CELEX ID: 32013R0526

--- ENGLISH ---

Document:
18.6.2013
EN
Official Journal of the European Union
L 165/41
REGULATION (EU) No 526/2013 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 21 May 2013
concerning the European Union Agency for Network and Information Security (ENISA) and repealing Regulation (EC) No 460/2004
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
Electronic communications, infrastructure and services are essential factors, both directly and indirectly, in economic and societal development. They play a vital role for society and have in themselves become ubiquitous utilities in the same way as electricity or water supplies, and also constitute vital factors in the delivery of electricity, water and other critical services. Communications networks function as social and innovation catalysts, multiplying the impact of technology and shaping consumer behaviours, business models, industries, as well as citizenship and political participation. Their disruption has the potential to cause considerable physical, social and economic damage, underlining the importance of measures to increase protection and resilience aimed at ensuring continuity of critical services. The security of electronic communications, infrastructure and services, in particular their integrity, availability and confidentiality, faces continuously expanding challenges which relate, inter alia, to the individual components of the communications infrastructure and the software controlling those components, the infrastructure overall and the services provided through that infrastructure. This is of increasing concern to society not least because of the possibility of problems due to system complexity, malfunctions, systemic failures, accidents, mistakes and attacks that may have consequences for the electronic and physical infrastructure which delivers services critical to the well-being of European citizens.
(2)
The threat landscape is continuously changing and security incidents can undermine the trust that users have in technology, networks and services, thereby affecting their ability to exploit the full potential of the internal market and widespread use of information and communications technologies (ICT).
(3)
Regular assessment of the state of network and information security in the Union, based on reliable Union data, as well as systematic forecast of future developments, challenges and threats, both at Union and global level, is therefore important for policy makers, industry and users.
(4)
By Decision 2004/97/EC, Euratom 
(
3
)
, adopted at the meeting of the European Council on 13 December 2003, the representatives of the Member States decided that the European Network and Information Security Agency (ENISA), that was to be established on the basis of the proposal submitted by the Commission, would have its seat in a town in Greece to be determined by the Greek Government. Following that Decision, the Greek Government determined that ENISA should have its seat in Heraklion, Crete.
(5)
On 1 April 2005, a Headquarters Agreement (‘Seat Agreement’) was concluded between the Agency and the host Member State.
(6)
The Agency’s host Member State should ensure the best possible conditions for the smooth and efficient operation of the Agency. It is imperative for the proper and efficient performance of its tasks, for staff recruitment and retention and to enhance the efficiency of networking activities that the Agency be based in an appropriate location, among other things providing appropriate transport connections and facilities for spouses and children accompanying members of staff of the Agency. The necessary arrangements should be laid down in an agreement between the Agency and the host Member State concluded after obtaining the approval of the Management Board of the Agency.
(7)
In order to improve the operational efficiency of the Agency, the Agency has established a branch office in the metropolitan area of Athens, which should be maintained with the agreement and support of the host Member State, and where the operational staff of the Agency should be located. Staff primarily engaged in the administration of the Agency (including the Executive Director), finance, desk research and analysis, IT and facilities management, human resources, training, and communications and public affairs, should be based in Heraklion.
(8)
The Agency has the right to determine its own organisation in order to ensure the proper and efficient performance of its tasks, while respecting the provisions on the seat and Athens branch office laid down in this Regulation. In particular, in order to carry out tasks involving interaction with key stakeholders such as the Union institutions, the Agency should make the necessary practical arrangements to enhance such operational efficiency.
(9)
In 2004 the European Parliament and the Council adopted Regulation (EC) No 460/2004 
(
4
)
 establishing ENISA with the purpose of contributing to the goals of ensuring a high level of network and information security within the Union and developing a culture of network and information security for the benefit of citizens, consumers, enterprises and public administrations. In 2008, the European Parliament and the Council adopted Regulation (EC) No 1007/2008 
(
5
)
 extending the mandate of the Agency until March 2012. Regulation (EC) No 580/2011 
(
6
)
 extends the mandate of the Agency until 13 September 2013.
(10)
The Agency should succeed ENISA as established by Regulation (EC) No 460/2004. Within the framework of the Decision of the Representatives of the Member States, meeting in the European Council of 13 December 2003, the host Member State should maintain and further develop the current practical arrangements in order to ensure the smooth and efficient operation of the Agency, including its Athens branch office, and facilitate the recruitment and retention of highly qualified staff.
(11)
Since ENISA was set up, the challenges of network and information security have changed with technology, market and socioeconomic developments and have been the subject of further reflection and debate. In response to the changing challenges, the Union has updated its priorities for network and information security policy. This Regulation aims to strengthen the Agency to successfully contribute to the efforts of the Union institutions and the Member States to develop a European capacity to cope with network and information security challenges.
(12)
Internal market measures in the field of security of electronic communications and, more generally, network and information security require different forms of technical and organisational applications by the Union institutions and the Member States. The heterogeneous application of those requirements can lead to inefficiencies and can create obstacles to the internal market. This makes a centre of expertise at Union level necessary, providing guidance, advice and assistance on issues related to network and information security, which may be relied upon by the Union institutions and the Member States. The Agency can respond to those needs by developing and maintaining a high level of expertise and assisting the Union institutions, the Member States, and the business community in order to help them meet the legal and regulatory requirements of network and information security and to determine and address network and information security issues, thereby contributing to the proper functioning of the internal market.
(13)
The Agency should carry out the tasks conferred on it by legal acts of the Union in the field of electronic communications and, in general, contribute to an enhanced level of security of electronic communications as well as of privacy and personal data protection by, among other things, providing expertise and advice, and promoting the exchange of best practices, and offering policy suggestions.
(14)
Directive 2002/21/EC of the European Parliament and of the Council of 7 March 2002 on a common regulatory framework for electronic communications networks and services (Framework Directive) 
(
7
)
 requires that providers of public electronic communications networks or publicly available electronic communications services take appropriate measures to safeguard the integrity and security thereof, and introduces an obligation for the national regulatory authorities, where appropriate, to inform, inter alia, the Agency about any security breach or integrity loss that has had a significant impact on the operation of networks or services and to submit to the Commission and to the Agency an annual summary report on the notifications received and the action taken. Directive 2002/21/EC further calls on the Agency, by providing opinions, to contribute to the harmonisation of appropriate technical and organisational security measures.
(15)
Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) 
(
8
)
 requires a provider of a publicly available electronic communications service to take appropriate technical and organisational measures to safeguard the security of its services and also requires that the confidentiality of the communications and related traffic data be maintained. Directive 2002/58/EC introduces personal data breach information and notification requirements for electronic communication services providers. It also requires the Commission to consult the Agency on any technical implementing measures to be adopted concerning the circumstances or format of and procedures applicable to information and notification requirements. Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data 
(
9
)
 requires Member States to provide that the controller must implement appropriate technical and organisational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network and against all other unlawful forms of processing.
(16)
The Agency should contribute to a high level of network and information security, to better protection of privacy and personal data, and to the development and promotion of a culture of network and information security for the benefit of citizens, consumers, businesses and public sector organisations in the Union, thus contributing to the proper functioning of the internal market. In order to achieve this, the necessary budgetary funds should be allocated to the Agency.
(17)
Given the increasing significance of electronic networks and communications, which now constitute the backbone of the European economy, and the actual size of the digital economy, the financial and human resources allocated to the Agency should be increased to reflect its enhanced role and tasks, and its critical position in defending the European digital ecosystem.
(18)
The Agency should operate as a point of reference establishing trust and confidence by virtue of its independence, the quality of the advice it delivers and the information it disseminates, the transparency of its procedures and methods of operation, and its diligence in carrying out its tasks. The Agency should build on national and Union efforts and therefore carry out its tasks in full cooperation with the Union institutions, bodies, offices and agencies and the Member States, and be open to contacts with industry and other relevant stakeholders. In addition, the Agency should build on input from and cooperation with the private sector, which plays an important role in securing electronic communications, infrastructures and services.
(19)
A set of tasks should indicate how the Agency is to accomplish its objectives while allowing flexibility in its operations. The tasks carried out by the Agency should include the collection of appropriate information and data needed to carry out analyses of the risks to the security and resilience of electronic communications, infrastructure and services and to assess, in cooperation with Member States, the Commission and, where appropriate, with relevant stakeholders, the state of network and information security in the Union. The Agency should ensure coordination and collaboration with the Union institutions, bodies, offices and agencies and Member States, and enhance cooperation between stakeholders in Europe, in particular by involving in its activities competent national and Union bodies and high-level private sector experts in relevant areas, in particular providers of electronic communications networks and services, network equipment manufacturers and software vendors, taking into account that network and information systems comprise combinations of hardware, software and services. The Agency should provide assistance to the Union institutions and to the Member States in their dialogue with industry to address security-related problems in hardware and software products, thereby contributing to a collaborative approach to network and information security.
(20)
Network and information security strategies made public by a Union institution, body, office or agency or a Member State should be provided to the Agency for its information and to avoid duplication of effort. The Agency should analyse the strategies and promote their presentation in a format that facilitates comparability. It should make the strategies and its analyses available to the public through electronic means.
(21)
The Agency should assist the Commission by means of advice, opinions and analyses on all the Union matters related to policy development in the area of network and information security, including Critical Information Infrastructure Protection and resilience. The Agency should also assist the Union institutions, bodies, offices and agencies and where relevant, the Member States, at their request, in their efforts to develop network and information security policy and capability.
(22)
The Agency should take full account of the ongoing research, development, and technological assessment activities, in particular those carried out by the various Union research initiatives to advise the Union institutions, bodies, offices and agencies and where relevant, the Member States, at their request, on research needs in the area of network and information security.
(23)
The Agency should assist the Union institutions, bodies, offices and agencies as well as the Member States in their efforts to build and enhance cross-border capability and preparedness to prevent, detect and respond to network and information security problems and incidents. In this regard, the Agency should facilitate cooperation among the Member States and between the Commission and other Union institutions, bodies, offices and agencies and the Member States. To this end, the Agency should support the Member States in their continuous efforts to improve their response capability and to organise and run European exercises on security incidents and, at the request of a Member State, national exercises.
(24)
To understand better the challenges in the network and information security field, the Agency needs to analyse current and emerging risks. For that purpose the Agency should, in cooperation with Member States and, as appropriate, with statistical bodies and others, collect relevant information. Furthermore, the Agency should assist the Union institutions, bodies, offices and agencies and the Member States and in their efforts to collect, analyse and disseminate network and information security data. The collection of appropriate statistical information and data needed to carry out analyses of the risks to the security and resilience of electronic communications, infrastructure and services should take place on the basis of the information provided by the Member States and the Agency’s insight to the Union institutions’ ICT infrastructures in accordance with Union provisions and national provisions in compliance with Union law. On the basis of that information, the Agency should maintain awareness of the latest state of network and information security and related trends in the Union for the benefit of Union institutions, bodies, offices and agencies and the Member States.
(25)
In performing its tasks, the Agency should facilitate cooperation between the Union and the Member States to improve awareness of the state of network and information security in the Union.
(26)
The Agency should facilitate cooperation among the Member States’ competent independent regulatory authorities, in particular supporting the development, promotion and exchange of best practices and standards for education programmes and awareness-raising schemes. Increased information exchange between Member States will facilitate such action. The Agency should contribute towards raising the awareness of individual users of electronic communications, infrastructure and services, including by assisting Member States, where they have chosen to use the public interest information platform provided for in Directive 2002/22/EC of the European Parliament and of the Council of 7 March 2002 on universal service and users’ rights relating to electronic communications networks and services (Universal Service Directive) 
(
10
)
, to produce relevant public interest information regarding network and information security, and also by assisting in the development of such information to be included with the supply of new devices intended for use on public communications networks. The Agency should also support cooperation between stakeholders at Union level, partly by promoting information sharing, awareness-raising campaigns and education and training programmes.
(27)
The Agency should, inter alia, assist the relevant Union institutions, bodies, offices and agencies and the Member States in public education campaigns to end users, aiming at promoting safer individual online behaviour and raising awareness of potential threats in cyberspace, including cybercrimes such as phishing attacks, botnets, financial and banking fraud, as well as promoting basic authentication and data protection advice.
(28)
To ensure that it fully achieves its objectives, the Agency should liaise with relevant bodies, including those dealing with cybercrime such as Europol, and privacy protection authorities to exchange know-how and best practices and provide advice on network and information security aspects that might have an impact on their work. The Agency should aim to achieve synergies between the efforts of those bodies and its own efforts to promote advanced network and information security. Representatives of national and Union law enforcement and privacy protection authorities should be eligible to be represented in the Agency’s Permanent Stakeholders Group. In liaising with law enforcement bodies regarding network and information security aspects that might have an impact on their work, the Agency should respect existing channels of information and established networks.
(29)
The Commission has launched a European Public-Private Partnership for Resilience as a flexible Union-wide cooperation platform for resilience of ICT infrastructure, in which the Agency should play a facilitating role, bringing together stakeholders to discuss public policy priorities, economic and market dimensions of challenges and measures for the resilience of ICT.
(30)
In order to promote network and information security and its visibility, the Agency should facilitate cooperation among the Member States’ competent public bodies, in particular by supporting the development and exchange of best practices and awareness-raising schemes and by enhancing their outreach activities. The Agency should also support cooperation between stakeholders and the Union institutions, partly by promoting information sharing and awareness-raising activities.
(31)
In order to enhance an advanced level of network and information security in the Union, the Agency should promote cooperation and the exchange of information and best practices between relevant organisations, such as Computer Security Incident Response Teams (CSIRTs) and Computer Emergency Response Teams (CERTs).
(32)
A Union system of properly functioning CERTs should constitute a cornerstone of the Union’s network and information security infrastructure. The Agency should support Member State CERTs and the Union CERT in the operation of a network of CERTs, including the members of the European Governmental CERTs Group. In order to assist in ensuring that each of the CERTs has sufficiently advanced capabilities and that those capabilities correspond as far as possible to the capabilities of the most developed CERTs, the Agency should promote the establishment and operation of a peer-review system. Furthermore, the Agency should promote and support cooperation between the relevant CERTs in the event of incidents, attacks on or disruptions of networks or infrastructure managed or protected by the CERTs and involving or potentially involving at least two CERTs.
(33)
Efficient network and information security policies should be based on well-developed risk assessment methods, both in the public and private sector. Risk assessment methods and procedures are used at different levels with no common practice regarding how to apply them efficiently. Promoting and developing best practices for risk assessment and for interoperable risk management solutions in public- and private-sector organisations will increase the security level of networks and information systems in the Union. To this end, the Agency should support cooperation between stakeholders at Union level, facilitating their efforts relating to the establishment and take-up of European and international standards for risk management and for measurable security of electronic products, systems, networks and services which, together with software, comprise the network and information systems.
(34)
Where appropriate and useful for fulfilling its objectives and tasks, the Agency should share experience and general information with Union institutions, bodies, offices and agencies dealing with network and information security. The Agency should contribute to identifying research priorities, at Union level, in the areas of network resilience and network and information security, and should convey knowledge of industry needs to relevant research institutions.
(35)
The Agency should encourage Member States and service providers to raise their general security standards so that all internet users take the necessary steps to ensure their own personal cyber security.
(36)
Network and information security problems are global issues. There is a need for closer international cooperation to improve security standards, including the definition of common norms of behaviour and codes of conduct, and information sharing, promoting swifter international collaboration in response to, as well as a common global approach to, network and information security issues. To that end, the Agency should support further Union involvement and cooperation with third countries and international organisations by providing, where appropriate, the necessary expertise and analysis to the relevant Union institutions, bodies, offices and agencies.
(37)
The Agency should operate in accordance with the principle of subsidiarity, ensuring an appropriate degree of coordination between the Member States on matters relating to network and information security and improving the effectiveness of national policies, thus adding value to them and in accordance with the principle of proportionality, not going beyond what is necessary in order to achieve the objectives set out by this Regulation. The exercise of the Agency’s tasks should reinforce, but not interfere with, the competences, nor should it pre-empt, impede or overlap with the relevant powers and tasks, of the national regulatory authorities as set out in the Directives relating to electronic communications networks and services, as well as those of the Body of European Regulators for Electronic Communications (BEREC) established by Regulation (EC) No 1211/2009 
(
11
)
 and the Communications Committee referred to in Directive 2002/21/EC, of the European standardisation bodies, the national standardisation bodies and the Standing Committee as set out in Directive 98/34/EC 
(
12
)
 and the independent supervisory authorities of the Member States as set out in Directive 95/46/EC.
(38)
It is necessary to implement certain principles regarding the governance of the Agency in order to comply with the Joint Statement and Common Approach agreed upon in July 2012 by the Inter-Institutional Working Group on EU decentralised agencies, the purpose of which statement and approach is to streamline the activities of agencies and improve their performance.
(39)
The Joint Statement and Common Approach should also be reflected, as appropriate, in the Agency’s Work Programmes, evaluations of the Agency, and the Agency’s reporting and administrative practice.
(40)
In order for the Agency to function properly, the Commission and the Member States should ensure that persons to be appointed to the Management Board have appropriate professional expertise. The Commission and the Member States should also make efforts to limit the turnover of their respective Representatives on the Management Board, in order to ensure continuity in its work.
(41)
It is essential that the Agency establish and maintain a reputation for impartiality, integrity and high professional standards. Accordingly, the Management Board should adopt comprehensive rules covering the entire Agency for the prevention and management of conflicts of interest.
(42)
Given the unique circumstances of the Agency and the difficult challenges facing it, the organisational structure of the Agency should be simplified and strengthened to ensure greater efficiency and effectiveness. Therefore, among other things, an Executive Board should be established in order to enable the Management Board to focus on issues of strategic importance.
(43)
The Management Board should appoint an Accounting Officer in accordance with rules adopted under Regulation (EU, Euratom) No 966/2012 
(
13
)
 (the ‘Financial Regulation’).
(44)
In order to ensure that the Agency is effective, the Member States and the Commission should be represented on the Management Board, which should define the general direction of the Agency’s operations and ensure that it carries out its tasks in accordance with this Regulation. The Management Board should be entrusted with the powers necessary to establish the budget, verify its execution, adopt the appropriate financial rules, establish transparent working procedures for decision making by the Agency, adopt the Agency’s work programme, adopt its own rules of procedure and the Agency’s internal rules of operation, appoint the Executive Director, decide on the extension of the Executive Director’s term of office after obtaining the views of the European Parliament, and decide on the termination thereof. The Management Board should set up an Executive Board to assist it with its administrative and budgetary tasks.
(45)
The smooth functioning of the Agency requires that its Executive Director be appointed on grounds of merit and documented administrative and managerial skills, as well as competence and experience relevant for network and information security, and that the duties of the Executive Director be carried out with complete independence as to the organisation of the internal functioning of the Agency. To this end, the Executive Director should prepare a proposal for the Agency’s work programme, after prior consultation with the Commission, and take all necessary steps to ensure the proper execution of the work programme of the Agency. The Executive Director should prepare an annual report to be submitted to the Management Board, draw up a draft statement of estimates of revenue and expenditure for the Agency, and implement the budget.
(46)
The Executive Director should have the option of setting up ad hoc Working Groups to address specific matters, in particular of a scientific, technical or legal or socioeconomic nature. In setting up ad hoc Working Groups the Executive Director should seek input from and draw on the relevant external expertise needed to enable the Agency to have access to the most up-to-date information available regarding security challenges posed by the developing information society. The Executive Director should ensure that the ad hoc Working Groups’ members are selected according to the highest standards of expertise, taking due account of a representative balance, as appropriate according to the specific issues in question, between the public administrations of the Member States, the Union institutions and the private sector, including industry, users, and academic experts in network and information security. The Executive Director should be able, as appropriate, to invite individual experts recognised as competent in the relevant field to participate in the Working Groups’ proceedings, on a case-by-case basis. Their expenses should be met by the Agency in accordance with its internal rules and in accordance with rules adopted under the Financial Regulation.
(47)
The Agency should have a Permanent Stakeholders’ Group as an advisory body, to ensure regular dialogue with the private sector, consumers’ organisations and other relevant stakeholders. The Permanent Stakeholders’ Group, set up by the Management Board on a proposal by the Executive Director, should focus on issues relevant to stakeholders and bring them to the attention of the Agency. The Executive Director should, where appropriate and according to the agenda of the meetings, be able to invite representatives of the European Parliament and other relevant bodies to take part in meetings of the Group.
(48)
Since there is provision for ample representation of stakeholders in the Permanent Stakeholders Group, and that group is to be consulted in particular regarding the draft Work Programme, there is no longer any need to provide for representation of stakeholders in the Management Board.
(49)
The Agency should apply the relevant Union provisions concerning public access to documents as set out in Regulation (EC) No 1049/2001 of the European Parliament and of the Council 
(
14
)
. The information processed by the Agency for purposes relating to its internal functioning as well as the information processed in carrying out its tasks should be subject to Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data 
(
15
)
.
(50)
The Agency should comply with the provisions applicable to the Union institutions, and with national legislation regarding the treatment of sensitive documents.
(51)
In order to guarantee the full autonomy and independence of the Agency and to enable it to perform additional and new tasks, including unforeseen emergency tasks, the Agency should be granted a sufficient and autonomous budget whose revenue comes primarily from a contribution from the Union and contributions from third countries participating in the Agency’s work. The majority of the Agency staff should be directly engaged in the operational implementation of the Agency’s mandate. The host Member State, or any other Member State, should be allowed to make voluntary contributions to the revenue of the Agency. The Union’s budgetary procedure should remain applicable as far as any subsidies chargeable to the general budget of the European Union are concerned. Moreover, the Court of Auditors should audit the Agency’s accounts to ensure transparency and accountability.
(52)
In view of the continually changing threat landscape and the evolution of Union policy on network and information security, and in order to align to the multiannual financial framework, the duration of the mandate of the Agency should be set to a limited period of seven years with a possibility of extending the duration.
(53)
The Agency’s operations should be evaluated independently. The evaluation should have regard to the Agency’s effectiveness in achieving its objectives, its working practices and the relevance of its tasks, in order to determine the continuing validity, or otherwise, of the objectives of the Agency and, based thereon, whether and for what period the duration of its mandate should be further extended.
(54)
If, towards the end of the duration of the mandate of the Agency, the Commission has not introduced a proposal for an extension of the mandate, the Agency and the Commission should take the relevant measures, addressing in particular issues relating to staff contracts and budget arrangements.
(55)
Since the objective of this Regulation, namely to establish a European Union Agency for Network and Information Security for the purpose of contributing to a high level of network and information security within the Union and in order to raise awareness and develop and promote a culture of network and information security in society for the benefit of citizens, consumers, enterprises and public sector organisations in the Union, thus contributing to the establishment and proper functioning of the internal market, cannot be sufficiently achieved by the Member States and can therefore be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve that objective.
(56)
Regulation (EC) No 460/2004 should be repealed.
(57)
The European Data Protection Supervisor was consulted in accordance with Article 28(2) of Regulation (EC) No 45/2001 and adopted his opinion on 20 December 2010 
(
16
)
,
HAVE ADOPTED THIS REGULATION:
SECTION 1
SCOPE OBJECTIVES AND TASKS
Article 1
Subject matter and Scope
1.   This Regulation establishes a European Union Agency for Network and Information Security (ENISA, hereinafter ‘the Agency’) to undertake the tasks assigned to it for the purpose of contributing to a high level of network and information security within the Union and in order to raise awareness of network and information security and to develop and promote a culture, of network and information security in society for the benefit of citizens, consumers, enterprises and public sector organisations in the Union, thus contributing to the establishment and proper functioning of the internal market.
2.   The objectives and the tasks of the Agency shall be without prejudice to the competences of the Member States regarding network and information security and in any case to activities concerning public security, defence, national security (including the economic well-being of the state when the issues relate to national security matters) and the activities of the state in areas of criminal law.
3.   For the purposes of this Regulation ‘network and information security’ means the ability of a network or an information system to resist, at a given level of confidence, accidental events or unlawful or malicious actions that compromise the availability, authenticity, integrity and confidentiality of stored or transmitted data and the related services offered by or accessible via those networks and systems.
Article 2
Objectives
1.   The Agency shall develop and maintain a high level of expertise.
2.   The Agency shall assist the Union institutions, bodies, offices and agencies in developing policies in network and information security.
3.   The Agency shall assist the Union institutions, bodies, offices and agencies and the Member States in implementing the policies necessary to meet the legal and regulatory requirements of network and information security under existing and future legal acts of the Union, thus contributing to the proper functioning of the internal market.
4.   The Agency shall assist the Union and the Member States in enhancing and strengthening their capability and preparedness to prevent, detect and respond to network and information security problems and incidents.
5.   The Agency shall use its expertise to stimulate broad cooperation between actors from the public and private sectors.
Article 3
Tasks
1.   Within the purpose set out in Article 1, and in order to attain the objectives set out in Article 2, whilst respecting Article 1(2), the Agency shall perform the following tasks:
(a)
support the development of Union policy and law, by:
(i)
assisting and advising on all matters relating to Union network and information security policy and law;
(ii)
providing preparatory work, advice and analyses relating to the development and update of Union network and information security policy and law;
(iii)
analysing publicly available network and information security strategies and promoting their publication;
(b)
support capability building by:
(i)
supporting Member States, at their request, in their efforts to develop and improve the prevention, detection and analysis of and the capability to respond to network and information security problems and incidents, and providing them with the necessary knowledge;
(ii)
promoting and facilitating voluntary cooperation among the Member States and between the Union institutions, bodies, offices and agencies and the Member States in their efforts to prevent, detect and respond to network and information security problems and incidents where these have an impact across borders;
(iii)
assisting the Union institutions, bodies, offices and agencies in their efforts to develop the prevention, detection and analysis of and the capability to respond to network and information security problems and incidents, in particular by supporting the operation of a Computer Emergency Response Team (CERT) for them;
(iv)
supporting the raising of the level of capabilities of national/governmental and Union CERTs, including by promoting dialogue and exchange of information, with a view to ensuring that, with regard to the state of the art, each CERT meets a common set of minimum capabilities and operates according to best practices;
(v)
supporting the organisation and running of Union network and information security exercises, and, at their request, advising Member States on national exercises;
(vi)
assisting the Union institutions, bodies, offices and agencies and the Member States in their efforts to collect, analyse and, in line with Member States’ security requirements, disseminate relevant network and information security data; and on the basis of information provided by the Union institutions, bodies, offices and agencies and the Member States in accordance with provisions of Union law and national provisions in compliance with Union law, maintaining the awareness, on the part of the Union institutions, bodies, offices and agencies as well as the Member States of the latest state of network and information security in the Union for their benefit;
(vii)
supporting the development of a Union early warning mechanism that is complementary to Member States’ mechanisms;
(viii)
offering network and information security training for relevant public bodies, where appropriate in cooperation with stakeholders;
(c)
support voluntary cooperation among competent public bodies, and between stakeholders, including universities and research centres in the Union, and support awareness raising, inter alia, by:
(i)
promoting cooperation between national and governmental CERTs or Computer Security Incident Response Teams (CSIRTs), including the CERT for the Union institutions, bodies, offices and agencies;
(ii)
promoting the development and sharing of best practices with the aim of attaining an advanced level of network and information security;
(iii)
facilitating dialogue and efforts to develop and exchange best practices;
(iv)
promoting best practices in information sharing and awareness raising;
(v)
supporting the Union institutions, bodies, offices and agencies and, at their request, the Member States and their relevant bodies in organising awareness raising, including at the level of individual users, and other outreach activities to increase network and information security and its visibility by providing best practices and guidelines;
(d)
support research and development and standardisation, by:
(i)
facilitating the establishment and take-up of European and international standards for risk management and for the security of electronic products, networks and services;
(ii)
advising the Union and the Member States on research needs in the area of network and information security with a view to enabling effective responses to current and emerging network and information security risks and threats, including with respect to new and emerging information and communications technologies, and to using risk-prevention technologies effectively;
(e)
cooperate with Union institutions, bodies, offices and agencies, including those dealing with cybercrime and the protection of privacy and personal data, with a view to addressing issues of common concern, including by:
(i)
exchanging know-how and best practices;
(ii)
providing advice on relevant network and information security aspects in order to develop synergies;
(f)
contribute to the Union’s efforts to cooperate with third countries and international organisations to promote international cooperation on network and information security issues, including by:
(i)
being engaged, where appropriate, as an observer and in the organisation of international exercises, and analysing and reporting on the outcome of such exercises;
(ii)
facilitating exchange of best practices of relevant organisations;
(iii)
providing the Union institutions with expertise.
2.   Union institutions, bodies, offices and agencies and Member State bodies may request advice from the Agency in the event of breach of security or loss of integrity with a significant impact on the operation of networks and services.
3.   The Agency shall carry out tasks conferred on it by legal acts of the Union.
4.   The Agency shall express independently its own conclusions, guidance and advice on matters within the scope and objectives of this Regulation.
SECTION 2
ORGANISATION
Article 4
Composition of the Agency
1.   The Agency shall comprise:
(a)
a Management Board;
(b)
an Executive Director and staff; and
(c)
a Permanent Stakeholders’ Group.
2.   In order to contribute to enhancing effectiveness and efficiency of the operation of the Agency, the Management Board shall establish an Executive Board.
Article 5
Management Board
1.   The Management Board shall define the general direction of the operation of the Agency and ensure that the Agency works in accordance with the rules and principles laid down in this Regulation. It shall also ensure consistency of the Agency’s work with activities conducted by the Member States as well as at Union level.
2.   The Management Board shall adopt the Agency’s annual and multiannual work programme.
3.   The Management Board shall adopt an annual report on the Agency’s activities and send it, by 1 July of the following year, to the European Parliament, the Council, the Commission and the Court of Auditors. The annual report shall include the accounts and describe how the Agency has met its performance indicators. The annual report shall be made public.
4.   The Management Board shall adopt an anti-fraud strategy that is proportionate to the fraud risks having regard to a cost-benefit analysis of the measures to be implemented.
5.   The Management Board shall ensure adequate follow-up to the findings and recommendations resulting from investigations of the European Anti-fraud Office (OLAF) and the various internal or external audit reports and evaluations.
6.   The Management Board shall adopt rules for the prevention and management of conflicts of interest.
7.   The Management Board shall exercise, with respect to the staff of the Agency, the powers conferred by the Staff Regulations of Officials and the Conditions of Employment of Other Servants of the European Union (the ‘Staff Regulations’ and the ‘Conditions of Employment of Other Servants’), laid down in Regulation (EEC, Euratom, ECSC) No 259/68 
(
17
)
 on the Appointing Authority and on the Authority Empowered to Conclude Contract of Employment, respectively.
The Management Board shall adopt, in accordance with the procedure under Article 110 of the Staff Regulations, a decision based on Article 2(1) of the Staff Regulations and on Article 6 of the Conditions of Employment of Other Servants delegating the relevant Appointing Authority powers to the Executive Director. The Executive Director may sub-delegate those powers.
Where exceptional circumstances so require, the Management Board may revoke the delegation of the powers of the Appointing Authority to the Executive Director and those sub-delegated by the Executive Director. In such a case, the Management Board may delegate them, for a limited period to one of its members or to a staff member other than the Executive Director.
8.   The Management board shall adopt appropriate rules implementing the Staff Regulations and the Conditions of Employment of Other Servants in accordance with the procedure provided for in Article 110 of the Staff Regulations.
9.   The Management Board shall appoint the Executive Director and may extend his term of office or remove him from office in accordance with Article 24 of this Regulation.
10.   The Management Board shall adopt the rules of procedure for itself and for the Executive Board after consulting the Commission. The rules of procedure shall provide for expedited decisions through either written procedure or by remote conferencing.
11.   The Management Board shall adopt the Agency’s internal rules of operation after consulting the Commission services. Those rules shall be made public.
12.   The Management Board shall adopt the financial rules applicable to the Agency. They may not depart from Commission Regulation (EC, Euratom) No 2343/2002 of 19 November 2002 on the framework Financial Regulation for the bodies referred to in Article 185 of Council Regulation (EC, Euratom) No 1605/2002 on the Financial Regulation applicable to the general budget of the European Communities 
(
18
)
, unless such departure is specifically required for the Agency’s operation and the Commission has given its prior consent.
13.   The Management Board shall adopt a Multiannual Staff Policy Plan, after consulting the Commission services and having duly informed the European Parliament and the Council.
Article 6
Composition of the Management Board
1.   The Management Board shall be composed of one representative of each Member State, and two representatives appointed by the Commission. All representatives shall have voting rights.
2.   Each member of the Management Board shall have an alternate to represent the member in their absence.
3.   Members of the Management Board and their alternates shall be appointed in light of their knowledge of the Agency’s tasks and objectives, taking into account the managerial, administrative and budgetary skills relevant to fulfil the tasks listed in Article 5. The Commission and the Member States should make efforts to limit turnover of their representatives in the Management Board, in order to ensure continuity of that board’s work. The Commission and the Member States shall aim to achieve a balanced representation between men and women on the Management Board.
4.   The term of office of members of the Management Board and of their alternates shall be four years. That term shall be renewable.
Article 7
Chairperson of the Management Board
1.   The Management Board shall elect its Chairperson and a Deputy Chairperson from among its members for a period of three years, which shall be renewable. The Deputy Chairperson shall 
ex officio
 replace the Chairperson if the latter is unable to attend to his or her duties.
2.   The Chairperson may be invited to make a statement before the relevant committee(s) of the European Parliament and answer Members’ questions.
Article 8
Meetings
1.   Meetings of the Management Board shall be convened by its Chairperson.
2.   The Management Board shall hold an ordinary meeting at least once a year. It shall also hold extraordinary meetings at the request of the Chairperson or of at least a third of its members.
3.   The Executive Director shall take part, without voting rights, in the meetings of the Management Board.
Article 9
Voting
1.   The Management Board shall take its decisions by an absolute majority of its members.
2.   A two-thirds majority of all Management Board members shall be required for the adoption of the Management Board’s rules of procedure, the Agency’s internal rules of operation, the budget, the annual and multiannual work programme, the appointment, extension of the term of office or removal of the Executive Director, and the designation of the Chairperson of the Management Board.
Article 10
Executive Board
1.   The Management Board shall be assisted by an Executive Board.
2.   The Executive Board shall prepare decisions to be adopted by the Management Board on administrative and budgetary matters only.
Together with the Management Board, it shall ensure adequate follow-up to the findings and recommendations stemming from investigations of OLAF and the various internal or external audit reports and evaluations.
Without prejudice to the responsibilities of the Executive Director, as set out in Article 11, the Executive Board shall assist and advise the Executive Director in implementing the decisions of the Management Board on administrative and budgetary matters.
3.   The Executive Board shall be made up of five members appointed from among the members of the Management Board amongst whom the Chairperson of the Management Board, who may also chair the Executive Board, and one of the representatives of the Commission.
4.   The term of office of members of the Executive Board shall be the same as that of members of the Management Board set out in Article 6(4).
5.   The Executive Board shall meet at least once every three months. The chairperson of the Executive Board shall convene additional meetings at the request of its members.
Article 11
Duties of the Executive Director
1.   The Agency shall be managed by its Executive Director, who shall be independent in the performance of his/her duties.
2.   The Executive Director shall be responsible for:
(a)
the day-to-day administration of the Agency;
(b)
implementing the decisions adopted by the Management Board;
(c)
after consultation with the Management Board, preparing the annual work programme and the multiannual work programme and submitting them to the Management Board after consulting the Commission;
(d)
implementing the annual work programme and the multiannual work programme and reporting to the Management Board thereon;
(e)
preparing the annual report on the Agency’s activities and presenting it to the Management Board for approval;
(f)
preparing an action plan following-up on the conclusions of the retrospective evaluations and reporting on progress every two years to the Commission;
(g)
protecting the financial interests of the Union by the application of preventive measures against fraud, corruption and any other illegal activities, by effective checks and, if irregularities are detected, by the recovery of the amounts wrongly paid and, where appropriate, by effective, proportionate and dissuasive administrative and financial penalties;
(h)
preparing an anti-fraud strategy for the Agency and presenting it to the Management Board for approval;
(i)
ensuring that the Agency performs its activities in accordance with the requirements of those using its services, in particular with regard to the adequacy of the services provided;
(j)
developing and maintaining contact with the Union institutions, bodies, offices and agencies;
(k)
developing and maintaining contact with the business community and consumers’ organisations to ensure regular dialogue with relevant stakeholders;
(l)
other tasks assigned to the Executive Director by this Regulation.
3.   Where necessary and within the Agency’s objectives and tasks, the Executive Director may set up ad hoc Working Groups composed of experts, including from the Member States’ competent authorities. The Management Board shall be informed in advance. The procedures regarding in particular the composition, the appointment of the experts by the Executive Director and the operation of the ad hoc Working Groups shall be specified in the Agency’s internal rules of operation.
4.   The Executive Director shall make administrative support staff and other resources available to the Management Board and the Executive Board whenever necessary.
Article 12
Permanent Stakeholders’ Group
1.   The Management Board, acting on a proposal by the Executive Director, shall set up a Permanent Stakeholders’ Group composed of recognised experts representing the relevant stakeholders, such as the ICT industry, providers of electronic communications networks or services available to the public, consumer groups, academic experts in network and information security, and representatives of national regulatory authorities notified under Directive 2002/21/EC as well as of law enforcement and privacy protection authorities.
2.   Procedures for, in particular, the number, composition, and the appointment of the members of the Permanent Stakeholders’ Group by the Management Board, the proposal by the Executive Director and the operation of the Group shall be specified in the Agency’s internal rules of operation and shall be made public.
3.   The Permanent Stakeholders’ Group shall be chaired by the Executive Director or by any person the Executive Director appoints on a case-by-case basis.
4.   The term of office of the Permanent Stakeholders’ Group’s members shall be two-and-a-half years. Members of the Management Board may not be members of the Permanent Stakeholders’ Group. Experts from the Commission and the Member States shall be entitled to be present at the meetings of the Permanent Stakeholders’ Group and to participate in its work. Representatives of other bodies deemed relevant by the Executive Director, who are not members of the Permanent Stakeholders’ Group, may be invited to be present at the meetings of the Permanent Stakeholders’ Group and to participate in its work.
5.   The Permanent Stakeholders’ Group shall advise the Agency in respect of the performance of its activities. It shall in particular advise the Executive Director on drawing up a proposal for the Agency’s work programme, and on ensuring communication with the relevant stakeholders on all issues related to the work programme.
SECTION 3
OPERATION
Article 13
Work Programme
1.   The Agency shall carry out its operations in accordance with its annual and multiannual work programme, which shall contain all of its planned activities.
2.   The work programme shall include tailored performance indicators allowing for effective assessment of the results achieved in terms of objectives.
3.   The Executive Director shall be responsible for drawing up the Agency’s draft work programme after prior consultation with the Commission services. By 15 March each year the Executive Director shall submit the draft work programme for the following year to the Management Board.
4.   By 30 November each year, the Management Board shall adopt the Agency’s work programme for the following year, after having received the opinion of the Commission. The work programme shall include a multiannual outlook. The Management Board shall ensure that the work programme is consistent with the Agency’s objectives and with the Union’s legislative and policy priorities in the area of network and information security.
5.   The work programme shall be organised in accordance with the activity-based management principle. The work programme shall be in line with the statement of estimates of the Agency’s revenue and expenditure and the Agency’s budget for the same financial year.
6.   The Executive Director shall, following adoption by the Management Board, forward the work programme to the European Parliament, the Council, the Commission and the Member States and shall publish it. At the invitation of the relevant committee of the European Parliament, the Executive Director shall present and hold an exchange of views on the adopted annual work programme.
Article 14
Requests to the Agency
1.   Requests for advice and assistance falling within the Agency’s objectives and tasks shall be addressed to the Executive Director and accompanied by background information explaining the issue to be addressed. The Executive Director shall inform the Management Board and Executive Board of the requests received, the potential resource implications, and, in due course, of the follow-up to the requests. If the Agency refuses a request, it shall give a justification.
2.   Requests referred to in paragraph 1 may be made by:
(a)
the European Parliament;
(b)
the Council;
(c)
the Commission;
(d)
any competent body appointed by a Member State, such as a national regulatory authority defined in Article 2 of Directive 2002/21/EC.
3.   The practical arrangements for applying paragraphs 1 and 2, regarding in particular submission, prioritisation, follow-up and information to the Management and Executive Board on the requests to the Agency, shall be laid down by the Management Board in the Agency’s internal rules of operation.
Article 15
Declaration of interest
1.   Members of the Management Board, the Executive Director and officials seconded by Member States on a temporary basis shall each make a declaration of commitments and a declaration indicating the absence or presence of any direct or indirect interest which might be considered prejudicial to their independence. The declarations shall be accurate and complete, made annually in writing and updated whenever necessary.
2.   Members of the Management Board, the Executive Director, and external experts participating in ad hoc Working Groups shall each accurately and completely declare, at the latest at the start of each meeting, any interest which might be considered prejudicial to their independence in relation to the items on the agenda, and shall abstain from participating in the discussion of and voting upon such points.
3.   The Agency shall lay down, in its internal rules of operation, the practical arrangements for the rules on declarations of interest referred to in paragraphs 1 and 2.
Article 16
Transparency
1.   The Agency shall ensure that it carries out its activities with a high level of transparency and in accordance with Articles 17 and 18.
2.   The Agency shall ensure that the public and any interested parties are given appropriate, objective, reliable and easily accessible information, in particular with regard to the results of its work. It shall also make public the declarations of interest made in accordance with Article 15.
3.   The Management Board, acting on a proposal from the Executive Director, may authorise interested parties to observe the proceedings of some of the Agency’s activities.
4.   The Agency shall lay down, in its internal rules of operation, the practical arrangements for implementing the transparency rules referred to in paragraphs 1 and 2.
Article 17
Confidentiality
1.   Without prejudice to Article 18, the Agency shall not divulge to third parties information that it processes or receives in relation to which a reasoned request for confidential treatment, in whole or in part, has been made.
2.   Members of the Management Board, the Executive Director, the members of the Permanent Stakeholders Group, external experts participating in ad hoc Working Groups, and members of the staff of the Agency including officials seconded by Member States on a temporary basis shall comply with the confidentiality requirements under Article 339 of the Treaty on the Functioning of the European Union (TFEU), even after their duties have ceased.
3.   The Agency shall lay down, in its internal rules of operation, the practical arrangements for implementing the confidentiality rules referred to in paragraphs 1 and 2.
4.   If required for the performance of the Agency’s tasks, the Management Board shall decide to allow the Agency to handle classified information. In that case the Management Board shall, in agreement with the Commission services, adopt internal rules of operation applying the security principles set out in Commission Decision 2001/844/EC, ECSC, Euratom of 29 November 2001 amending its internal rules of procedure 
(
19
)
. Those rules shall cover, inter alia, provisions for the exchange, processing and storage of classified information.
Article 18
Access to documents
1.   Regulation (EC) No 1049/2001 shall apply to documents held by the Agency.
2.   The Management Board shall adopt arrangements for implementing Regulation (EC) No 1049/2001 within six months of the establishment of the Agency.
3.   Decisions taken by the Agency pursuant to Article 8 of Regulation (EC) No 1049/2001 may be the subject of a complaint to the Ombudsman under Article 228 TFEU or of an action before the Court of Justice of the European Union under Article 263 TFEU.
SECTION 4
FINANCIAL PROVISIONS
Article 19
Adoption of the budget
1.   The revenues of the Agency shall consist of a contribution from the Union budget, contributions from third countries participating in the work of the Agency as provided for in Article 30, and voluntary contributions from Member States in money or in kind. Member States that provide voluntary contributions may not claim any specific right or service as a result thereof.
2.   The expenditure of the Agency shall include staff, administrative and technical support, infrastructure and operational expenses, and expenses resulting from contracts entered into with third parties.
3.   By 1 March each year, the Executive Director shall draw up a draft statement of estimates of the Agency’s revenue and expenditure for the following financial year, and shall forward it to the Management Board, together with a draft establishment plan.
4.   Revenue and expenditure shall be in balance.
5.   Each year, the Management Board shall, on the basis of a draft statement of estimates of revenue and expenditure drawn up by the Executive Director, produce a statement of estimates of revenue and expenditure for the Agency for the following financial year.
6.   The Management Board shall, by 31 March each year, send that statement of estimates, which shall include a draft establishment plan together with the draft work programme, to the Commission and the third countries with which the Union has concluded agreements in accordance with Article 30.
7.   The Commission shall forward that statement of estimates to the European Parliament and the Council together with the draft general budget of the Union.
8.   On the basis of that statement of estimates, the Commission shall enter in the draft budget of the Union the estimates it deems necessary for the establishment plan and the amount of the subsidy to be charged to the general budget, which it shall submit to the European Parliament and the Council in accordance with Article 314 TFEU.
9.   The European Parliament and the Council shall authorise the appropriations for the subsidy to the Agency.
10.   The European Parliament and the Council shall adopt the establishment plan for the Agency.
11.   Together with the work programme, the Management Board shall adopt the Agency’s budget. It shall become final following definitive adoption of the general budget of the Union. Where appropriate, the Management Board shall adjust the Agency’s budget and work programme in accordance with the general budget of the Union. The Management Board shall forward the budget without delay to the European Parliament, the Council and the Commission.
Article 20
Combating fraud
1.   In order to facilitate the combating of fraud, corruption and other unlawful activities under Regulation (EC) No 1073/1999 
(
20
)
, the Agency shall, within six months from the day it becomes operational, accede to the Interinstitutional Agreement of 25 May 1999 concerning internal investigations by the European Anti-fraud Office (OLAF) 
(
21
)
 and shall adopt the appropriate provisions applicable to all the employees of the Agency, using the template set out in the Annex to that Agreement.
2.   The Court of Auditors shall have the power of audit, on the basis of documents and on the spot, over all grant beneficiaries, contractors and subcontractors who have received Union funds from the Agency.
3.   OLAF may carry out investigations, including on-the-spot checks and inspections, in accordance with the provisions and procedures laid down in Regulation (EC) No 1073/1999 and Council Regulation (Euratom, EC) No 2185/96 of 11 November 1996 concerning on-the-spot checks and inspections carried out by the Commission in order to protect the European Communities’ financial interests against fraud and other irregularities 
(
22
)
 with a view to establishing whether there has been fraud, corruption or any other illegal activity affecting the financial interests of the Union in connection with a grant or a contract funded by the Agency.
4.   Without prejudice to paragraphs 1, 2 and 3, cooperation agreements with third countries and international organisations, contracts, grant agreements and grant decisions of the Agency shall contain provisions expressly empowering the Court of Auditors and OLAF to conduct such audits and investigations, according to their respective competences.
Article 21
Implementation of the budget
1.   The Executive Director shall be responsible for the implementation of the Agency’s budget.
2.   The Commission’s internal auditor shall exercise the same powers over the Agency as over Commission departments.
3.   By 1 March following each financial year (1 March of year N + 1), the Agency’s accounting officer shall send the provisional accounts to the Commission’s accounting officer together with a report on the budgetary and financial management for that financial year. The Commission’s accounting officer shall consolidate the provisional accounts of the institutions and decentralised bodies in accordance with Article 147 of the Financial Regulation.
4.   By 31 March of year N + 1, the Commission’s accounting officer shall send the Agency’s provisional accounts to the Court of Auditors, together with a report on the budgetary and financial management for that financial year. The report on the budgetary and financial management for the financial year shall also be sent to the European Parliament and the Council.
5.   On receipt of the Court of Auditor’s observations on the Agency’s provisional accounts, pursuant to Article 148 of the Financial Regulation, the Executive Director shall draw up the Agency’s final accounts under his/her own responsibility and send them to the Management Board for an opinion.
6.   The Management Board shall deliver an opinion on the Agency’s final accounts.
7.   The Executive Director shall, by 1 July of year N + 1, transmit the final accounts, including the report on the budgetary and financial management for that financial year and the Court of Auditor’s observations, to the European Parliament, the Council, the Commission and the Court of Auditors, together with the Management Board’s opinion.
8.   The Executive Director shall publish the final accounts.
9.   The Executive Director shall send the Court of Auditors a reply to its observations by 30 September of year N + 1 and shall also send to the Management Board a copy of that reply.
10.   The Executive Director shall submit to the European Parliament, at the latter’s request, all the information necessary for the smooth application of the discharge procedure for the financial year in question, as laid down in Article 165(3) of the Financial Regulation.
11.   The European Parliament, acting on a recommendation from the Council, shall, before 15 May of year N + 2, give a discharge to the Executive Director in respect of the implementation of the budget for the year N.
SECTION 5
STAFF
Article 22
General provisions
The Staff Regulations and the Conditions of Employment of Other Servants and the rules adopted by agreement between the Union institutions for giving effect to those Staff Regulations shall apply to the staff of the Agency.
Article 23
Privileges and immunity
Protocol No 7 on the Privileges and Immunities of the European Union annexed to the Treaty on European Union and to the TFEU shall apply to the Agency and its staff.
Article 24
Executive Director
1.   The Executive Director shall be engaged as a temporary agent of the Agency under Article 2(a) of the Conditions of Employment of Other Servants.
2.   The Executive Director shall be appointed by the Management Board from a list of candidates proposed by the Commission, following an open and transparent selection procedure.
For the purpose of concluding the contract of the Executive Director, the Agency shall be represented by the Chairperson of the Management Board.
Before appointment, the candidate selected by the Management Board shall be invited to make a statement before the relevant committee of the European Parliament and to answer Members’ questions.
3.   The term of office of the Executive Director shall be five years. By the end of that period, the Commission shall undertake an assessment which takes into account the evaluation of the performance of the Executive Director and the Agency’s future tasks and challenges.
4.   The Management Board may, acting on a proposal from the Commission which takes into account the assessment referred to in paragraph 3 and after obtaining the views of the European Parliament, extend once the term of office of the Executive Director for no more than five years.
5.   The Management Board shall inform the European Parliament about its intention to extend the Executive Director’s term of office. Within three months before any such extension, the Executive Director shall, if invited, make a statement before the relevant committee of the European Parliament and answer Members’ questions.
6.   An Executive Director whose term of office has been extended may not participate in another selection procedure for the same post.
7.   The Executive Director may be removed from office only by decision of the Management Board.
Article 25
Seconded national experts and other staff
1.   The Agency may make use of seconded national experts or other staff not employed by the Agency. The Staff Regulations and the Conditions of Employment of Other Servants shall not apply to such staff.
2.   The Management Board shall adopt a decision laying down rules on the secondment to the agency of national experts.
SECTION 6
GENERAL PROVISIONS
Article 26
Legal status
1.   The Agency shall be a body of the Union. It shall have legal personality.
2.   In each of the Member States the Agency shall enjoy the most extensive legal capacity accorded to legal persons under their laws. It may, in particular, acquire and dispose of movable and immovable property and be a party to legal proceedings.
3.   The Agency shall be represented by its Executive Director.
4.   A branch office established in the metropolitan area of Athens shall be maintained in order to improve the operational efficiency of the Agency.
Article 27
Liability
1.   The contractual liability of the Agency shall be governed by the law applicable to the contract in question.
The Court of Justice of the European Union shall have jurisdiction to give judgment pursuant to any arbitration clause contained in a contract concluded by the Agency.
2.   In the case of non-contractual liability, the Agency shall, in accordance with the general principles common to the laws of the Member States, make good any damage caused by it or its servants in the performance of their duties.
The Court of Justice of the European Union shall have jurisdiction in any dispute relating to compensation for such damage.
3.   The personal liability of its servants towards the Agency shall be governed by the relevant conditions applying to the staff of the Agency.
Article 28
Languages
1.   Regulation No 1 of 15 April 1958 determining the languages to be used in the European Economic Community 
(
23
)
 shall apply to the Agency. The Member States and the other bodies appointed by them may address the Agency and receive a reply in the official language of the institutions of the Union of their choice.
2.   The translation services required for the functioning of the Agency shall be provided by the Translation Centre for the Bodies of the European Union.
Article 29
Protection of personal data
1.   When processing data relating to individuals, in particular while performing its tasks, the Agency shall observe the principles of personal data protection in, and be subject to, the provisions of Regulation (EC) No 45/2001.
2.   The Management Board shall adopt implementing measures referred to in Article 24(8) of Regulation (EC) No 45/2001. The Management Board may adopt additional measures necessary for the application of Regulation (EC) No 45/2001 by the Agency.
Article 30
Participation of third countries
1.   The Agency shall be open to the participation of third countries which have concluded agreements with the European Union by virtue of which they have adopted and applied Union legal acts in the field covered by this Regulation.
2.   Arrangements shall be made under the relevant provisions of those agreements, specifying in particular the nature, extent and manner in which those countries will participate in the Agency’s work, including provisions relating to participation in the initiatives undertaken by the Agency, financial contributions and staff.
Article 31
Security Rules on the protection of classified information
The Agency shall apply the security principles contained in the Commission’s security rules for protecting European Union Classified Information (EUCI) and sensitive non-classified information, as set out in the Annex to Decision 2001/844/EC, ECSC, Euratom. This shall cover, inter alia, provisions for the exchange, processing and storage of such information.
SECTION 7
FINAL PROVISIONS
Article 32
Evaluation and review
1.   By 20 June 2018 the Commission shall commission an evaluation to assess, in particular, the impact, effectiveness and efficiency of the Agency and its working practices. The evaluation shall also address the possible need to modify the mandate of the Agency and the financial implications of any such modification.
2.   The evaluation referred to in paragraph 1 shall take into account any feedback made to the Agency in response to its activities.
3.   The Commission shall forward the evaluation report together with its conclusions to the European Parliament, the Council and the Management Board. The findings of the evaluation shall be made public.
4.   As part of the evaluation, there shall also be an assessment of the results achieved by the Agency, having regard to its objectives, mandate and tasks. If the Commission considers that the continuation of the Agency is justified with regard to its assigned objectives, mandate and tasks, it may propose that the duration of the mandate of the Agency set out in Article 36 be extended.
Article 33
Cooperation of the host Member State
The Agency’s host Member State shall provide the best possible conditions to ensure the proper functioning of the Agency, including the accessibility of the location, the existence of adequate education facilities for the children of staff members, appropriate access to the labour market, social security and medical care for both children and spouses.
Article 34
Administrative control
The operations of the Agency shall be supervised by the Ombudsman in accordance with Article 228 TFEU.
Article 35
Repeal and succession
1.   Regulation (EC) No 460/2004 is repealed.
References to Regulation (EC) No 460/2004 and to ENISA shall be construed as references to this Regulation and to the Agency.
2.   The Agency succeeds the Agency that was established by Regulation (EC) No 460/2004 as regards all ownership, agreements, legal obligations, employment contracts, financial commitments and liabilities.
Article 36
Duration
The Agency shall be established for a period of seven years from 19 June 2013.
Article 37
Entry into force
This Regulation shall enter into force on the day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Strasbourg, 21 May 2013.
For the European Parliament
The President
M. SCHULZ
For the Council
The President
L. CREIGHTON
(
1
)
  
            
OJ C 107, 6.4.2011, p. 58
.
(
2
)
  Position of the European Parliament of 16 April 2013 (not yet published in the Official Journal) and decision of the Council of 13 May 2013.
(
3
)
  Decision 2004/97/EC, Euratom taken by common agreement between the Representatives of the Member States, meeting at Head of State or Government level, of 13 December 2003 on the location of the seats of certain offices and agencies of the European Union (
OJ L 29, 3.2.2004, p. 15
).
(
4
)
  Regulation (EC) No 460/2004 of the European Parliament and of the Council of 10 March 2004 establishing the European Network and Information Security Agency (
OJ L 77, 13.3.2004, p. 1
).
(
5
)
  Regulation (EC) No 1007/2008 of the European Parliament and of the Council of 24 September 2008 amending Regulation (EC) No 460/2004 establishing the European Network and Information Security Agency as regards its duration (
OJ L 293, 31.10.2008, p. 1
).
(
6
)
  Regulation (EU) No 580/2011 of the European Parliament and of the Council of 8 June 2011 amending Regulation (EC) No 460/2004 establishing the European Network and Information Security Agency as regards its duration (
OJ L 165, 24.6.2011, p. 3
).
(
7
)
  
            
OJ L 108, 24.4.2002, p. 33
.
(
8
)
  
            
OJ L 201, 31.7.2002, p. 37
.
(
9
)
  
            
OJ L 281, 23.11.1995, p. 31
.
(
10
)
  
            
OJ L 108, 24.4.2002, p. 51
.
(
11
)
  Regulation (EC) No 1211/2009 of the European Parliament and of the Council of 25 November 2009 establishing the Body of European Regulators for Electronic Communications (BEREC) and the Office (
OJ L 337, 18.12.2009, p. 1
).
(
12
)
  Directive 98/34/EC of the European Parliament and of the Council of 22 June 1998 laying down a procedure for the provision of information in the field of technical standards and regulations and of rules on Information Society services (
OJ L 204, 21.7.1998, p. 37
).
(
13
)
  Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council of 25 October 2012 on the financial rules applicable to the general budget of the Union and repealing Council Regulation (EC, Euratom) No 1605/2002 (
OJ L 298, 26.10.2012, p. 1
).
(
14
)
  Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents (
OJ L 145, 31.5.2001, p. 43
).
(
15
)
  
            
OJ L 8, 12.1.2001, p. 1
.
(
16
)
  
            
OJ C 101, 1.4.2011, p. 20
.
(
17
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
18
)
  
            
OJ L 357, 31.12.2002, p. 72
.
(
19
)
  
            
OJ L 317, 3.12.2001, p. 1
.
(
20
)
  Regulation (EC) No 1073/1999 of the European Parliament and of the Council of 25 May 1999 concerning investigations conducted by the European Anti-Fraud Office (OLAF) (
OJ L 136, 31.5.1999, p. 1
).
(
21
)
  Interinstitutional Agreement of 25 May 1999 between the European Parliament, the Council of the European Union and the Commission of the European Communities concerning internal investigations by the European Anti-fraud Office (OLAF) (
OJ L 136, 31.5.1999, p. 15
).
(
22
)
  
            
OJ L 292, 15.11.1996, p. 2
.
(
23
)
  
            
OJ 17, 6.10.1958, p. 385/58
.

Summary:
ENISA - the European Union Agency for Network and Information Security
The European Union Agency for Network and Information Security (ENISA) was established in March 2004. This regulation extends its mandate to 2020 and strengthens its ability to tackle cyberattacks and other information security challenges.
ACT
Regulation (EU) No 
No 526/2013
 of the European Parliament and of the Council concerning the European Union Agency for Network and Information Security (ENISA) and repealing Regulation (EC) No 460/2004.
SUMMARY
ENISA began its operations in Crete in 2005. Its mandate is to:
contribute to a high level of network and information security within the EU,
raise awareness of the issues involved,
develop and promote a security conscious culture for the benefit of citizens, consumers, enterprises and public sector organisations.
By doing this, it will help the proper functioning of the internal market.
The Agency’s new mandate took effect on 13 September 2013. The regulation spells out the tasks it performs as follows.
Support the development of EU policy and law
 by advising on all matters relating to network and information security policy, providing preparatory work and advice and analysing and promoting publication of publicly available strategies.
Support capability building
 by assisting EU countries, when requested to do so, and EU institutions in developing and improving the prevention, detection and analysis of information security problems and incidents. This includes helping in the creation of Computer Emergency Response Teams (CERTS) and developing an EU early warning system.
Support voluntary cooperation
 between competent public bodies and stakeholders, including universities and research centres, and promote awareness raising.
Support research and development andstandardisation
 through international standards for risk management and the security of electronic products, networks and services.
Cooperate with EU institutions and bodies, including those dealing with 
cybercrime and the protection of privacy and personal data
, to create synergies and address issues of common concern.
Contribute to the EU’s efforts 
to cooperate with non-EU countries and international organisations
 on network and information security.
The regulation stipulates that the Agency consists of an executive director and staff, a permanent stakeholders’ group and a management board that determines the general direction of the Agency’s work. Under the new regulation, an executive board has also been established.
REFERENCES
Act
Entry into force
Deadline for transposition in the Member States
Official Journal
Regulation (EU) 
No 526/2013
19.6.2013
-
OJ L 165 of 18.6.2013
Last updated: 06.04.2014

--- DANISH ---

Document:
18.6.2013
DA
Den Europæiske Unions Tidende
L 165/41
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) Nr. 526/2013
af 21. maj 2013
om Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA) og om ophævelse af forordning (EF) nr. 460/2004
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Elektronisk kommunikation og infrastruktur samt elektroniske tjenester er både direkte og indirekte afgørende faktorer i den økonomiske og samfundsmæssige udvikling. De elektroniske kommunikationssystemer spiller en central rolle i samfundet og er i sig selv blevet en alment tilgængelig ressource på lige fod med elektricitet og vand, ligesom de udgør vitale faktorer i leveringen af elektricitet, vand og andre vigtige tjenesteydelser. Kommunikationsnettene fungerer som katalysatorer i social og innovationsmæssig henseende, forøger teknologiens indvirkning og former forbrugeradfærd, forretningsmodeller, industrier samt borgernes deltagelse i det politiske liv. Sammenbrud i systemerne kan få alvorlige fysiske, sociale og økonomiske konsekvenser, og derfor er det særlig vigtigt at tage skridt til at beskytte systemerne bedre og gøre dem mere robuste for at sikre vigtige tjenesteydelsers kontinuitet. De sikkerhedsmæssige udfordringer i forbindelse med elektronisk kommunikation og infrastruktur og elektroniske tjenester, særlig systemernes integritet, disponibilitet og fortrolighed, vokser hele tiden, bl.a. med hensyn til de enkelte komponenter i kommunikationsinfrastrukturen og den software, der kontrollerer disse komponenter, infrastrukturen som helhed og de tjenester, der leveres via denne infrastruktur. Dette er et anliggende af stigende betydning for samfundet, ikke mindst på grund af risikoen for problemer som følge af systemernes kompleksitet, fejlfunktioner, systemfejl, uheld, fejl og angreb, der kan få konsekvenser for den elektroniske og fysiske infrastruktur, som sikrer tjenesteydelser af stor betydning for EU-borgernes trivsel.
(2)
Der opstår hele tiden nye risici, og sikkerhedsproblemer kan skade brugernes tillid til teknologi, net og tjenester og derved påvirke deres mulighed for at udnytte det indre markeds fulde potentiale og udbredt anvendelse af informations- og kommunikationsteknologi (ikt).
(3)
Det er derfor vigtigt for politikere, erhvervslivet og brugere, at der jævnligt foretages en vurdering af net- og informationssikkerhedssituationen i Unionen på grundlag af pålidelige EU-data samt systematiske prognoser over fremtidige udviklinger, udfordringer og trusler, både på EU-plan og globalt plan.
(4)
Ved afgørelse 2004/97/EF, Euratom 
(
3
)
, vedtaget på Det Europæiske Råds møde den 13. december 2003, besluttede repræsentanterne for medlemsstaterne, at Det Europæiske Agentur for Net- og Informationssikkerhed (ENISA), der skulle oprettes på grundlag af Kommissionens forslag, skulle have sit sæde i en by i Grækenland, som skulle fastlægges nærmere af den græske regering. Efter nævnte afgørelse bestemte den græske regering, at ENISA skulle have sit sæde i Heraklion på Kreta.
(5)
Den 1. april 2005 blev der indgået en hjemstedsaftale mellem agenturet og værtsmedlemsstaten.
(6)
Agenturets værtsmedlemsstat bør sikre de bedst mulige betingelser for, at agenturet kan fungere problemfrit og effektivt. For at agenturet korrekt og effektivt kan udføre sine opgaver og rekruttere og fastholde personale samt øge effektiviteten af netværksaktiviteter, er det afgørende, at agenturet er placeret på et passende sted, hvor der bl.a. er passende transportforbindelser og faciliteter for ægtefæller og børn, som følger med agenturets personale. De nødvendige foranstaltninger bør fastlægges i en aftale, som efter godkendelse af agenturets bestyrelse indgås mellem agenturet og værtsmedlemsstaten.
(7)
For at forbedre sin operationelle effektivitet har agenturet derfor oprettet et filialkontor i Athens storbyområde, som bør opretholdes efter aftale med og med støtte fra værtsmedlemsstaten, og agenturets operationelle personale bør være baseret der. Personale, der hovedsagelig beskæftiger sig med agenturets administration (herunder den administrerende direktør), økonomi, skrivebordsundersøgelse og -analyse, IT og facility management, menneskelige ressourcer, uddannelse, kommunikation og pr, bør være baseret i Heraklion.
(8)
Agenturet har ret til at bestemme sin egen organisation med henblik på at sikre en korrekt og effektiv udførelse af sine opgaver, samtidig med at bestemmelserne fastsat i denne forordning om hjemstedet og Athen-filialkontoret overholdes. Navnlig med henblik på udførelse af opgaver, der kræver samspil med centrale interessenter, som f.eks. EU-institutionerne, bør agenturet træffe de nødvendige praktiske foranstaltninger for at øge en sådan operationel effektivitet.
(9)
I 2004 vedtog Europa-Parlamentet og Rådet forordning (EF) nr. 460/2004 
(
4
)
 om oprettelse af ENISA med det formål at bidrage til målet om at sikre et højt net- og informationssikkerhedsniveau i Unionen og udvikle en net- og informationssikkerhedskultur til gavn for borgerne, forbrugerne, virksomhederne og de offentlige administrationer. I 2008 vedtog Europa-Parlamentet og Rådet forordning (EF) nr. 1007/2008 
(
5
)
 om forlængelse af agenturets mandat frem til marts 2012. Ved forordning (EU) nr. 580/2011 
(
6
)
 forlænges agenturets mandat frem til den 13. september 2013.
(10)
Agenturet bør afløse ENISA som oprettet ved forordning (EF) nr. 460/2004. Inden for rammerne af den afgørelse, som repræsentanterne for medlemsstaterne, forsamlet i Det Europæiske Råd den 13. december 2003, har truffet, bør værtsmedlemsstaten opretholde og videreudvikle de nuværende praktiske foranstaltninger for at sikre, at agenturet, herunder Athen-filialkontoret, kan fungere problemfrit og effektivt, og lette rekruttering og fastholdelse af højt kvalificeret personale.
(11)
Siden ENISA blev oprettet, har udfordringerne i forbindelse med net- og informationssikkerhed udviklet sig i takt med den teknologiske, markedsmæssige og samfundsøkonomiske udvikling, og de har været genstand for yderligere overvejelser og debat. Som reaktion herpå har Unionen ajourført sine mål for net- og informationssikkerhedspolitikken. Denne forordning har som mål at styrke agenturet, så det kan bidrage effektivt til EU-institutionernes og medlemsstaternes bestræbelser på at udvikle et europæisk beredskab til at håndtere net- og informationssikkerhedsproblemer.
(12)
Foranstaltninger for det indre marked, der vedrører sikkerhed i forbindelse med elektronisk kommunikation og mere generelt net- og informationssikkerhed, kræver, at EU-institutionerne og medlemsstaterne iværksætter forskellige tekniske og organisatoriske tiltag. En uensartet anvendelse af disse krav kan føre til ineffektivitet og skabe hindringer for det indre marked. Dette gør det nødvendigt med et ekspertisecenter på EU-plan, der kan yde vejledning, rådgive og yde bistand i spørgsmål om net- og informationssikkerhed, og som EU-institutionerne og medlemsstaterne kan støtte sig til. Agenturet kan opfylde disse behov ved at udvikle og opretholde et højt ekspertiseniveau og bistå EU-institutionerne, medlemsstaterne og erhvervslivet med at opfylde de retlige og reguleringsmæssige krav vedrørende net- og informationssikkerhed samt fastlægge og behandle net- og informationssikkerhedsspørgsmål og således bidrage til et velfungerende indre marked.
(13)
Agenturet bør udføre de opgaver, det pålægges i kraft af EU-retsakter inden for elektronisk kommunikation, og bidrage generelt til øget sikkerhed inden for elektronisk kommunikation samt beskyttelse af privatlivets fred og personoplysninger ved blandt andet at yde ekspertbistand og rådgivning samt ved at fremme udveksling af bedste praksis og tilbyde politikforslag.
(14)
Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7. marts 2002 om fælles rammebestemmelser for elektroniske kommunikationsnet og -tjenester (rammedirektivet) 
(
7
)
 kræver, at udbydere af offentlige elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester træffer passende foranstaltninger for at beskytte nettenes og tjenesternes integritet og sikkerhed, og direktivet indfører en forpligtelse for de nationale tilsynsmyndigheder til, når det er relevant, at underrette bl.a. agenturet om brud på sikkerheden og tab af integritet, hvis dette har en væsentlig indvirkning på driften af net eller tjenester, og til en gang om året at forelægge agenturet en sammenfattende rapport om de indberetninger, de har modtaget, og de foranstaltninger, der er truffet. I henhold til direktiv 2002/21/EF bør agenturet, ved at afgive udtalelser, desuden bidrage til at harmonisere relevante tekniske og organisatoriske sikkerhedsforanstaltninger.
(15)
Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) 
(
8
)
 kræver, at udbydere af offentligt tilgængelige elektroniske kommunikationstjenester træffer passende tekniske og organisatoriske foranstaltninger til at beskytte deres tjenester, og det stiller desuden krav om at kommunikationshemmeligheden, for så vidt angår både selve kommunikationen og de dermed forbundne trafikdata, opretholdes. Direktiv 2002/58/EF indfører informations- og underretningskrav over for udbydere af elektroniske kommunikationstjenester i forbindelse med brud på persondatasikkerheden. Det kræver endvidere, at Kommissionen rådfører sig med agenturet, inden den vedtager tekniske gennemførelsesforanstaltninger om, under hvilke omstændigheder informations- og underretningskravene gælder, samt hvilke former og procedurer der skal anvendes. Ifølge Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger 
(
9
)
 skal medlemsstaterne kræve, at den registeransvarlige iværksætter de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelse af oplysninger i et net, samt mod enhver anden ulovlig form for behandling.
(16)
Agenturet bør bidrage til et højt net- og informationssikkerhedsniveau, til bedre beskyttelse af privatlivets fred og personoplysninger og til at tilvejebringe og fremme en net- og informationssikkerhedskultur til gavn for borgere, forbrugere, virksomheder og den offentlige sektors organisationer i Unionen og således bidrage til et velfungerende indre marked. Med henblik herpå bør agenturet tildeles de nødvendige budgetmidler.
(17)
I betragtning af den voksende betydning af de elektroniske kommunikationsnet, som nu udgør rygraden i den europæiske økonomi, og af den digitale økonomis aktuelle størrelse bør de finansielle og menneskelige ressourcer, der tildeles agenturet, forøges i overensstemmelse med dettes udvidede rolle og opgaver og afgørende placering i forbindelse med forsvaret af det europæiske digitale økosystem.
(18)
Agenturet bør fungere som et referencepunkt og skabe tillid i kraft af sin uafhængighed, kvaliteten af den rådgivning, det yder, og af de informationer, det videregiver, samt i kraft af den åbenhed, der er forbundet med dets procedurer og drift, og dets omhu ved udførelsen af sine opgaver. Agenturet bør bygge på medlemsstaternes og Unionens indsats og derfor udføre sine opgaver i fuldt samarbejde med Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne og være åbent for forbindelser med erhvervslivet og andre relevante interessenter. Desuden bør det bygge på bidrag fra og samarbejde med den private sektor, der spiller en vigtig rolle i indsatsen for at gøre elektronisk kommunikation og infrastruktur og elektroniske tjenester sikre.
(19)
Som grundlag for, hvordan agenturet skal nå sine mål, bør der opstilles et sæt opgaver, der samtidig giver agenturet fleksibilitet i dets aktiviteter. Agenturets opgaver bør omfatte indsamling af information og data, der er nødvendige for at gennemføre analyser af de risici, der er for sikkerheden og robustheden i elektronisk kommunikation og infrastruktur og elektroniske tjenester, og for at agenturet i samarbejde med medlemsstaterne, Kommissionen og, i givet fald de relevante interessenter, kan vurdere net- og informationssikkerhedssituationen i Unionen. Agenturet bør koordinere sin indsats og samarbejde med Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne og styrke samarbejdet mellem interessenter i Europa, navnlig ved at inddrage de kompetente nationale organer og EU-organer og net- og informationssikkerhedseksperter på højt niveau fra den private sektor med kompetence på de relevante områder i aktiviteterne, navnlig udbydere af elektroniske kommunikationsnet og -tjenester, netværksudstyrsfabrikanter og softwareleverandører, under hensyntagen til, at net- og informationssystemer omfatter kombinationer af hardware, software og tjenester. Agenturet bør bistå EU-institutionerne og medlemsstaterne i deres dialog med erhvervslivet med henblik på at imødegå sikkerhedsrelaterede problemer i hardware- og softwareprodukter og derved bidrage til en samordnet tilgang til net- og informationssikkerhed.
(20)
Agenturet bør modtage net- og informationssikkerhedsstrategier, der offentliggøres af en af Unionens institutioner, organer, kontorer og agenturer eller af en medlemsstat, til orientering, og for at undgå dobbeltarbejde. Agenturet bør analysere strategierne og fremme deres præsentation i et format, der letter sammenligneligheden. Det bør gøre strategierne og sine analyser tilgængelige for offentligheden via elektroniske medier.
(21)
Agenturet bør bistå Kommissionen ved at yde rådgivning og i form af udtalelser og analyser om EU-spørgsmål vedrørende politikudvikling på net- og informationssikkerhedsområdet, herunder beskyttelse af kritisk informationsinfrastruktur og robusthed. Agenturet bør også bistå Unionens institutioner, organer, kontorer og agenturer og, hvor det er relevant, medlemsstaterne, hvis de anmoder herom, med at udvikle deres politik og kompetence inden for net- og informationssikkerhed.
(22)
Agenturet bør tage fuldt hensyn til igangværende forsknings-, udviklings- og teknologivurderingsaktiviteter, navnlig aktiviteter, der gennemføres som led i de forskellige EU-forskningsinitiativer, for at rådgive Unionen og, hvor det er relevant, medlemsstaterne, hvis de anmoder herom, om forskningsbehov inden for net- og informationssikkerhed.
(23)
Agenturet bør bistå såvel Unionens institutioner, organer, kontorer og agenturer som medlemsstaterne med at opbygge og forbedre deres kompetence og beredskab på tværs af grænserne til at forebygge, opdage og imødegå sikkerhedsproblemer og sikkerhedsrelaterede hændelser i net og informationssystemer. I den forbindelse bør agenturet lette samarbejdet mellem medlemsstaterne indbyrdes og mellem Kommissionen og andre af Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne. Med henblik herpå bør agenturet støtte medlemsstaterne i deres vedvarende indsats for at forbedre deres beredskab og for at tilrettelægge og gennemføre europæiske øvelser om sikkerhedsrelaterede hændelser og, efter anmodning fra en medlemsstat, nationale øvelser.
(24)
For bedre at forstå udfordringerne på net- og informationssikkerhedsområdet er det nødvendigt, at agenturet analyserer både eksisterende risici og nye risici, der dukker op. Med henblik herpå bør agenturet i samarbejde med medlemsstaterne og, alt efter hvad der er relevant, med statistiske organer og andre indsamle relevante oplysninger. Desuden bør agenturet bistå Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne i deres bestræbelser på at indsamle, analysere og formidle oplysninger om net- og informationssikkerhed. Indsamlingen af statistiske oplysninger og data, der er nødvendige for at gennemføre analyser af de risici, der er for sikkerheden og robustheden i elektronisk kommunikation og infrastruktur og elektroniske tjenester, bør ske på grundlag af oplysningerne fra medlemsstaterne og agenturets indsigt i EU-institutionernes ikt-infrastrukturer i henhold til EU-bestemmelserne og nationale bestemmelser, der er i overensstemmelse med EU-retten. På grundlag af disse oplysninger bør agenturet fastholde opmærksomheden på den seneste status for net- og informationssikkerhed og tilknyttede tendenser i Unionen til gavn for Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne.
(25)
Agenturet bør under udførelsen af sine opgaver lette samarbejdet mellem Unionen og medlemsstaterne for at forbedre bevidstheden om net- og informationssikkerhedssituationen i Unionen.
(26)
Agenturet bør lette samarbejdet mellem medlemsstaternes kompetente uafhængige tilsynsmyndigheder, især ved at støtte udvikling, fremme og udveksling af bedste praksis og standarder for uddannelsesprogrammer og bevidstgørelsestiltag. Øget informationsudveksling mellem medlemsstaterne vil fremme sådanne foranstaltninger. Agenturet bør bidrage til at bevidstgøre de enkelte brugere af elektroniske kommunikationsmidler, infrastrukturer og tjenester, herunder ved at bistå medlemsstater, der har valgt at anvende platformen for almennyttig information, jf. Europa-Parlamentets og Rådets direktiv 2002/22/EF af 7. marts 2002 om forsyningspligt og brugerrettigheder i forbindelse med elektroniske kommunikationsnet og -tjenester (forsyningspligtdirektivet) 
(
10
)
, med at udarbejde relevant almennyttig information vedrørende net- og informationssikkerhed samt ved at bistå med udarbejdelsen af en sådan information, som skal indgå i leveringen af nyt udstyr til brug i offentlige kommunikationsnet. Agenturet bør også støtte samarbejdet mellem interessenter på EU-plan, blandt andet ved at fremme informationsudveksling, bevidstgørelseskampagner og programmer for almen og erhvervsfaglig uddannelse.
(27)
Agenturet bør bl.a. bistå Unionens relevante institutioner, organer, kontorer og agenturer og medlemsstaterne i oplysningskampagner for slutbrugere med sigte på at fremme en mere sikker individuel adfærd på nettet og øge bevidstheden om de potentielle farer på internettet, navnlig internetkriminalitet, såsom phishingangreb, botnet, økonomisk svig og banksvindel, samt fremme af grundlæggende autentificerings- og databeskyttelsesrådgivning.
(28)
For fuldt ud at opfylde sine mål bør agenturet arbejde sammen med relevante organer, herunder dem, der arbejder med internetkriminalitet, som f.eks. Europol, og myndigheder med ansvar for beskyttelse af privatlivets fred, for at udveksle knowhow og bedste praksis og yde rådgivning om aspekter af net- og informationssikkerhed, der kan have indflydelse på deres arbejde. Agenturet bør sigte mod at opnå synergi mellem disse organers bestræbelser og dets egne bestræbelser på at fremme forbedret net- og informationssikkerhed. Repræsentanter for de myndigheder på nationalt og EU-plan, der har ansvar for retshåndhævelse og beskyttelse af privatlivets fred, bør kunne være repræsenteret i agenturets stående gruppe af interessenter. I sine kontakter med retshåndhævende myndigheder vedrørende aspekter af net- og informationssikkerhed, der kan have indflydelse på disse myndigheders arbejde, bør agenturet respektere de eksisterende informationskanaler og etablerede net.
(29)
Kommissionen har lanceret et europæisk offentlig-privat partnerskab for en robust ikt-infrastruktur som en fleksibel EU-dækkende samarbejdsplatform, der bringer interessenter sammen, så de kan drøfte forvaltningspolitiske mål og økonomiske og markedsmæssige aspekter af udfordringerne og tiltagene for at gøre ikt-infrastrukturen mere robust; agenturet bør spille en formidlende rolle i denne forbindelse.
(30)
For at fremme net- og informationssikkerhed og dens synlighed bør agenturet lette samarbejdet mellem medlemsstaternes kompetente offentlige organer, især ved at støtte udvikling og udveksling af bedste praksis og bevidstgørelsestiltag og ved at styrke deres outreach-aktiviteter. Agenturet bør også støtte samarbejdet mellem interessenter og EU-institutionerne, bl.a. ved at fremme informationsudveksling og bevidstgørelsesaktiviteter.
(31)
For at fremme et højt net- og informationssikkerhedsniveau i Unionen bør agenturet fremme samarbejde og udveksling af oplysninger og bedste praksis mellem relevante organisationer, som f.eks. enheder, der håndterer it-sikkerhedshændelser (CSIRT'er) og it-beredskabsenheder (CERT'er).
(32)
Et EU-system med velfungerende CERT'er bør udgøre hjørnestenen af Unionens net- og informationssikkerhedsinfrastruktur. Agenturet bør understøtte medlemsstaternes CERT'er og EU-CERT'en i driften af et netværk af CERT'er, herunder medlemmerne af European Governmental CERTs Group. For at sikre, at alle CERT'er har tilstrækkelig avanceret kapacitet, og at denne kapacitet så vidt muligt svarer til kapaciteten af de mest avancerede CERT'er, bør agenturet fremme oprettelsen og driften af et fagfællebedømmelsessystem. Agenturet bør endvidere fremme og støtte samarbejdet mellem de relevante CERT'er i tilfælde af hændelser, angreb på eller afbrydelser af net eller infrastruktur, der styres eller beskyttes af CERT'erne, og som berører eller vil kunne berøre mindst to CERT'er.
(33)
Effektive net- og informationssikkerhedsstrategier bør baseres på velgennemtænkte risikovurderingsmetoder, både i den offentlige og den private sektor. Der anvendes risikovurderingsmetoder og procedurer på forskellige niveauer, men der er ingen fælles praksis for, hvordan de anvendes effektivt. Ved at udvikle og fremme bedste praksis for risikovurdering og interoperable risikostyringsløsninger i den offentlige og den private sektors organisationer kan man øge sikkerhedsniveauet i nettene og informationssystemerne i Unionen. Til dette formål bør agenturet støtte samarbejdet mellem interessenter på EU-plan og lette deres bestræbelser på at etablere og indføre europæiske og internationale standarder for risikostyring og for målbar sikkerhed i elektroniske produkter, systemer, net og tjenesteydelser, som sammen med software udgør net- og informationssystemerne.
(34)
Agenturet bør, hvor det er hensigtsmæssigt for, at det kan varetage sine mål og udføre sine opgaver, udveksle erfaringer og generelle oplysninger med Unionens institutioner, organer, kontorer og agenturer, som beskæftiger sig med net- og informationssikkerhed. Agenturet bør bidrage til at identificere forskningsprioriteringerne på EU-plan på områderne netværkers modstandsdygtighed og net- og informationssikkerhed samt tilbyde viden om industriens behov til relevante forskningsinstitutioner.
(35)
Agenturet bør tilskynde medlemsstaterne og serviceydere til at hæve deres generelle sikkerhedsstandarder, så alle internetbrugere tager de nødvendige skridt til at sikre deres egen personlige internetsikkerhed.
(36)
Net- og informationssikkerhedsproblemer er af global karakter. Der er behov for et tættere internationalt samarbejde for at forbedre sikkerhedsstandarderne, herunder definitionen af fælles adfærdsnormer og adfærdskodekser, og informationsudveksling, hvilket vil fremme hurtigere internationalt samarbejde om samt en fælles global tilgang til net- og informationssikkerhedsspørgsmål. Agenturet bør derfor støtte et fortsat EU-engagement og samarbejde med tredjelande og internationale organisationer, ved, hvor det er relevant, at yde den nødvendige ekspertise og analyse til Unionens relevante institutioner, organer, kontorer og agenturer.
(37)
Agenturet bør varetage sine opgaver i overensstemmelse med nærhedsprincippet, idet det sikrer en passende grad af koordinering mellem medlemsstaterne i spørgsmål om net- og informationssikkerhed og forbedrer de nationale politikkers effektivitet og dermed tilføjer dem merværdi, og i overensstemmelse med proportionalitetsprincippet, idet det ikke går ud over, hvad der er nødvendigt for at nå målene i denne forordning. Udførelsen af agenturets opgaver bør styrke, men ikke gribe ind i eller træde i stedet for, hindre eller overlappe de relevante beføjelser og opgaver, der er tildelt nationale tilsynsmyndigheder i overensstemmelse med direktiverne om elektroniske kommunikationsnet og –tjenester, samt de beføjelser og opgaver, der er tillagt sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC), der er oprettet ved Europa-Parlamentets og Rådets forordning (EF) nr. 1211/2009 
(
11
)
, Kommunikationsudvalget, som er omhandlet i direktiv 2002/21/EF, de europæiske standardiseringsorganisationer, de nationale standardiseringsorganisationer og det stående udvalg, jf. direktiv 98/34/EF 
(
12
)
, samt medlemsstaternes uafhængige tilsynsmyndigheder som fastlagt i direktiv 95/46/EF.
(38)
Det er nødvendigt at gennemføre visse principper om agenturets forvaltning for at overholde den fælles erklæring og fælles tilgang, som den interinstitutionelle arbejdsgruppe om EU's decentrale agenturer nåede til enighed om i juli 2012, og som har til formål at strømline agenturernes aktiviteter og forbedre deres resultater.
(39)
Den fælles erklæring og fælles tilgang bør, alt efter hvad der er relevant, også afspejles i agenturets arbejdsprogrammer, agenturets evalueringer og agenturets rapporterings- og administrationspraksis.
(40)
For at agenturet kan fungere korrekt, bør Kommissionen og medlemsstaterne sikre, at personer, der udpeges til bestyrelsen, har en hensigtsmæssig faglig ekspertise. Kommissionen og medlemsstaterne bør også gøre en indsats for at begrænse udskiftningen af deres respektive repræsentanter i bestyrelsen, så der sikres kontinuitet i bestyrelsens arbejde.
(41)
Det er afgørende, at agenturet skaber og vedligeholder et ry for upartiskhed, integritet og høje faglige standarder. Bestyrelsen bør derfor vedtage omfattende regler, der omfatter hele agenturet, for forebyggelse og håndtering af interessekonflikter.
(42)
I betragtning af agenturets særlige forhold og de vanskelige udfordringer, det står over for, bør agenturets organisatoriske struktur forenkles og styrkes for at sikre større effektivitet. Der bør derfor bl.a. nedsættes et forretningsudvalg, således at bestyrelsen kan fokusere på spørgsmål af strategisk betydning.
(43)
Bestyrelsen bør udnævne en regnskabsfører i overensstemmelse med regler vedtaget i henhold til forordning (EU, Euratom) nr. 966/2012 
(
13
)
 (finansforordningen).
(44)
For at sikre, at agenturet fungerer effektivt, bør medlemsstaterne og Kommissionen være repræsenteret i bestyrelsen, der bør fastlægge de overordnede retningslinjer for agenturets drift og sikre, at agenturet udfører sine opgaver i overensstemmelse med denne forordning. Bestyrelsen bør have de beføjelser, der er nødvendige, til at fastlægge budgettet, kontrollere dets gennemførelse, vedtage passende finansielle bestemmelser, fastlægge transparente arbejdsprocedurer for agenturets beslutningstagning, vedtage agenturets arbejdsprogram, vedtage sin egen forretningsorden og agenturets interne forretningsgange, udnævne den administrerende direktør og træffe afgørelse om at forlænge den administrerende direktørs mandatperiode efter at have indhentet en udtalelse fra Europa-Parlamentet eller bringe den til ophør. Bestyrelsen bør nedsætte et forretningsudvalg, der kan bistå den i udførelsen af dens administrative og budgetmæssige opgaver
(45)
Et velfungerende agentur kræver, at den administrerende direktør udnævnes på grundlag af kvalifikationer og dokumenterede administrative og ledelsesmæssige færdigheder samt kvalifikationer og erfaring, der er relevante for net- og informationssikkerhed, og at den administrerende direktørs opgaver med hensyn til tilrettelæggelsen af agenturets interne opgaver udføres i fuld uafhængighed. Med henblik herpå bør den administrerende direktør efter høring af Kommissionen udarbejde et forslag til agenturets arbejdsprogram og træffe alle nødvendige foranstaltninger til at sikre, at arbejdsprogrammet gennemføres korrekt. Den administrerende direktør bør hvert år udarbejde en årsberetning, der skal forelægges for bestyrelsen, udfærdige et udkast til overslag over agenturets indtægter og udgifter samt gennemføre budgettet.
(46)
Den administrerende direktør bør kunne nedsætte ad hoc-arbejdsgrupper til at behandle specifikke spørgsmål, særlig af videnskabelig, teknisk, retlig eller samfundsøkonomisk art. Ved nedsættelsen af ad hoc-arbejdsgrupper bør den administrerende direktør trække på den relevante eksterne ekspertise, der er nødvendig, for at agenturet kan få adgang til de seneste nye oplysninger om de sikkerhedsudfordringer, der følger med et informationssamfund i stadig udvikling. Den administrerende direktør bør sikre, at medlemmerne af ad hoc-arbejdsgrupperne udvælges på grundlag af den højeste ekspertisestandard, og tage skridt til at sikre en passende repræsentativ balance, afhængigt af de specifikke spørgsmål, mellem medlemsstaternes offentlige administrationer, EU-institutionerne og den private sektor, herunder erhvervslivet, brugerne og akademiske eksperter i net- og informationssikkerhed. Den administrerende direktør bør, alt efter hvad der er relevant, og fra sag til sag kunne invitere eksperter, der er anerkendt som kompetente på det pågældende område, til at deltage i arbejdsgruppernes arbejde. Deres udgifter bør afholdes af agenturet i overensstemmelse med dets interne regler og i overensstemmelse med regler vedtaget i henhold til finansforordningen.
(47)
Agenturet bør have en stående gruppe af interessenter som et rådgivende organ, der kan sikre en løbende dialog med den private sektor, forbrugerorganisationerne og andre relevante interessenter. Den stående gruppe af interessenter, der nedsættes af bestyrelsen på forslag af den administrerende direktør, bør koncentrere sig om spørgsmål, der er relevante for interessenter, og forelægge dem for agenturet. Den administrerende direktør bør, når det er relevant og under hensyn til dagsordenen for møderne, kunne invitere repræsentanter for Europa-Parlamentet og andre relevante organer til at deltage i gruppens møder.
(48)
Da der er tilstrækkelig repræsentation af interessenter i den stående gruppe af interessenter, og denne gruppe navnlig skal høres vedrørende udkastet til arbejdsprogram, er der ikke længere noget behov for repræsentation af interessenter i bestyrelsen.
(49)
Agenturet bør følge de relevante EU-bestemmelser om aktindsigt som fastlagt i Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 
(
14
)
. De oplysninger, som agenturet behandler i forbindelse med sit interne arbejde, og de oplysninger, som det behandler under udførelsen af dets opgaver, bør være omfattet af Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger 
(
15
)
.
(50)
Agenturet bør overholde de bestemmelser, der gælder for EU-institutionerne samt national lovgivning vedrørende behandling af følsomme dokumenter.
(51)
For at agenturet kan sikres fuld selvstændighed og uafhængighed og for at sætte det i stand til at udføre supplerende og nye opgaver, herunder uforudsete hasteopgaver, bør agenturet råde over et tilstrækkeligt og selvstændigt budget, hvortil indtægterne hovedsagelig kommer fra et bidrag fra Unionen og fra bidrag fra tredjelande, der deltager i agenturets arbejde. Størstedelen af agenturets ansatte bør være direkte involveret i den operationelle gennemførelse af agenturets mandat. Værtsmedlemsstaten og enhver anden medlemsstat bør kunne yde frivillige bidrag til agenturets indtægter. Unionens budgetprocedure bør finde anvendelse på ethvert bidrag, som kommer fra Den Europæiske Unions almindelige budget. Desuden bør revisionen af agenturets regnskaber forestås af Revisionsretten for at sikre gennemsigtighed og ansvarlighed.
(52)
I betragtning af det stadigt skiftende trusselsbillede og udviklingen af Unionens politik for net- og informationssikkerhed, og for at tilpasse sig til den flerårige finansielle ramme, bør agenturets mandatperiode fastsættes for en begrænset periode på syv år med mulighed for en forlængelse af perioden.
(53)
Der bør foretages en uafhængig evaluering af agenturets arbejde. Evalueringen bør tage stilling til, om agenturets mål opfyldes effektivt, om arbejdsmetoderne er effektive, og om dets opgaver er relevante, for at det kan afgøres, om målene stadig er gyldige, og på grundlag heraf, om agenturets mandat bør forlænges og i bekræftende fald for hvilken periode.
(54)
Såfremt Kommissionen hen imod udløbet af agenturets mandatperiode ikke har fremlagt et forslag til en forlængelse af mandatet, bør agenturet og Kommissionen træffe de relevante foranstaltninger, især om spørgsmål i forbindelse med ansættelseskontrakter og budget arrangementer.
(55)
Målet for denne forordning, nemlig at oprette Den Europæiske Unions Agentur for Net- og Informationssikkerhed med henblik på at bidrage til et højt net- og informationssikkerhedsniveau i Unionen og for at hæve oplysningsniveauet om informationssikkerhed og for at udvikle og fremme en net- og informationssikkerhedskultur i samfundet til gavn for borgerne, forbrugerne, virksomhederne og den offentlige sektors organisationer i Unionen og således bidrage til gennemførelsen af et velfungerende indre marked, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål.
(56)
Forordning (EF) nr. 460/2004 bør ophæves.
(57)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og vedtog sin udtalelse den 20. december 2010 
(
16
)
 —
VEDTAGET DENNE FORORDNING:
AFSNIT 1
ANVENDELSESOMRÅDE, MÅL OG OPGAVER
Artikel 1
Genstand og anvendelsesområde
1.   Ved denne forordning oprettes Den Europæiske Unions Agentur for Net- og Informationssikkerhed (i det følgende benævnt »agenturet«), som skal udføre de opgaver, det tildeles med det formål at bidrage til et højt net- og informationssikkerhedsniveau i Unionen og for at hæve oplysningsniveauet om net- og informationssikkerhed og for at udvikle og fremme en net- og informationssikkerhedskultur i samfundet til gavn for borgerne, forbrugerne, virksomhederne og den offentlige sektors organisationer i Den Europæiske Union og således bidrage til gennemførelsen af et velfungerende indre marked.
2.   Agenturets mål og opgaver berører ikke medlemsstaternes beføjelser med hensyn til net- og informationssikkerhed og berører under ingen omstændigheder aktiviteter vedrørende offentlig sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske velfærd for så vidt angår aspekter, der vedrører statens sikkerhed) og statens aktiviteter på det strafferetlige område.
3.   I denne forordning forstås ved »net- og informationssikkerhed«: et nets eller et informationssystems evne til, på et givet tillidsniveau, at modstå uheld, ulovlige og ondsindede handlinger, der er til skade for tilgængeligheden, autenticiteten, integriteten og fortroligheden i forbindelse med data, der opbevares eller overføres, og de dermed forbundne tjenester, der tilbydes i eller er tilgængelige via disse net og systemer.
Artikel 2
Mål
1.   Agenturet skal udvikle og opretholde et højt ekspertiseniveau.
2.   Agenturet skal bistå Unionens institutioner, organer, kontorer og agenturer med at udarbejde de nødvendige politikker for net- og informationssikkerhed.
3.   Agenturet skal bistå Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne med at gennemføre de politikker, der er nødvendige for at opfylde de retlige og reguleringsmæssige krav vedrørende net- og informationssikkerhed i henhold til eksisterende og fremtidige EU-retsakter og dermed bidrage til et velfungerende indre marked.
4.   Agenturet skal bistå Unionen og medlemsstaterne med at øge og styrke deres kapacitet og beredskab til at forebygge, opdage og imødegå net- og informationssikkerhedsproblemer og -hændelser.
5.   Agenturet skal bruge sin ekspertise til at fremme et bredt samarbejde mellem aktører fra både den offentlige og den private sektor.
Artikel 3
Opgaver
1.   Med det formål, der er fastsat i artikel, og for at nå de mål, der er fastsat i artikel 2, samt under overholdelse af artikel 1, stk. 2, skal agenturet udføre følgende opgaver:
a)
støtte udviklingen af Unionens politik og lovgivning ved at:
i)
bistå og rådgive i alle spørgsmål vedrørende Unionens politik og lovgivning om net- og informationssikkerhed
ii)
foretage forberedende arbejde, rådgivning og analyser vedrørende udviklingen og ajourføringen af Unionens politik og lovgivning om net- og informationssikkerhed
iii)
analysere offentligt tilgængelige net- og informationssikkerhedsstrategier og fremme offentliggørelse heraf
b)
støtte kapacitetsopbygningen ved at:
i)
støtte medlemsstaterne, på deres anmodning, i deres bestræbelser på at udvikle og forbedre forebyggelse, opdagelse og analyse af og kapaciteten til at imødegå net- og informationssikkerhedsproblemer og -hændelser, og give dem den nødvendige viden
ii)
fremme og lette frivilligt samarbejde mellem medlemsstaterne indbyrdes og mellem Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne i deres bestræbelser på at forebygge, opdage og imødegå net- og informationssikkerhedsproblemer og -hændelser, når disse har en virkning på tværs af grænserne
iii)
bistå Unionens institutioner, organer, kontorer og agenturer i deres bestræbelser på at udvikle forebyggelse, opdagelse og analyse af og kapaciteten til at imødegå net- og informationssikkerhedsproblemer, navnlig ved at støtte driften af en it-beredskabsenhed (CERT) for dem
iv)
støtte en forøgelse af kapaciteten i nationale og statslige CERT'er og EU-CERT'en, herunder ved at fremme dialog og udveksling af oplysninger for at sikre, at hver CERT opfylder et fælles sæt af minimumskrav med hensyn til det aktuelle tekniske niveau og opererer i overensstemmelse med bedste praksis
v)
støtte tilrettelæggelsen og gennemførelsen af EU-øvelser vedrørende net- og informationssikkerhed og rådgive medlemsstaterne, efter deres anmodning, om nationale øvelser
vi)
bistå Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne i deres bestræbelser på at indsamle, analysere og i overensstemmelse med medlemsstaternes sikkerhedskrav formidle oplysninger om net- og informationssikkerhed; og på grundlag af de oplysninger, som fremsendes af Unionens institutioner, organer, kontorer og agenturer og af medlemsstaterne i overensstemmelse med bestemmelser i EU-retten og nationale bestemmelser under overholdelse af EU-retten, holde Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne ajour med den seneste udvikling i net- og informationssikkerhedssituationen i Unionen til gavn for dem
vii)
støtte udviklingen af en EU-mekanisme for tidlig varsling, der kan supplere medlemsstaternes mekanismer
viii)
tilbyde uddannelse inden for net- og informationssikkerhed til relevante offentlige organer, eventuelt i samarbejde med interessenter
c)
støtte frivilligt samarbejde mellem de kompetente offentlige organer og mellem interessenter, herunder universiteter og forskningscentre i Unionen, og støtte bevidstgørelse ved bl.a. at:
i)
fremme samarbejdet mellem nationale og statslige CERT'er eller enheder, der håndterer it-sikkerhedshændelser (CSIRT'er), herunder CERT'en for Unionens institutioner, organer, kontorer og agenturer
ii)
fremme udvikling og udveksling af bedste praksis med henblik på at nå et højt net- og informationssikkerhedsniveau
iii)
lette dialogen og bestræbelserne på at udvikle og udveksle bedste praksis
iv)
fremme bedste praksis inden for udveksling af oplysninger og bevidstgørelse
v)
støtte Unionens institutioner, organer, kontorer og agenturer og, efter deres anmodning, medlemsstaterne og deres relevante organer med at arrangere bevidstgørelsesaktiviteter, herunder på enkeltbrugerniveau, og andre opsøgende aktiviteter for at øge net- og informationssikkerheden og dens synlighed ved at udarbejde bedste praksis og retningslinjer
d)
støtte forskning og udvikling samt standardisering ved at:
i)
lette etableringen og indførelsen af europæiske og internationale standarder for risikostyring og for sikkerhed i elektroniske produkter, net og tjenesteydelser
ii)
rådgive Unionen og medlemsstaterne om forskningsbehov på området net- og informationssikkerhed med henblik på at gøre det muligt effektivt at imødegå nuværende og kommende net- og informationssikkerhedsrisici og -trusler, herunder hvad angår nye og kommende informations- og kommunikationsteknologier, og effektivt bruge teknologier til risikoforebyggelse
e)
samarbejde med Unionens institutioner, organer, kontorer og agenturer, herunder dem, der beskæftiger sig med internetkriminalitet og beskyttelse af privatlivets fred og personoplysninger, med henblik på at behandle spørgsmål af fælles interesse, ved bl.a. at:
i)
udveksle viden og bedste praksis
ii)
yde rådgivning om relevante net- og informationssikkerhedsaspekter for at udvikle synergier
f)
bidrage til Unionens indsats for at samarbejde med tredjelande og internationale organisationer for at fremme internationalt samarbejde om net- og informationssikkerhedsforhold, herunder ved at:
i)
deltage, hvor det er relevant, som observatør og i tilrettelæggelsen af internationale øvelser, og analysere og rapportere om resultatet af sådanne øvelser
ii)
lette udvekslingen af bedste praksis mellem relevante organisationer
iii)
yde ekspertise til EU-institutioner.
2.   Unionens institutioner, organer, kontorer og agenturer og medlemsstaternes organer kan anmode om rådgivning fra agenturet i tilfælde af brud på sikkerheden eller tab af integritet, der har en betydelig indvirkning på driften af net og tjenester.
3.   Agenturet udfører opgaver, som det pålægges ved EU-retsakter.
4.   Agenturet fremsætter uafhængigt sine egne konklusioner, retningslinjer og udtalelser i forbindelse med spørgsmål, der ligger inden for denne forordnings anvendelsesområde og mål.
AFSNIT 2
ORGANISATION
Artikel 4
Agenturets sammensætning
1.   Agenturet består af:
a)
en bestyrelse
b)
en administrerende direktør, personale, samt
c)
en stående gruppe af interessenter.
2.   Med henblik på at øge effektiviteten af agenturets drift nedsætter bestyrelsen et forretningsudvalg.
Artikel 5
Bestyrelsen
1.   Bestyrelsen fastlægger de overordnede retningslinjer for agenturets drift og sikrer, at agenturet udfører sine opgaver i overensstemmelse med de regler og principper, der fastlægges i denne forordning. Den sikrer endvidere, at der er sammenhæng mellem agenturets arbejde og aktiviteter, der udføres af medlemsstaterne og på EU-plan.
2.   Bestyrelsen vedtager agenturets årlige arbejdsprogram og det flerårige arbejdsprogram.
3.   Bestyrelsen vedtager en årsberetning om agenturets virksomhed og sender den senest den 1. juli i det følgende år til Europa-Parlamentet, Rådet, Kommissionen og Revisionsretten. Årsberetningen skal indeholde regnskaberne og beskrive, i hvilket omfang agenturet har opfyldt sine præstationsindikatorer. Årsberetningen offentliggøres.
4.   Bestyrelsen vedtager en strategi til bekæmpelse af svig, der skal stå i forhold til risikoen for svig under hensyntagen til en cost-benefit analyse af de påtænkte foranstaltninger.
5.   Bestyrelsen sikrer en behørig opfølgning af resultaterne og henstillingerne fra undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF), og de forskellige interne og eksterne revisionsberetninger og evalueringer.
6.   Bestyrelsen vedtager regler for forebyggelse og håndtering af interessekonflikter.
7.   Bestyrelsen udøver over for agenturets ansatte de beføjelser, som vedtægten for tjenestemænd og ansættelsesvilkårene for øvrige ansatte i Den Europæiske Union (»vedtægten for tjenestemænd« og »ansættelsesvilkårene for øvrige ansatte«), som fastlagt i forordning (EØF, Euratom, EKSF) nr. 259/68 
(
17
)
, tillægger henholdsvis ansættelsesmyndigheden og den myndighed, der er beføjet til at indgå ansættelseskontrakter.
Bestyrelsen vedtager i overensstemmelse med artikel 110 i vedtægten for tjenestemænd en afgørelse baseret på artikel 2, stk. 1, i vedtægten for tjenestemænd og artikel 6 i ansættelsesvilkårene for øvrige ansatte, der tillægger den administrerende direktør de relevante ansættelsesmyndighedsbeføjelser. Den administrerende direktør kan uddelegere disse beføjelser.
Under helt særlige omstændigheder kan bestyrelsen tilbagekalde delegationen af ansættelsesmyndighedens beføjelser til den administrerende direktør og de beføjelser, denne måtte have uddelegeret. I sådanne tilfælde kan bestyrelsen for en begrænset periode uddelegere dem til et af sine medlemmer eller til en anden medarbejder end den administrerende direktør.
8.   Bestyrelsen vedtager regler for anvendelsen af vedtægten for tjenestemænd og ansættelsesvilkårene for øvrige ansatte i overensstemmelse med artikel 110 i vedtægten for tjenestemænd.
9.   Bestyrelsen udnævner den administrerende direktør og kan forlænge dennes mandatperiode eller afskedige vedkommende i overensstemmelse med artikel 24 i denne forordning.
10.   Bestyrelsen fastsætter sin og forretningsudvalgets forretningsorden efter høring af Kommissionen. Forretningsordenen skal give mulighed for at fremskynde beslutningstagningen, enten ved en skriftlig procedure eller afholdelse af fjernmøder.
11.   Bestyrelsen vedtager agenturets interne forretningsgange efter høring af Kommissionen. Disse forretningsgange offentliggøres.
12.   Bestyrelsen vedtager de finansielle bestemmelser for agenturet. De må ikke afvige fra Kommissionens forordning (EF, Euratom) nr. 2343/2002 af 19. november 2002 om rammefinansforordningen for de organer, der er omhandlet i artikel 185 i Rådets forordning (EF, Euratom) nr. 1605/2002 om finansforordningen vedrørende De Europæiske Fællesskabers almindelige budget 
(
18
)
, medmindre dette er strengt nødvendigt af hensyn til agenturets drift, og Kommissionen forudgående har givet sit samtykke.
13.   Bestyrelsen vedtager en flerårig plan for personalepolitikken efter at have hørt Kommissionens tjenestegrene og underrettet Europa-Parlamentet og Rådet.
Artikel 6
Bestyrelsens sammensætning
1.   Bestyrelsen består af en repræsentant for hver medlemsstat og to repræsentanter, der udnævnes af Kommissionen. Alle repræsentanter har stemmeret.
2.   Hvert medlem af bestyrelsen skal have en suppleant, der repræsenterer medlemmet, når det ikke er til stede.
3.   Medlemmer af bestyrelsen og deres suppleanter udpeges på baggrund af deres kendskab til agenturets opgaver og mål under hensyntagen til ledelsesmæssige, administrative og budgetmæssige kompetencer, der er relevante for at udføre de opgaver, der er nævnt i artikel 5. Kommissionen og medlemsstaterne bør bestræbe sig på at begrænse udskiftningen af deres repræsentanter i bestyrelsen med henblik på at sikre kontinuiteten i bestyrelsens arbejde. Kommissionen og medlemsstaterne tilstræber at opnå en ligelig repræsentation af mænd og kvinder i bestyrelsen.
4.   Mandatperioden for medlemmer af bestyrelsen og deres suppleanter er fire år. Perioden kan forlænges.
Artikel 7
Bestyrelsens formand
1.   Bestyrelsen vælger blandt sine medlemmer en formand og en næstformand for en periode på tre år, der kan fornyes. Næstformanden træder uden videre i stedet for formanden, hvis denne er forhindret i at udøve sit hverv.
2.   Formanden kan indbydes til at give en redegørelse over for Europa-Parlamentets relevante udvalg og besvare spørgsmål fra medlemmerne.
Artikel 8
Møder
1.   Formanden indkalder til bestyrelsesmøder.
2.   Bestyrelsen afholder ordinært møde mindst én gang om året. Den afholder endvidere ekstraordinære møder efter anmodning fra formanden eller mindst en tredjedel af medlemmerne.
3.   Den administrerende direktør deltager uden stemmeret i bestyrelsens møder.
Artikel 9
Afstemning
1.   Bestyrelsen træffer afgørelse med absolut flertal blandt sine medlemmer.
2.   Der kræves et flertal på to tredjedele af bestyrelsens medlemmer for at vedtage bestyrelsens forretningsorden og agenturets interne forretningsgange, budgettet og det årlige og flerårige arbejdsprogram, for at udnævne og afskedige den administrerende direktør eller forlænge dennes mandatperiode og for at udpege formanden for bestyrelsen.
Artikel 10
Forretningsudvalget
1.   Bestyrelsen bistås af et forretningsudvalg.
2.   Forretningsudvalget forbereder udelukkende afgørelser om administrative og budgetmæssige spørgsmål, der skal vedtages af bestyrelsen.
I samarbejde med bestyrelsen sikrer forretningsudvalget passende opfølgning på de resultater og henstillinger, der stammer fra undersøgelser foretaget af OLAF og fra forskellige interne eller eksterne audit- og evalueringsrapporter.
Uden at det berører den administrerende direktørs ansvar, jf. artikel 11, bistår forretningsudvalget den administrerende direktør i gennemførelsen af bestyrelsens afgørelser vedrørende administrative og budgetmæssige spørgsmål.
3.   Forretningsudvalget består af fem medlemmer, der udpeges blandt medlemmerne af bestyrelsen, heriblandt formanden for bestyrelsen, der også kan være formand for forretningsudvalget, og en af repræsentanterne for Kommissionen.
4.   Mandatperioden for medlemmerne af forretningsudvalget er den samme som den i artikel 6, stk. 4, fastsatte for medlemmerne af bestyrelsen.
5.   Forretningsudvalget mødes mindst én gang hver tredje måned. Formanden for forretningsudvalget indkalder til yderligere møder efter anmodning fra udvalgets medlemmer.
Artikel 11
Den administrerende direktørs opgaver
1.   Agenturet ledes af den administrerende direktør, som varetager sit hverv i uafhængighed.
2.   Den administrerende direktør er ansvarlig for:
a)
den daglige ledelse af agenturet
b)
gennemførelse af de beslutninger, der træffes af bestyrelsen
c)
udarbejdelse, efter samråd med bestyrelsen, af det årlige arbejdsprogram og det flerårige arbejdsprogram og forelæggelse heraf for bestyrelsen efter høring af Kommissionen
d)
gennemførelse af det årlige arbejdsprogram og det flerårige arbejdsprogram og aflæggelse af rapport til bestyrelsen om gennemførelsen heraf
e)
udarbejdelse af årsberetningen om agenturets virksomhed og forelæggelse heraf for bestyrelsen til godkendelse
f)
udarbejdelse af en handlingsplan til opfølgning af konklusionerne fra efterfølgende evalueringer og aflæggelse af en statusrapport til Kommissionen hvert andet år
g)
beskyttelse af Unionens finansielle interesser gennem forholdsregler til forebyggelse af svig, korruption og enhver anden ulovlig aktivitet, gennem effektiv kontrol og, hvis der konstateres uregelmæssigheder, gennem inddrivelse af uretmæssigt udbetalte beløb, og om nødvendigt gennem administrative og finansielle sanktioner, der er effektive og forholdsmæssige og har en afskrækkende virkning
h)
udarbejdelse af agenturets strategi for bekæmpelse af svig og forelæggelse heraf for bestyrelsen til godkendelse
i)
sikring af, at agenturet gennemfører sine aktiviteter i overensstemmelse med brugernes krav, navnlig med hensyn til ydelsernes tilstrækkelighed
j)
etablering og opretholdelse af forbindelser med Unionens institutioner, organer, kontorer og agenturer
k)
etablering og opretholdelse af kontakt med erhvervslivet og forbrugerorganisationer med henblik på at sikre en løbende dialog med de relevante interessenter
l)
andre opgaver, som den administrerende direktør pålægges ved denne forordning.
3.   Er det nødvendigt og i overensstemmelse med agenturets formål og opgaver, kan den administrerende direktør nedsætte ad hoc-arbejdsgrupper bestående af eksperter, bl.a. fra medlemsstaternes kompetente myndigheder. Bestyrelsen underrettes på forhånd herom. Procedurerne vedrørende især sammensætning, den administrerende direktørs udnævnelse af eksperterne og ad hoc-arbejdsgruppernes virke fastsættes i agenturets interne forretningsgange.
4.   Den administrerende direktør stiller administrativt personale og andre ressourcer til rådighed for bestyrelsen og forretningsudvalget, hvor det er nødvendigt.
Artikel 12
Den stående gruppe af interessenter
1.   På forslag af den administrerende direktør nedsætter bestyrelsen en stående gruppe af interessenter bestående af anerkendte eksperter, der repræsenterer de relevante interessenter såsom ikt-industrien, udbydere af elektroniske kommunikationsnet og -tjenester til offentligheden, forbrugergrupper, akademiske eksperter i net- og informationssikkerhed og repræsentanter for de nationale tilsynsmyndigheder, der er givet meddelelse om i henhold til direktiv 2002/21/EF, samt myndigheder med ansvar for retshåndhævelse og beskyttelse af privatlivets fred.
2.   Procedurerne vedrørende især antal og sammensætning samt bestyrelsens udnævnelse af medlemmerne af den stående gruppe af interessenter, den administrerende direktørs forslag samt arbejdsgangen i gruppen fastlægges i agenturets interne forretningsgange og offentliggøres.
3.   Den stående gruppe af interessenter ledes af den administrerende direktør eller af en person udpeget af den administrerende direktør på enkeltsagsbasis.
4.   Mandatperioden for medlemmerne af den stående gruppe af interessenter er to et halvt år. Medlemmer af bestyrelsen kan ikke være medlemmer af den stående gruppe af interessenter. Eksperter fra Kommissionen og medlemsstaterne har ret til at være til stede på møderne og deltage i arbejdet i den stående gruppe af interessenter. Repræsentanter for andre organer, som den administrerende direktør skønner er relevante, og som ikke er medlemmer af den stående gruppe af interessenter, kan indbydes til at være til stede på møderne og deltage i arbejdet i den stående gruppe af interessenter.
5.   Den stående gruppe af interessenter rådgiver agenturet med hensyn til udførelsen af dets aktiviteter. Den rådgiver navnlig den administrerende direktør om udarbejdelsen af forslag til agenturets arbejdsprogram samt om varetagelse af kommunikation med de relevante interessenter om alle spørgsmål, der vedrører arbejdsprogrammet.
AFSNIT 3
DRIFT
Artikel 13
Arbejdsprogram
1.   Agenturet udfører sine aktiviteter i overensstemmelse med det årlige og det flerårige arbejdsprogram, der skal indeholde alle planlagte aktiviteter.
2.   Arbejdsprogrammet skal indeholde skræddersyede præstationsindikatorer, der muliggør en effektiv evaluering af de resultater, der opnås i forhold til målene.
3.   Den administrerende direktør er ansvarlig for udarbejdelsen af agenturets arbejdsprogram efter forudgående samråd med Kommissionens tjenestegrene. Senest den 15. marts hvert år forelægger den administrerende direktør et udkast til det følgende års arbejdsprogram for bestyrelsen.
4.   Senest den 30. november hvert år vedtager bestyrelsen efter at have modtaget Kommissionens udtalelse agenturets arbejdsprogram for det følgende år. Arbejdsprogrammet skal omfatte et flerårigt perspektiv. Bestyrelsen sikrer, at arbejdsprogrammet er i overensstemmelse med agenturets formål og med Unionens lovgivningsmæssige og politiske prioriteter på området net- og informationssikkerhed.
5.   Arbejdsprogrammet tilrettelægges i overensstemmelse med princippet om aktivitetsbaseret forvaltning. Det skal være i overensstemmelse med overslaget over agenturets indtægter og udgifter og agenturets budget for samme regnskabsår.
6.   Den administrerende direktør fremsender efter bestyrelsens vedtagelse arbejdsprogrammet til Europa-Parlamentet, Rådet, Kommissionen og medlemsstaterne og offentliggør det. Efter indbydelse fra Europa-Parlamentets relevante udvalg skal den administrerende direktør forelægge og drøfte det vedtagne årlige arbejdsprogram.
Artikel 14
Anmodninger til agenturet
1.   Anmodninger om rådgivning og bistand, der ligger inden for agenturets formål og opgaver, rettes til den administrerende direktør og ledsages af baggrundsoplysninger om det emne, der skal behandles. Den administrerende direktør underretter bestyrelsen og forretningsudvalget om de modtagne anmodninger, de potentielle ressourcemæssige konsekvenser og efterfølgende om, hvordan der er fulgt op på anmodningerne. Afviser agenturet en anmodning, skal det begrunde afvisningen.
2.   Anmodninger i henhold til stk. 1 kan fremsættes af:
a)
Europa-Parlamentet
b)
Rådet
c)
Kommissionen
d)
ethvert kompetent organ udpeget af en medlemsstat såsom en national tilsynsmyndighed som defineret i artikel 2 i direktiv 2002/21/EF.
3.   Bestemmelser for anvendelsen af stk. 1 og 2 i praksis vedrørende navnlig forelæggelse, prioritering og opfølgning af anmodninger til agenturet samt orientering af bestyrelsen og forretningsudvalget fastsættes af bestyrelsen i agenturets interne forretningsgange.
Artikel 15
Interesseerklæring
1.   Medlemmerne af bestyrelsen, den administrerende direktør samt embedsmænd, der midlertidigt er stillet til rådighed af medlemsstaterne, afgiver hver især en loyalitetserklæring og en erklæring, hvori de anfører, hvorvidt der foreligger direkte eller indirekte interesser, der kan anses for at berøre deres uafhængighed. Erklæringerne skal være præcise og fuldstændige og afgives skriftligt hvert år og ajourføres, når det er nødvendigt.
2.   Medlemmerne af bestyrelsen, den administrerende direktør og eksterne eksperter, der deltager i ad hoc-arbejdsgrupper, skal hver især på præcis og fyldestgørende vis senest på hvert møde gøre opmærksom på eventuelle interesser, som kan anses for at berøre deres uafhængighed med hensyn til de punkter, der er på dagsordenen, og skal afholde sig fra at deltage i drøftelserne af og afstemningen om de pågældende punkter.
3.   Agenturet fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om interesseerklæringer gennemføres i praksis.
Artikel 16
Åbenhed
1.   Agenturet gennemfører sine aktiviteter med en høj grad af åbenhed og i overensstemmelse med artikel 17 og 18.
2.   Agenturet sikrer, at offentligheden og eventuelle interesserede parter får passende, objektive, pålidelige og let tilgængelige oplysninger, især vedrørende resultaterne af dets arbejde. Det offentliggør også interesseerklæringer afgivet i overensstemmelse med artikel 15.
3.   Bestyrelsen kan på forslag af den administrerende direktør give interesserede parter tilladelse til at følge procedurerne i forbindelse med nogle af agenturets aktiviteter.
4.   Agenturet fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om åbenhed gennemføres i praksis.
Artikel 17
Fortrolighed
1.   Med forbehold af artikel 18 må agenturet ikke til tredjemand videregive oplysninger, som det behandler eller modtager, og for hvilke der foreligger en begrundet begæring om, at de holdes helt eller delvist fortrolige.
2.   Medlemmerne af bestyrelsen, den administrerende direktør, medlemmerne af den stående gruppe af interessenter, eksterne eksperter, der deltager i ad hoc-arbejdsgrupperne, samt agenturets personale, herunder embedsmænd, der midlertidigt er stillet til rådighed af medlemsstaterne, skal, selv efter at deres hverv er ophørt, overholde forpligtelsen til fortrolighed som fastsat i artikel 339 i traktaten om Den Europæiske Unions funktionsmåde (TEUF).
3.   Agenturet fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om fortrolighed gennemføres i praksis.
4.   Bestyrelse beslutter, såfremt det er nødvendigt for udførelsen af agenturets opgaver, at tillade agenturet at behandle klassificerede oplysninger. I så fald vedtager bestyrelsen efter aftale med Kommissionens tjenestegrene interne forretningsgange baseret på sikkerhedsprincipperne i Kommissionens afgørelse 2001/844/EF, EKSF, Euratom af 29. november 2001 om ændring af dens forretningsorden 
(
19
)
. Disse forretningsgange skal blandt andet indeholde bestemmelser om udveksling, behandling og opbevaring af klassificerede oplysninger.
Artikel 18
Aktindsigt
1.   Forordning (EF) nr. 1049/2001 finder anvendelse på agenturets dokumenter.
2.   Bestyrelsen vedtager de praktiske gennemførelsesbestemmelser til forordning (EF) nr. 1049/2001 senest seks måneder efter, at agenturet er oprettet.
3.   De beslutninger, som agenturet træffer efter artikel 8 i forordning (EF) nr. 1049/2001, kan gøres til genstand for en klage til ombudsmanden i henhold til artikel 228 i TEUF eller en klage indbragt for Den Europæiske Unions Domstol i henhold til artikel 263 i TEUF.
AFSNIT 4
FINANSIELLE BESTEMMELSER
Artikel 19
Vedtagelse af budgettet
1.   Agenturets indtægter består af et bidrag fra Unionens budget, bidrag fra tredjelande, der deltager i agenturets arbejde i henhold til artikel 30, og frivillige bidrag fra medlemsstaterne i form af pengebeløb eller naturalier. Medlemsstater, der yder frivillige bidrag, kan ikke påberåbe sig nogen specifikke rettigheder eller tjenester som et resultat heraf.
2.   Agenturets udgifter omfatter udgifter til personale, administrativ og teknisk bistand, infrastruktur og driftsudgifter, samt udgifter som følge af kontrakter, der er indgået med tredjemand.
3.   Senest den 1. marts hvert år udarbejder den administrerende direktør et udkast til overslag over agenturets indtægter og udgifter for det følgende regnskabsår og forelægger det for bestyrelsen, ledsaget af et udkast til stillingsfortegnelse.
4.   Indtægter og udgifter skal balancere.
5.   Hvert år vedtager bestyrelsen på grundlag af udkastet til overslag over indtægter og udgifter fra den administrerende direktør et overslag over agenturets indtægter og udgifter for det kommende regnskabsår.
6.   Bestyrelsen fremsender senest den 31. marts hvert år dette overslag, der indeholder et udkast til stillingsfortegnelse og et udkast til arbejdsprogram, til Kommissionen og de tredjelande, som Unionen har indgået aftaler med i overensstemmelse med artikel 30.
7.   Kommissionen sender overslaget til Europa-Parlamentet og Rådet sammen med forslaget til Unionens almindelige budget.
8.   På grundlag af dette overslag opfører Kommissionen i forslaget til Unionens budget de overslag, den skønner nødvendige for stillingsfortegnelsen, og de tilskud, der ydes over det almindelige budget, og fremsender forslaget til Europa-Parlamentet og Rådet i overensstemmelse med artikel 314 i TEUF.
9.   Europa-Parlamentet og Rådet godkender bevillingerne til tilskuddet til agenturet.
10.   Europa-Parlamentet og Rådet vedtager agenturets stillingsfortegnelse.
11.   Bestyrelsen vedtager agenturets budget sammen med arbejdsprogrammet. Budgettet bliver endeligt efter den endelige vedtagelse af Unionens almindelige budget. Om nødvendigt afpasser bestyrelsen agenturets budget og dets arbejdsprogram i overensstemmelse med Unionens almindelige budget. Bestyrelsen sender straks budgettet til Europa-Parlamentet, Rådet og Kommissionen.
Artikel 20
Bekæmpelse af svig
1.   For at lette bekæmpelsen af svig, korruption og andre retsstridige handlinger i henhold til forordning (EF) nr. 1073/1999 
(
20
)
 tiltræder agenturet, senest seks måneder fra den dag, det bliver operationelt, den interinstitutionelle aftale af 25. maj 1999 om de interne undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) 
(
21
)
, og vedtager de nødvendige bestemmelser, som skal finde anvendelse på agenturets medarbejdere, ved anvendelse af den model, der findes i bilaget til nævnte aftale.
2.   Revisionsretten har beføjelse til gennem bilagskontrol og kontrol på stedet at kontrollere alle tilskudsmodtagere, kontrahenter og underkontrahenter, som har modtaget EU-midler fra agenturet.
3.   OLAF kan efter bestemmelserne og procedurerne i forordning (EF) nr. 1073/1999 og Rådets forordning (Euratom, EF) nr. 2185/96 af 11. november 1996 om Kommissionens kontrol og inspektion på stedet med henblik på beskyttelse af De Europæiske Fællesskabers finansielle interesser mod svig og andre uregelmæssigheder 
(
22
)
 foretage undersøgelser, herunder kontrol og inspektion på stedet, med henblik på at fastslå, om der er begået svig, korruption eller andre ulovlige aktiviteter, der berører Unionens finansielle interesser, i forbindelse med tilskud eller en kontrakt, der er finansieret af agenturet.
4.   Med forbehold af stk. 1, 2 og 3 skal samarbejdsaftaler med tredjelande og med internationale organisationer, kontrakter, aftaler om tilskud og afgørelser om ydelse af tilskud indeholde bestemmelser, der udtrykkeligt giver Revisionsretten og OLAF beføjelse til at foretage denne kontrol og undersøgelse i overensstemmelse med deres respektive beføjelser.
Artikel 21
Gennemførelse af budgettet
1.   Den administrerende direktør er ansvarlig for gennemførelsen af agenturets budget.
2.   Kommissionens interne revisor varetager i forhold til agenturet de samme funktioner, som er tildelt denne i forhold til Kommissionens tjenestegrene.
3.   Senest den 1. marts efter hvert afsluttet regnskabsår (1. marts år N + 1) sender agenturets regnskabsfører det foreløbige årsregnskab ledsaget af en beretning om budgetforvaltningen og den økonomiske forvaltning i regnskabsåret til Kommissionens regnskabsfører. Kommissionens regnskabsfører konsoliderer de foreløbige årsregnskaber for institutionerne og de decentraliserede organer i overensstemmelse med artikel 147 i finansforordningen.
4.   Senest den 31. marts år N + 1 sender Kommissionens regnskabsfører agenturets foreløbige årsregnskab ledsaget af beretningen om budgetforvaltningen og den økonomiske forvaltning i regnskabsåret til Revisionsretten. Beretningen om budgetforvaltningen og den økonomiske forvaltning fremsendes ligeledes til Europa-Parlamentet og Rådet.
5.   Ved modtagelsen af Revisionsrettens bemærkninger om agenturets foreløbige årsregnskab opstiller den administrerende direktør, i henhold til artikel 148 i finansforordningen, på eget ansvar agenturets endelige årsregnskab og sender det til bestyrelsen med henblik på udtalelse.
6.   Bestyrelsen afgiver udtalelse om agenturets endelige årsregnskab.
7.   Den administrerende direktør sender senest den 1. juli år N + 1 det endelige årsregnskab, herunder beretningen om budgetforvaltningen og den økonomiske forvaltning og Revisionsrettens bemærkninger, ledsaget af bestyrelsens udtalelse til Europa-Parlamentet, Rådet, Kommissionen og Revisionsretten.
8.   Den administrerende direktør offentliggør det endelige årsregnskab.
9.   Den administrerende direktør sender senest den 30. september år N + 1 Revisionsretten et svar på rettens bemærkninger og sender ligeledes en kopi af svaret til bestyrelsen.
10.   Den administrerende direktør forelægger alle de oplysninger, der er nødvendige for, at dechargeproceduren for det pågældende regnskabsår kan forløbe tilfredsstillende, for Europa-Parlamentet på dettes anmodning, jf. artikel 165, stk. 3, i finansforordningen.
11.   Efter henstilling fra Rådet meddeler Europa-Parlamentet inden den 15. maj i år N + 2 den administrerende direktør decharge for gennemførelsen af budgettet for regnskabsåret N.
AFSNIT 5
PERSONALE
Artikel 22
Generelle bestemmelser
Vedtægten for tjenestemænd og ansættelsesvilkårene for øvrige ansatte og de regler, som EU-institutionerne i fællesskab har vedtaget for anvendelsen af denne vedtægt og disse ansættelsesvilkår, gælder for agenturets personale.
Artikel 23
Privilegier og immuniteter
Protokol nr. 7 vedrørende Den Europæiske Unions privilegier og immuniteter, der er vedhæftet som bilag til traktaten om Den Europæiske Union og til TEUF, gælder for agenturet og dets personale.
Artikel 24
Den administrerende direktør
1.   Den administrerende direktør ansættes i en stilling som midlertidigt ansat ved agenturet i henhold til artikel 2, litra a), i ansættelsesvilkårene for øvrige ansatte.
2.   Den administrerende direktør udnævnes af bestyrelsen på grundlag af en liste over kandidater, som Kommissionen foreslår, efter en åben og gennemsigtig udvælgelsesprocedure.
Med henblik på indgåelsen af kontrakten med den administrerende direktør repræsenteres agenturet af formanden for bestyrelsen.
Før udnævnelsen indbydes den ansøger, bestyrelsen har valgt, til at afgive en redegørelse for Europa-Parlamentets relevante udvalg og besvare spørgsmål fra medlemmerne.
3.   Den administrerende direktørs mandatperiode er fem år. Ved udgangen af denne periode foretager Kommissionen en vurdering, der tager evalueringen af den administrerende direktørs resultater og agenturets fremtidige opgaver og udfordringer i betragtning.
4.   Bestyrelsen kan efter indstilling fra Kommissionen, der tager hensyn til den i stk. 3 omhandlede vurdering, og efter at have indhentet Europa-Parlamentets synspunkter forlænge den administrerende direktørs mandatperiode med højst fem år.
5.   Bestyrelsen underretter Europa-Parlamentet, hvis den har til hensigt at forlænge den administrerende direktørs mandatperiode. Inden for tre måneder inden forlængelsen af mandatperioden afgiver den administrerende direktør, såfremt denne indbydes hertil, en redegørelse for Europa-Parlamentets relevante udvalg og besvarer spørgsmål.
6.   En administrerende direktør, hvis mandatperiode er blevet forlænget, kan ikke deltage i endnu en udvælgelsesprocedure til den samme stilling.
7.   Den administrerende direktør kan kun afskediges i henhold til en afgørelse truffet af bestyrelsen.
Artikel 25
Udstationerede nationale eksperter og andet personale
1.   Agenturet kan gøre brug af udstationerede nationale eksperter og andet personale, der ikke er ansat af agenturet. Vedtægten for tjenestemænd og ansættelsesvilkårene for øvrige ansatte gælder ikke for sådanne ansatte.
2.   Bestyrelsen vedtager en afgørelse, der fastlægger regler for udstationering af nationale eksperter til agenturet.
AFSNIT 6
GENERELLE BESTEMMELSER
Artikel 26
Retlig status
1.   Agenturet er et EU-organ. Det har status som juridisk person.
2.   Agenturet har i hver medlemsstat den videstgående rets- og handleevne, som vedkommende stats lovgivning tillægger juridiske personer. Det kan i særdeleshed erhverve og afhænde fast ejendom og løsøre og optræde som part i retssager.
3.   Agenturet repræsenteres af sin administrerende direktør.
4.   For at forbedre agenturets operationelle effektivitet opretholdes der et filialkontor, som er etableret i Athens storbyområde.
Artikel 27
Erstatningsansvar
1.   Agenturets ansvar i kontraktforhold bestemmes efter den lovgivning, der finder anvendelse på den pågældende kontrakt.
Den Europæiske Unions Domstol har kompetence til at træffe afgørelse i henhold til en voldgiftsbestemmelse i en kontrakt, som agenturet har indgået.
2.   For så vidt angår ansvar uden for kontraktforhold, skal agenturet i overensstemmelse med de almindelige retsgrundsætninger, der er fælles for medlemsstaternes retssystemer, erstatte skader, der er forvoldt af agenturet eller af dets ansatte under udøvelsen af deres hverv.
Den Europæiske Unions Domstol har kompetence til at træffe afgørelse i tvister vedrørende sådanne skadeserstatninger.
3.   De ansattes personlige ansvar over for agenturet fastsættes i de ansættelsesvilkår, der gælder for agenturets personale.
Artikel 28
Sprog
1.   Forordning nr. 1 af 15. april 1958 om den ordning, der gælder for Det Europæiske Økonomiske Fællesskab på det sproglige område 
(
23
)
, gælder for agenturet. Medlemsstaterne og andre organer, der er udpeget af dem, kan henvende sig til agenturet og modtage svar på det af EU-institutionernes officielle sprog, de ønsker.
2.   De oversættelsesopgaver, der er påkrævet i forbindelse med agenturets virksomhed, udføres af Oversættelsescentret for Den Europæiske Unions Organer.
Artikel 29
Beskyttelse af personoplysninger
1.   For så vidt angår agenturets behandling af oplysninger vedrørende enkeltpersoner skal agenturet, navnlig når det udfører sine opgaver, overholde principperne om beskyttelse af personoplysninger og være underlagt bestemmelserne i forordning (EF) nr. 45/2001.
2.   Bestyrelsen vedtager gennemførelsesbestemmelser, som omhandlet i artikel 24, stk. 8, i forordning (EF) nr. 45/2001. Bestyrelsen kan vedtage supplerende foranstaltninger, der er nødvendige med henblik på agenturets anvendelse af forordning (EF) nr. 45/2001.
Artikel 30
Tredjelandes deltagelse
1.   Tredjelande, som har indgået aftaler med Den Europæiske Union, der indebærer, at de har indført og anvender EU-retsakter på de områder, der omfattes af denne forordning, kan deltage i agenturet.
2.   I de relevante bestemmelser i sådanne aftaler fastsættes de nærmere bestemmelser om bl.a. karakteren, omfanget og udformningen af disse landes deltagelse i agenturets arbejde, herunder bestemmelser om deltagelse i initiativer, der iværksættes af agenturet, samt med hensyn til finansielle bidrag og personale.
Artikel 31
Sikkerhedsregler for beskyttelse af klassificerede oplysninger
Agenturet anvender de sikkerhedsprincipper, der er indeholdt i Kommissionens sikkerhedsforskrifter til beskyttelse af EU-klassificerede oplysninger (EUCI) og følsomme ikke-klassificerede oplysninger, som fastsat i bilaget til afgørelse 2001/844/EF, EKSF, Euratom. Dette omfatter blandt andet bestemmelser om udveksling, behandling og opbevaring af sådanne oplysninger.
AFSNIT 7
AFSLUTTENDE BESTEMMELSER
Artikel 32
Evaluering og revision
1.   Senest den 20. juni 2018 bestiller Kommissionen en evaluering for navnlig at vurdere virkningen, effektiviteten og produktiviteten af agenturets arbejde og dets arbejdsmetoder. Der skal ved evalueringen endvidere tages stilling til et eventuelt behov for at ændre agenturets mandat og de finansielle virkninger af en sådan ændring.
2.   Evalueringen i stk. 1 skal tage hensyn til enhver tilbagemelding til agenturet som reaktion på dets aktiviteter.
3.   Kommissionen sender evalueringsrapporten og dens konklusioner til Europa-Parlamentet, Rådet og bestyrelsen. Resultaterne af evalueringen offentliggøres.
4.   Som en del af evalueringen skal der desuden foretages en vurdering af de resultater, som agenturet har opnået, set i lyset af dets formål, mandat og opgaver. Såfremt Kommissionen finder, at videreførelse af agenturet er begrundet under hensyntagen til dets mål, mandat og opgaver, kan den foreslå, at agenturets mandatperiode i henhold til artikel 36 forlænges.
Artikel 33
Værtsmedlemsstatens samarbejde
Agenturets værtsmedlemsstat sikrer de bedst mulige betingelser for, at agenturet kan fungere efter hensigten, herunder stedets tilgængelighed, tilbud om tilstrækkelige uddannelsesfaciliteter for personalets børn, tilstrækkelig adgang til arbejdsmarkedet, social sikring og lægebehandling for såvel børn som ægtefæller.
Artikel 34
Administrativ kontrol
Agenturets virke er underlagt ombudsmandens tilsyn i overensstemmelse med artikel 228 i TEUF.
Artikel 35
Ophævelse og afløsning
1.   Forordning (EF) nr. 460/2004 ophæves.
Henvisninger til forordning (EF) nr. 460/2004 og til ENISA betragtes som henvisninger til nærværende forordning og til agenturet.
2.   Agenturet afløser det agentur, der blev oprettet ved forordning (EF) nr. 460/2004, med hensyn til ethvert ejendomsforhold, enhver aftale, enhver retlig forpligtelse, enhver ansættelseskontrakt, enhver økonomisk forpligtelse og ethvert økonomisk ansvar.
Artikel 36
Varighed
Agenturet oprettes for en periode på syv år fra den 19. juni 2013.
Artikel 37
Ikrafttræden
Denne forordning træder i kraft dagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Strasbourg, den 21. maj 2013.
På Europa-Parlamentets vegne
M. SCHULZ
Formand
På Rådets vegne
L. CREIGHTON
Formand
(
1
)
  
            
EUT C 107 af 6.4.2011, s. 58
.
(
2
)
  Europa-Parlamentets holdning af 16.4.2013 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 13.5.2013.
(
3
)
  Afgørelse 2004/97/EF, Euratom truffet ved fælles aftale mellem repræsentanterne for medlemsstaterne, forsamlet på stats- og regeringschefniveau, den 13. december 2003 om fastlæggelse af hjemstedet for visse af Den Europæiske Unions kontorer og agenturer (
EUT L 29 af 3.2.2004, s. 15
).
(
4
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 460/2004 af 10. marts 2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed (
EUT L 77 af 13.3.2004, s. 1
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EF) Nr. 1007/2008 af 24. september 2008 om ændring af forordning (EF) nr. 460/2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed for så vidt angår agenturets mandatperiode (
EUT L 293 af 31.10.2008, s. 1
).
(
6
)
  Europa-Parlamentet og Rådet forordning (EU) nr. 580/2011 af 8. juni 2011 om oprettelse af et europæisk agentur for net- og informationssikkerhed for så vidt angår agenturets mandatperiode (
EUT L 165 af 24.6.2011, s. 3
).
(
7
)
  
            
EFT L 108 af 24.4.2002, s. 33
.
(
8
)
  
            
EFT L 201 af 31.7.2002, s. 37
.
(
9
)
  
            
EFT L 281 af 23.11.1995, s. 31
.
(
10
)
  
            
EFT L 108 af 24.4.2002, s. 51
.
(
11
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1211/2009 af 25. november 2009 om oprettelse af Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC) og dens støttekontor (
EUT L 337 af 18.12.2009, s. 1
).
(
12
)
  Europa-Parlamentets og Rådets direktiv 98/34/EF af 22. juni 1998 om en informationsprocedure med hensyn til tekniske standarder og forskrifter samt forskrifter for informationssamfundets tjenester (
EFT L 204 af 21.7.1998, s. 37
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012 af 25. oktober 2012 om de finansielle regler vedrørende Unionens almindelige budget og om ophævelse af Rådets forordning (EF, Euratom) nr. 1605/2002 (
EUT L 298 af 26.10.2012, s. 1
).
(
14
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (
EFT L 145 af 31.5.2001, s. 43
).
(
15
)
  
            
EFT L 8 af 12.1.2001, s. 1
.
(
16
)
  
            
EUT C 101 af 1.4.2011, s. 20
.
(
17
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
18
)
  
            
EFT L 357 af 31.12.2002, s. 72
.
(
19
)
  
            
EFT L 317 af 3.12.2001, s. 1
.
(
20
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1073/1999 af 25.maj1999 om undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) (
EFT L 136 af 31.5.1999, s. 1
).
(
21
)
  Interinstitutionel aftale af 25. maj 1999 mellem Europa-Parlamentet, Rådet for Den Europæiske Union og Kommissionen for De Europæiske Fællesskaber om de interne undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) (
EFT L 136 af 31.5.1999, s. 15
)
(
22
)
  
            
EFT L 292 af 15.11.1996, s. 2
.
(
23
)
  
            
EFT 17 af 6.10.1958, s. 385/58
.

Summary:
ENISA -Den Europæiske Unions Agentur for Net- og Informationssikkerhed
Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA) blev oprettet i marts 2004. Denne forordning forlænger agenturets mandat til 2020 og styrker dets evne til at tackle cyberangreb og andre informationssikkerhedsproblemer.
DOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
nr. 526/2013
 om Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA) og om ophævelse af forordning (EF) nr. 460/2004.
RESUMÉ
ENISA begyndte sit arbejde på Kreta i 2005. Agenturet har mandat til at:
bidrage til et højt net- og informationssikkerhedsniveau i EU
hæve oplysningsniveauet om relevante problemstillinger
udvikle og fremme en sikkerhedsorienteret kultur til gavn for borgerne, forbrugerne, virksomhederne og den offentlige sektors organisationer.
Igennem dette arbejde bidrager det til at sikre det indre markeds korrekte funktion.
Agenturets nye mandat trådte i kraft den 13. september 2013. I forordningen fastlægges agenturets opgaver:
Det skal 
støtte udviklingen af EU's politik og lovgivning
 ved at rådgive i alle spørgsmål vedrørende politik og lovgivning om net- og informationssikkerhed, foretage forberedende arbejde, rådgivning og analyser og fremme offentliggørelsen af offentligt tilgængelige strategier.
Det skal 
støtte kapacitetsopbygningen
 ved at støtte medlemsstaterne, på deres anmodning, og EU-institutionerne i deres bestræbelser på at udvikle og forbedre forebyggelse, opdagelse og analyse af net- og informationssikkerhedsproblemer. Dette omfatter støtte til oprettelsen af it-beredskabsenheder (CERT'er) og til udviklingen af et EU-system for tidlig varsling.
Det skal 
støtte frivilligt samarbejde
 mellem de kompetente offentlige organer og interessenter, herunder universiteter og forskningscentre, og fremme bevidstgørelsen.
Det skal 
støtte forskning og udvikling samt standardisering
 ved hjælp af internationale standarder for risikostyring og sikkerhed i elektroniske produkter, net og tjenesteydelser.
Det skal samarbejde med EU's institutioner og organer, herunder dem, der beskæftiger sig med 
internetkriminalitet og beskyttelse af privatlivets fred og personoplysninger
, med henblik på at udvikle synergier og behandle spørgsmål af fælles interesse.
Det skal bidrage til EU's indsats for 
at samarbejde med tredjelande og internationale organisationer
 om net- og informationssikkerhed.
Forordningen fastlægger, at agenturet består af en administrerende direktør, personale, en stående gruppe af interessenter og en bestyrelse, som fastlægger de overordnede retningslinjer for agenturets drift. Ved den nye forordning er der desuden blevet nedsat et forretningsudvalg.
REFERENCER
Dokument
Ikrafttrædelsesdato
Gennemførelsesdato i medlemsstaterne
Den Europæiske Unions Tidende
Forordning (EU) 
nr. 526/2013
19.6.2013
-
EUT L 165 af 18.6.2013
Seneste ajourføring: 06.04.2014