Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om inrättandet av den europeiska byrån för nät- och informationssäkerhet

(framlagt av kommissionen)

MOTIVERING

1. BAKGRUND

I dag är över 90 % av företagen inom Europeiska unionen Internetanslutna och huvuddelen av dem har en egen webbplats. En mycket stor del av arbetstagarna använder mobiltelefon, bärbar dator eller liknande utrustning för att sända och ta emot information som rör arbetet. Sådan information kan representera betydande värden, den kan t.ex. beskriva en affärstransaktion eller innehålla tekniska kunskaper.

Också utanför arbetet har datakunskaper och nätverk blivit en viktig del av det dagliga livet. År 2002 hade omkring 40 % av hushållen i EU egen Internetanslutning och över 2/3 av befolkningen använde mobiltelefon. Skolor och universitet är i dag Internetanslutna, och inlärning och studier med hjälp av Internet tillhör vardagen. Offentliga förvaltningar utvecklas snabbt mot e-förvaltningar. Datorer och kommunikationsnät kontrollerar infrastrukturer som el- och vattenförsörjning och allmänna transportsystem. Sedan den 11 september 2001 har dessa aspekter också blivit viktiga för den nationella säkerheten.

Eftersom så mycket bygger på nät och informationssystem är det mycket viktigt att dessa fungerar säkert. Precis som folk självklart förväntar sig ständig tillgång till t.ex. el och vatten förväntar de sig att telefonen skall fungera när de lyfter luren. De förväntar sig att en dator skall fungera när de behöver den. De vill ha tillgång till lagrad information utan orimliga dröjsmål eller avbrott. Nätproblem och datakrascher är inte längre problem som bara angår dataspecialister. Nätens och informationssystemens brister berör alla, både medborgare, företag och offentliga förvaltningar.

Säkerhetsfrågorna har blivit mycket viktiga för många företag, i synnerhet e-företag. Därför har detta blivit till en bransch med specialiserade företag som säljer produkter och tjänster på affärsmässig grund. Konsumenter köper t.ex. antivirusprogram och installerar brandväggar i sina datorer. Företagen investerar i säkerhet, upprättar skyddade intranät samt krypterar e-post och trådlös kommunikation. Känsliga uppgifter överförs i krypterad form. Vissa användare verkar vara väl medvetna om sårbara punkter och klarar att hantera dessa medan andra verkar mindre kunniga och engagerade i frågan.

I dagens perspektiv handlar nät- och informationssäkerhet om att säkra tillgången till tjänster och data, att förhindra avbrott och otillåtet tillträde till meddelanden, att få bekräftelse på att uppgifter som sänts, mottagits eller lagrats är kompletta och oförändrade, att säkerställa att data behandlas konfidentiellt, att skydda informationssystem från otillåtet tillträde och mot attacker med hjälp av t.ex. destruktiva program samt att säkra en tillförlitlig autentisering, dvs. bekräfta enheternas eller användarnas angivna identitet.

Inom den närmaste framtiden kommer säkerhetskraven att fortsätta förändras snabbt i takt med att nät- och datoranvändningen vidareutvecklas och sprids överallt i samhället. Bredbandsanslutning kommer att ge människor möjligheten att koppla upp sig till Internet när som helst. Nya trådlösa tillämpningar kommer att ge användarna tillgång till Internet i stort sett var de än befinner sig, och möjligheterna att koppla upp allt från skrivare till kylskåp till Internet kommer att förändra och utvidga människors Internetanvändning.

Säkerhetsfrågorna har visat sig vara svåra och komplexa, eftersom användarna konfronteras med frågor som rör tillgång, tillförlitlighet, autenticitet och konfidentialitet för data och tjänster. Eftersom tekniken är så komplicerad måste många olika komponenter och aktörer samspela, och den mänskliga faktorn har fått en avgörande betydelse.

Man kommer förmodligen aldrig att kunna uppnå total säkerhet, åtminstone inte till en rimlig kostnad. Det kommer alltid att finnas svaga punkter, attacker, incidenter och misslyckanden som orsakar skador och underminerar förtroendet för system och tjänster. Detta område skiljer sig inte från annan teknik och andra aspekter av det dagliga livet. Både samhället som helhet och de enskilda människorna måste lära sig hantera de risker som är förbundna med nät och informationssystem.

2. SKÄL FÖR ÅTGÄRDEN

Säkerhet har blivit en viktig politisk fråga. Regeringarna ser att samhällets ansvar ökar och de gör allt större ansträngningar för att förbättra säkerheten inom det egna landets gränser. De vill t.ex. öka säkerheten genom att stödja särskilda grupper för hantering av brådskande problem inom dataområdet, forskning och informationskampanjer. De utrustar och utbildar också polis- och rättsväsendet för att klara dator- och Internetrelaterad brottslighet.

Medlemsstaterna har emellertid kommit olika långt i detta arbete och tonvikten har lagts på olika aspekter. Förutom förvaltningsnät som TESTA finns det emellertid inte något systematiskt gränsöverskridande samarbete mellan medlemsstaterna om nät- och informationssäkerhetsfrågor, trots att säkerhetsproblem inte kan ses som begränsade till ett enda land. Det saknas mekanismer som kan säkra effektiva reaktioner på säkerhetshot. Genomförandet av den rättsliga ramen varierar. Certifieringen av produkter görs på nationell nivå medan de viktigaste standarderna utvecklas globalt av industrin, och operatörer och återförsäljare får möta olika inställningar hos olika regeringar. Allt detta leder till bristande driftskompatibilitet, vilket hindrar en korrekt användning av säkerhetsprodukter och -tjänster.

Europeiska gemenskapen skulle gynnas av ett ökat samarbete mellan medlemsstaterna för att uppnå en tillfredsställande säkerhetsnivå i alla medlemsstater. Detta är målet för kommissionens meddelande om nät- och informationssäkerhet från juni 2001 [1]. I detta föreslås ett antal åtgärder bl.a. medvetandehöjande åtgärder, förbättrat utbyte av informationsmekanismer och stöd för marknadsorienterad standardisering och certifiering.

[1] Meddelande från kommissionen till rådet, Europaparlamentet, Europeiska ekonomiska och sociala kommittén och Regionkommittén - Nät- och informationssäkerhet: förslag till en europeisk strategi, KOM(2001) 298 slutlig,

I meddelandet förslås också att det skal inrättas ett europeiskt varnings- och informationssystem. I rådets resolution av den 28 januari 2002 om en gemensam inställning och särskilda åtgärder på området för nät- och informationssäkerhet vidareutvecklades denna tanke. Det har blivit uppenbart att nät- och informationssäkerheten inte kan hanteras på ett tillfredsställande sätt på europeisk nivå inom ramen för den befintliga institutionella organisationen.

I resolutionen välkomnas kommissionens avsikt att lägga fram förslag om inrättande av en arbetsgrupp för nätsäkerhet, för att bygga vidare på det nationella arbetet för ökad nät- och informationssäkerhet och förbättra medlemsstaternas förmåga att enskilt och kollektivt hantera allvarliga problem som rör nät- och informationssäkerhet.

Europaparlamentet har, som ett svar på kommissionens förslag, antagit ett yttrande i vilket uttrycks en stark önskan om att se ett europeiskt svar på de ökande säkerhetsproblemen.

I juni 2002 antog OECD sina riktlinjer för informationssystem och nät: mot en säkerhetskultur. I dessa riktlinjer betonas att det är viktigt att tillämpa vissa gemensamma principer för informationssäkerhet och stödja det arbete som genomförs på europeisk nivå.

3. FÖRSLAGET OM INRÄTTANDET AV EN BYRÅ FÖR NÄT- OCH INFORMATIONSSÄKERHET

3.1. Bakgrund

Europaparlamentet, rådet och kommissionen förespråkar ett närmare europeiskt samarbete om informationssäkerhet. Det effektivaste sättet att åstadkomma detta är att inrätta ett organ som också är en juridisk person. I förslaget till förordning föreslås därför att det skall inrättas en europeisk regleringsmyndighet i enlighet med föreskrifterna i kommissionens meddelande "Rambestämmelser för EU:s tillsynsmyndigheter", KOM (2002) 718 slutlig. Denna myndighet skall heta den europeiska byrån för nät- och informationssäkerhet, nedan benämnd "byrån".

Enligt den särskilda lagstiftningen för elektronisk kommunikation, i synnerhet ramdirektivet om elektronisk kommunikation, har de behöriga myndigheterna i medlemsstaterna en viktig roll. Därför kommer byrån inte bara att erbjuda bistånd åt kommissionen utan även åt de nationella regleringsmyndigheterna.

Förslaget speglar en rad frågor som har tagits upp i samband med det samråd som kommissionen hållit med medlemsstaterna. Samma frågor har uttryckts i bidragen från den privata sektorn, och sammanfattningsvis kan sägas att de egenskaper man önskade se hos den föreslagna byrån var flexibilitet, tillförlitlighet, kompetens, effektivitet och konsekvens. I synnerhet har följande krav betonats:

a) Området nät- och informationssäkerhet präglas av en snabb utveckling. Detta innebär även att den bästa institutionella organisationen kan ändras över tid. Därför bör byrån bedriva sin verksamhet under en begränsad tidsperiod. Därefter bör en översyn göras.

b) Både medlemsstaternas offentliga organ och institutioner och den privata sektorn måste hysa förtroende för byrån.

c) Byrån bör fungera som ett kompetenscentrum som för samman kunniga personer från alla medlemsstater.

d) Byrån måste kunna agera snabbt och effektivt. Därför måste den ha tillräckligt med personal och finansiella resurser för att kunna fungera på ett smidigt och flexibelt sätt, men samtidigt får den inte bli orimligt stor.

e) Kommissionen måste kunna vägleda byråns arbete.

Dessa krav har tjänat som riktlinjer för förslaget till förordning. Det är mot bakgrund av dessa krav som byråns uppgifter beskrivs tydligt samtidigt som utrymme ges för flexibilitet. De motiverar en utvärdering av byråns verksamhet efter de första tre åren. De klargör att ett nära samarbete med medlemsstaternas institutioner och organ samt med gemenskapens institutioner krävs för att byrån skall fungera väl.

Byråns verksamhet kommer att kunna dra nytta av vetenskapligt stöd genom forskningsverksamhet som utförs av Gemensamma forskningscentret och gemenskapens andra forskningsprogram

3.2. Val av rättslig grund

Mot bakgrund av ovanstående behandlar förslaget två med varandra nära förbundna frågor av gemenskapsintresse, nämligen en väl fungerande inre marknad och driftskompatibiliteten för elektroniska transeuropeiska nät. För det första kan införandet av tekniskt komplicerade säkerhetskrav för nät- och informationssystem i medlemsstaterna och på gemenskapsnivå leda till att det blir svårt att fullt ut tillämpa principerna för den inre marknaden. För det andra förutsätter en väl fungerande inre marknad också att säkerhetsfunktionerna i nät och informationssystem är driftskompatibla.

Följande avsnitt hänför sig till avsnitt 1-5 i förslaget.

3.3. Avsnitt 1 - syfte och uppgifter

3.3.1. Syfte

Det övergripande syftet med byrån är att i Europa skapa en gemensam förståelse av informationssamhällets problem, som går ut på att det är nödvändigt att säkra tillgången till och säkerheten i nät och informationssystem inom EU. En förutsättning för detta är en bred definition av nät- och informationssäkerhet, som omfattar all verksamhet som kan ha en negativ inverkan på säkerheten i nät och informationssystem.

Byrån skall kunna tillhandahålla stöd när det gäller tillämpningen av gemenskapsåtgärder som rör nät- och informationssäkerhet. Detta stöd skall bidra till att säkra driftskompatibiliteten för de funktioner som rör informationssäkerheten i nät och informationssystem, vilket kommer att bidra till en väl fungerande inre marknad. Den kommer att öka både gemenskapens och medlemsstaternas möjligheter att lösa problem som rör nät- och informationssäkerhet. Byrån kommer att ha en central betydelse för säkerheten i de europeiska näten och informationssystemen och för den allmänna utvecklingen av informationssamhället.

3.3.2. Uppgifter

Byrån kommer att ha en rådgivande och samordnande funktion och ansvara för insamling och analys för data om informationssäkerhet. I dag samlar både offentliga och privata organisationer av olika skäl in data om IT-problem och andra uppgifter som rör informationssäkerhet. Det finns emellertid ingen central enhet på europeisk nivå som på ett övergripande sätt kan samla in och analysera data samt yttra sig och ge råd för att stödja gemenskapens politiska arbete inom området nät- och informationssäkerhet. Byrån kommer att tjäna som kompetenscentrum, och både medlemsstaterna och gemenskapens institutioner skall kunna vända sig dit för råd om tekniska säkerhetsfrågor.

Byrån kommer dessutom att bidra till ett brett samarbete mellan olika aktörer som sysslar med informationssäkerhet, t.ex. genom att anordna uppföljningsaktiviteter för att stödja säkra e-företag. Ett sådant samarbete kommer att vara en förutsättning för att de europeiska näten och informationssystemen skall fungera på ett säkert sätt. Alla berörda parter måste delta och engagera sig.

Byrån kommer att bidra till en samordnad strategi för informationssäkerhet genom att bistå medlemsstaterna när det gäller t.ex. riskbedömning och medvetandehöjande åtgärder. För att säkerställa nätens och informationssystemens driftskompatibilitet kommer byrån också att avge yttranden och stödja harmoniserade processer och förfaranden när medlemsstaterna skall tillämpa tekniska krav som påverkar säkerheten. Det gäller inte bara krav i lagstiftningen utan i hög grad även tekniska krav som kan påverka driftskompatibiliteten och sätta upp hinder på den inre marknaden.

Byrån kommer vidare att ha en stödfunktion vid kartläggningen av relevanta standardiseringsbehov och främjandet av säkerhetsstandarder och certifieringssystem samt för att se till att dessa får bredast möjliga användning av kommissionen och medlemsstaterna i enlighet med gemenskapslagstiftningen.

Nät- och informationssäkerhetsfrågorna är globala och därför behövs också internationellt samarbete inom det här området. Byrån kommer att stödja gemenskapens kontakter med berörda parter i tredje land.

Nya svaga punkter och hot uppstår hela tiden inom informationssystem och -nät. Kommissionen måste ha möjlighet att tilldela byrån ytterligare uppgifter för att hålla jämna steg med den tekniska och samhälleliga utvecklingen, i enlighet med rambestämmelserna för EU:s tillsynsmyndigheter.

3.4. Avsnitt 2 - Organisation

3.4.1. Ledning

Den organisatoriska strukturen bör vara sådan att den underlättar ett deltagande av de olika intressenterna bakom byrån. Den bör också vara opåverkad oberoende av tryck utifrån, präglas av öppenhet och vara ansvarig inför de demokratiska institutionerna. Därför föreslås att en styrelse skall inrättas som skall bestå av ledamöter som utses av rådet och kommissionen. Kommissionen kommer bl.a. att vara företrädd av en ledamot från säkerhetsdirektoratet. Det föreslås vidare att företrädare för näringslivet och konsumentintressen skall ingå i styrelsen. Dessa ledamöter skall föreslås av kommissionen och utses av rådet i styrelsen. Näringslivs- och konsumentföreträdarna skall sakna rösträtt.

Byrån skall ledas av en verkställande direktör som skall ha en hög grad av oavhängighet och handlingsfrihet och som skall ha ansvaret för att organisera byråns interna arbete. Den verkställande direktören ansvarar också för utarbetandet och genomförandet av budgeten och byråns arbetsprogram, samt personalfrågor. För att den verkställande direktören skall få den behörighet som är nödvändig utses denne av styrelsen på förslag av kommissionen.

Byrån kommer att vara ett gemenskapsorgan, vilket innebär att byrån bör se till att expertis och resurser används på bästa möjliga sätt för genomförandet av uppgifterna samtidigt som det övergripande kravet på oavhängighet uppfylls. Därför föreslås att byrån skall ha en mer begränsad rådgivande nämnd som består av sakkunniga och som har till uppgift att främja samarbete och informationsutbyte mellan byrån och berörda institutioner och organ i de olika medlemsstaterna, t.ex. experter på dataskydd eller företrädare för forskarsamhället. Den rådgivande nämnden kommer också tillsammans med den verkställande direktören att ansvara för utarbetandet av byråns årliga arbetsprogram.

3.5. Avsnitt 3 - Verksamhet

3.5.1. Arbetsprogram

Byrån måste ha den flexibilitet som krävs för att anpassa verksamheten till de snabba tekniska framstegen och ändra inriktningen på arbetet. Därför bör styrelsen anta ett arbetsprogram för varje år. Detta skall godkännas av kommissionen på förslag av den verkställande direktören. Resultaten av verksamheten enligt arbetsprogrammet för varje år skall redovisa i den allmänna rapport som sammanställs av verkställande direktören och antas av styrelsen.

3.5.2. Yttranden

Det finns en risk för att byrån kan överbelastas av förfrågningar om yttranden och stöd. Därför bör det fastställas vem som har rätt att inkomma med en förfrågan och hur förfarandena för att behandla dessa förfrågningar skall se ut.

3.5.3. Arbetsgrupper

Byråns personal kommer att vara högt kvalificerad, men det är ändå troligt att problem av mer specialiserad art kan uppstå. Därför bör byrån kunna inrätta arbetsgrupper bestående av sakkunniga inom olika områden. I enlighet med strategin för öppenhet kommer kommissionens företrädare ha rätt att närvara vid dessa arbetsgruppers möten.

3.5.4. Oberoende

En förutsättning för att privatpersoner, offentliga förvaltningar och företag skall godta byråns råd och yttranden är att en modell fastställs för dess oberoende. Därför kommer ledamöterna i styrelsen och den rådgivande nämnden samt den verkställande direktören och de externa sakkunniga som deltar i arbetsgrupper att vara tvungna att deklarera att det inte finns några intressen som skulle kunna sätta deras oberoende i fråga.

3.5.5. Insyn och konfidentialitet

Byrån skall stifta egna regler om insyn och tillgång till handlingar i enlighet med Europaparlamentets och rådets beslut och med beaktande av artikel 255 i EG-fördraget och kommissionens säkerhetsföreskrifter [2].

[2] Rådets beslut 2001/264/EG av den 19 mars 2001 om antagande av rådets säkerhetsbestämmelser och kommissionens beslut C(2001) 3831.

Även om det är nödvändigt med en stor öppenhet och en bred tillgång till de handlingar som byrån utfärdar för att dess arbete skall godtas kommer den också att samla in information som måste behandlas konfidentiellt.

3.6. Avsnitt 4 - Finansiella bestämmelser

För 2004-2008 behöver byrån ett budgetanslag som är tillräckligt stort för att den skall kunna anställa den personal som anges ovan, ge personalen den tekniska utrustning som den behöver för att utföra sina arbetsuppgifter och få verksamheten att fungera smidigt. Budgeten anges i Finansieringsöversikt för rättsakt.

Byråns budget kommer att finansieras genom ett bidrag från gemenskapen och eventuella bidrag från tredje länder som deltar i byråns arbete. Den verkställande direktören kommer att ha ansvaret för att utarbeta ett utkast till förslag till beräkning av inkomster och utgifter. Styrelsen kommer att sända denna beräkning av inkomster och utgifter till kommissionen där den kommer att behandlas enligt standardförfarandet för budgetarbetet.

Den verkställande direktören kommer att ha ansvaret för att genomföra budgeten. Europaparlamentet skall på rådets rekommendation bevilja byråns verkställande direktör ansvarsfrihet för genomförandet av budgeten. Kommissionens revisor kommer att säkerställa revisionen. Revisionsrätten kommer att granska räkenskaperna och offentliggöra en årsrapport.

3.7. Avsnitt 5 - Allmänna bestämmelser

3.7.1. Rättslig status och privilegier

Byrån och dess personal skall i varje medlemsstat åtnjuta den mest omfattande rättshandlingsförmåga som tillkommer juridiska personer och omfattas av immunitet och privilegier enligt protokollet om Europeiska gemenskaperna.

3.7.2. Ansvar

Bestämmelserna om byråns avtalsrättsliga och utomobligatoriska ansvar är de samma som enligt artikel 288 i fördraget gäller för gemenskapen.

3.7.3. Personal

Med tanke på att byrån skall vara ett kompetenscentrum är det mycket viktigt att den har en tillräckligt stor och högt kvalificerad personal. De yrkeskunniga som har den profil som krävs är för närvarande en bristvara och de är mycket efterfrågade i Europa. Byrån bör rekrytera personal från både den offentliga och den privata sektorn. Tjänsteföreskrifter för tjänstemän i Europeiska gemenskaperna och Anställningsvillkor för övriga anställda i Europeiska gemenskaperna skall gälla för byråns personal. Personalen kommer att anställas på tillfälliga kontrakt på längst fem år, men detta får inte påverka behovet av att ha en stabil, kvalificerad och tillräckligt stor personal.

3.7.4. Skydd av personuppgifter

Byrån kommer också att behandla personuppgifter som har beröring med dess arbete och i detta hänseende, som gemenskapsinstitution, följa de tillämpliga bestämmelserna för sådan behandling.

3.7.5. Tredje lands deltagande

Tredje land får delta i byråns arbete, om landet genom avtal med Europeiska gemenskapen har antagit och tillämpar gemenskapslagstiftningen på det område som omfattas av denna förordning.

3.8. Avsnitt 6 - Slutbestämmelser

3.8.1. Översyn

Området nät- och informationssäkerhet är högteknologiskt och därmed präglat av en snabb utveckling. Detta innebär att den bästa institutionella lösningen kan ändras över tid. Inom tre år från det startdatum som fastställs i artikel 26, eller tidigare om styrelsen bedömer detta som nödvändigt, skall en översyn inledas som skall visa om det är fruktbart att fortsätta verksamheten efter denna inledande femårsperiod. Om nödvändigt skall översynen omfatta förslag på eventuella ändringar av byråns framtida ansvarsområden, syften och mandat.

En central fråga i översynen kommer att vara huruvida det faktum att polis- och rättsväsendet inte deltar har haft en negativ inverkan på effektiviteten i byråns arbete. Om utvärderingen skulle påvisa en sådan negativ inverkan kommer kommissionen att undersöka om det vore lämpligt att lägga fram ett förslag för att komplettera denna förordning.

3.8.2. Säte

Byråns säte skall uppfylla följande kriterier:

- Det skall vara lättillgängligt i kommunikationshänseende, särskilt vad gäller elektronisk kommunikationsutrustning, och ha effektiva och snabba transportförbindelser.

- Det skall vara möjligt för byrån att ha ett nära och effektivt samarbete med de institutioner som hanterar nät- och informationssäkerhetsfrågor.

- Det skall vara kostnadseffektivt och byrån skall kunna inleda sin verksamhet utan dröjsmål.

- Det skall tillhandahålla den infrastruktur som är nödvändig för byråns personal.

3.8.3. Varaktighet

Det föreslås att byrån skall börja fungera den 1 januari 2004 och att verksamheten skall pågå i fem år. Frågan om byråns verksamhet skall fortsätta kommer att avgöras av resultatet från den utvärdering som kommissionen skall genomföra i samarbete med den rådgivande nämnden.

2003/0032 (COD)

Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om inrättandet av den europeiska byrån för nät- och informationssäkerhet

(Text av betydelse för EES)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING

med beaktande av Fördraget om upprättandet av Europeiska gemenskapen, särskilt artiklarna 95 och 156 i detta,

med beaktande av kommissionens förslag [3],

[3] EGT C [...], [...], s. [...].

med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande [4],

[4] EGT C , , s. .

med beaktande av Regionkommitténs yttrande [5],

[5] EGT C , , s. .

i enlighet med förfarandet i artikel 251 i fördraget [6], och

[6] EGT C , , s. .

av följande skäl:

(1) Kommunikationsnät och informationssystem har blivit mycket viktiga faktorer för ekonomisk och samhällelig utveckling. Datorer och nät är nu så allmänt förekommande att de börjar betraktas som självklarheter, precis som tillgången till el och vatten. Säkerheten för kommunikationsnät och informationssystem, i synnerhet tillgången till dem, börjar därför bli en allt viktigare samhällsfråga.

(2) Nät- och informationssäkerhet handlar om att säkra tillgången till tjänster och data, att förhindra avbrott och otillåtet tillträde till meddelanden, att få bekräftelse på att uppgifter som sänts, mottagits eller lagrats är kompletta och oförändrade, att säkerställa att uppgifter behandlas konfidentiellt, att skydda informationssystem från otillåtet tillträde och mot attacker med hjälp av t.ex. destruktiva program samt att säkra en tillförlitlig autentisering.

(3) Ett ökande antal säkerhetsproblem har redan orsakat betydande finansiella skador, undergrävt användarnas förtroende och hämmat e-handelns utveckling. Privatpersoner, offentliga förvaltningar och företag har reagerat genom att införa säkerhetsteknik och säkerhetsförfaranden. Medlemsstaterna har vidtagit flera stödåtgärder, t.ex. informationskampanjer och forskningsprojekt, för att förbättra nät- och informationssäkerheten i hela samhället.

(4) Medlemsstaterna har reagerat mycket olika och deras åtgärder har inte varit tillräckligt samordnade för att på ett effektivt sätt kunna lösa säkerhetsproblemen. Nät och informationssystem är mycket tekniskt komplicerade, många olika typer av produkter och tjänster är sammankopplade och det finns ett mycket stort antal privata och offentliga aktörer som alla har sina egna ansvarsområden; därför har det fortfarande inte utarbetats någon konsekvent säkerhetsstrategi på gemenskapsnivå. Bristen på driftskompatibla säkerhetsprodukter och -tjänster har varit ett särskilt stort problem, vilket hotat driftskompatibiliteten för de berörda näten. Dessa särdrag har inneburit att den praktiska tillämpningen av gemenskapsåtgärder förutsatt en tämligen komplicerad teknisk analys och tolkning.

(5) Det faktum att det saknas en gemensam europeisk strategi för informationssäkerhetsproblem vid tillämpningen av gemenskapsåtgärder riskerar att motverka en välfungerande inre marknad.

(6) I direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv) [7] fastställs de nationella regleringsmyndigheternas uppgifter, som bl.a. är att främja inrättande och utveckling av transeuropeiska nät och samverkan mellan alleuropeiska tjänster, att samarbeta med varandra och med kommissionen på ett öppet sätt för att säkerställa att en enhetlig regleringspraxis utarbetas, att bidra till ett gott skydd av personuppgifter och den personliga integriteten samt att säkerställa att de allmänna kommunikationsnätens integritet och säkerhet upprätthålls.

[7] EGT L 108, 24.4.2002, s.33.

(7) Enligt direktiv 2002/20/EG av den 7 mars 2002 om auktorisation för elektroniska kommunikationsnät och kommunikationstjänster (auktorisationsdirektiv) [8] får medlemsstaterna till allmänna auktorisationer knyta villkor som rör säkerhet för allmänna nät mot otillåtet tillträde i enlighet med direktiv 97/66/EG av den 15 december 1997 om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet.

[8] EGT L 108, 24.4.2002, s.21.

(8) Enligt direktiv 2002/22/EG av den 7 mars 2002 om samhällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster [9] skall medlemsstaterna vidta nödvändiga åtgärder för att säkerställa integriteten och tillgängligheten för det allmänna telefonnätet samt att företag som tillhandahåller allmänt tillgängliga telefonitjänster i fasta anslutningspunkter vidtar alla rimliga åtgärder för att säkerställa oavbruten tillgång till larmtjänster.

[9] EGT L 108, 24.4.2002, s.51.

(9) Enligt direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation [10] skall leverantören av en allmänt tillgänglig elektronisk kommunikationstjänst vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten i sina tjänster samt konfidentialiteten vid kommunikation och för därmed förbundna trafikuppgifter. Enligt direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter [11] skall medlemsstaterna föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling.

[10] EGT L 201, 31.7.2002, s.37.

[11] EGT L 281, 23.11.1995, s.31.

(10) Ramdirektivet och direktiv 1999/93/EG av den 13 december om ett gemenskapsramverk för elektroniska signaturer [12] innehåller föreskrifter om standarder som skall offentliggöras i Europeiska gemenskapernas officiella tidning. Medlemsstaterna använder också standarder som utfärdas av internationella organ samt de facto-standarder som utarbetas globalt av industrin. Kommissionen och medlemsstaterna måste kunna bedöma vilka standarder som uppfyller kraven i gemenskapslagstiftningen.

[12] EGT L 13, 19.1.2000, s.12.

(11) Dessa åtgärder på den inre marknaden förutsätter olika former av tekniska och organisatoriska tillämpningar från medlemsstaternas och kommissionens sida. Det handlar om tekniskt komplicerade uppgifter där det inte finns en enda självklar lösning. Det faktum att dessa krav tillämpas på många olika sätt kan leda till ineffektiva lösningar, skapa hinder på den inre marknaden och hota driftskompatibiliteten för informationssäkerhetsfunktionerna. Därför är det nödvändigt att inrätta ett kompetenscentrum på europeisk nivå som kan ge vägledning, stöd och avge yttranden om den tekniska och organisatoriska tillämpningen av sådana krav och som kommissionen och medlemsstaternas regleringsmyndigheter och behöriga organ kan förlita sig på. Till de behöriga organen inom området nät- och informationssäkerhet hör polis- och rättsväsendet i medlemsstaterna.

(12) Dessa behov skulle fyllas genom inrättandet av en europeisk byrå, den europeiska byrån för nät- och informationssäkerhet, nedan benämnd "byrån", som bör fungera som referenspunkt och skapa förtroende genom sin oberoende ställning samt genom kvaliteten på de yttranden och den informationen som den tillhandahåller, insynen i dess förfaranden och arbetsmetoder och det effektiva sätt på vilket den utför sina uppgifter. Byrån bör utföra sina uppgifter i ett heltäckande samarbete med medlemsstaterna och vara öppen för kontakter med näringslivet och andra berörda grupper.

(13) Säkerhetsincidenternas allt större effekter, både inom gemenskapen och globalt, gör det nödvändigt att kunna reagera snabbt och effektivt. För närvarande finns emellertid inte något auktoriserat organ i Europa som systematiskt samlar in data om nät- och informationssäkerhet som skulle kunna användas för att analysera säkerhetsbrott.

(14) En förutsättning för förtroendet för nät och informationssystem är att privatpersoner, företag och offentliga förvaltningar erhåller tillräcklig information och har kunskap om säkerhetsfrågor. Offentliga myndigheter har vidtagit åtgärder för att öka medvetenheten genom att informera allmänheten. Dessa åtgärder måste emellertid vidareutvecklas, framför allt när det gäller nya sårbara punkter och riskerna med dem. Ett ökat informationsutbyte mellan medlemsstaterna kommer att underlätta sådana medvetandehöjande åtgärder.

(15) Trots behovet av tillförlitliga processer är det ofta svårt att bedöma produkters och tjänster tillförlitlighet. Det finns offentligt och privat organiserade utvärderings- och certifieringssystem. Utvärderings- och certifieringsprocesserna tenderar emellertid att vara betungande, dyra och långsamma. Samtliga aktörer, även de offentliga myndigheterna, skulle gynnas av bättre teknisk vägledning i sina ansträngningar för att främja effektiva certifieringssystem. Ett europeiskt organ med teknisk kompetens som kan tillhandahålla objektiv rådgivning om kvaliteten på olika standarder skulle därmed öka möjligheterna att främja tillförlitliga säkerhetsstandarder i Europa, och i förekommande fall även standarder för teknik syftande till att förbättra skyddet av privatlivet.

(16) Effektiva säkerhetsstrategier bygger på välutvecklade metoder för riskbedömning, både inom offentliga och privata sektorn. Metoder och förfaranden för riskbedömning används på olika nivåer men det saknas gemensamma metoder för effektiv tillämpning. Främjandet och utvecklingen av goda metoder för riskbedömning kommer att öka driftskompatibiliteten och höja säkerhetsnivån för nät och informationssystemen i Europa.

(17) Byrån skall i sitt arbete dra nytta av pågående forskning, utveckling och teknisk bedömning, i synnerhet sådan verksamhet som bedrivs av Gemensamma forskningscentret och inom gemenskapens övriga forskningsinitiativ.

(18) Nät- och informationssäkerhetsproblemen är globala och inte begränsade till enskilda medlemsstater eller till gemenskapen. Ett säkerhetsproblem kan ha sitt ursprung i tredje land. Produkter och tjänster är ofta utvecklade och utvärderade i tredje land. När säkerhetsprodukterna väl införts i gemenskapen kan de i princip cirkulera utan restriktioner och tjänsterna kan bjudas ut fritt. Det behövs ett närmare samarbete på global nivå för att förbättra säkerhetsstandarderna och informationen samt för att utveckla gemensamma svarsmekanismer. Flera av gemenskapens internationella samarbetsparter har börjat inrätta säkerhetsorgan för att öka sina möjligheter att reagera och utveckla sina politiska strategier. Ett effektivt samarbete med dessa länder och med världssamfundet har blivit en uppgift också på europeisk nivå.

(19) För att på ett effektivt sätt kunna säkerställa att byrån utför sina uppgifter bör medlemsstaterna och kommissionen vara företrädda i en styrelse med befogenhet att fastställa budgeten och kontrollera att den genomförs, anta lämpliga finansiella bestämmelser, utarbeta tydliga och begripliga förfaranden för byråns beslutsfattande, godkänna dess arbetsprogram, granska medlemsstaternas förfrågningar om tekniskt stöd samt utnämna den verkställande direktören. Med tanke på byråns mycket tekniska och vetenskapliga uppdrag och arbetsuppgifter bör styrelsen bestå av ledamöter som besitter mycket goda sakkunskaper om de frågor som omfattas av byråns uppdrag, och dessa ledamöter bör utses av rådet och kommissionen.

(20) En rådgivande nämnd bör inrättas för att bistå den verkställande direktören med råd när det gäller samarbete och främjande av ett lämpligt informationsutbyte mellan medlemsstaterna och byrån. Till den rådgivande nämndens rådgivande funktioner hör också utarbetandet av förslaget till byråns årliga arbetsprogram. När den rådgivande nämndens ledamöter utses bör den nödvändiga sakkunskapen säkerställas, t.ex. när det gäller dataskydd.

(21) För att byrån skall fungera väl bör den verkställande direktören utses på grundval av sina meriter, dokumenterad förvaltnings- och ledningsförmåga, kompetens och erfarenheter som rör nät- och informationssäkerhet. Dessutom bör han/hon ha en helt oavhängig ställning och total handlingsfrihet vid organisationen av byråns interna arbete. Den verkställande direktören bör förbereda och vidta alla de åtgärder som är nödvändiga för att se till att byråns arbetsprogram genomförs, årligen utarbeta ett utkast till allmän rapport som läggs fram för styrelsen, göra beräkningar av byråns inkomster och utgifter samt genomföra budgeten.

(22) Byrån bör följa tillämplig gemenskapslagstiftning om allmänhetens tillgång till handlingar [13] och skydd för enskilda personer med avseende på behandling av personuppgifter. [14]

[13] Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar, EGT L 145, 31.5.2001, s. 43.

[14] Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, EGT L 8, 12.1.2001, s. 1.

(23) I den mån som byrån skall behandla uppgifter som rör olagliga handlingar riktade mot informationssystem, förfaranden för hantering av incidenter och funktioner för bedömning av hotbilder kommer det att krävas en viss övergripande politisk samordning, både på nationell nivå och på EU-nivå. Denna samordning bör säkras inom ramen för den rådgivande nämnd som avses i artikel 7 och utföras utan att man därigenom bryter mot de konfidentialitetskrav som avses i artikel 13.

(24) För att garantera byråns oberoende och självständighet är det nödvändigt att den har en egen budget där intäkterna främst består av ett bidrag från gemenskapen. Gemenskapens budgetförfaranden kommer att vara tillämpliga vad gäller de bidrag som kan belasta Europeiska gemenskapernas allmänna budget. Dessutom bör revisionsrätten granska räkenskaperna.

(25) Byrån bör till en början inrättas för en begränsad period och dess arbete sedan utvärderas för att fastställa om verksamheten skall fortsätta.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Avsnitt 1 Syfte och arbetsuppgifter

Artikel 1 Syfte

1. Härigenom inrättas en europeisk byrå för nät- och informationssäkerhet, nedan benämnd "byrån".

2. Byrån skall underlätta tillämpningen av gemenskapsåtgärder som rör nät- och informationssäkerhet och bidra till att säkra driftskompatibiliteten för säkerhetsfunktioner i nät och informationssystem, och därigenom bidra till en väl fungerande inre marknad. Den bör öka gemenskapens och medlemsstaternas förmåga att lösa problem som rör nät- och informationssäkerhet.

Artikel 2 Arbetsuppgifter

För att uppnå de mål som anges i artikel 1 skall byrån utföra följande uppgifter:

(a) Samla in och analysera data, t.ex. information om befintliga och nya risker, i synnerhet sådana som skulle påverka styrkan för mycket viktiga kommunikationsnät och den information som nås och överförs via dessa nät.

(b) Ge stöd och avge yttranden åt kommissionen och andra behöriga organ om sådant som tillhör byråns verksamhetsområde.

(c) Förbättra samarbetet mellan olika aktörer som sysslar med nät- och informationssäkerhet, bl.a. genom att inrätta ett nätverk för nationella organ och gemenskapsorgan.

(d) Bidra till ett utbud av snabbt tillgänglig, objektiv och detaljerad information om nät- och informationssäkerhetsfrågor för alla användare, genom att bl.a. främja utbyten av goda metoder för att förvarna användare, inbegripet sådana som är förbundna med varningssystem för datorattacker, och söka synergieffekter mellan den offentliga och den privata sektorns initiativ.

(e) På begäran bistå kommissionen och de nationella regleringsmyndigheterna vid analys av tillämpningen av de nät- och informationssäkerhetskrav för operatörer och tjänsteleverantörer som fastställs i gemenskapslagstiftning, även krav som avser dataskydd.

(f) Bidra till bedömningen av standarder för nät- och informationssäkerhet.

(g) Främja åtgärder för riskbedömning och uppmuntra driftskompatibla lösningar för riskhantering inom organisationer.

(h) Bidra till gemenskapsstrategin för samarbete med tredje land, bl.a. genom att främja kontakter med internationella forum.

(i) Utföra varje annan uppgift som kommissionen tilldelar den och som faller under byråns syfte.

Artikel 3 Definitioner

I denna förordning används följande beteckningar med de betydelser som här anges:

- nät: system för överföring, och i tillämpliga fall utrustning för koppling eller dirigering samt andra resurser som medger överföring av signaler via tråd, via radio, på optisk väg eller via andra elektromagnetiska överföringssätt, däribland satellitnät, fasta nät (kretskopplade och paketkopplade, inbegripet Internet) och markbundna mobilnät, rundradionät samt kabeltevenät, oberoende av vilken typ av information som överförs.

- informationssystem: datorer och elektroniska kommunikationsnät, samt elektroniska data som lagras, behandlas, tas emot eller överförs via sådana för syften som rör deras drift, användning, skydd och underhåll.

- nät och informationssäkerhet: förmågan hos ett nät att tåla, vid en viss tillförlitlighetsnivå, olyckshändelser, olagliga handlingar eller illvilligt uppträdande som äventyrar tillgängligheten, autenticiteten, integriteten och konfidentialiteten hos lagrade eller vidarebefordrade data och besläktade tjänster som tillhandahålls av eller är tillgängliga via dessa nät och system.

- tillgänglighet: att data är tillgängliga och tjänster funktionsdugliga.

- autenticitering: styrkandet av en angiven identitet hos enheter eller användare.

- dataintegritet: bekräftelse på att data som har skickats, mottagits eller lagrats är fullständiga och oförändrade.

- datakonfidentialitet betyder skydd av kommunikation eller lagrade data mot uppsnappande och läsning av obehöriga personer.

- risk: funktion av sannolikheten att sårbara delar av systemet skall påverka tillgängligheten, autenticieringen, integriteten eller konfidentialiteten för de data som behandlas eller överförs och allvarlighetsgraden på de effekter som ett avsiktligt eller oavsiktligt utnyttjande av denna svaghet kan ge.

- riskbedömning: en vetenskapligt och tekniskt grundad process i fyra steg: identifiering av hotet, beskrivning av hotet, bedömning av exponeringen och beskrivning av risken.

- riskhantering: den process, separat från riskbedömningen, då man överväger de tänkbara strategierna i samråd med berörda parter, med beaktande av riskbedömningen och andra relevanta faktorer och, om detta behövs, väljer lämpliga alternativ för förebyggande åtgärder och kontroll.

Avsnitt 2 Organisation

Artikel 4 Byråns organ

Byrån skall bestå av

(a) en styrelse,

(b) en verkställande direktör med erforderlig personal,

(c) en rådgivande nämnd, och

(d) när så är nödvändigt, arbetsgrupper.

Artikel 5 Styrelsen

1. Styrelsen skall bestå av sex ledamöter som utses av rådet, sex ledamöter som utses av kommissionen samt två företrädare för näringslivet och en konsumentföreträdare vilka skall utnämnas av rådet på förslag av kommissionen och sakna rösträtt.

2. Ledamöterna kan ersättas av suppleanter som utses samtidigt. Mandattiden skall vara två och ett halvt år och mandatet kan förlängas en gång.

3. Den verkställande direktören skall delta i styrelsens möten, dock utan rösträtt, samt tillhandahålla sekretariatshjälp.

4. Styrelsen skall bland sina ledamöter utse en ordförande för en period på två och ett halvt år som kan förnyas.

5. Styrelsen skall själv anta sin arbetsordning som kommissionen skall ha godkänt. Om inte annat beslutas skall styrelsen fatta majoritetsbeslut.

6. Styrelsen skall sammanträda då den sammankallas av ordföranden eller då minst en tredjedel av ledamöterna så begär.

7. Styrelsen skall anta byråns interna regler på grundval av ett förslag från kommissionen. Dessa regler skall offentliggöras.

8. Styrelsen skall fastställa de allmänna riktlinjerna för byråns arbete och se till att den utför sina uppgifter under förhållanden som gör att den kan tjäna som referenspunkt tack vare sin oavhängiga ställning, kvaliteten på yttrandena och den information den avger, insynen i dess förfaranden och arbetsmetoder samt dess effektiva sätt att utföra sina uppgifter.

9. Före den 31 januari varje år skall styrelsen anta byråns arbetsprogram för det kommande året, efter att detta godkänts av kommissionen. Styrelsen skall se till att arbetsprogrammet överensstämmer med gemenskapens prioriteringar för politiska åtgärder och lagstiftning inom området nät- och informationssäkerhet.

10. Före den 31 mars varje år skall styrelsen anta en allmän rapport om byråns verksamhet under föregående år.

11. De finansiella bestämmelser som är tillämpliga på byrån skall antas av styrelsen efter samråd med kommissionen. De får endast avvika från den rambudgetförordning som skall antas av kommissionen i enlighet med artikel 185 i rådets förordning (EG, Euratom) nr 1605/2002 [15] (nedan benämnd "den allmänna budgetförordningen") efter överenskommelse med kommissionen och förutsatt att det är nödvändigt på grund av särdragen i byråns verksamhet.

[15] EGT L 248, 16.9.2002, s. 1.

Artikel 6 Verkställande direktör

1. Byrån skall ledas av en verkställande direktör som skall ha en oavhängig ställning i utförandet av sina arbetsuppgifter.

2. Den verkställande direktören skall utses av styrelsen på grundval av en lista över kandidater som kommissionen skall föreslå till följd av ett öppet uttagningsförfarande, efter det att en inbjudan till intresseanmälan har offentliggjorts i Europeiska gemenskapernas officiella tidning och annorstädes. Innan den verkställande direktören utses skall den kandidat som styrelsen nominerat utan dröjsmål uppmanas att göra ett uttalande inför Europaparlamentet och besvara frågor från institutionens ledamöter. Direktören kan befrias från sitt uppdrag av en majoritet av styrelsen, efter att detta godkänts av kommissionen.

3. Den verkställande direktörens mandattid skall vara två och ett halvt år och mandatet kan förlängas en gång.

4. Den verkställande direktören skall ansvara för följande:

(a) Byråns dagliga verksamhet.

(b) Utarbeta ett förslag till arbetsprogram för byrån, i samråd med det rådgivande organet.

(c) Genomföra arbetsprogrammen och styrelsens beslut.

(d) Se till att byrån utför sina uppgifter i enlighet med användarnas krav, särskilt med hänsyn till om de tjänster som tillhandahålls fyller deras behov.

(e) Förbereda inkomst- och utgiftsberäkningen för byrån och genomförandet av byråns budget.

(f) Alla personalfrågor.

(g) Utveckla och upprätthålla kontakt med Europaparlamentet och säkerställa en regelbunden dialog med de berörda kommittéerna.

5. Varje år skall den verkställande direktören lämna följande till styrelsen för godkännande:

(a) Utkast till en allmän rapport om byråns verksamhet under föregående år.

(b) Utkast till arbetsprogram.

6. När arbetsprogrammet antagits av styrelsen skall den verkställande direktören vidarebefordra detta till Europaparlamentet, rådet, kommissionen och medlemsstaterna samt låta offentliggöra det.

7. När byråns allmänna rapport antagits av styrelsen skall den verkställande direktören vidarebefordra denna till Europaparlamentet, rådet, kommissionen, revisionsrätten, Europeiska ekonomiska och sociala kommittén och Regionkommittén, samt låta offentliggöra denna.

Artikel 7 Rådgivande nämnd

1. Den rådgivande nämnden skall bestå av nio sakkunniga som föreslås av styrelsen och utses av den verkställande direktören. Ledamöterna kan ersättas av suppleanter som utses samtidigt. Kommissionens företrädare skall ha rätt att närvara vid sammanträdena och delta i den rådgivande nämndens arbete.

2. Ledamöterna i den rådgivande nämnden får inte ingå i styrelsen.

3. Den verkställande direktören skall vara den rådgivande nämndens ordförande. Den skall sammanträda regelbundet efter kallelse från ordföranden eller då minst en tredjedel av ledamöterna så begär. Dess operativa förfaranden skall anges i byråns interna regler och offentliggöras.

4. Den rådgivande nämndens yttranden kan föras till omröstning.

5. Byrån skall ge den rådgivande nämnden tekniskt och logistiskt stöd samt utgöra sekretariat vid dess möten.

6. Den rådgivande nämnden skall ha följande uppgifter:

(a) ge den verkställande direktören råd om utförandet av dennes uppgifter enligt denna förordning, särskilt genom att utarbeta ett förslag till byråns arbetsprogram.

(b) Ge den verkställande direktören råd om hur ett nära samarbete skall upprättas mellan byrån och behöriga institutioner och organ i medlemsstaterna och, i synnerhet, om säkerställandet av att byråns arbete är förenligt med de åtgärder som vidtas av medlemsstaterna.

7. Den verkställande direktören får bjuda in företrädare för Europaparlamentet och andra berörda organ att delta i den rådgivande nämndens möten.

Avsnitt 3 Verksamhet

Artikel 8 Arbetsprogram

Byrån skall basera sin verksamhet på att genomföra det arbetsprogram som antas i enlighet med artikel 5.9. Arbetsprogrammet skall inte hindra byrån från att ta på sig oförutsedda uppgifter som ingår i dess syfte och ryms inom de givna budgetramarna.

Artikel 9 Yttranden

1. Förfrågningar om yttranden och stöd som ingår i byråns syfte skall sändas till den verkställande direktören tillsammans med bakgrundsinformation som förklarar ärendet i fråga. Den verkställande direktören skall inom tio arbetsdagar vidarebefordra förfrågan till kommissionen.

2. De förfrågningar som avses i stycke 1 kan göras av

(a) kommissionen, och

(b) en nationell regleringsmyndighet enligt definitionen i artikel 2 i ramdirektivet eller annat behörigt organ i medlemsstaterna som erkänns av styrelsen för detta syfte.

3. Om byrån har svårt att tillmötesgå en förfrågan, om en förfrågan inte görs i enlighet med stycke 1 eller om andra förfrågningar inkommer om samma ärende skall den verkställande direktören samråda med styrelsen innan denne fattar sitt beslut. Om byrån avslår en förfrågan skall avslaget motiveras. Den verkställande direktören kan också rådgöra med den rådgivande nämnden om hur förfrågningar om yttranden skall prioriteras.

Artikel 10 Arbetsgrupper

1. Om det är nödvändigt och omfattas av dess syfte kan byrån inrätta arbetsgrupper bestående av sakkunniga, som föreslås av den rådgivande nämnden och utses av den verkställande direktören, i synnerhet när det gäller tekniska och vetenskapliga frågor.

2. Arbetsgrupperna skall inrättas av den rådgivande nämnden på grundval av ett förslag som den verkställande direktören lägger fram efter samråd med styrelsen.

3. Kommissionens företrädare skall ha rätt att närvara vid arbetsgruppernas möten.

4. Förfarandena för utnämning av sakkunniga och för arbetsgruppernas verksamhet skall anges i byråns interna regler.

Artikel 11 Oberoende

1. Styrelseledamöterna, den verkställande direktören och ledamöterna i den rådgivande nämnden skall förbinda sig att agera oberoende och i allmänhetens intresse. De skall därför göra en åtagandeförklaring och en intresseförklaring som visar att det inte föreligger några direkta eller indirekta intressekonflikter som skulle kunna inverka negativt på deras oberoende. Dessa förklaringar skall göras skriftligt.

2. Externa sakkunniga som deltar i arbetsgrupper skall vid varje möte redovisa eventuella intressen som kan påverka deras oberoende i förhållande till frågorna på dagordningen.

Artikel 12 Öppenhet

1. Byrån skall se till att dess arbete utförs med en hög grad av öppenhet och i enlighet med artiklarna 13 och 14.

2. Byrån skall se till att allmänheten och berörda parter ges objektiv, tillförlitlig och lättillgänglig information, i synnerhet vad gäller resultaten av dess arbete när så är lämpligt. Den skall också offentliggöra intresseförklaringarna från styrelseledamöterna, verkställande direktören och den rådgivande nämnden samt de intresseförklaringar som avges av sakkunniga i förhållande till frågor på dagordningarna till arbetsgruppernas möten.

3. Styrelsen kan, på grundval av ett förslag från verkställande direktören, ge andra berörda parter tillstånd att observera delar av byråns verksamhet.

4. Byrån skall i sina interna regler fastställa hur de regler om öppenhet som avses i punkterna 1 och 2 skall tillämpas praktiskt.

Artikel 13 Konfidentialitet

1. Byrån skall inte för tredje part röja uppgifter som den behandlar eller mottar för vilka en konfidentiell behandling har begärts och motiverats, om det inte rör sig om uppgifter som måste lämnas ut enligt nationell lag, för att skydda allmän säkerhet eller för att förebygga, utreda, klara upp eller väcka åtal för kriminella handlingar.

2. Ledamöterna i styrelsen och den rådgivande nämnden, den verkställande direktören, de externa sakkunniga som deltar i olika arbetsgrupper och byråns personal skall, även efter det att deras uppdrag upphört, omfattas av tystnadsplikt enligt artikel 287 i EG-fördraget.

3. Byrån skall i sina interna regler fastställa hur de regler om tystnadsplikt som avses i punkterna 1 och 2 skall tillämpas praktiskt.

4. Med "tredje part" avses i artikel 13.1 inte kommissionen.

Artikel 14 Tillgång till handlingar

1. Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar [16] skall tillämpas på de handlingar som byrån förfogar över.

[16] EGT L 145, 31.5.2001, s. 43.

2. Styrelsen skall vidta åtgärder för att genomföra förordning (EG) nr 1049/2001 inom sex månader från det att byrån påbörjat sin verksamhet.

3. Beslut som fattas av byrån i enlighet med artikel 8 i förordning (EG) nr 1049/2001 kan överklagas genom ett klagomål till ombudsmannen eller genom att ärendet förs till Europeiska gemenskapernas domstol i enlighet med artikel 195 respektive artikel 230 i EG-fördraget.

Avsnitt 4 Finansiella bestämmelser

Artikel 15 Antagande av budgeten

1. Byråns inkomster skall bestå av ett bidrag från gemenskapen och eventuella bidrag från tredje land som deltar i byråns arbete enligt artikel 22.

2. Byråns utgifter skall täcka kostnaderna för personal, administrativt och tekniskt stöd, infrastruktur och drift samt utgifter i samband med avtal som ingåtts med tredje part.

3. Senast den 1 mars efter varje budgetårs utgång skall den verkställande direktören göra en beräkning av byråns inkomster och utgifter för det kommande budgetåret, och skall översända den till styrelsen tillsammans med en tjänsteförteckning.

4. Inkomster och utgifter skall vara i balans.

5. Senast den 31 mars efter varje budgetårs utgång skall styrelsen på grundval av ett förslag som utarbetats av den verkställande direktören lägga fram en beräkning av byråns inkomster och utgifter för det följande året. Denna beräkning av inkomster och utgifter, som även skall omfatta ett förslag till tjänsteförteckning och ett preliminärt arbetsprogram, skall styrelsen överlämna till kommissionen och de länder med vilka gemenskapen slutit avtal i enlighet med artikel 22.

6. På grundval av denna beräkning av inkomster och utgifter skall kommissionen föra in de beräknade siffrorna i det preliminära förslaget till Europeiska gemenskapernas allmänna budget, som kommissionen skall lägga fram inför Europaparlamentet och rådet ("budgetmyndigheten") i enlighet med artikel 272 i fördraget.

7. Budgetmyndigheten skall fastställa de tillgängliga anslagen för finansiering av byrån.

8. Budgetmyndigheten skall anta tjänsteförteckningen för byrån.

9. När Europeiska gemenskapernas allmänna budget antagits av budgetmyndigheten skall styrelsen anta byråns slutliga budget och arbetsprogram och efter behov anpassa dem till gemenskapens bidrag, Den skall utan dröjsmål vidarebefordra dem till kommissionen och budgetmyndigheten.

Artikel 16 Bedrägeribekämpning

1. Bestämmelserna i Europaparlamentets och rådets förordning (EG) nr 1073/1999 av den 25 maj 1999 om utredningar som utförs av Europeiska byrån för bedrägeribekämpning (OLAF) [17] skall tillämpas fullt ut i syfte att bekämpa bedrägeri, korruption och andra lagstridiga handlingar

[17] EGT L 136, 31.5.1999 s. 1.

2. Byrån skall ansluta sig till det interinstitutionella avtalet av den 25 maj 1999 om interna utredningar som utförs av Europeiska byrån för bedrägeribekämpning (OLAF) [18] och skall utan dröjsmål anta erforderliga bestämmelser som skall vara tillämpliga på alla anställda vid byrån.

[18] EGT L 136, 31.5.1999 s.15.

Artikel 17 Genomförande av budgeten

1. Den verkställande direktören skall genomföra byråns budget.

2. Kommissionens internrevisor skall ha samma befogenheter gentemot byrån som gentemot kommissionens avdelningar.

3. Senast den 31 mars efter det berörda budgetårets utgång skall byråns räkenskapsförare förse kommissionens internrevisor med en sammanställning av de preliminära räkenskaperna och en rapport om budgetförvaltningen och den ekonomiska förvaltningen under budgetåret. Kommissionens internrevisor skall konsolidera institutionernas och de decentraliserade organens preliminära räkenskaper i enlighet med artikel 128 i den allmänna budgetförordningen.

4. Senast den 31 mars efter det berörda budgetårets utgång skall byråns räkenskapsförare till revisionsrätten översända en sammanställning av de preliminära räkenskaperna och en rapport om budgetförvaltningen och den ekonomiska förvaltningen under budgetåret. Denna rapport om budgetförvaltningen och den ekonomiska förvaltningen under budgetåret skall också lämnas till Europaparlamentet och rådet.

5. Efter det att revisionsrättens iakttagelser rörande byråns preliminära räkenskaper som gjorts enligt bestämmelserna i artikel 129 i den allmänna budgetförordningen inkommit, ansvarar verkställande direktören för att upprätta en slutlig redovisning och överlämna den till styrelsen för ett yttrande.

6. Styrelsen skall avge ett yttrande om den slutliga redovisningen av byråns räkenskaper.

7. Senast den 1 juli efter utgången av det berörda budgetåret skall byråns verkställande direktör överlämna den slutliga redovisningen tillsammans med styrelsens yttrande till Europaparlamentet, rådet, kommissionen och revisionsrätten.

8. Den slutliga redovisningen skall offentliggöras.

9. Senast den 30 september skall verkställande direktören förse revisionsrätten med ett svar på dess iakttagelser. Den verkställande direktören skall också sända detta svar till styrelsen.

10. Europaparlamentet skall före den 30 april år n + 2, på rekommendation av rådet som skall fatta sitt beslut med kvalificerad majoritet, bevilja centrumets direktör ansvarsfrihet för budgetens genomförande år n.

Avsnitt 5 allmänna bestämmelser

Artikel 18 Rättslig status och privilegier

1. Byrån skall vara ett gemenskapsorgan. Den skall vara en juridisk person.

2. Byrån skall i varje medlemsstat ha den mest vittgående rättskapacitet som tillerkänns juridiska personer enligt den nationella lagstiftningen. Den skall bland annat ha rätt att förvärva och avyttra fast och lös egendom samt föra talan inför domstolar och andra myndigheter.

3. Byrån skall företrädas av den verkställande direktören.

4. Byrån och dess personal skall omfattas av protokollet om Europeiska gemenskapernas immunitet och privilegier.

Artikel 19 Ansvar

1. Byråns avtalsrättsliga ansvar skall regleras av den lagstiftning som är tillämplig på avtalet i fråga. Europeiska gemenskapernas domstol skall ha behörighet att döma enligt skiljedomsklausulerna i avtal som ingås av byrån.

2. Vad beträffar utomobligatoriskt ansvar skall byrån ersätta skada, som den eller dess personal har orsakat vid utövandet av verksamheten, i enlighet med de allmänna principer som är gemensamma för medlemsstaternas rättsordningar. Tvister som rör ersättning för sådan skada skall avgöras av Europeiska gemenskapernas domstol.

3. De anställdas personliga ansvar gentemot byrån skall regleras av de relevanta bestämmelser som är tillämpliga på byråns personal.

Artikel 20 Personal

1. De regler och förordningar som gäller för tjänstemän och andra anställda vid Europeiska gemenskaperna skall gälla även för byråns personal.

2. Om inte annat följer av artikel 5 skall byrån, när det gäller dess egen personal, utöva de befogenheter som enligt tjänsteföreskrifterna och anställningsvillkoren för övrig personal tillkommer tillsättningsmyndigheten.

Artikel 21 Skydd av personuppgifter

Vid behandling av uppgifter som rör enskilda skall byrån omfattas av bestämmelserna i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. [19]

[19] EGT L 8, 12.1.2001, s. 1.

Artikel 22 Tredje lands deltagande

1. Byrån skall låta de länder delta som slutit avtal med Europeiska gemenskapen enligt vilka de har antagit och tillämpar gemenskapslagstiftningen på det område som täcks av denna förordning.

2. Det skall, i enlighet med tillämpliga bestämmelser i dessa avtal, fastställas på vilket sätt och i vilken omfattning dessa länder skall delta i byråns arbete, även de bestämmelser som gäller deltagande i de nätverk som byrån bedriver, finansiella bidrag och personal.

Avsnitt 6 Slutbestämmelser

Artikel 23 Översynsklausul

1. Inom tre år från det startdatum som fastställs i artikel 26, eller tidigare om så anses nödvändigt av styrelsen, skall kommissionen i samarbete med den rådgivande nämnden göra en utvärdering på grundval av den arbetsbeskrivning som antagits av styrelsen. Denna utvärdering skall omfatta följande:

(a) En bedömning av byråns arbetsmetoder och betydelse.

(b) En grundlig översyn av de syften som fastställts och de mekanismer som upprättats.

(c) I förekommande fall, förslag till lämpliga ändringar mot bakgrund av institutionell eller rättslig utveckling inom Europeiska unionen, särskilt med beaktande av mer övergripande säkerhetsfrågor, t.ex. frågor som rör allmän säkerhet och rättsväsendets deltagande.

2. Denna utvärdering skall offentliggöras.

3. Kommissionen skall framför allt göra utvärderingen för att kunna avgöra om byråns verksamhet skall fortsätta efter det datum som anges i artikel 26.

Artikel 24 Administrativ kontroll

Byråns verksamhet skall övervakas av ombudsmannen i enlighet med artikel 195 i fördraget.

Artikel 25 Säte

De behöriga myndigheterna skall på kommissionens förslag fatta beslut om byråns säte senast sex månader efter att denna förordning antagits.

Artikel 26 Varaktighet

Byrån skall bedriva sin verksamhet fr.o.m. den 1 januari 2004 t.o.m. den 31 december 2008.

Artikel 27 Ikraftträdande

Denna förordning träder i kraft den dagen efter det att den har offentliggjorts i Europeiska gemenskapernas officiella tidning.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Utfärdad i Bryssel den

På Europaparlamentets vägnar På rådets vägnar

Ordförande Ordförande

FINANSIERINGSÖVERSIKT FÖR RÄTTSAKT

Politikområde: Informationssamhället

Verksamhet: Nät- och informationssäkerhet

Åtgärdens beteckning: Förslag till europaparlamentets och rådets förordning om inrättandet av den europeiska byrån för nät- och informationssäkerhet

1. BERÖRDA BUDGETRUBRIKER

En ny budgetrubrik kommer att föreslås (denna åtgärd ingår i APS 2003).

2. ALLMÄNNA UPPGIFTER

2.1. Sammanlagda anslag för åtgärden (del B): miljoner euro i åtagandebemyndiganden

24,3 miljoner euro för EUR 15 (EUR + 10 kommer att betyda ytterligare 9 miljoner euro, vilket innebär att den totala kostnaden för denna åtgärd blir 33,3 miljoner euro).

Kommissionen tog med denna åtgärd i sitt meddelande till Europaparlamentet och rådet av den 27 februari 2002 (SEK(2002) 217/9).

2.2. Tillämpningsperiod:

2004 - 2008

2.3. Flerårig total utgiftsberäkning:

a) Förfalloplan för åtagandebemyndiganden/betalningsbemyndiganden (finansiellt stöd)

Miljoner euro (avrundat till tre decimaler)

>Plats för tabell>

b) Tekniskt och administrativt stöd och stödutgifter

>Plats för tabell>

>Plats för tabell>

c) Total budgetkonsekvens i form av personalutgifter och övriga administrativa utgifter

>Plats för tabell>

>Plats för tabell>

2.4. Förenlighet med den ekonomiska planeringen och budgetplanen

Förslaget kräver omfördelningar under den berörda rubriken i budgetplanen.

2.5. Påverkan på inkomsterna: [20]

[20] Ytterligare upplysningar finns i den separata vägledningen.

Inkomsterna påverkas inte (gäller tekniska aspekter på genomförandet av en åtgärd)

3. BUDGETTEKNISKA UPPGIFTER

>Plats för tabell>

4. RÄTTSLIG GRUND

Artiklarna 95 och 156 i fördraget.

5. BESKRIVNING AV ÅTGÄRDEN OCH SKÄL FÖR ÅTGÄRDEN

5.1. Behovet av gemenskapsåtgärder [21]

[21] Ytterligare upplysningar finns i den separata vägledningen.

Förhandsbedömningen visar att de olika alternativa möjligheterna, t.ex. att skapa ett internt nätverk inom kommissionen eller ett nätverk för uppgiftslämnare i medlemsstaterna, inte uppfyllde de objektiva kvalitetskriterierna (öppenhet, kostnadseffektivitet och synlighet) och de gav inte heller samma mervärde som inrättandet av den typ av struktur som en regleringsmyndighet är.

Det första alternativet är inte genomförbart eftersom kommissionen inte har tillgång till den nödvändiga sakkunskapen om nät- och informationssäkerhet i de egna enheterna. Det andra alternativet, ett nätverk av nationella uppgiftslämnare, har stora nackdelar, som t.ex. följande:

* Kommissionen förlorar sin övervakande funktion över arbetet, och ett nätverk skulle kräva större ekonomiska resurser och mer personal eftersom funktionerna inte skulle centraliseras utan finnas i alla medlemsstater.

* Medvetenheten om den gränsöverskridande dimensionen begränsas, eftersom de nationella myndigheterna förmodligen kommer att inrikta sig på nationella problem.

* Arbetet blir mindre synligt och man får inte en enda kontaktpunkt för internationella diskussioner, vilket är helt nödvändigt inom detta område.

Mot bakgrund av detta bygger förslaget på de strukturer som anges i kommissionens nyligen antagna meddelande om rambestämmelser för EU:s tillsynsmyndigheter (KOM(2002) 718 slutlig av den 11 december 2002). Det övergripande målet är att inrikta verksamheten på regleringsfrågor (vilket också framgår av förteckningen över uppgifter) samtidigt som medlemsstaterna och kommissionen erbjuds stöd när det gäller mycket tekniska och teknologiska frågor kopplade till nät- och informationssäkerhet.

En tydligare fokusering och ökad synlighet för gemenskapens samordnade strategi för de hela tiden ökande säkerhetshoten är särskilt nödvändig efter händelserna den 11 september, då frågan om nät- och informationssäkerhet blev politiskt högprioriterad.

5.1.1. Mål för åtgärden

Eftersom så mycket bygger på nät och informationssystem är det mycket viktigt att dessa fungerar säkert. Informationssystem har stor betydelse för hela ekonomin, både för de flesta sektorer inom näringslivet, den offentliga sektorn och de enskilda medborgarna. Brister i sådana system berör alla, både enskilda medborgare, offentliga förvaltningar och företag.

Säkerhet har därför blivit en viktig politisk fråga. Regeringarna ser att samhällets ansvar ökar och de gör allt större ansträngningar för att förbättra säkerheten inom de egna ländernas gränser. Medlemsstaterna har emellertid kommit olika långt i detta arbete och tonvikten har lagts på olika aspekter. Medlemsstaterna har inte något systematiskt gränsöverskridande samarbete som rör nät- och informationssäkerhet, trots att säkerhetsproblem inte är begränsade till enskilda länder. Det finns inte någon mekanism för att säkra effektiva reaktioner på säkerhetshot. Genomförandet av regelverket varierar. Det finns en bristande driftskompatibilitet som hindrar en korrekt användning av säkerhetsprodukter och -tjänster.

Det är inte nödvändigt med någon fullständig harmonisering av de politiska strategierna, men EU skulle gynnas av ett ökat samarbete mellan medlemsstaterna och en tillfredsställande säkerhetsnivå i alla medlemsstater. Den inre marknaden skulle gynnas av en samordnad europeisk strategi för nät- och informationssäkerhet och av att kunna dra nytta av de samlade kunskaper som finns i medlemsstaterna. Detta skulle både främja innovation och de europeiska företagens globala konkurrenskraft.

Syftet med den föreslagna byrån är att förbättra nät- och informationssäkerheten i Europa och öka medlemsstaternas förmåga att enskilt och kollektivt reagera på allvarliga nät- och informationssäkerhetsproblem.

5.1.2. Åtgärder som vidtagits i samband med förhandsutvärderingen

I kommissionens meddelande, Nät- och informationssäkerhet: förslag till en europeisk strategi, KOM(2001) 298 slutlig, föreslogs ett antal åtgärder för att stärka informationssäkerheten i Europa. I rådets resolution av den 28 januari 2002 om en gemensam inställning och särskilda åtgärder på området för nät- och informationssäkerhet vidareutvecklades denna tanke. Det har emellertid blivit uppenbart att man på europeisk nivå inte kan hantera nät- och informationssäkerheten på ett tillfredsställande sätt inom ramen för de existerande institutionerna.

Därför välkomnades i resolutionen kommissionens förslag om att inrätta en arbetsgrupp för nätsäkerhet, som skulle kunna hantera nät- och informationssäkerhetsproblem. Denna arbetsgrupp för nätsäkerhet har nu getts formen av en tidsbegränsad regleringsmyndighet.

Man har övervägt ett antal alternativ till en byrå men funnit att dessa inte skulle klara av uppgifterna. En mer ingående analys av övervägandena bakom inrättandet av en ny byrå finns i förhandsbedömningen.

5.2. Planerad verksamhet

5.2.1. Mål

Det övergripande syftet med byrån är att i Europa skapa en gemensam förståelse för informationssamhällets problem, som går ut på att det är nödvändigt att säkra tillgången till och säkerheten i nät och informationssystem inom EU.

Byrån skall klara följande:

- Byrån skall tillhandahålla stöd vid tillämpningen av gemenskapsåtgärder som rör nät- och informationssäkerhet.

- Byråns stöd skall bidra till att säkra driftskompatibiliteten för informationssäkerhetsfunktioner i nät- och informationssystem och därigenom bidra till en välfungerande inre marknad.

- Byrån skall öka både gemenskapens och medlemsstaternas förmåga att reagera på nät- och informationssäkerhetsproblem.

Byrån kommer att ha en central betydelse för säkerheten i Europas nät och informationssystem samt för informationssamhällets utveckling i allmänhet.

5.2.2. Uppgifter

Byrån kommer att utföra följande uppgifter:

- Byrån har rådgivande och samordnade funktioner som innebär att den skall samla in och analysera uppgifter om informationssäkerhet. I dag finns det både offentliga och privata organisationer som samlar in uppgifter om IT-incidenter och informationssäkerhet. Det finns dock inget organ på europeisk nivå som på ett mer övergripande sätt kan samla in och analysera uppgifter, avge yttranden och ge råd för att stödja gemenskapens strategi för nät- och informationssäkerhet.

- Byrån skall tjäna som kompetenscentrum, och både medlemsstaterna och EU-institutionerna skall kunna vända sig dit för att erhålla yttranden och råd om tekniska frågor som rör säkerhet.

- Byrån skall bidra till ett brett samarbete mellan olika aktörer inom informationssamhällets område genom att t.ex. stödja uppföljningsåtgärder till stöd för säkra e-företag. Denna typ av samarbete kommer att vara en viktig förutsättning för säkra nät och informationssystem i Europa. Det är nödvändigt att alla berörda parter deltar och engagerar sig.

- Byrån skall bidra till en samordnad strategi för informationssäkerhet genom att erbjuda medlemsstaterna stöd när det gäller t.ex. främjande av riskbedömning och medvetandehöjande åtgärder.

- Byrån skall säkerställa driftskompatibiliteten för nät och informationssystem när medlemsstaterna tillämpar tekniska krav som påverkar säkerheten.

- Byrån skall kartlägga vilket standardiseringsbehov som existerar, bedöma befintliga säkerhetsstandarder och certifieringssystem och verka för att dessa i så stor utsträckning som möjligt används till stöd för EU-lagstiftningen.

- Byrån skall stödja det internationella samarbetet inom detta område, vilket blir allt viktigare med tanke på att nät- och informationssäkerhetsfrågor är globala.

5.3. Genomförandebestämmelser

Enligt förslaget skall en regleringsmyndighet inrättas för en inledande period på fem år. Detta organ, "byrån", skall vara fristående från kommissionen och vara en juridisk person.

Byrån kommer att bestå av en styrelse, en verkställande direktör och en rådgivande nämnd. Styrelsen skall ha det övergripande ansvaret för strategi- och ledningsfrågor samt utse den verkställande direktören.

Den rådgivande nämnden kommer att bestå av experter, ha en rådgivande funktion och säkerställa ett nära samarbete med medlemsstaterna och berörda organisationer i medlemsstaterna.

6. BUDGETKONSEKVENSER

6.1. Totala budgetkonsekvenser för del B (för hela programperioden)

Byråns viktigaste uppgift är att tjäna som kompetenscentrum, och personalen kommer i stor utsträckning att avge yttranden och arbeta med rådgivning. Därför kommer de administrativa kostnaderna för byrån att utgöra en stor del av den totala budgeten.

6.1.1. Finansiellt stöd

Åtagandebemyndiganden, miljoner euro (avrundat till tre decimaler)

>Plats för tabell>

6.1.2. Tekniskt och administrativt stöd, stödutgifter och IT-utgifter (åtagandebemyndiganden)

>Plats för tabell>

6.2. Kostnadsberäkning per åtgärd för del B (för hela programtiden)

Tabellen nedan visar fördelningen av kostnaderna för byrån under den föreslagna verksamhetstiden. I beräkningarna har man skilt mellan dagens situation med 15 EU-medlemsstater och situationen med 10 nya medlemsstater under loppet av 2004. Siffrorna anges nedan i punkterna a -f.

>Plats för tabell>

a) Förberedande arbete

Byrån skall inleda sin verksamhet i januari 2004.

Det finns en budget tillgänglig genom Modinis-programmet i 2003 års budget [22], även om den inte är direkt kopplad till denna budgetpost. Några av de viktigaste åtgärderna i detta program är förbättrad nät- och informationssäkerhet samt förberedelserna inför inrättandet av arbetsgruppen för nätsäkerhet i enlighet med rådets resolution av den 28 januari 2002 och handlingsplanen eEurope 2005. I detta ingår bl.a. finansiering av undersökningar, studier och seminarier om sådant som säkerhetsmekanismer och driftskompatibilitet för säkerhetsmekanismer, nätens tillförlitlighet och skydd, avancerad kryptering, personlig integritet och säkerhet i trådlös kommunikation.

[22] Politisk enighet nåddes i rådet (telekom) den 5 december, det formella antagandet kommer att ske vid rådets (telekom) möte i mars 2003.

b) Personalresurser (inklusive utgifter för byggnader och administrativa utgifter för detta)

Byrån kommer att behöva en mycket specialiserad och högt kvalificerad personal för att hantera oförutsedda uppgifter. De yrkeskunniga som har den profil som krävs är för närvarande en bristvara och de är mycket efterfrågade i Europa. Byrån bör rekrytera personal från både den offentliga och den privata sektorn. Byrån skall ha 31 anställda när verksamheten fungerar fullt ut med 15 medlemsstater. Fem av dessa skall sköta byråns allmänna ledning och administration och 26 kommer att rekryteras för de operativa uppgifter som anges i artikel 2 i förslaget till förordning. Antalet anställda för ledningsuppgifter och administrativt stöd bygger på erfarenheterna från gemenskapens befintliga byråer.

Av de 26 anställda som ansvarar för operativa uppgifter kommer en att sköta sekretariatet och de övriga kommer att rekryteras på grundval av specifika erfarenheter: sex skall ha erfarenhet av riskanalys och riskhantering, sex av övervakning av nät, tre av tekniska komponenter i nät- och informationssystem, två av information och kommunikation, fyra av dataincidenter och hantering av sådana och fyra av samordning av informationssäkerhetsåtgärder som genomförs av medlemsstaternas myndigheter. Personalens sammansättning bygger på en ingående analys som gjorts efter diskussioner med de nationella myndigheternas säkerhetsavdelningar och liknande säkerhetsenheter inom både offentlig och privat sektor, t.ex. enheter för hantering av datasäkerhetsincidenter. Hänsyn har tagits till den förväntade arbetsbördan och byråns uppgifter. På grund av budgetbegränsningarna har antalet anställda begränsats till ett absolut minimum.

När byråns verksamhet är i full gång kommer den totala årliga personalkostnaden med 15 medlemsstater att vara 3,348 miljoner euro, vilket grundas på kommissionens genomsnittliga kostnad på 108 000 euro per fast anställd och år, inklusive därmed förbundna utgifter för byggnader och administration.

Man kommer förmodligen inte att rekrytera samtliga anställda på en gång. Därför bygger tabellen i punkt 6.2 på en modell med stegvis rekrytering, med tio personer 2004 och 29 personer 2005. Alla 31 skall ha rekryterats 2006.

Enligt artikel 20 i förslaget skall de regler och förordningar som gäller för tjänstemän och andra anställda vid Europeiska gemenskaperna gälla även för byråns personal.

>Plats för tabell>

c) Utrustning

Möbler: Upphandlingen av möbler och kontorsutrustning kommer att kosta 0,1 miljoner euro det första året och 0,025 miljoner euro åren därefter. Kontor och därmed förbundna administrativa utgifter täcks av personalkostnaderna.

IT: Med tanke på byråns uppgifter kommer den att vara ett troligt mål för hackare och andra säkerhetsattacker. Den måste ha ett tillfredsställande skydd mot sådana hot. Denna byrå kommer därmed att ha ett särskilt stort behov av avancerad IT-utrustning med hög säkerhetsnivå. Detta behov av ett skydd på toppnivå innebär att den totala kostnaden för IT-utrustning per tjänsteman och år i genomsnitt beräknas uppgå till mellan 15 500 och 18 000 euro. Den totala IT-kostnaden kommer att vara 0,22 miljoner euro för det första året, 0,48 miljoner euro för det andra året och 0,528 miljoner euro för åren därefter.

Webbplats: En central uppgift för byrån kommer att vara att göra information tillgänglig för både allmänhet och fackfolk. Detta kommer huvudsakligen att göras genom webbaserade åtgärder. Den lägsta kostnaden för detta (som endast täcker det grundläggande informationsbehovet) beräknas vara 0,15 miljoner euro för det första året och därefter 0,05 miljoner euro/år.

d) Verksamhet

Publikationer: Webbplatsen kommer att användas som plattform för huvuddelen av publikationerna, men byrån kommer i viss utsträckning att publicera officiella rapporter och informationsmaterial också i pappersformat, framför allt för information till berörda EU-institutioner. Kostnaderna för sådana publikationer väntas uppgå till 35 000 euro första året och därefter till 50 000 euro/år.

Konferenser: 0,1 miljoner euro bör användas för att anordna konferenser under det första året, 0,15 miljoner euro under det andra året och därefter 0,2 miljoner euro/år. Dessa konferenser kommer framför allt att syfta till att sprida resultaten av byråns arbete till en bredare publik, bestående av både offentliga och privata organ.

Tjänsteresor: En central del i byråns strategi kommer att vara att upprätta nära nätverk med medlemsstaterna och tredje land (med tanke på nätsäkerhetsproblemens globala natur). Kostnaderna för tjänsteresor i samband med sådana uppgifter beräknas uppgå till 0,14 miljoner euro det första året och därefter till 0,2 miljoner euro/år.

Möten: Enligt förslaget till förordning skall en styrelse, en rådgivande nämnd och olika arbetsgrupper inrättas. Detaljerna om hur dessa organ skall fungera (mötesfrekvens etc.) kommer att fastställas i byråns interna arbetsordning. Mot bakgrund av hur denna typ av verksamhet brukar läggas upp bygger den preliminära beräkningen av kostnaderna på tre möten per år för styrelsen och ett möte per månad för den rådgivande nämnden.

Totalt kommer styrelsen och den rådgivande nämnden att hålla 15 möten om året. Kostnaderna för sammanträdeslokal och översättning kommer att uppgå till 7 000 euro per möte och resekostnaderna kommer att uppgå till ytterligare 700 euro. Årskostnaden kommer därmed att vara 115 000 euro.

Det kommer förmodligen att ta en viss tid innan arbetsgrupperna inrättas. Expertgrupperna kommer att hålla färre möten det första året.

Översättning: För att hålla kostnaderna och tidsåtgången för översättning nere kommer byråns interna material och dokument avsedda för kommissionen endast att finnas tillgängliga på ett av arbetsspråken. Dokument till och från medlemsstaterna kan dock behöva översättas. Kostnaderna för dessa översättningar kommer att behöva justeras mot bakgrund av gjorda erfarenheter. Kostnaderna planeras täckas av en summa på 0,16 miljoner euro för det första året och 0,2 miljoner euro per år för åren därefter.

e) Studier och forskning

Nät- och informationssäkerhet är ett mycket specialiserat område och den nätverksbaserade världens föränderliga natur kommer att ge upphov till nya och oförutsedda utmaningar på global nivå. Samtidigt kommer byrån att ha begränsade personalresurser och därför kommer det att vara nödvändigt att ta hjälp av externa experter för vissa uppgifter. Externa experter kommer att användas för exempelvis studier som rör sådant som insamling av data och statistik, den tekniska utvecklingens inverkan på säkerhetsaspekter som t.ex. modeller för riskbedömning och riskhantering, samt för att kunna dra nytta av forskningsresultat om ny och framtida teknik och information om nätsäkerhetslösningar som utvecklats i tredje land.

På grundval av den insamlade informationen kommer byrån framför allt att ge bistånd och avge yttranden åt kommissionen och andra behöriga organ, föreslå lösningar syftande till ett förbättrat samarbete mellan aktörer, bidra till tillgången till aktuell, objektiv och heltäckande information samt bidra till gemenskapsstrategin för samarbete med tredje land.

Den totala kostnaden för studier kommer att uppgå till 3,445 miljoner euro. Under de första åren kommer byråns verksamhet förmodligen inte att fungera fullt ut. Därför beräknas att 0,42 miljoner euro kommer att användas till studier 2004 och 0,55 miljoner euro 2005. Därefter kommer kostnaderna att uppgå till 0,825 miljoner euro/år. Genomsnittskostnaden för studier ligger någonstans mellan 0,2 miljoner euro och 0,3 miljoner euro.

f) Beräkningar för tio nya länder

Tio nya länder innebär att antalet anställda kommer att öka i motsvarande grad, eftersom de nya medlemsstaternas deltagande och expertis också kommer att behövas. Personalstyrkan kommer att ökas stegvis, med fem personer 2004, nio 2005 och 13 under åren 2006-2008. Av dessa 13 kommer tio att företräda de nya länderna och tre kommer att ha sekreteraruppgifter eller andra administrativa uppgifter.

Med ett ökat antal anställda kommer också behovet av möbler och IT-utrustning att öka. Kostnaderna för utrustning kommer att öka linjärt med antalet nyanställda, förutom det första året då kostnaderna kommer att vara högre (se beräkningarna ovan).

Konferenserna förväntas inte ge några merkostnader med de nya länderna, men publikationerna kommer att behöva göras för en större läsekrets, och därför kommer dessa att bli dyrare. Det kommer också att finnas ett behov av tjänsteresor till de nya länderna för att få med dem i olika samarbeten och program för informationsutbyte etc. Fler personer kommer att delta i möten, och även översättningsbehovet kommer att öka med de nya länderna. Beräkningarna av dessa kostnader har gjorts utifrån samma förhållanden som för 15 medlemsstater.

De summor som avsatts för studier kommer också att behöva ökas med de nya länderna, eftersom det är viktigt att få en heltäckande bild av IT-läget i dessa länder och av de särskilda behov som kan uppstå när de ansluter sig till EU. År 2004 kommer det att vara för tidigt för något annat än en mer grundläggande undersökning, men 2005 är det viktigt att få en helhetsbild av de nya länderna. Därför kommer kostnaderna för studier relativt sett att vara högre det året.

7. EFFEKTER PÅ PERSONALRESURSER OCH ADMINISTRATIVA UTGIFTER

Personalbehov och administrativa behov kommer att täckas av anslag som beviljas det förvaltande generaldirektoratet inom ramen för det årliga tilldelningsförfarandet.

7.1. Personalbehov för åtgärden

>Plats för tabell>

7.2. Total budgetkonsekvens av ytterligare personalbehov

>Plats för tabell>

Beloppen avser totala utgifter för 12 månader.

7.3. Övriga administrativa utgifter till följd av åtgärden

>Plats för tabell>

Beloppen avser totala utgifter för 12 månader.

Ange vilken typ av kommitté samt vilken av de två kategorierna den tillhör.

>Plats för tabell>

8. UPPFÖLJNING OCH UTVÄRDERING

8.1. Metod för uppföljning

För att säkerställa att gemenskapens medel används effektivt skall kommissionen se till att åtgärderna enligt denna förordning föregås av offentliga upphandlingsförfaranden samt att verksamheten övervakas och utvärderas på lämpligt sätt.

8.2. Metod och tidsplan för den planerade utvärderingen

Kommissionen kommer tillsammans med den rådgivande nämnden att göra en översyn av byråns arbetsmetoder och betydelse. Denna översyn skall genomföras inom tre år från det att verksamheten inleds, dvs. före den 31 december 2007.

9. BESTÄMMELSER OM BEDRÄGERIBEKÄMPNING

Betalningen av beställda tjänster eller undersökningar skall kontrolleras av byrån innan utbetalningen görs, med beaktande av villkoren i avtalen, ekonomiska principer samt principerna för en sund ekonomisk förvaltning och goda ledningsmetoder. Bestämmelser om bedrägeribekämpning (t.ex. övervakning och rapporteringskrav) kommer att införas i alla överenskommelser och avtal som ingås mellan byrån och betalningsmottagare.