NL Publicatieblad van de Europese Unie C 12/1

REGELING

tussen het Europees Parlement, de Europese Raad, de Raad van de Europese Unie, de Europese Commissie, het Hof van Justitie van de Europese Unie, de Europese Centrale Bank, de Europese Rekenkamer, de Europese Dienst voor extern optreden, het Europees Economisch en Sociaal Comité, het Europees Comité van de Regio's en de Europese Investeringsbank betreffende de organisatie en het functioneren van een computercrisisteam voor de instellingen, organen en instanties van de Unie (CERT-EU)

(2018/C 12/01)

HET EUROPEES PARLEMENT,

DE EUROPESE RAAD, DE RAAD VAN DE EUROPESE UNIE,

DE EUROPESE COMMISSIE,

HET HOF VAN JUSTITIE VAN DE EUROPESE UNIE,

DE EUROPESE CENTRALE BANK,

DE EUROPESE REKENKAMER,

DE EUROPESE DIENST VOOR EXTERN OPTREDEN,

HET EUROPEES ECONOMISCH EN SOCIAAL COMITÉ,

HET EUROPEES COMITÉ VAN DE REGIO'S

EN DE EUROPESE INVESTERINGSBANK

Overwegende hetgeen volgt:

(1) Het versterken van de capaciteit van alle instellingen, organen en instanties van de Europese Unie om het hoofd te bieden aan cyberdreigingen en -kwetsbaarheden en cyberaanvallen tegen hun infrastructuur voor informatie- en communicatietechnologie (ICT) te voorkomen, op te sporen en te bestrijden, blijft een hoge prioriteit omdat functionerende ICT-netwerken en -systemen cruciaal zijn opdat zij hun taken kunnen vervullen.

(2) Op initiatief van de vicevoorzitters van de Commissie Neelie Kroes en Maroš Šefčovič, besloten de secretarissen-generaal van de instellingen en organen van de Unie in mei 2011 om een voorbereidingsteam voor een computercrisisteam voor de instellingen, organen en instanties van de Unie (CERT-EU) in te stellen, onder toezicht van een interinstitutionele stuurgroep.

(3) In juli 2012 bevestigden de secretarissen-generaal de praktische regelingen en kwamen zij overeen CERT-EU te handhaven als permanente entiteit om het algehele niveau van veiligheid van de informatietechnologie (IT) van de instellingen, organen en instanties van de Unie verder te helpen verbeteren, als voorbeeld van zichtbare interinstitutionele samenwerking op het gebied van cyberveiligheid.

(4) Bij in 2014 en 2016 uitgevoerde evaluaties is gebleken dat CERT-EU aan maturiteit heeft gewonnen en thans zo ver staat dat het een officieel karakter moet krijgen met een bestuur en een financiële structuur die duurzamer en transparanter zijn.

(5) Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad (1) (de „NIS-richtlijn”) strekt tot instelling van een netwerk van Computer Security Incident Response Teams (CSIRTs), bestaande uit vertegenwoordigers van de CSIRTs van de lidstaten en van CERT-EU, die het vertrouwen tussen de lidstaten moeten helpen opbouwen en snelle en doeltreffende operationele samenwerking moeten bevorderen.

(6) In de governancestructuur voor CERT-EU moeten de rol en de taken van CERT-EU, de verantwoordelijkheden van zijn hoofd, de rol en de taken van zijn stuurcomité en de bevoegdheden van de instellingen, organen en instanties van de Unie bij de ondersteuning van CERT-EU worden bepaald.

(7) CERT-EU moet duurzame financiering en duurzaam personeel krijgen, maar ook waar voor zijn geld bieden met een adequate kern van vast personeel; tegelijk moeten zijn administratieve overheadkosten zo laag mogelijk blijven.

(8) Deze regeling wordt ondertekend door de deelnemende instellingen en organen van de Unie na de voltooiing van hun respectieve interne procedures in dat verband; de in bijlage I genoemde instanties van de Unie die verantwoordelijk zijn voor hun eigen ICT-infrastructuur hebben schriftelijk en formeel aan de voorzitter van het CERT-EU-stuurcomité bevestigd dat zij de regeling zullen toepassen,

ZIJN DE VOLGENDE REGELING OVEREENGEKOMEN:

Artikel 1

Doel en missie

1. Doel van deze regeling is het vaststellen van de regels voor het functioneren en de organisatie van het interinstitutionele computercrisisteam voor de instellingen, organen en instanties van de Unie („CERT-EU”).

2. De missie van CERT-EU is bij te dragen tot de beveiliging van de ICT-infrastructuur van alle instellingen, organen en instanties van de Unie („constituerende delen”) door cyberaanvallen te helpen voorkomen, opsporen, beperken en bestrijden en op te treden als knooppunt voor informatie-uitwisseling en coördinatie van de respons op incidenten voor de constituerende delen.

Artikel 2

De taken van CERT-EU

1. CERT-EU verzamelt, beheert, analyseert en deelt informatie met de constituerende delen over dreigingen, kwetsbaarheden en incidenten betreffende de niet-gerubriceerde ICT-infrastructuur. Het coördineert de respons op incidenten op interinstitutioneel niveau en op het niveau van de constituerende delen, onder meer door het verlenen of coördineren van gespecialiseerde operationele bijstand.

2. CERT-EU biedt aan alle constituerende delen gestandaardiseerde CERT-diensten. De catalogus met het gedetailleerde dienstenaanbod van CERT-EU, en eventuele actualiseringen daarvan, moeten worden goedgekeurd door het stuurcomité. Bij de herziening van de lijst van diensten houdt het hoofd van CERT-EU rekening met de aan hem/haar toegewezen middelen.

3. CERT-EU kan het netwerkverkeer van de constituerende delen bewaken met instemming van het betrokken constituerende deel.

4. CERT-EU kan aan constituerende delen assistentie verlenen met betrekking tot incidenten in gerubriceerde IT-netwerken en -systemen, op uitdrukkelijk verzoek van het betrokken constituerende deel.

5. CERT-EU initieert geen activiteiten en komt niet welbewust tussenbeide in aangelegenheden die onder de bevoegdheid van de nationale veiligheids- en inlichtingendiensten of de gespecialiseerde diensten van de constituerende delen vallen. Alle contacten met CERT-EU die worden geïnitieerd of nagestreefd door nationale veiligheids- en inlichtingendiensten worden onverwijld meegedeeld aan het directoraat Veiligheid van de Commissie en de voorzitter van het CERT-EU-stuurcomité.

6. CERT-EU informeert de constituerende delen over zijn procedures en processen voor incidentafhandeling.

7. CERT-EU kan, indien de beleidsafdelingen van de constituerende delen daar uitdrukkelijk om verzoeken, technisch advies of technische inbreng over relevante beleidskwesties leveren.

Artikel 3

Samenwerking tussen de constituerende delen en CERT-EU

1. CERT-EU en de constituerende delen werken volgens het „need-to-share”-principe, onder voorbehoud van lid 3. CERT-EU zorgt ervoor dat het over efficiënte communicatiemiddelen beschikt om informatie-uitwisseling met de constituerende delen te vergemakkelijken.

2. De constituerende delen verstrekken CERT-EU informatie over dreigingen en kwetsbaarheden op het gebied van cyberbeveiliging waarmee zij geconfronteerd worden. Wanneer CERT-EU op de hoogte is van een dreiging of kwetsbaarheid waarmee een constituerend deel geconfronteerd wordt of kan worden, waarschuwt het het betrokken constituerende deel door zo spoedig mogelijk alle relevante informatie, onder meer de kriticiteit, te verstrekken zodat beschermende of remediërende maatregelen kunnen worden getroffen. CERT-EU kan helpen bij het bieden van deze beschermende of remediërende maatregelen. Andere constituerende delen worden op de hoogte gebracht wanneer ook zij met de dreiging of kwetsbaarheid te maken kunnen krijgen.

3. De constituerende delen brengen CERT-EU onverwijld op de hoogte wanneer zij worden geconfronteerd met een significant cyberincident en verstrekken alle relevante technische details tenzij dit ten koste zou kunnen gaan van de veiligheidsbelangen van een constituerend deel of een derde. Elk incident wordt geacht significant te zijn tenzij het zich herhaaldelijk voordoet of elementair is en de toegepaste methoden en technologie waarschijnlijk reeds genoegzaam bekend zijn. Niet-technische informatie mag worden gedeeld met CERT-EU, ter beoordeling van het betrokken constituerende deel. Aan CERT-EU meegedeelde incidentinformatie mag niet gedeeld worden buiten CERT-EU, zelfs niet in geanonimiseerde vorm, tenzij het betrokken constituerende deel ermee heeft ingestemd. Ter voorbereiding op situaties waarin de informatie snel moet worden gedeeld ter bescherming van de netwerken en systemen van de constituerende delen, overlegt CERT-EU van tevoren met laatstgenoemden over hoe dit moet gebeuren.

4. CERT-EU houdt, in dialoog met de constituerende delen, een catalogus bij van beschikbare onderlinge deskundigheid waarop, binnen de beschikbare middelen en vermogens, eventueel een beroep kan worden gedaan bij ernstige cyberincidenten waarmee één of meer onder hen geconfronteerd worden. In voorkomend geval kan CERT-EU rechtstreeks tussen de constituerende delen informatie-uitwisseling en technische ondersteuning organiseren en coördineren om een cyberincident te bestrijden.

5. Binnen de grenzen van zijn bevoegdheden, werkt CERT-EU nauw samen met het Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging (Enisa) en het Europees Centrum voor de bestrijding van cybercriminaliteit bij Europol.

6. CERT-EU wisselt met de rechtshandhavingsinstanties alleen informatie over specifieke incidenten uit na voorafgaande toestemming van de bevoegde diensten van het betreffende constituerende deel.

7. CERT-EU houdt alle informatie bij die met constituerende delen is gedeeld of en met andere partijen is uitgewisseld. De constituerende delen kunnen CERT-EU verzoeken toe te lichten welke door hen verstrekte informatie het met derden heeft gedeeld.

8. Indien nodig kan CERT-EU met elk constituerend deel dienstverlenings- of samenwerkingsregelingen treffen voor het leveren van CERT-diensten. CERT-EU kan ook dienstverlenings- of samenwerkingsregelingen afspreken inzake het tegen betaling leveren van CERT-diensten voor civiele crisisbeheersingsoperaties van de EU op grond van titel V, hoofdstuk 2, van het Verdrag betreffende de Europese Unie. In ieder geval moeten zulke dienstverlenings- of samenwerkingsregelingen worden goedgekeurd door het stuurcomité.

Artikel 4

Samenwerking van CERT-EU met de CERTs van de lidstaten

1. CERT-EU werkt met de nationale of overheids-CERTs of -CSIRTs van de lidstaten samen en wisselt informatie uit over dreigingen, kwetsbaarheden en incidenten op het gebied van cyberbeveiliging, over mogelijke tegenmaatregelen, en over alle onderwerpen die relevant zijn voor een betere bescherming van ICT-infrastructuur van de constituerende delen, onder meer via het CSIRT-netwerk als bedoeld in artikel 12 van de NIS-richtlijn.

2. CERT-EU werkt samen met de CERTs van de lidstaten om informatie te vergaren over algemene en specifieke dreigingen voor de constituerende delen en over instrumenten of methodes, met inbegrip van technieken, tactiek en procedures, beste praktijken en algemene kwetsbaarheden, met de bedoeling die informatie te verspreiden onder de constituerende delen. CERT-EU kan met de bedoelde CERTs informatie uitwisselen over instrumenten of methoden, met inbegrip van technieken, tactiek en procedures, beste praktijken en algemene dreigingen en kwetsbaarheden.

3. CERT-EU kan met de toestemming van het betrokken constituerende deel incidentspecifieke informatie uitwisselen met de bedoelde CERTs.

Artikel 5

Samenwerking met derde CERTs en andere partners

1. CERT-EU kan samenwerken met bedrijfstakspecifieke CERTs en CERTs van buiten de EU inzake instrumenten en methoden, zoals technieken, tactiek en procedures, beste praktijken en algemene dreigingen en kwetsbaarheden. Voor alle samenwerking met dergelijke CERTs, ook in verbanden waar CERTs van niet-EU-landen samenwerken met CERTs van de lidstaten, moet CERT-EU vooraf de goedkeuring van stuurcomité verkrijgen.

2. CERT-EU kan samenwerken met andere partners, zoals commerciële entiteiten of individuele deskundigen, om informatie te verzamelen over algemene en specifieke dreigingen, kwetsbaarheden en mogelijke tegenmaatregelen. Voor verdere samenwerking met deze partners moet CERT-EU vooraf de goedkeuring van het stuurcomité verkrijgen.

3. Indien er een geheimhoudingsregeling of -overeenkomst is met de betrokken partner, kan CERT-EU met toestemming van het betrokken constituerende deel aan die partners informatie over een specifiek incident in een constituerend deel verstrekken, indien zulks nuttig is voor de analyse ervan. Deze geheimhoudingsregelingen of -overeenkomsten worden wettelijk gecontroleerd overeenkomstig de toepasselijke interne procedures van de Commissie. Voor geheimhoudingsregelingen of -overeenkomsten is geen voorafgaande goedkeuring van het stuurcomité nodig, maar zijn voorzitter wordt ervan op de hoogte gebracht.

4. Bij wijze van uitzondering kan CERT-EU met voorafgaande toestemming van het stuurcomité dienstverleningsregelingen treffen met andere entiteiten dan de constituerende delen.

Artikel 6

Taken van het hoofd van CERT-EU

1. Het hoofd van CERT-EU is verantwoordelijk voor het goed functioneren van CERT-EU, binnen de grenzen van zijn bevoegdheden, onder de leiding van het stuurcomité. Hij of zij is verantwoordelijk voor de implementatie van de door het stuurcomité bepaalde strategische richting, sturing, doelstellingen en prioriteiten, en voor het goede beheer van CERT-EU, met inbegrip van zijn financiële en personele middelen. Hij of zij brengt regelmatig verslag uit aan de voorzitter van het stuurcomité.

2. Het hoofd van CERT-EU is gebonden aan de regels die van toepassing zijn op de Commissie en hij of zij treedt bij de uitvoering van de algemene begroting van de Europese Unie op als gesubdelegeerd ordonnateur, overeenkomstig de interne regels van de Commissie inzake delegatie van bevoegdheden en beperkingen in dergelijke gevallen. Hij of zij handelt voor de toepassing van de administratieve en financiële regels en procedures uitsluitend onder het gezag van de Commissie.

3. Het hoofd van CERT-EU dient bij het stuurcomité kwartaalverslagen in over de prestaties van CERT-EU, de uitvoering van de begroting, gesloten overeenkomsten of andere getroffen regelingen en de dienstreizen van zijn personeel. Hij of zij dient bij het stuurcomité ook een jaarverslag in overeenkomstig artikel 8, lid 1, onder e).

4. Het hoofd van CERT-EU verleent de bevoegde gedelegeerd ordonnateur bijstand bij het opstellen van het jaarlijks activiteitenverslag overeenkomstig artikel 66, lid 9, van het Financieel Reglement, dat financiële en beheersinformatie, inclusief de resultaten van controles, bevat, en hij of zij brengt de bevoegde gedelegeerd ordonnateur regelmatig verslag uit over de uitvoering van maatregelen waarvoor aan hem bevoegdheden zijn gesubdelegeerd.

5. Het hoofd van CERT-EU stelt jaarlijks een financiële planning van administratieve ontvangsten en uitgaven voor zijn activiteiten op die door het stuurcomité moet worden goedgekeurd overeenkomstig artikel 8, lid 1, onder c).

Artikel 7

Stuurcomité

1. Het stuurcomité geeft strategische leiding en sturing aan CERT-EU en ziet toe op de uitvoering van de algemene prioriteiten en doelstellingen. Zijn leden zijn hogere kaderleden die worden aangewezen door elk van de partijen bij deze regeling, en door Enisa, dat de belangen vertegenwoordigt van de in bijlage I genoemde instanties die hun eigen ICT-infrastructuur beheren. De leden kunnen worden bijgestaan door een plaatsvervanger. De voorzitter kan andere vertegenwoordigers van constituerende delen uitnodigen om vergaderingen van het stuurcomité bij te wonen.

2. Het stuurcomité kiest uit zijn midden een voorzitter voor een periode van twee jaar. Zijn of haar plaatsvervanger wordt voor dezelfde duur een volwaardig lid van het stuurcomité.

3. Het stuurcomité komt bijeen op initiatief van zijn voorzitter of op verzoek van een van zijn leden. Het stelt zijn reglement van orde vast.

4. Elke partij bij deze regeling en Enisa hebben één stem, uitgebracht door het betrokken lid c.q. de betrokken leden. De beslissingen van het stuurcomité worden behoudens andersluidende bepalingen bij gewone meerderheid genomen. De voorzitter neemt niet aan de stemming deel, behalve bij staking van stemmen, in welk geval hij of zij een beslissende stem kan uitbrengen.

5. Indien om operationele redenen dringende beslissingen moeten worden genomen, kan het stuurcomité bij wijze van uitzondering handelen met instemming van de voorzitter en de leden die de Europese Commissie, de Raad, het Europees Parlement en het betrokken constituerende deel vertegenwoordigen.

6. Het stuurcomité kan handelen via een door de voorzitter geïnitieerde vereenvoudigde schriftelijke procedure krachtens welke het betrokken besluit als goedgekeurd wordt beschouwd binnen de door de voorzitter vastgestelde termijn, tenzij een lid bezwaar maakt.

7. Het hoofd van CERT-EU neemt deel aan de vergaderingen van het stuurcomité, tenzij het comité anders besluit.

8. Het secretariaat van het stuurcomité wordt verzorgd door de instelling waaruit het hoger kaderlid dat het voorzitterschap bekleedt afkomstig is.

9. Het secretariaat stelt de EU-instanties in bijlage I in kennis van de beslissingen van het stuurcomité. Iedere EU-instantie heeft het recht bij de voorzitter van stuurcomité alle punten aan te orde te stellen die volgens haar onder de aandacht van het stuurcomité moeten worden gebracht.

Artikel 8

Taken van het stuurcomité

1. Bij het verstrekken van strategische leiding en sturing aan CERT-EU is het stuurcomité met name belast met het volgende:

(a) het keurt op basis van een voorstel van het hoofd van CERT-EU, het jaarlijkse werkprogramma van CERT-EU goed en ziet toe op de uitvoering ervan;

(b) het keurt, op basis van een voorstel van het hoofd van CERT-EU de dienstencatalogus van CERT-EU goed;

(c) het keurt, op basis van ramingen opgesteld door het hoofd van CERT-EU, de verwachte jaarlijkse ontvangsten en uitgaven, inclusief personeel, voor CERT-EU goed;

(d) het keurt elk jaar, op basis van een voorstel van het hoofd van CERT-EU, het bedrag van de jaarlijkse financiële toewijzingen goed voor de aan de constituerende delen en aan derden met dienstverleningsovereenkomsten met CERT-EU te verlenen diensten;

(e) het controleert en hecht zijn goedkeuring aan het door het hoofd van CERT-EU opgestelde jaarverslag over de activiteiten van, en het beheer van de middelen door, CERT-EU;

(f) het hecht zijn goedkeuring aan en monitort prestatie-indicatoren voor CERT-EU die op voorstel van het hoofd van CERT-EU worden vastgesteld;

(g) het hecht zijn goedkeuring aan documenten van CERT-EU met de algemene beleidslijnen en richtsnoeren waarin de door de constituerende delen te volgen goede ICT-beveiligingspraktijken worden aanbevolen;

(h) het hecht zijn goedkeuring aan samenwerkingsovereenkomsten, dienstverleningsregelingen of -overeenkomsten tussen CERT-EU en andere entiteiten op grond van artikel 3, lid 8, en artikel 5, lid 4;

(i) het stelt zo nodig technische adviesgroepen in ter ondersteuning van de werkzaamheden van het stuurcomité, keurt hun mandaat goed en wijst hun voorzitter aan, en

(j) het wijzigt de in bijlage I opgenomen lijst van instanties van de Unie die deze regeling toepassen.

2. De voorzitter kan het stuurcomité vertegenwoordigen of namens het stuurcomité optreden overeenkomstig de door het comité goedgekeurde regelingen.

Artikel 9

Personeelszaken en financiële aangelegenheden

1. Hoewel opgericht als een autonome interinstitutionele dienstverlener voor alle instellingen, organen en instanties van de Unie, wordt CERT-EU geïntegreerd in de administratieve structuur van een directoraat-generaal van de Commissie zodat het kan profiteren van de ondersteunende structuren van de Commissie op het gebied van administratie, financieel beheer en boekhouding. De Commissie stelt het stuurcomité in kennis van de administratieve vestiging van CERT-EU en van eventuele wijzigingen daarvan.

2. De Commissie benoemt het hoofd van CERT-EU met unanieme goedkeuring van het stuurcomité. Het stuurcomité wordt in alle stadia van de procedure geraadpleegd voor de benoeming van het hoofd van CERT-EU, in het bijzonder bij het opstellen van vacatureberichten, het onderzoek van de sollicitaties en de benoeming van de selectiecomités voor deze functie.

3. De ambtenaren van alle instellingen en organen van de Unie worden op de hoogte gehouden van alle vacatures voor een functie bij CERT-EU.

4. Met inachtneming van de bevoegdheden van de begrotingsautoriteit van de Unie, verplichten de aan deze regeling deelnemende instellingen en organen van de Unie, met uitzondering van de Europese Rekenkamer, de Europese Centrale Bank en de Europese Investeringsbank, zich ertoe uiterlijk in het begrotingsjaar 2019 of zoals anders bepaald in bijlage II, het aantal in bijlage II genoemde ambten aan CERT-EU over te dragen. Instellingen en organen van de Unie die het vastgelegde aantal ambten toewijzen of overdragen, ontvangen volledige diensten van CERT-EU. Het aantal in bijlage II vastgestelde ambten wordt minstens elke vijf jaar geëvalueerd.

5. CERT-EU kan met de deelnemende instellingen en organen van de Unie overeenstemming bereiken over de tijdelijke toewijzing van extra personeel voor CERT-EU.

6. De Europese Rekenkamer, de Europese Centrale Bank en de Europese Investeringsbank treffen dienstverleningsregelingen in verband met door CERT-EU conform zijn dienstencatalogus geleverde diensten en de jaarlijkse financiële compensatie die zij overeenkomstig bijlage II aan het begin van elk begrotingsjaar alle moeten leveren als tegenprestatie voor de diensten die CERT-EU tijdens het vorige begrotingsjaar heeft geleverd.

7. De financiële compensatie die elke instantie van de Unie moet leveren om de kosten van de dienstverlening van CERT-EU te dekken, wordt met de desbetreffende instanties van de Unie overeengekomen en opgenomen in het algemene administratieve kader voor de levering van diensten door de Commissie aan instanties van de Unie.

8. Het stuurcomité brengt ieder jaar verslag uit over het bedrag van de financiële compensatie die moet geleverd door de constituerende delen die dienstverleningsovereenkomsten met CERT-EU hebben overeenkomstig lid 6 en met EU-instanties overeenkomstig lid 7. Het stuurcomité heroverweegt het bedrag van de jaarlijkse financiële compensatie jaarlijks.

9. Het begrotings- en financieel beheer van CERT-EU-activiteiten, met inbegrip van toegewezen ontvangsten van andere instellingen of organen van de Unie, wordt door de Commissie verricht overeenkomstig Verordening (EU, Euratom) nr. 966/2012 van het Europees Parlement en de Raad tot vaststelling van de financiële regels van toepassing op de algemene begroting van de Unie (2) en relevante regelgeving en voorschriften. Begrotingskredieten of -inkomsten die via dienstverleningsovereenkomsten aan CERT-EU worden verstrekt, worden in de financiële planning van CERT-EU specifiek vermeld.

Artikel 10

Beroepsgeheim

CERT-EU en de constituerende delen behandelen alle informatie die zij van een ander constituerend deel of een derde ontvangen als vallend onder het beroepsgeheim conform artikel 339 van het Verdrag betreffende de werking van de Europese Unie of gelijkwaardige toepasselijke rechtskaders. Zij verstrekken deze informatie niet aan derden, tenzij zij daartoe uitdrukkelijk gemachtigd zijn door het betrokken constituerend deel of de betrokken derde.

Artikel 11

Bescherming van persoonsgegevens

De verwerking van persoonsgegevens krachtens deze regeling is onderworpen aan de bepalingen van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (3).

Artikel 12

Audit, vragen en de toegang van het publiek tot documenten

1. De functie van intern controleur wordt uitgevoerd door de dienst Interne Audit van de Commissie en met inachtneming van de bepalingen van artikel 10. Het stuurcomité kan audits voorstellen die door de dienst Interne Audit van de Commissie moeten worden uitgevoerd.

2. Het hoofd van CERT-EU is belast met de beantwoording van de vragen van de Europese Ombudsman en van de Europese Toezichthouder voor gegevensbescherming, overeenkomstig de interne procedures van de Commissie.

3. De procedures van de Commissie op grond van Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad (4) zijn van toepassing met betrekking tot verzoeken om toegang van het publiek tot documenten van CERT-EU, met inachtneming van de verplichting onder deze verordening om andere constituerende delen te raadplegen wanneer een verzoek op hun documenten betrekking heeft.

Artikel 13

Evaluatie

Gezien de voortdurende ontwikkelingen op het gebied van cyberdreigingen en de respons daarop van de Unie, met inbegrip van de in de EU-cyberbeveiligingsstrategie vermelde beleidsprioriteiten, evalueert het stuurcomité de organisatie en het functioneren van CERT-EU regelmatig. Het kan aan de deelnemende instellingen en organen aanbevelingen doen tot herziening of wijziging van deze regeling, of andere aanbevelingen voor het effectief functioneren van CERT-EU.

Artikel 14

Werkingssfeer en datum van toepassing

1. Deze regeling is van toepassing op de instellingen en organen van de Unie die deze regeling hebben ondertekend, en op de in bijlage I genoemde instanties van de Unie die hun eigen ICT-infrastructuur beheren.

2. Deze regeling is van toepassing vanaf de datum van ondertekening. Zij wordt bekendgemaakt in het Publicatieblad van de Europese Unie.

Deze regeling is opgesteld in een enkel exemplaar in de volgende talen: Bulgaars, Deens, Duits, Engels, Ests, Fins, Frans, Grieks, Hongaars, Italiaans, Kroatisch, Lets, Litouws, Maltees, Nederlands, Pools, Portugees, Roemeens, Sloveens, Slowaaks, Spaans, Tsjechisch en Zweeds. Dit exemplaar wordt neergelegd bij het secretariaat-generaal van de Raad van de Europese Unie, die een voor eensluidend gewaarmerkt afschrift aan alle ondertekenaars doet toekomen.

Gedaan te Frankfurt, Luxemburg en Brussel, 20 december 2017. Voor het Europees Parlement De secretaris-generaal K. WELLE Voor de Europese Raad en de Raad De secretaris-generaal J. TRANHOLM-MIKKELSEN Voor de Europese Commissie De secretaris-generaal A. ITALIANER Voor het Hof van Justitie van de Europese Unie De directeur-generaal DG Infrastructuur F. SCHAFF Voor de Europese Centrale Bank De directeur-generaal Informatiesystemen K. DE GEEST De Chief Services Officer M. DIEMER Voor de Europese Rekenkamer De secretaris-generaal E. RUIZ GARCÍA Voor de Europese Dienst voor extern optreden De directeur-generaal begroting en administratie G. DI VITA Voor het Europees Economisch en Sociaal Comité De secretaris-generaal L. PLANAS PUCHADES Voor het Europees Comité van de Regio's De secretaris-generaal J. BURIÁNEK Voor de Europese Investeringsbank De directeur-generaal en de financieel controleur P. KLAEDTKE

(1) Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad van 6 juli 2016 houdende maatregelen voor een hoog gemeenschappelijk niveau van beveiliging van netwerk- en informatiesystemen in de Unie (PB L 194 van 19.7.2016, blz. 1).

(2) Verordening (EU, Euratom) nr. 966/2012 van het Europees Parlement en de Raad van 25 oktober 2012 tot vaststelling van de financiële regels van toepassing op de algemene begroting van de Unie en tot intrekking van Verordening (EG, Euratom) nr. 1605/2002 (PB L 298 van 26.10.2012, blz. 1).

(3) Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB L 8 van 12.1.2001, blz. 1).

(4) Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie (PB L 145 van 31.5.2001, blz. 43).

BIJLAGE I Lijst van instanties van de Unie bedoeld in artikel 14, lid 1 ACER Agentschap voor de samenwerking tussen energieregulators Berec Bureau van het Orgaan van Europese regelgevende instanties voor elektronische communicatie (Berec) CPVO Communautair Bureau voor plantenrassen EU-OSHA Europees Agentschap voor de veiligheid en de gezondheid op het werk Frontex Europees Grens- en kustwachtagentschap Eu-LISA Europees Agentschap voor het operationeel beheer van grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht EASO Europees Ondersteuningsbureau voor asielzaken EASA Europees Agentschap voor de veiligheid van de luchtvaart EBA Europese Bankautoriteit ECDC Europees Centrum voor ziektepreventie en -bestrijding Cedefop Europees Centrum voor de ontwikkeling van de beroepsopleiding ECHA Europees Agentschap voor chemische stoffen EER Europees Milieuagentschap EFCA Europees Bureau voor visserijcontrole EFSA Europese Autoriteit voor voedselveiligheid Eurofound Europese Stichting tot verbetering van de levens- en arbeidsomstandigheden GSA Europees GNSS-Agentschap EIGE Europees Instituut voor gendergelijkheid Eiopa Europese Autoriteit voor verzekeringen en bedrijfspensioenen EMSA Europees Agentschap voor maritieme veiligheid EMA Europees Geneesmiddelenbureau EWDD Europees Waarnemingscentrum voor drugs en drugsverslaving Enisa Agentschap van de Europese Unie voor netwerk- en informatiebeveiliging Cepol Agentschap van de Europese Unie voor opleiding op het gebied van rechtshandhaving Europol Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving ERA Spoorwegbureau van de Europese Unie ESMA Europese Autoriteit voor effecten en markten ETF Europese Stichting voor opleiding FRA Bureau van de Europese Unie voor de grondrechten EUIPO Bureau voor intellectuele eigendom van de Europese Unie Eurojust EU-agentschap voor justitiële samenwerking in strafzaken CdT Vertaalbureau voor de organen van de Europese Unie EDA Europees Defensieagentschap EIT Europees Instituut voor innovatie en technologie EUISS Instituut voor veiligheidsstudies van de Europese Unie Satcen Satellietcentrum van de Europese Unie GAR Gemeenschappelijke Afwikkelingsraad