Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD tot oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging

(door de Commissie ingediend)

TOELICHTING

1. VOORGESCHIEDENIS

Tegenwoordig beschikt meer dan 90% van de bedrijven in de Europese Unie over een internetverbinding. Het merendeel van deze bedrijven beheert een website. Een overweldigend aantal werknemers maakt gebruik van een mobiele telefoon, een laptop of gelijksoortige apparatuur om informatie voor het werk te verzenden of op te halen. Dergelijke informatie kan een aanzienlijke waarde vertegenwoordigen. Ze kan een zakelijke transactie beschrijven of technische kennis bevatten.

Computers en netwerken zijn niet alleen op het werk, maar ook in het dagelijks leven niet meer weg te denken. In 2002 beschikte ongeveer 40% van de huishoudens in de EU over een eigen internetverbinding en maakte meer dan 2/3 van de bevolking gebruik van een mobiele telefoon. Scholen en universiteiten beschikken over een internetaansluiting, en leren en studeren studie via het internet of met de computer is gemeengoed geworden. Het openbaar bestuur verandert met grote snelheid in een elektronische overheid. Computers en communicatienetwerken beheersen infrastructuren als elektriciteits- en watervoorzieningen en openbare vervoerssystemen. Sinds 11 september 2001 zijn deze aspecten ook een zaak geworden van nationale veiligheid.

Omdat er zoveel afhangt van netwerken en informatiesystemen, is het veilig functioneren daarvan uitgegroeid tot een belangrijk vraagstuk. Net zoals de natuurlijke verwachtingen die er bestaan met betrekking tot bijvoorbeeld de elektriciteits- of watervoorziening, verwachten mensen dat een telefoon werkt als deze wordt opgenomen. Ze verwachten dat een computer juist functioneert als ze hem nodig hebben. Ze willen toegang tot opgeslagen informatie zonder buitensporige vertragingen of onderbrekingen. Netwerkstoringen en computercrashes zijn niet langer een geïsoleerd probleem voor computerspecialisten. De uitval van netwerken en informatiesystemen is een zaak van iedereen: burgers, bedrijven en overheid.

Beveiliging is bij veel bedrijven uitgegroeid tot een essentieel aspect, vooral bij onlinebedrijven. Beveiliging heeft zich ontwikkeld tot een industrie op zich, met gespecialiseerde bedrijven die producten en diensten verkopen waarvoor commerciële overeenkomsten worden gesloten. Consumenten schaffen bijvoorbeeld antivirussoftware aan en installeren firewalls op hun computers. Bedrijven investeren in beveiliging, bouwen beveiligde intranetten en coderen e-mails of draadloze communicatie. Gevoelige gegevens worden gecodeerd verzonden. Sommige gebruikers lijken zich zeer bewust te zijn van de kwetsbaarheden en de middelen waarmee deze kunnen worden beheerd, anderen zijn minder goed geïnformeerd of maken zich minder zorgen.

Volgens het hedendaagse perspectief staat netwerk- en informatiebeveiliging voor het garanderen van de beschikbaarheid van diensten en gegevens, het voorkomen van verstoring en ongeautoriseerde onderschepping van communicatie, het bevestigen dat de verzonden, ontvangen of opgeslagen gegevens volledig en ongewijzigd zijn, het handhaven van de vertrouwelijkheid van gegevens, het beveiligen van informatiesystemen tegen ongeautoriseerde toegang en tegen aanvallen met kwaadaardige software, en het garanderen van betrouwbare authenticatie, dat wil zeggen het bevestigen van de vermeende identiteit van entiteiten of gebruikers.

In de nabije toekomst zullen beveiligingseisen snel veranderen, omdat netwerken en computers zich blijven ontwikkelen en computers steeds dieper in de samenleving doordringen. Dit betekent dat breedbandverbindingen mensen in staat zullen stellen om te allen tijde met het internet verbonden te zijn, dat nieuwe draadloze toepassingen de gebruikers in staat zullen stellen om overal toegang te krijgen tot het internet en dat de mogelijkheden om alles, van printers tot koelkasten, op het internet aan te sluiten zich verder zullen ontwikkelen en het gebruik van het internet zullen diversifiëren.

Het is gebleken dat beveiligingsbeheer een moeilijke en complexe taak is, omdat de gebruiker te maken krijgt met de beschikbaarheid, integriteit, authenticiteit en vertrouwelijkheid van gegevens en diensten. Omdat de technologie zo complex is, moeten talloze componenten en spelers met elkaar samenwerken. Het menselijk gedrag is uitgegroeid tot een cruciale factor.

Totale beveiliging zal waarschijnlijk nooit haalbaar zijn, tenminste niet voor een redelijke prijs. Er zal altijd sprake zijn van zwakke punten, aanvallen, incidenten en storingen die schade veroorzaken en het vertrouwen in systemen en diensten ondermijnen. Dit is niet anders bij andere technologieën en aspecten van het dagelijks leven. Zowel de maatschappij in haar geheel als individuen moeten leren om te gaan met de risico's van netwerk- en informatiesystemen.

2. REDEN VOOR ACTIE

Beveiliging is uitgegroeid tot een belangrijk beleidsvraagstuk. Overheden zien dat er voor de maatschappij een steeds belangrijkere taak is weggelegd en doen zelf ook een steeds grotere inspanningen om de beveiliging op hun grondgebied te verbeteren. Ze willen beveiliging stimuleren, bijvoorbeeld door steun te bieden aan teams voor computercalamiteiten, onderzoek en bewustmakingscampagnes. Ze zorgt tevens voor de toerusting en training van de handhavingsautoriteiten om het hoofd te kunnen bieden aan computer- en internetcriminaliteit.

De huidige werkfase en de aandachtsgebieden variëren echter per lidstaat. Naast administratieve netwerken zoals TESTA is er geen sprake van systematische transnationale samenwerking op het gebied van netwerk- en informatiebeveiliging tussen lidstaten, ondanks het feit dat de beveiligingsproblematiek geen geïsoleerd probleem is dat slechts in één land voorkomt. Er bestaat geen mechanisme dat een effectieve respons op bedreigingen van de veiligheid garandeert. De tenuitvoerlegging van het wettelijke kader verschilt. Productcertificatie is nationaal, terwijl belangrijke normen door het internationale bedrijfsleven worden ontwikkeld, en beheerders en verkopers te maken hebben met verschillende opstellingen van overheden. Dit alles leidt tot een gebrek aan interoperabiliteit dat een juist gebruik van beveiligingsproducten en diensten belemmert.

De Europese Gemeenschap zou gebaat zijn bij een verder doorgevoerde samenwerking tussen de lidstaten, om zodoende in alle lidstaten een toereikend beveiligingsniveau te bereiken. Dit is de doelstelling van de mededeling van de Commissie voor netwerk- en informatiebeveiliging van juni 2001 [1]. Hierin is een aantal maatregelen voorgesteld, waaronder bewustmakingscampagnes, betere uitwisseling van informatiemechanismen en steun voor marktgeoriënteerde standaardisering en certificering.

[1] Mededeling van de Commissie aan de Raad, het Europees Parlement, het Europees Economisch en Sociaal Comité en het Comité van de Regio's, "Netwerk- en informatiebeveiliging; Voorstel voor een Europese beleidsaanpak", COM(2001) 298 def.

In de mededeling werd tevens een voorstel gedaan voor het opzetten van een Europees waarschuwings- en informatiesysteem. De resolutie van de Raad van 28 januari 2002 inzake een gezamenlijke aanpak en specifieke acties op het gebied van netwerk- en informatiebeveiliging heeft dit concept verder ontwikkeld. Het is duidelijk geworden dat de huidige institutionele regelingen geen ruimte bieden voor het op gepaste wijze aan de orde stellen van netwerk- en informatiebeveiliging op Europees niveau.

De resolutie staat positief tegenover de intentie van de Commissie om voorstellen te doen inzake het opzetten van een taskforce voor computerbeveiliging, teneinde verder te bouwen op nationale inspanningen voor zowel de uitbreiding van netwerk- en informatiebeveiliging als het vergroten van het vermogen van de lidstaten om individueel en collectief op te treden bij grote problemen op het gebied van netwerk- en informatiebeveiliging.

Naar aanleiding van de suggesties van de Commissie heeft het Europees Parlement in een advies sterk aangedrongen op een Europees antwoord op het toenemende beveiligingsprobleem.

In juni 2002 nam de OESO richtsnoeren voor de beveiliging van informatiesystemen en netwerken aan: "Naar een cultuur van veiligheid". Deze richtsnoeren benadrukken het belang van de toepassing van bepaalde gezamenlijke beginselen voor informatiebeveiliging en onderbouwen het werk dat op Europees niveau wordt uitgevoerd.

3. HET VOORSTEL VOOR DE OPRICHTING VAN EEN AGENTSCHAP VOOR NETWERK- EN INFORMATIEBEVEILIGING

3.1. Voorgeschiedenis

Het Europees Parlement, de Raad en de Commissie pleiten voor een nauwere Europese samenwerking op het gebied van informatiebeveiliging. Het oprichten van een entiteit met rechtspersoonlijkheid zou de meest efficiënte manier zijn om deze doelstelling te bereiken. De voorgestelde verordening voorziet daarom conform de bepalingen van het "Kader voor Europese regelgevende agentschappen" (mededeling COM(2002) 718 def. van de Commissie) in de oprichting van een Europees regelgevend agentschap. De naam van dit is Europees Agentschap voor netwerk- en informatiebeveiliging , maar zal in dit document worden aangeduid met "het Agentschap".

De regelgeving op het gebied van elektronische communicatie, met name de kaderrichtlijn voor elektronische communicatie, kent evenwel een belangrijke tol toe aan de nationale bevoegde instanties. Daarom zal het Agentschap niet alleen hulp bieden aan de Commissie, maar ook aan de nationale regelgevinginstanties.

Het voorstel gaat in op een aantal vragen die naar voren zijn gekomen tijdens het overleg met de lidstaten dat door de Commissie is gevoerd. Overeenkomstige vragen zijn tevens aan de orde gesteld in bijdragen van de particuliere sector. Samengevat kan worden gesteld dat er behoefte is aan flexibiliteit, betrouwbaarheid, competentie, efficiëntie en consistentie van het voorgestelde Agentschap. Er is met name nadruk gelegd op de volgende eisen:

a) Omdat netwerk- en informatiebeveiliging een branche is die zich snel ontwikkelt, kan zelfs de beste institutionele regeling met de tijd veranderen. Het Agentschap dient daarom voor een beperkte periode actief te zijn, waarna een evaluatieprocedure moet worden opgestart.

b) Het Agentschap moet het vertrouwen winnen van zowel publiekrechtelijke organen en instituten in de lidstaten als de particuliere sector.

c) Het Agentschap moet bestaan uit een expertisecentrum waarin bekwame mensen uit alle lidstaten bijeen worden gebracht.

d) Het Agentschap moet efficiënt en snel kunnen optreden. Er is daarom behoefte aan voldoende personele en financiële middelen om soepel en flexibel te kunnen werken. Toch dienen deze middelen beperkt te blijven tot een redelijke omvang.

e) De Commissie moet in staat kunnen zijn om leiding te geven aan het werk van het Agentschap.

Deze eisen hebben als leidraad gediend voor de voorgestelde verordening. Ze geven aan waarom de taken van het Agentschap duidelijk beschreven worden en tegelijkertijd ruimte bieden voor flexibiliteit. Ze bieden een motivatie voor de evaluatie van de activiteiten van het Agentschap na de eerste drie jaar. Ze maken duidelijk dat nauwe samenwerking met instellingen en instanties in de lidstaten, alsmede met Gemeenschapsinstellingen cruciaal is voor de goede werking van het Agentschap.

Het werk van het Agentschap zal profiteren van wetenschappelijke ondersteuning via onderzoeksactiviteiten die worden uitgevoerd door het Gemeenschappelijk Centrum voor Onderzoek en andere onderzoekprogramma's van de Gemeenschap.

3.2. De keuze van de rechtsgrondslag

Tegen deze achtergrond worden in dit voorstel twee nauw verbonden problemen van communautair belang aan de orde gesteld, namelijk de goede werking van de interne markt en de interoperabiliteit van elektronische Trans-Europese netwerken. In de eerste plaats zou de introductie van technisch complexe eisen voor beveiliging van netwerken en informatiesystemen op lidstaat- en Gemeenschapsniveau een belemmering kunnen vormen voor de volledige implementatie van de beginselen van de interne markt. In de tweede plaats is de goede werking van de interne markt tevens afhankelijk van de interoperabiliteit van beveiligingsfuncties in netwerken en informatiesystemen.

De volgende punten verwijzen naar de hoofdstukken 1-5 van het voorstel.

3.3. Hoofdstuk 1 - Doelstellingen en taken

3.3.1. Doelstellingen

De brede doelstelling van het Agentschap is de totstandbrenging van gezamenlijke inzichten in Europa ten aanzien van problemen met betrekking tot informatiebeveiliging. Dit is noodzakelijk om de beschikbaarheid en veiligheid van netwerken en informatiesystemen in de Unie te kunnen garanderen. Om deze doelstelling te bereiken moet de definitie van netwerk- en informatiebeveiliging breed zijn en alle activiteiten omvatten die nadelige gevolgen kunnen hebben voor de veiligheid van netwerken en informatiesystemen.

Het Agentschap moet in staat zijn hulp te bieden bij de toepassing van communautaire maatregelen met betrekking tot netwerk- en informatiebeveiliging. De hulp die het Agentschap biedt zal de interoperabiliteit van informatiebeveiligingsfuncties in netwerken en informatiesystemen helpen waarborgen en zodoende een bijdrage leveren aan de werking van de interne markt. Het zal zowel de Gemeenschap als de lidstaten meer mogelijkheden bieden om te reageren op netwerk- en informatiebeveiligingsproblemen. Het Agentschap zal een sleutelrol spelen bij de beveiliging van Europese netwerken en informatiesystemen en de ontwikkeling van de informatiemaatschappij in het algemeen.

3.3.2. Taken

Het Agentschap krijgt adviserende en coördinerende functies, waarbij gegevens over informatiebeveiliging worden verzameld en geanalyseerd. Tegenwoordig verzamelen zowel openbare als particuliere instellingen met verschillende doelstellingen gegevens over IT-incidenten en andere gegevens die relevant zijn voor informatiebeveiliging. Er bestaat echter geen centrale entiteit op Europees niveau die alle gegevens kan verzamelen en analyseren, en advies kan geven ter ondersteuning van het beleidswerk van de Gemeenschap op het gebied van netwerk- en informatiebeveiliging. Het Agentschap zal dienen als een expertisecentrum waar zowel de lidstaten als de communautaire instellingen advies kunnen inwinnen over technische zaken met betrekking tot beveiliging.

Het Agentschap zal verder bijdragen tot een brede samenwerking tussen verschillende spelers in de wereld van informatiebeveiliging, bijvoorbeeld door te assisteren bij follow-upactiviteiten ter ondersteuning van veilige e-business. Een dergelijke samenwerking zal een vitale voorwaarde zijn voor de veilige werking van netwerken en informatiesystemen in Europa. De deelname en betrokkenheid van alle belanghebbenden is noodzakelijk.

Het Agentschap zal bijdragen tot een gecoördineerde benadering van informatiebeveiliging door ondersteuning te geven aan lidstaten, bijvoorbeeld bij de stimulering van activiteiten op het gebied van risicobeoordeling en bewustmaking. Om de interoperabiliteit van netwerken en informatiesystemen te garanderen, zal het Agentschap bij de toepassing van technische eisen die gevolgen hebben voor beveiliging tevens advies en ondersteuning geven voor geharmoniseerde processen en procedures in de lidstaten. Niet alleen wettelijke eisen, ook technische eisen kunnen in grote mate gevolgen hebben voor de interoperabiliteit en een beletsel vormen voor de goed werkende interne markt.

Het Agentschap zal verder een ondersteunende rol spelen bij het vaststellen van relevante behoeften aan standaardisering, de bevordering van beveiligingsnormen en certificatieschema's en de zo breed mogelijke toepassing daarvan door de Commissie en de lidstaten ter ondersteuning van de Europese wetgeving.

Omdat netwerk- en informatiebeveiligingsproblemen wereldwijd spelen, is er tevens behoefte aan internationale samenwerking op dit gebied. Het Agentschap zal ondersteuning bieden aan de relaties van de Gemeenschap met de desbetreffende partijen in derde landen.

Op het gebied van informatiesystemen en netwerken steken constant nieuwe kwetsbaarheden en bedreigingen de kop op. Het is noodzakelijk dat de Commissie in staat is om conform de bepalingen van het Kader voor Europese regelgevende agentschappen aanvullende taken aan het Agentschap toe te wijzen om met de huidige technologische en maatschappelijke ontwikkelingen in de pas te kunnen blijven lopen.

3.4. Hoofdstuk 2 - Organisatie

3.4.1. Bestuur

De organisatorische structuur dient ruimte te bieden voor de betrokkenheid van de diverse belanghebbenden van het Agentschap, onafhankelijkheid van externe druk, transparantie en verantwoording jegens democratische instellingen. Daarom wordt voorgesteld een raad van bestuur aan te stellen waarvan de leden door de Raad en de Commissie worden benoemd. Zo zal in de vertegenwoordiging van de Commissie een lid van het Directoraat Beveiliging zitting hebben. Voorts wordt voorgesteld dat er vertegenwoordigers komen van het bedrijfsleven en de consumenten, die door de Commissie worden voorgedragen en door de Raad worden aangesteld in de raad van bestuur. De vertegenwoordigers van het bedrijfsleven en de consumenten hebben geen stemrecht.

Het Agentschap zal worden geleid door een uitvoerend directeur met een hoge mate van onafhankelijkheid en flexibiliteit, die verantwoordelijk is voor het intern functioneren van het Agentschap. De uitvoerend directeur is tevens verantwoordelijk voor het opstellen en uitvoeren van de begroting en het werkprogramma van het Agentschap, en voor alle vraagstukken met betrekking tot het personeel. Voor de noodzakelijke legitimiteit dient de uitvoerend directeur te worden benoemd door de raad van bestuur op voorstel van de Commissie.

Als Gemeenschapsorgaan dient het Agentschap bij zijn missie een zo goed mogelijke inzet van expertise en middelen te waarborgen en tegelijkertijd de overkoepelende eis van onafhankelijkheid te respecteren. Daarom wordt voorgesteld het Agentschap een beperkte adviesraad te geven, met deskundigen die de samenwerking en informatie-uitwisseling tussen het Agentschap en de bevoegde instellingen en organen in de verschillende lidstaten moeten bevorderen, bv. een databeveiligingsexpert of een vertegenwoordiger van de onderzoekgemeenschap. De adviesraad krijgt raadgevende bevoegdheden en zal samen met de uitvoerend directeur verantwoordelijk zijn voor het opstellen van het jaarlijks werkprogramma van het Agentschap.

3.5. Hoofdstuk 3 - Werking

3.5.1. Werkprogramma

Het Agentschap moet flexibel genoeg zijn om zijn werkzaamheden af te stemmen op de snelle technologische vooruitgang, om zodoende het accent daarvan te verleggen. Daarom dient de raad van bestuur voor elk jaar een werkprogramma vast te stellen, dat op voorstel van de uitvoerend directeur door de Commissie wordt goedgekeurd. De resultaten van de activiteiten volgens het jaarlijks werkprogramma worden in het algemeen verslag gerapporteerd. Dit verslag wordt door de uitvoerend directeur opgesteld en door de raad van bestuur goedgekeurd.

3.5.2. Adviezen

Het gevaar bestaat dat het Agentschap wordt overstelpt met verzoeken om advies en hulp, zodat moet worden aangegeven wie dergelijke verzoeken kan indienen en hoe zij moeten worden verwerkt.

3.5.3. Werkgroepen

Hoewel het Agentschap over hooggekwalificeerd personeel zal beschikken, kan worden verwacht dat er zich problemen van meer gespecialiseerde aard zullen voordoen. Het Agentschap zal daarom tijdelijke werkgroepen kunnen oprichten met daarin deskundigen uit diverse vakgebieden. Overeenkomstig het transparantiebeleid hebben vertegenwoordigers van de Commissie het recht om aanwezig te zijn op vergaderingen van deze werkgroepen.

3.5.4. Onafhankelijkheid

De acceptatie van de adviezen van het Agentschap door individuen, overheidsdiensten en bedrijven is afhankelijk van de totstandbrenging van een model van onafhankelijkheid. Daarom zijn de leden van de raad van bestuur en de adviesraad, de uitvoerend directeur en de externe deskundigen die aan werkgroepen deelnemen verplicht een verklaring af te geven waaruit blijkt dat zij geen belangen hebben op grond waarvan hun onafhankelijkheid in twijfel kan worden getrokken.

3.5.5. Transparantie en vertrouwelijkheid

Het Agentschap stelt zijn regels inzake transparantie en toegang tot documenten vast in overeenstemming met de besluiten van het Europees Parlement en de Raad in het kader van Artikel 255 van het EG-Verdrag en met de veiligheidsvoorschriften van de Commissie [2].

[2] Besluit 2001/264/EG van de Raad betreffende de vaststelling van beveiligingsvoorschriften van de Raad en Besluit C(2001) 3831 van de Commissie.

Hoewel ook een hoog niveau van transparantie noodzakelijk is voor de acceptatie van het werk van het Agentschap, net als ruime toegang tot de documenten die het uitgeeft, zal het Agentschap ook informatie verzamelen die vertrouwelijk dient te blijven.

3.6. Hoofdstuk 4 - Financiële bepalingen

Voor 2004-2008 dienen aan het Agentschap voldoende begrotingsmiddelen te worden toegewezen om op de hierboven beschreven wijze personeel aan te nemen en om dat personeel uit te rusten met de juiste technologische apparatuur om zijn taken te kunnen uitvoeren en soepel te kunnen functioneren. De begroting van het Agentschap is opgenomen in bijgaand financieel memorandum.

Deze begroting zal worden gefinancierd door een bijdrage van de Gemeenschap met eventuele bijdragen van derde landen die deelnemen aan de activiteiten van het Agentschap. De uitvoerend directeur is verantwoordelijk voor het opstellen van de voorlopige ramingen. De raad van bestuur zal de Commissie de ramingen van ontvangsten en uitgaven doen toekomen, die zullen worden verwerkt in overeenstemming met standaardbegrotingsprocedures.

De uitvoerend directeur is belast met de tenuitvoerlegging van de begroting. Het Europees Parlement verleent op aanbeveling van de Raad, de uitvoerend directeur van het Agentschap decharge met betrekking tot de uitvoering van de begroting. Financiële controle wordt verricht door de financieel controleur van de Commissie. De Rekenkamer onderzoekt de rekeningen van het Agentschap en publiceert elk jaar een verslag.

3.7. Hoofdstuk 5 - Algemene bepalingen

3.7.1. Rechtspersoonlijkheid en voorrechten

Het Agentschap heeft de breedste rechtspersoonlijkheid in elke lidstaat en profiteert van de voorrechten en immuniteiten zoals die zijn beschreven in het Protocol inzake de voorrechten en immuniteiten van de Europese Gemeenschappen.

3.7.2. Aansprakelijkheid

Het stelsel van de contractuele en niet-contractuele aansprakelijkheid van het Agentschap wordt beheerst door het stelsel dat op de Gemeenschap van toepassing is overeenkomstig artikel 288 van het Verdrag.

3.7.3. Personeel

Als expertisecentrum is het voor het Agentschap van vitaal belang om te beschikken over voldoende hooggekwalificeerd personeel. In Europa is er momenteel schaarste aan en veel vraag naar deskundigen met een geschikt profiel. Het Agentschap zal zijn medewerkers zowel uit de openbare als de particuliere sector aantrekken. Het statuut van de ambtenaren en andere functionarissen van de Europese Gemeenschappen is van toepassing op het personeel van het Agentschap. Ondanks de behoefte aan voldoende stabiel en gekwalificeerd personeel, zal het personeel worden aangenomen op basis van tijdelijke contracten met een maximale duur van vijf jaar.

3.7.4. Bescherming van persoonsgegevens

Het Agentschap zal met betrekking tot zijn taken tevens persoonsgegevens verwerken en zal in dit opzicht als Gemeenschapsinstelling de geldende voorschriften voor dergelijke verwerking toepassen.

3.7.5. Deelneming van derde landen

Het Agentschap staat open voor deelneming van derde landen die overeenkomsten met de Europese Gemeenschap hebben gesloten, waarbij zij op het onder deze verordening vallende gebied het Gemeenschapsrecht hebben overgenomen en toepassen.

3.8. Hoofdstuk 6 - Slotbepalingen

3.8.1. Evaluatie

Omdat netwerk- en informatiebeveiliging een zeer technologische branche is die zich snel ontwikkelt, kan zelfs de beste institutionele regeling met de tijd veranderen. Binnen drie jaar na de in artikel 26 vastgestelde begindatum, of eerder als de raad van bestuur dit nodig acht, zal er een evaluatieprocedure worden opgestart om na te gaan of de activiteiten na de initiële termijn van vijf jaar moeten worden voortgezet en om eventuele wijzigingen voor te stellen inzake toekomstige verantwoordelijkheden, doelstellingen en mandaat.

In deze evaluatie zal met name gekeken naar de mate waarin het ontbreken van handhavingsmaatregelen een negatieve invloed heeft gehad op de doelmatigheid en de efficiëntie van de activiteiten van het Agentschap. Mocht de evaluatie dergelijke nadelige gevolgen aantonen, dan zal de Commissie onderzoeken of een voorstel ter aanvulling van deze verordening op zijn plaats is.

3.8.2. Vestigingsplaats

De vestigingsplaats van het Agentschap moet:

- gemakkelijk toegankelijk zijn in termen van, vooral elektronische, communicatie, en goede en snelle vervoersverbindingen;

- het Agentschap in staat stellen om nauw en efficiënt samen te werken met institutionele diensten die zich bezighouden met netwerk- en informatiebeveiligingsproblemen;

- kosteneffectief zijn en het Agentschap in staat stellen om zijn werkzaamheden meteen te beginnen;

- de benodigde infrastructuur voor het personeel van het Agentschap bieden.

3.8.3. Looptijd

Er wordt voorgesteld om het Agentschap vanaf 1 januari 2004 operationeel te laten zijn en gedurende 5 jaar te laten functioneren. Het voortbestaan van het Agentschap is afhankelijk van de resultaten van de evaluatie die door de Commissie in samenwerking met de adviesraad zal worden uitgevoerd.

2003/0032 (COD)

Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD tot oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging

(Voor de EER relevante tekst)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gelet op het Verdrag tot oprichting van de Europese Gemeenschap, en met name op de artikelen 95 en 156,

Gezien het voorstel van de Commissie [3],

[3] PB C [...] van [...], blz. [...].

Gezien het advies van het Europees Economisch en Sociaal Comité [4],

[4] PB C [...] van [...], blz. [...].

Gezien het advies van het Comité van de Regio's [5],

[5] PB C [...] van [...], blz. [...].

Volgens de procedure van artikel 251 van het Verdrag [6],

[6] PB C [...] van [...], blz. [...].

Overwegende hetgeen volgt:

(1) Communicatienetwerken en informatiesystemen zijn uitgegroeid tot een essentiële factor in de economische en maatschappelijke ontwikkeling. Computers en netwerken groeien uit tot alomtegenwoordige nutsinstellingen, zoals de elektriciteits- en watervoorziening dat reeds zijn. De beveiliging van communicatienetwerken en informatiesystemen, en in het bijzonder de beschikbaarheid ervan, is daarom van steeds groter belang voor de maatschappij.

(2) Netwerk- en informatiebeveiliging staat voor het garanderen van de beschikbaarheid van diensten en gegevens, het voorkomen van verstoring en ongeautoriseerde onderschepping van communicatie, de bevestiging dat de verzonden, ontvangen of opgeslagen gegevens volledig en ongewijzigd zijn, de handhaving van de vertrouwelijkheid van gegevens, de beveiliging van informatiesystemen tegen ongeautoriseerde toegang en aanvallen met kwaadaardige software en het veilig stellen van betrouwbare authenticatie.

(3) Het groeiend aantal schendingen van de beveiliging heeft reeds aanzienlijke economische schade aangericht, het vertrouwen van gebruikers ondermijnd en afbreuk gedaan aan de ontwikkeling van e-commerce. Individuen, overheidsdiensten en bedrijven hebben hierop gereageerd door beveiligingstechnologieën en procedures voor beveiligingsbeheer te implementeren. Lidstaten hebben verscheidene ondersteunende maatregelen getroffen, zoals voorlichtingscampagnes en onderzoeksprojecten, teneinde netwerk- en informatiebeveiliging in de maatschappij te verbeteren.

(4) De reacties van de lidstaten zijn inconsistent en onvoldoende gecoördineerd geweest om een effectief antwoord te geven op beveiligingsproblemen. Vanwege de technische complexiteit van netwerken en informatiesystemen, de diversiteit van onderling verbonden producten en diensten en het enorme aantal particuliere en openbare spelers met elk hun eigen verantwoordelijkheid, is er nog geen consistente respons ontwikkeld op Gemeenschapsniveau. Een bijzonder probleem is het gebrek aan interoperabele beveiligingsproducten en -diensten, hetgeen de interoperabiliteit van de betrokken netwerken in gevaar brengt. Voorts hebben deze eigenschappen er ook voor gezorgd dat de effectieve toepassing van communautaire maatregelen het voorwerp is geweest van tamelijk complexe analyses en uiteenlopende inzichten.

(5) Aangezien een Europese reactie op de informatiebeveiligingsproblematiek bij de toepassing van maatregelen van de Gemeenschap ontbreekt, dreigt de soepele werking van de interne markt te worden ondergraven.

(6) Richtlijn 2002/21/EG van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronische-communicatienetwerken en -diensten [7] ("de kaderrichtlijn") definieert de taken van nationale regulerende autoriteiten, met inbegrip van stimulering van het opzetten en ontwikkelen van Trans-Europese netwerken en de interoperabiliteit van pan-Europese diensten, transparante samenwerking met elkaar en met de Commissie om de ontwikkeling van consistente regulerende praktijken te waarborgen, bijdrage aan de waarborging van een strenge beveiliging van persoonsgegevens en privacy, en waarborging van de integriteit en beveiliging van openbare communicatienetwerken.

[7] PB L 108 van 24.4.2002, blz. 33.

(7) Richtlijn 2002/20/EG van 7 maart 2002 betreffende de machtiging voor elektronische-communicatienetwerken en -diensten [8] geeft de lidstaten het recht om aan een algemene machtiging voorwaarden te koppelen betreffende de beveiliging van openbare netwerken tegen ongeautoriseerde toegang volgens Richtlijn 97/66/EG van 15 december 1997 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de telecommunicatiesector.

[8] PB L 108 van 24.4.2002, blz. 21.

(8) Richtlijn 2002/22/EG van 7 maart 2002 inzake de universele dienst en gebruikersrechten met betrekking tot elektronische-communicatienetwerken en -diensten [9] schrijft voor dat de lidstaten de nodige stappen ondernemen om de integriteit en beschikbaarheid van de openbare telefonienetwerken te garanderen en dat ondernemingen die openbaar beschikbare telefoniediensten op vaste locaties leveren alle redelijke stappen ondernemen om ononderbroken toegang tot de hulpdiensten te bieden.

[9] PB L 108 van 24.4.2002, blz. 51.

(9) Richtlijn 2002/58/EG van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie [10] schrijft voor dat een leverancier van een openbaar beschikbare elektronische communicatiedienst gepaste technische en organisatorische maatregelen neemt om de beveiliging van zijn diensten veilig te stellen en vereist tevens de vertrouwelijke behandeling van de communicatie en daaraan gerelateerde verkeersgegevens. Richtlijn 95/46/EG van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens [11] verplicht de lidstaten om een voorziening te treffen waaruit blijkt dat de controlerende instantie passende technische en organisatorische maatregelen ten uitvoer dient te leggen om persoonsgegevens te beveiligen tegen vernietiging, hetzij per ongeluk, hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang, met name als de verwerking betrekking heeft op de verzending van gegevens over een netwerk, en tegen enige andere vorm van onwettige verwerking.

[10] PB L 201 van 31.7.2002, blz. 37.

[11] PB L 281 van 23.11.1995, blz. 31.

(10) De kaderrichtlijn en Richtlijn 1999/93/EG van 13 december betreffende een gemeenschappelijk kader voor elektronische handtekeningen [12] bevatten voorzieningen voor normen die gepubliceerd zullen worden in het Publicatieblad van de Europese Gemeenschappen. De lidstaten maken tevens gebruik van normen van internationale instanties, alsmede de facto normen die ontwikkeld zijn door het internationale bedrijfsleven. De Commissie en de lidstaten moeten kunnen evalueren welke normen aan de eisen van de communautaire wetgeving voldoen.

[12] PB L 13 van 19.1.2000, blz. 12.

(11) De interne-marktmaatregelen vereisen verschillende vormen van technische en organisatorische toepassingen door de lidstaten en de Commissie. Het gaat hier om technisch complexe taken zonder eenduidige en voor de hand liggende oplossingen. De heterogene toepassing van deze eisen kan leiden tot inefficiënte oplossingen en kan belemmeringen creëren voor de interne markt. Daarnaast kan heterogene toepassing de interoperabiliteit van informatiebeveiligingsfuncties in gevaar brengen. Dit vraagt om de oprichting van een expertisecentrum op Europees niveau dat leiding, bijstand en advies kan geven bij de technische en organisatorische implementatie van genoemde eisen, waarop de Commissie, de nationale regulerende autoriteiten en de bevoegde instanties van de lidstaten kunnen vertrouwen. Onder de bevoegde instanties op het gebied van netwerk- en informatiebeveiliging vallen onder meer de handhavings- en justitiële autoriteiten in de lidstaten.

(12) Door de oprichting van een Europees agentschap, het Europees Agentschap voor netwerk- en informatiebeveiliging, hierna "het Agentschap" genoemd, dat als referentiepunt fungeert en vertrouwen schept dankzij zijn onafhankelijkheid, de kwaliteit van de door hem verstrekte adviezen en verspreide informatie, de transparantie van zijn procedures en werkmethoden en zijn voortvarendheid bij de uitvoering van de hem toegewezen taken, zou aan deze behoeften kunnen worden voldaan. Het Agentschap dient zijn taken uit te voeren in volledige samenwerking met de lidstaten. Het dient open te staan voor contacten met het bedrijfsleven en andere belangengroeperingen.

(13) De toegenomen invloed van beveiligingsincidenten op communautair en internationaal niveau vraagt om een tijdige en effectieve respons op genoemde schendingen. Momenteel is er echter geen geautoriseerde instantie in Europa die op systematische wijze gegevens over netwerk- en informatiebeveiliging verzamelt die bij de analyse van beveiligingsschendingen kunnen worden gebruikt.

(14) Wil men vertrouwen scheppen in netwerken en informatiesystemen, dan moeten individuen, bedrijven en overheidsdiensten voldoende geïnformeerd worden en over voldoende kennis beschikken op het gebied van beveiliging. De overheid heeft stappen ondernomen om het bewustzijn te vergroten door het publiek te informeren. Deze maatregelen dienen echter verder te worden ontwikkeld, met name wat betreft nieuwe kwetsbaarheden en de gevaren die zij met zich meebrengen. Meer informatie-uitwisseling tussen de lidstaten zou dergelijke bewustmakingscampagnes kunnen faciliteren.

(15) Ondanks de behoefte aan betrouwbare processen, is het vaak moeilijk om de betrouwbaarheid van producten en diensten te evalueren. Er bestaan openbaar en particulier georganiseerde evaluatie- en certificatieschema's. Evaluatie- en certificatieprocedures zijn echter vaak omslachtig, duur en langzaam. Alle spelers, met inbegrip van overheidsinstanties, zouden kunnen profiteren van een betere technische begeleiding bij hun inspanningen om efficiënte certificatiesystemen te stimuleren. Een technisch bevoegd Europees orgaan voor objectieve advisering over de kwaliteit van verschillende normen zou daarom de mogelijkheden in Europa voor de bevordering van betrouwbare beveiligingsnormen, waar nodig met inbegrip van technologieën die de privacy vergroten, kunnen verbeteren.

(16) Efficiënte beveiligingsvoorschriften zijn gebaseerd op goed ontwikkelde methoden voor risicobeoordeling, zowel in de openbare als in de particuliere sector. Methoden en procedures voor risicobeoordeling worden op verschillende niveaus ingezet zonder dat er algemene richtlijnen bestaan voor de efficiënte toepassing ervan. Door praktijkrichtlijnen voor risicobeoordeling te stimuleren en te ontwikkelen kunnen de interoperabiliteit en het beveiligingsniveau van netwerken en informatiesystemen in Europa worden verbeterd.

(17) Het Agentschap dient bij zijn werkzaamheden profijt te trekken van lopende activiteiten op het gebied van onderzoek, ontwikkeling en technology-assessment, met name van het Gemeenschappelijk Centrum voor Onderzoek en andere onderzoekinitiatieven van de Gemeenschap.

(18) Problemen op het gebied van netwerk- en informatiebeveiliging zijn wereldwijde problemen die niet beperkt blijven tot afzonderlijke lidstaten of de Gemeenschap. Een beveiligingsprobleem kan zijn oorsprong vinden in een derde land. Producten en diensten worden vaak in derde landen ontwikkeld en geëvalueerd. Eenmaal binnen de Gemeenschap kunnen beveiligingsproducten praktisch zonder beperkingen circuleren en kunnen diensten vrijelijk worden aangeboden. Er bestaat een behoefte aan nauwere samenwerking op wereldwijd niveau om beveiligingsnormen en informatie te verbeteren en gemeenschappelijke responsmechanismen te ontwikkelen. Verscheidene internationale partners van de Gemeenschap zijn begonnen met het opzetten van beveiligingsinstanties voor een betere respons en beleidsontwikkeling. Efficiënte samenwerking met deze landen en de wereldgemeenschap is ook op Europees niveau een noodzaak geworden.

(19) Om de uitvoering van de functies van het Agentschap op effectieve wijze te kunnen garanderen, dienen de lidstaten en de Commissie door een raad van bestuur te worden vertegenwoordigd waaraan de noodzakelijke bevoegdheden waren toegekend voor het vaststellen van de begroting, het opstellen van transparante werkprocedures voor besluitvorming door het Agentschap, het goedkeuren van het werkprogramma, het onderzoeken van verzoeken om technische assistentie van lidstaten en het benoemen van de uitvoerend directeur. Met het oog op de zeer technische en wetenschappelijke missie en taken van het Agentschap, is het aangewezen dat de raad van bestuur bestaat uit leden met een grote expertise op gebieden die binnen de missie van het Agentschap vallen, die worden benoemd door de Raad en de Commissie.

(20) Er dient een adviesraad te worden opgericht om de uitvoerend directeur te adviseren over samenwerking en het bevorderen van een gepaste uitwisseling van informatie tussen de lidstaten en het Agentschap. Tot de raadgevende functie van de adviesraad behoort ook de opstelling van het voorstel voor het jaarlijkse werkprogramma van het Agentschap. Bij de samenstelling van de adviesraad dient voor relevante expertise te worden gezorgd, onder meer op het gebied van gegevensbescherming.

(21) Voor een goede werking van het Agentschap is het noodzakelijk dat de uitvoerend directeur wordt benoemd op grond van verdiensten en aantoonbare administratieve en bestuurskundige vaardigheden, alsmede bekwaamheid en ervaring die relevant is voor netwerk- en informatiebeveiliging. Daarnaast dient hij zijn taken flexibel en volledig onafhankelijk uit te voeren ten aanzien van de interne werking van het Agentschap. Daartoe neemt de uitvoerend directeur alle nodige maatregelen met het oog op de correcte uitvoering van het werkprogramma van het Agentschap, stelt hij elk jaar een ontwerp van het algemeen verslag op dat aan de raad van bestuur wordt voorgelegd, maakt hij ramingen van de inkomsten en uitgaven van het Agentschap en legt hij de begroting ten uitvoer.

(22) Het Agentschap dient de desbetreffende Gemeenschapswetgeving inzake toegang van het publiek tot documenten [13] en de bescherming van natuurlijke personen in verband de verwerking van persoonsgegevens [14] toe te passen.

[13] Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie. PB L 145 van 31.5.2001, blz. 43.

[14] Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens. PB L 8 van 12.1.2001, blz. 1.

(23) Voor zover het Agentschap gegevens zal verwerken die betrekking hebben op onwettige daden jegens informatiesystemen, verwerkingsprocedures voor incidenten en evaluatiefuncties voor bedreigingen zal een zekere algemene politieke coördinatie vereist zijn, zowel op nationaal niveau als op het niveau van de Europese Unie. Een dergelijke coördinatie dient te worden bewerkstelligd binnen het kader van de adviesraad zoals bedoeld in artikel 7 en dient te worden uitgevoerd zonder afbreuk te doen aan vertrouwelijkheidseisen zoals bedoeld in artikel 13.

(24) Om de volledige autonomie en onafhankelijkheid van het Agentschap te waarborgen, wordt het noodzakelijk geacht aan het Agentschap een eigen begroting toe te kennen die hoofdzakelijk wordt gefinancierd uit een bijdrage van de Gemeenschap. De communautaire begrotingsprocedure blijft echter van toepassing op eventuele subsidies die ten laste van de algemene begroting van de Gemeenschappen komen; bovendien dient de controle van de rekeningen te worden uitgevoerd door de Rekenkamer.

(25) Het Agentschap moet in eerste instantie voor een beperkte periode worden opgericht en de werking ervan moet worden geëvalueerd om na te gaan of haar activiteiten moeten worden voortgezet.

HEBBEN DE VOLGENDE VERORDENING VASTGESTELD:

Hoofdstuk 1 Doelstellingen en taken

Artikel 1 Doelstellingen

1. Hierbij wordt een Europees Agentschap voor netwerk- en informatiebeveiliging opgericht, hierna "het Agentschap" genoemd.

2. Het Agentschap bevordert de toepassing van communautaire maatregelen ten aanzien van netwerk- en informatiebeveiliging en helpt de interoperabiliteit van beveiligingsfuncties in netwerken en informatiesystemen te garanderen, om zodoende bij te dragen aan de werking van de interne markt. Zij dient de Gemeenschap en de lidstaten beter in staat te stellen op netwerk- en informatiebeveiligingsproblemen te reageren.

Artikel 2 Taken

Teneinde de doelstellingen van artikel 1 te verwezenlijken, zijn de taken van het Agentschap de volgende:

(a) het verzamelen en analyseren van gegevens, met inbegrip van informatie over huidige en nieuwe risico's, met name risico's die gevolgen hebben voor de bestendigheid van kritische communicatienetwerken en de informatie die via deze netwerken wordt bekeken en verzonden;

(b) het verlenen van bijstand en het binnen de doelstellingen verstrekken van adviezen aan de Commissie en andere bevoegde instanties;

(c) het versterken van de samenwerking tussen verschillende spelers op het gebied van netwerk- en informatiebeveiliging, onder andere door middel van het opzetten van een netwerk voor nationale en communautaire instanties;

(d) het bijdragen aan de beschikbaarheid van snelle, objectieve en volledige informatie over problemen op het gebied van netwerk- en informatiebeveiliging voor alle gebruikers, door middel van onder andere het stimuleren van de uitwisseling van optimale praktijken inzake waarschuwingsmethoden voor gebruikers, met inbegrip van die met betrekking tot waarschuwingssystemen voor computeraanvallen, en het creëren van synergie tussen initiatieven uit de openbare en particuliere sector;

(e) het op verzoek assisteren van de Commissie en nationale regelgevende instanties bij het analyseren van de implementatie van netwerk- en informatiebeveiligingseisen voor beheerders en dienstleveranciers, waaronder eisen ten aanzien van de gegevensbescherming, zoals bedoeld in de Gemeenschapswetgeving;

(f) het bijdragen aan de evaluatie van normen op het gebied van netwerk- en informatiebeveiliging;

(g) het stimuleren van activiteiten op het gebied van risicobeoordeling en interoperabele oplossingen voor risicobeheer binnen organisaties;

(h) het bijdragen aan de communautaire benadering inzake samenwerking met derde landen, ondermeer door contacten met internationale fora te bevorderen;

(i) het in opdracht van de Commissie verrichten van andere taken binnen de grenzen van de doelstellingen.

Artikel 3 Definities

Ten behoeve van deze verordening wordt verstaan onder:

- 'netwerk': de transmissiesystemen en in voorkomend geval de schakel- of routeringsapparatuur en andere middelen die het mogelijk maken signalen over te brengen via draad, radiogolven, optische of andere elektromagnetische middelen waaronder satellietnetwerken, vaste (circuit- en pakketgeschakelde, met inbegrip van internet) en mobiele aardse netwerken, netwerken voor radio- en televisieomroep en kabeltelevisienetwerken, ongeacht de aard van de overgebrachte informatie;

- 'informatiesysteem': computers en elektronische communicatienetwerken, alsmede de elektronische gegevens die daarmee worden opgeslagen, verwerkt, opgehaald of verzonden met het oog op de werking, het gebruik, de beveiliging en het onderhoud ervan;

- 'netwerk- en informatiebeveiliging': het vermogen van een netwerk- of informatiesysteem om met een gegeven niveau van betrouwbaarheid bestand te zijn tegen onopzettelijk veroorzaakte gebeurtenissen of onwettige of kwaadaardige acties die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van opgeslagen of verzonden gegevens en de gerelateerde diensten die via deze netwerken en systemen worden aangeboden of toegankelijk zijn in gevaar brengen;

- 'beschikbaarheid': het toegankelijk zijn van gegevens en het operationeel zijn van diensten;

- 'authenticatie': de bevestiging van een geclaimde identiteit van entiteiten of gebruikers;

- 'gegevensintegriteit': de bevestiging dat verzonden, ontvangen of opgeslagen gegevens volledig en ongewijzigd zijn;

- 'vertrouwelijkheid van gegevens': de bescherming van communicatie of opgeslagen gegevens tegen onderschepping en inzage door ongeautoriseerde personen;

- 'risico': een functie van de waarschijnlijkheid dat een kwetsbaarheid in het systeem invloed heeft op de beschikbaarheid, authenticatie, integriteit of vertrouwelijkheid van de verwerkte of verzonden gegevens en de ernst van die invloed als consequentie van het opzettelijke of niet opzettelijke gebruik van een dergelijke kwetsbaarheid;

- 'risicobeoordeling': een wetenschappelijk en technologisch gefundeerd proces, bestaande uit vier stappen: gevareninventarisatie, gevarenkarakterisering, blootstellingsschatting en risicokarakterisering;

- 'risicobeheer': een van risicobeoordeling te onderscheiden proces waarin de beleidsalternatieven in overleg met de belanghebbenden tegen elkaar worden afgewogen, rekening houdende met de risicobeoordeling en andere legitieme factoren, en waarbij, zo nodig, passende preventie- en beheersingsmaatregelen worden gekozen.

Hoofdstuk 2 Organisatie

Artikel 4 Organen van het Agentschap

Het Agentschap zal bestaan uit:

(a) een raad van bestuur;

(b) een uitvoerend directeur en diens personeel;

(c) een adviesraad en,

(d) zo nodig, werkgroepen.

Artikel 5 Raad van bestuur

1. De raad van bestuur zal bestaan uit zes door de Raad benoemde vertegenwoordigers, zes door de Commissie benoemde vertegenwoordigers, alsmede twee vertegenwoordigers van het bedrijfsleven en één vertegenwoordiger van de consumenten, zonder stemrecht, voorgedragen door de Commissie en benoemd door de Raad.

2. De vertegenwoordigers kunnen zich laten vervangen door gelijktijdig benoemde plaatsvervangers. De leden worden voor tweeëneenhalf jaar benoemd en deze benoeming kan eenmaal worden verlengd.

3. De uitvoerend directeur neemt zonder stemrecht deel aan de vergaderingen van de raad van bestuur en neemt het secretariaat daarvan waar.

4. De raad van bestuur kiest een voorzitter uit zijn leden voor een periode van tweeëneenhalf jaar, die kan worden hernieuwd.

5. De raad van bestuur stelt zijn reglement van orde vast, dat door de Commissie zal worden goedgekeurd. Tenzij anders bepaald, worden de besluiten van de raad van bestuur met gewone meerderheid genomen.

6. De raad van bestuur komt op convocatie van de voorzitter of op verzoek van ten minste een derde van de leden bijeen.

7. De raad van bestuur stelt op basis van een voorstel van de Commissie het huishoudelijk reglement van het Agentschap vast. Het reglement wordt openbaar gemaakt.

8. De raad van bestuur stelt de algemene doelstellingen voor de activiteiten van het Agentschap vast en garandeert dat het Agentschap zijn taken uitvoert onder omstandigheden die het in staat stellen om als referentiepunt te fungeren uit hoofde van zijn onafhankelijkheid, de kwaliteit van de hem verstrekte adviezen en verspreide informatie, de transparantie van zijn procedures en werkwijzen en zijn voortvarendheid bij de uitvoering van de hem toegewezen taken.

9. De raad van bestuur stelt jaarlijks vóór 31 januari na toestemming van de Commissie het werkprogramma van het Agentschap voor het betreffende jaar vast. De raad van bestuur ziet erop toe dat het werkprogramma aansluit bij de wetgevings- en beleidsprioriteiten van de Gemeenschap op het gebied van netwerk- en informatiebeveiliging.

10. De raad van bestuur stelt jaarlijks vóór 31 maart het algemeen verslag over de werkzaamheden van het Agentschap in het voorgaande jaar vast.

11. De financiële voorschriften die op het Agentschap van toepassing zijn worden na overleg met de Commissie door de raad van bestuur vastgesteld. Deze mogen niet afwijken van het financiële kaderreglement dat door de Commissie in artikel 185 van Verordening (EG, Euratom) nr. 1605/2002 van de Raad [15] (hierna te noemen: "het algemeen financieel reglement") is vastgesteld, tenzij dat specifiek voor de activiteiten van het Agentschap vereist is en pas na voorafgaande toestemming van de Commissie.

[15] PB L 248 van 16.9.2002, blz. 1.

Artikel 6 Uitvoerend directeur

1. Het Agentschap wordt bestuurd door de uitvoerend directeur die onafhankelijk is in de uitvoering van zijn taken.

2. De uitvoerend directeur wordt benoemd door de raad van bestuur op basis van een kandidatenlijst die door de Commissie wordt voorgedragen na een algemeen vergelijkend onderzoek volgend op de publicatie van een oproep tot het indienen van blijken van belangstelling in het Publicatieblad van de Europese Gemeenschappen en andere bladen. Voor de benoeming wordt de door de raad van bestuur genomineerde kandidaat onverwijld uitgenodigd om een verklaring voor het Europees Parlement af te leggen en vragen te beantwoorden van leden van zijn instelling. De uitvoerend directeur kan na goedkeuring van de Commissie door de raad van bestuur van zijn functie worden ontheven.

3. De ambtstermijn van de uitvoerend directeur duurt vijf jaar.

4. De uitvoerend directeur is verantwoordelijk voor:

(a) de dagelijkse leiding van het Agentschap;

(b) de opstelling van een voorstel voor de werkprogramma's van het Agentschap, in overleg met de adviesraad;

(c) de uitvoering van de werkprogramma's en de besluiten van de raad van bestuur;

(d) de zorg dat het Agentschap zijn taken overeenkomstig de behoeften van de afnemers van zijn diensten verricht, met name wat betreft de doeltreffendheid van de verleende diensten;

(e) de opstelling van de staten van ontvangsten en uitgaven en de uitvoering van de begroting van het Agentschap;

(f) alle personeelszaken;

(g) het leggen en onderhouden van contacten met het Europees Parlement en het aangaan van een geregelde dialoog met de betrokken commissies.

5. Elk jaar legt de uitvoerend directeur aan de raad van bestuur de volgende stukken ter goedkeuring voor:

(a) een ontwerp van een algemeen verslag over alle activiteiten van het Agentschap in het voorgaande jaar;

(b) een ontwerpwerkprogramma.

6. De uitvoerend directeur zendt de programma's, nadat die door de raad van bestuur zijn aangenomen, naar het Europees Parlement, de Raad, de Commissie en de lidstaten en publiceert deze.

7. De uitvoerend directeur stuurt het algemeen verslag van het Agentschap, nadat dit door de raad van bestuur is aangenomen, naar het Europees Parlement, de Raad, de Commissie, de Rekenkamer, het Economisch en Sociaal Comité en het Comité van de Regio's en publiceert dit.

Artikel 7 Adviesraad

1. De adviesraad bestaat uit negen deskundigen die op voordracht van de raad van bestuur door de uitvoerend directeur worden benoemd. De vertegenwoordigers kunnen zich laten vervangen door gelijktijdig benoemde plaatsvervangers. Vertegenwoordigers van de Commissie hebben het recht om op vergaderingen aanwezig te zijn en deel te nemen aan de werkzaamheden van de adviesraad.

2. De leden van de adviesraad mogen geen lid van de raad van bestuur zijn.

3. De adviesraad wordt voorgezeten door de uitvoerend directeur. De adviesraad komt regelmatig op convocatie van de voorzitter of op verzoek van ten minste een derde van de leden bijeen. De werkwijze van de adviesraad wordt vastgelegd in het huishoudelijk reglement van het Agentschap en openbaar gemaakt.

4. De adviezen van de adviesraad kunnen in stemming worden gebracht.

5. Het Agentschap verschaft de adviesraad de nodige technische en logistieke ondersteuning en verzorgt het secretariaat van de vergaderingen.

6. De adviesraad heeft tot taak:

(a) de uitvoerend directeur te adviseren bij de uitvoering van zijn taken overeenkomstig deze verordening, met name met betrekking tot het uitwerken van een voorstel voor het werkprogramma van het Agentschap.

(b) de uitvoerend directeur te adviseren bij het onderhouden van de nauwe samenwerking tussen het Agentschap en de bevoegde instellingen en organen in de lidstaten, met name door de samenhang van de werkzaamheden van het Agentschap en door de lidstaten uitgevoerde activiteiten te waarborgen.

7. De uitvoerend directeur kan vertegenwoordigers van het Europees Parlement en andere bevoegde organen uitnodigen aan de vergaderingen van de adviesraad deel te nemen.

Hoofdstuk 3 Werking

Artikel 8 Werkprogramma

Het Agentschap baseert zijn activiteiten op de uitvoering van het werkprogramma dat is aangenomen in overeenstemming met artikel 5, lid 9. Het werkprogramma zal het Agentschap er niet van weerhouden om onvoorziene activiteiten op zich te nemen die binnen zijn doelstellingen en de gegeven budgettaire beperkingen vallen.

Artikel 9 Adviezen

1. Verzoeken om adviezen en bijstand die binnen de doelstellingen van het Agentschap vallen dienen aan de uitvoerend directeur te worden gericht en te worden vergezeld van achtergrondinformatie waarin het te behandelen probleem wordt uitgelegd. De uitvoerend directeur stuurt het verzoek binnen 10 werkdagen door naar de Commissie.

2. De in lid 1 genoemde verzoeken kunnen worden ingediend door:

(a) de Commissie

(b) een nationale regulerende autoriteit zoals gedefinieerd in artikel 2 van de kaderrichtlijn of een andere bevoegde instantie van een lidstaat dat voor dit doeleinde door de raad van bestuur wordt erkend.

3. Indien het Agentschap moeite heeft om aan een verzoek te voldoen of indien een verzoek niet in overeenstemming met lid 1 wordt ingediend, of indien er verschillende verzoeken worden ingediend met betrekking tot hetzelfde probleem, pleegt de uitvoerend directeur overleg met de raad van bestuur alvorens een besluit te nemen. Indien het Agentschap een verzoek afwijst, wordt een motivering daarvan gegeven. De uitvoerend directeur kan de adviesraad tevens om advies vragen inzake de prioriteitstelling met betrekking tot verzoeken om advies.

Artikel 10 Werkgroepen

1. Waar nodig kan het Agentschap, binnen zijn doelstellingen, op voorstel van de adviesraad, met name met betrekking tot technische en wetenschappelijke problemen, werkgroepen van deskundigen oprichten. Deze werkgroepen worden door de uitvoerend directeur benoemd.

2. Deze werkgroepen worden na overleg met de raad van bestuur op voorstel van de uitvoerend directeur door de adviesraad opgericht.

3. Vertegenwoordigers van de Commissie hebben het recht om aanwezig te zijn op vergaderingen van deze werkgroepen.

4. De procedures voor de benoeming van de deskundigen en de activiteiten van de werkgroep worden uiteengezet in het huishoudelijk reglement van het Agentschap.

Artikel 11 Onafhankelijkheid

1. De leden van de raad van bestuur, de uitvoerend directeur en de adviesraad verbinden zich ertoe onafhankelijk op te treden in het algemeen belang. Daartoe leggen zij een bindende verklaring en een verklaring van belangen af waaruit blijkt dat zij geen directe of indirecte belangen hebben die als nadelig voor hun onafhankelijkheid kunnen worden beschouwd. Dergelijke verklaringen dienen op schrift te worden gesteld.

2. Externe deskundigen die deelnemen aan werkgroepen leggen op elke vergadering een verklaring af over belangen die als nadelig voor hun onafhankelijkheid worden beschouwd met betrekking tot de agendapunten.

Artikel 12 Transparantie

1. Het Agentschap garandeert dat het zijn activiteiten uitvoert met een hoog niveau van transparantie, overeenkomstig de artikelen 13 en 14.

2. Het Agentschap zorgt ervoor dat het publiek en alle belanghebbenden van objectieve, betrouwbare en gemakkelijk toegankelijke informatie worden voorzien, in het bijzonder met betrekking tot eventuele resultaten van zijn werkzaamheden. Het zal tevens de belangenverklaringen die door leden van de raad van bestuur, de uitvoerend directeur en de adviesraad zijn afgelegd openbaar maken, alsmede de belangenverklaringen die zijn afgelegd door deskundigen met betrekking tot agendapunten op de vergaderingen van de werkgroepen.

3. De raad van bestuur kan op voorstel van de uitvoerend directeur belanghebbenden toestemming geven om de uitvoering van de activiteiten van het Agentschap te observeren.

4. Het Agentschap legt in zijn huishoudelijk reglement de praktische regelingen voor de toepassing van de in de leden 1 en 2 bedoelde transparantiebepalingen vast.

Artikel 13 Vertrouwelijke behandeling

1. Het Agentschap zal aan derden geen verwerkte of ontvangen informatie onthullen waarvoor om vertrouwelijke behandeling is gevraagd en waarvoor een dergelijke behandeling is gerechtvaardigd, met uitzondering van informatie die in overeenstemming met het nationaal recht openbaar dient te worden gemaakt ter handhaving van de openbare veiligheid of ten behoeve van de preventie, opsporing en vervolging van criminele delicten.

2. Leden van de raad van bestuur en de adviesraad, de uitvoerend directeur, externe deskundigen die deelnemen aan werkgroepen en personeelsleden van het Agentschap zijn ook na het beëindigen van hun functie gebonden aan de geheimhoudingsplicht ex artikel 287 van het EG-Verdrag.

3. Het Agentschap legt in zijn huishoudelijk reglement de praktische regelingen voor de toepassing van de in de leden 1 en 2 bedoelde vertrouwelijkheidsregels vast.

4. De Commissie wordt voor de doeleinden van lid 1 niet als "derde" beschouwd.

Artikel 14 Toegang tot documenten

1. Op documenten in het bezit van het Agentschap is Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie [16] van toepassing.

[16] PB L 145 van 31.5.2001, blz. 43.

2. De raad van bestuur stelt binnen zes maanden na aanvang van de werkzaamheden van het Agentschap regelingen voor de tenuitvoerlegging van Verordening (EG) nr. 1049/2001 vast.

3. Tegen besluiten van het Agentschap die volgens artikel 8 van Verordening (EG) nr. 1049/2001 zijn genomen, kan in beroep worden gegaan door middel van een klacht bij de ombudsman of een procedure voor het Hof van Justitie van de Europese Gemeenschappen, op grond van respectievelijk artikel 195 en 230 van het EG-Verdrag.

Hoofdstuk 4 Financiële bepalingen

Artikel 15 Vaststelling van de begroting

1. Het Agentschap wordt gefinancierd uit een bijdrage van de Gemeenschap en bijdragen van derde landen die deelnemen aan de werkzaamheden van het Agentschap, zoals bepaald in artikel 22.

2. De uitgaven van het Agentschap hebben betrekking op het personeel, administratieve en technische ondersteuning, infrastructuur, operationele kosten en uitgaven voortvloeiend uit aangegane contracten met derden.

3. De uitvoerend directeur stelt jaarlijks, uiterlijk op 1 maart, een raming op van de ontvangsten en uitgaven van het Agentschap voor het volgende begrotingsjaar en zendt die, tezamen met een overzicht van de personeelsformatie, aan de raad van bestuur.

4. De ontvangsten en uitgaven dienen in evenwicht te zijn.

5. De raad van bestuur stelt jaarlijks uiterlijk op 31 maart de raming van de ontvangsten en uitgaven van het Agentschap voor het volgende jaar vast, op basis van een ontwerp van de uitvoerend directeur. Deze raming van ontvangsten en uitgaven wordt, samen met de ontwerppersoneelsformatie en het voorlopig werkprogramma, door de raad van bestuur voorgelegd aan de Commissie en de landen waarmee de Gemeenschap overeenkomstig artikel 22 een overeenkomst heeft gesloten.

6. Op basis van deze raming voert de Commissie de overeenkomstige bedragen op in de voorlopige algemene ontwerpbegroting van de Europese Gemeenschappen, die zij bij het Europees Parlement en de Raad (hierna "de begrotingsautoriteit" genoemd) indient overeenkomstig artikel 272 van het Verdrag.

7. De begrotingsautoriteit bepaalt de kredieten die beschikbaar zijn voor de subsidies voor het Agentschap.

8. De begrotingsautoriteit stelt de personeelsformatie voor het Agentschap vast.

9. Nadat de begrotingsautoriteit de algemene begroting van de Europese Gemeenschappen heeft vastgesteld, stelt de raad van bestuur de uiteindelijke begroting en het uiteindelijke werkprogramma van het Agentschap vast, waar nodig na aanpassing aan de bijdrage van de Gemeenschap. Hij zendt de begroting en het werkprogramma onverwijld aan de Commissie en de begrotingsautoriteit.

Artikel 16 Fraudebestrijding

1. Teneinde fraude, corruptie en andere onwettige praktijken tegen te gaan zijn de bepalingen van Verordening (EG) nr. 1073/1999 van het Europees Parlement en de Raad van 25 mei 1999 betreffende onderzoeken door het Europees Bureau voor fraudebestrijding (OLAF) [17] onverkort van kracht.

[17] PB L 136 van 31.5.1999, blz. 1.

2. Het Agentschap treedt toe tot het Interinstitutioneel akkoord van 25 mei 1999 betreffende de interne onderzoeken verricht door het Europees Bureau voor Fraudebestrijding (OLAF) [18] en treft onverwijld passende voorzieningen die op alle werknemers van het Agentschap van toepassing zijn.

[18] PB L 136 van 31.5.1999, blz. 15.

Artikel 17 Tenuitvoerlegging van de begroting

1. De uitvoerend directeur legt de begroting van het Agentschap ten uitvoer.

2. De bevoegdheden van de interne controleur van de Commissie over het Agentschap zijn gelijk aan die over de afdelingen van de Commissie.

3. Na elk begrotingsjaar deelt de rekenplichtige van het Agentschap uiterlijk op 31 maart de voorlopige rekeningen mee aan de rekenplichtige van de Commissie, tezamen met een verslag over het budgettaire en financiële beheer voor het betreffende begrotingsjaar. De rekenplichtige van de Commissie consolideert de voorlopige rekeningen van de instellingen en gedecentraliseerde organen als bedoeld in artikel 128 van het algemeen financieel reglement.

4. Na elk begrotingsjaar zendt de rekenplichtige van de Commissie uiterlijk op 31 maart de voorlopige rekeningen van het Agentschap naar de Rekenkamer, tezamen met een verslag over het budgettaire en financiële beheer voor het betreffende begrotingsjaar. Het verslag over het budgettaire en financiële beheer voor het begrotingsjaar wordt tevens aan het Europees Parlement en de Raad gezonden.

5. Na ontvangst van de opmerkingen van de Rekenkamer over de voorlopige rekeningen van het Agentschap stelt de uitvoerend directeur krachtens artikel 129 van het algemeen financieel reglement de eindrekening van het Agentschap op eigen verantwoordelijkheid vast en zendt hij deze voor advies naar de raad van bestuur.

6. De raad van bestuur geeft zijn advies over de eindrekening van het Agentschap.

7. Na elk begrotingsjaar zendt de uitvoerend directeur uiterlijk op 1 juli de eindrekening naar het Europees Parlement, de Raad, de Commissie en de Rekenkamer, tezamen met het advies van de raad van bestuur.

8. De eindrekening wordt gepubliceerd.

9. De uitvoerend directeur geeft de Rekenkamer uiterlijk op 30 september antwoord op diens opmerkingen. Hij zendt dit antwoord tevens naar de raad van bestuur.

10. Het Europees Parlement verleent de uitvoerend directeur vóór 30 april van jaar N+2 op aanbeveling van een gekwalificeerde meerderheid van de Raad décharge met betrekking tot de tenuitvoerlegging van de begroting voor het jaar N.

Hoofdstuk 5 Algemene bepalingen

Artikel 18 Rechtspersoonlijkheid en voorrechten

1. Het Agentschap is een orgaan van de Gemeenschap. Het Agentschap heeft rechtspersoonlijkheid.

2. Het Agentschap bezit in alle lidstaten de grootste rechtsbevoegdheid die volgens de geldende wet aan rechtspersonen wordt verleend. Het kan met name roerende en onroerende goederen verwerven en vervreemden, en in rechte optreden.

3. Het Agentschap wordt vertegenwoordigd door zijn uitvoerend directeur.

4. Op het Agentschap en het personeel is het Protocol inzake de voorrechten en immuniteiten van de Europese Gemeenschappen van toepassing.

Artikel 19 Aansprakelijkheid

1. De contractuele aansprakelijkheid van het Agentschap ligt binnen de werkingssfeer van het recht dat van toepassing is op het contract in kwestie. Het Hof van Justitie van de Europese Gemeenschappen is bevoegd uitspraak te doen krachtens een arbitrageclausule in een door het Agentschap gesloten contract.

2. Bij niet-contractuele aansprakelijkheid vergoedt het Agentschap, overeenkomstig de algemene beginselen die de wetgevingen van de lidstaten gemeen hebben, alle schade die door het Agentschap zelf of zijn personeelsleden in de uitoefening van hun functie is veroorzaakt. Het Hof van Justitie is bevoegd ter zake van alle in dit verband gerezen geschillen over schadevergoeding.

3. De persoonlijke aansprakelijkheid van de personeelsleden van het Agentschap ten aanzien van het Agentschap wordt geregeld door de desbetreffende bepalingen die van toepassing zijn op het personeel van het Agentschap.

Artikel 20 Personeel

1. Het personeel van het Agentschap is onderworpen aan de verordeningen en regelingen van toepassing op de ambtenaren en andere personeelsleden van de Europese Gemeenschappen (Statuut).

2. Onverminderd artikel 5 worden de bevoegdheden die door het Statuut aan het tot aanstelling bevoegde gezag en door de arbeidsvoorwaarden van andere personeelsleden aan het voor het sluiten van contracten bevoegde gezag zijn verleend, door het Agentschap uitgeoefend met betrekking tot zijn eigen personeel.

Artikel 21 Bescherming van persoonsgegevens

Bij het verwerken van gegevens met betrekking tot personen is het Agentschap onderworpen aan de bepalingen van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens [19].

[19] PB L 8 van 12.1.2001, blz. 1.

Artikel 22 Deelneming van derde landen

1. Het Agentschap staat open voor deelneming van landen die met de Europese Gemeenschap overeenkomsten gesloten hebben uit hoofde waarvan zij de communautaire wetgeving op het onder deze verordening vallende gebied hebben overgenomen en toegepast.

2. Overeenkomstig de desbetreffende bepalingen van deze overeenkomsten worden er regelingen getroffen waarin met name de aard waarmee, de mate waarin en de manier waarop deze landen aan de werkzaamheden van het Agentschap deelnemen worden uiteengezet, met inbegrip van bepalingen met betrekking tot de deelneming aan de door het Agentschap beheerde netwerken, financiële bijdragen en personeel.

Hoofdstuk 6 Slotbepalingen

Artikel 23 Herziening

1. Binnen drie jaar na de vastgestelde aanvangsdatum in artikel 26, of vroeger als dat door de raad van bestuur nodig wordt geacht, voert de Commissie in samenwerking met de adviesraad een evaluatie op basis van de opdracht waarover overeenstemming is bereikt met de raad van bestuur. Bij deze evaluatie worden

(a) de werkpraktijken en de invloed van het Agentschap geëvalueerd;

(b) de vastgestelde doelstellingen en mechanismen grondig bekeken;

(c) de nodige wijzigingen overwogen, in het licht van de institutionele en wettelijke ontwikkelingen in de Europese Unie en in het bijzonder met betrekking tot bredere beveiligingsproblemen, met inbegrip van vraagstukken omtrent de openbare veiligheid en de deelname van de handhavingsautoriteiten.

2. De evaluatie wordt openbaar gemaakt.

3. De Commissie richt zich bij de evaluatie met name op de vraag of het Agentschap nog moet blijven bestaan na de in artikel 25 vermelde datum.

Artikel 24 Bestuurlijke controle

De activiteiten van het Agentschap staan onder het toezicht van de ombudsman, overeenkomstig de bepalingen van artikel 195 van het Verdrag.

Artikel 25 Vestigingsplaats

De vestigingsplaats van het Agentschap wordt op voorstel van de Commissie door de bevoegde instanties aangewezen, uiterlijk zes maanden na de vaststelling van deze verordening.

Artikel 26 Looptijd

Het Agentschap is operationeel van 1 januari 2004 tot en met 31 december 2008.

Artikel 27 Inwerkingtreding

Deze verordening treedt in werking op de [...] dag volgende op die van haar bekendmaking in het Publicatieblad van de Europese Gemeenschappen.

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

Gedaan te Brussel, op [...]

Voor het Europees Parlement Voor de Raad

De voorzitter De voorzitter

FINANCIEEL MEMORANDUM

Beleidsgebied: Informatiemaatschappij

Activiteit: Netwerk- en informatiebeveiliging

Benaming van de maatregel: Voorstel voor verordening van het Europees Parlement en de raad tot oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging

1. BEGROTINGSPLAATS + OMSCHRIJVING(EN)

Er zal worden voorgesteld een nieuwe begrotingslijn te introduceren (deze maatregel is opgenomen in de JBS 2003).

2. ALGEMENE CIJFERS

2.1. Totale toewijzing voor de actie (deel B): miljoen EUR aan VK

EUR 24,300 miljoen voor de vijftien lidstaten (voor de uitbreiding met 10 lidstaten is EUR 9 miljoen extra nodig, zodat de totale kosten dan op EUR 33,3 miljoen uitkomen).

Deze maatregel werd door de Commissie opgenomen in haar Mededeling aan het Europees Parlement en de Raad van 27 februari 2002 (SEC (2002) 217/9).

2.2. Duur:

2004-2008

2.3. Meerjarenraming van de uitgaven:

(a) Tijdschema vastleggingskredieten/betalingskredieten (financiering uit de begroting)

in miljoen EUR (tot op 3 decimalen nauwkeurig)

>RUIMTE VOOR DE TABEL>

(b) Technische en administratieve bijstand en ondersteuningsuitgaven

>RUIMTE VOOR DE TABEL>

>RUIMTE VOOR DE TABEL>

(c) Financiële gevolgen in verband met de personele middelen en andere huishoudelijke uitgaven

>RUIMTE VOOR DE TABEL>

>RUIMTE VOOR DE TABEL>

2.4. Verenigbaarheid met de financiële programmering en de financiële vooruitzichten

Dit voorstel vereist een herprogrammering van de betrokken rubriek van de financiële vooruitzichten.

2.5. Financiële gevolgen voor de ontvangsten: [20]

[20] Zie de aparte evaluatie ex ante voor nadere informatie.

Geen enkele financiële implicatie (betreft technische aspecten in verband met de tenuitvoerlegging van een maatregel)

3. BEGROTINGSKENMERKEN

>RUIMTE VOOR DE TABEL>

4. RECHTSGRONDSLAG

Artikelen 95 en 156 van het Verdrag.

5. BESCHRIJVING EN MOTIVERING

5.1. Noodzaak tot communautair optreden [21]

[21] Zie de aparte evaluatie ex ante voor nadere informatie

Uit de evaluatie ex ante blijkt dat de verschillende alternatieven, zoals de oprichting van een intern netwerk binnen de Commissie of een netwerk van correspondenten in de lidstaten, niet aan de objectieve kwaliteitscriteria beantwoorden (transparantie, kostenefficiëntie en zichtbaarheid), noch de toegevoegde waarde bezitten die de oprichting van een regelgevend agentschap heeft.

Het eerste alternatief is niet uitvoerbaar omdat de Commissie niet de noodzakelijke deskundigheid over netwerk- en informatiebeveiliging in huis heeft. Aan het tweede alternatief, een netwerk van nationale correspondenten, kleven grote bezwaren zoals:

* De Commissie verliest de supervisie over het werk van een netwerk, waardoor meer financiële en personele middelen nodig zijn omdat de taken niet centraal worden uitgevoerd zodat doublures in de lidstaten onvermijdelijk zijn.

* De transnationale dimensie komt onvoldoende naar voren omdat mag worden verwacht dat de nationale autoriteiten zich in de eerste plaats op nationale problemen zullen richten.

* De zichtbaarheid van de werkzaamheden is beperkt en er is geen centraal contactpunt voor internationaal overleg, hetgeen op dit terrein absoluut noodzakelijk is.

Het onderhavige voorstel volgt daarom de structurele opzet die in de recentelijk goedgekeurde mededeling van de Commissie over het kader voor Europese regelgevende agentschappen (COM(2002) 718 def. van 11 december 2002) is beschreven. Het hoofddoel is (zoals ook uit de taakstelling kan worden afgeleid) de activiteiten toe te spitsen op regelgevingskwesties en tegelijkertijd hulp te bieden aan de lidstaten en de Commissie over aangelegenheden in verband met netwerk- en informatieveiligheid met een sterk technisch en technologisch karakter.

Deze verhoging van de aandacht voor en zichtbaarheid van een gecoördineerde aanpak van de steeds grotere dreiging voor de veiligheid is met name noodzakelijk geworden na "11 september", toen de netwerk- en informatiebeveiligings problematiek hoog op de politieke agenda is komen te staan.

5.1.1. Doelstellingen

Omdat er zoveel afhangt van netwerken en informatiesystemen, is de veilige werking ervan uitgegroeid tot een belangrijk vraagstuk. Informatiesystemen zijn cruciaal voor de hele economie, niet alleen voor de meeste bedrijfssectoren. Ze zijn tevens vitaal voor de openbare sector en burgers. Een storing in dergelijke systemen gaat iedereen aan: personen, overheid en bedrijven.

Beveiliging is daarom uitgegroeid tot een belangrijk beleidsvraagstuk. Overheden zien dat er voor de maatschappij een steeds belangrijkere taak is weggelegd en doen zelf ook een steeds grotere inspanningen om de beveiliging op hun grondgebied te verbeteren. De huidige werkfase en de aandachtsgebieden variëren echter per lidstaat. Lidstaten kennen geen systematische transnationale samenwerking op het gebied van netwerk- en informatiebeveiliging, ondanks het feit dat beveiligingsproblematiek geen geïsoleerd probleem is dat slechts in één land voorkomt. Er bestaat geen mechanisme dat een effectieve respons op bedreigingen van de veiligheid garandeert. De tenuitvoerlegging van het wettelijke kader verschilt. Er is een gebrek aan interoperabiliteit dat een juist gebruik van beveiligingsproducten en diensten belemmert.

Hoewel het niet noodzakelijk is om volledige harmonisering van voorschriften te bereiken, zou de Unie gebaat zijn bij nauwere samenwerking tussen lidstaten en een voldoende hoog niveau van veiligheid in alle lidstaten. Ook de interne markt zou kunnen profiteren van een gecoördineerde Europese benadering voor netwerk- en informatiebeveiliging en van de verzamelde knowhow van de lidstaten. Tegelijkertijd zou een dergelijke benadering een ondersteuning zijn voor innovatie en het vermogen van Europese bedrijven om wereldwijd te concurreren.

Het is de bedoeling dat het voorgestelde Agentschap netwerk- en informatiebeveiliging verbetert en het vermogen van lidstaten om individueel en collectief te reageren op grote problemen op het gebied van netwerk- en informatiebeveiliging vergroot.

5.1.2. Genomen maatregelen die onder de evaluatie ex ante vallen

De mededeling van de Commissie over netwerk- en informatiebeveiliging: Voorstel voor een Europese beleidsaanpak, COM(2001) 298 (def.), heeft een aantal maatregelen voorgesteld om de informatiebeveiliging in Europa te verbeteren. De resolutie van de Raad van 28 januari 2002 inzake een gezamenlijke aanpak en specifieke acties op het gebied van netwerk- en informatiebeveiliging heeft dit concept verder ontwikkeld. Het is echter duidelijk geworden dat de huidige institutionele regelingen geen ruimte bieden voor het op gepaste wijze aan de orde stellen van netwerk- en informatiebeveiliging op Europees niveau.

De resolutie staat daarom tevens positief tegenover een voorstel van de Commissie voor de oprichting van een taskforce voor computerbeveiliging die kan reageren op problemen op het gebied van netwerk- en informatiebeveiliging. Deze speciale eenheid voor computerbeveiliging heeft de vorm aangenomen van een tijdelijk regulerend agentschap.

Een aantal alternatieven voor het oprichten van een agentschap werden in beschouwing genomen; deze alternatieven voldoen echter niet aan de noodzakelijke criteria voor de voorziene uit te voeren taken. Een gedetailleerde analyse van de beschouwingen om tot de oprichting van een nieuw agentschap te komen, zijn vervat in de ex ante evaluatie.

5.2. Voorgenomen acties en wijze van financiering uit de begroting

5.2.1. Doelstellingen

De bredere doelstelling van het Agentschap is in Europa een gemeenschappelijk inzicht te verwerven in de informatiebeveiligingsproblematiek, dat noodzakelijk is om de beschikbaarheid en veiligheid van netwerken en informatiesystemen in de Unie te garanderen.

Het Agentschap dient:

- hulp te kunnen bieden bij de toepassing van maatregelen van de Gemeenschap op het gebied van netwerk- en informatiebeveiliging;

- hulp te kunnen bieden om de interoperabiliteit van informatiebeveiligings voorzieningen van netwerken en informatiesystemen te garanderen, waardoor wordt bijgedragen tot de goede werking van de interne markt;

- de Gemeenschap en de lidstaten beter in staat te stellen op netwerk- en informatiebeveiligingsproblemen te reageren.

Het Agentschap zal een sleutelrol spelen bij de beveiliging van Europa's netwerken en informatiesystemen en bij de in ontwikkeling van de informatiemaatschappij in het algemeen.

5.2.2. Taken

Het Agentschap zal:

- adviserende en coördinerende functies krijgen waarbij gegevens over informatiebeveiliging worden verzameld en geanalyseerd. Tegenwoordig verzamelen zowel openbare als particuliere instellingen met verschillende doelstellingen gegevens over IT-incidenten en andere gegevens die relevant zijn voor informatiebeveiliging. Er bestaat echter geen centrale entiteit op Europees niveau die alle gegevens kan verzamelen/analyseren en advies kan geven ter ondersteuning van het beleidswerk van de Gemeenschap op het gebied van netwerk- en informatiebeveiliging;

- dienen als een expertisecentrum waar zowel de lidstaten als de communautaire instellingen advies kunnen inwinnen over technische zaken met betrekking tot beveiliging;

- bijdragen tot een brede samenwerking tussen verschillende spelers in de wereld van informatiebeveiliging, bijvoorbeeld door te assisteren bij follow-upactiviteiten ter ondersteuning van veilige e-business. Een dergelijke samenwerking zal een vitale voorwaarde zijn voor de veilige werking van netwerken en informatiesystemen in Europa. De deelname en betrokkenheid van alle belanghebbenden is noodzakelijk;

- bijdragen tot een gecoördineerde benadering van informatiebeveiliging door ondersteuning te geven aan lidstaten, bijvoorbeeld bij de stimulering van activiteiten op het gebied van risicobeoordeling en bewustmaking;

- de interoperabiliteit van netwerken en informatiesystemen garanderen wanneer de lidstaten technische voorzieningen treffen die gevolgen hebben voor de beveiliging;

- de relevante behoeften aan standaardisering vaststellen, de bestaande beveiligingsnormen en certificatieschema's evalueren en een zo breed mogelijke toepassing daarvan stimuleren ter ondersteuning van de Europese wetgeving;

- de internationale samenwerking op dit gebied bevorderen nu de behoefte daaraan groeit omdat de netwerk- en informatiebeveiliging een wereldwijd probleem is.

5.3. Tenuitvoerlegging

Er wordt voorgesteld een regelgevend agentschap, "het Agentschap", op te richten voor een initiële termijn van vijf jaar als van de Commissie onafhankelijke entiteit. Dit Agentschap krijgt rechtspersoonlijkheid.

Het Agentschap zal bestaan uit een raad van bestuur, een uitvoerend directeur en een adviesraad. De algemene verantwoordelijkheid voor beleidswerkzaamheden, bestuurszaken en de benoeming van de uitvoerend directeur ligt bij de raad van bestuur.

De adviesraad zal worden samengesteld uit deskundigen en krijgt raadgevende bevoegdheden die garant moeten staan voor nauwe samenwerking met lidstaten en relevante organisaties in lidstaten.

6. FINANCIËLE GEVOLGEN

6.1. Totale financiële gevolgen voor deel B (voor de gehele programmeringsperiode)

Aangezien de belangrijkste taak van het Agentschap zijn rol als expertisecentrum is, zullen de adviezen voornamelijk door het personeel zelf worden verstrekt. Dit houdt tevens in dat de administratieve kosten van het Agentschap een belangrijk deel van het totale budget voor rekening zullen nemen.

6.1.1. Financiering

VK in miljoen euro (tot op 3 decimalen nauwkeurig)

>RUIMTE VOOR DE TABEL>

6.1.2. Technische en administratieve bijstand, ondersteuningsuitgaven en IT-uitgaven (vastleggingskredieten)

>RUIMTE VOOR DE TABEL>

6.2. Berekening van de kosten per overwogen maatregel in deel B (voor de gehele programmeringsperiode)

Onderstaande tabel toont de uitsplitsing van de kosten van het Agentschap gedurende de operationele periode. De berekeningsmethode voor de huidige situatie (EUR 15) verschilt van die van na de toetreding van de tien nieuwe lidstaten (EUR +10) in de loop van 2004. De cijfers worden toegelicht onder a) t/m f).

>RUIMTE VOOR DE TABEL>

a) Voorbereiding

De activiteiten van het Agentschap gaan in januari 2004 van start.

Ofschoon niet onmiddellijk relevant voor dit punt van de begroting wordt er toch op gewezen dat in het kader van het Modinis-programma een bepaald bedrag is gereserveerd in de begroting voor 2003 [22]. Een van de hoofdactiviteiten van dit programma is "verhoging van de netwerk- en informatieveiligheid" en de "voorbereiding van de oprichting van een task force voor Internetveiligheid", zoals gepland in de resolutie van de Raad van 28 januari 2002 en in het actieplan eEurope 2005, onder meer door de financiering van analyses, studies en workshops op het gebied van onder meer beveiligingsmechanismen en de interoperabiliteit daarvan, netwerkbetrouwbaarheid en -beveiliging, geavanceerde versleuteling, privacy en veiligheid bij draadloze communicatie.

[22] Op de Telecommunicatieraad van 5 december werd hierover een politiek akkoord bereikt. De formele vaststelling zal plaatsvinden op de Telecommunicatieraad van maart 2003.

b) Personeel (incl. huisvestings- en aanverwante administratieve uitgaven)

Het Agentschap heeft gespecialiseerd en hooggekwalificeerd personeel voor de uitvoering van de geplande taken nodig. In Europa is er momenteel schaarste aan en veel vraag naar deskundigen met een geschikt profiel. Het Agentschap zal zijn medewerkers zowel uit de openbare als de particuliere sector aantrekken. Het Agentschap zal uit 31 medewerkers bestaan, zodra het volledig operationeel is voor 15 lidstaten. Vijf daarvan zullen worden belast met het algemeen beheer en de administratie van het Agentschap, terwijl de overige 26 zullen worden aangetrokken voor de in artikel 2 van de ontwerpverordening bedoelde operationele activiteiten. Het aantal medewerkers voor beheer en administratie is gebaseerd op de ervaring die met bestaande Agentschappen van de Gemeenschap is opgedaan.

Van de 26 medewerkers die met operationele activiteiten worden belast zal één het secretariaat voor rekening nemen, terwijl de rest op grond van specifieke ervaring zal worden aangeworven: 6 specialisten voor risicoanalyse en -beheer, 6 voor netwerkbeveiliging, 3 voor technische onderdelen van netwerk- en informatiesystemen, 2 voor informatie- en communicatietechniek, 4 voor computercalamiteiten en 4 voor de coördinatie van informatiebeveiligingsactiviteiten van de autoriteiten van de lidstaten. Deze samenstelling is gebaseerd op grondige analyses en besprekingen met de beveiligingsinstanties van de nationale autoriteiten en soortgelijke beveiligingsinstellingen in de openbare en de particuliere sector, zoals computercalamiteitenteams. Er is rekening gehouden met de verwachte werkdruk en met de takenlijst van het Agentschap. De aantallen zijn in verband met budgettaire beperkingen tot het strikte minimum beperkt.

Zodra het Agentschap volledig operationeel is zullen de totale jaarlijkse kosten voor 15 lidstaten EUR 3,348 miljoen bedragen, uitgaande van gemiddelde kosten van EUR 108.000 per ambtenaar per jaar, inclusief huisvestings- en aanverwante uitgaven.

Omdat de volledige personeelsformatie niet meteen wordt bereikt, is bij de tabel in punt 6.2 uitgegaan van een geleidelijke aanwerving waarbij het aantal van medewerkers in 2004 op 10 komt te liggen, in 2005 wordt opgetrokken tot 29 om ten slotte in 2006 uit te komen op het volledige aantal van 31.

Volgens artikel 20 van het voorstel zal het statuut van de ambtenaren en andere functionarissen van de Europese Gemeenschappen van toepassing zijn op de ambtenaren en overige personeelsleden van het Agentschap.

>RUIMTE VOOR DE TABEL>

c) Uitrusting

Meubilair: Voor het eerste jaar worden de kosten van aanschaf van meubilair en kantoorapparatuur op EUR 100 000 geraamd en voor de daarop volgende jaren op EUR 25 000. De huisvestingskosten en aanverwante administratieve uitgaven zijn begrepen in de personeelskosten.

IT: Gezien zijn taken mag worden verwacht dat het Agentschap een geliefd doelwit voor hacking en andere aanvallen op de veiligheid zal vormen. Het Agentschap moet tegen dergelijke bedreigingen voldoende zijn opgewassen. Daarom moet voor het Agentschap uiterst geavanceerde IT-apparatuur met een hoog beveiligingsniveau worden aangeschaft. Vanwege deze behoefte aan een zo hoog mogelijke beveiliging, liggen de totale kosten van IT-apparatuur per medewerker per jaar gemiddeld op EUR 15 500 à EUR 18 000. In totaal bedragen de IT-uitgaven in het eerste jaar EUR 220 000, in het tweede jaar EUR 480 000 en in de daarop volgende jaren EUR 528 000 per jaar.

Onderhoud van de website: Het toegankelijk maken van informatie voor enerzijds een breed en anderzijds een gespecialiseerd publiek is duidelijk een van de belangrijkste taken van het Agentschap. Daarvoor wordt gebruik gemaakt van webgebaseerde technieken. De minimale kosten (die uitsluitend de basisvoorlichtingskosten dekken) worden geraamd op EUR 150 000 in het eerste jaar en EUR 50 000 op jaarbasis in de periode daarna.

d) Activiteiten

Publicaties: Ofschoon de website als platform zal fungeren voor de meeste publicaties van het Agentschap zullen officiële verslagen en voorlichtingsmateriaal in bepaalde mate ook op papier verschijnen, vooral wanneer het gaat om informatie die voor de betrokken instellingen van de Gemeenschap is bestemd. De kosten van dergelijke publicaties worden geraamd op EUR 35 000 in het eerste jaar en EUR 50 000 in de jaren daarna.

Conferenties: Voor het eerste jaar zal EUR 100 000 worden gereserveerd voor de organisatie van conferenties, voor het tweede jaar EUR 150 000 en voor het derde jaar EUR 200 000. Deze conferenties dienen voornamelijk voor de verspreiding van de resultaten van het Agentschap onder een breder publiek van zowel publieke als particuliere organisaties.

Dienstreizen: Nauwe contacten met de lidstaten en, gezien het wereldsomspannende karakter van de netwerkbeveiligingsproblematiek, met derde landen vormen een essentieel onderdeel van de strategie van het Agentschap. De kosten van dienstreizen die nodig zijn om deze contacten te onderhouden worden begroot op EUR 140 000 in het eerste jaar en EUR 200 000 in de daarop volgende jaren.

Vergaderingen: De ontwerpverordening voorziet in de oprichting van een raad van bestuur, een adviesraad en werkgroepen. De bijzonderheden omtrent de werking van deze entiteiten (vergaderfrequentie, enz.) zullen in het huishoudelijk reglement van het Agentschap worden vastgesteld. Gezien de gangbare praktijk is bij de raming van de kosten uitgegaan van drie vergaderingen van de raad van bestuur per jaar een één vergadering van de adviesraad per maand.

Het totale aantal vergaderingen van de raad van bestuur en de adviesraad bedraagt 15 per jaar. De kosten van vergaderruimte en vertalingen kosten EUR 7 000 per vergadering en de reiskosten nog eens EUR 700. Op jaarbasis bedragen betekent dit EUR 115 000.

Na enige tijd zullen waarschijnlijk werkgroepen worden opgericht. In het eerste jaar zijn er minder vergaderingen van werkgroepen.

Vertalingen: Om de kosten en tijd die met vertalingen zijn gemoeid te beperken zullen de interne werkzaamheden en documenten voor de Commissie in slechts één van de werktalen beschikbaar zijn. Documenten die met de lidstaten worden uitgewisseld, dienen wellicht vertaald te worden. De kosten hiervan dienen te worden bijgesteld op grond van de ervaring. Verwacht wordt dat een bedrag van EUR 160 000 voor het eerste jaar en EUR 200 000 per jaar voor de daarop volgende jaren volstaat om deze kosten te dekken.

e) Studies en onderzoek

Het hooggespecialiseerde karakter van netwerk- en informatiebeveiliging en het veranderende karakter van de geglobaliseerde wereld brengt nieuwe en onvoorziene uitdagingen met een wereldwijde dimensie met zich mee. Omdat het personeel van het Agentschap beperkt van omvang is, zal voor sommige taken de hulp van externe deskundigen moeten worden ingeroepen. Dergelijke externe deskundigheid zal worden gebruikt voor bijvoorbeeld studies waarbij gegevens en statistieken moeten worden verzameld, waarbij de impact van de technologische ontwikkeling op beveiligingsaspecten zoals modellen voor risicobeoordeling en risicobeheersing moet worden bepaald of waarbij de resultaten van onderzoeksactiviteiten op de toekomstige en nieuwe technologieën en de informatie over in derde landen ontwikkelde netwerkbeveiligingsoplossingen moeten worden geïnventariseerd.

Op basis van de verzamelde gegevens zal het Agentschap met name hulp bieden en adviezen verstrekken aan de Commissie en andere bevoegde instanties, voorstellen doen voor oplossingen om de samenwerking tussen de betrokkenen te verbeteren en de beschikbaarheid van snelle, objectieve en complete informatie verbeteren en bijdragen tot een communautaire benadering voor samenwerking met derde landen.

De totale kosten van studies zullen EUR 3,445 miljoen bedragen. In de eerste jaren is het Agentschap wellicht nog niet volledig operationeel, zodat de kosten van studies voor 2004 op EUR 420 000, voor 2005 op EUR 550 000 en voor de jaren daarna op EUR 825 000 worden begroot. De gemiddelde kosten per studie liggen ergens tussen EUR 200 000 en EUR 300 000.

f) Berekeningen voor EUR + 10

Met 10 nieuwe lidstaten zal de personeelsomvang dienovereenkomstig moeten worden aangepast omdat de inbreng en deskundigheid van de lidstaten, ook de nieuwe, onmisbaar zijn. Een dergelijke uitbreiding zal geleidelijk plaatsvinden door in 2004 vijf, in 2005 negen en in de periode 2006-2008 dertien extra krachten aan te trekken. Van deze dertien nieuwe medewerkers zullen tien hun land vertegenwoordigen terwijl tien met secretariaats- en overheadtaken worden belast.

Door de uitbreiding van het personeel zal ook de behoefte aan meubilair en IT-apparatuur toenemen. De stijging van de kosten van apparatuur houden gelijke tred met het aantal nieuwe personeelsleden, behalve in het eerste jaar, waarvoor de kosten hoger uitvallen (zie bovenstaande berekeningen).

Verwacht wordt dat de kosten van conferenties niet toenemen door de toetreding van nieuwe landen, maar dat de kosten van publicaties zullen stijgen omdat deze voor een groter publiek toegankelijk moeten zijn. Er zullen ook dienstreizen moeten plaatsvinden naar de nieuwe landen teneinde deze bij de regelingen voor samenwerking en informatie-uitwisseling e.d. te kunnen betrekken. Er zullen ook meer mensen deelnamen aan de vergaderingen en extra uitgaven voor vertalingen moeten worden gemaakt. Bij de berekening van deze kosten is uitgegaan van dezelfde basisgegevens als voor 15 lidstaten.

Het voor studies gereserveerde bedrag zal eveneens moeten worden verhoogd na de uitbreiding, aangezien het van belang is een volledig beeld te krijgen van de situatie ten aanzien van computer- en netwerkbeveiliging in deze landen en van de eventuele behoeften in verband met hun toetreding tot de Unie. In 2004 is het nog te vroeg, tenzij misschien voor een uiterst elementaire studie, maar in 2005 is het noodzakelijk een volledig beeld te krijgen van de nieuwe landen, zodat de kosten van studies voor dat jaar relatief hoog uitvallen.

7. GEVOLGEN VOOR HET PERSONEELSBESTAND EN DE ADMINISTRATIEVE UITGAVEN

De behoeften aan personele en administratieve middelen zullen worden gedekt met het in het kader van de jaarlijkse toewijzingsprocedure aan het met het beheer belaste DG toegekende bedrag.

7.1. Gevolgen voor de personele middelen

>RUIMTE VOOR DE TABEL>

7.2. Algemene financiële gevolgen in verband met de personele middelen

>RUIMTE VOOR DE TABEL>

De bedragen stemmen overeen met de totale uitgaven gedurende 12 maanden.

7.3. Andere huishoudelijke uitgaven die uit de actie voortvloeien

>RUIMTE VOOR DE TABEL>

De bedragen stemmen overeen met de totale uitgaven gedurende 12 maanden.

>RUIMTE VOOR DE TABEL>

8. FOLLOW-UP EN EVALUATIE

8.1. Follow-upsysteem

Om ervoor te zorgen dat de middelen van de Gemeenschap efficiënt worden gebruikt, garandeert de Commissie dat de activiteiten in het kader van de verordening alleen op basis van openbare aanbestedingsprocedures worden uitbesteed en dat de activiteiten grondig worden gecontroleerd en geëvalueerd.

8.2. Procedure en periodiciteit van de voorgeschreven evaluatie

De Commissie zal tezamen met de adviesraad de werkpraktijken van het Agentschap en de invloed van het Agentschap als zodanig evalueren. Een dergelijke evaluatie moet binnen drie jaar na de begindatum worden uitgevoerd, dat wil zeggen vóór 31 december 2007.

9. FRAUDEBESTRIJDINGSMAATREGELEN

De rekeningen voor alle uitbestede diensten en studies worden vóór de uitbetaling door de diensten van het Agentschap gecontroleerd, met inachtneming van eventuele contractuele verplichtingen, economische beginselen en goede financiële en beheerspraktijken. Fraudebestrijdingsbepalingen (toezicht, rapportage-eisen, enzovoort) worden opgenomen in alle overeenkomsten en contracten die tussen het Agentschap en de begunstigden van betalingen worden afgesloten.