EUROPOS KOMISIJA Briuselis, 2017 10 04 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl ES kibernetinio saugumo agentūros ENISA ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013 (Kibernetinio saugumo aktas) (Tekstas svarbus EEE) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



AIŠKINAMASIS MEMORANDUMAS 1.PASIŪLYMO APLINKYBĖS •Pasiūlymo pagrindimas ir tikslai Europos Sąjunga ėmėsi veiksmų, kad taptų atsparesnė ir pagerintų savo kibernetinio saugumo pasirengimą. 2013 m. priimtoje pirmojoje ES kibernetinio saugumo strategijoje nustatyti strateginiai tikslai ir konkretūs veiksmai, kuriais siekiama užtikrinti atsparumą, sumažinti kibernetinių nusikaltimų skaičių, parengti kibernetinės gynybos politiką ir plėtoti jos pajėgumus, didinti pramonės ir technologinius išteklius bei parengti ES nuoseklią tarptautinę kibernetinės erdvės politiką. Nuo to laiko, esant tokioms aplinkybėms, įvyko svarbių pokyčių, visų pirma Europos Sąjungos tinklų ir informacijos apsaugos agentūrai (ENISA) antrąkart suteikti įgaliojimai ir priimta Tinklų ir informacijos saugumo direktyva (TIS direktyva), kuri yra šio pasiūlymo pagrindas. Be to, 2016 m. Europos Komisija priėmė komunikatą „Europos kibernetinio atsparumo sistemos stiprinimas ir kibernetinio saugumo pramonės konkurencingumo ir novatoriškumo skatinimas“, kuriame pranešama apie tolesnes priemones, kad gerėtų bendradarbiavimas, būtų dalijamasi informacija ir žiniomis ir ES būtų atsparesnė bei geriau pasirengusi, taip pat ir atremti didelio masto incidentus ir galimą visos Europos kibernetinio saugumo krizę. Šiomis aplinkybėmis Komisija paskelbė, kad įvertins ir peržiūrės Europos Parlamento ir Tarybos reglamentą (ES) Nr. 526/2013 dėl ENISA, kuriuo panaikinamas Reglamentas (EB) Nr. 460/2004 (toliau – ENISA reglamentas). Po vertinimo būtų galima vykdyti Agentūros reformą ir padidinti jos galimybes ir pajėgumus tvariai remti valstybes nares. Taigi, Agentūrai būtų suteiktas operatyvesnis ir svarbesnis vaidmuo siekiant užtikrinti atsparumą kibernetinio saugumo srityje, o suteikiant naujus įgaliojimus būtų patvirtintos naujos jos pareigos pagal TIS direktyvą. TIS direktyva yra pirmas esminis žingsnis, siekiant propaguoti rizikos valdymo kultūrą, nustatant saugumo reikalavimus kaip teisinius įpareigojimus pagrindiniams ekonominės veiklos vykdytojams, visų pirma esmines paslaugas teikiantiems operatoriams (esminių paslaugų operatoriams – EPO) ir kai kurių pagrindinių skaitmeninių paslaugų teikėjams (skaitmeninių paslaugų teikėjams – SPT). Atsižvelgiant į tai, kad saugumo reikalavimai yra svarbūs siekiant išsaugoti intensyvėjančio visuomenės skaitmeninimo teikiamą naudą, ir į spartų susietųjų įrenginių daugėjimą (daiktų internetas), 2016 m. komunikate taip pat pasiūlyta idėja sukurti IRT produktų ir paslaugų saugumo sertifikavimo sistemą, kad būtų užtikrintas didesnis pasitikėjimas ir saugumas bendrojoje skaitmeninėje rinkoje. IRT kibernetinio saugumo sertifikavimas tampa itin svarbus atsižvelgiant į tai, kad naudojama vis daugiau technologijų, kurių kibernetinio saugumo lygis turi būti aukštas (pvz., susietieji automatizuoti automobiliai, elektroninės sveikatos priežiūros arba pramoninės automatizacijos valdymo sistemos). Šios politikos priemonės ir pranešimai papildomai patvirtinti 2016 m. Tarybos išvadose, kuriose pripažįstama, kad „kibernetinės grėsmės ir pažeidžiamumas toliau vystosi ir stiprėja, ir dėl to būtinas nuolatinis ir glaudesnis bendradarbiavimas, visų pirma siekiant spręsti problemas, susijusias su didelio masto tarpvalstybiniais kibernetinio saugumo incidentais“. Išvadose dar kartą teigiama, kad „ENISA reglamentas yra vienas iš esminių ES kibernetinio atsparumo sistemos elementų“, o Komisija raginama imtis tolesnių veiksmų, kad sertifikavimo klausimas būtų sprendžiamas Europos lygmeniu. Norint sukurti sertifikavimo sistemą, reikėtų ES lygmeniu nustatyti tinkamą valdymo sistemą, taip pat pasinaudojant nepriklausomos ES agentūros ekspertinėmis žiniomis. Atsižvelgiant į tai, šiame pasiūlyme ENISA nurodoma kaip savaime už kibernetinio saugumo klausimus atsakinga ES lygmens įstaiga, kuriai turėtų tekti funkcija telkti nacionalines kompetentingas sertifikavimo srities įstaigas ir koordinuoti jų darbą. 2017 m. gegužės mėn. komunikate „Bendrosios skaitmeninės rinkos strategijos įgyvendinimo laikotarpio vidurio peržiūra“ Komisija papildomai patikslino, kad iki 2017 m. rugsėjo mėn. ji peržiūrės ENISA įgaliojimus. Taip siekiama apibrėžti jos vaidmenį pasikeitusioje kibernetinio saugumo ekosistemoje ir parengti priemones, susijusias su kibernetinio saugumo standartais, sertifikavimu ir ženklinimu, kad IRT pagrįstų sistemų, taip pat susietųjų objektų kibernetinis saugumas būtų didesnis. 2017 m. birželio mėn. Europos Vadovų Tarybos išvadose pritarta Komisijos ketinimui rugsėjo mėn. peržiūrėti Kibernetinio saugumo strategiją ir iki 2017 m. pabaigos pasiūlyti tolesnių tikslinių veiksmų. Siūlomame reglamente numatomos ankstesniais veiksmais grindžiamos priemonės, kuriomis remiami vienas kitą papildantys konkretūs tikslai: ·didinti valstybių narių ir įmonių pajėgumus bei pasirengimą; ·gerinti valstybių narių ir ES institucijų, agentūrų bei įstaigų bendradarbiavimą ir koordinavimą; ·didinti ES lygmens pajėgumus papildyti valstybių narių veiksmus, ypač tarpvalstybinių kibernetinių krizių atveju; ·didinti piliečių ir įmonių informuotumą apie kibernetinį saugumą; ·didinti bendrą IRT produktų ir paslaugų kibernetinio saugumo užtikrinimo skaidrumą, siekiant stiprinti pasitikėjimą bendrąja skaitmenine rinka ir skaitmeninėmis inovacijomis; ir ·vengti nereikalingos sertifikavimo schemų ES ir susijusių reikalavimų bei vertinimo kriterijų visose valstybėse narėse ir sektoriuose gausos. Tolesnėje aiškinamojo memorandumo dalyje išsamiau paaiškinama pagrindinė iniciatyvos priežastis, susijusi su siūlomais ENISA veiksmais ir kibernetinio saugumo sertifikavimu.

ENISA

ENISA veikia kaip kompetencijos centras, kurio užduotis – stiprinti tinklų ir informacijos saugumą Sąjungoje ir remti valstybių narių pajėgumų stiprinimą. ENISA įkurta 2004 m., siekiant prisidėti prie bendro tikslo užtikrinti aukštą ES tinklų ir informacijos saugumo lygį įgyvendinimo. 2013 m. Reglamentu (ES) Nr. 526/2013 septynerių metų laikotarpiui iki 2020 m. nustatyti nauji Agentūros įgaliojimai. Agentūros biurai yra Graikijoje: administracinė buveinė įsikūrusi Heraklione (Kretoje), o pagrindinė veikla vykdoma Atėnuose. ENISA yra nedidelė mažo biudžeto agentūra, kurioje, palyginti su visomis ES agentūromis, dirba nedaug darbuotojų. Jos įgaliojimai yra terminuoti. ENISA padeda Europos institucijoms, valstybėms narėms ir verslo bendruomenei spręsti tinklų ir informacijos apsaugos problemas, į jas reaguoti ir ypač užkirsti joms kelią. Ji tai daro vykdydama įvairią, jos strategijoje nurodytų penkių sričių veiklą: ·ekspertinės žinios: teikia informaciją ir ekspertines žinias pagrindiniais tinklų ir informacijos apsaugos klausimais; ·politika: remia politikos formavimą ir vykdymą Sąjungoje; ·pajėgumai: remia pajėgumų stiprinimą visoje Sąjungoje (pvz., rengdama mokymus, rekomendacijas, vykdydama informuotumo didinimo veiklą); ·bendruomenė: remia tinklų ir informacijos saugumo bendruomenę (pvz., teikia paramą kompiuterinių incidentų tyrimo tarnyboms (CERT), koordinuoja visos Europos kibernetines pratybas); ·galimybių užtikrinimas (pvz., suinteresuotųjų subjektų dalyvavimas ir tarptautiniai ryšiai). Vykstant deryboms dėl TIS direktyvos, ES teisėkūros institucijos nusprendė skirti agentūrai ENISA svarbias šios direktyvos įgyvendinimo funkcijas. Visų pirma Agentūra atlieka CSIRT tinklo (įsteigto, siekiant skatinti greitą ir veiksmingą operatyvinį valstybių narių bendradarbiavimą įvykus tam tikriems kibernetinio saugumo incidentams ir dalytis informacija apie riziką) sekretoriato funkciją; į ją taip pat kreipiamasi, kai reikia padėti bendradarbiavimo grupei vykdyti savo užduotis. Be to, pagal direktyvą reikalaujama, kad ENISA padėtų valstybėms narėms ir Komisijai, teikdama ekspertines žinias ir konsultuodama bei padėdama keistis geriausia patirtimi. Pagal ENISA reglamentą Komisija atliko Agentūros vertinimą, į kurį įtrauktas nepriklausomas tyrimas ir viešos konsultacijos. Vertinime įvertinta Agentūros svarba, poveikis, efektyvumas, veiksmingumas, suderinamumas ir papildoma nauda ES, visa tai susiejant su Agentūros veiklos rezultatais, valdymu, vidaus organizacine struktūra ir darbo praktika 2013–2016 m. laikotarpiu. Viešose konsultacijose dauguma respondentų (74 %) bendrą ENISA veiklą įvertino teigiamai. Dauguma respondentų taip pat manė, kad ENISA pasieks įvairius savo tikslus (kiekvieną tikslą įvykdys bent 63 %). ENISA paslaugomis ir produktais reguliariai (kartą per mėnesį arba dažniau) naudojasi beveik pusė respondentų (46 %); šios paslaugos ir produktai vertinami dėl to, kad gaunami iš ES lygmens įstaigos (83 %), ir dėl kokybės (62 %). Vis dėlto didžioji dauguma respondentų (88 %) manė, kad dabartinės ES lygmens priemonės ir mechanizmai yra nepakankami arba tik iš dalies pakankami dabartinėms kibernetinio saugumo problemoms spręsti. Didžioji dauguma respondentų (98 %) nurodė, kad į šiuos poreikius turėtų atsižvelgti ES įstaiga, o 99 % iš jų manė, kad ENISA yra tam tinkama organizacija. Be to, 67,5 % respondentų išreiškė nuomonę, kad ENISA galėtų atlikti tam tikrą vaidmenį sukuriant suderintą IT produktų ir paslaugų saugumo sertifikavimo sistemą. Po bendro vertinimo (grindžiamo ne tik viešomis konsultacijomis, bet ir keletu individualių pokalbių, papildomomis tikslinėmis apklausomis ir praktiniais seminarais) padarytos šios išvados: ·ENISA'os tikslai šiandien tebėra aktualūs. Atsižvelgiant į sparčią technologijų raidą ir kintančias grėsmes, taip pat didėjančią pasaulinę kibernetinio saugumo riziką, ES tikrai reikia skatinti ir toliau plėsti aukšto lygio technines ekspertines žinias kibernetinio saugumo klausimais. Valstybės narės turi stiprinti pajėgumus, kad galėtų suprasti grėsmes ir į jas reaguoti, o suinteresuotieji subjektai turi bendradarbiauti įvairiose teminėse srityse ir institucijose. ·Nepaisant nedidelio Agentūros biudžeto, ji veiksmingai naudojo savo išteklius ir įgyvendino užduotis. Tačiau buvo ir papildomų administracinių išlaidų, kadangi veikla vykdoma Atėnuose ir Heraklione. ·ENISA su veiksmingumu susijusius savo tikslus įvykdė iš dalies. Stiprindama pajėgumus 28 valstybėse narėse, gerindama valstybių narių ir tinklų ir informacijos saugumu suinteresuotų subjektų bendradarbiavimą bei teikdama ekspertines žinias, kurdama bendruomenę ir remdama politikos kūrimą, Agentūra sėkmingai prisidėjo prie tinklų ir informacijos saugumo gerinimo Europoje. Apskritai ENISA kruopščiai stengėsi įgyvendinti savo darbo programą ir kaip patikimas suinteresuotųjų subjektų partneris veikė tokioje srityje, kurios didelė tarpvalstybinė reikšmė pripažinta neseniai. ·ENISA sugebėjo padaryti nors šiokį tokį poveikį plataus masto tinklų ir informacijos saugumo srityje, tačiau jai ne visiškai pavyko sukurti patikimą prekės ženklą ir tapti pakankamai matomai, kad būtų pripažinta kaip kompetencijos centras Europoje. Tai galima paaiškinti plataus masto ENISA įgaliojimais, kuriems vykdyti nebuvo proporcingai skirta pakankamų išteklių. Be to, ENISA yra vienintelė ES agentūra, kurios įgaliojimai terminuoti – tai riboja jos gebėjimą parengti ilgalaikę viziją ir tvariai remti suinteresuotuosius subjektus. Tai taip pat prieštarauja TIS direktyvos nuostatoms, pagal kurias agentūrai ENISA pavedamos užduotys be galutinio termino. Galiausiai vertinime nustatyta, kad šį nedidelį veiksmingumą galima iš dalies paaiškinti tuo, kad buvo labai naudojamasi išorės ekspertų, o ne vidaus ekspertų žiniomis ir kad buvo sudėtinga įdarbinti ir išlaikyti specialistus. ·Galiausiai ne mažiau svarbu yra tai, kad vertinime padaryta išvada, kad ENISA papildoma nauda pirmiausia susijusi su jos gebėjimu stiprinti bendradarbiavimą, daugiausia tarp valstybių narių, o ypač su susijusiomis tinklų ir informacijos saugumo bendruomenėmis (visų pirma tarp CSIRT). ES lygmeniu nėra jokio kito subjekto, kuris remtų tiek įvairiausių tinklų ir informacijos saugumu suinteresuotų subjektų. Tačiau kadangi reikia nustatyti griežtus agentūros veiklos prioritetus, ENISA darbo programa daugiausia grindžiama valstybių narių poreikiais. Taigi, joje nepakankamai atsižvelgiama į kitų suinteresuotųjų subjektų, ypač įmonių, poreikius. Tai taip pat skatino Agentūrą tenkinti savo pagrindinių suinteresuotųjų subjektų poreikius, o tai neleido jai pasiekti didesnio poveikio. Todėl Agentūros teikiama papildoma nauda buvo nevienoda ir priklausė nuo skirtingų jos suinteresuotųjų subjektų poreikių ir nuo to, kiek ji galėjo tuos poreikius patenkinti (pvz., didelės valstybės narės, palyginti su mažomis valstybėmis narėmis; valstybės narės, palyginti su įmonėmis).

Apibendrinant, iš suinteresuotųjų subjektų konsultacijų rezultatų ir vertinimo matyti, kad ENISA išteklius ir įgaliojimus reikia pakoreguoti, kad ji galėtų imtis atitinkamo vaidmens sprendžiant dabartinius ir būsimus uždavinius. Atsižvelgiant į šias išvadas, šiuo pasiūlymu peržiūrimi dabartiniai ENISA įgaliojimai ir atnaujinamos užduotys ir funkcijos, siekiant veiksmingai ir efektyviai remti valstybių narių, ES institucijų ir kitų suinteresuotųjų subjektų pastangas Europos Sąjungoje užtikrinti saugią kibernetinę erdvę. Naujaisiais siūlomais įgaliojimais siekiama suteikti Agentūrai svaresnį ir reikšmingesnį vaidmenį, visų pirma, kad ir ji padėtų valstybėms narėms įgyvendinti TIS direktyvą ir aktyviau atremti konkrečias grėsmes (operatyviniai pajėgumai) ir taptų kompetencijos centru, padėsiančiu valstybėms narėms ir Komisijai kibernetinio saugumo sertifikavimo srityje. Pagal šį pasiūlymą: ·Agentūrai ENISA būtų suteiktas nuolatinis įgaliojimas ir kartu stabilus pagrindas ateičiai. Vis dėlto įgaliojimą, tikslus ir užduotis reikėtų nuolat peržiūrėti. ·Siūlomais įgaliojimais išsamiau paaiškinamas ENISA, kaip ES kibernetinio saugumo agentūros ir kaip informacijos punkto ES kibernetinio saugumo ekosistemoje, glaudžiai bendradarbiaujančio su visomis kitomis atitinkamomis tokios ekosistemos įstaigomis, vaidmuo. ·Agentūros organizacinė struktūra ir valdymas, kurie buvo teigiamai įvertinti atliekant vertinimą, būtų nuosaikiai peržiūrimi, ypač siekiant įsitikinti, kad Agentūra dirbdama geriau atsižvelgtų į didesnės suinteresuotųjų subjektų bendruomenės poreikius. ·Apibrėžta siūloma įgaliojimų apimtis, sustiprinant tas sritis, kuriose Agentūra aiškiai įrodė savo papildomą naudą, ir įtraukiant tokias naujas sritis, kuriose reikalinga parama dėl naujų politikos prioritetų ir priemonių, ypač TIS direktyvos, ES kibernetinio saugumo strategijos peržiūros, būsimo ES kibernetinio saugumo projekto, skirto bendradarbiavimui kibernetinių krizių klausimais, ir IRT saugumo sertifikavimo: ·ES politikos formavimas ir įgyvendinimas. Agentūra ENISA gautų užduotį aktyviai prisidėti prie tinklų ir informacijos saugumo politikos kūrimo, taip pat prie kitų politikos iniciatyvų, susijusių su įvairių sektorių (pvz., energetikos, transporto, finansų) kibernetinio saugumo elementais. Šiuo tikslu jai tektų svarbi patariamoji funkcija, kurią ji galėtų vykdyti teikdama nepriklausomas nuomones ir atlikdama parengiamąjį politikos ir teisės plėtotės bei atnaujinimo darbą. Siekdama skatinti didesnį kibernetinio saugumo lygį, ENISA taip pat remtų ES politiką ir teisę elektroninių ryšių, elektroninės atpažinties ir patikimumo užtikrinimo paslaugų srityse. Įgyvendinimo etapu, ypač kiek tai susiję su TIS bendradarbiavimo grupe, ENISA padėtų valstybėms narėms nuosekliai įgyvendinti TIS direktyvą įvairiuose sektoriuose tarpvalstybiniu mastu, taip pat kitų atitinkamų politikos sričių ir teisės aktų klausimais. Siekdama padėti nuolat peržiūrėti kibernetinio saugumo srities politiką ir teisės aktus, ENISA taip pat teiktų reguliarias ES teisinės sistemos įgyvendinimo padėties ataskaitas. ·Pajėgumų stiprinimas. ENISA prisidėtų prie ES ir nacionalinių valdžios institucijų pajėgumų ir ekspertinių žinių (įskaitant reagavimo į incidentus ir su kibernetiniu saugumu susijusių reguliavimo priemonių priežiūros) gerinimo. Agentūra taip pat turėtų padėti įvairiuose sektoriuose steigti keitimosi informacija ir jos analizės centrus, dalydamasi geriausia patirtimi ir informuodama apie esamas priemones ir procedūras, taip pat tinkamai spręsdama reguliavimo klausimus, susijusius su keitimusi informacija. ·Žinios ir informacija, informuotumo didinimas. ENISA taptų ES informacijos centru. Tai reiškia, kad sutelkiant iš ES ir nacionalinių institucijų, agentūrų ir įstaigų gautą informaciją apie kibernetinį saugumą būtų populiarinama geriausia patirtis ir iniciatyvos ir jomis būtų dalijamasi visoje ES. Agentūra taip pat teiktų konsultacijas, gaires ir dalytųsi geriausia patirtimi, susijusia su ypatingos svarbos infrastruktūros objektų saugumu. Be to, po didelių tarpvalstybinių kibernetinio saugumo incidentų ENISA rinktų ataskaitas, kad galėtų konsultuoti įmones ir piliečius visoje ES. Toks darbas apimtų ir nuolatinį informuotumo didinimo veiklos organizavimą bendradarbiaujant su valstybių narių valdžios institucijomis. ·Su rinka susijusios užduotys (standartizavimas, kibernetinio saugumo sertifikavimas). Analizuodama atitinkamas kibernetinio saugumo rinkos tendencijas, kad geriau derėtų paklausa ir pasiūla, ir padėdama formuoti ES politiką IRT standartizavimo ir IRT kibernetinio saugumo sertifikavimo srityse, ENISA vykdytų keletą funkcijų, kuriomis būtų konkrečiai remiama vidaus rinka ir kurios apimtų kibernetinio saugumo rinkos stebėjimą. Kiek tai susiję su standartizavimu, ji sudarytų palankesnes sąlygas kibernetinio saugumo standartams nustatyti ir juos taikyti. ENISA taip pat vykdytų numatytas užduotis, susijusias su būsima sertifikavimo sistema (žr. tolesnį skirsnį). ·Moksliniai tyrimai ir inovacijos. ENISA pasidalytų ekspertinėmis žiniomis patardama ES ir nacionalinėms valdžios institucijoms dėl mokslinių tyrimų ir plėtros prioritetų nustatymo, taip pat dėl sutartimis grindžiamos viešojo ir privačiojo sektorių partnerystės kibernetinio saugumo srityje. Su moksliniais tyrimais susijusiomis ENISA konsultacijomis pasinaudotų naujasis Europos kibernetinio saugumo mokslinių tyrimų ir kompetencijos centras pagal būsimą daugiametę finansinę programą. Paprašyta Komisijos ENISA taip pat dalyvautų įgyvendinant mokslinių tyrimų ir inovacijų finansavimo ES lėšomis programas. ·Operatyvinis bendradarbiavimas ir krizių valdymas. Šis darbas turėtų būti grindžiamas esamų prevencinių operacinių pajėgumų stiprinimu, visų pirma atnaujinant visos Europos kibernetinio saugumo pratybas („Cyber Europe“), kurias reikėtų rengti kasmet, ir pagalbiniu CSIRT tinklo sekretoriato vaidmeniu operatyvinio bendradarbiavimo srityje (pagal TIS direktyvos nuostatas), be kitų dalykų, užtikrinant gerą CSIRT tinklo IT infrastruktūros ir ryšių kanalų veikimą. Šiomis aplinkybėmis CERT-EU, Europos kovos su elektroniniu nusikalstamumu centras (EC3) ir kitos susijusios ES įstaigos turėtų bendradarbiauti struktūrizuotai. Be to, fizinėje aplinkoje struktūrizuotai bendradarbiaujant su CERT-EU, turėtų būti įmanoma teikti techninę pagalbą įvykus dideliam incidentui ir padėti jį išanalizuoti. Siekiant stiprinti valstybių narių prevencijos ir reagavimo pajėgumus, jos paprašiusios gautų pagalbą incidentams suvaldyti ir paramą pažeidžiamumui, artefaktams ir incidentams analizuoti. ·Agentūrai ENISA taip pat būtų skirtas vaidmuo ES kibernetinio saugumo projekte, kuris pateikiamas kaip šio dokumentų rinkinio dalis ir kuriame pateikiama Komisijos rekomendacija valstybėms narėms, kaip koordinuotai reaguoti į didelio masto tarpvalstybinius kibernetinius incidentus ir krizes ES lygmeniu. ENISA, analizuodama ir kaupdama nacionalines padėties ataskaitas, remdamasi informacija, kurią jai savanoriškai pateikė valstybės narės ir kiti subjektai, sudarytų atskiroms valstybėms narėms palankesnes sąlygas bendradarbiauti reaguojant į krizes. ·IRT produktų ir paslaugų kibernetinio saugumo sertifikavimas Siekiant užtikrinti pasitikėjimą IRT produktais ir paslaugomis ir išlaikyti jų saugumą, reikia, kad jų saugumu būtų rūpinamasi nuo pat pirmųjų techninio projektavimo ir plėtojimo etapų (saugumo užtikrinimas projektuojant). Be to, klientai ir vartotojai turi galėti įvertinti produktų ir paslaugų, kuriuos įsigyja ar perka, saugumo užtikrinimo lygį. Sertifikavimas, kurį sudaro oficialus produktų, paslaugų ir procesų įvertinimas, kurį atlieka nepriklausoma ir akredituota įstaiga pagal nustatytą kriterijų standartų rinkinį, ir sertifikato, kuriame nurodoma atitiktis, išdavimas, yra labai svarbus, siekiant didinti pasitikėjimą produktais ir paslaugomis bei jų saugumą. Nors saugumo vertinimai yra gana techninė sritis, sertifikavimo paskirtis – informuoti ir patikinti pirkėjus ir naudotojus, kad jų perkami ar naudojami IRT produktai ir paslaugos pasižymi konkrečiomis saugumo savybėmis. Kaip minėta pirmiau, tai ypač pasakytina apie tas naujas sistemas, kurioms intensyviai naudojamos skaitmeninės technologijos ir kurioms būtinas aukštas saugumo lygis. Tokių sistemų pavyzdžiai: susietieji automatizuoti automobiliai, elektroninės sveikatos priežiūros sistemos, pramoninės automatizacijos valdymo sistemos ar pažangieji elektros energijos tinklai. Šiuo metu IRT produktų ir paslaugų kibernetinio saugumo sertifikavimo padėtis ES yra gana nevienoda. Yra keletas tarptautinių iniciatyvų, pvz., informacinių technologijų saugumo vertinimo bendrieji kriterijai (ISO 15408) – kompiuterių saugumo vertinimo tarptautinis standartas. Jis grindžiamas trečiosios šalies atliekamu vertinimu ir pagal jį numatomi septyni vertinimo užtikrinimo lygiai (angl. EAL). Bendrieji kriterijai ir kartu taikoma Bendra informacinių technologijų saugumo vertinimo metodika (angl. CEM) yra techninis tarptautinio susitarimo dėl bendrųjų kriterijų pripažinimo (angl. CCRA) pagrindas, užtikrinantis, kad pagal bendruosius kriterijus išduotus sertifikatus pripažintų visos minėtąjį susitarimą pasirašančios šalys. Vis dėlto, remiantis naujausia CCRA redakcija, tarpusavyje pripažįstami tik ne aukštesnio kaip EAL 2 lygio vertinimai. Be to, susitarimą yra pasirašiusios tik 13 valstybių narių. Dvylikos valstybių narių sertifikavimo institucijos sudarė tarpusavio pripažinimo susitarimą dėl sertifikatų, išduotų laikantis susitarimo, grindžiamo bendraisiais kriterijais. Be to, valstybėse narėse šiuo metu vykdoma arba rengiama keletas IRT sertifikavimo iniciatyvų. Nors šios iniciatyvos ir svarbios, dėl jų gali būti suskaidyta rinka ir kilti sąveikumo problemų. Taigi, kad bendrovė galėtų siūlyti savo produktą keliose rinkose, jai gali prireikti jį sertifikuoti įvairiose valstybėse narėse. Pavyzdžiui, pažangiųjų skaitiklių gamintojas, norėdamas parduoti savo produktus trijose valstybėse narėse, pvz., Vokietijoje, Prancūzijoje ir Jungtinėje Karalystėje, šiuo metu turi laikytis trijų skirtingų sertifikavimo schemų: „Commercial Product Assurance“ (CPA) Jungtinėje Karalystėje, „Certification Sécuritaire de Premier Niveau“ (CSPN) Prancūzijoje ir bendraisiais kriterijais pagrįsto specialaus apsaugos profilio Vokietijoje. Dėl šios situacijos keliose valstybėse narėse veikiančių įmonių išlaidos padidėja ir joms tenka didžiulė administracinė našta. Nors sertifikavimo išlaidos gali labai skirtis, priklausomai nuo atitinkamo produkto ir (arba) paslaugos, norimo užtikrinimo lygio ir (arba) kitų komponentų, paprastai įmonėms jos būna gana didelės. Pavyzdžiui, BSI „Smart Meter Gateway“ sertifikatas kainuoja daugiau kaip milijoną EUR (suteikia aukščiausią testavimo lygį ir užtikrinimą, apima ne tik vieną produktą, bet ir visą su juo susijusią infrastruktūrą). Pažangiųjų skaitiklių sertifikavimas JK kainuoja beveik 150 000 EUR. Prancūzijoje kaina panaši kaip JK – apie 150 000 EUR arba didesnė.

Pagrindiniai viešieji ir privatieji suinteresuotieji subjektai pripažino, kad, nesant ES masto kibernetinio saugumo sertifikavimo schemos, daugeliu atvejų įmonės savo produktus turi sertifikuoti kiekvienoje valstybėje narėje atskirai, o tai sudaro sąlygas rinkos susiskaidymui. Svarbiausia yra tai, kad, nesant IRT produktų ir paslaugų ES derinamųjų teisės aktų, dėl skirtingų kibernetinio saugumo sertifikavimo standartų ir praktikos valstybės narės ES praktiškai gali sukurti 28 atskiras saugumo rinkas, kiekvienoje iš kurių būtų taikomi atskiri techniniai reikalavimai, testavimo metodikos ir kibernetinio saugumo sertifikavimo procedūros. Jeigu ES lygmeniu nebūtų imtasi tinkamų veiksmų, šie skirtingi nacionaliniu lygmeniu taikomi metodai gali tapti didele bendrosios skaitmeninės rinkos kūrimo kliūtimi – dėl to lėčiau augtų ekonomika, lėčiau būtų kuriamos darbo vietos arba tam būtų užkirstas kelias. Remiantis pirmiau minėtais pokyčiais, siūlomame reglamente nustatoma IRT produktų ir paslaugų Europos kibernetinio saugumo sertifikavimo sistema (toliau – Sistema) ir apibrėžiamos esminės ENISA funkcijos ir užduotys kibernetinio saugumo sertifikavimo srityje. Šiame pasiūlyme nurodoma bendra taisyklių, reglamentuojančių Europos kibernetinio saugumo sertifikavimo schemas, sistema. Pasiūlyme operacinės sertifikavimo schemos tiesiogiai nepateikiamos, bet sukuriama konkrečių IRT produktų ir (arba) paslaugų konkrečių sertifikavimo schemų (toliau – Europos kibernetinio saugumo sertifikavimo schemų) nustatymo sistema. Taikant pagal Sistemą sukurtas Europos kibernetinio saugumo sertifikavimo schemas, išduoti sertifikatai galios ir bus pripažįstami visose valstybėse narėse ir tai leis išspręsti dabartinę rinkos susiskaidymo problemą. Bendra Europos kibernetinio saugumo sertifikavimo schemos paskirtis – patvirtinti, kad pagal tokią sistemą sertifikuoti IRT produktai ir paslaugos atitinka konkrečius kibernetinio saugumo reikalavimus. Pavyzdžiui, tai apimtų jų gebėjimą apsaugoti duomenis (laikomus, perduodamus ar kitaip tvarkomus) nuo atsitiktinio ar neteisėto jų laikymo, tvarkymo, prieigos prie jų, jų atskleidimo, sunaikinimo, atsitiktinio jų netekimo ar pakeitimo. Taikant ES kibernetinio saugumo sertifikavimo schemas, būtų panaudoti esami standartai, susiję su techniniais reikalavimais ir vertinimo procedūromis, kurias turi atitikti produktai, o pagal pačias schemas techniniai standartai kuriami nebūtų. Pavyzdžiui, tokių produktų, kaip lustinės kortelės, kurios dabar testuojamos remiantis tarptautiniais bendrųjų kriterijų standartais pagal daugiašalę SOG-IS schemą (aprašytą pirmiau), ES masto sertifikavimas reikštų, kad ši schema tampa galiojanti visoje ES. Pasiūlyme nurodoma ne tik keletas konkrečių saugumo tikslų, į kuriuos turi būti atsižvelgta rengiant konkrečią Europos kibernetinio saugumo sertifikavimo schemą, bet ir minimalus tokių schemų turinys. Be kitų dalykų, tokiose schemose turės būti apibrėžta keletas konkrečių elementų, nurodančių kibernetinio saugumo sertifikavimo taikymo sritį ir tikslą. Tai apima produktų ir paslaugų, kuriems taikoma schema, kategorijų nustatymą, išsamų kibernetinio saugumo reikalavimų nurodymą (pavyzdžiui, remiantis susijusiais standartais arba techninėmis specifikacijomis), konkrečius vertinimo kriterijus ir metodus, taip pat užtikrinimo lygį, kurį jais ketinama užtikrinti (t. y. bazinį, pakankamą arba aukštą). Europos kibernetinio saugumo sertifikavimo schemas rengs ENISA, glaudžiai bendradarbiaudama su Europos kibernetinio saugumo sertifikavimo grupe (žr. toliau), jos padedama ir pasinaudodama jos ekspertų konsultacijomis, o schemas tvirtins Komisija, priimdama įgyvendinimo aktus. Atsiradus kibernetinio saugumo sertifikavimo schemos poreikiui, Komisija paprašys agentūros ENISA parengti schemą konkretiems IRT produktams arba paslaugoms. ENISA schemą rengs glaudžiai bendradarbiaudama su nacionalinėmis sertifikavimo priežiūros institucijomis, kurios atstovaujamos Grupėje. Valstybės narės ir Grupė gali siūlyti Komisijai, kad ši paprašytų agentūros ENISA parengti tam tikrą schemą. Sertifikavimas gali būti labai brangus procesas, dėl kurio gali išaugti kainos klientams ir vartotojams. Poreikis sertifikuoti taip pat gali labai skirtis atsižvelgiant į konkrečias produktų ir paslaugų naudojimo aplinkybes ir greitą technologijų kitimą. Todėl Europos kibernetinio saugumo sertifikavimas turėtų likti savanoriškas, išskyrus atvejus, kai Sąjungos teisės aktuose, nustatančiuose IRT produktų ir paslaugų saugumo reikalavimus, numatyta kitaip. Siekiant užtikrinti, kad būtų laikomasi suderintos praktikos ir išvengta rinkos susiskaidymo, nacionalinės kibernetinio saugumo sertifikavimo schemos arba procedūros, taikomos IRT produktams ir paslaugoms, kuriems taikoma Europos kibernetinio saugumo sertifikavimo schema, nebebus taikomos nuo įgyvendinimo akte, kuriuo priimama schema, nustatytos datos. Be to, valstybės narės turėtų neįvesti naujų nacionalinių kibernetinio saugumo sertifikavimo schemų IRT produktams ir paslaugoms, kuriems taikoma galiojanti Europos kibernetinio saugumo sertifikavimo schema. Priėmus Europos kibernetinio saugumo sertifikavimo schemą IRT produktų gamintojai arba IRT paslaugų teikėjai turės galimybę savo pasirinktai atitikties vertinimo įstaigai teikti prašymą sertifikuoti savo produktus arba paslaugas. Atitikties vertinimo įstaigas, atitinkančias tam tikrus nustatytus reikalavimus, turėtų akredituoti akreditacijos įstaiga. Akreditacija bus suteikiama ne ilgesniam kaip penkerių metų laikotarpiui ir gali būti pratęsta tomis pačiomis sąlygomis, jei atitikties vertinimo įstaiga vykdo reikalavimus. Akreditacijos įstaigos panaikins atitikties vertinimo įstaigos akreditaciją, jeigu akreditacijos sąlygos nevykdomos arba nebevykdomos, arba jeigu veiksmais, kurių imasi atitikties vertinimo įstaiga, pažeidžiamas šis reglamentas. Pagal šį pasiūlymą stebėjimo, priežiūros ir vykdymo užtikrinimo užduotys tenka valstybėms narėms. Valstybės narės turės paskirti vieną sertifikavimo priežiūros instituciją. Šiai institucijai bus pavesta prižiūrėti atitikties vertinimo įstaigų ir jų teritorijoje įsisteigusių atitikties vertinimo įstaigų išduotų sertifikatų atitiktį šio reglamento ir atitinkamų Europos kibernetinio saugumo sertifikavimo schemų reikalavimams. Nacionalinės sertifikavimo priežiūros institucijos bus kompetentingos nagrinėti fizinių ar juridinių asmenų pateiktus skundus, susijusius su jų teritorijose įsteigtų atitikties vertinimo įstaigų išduotais sertifikatais. Tiek, kiek tinkama, jos išnagrinės skundo dalyką ir per pagrįstą laikotarpį informuos skundo teikėją apie tyrimo eigą ir rezultatus. Be to, jos bendradarbiaus su kitomis sertifikavimo priežiūros institucijomis ar kitomis valdžios institucijomis, pavyzdžiui, dalydamosi informacija apie galimą IRT produktų ir paslaugų neatitiktį šio reglamento arba konkrečių Europos kibernetinio saugumo schemų reikalavimams. Galiausiai pasiūlymu įsteigiama iš visų valstybių narių nacionalinių sertifikavimo priežiūros institucijų sudaryta Europos kibernetinio saugumo sertifikavimo grupė (toliau – Grupė). Pagrindinė Grupės užduotis – konsultuoti Komisiją su kibernetinio saugumo sertifikavimo politika susijusiais klausimais ir bendradarbiauti su ENISA rengiant Europos kibernetinio saugumo sertifikavimo schemų projektus. ENISA padės Komisijai užtikrinti Grupės sekretoriato funkciją ir atnaujinti viešąjį schemų, patvirtintų pagal Europos kibernetinio saugumo sertifikavimo sistemą, registrą. ENISA taip pat palaikys ryšius su standartizavimo įstaigomis, kad užtikrintų standartų, taikomų pagal patvirtintas schemas, tinkamumą ir nustatytų sritis, kur reikalingi kibernetinio saugumo standartai. Europos kibernetinio saugumo sertifikavimo sistema (toliau – Sistema) užtikrins keleriopą naudą piliečiams ir įmonėms. Visų pirma: ·Tam tikriems produktams arba paslaugoms sukūrus ES masto kibernetinio saugumo sertifikavimo schemas, įmonėms bus teikiama ES kibernetinio saugumo sertifikavimo vieno langelio sistemos paslauga. Tokioms įmonėms užteks sertifikuoti savo produktus tik vieną kartą ir jos gaus visose valstybėse narėse galiojantį sertifikatą. Jos neprivalės pakartotinai sertifikuoti savo produktų įvairiose nacionalinėse sertifikavimo įstaigose. Tai labai sumažins įmonių išlaidas, palengvins tarpvalstybines operacijas ir galiausiai sumažins ir pašalins atitinkamų produktų vidaus rinkos susiskaidymą. ·Sistema nustatoma Europos kibernetinio saugumo sertifikavimo schemų viršenybė prieš nacionalines schemas: pagal šią taisyklę Europos kibernetinio saugumo sertifikavimo schema esant tam tikram užtikrinimo lygiui pakeis visas esamas tų pačių IRT produktų ar paslaugų lygiagrečias nacionalines schemas. Sumažinant viena kitai prieštaraujančių arba besidubliuojančių nacionalinių kibernetinio saugumo sertifikavimo schemų paplitimą, bus užtikrintas papildomas aiškumas. ·Pasiūlymu remiamas ir papildomas TIS direktyvos įgyvendinimas, suteikiant įmonėms, atsižvelgiant į direktyvą, labai naudingą atitikties TIS reikalavimams visoje Sąjungoje įrodymo priemonę. Rengdamos naujas kibernetinio saugumo sertifikavimo schemas, Komisija ir ENISA kreips ypatingą dėmesį į poreikį užtikrinti, kad kibernetinio saugumo sertifikavimo schemose būtų atsižvelgta į TIS reikalavimus. ·Pasiūlymu, kuriuo suderinamos ES IRT produktų ir paslaugų kibernetinio saugumo sertifikavimo sąlygos ir esminiai reikalavimai, bus remiamas Europos kibernetinio saugumo politikos formavimas ir sudaromos tam palankesnės sąlygos. Europos kibernetinio saugumo sertifikavimo schemos bus grindžiamos bendrais standartais arba vertinimo kriterijais ir testavimo metodika. Nors ir netiesiogiai, tai labai padės įgyvendinti bendrus saugumo sprendimus ES ir kartu pašalins kliūtis patekti į vidaus rinką. ·Sistema parengta taip, kad būtų užtikrinta reikiama kibernetinio saugumo sertifikavimo schemų lankstumo galimybė. Priklausomai nuo konkrečių kibernetinio saugumo poreikių, produktas arba paslauga gali būti sertifikuojami užtikrinant didesnį arba mažesnį saugumo lygį. Europos kibernetinio saugumo sertifikavimo schemos bus rengiamos turint omenyje šią lankstumo galimybę ir todėl jomis remiantis bus numatyti skirtingi saugumo užtikrinimo lygiai (t. y. bazinis, pakankamas arba aukštas), kad jas būtų galima naudoti skirtingais tikslais arba skirtingomis aplinkybėmis. ·Dėl visų pirmiau nurodytų elementų kibernetinio saugumo sertifikavimas taps patrauklesnis įmonėms kaip veiksminga informavimo apie IRT produktų arba paslaugų kibernetinio saugumo užtikrinimo lygį priemonė. Jeigu kibernetinio saugumo sertifikavimas taps pigesnis, veiksmingesnis ir komerciškai patrauklesnis, įmonėms tai bus didesnės paskatos sertifikuoti savo produktus atsižvelgiant į kibernetinio saugumo riziką, taip prisidedant prie geresnės kibernetinio saugumo praktikos skleidimo kuriant IRT produktus ir paslaugas (kibernetinio saugumo užtikrinimas projektuojant). •Suderinamumas su toje pačioje politikos srityje galiojančiomis nuostatomis Pagal TIS direktyvą operatoriai, veikiantys ypatingos svarbos mūsų ekonomikai ir visuomenei sektoriuose, pvz., energetikos, transporto, vandens, bankininkystės, finansų rinkų infrastruktūros, sveikatos priežiūros ir skaitmeninės infrastruktūros, taip pat skaitmeninių paslaugų teikėjai (t. y. paieškos sistemų, debesijos kompiuterijos paslaugų ir elektroninių prekyviečių) turi imtis priemonių, kad tinkamai valdytų saugumo riziką. Šio pasiūlymo naujos taisyklės papildo TIS direktyvos nuostatas ir užtikrina suderinamumą su jomis, kad būtų galima toliau didinti ES kibernetinį atsparumą gerinant pajėgumus, bendradarbiavimą, rizikos valdymą ir informuotumą apie kibernetinį saugumą.

Be to, kibernetinio saugumo sertifikavimo taisyklės yra esminė priemonė įmonėms, kurioms taikoma TIS direktyva, nes jos, atsižvelgdamos į riziką kibernetiniam saugumui, galės sertifikuoti savo IRT produktus ir paslaugas pagal visoje ES galiojančias ir pripažįstamas kibernetinio saugumo sertifikavimo schemas. Šios taisyklės taip pat papildys eIDAS reglamente ir Radijo įrenginių direktyvoje nurodytus saugumo reikalavimus. •Suderinamumas su kitomis Sąjungos politikos sritimis Reglamente (ES) 2016/679 (Bendrajame duomenų apsaugos reglamente, BDAR) išdėstytos sertifikavimo mechanizmų ir duomenų apsaugos ženklų ir žymenų nustatymo nuostatos, kad būtų galima įrodyti, jog duomenų valdytojai ir duomenų tvarkytojai, tvarkydami duomenis, laikosi šio reglamento. Šiuo reglamentu nepažeidžiamas duomenų tvarkymo operacijų, įskaitant atvejus, kai tokios operacijos yra produktų ir paslaugų dalis, sertifikavimas pagal BDAR. Siūlomu reglamentu bus užtikrintas suderinamumas su Reglamentu Nr. 765/2008 dėl akreditavimo ir rinkos priežiūros reikalavimų, remiantis nacionalinių akreditacijos įstaigų ir atitikties vertinimo įstaigų sistemos taisyklėmis. Kalbant apie priežiūros institucijas, pagal siūlomą reglamentą bus reikalaujama, kad valstybės narės paskirtų nacionalines sertifikavimo priežiūros institucijas, atsakingas už priežiūrą, stebėjimą ir taisyklių vykdymo užtikrinimą. Tos įstaigos liks atskirtos nuo atitikties vertinimo įstaigų, kaip nustatyta Reglamente Nr. 765/2008. 2.TEISINIS PAGRINDAS, SUBSIDIARUMO IR PROPORCINGUMO PRINCIPAI •Teisinis pagrindas ES veiksmų teisinis pagrindas – Sutarties dėl Europos Sąjungos veikimo (SESV) 114 straipsnis, kuriame kalbama apie valstybių narių įstatymų suderinimą siekiant SESV 26 straipsnio tikslų, visų pirma užtikrinti tinkamą vidaus rinkos veikimą. Vidaus rinkos teisinį pagrindą agentūrai ENISA įsteigti patvirtino Teisingumo Teismas (byloje C-217/04, Jungtinė Karalystė prieš Europos Parlamentą ir Tarybą), vėliau jis papildomai patvirtintas 2013 m. reglamentu, kuriame nustatyti dabartiniai Agentūros įgaliojimai. Be to, veikla, kuri atspindėtų tikslus didinti valstybių narių bendradarbiavimą ir koordinavimą bei tuos papildomus ES lygmens pajėgumus papildyti valstybių narių veiksmus būtų priskirtos operatyvinio bendradarbiavimo kategorijai. Tai konkrečiai nurodyta TIS direktyvoje (kurios teisinis pagrindas – SESV 114 straipsnis) kaip tikslas, kurio turi būti siekiama kuriant CSIRT tinklą, kai „ENISA teikia sekretoriato paslaugas ir aktyviai remia bendradarbiavimą“ (12 straipsnio 2 dalis). Visų pirma 12 straipsnio 3 dalies f punkte tiksliau nustatytos kitos CSIRT tinklo vykdomo operatyvinio bendradarbiavimo formos, be kita ko, susijusios su: i) rizikos ir incidentų kategorijomis, ii) išankstiniais įspėjimais, iii) savitarpio pagalba ir iv) koordinavimo principais ir tvarka tuo atveju, kai valstybės narės reaguoja į tarpvalstybinę riziką ir incidentus. ·Tokią dabartinę padėtį, kai naudojama daugybė IRT produktų ir paslaugų sertifikavimo schemų, lėmė ir tai, kad trūksta valstybėms narėms taikytino bendros teisiškai privalomos ir veiksmingos sistemos proceso. Tai neleidžia kurti IRT produktų ir paslaugų vidaus rinkos ir kenkia šio sektoriaus Europos įmonių konkurencingumui. Šiuo pasiūlymu siekiama pašalinti esamą vidaus rinkos susiskaidymą ir susijusias kliūtis, pateikiant bendrą visoje ES galiosiančią kibernetinio saugumo sertifikavimo schemų nustatymo sistemą. Subsidiarumo principas (neišimtinės kompetencijos atveju) Vadovaujantis subsidiarumo principu reikia įvertinti ES veiksmų būtinybę ir pridėtinę jų vertę. Vadovavimasis subsidiarumo principu šioje srityje jau buvo pripažintas priimant dabartinį ENISA reglamentą. Kibernetinis saugumas yra Sąjungos bendros svarbos klausimas. Tinklų ir informacijos sistemos taip susijusios tarpusavyje, kad atskiri subjektai (viešieji ir privatieji, įskaitant piliečius) patys vieni labai dažnai negali kovoti su grėsmėmis, valdyti rizikos ir galimo kibernetinių incidentų poveikio. Viena vertus, dėl valstybių narių tarpusavio priklausomybės, be kita ko, susijusios su ypatingos svarbos infrastruktūros objektų (pvz., energetikos, transporto, vandens infrastruktūros ir kt.) veikimu, viešoji intervencija Europos lygmeniu yra ne tik naudinga, bet ir reikalinga. Kita vertus, ES intervencija gali turėti teigiamos įtakos, nes visose valstybėse narėse dalijamasi gerąja praktika ir tai gali lemti didesnį kibernetinį saugumą Sąjungoje. Apibendrinant, esant dabartinėms aplinkybėms ir žvelgiant į ateities scenarijus, atrodo, kad, norint padidinti bendrą Sąjungos kibernetinį atsparumą, pavienių ES valstybių narių veiksmų ir skirtingų požiūrių nepakaks. Siekiant pašalinti dabartinių kibernetinio saugumo sertifikavimo schemų gausą, taip pat reikia imtis ES veiksmų. Tuomet gamintojai turėtų galimybę visapusiškai naudotis vidaus rinka ir labai sumažintų testavimo ir pakartotinio projektavimo išlaidas. Pavyzdžiui, šiuo atžvilgiu dabartiniu vyresniųjų pareigūnų grupės informacinių sistemų saugumo klausimais (SOG-IS) tarpusavio pripažinimo susitarimu pasiekta svarbių rezultatų, tačiau kartu tapo akivaizdūs ir dideli trūkumai, dėl kurių jis negali būti tinkama priemonė, siekiant rasti ilgesnio laikotarpio tvarių sprendimų visapusiškai naudotis vidaus rinkos teikiamomis galimybėmis. ES lygmens veiksmų pridėtinė vertė, ypač siekiant sustiprinti ne tik valstybių narių, bet ir tinklų ir informacijos saugumo bendruomenių bendradarbiavimą, pripažinta 2016 m. Tarybos išvadose, tai taip pat akivaizdu ir ENISA vertinime. •Proporcingumo principas Siūlomomis priemonėmis neviršijama to, kas būtina politikos tikslams pasiekti. Be to, ES intervencijos mastas netrukdo imtis tolesnių nacionalinių veiksmų nacionalinių saugumo klausimų srityje. Todėl ES veiksmai grindžiami subsidiarumo ir proporcingumo principais.

•Priemonės pasirinkimas Šiuo pasiūlymu peržiūrimas Reglamentas (ES) Nr. 526/2013, kuriame nustatyti dabartiniai ENISA įgaliojimai ir užduotys. Be to, atsižvelgiant į svarbų ENISA vaidmenį parengti ir valdyti ES kibernetinio saugumo sertifikavimo sistemą, geriausia naujuosius ENISA įgaliojimus ir minėtą sistemą nustatyti viena bendra teisine priemone – reglamentu. 3.EX POST VERTINIMŲ, KONSULTACIJŲ SU SUINTERESUOTOSIOMIS ŠALIMIS IR POVEIKIO VERTINIMŲ REZULTATAI Galiojančių teisės aktų ex post vertinimas / tinkamumo patikrinimas Remdamasi vertinimo gairėmis Komisija įvertino Agentūros svarbą, poveikį, efektyvumą, veiksmingumą, suderinamumą ir pridėtinę vertę, visa tai susiejant su Agentūros veiklos rezultatais, valdymu, vidaus organizacine struktūra ir darbo praktika 2013–2016 m. laikotarpiu. Pagrindines išvadas galima apibendrinti taip (daugiau informacijos ta tema pateikta prie poveikio vertinimo pridedamame Komisijos tarnybų darbiniame dokumente): ·Svarba. Technologiniai pokyčiai ir kintančios grėsmės, taip pat didesnio kibernetinio saugumo ES poreikis įrodė, kad ENISA tikslai yra svarbūs. Valstybės narės ir ES įstaigos iš tikrųjų pasikliauja jos gausiomis ekspertinėmis žiniomis kibernetinio saugumo klausimais. Be to, valstybės narės turi stiprinti pajėgumus, kad galėtų geriau suprasti grėsmes ir į jas reaguoti, o suinteresuotieji subjektai turi bendradarbiauti įvairiose teminėse srityse ir institucijose. Kibernetinis saugumas tebėra pagrindinis ES politinis prioritetas, į kurį turi atsižvelgti ENISA. Tačiau kadangi ENISA yra ES agentūra, kuriai suteikti terminuoti įgaliojimai: i) ji negali vykdyti ilgalaikio planavimo ir tvariai remti valstybių narių ir ES institucijų; ii) gali susidaryti teisinis vakuumas, kadangi TIS direktyvos nuostatos, kuriomis agentūrai ENISA pavedamos užduotys, yra nuolatinio pobūdžio; iii) trūksta suderinamumo su vizija, pagal kurią ENISA siejama su patobulinta ES kibernetinio saugumo ekosistema. ·Efektyvumas. Apskritai ENISA įvykdė savo tikslus ir įgyvendino užduotis. Vykdydama savo pagrindinę veiklą (stiprindama pajėgumus, teikdama ekspertines žinias, kurdama bendruomenę ir remdama politiką), ji padėjo didinti tinklų ir informacijos saugumą Europoje. Tačiau kiekvienoje srityje jai dar yra kur tobulėti. Vertinime padaryta išvada, kad ENISA veiksmingai užmezgė stiprius ir pasitikėjimu pagrįstus ryšius su kai kuriais suinteresuotaisiais subjektais, ypač su valstybėmis narėmis ir CSIRT bendruomene. Pajėgumų stiprinimo priemonės įvertintos kaip veiksmingos, visų pirma mažesnių išteklių valstybėse narėse. Vienas iš svarbiausių dalykų buvo plataus masto bendradarbiavimo skatinimas – suinteresuotieji subjektai bendrai sutiko dėl teigiamo ENISA vaidmens suartinant žmones. Vis dėlto ENISA patyrė sunkumų siekdama padaryti didelį poveikį plataus masto tinklų ir informacijos saugumo srityje. Tai lėmė ir tai, kad labai plataus masto įgaliojimams vykdyti ji turėjo labai ribotus žmogiškuosius ir finansinius išteklius. Vertinime taip pat padaryta išvada, kad ekspertinių žinių teikimo tikslą ENISA įvykdė iš dalies – tai susiję su tuo, kad buvo sudėtinga įdarbinti ekspertus (taip pat žr. tolesnį skirsnį apie veiksmingumą). ·Veiksmingumas. Nors ir turėjo nedidelį biudžetą – vieną iš mažiausių, palyginti su kitomis ES agentūromis – Agentūra, bendrai veiksmingai panaudodama savo išteklius, sugebėjo prisidėti prie tikslinių uždavinių įgyvendinimo. Vertinime padaryta išvada, kad procesai apskritai buvo veiksmingi ir kad organizacijoje aiškiai pasidalijus funkcijas, darbas buvo atliekamas tinkamai. Viena iš pagrindinių problemų, susijusių su Agentūros veiksmingumu, kyla dėl ENISA patiriamų sunkumų įdarbinti ir išlaikyti aukštos kvalifikacijos ekspertus. Remiantis išvadomis, tai galima paaiškinti keletu veiksnių: sunkumais, kuriuos apskritai patiria viešasis sektorius, konkuruodamas su privačiuoju sektoriumi, stengiantis įdarbinti aukštos kvalifikacijos ekspertus; sutarčių, kurias Agentūra daugiausia galėtų pasiūlyti, tipais (terminuotos sutartys) ir nelabai patrauklia ENISA veiklos vieta, pavyzdžiui, tai susiję su sunkumais, kuriuos gali patirti sutuoktiniai norėdami susirasti darbą. Kadangi veikla buvo vykdoma Atėnuose ir Heraklione, reikėjo papildomų koordinavimo pastangų ir buvo papildomų išlaidų, tačiau 2013 m. perkėlus pagrindinių operacijų departamentą į Atėnus, Agentūros operacinis veiksmingumas padidėjo. ·Suderinamumas. ENISA veikla iš esmės buvo suderinta su jos suinteresuotųjų subjektų politika ir veikla tiek nacionaliniu, tiek ES lygmenimis, tačiau reikalingas labiau koordinuotas požiūris į kibernetinį saugumą ES lygmeniu. ENISA ir kitų ES įstaigų bendradarbiavimo galimybės dar nėra išnaudotos. Dabartiniai įgaliojimai nedera su pakitusia ES teisine ir politine aplinka. ·ES pridėtinė vertė. ENISA pridėtinė vertė pirmiausia susijusi su Agentūros gebėjimu stiprinti bendradarbiavimą, daugiausia tarp valstybių narių, tačiau taip pat ir su susijusiomis tinklų ir informacijos saugumo bendruomenėmis. ES lygmeniu nėra jokio kito subjekto, kuris remtų tokios įvairovės suinteresuotųjų subjektų bendradarbiavimą tinklų ir informacijos saugumo klausimais. Agentūros teikiama papildoma nauda buvo nevienoda ir priklausė nuo skirtingų jos suinteresuotųjų subjektų poreikių (pvz., didelės valstybės narės, palyginti su mažomis; valstybės narės, palyginti su įmonėmis) ir Agentūros poreikio pagal darbo programą nustatyti savo veiklos prioritetus. Vertinime padaryta išvada, kad galimas ENISA veiklos nutraukimas būtų prarasta galimybė visoms valstybėms narėms. Valstybėse narėse nebus galima užtikrinti tokio paties lygio bendruomenės stiprinimo ir bendradarbiavimo kibernetinio saugumo srityje. Jeigu nebūtų labiau centralizuotos ES agentūros, rinka būtų dar labiau suskaidyta, ENISA veiklą pakeistų dvišalis arba regioninis bendradarbiavimas. Konkrečiai atsižvelgiant į ankstesnius ENISA veiklos rezultatus ir į jos ateitį, po 2017 m. konsultacijų išryškėjo šios pagrindinės tendencijos: ·Dauguma respondentų (74 %) bendrą ENISA veiklą 2013–2016 m. laikotarpiu įvertino teigiamai. Dauguma respondentų taip pat manė, kad ENISA pasieks įvairius savo tikslus (kiekvieną tikslą įvykdys bent 63 %). ENISA paslaugomis ir produktais reguliariai (kartą per mėnesį arba dažniau) naudojasi beveik pusė respondentų (46 %); šios paslaugos ir produktai vertinami dėl to, kad gaunami iš ES lygmens įstaigos (83 %), ir dėl kokybės (62 %). ·Respondentai nurodė keletą ES kibernetinio saugumo ateities spragų ir problemų, iš kurių penkios svarbiausios (iš 16) buvo šios: valstybių narių bendradarbiavimas; gebėjimas užkirsti kelią, aptikti didelio masto kibernetinius išpuolius ir juos suvaldyti; valstybių narių bendradarbiavimas kibernetinio saugumo klausimais; įvairių suinteresuotųjų subjektų bendradarbiavimas ir dalijimasis informacija, įskaitant viešojo ir privačiojo sektorių bendradarbiavimą; ypatingos svarbos infrastruktūros apsauga nuo kibernetinių išpuolių. ·Didžioji dauguma respondentų (88 %) manė, kad dabartinės ES lygmens priemonės ir mechanizmai yra nepakankami arba tik iš dalies pakankami šiems klausimams spręsti. Didžioji dauguma respondentų (98 %) nurodė, kad į šiuos poreikius turėtų atsižvelgti ES įstaiga, o 99 % iš jų manė, kad ENISA yra tam tinkama organizacija. Konsultacijos su suinteresuotaisiais subjektais ·2016 m. balandžio 12 d. – liepos 5 d. Komisija surengė viešas konsultacijas dėl ENISA vertinimo ir gavo 421 atsakymą. Vertinimo rezultatai tokie: 67,5 % respondentų išreiškė nuomonę, kad ENISA galėtų atlikti tam tikrą vaidmenį sukuriant suderintą IT produktų ir paslaugų saugumo sertifikavimo sistemą. 2016 m. konsultacijų dėl kibernetinio saugumo sutartinės viešojo ir privačiojo sektorių partnerystės skirsnio dėl sertifikavimo rezultatai rodo, kad: ·50,4 % (t. y. 121 iš 240) respondentų nežino, ar nacionalinės sertifikavimo schemos yra tarpusavyje pripažįstamos visose ES valstybėse narėse. 25,8 % (62 iš 240) atsakė „ne“, o 23,8 % (57 iš 240) atsakė „taip“;

·37,9 % respondentų (91 iš 240) mano, kad esamos sertifikavimo schemos nepadeda tenkinti Europos pramonės poreikių. Kita vertus, 17,5 % respondentų (42 iš 240) – daugiausia pasaulinės bendrovės, veikiančios Europos rinkoje – išreiškė priešingą nuomonę; ·49,6 % (119 iš 240) respondentų teigia, kad nelengva įrodyti standartų, sertifikavimo schemų ir etikečių lygiavertiškumą. 37,9 % (91 iš 240) atsakė „nežinau“ ir tik 12,5 % (30 iš 240) atsakė „taip“. Tiriamųjų duomenų rinkimas ir naudojimas Komisija naudojosi šiomis išorės ekspertų rekomendacijomis: ·ENISA vertinimo tyrimas (Ramboll/Carsa 2017; SMART Nr. 2016/0077) ·IRT saugumo sertifikavimo ir ženklinimo tyrimas. Įrodymų rinkimas ir poveikio vertinimas (PriceWaterhouseCoopers 2017; SMART Nr. 2016/0029). Poveikio vertinimas ·Šios iniciatyvos poveikio vertinimo ataskaitoje buvo nustatytos šios pagrindinės spręstinos problemos: ·kibernetinio saugumo politikos ir požiūrio į kibernetinį saugumą valstybėse narėse nenuoseklumas; ·išskaidyti ištekliai ir nevienodas požiūris į kibernetinį saugumą ES institucijose, agentūrose ir įstaigose ir ·nepakankamas piliečių ir įmonių informavimas, taip pat didėjanti nacionalinių ir sektorinių sertifikavimo schemų įvairovė. Ataskaitoje įvertintos šios galimybės, susijusios su ENISA įgaliojimais: ·išlaikyti status quo, t. y. išplėsti įgaliojimai vis dar būtų ribotos trukmės (atskaitos scenarijaus galimybė); ·dabartinių ENISA įgaliojimų galiojimo pasibaigimas nepratęsiant įgaliojimų ir nenutraukiant ENISA veiklos (intervencinių politikos veiksmų nesiimama); ·pertvarkyta ENISA ir ·visišku operaciniu pajėgumu veikianti ES kibernetinio saugumo agentūra. Ataskaitoje įvertintos šios galimybės, susijusios su kibernetinio saugumo sertifikavimu: ·nesiimti intervencinių politikos veiksmų (atskaitos scenarijaus galimybė);

·imtis neteisėkūros priemonių (privalomos teisinės galios neturintys teisės aktai); ·ES teisėkūros procedūra priimamu teisės aktu sukurti privalomą sistemą visoms valstybėms narėms, paremtą vyresniųjų pareigūnų grupės informacinių sistemų klausimais (SOG-IS) sistema ir ·sukurti ES bendrą IRT kibernetinio saugumo sertifikavimo sistemą. Atlikus analizę prieita prie išvados, kad tinkamiausia galimybė yra pertvarkyti ENISA ir sukurti ES bendrą IRT kibernetinio saugumo sertifikavimo sistemą. Tinkamiausia galimybė buvo įvertinta kaip veiksmingiausia galimybė ES pasiekti nustatytus tikslus: padidinti kibernetinio saugumo pajėgumus, užtikrinti pasirengimą, bendradarbiavimą, informuotumą, skaidrumą ir išvengti rinkos suskaidymo. Ji taip pat buvo įvertinta kaip labiausiai atitinkanti ES kibernetinio saugumo strategijos bei susijusių politikos sričių (pvz., TIS direktyvos) ir bendrosios skaitmeninės rinkos strategijos politinius prioritetus. Per konsultacijas taip pat paaiškėjo, kad tinkamiausią galimybę palaiko dauguma suinteresuotųjų subjektų. Be to, rengiant poveikio vertinimą atlikta analizė parodė, kad pasirinkus tinkamiausią galimybę tikslai būtų pasiekti racionaliai panaudojant išteklius. Komisijos reglamentavimo patikros valdyba iš pradžių liepos 24 d. pateikė neigiamą nuomonę, o vėliau, po pakartotinio ataskaitos pateikimo, 2017 m. rugpjūčio 25 d. pateikė teigiamą nuomonę. Į iš dalies pakeistą poveikio vertinimo ataskaitą buvo įtraukta papildomų įrodymų, galutinės ENISA vertinimo išvados ir papildomų paaiškinimų dėl politikos galimybių ir jų poveikio. Galutinės poveikio vertinimo ataskaitos 1 priede apibendrinama, kaip buvo atsižvelgta į valdybos antros nuomonės pastabas. Visų pirma ataskaita buvo atnaujinta siekiant išsamiau apibūdinti ES kibernetinio saugumo aplinką, įskaitant priemones, įtrauktas į bendrą komunikatą „Atsparumas, atgrasymas ir gynyba: ES kibernetinio saugumo didinimas“ (JOIN(2017) 450) ir ypač svarbias agentūrai ENISA – ES kibernetinio saugumo projektą ir Europos kibernetinio saugumo mokslinių tyrimų ir kompetencijos centrą, kuriems Agentūra teiks patarimus apie ES mokslinių tyrimų poreikius. Ataskaitoje paaiškinama, kaip Agentūros pertvarka, susijusi, be kita ko, su naujomis užduotimis, geresnėmis įdarbinimo sąlygomis ir struktūriniu bendradarbiavimu su atitinkamos srities ES įstaigomis, padidintų jos kaip darbdavio patrauklumą ir padėtų spręsti problemas, susijusias su ekspertų samdymu. Ataskaitos 6 priede taip pat pateikiama patikslinta išlaidų, susijusių su ENISA politikos galimybėmis, sąmata. Sertifikavimo klausimu ataskaita buvo peržiūrėta siekiant išsamiau paaiškinti tinkamiausią galimybę (taip pat grafiškai) ir pateikti valstybėms narėms bei Komisijai tenkančių išlaidų, susijusių su nauja sertifikavimo sistema, sąmatą. Taip pat buvo išsamiau paaiškintas ENISA kaip pagrindinio sistemos subjekto pasirinkimas, susijęs su jos patirtimi šioje srityje ir tuo, kad ji yra vienintelė ES lygmens kibernetinio saugumo agentūra. Galiausiai buvo peržiūrėti sertifikavimui skirti skirsniai, siekiant išaiškinti skirtumus, palyginti su dabartine SOG-IS sistema, paaiškinti skirtingų politikos galimybių naudą bei tai, kad pačioje patvirtintoje Europos sertifikavimo schemoje bus apibrėžta IRT produktų ir paslaugų, kuriems taikoma ta schema, rūšis. Reglamentavimo tinkamumas ir supaprastinimas Netaikoma Poveikis pagrindinėms teisėms Kibernetinis saugumas yra būtinas norint apsaugoti asmenų privatumą ir asmens duomenis pagal ES pagrindinių teisių chartijos 7 ir 8 straipsnius. Įvykus kibernetiniam incidentui aiški grėsmė kyla privatumui ir asmens duomenų apsaugai. Taigi, kibernetinis saugumas yra būtina sąlyga privatumo ir asmens duomenų konfidencialumo apsaugai. Šiuo atžvilgiu, siekiant sustiprinti kibernetinį saugumą Europoje, pasiūlymu svariai papildomi galiojantys teisės aktai, kuriais užtikrinama pagrindinė teisė į privatumą ir asmens duomenis. Kibernetinis saugumas taip pat yra būtinas siekiant apsaugoti elektroninių ryšių konfidencialumą, taigi ir naudojimuisi žodžio laisve, informacijos laisve ir kitomis susijusiomis teisėmis, pavyzdžiui, minties, sąžinės ir religijos laisve. 4.POVEIKIS BIUDŽETUI Žr. finansinę pažymą 5.KITI ELEMENTAI •Įgyvendinimo planai ir stebėjimo, vertinimo ir ataskaitų teikimo taisyklės Komisija stebės šio reglamento taikymą ir kas penkerius metus teiks vertinimo ataskaitą Europos Parlamentui, Tarybai ir Europos ekonomikos ir socialinių reikalų komitetui. Tose viešose ataskaitose bus pateikiama išsamios informacijos apie faktinį šio reglamento taikymą ir jo vykdymo užtikrinimą. •Išsamus konkrečių pasiūlymo nuostatų paaiškinimas Reglamento I antraštinėje dalyje išdėstomos bendrosios nuostatos: dalykas (1 straipsnis), apibrėžtys (2 straipsnis), įskaitant nuorodas į atitinkamas apibrėžtis kituose ES teisės aktuose, pavyzdžiui, Europos Parlamento ir Tarybos direktyvoje (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (TIS direktyva), Europos Parlamento ir Tarybos reglamente (EB) Nr. 765/2008, nustatančiame su gaminių prekyba susijusius akreditavimo ir rinkos priežiūros reikalavimus gaminių pardavimo srityje ir panaikinančiame Reglamentą (EEB) Nr. 339/93, ir Europos Parlamento ir Tarybos reglamente (ES) Nr. 1025/2012 dėl Europos standartizacijos.

Reglamento II antraštinėje dalyje išdėstomos pagrindinės nuostatos, susijusios su ENISA, ES kibernetinio saugumo agentūra. Šios antraštinės dalies I skyriuje nustatomi Agentūros įgaliojimai (3 straipsnis), tikslai (4 straipsnis) ir užduotys (5–11 straipsniai). II skyriuje išdėstomas ENISA organizavimas ir pagrindinės nuostatos dėl jos struktūros (12 straipsnis). Jame nurodoma Valdančiosios tarybos (1 skirsnis, 13–17 straipsniai) ir Vykdomosios valdybos (2 skirsnis, 18 straipsnis) sudėtis, balsavimo taisyklės ir funkcijos bei vykdomojo direktoriaus (3 skirsnis, 19 straipsnis) funkcijos. Į jį taip pat įtrauktos nuostatos dėl nuolatinės suinteresuotųjų subjektų grupės (4 skirsnis, 20 straipsnis) sudėties ir vaidmens. Paskutiniame, bet ne mažiau svarbiame šio skyriaus 5 skirsnyje išdėstomos Agentūros veiklos taisyklės, susijusios, be kita ko, su Agentūros veiklos planavimu, interesų konfliktu, skaidrumu, konfidencialumu ir galimybe susipažinti su dokumentais (21–25 straipsniai). III skyrius yra susijęs su Agentūros biudžeto sudarymu ir jo struktūra (26 ir 27 straipsniai) bei jo įgyvendinimo taisyklėmis (28 ir 29 straipsniai). Į jį taip pat įtrauktos nuostatos, kuriomis siekiama lengvinti kovą su sukčiavimu, korupcija ir kita neteisėta veikla (30 straipsnis). IV skyrius yra susijęs su Agentūros darbuotojais. Jame pateikiamos bendrosios nuostatos dėl Tarnybos nuostatų ir įdarbinimo sąlygų ir taisyklės dėl privilegijų ir imuniteto (31 ir 32 straipsniai). Jame taip pat išdėstomos Agentūros vykdomojo direktoriaus įdarbinimo ir skyrimo taisyklės (33 straipsnis). Galiausiai jame pateikiamos nuostatos dėl deleguotųjų nacionalinių ekspertų ar kitų Agentūroje neįdarbintų darbuotojų (34 straipsnis). Paskutiniame V skyriuje pateikiamos bendrosios su Agentūra susijusios nuostatos. Jame nurodomas teisinis statusas (35 straipsnis), taip pat nuostatos, reglamentuojančios atsakomybės, kalbų vartojimo ir asmens duomenų apsaugos klausimus (36–38 straipsniai), bei įslaptintos informacijos ir neskelbtinos neįslaptintos informacijos apsaugai užtikrinti skirtos saugumo taisyklės (40 straipsnis). Jame apibūdinamos Agentūros bendradarbiavimo su trečiosiomis šalimis ir tarptautinėmis organizacijomis taisyklės (39 straipsnis). Galiausiai jame pateikiamos nuostatos dėl Agentūros būstinės ir veiklos sąlygų, taip pat ombudsmeno administracinės kontrolės (41 ir 42 straipsniai). Reglamento III antraštine dalimi kaip lex generalis įsteigiama IRT produktų ir paslaugų Europos kibernetinio saugumo sertifikavimo sistema (toliau – Sistema) (1 straipsnis). Joje nustatomas bendrasis Europos kibernetinio saugumo sertifikavimo schemų tikslas, t. y. užtikrinti, kad IRT produktai ir paslaugos atitiktų nustatytus kibernetinio saugumo reikalavimus, susijusius su jų pajėgumu tam tikru saugumo užtikrinimo lygiu išlikti atspariais veiksmams, keliantiems pavojų saugomų, perduodamų ar tvarkomų duomenų arba susijusių funkcijų arba paslaugų prieinamumui, autentiškumui, vientisumui ar konfidencialumui (43 straipsnis). Be to, joje nurodomi saugumo tikslai, kurių turi būti siekiama Europos kibernetinio saugumo sertifikavimo schemomis (45 straipsnis), be kita ko, gebėjimas apsaugoti duomenis nuo atsitiktinės arba neteisėtos prieigos ar atskleidimo, sunaikinimo ar pakeitimo, taip pat Europos kibernetinio saugumo sertifikavimo schemų turinys (t. y. elementai), kaip antai, išsamiai apibrėžta taikymo sritis, saugumo tikslai, vertinimo kriterijai ir kt. (47 straipsnis). III antraštinėje dalyje taip pat nustatomas pagrindinis Europos kibernetinio saugumo sertifikavimo schemų teisinis poveikis, t. y. i) prievolė įgyvendinti schemą nacionaliniu lygmeniu ir savanoriškas sertifikavimas; ii) Europos kibernetinio saugumo sertifikavimo schemomis panaikinamas tiems patiems produktams ar paslaugoms taikomų nacionalinių schemų galiojimas (48 ir 49 straipsniai). Šioje antraštinėje dalyje taip pat nustatomos Europos kibernetinio saugumo sertifikavimo schemų tvirtinimo procedūros ir atitinkami Komisijos, ENISA ir Europos kibernetinio saugumo sertifikavimo grupės (toliau – grupė) vaidmenys (44 straipsnis). Galiausiai šioje antraštinėje dalyje pateikiamos nuostatos dėl atitikties vertinimo įstaigų, įskaitant jų reikalavimus, įgaliojimus ir užduotis, nacionalines sertifikavimo priežiūros institucijas ir sankcijas. Taip pat šia antraštine dalimi įsteigiama iš nacionalinių sertifikavimo priežiūros institucijų atstovų sudaryta grupė, kurios pagrindinė funkcija – bendradarbiauti su ENISA rengiant Europos kibernetinio saugumo sertifikavimo schemas ir patarti Komisijai bendro pobūdžio ar konkrečiais kibernetinio saugumo sertifikavimo politikos klausimais. Reglamento IV antraštinėje dalyje pateikiamos baigiamosios nuostatos, apibrėžiančios įgaliojimų delegavimą, vertinimo reikalavimus, panaikinimą ir tęstinumą bei įsigaliojimą.



2017/0225 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl ES kibernetinio saugumo agentūros ENISA ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013 (Kibernetinio saugumo aktas) (Tekstas svarbus EEE) EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA, atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį, atsižvelgdami į Europos Komisijos pasiūlymą,

teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams, atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę, atsižvelgdami į Regionų komiteto nuomonę, laikydamiesi įprastos teisėkūros procedūros, kadangi: (1)tinklų ir informacinės sistemos bei telekomunikacijų tinklai ir paslaugos atlieka visuomenei gyvybiškai svarbų vaidmenį ir yra ekonomikos augimo pamatas. Informacinėmis ir ryšių technologijomis grindžiamos sudėtingos sistemos, kurias taikant remiama visuomeninė veikla, užtikrinamas mūsų ekonomikos pagrindinių sektorių, kaip antai sveikatos, energetikos, finansų ir transporto, funkcionavimas ir visų pirma remiamas vidaus rinkos veikimas; (2)tinklų ir informacines sistemas piliečiai, įmonės ir valdžios institucijos visoje Sąjungoje dabar naudoja labai plačiai. Skaitmeninimas ir ryšys tampa pagrindinėmis vis didesnės produktų ir paslaugų dalies savybėmis, ir numatoma, kad, įsitvirtinus daiktų internetui, per ateinantį dešimtmetį ES bus įdiegta milijonai, jei ne milijardai susietųjų skaitmeninių įrenginių. Nors prie interneto prijungiama vis daugiau įrenginių, juos projektuojant neužtikrinamas pakankamas saugumas ir atsparumas, dėl to jų kibernetinis saugumas yra nepakankamas. Šiomis aplinkybėmis dėl nepakankamo sertifikavimo organizacijos ir pavieniai vartotojai negauna pakankamai informacijos apie IRT produktų ir paslaugų kibernetinį saugumą, o tai mažina pasitikėjimą skaitmeniniais sprendimais; (3)dėl išaugusio skaitmeninimo ir ryšio padidėjo kibernetinio saugumo rizika, todėl visuomenė yra labiau pažeidžiama dėl kibernetinių grėsmių ir padidėjo gyventojams, įskaitant pažeidžiamus asmenis, pvz., vaikus, kylantys pavojai. Siekiant sumažinti šią riziką visuomenei būtina imtis visų reikiamų veiksmų, kad ES būtų padidintas kibernetinis saugumas ir geriau nuo kibernetinių grėsmių apsaugotos tinklų ir informacinės sistemos, telekomunikacijų tinklai ir skaitmeniniai produktai, paslaugos ir įrenginiai, kuriais naudojasi piliečiai, valdžios institucijos ir įmonės – nuo MVĮ iki ypatingos svarbos infrastruktūros operatorių; (4)kibernetinių išpuolių daugėja, todėl susietajai ekonomikai ir visuomenei, labiau pažeidžiamai dėl kibernetinių grėsmių ir išpuolių, reikalinga didesnė apsauga. Vis dėlto, nors kibernetiniai išpuoliai dažnai yra tarpvalstybinio pobūdžio, kibernetinio saugumo institucijų atsakomosios politikos priemonės ir teisėsaugos institucijų kompetencijos daugiausia yra nacionalinės. Didelio masto kibernetiniai incidentai gali sutrikdyti esminių paslaugų visoje ES teikimą. Todėl būtinas veiksmingas ES lygmens atsakas ir krizių valdymas, paremtas specializuota politika ir bendresnio pobūdžio Europos solidarumo ir savitarpio pagalbos priemonėmis. Be to, politikos formuotojams, sektoriaus atstovams ir naudotojams yra svarbu, kad reguliariai būtų vykdomas patikimais Sąjungos duomenimis grindžiamas kibernetinio saugumo ir atsparumo būklės Sąjungoje vertinimas ir sistemingai prognozuojami Sąjungos ir pasaulinio masto ateities pokyčiai, sunkumai ir grėsmės; (5)atsižvelgiant į padidėjusius kibernetinio saugumo iššūkius, su kuriais susiduria Sąjunga, būtina parengti išsamų ankstesniais Sąjungos veiksmais grindžiamų priemonių, kuriomis remiami vienas kitą papildantys tikslai, rinkinį. Tam būtina dar labiau gerinti valstybių narių ir įmonių pajėgumus bei parengtį, taip pat gerinti valstybių narių ir ES institucijų, agentūrų ir įstaigų bendradarbiavimą ir koordinavimą. Be to, dėl tarpvalstybinio kibernetinių grėsmių pobūdžio būtina didinti Sąjungos lygmens pajėgumus, kurie galėtų papildyti valstybių narių veiksmus, visų pirma didelių tarpvalstybinių kibernetinių incidentų ir krizių atveju. Taip pat reikia dėti daugiau pastangų siekiant didinti piliečių ir įmonių informuotumą apie kibernetinio saugumo problemas. Be to, reikėtų dar labiau didinti pasitikėjimą skaitmenine bendrąja rinka teikiant skaidrią informaciją apie IRT produktų ir paslaugų saugumo lygį. To siekti galėtų padėti ES masto sertifikavimas, numatant bendrus kibernetinio saugumo reikalavimus ir vertinimo kriterijus visose nacionalinėse rinkose ir sektoriuose; (6)2004 m. Europos Parlamentas ir Taryba priėmė Reglamentą (EB) Nr. 460/2004, įsteigiantį ENISA, siekdami prisidėti prie šių tikslų įgyvendinimo: užtikrinti aukštą Sąjungos tinklų ir informacijos saugumo lygį ir piliečių, vartotojų, įmonių ir viešojo sektoriaus organizacijų labui formuoti tinklų ir informacijos saugumo kultūrą. 2008 m. Europos Parlamentas ir Taryba priėmė Reglamentą (EB) Nr. 1007/2008, kuriuo Agentūros įgaliojimai pratęsti iki 2012 m. kovo mėn. Reglamentu (EB) Nr. 580/2011 agentūros įgaliojimai buvo dar pratęsti iki 2013 m. rugsėjo 13 d. 2013 m. Europos Parlamentas ir Taryba priėmė Reglamentą (ES) Nr. 526/2013 dėl ENISA, kuriuo panaikintas Reglamentas (EB) Nr. 460/2004 ir kuriuo Agentūros įgaliojimai buvo pratęsti iki 2020 m. birželio mėn.; (7)Sąjunga jau ėmėsi svarbių veiksmų siekdama užtikrinti kibernetinį saugumą ir padidinti pasitikėjimą skaitmeninėmis technologijomis. 2013 m. buvo priimta ES kibernetinio saugumo strategija siekiant Sąjungos politikos atsaką nukreipti į kibernetinio saugumo grėsmes ir riziką. Siekdama geriau apsaugoti europiečius internete 2016 m. Sąjunga priėmė pirmąjį teisėkūros procedūra priimamą kibernetinio saugumo srities aktą – Direktyvą (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (TIS direktyvą). TIS direktyva buvo nustatyti reikalavimai, susiję su kibernetinio saugumo srities nacionaliniais pajėgumais, sukurti pirmieji mechanizmai, kuriais siekiama stiprinti strateginį ir operatyvinį valstybių narių bendradarbiavimą, ir nustatytos prievolės, susijusios su saugumo priemonėmis ir pranešimais apie incidentus ypatingo svarbos ekonomikai ir visuomenei sektoriuose, pvz., energetikos, transporto, vandens, bankininkystės, finansų rinkų infrastruktūros, sveikatos priežiūros, skaitmeninės infrastruktūros, taip pat pagrindinių skaitmeninių paslaugų teikėjų (paieškos sistemų, debesijos kompiuterijos paslaugų ir elektroninių prekyviečių). Pagrindinis vaidmuo padėti įgyvendinti šią direktyvą buvo priskirtas ENISA. Be to, svarbus Europos saugumo darbotvarkės prioritetas – veiksmingai kovoti su kibernetiniais nusikaltimais, prisidedant prie bendro tikslo užtikrinti aukštą kibernetinio saugumo lygį; (8)pripažįstama, kad nuo tada, kai 2013 m. buvo priimta ES kibernetinio saugumo strategija ir paskutinį kartą buvo persvarstyti Agentūros įgaliojimai, bendros politinės aplinkybės labai pasikeitė, taip pat dėl labiau nenuspėjamos ir nesaugesnės aplinkos visame pasaulyje. Šiomis sąlygomis ir remiantis nauja Sąjungos kibernetinio saugumo politika būtina peržiūrėti ENISA įgaliojimus, kad būtų apibrėžtas jos vaidmuo pasikeitusioje kibernetinio saugumo ekosistemoje ir užtikrinti, kad ji veiksmingai prisidėtų prie Sąjungos veiksmų reaguojant į kibernetinio saugumo problemas dėl radikaliai pasikeitusių grėsmių, kurioms spręsti, kaip pripažinta Agentūros vertinime, esamų įgaliojimų nepakanka; (9)šiuo reglamentu įsteigta Agentūra turėtų pakeisti Reglamentu (ES) Nr. 526/2013 įsteigtą ENISA. Agentūra turėtų vykdyti šiuo reglamentu ir kibernetinio saugumo srities Sąjungos teisės aktais jai pavestas užduotis, be kita ko, teikdama ekspertines žinias ir konsultuodama bei atlikdama Sąjungos informacijos ir žinių centro funkcijas. Ji turėtų skatinti keistis geriausia patirtimi tarp valstybių narių ir privačių suinteresuotųjų subjektų, teikti politikos pasiūlymus Europos Komisijai ir valstybėms narėms, veikti kaip informacinis centras vykdant Sąjungos sektorių politikos iniciatyvas kibernetinio saugumo klausimais, skatinti operatyvinį valstybių narių tarpusavio ir valstybių narių bei ES institucijų, agentūrų ir įstaigų bendradarbiavimą; (10)Sprendimu 2004/97/EB, Euratomas, kuris buvo priimtas 2003 m. gruodžio 13 d. įvykusiame Europos Vadovų Tarybos susitikime, valstybių narių atstovai nusprendė, kad ENISA būstinė bus viename iš Graikijos miestų, dėl kurio nuspręs Graikijos vyriausybė. Agentūrą priimančioji valstybė narė turėtų užtikrinti kuo geresnes jos sklandžios ir veiksmingos veiklos sąlygas. Kad Agentūra tinkamai ir veiksmingai vykdytų savo užduotis, samdytų ir išsaugotų darbuotojus bei didintų tinklų kūrimo veiklos veiksmingumą, yra būtina Agentūrą įkurdinti tinkamoje vietovėje, be kita ko, užtikrinant tinkamas transporto jungtis ir infrastruktūrą Agentūros darbuotojus lydintiems sutuoktiniams ir vaikams. Agentūros ir priimančiosios valstybės narės susitarime, sudarytame gavus Agentūros Valdančiosios tarybos pritarimą, turėtų būti nustatytos reikiamos nuostatos; (11)atsižvelgiant į didėjančius kibernetinio saugumo iššūkius, su kuriais susiduria Sąjunga, reikėtų padidinti Agentūrai skiriamus finansinius ir žmogiškuosius išteklius, kad būtų atsižvelgta į didesnį jos vaidmenį ir uždavinius, taip pat labai svarbų jos vaidmenį Europos skaitmeninę ekosistemą ginančių organizacijų ekosistemoje; (12)Agentūra turėtų kurti ir išlaikyti aukšto lygio ekspertines žinias ir veikti kaip informacinis centras, skatinantis pasitikėti bendrąja rinka – visa tai ji galėtų pasiekti būdama nepriklausoma, teikdama kokybiškas konsultacijas ir skleisdama kokybišką informaciją, užtikrindama savo procedūrų ir veiklos būdų skaidrumą bei uoliai vykdydama savo užduotis. Vykdydama savo užduotis ir visapusiškai bendradarbiaudama su Sąjungos institucijomis, įstaigomis, tarnybomis ir agentūromis bei valstybėmis narėmis Agentūra turėtų aktyviai prisidėti prie nacionalinių ir Sąjungos veiksmų. Be to, Agentūra turėtų remtis privačiojo sektoriaus ir kitų atitinkamų suinteresuotųjų subjektų indėliu ir bendradarbiavimu su jais. Užduočių sąraše turėtų būti nurodyta, kaip Agentūra turi siekti savo tikslų, tačiau jos veiklos sąlygos turėtų būti lanksčios; (13)Agentūra turėtų padėti Komisijai teikdama patarimus, nuomones ir analizę visais su Sąjungos kibernetinio saugumo, taip pat ypatingos svarbos infrastruktūros apsaugos ir kibernetinio atsparumo politikos ir teisės plėtojimu, atnaujinimu ir peržiūra susijusiais klausimais. Rengiant Sąjungos sektorinę politiką ir teisės aktų iniciatyvas kibernetinio saugumo klausimais Agentūra turėtų veikti kaip informacinis centras, teikdama patarimus ir ekspertines žinias; (14)pagrindinė Agentūros užduotis yra skatinti nuosekliai įgyvendinti atitinkamus teisės aktus, visų pirma veiksmingai įgyvendinti TIS direktyvą, nes tai itin svarbu siekiant padidinti kibernetinį atsparumą. Turint omeny sparčiai kintančias grėsmes kibernetiniam saugumui, akivaizdu, kad valstybėms narėms būtina padėti laikantis platesnio, įvairias politikos sritis apimančio požiūrio į kibernetinio atsparumo didinimą; (15)Agentūra turėtų padėti valstybėms narėms ir Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms plėtoti ir stiprinti pajėgumą ir pasirengimą užkirsti kelią tinklų ir informacijos saugumo problemoms ir incidentams, juos nustatyti ir į juos reaguoti. Visų pirma Agentūra turėtų padėti plėtoti ir stiprinti nacionalines CSIRT, siekiant užtikrinti vienodą jų brandos Sąjungoje lygį. Agentūra taip pat turėtų padėti rengti ir atnaujinti Sąjungos ir valstybių narių tinklų ir informacinių sistemų saugumo, visų pirma kibernetinio saugumo, strategijas, skatinti jų sklaidą ir stebėti jų įgyvendinimo pažangą. Be to, Agentūra turėtų organizuoti viešiesiems subjektams skirtus mokymus ir teikti mokymo medžiagą bei, prireikus, mokyti instruktorius, siekiant padėti valstybėms narėms plėtoti jų pačių mokymo pajėgumus;

(16) Agentūra turėtų padėti pagal TIS direktyvą įsteigtai Bendradarbiavimo grupei vykdyti jos užduotis, visų pirma susijusias su valstybių narių esminių paslaugų teikėjų nustatymu, taip pat klausimais, susijusiais su tarpvalstybine priklausomybe, rizika ir incidentais, teikdama ekspertines žinias bei konsultuodama ir sudaryti palankesnes sąlygas keistis geriausia praktika; (17)siekiant skatinti viešojo ir privačiojo sektorių bendradarbiavimą ir bendradarbiavimą privačiajame sektoriuje, visų pirma siekiant padėti apsaugoti ypatingos svarbos infrastruktūros objektus, Agentūra turėtų padėti kurti sektorių keitimosi informacija ir jos analizės centrus (ISAC) dalydamasi geriausia praktika ir teikdama rekomendacijas apie esamas priemones ir procedūras, taip pat rekomendacijas sprendžiant su keitimusi informacija susijusius reguliavimo klausimus; (18)Agentūra turėtų apibendrinti ir analizuoti nacionalines CSIRT ir CERT-EU ataskaitas ir nustatyti bendras keitimosi informacija taisykles, kalbą ir terminiją. Remdamasi TIS direktyva, kuria, sukūrus CSIRT tinklą, padėtas pamatas savanoriškiems techninės informacijos mainams operatyviniu lygmeniu, Agentūra taip pat turėtų įtraukti privatųjį sektorių; (19)Agentūra turėtų padėti ES lygmeniu reaguoti į didelio masto tarpvalstybinius kibernetinio saugumo incidentus ir krizes. Vykdydama šią veiklą Agentūra turėtų rinkti svarbią informaciją ir prisiimti tarpininkės tarp CSIRT tinklo, techninės bendruomenės ir už krizių valdymą atsakingų sprendimus priimančių asmenų vaidmenį. Be to, Agentūra galėtų padėti valdyti incidentus techniniu požiūriu sudarydama palankesnes sąlygas valstybėms narėms keistis tinkamais techniniais sprendimais ir prisidėdama prie viešųjų ryšių. Agentūra turėtų palaikyti šį procesą per kasmetines kibernetinio saugumo pratybas išbandydama tokio bendradarbiavimo būdus; (20)kad vykdydama savo veiklos užduotis Agentūra pasinaudotų CERT-EU ekspertinėmis žiniomis, jos turėtų palaikyti struktūrinį bendradarbiavimą būdamos netoli fizine prasme. Struktūrinis bendradarbiavimas paskatins reikiamą sinergiją ir ENISA ekspertinių žinių kaupimą. Jei tinkama, turėtų būti sudaryti specialūs šių dviejų organizacijų susitarimai, kuriuose turėtų būti nustatyta, kaip toks bendradarbiavimas bus įgyvendinamas praktiškai; (21)vykdydama savo veiklos užduotis Agentūra turėtų teikti paramą valstybėms narėms, pavyzdžiui, konsultuoti ar teikti techninę pagalbą arba vykdyti grėsmių ir incidentų analizę. Komisijos rekomendacijoje dėl koordinuoto atsako į didelio masto kibernetinio saugumo incidentus ir krizes rekomenduojama, kad valstybės narės geranoriškai bendradarbiautų ir nedelsdamos dalytųsi tarpusavyje bei su ENISA informacija apie didelio masto kibernetinio saugumo incidentus ir krizes. Tokia informacija turėtų dar labiau padėti ENISA vykdyti savo veiklos užduotis; (22)reguliaraus techninio bendradarbiavimo, padedančio būti geriau informuotiems apie padėtį Sąjungoje, dalis turėtų būti Agentūros reguliariai rengiama ES kibernetinio saugumo techninės padėties ataskaita, kurioje apžvelgiami incidentai ir grėsmės ir kuri grindžiama viešai prieinama informacija, pačios Agentūros atliekama analize ir ataskaitomis, kurias Agentūrai pateikė valstybių narių CSIRT (savanoriškai) arba pagal TIS direktyvą įsteigti bendrieji informaciniai centrai, Europolo Europos kovos su elektroniniu nusikalstamumu centras (EC3), CERT-EU ir prireikus Europos išorės veiksmų tarnybai priklausantis Europos Sąjungos žvalgybos analizės centras (INTCEN). Ataskaita turėtų būti pateikta atitinkamoms Tarybos instancijoms, Komisijai, Sąjungos vyriausiajam įgaliotiniui užsienio reikalams ir saugumo politikai ir CSIRT tinklui; (23)atitinkamų valstybių narių prašymu arba su jomis sutarus didelį poveikį daugiau negu vienai valstybei narei padariusių incidentų ex post techniniuose tyrimuose, kuriuos vykdo arba jų vykdymą remia Agentūra, daugiausia dėmesio turėtų būti skiriama incidentų prevencijai, ir jie turėtų būti vykdomi nedarant poveikio bet kokiems teisminiams ar administraciniams procesams, kuriais siekiama nustatyti, kas yra kaltas ar atsakingas; (24)atitinkamos valstybės narės turėtų teikti Agentūrai reikalingą informaciją ir pagalbą tyrimo vykdymo tikslais, nepažeidžiant Sutarties dėl Europos Sąjungos veikimo 346 straipsnio, arba dėl kitų viešosios politikos priežasčių; (25)valstybės narės gali paraginti incidento paveiktas įmones bendradarbiauti ir teikti reikalingą informaciją ir pagalbą Agentūrai, nepažeidžiant jų teisės apsaugoti neskelbtiną komercinę informaciją; (26)siekdama geriau suprasti kibernetinio saugumo srities problemas ir teikti strategines ilgalaikes rekomendacijas valstybėms narėms ir Sąjungos institucijoms Agentūra turi analizuoti esamą ir atsirandančią riziką. Šiuo tikslu Agentūra, bendradarbiaudama su valstybėmis narėmis ir prireikus su statistikos įstaigomis ir kitais subjektais, turėtų rinkti reikiamą informaciją ir vykdyti naujausių technologijų analizę bei teikti teminius vertinimus, susijusius su numatomu tinklų ir informacijos saugumo, visų pirma kibernetinio saugumo, srities technologinių inovacijų visuomeniniu, teisiniu, ekonominiu ir reguliavimo poveikiu. Be to, Agentūra, vykdydama grėsmių ir incidentų analizę, turėtų padėti valstybėms narėms ir Sąjungos institucijoms, agentūroms ir įstaigoms nustatyti atsirandančias tendencijas ir išvengti su kibernetiniu saugumu susijusių problemų; (27)kad padidintų Sąjungos atsparumą, Agentūra turėtų plėtoti mokslinę kompetenciją interneto infrastruktūros ir ypatingos svarbos infrastruktūros objektų saugumo klausimais, konsultuodama, teikdama rekomendacijas ir dalydamasi geriausia praktika. Siekdama užtikrinti lengvesnę prieigą prie geriau struktūruotos informacijos apie kibernetinio saugumo riziką ir galimas taisomąsias priemones, Agentūra turėtų sukurti ir palaikyti Sąjungos informacijos centrą – vieno langelio principu veikiantį portalą, kuriame visuomenei būtų prieinama ES ir nacionalinių institucijų, agentūrų ir įstaigų teikiama informacija apie kibernetinį saugumą; (28)Agentūra turėtų padėti didinti visuomenės informuotumą apie riziką, susijusią su kibernetiniu saugumu, ir piliečiams bei organizacijoms pateikti atskiriems naudotojams skirtas gerosios praktikos rekomendacijas. Agentūra taip pat turėtų padėti skatinti asmenis ir organizacijas taikyti geriausią patirtį ir sprendimus, šiuo tikslu rinkdama ir analizuodama viešai prieinamą informaciją apie didelius incidentus, taip pat rengti ataskaitas siekdama įmonėms ir piliečiams teikti rekomendacijas bei pagerinti bendrą pasirengimo ir atsparumo lygį. Agentūra, bendradarbiaudama su valstybėmis narėmis ir Sąjungos institucijomis, įstaigomis, tarnybomis ir agentūromis, taip pat turėtų organizuoti reguliarias galutiniams vartotojams skirtas visuomenės švietimo kampanijas, kuriomis būtų siekiama propaguoti saugesnį asmens elgesį internetinėje aplinkoje ir skatinti informuoti apie galimas grėsmes kibernetinėje erdvėje, įskaitant elektroninius nusikaltimus, kaip antai duomenų vagystes, botnetus, finansinį ir bankinį sukčiavimą, taip pat skatinti teikti pagrindinę patariamojo pobūdžio informaciją apie autentiškumo patvirtinimą ir duomenų apsaugą. Agentūra turėtų atlikti pagrindinį vaidmenį spartindama galutinių vartotojų informuotumą apie įrenginių saugumą; (29)siekdama padėti kibernetinio saugumo sektoriuje veikiančioms įmonėms bei kibernetinio saugumo sprendimų naudotojams Agentūra turėtų sukurti rinkos stebėjimo centrą ir palaikyti jo veiklą reguliariai analizuodama svarbiausias kibernetinio saugumo rinkos paklausos ir pasiūlos tendencijas ir skleisdama apie jas informaciją; (30)kad Agentūra galėtų pasiekti visus savo tikslus, ji turėtų bendradarbiauti su atitinkamomis institucijomis, agentūromis ir įstaigomis, be kita ko, CERT-EU, Europolo Europos kovos su elektroniniu nusikalstamumu centru (EC3), Europos gynybos agentūra (EGA), Europos didelės apimties IT sistemų operacijų valdymo agentūra (eu-LISA), Europos aviacijos saugos agentūra (EASA) ir kitoms su kibernetiniu saugumu susijusiomis ES agentūromis. Ji taip pat turėtų bendradarbiauti su duomenų apsaugos institucijomis siekiant keistis praktine patirtimi ir geriausia praktika ir teikti rekomendacijas dėl poveikį jų darbui galinčių daryti kibernetinio saugumo aspektų. Nacionalinių ir Sąjungos teisėsaugos ir duomenų apsaugos institucijų atstovams turėtų būti suteikta teisė dalyvauti Agentūros nuolatinės suinteresuotųjų subjektų grupės veikloje. Bendradarbiaudama su teisėsaugos įstaigomis tinklų ir informacijos saugumo aspektais, galinčiais turėti įtakos jų darbui, Agentūra turėtų naudotis esamais informacijos kanalais ir sukurtais tinklais; (31)be visų TIS direktyvoje apibrėžtų atitinkamų CSIRT tinklo užduočių vykdymo, Agentūra, kaip narė, kuri taip pat teikia CSIRT tinklo sekretoriato paslauga, turėtų remti valstybių narių CSIRT ir CERT-EU operatyvinį bendradarbiavimą. Be to, Agentūra turėtų skatinti ir remti atitinkamų CSIRT bendradarbiavimą incidentų, išpuolių arba tinklo ar infrastruktūros, kurią valdo ar saugo CSIRT ir kurioje dalyvauja ar potencialiai dalyvautų bent dvi CERT, sutrikimų atvejais, deramai atsižvelgdama į CSIRT tinklo standartines veiklos procedūras; (32)kad Sąjunga būtų geriau pasirengusi reaguoti į kibernetinio saugumo incidentus, Agentūra turėtų organizuoti kasmetines Sąjungos lygmens kibernetinio saugumo pratybas ir valstybėms narių, ES institucijų, agentūrų ir įstaigų prašymu padėti joms organizuoti pratybas; (33)kad galėtų prisidėti prie Sąjungos kibernetinio saugumo sertifikavimo politikos Agentūra turėtų toliau gerinti ir išlaikyti savo kompetenciją šiais klausimais. Agentūra turėtų skatinti kibernetinio saugumo sertifikavimo diegimą Sąjungoje, be kita ko, prisidėdama prie Sąjungos lygmens kibernetinio saugumo sertifikavimo sistemos sukūrimo ir taikymo, siekiant didinti IRT produktų ir paslaugų kibernetinio saugumo užtikrinimo skaidrumą ir taip sustiprinti pasitikėjimą skaitmenine vidaus rinka; (34)veiksminga kibernetinio saugumo politika viešajame ir privačiajame sektoriuose turėtų būti grindžiama gerai parengtais rizikos vertinimo metodais. Įvairiais lygmenimis rizikos vertinimo metodai taikomi nesant bendros jų veiksmingo taikymo praktikos. Geriausių rizikos vertinimo ir sąveikiųjų rizikos valdymo sprendimų populiarinimas ir plėtojimas viešojo ir privačiojo sektoriaus organizacijose padidins kibernetinio saugumo Sąjungoje lygį. Todėl Agentūra turėtų remti suinteresuotųjų subjektų bendradarbiavimą Sąjungos lygmeniu, palaikydama jų pastangas nustatyti rizikos valdymo, taip pat elektroninių gaminių, sistemų, tinklų ir paslaugų, kurios kartu su programine įranga sudaro tinklų ir informacijos sistemas, išmatuojamojo saugumo Europos ir tarptautinius standartus ir jų laikytis; (35)Agentūra turėtų skatinti valstybes nares ir paslaugų teikėjus griežtinti savo bendruosius saugumo standartus, kad visi interneto naudotojai galėtų imtis reikiamų veiksmų savo asmeniniam kibernetiniam saugumui užtikrinti. Visų pirma, paslaugų teikėjai ir produktų gamintojai turėtų atšaukti arba pakoreguoti kibernetinio saugumo standartų neatitinkančius produktus ir paslaugas. Bendradarbiaudama su kompetentingomis institucijomis ENISA gali skleisti informaciją apie vidaus rinkoje siūlomų produktų ir paslaugų kibernetinio saugumo lygį ir įspėti paslaugų teikėjus bei gamintojus ir reikalauti, kad jie pagerintų savo produktų saugumą, įskaitant kibernetinį saugumą;

(36)Agentūra turėtų visiškai atsižvelgti į šiuo metu vykdomą mokslinių tyrimų, plėtros ir technologijų vertinimo veiklą, visų pirma atliekamą pagal įvairias Sąjungos mokslinių tyrimų iniciatyvas, siekdama teikti patarimus Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms, ir prireikus ir joms paprašius – valstybėms narėms – dėl mokslinių tyrimų poreikių tinklų ir informacijos saugumo, visų pirma kibernetinio saugumo, srityje; (37)kibernetinio saugumo problemos yra pasaulinės. Būtinas glaudesnis tarptautinis bendradarbiavimas, kad būtų patobulinti saugumo standartai, įskaitant bendrų elgesio normų apibrėžimą bei informacijos mainus, spartesnio tarptautinio bendradarbiavimo skatinimą reaguojant į tinklų ir informacijos saugumo problemas ir vadovaujantis visuotiniu požiūriu į jas. Tuo tikslu Agentūra turėtų remti tolesnį Sąjungos ryšių mezgimą ir bendradarbiavimą su trečiosiomis šalimis ir tarptautinėmis organizacijomis, prireikus teikdama atitinkamoms Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms reikalingas specialiąsias žinias ir analizę; (38)Agentūra turėtų būti pajėgi reaguoti į valstybių narių ir ES institucijų, agentūrų ir įstaigų ad hoc prašymus teikti patarimus ir paramą, susijusius su Agentūros tikslais; (39)būtina įgyvendinti tam tikrus Agentūros valdymo principus, kad būtų laikomasi bendro pareiškimo ir bendro požiūrio, dėl kurių 2012 m. liepos mėn. susitarė Tarpinstitucinė darbo grupė ES decentralizuotų agentūrų klausimais; šiuo pareiškimu ir požiūriu siekiama racionalizuoti agentūrų veiklą ir pagerinti jų darbą. Prireikus į bendrą pareiškimą ir bendrą požiūrį taip pat turėtų būti atsižvelgta Agentūros darbo programose, Agentūros vertinimuose ir Agentūrai teikiant ataskaitas bei vykdant administracinę veiklą; (40)iš valstybių narių ir Komisijos atstovų sudaryta Valdančioji taryba turėtų apibrėžti bendrąją Agentūros veiklos kryptį ir užtikrinti, kad savo užduotis ji vykdytų pagal šį reglamentą. Valdančiajai tarybai turėtų būti suteikti įgaliojimai, būtini sudaryti biudžetą, tikrinti, kaip jis vykdomas, priimti reikiamas finansines taisykles, sukurti skaidrias Agentūros sprendimų priėmimo procedūras, priimti Agentūros bendrąjį programavimo dokumentą, nustatyti savo darbo tvarkos taisykles, paskirti vykdomąjį direktorių ir nuspręsti dėl vykdomojo direktoriaus kadencijos pratęsimo bei jos nutraukimo; (41)kad Agentūros veikla būtų tinkama ir veiksminga, Komisija ir valstybės narės turėtų užtikrinti, kad į Valdančiąją tarybą būtų skiriami tinkamos profesinės patirties ir patirties funkcinėse srityse turintys asmenys. Komisija ir valstybės narės taip pat turėtų stengtis riboti savo atstovų Valdančiojoje taryboje kaitą, kad būtų užtikrintas jos veiklos tęstinumas; (42)kad Agentūra veiktų sklandžiai, jos vykdomasis direktorius turi būti skiriamas atsižvelgiant į privalumus ir į dokumentais pagrįstus administracinio ir vadovaujamojo darbo įgūdžius bei kompetenciją, kibernetiniam saugumui svarbią patirtį ir kompetenciją, o vykdomojo direktoriaus pareigos turi būti atliekamos visiškai nepriklausomai. Pasitaręs su Komisija vykdomasis direktorius turėtų parengti Agentūros veiklos programos pasiūlymą ir imtis visų būtinų veiksmų, kad užtikrintų tinkamą Agentūros veiklos programos vykdymą. Vykdomasis direktorius turėtų parengti Valdančiajai tarybai teikiamą metinę ataskaitą, Agentūros pajamų ir išlaidų sąmatos projektą ir įgyvendinti biudžetą. Be to, vykdomajam direktoriui turėtų būti leista steigti ad hoc darbo grupes konkretiems, visų pirma moksliniams, techniniams, teisiniams ar socialiniams ir ekonominiams, klausimams spręsti. Vykdomasis direktorius turėtų užtikrinti, kad ad hoc darbo grupės nariai būtų išrinkti pagal aukščiausius dalyko žinių standartus ir atsižvelgiant į nagrinėjamus klausimus būtų subalansuotai atstovaujama valstybių narių viešojo administravimo institucijoms, Sąjungos institucijoms ir privačiajam sektoriui, įskaitant pramonę, vartotojams ir tinklų bei informacijos apsaugos mokslo ekspertams; (43)Vykdomoji valdyba turėtų prisidėti prie veiksmingo Valdančiosios tarybos veikimo. Atlikdama parengiamąjį darbą, susijusį su Valdančiosios tarybos sprendimais, ji turėtų išsamiai išnagrinėti atitinkamą informaciją ir apsvarstyti turimas galimybes bei teikti rekomendacijas ir sprendimus siekiant parengti atitinkamus Valdančiosios valdybos sprendimus; (44)siekiant palaikyti nuolatinį dialogą su privačiuoju sektoriumi, vartotojų organizacijomis ir kitais atitinkamais suinteresuotaisiais subjektais Agentūroje turėtų būti įsteigta nuolatinė suinteresuotųjų subjektų grupė, veikianti kaip patariamasis organas. Vykdomojo direktoriaus pasiūlymu Valdančiosios tarybos įsteigta nuolatinė suinteresuotųjų subjektų grupė pagrindinį dėmesį turėtų skirti suinteresuotiesiems subjektams svarbiems klausimams ir į tuos klausimus atkreipti Agentūros dėmesį. Nuolatinės suinteresuotųjų subjektų grupės sudėtis ir šiai grupei, su kuria turi būti konsultuojamasi dėl veiklos programos projekto, priskirtos užduotys, turėtų užtikrinti pakankamą suinteresuotųjų subjektų atstovavimą Agentūros veikloje; (45)Agentūra turėtų priimti interesų konfliktų prevencijos ir valdymo taisykles. Agentūra taip pat turėtų taikyti atitinkamas Sąjungos nuostatas dėl galimybės visuomenei susipažinti su dokumentais, kaip nustatyta Europos Parlamento ir Tarybos reglamente (EB) Nr. 1049/2001. Agentūra asmens duomenis turėtų tvarkyti laikydamasi 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamento (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo. Agentūra turėtų laikytis Sąjungos institucijoms taikytinų nuostatų ir nacionalinės teisės aktų dėl informacijos, visų pirma neskelbtinos neįslaptintos ir ES įslaptintos informacija tvarkymo; (46)siekiant užtikrinti visišką Agentūros autonomiją ir nepriklausomumą ir suteikti jai galimybę vykdyti papildomas ir naujas užduotis, įskaitant nenumatytas užduotis kritiniais atvejais, Agentūrai turėtų būti skiriamas pakankamas ir nepriklausomas biudžetas, kurio pajamas iš esmės sudarytų Sąjungos įnašas ir Agentūros veikloje dalyvaujančių trečiųjų šalių įnašai. Dauguma Agentūros darbuotojų turėtų tiesiogiai dalyvauti praktiškai vykdant Agentūros įgaliojimus. Agentūrą priimančiajai valstybei narei arba bet kuriai kitai valstybei narei turėtų būti leidžiama savanoriškais įnašais prisidėti prie Agentūros pajamų. Mokant subsidijas iš Sąjungos bendrojo biudžeto, turėtų būti taikoma Sąjungos biudžeto procedūra. Be to, Audito Rūmai turėtų atlikti Agentūros apskaitos auditą, kad būtų užtikrintas skaidrumas ir atskaitomybė; (47)atitikties vertinimas – procesas, kuriuo nustatoma, ar produktas, procesas, paslauga, sistema, asmuo arba įstaiga atitinka jiems nustatytus reikalavimus. Šiame reglamente laikytina, jog sertifikavimas yra nepriklausomos trečiosios šalies, išskyrus produkto gamintoją ar paslaugos teikėją, atliekamas produkto, proceso, paslaugos, sistemos arba jų derinio (IRT produktų ir paslaugų) kibernetinio saugumo savybių atitikties vertinimas. Pats sertifikavimas savaime negali užtikrinti, kad IRT produktai ir paslaugos kibernetiniu požiūriu yra saugūs. Tai greičiau procedūra ir techninė metodika, kuriomis patvirtinama, kad IRT produktai ir paslaugos buvo išbandyti ir kad jie atitinka tam tikrus kitur, pavyzdžiui, techniniuose standartuose, nustatytus kibernetinio saugumo reikalavimus; (48)kibernetinio saugumo sertifikavimas yra labai svarbus didinant pasitikėjimą IRT produktais ir paslaugomis bei jų saugumą. Bendroji skaitmeninė rinka, visų pirma duomenų ekonomika ir daiktų internetas, ir gali klestėti tik jei visuomenė tikės, jog tokie produktai ir paslaugos užtikrina tam tikro lygio kibernetinį saugumą. Susietųjų ir automatizuotų automobilių, elektroninių medicinos priemonių, pramoninių automatizacijos valdymo sistemų ar pažangiųjų elektros energijos tinklų sektoriai yra tik keli sektorių, kuriuose sertifikavimas jau yra plačiai naudojamas arba gali būti naudojamas artimiausioje ateityje, pavyzdžiai. Kibernetinio saugumo sertifikavimas taip pat yra itin svarbus TIS direktyva reglamentuojamiems sektoriams; (49)2016 m. komunikate „Europos kibernetinio atsparumo sistemos stiprinimas ir kibernetinio saugumo pramonės konkurencingumo ir novatoriškumo skatinimas“ Komisija nurodė kokybiškų, įperkamų ir sąveikių kibernetinio saugumo produktų ir sprendimų poreikį. IRT produktų tiekimas ir paslaugų teikimas bendrojoje rinkoje geografine prasme tebėra labai nevienodai išplėtotas. Taip yra dėl to, kad kibernetinio saugumo sektorius Europoje daugiausia vystėsi grindžiamas nacionalinės valdžios poreikiu. Kiti bendrąją kibernetinio saugumo rinką neigiamai veikiantys trūkumai, be kita ko, yra sąveikių sprendimų (techninių standartų), metodų ir ES masto sertifikavimo mechanizmų stoka. Viena vertus, tai apsunkina Europos įmonių galimybes konkuruoti nacionaliniu, Europos ir pasauliniu lygmenimis. Kita vertus, tai mažina perspektyvių ir tinkamų fiziniams asmenims bei įmonėms prieinamų kibernetinio saugumo technologijų pasirinkimo galimybes. Be to, Bendrosios skaitmeninės rinkos strategijos įgyvendinimo laikotarpio vidurio peržiūroje Komisija pabrėžė būtinybę turėti saugių susietųjų produktų ir sistemų ir nurodė, kad sukūrus Europos IRT saugumo sistemą, kurioje būtų nustatytos taisyklės, kaip Sąjungoje organizuoti IRT saugumo sertifikavimą, būtų galima išsaugoti pasitikėjimą internetu ir spręsti dabartinio kibernetinio saugumo rinkos susiskaidymo problemą; (50)šiuo metu IRT produktų ir paslaugų kibernetinio saugumo sertifikavimas yra ribotas. Kai jie sertifikuojami, toks sertifikavimas dažniausiai vykdomas valstybių narių lygmeniu arba pagal pramonės iniciatyva pagrįstas schemas. Tai reiškia, kad vienos nacionalinės kibernetinio saugumo institucijos išduotas sertifikatas iš esmės kitose valstybėse narėse nepripažįstamas. Todėl bendrovėms gali reikėti savo produktus ir paslaugas sertifikuoti keliose valstybėse narėse, kuriose jos vykdo veiklą, pavyzdžiui, siekiant dalyvauti nacionalinėse viešųjų pirkimų procedūrose. Be to, nors atsiranda naujų schemų, atrodo, nėra nuoseklaus ir visapusiško požiūrio į horizontalius kibernetinio saugumo klausimus, pavyzdžiui, daiktų interneto srityje. Esamose schemose yra didelių trūkumų ir skirtumų, susijusių su sertifikuojamais produktais, saugumo užtikrinimo lygiais, esminiais kriterijais ir faktiniu naudojimu; (51)jau anksčiau buvo imtasi tam tikrų veiksmų siekiant užtikrinti sertifikatų savitarpio pripažinimą Europoje. Tačiau jie tik iš dalies buvo veiksmingi. Svarbiausias pavyzdys šiuo požiūriu – vyresniųjų pareigūnų grupės informacinių sistemų saugumo klausimais (SOG-IS) tarpusavio pripažinimo susitarimas. Nors saugumo sertifikavimo srityje tai yra svarbiausias bendradarbiavimo ir tarpusavio pripažinimo modelis, SOG-IS tarpusavio pripažinimo susitarimas turi didelių trūkumų, susijusių su didelėmis sąnaudomis ir ribota apimtimi. Iki šiol sukurti tik keli skaitmeninių produktų, pvz., skaitmeninio parašo, skaitmeninio tachografo ir lustinių kortelių, apsaugos profiliai. Svarbiausia, kad SOG-IS apima tik dalį Sąjungos valstybių narių. Tai riboja SOG-IS tarpusavio pripažinimo susitarimą veiksmingumą vidaus rinkoje; (52)atsižvelgiant į tai, kas išdėstyta pirmiau, būtina sukurti Europos kibernetinio saugumo sertifikavimo sistemą, kurioje būtų nustatyti pagrindiniai kuriamoms Europos kibernetinio saugumo sertifikavimo schemoms keliami horizontalieji reikalavimai ir kuria būtų sudarytos sąlygos IRT produktų ir paslaugų sertifikatus pripažinti ir taikyti visose valstybėse narėse. Europine sistema turėtų būti siekiama dvejopo tikslo. Viena vertus, ji turėtų padėti didinti pasitikėjimą IRT produktais ir paslaugomis, kurie buvo sertifikuoti pagal tas schemas. Kita vertus, ji turėtų padėti išvengti vienas kitai prieštaraujančių arba besidubliuojančių nacionalinių kibernetinio saugumo sertifikavimo schemų daugėjimo ir taip sumažinti bendrojoje skaitmeninėje rinkoje veikiančių įmonių išlaidas. Šios schemos turėtų būti nediskriminacinės ir pagrįstos tarptautiniais ir (arba) Sąjungos standartais, išskyrus atvejus, kai tie standartai yra neveiksmingi arba netinkami siekiant įgyvendinti teisėtus šios srities ES tikslus; (53)Komisija turėtų būti įgaliota tvirtinti konkrečioms IRT produktų ir paslaugų grupėms taikomas Europos kibernetinio saugumo sertifikavimo schemas. Įgyvendinti ir prižiūrėti šias schemas turėtų nacionalinės sertifikavimo priežiūros institucijos, o pagal šias schemas išduoti sertifikatai turėtų galioti ir būti pripažįstami visoje Sąjungoje. Šis reglamentas neturėtų būti taikomas pramonės ar kitų privačių organizacijų naudojamoms sertifikavimo schemoms. Tačiau tokias schemas naudojantys subjektai gali siūlyti Komisijai jų pagrindu patvirtinti europinę schemą; (54)šio reglamento nuostatomis neturėtų būti daromas poveikis Sąjungos teisės aktams, kuriais nustatomos specialios IRT produktų ir paslaugų sertifikavimo taisyklės. Visų pirma Bendrajame duomenų apsaugos reglamente išdėstomos nuostatos dėl sertifikavimo mechanizmų ir duomenų apsaugos ženklų bei žymenų nustatymo, siekiant įrodyti duomenų valdytojų ir tvarkytojų vykdomų tvarkymo operacijų atitiktį to reglamento nuostatoms. Tokie sertifikavimo mechanizmai ir duomenų apsaugos ženklai ir žymenys turėtų sudaryti sąlygas duomenų subjektams greitai įvertinti atitinkamų produktų ir paslaugų duomenų apsaugos lygį. Šiuo reglamentu nedaromas poveikis duomenų tvarkymo operacijų sertifikavimui, taip pat kai tokios operacijos pagal Bendrąjį duomenų apsaugos reglamentą susietos su produktais ir paslaugomis; (55)Europos kibernetinio saugumo sertifikavimo schemų tikslas turėtų būti užtikrinti, kad pagal tokią schemą sertifikuoti IRT produktai ir paslaugos atitiktų nustatytus reikalavimus. Tokie reikalavimai pagal šį reglamentą yra susiję su pajėgumu tam tikru saugumo užtikrinimo lygiu išlikti atspariems veiksmams, keliantiems pavojų saugomų, perduodamų ar tvarkomų duomenų arba naudojantis tais produktais, procesais, paslaugomis ir sistemomis siūlomų arba gaunamų funkcijų arba paslaugų prieinamumui, autentiškumui, vientisumui ar konfidencialumui. Šiame reglamente neįmanoma išsamiai nustatyti visiems IRT produktams ir paslaugoms keliamų kibernetinio saugumo reikalavimų. IRT produktai ir paslaugos bei susiję kibernetinio saugumo poreikiai yra tokie įvairūs, kad labai sunku nustatyti bendrus visiems produktams ir paslaugoms galiojančius kibernetinio saugumo reikalavimus. Todėl sertifikavimo tikslu reikalinga plati ir bendra kibernetinio saugumo samprata, kurią papildytų konkretūs kibernetinio saugumo tikslai, į kuriuos turi būti atsižvelgta rengiant Europos kibernetinio saugumo sertifikavimo schemas. Kaip tie tikslai bus pasiekti sertifikuojant konkrečius IRT produktus ir paslaugas, turėtų būti toliau išsamiai nurodyta atskiros Komisijos tvirtinamos sertifikavimo schemos lygmeniu, pavyzdžiui, nurodant standartus a