön. Viraston pitäisi osaltaan edistää parhaita käytäntöjä ja ratkaisuja yksilöiden ja organisaatioiden tasolla keräämällä ja analysoimalla julkisesti saatavilla olevia tietoja merkittävistä poikkeamista ja kokoamalla raportteja ohjeistuksen antamiseksi yrityksille ja kansalaisille ja yleisen varautumis- ja resilienssitason parantamiseksi. Viraston olisi myös järjestettävä yhteistyössä jäsenvaltioiden sekä unionin toimielinten, elinten, virastojen ja laitosten kanssa säännöllisiä loppukäyttäjille suunnattuja tiedotus- ja valistuskampanjoita, joiden tarkoituksena on edistää turvallisempaa verkkokäyttäytymistä yksilötasolla ja lisätä tietoisuutta verkossa piilevistä mahdollisista uhkista, mukaan lukien verkkourkintayritysten, bottiverkkojen sekä talous- ja pankkipetosten kaltainen kyberrikollisuus, sekä edistää yleisluonteisen neuvonnan antamista aitouden todentamista ja tietosuojaa koskevissa kysymyksissä. Virastolla olisi oltava keskeinen rooli pyrittäessä lisäämään loppukäyttäjien tietoisuutta laitteiden turvallisuudesta. (29)Kyberturvallisuuden alalla toimivien yritysten ja kyberturvallisuusratkaisujen käyttäjien tukemiseksi viraston olisi kehitettävä ”markkinoiden seurantakeskus” ja ylläpidettävä sitä tekemällä säännöllisiä analyyseja kyberturvallisuusmarkkinoiden tärkeimmistä suuntauksista sekä kysyntä- että tarjontapuolella ja levittämällä tietoa näistä suuntauksista. (30)Varmistaakseen tavoitteidensa täysimittaisen saavuttamisen viraston olisi oltava yhteydessä asiaankuuluviin toimielimiin, virastoihin ja elimiin, mukaan lukien CERT-EU, Europolissa toimiva Euroopan kyberrikostorjuntakeskus (EC3), Euroopan puolustusvirasto (EDA), laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava eurooppalainen virasto (eu-LISA), Euroopan lentoturvallisuusvirasto (EASA) sekä muut kyberturvallisuuteen liittyviä kysymyksiä käsittelevät EU:n virastot. Sen olisi oltava yhteydessä myös tietosuoja-asioita käsitteleviin viranomaisiin, jotta voidaan vaihtaa tietotaitoa ja parhaita käytäntöjä ja antaa neuvontaa kyberturvallisuusnäkökohdista, joilla voi olla vaikutusta niiden toimintaan. Kansallisten ja unionin lainvalvonta- ja tietosuojaviranomaisten edustajien olisi voitava olla edustettuina viraston pysyvässä sidosryhmässä. Ollessaan yhteydessä lainvalvontaviranomaisiin sellaisissa verkko- ja tietoturvakysymyksissä, joilla voi olla vaikutusta niiden toimintaan, viraston olisi käytettävä olemassa olevia tiedonvaihtokanavia ja vakiintuneita verkostoja. (31)Viraston olisi CSIRT-verkoston sihteeristönä toimivana jäsenenä tuettava jäsenvaltioiden CSIRT-toimijoita ja CERT-EU:ta operatiivisessa yhteistyössä kaikkien asiaankuuluvien CSIRT-verkoston tehtävien lisäksi, sellaisina kuin ne määritellään verkko- ja tietoturvadirektiivissä. Viraston olisi lisäksi edistettävä ja tuettava yhteistyötä asianomaisten CSIRT-toimijoiden välillä tapauksissa, joissa CSIRT-toimijoiden hallinnoimiin tai suojaamiin verkkoihin tai infrastruktuureihin kohdistuu poikkeamia, hyökkäyksiä tai häiriöitä, jotka koskevat tai mahdollisesti koskevat vähintään kahta CERT-toimijaa, ottaen asianmukaisesti huomioon CSIRT-verkoston menettelyohjeet. (32)Jotta voidaan lisätä unionin varautumista kyberturvallisuuspoikkeamiin vastaamisessa, viraston olisi järjestettävä vuosittain kyberturvallisuusharjoituksia unionin tasolla sekä tuettava jäsenvaltioita ja EU:n toimielimiä, virastoja ja elimiä niiden pyynnöstä harjoitusten järjestämisessä. (33)Viraston olisi kehitettävä ja ylläpidettävä asiantuntemustaan kyberturvallisuussertifioinnissa, jotta voidaan tukea unionin politiikkaa tällä alalla. Viraston olisi edistettävä kyberturvallisuussertifioinnin käyttöä unionissa muun muassa osallistumalla kyberturvallisuuden sertifiointikehyksen perustamiseen ja ylläpitoon unionin tasolla, jotta voidaan lisätä avoimuutta tieto- ja viestintätekniikan tuotteiden ja palvelujen kyberturvallisuuden varmistuksessa ja tällä tavoin vahvistaa luottamusta digitaalisiin sisämarkkinoihin.

(34)Tehokkaan kyberturvallisuuspolitiikan olisi perustuttava kehittyneisiin riskinarviointimenetelmiin niin julkisella kuin yksityiselläkin sektorilla. Riskinarviointimenetelmiä käytetään eri tasoilla vailla yhteistä tehokasta soveltamiskäytäntöä. Riskinarvioinnin ja yhteentoimivien riskinhallintaratkaisujen parhaiden käytäntöjen edistäminen ja kehittäminen julkisen ja yksityisen sektorin organisaatioissa nostaa kyberturvallisuustasoa unionissa. Tätä varten viraston olisi tuettava sidosryhmien yhteistyötä unionin tasolla ja helpotettava niiden pyrkimyksiä laatia ja ottaa käyttöön eurooppalaisia ja kansainvälisiä standardeja riskinhallinnalle ja mitattavissa olevalle turvallisuudelle sähköisissä tuotteissa, järjestelmissä, verkoissa ja palveluissa, jotka yhdessä ohjelmistojen kanssa muodostavat verkko- ja tietojärjestelmät. (35)Viraston olisi kannustettava jäsenvaltioita ja palveluntarjoajia tiukentamaan yleisiä turvallisuusnormejaan, jotta kaikki internetin käyttäjät voivat toteuttaa tarvittavat toimenpiteet oman kyberturvallisuutensa varmistamiseksi. Erityisesti palveluntarjoajien ja tuotteiden valmistajien olisi poistettava tuotannosta tai kierrätettävä tuotteet ja palvelut, jotka eivät täytä kyberturvallisuusnormeja. ENISA voi yhteistyössä toimivaltaisten viranomaisten kanssa levittää tietoa sisämarkkinoilla tarjottavien tuotteiden ja palvelujen kyberturvallisuustasosta ja antaa varoituksia palveluntarjoajille ja valmistajille ja vaatia niitä parantamaan tuotteidensa ja palvelujensa turvallisuutta, mukaan lukien kyberturvallisuus. (36)Viraston olisi otettava täysimääräisesti huomioon meneillään olevat tutkimus-, kehittämis- ja teknologian arviointitoimet erityisesti unionin eri tutkimusaloitteissa antaakseen unionin toimielimille, elimille, virastoille ja laitoksille sekä tarvittaessa jäsenvaltioille pyynnöstä neuvoja verkko- ja tietoturva-alan tutkimustarpeista varsinkin kyberturvallisuuskysymyksissä. (37)Kyberturvallisuuteen liittyvät ongelmat ovat maailmanlaajuisia. Tarvitaan tiiviimpää kansainvälistä yhteistyötä turvallisuusstandardien parantamiseksi, mihin sisältyy myös yhteisten käyttäytymisnormien määrittely, sekä tiedonvaihtoa kansainvälisen yhteistoiminnan nopeuttamiseksi verkko- ja tietoturvakysymyksissä samoin kuin yhteistä maailmanlaajuista lähestymistapaa näihin kysymyksiin. Tätä varten viraston olisi tuettava unionin osallistumista kolmansien maiden ja kansainvälisten organisaatioiden kanssa harjoitettavaan yhteistyöhön ja tämän yhteistyön lisäämistä tarjoamalla käyttöön asianomaisten unionin toimielinten, elinten, virastojen ja laitosten mahdollisesti tarvitsemaa asiantuntemusta ja analysointivalmiuksia. (38)Viraston olisi voitava vastata tapauskohtaisiin neuvonta- ja avustamispyyntöihin, joita jäsenvaltiot ja EU:n toimielimet, virastot ja elimet esittävät ja jotka ovat viraston tavoitteiden mukaisia. (39)On tarpeen panna täytäntöön tiettyjä viraston hallintoa koskevia periaatteita, jotta voidaan noudattaa EU:n erillisvirastoja käsittelevässä toimielinten välisessä työryhmässä heinäkuussa 2012 hyväksyttyä yhteistä julkilausumaa ja yhteistä lähestymistapaa, joiden tarkoituksena on tehostaa virastojen toimintaa ja parantaa niiden tuloksellisuutta. Yhteisen julkilausuman ja yhteisen lähestymistavan tulisi näkyä asianmukaisella tavalla myös viraston työohjelmissa, viraston arvioinneissa ja viraston raportointi- ja hallintokäytännöissä. (40)Johtokunnan, jossa ovat edustettuna jäsenvaltiot ja komissio, olisi määriteltävä viraston toiminnan yleinen suunta ja varmistettava, että se hoitaa tehtäviään tämän asetuksen mukaisesti. Johtokunnalle olisi annettava tarvittavat valtuudet hyväksyä talousarvio, valvoa sen toteuttamista, vahvistaa tarvittavat varainhoitoa koskevat säännöt, luoda avoimet menettelyt viraston päätöksentekoa varten, hyväksyä viraston yhtenäinen ohjelma-asiakirja, vahvistaa työjärjestyksensä, nimittää pääjohtaja sekä päättää tämän toimikauden jatkamisesta ja päättymisestä. (41)Viraston moitteettoman ja tehokkaan toiminnan takaamiseksi komission ja jäsenvaltioiden olisi varmistettava, että johtokunnan jäseniksi nimitettävillä henkilöillä on riittävä ammatillinen asiantuntemus ja kokemus toiminnallisilta aloilta. Johtokunnan työn jatkuvuuden varmistamiseksi komission ja jäsenvaltioiden olisi pyrittävä rajoittamaan johtokunnassa olevien edustajiensa vaihtuvuutta. (42)Viraston moitteeton toiminta edellyttää, että sen pääjohtaja nimitetään ansioiden ja todistuksin osoitettujen hallinnollisten taitojen ja johtamistaitojen sekä kyberturvallisuuden kannalta merkityksellisen pätevyyden ja kokemuksen perusteella ja että pääjohtajan tehtäviä hoidetaan täysin riippumattomasti. Pääjohtajan olisi laadittava ehdotus viraston työohjelmaksi kuultuaan ensin komissiota ja toteutettava kaikki tarvittavat toimenpiteet varmistaakseen viraston työohjelman asianmukaisen toteuttamisen. Pääjohtajan olisi laadittava johtokunnalle esitettävä vuosikertomus sekä esitys viraston tuloja ja menoja koskevaksi ennakkoarvioksi ja vastattava talousarvion toteuttamisesta. Pääjohtajan olisi voitava perustaa tilapäisiä työryhmiä erityisesti tieteellisiä, teknisiä, oikeudellisia tai sosioekonomisia erityiskysymyksiä varten. Pääjohtajan olisi varmistettava, että tilapäisten työryhmien jäsenet valitaan huippuasiantuntemuksen perusteella ja ottaen asianmukaisesti huomioon tarkasteltavan kysymyksen edellyttämällä tavalla edustuksellinen tasapaino jäsenvaltioiden julkishallintojen, unionin toimielinten ja yksityisen sektorin välillä, mukaan lukien toimiala, käyttäjät ja tiedeyhteisöä edustavat verkko- ja tietoturva-asiantuntijat. (43)Hallituksen olisi edistettävä johtokunnan moitteetonta toimintaa. Osana johtokunnan päätöksiin liittyvää valmistelutyötään sen olisi tutkittava yksityiskohtaisesti asiaan liittyvät tiedot ja tarkasteltava käytettävissä olevia vaihtoehtoja sekä tarjottava neuvoja ja ratkaisuja johtokunnan päätösten valmistelemiseksi. (44)Virastolla olisi oltava neuvoa-antavana elimenä pysyvä sidosryhmä, jotta voitaisiin varmistaa säännöllinen yhteydenpito yksityisen sektorin, kuluttajajärjestöjen ja muiden asianosaisten sidosryhmien kanssa. Pysyvän sidosryhmän, jonka johtokunta perustaa pääjohtajan ehdotuksesta, olisi keskityttävä sidosryhmiä koskeviin asioihin ja saatettava ne viraston tietoon. Pysyvän sidosryhmän kokoonpanossa ja tälle ryhmälle, jotka kuullaan erityisesti työohjelmaluonnoksesta, annettavissa tehtävissä olisi varmistettava sidosryhmien riittävä edustus viraston työskentelyssä. (45)Virastolla olisi oltava säännöt eturistiriitojen ehkäisemisestä ja hallinnasta. Viraston olisi sovellettava asiakirjojen saamista yleisön tutustuttavaksi koskevia asiaankuuluvia unionin säännöksiä, sellaisina kuin ne on vahvistettu Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1049/2001. Viraston suorittamassa henkilötietojen käsittelyssä olisi noudatettava yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annettua Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001. Viraston olisi noudatettava tietojen käsittelyä koskevia unionin toimielimiin sovellettavia määräyksiä ja kansallista lainsäädäntöä, erityisesti kun on kyse arkaluonteisista turvallisuusluokittelemattomista ja EU:n turvallisuusluokitelluista tiedoista. (46)Jotta voidaan varmistaa viraston täydellinen itsemääräämisoikeus ja riippumattomuus ja jotta virasto pystyy suorittamaan uusia ja täydentäviä tehtäviä, myös ennakoimattomia tehtäviä hätätilanteissa, virastolle olisi annettava riittävä ja itsenäinen talousarvio, jonka tulot koostuvat ensisijaisesti unionin rahoitusosuudesta ja viraston työhön osallistuvien kolmansien maiden rahoitusosuuksista. Viraston henkilöstön enemmistön työtehtävien olisi liityttävä suoraan viraston toimeksiannon operatiiviseen täytäntöönpanoon. Viraston isäntäjäsenvaltion tai minkä tahansa muun jäsenvaltion olisi voitava maksaa vapaaehtoisia rahoitusosuuksia virastolle. Unionin talousarviomenettelyä olisi sovellettava edelleen unionin yleisestä talousarviosta maksettaviin tukiin. Lisäksi tilintarkastustuomioistuimen olisi tarkastettava viraston tilit avoimuuden ja vastuuvelvollisuuden varmistamiseksi. (47)Vaatimustenmukaisuuden arviointi on menettely sen osoittamiseksi, täyttyvätkö tuotteelle, prosessille, palvelulle, järjestelmälle, henkilölle tai elimelle asetetut erityiset vaatimukset. Tätä asetusta sovellettaessa sertifiointi olisi katsottava vaatimustenmukaisuuden arvioinnin tyypiksi, joka koskee tuotteen, prosessin, palvelun, järjestelmän tai näiden yhdistelmän, jäljempänä ’tieto- ja viestintätekniikan tuotteet ja palvelut’, kyberturvallisuusominaisuuksia ja jonka suorittaa riippumaton kolmas osapuoli, joka ei ole tuotteen valmistaja tai palvelun tarjoaja. Sertifiointi ei sinänsä takaa, että sertifioidut tieto- ja viestintätekniikan tuotteet ja palvelut ovat kyberturvallisia. Se on pikemminkin menettely ja tekninen menetelmä todistaa, että tieto- ja viestintätekniikan tuotteet ja palvelut on testattu ja että ne täyttävät tietyt kyberturvallisuusvaatimukset, jotka on vahvistettu muualla, esimerkiksi teknisissä standardeissa. (48)Kyberturvallisuussertifioinnilla on tärkeä rooli lisättäessä tieto- ja viestintätekniikan tuotteiden ja palvelujen turvallisuutta ja niihin tunnettua luottamusta. Digitaaliset sisämarkkinat ja erityisesti datatalous ja esineiden internet voivat menestyä vain, jos vallitsee yleinen julkinen luottamus siihen, että tuotteissa ja palveluissa varmistetaan kyberturvallisuus tietyllä tasolla. Verkkoyhteyksillä varustetut ja automatisoidut autot, sähköiset terveyspalvelut, teollisuusautomaation ohjausjärjestelmät ja älykkäät verkot ovat joitakin esimerkkejä aloista, joilla sertifiointi on jo laajalti käytössä tai tulee todennäköisesti käyttöön lähitulevaisuudessa. Verkko- ja tietoturvadirektiivillä säännellyt alat ovat samalla aloja, joilla kyberturvallisuussertifioinnilla on ratkaiseva merkitys. (49)Vuonna 2016 antamassaan tiedonannossa ”Euroopan kyberresilienssijärjestelmän vahvistaminen sekä kilpailukykyisen ja innovatiivisen kyberturvallisuustoimialan tukeminen” komissio linjasi tarpeen ottaa käyttöön laadukkaita, kohtuuhintaisia ja yhteentoimivia kyberturvallisuustuotteita ja -ratkaisuja. Tieto- ja viestintätekniikan tuotteiden ja -palvelujen tarjonta sisämarkkinoilla on edelleen maantieteellisesti hyvin hajanaista. Tämä johtuu siitä, että Euroopan kyberturvallisuusala on kehittynyt suurelta osin kansallisista valtiollisen kysynnän lähtökohdista. Kyberturvallisuuden sisämarkkinoiden toimintapuutteisiin kuuluu lisäksi yhteentoimivien ratkaisujen (teknisten standardien), toimintatapojen ja EU:n laajuisten sertifiointimekanismien puuttuminen. Tämä yhtäältä vaikeuttaa eurooppalaisten yritysten kilpailua niin kansallisella kuin Euroopan ja maailmanlaajuisellakin tasolla ja toisaalta vähentää yksilöiden ja yritysten saatavilla olevan hyödyllisen ja käyttökelpoisen kyberturvallisuusteknologian valinnanvaraa. Samoin myös digitaalisten sisämarkkinoiden s