V skladu s smernicami Komisije za boljše pravno urejanje so bile pri oceni zlasti ocenjene učinkovitost, uspešnost, skladnost, pomembnost in evropska dodana vrednost agencije, pri čemer so se upoštevali njeno delovanje, upravljanje, notranja organizacijska struktura in delovne prakse.

Komisija v skladu s členom 32 uredbe o agenciji ENISA poročilo o ocenjevanju in svoje sklepe posreduje Evropskemu parlamentu, Svetu in upravnemu odboru. Povzetku poročila je priložen delovni dokument služb Komisije o oceni Agencije Evropske unije za varnost omrežij in informacij (SWD(2017) 502).

Rezultati ocene agencije ENISA so bili upoštevani pri oceni učinka, ki je spremni dokument k predlogu uredbe o Agenciji Evropske unije za varnost omrežij in informacij (ENISA, „agencija EU za kibernetsko varnost“) in razveljavitvi Uredbe (EU) št. 526/2013 ter certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti (v nadaljnjem besedilu: akt o kibernetski varnosti).

Ta vizija je bila dodatno potrjena v sklepih Sveta iz leta 2016, v katerih je bilo ugotovljeno, da se „pojavljajo nove in še nevarnejše kibernetske grožnje ter šibke točke, zato bo treba nenehno in še tesneje sodelovati, zlasti pri obvladovanju velikih čezmejnih kibernetskih incidentov“. V sklepih je bilo še potrjeno, da je „Uredba o Agenciji Evropske unije za varnost omrežij in informacij (ENISA) [... eden izmed] osrednji[h] element[ov] okvira EU za odpornost kibernetske varnosti“.

Zaradi pomembnih sprememb, do katerih je prišlo na področju kibernetske varnosti od leta 2013, ko je bila sprejeta sedanja uredba o agenciji ENISA, ter ob upoštevanju dosežene stopnje zrelosti na ravni politike, trga in tehnologije je Komisija v sporočilu iz leta 2016 z naslovom Krepitev odpornosti evropskega sistema kibernetske varnosti ter spodbujanje konkurenčne in inovativne industrije kibernetske varnosti napovedala, da bo pospešila izvedbo ocene in ponovni pregled agencije ENISA. Komisija je zlasti opozorila, da bi bil ponovni pregled agencije ENISA priložnost za morebitno krepitev zmogljivosti in zmožnosti agencije, da državam članicam trajnostno pomaga pri doseganju odpornosti pri kibernetski varnosti.

Poleg tega sta se sozakonodajalca EU odločila, da agenciji ENISA z Direktivo (EU) št. 2016/1148 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (v nadaljnjem besedilu: direktiva o varnosti omrežij in informacij) dodelita pomembno vlogo pri izvajanju zakonodaje. Agencija zlasti zagotavlja sekretariat omrežju skupin za odzivanje na incidente na področju računalniške varnosti (CSIRT) (ki je bilo vzpostavljeno za spodbuditev hitrega in učinkovitega operativnega sodelovanja med državami članicami), hkrati pa mora pri izvajanju nalog pomagati skupini za strateško sodelovanje. V skladu z direktivo o varnosti omrežij in informacij mora agencija ENISA tudi pomagati državam članicam in Komisiji s strokovnim znanjem in nasveti ter zagotavljanjem lažje izmenjave dobrih praks.

·pomaga Uniji in državam članicam razvijati in krepiti njihovo sposobnost in pripravljenost, da preprečijo, odkrijejo in se odzovejo na težave in incidente na področju varnosti omrežij in informacij;

·pomaga institucijam, organom, uradom in agencijam Unije ter državam članicam pri izvajanju politik, potrebnih za izpolnjevanje pravnih in regulativnih zahtev v zvezi z varnostjo omrežij in informacij v veljavnih in prihodnjih pravnih aktih Unije, ter tako prispeva k pravilnemu delovanju notranjega trga;

V analizi so bile upoštevane tudi spremenjene razmere, v katerih agencija zdaj deluje, zlasti v zvezi z novim regulativnim in političnim okvirom EU (npr. direktiva o varnosti omrežij in informacij, ponovni pregled strategije EU o kibernetski varnosti), vse večje potrebe skupnosti zainteresiranih strani agencije ter dopolnjevanje in morebitne sinergije z delom, ki ga opravljajo druge institucije, agencije in organi EU ter nacionalne institucije, agencije in organi, kot so skupine institucij, agencij in organov EU za odzivanje na incidente na področju računalniške varnosti (CSIRT) in Evropski center za boj proti kibernetski kriminaliteti (EC3) pri Europolu.

Za oceno delovanja agencije:

·je Komisija naročila neodvisno študijo, ki se je izvajala od novembra 2016 do julija 2017 ter je poleg notranje analize, ki jo je izvedla Komisija, glavni vir ocene;

·študija je vključevala pregled dokumentacije, zbiranje in analizo podatkov, vključno z anketami za zainteresirane strani, poglobljene razgovore s ključnimi akterji na področju kibernetske varnosti, delavnico z zainteresiranimi stranmi, primerjalno analizo, določanje položaja agencije ter analizo prednosti, pomanjkljivosti, priložnosti in nevarnosti (analiza SWOT);

·Komisija je izvedla tudi 12-tedensko spletno javno posvetovanje, v katero so bili zajeti naknadna ocena in razmisleki o prihodnosti agencije ENISA ter usmerjena posvetovanja s ključnimi zainteresiranimi stranmi.

Glavne ugotovitve ocene na podlagi meril za ocenjevanje je mogoče povzeti, kot je navedeno v nadaljevanju.

1.Pomembnost: v okviru tehnološkega razvoja in vse večjih groženj ter pomembne potrebe po večji varnosti omrežij in informacij v EU so se cilji agencije ENISA pokazali kot ustrezni. Države članice in organi EU se namreč opirajo na strokovno znanje o razvoju varnosti omrežij in informacij, v državah članicah je treba vzpostaviti zmogljivosti za razumevanje groženj in odzivanje nanje, zainteresirane strani pa morajo sodelovati na različnih tematskih področjih in med različnimi institucijami. Varnost omrežij in informacij je še vedno ključna prednostna naloga politik EU, v zvezi s katero se pričakuje odziv agencije ENISA, vendar je ustanovljena kot agencija EU s časovno omejenim mandatom, kar: (i) ji onemogoča dolgoročno načrtovanje in trajnostno podporo državam članicam in institucijam EU ob hitro spreminjajočem se okolju groženj kibernetski varnosti; (ii) bi lahko povzročilo pravno praznino, saj so določbe direktive o varnosti omrežij in informacijskih sistemov, s katerimi se agenciji ENISA podeljujejo naloge, trajne narave.

2.Učinkovitost: agencija ENISA je na splošno izpolnila svoje cilje in izvedla svoje naloge. S svojimi glavnimi dejavnostmi (krepitev zmogljivosti, zagotavljanje strokovnega znanja in izkušenj, oblikovanje skupnosti, podpora politiki) je prispevala k večji varnosti omrežij in informacij v Evropi. V zvezi z vsako od teh dejavnosti je pokazala možnosti za izboljšave. Pri oceni je bilo ugotovljeno, da je agencija ENISA uspešno vzpostavila trdne odnose, ki temeljijo na zaupanju, z nekaterimi svojimi zainteresiranimi stranmi, zlasti z državami članicami in skupnostjo skupin za odzivanje na incidente na področju računalniške varnosti. Posredovanja na področju gradnje zmogljivosti so veljala za uspešna zlasti za države članice z manj viri. Spodbujanje širokega sodelovanja je bilo eno od poudarjenih področij, saj je med zainteresiranimi stranmi obstajalo široko soglasje o tem, da ima agencija ENISA pozitivno vlogo pri združevanju ljudi. Vendar je imela agencija ENISA težave pri doseganju večjega učinka na obsežnem področju varnosti omrežij in informacij. Med drugim je bilo to posledica dejstva, da je imela za izpolnitev svojega zelo širokega mandata na voljo dokaj omejene človeške in finančne vire. Pri oceni je bilo tudi ugotovljeno, da je agencija ENISA delno izpolnila cilj zagotavljanja strokovnega znanja in izkušenj, kar je povezano s težavami pri zaposlovanju strokovnjakov (glej tudi v nadaljevanju oddelek o uspešnosti).

3.Uspešnost: agencija je kljub majhnemu proračunu, ki je bil v primerjavi z drugimi agencijami EU med najmanjšimi, lahko prispevala k usmerjenim ciljem in bila pri porabi svojih virov na splošno učinkovita. Na podlagi ocene je bilo ugotovljeno, da so bili procesi na splošno učinkoviti, z jasno razdelitvijo odgovornosti znotraj organizacije pa je bilo mogoče dobro opraviti delo. Eden glavnih izzivov pri uspešnosti agencije ENISA je povezan z njenimi težavami pri zaposlovanju in ohranjanju visoko usposobljenih strokovnjakov. Ugotovitve kažejo, da je to mogoče razložiti s kombinacijo dejavnikov, vključno s splošnimi težavami, ki jih ima javni sektor, kadar pri zaposlovanju visoko specializiranih strokovnjakov tekmuje z zasebnim sektorjem, vrsto pogodb (za določen čas), ki jih je agencija večinoma lahko ponudila, ter ne najbolj privlačno lokacijo agencije, zaradi katere so imeli na primer zakonci težave pri iskanju dela. Ker ima agencija dve lokaciji, tj. v Atenah in Heraklionu, so bila potrebna dodatna usklajevanja in so nastali dodatni stroški, vendar se je s selitvijo oddelka glavnih dejavnosti v Atene v letu 2013 operativna uspešnost agencije povečala.

4.Skladnost: dejavnosti agencije ENISA so bile na splošno skladne s politikami in dejavnostmi njenih zainteresiranih strani na nacionalni ravni in ravni EU, vendar je potreben bolj usklajen pristop h kibernetski varnosti na ravni EU. Možnosti za sodelovanje med agencijo ENISA in drugimi organi EU niso bile polno izkoriščene. Zaradi razvoja pravnega in političnega okvira EU je trenutni mandat zdaj manj skladen.

5.Dodana vrednost EU: dodana vrednost agencije ENISA je bila predvsem v njeni sposobnosti, da krepi sodelovanje, zlasti med državami članicami, pa tudi s sorodnimi skupnostmi za varnost omrežij in informacij. Na ravni EU ni drugega akterja, ki bi podpiral sodelovanje tako raznolikih zainteresiranih strani na področju varnosti omrežij in informacij. Dodana vrednost, ki jo je zagotovila agencija, se je razlikovala glede na različne potrebe in vire njenih zainteresiranih strani (npr. velike države članice v primerjavi z malimi; države članice v primerjavi z industrijo) ter glede na potrebo agencije, da dejavnosti prednostno razvrsti v skladu z delovnim programom. V oceni je bilo ugotovljeno, da bi morebitna ukinitev agencije ENISA pomenila izgubljeno priložnost za vse države članice. Brez decentralizirane agencije EU ne bo mogoče zagotoviti enake stopnje oblikovanja skupnosti in sodelovanja med državami članicami na področju kibernetske varnosti. Če bi praznino, ki bi ostala za agencijo ENISA, zapolnili z dvostranskim ali regionalnim sodelovanjem, bi bil položaj bolj razdrobljen.

3.Sklepne ugotovitve in priporočila

Z oceno je bilo ugotovljeno, da je bil agenciji ENISA z njeno uredbo podeljen širok mandat (ki omogoča prožnost, vendar v nekaterih primerih ni dovolj osredotočen, zato agencija težko doseže velik učinek), njeni cilji pa so se v obdobju 2013–2016 izkazali kot ustrezni. Agenciji je uspelo doseči dobro raven uspešnosti in je pokazala dodano vrednost delovanja na ravni EU, zlasti s ključnimi dejavnostmi, kot so vseevropske vaje za kibernetsko varnost, podpora skupnosti skupin za odzivanje na incidente na področju računalniške varnosti in analize okolja groženj. Predvsem s podporo sodelovanju med državami članicami in zainteresiranimi stranmi na področju varnosti omrežij in informacij ter prek svoje skupnosti in dejavnosti krepitve zmogljivosti je prispevala k večji varnosti omrežij in informacij v Evropi.

Te rezultate je agencija dosegla kljub številnim izzivom, predstavljenim v prejšnjih oddelkih tega poročila in priloženem delovnem dokumentu služb Komisije. Eden glavnih izzivov je bil povezan z omejenimi viri, ki niso ustrezali širokemu mandatu agencije, zlasti glede na nove naloge, ki so ji bile podeljene z direktivo o varnosti omrežij in informacij, ter hitro razvijajoče se okolje groženj. Agencija ENISA hkrati ostaja edina agencija EU s časovno omejenim mandatom, in to kljub nalogam, ki so med drugim povezane z direktivo o varnosti omrežij in informacij, kot je navedeno zgoraj.

Grožnje kibernetski varnosti se hitro spreminjajo in pojavljajo se nove grožnje, saj je Evropa vse bolj odvisna od digitalne infrastrukture in storitev, ne le prek povezanih naprav, temveč tudi prek zdaj vseprisotne povezljivosti. Internet stvari ustvarja nove priložnosti v zvezi z energijsko učinkovitostjo, varstvom okolja, povezano mobilnostjo, spremljanjem zdravja v realnem času ter pametnimi in nemotenimi finančnimi transakcijami v digitalnem gospodarstvu in družbi. Vendar se s temi poslovnimi dejavniki pojavljajo tudi nove vrste ranljivih točk in ukan, ki napadenim napravam omogočajo motenje enotnega trga digitalnih vsebin.

Iz ocene je mogoče sklepati, da trenutni mandat agenciji ENISA ne zagotavlja potrebnih orodij za spopadanje s sedanjimi in prihodnjimi izzivi na področju kibernetske varnosti.

Ker zdaj na področju kibernetske varnosti na ravni EU delujejo številni akterji, ki med seboj niso dovolj usklajeni, se hkrati povečuje tveganje za večjo razdrobljenost na ravni EU. EU potrebuje osrednjo točko, ki bo obravnavala nove horizontalne grožnje, ki vplivajo na številne industrijske sektorje, hkrati pa bo usklajevala potrebe skupnosti za kibernetsko varnost, zlasti držav članic, institucij EU in podjetij. V oceni je navedeno, da obstaja potreba po medsektorsko/horizontalno organizirani agenciji EU s trdnim mandatom.

Iz nje je razvidno, da ima agencija ENISA kljub številnim izzivom še vedno pomemben potencial, da ob ustreznem mandatu in podpori v finančnih in človeških virih prispeva k večji kibernetski varnosti v EU.

Obstaja tudi jasna potreba po sodelovanju in usklajevanju med različnimi zainteresiranimi stranmi. Potreba po usklajevalnem organu na ravni EU, ki bi olajšal pretok informacij, zmanjšal vrzeli ter preprečil prekrivanje vlog in odgovornosti, postaja vse očitnejša. Agencija ENISA lahko kot decentralizirana agencija EU in nevtralen posrednik usklajuje pristop EU h kibernetskim grožnjam.

Na tej podlagi je Komisija predstavila predlog reforme agencije ENISA, s katero bi slednji podelila trajen mandat, ki temelji na ključnih adutih, ki jih je agencija pokazala, in novih prednostnih področjih ukrepanja, na primer na področju certificiranja kibernetske varnosti. Novi mandat bi moral upoštevati spremenjene razmere, agenciji pa bi moral omogočati, da zagotavlja ustrezno podporo EU za prihodnost.