2004R0460 — FR — 01.11.2008 — 001.001

Ce document constitue un outil de documentation et n’engage pas la responsabilité des institutions

►B RÈGLEMENT (CE) No 460/2004 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 10 mars 2004 instituant l'Agence européenne chargée de la sécurité des réseaux et de l'information (Texte présentant de l'intérêt pour l'EEE) (JO L 077, 13.3.2004, p.1)

Modifié par:









▼B

RÈGLEMENT (CE) No 460/2004 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 10 mars 2004

instituant l'Agence européenne chargée de la sécurité des réseaux et de l'information

(Texte présentant de l'intérêt pour l'EEE)







LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité instituant la Communauté européenne, et notamment son article 95, vu la proposition de la Commission, vu l'avis du Comité économique et social européen ( 1 ), après consultation du Comité des régions, statuant conformément à la procédure visée à l'article 251 du traité ( 2 ), considérant ce qui suit: (1) Les réseaux de communication et les systèmes d'information sont devenus un facteur clé du développement de l'économie et de la société. L'informatique et les réseaux deviennent désormais des services tout aussi omniprésents que l'approvisionnement en électricité ou en eau. Par conséquent, la sécurité des réseaux de communication et des systèmes d'information, et en particulier leur disponibilité, est devenue un sujet de préoccupation croissant pour la société, notamment parce que des systèmes d'information clés pourraient, en raison de la complexité des systèmes, d'un accident, d'une erreur ou d'une attaque, connaître des problèmes susceptibles d'avoir des répercussions sur les infrastructures physiques qui fournissent des services vitaux pour le bien-être des citoyens de l'Union européenne. (2) Le nombre croissant des violations de la sécurité a déjà provoqué des dommages financiers considérables, a ébranlé la confiance des utilisateurs et a été préjudiciable au développement du commerce électronique. Les particuliers, les administrations publiques et les entreprises ont réagi en recourant à des mesures technologiques de sécurité et à des procédures de gestion de la sécurité. Les États membres ont adopté plusieurs mesures de soutien, telles que des campagnes d'information et des projets de recherche, afin d'améliorer la sécurité des réseaux et de l'information dans la société. (3) En raison de la complexité technique des réseaux et des systèmes d'information, de la diversité des produits et des services qui sont interconnectés et de la multitude d'acteurs privés et publics dont la responsabilité propre est engagée, le bon fonctionnement du marché intérieur risque d'être compromis. (4) La directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive «cadre») ( 3 ) fixe les tâches incombant aux autorités réglementaires nationales, qui consistent notamment à coopérer entre elles ainsi qu'avec la Commission de manière transparente, afin de veiller à l'élaboration de pratiques réglementaires cohérentes contribuant à assurer un niveau élevé de protection des données à caractère personnel et de la vie privée et garantissant l'intégrité et la sécurité des réseaux de communications publics. (5) La législation communautaire actuelle comprend également les directives du Parlement européen et du Conseil 2002/20/CE ( 4 ), 2002/22/CE ( 5 ), 2002/19/CE ( 6 ), 2002/58/CE ( 7 ), 1999/93/CE ( 8 ) et 2000/31/CE ( 9 ), ainsi que la résolution du Conseil du 18 février 2003 sur la mise en œuvre du plan d'action eEurope 2005 ( 10 ). (6) La directive 2002/20/CE autorise les États membres à assortir les autorisations générales de conditions ayant trait à la protection des réseaux publics contre l'accès non autorisé, conformément à la directive 97/66/CE du Parlement européen et du Conseil ( 11 ). (7) La directive 2002/22/CE exige que les États membres prennent les mesures nécessaires pour assurer l'intégrité et la disponibilité des réseaux téléphoniques publics en positions déterminées et pour que les entreprises fournissant des services téléphoniques accessibles au public en positions déterminées prennent toutes les mesures appropriées pour garantir un accès ininterrompu aux services d'urgence. (8) La directive 2002/58/CE exige que les fournisseurs de services de communications électroniques accessibles au public prennent les mesures techniques et organisationnelles appropriées pour assurer la sécurité de leurs services et requiert également la confidentialité des communications et des données relatives au trafic y afférentes. En application de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ( 12 ), les États membres doivent veiller à ce que le responsable du traitement mette en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite. (9) La directive 2002/21/CE et la directive 1999/93/CE contiennent des dispositions concernant des normes qui doivent être publiées au Journal officiel de l'Union européenne. Les États membres utilisent également des normes établies par des organismes internationaux ainsi que des normes de fait élaborées par l'ensemble des entreprises concernées. La Commission et les États membres doivent être en mesure de savoir quelles sont les normes qui satisfont aux exigences de la législation communautaire. (10) Ces mesures relatives au marché intérieur nécessitent l'adoption de différentes modalités d'application techniques et organisationnelles par les États membres et la Commission. Il s'agit de tâches techniques complexes pour lesquelles il n'existe pas de solutions uniques et évidentes. Une application hétérogène de ces exigences peut déboucher sur des solutions inefficaces et créer des obstacles au marché intérieur. Il est donc nécessaire de créer au niveau européen un centre d'expertise chargé de fournir des orientations, des conseils et, lorsqu'il y est invité, une assistance dans le cadre de ses objectifs, sur lequel le Parlement européen, la Commission ou les organismes compétents désignés par les États membres peuvent compter. Les autorités réglementaires nationales désignées en application de la directive 2002/21/CE peuvent être choisies par un État membre comme organisme compétent. (11) L'établissement d'une agence européenne, l'Agence européenne chargée de la sécurité des réseaux et de l'information, ci-après dénommée «Agence», qui constituerait une référence et inspirerait confiance du fait de son indépendance, de la qualité de ses conseils et de l'information qu'elle diffuse, de la transparence de ses procédures et de ses modes de fonctionnement ainsi que de la diligence avec laquelle elle s'acquitte des tâches qui lui sont confiées, répondrait à ces besoins. L'Agence devrait s'appuyer sur les initiatives prises aux niveaux national et communautaire et par conséquent exécuter ses tâches en totale coopération avec les États membres et être ouverte à tout contact avec les entreprises et les autres parties concernées. Les réseaux électroniques étant dans une large mesure détenus par le secteur privé, l'Agence devrait s'appuyer sur les informations fournies par celui-ci et travailler en coopération avec lui. (12) Dans l'exercice de ses tâches, l'Agence ne devrait pas porter atteinte aux compétences et ne devrait pas empiéter sur les pouvoirs et les tâches, ni les entraver ou les recouper, qui sont attribués: — aux autorités réglementaires nationales définies dans les directives relatives aux réseaux et services de communications électroniques ainsi qu'au groupe des régulateurs européens dans le domaine des réseaux et services de communications institué par la décision 2002/627/CE de la Commission ( 13 ) et au comité des communications visé dans la directive 2002/21/CE, — aux organismes européens de normalisation, aux organismes nationaux de normalisation et au comité permanent prévu dans la directive 98/34/CE du Parlement européen et du Conseil du 22 juin 1998 prévoyant une procédure d'information dans le domaine des normes et réglementations techniques et des règles relatives aux services de la société de l'information ( 14 ), — aux autorités de contrôle des États membres pour ce qui est de la protection des personnes physiques à l'égard du traitement des données à caractère personnel et de la libre circulation de ces données. (13) Pour mieux comprendre les défis dans le domaine de la sécurité des réseaux et de l'information, il est nécessaire que l'Agence analyse les risques actuels et émergents et qu'elle puisse à cet effet collecter les informations appropriées, notamment à l'aide de questionnaires, sans imposer de nouvelles obligations au secteur privé ou aux États membres en matière de production de données. Il convient d'entendre par risques émergents des éléments déjà perceptibles en tant que risques futurs possibles pour la sécurité des réseaux et de l'information. (14) Afin d'instaurer la confiance dans les réseaux et les systèmes d'information, il importe que les particuliers, les entreprises et les administrations publiques soient suffisamment informés et formés dans le domaine de la sécurité des réseaux et de l'information. Les pouvoirs publics contribuent à accroître la sensibilisation en la matière en organisant des actions d'information auprès du public, des petites et moyennes entreprises, des sociétés, des administrations publiques, des écoles et des universités. Il est nécessaire de développer encore ces mesures. Une intensification des échanges d'informations entre les États membres facilitera ces actions de sensibilisation. L'Agence devrait fournir des conseils sur les meilleures pratiques en matière de sensibilisation et de formation. (15) L'Agence devrait avoir pour tâche de contribuer à un niveau élevé de sécurité des réseaux et de l'information dans la Communauté et de favoriser l'émergence d'une culture de la sécurité des réseaux et de l'information, dans l'intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l'Union européenne, prenant part ainsi au bon fonctionnement du marché intérieur. (16) Des politiques de sécurité efficaces devraient reposer sur des méthodes d'évaluation des risques bien élaborées, dans le secteur public comme dans le secteur privé. Les méthodes et procédures d'évaluation des risques sont utilisées à différents niveaux et il n'existe pas de pratiques communes en ce qui concerne leur application efficace. La promotion et le développement des meilleures pratiques en matière d'évaluation des risques et de solutions interopérables de gestion des risques au sein des organisations des secteurs public et privé augmenteront le niveau de sécurité des réseaux et systèmes d'information en Europe. (17) Le travail de l'Agence devrait prendre en compte les activités en cours en matière de recherche, de développement et d'évaluation technologique, et plus particulièrement celles menées dans le cadre des différentes initiatives communautaires de recherche. (18) Le cas échéant, pour autant que cela soit utile à la réalisation de son champ d'application, de ses objectifs et de ses tâches, l'Agence pourrait partager expérience et informations générales avec les organismes et agences créés en vertu de la législation de l'Union européenne et traitant de la sécurité des réseaux et de l'information. (19) Les questions de sécurité des réseaux et de l'information sont des problèmes de dimension mondiale. Il est nécessaire de renforcer la coopération au niveau mondial pour améliorer les normes de sécurité ainsi que l'information et pour œuvrer en faveur d'une approche globale commune à l'égard de la problématique de la sécurité des réseaux et de l'information, contribuant ainsi au développement d'une culture de la sécurité des réseaux et de l'information. Il est devenu nécessaire, au niveau européen également, d'instaurer une coopération efficace avec les pays tiers et avec la communauté internationale. À cette fin, l'Agence devrait contribuer aux initiatives communautaires visant à coopérer avec les pays tiers et, le cas échéant, avec des organisations internationales. (20) Dans le cadre de ses activités, l'Agence devrait prendre en compte les petites et moyennes entreprises. (21) Pour garantir efficacement la bonne exécution des tâches de l'Agence, les États membres et la Commission devraient être représentés au sein d'un conseil d'administration doté des pouvoirs nécessaires pour établir le budget, vérifier son exécution, adopter des règles financières appropriées, établir des procédures de travail transparentes pour la prise de décisions par l'Agence, approuver le programme de travail de l'Agence ainsi qu'adopter son propre règlement intérieur et les règles internes de fonctionnement de l'Agence de même que nommer et révoquer le directeur exécutif. Le conseil d'administration devrait veiller à ce que l'Agence exécute ses tâches dans des conditions lui permettant de jouer le rôle qui lui incombe en vertu du présent règlement. (22) Un groupe permanent des parties prenantes serait utile pour maintenir un dialogue régulier avec le secteur privé, les organisations de consommateurs et d'autres parties intéressées. Ce groupe, créé et présidé par le directeur exécutif, devrait s'attacher à examiner des questions d'importance pour toutes les parties prenantes et à les porter à l'attention du directeur exécutif. Ce dernier peut, le cas échéant et en fonction de l'ordre du jour des réunions, inviter des représentants du Parlement européen et d'autres organismes intéressés à participer aux réunions du groupe. (23) Pour le bon fonctionnement de l'Agence, il est impératif que son directeur exécutif soit nommé sur la base de son mérite et de ses capacités attestées dans le domaine de l'administration et de la gestion, ainsi que de ses compétences et de son expérience pertinentes dans le domaine de la sécurité des réseaux et de l'information, et qu'il s'acquitte de sa mission en toute indépendance et en faisant preuve de souplesse quant à l'organisation du fonctionnement interne de l'Agence. À cette fin, le directeur exécutif devrait élaborer une proposition de programme de travail pour l'Agence, après consultation préalable de la Commission et du groupe permanent des parties prenantes, et arrêter toutes les mesures nécessaires pour garantir la bonne exécution du programme de travail de l'Agence, préparer chaque année un projet de rapport général à soumettre au conseil d'administration, établir un projet d'état prévisionnel des recettes et des dépenses de l'Agence et exécuter le budget. (24) Le directeur exécutif devrait pouvoir créer des groupes de travail ad hoc pour traiter en particulier les questions scientifiques et techniques. Lors de la création de ces groupes, le directeur exécutif devrait recueillir les avis du secteur privé et faire appel aux experts concernés de ce secteur. Les groupes de travail ad hoc devraient permettre à l'Agence d'avoir accès aux informations disponibles les plus récentes afin qu'elle soit en mesure de relever les défis que pose, en matière de sécurité, l'évolution de la société de l'information. L'Agence devrait veiller à ce que ses groupes de travail ad hoc soient compétents et représentatifs et à ce qu'ils comprennent, le cas échéant en fonction des questions spécifiques, des représentants des administrations publiques des États membres, du secteur privé, y compris les entreprises, des utilisateurs et des experts universitaires en matière de sécurité des réseaux et de l'information. L'Agence peut, si nécessaire, adjoindre aux groupes de travail des experts indépendants dont les compétences dans le domaine en question sont reconnues. Les experts qui participent aux groupes de travail ad hoc créés par l'Agence ne devraient pas faire partie du personnel de l'Agence. Leurs dépenses devraient être couvertes par l'Agence conformément à ses règles internes de fonctionnement et aux règlements financiers en vigueur. (25) L'Agence devrait appliquer la législation communautaire pertinente en ce qui concerne l'accès du public aux documents prévu par le règlement (CE) no 1049/2001 du Parlement européen et du Conseil ( 15 ) et la protection des individus en matière de traitement des données à caractère personnel comme prévu par le règlement (CE) no 45/2001 du Parlement européen et du Conseil ( 16 ). (26) Dans le cadre de son champ d'application et de ses objectifs ainsi que dans l'accomplissement de ses tâches, l'Agence devrait se conformer en particulier aux dispositions applicables aux institutions communautaires ainsi qu'à la législation nationale en matière de traitement des documents sensibles. (27) Pour garantir l'autonomie et l'indépendance complètes de l'Agence, il est jugé nécessaire de la doter d'un budget autonome dont l'essentiel des recettes provient d'une contribution de la Communauté. La procédure budgétaire communautaire reste applicable en ce qui concerne les subventions imputables sur le budget général de l'Union européenne. En outre, la Cour des comptes devrait procéder au contrôle des comptes. (28) En tant que de besoin et sur la base d'accords à conclure, l'Agence peut recourir aux services d'interprétation fournis par la direction générale pour l'interprétation (DGI) de la Commission, ou par des services d'interprétation d'autres institutions communautaires. (29) L'Agence devrait être créée initialement pour une période limitée et son fonctionnement devrait faire l'objet d'une évaluation visant à déterminer si cette période devrait être prolongée, considérant ce qui suit: ONT ARRÊTÉ LE PRÉSENT RÈGLEMENT:







CHAPITRE 1

CHAMP D'APPLICATION, OBJECTIFS ET TÂCHES

Article premier

Champ d'application

1. Aux fins d'assurer un niveau élevé et efficace de sécurité des réseaux et de l'information au sein de la Communauté et en vue de favoriser l'émergence d'une culture de la sécurité des réseaux et de l'information dans l'intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l'Union européenne, contribuant ainsi au bon fonctionnement du marché intérieur, il est institué une Agence européenne chargée de la sécurité des réseaux et de l'information, ci-après dénommée «Agence».

2. L'Agence prête son assistance à la Commission et aux États membres, et coopère de ce fait avec le secteur des entreprises, en vue de les aider à satisfaire aux exigences en matière de sécurité des réseaux et de l'information, y compris celles définies dans la législation communautaire actuelle et à venir, comme par exemple dans la directive 2002/21/CE, garantissant ainsi le bon fonctionnement du marché intérieur.

3. Les objectifs et les tâches de l'Agence ne portent pas atteinte aux compétences des États membres en matière de sécurité des réseaux et de l'information qui ne relèvent pas du champ d'application du traité CE, telles que celles qui sont visées aux titres V et VI du traité sur l'Union européenne, ni, en tout état de cause, aux activités liées à la sécurité publique, à la défense, à la sécurité de l'État (y compris la prospérité économique de l'État lorsqu'il s'agit de questions touchant à la sûreté de l'État) ou aux activités de l'État dans les domaines du droit pénal.

Article 2

Objectifs

1. L'Agence renforce la capacité de la Communauté, des États membres et, de ce fait, du secteur des entreprises, de prévenir les problèmes de sécurité des réseaux et de l'information, de les gérer et d'y faire face.

2. L'Agence prête assistance et fournit des conseils à la Commission et aux États membres sur les questions liées à la sécurité des réseaux et de l'information relevant de ses compétences telles que définies par le présent règlement.

3. S'appuyant sur les initiatives prises aux niveaux national et communautaire, l'Agence acquiert un niveau élevé de compétences spécialisées. Elle met à profit ces compétences pour encourager une vaste coopération entre les acteurs des secteurs public et privé.

4. Lorsqu'elle y est invitée, l'Agence aide la Commission à mener les travaux techniques préparatoires en vue de la mise à jour et du développement de la législation communautaire dans le domaine de la sécurité des réseaux et de l'information.

Article 3

Tâches

Afin de garantir le respect du champ d'application et la réalisation des objectifs fixés aux articles 1er et 2, l'Agence accomplit les tâches suivantes:

a) collecter les informations appropriées pour analyser les risques actuels et émergents et, en particulier au niveau européen, ceux qui pourraient avoir une incidence sur la résistance aux pannes des réseaux de communications électroniques et sur leur disponibilité ainsi que sur l'authenticité, l'intégrité et la confidentialité des informations accessibles et transmises par leur intermédiaire, ainsi que fournir les résultats de l'analyse aux États membres et à la Commission;

b) fournir des conseils au Parlement européen, à la Commission, aux organismes européens ou aux organismes nationaux compétents désignés par les États membres et, lorsqu'elle y est invitée, leur fournir une assistance entrant dans le cadre de ses objectifs;

c) renforcer la coopération entre les différents acteurs dans le domaine de la sécurité des réseaux et de l'information, notamment en organisant périodiquement des consultations avec les entreprises et les universités ainsi que d'autres secteurs concernés et en créant des réseaux de contacts à l'usage des organismes communautaires, des organismes du secteur public désignés par les États membres, des organismes du secteur privé et des organisations des consommateurs;

d) faciliter la coopération entre la Commission et les États membres dans l'élaboration de méthodologies communes destinées à prévenir les problèmes de sécurité des réseaux et de l'information, à les gérer et à y faire face;

e) contribuer à la sensibilisation de tous les utilisateurs et à ce qu'ils puissent accéder en temps utile à des informations objectives et complètes sur la problématique de la sécurité des réseaux et de l'information, notamment par la promotion des échanges des meilleures pratiques actuelles, y compris les méthodes d'alerte des utilisateurs, et par la recherche de synergies entre les initiatives du secteur public et du secteur privé;

f) assister la Commission et les États membres dans le dialogue qu'ils mènent avec les entreprises en vue de gérer les problèmes de sécurité que posent les matériels et les logiciels;

g) suivre l'élaboration des normes pour les produits et services en matière de sécurité des réseaux et de l'information;

h) fournir à la Commission des conseils sur la recherche en matière de sécurité des réseaux et de l'information ainsi que sur l'utilisation efficace des technologies de prévention des risques;

i) promouvoir des activités d'évaluation des risques, encourager des solutions interopérables de gestion des risques et favoriser la réalisation d'études sur les solutions en matière de gestion des mesures de prévention au sein des organisations des secteurs public et privé;

j) contribuer aux initiatives communautaires visant à coopérer avec les pays tiers et, le cas échéant, avec des organisations internationales pour œuvrer en faveur d'une approche globale commune à l'égard de la problématique de la sécurité des réseaux et de l'information, contribuant ainsi à l'émergence d'une culture de la sécurité des réseaux et de l'information;

k) formuler de manière indépendante ses propres conclusions, orientations et conseils sur des questions entrant dans le cadre de son champ d'application et de ses objectifs.

Article 4

Définitions

Aux fins du présent règlement, on entend par:

a) «réseau»: les systèmes de transmission et, le cas échéant, les équipements de commutation ou de routage et les autres ressources qui permettent l'acheminement de signaux par câble, par voie hertzienne, par moyen optique ou par d'autres moyens électromagnétiques, y compris les réseaux satellitaires, les réseaux terrestres fixes (avec commutation de circuits ou de paquets, y compris l'Internet) et mobiles, les systèmes utilisant le réseau électrique pour autant qu'ils servent à la transmission des signaux, les réseaux utilisés pour la radiodiffusion sonore et télévisuelle et les réseaux câblés de télévision, quel que soit le type d'information transmise;

b) «système d'information»: les ordinateurs et réseaux de communication électroniques, ainsi que les données électroniques stockées, traitées, récupérées ou transmises par eux en vue de leur fonctionnement, de leur utilisation, de leur protection et de leur maintenance;

c) «sécurité des réseaux et de l'information»: la capacité d'un réseau ou d'un système d'information de résister, à un niveau de confiance donné, à des événements accidentels ou à des actions illégales ou malveillantes qui compromettent la disponibilité, l'authenticité, l'intégrité et la confidentialité de données stockées ou transmises et des services connexes que ces réseaux et systèmes offrent ou qu'ils rendent accessibles;

d) «disponibilité»: le fait que les données sont accessibles et les services opérationnels;

e) «authentification»: la confirmation de l'identité prétendue d'entités ou d'utilisateurs;

f) «intégrité des données»: la confirmation que les données qui ont été envoyées, reçues ou stockées sont complètes et n'ont pas été modifiées;

g) «confidentialité des données»: la protection des communications ou des données stockées contre l'interception et la lecture par des personnes non autorisées;

h) «risque»: une fonction de la probabilité qu'une vulnérabilité du système ait un impact sur l'authentification ou la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données traitées ou transmises et du degré de gravité de cet impact, découlant d'une utilisation intentionnelle ou non de cette vulnérabilité;

i) «évaluation du risque»: un processus scientifique reposant sur une base technologique et comprenant quatre étapes, à savoir l'identification des menaces, leur caractérisation, l'évaluation de l'exposition et la caractérisation du risque;

j) «gestion du risque»: le processus, distinct de l'évaluation du risque, consistant à mettre en balance les différentes politiques possibles, en consultation avec les parties intéressées, à prendre en compte l'évaluation du risque et d'autres facteurs légitimes ainsi que, au besoin, à choisir les mesures de prévention et de contrôle appropriées;

k) «culture de la sécurité des réseaux et de l'information»: le sens donné à cette expression dans les lignes directrices de l'Organisation de coopération et de développement économiques (OCDE) régissant la sécurité des systèmes et réseaux d'information du 25 juillet 2002 et dans la résolution du Conseil du 18 février 2003 relative à une approche européenne axée sur une culture de la sécurité des réseaux et de l'information ( 17 ).







CHAPITRE 2

ORGANISATION

Article 5

Organes de l'Agence

L'Agence comporte:

a) un conseil d'administration;

b) un directeur exécutif, et

c) un groupe permanent des parties prenantes.

Article 6

Conseil d'administration

1. Le conseil d'administration est composé d'un représentant de chaque État membre, de trois représentants nommés par la Commission ainsi que de trois représentants sans droit de vote proposés par la Commission et nommés par le Conseil, représentant chacun l'un des groupes suivants:

a) les entreprises du secteur des technologies de l'information et de la communication;

b) les consommateurs;

c) les experts universitaires en sécurité des réseaux et de l'information.

2. Les membres du conseil d'administration sont nommés sur la base de leur expérience et de leurs compétences dans le domaine de la sécurité des réseaux et de l'information. Les représentants peuvent être remplacés par des suppléants qui sont nommés en même temps qu'eux.

3. Le conseil d'administration élit son président et un vice-président parmi ses membres, pour une période de deux ans et demi renouvelable. Le vice-président remplace d'office le président lorsque celui-ci n'est pas en mesure d'assumer ses fonctions.

4. Le conseil d'administration adopte son règlement intérieur sur la base d'une proposition de la Commission. Sauf disposition contraire, les décisions du conseil d'administration sont prises à la majorité de ses membres disposant du droit de vote.

Une majorité des deux tiers de tous les membres disposant du droit de vote est nécessaire pour adopter le règlement intérieur, les règles internes de fonctionnement de l'Agence, le budget et le programme de travail annuel ainsi que pour nommer et révoquer le directeur exécutif.

5. Les réunions du conseil d'administration sont convoquées par son président. Le conseil d'administration tient une réunion ordinaire deux fois par an. Il tient en outre des réunions extraordinaires à l'initiative du président ou à la demande d'au moins un tiers de ses membres disposant du droit de vote. Le directeur exécutif participe aux réunions du conseil d'administration, sans droit de vote, et veille à ce que le secrétariat en soit assuré.

6. Le conseil d'administration adopte les règles internes de fonctionnement de l'Agence sur la base d'une proposition de la Commission. Ces règles sont rendues publiques.

7. Le conseil d'administration définit les orientations générales du fonctionnement de l'Agence. Il veille à ce que l'Agence travaille en conformité avec les principes définis aux articles 12 à 14 et 23. Il assure en outre la cohérence entre les travaux de l'Agence et les activités menées par les États membres ainsi qu'au niveau communautaire.

8. Avant le 30 novembre de chaque année, le conseil d'administration, après avoir reçu l'avis de la Commission, adopte le programme de travail de l'Agence pour l'année suivante. Le conseil d'administration veille à assurer la cohérence de ce programme de travail avec le champ d'application, les objectifs et les tâches de l'Agence ainsi qu'avec les priorités législatives et politiques de la Communauté en matière de sécurité des réseaux et de l'information.

9. Avant le 31 mars de chaque année, le conseil d'administration adopte un rapport général sur les activités de l'Agence durant l'année qui précède.

10. Les règles financières applicables à l'Agence sont adoptées par le conseil d'administration après consultation de la Commission. Elles ne peuvent s'écarter du règlement (CE, Euratom) no 2343/2002 de la Commission du 19 novembre 2002 portant règlement financier-cadre des organismes visés à l'article 185 du règlement (CE, Euratom) no 1605/2002 du Conseil portant règlement financier applicable au budget général des Communautés européennes ( 18 ) que si les exigences spécifiques du fonctionnement de l'Agence le nécessitent et si la Commission a préalablement donné son accord.

Article 7

Directeur exécutif

1. L'Agence est gérée par son directeur exécutif, qui est indépendant dans l'exercice de ses fonctions.

2. Le directeur exécutif est nommé par le conseil d'administration sur la base d'une liste de candidats proposée par la Commission à la suite d'un concours général, après parution au Journal officiel de l'Union européenne et dans d'autres publications d'un appel à manifestation d'intérêt. Le directeur exécutif est nommé sur la base de son mérite et de ses capacités attestées dans le domaine de l'administration et de la gestion, ainsi que de ses compétences et de son expérience pertinentes dans le domaine de la sécurité des réseaux et de l'information. Avant d'être nommé, le candidat retenu par le conseil d'administration est invité sans délai à faire une déclaration devant le Parlement européen et à répondre aux questions posées par les membres de cette institution. Le Parlement européen ou le Conseil peuvent en outre demander à tout moment à entendre le directeur exécutif sur tout sujet lié aux activités de l'Agence. Le conseil d'administration peut révoquer le directeur exécutif.

3. Le mandat du directeur exécutif a une durée de cinq ans au plus.

4. Le directeur exécutif est chargé:

a) d'assurer l'administration courante de l'Agence;

b) d'établir des propositions de programmes de travail pour l'Agence, après consultation de la Commission et du groupe permanent des parties prenantes;

c) de la mise en œuvre des programmes de travail et des décisions adoptés par le conseil d'administration;

d) de veiller à ce que l'Agence exerce sa mission selon des modalités permettant de répondre aux besoins de ceux qui font appel à ses services, notamment en termes d'adéquation des services rendus;

e) de la préparation du projet d'état prévisionnel des recettes et des dépenses de l'Agence et de l'exécution de son budget;

f) de toutes les questions de personnel;

g) d'établir et de maintenir le contact avec le Parlement européen et d'assurer un dialogue régulier avec les commissions compétentes du Parlement;

h) d'établir et de maintenir le contact avec le secteur des entreprises et les organisations de consommateurs afin d'assurer un dialogue régulier avec les parties prenantes;

i) de présider le groupe permanent des parties prenantes.

5. Le directeur exécutif soumet chaque année, pour approbation, au conseil d'administration:

a) un projet de rapport général couvrant l'ensemble des activités de l'Agence durant l'année qui précède;

b) un projet de programme de travail.

6. Le directeur exécutif transmet, après adoption par le conseil d'administration, le programme de travail au Parlement européen, au Conseil, à la Commission et aux États membres et en assure la publication.

7. Le directeur exécutif transmet, après adoption par le conseil d'administration, le rapport général de l'Agence au Parlement européen, au Conseil, à la Commission, à la Cour des comptes, au Comité économique et social européen ainsi qu'au Comité des régions et en assure la publication.

8. En tant que de besoin et dans le cadre du champ d'application, des objectifs et des tâches de l'Agence, le directeur exécutif peut, en concertation avec le groupe permanent des parties prenantes, créer des groupes de travail ad hoc composés d'experts. Le conseil d'administration en est dûment informé. Les modalités relatives notamment à la composition des groupes de travail ad hoc, à la nomination des experts par le directeur exécutif et au fonctionnement de ces groupes sont précisées dans les règles internes de fonctionnement de l'Agence.

Les groupes de travail ad hoc qui sont créés traitent en particulier les questions techniques et scientifiques.

Les membres du conseil d'administration ne peuvent pas être membres des groupes de travail ad hoc. Des représentants de la Commission sont autorisés à être présents lors des réunions.

Article 8

Groupe permanent des parties prenantes

1. Le directeur exécutif crée un groupe permanent des parties prenantes composé d'experts représentant les parties concernées, comme les entreprises du secteur des technologies de l'information et de la communication, les organisations de consommateurs et les experts universitaires en matière de sécurité des réseaux et de l'information.

2. Les modalités relatives notamment au nombre de membres, à la composition du groupe, à la nomination des membres par le directeur exécutif et au fonctionnement du groupe sont précisées dans les règles internes de fonctionnement de l'Agence et sont rendues publiques.

3. Le groupe est présidé par le directeur exécutif. La durée du mandat de ses membres est de deux ans et demi. Les membres du groupe ne peuvent pas être membres du conseil d'administration.

4. Des représentants de la Commission sont autorisés à être présents lors des réunions et à participer aux travaux du groupe.

5. Le groupe peut conseiller le directeur exécutif dans l'exercice de ses fonctions au titre du présent règlement, lors de l'élaboration d'une proposition de programme de travail pour l'Agence ainsi que pour ce qui est de communiquer avec les parties concernées sur toutes les questions liées au programme de travail.







CHAPITRE 3

FONCTIONNEMENT

Article 9

Programme de travail

Les activités de l'Agence consistent à exécuter le programme de travail adopté conformément à l'article 6, paragraphe 8. Le programme de travail n'empêche pas l'Agence d'entreprendre des activités imprévues qui relèvent de son champ d'application et de ses objectifs et s'inscrivent dans les limites budgétaires fixées.

Article 10

Demandes adressées à l'Agence

1. Les demandes de conseils et d'assistance qui entrent dans le cadre du champ d'application, des objectifs et des tâches de l'Agence sont adressées au directeur exécutif et accompagnées d'informations générales expliquant la question devant être traitée. Le directeur exécutif informe la Commission des demandes reçues. Si l'Agence rejette une demande, elle doit motiver son refus.

2. Les demandes visées au paragraphe 1 peuvent être introduites par:

a) le Parlement européen;

b) la Commission;

c) un organisme compétent désigné par un État membre, tel qu'une autorité réglementaire nationale au sens de l'article 2 de la directive 2002/21/CE.

3. Les modalités pratiques d'application des paragraphes 1 et 2 en ce qui concerne notamment la présentation, la hiérarchisation et le suivi des demandes adressées à l'Agence ainsi que l'information du conseil d'administration au sujet de ces demandes sont prévues par le conseil d'administration dans les règles internes de fonctionnement de l'Agence.

Article 11

Déclaration d'intérêt

1. Le directeur exécutif ainsi que les fonctionnaires détachés par les États membres à titre temporaire font une déclaration d'engagements ainsi qu'une déclaration d'intérêt qui indique l'absence de tout intérêt direct ou indirect qui pourrait être considéré comme préjudiciable à leur indépendance. Ces déclarations sont faites par écrit.

2. Les experts externes participant aux groupes de travail ad hoc déclarent, lors de chaque réunion, les intérêts qui pourraient être considérés comme préjudiciables à leur indépendance eu égard aux points inscrits à l'ordre du jour.

Article 12

Transparence

1. L'Agence fait en sorte que ses activités se déroulent avec un niveau élevé de transparence et qu'elles soient conformes aux dispositions des articles 13 et 14.

2. L'Agence veille à ce que le public et toute partie intéressée reçoivent une information objective, fiable et facilement accessible, notamment en ce qui concerne le résultat de ses travaux, le cas échéant. Elle publie également les déclarations d'intérêt faites par le directeur exécutif et les fonctionnaires détachés par les États membres à titre temporaire ainsi que les déclarations d'intérêt faites par les experts en relation avec les points inscrits à l'ordre du jour des réunions des groupes de travail ad hoc.

3. Le conseil d'administration peut, sur proposition du directeur exécutif, autoriser des parties intéressées à participer en tant qu'observateurs à certaines activités de l'Agence.

4. L'Agence fixe dans ses règles internes de fonctionnement les modalités pratiques d'application des règles de transparence visées aux paragraphes 1 et 2.

Article 13

Confidentialité

1. Sans préjudice de l'article 14, l'Agence ne divulgue pas à des tiers les informations qu'elle traite ou qu'elle reçoit et pour lesquelles un traitement confidentiel a été demandé.

2. Les membres du conseil d'administration, le directeur exécutif, les membres du groupe permanent des parties prenantes, les experts externes participant aux groupes de travail ad hoc et les membres du personnel de l'Agence, y compris les fonctionnaires détachés par les États membres à titre temporaire, sont soumis à l'obligation de confidentialité visée à l'article 287 du traité, même après la cessation de leurs fonctions.

3. L'Agence fixe dans ses règles internes de fonctionnement les modalités pratiques d'application des règles de confidentialité visées aux paragraphes 1 et 2.

Article 14

Accès aux documents

1. Le règlement (CE) no 1049/2001 est applicable aux documents détenus par l'Agence.

2. Le conseil d'administration adopte des dispositions pour la mise en œuvre du règlement (CE) no 1049/2001 dans les six mois suivant la création de l'Agence.

3. Les décisions prises par l'Agence en application de l'article 8 du règlement (CE) no 1049/2001 peuvent faire l'objet d'une plainte auprès du médiateur ou d'un recours devant la Cour de justice des Communautés européennes, conformément aux articles 195 et 230 du traité respectivement.







CHAPITRE 4

DISPOSITIONS FINANCIÈRES

Article 15

Adoption du budget

1. Les recettes de l'Agence se composent d'une contribution de la Communauté et de toute contribution octroyée par les pays tiers participant aux travaux de l'Agence conformément aux dispositions de l'article 24.

2. Les dépenses de l'Agence comprennent la rémunération du personnel, l'assistance administrative et technique, les dépenses d'infrastructure et de fonctionnement et les dépenses résultant de contrats passés avec des tiers.

3. Au plus tard le 1er mars de chaque année, le directeur exécutif établit un projet d'état prévisionnel des recettes et des dépenses de l'Agence pour l'exercice budgétaire suivant et le transmet au conseil d'administration avec un projet de tableau des effectifs.

4. Les recettes et les dépenses doivent être équilibrées.

5. Le conseil d'administration établit chaque année, sur la base du projet d'état prévisionnel des recettes et des dépenses élaboré par le directeur exécutif, un état prévisionnel des recettes et des dépenses de l'Agence pour l'exercice budgétaire suivant.

6. Le conseil d'administration transmet au plus tard le 31 mars cet état prévisionnel, comprenant le projet de tableau des effectifs accompagné du programme de travail provisoire, à la Commission ainsi qu'aux États avec lesquels la Communauté a conclu les accords visés à l'article 24.

7. L'état prévisionnel est transmis par la Commission au Parlement européen et au Conseil (ci-après dénommés «autorité budgétaire») avec l'avant-projet de budget général de l'Union européenne.

8. Sur la base de cet état prévisionnel, la Commission inscrit dans l'avant-projet de budget général de l'Union européenne les prévisions qu'elle estime nécessaires en ce qui concerne le tableau des effectifs et le montant de la subvention à la charge du budget général et le soumet à l'autorité budgétaire conformément à l'article 272 du traité.

9. L'autorité budgétaire autorise les crédits au titre de la subvention destinée à l'Agence.

L'autorité budgétaire arrête le tableau des effectifs de l'Agence.

10. Le conseil d'administration adopte le budget de l'Agence. Ce budget devient définitif après l'adoption définitive du budget général de l'Union européenne. Le cas échéant, le budget de l'Agence est ajusté en conséquence. Le conseil d'administration le transmet sans délai à la Commission et à l'autorité budgétaire.

11. Le conseil d'administration notifie, dans les meilleurs délais, à l'autorité budgétaire son intention de réaliser tout projet susceptible d'avoir des incidences financières significatives sur le financement du budget, notamment les projets de nature immobilière, tels que la location ou l'acquisition d'immeubles. Il en informe la Commission.

Lorsqu'une branche de l'autorité budgétaire a fait part de son intention de donner un avis, elle transmet celui-ci au conseil d'administration dans un délai de six semaines à dater de la notification du projet.

Article 16

Lutte contre la fraude

1. Aux fins de lutter contre la fraude, la corruption et d'autres actes illégaux, les dispositions du règlement (CE) no 1073/1999 du Parlement européen et du Conseil du 25 mai 1999 relatif aux enquêtes effectuées par l'Office européen de lutte antifraude (OLAF) ( 19 ) s'appliquent sans restriction.

2. L'Agence adhère à l'accord interinstitutionnel du 25 mai 1999 entre le Parlement européen, le Conseil de l'Union européenne et la Commission des Communautés européennes relatif aux enquêtes internes effectuées par l'Office européen de lutte antifraude (OLAF) ( 20 ) et arrête sans délai les dispositions appropriées applicables à tout le personnel de l'Agence.

Article 17

Exécution du budget

1. Le directeur exécutif exécute le budget de l'Agence.

2. L'auditeur interne de la Commission exerce à l'égard de l'Agence les mêmes compétences que celles qui lui sont attribuées à l'égard des services de la Commission.

3. Au plus tard le 1er mars suivant l'exercice budgétaire clos, le comptable de l'Agence transmet les comptes provisoires au comptable de la Commission, accompagnés d'un rapport sur la gestion budgétaire et financière durant cet exercice. Le comptable de la Commission procède à la consolidation des comptes provisoires des institutions et des organismes décentralisés conformément à l'article 128 du règlement (CE, Euratom) no 1605/2002 du Conseil du 25 juin 2002 portant règlement financier applicable au budget général des Communautés européennes ( 21 ) (ci-après dénommé «règlement financier général»).

4. Au plus tard le 31 mars suivant l'exercice budgétaire clos, le comptable de la Commission transmet les comptes provisoires de l'Agence à la Cour des comptes, accompagnés d'un rapport sur la gestion budgétaire et financière durant cet exercice. Le rapport sur la gestion budgétaire et financière durant l'exercice budgétaire est également transmis à l'autorité budgétaire.

5. À la réception des observations formulées par la Cour des comptes sur les comptes provisoires de l'Agence, selon les dispositions de l'article 129 du règlement financier général, le directeur exécutif établit les comptes définitifs de l'Agence sous sa propre responsabilité et les transmet pour avis au conseil d'administration.

6. Le conseil d'administration émet un avis sur les comptes définitifs de l'Agence.

7. Le directeur exécutif transmet au Parlement européen, au Conseil, à la Commission et à la Cour des comptes les comptes définitifs accompagnés de l'avis du conseil d'administration au plus tard le 1er juillet suivant l'exercice budgétaire clos.

8. Les comptes définitifs sont publiés.

9. Le directeur exécutif adresse à la Cour des comptes une réponse aux observations de celle-ci le 30 septembre au plus tard. Il adresse également cette réponse au conseil d'administration.

10. Le directeur exécutif soumet au Parlement européen, à la demande de celui-ci, comme prévu à l'article 146, paragraphe 3, du règlement financier général, toute information nécessaire au bon déroulement de la procédure de décharge pour l'exercice budgétaire en question.

11. Le Parlement européen, sur recommandation du Conseil statuant à la majorité qualifiée, donne avant le 30 avril de l'année N + 2 décharge au directeur exécutif sur l'exécution du budget de l'exercice N.







CHAPITRE 5

DISPOSITIONS GÉNÉRALES

Article 18

Statut juridique

1. L'Agence est un organisme de la Communauté. Elle a la personnalité juridique.

2. Dans chaque État membre, l'Agence jouit de la capacité juridique la plus étendue accordée aux personnes morales en droit national. Elle peut notamment acquérir et aliéner des biens immobiliers et mobiliers et ester en justice.

3. L'Agence est représentée par son directeur exécutif.

Article 19

Personnel

1. Le personnel de l'Agence, y compris son directeur exécutif, est soumis aux règles et réglementations applicables aux fonctionnaires et autres agents des Communautés européennes.

2. Sans préjudice de l'article 6, les compétences conférées à l'autorité investie du pouvoir de nomination par le statut ainsi qu'à l'autorité habilitée à conclure les contrats d'engagement par le régime applicable aux autres agents sont exercées par l'Agence en ce qui concerne son propre personnel.

L'Agence peut en outre employer des fonctionnaires détachés par les États membres à titre temporaire et pour une durée maximale de cinq ans.

Article 20

Privilèges et immunités

Le protocole sur les privilèges et immunités des Communautés européennes s'applique à l'Agence ainsi qu'à son personnel.

Article 21

Responsabilité

1. La responsabilité contractuelle de l'Agence est régie par la législation applicable au contrat en question.

La Cour de justice des Communautés européennes est compétente pour statuer en vertu de toute clause compromissoire contenue dans un contrat conclu par l'Agence.

2. En cas de responsabilité non contractuelle, l'Agence, conformément aux principes généraux communs aux droits des États membres, répare tout dommage causé par ses services ou par ses agents dans l'exercice de leurs fonctions.

La Cour de justice est compétente pour tout litige relatif à la réparation de tels dommages.

3. La responsabilité personnelle à l'égard de l'Agence de ses propres agents est régie par les dispositions pertinentes applicables au personnel de l'Agence.

Article 22

Régime linguistique

1. Les dispositions du règlement no 1 du 15 avril 1958 portant fixation du régime linguistique de la Communauté économique européenne ( 22 ) s'appliquent à l'Agence. Les États membres et les autres organismes désignés par ceux-ci peuvent s'adresser à l'Agence et en recevoir une réponse dans la langue communautaire de leur choix.

2. Les services de traduction requis pour le fonctionnement de l'Agence sont fournis par le Centre de traduction des organes de l'Union européenne ( 23 ).

Article 23

Protection des données à caractère personnel

Lorsque l'Agence traite des données relatives aux individus, elle est soumise aux dispositions du règlement (CE) no 45/2001.

Article 24

Participation de pays tiers

1. L'Agence est ouverte à la participation des pays qui ont conclu avec la Communauté européenne des accords en vertu desquels ils ont adopté et appliquent la législation communautaire dans le domaine couvert par le présent règlement.

2. Conformément aux dispositions pertinentes de ces accords, des arrangements sont élaborés pour définir notamment la nature, l'étendue et les modalités de la participation de ces pays aux travaux de l'Agence; ces arrangements comprennent notamment des dispositions relatives à la participation aux initiatives prises par l'Agence, aux contributions financières et au personnel.







CHAPITRE 6

DISPOSITIONS FINALES

Article 25

Clause de révision

1. Au plus tard le 17 mars 2007, la Commission, en tenant compte de la position de toutes les parties intéressées, procède à une évaluation sur la base d'un mandat convenu avec le conseil d'administration. La Commission entreprend cette évaluation notamment dans le but de déterminer si la durée pour laquelle l'Agence a été créée doit être prolongée au-delà de la période fixée à l'article 27.

2. Cette évaluation vise à apprécier l'impact de l'Agence sur la réalisation de ses objectifs et l'accomplissement de ses tâches ainsi que ses méthodes de travail, et elle formule, en tant que de besoin, des propositions appropriées.

3. Le conseil d'administration reçoit un rapport sur cette évaluation et formule à l'attention de la Commission des recommandations relatives aux modifications à apporter le cas échéant au présent règlement. Les conclusions de l'évaluation et les recommandations sont transmises par la Commission au Parlement européen ainsi qu'au Conseil et sont rendues publiques.

Article 26

Contrôle administratif

Les activités de l'Agence sont soumises au contrôle du médiateur, conformément aux dispositions de l'article 195 du traité.

▼M1

Article 27

Durée

L'Agence est instituée à partir du 14 mars 2004 pour une période de huit ans.

▼B

Article 28

Entrée en vigueur

Le présent règlement entre en vigueur le jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.