EIROPAS KOMISIJA Briselē, 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par ENISA – ES Kiberdrošības aģentūru – un Regulas (ES) 526/2013 atcelšanu un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju ("Kiberdrošības akts") (Dokuments attiecas uz EEZ) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



PASKAIDROJUMA RAKSTS 1.PRIEKŠLIKUMA KONTEKSTS •Priekšlikuma pamatojums un mērķi Eiropas Savienība ir veikusi daudzus pasākumus, kas vairo noturību un uzlabo tās kiberdrošības gatavību. Pirmajā ES kiberdrošības stratēģijā, ko pieņēma 2013. gadā, tika noteikti stratēģiskie mērķi un konkrēti pasākumi, ar kuriem paredzēts panākt noturību, mazināt kibernoziedzību, attīstīt kiberaizsardzības politiku un spējas, izstrādāt nepieciešamos rūpnieciskos un tehnoloģiskos resursus un Eiropas Savienībā ieviest saskanīgu starptautiskās kibertelpas politiku. Kopš tā laika ir notikušas svarīgas pārmaiņas, proti, ir otrreiz dotas pilnvaras Eiropas Savienības Tīklu un informācijas drošības aģentūrai (ENISA) un pieņemta Direktīva par tīklu un informācijas sistēmu drošību ("TID direktīva"), kas ir šā priekšlikuma pamatā. Bez tam 2016. gadā Eiropas Komisija pieņēma paziņojumu "Kā nostiprināt Eiropas Kiberizturētspējas sistēmu un sekmēt konkurētspējīgu un inovatīvu kiberdrošības nozari", ar ko tika izziņoti pasākumi, kas vēl vairāk pastiprina sadarbību, dalīšanos informācijā un zināšanās un paaugstina ES noturību un gatavību, ņemot vērā arī izredzes piedzīvot plašapmēra incidentus un Eiropas mēroga kiberdrošības krīzi. Šajā sakarā Komisija paziņoja, ka izvērtēs un pārskatīs Eiropas Parlamenta un Padomes Regulu (ES) Nr. 526/2013 par ENISA un Regulas (EK) Nr. 460/2004 atcelšanu ("ENISA regulu"). Vērtēšanas rezultātā varētu nākties Aģentūru reformēt un uzlabot tās jaudas un spēju pastāvīgi atbalstīt dalībvalstis. Tai tiktu operatīvāka un atbildīgāka loma kiberdrošības noturības panākšanā, un tās jaunajās pilnvarās tiktu atzīti jaunie pienākumi, ko tai uzliek TID direktīva. TID direktīva ir pirmais būtiskais solis riska pārvaldības kultūras veicināšanā, un tā ievieš drošības prasības kā juridisku pienākumu galvenajiem ekonomikas subjektiem, proti, uzņēmumiem, kuri sniedz pamatpakalpojumus ("pamatpakalpojumu sniedzējiem"), un dažu svarīgāko digitālo pakalpojumu sniedzējiem ("digitālo pakalpojumu sniedzējiem"). Drošības prasību ievērošana tiek uzskatīta par būtisku sabiedrības progresējošās digitalizācijas labumu nodrošināšanā, un strauji izplatās satīklotās ierīces (lietu internets jeb IoT), tāpēc 2016. gada paziņojumā arī tika ierosināts izveidot informācijas un komunikācijas tehnoloģiju (IKT) produktu un pakalpojumu drošības sertifikācijas regulējumu, lai digitālajā vienotajā tirgū vairotu uzticēšanos un drošību. IKT kiberdrošības sertifikācija kļūst īpaši svarīga, kad arvien plašāk tiek izmantotas tehnoloģijas, kas prasa augstu kiberdrošības līmeni, kā satīkloti un automatizēti auto, elektroniskā veselības aprūpe vai ražošanas automatizācijas vadības sistēmas (IACS). Šos politiskos pasākumus un paziņojumus vēl vairāk nostiprināja 2016. gada Padomes secinājumi, atzīstot, ka "kiberdraudi un ievainojamība turpina attīstīties un pastiprināties, kas prasīs nepārtrauktu un ciešāku sadarbību, jo īpaši, pārvarot plaša mēroga pārrobežu kiberdrošības incidentus". Secinājumos apstiprināts, ka ENISA regula ir viens no ES kibernoturības sistēmas galvenajiem elementiem, un Komisija aicināta veikt tālākus pasākumus Eiropas līmeņa sertifikācijas jautājuma risināšanā. Sertifikācijas sistēmas izveidei būtu vajadzīgs ES līmenī ieviest piemērotu pārvaldības sistēmu, izmantojot arī ekspertu lietpratību, par ko gādātu neatkarīga ES aģentūra. Tādējādi šajā priekšlikumā ENISA tiek atzīta par to ES līmeņa iestādi, kurai ir kompetence kiberdrošības jautājumos un būtu jāuzņemas savest kopā un koordinēt valstu kompetentās iestādes, kas darbojas sertifikācijas laukā. Paziņojumā par Digitālā vienotā tirgus stratēģijas vidusposma pārskatu 2017. gada maijā Komisija precizēja, ka 2017. gada septembrī būs pārskatījusi ENISA pilnvaras. Tas tiek darīts nolūkā noteikt ENISA lomu mainītajā kiberdrošības ekosistēmā un izstrādāt pasākumus kiberdrošības standartu, sertifikācijas un marķēšanas jomā, lai uzlabotu IKT sistēmu kiberdrošību, aptverot arī satīklotos objektus. Eiropadome 2017. gada jūnija secinājumos atzinīgi novērtēja Komisijas nodomu septembrī pārskatīt kiberdrošības stratēģiju un līdz 2017. gada beigām ierosināt arī citus mērķētus pasākumus. Regulas priekšlikums paredz visaptverošu pasākumu kopumu, kas papildinātu iepriekšējo rīcību un palīdzētu sasniegt konkrētus savstarpēji pastiprinošus mērķus: ·pastiprināt dalībvalstu un uzņēmumu spējas un gatavību, ·uzlabot sadarbību un koordināciju starp dalībvalstīm un ES iestādēm, aģentūrām un struktūrām, ·uzlabot ES līmeņa spējas papildināt dalībvalstu rīcību, it īpaši pārrobežu kiberkrīžu gadījumā, ·uzlabot pilsoņu un uzņēmumu izpratni kiberdrošības jautājumos, ·uzlabot IKT produktu un pakalpojumu kiberdrošības apliecinājuma vispārējo pārredzamību, lai vairotu uzticēšanos digitālajam vienotajam tirgum un digitālajai inovācijai, un ·nepieļaut ES sertifikācijas shēmu un ar tām saistīto drošības prasību un izvērtēšanas kritēriju nevienveidību dažādās dalībvalstīs un nozarēs. Tālāk šajā paskaidrojuma rakstā sīkāk iztirzāti tādi iniciatīvas pamatojuma aspekti kā ierosinātā ENISA darbība un kiberdrošības sertifikācija.





ENISA ENISA darbojas kā lietpratības centrs, kura sūtība ir Savienībā uzlabot tīklu un informācijas drošību un atbalstīt dalībvalstu spēju veidošanu. ENISA tika izveidota 2004. gadā, lai tuvinātu vispārējo mērķi visā ES augstā līmenī nodrošināt tīklu un informācijas drošību. 2013. gadā Regula (ES) Nr. 526/2013 deva Aģentūrai jaunas pilnvaras – uz septiņiem gadiem, līdz 2020. gadam. Aģentūra atrodas Grieķijā, proti, administratīvā ēka ir Hēraklejā (Krētā), bet pamatdarbība notiek Atēnās. Salīdzinājumā ar citām ES aģentūrām ENISA ir maza aģentūra ar nelielu budžetu un darbinieku skaitu. Tās pilnvaras tiek piešķirtas uz noteiktu laiku. ENISA palīdz Eiropas iestādēm, dalībvalstīm un komersantiem reaģēt uz tīklu un informācijas drošības problēmām, tās risināt un, galvenais, laikus novērst. Tā veic virkni darbību tās stratēģijā noteiktās piecās jomās: ·Lietpratība – informācijas un ekspertu zināšanu nodrošināšana galvenajos tīklu un informācijas drošības jautājumos. ·Politika – atbalsts politikas veidošanai un iedzīvināšanai Savienībā. ·Spējas – spēju veidošanas atbalste visā Savienībā (piem., apmācība, ieteikumi, izpratnes uzlabošanas pasākumi). ·Kopiena – tīklu un informācijas drošības kopienas veidošana (piemēram, datorapdraudējumu reaģēšanas vienību (CERT) atbalstīšana, Eiropas mēroga kibermācību koordinēšana). ·Iespējošana (piem., saistīšanās ar ieinteresētajām personām un starptautiskās attiecības). TID direktīvas apspriešanas gaitā ES likumdevēji nolēma svarīgas šās direktīvas īstenošanas funkcijas nodot ENISA. Konkrēti, Aģentūra nodrošina sekretariātu CSIRT tīklam (tas izveidots, lai veicinātu ātru un rezultatīvu operatīvo sadarbību starp dalībvalstīm konkrētos kiberdrošības incidentos un dalīšanos informācijā par riskiem), un tai tiek arī uzdots palīdzēt Sadarbības grupai pildīt savus uzdevumus. Direktīva arī prasa, lai ENISA palīdzētu dalībvalstīm un Komisijai ar lietpratību un padomu un atvieglinātu paraugprakses pārņemšanu. Saskaņā ar ENISA regulu Komisija ir veikusi izvērtēšanu, kur ietilpst neatkarīgs pētījums, kā arī sabiedriskā apspriešana. Izvērtējot tika skatīts Aģentūras darbības nozīmīgums, ietekme, rezultativitāte, efektivitāte, saskanība un ES pievienotā vērtība laikposmā no 2013. līdz 2016. gadam tādos aspektos kā veiktspēja, pārvaldība, iekšējā uzbūve un darba metodes. Sabiedriskajā apspriešanā respondentu vairākums (74 %) ENISA darbību visumā vērtē atzinīgi. Lielākā daļa respondentu arī uzskata, ka ENISA sasniedz dažādus mērķus (vismaz 63 % par katru no mērķiem). ENISA pakalpojumus un produktus regulāri (reizi mēnesī vai biežāk) izmanto gandrīz puse respondentu (46 %), un tos atzinīgi vērtē gan tādēļ, ka tie nāk no ES līmeņa iestādes (83 %), gan kvalitātes dēļ (62 %). Tomēr ievērojams aptaujāto vairākums (88 %) uzskata, ka pašreizējie ES līmenī pieejamie instrumenti un mehānismi nav pietiekami vai ir tikai daļēji pietiekami tagadējo kiberdrošības problēmu risināšanai. Lielais vairums respondentu (98 %) norāda, ka būtu vajadzīga ES iestāde, kas apmierinātu šīs vajadzības, un aģentūru ENISA par piemērotāko organizāciju uzskata 99 % respondentu. Bez tam 67,5 % respondentu pauž viedokli, ka aģentūrai ENISA varētu būt zināma loma saskaņota tiesiskā satvara izveidē IT produktu un pakalpojumu drošības sertifikācijai. Vispārējā izvērtēšanā (ne tikai uz sabiedriskās apspriešanas, bet arī uz daudzu individuālu interviju, papildinošu mērķapsekojumu un darbsemināru pamata) tika izdarīti šādi secinājumi: ·ENISA mērķi joprojām ir aktuāli. Strauji attīstoties tehnoloģijai, vairojoties apdraudējumam un visā pasaulē samilstot kiberriskiem, ir skaidrs, ka ES ir vajadzīgs veicināt un nostiprināt augsta līmeņa tehnisko lietpratību kiberdrošības jautājumos. Dalībvalstīs ir jāattīsta spēja apdraudējumu izprast un reaģēt uz to, un ir jāsadarbojas dažādu tematisko jomu un iestāžu ieinteresētajām personām. ·Par spīti tam, ka budžets neliels, Aģentūra operatīvajā ziņā ir lietderīgi izmantojusi resursus un izpildījusi uzdevumus. Papildu administratīvās izmaksas gan radījis izvietojums atšķirīgās vietās – Atēnās un Hēraklejā. ·Rezultativitātes ziņā ENISA savus mērķus sasniegusi pa daļai. Aģentūra ir sekmīgi palīdzējusi uzlabot tīklu un informācijas drošību Eiropā, piedāvājot spēju veidošanu 28 dalībvalstīs, veicinot sadarbību starp dalībvalstīm un tīklu un informācijas drošības ieinteresētajām personām un liekot lietā ekspertu zināšanas, veidojot kopienu un atbalstot politikas veidošanu. Kopumā ENISA čakli nodevusies savas darba programmas īstenošanai un bijusi uzticama partnere ieinteresētajām personām sfērā, kurai tikai nesen atzīta tāda liela pārrobežu nozīme.

·ENISA jaudāja cik necik ietekmēt plašo tīklu un informācijas drošības jomu, taču tai nav pilnībā izdevies izveidot spēcīgu zīmolu un iemantot pietiekamu pazīstamību, lai taptu atzīta par Eiropas lietpratības centru. Izskaidrojums tam ir ENISA plašo pilnvaru un mazo resursu nesamērība. Turklāt ENISA joprojām ir vienīgā ES aģentūra ar noteikta termiņa pilnvarām, tādējādi ar ierobežotu spēju attīstīt ilgtermiņa ieceres un pastāvīgi atbalstīt ieinteresētās personas. Tas arī ir pretstatā TID direktīvas normām, kas ENISA uztic uzdevumus bez noteikta termiņa. Visbeidzot, izvērtējot tika konstatēts, ka mazrezultativitāti daļēji var skaidrot ar ārējo ekspertu lielo pārsvaru pār štata ekspertiem un grūtībām nolīgt un pieturēt darbā specializētu personālu. ·Tikpat svarīgs ir izvērtēšanas secinājums, ka ENISA pievienotā vērtība galvenokārt izpaužas kā Aģentūras spēja uzlabot sadarbību galvenokārt starp dalībvalstīm, it īpaši ar tīklu un informācijas drošības kopienām (sevišķi CSIRT). ES līmenī nav citu struktūru, kas atbalstītu tik plašu tīklu un informācijas drošības jautājumos ieinteresēto personu loku. Taču, tā kā ENISA vajadzīgs saviem pasākumiem stingri noteikt prioritātes, darba programmā tā lielāko tiesu vadās pēc dalībvalstu vajadzībām. Rezultātā netiek pietiekami risinātas citu ieinteresēto personu, īpaši nozarē strādājošo, vajadzības. Tas arī ļāvis Aģentūrai apmierināt tikai galveno ieinteresēto personu vajadzības, bet ne panākt lielāku ietekmi. Tādēļ Aģentūras darba pievienotā vērtība nebija vienāda atkarā no ieinteresēto personu vajadzību atšķirībām un no tā, kādā mērā Aģentūra spēja uz tām atsaukties (piem., lielas dalībvalstis pretstatā mazām, dalībvalstis pretstatā nozarei). Kopumā apspriešanos ar ieinteresētajām personām un izvērtējuma rezultāti liecina, ka ENISA resursi un pilnvaras ir jākoriģē, lai tā varētu pienācīgi reaģēt uz tagadējiem un nākošiem izaicinājumiem. Visa konstatētā dēļ šajā priekšlikumā ir pārskatītas ENISA pašreizējās pilnvaras un noteikts jaunu uzdevumu un funkciju kopums nolūkā rezultatīvi un efektīvi atbalstīt dalībvalstu, ES iestāžu un citu ieinteresēto personu pūliņus Eiropas Savienībā nodrošināt drošu kibertelpu. Ierosinātās jaunās pilnvaras cenšas piešķirt Aģentūrai lielāku un nozīmīgāku lomu, īpaši tādu, ka tā arī palīdzētu dalībvalstīm īstenot TID direktīvu un aktīvāk vērstos pret konkrētu apdraudējumu (operatīvās jaudas) un kļūtu par lietpratības centru, kas atbalsta dalībvalstis un Komisiju kiberdrošības sertifikācijas lietās. Priekšlikumā paredzēts: ·ENISA saņem pastāvīgas pilnvaras un iegūst stabilu pamatu turpmākam darbam. Pilnvaras, mērķi un uzdevumi paliek regulāri pārskatāmi. ·Ierosinātās pilnvaras precizē ENISA lomu būt par ES kiberdrošības aģentūru un uzziņas punktu ES kiberdrošības ekosistēmā, rīkojoties ciešā sadarbībā ar pārējām attiecīgajām tādas ekosistēmas struktūrām. ·Aģentūras organizācija un pārvaldība, kas novērtēta pozitīvi, tiek mēreni pārskatīta, lai nodrošinātu, ka tās darbā labāk atspoguļojas plašākas ieinteresēto personu kopas vajadzības. ·Ierosināto pilnvaru darbības joma tiek stingri noteikta, nostiprinot jomas, kurās Aģentūra ir apliecinājusi nepārprotamu pievienoto vērtību, un pievienojot jaunas jomas, kurām vajadzīgs atbalsts, ņemot vērā jaunās politiskās prioritātes un instrumentus, sevišķi TID direktīvu, ES kiberdrošības stratēģijas pārskatīšanu, gaidāmo ES kiberdrošības plānu sadarbībai kiberkrīžu jomā un IKT drošības sertifikāciju. ·ES politikas izstrāde un īstenošana. ENISA saņemtu uzdevumu aktīvi palīdzēt tīklu un informācijas drošības politikas izstrādē, kā arī citās politikas iniciatīvās, kas saistītas ar kiberdrošības elementiem dažādās nozarēs (piem., enerģētikā, transportā, finansēs). Šim nolūkam tai būtu spēcīga padomdevējas loma, kuru tā varētu izpildīt ar neatkarīgiem atzinumiem un priekšdarbiem politikas un tiesību aktu izstrādāšanai un atjaunināšanai. ENISA arī atbalstītu ES politiku un tiesību aktus tādās jomās kā elektroniskie sakari, elektroniskā identifikācija un uzticamības pakalpojumi, lai paaugstinātu kiberdrošības līmeni. Īstenošanas posmā, īpaši saistībā ar TID Sadarbības grupu, ENISA palīdzētu dalībvalstīm ieviest konsekventu pieeju TID direktīvas īstenošanā pāri robežām un starp nozarēm, kā arī citās attiecīgās politikas jomās un tiesību aktos. Lai atbalstītu kiberdrošības politikas un tiesību aktu regulāru pārskati, ENISA arī nodrošinātu regulāru ziņošanu par ES tiesiskā regulējuma īstenošanu. ·Spēju veidošana. ENISA palīdzētu uzlabot ES un valstu publisko iestāžu spējas un lietpratību, citastarp reaģēšanā uz incidentiem un ar kiberdrošību saistītu regulatīvu pasākumu pārraudzīšanā. Aģentūrai būtu arī jāpalīdz dažādās nozarēs izveidot informācijas apmaiņas un analīzes centrus (ISAC), nodrošinot paraugpraksi un norādījumus par pieejamiem rīkiem un procedūrām, kā arī pienācīgi risinot regulatīvos jautājumus, kas saistīti ar informācijas apmaiņu. ·Zināšanas un informācija, izpratnes uzlabošana. ENISA kļūtu par ES informācijas mezglu. Tas nozīmētu visā ES veicināt un kopīgot paraugpraksi un iniciatīvas, sakopojot informāciju par kiberdrošību no ES un dalībvalstu iestādēm, aģentūrām un struktūrām. Aģentūra arī darītu pieejamus padomus, norādījumus un paraugpraksi kritisko infrastruktūru drošības sfērā. Pēc ievērojamiem pārrobežu kiberdrošības incidentiem ENISA turpinātu apkopot ziņojumus ar mērķi dot norādījumus uzņēmumiem un pilsoņiem visā ES. Šis darba virziens nozīmētu arī regulāru izpratnes uzlabošanas pasākumu organizēšanu, tos koordinējot ar dalībvalstu iestādēm. ·Ar tirgu saistīti uzdevumi (standartizācija, kiberdrošības sertifikācija). ENISA pildītu vairākas funkcijas, īpaši atbalstot iekšējo tirgu, un veidotu kiberdrošības “tirgus novērošanas centru”, analizējot attiecīgas kiberdrošības tirgus tendences, lai labāk saskaņotu pieprasījumu un piedāvājumu, un atbalstot ES politikas izstrādi IKT standartizācijas un IKT kiberdrošības sertifikācijas sfērās. Standartizācijas sfērā tā veicinātu kiberdrošības standartu noteikšanu un ieviešanu. ENISA arī izpildītu uzdevumus, kas paredzēti sakarā ar topošo sertifikācijas satvaru (sk. nākamo iedaļu). ·Pētniecība un inovācija. ENISA liktu lietā savu lietpratību, konsultējot ES un valstu iestādes par prioritāšu noteikšanu pētniecībā un izstrādē, arī saistībā ar publiskā un privātā sektora līgumiskās partnerības izveidi kiberdrošības sfērā (cPPP). ENISA padomi pētniecībā tiktu izmantoti jaunajā Eiropas Kiberdrošības pētniecības un kompetences centrā saskaņā ar nākamo daudzgadu finanšu shēmu. Pēc Komisijas lūguma ENISA arī iesaistītos ES pētniecības un inovācijas finansēšanas programmu īstenošanā. ·Operatīvā sadarbība un krīžu pārvarēšana. Šim darba virzienam būtu jābalstās uz pašreizējo profilaktiskās darbības spēju stiprināšanu, it īpaši, modernizējot Eiropas mēroga kiberdrošības mācības (Cyber Europe) un rīkojot tās katru gadu, un uz atbalstu operatīvajā sadarbībā CSIRT tīkla sekretariāta lomā (tā noteikta TID direktīvā), cita starpā nodrošinot CSIRT tīkla IT infrastruktūras un saziņas kanālu pienācīgu darbošanos. Šajā sakarā būtu vajadzīga strukturēta sadarbība ar CERT-EU, Eiropas Kibernoziedzības apkarošanas centru (EC3) un citām attiecīgām ES struktūrām. Turklāt, veidojot strukturētu sadarbību ciešā fiziskā tuvumā ar CERT-EU, tā īstenotu funkciju, kas nodrošina tehnisku palīdzību nopietnu incidentu gadījumos un atbalsta incidentu analīzi. Dalībvalstis pēc pieprasījuma saņemtu palīdzību incidentu pārvarēšanā un atbalstu vājo vietu, artefaktu un incidentu analīzei, lai stiprinātu savas profilakses un reaģēšanas spējas. ·ENISA būtu arī zināma loma paketē iekļautajā ES kiberdrošības plānā, kur izklāstīts Komisijas ieteikums dalībvalstīm par koordinētu reaģēšanu uz plašapmēra pārrobežu kiberdrošības incidentiem un krīzēm ES līmenī. ENISA arī veicinātu sadarbību starp atsevišķām dalībvalstīm, kuras reaģē ārkārtas situācijās, – analizētu un apkopotu valstu ziņojumus par situāciju, balstoties uz Aģentūrai brīvprātīgi piegādāto informāciju no dalībvalstīm un citām struktūrām. ·IKT produktu un pakalpojumu kiberdrošības sertifikācija Lai radītu un saglabātu uzticēšanos un drošību, IKT produktos un pakalpojumos no paša projektēšanas un izstrādes sākuma jābūt iekļautiem drošības elementiem (ieprojektētai drošībai). Patērētājiem un lietotājiem vajadzīga arī iespēja noskaidrot, kāds ir pasūtāmā vai pērkamā produkta vai pakalpojuma drošības apliecinājuma līmenis. Svarīga loma produktu un pakalpojumu drošības un uzticamības vairošanā ir sertifikācijai, kas nozīmē produktu, pakalpojumu un procesu oficiālu novērtēšanu, ko pēc noteiktiem standartkritērijiem izdara neatkarīga akreditēta struktūra, un atbilstības sertifikāta izdošanu. Drošības izvērtēšana ir visai tehniska lieta, taču sertifikācija kalpo mērķim informēt un pārliecināt pircējus un lietotājus par pērkamo vai lietojamo IKT produktu un pakalpojumu drošības rekvizītiem. Kā jau teikts, tas ir īpaši svarīgi jaunajās sistēmās, kas plaši izmanto ciparu tehnoloģijas un kam vajadzīgs augsts drošības līmenis, kā satīkloti un automatizēti auto, elektroniskā veselība, ražošanas automatizācijas vadības sistēmas (IACS) vai viedtīkli. Pašlaik IKT produktu un pakalpojumu kiberdrošības sertifikācijas aina Eiropas Savienībā ir raiba. Ir vairākas starptautiskas iniciatīvas, piemēram, t. s. informācijas tehnoloģiju drošības novērtēšanas kopīgie kritēriji ("CC") (ISO 15408), kas ir starptautisks datordrošības vērtēšanas standarts. Tas balstās uz izvērtēšanu, ko izdara trešās personas, un paredz septiņus izvērtējuma apliecinājuma līmeņus (EAL). CC un ar to saistītā informācijas tehnoloģiju drošības izvērtēšanas (CEM) kopīgā metodika ir tehniskais pamats starptautiskam nolīgumam jeb kopīgo kritēriju atzīšanas kārtībai (CCRA), kas nodrošina, ka CC sertifikātus atzīst visi CCRA parakstītāji. Tomēr CCRA pašreizējā redakcijā savstarpēji atzīti tiek tikai izvērtējumi līdz līmenim EAL 2. Bez tam nolīgumu parakstījušas tikai 13 dalībvalstis.

12 dalībvalstu sertifikācijas iestādes ir noslēgušas savstarpējās atzīšanas nolīgumu par sertifikātiem, kas saskaņā ar nolīgumu izdoti uz CC pamata. Turklāt tagad dalībvalstīs pastāv vai tiek veidotas vairākas IKT sertifikācijas iniciatīvas. Šīs iniciatīvas var būt svarīgas, taču tās rada tirgus sadrumstalotības un sadarbspējas problēmu risku. Rezultātā uzņēmumam, lai varētu piedāvāt savu produktu vairākos tirgos, var būt jāiztur vairākas sertifikācijas procedūras dažādās dalībvalstīs. Piemēram: ja kāds viedskaitītāju ražotājs vēlas savu produkciju tirgot Vācijā, Francijā un Apvienotajā Karalistē, šobrīd viņam ir jāizpilda trīs dažādu sertifikācijas shēmu prasības. Tās ir Commercial Product Assurance (CPA) Apvienotajā Karalistē, Certification de Sécurité de Premier Niveau (CSPN) Francijā un uz CC balstīts īpašs aizsardzības profils Vācijā. Šādos apstākļos uzņēmumiem, kuri darbojas vairākās dalībvalstīs, paaugstinās izmaksas un tiek uzlikta ievērojama administratīva nasta. Lai gan sertifikācijas izmaksas var ievērojami atšķirties pēc produkta/pakalpojuma, prasītā izvērtējuma apliecinājuma līmeņa un/vai citiem komponentiem, uzņēmumiem tās mēdz būt ievērojamas. Tā, BSI Smart Meter Gateway sertifikāta izmaksas ir vairāk nekā miljons eiro (augstākajā testēšanas un apliecinājuma līmenī, attiecas ne tikai uz vienu produktu, bet arī uz visu apkārtējo infrastruktūru). Apvienotajā Karalistē viedskaitītāja sertifikācijas izmaksas ir turpat EUR 150 000. Francijā izmaksas ir līdzīgas, ap EUR 150 000 vai vairāk. Galvenās ieinteresētās personas no publiskā un privātā sektora atzina, ka ES mēroga kiberdrošības sertifikācijas shēmas neesības dēļ uzņēmumiem daudzos gadījumos ir jāiztur sertifikācija atsevišķi katrā dalībvalstī un tādējādi veidojas tirgus sadrumstalotība. Svarīgākais ir tas, ka bez saskaņotiem ES tiesību aktiem par IKT produktiem un pakalpojumiem dalībvalstu atšķirīgie kiberdrošības sertifikācijas standarti un paņēmieni var novest pie tā, ka ES praksē izveidojas 28 atsevišķi drošības tirgi – katrs ar savām tehniskajām prasībām, testēšanas metodēm un kiberdrošības sertifikācijas procedūrām. Bez adekvātas rīcības ES līmenī atšķirīgās pieejas valsts līmenī var kļūt par ievērojamu traucēkli digitālā vienotā tirgus sasniegšanai un palēnināt vai apturēt pozitīvo ietekmi uz izaugsmi un nodarbinātību. Sakarā ar aprakstītajām norisēm regulas priekšlikums IKT produktiem un pakalpojumiem izveido Eiropas kiberdrošības sertifikācijas satvaru (“satvars”) un nosaka ENISA būtiskās funkcijas un pienākumus kiberdrošības sertifikācijas sfērā. Priekšlikumā izklāstīts vispārējs normatīvais satvars, kas reglamentē Eiropas kiberdrošības sertifikācijas shēmas. Priekšlikums neievieš tieši izmantojamas sertifikācijas shēmas, bet drīzāk veido sistēmu (satvaru), kurā izstrādāt konkrētas sertifikācijas shēmas konkrētiem IKT produktiem/pakalpojumiem („Eiropas kiberdrošības sertifikācijas shēmas”). Eiropas kiberdrošības sertifikācijas shēmu izveide šajā satvarā ļautu saskaņā ar minētajām shēmām izdotus sertifikātus uzskatīt par derīgiem un atzītiem visās dalībvalstīs un novērst tirgus pašreizējo sadrumstalotību. Eiropas kiberdrošības sertifikācijas shēmas vispārīgais mērķis ir apliecināt, ka saskaņā ar šo shēmu sertificēti IKT produkti un pakalpojumi atbilst noteiktām kiberdrošības prasībām. Tās, piemēram, varētu attiekties uz to spēju datus (vai tos glabā, sūta vai citādi apstrādā) pasargāt no nejaušas vai neatļautas glabāšanas, apstrādes, piekļuves, izpaušanas, iznīcināšanas, pazušanas vai pārveidošanas. ES kiberdrošības sertifikācijas shēmas izmantotu pastāvošos standartus, kas attiecas uz tehniskajām prasībām un izvērtēšanas procedūrām, kam produktiem jāatbilst, bet ar tām netiktu ieviesti jauni tehniskie standarti. Piemēram, tādiem ražojumiem kā viedkartes, ko patlaban testē pēc starptautiskiem CC standartiem saskaņā ar daudzpusējo shēmu SOG-IS (aprakstīta pirmāk), ES mēroga sertifikācija šo shēmu padarītu derīgu visā ES. Priekšlikumā noteikts ne tikai konkrētu drošības mērķu kopums, kas jāņem vērā, izstrādājot konkrētu Eiropas kiberdrošības sertifikācijas shēmu, bet arī šādu shēmu satura minimums. Shēmās būs cita starpā jāizstrādā vairāki specifiski elementi, kas nosaka kiberdrošības sertifikācijas tvērumu un priekšmetu. Tas nozīmē apzināt aptvertās produktu un pakalpojumu grupas, detalizēti noteikt kiberdrošības prasības (piemēram, atsaucoties uz attiecīgajiem standartiem vai tehniskajām specifikācijām), specifiskos vērtēšanas kritērijus un metodes, kā arī apliecinājuma līmeni, ko iecerēts nodrošināt (t. i., pamata, būtisks vai augsts). Eiropas kiberdrošības sertifikācijas shēmas ENISA sagatavos ar Eiropas Kiberdrošības sertifikācijas grupas palīgu un padomu un ciešā sadarbībā ar to (sk. tālāk), un Komisija tās pieņems ar īstenošanas aktiem. Ja tiks konstatēts, ka vajadzīga kiberdrošības sertifikācijas shēma, Komisija lūgs ENISA sagatavot shēmu konkrētiem IKT produktiem vai pakalpojumiem. To ENISA izstrādās ciešā sadarbībā ar valstu sertifikācijas pārraudzības iestādēm, kas būs pārstāvētas Kiberdrošības sertifikācijas grupā. Dalībvalstis un šī grupa var iesniegt priekšlikumu Komisijai pieprasīt no ENISA konkrētu shēmu. Sertifikācija var būt ļoti dārgs process, un var paaugstināties cenas klientiem un patērētājiem. Sertifikācijas vajadzība var arī būtiski mainīties atkarā no produktu un pakalpojumu lietošanas konkrētā konteksta un tehnoloģisko pārmaiņu straujā tempa. Eiropas kiberdrošības sertifikācijas izmantošanai tāpēc būtu jāpaliek fakultatīvai, ciktāl IKT produktu un pakalpojumu drošības prasības nenosaka Savienības tiesību akti. Lai nodrošinātu saskaņotību un nepieļautu lieku daudzveidību, IKT produktiem un pakalpojumiem, uz kuriem attiecas Eiropas kiberdrošības sertifikācijas sistēma, valstu kiberdrošības sertifikācijas shēmas vai procedūras vairs netiks piemērotas no datuma, kas būs noteikts īstenošanas tiesību aktā, ar kuru shēma tiks noteikta. Dalībvalstīm turpmāk nebūtu jāievieš jaunas valsts kiberdrošības sertifikācijas shēmas IKT produktiem un pakalpojumiem, uz kuriem attiecas pastāvoša Eiropas kiberdrošības sertifikācijas shēma. Pēc Eiropas kiberdrošības sertifikācijas shēmu pieņemšanas IKT produktu izgatavotāji un IKT pakalpojumu sniedzēji varēs savu produktu vai pakalpojumu sertifikācijas pieteikumu iesniegt tai atbilstības novērtēšanas struktūrai, kuru izvēlēsies. Atbilstības novērtēšanas struktūras būtu jāakreditē akreditācijas struktūrai, ja tās atbilst noteiktām prasībām. Akreditāciju piešķirs, ilgākais, uz pieciem gadiem un varēs ar tādiem pašiem nosacījumiem atjaunot, ja atbilstības novērtēšanas struktūra atbildīs prasībām. Akreditācijas struktūras akreditāciju atsauks, ja atbilstības novērtēšanas struktūras akreditācijas nosacījumi nebūs vai vairs netiks izpildīti vai atbilstības novērtēšanas struktūras lēmumi pārkāps šo regulu. Uzraudzības, pārraudzības un izpildes nodrošināšanas uzdevumi priekšlikumā paredzēti dalībvalstīm. Dalībvalstij būs jānodrošina viena sertifikācijas pārraudzības iestāde. Iestādes uzdevums būs pārraudzīt atbilstības novērtēšanas struktūru un to teritorijā izveidoto atbilstības novērtēšanas struktūru izdoto sertifikātu atbilstību šās regulas prasībām un attiecīgajām Eiropas kiberdrošības sertifikācijas shēmām. Valsts sertifikācijas pārraudzības iestādes būs kompetentas izskatīt sūdzības, ko fiziskas vai juridiskas personas iesniedz par sertifikātiem, kurus izdevušas to teritorijā izveidotas atbilstības novērtēšanas struktūras. Tās pienācīgā mērā izmeklēs sūdzības priekšmetu un bez liekas vilcināšanās informēs sūdzētāju par lietas virzību un izskatīšanas rezultātiem. Tās arī sadarbosies ar citām sertifikācijas pārraudzības iestādēm vai citām valsts iestādēm, piemēram, daloties informācijā par IKT produktu un pakalpojumu varbūtēju neatbilstību šās regulas prasībām vai konkrētajām Eiropas kiberdrošības sertifikācijas shēmām. Visbeidzot, ar šo priekšlikumu tiek izveidota Eiropas Kiberdrošības sertifikācijas grupa, kas sastāv no visu dalībvalstu sertifikācijas pārraudzības iestādēm. Kiberdrošības sertifikācijas grupas galvenais uzdevums ir konsultēt Komisiju jautājumos, kas attiecas uz kiberdrošības sertifikācijas politiku, un kopā ar ENISA izstrādāt Eiropas kiberdrošības sertifikācijas shēmu projektus. ENISA palīdzēs Komisijai nodrošināt grupai sekretariātu un pastāvīgi atjaunināt Eiropas kiberdrošības sertifikācijas satvarā apstiprināto shēmu publisko uzskaiti. ENISA arī saistītos ar standartizācijas iestādēm, lai nodrošinātu apstiprinātajās shēmās izmantoto standartu piemērotību, un noteiktu jomas, kurās trūkst kiberdrošības standartu. Eiropas kiberdrošības sertifikācijas satvars (“satvars”) dos daudzveidīgu labumu pilsoņiem un uzņēmumiem. Proti: ·Konkrētiem produktiem vai pakalpojumiem izveidotās ES mēroga kiberdrošības sertifikācijas shēmas nodrošinās uzņēmumiem ES kiberdrošības sertifikācijas "vienoto kontaktpunktu". Uzņēmumi varēs savu izstrādājumu sertificēt vienu reizi un saņemt sertifikātu, kas der visās dalībvalstīs. Nebūs pienākuma izstrādājumus pārsertificēt dažādu valstu sertifikācijas iestādēs. Tas ievērojami samazinās uzņēmumu izdevumus, atvieglinās pārrobežu darbību un galu galā mazinās un novērsīs attiecīgo izstrādājumu iekšējā tirgus sadrumstalotību. ·Satvars nosaka Eiropas kiberdrošības sertifikācijas shēmu pārākumu pār valstu shēmām: saskaņā ar šo normu, pieņemtai Eiropas kiberdrošības sertifikācijas shēmai būs virsroka pār visām pastāvošajām paralēlajām valstu shēmām, kas attiecas uz tiem pašiem IKT produktiem vai pakalpojumiem tādā pašā apliecinājuma līmenī. Tas radīs lielāku skaidrību, mazinot valstu kiberdrošības sertifikācijas shēmu patlaban izplatīto pārklāšanos un iespējamo pretrunīgumu. ·Priekšlikums atbalsta un papildina TID direktīvas īstenošanu, dodot uzņēmumiem, uz kuriem attiecas direktīva, ļoti noderīgu rīku, ar ko pierādīt atbilstību TID direktīvas prasībām visā Savienībā. Izstrādājot jaunas kiberdrošības sertifikācijas shēmas, Komisija un ENISA īpašu uzmanību pievērsīs vajadzībai nodrošināt, ka kiberdrošības sertifikācijas shēmās atspoguļojas TID direktīvas prasības. ·Priekšlikums veicinās un atvieglinās Eiropas kiberdrošības politikas izveidi, saskaņojot nosacījumus un būtiskās prasības, kas attiecas uz IKT produktu un pakalpojumu kiberdrošības sertifikāciju Eiropas Savienībā. Eiropas kiberdrošības sertifikācijas shēmas atsauksies uz kopīgiem vērtēšanas standartiem vai kritērijiem un testēšanas metodiku. Kaut netieši, tas ievērojami veicinās kopīgu drošības risinājumu ieviešanu ES, tādējādi arī novācot šķēršļus iekšējam tirgum. ·Satvars ir plānots tā, lai kiberdrošības sertifikācijas shēmām nodrošinātu nepieciešamo elastīgumu. Atkarā no konkrētām kiberdrošības vajadzībām produktu vai pakalpojumu var sertificēt atbilstoši augstākam vai zemākam drošības līmenim. Šis elastīgums tiks iestrādāts Eiropas kiberdrošības sertifikācijas shēmās, un būs paredzēti dažādi apliecinājuma līmeņi (t. i., pamata, būtisks un augsts), ko varēs izmantot dažādiem nolūkiem vai dažādos kontekstos. ·Visi minētie elementi kiberdrošības sertifikāciju padarīs pievilcīgāku uzņēmējiem, jo šis ir efektīvs veids, kā informēt par IKT produktu un pakalpojumu kiberdrošības apliecinājuma līmeni. Cik kiberdrošības sertifikācija kļūs lētāka, efektīvāka un komerciāli izdevīgāka, tik uzņēmumiem būs lielāks stimuls sertificēt savas produkcijas aizsardzību pret kiberriskiem, tā veicinot labākas kiberdrošības prakses izplatīšanos IKT produktu un pakalpojumu izstrādē (ieprojektētu kiberdrošību).

•Saskanība ar spēkā esošajiem noteikumiem konkrētajā politikas jomā Tirgus subjektiem tautsaimnieciski un sabiedriski vitāli svarīgajās nozarēs, kā enerģētika, transports, ūdensapgāde, banku pakalpojumi, finanšu tirgus infrastruktūra, veselības aprūpe un digitālā infrastruktūra, kā arī digitālo pakalpojumu (piem., meklētājprogrammu, mākoņdatošanas pakalpojumu un tiešsaistes tirgotavu) sniedzējiem saskaņā ar TID direktīvu ir jāveic pienācīgi drošības risku pārvaldības pasākumi. Priekšlikuma jaunās tiesību normas papildina TID direktīvas noteikumus un nodrošina saskanību ar tiem, lai konsekventāk veidotu ES kibernoturību, uzlabojot spējas, sadarbību, riska pārvaldību un kiberlietu izpratni. Turklāt kiberdrošības sertifikācijas noteikumi dod būtisku rīku uzņēmumiem, uz kuriem attiecas TID direktīva, jo savu IKT produktu un pakalpojumu aizsargātību pret kiberdrošības riskiem tie varēs sertificēt, balstoties uz visā ES derīgām un atzītām kiberdrošības sertifikācijas shēmām. Tie arī būs papildinājums eIDAS regulā un Radioiekārtu direktīvā minētajām drošības prasībām. •Saskanība ar citām Savienības politikas jomām Regulā (ES) 2016/679 (Vispārīgā datu aizsardzības regula, "VDAR") ir noteikumi par ieviešamiem sertifikācijas mehānismiem un datu aizsardzības zīmogiem un marķējumu, kam uzskatāmi jāparāda datu pārziņu un apstrādātāju veikto apstrādes darbību atbilstība minētajai regulai. Šis regulas priekšlikums neskar datu apstrādes darbību sertifikāciju, arī tad, kad tādas darbības saskaņā ar VDAR ir iestrādātas produktos un pakalpojumos. Ierosinātā regula nodrošinās saderību ar Regulu (EK) Nr. 765/2008 par akreditācijas un tirgus uzraudzības prasībām, atsaucoties uz valsts akreditācijas struktūru un atbilstības novērtēšanas struktūru regulējuma normām. Attiecībā uz pārraudzības iestādēm, ierosinātajā regulā dalībvalstīm būs jānosaka savas sertifikācijas pārraudzības iestādes, kuru pienākums būs pārraudzīt, novērot un nodrošināt noteikumu izpildi. Minētās struktūras darbosies atsevišķi no atbilstības novērtēšanas struktūrām, kā noteikts Regulā (EK) Nr. 765/2008. 2.TIESISKAIS PAMATS, SUBSIDIARITĀTE UN PROPORCIONALITĀTE •Tiesiskais pamats ES rīcības tiesiskais pamats ir Līguma par Eiropas Savienības darbību (LESD) 114. pants, kur runāts par dalībvalstu tiesību aktu tuvināšanu, lai sasniegtu LESD 26. pantā minētos mērķus, proti, iekšējā tirgus pienācīgu darbību. Iekšējo tirgu kā tiesisko pamatu ENISA izveidei ir atbalstījusi Eiropas Savienības Tiesa (lietā C-217/04, Apvienotā Karaliste pret Eiropas Parlamentu un Padomi) un nostiprinājusi 2013. gada regula, kas nosaka Aģentūras pašreizējās pilnvaras. Turklāt darbības, kurās atspoguļotos mērķis paplašināt sadarbību un koordināciju starp dalībvalstīm un vairot ES līmeņa spējas papildināt dalībvalstu rīcību, ietilptu kategorijā "operatīvā sadarbība". Tas ir īpaši noteikts TID direktīvā (kuras tiesiskais pamats ir LESD 114. pants) kā mērķis, kas jāīsteno saistībā ar CSIRT tīklu, kur "ENISA nodrošina sekretariātu un aktīvi atbalsta sadarbību starp CSIRT" (12. panta 2. punkts). Konkrēti, 12. panta 3. punkta f) apakšpunktā kā CSIRT tīkla uzdevums ir sīkāk izklāstīta jaunu operatīvās sadarbības veidu apzināšana, arī tādu, kas attiecas uz: i) risku un incidentu kategorijām, ii) laicīgu brīdināšanu, iii) savstarpēju palīdzību, iv) koordinēšanas principiem un kārtību dalībvalstu reaģēšanai uz pārrobežu riskiem un incidentiem. ·IKT produktu un pakalpojumu sertifikācijas shēmu nevienveidība pastāv arī tādēļ, ka trūkst dalībvalstīm piemērojama vienota juridiski saistoša un iedarbīga regulēšanas procesa. Tas kavē IKT produktu un pakalpojumu iekšējā tirgus izveidi un bremzē Eiropas rūpniecības konkurētspēju šajā nozarē. Šā priekšlikuma mērķis ir novērst pašreizējo nevienveidību un ar to saistītos šķēršļus iekšējā tirgū, nodrošinot vienotu satvaru visā ES derīgu kiberdrošības sertifikācijas shēmu izstrādei. Subsidiaritāte (neekskluzīvas kompetences gadījumā) Subsidiaritātes princips prasa novērtēt ES rīcības nepieciešamību un pievienoto vērtību. Subsidiaritātes ievērošana šajā jomā jau tika atzīta, pieņemot spēkā esošo ENISA regulu. Kiberdrošības jautājums ir visas Savienības kopīgās interesēs. Tīklu un informācijas sistēmu savstarpējā atkarība ir tāda, ka atsevišķi subjekti (publiskā un privātā sektora, ieskaitot indivīdus) bieži nespēj pa vienam pretoties apdraudējumam un tikt galā ar kiberriskiem un incidentu iespējamo ietekmi. No vienas puses, dalībvalstu savstarpējā atkarība, arī kritisko infrastruktūru ekspluatācijā (enerģētika, transports, ūdensapgāde, un tās ir tikai dažas), padara publiskās varas iesaistīšanos Eiropas līmenī ne tikai vēlamu, bet arī vajadzīgu. No otras puses, ES dalība var radīt plašāku pozitīvu efektu ar labas prakses apmaiņu starp dalībvalstīm, un tas var uzlabot Savienības kiberdrošību. Kopumā, ņemot vērā pašreizējos apstākļos un nākotnes scenārijus, šķiet, ka nolūkā uzlabot Savienības kolektīvo kibernoturību nepietiks ar ES dalībvalstu atsevišķām darbībām un saskaldītu pieeju kiberdrošībai. ES rīcība uzskatāma par nepieciešamu arī tālab, lai novērstu kiberdrošības sertifikācijas shēmu pašreizējo nevienveidību. Tas ļautu ražotājiem gūt maksimālu labumu no iekšējā tirgus, ievērojami ietaupīt testēšanas un pārprojektēšanas izmaksas. Kaut arī pašreizējā Informācijas sistēmu drošības augstāko amatpersonu grupas (SOG-IS) Savstarpējās atzīšanas nolīguma (SAN) jautājumos, piemēram, ir panākusi svarīgus rezultātus šajā ziņā, tā arī uzrāda būtiskus ierobežojumus, kas traucē tai piemērotā veidā ilgtermiņā nodrošināt ilgtspējīgus risinājumus iekšējā tirgus potenciāla pilnīgai izmantošanai. ES līmeņa rīcības pievienotā vērtība, it īpaši, sekmējot sadarbību starp dalībvalstīm, kā arī starp tīklu un informācijas drošības kopienām, ir atzīta 2016. gada Padomes secinājumos, un tā arī skaidri parādās ENISA izvērtējumā.

•Proporcionalitāte Priekšlikumā paredzēts vienīgi tas, kas nepieciešams tā politisko mērķu sasniegšanai. Turklāt ES iesaistīšanās apmērs nav par šķērsli valstu darbībām valsts drošības jautājumos. Tāpēc ES rīcība ir pamatota ar subsidiaritātes principu un proporcionalitātes principu. •Juridiskā instrumenta izvēle Ar šo priekšlikumu tiek pārskatīta Regula (ES) Nr. 526/2013, kurā noteiktas ENISA pašreizējās pilnvaras un uzdevumi. Turklāt, ņemot vērā ENISA nozīmi ES kiberdrošības sertifikācijas satvara izveidē un pārvaldībā, jaunās ENISA pilnvaras un minētais satvars vislabāk ir izveidojami ar vienu vienīgu juridisku instrumentu, izmantojot regulu. 3.EX POST IZVĒRTĒJUMU, APSPRIEŠANOS AR IEINTERESĒTAJĀM PERSONĀM UN IETEKMES NOVĒRTĒJUMU REZULTĀTI Ex post izvērtējumi / spēkā esošo tiesību aktu atbilstības pārbaude Komisija pēc vērtēšanas shēmas skatīja Aģentūras nozīmīgumu, ietekmi, rezultativitāti, efektivitāti, saskanību un ES pievienoto vērtību tādos aspektos kā veiktspēja, pārvaldība, iekšējā uzbūve un darba metodes laikposmā no 2013. līdz 2016. gadam. Galvenos konstatējumus var apkopot šādi (sīkāk sk. ietekmes novērtējumam pievienoto dienestu darba dokumentu par šo jautājumu). ·Nozīmīgums. Tehnoloģiju attīstības un jaunu apdraudējumu apstākļos, ņemot vērā ievērojamo vajadzību ES uzlabot kiberdrošību, ENISA mērķi ir izrādījušies nozīmīgi. Dalībvalstis un ES iestādes nudien paļaujas uz tās lietpratību kiberdrošības jautājumos. Bez tam dalībvalstīs ir jāattīsta spēja labāk izprast apdraudējumu un reaģēt uz to, un ieinteresētajām personām ir jāsadarbojas dažādās tematiskajās jomās un iestāžu starpā. Kiberdrošība joprojām ir svarīga ES politiskā prioritāte, kurā tiek gaidīta ENISA rīcība, taču ENISA izveidota kā ES aģentūra ar noteikta termiņa pilnvarām, tāpēc: i) nav iespējama ilgtermiņa plānošana un pastāvīgs atbalsts dalībvalstīm un ES iestādēm; ii) var rasties tiesisks vakuums, jo TID direktīvas noteikumi ENISA uztic uzdevumus, kas ir pastāvīgi; iii) trūkst saskanības ar ieceri ENISA iesaistīt plašākā ES kiberdrošības ekosistēmā. ·Rezultativitāte. Kopumā ENISA ir sasniegusi mērķus un izpildījusi uzdevumus. Ar savām pamatdarbībām (spēju veidošana, lietpratēju padoms, kopienas izveide un politikas atbalste) tā devusi ieguldījumu tīklu un informācijas drošībā Eiropā. Katrā pamatdarbībā gan parādījies, kas vēl uzlabojams. Izvērtējumā secināts, ka ENISA ir faktiski radījusi spēcīgas un uzticības pilnas attiecības ar dažām ieinteresētajām personām, sevišķi dalībvalstīm un CSIRT kopienu. Dalība spēju veidošanas jomā tika uzskatīta par rezultatīvu, it īpaši dalībvalstīs, kurām mazāki resursi. Viena no spilgtākajām ir bijusi plašas sadarbības veicināšana – ieinteresētās personas visnotaļ piekrīt, ka ENISA ir pozitīva loma cilvēku tuvināšanā. Taču ENISA grūti nācies jūtami ietekmēt visu plašo tīklu un informācijas drošības jomu. Arī tāpēc, ka plašo pilnvaru izlietošanai tai bija doti visai ierobežoti cilvēkresursi un finansiālie līdzekļi. Novērtējumā arī secināts, ka mērķi nodrošināt lietpratēju atzinumus ENISA sasniegusi pa daļai, jo bijušas problēmas ekspertu līgšanā (sk. arī tālāk par efektivitāti). ·Efektivitāte. Par spīti tam, ka budžets mazs, viens no mazākajiem citu ES aģentūru vidū, Aģentūra ir spējusi dot ieguldījumu precīzi izraudzītu mērķu sasniegšanā, parādīdama, ka resursus izmanto lietderīgi. Izvērtējumā secināts, ka darbības visumā bijušas lietderīgas un skaidri nodalītie pienākumi organizācijā ļāvuši darbus paveikt labi. Viena no galvenajām Aģentūras efektivitātes problēmām ir ENISA grūtības pieņemt un noturēt darbā augsti kvalificētus ekspertus. Konstatēts, ka tas izskaidrojams ar vairāku faktoru kombināciju, ieskaitot visa publiskā sektora vispārējās grūtības konkurēt ar privāto sektoru mēģinājumos nolīgt augsti kvalificētus ekspertus, līgumu veidu (uz noteiktu laiku), ko Aģentūra galvenokārt varēja piedāvāt, un ENISA atrašanās vietas pavājo pievilcību, piemēram, sakarā ar laulāto grūtībām atrast darbu. Izvietojums gan Atēnās, gan Hēraklejā apgrūtināja koordināciju un radīja liekas izmaksas, bet pamatdarbības struktūrvienības pārcelšanās uz Atēnām 2013. gadā uzlaboja Aģentūras darbības efektivitāti. ·Saskanīgums. ENISA darbības visumā saskanējušas ar ieinteresēto personu politiku un darbībām valstu un ES līmenī, taču ir vajadzīga labāk koordinēta pieeja kiberdrošībai ES līmenī. Nav pilnībā izmantots ENISA un citu ES struktūru sadarbības potenciāls. Pārmaiņas ES tiesiskajā un politiskajā vidē mazina pašreizējo pilnvaru saskanīgumu. ·ES pievienotā vērtība. ENISA pievienotā vērtība galvenokārt izpaužas kā Aģentūras spēja uzlabot sadarbību, galvenokārt starp dalībvalstīm, bet arī ar saistītajām tīklu un informācijas drošības kopienām. ES līmenī nav citu struktūru, kas atbalstītu tik plašu sadarbību starp tīklu un informācijas drošības jautājumos ieinteresētajām personām. Aģentūras pievienotā vērtība variējās atkarā no ieinteresēto personu vajadzībām un līdzekļiem (piemēram, lielās dalībvalstis pretstatā mazajām, dalībvalstis pretstatā nozarei) un Aģentūras nepieciešamības noteikt prioritātes saviem pasākumiem saskaņā ar darba programmu. Izvērtējumā secināts, ka ENISA darbības iespējamā neturpināšana būtu visu dalībvalstu neizmantotā iespēja. Tādā gadījumā nebūs iespējams nodrošināt tāda paša līmeņa kopienas veidošanu un sadarbību starp dalībvalstīm kiberdrošības jomā. Bez vairāk centralizētas ES aģentūras aina kļūtu aizvien neviengabalaināka, ENISA vietā nākot divpusējai vai reģionālai sadarbībai. Aplūkojot ENISA līdzšinējo veikumu un nākotni, 2017. gada apspriešanā iezīmējas šādas galvenās tendences: ·Lielākā daļa respondentu (74 %) ENISA sniegumu laikposmā no 2013. līdz 2016. gadam visumā novērtēja pozitīvi. Lielākā daļa respondentu arī uzskata, ka ENISA sasniedz visus mērķus (vismaz 63 % par katru no mērķiem). ENISA pakalpojumus un produktus regulāri (reizi mēnesī vai biežāk) izmanto gandrīz puse respondentu (46 %), un tos atzinīgi vērtē tāpēc, ka tie nāk no ES līmeņa iestādes (83 %), un kvalitātes dēļ (62 %). ·Respondenti atzīmēja vairākas nepilnības un ES kiberdrošības nākotnes problēmas, it īpaši piecās jomās (no 16 uzskaitītām): dalībvalstu sadarbība, spēja novērst, atklāt un pārvarēt plašapmēra kiberuzbrukumus, dalībvalstu sadarbība jautājumos, kas saistīti ar kiberdrošību, sadarbība un informācijas apmaiņa starp dažādām ieinteresētajām personām, ieskaitot publiskā un privātā sektora sadarbību, kritiskās infrastruktūras aizsargāšana no kiberuzbrukumiem. ·Lielais vairums aptaujāto (88 %) uzskata, ka pašreizējie ES līmenī pieejamie instrumenti un mehānismi nav pietiekami vai ir tikai daļēji pietiekami problēmu atrisināšanai. Lielākā daļa respondentu (98 %) norāda, ka jābūt ES iestādei, kas atsauktos uz šīm vajadzībām, un to vidū aģentūru ENISA 99 % respondentu uzskata par piemērotāko organizāciju. Apspriešanās ar ieinteresētajām personām ·No 2016. gada 12. aprīļa līdz 5. jūlijam Komisija rīkoja sabiedrisko apspriešanu par ENISA pārskatīšanu un saņēma 421 atbildi. No tās redzams, ka 67,5 % respondentu pauž viedokli, ka aģentūrai ENISA varētu būt zināma loma saskaņota IT produktu un pakalpojumu drošības sertifikācijas satvara izveidē.

2016. gada apspriešanā par kiberdrošības cPPP iedaļā par sertifikāciju redzami šādi rezultāti: ·50,4 % (t. i., 121 no 240) respondentu nezina, vai valstu sertifikācijas shēmas tiek savstarpēji atzītas visās ES dalībvalstīs. 25,8 % (62 no 240) atbildēja „nē”, bet 23,8 % (57 no 240) atbildēja “jā”. ·37,9 % respondentu (91 no 240) domā, ka pastāvošās sertifikācijas shēmas neatbalsta Eiropas rūpniecības vajadzības. No otras puses, 17,5 % (42 no 240) – galvenokārt pasaules mēroga uzņēmumi, kas darbojas Eiropas tirgū – pauž pretēju viedokli. ·49,6 % (119 no 240) respondentu apgalvo, ka nav viegli pierādīt standartu, sertifikācijas shēmu un marķējumu līdzvērtību. 37,9 % (91 no 240) atbildēja „nezinu”, bet 12,5 % (30 no 240) atbildēja “jā”. Ekspertu atzinumu pieprasīšana un izmantošana Komisija izmantoja šādus ārējo ekspertu atzinumus: ·pētījumu par ENISA izvērtējumu – Study on the Evaluation of ENISA (Ramboll/Carsa 2017; SMART no. 2016/0077), ·pētījumu par IKT drošības sertifikāciju un marķēšanu – Study on ICT Security Certification and Labelling – Evidence gathering and impact assessment (PriceWaterhouseCoopers 2017; SMART no. 2016/0029). Ietekmes novērtējums ·Ietekmes novērtējuma ziņojumā par šo iniciatīvu tika konstatētas šādas galvenās risināmās problēmas: ·kiberdrošības politikas un pieeju nevienādība dalībvalstīs, ·kiberdrošības resursu izkliedētība un pieeju nevienādība ES iestādēs, aģentūrās un struktūrās un ·nepietiekama pilsoņu un uzņēmumu izpratne un apziņošana, ko pasliktina valstu un nozaru sertifikācijas shēmu daudzveidības saviešanās. Jautājumā par ENISA pilnvarām ziņojumā tika izvērtēti šādi iespējamie risinājumi: ·pastāvošā stāvokļa saglabāšana, t. i., pilnvaru pagarināšana uz ierobežotu laiku (nulles risinājums), ·ENISA pašreizējo pilnvaru notecēšana bez pagarināšanas – ENISA izbeigšanās (nekādas politiskas rīcības), ·"reformēta ENISA" un ·ES kiberdrošības aģentūra ar pilnīgām operatīvām spējām.

Jautājumā par kiberdrošības sertifikāciju ziņojumā tika izvērtēti šādi iespējamie risinājumi: ·nekādas politiskas rīcības (nulles risinājums), ·neleģislatīvi (ieteikuma tiesību) pasākumi, ·ES tiesību akts, kas izveidotu visām dalībvalstīm obligātu sistēmu uz sistēmas SOG-IS pamata, un ·vispārējs ES IKT kiberdrošības drošības sertifikācijas satvars. Analīzē tika secināts, ka vēlamākais risinājums ir "reformēta ENISA" apvienojumā ar vispārēju ES IKT kiberdrošības sertifikācijas satvaru. Vēlamākais risinājums ir novērtēts kā produktīvākais šādu ES noteikto mērķu sasniegšanai: uzlabot kiberdrošības spējas, gatavību, sadarbību, izpratni, pārredzamību un novērst tirgus sadrumstalotību. Tas arī novērtēts kā visvairāk saskanīgs ar ES kiberdrošības stratēģijas un tai radniecīgo politikas virzienu (piemēram, TID direktīvas) politiskajām prioritātēm un digitālā vienotā tirgus stratēģiju. Apspriešanas procesā izrādījās, ka vēlamāko risinājumu atbalsta arī lielākā daļa ieinteresēto personu. Jāpiebilst, ka ietekmes novērtējumā veiktā analīze rāda, ka vēlamākais risinājums mērķus sasniegtu, ja resursus izmantotu prātīgi. Komisijas Regulējuma kontroles padome 2017. gada 24. jūlijā vispirms sniedza negatīvu atzinumu, bet pēc atkārtota pieteikuma iesniegšanas 25. augustā sniedza pozitīvu atzinumu. Grozītajā ietekmes novērtējuma ziņojumā bija iekļautas papildu liecības, ENISA izvērtējuma galīgie secinājumi un papildu paskaidrojumi par politiskajiem risinājumiem un to ietekmi. Ietekmes novērtējuma galīgā ziņojuma 1. pielikumā ir kopsavilkums par to, kā otrajā atzinumā risinātas Regulējuma kontroles padomes piezīmēs norādītās problēmas. Proti, ziņojums tika atjaunināts, sīkāk atspoguļojot stāvokli ES kiberdrošībā, ieskaitot pasākumus, kas iekļauti kopīgajā paziņojumā "Noturība, novēršana un aizsardzība, veidojot Eiropas Savienībai stipru kiberdrošību", (JOIN(2017) 450), un ir īpaši svarīgi ENISA: ES kiberdrošības plāns un Eiropas Kiberdrošības pētniecības un kompetences centrs, kuram Aģentūra piesaistītu savus padomdevējus ES pētniecības vajadzību jautājumos. Ziņojumā paskaidrots, kā Aģentūras reforma, ieskaitot tās jaunos uzdevumus, labākus nodarbinātības apstākļus un strukturālo sadarbību ar šās jomas ES struktūrām, varētu uzlabot tās pievilcību darba devējas lomā un palīdzētu pārvarēt ekspertu nolīgšanas grūtības. Ziņojuma 6. pielikumā dota pārskatīta aplēse par izdevumiem sakarā ar politiskajiem risinājumiem, kas skar ENISA. Jautājumā par sertifikāciju ziņojums ir pārskatīts un tajā sīkāk, arī ar ilustrācijām, paskaidrots vēlamākais risinājums, kā arī dotas aplēses par dalībvalstu un Komisijas izmaksām sakarā ar jauno sertifikācijas satvaru. Sīkāk paskaidroti apsvērumi, uz kuru pamata ENISA šajā jomā izraudzīta par galveno personu tās lietpratības dēļ un tādēļ, ka ir vienīgā ES līmeņa aģentūra, kas nodarbojas ar kiberdrošību. Visbeidzot, tika pārskatīti sertifikācijai veltītie punkti, precizējot aspektus, kas saistīti ar pašreizējās sistēmas SOG-IS atšķirībām un ieguvumiem no dažādiem politikas risinājumiem, un paskaidrojot, ka IKT produkta un pakalpojuma veids, uz ko attiecas Eiropas sertifikācijas shēma, tiks noteikts pašā apstiprinātajā shēmā. Normatīvā atbilstība un vienkāršošana Neattiecas. Ietekme uz pamattiesībām Kiberdrošībai ir būtiska nozīme indivīda privātuma un personas datu aizsardzībā saskaņā ar ES Pamattiesību hartas 7. un 8. pantu. Kiberincidenta gadījumā privātums un personas datu aizsardzība, bez šaubām, ir apdraudēti. Tāpēc kiberdrošība ir nepieciešams priekšnoteikums privātuma ievērošanai un personas datu konfidencialitātei. Šādā rakursā šis priekšlikums, kas tiecas Eiropā uzlabot kiberdrošību, ir svarīgs papildinājums spēkā esošajiem tiesību aktiem, kuri sargā pamattiesības uz privātumu un personas datus. Kiberdrošība ir būtiska arī elektronisko sakaru konfidencialitātes aizsardzībā un tādējādi vārda un informācijas brīvības un ar to saistītās domu, apziņas un reliģijas brīvības izlietošanai. 4.IETEKME UZ BUDŽETU Sk. finanšu pārskatu. 5.CITI ELEMENTI •Īstenošanas plāni un uzraudzības, izvērtēšanas un ziņošanas kārtība Komisija uzraudzīs regulas piemērošanu un ik pēc pieciem gadiem iesniegs ziņojumu par tās izvērtēšanu Eiropas Parlamentam, Padomei un Eiropas Ekonomikas un sociālo lietu komitejai. Šie ziņojumi būs publiski pieejami, un tajos būs detalizēti aplūkota regulas faktiskā piemērošana un izpilde.

•Konkrētu priekšlikuma noteikumu sīkāks skaidrojums Regulas I sadaļā ir vispārīgie noteikumi: priekšmets (1. pants), jēdzienu definīcijas (2. pants), ieskaitot atsauces uz attiecīgām definīcijām citos ES aktos, piemēram, Eiropas Parlamenta un Padomes Direktīvā (ES) 2016/1148 par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā (TID direktīva), Eiropas Parlamenta un Padomes Regulā (EK) Nr. 765/2008, ar ko nosaka akreditācijas un tirgus uzraudzības prasības attiecībā uz produktu tirdzniecību un atceļ Regulu (EEK) Nr. 339/93, un Eiropas Parlamenta un Padomes Regulā (ES) Nr. 1025/2012 par Eiropas standartizāciju. Regulas II sadaļa ietver galvenos noteikumus, kas attiecas uz ENISA kā "ES kiberdrošības aģentūru". Sadaļas I nodaļā izklāstītas Aģentūras pilnvaras (3. pantā), mērķi (4. pantā) un uzdevumi (5.–11. pantā). II nodaļā izklāstīta ENISA organizācija un ietverti galvenie noteikumi par tās uzbūvi (12. pantā). Aprakstīts ENISA Administratīvās padomes (1. iedaļas 13.–17. pants) un Valdes (2. iedaļas 18. pants) sastāvs, balsošanas kārtība un funkcijas, kā arī izpilddirektora pienākumi (3. iedaļas 19. pants). Ietverti arī noteikumi par Pastāvīgās ieinteresēto personu grupas sastāvu un lomu (4. iedaļas 20. pants). Pēdējais svarīgākais – nodaļas 5. iedaļā sīki izklāstīti Aģentūras darbības noteikumi, arī sakarā ar darba plānošanu, interešu konfliktu, pārredzamību, konfidencialitāti un piekļuvi dokumentiem (21.–25. pants). III nodaļa attiecas uz Aģentūras budžeta izveidi un struktūru (26. un 27. punkts), kā arī īstenošanas noteikumiem (28. un 29. punkts). Tajā ir arī noteikumi, kas veicina cīņu pret krāpšanu, korupciju un citām nelikumīgām darbībām (30. pants). IV nodaļa attiecas uz Aģentūras personāla izveidi. Tajā iekļauti vispārīgi civildienesta un Savienības pārējo darbinieku nodarbināšanas kārtības noteikumi un noteikumi par privilēģijām un imunitāti (31. un 32. pants). Tajā arī detaļās izklāstīti noteikumi par Aģentūras izpilddirektora pienākumiem un iecelšanu (33. pants). Ietverti arī noteikumi par to, kā izmantot valstu norīkotus ekspertus vai citus darbiniekus, ko nenodarbina Aģentūra (34. pants). Visbeidzot, V nodaļā ietverti vispārīgi noteikumi, kas attiecas uz Aģentūru. Tajā noteikts juridiskais statuss (35. pants) un ietverti noteikumi, kas reglamentē tādus jautājumus kā atbildība, valodu lietošana, personas datu aizsardzība (36.–38. pants), kā arī drošības noteikumi par klasificētas informācijas un sensitīvas neklasificētas informācijas aizsardzību (40. pants). Aprakstīti noteikumi, pēc kuriem Aģentūra vadās sadarbībā ar trešām valstīm un starptautiskajām organizācijām (39. pants). Visbeidzot, tajā ietverti arī noteikumi par Aģentūras mītni un darbības apstākļiem, kā arī administratīvo kontroli, ko veic Ombuds (41. un 42. pants). Regulas III sadaļā ar vispārīgu normu izveidots IKT produktu un pakalpojumu Eiropas kiberdrošības sertifikācijas satvars (“satvars”) (1. pants). Tajā formulēts Eiropas kiberdrošības sertifikācijas shēmu vispārīgais mērķis, t. i., nodrošināt IKT produktu un pakalpojumu atbilstību noteiktajām kiberdrošības prasībām pēc spējas noteiktā apliecinājuma līmenī pretoties darbībai, kas apdraud glabāto, pārsūtīto vai apstrādāto datu vai funkciju vai pakalpojumu pieejamību, autentiskumu, veselumu vai konfidencialitāti (43. pants). Tajā arī uzskaitīti drošības mērķi, ko cenšas sasniegt Eiropas kiberdrošības sertifikācijas shēmas (45. pants), to vidū – panākt spēju aizsargāt datus no nejaušas vai neatļautas piekļuves vai izpaušanas, iznīcināšanas vai pārveidošanas, un Eiropas kiberdrošības sertifikācijas shēmu saturs (jeb elementi), piemēram, detalizētas norādes par tvērumu, drošības mērķi, izvērtēšanas kritēriji u. c. (47. pants). III sadaļā ir noteiktas arī Eiropas kiberdrošības sertifikācijas shēmu ieviešanas galvenās tiesiskās sekas, proti, i) pienākums shēmu īstenot valsts līmenī un sertificēšanas fakultatīvums, ii) Eiropas kiberdrošības sertifikācijas shēmu pārākums pār tādu pašu produktu vai pakalpojumu valsts shēmām (48. un 49. pants). Šajā sadaļā izklāstīta arī Eiropas kiberdrošības sertifikācijas shēmu pieņemšanas kārtība un Komisijas, ENISA un Eiropas Kiberdrošības sertifikācijas grupas attiecīgā loma (44. pants). Visbeidzot, šajā sadaļā ir noteikumi, kas reglamentē atbilstības novērtēšanas struktūras, ieskaitot to prasības, pilnvaras un uzdevumus, valsts sertifikācijas pārraudzības iestādes, kā arī sankcijas. Šajā sadaļā arī tiek nodibināta Kiberdrošības sertifikācijas grupa – būtiska struktūra, kas sastāv no valstu sertifikācijas pārraudzības iestāžu pārstāvjiem, kuru galvenais uzdevums ir kopdarbā ar ENISA sagatavot Eiropas kiberdrošības sertifikācijas shēmas un konsultēt Komisiju vispārīgos vai specifiskos jautājumos, kas attiecas uz kiberdrošības sertifikācijas politiku. Regulas IV sadaļā ietverti nobeiguma noteikumi par deleģējuma īstenošanu, izvērtēšanas prasībām, atcelšanu un pēctecību, kā arī stāšanos spēkā.



2017/0225 (COD) Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par ENISA – ES Kiberdrošības aģentūru – un Regulas (ES) 526/2013 atcelšanu un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju ("Kiberdrošības akts") (Dokuments attiecas uz EEZ) EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu, ņemot vērā Eiropas Komisijas priekšlikumu, pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem, ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu, ņemot vērā Reģionu komitejas atzinumu, saskaņā ar parasto likumdošanas procedūru, tā kā: (1)Tīklu un informācijas sistēmām un telesakaru tīkliem un pakalpojumiem ir būtiska nozīme sabiedrības dzīvē, un tie ir kļuvuši par ekonomikas izaugsmes pamatu. Informācijas un komunikācijas tehnoloģijas tiek izmantotas tādu kompleksu sistēmu pamatā, kuras ļauj mums īstenot sabiedrisko darbību; tās uztur saimniecisko darbību tādās nozīmīgās nozarēs kā veselības aprūpe, enerģētika, finanses un transports un jo īpaši atbalsta iekšējā tirgus darbību. (2)Iedzīvotāji, uzņēmumi un valdības plaši izmanto tīklu un informācijas sistēmas visā ES teritorijā. Digitalizācija un savienojamība kļūst par galvenajiem elementiem aizvien plašākajā produktu un pakalpojumu klāstā, un, attīstoties lietu internetam (IoT), paredzams, ka tuvākajos desmit gados visā ES izmantos miljoniem vai pat miljardiem satīkloto digitālo ierīču. Lai gan internetam pieslēgto ierīču kļūst aizvien vairāk, drošība un noturība nav pietiekami integrēta un līdz ar to arī kiberdrošības līmenis nav pietiekami augsts. Šādos apstākļos, ja sertifikācijas izmantošana ir ierobežota, ne organizācijas, ne individuālie lietotāji nav pietiekami informēti par IKT produktu un pakalpojumu kiberdrošības aspektiem, un tas savukārt mazina uzticēšanos digitālajiem risinājumiem. (3)Aizvien plašākā digitalizācija un satīklojamība rada arī lielākus kiberdrošības riskus, tādējādi sabiedrību kopumā padarot mazāk aizsargātu pret kiberdraudiem un palielinot briesmas, ar ko saskaras iedzīvotāji, tostarp tādas neaizsargātas personas kā bērni. Lai mazinātu šo risku, kam pakļauta sabiedrība, ir jāveic visi vajadzīgie pasākumi, kuru mērķis ir uzlabot kiberdrošību Eiropas Savienībā, lai tādējādi tīklu un informācijas sistēmas, telesakaru tīklus, digitālos produktus, pakalpojumus un ierīces, ko izmanto iedzīvotāji, valdības un uzņēmumi (no MVU līdz pat kritiskās infrastruktūras apsaimniekotājiem), labāk aizsargātu pret kiberdraudiem. (4)Kiberuzbrukumi kļūst aizvien biežāki, tāpēc satīklotai ekonomikai un sabiedrībai, kas ir mazāk aizsargāta pret kiberdraudiem un uzbrukumiem, ir vajadzīga spēcīgāka aizsardzība. Tomēr, lai gan kiberuzbrukumi bieži notiek pāri robežām, kiberdrošības iestādes politikas risinājumus un tiesībaizsardzības iestādes pilnvaras pārsvarā var īstenot tikai konkrētā valstī. Plašapmēra kiberincidenti var pārtraukt būtisku pakalpojumu sniegšanu visā ES. Tas rada vajadzību pēc efektīvas tādas ES līmeņa atbildes un krīzes pārvarēšanas, kuras pamatā izmantota specifiska politika un plašāka mēroga instrumenti Eiropas solidaritātes un savstarpējā atbalsta nodrošināšanai. Turklāt politikas veidotājiem, nozarei un lietotājiem ir svarīgi, lai kiberdrošības un noturības stāvoklis Savienībā tiktu regulāri izvērtēts, pamatojoties uz ticamiem Savienības līmeņa datiem, kā arī sistemātiski tiktu prognozēta turpmākā attīstība, problēmas un draudi gan Savienības, gan globālā līmenī. (5)Ņemot vērā pieaugošās kiberdrošības problēmas, ar ko saskaras Savienība, ir jāizveido visaptverošs pasākumu kopums, kas papildinātu agrāko Savienības rīcību un palīdzētu sasniegt savstarpēji pastiprinošus mērķus. Tie cita starpā paredz vairāk uzlabot dalībvalstu un uzņēmumu spējas un sagatavotību, kā arī sekmēt sadarbību un koordināciju starp dalībvalstīm un ES iestādēm, aģentūrām un struktūrām. Turklāt, ņemot vērā kiberdraudu pārrobežu raksturu, ir jāpalielina spējas Savienības līmenī, kas varētu papildināt dalībvalstu rīcību, sevišķi plašapmēra pārrobežu kiberdrošības incidentu un krīžu gadījumā. Vajadzīgi arī papildu centieni, kas uzlabotu iedzīvotāju un uzņēmumu izpratni kiberdrošības jautājumos. Turklāt, sniedzot pārredzamu informāciju par IKT produktu un pakalpojumu drošības līmeni, jāpanāk lielāka uzticēšanās digitālajam vienotajam tirgum. To var veicināt ES mēroga sertifikācija, kuras ietvaros visos valstu tirgos un nozarēs tiktu izvirzītas vienotas kiberdrošības prasības un izvērtēšanas kritēriji. (6)Eiropas Parlaments un Padome 2004. gadā pieņēma Regulu (EK) Nr. 460/2004, ar ko izveido ENISA, lai tā sniegtu ieguldījumu ceļā uz augsta līmeņa tīklu un informācijas drošību Savienībā un palīdzētu attīstīt tīklu un informācijas drošības kultūru iedzīvotāju, patērētāju, uzņēmumu un valsts pārvaldes iestāžu interesēs. Vēlāk, 2008. gadā, Eiropas Parlaments un Padome pieņēma Regulu (EK) Nr. 1007/2008, pagarinot Aģentūras pilnvaru termiņu līdz 2012. gada martam. Savukārt ar Regulu (EK) Nr. 580/2011 Aģentūras pilnvaru termiņu pagarināja līdz 2013. gada 13. septembrim. 2013. gadā Eiropas Parlaments un Padome pieņēma Regulu (ES) Nr. 526/2013 par ENISA un ar ko atceļ Regulu (EK) Nr. 460/2004; ar to Aģentūras pilnvaru termiņš tika pagarināts līdz 2020. gada jūnijam. (7)Savienība jau ir veikusi būtiskus pasākumus, lai nodrošinātu kiberdrošību un palielinātu uzticēšanos digitālajām tehnoloģijām. 2013. gadā tika pieņemta ES kiberdrošības stratēģija, lai veidotu uz kiberdraudiem un kiberriskiem vērstu Savienības politisko reakciju. Cenšoties uzlabot eiropiešu aizsardzību tiešsaistē, 2016. gadā Savienība pieņēma pirmo tiesību aktu kiberdrošības jomā, proti, Direktīvu (ES) 2016/1148 par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā ("TID direktīva"). TID direktīvā ir ieviestas prasības attiecībā uz valstu spējām kiberdrošības jomā, izveidoti pirmie mehānismi dalībvalstu stratēģiskās un operatīvās sadarbības stiprināšanai un noteikti pienākumi attiecībā uz drošības pasākumiem un incidentu paziņošanu visās ekonomiski un sabiedriski nozīmīgās nozarēs, piemēram, enerģētikā, transporta, ūdensapgādes, banku, finanšu tirgus infrastruktūru, veselības aprūpes un digitālās infrastruktūras nozarē, kā arī pienākumi galvenajiem digitālo pakalpojumu sniedzējiem (meklētājprogrammas, mākoņdatošanas pakalpojumi un tiešsaistes tirdzniecības vietas). Lai atbalstītu šīs direktīvas īstenošanu, ENISA tika piešķirta būtiska nozīme. Turklāt rezultatīva cīņa pret kibernoziegumiem ir noteikta par svarīgu prioritāti Eiropas Drošības programmā, tādējādi palīdzot sasniegt vispārējo mērķi attiecībā uz augstu kiberdrošības līmeni. (8)Ir atzīts, ka kopš ES kiberdrošības stratēģijas pieņemšanas 2013. gadā un Aģentūras pilnvaru pēdējās pārskatīšanas vispārējais politikas konteksts ir ievērojami mainījies, arī sakarā ar aizvien neskaidrāko un nedrošāko situāciju pasaules mērogā. Šajā sakarībā un saistībā ar jaunās Savienības kiberdrošības politikas izveidi ir jāpārskata ENISA pilnvaras, lai noteiktu tās uzdevumus mainītajā kiberdrošības ekosistēmā un nodrošinātu, ka tā sekmīgi palīdz rast Savienības risinājumus kiberdrošības problēmām, kas izriet no šīs radikāli pārveidotās apdraudējuma ainas, attiecībā uz kuru, kā atzīts Aģentūras izvērtējumā, tagadējais pilnvaru tvērums nav pietiekami plašs. (9)Ar šo regulu izveidotajai Aģentūrai būtu jāpārņem ar Regulu (EK) Nr. 526/2013 izveidotās ENISA darbs. Aģentūrai būtu jāpilda pienākumi, kas tai uzticēti ar šo regulu un Savienības tiesību aktiem kiberdrošības jomā, un, to darot, cita starpā jādalās lietpratībā un jādod padomi, kā arī jādarbojas kā Savienības informācijas un zināšanu centram. Tai būtu jāveicina paraugprakses apmaiņa dalībvalstu un privāto ieinteresēto personu starpā, Eiropas Komisijai un dalībvalstīm izvirzot ierosinājumus politikas nostādnēm, darbojoties kā uzziņas punktam attiecībā uz Savienības nozaru politikas iniciatīvām kiberdrošības jautājumos un sekmējot operatīvo sadarbību gan starp dažādām dalībvalstīm, gan starp dalībvalstīm un ES iestādēm, aģentūrām un struktūrām. (10)Saskaņā ar Lēmumu 2004/97/EK, Euratom, kas tika pieņemts Eiropadomes 2003. gada 13. decembra sanāksmē, dalībvalstu pārstāvji nolēma, ka ENISA atrašanās vieta būs kādā no Grieķijas pilsētām, kuru izvēlēsies Grieķijas valdība. Aģentūras mītnes dalībvalstij būtu jānodrošina pēc iespējas labāki apstākļi Aģentūras netraucētai un efektīvai darbībai. Lai tā varētu pienācīgi un efektīvi veikt savus uzdevumus, pieņemt darbā darbiniekus un noturēt tos un lai uzlabotu tīklošanas darbību efektivitāti, Aģentūrai noteikti būtu jāatrodas piemērotā vietā, kurā cita starpā būtu nodrošināta pienācīga satiksme un darbinieku laulāto un bērnu vajadzību apmierināšana. Nepieciešamie pasākumi būtu jāparedz Aģentūras un mītnes dalībvalsts nolīgumā, ko noslēgtu pēc Aģentūras Administratīvās padomes apstiprinājuma saņemšanas. (11)Ņemot vērā pieaugošās kiberdrošības problēmas, ar ko saskaras Savienība, būtu jāpalielina Aģentūrai piešķirtie finansiālie līdzekļi un cilvēkresursi, lai tie atbilstu tās paplašinātajai lomai un uzdevumiem, kā arī īpaši svarīgajai nozīmei Eiropas digitālās ekosistēmas aizsardzības organizāciju vidē. (12)Aģentūrai būtu jāattīsta un jāsaglabā augsts lietpratības līmenis un jākļūst par uzziņas punktu, kas ar savu neatkarību, kvalitatīvu padomu un izplatīto informāciju, darba procedūru un darbības metožu pārredzamību un neatlaidību savu uzdevumu izpildē rada uzticēšanos vienotajam tirgum. Iespējami ciešākā sadarbībā ar Savienības iestādēm, struktūrām, birojiem un aģentūrām un dalībvalstīm pildot savus uzdevumus, Aģentūrai būtu aktīvi jāveicina dalībvalstu un Savienības centieni. Turklāt Aģentūrai būtu jāizmanto privātā sektora, kā arī citu attiecīgo ieinteresēto personu piedāvātais atbalsts un sadarbības iespējas. Aģentūras uzdevumu kopumam būtu jānosaka tās mērķu sasniegšanas veidi, vienlaikus ļaujot tai darboties elastīgi. (13)Aģentūrai būtu jāpalīdz Komisijai ar padomiem, atzinumiem un analīzi visos Savienības jautājumos saistībā ar politikas un tiesību aktu izstrādi, atjaunināšanu un pārskatīšanu kiberdrošības, arī kritiskās infrastruktūras aizsardzības un kibernoturības, jomā. Saistībā ar konkrētu nozaru Savienības politikas un tiesību aktu iniciatīvām, kurās ietverti ar kiberdrošību saistīti jautājumi, Aģentūrai vajadzētu darboties kā uzziņas punktam, kurā iespējams saņemt padomu un lietpratēju atzinumus.

(14)Aģentūras pamatuzdevums ir veicināt attiecīgā tiesiskā regulējuma konsekventu īstenošanu, jo īpaši TID direktīvas rezultatīvu īstenošanu, kas ir būtiski svarīga kibernoturības līmeņa paaugstināšanai. Ņemot vērā strauji mainīgo kiberdrošības apdraudējuma ainu, ir skaidrs, ka dalībvalstis ir jāatbalsta, palīdzot tām izstrādāt visaptverošu daudznozaru pieeju kibernoturības veidošanā. (15)Aģentūrai būtu jāatbalsta dalībvalstu un Savienības iestāžu, struktūru, biroju un aģentūru centieni veidot un uzlabot spējas un gatavību novērst un atklāt kiberdrošības problēmas un incidentus, un reaģēt uz tiem, kā arī saistībā ar tīklu un informācijas sistēmu drošību. Aģentūrai jo īpaši būtu jāatbalsta valstu CSIRT izveide un uzlabošana ar mērķi Savienībā tajās panākt vienādi augsta līmeņa gatavību. Aģentūrai arī būtu jāpalīdz izstrādāt un atjaunināt Savienības un dalībvalstu tīklu un informācijas sistēmu drošības, jo īpaši kiberdrošības, stratēģijas, jāveicina to izplatīšana un jāseko to īstenošanai. Aģentūrai būtu arī jāpiedāvā publiskajām struktūrām apmācība un mācību materiāli un attiecīgā gadījumā "jāmāca mācībspēki", tādējādi palīdzot dalībvalstīm attīstīt pašām savas apmācības spējas. (16) Aģentūrai būtu jāpalīdz ar TID direktīvu izveidotajai Sadarbības grupai pildīt tās uzdevumus, jo īpaši daloties lietpratībā, sniedzot padomus un veicinot paraugprakses apmaiņu, jo īpaši attiecībā uz pamatpakalpojumu sniedzēju identifikāciju, ko veic dalībvalstis, un tostarp pievēršoties pārrobežu atkarībai saistībā ar riskiem un incidentiem. (17)Lai sekmētu sadarbību starp publisko un privāto sektoru un starp privātā sektora dalībniekiem, jo īpaši, lai atbalstītu kritiskās infrastruktūras aizsardzību, Aģentūrai būtu jāveicina nozaru informācijas apmaiņas un analīzes centru (ISAC) izveide, nodrošinot paraugpraksi un sniedzot norādījumus par pieejamiem rīkiem un procedūrām, kā arī par to regulatīvo jautājumu risināšanu, kuri saistīti ar informācijas apmaiņu. (18)Aģentūrai, attiecībā uz informācijas apmaiņu ieviešot kopīgus noteikumus, vienotu valodas lietojumu un terminoloģiju, būtu jāapkopo un jāanalizē valstu CSIRT un CERT-EU ziņojumi. Aģentūrai būtu arī jāiesaista privātais sektors saistībā ar TID direktīvu, kurā izklāstīti iemesli brīvprātīgai tehniskās informācijas apmaiņai operatīvā līmenī un CSIRT tīkla izveidei. (19)Aģentūrai būtu jāpalīdz nodrošināt Savienības līmeņa reaģēšanu uz plašapmēra pārrobežu kiberdrošības incidentiem un krīzēm. Pildot šo pienākumu, Aģentūrai cita starpā būtu jāvāc attiecīgā informācija un jādarbojas kā starpniecei starp CSIRT tīklu un tehniskajiem speciālistiem, kā arī par krīžu pārvarēšanu atbildīgajiem lēmumu pieņēmējiem. Turklāt incidentu risināšanā Aģentūra varētu sniegt arī tehniska veida atbalstu, sekmējot attiecīgo tehnisko risinājumu apmaiņu starp dalībvalstīm un sniedzot ieguldījumu publisko sakaru jomā. Aģentūrai būtu jāatbalsta viss process, šādas sadarbības mehānismu pārbaudot ikgadējās kiberdrošības mācībās. (20)Savu darbības uzdevumu izpildē Aģentūrai būtu jāizmanto pieejamā CERT-EU lietpratība, izmantojot ciešā fiziskā tuvumā veidotu strukturētu sadarbību ar CERT-EU. Strukturētā sadarbība palīdzēs panākt vajadzīgo sinerģiju un attīstīt ENISA lietpratību. Attiecīgā gadījumā starp abām organizācijām būtu jāpanāk īpaša vienošanās par šādas sadarbības praktiskas īstenošanas kārtību. (21)Atbilstīgi darbības uzdevumiem Aģentūrai būtu jāspēj sniegt atbalstu dalībvalstīm, piemēram, sniedzot padomus vai tehnisku palīdzību vai veicot apdraudējumu un incidentu analīzi. Komisijas Ieteikumā par koordinētu reaģēšanu uz plašapmēra kiberdrošības incidentiem un krīzēm ieteikts dalībvalstīm godprātīgi sadarboties un bez liekas kavēšanās savā starpā un ar ENISA dalīties ar informāciju par plašapmēra kiberdrošības incidentiem un krīzēm. Šādai informācijai būtu vēl vairāk jāpalīdz ENISA izpildīt savus darbības uzdevumus. (22)Lai regulāras tehniskās sadarbības ietvaros veicinātu situācijas apzināšanos Savienībā, Aģentūrai regulāri būtu jāsagatavo ES kiberdrošības tehniskās situācijas ziņojums par incidentiem un apdraudējumiem, kurš balstīts uz publiski pieejamu informāciju, ENISA veikto analīzi un ziņojumiem, ko tai (brīvprātīgi) snieguši dalībvalstu CSIRT vai ar TID direktīvu izveidotie vienotie kontaktpunkti, Eiropola Eiropas Kibernoziedzības apkarošanas centrs (EC3), CERT-EU un – attiecīgā gadījumā – Eiropas Ārējās darbības dienesta (EĀDD) ES Izlūkdatu analīzes centrs (INTCEN). Ziņojums būtu jādara pieejams attiecīgajām Padomes un Komisijas struktūrām, Savienības Augstajam pārstāvim ārlietās un drošības politikas jautājumos un CSIRT tīklam. (23)Vairāk nekā vienu dalībvalsti ietekmējušu incidentu ex-post tehniskajā izmeklēšanā, ko Aģentūra atbalsta vai veic pēc attiecīgo dalībvalstu pieprasījuma vai pēc vienošanās ar tām, būtu jāorientējas uz turpmāku incidentu novēršanu, un tā būtu jāveic, neskarot nekādas tiesas vai administratīvas procedūras vainas vai atbildības noteikšanai. (24)Attiecīgajām dalībvalstīm būtu jāsniedz Aģentūrai vajadzīgā informācija un palīdzība, lai izmeklēšanu tā varētu veikt, neskarot Līguma par Eiropas Savienības darbību 346. pantu vai citas sabiedriskās kārtības prasības. (25)Dalībvalstis var aicināt uzņēmumus, kurus skāris incidents, sadarboties un sniegt Aģentūrai nepieciešamo informāciju un palīdzību, neskarot to tiesības uz sensitīvas komercinformācijas aizsardzību. (26)Lai labāk izprastu izaicinājumus kiberdrošības jomā un sniegtu stratēģiskus ilgtermiņa padomus dalībvalstīm un Savienības iestādēm, Aģentūrai ir jāanalizē pašreizējie un turpmākie riski. Šajā nolūkā Aģentūrai sadarbībā ar dalībvalstīm un vajadzības gadījumā ar statistikas un citām iestādēm būtu jāvāc attiecīga informācija un jāanalizē jaunās tehnoloģijas, un jāveic novērtējumi par konkrētām tēmām saistībā ar tehnoloģiju inovāciju paredzamo sociālo, juridisko, ekonomisko un regulatīvo ietekmi tīklu un informācijas sistēmu drošības, jo īpaši kiberdrošības, jomā. Turklāt Aģentūrai, analizējot apdraudējumus un incidentus, būtu jāpalīdz dalībvalstīm un Savienības iestādēm, aģentūrām un struktūrām noteikt jaunās tendences un novērst ar kiberdrošību saistītās problēmas. (27)Lai palielinātu Savienības noturību, Aģentūrai, sniedzot padomus, norādījumus un paraugpraksi, būtu jāattīsta izcilība interneta infrastruktūras un kritiskās infrastruktūras drošības jautājumos. Lai nodrošinātu vienkāršāku piekļuvi labāk strukturētai informācijai par kiberdrošības riskiem un iespējamiem risinājumiem, Aģentūrai būtu jāizveido un jāuztur Savienības "informācijas mezgls", kas darbotos kā vienots kontaktpunkts – portāls, kurā plašāka sabiedrība varētu iepazīties ar ES un dalībvalstu iestāžu, aģentūru un struktūru sniegto informāciju par kiberdrošību. (28)Aģentūrai būtu jāpalīdz uzlabot sabiedrības izpratni par riskiem, kas saistīti ar kiberdrošību, un jāsniedz iedzīvotājiem un organizācijām adresēti norādījumi par labu praksi individuāliem lietotājiem. Aģentūrai arī būtu jāpalīdz veicināt paraugpraksi un risinājumus iedzīvotāju un organizāciju līmenī, apkopojot un analizējot publiski pieejamu informāciju par būtiskiem incidentiem, kā arī sagatavojot ziņojumus, kuros sniegti norādījumi uzņēmumiem un iedzīvotājiem, un uzlabojot vispārējo sagatavotības līmeni un noturību. Turklāt Aģentūrai sadarbībā ar dalībvalstīm un Savienības iestādēm, struktūrām, birojiem un aģentūrām būtu jāorganizē uz galalietotājiem vērstas regulāras informatīvās un sabiedrības izglītošanas kampaņas, kuru mērķis ir veicināt indivīdu tiešsaistes uzvedības drošākus paradumus un palielināt izpratni par potenciālajiem draudiem kibertelpā, tostarp par tādiem kibernoziegumiem kā personas datu izkrāpšanas jeb pikšķerēšanas uzbrukumi, botu tīkli, krāpšana finanšu un banku darījumos, kā arī sniegt pamatieteikumus attiecībā uz autentifikāciju un datu aizsardzību. Aģentūrai, straujāk uzlabojot galalietotāju izpratni par drošību ierīcēs, būtu jāuzņemas galvenā loma. (29)Lai atbalstītu kiberdrošības nozares uzņēmumus, kā arī lietotājus, kas izmanto kiberdrošības risinājumus, Aģentūrai, regulāri analizējot kiberdrošības tirgus tendences gan no pieprasījuma, gan piedāvājuma viedokļa un izplatot šo informāciju, būtu jāizveido un jāuztur "tirgus novērošanas centrs". (30)Lai nodrošinātu savu mērķu pilnīgu sasniegšanu, Aģentūrai būtu jāsadarbojas ar attiecīgām iestādēm, aģentūrām un struktūrām, tostarp CERT-EU, Eiropola Eiropas Kibernoziedzības apkarošanas centru (EC3) un Eiropas Aizsardzības aģentūras (EAA), Eiropas Aģentūru lielapjoma IT sistēmu darbības pārvaldībai (eu-LISA), Eiropas Aviācijas drošības aģentūru (EASA) un citām ES aģentūrām, kas iesaistītas kiberdrošības jautājumu risināšanā. Tai būtu jāsadarbojas arī ar iestādēm, kuru pārziņā ir datu aizsardzība, šādā veidā apmainoties ar zinātību un paraugpraksi un sniedzot padomus par kiberdrošības aspektiem, kas varētu ietekmēt to darbu. Valstu un Savienības tiesībaizsardzības un datu aizsardzības iestāžu pārstāvjiem vajadzētu būt tiesīgiem piedalīties Aģentūras Pastāvīgajā ieinteresēto personu grupā. Sadarbojoties ar tiesībaizsardzības struktūrām attiecībā uz tīklu un informācijas drošības aspektiem, kas varētu ietekmēt viņu darbu, Aģentūrai būtu jāņem vērā pastāvošie informācijas kanāli un izveidotie tīkli. (31)Kā dalībniekam, kas turklāt nodrošina CSIRT tīkla sekretariātu, Aģentūrai būtu jāatbalsta dalībvalstu CSIRT un CERT-EU operatīvajā sadarbībā, un tas jādara papildus visiem attiecīgajiem CSIRT tīkla uzdevumiem, kas noteikti Tīklu un informācijas drošības (TID) direktīvā. Turklāt Aģentūrai, vienlaikus pienācīgi ņemot vērā CSIRT tīkla darbības standartprocedūras, būtu jāveicina un jāatbalsta sadarbība starp attiecīgām CSIRT to pārvaldīto vai aizsargāto tīklu vai infrastruktūras incidentu, uzbrukumu vai traucējumu gadījumā, ja tas attiecas vai varētu attiekties vismaz uz divām CERT. (32)Lai uzlabotu Savienības gatavību saistībā ar reaģēšanu uz kiberdrošības incidentiem, Aģentūrai būtu jāorganizē ikgadējas kiberdrošības mācības Savienības līmenī un pēc pieprasījuma jāsniedz atbalsts mācību organizēšanā dalībvalstīm un ES iestādēm, aģentūrām un struktūrām. (33)Aģentūrai būtu vēl vairāk jāattīsta un jāsaglabā sava lietpratība kiberdrošības sertifikācijas jautājumos, lai tā spētu atbalstīt Savienības politiku šajā jomā. Aģentūrai būtu jāveicina sertifikācijas ieviešana Savienībā, cita starpā palīdzot izveidot un uzturēt kiberdrošības sertifikācijas satvaru Savienības mērogā, lai uzlabotu IKT produktu un pakalpojumu kiberdrošības apliecinājuma pārredzamību un tādējādi stiprinātu uzticēšanos digitālajam iekšējam tirgum.

(34)Efektīvas kiberdrošības politikas pamatā gan publiskajā, gan privātajā sektorā vajadzētu būt labi izstrādātām riska izvērtēšanas metodēm. Riska izvērtēšanas metodes izmanto dažādos līmeņos, un nav vienotas efektīvas piemērošanas prakses. Ar riska izvērtēšanu un sadarbspējīgu riska pārvaldības risinājumu meklēšanu saistītas paraugprakses veicināšana un attīstīšana publiskā un privātā sektora organizācijās paaugstinās kiberdrošības līmeni Savienībā. Tādēļ Aģentūrai būtu jāatbalsta ieinteresēto personu sadarbība Savienības līmenī, palīdzot tām izveidot un pārņemt Eiropas un starptautiskos standartus, ko izmanto attiecībā uz elektronisko produktu, sistēmu, tīklu un pakalpojumu, kas kopā ar programmatūru veido tīkla un informācijas sistēmas, riska pārvaldību un drošības novērtēšanu. (35)Aģentūrai būtu jāmudina dalībvalstis un pakalpojumu sniedzēji paaugstināt savus vispārīgos drošības standartus tā, lai visi interneta lietotāji varētu veikt nepieciešamos pasākumus paši savas kiberdrošības panākšanai. Konkrētāk, pakalpojumu sniedzējiem un produktu ražotājiem vajadzētu atsaukt vai pārstrādāt kiberdrošības standartiem neatbilstošus produktus un pakalpojumus. Sadarbībā ar kompetentajām iestādēm ENISA var izplatīt informāciju par iekšējā tirgū piedāvāto produktu un pakalpojumu kiberdrošības līmeni un izdot pakalpojumu sniedzējiem un ražotājiem brīdinājumus, kuros tos informē par prasību uzlabot savu produktu un pakalpojumu drošību, tostarp kiberdrošību. (36)Aģentūrai būtu pilnībā jāņem vērā aktuālie pētniecības, izstrādes un tehnoloģiju izvērtēšanas pasākumi, jo īpašie tie, kas notiek saskaņā ar dažādām Savienības pētniecības iniciatīvām, lai Savienības iestādēm, struktūrām, birojiem un aģentūrām, kā arī attiecīgos gadījumos pēc pieprasījuma dalībvalstīm sniegtu padomus par vajadzību veikt pētījumus tīklu un informācijas drošības, jo īpaši kiberdrošības, jomā. (37)Kiberdrošības problēmas ir pasaules mēroga jautājumi. Lai uzlabotu drošības standartus, tostarp definētu kopīgas uzvedības normas, un informācijas apmaiņu un veicinātu ātrāku starptautisko sadarbību atbildes pasākumu jomā, kā arī vienotu globālu pieeju tīklu un informācijas drošības jautājumiem, ir nepieciešams ciešāk sadarboties starptautiskā līmenī. Tādēļ Aģentūrai būtu jāatbalsta plašāka Savienības iesaistīšanās un sadarbība ar trešām valstīm un starptautiskām organizācijām, vajadzības gadījumā attiecīgām Savienības iestādēm, struktūrām, birojiem un aģentūrām sniedzot nepieciešamos lietpratības atzinumus un veicot analīzi. (38)Aģentūrai būtu jāspēj reaģēt uz dalībvalstu un ES iestāžu, aģentūru un struktūru ad hoc pieprasījumiem pēc padomiem un palīdzības, kas atbilst Aģentūras mērķiem. (39)Aģentūras pārvaldībā ir nepieciešams ieviest noteiktus principus saskaņā ar kopīgo paziņojumu un kopīgo pieeju, par ko 2012. gadā jūlijā vienojās starpiestāžu darba grupa ES decentralizēto aģentūru jautājumos, kuras paziņojuma un pieejas mērķis ir pilnveidot aģentūru darbību un uzlabot to sniegumu. Kopīgais paziņojums un kopīgā pieeja attiecīgos gadījumos būtu jāatspoguļo arī Aģentūras darba programmās, izvērtējumos, kā arī pārskatu sniegšanas un administratīvajā praksē. (40)Aģentūras Administratīvajai padomei, ko veidotu dalībvalstis un Komisija, būtu jānosaka Aģentūras darbības vispārīgais virziens un jāgādā, lai tā pildītu savus pienākumus saskaņā ar šo regulu. Aģentūras Administratīvā padome būtu jāpilnvaro izstrādāt budžetu, pārbaudīt tā izpildi, pieņemt atbilstošus finansiālos noteikumus, noteikt pārredzamas darba procedūras Aģentūras lēmumu pieņemšanai, apstiprināt Aģentūras vienoto programmdokumentu, pieņemt savu reglamentu, iecelt izpilddirektoru un lemt par izpilddirektora pilnvaru termiņa pagarināšanu un izbeigšanu. (41)Lai Aģentūra darbotos pienācīgi un rezultatīvi, Komisijai un dalībvalstīm būtu jānodrošina, ka personām, kuras tiek ieceltas Administratīvajā padomē, ir atbilstoša profesionālā lietpratība un pieredze funkcionālajās jomās. Lai nodrošinātu Administratīvās padomes darba nepārtrauktību, Komisijai un dalībvalstīm būtu arī jācenšas ierobežot savu attiecīgo pārstāvju mainību Administratīvajā padomē. (42)Lai Aģentūras darbība būtu sekmīga, tās izpilddirektors jāieceļ, ņemot vērā nopelnus un ar dokumentiem apliecinātas administratīvā un pārvaldības darba iemaņas, kā arī kompetenci un pieredzi kiberdrošības jomā, turklāt izpilddirektora pienākumi jāpilda pilnīgi neatkarīgi. Izpilddirektoram būtu jāsagatavo priekšlikums Aģentūras darba programmai, iepriekš apspriežoties ar Komisiju, un jāveic visi vajadzīgie pasākumi, lai nodrošinātu Aģentūras darba programmas pienācīgu izpildi. Izpilddirektoram būtu jāsagatavo un jāiesniedz Administratīvajai padomei gada darbības pārskata projekts, jāizstrādā Aģentūras ieņēmumu un izdevumu tāmes projekts un jāizpilda budžets. Izpilddirektoram vajadzētu būt iespējai veidot ad hoc darba grupas, lai risinātu konkrētus jautājumus, jo īpaši zinātniskus, tehniskus, juridiskus vai sociālekonomiskus jautājumus. Izpilddirektoram būtu jāgādā, lai ad hoc darba grupu locekļi tiktu izraudzīti saskaņā ar augstākajiem lietpratības standartiem, nodrošinot dalībvalstu administrāciju, Savienības iestāžu un privātā sektora, tostarp nozares, lietotāju un tīklu un informācijas drošības jomas akadēmisko ekspertu pienācīgu pārstāvniecības līdzsvaru atbilstoši konkrēti risināmajiem jautājumiem. (43)Valdei būtu jāpalīdz nodrošināt rezultatīvu Administratīvās padomes darbību. Veicot savu sagatavošanās darbu saistībā ar Administratīvās padomes lēmumiem, tai būtu detalizēti jāizvērtē attiecīgā informācija, jāapzina pieejamās iespējas un jāsniedz padomi un risinājumi attiecīgo Administratīvās padomes lēmumu sagatavošanai. (44)Aģentūrā vajadzētu būt izveidotai Pastāvīgai ieinteresēto personu grupai, kas darbotos kā padomdevēja struktūra, kas uzturētu regulāru dialogu ar privāto sektoru, patērētāju organizācijām un citām attiecīgajām ieinteresētajām personām. Pastāvīgajai ieinteresēto personu grupai, ko pēc izpilddirektora priekšlikuma izveidotu Administratīvā padome, galvenokārt būtu jārisina ieinteresētajām personām svarīgi jautājumi un par tiem jāinformē Aģentūra. Pastāvīgā ieinteresēto personu grupa, ar kuru jāapspriežas, jo īpaši attiecībā uz darba programmas projektu, jāveido tā, lai tās sastāvs un tai uzdotie uzdevumi nodrošinātu pietiekami lielu ieinteresēto personu pārstāvību Aģentūras darbā. (45)Aģentūrā vajadzētu būt ieviestiem noteikumiem par to, kā novērst un risināt interešu konfliktus. Aģentūrai būtu arī jāievēro atbilstīgi Savienības noteikumi par publisku piekļuvi dokumentiem, kā noteikts Eiropas Parlamenta un Padomes Regulā (EK) Nr. 1049/2001. Personas datu apstrādei Aģentūrā būtu jānotiek saskaņā ar Eiropas Parlamenta un Padomes 2000. gada 18. decembra Regulu (EK) Nr. 45/2001 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Kopienas iestādēs un struktūrās un par šādu datu brīvu apriti. Aģentūrai būtu jāievēro Savienības iestādēm piemērojamie noteikumi un valstu tiesību akti, kas attiecas uz rīkošanos ar datiem, jo īpaši sensitīvu, bet neklasificētu informāciju un ES klasificētu informāciju. (46)Lai garantētu Aģentūras pilnīgu autonomiju un neatkarību un ļautu tai veikt papildu un jaunus uzdevumus, tostarp neparedzētus ārkārtas uzdevumus, būtu jāpiešķir Aģentūrai pietiekams un atsevišķs budžets, kura ieņēmumus veidotu galvenokārt Savienības un Aģentūras darbā iesaistīto trešo valstu iemaksas. Lielākajai daļai Aģentūras darbinieku vajadzētu būt tieši iesaistītai Aģentūras pilnvaru īstenošanā saistībā ar darbību. Mītnes dalībvalstij vai jebkurai citai dalībvalstij vajadzētu būt iespējai veikt brīvprātīgas iemaksas Aģentūras budžetā. Savienības budžeta procedūru būtu jāturpina piemērot attiecībā uz visām subsīdijām, ko piešķir no Savienības vispārējā budžeta. Turklāt Revīzijas palātai būtu jāveic Aģentūras finanšu pārskatu revīzija, lai nodrošinātu pārredzamību un pārskatatbildību. (47)Atbilstības novērtēšana ir process, ar ko parāda, vai ir ievērotas ar produktu, procesu, pakalpojumu, sistēmu, personu vai struktūru saistītās konkrētās prasības. Šajā regulā sertifikācija būtu jāuzskata par noteikta veida atbilstības novērtējumu attiecībā uz produkta, procesa, pakalpojuma, sistēmas vai to apvienojumu kiberdrošības iezīmēm ("IKT produkti un pakalpojumi"), ko veic neatkarīga trešā persona, kas nav produkta ražotājs vai pakalpojuma sniedzējs. Sertifikācija pati par sevi nevar garantēt, ka sertificēti IKT produkti un pakalpojumi ir kiberdroši. Tā drīzāk ir tāda procedūra un tehniskā metodika, kas apliecina, ka IKT produkti un pakalpojumi ir testēti un ka tie atbilst noteiktām kiberdrošības prasībām, kuras izklāstītas citur, piemēram, tehniskajos standartos. (48)Kiberdrošības sertifikācija ir būtiska, lai vairotu uzticēšanos IKT produktiem un pakalpojumiem un to drošību. Digitālais vienotais tirgus, jo īpaši datu ekonomika un lietu internets, var attīstīties vienīgi tad, ja plašai sabiedrībai ir pārliecība par to, ka šiem produktiem un pakalpojumiem ir nodrošināta noteikta līmeņa kiberdrošība. Satīklotās un automatizētās automašīnas, elektroniskās medicīniskās ierīces, ražošanas automatizācijas vadības sistēmas vai viedtīkli – tie ir tikai daži to nozaru piemēri, kurās jau tagad plaši izmanto sertifikāciju vai kurās to varētu izmantot tuvākajā nākotnē. Arī TID direktīvas reglamentētajās nozarēs kiberdrošības sertifikācijai ir izšķiroša nozīme. (49)2016. gada paziņojumā "Kā nostiprināt Eiropas Kiberizturētspējas sistēmu un sekmēt konkurētspējīgu un inovatīvu kiberdrošības nozari" Komisija uzsvēra nepieciešamību pēc augstas kvalitātes, cenas ziņā pieejamiem un sadarbspējīgiem kiberdrošības produktiem un risinājumiem. IKT produktu un pakalpojumu piedāvājums vienotajā tirgū joprojām ir ļoti sadrumstalots ģeogrāfiskajā ziņā. Tas noticis tādēļ, ka kiberdrošības nozare Eiropā lielā mērā ir veidojusies atbilstīgi valsts pieprasījumam. Turklāt kiberdrošības jomā vienotajā tirgū ir arī citas nepilnības, piemēram, trūkst sadarbspējīgu risinājumu (tehniskie standarti), nav pietiekamas sertifikācijas prakse un ES mēroga sertifikācijas mehānismu. No vienas puses, tas Eiropas uzņēmumiem apgrūtina iespēju kļūt konkurētspējīgiem valsts, Eiropas un pasaules mērogā. No otras puses, tiek samazināts privātpersonām un uzņēmumiem pieejamo derīgo un izmantojamo kiberdrošības tehnoloģiju klāsts. Līdzīgi, digitālā vienotā tirgus stratēģijas īstenošanas vidusposma pārskatā Komisija ir uzsvērusi vajadzību pēc drošiem satīklotiem produktiem un sistēmām, un norādījusi, ka tāda Eiropas IKT drošības satvara izveide, kas paredz noteikumus par IKT drošības sertifikācijas organizēšanu Savienībā, varētu gan saglabāt uzticēšanos internetam, gan atrisināt pašreizējo kiberdrošības tirgus sadrumstalotības problēmu. (50)Pašlaik IKT produktu un pakalpojumu kiberdrošības sertifikācija tiek izmantota visai ierobežoti. Ja arī tā ir ieviesta, galvenokārt tā tiek izmantota dalībvalstu līmenī vai konkrētu nozaru shēmās. Šādos apstākļos sertifikātu, ko izdevusi vienas valsts kiberdrošības iestāde, citas dalībvalstis principā neatzīst. Tādējādi šādiem uzņēmumiem var nākties sertificēt savus produktus un pakalpojumus vairākās dalībvalstīs, kurās tie darbojas, piemēram, ja tie vēlas piedalīties valsts iepirkuma procedūrās. Turklāt, lai gan tiek veidotas jaunas shēmas, šķiet, attiecībā uz horizontāliem kiberdrošības jautājumiem, piemēram, lietu interneta jomā, nav saskaņotas un visaptverošas pieejas. Esošajām shēmām ir ievērojami trūkumi un atšķirības tādos aspektos kā produktu klāsts, apliecinājuma līmeņi, būtiskie kritēriji un faktiskais izmantojums. (51)Iepriekš ir bijuši zināmi centieni Eiropā panākt sertifikātu savstarpēju atzīšanu. Tomēr tie bijuši tikai daļēji sekmīgi. Visspilgtākais piemērs šajā sakarā ir Augstāko amatpersonu grupa informācijas sistēmu drošības (SOG-IS) Savstarpējās atzīšanas nolīguma (SAN) jautājumos. SAN SOG-IS ir visnozīmīgākais sadarbības un savstarpējās atzīšanas modelis drošības sertifikācijas jomā, tomēr tam ir daži būtiski trūkumi, kas saistīti ar tā augstajām izmaksām un ierobežoto tvērumu. Līdz šim ir izstrādāti tikai nedaudzi digitālo produktu aizsardzības profili, piemēram, elektroniskais paraksts, tahogrāfi un viedkartes. Vissvarīgākais ir tas, ka SOG-IS ir iekļauta tikai daļa Savienības dalībvalstu. Ņemot vērā iekšējā tirgus aspektu, tas ir ierobežojis SOG-IS SAN rezultativitāti. (52)Tādējādi, ņemot vērā iepriekšminēto, ir jāizveido Eiropas kiberdrošības sertifikācijas satvars, kas nosaka galvenās horizontālās prasības izstrādājamajām Eiropas kiberdrošības sertifikācijas shēmām un pieļauj IKT produktu un pakalpojumu sertifikātu atzīšanu un izmantošanu visās dalībvalstīs. Eiropas satvars būtu jāveido atbilstīgi divējādam mērķim – pirmkārt, tam būtu jāsekmē lielāka uzticēšanās atbilstīgi šādām shēmām sertificētiem IKT produktiem un pakalpojumiem un, otrkārt, tam būtu jāpalīdz izvairīties no valsts kiberdrošības sertifikācijas shēmu aizvien izplatītākā pretrunīguma vai pārklāšanās un tādējādi samazināt to uzņēmumu izmaksas, kuri darbojas digitālajā vienotajā tirgū. Shēmām vajadzētu būt nediskriminējošām un balstītām uz starptautiskiem un/vai Savienības standartiem, taču tas neattiektos uz standartiem, kas ir nerezultatīvi vai nepietiekami atbilstoši, lai izpildītu ES leģitīmos mērķus šajā jomā. (53)Komisijai vajadzētu būt pilnvarotai pieņemt Eiropas kiberdrošības sertifikācijas shēmas attiecībā uz konkrētām IKT produktu un pakalpojumu grupām. Šīs shēmas būtu jāīsteno un jāpārrauga valstu sertifikācijas pārraudzības iestādēm, un šajās shēmās izsniegtajiem sertifikātiem vajadzētu būt derīgiem un atzītiem visā Savienībā. Nozarē vai citās privātās organizācijās izmantotajām sertifikācijas shēmām nebūtu jāietilpst šīs regulas darbības jomā. Tomēr struktūras, kas izmanto šāda veida shēmu, var ierosināt Komisijai apsvērt iespēju to izmantot par pamatu un pēc tam to apstiprināt kā Eiropas shēmu.

(54)Šīs regulas noteikumiem nebūtu jāskar Savienības tiesību akti, kuros izklāstīti īpaši noteikumi par IKT produktu un pakalpojumu sertifikāciju. Konkrēti, Vispārīgajā datu aizsardzības regulā (VDAR) ir izklāstīti noteikumi par sertifikācijas mehānismu ieviešanu un datu aizsardzības zīmogiem un marķējumu, kam uzskatāmi jāparāda datu pārziņu un apstrādātāju veikto apstrādes darbību atbilstība minētajai regulai. Ar šādiem sertifikācijas mehānismiem un datu aizsardzības zīmogiem un marķējumiem vajadzētu būt nodrošinātai iespējai datu subjektam ātri novērtēt konkrētu produktu un pakalpojumu datu aizsardzības līmeni. Šī regula neskar datu apstrādes darbību sertifikāciju, arī tad, kad tādas darbības saskaņā ar VDAR ir iestrādātas produktos un pakalpojumos. (55)Eiropas kiberdrošības sertifikācijas shēmas būtu jāveido ar mērķi nodrošināt, ka saskaņā ar šādu shēmu sertificēti IKT produkti un pakalpojumi atbilst noteiktām prasībām. Šādas prasības attiecas uz spēju noteiktā apliecinājuma līmenī pretoties darbībām, kas veiktas nolūkā apdraudēt tādu glabāto, pārsūtīto vai apstrādāto datu vai saistīto funkciju, vai pakalpojumu pieejamību, autentiskumu, integritāti vai konfidencialitāti, ko piedāvā izmantot minētie produkti, procesi, pakalpojumi un sistēmas, vai kam, tos izmantojot, var piekļūt tā, kā paredzēts šajā regulā. Šajā regulā nav iespējams detalizēti izklāstīt visiem IKT produktiem un pakalpojumiem piemērojamās kiberdrošības prasības. IKT produkti un pakalpojumi un ar tiem saistītās kiberdrošības vajadzības ir tik daudzveidīgas, ka ir ļoti grūti izstrādāt vispārīgas, visās jomās piemērojamas kiberdrošības prasības. Tādēļ sertifikācijas vajadzībām ir nepieciešams pieņemt plašu un vispārēju kiberdrošības jēdzienu, ko papildina konkrētu kiberdrošības mērķu kopums, kas jāņem vērā Eiropas kiberdrošības sertifikācijas shēmu izstrādē. Pēc tam saistībā ar katru Komisijas pieņemto sertifikācijas shēmu, piemēram, atsaucoties uz standartiem vai tehniskajām specifikācijām, būtu jāprecizē kārtība, kādā minētie mērķi tiks sasniegti attiecībā uz konkrētiem IKT produktiem un pakalpojumiem. (56)Komisijai vajadzētu būt pilnvarotai pieprasīt, lai ENISA sagatavo kandidātshēmu konkrētiem IKT produktiem vai pakalpojumiem. Pēc tam, pamatojoties uz ENISA ierosināto kandidātshēmu, Komisijai vajadzētu būt pilnvarotai ar īstenošanas aktiem pieņemt Eiropas kiberdrošības sertifikācijas shēmu. Ņemot vērā šajā regulā noteikto vispārējo mērķi un drošības mērķus, Komisijas pieņemtās Eiropas kiberdrošības sertifikācijas shēmās būtu jānosaka minimālais elementu kopums, kas izmantojams attiecībā uz katras shēmu priekšmetu, tvērumu un darbību. Cita starpā šiem elementiem būtu jāietver kiberdrošības sertifikācijas tvērums un priekšmets, tostarp IKT produktu un pakalpojumu kategorijas, detalizēti noteiktas kiberdrošības prasības (piemēram, atsaucoties uz standartiem vai tehniskajām specifikācijām), specifiskie izvērtēšanas kritēriji un metodes, kā arī plānotais apliecinājuma līmenis (pamata, būtisks un/vai augsts). (57)Eiropas kiberdrošības sertifikācijas izmantošanai būtu jāpaliek fakultatīvai, ja vien Savienības vai dalībvalstu tiesību aktos nav noteikts citādi. Tomēr, lai sasniegtu šīs regulas mērķus un izvairītos no iekšējā tirgus sadrumstalotības, valsts kiberdrošības sertifikācijas shēmām vai procedūrām, kas piemērojamas kādā Eiropas kiberdrošības sertifikācijas shēmā ietvertajiem IKT produktiem un pakalpojumiem, no Komisijas īstenošanas aktā noteiktas dienas vairs nevajadzētu būt spēkā. Arī dalībvalstīm vairs nebūtu jāievieš jaunas valsts sertifikācijas shēmas, kas paredz kiberdrošības sertifikācijas shēmas IKT produktiem un pakalpojumiem, uz kuriem jau attiecas spēkā esoša Eiropas kiberdrošības sertifikācijas shēma. (58)Pēc Eiropas kiberdrošības sertifikācijas shēmas pieņemšanas IKT produktu izgatavotājiem un IKT pakalpojumu sniedzējiem būtu jābūt iespējai savu produktu vai pakalpojumu sertifikācijas pieteikumu iesniegt pašu izvēlētai atbilstības novērtēšanas struktūrai. Atbilstības novērtēšanas struktūras būtu jāakreditē akreditācijas struktūrai, ja tās atbilst dažām konkrētām šajā regulā izklāstītām prasībām. Akreditācija būtu jāpiešķir uz laikposmu, kas nav ilgāks par pieciem gadiem, un to varētu atjaunot ar tādiem pašiem nosacījumiem, ja atbilstības novērtēšanas struktūra ievēro prasības. Akreditācijas struktūrām atbilstības novērtēšanas struktūras akreditācija būtu jāatsauc, ja akreditācijas nosacījumi nav vai vairs netiek izpildīti vai ja atbilstības novērtēšanas struktūras veiktie pasākumi pārkāpj šo regulu. (59)Ir jāpieprasa, lai visas dalībvalstis izraudzītos vienu kiberdrošības sertifikācijas pārraudzības iestādi, kura pārraudzītu atbilstības novērtēšanas struktūru un to teritorijā izveidoto atbilstības novērtēšanas struktūru izsniegtu sertifikātu atbilstību šīs regulas prasībām un attiecīgajām kiberdrošības sertifikācijas shēmām. Valstu sertifikācijas pārraudzības iestādēm būtu jāizskata sūdzības, ko fiziskas vai juridiskas personas iesniegušas saistībā ar to attiecīgajā teritorijā izveidoto atbilstības novērtēšanas struktūru izsniegtajiem sertifikātiem, pienācīgā mērā jāizmeklē sūdzības priekšmeti un samērīgā termiņā jāinformē sūdzības iesniedzējs par lietas virzību un izskatīšanas rezultātiem. Turklāt tām arī būtu jāsadarbojas ar citām valsts sertifikācijas pārraudzības iestādēm vai citām publiskām iestādēm, piemēram, daloties informācijā par IKT produktu un pakalpojumu varbūtēju neatbilstību šās regulas prasībām vai konkrētām kiberdrošības sertifikācijas shēmām. (60)Lai nodrošinātu Eiropas kiberdrošības sertifikācijas satvara konsekventu piemērošanu, būtu jāizveido Eiropas Kiberdrošības sertifikācijas grupa ("Grupa"), kas sastāv no valstu sertifikācijas pārraudzības iestādēm. Grupas galvenais uzdevums būtu dot padomus un palīdzēt Komisijai tās darbā, lai nodrošinātu Eiropas kiberdrošības sertifikācijas satvara konsekventu īstenošanu un piemērošanu; palīdzēt Aģentūrai un ar to cieši sadarboties kiberdrošības sertifikācijas kandidātshēmu izveidē; ieteikt Komisijai, lai tā pieprasītu Aģentūrai izveidot Eiropas kiberdrošības sertifikācijas kandidātshēmu; un pieņemt Komisijai adresētus atzinumus, kas attiecas uz esošo Eiropas kiberdrošības sertifikācijas shēmu uzturēšanu un pārskatīšanu. (61)Lai uzlabotu izpratni par topošajām ES kiberdrošības shēmām un sekmētu to atzīšanu, Eiropas Komisija var izdot tādas vispārīgas vai konkrētai nozarei paredzētas kiberdrošības vadlīnijas, piemēram, par labu kiberdrošības praksi vai atbildīgu rīcību kiberdrošības jomā, kuras akcentētu sertificētu IKT produktu un pakalpojumu izmantošanas labvēlīgo ietekmi. (62)Būtu jāparedz, ka Aģentūra, atbalstot kiberdrošības sertifikāciju, arī sadarbojas ar Padomes Drošības komiteju un attiecīgo valsts struktūru attiecībā uz klasificētos tīklos izmantojamu kriptogrāfijas produktu apstiprināšanu. (63)Lai sīkāk precizētu atbilstības novērtēšanas struktūru akreditācijas kritērijus, būtu jādeleģē pilnvaras Komisijai pieņemt aktus saskaņā ar Līguma par Eiropas Savienības darbību 290. pantu. Komisijai būtu jāveic pienācīga apspriešanās sagatavošanas posmā, tostarp ekspertu līmenī. Šīm apspriedēm būtu jānotiek saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu. Konkrēti, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlamentam un Padomei visi dokumenti būtu jāsaņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem vajadzētu būt sistemātiskai piekļuvei Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana. (64)Lai nodrošinātu vienādus nosacījumus šīs regulas īstenošanai, būtu jāpiešķir Komisijai īstenošanas pilnvaras gadījumiem, kas paredzēti šajā regulā. Minētās pilnvaras būtu jāīsteno saskaņā ar Regulu (ES) Nr. 182/2011. (65)Pārbaudes procedūra būtu jāizmanto, lai pieņemtu īstenošanas aktus par Eiropas kiberdrošības sertifikācijas shēmām, kas izmantojamas attiecībā uz IKT produktiem un pakalpojumiem; par kārtību, kādā Aģentūrai veicama izmeklēšana; kā arī par tādu atbilstības novērtēšanas struktūru paziņojumu sniegšanas apstākļiem, veidu un kārtību, kurus Komisijai sniedz valsts sertifikācijas pārraudzības iestādes. (66)Aģentūras darbība būtu jāizvērtē neatkarīgi. Izvērtējumā būtu jāņem vērā Aģentūras mērķu sasniegšana, tās darba prakse un uzdevumu būtiskums. Izvērtējumā būtu arī jānosaka Eiropas kiberdrošības sertifikācijas satvara ietekme, lietderība un efektivitāte. (67)Regula (ES) Nr. 526/2013 būtu jāatceļ. (68)Ņemot vērā to, ka šīs regulas mērķus nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet minētos mērķus var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma p