Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO que cria a Agência Europeia para a Segurança das Redes e da Informação

(apresentada pela Comissão)

EXPOSIÇÃO DE MOTIVOS

1. CONTEXTO

Hoje em dia, mais de 90% das empresas da União Europeia dispõem de uma ligação à Internet e, na sua maioria, exploram um sítio Web. Um número esmagador de trabalhadores utiliza um telemóvel, um computador portátil ou um aparelho semelhante para enviar ou receber informações relacionadas com a sua actividade profissional. Essas informações podem representar um valor considerável, quando, por exemplo, descrevem uma transacção comercial ou contêm conhecimentos técnicos.

Para além da actividade profissional, a utilização de computadores e redes tornou-se parte essencial da vida das pessoas. Em 2002, cerca de 40% das habitações, na UE, dispunham de ligação própria à Internet e mais de 2/3 da população utilizavam um telefone móvel. As escolas e universidades dispõem de ligações à Internet e a sua utilização ou a de um computador é prática comum para quem aprende e estuda. As administrações públicas encaminham-se rapidamente para o chamado "governo electrónico". Infra-estruturas como os sistemas de abastecimento de água e electricidade ou os transportes públicos são controladas por computadores e redes de comunicações. A partir de 11 de Setembro de 2001, estes aspectos passaram igualmente a ser matéria de segurança nacional.

Tendo em conta as muitas actividades que dependem das redes e dos sistemas de informação, o seu funcionamento seguro tornou-se uma preocupação central. À semelhança do que se tornou numa expectativa natural relativamente ao abastecimento de electricidade e água, as pessoas esperam também que um telefone funcione quando levantam o auscultador. Esperam que um computador funcione bem quando dele precisam. Querem ter acesso a informações armazenadas sem perdas de tempo ou interrupções. As falhas na rede e nos sistemas informáticos já deixaram de ser um problema exclusivo de especialistas. O mau funcionamento das redes e dos sistemas informáticos atinge toda a gente: cidadãos, empresas e administrações públicas.

A segurança tornou-se uma característica essencial de muitas empresas, nomeadamente das empresas em linha. Tornou-se, por conseguinte, um sector com empresas especializadas que vendem produtos e serviços, estando igualmente sujeito a disposições comerciais. Os consumidores, por exemplo, compram software antivírus e instalam barreiras de protecção ("firewalls") nos seus computadores. As empresas investem em segurança, criam redes internas protegidas e procedem à cifragem do correio electrónico ou das comunicações sem fios. Os dados sensíveis são transmitidos recorrendo à cifragem. Alguns utilizadores parecem conhecer bem as vulnerabilidades e os meios de as gerir, outros estão menos bem informados ou menos preocupados.

Na perspectiva actual, a segurança das redes e da informação consiste em garantir a disponibilidade de serviços e dados, evitar as perturbações e a intercepção não autorizada das comunicações, confirmar que os dados enviados, recebidos ou armazenados estão completos e inalterados, assegurar a confidencialidade dos dados, proteger os sistemas informáticos contra o acesso não autorizado, garantir a protecção contra ataques que envolvam software malicioso e assegurar a autenticação de confiança, ou seja, a confirmação de uma identidade reivindicada por entidades ou utilizadores.

No futuro próximo, à medida que as redes e sistemas informáticos forem evoluindo e a informática se for tornando mais omnipresente, os requisitos de segurança alterar-se-ão. Acontecerá, por exemplo, que as ligações em banda larga oferecerão às pessoas a possibilidade de se ligarem à Internet em qualquer altura, as novas aplicações sem fios permitirão o acesso dos utilizadores à Internet em qualquer lugar do mundo e continuarão a desenvolver-se as possibilidades de ligar todos os tipos de aparelhos, desde impressoras a frigoríficos, à Internet e de diversificar os modos de utilização desta rede.

A gestão da segurança tem-se revelado uma tarefa difícil e complexa, dado o facto de o utilizador ter de lidar com a disponibilidade, integridade, autenticidade e confidencialidade de dados e serviços. Atendendo à complexidade da tecnologia, muitos componentes e actores têm de agir em conjunto e o comportamento humano tornou-se um factor crucial.

Provavelmente, nunca se conseguirá a segurança total, pelo menos a custos razoáveis. Existirão sempre pontos fracos, ataques, incidentes e falhas, que causarão danos e reduzirão a confiança nos sistemas e serviços. Neste ponto, não há grande diferença em relação a outras tecnologias e a outros aspectos da vida quotidiana. A sociedade em geral e cada indivíduo em particular tem de aprender a gerir os riscos associados às redes e sistemas informáticos.

2. MOTIVO PARA AGIR

A segurança tornou-se uma das grandes preocupações políticas. Os governos sentem ter uma responsabilidade crescente perante a sociedade e intensificam os seus esforços para aumentar a segurança no seu território. No intuito de promoverem a segurança, apoiam, por exemplo, equipas preparadas para responder a emergências informáticas, trabalhos de investigação e campanhas de sensibilização. Também equipam e treinam os serviços responsáveis pela aplicação da lei para poderem combater a criminalidade informática e a nível da Internet.

Os Estados-Membros encontram-se, porém, em fases diferentes do seu trabalho e o foco das atenções varia. Para além das redes administrativas como a TESTA, não existe qualquer cooperação transfronteiras sistemática em matéria de segurança das redes e da informação entre os Estados-Membros, embora as questões de segurança não possam ser tratadas isoladamente por um país. Não existe um mecanismo que garanta respostas eficazes às ameaças à segurança. A implementação do quadro jurídico varia. A certificação dos produtos é nacional, ao passo que as normas fundamentais são elaboradas pelo sector a nível mundial e os operadores e vendedores deparam-se com diferentes atitudes da parte dos governos. Tudo isto dificulta a interoperabilidade, sem a qual não é possível utilizar correctamente os produtos e serviços de segurança.

A Comunidade só tem a ganhar com uma maior coordenação entre os Estados-Membros de modo a atingirem, todos eles, um nível de segurança suficientemente elevado. É esse o objectivo da Comunicação da Comissão relativa à segurança das redes e da informação, de Junho de 2001 [1], que propõe uma série de medidas, entre as quais acções de sensibilização, de melhoria dos mecanismos para a troca de informações e de apoio à normalização e certificação orientadas para o mercado.

[1] Comunicação da Comissão ao Conselho, Parlamento Europeu, Comité Económico e Social e Comité das Regiões - "Segurança das redes e da informação: Proposta de abordagem de uma política europeia". Proposta de uma abordagem política europeia", COM(2001) 298 final.

A comunicação propõe igualmente o estabelecimento de um sistema europeu de alerta e informação. A Resolução do Conselho de 28 de Janeiro de 2002 relativa a uma abordagem comum e a acções específicas no domínio da segurança das redes e da informação desenvolveu mais esse conceito. Tornou-se claro que as actuais disposições institucionais não permitem abordar adequadamente a questão da segurança das redes e da informação a nível europeu.

Na sua resolução, o Conselho congratula-se com a intenção da Comissão de apresentar propostas para o estabelecimento de uma Task Force dedicada à cibersegurança, que aproveite os esforços nacionais para melhorar a segurança das redes e da informação e reforce a capacidade dos Estados-Membros, a nível individual e colectivo, para responderem aos grandes problemas de segurança das redes e da informação.

Em resposta às sugestões da Comissão, o Parlamento Europeu adoptou um parecer no qual defende vigorosamente que deve ser dada uma resposta europeia ao crescente problema da segurança.

Em Junho de 2002, a OCDE adoptou as suas Directrizes para a Segurança das Redes e dos Sistemas Informáticos: Para uma Cultura da Segurança. Essas directrizes sublinham a importância de aplicar certos princípios comuns em matéria de segurança da informação e apoiar o trabalho em curso a nível europeu.

3. A PROPOSTA DE CRIAÇÃO DE UMA AGÊNCIA PARA A SEGURANÇA DAS REDES E DA INFORMAÇÃO

3.1. Contexto

O Parlamento Europeu, o Conselho e a Comissão defendem uma maior coordenação a nível europeu em matéria de segurança da informação. A criação de uma entidade com personalidade jurídica será a maneira mais eficaz de atingir esse objectivo. O regulamento propõe, por conseguinte, a criação de uma agência europeia nos termos da Comunicação da Comissão intitulada "O enquadramento das agências europeias de regulamentação", COM(2002) 718 final. Essa agência chamar-se-á Agência Europeia para a Segurança das Redes e da Informação, a seguir designada "a Agência".

No entanto, a legislação específica das comunicações electrónicas, e nomeadamente a directiva-quadro das comunicações electrónicas, atribuem um papel importante aos organismos nacionais competentes. Assim, a Agência prestará assistência não só à Comissão mas também às autoridades reguladoras nacionais.

A proposta reflecte uma série de preocupações expressas durante a consulta efectuada pela Comissão aos Estados-Membros. Também o sector privado exprimiu o mesmo tipo de preocupações, as quais podem ser resumidas na exigência de flexibilidade, fiabilidade, competência, eficácia e coerência da Agência proposta. Eis alguns dos requisitos postos em evidência:

a) Tendo em conta a velocidade a que a situação evolui a nível da segurança das redes e da informação, as melhores disposições institucionais podem ter de ser alteradas futuramente. Por conseguinte, a Agência deverá funcionar durante um período limitado, findo o qual se dará início a um processo de revisão.

b) A Agência tem de inspirar confiança aos organismos e instituições públicos dos Estados-Membros e ao sector privado.

c) A Agência deve ser um centro especializado, reunindo pessoas competentes de todos os Estados-Membros.

d) A Agência tem de poder agir eficaz e rapidamente. Por conseguinte, serão necessários recursos humanos e financeiros suficientes para que a Agência funcione sem problemas e de um modo flexível, embora a sua dimensão não deva ultrapassar o razoável.

e) A Comissão deve poder orientar o trabalho da Agência.

Estes requisitos serviram de orientação para o regulamento proposto. Eles justificam uma descrição clara das tarefas da Agência e, ao mesmo tempo, a previsão de uma certa flexibilidade. Justificam também a realização de uma avaliação das actividades da Agência após os três primeiros anos. Tornam claro que a cooperação estreita com as instituições e organismos dos Estados-Membros e com as instituições comunitárias é essencial para o correcto funcionamento da Agência.

O trabalho da Agência beneficiará do apoio científico fornecido pelas actividades de investigação realizadas pelo Centro Comum de Investigação e por outros programas de investigação comunitários.

3.2. A escolha da base jurídica

Neste contexto, a proposta aborda duas questões de interesse comunitário estreitamente relacionadas, a saber, o correcto funcionamento do mercado interno e a interoperabilidade das redes electrónicas transeuropeias. Em primeiro lugar, a introdução ao nível dos Estados-Membros e da Comunidade de requisitos tecnicamente complexos relativos à segurança das redes e dos sistemas informáticos poderá dificultar a plena implantação dos princípios do mercado interno. Em segundo lugar, o funcionamento sem problemas desse mercado depende igualmente da interoperabilidade das funções de segurança nas redes e sistemas de informação.

As secções que se seguem remetem para os capítulos 1 - 5 da proposta.

3.3. Secção 1 - Objectivos e tarefas

3.3.1. Objectivos

O objectivo geral da Agência é criar, na Europa, uma compreensão comum das questões relativas à segurança da informação, necessária para garantir a disponibilidade e a segurança das redes e dos sistemas informáticos na União. Para realizar esse objectivo, a definição de segurança das redes e da informação tem de ser ampla e abranger todas as actividades que possam ameaçar a segurança das redes e dos sistemas informáticos.

A Agência deverá poder fornecer assistência na aplicação das medidas comunitárias relativas à segurança das redes e da informação. A assistência prestada ajudará a garantir a interoperabilidade das funções de segurança da informação nas redes e nos sistemas informáticos, contribuindo assim para o funcionamento do mercado interno. Deverá reforçar a capacidade tanto da Comunidade como dos Estados-Membros para responderem aos problemas de segurança das redes e da informação. A Agência desempenhará um papel fundamental na segurança das redes e dos sistemas informáticos europeus e no desenvolvimento da Sociedade da Informação em geral.

3.3.2. Tarefas

A Agência terá funções consultivas e de coordenação, no âmbito das quais reunirá e analisará dados sobre a segurança da informação. Hoje em dia, quer as organizações públicas quer as privadas, com objectivos diferentes, reúnem dados sobre incidentes informáticos e outros dados pertinentes para a segurança da informação. Não existe, no entanto, uma entidade central a nível europeu que possa recolher e analisar todos os dados e dar pareceres e conselhos que apoiem o trabalho político da Comunidade em matéria de segurança das redes e da informação. A Agência servirá de centro especializado ao qual os Estados-Membros e as instituições comunitárias possam recorrer para se aconselharem em matérias técnicas relacionadas com a segurança.

A Agência contribuirá ainda para estabelecer uma ampla cooperação entre os diferentes intervenientes no domínio da segurança da informação, nomeadamente prestando assistência nas actividades de acompanhamento respeitantes aos trabalhos que visam a segurança do comércio electrónico. Essa cooperação será um pré-requisito essencial para o funcionamento seguro das redes e dos sistemas informáticos na Europa. A participação e o envolvimento de todas as partes interessadas é uma condição necessária.

A Agência contribuirá para o estabelecimento de uma abordagem coordenada da segurança da informação através do apoio fornecido aos Estados-Membros, nomeadamente na promoção da avaliação dos riscos e nas acções de sensibilização. Para garantir a interoperabilidade das redes e dos sistemas informáticos, a Agência dará pareceres e apoio à harmonização de processos e procedimentos nos Estados-Membros aquando da aplicação de requisitos técnicos que afectem a segurança. Os requisitos legais e, em grande medida os requisitos técnicos, podem afectar a interoperabilidade e criar obstáculos ao bom funcionamento do mercado interno.

A Agência exercerá, além disso, uma função de apoio na identificação das necessidades de normalização nesta matéria e na promoção de normas de segurança e de sistemas de certificação e da sua utilização o mais generalizada possível pela Comissão e os Estados-Membros, em apoio da legislação comunitária.

Atendendo a que as questões ligadas à segurança das redes e da informação têm uma dimensão mundial, é igualmente necessário cooperar a nível internacional neste domínio. A Agência dará apoio aos contactos da Comunidade com as partes envolvidas dos países terceiros.

No domínio das redes e sistemas informáticos, surgem constantemente novas vulnerabilidades e ameaças. É necessário que a Comissão possa atribuir tarefas suplementares à Agência, de modo a que esta possa acompanhar a evolução tecnológica e social actual, de acordo com o enquadramento das agências europeias de regulamentação.

3.4. Secção 2 - Organização

3.4.1. Gestão

A estrutura organizativa deverá facilitar o envolvimento das diversas partes interessadas, a independência da Agência em relação a pressões externas, a transparência e a responsabilidade perante as instituições democráticas. Propõe-se, por conseguinte, a instituição de um Conselho de Administração cujos membros são nomeados pelo Conselho e pela Comissão. Por exemplo, a representação da Comissão incluirá um membro da Direcção da Segurança. Propõe-se ainda que o Conselho de Administração inclua representantes do sector e dos consumidores, propostos pela Comissão e nomeados pelo Conselho. Os representantes do sector e dos consumidores não terão direito a voto.

A Agência será gerida por um Director Executivo, que deve possuir um elevado grau de independência e flexibilidade e que será responsável pela organização do funcionamento interno da Agência. O Director Executivo será também responsável pela preparação e execução do orçamento e do programa de trabalho da Agência, assim como por todos os assuntos relacionados com o pessoal. Para lhe conferir a legitimidade necessária, o Director Executivo deve ser designado pelo Conselho de Administração por proposta da Comissão.

Enquanto organismo comunitário, a Agência deve garantir a melhor utilização possível das competências e recursos na realização da sua missão, respeitando embora o requisito geral de independência. Propõe-se, por conseguinte, que a Agência inclua um Conselho Consultivo restrito composto por peritos cuja tarefa consistirá em facilitar a cooperação e o intercâmbio de informações entre a Agência e as instituições e organismos competentes dos diversos Estados-Membros, por exemplo, um perito em protecção de dados ou um representante da comunidade de investigação. O Conselho Consultivo terá funções consultivas e, juntamente com o Director Executivo, será responsável pela elaboração do programa de trabalho anual da Agência.

3.5. Secção 3 - Funcionamento

3.5.1 Programa de trabalho

A Agência necessitará de flexibilidade suficiente para adaptar o seu trabalho à rápida evolução tecnológica e modificar a orientação das suas actividades. Por conseguinte, o Conselho de Administração adoptará um programa de trabalho para cada ano, proposto pelo Director Executivo e aprovado pela Comissão. Os resultados das actividades correspondentes ao programa de trabalho de cada ano serão apresentados no relatório geral, elaborado pelo Director Executivo e adoptado pelo Conselho de Administração.

3.5.2 Pareceres

A Agência corre o risco de ficar sobrecarregada com pedidos de pareceres e de assistência, pelo que deve ser especificado quais as pessoas habilitadas a apresentar pedidos e as modalidades de tratamento desses pedidos.

3.5.3. Grupos de trabalho

Embora a Agência disponha de pessoal altamente qualificado, é de prever que surjam questões de natureza mais especializada. Assim, a Agência deve poder instituir grupos de trabalho temporários compostos por peritos em vários domínios. Em conformidade com a política de transparência, os representantes da Comissão terão o direito de estar presentes nas reuniões desses grupos de trabalho.

3.5.4. Independência

A aceitação dos conselhos e pareceres da Agência por particulares, administrações públicas e empresas dependerá do estabelecimento de um modelo de independência. Por conseguinte, os membros do Conselho de Administração e do Conselho Consultivo, o Director Executivo e os peritos externos que participam nos grupos de trabalho serão obrigados a declarar a inexistência de interesses que possam pôr em causa a sua independência.

3.5.5. Transparência e confidencialidade

A Agência adoptará as suas próprias regras em matéria de transparência e acesso a documentos, em conformidade com as decisões do Parlamento Europeu e do Conselho no contexto do artigo 255° do Tratado CE e com as disposições adoptadas pela Comissão no domínio da segurança [2].

[2] Decisão 2001/264/CE do Conselho, de 19 de Março de 2001, que aprova as regras de segurança do Conselho e a Decisão C(2001) 3831 da Comissão.

Embora, para a aceitação do trabalho da Agência, seja igualmente necessário garantir um elevado nível de transparência e um amplo acesso aos documentos publicados, a Agência recolherá igualmente informações que devem permanecer confidenciais.

3.6. Secção 4 - Disposições financeiras

Para o período compreendido entre 2004 e 2008, a Agência necessita de ser dotada de um orçamento suficientemente generoso para contratar o seu pessoal, como atrás descrito, para lhe fornecer o equipamento tecnológico adequado ao desempenho das suas tarefas e para funcionar sem problemas. Esse orçamento é especificado na Ficha Financeira Legislativa.

O orçamento da Agência será financiado por uma contribuição da Comunidade e, eventualmente, por contribuições dos países terceiros que participam nos trabalhos da Agência. O Director Executivo será responsável pela elaboração de um mapa previsional preliminar das receitas e despesas da Agência. O Conselho de Administração apresentará esse mapa à Comissão, que o processará de acordo com os procedimentos orçamentais normais.

O Director Executivo será responsável pela execução do orçamento. O Parlamento Europeu, por recomendação do Conselho, dará quitação ao Director Executivo da Agência no que respeita à execução do orçamento. O Auditor Financeiro da Comissão assegurará a auditoria financeira. O Tribunal de Contas examinará as contas e publicará um relatório anual.

3.7. Secção 5 - Disposições gerais

3.7.1. Personalidade jurídica e privilégios

A Agência gozará da mais ampla personalidade jurídica em todos os Estados-Membros e beneficiará dos mesmos privilégios e imunidades que os estabelecidos no Protocolo relativo aos Privilégios e Imunidades das Comunidades Europeias.

3.7.2. Responsabilidade

O regime de responsabilidade contratual e extracontratual da Agência corresponde ao regime aplicável à Comunidade nos termos do artigo 288° do Tratado.

3.7.3. Pessoal

Como centro especializado, é fundamental que a Agência disponha de pessoal em número suficiente e altamente qualificado. Os profissionais com o perfil requerido são actualmente raros e muito procurados na Europa. A Agência recrutará esses especialistas quer junto do sector público quer do privado. Será aplicado ao pessoal da Agência o Estatuto dos Funcionários das Comunidades Europeias e o Regime de contratação de outros agentes. Sem prejuízo da necessidade de dispor de um número estável e suficiente de pessoas qualificadas, o pessoal terá contratos temporários com uma duração máxima de cinco anos.

3.7.4. Protecção dos dados pessoais

A Agência processará igualmente, no âmbito das suas tarefas, dados pessoais e aplicará, nesta matéria, os regulamentos aplicáveis a esse processamento enquanto instituição comunitária.

3.7.5. Participação de países terceiros

A Agência estará aberta à participação de países terceiros que tenham concluído acordos com a Comunidade Europeia nos termos dos quais adoptaram e estão a aplicar o direito comunitário no domínio abrangido pelo presente regulamento.

3.8. Secção 6 - Disposições Finais

3.8.1. Revisão

Tendo em conta que a segurança das redes e da informação é um domínio altamente tecnológico e, por esse motivo, em constante evolução, as melhores disposições institucionais podem ter de ser alteradas futuramente. Três anos após a data de início estabelecida no artigo 26°, ou antes, se o Conselho de Administração o considerar necessário, deverá iniciar-se um processo de revisão para determinar se vale a pena prosseguir as actividades após esse período inicial de cinco anos e para propor, se necessário, alterações às suas responsabilidades, aos seus objectivos e ao seu mandato futuros.

Essa revisão analisará, nomeadamente, em que medida a ausência de participação dos serviços responsáveis pela aplicação da lei afectou negativamente a eficácia e a eficiência das operações da Agência. Caso a avaliação demonstre a existência de tais efeitos, a Comissão examinará a conveniência de apresentar uma proposta que complemente o presente regulamento.

3.8.2. Localização

A localização da Agência deverá obedecer aos seguintes critérios:

- facilidade de acesso em termos de comunicações, nomeadamente meios de comunicações electrónicas, e situação privilegiada em termos de transportes (ligações rápidas e eficazes);

- possibilidade de a Agência trabalhar em estreita colaboração e eficazmente com os serviços institucionais que se ocupam das questões da segurança das redes e da informação;

- uma boa relação qualidade/custo e a possibilidade de a Agência iniciar imediatamente o seu trabalho;

- disponibilidade das infra-estruturas necessárias para o pessoal da Agência.

3.8.3. Duração

Propõe-se que a Agência fique operacional em 1 de Janeiro de 2004 e que funcione durante 5 anos. A continuação do funcionamento da Agência está dependente do resultado da avaliação efectuada pela Comissão em colaboração com o Conselho Consultivo.

2003/0032 (COD)

Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO que cria a Agência Europeia para a Segurança das Redes e da Informação

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado que institui a Comunidade Europeia e, nomeadamente, os seus artigos 95° e 156°,

Tendo em conta a proposta da Comissão [3],

[3] JO C [...], de [...], p. [...].

Tendo em conta o parecer do Comité Económico e Social Europeu [4],

[4] JO C [...], de [...], p. [...].

Tendo em conta o parecer do Comité das Regiões [5],

[5] JO C [...], de [...], p. [...].

Deliberando em conformidade com o procedimento previsto no artigo 251° do Tratado [6],

[6] JO C [...], de [...], p. [...].

Considerando o seguinte:

(1) As redes de comunicações e os sistemas de informação tornaram-se um factor essencial do desenvolvimento económico e social. A informática e as redes estão a tornar-se serviços de utilidade pública omnipresentes, como já o são os serviços de abastecimento de electricidade e água. A segurança das redes de comunicações e dos sistemas informáticos, em particular a sua disponibilidade, ganha, por conseguinte, uma importância crescente para a sociedade.

(2) A segurança das redes e da informação consiste em garantir a disponibilidade de serviços e dados, evitar as perturbações e a intercepção não autorizada das comunicações, garantir a confirmação de que os dados enviados, recebidos ou armazenados estão completos e inalterados, assegurar a confidencialidade dos dados e a protecção dos sistemas informáticos contra o acesso não autorizado, garantir a protecção contra ataques que envolvam software malicioso e assegurar uma autenticação de confiança.

(3) O número crescente de violações da segurança tem causado prejuízos financeiros substanciais, abalado a confiança dos utilizadores e prejudicado o desenvolvimento do comércio electrónico. Os particulares, as administrações públicas e as empresas têm reagido instalando tecnologias de segurança e protocolos de gestão da segurança. Os Estados-Membros tomaram várias medidas de apoio, como campanhas de informação e projectos de investigação, para reforçar a segurança das redes e da informação em toda a sociedade.

(4) No entanto, as reacções dos Estados-Membros têm sido díspares e sem a coordenação suficiente para garantir uma resposta eficaz aos problemas de segurança. Devido à complexidade técnica das redes e dos sistemas informáticos, à variedade de produtos e serviços interligados e ao elevado número de actores privados e públicos com responsabilidade própria, não se desenvolveu ainda uma resposta coerente a nível comunitário aos problemas de segurança. Um dos problemas concretos tem sido a inexistência de produtos e serviços de segurança interoperáveis, o que prejudica a interoperabilidade das redes envolvidas. Além disso, essas características têm feito depender a aplicação efectiva das medidas comunitárias de análises e avaliações técnicas bastante complexas.

(5) A ausência de uma resposta europeia comum aos problemas de segurança da informação na aplicação das medidas comunitárias pode dificultar o funcionamento do mercado interno.

(6) A Directiva 2002/21/CE, de 7 de Março de 2002, relativa a um quadro regulamentar comum para as redes e serviços de comunicações electrónicas ("Directiva-Quadro") [7], define as tarefas das autoridades reguladoras nacionais, que incluem o incentivo à criação e ao desenvolvimento de redes transeuropeias e à interoperabilidade dos serviços pan-europeus, a cooperação mútua e com a Comissão, de um modo transparente, com vista ao desenvolvimento de práticas reguladoras coerentes, a contribuição para a garantia de um elevado nível de protecção dos dados pessoais e da privacidade e a obrigação de garantir que sejam asseguradas a integridade e a segurança das redes de comunicações públicas.

[7] JO L 108 de 24.4.2002, p. 33.

(7) A Directiva 2002/20/CE, de 7 de Março de 2002, relativa à autorização de redes e serviços de comunicações electrónicas [8], confere aos Estados-Membros o direito de associar à autorização geral condições relativas à segurança das redes públicas contra o acesso não autorizado, em conformidade com a Directiva 97/66/CE, de 15 de Dezembro de 1997, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das telecomunicações.

[8] JO L 108 de 24.4.2002, p. 21.

(8) A Directiva 2002/22/CE, de 7 de Março de 2002, relativa ao serviço universal e aos direitos dos utilizadores em matéria de redes e serviços de comunicações electrónicas [9], exige que os Estados-Membros tomem as medidas necessárias para garantir a integridade e a disponibilidade das redes telefónicas públicas e que as empresas que oferecem serviços telefónicos acessíveis ao público em locais fixos tomem todas as medidas razoáveis para garantir o acesso ininterrupto aos serviços de emergência.

[9] JO L 108 de 24.4.2002, p. 51.

(9) A Directiva 2002/58/CE, de 12 de Julho de 2002, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas [10], exige que os prestadores de serviços de comunicações electrónicas publicamente disponíveis tomem as medidas técnicas e organizativas adequadas para garantir a segurança dos seus serviços e exige também a confidencialidade das comunicações e dos dados de tráfego associados. A Directiva 95/46/CE, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados [11], exige que os Estados-Membros estabeleçam que o responsável pelo tratamento deve pôr em prática medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito.

[10] JO L 201 de 31.7.2002, p. 37.

[11] JO L 281 de 23.11.1995, p. 31.

(10) A Directiva-Quadro e a Directiva 1999/93/CE, de 13 de Dezembro, relativa a um quadro legal comunitário para as assinaturas electrónicas [12], contêm disposições sobre as normas a publicar no Jornal Oficial das Comunidades Europeias. Os Estados-Membros utilizam igualmente normas de organismos internacionais, bem como normas de facto desenvolvidas pelo sector a nível mundial. É necessário que a Comissão e os Estados-Membros possam avaliar quais as normas que satisfazem os requisitos da legislação comunitária.

[12] JO L 13 de 19.1.2000, p. 12.

(11) Todas as medidas atrás mencionadas respeitantes ao mercado interno exigem diferentes formas de aplicação técnica e organizativa pelos Estados-Membros e a Comissão. São tarefas tecnicamente complexas, para as quais não há soluções únicas ou óbvias. A aplicação heterogénea desses requisitos pode conduzir a soluções ineficazes e criar obstáculos ao mercado interno, para além de pôr em perigo a interoperabilidade das funções de segurança da informação. Importa, pois, criar um centro especializado a nível europeu, que forneça orientação, assistência e pareceres sobre a implementação técnica e organizativa desses requisitos e no qual a Comissão e as autoridades reguladoras nacionais e os organismos competentes dos Estados-Membros possam confiar. Os organismos competentes no domínio da segurança das redes e da informação incluem as autoridades responsáveis pela aplicação da lei e as autoridades judiciais dos Estados-Membros.

(12) A criação de uma Agência europeia, a Agência Europeia para a Segurança das Redes e da Informação, a seguir designada "a Agência", que sirva de ponto de referência e inspire confiança através da sua independência, da qualidade dos seus pareceres e das informações que divulga, da transparência dos seus procedimentos e dos métodos de funcionamento e do seu empenho na execução das tarefas que lhe estão atribuídas, responderá a essas necessidades. A Agência deverá desempenhar as suas tarefas em plena cooperação com os Estados-Membros e estar aberta a contactos com o sector e outros grupos interessados.

(13) O impacto cada vez maior dos incidentes de segurança na Comunidade e a nível mundial exige que se lhes dê uma resposta pronta e eficaz. No entanto, neste momento, não existe na Europa qualquer organismo autorizado que recolha sistematicamente dados sobre a segurança das redes e da informação que possam servir para analisar as falhas de segurança.

(14) Garantir a confiança nas redes e nos sistemas informáticos exige que os particulares, as empresas e as administrações públicas estejam suficientemente informados e possuam conhecimentos suficientes no domínio da segurança. As autoridades públicas têm procurado sensibilizar o público através de campanhas de informação. Essas medidas devem, no entanto, intensificar-se, nomeadamente face às novas vulnerabilidades e aos riscos que apresentam. Uma maior troca de informações entre os Estados-Membros facilitará essas acções de sensibilização.

(15) Apesar da necessidade de processos fiáveis, é muitas vezes difícil avaliar a fiabilidade dos produtos e serviços. Existem sistemas de avaliação e certificação organizados a nível público e privado. No entanto, os processos de avaliação e certificação tendem a ser pouco práticos, caros e lentos. Todos os actores, incluindo as autoridades públicas, beneficiarão de uma melhor orientação técnica nos seus esforços para promover sistemas de certificação eficazes. A existência de um organismo europeu tecnicamente competente para se pronunciar com objectividade sobre a qualidade das diversas normas fará, por conseguinte, aumentar as possibilidades de promover na Europa normas de segurança fiáveis, incluindo, se necessário, as normas adequadas para as tecnologias que reforçam a protecção da privacidade.

(16) As políticas de segurança eficazes baseiam-se em métodos bem desenvolvidos de avaliação dos riscos, tanto no sector público como no sector privado. Utilizam-se a diferentes níveis métodos e procedimentos para a avaliação dos riscos, sem que exista uma prática comum de aplicação eficaz. A promoção e o desenvolvimento das melhores práticas para a avaliação dos riscos melhorará a interoperabilidade e aumentará o nível de segurança das redes e dos sistemas informáticos na Europa.

(17) O trabalho da Agência deverá aproveitar as actividades de investigação, desenvolvimento e avaliação tecnológica em curso, nomeadamente as realizadas pelo Centro Comum de Investigação e por outras iniciativas comunitárias no domínio da investigação.

(18) Os problemas de segurança das redes e da informação têm uma dimensão mundial, não se confinando nem aos Estados-Membros individualmente nem à Comunidade. Um problema de segurança pode ter origem num país terceiro. Os produtos e serviços são muitas vezes desenvolvidos e avaliados em países terceiros. Uma vez entrados na Comunidade, os produtos de segurança circulam praticamente sem restrições e os serviços podem ser oferecidos livremente. Há que intensificar a cooperação a nível mundial para melhorar as normas de segurança e a informação e desenvolver mecanismos comuns de resposta. Alguns parceiros internacionais da Comunidade começaram a criar organismos de segurança para permitir melhores respostas e a elaboração de estratégias. Uma cooperação eficaz com esses países e com a comunidade internacional tornou-se também uma tarefa a realizar a nível europeu.

(19) Para garantir o cumprimento eficaz das funções da Agência, os Estados-Membros e a Comissão devem estar representados num Conselho de Administração dotado dos poderes necessários para estabelecer o orçamento, verificar a sua execução, adoptar as regras financeiras adequadas, definir procedimentos de trabalho transparentes no tocante à tomada de decisões pela Agência, aprovar o seu programa de trabalho, analisar os pedidos de assistência técnica dos Estados-Membros e nomear o Director Executivo. Tendo em conta a missão e as tarefas altamente técnicas e científicas da Agência, convém que o Conselho de Administração seja composto por especialistas de alto nível nos domínios abrangidos pela missão da Agência, designados pelo Conselho e pela Comissão.

(20) Deve ser instituído um Conselho Consultivo para aconselhar o Director Executivo sobre a cooperação e a facilitação de um intercâmbio adequado de informações entre os Estados-Membros e a Agência. Nas funções do Conselho Consultivo inclui-se também a preparação da proposta de programa de trabalho anual da Agência. Na determinação da composição do Conselho Consultivo, deve ser garantido um leque de competências na matéria, nomeadamente no domínio da protecção de dados.

(21) O bom funcionamento da Agência exige que o seu Director Executivo seja nomeado com base no mérito e em capacidades de gestão e administrativas comprovadas, bem como na competência e na experiência pertinentes para a segurança das redes e da informação, e que desempenhe as suas funções com total independência e flexibilidade no que respeita à organização do funcionamento interno da Agência. Para esse efeito, o Director Executivo deve preparar e tomar todas as medidas necessárias para garantir o cumprimento do programa de trabalho da Agência, preparar um projecto de relatório geral anual a apresentar ao Conselho de Administração, elaborar estimativas das receitas e despesas da Agência e executar o orçamento.

(22) A Agência deve aplicar a legislação comunitária pertinente relativa ao acesso do público a documentos [13] e à protecção das pessoas relativamente ao tratamento de dados de carácter pessoal [14].

[13] Regulamento (CE) n° 1049/2001 do Parlamento Europeu e do Conselho, de 30 de Maio de 2001, relativo ao acesso do público ao documentos do Parlamento Europeu, do Conselho e da Comissão. JO L 145 de 31.5.2001, p. 43.

[14] Regulamento (CE) n° 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados. JO L 8 de 12.1.2001, p. 1.

(23) Na medida em que a Agência irá processar dados relativos a actos ilícitos contra sistemas informáticos, a procedimentos para lidar com incidentes e a avaliação de ameaças, será necessária uma certa coordenação política geral, tanto a nível nacional como a nível da União Europeia. Essa coordenação deve ser assegurada no âmbito do Conselho Consultivo referido no artigo 7° e realizar-se sem pôr em causa os requisitos de confidencialidade previstos no artigo 13°.

(24) A fim de assegurar a plena autonomia e independência da Agência, considera-se necessário dotá-la de um orçamento próprio, cujas receitas sejam essencialmente constituídas por uma contribuição da Comunidade. O procedimento orçamental da Comunidade permanece aplicável no que diz respeito a todas as subvenções a cargo do orçamento geral das Comunidades Europeias. Além disso, o Tribunal de Contas deverá proceder à auditoria das contas.

(25) A Agência deve ser instituída inicialmente por um período limitado e as suas actividades devem ser avaliadas com vista a uma decisão sobre o eventual alargamento desse período de actividade.

ADOPTARAM O PRESENTE REGULAMENTO:

Secção 1 Objectivos e tarefas

Artigo 1° Objectivos

1. É criada a Agência Europeia para a Segurança das Redes e da Informação, a seguir designada "a Agência".

2. A Agência facilitará a aplicação das medidas comunitárias relacionadas com a segurança das redes e da informação e ajudará a garantir a interoperabilidade das funções de segurança da informação nas redes e nos sistemas informáticos, contribuindo assim para o funcionamento do mercado interno. A Agência deve reforçar a capacidade, tanto da Comunidade como dos Estados-Membros, para responder aos problemas de segurança das redes e da informação.

Artigo 2° Tarefas

Para realizar os objectivos previstos no artigo 1°, a Agência terá como tarefas:

a) recolher e analisar dados, nomeadamente informações sobre os riscos actuais e emergentes e, em particular, os que possam interferir com a solidez das redes de comunicações fundamentais e afectar as informações acessíveis e transmitidas através delas;

b) fornecer assistência e dar pareceres, no âmbito dos seus objectivos, à Comissão e outros organismos competentes;

c) reforçar a cooperação entre os diversos intervenientes no domínio da segurança das redes e da informação, nomeadamente através do estabelecimento de uma rede de organismos nacionais e comunitários;

d) contribuir para a disponibilidade de informações rápidas, objectivas e completas sobre as questões de segurança das redes e da informação para todos os utilizadores, através, nomeadamente, da promoção do intercâmbio das melhores práticas no que respeita a métodos de alerta dos utilizadores, incluindo os relacionados com os sistemas de alerta contra ataques informáticos, e através da busca de sinergias entre as iniciativas do sector público e do sector privado;

e) prestar assistência à Comissão e às autoridades reguladoras nacionais, sempre que para isso for solicitada, na análise da observância dos requisitos de segurança das redes e da informação por parte de operadores e prestadores de serviços, incluindo requisitos relativos à protecção de dados, previstos na legislação comunitária;

f) contribuir para a avaliação das normas relativas à segurança das redes e da informação;

g) promover actividades no domínio da avaliação dos riscos e encorajar as soluções interoperáveis para a gestão dos riscos dentro das organizações;

h) contribuir para a abordagem comunitária da cooperação com os países terceiros, incluindo a facilitação dos contactos com as instâncias internacionais;

i) realizar quaisquer outras tarefas que lhe sejam confiadas pela Comissão no âmbito dos seus objectivos.

Artigo 3° Definições

Para efeitos do presente regulamento, entende-se por:

- "rede", os sistemas de transmissão e, se for o caso, os equipamentos de comutação ou encaminhamento e outros recursos que permitem transmitir sinais através de fios, radioligações, meios ópticos ou ainda outros meios electromagnéticos, incluindo redes de satélites, redes terrestres fixas (com comutação de circuitos ou de pacotes, incluindo a Internet) e móveis, redes utilizadas na radiodifusão sonora e televisiva e redes de televisão por cabo, independentemente do tipo de informação transportada;

- "sistema informático", os computadores e as redes de comunicações electrónicas, bem como os dados por eles armazenados, processados, extraídos ou transmitidos para efeitos de exploração, utilização, protecção e manutenção;

- "segurança das redes e da informação", a capacidade de uma rede ou sistema informático para resistir, com um dado nível de confiança, a eventos acidentais ou acções maliciosas ou ilícitas que comprometem a disponibilidade, autenticidade, integridade e confidencialidade dos dados armazenados ou transmitidos e dos serviços conexos oferecidos ou acessíveis através dessa rede ou sistema;

- "disponibilidade", a acessibilidade dos dados e a operacionalidade dos serviços;

- "autenticação", a confirmação da identidade reivindicada por entidades ou utilizadores;

- "integridade dos dados", a confirmação de que os dados enviados, recebidos ou armazenados estão completos e inalterados;

- "confidencialidade dos dados", a protecção das comunicações ou dos dados armazenados contra a intercepção e a leitura por pessoas não autorizadas;

- "risco", grau de probabilidade de que uma vulnerabilidade do sistema afecte a disponibilidade, autenticação, integridade ou confidencialidade dos dados processados ou transferidos e a gravidade desse efeito, com consequências na utilização intencional ou não intencional dessa vulnerabilidade;

- "avaliação dos riscos", um processo científico e tecnológico que consiste em quatro etapas: identificação da ameaça, caracterização da ameaça, avaliação da exposição e caracterização do risco;

- "gestão dos riscos", o processo, distinto da avaliação dos riscos, que consiste em ponderar alternativas políticas, em consulta com as partes interessadas, ter em conta a avaliação dos riscos e outros factores legítimos e, se necessário, seleccionar as opções adequadas de prevenção e controlo.

Secção 2 Organização

Artigo 4° Órgãos da Agência

A Agência será constituída por:

a) um Conselho de Administração;

b) um Director Executivo e respectivos colaboradores;

c) um Conselho Consultivo e,

d) se necessário, grupos de trabalho.

Artigo 5° Conselho de Administração

1. O Conselho de Administração será composto por seis representantes do Conselho por ele designados, seis representantes da Comissão por ela designados e ainda dois representantes do sector e um representante dos consumidores, propostos pela Comissão e designados pelo Conselho, sem direito a voto.

2. Os seus membros podem ser substituídos por suplentes, designados na mesma altura. O seu mandato terá a duração de dois anos e meio e pode ser prorrogado uma única vez.

3. O Director Executivo participará nas reuniões do Conselho de Administração, sem direito a voto, e assegurará o respectivo secretariado.

4. O Conselho de Administração elegerá de entre os seus membros um presidente, por um período de dois anos e meio, renovável.

5. O Conselho de Administração adoptará o seu regulamento interno, depois de aprovado pela Comissão. Salvo disposição em contrário, o Conselho de Administração deliberará por maioria dos seus membros.

6. O Conselho de Administração reunir-se-á a convite do presidente ou a pedido de, pelo menos, um terço dos seus membros.

7. O Conselho de Administração adoptará o regulamento interno da Agência com base numa proposta da Comissão. O regulamento interno será tornado público.

8. O Conselho de Administração definirá as orientações gerais para o funcionamento da Agência e garantirá que a Agência desempenhe as suas tarefas em condições que lhe permitam servir de ponto de referência, em virtude da sua independência, da qualidade dos pareceres que emite e das informações que divulga, da transparência dos seus procedimentos e métodos de funcionamento e da diligência na realização das tarefas que lhe são confiadas.

9. O Conselho de Administração adoptará, até 31 de Janeiro de cada ano e depois de ter obtido a aprovação da Comissão, o programa de trabalho da Agência para esse ano. O Conselho de Administração garantirá que o programa de trabalho seja coerente com as prioridades legislativas e políticas da Comunidade no domínio da segurança das redes e da informação.

10. Antes de 31 de Março de cada ano, o Conselho de Administração aprovará o relatório geral das actividades da Agência relativo ao ano anterior.

11. As regras financeiras aplicáveis à Agência serão adoptadas pelo Conselho de Administração, depois de consultada a Comissão. Essas regras não poderão afastar-se do âmbito do Regulamento Financeiro adoptado pela Comissão nos termos do artigo 185° do Regulamento (CE, Euratom) n° 1605/2002 do Conselho [15] (a seguir designado "o Regulamento Financeiro geral"), a menos que tal seja especificamente solicitado para o funcionamento da Agência e que a Comissão dê o seu consentimento prévio.

[15] JO L 248 de 16.9.2002, p. 1.

Artigo 6° Director Executivo

1. A Agência será gerida pelo seu Director Executivo, que desempenhará as suas funções com independência.

2. O Director Executivo será nomeado pelo Conselho de Administração com base numa lista de candidatos proposta pela Comissão após um concurso geral, na sequência da publicação no Jornal Oficial das Comunidades Europeias e noutras publicações de um convite a manifestações de interesse. Antes da sua nomeação, o candidato indigitado pelo Conselho de Administração será, sem demora, convidado a fazer uma declaração perante o Parlamento Europeu e a responder a perguntas formuladas pelos seus membros. O Director Executivo pode ser demitido das suas funções pelo Conselho de Administração, com o acordo da Comissão.

3. O mandato do Director Executivo tem a duração de dois anos e meio, podendo ser prorrogado uma única vez.

4. O Director Executivo será responsável pelas seguintes tarefas:

a) administração quotidiana da Agência;

b) elaboração das propostas de programa de trabalho da Agência, em consulta com o Conselho Consultivo;

c) execução dos programas de trabalho e das decisões adoptadas pelo Conselho de Administração;

d) assegurar que a Agência execute as suas tarefas em conformidade com as exigências dos utilizadores dos seus serviços, designadamente em termos de adequação dos serviços prestados;

e) preparação dos mapas previsionais das receitas e despesas da Agência e execução do seu orçamento;

f) todas as questões relativas ao pessoal;

g) desenvolvimento e manutenção de contactos com o Parlamento Europeu e garantia de um diálogo regular com as comissões parlamentares competentes.

5. O Director Executivo apresentará todos os anos ao Conselho de Administração, para aprovação:

a) um projecto de relatório geral que abranja todas as actividades da Agência no ano anterior;

b) o projecto de programa de trabalho.

6. Uma vez aprovado o programa de trabalho pelo Conselho de Administração, o Director Executivo transmiti-lo-á ao Parlamento Europeu, ao Conselho, à Comissão e aos Estados-Membros e assegurará a sua publicação.

7. Uma vez aprovado o relatório geral da Agência pelo Conselho de Administração, o Director Executivo transmiti-lo-á ao Parlamento Europeu, ao Conselho, à Comissão, ao Tribunal de Contas, ao Comité Económico e Social e ao Comité das Regiões e assegurará a sua publicação.

Artigo 7° Conselho Consultivo

1. O Conselho Consultivo será composto por nove peritos propostos pelo Conselho de Administração e designados pelo Director Executivo. Os seus membros podem ser substituídos por suplentes, designados na mesma altura. Os representantes da Comissão terão o direito de estar presentes nas reuniões e participar nos trabalhos do Conselho Consultivo.

2. Os membros do Conselho Consultivo não podem ser membros do Conselho de Administração.

3. O Conselho Consultivo será presidido pelo Director Executivo. O Conselho Consultivo reunir-se-á regularmente a convite do presidente ou a pedido de, pelo menos, um terço dos seus membros. Os seus procedimentos operacionais serão especificados no regulamento interno da Agência e tornados públicos.

4. Os pareceres do Conselho Consultivo podem ser submetidos a votação.

5. A Agência prestará ao Conselho Consultivo o apoio técnico e logístico necessário e assegurará o secretariado das suas reuniões.

6. O Conselho Consultivo terá por funções:

a) aconselhar o Director Executivo no desempenho das tarefas que lhe incumbem por força do presente regulamento, nomeadamente a elaboração da proposta de programa de trabalho da Agência;

b) aconselhar o Director Executivo com vista a assegurar uma cooperação estreita entre a Agência e as instituições e organismos competentes dos Estados-Membros e, nomeadamente, garantindo a coerência do trabalho da Agência com as actividades conduzidas pelos Estados-Membros.

7. O Director Executivo pode convidar representantes do Parlamento Europeu e de outros organismos pertinentes a participarem nas reuniões do Conselho Consultivo.

Secção 3 Funcionamento

Artigo 8° Programa de trabalho

As actividades da Agência consistirão em executar o programa de trabalho adoptado em conformidade com o disposto no n° 9 do artigo 5°. O programa de trabalho não obstará a que a Agência assuma actividades imprevistas que se insiram nos seus objectivos e nos limites do orçamento que lhe está atribuído.

Artigo 9° Pareceres

1. Os pedidos de pareceres e de assistência que se insiram nos objectivos da Agência serão endereçados ao Director Executivo e acompanhados de informações que situem e expliquem a questão a abordar. O Director Executivo transmitirá os pedidos à Comissão no prazo de dez dias úteis.

2. Os pedidos mencionados no n° 1 podem ser apresentados:

a) pela Comissão;

b) por uma autoridade reguladora nacional, como definida no artigo 2° da Directiva-Quadro, ou por outro organismo competente de um Estado-Membro reconhecido, para este efeito, pelo Conselho de Administração.

3. Caso a Agência tenha dificuldades em satisfazer um pedido ou caso um dado pedido não tenha sido formulado de acordo com o disposto no n° 1, ou caso tenham sido apresentados vários pedidos referentes às mesmas questões, o Director Executivo deve consultar o Conselho de Administração antes de tomar uma decisão. A Agência terá de justificar a eventual recusa de um pedido. O Director Executivo pode igualmente pedir conselho ao Conselho Consultivo quanto à atribuição de prioridades aos pedidos de pareceres.

Artigo 10° Grupos de trabalho

1. Se necessário, e no âmbito dos seus objectivos, a Agência pode instituir grupos de trabalho compostos por peritos propostos pelo Conselho Consultivo e designados pelo Director Executivo, nomeadamente para matérias técnicas e científicas.

2. Os grupos de trabalho serão instituídos pelo Conselho Consultivo por proposta do Director Executivo, depois de consultado o Conselho de Administração.

3. Os representantes da Comissão terão o direito de estar presentes nas reuniões dos grupos de trabalho.

4. Os procedimentos para a nomeação de peritos e o funcionamento dos grupos de trabalho serão especificados no regulamento interno da Agência.

Artigo 11° Independência

1. Os membros do Conselho de Administração, o Director Executivo e o Conselho Consultivo comprometem-se a agir com independência no interesse público. Para esse efeito, farão uma declaração de compromisso e uma declaração de interesses, indicando a ausência de quaisquer interesses directos ou indirectos que possam ser considerados prejudiciais para a sua independência. Essas declarações devem ser feitas por escrito.

2. Os peritos externos que participem em grupos de trabalho devem declarar, em cada reunião, os eventuais interesses que possam ser considerados prejudiciais para a sua independência em relação aos pontos da ordem de trabalhos.

Artigo 12° Transparência

1. A Agência garantirá que as suas actividades serão executadas com um elevado nível de transparência e em conformidade com o disposto nos artigos 13° e 14°.

2. A Agência assegurará que sejam fornecidas ao público e a todos os interessados directos informações objectivas, fiáveis e facilmente compreensíveis, nomeadamente sobre os resultados do seu trabalho, se necessário. A Agência tornará igualmente públicas as declarações de interesse feitas pelos membros do Conselho de Administração, pelo Director Executivo e pelo Conselho Consultivo, bem como as declarações de interesse feitas pelos peritos relativamente aos pontos da ordem de trabalhos das reuniões dos grupos de trabalho.

3. O Conselho de Administração pode, por proposta do Director Executivo, autorizar partes interessadas a observarem o desenrolar de algumas das actividades da Agência.

4. A Agência estabelecerá no seu regulamento interno as disposições práticas para a aplicação das regras de transparência previstas nos n°s 1 e 2.

Artigo 13° Confidencialidade

1. A Agência não divulgará a terceiros informações processadas ou recebidas para as quais tenha sido pedido e justificado um tratamento confidencial, excepto se se tratar de informações que devem ser disponibilizadas por força da legislação nacional, de modo a proteger a segurança do público e permitir a prevenção, a investigação, a detecção e a repressão de infracções penais.

2. Os membros do Conselho de Administração e do Conselho Consultivo, o Director Executivo, os peritos externos que participam nos seus grupos de trabalho e os funcionários da Agência estão sujeitos à obrigação de confidencialidade prevista no artigo 287° do Tratado CE, mesmo após a cessação das suas funções.

3. A Agência estabelecerá no seu regulamento interno as disposições práticas para a aplicação das regras de confidencialidade previstas nos n°s 1 e 2.

4. Para efeitos do disposto no n° 1, o termo "terceiros" não inclui a Comissão.

Artigo 14° Acesso a documentos

1. Aplicar-se-á aos documentos em posse da Agência o Regulamento (CE) n° 1049/2001 do Parlamento Europeu e do Conselho, de 30 de Maio de 2001, relativo ao acesso do público ao documentos do Parlamento Europeu, do Conselho e da Comissão [16].

[16] JO L 145 de 31.5.2001, p. 43.

2. O Conselho de Administração adoptará disposições para aplicar o Regulamento (CE) n° 1049/2001 no prazo de seis meses após a entrada em funções da Agência.

3. As decisões tomadas pela Agência nos termos do artigo 8° do Regulamento (CE) n° 1049/2001 podem ser objecto de recurso, através de queixa ao Provedor de Justiça ou de uma acção junto do Tribunal de Justiça das Comunidades Europeias, ao abrigo, respectivamente, dos artigos 195° e 230° do Tratado CE.

Secção 4 Disposições financeiras

Artigo 15° Adopção do orçamento

1. As receitas da Agência provirão de uma contribuição da Comunidade e de eventuais contribuições dos países terceiros que participem no trabalho da Agência, como previsto no artigo 22°.

2. As despesas da Agência incluirão os custos de pessoal, administrativos, de apoio técnico, de infra-estruturas e de funcionamento e as despesas decorrentes de contratos celebrados com terceiros.

3. Até 1 de Março de cada ano, o Director Executivo elaborará uma estimativa das receitas e despesas da Agência para o exercício seguinte e enviá-la-á ao Conselho de Administração, juntamente com o quadro dos efectivos.

4. A receitas e despesas devem equilibrar-se.

5. Até 31 de Março de cada ano, o Conselho de Administração, com base num projecto elaborado pelo Director Executivo, apresentará um mapa previsional das receitas e despesas da Agência para o exercício seguinte. Esse mapa previsional, que deve incluir um projecto de organograma (quadro de efectivos) da Agência com o programa de trabalho provisório, será transmitido pelo Conselho de Administração à Comissão e aos países com os quais a Comunidade tenha concluído acordos nos termos do artigo 22°.

6. Com base no mapa previsional, a Comissão introduzirá os montantes correspondentes no projecto preliminar de orçamento geral das Comunidades Europeias, que enviará ao Parlamento Europeu e ao Conselho (a seguir designados "a autoridade orçamental") nos termos do artigo 272° do Tratado.

7. A autoridade orçamental determinará as dotações disponíveis a título da subvenção destinada à Agência.

8. A autoridade orçamental adoptará o quadro de efectivos da Agência.

9. Após a aprovação do orçamento geral das Comunidades Europeias pela autoridade orçamental, o Conselho de Administração aprovará o orçamento definitivo e o programa de trabalho da Agência, adaptando-os, na medida do necessário, à contribuição comunitária. Transmiti-los-á sem demora à Comissão e à autoridade orçamental.

Artigo 16° Combate à fraude

1. Para combater a fraude, a corrupção e outras actividades ilícitas, aplicar-se-ão sem restrições as disposições do Regulamento (CE) n° 1073/1999 do Parlamento Europeu e do Conselho, de 25 de Maio de 1999, relativo aos inquéritos efectuados pela Organização Europeia de Luta Antifraude (OLAF) [17].

[17] JO L 136 de 31.5.1999, p. 1.

2. A Agência aderirá ao Acordo Interinstitucional de 25 de Maio de 1999 relativo aos inquéritos internos efectuados pela Organização Europeia de Luta Antifraude (OLAF) [18] e publicará, sem demora, as disposições adequadas aplicáveis a todo o seu pessoal.

[18] JO L 136 de 31.5.1999, p. 15.

Artigo 17° Execução do orçamento

1. O Director Executivo será responsável pela execução do orçamento da Agência.

2. O auditor interno da Comissão exercerá, em relação à Agência, os mesmos poderes que lhe estão atribuídos em relação aos serviços da Comissão.

3. Até 31 de Março, após cada exercício financeiro, o contabilista da Agência comunicará as contas provisórias ao contabilista da Comissão, juntamente com um relatório da gestão orçamental e financeira relativo a esse exercício financeiro. O contabilista da Comissão procederá à consolidação das contas provisórias das instituições e dos organismos descentralizados na acepção do artigo 128° do Regulamento Financeiro geral.

4. Até 31 de Março, após cada exercício financeiro, o contabilista da Comissão comunicará as contas provisórias da Agência ao Tribunal de Contas, juntamente com um relatório da gestão orçamental e financeira relativo a esse exercício financeiro. O relatório da gestão orçamental e financeira relativo ao exercício financeiro será igualmente enviado ao Parlamento Europeu e ao Conselho.

5. Após a recepção das observações do Tribunal de Contas sobre as contas provisórias da Agência, em conformidade com o artigo 129° do Regulamento Financeiro geral, o Director Executivo elaborará as contas definitivas da Agência, pelas quais será, ele próprio, o responsável e transmiti-las-á para parecer ao Conselho de Administração.

6. O Conselho de Administração emitirá um parecer sobre as contas definitivas da Agência.

7. Até 1 de Julho, após cada exercício financeiro, o Director Executivo transmitirá as contas definitivas ao Parlamento Europeu, ao Conselho, à Comissão e ao Tribunal de Contas, juntamente com o parecer do Conselho de Administração.

8. As contas definitivas serão publicadas.

9. O Director Executivo enviará ao Tribunal de Contas a resposta às suas observações até 30 de Setembro, o mais tardar. O Director Executivo enviará também essa resposta ao Conselho de Administração.

10. Antes de 30 de Abril do exercício anual N+2, o Parlamento Europeu, por recomendação do Conselho deliberando por maioria qualificada, dará quitação ao Director Executivo da Agência quanto à execução do orçamento para o exercício N.

Secção 5 Disposições Gerais

Artigo 18° Personalidade jurídica e privilégios

1. A Agência será um organismo da Comunidade. Terá personalidade jurídica.

2. Em todos os Estados-Membros, a Agência gozará da máxima capacidade jurídica reconhecida às pessoas colectivas pelo direito nacional. A Agência poderá, nomeadamente, adquirir ou alienar bens móveis e imóveis e intentar acções judiciais.

3. A Agência será representada pelo seu Director Executivo.

4. Aplicar-se-á à Agência e ao seu pessoal o Protocolo relativo aos Privilégios e Imunidades das Comunidades Europeias.

Artigo 19° Responsabilidade

1. A responsabilidade contratual da Agência reger-se-á pela lei aplicável ao contrato em causa. O Tribunal de Justiça das Comunidades Europeias será competente para deliberar por força de cláusula compromissória constante dos contratos celebrados pela Agência.

2. Em matéria de responsabilidade extracontratual, a Agência indemnizará, de acordo com os princípios gerais comuns às legislações dos Estados-Membros, os danos causados por si ou pelos seus agentes no exercício das suas funções. O Tribunal de Justiça será competente para dirimir qualquer litígio relativo à reparação desses danos.

3. A responsabilidade pessoal dos funcionários perante a Agência reger-se-á pelas disposições aplicáveis ao pessoal da Agência.

Artigo 20° Pessoal

1. O pessoal da Agência estará sujeito às regras e regulamentos aplicáveis aos funcionários e outros agentes das Comunidades Europeias.

2. Sem prejuízo do disposto no artigo 5°, a Agência exercerá, em relação ao seu pessoal, os poderes conferidos à autoridade investida do poder de nomeação pelo Estatuto dos Funcionários e pelo Regime aplicável aos outros agentes.

Artigo 21° Protecção dos dados pessoais

No processamento de dados pessoais, a Agência estará sujeita às disposições do Regulamento (CE) n° 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados [19].

[19] JO L 8 de 12.1.2001, p. 1.

Artigo 22° Participação de países terceiros

1. A Agência estará aberta à participação de países que tenham concluído acordos com a Comunidade Europeia por força dos quais tenham adoptado e apliquem a legislação comunitária no domínio abrangido pelo presente regulamento.

2. No âmbito das disposições pertinentes dos referidos acordos, serão adoptadas cláusulas que especifiquem, designadamente, a natureza, dimensão e modalidades de participação desses países nos trabalhos da Agência, incluindo disposições relativas à participação nas redes operadas pela Agência, às contribuições financeiras e ao pessoal.

Secção 6 Disposições finais

Artigo 23° Cláusula de revisão

1. Três anos após a data de início prevista no artigo 26°, ou antes, se o Conselho de Administração o considerar necessário, a Comissão, em colaboração com o Conselho Consultivo, procederá a uma avaliação com base no caderno de encargos acordado com o Conselho de Administração. No âmbito dessa avaliação

a) serão avaliadas as práticas de trabalho e o impacto da Agência;

b) serão substancialmente revistos os objectivos e os mecanismos estabelecidos;

c) serão consideradas, se necessário, as alterações adequadas, à luz da evolução da situação a nível institucional e jurídico na União Europeia, tendo em conta especificamente as questões da segurança de âmbito mais vasto, nomeadamente as questões da segurança pública e a participação dos serviços responsáveis pela aplicação da lei.

2. A avaliação será tornada pública.

3. A Comissão procederá a essa avaliação com o objectivo de, nomeadamente, determinar se o período de actividade da Agência deve ser prolongado para além da data especificada no artigo 26°.

Artigo 24° Controlo administrativo

As actividades da Agência estarão sujeitas à supervisão do Provedor de Justiça, nos termos do disposto no artigo 195° do Tratado.

Artigo 25° Sede

A sede da Agência será decidida pelas autoridades competentes, com base numa proposta da Comissão, o mais tardar seis meses após a adopção do presente regulamento.

Artigo 26° Duração

A Agência estará operacional de 1 de Janeiro de 2004 até 31 de Dezembro de 2008.

Artigo 27° Entrada em vigor

O presente regulamento entra em vigor no [...] dia seguinte ao da sua publicação no Jornal Oficial das Comunidades Europeias.

O presente regulamento é obrigatório em todos os seus elementos e directamente aplicável em todos os Estados-Membros.

Feito em Bruxelas, em [...]

Pelo Parlamento Europeu Pelo Conselho,

O Presidente O Presidente

FICHA FINANCEIRA LEGISLATIVA

Domínio político: Sociedade da Informação

Actividade: Segurança das redes e da informação

Designação da acção: Proposta de regulamento do Parlamento Europeu e do Conselho que cria a Agência Europeia para a Segurança das Redes e da Informação

1. RUBRICA ORÇAMENTAL E DESIGNAÇÃO

Será proposta uma nova rubrica orçamental (esta acção faz parte da EPA para 2003)

2. NÚMEROS GERAIS

2.1. Dotação total da acção (parte B): milhões de euros para dotações de autorização

24,300 MEUR para a Europa dos 15 (a adesão de mais 10 países implica uma dotação suplementar de 9 MEUR, passando o custo total da acção a ser 33,3 MEUR)

Esta acção foi prevista pela Comissão na sua Comunicação ao Parlamento Europeu e ao Conselho de 27 de Fevereiro de 2002 (SEC (2002) 217/9).

2.2. Período de aplicação:

2004 - 2008

2.3. Estimativa das despesas globais plurianuais:

a) Calendário das dotações de autorização/dotações de pagamento (intervenção financeira)

Milhões de euros (até três casas decimais)

>POSIÇÃO NUMA TABELA>

b) Assistência técnica e administrativa e despesas de apoio

>POSIÇÃO NUMA TABELA>

>POSIÇÃO NUMA TABELA>

c) Incidência financeira geral das despesas com recursos humanos e outras despesas administrativas

>POSIÇÃO NUMA TABELA>

>POSIÇÃO NUMA TABELA>

2.4. Compatibilidade com a programação financeira e as perspectivas financeiras

Esta proposta implica uma reprogramação da rubrica pertinente das perspectivas financeiras.

2.5. Incidência financeira nas receitas: [20]

[20] Para mais informações, ver nota explicativa em anexo.

A proposta não tem implicações financeiras (envolve os aspectos técnicos relativos à execução de uma medida)

3. CARACTERÍSTICAS ORÇAMENTAIS

>POSIÇÃO NUMA TABELA>

4. BASE JURÍDICA

Artigos 95° e 156° do Tratado.

5. DESCRIÇÃO E JUSTIFICAÇÃO

5.1. Necessidade da intervenção comunitária [21]

[21] Para mais informações, ver nota explicativa em anexo.

A avaliação ex-ante demonstra que as várias possibilidades alternativas, como por exemplo, a criação de uma rede interna na Comissão, de uma rede de correspondentes dos Estados-Membros, não satisfazem os critérios qualitativos objectivos (transparência, boa relação custo/eficácia e visibilidade) nem igualam o valor acrescentado da criação de uma estrutura do tipo agência de regulamentação.

A primeira alternativa não é viável, dado que a Comissão não dispõe, a nível interno, dos especialistas necessários no domínio da segurança das redes e da informação. A outra, a criação de uma rede de correspondentes nacionais, apresenta grandes desvantagens:

* a Comissão perde as suas funções de supervisão dos trabalhos. Uma rede exigirá mais recursos financeiros e humanos, uma vez que as funções não serão centralizadas, mas multiplicadas em todos os Estados-Membros;

* a sensibilização para a dimensão transnacional estará limitada, dado que é de prever que as autoridades nacionais se concentrem sobretudo nas preocupações nacionais;

* a visibilidade do trabalho será limitada e não existirá um ponto de contacto único para as discussões internacionais, absolutamente necessárias neste domínio.

Consequentemente, a actual proposta segue a estrutura indicada na comunicação da Comissão recentemente adoptada sobre o enquadramento das agências europeias de regulamentação (COM(2002) 718 final de 11 de Dezembro de 2002.) O principal objectivo é centrar as actividades (como se pode deduzir da lista de tarefas) nas questões regulamentares e, ao mesmo tempo, oferecer apoio aos Estados-Membros e à Comissão em matérias altamente técnicas e tecnológicas relacionadas com a segurança das redes e da informação.

Uma resposta comunitária coordenada às crescentes ameaças à segurança, mais centrada numa matéria específica e com maior visibilidade, é particularmente necessária após os acontecimentos de 11 de Setembro, quando a questão da segurança das redes e da informação se tornou uma grande prioridade política.

5.1.1. Objectivos a alcançar

Tendo em conta as numerosas actividades que dependem das redes e dos sistemas de informação, o seu funcionamento seguro tornou-se uma preocupação central. Os sistemas informáticos são cruciais para toda a economia, não só para a maioria dos sectores comerciais, mas também para o sector público e para os particulares. O mau funcionamento de tais sistemas atinge toda a gente: particulares, administrações públicas e empresas.

A segurança tornou-se, por conseguinte, uma das grandes preocupações políticas. Os governos vêem aumentar a sua responsabilidade para com a sociedade e intensificam os seus esforços para aumentar a segurança no seu território. Os Estados-Membros encontram-se, porém, em fases diferentes do seu trabalho e o foco das atenções varia. Não existe uma cooperação transfronteiras sistemática em matéria de segurança das redes e da informação entre os Estados-Membros, apesar de as questões de segurança não poderem ser preocupação exclusiva de um país. Não existe um mecanismo que garanta respostas eficazes às ameaças à segurança. A implementação do quadro jurídico apresenta diferenças. A falta de interoperabilidade impede a utilização correcta dos produtos de segurança.

Embora não seja necessário harmonizar completamente as políticas, a União tem a ganhar com uma maior coordenação entre os Estados-Membros e com um nível de segurança suficientemente elevado em todos eles. O mercado interno beneficiará de uma abordagem europeia coordenada em relação à segurança das redes e da informação e da reunião do saber-fazer dos Estados-Membros. Ao mesmo tempo, essa abordagem apoiará a inovação e a capacidade das empresas para concorrerem a nível mundial.

A Agência proposta destina-se a reforçar a segurança das redes e da informação na Europa e a capacidade de resposta, individual e colectiva, dos Estados-Membros aos grandes problemas de segurança das redes e da informação.

5.1.2. Medidas tomadas em relação à avaliação ex ante

A Comunicação da Comissão sobre a "Segurança das redes e da informação: Proposta de abordagem política europeia", COM (2001)298 final, propôs uma série de medidas destinadas a reforçar a segurança da informação na Europa. A Resolução do Conselho de 28 de Janeiro de 2002 relativa a uma abordagem comum e a acções específicas no domínio da segurança das redes e da informação desenvolveu mais esse conceito. Tornou-se, no entanto, claro que as actuais disposições institucionais não permitem abordar adequadamente a questão da segurança das redes e da informação a nível europeu.

A resolução considera igualmente positivo que a Comissão elabore uma proposta relativa à criação de uma "Task Force para a cibersegurança" para dar resposta aos problemas de segurança das redes e da informação. Essa Task Force para a cibersegurança assumiu agora a forma de Agência de regulamentação com uma duração limitada.

Ponderaram-se várias alternativas à criação de um agência, mas não foram consideradas adequadas para as tarefas previstas para uma entidade dessa natureza. Na avaliação ex ante faz-se uma análise mais detalhada das considerações que estão na base da criação de uma nova agência.

5.2. Linhas de acção previstas

5.2.1. Objectivos

O objectivo geral da Agência é criar na Europa uma compreensão comum das questões relacionadas com a segurança da informação, necessária para garantir a disponibilidade e a segurança de redes e sistemas de informação na União.

A Agência deve poder:

- fornecer assistência na aplicação das medidas comunitárias relativas à segurança das redes e da informação;

- contribuir, através dessa assistência, para garantir a interoperabilidade das funções de segurança da informação nas redes e nos sistemas de informação, contribuindo assim para o funcionamento do mercado interno;

- reforçar a capacidade quer da Comunidade quer dos Estados-Membros para responderem aos problemas de segurança das redes e da informação.

A Agência desempenhará um importante papel a nível da segurança das redes e dos sistemas de informação da Europa e do desenvolvimento da sociedade da informação em geral.

5.2.2. Tarefas

A Agência terá por tarefas:

- desempenhar funções consultivas e de coordenação, no exercício das quais reunirá e analisará dados relativos à segurança da informação. Hoje em dia, tanto as organizações públicas como as privadas reúnem, com objectivos diferentes, dados relativos a incidentes no domínio das TI e outros dados pertinentes para a segurança da informação. Não existe, porém, uma entidade central a nível europeu, que possa, de um modo completo, coligir e analisar dados e fornecer pareceres e aconselhamento para apoiar o trabalho político da Comunidade em matéria de segurança das redes e da informação;

- servir de centro especializado a que os Estados-Membros e as instituições comunitárias possam recorrer para obterem pareceres e aconselhamento sobre questões técnicas relacionadas com a segurança;

- contribuir para uma ampla cooperação entre os diferentes intervenientes no domínio da segurança da informação, ou seja, prestar assistência nas actividades de apoio a um e-business (negócios em linha) seguro. Essa cooperação será um pré-requisito fundamental para o funcionamento seguro das redes e dos sistemas de informação na Europa. É necessária a participação e o envolvimento de todas as partes interessadas;

- contribuir para uma abordagem coordenada da segurança da informação fornecendo apoio aos Estados-Membros, designadamente na promoção de acções de avaliação dos riscos e de sensibilização;

- garantir a interoperabilidade das redes e dos sistemas de informação quando os Estados-Membros aplicarem requisitos técnicos que afectem a segurança;

- identificar as necessidades de normalização nesta matéria e avaliar as normas de segurança existentes e os regimes de certificação e promover a maior generalização possível da sua utilização em apoio da legislação europeia;

- apoiar a cooperação internacional neste domínio, cada vez mais necessária dado o carácter mundial das questões de segurança das redes e da informação.

5.3. Modalidades de implementação

A proposta visa estabelecer uma agência de regulamentação, "a Agência", entidade autónoma em relação à Comissão, por um período inicial de cinco anos. A Agência terá personalidade jurídica.

A Agência terá um Conselho de Administração, um Director Executivo e um Conselho Consultivo. O Conselho de Administração, além de responsável pela nomeação do Director Executivo, é o responsável geral pelo trabalho político e pela gestão.

O Conselho Consultivo será composto por peritos e terá funções consultivas para garantir uma cooperação estreita com os Estados-Membros e as organizações competentes nos Estados-Membros.

6. INCIDÊNCIA FINANCEIRA

6.1. Incidência financeira total na parte B (para todo o período de programação)

A Agência terá como principal tarefa servir de centro especializado, pelo que, em grande medida, será o seu próprio pessoal a fornecer os pareceres e conselhos. Tal significa também que os custos administrativos da Agência consumirão uma parte importante do orçamento total.

6.1.1. Intervenção financeira

Dotações (em milhões de EUR com três casas decimais)

>POSIÇÃO NUMA TABELA>

6.1.2. Assistência técnica e administrativa (ATA), despesas de apoio (DDA) e despesas TI (dotações de autorização)

>POSIÇÃO NUMA TABELA>

6.2. Cálculo dos custos por medida prevista na parte B (para todo o período de programação)

O quadro que se segue mostra a repartição dos custos da Agência durante o período de funcionamento proposto. O método de cálculo faz a distinção entre a situação actual de 15 Estados-Membros da UE e a situação com a entrada de 10 novos Estados-Membros em 2004. A seguir ao quadro (alíneas a) a f)) encontra-se a especificação dos números apresentados.

>POSIÇÃO NUMA TABELA>

(a) Trabalho preparatório

A Agência começará a funcionar em Janeiro de 2004.

Embora não directamente relacionada com esta rubrica orçamental, está prevista no orçamento de 2003 uma dotação proveniente do programa Modinis [22]. Uma das principais acções no âmbito desse programa consiste em reforçar a segurança das redes e da informação e preparar a criação de uma task force responsável pela ciber-segurança, como previsto na Resolução do Conselho de 28 de Janeiro de 2002 e no Plano de Acção eEurope 2005, nomeadamente através do financiamento de inquéritos, estudos e seminários sobre temas como os mecanismos de segurança e a sua interoperabilidade, a fiabilidade e a protecção das redes, a criptografia avançada e a privacidade e segurança nas comunicações sem fios.

[22] O Conselho de Ministros das Telecomunicações chegou a acordo político em 5 de Dezembro; a adopção oficial terá lugar no Conselho "Telecomunicações" de Março de 2003.

b) Recursos humanos (incluindo instalações e despesas administrativas conexas)

A Agência precisará de dispor de pessoal altamente especializado e qualificado para desempenhar as tarefas previstas. São neste momento raros e muito procurados na Europa profissionais com esse tipo de perfil. A Agência recrutará pessoas tanto do sector público como do privado. A funcionar em pleno, com 15 Estados-Membros, a Agência contará com 31 pessoas. Cinco delas encarregar-se-ão da gestão e da administração geral da Agência e 26 serão recrutadas para desempenharem as tarefas operacionais mencionadas no artigo 2° do projecto de regulamento. Os números relativos ao apoio à gestão e à administração baseiam-se na experiência de outras agências comunitárias existentes.

Dos 26 funcionários responsáveis pelas tarefas operacionais, 1 assegurará o secretariado e os restantes serão recrutados pela experiência específica que possuem: 6 especialistas em análise e gestão de riscos, 6 especialistas em monitorização de redes, 3 especialistas em componentes técnicas das redes e dos sistemas de informação, 2 especialistas em informação e comunicação, 4 em incidentes informáticos e respectiva gestão e 4 em coordenação das actividades no domínio da segurança da informação conduzidas pelas autoridades dos Estados-Membros. A escolha dessas pessoas é feita com base em análises aprofundadas na sequência de discussões com as direcções responsáveis pela segurança pertencentes às autoridades nacionais e com organismos similares de segurança dos sectores público e privado, como, por exemplo, equipas de resposta a incidentes no domínio da segurança informática. O número de pessoas tem em conta a carga de trabalho prevista e está directamente relacionado com a lista de tarefas da Agência. Devido às restrições orçamentais, esse número está reduzido ao mínimo.

Quando a Agência estiver a funcionar em pleno, os custos de pessoal totais anuais para 15 Estados-Membros serão de 3,348 MEUR, tomando como base os custos de pessoal médios da Comissão de 108 000 EUR por funcionário e por ano, que incluem as despesas com instalações e despesas administrativas conexas.

Como se prevê que o pessoal não seja recrutado todo de imediato, o quadro 6.2 baseia-se num modelo de recrutamento gradual de 10 pessoas em 2004, 19 em 2005 e as restantes 2 em 2006, completando assim o quadro de 31 elementos.

Nos termos do artigo 19°, o pessoal da Agência estará sujeito às regras e regulamentos aplicáveis aos funcionários e outros agentes das Comunidades Europeias.

>POSIÇÃO NUMA TABELA>

(c) Custos de equipamento

Mobiliário: O contrato de fornecimento de mobiliário e equipamento de escritório ascenderá a 0,1 M EUR no primeiro ano e 0,025MEUR nos anos seguintes. O espaço de gabinetes e as despesas administrativas conexas inserem-se nos custos de pessoal.

TI: Dada a tarefa que lhe está atribuída, a Agência será um alvo provável de pirataria informática e de outro tipo de ataques à segurança, pelo que tem de estar suficientemente protegida contra ameaças desse género. A Agência exigirá, pois, equipamento de TI altamente sofisticado e de elevada segurança. Dada a necessidade de garantir uma protecção de alto nível, o custo total do equipamento TI por funcionário por ano é estimado, em média, entre 15 500 e 18 000 EUR. No total, os custos TI serão de 0,22 M EUR para o primeiro ano, 0,48 M EUR para o segundo ano e 0,528 M EUR p.a. para os anos seguintes.

Manutenção do sítio Web: Um dos factores determinantes das tarefas da Agência será a disponibilização das informações ao grande público e a especialistas. Essa disponibilização far-se-á essencialmente através de operações baseadas na Web. O custo mínimo (que cobre apenas as necessidades mínimas de informação) dessas operações é estimado em 0,15 M EUR para o primeiro ano e 0,05 M EUR anualmente a partir do segundo ano.

(d) Custos funcionais

Publicações: Como o sítio Web servirá de plataforma para a maioria das publicações, a Agência publicará também, em certa medida, relatórios oficiais e material informativo em papel, nomeadamente para informação das instituições comunitárias pertinentes. Prevê-se que os custos dessas publicações sejam de 35 000 EUR no primeiro ano e de 50 000 EUR nos anos seguintes.

Conferências: 0,1 M EUR deverão ser utilizados na organização de conferências no primeiro ano, 0,15 M EUR no segundo e 0,2 M EUR nos seguintes. Essas conferências terão como objectivo principal divulgar os resultados do trabalho da Agência a um público mais vasto, tanto de entidades públicas como de privadas.

Missões: Uma parte essencial da estratégia da Agência é o estabelecimento de uma rede de contactos com os Estados-Membros e também, dada a natureza mundial do problema da segurança das redes, com países terceiros. Os custos das missões a efectuar em cumprimento destas tarefas está estimado em 0,14 M EUR para o primeiro ano e 0,2 M EUR p.a. para os anos seguintes.

Reuniões: O projecto de regulamento prevê a criação de um Conselho de Administração, de um Conselho Consultivo e de grupos de trabalho. Os detalhes do funcionamento dessas entidades (frequência das reuniões, etc.) serão definidos no regulamento interno da Agência. No entanto, tendo em conta a prática comum, toma-se como base para o cálculo dos custos estimados 3 reuniões anuais do Conselho de Administração e uma reunião mensal do Conselho Consultivo.

O número total de reuniões do Conselho de Administração e do Conselho Consultivo é de 15 por ano. O custo da sala de reuniões e das traduções ascende a 7 000 EUR por reunião e as despesas de deslocação a 700 EUR. Os custos anuais são, por conseguinte, 115 000 euros.

Os grupos de trabalho serão provavelmente criados apenas passado algum tempo. No primeiro ano, haverá menos reuniões de grupos de peritos.

Tradução: Para reduzir os custos e o tempo de tradução, os trabalhos internos e os documentos da Agência destinados à Comissão apenas estarão disponíveis numa das línguas de trabalho. No entanto, os documentos destinados aos Estados-Membros ou originários dos Estados-Membros podem ter de ser traduzidos. O custo dessas traduções terá de ser ajustado à luz da experiência. Prevê-se um montante de 0,16 M EUR para o primeiro ano e de 0,2 M EUR por ano para os anos seguintes.

(e) Estudos e investigação

A natureza altamente especializada da segurança das redes e da informação e o carácter evolutivo do mundo das ligações em rede colocará desafios novos e imprevistos a nível mundial. Dado o número limitado de funcionários da Agência, será necessário pedir ajuda a peritos externos para a execução de algumas tarefas. Recorrer-se-á à ajuda externa especializada, por exemplo, para a realização de estudos que reúnam dados e estatísticas, que analisem o impacto da evolução tecnológica nos aspectos de segurança, como modelos de avaliação e de gestão dos riscos, a inclusão dos resultados das actividades de investigação nas tecnologias futuras e emergentes e também informações sobre as soluções para a segurança das redes desenvolvidas em países terceiros.

Com base nas informações reunidas, a Agência, nomeadamente, prestará assistência e dará pareceres à Comissão e a outros organismos competentes, proporá soluções para reforçar a cooperação entre os intervenientes, contribuirá para a disponibilização de informações rápidas, objectivas e completas e para a abordagem comunitária relativa à cooperação com países terceiros.

O custo total dos estudos será de 3,445 M EUR. Nos primeiros anos, a Agência poderá não estar totalmente operacional, pelo que se calcula que serão utilizados em estudos 0,42 M EUR em 2004 e 0,55 M EUR em 2005, enquanto nos anos seguintes esse montante ascenderá a 0,825 M EUR. Os custos médios dos estudos situam-se entre 0,2 M EUR e 0,3 M EUR.

(f) Cálculos com os 10 novos países

Com 10 novos países, o pessoal aumentará em conformidade, já que será necessário o envolvimento dos Estados-Membros e também a participação de especialistas desses novos países. Esse aumento far-se-á gradualmente com a admissão de 5 pessoas em 2004, 9 em 2005 e mais 13 entre 2006 e 2008. Dessas 13 pessoas, 10 representarão os novos países e 3 exercerão funções de secretariado/gestão corrente.

O aumento do número de trabalhadores aumentará igualmente a necessidade de mobiliário e equipamento TI para essas pessoas. Os custos de equipamento aumentarão na proporção directa do número de novos trabalhadores, excepto no primeiro ano, em que os custos serão mais elevados (ver cálculos supra).

Não se prevê que os custos das conferências aumentem com a entrada dos novos países, mas as publicações terão de dirigir-se a um público mais vasto, pelo que serão mais dispendiosas. Haverá igualmente que efectuar missões aos novos países para os familiarizar com os regimes de cooperação e de intercâmbio de informações, etc. Aumentará o número de participantes nas reuniões e, por conseguinte, a necessidade de traduções. Os cálculos desses custos foram feitos com o mesmo rácio que com 15 Estados-Membros.

O montante consagrado aos estudos terá igualmente de ser aumentado com a entrada dos novos países, já que é importante ter uma ideia exacta da situação em termos de segurança da informação nesses países e das necessidades especiais que podem surgir com a sua adesão à União. Em 2004, será demasiado cedo para se poder ir além de um estudo básico, mas, em 2005, será importante ter uma ideia exacta dos novos países, pelo que o custo dos estudos para esse ano será relativamente elevado.

7. INCIDÊNCIA NOS EFECTIVOS E DESPESAS ADMINISTRATIVAS

A necessidade de recursos humanos e administrativos será coberta pela dotação atribuída à DG gestora no âmbito do procedimento de atribuição.

7.1. Incidência nos recursos humanos

>POSIÇÃO NUMA TABELA>

7.2. Incidência financeira global dos recursos humanos

>POSIÇÃO NUMA TABELA>

Os montantes correspondem às despesas totais da acção para doze meses.

7.3. Outras despesas administrativas decorrentes da acção

>POSIÇÃO NUMA TABELA>

Os montantes correspondem às despesas totais da acção para doze meses.

Especificar o tipo de comité, bem como o grupo a que pertence.

>POSIÇÃO NUMA TABELA>

8. ACOMPANHAMENTO E AVALIAÇÃO

8.1. Acompanhamento

Para assegurar que os fundos comunitários são utilizados eficientemente, a Comissão garantirá que as actividades no âmbito do presente regulamento se realizem apenas na sequência de procedimentos de contratação pública e que as mesmas sejam devidamente acompanhadas e avaliadas.

8.2. Modalidades e periodicidade da avaliação prevista

A Comissão e o Conselho Consultivo procederão ao exame das práticas de trabalho da Agência e do impacto da Agência no exercício das suas funções. Esse exame realizar-se-á num prazo de três anos após a data de arranque, ou seja, antes de 31 de Dezembro de 2007.

9. MEDIDAS ANTIFRAUDE

Antes de proceder a qualquer pagamento, os serviços da Agência controlarão as facturas relativas a eventuais serviços prestados ou estudos realizados, tendo em conta as obrigações contratuais, os princípios económicos e as boas práticas financeiras e de gestão. Serão incluídas disposições ANTIFRAUDE (supervisão, apresentação de relatórios, etc.) em todos os acordos ou contratos celebrados entre a Agência e os beneficiários dos pagamentos.