Ehdotus: Euroopan parlamentin ja neuvoston asetus Euroopan verkko- ja tietoturvaviraston perustamisesta /* KOM/2003/0063 lopull. - COD 2003/0032 */





Ehdotus: EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS Euroopan verkko- ja tietoturvaviraston perustamisesta (komission esittämä) PERUSTELUT 1. TAUSTAA Nykyään yli 90:llä prosentilla Euroopan unionissa sijaitsevista yhtiöistä on Internet-yhteys ja suurimmalla osalla näistä on omat sivut verkossa. Valtava määrä työntekijöitä käyttää työssään matkapuhelinta, kannettavaa tietokonetta tai vastaavaa laitetta tiedon lähettämiseen tai hakemiseen. Tällaisella tiedolla voi olla huomattavaa arvoa: se voi kuvata esimerkiksi liiketoimia tai sisältää teknistä tietoa. Työn ulkopuolellakin tietokoneista ja verkoista on tullut olennainen osa ihmisten elämää. Vuonna 2002 noin 40:ssä prosentissa EU:n kotitalouksista oli oma Internet-yhteys ja yli 2/3 väestöstä käytti matkapuhelinta. Kouluilla ja yliopistoilla on Internet-yhteydet, ja oppiminen ja opiskelu Internetin tai tietokoneen avulla on yleinen käytäntö. Julkishallinnot ovat siirtymässä vauhdilla sähköiseen hallintoon. Tietokoneiden ja viestintäverkkojen avulla ohjataan infrastruktuureja, kuten sähkön- ja vedenjakelua tai julkista liikennettä. Syyskuun 11. päivästä 2001 alkaen näistä asioista on tullut myös kansallisen turvallisuuden kysymyksiä. Verkkojen ja tietojärjestelmien varassa on paljon, minkä vuoksi niiden varmatoimisuudesta on tullut keskeinen kysymys. Samoin kuin ihmiset pitävät esimerkiksi sähkön tai veden saantia itsestäänselvänä, he odottavat poikkeuksetta myös puhelimen toimivan nostaessaan luurin. He odottavat tietokoneen toimivan normaalisti, kun he tarvitsevat sitä. He haluavat päästä käsiksi tallennettuun tietoon ilman turhia viivästymisiä tai keskeytyksiä. Verkkojen ja tietokoneiden toimintahäiriöt eivät enää ole irrallinen ongelma tietokoneasiantuntijoille. Häiriöt koskettavat kaikkia: kansalaisia, yrityksiä ja julkishallintoja. Tietoturvasta on tullut monenlaisen yritystoiminnan ja erityisesti verkkoliiketoiminnan keskeinen piirre, eli siitä on tullut oma toimialansa, jonka piirissä erikoistuneet yritykset myyvät tuotteita ja palveluja ja jossa tehdään kaupallisia järjestelyjä. Kuluttajat esimerkiksi ostavat viruksentorjuntaohjelmia ja asentavat palomuureja tietokoneisiinsa. Yritykset investoivat tietoturvaan, suojaavat sisäisiä verkkoja ja salaavat sähköpostinsa tai langattoman viestintänsä. Arkaluonteiset tiedot lähetetään salattuina. Osa käyttäjistä tuntuu olevan hyvin perillä haavoittuvuuksista ja niiden hallintakeinoista, osalla on vähemmän tietoa tai kiinnostusta. Tämän päivän näkökulmasta verkko- ja tietoturva tarkoittaa palvelujen ja tietojen saatavuuden varmistamista, viestinnän häiriöiden ja luvattoman sieppaamisen ehkäisemistä, sen varmistamista, että lähetetyt, vastaanotetut tai tallennetut tiedot ovat täydellisiä ja ettei niitä ei ole muutettu, tietojen luottamuksellisuuden varmistamista, tietojärjestelmien suojaamista luvattomalta tunkeutumiselta, suojautumista hyökkäyksiltä, joissa käytetään ilkivaltaisia ohjelmistoja, sekä luotettavan todentamisen varmistamista eli organisaatioiden tai käyttäjien esitetyn henkilöllisyyden vahvistamista. Lähitulevaisuudessa turvallisuusvaatimukset muuttuvat nopeasti, kun verkottuminen ja tietojenkäsittely kehittyvät edelleen ja tietojenkäsittely on laajemmin läsnä kaikkialla. Tämä tarkoittaa sitä, että laajakaistayhteyksien ansiosta ihmiset voivat pitää Internet-yhteyttä auki jatkuvasti, uusien langattomien sovellusten ansiosta käyttäjät voivat päästä Internetiin lähes mistä tahansa, ja mahdollisuudet yhdistää Internetiin kaikkea - tulostimista jääkaappeihin - kehittävät ja laajentavat entisestään ihmisten tapoja käyttää Internetiä. Tietoturvan hallinta on osoittautunut hankalaksi ja monimutkaiseksi tehtäväksi, koska käyttäjän on pohdittava tietojen ja palvelujen saatavuutta, oikeellisuutta, aitoutta ja luottamuksellisuutta. Teknologian monimutkaisuuden takia useiden komponenttien ja osapuolien täytyy toimia yhdessä, ja ihmisen toimintatavoista on tullut ratkaiseva tekijä. Aukotonta turvallisuutta ei todennäköisesti saavuteta koskaan ainakaan kohtuullisin kustannuksin. Aina tulee olemaan heikkoja kohtia, loukkauksia, häiriöitä ja virheitä, jotka aiheuttavat vahinkoa ja nakertavat luottamusta järjestelmiin ja palveluihin. Tämä ei poikkea muista teknologioista ja arkielämän osatekijöistä. Koko yhteiskunnan ja yksittäisten henkilöiden on opittava hallitsemaan verkkojen ja tietojärjestelmien riskejä. 2. PERUSTEET TOIMILLE Tietoturvasta on tullut tärkeä poliittinen kysymys. Hallitukset kokevat kasvavaa vastuuta yhteiskunnasta ja ponnistelevat entistä enemmän parantaakseen turvallisuutta alueellaan. Ne haluavat edistää tietoturvaa esimerkiksi tukemalla tietoteknisiä kriisiryhmiä, tutkimusta ja tiedotuskampanjoita. Lisäksi ne varustavat ja kouluttavat lainvalvojia ratkomaan tietokoneisiin ja Internetiin liittyvää rikollisuutta. Jäsenvaltiot ovat työssään kuitenkin eri tasoilla ja huomion kohde vaihtelee. Lukuun ottamatta hallinnollisia verkkoja, kuten TESTA, jäsenvaltioiden välillä ei ole järjestelmällistä rajat ylittävää yhteistyötä verkko- ja tietoturva-asioissa, vaikka turvallisuus ei voi olla erillinen maakohtainen kysymys. Meiltä puuttuu mekanismi tehokkaan vastauksen antamiseksi turvallisuusuhkiin. Sääntelyjärjestelmän täytäntöönpano vaihtelee. Tuotteiden sertifiointi tapahtuu kansallisella tasolla, avainstandardit kehitetään maailmanlaajuisen teollisuuden piirissä ja hallitukset suhtautuvat tässä asiassa operaattoreihin ja laitemyyjiin eri tavoin. Kaikki tämä johtaa yhteentoimivuuden puutteellisuuteen, joka hankaloittaa tietoturvatuotteiden ja -palvelujen kunnollista käyttöä. Euroopan yhteisö hyötyisi siitä, jos jäsenvaltiot tehostaisivat koordinointiaan riittävän korkean turvallisuustason saavuttamiseksi kaikissa jäsenvaltioissa. Tämä on asetettu tavoitteeksi komission kesäkuussa 2001 antamassa verkko- ja tietoturvaa koskevassa tiedonannossa [1], jossa ehdotetaan erilaisia toimenpiteitä, kuten tietoisuutta lisääviä kampanjoita, parempia tiedonvaihtojärjestelmiä ja markkinasuuntautuneen standardoinnin ja sertifioinnin tukemista. [1] Komission tiedonanto neuvostolle, Euroopan parlamentille, talous- ja sosiaalikomitealle ja alueiden komitealle: "Verkko- ja tietoturva: Ehdotus eurooppalaiseksi lähestymistavaksi", KOM(2001) 298 lopullinen. Tiedonannossa ehdotetaan myös eurooppalaisen varoitus- ja tiedotusjärjestelmän perustamista. Neuvoston 28. tammikuuta 2002 antamassa päätöslauselmassa yhteisestä lähestymistavasta ja erityisistä toimista verkko- ja tietoturvallisuuden alalla kehitettiin tätä ajatusta eteenpäin. On käynyt selväksi, että nykyiset institutionaaliset järjestelyt eivät salli verkko- ja tietoturvan asianmukaista käsittelemistä Euroopan tasolla. Tiedonannossa kannatetaan komission aikomusta tehdä ehdotuksia tietoverkkojen turvallisuutta käsittelevän työryhmän perustamiseksi; työryhmän tehtävänä olisi kansallisten toimien pohjalta parantaa verkko- ja tietoturvaa sekä jäsenvaltioiden kykyä torjua yksin tai yhdessä suurimpia verkko- ja tietoturvaongelmia. Euroopan parlamentti vastasi komission ehdotuksiin antamalla lausunnon, jossa se vaatii painokkaasti eurooppalaista vastausta kasvavaan turvallisuusongelmaan. Kesäkuussa 2002 OECD hyväksyi tietojärjestelmien ja verkkojen turvallisuutta koskevat suuntaviivansa Guidelines for the Security of Information Systems and Networks: Towards a Culture of Security. Näissä suuntaviivoissa korostetaan, kuinka tärkeää tiettyjen yhteisten periaatteiden soveltaminen on tietoturvan alalla, ja niitä käytetään Euroopan tasolla tapahtuvan työn perustana. 3. EHDOTUS VERKKO- JA TIETOTURVAVIRASTON PERUSTAMISEKSI 3.1. Taustaa Euroopan parlamentti, neuvosto ja komissio ajavat tiiviimpää eurooppalaista yhteistyötä tietoturvan alalla. Tehokkain tapa saavuttaa tämä tavoite olisi perustaa toimintayksikkö, joka olisi oikeushenkilö. Asetusehdotuksessa esitetäänkin eurooppalaisen sääntelyviraston perustamista komission tiedonannon Euroopan unionin sääntelyvirastojen toimintakehys (KOM(2002) 718 lopullinen) mukaisesti. Tämän viraston nimeksi tulee Euroopan verkko- ja tietoturvavirasto, jäljempänä 'virasto'. Sähköisen viestinnän lainsäädännössä ja erityisesti sähköisen viestinnän puitedirektiivissä annetaan kuitenkin kansallisille toimivaltaisille elimille tärkeä rooli. Niinpä virasto ei avusta pelkästään komissiota vaan myös kansallisia sääntelyviranomaisia. Ehdotus heijastaa huolia, joita ilmaistiin komission järjestämässä jäsenvaltioiden kuulemisessa. Vastaavia seikkoja painotettiin myös yksityisen sektorin kannoissa, ja tiivistettynä niissä vaaditaan ehdotetulta virastolta joustavuutta, luotettavuutta, asiantuntemusta, tehokkuutta ja johdonmukaisuutta. Erityisesti seuraavia vaatimuksia on korostettu: a) koska verkko- ja tietoturva on nopeasti kehittyvä ala, paras institutionaalinen järjestely voi ajan myötä muuttua. Siksi viraston tulisi toimia rajallisen ajan, jonka jälkeen sen toimintaa tulisi arvioida, b) viraston on nautittava jäsenvaltioiden virastojen ja hallintoelinten sekä yksityisen sektorin luottamusta, c) viraston tulisi muodostaa osaamiskeskus, joka kokoaa yhteen päteviä ihmisiä kaikista jäsenvaltioista, d) viraston on kyettävä reagoimaan tehokkaasti ja nopeasti. Siksi tarvitaan riittävät henkilöstö- ja taloudelliset resurssit kitkattoman ja joustavan toiminnan varmistamiseksi, mutta viraston koko tulisi kuitenkin rajata kohtuulliseksi, ja, e) komission on kyettävä ohjaamaan viraston työtä. Nämä vaatimukset toimivat ehdotetun asetuksen suunnanantajina. Ne antavat selityksen sille, miksi viraston tehtävät on kuvattu selkeästi, mutta mahdollistavat kuitenkin samalla joustavuuden. Niihin perustuu viraston toiminnan arviointi kolmen ensimmäisen vuoden jälkeen. Lisäksi niistä käy selväksi, että tiivis yhteistyö jäsenvaltioiden viranomaisten sekä yhteisön toimielinten kanssa on ratkaisevan tärkeää viraston toiminnalle. Virasto saa työlleen tieteellistä tukea tutkimustoiminnasta, jota harjoitetaan Yhteisessä tutkimuskeskuksessa ja yhteisön tutkimusohjelmissa. 3.2. Oikeusperustan valinta Tätä taustaa vasten ehdotuksessa otetaan huomioon kaksi tiiviisti toisiinsa liittyvää yhteisön intressiä, jotka ovat sisämarkkinoiden sujuva toiminta ja sähköisten Euroopan laajuisten verkkojen yhteentoimivuus. Ensinnäkin teknisesti monimutkaisten vaatimusten käyttöönotto verkkojen ja tietojärjestelmien turvallisuuden takaamiseksi jäsenvaltioiden ja yhteisön tasolla voisi haitata sisämarkkinoiden periaatteiden täysimääräistä soveltamista. Toiseksi sisämarkkinoiden sujuva toiminta riippuu myös verkkojen ja tietojärjestelmien turvallisuustoimintojen yhteentoimivuudesta. Seuraavat jaksot viittaavat ehdotuksen jaksoihin 1-5. 3.3. 1 jakso - Tavoitteet ja tehtävät 3.3.1. Tavoitteet Viraston yleinen tavoite on luoda Eurooppaan tietoturva-asioita koskeva yhteisymmärrys, joka on tarpeen unionin verkkojen ja tietojärjestelmien saatavuuden ja turvallisuuden varmistamiseksi. Jotta tavoite saavutettaisiin, verkko- ja tietoturvan määritelmän on oltava laaja ja katettava kaikki toiminta, jolla voi olla haitallisia vaikutuksia verkkojen ja tietojärjestelmien turvallisuuteen. Viraston on kyettävä antamaan apua verkko- ja tietoturvaan liittyvien yhteisön sääntöjen soveltamisessa. Sen antama apu auttaa varmistamaan verkkojen ja tietojärjestelmien tietoturvatoimintojen yhteentoimivuuden, mikä myötävaikuttaa sisämarkkinoiden toimintaan. Se lisää sekä yhteisön että jäsenvaltioiden valmiutta torjua verkko- ja tietoturvaongelmia. Virasto tulee olemaan avainasemassa Euroopan verkkojen ja tietojärjestelmien turvallisuuden sekä tietoyhteiskunnan yleisen kehittämisen turvallisuuden kannalta. 3.3.2. Tehtävät Virastolla on neuvoa-antavia ja koordinoivia tehtäviä, joissa kerätään ja analysoidaan tietoturvaa koskevia tietoja. Nykyisin sekä julkiset että yksityiset tahot, joilla on erilaisia tavoitteita, keräävät tietoa tietoturvaloukkauksista ja muista tietoturvallisuuden kannalta tärkeistä asioista. Euroopan tasolla ei kuitenkaan ole keskitettyä kokonaisuutta, joka kattavasti keräisi ja analysoisi tietoja sekä antaisi lausuntoja ja neuvoja yhteisön verkko- ja tietoturvapolitiikan kehittämisen tueksi. Virasto tulee toimimaan osaamiskeskuksena, josta sekä jäsenvaltiot että yhteisön toimielimet voivat pyytää neuvoja turvallisuuteen liittyvissä teknisissä asioissa. Virasto osallistuu myös tietoturva-alan eri toimijoiden väliseen yleiseen yhteistyöhön esimerkiksi tukemalla seurantatoimin sähköisen kaupankäynnin turvaamista. Tällainen yhteistyö on keskeinen edellytys verkkojen ja tietojärjestelmien turvalliselle toiminnalle Euroopassa. Kaikkien asianosaisten mukanaolo on tarpeen. Virasto pyrkii osaltaan koordinoimaan tietoturva-ajattelua tukemalla jäsenvaltioita esimerkiksi riskinarvioinnin edistämisessä ja tiedotuskampanjoiden järjestämisessä. Verkkojen ja tietojärjestelmien yhteentoimivuuden varmistamiseksi virasto antaa myös lausuntoja ja tukea prosessien ja menettelyiden yhdenmukaistamisessa jäsenvaltioiden soveltaessa tietoturvaan vaikuttavia teknisiä vaatimuksia. Oikeudellisten vaatimusten lisäksi tekniset vaatimukset voivat laajalti vaikuttaa yhteentoimivuuteen ja luoda esteitä hyvin toimiville sisämarkkinoille. Virasto tukee myös standardointitarpeiden kartoitusta sekä turvallisuusstandardien ja sertifiointijärjestelmien edistämistä ja niiden mahdollisimman laajaa käyttöä komissiossa ja jäsenvaltioissa eurooppalaisen lainsäädännön tukena. Verkko- ja tietoturva-asiat ovat maailmanlaajuisia, joten tarvitaan myös alan kansainvälistä yhteistyötä. Virasto tukee yhteisön tämän alan yhteyksiä kolmansien maiden kanssa. Tietojärjestelmissä ja verkoissa tulee jatkuvasti esiin uusia haavoittuvuuksia ja uhkia. Komission on tarvittaessa voitava antaa virastolle EU:n sääntelyvirastojen toimintakehyksen puitteissa lisätehtäviä, jotta voitaisiin pysyä teknologian ja yhteiskunnan kehittymisen tahdissa. 3.4. 2 jakso - Organisaatio 3.4.1. Hallinto Viraston rakenteen tulisi helpottaa viraston eri osapuolten osallistumista, riippumattomuutta ulkoisista paineista, avoimuutta ja vastuuvelvollisuutta demokraattisille toimielimille. Siksi ehdotetaan perustettavaksi johtokuntaa, joka koostuu neuvoston ja komission nimittämistä jäsenistä. Esimerkiksi komission edustajiin kuuluu turvallisuustoimen linjan edustaja. Edelleen ehdotetaan, että johtokunnassa on elinkeinoelämän ja kuluttajien edustajia, joita komissio ehdottaa ja jotka neuvosto nimittää. Alan yritysten ja kuluttajien edustajilla ei ole äänioikeutta. Virastoa johtaa johtaja, joka toimii erittäin itsenäisesti ja omaa runsaasti liikkumavaraa. Hän vastaa viraston sisäisen toiminnan organisoinnista. Lisäksi johtajan tehtävänä on valmistella ja toteuttaa viraston talousarvio ja työohjelma sekä vastata henkilöstöasioista. Johtajan legitiimiyden varmistamiseksi johtokunta nimittää hänet komission ehdotuksen perusteella. Yhteisön elimenä viraston on tehtäväänsä suorittaessaan varmistettava asiantuntemuksen ja voimavarojen paras mahdollinen käyttö sekä samalla noudatettava kaiken taustalla olevaa riippumattomuuden vaatimusta. Siksi ehdotetaan, että virastoon kuuluu asiantuntijoista koostuva rajoitettu neuvottelukunta, jonka tehtävä on helpottaa yhteistyötä ja tiedonvaihtoa viraston ja eri jäsenvaltioiden toimivaltaisten toimielinten ja muiden elinten kanssa, esimerkkeinä mainittakoon tietosuoja-asiantuntija tai tutkimusyhteisön edustaja. Neuvottelukunnalla on neuvoa-antavia tehtäviä ja se vastaa yhdessä johtajan kanssa viraston vuosittaisen työohjelman laatimisesta. 3.5. 3 jakso - Toiminta 3.5.1. Työohjelma Viraston on voitava sopeuttaa työtään nopeasti kehittyvän teknologian mukaan ja vaihtaa toiminnan painopistettä. Siksi johtokunta vahvistaa joka vuosi työohjelman, jonka komissio on hyväksynyt johtajan tekemän ehdotuksen perusteella. Kunkin vuoden työohjelman mukaisen toiminnan tulokset esitetään yleiskertomuksessa, jonka johtaja laatii ja johtokunta hyväksyy. 3.5.2. Lausunnot On vaara, että virasto ylikuormitetaan lausunto- ja neuvontapyynnöillä, minkä vuoksi määritetään, kuka voi esittää pyyntöjä ja kuinka pyynnöt käsitellään. 3.5.3. Työryhmät Vaikka viraston henkilöstö on erittäin pätevää, voidaan odottaa, että joskus esiin voi nousta erityisluonteisia asioita. Siksi viraston on kyettävä perustamaan väliaikaisia työryhmiä, jotka koostuvat eri alojen asiantuntijoista. Avoimuuspolitiikan mukaisesti komission edustajilla on oikeus olla läsnä tällaisten työryhmien kokouksissa. 3.5.4. Riippumattomuus Viraston neuvojen ja lausuntojen vastaanotto kansalaisten, julkishallintojen ja yritysten keskuudessa riippuu siitä, kuinka sen riippumattomuus voidaan taata. Siksi johtokunnan ja neuvottelukunnan jäsenten, johtajan ja työryhmiin osallistuvien ulkopuolisten asiantuntijoiden on annettava ilmoitus siitä, että heillä ei ole etunäkökohtia, jotka voisivat kyseenalaistaa heidän riippumattomuutensa. 3.5.5. Avoimuus ja luottamuksellisuus Virasto laatii avoimuutta ja asiakirjojen saatavuutta koskevat sääntönsä EY:n perustamissopimuksen 255 artiklan perusteella tehtyjen Euroopan parlamentin ja neuvoston päätösten sekä komission turvallisuussäännösten mukaisesti [2]. [2] Neuvoston päätös 2001/264/EY, tehty 19 maaliskuuta 2001, neuvoston turvallisuussääntöjen vahvistamisesta, ja komission päätös C(2001) 3831. Vaikka laaja avoimuus on tarpeen viraston työn hyväksymisen ja sen antamien asiakirjojen laajan saatavuuden kannalta, se kerää myös tietoja, jotka on pidettävä luottamuksellisina. 3.6. 4 jakso - Varainhoitoa koskevat säännökset Vuosina 2004-2008 virasto tarvitsee riittävät määrärahat edellä kuvatun henkilöstönsä palkkaamiseksi ja asianmukaisen teknisen laitteiston hankkimiseksi henkilöstölle, jotta se voisi hoitaa tehtävänsä ja toimia tehokkaasti. Talousarvio on yksilöity säädökseen liittyvässä rahoitusselvityksessä. Viraston talousarvio rahoitetaan yhteisön rahoitusosuudella sekä viraston työhön osallistuvien kolmansien maiden mahdollisilla rahoitusosuuksilla. Johtaja vastaa ennakkoarvioluonnoksen laatimisesta. Johtokunta esittää komissiolle tulo- ja menoarvion käsiteltäväksi tavanomaisten talousarviomenettelyjen mukaisesti. Johtaja vastaa talousarvion toteuttamisesta. Euroopan parlamentti myöntää neuvoston suosituksesta viraston johtajalle talousarvion toteuttamista koskevan vastuuvapauden. Komission rahoitustarkastaja huolehtii rahoituksen tarkastuksesta. Tilintarkastustuomioistuin tarkastaa viraston tilit ja julkaisee vuotuisen tilintarkastuskertomuksen. 3.7. 5 jakso - Yleiset säännökset 3.7.1. Oikeushenkilöllisyys ja erioikeudet Virastolla on kaikissa jäsenvaltioissa laajin mahdollinen oikeuskelpoisuus ja sillä on samat erioikeudet ja vapaudet, jotka myönnetään Euroopan yhteisöjen erioikeuksia ja vapauksia koskevan pöytäkirjan nojalla. 3.7.2. Vastuu Viraston sopimussuhteeseen perustuva vastuu ja sopimussuhteen ulkopuolinen vastuu vastaavat EY:n perustamissopimuksen 288 artiklan nojalla yhteisöön sovellettavaa järjestelmää. 3.7.3. Henkilöstö Virasto on osaamiskeskus, minkä vuoksi on olennaisen tärkeää, että sillä on riittävästi erittäin pätevää henkilöstöä. Soveltuvat ammattilaiset ovat nykyisin harvassa ja hyvin kysyttyjä Euroopassa. Virasto rekrytoi henkilöstöä sekä julkiselta että yksityiseltä sektorilta. Viraston henkilöstöön sovelletaan Euroopan yhteisöjen virkamiehiin sovellettavia henkilöstösääntöjä sekä muuhun henkilöstöön sovellettavia palvelussuhteen ehtoja. Henkilöstö palkataan määräaikaisin työsopimuksin, joiden kesto on enintään viisi vuotta, vaarantamatta kuitenkaan vakaan, pätevän ja riittävän suuren henkilöstön tarvetta. 3.7.4. Henkilötietojen suojaaminen Virasto käsittelee tehtäviensä yhteydessä myös henkilötietoja ja soveltaa siinä yhteydessä soveltuvia henkilötietojen käsittelysääntöjä yhteisön toimielimen ominaisuudessa. 3.7.5. Kolmansien maiden osallistuminen Viraston toimintaan voivat osallistua ne kolmannet maat, jotka ovat tehneet Euroopan yhteisön kanssa sopimuksen, jonka mukaisesti ne ovat saattaneet voimaan tämän asetuksen soveltamisalaan kuuluvan yhteisön lainsäädännön ja soveltavat sitä. 3.8. 6 jakso - Loppusäännökset 3.8.1. Uudelleentarkastelu Koska verkko- ja tietoturva on erittäin tekninen ja nopeasti kehittyvä ala, paras institutionaalinen järjestely voi ajan mittaan muuttua. Kolmen vuoden kuluttua 26 artiklassa säädetystä aloitusajankohdasta tai aikaisemmin, jos johtokunta pitää sitä tarpeellisena, on aloitettava toiminnan arviointi sen osoittamiseksi, onko toimintaa syytä jatkaa ensimmäisen viisivuotiskauden jälkeen. Tarvittaessa on ehdotettava muutoksia viraston tuleviin vastuisiin, tavoitteisiin ja toimivaltuuksiin. Tässä arvioinnissa arvioidaan erityisesti, kuinka paljon lainvalvonnan osallistumisen puuttuminen on vaikuttanut kielteisesti viraston toiminnan tuloksellisuuteen ja tehokkuuteen. Jos arvioinnissa todetaan tällaisia kielteisiä vaikutuksia, komissio pohtii, onko tarpeen tehdä ehdotus tämän asetuksen täydentämiseksi. 3.8.2. Toimipaikka Viraston toimipaikan on täytettävä seuraavat kriteerit: - sen on oltava viestintäteknisesti helposti saavutettavissa erityisesti sähköisten viestintävalmiuksien osalta ja sijaittava hyvin toimivien ja nopeiden liikenneyhteyksien päässä - sen tulee mahdollistaa viraston tiivis ja tehokas yhteistyö toimielinten niiden yksikköjen kanssa, jotka käsittelevät verkko- ja tietoturva-asioita - sen tulee olla kustannustehokas ja mahdollistaa viraston toiminnan aloittaminen välittömästi - sen tulee tarjota viraston henkilöstön tarvitsema infrastruktuuri. 3.8.3. Kesto Ehdotetaan, että virasto aloittaa toimintansa 1. tammikuuta 2004 ja että se toimii viisi vuotta. Viraston toiminnan jatko riippuu siitä, minkälaisiin tuloksiin päädytään komission ja neuvottelukunnan yhteistyössä suorittamassa arvioinnissa. 2003/0032 (COD) Ehdotus: EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS Euroopan verkko- ja tietoturvaviraston perustamisesta (ETA:n kannalta merkityksellinen teksti) EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan yhteisön perustamissopimuksen ja erityisesti sen 95 ja 156 artiklan, ottavat huomioon komission ehdotuksen [3], [3] EYVL C [...], [...], s. [...]. ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon [4], [4] EYVL C [...], [...], s. [...]. ottavat huomioon alueiden komitean lausunnon [5], [5] EYVL C [...], [...], s. [...]. noudattavat perustamissopimuksen 251 artiklassa määrättyä menettelyä [6], [6] EYVL C [...], [...], s. [...]. sekä katsovat seuraavaa: (1) Viestintäverkoista ja tietojärjestelmistä on tullut taloudellisen ja yhteiskunnallisen kehityksen olennainen tekijä. Tietojenkäsittelystä ja verkottamisesta on tulossa kaikkialla läsnäoleva hyödyke sähkön- ja vedenjakelun tapaan. Viestintäverkkojen ja tietojärjestelmien turvallisuus ja erityisesti niiden saatavuus on siten tulossa yhä tärkeämmäksi kysymykseksi yhteiskunnalle. (2) Verkko- ja tietoturva tarkoittaa palvelujen ja tietojen saatavuuden varmistamista, viestinnän häiriöiden ja luvattoman sieppaamisen ehkäisemistä, sen varmistamista, että lähetetyt, vastaanotetut tai tallennetut tiedot ovat täydellisiä ja ettei niitä ei ole muutettu, tietojen luottamuksellisuuden varmistamista, tietojärjestelmien suojaamista luvattomalta tunkeutumiselta, suojautumista hyökkäyksiltä, joissa käytetään ilkivaltaisia ohjelmistoja, sekä luotettavan todentamisen varmistamista. (3) Turvallisuusaukkojen kasvava määrä on aiheuttanut jo huomattavaa taloudellista vahinkoa, heikentänyt käyttäjien luottamusta ja haitannut sähköisen kaupankäynnin kehittymistä. Yksityishenkilöt, julkishallinnot ja yritykset ovat reagoineet tähän ottamalla käyttöön turvallisuusteknologiaa ja turvallisuuden hallintaan liittyviä menettelyjä. Jäsenvaltiot ovat toteuttaneet lukuisia tukitoimia, kuten tiedotuskampanjoita ja tutkimushankkeita, verkko- ja tietoturvan parantamiseksi koko yhteiskunnassa. (4) Jäsenvaltioiden reaktiot ovat kuitenkin olleet erilaisia eivätkä riittävän koordinoituja, jotta oltaisiin voitu varmistaa tuloksellinen ratkaisu turvallisuusongelmiin. Verkkojen ja tietojärjestelmien teknisen monimutkaisuuden, yhteenliitettyjen tuotteiden ja palvelujen monimuotoisuuden sekä yksityisten ja julkisten omavastuisten toimijoiden suuren määrän takia yhteisön tasolla ei ole vielä kehitetty yhdenmukaista ratkaisua tietoturvakysymykseen. Erityisenä ongelmana on ollut yhteentoimivien turvallisuustuotteiden ja -palvelujen puute, mikä on vaarantanut verkkojen yhteentoimivuuden. Yhdessä nämä tekijät ovat tehneet yhteisön toimien tuloksellisen soveltamisen riippuvaiseksi melko monimutkaisesta teknisestä analyysistä ja erityisosaamisesta. (5) Yhteisön lainsäädännön soveltamiseen liittyvien tietoturvaongelmien käsittelyyn ei ole yhteiseurooppalaista ratkaisua, mikä uhkaa vaarantaa sisämarkkinoiden sujuvan toiminnan. (6) Sähköisten viestintäverkkojen ja -palvelujen yhteisestä sääntelyjärjestelmästä 7 päivänä maaliskuuta 2002 annetussa direktiivissä 2002/21/EY [7] ("puitedirektiivissä") säädetään kansallisten sääntelyviranomaisten tehtävistä, joita ovat Euroopan laajuisten verkkojen luomisen ja kehittämisen sekä yleiseurooppalaisten palvelujen yhteentoimivuuden edistäminen, keskinäinen ja komission kanssa tehtävä avoin yhteistyö johdonmukaisen sääntelykäytännön kehittämiseksi, vaikuttaminen osaltaan korkeatasoisen henkilötietojen ja yksityisyyden suojan varmistamiseen sekä yleisten viestinnän verkkojen eheyden ja turvallisuuden varmistaminen. [7] EYVL L 108, 24.4.2002, s. 33. (7) Sähköisiä viestintäverkkoja ja -palveluja koskevista valtuutuksista 7 päivänä maaliskuuta 2002 annetussa direktiivissä 2002/20/EY [8] annetaan jäsenvaltioille oikeus liittää yleisvaltuutukseen ehtoja, jotka koskevat julkisten verkkojen turvaamista luvatonta tunkeutumista vastaan henkilötietojen käsittelystä ja yksityisyyden suojasta televiestinnän alalla 15 päivänä joulukuuta 1997 annetun direktiivin 97/66/EY mukaisesti. [8] EYVL L 108, 24.4.2002, s. 21. (8) Yleispalvelusta ja käyttäjien oikeuksista sähköisten viestintäverkkojen ja -palvelujen alalla 7 päivänä maaliskuuta 2002 annetussa direktiivissä 2002/22/EY [9] vaaditaan, että jäsenvaltiot toteuttavat kaikki tarvittavat toimenpiteet kiinteiden yleisten puhelinverkkojen turvallisuuden ja toimivuuden takaamiseksi ja että yleisiä puhelupalveluja kiinteään paikkaan tarjoavat yritykset toteuttavat kaikki aiheelliset toimenpiteet taatakseen hätäpalvelujen keskeytymättömän käyttömahdollisuuden. [9] EYVL L 108, 24.4.2002, s. 51. (9) Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12 päivänä heinäkuuta 2002 annetussa direktiivissä 2002/58/EY [10] vaaditaan yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen tarjoamiensa palvelujen turvallisuuden, minkä lisäksi siinä vaaditaan viestinnän ja siihen liittyvien liikennetietojen luottamuksellisuutta. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetussa direktiivissä 95/46/EY [11] vaaditaan jäsenvaltioita säätämään siitä, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi vahingossa tapahtuvalta tai laittomalta tuhoamiselta, vahingossa tapahtuvalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietojen antamiselta, erityisesti jos käsittelyyn liittyy tietojen siirtämistä verkossa, sekä kaikelta muulta laittomalta käsittelyltä. [10] EYVL L 201, 31.7.2002, s. 37. [11] EYVL L 281, 23.11.1995, s. 31. (10) Puitedirektiivi ja sähköisiä allekirjoituksia koskevista yhteisön puitteista 13 päivänä joulukuuta 1999 annettu direktiivi 1999/93/EY [12] sisältävät säännöksiä standardeista, jotka on julkaistava Euroopan yhteisöjen virallisessa lehdessä. Jäsenvaltiot käyttävät myös kansainvälisten elinten tuottamia standardeja sekä tietoturva-alalla maailmanlaajuisesti kehitettyjä de facto -standardeja. Komission ja jäsenvaltioiden on kyettävä arvioimaan, mitkä standardit ovat yhteisön lainsäädännön vaatimusten mukaisia. [12] EYVL L 13, 19.1.2000, s. 12. (11) Tällaiset sisämarkkinoita koskevat toimet edellyttävät jäsenvaltioilta ja komissiolta erimuotoisia teknisiä ja organisatorisia soveltamistapoja. Nämä ovat teknisesti erittäin monimutkaisia tehtäviä vailla yleispäteviä itsestäänselviä ratkaisuja. Näiden vaatimusten epäyhtenäinen soveltaminen voi johtaa tehottomiin ratkaisuihin ja luoda esteitä sisämarkkinoille sekä vaarantaa tietoturvatoimintojen yhteentoimivuuden. Tämä vaatii Euroopan tason osaamiskeskuksen perustamista antamaan tällaisten vaatimusten teknistä ja organisatorista toteuttamista koskevaa opastusta, apua ja lausuntoja, joihin komissio, kansalliset sääntelyviranomaiset ja jäsenvaltioiden toimivaltaiset elimet voivat luottaa. Toimivaltaisiin elimiin verkko- ja tietoturvan alalla kuuluvat jäsenvaltioiden lainvalvonta- ja oikeusviranomaiset. (12) Näihin tarpeisiin voitaisiin vastata perustamalla eurooppalainen virasto, eli Euroopan verkko- ja tietoturvavirasto, jäljempänä 'virasto', joka toimisi alan kiintopisteenä ja vahvistaisi luottamusta riippumattomuutensa, antamiensa lausuntojen ja levittämiensä tietojen laadun, menettelyjensä ja toimintatapojensa avoimuuden sekä sille annettujen tehtävien suorittamisessa osoitetun huolellisuuden ansiosta. Virasto suorittaisi tehtävänsä täydessä yhteistyössä jäsenvaltioiden kanssa ja olisi avoin yhteyksille teollisuuden ja muiden eturyhmien kanssa. (13) Tietoturvaloukkausten kasvavat vaikutukset yhteisön tasolla ja maailmanlaajuisesti edellyttävät nopeaa ja tehokasta vastausta. Tällä hetkellä mikään valtuutettu elin Euroopassa ei kuitenkaan kerää järjestelmällisesti verkko- ja tietoturvaa koskevaa tietoa, jota voitaisiin käyttää tietoturvaloukkausten analysoinnissa. (14) Verkkoja ja tietojärjestelmiä kohtaan tunnetun luottamuksen varmistaminen edellyttää, että yksilöt, yritykset ja julkishallinnot saavat riittävästi tietoa ja ovat riittävän perillä turvallisuusasioista. Viranomaiset ovat ryhtyneet lisäämään tietoisuutta järjestämällä yleisölle tiedotusta. Näitä toimia on kuitenkin kehitettävä edelleen varsinkin uusien haavoittuvuuksien ja niihin liittyvien riskien suhteen. Tiedonvaihdon lisääminen jäsenvaltioiden kesken tulee helpottamaan tällaista tiedotustoimintaa. (15) Vaikka tarvitaan luotettavia prosesseja, on usein vaikea arvioida tuotteiden ja palvelujen luotettavuutta. On olemassa julkisen ja yksityisen sektorin organisoimia arviointi- ja sertifiointijärjestelmiä. Arviointi- ja sertifiointijärjestelmillä on kuitenkin taipumus olla työläitä, kalliita ja hitaita. Kaikille toimijoille, viranomaiset mukaan luettuina, olisi hyötyä paremmasta teknisestä opastuksesta niiden pyrkiessä edistämään sertifiointijärjestelmien tehokkuutta. Teknisesti pätevä eurooppalainen elin, joka antaisi puolueetonta tietoa eri standardien laadusta, parantaisi siten mahdollisuuksia edistää luotettavia turvallisuusstandardeja Euroopassa, mukaan luettuina yksityisyyden suojaa tukevan teknologian standardit. (16) Tehokas tietoturvapolitiikka perustuu kehittyneisiin riskinarviointimenetelmiin niin julkisella kuin yksityiselläkin sektorilla. Riskinarviointimenetelmiä ja -menettelyjä käytetään eri tasoilla vailla yhteistä tehokasta soveltamiskäytäntöä. Riskinarvioinnin parhaiden käytäntöjen edistäminen ja kehittäminen parantaa verkkojen ja tietotietojärjestelmien yhteentoimivuutta ja kohottaa niiden turvallisuustasoa Euroopassa. (17) Viraston työssä olisi hyödynnettävä meneillään olevaa tutkimus-, kehittämis- ja teknologian arvioimistoimintaa ja erityisesti Yhteisessä tutkimuskeskuksessa ja muissa yhteisön tutkimushankkeissa harjoitettavaa tällaista toimintaa. (18) Verkko- ja tietoturvaongelmat ovat maailmanlaajuisia asioita, joita ei voi rajata yksittäisiin jäsenvaltioihin tai yhteisöön. Tietoturvaongelma voi saada alkunsa kolmannessa maassa. Tuotteita ja palveluja kehitetään ja arvioidaan usein kolmansissa maissa. Yhteisöön tultuaan tietoturvatuotteet kiertävät käytännössä rajoituksetta ja palveluja voidaan tarjota vapaasti. Tarvitaan tiiviimpää maailmanlaajuista yhteistyötä tietoturvastandardien ja tiedottamisen parantamiseksi sekä yhteisten torjuntamekanismien kehittämiseksi. Useat yhteisön kansainväliset kumppanit ovat alkaneet perustaa tietoturvaelimiä pystyäkseen parantamaan valmiuksiaan ja politiikan kehittämistään. Tehokas yhteistyö näiden maiden ja maailmanlaajuisen yhteisön kanssa on tullut myös Euroopan tason tehtäväksi. (19) Jotta viraston tehtävien suorittaminen voitaisiin varmistaa käytännössä, jäsenvaltioiden ja komission olisi oltava edustettuina johtokunnassa, jolla on tarvittavat valtuudet hyväksyä talousarvio, valvoa sen täytäntöönpanoa, vahvistaa tarvittavat varainhoitoa koskevat säännöt, luoda avoimet menettelyt viraston päätöksentekoa varten, hyväksyä viraston työohjelma, tutkia jäsenvaltioiden esittämät teknisen tuen pyynnöt ja nimittää johtaja. Kun otetaan huomioon viraston erittäin tekninen ja tieteellinen tehtävä ja toiminta, on tarkoituksenmukaista, että johtokunta koostuu neuvoston ja komission nimittämistä jäsenistä, joilla on erittäin korkeatasoinen ammattitaito viraston toimenkuvan alalla. (20) Virastoon tulisi perustaa neuvottelukunta, joka antaa johtajalle neuvoja jäsenvaltioiden ja viraston välisessä yhteistyössä ja niiden välisen tiedonvaihdon helpottamisessa. Neuvottelukunnan neuvoa-antaviin tehtäviin kuuluu myös ehdotuksen laatiminen viraston vuosittaiseksi työohjelmaksi. Neuvottelukunnan jäsenistöä määritettäessä on varmistettava alan asiantuntemus, mukaan luettuna tietosuojan asiantuntemus. (21) Viraston asianmukainen toiminta edellyttää, että sen johtaja nimitetään ansioiden ja todistuksin osoitettujen hallinnollisten taitojen ja johtamistaitojen sekä verkko- ja tietoturvan kannalta merkityksellisen pätevyyden ja kokemuksen perusteella ja että hänellä on tehtäviensä hoitamisessa täydellinen itsenäisyys ja liikkumavara viraston sisäisen toiminnan organisoinnissa. Tämän vuoksi johtajan tulisi valmistella ja toteuttaa kaikki tarvittavat toimet viraston työohjelman asianmukaisen täytäntöönpanon varmistamiseksi, laatia vuosittain johtokunnalle annettava yleiskertomusluonnos, tehdä ennakkoarviot viraston tuloista ja menoista ja vastata talousarvion toteuttamisesta. (22) Viraston tulisi soveltaa yhteisön lainsäädäntöä, jota on annettu yleisön oikeudesta tutustua asiakirjoihin [13] sekä yksilön suojasta henkilötietojen käsittelyssä [14]. [13] Euroopan parlamentin ja neuvoston asetus (EY) N:o 1049/2001, annettu 30 päivänä toukokuuta 2001, Euroopan parlamentin, neuvoston ja komission asiakirjojen saamisesta yleisön tutustuttavaksi (EYVL L 145, 31.5.2001, s. 43). [14] Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001, annettu 18 päivänä joulukuuta 2000, yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (EYVL L 8, 12.1.2001, s. 1). (23) Siltä osin kuin virasto käsittelee tietoa, joka liittyy tietojärjestelmiä vastaan kohdistuviin laittomiin tekoihin, tietoturvaloukkausten käsittelymenettelyihin ja uhkien arviointiin, vaaditaan tiettyä yleistä poliittista koordinointia sekä kansallisella että Euroopan unionin tasolla. Tällainen koordinointi voidaan varmistaa 7 artiklassa tarkoitetun neuvottelukunnan puitteissa ja toteuttaa tinkimättä 13 artiklassa tarkoitetuista luottamuksellisuusvaatimuksista. (24) Viraston täydellisen itsemääräämisoikeuden ja riippumattomuuden varmistamiseksi pidetään tarpeellisena myöntää sille oikeus noudattaa itsenäisesti laatimaansa talousarviota, jonka tuotot koostuvat suurimmaksi osaksi yhteisön rahoitusosuudesta. Yhteisön talousarviomenettelyä sovelletaan edelleen yhteisöjen yleisestä talousarviosta maksettaviin tukiin; tilintarkastustuomioistuimen tulisi vastata tilintarkastuksesta. (25) Virasto olisi ensin perustettava määräajaksi, jonka jälkeen sen toimintaa olisi arvioitava toiminnan jatkotarpeen määrittämiseksi, OVAT ANTANEET TÄMÄN ASETUKSEN: 1 jakso Tavoitteet ja tehtävät 1 artikla Tavoitteet 1. Perustetaan Euroopan verkko- ja tietoturvavirasto, jäljempänä 'virasto'. 2. Virasto helpottaa verkko- ja tietoturvaan liittyvien yhteisön toimien soveltamista ja auttaa varmistamaan verkkojen ja tietojärjestelmien tietoturvatoimintojen yhteentoimivuuden ja vaikuttaa näin osaltaan sisämarkkinoiden toimintaan. Se lisää yhteisön ja jäsenvaltioiden valmiutta torjua verkko- ja tietoturvaongelmia. 2 artikla Tehtävät Edellä 1 artiklassa esitettyjen tavoitteiden saavuttamiseksi virasto: (a) kerää ja analysoi tietoa, kuten tietoja nykyisistä ja uusista ja erityisesti sellaisista riskeistä, jotka vaikuttaisivat kriittisten viestintäverkkojen toimintakykyyn ja niiden kautta saataviin ja lähetettäviin tietoihin, (b) antaa neuvoja ja lausuntoja tavoitteidensa puitteissa komissiolle ja muille toimivaltaisille elimille, (c) tehostaa verkko- ja tietoturva-alan eri toimijoiden välistä yhteistyötä muun muassa perustamalla kansallisten ja yhteisön elinten verkon, (d) myötävaikuttaa siihen, että kaikkien käyttäjien saatavilla on pikaisesti puolueetonta ja kattavaa tietoa verkko- ja tietoturvakysymyksistä muun muassa siten, että se edistää parhaiden käytäntöjen vaihtoa käyttäjille suunnattujen varoitusmenetelmien suhteen, mukaan luettuina tietoturvahyökkäyksiä koskevat hälytysjärjestelmät, ja pyrkimällä synergiaetuihin julkisen ja yksityisen sektorin toimien välillä, (e) auttaa pyydettäessä komissiota ja kansallisia sääntelyviranomaisia analysoimaan yhteisön lainsäädännössä operaattoreille ja palveluntarjoajille asetettujen verkko- ja tietoturvavaatimusten toteuttamista, mukaan luettuina tietosuojaa koskevat vaatimukset, (f) osallistuu verkko- ja tietoturvastandardien arviointiin, (g) edistää riskinarviointitoimia ja kannustaa yhteentoimivien riskinarviointiratkaisujen kehittämistä organisaatioissa, (h) osallistuu yhteisön yhteistyöhön kolmansien maiden kanssa, mukaan luettuna kansainvälisten foorumeiden kanssa ylläpidettävien yhteyksien helpottaminen, (i) suorittaa mahdolliset muut komission sille antamat tehtävät sen tavoitteiden puitteissa. 3 artikla Määritelmät Tässä asetuksessa tarkoitetaan: - 'verkolla' siirtojärjestelmiä sekä soveltuvin osin kytkentä- tai reitityslaitteistoa ja muita välineitä, joilla voidaan siirtää signaaleja johtojen välityksellä, radioteitse, optisesti tai muulla sähkömagneettisella tavalla, mukaan luettuina satelliittiverkot, kiinteät (piiri- ja pakettikytkentäiset, mukaan luettuna Internet) ja matkaviestinnän maanpäälliset verkot, radio- ja televisiolähetyksiin käytetyt verkot sekä kaapelitelevisioverkot riippumatta siitä, minkä muotoista informaatiota niissä siirretään; - 'tietojärjestelmällä' tietokoneita ja sähköisen viestinnän verkkoja sekä sähköisiä tietoja, joita niissä varastoidaan, käsitellään, hankitaan tai välitetään niiden toimintaa, käyttöä, suojausta tai ylläpitoa varten; - 'verkko- ja tietoturvalla' verkon tai tietojärjestelmän kykyä suojautua tietyllä varmuudella onnettomuuksilta tai laittomilta taikka ilkivaltaisilta toimilta, jotka vaarantavat tallennettujen tai siirrettyjen tietojen ja muiden verkoissa ja tietojärjestelmissä tarjottujen tai välitettävien palvelujen saatavuuden, aitouden, oikeellisuuden ja luottamuksellisuuden; - 'saatavuudella' sitä, että tiedot ovat saatavissa ja palvelut toimivat; - 'todentamisella' organisaatioiden tai käyttäjien esitetyn henkilöllisyyden vahvistamista; - 'tietojen eheydellä' sen varmistamista, että lähetetyt, vastaanotetut tai tallennetut tiedot ovat täydellisiä ja muuttumattomia; - 'tietojen luottamuksellisuudella' viestinnän tai tallennettujen tietojen suojelua niiden luvattomalta sieppaukselta ja lukemiselta; - 'riskillä' sen todennäköisyyttä, että järjestelmän haavoittuvuus heikentää käsiteltyjen tai siirrettyjen tietojen saatavuutta, todentamista, eheyttä tai luottamuksellisuutta sekä tämän vaikutuksen vakavuutta, joka on seurausta tällaisen heikon kohdan tarkoituksellisesta tai tahattomasta käytöstä; - 'riskinarvioinnilla' tieteellistä ja teknologiapohjaista prosessia, joka koostuu seuraavista neljästä vaiheesta: vaaran tunnistaminen, vaaran kuvaaminen, altistumisen arviointi ja riskin kuvaaminen; - 'riskinhallinnalla' riskinarvioinnista erillistä prosessia, jossa verrataan toimenpidevaihtoehtoja, kuullaan asianomaisia osapuolia, otetaan huomioon riskinarviointi ja muut perustellut tekijät ja tarvittaessa valitaan tarkoituksenmukaiset ennaltaehkäisyä ja valvontaa koskevat vaihtoehdot. 2 jakso Organisaatio 4 artikla Viraston elimet Virastoon kuuluu: (a) johtokunta (b) johtaja ja hänen henkilökuntansa (c) neuvottelukunta ja (d) tarpeen mukaan työryhmiä. 5 artikla Johtokunta 1. Johtokuntaan kuuluu kuusi neuvoston nimittämää edustajaa, kuusi komission nimittämää edustajaa sekä kaksi elinkeinoelämän edustajaa ja yksi kuluttajien edustaja, joita komissio ehdottaa ja jotka neuvosto nimittää ilman äänioikeutta toimiviksi edustajiksi. 2. Edustajilla voi olla varaedustajat, jotka nimitetään samanaikaisesti. Heidän toimikautensa pituus on kaksi ja puoli vuotta ja se voidaan uusia yhden kerran. 3. Johtaja osallistuu johtokunnan kokouksiin ilman äänioikeutta ja huolehtii sihteeristöpalveluista. 4. Johtokunta valitsee keskuudestaan puheenjohtajansa kahden ja puolen vuoden pituiseksi toimikaudeksi, joka voidaan uusia. 5. Johtokunta vahvistaa työjärjestyksensä, jonka komissio on hyväksynyt. Jollei toisin säädetä, johtokunnan päätökset tehdään enemmistöpäätöksinä. 6. Johtokunta kokoontuu puheenjohtajan kutsusta tai jos vähintään kolmasosa sen jäsenistä sitä pyytää. 7. Johtokunta vahvistaa viraston sisäiset toimintasäännöt komission tekemän ehdotuksen perusteella. Säännöt on julkistettava. 8. Johtokunta määrittelee viraston toiminnan yleiset suuntaviivat ja varmistaa, että virasto toteuttaa tehtävänsä olosuhteissa, joissa se voi toimia alan kiintopisteenä riippumattomuutensa, antamiensa lausuntojen ja levittämiensä tietojen laadun, menettelyjensä ja toimintatapojensa avoimuuden sekä sille annettujen tehtävien suorittamisessa osoitetun huolellisuuden ansiosta. 9. Johtokunta vahvistaa komission hyväksynnän saatuaan kunkin vuoden tammikuun 31 päivään mennessä viraston työohjelman kyseistä vuotta varten. Johtokunnan on varmistettava, että työohjelma noudattaa yhteisön lainsäädäntöön ja politiikkaan liittyviä painopisteitä verkko- ja tietoturvan alalla. 10. Johtokunta vahvistaa kunkin vuoden maaliskuun 31 päivään mennessä yleiskertomuksen viraston toiminnasta edellisenä vuonna. 11. Johtokunta hyväksyy viraston varainhoitoa koskevat säännöt kuultuaan ensin komissiota. Ne eivät saa poiketa varainhoidon puiteasetuksesta, jonka komissio antaa neuvoston asetuksen (EY, Euratom) N:o 1605/2002 [15] 185 artiklan mukaisesti (jäljempänä 'yleinen varainhoitoasetus'), paitsi jos se on välttämätöntä viraston toiminnasta johtuvien erityisvaatimusten vuoksi ja jos komissio antaa siihen suostumuksen. [15] EYVL L 248, 16.9.2002, s. 1. 6 artikla Johtaja 1. Virastoa johtaa sen johtaja, joka hoitaa tehtäväänsä riippumattomasti. 2. Johtokunta nimittää johtajan komission ehdottaman hyväksyttyjen hakijoiden luettelon perusteella. Luettelo perustuu Euroopan yhteisöjen virallisessa lehdessä ja muualla julkaistuun kiinnostuksenilmaisupyyntöön perustuvaan avoimeen kilpailuun. Ennen nimittämistä johtokunnan esittämä ehdokas kutsutaan viipymättä antamaan lausuntonsa Euroopan parlamentille ja vastaamaan parlamentin jäsenten esittämiin kysymyksiin. Johtokunta voi erottaa johtajan saatuaan tähän komission hyväksynnän. 3. Johtajan toimikauden pituus on kaksi ja puoli vuotta ja se voidaan uusia yhden kerran. 4. Johtaja vastaa: (a) viraston päivittäisestä hallinnosta, (b) viraston vuosittaisten työohjelmaehdotusten laatimisesta neuvottelukuntaa kuullen, (c) työohjelmien ja johtokunnan tekemien päätösten täytäntöönpanosta, (d) sen varmistamisesta, että virasto toteuttaa tehtävänsä sen palvelujen käyttäjien esittämien vaatimusten mukaisesti erityisesti tarjottujen palvelujen sopivuuden osalta, (e) viraston tulojen ja menojen ennakkoarvion laatimisesta ja sen talousarvion toteuttamisesta, (f) kaikista henkilöstöasioista, (g) yhteyksien luomisesta ja ylläpitämisestä Euroopan parlamentin kanssa sekä säännöllisen vuoropuhelun varmistamisesta sen asiaankuuluvien valiokuntien kanssa. 5. Johtajan on joka vuosi esitettävä johtokunnalle hyväksymistä varten (a) ehdotus yleiskertomukseksi viraston kaikista edeltävän vuoden toimista, (b) työohjelmaluonnos. 6. Johtokunnan hyväksyttyä työohjelman johtaja toimittaa sen Euroopan parlamentille, neuvostolle, komissiolle ja jäsenvaltioille sekä julkistaa sen. 7. Johtokunnan hyväksyttyä yleiskertomuksen johtaja toimittaa sen Euroopan parlamentille, neuvostolle, komissiolle, tilintarkastustuomioistuimelle, talous- ja sosiaalikomitealle ja alueiden komitealle sekä julkistaa sen. 7 artikla Neuvottelukunta 1. Neuvottelukuntaan kuuluu yhdeksän johtokunnan ehdottamaa ja johtajan nimeämää asiantuntijaa. Edustajilla voi olla varaedustajat, jotka nimitetään samanaikaisesti. Komission edustajilla on oikeus olla läsnä neuvottelukunnan kokouksissa ja osallistua sen työhön. 2. Neuvottelukunnan jäsenet eivät saa olla johtokunnan jäseniä. 3. Neuvottelukunnan puheenjohtajana toimii johtaja. Se kokoontuu säännöllisesti puheenjohtajan kutsusta tai jos vähintään kolmasosa sen jäsenistä sitä pyytää. Sen toimintamenettelyt vahvistetaan viraston sisäisissä toimintasäännöissä ja julkistetaan. 4. Neuvottelukunnan lausunnot voidaan alistaa äänestykseen. 5. Virasto tarjoaa neuvottelukunnalle tarvittavaa teknistä ja logistista tukea ja huolehtii sen kokousten sihteeristöpalveluista. 6. Neuvottelukunnan tehtävänä on (a) avustaa johtajaa hänelle tämän asetuksen nojalla kuuluvien velvollisuuksien suorittamisessa, erityisesti viraston työohjelmaehdotuksen laatimisessa, (b) avustaa johtajaa viraston ja jäsenvaltioiden toimivaltaisten elinten ja muiden elinten välisen tiiviin yhteistyön varmistamisessa ja erityisesti viraston työn ja jäsenvaltioiden toiminnan keskinäisen johdonmukaisuuden varmistamisessa. 7. Johtaja voi kutsua neuvottelukunnan kokouksiin Euroopan parlamentin edustajia ja edustajia muista elimistä. 3 jakso Toiminta 8 artikla Työohjelma Virasto perustaa toimintansa 5 artiklan 9 kohdan mukaisesti hyväksytyn työohjelman toteuttamiseen. Työohjelma ei estä virastoa ryhtymästä ennakoimattomiin toimiin sen tavoitteiden ja talousarvion puitteissa. 9 artikla Lausunnot 1. Viraston tavoitteiden piiriin kuuluvat lausunto- ja avustuspyynnöt osoitetaan johtajalle ja niihin on liitettävä taustatiedot, jotka selittävät, mistä asiassa on kyse. Johtajan on välitettävä pyyntö komissiolle kymmenen päivän kuluessa. 2. Edellä 1 kohdassa tarkoitettuja pyyntöjä voivat esittää: (a) komissio, (b) kansalliset sääntelyviranomaiset, sellaisena ne se on määritelty puitedirektiivin 2 artiklassa, tai muu jäsenvaltion toimivaltainen elin, jonka johtokunta on tunnustanut tähän tarkoitukseen. 3. Jos virastolla on vaikeuksia pyynnön täyttämisessä tai jos pyyntöä ei ole tehty 1 kohdan mukaisesti tai jos samasta asiasta tehdään eri pyyntöjä, johtaja kuulee johtokuntaa ennen päätöksen tekoa. Jos virasto torjuu pyynnön, sen on perusteltava päätöksensä. Johtaja voi myös pyytää neuvottelukunnalta neuvoja lausuntopyyntöjen asettamisessa tärkeysjärjestykseen. 10 artikla Työryhmät 1. Tarpeen mukaan ja tavoitteidensa puitteissa virasto voi perustaa työryhmiä asiantuntijoista, joita neuvottelukunta ehdottaa ja jotka johtaja nimeää, erityisesti teknisissä ja tieteellisissä asioissa. 2. Työryhmät perustaa neuvottelukunta saatuaan ehdotuksen johtajalta, joka on kuullut johtokuntaa. 3. Komission edustajilla on oikeus olla läsnä työryhmien kokouksissa. 4. Asiantuntijoiden nimittämiseen ja työryhmien toimintaan liittyvät menettelyt on määriteltävä viraston sisäisissä toimintasäännöissä. 11 artikla Riippumattomuus 1. Johtokunnan jäsenet, johtaja ja neuvottelukunnan jäsenet sitoutuvat toimimaan riippumattomasti yleisen edun hyväksi. Tämän vuoksi he tekevät sitoumuksistaan ja etunäkökohdistaan ilmoituksen, jossa he ilmoittavat, että heidän riippumattomuuttaan mahdollisesti heikentäviä välittömiä tai välillisiä etunäkökohtia ei ole. Tällaiset ilmoitukset tehdään kirjallisesti. 2. Työryhmiin osallistuvien ulkopuolisten asiantuntijoiden on ilmoitettava kussakin kokouksessa mahdolliset etunäkökohdat, jotka saattavat heikentää heidän riippumattomuuttaan kokouksen esityslistalla olevien kohtien suhteen. 12 artikla Avoimuus 1. Viraston on varmistettava, että sen toiminta on erittäin avointa ja 13 ja 14 artiklan mukaista. 2. Viraston on varmistettava, että yleisö ja kaikki asianomaiset tahot saavat puolueetonta, luotettavaa ja helposti saatavissa olevaa tietoa tarvittaessa erityisesti viraston työn tuloksista. Sen on myös julkistettava johtokunnan jäsenten, johtajan ja neuvottelukunnan jäsenten etunäkökohtia koskevat ilmoitukset sekä asiantuntijoiden etunäkökohtia koskevat ilmoitukset työryhmien kokousten esityslistalla olevien kohtien suhteen. 3. Johtokunta voi johtajan ehdotuksesta sallia asiaan liittyvien tahojen seurata joidenkin viraston toimien käsittelyä. 4. Virasto vahvistaa sisäisissä toimintasäännöissään 1 ja 2 kohdassa tarkoitettujen avoimuussääntöjen täytäntöönpanoa koskevat käytännön järjestelyt. 13 artikla Luottamuksellisuus 1. Virasto ei saa paljastaa kolmansille osapuolille käsittelemäänsä ja saamaansa sellaista tietoa, jolle on perustellusti pyydetty luottamuksellista käsittelyä, lukuun ottamatta tietoa, joka on paljastettava kansallisen lain nojalla yleisen turvallisuuden varmistamiseksi tai rikosten torjuntaa, tutkintaa, selvittämistä ja syyteharkintaa varten. 2. Johtokunnan ja neuvottelukunnan jäsenet, johtaja ja työryhmiin osallistuvat ulkopuoliset asiantuntijat sekä viraston muu henkilöstö ovat myös tehtäviensä päätyttyä perustamissopimuksen 287 artiklan salassapitovelvollisuutta koskevien vaatimusten alaisia. 3. Virasto vahvistaa sisäisissä toimintasäännöissään 1 ja 2 kohdassa tarkoitettujen salassapitovelvollisuutta koskevien sääntöjen täytäntöönpanoa koskevat käytännön järjestelyt. 4. Ensimmäisessä kohdassa tarkoitetuilla "kolmansilla osapuolilla" ei tarkoiteta komissiota. 14 artikla Asiakirjajulkisuus 1. Viraston hallussa pitämiin asiakirjoihin sovelletaan Euroopan parlamentin, neuvoston ja komission asiakirjojen saamisesta yleisön tutustuttavaksi 30 päivänä toukokuuta 2001 annettua Euroopan parlamentin ja neuvoston asetusta (EY) N:o 1049/2001 [16]. [16] EYVL L 145, 31.5.2001, s. 43. 2. Johtokunta vahvistaa järjestelyt asetuksen (EY) N:o 1049/2001 täytäntöön panemiseksi kuuden kuukauden kuluessa viraston toiminnan aloittamisesta. 3. Asetuksen (EY) N:o 1049/2001 8 artiklan nojalla tehdyistä viraston päätöksistä voidaan kannella oikeusasiamiehelle EY:n perustamissopimuksen 195 artiklan nojalla tai nostaa kanne Euroopan yhteisöjen tuomioistuimessa EY:n perustamissopimuksen 230 artiklan nojalla. 4 jakso Varainhoitoa koskevat säännökset 15 artikla Talousarvion antaminen 1. Viraston tulot koostuvat yhteisön rahoitusosuudesta ja viraston työhön 22 artiklan mukaisesti osallistuvien kolmansien maiden mahdollisista rahoitusosuuksista. 2. Viraston menoihin kuuluvat henkilöstöstä, hallinnollisesta ja teknisestä tuesta, infrastruktuurista ja toiminnasta aiheutuvat menot sekä kolmansien osapuolten kanssa tehdyistä sopimuksista aiheutuvat menot. 3. Johtaja laatii joka vuosi 1 päivään maaliskuuta mennessä ennakkoarvion viraston seuraavan varainhoitovuoden tuloista ja menoista ja toimittaa sen sekä siihen liitetyn henkilöstön määrää kuvaavan taulukon johtokunnalle. 4. Tulojen ja menojen on oltava tasapainossa. 5. Johtokunta esittää joka vuosi 31 päivään maaliskuuta mennessä johtajan laatiman luonnoksen pohjalta viraston tulo- ja menoarvion seuraavaa vuotta varten. Johtokunta toimittaa tämän arvion, johon sisältyy henkilöstötaulukkoluonnos ja alustava työohjelma, komissiolle ja niille valtioille, joiden kanssa yhteisö on tehnyt 22 artiklassa tarkoitetut sopimukset. 6. Komissio vahvistaa tämän arvion perusteella tarvittavat määrät Euroopan yhteisöjen yleistä talousarviota koskevassa alustavassa esityksessä, jonka se toimittaa Euroopan parlamentille ja neuvostolle perustamissopimuksen (jäljempänä 'budjettivallan käyttäjä') 272 artiklan mukaisesti. 7. Budjettivallan käyttäjä määrittää viraston tukemiseksi käytettävissä olevat määrärahat. 8. Budjettivallan käyttäjä vahvistaa viraston henkilöstötaulukon. 9. Sen jälkeen, kun budjettivallan käyttäjä on hyväksynyt Euroopan yhteisöjen yleisen talousarvion, johtokunta vahvistaa viraston lopullisen talousarvion ja työohjelman ja mukauttaa niitä tarvittaessa yhteisön rahoitusosuuden mukaan. Se toimittaa ne viipymättä komissiolle ja budjettivallan käyttäjälle. 16 artikla Petostentorjunta 1. Petosten, lahjonnan ja muun laittoman toiminnan torjumiseksi virastoon sovelletaan rajoituksetta Euroopan petostentorjuntaviraston (OLAF) tutkimuksista 25 päivänä toukokuuta 1999 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1073/1999 [17] säännöksiä. [17] EYVL L 136, 31.5.1999, s. 1. 2. Virasto liittyy Euroopan petostentorjuntaviraston (OLAF) sisäisistä tutkimuksista 25 päivänä toukokuuta 1999 tehtyyn toimielinten väliseen sopimukseen [18] ja antaa välittömästi määräykset, jotka koskevat kaikkia viraston työntekijöitä. [18] EYVL L 136, 31.5.1999, s. 15. 17 artikla Talousarvion toteuttaminen 1. Johtaja vastaa viraston talousarvion toteuttamisesta. 2. Komission sisäinen tilintarkastaja käyttää virastoon nähden samoja valtuuksia kuin komission yksiköihin. 3. Viraston tilinpitäjä toimittaa alustavan tilinpäätöksen ja selvityksen varainhoitovuoden talousarvio- ja varainhallinnosta komission tilinpitäjälle seuraavan varainhoitovuoden maaliskuun 31 päivään mennessä. Komission tilinpitäjä konsolidoi toimielinten ja yleisen varainhoitoasetuksen 128 artiklassa tarkoitettujen hajautettujen elinten alustavat tilinpäätökset. 4. Komission tilinpitäjä toimittaa tilintarkastustuomioistuimelle seuraavan varainhoitovuoden maaliskuun 31 päivään mennessä viraston alustavan tilinpäätöksen sekä selvityksen varainhoitovuoden talousarvio- ja varainhallinnosta. Selvitys varainhoitovuoden talousarvio- ja varainhallinnosta toimitetaan myös Euroopan parlamentille ja neuvostolle. 5. Saatuaan tilintarkastustuomioistuimelta yleisen varainhoitoasetuksen 129 artiklassa tarkoitetut huomautukset viraston alustavasta tilinpäätöksestä johtaja laatii lopullisen tilinpäätöksen, josta hän vastaa, ja toimittaa sen johtokunnalle lausuntoa varten. 6. Johtokunta antaa lausunnon viraston tilinpäätöksestä. 7. Johtaja toimittaa seuraavan varainhoitovuoden 1 päivään heinäkuuta mennessä lopullisen tilinpäätöksen ja johtokunnan lausunnon Euroopan parlamentille, neuvostolle, komissiolle ja tilintarkastustuomioistuimelle. 8. Lopullinen tilinpäätös julkistetaan. 9. Johtaja lähettää tilintarkastustuomioistuimelle vastauksen sen huomautuksiin 30 päivään syyskuuta mennessä. Hän lähettää tämän vastauksen myös johtokunnalle. 10. Euroopan parlamentti myöntää neuvoston määräenemmistöllä antamasta suosituksesta johtajalle viimeistään vuoden N+2 30 päivään huhtikuuta mennessä vuoden N talousarvion toteuttamista koskevan vastuuvapauden. 5 jakso Yleiset säännökset 18 artikla Oikeushenkilöllisyys ja erioikeudet 1. Virasto on yhteisön elin. Se on oikeushenkilö. 2. Virastolla on kussakin jäsenvaltiossa laajin oikeushenkilölle kansallisen lainsäädännön mukaan kuuluva oikeuskelpoisuus. Se voi erityisesti hankkia ja luovuttaa irtainta ja kiinteää omaisuutta sekä esiintyä kantajana ja vastaajana oikeudenkäynneissä. 3. Virastoa edustaa sen johtaja. 4. Virastoon ja sen henkilöstöön sovelletaan Euroopan yhteisöjen erioikeuksia ja vapauksia koskevaa pöytäkirjaa. 19 artikla Vastuu 1. Viraston sopimussuhteeseen perustuva vastuu määräytyy sopimukseen sovellettavan lain mukaan. Euroopan yhteisöjen tuomioistuimella on toimivalta ratkaista asia viraston tekemässä sopimuksessa olevan välityslausekkeen nojalla. 2. Sopimussuhteen ulkopuolista vastuuta koskevissa asioissa viraston on korvattava viraston tai sen henkilöstön tehtäviään suorittaessaan aiheuttamat vahingot jäsenvaltioiden lainsäädännön yhteisten yleisten periaatteiden mukaisesti. Euroopan yhteisöjen tuomioistuimella on tuomiovalta tällaisten vahinkojen korvaamista koskevissa riita-asioissa. 3. Toimihenkilöiden henkilökohtaista vastuuta virastoa kohtaan säännellään viraston henkilöstöön sovellettavissa asiaa koskevissa määräyksissä. 20 artikla Henkilöstö 1. Viraston henkilöstöön sovelletaan Euroopan yhteisöjen virkamiehiin ja muuhun henkilöstöön sovellettavia sääntöjä ja määräyksiä. 2. Virasto käyttää henkilöstöönsä nähden valtuuksia, jotka Euroopan yhteisöjen virkamiehiin sovellettavien henkilöstösääntöjen ja muuhun henkilöstöön sovellettavien palvelussuhteen ehtojen mukaan kuuluvat nimittävälle viranomaiselle ja viranomaiselle, jolla on toimivalta tehdä sopimuksia, sanotun kuitenkaan rajoittamatta 5 artiklan soveltamista. 21 artikla Henkilötietojen suojaaminen Kun virasto käsittelee henkilöihin liittyviä tietoja, sen on noudatettava yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 [19] säännöksiä. [19] EYVL L 8, 12.1.2001, s. 1. 22 artikla Kolmansien maiden osallistuminen 1. Viraston toimintaan voivat osallistua ne maat, jotka ovat tehneet Euroopan yhteisön kanssa sopimuksen, jonka mukaisesti ne ovat saattaneet voimaan tämän asetuksen soveltamisalaan kuuluvan yhteisön lainsäädännön ja soveltaneet sitä. 2. Näiden sopimusten asianomaisten määräysten nojalla tehdään järjestelyjä, joilla täsmennetään näiden maiden osallistumista viraston toimintaan ja sen laajuutta ja tapaa. Näihin järjestelyihin kuuluvat määräykset, jotka koskevat osallistumista viraston johtamiin verkostoihin, sekä rahoitusosuuksia ja henkilöstöä. 6 jakso Loppusäännökset 23 artikla Uudelleentarkastelu 1. Komissio suorittaa yhteistyössä neuvottelukunnan kanssa kolmen vuoden kuluttua 26 artiklan mukaisesta aloituspäivämäärästä tai aikaisemmin, jos johtokunta pitää sitä tarpeellisena, arvioinnin johtokunnan kanssa sovittujen perusteiden mukaisesti. Arvioinnissa (a) tarkastellaan viraston työskentelytapoja ja sen toiminnan vaikutusta, (b) tarkistetaan sisällöllisesti tavoitteet ja vakiintuneet menetelmät (c) esitetään tarvittaessa muutoksia ottaen huomioon Euroopan unionin institutionaalinen ja oikeudellinen kehitys ja erityisesti laajemmat turvallisuuskysymykset, mukaan luettuina yleistä turvallisuutta ja lainvalvonnan osallistumista koskevat kysymykset. 2. Arviointi julkistetaan. 3. Komissio suorittaa arvioinnin erityisesti voidakseen päätellä, tulisiko viraston toimiaikaa jatkaa 26 artiklassa ilmoitetun ajankohdan jälkeen. 24 artikla Hallinnollinen valvonta Viraston toiminta kuuluu oikeusasiamiehen valvonnan alaisuuteen perustamissopimuksen 195 artiklan määräysten mukaisesti. 25 artikla Toimipaikka Viraston toimipaikasta päättävät toimivaltaiset viranomaiset komission ehdotuksesta viimeistään kuuden kuukauden kuluttua tämän asetuksen antamisesta. 26 artikla Kesto Viraston toiminta alkaa 1 päivänä tammikuuta 2004 ja päättyy 31 päivänä joulukuuta 2008. 27 artikla Voimaantulo Tämä asetus tulee voimaan [...] päivänä sen jälkeen, kun se on julkaistu Euroopan yhteisöjen virallisessa lehdessä. Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa. Tehty Brysselissä [...] Euroopan parlamentin puolesta Neuvoston puolesta Puhemies Puheenjohtaja SÄÄDÖKSEEN LIITTYVÄ RAHOITUSSELVITYS Politiikan ala(t): Tietoyhteiskunta Toiminnan ala(t): Verkko- ja tietoturva Toimenpiteen nimi: Ehdotus Euroopan parlamentin ja neuvoston asetukseksi Euroopan verkko- ja tietoturvaviraston perustamisesta 1. BUDJETTIKOHTA/-KOHDAT Ehdotetaan uutta budjettikohtaa (tämä toimenpide on osa APS 2003 -strategiaa). 2. NUMEROTIEDOT 2.1. Toimenpiteen kokonaismäärärahat (B osa): milj. euroa maksusitoumusmäärärahoina 24,3 miljoonaa euroa EUR 15 -valtioille (EUR+ 10 aiheuttaa 9 miljoonan euron lisäyksen, joka tekee toimenpiteen kokonaiskustannuksiksi 33,3 miljoonaa euroa). Tämä toimenpide sisältyi komission tiedonantoon SEC(2002) 217/9 Euroopan parlamentille ja neuvostolle 27. helmikuuta 2002. 2.2. Toimenpiteen soveltamisaika: 2004 - 2008 2.3. Monivuotinen kokonaismenoarvio: a) Maksusitoumusmäärärahojen/maksumäärärahojen aikataulu (rahoitustuki) milj. euroa (kolmen desimaalin tarkkuudella) >TAULUKON PAIKKA> b) Tekninen ja hallinnollinen apu ja tukimenot >TAULUKON PAIKKA> >TAULUKON PAIKKA> c) Henkilöstö- ja muiden hallintomenojen kokonaisvaikutus rahoitukseen >TAULUKON PAIKKA> >TAULUKON PAIKKA> 2.4. Yhteensopivuus ohjelmasuunnitelman ja rahoitusnäkymien kanssa Ehdotus edellyttää rahoitusnäkymien kyseisen otsakkeen ohjelmasuunnitelman muuttamista. 2.5. Vaikutukset tuloihin [20] [20] Lisätietoja erillisessä ennakkoarvioinnissa. Ei vaikuta tuloihin (kyseessä ovat toimenpiteen toteuttamiseen liittyvät tekniset näkökohdat). 3. BUDJETTITIEDOT >TAULUKON PAIKKA> 4. OIKEUSPERUSTA Euroopan yhteisön perustamissopimuksen 95 ja 156 artikla 5. KUVAUS JA PERUSTELUT 5.1. Yhteisön toiminnan tarve [21] [21] Lisätietoja erillisessä ennakkoarvioinnissa. Ennakkoarviointi osoittaa, että vaihtoehdot, esimerkiksi komission sisäinen verkosto tai jäsenvaltioiden yhteyshenkilöiden verkosto, eivät täytä objektiivisia laatukriteereitä (avoimuus, kustannustehokkuus ja näkyvyys) eivätkä tuota sellaista lisäarvoa kuin sääntelyvirasto. Ensimmäinen vaihtoehto ei ole toteutettavissa, koska komissiolla ei tarvittavaa verkko- ja tietoturvan asiantuntemusta talon sisällä. Jälkimmäisellä vaihtoehdolla, kansallisten yhteyshenkilöiden verkostolla, on suuria haittapuolia, kuten: * komissio ei voi valvoa työtä; verkosto vaatii enemmän rahoitus- ja henkilöstöresursseja, koska toimintoja ei keskitetä vaan ne kertautuvat kaikissa jäsenvaltioissa; * tietoisuus rajat ylittävästä ulottuvuudesta ei ole riittävä, sillä voidaan odottaa, että kansalliset viranomaiset keskittyvät etupäässä kansallisiin kysymyksiin; * työn näkyvyys on rajallista eikä tarjolla ole yhteistä yhteyspistettä kansainvälisille keskusteluille, jotka ovat tällä alalla välttämättömiä. Tämän johdosta nykyinen ehdotus noudattelee rakenteellisia suuntaviivoja, jotka on esitetty äskettäin hyväksytyssä komission tiedonannossa Euroopan unionin sääntelyvirastojen toimintakehys (KOM(2002) 718 lopullinen, 11. joulukuuta 2002). Ensisijaisena tavoitteena on kohdentaa toiminta (kuten tehtäväluettelosta voi päätellä) sääntelykysymyksiin ja samalla tukea jäsenvaltioita ja komissiota verkko- ja tietoturvaan liittyvissä erittäin teknisissä ja teknologisissa kysymyksissä. Kohdentamisen ja näkyvyyden lisääminen yhteisön koordinoidussa reagoinnissa kasvaviin turvallisuusuhkiin on erityisen tarpeen syyskuun 11. päivän tapahtumien jälkeen, kun verkko- ja tietoturvasta tuli tärkeä poliittisesti tärkeä asia. 5.1.1. Toiminnan tavoitteet Verkkojen ja tietojärjestelmien varassa on paljon, minkä vuoksi niiden varmatoimisuudesta on tullut keskeinen kysymys. Tietojärjestelmät ovat ratkaisevan tärkeitä koko taloudelle, eivätkä vain useimmille teollisuuden aloille vaan myös julkiselle sektorille ja yksityisille kansalaisille. Näiden järjestelmien häiriöt koskettavat kaikkia: kansalaisia, yrityksiä ja julkishallintoja ja yrityksiä. Tietoturvasta on siksi tullut tärkeä poliittinen kysymys. Hallitukset kokevat kasvavaa vastuuta yhteiskunnasta ja ponnistelevat entistä enemmän parantaakseen turvallisuutta alueellaan. Jäsenvaltiot ovat työssään kuitenkin eri tasoilla ja huomion kohde vaihtelee. Jäsenvaltioiden välillä ei ole järjestelmällistä rajat ylittävää yhteistyötä verkko- ja tietoturva-asioissa, vaikka turvallisuus ei voi olla erillinen maakohtainen kysymys. Meiltä puuttuu mekanismi tehokkaan vastauksen antamiseksi turvallisuusuhkiin. Sääntelyjärjestelmän täytäntöönpano vaihtelee. Yhteentoimivuus on puutteellista, mikä hankaloittaa tietoturvatuotteiden kunnollista käyttöä. Vaikka politiikkojen täydellinen yhdenmukaistaminen ei ole tarpeen, unioni hyötyisi siitä, että jäsenvaltiot tehostaisivat koordinointiaan riittävän korkean turvallisuustason saavuttamiseksi kaikissa jäsenvaltioissa. Sisämarkkinat hyötyisivät koordinoidusta eurooppalaisesta lähestymistavasta verkko- ja tietoturvan alalla ja osaamisen keräämisestä jäsenvaltioista. Samalla tämä tukisi innovaatioita ja eurooppalaisten yritysten maailmanlaajuista kilpailukykyä. Ehdotetun viraston on tarkoitus tehostaa verkko- ja tietoturvaa Euroopassa ja parantaa jäsenvaltioiden valmiuksia torjua yksin tai yhdessä suurimpia verkko- ja tietoturvaongelmia. 5.1.2. Ennakkoarviointiin liittyvät toimenpiteet Komission tiedonannossa Verkko- ja tietoturva: Ehdotus eurooppalaiseksi lähestymistavaksi (KOM(2001) 298 lopullinen), ehdotettiin toimenpiteitä tietoturvan parantamiseksi Euroopassa. Neuvoston 28. tammikuuta 2002 antamassa päätöslauselmassa yhteisestä lähestymistavasta ja erityisistä toimista verkko- ja tietoturvallisuuden alalla kehitettiin tätä ajatusta eteenpäin. On kuitenkin käynyt selväksi, että nykyiset institutionaaliset järjestelyt eivät salli verkko- ja tietoturvan asianmukaista käsittelemistä Euroopan tasolla. Päätöslauselmassa suhtaudutaankin myönteisesti komission ehdotukseen "tietoverkkoturvallisuuden työryhmän" perustamisesta verkko- ja tietoturvaongelmien torjumiseksi. Tämä tietoverkkoturvallisuuden työryhmä on nyt saanut määräaikaisen sääntelyviraston muodon. Virastolle on harkittu useita vaihtoehtoja, mutta tällaiselle taholle tarkoitettujen tehtävien kannalta sopivaa vaihtoehtoa ei ole löydetty. Ennakkoarviointi sisältää yksityiskohtaisemman analyysin uuden viraston perustamisen taustaksi. 5.2. Kaavaillut toimintalinjat 5.2.1. Tavoitteet Viraston yleinen tavoite on luoda Eurooppaan tietoturva-asioita koskeva yhteisymmärrys, joka on tarpeen unionin verkkojen ja tietojärjestelmien saatavuuden ja turvallisuuden varmistamiseksi. Viraston on kyettävä seuraaviin toimiin: - antamaan apua verkko- ja tietoturvaan liittyvien yhteisön sääntöjen soveltamisessa - sen antama apu auttaa varmistamaan verkkojen ja tietojärjestelmien tietoturvatoimintojen yhteentoimivuuden, mikä myötävaikuttaa sisämarkkinoiden toimintaan - lisäämään sekä yhteisön että jäsenvaltioiden valmiutta torjua verkko- ja tietoturvaongelmia. Virasto tulee olemaan avainasemassa Euroopan verkkojen ja tietojärjestelmien turvallisuuden sekä tietoyhteiskunnan yleisen kehittämisen turvallisuuden kannalta. 5.2.2. Tehtävät Virastolla on seuraavat tehtävät: - sillä on neuvoa-antavia ja koordinoivia tehtäviä, joissa se kerää ja analysoi tietoturvaa koskevaa tietoa. Nykyisin sekä julkiset että yksityiset tahot, joilla on erilaisia tavoitteita, keräävät tietoa tietoturvaloukkauksista ja muista tietoturvallisuuden kannalta tärkeistä asioista. Euroopan tasolla ei kuitenkaan ole keskitettyä kokonaisuutta, joka kattavasti keräisi ja analysoisi tietoja sekä antaisi lausuntoja ja neuvoja yhteisön verkko- ja tietoturvapolitiikan kehittämisen tueksi. - virasto toimii osaamiskeskuksena, josta sekä jäsenvaltiot että yhteisön toimielimet voivat pyytää lausuntoja ja neuvoja turvallisuuteen liittyvissä teknisissä asioissa. - se osallistuu myös tietoturva-alan eri toimijoiden väliseen yleiseen yhteistyöhön esimerkiksi tukemalla turvatun sähköisen kaupankäynnin seurantaa. Tällainen yhteistyö on keskeinen edellytys verkkojen ja tietojärjestelmien turvalliselle toiminnalle Euroopassa. Kaikkien asianosaisten mukanaolo on tarpeen. - se pyrkii osaltaan koordinoimaan tietoturva-ajattelua tukemalla jäsenvaltioita esimerkiksi riskinarvioinnin edistämisessä ja tiedotuskampanjoiden järjestämisessä. - se varmistaa verkkojen ja tietojärjestelmien yhteentoimivuuden jäsenvaltioiden soveltaessa turvallisuuteen vaikuttavia teknisiä vaatimuksia. - se kartoittaa standardointitarpeita, arvioi nykyisiä turvallisuusstandardeja ja sertifiointijärjestelmiä ja edistää niiden mahdollisimman laajaa käyttöä eurooppalaisen lainsäädännön tukena. - se tukee alan kansainvälistä yhteistyötä, joka on yhä välttämättömämpää verkko- ja tietoturvan maailmanlaajuisesta luonteesta johtuen. 5.3. Toteutusta koskevat yksityiskohtaiset säännöt Ehdotetaan, että perustetaan sääntelyvirasto ensin viiden vuoden ajaksi ja että se on komission ulkopuolinen yksikkö, 'virasto'. Virasto on oikeushenkilö. Virastoon kuuluu johtokunta, johtaja ja neuvottelukunta. Yleinen vastuu toimintaperiaatteiden kehittämisestä, johtamisesta ja johtajan nimittämisestä kuuluu johtokunnalle. Neuvottelukunta koostuu asiantuntijoista ja sillä on neuvoa-antavia tehtäviä tiiviin yhteistyön varmistamiseksi jäsenvaltioiden ja niissä toimivien alan organisaatioiden kanssa. 6. RAHOITUSVAIKUTUKSET 6.1. Kokonaisrahoitusvaikutus, B osa (koko ohjelmakaudeksi) Viraston tärkein tehtävä on toimia osaamiskeskuksena ja sen henkilöstö itse antaa pitkälti lausunnot ja neuvot. Tämä tarkoittaa myös sitä, että viraston hallinnolliset kulut ovat merkittävä osa kokonaisbudjettia. 6.1.1. Rahoitustuki Maksusitoumusmäärärahat milj. euroa (kolmen desimaalin tarkkuudella) >TAULUKON PAIKKA> 6.1.2. Tekninen ja hallinnollinen apu, tukimenot ja tietotekniikkakustannukset (maksusitoumusmäärärahat) >TAULUKON PAIKKA> 6.2. Toimenpidekohtainen kustannuslaskelma, B osa (koko ohjelmakaudeksi) Seuraavassa taulukossa on eritelty viraston kustannukset sen ehdotettuna toiminta-aikana. Laskutavassa tehdään ero nykyisen tilanteen, jossa on 15 EU-jäsenvaltiota, ja 10 uuden jäsenvaltion liittymisen välillä vuonna 2004. Luvut on selitetty jäljempänä kohdissa a) - f). >TAULUKON PAIKKA> a) Valmistelut Virasto aloittaa toimintansa tammikuussa 2004. Vuoden 2003 talousarvio sisältää tätä varten Modinis-ohjelman budjetin, vaikka se ei suoranaisesti liity tähän alamomenttiin [22]. Yksi tämän ohjelman päätoimista on "verkko- ja tietoturvan parantaminen", samoin kuin neuvoston 28 tammikuuta 2002 antamassa päätöslauselmassa ja eEurope 2005 -toimintasuunnitelmassa tarkoitetun "tietoverkkoturvallisuuden työryhmän perustamisen valmistelu" muun muassa rahoittamalla selvityksiä, tutkimuksia ja seminaareja sellaisista aiheista kuin tietoturvamekanismit ja niiden yhteentoimivuus, verkkojen luotettavuus ja suoja, kehittyneet salaustekniikat, yksityisyyden suoja ja tietoturva langattomassa viestinnässä. [22] Televiestintäneuvostossa saavutettiin poliittinen yhteisymmärrys 5. joulukuuta, ja virallinen päätös tehdään televiestintäneuvostossa maaliskuussa 2003. b) Henkilöstöresurssit (sisältäen rakennukset ja asiaan liittyvät hallinnolliset kulut) Virasto tarvitsee hyvin erikoistunutta ja pätevää henkilöstä tehtäviensä hoitamiseen. Soveltuvat ammattilaiset ovat nykyisin harvassa ja hyvin kysyttyjä Euroopassa. Virasto rekrytoi henkilöstöä sekä julkiselta että yksityiseltä sektorilta. Sen henkilöstöön kuuluu 31 henkilöä, kun sen toiminta on täysin käynnissä 15 jäsenvaltion unionissa. Viisi näistä henkilöistä hoitaa viraston yleistä johtamista ja hallintoa, ja 26 palkataan asetusluonnoksen 2 artiklassa mainittuihin operatiivisiin tehtäviin. Johdon ja hallinnollisen tuen henkilömäärät perustuvat yhteisön nykyisten virastojen kokemuksiin. Operatiivisista tehtävistä vastaavista 26 henkilöstä 1 muodostaa vastaa sihteeristöpalveluista ja loput rekrytoidaan erityiskokemuksen mukaisesti: 6 riskien analysoinnin ja hallinnan, 6 verkon valvonnan, 3 verkko- ja tietojärjestelmien teknisten komponenttien, 2 tiedotuksen ja viestinnän, 4 tietoturvaloukkausten ja niiden torjunnan ja 4 jäsenvaltioiden viranomaisten tietoturvatoimien koordinoinnin alalta. Tämä henkilöstökokoonpano perustuu tarkkoihin analyyseihin, joita on tehty kansallisten tietoturvaviranomaisten ja vastaavien yksityisen ja julkisen sektorin tietoturvaelinten, esimerkiksi tietoturvaloukkausten torjuntaryhmien kanssa käytyjen keskustelujen jälkeen. Siinä otetaan huomioon odotettu työmäärä ja se on suoraan sidoksissa viraston tehtäväluetteloon. Määrät on supistettu budjettirajoitusten takia mahdollisimman pieniksi. Kun virasto on täysin käynnissä, vuosittaiset henkilöstökustannukset 15 jäsenvaltion unionissa ovat 3,348 miljoonaa euroa, mikä perustuu komission keskimääräisiin henkilöstökustannuksiin 108 000 euroa virkamiestä ja vuotta kohti, johon sisältyvät rakennus- ja muut hallintokulut. On odotettavaa, että koko henkilöstöä ei rekrytoida kerralla, joten taulukko 6.2 perustuu vähittäisen rekrytoinnin malliin: 10 henkilöä vuonna 2004, 29 henkilöä vuonna 2005 ja kaikki 31 henkilöä vuonna 2006. Ehdotetun 20 artiklan mukaan viraston henkilöstöön sovelletaan Euroopan yhteisöjen virkamiehiin ja muuhun henkilöstöön sovellettavia sääntöjä ja määräyksiä. >TAULUKON PAIKKA> c) Laitteistokustannukset Huonekalut: Huonekalujen ja toimistotarvikkeiden hankinta maksaa ensimmäisenä vuonna 0,100 miljoonaa euroa ja 0,025 miljoonaa euroa seuraavina vuosina. Toimistotila ja siihen liittyvät hallintokustannukset sisältyvät henkilöstökustannuksiin. Tietotekniikka: Kun otetaan huomioon viraston tehtävä, se tulee todennäköisesti olemaan hakkerointi- ja muiden tietoturvahyökkäysten kohde. Sen täytyy olla riittävän suojattu tällaisia uhkia vastaan. Erittäin kehittynyt tietotekniikkalaitteisto ja korkeatasoinen tietoturva tulevat olemaan virastolle erityisen tärkeitä. Huippuluokan suojan varmistamiseksi tietotekniikkalaitteiden kokonaiskustannukset virkamiestä kohti vuodessa ovat keskimäärin 15 500-18 000 euroa. Tietotekniikan kokonaiskustannukset tulevat olemaan 0,220 miljoonaa euroa ensimmäisenä vuonna, 0,480 miljoonaa euroa toisena vuonna ja 0,528 miljoonaa euroa vuodessa seuraavina vuosina. Verkkosivuston ylläpito: Tiedottaminen sekä suurelle yleisölle että erikoistuneelle kohdeyleisölle tulee olemaan keskeinen tekijä viraston toiminnassa. Tämä tapahtuu olennaisilta osin verkkopohjaisesti (web). Vähimmäiskustannuksiksi (jotka kattavat vain perustarpeet) arvioidaan 0,150 miljoonaa euroa ensimmäisenä vuonna ja 0,050 miljoonaa euroa vuodessa sen jälkeen. (d) Toimintakustannukset Julkaisut: Vaikka verkkosivusto toimii välineenä useimmille viraston julkaisuille, viraston on kuitenkin jonkin verran julkaistava virallisia raportteja ja tiedotusaineistoa myös painetussa muodossa erityisesti yhteisön toimielimiä varten. Tällaisten julkaisujen kustannuksiksi arvioidaan 35 000 euroa ensimmäisenä vuonna ja 50 000 euroa seuraavina vuosina. Konferenssit: Ensimmäisenä vuonna konferenssien järjestämiseen käytettäneen 0,100 miljoonaa euroa, toisena vuonna 0,150 miljoonaa euroa ja seuraavina vuosina 0,200 miljoonaa euroa. Konferenssien tarkoitus on etupäässä varmistaa viraston työn tulosten levittäminen laajemmalle yleisölle sekä yksityisen että julkisen sektorin piirissä. Virkamatkat: Tiiviit yhteydet jäsenvaltioihin sekä - verkkoturvan maailmanlaajuisen luonteen vuoksi - kolmansiin maihin ovat tärkeä osa viraston strategiaa. Näiden tehtävien suorittamisen edellyttämien virkamatkojen kustannuksiksi arvioidaan 0,140 miljoonaa euroa ensimmäisenä vuonna ja 0,200 miljoonaa euroa vuodessa seuraavina vuosina. Kokoukset: Asetusluonnoksessa määritetään johtokunnan, neuvottelukunnan sekä työryhmien perustaminen. Näiden elinten toiminnan yksityiskohdat (kokousväli jne.) määrätään viraston sisäisessä työjärjestyksessä. Kustannusarviossa käytetään kuitenkin perustana yleistä käytäntöä, eli kolme johtokunnan kokousta vuodessa ja neuvottelukunnan kokous kerran kuukaudessa. Johtokunnan ja neuvottelukunnan kokousten kokonaismäärä on 15 vuodessa. Kokoustila- ja kääntämiskustannukset ovat 7 000 euroa kokoukselta ja lisäksi matkakustannukset ovat 700 euroa. Vuosikustannukset ovat siten 115 000 euroa. Työryhmiä perustetaan todennäköisesti jonkun ajan kuluttua. Ensimmäisenä vuonna asiantuntijakokouksia on vähemmän. Kääntäminen: Kääntämiseen kuluvien kustannusten ja ajan vähentämiseksi viraston sisäinen työ ja asiakirjat tehdään vain yhdellä työskentelykielistä. Jäsenvaltioille lähetettävät ja niistä tulevat asiakirjat on mahdollisesti kuitenkin käännettävä. Näiden käännösten kustannuksia on arvioitava kokemuksen valossa. Kustannusten kattamiseksi kaavaillaan 0,160 miljoonaa euroa ensimmäisenä vuonna ja 0,200 miljoonaa euroa vuodessa seuraavina vuosina. (e) Selvitykset ja tutkimukset Verkko- ja tietoturvan erittäin erikoistunut luonne ja verkottuneen maailman muuttuva luonne tuovat uusia ja ennakoimattomia maailmanlaajuisia haasteita. Koska viraston henkilöstön määrä on rajallinen, joissakin tehtävissä on tarpeen käyttää ulkopuolisia asiantuntijoita. Tällaista ulkopuolista asiantuntemusta käytetään esimerkiksi tutkimuksissa, joissa kerätään tietoa ja tilastoja teknologian kehittymisen vaikutuksista tietoturvanäkökohtiin, kuten riskien arviointi- ja hallintamenetelmiin, tutkimustoiminnan tulosten sisällyttämisestä uusiin teknologioihin sekä kolmansissa maissa kehitetyistä verkkoturvaratkaisuista. Kerättyjen tietojen perusteella virasto antaa lausuntoja ja neuvoja komissiolle ja muille toimivaltaisille elimille, ehdottaa ratkaisuja toimijoiden välisen yhteistyön tehostamiseksi, myötävaikuttaa siihen, että saatavilla on pikaista, puolueetonta ja kattavaa tietoa ja osallistuu yhteisön yhteistyöhön kolmansien maiden kanssa. Selvitysten kokonaiskustannukset ovat 3,445 miljoonaa euroa. Ensimmäisten vuosien aikana virasto ei välttämättä toimi täysimääräisesti, ja selvityksiin tarvitaan arviolta 0,420 miljoonaa euroa vuonna 2004 ja 0,550 miljoonaa euroa vuonna 2005 ja 0,825 miljoonaa euroa seuraavina vuosina. Selvitysten keskimääräiset kustannukset ovat 0,200 miljoonan ja 0,300 miljoonan välillä. (f) Laskelmat uusien 10 jäsenvaltion kanssa Kymmenen uuden jäsenvaltion myötä henkilöstön määrä kasvaa vastaavasti, koska myös uusien maiden osallistumista ja asiantuntemusta tarvitaan. Lisäys tehdään vähitellen: 5 henkilöä vuonna 2004, 9 vuonna 2005 ja 13 henkilöä vuosina 2006-2008. Näistä 13:sta henkilöstä 10 edustaa uusia maita ja kolmella on sihteeri- ja tukitehtäviä. Työntekijöiden määrän kasvaminen lisää myös huonekalujen ja tietotekniikkalaitteiden tarvetta. Laitteistokustannusten kasvaminen vastaa uusien työntekijöiden määrän kasvua, lukuun ottamatta ensimmäistä vuotta, jolloin kustannukset ovat korkeammat (ks. edellä esitetyt laskelmat). Konferenssien ei odoteta vaativan lisäkustannuksia uusien maiden kanssa, mutta julkaisut on tehtävä suuremmalle kohdeyleisölle ja maksavat siten enemmän. Tarvitaan myös virkamatkoja uusiin maihin niiden ottamiseksi mukaan yhteistyöhön ja tiedonvaihtojärjestelmiin jne. Kokouksiin osallistuu enemmän väkeä, ja käännöksiä tarvitaan enemmän. Nämä laskelmat on tehty samassa suhteessa kuin 15 jäsenvaltion kanssa. Myös selvitysten kuluja on lisättävä uusien maiden kanssa, sillä on tärkeää saada täydellinen kuva tietoturvatilanteesta näissä maissa ja siitä, mitä erityistarpeita voi nousta esiin maiden liittyessä unioniin. Vuonna 2004 on liian aikaista tehdä muuta kuin perusselvitys, mutta vuonna 2005 on tärkeää saada täydellinen kuva uusista maista, mikä nostaa selvitysten kustannuksia kyseisenä vuonna. 7. VAIKUTUKSET HENKILÖSTÖÖN JA HALLINTOMENOIHIN Henkilöstö- ja hallintotarpeet katetaan toimenpiteestä vastaavalle pääosastolle myönnetyistä varoista vuotuisen talousarvion puitteissa. 7.1. Vaikutus henkilöstöön >TAULUKON PAIKKA> 7.2. Henkilöstön taloudellinen kokonaisvaikutus >TAULUKON PAIKKA> Määrät edustavat 12 kuukauden kokonaismenoja. 7.3. Muut toimesta johtuvat hallintomenot >TAULUKON PAIKKA> Määrät edustavat 12 kuukauden kokonaismenoja. Mainittava komitean laji sekä ryhmä, johon se kuuluu. >TAULUKON PAIKKA> 8. SEURANTA JA ARVIOINTI 8.1. Seurantajärjestelmä Yhteisön varojen tehokkaan käytön varmistamiseksi komissio varmistaa, että tämän päätöksen mukaisesti toteutettaviin toimiin ryhdytään vasta julkisten hankintamenettelyjen jälkeen ja että toimia seurataan ja arvioidaan asianmukaisesti. 8.2. Arvioinnin yksityiskohtaiset säännöt ja arviointijaksot Komissio tarkastelee yhdessä neuvottelukunnan kanssa viraston toimintakäytäntöjä ja sen toiminnan vaikutuksia. Tämä arviointi suoritetaan kolmen vuoden kuluessa aloituspäivämäärästä eli 31 päivään joulukuuta 2007 mennessä. 9. PETOSTEN TORJUNTATOIMET Viraston osastot tarkastavat kaikista palveluista tai pyydetyistä tutkimuksista suoritettavat maksut ennen niiden maksamista ottaen huomioon mahdolliset sopimusvelvoitteet, taloudenpidon periaatteet sekä moitteettoman varainhoidon tai hallinnon periaatteet. Kaikkiin viraston ja maksujen vastaanottajien välisiin sopimuksiin sisällytetään petosten torjuntaa koskevia määräyksiä (valvonta, selontekovaatimukset jne.).