KOMISJA EUROPEJSKA Bruksela, dnia 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie „Agencji UE ds. Bezpieczeństwa Cybernetycznego” ENISA, uchylenia rozporządzenia (UE) nr 526/2013 oraz certyfikacji bezpieczeństwa cybernetycznego w zakresie technologii informacyjno-komunikacyjnych („akt ws. bezpieczeństwa cybernetycznego”) (Tekst mający znaczenie dla EOG) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



UZASADNIENIE 1.KONTEKST WNIOSKU •Przyczyny i cele wniosku Unia Europejska podjęła liczne działania, mające na celu zwiększenie odporności i wzmocnienie swojej gotowości w zakresie bezpieczeństwa cybernetycznego. W pierwszej strategii bezpieczeństwa cybernetycznego UE, przyjętej w 2013 r., określono strategiczne cele i konkretne działania, prowadzące – w odniesieniu do UE – do uzyskania odporności, ograniczenia przestępczości cybernetycznej, stworzenia polityki obrony cybernetycznej i zdolności w tym zakresie, rozbudowy zasobów przemysłowych i technologicznych oraz ustanowienia spójnej międzynarodowej polityki dotyczącej cyberprzestrzeni. Od tamtej pory wiele się wydarzyło, między innymi zwłaszcza udzielono kolejnego mandatu Agencji Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji (ENISA) i przyjęto dyrektywę w sprawie bezpieczeństwa sieci i systemów informatycznych (dyrektywę w sprawie bezpieczeństwa sieci i informacji), które to działania stanowią podstawę dla niniejszego wniosku. Ponadto w 2016 r. Komisja Europejska przyjęła komunikat „Wzmacnianie europejskiego systemu odporności cybernetycznej oraz wspieranie konkurencyjnego i innowacyjnego sektora bezpieczeństwa cybernetycznego”, w którym zapowiedziano wprowadzenie dalszych środków, mających na celu przyspieszenie współpracy, wymiany informacji i wiedzy oraz zwiększenie odporności i gotowości UE, także z uwzględnieniem możliwości wystąpienia w przyszłości incydentów na dużą skalę i potencjalnego ogólnoeuropejskiego kryzysu cybernetycznego. W związku z tym Komisja zapowiedziała, że przedstawi ocenę i przegląd rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 526/2013 w sprawie Agencji Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji oraz uchylającego rozporządzenie (WE) nr 460/2004 (rozporządzenia w sprawie ENISA). Procedura oceny może doprowadzić do ewentualnej reformy Agencji i zwiększenia jej zdolności i potencjału do wspierania państw członkowskich w sposób trwały. Nadałoby to Agencji bardziej operacyjną i centralną rolę w uzyskiwaniu odporności w zakresie bezpieczeństwa cybernetycznego i potwierdziło w jej nowym mandacie nowe obowiązki w ramach dyrektywy w sprawie bezpieczeństwa sieci i informacji. Dyrektywa w sprawie bezpieczeństwa sieci i informacji jest pierwszym ważnym krokiem prowadzącym do propagowania kultury zarządzania ryzykiem przez wprowadzenie wymogów w zakresie bezpieczeństwa jako zobowiązań prawnych dla kluczowych zainteresowanych podmiotów gospodarczych, zwłaszcza świadczących usługi o zasadniczym znaczeniu (operatorzy usług kluczowych) oraz dostawców niektórych kluczowych usług cyfrowych (dostawcy usług cyfrowych). W sytuacji, gdy wymogi bezpieczeństwa są postrzegane jako niezbędne do zapewnienia korzyści wynikających z rozwoju cyfryzacji społeczeństwa, oraz z uwagi na gwałtowne rozpowszechnienie urządzeń podłączonych do internetu (internet rzeczy – ang. the Internet of Things, IoT) w komunikacie z 2016 r. wysunięto też pomysł utworzenia ram certyfikacji bezpieczeństwa produktów i usług ICT w celu zwiększenia poziomu zaufania i bezpieczeństwa na jednolitym rynku cyfrowym. Certyfikacja bezpieczeństwa cybernetycznego ICT staje się szczególnie istotna w świetle zwiększonego stosowania technologii wymagających wysokiego poziomu bezpieczeństwa cybernetycznego, takich jak automatyczne i zintegrowane z siecią samochody, e-zdrowie bądź systemy sterowania automatyki przemysłowej (IACS). Wspomniane środki polityczne i komunikaty zostały dodatkowo wzmocnione przez konkluzje Rady z 2016 r., w których przyznano, że „zagrożenia i słabości cybernetyczne ciągle ewoluują i wzmagają się, co będzie wymagać stałej i bliższej współpracy, zwłaszcza w obliczu transgranicznych incydentów na dużą skalę dotyczących bezpieczeństwa cybernetycznego”. W konkluzjach ponownie podkreślono, że „rozporządzenie w sprawie ENISA jest jednym z głównych elementów unijnych ram odporności cybernetycznej”, i wezwano Komisję do podjęcia dalszych działań w celu rozwiązania kwestii certyfikacji na poziomie europejskim. Ustanowienie systemu certyfikacji wymagałoby wprowadzenia stosownego systemu administrowania na poziomie unijnym, obejmującego dogłębną wiedzę ekspercką zapewnianą przez niezależną agencję UE. W odniesieniu do tej kwestii w niniejszym wniosku wskazano ENISA jako nasuwający się w sposób oczywisty podmiot unijny, właściwy w zakresie zagadnień bezpieczeństwa cybernetycznego, który powinien przyjąć taką rolę w celu zintegrowania i koordynacji działań krajowych właściwych podmiotów zajmujących się certyfikacją. W komunikacie w sprawie śródokresowego przeglądu strategii jednolitego rynku cyfrowego z maja 2017 r. Komisja stwierdziła następnie, że do września 2017 r. dokona przeglądu mandatu ENISA. Ma to na celu określenie roli tej agencji w zmienionym ekosystemie bezpieczeństwa cybernetycznego i opracowanie środków dotyczących norm bezpieczeństwa cybernetycznego, certyfikacji i etykietowania, tak aby zwiększyć poziom bezpieczeństwa cybernetycznego systemów opartych na technologiach informacyjno-telekomunikacyjnych, w tym urządzeń podłączonych do internetu. W konkluzjach Rady Europejskiej z czerwca 2017 r. z zadowoleniem przyjęto fakt, że Komisja zamierza we wrześniu dokonać przeglądu strategii bezpieczeństwa cybernetycznego i przed końcem roku 2017 zaproponować kolejne ukierunkowane działania. W proponowanym rozporządzeniu przewidziano kompleksowy zestaw środków, które opierają się na dotychczasowych działaniach i wspierają osiągniecie wzajemnie się wzmacniających celów szczegółowych: ·zwiększenie zdolności i gotowości państw członkowskich i przedsiębiorstw; ·poprawa współpracy i koordynacji między państwami członkowskimi a instytucjami, agencjami i organami UE; ·zwiększenie zdolności na poziomie unijnym do uzupełniania działań państw członkowskich, zwłaszcza w przypadku transgranicznych kryzysów cybernetycznych; ·podnoszenie poziomu świadomości obywateli i przedsiębiorstw na temat bezpieczeństwa cybernetycznego; ·zwiększanie ogólnej przejrzystości procesu zapewniania bezpieczeństwa cybernetycznego produktów i usług ICT w celu wzmocnienia zaufania do jednolitego rynku cyfrowego i innowacji cyfrowych; oraz ·unikanie rozdrobnienia systemów certyfikacji w UE oraz powiązanych wymogów w zakresie bezpieczeństwa i kryteriów oceny we wszystkich państwach członkowskich i sektorach. Poniższa część uzasadnienia wyjaśnia bardziej szczegółowo powody niniejszej inicjatywy w odniesieniu do proponowanych działań dotyczących agencji ENISA i certyfikacji bezpieczeństwa cybernetycznego.





ENISA ENISA działa jako ośrodek wiedzy specjalistycznej, mający za zadanie zwiększanie bezpieczeństwa sieci i informacji w Unii oraz wspieranie budowania zdolności państw członkowskich. ENISA została powołana w 2004 r. z zadaniem przyczynienia się do osiągnięcia ogólnego celu, którym jest zapewnienie wysokiego poziomu bezpieczeństwa sieci i informacji w UE. W 2013 r. rozporządzeniem (UE) nr 526/2013 ustanowiono nowy mandat Agencji na okres siedmiu lat, do 2020 r. Biura Agencja znajdują się w Grecji; siedzibą administracyjną jest Heraklion (na Krecie), a podstawowa działalność jest prowadzona w Atenach. W porównaniu ze wszystkimi agencjami UE ENISA jest niewielką agencją o niskim budżecie i małej liczbie pracowników. Jej mandat jest określony czasowo. ENISA wspomaga instytucje europejskie, państwa członkowskie oraz sektor przedsiębiorczości w rozwiązywaniu problemów związanych z bezpieczeństwem sieci i informacji, reagowaniu na nie, a przede wszystkim zapobieganiu im. Dokonuje tego za pomocą ciągu działań w pięciu obszarach określonych w jej strategii:: ·Wiedza fachowa: dostarczanie informacji i wiedzy specjalistycznej na temat kluczowych kwestii dotyczących bezpieczeństwa sieci i informacji. ·Działania polityczne: wspieranie kształtowania polityki i jej realizowania w Unii. ·Potencjał: wspomaganie budowania potencjału w całej Unii (np. za pomocą szkoleń, zaleceń, działań podnoszących poziom wiedzy). ·Wspólnota: sprzyjanie tworzeniu wspólnoty bezpieczeństwa sieci i informacji (np. wspieranie zespołów reagowania na incydenty komputerowe (CERT), koordynacja ogólnoeuropejskich ćwiczeń w dziedzinie bezpieczeństwa cybernetycznego). ·Ułatwianie (np. wchodzenie w relacje z zainteresowanymi stronami i kontakty międzynarodowe). W trakcie uzgadniania treści dyrektywy w sprawie bezpieczeństwa sieci i informacji unijni współprawodawcy postanowili przypisać ENISA istotną rolę we wdrażaniu tej dyrektywy. W szczególności Agencja zapewnia sekretariat sieci CSIRT (utworzonej w celu wspierania sprawnej i skutecznej współpracy operacyjnej między państwami członkowskimi w zakresie konkretnych incydentów cybernetycznych i wymiany informacji o ryzyku). Jej zadaniem jest również pomoc grupie współpracy w wykonywaniu jej zadań. Ponadto dyrektywa nakłada na ENISA obowiązek pomocy państwom członkowskim i Komisji przez zapewnianie wiedzy fachowej i doradztwa oraz ułatwianie wymiany najlepszych praktyk. Zgodnie z rozporządzeniem ws. ENISA Komisja przeprowadziła ocenę Agencji, która obejmuje przeprowadzenie niezależnego badania oraz konsultacje publiczne. W ramach oceny analizowano istotność, wpływ, skuteczność, wydajność, spójność działań Agencji oraz wnoszoną przez nią europejską wartość dodaną w odniesieniu do osiągnięć Agencji, zarządzania, wewnętrznej struktury organizacyjnej i praktyki działania w latach 2013–2016. Ogólne wyniki ENISA zostały pozytywnie ocenione przez większość respondentów (74 %) uczestniczących w konsultacjach publicznych. Poza tym większość respondentów uznała, że ENISA osiąga swoje różne cele (co najmniej 63 % w odniesieniu do każdego z celów). Usługi i produkty ENISA są regularnie (co miesiąc lub częściej) wykorzystywane przez prawie połowę respondentów (46 %) i doceniane ze względu na fakt, iż ich źródłem jest jednostka na szczeblu unijnym (83 %), oraz z racji swojej jakości (62 %). Znaczna większość (88 %) respondentów uważa jednak, że obecne instrumenty i mechanizmy dostępne na szczeblu UE są niewystarczające lub jedynie częściowo odpowiednie, by stawić czoło aktualnym wyzwaniom w dziedzinie bezpieczeństwa cybernetycznego. Przeważająca większość respondentów (98 %) wskazywała, że kwestią tych potrzeb powinien się zająć podmiot unijny, a ENISA została uznana przez 99 % respondentów za właściwą do tego organizację. Ponadto 67,5 % respondentów było zdania, że ENISA może odgrywać rolę w tworzeniu zharmonizowanych ram certyfikacji bezpieczeństwa produktów i usług IT. W wyniku ogólnej oceny (nie tylko w oparciu o konsultacje publiczne, ale również o szereg indywidualnych wywiadów, dodatkowych ukierunkowanych badań i warsztatów) sformułowano następujące wnioski: ·Cele ENISA pozostają aktualne. W warunkach szybkiego rozwoju technologicznego i zmieniających się zagrożeń i w świetle rosnącego globalnego ryzyka cybernetycznego istnieje w UE wyraźna potrzeba wspierania i dalszego pogłębienia fachowej wiedzy technicznej w zakresie bezpieczeństwa cybernetycznego. W państwach członkowskich należy budować potencjał do rozumienia zagrożeń i reagowania na nie, a zainteresowane strony muszą współpracować przekrojowo w obszarach tematycznych i międzyinstytucjonalnie. ·Mimo niskiego budżetu Agencja jest operacyjnie skuteczna w wykorzystywaniu zasobów oraz w wykonywaniu swoich zadań. Rozdzielenie siedzib między Atenami i Heraklionem powodowało jednak również dodatkowe koszty administracyjne. ·ENISA częściowo spełniła swoje cele pod względem skuteczności. Agencja z powodzeniem przyczyniła się do poprawy bezpieczeństwa sieci i informacji w Europie poprzez zapewnienie budowania zdolności w 28 państwach członkowskich, ułatwianie współpracy między państwami członkowskimi a zainteresowanymi stronami z obszaru bezpieczeństwa sieci i informacji w Europie oraz poprzez zapewnianie wiedzy specjalistycznej, tworzenie wspólnoty i wspieranie kształtowania polityki. Generalnie ENISA z należytą starannością skupiła się na realizacji swojego programu prac i działała jako wiarygodny partner na rzecz zainteresowanych stron w dziedzinie, którą dopiero niedawno uznano za tak istotną w wymiarze transgranicznym.

·ENISA zdołała zaznaczyć swój wpływ, przynajmniej w pewnym wymiarze, w rozległym obszarze bezpieczeństwa sieci i informacji, ale nie osiągnęła pełnego sukcesu w budowaniu silnej marki oraz nie uzyskała pozycji wystarczającej do uznania jej za główny ośrodek wiedzy specjalistycznej w Europie. Wyjaśnienie tego kryje się w szerokim zakresie mandatu ENISA, która nie została odpowiednio wyposażona w wystarczające środki. Ponadto ENISA jest jedyną agencją UE z mandatem na czas określony, co ogranicza jej zdolność do opracowania długofalowej wizji i odpowiedniego świadczenia działalności na rzecz zainteresowanych stron. Stoi to również w sprzeczności z przepisami dyrektywy w sprawie bezpieczeństwa sieci i informacji, w której powierzono ENISA zadania bez daty końcowej. Wreszcie, z oceny wynika, że ograniczoną skuteczność można częściowo wytłumaczyć dużą zależnością od zewnętrznej wiedzy specjalistycznej przeważającej nad doświadczeniem własnym oraz trudnościami w pozyskaniu i zatrzymywaniu wyspecjalizowanych pracowników. ·Ostatnim, ale nie najmniej istotnym wnioskiem z oceny jest stwierdzenie, że wartość dodana ENISA polega przede wszystkim na jej zdolności ułatwiania współpracy głównie między państwami członkowskimi, zwłaszcza zaś między powiązanymi wspólnotami z obszaru bezpieczeństwa sieci i informacji (w szczególności między CSIRT). Na poziomie UE nie ma innego podmiotu, który obsługiwałby tak szeroki zakres podmiotów związanych z bezpieczeństwem sieci i informacji. Wskutek konieczności ścisłego określenia priorytetów działań program prac ENISA ukształtowany jest jednak głównie pod kątem potrzeb państw członkowskich. W rezultacie Agencja nie odpowiada w wystarczającym stopniu na potrzeby innych zainteresowanych stron, zwłaszcza przemysłu. Powoduje to również, że działanie Agencji jest reaktywne w stosunku do potrzeb kluczowych zainteresowanych podmiotów i uniemożliwia jej osiągnięcie większego wpływu. Dlatego wartość dodana zapewniana przez Agencję była różna, w zależności od różnych potrzeb zainteresowanych stron i od zakresu, w jakim Agencja była w stanie na nie reagować (np. potrzeby dużych państw wobec potrzeb państw małych; państwa członkowskie a przemysł). Ogólnie, wyniki konsultacji z zainteresowanymi stronami i oceny wskazywały, że należy dostosować zasoby i mandat ENISA, tak aby mogła ona odgrywać odpowiednią rolę w reagowaniu na obecne i przyszłe wyzwania. Biorąc pod uwagę te wyniki, w niniejszym wniosku dokonuje się przeglądu obecnego mandatu ENISA i ustanawia nowy szereg zadań i funkcji w celu skutecznego i wydajnego wspierania działań państw członkowskich, instytucji UE i innych zainteresowanych stron na rzecz zagwarantowania bezpiecznej cyberprzestrzeni w Unii Europejskiej. Nowy zaproponowany mandat Agencji jest próbą zapewnienia silniejszej i bardziej centralnej roli, w szczególności poprzez wspieranie państw członkowskich we wdrażaniu dyrektywy w sprawie bezpieczeństwa sieci i informacji oraz aktywniejsze przeciwdziałanie zagrożeniom (zdolności operacyjne), a także w wyniku przekształcenia w ośrodek wiedzy fachowej wspomagający państwa członkowskie i Komisję w sprawie certyfikacji bezpieczeństwa cybernetycznego. W ramach niniejszego wniosku: ·ENISA otrzyma stały mandat i w ten sposób uzyska stabilne podstawy na przyszłość. Mandat, cele i zadania powinny nadal podlegać regularnemu przeglądowi. ·W proponowanym mandacie dookreślona zostanie rola ENISA jako agencji UE ds. bezpieczeństwa cybernetycznego i punktu odniesienia w ramach unijnego ekosystemu bezpieczeństwa cybernetycznego, działającej w ścisłej współpracy ze wszystkimi innymi odpowiednimi podmiotami tego ekosystemu. ·Organizacja i sposób zarządzania Agencją, które uzyskały pozytywną ocenę, zostaną nieco zmienione, zwłaszcza po to, aby zapewnić lepsze odzwierciedlenie potrzeb szerszej społeczności zainteresowanych stron w pracach Agencji. ·Wyznaczając proponowany zakres mandatu, wzmocniono te obszary, w których Agencja wniosła wyraźną wartość dodaną, i dodano nowe obszary, wymagające wsparcia z uwagi na nowe priorytety i instrumenty polityczne, w szczególności takie jak: dyrektywa w sprawie bezpieczeństwa sieci i informacji, przegląd strategii UE w zakresie bezpieczeństwa cybernetycznego, przygotowywany unijny plan działania na rzecz współpracy w sytuacjach kryzysowych w dziedzinie bezpieczeństwa cybernetycznego oraz certyfikacja bezpieczeństwa ICT: ·Opracowanie i wdrożenie polityki UE: ENISA miałaby za zadanie aktywne przyczynianie się do rozwoju polityki w dziedzinie bezpieczeństwa sieci i informacji, a także innych inicjatyw politycznych z elementami bezpieczeństwa cybernetycznego w różnych sektorach (np. energetyce, transporcie, finansach). Do tego celu uzyska silną rolę doradczą, którą będzie mogła wypełnić przez dostarczanie niezależnych opinii i prac przygotowawczych na potrzeby opracowania i aktualizacji polityki oraz przepisów prawa. ENISA będzie również wspierać unijne działania i prawo w obszarach łączności elektronicznej, tożsamości elektronicznej i usług zaufania, aby propagować wyższy poziom bezpieczeństwa cybernetycznego. Na etapie wdrażania, w szczególności w ramach grupy współpracy ds. bezpieczeństwa sieci i informacji, ENISA pomoże państwom członkowskim w osiągnięciu spójnego w wymiarze ponadgranicznym i ponadsektorowym podejścia do wdrożenia odnośnej dyrektywy oraz innych właściwych strategii politycznych i przepisów. Aby wesprzeć regularne przeglądy strategii politycznych oraz przepisów w obszarze bezpieczeństwa cybernetycznego, ENISA będzie także składać regularne sprawozdania na temat stanu wdrożenia unijnych ram prawnych. ·Budowanie zdolności: ENISA będzie przyczyniać się do zwiększenia zdolności i wiedzy fachowej organów unijnych i krajowych organów publicznych, w tym w zakresie reagowania na incydenty cybernetyczne i nadzoru nad środkami regulacyjnymi związanymi z bezpieczeństwem cybernetycznym. Od Agencji będzie się również wymagać uczestnictwa w tworzeniu ośrodków wymiany i analizy informacji (ang. Information Sharing and Analysis Centre, ISAC) w różnych sektorach poprzez zapewnienie najlepszych praktyk i wytycznych na temat dostępnych narzędzi i procedur, a także przez odpowiednie rozwiązanie kwestii regulacyjnych związanych z wymianą informacji. ·Wiedza i informacje, podnoszenie poziomu świadomości: ENISA mogłaby stać się unijnym centrum wymiany informacji. Oznaczałoby to propagowanie i wymianę najlepszych praktyk i inicjatyw w całej UE poprzez gromadzenie informacji na temat bezpieczeństwa cybernetycznego pochodzących z instytucji, agencji i organów unijnych i krajowych. Agencja świadczyłaby również doradztwo, udostępniała wskazówki i najlepsze praktyki w zakresie ochrony infrastruktury krytycznej. W następstwie poważnych transgranicznych incydentów cybernetycznych ENISA mogłaby ponadto sporządzać zbiorcze sprawozdania w celu zaoferowania wskazówek przedsiębiorstw i obywatelom w całej UE. Ten nurt działań mógłby również obejmować regularne organizowanie w koordynacji z organami państw członkowskich wydarzeń mających na celu upowszechnienie wiedzy. ·Zadania związane z rynkiem (normalizacja, certyfikacja bezpieczeństwa cybernetycznego): ENISA pełniłaby szereg funkcji w szczególny sposób wspierających rynek wewnętrzny i objęłaby swoim działaniem centrum monitorowania rynku bezpieczeństwa cybernetycznego przez analizę odpowiednich tendencji w ramach rynku bezpieczeństwa cybernetycznego, aby lepiej spełniał on wymogi podaży i popytu, a także przez wspomaganie kształtowania polityki UE w obszarach normalizacji ICT i certyfikacji bezpieczeństwa cybernetycznego ICT. W szczególności w odniesieniu do normalizacji ENISA ułatwiałaby tworzenie i wdrażanie norm dotyczących bezpieczeństwa cybernetycznego. Agencja wykonywałaby także zadania określone w odniesieniu do przyszłych ram certyfikacji (zob. sekcja poniżej). ·Badania naukowe i innowacje: ENISA wniesie swoją fachową wiedzę poprzez doradzanie UE i organom krajowym w kwestii priorytetów w zakresie badań i rozwoju, w tym w ramach umownego partnerstwa publiczno-prywatnego w dziedzinie bezpieczeństwa cybernetycznego (cPPP). Opinie ENISA na temat badań zostaną uwzględnione w nowym Europejskim Centrum Badań i Kompetencji w dziedzinie Bezpieczeństwa Cybernetycznego ujętym w kolejnych wieloletnich ramach finansowych. ENISA będzie również uczestniczyć, na prośbę Komisji, we wdrażaniu unijnych programów finansowania badań i innowacji. ·Współpraca operacyjna i zarządzanie kryzysowe: Ten nurt działań powinien być oparty na wzmacnianiu istniejącej zdolności operacyjnej w zakresie prewencji, zwłaszcza doskonaleniu ogólnoeuropejskich ćwiczeń w tej dziedzinie (Cyber Europe) przez ich coroczną organizację oraz na wspierającej roli Agencji we współpracy operacyjnej jako sekretariatu sieci CSIRT (zgodnie z dyrektywą w sprawie bezpieczeństwa sieci i informacji) za pośrednictwem, między innymi, dobrze funkcjonującej infrastruktury informatycznej i kanałów komunikacji sieci CSIRT. W tym zakresie potrzebna będzie uporządkowana współpraca z CERT-UE, Europejskim Centrum ds. Cyberprzestępczości (EC3) oraz innymi odnośnymi podmiotami unijnymi. Poza tym efektem uporządkowanej współpracy z CERT-UE, w bliskim fizycznym sąsiedztwie, powinno być zapewnienie pomocy technicznej w przypadku wystąpienia poważnych incydentów oraz wsparcie analizy incydentów. Państwa członkowskie otrzymałyby na żądanie pomoc w postępowaniu w przypadku incydentów i wsparcie analizy luk w zabezpieczeniach, artefaktów i incydentów w celu wzmocnienia ich zdolności w zakresie prewencji i zdolności reagowania. ·ENISA miałaby również do odegrania rolę w ramach unijnego planu działania w zakresie bezpieczeństwa cybernetycznego przedstawionego w ramach niniejszego pakietu oraz w ustalaniu zaleceń Komisji dla państw członkowskich na potrzeby skoordynowanego reagowania na szczeblu unijnym na transgraniczne incydenty cybernetyczne na dużą skalę i kryzysy cybernetyczne. ENISA będzie ułatwiać współpracę między poszczególnymi państwami członkowskimi w razie konieczności reagowania w sytuacjach kryzysowych poprzez analizę i agregowanie krajowych raportów sytuacyjnych w oparciu o informacje udostępnione Agencji przez państwa członkowskie i inne podmioty na zasadzie dobrowolności. ·Certyfikacja bezpieczeństwa cybernetycznego produktów i usług ICT W celu ustanowienia i utrzymania zaufania i bezpieczeństwa produkty i usługi ICT muszą bezpośrednio obejmować zabezpieczenia na wczesnym etapie projektowania i rozwoju technicznego („bezpieczeństwo na etapie projektowania”). Ponadto klienci i użytkownicy muszą mieć możliwość określenia poziomu zapewnienia bezpieczeństwa produktów i usług, które zamawiają lub kupują. Certyfikacja, która polega na formalnej ocenie produktów, usług i procesów przez niezależną i akredytowaną jednostkę w oparciu o określony zestaw norm i kryteriów oraz wydaniu świadectwa potwierdzającego zgodność, odgrywa ważną rolę w zwiększaniu zaufania do produktów i usług oraz ich bezpieczeństwa. Oceny bezpieczeństwa pozostają kwestią raczej techniczną, certyfikacja ma jednak na celu poinformowanie nabywców i użytkowników o właściwościach bezpieczeństwa nabywanych przez nich produktów i usług ICT oraz upewnienie ich o tych właściwościach. Jak wspomniano powyżej, jest to szczególnie istotne w przypadku nowych systemów, które w znacznym stopniu korzystają z technologii cyfrowych i które wymagają wysokiego poziomu bezpieczeństwa, takich jak np. samochody automatyczne połączone z systemami informatycznymi, e-zdrowie, systemy sterowania automatyki przemysłowej (IACS) lub inteligentne sieci. Aktualnie obszar certyfikacji bezpieczeństwa cybernetycznego produktów i usług ICT w UE jest dość rozczłonkowany. Pojawił się szereg inicjatyw międzynarodowych, takich jak tzw. wspólne kryteria (CC) oceny bezpieczeństwa technologii informatycznych (ISO 15408), które są normą międzynarodową na potrzeby oceny bezpieczeństwa komputerowego. Opierają się one na ocenie dokonanej przez osobę trzecią i obejmują siedem poziomów uzasadnionego zaufania (EAL). CC i towarzysząca im wspólna metodyka oceny bezpieczeństwa technologii informatycznych (CEM) stanowią techniczną podstawę zawarcia międzynarodowego porozumienia w sprawie wspólnych kryteriów uznawania (CCRA), które zapewnia, aby świadectwa CC były uznawane przez wszystkich sygnatariuszy CCRA. W obecnym brzmieniu CCRA tylko oceny do poziomu EAL 2 są jednak wzajemnie uznawane. Ponadto jedynie 13 państw członkowskich podpisało porozumienie.

Organy odpowiedzialne za certyfikację z 12 państw członkowskich zawarły porozumienie w sprawie wzajemnego uznawania w odniesieniu do świadectw wydanych zgodnie z porozumieniem na podstawie wspólnych kryteriów. Poza tym w państwach członkowskich funkcjonuje obecnie lub jest w fazie powoływania pewna liczba inicjatyw w zakresie certyfikacji technologii informacyjno-komunikacyjnych. Choć inicjatywy te są ważne, stwarzają ryzyko fragmentacji rynku i pojawienia się problemów dotyczących interoperacyjności. W konsekwencji przedsiębiorstwo może być zmuszone do poddania się kilku procedurom certyfikacji w różnych państwach członkowskich, aby móc oferować swój produkt na wielu rynkach. Na przykład wytwórca inteligentnego miernika, który chce sprzedawać swoje produkty w trzech państwach członkowskich, np. Niemczech, Francji i Zjednoczonym Królestwie, musi obecnie spełniać wymogi trzech różnych systemów certyfikacji. Są to: Commercial Product Assurance (CPA) w Zjednoczonym Królestwie, Certification de Sécurité de Premier Niveau (CSPN) we Francji (CSPN) i określony profil ochrony oparty na wspólnych kryteriach w Niemczech Sytuacja ta powoduje wyższe koszty i stanowi znaczne obciążenie administracyjne dla przedsiębiorstw prowadzących działalność w kilku państwach członkowskich. Koszty certyfikacji mogą wprawdzie znacznie się różnić w zależności od danego produktu/usługi, wymaganego poziomu uzasadnionego zaufania lub innych składników, ogólnie jednak są one dość wysokie dla przedsiębiorstw. Na przykład koszt certyfikatu BSI dla bramki sieciowej inteligentnego licznika wynosi ponad milion euro (najwyższy poziom badań i uzasadnionego zaufania; odnosi się nie tylko do jednego produktu, ale także do całej otaczającej infrastruktury). Koszty certyfikacji w przypadku inteligentnych liczników w Zjednoczonym Królestwie wynoszą prawie 150 000 EUR. We Francji koszty są podobne jak w Zjednoczonym Królestwie; wynoszą ok. 150 000 EUR lub więcej. Kluczowe zainteresowane strony z sektora publicznego i prywatnego przyznały, że w sytuacji braku ogólnounijnego systemu certyfikacji bezpieczeństwa cybernetycznego przedsiębiorstwa w wielu okolicznościach muszą indywidualnie poddawać się certyfikacji w poszczególnych państwach członkowskich, co prowadzi do fragmentacji rynku. Najważniejsze jest jednak, że wobec braku harmonizacji przepisów unijnych dotyczących produktów i usług ICT różnice w zakresie norm i praktyk certyfikacji bezpieczeństwa cybernetycznego w państwach członkowskich mogą praktycznie stworzyć 28 oddzielnych rynków bezpieczeństwa w UE, z których każdy będzie posiadać własne wymagania techniczne, metodykę przeprowadzania prób i procedury certyfikacji bezpieczeństwa cybernetycznego. Te rozbieżne podejścia na poziomie krajowym mogą powodować – w przypadku braku odpowiednich działań na szczeblu unijnym – znaczne przeszkody dla realizacji jednolitego rynku cyfrowego, spowalnianie lub uniemożliwienie uzyskania powiązanych pozytywnych efektów pod względem wzrostu gospodarczego i zatrudnienia. W oparciu o powyższe elementy w proponowanym rozporządzeniu ustanawia się europejskie ramy certyfikacji bezpieczeństwa cybernetycznego („ramy”) w odniesieniu do produktów i usług ICT oraz określa zasadnicze funkcje i zadania agencji ENISA w dziedzinie certyfikacji bezpieczeństwa cybernetycznego. W niniejszym wniosku określono ogólne zasady europejskiego systemu certyfikacji bezpieczeństwa cybernetycznego. Wniosek nie wprowadza bezpośrednio operacyjnych systemów certyfikacji, stwarza raczej system (ramy) ustanowienia poszczególnych systemów certyfikacji dla określonych produktów/usług ICT („europejskie systemy certyfikacji bezpieczeństwa cybernetycznego”). Stworzenie europejskich systemów certyfikacji bezpieczeństwa cybernetycznego zgodnie z ramami sprawi, że certyfikaty wydane w ramach tych systemów będą ważne i uznawane we wszystkich państwach członkowskich, oraz umożliwi uporządkowanie obecnej fragmentacji rynku. Generalnym celem europejskiego systemu certyfikacji bezpieczeństwa cybernetycznego jest potwierdzenie, że produkty i usługi ICT, które były certyfikowane zgodnie z takim systemem, spełniają określone wymogi w zakresie bezpieczeństwa cybernetycznego. Obejmowałoby to na przykład ich zdolności do ochrony danych (przechowywanych, przekazywanych lub przetwarzanych w inny sposób) przed przypadkowym lub nieupoważnionym przechowywaniem, przetwarzaniem, dostępem do nich, ujawnieniem, zniszczeniem, przypadkową utratą lub zmianą. Unijne systemy certyfikacji bezpieczeństwa cybernetycznego wykorzystywałyby istniejące normy w odniesieniu do wymogów technicznych i procedur oceny, z którymi te produkty muszą być zgodne, i w ich ramach nie opracowywano by własnych norm technicznych. Na przykład dzięki ogólnounijnej certyfikacji produktów takich jak inteligentne karty, które są obecnie badane pod kątem międzynarodowych norm CC w ramach wielostronnego systemu SOG-IS (opisanego powyżej), system ten zyskałby ważność w całej UE. Oprócz opracowania określonego zestawu celów w zakresie bezpieczeństwa, które należy brać pod uwagę przy projektowaniu konkretnego europejskiego systemu certyfikacji bezpieczeństwa cybernetycznego, we wniosku wskazano, jaki powinien być minimalny zakres treści takich systemów. W niektórych systemach konieczne będzie między innymi wskazanie pewnej liczby szczególnych elementów określających zakres i cel certyfikacji bezpieczeństwa cybernetycznego. Obejmuje to określenie kategorii produktów i usług objętych certyfikacją, szczegółową specyfikację wymogów bezpieczeństwa cybernetycznego (na przykład przez odesłanie do odnośnych norm lub specyfikacji technicznych), specyficzne kryteria i metody oceny oraz poziom pewności, które mają one zapewnić (tj. podstawowy, znaczny bądź wysoki). Europejskie systemy certyfikacji bezpieczeństwa cybernetycznego zostaną opracowane przez ENISA przy pomocy i w ścisłej współpracy z Europejską Grupą ds. Certyfikacji Bezpieczeństwa Cybernetycznego (zob. poniżej) i przyjęte przez Komisję w drodze aktów wykonawczych. W przypadku stwierdzenia potrzeby stworzenia systemu certyfikacji bezpieczeństwa cybernetycznego Komisja zwróci się do ENISA o przygotowanie takiego systemu w odniesieniu do konkretnych produktów lub usług ICT. ENISA będzie pracować nad systemem w ścisłej współpracy z krajowymi organami nadzorczymi odpowiedzialnymi za certyfikację, reprezentowanymi w grupie. Państwa członkowskie i grupa mogą zaproponować Komisji wystąpienie do ENISA o przygotowanie konkretnego systemu. Certyfikacja może być bardzo kosztownym procesem, co z kolei może prowadzić do wyższych cen dla klientów i konsumentów. Potrzeba certyfikacji może być też zróżnicowana w zależności od specyficznego kontekstu stosowania produktów i usług oraz szybkiego tempa zmian technologicznych. Skorzystanie z europejskiej certyfikacji bezpieczeństwa cybernetycznego powinno zatem pozostać dobrowolne, chyba że w unijnych przepisach określających wymogi w zakresie bezpieczeństwa produktów i usług ICT postanowiono inaczej. Aby zapewnić harmonizację i uniknąć rozdrobnienia, krajowe systemy lub procedury certyfikacji bezpieczeństwa cybernetycznego, odnoszące się do produktów i usług ICT objętych europejskim systemem certyfikacji bezpieczeństwa cybernetycznego, przestają obowiązywać od daty ustalonej w akcie wykonawczym przyjmującym przedmiotowy system. Państwa członkowskie nie powinny ponadto wprowadzać nowych krajowych systemów certyfikacji bezpieczeństwa cybernetycznego produktów i usług ICT objętych istniejącym europejskim systemem certyfikacji bezpieczeństwa cybernetycznego. Po przyjęciu europejskiego systemu certyfikacji bezpieczeństwa cybernetycznego wytwórcy produktów ICT i dostawcy usług ICT będą mogli złożyć wniosek o certyfikację swoich produktów lub usług do wybranej jednostki oceniającej zgodność. Jednostki oceniające zgodność powinny być akredytowane przez jednostkę akredytującą, jeśli spełniają pewne określone wymogi. Akredytacji udziela się na maksymalny okres pięciu lat i można ją odnowić na tych samych warunkach, o ile jednostka oceniająca zgodność spełnia wymogi. Jednostka akredytująca cofa akredytację danej jednostki oceniającej zgodność, jeżeli warunki akredytacji nie są lub już nie są spełnione, bądź w przypadku gdy działania podejmowane przez jednostkę oceniającą zgodność naruszają przepisy niniejszego rozporządzenia. Zgodnie z wnioskiem zadania związane z monitorowaniem, nadzorowaniem i egzekwowaniem przepisów pozostają w gestii państw członkowskich. Każde państwo członkowskie będzie musiało ustanowić jeden organ nadzoru ds. certyfikacji. Zadaniem tego organu będzie nadzorowanie zgodności jednostek oceniających zgodność oraz certyfikatów wydawanych przez jednostki oceniające zgodność mające siedzibę na terytorium danego państwa z wymogami określonymi w niniejszym rozporządzeniu i stosownymi europejskimi systemami certyfikacji bezpieczeństwa cybernetycznego. Krajowe organy nadzoru ds. certyfikacji będą właściwe do rozpatrywania skarg składanych przez osoby fizyczne i prawne w odniesieniu do certyfikatów wydawanych przez jednostki oceniające zgodność mające siedzibę na danym terytorium. W odpowiednim wymiarze będą one badać przedmiot skargi i informować skarżącego o postępach i wyniku dochodzenia w rozsądnym terminie. Ponadto będą współpracować z innymi organami nadzoru ds. certyfikacji bądź innymi organami publicznymi, na przykład poprzez wymianę informacji na temat ewentualnej niezgodności produktów i usług ICT z wymogami niniejszego rozporządzenia lub określonych europejskich systemów certyfikacji bezpieczeństwa cybernetycznego. We wniosku przewidziano też ustanowienie Europejskiej Grupy ds. Certyfikacji Bezpieczeństwa Cybernetycznego („Grupy”), złożonej z krajowych organów nadzoru ds. certyfikacji wszystkich państw członkowskich. Głównym zadaniem Grupy jest doradzanie Komisji w kwestiach dotyczących polityki certyfikacji bezpieczeństwa cybernetycznego oraz współpraca z ENISA przy opracowywaniu projektów europejskich systemów certyfikacji bezpieczeństwa cybernetycznego. ENISA będzie wspierać Komisję w zapewnieniu Grupie sekretariatu oraz utrzymywaniu i aktualizowaniu publicznego wykazu systemów zatwierdzonych zgodnie z europejskimi ramami certyfikacji bezpieczeństwa cybernetycznego. ENISA będzie również pozostawać w kontakcie z organami normalizacyjnymi w celu zapewnienia adekwatności norm stosowanych w zatwierdzonych systemach oraz określenia obszarów wymagających ustanowienia norm bezpieczeństwa cybernetycznego. Europejskie ramy certyfikacji bezpieczeństwa cybernetycznego („ramy”) przyniosą obywatelom i przedsiębiorstwom pewne korzyści. W szczególności: ·Dzięki stworzeniu ogólnounijnych systemów certyfikacji bezpieczeństwa cybernetycznego w odniesieniu do poszczególnych produktów lub usług powstanie swego rodzaju „punkt kontaktowy” dla przedsiębiorstw w zakresie certyfikacji bezpieczeństwa cybernetycznego w UE. Przedsiębiorstwa będą mogły poddawać swoje produkty certyfikacji tylko raz i otrzymać certyfikat ważny we wszystkich państwach członkowskich. Nie będą one zobowiązane do ponownej certyfikacji produktów przez różne krajowe organy certyfikacji. Obniży to znacznie koszty dla przedsiębiorstw, ułatwi działalność transgraniczną i ostatecznie zmniejszy i pozwoli uniknąć rozdrobnienia rynku wewnętrznego w odniesieniu do przedmiotowych produktów. ·Ramy te wprowadzają zasadę pierwszeństwa europejskich systemów certyfikacji bezpieczeństwa cybernetycznego nad systemami krajowymi: zgodnie z tą zasadą przyjęcie europejskiego systemu certyfikacji bezpieczeństwa cybernetycznego zastąpi wszystkie istniejące równolegle systemy krajowe w odniesieniu do tych samych produktów lub usług ICT na danym poziomie pewności. Poprawi to przejrzystość i ograniczy obecne rozpowszechnienie nakładających się i potencjalnie sprzecznych krajowych systemów certyfikacji bezpieczeństwa cybernetycznego. ·Wniosek wspiera i uzupełnia wdrożenie dyrektywy w sprawie bezpieczeństwa sieci i informacji poprzez zapewnienie przedsiębiorstwom podlegającym dyrektywie bardzo przydatnego narzędzia w celu wykazania zgodności z jej wymaganiami w całej Unii. Przy opracowywaniu nowych systemów certyfikacji bezpieczeństwa cybernetycznego Komisja i ENISA zwrócą szczególną uwagę na potrzebę zapewnienia, aby wymogi dyrektywy w sprawie bezpieczeństwa sieci i informacji znalazły odzwierciedlenie w systemach certyfikacji bezpieczeństwa cybernetycznego. ·Wniosek wesprze i ułatwi opracowywanie europejskiej polityki w zakresie bezpieczeństwa cybernetycznego przez harmonizację warunków i wymogów materialnych dotyczących certyfikacji bezpieczeństwa cybernetycznego produktów i usług ICT w Unii Europejskiej. Europejskie systemy certyfikacji bezpieczeństwa cybernetycznego będą się odwoływać do wspólnych norm bądź kryteriów oceny i metod badań. Przyczyni się to w znacznym stopniu, aczkolwiek niebezpośrednio, do wprowadzenia w UE wspólnych rozwiązań w zakresie bezpieczeństwa i w ten sposób usunie bariery w funkcjonowaniu rynku wewnętrznego. ·Ramy zostały pomyślane w taki sposób, aby zapewnić niezbędną elastyczność systemów certyfikacji bezpieczeństwa cybernetycznego. W zależności od konkretnych potrzeb w zakresie bezpieczeństwa cybernetycznego produkt lub usługa może uzyskać certyfikację w odniesieniu do wyższego lub niższego poziomu bezpieczeństwa. Europejskie systemy certyfikacji bezpieczeństwa cybernetycznego będą projektowane z uwzględnieniem tej elastyczności i w związku z tym będą odpowiednie dla różnych poziomów pewności (tj. podstawowego, znacznego lub wysokiego), tak by można je było stosować do różnych celów lub w różnych sytuacjach. ·Dzięki tym wszystkim omówionym wyżej elementom certyfikacja bezpieczeństwa cybernetycznego stanie się atrakcyjniejsza dla przedsiębiorstw jako skuteczny środek informowania o zapewnieniu bezpieczeństwa cybernetycznego produktów i usług ICT. W miarę jak certyfikacja bezpieczeństwa cybernetycznego będzie się stawać tańsza, skuteczniejsza i atrakcyjna pod względem komercyjnym, przedsiębiorcy będą mieli większą motywację do poddawania swoich produktów certyfikacji pod kątem zagrożeń w zakresie bezpieczeństwa cybernetycznego i w ten sposób do rozpowszechniania lepszych praktyk z dziedziny bezpieczeństwa cybernetycznego w procesie projektowania produktów i usług ICT (bezpieczeństwo cybernetyczne na etapie projektowania).

•Spójność z przepisami obowiązującymi w tej dziedzinie polityki Zgodnie z dyrektywą w sprawie bezpieczeństwa sieci i informacji operatorzy prowadzący działalność w sektorach o kluczowym znaczeniu dla naszej gospodarki i społeczeństwa, takich jak energetyka, transport, zaopatrzenie w wodę pitną i jej dystrybucja, bankowość, infrastruktura rynków finansowych, służba zdrowia oraz infrastruktura cyfrowa, jak również dostawcy usług cyfrowych (tj. wyszukiwarek, usług przetwarzania w chmurze i internetowych platform handlowych), są zobowiązywani podejmować działania w celu właściwego zarządzania ryzykiem w obszarze bezpieczeństwa. Nowe przepisy niniejszego wniosku uzupełniają przepisy dyrektywy w sprawie bezpieczeństwa sieci i informacji i zapewniają z nimi spójność, aby wzmocnić odporność UE na zagrożenia cybernetyczne za pomocą zwiększenia zdolności, ściślejszej współpracy, lepszego zarządzania ryzykiem i podnoszenia poziomu świadomości w kwestii zagrożeń. Ponadto przepisy dotyczące certyfikacji bezpieczeństwa cybernetycznego stanowią ważne narzędzie dla przedsiębiorstw objętych zakresem dyrektywy w sprawie bezpieczeństwa sieci i informacji, gdyż będą one mogły poddawać swoje produkty i usługi ICT certyfikacji pod kątem zagrożeń w zakresie bezpieczeństwa cybernetycznego w oparciu o systemy certyfikacji bezpieczeństwa cybernetycznego ważne i uznawane na terytorium całej UE. Przepisy te będą również uzupełnieniem wymogów bezpieczeństwa, o których mowa w rozporządzeniu eIDAS i dyrektywie w sprawie urządzeń radiowych. •Spójność z innymi politykami Unii W rozporządzeniu (UE) 2016/679 (ogólnym rozporządzeniu o ochronie danych) ustanowiono przepisy odnoszące się do ustanawiania mechanizmów certyfikacji oraz znaków jakości i oznaczeń w zakresie ochrony danych osobowych mających świadczyć o zgodności z tym rozporządzeniem operacji przetwarzania prowadzonych przez administratorów i podmioty przetwarzające. Przepisy niniejszego rozporządzenia nie naruszają certyfikacji operacji przetwarzania danych, także wówczas gdy takie operacje są wbudowane w produkty i usługi, zgodnie z ogólnym rozporządzeniem o ochronie danych. Rozporządzenie objęte niniejszym wnioskiem zapewni spójność z rozporządzeniem (WE) nr 765/2008 w sprawie akredytacji i nadzoru rynku przez odwołanie się do przepisów tych ram prawnych w odniesieniu do krajowych jednostek akredytujących i jednostek oceniających zgodność. W odniesieniu do organów nadzoru w proponowanym rozporządzeniu wprowadza się wymóg wyznaczenia przez państwa członkowskie krajowych organów nadzoru ds. certyfikacji z obowiązkami w zakresie nadzoru, monitorowania i egzekwowania przepisów. Organy te pozostaną podmiotami odrębnymi od jednostek oceniających zgodność, jak określono w rozporządzeniu (WE) nr 765/2008. 2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ •Podstawa prawna Podstawą prawną działania UE jest art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), który odnosi się do zbliżenia przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich, do urzeczywistnienia celów określonych w artykule 26 TFUE, mianowicie zapewnienia właściwego funkcjonowania rynku wewnętrznego. Podstawę prawną ustanowienia ENISA umocowaną w ramach rynku wewnętrznego podtrzymał Trybunał Sprawiedliwości (sprawa C-217/04 Zjednoczone Królestwo przeciwko Parlamentowi Europejskiemu i Radzie) i została ona potwierdzona w rozporządzeniu z 2013 r., ustanawiającym obecny mandat Agencji. Ponadto działania, które odzwierciedlają cele zwiększenia współpracy i koordynacji między państwami członkowskimi, oraz te, które dodają zdolności na szczeblu UE w uzupełnieniu działań państw członkowskich, mieszczą się kategorii „współpracy operacyjnej”. Została ona konkretnie wskazana w dyrektywie w sprawie bezpieczeństwa sieci i informacji (dla której podstawą prawną jest art. 114 TFUE) jako cel, do którego należy dążyć, w ramach sieci CSIRT, dla której „ENISA zapewnia sekretariat oraz aktywnie wspiera współpracę” (art. 12 ust. 2). W szczególności w art.12 ust. 3 lit. f) bliżej określono dalsze formy współpracy operacyjnej jako zadania sieci CSIRT, w tym w związku z: (i) kategoriami ryzyk i incydentów; (ii) wczesnym ostrzeganiem; (iii) wzajemną pomocą; oraz (iv) zasadami i uzgodnieniami dotyczącymi koordynacji, gdy państwa członkowskie reagują na transgraniczne ryzyka i incydenty. ·Obecne rozdrobnienie systemów certyfikacji produktów i usług ICT jest także rezultatem braku wspólnych prawnie wiążących i skutecznych ram procesu mających zastosowanie do państw członkowskich. Przeszkadza to w budowaniu rynku wewnętrznego produktów i usług ICT oraz utrudnia konkurowanie europejskiego przemysłu w tym sektorze. Celem niniejszego wniosku jest usunięcie obecnego rozdrobnienia i związanych z nim przeszkód w funkcjonowaniu rynku wewnętrznego przez zapewnienie wspólnych ram do utworzenia systemów certyfikacji bezpieczeństwa cybernetycznego obowiązujących w całej UE. Pomocniczość (w przypadku kompetencji niewyłącznych) Zasada pomocniczości wymaga oceny konieczności podjęcia działań przez UE i ich wartości dodanej. Poszanowanie zasady pomocniczości w tej dziedzinie zostało już uznane w momencie przyjęcia obecnego rozporządzenia w sprawie ENISA. Bezpieczeństwo cybernetyczne jest kwestią wspólnego zainteresowania Unii. Współzależności między sieciami i systemami informatycznymi są tego typu, że indywidualne podmioty (zarówno publiczne, jak i prywatne, w tym obywatele) bardzo często nie są w stanie w pojedynkę stawić czoła zagrożeniom, zarządzać ryzykiem i poradzić sobie z ewentualnymi skutkami incydentów cybernetycznych. Z jednej strony wzajemne zależności między państwami członkowskimi, w tym w odniesieniu do funkcjonowania infrastruktury krytycznej (energetycznej, transportowej, wodociągowej, aby wymienić tylko niektóre przykłady), powodują, że interwencja publiczna na szczeblu europejskim jest nie tylko korzystna, ale także potrzebna. Z drugiej strony interwencja unijna może wywołać korzystny efekt „rozlewania się” ze względu na wymianę dobrych praktyk między państwami członkowskimi, co może prowadzić do zwiększonego bezpieczeństwa cybernetycznego Unii. Podsumowując, w obecnej sytuacji i biorąc pod uwagę przyszłe scenariusze, wydaje się, że do wzmocnienia wspólnej odporności na zagrożenia cybernetyczne cechującej Unię nie wystarczą indywidualne działania podejmowane przez państwa członkowskie i rozproszone podejście do bezpieczeństwa cybernetycznego. Działanie unijne uważa się zatem za konieczne do rozwiązania problemu rozdrobnienia obecnych systemów certyfikacji bezpieczeństwa cybernetycznego. Pozwoli ono producentom na korzystanie w pełni z rynku wewnętrznego i przyniesie znaczne oszczędności w zakresie badań i kosztów przeprojektowania. Obecne porozumienie w sprawie wzajemnego uznawania zawarte przez grupę wyższych urzędników ds. bezpieczeństwa systemów informatycznych (SOG-IS) doprowadziło wprawdzie na przykład do osiągnięcia ważnych rezultatów w tej dziedzinie, wykazało jednak również istotne ograniczenia, które stoją na przeszkodzie jego przydatności jako sposobu zapewnienia na dłuższą metę trwałych rozwiązań w zakresie wykorzystania w pełni potencjału rynku wewnętrznego. Wartość dodana działania na szczeblu unijnym, zwłaszcza dla wzmocnienia współpracy między państwami członkowskimi, ale także między społecznościami z obszaru bezpieczeństwa sieci i informacji, została potwierdzona w konkluzjach Rady z 2016 r. i wynika także wyraźnie z oceny ENISA.

•Proporcjonalność Przewidziane środki nie wykraczają poza to, co jest konieczne do osiągnięcia określonych w nich celów. Poza tym zakres interwencji UE nie narusza żadnych dalszych działań krajowych w zakresie kwestii związanych z bezpieczeństwem narodowym. Działanie unijne ma zatem uzasadnienie na gruncie zasady pomocniczości i proporcjonalności. •Wybór instrumentu W niniejszym wniosku dokonuje się przeglądu rozporządzenia (UE) nr 526/2013, w którym określono obecny mandat i zadania ENISA. Ponadto, z uwagi na ważną rolę ENISA w tworzeniu unijnych ram certyfikacji bezpieczeństwa cybernetycznego i zarządzaniu nimi, nowy mandat ENISA i wspomniane ramy zostaną najlepiej umocowane w ramach jednego instrumentu prawnego, przy wykorzystaniu instrumentu rozporządzenia. 3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW Oceny ex post/kontrole sprawności obowiązującego prawodawstwa Zgodnie z planem oceny Komisja przeanalizowała istotność, wpływ, skuteczność, wydajność, spójność działań Agencji oraz wartość dodaną w odniesieniu do osiągnięć Agencji, zarządzania, wewnętrznej struktury organizacyjnej i praktyki działania w latach 2013–2016. Główne ustalenia można podsumować następująco (więcej informacji w dokumencie roboczym służb Komisji, towarzyszącym ocenie skutków). ·Istotność: W warunkach rozwoju technologicznego i zmieniających się zagrożeń oraz z uwagi na znaczącą potrzebę zwiększenia bezpieczeństwa cybernetycznego w UE cele ENISA okazały się istotne. Państwa członkowskie i organy UE faktycznie opierają się na szerokiej wiedzy fachowej Agencji na temat kwestii bezpieczeństwa cybernetycznego. Poza tym w państwach członkowskich należy budować potencjał do lepszego rozumienia zagrożeń i reagowania na nie, a zainteresowane strony muszą współpracować przekrojowo w obszarach tematycznych i międzyinstytucjonalnie. Bezpieczeństwo cybernetyczne jest nadal kluczowym priorytetem politycznym UE i od ENISA oczekuje się, aby stanowiła na niego odpowiedź, jednakże konstrukcja ENISA jako Agencji funkcjonującej w oparciu o określony czasowo mandat: (i) nie pozwala na długofalowe planowanie i trwałe wsparcie dla państw członkowskich i instytucji unijnych; (ii) może prowadzić do powstania próżni prawnej, ponieważ przepisy dyrektywy w sprawie bezpieczeństwa sieci i informacji powierzające ENISA określone zadania mają charakter stały; (iii) jest niespójna z wizją wiążącą ENISA ze wzmocnionym unijnym ekosystemem bezpieczeństwa cybernetycznego UE. ·Skuteczność: ENISA generalnie spełnia swoje cele i wykonuje swoje zadania. Przyczyniła się do poprawy bezpieczeństwa sieci i informacji w Europie przez swoje główne działania (budowanie zdolności, udostępnianie wiedzy fachowej, tworzenie społeczności i wspieranie działań politycznych). Są jeszcze jednak rezerwy w odniesieniu do doskonalenia każdego z nich. W ocenie stwierdzono, że ENISA skutecznie stworzyła silne i oparte na zaufaniu relacje z niektórymi z zainteresowanych stron, zwłaszcza z państwami członkowskimi i społecznością CSIRT. Działania w obszarze budowania zdolności zostały uznane za skuteczne, zwłaszcza w przypadku państw członkowskich dysponujących mniejszymi zasobami. Pobudzanie szerokiej współpracy było jednym z najbardziej docenianych aspektów działalności Agencji – zainteresowane strony zgodnie podkreślały pozytywną rolę, jaką ENISA odgrywała w zacieśnianiu kontaktów. ENISA napotkała jednak trudności w wywarciu znacznego wpływu w obrębie rozległego obszaru bezpieczeństwa sieci i informacji. Przyczyną były też dość ograniczone zasoby ludzkie i finansowe w stosunku do bardzo szeroko zakrojonego mandatu. W ocenie stwierdzono również, że ENISA częściowo osiągnęła cel polegający na zapewnieniu wiedzy fachowej w związku z problemami w rekrutowaniu specjalistów (zob. też poniżej w części dotyczącej wydajności). ·Wydajność: Mimo niewielkiego budżetu – jednego z najniższych wśród agencji UE – ENISA zdołała wnieść wkład w realizację zamierzonych celów, wykazując ogólną wydajność w wykorzystywaniu zasobów. Z oceny wynika, że procesy były generalnie skuteczne, a jasne określenie obowiązków w obrębie organizacji prowadziło do prawidłowego wykonywania prac. Jedno z głównych wyzwań dla wydajności ENISA jest związane w trudnościami Agencji z rekrutacją i zatrzymywaniem wysoko wykwalifikowanych specjalistów. Wyniki oceny wykazują, że wynika to z połączenia szeregu czynników, obejmujących ogólne trudności w sektorze publicznym do konkurowania z sektorem prywatnym przy próbach pozyskania wysoko wyspecjalizowanych ekspertów, rodzaj umowy (na czas określony), jaką Agencja może w większości przypadków oferować, i w pewnym sensie dość niski poziom atrakcyjności powodowany miejscem działalności ENISA, związany na przykład z trudnościami, jakie napotykają małżonkowie przy poszukiwaniu pracy. Rozdział siedzib między Atenami i Heraklionem wymagał dodatkowych działań w zakresie koordynacji i powodował powstawanie dodatkowych kosztów, ale przeniesienie w 2013 r. do Aten zasadniczego wydziału operacyjnego zwiększyło operacyjną skuteczność Agencji. ·Spójność: Działania ENISA były generalnie spójne z obszarami polityki i działalności zainteresowanych stron zarówno na szczeblu krajowym, jak również unijnym, potrzebne jest jednak bardziej skoordynowane podejście do bezpieczeństwa cybernetycznego na szczeblu UE. Potencjał współpracy między ENISA i innymi organami UE nie został jeszcze w pełni wykorzystany. Przemiany unijnego otoczenia prawnego i politycznego sprawiają, że obecny mandat jest mniej spójny. ·Unijna wartość dodana: Wartość dodana ENISA polega głównie na zdolności Agencji do ułatwiania współpracy, głównie między państwami członkowskimi, ale również z powiązanymi społecznościami związanymi z bezpieczeństwem sieci i informacji. Na poziomie UE nie ma innego podmiotu, który wspomagałby współpracę tak szerokiego zakresu podmiotów związanych z bezpieczeństwem sieci i informacji. Wartość dodana zapewniana przez Agencję jest zróżnicowana w zależności od potrzeb i zasobów różnych zainteresowanych stron (np. dużych państw członkowskich wobec państw małych; państw członkowskich wobec przemysłu) oraz potrzeby nowego uszeregowania przez Agencję działań pod względem ich ważności. W ocenie stwierdzono, że potencjalne zaprzestanie działalności ENISA mogłoby oznaczać straconą szansę dla wszystkich państw członkowskich. Zapewnienie tego samego poziomu budowania wspólnoty i współpracy między państwami członkowskimi w obszarze bezpieczeństwa cybernetycznego nie będzie możliwe. Bez bardziej scentralizowanej agencji UE obraz sytuacji byłby bardziej rozproszony, a rozwijająca się współpraca dwustronna lub regionalna wypełniałaby pustkę pozostałą po działalności ENISA. W odniesieniu do dotychczasowych osiągnięć i przyszłości ENISA na podstawie przeprowadzonych w 2017 r. konsultacji rysują się następujące główne tendencje: ·Ogólne wyniki działalności ENISA w latach 2013–2016 zostały ocenione pozytywnie przez większość respondentów (74 %). Poza tym większość respondentów uznała, że ENISA osiąga swoje cele (co najmniej 63 % w odniesieniu do każdego z celów). Usługi i produkty ENISA są regularnie (co miesiąc lub częściej) wykorzystywane przez prawie połowę respondentów (46 %) i doceniane ze względu na fakt, iż ich źródłem jest jednostka na szczeblu unijnym (83 %), oraz z racji swojej jakości (62 %). ·Respondenci wskazali szereg niedociągnięć i wyzwań, odnoszących się do przyszłości bezpieczeństwa cybernetycznego w UE, jako pięć głównych (wśród 16) najczęściej wymieniano: współpracę między państwami członkowskimi; zdolność zapobiegania atakom cybernetycznym na dużą skalę, ich wykrywania i rozwiązywania problemu; współpracę między państwami członkowskimi w kwestiach związanych z bezpieczeństwem cybernetycznym; współpracę i wymianę informacji między różnymi podmiotami, w tym współpracę publiczno-prywatną; ochronę infrastruktury krytycznej przed atakami cybernetycznymi. ·Znaczna większość (88 %) respondentów była zdania, że obecne instrumenty i mechanizmy dostępne na szczeblu UE są niewystarczające lub jedynie częściowo odpowiednie do rozwiązania tych kwestii. Przeważająca większość respondentów (98 %) wskazywała, że kwestią tych potrzeb powinien się zająć podmiot unijny, a ENISA została uznana przez 99 % respondentów za właściwą do tego organizację. Konsultacje z zainteresowanymi stronami ·Komisja zorganizowała publiczne konsultacje w sprawie przeglądu ENISA w dniach od 12 kwietnia do 5 lipca 2016 r. i otrzymała 421 odpowiedzi. Z konsultacji wynikało, że 67,5 % respondentów uważa, iż ENISA może odgrywać rolę w tworzeniu zharmonizowanych ram certyfikacji bezpieczeństwa produktów i usług IT.

Wyniki przeprowadzonych w 2016 r. konsultacji na temat cPPP w dziedzinie bezpieczeństwa cybernetycznego w części dotyczącej certyfikacji wskazują, że: ·50,4 % (tj. 121 spośród 240) respondentów nie wie, czy krajowe systemy certyfikacji są wzajemnie uznawane we wszystkich państwach członkowskich UE. 25,8 % (62 spośród 240) odpowiedziało „Nie”, 23,8 % (57 spośród 240) udzieliło natomiast odpowiedzi „Tak”. ·37,9 % respondentów (91 spośród 240) uważa, że istniejące systemy certyfikacji nie odpowiadają na potrzeby przemysłu europejskiego. Z drugiej jednak strony, 17,5 % (42 spośród 240) – głównie przedsiębiorstwa o zasięgu globalnym działające na rynku europejskim – było przeciwnego zdania. ·49,6 % (119 spośród 240) respondentów twierdzi, że wykazanie równoważności norm, systemów certyfikacji i oznakowań nie jest łatwe. 379 % (91 spośród 240) odpowiedziało „Nie wiem”, a jedynie 12,5 % (30 spośród 240) udzieliło odpowiedzi „Tak”. Gromadzenie i wykorzystanie wiedzy eksperckiej Komisja uwzględniła następujące dokumenty zawierające opinie ekspertów zewnętrznych: ·Badanie na temat oceny ENISA (Ramboll/Carsa 2017; SMART 20160077). ·Study on ICT Security Certification and Labelling – Evidence gathering and impact assessment (Badanie dotyczące etykietowania i certyfikacji ICT – Gromadzenie dowodów i ocena skutków) (PriceWaterhouseCoopers 2017; SMART 2016/0029). Ocena skutków ·W sprawozdaniu z oceny skutków dotyczącym tej inicjatywy wskazano następujące główne problemy do rozwiązania: ·rozdrobnienie działań politycznych i podejścia do kwestii bezpieczeństwa cybernetycznego w różnych państwach członkowskich; ·rozproszenie zasobów i fragmentaryczność podejścia do kwestii bezpieczeństwa cybernetycznego w instytucjach, agencjach i organach UE; oraz ·niewystarczający poziom świadomości i wiedzy u obywateli i przedsiębiorstw, w połączeniu z narastającym pojawianiem się wielu krajowych i sektorowych systemów certyfikacji. W sprawozdaniu oceniono następujące warianty w odniesieniu do mandatu ENISA: ·utrzymanie obecnego stanu, co oznacza rozszerzenie mandatu w dalszym ciągu ograniczone w czasie (wariant podstawowy); ·wygaśnięcie obecnego mandatu ENISA bez jego odnowienia i zakończenie działalności ENISA (brak działań); ·„zreformowana ENISA”; oraz ·agencja UE ds. bezpieczeństwa cybernetycznego z pełnymi zdolnościami operacyjnymi.

W sprawozdaniu oceniono następujące warianty w odniesieniu do certyfikacji bezpieczeństwa cybernetycznego: ·brak działań (wariant podstawowy); ·środki nielegislacyjne („prawo miękkie”); ·unijny akt prawny w celu utworzenia obowiązkowego systemu dla wszystkich państw członkowskich w oparciu o system SOG-IS; oraz ·unijne ogólne ramy certyfikacji bezpieczeństwa cybernetycznego w odniesieniu do ICT. Z analizy wynikło, że „zreformowana ENISA” w połączeniu z ogólnymi unijnymi ramami certyfikacji bezpieczeństwa ICT jest wariantem preferowanym. Wariat preferowany został oceniony jako najskuteczniejszy do celów osiągnięcia przez UE zwiększonych zdolności w zakresie bezpieczeństwa cybernetycznego, gotowości, współpracy, świadomości zagrożeń, przejrzystości oraz uniknięcia fragmentacji rynku. Uznano go również za najbardziej spójny z priorytetami politycznymi strategii UE w zakresie bezpieczeństwa cybernetycznego i związanych z nią działań (np. z dyrektywą w sprawie bezpieczeństwa sieci i informacji) oraz ze strategią jednolitego rynku cyfrowego. Ponadto z procesu konsultacji wynikło, że preferowany wariant cieszy się poparciem większości zainteresowanych stron. Poza tym analiza przeprowadzona w ramach oceny skutków wykazała, że preferowany wariant może zapewnić osiągnięcie celów poprzez racjonalne wykorzystywanie zasobów. Działająca przy Komisji Rada ds. Kontroli Regulacyjnej wydała pierwotnie negatywną opinię w dniu 24 lipca, a następnie pozytywną opinię w dniu 25 sierpnia 2017 r. po ponownym przedłożeniu sprawozdania. W poprawionym sprawozdaniu z oceny skutków uwzględniono dodatkowe dowody, potwierdzające ostateczne wnioski z oceny ENISA, oraz dodatkowe wyjaśnienia na temat wariantów politycznych i ich skutków. W załączniku 1 do sprawozdania końcowego z oceny skutków podsumowano sposób uwzględnienia uwag Rady w drugiej opinii. W szczególności sprawozdanie to zostało uaktualnione, aby przedstawić dokładniej unijny kontekst odnoszący się do bezpieczeństwa cybernetycznego, w tym środki ujęte we wspólnym komunikacie „Odporność, prewencja i obrona: budowa solidnego bezpieczeństwa cybernetycznego Unii Europejskiej” (JOIN(2017) 450) i mające szczególne znaczenie dla ENISA: unijny plan działania w zakresie bezpieczeństwa cybernetycznego oraz Europejskie Centrum Badań Naukowych i Kompetencji w dziedzinie Bezpieczeństwa Cybernetycznego, z którymi Agencja powiązałaby swoją rolę doradczą w odniesieniu do potrzeb badawczych UE. W sprawozdaniu wyjaśniono, w jaki sposób reforma Agencji, w tym nowe zadania, lepsze warunki zatrudnienia oraz współpraca strukturalna z organami UE z tej dziedziny, podniosłaby jej atrakcyjność jako pracodawcy i pomogła rozwiązać problemy związane z pozyskiwaniem specjalistów. W załączniku nr 6 do sprawozdania przedstawiono również skorygowane szacowane koszty związane z wariantami strategicznymi dotyczącymi ENISA. Jeżeli chodzi o zagadnienie certyfikacji, sprawozdanie zostało poprawione, aby zapewnić bardziej szczegółowe wyjaśnienia, w tym w formie graficznej, dotyczące preferowanego wariantu, a także szacunkowe dane dotyczące kosztów dla państw członkowskich i Komisji, związane z nowymi ramami certyfikacji. Uzasadnienie wyboru ENISA jako kluczowego podmiotu w zakresie ram zostało wyjaśnione bardziej szczegółowo w oparciu o jej wiedzę fachową w tej dziedzinie oraz fakt, że jest ona jedyną agencją na szczeblu UE w zakresie bezpieczeństwa cybernetycznego. Przejrzano tez część poświęconą certyfikacji, aby doprecyzować aspekty związane z różnicą między obecnym systemem SOG-IS, wykazać korzyści wynikające z różnych wariantów i wyjaśnić, że rodzaj produktów i usług ICT objętych europejskim systemem certyfikacji zostanie określony w samym zatwierdzonym systemie. Sprawność regulacyjna i uproszczenie Nie dotyczy. Wpływ na prawa podstawowe Bezpieczeństwo cybernetyczne odgrywa zasadniczą rolę w zakresie ochrony prywatności i danych osobowych osób fizycznych zgodnie z art. 7 i 8 Karty praw podstawowych Unii Europejskiej. W przypadku incydentów cybernetycznych prywatność i ochrona danych osobowych są wyraźnie zagrożone. Dlatego bezpieczeństwo cybernetyczne jest warunkiem koniecznym poszanowania prywatności i poufności naszych danych osobowych. W tym ujęciu, mając na celu wzmocnienie bezpieczeństwa cybernetycznego w Europie, wniosek stanowi ważne uzupełnienie istniejących przepisów chroniących podstawowe prawo do prywatności i ochrony danych osobowych. Bezpieczeństwo cybernetyczne ma również zasadnicze znaczenie dla ochrony poufności łączności elektronicznej i w związku z tym także do korzystania z prawa wolności wypowiedzi i informacji oraz innych powiązanych praw, takich jak prawo do wolności myśli, sumienia i wyznania. 4.WPŁYW NA BUDŻET Zob. część finansowa. 5.ELEMENTY FAKULTATYWNE •Plany wdrożenia i monitorowanie, ocena i sprawozdania Komisja będzie monitorować stosowanie rozporządzenia i przedkładać sprawozdanie ze swojej oceny Parlamentowi Europejskiemu i Radzie oraz Europejskiemu Komitetowi Ekonomiczno-Społecznemu co pięć lat. Sprawozdania te będą dostępne dla opinii publicznej i będą zawierały szczegółowy opis skutecznego stosowania i egzekwowania przepisów niniejszego rozporządzenia.

•Szczegółowe objaśnienia poszczególnych przepisów wniosku Tytuł I niniejszego rozporządzenia zawiera przepisy ogólne: przedmiot i zakres (art. 1), definicje (art. 2), w tym odniesienia do stosownych definicji z innych instrumentów unijnych, takich jak dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (dyrektywa w sprawie bezpieczeństwa sieci i informacji), rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 765/2008 ustanawiające wymagania w zakresie akredytacji i nadzoru rynku odnoszące się do warunków wprowadzania produktów do obrotu i uchylające rozporządzenie (EWG) nr 339/93 oraz rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1025/2012 w sprawie normalizacji europejskiej. Tytuł II niniejszego rozporządzenia zawiera podstawowe przepisy dotyczące ENISA: Agencji UE ds. Bezpieczeństwa Cybernetycznego. W rozdziale I tego tytułu ustanowiono mandat (art. 3), cele (art. 4) i zadania (art. 5–11) Agencji . W rozdziale II określono organizację ENISA i ujęto podstawowe przepisy odnoszące się do jej struktury (art. 12). Określono skład, zasady głosowania i funkcje zarządu (sekcja 1, art. 13–17), rady wykonawczej (sekcja 2, art. 18) oraz dyrektora wykonawczego (sekcja 3, art. 19). Rozdział ten zawiera również przepisy dotyczące składu i roli Stałej Grupy Przedstawicieli Zainteresowanych Stron (sekcja 4, art. 20). W sekcji 5 tego rozdziału określono szczegółowe zasady operacyjne Agencji, w tym w odniesieniu do planowania działalności, konfliktu interesów, przejrzystości, poufności i dostępu do dokumentów (art. 25–21). Rozdział III odnosi się do uchwalania budżetu Agencji i jego struktury (art. 26 i 27), a także zasad jego wykonywania (art. 28 i 29). Ujęto w nim także przepisy ułatwiające zwalczanie nadużyć finansowych, korupcji i innych bezprawnych działań (art. 30). Rozdział IV odnosi się do pracowników Agencji. Obejmuje on ogólne przepisy regulaminu pracowniczego i warunków zatrudnienia oraz zasad rządzących przywilejami i immunitetami (art. 31 i 32). Sprecyzowano w nim także zasady angażowania i mianowania dyrektora wykonawczego Agencji (art. 33). Rozdział ten zawiera także przepisy regulujące korzystanie z usług oddelegowanych ekspertów krajowych lub innych pracowników niezatrudnionych przez Agencję (art. 34). Rozdział V zawiera przepisy ogólne odnoszące się do Agencji. Określono w nim status prawny (art. 35) i ujęto przepisy regulujące kwestie odpowiedzialności, uzgodnienia dotyczące języka i ochrony danych osobowych (art. 36–38), a także przepisy bezpieczeństwa odnoszące się do ochrony informacji niejawnych oraz szczególnie chronionych informacji jawnych (art. 40). Opisano zasady współpracy Agencji z państwami trzecimi i organizacjami międzynarodowymi (art. 39). Rozdział ten zawiera również przepisy dotyczące siedziby Agencji i warunków działania, a także kontroli administracyjnej sprawowanej przez Europejskiego Rzecznika Praw Obywatelskich (art. 41 i 42). Tytuł III rozporządzenia zawiera przepisy ustanawiające status lex generalis (art. 1) dla europejskich ram certyfikacji bezpieczeństwa cybernetycznego („ram certyfikacji”) produktów i usług ICT. W tytule tym określono ogólny cel europejskich systemów certyfikacji bezpieczeństwa cybernetycznego, którym jest zapewnienie, aby produkty i usługi ICT były zgodne z określonymi wymogami bezpieczeństwa pod względem odporności, przy danym poziomie pewności, na działania naruszające dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych bądź związanych z nimi funkcji lub usług (art. 43). Ponadto tytuł ten zawiera wykaz celów w zakresie bezpieczeństwa, które mają spełniać europejskie systemy certyfikacji bezpieczeństwa cybernetycznego (art. 45), obejmujących m.in.: zdolność do ochrony danych przed przypadkowym lub nieuprawnionym uzyskaniem dostępu lub ujawnieniem, zniszczeniem lub zmianą, oraz treść (tj. elementy) europejskich systemów certyfikacji bezpieczeństwa cybernetycznego, np. szczegółowe określenie ich zakresu, cele związane z bezpieczeństwem, kryteria oceny itp. (art. 47). W tytule III określono również główne skutki prawne europejskich systemów certyfikacji bezpieczeństwa cybernetycznego, mianowicie: (i) zobowiązanie do wdrożenia systemu na szczeblu krajowym i dobrowolny charakter certyfikacji; (ii) unieważnienie przez europejskie systemy certyfikacji bezpieczeństwa cybernetycznego systemów krajowych w odniesieniu do tych samych produktów lub usług (art. 48 i 49). Tytuł ten zawiera także ustanowienie procedury przyjęcia europejskich systemów certyfikacji bezpieczeństwa cybernetycznego i odnośne role Komisji, ENISA i Europejskiej Grupy ds. Certyfikacji Bezpieczeństwa Cybernetycznego („Grupy”) (art. 44). W tytule tym ustanowiono też przepisy dotyczące jednostek oceniających zgodność, w tym odnoszących się do nich wymogów, uprawnień i zadań, krajowych organów nadzoru ds. certyfikacji, a także kar. Przepisami tego samego tytułu ustanowiono również Grupę jako istotny organ składający się z przedstawicieli krajowych organów nadzoru ds. certyfikacji, której głównym zadaniem jest wspólna z ENISA praca nad przygotowywaniem europejskich systemów certyfikacji bezpieczeństwa cybernetycznego oraz doradzanie Komisji na temat ogólnych i szczegółowych kwestii dotyczących polityki certyfikacji bezpieczeństwa cybernetycznego. Tytuł IV rozporządzenia zawiera przepisy końcowe opisujące wykonywanie przekazanych uprawnień, wymogi dotyczące oceny, uchylenie oraz przejęcie praw i obowiązków, a także wejście rozporządzenia w życie.



2017/0225 (COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie „Agencji UE ds. Bezpieczeństwa Cybernetycznego” ENISA, uchylenia rozporządzenia (UE) nr 526/2013 oraz certyfikacji bezpieczeństwa cybernetycznego w zakresie technologii informacyjno-komunikacyjnych („akt ws. bezpieczeństwa cybernetycznego”) (Tekst mający znaczenie dla EOG) PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego, uwzględniając opinię Komitetu Regionów, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1)Sieci i systemy informatyczne oraz sieci i usługi telekomunikacyjne odgrywają kluczową rolę w społeczeństwie i stały się podstawą wzrostu gospodarczego. Technologie informacyjno-komunikacyjne stanowią podstawę złożonych systemów wspierających działania społeczne, zapewniają funkcjonowanie naszej gospodarki w kluczowych sektorach, takich jak opieka zdrowotna, energetyka, finanse i transport, a zwłaszcza wspomagają funkcjonowanie rynku wewnętrznego. (2)Korzystanie z sieci i systemów informatycznych przez obywateli, przedsiębiorstwa i administrację rządową w całej Unii jest obecnie bardzo rozpowszechnione. Digitalizacja i połączalność stają się podstawowymi cechami coraz większej liczby produktów i usług, a wraz z nastaniem internetu rzeczy w następnym dziesięcioleciu spodziewana jest instalacja milionów, jeśli nie miliardów połączonych urządzeń cyfrowych w całej UE. Coraz więcej urządzeń jest połączonych z internetem, a jednocześnie zabezpieczenia i odporność nie są wystarczająco uwzględnione w projektowaniu, co powoduje, że bezpieczeństwo cybernetyczne jest niewystarczające. W związku z powyższym ograniczone korzystanie z certyfikacji prowadzi do niewystarczającego informowania użytkowników instytucjonalnych i indywidualnych o właściwościach produktów i usług ICT w zakresie bezpieczeństwa cybernetycznego, co podważa zaufanie do rozwiązań cyfrowych. (3)Coraz większa digitalizacja i połączalność prowadzą do zwiększonych zagrożeń dla bezpieczeństwa cybernetycznego, zwiększając tym samym podatność ogółu społeczeństwa na zagrożenia cybernetyczne i potęgując zagrożenia dla jednostek, w tym osób bardziej podatnych na zagrożenia, takich jak dzieci. W celu ograniczenia tych zagrożeń dla społeczeństwa należy podjąć wszystkie niezbędne działania na rzecz poprawy bezpieczeństwa cybernetycznego w UE, aby lepiej chronić przed zagrożeniami cybernetycznymi sieci i systemy informatyczne, sieci telekomunikacyjne oraz produkty, usługi i urządzenia cyfrowe używane przez obywateli, administrację i przedsiębiorstwa – od MŚP aż po operatorów infrastruktur krytycznych. (4)Ataki cybernetyczne nasilają się, a gospodarka oparta na łączności i społeczeństwo, które jest bardziej podatne na zagrożenia i ataki cybernetyczne, wymagają silniejszej ochrony. Tymczasem jednak, mimo że ataki cybernetyczne mają często charakter transgraniczny, reakcje polityczne ze strony organów odpowiedzialnych za bezpieczeństwo cybernetyczne i kompetencje w zakresie egzekwowania prawa są w głównej mierze krajowe. Incydenty cybernetyczne na dużą skalę mogłyby zakłócić świadczenie usług kluczowych w całej UE. Taka sytuacja wymaga skutecznego reagowania oraz zarządzania kryzysowego na szczeblu UE w oparciu o specjalne rozwiązania polityczne oraz szerzej zakrojone instrumenty europejskiej solidarności i wzajemnej pomocy. Ponadto regularna ocena stanu bezpieczeństwa cybernetycznego i odporności w Unii, oparta na wiarygodnych danych unijnych oraz na systematycznej prognozie przyszłych zmian, wyzwań i zagrożeń, zarówno na szczeblu unijnym, jak i ogólnoświatowym, ma duże znaczenie dla decydentów politycznych, przemysłu oraz użytkowników. (5)Wobec narastających wyzwań w zakresie bezpieczeństwa cybernetycznego, w obliczu których stoi Unia, potrzebny jest kompleksowy zestaw środków, które byłyby oparte na wcześniejszych działaniach unijnych i sprzyjały osiąganiu wzajemnie wspierających się celów. Cele te to m.in. potrzeba dodatkowego zwiększenia potencjału i gotowości do reagowania państw członkowskich i przedsiębiorstw oraz poprawy współpracy i koordynacji wśród państw członkowskich oraz instytucji, agencji i organów UE. Ponadto z uwagi na ponadgraniczny charakter zagrożeń cybernetycznych konieczne jest zwiększenie na szczeblu Unii tych zdolności, które mogłyby uzupełniać działania państw członkowskich, zwłaszcza w przypadku transgranicznych incydentów cybernetycznych na dużą skalę i kryzysów cybernetycznych. Potrzebne są również dodatkowe wysiłki na rzecz zwiększenia wiedzy obywateli i przedsiębiorstw o zagadnieniach bezpieczeństwa cybernetycznego. Należy poza tym nadal zwiększać zaufanie do jednolitego rynku cyfrowego, oferując przejrzyste informacje o poziomie bezpieczeństwa produktów i usług ICT. Można to ułatwić dzięki ogólnounijnej certyfikacji, ustanawiając wspólne wymogi w zakresie bezpieczeństwa cybernetycznego i kryteria oceny na wszystkich rynkach i we wszystkich sektorach krajowych. (6)W roku 2004 Parlament Europejski i Rada przyjęły rozporządzenie (WE) nr 460/2004 ustanawiające ENISA, aby przyczynić się do realizacji celów w zakresie zapewnienia wysokiego poziomu bezpieczeństwa sieci i informacji w Unii oraz rozwijania kultury bezpieczeństwa sieci i informacji na rzecz obywateli, konsumentów, przedsiębiorstw oraz administracji publicznej. W roku 2008 Parlament Europejski i Rada przyjęły rozporządzenie (WE) nr 1007/2008 przedłużające mandat Agencji do marca 2012 r. Rozporządzeniem (WE) nr 580/2011 dodatkowo przedłużono mandat Agencji do dnia 13 września 2013 r. W roku 2013 Parlament Europejski i Rada przyjęły rozporządzenie (UE) nr 526/2013 w sprawie ENISA oraz uchylające rozporządzenie (WE) nr 460/2004, którym przedłużono mandat Agencji do czerwca 2020 r. (7)Unia przedsięwzięła już istotne kroki w celu zapewnienia bezpieczeństwa cybernetycznego i zwiększenia zaufania do technologii cyfrowych. W roku 2013 przyjęto strategię UE w zakresie bezpieczeństwa cybernetycznego, dyktującą reakcję polityczną Unii na zagrożenia i ryzyko cybernetyczne. W ramach starań, aby lepiej chronić obywateli europejskich w internecie, Unia przyjęła w roku 2016 pierwszy akt ustawodawczy w dziedzinie bezpieczeństwa cybernetycznego – dyrektywę (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii („dyrektywę w sprawie bezpieczeństwa sieci i informacji”). W dyrektywie w sprawie bezpieczeństwa sieci i informacji wprowadzono wymogi dotyczące zdolności krajowych w dziedzinie bezpieczeństwa cybernetycznego, ustanowiono pierwsze mechanizmy zacieśniania strategicznej i operacyjnej współpracy państw członkowskich oraz wprowadzono obowiązki dotyczące środków bezpieczeństwa i zgłaszania incydentów w podstawowych dla gospodarki i społeczeństwa sektorach, takich jak energetyka, transport, zaopatrzenie w wodę, bankowość, infrastruktury rynku finansowego, opieka zdrowotna, infrastruktura cyfrowa, jak też w odniesieniu do dostawców kluczowych usług cyfrowych (wyszukiwarek, usług przetwarzania w chmurze i internetowych platform handlowych). Kluczową rolę we wspieraniu wdrażania tej dyrektywy wyznaczono agencji ENISA. Skuteczna walka z cyberprzestępczością stanowi ponadto ważny priorytet Europejskiej agendy bezpieczeństwa, przyczyniając się do realizacji ogólnego celu, jakim jest osiągnięcie wysokiego poziomu bezpieczeństwa cybernetycznego. (8)Jest rzeczą wiadomą, że od czasu przyjęcia w 2013 r. strategii UE w zakresie bezpieczeństwa cybernetycznego oraz ostatniej zmiany mandatu Agencji ogólny kontekst polityczny znacznie się zmienił, również w związku z bardziej niepewnym i mniej bezpiecznym otoczeniem ogólnoświatowym. W tych warunkach i w ramach nowej unijnej polityki w zakresie bezpieczeństwa cybernetycznego konieczne jest dokonanie przeglądu mandatu agencji ENISA, aby określić jej rolę w zmienionym ekosystemie bezpieczeństwa cybernetycznego i zapewnić jej skuteczny wkład w reakcję Unii na wyzwania w dziedzinie bezpieczeństwa cybernetycznego wynikające z tego radykalnie przekształconego profilu zagrożeń, w odniesieniu do którego, jak uznano w ocenie, jakiej poddano Agencję, obecny mandat nie jest wystarczający. (9)Agencja ustanowiona niniejszym rozporządzeniem powinna być następcą agencji ENISA ustanowionej rozporządzeniem (UE) nr 526/2013. Agencja powinna wykonywać zadania powierzone jej na mocy niniejszego rozporządzenia oraz aktów prawnych Unii w dziedzinie bezpieczeństwa cybernetycznego poprzez, między innymi, zapewnianie wiedzy fachowej i doradztwa oraz działanie w charakterze unijnego centrum informacji i wiedzy. Powinna ona propagować wymianę najlepszych praktyk między państwami członkowskimi i prywatnymi zainteresowanymi stronami, przedstawiając Komisji Europejskiej i państwom członkowskim sugestie dotyczące polityki, działając jako punkt odniesienia dla unijnych sektorowych inicjatyw strategicznych odnoszących się do kwestii bezpieczeństwa cybernetycznego oraz wspierając współpracę operacyjną pomiędzy państwami członkowskimi oraz między państwami członkowskimi a instytucjami, agencjami i organami UE. (10)W decyzji 2004/97/WE, Euratom przyjętej na posiedzeniu Rady Europejskiej w dniu 13 grudnia 2003 r. przedstawiciele państw członkowskich postanowili, że ENISA będzie miała siedzibę w Grecji, w mieście, które określić ma rząd grecki. Państwo członkowskie przyjmujące Agencję powinno zapewnić jej możliwie najlepsze warunki sprawnego i skutecznego działania. Właściwa lokalizacja Agencji ma zasadnicze znaczenie dla prawidłowego i skutecznego wykonywania przez nią zadań, naboru i zatrzymania pracowników oraz zwiększenia efektywności sieci współpracy, zapewniając między innymi odpowiednie połączenia transportowe i infrastrukturę dla małżonków i dzieci towarzyszących pracownikom Agencji. Umowa między Agencją a przyjmującym państwem członkowskim, zawarta po uzyskaniu zgody zarządu Agencji, powinna zawierać niezbędne uzgodnienia w tym zakresie. (11)Ze względu na narastające wyzwania w zakresie bezpieczeństwa cybernetycznego, z jakimi boryka się Unia, należy zwiększyć przydzielone Agencji zasoby finansowe i ludzkie, aby odzwierciedlić jej poszerzoną rolę i zadania oraz jej kluczową pozycję w ekosystemie organizacji chroniących europejski ekosystem cyfrowy. (12)Agencja powinna rozwijać i utrzymywać wysoki poziom wiedzy fachowej oraz działać jako punkt odniesienia służący budowie zaufania i wiarygodności na jednolitym rynku z racji swojej niezależności, jakości oferowanego doradztwa i rozpowszechnianych informacji, przejrzystości procedur i metod działania, a także staranności w realizacji swoich zadań. Agencja powinna aktywnie włączać się w działania krajowe i unijne, a jednocześnie wykonywać swoje zadania w pełnej współpracy z instytucjami, organami i jednostkami organizacyjnymi Unii oraz państwami członkowskimi. Ponadto Agencja powinna bazować na wkładzie i współpracy ze strony sektora prywatnego, jak również innych odpowiednich zainteresowanych stron. Zakres zadań powinien określać sposób, w jaki Agencja ma osiągnąć swoje cele, pozwalając jej jednocześnie na elastyczne działanie. (13)Agencja powinna wspomagać Komisję poprzez doradztwo, opinie i analizy we wszystkich sprawach Unii związanych z opracowywaniem, aktualizacją i przeglądem polityki i prawa w dziedzinie bezpieczeństwa cybernetycznego, w tym w zakresie ochrony infrastruktury krytycznej oraz odporności cybernetycznej. Agencja powinna działać jako punkt odniesienia w zakresie doradztwa i wiedzy fachowej na rzecz unijnych sektorowych inicjatyw w dziedzinie polityki i prawa, dotyczących kwestii związanych z bezpieczeństwem cybernetycznym.

(14)Podstawowym zadaniem Agencji jest wspieranie konsekwentnego wprowadzania odpowiednich ram prawnych, a w szczególności skutecznego wdrożenia dyrektywy w sprawie bezpieczeństwa sieci i informacji, co ma kluczowe znaczenie dla zwiększenia odporności cybernetycznej. W obliczu szybko ewoluującego profilu zagrożeń cybernetycznych jasne jest, że państwa członkowskie muszą mieć wsparcie w postaci bardziej kompleksowego, przekrojowego pod względem politycznym podejścia do budowania odporności cybernetycznej. (15)Agencja powinna wspierać państwa członkowskie oraz unijne instytucje, organy i jednostki organizacyjne w ich staraniach na rzecz budowy i umocnienia zdolności i gotowości do zapobiegania problemom i incydentom w dziedzinie bezpieczeństwa cybernetycznego, wykrywania ich i reagowania na nie oraz w odniesieniu do bezpieczeństwa sieci i systemów informatycznych. Agencja powinna w szczególności wspierać rozwój i wzmocnienie krajowych CSIRT z myślą o osiągnięciu wysokiego wspólnego poziomu ich zaawansowania w Unii. Agencja powinna również pomagać w opracowaniu i aktualizacji strategii Unii i państw członkowskich w zakresie bezpieczeństwa sieci i systemów informatycznych, w szczególności w odniesieniu do bezpieczeństwa cybernetycznego, propagować ich upowszechnienie i śledzić postępy w ich realizacji. Agencja powinna również oferować szkolenia i materiały szkoleniowe organom publicznym, a w razie potrzeby „szkolić szkoleniowców”, aby pomóc państwom członkowskim w rozwoju własnych zdolności szkoleniowych. (16)Agencja powinna wspierać grupę współpracy ustanowioną na mocy dyrektywy w sprawie bezpieczeństwa sieci i informacji w wykonywaniu jej zadań, w szczególności poprzez zapewnianie wiedzy fachowej i doradztwa oraz ułatwianie wymiany najlepszych praktyk, zwłaszcza w odniesieniu do identyfikowania przez państwa członkowskie operatorów usług kluczowych, w tym odnośnie do transgranicznych zależności, dotyczących ryzyk i incydentów. (17)Z myślą o pobudzaniu współpracy między sektorem publicznym a prywatnym oraz w ramach sektora prywatnego, aby w szczególności wspierać ochronę infrastruktur krytycznych, Agencja powinna ułatwiać ustanowienie sektorowych ośrodków wymiany i analizy informacji, udostępniając najlepsze praktyki i oferując wytyczne na temat dostępnych narzędzi i procedur oraz sposobu traktowania kwestii regulacyjnych związanych z wymianą informacji. (18)Agencja powinna gromadzić i analizować raporty krajowe przekazywane przez CSIRT i CERT-UE, ustalając wspólne zasady, język i terminologię do celów wymiany informacji. Agencja powinna również angażować sektor prywatny, działając w ramach wyznaczonych przez dyrektywę w sprawie bezpieczeństwa sieci i informacji, w której wraz z utworzeniem sieci CSIRT położono podstawy pod dobrowolną wymianę informacji technicznych na poziomie operacyjnym. (19)Agencja powinna wnosić wkład w reakcję na szczeblu UE w przypadku transgranicznych incydentów cybernetycznych na dużą skalę i kryzysów cybernetycznych. Funkcja ta powinna obejmować gromadzenie odpowiednich informacji i działanie w charakterze pośrednika ułatwiającego współpracę sieci CSIRT i środowiska technicznego, jak również decydentów odpowiedzialnych za zarządzanie w sytuacji kryzysowej. Agencja mogłaby ponadto wspierać postępowania w przypadku incydentów z perspektywy technicznej, ułatwiając odpowiednią wymianę rozwiązań technicznych między państwami członkowskimi i oferując wkład w komunikację publiczną. Agencja powinna wspierać cały ten proces, testując sposoby takiej współpracy poprzez przeprowadzanie corocznych ćwiczeń w dziedzinie bezpieczeństwa cybernetycznego. (20)Aby wykonywać swoje zadania operacyjne, Agencja powinna korzystać z dostępnej wiedzy fachowej CERT-UE w ramach strukturalnej współpracy i w bezpośredniej styczności. Współpraca strukturalna ułatwi powstanie niezbędnej synergii i poszerzenie wiedzy fachowej agencji ENISA. W stosownych przypadkach należy poczynić specjalne ustalenia między obiema tymi organizacjami, aby określić sposób praktycznej realizacji takiej współpracy. (21)Zgodnie ze swoimi zadaniami operacyjnymi Agencja powinna być w stanie zapewniać wsparcie państwom członkowskim, na przykład oferując doradztwo lub pomoc techniczną, bądź zapewniając analizy zagrożeń i incydentów. W zaleceniu Komisji w sprawie skoordynowanego reagowania na incydenty i kryzysy cybernetyczne na dużą skalę zaleca się, aby państwa członkowskie współpracowały w dobrej wierze i bez zbędnej zwłoki wymieniały między sobą i z agencją ENISA informacje o incydentach cybernetycznych na dużą skalę i kryzysach cybernetycznych. Takie informacje powinny dodatkowo pomóc agencji ENISA w wykonywaniu zadań operacyjnych. (22)Jako element regularnej współpracy na poziomie technicznym służącej wzmocnieniu unijnej orientacji sytuacyjnej Agencja powinna regularnie przygotowywać techniczny raport sytuacyjny na temat bezpieczeństwa cybernetycznego w UE dotyczący incydentów i zagrożeń, oparty na publicznie dostępnych informacjach, swojej własnej analizie i sprawozdaniach przekazanych przez CSIRT państw członkowskich (na zasadzie dobrowolności) lub pojedyncze punkty kontaktowe powołane zgodnie z dyrektywą w sprawie bezpieczeństwa sieci i informacji, Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3) przy Europolu i CERT-UE oraz – w stosownych przypadkach – Centrum Analiz Wywiadowczych Unii Europejskiej (INTCEN) Europejskiej Służby Działań Zewnętrznych (ESDZ). Raport ten należy udostępniać odpowiednim instancjom Rady, Komisji, Wysokiego Przedstawiciela Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa oraz sieci CSIRT. (23)Techniczne postępowania wyjaśniające ex post dotyczące incydentów o istotnych skutkach w więcej niż jednym państwie członkowskim, wspierane lub podejmowane przez Agencję na wniosek lub za zgodą zainteresowanych państw członkowskich, powinny się koncentrować na zapobieganiu przyszłym incydentom i być przeprowadzane bez uszczerbku dla jakichkolwiek postępowań sądowych lub administracyjnych mających na celu przypisanie winy lub odpowiedzialności. (24)Zainteresowane państwa członkowskie powinny zapewniać Agencji informacje i pomoc niezbędne do celów postępowań wyjaśniających, bez uszczerbku dla postanowień art. 346 Traktatu o funkcjonowaniu Unii Europejskiej lub innych względów porządku publicznego. (25)Państwa członkowskie mogą wzywać przedsiębiorstwa, których dotyczy dany incydent, do współpracy, polegającej na zapewnieniu Agencji niezbędnych informacji i pomocy, bez uszczerbku dla ich prawa do ochrony szczególnie chronionych informacji handlowych. (26)Aby lepiej pojmować wyzwania w dziedzinie bezpieczeństwa cybernetycznego i z myślą o zapewnianiu strategicznego długoterminowego doradztwa państwom członkowskim i instytucjom Unii, Agencja musi analizować bieżące i pojawiające się zagrożenia. W tym celu Agencja powinna, we współpracy z państwami członkowskimi oraz, w stosownych przypadkach, z urzędami statystycznymi i innymi podmiotami, gromadzić odpowiednie informacje, przeprowadzać analizy powstających technologii oraz zapewniać oceny tematyczne dotyczące spodziewanego wpływu społecznego, prawnego, gospodarczego i regulacyjnego wywieranego przez innowacje technologiczne na bezpieczeństwo sieci i informacji, a w szczególności na bezpieczeństwo cybernetyczne. Agencja powinna ponadto – poprzez przeprowadzanie analiz zagrożeń i incydentów – wspierać państwa członkowskie oraz instytucje, agencje i organy Unii w identyfikowaniu pojawiających się tendencji i zapobieganiu problemom związanym z bezpieczeństwem cybernetycznym. (27)W celu wzmocnienia odporności Unii Agencja powinna przyczyniać się do osiągnięcia doskonałości w dziedzinie bezpieczeństwa infrastruktury internetowej i infrastruktur krytycznych, zapewniając doradztwo, wytyczne i najlepsze praktyki. Z myślą o zapewnieniu łatwiejszego dostępu do bardziej usystematyzowanych informacji na temat zagrożeń dla bezpieczeństwa cybernetycznego i potencjalnych środków zaradczych Agencja powinna rozwijać i utrzymywać unijny „węzeł informacyjny” – portal stanowiący punkt kompleksowej obsługi zapewniający ogółowi społeczeństwa informacje na temat bezpieczeństwa cybernetycznego pochodzące od unijnych i krajowych instytucji, agencji i organów. (28)Agencja powinna działać na rzecz podniesienia poziomu świadomości ogółu społeczeństwa na temat różnych postaci ryzyka związanego z bezpieczeństwem cybernetycznym i przedstawiać skierowane do obywateli i organizacji wytyczne na temat dobrych praktyk, które powinni stosować użytkownicy końcowi. Agencja powinna również przyczyniać się do propagowania najlepszych praktyk i rozwiązań na poziomie jednostek i organizacji poprzez gromadzenie i analizowanie publicznie dostępnych informacji dotyczących istotnych incydentów oraz poprzez sporządzanie raportów w celu dostarczenia wytycznych przedsiębiorstwom i obywatelom oraz poprawy ogólnego poziomu gotowości i odporności. Agencja powinna ponadto organizować, we współpracy z państwami członkowskimi oraz instytucjami, organami i jednostkami organizacyjnymi Unii, regularne działania informacyjne i publiczne kampanie edukacyjne skierowane do użytkowników końcowych, mające na celu propagowanie bezpieczniejszych zachowań użytkowników w internecie oraz podnoszenie poziomu wiedzy o potencjalnych zagrożeniach występujących w cyberprzestrzeni, w tym o cyberprzestępstwach takich jak ataki phishingowe (wyłudzanie informacji), botnety oraz oszustwa finansowe i bankowe, a także mające na celu promocję podstawowego doradztwa w kwestii uwierzytelniania i ochrony danych. Agencja powinna odgrywać centralną rolę w przyspieszaniu rozwoju wiedzy użytkowników końcowych na temat bezpieczeństwa urządzeń. (29)W celu wspierania przedsiębiorstw działających w sektorze bezpieczeństwa cybernetycznego, jak również użytkowników rozwiązań w tym zakresie, Agencja powinna rozwijać i utrzymywać „centrum monitorowania rynku” poprzez przeprowadzanie regularnych analiz i upowszechnianie wiedzy o głównych tendencjach na rynku bezpieczeństwa cybernetycznego, zarówno po stronie popytu, jak i podaży. (30)Dla zapewnienia pełnej realizacji swoich celów Agencja powinna współpracować z odpowiednimi instytucjami, agencjami i organami, w tym z CERT-UE, Europejskim Centrum ds. Walki z Cyberprzestępczością (EC3) przy Europolu, Europejską Agencją Obrony (EDA), Europejską Agencją ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi (eu-LISA), Europejską Agencją Bezpieczeństwa Lotniczego (EASA) i każdą inną agencją UE zaangażowaną w kwestie bezpieczeństwa cybernetycznego. Agencja powinna również współpracować z organami zajmującymi się ochroną danych, aby wymieniać know-how i najlepsze praktyki oraz zapewniać doradztwo dotyczące tych aspektów bezpieczeństwa cybernetycznego, które mogą mieć wpływ na ich pracę. Przedstawiciele krajowych i unijnych organów ds. egzekwowania prawa oraz ochrony danych powinni być uprawnieni do przynależności do istniejącej przy Agencji Stałej Grupy Przedstawicieli Zainteresowanych Stron. Utrzymując kontakty z organami egzekwowania prawa w kwestiach z zakresu bezpieczeństwa sieci i informacji, które mogłyby mieć wpływ na ich pracę, Agencja powinna respektować istniejące kanały informacji i ustanowione sieci. (31)Agencja jako członek, który ponadto zapewnia sieci CSIRT obsługę sekretariatu, powinna wspierać CSIRT państw członkowskich i CERT-UE we współpracy operacyjnej dotyczącej wszystkich odpowiednich zadań sieci CSIRT określonych w dyrektywie w sprawie bezpieczeństwa sieci i informacji. Agencja powinna ponadto propagować i wspierać współpracę między odpowiednimi zespołami CSIRT w przypadku incydentów, ataków bądź zakłóceń dotyczących sieci lub infrastruktury zarządzanej lub chronionej przez zespoły CSIRT i angażujących lub potencjalnie angażujących co najmniej dwa zespoły CSIRT, z należytym uwzględnieniem standardowych procedur operacyjnych sieci CSIRT. (32)W celu zwiększenia gotowości Unii do reagowania na incydenty cybernetyczne Agencja powinna organizować coroczne ćwiczenia w dziedzinie bezpieczeństwa cybernetycznego na szczeblu unijnym i wspierać państwa członkowskie oraz instytucje, agencje i organy UE – na ich wniosek – przy organizacji ćwiczeń. (33)Agencja powinna dodatkowo rozwijać i utrzymywać swoją wiedzę fachową w dziedzinie certyfikacji bezpieczeństwa cybernetycznego w celu wspierania polityki Unii w tej dziedzinie. Agencja powinna propagować wprowadzenie certyfikacji bezpieczeństwa cybernetycznego w Unii, w tym poprzez przyczynianie się do utworzenia i utrzymywania ram certyfikacji bezpieczeństwa cybernetycznego na szczeblu unijnym, z myślą o zwiększeniu przejrzystości w zakresie zapewniania bezpieczeństwa cybernetycznego produktów i usług ICT i zwiększeniu dzięki temu zaufania do wewnętrznego rynku cyfrowego.

(34)Skuteczna polityka bezpieczeństwa cybernetycznego powinna opierać się na dobrze opracowanych metodach oceny ryzyka, zarówno w sektorze publicznym, jak i prywatnym. Metody oceny ryzyka są używane na różnych poziomach bez wspólnej praktyki dotyczącej sposobu ich skutecznego stosowania. Propagowanie i rozwój najlepszych praktyk w zakresie oceny ryzyka oraz interoperacyjnych rozwiązań w zakresie zarządzania ryzykiem w organizacjach sektora publicznego i prywatnego zwiększy poziom bezpieczeństwa cybernetycznego w Unii. W tym celu Agencja powinna wspierać współpracę między zainteresowanymi stronami na szczeblu Unii, ułatwiając im utworzenie i wprowadzenie europejskich i międzynarodowych norm dotyczących zarządzania ryzykiem oraz wymiernych wskaźników bezpieczeństwa produktów, systemów, sieci i usług elektronicznych, które wraz z oprogramowaniem współtworzą sieć i systemy informatyczne. (35)Agencja powinna zachęcać państwa członkowskie i usługodawców do podnoszenia ich ogólnych standardów bezpieczeństwa, tak aby wszyscy użytkownicy internetu mogli zastosować niezbędne kroki celem zapewnienia sobie własnego bezpieczeństwa cybernetycznego. Dostawcy usług i wytwórcy produktów powinni w szczególności wycofywać lub przetwarzać produkty i usługi niespełniające norm bezpieczeństwa cybernetycznego. We współpracy z właściwymi organami ENISA może rozpowszechniać informacje dotyczące poziomu bezpieczeństwa cybernetycznego produktów i usług oferowanych na rynku wewnętrznym oraz wydawać ostrzeżenia skierowane do dostawców i producentów, żądając od nich poprawy poziomu bezpieczeństwa – w tym bezpieczeństwa cybernetycznego – ich produktów i usług. (36)Agencja powinna w pełni uwzględniać bieżącą działalność w zakresie badań naukowych, rozwoju i oceny technologicznej, w szczególności prowadzoną w ramach różnych unijnych inicjatyw badawczych, w celu doradzania instytucjom, organom i jednostkom organizacyjnym Unii, a także – w stosownych przypadkach i na ich wniosek – państwom członkowskim w kwestii potrzeb badawczych w dziedzinie bezpieczeństwa sieci i informacji, a w szczególności bezpieczeństwa cybernetycznego. (37)Problemy bezpieczeństwa cybernetycznego mają charakter globalny. Istnieje potrzeba zacieśnienia współpracy międzynarodowej w celu poprawy norm bezpieczeństwa – w tym zdefiniowania wspólnych norm zachowania – oraz wymiany informacji, propagowania sprawniejszej współpracy międzynarodowej w reakcji na kwestie bezpieczeństwa sieci i informacji oraz w celu wypracowania wspólnego globalnego podejścia do tych kwestii. W tym celu Agencja powinna wspierać dalsze zaangażowanie Unii oraz współpracę z państwami trzecimi i organizacjami międzynarodowymi, udostępniając, w stosownych przypadkach, właściwym instytucjom, organom i jednostkom organizacyjnym Unii niezbędną wiedzę fachową i analizy. (38)Agencja powinna być w stanie odpowiadać na wchodzące w zakres celów Agencji doraźne wnioski o doradztwo i pomoc ze strony państw członkowskich oraz instytucji, agencji i organów UE. (39)Konieczne jest wdrożenie określonych zasad dotyczących zarządzania Agencją, aby spełnić wymogi wspólnego oświadczenia i wspólnego podejścia, uzgodnionych w ramach międzyinstytucjonalnej grupy roboczej ds. agencji zdecentralizowanych UE w lipcu 2012 r., których celem jest usprawnienie działań agencji i zwiększenie ich skuteczności. Wspólne oświadczenie i wspólne podejście powinny również znaleźć odpowiednie odzwierciedlenie w programach prac Agencji, jej ocenach, a także w sprawozdawczości Agencji i jej praktyce administracyjnej. (40)Zarząd składający się z przedstawicieli państw członkowskich i Komisji powinien określać ogólny kierunek działalności Agencji oraz zapewniać, aby wykonywała ona swoje zadania zgodnie z niniejszym rozporządzeniem. Zarząd powinien posiadać uprawnienia niezbędne do uchwalania budżetu, kontroli jego wykonania, przyjmowania stosownych przepisów finansowych, ustalania przejrzystych procedur pracy w zakresie podejmowania decyzji przez Agencję, przyjmowania jednolitego dokumentu programowego Agencji, uchwalania jej regulaminu wewnętrznego, powoływania dyrektora wykonawczego oraz podejmowania decyzji o przedłużeniu jego kadencji lub jej zakończeniu. (41)Aby Agencja mogła prawidłowo i skutecznie funkcjonować, Komisja i państwa członkowskie powinny zapewnić, aby osoby, które mają zostać powołane na członków zarządu, posiadały odpowiednią zawodową wiedzę fachową i doświadczenie w dziedzinach funkcjonalnych. Komisja i państwa członkowskie powinny również dołożyć starań, aby ograniczyć rotację swoich przedstawicieli w zarządzie, tak aby zapewnić ciągłość jego pracy. (42)Sprawne funkcjonowanie Agencji wymaga, aby dyrektor wykonawczy był powoływany w oparciu o względy merytoryczne oraz udokumentowane umiejętności administracyjne i zarządcze, a także kompetencje i doświadczenie w zakresie bezpieczeństwa cybernetycznego, oraz aby wykonywał swoje obowiązki w sposób całkowicie niezależny. Dyrektor wykonawczy powinien opracowywać propozycję programu prac Agencji, po uprzednim zasięgnięciu opinii Komisji, oraz podjąć wszystkie niezbędne czynności w celu zapewnienia prawidłowego wykonania tego programu. Dyrektor wykonawczy powinien przygotowywać sprawozdanie roczne przedkładane zarządowi, sporządzać projekt preliminarza dochodów i wydatków Agencji oraz wykonywać budżet. Dyrektor wykonawczy powinien mieć ponadto możliwość powoływania grup roboczych ad hoc w celu rozwiązywania określonych kwestii, w szczególności o charakterze naukowym, technicznym, prawnym lub społeczno-gospodarczym. Dyrektor wykonawczy powinien zapewnić, aby członkowie grup roboczych ad hoc byli wybierani według najbardziej rygorystycznych kryteriów dotyczących kompetencji zawodowych, z należytym uwzględnieniem zrównoważonej reprezentacji – w zależności od specyfiki rozpatrywanych kwestii – przedstawicieli administracji publicznej państw członkowskich, instytucji Unii i sektora prywatnego, w tym przemysłu, użytkowników oraz ekspertów akademickich w dziedzinie bezpieczeństwa sieci i informacji. (43)Rada wykonawcza powinna przyczyniać się do skutecznego funkcjonowania zarządu. W ramach swoich prac przygotowawczych dotyczących decyzji zarządu powinna ona szczegółowo badać odpowiednie informacje, analizować dostępne warianty oraz oferować doradztwo i rozwiązania w celu przygotowania odpo