EURÓPAI BIZOTTSÁG Brüsszel, 2017.10.4. COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE az ENISA-ról, az „Európai Uniós Kiberbiztonsági Ügynökségről”, az 526/2013/EU rendelet hatályon kívül helyezéséről, valamint az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról („kiberbiztonsági jogszabály”) (EGT-vonatkozású szöveg) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



INDOKOLÁS 1.A JAVASLAT HÁTTERE •A javaslat indokai és céljai Az Európai Unió több lépést tett az ellenálló képesség növelése és kiberbiztonsági felkészültségének fokozása érdekében. A 2013-ban elfogadott első uniós kiberbiztonsági stratégia stratégiai célokat és konkrét intézkedéseket fogalmazott meg az ellenálló képesség elérése, a kiberbűnözés csökkentése, a kibervédelmi politika és kapacitások, valamint az ipari és technológiai erőforrások fejlesztése és egy koherens uniós nemzetközi kibertér-politika kialakítása érdekében. Ebben az összefüggésben azóta fontos fejlemények történtek, köztük különösen az Európai Uniós Hálózat- és Információbiztonsági Ügynökség (ENISA) második megbízatása és a hálózati és információs rendszerek biztonságáról szóló irányelv (a továbbiakban: kiberbiztonsági irányelv) elfogadása, amelyek e javaslat alapját képezik. Ezen túlmenően 2016-ban az Európai Bizottság közleményt fogadott el „Európa kibertámadásokkal szembeni ellenálló képességének erősítése, valamint a versenyképes és innovatív kiberbiztonsági ágazat támogatása” címmel, amelyben további intézkedéseket jelentettek be az együttműködés, az információ- és tudásmegosztás fokozására, valamint az Unió ellenálló képességének és felkészültségének növelésére, figyelembe véve továbbá a nagyszabású incidensek előfordulásának lehetőségeit és egy lehetséges páneurópai kiberbiztonsági válságot. Ezzel összefüggően a Bizottság bejelentette, hogy elő fogja terjeszteni az Európai Uniós Hálózat- és Információbiztonsági Ügynökségről (ENISA) és a 460/2004/EK rendelet hatályon kívül helyezéséről szóló 526/2013/EU európai parlamenti és tanácsi rendelet (a továbbiakban: ENISA-rendelet) értékelését és felülvizsgálatát. Az értékelési folyamat az Ügynökség lehetséges reformjához, valamint kapacitásainak és képességeinek fokozásához vezethet, hogy fenntartható módon tudja támogatni a tagállamokat. E folyamat eredményeként tehát operatívabb és központi szerepet fog betölteni a kibertámadásokkal szembeni ellenálló képességének elérésében, és új megbízatása részeként megkapja a kiberbiztonsági irányelvben meghatározott új feladatköröket. A kiberbiztonsági irányelv az első alapvető lépés a kockázatkezelés kultúrája népszerűsítésének irányában azáltal, hogy biztonsági követelményeket vezet be jogi kötelezettségként a főbb gazdasági szereplők, nevezetesen az alapvető szolgáltatást nyújtó szereplők (alapvető szolgáltatásokat nyújtó szereplők – OES) és egyes főbb digitális szolgáltatók (digitális szolgáltatók – DSP-k) számára. Mivel a biztonsági követelmények alapvető fontosságúnak tekinthetők a társadalom digitalizálódásával járó előnyök megőrzése szempontjából – és a csatlakoztatott eszközök (a dolgok internete) gyors elterjedése miatt – a 2016. évi közlemény az IKT-termékek és -szolgáltatások biztonsági tanúsítására szolgáló keretrendszer létrehozásának ötletét is előterjesztette, hogy növelje a digitális egységes piac iránti bizalmat és e piac biztonságosságát. Az IKT kiberbiztonsági tanúsítása különösen fontos a magas szintű kiberbiztonságot igénylő technológiák – így például az összekapcsolt és automatizált járművek, az elektronikus egészségügyi megoldások és az ipari automatikus vezérlőrendszerek (IACS) – fokozott használata miatt. Ezeket a szakpolitikai intézkedéseket és bejelentéseket tovább erősítették a 2016. évi tanácsi következtetések, amelyek elismerték, hogy „a kiberfenyegetések és sebezhetőségek folyamatosan alakulnak és fokozódnak, ami azt jelenti, hogy folytatni kell és szorosabbra kell fűzni az együttműködést, különösen a nagy léptékű, határokon átnyúló kiberbiztonsági incidensek kezelése ügyében”. A következtetések megerősítették, hogy „az ENISA-rendelet alkotja a kibertámadásokkal szembeni ellenálló képesség uniós keretrendszere sarokköveinek egyikét”, és további lépések megtételére kérték fel a Bizottságot az európai szintű tanúsítás kérdésének kezelése érdekében. A tanúsítási rendszer létrehozásához egy megfelelő uniós irányítási rendszer kiépítésére – többek között egy független uniós ügynökség alapos szakvéleményére lenne szükség. Ebben a tekintetben ez a javaslat – annak jellegéből adódóan – az ENISA-t azonosítja kiberbiztonsági ügyekben illetékes uniós szintű szervként, amelynek fel kell vállalnia az illetékes nemzeti szervek összefogásának és munkájuk összehangolásának szerepét a tanúsítás terén. A digitális egységes piac stratégiájának 2017. májusi félidős értékeléséről szóló közleményében a Bizottság pontosította, hogy 2017 szeptemberére fogja felülvizsgálni az ENISA megbízatását. A felülvizsgálat célja, hogy meghatározza az Ügynökség szerepét a megváltozott kiberbiztonsági ökoszisztémában, és hogy a kiberbiztonsági szabványokra, a tanúsításra és a címkézésre vonatkozó intézkedéseket dolgozzon ki az IKT-alapú rendszerek – ideértve az összekapcsolt tárgyakat is – biztonságosabbá tétele érdekében. Az Európai Tanács 2017. júniusi következtetéseiben üdvözli a Bizottság arra irányuló szándékát, hogy szeptemberben felülvizsgálja a kiberbiztonsági stratégiát és az év végéig további célzott intézkedésekre tesz javaslatot. A rendeletjavaslat olyan átfogó intézkedéscsomagot irányoz elő, amely a korábbi intézkedésekre épül, és egymást erősítő egyedi célkitűzéseket mozdít elő: ·a tagállamok és vállalkozások képességeinek és felkészültségének javítása; ·a tagállamok, uniós intézmények, hivatalok és szervek közötti együttműködés és koordináció javítása; ·a tagállami fellépések kiegészítését szolgáló uniós szintű képességek növelése, különösen a határon átnyúló kiberválságok esetében; ·a magánfelhasználók és a vállalkozások tudatosságának növelése a kiberbiztonsággal kapcsolatos kérdésekben; ·az IKT-termékek és -szolgáltatások kiberbiztonsági szintje átláthatóságának növelése a digitális egységes piac és a digitális innováció iránti bizalom megerősítése érdekében; valamint ·az uniós tanúsítási rendszerek és a kapcsolódó biztonsági követelmények és értékelési kritériumok tagállamok és ágazatok közötti összehangolatlanságának elkerülése. Az indokolás következő része a kezdeményezés alapvető okait fejti ki részletesebben az ENISA-ra és kiberbiztonsági tanúsításra irányuló javasolt intézkedésekre vonatkozóan.





ENISA Az ENISA olyan szakértői központként működik, amely az Unión belüli hálózat- és információbiztonság fokozását és a tagállamok kapacitásépítésének támogatását látja el. Az ENISA 2004-ben alakult azzal az általános céllal, hogy hozzájáruljon a hálózat- és információbiztonság magas szinten tartásához az Unióban. 2013-ban az 526/2013/EU rendelet 2020-ig új, hétéves megbízatást állapított meg az Ügynökség számára. Az Ügynökség hivatalai Görögországban találhatók: adminisztratív székhelye a krétai Iráklióban, az alapvető tevékenységeket ellátó központja pedig Athénban van. Az ENISA a többi ügynökséghez képest kicsi – alacsony költségvetéssel és személyi állománnyal rendelkezik. Megbízatása határozott időre szól. Az ENISA hálózat- és információbiztonsági problémák kezelésében, a biztonsági eseményekre való reagálásban és különösen a problémák megelőzésében támogatja az európai intézményeket, a tagállamokat és a vállalatokat. Ezt a feladatát a stratégiája részeként azonosított öt területen, több tevékenységen keresztül látja el: ·Szaktudás: információ és szakértelem biztosítása a főbb hálózat- és információbiztonsági kérdésekben. ·Politikaalkotás: az uniós politikai döntéshozatal és végrehajtás támogatása. ·Kapacitás: kapacitásépítés támogatása Unió-szerte (pl. képzések, ajánlások, tudatosságnövelő tevékenységek révén). ·Közösség: hálózat- és információbiztonsági közösség támogatása (pl. a számítógépes vészhelyzeteket elhárító csoportok [CERT-ek] támogatása, a pán-európai kibergyakorlatok koordinációja). ·Támogatás (pl. kapcsolatépítés az érdekeltekkel és a nemzetközi kapcsolatok bevonása). A kiberbiztonsági irányelvről folytatott tárgyalások során az Unió társjogalkotói úgy döntöttek, hogy fontos szerepköröket rendelnek az ENISA-hoz az irányelv végrehajtása terén. Az Ügynökség mindenekelőtt biztosítja a titkárságot a CSIRT-hálózat számára (a hálózat célja, hogy gyors és hatékony operatív együttműködést tegyen lehetővé a tagállamok között konkrét kiberbiztonsági eseményeknél és tájékoztasson a kockázatokról), és arra is felkérést kap, hogy segítse az együttműködési csoportot feladatai végrehajtásában. Ezen túlmenően az irányelv előírja az ENISA számára, hogy szakértelmével és tanácsaival, valamint a bevált módszerek megosztásának lehetővé tételével támogassa a tagállamok és a Bizottság munkáját. Az ENISA-rendeletnek megfelelően a Bizottság elvégezte az Ügynökség értékelését, amely független tanulmányt, valamint nyilvános konzultációt is magában foglal. Az értékelés az Ügynökség relevanciáját, hatását, eredményességét, hatékonyságát, koherenciáját és uniós hozzáadott értékét vizsgálta a 2013–2016 közötti teljesítménye, irányítása, belső szervezeti felépítése és munkamódszerei viszonylatában. A válaszadók többsége (74 %) összességében pozitívan értékelte az ENISA teljesítményét a nyilvános konzultáció során. A válaszadók nagy része (az egyes célok esetében legalább 63 %) ezenfelül úgy vélte, hogy az ENISA teljesítette különböző céljait. A válaszadók mintegy fele (46 %-a) rendszeresen (havonta vagy még gyakrabban) igénybe veszi az ENISA szolgáltatásait és termékeit, 83 %-uk értékeli, hogy ezek uniós szintű szervtől származnak, 62 %-uk pedig elégedett a minőségükkel. A válaszadók nagy többsége (88 %) azonban úgy vélte, hogy az uniós szinten rendelkezésre álló jelenlegi eszközök és mechanizmusok nem megfelelőek, vagy csak részben jelentenek megoldást az aktuális kiberbiztonsági problémák kezelésére. A válaszadók túlnyomó többsége (98 %) úgy véli, hogy szükség van egy uniós szervre az említett igények kiszolgálására, 99 %-uk pedig azt gondolja, hogy erre az ENISA a legalkalmasabb. Ezen túlmenően a válaszadók 67,5 %-a volt azon a véleményen, hogy az ENISA szerepet játszhatna az informatikai termékek és szolgáltatások biztonsági tanúsítását segítő harmonizált keretrendszer létrehozásában. Az átfogó értékelés (amely a nyilvános konzultáció mellett számos személyes interjún, további célzott felméréseken és műhelytalálkozókon alapult) az alábbi következtetésekkel zárult: ·Az ENISA céljai ma is időszerűek. Figyelembe véve a gyors technológiai fejlesztéseket, a kialakuló fenyegetéseket és a növekvő globális kiberbiztonsági kockázatokat, egyértelműen szükség van az Unióban a kiberbiztonsági kérdésekkel kapcsolatos magas szintű technikai szakértelem előmozdítására és továbbfejlesztésére. A tagállamokban kapacitásokat kell kialakítani a fenyegetések megértése és az azokra való reagálás érdekében, a tematikus területek és intézmények érdekeltjeinek pedig együtt kell működniük. ·Kis költségvetése ellenére az Ügynökség hatékonyan használja fel erőforrásait és hajtja végre feladatait. A helyszínek Athén és Iráklio közötti megosztása ugyanakkor további igazgatási költségekkel is jár. ·Az eredményesség terén az ENISA részben teljesítette céljait. Az Ügynökség sikeresen járult hozzá a hálózat- és információbiztonság javításához Európában azáltal, hogy a 28 tagállamban kapacitásépítést tett lehetővé, megerősítette az együttműködést a tagállamok és a hálózat- és információbiztonsággal foglalkozó érdekeltek között, és szakértelmével, közösségben játszott építő szerepével és támogatásával segítette a politikák kialakítását. Az ENISA összességében kellő gondossággal összpontosított munkaprogramja végrehajtására, és megbízható partnere volt érdekeltjeinek egy olyan területen, amelyről csak a közelmúltban ismerték el, hogy erőteljes határokon átnyúló relevanciával bír.

·Az ENISA – legalábbis bizonyos mértékig – hatást ért el a hálózat- és információbiztonság tágabb területén, de összességében nem tudott erős márkanevet kialakítani és elegendő ismertséget szerezni ahhoz, hogy Európa szakértői központjaként ismerjék el. Ennek oka, hogy az ENISA megbízatása széles körű, és az Ügynökség nem rendelkezett arányaiban elegendő erőforrással. Ezen túlmenően továbbra is az ENISA az egyetlen határozott idejű megbízatással rendelkező uniós ügynökség, ami korlátozza abban, hogy hosszú távú jövőképet fogalmazzon meg és fenntartható módon támogassa érdekeltjeit. Ez ellentétes a kiberbiztonsági irányelv rendelkezéseivel, amelyek határozatlan időre szóló feladatokat ruháznak az ENISA-ra. Végül az értékelés megállapította, hogy az eredményességi problémák részben azzal magyarázhatók, hogy az Ügynökség belső szakértők helyett inkább külső szakértőket alkalmazott, és nehézségek árán sikerült szakképzett személyzetet találnia és megtartania. ·Végül, de nem utolsósorban az értékelés arra a következtetésre jutott, hogy az ENISA hozzáadott értéke elsősorban azon képességében rejlik, hogy meg tudja erősíteni az együttműködést főként a tagállamok, és mindenekelőtt a kapcsolódó hálózat- és információbiztonsági közösségek (különösen a CSIRT-ek) között. Uniós szinten az ENISA az egyetlen szereplő, amelyik ilyen sokféle hálózat- és információbiztonsági érdekeltet támogat. Mivel azonban tevékenységeit szigorú prioritási elvek vezérlik, az ENISA munkaprogramja elsősorban a tagállami igények szerint alakul. Ennek eredményeképpen nem foglalkozik kellő mértékben az érdekeltek, különösképpen az ipar által támasztott igényekkel. Ez azzal is jár, hogy az Ügynökség, reaktív módon, legfontosabb érdekeltjei igényeinek kiszolgálására összpontosít, ami megakadályozza abban, hogy nagyobb hatást érjen el. Az Ügynökség által nyújtott hozzáadott érték ezért az érdekeltek eltérő igényeinek megfelelően alakult, és hatóköre aszerint változott, hogy az Ügynökség milyen mértékben tudott reagálni ezekre az igényekre (pl. a nagy és kis tagállamok, vagy a tagállamok és az ipar igényei közötti különbségek). Összefoglalva: az érdekeltekkel folytatott konzultációk és az értékelés eredményei arra engednek következtetni, hogy az ENISA erőforrásait és megbízatását ki kell igazítani, hogy megfelelően tudjon reagálni az aktuális és jövőbeli kihívásokra. Figyelembe véve ezeket a megállapításokat, e javaslat felülvizsgálja az ENISA jelenlegi megbízatását, és új feladatokat és funkciókat határoz meg számára azért, hogy hatékonyan és eredményesen támogassa a tagállamok, az uniós intézmények és más érdekeltek biztonságos uniós kibertér kialakítására irányuló erőfeszítéseit. Az új, javasolt megbízatás erőteljesebb és központibb szerepet kíván biztosítani az Ügynökség számára, mindenekelőtt azzal, hogy az Ügynökség támogatja a tagállamokat is a kiberbiztonsági irányelv végrehajtásában és bizonyos fenyegetések aktívabb elhárításában (operatív kapacitás), illetve azzal, hogy szakértői központtá válva támogatja a tagállamokat és a Bizottságot a kiberbiztonsági tanúsítás területén. A javaslat értelmében: ·az ENISA állandó megbízatást kapna, és ilyen módon stabil alappal rendelkezne a jövőre nézve. A megbízatás, a célok és feladatok továbbra is rendszeres felülvizsgálat tárgyát kell hogy képezzék; ·a javasolt megbízatás tovább pontosítja az ENISA szerepét az Unió kiberbiztonsági ügynökségeként és kiberbiztonsági ökoszisztémájának referenciapontjaként, amely szorosan együttműködik az ökoszisztéma többi érintett szervével; ·az Ügynökség szervezeti felépítését és irányítását, amelyet az értékelés során pozitívan ítéltek meg, bizonyos mértékig felül fogják vizsgálni, különösen azért, hogy az Ügynökség munkája jobban tükrözze a szélesebb érdekcsoportok igényeit; ·a megbízatás javasolt hatálya pontosan körül van határolva – megerősíti azokat a területeket, ahol az Ügynökség egyértelműen hozzáadott értéket mutat, illetve olyan új területekkel egészül ki, ahol az új szakpolitikai prioritások és eszközök – mindenekelőtt a kiberbiztonsági irányelv, az uniós kiberbiztonsági stratégia felülvizsgálata, a kiberválsággal összefüggő együttműködésről szóló, készülő uniós kiberbiztonsági tervezet és az IKT biztonsági tanúsítás – vonatkozásában támogatásra van szükség: ·Az uniós szakpolitika kidolgozása és végrehajtása: az ENISA feladata lenne, hogy proaktív módon járuljon hozzá a szakpolitika kidolgozásához a hálózat- és információbiztonság területén, valamint egyéb olyan szakpolitikai kezdeményezések kialakításához, amelyek különféle ágazatokat (pl. az energiaipart, a közlekedést, a pénzügyeket) érintő kiberbiztonsági elemeket tartalmaznak. Ezért erőteljes tanácsadói szerephez jutna, amelyet független véleményekkel és a szakpolitika és jog kidolgozásához és naprakésszé tételéhez szükséges előkészítő munka biztosítása révén valósíthatna meg. Az ENISA az elektronikus hírközlés, elektronikus azonosítás és bizalmi szolgáltatások területét érintő uniós politikát és jogot is támogatná azért, hogy ezzel hozzájáruljon a kiberbiztonság javításához. A végrehajtási szakaszban, különösképpen a hálózat- és információbiztonsággal foglalkozó együttműködési csoporttal összefüggően, az ENISA segítséget nyújtana a tagállamoknak abban, hogy következetes megközelítésre jussanak a kiberbiztonsági irányelv végrehajtásával kapcsolatban határokon és ágazatokon átnyúlóan, illetve egyéb releváns politikák és jogszabályok területén. A kiberbiztonsági politikák és jogszabályok rendszeres felülvizsgálatának támogatása érdekében az ENISA rendszeresen jelentést tenne az uniós jogi keretrendszer végrehajtásának állapotáról. ·Kapacitásépítés: az ENISA hozzájárulna az uniós és nemzeti közigazgatási szervek képességeinek és szakértelmének javításához, többek között a biztonsági eseményekre való reagálás és a kiberbiztonsággal kapcsolatos szabályozói intézkedések felülvizsgálata terén. Az Ügynökségtől azt is elvárnák, hogy támogassa az információmegosztási és elemző központok (ISACS) létrehozását több ágazatban azáltal, hogy bevált módszereket és iránymutatást nyújt az elérhető eszközökről és eljárásokról, emellett pedig megfelelően kezeli az információmegosztással kapcsolatos szabályozási kérdéseket. ·Tudás- és információmegosztás, tudatosságnövelés: az ENISA az Unió információs központjává válna. Mindez a bevált módszerek és kezdeményezések népszerűsítését és megosztását vonná maga után Unió-szerte az uniós és nemzeti intézményektől, hivataloktól és szervektől származó kiberbiztonsági információk összevonása révén. Az Ügynökség a kritikus infrastruktúrák biztonságával kapcsolatos tanácsokat, iránymutatást és bevált módszereket is rendelkezésre bocsátaná. A határokon átnyúló jelentős kiberbiztonsági események következtében az ENISA továbbá jelentéseket készítene abból a célból, hogy Unió-szerte iránymutatást nyújtson a vállalkozások és a magánfelhasználók számára. A munkafolyamat – a tagállami hatóságokkal egyeztetve – rendszeres tudatosságnövelő tevékenységek megszervezését is magában foglalná. ·Piaci feladatok (szabványosítás, kiberbiztonsági tanúsítás): az ENISA számos olyan feladatkört töltene be, amelyek kifejezetten a belső piacot támogatnák, és magában foglalna egy kiberbiztonsági piaci megfigyelőközpontot, amely elemzi a kiberbiztonsági piac releváns tendenciáit a kereslet és kínálat megfelelőbb kielégítése érdekében és támogatja az uniós politika kialakítását az IKT szabványosításának és kiberbiztonsági tanúsításának területein. Különös tekintettel a szabványosításra, az Ügynökség elősegítené a kiberbiztonsági szabványok kialakítását és használatát. Ezen túlmenően a jövőbeli tanúsítási keretrendszerrel kapcsolatban előirányzott feladatokat szintén végrehajtaná (lásd az alábbi szakaszt). ·Kutatás és innováció: az ENISA a kutatás-fejlesztés területén felmerülő feladatok rangsorolásával kapcsolatban szakértő tanácsokkal segítené az uniós és nemzeti hatóságok munkáját, a kiberbiztonsági szerződéses köz-magán társulással összefüggésben is. Az ENISA kutatási tanácsai a következő többéves pénzügyi keret részeként kialakítandó új Európai Kiberbiztonsági Kutató- és Kompetenciaközpont megvalósításában játszanak majd szerepet. Az ENISA – a Bizottság kérésére – a kutatási és innovációs uniós finanszírozási programok végrehajtásában is részt venne. ·Operatív együttműködés és válságkezelés: ennek a munkafolyamatnak a meglévő megelőző operatív képességek megerősítésére kell épülnie, mindenekelőtt a pán-európai kiberbiztonsági gyakorlatok (Cyber Europe) évenkénti megszervezésével történő javításával, valamint a CSIRT-hálózat titkársági feladatait ellátva (a kiberbiztonsági irányelv rendelkezései alapján) az operatív együttműködés támogatásán kell alapulnia azáltal, hogy biztosítja többek között a hálózat informatikai infrastruktúrájának és kommunikációs csatornáinak megfelelő működését. Ezzel összefüggésben strukturált együttműködésre lenne szükség az uniós számítógépes vészhelyzeteket elhárító csoporttal, a Számítástechnikai Bűnözés Elleni Európai Központtal (EC3) és a többi érdekelt uniós szervvel. Továbbá az uniós számítógépes vészhelyzeteket elhárító csoporttal való strukturált együttműködésnek (aminek szoros fizikai közelségben kell zajlania) olyan funkcióként kell működnie, amely technikai segítséget nyújt jelentős biztonsági események esetén, és támogatja az események elemzését. Azok a tagállamok, amelyek igénylik, segítséget kapnának az események kezeléséhez, és háttértámogatásban részesülnének a sebezhetőségek, informatikai hibák és biztonsági események elemzéséhez annak érdekében, hogy megerősítsék saját megelőző és reagálási képességüket. ·Az ENISA emellett szerepet játszana az Unió kiberbiztonsági tervezetében, amelyet e csomag részeként mutatnak be, és amely bizottsági ajánlásokat fogalmaz meg a tagállamok számára a nagy léptékű, határokon átnyúló kiberbiztonsági eseményekre és válsághelyzetekre adható, uniós szinten összehangolt reagálásra vonatkozóan. Az ENISA megkönnyítené az egyes tagállamok közötti együttműködést a vészhelyzetek elhárítását illetően azáltal, hogy elemezné és összesítené a tagállamok és más szervezetek által önkéntes alapon rendelkezésre bocsátott információk alapján készített nemzeti helyzetjelentéseket. ·Az IKT-termékek és -szolgáltatások kiberbiztonsági tanúsítása A bizalom és biztonság megteremtése és megőrzése érdekében az IKT-termékekbe és szolgáltatásokba már a műszaki tervezés és fejlesztés korai szakaszaiban közvetlenül be kell építeni a biztonsági elemeket (beépített biztonság). Továbbá a vásárlóknak és felhasználóknak meg kell tudniuk állapítani az általuk beszerzett vagy megvásárolt termékek és szolgáltatások biztonsági szintjét. A tanúsítás, amely a termékek, szolgáltatások és folyamatok független és akkreditált testület általi, meghatározott, szabványos kritériumokon alapuló formális értékeléséből és egy megfelelőségi tanúsítvány kiállításából áll, fontos szerepet játszik abban, hogy javuljon a termékek és szolgáltatások biztonsága és nőjön a beléjük vetett bizalom. Míg a biztonsági értékelések kifejezetten technikai jellegűek, a tanúsítás célja, hogy tájékoztassa és meggyőzze a vásárlókat és felhasználókat a megvásárolt vagy használt IKT-termékek és -szolgáltatások biztonsági tulajdonságairól. Mint már említettük, ez kifejezetten az új rendszereknél releváns, amelyek nagymértékben alkalmazzák a digitális technológiákat és magas szintű biztonságot igényelnek: ilyenek például az összekapcsolt és automatizált járművek, az elektronikus egészségügyi megoldások, az ipari automatikus vezérlőrendszerek (IACS) vagy az intelligens energiahálózatok. Az IKT-termékek és -szolgáltatások uniós kiberbiztonsági tanúsítása jelenleg nem mutat egységes képet. Számos nemzetközi kezdeményezés létezik, mint például az ún. közös kritériumok az információs technológiák biztonsági értékeléséről (ISO 15408); ezek a kritériumok alkotják a számítógépes biztonság értékelésére szolgáló nemzetközi szabványt. A szabvány harmadik fél értékelésén alapul, és hét biztonsági szintet (EAL) ír elő. A közös kritériumok és az azokat kísérő közös módszertan (CEM) adja a nemzetközi megállapodás – a közös kritériumok elismeréséről szóló megállapodás (CCRA) – technológiai alapját, ami garantálja, hogy a közös kritériumok alapján kiállított tanúsítványokat a CCRA összes aláírója elismeri. A CCRA jelenlegi verziójában azonban csak a 2. EAL szintig végzett értékeléseket ismerik el kölcsönösen. Ráadásul mindössze 13 tagállam írta alá a megállapodást.

Tizenkét tagállam tanúsító hatóságai kölcsönös elismerési megállapodást dolgozott ki a közös kritériumokon alapján, a megállapodással összhangban kiállított tanúsítványokra vonatkozóan. Ezenkívül jelenleg több IKT-tanúsítási kezdeményezés létezik vagy áll kidolgozás alatt a tagállamokban. Ezek fontosak ugyan, de fennáll a kockázata, hogy az egységes piac széttagoltságához és átjárhatósági problémákhoz vezetnek. Következésképpen előfordulhat, hogy egy vállalatnak számos tanúsítási eljáráson kell átmennie a különböző tagállamokban ahhoz, hogy több piacon értékesíthesse termékét. Egy intelligens fogyasztásmérőt gyártó vállalatnak például, amely három tagállamban, pl. Németországban, Franciaországban és az Egyesült Királyságban kívánja értékesíteni termékeit, jelenleg három különféle tanúsítási rendszernek kell megfelelnie. Az Egyesült Államokban ez a Commercial Product Assurance (CPA), Franciaországban a Certification de Sécurité de Premier Niveau (CSPN), Németországban pedig egy közös kritériumokon alapuló egyedi védelmi profil. Mindez magasabb költségeket és jelentős adminisztratív terhet ró a több tagállamban működő vállalatokra. Bár a tanúsítás költsége jelentős eltéréseket mutathat az érintett terméktől/szolgáltatástól, a biztonsági szint kívánt értékelésétől és/vagy a többi összetevőtől függően, mértéke általában tetemes a vállalatok számára. A BSI esetében az „intelligens fogyasztásmérő engedélyezési tanúsítványa” például több mint egymillió euróba kerül (a vizsgálat és a biztonság legmagasabb szintje, ami nemcsak egy termékre, de a köré épülő egész infrastruktúrára vonatkozik). Az intelligens fogyasztásmérők tanúsítási költsége mintegy 150 000 EUR az Egyesült Királyságban. Franciaországban hasonló vagy még magasabb költségekkel kell számolni. A legfontosabb állami érdekeltek és magánszereplők elismerték, hogy az Unió egészére kiterjedő kiberbiztonsági tanúsítási rendszer hiányában a vállalatokat sok esetben egyedi módon kell tanúsítani minden tagállamban, ami a piac széttagoltságához vezet. Ami még ennél is fontosabb, hogy az IKT-termékekre és -szolgáltatásokra vonatkozó uniós harmonizációs jogszabályok hiányában a tagállami kiberbiztonsági tanúsítási szabványok és gyakorlatok terén mutatkozó különbségek miatt az Unióban 28 különálló, saját technikai követelményekkel, tesztelési módszerekkel és kiberbiztonsági tanúsítási eljárásokkal bíró biztonsági piac jönne létre a gyakorlatban. Ezek az eltérő nemzeti megközelítések jelentős visszaesést okozhatnak a digitális egységes piac megvalósítása terén, lelassítva vagy megakadályozva a kapcsolódó pozitív növekedési és munkahelyteremtési hatásokat, amennyiben Uniós szinten nem történnek megfelelő lépések. A fenti fejleményeket alapul véve a rendeletjavaslat létrehozza az európai kiberbiztonsági tanúsítási keretrendszert (a továbbiakban: keretrendszer) az IKT-termékekre és szolgáltatásokra vonatkozóan, és meghatározza az ENISA alapvető funkcióit és feladatait a kiberbiztonsági tanúsítás területén. A jelenlegi javaslat meghatározza az európai kiberbiztonsági tanúsítási rendszerekre vonatkozó szabályok átfogó keretrendszerét. Nem vezet be közvetlenül működőképes tanúsítási rendszereket, ehelyett keretrendszert alakít ki bizonyos IKT-termékekre/-szolgáltatásokra vonatkozó egyedi tanúsítási rendszerek (európai kiberbiztonsági tanúsítási rendszerek) létrehozása számára. Az európai kiberbiztonsági tanúsítási rendszerek keretrendszerrel összhangban történő létrehozása lehetővé teszi majd egyfelől, hogy az ilyen rendszerek részeként kiállított tanúsítványok minden tagállamban érvényesek legyenek, illetve minden tagállam elismerje őket, másfelől, hogy kezelje a piac jelenlegi széttagoltságát. Az európai kiberbiztonsági tanúsítási rendszer általános célja annak igazolása, hogy az ilyen rendszernek megfelelően tanúsított IKT-termékek és -szolgáltatások megfelelnek a meghatározott kiberbiztonsági követelményeknek. Ebbe beletartozna például a (tárolt, továbbított vagy más módon feldolgozott) adatok védelmének képessége a véletlen vagy illetéktelen tárolással, feldolgozással, hozzáféréssel, nyilvánosságra hozatallal, megsemmisítéssel, véletlen elvesztéssel vagy módosítással szemben. Az Unió kiberbiztonsági tanúsítási rendszerei a meglévő szabványokra hagyatkoznának azon technológiai követelményekhez és értékelő eljárásokhoz kapcsolódóan, amelyeknek a termékeknek meg kell felelniük, és nem saját technológiai szabványokat dolgoznának ki. Egy, az Unió egészére szóló terméktanúsítás, például az intelligens kártyákra vonatkozóan, amelyeket jelenleg a többoldalú (korábban már bemutatott) SOG-IS rendszerben, nemzetközi, közös kritériumokon alapuló szabványok alapján tesztelnek, azt jelentené, hogy a rendszer az egész Unióban érvényes. A konkrét európai kiberbiztonsági tanúsítási rendszer kialakításánál figyelembe veendő konkrét biztonsági célkitűzések meghatározása mellett a javaslat előírja az ilyen rendszerek minimális tartalmi jellemzőit. Az ilyen rendszereknek többek között számos olyan konkrét elemet kell meghatározniuk, amelyek felvázolják a kiberbiztonsági tanúsítás hatályát és tárgyát. Ez magában foglalja az érintett termékek és szolgáltatások kategóriáinak azonosítását, a kiberbiztonsági követelmények részletes leírását (például a vonatkozó szabványokra vagy műszaki előírásokra való hivatkozással), a konkrét értékelési kritériumokat és módszereket, valamint a biztonság elérendő szintjét (alapvető, jelentős vagy magas). Az európai kiberbiztonsági tanúsítási rendszereket az ENISA dolgozza ki az európai kiberbiztonsági tanúsítási csoport segítségével és megerősített együttműködésével (lásd alább), és végrehajtási jogi aktusok révén a Bizottság fogadja el. Ha igény merül fel egy kiberbiztonsági tanúsítási rendszer iránt, a Bizottság felkéri az ENISA-t, hogy dolgozza ki azt a konkrét IKT-termékekre vagy -szolgáltatásokra vonatkozóan. Az ENISA megerősített együttműködés keretében dolgozik majd együtt a csoportban képviselettel rendelkező nemzeti tanúsításfelügyeleti hatóságokkal. A tagállamok és a csoport javasolhatják a Bizottság számára, hogy kérje fel az ENISA-t egy adott rendszer elkészítésére. A tanúsítási eljárás igen költséges lehet, ami magasabb árakat eredményezhet az ügyfelek és a fogyasztók számára. A tanúsítás iránti igény jelentős különbségeket mutathat a termékek és szolgáltatások sajátos felhasználási környezetétől és a technológiai változások gyors ütemétől függően. Az európai kiberbiztonsági tanúsítás igénybevételének ezért továbbra is önkéntesnek kell maradnia, kivéve, ha az IKT-termékek és -szolgáltatások biztonsági követelményeit előíró uniós vagy nemzeti jogszabályok erről eltérően rendelkeznek. A harmonizáció biztosítása és a széttagoltság elkerülése érdekében azonban az európai kiberbiztonsági tanúsítási rendszer hatálya alá tartozó IKT-termékek és -szolgáltatások nemzeti kiberbiztonsági tanúsítási rendszereit vagy eljárásait a rendszer elfogadásáról szóló végrehajtási jogi aktusban megállapított időponttól nem alkalmazzák majd. A tagállamok továbbá nem vezethetnek be új nemzeti kiberbiztonsági tanúsítási rendszereket a meglévő európai kiberbiztonsági tanúsítási rendszer hatálya alá tartozó IKT-termékekre és szolgáltatásokra vonatkozóan. Az európai kiberbiztonsági tanúsítási rendszer elfogadását követően az IKT-termékek gyártói és az ilyen szolgáltatásokat kínáló szolgáltatók a termékeik vagy szolgáltatásaik tanúsítására irányuló kérelmet benyújthatják majd az általuk választott megfelelőségértékelő szervezetnek. A megfelelőségértékelő szervezeteket egy akkreditáló testületnek kell akkreditálnia, amennyiben azok megfelelnek bizonyos meghatározott követelményeknek. Az akkreditációt legfeljebb ötéves időtartamra adják meg, és az azonos feltételek mellett mindaddig megújítható, ameddig az adott megfelelőségértékelő szervezet teljesíti a meghatározott követelményeket. Az akkreditáló testületek visszavonják a megfelelőségértékelő szervezet akkreditációját, amennyiben az akkreditáció feltételei nem vagy már nem teljesülnek, illetve, ha a szervezet által hozott intézkedések megsértik e rendelet rendelkezéseit. A javaslat szerint az ellenőrzési, felügyeleti és végrehajtási feladatok a tagállamokra hárulnak. A tagállamoknak létre kell hozniuk egy tanúsításfelügyeleti hatóságot. A hatóság feladata lesz felügyelni, hogy a megfelelőségértékelő szervezetek, valamint a tagállam területén letelepedett ilyen szervezetek által kiállított tanúsítványok megfelelnek-e a rendelet előírásainak és a vonatkozó európai kiberbiztonsági tanúsítási rendszereknek. A nemzeti tanúsításfelügyeleti hatóságok illetékesek a tagállam területén letelepedett megfelelőségértékelő szervezetek által kiállított tanúsítványokkal kapcsolatos, természetes és jogi személyek által benyújtott panaszok kezelésére. A megfelelő mértékig kivizsgálják a panasz tárgyát, és észszerű határidőn belül tájékoztatják a panaszost a fejleményekről és a vizsgálat eredményéről. Ezen túlmenően együttműködnek a többi tanúsításfelügyeleti hatósággal vagy más hatóságokkal, például olyan módon, hogy megosztják az e rendelet előírásainak, illetve a konkrét európai kiberbiztonsági tanúsítási rendszereknek esetlegesen meg nem felelő IKT-termékekkel és -szolgáltatásokkal kapcsolatos információkat. Végül pedig a javaslat létrehozza az európai kiberbiztonsági tanúsítási csoportot (a továbbiakban: csoport), amely az egyes tagállamok nemzeti tanúsításfelügyeleti hatóságaiból áll. A csoport fő feladata, hogy tanácsot adjon a Bizottságnak a kiberbiztonsági tanúsítási politikát érintő kérdésekben, és együttműködjön az ENISA-val az európai kiberbiztonsági tanúsítási rendszerek tervezetének kidolgozásában. Az ENISA segíteni fogja a Bizottságot a csoport titkárságának biztosításában, és naprakész, a nyilvánosság számára elérhető nyilvántartást vezet majd az európai kiberbiztonsági tanúsítási keretrendszer részeként jóváhagyott rendszerekről. Az ENISA a szabványtestületekkel is kapcsolatot tartana fenn, hogy biztosítsa a jóváhagyott rendszerekben használt szabványok megfelelőségét, és hogy azonosítsa a kiberbiztonsági szabványokat igénylő területeket. Az európai kiberbiztonsági tanúsítási keretrendszer (a továbbiakban: a keretrendszer) számos előnnyel jár majd a magánfelhasználók és a vállalkozások számára. Különösen a következőket kell megemlíteni: ·A konkrét termékekhez vagy szolgáltatásokhoz kapcsolódó átfogó uniós kiberbiztonsági tanúsítási rendszerek „egyablakos” mechanizmusként funkcionálnak majd a vállalatok számára az uniós kiberbiztonsági tanúsítás területén. Az ilyen vállalatoknak lehetőségük lesz arra, hogy csak egyszer tanúsíttassák terméküket, és ennek révén minden tagállamban érvényes tanúsítványt szerezzenek. Nem kötelezik majd őket arra, hogy újból elvégeztessék a terméktanúsítást a különböző nemzeti tanúsító szerveknél. Mindez jelentősen csökkenti majd a vállalatok költségeit, elősegíti a határokon átnyúló tevékenységeket, és végső soron csökkenti és megakadályozza az érintett termékek belső piacának széttagoltságát. ·A keretrendszer elsőbbséget ad az európai kiberbiztonsági tanúsítási rendszereknek a nemzeti rendszerekkel szemben: e szabály értelmében egy európai kiberbiztonsági tanúsítási rendszer elfogadása minden létező párhuzamos nemzeti rendszert hatályon kívül helyez ugyanazokra az adott biztonsági szinttel rendelkező IKT-termékekre és szolgáltatásokra vonatkozóan. Mindez még átláthatóbbá teszi a rendszert azáltal, hogy csökkenti az egymást átfedő vagy esetlegesen egymásnak ellentmondó nemzeti kiberbiztonsági tanúsítási rendszerek jelenlegi terjedését. ·A javaslat támogatja és kiegészíti a kiberbiztonsági irányelv végrehajtását olyan módon, hogy az irányelv hatálya alá tartozó vállalatokat egy nagyon hasznos eszközzel látja el annak igazolására, hogy az Unió egészében megfelelnek a hálózat- és információbiztonsággal kapcsolatos előírásoknak. Az új kiberbiztonsági tanúsítási rendszerek kidolgozásakor a Bizottság és az ENISA különös figyelmet fog fordítani arra az igényre, hogy biztosítsa, hogy a hálózat- és információbiztonsági követelmények visszaköszönjenek az ilyen rendszerekben. ·A javaslat az IKT-termékek és -szolgáltatások uniós kiberbiztonsági tanúsításához szükséges feltételek és alapvető követelmények harmonizálása révén támogatni fogja és elősegíti az európai kiberbiztonsági politika kidolgozását. Az európai kiberbiztonsági tanúsítási rendszerek közös szabványokat, illetve az értékelési és vizsgálati módszerek közös kritériumait fogják tartalmazni. Ez jelentősen – bár közvetetten – hozzá fog járulni a közös biztonsági megoldások elterjedéséhez az Unióban, és ilyen módon a belső piacot akadályozó tényezőket is felszámolja. ·A keretrendszer jellegéből adódóan biztosítja a szükséges rugalmasságot a kiberbiztonsági tanúsítási rendszerek számára. A konkrét kiberbiztonsági igényektől függően a termék- vagy szolgáltatástanúsítás magasabb vagy alacsonyabb biztonsági szinten is elvégezhető. Az európai kiberbiztonsági tanúsítási rendszereket ezt a rugalmasságot szem előtt tartva kell megtervezni, és ezért különböző biztonsági szinteket (azaz alapvető, jelentős vagy magas biztonsági szintet) garantálnak, így különböző célokra, illetve különböző környezetekben lehet használni őket. ·A fent említett elemek az IKT-termékek és -szolgáltatások kiberbiztonsági szintje kommunikációjának hatékony eszközeként vonzóbbá teszik majd a kiberbiztonsági tanúsítást a vállalkozások számára. Ha a kiberbiztonsági tanúsítás olcsóbbá, hatékonyabbá és kereskedelmi szempontból vonzóbbá válna, a vállalkozások nagyobb kedvet kapnának termékeik kiberbiztonsági kockázatokkal szembeni tanúsítására, és ilyen módon hozzájárulnának a hatékonyabb kiberbiztonsági gyakorlatok elterjedéséhez az IKT-termékek és -szolgáltatások tervezésében (beépített kiberbiztonság).

•Összhang a szabályozási terület jelenlegi rendelkezéseivel A kiberbiztonsági irányelv értelmében a gazdaságunk és a társadalmunk számára létfontosságú ágazati szereplők, például az energiaipari, a közlekedés- és vízügyi, a banki szolgáltatók, a pénzügyi piaci infrastruktúra, az egészségügyi és a digitális infrastruktúra szereplői, valamint a digitális szolgáltatók (pl. a keresőmotorok, felhőalapú számítástechnikai szolgáltatások és az online piacterek) kötelesek intézkedéseket tenni a biztonsági kockázatok megfelelő kezelése érdekében. E javaslat új szabályai kiegészítik a kiberbiztonsági irányelv rendelkezéseit, és biztosítják a velük való összhangot annak érdekében, hogy tovább növeljék az Unióban a kibertámadásokkal szembeni ellenálló képességet fokozott képességek, együttműködés, kockázatkezelés és a kiberbiztonsággal kapcsolatos tudatosság révén. Ezen túlmenően a kiberbiztonsági tanúsításra vonatkozó szabályok alapvető fontosságú eszközök a kiberbiztonsági irányelv hatálya alá tartozó vállalatok számára, mivel azok így képesek lesznek IKT-termékeik és -szolgáltatásaik tanúsítását elvégezni a kiberbiztonsági kockázatokkal szemben az Unió egészében érvényes és elismert kiberbiztonsági tanúsítási rendszerek alapján. Emellett kiegészítik az eIDAS-rendeletben és a rádióberendezésekről szóló irányelvben említett biztonsági követelményeket. •Összhang az Unió egyéb szakpolitikáival Az (EU) 2016/679 rendelet (általános adatvédelmi rendelet, „GDPR”) rendelkezéseket ír elő a tanúsítási mechanizmusok és adatvédelmi bélyegzők, illetve jelölések létrehozására vonatkozóan, amelyek bizonyítják, hogy az adatkezelő vagy adatfeldolgozó által végrehajtott adatkezelési műveletek megfelelnek e rendelet előírásainak. Jelen rendelet nem érinti az adatfeldolgozási műveletek általános adatvédelmi rendelet szerinti tanúsítását, még akkor sem, ha az ilyen műveletek termékekbe és szolgáltatásokba vannak beágyazva. A rendeletjavaslat biztosítani fogja az összeegyeztethetőséget az akkreditálás és piacfelügyelet előírásáról szóló 765/2008/EK rendelettel azáltal, hogy hivatkozik az említett keretrendszer nemzeti akkreditáló testületekre és megfelelőségértékelő szervezetekre vonatkozó szabályaira. Ami a felügyeleti hatóságokat illeti, a rendeletjavaslat előírja a tagállamok számára, hogy a szabályok felügyeletéért, nyomon követéséért és végrehajtásáért felelős nemzeti felügyeleti hatóságokat jelöljön ki. Ezeknek a szervezeteknek a 765/2008/EK rendeletben előírtak szerint a megfelelőségértékelési szervektől különálló szerveknek kell maradniuk. 2.JOGALAP, SZUBSZIDIARITÁS ÉS ARÁNYOSSÁG •Jogalap Az uniós fellépés jogalapja az Európai Unió működéséről szóló szerződés (EUMSZ) 114. cikke, amely a tagállamok jogszabályainak közelítését tárgyalja, amely harmonizáció célja az EUMSZ 26. cikkében említett célkitűzések, nevezetesen a belső piac megfelelő működésének elérése. A Bíróság (Egyesült Királyság kontra Európai Parlament és Tanács ügy, C-217/04) megerősítette az ENISA létrehozásának belső piaci jogalapját, amelyet az Ügynökség jelenlegi megbízatását megállapító 2013-as rendelet tovább erősített. Ezen túlmenően azok a tevékenységek, amelyek a tagállamok közötti együttműködés és koordináció növelésére irányuló célkitűzéseket tükrözik, illetve amelyek uniós szintű képességekkel bővítik a tagállamok fellépését, az operatív együttműködés kategóriájába tartoznak. A kiberbiztonsági irányelv (amelynek az EUMSZ 114. cikke a jogalapja) kifejezetten ezt határozza meg elérendő célként a CSIRT-hálózattal összefüggően, amelyben az „ENISA biztosítja a titkárságot, és aktívan támogatja a CSIRT-ek közötti együttműködést” (a 12. cikk (2) bekezdése). A 12. cikk (3) bekezdésének f) pontja részletesen felvázolja az operatív együttműködés további formáinak meghatározását a CSIRT-hálózat feladataként, többek között az alábbiakkal kapcsolatban: i. a kockázatok és biztonsági események kategóriái; ii. korai előrejelzés; iii. kölcsönös segítségnyújtás; valamint iv. a koordináció elvei és módjai olyan esetekben, amikor a tagállamok határokon átnyúló kockázatokra és biztonsági eseményekre reagálnak. ·Az IKT-termékek és -szolgáltatások tanúsítási rendszereinek jelenlegi összehangolatlansága a tagállamokra nézve jogilag kötelező erejű és hatékony közös keretprogram hiányából is adódik. Ez gátolja az IKT-termékek és -szolgáltatások belső piacának létrejöttét, és akadályozza az európai ipar versenyképességét az ágazatban. E javaslat célja a meglévő széttagoltság és a kapcsolódó belső piaci akadályok kezelése azáltal, hogy közös keretrendszert biztosít az Unió egészében érvényes kiberbiztonsági tanúsítási rendszerek létrehozására. Szubszidiaritás (nem kizárólagos hatáskör esetén) A szubszidiaritás elve megköveteli az uniós fellépés szükségességének és hozzáadott értékének értékelését. A szubszidiaritás tiszteletben tartását már a jelenleg hatályos ENISA-rendelet elfogadásakor elismerték. A kiberbiztonság közös uniós érdek. A hálózatok és az információs rendszerek kölcsönös függése olyan jellegű, hogy az egyes szereplők (köztük az állami és a magánszféra szereplői, a magánfelhasználókat is ideértve) gyakran nem képesek elszigetelten szembenézni a fenyegetésekkel, kezelni a kockázatokat és a kiberbiztonsági események lehetséges hatásait. Egyfelől a tagállamokat érintő, a kritikus infrastruktúrák (a teljesség igénye nélkül az energia, a közlekedés és a víz) működtetését is befolyásoló kölcsönös függés nemcsak előnyössé, de szükségessé is teszi az európai szintű állami beavatkozást. Másfelől az uniós beavatkozás kedvező „továbbgyűrűző” hatással járhat a bevált gyakorlatok tagállamok közötti megosztása révén, ami az Unió fokozott kiberbiztonságát eredményezheti. Összefoglalva, a jelenlegi helyzetben és a jövőbeni forgatókönyveket vizsgálva úgy tűnik, hogy az Unió kibertámadásokkal szembeni kollektív ellenálló képességének növeléséhez nem elegendők az uniós tagállamok egyedi fellépései és a kiberbiztonságra alkalmazott összehangolatlan megközelítés. A jelenlegi kiberbiztonsági tanúsítási rendszerek összehangolatlanságának kezeléséhez is szükség van az uniós fellépésre. Az ilyen fellépés lehetővé tenné a gyártók számára, hogy a belső piac minden előnyével éljenek és jelentős költségmegtakarítást érjenek el a tesztelés és áttervezés területén. Noha a vezető tisztviselők információs rendszerek biztonságával foglalkozó csoportjának (SOG-IS) jelenlegi kölcsönös elismerési megállapodása például jelentős eredményeket ért el ebben a tekintetben, olyan fontos korlátokra is rámutatott, amelyek akadályozzák azt, hogy hosszabb távon alkalmasak legyen fenntartható megoldásokat nyújtani a belső piac teljes potenciáljának megvalósítását illetően. A 2016. évi tanácsi következtetések elismerik az uniós szintű fellépés hozzáadott értékét, egyfelől különösen a tagállamok közötti, másfelől a hálózat- és információbiztonsági közösségek közötti együttműködés fokozása szempontjából, amely hozzáadott értékre az ENISA értékelése is egyértelműen rámutat.

•Arányosság A javasolt intézkedések nem lépik túl a szakpolitikai célkitűzések eléréséhez szükséges mértéket. Ezen túlmenően az uniós beavatkozás hatálya nemzetbiztonsági kérdésekben nem akadályoz semmilyen további nemzeti fellépést. A szubszidiaritás és arányosság elve alapján ezért indokolt az uniós szintű fellépés. •A jogi aktus típusának megválasztása Ez a javaslat az 526/2013/EU rendeletet vizsgálja felül, amely meghatározza az ENISA jelenlegi megbízatását és feladatait. Továbbá, tekintettel arra, hogy az ENISA fontos szerepet játszik az Unió kiberbiztonsági tanúsítási keretrendszerének kialakításában és irányításában, új megbízatását és az említett keretrendszert egyetlen jogi eszközbe célszerű foglalni, amire a rendelet a legalkalmasabb eszköz. 3.AZ UTÓLAGOS ÉRTÉKELÉSEK, AZ ÉRDEKELT FELEKKEL FOLYTATOTT KONZULTÁCIÓK ÉS A HATÁSVIZSGÁLATOK EREDMÉNYEI A jelenleg hatályban lévő jogszabályok utólagos értékelése / célravezetőségi vizsgálata A Bizottság az értékelési ütemtervnek megfelelően az Ügynökség relevanciáját, hatását, eredményességét, hatékonyságát, koherenciáját és uniós hozzáadott értékét vizsgálta a 2013–2016 közötti teljesítménye, irányítása, belső szervezeti felépítése és munkamódszerei viszonylatában. A főbb megállapítások összefoglalása az alábbiakban olvasható (további információért lásd a témával foglalkozó, hatásvizsgálatot kísérő bizottsági szolgálati munkadokumentumot). ·Relevancia: figyelembe véve a technológiai fejlődést, a kialakuló fenyegetéseket és a fokozott kiberbiztonság iránti megnövekedett igényt az Unióban, az ENISA célkitűzései relevánsnak bizonyultak. A tagállamok és az Unió szervei valóban számítanak az Ügynökség kiberbiztonsági ügyekben rendelkezésre álló jelentős tapasztalatára. A tagállamokban ezen túlmenően kapacitásokat kell kialakítani a fenyegetések jobb megértése és az azokra való reagálás érdekében, a tematikus területek és intézmények érdekeltjeinek pedig együtt kell működniük. A kiberbiztonság továbbra is az Unió kulcsfontosságú szakpolitikai prioritása marad, amellyel kapcsolatban számítani lehet az ENISA reagálására; az ENISA határozott idejű megbízatással rendelkező uniós ügynökségként való működése azonban: i. nem teszi lehetővé a hosszú távú tervezést, valamint a tagállamok és uniós intézmények fenntartható támogatását; ii. joghézagot eredményezhet, mivel a kiberbiztonsági irányelv rendelkezései tartós jellegű feladatokat bíznak az ENISA-ra; iii. nincs összhangban azzal az elképzeléssel, amely fokozott uniós kiberbiztonsági ökoszisztémához kapcsolja az ENISA-t. ·Eredményesség: Az ENISA általánosságban véve teljesítette célkitűzéseit és végrehajtotta feladatait. Főbb tevékenységei (kapacitásépítés, szakértelem biztosítása, közösségépítés és a szakpolitika támogatása) révén hozzájárult ahhoz, hogy fejlettebb hálózat- és információbiztonság valósuljon meg Európában. Mindazonáltal minden említett területen van még hova fejlődnie. Az értékelés arra a következtetésre jutott, hogy az ENISA hatékony, szoros és bizalomteljes kapcsolatot alakított ki egyes érdekelt felekkel, különösen a tagállamokkal és a CSIRT-ek közösségével. A kapacitásépítés terén végrehajtott beavatkozásokat különösen a kevesebb erőforrással rendelkező tagállamok esetében találták eredményesnek. A széles körű együttműködés ösztönzése az Ügynökség egyik fő erőssége: az érdekelt felek nagy többsége egyetért abban, hogy az ENISA pozitív szerepet játszik az együttműködés elősegítésében. Az ENISA-nak azonban nehézséget okozott, hogy jelentős hatást érjen el a hálózat- és információbiztonság tágabb területén. Ez részben annak is köszönhető, hogy a több részterületet érintő megbízatásához csak nehézségek árán talált emberi- és pénzügyi erőforrásokat. Az értékelés azt is megállapította, hogy az ENISA csak részben teljesítette a szakértelem biztosítására irányuló célkitűzését, ami a szakértők toborzásával kapcsolatos problémáknak tudható be (lásd még a hatékonyságot tárgyaló szakaszban). ·Hatékonyság: Kis költségvetése ellenére (amely a legalacsonyabbak között van az uniós ügynökségek között) az Ügynökség hozzá tudott járulni kitűzött céljaihoz, ami összességében azt mutatja, hogy hatékonyan gazdálkodik erőforrásaival. Az értékelés megállapította, hogy a folyamatok általánosságban véve hatékonynak bizonyultak, és az, hogy a szervezeten belül egyértelműen meghatározták a felelősségi köröket, azt eredményezte, hogy az Ügynökség megfelelően hajtotta végre feladatait. Az Ügynökség hatékonyságának egyik fő kihívása az volt, hogy nehezen sikerült szakképzett személyzetet találnia és azt megtartania. Az értékelés megállapításai szerint ez több tényező kombinációjával magyarázható, köztük azzal, hogy a közszektor számára általánosságban nehézséget jelent, hogy versenyre keljen a magánszektorral a magasan képzett szakértők alkalmazásában, az Ügynökség leginkább határozott idejű szerződéseket tud ajánlani a jelentkezőknek, illetve az ENISA elhelyezkedése csak keveseket vonzott, ami például a házastársak munkavállalási nehézségeiből is fakadt. További koordinációs erőfeszítéseket és többletköltségeket igényelt az Ügynökség helyszíneinek Athén és Iráklio közötti megosztása, azonban az, hogy a fő operatív részleget 2013-ban Athénba költöztették, növelte az Ügynökség működési hatékonyságát. ·Koherencia: Az ENISA tevékenységei általában véve összeegyeztethetők az érdekeltek politikáival és tevékenységeivel nemzeti és uniós szinten, ez utóbbi szintjén azonban összehangoltabb megközelítésre van szükség a kiberbiztonság területén. Az ENISA és a többi uniós szerv közötti együttműködés lehetőségeit nem használják ki teljes mértékben. Az Unió jogi és politikai helyzetének alakulása miatt most kevésbé koherens az Ügynökség jelenlegi megbízatása. ·Uniós hozzáadott érték: Az ENISA hozzáadott értéke elsősorban azon képességében rejlik, hogy nemcsak a tagállamok között, hanem a kapcsolódó hálózat- és információbiztonsági közösségek között is meg tudja erősíteni az együttműködést. Uniós szinten az ENISA az egyetlen olyan szereplő, amelyik ilyen sokféle érdekelt együttműködését támogatja a hálózat- és információbiztonság területén. Az Ügynökség által nyújtott hozzáadott érték az érdekelt felek eltérő szükségleteinek és erőforrásainak megfelelően (pl. a nagy és kis tagállamok igényei; vagy a tagállamok és az ipar igényei közötti különbségek), valamint az Ügynökség tevékenységeinek munkaprogram szerinti rangsorolását figyelembe véve eltérő volt. Az értékelés megállapította, hogy az ENISA esetleges megszüntetésével a tagállamok egy jó lehetőséget szalasztanának el. Az Ügynökség hiányában nem biztos, hogy a közösségépítés és a tagállamok közötti együttműködés ugyanilyen szinten zajlana a kiberbiztonság terén. Centralizált uniós ügynökség nélkül az összkép sokkal széttagoltabb lenne, és kétoldalú vagy regionális együttműködés töltené ki az ENISA által hagyott űrt. Különös figyelmet fordítva az ENISA eddig elért és jövőbeli teljesítményére, a 2017. évi konzultáció alapján az alábbiak állapíthatók meg az Ügynökség munkájáról: ·Az ENISA 2013 és 2016 között nyújtott teljesítményét általánosságban véve a válaszadók többsége (74 %) pozitívan értékelte. A válaszadók nagy része (az egyes célok esetében legalább 63 %) ezenfelül úgy vélte, hogy az ENISA teljesítette különböző céljait. A válaszadók mintegy fele (46 %-a) rendszeresen (havonta vagy még gyakrabban) igénybe veszi az ENISA szolgáltatásait és termékeit, 83 %-uk értékeli, hogy ezek uniós szintű szervtől származnak, 62 %-uk pedig elégedett a minőségükkel. ·A válaszadók számos hiányosságot és problémát azonosítottak az Unió kiberbiztonságának jövőjét illetően, ezek közül az öt legfontosabb (egy 16 elemet tartalmazó listából): a tagállamok közötti együttműködés; a nagy léptékű kibertámadások megelőzésére, észlelésére és megoldására alkalmas kapacitás; a tagállamok közötti együttműködés a kiberbiztonsággal kapcsolatos ügyekben; a különböző érdekeltek közötti együttműködés és információmegosztás, a köz- és a magánszféra közötti együttműködést is ideértve; a kritikus infrastruktúra védelme a kibertámadásokkal szemben. ·A válaszadók nagy többsége (88 %) úgy vélte, hogy az uniós szinten rendelkezésre álló jelenlegi eszközök és mechanizmusok nem megfelelőek vagy csak részben jelentenek megoldást az említett problémák kezelésére. A válaszadók túlnyomó többsége (98 %) úgy véli, hogy szükség van egy uniós szervre az említett igények kiszolgálására, 99 %-uk pedig azt gondolja, hogy erre az ENISA a legalkalmasabb. Konzultáció az érdekelt felekkel ·A Bizottság nyilvános konzultációt tartott 2016. április 12-e és július 5-e között az ENISA értékelése kapcsán, amelynek során 421 válasz érkezett be. Az eredmények alapján a válaszadók 67,5 %-a volt azon a véleményen, hogy az ENISA szerepet játszhatna az informatikai termékek és szolgáltatások biztonsági tanúsítását segítő harmonizált keretrendszer létrehozásában.

A kiberbiztonsági szerződéses köz-magán társulással összefüggő 2016. évi konzultáció eredményei a tanúsítással foglalkozó résszel kapcsolatban azt mutatják, hogy: ·A válaszadók 50,4 %-a (121-en a 240-ből) nincs tisztában azzal, hogy a nemzeti tanúsítási rendszereket kölcsönösen elismerik-e a tagállamokban. A válaszadók 25,8 %-a (62-en a 240-ből) „nemmel”, míg 23,8 %-a (57-en a 240-ből) „igennel” válaszolt. ·A válaszadók 37,9 % -a (91-en a 240-ből) úgy véli, hogy a meglévő tanúsítási rendszerek nem felelnek meg az európai ipar igényeinek. Másfelől 17,5 %-uk (42-en a 240-ből) ellentétes álláspontot képviseltek (főként az európai piacon működő nemzetközi vállalatok). ·A válaszadók 49,6 %-a (119-en a 240-ből) azt állítja, hogy nem könnyű megfeleltetni egymásnak a szabványokat, tanúsítási rendszereket és címkéket. A válaszadók 37,9 %-a (91-en a 240-ből) azt válaszolta, hogy nem tudja, és mindössze 12,5 %-a (30-an a 240-ből) válaszolt „igennel”. Szakértői vélemények összegyűjtése és felhasználása A Bizottság az alábbi független szakértők tanácsaira támaszkodott: ·tanulmány az ENISA értékeléséről (Ramboll/Carsa 2017; SMART 2016/0077); ·tanulmány „ICT Security Certification and labelling – Evidence gathering and impact assessment” címen (PriceWaterhouseCoopers 2017; SMART 2016/0029). Hatásvizsgálat ·A kezdeményezésről szóló hatásvizsgálati jelentés a következő fő problémákat tárta fel, amelyeket orvosolni kell: ·a kiberbiztonsági politikák és megközelítések összehangolatlansága a tagállamokban; ·szerteágazó erőforrások és összehangolatlan megközelítések a kiberbiztonsággal kapcsolatosan az uniós intézményekben, hivataloknál és szerveknél; valamint ·a magánfelhasználók és vállalatok nem megfelelő tájékozottsága, valamint egyre több nemzeti és ágazati tanúsítási rendszer megjelenése. A jelentés az ENISA megbízatásával kapcsolatban a következő lehetséges lehetőségeket értékelte: ·a fennálló állapot megőrzése, azaz egy kibővített, ám időben továbbra is korlátozott megbízatással (alapforgatókönyv); ·az ENISA jelenlegi megbízatásának lejárta megújítása nélkül és az ENISA megszüntetése (nincs politikai beavatkozás); ·az ENISA megreformálása; valamint ·egy uniós kiberbiztonsági ügynökség létrehozása teljes operatív képességekkel.

A jelentés a kiberbiztonsági tanúsítással kapcsolatban a következő lehetséges lehetőségeket értékelte: ·nincs politikai beavatkozás (alapforgatókönyv); ·nem jogalkotási (ún. puha jogi) intézkedések; ·olyan uniós jogalkotási aktus, amely a SOG-IS rendszeren alapuló kötelező rendszert hoz létre valamennyi tagállam számára; valamint ·uniós általános informatikai kiberbiztonsági tanúsítási keretrendszer kialakítása. Az elemzés arra a következtetésre jutott, hogy az ENISA megreformálása egy uniós általános informatikai kiberbiztonsági tanúsítási keretrendszerrel kombinálva az előnyben részesített lehetőség. E két lehetőség együttes alkalmazása tűnik a leghatékonyabb módszernek ahhoz, hogy az EU elérhesse a kitűzött célokat: azaz fokozza a kiberbiztonsági képességeket, a felkészültséget, az együttműködést, a tudatosságnövelést, az átláthatóságot, és megelőzze a piac széttagoltságát. Az értékelés szerint az uniós kiberbiztonsági stratégiában és a kapcsolódó szakpolitikákban (például a kiberbiztonsági irányelvben), valamint a digitális egységes piaci stratégiában meghatározott politikai prioritásokkal is ez a megoldás van leginkább összhangban. A konzultációs folyamat során az is kiderült, hogy az előnyben részesített megoldás az érdekelt felek többségének támogatását élvezi. Emellett a hatásvizsgálati elemzés tanúsága szerint ezzel a megoldással az erőforrások észszerű felhasználása mellett lehet elérni a kitűzött célokat. A Bizottság Szabályozói Ellenőrzési Testülete július 24-én eredetileg kedvezőtlen véleményt adott ki, de azt a hatásvizsgálat újbóli beterjesztése után 2017. augusztus 25-én kedvezőre változtatta. A módosított hatásvizsgálati jelentés további alátámasztó bizonyítékokkal, az ENISA értékelésével kapcsolatos végleges megállapításokkal, valamint a szakpolitikai alternatívákhoz és hatásaikhoz fűzött további magyarázatokkal gazdagodott. A végleges hatásvizsgálati jelentés 1. melléklete összefoglalást nyújt arról, hogy a Testület második véleményében tett észrevételei miként kerültek figyelembevételre. Különösen abban a tekintetben volt szükség a jelentés aktualizálására, hogy részletesebben bemutassa az uniós kiberbiztonsági összefüggéseket, ideértve az „Ellenálló képesség, elrettentés és védelem – erős kiberbiztonság kialakítása az EU-ban” című közös közleményben (JOIN(2017) 450) foglalt intézkedéseket, amelyek különös jelentőséggel bírnak az ENISA szempontjából: az EU kiberbiztonsági tervezetét és az Európai Kiberbiztonsági Kutatási és Kompetenciaközpontot – ez utóbbit az Ügynökség az EU kutatási szükségleteivel kapcsolatos tanácsadással fogja támogatni. A jelentés kifejti, hogy az új feladatkörökre, a jobb munkakörülményekre és az ugyanezen a területen tevékenykedő uniós szervekkel való strukturális együttműködésre irányuló reform révén miként válik majd az Ügynökség vonzóbb munkáltatóvá, ami hozzá fog járulni a szakértők toborzásával kapcsolatos problémák megoldásához is. A jelentés 6. melléklete pedig az ENISA-val kapcsolatos szakpolitikai alternatívák költségbecslésének felülvizsgált változatát tartalmazza. Ami a tanúsítás témáját illeti, a felülvizsgált jelentés részletesebben kifejti és egy ábrával is illusztrálja a javasolt megoldást, és becsléseket ad az új tanúsítási keretrendszerrel kapcsolatos költségekről mind a tagállamok, mind a Bizottság vonatkozásában. A felülvizsgált jelentés azzal kapcsolatban is részletesebb magyarázattal szolgál, hogy miért az ENISA lett a keretrendszer meghatározó szereplője: ennek oka egyrészt az idevágó tapasztalataiban keresendő, másrészt pedig abban, hogy ez az egyetlen uniós szintű kiberbiztonsági ügynökség. Végezetül a tanúsítással kapcsolatos fejezetek is átdolgozásra kerültek annak érdekében, hogy világosabb legyen, mi a különbség a jelenlegi SOG-IS rendszerhez képest, milyen előnyökkel járnak a különféle szakpolitikai alternatívák, és hogy a jóváhagyott európai tanúsítási rendszerben kerül majd meghatározásra, hogy milyen típusú IKT-termékek és -szolgáltatások fogják a tárgyát képezni. Célravezető szabályozás és egyszerűsítés Tárgytalan Az alapvető jogokra gyakorolt hatás A kiberbiztonság alapvető szerepet játszik az egyének magánéletének és személyes adatainak az Európai Unió Alapjogi Chartájának 7. és 8. cikkének megfelelő védelmében. Kiberbiztonsági események esetén a magánélet és a személyes adatok védelme egyértelműen veszélynek van kitéve. A kiberbiztonság ezért a magánélet és a személyes adataink bizalmas kezelésének szükséges feltétele. Ebből a szempontból a javaslat – az európai kiberbiztonság megerősítésének céljával – a magánélethez és a személyes adatokhoz való alapvető jog védelmét szolgáló meglévő jogszabályok fontos kiegészítése. A kiberbiztonság az elektronikus hírközlés titkosságának védelme és ennélfogva a véleménynyilvánítás és a tájékozódás szabadságának és egyéb kapcsolódó jogok – például a gondolatszabadság, a lelkiismereti és a vallásszabadság – gyakorlásának szempontjából szintén fontos. 4.KÖLTSÉGVETÉSI VONZATOK Lásd a pénzügyi részről szóló ismertetőt 5.EGYÉB ELEMEK •Végrehajtási tervek, valamint a nyomon követés, az értékelés és a jelentéstétel szabályai A Bizottság nyomon fogja követni a rendelet alkalmazását, és ötévente megküldi értékelési jelentését az Európai Parlament, a Tanács és az Európai Gazdasági és Szociális Bizottság számára. Az értékelési jelentések nyilvánosak lesznek, és részletesen ismertetik majd a rendelet tényleges alkalmazását és végrehajtását.

•A javaslat egyes rendelkezéseinek részletes magyarázata A rendelet I. címe az általános rendelkezéseket tartalmazza: a tárgyat (1. cikk), a fogalommeghatározásokat (2. cikk), az egyéb uniós eszközökből, így például a hálózati és információs rendszerek biztonságának az egész Unióban egységesen magas szintjét biztosító intézkedésekről szóló (EU) 2016/1148 európai parlamenti és tanácsi irányelvből (kiberbiztonsági irányelv), a termékek forgalmazása tekintetében az akkreditálás és piacfelügyelet előírásainak megállapításáról és a 339/93/EGK rendelet hatályon kívül helyezéséről szóló 765/2008/EK európai parlamenti és tanácsi rendeletből és az európai szabványosításról szóló 1025/2012/EU európai parlamenti és tanácsi rendeletből vett releváns fogalmakra való utalásokkal. A rendelet II. címe az ENISA-hoz, azaz az Unió kiberbiztonsági ügynökségéhez kapcsolódó legfontosabb rendelkezéseket tartalmazza. E cím I. fejezete ismerteti az Ügynökség megbízatását (3. cikk), célkitűzéseit (4. cikk) és feladatait (5–11. cikk). A II. fejezet az ENISA szervezeti felépítését vázolja fel, és kulcsfontosságú rendelkezéseket tartalmaz szerkezetéről (12. cikk). Rendelkezik az igazgatótanács (1. szakasz, 13–17. cikk), a felügyelőtestület (2. szakasz, 18. cikk) összetételéről, az ügyvezető igazgatóról (3. szakasz, 19. cikk), szavazásuk szabályairól és funkcióikról. Ezen túlmenően az érdekeltek állandó csoportjának összetételéről és szerepéről (4. szakasz, 20. cikk) is megállapít rendelkezéseket. Végül, de nem utolsósorban e fejezet 5. szakasza részletezi az Ügynökség működési szabályait, műveletei programozását, az összeférhetetlenséget, az átláthatóságot, a titoktartást és a dokumentumokhoz való hozzáférést is ideértve (21–25. cikk). A III. fejezet az Ügynökség költségvetésének létrehozásáról és szerkezetéről (26. és 27. cikk), valamint a végrehajtását irányító szabályokról (28. és 29. cikk) szól. A fejezet kitér a csalás, a korrupció és az egyéb jogellenes tevékenységek elleni küzdelemre irányuló rendelkezésekre is (30. cikk). A IV. fejezet az Ügynökség személyi állományával foglalkozik. A személyzeti szabályok, az alkalmazási feltételek, valamint a kiváltságok és mentességek általános rendelkezéseit (31. és 32. cikk) is magában foglalja. Részletezi továbbá az Ügynökség ügyvezető igazgatójának alkalmazását és kinevezését (33. cikk). Végül, de nem utolsósorban, magában foglalja a kirendelt nemzeti szakértők, illetve az Ügynökség alkalmazásában nem álló egyéb személyzet (34. cikk) alkalmazását irányító rendelkezéseket. Végül az V. fejezet az Ügynökségre vonatkozó általános rendelkezéseket tartalmazza. Meghatározza az Ügynökség jogállását (35. cikk), és rendelkezéseket állapít meg a felelősséggel, nyelvhasználati szabályokkal, a személyes adatok védelmével (36–38. cikk), valamint a minősített és nem minősített érzékeny adatokra vonatkozó biztonsági szabályokkal kapcsolatos kérdésekben (40. cikk). Ismerteti az Ügynökség harmadik országokkal és nemzetközi szervezetekkel való együttműködésére irányadó szabályokat (39. cikk). Végül, de nem utolsósorban az Ügynökség székhelyére és működési feltételeire, valamint az ombudsman által végzett igazgatási ellenőrzésre vonatkozó rendelkezéseket is tartalmazza (41. és 42. cikk). A rendelet III. címe általános szabályként (lex generalis) létrehozza az európai kiberbiztonsági tanúsítási keretrendszert (a továbbiakban: keretrendszer) az IKT-termékekre és -szolgáltatásokra (1. cikk) vonatkozóan. A cím meghatározza az európai kiberbiztonsági tanúsítási rendszerek általános célját, amely annak garantálásában áll, hogy az IKT-termékek és -szolgáltatások megfeleljenek a konkrét kiberbiztonsági követelményeknek, azaz hogy meghatározott biztonsági szinten ellenálljanak az olyan cselekményeknek, amelyek veszélyeztetik a rajtuk tárolt, továbbított vagy kezelt adatok vagy a kapcsolódó funkciók és szolgáltatások rendelkezésre állását, hitelességét, sértetlenségét és bizalmasságát (43. cikk). Ezen túlmenően felsorolja az európai kiberbiztonsági tanúsítási rendszerek által kezelendő biztonsági célkitűzéseket (45. cikk), például többek között az adatok védelmére való képességüket a véletlen vagy illetéktelen hozzáféréssel, nyilvánosságra hozatallal, megsemmisítéssel vagy módosítással szemben, valamint az ilyen rendszerek tartalmi elemeit, például az alkalmazási körük részletes meghatározását, a biztonsági célkitűzéseket, az értékelési kritériumokat stb. (47. cikk). A III. cím meghatározza továbbá az európai kiberbiztonsági tanúsítási rendszerek fő joghatásait, nevezetesen i. a nemzeti szintű végrehajtási kötelezettséget és a tanúsítás önkéntes jellegét; ii. az európai kiberbiztonsági tanúsítási rendszerek érvénytelenítő hatását a nemzeti rendszerekre vonatkozóan ugyanazon termékek vagy szolgáltatások tekintetében (48. és 49. cikk). A cím ezen túlmenően az európai kiberbiztonsági tanúsítási rendszerek elfogadási eljárását, valamint a Bizottság, az ENISA és az európai kiberbiztonsági tanúsítási csoportjának (a továbbiakban: csoport) szerepét (44. cikk) is meghatározza. Végül pedig a megfelelőségértékelő szervezetekre (a rájuk vonatkozó követelményekkel, hatáskörökkel, feladatokkal), valamint a nemzeti tanúsításfelügyeleti hatóságokra, illetve a szankciókra vonatkozó rendelkezéseket is megállapítja. Ez a cím rendelkezik a csoport létrehozásáról is, amely létfontosságú szerv, és amely a nemzeti tanúsításfelügyeleti hatóságok képviselőiből áll, akiknek fő feladata, hogy az ENISA-val közösen kidolgozzák az európai kiberbiztonsági tanúsítási rendszereket, és tanácsokkal lássák el a Bizottságot a kiberbiztonsági tanúsítási politikát érintő általános vagy konkrét kérdésekben. A rendelet IV. címe a záró rendelkezéseket foglalja magában, amelyek a hatáskör-átruházás gyakorlatát, az értékelési követelményeket, a hatályon kívül helyezést és a jogutódlást, valamint a hatálybalépést tárgyalják.



2017/0225 (COD) Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE az ENISA-ról, az „Európai Uniós Kiberbiztonsági Ügynökségről”, az 526/2013/EU rendelet hatályon kívül helyezéséről, valamint az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról („kiberbiztonsági jogszabály”) (EGT-vonatkozású szöveg) AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 114. cikkére, tekintettel az Európai Bizottság javaslatára, a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően, tekintettel az Európai Gazdasági és Szociális Bizottság véleményére, tekintettel a Régiók Bizottságának véleményére, rendes jogalkotási eljárás keretében, mivel: (1)A hálózati és információs rendszerek és a távközlési hálózatok és szolgáltatások létfontosságú szerepet töltenek be a társadalom működésében, és a gazdasági növekedés gerincét képezik. Az információs és kommunikációs technológiák sokrétű funkciókat ellátó összetett rendszerek alapjait képezik – idetartozik például a társadalmi tevékenységek elősegítése, a gazdaság olajozott működésének lehetővé tétele olyan meghatározó szektorokban, mint az egészségügy, az energetika, a pénzügy és a közlekedés, valamint a belső piac működésének megkönnyítése. (2)A hálózati és információs rendszerek használata szerte az EU-ban széles körben elterjedt, mind a magánszemélyek, mind a vállalkozások, mind pedig a közigazgatási szervek körében. Folyamatosan nő azoknak a termékeknek és szolgáltatásoknak a száma, amelyek alapvető jellemzői a digitalizálás és a hálózatba rendeződés, és a dolgok internete is egyre elterjedtebbé válik, így a következő évtizedben várhatóan több millió, ha nem több milliárd összekapcsolt digitális eszközt fognak az EU-ban használatba venni. Egyre több berendezés kapcsolódik az internethez, de mivel ezen eszközök alapértelmezetten nincsenek megfelelő biztonsági és ellenálló képességi szintet biztosító elemekkel ellátva, kiberbiztonsági szempontból nem teljesen megbízhatók. A tanúsítás korlátozott használata következtében így sem az intézményi, sem a magánfelhasználók nem rendelkeznek kellő információval az IKT-termékek és szolgáltatások kiberbiztonsági jellemzőiről, ami a digitális megoldásokba vetett bizalom megrendüléséhez vezethet. (3)Minél nagyobb méreteket ölt a digitalizálás és a hálózatba rendeződés, annál nagyobbak a kiberbiztonsági kockázatok is, melyek a társadalmat egészében véve sebezhetőbbé teszik a kiberfenyegetésekkel szemben, az egyes felhasználókra leselkedő veszélyeket pedig súlyosbítják, ideértve a kiszolgáltatott helyzetben lévő felhasználókat, például a gyerekeket is. A társadalmat fenyegető kockázatok csökkentése érdekében az uniós kiberbiztonság fokozására irányuló minden lehetséges intézkedést meg kell hozni azért, hogy a hálózati és információs rendszerek, a távközlési hálózatok, valamint a magánszemélyek, a közigazgatási szervek és a vállalkozások (a kkv-ktől a kritikus infrastruktúrák üzemeltetőiig terjedő vállalkozói spektrum) által használt digitális termékek, szolgáltatások és eszközök jobban védve legyenek a kiberfenyegetésekkel szemben. (4)Egyre gyakoribbak a kibertámadások, és az összekapcsoltság következtében a kiberfenyegetéseknek és -támadásoknak egyre kiszolgáltatottabbá váló gazdaság és társadalom fokozottabb védelmet igényel. Míg a kibertámadások általában nem ismernek országhatárokat, a kiberbiztonsági hatóságok szakpolitikai válaszintézkedései, akárcsak a bűnüldözési hatáskörök, túlnyomórészt nemzeti szintűek. A nagyszabású kiberbiztonsági események az egész EU-ban megzavarhatják a legalapvetőbb szolgáltatások nyújtását. Ezért hatékony uniós szintű reagálásra és válságkezelésre van szükség, melynek alapját célirányos szakpolitikai intézkedések és az európai szolidaritást és kölcsönös segítségnyújtást szolgáló gazdagabb eszköztárnak kell képeznie. Ennek megfelelően a politika formálói, a gazdasági élet szereplői és a felhasználók számára egyaránt fontos, hogy megbízható uniós adatok alapján rendszeres értékelés készüljön az EU kiberbiztonságának és ellenálló képességének mindenkori helyzetéről, továbbá szisztematikus legyen a jövőben várható fejlemények, kihívások és fenyegetések előrejelzése uniós és globális szinten egyaránt. (5)Az Unió előtt álló egyre nagyobb kiberbiztonsági kihívások leküzdéséhez átfogó intézkedéscsomagra van szükség, amely a korábbi uniós fellépésekre épül, és előmozdítja az egymást kölcsönösen erősítő célkitűzéseket. Idetartozik az is, hogy fokozni kell a tagállamok és a vállalkozások képességeit és felkészültségét, valamint javítani kell az együttműködést és a koordinációt a tagállamok, illetve az uniós intézmények, hivatalok és szervek között. Továbbá, tekintettel a kiberfenyegetések határok nélküli jellegére, a tagállami intézkedések kiegészítése céljával fokozni kell az uniós szintű képességeket, különösen a több országot érintő nagyszabású kiberbiztonsági események és válságok esetére. További erőfeszítésekre van szükség annak érdekében is, hogy a magánszemélyek és a vállalkozások jobban tisztában legyenek a kiberbiztonsági kérdésekkel. Emellett a digitális egységes piacba vetett bizalmat is növelni kell azáltal, hogy az IKT-termékek és -szolgáltatások biztonsági szintjéről átlátható információkat bocsátanak rendelkezésre. Ezt a célt könnyebben el lehet érni az egész EU-ra kiterjedő tanúsítással, amely valamennyi tagállam piacán, minden ágazatban közös kiberbiztonsági követelményeket és értékelési kritériumokat biztosít. (6)Az Európai Parlament és a Tanács 2004-ben azzal a céllal fogadta el az ENISA létrehozásáról szóló 460/2004/EK rendeletet, hogy hozzájáruljon az Unión belüli magas szintű és hatékony hálózat- és információbiztonság biztosításához, valamint – a magánszemélyek, a fogyasztók, a vállalkozások és a közigazgatási szervek érdekeit szem előtt tartva – a hálózat- és információbiztonsági kultúra kialakításához. Az Európai Parlament és a Tanács 2008-ban az 1007/2008/EK rendelettel az Ügynökség megbízatási idejét 2012 márciuság meghosszabbította. Az 580/2011/EK rendelet ezt a dátumot 2013. szeptember 13-ra módosította. Az Európai Parlament és a Tanács 2013-ban elfogadta az ENISA-ról és a 460/2004/EK rendelet hatályon kívül helyezéséről szóló 526/2013/EU rendeletet, amely az Ügynökség megbízatási idejének végét 2020 júniusában határozta meg. (7)Az Európai Unió már eddig is fontos lépéseket tett a kiberbiztonság és a digitális technológiákba vetett bizalom növelése érdekében. 2013-ban uniós szintű kiberbiztonsági stratégia elfogadására került sor, amely irányt szabott az Unió kiberbiztonsági fenyegetésekre és kockázatokra adott politikai válaszlépései kidolgozásának. Az európaiak online védelmének javítása érdekében tett erőfeszítései gyanánt az Unió 2016-ban elfogadta az első kiberbiztonsági jogalkotási aktust, a hálózati és információs rendszerek biztonságának az egész Unióban egységesen magas szintjét biztosító intézkedésekről szóló (EU) 2016/1148 irányelvet (a továbbiakban: kiberbiztonsági irányelv). A kiberbiztonsági irányelv nemzeti képességekre vonatkozó követelményeket határozott meg a kiberbiztonság területén, kialakította az első mechanizmusokat a tagállamok közötti stratégiai és operatív együttműködés elmélyítése érdekében, és a biztonsági intézkedésekre és a biztonsági események bejelentésére vonatkozó kötelezettségeket vezetett be a gazdaság és a társadalom számára létfontosságú területeken, mint például az energia, a közlekedés, a vízellátás, a banki szolgáltatások, a pénzügyi piaci infrastruktúrák, az egészségügy, a digitális infrastruktúra, valamint a kulcsfontosságú digitális szolgáltatók (keresőprogramok, felhőalapú számítástechnikai szolgáltatások, online piacterek). Az ENISA kulcsfontosságú szerepet kapott ezen irányelv végrehajtásának támogatásában. Emellett a kiberbűnözés elleni hatékony küzdelem az európai biztonsági stratégiában is kiemelt fontosságot élvez, hiszen hozzájárul a magas szintű kiberbiztonság elérésének általános céljához. (8)Ismert tény, hogy a 2013-as uniós kiberbiztonsági stratégia elfogadása és az Ügynökség megbízatásának legutóbbi felülvizsgálata óta az általános politikai kontextus jelentősen megváltozott, a még bizonytalanabb és kevésbé biztonságos globális környezet következtében is. Ezért az új uniós kiberbiztonsági politika keretében felül kell vizsgálni az ENISA megbízatását a megváltozott kiberbiztonsági ökoszisztémában betöltött szerepének meghatározása érdekében, és biztosítani kell, hogy hatékonyan hozzájáruljon a radikálisan új fenyegetésekből fakadó kiberbiztonsági kihívásokra adott uniós reagáláshoz, hiszen ehhez, amint az az Ügynökség értékeléséből is kiderült, jelenlegi megbízatása nem elegendő. (9)Az e rendelet által létrehozott Ügynökség az 526/2013/EU rendelettel korábban létrehozott ENISA jogutódja. Az Ügynökségnek az e rendelettel és az egyéb kiberbiztonsági uniós jogszabályokkal ráruházott feladatokat többek között szakértelem rendelkezésre bocsátása és tanácsadás révén, valamint uniós információs és tudásközpontként működve kell ellátnia. Célja, hogy előmozdítsa a bevált módszerek cseréjét a tagállamok és a magánszektor érdekelt felei között, szakpolitikai javaslatokat kínáljon az Európai Bizottságnak és a tagállamoknak, mintegy hivatkozási alapként működve az uniós ágazati szakpolitikai kezdeményezések számára a kiberbiztonsági kérdésekben, és elősegítse egyfelől a tagállamok közötti, másfelől a tagállamok, valamint az európai uniós intézmények, hivatalok és szervek közötti operatív együttműködést. (10)Az Európai Tanács 2003. december 13-i ülésén elfogadott 2004/97/EK, Euratom határozat keretében a tagállamok képviselői úgy határoztak, hogy az ENISA székhelye Görögországban lesz, egy, a görög kormány által meghatározandó városban. Az Ügynökségnek otthont adó tagállamnak a lehető legkedvezőbb feltételeket kell biztosítania az Ügynökség zavartalan és hatékony működéséhez. Az Ügynökség feladatainak megfelelő és hatékony ellátása, a munkaerő felvétele és a személyzet megtartása, továbbá a hálózatépítési tevékenységek hatékonyságának fokozása érdekében elengedhetetlen, hogy az Ügynökség székhelye megfelelő helyen legyen, ahol többek között megfelelő közlekedési csatlakozások és létesítmények állnak rendelkezésre az Ügynökség személyzetének tagjait kísérő házastársak és gyermekek részére. A szükséges szabályokat az Ügynökség igazgatótanácsának jóváhagyását követően az Ügynökség és az annak otthont adó tagállam közötti megállapodásban kell rögzíteni. (11)Tekintettel az Unió előtt álló, egyre fokozódó kiberbiztonsági kihívásokra, növelni kell az Ügynökség számára elkülönített pénzügyi és emberi erőforrásokat annak érdekében, hogy azok mértéke megfeleljen az Ügynökség kiemelt szerepének, feladatainak és az európai digitális ökoszisztémát védő szervezetek kötelékében betöltött kulcsfontosságú szerepének. (12)Az Ügynökségnek magas szintű szakértelmet kell kialakítania és fenntartania, és olyan hivatkozási alapként kell működnie, amely függetlensége, az általa nyújtott tanácsok és az általa terjesztett információk minősége, eljárásainak és működési módszereinek átláthatósága, valamint a feladatai ellátásában tanúsított gondossága révén bizalmat kelt az egységes piac iránt. Az Ügynökségnek proaktívan hozzá kell járulnia a nemzeti és uniós erőfeszítésekhez, és feladatait az uniós intézményekkel, szervekkel és hivatalokkal, valamint a tagállamokkal teljes körű együttműködés keretében kell végeznie. Ezenkívül a magánszektorral, valamint a többi érintett érdekelt féllel is együtt kell működnie, és a tőlük kapott észrevételeket is figyelembe kell vennie. Feladatainak leírásával meg kell határozni, hogy az Ügynökségnek hogyan kell céljait elérnie, de egyben rugalmasságot is biztosítani kell működéséhez. (13)Az Ügynökségnek tanáccsal, véleményezéssel és elemzések készítésével kell segítenie a Bizottságot valamennyi olyan uniós kérdésben, amely a kiberbiztonságot – beleértve a kritikus infrastruktúrák védelmét és a kibertámadásokkal szembeni ellenálló képességet – érintő szakpolitikák és jogszabályok kidolgozásához, illetve azok aktualizálásához és felülvizsgálatához kapcsolódik. Az Ügynökségnek hivatkozási alapként kell szolgálnia, amely tanácsadást folytat és szakértelmet biztosít az olyan uniós ágazatspecifikus szakpolitikai és jogi kezdeményezésekkel kapcsolatban, amelyek kiberbiztonsági kérdéseket is érintenek.

(14)Az Ügynökség alapvető feladata, hogy elősegítse az idevágó jogi keretrendszer következetes végrehajtását, különösen a kiberbiztonsági irányelv eredményes alkalmazását, ami alapvető fontosságú a kibertámadásokkal szembeni ellenálló képesség javításához. Tekintettel a kiberbiztonsági fenyegetések gyorsan változó természetére, egyértelmű, hogy a tagállamokat több szakpolitikai területet is felölelő, átfogóbb megközelítéssel kell támogatni a kibertámadásokkal szembeni ellenálló képességük kialakítása érdekében. (15)Az Ügynökségnek segítenie kell a tagállamok és az uniós intézmények, szervek és hivatalok arra irányuló munkáját, hogy kiépítsék, illetve fokozzák a kiberbiztonsági problémák és biztonsági események megelőzésével, észlelésével és az azokra való reagálással kapcsolatos képességeket és felkészültségüket, valamint támogatnia kell a hálózati és információs rendszerek biztonságát érintő erőfeszítéseiket. Különösen a nemzeti szinten működő, számítógép-biztonsági eseményekre reagáló csoportok, az ún. CSIRT-ek kialakítását és fejlesztését kell támogatnia annak érdekében, hogy azok Unió-szerte általánosan jó fejlettségi szintet érjenek el. Az Ügynökségnek a hálózati és információs rendszerek biztonságára, kiváltképpen a kiberbiztonságra vonatkozó uniós és tagállami stratégiák kidolgozásához és aktualizálásához is hozzá kell járulnia, és segítenie kell azok széles körű elterjesztésében, csakúgy mint végrehajtásuk nyomon követésében. Továbbá képzéseket és képzési anyagokat kell biztosítania az állami szervek számára, és adott esetben az oktatók képzéséről is gondoskodnia kell annak érdekében, hogy segítse a tagállamokat saját szakképzési kapacitásaik kifejlesztésében. (16) Az Ügynökségnek ugyancsak segítenie kell a kiberbiztonsági irányelvvel létrehozott együttműködési csoportot feladatai végrehajtásában, különösen szakértelmével, tanácsadással és a bevált módszerek cseréjének megkönnyítésével, kiváltképpen ami az alapvető szolgáltatásokat nyújtó szereplők tagállamok általi azonosítását illeti, vagyis melyek azok a szereplők, amelyek a biztonsági kockázatok és események terén fennálló, határokon átnyúló függőségek vonatkozásában relevánsak. (17)A köz- és a magánszektor közötti, valamint a magánszektoron belüli együttműködés ösztönzése céljából, különösen a kritikus infrastruktúrák védelmének támogatása érdekében az Ügynökségnek elő kell segítenie az ágazati információmegosztási és analitikai központok létrehozását azáltal, hogy megosztja a rendelkezésre álló eszközökkel és az eljárásokkal kapcsolatban bevált módszereket, illetve iránymutatást nyújt e téren, továbbá útmutatással szolgál az információk megosztásával kapcsolatos szabályozási kérdésekben. (18)Az Ügynökségnek össze kell gyűjtenie és elemeznie kell a számítógép-biztonsági eseményekre reagáló csoportok (CSIRT-ek) és az európai intézmények, szervek és hivatalok számítógépes vészhelyzeteket elhárító csoportja (CERT-EU) által készített nemzeti jelentéseket, és meg kell határoznia az információcsere közös szabályait, nyelvét és terminológiáját. Munkájába a magánszektort is be kell vonnia a kiberbiztonsági irányelv keretében, amely a CSIRT-hálózat létrehozásával meghatározta az önkéntes alapon történő, operatív szintű technikai információcsere alapjait. (19)Az Ügynökségnek a nagyszabású, határokon átnyúló kiberbiztonsági események és válsághelyzetek esetén hozzá kell járulnia az uniós szintű reagáláshoz. Ideértendő a megfelelő információk összegyűjtése, valamint a CSIRT-hálózat és a műszaki közösség, továbbá a válságkezelésért felelős döntéshozók közötti közvetítés is. Az Ügynökség ezenkívül technikai szempontból is támogatni tudná a biztonsági események kezelését azáltal, hogy elősegíti a megfelelő technikai megoldások tagállamok közötti cseréjét, valamint a nyilvánosság tájékoztatásához szükséges információkat bocsát rendelkezésre. Az ilyen jellegű együttműködés módozatainak tesztelése révén az Ügynökségnek éves kiberbiztonsági gyakorlatok keretében támogatnia kell ezt a folyamatot. (20)Operatív feladatainak ellátásához az Ügynökségnek a CERT-EU szakértelmét is fel kell használnia, mégpedig szoros fizikai közelségben folytatott, strukturált együttműködésen keresztül. A strukturált együttműködés elősegíti a szükséges szinergiákat és az ENISA szakértelemének kiépítését. Adott esetben a két szervezet között külön megállapodásokat kell létrehozni az együttműködés gyakorlati megvalósításának meghatározására. (21)Operatív feladatainak megfelelően az Ügynökségnek képesnek kell lennie a tagállamok támogatására, például tanácsadással vagy technikai segítségnyújtással, valamint a fenyegetések és biztonsági események elemzésével. A Bizottság a nagyszabású kiberbiztonsági eseményekre és válsághelyzetekre való összehangolt reagálásról szóló ajánlásában azt tanácsolja a tagállamoknak, hogy jóhiszeműen működjenek együtt, és indokolatlan késedelem nélkül osszák meg egymással és az ENISA-val a nagyszabású kiberbiztonsági eseményekkel és válsághelyzetekkel kapcsolatos információkat. Ezek az információk az ENISA segítségére lesznek operatív feladatainak ellátása során. (22)Az uniós helyzetismeret támogatását célzó, rendes technikai szintű együttműködés részeként az Ügynökségnek rendszeresen el kell készítenie a kiberbiztonsági eseményekről és fenyegetésekről szóló uniós kiberbiztonsági technikai helyzetjelentést a nyilvánosan hozzáférhető információk, a saját elemzése és azon jelentések alapján, amelyeket a tagállami CSIRT-ek (önkéntes alapon) vagy a kiberbiztonsági irányelvvel létrehozott egyedüli kapcsolattartó pontok, az Europol Számítástechnikai Bűnözés Elleni Európai Központja (EC3), a CERT-EU és adott esetben az Európai Külügyi Szolgálaton (EKSZ) belül az Európai Unió Helyzetelemző Központja (INTCEN) rendelkezésre bocsátottak. A helyzetjelentést az érintett tanácsi és bizottsági szervek, az Unió külügyi és biztonságpolitikai főképviselője és a CSIRT-hálózat rendelkezésére kell bocsátani. (23)A több tagállamot érintő, jelentős hatású biztonsági eseményekkel kapcsolatos, az Ügynökség által támogatott vagy az Ügynökség által – kérésre, illetve az érintett tagállamok hozzájárulásával – végzett utólagos technikai vizsgálatoknak a jövőbeni események megelőzésére kell összpontosítaniuk, és azokat a vétkesség vagy a felelősség megállapítására irányuló bírósági vagy közigazgatási eljárások sérelme nélkül kell végezni. (24)Az Európai Unió működéséről szóló szerződés 346. cikke, illetve a közrenddel kapcsolatos más okok sérelme nélkül az érintett tagállamoknak biztosítaniuk kell az Ügynökség számára a vizsgálatokhoz szükséges információkat és segítségnyújtást. (25)A tagállamok felkérhetik a biztonsági esemény által érintett vállalkozásokat arra, hogy – a kereskedelmi szempontból érzékeny információk védeleméhez való joguk sérelme nélkül – a szükséges információk és segítségnyújtás biztosításával működjenek együtt az Ügynökséggel. (26)A kiberbiztonság területén jelentkező kihívások jobb megértése érdekében, valamint a tagállamoknak és az uniós intézményeknek nyújtott hosszú távú stratégiai tanácsadás céljából az Ügynökségnek elemeznie kell mind a már ismert, mind az új keletű kockázatokat. E célból az Ügynökségnek a tagállamokkal és adott esetben a statisztikai hivatalokkal és más szervekkel együttműködésben össze kell gyűjtenie a releváns információkat, elemzéseket kell készítenie az új technológiákról, valamint tematikus értékeléseket kell végeznie a technológiai innovációknak a hálózat- és információbiztonságra, azon belül is különösen a kiberbiztonságra gyakorolt várható társadalmi, jogi, gazdasági és szabályozási hatásairól. Az Ügynökségnek továbbá a fenyegetések és biztonsági események elemzésével támogatnia kell a tagállamokat és az uniós intézményeket, hivatalokat és szerveket az új tendenciák azonosításában és a kiberbiztonsággal kapcsolatos problémák megelőzésében. (27)Az Ügynökségnek – az Unió ellenálló képességének növelése érdekében – tanácsadással, iránymutatással és a bevált módszerek terjesztésével kiválóságra kell törekednie az internetes infrastruktúra és a kritikus infrastruktúrák biztonságának területén. Annak érdekében, hogy a kiberbiztonsági kockázatokra és a lehetséges ellenintézkedésekre vonatkozó információk strukturált formában könnyebben hozzáférhetők legyenek, az Ügynökségnek uniós információs platformot, vagyis egy olyan egyablakos portált kell létrehoznia és fenntartania, ahol a nyilvánosság hozzájuthat az uniós és nemzeti intézményektől, hivataloktól és szervektől származó kiberbiztonsági információkhoz. (28)Az Ügynökségnek hozzá kell járulnia a kiberbiztonsági kockázatokkal kapcsolatos tudatosság növeléséhez, és magánszemélyeknek és szervezeteknek címzett, egyedi felhasználói iránymutatást kell nyújtania a már bevált módszerekkel kapcsolatban. Az egyéni felhasználók és szervezetek szintjén azáltal is hozzá kell járulnia a bevált módszerek és megoldások előmozdításához, hogy összegyűjti és elemzi a jelentős biztonsági eseményekre vonatkozó, nyilvánosan elérhető információkat, valamint jelentéseket készít abból a célból, hogy útmutatást nyújtson a vállalkozások és a magánszemélyek számára, valamint javítsa a felkészültség és az ellenálló képesség általános szintjét. Emellett a tagállamokkal és az uniós intézményekkel, szervekkel és hivatalokkal folytatott együttműködésben rendszeresen kampányokat kell szerveznie a végfelhasználók tájékoztatása és oktatása érdekében, melyek célja a biztonságosabb egyéni online magatartásformák elősegítése, valamint a virtuális térben potenciálisan jelenlévő veszélyek tudatosítása – ideértve az adathalászatot, a botneteket, a pénzügyi és banki csalásokat is magában foglaló kiberbűnözést is –, továbbá az alapvető hitelesítési és adatvédelmi tanácsadás nyújtása. Az Ügynökségnek központi szerepet kell játszania az eszközök biztonságosságával kapcsolatos végfelhasználói tudatosság minél gyorsabb növelésében. (29)A kiberbiztonsági ágazatban működő vállalkozások, valamint a kiberbiztonsági megoldások felhasználóinak támogatása érdekében az Ügynökségnek létre kell hoznia és fenn kell tartania egy „piaci megfigyelőközpontot”, vagyis mind a keresleti, mind a kínálati oldalon rendszeres elemzéseket kell végeznie, és széles körben ismertetnie kell a kiberbiztonsági piac főbb tendenciáit. (30)Célkitűzéseinek maradéktalan elérése érdekében az Ügynökségnek kapcsolatot kell kialakítania a megfelelő intézményekkel, hivatalokkal és szervekkel, többek között a CERT-EU-val, az Europol keretében működő Számítástechnikai Bűnözés Elleni Európai Központtal (EC3), az Európai Védelmi Ügynökséggel (EDA), a nagy méretű informatikai rendszerek operatív irányításával foglalkozó európai ügynökséggel (eu-LISA), az Európai Repülésbiztonsági Ügynökséggel (EASA) és a kiberbiztonságban érintett bármely más uniós ügynökségekkel. Kapcsolatot kell fenntartania továbbá az adatvédelmi hatóságokkal is a szakismeretek és a bevált módszerek megosztása érdekében, valamint azért, hogy tanácsokat tudjon adni a kiberbiztonság azon vonatkozásaival kapcsolatban, amelyek hatással lehetnek a hatóságok munkájára. A nemzeti és uniós bűnüldöző és adatvédelmi hatóságok képviselőinek lehetőséget kell biztosítani arra, hogy képviseltessék magukat az Ügynökséghez tartozó érdekeltek állandó csoportjában. Az Ügynökségnek a bűnüldözési szervekkel a munkájukra esetlegesen hatást gyakorló hálózat- és információbiztonsági kérdésekre vonatkozóan folytatott együttműködés során tiszteletben kell tartania a meglévő információs csatornákat és a létező hálózatokat. (31)Az Ügynökségnek mint a CSIRT-hálózat titkárságát biztosító tagnak támogatnia kell a tagállami CSIRT-ek és az CERT-EU operatív együttműködését, a CSIRT-hálózatnak a kiberbiztonsági irányelvben meghatározott egyéb releváns feladatainak ellátásához nyújtott támogatás mellett. Elő kell mozdítania és támogatnia kell továbbá a megfelelő CSIRT-ek közötti együttműködést a legalább két CSIRT-et is érintő vagy potenciálisan érintő, az általuk kezelt vagy védett hálózatokat vagy infrastruktúrát érő biztonsági események, támadások és zavarok esetén, figyelembe véve ugyanakkor a CSIRT-hálózat eljárási standardjait. (32)A kiberbiztonsági eseményekre való reagálással kapcsolatos uniós felkészültség javítása érdekében az Ügynökségnek évente kiberbiztonsági gyakorlatokat kell szerveznie uniós szinten, és, amennyiben erre igény van, támogatnia kell a tagállamokat és az uniós intézményeket, hivatalokat és szerveket a gyakorlatok megszervezésében. (33)Az Ügynökségnek a kiberbiztonsági tanúsítás terén kialakított szakértelmét ki kell alakítania és fenn kell tartania a kapcsolódó uniós szakpolitika támogatása érdekében. Elő kell mozdítania a kiberbiztonsági tanúsítás Unión belüli elterjesztését, többek között azáltal, hogy hozzájárul az uniós szintű kiberbiztonsági tanúsítási keretrendszer létrehozásához és fenntartásához annak érdekében, hogy átláthatóbbá tegye az IKT-termékek és -szolgáltatások által nyújtott kiberbiztonság szintjét, erősítve ezáltal a digitális belső piacba vetett bizalmat.

(34)A hatékony kiberbiztonsági szakpolitikáknak a köz- és a magánszektorban egyaránt kellően kidolgozott kockázatértékelési módszereken kell alapulniuk. A kockázatértékelési módszereket különböző szinteken használják, és eredményes alkalmazásukat illetően nincs közös gyakorlat. A kockázatértékeléssel és az interoperábilis kockázatkezelési megoldásokkal kapcsolatban bevált módszereknek a köz- és a magánszektorbeli szervezetekben való ösztönzése, illetve kialakítása fokozza az Unió kiberbiztonságát. E célból az Ügynökségnek uniós szinten támogatnia kell az érdekeltek együttműködését, azáltal, hogy előmozdítja az európai és nemzetközi szabványok kidolgozására és alkalmazására irányuló erőfeszítéseket egyfelől a kockázatkezeléssel, másfelől az elektronikus termékek, rendszerek, hálózatok és szolgáltatások mérhető biztonságával kapcsolatban, melyek a szoftverekkel együtt a hálózati és információs rendszerek alkotóelemei. (35)Az Ügynökségnek ösztönöznie kell a tagállamokat és a szolgáltatókat általános biztonsági előírásaik javítására, hogy minden internetfelhasználó megtehesse a személyes kiberbiztonságához szükséges lépéseket. Különösen fontos, hogy a szolgáltatók és a termékek gyártói visszavonják vagy újrahasznosítsák azokat a termékeket és szolgáltatásokat, amelyek nem felelnek meg a kiberbiztonsági szabványoknak. Az ENISA az illetékes hatóságokkal együttműködve tájékoztatást adhat a belső piacon kínált termékek és szolgáltatások kiberbiztonsági szintjéről, és figyelmeztetéseket is kiadhat, amelyekben a szolgáltatókat és a gyártókat szolgáltatásaik és termékeik biztonságának fokozására – ideértve a kiberbiztonságot is – szólítja fel. (36)Az Ügynökségnek teljes mértékben figyelembe kell vennie a folyamatban lévő – különösen a különböző uniós kutatási kezdeményezések keretében végzett – kutatási, fejlesztési és technológiaértékelési tevékenységeket azért, hogy igény esetén tanácsot tudjon adni az uniós intézmények, szervek és hivatalok, valamint adott esetben a tagállamok számára a hálózat- és információbiztonság, különösen a kiberbiztonság területét érintő kutatási igényekkel kapcsolatban. (37)A kiberbiztonsági problémák globális kérdések. Szorosabb nemzetközi együttműködésre van szükség a biztonsági szabványok javítása – és ezen belül a közös viselkedési normák meghatározása – érdekében, valamint a hálózat- és információbiztonsági kérdésekre adott reagálás tekintetében a gyorsabb nemzetközi együttműködést elősegítő információcsere javítása és egy azokra vonatkozó közös globális megközelítésmód kialakítása érdekében. Az Ügynökségnek e célból támogatnia kell az uniós szerepvállalás fokozását és a harmadik országokkal és a nemzetközi szervezetekkel folytatott együttműködést, adott esetben a szükséges szakértelmet és elemzéseket biztosítva az érintett uniós intézmények, szervek és hivatalok számára. (38)Az Ügynökségnek képesnek kell lennie arra, hogy eleget tegyen a tagállamok és az uniós intézmények, hivatalok és szervek tanácsadásra és segítségnyújtásra vonatkozó eseti megkereséseinek, amennyiben azok az Ügynökség célkitűzéseinek hatályába tartoznak. (39)A Ügynökség irányítását illetően alkalmazni kell bizonyos elveket az EU decentralizált ügynökségeivel foglalkozó intézményközi munkacsoport által 2012 júliusában elfogadott együttes nyilatkozatnak és közös megközelítésnek való megfelelés érdekében, melyek célja az ügynökségek tevékenységeinek gördülékennyé tétele és teljesítményük javítása. Az együttes nyilatkozatnak és a közös megközelítésnek adott esetben az Ügynökség munkaprogramjában, az Ügynökség értékeléseiben, valamint az Ügynökség jelentéstételi és adminisztratív gyakorlatában is érvényesülnie kell. (40)Az Ügynökség tevékenységének általános irányát a tagállamok és a Bizottság képviselőiből álló igazgatótanácsnak kell megszabnia, és arról is az igazgatótanácsnak kell gondoskodnia, hogy az Ügynökség e rendelettel összhangban ellássa kijelölt feladatait. Az igazgatótanácsot fel kell ruházni mindazokkal a hatáskörökkel, amelyek a költségvetés meghatározásához és végrehajtásának ellenőrzéséhez, a vonatkozó pénzügyi szabályzat elfogadásához, az Ügynökség átlátható határozathozatali eljárásainak kialakításához, az Ügynökség egységes programozási dokumentumának elfogadásához, saját eljárási szabályzatának elfogadásához, az ügyvezető igazgató kinevezéséhez, az ügyvezető igazgató hivatali idejének meghosszabbításához és az ügyvezető igazgató felmentéséhez szükségesek. (41)Az Ügynökség megfelelő és hatékony működése érdekében a Bizottságnak és a tagállamoknak biztosítaniuk kell, hogy az igazgatótanács tagjainak kinevezendő személyek a funkcionális területeken megfelelő szakértelemmel és tapasztalattal rendelkezzenek. Az igazgatótanács munkájának folytonosságát biztosítandó, a Bizottságnak és a tagállamoknak is törekedniük kell arra, hogy képviselőik ne cserélődjenek túl gyakran az igazgatótanácsban. (42)Az Ügynökség zavartalan működése azt kívánja, hogy az ügyvezető igazgató kinevezése érdemei, igazolt igazgatási és vezetői készségei, valamint a kiberbiztonság területén szerzett szakmai hozzáértése és tapasztalatai alapján történjék, és hogy az ügyvezető igazgató feladatait teljes mértékben független módon végezze. Az ügyvezető igazgatónak – a Bizottsággal folytatott előzetes konzultációt követően – javaslatot kell tennie az Ügynökség munkaprogramjára, és meg kell tennie mindazokat a lépéseket, amelyek az Ügynökség munkaprogramja megfelelő végrehajtásának biztosításához szükségesek. Az ügyvezető igazgatónak továbbá el kell készítenie az igazgatótanácshoz benyújtandó éves jelentést, össze kell állítania az Ügynökség bevételeire és kiadásaira vonatkozó kimutatás tervezetét, és végre kell hajtania a költségvetést. Az ügyvezető igazgató részére továbbá lehetőséget kell biztosítani arra, hogy egyes konkrét – így különösen tudományos, műszaki, jogi vagy társadalmi-gazdasági – kérdésekben eseti munkacsoportokat hozzon létre. Az ügyvezető igazgatónak biztosítania kell, hogy az eseti munkacsoportok tagjainak kiválasztása a lehető legmagasabb szintű szakértelem alapján, a csoport feladatkörének sajátosságaihoz igazodva a tagállami közigazgatási szervek, az uniós intézmények és a magánszektor – beleértve az ipart, a felhasználókat és a hálózat- és információbiztonság területén működő tudományos szakembereket – közötti reprezentatív egyensúly kellő figyelembevételével történjék. (43)A felügyelőtestületnek hozzá kell járulnia az igazgatótanács hatékony működéséhez. Az igazgatótanács határozataival kapcsolatos előkészí