[pic] | EUROPOS KOMISIJA | Briuselis, 2010.9.30 KOM(2010) 521 galutinis 2010/0275 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl Europos tinklų ir informacijos apsaugos agentūros (ENISA) {SEC (2010) 1126}{SEC (2010) 1127} AIŠKINAMASIS MEMORANDUMAS 1. PASIŪLYMO APLINKYBĖS 1.1. Politinės aplinkybės Reglamentu (EB) Nr. 460/2004[1] Europos tinklų ir informacijos apsaugos agentūra (ENISA) įsteigta 2004 m. kovo mėn. penkerių metų laikotarpiui, visų pirma, siekiant užtikrinti aukštą ir veiksmingą [Europos Sąjungos] tinklų ir informacijos saugumo lygį bei siekiant Europos Sąjungos piliečių, vartotojų, įmonių ir valstybinio sektoriaus organizacijų labui formuoti tinklų kultūrą ir informacijos apsaugą, tuo prisidedant prie sklandaus vidaus rinkos funkcionavimo . Reglamentu (EB) Nr. 1007/2008[2] ENISA įgaliojimai pratęsti iki 2012 m. kovo mėn. 2008 m. sprendžiant ENISA įgaliojimų pratęsimo klausimą taip pat pradėtos diskusijos dėl bendros Europos pastangų krypties siekiant tinklų ir informacijos saugumo, prie kurių Komisija prisidėjo pradėjusi viešąsias konsultacijas dėl galimų Europos Sąjungos lygiu įgyvendinamos sustiprintos tinklų ir informacijos saugumo politikos tikslų. Šios viešosios konsultacijos vyko nuo 2008 m. lapkričio mėn. iki 2009 m. sausio mėn., gauta beveik 600 atsakymų[3]. 2009 m. kovo 30 d. Komisija priėmė Komunikatą dėl ypatingos svarbos informacinės infrastruktūros apsaugos[4], kuriame daugiausiai dėmesio skiriama Europos apsaugai nuo kibernetinių atakų ir veiklos sutrukdymo, gerinant parengtį, didinant saugumą ir atsparumą; jame yra veiksmų planas, kuriame numatyti ENISA uždaviniai, visų pirma susiję su pagalba valstybėms narėms. Veiksmų planui pritarta 2009 m. balandžio 27–28 d. Taline, Estijoje, vykusioje ministrų konferencijoje ypatingos svarbos informacinės infrastruktūros apsaugos klausimais[5]. Europos Sąjungos Tarybai pirmininkaujančios valstybės narės parengtose konferencijos išvadose pabrėžiama, kaip svarbu maksimaliai naudotis ENISA teikiama veiklos parama; jose pažymima, kad ENISA yra vertinga bendradarbiavimo pastangų šioje srityje rėmimo visos ES mastu priemonė, ir nurodytas poreikis išsamiai persvarstyti ir performuluoti agentūros įgaliojimus siekiant labiau sutelkti dėmesį į ES prioritetus bei poreikius, sukurti lankstesnį reagavimo pajėgumą, ugdyti gebėjimus ir kompetencijas, ir didinti agentūros veiklos efektyvumą bei bendrą poveikį, kad ENISA galėtų būti nuolat naudinga kiekvienai valstybei narei ir apskritai Europos Sąjungai. Švedijai pirmininkaujant Europos Sąjungos Tarybai, aptarimas baigtas po 2009 m. birželio 11 d. Telekomunikacijų taryboje vykusių diskusijų – jose valstybės narės pritarė tam, kad atsižvelgiant į tinklų ir informacijos saugumo svarbą ir kintančius šios srities uždavinius būtų pratęsti ENISA įgaliojimai ir padidinti jos ištekliai. 2009 m. gruodžio 18 d. Tarybos rezoliucijoje dėl bendradarbiavimu paremto Europos požiūrio į tinklų ir informacijos saugumą[6] pripažįstamas ENISA vaidmuo ir galimybės, taip pat poreikis toliau transformuoti ENISA į veiksmingą organą . Joje taip pat pabrėžiamas poreikis modernizuoti ir sustiprinti agentūrą, kad Komisijai ir valstybėms narėms ji padėtų įveikti technologijų ir politikos atotrūkį bei taptų Europos Sąjungos tinklų ir informacijos saugumo srities kompetencijos centru. 1.2. Bendrosios aplinkybės Informacinės ir ryšių technologijos (IRT) tapo Europos ekonomikos ir apskritai visos visuomenė pagrindu. Jos neatsparios grėsmei, kuriai netrukdo jokios valstybių sienos ir kuri keitėsi su technologijomis ir rinka. Visame pasaulyje paplitusios informacinės ir ryšių technologijos tarpusavyje glaudžiai susijusios ir priklausomos nuo kitos infrastruktūros, todėl jų saugumo ir atsparumo negalima užtikrinti vien nacionaliniais ir nesuderintais metodais. Tuo pat metu sparčiai keičiasi su tinklų ir informacijos saugumu susiję uždaviniai. Tinklai ir informacijos sistemos turi būti veiksmingai apsaugoti nuo visų veiklos sutrukdymo rūšių ir gedimų, įskaitant piktavalių asmenų rengiamas atakas. Europos skaitmeninėje darbotvarkėje[7], vienoje iš pagrindinių strategijos „Europa 2020“ iniciatyvų, tinklų ir informacijos saugumo politikos priemonėms teikiama daug reikšmės, kad naudojantis IRT galimybėmis ir jas didinant būtų sukurtos tvaraus augimo ir inovacijų sąlygos. Pagrindiniai Europos skaitmeninės darbotvarkės prioritetai – skatinti IRT skverbtį ir didinti pasitikėjimą informacine visuomene. ENISA buvo įsteigta visų pirma tam, kad užtikrintų aukštą ir veiksmingą Europos Sąjungos tinklų ir informacijos saugumo lygį. Atsižvelgiant į įgytą agentūros darbo patirtį, taip pat į uždavinius ir grėsmę, pripažinta, kad jos įgaliojimus būtina atnaujinti, kad agentūra geriau atitiktų Europos Sąjungos poreikius, susijusius su: - nacionalinių metodų, taikomų kintantiems uždaviniams spręsti, įvairove, - bendradarbiavimo modelių, skirtų tinklų ir informacijos saugumo politikos priemonėms įgyvendinti, stoka, - nepakankama parengtimi, kurios viena iš priežasčių – ribotas Europos ankstyvojo incidentų atpažinimo ir reagavimo į juos pajėgumas, - patikimų Europos duomenų stoka ir ribotomis žiniomis apie kintančius uždavinius, - mažesniu informuotumo apie tinklų ir informacijos saugumo riziką ir problemas lygiu, - uždaviniu integruoti tinklų ir informacijos saugumo aspektus į politikos priemones siekiant veiksmingiau kovoti su kibernetiniu nusikalstamumu. 1.3. Politikos tikslai Pagrindinis siūlomo reglamento tikslas – sukurti sąlygas, kad Komisija, valstybės narės ir suinteresuotosios šalys turėtų daugiau galimybių ir geriau pasirengtų užkirsti kelią tinklų ir informacijos saugumo problemoms, jas atpažinti ir tinkamiau į jas reaguoti. Tai padės formuoti pasitikėjimą, būtiną informacinei visuomenei sukurti, gerinti Europos įmonių konkurencingumą ir užtikrinti veiksmingą vidaus rinkos veikimą. 1.4. Pasiūlymo srityje galiojančios nuostatos Šiuo pasiūlymu papildomos tinklų ir informacijos saugumo srities reguliavimo ir ne reguliuojamojo pobūdžio politikos iniciatyvos, Europos Sąjungos lygiu įgyvendinamos siekiant padidinti informacinių ir ryšių technologijų saugumą ir atsparumą. - Ypatingos svarbos informacinės infrastruktūros komunikate pateiktame veiksmų plane numatyta įsteigti: - Valstybių narių Europos forumą (EFMS), kuris skatintų diskusijas ir keitimąsi gerąją politikos patirtimi siekiant bendrų politikos tikslų ir prioritetų, susijusių su IRT infrastruktūros saugumu ir atsparumu, be kitų dalykų, tiesiogiai naudojantis agentūros darbu ir jos teikiama parama; - Europos viešojo ir privačiojo sektorių partnerystę (EP3R) atsparumui užtikrinti – lanksčią IRT infrastruktūros atsparumo Europos masto valdymo sistemą, kuria būtų skatinamas viešojo ir privačiojo sektorių bendradarbiavimas saugumo ir atsparumo, bazinių reikalavimų, gerosios politikos patirties ir priemonių klausimais. - 2009 m. gruodžio 11 d. Europos Tarybos priimta Stokholmo programa propaguojamos politikos priemonės, kuriomis užtikrinamas tinklo saugumas ir sukuriamos sąlygos Europos Sąjungoje greičiau reaguoti į kibernetines atakas. - Šiomis iniciatyvomis prisidedama prie Europos skaitmeninės darbotvarkės įgyvendinimo. Tinklo ir informacijos saugumo politikos priemonių reikšmė didžiausia toje strategijos dalyje, kuria siekiama skatinti pasitikėjimą informacine visuomene ir didinti jos saugumą. Jomis taip pat remiamos pagalbinės Komisijos priemonės ir politika, susijusios su privatumo ir asmens duomenų apsauga (atitinamai su „integruotąja privatumo apsauga“ ir galiojančių pagrindinių nuostatų persvarstymu), bendradarbiavimo vartotojų apsaugos srityje tinklu, tapatybės duomenų valdymu ir Saugesnio interneto programa. 1.5. Su šiuo pasiūlymu susiję dabartinės tinklų ir informacijos saugumo politikos pokyčiai ENISA parama ir dalyko žinios naudingos keliems aktualiems tinklų ir informacijos saugumo politikos projektams, ypač tiems, apie kuriuos pranešta Europos skaitmeninėje darbotvarkėje. Projektai šie: - Glaudesnis bendradarbiavimas tinklų ir informacijos saugumo politikos klausimais, aktyviau dalyvaujant Valstybių narių Europos forume (EFMS) , kuris tiesiogiai remiamas ENISA padės: - nustatyti būdus, kaip sukurti veiksmingą Europos tinklą vykdant tarptautinį nacionalinių (valstybinių) kompiuterinių incidentų tyrimo tarnybų (angl. Computer Emergency Response Teams , CERT) bendradarbiavimą, - nustatyti, kokių ilgalaikių tikslų ir prioritetų turi būti siekiama didelėse tinklo ir informacijos saugumo incidentų Europos masto pratybose, - būtiniausius viešųjų pirkimų reikalavimus maksimaliai naudoti viešųjų sistemų ir tinklų saugumui ir atsparumui didinti, - nustatyti ekonomines ir teisines saugumo ir atsparumo paskatas, - įvertinti dabartinę tinklų ir informacijos saugumo padėtį Europoje. - Glaudesnis viešojo ir privačiojo sektorių bendradarbiavimas ir jų ryšių užmezgimas remiant Europos viešojo ir privačiojo sektorių partnerystę (EP3R) atsparumui užtikrinti . ENISA atlieka vis svarbesnes funkcijas kuriant geresnes EP3R susitikimų ir veiklos sąlygas. Tolesni EP3R veiksmai: - aptarti pažangias saugumo ir atsparumo gerinimo priemones, pavyzdžiui: - bazinius saugumo ir atsparumo reikalavimus, visų pirma taikomus vykdant IRT produktų ir paslaugų viešuosius pirkimus, kad būtų sukurtos vienodos sąlygos ir užtikrintas reikiamas parengties ir prevencijos lygis, - išnagrinėti ekonominės veiklos vykdytojų, pavyzdžiui, nustačiusių minimalius saugumo reikalavimus, atsakomybės klausimus, - ekonomines paskatas kurti ir diegti rizikos valdymo metodus, saugumo procesus ir produktus, - rizikos vertinimo ir valdymo sistemas reikšmingiems incidentams vertinti ir valdyti remiantis bendru supratimo pagrindu, - viešojo ir privačiojo sektorių bendradarbiavimą didelio masto incidentų atvejais, - verslo atstovų susitikimo aukščiausiuoju lygiu organizavimą ekonominėms saugumo ir atsparumo kliūtims ir paskatoms aptarti. - Elektroninių ryšių reguliavimo teisės aktų rinkinyje nustatytų saugumo reikalavimų taikymas; ENISA dalyko žinios ir pagalba tam būtinos siekiant: - teikti paramą valstybėms narėms ir Komisijai, kai šios, reikiamai atsižvelgdamos į privačiojo sektoriaus atstovų nuomones, nustato pagrindines taisykles ir procedūras, būtinas pranešimo apie pažeidimus nuostatoms (persvarstytos Pagrindų direktyvos 13a straipsnis) įgyvendinti, - surengti kasmetinį nacionalinių kompetentingų institucijų (arba nacionalinių reguliavimo institucijų) ir privačiojo sektoriaus suinteresuotųjų šalių forumą tinklų ir informacijos saugumo klausimais, kad būtų aptarta įgyta patirtis ir pasikeista tinklų ir informacijos saugumo reguliavimo priemonių taikymo gerosios patirties pavyzdžiais. - Komisija ir ENISA padeda kurti geresnes sąlygas Europos masto kibernetinio saugumo parengties pratyboms , kad vėliau tokios pratybos būtų organizuojamos tarptautiniu lygiu. - Europos Sąjungos institucijų kompiuterinių incidentų tyrimo tarnybos (CERT) sukūrimas. Europos skaitmeninės darbotvarkės 6 pagrindinė priemonė – Komisija pateiks „priemones, kurių tikslas – formuoti griežtesnę aukšto lygio tinklų ir informacijos saugumo politiką, įskaitant … priemones, kurios leistų greičiau reaguoti į kibernetines atakas ir sukurti ES institucijų kompiuterinių incidentų tyrimo tarnybą“[8]. Komisija ir kitos Europos Sąjungos institucijos turės atlikti analizę ir sukurti Kompiuterinių incidentų tyrimo tarnybą, kuriai ENISA teiktų techninę paramą ir dalyko žinias. - Valstybių narių pastangų telkimas ir jų rėmimas, kad būtų pabaigtos kurti arba prireikus būtų sukurtos nacionalinės (valstybinės) kompiuterinių incidentų tyrimo tarnybos, kad visoje Europoje būtų suformuotas sklandžiai veikiantis kompiuterinių incidentų tyrimo tarnybų tinklas. Ši veikla bus svarbi toliau plėtojant piliečiams ir mažosioms ir vidutinėms įmonėms skirtą Europos informacijos mainų ir įspėjimo sistemą (EISAS), kuri nacionaliniais ištekliais ir pajėgomis turi būti sukurta iki 2012 m. pabaigos. - Geresnis informavimas apie tinklų ir informacijos saugumo uždavinius, įskaitant šiuos dalykus: - Komisija ir ENISA bendradarbiaudamos parengs gaires, kaip propaguoti tinklų ir informacijos saugumo standartus, gerąją patirtį ir rizikos valdymo kultūrą. Bus parengtas pirmasis gairių pavyzdys; - ENISA ir valstybės narės bendradarbiaudamos organizuos „Europos tinklų ir informacijos saugumo mėnesį“ , kurio metu bus rengiami nacionaliniai ir Europos kibernetinio saugumo konkursai. 1.6. Derėjimas su kitomis Europos Sąjungos politikos sritimis ir tikslais Pasiūlymas dera su esamomis kitomis Europos Sąjungos politikos kryptimis ir tikslais, taip pat visiškai atitinka tikslą – prisidėti prie vidaus rinkos sklandaus veikimo gerinant parengtį spręsti tinklų ir informacijos saugumo uždavinius ir didinant reagavimo į juos pajėgumą. 2. KONSULTACIJŲ REZULTATAI IR POVEIKIO VERTINIMAS 2.1. Konsultacijos su suinteresuotosiomis šalimis Ši politikos iniciatyva – tai visapusiško aptarimo, į kurį siekta įtraukti visas suinteresuotąsias šalis ir kurį vykdant laikytasi dalyvavimo, atvirumo, atsakingumo, veiksmingumo ir nuoseklumo principų, rezultatas. Vykdant šį didelio masto procesą, įvertinta 2006–2007 m. agentūros veikla, pateiktos ENISA valdančiosios tarybos rekomendacijos, vykdytos dvi (2007 m. ir 2008–2009 m.) viešosios konsultacijos taip pat surengti keli seminarai tinklų ir informacijos saugumo klausimais. Pirmoji viešoji konsultacija pradėta rengiant Komisijos komunikatą dėl ENISA veiklos laikotarpio vidurio vertinimo. Konsultuotasi dėl agentūros ateities, konsultacijos vyko nuo 2007 m. birželio 13 d. iki rugsėjo 7 d., internetu gauti 44 atsakymai, dar du atsakymai pateikti raštu. Atsakymus pateikė įvairios suinteresuotosios šalys, įskaitant valstybių narių ministerijas, reguliavimo institucijas, sektoriaus ir vartotojų asociacijas, akademines įstaigas, įmones ir pavienius piliečius. Atsakymuose akcentuoti keli reikšmingi klausimai: grėsmės scenarijaus raida; poreikis išaiškinti reglamentą ir numatyti jame lankstesnių nuostatų, kad ENISA galėtų prisitaikyti prie uždavinių; veiksmingos sąveikos su suinteresuotomis šalimis užtikrinimo svarba; galimybė šiek tiek padidinti agentūros išteklius. 2008 m. lapkričio 7 d.–2009 m. sausio 9 d. vykdant antrąją viešąją konsultaciją siekta nustatyti, kokie sustiprintos tinklų ir informacijos saugumo politikos Europos lygio prioritetiniai tikslai ir kokiomis priemonėmis jų siekti. Iš valstybių narių, mokslo (tyrimų) įstaigų, sektoriaus asociacijų, privačių įmonių, kitų suinteresuotųjų šalių (pavyzdžiui, duomenų apsaugos organizacijų ir konsultantų) ir privačių asmenų gauta beveik 600 atsakymų. Dauguma respondentų[9] pritarė tam, kad agentūros įgaliojimai būtų pratęsti, ir pasisakė už tai, kad Europos lygiu agentūra turėtų daugiau tinklų ir informacijos saugumo veiklos koordinavimo funkcijų, taip pat už jos išteklių padidinimą. Pagrindiniai prioritetai – būtinas geriau suderintas požiūris į kibernetinę grėsmę visoje Europoje, tarptautinis bendradarbiavimas siekiant reaguoti į didelio masto kibernetines atakas, kurti suinteresuotųjų šalių tarpusavio pasitikėjimą ir gerinti keitimąsi informacija. Atliktas su pasiūlymu susijęs poveikio vertinimas; šį darbą, grindžiamą parengiamuoju tyrimu, nuo 2009 m. rugsėjo mėn. atliko išorės rangovas. Dalyvavo daug įvairių suinteresuotųjų šalių ir ekspertų. Rengiant poveikio vertinimą bendradarbiavo valstybių narių tinklų ir informacijos saugumo įstaigos, nacionalinės reguliavimo institucijos, ryšių operatoriai ir interneto teikėjai, taip pat susijusių sektorių asociacijos, vartotojų asociacijos, IRT gamintojai, kompiuterinių incidentų tyrimo tarnybos (CERT), mokslininkai ir verslo srities naudotojai. Poveikio vertinimo procesui paremti iš susijusių Komisijos generalinių direktoratų sudaryta tarpžinybinė iniciatyvinė grupė. 2.2. Poveikio vertinimas Manoma, kad agentūra yra tinkamas sprendimas Europos politikos tikslams pasiekti[10]. Po pirminės atrankos nuspręsta toliau nagrinėti šias penkias politikos galimybes: - 1 galimybė – netaikyti jokių priemonių, - 2 galimybė – veiklą vykdyti kaip anksčiau, t. y. su panašiais įgaliojimais ir panašiais ištekliais, - 3 galimybė – agentūrai (ENISA) skirti daugiau užduočių, kaip visavertes suinteresuotąsias šalis įtraukus teisėsaugos ir privatumo apsaugos institucijas, - 4 galimybė – agentūrai skirti papildomas užduotis kovoti su kibernetinėmis atakomis ir reaguoti į kibernetinius incidentus, - 5 galimybė – agentūrai skirti papildomas užduotis teikti paramą su kibernetiniu nusikalstamumu kovojančioms teisėsaugos ir privatumo apsaugos institucijoms. Atlikus lyginamąją išlaidų ir naudos analizę, nustatyta, kad 3 galimybė yra ekonomiškai efektyviausias ir produktyviausias būdas politikos tikslams pasiekti. Pasirinkus 3 galimybę numatoma plėsti ENISA funkcijas, kad: - būtų užmegzti ir išlaikyti suinteresuotųjų šalių ir žinių tinklo ryšiai siekiant užtikrinti, kad ENISA gautų visapusišką informaciją apie Europos tinklų ir informacijos saugumo būklę, - agentūra būtų tinklų ir informacijos saugumo paramos centras rengiant ir įgyvendinant politiką (visų pirma susijusią su e. privatumu, e. parašu, e. asmens tapatybe, tinklų ir informacijos saugumo standartais, taikomais vykdant viešuosius pirkimus), - būtų paremta Europos Sąjungos ypatingos svarbos informacinės infrastruktūros apsaugos ir atsparumo politika (pratybos, EP3R, Europos informacijos mainų ir įspėjimo sistema ir t. t.), - būtų sukurta Europos Sąjungos tinklų ir informacijos saugumo duomenų rinkimo sistema ir sukurti metodai bei principai, būtini teisėtai rinkti tokius duomenis ir jais keistis, - būtų tiriami ekonominiai tinklų ir informacijos saugumo aspektai, - būtų skatinamas bendradarbiavimas su trečiosiomis šalimis ir tarptautinėmis organizacijomis siekiant propaguoti bendrą pasaulinį požiūrį į tinklų ir informacijos saugumą, taip pat suteikti impulsą tarptautinėms iniciatyvoms Europoje, - būtų atliekamos kitokios užduotys, susijusios su tinklų ir informacijos saugumo aspektais, aktualiais kibernetinio nusikalstamumo teisėsaugai ir teisėsaugos institucijų bendradarbiavimui. 3. TEISINIAI PASIŪLYMO ASPEKTAI 3.1. Siūlomų veiksmų santrauka Siūlomu reglamentu siekiama sustiprinti ir modernizuoti Europos tinklų ir informacijos apsaugos agentūrą (ENISA) ir nustatyti naujus įgaliojimus penkeriems metams. Palyginti su pirminiu reglamentu, pasiūlyme yra keli esminiai pakeitimai. 1. Didesnis lankstumas, geresnis prisitaikymas ir didesnis tikslumas. Siekiant padidinti agentūros veiklos sritį, atnaujintos ir iš naujo plačiau suformuluotos užduotys; jos pakankamai tikslios, kad būtų aišku, kokiomis priemonėmis siekti tikslų. Taip aiškiau apibrėžta agentūros misija, jai suteikta daugiau galimybių siekti tikslų ir labiau akcentuojama jos užduotis padėti įgyvendinti Europos Sąjungos politiką. 2. Geresnis agentūros veiklos suderinimas su Europos Sąjungos politika ir reguliavimo procesu. Europos institucijos ir įstaigos gali kreiptis į agentūrą pagalbos ir konsultacijų. Tai atitinka politikos ir reguliavimo pokyčius: savo rezoliucijose Taryba tiesiogiai kreipiasi į agentūrą, o pagrindiniuose elektroninių ryšių reguliavimo teisės aktuose Europos Parlamentas ir Taryba jai paskyrė tinklų ir informacijos saugumo užduotis. 3. Kovos su kibernetiniu nusikalstamumu sąsajos. Siekdama savo tikslų, agentūra atsižvelgia į kovą su kibernetiniu nusikalstamumu. Teisėsaugos ir privatumo apsaugos institucijos tapo visavertėmis agentūros suinteresuotosiomis šalimis, visų pirma nuolatinėje suinteresuotųjų šalių grupėje. 4. Sustiprinta valdymo struktūra. Pasiūlymu siekiama sustiprinti agentūros valdančiosios tarybos, kurioje atstovaujama valstybėms narėms ir Komisijai, vykdomas priežiūros funkcijas. Pavyzdžiui, valdančioji taryba gali duoti bendruosius nurodymus darbuotojų klausimais – anksčiau už tai atsakė tik vykdantysis direktorius. Ji taip pat gali steigti darbo grupes, kurios padėtų vykdyti jos užduotis, įskaitant jos sprendimų įgyvendinimo stebėjimą. 5. Procedūrų supaprastinimas. Supaprastintos pernelyg sudėtingos procedūros. Pavyzdžiui, a) supaprastinta valdančiosios tarybos vidaus taisyklių procedūra, b) nuomonė dėl ENISA veiklos programos nebeteikiama Komisijos sprendimu, ją pateikia Komisijos tarnybos. Valdančiajai tarybai taip pat suteikiama pakankamai išteklių, jei ji turi priimti ir įgyvendinti vykdomuosius sprendimus, pavyzdžiui, jei darbuotojas apskųstų vykdantįjį direktorių arba valdančiąją tarybą. 6. Laipsniškas išteklių didinimas. Kad agentūra atitiktų sustiprintus Europos prioritetus ir didėjančius uždavinius, planuojama 2012–2016 m. laipsniškai didinti jos finansinius ir žmogiškuosius išteklius, nepažeidžiant Komisijos kitos daugiametės finansinės programos pasiūlymo. Pagal Komisijos pasiūlymą dėl reglamento, kuriuo būtų nustatyta daugiametė laikotarpio po 2013 m. finansinė programa pasiūlymo, ir atsižvelgdama į poveikio vertinimo išvadas, Komisija pateiks pataisytą finansinę teisės akto pažymą. 7. Galimybė pratęsti vykdančiojo direktoriaus kadenciją. Valdančioji taryba gali pratęsti vykdančiojo direktoriaus kadenciją trejais metais. 3.2. Teisinis pagrindas Pasiūlymas grindžiamas Sutarties dėl Europos Sąjungos veikimo[11] 114 straipsniu. Pagal Europos Teisingumo Teismo sprendimą[12], kol įsigaliojo Lisabonos sutartis, EB sutarties 95 straipsnis laikytas tinkamu teisiniu įstaigos kūrimo pagrindu siekiant užtikrinti aukštą ir veiksmingą tinklų ir informacijos saugumą Europos Sąjungoje. 95 straipsnyje vartodami žodžius „priemones valstybių narių įstatymų ir kitų teisės aktų nuostatoms ... suderinti“ autoriai siekė, kad Europos Sąjungos teisės aktų leidėjai galėtų savo nuožiūra pasirinkti priemones norimam rezultatui pasiekti. Didesnis IRT infrastruktūros objektų saugumas ir atsparumas yra svarbūs vidaus rinkos sklandaus veikimo elementai. Pagal Lisabonos sutartį Sutarties dėl Europos Sąjungos veikimo 114 straipsnyje[13] beveik identiška forma aprašyta atsakomybė už vidaus rinką. Dėl pirmiau nurodytų priežasčių šis straipsnis ir toliau bus laikomas taikytinu teisiniu pagrindu tinklų ir informacijos saugumo priemonėms priimti. Atsakomybė už vidaus rinką dabar yra Europos Sąjungos ir valstybių narių pasidalijamosios kompetencijos dalykas (Sutarties dėl Europos Sąjungos veikimo 4 straipsnio 2 dalies a punktas). Vadinasi, Europos Sąjunga ir valstybės narės gali priimti (privalomas) priemones, o valstybės narės imasi veiksmų, jei Europos Sąjunga savo kompetencija nepasinaudojo arba nusprendė nesiimti daugiau veiksmų (Sutarties dėl Europos Sąjungos veikimo 2 straipsnio 2 dalis). Atsakomybės už vidaus rinką srities priemonėms reikės įprastos teisėkūros procedūros (Sutarties dėl Europos Sąjungos veikimo 289 ir 294), kuri panaši[14] į ankstesnę bendrojo sprendimo procedūrą (EB sutarties 251 straipsnis). Įsigaliojus Lisabonos sutarčiai, neliko ramsčių skirtumo. Nusikalstamumo prevencija ir kova su juo tapo Europos Sąjungos pasidalijamosios kompetencijos dalyku. Todėl, kovojant su kibernetiniu nusikalstamumu, ENISA galėtų būti tinklų ir informacijos saugumo aspektų platforma; su kibernetinės gynybos, teisėsaugos ir privatumo apsaugos institucijomis ji galėtų keistis nuomonėmis ir gerąja patirtimi. 3.3. Subsidiarumo principas Pasiūlymas atitinka subsidiarumo principą. Tinklų ir informacijos saugumo politika turi būti įgyvendinama bendradarbiaujant, o valstybės narės negali pasiūlymo tikslų pasiekti veikdamos atskirai. Jei Europos Sąjungos politika būtų visiškai neintervencinė nacionalinės tinklų ir informacijos saugumo politikos atžvilgiu, šią užduotį turėtų spręsti valstybės narės ir nebūtų atsižvelgiamą į aiškią esamų informacinių sistemų tarpusavio priklausomybę. Todėl priemonė, kuria būtų užtikrintas reikiamas valstybių narių tarpusavio koordinavimo laipsnis, kad tinklų ir informacijos rizika būtų tinkamai valdoma atsižvelgiant į jos tarptautines aplinkybes, atitinka subsidiarumo principą. Be to, dėl taikomos Europos priemonės esamos nacionalinės priemonės būtų veiksmingesnės, todėl ji duotų papildomos naudos. Nustatyta suderinta ir bendradarbiavimu grindžiama tinklų ir informacijos saugumo politika taip pat turės teigiamo poveikio pagrindinių teisių apsaugai, konkrečiai asmens duomenų ir privatumo apsaugos teisei. Duomenų apsauga ypač svarbi šiais laikais, nes Europos piliečiai (nusprendę patys arba dėl to, kad taip būtina) sudėtingoms informacinėms sistemoms suteikia vis daugiau savo duomenų, nors ne visada gali tinkamai įvertinti susijusią duomenų apsaugos riziką. Todėl, kai įvyksta incidentai, piliečiai ne visada gali imtis reikiamų priemonių ir abejotina, ar valstybės narės galėtų veiksmingai spręsti tarptautinių incidentų klausimus, jei Europoje tinklų ir informacijos saugumas nebūtų koordinuojamas. 3.4. Proporcingumo principas Šis pasiūlymas atitinka proporcingumo principą, nes juo neviršijama to, kas būtina tikslui pasiekti. 3.5. Pasirinkta priemonė Pasiūlyta priemonė – tiesiogiai visose valstybėse narėse taikomas reglamentas. 4. POVEIKIS BIUDŽETUI Pasiūlymas turės poveikio Europos Sąjungos biudžetui. Kadangi nustatytos užduotys, kurios turi būti įtrauktos į ENISA įgaliojimus, tikimasi, kad agentūrai bus suteikti ištekliai, būtini jos veiklai tinkamai vykdyti. Iš agentūros vertinimo, išsamių konsultacijų su suinteresuotosiomis šalimis visais lygiais ir poveikio vertinimo aiškėja bendras sutarimas, kad agentūra nepakankamai didelė, kad efektyviai siektų norimų rezultatų, ir kad būtina padidinti išteklius. Agentūros darbuotojų skaičiaus ir biudžeto padidinimo pasekmės ir poveikis išnagrinėti su šiuo pasiūlymu pateikiamame poveikio vertinime. ES finansavimas po 2013 m. bus išnagrinėtas, kai Komisijoje bus diskutuojama dėl visų laikotarpio po 2013 m. pasiūlymų. 5. PAPILDOMOS PASTABOS 5.1. Trukmė Reglamentas priimamas penkeriems metams. 5.2. Peržiūros nuostata Reglamente numatyta įvertinti agentūros veiklą per laikotarpį nuo ankstesnio vertinimo 2007 m. Bus vertinama, ar agentūra pasiekė reglamente jai nustatytus tikslus, ar ji vis dar efektyvi priemonė ir ar jos veikla turėtų būti pratęsta. Remdamasi rezultatais, valdančioji taryba pateikia Komisijai rekomendacijas dėl šio reglamento, agentūros ir jos darbo praktikos pakeitimų. Kad Komisija laiku parengtų įgaliojimų pratęsimo pasiūlymą, vertinimas turės būti atliktas iki reglamente numatytų įgaliojimų antrųjų metų pabaigos. 5.3. Laikinoji priemonė Komisija supranta, kad pagal teisėkūros procedūrą tokiam pasiūlymui aptarti Europos Parlamente ir Taryboje gali prireikti daug laiko, todėl yra pavojus, kad atsiras teisės spraga, jei dabartiniai agentūros įgaliojimai nebus pratęsti anksčiau, nei bus priimti nauji įgaliojimai. Todėl su šiuo pasiūlymu Komisija pateikia reglamento, kuriuo dabartiniai agentūros įgaliojimai pratęsiami 18 mėnesių, projektą, kad liktų pakankamai laiko aptarimui ir reikiamam procesui. 2010/0275 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl Europos tinklų ir informacijos apsaugos agentūros (ENISA) EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA, atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį, atsižvelgdami į Europos Komisijos pasiūlymą, atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę[15], atsižvelgdami į Regionų komiteto nuomonę[16], perdavę pasiūlymą nacionaliniams parlamentams, taikydami įprastą teisėkūros procedūrą, kadangi: (1) Elektroniniai ryšiai, infrastruktūra ir paslaugos tapo esminiu ekonominės ir socialinės plėtros veiksniu. Šie visuomenei ypač svarbūs dalykai paplito taip pat plačiai kaip elektros energijos arba vandens tiekimo sistemos. Sutrukdžius jų veikimą būtų padaryta didelė ekonominė žala, todėl būtina pabrėžti, kokios svarbios didesnės apsaugos ir atsparumo priemonės, kuriomis siekiama užtikrinti ypatingos svarbos paslaugų teikimo tęstinumą. Elektroninių ryšių, infrastruktūros ir paslaugų saugumo, ypač jų vientisumo ir prieinamumo, uždaviniai vis didesni. Visuomenei tai rūpi vis labiau ir todėl, kad dėl sistemų sudėtingumo, avarijų, klaidų arba atakų gali kilti problemų, turinčių pasekmių fizinei infrastruktūrai, kuria teikiamos ES piliečių gerovei ypatingai svarbios paslaugos. (2) Grėsmė nuolat keičiasi, o saugumo incidentai gali neigiamai paveikti naudotojų pasitikėjimą. Sunkus elektroninių ryšių, infrastruktūros ir paslaugų sutrikdymas gali turėti didelį ekonominį ir socialinį poveikį, o kasdieniai saugumo pažeidimai, problemos ir nepatogumai taip pat gali griauti visuomenės pasitikėjimą technologijomis, tinklais ir paslaugomis. (3) Todėl patikimais Europos duomenimis grindžiamas reguliarus tinklų ir informacijos saugumo būklės Europoje vertinimas svarbus už politinius sprendimus atsakingiems asmenims, sektoriaus atstovams ir naudotojams. (4) 2003 m. gruodžio 13 d. Europos Vadovų Tarybos susitikime valstybių narių atstovai nusprendė, kad Europos tinklų ir informacijos apsaugos agentūros (ENISA), kurią buvo rengiamasi steigti pagal Komisijos pateiktą pasiūlymą, būstinė bus viename iš Graikijos miestų, dėl kurio nuspręs Graikijos vyriausybė. (5) 2004 m. Europos Parlamentas ir Taryba priėmė Reglamentą (EB) Nr. 460/2004[17], įsteigiantį Europos tinklų ir informacijos apsaugos agentūrą, siekdami prisidėti prie šių tikslų: užtikrinti aukštą ir veiksmingą Europos Sąjungos tinklų ir informacijos saugumo lygį ir Europos Sąjungos piliečių, vartotojų, įmonių ir viešojo sektoriaus organizacijų labui formuoti tinklų kultūrą ir informacijos apsaugą. 2008 m. Europos Parlamentas ir Taryba priėmė Reglamentą (EB) Nr. 1007/2008[18], kuriuo agentūros įgaliojimai pratęsti iki 2012 m. kovo mėn. (6) Nuo agentūros įsteigimo tinklų ir informacijos saugumo uždaviniai keitėsi su technologijų, rinkos ir socialine bei ekonomine raida, todėl buvo toliau svarstomi ir aptariami. Atsižvelgdama į pasikeitusius uždavinius, Europos Sąjunga atnaujino savo tinklų ir informacijos saugumo politikos prioritetus įvairiais dokumentais, įskaitant 2006 m. Komisijos komunikatą „Saugios informacinės visuomenės strategija – dialogas, partnerystė ir teisių suteikimas“[19], 2007 m. Tarybos rezoliuciją dėl saugios informacinės visuomenės strategijos Europoje[20], 2009 m. komunikatą „Europos apsauga nuo didelio masto kibernetinių antpuolių ir veiklos sutrukdymo – geresnė parengtis, didesnis saugumas ir atsparumas“, ministrų konferencijos ypatingos svarbos informacinės infrastruktūros apsaugos klausimai[21]s pirmininkaujančiosios valstybės narės išvadas, 2009 m. Tarybos rezoliuciją dėl bendradarbiavimu paremto Europos požiūrio į tinklų ir informacijos saugumą[22]. Pripažinta, kad agentūrą būtina modernizuoti ir sustiprinti, kad būtų naudingai prisidėta prie Europos institucijų ir valstybių narių pastangų sukurti Europos pajėgumą tinklų ir informacijos saugumo uždaviniams spręsti. Neseniai Komisija priėmė Europos skaitmeninę darbotvarkę[23], vieną iš pagrindinių strategijos „Europa 2020“ iniciatyvų. Šia visapusiška darbotvarke siekiama, kad naudojantis informacinių ir ryšių technologijų galimybėmis ir jas didinant būtų sukurtos tvaraus augimo ir inovacijų sąlygos. Didinti pasitikėjimą informacine visuomene yra vienas iš svarbiausių šios visapusiškos darbotvarkės tikslų; joje paskelbtos priemonės, kurių šioje srityje imsis Komisija, įskaitant šį pasiūlymą. (7) Elektroninių ryšių ir apskritai tinklų ir informacijos saugumo priemones valstybės narės ir Komisija turi įgyvendinti įvairiomis techninėmis ir organizacinėmis formomis. Nevienodai taikomi šie reikalavimai tampa ne tokie veiksmingi ir sudaro kliūčių vidaus rinkoje. Todėl reikia Europos lygio kompetencijos centro, kuriuo galėtų pasikliauti valstybės narės ir Europos institucijos ir kuris nustatytų gaires, teiktų patarimus, o paprašytas teiktų pagalbą tinklų ir informacijos saugumo klausimais. Tvarkydama šiuos reikalus agentūra sukurtų ir išlaikytų aukštą kompetencijos lygį ir paremtų valstybes nares, Komisiją, taigi ir verslo bendruomenę, kad joms būtų lengviau laikytis tinklų ir informacijos saugumo teisinių ir reguliavimo reikalavimų, ir taip prisidėtų prie vidaus rinkos sklandaus veikimo. (8) Agentūra turėtų vykdyti užduotis, nustatytas galiojančiais elektroninių ryšių srities Europos Sąjungos teisės aktais ir apskritai prisidėti prie aukštesnio elektroninių ryšių saugumo lygio, be kitų dalykų, teikdama dalyko žinias ir patarimus bei skatindama keitimąsi gerąją patirtimi. (9) 2002 m. kovo 7 d. Europos Parlamento ir Tarybos direktyvoje 2002/21/EB dėl elektroninių ryšių tinklų ir paslaugų bendrosios reguliavimo sistemos (Pagrindų direktyva)[24] taip pat nurodyta, kad viešųjų ryšių tinklų arba viešai prieinamų elektroninių ryšių paslaugų teikėjai imtųsi atitinkamų priemonių, kad apsaugotų jų vientisumą ir saugumą, ir nustatyti reikalavimai pranešti apie saugumo pažeidimus ir vientisumo praradimo atvejus. Prireikus nacionalinės reguliavimo institucijos taip pat informuoja agentūrą; be to, Komisijai ir agentūrai jos turi pateikti metines apibendrintas gautų pranešimų ir įvykdytų veiksmų ataskaitas. Direktyvoje 2002/21/EB raginama, kad teikdama nuomones agentūra dalyvautų derinant atitinkamas technines ir organizacines saugumo priemones. (10) 2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyvoje 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių)[25] nustatyta, kad viešai prieinamų elektroninių ryšių paslaugų teikėjas imtųsi tinkamų techninių ir organizacinių priemonių, kad užtikrintų savo paslaugų saugumą, ir taip pat reikalaujama užtikrinti pranešimų ir su jais susijusio duomenų srauto konfidencialumą. Direktyva 2002/58/EB elektroninių ryšių paslaugų teikėjams nustatyti asmens duomenų pažeidimo informacijos ir pranešimo reikalavimai. Joje taip pat reikalaujama, kad Komisija su agentūra aptartų visas technines įgyvendinimo priemones, kurias ketinama priimti dėl informacijos ir pranešimo reikalavimų aplinkybių arba formato ir informacijos ir pranešimo procedūrų. 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo[26] reikalaujama, kad valstybės narės numatytų, kad kontroliuojantis asmuo privalėtų įgyvendinti atitinkamas technines ir organizacines priemones, skirtas apsaugoti asmens duomenis nuo atsitiktinio ar neteisėto jų sunaikinimo arba atsitiktinio jų netekimo, pakeitimo, neleistino atskleidimo ar prieigos prie jų, ypač tada, kai duomenų tvarkymo procesas apima duomenų perdavimą per tinklus, bei nuo kitų neteisėtų jų tvarkymo būdų. (11) Agentūra turėtų prisidėti prie aukšto tinklų ir informacijos saugumo lygio Europos Sąjungoje bei prie tinklų ir informacijos saugumo kultūros formavimo piliečių, vartotojų, verslo ir viešojo sektoriaus organizacijų labui ir taip prisidėtų prie sklandaus vidaus rinkos veikimo. (12) Užduočių sąraše turėtų būti nurodyta, kaip agentūra turi pasiekti savo tikslus, tačiau jos veiklos sąlygos turėtų būti lanksčios. Viena iš agentūros užduočių turėtų būti rinkti reikiamą informaciją ir duomenis, būtinus elektroninių ryšių, infrastruktūros ir paslaugų saugumo ir atsparumo rizikai analizuoti ir drauge su valstybėmis įvertinti tinklų ir informacijos saugumo būklę Europoje. Agentūra turėtų užtikrinti koordinavimą su valstybėmis narėmis ir stiprinti suinteresuotųjų šalių bendradarbiavimą Europoje, visų pirma į savo veiklą įtraukdama kompetentingas nacionalines įstaigas, taip pat tinklų ir informacijos saugumo srities ekspertus iš privačiojo sektoriaus. Agentūra turėtų padėti Komisijai ir valstybėms narėms keistis nuomonėmis su sektoriaus atstovais, kad būtų sprendžiamos techninės ir programinės įrangos saugumo problemos, ir taip prisidėti prie bendradarbiavimu grindžiamo požiūrio į tinklų ir informacijos saugumą. (13) Ji turėtų veikti kaip atramos punktas ir įkvėpti pasitikėjimą, būdama nepriklausoma, teikdama kokybiškas konsultacijas ir informaciją, užtikrindama savo procedūrų ir veiklos būdų skaidrumą bei uoliai atlikdama jai paskirtas užduotis. Agentūra turėtų remtis nacionalinėmis ir Europos Sąjungos pastangomis, todėl savo užduotis turėtų atlikti visiškai bendradarbiaudama su valstybėmis narėmis ir būti atvira kontaktams su sektoriaus ir su kitomis suinteresuotosiomis šalimis. Be to, agentūra turėtų remtis privačiojo sektoriaus indėliu ir bendradarbiavimu su juo, nes tai svarbu siekiant apsaugoti elektroninius ryšius, infrastruktūros objektus ir paslaugas. (14) Komisija sukūrė Europos viešojo ir privačiojo sektoriaus partnerystę atsparumui užtikrinti, kuri yra lanksti Europos masto valdymo sistema sprendžiant IRT infrastruktūros atsparumo klausimus; agentūra turėtų padėti vykdyti šios sistemos veiklą sukviesdama viešojo ir privačiojo sektorių suinteresuotąsias šalis, kad šios aptartų viešosios politikos prioritetus, ekonominius ir rinkos uždavinių aspektus bei IRT infrastruktūros atsparumo priemones, ir nustatydama suinteresuotųjų šalių atsakomybę. (15) Agentūra turėtų patarti Komisijai pateikdama, Komisijos prašymu arba savo iniciatyva, nuomones, techninę ir socialinę bei ekonominę analizę, kad padėtų plėtoti tinklų ir informacijos srities politiką. Valstybių narių, Europos institucijų ir įstaigų paprašyta agentūra turėtų padėti joms plėtoti tinklų ir informacijos saugumo politiką ir kurti pajėgumą. (16) Agentūra turėtų padėti valstybėms narėms ir Europos institucijoms sukurti ir stiprinti tarptautines pajėgas ir parengtį užkirsti kelią tinklų ir informacijos saugumo problemoms ir incidentams, juos aptikti, mažinti jų poveikį ir į juos reaguoti; šiuo atžvilgiu agentūra turėtų kurti geresnes sąlygas valstybėms narėms bendradarbiauti tarpusavyje ir su Komisija. Todėl agentūra turėtų aktyviai remti nuolatines valstybių narių pastangas tobulinti savo reagavimo pajėgumą ir organizuoti bei vykdyti nacionalines ir Europos masto saugumo incidentų pratybas. (17) Tvarkant asmens duomenis pagal šį reglamentą, taikoma Direktyva 95/46/EB. (18) Kad geriau suprastų tinklų ir informacijos saugumo srities uždavinius, agentūra turi nagrinėti esamą ir naują riziką. Todėl, bendradarbiaudama su valstybėmis narėmis ir prireikus su statistikos įstaigomis, agentūra turėtų rinkti reikiamą informaciją. Be to, agentūra turėtų padėti valstybėms narėms bei Europos institucijoms ir įstaigoms rinkti, analizuoti ir skleisti tinklų ir informacijos saugumo duomenis. (19) Vykdydama stebėjimo veiklą Europos Sąjungoje, agentūra turėtų padėti Europos Sąjungai ir valstybėms narėms bendradarbiauti vertinant tinklų ir informacijos saugumo būklę Europoje ir drauge su valstybėmis narėmis prisidėti prie vertinimo veiklos. (20) Valstybių narių kompetentingoms institucijoms bendradarbiauti agentūra turėtų padėti, visų pirma, remdama gerosios patirties, švietimo programų standartų ir geresnio informavimo schemų kūrimą ir keitimąsi jais. Valstybėms narėms aktyviau keičiantis informacija, šią veiklą vykdyti bus lengviau. Agentūra taip pat turėtų remti viešojo ir privačiojo sektorių suinteresuotųjų šalių bendradarbiavimą Europos Sąjungos lygiu, be kitų priemonių, skatindama keitimąsi informacija, geresnio informavimo kampanijas ir švietimo bei mokymo programas. (21) Veiksminga saugumo politika ir viešajame, ir privačiajame sektoriuose turėtų būti grindžiama gerai parengtais rizikos vertinimo metodais. Įvairiais lygiais rizikos vertinimo metodai ir procedūros taikomi be bendros jų veiksmingo taikymo praktikos. Viešojo ir privačiojo sektorių organizacijose Europos tinklų ir informacinių sistemų saugumo lygis bus didesnis, jei bus skatinami ir plėtojami geriausi rizikos vertinimo praktikos pavyzdžiai ir sąveikieji rizikos valdymo sprendimai. Todėl viešojo ir privačiojo sektorių suinteresuotųjų šalių bendradarbiavimą agentūra turėtų remti Europos Sąjungos lygiu, kurdama geresnes sąlygas jų pastangoms, susijusioms su rizikos valdymo, taip pat su elektroninių gaminių, sistemų, tinklų ir paslaugų išmatuojamojo saugumo standartų kūrimu ir laikymusi. (22) Veikdama agentūra turėtų remtis vykdomų tyrimų, plėtros ir technologijų vertinimo darbais, visų pirma, pagal įvairias Europos Sąjungos mokslinių tyrimų iniciatyvas vykdomais darbais. (23) Prireikus ir kai yra naudinga taikymo sričiai bei įgyvendinant tikslus ir uždavinius, agentūra turėtų dalytis patirtimi ir bendrojo pobūdžio informacija su įstaigomis ir agentūromis, įsteigtomis pagal Europos Sąjungos teisės aktus ir susijusiomis su tinklų ir informacijos saugumu. (24) Drauge su teisėsaugos institucijomis nagrinėdama su kibernetiniu nusikalstamumu susijusius saugumo aspektus, agentūra naudojasi esamais informacijos kanalais ir sukurtais tinklais, pavyzdžiui, pasiūlytoje Europos Parlamento ir Tarybos direktyvoje dėl atakų prieš informacines sistemas, kuria panaikinamas Tarybos pamatinis sprendimas 2005/222/TVR, nurodyti informaciniai punktai arba Europolo aukštųjų technologijų nusikaltimų tyrimo skyrių vadovų darbo grupė. (25) Kad visiškai pasiektų savo tikslus, agentūra turėtų užmegzti ryšius su teisėsaugos ir privatumo apsaugos institucijomis, siekdama akcentuoti kovos su kibernetiniu nusikalstamumu tinklų ir informacijos saugumo aspektus ir tinkamai į juos atsižvelgti. Šios institucijos turėtų tapti visateisėmis agentūros suinteresuotosiomis šalimis ir turėtų būti atstovaujamos nuolatinėje agentūros suinteresuotųjų šalių grupėje. (26) Tinklų ir informacijos saugumo problemos yra pasaulinio pobūdžio. Būtinas glaudesnis tarptautinis bendradarbiavimas, kad būtų patobulinti saugumo standartai, geriau keičiamasi informacija ir skatinamas pasaulinis požiūris į tinklų ir informacijos saugumo problemas. Todėl agentūra, prireikus veikdama drauge su Europos išorės veiksmų tarnyba, turėtų remti bendradarbiavimą su trečiosiomis šalimis ir tarptautinėmis organizacijomis. (27) Vykdomos agentūros užduotys neturėtų paveikti šių įstaigų kompetencijos (jas vykdydama agentūra neturėtų siekti gauti tų įstaigų įgaliojimų arba užduočių, trukdyti įstaigoms naudotis jų įgaliojimais arba vykdyti jų pareigų arba turėti tokius pačius įgaliojimus arba tokias pačias užduotis): nacionalinės reguliavimo institucijos, kaip nurodyta direktyvose, susijusiose su elektroninių ryšių tinklais ir paslaugomis, taip pat Europos elektroninių ryšių reguliuotojų institucija (BEREC), įsteigta Europos Parlamento ir Tarybos reglamentu (EB) Nr. 1211/2009[27], ir Direktyvoje 2002/21/EB nurodytas Ryšių komitetas; Europos standartizacijos įstaigos; nacionalinės standartizacijos įstaigos; Nuolatinis komitetas, nurodytas 1998 m. birželio 22 d. Europos Parlamento ir Tarybos direktyvoje 98/34/EB, nustatančioje informacijos apie techninius standartus, reglamentus ir informacinės visuomenės paslaugų taisykles teikimo tvarką[28], valstybių narių priežiūros institucijos, susijusios su asmenų apsauga tvarkant asmens duomenis ir vykstant laisvam tokių duomenų judėjimui. (28) Kad agentūra būtų veiksminga, valstybės narės ir Komisija turėtų būti atstovaujamos valdančiojoje taryboje, kuri turėtų nustatyti bendrąją agentūros veiklos kryptį ir užtikrinti, kad savo užduotis agentūra vykdytų pagal šį reglamentą. Valdančiajai tarybai turėtų būti suteikti būtini įgaliojimai sudaryti biudžetą, tikrinti, kaip jis vykdomas, priimti reikiamas finansines taisykles, sukurti skaidrias agentūros sprendimų priėmimo taisykles, priimti agentūros veiklos programą, priimti savo darbo tvarką bei agentūros vidaus darbo tvarką, paskirti vykdantįjį direktorių, nuspręsti dėl jo įgaliojimų pratęsimo arba nutraukimo. Valdančiajai tarybai turėtų būti leista sudaryti darbo grupes, kurios jai padėtų vykdyti užduotis; tokios grupės galėtų, pavyzdžiui, rengti jos sprendimų projektus arba stebėti, kaip jie įgyvendinami. (29) Kad agentūra veiktų sklandžiai, vykdantysis direktorius turi būti skiriamas atsižvelgiant į privalumus ir į dokumentais pagrįstus administracinio ir vadovaujamojo darbo įgūdžius bei kompetenciją, tinklų ir informacijos saugumui svarbią patirtį; savo pareigas, susijusias su agentūros vidaus veiklos organizavimu, jis atlieka visiškai nepriklausomai. Todėl vykdantysis direktorius, pasitaręs su Komisijos tarnybomis, turėtų parengti pasiūlymą dėl agentūros veiklos programos ir imtis visų būtinų veiksmų, kad užtikrintų tinkamą agentūros veiklos programos vykdymą. Jis turėtų kasmet parengti valdančiajai tarybai teikiamos bendrosios ataskaitos projektą, agentūros numatomų pajamų ir išlaidų sąmatos projektą ir įgyvendinti biudžetą. (30) Vykdančiajam direktoriui turėtų būti leista steigti ad hoc darbo grupes konkretiems, visų pirma, moksliniams ar techniniams arba teisiniams ar socialiniams ir ekonominiams klausimams spręsti. Steigdamas ad hoc grupes vykdantysis direktorius turėtų siekti atitinkamų išorės ekspertų įnašo arba remtis tokių ekspertų žiniomis, kad agentūra turėtų prieigą prie naujausios informacijos apie besivystančios informacinės visuomenės keliamus uždavinius. Agentūra turėtų užtikrinti, kad ad hoc darbo grupės nariai būtų išrinkti pagal aukščiausius dalyko žinių standartus ir subalansuotai atstovautų valstybių narių viešojo administravimo institucijoms, privačiajam sektoriui, įskaitant pramonę, vartotojams ir tinklo bei informacijos apsaugos mokslo ekspertams, atsižvelgiant į konkrečius klausimus. Prireikus agentūra, atsižvelgdama į konkretų atvejį, gali kviesti pavienius atitinkamos srities kompetentingus ekspertus dalyvauti darbo grupių veikloje. Jų išlaidas turėtų apmokėti agentūra pagal savo vidaus darbo tvarką ir laikydamasi galiojančių finansinių reglamentų. (31) Agentūroje turėtų būti nuolatinė suinteresuotųjų šalių grupė, veikianti kaip patariamasis organas, siekiant palaikyti nuolatinį dialogą su privačiuoju sektoriumi, vartotojų organizacijomis ir su kitomis atitinkamomis suinteresuotosiomis šalimis. Nuolatinė suinteresuotųjų šalių grupė, kurią vykdančiojo direktoriaus pasiūlymu įsteigia valdančioji taryba, pagrindinį dėmesį turėtų skirti visoms suinteresuotosioms šalims svarbiems klausimams ir atkreipti agentūros dėmesį į tokius klausimus. Prireikus ir vadovaudamasis susirinkimų darbotvarke, vykdantysis direktorius gali kviesti Europos Parlamento ir kitų susijusių institucijų atstovus dalyvauti grupės susirinkimuose. (32) Agentūra veikdama pagal i) subsidiarumo principą užtikrina reikiamą valstybių narių koordinavimą tinklų ir informacijos saugumo srityje ir gerina nacionalinių priemonių efektyvumą, taigi daro jas naudingesnes, o pagal ii) proporcingumo principą – neviršija to, kas būtina šio reglamento tikslams pasiekti. (33) Agentūra turėtų taikyti atitinkamus Europos Sąjungos teisės aktus dėl galimybės visuomenei susipažinti su dokumentais, kaip nustatyta Europos Parlamento ir Tarybos reglamente (EB) Nr. 1049/2001[29], ir dėl asmenų apsaugos tvarkant asmens duomenis, kaip nustatyta 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamente (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo[30]. (34) Įgyvendindama savo veiklos srities tikslus ir vykdydama užduotis, agentūra visų pirma turėtų laikytis Europos institucijoms taikomų nuostatų ir nacionalinių teisės aktų dėl slaptų dokumentų tvarkymo. Valdančioji taryba turėtų turėti įgaliojimus priimti sprendimus, kuriais agentūrai būtų leista dirbti su slapta informacija. (35) Siekiant užtikrinti visišką agentūros autonomiją ir nepriklausomumą, laikoma, kad jai būtina skirti nuosavą biudžetą, kurio pajamas iš esmės sudarytų Europos Sąjungos įnašas ir agentūros darbe dalyvaujančių trečiųjų šalių įnašas. Agentūrą priimančiai valstybei narei arba bet kuriai kitai valstybei narei turėtų būti leidžiama savanorišku įnašu prisidėti prie agentūros pajamų. Kiek tai susiję su iš Europos Sąjungos biudžeto mokamomis subsidijomis, toliau taikoma Europos Sąjungos biudžeto procedūra. Be to, Audito Rūmai turėtų vykdyti apskaitos auditą. (36) Agentūra turėtų pakeisti Reglamentu (EB) Nr. 460/2004 įsteigtą Europos tinklų ir informacijos apsaugos agentūrą. Pagal 2003 m. gruodžio 13 d. Europos Vadovų Tarybos susitikime valstybių narių atstovų priimtą sprendimą agentūrą priimančioji valstybė narė turėtų išlaikyti ir plėtoti esamą praktinę tvarką, kad užtikrintų sklandžią ir veiksmingą agentūros veiklą, atsižvelgdama visų pirma į tai, kad agentūra bendradarbiauja su Komisija, valstybėmis narėmis bei jų kompetentingomis įstaigomis, kitomis Europos Sąjungos institucijomis ir įstaigomis, visos Europos viešojo ir privačiojo sektorių suinteresuotosiomis šalimis ir teikia joms paramą. (37) Agentūra turėtų būti įsteigta ribotam laikotarpiui. Jos veikla turėtų būti vertinama pagal tai, kaip efektyviai pasiekiami tikslai ir ar efektyvi jos darbo praktika, siekiant nustatyti tolesnės agentūros veiklos arba tikslų pagrįstumą; remiantis tokiu vertinimu, turėtų būti nustatyta, ar agentūros veikla turėtų būti pratęsta, PRIĖMĖ ŠĮ REGLAMENTĄ: 1 SKIRSNIS. TAIKYMO SRITIS, TIKSLAI IR UŽDUOTYS 1 STRAIPSNIS Dalykas ir taikymo sritis 1. Šiuo reglamentu įsteigiama Europos tinklų ir informacijos apsaugos agentūra (toliau – agentūra) siekiant padėti užtikrinti aukštą Europos Sąjungos tinklų ir informacijos saugumo lygį, gerinti informavimą, taip pat Europos Sąjungos piliečių, vartotojų, įmonių ir viešojo sektoriaus organizacijų labui formuoti tinklų ir informacijos saugumo kultūrą visuomenėje ir taip prisidėti prie sklandaus vidaus rinkos veikimo. 2. Agentūros tikslai ir užduotys nepažeidžia valstybių narių kompetencijos tinklų ir informacijos saugumo srityje ir jokiu būdu nepažeidžia veiklos, susijusios su visuomenės saugumu, gynyba, valstybės saugumu (įskaitant valstybės ekonominę gerovę, kai klausimai yra susiję su valstybės saugumo reikalais), ir valstybės veiklos baudžiamosios teisės srityse. 3. Šiame reglamente „tinklų ir informacijos saugumas“ – tinklų arba informacinės sistemos pajėgumas tam tikru patikimumo lygiu išlikti atspariems nuo atsitiktinių įvykių ar neteisėtų arba tyčinių veiksmų, kurie keltų pavojų išsaugotų arba perduotų duomenų bei susijusių siūlomų ar per tuos tinklus arba sistemas gaunamų paslaugų prieinamumui, autentiškumui, vientisumui ir slaptumui. 2 straipsnis Tikslai 1. Agentūra padeda Komisijai ir valstybėms narėms laikytis galiojančiais ir būsimais Europos Sąjungos teisės aktais nustatytų tinklų ir informacijos saugumo reikalavimų ir taip padeda užtikrinti sklandų vidaus rinkos veikimą. 2. Agentūra didina Europos Sąjungos ir valstybių narių pajėgumą ir parengtį užkirsti kelią tinklų ir informacijos saugumo problemoms ir incidentams, juos atpažinti ir į juos reaguoti. 3. Agentūra sukuria ir išlaiko aukštą dalyko žinių lygį ir naudojasi šiomis žiniomis siekdama skatinti platų dalyvių iš viešojo ir privačiojo sektorių bendradarbiavimą. 3 straipsnis Užduotys 1. Agentūra atlieka šias 1 straipsnyje nustatytos srities užduotis: a) Komisijos paprašyta arba savo iniciatyva padeda Komisijai plėtoti tinklų ir informacijos saugumo politiką, pateikdama jai nuomones, techninę ir socialinę bei ekonominę analizę, taip pat atlikdama perengiamąjį darbą, būtiną kuriant arba atnaujinant Europos Sąjungos tinklų ir informacijos saugumo srities teisės aktus; b) padeda bendradarbiauti valstybėms narėms, taip pat valstybėms narėms ir Komisijai, siekiančioms tarpvalstybinėmis pastangomis užkirsti kelią tinklo ir informacijos saugumo problemoms, jas atpažinti ir į jas reaguoti; c) padeda valstybėms narėms ir Europos institucijoms bei įstaigoms rinkti, analizuoti ir skleisti tinklų ir informacijos saugumo duomenis; d) bendradarbiaudama su valstybėmis narėmis ir Europos institucijomis, reguliariai vertina tinklų ir informacijos saugumo būklę Europoje; e) padeda bendradarbiauti kompetentingoms valstybės institucijoms, visų pirma remdama jų pastangas kurti gerąją patirtį bei standartus ir keistis jais; f) padeda Europos Sąjungai ir valstybėms narėms skatinti rizikos valdymo ir gerosios saugumo patirties bei standartų, susijusių su elektroniniais gaminiais, sistemomis ir paslaugomis, taikymą; g) remia viešojo ir privačiojo sektorių suinteresuotųjų šalių bendradarbiavimą Europos Sąjungos lygiu, inter alia , skatindama keitimąsi informacija ir geresnį informavimą, kurdama geresnes sąlygas jų pastangoms parengti rizikos valdymo taip pat elektroninių gaminių, sistemų, tinklų ir paslaugų saugumo standartus ir jų laikytis; h) sudaro geresnes sąlygas viešojo ir privačiojo sektorių suinteresuotosioms šalims vykdyti dialogą ir keistis gerąja tinklų ir informacijos saugumo patirtimi, įskaitant kovos su kibernetiniu nusikalstamumu aspektus; padeda Komisijai kurti politiką atsižvelgiant į kovos su kibernetiniu nusikalstamumu tinklų ir informacijos saugumo aspektus; i) valstybių narių, Europos institucijų ir įstaigų paprašyta, agentūra padeda joms kurti tinklų ir informacijos saugumo srities atpažinimo, analizės ir reagavimo pajėgumą; j) remia Europos Sąjungos dialogą ir bendradarbiavimą su trečiosiomis šalimis ir tarptautinėmis organizacijomis, prireikus drauge su Europos išorės veiksmų tarnyba, kad skatintų tarptautinį bendradarbiavimą ir formuotų bendrą pasaulinį požiūrį į tinklų ir informacijos saugumo problemas; k) vykdo Europos Sąjungos teisės aktais jai paskirtas užduotis. 2 SKIRSNIS. ORGANIZACIJA 4 STRAIPSNIS Agentūros valdymo organai Agentūrą sudaro: a) valdančioji taryba, b) vykdantysis direktorius ir darbuotojai, taip pat c) nuolatinė suinteresuotųjų šalių grupė. 5 straipsnis Valdančioji taryba 1. Valdančioji taryba nustato bendrą agentūros veiklos kryptį ir užtikrina, kad agentūra veiktų pagal šiame reglamente nustatytas taisykles ir principus. Ji taip pat užtikrina, kad agentūros veikla būtų suderinama su valstybių narių ir Europos Sąjungos lygiu vykdoma veikla. 2. Valdančioji taryba priima su atitinkamomis Komisijos tarnybomis suderintą savo darbo tvarką. 3. Valdančioji taryba priima su atitinkamomis Komisijos tarnybomis suderintą agentūros vidaus darbo tvarką. Šios darbo tvarkos skelbiamos viešai. 4. Valdančioji taryba paskiria vykdantįjį direktorių pagal 10 straipsnio 2 dalį ir gali jį atleisti iš pareigų. Valdančioji taryba naudojasi įgaliojimais taikyti drausmines priemones vykdančiajam direktoriui. 5. Valdančioji taryba priima agentūros veiklos programą pagal 13 straipsnio 3 dalį, o praėjusių metų agentūros veiklos ataskaitą – pagal 14 straipsnio 2 dalį. 6. Valdančioji taryba priima agentūros finansines taisykles. Jos turi atitikti 2002 m. lapkričio 19 d. Komisijos reglamentą (EB, Euratomas) Nr. 2343/2002 dėl finansinio pagrindų reglamento, skirto įstaigoms, minėtoms Tarybos reglamento (EB, Euratomas) Nr. 1605/2002 dėl Europos Bendrijų bendrajam biudžetui taikomo finansinio reglamento[31] 185 straipsnyje, nebent agentūros veiklai konkrečiai reikia tokių taisyklių išimties, kuriai pritarė Komisija. 7. Komisijai pritarus, valdančioji taryba patvirtina reikiamas įgyvendinimo taisykles pagal Tarnybos nuostatų 110 straipsnį. 8. Valdančioji taryba gali steigti iš savo narių sudarytas darbo grupes, kurios jai padėtų vykdyti jos funkcijas, įskaitant sprendimų projektų rengimą ir jų įgyvendinimo stebėjimą. 9. Pasikonsultavusi su Komisijos tarnybomis ir tinkamai informavusi biudžeto valdymo instituciją, valdančioji taryba gali priimti daugiametį darbuotojų politikos planą. 6 straipsnis Valdančiosios tarybos sudėtis 1. Valdančiąją tarybą sudaro po vieną kiekvienos valstybės narės atstovą, trys Komisijos paskirti atstovai bei trys Komisijos paskirti balsavimo teisės neturintys atstovai, iš kurių kiekvienas atstovauja vienai iš šių grupių: a) informacinių ir ryšio technologijų sektoriui, b) vartotojų grupėms, c) moksliniams tinklų ir informacijos saugumo ekspertams. 2. Valdančiosios tarybos nariai ir jų pakaitiniai nariai skiriami atsižvelgiant į tinkamos jų patirties laipsnį bei tinklų ir informacijos saugumo srities kompetenciją. 3. 1 dalies a, b ir c punktuose išvardytų grupių atstovų kadencija – ketveri metai. Kadencija gali būti pratęsta vieną kartą. Jei atstovas nutraukia savo atitinkamos interesų grupės narystę, Komisija į jo vietą skiria kitą atstovą. 7 straipsnis Valdančiosios tarybos pirmininkas Valdančioji taryba iš savo narių trejų metų kadencijai renka pirmininką ir pirmininko pavaduotoją; jie gali būti renkami ir kitai kadencijai. Pirmininko pavaduotojas ex officio pakeičia pirmininką, jei pastarasis negali vykdyti savo pareigų. 8 straipsnis Posėdžiai 1. Valdančiosios tarybos posėdžius sušaukia jos pirmininkas. 2. Į eilinį susirinkimą valdančioji taryba renkasi du kartus per metus. Pirmininkui arba ne mažiau kaip trečdaliui balsavimo teisę turinčių tarybos narių pareikalavus, gali būti kviečiami neeiliniai susirinkimai. 3. Valdančiosios tarybos posėdžiuose vykdantysis direktorius dalyvauja be balsavimo teisės. 9 straipsnis Balsavimas 1. Sprendimus valdančioji taryba priima balsavimo teisę turinčių narių balsų dauguma. 2. Dviejų trečdalių valdančiosios tarybos narių, turinčių balsavimo teisę, dauguma būtina jos darbo tvarkai, agentūros vidaus darbo tvarkai, biudžetui, metinei veiklos programai priimti ir vykdančiajam direktoriui paskirti, pratęsti jo kadenciją arba jį atleisti. 10 straipsnis Vykdantysis direktorius 1. Agentūrai vadovauja vykdantysis direktorius; vykdydamas savo pareigas jis yra nepriklausomas. 2. Vykdantįjį direktorių skiria ir atleidžia valdančioji taryba. Iš Komisijos pasiūlytų kandidatų sąrašo vykdantysis direktorius skiriamas penkeriems metams, atsižvelgiant į jo privalumus ir dokumentais pagrįstus administracinius ir vadybinius įgūdžius, taip pat į konkrečią kompetenciją ir patirtį. Prieš paskyrimą valdančiosios tarybos atrinktas kandidatas gali būti pakviestas padaryti pareiškimą kompetentingame Europos Parlamento komitete ir atsakyti į komiteto narių klausimus. 3. Per devynis mėnesius iki minėto laikotarpio pabaigos Komisija atlieka vertinimą. Komisija visų pirma vertina: - vykdančiojo direktoriaus darbo rezultatus, - agentūros pareigas ir reikalavimus ateinančiais metais. 4. Remdamasi Komisijos pasiūlymu ir atsižvelgdama į vertinimo ataskaitą, ir tik tuo atveju, kai tai pateisinama dėl agentūros pareigų ir reikalavimų, valdančioji taryba gali pratęsti vykdančiojo direktoriaus kadenciją ne daugiau kaip trejiems metams. 5. Apie ketinimą pratęsti vykdančiojo direktoriaus kadenciją valdančioji taryba informuoja Europos Parlamentą. Per mėnesį iki kadencijos pratęsimo vykdantysis direktorius gali būti pakviestas padaryti pranešimą kompetentingame Europos Parlamento komitete ir atsakyti į jo narių klausimus. 6. Jei kadencija nepratęsiama, vykdantysis direktorius toliau eina pareigas, kol paskiriamas naujas vykdantysis direktorius. 7. Vykdantysis direktorius atsako už: a) kasdieninį agentūros administravimą, b) veiklos programų ir valdančiosios tarybos priimtų sprendimų įgyvendinimą, c) užtikrinimą, kad savo veiklą agentūra vykdytų pagal jos paslaugų naudotojų reikalavimus, visų pirma atsižvelgiant į teikiamų paslaugų pakankamumą, d) visus konkrečius su darbuotojais susijusius klausimus, kad būtų užtikrinta valdančiosios tarybos bendrųjų nurodymų ir jos bendrojo pobūdžio sprendimų atitiktis, e) kontaktų su kitomis Europos institucijomis ir įstaigomis plėtrą ir palaikymą, f) kontaktų su verslo bendruomene ir vartotojų organizacijomis plėtojimą ir palaikymą, kad būtų užtikrintas nuolatinis dialogas su atitinkamomis suinteresuotosiomis šalimis, g) kitas šiuo reglamentu jam nustatytas užduotis. 8. Prireikus ir atsižvelgdamas į agentūros tikslus ir uždavinius, vykdantysis direktorius gali kurti ekspertų ad hoc darbo grupes. Valdančiajai tarybai pranešama iš anksto. Ad hoc darbo grupių kūrimo, ekspertų paskyrimo vykdančiojo direktoriaus sprendimu ir šių grupių veiklos taisyklės išsamiai išdėstomos agentūros vidaus darbo tvarkoje. 9. Prireikus vykdantysis direktorius valdančiajai tarybai skiria administracijos pagalbinių darbuotojų ir kitų išteklių. 11 straipsnis Nuolatinė suinteresuotųjų šalių grupė 1. Valdančioji taryba vykdančiojo direktoriaus siūlymu įsteigia nuolatinę suinteresuotųjų šalių grupę, sudarytą iš specialistų, atstovaujančių atitinkamoms suinteresuotosioms šalims, pavyzdžiui, informacinių ir ryšių technologijų sektoriui, vartotojų grupėms, moksliniams tinklų ir informacijos saugumo ekspertams ir privatumo apsaugos institucijoms. 2. Agentūros vidaus darbo tvarkoje nustatomos ir paskelbiamos procedūros, visų pirma, susijusios su šios grupės narių skaičiumi, sudėtimi, valdančiosios tarybos vykdomu narių paskyrimu, vykdančiojo direktoriaus pasiūlymu ir grupės veikla. 3. Grupei pirmininkauja vykdantysis direktorius. 4. Grupės narių kadencija – dveji su puse metų. Valdančiosios tarybos nariai negali būti grupės nariais. Komisijos darbuotojai turi teisę dalyvauti grupės posėdžiuose ir jos veikloje. 5. Grupė pataria agentūrai veiklos klausimais. Grupė, visų pirma, pataria vykdančiajam direktoriui dėl agentūros veiklos programos rengimo ir dėl to, kaip užtikrinti ryšius su atitinkamomis suinteresuotosiomis šalimis visais su veiklos programa susijusiais klausimais. 3 SKIRSNIS. VEIKLA 12 STRAIPSNIS Veiklos programa 1. Agentūra laikosi savo veiklos programos, kurioje numatyta visa jos planuojama veikla. Veiklos programa neužkerta kelio agentūrai imtis nenumatytos veiklos, kuri atitinka jos tikslus ir užduotis ir neviršija biudžeto ribų. Apie veiklos programoje nenumatytą agentūros veiklą vykdantysis direktorius informuoja valdančiąją tarybą. 2. Vykdantysis direktorius atsako už tai, kad pasitarus su Komisijos tarnybomis būtų parengtas agentūros veiklos programos projektas. Kasmet iki kovo 15 d. vykdantysis direktorius valdančiajai tarybai pateikia kitų metų veiklos programos projektą. 3. Kasmet iki lapkričio 30 d. valdančioji taryba, tardamasi su Komisijos tarnybomis, priima kitų metų agentūros veiklos programą. Veiklos programoje yra daugiametės prognozės. Valdančioji taryba užtikrina, kad veiklos programa atitiktų agentūros tikslus ir Europos Sąjungos teisės aktų leidimo ir politikos prioritetus tinklų ir informacijos saugumo srityje. 4. Veiklos programa sudaroma pagal veikla grindžiamo valdymo principą. Veiklos programa atitinka agentūros pajamų ir išlaidų sąmatą ir agentūros tų pačių finansinių metų biudžetą. 5. Valdančiajai tarybai priėmus veiklos programą, vykdantysis direktorius šią programą nusiunčia Europos Parlamentui, Tarybai, Komisijai ir valstybėms narėms bei ją paskelbia. 13 straipsnis Bendroji ataskaita 1. Kasmet vykdantysis direktorius valdančiajai tarybai pateikia praėjusių metų agentūros veiklos bendrąją ataskaitą. 2. Kasmet iki kovo 31 d. valdančioji taryba priima praėjusių metų agentūros veiklos bendrąją ataskaitą. 3. Valdančiajai tarybai priėmus agentūros bendrąją ataskaitą, vykdantysis direktorius šią ataskaitą nusiunčia Europos Parlamentui, Tarybai, Komisijai, Audito Rūmams, Europos ekonomikos ir socialinių reikalų komitetui ir Regionų komitetui bei ją paskelbia. 14 straipsnis Agentūrai teikiami prašymai 1. Agentūros tikslus ir užduotis atitinkantys patarimo ir pagalbos prašymai siunčiami vykdančiajam direktoriui; prie jų pridedama papildoma aiškinamoji spręstinų klausimų informacija. Vykdantysis direktorius valdančiajai tarybai praneša apie gautus prašymus, o tinkamu laiku – apie tai, kokių tolesnių priemonių imtasi dėl prašymų. Jei agentūra atsisako priimti prašymą, atsisakymas pagrindžiamas. 2. 1 dalyje nurodytus prašymus gali pateikti: a) Europos Parlamentas, b) Taryba, c) Komisija, d) bet kuri valstybės narės paskirta kompetentinga institucija, pavyzdžiui, nacionalinė reguliavimo institucija, kaip apibrėžta Direktyvos 2002/21/EB 2 straipsnyje. 3. Praktinę 1 ir 2 dalies taikymo tvarką, visų pirma, prašymo pateikimo, jo nagrinėjimo pirmenybės, paskesnių priemonių ir valdančiosios tarybos informavimo apie agentūrai pateiktus prašymus tvarką, nustato valdančioji taryba agentūros vidaus darbo tvarkoje. 15 straipsnis Interesų deklaravimas 1. Vykdantysis direktorius ir valstybių narių laikinai deleguotieji pareigūnai pateikia rašytinę įsipareigojimų deklaraciją ir rašytinę deklaraciją, iš kurios būtų aišku, kad jie neturi jokių tiesioginių arba netiesioginių interesų, kurie galėtų neigiamai paveikti jų nepriklausomumą. 2. Ad hoc darbo grupėse dalyvaujantys išorės ekspertai kiekviename posėdyje deklaruoja visus su darbotvarkėje numatytais klausimais susijusius interesus, kurie galėtų neigiamai paveikti jų nepriklausomumą, ir nedalyvauja diskusijose tais klausimais. 16 straipsnis Skaidrumas 1. Agentūra užtikrina, kad jos veikla būtų itin skaidri ir būtų vykdoma pagal 13 ir 14 straipsnius. 2. Agentūra užtikrina, kad visuomenė ir suinteresuotosios šalys gautų objektyvią, patikimą ir lengvai prieinamą informaciją, ypač kai ji susijusi su agentūros darbo rezultatais. Agentūra nuolat viešai skelbia vykdančiojo direktoriaus ir valstybių narių laikinai deleguotųjų pareigūnų pateiktas interesų deklaracijas kartu su ekspertų interesų deklaracijomis, pateiktomis dėl ad hoc darbo grupių susirinkimų darbotvarkės klausimų. 3. Valdančioji taryba, vadovaudamasi vykdančiojo direktoriaus siūlymu, gali leisti suinteresuotoms šalims stebėti, kaip vykdoma tam tikra agentūros veikla. 4. Savo vidaus darbo tvarkoje agentūra nustato praktines priemones 1 ir 2 dalyse nurodytoms skaidrumo taisyklėms įgyvendinti. 17 straipsnis Konfidencialumas 1. Nepažeisdama 14 straipsnio, agentūra neatskleidžia trečiosioms šalims duomenų, kuriuos ji tvarko arba gauna ir kuriuos prašoma laikyti konfidencialiais. 2. Valdančiosios tarybos nariams, vykdančiajam direktoriui, nuolatinės suinteresuotųjų šalių grupės nariams, ad hoc darbo grupių išorės ekspertams, agentūros darbuotojams, įskaitant valstybių narių laikinai deleguotuosius pareigūnus, taikomi konfidencialumo reikalavimai pagal Sutarties 339 straipsnį, net jei jų pareigų laikas baigėsi. 3. Savo vidaus darbo tvarkoje agentūra nustato praktines priemones 1 ir 2 dalyse nurodytoms konfidencialumo taisyklėms įgyvendinti. 4. Valdančioji taryba gali nuspręsti leisti agentūrai tvarkyti slaptą informaciją. Tokiu atveju valdančioji taryba priima su atitinkamomis Komisijos tarnybomis suderintas vidaus veiklos taisykles, kaip taikyti 2001 m. lapkričio 29 d. Komisijos sprendime 2001/844/EB, EAPB, Euratomas, iš dalies keičiančiame jos darbo tvarkos taisykles[32], nustatytus saugumo principus. Tai apima, inter alia , įslaptintos informacijos tvarkymo ir saugojimo bei keitimosi ja nuostatas. 18 straipsnis Galimybė susipažinti su dokumentais 1. Agentūros saugomiems dokumentams taikomas Reglamentas (EB) Nr. 1049/2001. 2. Valdančioji taryba per šešis mėnesius nuo agentūros įsteigimo patvirtina Reglamento (EB) Nr. 1049/2001 įgyvendinimo priemones. 3. Sprendimai, kuriuos priima agentūra pagal Reglamento (EB) Nr. 1049/2001 8 straipsnį, gali tapti skundo ombudsmenui ar Europos Sąjungos Teisingumo Teismui pateikto ieškinio dalyku atitinkamai pagal Sutarties 228 ir 263 straipsnius. 4 SKIRSNIS. FINANSINĖS NUOSTATOS 19 STRAIPSNIS Biudžeto priėmimas 1. Agentūros pajamas sudaro įnašas iš Europos Sąjungos biudžeto, agentūros veikloje dalyvaujančių trečiųjų šalių įnašas, kaip numatyta 29 straipsnyje, ir valstybių narių įnašas. 2. Agentūros išlaidas sudaro darbuotojų, administracinės ir techninės pagalbos, infrastruktūros ir veiklos išlaidos, taip pat išlaidos, atsirandančios dėl sutarčių, sudarytų su trečiosiomis šalimis. 3. Kasmet ne vėliau kaip iki kovo 1 d. vykdantysis direktorius parengia agentūros ateinančių finansinių metų pajamų ir išlaidų sąmatos projektą ir perduoda jį valdančiajai tarybai kartu su etatų plano projektu. 4. Pajamos ir išlaidos turi būti subalansuotos. 5. Valdančioji taryba, vadovaudamasi vykdančiojo direktoriaus sudarytu pajamų ir išlaidų sąmatos projektu, kasmet parengia agentūros ateinančių finansinių metų pajamų ir išlaidų sąmatą. 6. Šią pajamų ir išlaidų sąmatą, į kurią taip pat įtraukiamas etatų plano projektas ir išankstinė veiklos programa, valdančioji taryba ne vėliau kaip iki kovo 31 d. pateikia Komisijai ir valstybėms, su kuriomis Europos Sąjunga yra sudariusi sutartis pagal 24 straipsnį. 7. Komisija šią sąmatą ir Europos Sąjungos bendrojo biudžeto projektą perduoda Europos Parlamentui ir Tarybai (kartu toliau – biudžeto valdymo institucija). 8. Pagal šią sąmatą Komisija į bendrojo Europos Sąjungos biudžeto projektą įtraukia, jos manymu, etatų planui būtinų lėšų sąmatas ir subsidijų iš bendrojo biudžeto, kurį ji pagal Sutarties 314 straipsnį pateikia biudžeto valdymo institucijai, sumą. 9. Biudžeto valdymo institucija leidžia skirti agentūrai subsidijos asignavimus. 10. Biudžeto valdymo institucija patvirtina agentūros etatų planą. 11. Valdančioji taryba agentūros biudžetą priima kartu su veiklos programa. Jis tampa galutinis galutinai priėmus bendrąjį Europos Sąjungos biudžetą. Prireikus valdančioji taryba tikslina agentūros biudžetą ir veiklos programą pagal bendrąjį Europos Sąjungos biudžetą. Valdančioji taryba nedelsdama pateikia biudžetą Komisijai ir biudžeto valdymo institucijai. 20 straipsnis Kova su sukčiavimu 1. Siekiant kovoti su sukčiavimu, korupcija ir kita neteisėta veikla, be apribojimų taikomas 1999 m. gegužės 25 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1073/1999 dėl Europos kovos su sukčiavimu tarnybos (OLAF) atliekamų tyrimų[33]. 2. Agentūra prisijungia prie 1999 m. gegužės 25 d. Europos Parlamento ir Europos Sąjungos Tarybos bei Europos Bendrijų Komisijos tarpinstitucinio susitarimo dėl Europos kovos su sukčiavimu tarnybos (OLAF) atliekamų vidaus tyrimų[34] ir nedelsdama išleidžia visiems agentūros darbuotojams taikomas susijusias nuostatas. 21 straipsnis Biudžeto įgyvendinimas 1. Agentūros biudžetą įgyvendina vykdantysis direktorius. 2. Komisijos vidaus auditoriaus įgaliojimai agentūros atžvilgiu yra tokie patys kaip Komisijos departamentų atžvilgiu. 3. Ne vėliau kaip kovo 1 d. po kiekvienų finansinių metų agentūros apskaitos pareigūnas Komisijos apskaitos pareigūnui nusiunčia preliminarias finansines agentūros ataskaitas kartu su tų finansinių metų biudžeto ir finansų valdymo ataskaita. Pagal 2002 m. birželio 25 d. Tarybos reglamento (EB, Euratomas) Nr. 1605/2002 dėl Europos Bendrijų bendrajam biudžetui taikomo finansinio reglamento[35] (toliau – finansinis reglamentas) 128 straipsnį Komisijos apskaitos pareigūnas konsoliduoja preliminarias institucijų ir decentralizuotų įstaigų finansines ataskaitas. 4. Ne vėliau kaip kovo 31 d. po kiekvienų finansinių metų Komisijos apskaitos pareigūnas preliminarias finansines agentūros ataskaitas kartu su tų finansinių metų biudžeto ir finansų valdymo ataskaita nusiunčia Audito Rūmams. Finansinių metų biudžeto ir finansų valdymo ataskaita taip pat nusiunčiama biudžeto valdymo institucijai. 5. Gavęs Audito Rūmų pastabas dėl preliminarių finansinių agentūros ataskaitų ir laikydamasis bendrojo finansinio reglamento 129 straipsnio nuostatų, vykdantysis direktorius, prisiimdamas atsakomybę, parengia galutines finansines agentūros ataskaitas ir pateikia jas valdančiajai tarybai, kad ši pareikštų nuomonę. 6. Valdančioji taryba pareiškia nuomonę dėl galutinių finansinių agentūros ataskaitų. 7. Ne vėliau kaip liepos 1 d. po kiekvienų finansinių metų vykdantysis direktorius galutines finansines agentūros ataskaitas kartu su valdančiosios tarybos nuomone perduoda Europos Parlamentui, Tarybai, Komisijai ir Audito Rūmams. 8. Vykdantysis direktorius paskelbia galutines finansines ataskaitas. 9. Ne vėliau kaip rugsėjo 30 d. vykdantysis direktorius nusiunčia Audito Rūmams atsakymą dėl jų pateiktų pastabų. Šį atsakymą jis taip pat siunčia valdančiajai tarybai. 10. Europos Parlamento prašymu vykdantysis direktorius jam pateikia visą informaciją, kurios reikia sklandžiai sprendimo dėl atitinkamų finansinių metų biudžeto įvykdymo priėmimo procedūrai pagal bendrojo finansinio reglamento 146 straipsnio 3 dalį. 11. Gavęs Tarybos rekomendaciją, Europos Parlamentas iki N+2 metų balandžio 30 d. patvirtina, kad N metų biudžetą vykdantysis direktorius įvykdė. 5 SKIRSNIS. BENDROSIOS NUOSTATOS 22 STRAIPSNIS Teisinis statusas 1. Agentūra yra Europos Sąjungos įstaiga. Ji turi juridinio asmens statusą. 2. Kiekvienoje valstybėje narėje agentūrai suteikiamas pagal jų teisės aktus juridiniams asmenims taikomas didžiausias teisnumas. Visų pirma, agentūra gali įsigyti kilnojamojo ir nekilnojamojo turto ir juo disponuoti, taip pat būti teismo proceso šalimi. 3. Agentūrai atstovauja jos vykdantysis direktorius. 23 straipsnis Darbuotojai 1. Agentūros darbuotojams, įskaitant vykdantįjį direktorių, taikomos Europos Sąjungos pareigūnų ir kitų darbuotojų taisyklės ir nuostatos. 2. Vykdančiojo direktoriaus atžvilgiu valdančioji taryba naudojasi įgaliojimais, kurie pagal Tarnybos nuostatus suteikiami paskyrimų tarnybai ir kurie pagal įdarbinimo sąlygas suteikiami institucijai, turinčiai teisę sudaryti sutartis. 3. Agentūros darbuotojų atžvilgiu vykdantysis direktorius naudojasi įgaliojimais, kurie pagal Tarnybos nuostatus suteikiami paskyrimų tarnybai ir kurie pagal įdarbinimo sąlygas suteikiami institucijai, turinčiai teisę sudaryti sutartis. 4. Agentūra gali įdarbinti valstybių narių deleguotus nacionalinius ekspertus. Savo vidaus veiklos taisyklėse agentūra nustato tam įgyvendinti būtinas praktines priemones. 24 straipsnis Privilegijos ir imunitetas Agentūrai ir jos darbuotojams taikomas Europos Bendrijų protokolas dėl privilegijų ir imuniteto. 25 straipsnis Atsakomybė 1. Agentūros sutartinė atsakomybė reglamentuojama atitinkamai sutarčiai taikytina teise. Europos Sąjungos Teisingumo Teismo jurisdikcijai priklauso priimti sprendimus pagal bet kurią agentūros sudarytos sutarties arbitražinę išlygą. 2. Nesutartinės atsakomybės atveju agentūra pagal bendrus valstybių narių įstatymams būdingus principus atlygina žalą, kurią vykdydama savo pareigas padaro ji pati arba jos tarnautojai. Teisingumo Teismas turi jurisdikciją spręsti ginčus dėl tokios žalos atlyginimo. 3. Asmeninė tarnautojų atsakomybė agentūrai reguliuojama atitinkamomis agentūros personalui taikomomis nuostatomis. 26 straipsnis Kalbos 1. Agentūrai taikomos 1958 m. balandžio 15 d. Reglamento Nr. 1, nustatančio kalbas, kurios turi būti vartojamos Europos ekonominėje bendrijoje[36], nuostatos. Valstybės narės ir kitos jų paskirtos institucijos į agentūrą gali kreiptis ir atsakymą gauti jų pasirinkta Europos Sąjungos kalba. 2. Agentūros veiklai reikalingas vertimo paslaugas teikia Europos Sąjungos įstaigų vertimo centras. 27 straipsnis Asmens duomenų apsauga Tvarkydama asmens duomenis agentūra laikosi Reglamento (EB) Nr. 45/2001 nuostatų. 28 straipsnis Trečiųjų šalių dalyvavimas 1. Agentūra pasirengusi bendradarbiauti su trečiosiomis šalimis, su Europos Sąjunga sudariusiomis susitarimus, kuriais remdamosi jos priėmė ir taiko šiame reglamente apibrėžtos srities Europos Sąjungos teisės aktus. 2. Pagal taikomas šių susitarimų nuostatas susitariama ir nurodoma, visų pirma, tų šalių dalyvavimo agentūros veikloje esmė, mastas ir būdai, įskaitant nuostatas, susijusias su dalyvavimu agentūros įgyvendinamose iniciatyvose, finansiniu įnašu ir darbuotojais. 6 SKYRIUS. BAIGIAMOSIOS NUOSTATOS 29 STRAIPSNIS Peržiūros nuostata 1. Per trejus metus nuo 34 straipsnyje nurodytos įsteigimo dienos Komisija, atsižvelgdama į visų atitinkamų suinteresuotųjų šalių nuomones ir remdamasi su valdančiąja taryba sutartais įgaliojimais, atlieka vertinimą. Vertinime nustatomas agentūros poveikis ir veiksmingumas siekiant 2 straipsnyje išvardytų tikslų ir agentūros darbo metodų veiksmingumas. Komisija vertinimą atlieka pirmiausia tam, kad nustatytų, ar agentūra tebėra veiksminga priemonė ir ar agentūra turėtų veikti ilgiau nei 34 straipsnyje nustatytą laikotarpį. 2. Vertinimo rezultatus Komisija perduoda Europos Parlamentui ir Tarybai, ir jie paskelbiami. 3. Valdančioji taryba gauna vertinimą ir pateikia Komisijai rekomendacijas dėl šio reglamento, agentūros ir jos darbo metodų pakeitimų. Valdančioji taryba ir vykdantysis direktorius atsižvelgia į vertinimo rezultatus sudarydami daugiametį agentūros veiklos planą. 30 straipsnis Bendradarbiavimas su priimančia valstybe nare Agentūrą priimanti valstybė narė užtikrina geriausias galimas sąlygas agentūrai sklandžiai ir efektyviai veikti. 31 straipsnis Administracinė kontrolė Agentūros veiklą pagal Sutarties 228 straipsnį prižiūri ombudsmenas. 32 straipsnis Panaikinimas ir tęstinumas 1. Reglamentas (EB) Nr. 460/2004 panaikinamas. Nuorodos į Reglamentą (EB) Nr. 460/2004 ir į Europos tinklų ir informacijos apsaugos agentūrą (ENISA) laikomos nuorodomis į šį reglamentą ir agentūrą. 2. Agentūra perima visą Reglamentu (EB) Nr. 460/2004 įsteigtos agentūros nuosavybę, susitarimus, teisinius įpareigojimus, darbo sutartis, finansinius įsipareigojimus ir prievoles. 33 straipsnis Trukmė Agentūra įsteigiama [...] penkeriems metams. 34 straipsnis Įsigaliojimas Šis reglamentas įsigalioja kitą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje ir taikomas nuo 2012 m. kovo 14 d. arba nuo jo paskelbimo dienos, jei ši diena vėlesnė. Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse. Priimta [...] Europos Parlamento vardu Tarybos vardu Pirmininkas Pirmininkas FINANSINĖ TEISĖS AKTO PASIŪLYMO PAŽYMA 1. PASIŪLYMO/INICIATYVOS STRUKTŪRA 1.1. Pasiūlymo/iniciatyvos pavadinimas Pasiūlymas dėl Europos Parlamento ir Tarybos reglamento dėl Europos tinklų ir informacijos apsaugos agentūros (ENISA) 1.2. Atitinkama (-os) politikos sritis (-ys) VGV ir VGB sistemoje [37] Informacinė visuomenė ir žiniasklaida. Skaitmeninės darbotvarkės reguliavimo sistema 1.3. Pasiūlymo/iniciatyvos pobūdis ( Pasiūlymas/iniciatyva susijęs (-usi) su nauja priemone ( Pasiūlymas/iniciatyva susijęs (-usi) su nauja priemone, kuri bus priimta įgyvendinus bandomąją schemą arba parengiamuosius veiksmus[38] ( Pasiūlymas/iniciatyva susijęs (-usi) su esamos priemonės pratęsimu ( Pasiūlymas/iniciatyva susijęs (-usi) su priemone, perorientuota į naują priemonę 1.4. Tikslai 1.4.1. Pasiūlyme/iniciatyvoje nurodytas (-i) Komisijos daugiametis (-čiai) strateginis (-iai) tikslas (-ai) Suderinti reguliavimo metodai: Komisijai ir valstybėms narėms nustatyti gaires ir teikti patarimus, kad būtų atnaujinta ir plėtojama bendra tinklų ir informacijos saugumo srities normų sistema. Prevencija, atpažinimas ir reagavimas: prisidėti prie Europos ankstyvojo atpažinimo ir reagavimo į incidentus pajėgumo, visos Europos nepaprastųjų situacijų planų ir pratybų ir taip gerinti parengtį. Mokslinio politikos pagrindo stiprinimas: teikti pagalbą ir patarimus Komisijai ir valstybėms narėms, kad visoje Europos Sąjungoje būtų pasiektas aukštas tinklų ir informacijos saugumo žinių ir jų taikymo sektoriaus suinteresuotosioms šalims lygis. Šiems dalykams priskiriamas duomenų, susijusių su tinklų ir informacijos saugumo pažeidimo ekonominiais aspektais ir poveikiu, generavimas, analizė ir pateikimas, taip pat suinteresuotųjų šalių skatinimas investuoti į tinklų ir informacijos saugumo priemones, rizikos nustatymas, tinklų ir informacijos saugumo būklės rodikliai Europos Sąjungoje ir t. t. Didesnis suinteresuotųjų šalių savarankiškumas: saugumo ir rizikos valdymo kultūrą kurti skatinant viešojo ir privačiojo sektorių subjektus dalytis informacija ir plačiai bendradarbiauti, be kitų dalykų, siekiant tiesioginės naudos piliečiams ir siekiant kurti tinklų ir informacijos saugumo sąmoningumo kultūrą. Europos apsauga nuo tarptautinės grėsmės: užtikrinti ypač glaudų bendradarbiavimą su trečiosiomis šalimis ir tarptautinėmis organizacijomis siekiant propaguoti bendrą pasaulinį požiūrį į tinklų ir informacijos saugumą ir suteikti impulsą aukšto lygio tarptautinėms iniciatyvoms Europoje. Bendro įgyvendinimo priemonės: sukurti geresnes sąlygas tinklų ir informacijos saugumo politikos kryptis įgyvendinti bendradarbiaujant. Kova su kibernetiniu nusikalstamumu: kovos su kibernetiniu nusikalstamumu tinklų ir informacijos saugumo aspektus integruoti į viešojo ir privačiojo sektorių suinteresuotųjų šalių diskusijas ir keitimąsi gerąja patirtimi, visų pirma, bendradarbiaujant su (buvusiomis) antrojo ir trečiojo ramsčių institucijomis, pavyzdžiui, Europolu. 1.4.2. Konkretus (-ūs) tikslas (-ai) ir atitinkama VGV/VGB veikla ... konkretus tikslas Didinti tinklų ir informacijos saugumą; piliečių, vartotojų, verslo ir viešojo sektoriaus organizacijų labui sukurti tinklų ir informacijos saugumo kultūrą ir nustatyti politikos klausimus, kurie kils dėl būsimų tinklų ir interneto. Atitinkama VGV/VGB veikla Elektroninių ryšių politika ir tinklo saugumas 1.4.3. Numatomas (-i) rezultatas (-ai) ir poveikis Tikimasi šio ekonominio iniciatyvos poveikio: - daugiau informacijos apie esamus ir būsimus uždavinius, taip pat apie saugumo ir atsparumo riziką, - nesidubliuos valstybių narių pastangos surinkti reikiamą informaciją apie riziką, grėsmę ir pažeidžiamumą, - už politinius sprendimus atsakingi asmenys sprendimus priims turėdami daugiau informacijos, - tinklų ir informacijos saugumo politikos nuostatos valstybėse narėse bus kokybiškesnės dėl gerosios patirties sklaidos, - reagavimo į incidentus ES lygiu masto ekonomija, - Europos Sąjungos lygiu nustačius bendrus politikos tikslus ir saugumo bei atsparumo standartus bus daugiau investicijų, - mažesnė įmonių veiklos rizika, užtikrinamas didesnis saugumo ir atsparumo lygis, - geriau suderintos priemonės kovoti su kibernetiniu nusikalstamumu. Tikimasi šio socialinio iniciatyvos poveikio: - didesnis pasitikėjimas informacinės visuomenės paslaugomis ir sistemomis, - didesnis pasitikėjimas ES vidaus rinkos veikimu užtikrinus didesnį vartotojų apsaugos lygį, - informacija ir žiniomis aktyviau keičiamasi su Europos Sąjungai nepriklausančiomis valstybėmis, - pagrindinės žmogaus teisės geriau saugomos užtikrinus vienodą ES piliečių asmens duomenų ir privatumo apsaugos lygį. Tikėtinas poveikis aplinkai minimalus: - aplinka mažiau teršiama anglies dioksidu, pavyzdžiui, labiau pasikliaujant informacinėmis ir ryšių sistemomis ir paslaugomis, naudotis transportu tenka mažiau; taip dėl saugumo įpareigojimų įgyvendinimo masto ekonomijos suvartojama mažiau elektros energijos. 1.4.4. Rezultatų ir poveikio rodikliai Tikslų stebėjimo rodikliai Darnūs reguliavimo metodai: - valstybių narių, kurios formuodamos politiką naudojosi agentūros rekomendacijomis, skaičius, - tyrimų, kuriais siekta nustatyti tinklų ir informacijos saugumo standartizacijos spragas ir nenuoseklumą, skaičius, - mažesnis valstybių narių tinklų ir informacijos saugumo metodų nuokrypis. Prevencija, atpažinimas ir reagavimas: - organizuotų tinklo saugumo mokymų skaičius, - veikianti ankstyvojo įspėjimo apie naują riziką ir atakas sistema, - agentūros koordinuotų ES lygio tinklų ir informacijos saugumo pratybų skaičius. Mokslinio politikos pagrindo stiprinimas - tyrimų, kuriais siekta surinkti informaciją apie esamą ir būsimą tinklų ir informacijos saugumo riziką ir prevencijos technologijos, skaičius, - konsultacijų su viešojo sektoriaus institucijomis, užsiimančių tinklų ir informacijos saugumo klausimais, skaičius, - sukurti Europos pagrindai organizuoti tinklų ir informacijos saugumo duomenų rinkimą. Didesnis suinteresuotųjų šalių savarankiškumas: - nustatytų sektoriaus gerosios patirties pavyzdžių skaičius, - privačiojo sektoriaus suinteresuotųjų šalių investicijų į saugumo priemones lygis. Europos apsauga nuo tarptautinės grėsmės: - ES valstybių narių konferencijų ir susitikimų, kuriuose siekta nustatyti bendrai sutarus tinklų ir informacijos saugumo tikslus, skaičius, - Europos ir tarptautinių tinklų ir informacijos saugumo ekspertų susitikimų skaičius. Bendradarbiaujamojo įgyvendinimo priemonės: - reglamentavimo atitikties vertinimų skaičius, - ES mastu taikomų tinklų ir informacijos saugumo metodų skaičius. Kova su kibernetiniu nusikalstamumu: - sąveikos su (buvusiomis) antrojo ir trečiojo ramsčių institucijomis reguliarumas, - atvejų, kuriais dalyko žinios teiktos baudžiamuosiuose tyrimuose, skaičius. 1.5. Pasiūlymo/iniciatyvos pagrindas (-ai) 1.5.1. Trumpalaikis (-iai) ir ilgalaikis (-iai) poreikis (-iai) 2004 m. ENISA įsteigta tam, kad užsiimtų tinklų ir informacijos saugumo grėsmių ir galimo paskesnio jo pažeidimo klausimais. Tinklų ir informacijos saugumo uždaviniai keitėsi kartu su technologijomis ir rinka, ir buvo toliau svarstyti ir aptariami, todėl dabar galima atnaujinti nustatytų konkrečių problemų apibūdinimą ir padaryti jį išsamesnį bei paaiškinti, kaip šias problemas veikia kintančios tinklų ir informacijos saugumo ypatybės. 1.5.2. Papildoma ES dalyvavimo nauda Tinklų ir informacijos saugumo problemų neriboja valstybių sienos, todėl jų negalima veiksmingai spręsti vien tik nacionaliniu lygiu. Be to, valdžios institucijos įvairiose valstybėse narėse šią problemą sprendžia labai nevienodai. Šie skirtumai gali būti didelė kliūtis įgyvendinti Europos Sąjungos masto mechanizmus tinklų ir informacijos saugumui Europoje stiprinti. Informacinių ir ryšio technologijų infrastruktūros objektai glaudžiai susiję, todėl vienoje valstybėje narėje taikomoms nacionalinio lygio priemonėms didelio poveikio turės kitose valstybėse narėse taikomos mažesnio lygio priemonės ir sistemingo tarptautinio bendradarbiavimo stoka. Dėl vienoje valstybėje narėje taikomų nepakankamų tinklų ir informacijos saugumo priemonių gali sutrikti paslaugos kitose valstybėse narėse. Be to, kuriant vis daugiau saugumo reikalavimų, visoje Europos Sąjungoje veiklą vykdančioms verslo įmonėms būtų užkrauta sąnaudų našta, suskaidyta Europos vidaus rinka ir joje imtų trūkti konkurencijos. Priklausomumas nuo tinklų ir informacijos sistemų vis didesnis, tačiau pasirengimas imtis priemonių dėl incidentų atrodo nepakankamas. Veikiančios nacionalinės ankstyvojo įspėjimo ir incidentų valdymo sistemos turi reikšmingų trūkumų. Tinklo saugumo incidentų kontrolės ir pranešimo apie juos procesai ir veikla įvairiose valstybėse narėse gerokai skiriasi. Kai kuriose valstybėse procesai nepakankamai įforminti, o kitose valstybėse nėra kompetentingų institucijų, kurios priimtų ir apdorotų incidentų ataskaitas. Nėra Europos sistemų. Tinklų ir informacijos saugumo incidentai gali iš esmės sutrikdyti būtiniausių dalykų tiekimą, todėl turėtų būti parengtos tinkamos reagavimo priemonės. Komisijos komunikate dėl ypatingos svarbos informacinės infrastruktūros apsaugos taip pat pabrėžiama, kad būtinas Europos ankstyvojo įspėjimo ir reagavimo į incidentus pajėgumas, kuris galėtų būti paremtas Europos masto pratybomis. Akivaizdu, kad reikia politikos priemonių, kuriomis būtų kuo anksčiau nustatomi tinklų ir informacijos saugumo pavojai ir pažeidžiamumas, nustatomi reikiami reagavimo mechanizmai (pavyzdžiui, nustatant ir skleidžiant gerąją patirtį) ir užtikrinama, kad suinteresuotosios šalys žinotų apie reagavimo mechanizmus ir juos taikytų. 1.5.3. Panašios patirties išvados Žr. 1.5.1 ir 1.5.2 punktus. 1.5.4. Suderinamumas ir galima sąveika su kitomis atitinkamomis priemonėmis Ši iniciatyva visiškai dera su bendra diskusija dėl tinklų ir informacijos saugumo, taip pat kitomis politikos iniciatyvomis, kurių svarbiausias dalykas – tinklų ir informacijos saugumo ateitis. Ji yra viena iš svarbiausių Europos skaitmeninės darbotvarkės sudedamųjų dalių; ši darbotvarkė – viena iš pagrindinių strategijos „Europa 2020“ iniciatyvų. 1.6. Trukmė ir finansinis poveikis ( Pasiūlymo/iniciatyvos trukmė ribota - ( Pratęstas penkerių metų laikotarpis prasidės 2012 m. kovo 14 d. arba naujojo reglamento įsigaliojimo dieną, jei ši diena vėlesnė. - ( Finansinis poveikis nuo 2012 iki 2017 m. ( Pasiūlymo/iniciatyvos trukmė neribota - Įgyvendinimo pradinis laikotarpis – nuo MMMM iki MMMM, - po to veikimas visu pajėgumu. 1.7. Numatytas (-i) valdymo būdas (-ai) [39] ( Tiesioginis centralizuotas valdymas , vykdomas Komisijos ( Netiesioginis centralizuotas valdymas , kai vykdymo užduotys perduodamos: - ( vykdomosioms įstaigoms - ( Bendrijų įsteigtoms įstaigoms[40] - ( nacionalinėms viešojo sektoriaus įstaigoms arba viešąsias paslaugas teikiančioms įstaigoms - ( asmenims, atsakingiems už konkrečių veiksmų vykdymą pagal Europos Sąjungos sutarties V antraštinę dalį ir nurodytiems atitinkamame pagrindiniame teisės akte, apibrėžtame Finansinio reglamento 49 straipsniu. ( Pasidalijamasis valdymas kartu su valstybėmis narėmis ( Decentralizuotas valdymas kartu su trečiosiomis šalimis ( Jungtinis valdymas kartu su tarptautinėmis organizacijomis (nurodyti) 2. VALDYMO PRIEMONĖS 2.1. Priežiūros ir atskaitomybės nuostatos Vykdantysis direktorius atsakingas už agentūros veiklos kontrolę ir vertinimą atsižvelgiant į tikslus ir kasmet teikia ataskaitas valdančiajai tarybai. Vykdantysis direktorius parengia bendrąją ataskaitą, kurioje nagrinėjama visa agentūros praėjusių metų veikla ir kurioje visų pirma lyginami pasiekti rezultatai su metinės veiklos programos tikslais. Valdančiosios tarybos priimta ataskaita perduodama Europos Parlamentui, Tarybai, Komisijai, Audito Rūmams, Europos ekonomikos ir socialinių reikalų komitetui bei Regionų komitetui ir paskelbiama. 2.2. Valdymo ir kontrolės sistema 2.2.1. Nustatyta rizika Nuo įsteigimo 2004 m. buvo atliekamas ENISA išorės ir vidaus vertinimas. Pagal ENISA reglamento 25 straipsnį pirmas šio proceso žingsnis buvo nepriklausomas ENISA vertinimas, kurį 2006−2007 m. atliko išorės ekspertų grupė. Išorės ekspertų grupės ataskaitoje[41] patvirtinta, kad pirminės ENISA įsteigimo politinės priežastys ir jos pirminiai tikslai tebėra aktualūs; joje taip pat buvo nurodytos kai kurios spręstinos problemos. 2007 m. kovo mėn. Komisija pateikė vertinimo ataskaitą valdančiajai tarybai, kuri vėliau pateikė savo rekomendacijas dėl agentūros ateities ir dėl ENISA reglamento[42] pakeitimų. 2007 m. birželio mėn. komunikate Europos Parlamentui ir Tarybai[43] Komisija pati įvertino išorės vertinimo rezultatus ir valdančiosios tarybos rekomendacijas. Komunikate nurodyta, kad reikia nuspręsti, ar pratęsti agentūros įgaliojimus, ar ją pakeisti kita struktūra, pavyzdžiui, nuolatiniu suinteresuotųjų šalių forumu arba saugumo organizacijų tinklu. Komunikatu taip pat buvo pradėtos viešosios konsultacijos šiuo klausimu; Europos suinteresuotųjų šalių buvo prašoma atsakyti į klausimus, kurie galėtų būti tolesnių diskusijų gairės[44]. 2.2.2. Numatoma (-os) kontrolė priemonė (-s) Žr. 2.1 ir 2.2.1 punktus. 2.3. Sukčiavimo ir pažeidimų prevencijos priemonės Agentūros darbuotojai tikrina mokėjimus už bet kokią prašomą paslaugą arba tyrimus prieš atliekant tuos mokėjimus, atsižvelgdami į visus sutartinius įsipareigojimus, ekonominius principus ir gerą finansinę arba valdymo praktiką. Nuostatos dėl kovos su sukčiavimu (priežiūra, atskaitomybės reikalavimai ir t. t.) bus įtrauktos į visus agentūros ir mokėjimų gavėjų sudarytus susitarimus ir sutartis. 3. NUMATOMAS PASIŪLYMO/INICIATYVOS FINANSINIS POVEIKIS* 3.1. Paveikta (-os) daugiametės finansinės programos išlaidų kategorija (-os) ir biudžeto išlaidų eilutė (-s) - Esamos išlaidų biudžeto eilutės Daugiametės finansinės programos išlaidų kategorija | Biudžeto eilutė | Išlaidų tipas | Įnašas | Numeris/aprašymas | DA/NDA[45] | iš ELPA šalių[46] | šalių kandidačių[47] | trečiųjų šalių | Pagal Finansinio reglamento 18 straipsnio 1 dalies aa punktą. | 1.a Konkurencingumas augimui ir užimtumui skatinti | 09 02 03 01 Europos tinklų ir informacijos apsaugos agentūra. Subsidija pagal 1 ir 2 antraštines dalis | DA | TAIP | NE | NE | NE | 09 02 03 02 Europos tinklų ir informacijos apsaugos agentūra. Subsidija pagal 3 antraštinę dalį | DA | TAIP | NE | NE | NE | 5 Administracinės išlaidos | 09 01 01 Išlaidos informacinės visuomenės ir žiniasklaidos politikos srityje dirbančiam personalui | NDA | NE | NE | NE | NE | 09 01 02 11 Kitos valdymo išlaidos | NDA | NE | NE | NE | NE | * Į šią finansinę teisės akto pažymą neįtrauktas numatomas pasiūlymo finansinis poveikis po 2007–2013 m. finansinio programavimo laikotarpio. Pagal Komisijos pasiūlymą dėl reglamento, kuriuo būtų nustatyta daugiametė laikotarpio po 2013 m. finansinė programa pasiūlymo, ir atsižvelgdama į poveikio vertinimo išvadas, Komisija pateiks pataisytą finansinę teisės akto pažymą. 3.2. Numatomas poveikis išlaidoms 3.2.1. Numatomo poveikio išlaidoms suvestinė mln. EUR (tūkstantųjų tikslumu) Daugiametės finansinės programos išlaidų kategorija | 1.a | Konkurencingumas augimui ir užimtumui skatinti | Etatų plano pareigybės (pareigūnai ir laikinieji darbuotojai) | XX 01 01 01 (Būstinė ir Komisijos atstovybės) | 3,5 | 3,5 | 3,5 | -- | -- | -- | -- | IŠ VISO | 3,5 | 3,5 | 3,5 | -- | -- | -- | -- | - b) ENISA žmogiškieji ištekliai 2012 m. sausio 1 d. − kovo 13 d. | 2012 m. kovo 14 d. − gruodžio 31 d. | 2013 | 2014 | 2015 | 2016 | 2017 m. sausio 1 d. − kovo 13 d. | ENISA etatų planas (Visos darbo dienos ekvivalento vienetais) | Kiti darbuotojai (Visos darbo dienos ekvivalento vienetais) | Pagal sutartis dirbantys darbuotojai | 13 | 14 | 14 | -- | -- | -- | -- | Deleguotieji nacionaliniai ekspertai | 5 | 5 | 5 | -- | -- | -- | -- | Iš viso darbuotojų | 18 | 19 | 19 | -- | -- | -- | -- | IŠ VISO | 62 | 66 | 66 | -- | -- | -- | -- | Agentūros darbuotojų užduočių aprašas Pareigūnai ir laikinieji tarnautojai | Agentūra ir toliau: vykdys konsultacinę ir koordinavimo funkcijas, rinkdama ir analizuodama su informacijos saugumu susijusius duomenis. Šiuo metu viešosios ir privačiosios organizacijos skirtingais tikslais renka duomenis apie informacinių technologijų incidentus ir kitus informacijos saugumo atžvilgiu svarbius duomenis. Tačiau nėra Europos lygio centralizuoto subjekto, kuris nuosekliai rinktų ir analizuotų duomenis ir teiktų nuomones ir konsultacijas Europos Sąjungos tinklų ir informacijos saugumo politikai paremti; bus kompetencijos centras, į kurį gali kreiptis ir valstybės narės, ir Europos Sąjungos institucijos, pašydamos nuomonės ir konsultacijų su saugumu susijusiais techniniais klausimais; prisidės prie plataus įvairių subjektų bendradarbiavimo informacijos saugumo srityje, pavyzdžiui, remdama stebėjimo veiklą, kuri būtina užtikrinant e. verslo saugumą. Toks bendradarbiavimas bus esminė saugaus tinklų ir informacinių sistemų veikimo Europoje sąlyga. Būtinas visų suinteresuotųjų šalių dalyvavimas; prisidės prie suderinto požiūrio į informacijos saugumą teikdama paramą valstybėms narėms, pavyzdžiui, skatinant susijusią su rizikos vertinimo ir geresnio informavimo veiklos skatinimu; užtikrins tinklų ir informacinių sistemų sąveiką, kai valstybės narės taiko poveikį saugumui turinčius techninius reikalavimus; nustatys atitinkamus standartizavimo poreikius, įvertins esamus saugumo standartus bei sertifikavimo schemas ir skatins kuo platesnį jų naudojimą Europos teisės aktams įgyvendinti; rems tarptautinį šios srities bendradarbiavimą, kurio vis labiau reikia dėl tinklų ir informacijos saugumo pasaulinio pobūdžio. | Išorės personalas | Žr. pirmiau. | - 3.2.4. Suderinamumas su dabartine daugiamete finansine programa - ( Pasiūlymas/iniciatyva atitinka esamą finansinį programavimą. - ( Atsižvelgiant į pasiūlymą/iniciatyvą, reikės pakeisti daugiametės finansinės programos atitinkamos išlaidų kategorijos programavimą. - ( Atsižvelgiant į pasiūlymą/iniciatyvą, reikia taikyti lankstumo priemonę arba patikslinti daugiametę finansinę programą[49]. ES finansavimas po 2013 m. bus išnagrinėtas, kai Komisijoje bus diskutuojama dėl visų laikotarpio po 2013 m. pasiūlymų. Vadinasi, pateikusi pasiūlymą dėl kitos daugiametės finansinės programos, Komisija pateiks pataisytą finansinę teisės akto pažymą, kurioje bus atsižvelgta į poveikio vertinimo išvadas. 3.2.5. Trečiųjų šalių finansinis įnašas - ( Pasiūlyme/iniciatyvoje nenumatyta bendro su trečiosiomis šalimis finansavimo. - ( Pasiūlyme / Iniciatyvoje numatytas bendrasis finansavimas apskaičiuojamas taip: Orientaciniai asignavimai mln. EUR (tūkstantųjų tikslumu) |2012 m. sausio 1 d. − kovo 13 d. |2012 m. kovo 14 d. − gruodžio 31 d. |2013 |2014 |2015 |2016 |2017 m. sausio 1 d.−kovo 13 d. | 2012 m. kovo 14 d. – 2017 m. kovo 13 d. iš viso | |ELPA |0,042 |0,160 |0,206 |-- |-- |-- |-- |-- | | 3.3. Numatomas poveikis pajamoms - ( Pasiūlymas/iniciatyva neturi finansinio poveikio pajamoms. - ( Pasiūlymas/iniciatyva pajamoms turi tokį finansinį poveikį: - ( nuosaviems ištekliams - ( įvairioms pajamoms [1] 2004 m. kovo 10 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 460/2004, įsteigiantis Europos tinklų ir informacijos apsaugos agentūrą (OL L 77, 2004 3 13, p. 1). [2] 2008 m. rugsėjo 24 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1007/2008, iš dalies keičiantis Reglamentą (EB) Nr. 460/2004, įsteigiantį Europos tinklų ir informacijos apsaugos agentūrą, jos veiklos trukmės atžvilgiu (OL L 293, 2008 10 31, p. 1). [3] Viešųjų konsultacijų „Dėl sustiprintos tinklų ir informacijos saugumo politikos Europoje“ (angl. Towards a Strengthened Network and Information Security Policy in Europe ) rezultatų santrauka pateikta prie šio pasiūlymo vertinimo pridedamo poveikio vertinimo 11 priede. [4] COM (2009) 149, 2009 3 30. [5] Diskusijų dokumentas http://www.tallinnciip.eu/doc/discussion_paper_-_tallinn_ciip_conference.pdf. Pirmininkaujančios valstybės narės išvadoshttp://www.tallinnciip.eu/doc/EU_Presidency_Conclusions_Tallinn_CIIP_Conference.pdf. [6] 2009 m. gruodžio 18 d. Tarybos rezoliucija dėl bendradarbiavimu paremto Europos požiūrio į tinklų ir informacijos saugumą (OL C 321, 2009 12 29, p. 1).http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2009:321:0001:0004:EN:PDF. [7] COM (2010) 245, 2010 5 19. [8] 2009 m. gruodžio 18 d. Tarybos rezoliucijoje dėl bendradarbiavimu paremto Europos požiūrio į tinklų ir informacijos saugumą taip pat rašoma, kad „Taryba … pripažįsta … kompiuterinių incidentų tyrimo grupių įsteigimo strateginių pasekmių, rizikos ir perspektyvų ES institucijoms ištyrimo ir būsimo ENISA vaidmens šioje srityje apsvarstymo svarbą“. [9] Žr. poveikio vertinimo XI priedą. [10] Žr. poveikio vertinimo IV priedą. [11] OL C 115, 2008 5 9, p. 94. [12] 2006 m. gegužės 2 d. Europos Teisingumo Teismo sprendimas byloje Nr. C-217/04 Jungtinė Didžiosios Britanijos ir Šiaurės Airijos Karalystė prieš Europos Parlamentą ir Europos Sąjungos Tarybą . [13] Plg. su ankstesne išnaša. [14] Įprasta teisėkūros procedūra skiriasi visų pirma daugumos Taryboje ir Europos Parlamente reikalavimais. [15] OL C , , p. . [16] OL C , , p. . [17] OL L 77, 2004 3 13, p. 1. [18] OL L 293, 2008 10 31, p. 1. [19] COM (2006) 251, 2006 5 31. [20] 2007 m. kovo 22 d. Tarybos rezoliucija dėl saugios informacinės visuomenės strategijos Europoje (OL C 68, 2007 3 24, p. 1). [21] COM (2009) 149, 2009 3 30. [22] 2009 m. gruodžio 18 d. Tarybos rezoliucija dėl bendradarbiavimu paremto Europos požiūrio į tinklų ir informacijos saugumą (OL C 321, 2009 12 29, p. 1). [23] COM (2010) 245, 2010 5 19. [24] OL L 108, 2009 4 24, p. 33. [25] OL L 201, 2002 7 31, p. 37. [26] OL L 281, 1995 11 23, p. 31. [27] OL L 337, 2009 12 18, p. 1. [28] OL L 204, 1998 7 21, p. 37. [29] 2001 m. gegužės 30 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1049/2001 dėl galimybės visuomenei susipažinti su Europos Parlamento, Tarybos ir Komisijos dokumentais (OL L 145, 2001 5 31, p. 43). [30] 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (OL L 8, 2001 1 12, p. 1). [31] OL L 357, 2002 12 31, p. 72. [32] OL L 317, 2001 12 3, p. 1. [33] OL L 136, 1999 5 31, p. 1. [34] OL L 136, 1999 5 31, p. 15. [35] OL L 248, 2002 9 16, p. 1. [36] OL 17, 1958 10 6, p. 385/58. Reglamentas su paskutiniais pakeitimais, padarytais 1994 m. Stojimo aktu. [37] VGV – veikla grindžiamas valdymas, VGB – veikla grindžiamas biudžeto sudarymas. [38] Nurodytus Finansinio reglamento 49 straipsnio 6 dalies a arba b punktuose. [39] Informacija apie valdymo būdus ir nuorodos į Finansinį reglamentą pateikiamos BudgWeb svetainėje http://www.cc.cec/budg/man/budgmanag/budgmanag_en.html. [40] Nurodytoms Finansinio reglamento 185 straipsnyje. [41] http://ec.europa.eu/dgs/information_society/evaluation/studies/index_en.htm. [42] Kaip numatyta ENISA reglamento 25 straipsnyje. Visą ENISA valdančiosios tarybos priimto dokumento tekstą, kuriame pateikti ir tarybos svarstymai, galima rasti tinklavietėje: http://enisa.europa.eu/pages/03_02.htm. [43] Komisijos komunikatas Eur