CORRIGENDUM This document corrects document COM(2017)477 final of 04.10.2017 Concerns all language versions. Correction of errors of a clerical nature, correction of some references and adding the title of an article. The text shall read as follows:

Vo svojom oznámení o preskúmaní stratégie digitálneho jednotného trhu v polovici trvania z mája 2017 Komisia ďalej uviedla, že do septembra 2017 preskúma mandát agentúry ENISA. Účelom je vymedziť úlohu agentúry v zmenenom ekosystéme kybernetickej bezpečnosti a vypracovať opatrenia v oblasti noriem kybernetickej bezpečnosti, certifikácie a označovania v záujme zvýšenia kybernetickej bezpečnosti systémov založených na IKT vrátane pripojených predmetov. v záveroch zo zasadnutia Európskej rady v júni 2017 sa uvítal zámer Komisie v septembri preskúmať stratégiu kybernetickej bezpečnosti a do konca roka 2017 navrhnúť ďalšie cielené opatrenia.

Vytvorenie certifikačného systému by si vyžadovalo zriadenie vhodného systému riadenia na úrovni EÚ vrátane dôkladného odborného poradenstva poskytovaného nezávislou agentúrou EÚ. Súčasný návrh v tejto súvislosti identifikuje ENISA ako orgán na úrovni EÚ s prirodzenou zodpovednosťou v otázkach kybernetickej bezpečnosti, ktorý by mal túto úlohu prevziať s cieľom spojiť a skoordinovať prácu príslušných vnútroštátnych orgánov v oblasti certifikácie.

V roku 2016 prijala Európska komisia oznámenie s názvom „Posilnenie odolnosti kybernetického systému a podpora konkurencieschopného a inovačného odvetvia kybernetickej bezpečnosti v Európe, v ktorom boli oznámené ďalšie opatrenia na prehĺbenie spolupráce a spoločného využívania informácií a poznatkov, ako aj na zvýšenie odolnosti a pripravenosti EÚ, a to aj vzhľadom na hrozbu rozsiahlych incidentov a možnej celoeurópskej krízy v oblasti kybernetickej bezpečnosti. v tejto súvislosti Komisia oznámila, že urýchli hodnotenie a preskúmanie nariadenia Európskeho parlamentu a Rady (EÚ) č. 526/2013 o agentúre ENISA a o zrušení nariadenia (ES) č. 460/2004 (ďalej len „nariadenie o agentúre ENISA“). Proces hodnotenia by mohol viesť k prípadnej reforme agentúry a posilneniu jej spôsobilostí a kapacity, aby mohla členským štátom poskytovať udržateľnú podporu. Agentúre by sa teda pridelila operatívnejšia a ústrednejšia úloha pri dosahovaní odolnosti v oblasti kybernetickej bezpečnosti a v novom mandáte agentúry by sa uznali jej nové zodpovednosti v rámci smernice NIS.

Veľká väčšina (88 %) respondentov sa však domnievala, že súčasné nástroje a mechanizmy, ktoré sú k dispozícii na úrovni EÚ, sú pri riešení súčasných výziev v oblasti kybernetickej bezpečnosti nedostatočné alebo postačujú len čiastočne. Veľká väčšina respondentov (98 %) uviedla, že na tieto potreby by mal reagovať orgán EÚ a spomedzi nich by 99 % respondentov na tento účel vybralo agentúru ENISA. Okrem toho 67,5 % respondentov vyjadrilo názor, že agentúra ENISA by mohla zohrávať úlohu pri stanovovaní harmonizovaného rámca bezpečnostnej certifikácie produktov a služieb IT.

Počas rokovaní o smernici NIS sa spoluzákonodarcovia EÚ rozhodli agentúre ENISA prideliť dôležité úlohy pri vykonávaní tejto smernice. Agentúra predovšetkým plní funkciu sekretariátu pre sieť jednotiek CSIRT (zriadenú na podporu rýchlej a účinnej operačnej spolupráce medzi členskými štátmi v prípade konkrétnych kybernetických incidentov a pri výmene informácií o rizikách) a takisto by mala pomáhať skupine pre spoluprácu pri plnení jej úloh. Smernicou sa okrem toho od agentúry ENISA vyžaduje, aby pomáhala členským štátom a Komisii, a to poskytovaním odborných znalostí a poradenstva a uľahčovaním výmeny osvedčených postupov.

Agentúra ENISA pomáha európskym inštitúciám, členským štátom a podnikateľskej komunite pri riešení problémov spojených so sieťovou a informačnou bezpečnosťou, pri reakciách na ne, a najmä pri predchádzaní týmto problémom. Uskutočňuje to prostredníctvom súboru činností v piatich oblastiach identifikovaných v jej stratégii:

·Agentúre ENISA sa síce podarilo v obrovskej oblasti sieťovej a informačnej bezpečnosti dosiahnuť určitý vplyv, nepodarilo sa jej však úplne etablovať ako silná značka, získať si dostatočnú viditeľnosť a presadiť sa ako „to pravé“ stredisko odbornosti v Európe. Dôvodom je široký mandát agentúry ENISA, ktorému sa nepridelili dostatočné zdroje. Agentúra ENISA je okrem toho stále jedinou agentúrou EÚ s časovo obmedzeným mandátom, čo obmedzuje jej schopnosť pripraviť dlhodobú víziu a udržateľne podporovať svoje zainteresované strany. Je to aj v rozpore s ustanoveniami smernice NIS, ktoré agentúre ENISA zverujú úlohy bez časového obmedzenia. Z posúdenia nakoniec vyplynulo, že túto obmedzenú účinnosť možno čiastočne vysvetliť vysokým podielom využívania externých odborných znalostí v porovnaní s vnútornými, ako aj ťažkosťami pri nábore a udržaní špecializovaných pracovníkov.

·V neposlednom rade sa v hodnotení dospelo k záveru, že prínos agentúry ENISA spočíva predovšetkým v jej schopnosti posilňovať spoluprácu, a to najmä medzi členskými štátmi, a aj so súvisiacimi komunitami sieťovej a informačnej bezpečnosti (najmä medzi jednotkami CSIRT). na úrovni EÚ neexistuje žiadny iný aktér, ktorý by podporoval takýto široký rozsah zainteresovaných strán v oblasti sieťovej a informačnej bezpečnosti. Vzhľadom na potrebu prísne stanoviť priority týkajúce sa činností agentúry ENISA sa však pracovný program agentúry väčšinou riadi potrebami členských štátov. v dôsledku toho sa ním dostatočne neriešia potreby ďalších zainteresovaných strán, najmä príslušného odvetvia. Agentúra sa kvôli tomu takisto stala vnímavejšou k plneniu potrieb svojich hlavných zainteresovaných strán, čo jej bráni v tom, aby dosiahla väčší vplyv. Pridaná hodnota agentúry sa preto rôznila podľa rozdielnych potrieb jej zainteresovaných strán a podľa toho, do akej miery bola agentúra schopná na ne reagovať (napr. veľké členské štáty verzus malé členské štáty; členské štáty verzus odvetvie).

Stručne povedané, z výsledkov konzultácií so zainteresovanými stranami a hodnotenia vyplynulo, že zdroje a mandát agentúry ENISA je potrebné prispôsobiť tak, aby mohla zohrávať primeranú úlohu pri riešení súčasných a budúcich problémov.

Vzhľadom na tieto zistenia sa v tomto návrhu prehodnocuje súčasný mandát agentúry ENISA a stanovuje nový súbor úloh a funkcií, aby sa efektívne a účinne poskytla podpora členským štátom, inštitúciám EÚ a ostatným zainteresovaným stranám v ich úsilí o zaistenie bezpečného kybernetického priestoru v Európskej únii. Tento nový navrhovaný mandát má agentúre priznať silnejšiu a ústrednejšiu úlohu, a to aj prostredníctvom podpory členských štátov pri vykonávaní smernice NIS a na účely aktívnejšieho boja proti konkrétnym hrozbám (operačná kapacita), ako aj tým, že sa stane strediskom odbornosti na podporu členských štátov a Komisie v otázkach kyberneticko-bezpečnostnej certifikácie. na základe tohto návrhu:

·Agentúre ENISA by sa udelil trvalý mandát, ktorý by jej dal do budúcnosti stabilný základ. Jej mandát, ciele a úlohy by boli stále predmetom pravidelného preskúmania.

·Navrhovaným mandátom sa ďalej objasňuje úloha agentúry ENISA ako agentúry EÚ pre kybernetickú bezpečnosť a ako referenčného bodu v ekosystéme kybernetickej bezpečnosti EÚ, ktorý koná v úzkej spolupráci so všetkými ostatnými príslušnými orgánmi tohto ekosystému.

·Organizácia a riadenie agentúry, ktoré boli v hodnotení posúdené kladne, by sa preskúmali len v primeranej miere, a to najmä s cieľom zabezpečiť, aby sa v práci agentúry lepšie zohľadnili potreby širšieho spoločenstva zainteresovaných strán.

·V navrhovanom vymedzení rozsahu mandátu je mandát posilnený v tých oblastiach, kde agentúra preukázala jasnú pridanú hodnotu, a doplnený novými oblasťami, v ktorých je potrebná podpora vzhľadom na nové politické priority a nástroje, najmä pokiaľ ide o smernicu NIS, preskúmanie stratégie kybernetickej bezpečnosti EÚ, pripravovanú koncepciu kybernetickej bezpečnosti EÚ pre spoluprácu v prípade kybernetickej krízy a bezpečnostnú certifikáciu IKT.

·Príprava a vykonávanie politík EÚ: Úlohou agentúry ENISA by bolo aktívne prispievať k rozvoju politiky v oblasti sieťovej a informačnej bezpečnosti, ako aj k iným politickým iniciatívam s prvkami kybernetickej bezpečnosti v rozličných odvetviach (napr. v oblasti energetiky, dopravy, financií). na tento účel by mala silnú poradnú úlohu, ktorú by mohla plniť poskytovaním nezávislých posudkov a prípravných prác zameraných na rozvoj a aktualizáciu politiky a právnych predpisov. Agentúra ENISA by takisto podporovala politiku a právne predpisy EÚ v oblasti elektronickej komunikácie, elektronickej identifikácie a dôveryhodných služieb s cieľom posilňovať úroveň kybernetickej bezpečnosti. Vo fáze vykonávania, najmä v kontexte skupiny pre spoluprácu v oblasti kybernetickej bezpečnosti vytvorenej smernicou NIS by agentúra ENISA pomáhala členským štátom pri dosahovaní jednotného prístupu k vykonávaniu smernice NIS naprieč hranicami aj odvetviami, ako aj v rámci iných príslušných politík a právnych predpisov. S cieľom podporiť pravidelné preskúmanie politiky a právnych predpisov v oblasti kybernetickej bezpečnosti by agentúra ENISA takisto poskytovala pravidelné správy o stave vykonávania právneho rámca EÚ.

·Budovanie kapacít: Agentúra ENISA by prispievala k zlepšovaniu schopností a odborných znalostí vnútroštátnych verejných orgánov a verejných orgánov EÚ, a to aj v oblasti reakcie na incidenty a dohľadu nad regulačnými opatreniami súvisiacimi s kybernetickou bezpečnosťou. Úlohou agentúry by takisto bolo prispievať k vytváraniu stredísk pre výmenu a analýzu informácií (ISAC) v rôznych odvetviach poskytovaním osvedčených postupov a usmernení o dostupných nástrojoch a postupoch, ako aj vhodných riešení regulačných otázok spojených s výmenou informácií.

·Znalosti a informácie, zvyšovanie povedomia: Agentúra ENISA by sa stala informačným centrom EÚ. Znamenalo by to podporu a výmenu osvedčených postupov a iniciatív v rámci EÚ prostredníctvom zhromažďovania informácií o kybernetickej bezpečnosti od inštitúcií, agentúr a orgánov EÚ a členských štátov. Agentúra by takisto sprístupňovala poradenstvo, usmernenia a osvedčené postupy, pokiaľ ide o bezpečnosť kritických infraštruktúr. v nadväznosti na rozsiahle cezhraničné kybernetické incidenty by agentúra ENISA okrem toho zostavovala správy s cieľom poskytnúť usmernenia podnikom a občanom v celej EÚ. Do tejto činnosti by patrilo aj pravidelné organizovanie aktivít na zvyšovanie povedomia v spolupráci s orgánmi členských štátov.

·Trhové úlohy (normalizácia, kyberneticko-bezpečnostná certifikácia): Agentúra ENISA by plnila viaceré funkcie s osobitnou podporou vnútorného trhu a pokrývala by „monitor trhu“ kybernetickej bezpečnosti prostredníctvom analýzy relevantných trendov na trhu kybernetickej bezpečnosti s cieľom lepšie zosúladiť dopyt a ponuku, ako aj prostredníctvom podpory rozvoja politiky EÚ v oblastiach normalizácie IKT a certifikácie kybernetickej bezpečnosti IKT. Pokiaľ ide konkrétne o normalizáciu, uľahčovala by vytváranie a zavádzanie kyberneticko-bezpečnostných noriem. Agentúra ENISA by takisto plnila úlohy stanovené v kontexte budúceho rámca pre certifikáciu (pozri oddiel ďalej).

·Výskum a inovácia: Agentúra ENISA by prispievala svojimi odbornými znalosťami v podobe poradenstva pre orgány EÚ a členských štátov, pokiaľ ide o stanovenie priorít v oblasti výskumu a vývoja, a to aj v kontexte zmluvného verejno-súkromného partnerstva v oblasti kybernetickej bezpečnosti (cPPP). Výskumné poradenstvo agentúry ENISA by sa premietlo do nového Európskeho strediska výskumu a kompetencií pre kybernetickú bezpečnosť v nasledujúcom viacročnom finančnom rámci. Agentúra ENISA by bola na požiadanie Komisie zapojená aj do vykonávania programov EÚ na financovanie výskumu a inovácie.

·Operačná spolupráca a krízové riadenie: táto časť práce by mala byť založená na posilňovaní existujúcich preventívnych operačných spôsobilostí, najmä vylepšením celoeurópskych cvičení v oblasti kybernetickej bezpečnosti (CyberEurope), a to tým, že sa budú uskutočňovať každoročne, a mala by byť založená aj na podpornej úlohe v rámci operačnej spolupráce – ako sekretariát siete jednotiek CSIRT (podľa ustanovení smernice NIS) tým, že sa okrem iného zabezpečí dobré fungovanie IT infraštruktúry a komunikačných kanálov siete jednotiek CSIRT. v tejto súvislosti by sa vyžadovalo nadviazanie štruktúrovanej spolupráce s tímom CERT-EU, Európskym centrom boja proti počítačovej kriminalite (EC3) a inými relevantnými orgánmi EÚ. Štruktúrovaná spolupráca s tímom CERT-EU v tesnej fyzickej blízkosti by okrem toho mala viesť k funkcii poskytovať technickú pomoc v prípade závažných incidentov a podporovať analýzu incidentov. Členské štáty, ktoré by o to požiadali, by získali pomoc na zvládnutie incidentov, ako aj podporu pri analýze zraniteľných miest, artefaktov a incidentov, aby mohli posilniť svoju vlastnú schopnosť prevencie a reakcie.

·Agentúra ENISA by takisto zohrávala úlohu pri koncepcii kybernetickej bezpečnosti EÚ predloženej ako súčasť tohto balíka, ktorá predstavuje odporúčanie Komisie členským štátom, aby koordinovane reagovali na rozsiahle cezhraničné kybernetické incidenty a krízy na úrovni EÚ. Agentúra ENISA by napomáhala spoluprácu medzi jednotlivými členskými štátmi pri reakciách na núdzové situácie prostredníctvom analýzy a zoskupovania situačných správ členských štátov na základe informácií, ktoré agentúre dobrovoľne sprístupnili členské štáty a iné subjekty.

·Certifikácia kybernetickej bezpečnosti produktov a služieb IKT

V záujme vytvorenia a zachovania dôvery a bezpečnosti je potrebné, aby sa do produktov a služieb IKT priamo začlenili kyberneticko-bezpečnostné prvky už v počiatočných fázach ich technického navrhovania a vývoja (bezpečnosť už v štádiu návrhu – security by design). Okrem toho je potrebné, aby zákazníci a používatelia boli schopní zistiť, akú úroveň bezpečnostnej dôveryhodnosti majú produkty a služby, ktoré si obstarávajú alebo kupujú.

Certifikácia, ktorá pozostáva z formálneho hodnotenia produktov, služieb a procesov nezávislým a akreditovaným subjektom na základe pevne stanovených noriem a kritérií a z vydania certifikátu o súlade, zohráva dôležitú úlohu pri zvyšovaní dôvery v produkty a služby a ich bezpečnosti. Hoci bezpečnostné hodnotenia sú dosť technickou oblasťou, certifikácia slúži na informovanie a uistenie kupujúcich a používateľov o bezpečnostných vlastnostiach produktov a služieb IKT, ktoré nakupujú alebo používajú. Ako sa už uviedlo, platí to predovšetkým pre nové systémy, ktoré v rozsiahlej miere využívajú digitálne technológie a ktoré si vyžadujú vysokú úroveň bezpečnosti, ako napríklad prepojené a automatizované autá, elektronické zdravotníctvo, riadiace systémy priemyselnej automatizácie (IACS) alebo inteligentné siete.

V súčasnosti je situácia v oblasti certifikácie kybernetickej bezpečnosti produktov a služieb IKT v EÚ pomerne nevyrovnaná. Existuje niekoľko medzinárodných iniciatív, ako napríklad tzv. spoločné kritériá hodnotenia bezpečnosti informačných technológií [Common Criteria (CC) for Information Technology Security Evaluation, ISO 15408], ktoré sú medzinárodnou normou na hodnotenie počítačovej bezpečnosti. Vychádzajú z hodnotenia treťou stranou a siedmich stupňov zaručiteľnosti bezpečnosti (EAL). Spoločné kritériá a sprievodná spoločná metodika na hodnotenie bezpečnosti informačných technológií sú technickým základom pre medzinárodnú dohodu, vzájomné uznávanie spoločných kritérií (Common Criteria Recognition Arrangement, CCRA), ktorá zabezpečuje, že certifikáty podľa spoločných kritérií uznávajú všetci signatári dohody CCRA. v súčasnej verzii dohody CCRA sa však vzájomne uznávajú len hodnotenia do 2. stupňa zaručiteľnosti bezpečnosti (EAL 2). Dohodu okrem toho podpísalo len 13 členských štátov.