FI    FI FI 
FI    FI  EUROOPAN KOMISSIO  
Bryssel 30.9.2010 
SEC(2010) 1127 
KOMISSION YKSIKÖIDEN VALMISTELUASIAKIRJA 
TIIVISTELMÄ VAIKUTUSTEN ARVIOINNISTA  
 
Oheisasiakirja 
  
ehdotukseen EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUKSEKSI  
 
Euroopan verkko- ja tiet oturvavirastosta (ENISA) 
  
{KOM(2010) 521 lopullinen} 
{SEC(2010) 1126} 
FI 2   FI  
TIIVISTELMÄ VAIKUTUSTEN ARVIOINNISTA  
1. KOHDE JA TAUSTA  
1.1. Kohde 
Tässä vaikutusten arvioinnissa keskitytään si ihen, millainen nykyaikaistettu verkko- ja 
tietoturvavirasto, jota yleisesti pidetään tark oituksenmukaisena ja tarpeellisena poliittisena 
keinona vastata verkko- ja tieto turvahaasteisiin, auttaisi parhaiten jäsenvaltioiden elimiä ja 
komissiota saavuttamaan verkko-  ja tietoturvapoliti ikan tavoitteet, kun Euroopan verkko- ja 
tietoturvaviraston (ENISA) toim ikausi päättyy maaliskuussa 2012. 
1.2. Tausta 
Yhteiskunnan ja talouden toiminta on nykyään kriitt isellä tavalla riippuvaista toimivasta tieto- 
ja viestintäteknologiasta. Näin ollen on äärimmäisen  tärkeää varmistaa, että järjestelmät ovat 
vakaita ja että käyttäjät m yös luottavat niihin. Järjestelmiin kohdistuvien uhkien ja 
hyökkäyksien ja erilaisten haittaohjelmistojen määrän lisääntyminen saattaisi vaarantaa 
keskeisen verkko- ja tietoinfra struktuurin toiminnan. Koska nämä  järjestelmät ja verkot ovat 
ylikansallisia, verkko- ja tietoturvahaastees een vastaaminen edelly ttää Euroopan tasoista 
toimintaa. 
Tästä syystä perustettiin vuonna 20041 Euroopan verkko- ja tietoturvavirasto ENISA aluksi 
viiden vuoden kaudeksi tärkeimpänä tavoitteena ” edistää korkeatasoista verkko- ja 
tietoturvaa [EU:ssa], (…) kehittää Euroopan unioni n kansalaisia, kuluttajia, yrityksiä ja 
julkisen sektorin järjestöjä hyödyttävä ver kko- ja tietoturvakulttuuri, ja siten edistää 
sisämarkkinoiden moitteetonta toimintaa ”.  
Sittemmin verkko- ja tietoturvahaasteet ovat o lleet teknologian ja markkinoiden kehityksen 
myötä jatkuvassa muutoksessa. Komissio alo ittikin hyvissä ajoin ennen ENISA-asetuksen 
voimassaolon päättymistä maaliskuussa 2009 as ianomaisten sidosryhmien kanssa pohdinnat 
siitä, millaisilla poliitti silla toimenpide-ehdotuksilla voitaisiin parhaiten tukea EU:n verkko- ja 
tietoturvatavoitteita vuodesta 2009 eteenpäin. ENISAsta vuonna 2007 tehdyn 
puoliväliarvioinnin2 ja julkisen kuulemisen3 jälkeen neuvosto ja Euroopan parlamentti 
antoivat 24 päivänä 2008 asetuksen ENISAn si lloisen toimeksiannon jatkamisesta kolmella 
vuodella 13 päivään maaliskuuta 20124. Asetuksen johdanto-osassa neuvosto ja Euroopan 
parlamentti peräänkuuluttivat "virastoa koskevia jatkokeskuste luja" ja pohdintaa "yhteisön 
toiminnan yleisestä suuntauksesta kohti lisääntyvää verkko- ja tietoturvaa" .  
                                                 
1 Euroopan parlamentin ja neuvoston asetus (EY) N:o 460/2004, annettu 10 päivänä maaliskuuta 2004, 
Euroopan verkko- ja tietoturvaviraston perustamisesta. 
2 Komission tiedonanto Euroopan parlamentille ja neuvostolle: Euroopan verkko- ja tietoturvaviraston 
(ENISA) arviointi – KOM(2007) 285, 1.6.2007: 
 http://eur-lex.europa.eu/LexUriServ/Le xUriServ.do?uri=CELEX :52007DC0285:FI:NOT. 
3 Kuuleminen järjestettiin 13. kesäkuuta – 7. syyskuuta 2007. 
4 Euroopan parlamentin ja neuvoston asetus (EY) N:o 1007/2008, annettu 24 päivänä syyskuuta 2008, 
Euroopan verkko- ja tietoturvaviraston perustamisesta annetun asetuksen (EY) N:o 460/2004 
muuttamisesta sen toimikauden keston osalta (EUVL L 293, 31.10.2008). 
FI 3   FI Komissio edesauttoi keskustelua käynnistäm ällä marraskuussa 2008 EU:n laajuisen uuden 
julkisen kuulemisen EU-tason vahvemman verkko- ja tietoturvapolitiikan mahdollisista tavoitteista sekä tavoista  saavuttaa nuo tavoitteet
5. Komissio myös järjesti joulukuussa 2008 
jäsenvaltioiden toimivaltaisia elimiä edusta vien verkko- ja tietoturva-asiantuntijoiden 
seminaarin, jossa käsiteltiin verkko- ja tietot urva-alan vahvemman EU-politiikan keinoja ja 
mekanismeja. Lisäksi komissio antoi maaliskuussa 2009 tiedonannon elintärkeiden 
tietoinfrastruktuureiden suojaamisesta6. Tiedonannossa ENISAlle k aavaillaan keskeistä roolia 
EU:n parantaessa tietoturvaa, sietokykyä ja valmistautuneisuutta. Tämä lähestymistapa 
hyväksyttiin kriittisten tietoinf rastruktuurien suojaamista käsite lleessä ministerikonferenssissa 
Tallinnassa 27.-28. huhtikuuta 2009. Yksi konfer enssin päätelmistä oli, että " edessämme 
olevat uudet ja pitkäaikaiset haasteet edellyttävät kuitenkin viraston toimeksiannon 
perinpohjaista uudelleenharkintaa ja -muo toilua, jotta keskityttäisiin enemmän EU:n 
painopisteisiin ja tarpeisiin;  saavutettaisiin joustavammat re agointivalmiudet; kehitettäisiin 
Euroopan taitoja ja pätevyyksiä; ja tuettaisiin viraston toim innan tehokkuutta ja yleistä 
vaikutusta. Tällä tavoin ENISAs ta voidaan tehdä pysyvä apu kaik ille jäsenvaltioi lle ja koko 
Euroopan unionille ." 
Neuvosto antoi 18. joulukuuta 2009 " yhteistoiminnallise sta eurooppalaisesta 
lähestymistavasta verkko- ja  tietoturvallisuuden alalla"  päätöslauselman7, jossa korostetaan, 
että " ENISAn olisi tarkistettua toimeksiantoaan  toteuttaessaan toimittava EU:n 
osaamiskeskuksena EU:hun liittyvissä verkko- ja tietot urvallisuusasioissa ". 
Yksi älykkääseen, kestävään ja osallistav aan kasvuun tähtäävän, komission laatiman 
Eurooppa 2020-strategian8 lippulaivahankkeista on Euroopan di gitaalistrategia, jossa verkko- 
ja tietoturva on ke skeisessä roolissa. Digitaalistrategiassa tämän luottamuksen ja 
tietoturvan lujittamiseen tähtäävän poliittise n aloitteen tavoitteena on luoda EU:lle, 
jäsenvaltioille ja eri sidosryhmille keinot  kehittää korkeatasois et valmiudet ja hyvä 
varautumisaste, jotta verkko- ja tietoturva ongelmia voidaan ehkäistä ja huomata ja 
niihin voidaan reagoida nykyistä paremmin . Näin autetaan lisäämään luottamusta ja 
turvallisuutta Euroopan digitaalisilla yhtenäi smarkkinoilla ja parant amaan eurooppalaisten 
yritysten kilpailukykyä. 
2. ONGELMAN MÄÄRITTELY  
2.1. Ongelma 
Arviointia varten on tunnistettu seuraavat ongelmatekijät, jotka tekevät sidosryhmistä 
haavoittuvaisia verkko- ja tiet oturvauhkille ja -loukkauksille. Ne kaikki viittaavat tarpeeseen 
luoda luotettava EU-tason rakenne puuttu maan ongelmaan ja jotta koko Euroopassa 
pysyttäisiin ajan tasalla verkko- ja tietoturvaan liittyvien tekn ologia- ja markkinaolosuhteiden 
jatkuvassa muutoksessa.  
                                                 
5 Kuuleminen kesti marraskuun 7. päivästä 2008 tammikuun 9. päivään 2009, ja raportti siitä on 
saatavilla osoitteessa 
http://ec.europa.eu/information_society/policy/nis/nis_public_consultation/index_en.htm. 
6 Komission tiedonanto Euroopan parlamentille ja neuvostolle elintärkeiden tietoinfrastruktuureiden 
suojaamisesta, KOM(2009) 149, 30.3.2009. 
7 Neuvoston päätöslauselma, annettu 18 päivänä joulukuuta 2009, yhteistoiminnallisesta eurooppalaisesta 
lähestymistavasta verkko- ja tietoturvallisuuden alalla (2009/C 321/01). 
8 KOM(2010) 2020. 
FI 4   FI • Kansallisten lähestymistapoje n moninaisuus ja hajanaisuus.  Verkko- ja 
tietoturvaongelmat eivät noudattele kansallisi a rajoja, eikä niihin näin ollen voida 
tehokkaasti puuttua pelkästään kansallisen tason toimin. Samalla viranomaiset eri 
jäsenvaltioissa käsitt elevät ongelmaa hyvin eri tavoin. Moni naiset tietoturvavaatimukset eri 
jäsenvaltioissa aiheuttavat lisäkustannuksia EU:n  tasolla toimiville yrityksille ja johtavat 
pirstaleisuuteen ja kilpailukyvyn puutte eseen Euroopan sisämarkkinoilla.  
• Euroopan rajalliset ennakkovar oitus- ja reagointivalmiudet. Nykyisissä kansallisissa 
varhaisvaroitus- ja reagointijärjestelmissä on suuria eroja jäsenvaltioiden kesken, eikä 
olemassa ole EU-tason järjestelmää. On olemassa tarve EU-tason menetelmille, joilla 
yksilöidään verkko- ja tietoturvariskejä ja haavoittuvuuksia, luodaan tarvittavat 
reagointimekanismit ja varmistetaan, että kaikki sidosryhmät tuntevat nämä mekanismit ja 
käyttävät niitä. 
• Esiin nousevista ongelmista on liian vähän tietoa.  Saatavilla on hyvin vähän luotettavaa 
kvantitatiivista tietoa verkko-  ja tietoturvapoikkeamien va ikutuksista tai edes niiden 
esiintymisestä. Tämän vuoksi päätökse ntekijöiden on vaikea toteuttaa 
tarkoituksenmukaisia poliittisia toimia  ja yritysten vaik ea tehdä päätöksiä 
tietoturvainvestoinneista.  
• Verkko- ja tietoturvariskeistä ja -haasteista ollaan heikosti tietoisia. Vastuu verkko- ja 
tietoturvan varmistamisesta on yksittäisillä toimijoilla. Niiden vastuita ei kuitenkaan aina 
ole selkeästi määritelty ja ilmoitettu. Kuluttajat usein aliarvioivat verkko- ja tietoturvariskejä ja laista vat henkilökohtaisesta vastuus taan turvata tieto- ja 
viestintätekniset järjestelmänsä. Yritykset näkevät usein vain verkko- ja tietoturvan 
kustannukset, eivät sen säästöpotentiaalia.  
• Verkko- ja tietoturvaongelmien  kansainvälinen ulottuvuus.  Verkko- ja tietoturvauhat ja 
-loukkaukset ovat luonteeltaan kansainvälisiä, joten EU-toimi en tuloksellisuus saattaa 
kärsiä, ellei ongelmiin tartuta asianmukaisesti myös kansainvä lisellä tasolla. Tarvitsemme 
EU:n verkko- ja tietoturvastrategiaa ja alan  osaamiskeskusta, jotta EU olisi paremmassa 
asemassa kansainvälisesti. 
• Tarvitaan yhteistoimintamalleja poli tiikan asianmukaisen toteuttamisen 
varmistamiseksi.  Verkko- ja tietoturvapolitiikan asia nmukainen toteutus edellyttää EU-
tason yhteistoimintamalleja. Si dosryhmät tarvitsevat  opastusta verkko- ja tietoturvauhkien 
tunnistamisessa ja hyvien käytänteiden kehi ttämisessä verkko- ja  tietoturvapolitiikan 
noudattamista varten. 
• Tarvitaan tehokkaampia toimia tietoverkkorikollisuutta vastaan. Tieto- ja 
verkkoturvatoiminta on pääsääntöisesti järjeste tty aiemman ensimmäise n pilarin puitteissa, 
eli asioista on neuvoteltu toimielinten kesk en. Lissabonin sopimuksen voimaantulon myötä 
on kuitenkin tarpeen ottaa huomioon verkko- ja  tietoturva-alan uu den organisaation 
laajempi tehtäväkenttä, johon kuuluu myös enti stä toisen ja kolmannen pilarin toimintaa, 
eli asioita joista aiemmin päätti yksinomaan neuvosto.  
2.2. Ketä ongelma koskettaa eniten? 
Verkko- ja tietoturvaongelmilla voisi olla  hyvin suuria vaikutuksia monenlaisille 
sidosryhmille, kuten suur- ja pi enyrityksille, viranomaisille, hallinnoille ja yksittäisille 
kansalaisille. Toisin sanoen ve rkko- ja tietoturva koskettaa ka ikkia ja on kaikkien vastuulla. 
FI 5   FI Saatavilla on vähän tai ei lainkaan puolu eetonta kvantita tiivista tieto a verkko- ja 
tietoturvapoikkeamien tark asta määrästä ja/tai ta loudellisista vaikutuksista. Osviittaa antaa 
IDC EMEAn markkinatutkimus9. Siinä todetaan, että 28 prosentilla EU27-alueen 
kotitalouksista oli ollu t edeltävien 12 kuukauden aikana ongelmia roskapostin tai virusten 
kanssa. Keskimäärin 7 prosenttia yrityksistä  oli todennut tietoturvapoikkeaman viimeksi 
kuluneen vuoden aikana. 
3. PERUSTELUT EU: N TOIMILLE , EU: N LISÄARVO JA TOISSIJAISUUS  
Verkkojen ja tietojärjestelmien keskinäisrii ppuvuuksien vuoksi yksittäis ten toimijoiden on 
äärimmäisen vaikeaa, ellei mahdotonta, arvioida  oikein niiden toteuttamien verkko- ja 
tietoturvatoimien taloudellisi a ja yhteiskunnallisia kokonaisvai kutuksia. Erilaiset kansalliset 
periaatteet ja käytänteet vaikuttavat sisäma rkkinoihin sekä verkko- ja tietoturvaongelmien 
kielteisten ulkoisvaikutusten (riittämättömät toimintaperiaatteet vaikuttavat muiden 
jäsenvaltioiden markkinoihin) että hyvien verk ko- ja tietoturvakäyt änteiden myönteisten 
ulkoisvaikutusten (yhden jäsenvaltion hyvät käyt änteet parantavat verkko- ja tietoturvaa 
kokonaisuudessaan, ja luovat näin selkeästi yhteiskunnallista h yvää) vuoksi. EU:n 
puuttuminen tilanteeseen on siis perusteltua, koska sillä luot aisiin todellista lisäarvoa 
sisämarkkinoiden toiminnan kannalta. Tä mä lisäarvo tunnustetaan myös ENISAn 
perustamisasetuksessa (EY) N:o 460/20 04, jossa todetaan, että ENISA pyrkii 
toimivaltuuksiensa kautta edesauttamaan sisämarkkinoiden moitteetonta toimintaa. 
EU:n puuttuminen verkko- ja tietotur vapolitiikkaan on perusteltua myös 
toissijaisuusperiaatteen  kannalta. Kuten kriittisiä ti etoinfrastruktuureja koskevassa 
tiedonannossa todetaan, EU:n täydellinen toimimattomuus asiassa olisi miltei sama kuin jos jäsenvaltioita kehotettaisiin hoitamaan vain oma tonttinsa, täysin välittämättä tietojärjestelmien keskin äisriippuvuuksista. Näin ollen on toi ssijaisuusperiaat teen mukaista 
harjoittaa jäsenvaltioiden  välillä riittäväntasoista koordinoi ntia, jotta rajojen yli ulottuvia 
verkko- ja tietoturvariskien vaikutuksia voidaan  hallita tarvittavalla tavalla. EU:n toimilla 
voitaisiin lisäksi parantaa kansallis en tason politiikan vaikuttavuutta.  
EU:n kansalaiset luovuttavat yhä  enemmän tietojaan monisäikeis iin tietojärjestelmiin (esim. 
"pilvipalvelujen" myötä). Yhteensovitetull a ja yhteistoiminnallisella verkko- ja 
tietoturvapolitiikalla on tämän vuoksi me rkittävä myönteinen vaikutus myös perusoikeuksien 
suojaan  ja erityisesti henkilötietojen ja yksityisyyden suojaan . Myös tästä syystä EU:n 
lisätoimet näyttäisivät perustelluilta.  
4. P
OLIITTISET TAVOITTEET  
Tässä vaikutusten arvioinnissa ta rkastellaan sitä, missä määrin uusi nykyaikaistettu verkko- ja 
tietoturvavirasto, joka laajas ti tunnustetaan tässä asiassa  tarkoituksenmukaisimmaksi 
organisatoriseksi ratkais uksi, voitaisiin määritellä parhaiten ni in, että se tukisi  yhdessä muiden 
EU-toimien kanssa kyseessä olevien po liittisten tavoitteiden saavuttamista. 
Yleistavoitteena on luoda EU:lle, jäsenvalti oille ja eri sidosryh mille keinot kehittää 
korkeatasoiset valmiudet ja hyvä varautumisa ste, jotta verkko- ja tietoturvaongelmia 
                                                 
9 IDC EMEA, The European Network and Information Security Market, Scenario, Trends and 
Challenges , huhtikuu 2009, sekä sähköisen viestinnän Eurobarometri-kysely, huhtikuu 2007. 
FI 6   FI voidaan ehkäistä ja huomata ja niih in voidaan reagoida nykyistä paremmin . Näin 
autetaan lisäämään luottamusta ja turvallisuu tta Euroopan digitaalisil la yhtenäismarkkinoilla 
ja parantamaan eurooppalaisten yritysten kilpailukykyä. 
Tämä tavoite on jaettu seitsemäksi erityistavoitteeksi : 
(1) Sääntelyperiaatteiden johdonmukaisuus  – ohjeiden ja neuvojen antaminen 
komissiolle ja jäsenvaltioille kokonais valtaisten ja norma tiivisten puitteiden 
ajantasaistamiseksi ja kehittämisek si verkko- ja tietoturvan alalla. 
(2) Ennaltaehkäisy, havaitse minen ja reagointi  – valmistautuneisuusasteen 
parantaminen kehittämällä eurooppalaisia varhaisvaroitu s- ja reagointivalmiuksia, 
yleiseurooppalaisia varasuunn itelmia ja harjoituksia. 
(3) Päätöksenteon tuki  – avun ja neuvonnan tarjoaminen komissiolle ja jäsenvaltioille. 
(4) Sidosryhmien valtaistaminen  – tietoturva- ja riskinhal lintakulttuurin kehittäminen 
edistämällä julkisen ja yksityisen sektorin toimijoiden välistä ti edonvaihtoa ja laajaa 
yhteistyötä, myös kansalaist en ja pk-yritysten suoraksi  hyödyksi, sekä verkko- ja 
tietoturvatietoisuuden kulttuurin luomiseksi. 
(5) Euroopan aseman parantaminen  kansainvälisissä yhteyksissä  – korkeatasoisen 
yhteistyön aikaansaaminen EU:n ul kopuolisten maiden ja kansainvälisten 
organisaatioiden kanssa, jott a voidaan edistää yhteisiä maailmanlaajuisia verkko- ja 
tietoturvaperiaatteita ja lisätä korkean tas on kansainvälisten alo itteiden vaikuttavuutta 
Euroopassa. 
(6) Yhteistyöpohjainen täytäntöönpano  – yhteistoiminnan helpottaminen verkko- ja 
tietoturvapolitiikan toteuttamisessa. 
(7) Tietoverkkorikollisuuden torjunta – tuloksellisten vastatoimien luominen 
tietoverkkorikollisuuteen liitty vissä verkko- ja tietoturv akysymyksissä yhteistyössä 
aiemmin toisen ja kolmannen pilarin piiriin kuuluneiden vi ranomaisten, kuten 
Europolin, kanssa. 
5. MAHDOLLISET ORGANISOINTITAVAT JA TOIMINTAVAIHTOEHDOT  
Vaikutusten arvioinnissa (luku 4 ja liite 4) tark astellaan useita mahdollisia tapoja organisoida 
edellä kuvailtujen tavoitteiden saavuttaminen:  i) virasto, ii) enemmän tai vähemmän 
virallisluonteinen julkisen ja yksityisen sektorin kumppanuus, iii) epävirallinen 
yhteydenpitoverkosto, iv) pysyvä toimivaltaiste n elinten verkosto ja v) sisällyttäminen 
suoraan johonkin komission yksikköön.  
Näistä vaihtoehdoista virasto va ikuttaa parhaimmalta toimintava ihtoehdolta, koska se tarjoaa 
seuraaviin seikkoihin liittyviä hy ötyjä: 1) organisointirake nteen ja toiminnan sisällön 
oikeusvarmuus, 2) sopivuus verkko- ja tietoturva n kaltaisen poliittisesti  arkaluonteisen alan 
erityistarpeisiin (ulkopuolinen asiantunt ijataho, sidosryhmäsuhteiden koordinointi, 
jäsenvaltioiden osallis tuminen/sitoutuminen) ja 3) EN ISAn saama hyväksyntä ja maine 
verkko- ja tietoturva-alalla. 
Näin ollen seuraavat toimintavaihtoehdot arvioitiin nimenomaan virastomuotoisen 
toimintaorganisaation puitteissa. 
Toimintavaihtoehto 1: Ei toimia  
FI 7   FI Tässä vaihtoehdossa oletetaan, että ENISA la kkaisi olemasta maaliskuun 2012 jälkeen, eikä 
mikään muu EU:n elin ottaisi kokonaan ta i osittain hoidettavakseen ENISAn nykyisiä 
tehtäviä.  
ENISAn sulkeminen merkitsisi, et tä kaikki tähänastiset investoi nnit, joita on tehty esimerkiksi 
erittäin osaavien eritysasiant untijoiden silmissä houkutteleva n organisaation perustamiseen, 
kokemuksen kartuttamiseen ja verkostojen lu omiseen sidosryhmien kesken ja kanssa ja 
kansainvälisten toimijoiden kanssa , mitätöityisivät tilanteessa, jossa virasto on päässyt hyvään 
vauhtiin.  
Verkko- ja tietoturvaongelm an monimutkainen luonne er i puolilla Eurooppa a edellyttää 
nykyaikaistettua ja vahvistettua virastoa, ei nykyisen viraston sulkemista. Tätä näkemystä 
puoltaa ENISAlle esimerkiksi sähköisen vies tinnän uudistetussa sä äntelyjärjestelmässä10 
nimenomaisesti annettu rooli sekä sidosryhmie n yleisesti ilmaisema tuki eurooppalaisen 
verkko- ja tietoturvaviraston roolin kasvattamiselle.  
Toimintavaihtoehto 2: Jatketaan entiseen tapaan  
Tässä vaihtoehdossa sama politii kan väline jatkaisi toimintaansa  samassa muodossa ja samoin 
resurssein. Sidosryhmien keskuudessa vallitsee yleisesti näkemys, että ENISAsta on kypsynyt 
uskottava kiintopiste verkko- ja tietoturv akysymyksissä ja siitä on tullut alansa 
huippuosaamisen keskus.  
Nykyisten henkilöstö- ja budjettirajoitteiden vuoksi virasto pystyy vaikuttamaan ainoastaan 
hyvin rajalliseen määrään verkko-  ja tietoturvakysymyksiä. Tämä on kuitenkin ristiriidassa 
sidosryhmien yleisten odotusten kanssa. Ellei virastolle anneta mahdollisuutta kehittyä ja 
vastata näihin lisääntyviin odotuksiin, se voi  ennen pitkää ajautua uskottavuuskriisiin.  
Toimintavaihtoehto 3: Laajennetaan ENISAlle tällä hetkellä määriteltyjä toimintoja ja 
lisätään lainvalvonta- ja tietosuojaviran omaiset täysivaltaisiksi sidosryhmiksi  
Tässä vaihtoehdossa verkko- ja  tietoturvaviraston roolia la ajennettaisiin keskittymällä 
seuraaviin tehtäviin: 
• sidosryhmien välisen yhteydenpito- ja osaamisverkoston luominen ja ylläpito, 
• toimiminen verkko- ja tietoturva-asioide n tukikeskuksena politii kan laatimista ja 
toteuttamista varten (erityisesti yksityis yyden suojaan, sähköisiin  allekirjoituksiin, 
sähköiseen identiteettiin ja  verkko- ja tietoturvaa koskeviin julkisten hankintojen 
normeihin liittyvissä kysymyksissä), 
• EU:n kriittisiä tietoinfrastruktuureja ja n iiden suojaamista koskevan politiikan tukeminen 
(harjoitukset, EP3R11, eurooppalainen tiedonjako- ja hä lytysjärjestelmä EISAS jne.), 
• EU:n yhteisten puitteiden luominen verkko- ja  tietoturvaa koskevan tiedon keruuta varten, 
myös oikeudellisten tietojen raportointiin ja jakamiseen liittyvien menetelmien ja 
käytänteiden kehittäminen, 
• verkko- ja tietoturvaan liittyvien taloudellisten näkökohtien tutkimus ja asiasta raportointi, 
                                                 
10 Ks. http://eur-lex.europa.eu/JOHtml .do?uri=OJ:L:2009:337:SOM:FI:HTML. 
11 Sietokykyä käsittelevä eurooppalainen julkis-yksityinen kumppanuus ( European Public-Private 
Partnership for Resilience ), ks. KOM(2009) 149. 
FI 8   FI • yhteistyön aikaansaaminen EU:n ulkopuolisten ma iden ja kansainvälisten organisaatioiden 
kanssa, jotta voidaan edistää yhteisiä maailmanla ajuisia verkko- ja tiet oturvaperiaatteita ja 
lisätä korkean tason kansainvälisten aloitteiden vaikut tavuutta Euroopassa,  
• muiden kuin operatiivisten tehtävien suor ittaminen liittyen oikeudellisen ja 
lainvalvontayhteistyön verkko-  ja tietoturvanäkökohtiin.  
Virastolla olisi kaikki tarvittavat resurs sit suoriutuakseen tehtävistään riittävän 
perusteellisesti, jolloin sillä olisi todellisia va ikutuksia. Suurempien resurssien avulla ENISA 
voisi ottaa paljon ennakoivamman roolin ja edistää aloitteellisemmin sidosryhmien aktiivista osallistumista. Lisäksi tämä uusi tilanne an taisi lisää joustavuutta  reagoida nopeasti 
muutoksiin alati kehittyvässä verk ko- ja tietoturvaympäristössä. 
Toimintavaihtoehto 4: Lisätään operatiivisi a tehtäviä tietoverkkohyökkäysten torjunnassa 
ja tietoverkkoloukkauksiin reagoinnissa  
Vaihtoehdossa 3 kuvattujen tehtävien lisäksi vira stolla olisi operatiivis ia toimintoja, kuten 
aktiivisempi rooli EU:n kriitt isten tietoinfrastruktuurien suoj aamisessa, esim. ennaltaehkäisyn 
ja reagoinnin alalla. Erityisest i se toimisi EU:n verkko- ja tietoturva-alan kriisikeskuksena 
(CERT-ryhmänä) ja koordinoisi kansallisia CERT-ryhmiä alan hälytyskeskuksena, myös 
päivittäisessä hallinnoinnissa ja kriisipalvelujen hoitamisessa.  
Tämä vaihtoehto edellyttäisi viraston budjetin ja henkilöresurssien huomattavaa 
kasvattamista, mikä herättää epäilyjä viraston kyvystä hyödyntää ja käyttä ä tuloksellisesti sille 
osoitetut varat suhteessa tavoiteltuihin hyötyihin.  
Toimintavaihtoehto 5: Lisätään opera tiivisia toimintoja lainvalvonta- ja 
oikeusviranomaisten tukemiseksi tietoverkkorikollisuuden torjunnassa  
Vaihtoehdossa 4 lueteltujen toimintojen lisäksi tämä vaihtoehto sisält äisi toimintoja, jotka 
liittyisivät: 
• oikeusprosessien tukemiseen (vrt. tietover kkorikollisuutta koskeva yleissopimus): esim. 
viestintäliikennetietojen ke ruu, sisältötiedon kaappaaminen, liikennevirtojen seuranta 
palvelunestohyökkäyksissä, 
• toimimiseen asiantuntijakeskuksena rikostutkin ta-asioissa, joihin liittyy verkko- ja 
tietoturvanäkökohtia. 
Kuten vaihtoehto 4, tämäkin edellyttäisi viraston resurssien huomattavaa lisäämistä ja 
herättäisi samanlaisia epä ilyjä budjetin hyödyntämiskyvystä ja  tuloksellisesta käytöstä. 
6. T
OIMINTAVAIHTOEHTOJEN VERTAILU JA VAIKUTUSTEN ARVIOINTI  
Mahdollisten taloudellisten, yhtei skunnallisten ja ympäristövaikut usten analyysi os oittaa, että 
vaihtoehto 1  tuottaisi joka suhteessa kielteisiä vaikutuksia ja tilanne heikkenisi.  
Vaihtoehto 2  osoittautuu epäoptimaaliseksi, sillä virasto lla ei olisi riittäviä resursseja vastata 
asianmukaisesti jatkuvasti muuttuvan verkko- ja tietoturvatilanteen as ettamiin haasteisiin. 
Tämä johtaisi maineongelmaan ja viime kädessä uskottavuuskriisiin. 
Vaihtoehdossa 3  uudistettu verkko- ja tiet oturvavirasto tukisi osalt aan seuraavia tavoitteita: 
FI 9   FI Kansallisten lähestymistapojen hajanaisuude n vähentäminen (ongelmatekijä 1), tiedon 
lisääminen tietoon perustuvaa politiikkaa ja p äätöksentekoa varten (ongelmatekijä 3) ja 
yleisen tietoisuuden lisääminen verkko- ja tiet oturvariskeistä ja -h aasteista ja niihin 
puuttuminen (ongelmatekijä 4) tukemalla seuraavia pyrkimyksiä: 
• kukin yksittäinen jäsenvaltio pystyy entis tä tehokkaammin keräämään tarvittavaa 
tietoa riskeistä, uhkista ja haavoittuvuuksista  
• saatavilla on enemmän tieto a verkko- ja tietoturvaan liittyvistä nykyisistä ja 
tulevista haasteista ja riskeistä 
• verkko- ja tietoturvapolitiikan laatu jäsenvaltioissa paranee.  
Euroopan varhaisvaroitus- ja  reagointivalmiuksien parantaminen (ongelmatekijä 2): 
• auttamalla komissiota ja jäsenvaltioit a toteuttamaan yleiseurooppalaisia 
harjoituksia ja saavuttaen näin m ittakaavahyötyjä EU:n laajuisiin uhkiin 
reagoimisessa, 
• helpottamalla EP3R:n toimintaa, joka voisi viime kädessä lisätä investointeja 
yhteisten poliittisten tavoitteiden ja  EU:n laajuisten tietoturva- ja 
sietokykynormien myötä. 
Yhteisen maailmanlaajuisen lähestymistavan edistäminen verkko- ja tietoturva-asioissa 
(ongelmatekijä 5): 
• lisäämällä tiedonvaihtoa EU:n ulkopuolisten maiden kanssa. 
Tietoverkkorikollisuuden tehokka ampi ja tuloksellisempi torjunta (ongelmatekijä 7): 
• osallistumalla oikeudellisen ja lainvalvontayhteistyön verkko- ja 
tietoturvanäkökohtiin liittyviin  ei-operatiivisiin tehtäviin, kuten kaksisuuntaiseen 
tiedonvaihtoon ja koulutukseen  (esim. yhteistyössä Eu roopan poliisiakatemian 
CEPOLin kanssa). 
Vaihtoehto 4  tuottaisi vaihtoehdossa 3 saavutetta vien vaikutusten lisäksi suurempia 
vaikutuksia operatiivisella taso lla. Toimimalla EU:n verkko- ja tietoturvan CERT-keskuksena 
ja koordinoimalla kansallisia CERT-ryhmiä virasto voisi esimerkiksi osaltaan auttaa 
tuottamaan suurempia mittakaavaetuja vastattaessa  EU:n laajuisiin uhkiin ja alentaa yritysten 
toimintariskejä, kun tietoturva ja  järjestelmien sietokyky paranisi. 
Vaihtoehdossa 5  päästäisiin tietoverkkorikollis uuden torjunnassa suurempaan 
vaikuttavuuteen kuin vaihtoehdoissa 3 ja 4, kun virastolle lisättäisii n lainvalvonta- ja 
oikeusviranomaisia tukevia operatiivisia toimintoja. 
Vaikka vaihtoehdoilla 4 ja 5 olisi molemm illa suuremmat myönteiset vaikutukset kuin 
vaihtoehdolla 3, ne olisi molemmat jäsenvaltioill e poliittisesti vaikeita suhteessa niiden 
vastuisiin kriittisten tietoi nfrastruktuurien suojaamisessa (eli useat jäsenvaltiot eivät 
kannattaisi operatiivisten toim intojen keskittämistä). Lisäks i toimeksiannon laajentaminen 
vaihtoehtojen 4 ja 5 mukaisesti saattaisi tehdä viraston asemasta epäselvän. Näiden uusien ja täysin erilaisten operatiivisten tehtävien lisääm inen viraston toimeksiantoon saattaisi myös 
osoittautua erittäin haastavaksi lyhyellä aikavä lillä ja on olemassa merkittävä riski, että 
FI 10   FI virasto ei pystyisi suoriutumaan tällaisista tehtävistä asianmukaises ti kohtuullisessa ajassa. 
Vaihtoehtojen 4 ja 5 toteutuskustannukset ovat myös kohtuuttoman suuret – tarvittava budjetti 
olisi neljä tai viisi kertaa suurempi kuin ENISAn nykybudjetti. 
Kun verrataan kaikkien  uudistetun verkko- ja tietoturvav iraston organisatorista muotoa 
koskevien viiden toimintavaihtoehdon vaikutuksia , vaihtoehdot 1 ja 2 on hylättävä, koska 
kumpikaan ei mahdollistaisi ri ittävää EU-tasoista puuttumist a monitahoiseen verkko- ja 
tietoturvaongelmaan. Vaihtoehdoi ssa 3, 4 ja 5 EU puoles taan voisi käsitellä tulevan verkko- ja 
tietoturvapolitiikan mahdollisuuksia asianmukaisesti. Vaihtoehdot 4 ja 5 vaikuttavat toistaiseksi liian kunnianhimoisilta sekä jäse nvaltioiden enemmistön poliittisten varaumien 
että vaihtoehtojen talousarviova ikutusten suhteen. Näin ollen vaihtoehto 3 näyttäisi olevan 
paras tapa puuttua mahdollisimman teho kkaasti todettuihin se itsemään verkko- ja 
tietoturvaongelmaan .  
7. S
EURANTA JA ARVIOINTI : MITEN TOTEUTUNEITA KUSTANNUKSIA JA HYÖTYJÄ JA 
TOIVOTTUJEN VAIKUTUSTEN SAAVUTTAMISTA ON MÄÄRÄ MITATA ? 
Tähän poliittisen aloitteeseen sisältyy määräaika isarviointeja, joiden tulokset komissio 
toimittaisi Euroopan parlamentille ja neuvostolle ja julkistaisi. Arvi oinneissa otettaisiin 
huomioon viraston johtokunnan kanssa sov ittujen perusteiden pohjalta kaikkien 
asianomaisten sidosryhmien näkemykset ja ta rkasteltaisiin viraston tuloksellisuutta 
tavoitteidensa saavuttamisessa ja  sitä, onko se edelleen tehoka s väline sekä sitä, olisiko 
viraston toimeksiantoon ja/tai muihin se n perustamisasetuksen näkökohtiin tehtävä 
muutoksia. Viraston johtokunta antaisi arvioinnin jälkeen komissiolle su osituksia asetukseen 
mahdollisesti tarvittavista muutoksista. Virast on johtokunnan ja pääjohtajan olisi otettava 
arviointien tulokset huomioon vi raston monivuotissuunnitelmissa. 
Viraston toiminta kuuluu oikeusasiamiehen valvonnan alaisuuteen perussopimuksen 228 
artiklan mukaisesti.