PT    PT PT 
PT    PT  COMISSÃO EUROPEIA  
Bruxelas,  
SEC(2010) 1127 
DOCUMENTO DE TRABALHO DO S SERVIÇOS DA COMISSÃO 
RESUMO DA AVALIAÇÃO DE IMPACTO  
 
Documento que acompanha a 
  
Proposta de  
 
REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO  
 
relativo à Agência Europeia para a Segurança das Redes e da Informação (ENISA) 
  
{COM(2010) 521 final}  
{SEC(2010) 1126}  
PT 2   PT RESUMO DA AVALIAÇÃO DE IMPACTO  
1. ÂMBITO E CONTEXTO  
1.1. Âmbito 
A presente avaliação de impact o visa determinar a melhor forma a assumir por uma agência 
para a segurança das redes e da informação (SRI) modernizada, que se reconhece amplamente ser um instrumento político adequado e necessári o para responder aos desa fios da SRI, para 
ajudar os organismos dos Estados-Membros  e a Comissão a alcançarem os objectivos 
estratégicos em matéria de SR I, quando o mandato da Agência Eu ropeia para a Segurança das 
Redes e da Informação (ENISA) terminar, em Março de 2012. 
1.2. Contexto 
No mundo de hoje, a sociedade e a econom ia dependem inexoravelmente do correcto 
funcionamento das tecnologias da informaçã o e das comunicações (TIC). Por isso, é 
fundamental garantir que os sistemas seja m estáveis e merecedores da confiança dos 
utilizadores. O número crescente de ameaças, ata ques e softwares maliciosos utilizados contra 
os sistemas poderá pôr em risco o bom funcio namento das redes e das infra-estruturas da 
informação básicas. Atendendo a que esses sistem as e redes são transnacionais, é necessária 
uma resposta europeia ao desafio da  segurança das redes e da informação. 
Para responder a essas questões, foi criada em 2004
1, por um período de cinco anos, a 
Agência Europeia para a Segurança das Redes e da Informação (ENISA) com o objectivo de 
«garantir na [União] um nível de segurança das redes e da informação elevado e eficaz, […] 
com vista a desenvolver uma cultura de segur ança das redes e da informação em benefício 
dos cidadãos, dos consumidores, das empresas e das organizações do sector público da 
União Europeia, contribuindo assim para o normal funcionamento do mercado interno ». 
Desde então, os desafios colocados à SRI têm evoluído constantemente, acompanhando a 
evolução tecnológica e dos mercados. Por cons eguinte, muito antes do termo da vigência do 
Regulamento ENISA em Março de 2009, a Comi ssão deu início a um processo para 
determinar com as partes inte ressadas quais as propostas polític as que melhor serviriam os 
objectivos da UE em termos de SRI a partir  de 2009. Após uma avaliação intercalar da 
ENISA2 e de uma consulta pública3 efectuadas em 2007, o Conselho e o Parlamento Europeu 
adoptaram, em 24 de Setembro de 2008, um Regul amento que prolonga por três anos, até 13 
de Março de 2012, o mandato da Agência, na sua estrutura inicial4. Nos considerandos desse 
Regulamento, o Conselho e o Parlamento Europeu apelaram a que se «aprofunde o debate a 
nível da Agência [e se pro ceda] a uma reflexão aprofundada sobre a orientação geral dos 
esforços envidados a nível europeu para um a maior segurança das redes e da informação» . 
                                                 
1 Regulamento (CE) n.º 460/2004 do Parlamento Europeu e do Conselho, de 10 de Março de 2004, que 
cria a Agência Europeia para a Segurança das Redes e da Informação. 
2 Comunicação da Comissão ao Parlamento Europeu e ao Conselho - Avaliação  da Agência Europeia 
para a Segurança das Redes e da Informação (ENISA) - COM(2007) 285  final de 1.6.2007, 
 http://eur-lex.europa.eu/LexUriServ/Le xUriServ.do?uri=CELEX :52007DC0285:EN:NOT. 
3 A consulta pública decorreu de 13 de Junho a 7 de Setembro de 2007. 
4 Regulamento (CE) n.º 1007/2008 do Parlamento Europeu e do Conselho, de 24 de Setembro de 2008, 
que altera o Regulamento (CE) n.º 460/2004, que cria a Agência Europeia para a Segurança das Redes e 
da Informação, no que respeita à duração da agência (JO L 293 de 31.10.2008). 
PT 3   PT A Comissão facilitou a discus são lançando, em Novembro de 2008, uma outra consulta 
pública à escala da UE sobre os possíveis object ivos de uma política de SRI reforçada e sobre 
os meios de os atingir5. A Comissão organizou igualmente uma workshop , em Dezembro de 
2008, com peritos em SRI dos organismos co mpetentes dos Estados-Membros sobre os 
instrumentos e mecanismos de uma política de SRI reforçada a nível da UE. Além disso, em 
Março 2009, a Comissão adoptou uma Comunicação sobre protecção das infra-estruturas 
críticas da informação6, que atribui à ENISA um papel f undamental no apoio a dar à UE na 
melhoria da segurança, da resi liência e da preparação. Esta abordagem foi aprovada pela 
Conferência Ministerial sobre a protecção das infra-estruturas críticas da informação, 
realizada em Tallin, em 27 e 28 de Abril de  2009, entre cujas conclusões se destaca a 
seguinte: «os novos e duradouros desafios que se nos deparam exigem que seja 
cuidadosamente repensado e reformulado o man dato da Agência para melhor dar resposta 
às prioridades e necessidades da UE;  para conseguir uma capacidade de resposta mais 
flexível, para desenvolver aptid ões e competências europeias e para reforçar a eficiência 
operacional e o impacto geral da Agência. Deste modo, a ENISA poderá tornar-se um trunfo 
permanente para cada Estado-Membro e para a União Europeia em geral ». 
Em 18 de Dezembro de 2009, o Conselho adoptou uma Resolução sobre « Uma abordagem de 
colaboração europeia no domínio da segurança das redes e da informação »7, onde sublinhou 
que «[a] ENISA, no âmbito de um mandat o revisto, deverá constituir o centro de 
competência da UE em questões de seguranç a das redes e da informação relacionadas com 
a UE ». 
Na estratégia Europa 2020 para um cresci mento inteligente, sust entável e inclusivo»8, lançada 
pela Comissão, uma das iniciativas emblemáticas para a sua concretização é a Agenda Digital 
europeia, na qual a SRI desempenha um papel central. O objectivo da presente iniciativa 
política em prol da confiança e da seguranç a na Agenda Digital europeia é permitir à 
UE, aos Estados-Membros e às partes intere ssadas desenvolverem um elevado grau de 
capacidade e de preparação para prevenirem, detectarem e responderem com mais 
eficácia aos problemas de segu rança das redes e da informação . Com isso, estar-se-á a 
contribuir para aumentar a confiança e a seguran ça no mercado único digital da Europa e para 
melhorar a competitividade das empresas europeias. 
2. DEFINIÇÃO DO PROBLEMA  
2.1. Qual é o problema? 
Identificaram-se os seguintes factores de pr oblema, que tornam as partes interessadas 
vulneráveis a ameaças e a incidentes de SRI.  Todos eles mostram a necessidade de uma 
estrutura fiável a nível da UE capaz de resolver os problemas e de se adpatar à rapidez das 
mudanças, em toda a Europa, atendendo à cons tante evolução das condições tecnológicas e 
comerciais com que se defronta a SRI.  
                                                 
5 Entre 7 de Novembro de 2008 e 9 de Janeiro de 2009. Relatório disponível em  
http://ec.europa.eu/information_society/policy/nis/nis_public_consultation/index_en.htm . 
6 Comunicação da Comissão ao Parlamento Europeu e ao Conselho relativa à protecção das infra-
estruturas críticas da informação - COM(2009)149, de 30.3.2009. 
7 Resolução do Conselho de 18 de Dezembro de 2009  sobre uma abordagem de colaboração europeia no 
domínio da segurança das redes e da informação, (2009/C 321/01). 
8 COM(2010) 2020. 
PT 4   PT • Diversidade e fragmentação das abordagens nacionais.  Os problemas que afectam a 
SRI não se detêm nas fronteira s nacionais e, por conseguint e, não podem ser resolvidos 
eficazmente apenas a nível nacional. Ao me smo tempo, o problema é tratado de formas 
muito diferentes pelas au toridades públicas dos diversos Estados-Membros. A 
multiplicidade de requisitos de segurança existentes nos diversos Estados-Membros impõe custos às empresas que opera m à escala da UE e tem por efeito uma fragmentação e uma 
falta de competitividade no mercado interno europeu.  
• Reduzida capacidade europeia em mat éria de alerta rápido e de resposta. Os actuais 
sistemas nacionais de alerta precoce e de re sposta a incidentes diferem significativamente 
de uns Estados-Membros para outros, não ex istindo qualquer sistema à escala da UE. Há 
necessidade de instrumentos pol íticos, a nível da UE, que perm itam identificar os riscos e 
as vulnerabilidades em matéria de SRI e que garantam que esses mecanismos de resposta 
sejam conhecidos e aplicados por todas as partes interessadas. 
• Falta de dados fiáveis e um conhecimento reduzido dos novos problemas.  Existe muito 
pouca informação quantitativa fiável sobre o impacto ou mesmo sobre a ocorrência de incidentes SRI, o que torna difícil aos de cisores políticos adopt arem medidas políticas 
adequadas e às empresas tomarem decisõ es de investimento na segurança.  
• Falta de sensibilização para os riscos e os desafios da SRI. A responsabilidade pela 
garantia de segurança das redes e da informação incumbe às partes interessadas a título 
individual, mas essa responsabilidade nem se mpre é claramente de finida e comunicada. 
Por um lado, os consumidores subestimam muita s vezes os riscos a nível da SRI e ignoram 
a sua responsabilidade pessoal por garantirem  a segurança dos seus sistemas TIC. Por 
outro lado, as empresas, regra geral, vêem sobr etudo os custos da SRI e não o potencial de 
economias que implica.  
• A dimensão internacional dos problemas de segurança das redes e da informação.  As 
ameaças à SRI e os incidentes que podem provo car são, por natureza, internacionais, pelo 
que as acções da UE podem ser menos eficazes se os problemas de SRI não forem adequadamente tratados a níve l internacional. Precisamos de definir uma estratégia e um 
ponto de referência europeus em matéria de SRI para colocar a UE em melhor posição a 
nível internacional. 
• A necessidade de modelos de colaboração para garantir a aplicação adequada das 
políticas.  A aplicação adequada das políticas SRI ex ige modelos de cola boração a nível da 
UE. As partes interessadas têm necessidade de orientações para identificarem as ameaças à 
SRI e para desenvolverem boas práticas na ap licação das actuais políticas em matéria de 
SRI. 
• A necessidade de combater mais eficazmente a cibercriminalidade. Os esforços em 
matéria de SRI têm sido predominantemente organizados no âmbito do antigo primeiro 
pilar, ou seja, das questões debatidas entre as instituições. No entanto, com a entrada em vigor do Tratado de Lisboa, é ne cessário ter em conta, para uma agência SRI, um conjunto 
mais alargado de tarefas que abranja igualmente os domínios do segundo e do terceiro pilares, ou seja, questões que eram anteri ormente decididas apenas pelo Conselho.  
PT 5   PT 2.2. Quem é mais afectado pelo problema? 
Os incidentes SRI poderão ter c onsequências importantes para di versas partes interessadas, 
nomeadamente as grandes e as pequenas empresas, as autoridades e administrações públicas e os cidadãos individualmente. Por outras palavras, toda a gente é afectada e responsável pela 
SRI. 
Existem poucas ou nenhumas informações quantitativ as objectivas sobre o número exacto de 
incidentes e/ou sobre as respectivas consequê ncias económicas. O estudo de mercado da IDC 
EMEA
9 dá-nos uma indicação, ao concluir que 28% dos agregados familiares da UE–27 
tiveram problemas de correio electrónico não desejado ( spam ) ou de vírus nos últimos 12 
meses. Em média, cerca de 7% dos utilizadores  empresariais experimentaram um incidente de 
segurança no ano anterior. 
3. JUSTIFICAÇÃO DA ACÇÃO DA UE,  VALOR ACRESCENTADO E SUBSIDIARIEDADE  
A interdependência das redes e dos sistemas de informação faz com que seja extremamente 
difícil, se não impossível, a cada um dos actor es avaliar correctamente o impacto económico e 
social global das suas medidas pa ra se protegerem contra os in cidentes SRI. A diversidade de 
políticas e práticas nacionais influi no mercado interno quer  devido aos efeitos negativos 
externos induzidos pelos incidentes SRI (polític as inadequadas afectam os mercados de outros 
Estados-Membros), quer devido aos efeitos positivos  externos das boas práticas em matéria de 
SRI (as boas práticas num Estado-Membro me lhoram a SRI no geral, criando assim um 
benefício claro para a sociedade). Por conseguint e, a intervenção política da UE justifica-se 
por fornecer valor acrescentado real ao f uncionamento do mercado interno. Esse valor 
acrescentado foi igualmente reconhecido no  Regulamento (CE) n.º 460/2004 que cria a 
ENISA, o qual prevê que as competências da Agência visam contribuir para o bom 
funcionamento do mercado interno. 
Além disso, a intervenção da UE na política SRI justifica-se pelo  princípio da 
subsidiariedade . Como assinalado na Comunicação relativ a às infra-estruturas críticas da 
informação, uma estratégia da UE de total não intervenção nas políticas nacionais em matéria 
de SRI equivaleria bastante a pedir a cada Estado-Membro que apenas protegesse o seu 
próprio quintal, ignorando a interdependência do s sistemas informáticos. Um grau apropriado 
de coordenação entre os Estados-Membros pa ra garantir a boa gestão das implicações 
transfronteiras dos riscos em matéria de SR I é, por isso, coerente com o princípio da 
subsidiariedade. Além disso, a acção da UE melhorará a eficácia da s políticas nacionais 
existentes.  
Os cidadãos europeus confiam cada vez mais  os seus dados a sistemas informáticos 
complexos (caso da nebulosa computacional). Po r conseguinte, a aplicação de uma política 
concertada e colaborativa em matéria de SRI pode ter um impacto muito positivo na 
protecção  efectiva dos direitos fundamentais  e especificamente na protecção dos dados 
pessoais e da privacidade . É também por esse motivo que uma nova acção política da UE 
parece amplamente justificada.  
                                                 
9 IDC EMEA, The European Network and Information Security Market, Scenario, Trends and 
Challenges , Abril de 2009, com referê ncia ao inquérito do Eurobarómetro sobre comunicações 
electrónicas, de Abril de 2007. 
PT 6   PT 4. OBJECTIVOS POLÍTICOS  
A presente avaliação de impacto visa determ inar quais os contornos que uma agência SRI 
modernizada, que é amplamente reconhecida  como a estrutura organizacional mais 
apropriada, poderá assumir para contribuir, a par de outros instrumentos da União, para a 
realização dos objectivos políticos. 
O objectivo geral é permitir à União, aos Estados-Membros e às partes interessadas 
desenvolverem um elevado grau de capaci dade e de preparação para prevenirem, 
detectarem e responderem com mais eficácia aos problemas de segurança das redes e da 
informação . Com isso, estar-se-á a contribuir para au mentar a confiança e a segurança no 
mercado único digital da Europa e para melhorar a competitividade das empresas europeias. 
Este objectivo geral divide-se em sete  objectivos específicos : 
(1) Coerência das abordagens regulamentares  – fornecer orientações e conselhos à 
Comissão e aos Estados-Membros para que actualizem e elaborem um quadro normativo global no domínio da segurança das redes e da informação (SRI). 
(2) Prevenção, detecção e resposta  – melhorar a prepara ção, contribuindo para a 
instauração de uma capacidade europeia de al erta rápido e de resposta a incidentes, de 
planos de emergência e de exercícios pan-europeus. 
(3) Apoio à definição de políticas — prestar assistência e aconselhamento à Comissão e 
aos Estados-Membros. 
(4) Responsabilização das partes interessadas  — desenvolver uma cu ltura de segurança 
e de gestão dos riscos, através do estímulo à partilha de informações e à ampla cooperação entre os actores do sector públ ico e do privado, também em benefício 
directo dos cidadãos e das PM E, e desenvolver uma cultura de sensibilização para a 
SRI. 
(5) Fazer da Europa um actor viável na arena internacional  – elevar o nível da 
cooperação com os países terceiros e orga nizações internaci onais, tendo em vista 
promover uma abordagem global comum da  SRI e dar impacto às iniciativas 
internacionais de alto nível na Europa. 
(6) Aplicação concertada  — facilitar a colaboração na ap licação das políticas no domínio 
da SRI. 
(7) Combate à cibercriminalidade  — encontrar uma resposta eficaz para os aspectos 
SRI da cibercriminalidade através da coope ração com as autoridades dos (antigos) 
segundo o terceiro pilares, como a Europol.  
5. F
ORMATOS ORGANIZACIONAIS POSSÍVEIS E OPÇÕES POLÍTICAS  
Para pôr em prática as opções políticas acima referidas, são analisados, na Avaliação de 
Impacto (capítulo 4 e anexo 4), alguns formatos  organizacionais possíveis, entre os quais: (i) 
uma agência, (ii) uma parceria público-privad a (PPP) mais ou menos formalizada, (iii) uma 
rede de contacto informal, (iv) uma rede pe rmanente de organismos competentes e (v) a 
integração directa num serviço da Comissão.  
PT 7   PT Comparando estes diferentes formatos organi zacionais, uma agência parece ser o mais 
indicado como instrumento polít ico, devido às vantagens que apresenta em termos de: (1) 
segurança jurídica da estrutura organizacional e quanto à substância, (2) adequação, tendo em 
conta as preocupações específicas de um s ector tão sensível como a SRI (congregação de 
competências especializadas externas, coorden ação da relação com as partes interessadas, 
envolvimento / empenho dos Estados-Membros) e (3) aceitação e reputação da ENISA na comunidade SRI. 
Assim, foram desenvolvidas e avaliadas em porme nor as seguintes opções políticas para o 
formato organizacional «agência». 
Opção política 1: Nenhuma política  
Com esta opção, assume-se que a ENISA deixa de existir depois de Março de 2012 e que 
nenhuma outra instituição da UE passará a exercer,  na totalidade ou em parte, as suas actuais 
actividades.  
O encerramento da ENISA significa que todo o investimento efectuado até à data, por 
exemplo, na criação de uma organização capaz de  atrair pessoas altamente especializadas, na 
aquisição de experiência e na criação de re des com e entre as partes interessadas e com 
instituições internacionais, será  retirado, numa altura em que a Agência atingia a velocidade 
de cruzeiro.  
A natureza complexa do problema da segurança das redes e da informação na Europa exige 
uma agência modernizada e reforçada e não o encerramento da que existe. A confirmá-lo está o papel explícito atribuído à ENISA, por exemplo, no quadro regulamentar revisto das 
comunicações electrónicas
10, e o apoio generalizado expresso  pelas partes interessadas à 
atribuição de um papel mais importante a uma agência europeia dedicada à SRI.  
Opção política 2: Continuação nos mesmos moldes  
A opção 2 representa o cenário «manutenção do statu quo », ou seja, a manutenção do mesmo 
instrumento político, em moldes idênticos e com os mesmos recursos. É consensual, entre as 
partes interessadas, que a ENISA amadureceu e se  tornou um ponto de referência credível nas 
questões da SRI, impondo-se como cen tro de excelência no seu domínio.  
Dadas as actuais restrições à contratação de pessoal e orçamentais, a Agência apenas poderá 
ter impacto num número reduzido de questões SRI,  o que contrasta com as expectativas gerais 
das partes interessadas. Não dar à Agência a possibilidade de evoluir e de corresponder a 
essas expectativas crescentes poderá acabar po r conduzi-la a uma crise de credibilidade.  
Opção política 3: Expandir as funções actualme nte atribuídas à ENISA e implicar nela as 
autoridades policiais / judiciai s e as autoridades responsáveis pela protecção da privacidade 
enquanto partes interessadas de pleno direito  
Esta opção prevê o alargamento do papel de uma agência dedicada à SRI, que se centraria no 
seguinte: 
                                                 
10 Ver http://eur-lex.europa.eu/JOHtml.do?uri=OJ:L:2009:337:SOM:EN:HTML . 
PT 8   PT • Construir e manter uma rede de ligação entr e as partes interessadas e uma rede de 
conhecimentos; 
• Funcionar como centro de apoi o em matéria de SRI para a concepção e a aplicação de 
políticas (em particular no domínio da pr ivacidade e comunicações electrónicas, das 
assinaturas electrónicas, da id entidade electrónica e das normas de contratos públicos em 
matéria de SRI); 
• Apoiar a política da União Eur opeia em matéria de protecção das infra-estruturas críticas 
da informação e de resiliência (exercícios, PPPER11, sistema europeu de partilha de 
informações e de alerta, etc.); 
• Criar um quadro a nível da União para a reco lha de dados sobre SRI, que preveja também 
métodos e práticas para a su a comunicação e partilha legais; 
• Estudar a economia da SRI e comunicar as conclusões; 
• Estimular a cooperação com países terceiros e organizações internacionais, tendo em vista 
promover uma abordagem global comum da SRI e dar impacto às iniciativas internacionais 
de alto nível na Europa; 
• Executar tarefas não operacionais relacionada s com os aspectos SRI da repressão e da 
cooperação judicial. 
A Agência disporá de todos os recursos necessári os para exercer as su as actividades de um 
modo satisfatório e rigoroso, ou seja, produzi ndo um impacto real. Com mais recursos 
disponíveis, a ENISA poderá assumir um pa pel muito mais pró-activo e tomar mais 
iniciativas para estimular a participação activa das partes interessadas. Além disso, esta nova situação oferecer-lhe-á maior flexibilidade para r eagir rapidamente às constantes alterações no 
ambiente SRI. 
Opção política 4: Novas funções operacionais no combate aos ciberat aques e na resposta 
aos incidentes informáticos  
Para além das actividades referidas na opção 3, a Agência teria funçõe s operacionais, como a 
assunção de um papel mais activo na protecção das infra-estruturas crít icas da informação na 
UE, por exemplo na prevenção e resposta a in cidentes, especificamente agindo como equipa 
de resposta a emergências informáticas (CER T) no domínio da SRI na UE e coordenando as 
CERT nacionais enquanto centro de crise SRI da  UE, incluindo quer as actividades de gestão 
quotidiana quer a organização de serviços de emergência.  
Esta opção exigiria um aumento substancia l do orçamento da Agên cia e dos recursos 
humanos, o que levanta problemas acerca da sua cap acidade de absorção e de utilização eficaz 
do orçamento em relação aos benefícios almejados.  
Opção política 5: Novas funções operacionais no apoio às autoridades policiais e judiciais 
no combate à cibercriminalidade  
Para além das actividades mencionadas na opção 4, esta opção atribuiria novas funções à 
Agência: 
                                                
 
11 Parceria público-privada europeia para a resiliência, ver COM(2009)149. 
PT 9   PT • Apoio em matéria de direito processual (cf. Convenção sobre o Cibercrime): por exemplo, 
recolha de dados de tráfego, intercepção de  dados sobre conteúdos, monitorização dos 
fluxos em caso de ataques na forma de negação de serviço; 
• Função de centro especializado para invest igações criminais que incluam aspectos SRI. 
Tal como na opção 4, esta implicaria um au mento substancial dos recursos da Agência e 
colocaria problemas semelhantes de capacidade de absorção e de utilização efectiva do 
orçamento. 
6. COMPARAÇÃO DAS DIFERENTES OPÇÕES E AVALIAÇÃO DOS IMPACTOS  
A análise dos possíveis impactos económic os, sociais e ambientais revela que a  opção 1  
produziria efeitos negativos a todos os  níveis e que a situação pioraria.  
A opção 2  revela-se insatisfatória, dado que a Agênci a não disporia dos r ecursos necessários 
para responder adequadamente aos desafios da  evolução constante da paisagem SRI, podendo 
pôr em risco a sua reputação e — em última análise — originar uma crise de credibilidade. 
Uma Agência SRI modernizada, como prevê a opção 3  contribuiria para: 
Reduzir a diversidade de abordage ns nacionais (factor de problema 1), aumentar os dados e os 
conhecimentos / informações em que se baseiam as  políticas e decisões (f actor de problema 3) 
e aumentar a sensibilização geral para os risc os e desafios da SRI e a resposta aos mesmos 
(factor de problema 4) ao contribuir para: 
• uma recolha mais eficaz, por cada Estado-Membro, de informações relevantes 
sobre os riscos, as ameaças e as vulnerabilidades; 
• uma maior disponibilidade de  informações sobre os de safios e os riscos SRI 
actuais e futuros; 
• políticas SRI de maior qua lidade nos Estados-Membros. 
Melhorar a capacidade europeia  de alerta rápido e de res posta (factor de problema 2): 
• ajudando a Comissão e os Estados-Membr os a organizarem exercícios pan-
europeus, conseguindo desse modo economias de  escala na respos ta a incidentes à 
escala da UE; 
• facilitando o funcionamento da PPPER (par ceria público-privada europeia para a 
resiliência), o que poderá, em última an álise, conduzir a mais investimentos, 
suscitados pela existência de objecti vos políticos comuns e de normas de 
segurança e de resiliên cia à escala da UE. 
Promover uma abordagem global em rel ação à SRI (factor de problema 5): 
• aumentando o intercâmbio de informações e conhecimentos com países de fora da 
UE. 
Combater mais eficiente e eficazmente a ci bercriminalidade (factor de problema 7): 
PT 10   PT • participando em tarefas não operacionais  relacionadas com os aspectos SRI da 
repressão e da cooperação judicial, tais  como o intercâmbio internacional de 
informações e a formação (por exemplo, em cooperação com a Academia Europeia de Polícia – CEPOL). 
A Opção 4  produziria, para além dos impactos cons eguidos com a opção 3, um impacto mais 
pronunciado ao nível operacional. Ao agir co mo CERT da UE em matéria de SRI e ao 
coordenar as CERT nacionais, a Agência contribu iria para a realização de maiores economias 
de escala na resposta a incidentes à escala da UE  e para a redução dos riscos operacionais para 
as empresas, devido, por exemplo, a níveis ma is elevados de segurança e resiliência. 
A opção 5 , com a adição de funções operacionais de a poio às autoridades policiais e judiciais, 
garantiria maior eficácia no combate à ci bercriminalidade do que as opções 3 e 4. 
No entanto, embora as opções  4 e 5 produzissem maiores imp actos positivos do que a opção 
3, ambas as opções seriam politicamente sensíveis para os Estados-Membros no que respeita às suas responsabilidades em matéria de protecç ão das infra-estruturas críticas da informação 
(ou seja, alguns Estados-Membros não seriam favoráveis a que se centralizassem as funções 
operacionais). Além disso, o alargamento do mand ato nos moldes previstos pelas opções 4 e 5 
poderia tornar ambígua a posição da Agência. Por outro lado, a adição destas novas tarefas 
operacionais completamente diferentes ao  mandato da Agência poderia ser muito 
problemático a curto prazo e correr-se-ia o risco de que a Agência não fosse capaz de 
desempenhar esse tipo de tarefa adequadament e num prazo razoável. Po r fim, mas não menos 
importante, o custo de implementação das opções 4 e 5 atingiria um nível proibitivo — o orçamento necessário seria o quádruplo ou o quíntuplo do orçamento actual da ENISA. 
Quando se comparam os impact os das cinco opções políticas  quanto ao formato 
organizacional de agência SRI modernizada, as  opções 1 e 2 têm de ser descartadas, porque 
nenhuma delas permitiria responder adequadament e ao complexo problema da SRI a nível da 
UE. As opções 3, 4 e 5, por outro lado, perm item à UE responder adequadamente a futuras 
opções políticas em matéria de SRI. As opções 4 e 5 parecem, para já, demasiado ambiciosas, 
tanto no que respeita às sensib ilidades políticas da maioria dos Estados-Membros como no 
que respeita às implicações or çamentais. Por conseguinte, a opção 3 parece ser a melhor 
para resolver os sete problemas identificados do modo mais eficaz.  
7. A
COMPANHAMENTO E AVALIAÇÃO : COMO SERÃO MEDIDOS OS CUSTOS E 
BENEFÍCIOS E A OBTENÇÃO DOS EFEITOS DESEJADOS ? 
A presente iniciativa política prevê avali ações periódicas, que a Comissão transmitirá ao 
Parlamento Europeu e ao Conselho e que serão to rnadas públicas. Tais avaliações terão em 
conta os pontos de vista de todas as partes interessadas, com base num caderno de encargos 
acordado com o conselho de administração da Agên cia, e consistirão em avaliar a capacidade 
da Agência para atingir os seus objectivos, em determinar se uma agên cia continua a ser um 
instrumento eficaz e se devem ser introduzidas  alterações ao mandato da Agência e/ou 
noutros aspectos do regulamento que a inst itui. Após uma avaliação, o conselho de 
administração da Agência emite recomendações  à Comissão sobre eventuais alterações que 
considere adequado introduzir no regulamento. O conselho de administração e o director 
executivo da Agência devem ter em consider ação os resultados das avaliações no 
planeamento plurianual da Agência. 
PT 11   PT As actividades da Agência estão sujeitas à su pervisão do Provedor de Justiça Europeu, nos 
termos do disposto no artigo 228.º do Tratado.