Analýza zohľadnila aj pozmenený kontext, v rámci ktorého agentúra v súčasnosti pôsobí, najmä s ohľadom na: nový regulačný a politický rámec EÚ (napr. smernica NIS, preskúmanie stratégie EÚ v oblasti kybernetickej bezpečnosti), vyvíjajúce sa potreby komunity zainteresovaných strán agentúry a komplementárnosť a možnú súčinnosť s prácou iných európskych a vnútroštátnych inštitúcií, agentúr a orgánov, ako napríklad jednotky pre riešenie počítačových bezpečnostných incidentov v inštitúciách, agentúrach a orgánoch EÚ (CERT-EU) a Európskeho centra boja proti počítačovej kriminalite (EC3) v Europole.

S cieľom vyhodnotiť fungovanie agentúry:

·obstarala Komisia nezávislú štúdiu, ktorá bola vykonaná od novembra 2016 do júla 2017 a ktorá predstavuje hlavný zdroj hodnotenia spolu s vnútornou analýzou, ktorú vykonala Komisia,

·štúdia zahŕňala sekundárny výskum, zber a analýzu údajov vrátane prieskumov medzi zainteresovanými stranami, hĺbkových rozhovorov s kľúčovými aktérmi v oblasti kybernetickej bezpečnosti, seminár zainteresovaných strán, referenčné porovnávanie, umiestnenie agentúry a analýzu silných a slabých stránok, príležitostí a hrozieb (analýza SWOT).

·Komisia tiež vykonala 12-týždňovú verejnú online konzultáciu, ktorá zahŕňala hodnotenie ex post a budúcnosť agentúry ENISA, ako aj cielené konzultácie s hlavnými zainteresovanými stranami.

Hlavné zistenia hodnotenia možno podľa hodnotiacich kritérií zhrnúť takto:

1.Relevantnosť: Vzhľadom na technologický vývoj a vyvíjajúce sa hrozby a výraznú potrebu zvýšiť sieťovú a informačnú bezpečnosť (NIS) v EÚ sa jej ciele ukázali ako relevantné. Keďže sa členské štáty a orgány EÚ opierajú o odborné poznatky o vývoji v oblasti sieťovej a informačnej bezpečnosti, je v členských štátoch potrebné budovať kapacity s cieľom pochopiť hrozby a reagovať na ne a zainteresované strany musia v jednotlivých tematických oblastiach a vo všetkých inštitúciách spolupracovať. Sieťová a informačná bezpečnosť zostáva aj naďalej kľúčovou politickou prioritou EÚ a hlavnou oblasťou, ktorou sa má agentúra ENISA zaoberať. Avšak povaha ENISA ako agentúry EÚ s mandátom na dobu určitú: i) neumožňuje dlhodobé plánovanie a udržateľnú podporu členským štátom a inštitúciám EÚ v rýchlo sa meniacom prostredí hrozieb v oblasti kybernetickej bezpečnosti; ii) môže viesť k právnemu vákuu, pretože ustanovenia smernice NIS, ktoré poverujú agentúru ENISA úlohami, sú trvalého charakteru.

2.Účinnosť: Agentúra ENISA vo všeobecnosti svoje ciele splnila a svoje úlohy vykonala. Prostredníctvom svojich hlavných činností (budovanie kapacít, poskytovanie odborných poznatkov, budovanie komunít, podpora politiky) prispela k zvýšeniu sieťovej a informačnej bezpečnosti v Európe. Vo vzťahu ku každej z týchto činností ukázala, že existuje aj potenciál zlepšenia. V hodnotení sa dospelo k záveru, že agentúra ENISA účinne vytvorila silné a spoľahlivé vzťahy s niektorými svojimi zainteresovanými stranami, predovšetkým s členskými štátmi a komunitou CSIRT. Zásahy v oblasti budovania kapacít boli vnímané ako účinné najmä v prípade členských štátov s menšími zdrojmi. Podpora rozsiahlej spolupráce bola jedným z hlavných úspechov, keď sa zainteresované strany vo všeobecnosti zhodli na tom, že ENISA zohráva pri spájaní ľudí pozitívnu úlohu. Agentúra ENISA mala však problémy s tým, aby v širokej oblasti NIS zanechala výraznú stopu. Bolo to aj z toho dôvodu, že na to, aby naplnila svoj veľmi rozsiahly mandát, mala pomerne obmedzené ľudské a finančné zdroje. Hodnotenie tiež dospelo k záveru, že ENISA čiastočne splnila cieľ poskytovať odborné poznatky, čo súviselo s problémami pri nábore odborníkov (pozri tiež ďalej v oddiele venovanom efektívnosti).

3.Efektívnosť: Napriek svojmu malému rozpočtu (v porovnaní s inými agentúrami EÚ patrí medzi najnižšie) dokázala agentúra prispieť ku konkrétnym cieľom a preukázala celkovú efektívnosť využívania svojich zdrojov. V hodnotení sa dospelo k záveru, že postupy boli vo všeobecnosti efektívne a že jasné vymedzenie zodpovedností v rámci organizácie viedlo k dobrému vykonaniu práce. Jednou z hlavných výziev, ktoré sa týkajú efektívnosti agentúry ENISA, sú ťažkosti pri nábore a udržaní vysokokvalifikovaných odborníkov. Zo zistení vyplýva, že to možno vysvetliť kombináciou viacerých faktorov vrátane všeobecných problémov celého verejného sektora konkurovať súkromnému sektoru pri nábore vysokošpecializovaných odborníkov, typu zmluvy (na dobu určitú), ktorý agentúra môže zväčša ponúknuť, a pomerne nízkej atraktívnosti týkajúcej sa umiestnenia agentúry ENISA, čo súvisí napríklad s ťažkosťami manželov alebo manželiek pri hľadaní práce. Rozdelenie medzi Atény a Heraklion si vyžadovalo ďalšie úsilie v oblasti koordinácie a spôsobilo dodatočné náklady, ale presun oddelenia, ktoré malo na starosti základné činnosti, v roku 2013 do Atén zvýšil prevádzkovú efektívnosť agentúry.

4.Súlad: Na vnútroštátnej úrovni aj na úrovni EÚ boli činnosti ENISA vo všeobecnosti v súlade s politikami a činnosťami jej zainteresovaných strán, ale na úrovni EÚ je potrebný koordinovanejší prístup ku kybernetickej bezpečnosti. Potenciál spolupráce medzi ENISA a ďalšími orgánmi EÚ nebol v plnej miere využitý. Dnes je vidieť, že súčasný mandát úplne neodzrkadľuje vývoj v oblasti právnych predpisov a politiky EÚ.

5.Pridaná hodnota EÚ: Pridaná hodnota ENISA spočívala predovšetkým v schopnosti agentúry posilňovať spoluprácu, najmä medzi členskými štátmi, ale aj s príslušnými komunitami NIS. Neexistuje žiadny iný aktér na úrovni EÚ, ktorý v rámci sieťovej a informačnej bezpečnosti podporuje spoluprácu rovnakej škály zainteresovaných strán. Pridaná hodnota, ktorú priniesla agentúra, sa líšila v závislosti od rozdielnych potrieb a zdrojov jej zainteresovaných strán (napr. malé vs veľké členské štáty; členské štáty vs odvetvie) a potreby agentúry stanoviť priority svojej činnosti podľa pracovného programu. V hodnotení sa dospelo k záveru, že prípadné zrušenie ENISA by bolo premárnenou príležitosťou pre všetky členské štáty. Bez decentralizovanej agentúry EÚ nebude v oblasti kybernetickej bezpečnosti možné zabezpečiť rovnaký stupeň budovania komunity a spolupráce medzi členskými štátmi. Situácia by ešte viac roztrieštila, ak by bilaterálna alebo regionálna spolupráca mala vyplniť medzeru, ktorú zanechala ENISA.

3.Závery a odporúčania

V hodnotení sa dospelo k záveru, že nariadením o ENISA bol agentúre udelený široký mandát (ktorý umožňuje flexibilitu, ale v niektorých prípadoch je málo konkrétny, čo jej značne komplikovalo dosiahnutie výrazných výsledkov), a ukázalo sa, že jej ciele sú v období rokov 2013 – 2016 relevantné. Agentúre sa podarilo dosiahnuť dobrú úroveň efektívnosti a pôsobením na úrovni EÚ preukázala pridanú hodnotu, najmä prostredníctvom hlavných činností, ako napríklad celoeurópskymi kybernetickými cvičeniami, podporou komunity CSIRT či analýzami situácie v oblasti kybernetických hrozieb. ENISA prispela k zvýšeniu sieťovej a informačnej bezpečnosti v Európe, a to najmä podporou spolupráce medzi členskými štátmi a zainteresovanými stranami v oblasti sieťovej a informačnej bezpečnosti, ako aj prostredníctvom svojej komunity a činností zameraných na budovanie kapacít.

Agentúra dosiahla tieto výsledky aj napriek niekoľkým problémom uvedeným v predchádzajúcich oddieloch tejto správy a priloženom pracovnom dokumente útvarov Komisie. Jeden z hlavných problémov súvisel s obmedzenými zdrojmi, ktoré nezodpovedajú širokému mandátu agentúry, najmä vzhľadom na nové úlohy pridelené agentúre smernicou NIS a rýchlo sa vyvíjajúcu situáciu v oblasti kybernetických hrozieb. ENISA takisto zostáva jedinou agentúrou EÚ s mandátom na dobu určitú, aj napriek úlohám týkajúcim sa smernice NIS, ako sa uvádza vyššie.

Hrozby v oblasti kybernetickej bezpečnosti sa rýchlo menia a ako sa Európa čoraz viac spolieha na digitálnu infraštruktúru a služby nielen prostredníctvom pripojených zariadení, ale aj všadeprítomnej pripojiteľnosti, objavujú sa nové. Internet vecí vytvára v digitálnom hospodárstve a spoločnosti nové príležitosti v oblasti energetickej efektívnosti, ochrany životného prostredia, prepojenej mobility, monitorovania zdravia v reálnom čase a inteligentných a plynulých finančných transakcií. Avšak spoločne s týmito obchodnými podnetmi sa objavujú aj nové slabé stránky a možnosti zneužitia, čo umožňuje, aby cez zasiahnuté zariadenia došlo k narušeniu digitálneho jednotného trhu.

V hodnotení sa dospelo k záveru, že súčasný mandát neposkytuje agentúre ENISA potrebné nástroje na riešenie súčasných a budúcich problémov v oblasti kybernetickej bezpečnosti.

Okrem toho v súčasnosti narastá riziko zvýšenej roztrieštenosti na úrovni EÚ vzhľadom na množstvo aktérov v oblasti kybernetickej bezpečnosti na úrovni EÚ a nedostatočnú koordináciu medzi nimi. EÚ potrebuje koordinačnú jednotku, ktorá by sa venovala riešeniu nových hrozieb, ktoré sú horizontálnej povahy a majú vplyv na viaceré priemyselné odvetvia, a ktorá by zohľadňovala potreby komunity v oblasti kybernetickej bezpečnosti, najmä členských štátov, inštitúcií EÚ a podnikov. Z hodnotenia vyplýva, že je potrebné mať agentúru EÚ so štruktúrou na prierezovej/horizontálnej báze a so silným mandátom.

Hodnotenie ukazuje, že napriek niekoľkým problematickým otázkam má agentúra ENISA značný potenciál prispieť k zvýšeniu kybernetickej bezpečnosti v EÚ, ak bude mať dostatočne silný mandát a podporu z hľadiska finančných a ľudských zdrojov.

Okrem toho existuje jasná potreba spolupráce a koordinácie medzi rôznymi zainteresovanými stranami. Čoraz naliehavejšou je potreba koordinačného subjektu na úrovni EÚ, ktorý by uľahčil tok informácií, minimalizoval nedostatky a zabránil prekrývaniu úloh a zodpovedností. ENISA ako decentralizovaná agentúra EÚ a neutrálny sprostredkovateľ je schopná koordinovať prístup EÚ v oblasti kybernetických hrozieb.

Na tomto základe Komisia predložila návrh na reformu agentúry ENISA, v ktorom jej udeľuje trvalý mandát, ktorý vychádza z kľúčových silných stránok, ktoré agentúra preukázala, a nových prioritných oblastí činnosti, napríklad v oblasti certifikácie kybernetickej bezpečnosti. Tento nový mandát by mal odrážať zmenu reality a splnomocniť agentúru, aby primerane podporovala EÚ v budúcnosti.