NL    NL NL 
NL    NL  EUROPESE COMMISSIE  
Brussel, 30.9.2010 
SEC(2010) 1127 
WERKDOCUMENT VAN DE DIENSTEN VAN DE COMMISSIE 
SAMENVATTING VAN DE  EFFECTBEOORDELING  
 
Begeleidend document bij het 
  
Voorstel voor een  
 
VERORDENING VAN HET EUROPEES  PARLEMENT EN DE RAAD  
 
inzake het Europees Agentschap voor ne twerk- en informatiebeveiliging (ENISA) 
  
{COM(2010) 521  definitief } 
{SEC(2010) 1126} 
NL 2   NL SAMENVATTING VAN DE  EFFECTBEOORDELING  
1. TOEPASSINGSGEBIED EN CONTEXT  
1.1. Toepassingsgebied 
Deze effectbeoordeling belicht de wijze waarop het beste vorm kan worden gegeven aan een 
gemoderniseerd agentschap voor netwerk- en informatiebeveiliging, waarvan algemeen wordt 
erkend dat het een passend en noodzakelijk beleidsi nstrument is om uitdagingen op het gebied 
van netwerk- en informatiebeveiliging aan te pa kken, teneinde de organe n van de lidstaten en 
de Commissie te steunen bij het verwezenlijken van beleidsdoelstellingen op het gebied van netwerk- en informatiebeveiliging, na afloop van het mandaat van het Europees Agentschap 
voor netwerk- en informatiebe veiliging (ENISA) in maart 2012. 
1.2. Context 
Tegenwoordig is de goede werking van inform atie- en communicatietechnologieën (ICT) van 
cruciaal belang voor de maatsc happij en de economie. Het is  dan ook van het allergrootste 
belang te garanderen dat deze systemen stabiel zi jn en dat de gebruikers er vertrouwen in 
kunnen hebben. De toename van het aantal bedr eigingen, aanvallen en malware tegen deze 
systemen kan de goede werking van de fundament ele netwerk- en inform atie-infrastructuur in 
gevaar brengen. Aangezien deze systemen en ne twerken grensoverschrijdend van aard zijn, is 
ook een Europees antwoord nodig op de uitdag ingen op het gebied van netwerk- en 
informatiebeveiliging. 
Om het hoofd te bieden aan deze uitdagingen is in 2004
1 het Europees Agentschap voor 
netwerk- en informatiebeveil iging (ENISA) opgericht voor een periode van 5 jaar, teneinde 
"te zorgen voor een hoog en doeltreffend niveau van netwerk- en inform atiebeveiliging in de 
Gemeenschap en (…) een cultuur van netwerk- en informatiebeveiliging ten behoeve van de 
burgers, consumenten, bedrijven en publieke organen in de Europese Unie tot stand te brengen en op die manier bij te dragen to t de goede werking van de interne markt".  
Sindsdien zijn de uitdagingen op het gebi ed van netwerk- en informatiebeveiliging 
voortdurend veranderd ten gevolge  van technologische en markto ntwikkelingen. Daarom is de 
Commissie, geruime tijd voor de ENISA-vero rdening in maart 2009 verstreek, samen met 
relevante belanghebbenden beginnen na te gaan welke beleidsvoorstelle n het beste geschikt 
waren met het oog op de verwezenlijking van de EU-doelstellingen inzake netwerk- en 
informatiebeveiliging na 2009. Na een tuss entijdse evaluatie van het ENISA in 2007
2 en een 
openbare raadpleging3 hebben de Raad en het Europees  Parlement op 24 september 2008 een 
verordening vastgesteld waarbij het mandaat van het ENISA met drie jaar wordt verlengd, tot 
13 maart 20124. In de overwegingen van deze verordening worden de Raad en het Europees 
                                                 
1 Verordening (EG) nr. 460/2004 van het Europees Parlement en de Raad van 10 maart 2004 tot 
oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging. 
2 Mededeling van de Commissie aan het Europees Pa rlement en de Raad inzake de evaluatie van het 
Europees Agentschap voor netwerk- en info rmatiebeveiliging (ENISA) - COM(2007) 285 van 
1.6.2007: 
 http://eur-lex.europa.eu/LexUriServ/Le xUriServ.do?uri=CELEX :52007DC0285:NL:NOT. 
3 De raadpleging vond plaats van 13 juni tot 7 september 2007. 
4 Verordening (EG) nr. 1007/2008 van het Europees Parlement en de Raad van 24 september 2008 tot 
wijziging van Verordening (EG) nr. 460/2004 tot oprichting van het Europees Agentschap voor 
NL 3   NL Parlement opgeroepen tot 'nader overleg over het Agentschap [en] de route die het Europese 
streven naar een betere netwerk- en informatiebeveiliging dient te volgen'.  
De Commissie heeft de besp reking vergemakkelijkt door in november 2008 een nieuwe EU-
wijde openbare raadpleging op te starten over de mogelijke doelstellingen van een versterkt beleid inzake netwerk- en informatiebeveiligi ng en over de middelen om die doelstellingen te 
verwezenlijken
5. De Commissie heeft in december 2008 ook een workshop met deskundigen 
van de bevoegde organen van de lidstaten georganiseerd over de instrumenten en 
mechanismen van een versterkt EU-beleid in zake netwerk- en informatiebeveiliging. 
Bovendien heeft de Commissie in maart 2009 een  mededeling betreffende de bescherming 
van kritieke informatie-infrastructuur6 vastgesteld, waarin aan het ENISA een sleutelrol wordt 
toebedeeld bij het ondersteunen va n de EU teneinde de beveilig ing, veerkracht en paraatheid 
te verbeteren. Deze benadering we rd bevestigd in een van de c onclusies van de ministeriële 
conferentie inzake kritieke in formatie-infrastructuur die op 27 en 28 april 2009 plaatsvond in 
Tallinn: 'de nieuwe en langdurige uitdagingen voor  de toekomst vereisten dat het mandaat 
van het Agentschap grondig opnieuw wordt be keken en geformuleerd, zodat het beter is 
afgestemd op de prioriteiten en behoeften van de EU,  zodat een flexibeler responscapaciteit 
kan worden opgebouwd, vaardigheden en be kwaamheden kunnen worden ontwikkeld, en 
algemene impact van het Agentschap kunnen worden versterkt, teneinde ervoor te zorgen dat het Agentschap een permanente aanwinst wordt voor alle lidstaten en voor de Europese Unie 
in haar geheel. ' 
Bovendien heeft de Raad Telecom van 18 december 2009 een resolutie vastgesteld over 'een 
coöperatieve Europese aanpak met betrekking tot netwerk- en informatiebeveiliging'
7, waarin 
onder meer wordt benadrukt dat 'ENISA, met een herzien mandaat, het centrum van 
deskundigheid van de EU moet worden in EU -aangelegenheden op het gebied van netwerk- 
en informatiebeveiliging' . 
De Europese Digitale Agenda, waarin een centrale rol is weggelegd voor netwerk- en 
informatiebeveiliging, is een van de vlaggens chipinitiatieven van de  Europa 2020-strategie 
voor slimme, duurzame en inclusieve groei8. Het doel van dit beleidsinitiatief van de 
Europese Digitale Agenda is ervoor te  zorgen dat de EU, de lidstaten en 
belanghebbenden de nodige bekwaamheden en  paraatheid ontwikkelen om problemen 
op het gebied van netwerk- en informatiebeve iliging te voorkomen, op te sporen en aan 
te pakken . Dit zal bijdragen tot meer vertrouwen in en een betere beveiliging van de 
Europese digitale interne markt en zal de conc urrentiekracht van het Europese bedrijfsleven 
verbeteren. 
                                                                                                                                                         
netwerk- en informatiebeveiliging, ten aanzien va n de looptijd van het Agentschap (PB L 293 van 
31.10.2008). 
5 Van 7 november 2008 tot en met 9 januari 2009; het verslag kan worden geraadpleegd op:  
http://ec.europa.eu/information_society/policy/nis/nis_public_consultation/index_en.htm. 
6 Mededeling aan het Europees Parlement, de Raad, het Europees Economisch en Sociaal Comité en het 
Comité van de Regio's betreffende de bescherming van kritieke informatie-infrastructuur, COM(2009) 
149 van 30.3.2009. 
7 Resolutie van de Raad van 18 december 2009 over  een coöperatieve Europese  aanpak met betrekking 
tot netwerk- en informatiebeveiliging (2009/C 321/01). 
8 COM(2010) 2020. 
NL 4   NL 2. OMSCHRIJVING VAN HET PROBLEEM  
2.1. Wat is het probleem? 
Hierna wordt een overzicht gegeven van de va stgestelde problemen, die tot gevolg hebben dat 
belanghebbenden kwetsbaar worden voor bedrei gingen en incidenten met betrekking tot 
netwerk- en informatiebeveiliging. Hieruit b lijkt dat er behoefte is aan een betrouwbare 
structuur op EU-niveau om deze problemen op te lossen en om in heel Europa op de hoogte te 
blijven van de voortdurende veranderende t echnologische en marktomstandigheden op het 
gebied van netwerk- en informatiebeveiliging.  
• De diversiteit en versnippering  van nationale benaderingen.  Problemen met netwerk- 
en informatiebeveiliging stoppen niet aan na tionale grenzen en kunnen dus ook niet 
efficiënt worden aangepakt op nationaal niv eau alleen. Tegelijk wordt het probleem op 
uiteenlopende wijze aangepakt door de overheidsautoriteiten in  verschillende lidstaten. De 
vele beveiligingseisen in verschillende lidstaten  leiden tot kosten voor bedrijven die in de 
hele EU actief zijn, tot versnippering van de  interne markt en tot een daling van het 
concurrentievermogen op die markt.  
• Beperkte Europese capaciteit voor vroe gtijdige waarschuwing en respons. De huidige 
nationale systemen voor vroegtijdige waarsc huwing en aanpak van incidenten verschillen 
van lidstaat tot lidstaat; er bestaat geen  EU-systeem. Er is behoefte aan EU-
beleidsinstrumenten waarin risico's en zwa kke punten met betrekking tot netwerk- en 
informatiebeveiliging worden geïdentificee rd en passende responsmechanismen worden 
vastgesteld; bovendien moeten deze instrumenten ervoor zorgen dat de belanghebbenden 
deze responsmechanismen kennen en toepassen. 
• Gebrek aan betrouwbare Europese gegeve ns en beperkte kennis over veranderende 
problemen.  Er is zeer weinig betrouwbare kw antitatieve informatie voorhanden over 
incidenten op het gebied van netwerk- en  informatiebeveiliging en de gevolgen ervan, 
waardoor beleidmakers moeilijk passende maatregelen kunnen treffen en bedrijven 
moeilijk beslissingen over investeringen in beveiliging kunnen nemen.  
• Gebrek aan bewustzijn van risico's en ui tdagingen met betrekking tot netwerk- en 
informatiebeveiliging. De individuele belanghebbenden zijn verantwoordelijk voor 
netwerk- en informatiebeveiliging; hun verantw oordelijkheid is echter niet altijd duidelijk 
gedefinieerd en meegedeeld. Enerzijds ondersch atten consumenten vaak de risico's in 
verband met netwerk- en informatiebeve iliging en weten ze niet dat ze zelf 
verantwoordelijk zijn voor het beveilig en van hun ICT-systemen. Anderzijds zien 
bedrijven vaak alleen maar de  kosten van netwerk- en inform atiebeveiliging en niet de 
potentiële besparingen.  
• De internationale dimensie van probleme n met netwerk- en informatiebeveiliging.  
Aangezien bedreigingen van netw erk- en informatiebeveiliging en eventuele incidenten 
internationaal zijn, kan de effectiviteit va n EU-maatregelen afnemen als de problemen op 
internationaal niveau minder adequaat worden  aangepakt. We moeten een EU-strategie en 
een referentiepunt voor netwerk- en info rmatiebeveiliging ontwikkelen, zodat de 
internationale positie van de EU verbetert. 
• Behoefte aan samenwerkingsmodellen tenein de adequate tenuitvoerlegging van het 
beleid te garanderen.  De adequate tenuitvoerlegging va n beleid op het gebied van 
NL 5   NL netwerk- en informatiebeveiliging vere ist samenwerkingsmodellen op EU-niveau. 
Belanghebbenden hebben begele iding nodig bij het identifi ceren van bedreigingen voor 
netwerk- en informatiebeveiliging en bij he t ontwikkelen van goede praktijken voor de 
tenuitvoerlegging van beleidsmaatregelen in zake netwerk- en informatiebeveiliging. 
• Behoefte aan efficiënter opt reden tegen cybercriminaliteit. De inspanningen op het 
gebied van netwerk- en informatiebeveiliging zijn hoofdzakelijk georga niseerd in het kader 
van de eerste pijler, d.w.z. kwesties die tussen  de instellingen worden besproken. Nu het 
Lissabonverdrag in werking is getreden, moet  evenwel rekening worden gehouden met een 
breder takenpakket voor een ag entschap inzake netwerk- en informatiebeveiliging, dat ook 
betrekking heeft op kwesties van de 'tweede en derde pijler', d.w.z. kwesties waarover 
voorheen alleen de Raad besliste.  
2.2. Wie ondervindt de meeste gevolgen van het probleem? 
Incidenten met netwerk- en informatiebeve iliging kunnen grote gevolgen hebben voor diverse 
belanghebbenden, waaronder grote en kleine bedr ijven, overheden en overheidsinstanties en 
individuele burgers. Met andere woorden: iedereen heeft belang bij en is verantwoordelijk 
voor netwerk- en informatiebeveiliging. 
Er is weinig of geen objectieve  kwantitatieve informatie besc hikbaar over het exacte aantal 
incidenten met netwerk- en informatiebeveilig ing en/of de economische gevolgen ervan. In de 
IDC EMEA-marktstudie9 wordt wel een indicatie gegeven: 28% van de gezinne n in de EU-27 
heeft het voorbije jaar problemen gehad met spam of virussen. Gemiddeld heeft ongeveer 7% 
van de gebruikers in bedrijven het voorbije jaar te maken gehad met een beveiligingsincident. 
3. REDENEN VOOR EU- ACTIE , TOEGEVOEGDE WAARDE VAN EU- ACTIE EN 
SUBSIDIARITEIT . 
Door de verwevenheid van netwerken en inform atiesystemen is het voor individuele actoren 
extreem moeilijk, zoniet onmogelijk, om de  mondiale economische en maatschappelijke 
gevolgen van hun maatregelen ter bescherming te gen incidenten op het gebied van netwerk- 
en informatiebeveiliging correct in te schatte n. Uiteenlopende nationa le beleidsmaatregelen 
en praktijken verstoren de interne markt, zowel door de negatieve externe gevolgen van 
incidenten op het gebied va n netwerk- en informatiebe veiliging (ontoereikende 
beleidsmaatregelen hebben gevolgen voor markte n in andere lidstaten) als door de positieve 
externe gevolgen van goede praktijken (goede  praktijken in een lid staat verbeteren de 
netwerk- en informatiebeveiliging in haar geheel, hetgeen een duidelijk voordeel oplevert 
voor de maatschappij). EU-belei d is dan ook gerechtvaardigd, om dat het echt bijd raagt tot de 
goede werking van de interne markt. Deze toeg evoegde waarde is ook erkend in Verordening 
(EG) nr. 460/2004 tot oprichting van het ENISA, waarin bepaal d is dat de bevoegdheden van 
het ENISA tot doel hebben bij te dragen to t de goede werking van de interne markt. 
Bovendien rechtvaardigt ook het subsidiariteitsbeginsel  EU-beleid op het gebied van 
netwerk- en informatiebeveiliging. Zoals ook vermeld in de mededeling over kritieke 
informatie-infrastructuur staat niet-ingrijpen door de EU in het nationale beleid inzake 
                                                 
9 IDC EMEA, 'The European Network and Information Security Market, Scenario, Trends and 
Challenges', april 2009, met verwijzing naar de Eu robarometerenquête over e-communicatie van april 
2007. 
NL 6   NL netwerk- en informatiebeveiligi ng gelijk met de lidstaten te vr agen alleen hun ei gen achtertuin 
te bewaken, zonder rekening te houden met de onderlinge verwevenheid van 
informatiesystemen. Een passende mate van coördinatie tussen de lidstaten, om te garanderen dat de grensoverschrijdende risico's van netwerk- en informatiebeveiliging goed worden beheerd, is dan ook in overeenstemming met het subsidiariteitsbeginsel. Bovendien zou EU-
actie de effectiviteit van de  bestaande nationale beleidsmaatregelen verbeteren.  
EU-burgers vertrouwen hun gegevens steeds vaker toe aan complexe informatiesystemen 
(bijv. 'cloud computing'). Een gezamenlijk en  coöperatief beleid inzake netwerk- en 
informatiebeveiliging zal dan ook een posit ief effect hebben op de effectieve bescherming van 
de grondrechten , en met name het recht op de bescherming van persoons gegevens en privacy . 
Ook om deze reden is EU-belei d ruimschoots gerechtvaardigd.  
4. B
ELEIDSDOELSTELLINGEN  
In deze effectbeoordeling wordt nagegaan hoe een gemoderniseerd agentschap voor netwerk- 
en informatiebeveiliging, dat algemeen wordt beschouwd als de meest geschikte 
organisatorische structuur, samen met andere EU-instrumenten het beste kan bijdragen tot de 
verwezenlijking van de beleidsdoelstellingen. 
Het algemene doel is ervoor te zorgen dat de EU, de lidstaten en belanghebbenden de 
nodige bekwaamheden en paraatheid ontwik kelen om problemen op het gebied van 
netwerk- en informatiebeveiliging te voorko men, op te sporen en aan te pakken . Dit zal 
bijdragen tot meer vertrouwen in en een betere  beveiliging van de Euro pese digitale interne 
markt en zal de concurrentiekracht van het Europese bedrijfsleven verbeteren. 
Deze doelstelling valt uiteen in zeven specifieke doelen : 
(1) Coherentie van regelgevende benaderingen  - de Commissie en de lidstaten 
verstrekken advies en begeleiding met betr ekking tot de ontwikkeling en actualisering 
van een holistisch normatief kader op  het gebied van netwerk- en 
informatiebeveiliging; 
(2) Preventie, detectie en respons  – de paraatheid verbeteren  door bij te dragen tot een 
Europese capaciteit voor vroege waar schuwing en respons op incidenten, pan-
Europese noodplannen en oefeningen; 
(3) Ondersteuning van de beleidsvorming  – bijstand en advies verstrekken aan de 
Commissie en de lidstaten; 
(4) Empowerment van belanghebbenden  – een cultuur van beveil iging en risicobeheer 
ontwikkelen door informatie-uitwisseling en brede samenwerking tu ssen actoren uit de 
publieke en de private sector aan te mo edigen, ook rechtstreeks ten behoeve van de 
burger en het mkb, en door een cultuur  van bewustzijn van netwerk- en 
informatiebeveiliging tot stand te brengen; 
(5) Van Europa een leefbare speler make n in de internationale context  – een hoog 
niveau van samenwerking met derde landen en  internationale organisaties tot stand 
brengen om een gemeenschappelijke mo ndiale benadering van netwerk- en 
informatiebeveiliging te be vorderen en om ervoor te zo rgen dat internationale 
activiteiten op hoog niveau in Eu ropa hun effect niet missen; 
(6) Coöperatieve tenuitvoerlegging  – samenwerking bevorderen bij de tenuitvoerlegging 
van beleid op het gebied van netw erk- en informatiebeveiliging; 
NL 7   NL (7) Cybercriminaliteit bestrijden  – een effectief antwoord bieden op aspecten van 
cybercriminaliteit die te maken hebben me t netwerk- en informatiebeveiliging, via 
samenwerking met autoriteiten van de (voorma lige) tweede en derde pijlers, bijv. met 
Europol. 
5. MOGELIJKE ORGANISATIEVORMEN EN BELEIDSOPTIES  
In de effectbeoordeling (hoofdstuk 4 en bijlage 4) worden een aantal mogelijke 
organisatievormen onderzocht om de bovenvermelde beleids opties ten uitvoer te leggen, 
waaronder: (i) een agentschap, (ii) een min of  meer formeel publiek-privaat partnerschap 
(PPP), (iii) een informeel contactnetwerk, (iv)  een permanent netwerk van bevoegde organen, 
en (v) directe integratie in een  dienst van de Commissie.  
Uit een vergelijking van deze verschillende organisatievormen blijkt dat een agentschap het 
best geschikt is als beleidsinstrument omdat het voordelen biedt inzake: (1) de 
rechtszekerheid van de organisatiestructuur en de inhoud, (2) de geschiktheid voor de 
specifieke kenmerken van een gevoelige sector als netwerk- en informatiebeveiliging (externe deskundigheid, coördinatie van de relaties met belanghebbende n, betrokkenheid/engagement 
van lidstaten) en (3) de aanva arding en goede reputatie van ENISA in de gemeenschap die 
zich bezighoudt met netwerk- en informatiebeveiliging. 
Bij de gedetailleerde beoordeli ng van de volgende beleidsopties is dan ook uitgegaan van een 
agentschap als organisatievorm. 
Beleidsoptie 1: geen beleid  
Dit betekent dat het ENISA na maart 2012 ophoudt te bestaan en dat geen  enkele andere EU-
instelling haar taken of een deel ervan overneemt.  
Het sluiten van het ENISA betekent dat alle  investeringen die to t dusver zijn gedaan, 
bijvoorbeeld voor het opzetten van een organisatie die in staat is hooggespecialiseerde 
mensen aan te trekken, voor het opbouwen va n ervaring, voor het tot stand brengen van 
netwerken met en tussen belanghebbenden en met internationale instel lingen, stilvallen op een 
ogenblik dat het Agentschap op kruissnelheid is gekomen.  
Het complexe karakter van netwerk- en info rmatiebeveiliging in heel Europa vergt een 
modernisering en versterking va n het Agentschap, niet de slu iting ervan. Dit wordt bevestigd 
door de expliciete rol die aan het ENISA is  toegekend, bijvoorbeeld in het hervormde 
regelgevingskader voor elektronische communicatie
10, en door het feit dat de 
belanghebbenden expliciet voorstan der zijn van een prominente re rol voor een Europees 
Agentschap inzake netwerk- en informatiebeveiliging.  
Beleidsoptie 2: ongewijzigde voortzetting van het huidige beleid  
Dit is het 'business as usual' -scenario, d.w.z. een voortzetting va n hetzelfde beleidsinstrument 
in een identieke vorm en met dezelfde middelen. Bij de belanghebbenden heerst een algemene 
consensus dat het ENISA is uitgegroeid tot een geloofwaardig referentiepunt voor kwesties 
                                                 
10 Zie http://eur-lex.europa.eu/JOHtml.do?uri=OJ:L:2009:337:SOM:NL:HTML. 
NL 8   NL met betrekking tot netwerk- en informatiebevei liging en dat het zich heeft ontwikkeld tot een 
centrum van uitmuntendheid op zijn domein.  
Gezien de huidige beperkinge n inzake personeel en begroting kan het Agentschap slechts 
invloed uitoefenen op een zeer beperkt aanta l kwesties met betrekking tot netwerk- en 
informatiebeveiliging. Dit ligt niet in de lijn van de al gemene verwachtingen van de 
belanghebbenden. Als het Agentschap niet de moge lijkheid krijgt zich ve rder te ontwikkelen 
en tegemoet te komen aan de toenemende verwachtingen, kan dit uiteindelijk tot een 
geloofwaardigheidscrisis leiden.  
Beleidsoptie 3: de huidige functies van he t ENISA uitbreiden en ordehandhavings- en 
privacybeschermingsautoriteiten aan het ENISA toevoegen als volwaardige 
belanghebbenden  
Dit betekent dat de rol van het Agentschap in zake netwerk- en informatiebeveiliging wordt 
uitgebreid tot: 
• het tot stand brengen en in stand houde n van een verbindingsnetwerk tussen 
belanghebbenden en een kennisnetwerk; 
• dienst doen als ondersteuningscentrum voor netw erk- en informatiebeveiliging met het oog 
op de ontwikkeling en toepassing  van het beleid (met name met betrekking tot e-privacy, 
e-sign, e-ID en aanbestedingsnormen voor netwerk- en informatiebeveiliging); 
• het EU-beleid inzake de bescherming van kr itieke informatie-infrastructuur en de 
veerkracht van die infrastructuur ondersteunen (bijv. oefeningen, EP3R11, Europees 
informatie-uitwisselings- en waarschuwingssysteem enz.); 
• het opzetten van een EU-kader voor het ve rzamelen van gegevens met betrekking tot 
netwerk- en informatiebeveiliging, inclusief het ontwikkelen van methoden en praktijken 
voor wettelijke rapportering en uitwisseling; 
• de economische aspecten van netwerk- en info rmatiebeveiliging bestuderen en er verslag 
over uitbrengen; 
• het stimuleren van samenwerking met derde land en en internationale organisaties om een 
gemeenschappelijke mondiale benadering van netwerk- en inform atiebeveiliging te 
bevorderen en om ervoor te zorg en dat internationale  activiteiten op hoog niveau in Europa 
hun effect niet missen;  
• het uitvoeren van niet-operationele taken me t betrekking tot aspecten van netwerk- en 
informatiebeveiliging die verband houde n met ordehandhaving en gerechtelijke 
samenwerking.  
Het Agentschap moet kunnen beschikken over alle nodige middelen om zijn activiteiten 
zodanig uit te voeren dat ze werkelijk eff ect hebben. Als het ENISA over meer middelen 
beschikt, kan het een veel proactievere rol spelen en meer initia tieven nemen om de 
belanghebbenden aan te moedigen tot actieve par ticipatie. Deze nieuwe situatie zou het ook 
mogelijk maken flexibeler en sneller te reageren op veranderingen in de voortdurend evoluerende omstandigheden op het gebied van netwerk- en informatiebeveiliging. 
                                                
 
11 Europees publiekprivaat partnerschap voor veerkracht, zie COM(2009) 149. 
NL 9   NL Beleidsoptie 4: extra taken toekennen op het gebi ed van de strijd tegen cybercriminaliteit en 
respons op cyberincidenten  
Dit betekent dat het Agentschap, naast de act iviteiten die onder optie 3 zijn vermeld, ook 
operationele taken op zich neemt,  zoals het vervullen van een act ievere rol in de bescherming 
van kritieke informatie-infrast ructuur in de EU, bijvoorbeeld wat de preventie van en de 
respons op incidenten betreft, met name door op te treden als het EU- 
computercalamiteitenteam voor netwerk- en in formatiebeveiliging en door de nationale 
computercalamiteitenteams te coördineren to t een EU-noodcentrum inzake netwerk- en 
informatiebeveiliging, inclusief dagelijks beheer en nooddiensten.  
Deze optie vereist een aanzienli jke toename van de begroting en het personeelsbestand van 
het Agentschap, hetgeen bezorgdheid doet rijzen over het opnemingsvermogen van het Agentschap en het effectieve gebruik van de  begroting in verhouding tot de te behalen 
voordelen.  
Beleidsoptie 5: extra taken toekennen wat de ondersteuning van ordehandhavings- en 
gerechtelijke autoriteiten bij het best rijden van cybercriminaliteit betreft  
Dit betekent dat het Agentschap, naast de onder optie 4 vermelde activiteiten, ook de 
volgende taken op zich neemt: 
• steun verlenen met betrekking tot proce durele wetgeving (cf. de conventie over 
cybercriminaliteit): bijv. het verzamelen van verkeersgegevens, het onderscheppen van 
inhoudgegevens, het volgen van gegevensstrome n in het geval van "denial-of-service"-
aanvallen; 
• optreden als centrum van deskundigheid voor strafrechtelijke onderzoeken die betrekking 
hebben op aspecten van netwerk-  en informatiebeveiliging. 
Zoals bij optie 4 zou ook deze optie een aanz ienlijke toename van de middelen van het 
Agentschap vergen en soortgelijke bezorgdheid  doen rijzen over het opnemingsvermogen van 
het Agentschap en het effectieve gebruik van de begroting. 
6. V
ERGELIJKING VAN DE BELEIDSOPTIES EN BEOORDELING VAN DE GEVOLGEN  
Uit de analyse van de mogelijke economisch e, sociale en milieueffecten blijkt dat optie 1  
negatieve gevolgen zou hebben op al deze gebieden en zou leiden tot een verslechtering van de situatie.  
Ook optie 2  blijkt suboptimaal te zijn omdat het Agen tschap niet over de nodige middelen zou 
beschikken om op passende wijze het hoofd te bied en aan de uitdaginge n van de voortdurend 
veranderende situatie in zake netwerk- en informatiebeveilig ing, hetgeen de reputatie van het 
Agentschap kan aantasten en uiteindelijk tot een geloofwaardighe idscrisis kan leiden. 
De in optie 3  voorgestelde modernisering van het Agentschap inzake netwerk- en 
informatiebeveiliging zou bijdragen tot: 
een beperking van de versnippering van de nationale benaderingen (probleem 1), een 
verbetering van het kennis-/informatiegebaseer d beleid en van de beleidsvorming (probleem 
3) en een verhoging van het algemene bewust zijn van en de aanpak van risico's en 
uitdagingen op het gebied van netwerk- en in formatiebeveiliging (probleem 4) door bij te 
dragen tot: 
NL 10   NL • efficiëntere verzameling van relevante in formatie over risico's, bedreigingen en 
kwetsbare punten door elke individuele lidstaat; 
• grotere beschikbaarheid van informatie over huidige en toekomstige uitdagingen 
en risico's op het gebied van netw erk- en informatiebeveiliging; 
• een verbetering van de kwaliteit va n het beleid inzake netwerk- en 
informatiebeveiliging in de lidstaten;  
een verbetering van de Europese capac iteit voor vroegtijdig e waarschuwing en 
incidentenrespons (probleem 2), door: 
• de Commissie en de lidstaten te help en bij het opzetten van pan-Europese 
diensten, hetgeen schaalvoordelen oplev ert bij het reageren op EU-wijde 
incidenten; 
• de werking van EP3R te vergemakkelijke n, wat uiteindelijk to t gevolg kan hebben 
dat gemeenschappelijke beleidsdoels tellingen en EU-wijde normen voor 
beveiliging en veerkracht leid en tot grotere investeringen; 
het stimuleren van een gemeenschappelijk e mondiale benadering van netwerk- en 
informatiebeveiliging (probleem 5), door: 
• meer informatie en kennis uit te  wisselen met niet-EU-landen; 
efficiëntere en effectievere  bestrijding van cybercriminaliteit (probleem 7), door: 
• deel te nemen aan niet-operationele taken met betrekking tot aspecten van 
ordehandhaving en gerechtelijke samenw erking die verband houden met netwerk- 
en informatiebeveiliging, zoals de uitw isseling van informatie  en opleidingen in 
twee richtingen (bijv. in samenwerki ng met de Europese Politieacademie 
CEPOL). 
Optie 4 zou op operationeel niveau een groter effect hebben dan optie  3. Door op te treden als 
EU-computercalamiteitenteam inzake netwerk- en informatiebeveiliging en door de nationale 
computercalamiteitenteams te coördineren zo u het Agentschap bijdragen tot grotere 
schaalvoordelen bij het reageren op EU-wijde in cidenten en tot lagere operationele risico's 
voor het bedrijfsleven door het hogere ni veau van beveiliging en veerkracht. 
Optie 5  zou leiden tot grotere effectiviteit bij het bestrijden van cybercriminaliteit dan opties 3 
en 4 omdat het Agentschap extra taken zou krijgen ter ondersteuning van de 
ordehandhavings- en gerechtelijke autoriteiten. 
Hoewel zowel optie 4 als 5 een groter positief effect zou hebbe n dan optie 3, liggen deze twee 
opties politiek gevoelig voor een aantal lidstaten omdat ze er geen voorstander van zijn bevoegdheden inzake de bescherming van kritieke informatie-infrastruct uur af te staan aan 
een centraal agentschap). Bovendi en zou de in opties 4 en 5 onderzochte uitbreiding van het 
mandaat het Agentschap in een ambigue positie  brengen. Ten slotte kan de toevoeging van 
deze nieuwe en volledig verschillende operatione le taken aan het mandaat van het Agentschap 
op korte termijn een grote uitdag ing vormen, met een reëel risico dat het Agentschap niet in 
staat zou zijn deze taken goed uit te voeren binne n een redelijke termijn. Ten slotte zijn de 
NL 11   NL kosten van de tenuitvoerlegging van opties 4 en 5 veel te hoog - dit zou een vervier- of 
vervijfvoudiging van de huidige be groting van het ENISA vergen. 
Bij het vergelijken van het effect van de vijf beleidsopties  voor de organisatievorm van een 
gemoderniseerd Agentschap inzake netwerk- en informatiebeveiliging, moeten opties 1 en 2 
worden afgewezen omdat geen van beide het m ogelijk maakt deze complexe materie adequaat 
aan te pakken op EU-niveau. Opties 3, 4 en 5 zo uden het daarentegen wel mogelijk maken de 
toekomstige opties van het beleid inzake netwerk- en informatiebeveiliging op passende wijze aan te pakken. Opties 4 en 5 lijken voorlopig te ambitieus, zowel wegens de politieke 
gevoeligheid van de meerderheid van de lidstat en als wegens de gevolgen voor de begroting. 
Daarom lijkt optie 3 de beste optie om de zeven vastgestelde problemen op het gebied van 
netwerk- en informatiebeveiliging zo  efficiënt mogelijk aan te pakken . 
7. M
ONITORING EN EVALUATIE : HOE KUNNEN DE WERKELIJKE KOSTEN EN BATEN EN 
DE MATE WAARIN DE GEWENSTE EFFECTEN ZIJN BEREIKT , WORDEN GEMETEN ? 
Dit beleidsinitiatief voorziet in periodieke evaluaties die door de  Commissie naar het 
Europees Parlement en de Raad worden gest uurd en openbaar worden gemaakt. In deze 
evaluaties wordt rekening gehouden met de sta ndpunten van alle relevante belanghebbenden, 
op basis van het referentiekader dat met de raad van bestuur van het Agentschap is 
overeengekomen, en wordt beoordeeld of het Ag entschap zijn doelstellingen effectief heeft 
bereikt, of het Agentschap nog steeds een effec tief instrument is en of wijzigingen moeten 
worden aangebracht aan het mandaat van het Ag entschap en/of aan andere punten van de 
oprichtingsverordening. Na afl oop van een evaluatie verstrekt de raad van bestuur van het 
Agentschap aanbevelingen aan de Commissie ove r passende wijzigingen van de verordening. 
De raad van bestuur en de u itvoerend directeur van het Agen tschap houden rekening met de 
resultaten van de evaluaties in de  meerjarenplanning van het Agentschap. 
De activiteiten van het Agentschap st aan onder het toezicht van de Ombudsman, 
overeenkomstig artikel 228 van het Verdrag.