EVROPSKA KOMISIJA Bruselj, 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o Agenciji EU za kibernetsko varnost ENISA in razveljavitvi Uredbe (EU) št. 526/2013 ter certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti (uredba o kibernetski varnosti) (Besedilo velja za EGP) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



OBRAZLOŽITVENI MEMORANDUM 1.OZADJE PREDLOGA •Razlogi za predlog in njegovi cilji Evropska unija je sprejela številne ukrepe, da bi bila na področju kibernetske varnosti odpornejša in bolje pripravljena. V svoji prvi strategiji za kibernetsko varnost, sprejeti leta 2013, je EU določila strateške cilje in konkretne ukrepe, da bi dosegla odpornost, zmanjšala kibernetsko kriminaliteto, oblikovala politiko in razvila zmogljivosti kibernetske obrambe, razvila industrijske in tehnološke vire ter oblikovala skladno mednarodno politiko kibernetskega prostora za EU. Od tedaj so se na tem področju zvrstili pomembni dogodki, zlasti začetek drugega mandata Agencije Evropske unije za varnost omrežij in informacij (v nadaljnjem besedilu: agencija ENISA) in sprejetje direktive o varnosti omrežij in informacij, na kateri temelji ta predlog. Poleg tega je Evropska komisija leta 2016 sprejela sporočilo o krepitvi odpornosti evropskega sistema kibernetske varnosti ter spodbujanju konkurenčne in inovativne industrije kibernetske varnosti, v katerem je napovedala nadaljnje ukrepe za okrepitev sodelovanja ter izmenjavo znanja in informacij kot tudi za povečanje odpornosti in pripravljenosti EU, pri čemer je bila upoštevana tudi možnost velikih incidentov in morebitne vseevropske kibernetske krize. V tem okviru je Komisija napovedala zgodnejšo oceno in revizijo Uredbe (EU) št. 526/2013 Evropskega parlamenta in Sveta o agenciji Evropske unije za varnost omrežij in informacij (ENISA) in razveljavitvi Uredbe (ES) št. 460/2004 (v nadaljnjem besedilu: uredba o agenciji ENISA). Postopek ocenjevanja bi lahko vodil k morebitni reformi Agencije ter izboljšanju njenih zmožnosti in zmogljivosti za trajnostno podporo držav članic. Agenciji bi torej dal bolj operativno in osrednjo vlogo pri doseganju kibernetske odpornosti ter bi v njenem novem mandatu priznal nove pristojnosti Agencije v skladu z direktivo o varnosti omrežij in informacij. Direktiva o varnosti omrežij in informacij je z uvedbo varnostnih zahtev kot pravnih obveznosti za ključne gospodarske akterje, zlasti izvajalce, ki zagotavljajo bistvene storitve (izvajalci bistvenih storitev – OBS), in dobavitelje nekaterih ključnih digitalnih storitev (ponudniki digitalnih storitev – PDS), prvi bistveni korak za spodbujanje kulture obvladovanja tveganj. Glede na varnostne zahteve, ki so dojemane kot bistvene za zaščito koristi razvijajoče se digitalizacije družbe, in glede na hitro širjenje povezanih naprav (internet stvari) je Komisija v sporočilu iz leta 2016 predložila tudi zamisel o vzpostavitvi okvira za varnostno certificiranje izdelkov in storitev IKT, da bi se povečala zaupanje in varnost na enotnem digitalnem trgu. Certificiranje kibernetske varnosti IKT je še posebej pomembno zaradi večje uporabe tehnologij, ki zahtevajo visoko raven kibernetske varnosti, kot so povezani in avtomatizirani avtomobili, elektronsko zdravje ali nadzorni sistemi industrijske avtomatizacije (IACS). Te ukrepe in napovedi politike so še dodatno podkrepili sklepi Sveta iz leta 2016, v katerih je bilo priznano, da se „pojavljajo [...] nove in še nevarnejše kibernetske grožnje ter šibke točke, zato bo treba nenehno in še tesneje sodelovati, zlasti pri obvladovanju velikih čezmejnih kibernetskih incidentov“. Svet je v sklepih potrdil, da je „Uredba o Agenciji Evropske unije za varnost omrežij in informacij (ENISA) [... eden izmed] osrednji[h] element[ov] okvira EU za odpornost kibernetske varnosti“ in pozval Komisijo, naj sprejme nadaljnje ukrepe za obravnavanje vprašanja certificiranja na evropski ravni. Vzpostavitev sistema certificiranja bi zahtevala vzpostavitev ustreznega sistema upravljanja na ravni EU, vključno s temeljitim strokovnim znanjem, ki bi ga zagotavljala neodvisna agencija EU. V zvezi s tem ta predlog opredeljuje agencijo ENISA kot naraven organ na ravni EU, pristojen za kibernetsko varnost, ki bi moral prevzeti takšno vlogo za združevanje in usklajevanje dela nacionalnih pristojnih organov na področju certificiranja. V svojem sporočilu o vmesnem pregledu strategije za enotni digitalni trg maja 2017 je Komisija nadalje pojasnila, da bo do septembra 2017 revidirala mandat agencije ENISA. To bo storila, da bi opredelila njeno vlogo v spreminjajočem se ekosistemu kibernetske varnosti in oblikovala ukrepe glede standardov, certificiranja in označevanja kibernetske varnosti, s čimer bo poskrbela, da bodo sistemi, ki temeljijo na IKT, vključno s povezanimi predmeti, kibernetsko varnejši. Evropski svet je v sklepih iz junija 2017 pozdravil namen Komisije, da septembra revidira strategijo za kibernetsko varnost in do konca leta 2017 predlaga nadaljnje ciljno usmerjene ukrepe. Predlagana uredba določa celovit sklop ukrepov, ki temeljijo na prejšnjih ukrepih, in spodbuja posebne cilje, ki se vzajemno krepijo: ·povečanje zmogljivosti in pripravljenosti držav članic in podjetij; ·boljše sodelovanje in usklajevanje med državami članicami ter institucijami, agencijami in organi EU; ·povečanje zmogljivosti na ravni EU, da se dopolni ukrepanje držav članic, zlasti v primeru čezmejnih kibernetskih kriz; ·povečanje ozaveščenosti državljanov in podjetij o vprašanjih kibernetske varnosti; ·povečanje splošne preglednosti zagotovil izdelkov in storitev IKT glede kibernetske varnosti za krepitev zaupanja v enotni digitalni trg in digitalne inovacije ter ·preprečevanje razdrobljenosti certifikacijskih shem v EU ter povezanih varnostnih zahtev in meril za ocenjevanje v različnih državah članicah in sektorjih. Naslednji del obrazložitvenega memoranduma podrobneje pojasnjuje razloge za pobudo v zvezi s predlaganimi ukrepi za agencijo ENISA in certificiranje kibernetske varnosti.





Agencija ENISA Agencija ENISA deluje kot strokovno središče, namenjeno povečanju varnosti omrežij in informacij v Uniji ter podpiranju krepitve zmogljivosti držav članic. Agencija ENISA je bila ustanovljena leta 2004, da bi prispevala k splošnemu cilju zagotavljanja visoke ravni varnosti omrežij in informacij v EU. Leta 2013 je bil z Uredbo (EU) št. 526/2013 vzpostavljen nov mandat Agencije za obdobje sedmih let, do leta 2020. Agencija ima prostore v Grčiji, in sicer upravni sedež v Heraklionu na Kreti in jedrne dejavnosti v Atenah. Agencija ENISA je v primerjavi z drugimi agencijami EU majhna agencija z nizkim proračunom in majhnim številom zaposlenih. Ima mandat za določen čas. Agencija ENISA podpira Evropske institucije, države članice in poslovno skupnost pri obravnavanju težav v zvezi z varnostjo omrežij in informacij, odzivanju nanje ter zlasti njihovemu preprečevanju. To počne z vrsto dejavnosti na petih področjih, opredeljenih v njeni strategiji: ·strokovno znanje: zagotavljanje informacij in strokovnega znanja o ključnih vprašanjih varnosti omrežij in informacij; ·politika: podpora oblikovanju in izvajanju politik v Uniji; ·zmogljivost: podpora krepitvi zmogljivosti po vsej Uniji (npr. prek usposabljanj, priporočil, dejavnosti ozaveščanja); ·skupnost: spodbujanje skupnosti za varnost omrežij in informacij (npr. podpora skupinam za odzivanje na računalniške grožnje (CERT), usklajevanje vseevropskih kibernetskih vaj); ·omogočanje (npr. sodelovanja z zainteresiranimi stranmi in mednarodnih odnosov). Med pogajanji o direktivi o varnosti omrežij in informacij sta se sozakonodajalca EU odločila, da agenciji ENISA dodelita pomembne vloge pri izvajanju navedene direktive. Agencija zlasti zagotavlja sekretariat za mrežo skupin CSIRT (vzpostavljeno za spodbujanje hitrega in učinkovitega operativnega sodelovanja med državami članicami v zvezi s posebnimi incidenti na področju kibernetske varnosti in za izmenjavo informacij o tveganjih), poklicana pa je tudi k pomoči skupini za sodelovanje pri izvrševanju njenih nalog. Poleg tega direktiva od agencije ENISA zahteva, da državam članicam in Komisiji pomaga s strokovnim znanjem in nasveti ter olajševanjem izmenjave najboljših praks. V skladu z uredbo o agenciji ENISA je Komisija izvedla oceno Agencije, ki vključuje neodvisno študijo in javno posvetovanje. Ocena je ocenjevala ustreznost, učinek, uspešnost, učinkovitost, skladnost in dodano vrednost EU Agencije v zvezi z njenim delovanjem, upravljanjem, notranjo organizacijsko strukturo in delovnimi praksami v obdobju 2013–2016. Večina anketirancev (74 %) je v javnem posvetovanju pozitivno ocenila splošno delovanje agencije ENISA. Poleg tega je večina anketirancev menila, da agencija ENISA dosega svoje različne cilje (najmanj 63 % za vsak cilj). Storitve in izdelke agencije ENISA redno (vsak mesec ali pogosteje) uporablja skoraj polovica anketirancev (46 %) in so cenjeni, ker izvirajo iz organa na ravni EU (83 %) in ker so kakovostni (62 %). Vendar je velika večina (88 %) anketirancev menila, da so zdajšnji instrumenti in mehanizmi, ki so na voljo na ravni EU, neustrezni ali le delno ustrezni za odzivanje na trenutne izzive v zvezi s kibernetsko varnostjo. Velika večina anketirancev (98 %) je navedla, da bi moral te potrebe obravnavati organ EU, in 99 % anketirancev je menilo, da je agencija ENISA ustrezna organizacija za ta namen. Poleg tega je 67,5 % anketirancev izrazilo stališče, da bi agencija ENISA lahko imela vlogo pri vzpostavitvi harmoniziranega okvira za varnostno certificiranje izdelkov in storitev IT. S splošno oceno (ki ne temelji le na javnem posvetovanju, ampak tudi na številnih individualnih razgovorih, dodatnih ciljnih raziskavah in delavnicah) so bili doseženi naslednji sklepi: ·Cilji Agencije ENISA so še vedno ustrezni. Zaradi hitrega tehnološkega razvoja in spreminjajočih se groženj ter naraščajočih tveganj v zvezi s kibernetsko varnostjo v EU glede vprašanj kibernetske varnosti obstaja jasna potreba po spodbujanju in nadaljnji krepitvi tehničnega strokovnega znanja na visoki ravni. V državah članicah je treba okrepiti zmogljivosti za razumevanje in odzivanje na grožnje, zainteresirane strani pa morajo sodelovati na različnih tematskih področjih in medinstitucionalno. ·Kljub skromnemu proračunu je bila Agencija operativno učinkovita pri uporabi virov in izvajanju nalog. Vendar je delitev na lokaciji v Atenah in Heraklionu povzročila tudi dodatne upravne stroške. ·Kar zadeva uspešnost, je agencija ENISA delno dosegla svoje cilje. Agencija je uspešno prispevala k izboljšanju varnosti omrežij in informacij v Evropi z zagotavljanjem krepitve zmogljivosti v 28 državah članicah, izboljšanjem sodelovanja med državami članicami ter zainteresiranimi stranmi s področja varnosti omrežij in informacij kot tudi zagotavljanjem strokovnega znanja, oblikovanja skupnosti in podpore pri oblikovanju politik. Na splošno se je agencija ENISA skrbno osredotočala na izvajanje svojega delovnega programa in delovala kot zaupanja vreden partner za svoje zainteresirane strani na področju, ki mu je bil tako velik čezmejni pomen priznan šele pred kratkim.

·Agenciji ENISA je uspelo vsaj deloma pustiti pečat na obsežnem področju varnosti omrežij in informacij, vendar ji ni v celoti uspelo razviti močne blagovne znamke ter pridobiti zadostne prepoznavnosti, da bi postala priznana kot glavno strokovno središče v Evropi. Razlog za to je v širokem mandatu agencije ENISA, ki pa ni imela sorazmerno zadostnih virov. Poleg tega agencija ENISA ostaja edina agencija EU z mandatom za določen čas, kar omejuje njeno zmožnost razvoja dolgoročne vizije in trajnostne podpore zainteresiranih strani. To je v nasprotju z določbami direktive o varnosti omrežij in informacij, ki agenciji ENISA podeljuje naloge brez končnega roka. Poleg tega je bilo z oceno ugotovljeno, da se ta omejena uspešnost lahko delno pojasni z visoko odvisnostjo od zunanjega strokovnega znanja v primerjavi z notranjim in s težavami pri zaposlovanju in ohranitvi specializiranega osebja. ·Nenazadnje je bilo v oceni sklenjeno, da je dodana vrednost agencije ENISA zlasti v njeni zmožnosti, da izboljša sodelovanje predvsem med državami članicami in zlasti s povezanimi skupnostmi za varnost omrežij in informacij (zlasti med skupinami CSIRT). Na ravni EU ni nobenega drugega akterja, ki bi podpiral tako različne zainteresirane strani s področja varnosti omrežij in informacij. Vendar zaradi potrebe po strogem določanju prednostnih dejavnosti delovni program agencije ENISA večinoma usmerjajo potrebe držav članic. Zato ne obravnava v zadostni meri potreb drugih zainteresiranih strani, zlasti industrije. Poleg tega pa je iz istega razloga Agencija začela izpolnjevati potrebe svojih ključnih zainteresiranih strani, kar ji preprečuje, da bi dosegla večji učinek. Zato je dodana vrednost Agencije nihala glede na različne potrebe njenih zainteresiranih strani in obseg, v katerem se je nanje lahko odzvala (npr. velike in majhne države članice, države članice in industrija). Če povzamemo, z rezultati posvetovanj z zainteresiranimi stranmi in oceno se je pokazalo, da je treba prilagoditi mandat in vire agencije ENISA, da bo lahko imela ustrezno vlogo pri odzivanju na sedanje in prihodnje izzive. Glede na te ugotovitve se s tem predlogom revidira zdajšnji mandat agencije ENISA in določa prenovljen sklop nalog in funkcij, da bi uspešno in učinkovito podprla države članice, institucije EU in druge zainteresirane strani pri njihovih prizadevanjih za zagotovitev varnega kibernetskega prostora v Evropski uniji. Z novim predlaganim mandatom naj bi se Agenciji podelila močnejša in osrednejša vloga, zlasti s podporo državam članicam pri izvajanju direktive o varnosti omrežij in informacij ter dejavnejšim preprečevanjem posameznih groženj (operativna zmogljivost) in s tem, da postane strokovno središče v podporo državam članicam in Komisiji na področju certificiranja kibernetske varnosti. V okviru tega predloga: ·Agenciji ENISA bi bil podeljen stalni mandat, s čimer bi imela trdno podlago za prihodnost. Mandat, cilji in naloge bi se morali še vedno redno revidirati. ·Predlagani mandat dodatno pojasnjuje vlogo agencije ENISA kot agencije EU za kibernetsko varnost in kot referenčne točke v ekosistemu EU za kibernetsko varnost, ki deluje v tesnem sodelovanju z vsemi drugimi ustreznimi organi takega ekosistema. ·Organizacija in upravljanje Agencije, ki sta bila v oceni pozitivno ocenjena, bi bila zmerno revidirana, zlasti da se zagotovi, da so potrebe širše skupnosti zainteresiranih strani bolje upoštevane v delu Agencije. ·Predlagani obseg mandata je natančno določen, pri čemer so okrepljena področja, na katerih se je pokazalo, da ima Agencija jasno dodano vrednost, in dodana so nova področja, na katerih je potrebna podpora glede na nove prednostne naloge politik in instrumente, zlasti direktivo o varnosti omrežij in informacij, revizijo strategije EU za kibernetsko varnost, prihodnji načrt EU za kibernetsko varnost na področju sodelovanja ob kibernetskih krizah in varnostno certificiranje IKT: ·Oblikovanje in izvajanje politik EU: Agenciji ENISA bi bila naložena naloga proaktivno prispevati k oblikovanju politik na področju varnosti omrežij in informacij ter drugih pobud politike z elementi kibernetske varnosti v različnih sektorjih (npr. energetiki, prometu in financah). V ta namen bi imela pomembno svetovalno vlogo, ki bi jo lahko izpolnila z zagotavljanjem neodvisnih mnenj in pripravljalnega dela za oblikovanje in posodobitev politike in prava. Agencija ENISA bi prav tako podpirala politiko in pravo EU na področjih elektronskih komunikacij, elektronske identifikacije in storitev zaupanja, da bi spodbujala višjo raven kibernetske varnosti. V fazi izvajanja, zlasti v okviru skupine za sodelovanje glede varnosti omrežij in informacij, bi agencija ENISA državam članicam pomagala pri doseganju doslednega pristopa k izvajanju direktive o varnosti omrežij in informacij v različnih državah in sektorjih ter drugih zadevnih politik in zakonodaje. V podporo rednemu pregledu politik in zakonodaje na področju kibernetske varnosti bi agencija ENISA zagotovila tudi redno poročanje o stanju izvajanja pravnega okvira EU. ·Krepitev zmogljivosti: Agencija ENISA bi prispevala k izboljšanju zmogljivosti in strokovnega znanja evropskih in nacionalnih javnih organov, tudi glede odzivanja na incidente in nadzora nad regulativnimi ukrepi, povezanimi s kibernetsko varnostjo. Od Agencije bi se prav tako zahtevalo, da z zagotavljanjem najboljših praks in smernic o razpoložljivih orodjih in postopkih ter ustreznim obravnavanjem regulativnih vprašanj, povezanih z izmenjavo informacij, prispeva k vzpostavitvi centrov za izmenjavo in analizo informacij (ISAC) v različnih sektorjih. ·Znanje in obveščanje, ozaveščanje: Agencija ENISA bi postala informacijsko vozlišče EU. To bi pomenilo promocijo in izmenjavo najboljših praks in pobud po vsej EU z združevanjem informacij o kibernetski varnosti, ki izvirajo iz institucij, agencij in organov na ravni EU in nacionalni ravni. Agencija bi prav tako nudila svetovanje, smernice in najboljše prakse o varnosti kritičnih infrastruktur. Po večjih čezmejnih kibernetskih incidentih bi agencija ENISA poleg tega pripravljala poročila, da bi zagotovila smernice za podjetja in državljane po vsej EU. Ta del nalog bi prav tako vključeval redno organizacijo dejavnosti ozaveščanja, usklajenih z organi držav članic. ·S trgom povezane naloge (standardizacija, certificiranje kibernetske varnosti): Agencija ENISA bi opravljala številne funkcije, ki posebej podpirajo notranji trg in zajemajo „tržni observatorij“ kibernetske varnosti, saj bi analizirala ustrezne trende na trgu kibernetske varnosti, s čimer bi se bolje usklajevala ponudba in povpraševanje, ter podpirala oblikovanje politike EU na področju standardizacije in certificiranja kibernetske varnosti izdelkov in storitev IKT. Zlasti v zvezi s standardizacijo bi olajšala vzpostavitev in uporabo standardov kibernetske varnosti. Agencija ENISA bi prav tako izvajala naloge, predvidene v okviru prihodnjega okvira za certificiranje (glej spodnji razdelek). ·Raziskave in inovacije: Agencija ENISA bi prispevala svoje strokovno znanje s svetovanjem organom EU in nacionalnim organom o določanju prednostnih nalog pri raziskavah in razvoju, vključno v okviru pogodbenega javno-zasebnega partnerstva za kibernetsko varnost. Nasvete agencije ENISA glede raziskav bi uporabil novi evropski raziskovalni in strokovni center za kibernetsko varnost v naslednjem večletnem finančnem okviru. Agencija ENISA bi bila na zahtevo Komisije vključena tudi v izvajanje programov EU za financiranje raziskav in inovacij. ·Operativno sodelovanje in krizno upravljanje: Ta del nalog bi moral temeljiti na krepitvi obstoječih operativnih zmogljivosti preprečevanja, zlasti z nadgradnjo vseevropskih vaj na področju kibernetske varnosti (Cyber Europe), tako da se organizirajo letno, in s podporno vlogo pri operativnem sodelovanju kot sekretariat mreže skupin CSIRT (v skladu z določbami direktive o varnosti omrežij in informacij), pri čemer se med drugim zagotovi dobro delovanje informacijske infrastrukture in komunikacijskih kanalov navedene mreže. V tem okviru bi bilo potrebno strukturirano sodelovanje s skupino CERT-EU, Evropskim centrom za boj proti kibernetski kriminaliteti (EC3) in drugimi zadevnimi organi EU. Poleg tega bi moralo strukturirano sodelovanje s skupino CERT-EU v neposredni fizični bližini omogočiti zagotavljanje tehnične pomoči v primeru večjih incidentov in podpore pri analizi incidentov. Države članice, ki bi za to zaprosile, bi prejele pomoč za obvladovanje incidentov in podporo za analizo šibkih točk, artefaktov in incidentov, da si okrepijo lastne zmogljivosti preprečevanja in odzivanja. ·ENISA bi prav tako imela vlogo v načrtu EU za kibernetsko varnost, ki je predstavljen v tem svežnju in izraža priporočilo Komisije državam članicam za usklajen odziv na velike čezmejne kibernetske incidente in krize na ravni EU. Agencija ENISA bi olajšala sodelovanje med posameznimi državami članicami pri odzivanju v izrednih razmerah z analizo in združevanjem nacionalnih poročil o stanju na podlagi informacij, ki so jih države članice in drugi subjekti prostovoljno dali na razpolago Agenciji. ·Certificiranje izdelkov in storitev IKT glede kibernetske varnosti Za vzpostavitev in ohranitev zaupanja in varnosti, je treba v izdelke in storitve IKT neposredno vključiti varnostne lastnosti v zgodnjih fazah njihove tehnične zasnove in razvoja (vgrajena varnost). Poleg tega je treba omogočiti, da stranke in uporabniki lahko ugotovijo stopnjo zagotovila varnosti izdelkov in storitev, ki jih naročajo ali kupujejo. Certificiranje, ki vsebuje formalno oceno izdelkov, storitev in postopkov s strani neodvisnega in akreditiranega organa glede na opredeljen sklop standardnih meril in izdajo certifikata o skladnosti, ima pomembno vlogo pri krepitvi zaupanja in varnosti izdelkov in storitev. Medtem ko so varnostne ocene dokaj tehnično področje, je namen certificiranja obveščati kupce in uporabnike ter jim dati zagotovila o varnostnih lastnostih izdelkov in storitev IKT, ki jih kupijo ali uporabljajo. Kot navedeno, je to zlasti pomembno za nove sisteme, ki obsežno uporabljajo digitalne tehnologije in zahtevajo visoko raven varnosti, kot so povezani in avtomatizirani avtomobili, elektronsko zdravje, nadzorni sistemi industrijske avtomatizacije (IACS) ali pametna omrežja. Trenutno je področje certificiranja izdelkov in storitev IKT glede kibernetske varnosti v EU precej neenotno. Obstaja več mednarodnih pobud, kot so t. i. skupna merila za oceno varnosti informacijske tehnologije (ISO 15408), ki je mednarodni standard za ocenjevanje varnosti računalniških sistemov. Temelji na oceni tretje strani in predvideva sedem stopenj zagotovila ocen (EAL). Skupna merila in spremljajoča skupna metodologija za oceno varnosti informacijske tehnologije so tehnična podlaga za mednarodni sporazum, dogovor o priznavanju skupnih meril, ki zagotavlja, da certifikate s skupnimi merili priznavajo vsi podpisniki dogovora o priznavanju skupnih meril. Vendar se po zdajšnji različici dogovora o priznavanju skupnih meril vzajemno priznavajo samo ocene do EAL 2. Poleg tega je dogovor podpisalo samo 13 držav članic.

Certifikacijski organi iz 12 držav članic so sklenili sporazum o vzajemnem priznavanju v zvezi s certifikati, izdanimi v skladu z dogovorom na podlagi skupnih meril. Poleg tega v državah članicah trenutno obstaja več pobud za certificiranje IKT ali pa se vzpostavljajo. Te pobude so sicer pomembne, vendar pomenijo tveganje, da bi lahko prišlo do razdrobljenosti trga in težav z interoperabilnostjo. Posledično bi podjetje morda moralo opraviti več postopkov certificiranja v različnih državah članicah, da bi svoj izdelek lahko ponujalo na več trgih. Primer: proizvajalec pametnih števcev, ki želi svoje izdelke prodajati v treh državah članicah, npr. v Nemčiji, Franciji in Združenem kraljestvu, mora trenutno zagotavljati skladnost s tremi različnimi certifikacijskimi shemami: CPA (Commercial Product Assurance) v Združenem kraljestvu, CSPN (Certification de Sécurité de Premier Niveau) v Franciji in poseben profil zaščite, ki temelji na skupnih merilih, v Nemčiji. Ta položaj povzroča višje stroške in pomeni znatno upravno breme za podjetja, ki poslujejo v več državah članicah. Čeprav se strošek certificiranja lahko močno razlikuje glede na zadevni izdelek/storitev, želeno stopnjo zagotovila ocene in/ali druge sestavne dele, je običajno za podjetja precej občuten. Cena certifikata BSI Smart Meter Gateway na primer znaša več kot milijon EUR (najvišja raven preskušanja in najvišja stopnja zagotovila, zadeva ne le en izdelek, ampak celotno infrastrukturo, povezano z njim). Stroški certificiranja pametnih števcev v Združenem kraljestvu znašajo skoraj 150 000 EUR. V Franciji so stroški podobni kot v Združenem kraljestvu, približno 150 000 EUR ali več. Ključne javne in zasebne zainteresirane strani so navedle, da se morajo podjetja zaradi odsotnosti vseevropske certifikacijske sheme za kibernetsko varnost v številnih primerih certificirati v vsaki državi članici posebej, kar povzroča razdrobljenost trga. Še pomembneje je, da bi lahko ob odsotnosti harmonizacijske zakonodaje EU za izdelke in storitve IKT zaradi razlik v standardih in praksah certificiranja kibernetske varnosti v državah članicah v praksi nastalo 28 ločenih trgov varnosti v EU, pri čemer bi imel vsak svoje tehnične zahteve, metodologije preskušanja in postopke certificiranja kibernetske varnosti. Ti različni pristopi na nacionalni ravni lahko – če se ne bi ustrezno ukrepalo na ravni EU – zadajo precejšen udarec doseganju enotnega digitalnega trga, saj upočasnjujejo ali preprečujejo povezane pozitivne učinke na rast in delovna mesta. Na podlagi navedenih dejstev predlagana uredba vzpostavlja evropski certifikacijski okvir za kibernetsko varnost (v nadaljnjem besedilu: okvir) za izdelke in storitve IKT ter podrobno določa bistvene funkcije in naloge agencije ENISA na področju certificiranja kibernetske varnosti. Ta predlog določa splošen okvir pravil, ki urejajo evropske certifikacijske sheme za kibernetsko varnost. Predlog neposredno ne uvaja operativnih certifikacijskih shem, temveč vzpostavlja sistem (okvir) za določitev posebnih certifikacijskih shem za posebne izdelke/storitve IKT (v nadaljnjem besedilu: evropske certifikacijske sheme za kibernetsko varnost). Oblikovanje evropskih certifikacijskih shem za kibernetsko varnost v skladu z okvirom bo omogočilo, da bodo certifikati, izdani na podlagi navedenih shem, veljavni in priznani v vseh državah članicah, ter bo obravnavalo zdajšnjo razdrobljenost trga. Splošni namen evropske certifikacijske sheme za kibernetsko varnost je potrditi, da izdelki in storitve IKT, ki so bili certificirani v skladu s tako shemo, izpolnjujejo določene zahteve glede kibernetske varnosti. To bi na primer vključevalo njihovo zmožnost za varovanje podatkov (shranjenih, prenesenih ali drugače obdelanih) pred naključno ali nepooblaščeno hrambo, obdelavo, dostopom, razkritjem, uničenjem, naključno izgubo ali spremembo. Evropske certifikacijske sheme za kibernetsko varnost bi uporabile obstoječe standarde glede tehničnih zahtev in postopkov ocenjevanja, ki jih morajo izdelki izpolnjevati in same ne bi razvijale tehničnih standardov. Na primer: certificiranje na ravni celotne EU za izdelke, kot so pametne kartice, ki se zdaj preskušajo glede na mednarodne standarde skupnih meril v okviru večstranske sheme SOG-IS (opisane zgoraj), bi pomenilo, da bi ta shema postala veljavna po vsej EU. Poleg opredelitve posebnega sklopa varnostnih ciljev, ki jih je treba upoštevati pri oblikovanju posebne evropske certifikacijske sheme za kibernetsko varnost, predlog določa, kakšna bi morala biti minimalna vsebina takih shem. Take sheme bodo morale med drugim opredeliti številne posebne elemente, ki določajo področje uporabe in predmet certificiranja kibernetske varnosti. To vključuje določitev kategorij zajetih izdelkov in storitev, podrobno specifikacijo zahtev glede kibernetske varnosti (npr. s sklicevanjem na ustrezne standarde ali tehnične specifikacije), posebna merila in metode za ocenjevanje ter stopnjo zagotovila, ki naj bi jo zagotavljali (tj. osnovno, znatno ali visoko). Evropske certifikacijske sheme za kibernetsko varnost bo pripravila agencija ENISA s pomočjo, strokovnim svetovanjem in v tesnem sodelovanju z Evropsko certifikacijsko skupino za kibernetsko varnost (glej spodaj), sprejela pa jih bo Komisija z izvedbenimi akti. Kadar se ugotovi potreba po certifikacijski shemi za kibernetsko varnost, bo Komisija od agencije ENISA zahtevala pripravo sheme za posamezne izdelke ali storitve IKT. Agencija ENISA bo shemo pripravljala v tesnem sodelovanju z nacionalnimi organi za nadzor nad certificiranjem, zastopanimi v skupini. Države članice in skupina lahko Komisiji predlagajo, naj od agencije ENISA zahteva pripravo posebne sheme. Certificiranje je lahko zelo drag postopek, kar bi lahko privedlo do višjih cen za stranke in potrošnike. Potreba po certificiranju je lahko zelo različna tudi glede na posebne okoliščine uporabe izdelkov in storitev ter hitrost tehnoloških sprememb. Uporaba evropskega certificiranja kibernetske varnosti bi zato morala ostati prostovoljna, razen če je v zakonodaji Unije, ki določa varnostne zahteve za izdelke in storitve IKT, določeno drugače. Da pa bi zagotovili harmonizacijo in se izognili razdrobljenosti, se bodo nacionalne certifikacijske sheme ali postopki za kibernetsko varnost za izdelke in storitve IKT, ki jih zajema evropska certifikacijska shema za kibernetsko varnost, prenehali uporabljati od datuma, določenega v izvedbenem aktu, s katerim se sprejme shema. Poleg tega države članice ne bi smele uvajati novih nacionalnih certifikacijskih shem za kibernetsko varnost za izdelke in storitve IKT, ki jih zajema obstoječa evropska certifikacijska shema za kibernetsko varnost. Ko bo sprejeta evropska certifikacijska shema za kibernetsko varnost, bodo proizvajalci izdelkov IKT ali ponudniki storitev IKT lahko vložili vlogo za certificiranje svojih izdelkov ali storitev pri organu za ugotavljanje skladnosti po lastni izbiri. Organe za ugotavljanje skladnosti bi moral akreditirati akreditacijski organ, če izpolnjujejo določene zahteve. Akreditacija bo izdana za obdobje največ petih let in se lahko pod enakimi pogoji podaljša, če organ za ugotavljanje skladnosti izpolnjuje zahteve. Akreditacijski organi bodo preklicali akreditacijo organa za ugotavljanje skladnosti, če pogoji za akreditacijo niso ali niso več izpolnjeni ali če ukrepi, ki jih sprejme organ za ugotavljanje skladnosti, kršijo to uredbo. V skladu s predlogom so naloge spremljanja, nadzora in izvrševanja predpisov v pristojnosti držav članic. Države članice bodo morale zagotoviti organ za nadzor nad certificiranjem. Ta organ bo zadolžen za nadzor nad skladnostjo organov za ugotavljanje skladnosti in certifikatov, ki so jih izdali organi za ugotavljanje skladnosti s sedežem na njihovem ozemlju, z zahtevami iz te uredbe in zadevnih evropskih certifikacijskih shem za kibernetsko varnost. Nacionalni organi za nadzor nad certificiranjem bodo pristojni za obravnavanje pritožb, ki jih vložijo fizične ali pravne osebe v zvezi s certifikati, ki jih izdajo organi za ugotavljanje skladnosti s sedežem na njihovem ozemlju. V ustrezni meri bodo preiskali vsebino pritožbe in pritožnika v razumnem roku obvestili o napredku in izidih preiskave. Poleg tega bodo sodelovali z ostalimi organi za nadzor nad certificiranjem ali drugimi javnimi organi, npr. z izmenjavo informacij o morebitni neskladnosti izdelkov in storitev IKT z zahtevami iz te uredbe ali posebnih evropskih certifikacijskih shem za kibernetsko varnost. Poleg tega predlog vzpostavlja Evropsko certifikacijsko skupino za kibernetsko varnost (v nadaljnjem besedilu: skupina), ki jo sestavljajo nacionalni organi za nadzor nad certificiranjem iz vseh držav članic. Glavna naloga skupine je svetovati Komisiji glede vprašanj v zvezi s politiko certificiranja kibernetske varnosti in sodelovati z agencijo ENISA pri razvoju osnutka evropskih certifikacijskih shem za kibernetsko varnost. Agencija ENISA bo Komisiji pomagala pri zagotavljanju sekretariata skupine in vzdrževala posodobljen javni seznam shem, odobrenih na podlagi evropskega certifikacijskega okvira za kibernetsko varnost. Agencija ENISA bi prav tako sodelovala z organi za standardizacijo, da se zagotovi ustreznost standardov, uporabljenih v odobrenih shemah, in določijo področja, za katera so potrebni standardi glede kibernetske varnosti. Evropski certifikacijski okvir za kibernetsko varnost (v nadaljnjem besedilu: okvir) bo državljanom in podjetjem prinesel več koristi. Zlasti: ·Oblikovanje certifikacijskih shem za kibernetsko varnost na ravni celotne EU za posamezne izdelke ali storitve bo podjetjem zagotovilo enotno kontaktno točko za certificiranje kibernetske varnosti v EU. Taka podjetja bodo lahko svoj izdelek certificirala le enkrat in pridobila certifikat, veljaven v vseh državah članicah. Izdelkov jim ne bo treba ponovno certificirati pri različnih nacionalnih organih za certificiranje. To bo znatno znižalo stroške za podjetja, olajšalo čezmejno poslovanje ter posledično zmanjšalo in preprečilo razdrobljenost notranjega trga za zadevne izdelke. ·Okvir določa primat evropskih certifikacijskih shem za kibernetsko varnost nad nacionalnimi shemami: na podlagi tega pravila bo sprejetje evropske certifikacijske sheme za kibernetsko varnost nadomestilo vse obstoječe vzporedne nacionalne sheme za iste izdelke ali storitve IKT na dani stopnji zagotovila. To bo prineslo večjo jasnost, zmanjšalo zdajšnje širjenje prekrivajočih se in potencialno nasprotujočih si nacionalnih certifikacijskih shem za kibernetsko varnost. ·Predlog podpira in dopolnjuje izvajanje direktive o varnosti omrežij in informacij tako, da podjetjem, za katera velja direktiva, zagotavlja zelo uporabno orodje za dokazovanje skladnosti z zahtevami iz direktive o varnosti omrežij in informacij v celotni Uniji. Pri oblikovanju novih certifikacijskih shem za kibernetsko varnost bosta Komisija in agencija ENISA namenili posebno pozornost potrebi, da se zagotovi, da so zahteve iz direktive o varnosti omrežij in informacij izražene v certifikacijskih shemah za kibernetsko varnost. ·Predlog bo s harmonizacijo pogojev in vsebinskih zahtev glede certificiranja izdelkov in storitev IKT v EU v zvezi s kibernetsko varnostjo podpiral in olajšal oblikovanje evropske politike kibernetske varnosti. Evropske certifikacijske sheme za kibernetsko varnost se bodo sklicevale na skupne standarde ali merila za ocenjevanje in metodologije preskušanja. To bo znatno, čeprav posredno, prispevalo k uvajanju skupnih varnostnih rešitev v EU, kar bo odpravljalo tudi ovire za notranji trg. ·Okvir je zasnovan tako, da zagotavlja potrebno prožnost za certifikacijske sheme za kibernetsko varnost. Glede na posebne potrebe na področju kibernetske varnosti se izdelek ali storitev lahko certificira po višjih ali nižjih ravneh varnosti. Evropske certifikacijske sheme za kibernetsko varnost bodo zasnovane ob upoštevanju te prožnosti in bodo zato zagotavljale različne stopnje zagotovil (tj. osnovno, znatno ali visoko), da bi jih bilo mogoče uporabiti za različne namene ali v različnih okvirih. ·Zaradi vseh zgoraj navedenih elementov bo certificiranje kibernetske varnosti kot učinkovito sredstvo za sporočanje stopnje zagotovila izdelkov in storitev IKT glede kibernetske varnosti postalo privlačnejše za podjetja. Kolikor bo certificiranje kibernetske varnosti manj drago, učinkovitejše in komercialno privlačnejše, več spodbud bo za podjetja, da certificirajo svoje izdelke za tveganja v zvezi s kibernetsko varnostjo, kar bo prispevalo k širjenju boljših praks na področju kibernetske varnosti pri zasnovi izdelkov in storitev IKT (vgrajena kibernetska varnost).

•Skladnost z veljavnimi predpisi s področja zadevne politike V skladu z direktivo o varnosti omrežij in informacij morajo izvajalci v sektorjih, ki so ključni za naše gospodarstvo in družbo, npr. energetika, promet, vodni sektor, bančništvo, infrastrukture finančnih trgov, zdravstvo in digitalna infrastruktura, ter ponudniki digitalnih storitev (tj. iskalniki, storitve računalništva v oblaku in spletne tržnice) sprejeti ukrepe za ustrezno obvladovanje varnostnih tveganj. Nova pravila iz tega predloga dopolnjujejo in zagotavljajo skladnost z določbami direktive o varnosti omrežij in informacij, da bi bila z boljšimi zmogljivostmi, sodelovanjem, obvladovanjem tveganj in kibernetsko ozaveščenostjo kibernetska odpornost EU še boljša. Poleg tega pravila glede certificiranja kibernetske varnosti zagotavljajo bistveno orodje za podjetja, za katera se uporablja direktiva o varnosti omrežij in informacij, saj bodo svoje izdelke in storitve IKT lahko certificirala za tveganja v zvezi s kibernetsko varnostjo na podlagi certifikacijskih shem za kibernetsko varnost, veljavnih in priznanih po vsej EU. Prav tako bodo dopolnjevala varnostne zahteve iz uredbe eIDAS in direktive o radijski opremi. •Skladnost z drugimi politikami Unije Uredba (EU) 2016/679 (v nadaljnjem besedilu: Splošna uredba o varstvu podatkov) vsebuje določbe za vzpostavitev certifikacijskih mehanizmov ter pečatov in označb za varstvo podatkov za namen dokazovanja, da so postopki obdelave, ki jih uporabljajo upravljavci in obdelovalci, skladni s to uredbo. Ta uredba ne posega v certificiranje postopkov obdelave podatkov na podlagi Splošne uredbe o varstvu podatkov, tudi kadar so taki postopki vgrajeni v izdelke in storitve. Predlagana uredba bo zagotovila skladnost z Uredbo (ES) št. 765/2008 o zahtevah za akreditacijo in nadzor trga s sklicevanjem na pravila navedenega okvira o nacionalnih akreditacijskih organih in organih za ugotavljanje skladnosti. Kar zadeva nadzorne organe, bo predlagana uredba od držav članic zahtevala, da imenujejo nacionalne organe za nadzor nad certificiranjem, ki so pristojni za nadzor, spremljanje in izvrševanje predpisov. Navedeni organi bodo še naprej ločeni od organov za ugotavljanje skladnosti, kot to določa Uredba (ES) št. 765/2008. 2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST •Pravna podlaga Pravna podlaga za ukrepe EU je člen 114 Pogodbe o delovanju Evropske unije (PDEU), ki se nanaša na približevanje zakonov držav članic za dosego ciljev iz člena 26 PDEU, in sicer pravilnega delovanja notranjega trga. Pravno podlago notranjega trga za ustanovitev agencije ENISA je potrdilo Sodišče (v zadevi C-217/04 Združeno kraljestvo proti Evropskemu parlamentu in Svetu), nato jo je ponovno potrdila uredba iz leta 2013, ki je določila zdajšnji mandat Agencije. Poleg tega bi dejavnosti, ki bi izražale cilje okrepitve sodelovanja in usklajevanja med državami članicami, ter dejavnosti, ki bi povečale zmogljivosti EU za dopolnitev ukrepov držav članic, sodile v kategorijo „operativnega sodelovanja“. To je posebej določeno v direktivi o varnosti omrežij in informacij (katere pravna podlaga je člen 114 PDEU) kot cilj, ki ga je treba doseči v okviru mreže skupin CSIRT, pri čemer „ENISA zagotovi sekretariat in dejavno podpira sodelovanje“ (člen 12(2)). Člen 12(3)(f) zlasti dodatno določa nadaljnje oblike operativnega sodelovanja kot nalogo mreže skupin CSIRT, vključno v zvezi s: (i) kategorijami tveganj in incidentov, (ii) zgodnjimi opozorili, (iii) medsebojno pomočjo ter (iv) načeli in načini usklajevanja pri odzivanju držav članic na čezmejna tveganja in incidente. ·Zdajšnja razdrobljenost certifikacijskih shem za izdelke in storitve IKT je tudi posledica pomanjkanja skupnega pravno zavezujočega in učinkovitega okvira, ki se uporablja za države članice. To ovira vzpostavitev notranjega trga za izdelke in storitve IKT ter konkurenčnost evropske industrije v tem sektorju. Namen tega predloga je z zagotovitvijo skupnega okvira za vzpostavitev certifikacijskih shem za kibernetsko varnost, ki bi veljale po vsej EU, obravnavati obstoječo razdrobljenost in z njo povezane ovire za notranji trg. Subsidiarnost (za neizključno pristojnost) Načelo subsidiarnosti zahteva oceno nujnosti in dodane vrednosti ukrepanja EU. Upoštevanje subsidiarnosti na tem področju je bilo priznano že pri sprejetju zdajšnje uredbe o agenciji ENISA. Kibernetska varnost je vprašanje skupnega interesa Unije. Medsebojna odvisnost omrežij in informacijskih sistemov je tolikšna, da se posamezni akterji (javni in zasebni, vključno z državljani) zelo pogosto ne morejo sami spopadati z grožnjami ter obvladovati tveganj in morebitnih posledic kibernetskih incidentov. Na eni strani je zaradi medsebojnih odvisnosti po državah članicah, tudi kar zadeva delovanje kritičnih infrastruktur (energetika, promet, vodni sektor, če omenimo le nekatere), javno posredovanje na evropski ravni ne le koristno, temveč tudi potrebno. Po drugi strani lahko ukrepanje EU prinese pozitiven učinek „prelivanja“ zaradi izmenjave dobrih praks med državami članicami, kar lahko izboljša kibernetsko varnost Unije. Če povzamemo, se v trenutnih razmerah in zroč v prihodnje scenarije zdi, da za povečanje kolektivne kibernetske odpornosti Unije ukrepi posameznih držav članic EU in razdrobljen pristop h kibernetski varnosti ne bodo zadostovali. Ukrepanje na ravni EU se prav tako šteje za potrebno za obravnavanje razdrobljenosti zdajšnjih certifikacijskih shem za kibernetsko varnost. To bi proizvajalcem omogočilo, da z znatnimi prihranki pri stroških preskušanja in preoblikovanja v celoti izkoristijo notranji trg. Čeprav so bili na primer z zdajšnjim sporazumom o vzajemnem priznavanju (MRA) skupine visokih uradnikov za varnost informacijskih sistemov (SOG-IS) v zvezi s tem doseženi pomembni rezultati, so se prav tako pokazale pomembne omejitve, ki ovirajo njegovo primernost za zagotavljanje dolgoročnejših trajnostnih rešitev pri polnem izkoriščanju notranjega trga. Dodana vrednost ukrepanja na ravni EU, zlasti za boljše sodelovanje med državami članicami, a tudi med skupnostmi na področju varnosti omrežij in informacij, je bila priznana s sklepi Sveta iz leta 2016 in prav tako jasno izhaja iz ocene agencije ENISA.

•Sorazmernost Predvideni ukrepi so strogo omejeni na to, kar je potrebno za dosego ciljev. Poleg tega obseg posredovanja EU ne ovira kakršnih koli dodatnih nacionalnih ukrepov na področju nacionalne varnosti. Ukrepanje EU je zato utemeljeno na podlagi subsidiarnosti in sorazmernosti. •Izbira instrumenta Ta predlog pregleduje Uredbo (EU) št. 526/2013, ki določa zdajšnji mandat in naloge agencije ENISA. Glede na pomembno vlogo agencije ENISA pri vzpostavljanju in upravljanju certifikacijskega okvira EU za kibernetsko varnost, je nov mandat in navedeni okvir najbolje vzpostaviti z enim samim pravnim instrumentom, in sicer z uredbo. 3.REZULTATI NAKNADNIH OCEN, POSVETOVANJ Z ZAINTERESIRANIMI STRANMI IN OCEN UČINKA Naknadne ocene/preverjanja ustreznosti obstoječe zakonodaje Komisija je v skladu s časovnim načrtom ocenjevanja ocenila ustreznost, učinek, uspešnost, učinkovitost, skladnost in dodano vrednost Agencije v zvezi z njenim delovanjem, upravljanjem, notranjo organizacijsko strukturo in delovnimi praksami v obdobju 2013–2016. Glavne ugotovitve je mogoče povzeti kot sledi (za več informacij glej delovni dokument služb Komisije o zadevi, ki je priložen oceni učinka). ·Ustreznost: Glede na tehnološki razvoj in spreminjajoče se grožnje ter upoštevajoč znatno potrebo po večji kibernetski varnosti v EU so se cilji agencije ENISA izkazali za ustrezne. Tudi dejansko so države članice in organi EU odvisni od njenega znatnega strokovnega znanja v zadevah na področju kibernetske varnosti. Poleg tega je v državah članicah treba vzpostaviti zmogljivosti za boljše razumevanje groženj in odzivanje nanje, zainteresirane strani pa morajo sodelovati na različnih tematskih področjih in medinstitucionalno. Kibernetska varnost je še vedno ključna politična prednostna naloga EU, na katero naj bi se agencija ENISA odzivala, vendar zasnova agencije ENISA kot agencije EU z mandatom za določen čas: (i) ne omogoča dolgoročnega načrtovanja in trajnostne podpore državam članicam in institucijam EU; (ii) lahko povzroči pravno praznino, ker so določbe direktive o varnosti omrežij in informacij, ki agenciji ENISA podeljujejo naloge, trajne narave; (iii) ni dovolj usklajena z vizijo, ki povezuje agencijo ENISA z izboljšanim ekosistemom EU za kibernetsko varnost. ·Uspešnost: Agencija ENISA je na splošno dosegla svoje cilje in izvedla svoje naloge. S svojimi glavnimi dejavnostmi (krepitvijo zmogljivosti, zagotavljanjem strokovnega znanja, oblikovanjem skupnosti in podporo politiki) je prispevala k večji varnosti omrežij in informacij v Evropi. Vendar so glede vsake izmed njih možne izboljšave. V oceni je bilo ugotovljeno, da je agencija ENISA uspešno ustvarila trdna razmerja, polna zaupanja, z nekaterimi svojimi zainteresiranimi stranmi, zlasti z državami članicami in mrežo skupin CSIRT. Ukrepi na področju krepitve zmogljivosti so se zdeli učinkoviti zlasti za države članice z manj viri. Spodbujanje širokega sodelovanja je bil eden od glavnih dosežkov, pri čemer je bilo med zainteresiranimi stranmi široko soglasje o pozitivni vlogi, ki jo ima agencija ENISA pri združevanju ljudi. Vendar se je agencija ENISA spopadala s težavami pri puščanju velikega pečata na prostranem področju varnosti omrežij in informacij. To je tudi posledica dejstva, da je imela dokaj omejene človeške in finančne vire za uresničevanje zelo širokega mandata. V oceni je bilo ugotovljeno tudi, da je agencija ENISA delno izpolnila cilje zagotavljanja strokovnega znanja, kar je povezano s težavami pri zaposlovanju strokovnjakov (glej tudi spodnji razdelek o učinkovitosti). ·Učinkovitost: Kljub skromnemu proračunu – enemu najmanjših v primerjavi z drugimi agencijami EU – je Agencija lahko prispevala k usmerjenim ciljem, pri čemer je izkazovala splošno učinkovitost pri uporabi virov. Z oceno je bilo ugotovljeno, da so bili postopki na splošno učinkoviti in da je jasna razmejitev odgovornosti znotraj organizacije pripomogla k dobro opravljenemu delu. Eden glavnih izzivov glede učinkovitosti Agencije se nanaša na težave agencije ENISA pri zaposlovanju in ohranitvi visoko usposobljenih strokovnjakov. Ugotovitve kažejo, da je to mogoče razložiti s kombinacijo dejavnikov, vključno s splošnimi težavami v celotnem javnem sektorju, da tekmuje z zasebnim sektorjem pri prizadevanjih za zaposlovanje visoko specializiranih strokovnjakov, vrsto pogodb (za določen čas), ki jih Agencija pretežno lahko ponudi, ter nekoliko nižjo privlačnostjo, ki je povezana z lokacijo agencije ENISA, na primer zaradi težav, s katerimi se soočajo zakonci zaposlenih pri iskanju zaposlitve. Delitev na lokaciji v Atenah in Heraklionu je zahtevala dodatne napore glede usklajevanja in povzročila dodatne stroške, vendar je selitev jedrnih dejavnosti v Atene leta 2013 povečala operativno učinkovitost Agencije. ·Skladnost: Dejavnosti agencije ENISA so bile na splošno skladne s politikami in dejavnostmi njenih zainteresiranih strani na nacionalni ravni in ravni EU, vendar je potreben bolj usklajen pristop h kibernetski varnosti na ravni EU. Možnosti za sodelovanje med agencijo ENISA in drugimi organi EU niso bile v celoti izkoriščene. Z razvojem pravnega in političnega okolja EU je zdajšnji mandat danes manj skladen. ·Dodana vrednost EU: Dodana vrednost agencije ENISA je predvsem v njeni zmožnosti, da izboljša sodelovanje, predvsem med državami članicami, a tudi s povezanimi skupnostmi na področju varnosti omrežij in informacij. Na ravni EU ni nobenega drugega akterja, ki podpira sodelovanje tako različnih zainteresiranih strani glede varnosti omrežij in informacij. Dodana vrednost Agencije je bila različna glede na različne potrebe in vire zainteresiranih strani (npr. velike in majhne države članice, države članice in industrija) ter glede na potrebo, da Agencija opredeli svoje prednostne dejavnosti v skladu z delovnim programom. Sklep iz ocene je, da bi morebitno prenehanje delovanja agencije ENISA pomenilo zamujeno priložnost za vse države članice. Zagotoviti enako stopnjo oblikovanja skupnosti in sodelovanja med državami članicami na področju kibernetske varnosti ne bo mogoče. Brez bolj centralizirane agencije EU bi bila slika bolj razdrobljena, praznino, ki bi jo zapustila agencija ENISA pa bi začelo zapolnjevati bilateralno ali regionalno sodelovanje. Konkretno, kar zadeva preteklo in prihodnjo delovanje agencije ENISA, so glavni trendi, ki izhajajo iz posvetovanja leta 2017, naslednji: ·Splošno delovanje agencije ENISA v obdobju od 2013 do 2016 je pozitivno ocenila večina anketirancev (74 %). Poleg tega je večina anketirancev menila, da agencija ENISA dosega svoje različne cilje (najmanj 63 % za vsak cilj). Storitve in izdelke agencije ENISA redno (vsak mesec ali pogosteje) uporablja skoraj polovica anketirancev (46 %) in so cenjeni, ker izvirajo iz organa na ravni EU (83 %) in ker so kakovostni (62 %). ·Anketiranci so navedli številne vrzeli in izzive za prihodnost kibernetske varnosti v EU, med prvimi petimi (na seznamu 16) so bili zlasti: sodelovanje med državami članicami; zmogljivosti za preprečevanje, odkrivanje in reševanje velikih kibernetskih napadov; sodelovanje med državami članicami v zadevah, povezanih s kibernetsko varnostjo; sodelovanje in izmenjava informacij med različnimi zainteresiranimi stranmi, vključno s sodelovanjem med javnim in zasebnim sektorjem; zaščita kritične infrastrukture pred kibernetskimi napadi. ·Vendar je velika večina (88 %) anketirancev menila, da so zdajšnji instrumenti in mehanizmi, ki so na voljo na ravni EU, nezadostni ali za reševanje navedenega le delno ustrezni. Velika večina anketirancev (98 %) je navedla, da bi se moral na te potrebe odzivati organ EU, in od teh jih je 99 % menilo, da je agencija ENISA ustrezna organizacija za ta namen. Posvetovanja z zainteresiranimi stranmi ·Komisija je organizirala javno posvetovanje glede revizije agencije ENISA med 12. aprilom in 5. julijem 2016 ter prejela 421 odgovorov. V skladu z rezultati je 67,5 % anketirancev izrazilo stališče, da bi agencija ENISA lahko imela vlogo pri vzpostavitvi harmoniziranega okvira za varnostno certificiranje izdelkov in storitev IT.

Rezultati posvetovanja iz leta 2016 o javno-zasebnem partnerstvu za kibernetsko varnost v razdelku o certificiranju kažejo, da: ·50,4 % (tj. 121 od 240) anketirancev ne ve, ali so nacionalne certifikacijske sheme vzajemno priznane v državah članicah EU. 25,8 % (62 od 240) jih je odgovorilo z „ne“, 23,8 % (57 od 240) pa z „da“; ·37,9 % anketirancev (91 od 240) jih je menilo, da obstoječe certifikacijske sheme ne podpirajo potreb evropske industrije. Po drugi strani je 17,5 % (42 od 240) – predvsem globalnih podjetij, ki delujejo na evropskem trgu – izrazilo nasprotno mnenje; ·49,6 % (119 od 240) anketirancev pravi, da ni lahko dokazati enakovrednosti standardov, certifikacijskih shem in oznak. 37,9 % (91 od 240) jih je odgovorilo z „ne vem“, medtem ko jih je le 12,5 % (30 od 240) odgovorilo z „da“. Zbiranje in uporaba strokovnih mnenj Komisija je upoštevala naslednje nasvete zunanjih strokovnjakov: ·Študija o oceni agencije ENISA (Ramboll/Carsa, 2017; SMART št. 2016/0077), ·Študija o varnostnem certificiranju in označevanju IKT – Zbrani podatki in ocena učinka (PriceWaterhouseCoopers, 2017; SMART št. 2016/0029). Ocena učinka ·V poročilu o oceni učinka te pobude so bile opredeljene naslednje glavne težave, ki jih je treba obravnavati: ·razdrobljenost politik in pristopov h kibernetski varnosti v državah članicah, ·razpršenost virov in razdrobljenost pristopov h kibernetski varnosti v institucijah, agencijah in organih EU ter ·nezadostna ozaveščenost in obveščenost državljanov in podjetij, skupaj z vse več različnimi nacionalnimi in sektorskimi certifikacijskimi shemami. V poročilu so bile glede mandata agencije ENISA ocenjene naslednje možnosti: ·ohranitev sedanjega stanja, kar pomeni podaljšan, a časovno še vedno omejen mandat (osnovna možnost); ·zdajšnji mandat agencije ENISA poteče brez podaljšanja in ukinitev te agencije (brez posredovanja politike); ·„reformirana agencija ENISA“ ter ·Agencija EU za kibernetsko varnost s polnimi operativnimi zmogljivostmi.

V poročilu so bile glede certificiranja kibernetske varnosti ocenjene naslednje možnosti: ·brez posredovanja politike (osnovna možnost), ·nezakonodajni ukrepi (ukrepi „mehkega prava“), ·zakonodajni akt EU za vzpostavitev obveznega sistema za vse države članice na podlagi sistema SOG-IS in ·splošni certifikacijski okvir EU za kibernetsko varnost IKT. Na podlagi analize je bilo sklenjeno, da je prednostna možnost „reformirana agencija ENISA“ v povezavi s splošnim certifikacijskim okvirom EU za kibernetsko varnost IKT. Prednostna možnost je bila ocenjena kot najučinkovitejša za doseganje opredeljenih ciljev EU glede večjih zmogljivosti na področju kibernetske varnosti, pripravljenosti, sodelovanja, ozaveščanja, preglednosti in preprečevanja razdrobljenosti trga. Prav tako je bila ocenjena kot najbolj skladna s prednostnimi nalogami politike v zvezi s strategijo EU za kibernetsko varnost in z njo povezanimi politikami (npr. direktivo o varnosti omrežij in informacij) ter strategijo za enotni digitalni trg. Poleg tega se je v postopku posvetovanja izkazalo, da prednostna možnost uživa podporo večine zainteresiranih strani. Nadalje je analiza, izvedena v okviru ocene učinka, pokazala, da bi bili s prednostno možnostjo cilji doseženi z razumno uporabo virov. Odbor Komisije za regulativni nadzor je najprej 24. julija podal negativno mnenje, nato pa ob ponovni predložitvi 25. avgusta 2017 pozitivno mnenje. V spremenjeno poročilo o oceni učinka so bili vključeni dodatni dokazi, končne ugotovitve ocene agencije ENISA ter dodatne razlage možnosti politike in njihovega učinka. Priloga 1 h končnemu poročilu o oceni učinka povzema, kako so bile v drugem mnenju obravnavane pripombe odbora. Poročilo je bilo zlasti posodobljeno, da bi podrobneje predstavilo okvir EU za kibernetsko varnost, vključno z ukrepi, ki so vključeni v skupno sporočilo „Odpornost, odvračanje in obramba: okrepitev kibernetske varnosti za EU“ (Resilience, Deterrence and Defence: Building strong cybersecurity for the EU) (JOIN(2017) 450) in imajo poseben pomen za agencijo ENISA: načrt EU za kibernetsko varnost ter evropski raziskovalni in strokovni center za kibernetsko varnost, s katerim bi Agencija povezala svoja priporočila glede potreb EU po raziskovanju. V poročilu je pojasnjeno, kako bi reforma Agencije, vključno z novimi nalogami, boljšimi pogoji zaposlovanja in strukturnim sodelovanjem z organi EU na tem področju, izboljšala njeno privlačnost kot delodajalca in pripomogla k reševanju težav, povezanih z zaposlovanjem strokovnjakov. V Prilogi 6 k poročilu je predstavljena tudi revidirana ocena stroškov, povezanih z možnostmi politike za agencijo ENISA. Poročilo je bilo v zvezi z vprašanjem certificiranja revidirano, da bi vsebovalo podrobnejšo razlago prednostne možnosti, vključno z grafično predstavitvijo, ter zajelo ocene stroškov za države članice in Komisijo, povezanih z novim certifikacijskim okvirom. Utemeljitev za izbiro agencije ENISA kot ključnega akterja v okviru je bila dodatno pojasnjena na podlagi njenega strokovnega znanja na področju in dejstva, da je edina agencija na ravni EU za področje kibernetske varnosti. Nazadnje, pregledani so bili razdelki o certificiranju, da se pojasnijo vidiki, povezani z razliko glede na zdajšnji sistem SOG-IS, koristi v zvezi z različnimi možnostmi politike ter dejstvo, da bo vrsta izdelkov in storitev IKT, ki jih zajema evropska certifikacijska shema, opredeljena v sami odobreni shemi. Ustreznost in poenostavitev ureditve Ni relevantno. Vpliv na temeljne pravice Kibernetska varnost ima ključno vlogo pri varovanju zasebnosti in osebnih podatkov posameznikov v skladu s členoma 7 in 8 Listine EU o temeljnih pravicah. V primeru kibernetskih incidentov sta zasebnost in varstvo osebnih podatkov zelo izpostavljena. Kibernetska varnost je zato nujen pogoj za spoštovanje zasebnosti in zaupnosti naših osebnih podatkov. S tega vidika predlog s prizadevanjem za krepitev kibernetske varnosti v Evropi pomembno dopolnjuje obstoječo zakonodajo, ki varuje temeljno pravico do zasebnosti in osebne podatke. Kibernetska varnost je prav tako bistvena za varstvo zaupnosti naših elektronskih komunikacij ter s tem za uresničevanje svobode izražanja in obveščanja kot tudi drugih povezanih pravic, kot je svoboda misli, vesti in vere. 4.PRORAČUNSKE POSLEDICE Glej oceno finančnih posledic. 5.DRUGI ELEMENTI •Načrti za izvedbo ter ureditev spremljanja, ocenjevanja in poročanja Komisija bo spremljala uporabo Uredbe ter Evropskemu parlamentu, Svetu in Evropskemu ekonomsko-socialnemu odboru vsakih pet let predložila poročilo o oceni te uredbe. Ta poročila bodo javna in bodo podrobno pojasnjevala dejansko uporabo in izvrševanje te uredbe.

•Natančnejša pojasnitev posameznih določb predloga Naslov I Uredbe vsebuje splošne določbe: področje urejanja (člen 1), opredelitev pojmov (člen 2), vključno s sklici na zadevne opredelitve iz drugih instrumentov EU, kot so Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (direktiva o varnosti omrežij in informacij), Uredba (ES) št. 765/2008 Evropskega parlamenta in Sveta o določitvi zahtev za akreditacijo in nadzor trga v zvezi s trženjem proizvodov ter razveljavitvi Uredbe (EGS) št. 339/93 in Uredba (EU) št. 1025/2012 Evropskega parlamenta in Sveta o evropski standardizaciji. Naslov II Uredbe vsebuje ključne določbe v zvezi z Agencijo EU za kibernetsko varnost ENISA. Poglavje I tega naslova določa mandat (člen 3), cilje (člen 4) in naloge Agencije (členi 5 do 11). Poglavje II določa organizacijo agencije ENISA in vsebuje ključne določbe o njeni strukturi (člen 12). Obravnava sestavo, pravila glasovanja ter naloge upravnega odbora (oddelek 1, členi 13 do 17), izvršnega odbora (oddelek 2, člen 18) in izvršnega direktorja (oddelek 3, člen 19). Prav tako vključuje določbe o sestavi in vlogi stalne skupine zainteresiranih strani (oddelek 4, člen 20). Nenazadnje, razdelek 5 tega poglavja podrobno navaja operativna pravila za Agencijo, vključno v povezavi z načrtovanjem njenega delovanja, nasprotjem interesov, preglednostjo, zaupnostjo in dostopom do dokumentov (členi 21 do 25). Poglavje III zadeva določitev in sestavo proračuna Agencije (člena 26 in 27) ter pravila za njegovo izvrševanje (člena 28 in 29). Prav tako vključuje določbe za lažji boj proti goljufijam, korupciji in drugim nezakonitim dejanjem (člen 30). Poglavje IV obravnava osebje Agencije. Vključuje splošne določbe o kadrovskih predpisih in pogojih za zaposlitev ter pravila glede privilegijev in imunitete (člena 31 in 32). Podrobno določa tudi pravila glede zaposlitve in imenovanja izvršnega direktorja Agencije (člen 33). Nenazadnje vključuje določbe o zaposlitvi napotenih nacionalnih strokovnjakov ali drugega osebja, ki ga ne zaposli Agencija (člen 34). Poglavje V vključuje splošne določbe v zvezi z Agencijo. Določa pravni status (člen 35) ter vključuje določbe, ki urejajo vprašanja odgovornosti, jezikovno ureditev in varstvo osebnih podatkov (členi 36 do 38), pa tudi varnostne predpise o varstvu tajnih podatkov in občutljivih netajnih podatkov (člen 40). Opisuje pravila glede sodelovanja Agencije s tretjimi državami in mednarodnimi organizacijami (člen 39). Nenazadnje vsebuje tudi določbe o sedežu Agencije in pogojih delovanja ter upravnem nadzoru s strani varuha človekovih pravic (člena 41 in 42). Naslov III Uredbe določa evropski certifikacijski okvir za kibernetsko varnost (v nadaljnjem besedilu: okvir) za izdelke in storitve IKT kot lex generalis (člen 1). Opredeljuje splošni namen evropskih certifikacijskih shem za kibernetsko varnost, tj. zagotoviti, da izdelki in storitve IKT izpolnjujejo določene zahteve s področja kibernetske varnosti glede njihove zmožnosti za odpornost, na določeni stopnji zagotovila, na ukrepe, ki ogrožajo razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali z njimi povezanih funkcij ali storitev (člen 43). Poleg tega navaja varnostne cilje, ki jih evropske certifikacijske sheme za kibernetsko varnost želijo doseči (člen 45), med drugim zmožnost varovanja podatkov pred naključnim ali nepooblaščenim dostopom ali razkritjem, uničenjem ali spreminjanjem, in vsebino (tj. elemente) evropskih certifikacijskih shem za kibernetsko varnost, npr. podrobno specifikacijo njihovega področja uporabe, varnostne cilje, merila za ocenjevanje itd. (člen 47). Naslov III določa tudi glavne pravne učinke evropskih certifikacijskih shem za kibernetsko varnost, in sicer (i) obveznost za izvajanje sheme na nacionalni ravni in prostovoljna narava certificiranja ter (ii) razveljavitveni učinek evropskih certifikacijskih shem za kibernetsko varnost za nacionalne sheme pri istih izdelkih ali storitvah (člena 48 in 49). Nadalje naslov III določa postopek za sprejetje evropskih certifikacijskih shem za kibernetsko varnost ter vloge Komisije, agencije ENISA in Evropske certifikacijske skupine za kibernetsko varnost (v nadaljnjem besedilu: skupina) (člen 44). Nenazadnje, naslov III vsebuje določbe, ki urejajo organe za ugotavljanje skladnosti, vključno z njihovimi zahtevami, pooblastili in nalogami, nacionalne organe za nadzor nad certificiranjem ter kazni. Naslov III skupino ustanavlja kot bistveni organ, ki ga sestavljajo predstavniki nacionalnih organov za nadzor nad certificiranjem, katerih glavna naloga je sodelovati z agencijo ENISA pri pripravi evropskih certifikacijskih shem za kibernetsko varnost in svetovati Komisiji o splošnih ali posebnih vprašanjih, ki zadevajo politiko kibernetske varnosti. Naslov IV Uredbe vključuje končne določbe, ki opisujejo izvajanje pooblastil, zahteve glede ocenjevanja, razveljavitev in nasledstvo ter začetek veljavnosti.



2017/0225 (COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o Agenciji EU za kibernetsko varnost ENISA in razveljavitvi Uredbe (EU) št. 526/2013 ter certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti (uredba o kibernetski varnosti) (Besedilo velja za EGP) EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 114 Pogodbe, ob upoštevanju predloga Evropske komisije, po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom, ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora, ob upoštevanju mnenja Odbora regij, v skladu z rednim zakonodajnim postopkom, ob upoštevanju naslednjega: (1)Omrežja in informacijski sistemi ter telekomunikacijska omrežja in storitve imajo ključno vlogo v družbi ter so postali temelj gospodarske rasti. Informacijske in komunikacijske tehnologije so osnova za kompleksne sisteme, ki podpirajo družbene dejavnosti, omogočajo, da naša gospodarstva delujejo v ključnih sektorjih, kot so zdravstvo, energetika, finance in promet, ter zlasti podpirajo delovanje notranjega trga. (2)Med posamezniki, podjetji in vladami po vsej Uniji prevladuje uporaba omrežij in informacijskih sistemov. Digitalizacija in povezljivost postajata poglavitni značilnosti vse večjega števila izdelkov in storitev, s prihodom interneta stvari (IoT) pa naj bi se v naslednjem desetletju po vsej EU začelo uporabljati na milijone, morda celo milijarde povezanih digitalnih naprav. Medtem ko je vse več naprav povezanih z internetom, v njihovo zasnovo nista zadostno vključeni varnost in odpornost, kar vodi v nezadostno kibernetsko varnost. Omejeno certificiranje zato pomeni nezadostne informacije za organizacijske in posamezne uporabnike o lastnostih izdelkov in storitev IKT glede kibernetske varnosti, kar spodkopava zaupanje v digitalne rešitve. (3)Večja digitalizacija in povezljivost vodita v večja tveganja na področju kibernetske varnosti, zaradi česar je družba na splošno bolj ranljiva za kibernetske grožnje, nevarnosti, s katerimi se srečujejo posamezniki, vključno z ranljivimi osebami, kot so otroci, pa so večje. Da bi ublažili tovrstno tveganje za družbo, je treba sprejeti vse potrebne ukrepe, da bi izboljšali kibernetsko varnost v EU in tako omrežja in informacijske sisteme, telekomunikacijska omrežja ter digitalne izdelke, storitve in naprave, ki jih uporabljajo posamezniki, vlade in podjetja (od malih in srednjih podjetij do upravljavcev kritičnih infrastruktur), bolje zaščitili pred kibernetskimi grožnjami. (4)Kibernetski napadi so vse pogostejši ter povezana gospodarstvo in družba, ki sta bolj ranljiva za kibernetske grožnje in napade, potrebujeta boljšo obrambo. Čeprav so kibernetski napadi pogosto čezmejni, so odzivi politike organov za kibernetsko varnost in pristojnosti za kazenski pregon večinoma nacionalni. Veliki kibernetski incidenti lahko povzročijo motnje pri zagotavljanju bistvenih storitev po vsej EU. Zato sta potrebna učinkovit odziv in krizno upravljanje na ravni EU, in sicer na podlagi namenskih politik in širših instrumentov za evropsko solidarnost in medsebojno pomoč. Poleg tega je za oblikovalce politike, podjetja in uporabnike zato pomembno, da se na podlagi zanesljivih podatkov Unije redno ocenjuje stanje kibernetske varnosti in odpornosti v Uniji ter sistematično napovedujejo prihodnji razvoj, izzivi in grožnje, tako na ravni Unije kot na svetovni ravni. (5)Glede na večje izzive na področju kibernetske varnosti, s katerimi se spopada Unija, je potreben celovit sklop ukrepov, ki bi temeljili na prejšnjih ukrepih Unije in spodbujali cilje, ki se vzajemno krepijo. Ti vključujejo potrebo po nadaljnji krepitvi zmogljivosti in pripravljenosti držav članic in podjetij ter po boljšem sodelovanju in usklajevanju med državami članicami ter institucijami, agencijami in organi EU. Poleg tega je treba glede na to, da kibernetske grožnje ne poznajo meja, povečati zmogljivosti na ravni Unije, ki bi lahko dopolnjevale ukrepe držav članic, zlasti v primeru velikih čezmejnih kibernetskih incidentov in kriz. Potrebna so dodatna prizadevanja za večjo ozaveščenost državljanov in podjetij o vprašanjih kibernetske varnosti. Poleg tega bi bilo treba zaupanje v enotni digitalni trg dodatno okrepiti z zagotavljanjem preglednih informacij o ravni varnosti izdelkov in storitev IKT. To je mogoče lažje doseči s certificiranjem na ravni EU, ki bi zagotavljalo skupne zahteve in merila za ocenjevanje glede kibernetske varnosti za vse nacionalne trge in sektorje. (6)Leta 2004 sta Evropski parlament in Svet sprejela Uredbo (ES) št. 460/2004 o ustanovitvi agencije ENISA, ki naj bi prispevala k ciljema, da se zagotovi visoka raven varnosti omrežij in informacij v Uniji ter razvije kultura varnosti omrežij in informacij v korist državljanov, potrošnikov, podjetij in javnih uprav. Leta 2008 sta Evropski parlament in Svet sprejela Uredbo (ES) št. 1007/2008, s katero sta mandat Agencije podaljšala do marca 2012. Z Uredbo (ES) št. 580/2011 se je mandat Agencije podaljšal do 13. septembra 2013. Leta 2013 sta Evropski parlament in Svet sprejela Uredbo (EU) št. 526/2013 o agenciji ENISA in razveljavitvi Uredbe (ES) št. 460/2004, s katero je bil mandat Agencije podaljšan do junija 2020. (7)Unija je že sprejela pomembne ukrepe za zagotovitev kibernetske varnosti in okrepitev zaupanja v digitalne tehnologije. Leta 2013 je bila sprejeta strategija Evropske unije za kibernetsko varnost, ki naj bi Uniji zagotavljala smernice pri oblikovanju politike glede odziva na kibernetske grožnje in tveganja. V prizadevanjih za boljšo zaščito evropskih državljanov na spletu je Unija leta 2016 sprejela prvi zakonodajni akt na področju kibernetske varnosti, in sicer Direktivo (EU) 2016/1148 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (v nadaljnjem besedilu: direktiva o varnost omrežij in informacij). Direktiva o varnosti omrežij in informacij določa zahteve glede nacionalnih zmogljivosti na področju kibernetske varnosti, vzpostavlja prve mehanizme za okrepitev strateškega in operativnega sodelovanja med državami članicami ter uvaja obveznosti glede varnostnih ukrepov in priglasitev incidentov v vseh sektorjih, ki so ključni za gospodarstvo in družbo, npr. v energetiki, prometu, vodnem sektorju, bančništvu, infrastrukturah finančnih trgov, zdravstvu, digitalni infrastrukturi, in pri ponudnikih ključnih digitalnih storitev (iskalniki, storitve računalništva v oblaku in spletne tržnice). Pri podpori izvajanju navedene direktive je bila ključna vloga dodeljena agenciji ENISA. Poleg tega je učinkovit boj proti kibernetski kriminaliteti pomembna prednostna naloga v evropski agendi za varnost, saj prispeva k skupnemu cilju doseganja visoke ravni kibernetske varnosti. (8)Znano je, da se je po sprejetju strategije EU za kibernetsko varnost leta 2013 in po zadnji reviziji mandata Agencije splošni okvir politike znatno spremenil, tudi v zvezi z bolj negotovimi in manj varnimi svetovnimi razmerami. V tem oziru in v okviru nove politike Unije za kibernetsko varnost je treba pregledati mandat agencije ENISA, da bi opredelili njeno vlogo v spremenjenem ekosistemu kibernetske varnosti in zagotovili, da učinkovito prispeva k odzivanju Unije na izzive na področju kibernetske varnosti, ki izhajajo iz teh korenito spremenjenih groženj in za katere, kot je ugotovljeno v oceni Agencije, sedanji mandat ne zadostuje. (9)Agencija, ustanovljena s to uredbo, bi morala nadomestiti agencijo ENISA, ki je bila ustanovljena z Uredbo (EU) št. 526/2013. Agencija bi morala opravljati naloge, ki so ji podeljene s to uredbo in pravnimi akti Unije na področju kibernetske varnosti, med drugim zagotavljati strokovno znanje in svetovanje ter delovati kot središče informacij in znanja v Uniji. Spodbujati bi morala izmenjavo najboljših praks med državami članicami in zasebnimi zainteresiranimi stranmi, zagotavljati predloge politik Evropski komisiji in državam članicam, delovati kot referenčna točka za sektorske pobude politik Unije v zvezi s kibernetsko varnostjo ter spodbujati operativno sodelovanje med državami članicami ter med državami članicami in institucijami, agencijami in organi EU. (10)V okviru Sklepa 2004/97/ES, Euratom, ki je bil sprejet na seji Evropskega sveta 13. decembra 2003, so se predstavniki držav članic odločili, da bo sedež agencije ENISA v grškem mestu, ki ga določi grška vlada. Država članica, ki je gostiteljica Agencije, bi morala zagotoviti najboljše možne pogoje za nemoteno in učinkovito delovanje Agencije. Za pravilno in učinkovito izvajanje njenih nalog, zaposlovanje in ohranitev osebja ter večjo učinkovitost dejavnosti mreženja je nujno, da je sedež Agencije na ustrezni lokaciji, kjer so denimo na voljo ustrezne prometne povezave in infrastruktura za zakonce in otroke, ki spremljajo člane osebja Agencije. Potrebne podrobnosti bi morale biti določene v sporazumu med Agencijo in državo članico gostiteljico, sklenjenem po odobritvi upravnega odbora Agencije. (11)Glede na vse večje izzive na področju kibernetske varnosti, s katerimi se spopada Unija, bi bilo treba finančne in človeške vire, dodeljene Agenciji, povečati, da bi ustrezali njeni okrepljeni vlogi in nalogam kot tudi kritičnemu položaju v sistemu organizacij, ki varujejo evropski digitalni ekosistem. (12)Agencija bi morala razviti in ohranjati visoko raven strokovnega znanja ter delovati kot referenčna točka, ki vzbuja zaupanje v enotni trg zaradi svoje neodvisnosti, kakovosti svetovanja, ki ga zagotavlja, in informacij, ki jih razširja, preglednosti svojih postopkov in načina delovanja ter skrbnosti pri izvajanju svojih nalog. Agencija bi morala proaktivno prispevati k prizadevanjem držav članic in Unije ter obenem opravljati svoje naloge ob popolnem sodelovanju z institucijami, organi, uradi in agencijami držav članic. Poleg tega bi moralo delo Agencije temeljiti na prispevkih in sodelovanju zasebnega sektorja ter drugih zadevnih zainteresiranih strani. Sklop nalog bi moral določati, kako naj Agencija doseže svoje cilje, ter hkrati dopuščati prožnost pri njenem delovanju. (13)Agencija bi morala Komisiji pomagati z nasveti, mnenji in analizami v zvezi z vsemi vprašanji Unije, povezanimi z oblikovanjem, posodabljanjem in pregledovanjem politik in prava na področju kibernetske varnosti, vključno z zaščito kritične infrastrukture in kibernetsko odpornostjo. Agencija bi morala delovati kot referenčna točka za svetovanje in strokovno znanje za sektorsko politiko in zakonodajne pobude Unije pri zadevah v zvezi s kibernetsko varnostjo.

(14)Temeljna naloga Agencije je, da spodbuja dosledno izvajanje zadevnega pravnega okvira, zlasti učinkovito izvajanje direktive o varnosti omrežij in informacij, kar je ključno za povečanje kibernetske odpornosti. Glede na hitro razvijajoče se kibernetske grožnje je jasno, da je treba države članice podpirati s celovitejšim medsektorskim pristopom h krepitvi kibernetske odpornosti. (15)Agencija bi morala državam članicam ter institucijam, organom, uradom in agencijam Unije pomagati pri njihovih prizadevanjih za vzpostavljanje in krepitev zmogljivosti in pripravljenosti za preprečevanje, odkrivanje in odzivanje na težave in incidente na področju kibernetske varnosti kot tudi pri zadevah v zvezi z varnostjo omrežij in informacijskih sistemov. Agencija bi morala zlasti podpirati razvoj in krepitev nacionalnih skupin CSIRT, da bi te dosegle visoko skupno raven zrelosti v Uniji. Agencija bi morala nuditi pomoč tudi pri oblikovanju in posodabljanju strategij Unije in držav članic za varnost omrežij in informacijskih sistemov, zlasti na področju kibernetske varnosti, ter spodbujati razširjanje teh strategij in spremljati napredek pri njihovem izvajanju. Poleg tega bi morala Agencija javnim organom zagotavljati usposabljanje in gradivo za usposabljanje ter po potrebi „usposabljati izvajalce usposabljanj“, da bi državam članicam pomagala pri razvoju lastnih zmogljivosti za usposabljanje. (16) Agencija bi morala skupini za sodelovanje, ustanovljeni z direktivo o varnosti omrežij in informacij, pomagati pri izvajanju njenih nalog, predvsem z zagotavljanjem strokovnega znanja in svetovanja ter omogočanjem lažje izmenjave najboljših praks, zlasti glede določitve izvajalcev bistvenih storitev s strani držav članic, tudi glede čezmejnih odvisnosti v zvezi s tveganji in incidenti. (17)Da bi Agencija spodbujala sodelovanje med javnim in zasebnim sektorjem ter znotraj zasebnega sektorja, zlasti da bi podpirala zaščito kritičnih infrastruktur, bi morala olajševati vzpostavitev sektorskih centrov za izmenjavo in analizo informacij (ISAC) z zagotavljanjem najboljših praks in smernic o razpoložljivih orodjih, postopkov ter smernic o tem, kako obravnavati regulativna vprašanja, povezana z izmenjavo informacij. (18)Agencija bi morala zbrati in analizirati nacionalna poročila skupin CSIRT in skupine CERT-EU ter določiti skupna pravila, jezik in terminologijo za izmenjavo informacij. Agencija bi morala v okviru direktive o varnosti omrežij in informacij, ki je določila temelje za prostovoljno izmenjavo tehničnih informacij na operativni ravni z ustanovitvijo mreže skupin CSIRT, vključiti tudi zasebni sektor. (19)Agencija bi morala prispevati k odzivu na ravni EU v primeru velikih čezmejnih kibernetskih incidentov in kriz. Ta naloga bi morala vključevati zbiranje ustreznih informacij ter posredovanje med mrežo skupin CSIRT, tehnično skupnostjo in nosilci odločitev, pristojnimi za krizno upravljanje. Poleg tega bi Agencija lahko nudila podporo pri obravnavi incidentov s tehničnega vidika, tako da bi olajšala ustrezno tehnično izmenjavo rešitev med državami članicami in zagotavljala informacije za komuniciranje z javnostjo. Agencija bi morala ta proces podpirati s preskušanjem načinov takšnega sodelovanja v okviru vsakoletnih vaj na področju kibernetske varnosti. (20)Agencija bi morala pri izvajanju operativnih nalog uporabljati razpoložljivo strokovno znanje skupine CERT-EU prek strukturiranega sodelovanja v neposredni fizični bližini. Strukturirano sodelovanje bo olajšalo potrebne sinergije in okrepilo strokovno znanje agencije ENISA. Po potrebi bi bilo treba določiti posebno ureditev med tema dvema organizacijama, s katero bi določili praktično izvajanje tega sodelovanja. (21)Agencija bi morala v skladu s svojimi operativnimi nalogami imeti možnost, da zagotavlja podporo državam članicam, na primer s svetovanjem ali nudenjem tehnične pomoči ali opravljanjem analiz groženj in incidentov. Priporočilo Komisije o usklajenem odzivu na velike kibernetske incidente in krize državam članicam priporoča, naj sodelujejo v dobri veri ter si med seboj in z agencijo ENISA izmenjujejo informacije o velikih kibernetskih incidentih in krizah brez nepotrebnega odlašanja. Take informacije bi morale nadalje pomagati agenciji ENISA pri izvajanju njenih operativnih nalog. (22)Kot del rednega sodelovanja na tehnični ravni za podporo situacijskemu zavedanju v Uniji bi morala Agencija redno pripravljati tehnično poročilo o stanju na področju kibernetske varnosti v EU glede incidentov in groženj, ki bi temeljilo na javno dostopnih informacijah, lastni analizi ter poročilih, ki ji jih pošljejo skupine CSIRT držav članic (prostovoljno) ali enotne kontaktne točke iz direktive o varnosti omrežij in informacij, Evropski center za boj proti kibernetski kriminaliteti (EC3) pri Europolu, skupina CERT-EU ter po potrebi Obveščevalni in situacijski center Evropske unije (INTCEN) pri Evropski službi za zunanje delovanje (ESZD). Poročilo bi moralo biti na voljo ustreznim telesom Sveta, Komisiji, visokemu predstavniku Unije za zunanje zadeve in varnostno politiko ter mreži skupin CSIRT. (23)Naknadne tehnične preiskave incidentov z znatnimi posledicami v več kot eni državi članici, ki jih podpira ali opravlja Agencija na zahtevo ali s soglasjem zadevnih držav članic, bi morale biti usmerjene na preprečevanje prihodnjih incidentov in se izvajati brez poseganja v sodne ali upravne postopke za pripisovanje krivde ali odgovornosti. (24)Zadevne države članice bi morale za namene preiskave ali iz drugih razlogov javne politike zagotoviti potrebne informacije in pomoč Agenciji brez poseganja v člen 346 Pogodbe o delovanju Evropske unije. (25)Države članice lahko podjetja, ki jih je incident prizadel, povabijo, naj sodelujejo z zagotavljanjem potrebnih informacij in pomoči Agenciji, brez poseganja v njihovo pravico do varovanja poslovno občutljivih informacij. (26)Agencija mora za boljše razumevanje izzivov na področju kibernetske varnosti in z namenom zagotavljanja dolgoročnega strateškega svetovanja državam članicam in institucijam Unije analizirati sedanja in nastajajoča tveganja. V ta namen bi morala Agencija v sodelovanju z državami članicami ter po potrebi statističnimi uradi in drugimi organi zbirati ustrezne informacije ter opravljati analize nastajajočih tehnologij in tematske ocene o pričakovanih družbenih, pravnih, gospodarskih in regulativnih vplivih tehnoloških inovacij na varnost omrežij in informacij, zlasti na kibernetsko varnost. Agencija bi morala poleg tega države članice ter institucije, agencije in organe Unije podpirati pri prepoznavanju novih trendov in preprečevanju težav v zvezi s kibernetsko varnostjo z opravljanjem analiz groženj in incidentov. (27)Da bi povečali odpornost Unije, bi morala Agencija razvijati odličnost na področju varnosti internetne infrastrukture in kritičnih infrastruktur z zagotavljanjem svetovanja, smernic in najboljših praks. Agencija bi morala z namenom zagotavljanja lažjega dostopa do bolje strukturiranih informacij o kibernetskih tveganjih in možnih rešitvah razvijati in vzdrževati „informacijsko vozlišče“ Unije – portal „vse na enem mestu“, ki bi javnosti nudil informacije o kibernetski varnosti, ki izhajajo iz institucij, agencij in organov EU in držav članic. (28)Agencija bi morala prispevati k ozaveščanju javnosti o tveganjih glede kibernetske varnosti in zagotavljati smernice o dobrih praksah za posamezne uporabnike, ki so namenjene državljanom in organizacijam. Agencija bi morala prispevati tudi k spodbujanju najboljših praks in rešitev na ravni posameznikov in organizacij z zbiranjem in analiziranjem javno dostopnih informacij o pomembnih incidentih ter pripravljanjem poročil, da bi zagotovila smernice za podjetja in državljane ter izboljšala splošno raven pripravljenosti in odpornosti. Agencija bi morala poleg tega v sodelovanju z državami članicami ter institucijami, organi, uradi in agencijami Unije organizirati redne kampanje ozaveščanja in redne javne izobraževalne kampanje za končne uporabnike, katerih namen je spodbujati varnejše ravnanje posameznikov na spletu in povečati ozaveščenost o potencialnih grožnjah v kibernetskem prostoru, vključno s kibernetsko kriminaliteto, kot so napadi z zvabljanjem, botneti, finančne in bančne goljufije, pa tudi spodbujati osnovno svetovanje o avtentikaciji in varstvu podatkov. Agencija bi morala imeti osrednjo vlogo pri pospeševanju ozaveščenosti končnih uporabnikov glede varnosti naprav. (29)Agencija bi morala v podporo podjetjem, ki poslujejo v sektorju kibernetske varnosti, in uporabnikom rešitev kibernetske varnosti vzpostaviti in vzdrževati „tržni observatorij“ z izvajanjem rednih analiz in razširjanjem glavnih trendov na trgu kibernetske varnosti, tako na strani povpraševanja kot na strani ponudbe. (30)Da bi zagotovili, da lahko Agencija v celoti izpolni svoje cilje, bi morala sodelovati z ustreznimi institucijami, agencijami in organi, vključno s skupino CERT-EU, Evropskim centrom za boj proti kibernetski kriminaliteti (EC3) pri Europolu, Evropsko obrambno agencijo (EDA), Evropsko agencijo za operativno upravljanje obsežnih informacijskih sistemov (eu-LISA), Evropsko agencijo za varnost v letalstvu (EASA) in vsemi drugimi agencijami EU, ki se ukvarjajo s kibernetsko varnostjo. Prav tako bi morala sodelovati z organi, ki se ukvarjajo z varstvom podatkov, da bi izmenjevala tehnično znanje in izkušnje ter najboljše prakse kot tudi nudila svetovanje glede vidikov kibernetske varnosti, ki bi lahko vplivali na njihovo delo. Predstavniki organov odkrivanja in pregona ter organov za varstvo podatkov na ravni držav članic in na ravni Unije bi morali imeti možnost, da so zastopani v stalni skupini zainteresiranih strani Agencije. Agencija bi morala pri sodelovanju z organi odkrivanja in pregona v zvezi z vidiki varnosti omrežij in informacij, ki bi lahko vplivali na njihovo delo, upoštevati obstoječe informacijske poti in vzpostavljena omrežja. (31)Agencija bi morala kot članica, ki poleg tega zagotavlja sekretariat za mrežo skupin CSIRT, podpirati skupine CSIRT držav članic in skupino CERT-EU pri operativnem sodelovanju pri vseh zadevnih nalogah mreže skupin CSIRT, kot so opredeljene v direktivi o varnosti omrežij in informacij. Nadalje bi morala Agencija spodbujati in podpirati sodelovanje med ustreznimi skupinami CSIRT v primeru incidentov, napadov ali motenj omrežij ali infrastrukture, ki jo upravljajo ali varujejo skupine CSIRT, in ki vključujejo ali bi lahko vključevali najmanj dve skupini CERT, ob upoštevanju standardnih operativnih postopkov mreže skupin CSIRT. (32)Da bi Agencija povečala pripravljenost Unije pri odzivanju na kibernetske incidente, bi morala organizirati letne vaje na področju kibernetske varnosti na ravni Unije in, na njihovo zahtevo, podpirati države članice ter institucije, agencije in organe EU pri organiziranju vaj. (33)Agencija bi morala še naprej razvijati in ohranjati svoje strokovno znanje na področju certificiranja kibernetske varnosti, da bi lahko podpirala politike Unije na tem področju. Agencija bi morala spodbujati uporabo certificiranja kibernetske varnosti v Uniji, vključno s prispevanjem k vzpostavitvi in ohranjanju certifikacijskega okvira za kibernetsko varnost na ravni Unije, da bi tako okrepila preglednost zagotovil izdelkov in storitev IKT glede kibernetske varnosti kot tudi zaupanje na digitalnem notranjem trgu.

(34)Učinkovite politike kibernetske varnosti bi morale v javnem in zasebnem sektorju temeljiti na dobro razvitih metodah za ocenjevanje tveganj. Metode za ocenjevanje tveganj se uporabljajo na različnih ravneh, skupne prakse o tem, kako jih učinkovito izvajati, pa ni. Spodbujanje in razvoj najboljših praks za ocenjevanje tveganj in interoperabilne rešitve za obvladovanje tveganj v javnih in zasebnih organizacijah bosta povečala raven kibernetske varnosti v Uniji. V ta namen bi morala Agencija spodbujati sodelovanje med zainteresiranimi stranmi na ravni Unije ter jih podpirati v prizadevanjih, da vzpostavijo in uvedejo evropske in mednarodne standarde za obvladovanje tveganj in merljivo varnost elektronskih izdelkov, sistemov, omrežij in storitev, ki skupaj s programsko opremo zajemajo omrežja in informacijske sisteme. (35)Agencija bi morala države članice in ponudnike storitev spodbujati k zvišanju njihovih splošnih varnostnih standardov, da bi vsi uporabniki interneta lahko ustrezno poskrbeli za svojo osebno kibernetsko varnost. Natančneje, ponudniki storitev in proizvajalci izdelkov bi morali umakniti s trga ali reciklirati izdelke in storitve, ki ne izpolnjujejo standardov kibernetske varnosti. Agencija ENISA lahko v sodelovanju s pristojnimi organi razširja informacije o ravni kibernetske varnosti izdelkov in storitev na notranjem trgu ter izdaja opozorila, namenjena ponudnikom storitev in proizvajalcem, s katerimi od njih zahteva, da izboljšajo varnost, tudi kibernetsko, svojih izdelkov in storitev. (36)Agencija bi morala v celoti upoštevati tekoče dejavnosti na področju raziskav, razvoja in tehnološkega ocenjevanja, zlasti tiste, ki potekajo v okviru raznih raziskovalnih pobud Unije, da bi lahko svetovala institucijam, organom, uradom in agencijam Unije ter, po potrebi in na njihovo zahtevo, državam članicam glede potreb pri raziskavah na področju varnosti omrežij in informacij, zlasti kibernetske varnosti. (37)Težave, povezane s kibernetsko varnostjo, imajo svetovno razsežnost. Da bi se izboljšali varnostni standardi, je potrebno tesnejše mednarodno sodelovanje, vključno z opredelitvijo skupnih pravil ravnanja, izmenjavo informacij in spodbujanjem hitrejšega mednarodnega sodelovanja pri odzivanju na zadeve, ki se nanašajo na varnost omrežij in informacij, pa tudi skupnega globalnega pristopa do teh vprašanj. V ta namen bi morala Agencija podpirati nadaljnjo udeležbo in sodelovanje Unije s tretjimi državami in mednarodnimi organizacijami, tako da bi po potrebi ustreznim institucijam, organom, uradom in agencijam Unije zagotavljala potrebno strokovno znanje in analize. (38)Agencija bi morala imeti možnost, da se odzove na ad hoc zahteve po svetovanju in pomoči s strani držav članic ter institucij, agencij in organov EU, ki jih zadevajo cilji Agencije. (39)Da bi se upoštevala skupna izjava in skupni pristop, o katerih se je julija 2012 dogovorila medinstitucionalna delovna skupina za decentralizirane agencije EU in ki sta namenjena racionalizaciji dejavnosti agencij ter izboljšanju njihovega delovanja, je treba izvajati nekatera načela v zvezi z upravljanjem Agencije. Skupna izjava in skupni pristop bi se morala po potrebi upoštevati tudi pri delovnih programih, ocenah, poročanju in upravnih praksah Agencije. (40)Upravni odbor, ki ga sestavljajo predstavniki držav članic in Komisije, bi moral določati splošno usmeritev dejavnosti Agencije in zagotavljati, da ta naloge opravlja v skladu s to uredbo. Na upravni odbor bi bilo treba prenesti pooblastila, potrebna za pripravo proračuna, preverjanje njegovega izvrševanja, sprejetje ustreznih finančnih pravil, uvedbo preglednih delovnih postopkov za sprejemanje odločitev Agencije, sprejetje enotnega programskega dokumenta Agencije in lastnega poslovnika, imenovanje izvršnega direktorja ter odločitev o podaljšanju in koncu mandata izvršnega direktorja. (41)Da bi Agencija pravilno in učinkovito delovala, bi morale Komisija in države članice zagotoviti, da imajo osebe, ki so imenovane v upravni odbor, ustrezno strokovno znanje in izkušnje na funkcijskih področjih. Komisija in države članice bi si morale prizadevati tudi za omejitev menjav svojih predstavnikov v upravnem odboru, da bi zagotovile njegovo neprekinjeno delovanje. (42)Da bi Agencija delovala nemoteno, je treba njenega izvršnega direktorja imenovati na podlagi zaslug ter dokazanih upravnih in vodstvenih sposobnosti ter ustrezne usposobljenosti in izkušenj s področja kibernetske varnosti, izvršni direktor pa mora svoje naloge opravljati popolnoma neodvisno. V ta namen bi moral izvršni direktor po predhodnem posvetovanju s Komisijo pripraviti predlog delovnega programa Agencije ter sprejeti vse potrebne ukrepe, da bi zagotovil nemoteno izvajanje delovnega programa Agencije. Izvršni direktor bi moral pripraviti letno poročilo, ki se predloži upravnemu odboru, ter osnutek poročila o načrtu prihodkov in odhodkov za Agencijo ter izvrševati proračun. Nadalje bi moral izvršni direktor imeti možnost, da ustanovi ad hoc delovne skupine, da preučijo posamezna vprašanja, zlasti znanstvene, tehnološke, pravne ali družbeno-gospodarske narave. Izvršni direktor bi moral zagotoviti, da so člani ad hoc delovnih skupin izbrani v skladu z najvišjimi strokovnimi standardi, pri čemer bi moral glede na posamezno vprašanje ustrezno upoštevati ravnovesje med predstavniki javnih uprav držav članic, institucij Unije in zasebnega sektorja, vključno s podjetji, uporabniki in znanstveniki s področja varnosti omrežij in informacij. (43)Izvršni odbor bi moral prispevati k učinkovitemu delovanju upravnega odbora. V okviru pripravljalnega dela v zvezi z odločitvami upravnega odbora bi bilo treba podrobno preučiti ustrezne informacije, raziskati razpoložljive možnosti ter ponuditi nasvete in rešitve za pripravo ustreznih odločitev upravnega odbora. (44)Agencija bi morala imeti stalno skupino zainteresiranih strani, ki bi delovala kot svetovalni organ, da bi zagotovila reden dialog z zasebnim sektorjem, združenji potrošnikov in drugimi ustreznimi zainteresiranimi stranmi. Stalna skupina zainteresiranih strani, ki jo na predlog izvršnega direktorja ustanovi upravni odbor, bi morala obravnavati zadeve, ki so pomembne za zainteresirane strani, in o njih obvestiti Agencijo. Sestava stalne skupine zainteresiranih strani, ki naj bi podala svoj prispevek predvsem glede osnutka delovnega programa, in naloge, dodeljene tej skupini, bi morale zagotoviti zadostno zastopanost zainteresiranih strani pri delu Agencije. (45)Agencija bi morala sprejeti pravila za preprečevanje in obvladovanje nasprotij interesov. Agencija bi morala poleg tega uporabljati ustrezne predpise Unije o dostopu javnosti do dokumentov iz Uredbe Evropskega parlamenta in Sveta (ES) št. 1049/2001. Agencija bi morala osebne podatke obdelovati v skladu z Uredbo (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov. Agencija bi morala spoštovati določbe, ki veljajo za institucije Unije, in nacionalno zakonodajo o ravnanju s podatki, zlasti občutljivimi netajnimi podatki in tajnimi podatki EU. (46)Da se Agenciji zagotovita popolna samostojnost in neodvisnost ter se ji omogoči, da lahko opravlja dodatne in nove naloge, tudi nepredvidene nujne naloge, bi ji bilo treba dodeliti zadostna lastna proračunska sredstva, ki se večinoma zagotovijo s prispevkom Unije in prispevki tretjih držav, ki sodelujejo pri delu Agencije. Večina osebja Agencije bi morala neposredno sodelovati pri operativnem izvajanju njenega mandata. Državi članici gostiteljici ali vsaki drugi državi članici bi moralo biti dovoljeno, da lahko prostovoljno prispeva k prihodkom Agencije. Za subvencije v breme splošnega proračuna Unije bi se moral še vedno uporabljati postopek za sprejemanje proračuna Unije. Revizijo zaključnih računov Agencije bi moralo opraviti Računsko sodišče, da bi bili zagotovljeni preglednost in odgovornost. (47)Ugotavljanje skladnosti pomeni proces ugotavljanja, ali so posebne zahteve glede izdelka, postopka, storitve, sistema, osebe ali organa izpolnjene. Za namene te uredbe bi bilo treba certificiranje šteti za vrsto ugotavljanja skladnosti glede lastnosti izdelka, postopka, storitve, sistema ali kombinacije teh elementov (v nadaljnjem besedilu: izdelki in storitve IKT), povezane s kibernetsko varnostjo, ki ga izvede neodvisna tretja stran, ki ni proizvajalec izdelka ali ponudnik storitev. Certificiranje samo po sebi ne more jamčiti, da so certificirani izdelki in storitve IKT kibernetsko varni. Gre bolj za postopek in tehnično metodologijo za potrditev, da so bili izdelki in storitve IKT preskušeni ter da izpolnjujejo nekatere zahteve glede kibernetske varnosti, določene drugje, na primer v tehničnih standardih. (48)Certificiranje kibernetske varnosti ima pomembno vlogo pri krepitvi zaupanja in varnosti izdelkov in storitev IKT. Enotni digitalni trg, zlasti podatkovno gospodarstvo in internet stvari, lahko uspevajo le, če obstaja splošno zaupanje javnosti, da ti izdelki in storitve nudijo določeno stopnjo zagotovila kibernetske varnosti. Povezani in avtomatizirani avtomobili, elektronski medicinski pripomočki, nadzorni sistemi industrijske avtomatizacije ter pametna omrežja so le nekateri primeri sektorjev, v katerih je certificiranje že razširjeno ali se bo verjetno uporabljalo v bližnji prihodnosti. Sektorji, ki jih ureja direktiva o varnosti omrežij in informacij, so poleg tega sektorji, v katerih je certificiranje kibernetske varnosti ključnega pomena. (49)V sporočilu „Krepitev odpornosti evropskega sistema kibernetske varnosti ter spodbujanje konkurenčne in inovativne industrije kibernetske varnosti“ iz leta 2016 je Komisija opredelila potrebo po visokokakovostnih, cenovno dostopnih in interoperabilnih izdelkih in rešitvah na področju kibernetske varnosti. Dobava izdelkov IKT in opravljanje storitev IKT na enotnem trgu sta geografsko še vedno zelo razdrobljena. Razlog za to je, da se je industrija kibernetske varnosti v Evropi razvila predvsem zaradi povpraševanja nacionalnih vlad. Poleg tega so med drugimi vrzelmi, ki vplivajo na enotni trg kibernetske varnosti, pomanjkanje interoperabilnih rešitev (tehničnih standardov), praks in vseevropskih mehanizmov certificiranja. Po eni strani evropska podjetja zato težko konkurirajo na nacionalni, evropski in svetovni ravni. Po drugi strani pa se s tem zmanjšuje izbira učinkovitih in uporabnih tehnologij kibernetske varnosti, do katerih imajo dostop državljani in podjetja. Podobno je Komisija v vmesnem pregledu izvajanja strategije za enotni digitalni trg poudarila potrebo po varnih povezanih izdelkih in sistemih ter navedla, da bi z ustanovitvijo evropskega okvira za varnost IKT s pravili za organizacijo varnostnega certificiranja IKT v Uniji lahko ohranili zaupanje v internet in odpravili sedanjo razdrobljenost trga kibernetske varnosti. (50)Zdaj se certificiranje izdelkov in storitev IKT glede kibernetske varnosti uporablja le v omejenem obsegu. Če obstaja, večinoma poteka na ravni držav članic ali v okviru shem, ki jih usmerja industrija. Tako certifikat, ki ga izda organ za kibernetsko varnost ene države članice, praviloma ni priznan v drugih državah članicah. Tako je možno, da morajo podjetja svoje izdelke in storitve certificirati v več državah članicah, v katerih poslujejo, da bi na primer lahko sodelovala v nacionalnih postopkih javnega naročanja. Poleg tega se zdi, da ni usklajenega in celovitega pristopa k horizontalnim vidikom kibernetske varnosti (npr. na področju interneta stvari), čeprav se pojavljajo nove sheme. Pri obstoječih shemah se pojavljajo znatne pomanjkljivosti in razlike v smislu pokritosti izdelkov, stopenj zagotovila, vsebinskih meril in dejanske uporabe. (51)V preteklosti so že potekala prizadevanja za medsebojno priznavanje certifikatov v Evropi. Vendar pa so bila le delno uspešna. Najpomembnejši primer zato je sporazum o vzajemnem priznavanju (MRA) skupine visokih uradnikov za varnost informacijskih sistemov (SOG-IS). Čeprav SOG-IS MRA pomeni najpomembnejši model za sodelovanje in vzajemno priznavanje na področju varnostnega certificiranja, vsebuje nekaj večjih pomanjkljivosti, povezanih z njegovimi visokimi stroški in omejenim področjem uporabe. Do zdaj je bilo razvitih le nekaj profilov zaščite digitalnih izdelkov, kot so digitalni podpis, digitalni tahograf in pametne kartice. Najpomembneje pa je, da SOG-IS zajema le del držav članic Unije. To omejuje učinkovitost SOG-IS MRA z vidika notranjega trga. (52)Glede na navedeno je treba vzpostaviti evropski certifikacijski okvir za kibernetsko varnost, ki bi določal glavne horizontalne zahteve za evropske certifikacijske sheme za kibernetsko varnost, ki bi jih bilo treba oblikovati, in omogočal, da bi se certifikati za izdelke in storitve IKT priznavali in uporabljali v vseh državah članicah. Evropski okvir bi moral imeti dvojni cilj: po eni strani naj bi pripomogel k povečanju zaupanja v izdelke in storitve IKT, ki so bili certificirani v skladu s takimi shemami; po drugi strani pa naj bi preprečeval kopičenje nasprotujočih si ali prekrivajočih se nacionalnih certifikacijskih shem za kibernetsko varnost in tako zmanjšal stroške za podjetja, ki poslujejo na enotnem digitalnem trgu. Programi bi morali biti nediskriminatorni in temeljiti na mednarodnih standardih in/ali standardih Unije, razen če so ti standardi neučinkoviti ali neprimerni za dosego legitimnih ciljev EU v tem oziru. (53)Komisija bi morala biti pooblaščena za sprejemanje evropskih certifikacijskih shem za kibernetsko varnost za določene skupine izdelkov in storitev IKT. Te sheme bi morali izvajati in nadzorovati nacionalni organi za nadzor nad certificiranjem in certifikati, izdani v okviru teh shem, bi morali biti veljavni in priznani po vsej Uniji. Certifikacijske sheme, ki jih izvaja industrija ali druge zasebne organizacije, ne bi smele spadati na področje uporabe te uredbe. Vendar pa lahko organi, ki izvajajo takšne sheme, predlagajo Komisiji, naj preuči možnost, da bi te sheme odobrila kot evropsko shemo.

(54)Določbe te uredbe ne bi smele posegati v zakonodajo Unije, ki vsebuje posebne predpise o certificiranju izdelkov in storitev IKT. Zlasti Splošna uredba o varstvu podatkov vsebuje določbe za uvedbo certifikacijskih mehanizmov ter pečatov in označb za varstvo podatkov, katerih namen je dokazovanje, da so postopki obdelave, ki jih uporabljajo upravljavci in obdelovalci, skladni z navedeno uredbo. Taki certifikacijski mehanizmi ter pečati in označbe za varstvo podatkov bi morali posameznikom, na katere se podatki nanašajo, omogočati, da hitro ocenijo raven varstva podatkov zadevnih izdelkov in storitev. Ta uredba ne posega v certificiranje postopkov obdelave podatkov na podlagi Splošne uredbe o varstvu podatkov, tudi kadar so taki postopki vgrajeni v izdelke in storitve. (55)Evropske certifikacijske sheme za kibernetsko varnost bi morale zagotoviti, da izdelki in storitve IKT, certificirani v taki shemi, izpolnjujejo navedene zahteve. Takšne zahteve se nanašajo na zmožnost za odpornost, na določeni stopnji zagotovila, na dejanja, katerih namen je ogrožanje razpoložljivosti, avtentičnosti, celovitosti in zaupnosti shranjenih, prenesenih ali obdelanih podatkov ali z njimi povezanih funkcij ali storitev, ki jih ponujajo ali so dostopni prek navedenih izdelkov, postopkov, storitev in sistemov v smislu te uredbe. V tej uredbi ni mogoče podrobno določiti zahtev glede kibernetske varnosti, ki se nanašajo na vse izdelke in storitve IKT. Izdelki in storitve IKT ter s tem povezane potrebe po kibernetski varnosti so tako raznoliki, da je zelo težko oblikovati splošne zahteve glede kibernetske varnosti, ki bi veljale na vseh področjih. Zato je treba sprejeti širok in splošen pojem kibernetske varnosti za namene certificiranja, ki ga dopolnjuje sklop posebnih ciljev za kibernetsko varnost, ki jih je treba upoštevati pri oblikovanju evropskih certifikacijskih shem za kibernetsko varnost. Kako bodo takšni cilji doseženi pri posameznih izdelkih in storitvah IKT, bi bilo treba nadalje podrobno opredeliti na ravni posamezne certifikacijske sheme, ki jo sprejme Komisija, npr. s sklicem na standarde ali tehnične specifikacije. (56)Komisijo bi morali pooblastiti, da od agencije ENISA zahteva, naj pripravi predloge za sheme za posamezne izdelke ali storitve IKT. Nadalje bi morali Komisijo pooblastiti, da na podlagi predloge za shemo, ki jo predlaga agencija ENISA, sprejme evropsko certifikacijsko shemo za kibernetsko varnost z izvedbenimi akti. Ob upoštevanju splošnega namena in varnostnih ciljev,