Koska talouden ja yhteiskunnan vuorovaikutuksella ja digitalisoitumisella on maailmanlaajuisia vaikutuksia, ongelmat ulottuvat paljon yhden jäsenvaltion aluetta laajemmalle. Tämä edellyttää, että toimiin ryhdytään unionin tasolla. Nykyisessä tilanteessa ja tulevaisuuden skenaarioita tarkastellen näyttää siltä, että jäsenvaltioiden yksittäiset toimet ja hajanainen lähestymistapa kyberturvallisuuteen ja erityisesti sen vahvaan rajatylittävään ulottuvuuteen eivät lisää unionin kollektiivista kyberresilienssiä.

Mikä on EU-tason toiminnasta saatava lisäarvo?

Tässä yhteydessä on kartoitettu seuraavat toisiinsa liittyvät ongelmat:

Mikä on ongelma ja miksi se on ongelma?

C. Parhaaksi arvioidun vaihtoehdon vaikutukset

Teollisuuden sidosryhmistä kyseistä sertifiointiratkaisua tukevat yritykset, joihin jo sovelletaan sertifiointivaatimuksia ja jotka hyötyisivät EU:n laajuisesta sertifikaattien vastavuoroiseen tunnistamiseen perustuvasta mekanismista. Sertifiointiratkaisu saa kannatusta myös pk-yrityksiltä, jotka kärsivät eniten eri sertifiointiprosessien käynnistämisestä eri jäsenvaltioissa. Jotkut jäsenvaltiot – erityisesti ne, joilla on vähemmän resursseja – sekä jotkut teollisuudenalan edustajista ja EU:n toimielimistä kertoivat suhtautuvansa myönteisesti myös vaihtoehtoon 3 (ENISAn uudistaminen).

Erityisesti sidosryhmät ovat yksimielisiä siitä, että tarvitaan (ainakin) hyvin toimiva EU:n virasto, jolla on pysyvä toimeksianto, riittävät resurssit ja valtuutus käsitellä nykyisiä ja tulevia kyberturvallisuuden haasteita. Sidosryhmät ovat laajalti yksimielisiä myös vapaaehtoisuuteen perustuvan, laajennettavissa olevan eurooppalaisen kehyksen luomisesta.

Parhaaksi arvioitu vaihtoehto on vaihtoehdon 2 (ENISAn uudistaminen) ja vaihtoehdon 3 (sertifiointi) yhdistelmä.

Vaihtoehto 3 – EU:n kyberturvallisuusvirasto, jolla on täydet operatiiviset valmiudet. Tämä vaihtoehto koskee ENISAn uudistamista siten, että sillä olisi seuraavat kolme päätehtävää: 1. poliittinen/neuvoa-antava tehtävä; 2. tieto- ja osaamiskeskus; ja 3. tietotekniikan kriisiryhmä (CERT). Tämä vaihtoehto aiheuttaisi suurelta osin samoja muutoksia toimeksiantoon kuin vaihtoehto 2. ENISAlle annettaisiin kuitenkin uusia tehtäviä tietoturvaloukkauksiin reagoinnin ja kriisinhallinnan aloilla, jotta sen toimeksianto kattaisi kyberturvallisuuden koko elinkaaren ja sillä olisi valmiudet kyberturvallisuuspoikkeamien ennaltaehkäisyyn, havaitsemiseen ja niihin reagointiin.

Mitkä ovat parhaaksi arvioidun vaihtoehdon hyödyt (jos parhaaksi arvioitua vaihtoehtoa ei ole, päävaihtoehtojen hyödyt)?

Parhaaksi arvioidun vaihtoehdon seurauksena EU:lla olisi virasto, joka keskittyisi jäsenvaltioiden, EU:n toimielinten ja yritysten tukemiseen aloilla, joilla se toisi eniten lisäarvoa. Näitä aloja ovat verkko- ja tietoturvadirektiivin täytäntöönpanon tukeminen, politiikan kehittäminen ja täytäntöönpano; tiedotus, tietämys ja tietoisuus; tutkimustoimet; operatiivinen yhteistyö ja kriisinhallinta; markkinat. Erityisesti ENISA tukisi EU:n politiikkaa tieto- ja viestintäteknologian turvallisuussertifioinnin alalla varmistamalla tieto- ja viestintäteknologian turvallisuussertifioinnin eurooppalaisen kehyksen hallinnollisen ylläpidon ja teknisen hallinnoinnin. Kehyksen avulla otetaan käyttöön tieto- ja viestintäteknologian turvallisuussertifioinnin hallinnointia koskevat säännöt, joiden tarkoituksena on edistää eri jäsenvaltioissa myönnettyjen sertifikaattien vastavuoroista tunnustamista. Näiden ratkaisujen yhdistelmä on arvioitu toimintatavaksi, jonka avulla EU voi tuloksekkaimmin saavuttaa asetetut tavoitteet eli lisätä kyberturvallisuusvalmiuksia, varautumista, yhteistyötä, tietoisuutta ja avoimuutta ja estää markkinoiden pirstaloitumisen. Tämä vaihtoehto on myös parhaiten linjassa poliittisten painopistealueiden kanssa, sillä se liittyy läheisesti kyberturvallisuusstrategiaan ja sitä koskevaan toimintapolitiikkaan (esim. verkko- ja tietoturvadirektiiviin) sekä digitaalisiin sisämarkkinoihin. Lisäksi tällä vaihtoehdolla tavoitteet saavutettaisiin kohtuullisin resurssein.

Mitkä ovat parhaaksi arvioidun vaihtoehdon kustannukset (jos parhaaksi arvioitua vaihtoehtoa ei ole, päävaihtoehtojen kustannukset)?

Lisätehtävistään huolimatta ”uudistettu ENISA” säilyisi kompaktina organisaationa. Unionin talousarviosta saatava tarvittava rahoitusosuus olisi korkeampi kuin tällä hetkellä mutta silti aika paljon alhaisempi verrattuna muihin kriittisillä aloilla toimiviin virastoihin.

Tieto- ja viestintäteknologian turvallisuussertifioinnin eurooppalaisen kehyksen luominen ei lisäisi toimialalle (mukaan luettuina pk-yritykset) aiheutuvia alkuvaiheen kustannuksia. Sen sijaan siitä aiheutuisi merkittäviä säästöjä yrityksille, jotka jo sertifioivat tuotteensa tai ovat valmiita ryhtymään tuotteidensa sertifiointiin, ja niiden maailmanlaajuinen kilpailukyky paranisi. Toisaalta siihen liittyisi tiettyjä mainitun kehyksen ylläpitoa koskevia budjettisitoumuksia, jotka johtuisivat pääasiassa vaihtoehdosta ”uudistettu ENISA” ja koskisivat teknisiä ja sihteeristön tehtäviä.

Kohdistuuko jäsenvaltioiden budjettiin ja julkishallintoon merkittäviä vaikutuksia?

Ei. ENISAn vahvistamisesta aiheutuvat kustannukset katettaisiin pääosin EU:n talousarviosta. Lisäksi jäsenvaltiot voisivat edelleen maksaa virastolle vapaaehtoisia rahoitusosuuksia. Kansallisille talousarvioille ja julkishallinnoille sertifioinnista aiheutuvat kustannukset johtuisivat suurimmaksi osin mahdollisesta sertifiointiviranomaisen perustamisesta.

Onko toimenpiteellä muita merkittäviä vaikutuksia?

Ei.

Suhteellisuusperiaate

Parhaaksi arvioitu vaihtoehto koostuu tasapainoisista toimenpiteistä, jotka kaikki katsotaan tarpeellisiksi, jotta asetetut tavoitteet voitaisiin saavuttaa aiheuttamatta liiallisia rasitteita asianomaisille sidosryhmille. Näin ollen tämän aloitteen katsotaan olevan suhteellisuusperiaatteen mukainen.

D.Seuranta

Milloin asiaa tarkastellaan uudelleen?

Ensimmäinen arviointi on määrä tehdä viiden vuoden kuluttua säädöksen voimaantulosta. Komissio laatii arvioinnista kertomuksen Euroopan parlamentille ja neuvostolle ja liittää siihen tarvittaessa uudelleentarkastelua koskevan ehdotuksen. Sen jälkeen arviointi suoritetaan viiden vuoden välein.