Em conformidade com as orientações «Legislar melhor» da Comissão, a avaliação versou a eficácia, eficiência, coerência, pertinência e valor acrescentado da UE da Agência, tendo em conta o seu desempenho, a governação, a estrutura organizacional interna e os seus métodos de trabalho.

Nos termos do artigo 32.º do Regulamento ENISA, a Comissão deve enviar o relatório de avaliação, juntamente com as suas conclusões, ao Parlamento Europeu, ao Conselho e ao conselho de administração. Este relatório de síntese é acompanhado por um documento de trabalho dos serviços da Comissão sobre a avaliação da Agência Europeia para a Segurança das Redes e da Informação (SWD(2017) 502).

Esta visão foi confirmada nas conclusões do Conselho de 2016, que reconheceram que «as ciberameaças e as vulnerabilidades continuam a evoluir e a intensificar-se, o que obrigará a uma cooperação contínua e mais estreita, particularmente no tratamento de incidentes transfronteiras de grande escala em matéria de cibersegurança». Nas conclusões, foi reafirmado que «o regulamento ENISA constitui um dos elementos centrais de um quadro de ciberresiliência da UE».

Tendo em conta as mudanças significativas ocorridas no cenário da cibersegurança desde 2013, quando o atual Regulamento ENISA foi adotado, e atendendo ao nível de maturidade alcançado a nível político, tecnológico e do mercado, a Comissão, na sua comunicação de 2016 intitulada «Reforçar o sistema de ciberresiliência da Europa e promover uma indústria de cibersegurança competitiva e inovadora», anunciou que iria antecipar a avaliação e a revisão da ENISA. Em especial, a Comissão constatou que a avaliação da ENISA constituirá uma oportunidade para analisar o possível reforço das competências da Agência e das suas capacidades para apoiar os Estados-Membros, de forma sustentável, com vista a promover a resiliência a nível da cibersegurança.

A Agência está localizada na Grécia, tem a sua sede administrativa em Heráclion (Creta) e as principais operações em Atenas. Tem 84 efetivos e um orçamento anual de funcionamento de 11,25 milhões de EUR. É chefiada por um diretor executivo, sendo a governação assegurada por um conselho de administração, uma comissão executiva e o grupo permanente de partes interessadas. Uma rede informal de agentes de ligação nacionais facilita os contactos com os Estados-Membros.

Além disso, por meio da Diretiva UE 2016/1148 relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União («Diretiva SRI»), os colegisladores da UE decidiram atribuir à ENISA um papel importante na execução da legislação. Em particular, a Agência assegura os serviços de secretariado da rede de CSIRT (criada para promover uma cooperação operacional rápida e eficaz entre os Estados-Membros) e é igualmente chamada a assistir o grupo de cooperação para efeito de cooperação estratégica no âmbito da execução das suas tarefas. Além disso, a Diretiva SRI estipula que a ENISA preste assistência aos Estados-Membros e à Comissão mediante a disponibilização de conhecimentos especializados e de aconselhamento e a facilitação do intercâmbio de boas práticas.

A análise teve igualmente em conta a evolução do contexto em que a Agência funciona atualmente, sobretudo no atinente: ao novo quadro regulamentar e político da UE (por exemplo, a Diretiva SRI, a revisão da Estratégia da UE para a Cibersegurança); à evolução das necessidades da comunidade de partes interessadas da Agência; à complementaridade e possíveis sinergias com o trabalho realizado por outras instituições, agências e organismos nacionais e da UE, tais como a equipa de resposta a incidentes de segurança informática das instituições, agências e organismos da UE (CERT-UE) e o Centro Europeu da Cibercriminalidade (EC3) da Europol.

Para avaliar o funcionamento da Agência:

·A Comissão encomendou um estudo independente, realizado entre novembro de 2016 e julho de 2017, e que constitui a principal fonte de avaliação, juntamente com a análise interna realizada pela Comissão.

·As atividades do estudo incluíram uma pesquisa documental, recolha e análise de dados, nomeadamente por meio de inquéritos às partes interessadas, entrevistas exaustivas com os principais intervenientes no domínio da cibersegurança, seminários com as partes interessadas, análises comparativas, um exercício de posicionamento da Agência e uma análise dos pontos fortes, dos pontos fracos, das oportunidades e das ameaças (SWOT).

·A Comissão também procedeu a uma consulta pública em linha durante 12 semanas, que abrangeu tanto a avaliação ex post e o futuro da ENISA como consultas específicas com as principais partes interessadas.

Os principais resultados da avaliação, de acordo com os critérios de avaliação, podem ser resumidos como se segue:

1.Pertinência: num contexto de progressos tecnológicos e de crescentes ameaças, e perante a necessidade de aumentar a segurança das redes e da informação (SRI) na UE, os objetivos da ENISA revelaram-se pertinentes. De facto, os Estados-Membros e os organismos da UE dependem de conhecimentos especializados sobre a evolução da segurança das redes e da informação, é necessário criar capacidades nos Estados-Membros para compreender e responder às ameaças, e as partes interessadas devem cooperar entre setores e entre instituições. A segurança das redes e da informação continua a ser uma prioridade política fundamental da UE, à qual a ENISA deve dar resposta; no entanto, a conceção da ENISA, enquanto agência da UE com um mandato fixo: i) não permite o planeamento a longo prazo e um apoio sustentável aos Estados-Membros e às instituições da UE no contexto de rápida mudança do cenário de ameaças à cibersegurança; ii) pode conduzir a um vazio jurídico, uma vez que as disposições da Diretiva SRI que conferem atribuições à ENISA são de caráter permanente.

2.Eficácia: a ENISA cumpriu, de um modo geral, os seus objetivos e executou as suas tarefas. Contribuiu para o aumento da segurança das redes e da informação na Europa por meio das suas principais atividades (reforço das capacidades, disponibilização de conhecimentos especializados, formação de comunidades, apoio às políticas). Revelou potencial para melhorias em relação a cada uma delas. A avaliação concluiu que a ENISA criou efetivamente fortes relações de confiança com algumas das suas partes interessadas, nomeadamente com os Estados-Membros e a comunidade de CSIRT. As intervenções no domínio do reforço de capacidades foram consideradas eficazes, em especial no caso dos Estados-Membros com menos recursos. O incentivo a uma ampla cooperação foi um dos pontos altos, tendo as partes interessadas sido quase unânimes na sua apreciação em relação ao papel positivo que a ENISA desempenha no sentido de aproximar as pessoas. No entanto, a ENISA teve dificuldades em criar um grande impacto no vasto domínio da SRI. Isto deveu-se também ao facto de dispor de recursos humanos e financeiros bastante limitados para cumprir um mandato muito amplo. Além disso, a avaliação concluiu que a ENISA cumpriu parcialmente o objetivo de disponibilizar conhecimentos especializados, devido aos problemas de recrutamento de peritos (ver também a secção sobre eficiência, infra).

3.Eficiência: apesar do orçamento reduzido, entre os mais baixos em comparação com outras agências da UE, a Agência conseguiu contribuir para alguns objetivos específicos, evidenciando, em geral, a sua eficiência na utilização dos recursos. A avaliação concluiu que os processos, de um modo geral, foram eficientes e que a delimitação clara das responsabilidades dentro da organização levou a uma boa execução dos trabalhos. Um dos principais desafios à eficiência da Agência diz respeito às dificuldades da ENISA no recrutamento e na retenção de peritos altamente qualificados. As conclusões revelam que tal pode ser explicado por uma combinação de fatores, tais como as dificuldades gerais do setor público para competir com o setor privado na contratação de peritos altamente especializados, o tipo de contratos (termo certo) que a Agência podia geralmente oferecer e o nível relativamente baixo de atratividade relacionado com a localização da ENISA, associado, nomeadamente, à dificuldade de os cônjuges encontrarem emprego. A localização dividida entre Atenas e Heráclion exigiu esforços de coordenação suplementares e estava a gerar despesas adicionais, mas a transferência do departamento de operações centrais para Atenas, em 2013, aumentou a eficiência operacional da Agência.

4.Coerência: as atividades da ENISA têm sido, de um modo geral, coerentes com as políticas e atividades das suas partes interessadas, a nível nacional e da UE, mas é necessária uma abordagem mais coordenada a nível da UE em relação à cibersegurança. O potencial de cooperação entre a ENISA e outros organismos da UE não foi plenamente utilizado. A evolução do cenário jurídico e político da UE torna o mandato em vigor menos coerente nos dias de hoje.

5.Valor acrescentado da UE: o valor acrescentado da ENISA residiu principalmente na capacidade da Agência de reforçar a cooperação, sobretudo entre Estados-Membros, mas também com comunidades ligadas à segurança das redes e da informação. Não existe nenhum outro interveniente a nível da UE que apoie a cooperação entre a mesma variedade de partes interessadas em matéria de segurança das redes e da informação. O valor acrescentado proporcionado pela Agência variou consoante as diferentes necessidades e recursos das partes interessadas (por exemplo, Estados-Membros de grande dimensão em contraposição a Estados-Membros de pequena dimensão; Estados-Membros em contraposição ao setor empresarial) e a necessidade de a Agência dar prioridade às atividades de acordo com o seu programa de trabalho. A avaliação concluiu que uma eventual interrupção da atividade da ENISA constituiria uma oportunidade perdida para todos os Estados-Membros. Não será possível assegurar o mesmo grau de desenvolvimento comunitário e de cooperação entre os Estados-Membros no domínio da cibersegurança se não houver uma agência descentralizada da UE. O quadro ficaria mais fragmentado, com um quadro de cooperação bilateral ou regional a preencher o vazio deixado pela ENISA.

3.Conclusões/Recomendações

A avaliação concluiu que o regulamento que criou a agência confiou à ENISA um amplo mandato, que permite uma certa flexibilidade, mas que, em alguns casos, carece de enfoque, tornando difícil para a Agência causar um grande de impacto, e os objetivos revelaram-se pertinentes durante o período de 2013-2016. A Agência conseguiu atingir um bom nível de eficiência e demonstrou o valor acrescentado de uma atuação a nível da UE, em particular por meio de atividades essenciais, como os exercícios pan-europeus de simulação de ciberincidentes, o apoio à comunidade de CSIRT, as análises do cenário de ameaças. A ENISA contribuiu para aumentar a segurança das redes e da informação na Europa, principalmente mediante o apoio à cooperação entre os Estados-Membros e as partes interessadas em matéria de SRI, bem como por intermédio das suas atividades de reforço da comunidade e das capacidades.

A Agência obteve estes resultados não obstante vários desafios apresentados nos pontos anteriores do presente relatório e no documento de trabalho dos serviços da Comissão em anexo. Um dos principais desafios dizia respeito aos recursos limitados, que não correspondiam ao mandato alargado da Agência, nomeadamente tendo em conta as novas atribuições que lhe foram conferidas pela Diretiva SRI e a rápida evolução do cenário de ameaças. A ENISA também continua a ser a única agência da UE com um mandato fixo, apesar das funções, entre outras, relacionadas com a Diretiva SRI, tal como acima referido.

A natureza das ciberameaças está a evoluir rapidamente, com novas ameaças emergentes, enquanto a Europa se torna cada vez mais dependente de infraestruturas e serviços digitais, não só através de dispositivos conectados, mas de uma conectividade que é agora omnipresente. A Internet das coisas cria novas oportunidades relacionadas com a eficiência energética, a proteção do ambiente, a mobilidade conectada, a vigilância da saúde em tempo real e as transações financeiras inteligentes e sem descontinuidades na economia e sociedade digitais. No entanto, paralelamente a estes estímulos empresariais, há novas vulnerabilidades e falhas exploráveis que permitem que dispositivos comprometidos perturbem o mercado único digital.

A avaliação permitiu concluir que o atual mandato da ENISA não dota a agência dos instrumentos necessários para fazer face aos desafios atuais e futuros em matéria de cibersegurança.

Além disso, já existe um risco crescente de fragmentação a nível da UE devido ao número de intervenientes no domínio da cibersegurança e à insuficiente coordenação entre os mesmos. A UE precisa de um ponto focal para enfrentar novas ameaças, que são horizontais por natureza e afetam vários setores industriais, e para corresponder às necessidades da comunidade da cibersegurança, em especial os Estados-Membros, as instituições da UE e as empresas. A avaliação sugere que há necessidade de uma agência da UE organizada numa base transetorial/horizontal, com um forte mandato.

A avaliação revela que, não obstante uma série de questões difíceis, existe um potencial significativo para que a ENISA, se estiver suficientemente mandatada e apoiada em termos de recursos humanos e financeiros, dê um contributo para uma maior cibersegurança na UE.

Há também uma clara necessidade de cooperação e coordenação entre as diferentes partes interessadas. A necessidade de uma entidade de coordenação a nível da UE para facilitar os fluxos de informação, minimizar as insuficiências e evitar a duplicação de funções e de responsabilidades torna-se cada vez mais premente. A ENISA, enquanto agência descentralizada da União Europeia e um intermediário neutro, está em condições de coordenar a resposta da UE às ciberameaças.

Nesta base, a Comissão apresentou uma proposta de reforma da ENISA, no sentido de lhe confiar um mandato permanente assente nos principais pontos fortes revelados pela Agência e nos novos domínios de ação prioritários, por exemplo, no domínio da certificação da cibersegurança. Este novo mandato deve refletir a evolução da realidade e conferir poderes à Agência para apoiar devidamente a UE no futuro.