Ez az elképzelés további megerősítést nyert a 2016. évi tanácsi következtetésekben is: „a kiberfenyegetések és -sérülékenységek folyamatosan alakulnak és fokozódnak, ami azt jelenti, hogy folytatni kell és szorosabbra kell fűzni az együttműködést, különösen a nagy léptékű, határokon átnyúló kiberbiztonsági incidensek kezelése ügyében”. A Tanács következtetéseiben megerősítette, hogy „az ENISA-rendelet alkotja a kibertámadásokkal szembeni ellenálló képesség uniós keretének egyik sarokkövét”.

Az ENISA-rendelet 32. cikke értelmében a Bizottság 2018. június 20-ig értékelést készíttet „különösen az Ügynökség és munkamódszerei hatásosságáról, hatékonyságáról és eredményességéről”. Az értékelésnek arra is ki kell térnie, hogy szükség van-e az Ügynökség jelenlegi megbízatásának esetleges meghosszabbítására.

Emellett a hálózati és információs rendszerek biztonságának az egész Unióban egységesen magas szintjét biztosító intézkedésekről szóló (EU) 2016/1148 irányelv (a továbbiakban: kiberbiztonsági irányelv) megalkotásakor az EU társjogalkotói úgy határoztak, hogy fontos szerepet bíznak az ENISA-ra a jogalkalmazás terén. Konkrétan, az Ügynökség biztosítja a titkárságot a CSIRT-ek hálózata (a tagállamok közötti gyors és hatékony operatív együttműködés előmozdítása céljából létrehozott hálózat) részére, és felkérést kapott arra is, hogy segítse a stratégiai együttműködés céljából létrehozott együttműködési csoportot feladatainak végrehajtásában. Ezen túlmenően a kiberbiztonsági irányelv előírja az ENISA számára, hogy szakértői véleményével és tanácsaival, valamint a bevált gyakorlatok cseréjének előmozdítása révén segítse a tagállamokat és a Bizottságot.

Az elemzés figyelembe vette azokat a megváltozott körülményeket is, amelyek között az Ügynökség ma működik, különös tekintettel az új uniós szabályozási és szakpolitikai keretre (például a kiberbiztonsági irányelv, az EU kiberbiztonsági stratégiájának felülvizsgálata), az Ügynökség munkája által érintett szereplők oldalán felmerülő szükségletek változására, valamint az egyéb uniós és nemzeti intézmények, ügynökségek és szervek – mint például ez európai intézmények, szervek és hivatalok számítógépes vészhelyzeteket elhárító csoportja és az Europolon belül működő Számítástechnikai Bűnözés Elleni Európai Központ (EC3) – által végzett munkával való komplementaritásra és lehetséges szinergiákra is.

Az Ügynökség működésének értékelése:

·A Bizottság értékelése elsődlegesen egy független, 2016 novembere és 2017 júliusa között készült tanulmányon, valamint a Bizottság által végzett belső elemzésen alapul.

·A tanulmány másodelemzést, adatgyűjtést és elemzést foglalt magában, ezen belül többek között az érdekelt felek körében végzett felméréseket, a kiberbiztonság legfontosabb szereplőivel folytatott részletes interjúkat, az érdekelt felek közötti tapasztalatcserét, összehasonlító teljesítményértékelést, az Ügynökség pozicionálását, valamint a gyengeségek, erősségek, lehetőségek, veszélyek (GYELV) elemzését tartalmazta.

·A Bizottság egy 12 hetes internetes nyilvános konzultációt is folytatott, amely mind az ENISA utólagos értékelésére, mind annak jövőjére vonatkozott, valamint célzott konzultációkat folytatott a legfontosabb érdekelt felekkel.

Az értékelés főbb megállapításai – az értékelési kritériumoknak megfelelően – a következőképpen foglalhatók össze:

1.Relevancia: A technológiai fejlődés és a változó fenyegetések kontextusára, valamint az EU-n belül a fokozott hálózat- és információbiztonság iránti jelentős szükségletre tekintettel az ENISA célkitűzései relevánsnak bizonyultak. A tagállamok és az uniós szervek rá vannak utalva a hálózat- és információbiztonság fejlődésével kapcsolatos szakértelemre, a tagállamokban ki kell alakítani a fenyegetések megértéséhez és kezeléséhez szükséges kapacitásokat, az érdekelt feleknek pedig az egyes témakörökön és intézményeken átívelően együtt kell működniük. A hálózat- és információbiztonság továbbra is az EU egyik legfontosabb politikai prioritása, amelyre az elvárások szerint az ENISA megfelelő választ tud majd adni, ugyanakkor az ENISA határozott idejű megbízással rendelkező uniós ügynökségként történő kialakítása: i. nem tesz lehetővé hosszú távú tervezést és fenntartható támogatást a tagállamok és az uniós intézmények számára a gyorsan változó kiberbiztonsági fenyegetések kontextusában; ii. jogi vákuumot eredményezhet, mivel a kiberbiztonsági irányelv rendelkezései által az ENISA-ra ruházott feladatok tartós jellegűek.

2.Eredményesség: Az ENISA összességében teljesítette célkitűzéseit, és végrehajtotta a feladatait. Fő tevékenységei révén (kapacitásépítés, szakértelem biztosítása, közösségépítés, a szakpolitika támogatása) hozzájárult a hálózat- és információbiztonság fokozásához Európában. Valamennyi területen lehet még mit javítani. Az értékelés megállapította, hogy az ENISA hatékonyan teremtett erős és bizalomra épülő kapcsolatokat néhány érdekelt féllel, nevezetesen a tagállamokkal és a CSIRT-közösséggel. A kapacitásépítés területén történő beavatkozásokat különösen a kevesebb forrással rendelkező tagállamok tartották hatékonynak. A széles körű együttműködés ösztönzése volt az egyik legsikeresebb tevékenység: az érdekelt felek szinte mindegyike egyetértett abban, hogy az ENISA pozitív szerepet játszik az emberek összefogásában. Az ENISA azonban nehézségekbe ütközött a tekintetben, hogy jelentős hatást fejtsen ki a hálózat- és információbiztonság átfogó területén. Ennek oka volt az is, hogy meglehetősen korlátozott emberi és pénzügyi erőforrásokkal rendelkezett a rendkívül széles körű megbízatás teljesítéséhez. Az értékelés azt is megállapította, hogy az ENISA részben teljesítette a szakértői vélemények nyújtására irányuló célkitűzést, ami a szakértők felvételével kapcsolatos problémákra vezethető vissza (lásd a hatékonyságra vonatkozó szakaszt is).

3.Hatékonyság: Alacsony költségvetése ellenére – amely a többi uniós ügynökséghez képest a legalacsonyabbak között van – az Ügynökség képes volt hozzájárulni a konkrét célok eléréséhez, ami a források felhasználásának általános hatékonyságát mutatja. Az értékelés arra a megállapításra jutott, hogy az eljárások általában hatékonyak voltak, és a szervezeten belüli felelősségi körök világos elhatárolása megfelelő munkavégzést eredményezett. Az Ügynökség hatékonyságával szembeni fő kihívások egyike abból ered, hogy nehéz felvenni és megtartani a magasan képzett szakembereket. Az értékelés azt mutatja, hogy ez több tényező együttes hatására vezethető vissza: a közszektor általában véve nehezen tud versenyezni a magánszektorral a magasan képzett szakemberek felvétele terén, az Ügynökség által kínált szerződések típusa (határozott idejű szerződések) és az Ügynökség földrajzi elhelyezkedése nem túl vonzó, mely utóbbi tényező nehézségeket okoz például abban, hogy az alkalmazottak házastársai munkát találjanak. Az Athén és Iráklió közötti megosztott elhelyezkedés további koordinációs erőfeszítéseket igényelt és további költségeket eredményezett, de a központi műveletek osztályának 2013-as Athénba költözése növelte az Ügynökség működési hatékonyságát.

4.Koherencia: Az ENISA tevékenységei nemzeti és uniós szinten egyaránt általában véve összhangban állnak az érdekelt felek politikáival és tevékenységeivel, de a kiberbiztonság terén uniós szinten összehangoltabb megközelítésre van szükség. Az ENISA és más uniós szervek közötti együttműködés lehetősége nem került teljes mértékben kihasználásra. Az EU jogi és politikai helyzetének alakulása miatt a jelenlegi megbízatás ma kevésbé koherens.

5.Uniós hozzáadott érték: Az ENISA hozzáadott értéke elsősorban az Ügynökség azon képességéből fakad, hogy fokozza az együttműködést, elsősorban a tagállamok között, valamint a kapcsolódó hálózat- és információbiztonsági közösségek között. Nincs más olyan uniós szintű szereplő, amely a hálózat- és információbiztonsággal foglalkozó érdekelt felek ilyen széles spektruma közötti együttműködést támogatná. Az Ügynökség által biztosított hozzáadott érték az érdekelt felek eltérő igényeinek és forrásainak (például nagy, illetve kis tagállamok; tagállamok, illetve ipar), valamint annak függvényében változott, hogy az Ügynökségnek a munkaprogramja alapján milyen prioritási sorrendben kellett végeznie a tevékenységeit. Az értékelés megállapította, hogy az ENISA esetleges megszüntetése minden tagállam számára elmulasztott lehetőséget jelentene. Egy decentralizált uniós Ügynökség nélkül nem lesz lehetséges a kiberbiztonság területén ugyanolyan mérvű közösségépítést és együttműködést biztosítani a tagállamok között. Fragmentáltabb lenne az összkép, ha az ENISA által hátrahagyott űrt kétoldalú vagy regionális együttműködéssel próbálnák betölteni.

3.Következtetések/Ajánlások

Az értékelés arra a megállapításra jutott, hogy az ENISA-ra a róla szóló rendelet széles körű megbízatást ruházott – ez lehetővé teszi a rugalmasságot, egyes esetekben azonban nem eléggé körülhatárolt, ami megnehezíti az Ügynökség számára, hogy jelentős hatást érjen el –, valamint, hogy az Ügynökség célkitűzései a 2013–2016 közötti időszakban relevánsnak bizonyultak. Az Ügynökségnek sikerült megfelelő szintű hatékonyságot elérnie, és bizonyította az uniós szintű fellépés hozzáadott értékét, különösen az olyan kulcsfontosságú fellépések révén, mint a páneurópai kiberbiztonsági gyakorlatok, a CSIRT-közösség támogatása, vagy fenyegetettségi helyzetjelentések készítése. Az ENISA hozzájárult a hálózat- és információbiztonság növeléséhez Európában, elsősorban a tagállamok és a hálózat- és információbiztonságban érdekelt felek közötti együttműködés támogatása, valamint közösség- és kapacitásépítési tevékenységei révén.

Az Ügynökség ezeket az eredményeket a jelentés előző szakaszaiban és a mellékelt szolgálati munkadokumentumban ismertetett számos kihívás ellenére érte el. Az egyik fő kihívás a korlátozott forrásokhoz kapcsolódott, amelyek nem voltak összhangban az Ügynökség széles körű megbízatásával, különös tekintettel a kiberbiztonsági irányelv által az Ügynökségre ruházott új feladatokra és a gyorsan változó fenyegetettségi helyzetre. Az ENISA továbbá az egyetlen olyan uniós ügynökség marad, amelynek megbízatása határozott időre szól, többek között a kiberbiztonsági irányelvvel kapcsolatos feladatai ellenére, amint ez fentebb kifejtésre került.

A kiberbiztonsági fenyegetettségi helyzet gyorsan változik, újfajta veszélyek jelentkeznek akkor, amikor Európa egyre erőteljesebben támaszkodik a digitális infrastruktúrára és szolgáltatásokra, nemcsak egymással összekapcsolt eszközök, de a mára már mindenütt jelen lévő összekapcsoltság révén is. A dolgok internete új lehetőségeket teremt az energiahatékonyság, a környezetvédelem, az összekapcsolt mobilitás, a valós idejű egészségügyi ellenőrzés, valamint a digitális gazdaságban és társadalomban zajló intelligens és zökkenőmentes pénzügyi tranzakciók terén. Ezekkel az üzleti ösztönzőkkel együtt azonban olyan új sérülékenységek, és az azokat kihasználó olyan új módszerek alakulnak ki, amelyek csökkent megbízhatóságú készülékek révén képesek zavart okozni a digitális egységes piac működésében.

Az értékelés arra a következtetésre vezetett, hogy a jelenlegi megbízatás nem biztosítja az ENISA számára a jelenlegi és jövőbeli kiberbiztonsági kihívások kezeléséhez szükséges eszközöket.

Ezen túlmenően egyre nagyobb a kockázata annak, hogy az uniós szinten a kiberbiztonság területén jelenlévő szereplők száma és a köztük lévő koordináció elégtelen volta miatt uniós szinten fokozódik a fragmentáltság. Az EU-nak szüksége van egy kapcsolattartási pontra ahhoz, hogy a horizontális természetű és számos ipari ágazatra kiható új fenyegetéseket kezelni tudja, valamint hogy ki tudja elégíteni a kiberbiztonsági közösség – különösen a tagállamok, az uniós intézmények és a vállalkozások – igényeit. Az értékelés arra utal, hogy szükség van egy olyan, ágazatközi/horizontális alapon szervezett uniós ügynökségre, amely erőteljes felhatalmazással rendelkezik.

Az értékelésből kitűnik, hogy számos kihívást támasztó kérdés ellenére az ENISA – megfelelő felhatalmazás, valamint pénzügyi és emberi erőforrások birtokában – jelentős potenciállal rendelkezik ahhoz, hogy hozzájáruljon a nagyobb mértékű kiberbiztonsághoz az EU területén.

Emellett egyértelműen szükség van a különböző érdekelt felek közötti együttműködésre és koordinációra. Az információáramlás megkönnyítése, a hiányosságok minimálisra csökkentése, valamint a szerepek és felelősségek halmozódásának elkerülése érdekében egyre sürgetőbbé válik egy uniós szintű koordináló szervezet létrehozása. Az ENISA – mint decentralizált uniós ügynökség és semleges közvetítő pozíciójánál fogva koordinálni tudja az EU kiberfenyegetésekkel szembeni fellépését.

Ennek alapján a Bizottság javaslatot terjesztett elő az ENISA megreformálására, amelynek keretében olyan állandó megbízással ruházza fel, amely az Ügynökség által mutatott kulcsfontosságú erősségekre és az új kiemelt cselekvési területekre – például a kiberbiztonsági tanúsításra – épít. Az új megbízatásnak tükröznie kell a megváltozott valóságot, és lehetővé kell tennie az Ügynökség számára, hogy a jövőben megfelelően támogathassa az Uniót.