2004R0460 — PT — 01.11.2008 — 001.001

Este documento constitui um instrumento de documentação e não vincula as instituições

►B REGULAMENTO (CE) N.o 460/2004 DO PARLAMENTO EUROPEU E DO CONSELHO de 10 de Março de 2004 que cria a Agência Europeia para a Segurança das Redes e da Informação (Texto relevante para efeitos do EEE) (JO L 077, 13.3.2004, p.1)

Alterado por:









▼B

REGULAMENTO (CE) N.o 460/2004 DO PARLAMENTO EUROPEU E DO CONSELHO

de 10 de Março de 2004

que cria a Agência Europeia para a Segurança das Redes e da Informação

(Texto relevante para efeitos do EEE)







O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 95.o, Tendo em conta a proposta da Comissão, Tendo em conta o parecer do Comité Económico e Social Europeu ( 1 ), Após consulta ao Comité das Regiões, Deliberando nos termos do artigo 251.o do Tratado ( 2 ), Considerando o seguinte: (1) As redes de comunicações e os sistemas informáticos tornaram-se um factor essencial do desenvolvimento económico e social. A informática e as redes estão a tornar-se serviços de utilidade pública omnipresentes, como já o são os serviços de abastecimento de electricidade e água. A segurança das redes de comunicações e dos sistemas informáticos, em particular a sua disponibilidade, ganha, por conseguinte, uma importância crescente para a sociedade, nomeadamente por causa da eventualidade da existência de problemas nos sistemas informáticos essenciais, devido à complexidade dos sistemas, aos acidentes, erros e ataques que podem ter consequências para as infra-estruturas físicas que prestam serviços críticos para o bem-estar dos cidadãos da União Europeia. (2) O número crescente de violações da segurança tem causado prejuízos financeiros substanciais, abalado a confiança dos utilizadores e prejudicado o desenvolvimento do comércio electrónico. Os particulares, as administrações públicas e as empresas têm reagido instalando tecnologias de segurança e protocolos de gestão da segurança. Os Estados-Membros tomaram várias medidas de apoio, como campanhas de informação e projectos de investigação, para reforçar a segurança das redes e da informação em toda a sociedade. (3) A complexidade técnica das redes e dos sistemas informáticos, a variedade de produtos e serviços interligados e o elevado número de intervenientes privados e públicos com responsabilidade própria podem dificultar o funcionamento normal do mercado interno. (4) A Directiva 2002/21/CE do Parlamento Europeu e do Conselho, de 7 de Março de 2002, relativa a um quadro regulamentar comum para as redes e serviços de comunicações electrónicas («directiva-quadro») ( 3 ), define as atribuições das autoridades reguladoras nacionais, que incluem a cooperação mútua e com a Comissão, de um modo transparente, com vista ao desenvolvimento de práticas reguladoras coerentes, contribuindo para a garantia de um elevado nível de protecção dos dados pessoais e da privacidade e garantindo que sejam asseguradas a integridade e a segurança das redes de comunicações públicas. (5) A legislação comunitária actualmente em vigor inclui igualmente a Directiva 2002/20/CE ( 4 ), a Directiva 2002/22/CE ( 5 ), Directiva 2002/19/CE ( 6 ), a Directiva 2002/58/CE ( 7 ), a Directiva 1999/93/CE ( 8 ) e a Directiva 2000/31/CE ( 9 ), bem como a resolução do Conselho de 18 de Fevereiro de 2003 sobre a aplicação do plano de acção eEuropa 2005 ( 10 ). (6) A Directiva 2002/20/CE confere aos Estados-Membros o direito de associar à autorização geral condições relativas à segurança das redes públicas contra o acesso não autorizado, em conformidade com a Directiva 97/66/CE ( 11 ). (7) A Directiva 2002/22/CE exige que os Estados-Membros tomem as medidas necessárias para garantir a integridade e a disponibilidade das redes telefónicas públicas em locais fixos e que as empresas que oferecem serviços telefónicos acessíveis ao público em locais fixos tomem todas as medidas razoáveis para garantir o acesso ininterrupto aos serviços de emergência. (8) A Directiva 2002/58/CE exige que os prestadores de serviços de comunicações electrónicas publicamente disponíveis tomem as medidas técnicas e organizativas adequadas para garantir a segurança dos seus serviços e exige também a confidencialidade das comunicações e dos dados de tráfego associados. A Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados ( 12 ), exige que os Estados-Membros estabeleçam que o responsável pelo tratamento deve pôr em prática medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito. (9) A Directiva 2002/21/CE e a Directiva 1999/93/CE contêm disposições sobre as normas a publicar no Jornal Oficial da União Europeia. Os Estados-Membros utilizam igualmente normas de organismos internacionais, bem como normas de facto desenvolvidas pelo sector a nível mundial. É necessário que a Comissão e os Estados-Membros possam acompanhar as normas que satisfazem os requisitos da legislação comunitária. (10) Todas as medidas atrás mencionadas respeitantes ao mercado interno exigem diferentes formas de aplicação técnica e organizativa pelos Estados-Membros e a Comissão. São tarefas tecnicamente complexas, para as quais não há soluções únicas óbvias. A aplicação heterogénea desses requisitos pode conduzir a soluções ineficazes e criar obstáculos ao mercado interno. Importa, pois, criar um centro especializado a nível europeu, que forneça orientação, dê parecer e, quando solicitado, preste assistência no âmbito dos seus objectivos, e no qual o Parlamento Europeu, a Comissão ou os organismos competentes designados pelos Estados-Membros possam confiar. Podem ser designadas como organismos competentes pelos Estados-Membros as autoridades reguladoras nacionais nomeadas de acordo com a Directiva 2002/21/CE. (11) A criação de uma agência europeia, a Agência Europeia para a Segurança das Redes e da Informação, a seguir designada «Agência», que sirva de ponto de referência e inspire confiança através da sua independência, da qualidade dos seus pareceres e das informações por si divulgadas, da transparência dos seus procedimentos e métodos de funcionamento e do seu empenho na execução das atribuições que lhe estão conferidas, responderá a essas necessidades. A Agência deverá tirar partido dos esforços nacionais e comunitários e, por conseguinte, desempenhar as suas atribuições em plena cooperação com os Estados-Membros e estar aberta a contactos com o sector e outras partes interessadas pertinentes. Visto que as redes electrónicas são em grande medida privadas, a Agência deverá basear-se nas contribuições do sector privado e na cooperação com o mesmo. (12) O exercício das atribuições da Agência em nada deverá interferir com a competência, nem deverá obstar, impedir ou sobrepor-se à competência e às atribuições conferidas: — às autoridades reguladoras nacionais referidas nas directivas relativas às redes e serviços de comunicações electrónicas, bem como ao grupo de reguladores europeus para as redes e serviços de comunicações electrónicas, criado pela Decisão 2002/627/CE da Comissão ( 13 ), e ao Comité das Comunicações a que se refere a Directiva 2002/21/CE, — aos organismos de normalização europeus, aos organismos de normalização nacionais e ao Comité Permanente referido na Directiva 98/34/CE do Parlamento Europeu e do Conselho, de 22 de Junho de 1998, relativa a um procedimento de informação no domínio das normas e regulamentações técnicas e das regras relativas aos serviços da sociedade da informação ( 14 ), — às autoridades que nos Estados-Membros supervisionam a protecção dos cidadãos no que diz respeito ao tratamento dos dados pessoais e à livre circulação desses dados. (13) Para melhor compreender os desafios no domínio da segurança das redes e da informação, é necessário que a Agência analise os riscos actuais e emergentes, podendo para o efeito recolher as informações adequadas, nomeadamente através de questionários, sem impor ao sector privado ou aos Estados-Membros novas obrigações de gerarem dados. Por riscos emergentes deverão entender-se as questões já visíveis como possíveis futuros riscos para a segurança das redes e da informação. (14) Garantir a confiança nas redes e nos sistemas informáticos exige que os particulares, as empresas e as administrações públicas estejam suficientemente informados, instruídos e treinados e possuam conhecimentos suficientes no domínio da segurança das redes e dos sistemas informáticos. As autoridades públicas têm um papel a desempenhar na sensibilização do público através de campanhas de informação do público em geral, das pequenas e médias empresas, das grandes empresas, das administrações públicas, das escolas e das universidades. Essas medidas devem intensificar-se. Uma maior troca de informações entre os Estados-Membros facilitará essas acções de sensibilização. A Agência deverá aconselhar sobre as melhores práticas em matéria de sensibilização, formação e cursos de instrução. (15) A Agência deverá ter como atribuição contribuir para um elevado nível de segurança das redes e da informação dentro da Comunidade e desenvolver uma cultura de segurança das redes e da informação em benefício dos cidadãos, das empresas e das organizações do sector público na União Europeia, contribuindo assim para o normal funcionamento do mercado interno. (16) As políticas de segurança eficazes deverão basear-se em métodos bem desenvolvidos de avaliação dos riscos, tanto no sector público como no sector privado. Utilizam-se a diferentes níveis métodos e procedimentos para a avaliação dos riscos sem que exista uma prática comum de aplicação eficaz. A promoção e o desenvolvimento das melhores práticas em matéria de avaliação dos riscos e de soluções interoperáveis de gestão de riscos nas organizações dos sectores público e privado aumentarão o nível de segurança das redes e dos sistemas informáticos na Europa. (17) O trabalho da Agência deverá aproveitar as actividades de investigação, desenvolvimento e avaliação tecnológica em curso, nomeadamente as realizadas pelas várias iniciativas comunitárias no domínio da investigação. (18) Sempre que tal se revele conveniente e útil para a sua esfera de acção, os seus objectivos e as suas atribuições, a Agência poderá partilhar experiências e informação geral com as agências e os organismos criados ao abrigo da legislação da União Europeia que actuem em matéria de segurança das redes e da informação. (19) Os problemas de segurança das redes e da informação têm uma dimensão mundial. Há que intensificar a cooperação a nível mundial para melhorar as normas de segurança, melhorar a informação e promover uma abordagem global comum da segurança das redes e da informação, contribuindo assim para o desenvolvimento de uma cultura de segurança das redes e da informação. Uma cooperação eficaz com os países terceiros e com a comunidade internacional tornou-se também uma tarefa a realizar a nível europeu. Para tal, a Agência deverá contribuir para os esforços comunitários de cooperação com países terceiros e, se necessário, com organizações internacionais. (20) Nas suas actividades a Agência deverá prestar atenção às pequenas e médias empresas. (21) Para garantir o cumprimento eficaz das atribuições da Agência, os Estados-Membros e a Comissão deverão estar representados num Conselho de Administração que seja competente para estabelecer o orçamento, verificar a sua execução, aprovar as regras financeiras adequadas, definir procedimentos de trabalho transparentes no tocante à tomada de decisões pela Agência, aprovar o programa de trabalho da Agência, aprovar o seu próprio regulamento interno e o regulamento interno da Agência, nomear e exonerar o director executivo. O Conselho de Administração deverá garantir que a Agência desempenhe as suas atribuições em condições que lhe permitam cumprir o disposto no presente regulamento. (22) Seria útil a criação de um grupo permanente de partes interessadas para manter um diálogo regular com o sector privado, as organizações de consumidores e outras partes interessadas pertinentes. Esse grupo — criado e presidido pelo director executivo — deverá centrar-se nas questões pertinentes para todas as partes interessadas e apresentá-las ao director executivo. Se necessário, e de acordo com a ordem do dia das reuniões, este poderá convidar representantes do Parlamento Europeu e de outros organismos competentes a participarem nas reuniões do grupo. (23) O normal funcionamento da Agência exige que o seu director executivo seja nomeado com base no mérito e em capacidades de gestão e administrativas documentadas, bem como na competência e na experiência pertinentes para a segurança das redes e da informação, e que desempenhe as suas funções com total independência e flexibilidade no que respeita à organização do funcionamento interno da Agência. Para esse efeito, o director executivo deverá preparar a proposta de programa de trabalho da Agência, após consulta prévia à Comissão e ao grupo permanente de partes interessadas, e tomar todas as medidas necessárias para garantir o cumprimento do programa de trabalho da Agência, preparar um projecto de relatório geral anual a apresentar ao Conselho de Administração, elaborar um projecto de declaração das estimativas das receitas e despesas da Agência e executar o orçamento. (24) O director executivo deverá ter a possibilidade de criar grupos de trabalho ad hoc para tratar de questões científicas e técnicas específicas. Ao criar os grupos de trabalho ad hoc, o director executivo deverá procurar receber contributos do sector privado e mobilizar a respectiva perícia. Os grupos de trabalho ad hoc deverão facultar à Agência o acesso à informação disponível mais actualizada a fim de lhe permitir responder aos desafios em matéria de segurança colocados pelo desenvolvimento da sociedade da informação. A Agência assegurar-se-á de que os seus grupos de trabalho ad hoc são competentes e representativos, incluindo, se adequado em função de questões específicas, representação das administrações públicas dos Estados-Membros, do sector privado, incluindo a indústria, dos utilizadores e de peritos universitários em segurança das redes e da informação. A Agência poderá, se for caso disso, recorrer a peritos independentes de reconhecida competência no domínio em causa para integrarem os grupos de trabalho. Os peritos que participarem nos grupos de trabalho ad hoc organizados pela Agência não deverão fazer parte do seu pessoal. As suas despesas serão custeadas pela Agência de acordo com as suas regras internas e em conformidade com os regulamentos financeiros existentes. (25) A Agência deverá aplicar a legislação comunitária pertinente relativa ao acesso do público a documentos estabelecida no Regulamento (CE) n.o 1049/2001 ( 15 ) e à protecção das pessoas relativamente ao tratamento de dados pessoais estabelecida no Regulamento (CE) n.o 45/2001 ( 16 ). (26) Dentro da sua esfera de acção, dos seus objectivos e da execução das suas atribuições, a Agência deverá cumprir designadamente com as disposições aplicáveis às instituições da Comunidade, bem como com a legislação nacional relativa ao tratamento de documentos sensíveis. (27) A fim de assegurar a plena autonomia e independência da Agência, considera-se necessário dotá-la de um orçamento próprio, cujas receitas sejam essencialmente constituídas por uma contribuição da Comunidade. O procedimento orçamental da Comunidade permanece aplicável no que diz respeito a todas as subvenções a cargo do orçamento geral da União Europeia. Além disso, o Tribunal de Contas deverá proceder à auditoria das contas. (28) Nos casos em que tal seja necessário, e com base nos acordos a celebrar, a Agência poderá ter acesso aos serviços de interpretação disponibilizados pela Direcção-Geral de Interpretação da Comissão ou pelos serviços de interpretação de outras instituições comunitárias. (29) A Agência deverá ser instituída inicialmente por um período limitado e as suas actividades devem ser avaliadas com vista a uma decisão sobre o eventual alargamento desse período de actividade, Considerando o seguinte: ADOPTOU O PRESENTE REGULAMENTO:







SECÇÃO 1

ÂMBITO DE APLICAÇÃO, OBJECTIVOS E ATRIBUIÇÕES

Artigo 1.o

Âmbito de aplicação

1. A fim de garantir na Comunidade um nível de segurança das redes e da informação elevado e eficaz e com vista a desenvolver uma cultura de segurança das redes e da informação em benefício dos cidadãos, dos consumidores, das empresas e das organizações do sector público da União Europeia, contribuindo assim para o normal funcionamento do mercado interno, é constituída a Agência Europeia para a Segurança das Redes e da Informação, a seguir designada «Agência».

2. A Agência deve ajudar a Comissão e os Estados-Membros e, por conseguinte, deve cooperar com a comunidade empresarial, a satisfazer os requisitos de segurança das redes e da informação, assegurando desse modo o normal funcionamento do mercado interno, incluindo os estabelecidos na legislação comunitária presente e futura, designadamente na Directiva 2002/21/CE.

3. Os objectivos e as atribuições da Agência em nada afectam a competência dos Estados-Membros em matéria de segurança das redes e da informação que não estejam abrangidas pelo Tratado CE, como as previstas nos títulos V e VI do Tratado da União Europeia, nem as acções em matéria de segurança pública, de defesa, de segurança do Estado (incluindo o seu bem-estar económico nos casos em que se relacionem com questões de segurança do Estado), nem as acções incumbentes ao Estado em matéria de direito penal.

Artigo 2.o

Objectivos

1. A Agência deve reforçar a capacidade da Comunidade, dos Estados-Membros e, por conseguinte, da comunidade empresarial em matéria de prevenção, tratamento e resposta no que se refere aos problemas de segurança das redes e da informação.

2. A Agência deve prestar assistência e aconselhamento à Comissão e aos Estados-Membros em matéria de segurança das redes e da informação que seja da sua competência, tal como estabelecida no presente regulamento.

3. A Agência deve desenvolver, a partir dos esforços nacionais e comunitários, um elevado nível de capacidade especializada. A Agência deve utilizar tal capacidade para incentivar uma vasta colaboração entre os intervenientes dos sectores público e privado.

4. Sempre que tal lhe seja solicitado, a Agência deve prestar apoio à Comissão nos trabalhos técnicos de preparação da actualização e elaboração de legislação comunitária referente à segurança das redes e da informação.

Artigo 3.o

Atribuições

Para garantir a observância do âmbito de aplicação e o cumprimento dos objectivos referidos, respectivamente, nos artigos 1.o e 2.o, a Agência tem por atribuições:

a) Recolher informações adequadas a fim de analisar os riscos actuais e emergentes e, em particular a nível europeu, os que possam interferir com a solidez e a disponibilidade das redes de comunicações electrónicas e com a autenticidade, integridade e confidencialidade das informações acessíveis e transmitidas através delas, bem como fornecer os resultados das análises aos Estados-Membros e à Comissão;

b) Dar parecer ao Parlamento Europeu, à Comissão, aos organismos europeus ou aos organismos nacionais competentes designados pelos Estados-Membros e, sempre que tal lhe seja solicitado, prestar-lhes assistência no âmbito dos seus objectivos;

c) Reforçar a cooperação entre os diversos intervenientes no domínio da segurança das redes e da informação, através nomeadamente da organização regular de consultas com a indústria, as universidades, e outros sectores envolvidos, e estabelecendo redes de contacto para organismos comunitários, organismos do sector público designados pelos Estados-Membros e organismos do sector privado e dos consumidores;

d) Facilitar a cooperação entre a Comissão e os Estados-Membros para o desenvolvimento de metodologias comuns de prevenção, tratamento e resposta relativamente a questões de segurança das redes e da informação;

e) Contribuir para a sensibilização de todos os utilizadores e a disponibilidade de informações atempadas, objectivas e completas sobre as questões de segurança das redes e da informação, através, nomeadamente, da promoção do intercâmbio das melhores práticas correntes, designadamente sobre os métodos de alertar os utilizadores, e procurar sinergias entre as iniciativas dos sectores público e privado;

f) Prestar apoio à Comissão e aos Estados-Membros no seu diálogo com a indústria com vista à resolução dos problemas de segurança dos produtos de hardware e software;

g) Acompanhar o desenvolvimento de normas para produtos e serviços de segurança das redes e da informação;

h) Aconselhar a Comissão em matéria de segurança das redes e da informação, bem como da utilização eficaz de tecnologias de prevenção dos riscos;

i) Promover actividades de avaliação de riscos, soluções interoperáveis de gestão de riscos e estudos sobre soluções de gestão da prevenção nos organismos dos sectores público e privado;

j) Contribuir para os esforços comunitários de cooperação com países terceiros e, sempre que adequado, com os organismos internacionais a fim de promover uma abordagem global comum da segurança das redes e da informação, contribuindo assim para o desenvolvimento de uma cultura da segurança das redes e da informação;

k) Formular com independência as suas conclusões, orientações e pareceres sobre questões que se situem no quadro do seu âmbito de aplicação e dos seus objectivos.

Artigo 4.o

Definições

Para efeitos do presente regulamento, entende-se por:

a) «Rede», os sistemas de transmissão e, se for o caso, os equipamentos de comutação ou encaminhamento e outros recursos que permitem transmitir sinais através de fios, radioligações, meios ópticos ou ainda outros meios electromagnéticos, incluindo redes de satélites, redes terrestres fixas (com comutação de circuitos ou de pacotes, incluindo a internet) e móveis, sistemas de electricidade por cabo, na medida em que sejam utilizados para transmissão de sinais, redes utilizadas na radiodifusão sonora e televisiva e redes de televisão por cabo, independentemente do tipo de informação transportada;

b) «Sistema informático», os computadores e as redes de comunicações electrónicas, bem como os dados por eles armazenados, processados, extraídos ou transmitidos para efeitos de exploração, utilização, protecção e manutenção;

c) «Segurança das redes e da informação», a capacidade de uma rede ou sistema informático para resistir, com um dado nível de confiança, a eventos acidentais ou a acções dolosas ou ilícitas que comprometem a disponibilidade, autenticidade, integridade e confidencialidade dos dados armazenados ou transmitidos e dos serviços conexos oferecidos ou acessíveis através dessa rede ou sistema;

d) «Disponibilidade», a acessibilidade dos dados e a operacionalidade dos serviços;

e) «Autenticação», a confirmação da identidade reivindicada por entidades ou utilizadores;

f) «Integridade dos dados», a confirmação de que os dados enviados, recebidos ou armazenados estão completos e inalterados;

g) «Confidencialidade dos dados», a protecção das comunicações ou dos dados armazenados contra a intercepção e a leitura por pessoas não autorizadas;

h) «Risco», grau de probabilidade de que uma vulnerabilidade do sistema afecte a autenticação ou a disponibilidade, autenticidade, integridade ou confidencialidade dos dados processados ou transferidos e a gravidade desse efeito, com consequências na utilização intencional ou não intencional dessa vulnerabilidade;

i) «Avaliação dos riscos», um processo científico e tecnológico que consiste em quatro etapas: identificação da ameaça, caracterização da ameaça, avaliação da exposição e caracterização do risco;

j) «Gestão dos riscos», o processo, distinto da avaliação dos riscos, que consiste em ponderar alternativas políticas, em consulta com as partes interessadas, ter em conta a avaliação dos riscos e outros factores legítimos e, se necessário, seleccionar as opções adequadas de prevenção e controlo;

k) «Cultura da segurança das redes e da informação», o sentido já atribuído nas directrizes da OCDE para a segurança dos sistemas informáticos e das redes, de 25 de Julho de 2002, e da resolução do Conselho de 18 de Fevereiro de 2003, relativa a uma abordagem europeia para uma cultura em matéria de segurança das redes e da informação ( 17 ).







SECÇÃO 2

ORGANIZAÇÃO

Artigo 5.o

Órgãos da Agência

A Agência é constituída por:

a) Um Conselho de Administração;

b) Um director executivo;

c) Um grupo permanente de partes interessadas.

Artigo 6.o

Conselho de Administração

1. O Conselho de Administração é composto por um representante de cada Estado-Membro, três representantes da Comissão por ela designados e ainda três representantes propostos pela Comissão e designados pelo Conselho, sem direito a voto, e que representam respectivamente os seguintes grupos:

a) A indústria das tecnologias de informação e comunicação;

b) Grupos de consumidores;

c) Peritos universitários em segurança das redes e da informação.

2. Os membros do Conselho de Administração serão designados com base no grau da sua experiência e dos seus conhecimentos no domínio da segurança das redes e da informação. Os representantes podem ser substituídos por suplentes, designados na mesma ocasião.

3. O Conselho de Administração elegerá de entre os seus membros um presidente e um vice-presidente, por um período de dois anos e meio, renovável. O vice–presidente substitui automaticamente o presidente na eventualidade de este não poder cumprir as suas funções.

4. O Conselho de Administração aprovará o seu regulamento interno, com base numa proposta da Comissão. Salvo disposição em contrário, o Conselho de Administração delibera por maioria dos membros com direito de voto.

Para a aprovação do seu regulamento interno, do regulamento interno da Agência, do orçamento, do programa de trabalho anual, bem como para a nomeação e exoneração do director executivo, é necessária a maioria de dois terços de todos os membros com direito de voto.

5. As reuniões do Conselho de Administração são convocadas pelo seu presidente. O Conselho de Administração reúne-se em sessão ordinária duas vezes por ano. Também se reunirá a título extraordinário por iniciativa do presidente ou a pedido de, pelo menos, um terço dos seus membros com direito a voto. O director executivo participa nas reuniões do Conselho de Administração, sem direito a voto, e assegura o respectivo secretariado.

6. O Conselho de Administração aprovará o regulamento interno da Agência com base numa proposta da Comissão. O regulamento interno será tornado público.

7. O Conselho de Administração define as orientações gerais para o funcionamento da Agência. O Conselho de Administração garantirá que, nas suas actividades, a Agência se paute pelos princípios consignados nos artigos 12.o a 14.o e 23.o Assegura igualmente a coerência do trabalho da Agência com as actividades desenvolvidas pelos Estados-Membros e ao nível comunitário.

8. Depois de recebido o parecer da Comissão, o Conselho de Administração aprovará, até 30 de Novembro de cada ano, o programa de trabalho da Agência para o ano seguinte. O Conselho de Administração garantirá que o programa de trabalho seja coerente com a esfera de acção, os objectivos e as atribuições da Agência, bem como com as prioridades legislativas e políticas da Comunidade no domínio da segurança das redes e da informação.

9. Antes de 31 de Março de cada ano, o Conselho de Administração aprovará o relatório geral das actividades da Agência relativo ao ano anterior.

10. Após consulta à Comissão, o Conselho de Administração aprovará a regulamentação financeira aplicável à Agência. Esta regulamentação só poderá divergir do disposto no Regulamento (CE, Euratom) n.o 2343/2002 da Comissão, de 19 de Novembro de 2002, que institui o Regulamento Financeiro Quadro dos organismos referidos no artigo 185.o do Regulamento (CE, Euratom) n.o 1605/2002 do Conselho, que institui o Regulamento Financeiro aplicável ao orçamento geral das Comunidades Europeias ( 18 ), se as exigências específicas do funcionamento da Agência o impuserem e desde que a Comissão dê previamente o seu acordo.

Artigo 7.o

Director executivo

1. A Agência é gerida pelo seu director executivo, que desempenhará as suas funções com independência.

2. O director executivo é nomeado pelo Conselho de Administração com base numa lista de candidatos proposta pela Comissão após um concurso geral, na sequência da publicação no Jornal Oficial da União Europeia e noutras publicações de um convite a manifestações de interesse. O director executivo é nomeado com base no mérito e nas qualificações administrativas e de gestão documentadas, bem como na competência e experiência no domínio da segurança das redes e da informação. Antes da sua nomeação, o candidato indigitado pelo Conselho de Administração será, sem demora, convidado a fazer uma declaração perante o Parlamento Europeu e a responder a perguntas formuladas pelos membros desta instituição. O Parlamento Europeu ou o Conselho podem solicitar em qualquer momento uma audiência com o director executivo sobre quaisquer assuntos relacionados com as actividades da Agência. O director executivo pode ser exonerado pelo Conselho de Administração.

3. O mandato do director executivo tem a duração máxima de cinco anos.

4. O director executivo é responsável pelas seguintes tarefas:

a) A administração quotidiana da Agência;

b) A elaboração das propostas de programa de trabalho da Agência, após consulta à Comissão e ao grupo permanente de partes interessadas;

c) A execução dos programas de trabalho e das decisões adoptadas pelo Conselho de Administração;

d) Assegurar que a Agência execute as suas tarefas em conformidade com as exigências dos utilizadores dos seus serviços, designadamente em termos de adequação dos serviços prestados;

e) A preparação do projecto de mapas previsionais das receitas e despesas da Agência e execução do seu orçamento;

f) Todas as questões relativas ao pessoal;

g) O desenvolvimento e manutenção de contactos com o Parlamento Europeu e garantia de um diálogo regular com as comissões parlamentares competentes;

h) O desenvolvimento e manutenção de contactos com a comunidade empresarial e com as organizações de consumidores, tendentes a assegurar o diálogo regular com as partes interessadas pertinentes;

i) A presidência do grupo permanente de partes interessadas.

5. O director executivo apresentará todos os anos ao Conselho de Administração, para aprovação:

a) Um projecto de relatório geral que abranja todas as actividades da Agência no ano anterior;

b) Um projecto de programa de trabalho.

6. Uma vez aprovado pelo Conselho de Administração, o director executivo transmitirá o programa de trabalho ao Parlamento Europeu, ao Conselho, à Comissão e aos Estados-Membros e assegurará a sua publicação.

7. Uma vez aprovado pelo Conselho de Administração, o director executivo comunicará o relatório geral da Agência ao Parlamento Europeu, ao Conselho, à Comissão, ao Tribunal de Contas, ao Comité Económico e Social Europeu e ao Comité das Regiões e assegurará a sua publicação.

8. Sempre que for necessário, e dentro da esfera de acção, dos objectivos e das atribuições da Agência, o director executivo pode instituir, em consulta com o grupo permanente das partes interessadas, grupos de trabalho ad hoc compostos por peritos. O Conselho de Administração será devidamente informado do facto. As modalidades relativas nomeadamente à composição, à nomeação de peritos pelo director executivo e ao funcionamento dos grupos de trabalho ad hoc serão especificadas no regulamento interno da Agência.

Os grupos de trabalho ad hoc que vierem a ser instituídos debruçar-se-ão em especial sobre questões de carácter técnico e científico.

Os membros do Conselho de Administração não podem ser membros dos grupos de trabalho ad hoc. Os representantes da Comissão podem assistir às suas reuniões.

Artigo 8.o

Grupo permanente de partes interessadas

1. O director executivo deve criar um grupo permanente de partes interessadas constituído por peritos representativos das partes interessadas pertinentes, nomeadamente, a indústria das tecnologias de informação e comunicação, os grupos de consumidores e peritos universitários em segurança das redes e da informação.

2. Os procedimentos relativos especialmente ao número, composição, nomeação de membros pelo director executivo e funcionamento do grupo serão especificados no regulamento interno da Agência e tornados públicos.

3. O grupo é presidido pelo director executivo. Os seus membros têm um mandato de dois anos e meio. Os membros do grupo não podem ser membros do Conselho de Administração.

4. Os representantes da Comissão podem assistir às reuniões e participar nos trabalhos do grupo.

5. O grupo pode aconselhar o director executivo no exercício das responsabilidades que lhe incumbem nos termos do presente regulamento, em especial na elaboração da proposta de programa de trabalho da Agência, e no que diz respeito a assegurar a comunicação com as partes interessadas pertinentes sobre todas as questões que se prendam com o programa de trabalho.







SECÇÃO 3

FUNCIONAMENTO

Artigo 9.o

Programa de trabalho

As actividades da Agência consistem em executar o programa de trabalho adoptado em conformidade com o disposto no n.o 8 do artigo 6.o O programa de trabalho não obsta a que a Agência assuma actividades imprevistas que sejam da sua competência e façam parte dos seus objectivos nos limites do orçamento que lhe está atribuído.

Artigo 10.o

Pedidos dirigidos à Agência

1. Os pedidos de aconselhamento e de assistência que sejam da competência e façam parte dos objectivos e das atribuições da Agência devem ser endereçados ao director executivo e acompanhados de informações que situem e expliquem a questão a abordar. O director executivo deve informar a Comissão dos pedidos recebidos. A Agência deve justificar a eventual recusa de um pedido.

2. Os pedidos mencionados no n.o 1 podem ser apresentados:

a) Pelo Parlamento Europeu;

b) Pela Comissão;

c) Por qualquer organismo competente designado por um Estado-Membro, tal como uma autoridade reguladora nacional, conforme definida no artigo 2.o da Directiva 2002/21/CE.

3. As regras de execução dos n.os 1 e 2, designadamente no que respeita à apresentação, à definição de prioridades, ao seguimento e à informação do Conselho de Administração relativamente aos pedidos da Agência serão estabelecidas pelo próprio Conselho de Administração no regulamento interno da Agência.

Artigo 11.o

Declaração de interesses

1. O director executivo, bem como os agentes destacados pelos Estados-Membros a título temporário, devem fazer uma declaração de compromisso e uma declaração de interesses, indicando a ausência de quaisquer interesses directos ou indirectos que possam ser considerados prejudiciais para a sua independência. Essas declarações devem ser feitas por escrito.

2. Os peritos externos que participem em grupos de trabalho ad hoc devem declarar, em cada reunião, os eventuais interesses que possam ser considerados prejudiciais para a sua independência em relação aos pontos da ordem de trabalhos.

Artigo 12.o

Transparência

1. A Agência deve garantir que as suas actividades serão executadas com um elevado nível de transparência e em conformidade com o disposto nos artigos 13.o e 14.o

2. A Agência deve assegurar que sejam fornecidas ao público e a todos os interessados directos informações objectivas, fiáveis e facilmente compreensíveis, nomeadamente sobre os resultados do seu trabalho, se necessário. A Agência deve tornar igualmente públicas as declarações de interesses feitas pelo director executivo e pelos agentes destacados pelos Estados-Membros a título temporário, bem como as declarações de interesses feitas pelos peritos relativamente aos pontos da ordem de trabalhos das reuniões dos grupos de trabalho ad hoc.

3. Sob proposta do director executivo, o Conselho de Administração pode autorizar partes interessadas a observarem o desenrolar de algumas das actividades da Agência.

4. A Agência deve estabelecer no seu regulamento interno as regras de execução das normas de transparência previstas nos n.os 1 e 2.

Artigo 13.o

Confidencialidade

1. Sem prejuízo do disposto no artigo 14.o, a Agência não deve divulgar a terceiros informações processadas ou recebidas para as quais tenha sido pedido um tratamento confidencial.

2. Os membros do Conselho de Administração, o director executivo, os membros do grupo permanente de partes interessadas, os peritos externos que participam nos seus grupos de trabalho ad hoc e os funcionários da Agência, incluindo os agentes destacados pelos Estados-Membros a título temporário, estão sujeitos à obrigação de confidencialidade prevista no artigo 287.o do Tratado, mesmo após a cessação das suas funções.

3. A Agência estabelecerá no seu regulamento interno as regras de execução das normas de confidencialidade previstas nos n.os 1 e 2.

Artigo 14.o

Acesso a documentos

1. O Regulamento (CE) n.o 1049/2001 é aplicável aos documentos detidos pela Agência.

2. O Conselho de Administração aprovará as regras de execução do Regulamento (CE) n.o 1049/2001 no prazo de seis meses a contar da data de criação da Agência.

3. As decisões tomadas pela Agência ao abrigo do artigo 8.o do Regulamento (CE) n.o 1049/2001 podem dar lugar à apresentação de queixa junto do Provedor de Justiça Europeu ou ser impugnadas no Tribunal de Justiça das Comunidades Europeias, nas condições previstas, respectivamente, nos artigos 195.o e 230.o do Tratado.







SECÇÃO 4

DISPOSIÇÕES FINANCEIRAS

Artigo 15.o

Aprovação do orçamento

1. As receitas da Agência provêm de uma contribuição da Comunidade e de eventuais contribuições dos países terceiros que participem no trabalho da Agência, tal como previsto no artigo 24.o

2. As despesas da Agência devem incluir os custos de pessoal, administrativos, de apoio técnico, de infra-estruturas e de funcionamento e as despesas decorrentes de contratos celebrados com terceiros.

3. Até 1 de Março de cada ano, o director executivo elaborará um projecto de mapa previsional das receitas e despesas da Agência para o exercício orçamental seguinte e transmite-o ao Conselho de Administração, acompanhado de um projecto do quadro de pessoal.

4. As receitas e despesas devem ser equilibradas.

5. O Conselho de Administração elaborará anualmente, com base num projecto de mapa previsional das receitas e despesas elaborado pelo director executivo, o mapa previsional das receitas e despesas da Agência para o exercício orçamental seguinte.

6. Este mapa previsional, que deve incluir um projecto de quadro de pessoal e é acompanhado do programa de trabalho provisório, será transmitido pelo Conselho de Administração, até 31 de Março, à Comissão, bem como aos Estados com os quais a Comunidade tenha celebrados acordos nos termos do disposto no artigo 24.o

7. A Comissão transmitirá o mapa previsional ao Parlamento Europeu e ao Conselho (a seguir designados «autoridade orçamental»), juntamente com o anteprojecto de orçamento geral da União Europeia.

8. Com base no mapa previsional, a Comissão procederá à inscrição, no anteprojecto de orçamento geral da União Europeia, das previsões que considere necessárias no que respeita ao quadro de pessoal e ao montante da subvenção a cargo do orçamento geral, que submeterá à apreciação da autoridade orçamental nos termos do disposto no artigo 272.o do Tratado.

9. A autoridade orçamental autorizará as dotações a título da subvenção destinada à Agência.

A autoridade orçamental aprovará o quadro de pessoal da Agência.

10. O orçamento da Agência será aprovado pelo Conselho de Administração, tornando-se definitivo após a aprovação definitiva do orçamento geral da União Europeia. O orçamento será adaptado em conformidade, se for caso disso. O Conselho de Administração transmiti-lo-á sem demora à Comissão e à autoridade orçamental.

11. O Conselho de Administração notificará, com a maior brevidade, a autoridade orçamental da sua intenção de realizar qualquer projecto susceptível de ter incidências financeiras significativas sobre o financiamento do orçamento, nomeadamente os projectos de natureza imobiliária, tais como o arrendamento ou a aquisição de imóveis. Do facto informará a Comissão.

Sempre que um ramo da autoridade orçamental tiver comunicado a sua intenção de emitir um parecer, transmiti-lo-á ao Conselho de Administração no prazo de seis semanas a contar da notificação do projecto.

Artigo 16.o

Luta contra a fraude

1. Na luta contra a fraude, a corrupção e outras acções ilegais, as disposições do Regulamento (CE) n.o 1073/1999 do Parlamento Europeu e do Conselho, de 25 de Maio de 1999, relativo aos inquéritos efectuados pela Organização Europeia de Luta Antifraude (OLAF) ( 19 ), são aplicáveis, sem quaisquer restrições.

2. A Agência aderirá ao Acordo Interinstitucional, de 25 de Maio de 1999, entre o Parlamento Europeu, o Conselho da União Europeia e a Comissão das Comunidades Europeias em matéria de inquéritos internos da Organização Europeia de Luta Antifraude (OLAF) ( 20 ), e publicará, sem demora, as disposições adequadas aplicáveis a todo o seu pessoal.

Artigo 17.o

Execução do orçamento

1. O director executivo executa o orçamento da Agência.

2. O auditor interno da Comissão exerce, em relação à Agência, os mesmos poderes que lhe estão atribuídos em relação aos serviços da Comissão.

3. Até ao dia 1 de Março seguinte ao exercício encerrado, o contabilista da Agência comunicará ao contabilista da Comissão as contas provisórias acompanhadas do relatório sobre a gestão orçamental e financeira do exercício. O contabilista da Comissão consolidará as contas provisórias das instituições e dos organismos descentralizados nos termos do disposto no artigo 128.o do Regulamento (CE, Euratom) n.o 1605/2002 do Conselho, de 25 de Junho de 2002, que institui o Regulamento Financeiro aplicável ao orçamento geral das Comunidades Europeias ( 21 ) (a seguir designado «Regulamento Financeiro geral»).

4. Até ao dia 31 de Março seguinte ao exercício encerrado, o contabilista da Comissão comunicará ao Tribunal de Contas as contas provisórias da Agência, acompanhadas do relatório sobre a gestão orçamental e financeira do exercício. O relatório sobre a gestão orçamental e financeira do exercício será igualmente enviado à autoridade orçamental.

5. Após recepção das observações formuladas pelo Tribunal de Contas relativamente às contas provisórias da Agência, nos termos do disposto no artigo 129.o do Regulamento Financeiro geral, o director executivo elaborará as contas definitivas da Agência, sob sua própria responsabilidade, e transmiti-las-á, para parecer, ao Conselho de Administração.

6. O Conselho de Administração emitirá um parecer sobre as contas definitivas da Agência.

7. O director executivo transmitirá ao Parlamento Europeu, ao Conselho, à Comissão e ao Tribunal de Contas as contas definitivas acompanhadas do parecer do Conselho de Administração, até ao dia 1 de Julho seguinte ao exercício encerrado.

8. As contas definitivas serão publicadas.

9. O director executivo enviará ao Tribunal de Contas uma resposta às observações deste último, até 30 de Setembro. Enviará igualmente essa resposta ao Conselho de Administração.

10. O director executivo submeterá à apreciação do Parlamento Europeu, a pedido deste último, tal como previsto no n.o 3 do artigo 146.o do Regulamento Financeiro geral, qualquer informação necessária ao bom desenrolar do processo de quitação relativamente ao exercício em causa.

11. Sob recomendação do Conselho, deliberando por maioria qualificada, o Parlamento Europeu dará ao director executivo, antes de 30 de Abril do ano N + 2, quitação da execução do orçamento do exercício N.







SECÇÃO 5

DISPOSIÇÕES GERAIS

Artigo 18.o

Estatuto jurídico

1. A Agência é um organismo da Comunidade. Tem personalidade jurídica.

2. Em cada um dos Estados-Membros, a Agência goza da mais ampla capacidade jurídica reconhecida às pessoas colectivas pelas legislações nacionais. Pode, designadamente, adquirir ou alienar bens móveis e imóveis e estar em juízo.

3. A Agência é representada pelo seu director executivo.

Artigo 19.o

Pessoal

1. O pessoal da Agência, incluindo o seu director executivo, está sujeito às regras e regulamentos aplicáveis aos funcionários e outros agentes das Comunidades Europeias.

2. Sem prejuízo do disposto no artigo 6.o, as competências conferidas à autoridade investida do poder de nomeação pelo Estatuto dos funcionários e à autoridade habilitada a celebrar contratos pelo regime aplicável aos outros agentes são exercidas pela Agência no que diz respeito ao seu pessoal.

A Agência pode também empregar agentes destacados pelos Estados-Membros a título temporário por um período não superior a cinco anos.

Artigo 20.o

Privilégios e imunidades

O protocolo relativo aos privilégios e imunidades das Comunidades Europeias é aplicável à Agência e ao seu pessoal.

Artigo 21.o

Responsabilidade

1. A responsabilidade contratual da Agência é regulada pela lei aplicável ao contrato em causa.

O Tribunal de Justiça das Comunidades Europeias é competente para decidir com fundamento em cláusula compromissória constante de um contrato celebrado pela Agência.

2. Em matéria de responsabilidade extracontratual, a Agência deve indemnizar, de acordo com os princípios gerais comuns aos direitos dos Estados-Membros, os danos causados por si ou pelos seus agentes no exercício das suas funções.

O Tribunal de Justiça é competente para conhecer dos litígios relativos à reparação desses danos.

3. A responsabilidade pessoal dos agentes perante a Agência é regulada pelas disposições pertinentes do regime aplicável ao pessoal da Agência.

Artigo 22.o

Línguas

1. As disposições do Regulamento n.o 1, de 15 de Abril de 1958, que estabelece o regime linguístico da Comunidade Económica Europeia ( 22 ), são aplicáveis à Agência. Os Estados-Membros e os outros organismos por eles designados podem dirigir-se à Agência e receber resposta na língua comunitária da sua escolha.

2. Os serviços de tradução necessários ao funcionamento da Agência são assegurados pelo Centro de Tradução dos Organismos da União Europeia ( 23 ).

Artigo 23.o

Protecção dos dados pessoais

No processamento de dados pessoais, a Agência está sujeita às disposições do Regulamento (CE) n.o 45/2001.

Artigo 24.o

Participação de países terceiros

1. A Agência está aberta à participação de países que tenham celebrado acordos com a Comunidade Europeia por força dos quais tenham aprovado e apliquem a legislação comunitária nas matérias reguladas pelo presente regulamento.

2. No âmbito das disposições pertinentes dos referidos acordos, serão adoptadas cláusulas que especifiquem, designadamente, a natureza, dimensão e modalidades de participação desses países nos trabalhos da Agência, incluindo disposições relativas à participação nas iniciativas desenvolvidas pela Agência, às contribuições financeiras e ao pessoal.







SECÇÃO 6

DISPOSIÇÕES FINAIS

Artigo 25.o

Cláusula de revisão

1. Até 17 de Março de 2007, a Comissão, tendo em conta os pareceres de todas as partes interessadas relevantes, deve proceder a uma avaliação com base no caderno de encargos acordado com o Conselho de Administração. A Comissão deve proceder a essa avaliação com o objectivo de, nomeadamente, determinar se o período de actividade da Agência deve ser prorrogado para além do período especificado no artigo 27.o

2. A avaliação deve incidir sobre a forma como a Agência está a cumprir os seus objectivos e a desempenhar as suas atribuições, bem como sobre os seus métodos de trabalho, e, se for caso disso, deve contemplar as propostas adequadas.

3. O Conselho de Administração deve receberá um relatório sobre a avaliação e deve formular, à atenção da Comissão, eventuais recomendações de alterações adequadas ao presente regulamento. Tanto os resultados da avaliação como as recomendações devem ser comunicados pela Comissão ao Parlamento Europeu e ao Conselho e ser tornados públicos.

Artigo 26.o

Controlo administrativo

As actividades da Agência estão sujeitas à supervisão do Provedor de Justiça Europeu, nos termos do disposto no artigo 195.o do Tratado.

▼M1

Artigo 27.o

Duração

A Agência é criada em 14 de Março de 2004 por um período de oito anos.

▼B

Artigo 28.o

Entrada em vigor

O presente regulamento entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e directamente aplicável em todos os Estados-Membros.