PL    PL PL 
 
PL    PL  KOMISJA EUROPEJSKA  
Bruksela, dnia 30.9.2010 
SEC(2010)1127. 
DOKUMENT ROBOCZY S ŁUŻB KOMISJI 
STRESZCZENIE OCENY SKUTKÓW  
 
Dokument uzupe łniający 
  
Wniosek dotycz ący  
 
ROZPORZ ĄDZENIA PARLAMENTU EUROPEJSKIEGO I RADY  
 
w sprawie Europejskiej Agencji ds. Bezpiecze ństwa Sieci i Informacji (ENISA) 
  
{COM(2010) 521  wersja ostateczna } 
{SEC(2010) 1126} 
 
PL 2   PL STRESZCZENIE OCENY SKUTKÓW  
1. ZAKRES I KONTEKST  
1.1. Zakres 
Przedmiotowa ocena skutków dotyczy optymal nego sposobu organizacji zmodernizowanej 
agencji ds. bezpiecze ństwa sieci i informacji, uznawanej powszechnie za w łaściwy instrument 
polityki niezb ędny dla sprostania wyzwaniom zwi ązanym z bezpiecze ństwem sieci i 
informacji, w celu wspierania organów pa ństw członkowskich i Komisji w realizacji celów 
polityki w tej dziedzinie po wyga śnięciu mandatu Europejskiej Agencji ds. Bezpiecze ństwa 
Sieci i Informacji (ENISA) w marcu 2012 r. 
1.2. Kontekst 
W dzisiejszym świecie spo łeczeństwo i gospodarka s ą w sposób zasadniczy uzale żnione od 
właściwego funkcjonowania technologii informacy jno-komunikacyjnych (TIK). Dlatego te ż 
podstawowe znaczenie ma zagwarantowanie stabilno ści systemów oraz zaufania 
użytkowników do nich. Rosn ąca liczba zagro żeń, ataków i szkodliwych programów 
używanych przeciwko systemom mo że stwarza ć ryzyko dla w łaściwego funkcjonowania 
podstawowej infrastruktury siec iowej i informacyjnej. Ze wzgl ędu na transnarodowy 
charakter takich systemów i sieci potrzebna jest europejska odpowied ź na wyzwanie zwi ązane 
z bezpiecze ństwem sieci i informacji. 
W związku z powy ższym w 2004 r. powo łano na okres pi ęciu lat Europejsk ą Agencję ds. 
Bezpiecze ństwa Sieci i Informacji (ENISA)1 w celu „zapewnienia wysokiego i skutecznego 
poziomu bezpiecze ństwa sieci i informacji we Wspólnocie, […] oraz rozwijania kultury 
bezpiecze ństwa sieci i informacji na rzecz:  obywateli, kon sumentów, przedsi ębiorstw oraz 
organizacji sektora publicznego Unii Eu ropejskiej, a zatem, zapewnienia p łynnego 
funkcjonowania rynku wewn ętrznego”. 
Od tego czasu wyzwania zwi ązane z bezpiecze ństwem sieci i informacji ewoluowa ły 
nieprzerwanie wraz z rozwojem  technologii i rynku. Dlatego te ż Komisja, z odpowiednim 
wyprzedzeniem w stosunku do terminu wyga śnięcia rozporz ądzenia ENISA w marcu 2009 r., 
zainicjowa ła proces maj ący na celu ustalenie we wspó łpracy z zainteresowanymi stronami, 
jakie warianty pol ityki najlepiej s łużyłyby osiągnięciu celów UE w tej dziedzinie od 2009 r. 
W następstwie przeprowadzonej w 2007 r. oceny okresowej2 ENISA i konsultacji 
społecznych3, dnia 24 wrze śnia 2008 r. Parlament Europejski i Rada przyj ęły rozporz ądzenie 
przedłużające mandat ENISA na niezmienionych warunkach o trzy lata, do dnia 13 marca 
2012 r.4 W motywach do wspomnianego rozporz ądzenia Parlament Europejski i Rada 
                                                 
1 Rozporz ądzenie (WE) nr 460/2004 Parlamentu Europejskiego i Rady z dnia 10 marca 2004 r. 
ustanawiaj ące Europejsk ą Agencję ds. Bezpiecze ństwa Sieci i Informacji. 
2 Komunikat Komisji do Parlamentu Europejskiego i Rady w sprawie oceny Europejskiej Agencji 
Bezpiecze ństwa Sieci i Informacji (ENISA), COM(2007) 285 z 1.6.2007: 
 http://eur-lex.europa.eu/LexUriServ/Le xUriServ.do?uri=CELEX :52007DC0285:EN:NOT. 
3 Konsultacje odbywa ły się od 13 czerwca do 7 wrze śnia 2007 r. 
4 Rozporz ądzenie Parlamentu Europejskiego i Rady (WE) nr 1007/2008 z dnia 24 wrze śnia 2008 r. 
zmieniające rozporz ądzenie (WE) nr 460/2004 ustanawiaj ące Europejsk ą Agencję ds. Bezpiecze ństwa 
Sieci i Informacji w zakresie okresu jej dzia łania (Dz.U. L 293 z 31.10.2008, s. 1). 
 
PL 3   PL wzywały do „dalszej dyskusji w sprawie Agencji [i] ogólnego kierunku europejskich 
starań o zwiększenie bezpiecze ństwa sieci i informacji” . 
Komisja u łatwiła dyskusj ę, rozpoczynaj ąc w listopadzie 2008 r. dodatkowe ogólnounijne 
konsultacje spo łeczne w sprawie mo żliwych celów udoskonalonej polityki w tej dziedzinie 
oraz sposobów ich osi ągnięcia5. Ponadto w grudniu 2008 r. Komisja zorganizowa ła warsztaty 
z udziałem ekspertów ds. bezpiecze ństwa sieci i informacji, pochodz ących z w łaściwych 
organów pa ństw członkowskich, po święcone instrumentom i mechanizmom udoskonalonej 
polityki UE w tej dziedzinie. Dodatkowo w marcu 2009 r. Komisja przyj ęła komunikat w 
sprawie ochrony krytycznej in frastruktury informatycznej6, wskazuj ący na kluczow ą rolę 
ENISA polegaj ącą na wspieraniu UE pod wzgl ędem zwiększania gotowo ści, bezpiecze ństwa i 
odporności. To podej ście zosta ło przyjęte podczas konferencji ministerialnej w sprawie 
ochrony krytycznej infrastruktur y informatycznej, która odby ła się w Tallinie w dniach 27 i 
28 kwietnia 2009 r., a w jednej z konkl uzji z tej konferencji stwierdzono, że „nowe i 
długofalowe przysz łe wyzwania wymagaj ą jednak gruntownego przemy ślenia i 
przekszta łcenia mandatu agencji, aby lepiej skupi ć się na priorytetach i potrzebach UE;  
osiągnąć bardziej elastyczn ą zdolność reagowania;  rozwinąć europejskie umiej ętności i 
kompetencje;  oraz stymulowa ć skuteczno ść operacyjn ą agencji i jej ogólny wp ływ. W ten 
sposób ENISA mog łaby mieć trwałą wartość dla każdego państwa członkowskiego i Unii 
Europejskiej jako ca łości”. 
Dnia 18 grudnia 2009 r. Rada przyj ęła rezolucj ę w sprawie „wspólnego europejskiego 
podejścia do bezpiecze ństwa sieci i informacji”7, w której podkre ślono, że „Agencja ENISA, 
działająca na podstawie zmienionego mandatu, powinna pe łnić rolę unijnego o środka 
wiedzy specjalistycznej w sprawach zwi ązanych z bezpiecze ństwem sieci i informacji w 
UE” . 
W przygotowanej przez Komisj ę strategii „Europa 2020” na rzecz inteligentnego i 
zrównowa żonego rozwoju sprzyjaj ącego włączeniu spo łecznemu8 jednym z projektów 
przewodnich s łużących realizacji strategii jest eur opejska agenda cyfrowa, w której 
bezpiecze ństwo sieci i informacji odgrywa kluczow ą rolę. Celem tej inicjatywy politycznej 
na rzecz zaufania i bezpiecze ństwa w ramach europejskiej agendy cyfrowej jest 
umożliwienie UE, pa ństwom cz łonkowskim i zainteresowanym stronom uzyskania 
wysokiego poziomu zdolno ści i gotowo ści do zapobiegania problemom w zakresie 
bezpiecze ństwa sieci i informacji, wykrywania ich oraz skuteczniejszego reagowania na 
nie. W ten sposób przyczyni si ę ona do wzrostu zaufania i bezpiecze ństwa na europejskim 
jednolitym rynku cyfrowym oraz do poprawy konkurencyjno ści przedsi ębiorstw europejskich. 
                                                 
5 Od 7 listopada 2008 r. do 9 stycznia 2009 r. Sprawozdanie dost ępne pod adresem:  
http://ec.europa.eu/information_society/policy/nis/nis_public_consultation/index_en.htm . 
6 Komunikat Komisji do Parlamentu Europejskiego i Rady w sprawie ochrony krytycznej infrastruktury 
informatycznej, COM(2009)149 z 30.3.2009. 
7 Rezolucja Rady z dnia 18 grudnia 2009 r. w sprawie wspólnego europejskiego podej ścia do 
bezpiecze ństwa sieci i informacji (Dz.U.  C 321 z 29.12.2009, s. 1). 
8 COM(2010)2020. 
 
PL 4   PL 2. DEFINICJA PROBLEMU  
2.1. Na czym polega problem? 
Zidentyfikowano poni ższe czynniki powoduj ące problemy i nara żające zainteresowane strony 
na zagrożenia i incydenty w zakresie bezpiecze ństwa sieci i informacji. Wszystkie one 
potwierdzaj ą, że potrzebna jest niezawodna struktura na poziomie UE, umo żliwiająca 
uporanie si ę z problemem i dotrzymyw anie kroku – w skali ca łej Europy – stale zmieniaj ącej 
się technologii i war unkom rynkowym maj ącym wpływ na bezpiecze ństwo sieci i informacji.  
• Zróżnicowanie i rozdrobnienie podej ść krajowych.  Problemy w zakresie 
bezpiecze ństwa sieci i informacji przekraczaj ą granice pa ństw, dlatego te ż niemożliwe jest 
ich skuteczne rozwi ązanie wy łącznie na poziomie krajowym. Jednocze śnie władze 
publiczne w poszczególnych pa ństwach cz łonkowskich przyjmuj ą wiele różnych podej ść 
do problemu. Wielo ść wymogów w zakresie bezpiecze ństwa w poszczególnych pa ństwach 
członkowskich oznacza wi ększe koszty dla przedsi ębiorstw dzia łających w skali ca łej UE 
oraz prowadzi do rozdrobni enia i braku konkurencji na  europejskim rynku wewn ętrznym.  
• Ograniczona zdolno ść Europy do wczesnego ostrzegania i reagowania. Obecne 
krajowe systemy wczesnego ostrzegani a i reagowania na incydenty ró żnią się znacznie w 
poszczególnych pa ństwach cz łonkowskich, nie istnieje natomiast system unijny. Potrzebne 
są instrumenty polityki UE umo żliwiające identyfikacj ę czynników ryzyka w zakresie 
bezpiecze ństwa sieci i informac ji oraz sytuacji podatno ści na zagro żenia, okre ślające 
odpowiednie mechanizmy r eagowania i zapewniaj ące poznanie i stosowanie tych 
mechanizmów przez zainteresowane strony. 
• Brak wiarygodnych danych i ograniczona wiedza o ewoluuj ących problemach.  
Dostępnych jest bardzo niewiele wiarygodnych informacji ilo ściowych o skutkach lub 
nawet o wyst ępowaniu incydentów w zakresie bezpiecze ństwa sieci i informacji, co 
utrudnia decydentom przyj ęcie odpowiednich środków politycznych, a przedsi ębiorstwom 
– podejmowanie decyzji dotycz ących inwestycji w zabezpieczenia.  
• Brak świadomo ści zagro żeń i wyzwa ń związanych z bezpiecze ństwem sieci i 
informacji. Odpowiedzialno ść za zapewnienie bezpiecze ństwa informacji i sieci spoczywa 
na poszczególnych zainteresowanych stronach, jednak że ich obowi ązki nie zawsze s ą jasno 
definiowane i komunikowane. Z jednej strony konsumenci cz ęsto nie doceniaj ą zagrożeń 
w tej dziedzinie i ignoruj ą swoją osobistą odpowiedzialno ść za zabezpieczenie w łasnych 
systemów informacyjno-komunikacyjnych. Z drugiej strony przedsi ębiorstwa cz ęsto 
dostrzegaj ą głównie koszty takich zabezpiecze ń, a nie potencjalne oszcz ędności z nich 
wynikające.  
• Międzynarodowy wymiar problemów w zakresie bezpiecze ństwa sieci i informacji.  
Zagrożenia dla bezpiecze ństwa sieci i informacji oraz wynikaj ące z nich incydenty maj ą 
charakter mi ędzynarodowy, zatem dzia łania UE mog ą być mniej skuteczne, je śli problemy 
w tej dziedzinie nie b ędą odpowiednio rozwi ązywane na poziomie mi ędzynarodowym. 
Konieczne jest opracowanie strategii UE oraz okre ślenie punktu odniesienia dla 
bezpiecze ństwa sieci i informacji, co zapewni UE lepsz ą pozycję międzynarodow ą. 
• Zapotrzebowanie na modele wspó łpracy zapewniaj ące odpowiedni ą realizacj ę 
polityki.  Odpowiednia realizacja polityki bezpiecze ństwa sieci i informacji wymaga 
modeli wspó łpracy na poziomie UE. Zain teresowane strony potrzebuj ą wytycznych 
 
PL 5   PL dotyczących identyfikacji zagro żeń w tej dziedzinie oraz ro zwoju dobrych praktyk w 
zakresie realizacji obowi ązującej polityki bezpiecze ństwa sieci i informacji. 
• Potrzeba bardziej skutecznych dzia łań przeciwko cyberprzest ępczości. Działania na 
rzecz bezpiecze ństwa sieci i informacji organizowano g łównie w ramach by łego 
pierwszego filaru, tj. spraw omaw ianych przez instytucje. Jednak że w związku z wej ściem 
w życie traktatu lizbo ńskiego konieczne jest uwzgl ędnienie szerszego zakresu zada ń dla 
agencji zajmuj ącej się tą dziedzin ą, obejmuj ącego także obszary „drugiego i trzeciego 
filaru”, tj. sprawy, w któr ych poprzednio decyzje podejmowa ła sama Rada.  
2.2. Kogo problem dotyka w najwi ększym stopniu? 
Incydenty w zakresie bezpiecze ństwa sieci i informacji mog ą mieć bardzo du ży wpływ na 
wiele różnych zainteresowanych stron, w tym na du że i małe przedsi ębiorstwa, w ładze 
publiczne i organy administracji, a tak że na poszczególnych obywateli. Innymi s łowy, 
zagadnienia bezpiecze ństwa sieci i informacji dotycz ą każdego i ka żdy jest za nie 
odpowiedzialny. 
W odniesieniu do dok ładnej liczby incydentów w zakresie bezpiecze ństwa sieci i informacji 
lub wynikaj ących z nich skutków gospodarczych dost ępnych jest niewiele obiektywnych 
informacji ilo ściowych b ądź też w ogóle brakuje takich danych. Pewn ą wskazówk ę zapewnia 
badanie rynku przeprowadzone przez firm ę IDC EMEA9, z którego wynika, że w ciągu 
ostatnich 12 miesi ęcy problemy zwi ązane ze spamem lub wirusami dotkn ęły 28% 
gospodarstw domowych w krajach UE-27. W ci ągu ostatniego roku incydenty w zakresie 
bezpiecze ństwa przydarzy ły się średnio 7% podmiotów gospodarczych. 
3. UZASADNIENIE DZIA ŁANIA UE,  WARTO ŚĆ DODANA UE I POMOCNICZO ŚĆ 
Współzależność sieci i systemów informatycznyc h w stopniu skrajnym utrudnia, je śli wręcz 
nie uniemo żliwia, poszczególnym podmiotom dokonanie prawid łowej oceny globalnego 
oddziaływania gospodarczego i spo łecznego środków podejmowanych przez takie podmioty 
w celu zabezpieczenia si ę przed incydentami w zakresie bezpiecze ństwa sieci i informacji. 
Różne krajowe polityki i praktyki wp ływają na rynek wewn ętrzny zarówno poprzez 
negatywne skutki zewn ętrzne incydentów w zakresie bezpiecze ństwa sieci i informacji 
(nieodpowiednia polityka wp ływa na rynki pozosta łych państw członkowskich), jak i poprzez 
pozytywne skutki zewn ętrzne praktyk w tej dziedzinie (dobra praktyka w jednym pa ństwie 
członkowskim poprawia bezpiecze ństwo sieci i inform acji w ogóle, przynosz ąc w ten sposób 
oczywistą korzyść społeczną). Dlatego te ż ingerencja polityczna UE jest uzasadniona, gdy ż 
zapewni rzeczywist ą wartość dodaną dla funkcjonowania rynku wewn ętrznego. Tak ą wartość 
dodaną dostrzeżono już przy okazji rozporz ądzenia (WE) nr 460/2004 ustanawiaj ącego 
ENISA, zgodnie z którym kompetencje ENISA maj ą na celu wspieranie sprawnego 
funkcjonowania rynku wewn ętrznego. 
Ponadto ingerencj ę UE w polityk ę bezpiecze ństwa sieci i informacji uzasadnia zasada 
pomocniczo ści. Jak zauwa żono w komunikacie w sprawie ochr ony krytycznej infrastruktury 
                                                 
9 IDC EMEA, The European Network and Information Security Market, Scenario, Trends and 
Challenges (Europejski rynek bezpiecze ństwa sieci i informacji, scenar iusz, tendencje i wyzwania), 
kwiecień 2009 r., z odniesieniem do badania Eurobarometru dotycz ącego łączności elektronicznej z 
kwietnia 2007 r. 
 
PL 6   PL informatycznej, strategia UE polegaj ąca na całkowitym powstrzymaniu si ę od ingerencji w 
krajowe polityki bezpiecze ństwa sieci i informacji przypomina raczej sytuacj ę, w której prosi 
się państwa członkowskie o pilnowanie tylko w łasnych podwórek bez wzgl ędu na 
współzależność systemów informatycznych. Odpowiedni stopie ń koordynacji mi ędzy 
państwami cz łonkowskimi, zapewniaj ący możliwość odpowiedniego zarz ądzania 
transgranicznymi konsekwencjami zagro żeń dla bezpiecze ństwa sieci i informacji jest zatem 
zgodny z zasad ą pomocniczo ści. Ponadto dzia łanie UE zwi ększy skuteczno ść wszelkich 
obecnych polityk krajowych.  
Obywatele UE coraz cz ęściej powierzaj ą swoje dane skomplikowanym systemom 
informatycznym (np. cloud computing – „chmury obliczeniowe”). W zwi ązku z tym 
uzgodnione i opieraj ące się na wspó łpracy dzia łanie polityczne w zakresie bezpiecze ństwa 
sieci i informacji mo że mieć istotny korzystny wp ływ na skuteczn ą ochronę praw 
podstawowych , a zwłaszcza prawa do ochrony danych osobowych i prywatno ści. Także z 
tego wzgl ędu dalsze dzia łanie polityczne UE wydaje si ę mieć solidne uzasadnienie.  
4. CELE POLITYKI  
W przedmiotowej ocenie wp ływu poddaje si ę analizie zakres, w jakim zmodernizowan ą 
agencję zajmującą się bezpiecze ństwem sieci i informacji, uznawan ą powszechnie za 
najbardziej odpowiedni ą strukturę organizacyjn ą, można w sposób optymalny zorganizowa ć, 
aby wraz z pozosta łymi instrumentami Unii przyczynia ła się do osiągania celów polityki. 
Celem ogólnym jest umo żliwienie UE, pa ństwom cz łonkowskim i zainteresowanym 
stronom uzyskania wysokiego poziomu zdolno ści i gotowo ści do zapobiegania 
problemom w zakresie bezpiecze ństwa sieci i informacji, wykrywania ich oraz 
skuteczniejszego reagowania na nie. W ten sposób przyczyni si ę ona do wzrostu zaufania i 
bezpiecze ństwa na europejskim jednolitym  rynku cyfrowym oraz do poprawy 
konkurencyjno ści przedsi ębiorstw europejskich. 
Wspomniany cel obejmuje siedem celów szczegó łowych : 
(1) spójność podejść regulacyjnych  – zapewnienie wytycznych i doradztwa dla Komisji 
i państw członkowskich w zakresie nowelizacji i rozwoju kompleksowych ram 
prawnych w dziedzinie bezpiecze ństwa sieci i informacji; 
(2) zapobieganie, wykrywanie i reagowanie  – poprawa gotowo ści poprzez zwi ększenie 
europejskiej zdolno ści do wczesnego ostrzegania i reagowania na incydenty oraz 
wniesienie wk ładu w ogólnoeuropejskie plany i ćwiczenia na wypadek zagro żenia; 
(3) wsparcie procesu kszta łtowania polityki  – udzielanie wsparcia i doradztwa Komisji 
oraz państwom cz łonkowskim; 
(4) wzmocnienie pozycji zainteresowanych stron  – rozwój kultury bezpiecze ństwa i 
zarządzania ryzykiem poprzez stymulowan ie wymiany informacji oraz szerok ą 
współpracę między podmiotami z sektora publ icznego i prywatnego, tak że 
bezpośrednio na rzecz obywateli i M ŚP, jak równie ż rozwój kultury świadomości 
bezpiecze ństwa sieci i informacji; 
(5) uczynienie z Europy efektywnego podmiotu w kontek ście międzynarodowym  – 
osiągnięcie wysokiego poziomu wspó łpracy z pa ństwami trzecimi i organizacjami 
międzynarodowymi w celu promowania wspólnego globalnego podej ścia do 
 
PL 7   PL bezpiecze ństwa sieci i informacji oraz wprowadzenia w życie międzynarodowych 
inicjatyw wysokiego szczebla w Europie; 
(6) współpraca wdro żeniowa  – ułatwienie wspó łpracy w zakresie realizacji polityki 
bezpiecze ństwa sieci i informacji; 
(7) zwalczanie cyberprzest ępczości – przygotowanie skutecznych reakcji na 
cyberprzest ępstwa zwi ązane z aspektami bezpiecze ństwa sieci i informacji poprzez 
współpracę z organami (by łych) filarów drugiego i trzeciego, np. z Europolem. 
5. MOŻLIWE FORMATY ORGANIZACYJNE I WARIANTY POLITYKI  
W ocenie skutków analizuje si ę wiele mo żliwych formatów organizacyjnych 
umożliwiających realizacj ę powyższych wariantów polityki (rozdzia ł 4 i załącznik 4), takich 
jak: (i) agencja, (ii) mniej lub bardziej sformalizowane partnerstwo publiczno-prywatne 
(PPP), (iii) nieformalna sie ć kontaktów, (iv) sta ła sieć właściwych organów, oraz (v) 
bezpośrednie włączenie do s łużb Komisji.  
Z porównania tych ró żnych formatów organizacyjnych wynika, że rozwiązanie w postaci 
agencji wydaje si ę być najlepiej dostosowanym instrumentem polityki z uwagi na nast ępujące 
zalety: (1) pewno ść prawna co do struktury organizacyjnej, a tak że pod wzgl ędem treści, (2) 
adekwatno ść w odniesieniu do szczególnego charakteru tak wra żliwego sektora jak 
bezpiecze ństwo sieci i informacji (zewn ętrzne centrum wiedzy specjalistycznej, koordynacja 
relacji z zainteresowanymi stronami, zaanga żowanie pa ństw członkowskich) oraz (3) 
akceptacja i reputacja ENISA w spo łeczności specjalistów ds. bezpiecze ństwa sieci i 
informacji. 
W związku z tym w odniesieniu do formatu organizacyjnego Agencji opracowano i 
szczegółowo oceniono nast ępujące warianty polityki. 
Wariant polityki 1: brak polityki  
Wariant „Brak polityki” zak łada, że ENISA przestanie istnie ć po marcu 2012 r. oraz że żadna 
inna instytucja UE nie przejmie ca łości ani części jej bieżącej działalności.  
Zamknięcie ENISA oznacza łoby, że wszystkie poczynione dotychczas inwestycje, np. w 
utworzenie organizacji potrafi ącej przyci ągać osoby o wysokim poziomie specjalizacji, w 
gromadzenie do świadczenia, w budow ę sieci łączących ze sob ą zainteresowane strony oraz 
instytucje mi ędzynarodowe, zosta łyby wycofane w momencie, kiedy obecna Agencja 
osiągnęła niezbędny poziom zdolno ści do dzia łania.  
Złożony charakter problematyki bezpiecze ństwa sieci i informacj i w Europie wymaga 
obecności zmodernizowanej i wzmocnionej Agencji, a nie zamkni ęcia istniej ącej. Znajduje to 
potwierdzenie w roli wyra źnie przypisanej ENISA, np. w zreformowanych ramach prawnych 
łączności elektronicznej10 oraz w ogólnym poparciu wyra żanym przez zainteresowane strony 
na rzecz podniesienia rangi europejskiej agencji zajmuj ącej się tą dziedziną.  
Wariant polityki 2: kontynuacja dotychczasowej polityki  
                                                 
10 Zob. http://eur-lex.europa.eu/JOHtml.do?uri=OJ:L:2009:337:SOM:EN:HTML . 
 
PL 8   PL Wariant 2 stanowi scenariusz „kontynuacji dotychczasowych dzia łań”, tj. dalszego 
stosowania tego samego instrumentu polityki  w identycznej formie i z niezmienionymi 
zasobami. W śród zainteresowanych stron panuje ogólny konsensus, że ENISA dojrza ła do 
roli wiarygodnego punktu odnies ienia dla spraw bezpiecze ństwa sieci i informacji oraz że 
stała się w swojej dziedzinie centrum doskona łości.  
Biorąc pod uwag ę obecne ograniczenia kadrowe i bud żetowe, Agencja b ędzie w stanie 
wywierać wpływ tylko w bardzo ograni czonej liczbie spraw dotycz ących bezpiecze ństwa 
sieci i informacji. Jest to jednak sprzeczn e z ogólnymi oczekiwaniami zainteresowanych 
stron. Uniemo żliwienie Agencji dalszego rozwoj u oraz sprostania takim rosn ącym 
oczekiwaniom mog łoby ostatecznie doprowadzi ć do kryzysu wiarygodno ści.  
Wariant polityki 3: poszerze nie obecnego zakresu obowi ązków ENISA oraz w łączenie 
organów odpowiedzialnych za egzekwowanie prawa i ochron ę prywatno ści jako 
pełnoprawnych zainteresowanych stron  
Ten wariant przewiduje poszerzenie roli Agencji ze szczególnym uwzgl ędnieniem: 
• budowy i utrzymania sieci kontaktów mi ędzy zainteresowanymi stronami oraz sieci 
wiedzy; 
• funkcji ośrodka wsparcia w zakresie bezpiecze ństwa sieci i informacji w odniesieniu do 
opracowywania i realizacji polityki (w szczególno ści pod kątem kwestii prywatno ści w 
łączności elektronicznej, podpisu el ektronicznego, identyfikacji elektronicznej oraz zasad 
udzielania zamówie ń w zakresie bezpiecze ństwa sieci i informacji); 
• wsparcia polityki UE w zakresie ochrony kryt ycznej infrastruktury informatycznej i 
odporności (np. ćwiczenia, EP3R11, europejski system wymiany informacji i wczesnego 
ostrzegania itd.); 
• ustanowienia ram prawnych UE dotycz ących gromadzenia danych na temat 
bezpiecze ństwa sieci i informacji, w tym rozwoju metod i praktyk w zakresie ich legalnego 
przekazywania i wymiany; 
• analizy i sprawozdawczo ści w odniesieniu do aspektów gospodarczych zwi ązanych z 
bezpiecze ństwem sieci i informacji; 
• stymulowania wspó łpracy z pa ństwami trzecimi i organizacjami mi ędzynarodowymi w 
celu promowania wspólnego globalnego podej ścia do bezpiecze ństwa sieci i informacji 
oraz wprowadzenia w życie międzynarodowych inicjatyw wysokiego szczebla w Europie;  
• wykonywania zada ń nieoperacyjnych zwi ązanych z aspektami bezpiecze ństwa sieci i 
informacji dotycz ącymi egzekwowania prawa i wspó łpracy sądowej.  
Agencja dysponowa łaby wszystkimi zasobami niezb ędnymi do prowadzenia dzia łalności w 
zadowalaj ący, efektywny sposób, tj. umo żliwiający rzeczywiste oddzia ływanie. Maj ąc do 
dyspozycji wi ększe zasoby, ENISA mog łaby odgrywa ć znacznie bardziej aktywn ą rolę i 
podejmowa ć więcej inicjatyw maj ących na celu stymulowanie czynnego udzia łu 
zainteresowanych stron. Pona dto taka nowa sytuacja umo żliwiałaby większą elastyczno ść pod 
względem szybkiego reagowania na zmiany w stale zmieniaj ącym się środowisku 
bezpiecze ństwa sieci i informacji. 
                                                 
11 Europejskie partnerstwo publi czno-prywatne na rzecz odporno ści, zob. COM(2009)149. 
 
PL 9   PL Wariant polityki 4: dodanie funkcji operacyjnych dotycz ących zwalczania ataków 
cybernetycznych i reagowania na incydenty cybernetyczne  
Oprócz dzia łań określonych w wariancie 3, Agencja pe łniłaby funkcje operacyjne, m.in. 
przyjmując bardziej aktywn ą rolę w ochronie krytycznej infras truktury informatycznej UE, 
np. w zakresie zapobiegania incydent om i reagowania na nie, wyst ępując zwłaszcza w 
charakterze unijnego zespo łu reagowania na incydenty komputerowe (CERT) w zakresie 
bezpiecze ństwa sieci i informacji oraz koordynuj ąc działania europejskich zespo łów CERT 
jako centrum kryzysowe UE ds. bezpiecze ństwa sieci i informacji, w łącznie z codziennym 
zarządzaniem dzia łalnością i współpracą ze służbami ratunkowymi.  
Ten wariant wymaga znacznego zwi ększenia bud żetu i zasobów ludzkich Agencji, co budzi 
obawy dotycz ące jej zdolno ści absorpcyjnej i efektywnego wykorzystania bud żetu w 
stosunku do uzyskanych korzy ści.  
Wariant polityki 5: dodanie funkcji operacyjnych dotycz ących wspierania organów 
egzekwowania prawa i organów s ądowych w zwalczaniu cyberprzest ępczości 
Oprócz dzia łań wymienionych w wariancie 4, ten wariant przydziela łby Agencji funkcje 
związane z: 
• udzielaniem wsparcia w zakresie prawa procesowego (por. konwencja o 
cyberprzest ępczości): np. gromadzenie danych o ruchu w sieci, przechwytywanie danych 
dotyczących treści, monitorowanie przep ływów w przypadku ataków typu denial-of-
service; 
• odgrywaniem roli centrum wiedzy specjalistyczne j na potrzeby dochodze ń obejmujących 
aspekty bezpiecze ństwa sieci i informacji. 
Podobnie jak wariant 4, tak że ten wymaga znacznego zwi ększenia zasobów Agencji i budzi 
podobne obawy dotycz ące zdolno ści absorpcyjnej i efektywnego wykorzystania bud żetu. 
6. PORÓWNANIE WARIANTÓW POLITYKI I OCENA SKUTKÓW  
Analiza mo żliwych skutków gospodarczych, spo łecznych i ekologicznych wykazuje, że 
wariant 1  miałby negatywne oddzia ływanie pod wszystkimi wzgl ędami i sytuacja uleg łaby 
pogorszeniu.  
Wariant 2  okazuje si ę nieoptymalny, gdy ż Agencja nie posiada łaby zasobów niezb ędnych, 
aby w odpowiedni sposób sprosta ć wyzwaniom stale zmieniaj ącego się środowiska 
bezpiecze ństwa sieci i informacji, co mog łoby spowodowa ć narażenie reputacji Agencji, a w 
rezultacie kryzys wiarygodno ści. 
Zgodnie z wariantem 3  zmodernizowana Agencja wnosi łaby wkład w: 
zmniejszenie rozdrobnienia podej ść krajowych (czynnik powoduj ący problemy nr 1), 
usprawnienie polityki i pr ocesów decyzyjnych bazuj ących na danych i wiedzy/informacjach 
(czynnik powoduj ący problemy nr 3) oraz podnoszenie ogólnej świadomości zagrożeń i 
wyzwań związanych z bezpiecze ństwem sieci i informacji i podejmowanie odpowiednich 
działań (czynnik powoduj ący problemy nr 4) poprzez wspieranie: 
 
PL 10   PL • bardziej efektywnego gromadzenia przez ka żde państwo członkowskie istotnych 
informacji o ryzyku, zagro żeniach i sytuacjach podatno ści na zagro żenia; 
• większej dost ępności informacji o obecnych i przysz łych wyzwaniach i 
zagrożeniach zwi ązanych z bezpiecze ństwem sieci i informacji; 
• stanowienia lepszej jako ściowo polityki bezpiecze ństwa sieci i informacji w 
państwach cz łonkowskich;  
poprawę zdolności Europy do wczesnego ostrzegania  i reagowania (czynnik powoduj ący 
problemy nr 2) poprzez: 
• pomoc dla Komisji i pa ństw członkowskich w organizacji ogólnoeuropejskich 
ćwiczeń, co pozwoli na osi ągnięcie korzy ści skali w reagowaniu na incydenty 
dotyczące całej UE; 
• ułatwienie funkcjonowania EP3R, co mo że ostatecznie prowadzi ć do dalszych 
inwestycji wynikaj ących z celów wspólnej polityki i ogólnounijnych norm 
bezpiecze ństwa i odporno ści; 
promowanie wspólnego globalnego podej ścia do bezpiecze ństwa sieci i informacji (czynnik 
powodujący problemy nr 5) poprzez: 
• intensyfikacj ę wymiany informacji i wiedzy z krajami nienale żącymi do UE; 
bardziej skuteczne i efekty wne zwalczanie cyberprzest ępczości (czynnik powoduj ący 
problemy nr 7) poprzez: 
• zaangażowanie w zadania nieoperacyjne zwi ązane z aspektami bezpiecze ństwa 
sieci i informacji dotycz ącymi egzekwowania prawa i wspó łpracy sądowej, takie 
jak dwukierunkowa wymiana informacji i szkolenia (np. we wspó łpracy z 
Europejskim Kolegium Policyjnym CEPOL). 
Wariant 4  miałby większe oddzia ływanie na poziomie operacyjnym, wykraczaj ące poza 
skutki wariantu 3. Wyst ępując w charakterze unijnego zespo łu CERT ds. bezpiecze ństwa 
sieci i informacji oraz koordynuj ąc działania krajowych zespo łów CERT, Agencja 
przyczyni łaby się np. do osi ągania większych korzy ści skali w zakresie reagowania na 
incydenty dotycz ące całej UE i do obni żenia ryzyka operacyjnego ponoszonego przez 
przedsiębiorstwa dzi ęki wyższemu poziomowi bezpiecze ństwa i odporno ści. 
Dzięki dodaniu funkcji operacyjnych dotycz ących wsparcia egzekwowania prawa i organów 
sądowych wariant 5  zapewni łby większą skuteczno ść zwalczania cyberprzest ępczości niż 
warianty 3 i 4. 
Jednakże podczas gdy zarówno wariant 4, jak i wariant 5 mia łyby bardziej pozytywne skutki 
niż wariant 3, oba stanowi łyby dla pa ństw członkowskich rozwi ązania wra żliwe politycznie, 
jeśli chodzi o obowi ązki w zakresie ochrony krytycznej infr astruktury informacyjnej (tj. wiele 
państw członkowskich nie opowiedzia łoby się za centralizacj ą funkcji operacyjnych). 
Ponadto poszerzenie mandatu  w sposób omówiony w zwi ązku z wariantami 4 i 5 mo że 
postawić Agencję w dwuznacznej sytuacji. Co wi ęcej, dodanie tych nowych i zupe łnie 
różnych zada ń operacyjnych do mandatu Agencji mo że wiązać się z dużymi wyzwaniami w 
 
PL 11   PL krótkim horyzoncie czasowym; istnieje te ż poważne ryzyko, że Agencja nie uzyska łaby w 
rozsądnym przedziale czasu zdolno ści do nale żytego wykonywania takich zada ń. Na koniec 
trzeba równie ż podkreślić, że koszt wdro żenia wariantów 4 i 5 jest zniech ęcająco wysoki – 
wymagany bud żet byłby cztero- lub pi ęciokrotnie wi ększy od obecnego bud żetu ENISA. 
Porównanie skutków wszystkich pi ęciu wariantów polityki  dotyczących formatu 
organizacyjnego zmodernizowanej Agencji wykazuje, że warianty 1 i 2 nale ży odrzuci ć, 
ponieważ żaden z nich nie stanowi adekwatn ej odpowiedzi na poziomie UE na 
skomplikowany problem bezpiecze ństwa sieci i informacji. Natomiast warianty 3, 4 i 5 
umożliwiłyby UE odpowiednie reagowanie na rozwój  sytuacji w tej dziedzinie w przysz łości. 
Warianty 4 i 5 wydaj ą się na chwilę obecną zbyt ambitne, zarówno pod wzgl ędem politycznej 
wrażliwości większości państw członkowskich, jak i konsekwencji bud żetowych. W zwi ązku 
z tym wariant 3 wydaje si ę oferować najlepsze mo żliwości rozwiązania siedmiu wskazanych 
problemów w zakresie bezpiecze ństwa sieci i informacji w na jbardziej skuteczny sposób . 
7. MONITOROWANIE I OCENA : JAK B ĘDĄ MIERZONE RZECZYWISTE KOSZTY I 
KORZYŚCI ORAZ STOPIE Ń OSIĄGNIĘCIA POŻĄDANYCH SKUTKÓW ? 
Przedmiotowa inicjatywa polityczna pr zewiduje dokonywanie okresowych ocen, 
przekazywanych przez Komisj ę Parlamentowi Europejskiemu i Radzie oraz podawanych do 
wiadomości publicznej. Uwzgl ędnią one pogl ądy wszystkich zainteresowanych stron na 
podstawie kryteriów referencyjnych uzgodnionych z zarz ądem Agencji, a tak że ocenią 
Agencję pod wzgl ędem skuteczno ści w realizacji celów oraz tego, czy jest ona nadal 
efektywnym instrumentem oraz czy w jej ma ndacie i/lub innych aspektach ustanawiaj ącego ją 
rozporządzenia nale ży wprowadzi ć jakiekolwiek zmiany. Po dokonaniu oceny zarz ąd Agencji 
wyda zalecenia dla Komisji dotycz ące ewentualnych odpowiedni ch zmian, jakie nale ży 
wprowadzi ć w rozporz ądzeniu. Zarz ąd i dyrektor wykonawczy Agencji powinni uwzgl ędniać 
wyniki ocen w wieloletnim planowaniu dzia łalności Agencji. 
Zgodnie z art. 228 Traktatu dzia łalność Agencji podlega nadzorowi Europejskiego Rzecznika 
Praw Obywatelskich.