SV    SV SV 
SV    SV  EUROPEISKA KOMMISSIONEN  
Bryssel den 30.9.2010 
SEK(2010) 1127 
ARBETSDOKUMENT FRÅN KOMMISSIONENS AVDELNINGAR 
SAMMANFATTNING AV KONSEKVENSANALYSEN   
 
Följedokument till 
  
Förslaget till  
 
EUROPAPARLAMENTETS OC H RÅDETS FÖRORDNING  
 
om Europeiska byrån för nät- och informationssäkerhet (Enisa) 
  
{KOM(2010) 521  slutlig } 
{SEK(2010) 1126}  
SV 2   SV SAMMANFATTNING AV KONSEKVENSANALYSEN  
1. TILLÄMPNINGSOMRÅDE OCH BAKGRUND  
1.1. Tillämpningsområde 
Denna konsekvensanalys fokuserar på hur en modernare byrå för nät- och 
informationssäkerhet, som allmänt ses som et t lämpligt och nödvändigt politikinstrument för 
att hantera problemen med nät- och information ssäkerhet, bäst kan utfo rmas för att stödja 
medlemsstaternas organs och kommissionens insa tser för att uppnå målen på detta område, 
när Enisas (Europeiska byrån för nät- och info rmationssäkerhet) mandatperiod löper ut i mars 
2012. 
1.2. Bakgrund 
Som världen ser ut i dag är samhället och ekon omin helt beroende av att informations- och 
kommunikationstekniken fungerar. De t är därför av största vikt a tt man ser till att systemen är 
säkra och att användarna litar på dem. Med de allt fler hot, attacker och sabotage som systemen utsätts för, finns det en viss risk för att de grundläggande nät- och 
informationsinfrastrukturerna inte kan fungera ordentligt. Eftersom dessa system och nät är 
transnationella behövs det en europeisk lösning på  problemet med att bevara nät- och 
informationssäkerheten. 
Som svar på dessa frågor inrä ttades Europeiska byrån för nä t- och informationssäkerhet 
(Enisa) 2004
1 för en period på fem år ”[f]ör att sä kerställa en hög nivå på nät- och 
informationssäkerhet i gemenskapen och utveckla  en kultur av nät- och informationssäkerhet 
till förmån för medborgarna, konsumenterna, företagen och den offentliga sektorns organisationer i Europeiska unionen och på det sättet bidra till at t den inre marknaden 
fungerar väl (…)”. 
Sedan dess har problemen med nät- och informati onssäkerhet hela tiden förändrats i takt med 
den tekniska och marknadsmässiga utveck lingen. Därför började kommissionen, i god tid 
innan Enisa-förordningen löpte ut i mars 2009 , att tillsammans med berörda aktörer gå 
igenom vilka politikförslag som bäst  skulle tillgodose EU:s nät- och 
informationssäkerhetsmål från 2009 och framåt. Efter en utvärdering av Enisa efter halva 
tiden 2007
2 och ett offentligt samråd3 den 24 september 2008 antog rådet och 
Europaparlamentet en förordning om att förlänga  Enisas mandat oförändr at i tre år till och 
med den 13 mars 20124. I skälen till den förordningen ef terlyser rådet och Europaparlamentet 
”(…) fortsatt diskussion om byrån [och] av vi lken inriktning gemenska pens arbete för nät- 
och informationssäkerhet överlag ska ha (…)”. 
                                                 
1 Europaparlamentets och rådets förordning (EG) nr 460/2004 av den 10 mars 2004 om inrättandet av den 
europeiska byrån för nät- och informationssäkerhet . 
2 Meddelande från kommissionen till Europaparlamentet och rådet om utvärderingen av den Europeiska 
byrån för nät- och informationssäkerhet (Enisa) – KOM(2007) 285, 1.6.2007, 
 http://eur-lex.europa.eu/L exUriServ/LexUriServ.do?ur i=CELEX:52007DC0285:SV:NOT. 
3 Samrådet pågick från och med den 13 juni till och med den 7 september 2007. 
4 Europaparlamentets och rådets förordning (EG) nr 1007/2008 av den 24 september 2008 om ändring av 
förordning (EG) nr 460/2004 om inrättandet av den europeiska byrån för nät- och informationssäkerhet 
i fråga om dess mandatperiod (EUT L 293, 31.10.2008). 
SV 3   SV Kommissionen satte fart på diskussionen ge nom att i november 2008 in leda ännu ett EU-
täckande offentligt samråd om vilka mål man skulle kunna sätta för en skärpt nät- och informationssäkerhetspolitik, och hur man skulle kunna uppnå dessa mål
5. Kommissionen 
anordnade dessutom ett seminarium i d ecember 2008 med experter inom nät- och 
informationssäkerhet från de behöriga myndigh eterna i medlemsstaterna. Samrådet handlade 
om instrument och mekanismer i en skärpt EU -politik för nät- och informationssäkerhet. 
Dessutom antog kommissionen i mars 2009 ett meddelande om skydd av kritisk 
informationsinfrastruktur6 enligt vilket Enisa får en central roll när det gäller att förbättra 
EU:s beredskap, säkerhet och motståndskraft. De nna strategi fick stöd på ministerkonferensen 
om skydd av kritisk informationsinfrastruktur i Tallinn den 27–28 april 2009. En av slutsatserna därifrån var att ”[ d]e nya och långsiktiga utmaningar som vi står inför kräver […] 
en grundlig omprövning och omformulering av byråns mandat för att i ökad utsträckning 
inrikta sig på EU:s prioriteri ngar och behov, skapa förmåga till  mer flexibla motåtgärder, 
utveckla europeiska färdigheter och kunskape r samt öka byråns operativa effektivitet och 
övergripande inflytande. På detta sätt kan Enisa bli en ständig tillgång för varje medlemsstat och hela Europeiska unionen.”  
Den 18 december 2009 antog rådet en resolution om en europeisk samarbetsstrategi för nät- 
och informationssäkerhet
7 i vilken det underströks att ”Eni sa, inom ramen för ett reviderat 
mandat, bör fungera som EU:s kompetenscentr um för EU-relaterade frågor om nät- och 
informationssäkerhet (…)”. 
I kommissionens strategi Europa 2020 En stra tegi för smart och hållbar tillväxt för alla8, är 
den europeiska digitala agendan ett av de flaggskeppsinitiativ som ska föra Europa 2020 
framåt, och nät- och informationssäkerheten spelar en central roll. Syftet med detta politiska 
initiativ för att främja tillit och säkerhet i den europeiska digitala agendan är att göra 
det möjligt för EU, medlemsstater och berö rda parter att utveckla hög beredskap och 
motståndskraft för att förebygga, upptäcka och reagera bättre på nät- och 
informationssäkerhetsproblem. Detta kommer att medverka till större tilltro och säkerhet på 
Europas digitala inre marknad och bätt re konkurrenskraft hos europeiska företag. 
2. PROBLEMFORMULERING  
2.1. Vad är problemet? 
Följande problemkällor har identifierats som ökar  sårbarheten för hot mot och brister i nät- 
och informationssäkerheten. Samtliga visar att de t finns ett behov av en tillförlitligt struktur 
på EU-nivå för att hantera problemet och fö r att i hela Europa påskynda de ständigt 
föränderliga teknik- och marknadsvillkoren när det gäller nät- och informationssäkerhet.  
• Fragmentering av de många ol ika nationella strategierna.  Nät- och 
informationssäkerhetsproblem håller sig inte inom nationella gränser och kan därför inte 
                                                 
5 Från och med den 7 november 2008 till och med den 9 januari 2009, rapporten finns på  
http://ec.europa.eu/information_society/policy/nis/nis_public_consultation/index_en.htm. 
6 Meddelande från kommissionen till Europaparlamentet, rådet, Europeiska ekonomiska och sociala 
kommittén samt Regionkommittén om skydd av kritisk informationsinfrastruktur - KOM(2009)149, 
30.3.2009. 
7 Rådets resolution av den 18 december 2009 om  en europeisk samarbetsstrategi för nät- och 
informationssäkerhet, (2009/C 321/01). 
8 KOM(2010) 2020. 
SV 4   SV effektivt lösas på enbart nationell nivå. De ssutom hanterar de offentliga myndigheterna i 
de olika medlemsstaterna problemet på många olika sätt. De olika säkerhetskraven i de 
olika medlemsstaterna belastar företag som är verksamma inom hela EU med kostnader, 
vilket medför en fragmentering och bris t på konkurrenskraft på EU:s inre marknad. 
• Begränsad europeisk kapacitet för ti dig varning och incidenthantering. Det råder stora 
skillnader mellan de nuvarande nationell a systemen för tidig varning och 
incidenthantering, och det finns inte något EU-system. Det behövs ett EU-instrument som 
kan kartlägga risker och brister i nät- oc h informationssäkerheten, etablera lämpliga 
beredskapssystem och se till att berörda parter känner till och använder dessa. 
• Brist på tillförlitliga data och begrän sade kunskaper om framväxande problem.  Det 
finns mycket lite tillförlitlig  information om förekomsten och effekterna av nät- och 
informationssäkerhetsincidenter, vilket gör de t svårt för beslutsfattarna att vidta lämpliga 
politiska åtgärder och för företag att fatta  beslut om investeringar i säkerhet.  
• Låg grad av medvetenhet om risker oc h problem förknippa de med nät- och 
informationssäkerhet. Ansvaret för att garantera nät- och informationssäkerheten ligger 
hos den enskilda aktören. Ansvaret är dock inte alltid tydligt definierat och förmedlat. Å 
ena sidan underskattar konsumenten ofta nät-  och informationssäkerhetsriskerna och 
bortser från sitt personliga ansvar för att säkra sina informations- och kommunikationssystem. Å andra sidan ser före tag ofta bara kostnaderna med nät- och 
informationssäkerhet och inte de potentiella besparingar de medför. 
• Den internationella dimensionen av nä t- och informationssäkerhetsproblem . Hot mot 
nät- och informationssäkerheten och eventuel la påföljande incidenter är av naturen 
internationella, så EU-åtgärder kan bli mindr e verksamma om problemen på detta område 
inte samtidigt åtgärdas på internationell nivå. Vi måste ta fram en EU-strategi och referenspunkter för nät- och informationssäkerh eten för att hävda EU internationellt sett. 
• Behov av samverkansmodeller för att gara ntera tillfredsställande genomförande av 
politiken.  Tillfredsställande genomförande av nät- och informationssäkerhetspolitiken 
kräver samverkansmodeller på EU-nivå. Aktö rerna behöver vägledning  för att identifiera 
nät- och informationssäkerhetshot och för a tt ta fram bästa metoder för genomförandet av 
nuvarande nät- och inform ationssäkerhetspolitik. 
• Behov av effektivare åtgärde r mot cyberbrottslighet. Insatser på nät- och 
informationssäkerhetsområdet har huvudsakligen  gjorts under den tidig are första pelaren, 
dvs. de diskuterades mellan institutionerna.  Med Lissabonfördraget i kraft måste man dock 
överväga bredare arbetsuppgifter för en nät-  och informationssäkerhetsbyrå som även 
omfattar områden som ingår i andra och tredje  pelaren, dvs. frågor som tidigare enbart 
beslutades av rådet. 
2.2. Vem påverkas mest av problemet? 
Nät- och informationssäkerhet sincidenter kan får mycket st ora verkningar för flera olika 
aktörer, såväl stora som små företag, offen tliga myndigheter och enskilda personer. Med 
andra ord, alla berörs och måste ta ansv ar för nät- och informationssäkerhet. 
Det finns endast få eller inga kvantitativa  uppgifter om det exakta antalet nät- och 
informationssäkerhetsincidenter och/eller de ras ekonomiska konsekvenser. Man kan få ett 
SV 5   SV hum om omfattningen i IDC Emeas marknadsundersökning9, som visar att 28 % av hushållen 
i EU-27 har haft problem med skräppost eller virus under de senaste tolv månaderna. I 
genomsnitt har cirka 7 % av företagsanvändarna varit med om en säkerhetsincident under det 
senaste året. 
3. GRUND FÖR EU- ÅTGÄRD , EU- MERVÄRDE OCH SUBSIDIARITET  
Nät- och informationssäkerhetssystem är inbö rdes beroende av varandra. Detta gör det 
mycket svårt, om inte omöjligt, för enskilda ak törer att bilda sig en ko rrekt uppfattning om de 
ekonomiska och sociala konsekvenserna av deras skyddsåtgärder mot nät- och informationssäkerhetsincidenter. När politik och praxis skiljer sig åt me llan länderna stör det 
den inre marknaden, både på grund av  den negativa sidan av nät- och 
informationssäkerhetsincidenter (otillräck lig politik påverkar marknaderna i andra 
medlemsstater) och den positiva sidan av god nät- och informationssäkerhetspraxis (god 
praxis i en medlemsstat ger totalt sett bättre nät- och informationssäkerhet och gagnar därmed 
otvetydigt samhället). Politiska insatser på EU-n ivå är således berättigad e eftersom de innebär 
ett verkligt mervärde för den in re marknadens funktion. Ett såda nt mervärde erkändes också i 
förordning (EG) nr 460/2004 om inrättandet av En isa enligt vilken Enisas verksamhetsområde 
ska bidra till att den inre  marknaden fungerar väl. 
EU-insatser i nät- och informationssä kerhetspolitik är berättigade enligt 
subsidiaritetsprincipen. Såsom uppmärksamm ades i meddelandet om skydd av kritisk 
informationsinfrastruktur innebär en EU-strategi utan några som helst ingrepp i nationell nät- 
och informationssäkerhetspolitik i princip att man överlåter frågan på  medlemsstaterna, utan 
hänsyn till att informationssystemen är inbörd es beroende av varandra. En viss samordning 
mellan medlemsstaterna, för att säkerställa att de  gränsöverskridande as pekterna av nät- och 
informationssäkerhetsriskerna kan hant eras, är därför helt förenlig med 
subsidiaritetsprincipen. En EU-insats skulle  dessutom förbättra va rje befintlig nationell 
politiks effektivitet.  
EU-medborgarna lämnar i allt större utsträckning ut sina  uppgifter till komplexa 
informationssystem (t.ex. datormoln). En samordnad och samverkande nät- och informationssäkerhetspolitik kan därför stärka ett riktigt skydd av de grundläggande 
rättigheterna  och i synnerhet rätten till integritetsskydd och skydd av personuppgifter . Även 
detta gör att det är väl motiverat att vidareutveckla EU:s politiska insatser.  
4. S
YFTEN  
I denna konsekvensanalys undersöks det i vilken omfattning en modernar e byrå för nät- och 
informationssäkerhet, som allmänt ses som den lämpligaste organisationsstrukturen, bäst kan 
utformas så att den, tillsammans med övriga EU-i nstrument, bidrar till att de politiska målen 
uppnås. 
Det övergripande målet är att göra det möjligt för EU, medlemsstaterna och aktörerna 
att utveckla hög beredskap och motståndskr aft för att förebygga, upptäcka och reagera 
bättre på nät- och informationssäkerhetsproblem. Detta kommer att bidra till ökat 
                                                 
9 IDC Emea, The European Network and Information Security Market, Scenario, Trends and Challenges , 
april 2009, med hänvisning till Eurobarometern undersökning om e-meddelanden, april 2007. 
SV 6   SV förtroende för och ökad säkerhet på Eur opas digitala inre marknad och förbättra 
konkurrenskraften för europeiska företag. 
Detta mål kan delas upp i följande sju specifika mål : 
(1) Sammanhängande lagstiftningsprocesser  – att vägleda och ge råd till kommissionen 
och medlemsstaterna när det gäller ut veckling och uppdatering av ett holistiskt 
normativt ramverk för nät- och informationssäkerhet. 
(2) Förebyggande, upptäckt och insatser  – att förbättra beredskapen genom att bidra till 
ett europeiskt system för tidig varning och incidenthantering samt alleuropeiska 
beredskapsplaner och övningar. 
(3) Stöd för politikutformning  – att ge stöd och rådgivning till kommissionen och 
medlemsstaterna. 
(4) Göra alla berörda parter ansvariga  – att utveckla en säkerhets- och 
riskhanteringskultur genom att stimulera informationsutbyte och brett samarbete 
mellan aktörer från den offentliga och den privata sektorn, vilket också direkt gagnar medborgarna och små och medlemstora före tag, och genom att öka medvetenheten om 
nät- och informationssäkerhet. 
(5) Göra Europa till en livskrafti g aktör i internationella sammanhang  – att etablera 
ett nära samarbete med tredje länder och internationella organisationer för att främja en 
gemensam världsomspännande strategi för nät-  och informationssäkerhet och se till att 
initiativ på hög internationell ni vå får genomslagskraft i Europa. 
(6) Samordnat genomförande  – att underlätta samarbetet om genomförandet av nät- och 
informationssäkerhetspolitiken. 
(7) Bekämpa cyberbrottslighet  – att utveckla ett verkningsfullt svar på nät- och 
informationssäkerhetsaspekterna av c yberbrottslighet genom samarbete med 
myndigheter under (tidigare) andra oc h tredje pelaren, t.ex. Europol. 
5. O
RGANISATORISKA MÖJLIG HETER OCH ALTERNATIV  
I konsekvensanalysen undersöks ett antal möjligheter för hur man rent organisatoriskt ska 
kunna genomföra ovanstående politi ska alternativ (kapitel 4 och bilaga 4), nämligen följande: 
i) en byrå, ii) ett mer eller mindre formaliserat offentlig-privat partnerskap, iii) ett informellt 
kontaktnät, iv) ett permanent nätverk av be höriga organ och v) direkt inlemmande i 
kommissionens tjänsteavdelningar.  
Vid en jämförelse av dessa organisationsformer framstår byrån som bäst lämpad som politiskt 
instrument eftersom den innebär följande fördel ar: 1) rättslig säkerh et både när det gäller 
organisationsstruktur och innehå ll, 2) dess lämplighet för speci fika frågor i en så känslig 
sektor som nät- och informationssäkerhet (org an med extern expertkunskaper, samordning av 
förhållandet med aktörerna, inblandning/enga gemang från medlemsstaterna) och 3) Enisas 
erkännande och goda rykte i nät- oc h informationssäkerhetskretsar. 
Följande alternativ ställdes upp och bedömdes i de talj när det gäller byråns organisationsform. 
Alternativ 1: Ingen politik  
SV 7   SV Under alternativet ”ingen  politik” antas det att Enisa inte längre existerar efter mars 2012 och 
att ingen av Enisas nuvarande verksamheter ta s över av en annan EU-institution, varken helt 
eller delvis.  
En nedläggning av Enisa skulle innebära att alla de investeringar som hittills gjorts, till 
exempel när det gäller inrättandet av en organisation som kan dra till sig personer med 
spetskunskaper, uppbyggnaden av erfarenhete r och nätverk mellan olika aktörer och 
internationella institutioner, uteblir när den nuvarande byrån just har fått upp farten.  
Nät- och informationssäkerhetsproblematiken är komplex i hela Europa och kräver en 
modernare och stärkt byrå, inte en nedläggning. Detta bekräftas av den tydliga roll som Enisa 
tillskrivits, till exempel i den reformerade lagstiftningen om elektronisk kommunikation10, 
och det allmänna stöd som aktörer uttryckt för at t större vikt ska läggas vid en europeisk byrå 
för nät- och informationssäkerhet. 
Alternativ 2: Oförändrade förhållanden  
Alternativ 2 utgörs av ett scenario med oför ändrade förhållanden, dvs. samma politiska 
instrument fortsätter att använda s och med samma resurser. Bla nd aktörerna på området råder 
det allmän enighet om att Enisa har utvecklats till en trovärdig referenspunkt för frågor kring 
nät- och informationssäkerhet och till ett kunskapscentrum på sitt område.  
Med tanke på rådande persona l- och budgetrestriktioner komme r byrån endast att kunna få 
inflytande på ett mycket litet antal nät- och in formationssäkerhetsfrågor. Detta står i kontrast 
till aktörernas allmänna förväntningar. Om byr ån inte får möjlighet att utvecklas vidare och 
leva upp till dessa ökade förväntningar skulle det i slutändan kunna leda till en trovärdighetskris.  
Alternativ 3: Utöka Enisas uppgifter och låta myndigheter som sysslar med 
brottsbekämpning och integrit etsskydd bli fullvärdiga parter  
Enligt detta alternativ skulle byrån för nät- och in formationssäkerhet få en  större roll, inriktad 
på följande: 
• Bygga upp och underhålla ett kontaktnätverk me llan aktörerna och ett kunskapsnätverk. 
• Fungera som stödcentrum för nät- och in formationssäkerhet vid utveckling och 
genomförande av politiska satsningar (särski lt när det gäller integritet och elektronisk 
kommunikation, elektronisk signatur, e-legitim ation och upphandlingsnormer för nät- och 
informationssäkerhet). 
• Stödja EU:s politik när det gäller skydd av  kritisk informationsinfrastruktur och 
motståndskraft (t.ex. övningar, EP3R
11, det europeiska systemet för informationsutbyte och 
varning osv.). 
• Sätta upp EU-ramar för insamling av nät- och informationssäkerhetsdata, och ta fram 
metoder och praxis för rapportering och utväxling av data i överensstämmelse med lagstiftningen. 
• Studera och rapportera de ekonomiska aspekt erna av nät- och informationssäkerhet. 
                                                
 
10 Se http://eur-lex.europa.eu/JOHtml.do?uri=OJ:L:2009:337:SOM:SV:HTML . 
11 Europeiskt offentligt-privat partners kap för motståndskraft, se KOM(2009) 149. 
SV 8   SV • Stimulera samarbete med tredjeländer och internationella organisationer för att främja en 
gemensam världsomspännande strategi när de t gäller nät- och informationssäkerhet och 
låta initiativ på hög internatione ll nivå få genomslag i Europa.  
• Utföra icke operativa uppgifter knutna till nät- och inform ationssäkerhetsaspekter av 
brottsbekämpning och rättsligt samarbete.  
Byrån skulle få alla de resurser som kräv s för att utföra sina arbetsuppgifter på ett 
tillfredsställande och grundligt sä tt, dvs. så att genomslagskraften verkligen märks. Med mer 
resurser skulle Enisa kunna inta en mer proaktiv roll och ta fler initiativ för att stimulera aktivt 
deltagande av berörda parter. Denna  nya situation skulle också ge  byrån större flexibilitet och 
förmåga att reagera snabbt på ändringa r i den ständigt fö ränderliga nät- och 
informationssäkerhetsmiljön. 
Alternativ 4: Lägga bekämpande av cyberatta cker och reaktion på cyberincidenter till 
byråns uppgifter  
Utöver uppgifterna i alternativ 3 skulle byrån ha  operativa funktioner, såsom en mer aktiv roll 
i EU:s skydd av kritisk informationsinfrastruktur,  t.ex. när det gäller att bekämpa och reagera 
på incidenter Den skulle fungera dels som en  incidenthanteringsorga nisation (CERT) inom 
EU för nät- och informationssäkerhet, dels so m ett stormcentrum inom EU för att samordna 
nationella CERT för nät- och informationssäke rhet, och då både sköta den dagliga ledningen 
och nödsituationer.  
Detta alternativ skulle kräv a en kraftig ökning av byråns budget och personal, vilket ger 
upphov till farhågor om byråns absorbtionsförmåga och effektiva användning av budgeten i förhållande till fördelarna.  
Alternativ 5: Utöka byråns uppgifter med stöd till ordningsmakt och rättsliga myndigheter i 
bekämpandet av cyberbrottslighet  
Utöver uppgifterna i alte rnativ 4 skulle detta innebära  följande funktioner för byrån: 
• Ge stöd i processrätt (jfr konventionen om cybe rbrottslighet): t.ex. insamling av datatrafik, 
avlyssning av innehållsdata, övervakning av  dataflödet vid överbelastningsattacker. 
• Fungera som kunskapscentrum i br ottsutredningar där nät- och 
informationssäkerhetsaspekter ingår. 
Liksom alternativ 4 skulle detta kräva en kraftig ökning av byråns resurser och föranleda 
liknande farhågor när det gäller absorb tionsförmåga och effektiva användning av 
budgetmedel. 
6. J
ÄMFÖRELSE AV ALTERNATIVEN OCH KONSEKVENSANALYS  
En analys av de möjliga ekonomiska, social a och miljömässiga konsekvenserna visar att 
alternativ 1  skulle ge negativa effekter i alla avseende och att situ ationen skulle förvärras.  
Alternativ 2  når inte upp till en optimal nivå eftersom byrån inte skulle få de resurser som 
krävs för att på ett tillräckligt bra sätt hanter a problemet med det ständi gt föränderliga nät- 
och informationssäkerhetslandskapet, vilket s kulle riskera byråns rykte och – i slutändan – 
leda till bristande tillit. 
SV 9   SV Enligt alternativ 3  skulle en moderniserad byrå för nät-  och informationssäkerhet bidra till 
följande: 
Reducera fragmenteringen av nationella strategier  (problemkälla 1), öka  data- och kunskaps-
/informationsbaserade politiska åtgärder och be slut (problemkälla 3) och öka den allmänna 
kunskapen om riskerna och problemen med nä t- och informationssäkerhet och hur man 
hanterar dem (problemkälla  4) genom att bidra till 
• större effektivitet i medlemsstaternas insamling av relevant information om risker, 
hot och sårbarheter, 
• ökad tillgänglighet till information om rådande och framtida problem och risker 
när det gäller nät- och informationssäkerhet, 
• högre kvalitet i medlemsstaternas polit iska bestämmelser på nät- och 
informationssäkerhetsområdet.  
Förbättra det europeiska systemet för tidig va rning och incidenthanter ing (problemkälla 2) 
genom att 
• hjälpa kommissionen och medlemsstatern a att genomföra alleuropeiska övningar 
och därigenom uppnå stordriftsfördelar genom  att hantera incidenter på EU-nivå, 
• underlätta för offentligt-privata partnerska p för motståndskraft (EP3R) att fungera, 
vilket i slutändan skulle kunna leda till ökade investeringar i gemensamma 
politiska mål och EU-normer för säkerhet och motståndskraft. 
Främja ett gemensamt världsomspännande s ynsätt på nät- och informationssäkerhet 
(problemkälla 5) genom att 
• öka utbytet av information oc h kunskap med länder utanför EU. 
Bekämpa cyberbrottslighet på ett mer ändamåls enligt och effektivt sätt (problemkälla 7) 
genom att 
• delta i icke operativa insatser när det gäller nät- och 
informationssäkerhetsaspekter av bro ttsbekämpning och rättsligt samarbete, 
såsom utbyte av information och utbildni ng i båda riktningar na (t.ex. genom 
samarbete med Europeiska polisakademin (Cepol). 
Alternativ 4  skulle, utöver den genomslagskraft so m alternativ 3 innebär, ge större 
genomslagskraft på operativ nivå. Genom att fungera som EU:s incidenthanteringsorganisation (CERT) och genom att samor dna nationella CERT skulle 
byrån bidra till besparin gar i stor skala genom att hantera incidenter på EU -nivå och minska 
driftriskerna för företag, till exempel genom högre säkerhets- och motståndskraftsnivåer. 
Alternativ 5  skulle vara effektivare när det gä ller att bekämpa c yberbrottslighet än 
alternativen 3 och 4, eftersom operativa funktioner tillförs för att stödja brottsbekämpande och 
rättsvårdande myndigheter. 
Även om både alternativ 4 och 5 skulle ha stör re positiv inverkan än alternativ 3, skulle båda 
alternativen vara politiskt känsliga för medlem sstaterna med tanke på deras skyldigheter när 
SV 10   SV det gäller skydd av kritisk informationsstruktur (dvs. ett antal medlemsstater skulle inte vara 
positiva till centraliserade operativa funktione r). Dessutom skulle en utökning av mandatet 
enligt alternativen 4 och 5 kunna göra byråns roll tvet ydig. Därutöver sku lle tillförandet av 
dessa nya och helt annorlunda operativa uppgifter till byråns mandat kunna visas sig innebära 
stora svårigheter för byrån på kort sikt och det fi nns en stor risk för a tt byrån inte skulle kunna 
utföra denna typ av uppgifter på ett tillfredsst ällande sätt inom en rimlig tidrymd. Sist men 
inte minst så är kostnaderna för att genomfö ra alternativen 4 och 5 oöverkomligt höga –– den 
budget som skulle krävas är fyra eller fem gånger så stor som Enisas nuvarande budget. 
Vid en jämförelse av konsekvense rna av alla fem alternativen för den organisatoriska 
formen för en moderniserad byrå för nät- och in formationssäkerhet skulle  alternativen 1 och 2 
behöva förkastas eftersom inget av dem skulle lösa de komplexa nät- och 
informationssäkerhetsproblemen på ett tillräckligt  bra sätt på EU-nivå. A lternativen 3, 4 och 5 
skulle däremot göra det möjligt för EU a tt hantera framtida politik på nät- och 
informationssäkerhetsområdet på ett lämpligt sä tt. Alternativen 4 och 5 verkar i nuläget för 
ambitiösa, både vad gäller den politiska känsligheten i flertalet medlemsstater och budgetkonsekvenserna. Alternativ 3 verkar därför vara det bästa alternativet för att hantera 
de sju uppräknade nät- och informationssäke rhetsproblemen på det mest effektiva sättet.  
7. Ö
VERVAKNING OCH UTVÄRDERING : HUR SKA MAN MÄTA DE FAKTISKA 
KOSTNADERNA OCH FÖRDELARNA SAMT ATT DE ÖNSKADE EFFEKTERNA HAR UPPNÅTTS
? 
Detta politiska initiativ  kräver regelbundna utvärderingar som kommissionen vidarebefordrar 
till Europaparlamentet och rådet, och som offen tliggörs. I utvärderingarna ska hänsyn tas till 
alla relevanta aktörers synpunkter, på gr undval av det mandat som överenskommits med 
byråns styrelse. Utvärderingen sk a också visa hur effektiv byrån  är när det gäller att uppnå 
målen, om en byrå fortfarande är ett effektivt instrument och om det bör ändras på byråns mandat och/eller andra aspekter  av dess inrättandeförordning. Efter utvärderingen utfärdar 
byråns styrelse rekommendationer till ko mmissionen gällande lämpliga ändringar i 
förordningen. Byråns styrelse och verkställande direktör ska ta hänsyn till utvärderingsresultaten i byråns fleråriga planering. 
Byråns verksamhet ska övervakas av ombudsmannen i enlighet med bestämmelserna i artikel 
228 i fördraget.