1.Introduction

1.1 L’ENISA

L’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA) a été créée, à l’origine, en 2004 et son mandat a été renouvelé régulièrement. Le mandat actuel de l’ENISA est fixé dans le règlement (UE) n° 526/2013 (ci-après le «règlement ENISA») et vient à expiration le 19 juin 2020.

Le mandat de l’ENISA est de contribuer à un niveau élevé de sécurité des réseaux et de l’information au sein de l’Union. Le règlement ENISA énumère les objectifs spécifiques de l’Agence, en précisant que celle-ci doit:

·acquérir et maintenir un niveau élevé de compétence;

·assister les institutions, organes et organismes de l’Union dans l’élaboration des politiques de sécurité des réseaux et de l’information;

·assister les institutions, organes et organismes de l’Union et les États membres dans la mise en œuvre des politiques nécessaires pour satisfaire aux exigences légales et réglementaires requises au titre des actes juridiques existants et à venir de l’Union en matière de sécurité des réseaux et de l’information, contribuant ainsi au bon fonctionnement du marché intérieur;

·aider l’Union et les États membres à améliorer et à renforcer leurs moyens et leur préparation pour prévenir les problèmes et incidents de sécurité des réseaux et de l’information, les détecter et y faire face;

·mettre à profit ses compétences spécialisées pour encourager une large coopération entre les acteurs des secteurs public et privé.

En outre, les colégislateurs de l’Union ont fixé à l’ENISA, dans la directive (UE) 2016/1148 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (la «directive SRI»), des missions importantes en ce qui concerne la mise en œuvre de la législation. En particulier, l’Agence assure le secrétariat du réseau des CSIRT (mis en place pour promouvoir une coopération rapide et effective, au niveau opérationnel, entre les États membres) et elle est aussi appelée à assister le groupe de coopération dans l’exécution de ses tâches liées à la coopération stratégique. En outre, la directive SRI exige de l’ENISA qu’elle assiste les États membres et la Commission en fournissant son expertise et ses conseils et en facilitant l’échange de bonnes pratiques.

L’Agence a ses bureaux en Grèce, son siège administratif se trouve à Héraklion (Crète) et son centre opérationnel à Athènes. Elle emploie 84 personnes et est dotée d’un budget de fonctionnement annuel de 11,25 millions d’EUR. Elle est dirigée par un directeur exécutif, et sa gouvernance est assurée par un conseil d’administration, un conseil exécutif et un groupe permanent des parties prenantes. Un réseau informel d'agents de liaison nationaux facilite le dialogue avec les États membres.

1.2 Objet du rapport

L’article 32 du règlement ENISA fait obligation à la Commission de procéder, avant le 20 juin 2018, à une évaluation de l’ENISA «portant, en particulier, sur l’impact, l’efficacité et l’efficience de l’action de l’Agence et de ses pratiques professionnelles» et de déterminer si le mandat actuel de l’Agence doit être prolongé.

Dans sa communication de 2016 intitulée «Renforcer le système européen de cyber-résilience et promouvoir la compétitivité et l’innovation dans le secteur européen de la cybersécurité», la Commission a annoncé que, compte tenu des bouleversements survenus dans le paysage en matière de cybersécurité depuis 2013, au moment de l’adoption du règlement ENISA actuel, et du niveau de maturité atteint sur les plans politique, commercial et technologique, elle entendait avancer l'évaluation et le réexamen de l’ENISA. Elle faisait observer, en particulier, que ce processus fournirait l’occasion de renforcer, éventuellement, les compétences et les moyens de l’Agence pour aider de manière durable les États membres à atteindre la résilience en matière de cybersécurité.

Cette approche a été confirmée, par la suite, dans les conclusions du Conseil de 2016, dans lesquelles il a été reconnu que «les cybermenaces et les vulnérabilités continuent d’évoluer et de s’aggraver, ce qui nécessitera de poursuivre et d’intensifier la coopération, en particulier pour répondre aux cyberincidents transfrontières majeurs». Le Conseil y a réaffirmé que le règlement ENISA constitue l’un des «éléments essentiels d’un cadre de cyber-résilience de l’UE».

Les résultats de l’évaluation de l’ENISA ont été pris en compte dans l’analyse d’impact accompagnant la proposition de règlement relatif à l’ENISA, Agence de l'Union européenne pour la cybersécurité, et abrogeant le règlement (UE) n° 526/2013, et relatif à la certification de sécurité des technologies de l’information et des communications en matière de cybersécurité («règlement sur la cybersécurité»).

En application de l’article 32 du règlement ENISA, la Commission doit transmettre le rapport d’évaluation, accompagné de ses conclusions, au Parlement européen, au Conseil et au conseil d’administration. Le présent rapport succinct est accompagné d’un document de travail des services de la Commission relatif à l’évaluation de l’Agence européenne chargée de la sécurité des réseaux et de l’information (SWD(2017) 502).

2.Principales constatations de l’évaluation

Conformément aux lignes directrices pour une meilleure réglementation de la Commission, l’évaluation a porté sur l’efficacité, l’efficience, la cohérence, la pertinence et la valeur ajoutée européenne de l’Agence en ce qui concerne son fonctionnement, sa gouvernance, sa structure organisationnelle interne et ses méthodes de travail.