Na strane odvetvia toto riešenie certifikácie podporujú podniky, ktoré už certifikačným požiadavkám podliehajú a ktorým by prospel celoúnijný mechanizmus založený na vzájomnom uznávaní certifikátov. Podporujú ho aj MSP, ktoré najviac trpia tým, že musia alebo by museli absolvovať odlišné certifikačné postupy v rôznych členských štátoch. Niektoré členské štáty (najmä tie s obmedzenejšími zdrojmi), ako aj niektorí zástupcovia odvetvia a inštitúcií EÚ sa v otázke agentúry ENISA vyjadrili aj za možnosť 3.

Možnosť 3 – všeobecný rámec bezpečnostnej certifikácie IKT v EÚ. Táto možnosť zahŕňa vytvorenie európskeho rámca bezpečnostnej certifikácie IKT (vrátane expertnej skupiny zloženej z vnútroštátnych orgánov), ktorý by čo najviac nadväzoval na existujúce systémy bezpečnostnej certifikácie IKT. Rámec by v zásade umožnil zriadenie certifikačných systémov EÚ, ktoré sa budú uznávať vo všetkých členských štátoch.

Možnosť 2 – legislatívny akt na úrovni EÚ s cieľom rozšíriť dohodu SOG-IS na všetky členské štáty. Pri tejto možnosti politiky by Komisia navrhla legislatívny akt, ktorým by sa členstvo zákonne rozšírilo na všetky členské štáty.

Možnosť 3 – Agentúra EÚ pre kybernetickú bezpečnosť s plnými operačnými spôsobilosťami. Táto možnosť znamená reformovanie agentúry ENISA sústredením troch hlavných funkcií: 1. politická/poradná funkcia; 2. stredisko informácií a odborných poznatkov a 3. tím reakcie na núdzové počítačové situácie (CERT). Táto možnosť by do značnej miery znamenala rovnakú zmenu rozsahu mandátu ako možnosť 2. Pridali by sa však dodatočné úlohy v oblasti reakcie na incidenty a krízového riadenia, takže agentúra by spravovala celý životný cyklus kybernetickej bezpečnosti od prevencie cez odhaľovanie až po reakciu na kybernetické incidenty.

Možnosť 2 – „reformovaná agentúra ENISA“. Táto možnosť by nadviazala na súčasný mandát agentúry ENISA s cieľom prijať selektívne zmeny, ktoré zohľadňujú vývoj v kyberneticko-bezpečnostnej sfére. Agentúra by dostala trvalý mandát, stavajúc na týchto kľúčových prvkoch: podpora tvorby a vykonávania politík EÚ, budovanie kapacít, znalosti a informácie, trhové úlohy, výskum a inovácia, operačná spolupráca a krízové riadenie.

Možnosť 0 – východiskový scenár – Pri tejto možnosti by sa zachoval status quo. Mandát agentúry ENISA by sa predĺžil, pričom ciele a úlohy agentúry by zostali z veľkej časti nezmenené, pri zohľadnení úloh, ktoré agentúre ENISA ukladajú neskoršie právne predpisy EÚ (napr. smernica NIS).

Aké sú výhody uprednostňovanej možnosti (prípadne hlavných možností, ak sa žiadna konkrétna možnosť neuprednostňuje)?

Pri uprednostňovanej možnosti by EÚ mala agentúru zameranú na podporu členských štátov, inštitúcií EÚ a firiem v oblastiach, kde by priniesla najvyššiu pridanú hodnotu. Patrí sem: podpora vykonávania smernice NIS; príprava a vykonávanie politík; informácie, poznatky a zvyšovanie povedomia; výskum; operačná spolupráca a krízové riadenie; trh. Konkrétne by ENISA podporovala politiku EÚ v oblasti bezpečnostnej certifikácie IKT zabezpečovaním administratívnej údržby a technického riadenia európskeho rámca bezpečnostnej certifikácie IKT. Takýto rámec v praxi zavedie súbor pravidiel spravovania bezpečnostnej certifikácie IKT v EÚ, čím by sa podporil systém vzájomného uznávania certifikátov vydaných v rôznych členských štátoch. Riešenie kombinujúce tieto možnosti sa považuje za najúčinnejšie na dosiahnutie stanovených cieľov EÚ, ktorými sú posilnenie spôsobilostí v oblasti kybernetickej bezpečnosti, pripravenosť, spolupráca, povedomie, transparentnosť a predchádzanie roztrieštenosti trhu. Zároveň je táto možnosť v najväčšom súlade s politickými prioritami, keďže je zakotvená v stratégii kybernetickej bezpečnosti a súvisiacich politikách (napr. smernica NIS), ako aj v stratégii digitálneho jednotného trhu. Okrem toho by sa pri tejto možnosti ciele dosiahli s rozumným vynaložením zdrojov.

Aké sú náklady na uprednostňovanú možnosť (prípadne na hlavné možnosti, ak sa žiadna konkrétna možnosť neuprednostňuje)?

„Reformovaná agentúra ENISA“ by si aj napriek novým úlohám zachovala svoju akcieschopnosť. Potrebný finančný príspevok z rozpočtu EÚ by bol vyšší než v súčasnosti, no stále výrazne pod úrovňou iných agentúr, ktoré tiež pôsobia v kľúčových oblastiach.

Vytvorenie európskeho rámca bezpečnostnej certifikácie IKT by pre odvetvie (vrátane MSP) neprinieslo žiadne počiatočné náklady navyše. Naopak, výraznú úsporu by zaznamenali tie firmy, ktoré už svoje produkty certifikujú alebo sú ochotné podstúpiť bezpečnostnú certifikáciu, pričom by sa zároveň zvýšila ich svetová konkurencieschopnosť. Na druhej strane táto možnosť zahŕňa určité rozpočtové záväzky na správu tohto rámca, ktorý by z hľadiska technických úloh a sekretariátu zabezpečoval model „reformovanej agentúry ENISA“.

Očakáva sa významný vplyv na štátne rozpočty a verejnú správu?

Nie. Náklady spojené s posilnením agentúry ENISA by z najväčšej časti pokrýval rozpočet EÚ, hoci členské štáty by mohli na činnosť agentúry dobrovoľne finančne prispievať. Pokiaľ ide o certifikáciu, hlavný dosah na štátne rozpočty a správy spočíva v náležitých prípadoch v zriadení certifikačného orgánu.

Očakávajú sa iné významné vplyvy?

Nie.

Proporcionalita?

Uprednostňovaná možnosť zavádza vyvážené opatrenia, ktoré sa všetky považujú za potrebné na dosiahnutie predmetných cieľov, pričom príslušné zainteresované strany nadmerne nezaťažujú. Preto sa táto iniciatíva považuje za vyhovujúcu zásade proporcionality.

D)Nadväzujúce opatrenia

Kedy sa táto politika preskúma?

Navrhuje sa, aby sa prvé hodnotenie vykonalo päť rokov po nadobudnutí účinnosti právneho nástroja. Komisia následne podá Európskemu parlamentu a Rade z hodnotenia správu, ktorú prípadne doplní návrhom na revíziu aktu. Ďalšie hodnotenia sa budú musieť vykonávať každých päť rokov.