CELEX ID: 32019R0881

--- ENGLISH ---

Document:
7.6.2019
EN
Official Journal of the European Union
L 151/15
REGULATION (EU) 2019/881 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 17 April 2019
on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act)
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Having regard to the opinion of the Committee of the Regions 
(
2
)
,
Acting in accordance with the ordinary legislative procedure 
(
3
)
,
Whereas:
(1)
Network and information systems and electronic communications networks and services play a vital role in society and have become the backbone of economic growth. Information and communications technology (ICT) underpins the complex systems which support everyday societal activities, keep our economies running in key sectors such as health, energy, finance and transport, and, in particular, support the functioning of the internal market.
(2)
The use of network and information systems by citizens, organisations and businesses across the Union is now pervasive. Digitisation and connectivity are becoming core features in an ever growing number of products and services and with the advent of the internet of Things (IoT) an extremely high number of connected digital devices are expected to be deployed across the Union during the next decade. While an increasing number of devices is connected to the internet, security and resilience are not sufficiently built in by design, leading to insufficient cybersecurity. In that context, the limited use of certification leads to individual, organisational and business users having insufficient information about the cybersecurity features of ICT products, ICT services and ICT processes, which undermines trust in digital solutions. Network and information systems are capable of supporting all aspects of our lives and drive the Union’s economic growth. They are the cornerstone for achieving the digital single market.
(3)
Increased digitisation and connectivity increase cybersecurity risks, thus making society as a whole more vulnerable to cyber threats and exacerbating the dangers faced by individuals, including vulnerable persons such as children. In order to mitigate those risks, all necessary actions need to be taken to improve cybersecurity in the Union so that network and information systems, communications networks, digital products, services and devices used by citizens, organisations and businesses – ranging from small and medium-sized enterprises (SMEs), as defined in Commission Recommendation 2003/361/EC 
(
4
)
, to operators of critical infrastructure – are better protected from cyber threats.
(4)
By making the relevant information available to the public, the European Union Agency for Network and Information Security (ENISA), as established by Regulation (EU) No 526/2013 of the European Parliament and of the Council 
(
5
)
 contributes to the development of the cybersecurity industry in the Union, in particular SMEs and start-ups. ENISA should strive for closer cooperation with universities and research entities in order to contribute to reducing dependence on cybersecurity products and services from outside the Union and to reinforce supply chains inside the Union.
(5)
Cyberattacks are on the increase and a connected economy and society that is more vulnerable to cyber threats and attacks requires stronger defences. However, while cyberattacks often take place across borders, the competence of, and policy responses by, cybersecurity and law enforcement authorities are predominantly national. Large-scale incidents could disrupt the provision of essential services across the Union. This necessitates effective and coordinated responses and crisis management at Union level, building on dedicated policies and wider instruments for European solidarity and mutual assistance. Moreover, a regular assessment of the state of cybersecurity and resilience in the Union, based on reliable Union data, as well as systematic forecasts of future developments, challenges and threats, at Union and global level, are important for policy makers, industry and users.
(6)
In light of the increased cybersecurity challenges faced by the Union, there is a need for a comprehensive set of measures that would build on previous Union action and would foster mutually reinforcing objectives. Those objectives include further increasing the capabilities and preparedness of Member States and businesses, as well as improving cooperation, information sharing and coordination across Member States and Union institutions, bodies, offices and agencies. Furthermore, given the borderless nature of cyber threats, there is a need to increase capabilities at Union level that could complement the action of Member States, in particular in cases of large-scale cross-border incidents and crises, while taking into account the importance of maintaining and further enhancing the national capabilities to respond to cyber threats of all scales.
(7)
Additional efforts are also needed to increase citizens’, organisations’ and businesses’ awareness of cybersecurity issues. Moreover, given that incidents undermine trust in digital service providers and in the digital single market itself, especially among consumers, trust should be further strengthened by offering information in a transparent manner on the level of security of ICT products, ICT services and ICT processes that stresses that even a high level of cybersecurity certification cannot guarantee that an ICT product, ICT service or ICT process is completely secure. An increase in trust can be facilitated by Union-wide certification providing for common cybersecurity requirements and evaluation criteria across national markets and sectors.
(8)
Cybersecurity is not only an issue related to technology, but one where human behaviour is equally important. Therefore, ‘cyber-hygiene’, namely, simple, routine measures that, where implemented and carried out regularly by citizens, organisations and businesses, minimise their exposure to risks from cyber threats, should be strongly promoted.
(9)
For the purpose of strengthening Union cybersecurity structures, it is important to maintain and develop the capabilities of Member States to comprehensively respond to cyber threats, including to cross-border incidents.
(10)
Businesses and individual consumers should have accurate information regarding the assurance level with which the security of their ICT products, ICT services and ICT processes has been certified. At the same time, no ICT product or ICT service is wholly cyber-secure and basic rules of cyber-hygiene have to be promoted and prioritised. Given the growing availability of IoT devices, there is a range of voluntary measures that the private sector can take to reinforce trust in the security of ICT products, ICT services and ICT processes.
(11)
Modern ICT products and systems often integrate and rely on one or more third-party technologies and components such as software modules, libraries or application programming interfaces. This reliance, which is referred to as a ‘dependency’, could pose additional cybersecurity risks as vulnerabilities found in third-party components could also affect the security of the ICT products, ICT services and ICT processes. In many cases, identifying and documenting such dependencies enables end users of ICT products, ICT services and ICT processes to improve their cybersecurity risk management activities by improving, for example, users’ cybersecurity vulnerability management and remediation procedures.
(12)
Organisations, manufacturers or providers involved in the design and development of ICT products, ICT services or ICT processes should be encouraged to implement measures at the earliest stages of design and development to protect the security of those products, services and processes to the highest possible degree, in such a way that the occurrence of cyberattacks is presumed and their impact is anticipated and minimised (‘security-by-design’). Security should be ensured throughout the lifetime of the ICT product, ICT service or ICT process by design and development processes that constantly evolve to reduce the risk of harm from malicious exploitation.
(13)
Undertakings, organisations and the public sector should configure the ICT products, ICT services or ICT processes designed by them in a way that ensures a higher level of security which should enable the first user to receive a default configuration with the most secure settings possible (‘security by default’), thereby reducing the burden on users of having to configure an ICT product, ICT service or ICT process appropriately. Security by default should not require extensive configuration or specific technical understanding or non-intuitive behaviour on the part of the user, and should work easily and reliably when implemented. If, on a case-by-case basis, a risk and usability analysis leads to the conclusion that such a setting by default is not feasible, users should be prompted to opt for the most secure setting.
(14)
Regulation (EC) No 460/2004 of the European Parliament and of the Council 
(
6
)
 established ENISA with the purposes of contributing to the goals of ensuring a high and effective level of network and information security within the Union, and developing a culture of network and information security for the benefit of citizens, consumers, enterprises and public administrations. Regulation (EC) No 1007/2008 of the European Parliament and of the Council 
(
7
)
 extended ENISA’s mandate until March 2012. Regulation (EU) No 580/2011 of the European Parliament and of the Council 
(
8
)
 further extended ENISA’s mandate until 13 September 2013. Regulation (EU) No 526/2013 extended ENISA’s mandate until 19 June 2020.
(15)
The Union has already taken important steps to ensure cybersecurity and to increase trust in digital technologies. In 2013, the Cybersecurity Strategy of the European Union was adopted to guide the Union’s policy response to cyber threats and risks. In an effort to better protect citizens online, the Union’s first legal act in the field of cybersecurity was adopted in 2016 in the form of Directive (EU) 2016/1148 of the European Parliament and of the Council 
(
9
)
. Directive (EU) 2016/1148 put in place requirements concerning national capabilities in the field of cybersecurity, established the first mechanisms to enhance strategic and operational cooperation between Member States, and introduced obligations concerning security measures and incident notifications across sectors which are vital for the economy and society, such as energy, transport, drinking water supply and distribution, banking, financial market infrastructures, healthcare, digital infrastructure as well as key digital service providers (search engines, cloud computing services and online marketplaces).
A key role was attributed to ENISA in supporting the implementation of that Directive. In addition, fighting effectively against cybercrime is an important priority in the European Agenda on Security, contributing to the overall aim of achieving a high level of cybersecurity. Other legal acts such as Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
10
)
 and Directives 2002/58/EC 
(
11
)
 and (EU) 2018/1972 
(
12
)
 of the European Parliament and of the Council also contribute to a high level of cybersecurity in the digital single market.
(16)
Since the adoption of the Cybersecurity Strategy of the European Union in 2013 and the last revision of ENISA’s mandate, the overall policy context has changed significantly as the global environment has become more uncertain and less secure. Against that background and in the context of the positive development of the role of ENISA as a reference point for advice and expertise, as a facilitator of cooperation and of capacity-building as well as within the framework of the new Union cybersecurity policy, it is necessary to review ENISA’s mandate, to establish its role in the changed cybersecurity ecosystem and to ensure that it contributes effectively to the Union’s response to cybersecurity challenges emanating from the radically transformed cyber threat landscape, for which, as recognised during the evaluation of ENISA, the current mandate is not sufficient.
(17)
ENISA as established by this Regulation should succeed ENISA as established by Regulation (EU) No 526/2013. ENISA should carry out the tasks conferred on it by this Regulation and other legal acts of the Union in the field of cybersecurity, among other things, by providing advice and expertise and by acting as a Union centre of information and knowledge. It should promote the exchange of best practices between Member States and private stakeholders, offer policy suggestions to the Commission and the Member States, act as a reference point for Union sectoral policy initiatives with regard to cybersecurity matters, and foster operational cooperation, both between Member States and between the Member States and Union institutions, bodies, office and agencies.
(18)
Within the framework of Decision 2004/97/EC, Euratom taken by common agreement between the Representatives of the Member States, meeting at Head of State or Government level 
(
13
)
, the representatives of the Member States decided that ENISA would have its seat in a town in Greece to be determined by the Greek Government. ENISA’s host Member State should ensure the best possible conditions for the smooth and efficient operation of ENISA. It is imperative for the proper and efficient performance of its tasks, for staff recruitment and retention and for enhancing the efficiency of networking activities that ENISA be based in an appropriate location, among other things providing appropriate transport connections and facilities for spouses and children accompanying members of staff of ENISA. The necessary arrangements should be laid down in an agreement between ENISA and the host Member State concluded after obtaining the approval of the Management Board of ENISA.
(19)
Given the increasing cybersecurity risks and challenges the Union is facing, the financial and human resources allocated to ENISA should be increased to reflect its enhanced role and tasks, and its critical position in the ecosystem of organisations defending the digital ecosystem of the Union, allowing ENISA to effectively carry out the tasks conferred on it by this Regulation.
(20)
ENISA should develop and maintain a high level of expertise and operate as a reference point, establishing trust and confidence in the single market by virtue of its independence, the quality of the advice it delivers, the quality of information it disseminates, the transparency of its procedures, the transparency of its methods of operation, and its diligence in carrying out its tasks. ENISA should actively support national efforts and should proactively contribute to Union efforts while carrying out its tasks in full cooperation with the Union institutions, bodies, offices and agencies and with the Member States, avoiding any duplication of work and promoting synergy. In addition, ENISA should build on input from and cooperation with the private sector as well as other relevant stakeholders. A set of tasks should establish how ENISA is to accomplish its objectives while allowing flexibility in its operations.
(21)
In order to be able to provide adequate support to the operational cooperation between Member States, ENISA should further strengthen its technical and human capabilities and skills. ENISA should increase its know-how and capabilities. ENISA and Member States, on a voluntary basis, could develop programmes for seconding national experts to ENISA, creating pools of experts and staff exchanges.
(22)
ENISA should assist the Commission by means of advice, opinions and analyses regarding all Union matters related to policy and law development, updates and reviews in the field of cybersecurity and sector-specific aspects thereof in order to enhance the relevance of Union policies and laws with a cybersecurity dimension and to enable consistency in the implementation of those policies and laws at national level. ENISA should act as a reference point for advice and expertise for Union sector-specific policy and law initiatives where matters related to cybersecurity are involved. ENISA should regularly inform the European Parliament about its activities.
(23)
The public core of the open internet, namely its main protocols and infrastructure, which are a global public good, provides the essential functionality of the internet as a whole and underpins its normal operation. ENISA should support the security of the public core of the open internet and the stability of its functioning, including, but not limited to, key protocols (in particular DNS, BGP, and IPv6), the operation of the domain name system (such as the operation of all top-level domains), and the operation of the root zone.
(24)
The underlying task of ENISA is to promote the consistent implementation of the relevant legal framework, in particular the effective implementation of Directive (EU) 2016/1148 and other relevant legal instruments containing cybersecurity aspects, which is essential to increasing cyber resilience. In light of the fast evolving cyber threat landscape, it is clear that Member States have to be supported by more comprehensive, cross-policy approach to building cyber resilience.
(25)
ENISA should assist the Member States and Union institutions, bodies, offices and agencies in their efforts to build and enhance capabilities and preparedness to prevent, detect and respond to cyber threats and incidents and in relation to the security of network and information systems. In particular, ENISA should support the development and enhancement of national and Union computer security incident response teams (‘CSIRTs’) provided for in Directive (EU) 2016/1148, with a view to achieving a high common level of their maturity in the Union. Activities carried out by ENISA relating to the operational capacities of Member States should actively support actions taken by Member States to comply with their obligations under Directive (EU) 2016/1148 and therefore should not supersede them.
(26)
ENISA should also assist with the development and updating of strategies on the security of network and information systems at Union level and, upon request, at Member State level, in particular on cybersecurity, and should promote the dissemination of such strategies and follow the progress of their implementation. ENISA should also contribute to covering the need for training and training materials, including the needs of public bodies, and where appropriate, to a high extent, ‘train the trainers’, building on the Digital Competence Framework for Citizens with a view to assisting Member States and Union institutions, bodies, offices and agencies in developing their own training capabilities.
(27)
ENISA should support Member States in the field of cybersecurity awareness-raising and education by facilitating closer coordination and the exchange of best practices between Member States. Such support could consist in the development of a network of national education points of contact and the development of a cybersecurity training platform. The network of national education points of contact could operate within the National Liaison Officers Network and be a starting point for future coordination within the Members States.
(28)
ENISA should assist the Cooperation Group created by Directive (EU) 2016/1148 in the execution of its tasks, in particular by providing expertise, advice and by facilitating the exchange of best practices, inter alia, with regard to the identification of operators of essential services by Member States, as well as in relation to cross-border dependencies, regarding risks and incidents.
(29)
With a view to stimulating cooperation between the public and private sector and within the private sector, in particular to support the protection of the critical infrastructures, ENISA should support information sharing within and among sectors, in particular the sectors listed in Annex II to Directive (EU) 2016/1148, by providing best practices and guidance on available tools and on procedure, as well as by providing guidance on how to address regulatory issues related to information sharing, for example through facilitating the establishment of sectoral information sharing and analysis centres.
(30)
Whereas the potential negative impact of vulnerabilities in ICT products, ICT services and ICT processes is constantly increasing, finding and remedying such vulnerabilities plays an important role in reducing the overall cybersecurity risk. Cooperation between organisations, manufacturers or providers of vulnerable ICT products, ICT services and ICT processes and members of the cybersecurity research community and governments who find vulnerabilities has been proven to significantly increase both the rate of discovery and the remedy of vulnerabilities in ICT products, ICT services and ICT processes. Coordinated vulnerability disclosure specifies a structured process of cooperation in which vulnerabilities are reported to the owner of the information system, allowing the organisation the opportunity to diagnose and remedy the vulnerability before detailed vulnerability information is disclosed to third parties or to the public. The process also provides for coordination between the finder and the organisation as regards the publication of those vulnerabilities. Coordinated vulnerability disclosure policies could play an important role in Member States’ efforts to enhance cybersecurity.
(31)
ENISA should aggregate and analyse voluntarily shared national reports from CSIRTs and the inter-institutional computer emergency response team for the Union’s institutions, bodies and agencies established by the Arrangement between the European Parliament, the European Council, the Council of the European Union, the European Commission, the Court of Justice of the European Union, the European Central Bank, the European Court of Auditors, the European External Action Service, the European Economic and Social Committee, the European Committee of the Regions and the European Investment Bank on the organisation and operation of a computer emergency response team for the Union’s institutions, bodies and agencies (CERT-EU) 
(
14
)
 in order to contribute to the setting up of common procedures, language and terminology for the exchange of information. In that context ENISA should involve the private sector within the framework of Directive (EU) 2016/1148 which lays down the grounds for the voluntary exchange of technical information at the operational level, in the computer security incident response teams network (‘CSIRTs network’) created by that Directive.
(32)
ENISA should contribute to responses at Union level in the case of large-scale cross-border incidents and crises related to cybersecurity. That task should be performed in accordance with ENISA’s mandate under this Regulation and an approach to be agreed by Member States in the context of Commission Recommendation (EU) 2017/1584 
(
15
)
 and the Council conclusions of 26 June 2018 on EU Coordinated Response to Large-Scale Cybersecurity Incidents and Crises. That task could include gathering relevant information and acting as a facilitator between the CSIRTs network and the technical community, as well as between decision makers responsible for crisis management. Furthermore, ENISA should support operational cooperation among Member States, where requested by one or more Member States, in the handling of incidents from a technical perspective, by facilitating relevant exchanges of technical solutions between Member States, and by providing input into public communications. ENISA should support operational cooperation by testing the arrangements for such cooperation through regular cybersecurity exercises.
(33)
In supporting operational cooperation, ENISA should make use of the available technical and operational expertise of CERT-EU through structured cooperation. Such structured cooperation could build on ENISA’s expertise. Where appropriate, dedicated arrangements between the two entities should be established to define the practical implementation of such cooperation and to avoid the duplication of activities.
(34)
In performing its task to support operational cooperation within the CSIRTs network, ENISA should be able to provide support to Member States at their request, such as by providing advice on how to improve their capabilities to prevent, detect and respond to incidents, by facilitating the technical handling of incidents having a significant or substantial impact or by ensuring that cyber threats and incidents are analysed. ENISA should facilitate the technical handling of incidents having a significant or substantial impact in particular by supporting the voluntary sharing of technical solutions between Member States or by producing combined technical information, such as technical solutions voluntarily shared by the Member States. Recommendation (EU) 2017/1584 recommends that Member States cooperate in good faith and share among themselves and with ENISA information on large-scale incidents and crises related to cybersecurity without undue delay. Such information would further help ENISA in performing its task of supporting operational cooperation.
(35)
As part of the regular cooperation at technical level to support Union situational awareness, ENISA, in close cooperation with the Member States, should prepare a regular in-depth EU Cybersecurity Technical Situation Report on incidents and cyber threats, based on publicly available information, its own analysis and reports shared with it by Member States’ CSIRTs or the national single points of contact on the security of network and information systems (‘single points of contact’) provided for in Directive (EU) 2016/1148, both on a voluntary basis, the European Cybercrime Centre (EC3) at Europol, CERT-EU and, where appropriate, the European Union Intelligence and Situation Centre (EU INTCEN) at the European External Action Service. That report should be made available to the Council, the Commission, the High Representative of the Union for Foreign Affairs and Security Policy and the CSIRTs network.
(36)
The support by ENISA for 
ex-post
 technical inquiries of incidents having a significant or substantial impact undertaken at the request of the Member States concerned should focus on the prevention of future incidents. The Member States concerned should provide the necessary information and assistance in order to enable ENISA to support the 
ex-post
 technical inquiry effectively.
(37)
Member States may invite the undertakings concerned by the incident to cooperate by providing necessary information and assistance to ENISA without prejudice to their right to protect commercially sensitive information and information that is relevant to public security.
(38)
To understand better the challenges in the area of cybersecurity, and with a view to providing strategic long-term advice to Member States and Union institutions, bodies, offices and agencies, ENISA needs to analyse current and emerging cybersecurity risks. For that purpose, ENISA should, in cooperation with Member States and, as appropriate, with statistical bodies and other bodies, collect relevant publicly available or voluntarily shared information and perform analyses of emerging technologies and provide topic-specific assessments on the expected societal, legal, economic and regulatory impact of technological innovations on network and information security, in particular cybersecurity. ENISA should, furthermore, support Member States and Union institutions, bodies, offices and agencies in identifying emerging cybersecurity risks and preventing incidents, by performing analyses of cyber threats, vulnerabilities and incidents.
(39)
In order to increase the resilience of the Union, ENISA should develop expertise in the field of cybersecurity of infrastructures, in particular to support the sectors listed in Annex II to Directive (EU) 2016/1148 and those used by the providers of the digital services listed in Annex III to that Directive, by providing advice, issuing guidelines and exchanging best practices. With a view to ensuring easier access to better-structured information on cybersecurity risks and possible remedies, ENISA should develop and maintain the ‘information hub’ of the Union, a one-stop-shop portal providing the public with information on cybersecurity originating in Union and national institutions, bodies, offices and agencies. Facilitating access to better-structured information on cybersecurity risks and possible remedies could also help Member States bolster their capacities and align their practices, thus increasing their overall resilience to cyberattacks.
(40)
ENISA should contribute to raising the public’s awareness of cybersecurity risks, including through an EU-wide awareness-raising campaign by promoting education, and to providing guidance on good practices for individual users aimed at citizens, organisations and businesses. ENISA should also contribute to promoting best practices and solutions, including cyber-hygiene and cyber-literacy at the level of citizens, organisations and businesses by collecting and analysing publicly available information regarding significant incidents, and by compiling and publishing reports and guidance for citizens, organisations and businesses, to improve their overall level of preparedness and resilience. ENISA should also strive to provide consumers with relevant information on applicable certification schemes, for example by providing guidelines and recommendations. ENISA should furthermore organise, in line with the Digital Education Action Plan established in the Commission Communication of 17 January 2018 and in cooperation with the Member States and Union institutions, bodies, offices and agencies regular outreach and public education campaigns directed at end users, to promote safer online behaviour by individuals and digital literacy, to raise awareness of potential cyber threats, including online criminal activities such as phishing attacks, botnets, financial and banking fraud, data fraud incidents, and to promote basic multi-factor authentication, patching, encryption, anonymisation and data protection advice.
(41)
ENISA should play a central role in accelerating end-user awareness of the security of devices and the secure use of services, and should promote security-by-design and privacy-by-design at Union level. In pursuing that objective, ENISA should make use of available best practices and experience, especially the best practices and experience of academic institutions and IT security researchers.
(42)
In order to support the businesses operating in the cybersecurity sector, as well as the users of cybersecurity solutions, ENISA should develop and maintain a ‘market observatory’ by performing regular analyses and disseminating information on the main trends in the cybersecurity market, on both the demand and supply sides.
(43)
ENISA should contribute to the Union’s efforts to cooperate with international organisations as well as within relevant international cooperation frameworks in the field of cybersecurity. In particular, ENISA should contribute, where appropriate, to cooperation with organisations such as the OECD, the OSCE and NATO. Such cooperation could include joint cybersecurity exercises and joint incident response coordination. Those activities are to be carried out in full respect of the principles of inclusiveness, reciprocity and the decision-making autonomy of the Union, without prejudice to the specific character of the security and defence policy of any Member State.
(44)
In order to ensure that it fully achieves its objectives, ENISA should liaise with the relevant Union supervisory authorities and with other competent authorities in the Union, Union institutions, bodies, offices and agencies, including CERT-EU, EC3, the European Defence Agency (EDA), the European Global Navigation Satellite Systems Agency (European GNSS Agency), the Body of European Regulators for Electronic Communications (BEREC), the European Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA), the European Central Bank (ECB), the European Banking Authority (EBA), the European Data Protection Board, the Agency for the Cooperation of Energy Regulators (ACER), the European Union Aviation Safety Agency (EASA) and any other Union agency involved in cybersecurity. ENISA should also liaise with authorities that deal with data protection in order to exchange know-how and best practices and should provide advice on cybersecurity issues that might have an impact on their work. Representatives of national and Union law enforcement and data protection authorities should be eligible to be represented in the ENISA Advisory Group. In liaising with law enforcement authorities regarding network and information security issues that might have an impact on their work, ENISA should respect existing channels of information and established networks.
(45)
Partnerships could be established with academic institutions that have research initiatives in relevant fields, and there should be appropriate channels for input from consumer organisations and other organisations, which should be taken into consideration.
(46)
ENISA, in its role as the secretariat of the CSIRTs network, should support Member States’ CSIRTs and the CERT-EU in the operational cooperation in relation to the relevant tasks of the CSIRTs network, as referred to in Directive (EU) 2016/1148. Furthermore, ENISA should promote and support cooperation between the relevant CSIRTs in the event of incidents, attacks or disruptions of networks or infrastructure managed or protected by the CSIRTs and involving or being capable of involving at least two CSIRTs while taking due account of the Standard Operating Procedures of the CSIRTs network.
(47)
With a view to increasing Union preparedness in responding to incidents, ENISA should regularly organise cybersecurity exercises at Union level, and, at their request, support Member States and Union institutions, bodies, offices and agencies in organising such exercises. Large-scale comprehensive exercises which include technical, operational or strategic elements should be organised on a biennial basis. In addition, ENISA should be able to regularly organise less comprehensive exercises with the same goal of increasing Union preparedness in responding to incidents.
(48)
ENISA should further develop and maintain its expertise on cybersecurity certification with a view to supporting the Union policy in that area. ENISA should build on existing best practices and should promote the uptake of cybersecurity certification within the Union, including by contributing to the establishment and maintenance of a cybersecurity certification framework at Union level (European cybersecurity certification framework) with a view to increasing the transparency of the cybersecurity assurance of ICT products, ICT services and ICT processes, thereby strengthening trust in the digital internal market and its competitiveness.
(49)
Efficient cybersecurity policies should be based on well-developed risk assessment methods, in both the public and private sectors. Risk assessment methods are used at different levels, with no common practice regarding how to apply them efficiently. Promoting and developing best practices for risk assessment and for interoperable risk management solutions in public-sector and private-sector organisations will increase the level of cybersecurity in the Union. To that end, ENISA should support cooperation between stakeholders at Union level and facilitate their efforts relating to the establishment and take-up of European and international standards for risk management and for the measurable security of electronic products, systems, networks and services which, together with software, comprise the network and information systems.
(50)
ENISA should encourage Member States, manufacturers or providers of ICT products, ICT services or ICT processes to raise their general security standards so that all internet users can take the necessary steps to ensure their own personal cybersecurity and should give incentives to do so. In particular, manufacturers and providers of ICT products, ICT services or ICT processes should provide any necessary updates and should recall, withdraw or recycle ICT products, ICT services or ICT processes that do not meet cybersecurity standards, while importers and distributors should make sure that the ICT products, ICT services and ICT processes they place on the Union market comply with the applicable requirements and do not present a risk to Union consumers.
(51)
In cooperation with competent authorities, ENISA should be able to disseminate information regarding the level of the cybersecurity of the ICT products, ICT services and ICT processes offered in the internal market, and should issue warnings targeting manufacturers or providers of ICT products, ICT services or ICT processes and requiring them to improve the security of their ICT products, ICT services and ICT processes, including the cybersecurity.
(52)
ENISA should take full account of the ongoing research, development and technological assessment activities, in particular those activities carried out by the various Union research initiatives to advise Union institutions, bodies, offices and agencies and where relevant, the Member States at their request, on research needs and priorities in the field of cybersecurity. In order to identify the research needs and priorities, ENISA should also consult the relevant user groups. More specifically, cooperation with the European Research Council, the European Institute for Innovation and Technology and the European Union Institute for Security Studies could be established.
(53)
ENISA should regularly consult standardisation organisations, in particular European standardisation organisations, when preparing the European cybersecurity certification schemes.
(54)
Cyber threats are a global issue. There is a need for closer international cooperation to improve cybersecurity standards, including the need for definitions of common norms of behaviour, the adoption of codes of conduct, the use of international standards, and information sharing, promoting swifter international collaboration in response to network and information security issues and promoting a common global approach to such issues. To that end, ENISA should support further Union involvement and cooperation with third countries and international organisations by providing the necessary expertise and analysis to the relevant Union institutions, bodies, offices and agencies, where appropriate.
(55)
ENISA should be able to respond to ad hoc requests for advice and assistance by Member States and Union institutions, bodies, offices and agencies on matters falling within ENISA’s mandate.
(56)
It is sensible and recommended to implement certain principles regarding the governance of ENISA in order to comply with the Joint Statement and Common Approach agreed upon in July 2012 by the Inter-Institutional Working Group on EU decentralised agencies, the purpose of which is to streamline the activities of decentralised agencies and improve their performance. The recommendations in the Joint Statement and Common Approach should also be reflected, as appropriate, in ENISA’s work programmes, evaluations of ENISA, and ENISA’s reporting and administrative practice.
(57)
The Management Board, composed of the representatives of the Member States and of the Commission, should establish the general direction of ENISA’s operations and ensure that it carries out its tasks in accordance with this Regulation. The Management Board should be entrusted with the powers necessary to establish the budget, verify the execution of the budget, adopt appropriate financial rules, establish transparent working procedures for decision making by ENISA, adopt ENISA’s single programming document, adopt its own rules of procedure, appoint the Executive Director and decide on the extension and termination of the Executive Director’s term of office.
(58)
In order for ENISA to function properly and effectively, the Commission and the Member States should ensure that persons to be appointed to the Management Board have appropriate professional expertise and experience. The Commission and the Member States should also make efforts to limit the turnover of their respective representatives on the Management Board in order to ensure continuity in its work.
(59)
The smooth functioning of ENISA requires that its Executive Director be appointed on grounds of merit and documented administrative and managerial skills, as well as competence and experience relevant to cybersecurity. The duties of the Executive Director should be carried out with complete independence. The Executive Director should prepare a proposal for ENISA’s annual work programme, after prior consultation with the Commission, and should take all steps necessary to ensure the proper implementation of that work programme. The Executive Director should prepare an annual report to be submitted to the Management Board, covering the implementation of ENISA’s annual work programme, draw up a draft statement of estimates of revenue and expenditure for ENISA, and implement the budget. Furthermore, the Executive Director should have the option of setting up ad hoc working groups to address specific matters, in particular matters of a scientific, technical, legal or socioeconomic nature. In particular, in relation to the preparation of a specific candidate European cybersecurity certification scheme (‘candidate scheme’), the setting up of an ad hoc working group is considered to be necessary. The Executive Director should ensure that the members of ad hoc working groups are selected according to the highest standards of expertise, aiming to ensure gender balance and an appropriate balance, according to the specific issues in question, between the public administrations of the Member States, the Union institutions, bodies, offices and agencies and the private sector, including industry, users, and academic experts in network and information security.
(60)
The Executive Board should contribute to the effective functioning of the Management Board. As part of its preparatory work related to Management Board decisions, the Executive Board should examine relevant information in detail, explore available options and offer advice and solutions to prepare the decisions of the Management Board.
(61)
ENISA should have an ENISA Advisory Group as an advisory body to ensure regular dialogue with the private sector, consumers’ organisations and other relevant stakeholders. The ENISA Advisory Group, established by the Management Board on a proposal from the Executive Director, should focus on issues relevant to stakeholders and should bring them to the attention of ENISA. The ENISA Advisory Group should be consulted in particular with regard to ENISA’s draft annual work programme. The composition of the ENISA Advisory Group and the tasks assigned to it should ensure sufficient representation of stakeholders in the work of ENISA.
(62)
The Stakeholder Cybersecurity Certification Group should be established in order to help ENISA and the Commission facilitate the consultation of relevant stakeholders. The Stakeholder Cybersecurity Certification Group should be composed of members representing industry in balanced proportions, both on the demand side and the supply side of ICT products and ICT services, and including, in particular, SMEs, digital service providers, European and international standardisation bodies, national accreditation bodies, data protection supervisory authorities and conformity assessment bodies pursuant to Regulation (EC) No 765/2008 of the European Parliament and of the Council 
(
16
)
, and academia as well as consumer organisations.
(63)
ENISA should have rules in place regarding the prevention and the management of conflicts of interest. ENISA should also apply the relevant Union provisions concerning public access to documents as set out in Regulation (EC) No 1049/2001 of the European Parliament and of the Council 
(
17
)
. The processing of personal data by ENISA should be subject to Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
18
)
. ENISA should comply with the provisions applicable to the Union institutions, bodies, offices and agencies, and with national legislation regarding the handling of information, in particular sensitive non-classified information and European Union classified information (EUCI).
(64)
In order to guarantee the full autonomy and independence of ENISA and to enable it to perform additional tasks, including unforeseen emergency tasks, ENISA should be granted a sufficient and autonomous budget whose revenue should primarily come from a contribution from the Union and contributions from third countries participating in ENISA’s work. An appropriate budget is paramount for ensuring that ENISA has sufficient capacity to perform all of its growing tasks and to achieve its objectives. The majority of ENISA’s staff should be directly engaged in the operational implementation of ENISA’s mandate. The host Member State, and any other Member State, should be allowed to make voluntary contributions to ENISA’s budget. The Union’s budgetary procedure should remain applicable as far as any subsidies chargeable to the general budget of the Union are concerned. Moreover, the Court of Auditors should audit ENISA’s accounts to ensure transparency and accountability.
(65)
Cybersecurity certification plays an important role in increasing trust and security in ICT products, ICT services and ICT processes. The digital single market, and in particular the data economy and the IoT, can thrive only if there is general public trust that such products, services and processes provide a certain level of cybersecurity. Connected and automated cars, electronic medical devices, industrial automation control systems and smart grids are only some examples of sectors in which certification is already widely used or is likely to be used in the near future. The sectors regulated by Directive (EU) 2016/1148 are also sectors in which cybersecurity certification is critical.
(66)
In the 2016 Communication ‘Strengthening Europe’s Cyber Resilience System and Fostering a Competitive and Innovative Cybersecurity Industry’, the Commission outlined the need for high-quality, affordable and interoperable cybersecurity products and solutions. The supply of ICT products, ICT services and ICT processes within the single market remains very fragmented geographically. This is because the cybersecurity industry in Europe has developed largely on the basis of national governmental demand. In addition, the lack of interoperable solutions (technical standards), practices and Union-wide mechanisms of certification are among the other gaps affecting the single market in the field of cybersecurity. This makes it difficult for European businesses to compete at national, Union and global level. It also reduces the choice of viable and usable cybersecurity technologies that individuals and businesses have access to. Similarly, in the 2017 Communication on the Mid-Term Review on the implementation of the Digital Single Market Strategy – A Connected Digital Single Market for All, the Commission highlighted the need for safe connected products and systems, and indicated that the creation of a European ICT security framework setting rules on how to organise ICT security certification in the Union could both preserve trust in the internet and tackle the current fragmentation of the internal market.
(67)
Currently, the cybersecurity certification of ICT products, ICT services and ICT processes is used only to a limited extent. When it exists, it mostly occurs at Member State level or in the framework of industry driven schemes. In that context, a certificate issued by a national cybersecurity certification authority is not in principle recognised in other Member States. Companies thus may have to certify their ICT products, ICT services and ICT processes in several Member States where they operate, for example, with a view to participating in national procurement procedures, which thereby adds to their costs. Moreover, while new schemes are emerging, there seems to be no coherent and holistic approach to horizontal cybersecurity issues, for instance in the field of the IoT. Existing schemes present significant shortcomings and differences in terms of product coverage, levels of assurance, substantive criteria and actual use, impeding mutual recognition mechanisms within the Union.
(68)
Some efforts have been made in order to ensure the mutual recognition of certificates within the Union. However, they have been only partly successful. The most important example in this regard is the Senior Officials Group – Information Systems Security (SOG-IS) Mutual Recognition Agreement (MRA). While it represents the most important model for cooperation and mutual recognition in the field of security certification, SOG-IS includes only some of the Member States. That fact has limited the effectiveness of SOG-IS MRA from the point of view of the internal market.
(69)
Therefore, it is necessary to adopt a common approach and to establish a European cybersecurity certification framework that lays down the main horizontal requirements for European cybersecurity certification schemes to be developed and allows European cybersecurity certificates and EU statements of conformity for ICT products, ICT services or ICT processes to be recognised and used in all Member States. In doing so, it is essential to build on existing national and international schemes, as well as on mutual recognition systems, in particular SOG-IS, and to make possible a smooth transition from the existing schemes under such systems to schemes under the new European cybersecurity certification framework. The European cybersecurity certification framework should have a twofold purpose. First, it should help increase trust in ICT products, ICT services and ICT processes that have been certified under European cybersecurity certification schemes. Second, it should help avoid the multiplication of conflicting or overlapping national cybersecurity certification schemes and thus reduce costs for undertakings operating in the digital single market. The European cybersecurity certification schemes should be non-discriminatory and based on European or international standards, unless those standards are ineffective or inappropriate to fulfil the Union’s legitimate objectives in that regard.
(70)
The European cybersecurity certification framework should be established in a uniform manner in all Member States in order to prevent ‘certification shopping’ based on different levels of stringency in different Member States.
(71)
European cybersecurity certification schemes should be built on what already exists at international and national level and, if necessary, on technical specifications from forums and consortia, learning from current strong points and assessing and correcting weaknesses.
(72)
Flexible cybersecurity solutions are necessary for the industry to stay ahead of cyber threats, and therefore any certification scheme should be designed in a way that avoids the risk of being outdated quickly.
(73)
The Commission should be empowered to adopt European cybersecurity certification schemes concerning specific groups of ICT products, ICT services and ICT processes. Those schemes should be implemented and supervised by national cybersecurity certification authorities, and certificates issued under those schemes should be valid and recognised throughout the Union. Certification schemes operated by the industry or by other private organisations should fall outside of the scope of this Regulation. However, the bodies operating such schemes should be able to propose that the Commission consider such schemes as a basis for approving them as a European cybersecurity certification scheme.
(74)
The provisions of this Regulation should be without prejudice to Union law providing specific rules on the certification of ICT products, ICT services and ICT processes. In particular, Regulation (EU) 2016/679 lays down provisions for the establishment of certification mechanisms and of data protection seals and marks, for the purpose of demonstrating the compliance of processing operations by controllers and processors with that Regulation. Such certification mechanisms and data protection seals and marks should allow data subjects to quickly assess the level of data protection of the relevant ICT products, ICT services and ICT processes. This Regulation is without prejudice to the certification of data processing operations under Regulation (EU) 2016/679, including when such operations are embedded in ICT products, ICT services and ICT processes.
(75)
The purpose of European cybersecurity certification schemes should be to ensure that ICT products, ICT services and ICT processes certified under such schemes comply with specified requirements that aim to protect the availability, authenticity, integrity and confidentiality of stored, transmitted or processed data or of the related functions of or services offered by, or accessible via those products, services and processes throughout their life cycle. It is not possible to set out in detail the cybersecurity requirements relating to all ICT products, ICT services and ICT processes in this Regulation. ICT products, ICT services and ICT processes and the cybersecurity needs related to those products, services and processes are so diverse that it is very difficult to develop general cybersecurity requirements that are valid in all circumstances. It is therefore necessary to adopt a broad and general notion of cybersecurity for the purpose of certification, which should be complemented by a set of specific cybersecurity objectives that are to be taken into account when designing European cybersecurity certification schemes. The arrangements by which such objectives are to be achieved in specific ICT products, ICT services and ICT processes should then be further specified in detail at the level of the individual certification scheme adopted by the Commission, for example by reference to standards or technical specifications if no appropriate standards are available.
(76)
The technical specifications to be used in European cybersecurity certification schemes should respect the requirements set out in Annex II to Regulation (EU) No 1025/2012 of the European Parliament and of the Council 
(
19
)
. Some deviations from those requirements could, however, be considered to be necessary in duly justified cases where those technical specifications are to be used in a European cybersecurity certification scheme referring to assurance level ‘high’. The reasons for such deviations should be made publicly available.
(77)
A conformity assessment is a procedure for evaluating whether specified requirements relating to an ICT product, ICT service or ICT process have been fulfilled. That procedure is carried out by an independent third party that is not the manufacturer or provider of the ICT products, ICT services or ICT processes that are being assessed. A European cybersecurity certificate should be issued following the successful evaluation of an ICT product, ICT service or ICT process. A European cybersecurity certificate should be considered to be a confirmation that the evaluation has been properly carried out. Depending on the assurance level, the European cybersecurity certification scheme should indicate whether the European cybersecurity certificate is to be issued by a private or public body. Conformity assessment and certification cannot guarantee per se that certified ICT products, ICT services and ICT processes are cyber secure. They are instead procedures and technical methodologies for attesting that ICT products, ICT services and ICT processes have been tested and that they comply with certain cybersecurity requirements laid down elsewhere, for example in technical standards.
(78)
The choice of the appropriate certification and associated security requirements by the users of European cybersecurity certificates should be based on an analysis of the risks associated with the use of the ICT products, ICT services or ICT processes. Accordingly, the assurance level should be commensurate with the level of the risk associated with the intended use of an ICT product, ICT service or ICT process.
(79)
European cybersecurity certification schemes could provide for a conformity assessment to be carried out under the sole responsibility of the manufacturer or provider of ICT products, ICT services or ICT processes (‘conformity self-assessment’). In such cases, it should be sufficient that the manufacturer or provider of ICT products, ICT services or ICT processes itself carry out all of the checks to ensure that the ICT products, ICT services or ICT processes conform with the European cybersecurity certification scheme. Conformity self-assessment should be considered to be appropriate for low complexity ICT products, ICT services or ICT processes that present a low risk to the public, such as simple design and production mechanisms. Moreover, conformity self-assessment should be permitted for ICT products, ICT services or ICT processes only where they correspond to assurance level ‘basic’.
(80)
European cybersecurity certification schemes could allow for both conformity self-assessments and certifications of ICT products, ICT services or ICT processes. In such a case, the scheme should provide for clear and understandable means for consumers or other users to differentiate between ICT products, ICT services or ICT processes with regard to which the manufacturer or provider of ICT products, ICT services or ICT processes is responsible for the assessment, and ICT products, ICT services or ICT processes that are certified by a third party.
(81)
The manufacturer or provider of ICT products, ICT services or ICT processes who carry out a conformity self-assessment should be able to issue and sign the EU statement of conformity as part of the conformity assessment procedure. An EU statement of conformity is a document that states that a specific ICT product, ICT service or ICT process complies with the requirements of the European cybersecurity certification scheme. By issuing and signing the EU statement of conformity, the manufacturer or provider of ICT products, ICT services or ICT processes assumes responsibility for the compliance of the ICT product, ICT service or ICT process with the legal requirements of the European cybersecurity certification scheme. A copy of the EU statement of conformity should be submitted to the national cybersecurity certification authority and to ENISA.
(82)
Manufacturers or providers of ICT products, ICT services or ICT processes should make the EU statement of conformity, technical documentation, and all other relevant information relating to the conformity of the ICT products, ICT services or ICT processes with a European cybersecurity certification scheme available to the competent national cybersecurity certification authority for a period provided for in the relevant European cybersecurity certification scheme. The technical documentation should specify the requirements applicable under the scheme and should cover the design, manufacture and operation of the ICT product, ICT service or ICT process to the extent relevant to the conformity self-assessment. The technical documentation should be so compiled as to enable the assessment of whether an ICT product or ICT service complies with the requirements applicable under that scheme.
(83)
The governance of the European cybersecurity certification framework takes into account the involvement of Member States as well as the appropriate involvement of stakeholders, and establishes the role of the Commission during the planning and proposing, requesting, preparing, adopting and reviewing of European cybersecurity certification schemes.
(84)
The Commission should prepare, with the support of the European Cybersecurity Certification Group (the ‘ECCG’) and the Stakeholder Cybersecurity Certification Group and after an open and wide consultation, a Union rolling work programme for European cybersecurity certification schemes and should publish it in the form of a non-binding instrument. The Union rolling work programme should be a strategic document that allows industry, national authorities and standardisation bodies, in particular, to prepare in advance for future European cybersecurity certification schemes. The Union rolling work programme should include a multiannual overview of the requests for candidate schemes which the Commission intends to submit to ENISA for preparation on the basis of specific grounds. The Commission should take into account the Union rolling work programme while preparing its Rolling Plan for ICT Standardisation and standardisation requests to European standardisation organisations. In light of the rapid introduction and uptake of new technologies, the emergence of previously unknown cybersecurity risks, and legislative and market developments, the Commission or the ECCG should be entitled to request ENISA to prepare candidate schemes which have not been included in the Union rolling work programme. In such cases, the Commission and the ECCG should also assess the necessity of such a request, taking into account the overall aims and objectives of this Regulation and the need to ensure continuity as regards ENISA’s planning and use of resources.
Following such a request, ENISA should prepare the candidate schemes for specific ICT products, ICT services and ICT processes without undue delay. The Commission should evaluate the positive and negative impact of its request on the specific market in question, especially its impact on SMEs, on innovation, on barriers to entry to that market and on costs to end users. The Commission, on the basis of the candidate scheme prepared by ENISA, should be empowered to adopt the European cybersecurity certification scheme by means of implementing acts. Taking account of the general purpose and security objectives laid down in this Regulation, European cybersecurity certification schemes adopted by the Commission should specify a minimum set of elements concerning the subject matter, scope and functioning of the individual scheme. Those elements should include, among other things, the scope and object of the cybersecurity certification, including the categories of ICT products, ICT services and ICT processes covered, the detailed specification of the cybersecurity requirements, for example by reference to standards or technical specifications, the specific evaluation criteria and evaluation methods, as well as the intended assurance level (‘basic’, ‘substantial’ or ‘high’) and the evaluation levels where applicable. ENISA should be able to refuse a request by the ECCG. Such decisions should be taken by the Management Board and should be duly reasoned.
(85)
ENISA should maintain a website providing information on and publicising European cybersecurity certification schemes, which should include, among other things, the requests for the preparation of a candidate scheme as well as the feedback received in the consultation process carried out by ENISA in the preparation phase. The website should also provide information about the European cybersecurity certificates and EU statements of conformity issued under this Regulation including information regarding the withdrawal and expiry of such European cybersecurity certificates and EU statements of conformity. The website should also indicate the national cybersecurity certification schemes that have been replaced by a European cybersecurity certification scheme.
(86)
The assurance level of a European certification scheme is a basis for confidence that an ICT product, ICT service or ICT process meets the security requirements of a specific European cybersecurity certification scheme. In order to ensure the consistency of the European cybersecurity certification framework, a European cybersecurity certification scheme should be able to specify assurance levels for European cybersecurity certificates and EU statements of conformity issued under that scheme. Each European cybersecurity certificate might refer to one of the assurance levels: ‘basic’, ‘substantial’ or ‘high’, while the EU statement of conformity might only refer to the assurance level ‘basic’. The assurance levels would provide the corresponding rigour and depth of the evaluation of the ICT product, ICT service or ICT process and would be characterised by reference to technical specifications, standards and procedures related thereto, including technical controls, the purpose of which is to mitigate or prevent incidents. Each assurance level should be consistent among the different sectorial domains where certification is applied.
(87)
A European cybersecurity certification scheme might specify several evaluation levels depending on the rigour and depth of the evaluation methodology used. Evaluation levels should correspond to one of the assurance levels and should be associated with an appropriate combination of assurance components. For all assurance levels, the ICT product, ICT service or ICT process should contain a number of secure functions, as specified by the scheme, which may include: a secure out-of-the-box configuration, a signed code, secure update and exploit mitigations and full stack or heap memory protections. Those functions should have been developed, and be maintained, using security-focused development approaches and associated tools to ensure that effective software and hardware mechanisms are reliably incorporated.
(88)
For assurance level ‘basic’, the evaluation should be guided at least by the following assurance components: the evaluation should at least include a review of the technical documentation of the ICT product, ICT service or ICT process by the conformity assessment body. Where the certification includes ICT processes, the process used to design, develop and maintain an ICT product or ICT service should also be subject to the technical review. Where a European cybersecurity certification scheme provides for a conformity self-assessment, it should be sufficient that the manufacturer or provider of ICT products, ICT services or ICT processes has carried out a self-assessment of the compliance of the ICT product, ICT service or ICT process with the certification scheme.
(89)
For assurance level ‘substantial’, the evaluation, in addition to the requirements for assurance level ‘basic’, should be guided at least by the verification of the compliance of the security functionalities of the ICT product, ICT service or ICT process with its technical documentation.
(90)
For assurance level ‘high’, the evaluation, in addition to the requirements for assurance level ‘substantial’, should be guided at least by an efficiency testing which assesses the resistance of the security functionalities of ICT product, ICT service or ICT process against elaborate cyberattacks performed by persons who have significant skills and resources.
(91)
Recourse to European cybersecurity certification and to EU statements of conformity should remain voluntary, unless otherwise provided for in Union law, or in Member State law adopted in accordance with Union law. In the absence of harmonised Union law, Member States are able to adopt national technical regulations providing for mandatory certification under a European cybersecurity certification scheme in accordance with Directive (EU) 2015/1535 of the European Parliament and of the Council 
(
20
)
. Member States also have recourse to European cybersecurity certification in the context of public procurement and of Directive 2014/24/EU of the European Parliament and of the Council 
(
21
)
.
(92)
In some areas, it could be necessary in the future to impose specific cybersecurity requirements and make the certification thereof mandatory for certain ICT products, ICT services or ICT processes, in order to improve the level of cybersecurity in the Union. The Commission should regularly monitor the impact of adopted European cybersecurity certification schemes on the availability of secure ICT products, ICT services and ICT processes in the internal market and should regularly assess the level of use of the certification schemes by the manufacturers or providers of ICT products, ICT services or ICT processes in the Union. The efficiency of the European cybersecurity certification schemes, and whether specific schemes should be made mandatory, should be assessed in light of the cybersecurity-related legislation of the Union, in particular Directive (EU) 2016/1148, taking into consideration the security of the network and information systems used by operators of essential services.
(93)
European cybersecurity certificates and EU statements of conformity should help end users to make informed choices. Therefore, ICT products, ICT services and ICT processes that have been certified or for which an EU statement of conformity has been issued should be accompanied by structured information that is adapted to the expected technical level of the intended end user. All such information should be available online, and, where appropriate, in physical form. The end user should have access to information regarding the reference number of the certification scheme, the assurance level, the description of the cybersecurity risks associated with the ICT product, ICT service or ICT process, and the issuing authority or body, or should be able to obtain a copy of the European cybersecurity certificate. In addition, the end user should be informed of the cybersecurity support policy, namely for how long the end user can expect to receive cybersecurity updates or patches, of the manufacturer or provider of ICT products, ICT services or ICT processes. Where applicable, guidance on actions or settings that the end user can implement to maintain or increase the cybersecurity of the ICT product or of the ICT service and contact information of a single point of contact to report and receive support in the case of cyberattacks (in addition to automatic reporting) should be provided. That information should be regularly updated and made available on a website providing information on European cybersecurity certification schemes.
(94)
With a view to achieving the objectives of this Regulation and avoiding the fragmentation of the internal market, national cybersecurity certification schemes or procedures for ICT products, ICT services or ICT processes covered by a European cybersecurity certification scheme should cease to be effective from a date established by the Commission by means of implementing acts. Moreover, Member States should not introduce new national cybersecurity certification schemes for ICT products, ICT services or ICT processes already covered by an existing European cybersecurity certification scheme. However, Member States should not be prevented from adopting or maintaining national cybersecurity certification schemes for national security purposes. Member States should inform the Commission and the ECCG of any intention to draw up new national cybersecurity certification schemes. The Commission and the ECCG should evaluate the impact of the new national cybersecurity certification schemes on the proper functioning of the internal market and in light of any strategic interest in requesting a European cybersecurity certification scheme instead.
(95)
European cybersecurity certification schemes are intended to help harmonise cybersecurity practices within the Union. They need to contribute to increasing the level of cybersecurity within the Union. The design of the European cybersecurity certification schemes should take into account and allow for the development of innovations in the field of cybersecurity.
(96)
European cybersecurity certification schemes should take into account current software and hardware development methods and, in particular, the impact of frequent software or firmware updates on individual European cybersecurity certificates. European cybersecurity certification schemes should specify the conditions under which an update may require that an ICT product, ICT service or ICT process be recertified or that the scope of a specific European cybersecurity certificate be reduced, taking into account any possible adverse effects of the update on compliance with the security requirements of that certificate.
(97)
Once a European cybersecurity certification scheme is adopted, manufacturers or providers of ICT products, ICT services or ICT processes should be able to submit applications for certification of their ICT products or ICT services to the conformity assessment body of their choice anywhere in the Union. Conformity assessment bodies should be accredited by a national accreditation body if they comply with certain specified requirements set out in this Regulation. Accreditation should be issued for a maximum of five years and should be renewable on the same conditions provided that the conformity assessment body still meets the requirements. National accreditation bodies should restrict, suspend or revoke the accreditation of a conformity assessment body where the conditions for the accreditation have not been met or are no longer met, or where the conformity assessment body infringes this Regulation.
(98)
References in national legislation to national standards which have ceased to be effective due to the entry into force of a European cybersecurity certification scheme can be a source of confusion. Therefore, Member States should reflect the adoption of a European cybersecurity certification scheme in their national legislation.
(99)
In order to achieve equivalent standards throughout the Union, to facilitate mutual recognition and to promote the overall acceptance of European cybersecurity certificates and EU statements of conformity, it is necessary to put in place a system of peer review between national cybersecurity certification authorities. Peer review should cover procedures for supervising the compliance of ICT products, ICT services and ICT processes with European cybersecurity certificates, for monitoring the obligations of manufacturers or providers of ICT products, ICT services or ICT processes who carry out the conformity self-assessment, for monitoring conformity assessment bodies, as well as the appropriateness of the expertise of the staff of bodies issuing certificates for assurance level ‘high’. The Commission should be able, by means of implementing acts, to establish at least a five-year plan for peer reviews, as well as lay down criteria and methodologies for the operation of the peer review system.
(100)
Without prejudice to the general peer review system to be put in place across all national cybersecurity certification authorities within the European cybersecurity certification framework, certain European cybersecurity certification schemes may include a peer-assessment mechanism for the bodies that issue European cybersecurity certificates for ICT products, ICT services and ICT processes with an assurance level ‘high’ under such schemes. The ECCG should support the implementation of such peer-assessment mechanisms. The peer assessments should assess in particular whether the bodies concerned carry out their tasks in a harmonised way, and may include appeal mechanisms. The results of the peer assessments should be made publicly available. The bodies concerned may adopt appropriate measures to adapt their practices and expertise accordingly.
(101)
Member States should designate one or more national cybersecurity certification authorities to supervise compliance with obligations arising from this Regulation. A national cybersecurity certification authority may be an existing or new authority. A Member State should also be able to designate, after agreeing with another Member State, one or more national cybersecurity certification authorities in the territory of that other Member State.
(102)
National cybersecurity certification authorities should in particular monitor and enforce the obligations of manufacturers or providers of ICT products, ICT services or ICT processes established in its respective territory in relation to the EU statement of conformity, should assist the national accreditation bodies in the monitoring and supervision of the activities of conformity assessment bodies by providing them with expertise and relevant information, should authorise conformity assessment bodies to carry out their tasks where such bodies meet additional requirements set out in a European cybersecurity certification scheme, and should monitor relevant developments in the field of cybersecurity certification. National cybersecurity certification authorities should also handle complaints lodged by natural or legal persons in relation to European cybersecurity certificates issued by those authorities or in relation to European cybersecurity certificates issued by conformity assessment bodies, where such certificates indicate assurance level ‘high’, should investigate, to the extent appropriate, the subject matter of the complaint and should inform the complainant of the progress and the outcome of the investigation within a reasonable period. Moreover, national cybersecurity certification authorities should cooperate with other national cybersecurity certification authorities or other public authorities, including by the sharing of information on the possible non-compliance of ICT products, ICT services and ICT processes with the requirements of this Regulation or with specific European cybersecurity certification schemes. The Commission should facilitate that sharing of information by making available a general electronic information support system, for example the Information and Communication System on Market Surveillance (ICSMS) and the Rapid Alert System for dangerous non-food products (RAPEX), already used by market surveillance authorities pursuant to Regulation (EC) No 765/2008.
(103)
With a view to ensuring the consistent application of the European cybersecurity certification framework, an ECCG that consists of representatives of national cybersecurity certification authorities or other relevant national authorities should be established. The main tasks of the ECCG should be to advise and assist the Commission in its work towards ensuring the consistent implementation and application of the European cybersecurity certification framework, to assist and closely cooperate with ENISA in the preparation of candidate cybersecurity certification schemes, in duly justified cases to request ENISA to prepare a candidate scheme, to adopt opinions addressed to ENISA on candidate schemes and to adopt opinions addressed to the Commission on the maintenance and review of existing European cybersecurity certifications schemes. The ECCG should facilitate the exchange of good practices and expertise between the various national cybersecurity certification authorities that are responsible for the authorisation of conformity assessment bodies and the issuance of European cybersecurity certificates.
(104)
In order to raise awareness and to facilitate the acceptance of future European cybersecurity certification schemes, the Commission may issue general or sector-specific cybersecurity guidelines, for example on good cybersecurity practices or responsible cybersecurity behaviour highlighting the positive effect of the use of certified ICT products, ICT services and ICT processes.
(105)
In order to further facilitate trade, and recognising that ICT supply chains are global, mutual recognition agreements concerning European cybersecurity certificates may be concluded by the Union in accordance with Article 218 of the Treaty on the Functioning of the European Union (TFEU). The Commission, taking into account the advice from ENISA and the European Cybersecurity Certification Group, may recommend the opening of relevant negotiations. Each European cybersecurity certification scheme should provide specific conditions for such mutual recognition agreements with third countries.
(106)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
22
)
.
(107)
The examination procedure should be used for the adoption of implementing acts on European cybersecurity certification schemes for ICT products, ICT services or ICT processes, for the adoption of implementing acts on arrangements for carrying out inquiries by ENISA, for the adoption of implementing acts on a plan for the peer review of national cybersecurity certification authorities, as well as for the adoption of implementing acts on the circumstances, formats and procedures of notifications of accredited conformity assessment bodies by the national cybersecurity certification authorities to the Commission.
(108)
ENISA’s operations should be subject to regular and independent evaluation. That evaluation should have regard to ENISA’s objectives, its working practices and the relevance of its tasks, in particular its tasks relating to the operational cooperation at Union level. That evaluation should also assess the impact, effectiveness and efficiency of the European cybersecurity certification framework. In the event of a review, the Commission should evaluate how ENISA’s role as a reference point for advice and expertise can be reinforced and should also evaluate the possibility of a role for ENISA in supporting the assessment of third country ICT products, ICT services and ICT processes that do not comply with Union rules, where such products, services and processes enter the Union.
(109)
Since the objectives of this Regulation cannot be sufficiently achieved by the Member States but can rather, by reason of its scale and effects, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(110)
Regulation (EU) No 526/2013 should be repealed,
HAVE ADOPTED THIS REGULATION:
TITLE I
GENERAL PROVISIONS
Article 1
Subject matter and scope
1.   With a view to ensuring the proper functioning of the internal market while aiming to achieve a high level of cybersecurity, cyber resilience and trust within the Union, this Regulation lays down:
(a)
objectives, tasks and organisational matters relating to ENISA (the European Union Agency for Cybersecurity); and
(b)
a framework for the establishment of European cybersecurity certification schemes for the purpose of ensuring an adequate level of cybersecurity for ICT products, ICT services and ICT processes in the Union, as well as for the purpose of avoiding the fragmentation of the internal market with regard to cybersecurity certification schemes in the Union.
The framework referred to in point (b) of the first subparagraph applies without prejudice to specific provisions in other Union legal acts regarding voluntary or mandatory certification.
2.   This Regulation is without prejudice to the competences of the Member States regarding activities concerning public security, defence, national security and the activities of the State in areas of criminal law.
Article 2
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘cybersecurity’ means the activities necessary to protect network and information systems, the users of such systems, and other persons affected by cyber threats;
(2)
‘network and information system’ means a network and information system as defined in point (1) of Article 4 of Directive (EU) 2016/1148;
(3)
‘national strategy on the security of network and information systems’ means a national strategy on the security of network and information systems as defined in point (3) of Article 4 of Directive (EU) 2016/1148;
(4)
‘operator of essential services’ means an operator of essential services as defined in point (4) of Article 4 of Directive (EU) 2016/1148;
(5)
‘digital service provider’ means a digital service provider as defined in point (6) of Article 4 of Directive (EU) 2016/1148;
(6)
‘incident’ means an incident as defined in point (7) of Article 4 of Directive (EU) 2016/1148;
(7)
‘incident handling’ means incident handling as defined in point (8) of Article 4 of Directive (EU) 2016/1148;
(8)
‘cyber threat’ means any potential circumstance, event or action that could damage, disrupt or otherwise adversely impact network and information systems, the users of such systems and other persons;
(9)
‘European cybersecurity certification scheme’ means a comprehensive set of rules, technical requirements, standards and procedures that are established at Union level and that apply to the certification or conformity assessment of specific ICT products, ICT services or ICT processes;
(10)
‘national cybersecurity certification scheme’ means a comprehensive set of rules, technical requirements, standards and procedures developed and adopted by a national public authority and that apply to the certification or conformity assessment of ICT products, ICT services and ICT processes falling under the scope of the specific scheme;
(11)
‘European cybersecurity certificate’ means a document issued by a relevant body, attesting that a given ICT product, ICT service or ICT process has been evaluated for compliance with specific security requirements laid down in a European cybersecurity certification scheme;
(12)
‘ICT product’ means an element or a group of elements of a network or information system;
(13)
‘ICT service’ means a service consisting fully or mainly in the transmission, storing, retrieving or processing of information by means of network and information systems;
(14)
‘ICT process’ means a set of activities performed to design, develop, deliver or maintain an ICT product or ICT service;
(15)
‘accreditation’ means accreditation as defined in point (10) of Article 2 of Regulation (EC) No 765/2008;
(16)
‘national accreditation body’ means a national accreditation body as defined in point (11) of Article 2 of Regulation (EC) No 765/2008;
(17)
‘conformity assessment’ means a conformity assessment as defined in point (12) of Article 2 of Regulation (EC) No 765/2008;
(18)
‘conformity assessment body’ means a conformity assessment body as defined in point (13) of Article 2 of Regulation (EC) No 765/2008;
(19)
‘standard’ means a standard as defined in point (1) of Article 2 of Regulation (EU) No 1025/2012;
(20)
‘technical specification’ means a document that prescribes the technical requirements to be met by, or conformity assessment procedures relating to, an ICT product, ICT service or ICT process;
(21)
‘assurance level’ means a basis for confidence that an ICT product, ICT service or ICT process meets the security requirements of a specific European cybersecurity certification scheme, indicates the level at which an ICT product, ICT service or ICT process has been evaluated but as such does not measure the security of the ICT product, ICT service or ICT process concerned;
(22)
‘conformity self-assessment’ means an action carried out by a manufacturer or provider of ICT products, ICT services or ICT processes, which evaluates whether those ICT products, ICT services or ICT processes meet the requirements of a specific European cybersecurity certification scheme.
TITLE II
ENISA (THE EUROPEAN UNION AGENCY FOR CYBERSECURITY)
CHAPTER I
Mandate and objectives
Article 3
Mandate
1.   ENISA shall carry out the tasks assigned to it under this Regulation for the purpose of achieving a high common level of cybersecurity across the Union, including by actively supporting Member States, Union institutions, bodies, offices and agencies in improving cybersecurity. ENISA shall act as a reference point for advice and expertise on cybersecurity for Union institutions, bodies, offices and agencies as well as for other relevant Union stakeholders.
ENISA shall contribute to reducing the fragmentation of the internal market by carrying out the tasks assigned to it under this Regulation.
2.   ENISA shall carry out the tasks assigned to it by Union legal acts that set out measures for approximating Member State laws, regulations and administrative provisions which are related to cybersecurity.
3.   When carrying out its tasks, ENISA shall act independently while avoiding the duplication of Member State activities and taking into consideration existing Member State expertise.
4.   ENISA shall develop its own resources, including technical and human capabilities and skills, necessary to perform the tasks assigned to it under this Regulation.
Article 4
Objectives
1.   ENISA shall be a centre of expertise on cybersecurity by virtue of its independence, the scientific and technical quality of the advice and assistance it delivers, the information it provides, the transparency of its operating procedures, the methods of operation, and its diligence in carrying out its tasks.
2.   ENISA shall assist the Union institutions, bodies, offices and agencies, as well as Member States, in developing and implementing Union policies related to cybersecurity, including sectoral policies on cybersecurity.
3.   ENISA shall support capacity-building and preparedness across the Union by assisting the Union institutions, bodies, offices and agencies, as well as Member States and public and private stakeholders, to increase the protection of their network and information systems, to develop and improve cyber resilience and response capacities, and to develop skills and competencies in the field of cybersecurity.
4.   ENISA shall promote cooperation, including information sharing and coordination at Union level, among Member States, Union institutions, bodies, offices and agencies, and relevant private and public stakeholders on matters related to cybersecurity.
5.   ENISA shall contribute to increasing cybersecurity capabilities at Union level in order to support the actions of Member States in preventing and responding to cyber threats, in particular in the event of cross-border incidents.
6.   ENISA shall promote the use of European cybersecurity certification, with a view to avoiding the fragmentation of the internal market. ENISA shall contribute to the establishment and maintenance of a European cybersecurity certification framework in accordance with Title III of this Regulation, with a view to increasing the transparency of the cybersecurity of ICT products, ICT services and ICT processes, thereby strengthening trust in the digital internal market and its competitiveness.
7.   ENISA shall promote a high level of cybersecurity awareness, including cyber-hygiene and cyber-literacy among citizens, organisations and businesses.
CHAPTER II
Tasks
Article 5
Development and implementation of Union policy and law
ENISA shall contribute to the development and implementation of Union policy and law, by:
(1)
assisting and advising on the development and review of Union policy and law in the field of cybersecurity and on sector-specific policy and law initiatives where matters related to cybersecurity are involved, in particular by providing its independent opinion and analysis as well as carrying out preparatory work;
(2)
assisting Member States to implement the Union policy and law regarding cybersecurity consistently, in particular in relation to Directive (EU) 2016/1148, including by means of issuing opinions, guidelines, providing advice and best practices on topics such as risk management, incident reporting and information sharing, as well as by facilitating the exchange of best practices between competent authorities in that regard;
(3)
assisting Member States and Union institutions, bodies, offices and agencies in developing and promoting cybersecurity policies related to sustaining the general availability or integrity of the public core of the open internet;
(4)
contributing to the work of the Cooperation Group pursuant to Article 11 of Directive (EU) 2016/1148, by providing its expertise and assistance;
(5)
supporting:
(a)
the development and implementation of Union policy in the field of electronic identity and trust services, in particular by providing advice and issuing technical guidelines, as well as by facilitating the exchange of best practices between competent authorities;
(b)
the promotion of an enhanced level of security of electronic communications, including by providing advice and expertise, as well as by facilitating the exchange of best practices between competent authorities;
(c)
Member States in the implementation of specific cybersecurity aspects of Union policy and law relating to data protection and privacy, including by providing advice to the European Data Protection Board upon request;
(6)
supporting the regular review of Union policy activities by preparing an annual report on the state of the implementation of the respective legal framework regarding:
(a)
information on Member States’ incident notifications provided by the single points of contact to the Cooperation Group pursuant to Article 10(3) of Directive (EU) 2016/1148;
(b)
summaries of notifications of breach of security or loss of integrity received from trust service providers provided by the supervisory bodies to ENISA, pursuant to Article 19(3) of Regulation (EU) No 910/2014 of the European Parliament and of the Council 
(
23
)
;
(c)
notifications of security incidents transmitted by the providers of public electronic communications networks or of publicly available electronic communications services, provided by the competent authorities to ENISA, pursuant to Article 40 of Directive (EU) 2018/1972.
Article 6
Capacity-building
1.   ENISA shall assist:
(a)
Member States in their efforts to improve the prevention, detection and analysis of, and the capability to respond to cyber threats and incidents by providing them with knowledge and expertise;
(b)
Member States and Union institutions, bodies, offices and agencies in establishing and implementing vulnerability disclosure policies on a voluntary basis;
(c)
Union institutions, bodies, offices and agencies in their efforts to improve the prevention, detection and analysis of cyber threats and incidents and to improve their capabilities to respond to such cyber threats and incidents, in particular through appropriate support for the CERT-EU;
(d)
Member States in developing national CSIRTs, where requested pursuant to Article 9(5) of Directive (EU) 2016/1148;
(e)
Member States in developing national strategies on the security of network and information systems, where requested pursuant to Article 7(2) of Directive (EU) 2016/1148, and promote the dissemination of those strategies and note the progress in their implementation across the Union in order to promote best practices;
(f)
Union institutions in developing and reviewing Union strategies regarding cybersecurity, promoting their dissemination and tracking the progress in their implementation;
(g)
national and Union CSIRTs in raising the level of their capabilities, including by promoting dialogue and exchanges of information, with a view to ensuring that, with regard to the state of the art, each CSIRT possesses a common set of minimum capabilities and operates according to best practices;
(h)
Member States by regularly organising the cybersecurity exercises at Union level referred to in Article 7(5) on at least a biennial basis and by making policy recommendations based on the evaluation process of the exercises and lessons learned from them;
(i)
relevant public bodies by offering trainings regarding cybersecurity, where appropriate in cooperation with stakeholders;
(j)
the Cooperation Group, in the exchange of best practices, in particular with regard to the identification by Member States of operators of essential services, pursuant to point (l) of Article 11(3) of Directive (EU) 2016/1148, including in relation to cross-border dependencies, regarding risks and incidents.
2.   ENISA shall support information sharing in and between sectors, in particular in the sectors listed in Annex II to Directive (EU) 2016/1148, by providing best practices and guidance on available tools, procedures, as well as on how to address regulatory issues related to information-sharing.
Article 7
Operational cooperation at Union level
1.   ENISA shall support operational cooperation among Member States, Union institutions, bodies, offices and agencies, and between stakeholders.
2.   ENISA shall cooperate at the operational level and establish synergies with Union institutions, bodies, offices and agencies, including the CERT-EU, with the services dealing with cybercrime and with supervisory authorities dealing with the protection of privacy and personal data, with a view to addressing issues of common concern, including by means of:
(a)
the exchange of know-how and best practices;
(b)
the provision of advice and issuing of guidelines on relevant matters related to cybersecurity;
(c)
the establishment of practical arrangements for the execution of specific tasks, after consulting the Commission.
3.   ENISA shall provide the secretariat of the CSIRTs network pursuant to Article 12(2) of Directive (EU) 2016/1148, and in that capacity shall actively support the information sharing and the cooperation among its members.
4.   ENISA shall support Member States with respect to operational cooperation within the CSIRTs network by:
(a)
advising on how to improve their capabilities to prevent, detect and respond to incidents and, at the request of one or more Member States, providing advice in relation to a specific cyber threat;
(b)
assisting, at the request of one or more Member States, in the assessment of incidents having a significant or substantial impact through the provision of expertise and facilitating the technical handling of such incidents including in particular by supporting the voluntary sharing of relevant information and technical solutions between Member States;
(c)
analysing vulnerabilities and incidents on the basis of publicly available information or information provided voluntarily by Member States for that purpose; and
(d)
at the request of one or more Member States, providing support in relation to 
ex-post
 technical inquiries regarding incidents having a significant or substantial impact within the meaning of Directive (EU) 2016/1148.
In performing those tasks, ENISA and CERT-EU shall engage in structured cooperation to benefit from synergies and to avoid the duplication of activities.
5.   ENISA shall regularly organise cybersecurity exercises at Union level, and shall support Member States and Union institutions, bodies, offices and agencies in organising cybersecurity exercises following their requests. Such cybersecurity exercises at Union level may include technical, operational or strategic elements. On a biennial basis, ENISA shall organise a large-scale comprehensive exercise.
Where appropriate, ENISA shall also contribute to and help organise sectoral cybersecurity exercises together with relevant organisations that also participate in cybersecurity exercises at Union level.
6.   ENISA, in close cooperation with the Member States, shall prepare a regular in-depth EU Cybersecurity Technical Situation Report on incidents and cyber threats based on publicly available information, its own analysis, and reports shared by, among others, the Member States’ CSIRTs or the single points of contact established by Directive (EU) 2016/1148, both on a voluntary basis, EC3 and CERT-EU.
7.   ENISA shall contribute to developing a cooperative response at Union and Member States level to large-scale cross-border incidents or crises related to cybersecurity, mainly by:
(a)
aggregating and analysing reports from national sources that are in the public domain or shared on a voluntary basis with a view to contributing to the establishment of common situational awareness;
(b)
ensuring the efficient flow of information and the provision of escalation mechanisms between the CSIRTs network and the technical and political decision-makers at Union level;
(c)
upon request, facilitating the technical handling of such incidents or crises, including, in particular, by supporting the voluntary sharing of technical solutions between Member States;
(d)
supporting Union institutions, bodies, offices and agencies and, at their request, Member States, in the public communication relating to such incidents or crises;
(e)
testing the cooperation plans for responding to such incidents or crises at Union level and, at their request, supporting Member States in testing such plans at national level.
Article 8
Market, cybersecurity certification, and standardisation
1.   ENISA shall support and promote the development and implementation of Union policy on cybersecurity certification of ICT products, ICT services and ICT processes, as established in Title III of this Regulation, by:
(a)
monitoring developments, on an ongoing basis, in related areas of standardisation and recommending appropriate technical specifications for use in the development of European cybersecurity certification schemes pursuant to point (c) of Article 54(1) where standards are not available;
(b)
preparing candidate European cybersecurity certification schemes (‘candidate schemes’) for ICT products, ICT services and ICT processes in accordance with Article 49;
(c)
evaluating adopted European cybersecurity certification schemes in accordance with Article 49(8);
(d)
participating in peer reviews pursuant to Article 59(4);
(e)
assisting the Commission in providing the secretariat of the ECCG pursuant to Article 62(5).
2.   ENISA shall provide the secretariat of the Stakeholder Cybersecurity Certification Group pursuant to Article 22(4).
3.   ENISA shall compile and publish guidelines and develop good practices, concerning the cybersecurity requirements for ICT products, ICT services and ICT processes, in cooperation with national cybersecurity certification authorities and industry in a formal, structured and transparent way.
4.   ENISA shall contribute to capacity-building related to evaluation and certification processes by compiling and issuing guidelines as well as by providing support to Member States at their request.
5.   ENISA shall facilitate the establishment and take-up of European and international standards for risk management and for the security of ICT products, ICT services and ICT processes.
6.   ENISA shall draw up, in collaboration with Member States and industry, advice and guidelines regarding the technical areas related to the security requirements for operators of essential services and digital service providers, as well as regarding already existing standards, including Member States’ national standards, pursuant to Article 19(2) of Directive (EU) 2016/1148.
7.   ENISA shall perform and disseminate regular analyses of the main trends in the cybersecurity market on both the demand and supply sides, with a view to fostering the cybersecurity market in the Union.
Article 9
Knowledge and information
ENISA shall:
(a)
perform analyses of emerging technologies and provide topic-specific assessments on the expected societal, legal, economic and regulatory impact of technological innovations on cybersecurity;
(b)
perform long-term strategic analyses of cyber threats and incidents in order to identify emerging trends and help prevent incidents;
(c)
in cooperation with experts from Member States authorities and relevant stakeholders, provide advice, guidance and best practices for the security of network and information systems, in particular for the security of the infrastructures supporting the sectors listed in Annex II to Directive (EU) 2016/1148 and those used by the providers of the digital services listed in Annex III to that Directive;
(d)
through a dedicated portal, pool, organise and make available to the public information on cybersecurity provided by the Union institutions, bodies, offices and agencies and information on cybersecurity provided on a voluntary basis by Member States and private and public stakeholders;
(e)
collect and analyse publicly available information regarding significant incidents and compile reports with a view to providing guidance to citizens, organisations and businesses across the Union.
Article 10
Awareness-raising and education
ENISA shall:
(a)
raise public awareness of cybersecurity risks, and provide guidance on good practices for individual users aimed at citizens, organisations and businesses, including cyber-hygiene and cyber-literacy;
(b)
in cooperation with the Member States, Union institutions, bodies, offices and agencies and industry, organise regular outreach campaigns to increase cybersecurity and its visibility in the Union and encourage a broad public debate;
(c)
assist Member States in their efforts to raise cybersecurity awareness and promote cybersecurity education;
(d)
support closer coordination and exchange of best practices among Member States on cybersecurity awareness and education.
Article 11
Research and innovation
In relation to research and innovation, ENISA shall:
(a)
advise the Union institutions, bodies, offices and agencies and the Member States on research needs and priorities in the field of cybersecurity, with a view to enabling effective responses to current and emerging risks and cyber threats, including with respect to new and emerging information and communications technologies, and with a view to using risk-prevention technologies effectively;
(b)
where the Commission has conferred the relevant powers on it, participate in the implementation phase of research and innovation funding programmes or as a beneficiary;
(c)
contribute to the strategic research and innovation agenda at Union level in the field of cybersecurity.
Article 12
International cooperation
ENISA shall contribute to the Union’s efforts to cooperate with third countries and international organisations as well as within relevant international cooperation frameworks to promote international cooperation on issues related to cybersecurity, by:
(a)
where appropriate, engaging as an observer in the organisation of international exercises, and analysing and reporting to the Management Board on the outcome of such exercises;
(b)
at the request of the Commission, facilitating the exchange of best practices;
(c)
at the request of the Commission, providing it with expertise;
(d)
providing advice and support to the Commission on matters concerning agreements for the mutual recognition of cybersecurity certificates with third countries, in collaboration with the ECCG established under Article 62.
CHAPTER III
Organisation of ENISA
Article 13
Structure of ENISA
The administrative and management structure of ENISA shall be composed of the following:
(a)
a Management Board;
(b)
an Executive Board;
(c)
an Executive Director;
(d)
an ENISA Advisory Group;
(e)
a National Liaison Officers Network.
Section 1
Management Board
Article 14
Composition of the Management Board
1.   The Management Board shall be composed of one member appointed by each Member State, and two members appointed by the Commission. All members shall have the right to vote.
2.   Each member of the Management Board shall have an alternate. That alternate shall represent the member in the member’s absence.
3.   Members of the Management Board and their alternates shall be appointed on the basis of their knowledge in the field of cybersecurity, taking into account their relevant managerial, administrative and budgetary skills. The Commission and the Member States shall make efforts to limit the turnover of their representatives on the Management Board, in order to ensure continuity of the Management Board’s work. The Commission and the Member States shall aim to achieve gender balance on the Management Board.
4.   The term of office of the members of the Management Board and their alternates shall be four years. That term shall be renewable.
Article 15
Functions of the Management Board
1.   The Management Board shall:
(a)
establish the general direction of the operation of ENISA and ensure that ENISA operates in accordance with the rules and principles laid down in this Regulation; it shall also ensure the consistency of ENISA’s work with activities conducted by the Member States as well as at Union level;
(b)
adopt ENISA’s draft single programming document referred to in Article 24, before its submission to the Commission for an opinion;
(c)
adopt ENISA’s single programming document, taking into account the Commission opinion;
(d)
supervise the implementation of the multiannual and annual programming included in the single programming document;
(e)
adopt the annual budget of ENISA and exercise other functions in respect of ENISA’s budget in accordance with Chapter IV;
(f)
assess and adopt the consolidated annual report on ENISA’s activities, including the accounts and a description of how ENISA has met its performance indicators, submit both the annual report and the assessment thereof by 1 July of the following year, to the European Parliament, to the Council, to the Commission and to the Court of Auditors, and make the annual report public;
(g)
adopt the financial rules applicable to ENISA in accordance with Article 32;
(h)
adopt an anti-fraud strategy that is proportionate to the fraud risks, having regard to a cost-benefit analysis of the measures to be implemented;
(i)
adopt rules for the prevention and management of conflicts of interest in respect of its members;
(j)
ensure adequate follow-up to the findings and recommendations resulting from investigations of the European Anti-Fraud Office (OLAF) and the various internal or external audit reports and evaluations;
(k)
adopt its rules of procedure, including rules for provisional decisions on the delegation of specific tasks, pursuant to Article 19(7);
(l)
with respect to the staff of ENISA, exercise the powers conferred by the Staff Regulations of Officials (the ‘Staff Regulations of Officials’) and the Conditions of Employment of Other Servants of the European Union (the ‘Conditions of Employment of Other Servants’), laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
24
)
 on the appointing authority and on the Authority Empowered to Conclude a Contract of Employment (‘appointing authority powers’) in accordance with paragraph 2 of this Article;
(m)
adopt rules implementing the Staff Regulations of Officials and the Conditions of Employment of Other Servants in accordance with the procedure provided for in Article 110 of the Staff Regulations of Officials;
(n)
appoint the Executive Director and where relevant extend his or her term of office or remove him or her from office in accordance with Article 36;
(o)
appoint an accounting officer, who may be the Commission’s accounting officer, who shall be wholly independent in the performance of his or her duties;
(p)
take all decisions concerning the establishment of ENISA’s internal structures and, where necessary, the modification of those internal structures, taking into consideration ENISA’s activity needs and having regard to sound budgetary management;
(q)
authorise the establishment of working arrangements with regard to Article 7;
(r)
authorise the establishment or conclusion of working arrangements in accordance with Article 42.
2.   In accordance with Article 110 of the Staff Regulations of Officials, the Management Board shall adopt a decision based on Article 2(1) of the Staff Regulations of Officials and Article 6 of the Conditions of Employment of Other Servants, delegating the relevant appointing authority powers to the Executive Director and determining the conditions under which that delegation of powers can be suspended. The Executive Director may sub-delegate those powers.
3.   Where exceptional circumstances so require, the Management Board may adopt a decision to temporarily suspend the delegation of appointing authority powers to the Executive Director and any appointing authority powers sub-delegated by the Executive Director and instead exercise them itself or delegate them to one of its members or to a staff member other than the Executive Director.
Article 16
Chairperson of the Management Board
The Management Board shall elect a Chairperson and a Deputy Chairperson from among its members, by a majority of two thirds of the members. Their terms of office shall be four years, which shall be renewable once. If, however, their membership of the Management Board ends at any time during their term of office, their term of office shall automatically expire on that date. The Deputy Chair shall replace the Chairperson 
ex officio
 if the Chairperson is unable to attend to his or her duties.
Article 17
Meetings of the Management Board
1.   Meetings of the Management Board shall be convened by its Chairperson.
2.   The Management Board shall hold at least two ordinary meetings a year. It shall also hold extraordinary meetings at the request of its Chairperson, at the request of the Commission, or at the request of at least one third of its members.
3.   The Executive Director shall take part in the meetings of the Management Board but shall not have the right to vote.
4.   Members of the ENISA Advisory Group may take part in the meetings of the Management Board at the invitation of the Chairperson, but shall not have the right to vote.
5.   The members of the Management Board and their alternates may be assisted at the meetings of the Management Board by advisers or experts, subject to the rules of procedure of the Management Board.
6.   ENISA shall provide the secretariat of the Management Board.
Article 18
Voting rules of the Management Board
1.   The Management Board shall take its decisions by a majority of its members.
2.   A majority of two-thirds of the members of the Management Board shall be required for the adoption of the single programming document and of the annual budget and for the appointment, extension of the term of office or removal of the Executive Director.
3.   Each member shall have one vote. In the absence of a member, their alternate shall be entitled to exercise the member’s right to vote.
4.   The Chairperson of the Management Board shall take part in the voting.
5.   The Executive Director shall not take part in the voting.
6.   The Management Board’s rules of procedure shall establish more detailed voting arrangements, in particular the circumstances in which a member may act on behalf of another member.
Section 2
Executive Board
Article 19
Executive Board
1.   The Management Board shall be assisted by an Executive Board.
2.   The Executive Board shall:
(a)
prepare decisions to be adopted by the Management Board;
(b)
together with the Management Board, ensure the adequate follow-up to the findings and recommendations stemming from investigations of OLAF and the various internal or external audit reports and evaluations;
(c)
without prejudice to the responsibilities of the Executive Director set out in Article 20, assist and advise the Executive Director in implementing the decisions of the Management Board on administrative and budgetary matters pursuant to Article 20.
3.   The Executive Board shall be composed of five members. The members of the Executive Board shall be appointed from among the members of the Management Board. One of the members shall be the Chairperson of the Management Board, who may also chair the Executive Board, and another shall be one of the representatives of the Commission. The appointments of the members of the Executive Board shall aim to ensure gender balance on the Executive Board. The Executive Director shall take part in the meetings of the Executive Board but shall not have the right to vote.
4.   The term of office of the members of the Executive Board shall be four years. That term shall be renewable.
5.   The Executive Board shall meet at least once every three months. The Chairperson of the Executive Board shall convene additional meetings at the request of its members.
6.   The Management Board shall lay down the rules of procedure of the Executive Board.
7.   When necessary because of urgency, the Executive Board may take certain provisional decisions on behalf of the Management Board, in particular on administrative management matters, including the suspension of the delegation of the appointing authority powers and budgetary matters. Any such provisional decisions shall be notified to the Management Board without undue delay. The Management Board shall then decide whether to approve or reject the provisional decision no later than three months after the decision was taken. The Executive Board shall not take decisions on behalf of the Management Board that require the approval of a majority of two-thirds of the members of the Management Board.
Section 3
Executive Director
Article 20
Duties of the Executive Director
1.   ENISA shall be managed by its Executive Director, who shall be independent in the performance of his or her duties. The Executive Director shall be accountable to the Management Board.
2.   The Executive Director shall report to the European Parliament on the performance of his or her duties when invited to do so. The Council may invite the Executive Director to report on the performance of his or her duties.
3.   The Executive Director shall be responsible for:
(a)
the day-to-day administration of ENISA;
(b)
implementing the decisions adopted by the Management Board;
(c)
preparing the draft single programming document and submitting it to the Management Board for approval before its submission to the Commission;
(d)
implementing the single programming document and reporting to the Management Board thereon;
(e)
preparing the consolidated annual report on ENISA’s activities, including the implementation of ENISA’s annual work programme, and presenting it to the Management Board for assessment and adoption;
(f)
preparing an action plan that follows up on the conclusions of the retrospective evaluations, and reporting on progress every two years to the Commission;
(g)
preparing an action plan that follows up on the conclusions of internal or external audit reports, as well as on investigations by OLAF and reporting on progress biannually to the Commission and regularly to the Management Board;
(h)
preparing the draft financial rules applicable to ENISA as referred to in Article 32;
(i)
preparing ENISA’s draft statement of estimates of revenue and expenditure and implementing its budget;
(j)
protecting the financial interests of the Union by the application of preventive measures against fraud, corruption and any other illegal activities, by effective checks and, if irregularities are detected, by the recovery of the amounts wrongly paid and, where appropriate, by effective, proportionate and dissuasive administrative and financial penalties;
(k)
preparing an anti-fraud strategy for ENISA and presenting it to the Management Board for approval;
(l)
developing and maintaining contact with the business community and consumers’ organisations to ensure regular dialogue with relevant stakeholders;
(m)
exchanging views and information regularly with Union institutions, bodies, offices and agencies regarding their activities relating to cybersecurity to ensure coherence in the development and the implementation of Union policy;
(n)
carrying out other tasks assigned to the Executive Director by this Regulation.
4.   Where necessary and within ENISA’s objectives and tasks, the Executive Director may set up ad hoc working groups composed of experts, including experts from the Member States’ competent authorities. The Executive Director shall inform the Management Board in advance thereof. The procedures regarding in particular the composition of the working groups, the appointment of the experts of the working groups by the Executive Director and the operation of the working groups shall be specified in ENISA’s internal rules of operation.
5.   Where necessary, for the purpose of carrying out ENISA’s tasks in an efficient and effective manner and based on an appropriate cost-benefit analysis, the Executive Director may decide to establish one or more local offices in one or more Member States. Before deciding to establish a local office, the Executive Director shall seek the opinion of the Member States concerned, including the Member State in which the seat of ENISA is located, and shall obtain the prior consent of the Commission and the Management Board. In cases of disagreement during the consultation process between the Executive Director and the Member States concerned, the issue shall be brought to the Council for discussion. The aggregate number of staff in all local offices shall be kept to a minimum and shall not exceed 40 % of the total number of ENISA’s staff located in the Member State in which the seat of ENISA is located. The number of the staff in each local office shall not exceed 10 % of the total number of ENISA’s staff located in the Member State in which the seat of ENISA is located.
The decision establishing a local office shall specify the scope of the activities to be carried out at the local office in a manner that avoids unnecessary costs and duplication of administrative functions of ENISA.
Section 4
ENISA Advisory Group, Stakeholder Cybersecurity Certification Group and National Liaison Officers Network
Article 21
ENISA Advisory Group
1.   The Management Board, acting on a proposal from the Executive Director, shall establish in a transparent manner the ENISA Advisory Group composed of recognised experts representing the relevant stakeholders, such as the ICT industry, providers of electronic communications networks or services available to the public, SMEs, operators of essential services, consumer groups, academic experts in the field of cybersecurity, and representatives of competent authorities notified in accordance with Directive (EU) 2018/1972, of European standardisation organisations, as well as of law enforcement and data protection supervisory authorities. The Management Board shall aim to ensure an appropriate gender and geographical balance as well as a balance between the different stakeholder groups.
2.   Procedures for the ENISA Advisory Group, in particular regarding its composition, the proposal by the Executive Director referred to in paragraph 1, the number and appointment of its members and the operation of the ENISA Advisory Group, shall be specified in ENISA’s internal rules of operation and shall be made public.
3.   The ENISA Advisory Group shall be chaired by the Executive Director or by any person whom the Executive Director appoints on a case-by-case basis.
4.   The term of office of the members of the ENISA Advisory Group shall be two-and-a-half years. Members of the Management Board shall not be members of the ENISA Advisory Group. Experts from the Commission and the Member States shall be entitled to be present at the meetings of the ENISA Advisory Group and to participate in its work. Representatives of other bodies deemed to be relevant by the Executive Director, who are not members of the ENISA Advisory Group, may be invited to attend the meetings of the ENISA Advisory Group and to participate in its work.
5.   The ENISA Advisory Group shall advise ENISA in respect of the performance of ENISA’s tasks, except of the application of the provisions of Title III of this Regulation. It shall in particular advise the Executive Director on the drawing up of a proposal for ENISA’s annual work programme, and on ensuring communication with the relevant stakeholders on issues related to the annual work programme.
6.   The ENISA Advisory Group shall inform the Management Board of its activities on a regular basis.
Article 22
Stakeholder Cybersecurity Certification Group
1.   The Stakeholder Cybersecurity Certification Group shall be established.
2.   The Stakeholder Cybersecurity Certification Group shall be composed of members selected from among recognised experts representing the relevant stakeholders. The Commission, following a transparent and open call, shall select, on the basis of a proposal from ENISA, members of the Stakeholder Cybersecurity Certification Group ensuring a balance between the different stakeholder groups as well as an appropriate gender and geographical balance.
3.   The Stakeholder Cybersecurity Certification Group shall:
(a)
advise the Commission on strategic issues regarding the European cybersecurity certification framework;
(b)
upon request, advise ENISA on general and strategic matters concerning ENISA’s tasks relating to market, cybersecurity certification, and standardisation;
(c)
assist the Commission in the preparation of the Union rolling work programme referred to in Article 47;
(d)
issue an opinion on the Union rolling work programme pursuant to Article 47(4); and
(e)
in urgent cases, provide advice to the Commission and the ECCG on the need for additional certification schemes not included in the Union rolling work programme, as outlined in Articles 47 and 48.
4.   The Stakeholder Certification Group shall be co-chaired by the representatives of the Commission and of ENISA, and its secretariat shall be provided by ENISA.
Article 23
National Liaison Officers Network
1.   The Management Board, acting on a proposal from the Executive Director, shall set up a National Liaison Officers Network composed of representatives of all Member States (National Liaison Officers). Each Member State shall appoint one representative to the National Liaison Officers Network. The meetings of the National Liaison Officers Network may be held in different expert formations.
2.   The National Liaison Officers Network shall in particular facilitate the exchange of information between ENISA and the Member States, and shall support ENISA in disseminating its activities, findings and recommendations to the relevant stakeholders across the Union.
3.   National Liaison Officers shall act as a point of contact at national level to facilitate cooperation between ENISA and national experts in the context of the implementation of ENISA’s annual work programme.
4.   While National Liaison Officers shall cooperate closely with the Management Board representatives of their respective Member States, the National Liaisons Officers Network itself shall not duplicate the work of the Management Board or of other Union forums.
5.   The functions and procedures of the National Liaisons Officers Network shall be specified in ENISA’s internal rules of operation and shall be made public.
Section 5
Operation
Article 24
Single programming document
1.   ENISA shall operate in accordance with a single programming document containing its annual and multiannual programming, which shall include all of its planned activities.
2.   Each year, the Executive Director shall draw up a draft single programming document containing its annual and multiannual programming with the corresponding financial and human resources planning in accordance with Article 32 of Commission Delegated Regulation (EU) No 1271/2013 
(
25
)
 and taking into account the guidelines set by the Commission.
3.   By 30 November each year, the Management Board shall adopt the single programming document referred to in paragraph 1 and shall transmit it to the European Parliament, to the Council and to the Commission by 31 January of the following year, as well as any subsequently updated versions of that document.
4.   The single programming document shall become final after the definitive adoption of the general budget of the Union and shall be adjusted as necessary.
5.   The annual work programme shall comprise detailed objectives and expected results including performance indicators. It shall also contain a description of the actions to be financed and an indication of the financial and human resources allocated to each action, in accordance with the principles of activity-based budgeting and management. The annual work programme shall be coherent with the multiannual work programme referred to in paragraph 7. It shall clearly indicate tasks that have been added, changed or deleted in comparison with the previous financial year.
6.   The Management Board shall amend the adopted annual work programme when a new task is assigned to ENISA. Any substantial amendments to the annual work programme shall be adopted by the same procedure as for the initial annual work programme. The Management Board may delegate the power to make non-substantial amendments to the annual work programme to the Executive Director.
7.   The multiannual work programme shall set out the overall strategic programming including objectives, expected results and performance indicators. It shall also set out the resource programming including multi-annual budget and staff.
8.   The resource programming shall be updated annually. The strategic programming shall be updated where appropriate and in particular where necessary to address the outcome of the evaluation referred to in Article 67.
Article 25
Declaration of interests
1.   Members of the Management Board, the Executive Director, and officials seconded by Member States on a temporary basis, shall each make a declaration of commitments and a declaration indicating the absence or presence of any direct or indirect interest which might be considered to be prejudicial to their independence. The declarations shall be accurate and complete, shall be made annually in writing, and shall be updated whenever necessary.
2.   Members of the Management Board, the Executive Director, and external experts participating in ad hoc working groups, shall each accurately and completely declare, at the latest at the start of each meeting, any interest which might be considered to be prejudicial to their independence in relation to the items on the agenda, and shall abstain from participating in the discussion of and voting on such items.
3.   ENISA shall lay down, in its internal rules of operation, the practical arrangements for the rules on declarations of interest referred to in paragraphs 1 and 2.
Article 26
Transparency
1.   ENISA shall carry out its activities with a high level of transparency and in accordance with Article 28.
2.   ENISA shall ensure that the public and any interested parties are provided with appropriate, objective, reliable and easily accessible information, in particular with regard to the results of its work. It shall also make public the declarations of interest made in accordance with Article 25.
3.   The Management Board, acting on a proposal from the Executive Director, may authorise interested parties to observe the proceedings of some of ENISA’s activities.
4.   ENISA shall lay down, in its internal rules of operation, the practical arrangements for implementing the transparency rules referred to in paragraphs 1 and 2.
Article 27
Confidentiality
1.   Without prejudice to Article 28, ENISA shall not divulge to third parties information that it processes or receives in relation to which a reasoned request for confidential treatment has been made.
2.   Members of the Management Board, the Executive Director, the members of the ENISA Advisory Group, external experts participating in ad hoc working groups, and members of the staff of ENISA, including officials seconded by Member States on a temporary basis, shall comply with the confidentiality requirements of Article 339 TFEU, even after their duties have ceased.
3.   ENISA shall lay down, in its internal rules of operation, the practical arrangements for implementing the confidentiality rules referred to in paragraphs 1 and 2.
4.   If required for the performance of ENISA’s tasks, the Management Board shall decide to allow ENISA to handle classified information. In that case ENISA, in agreement with the Commission services, shall adopt security rules applying the security principles set out in Commission Decisions (EU, Euratom) 2015/443 
(
26
)
 and 2015/444 
(
27
)
. Those security rules shall include provisions for the exchange, processing and storage of classified information.
Article 28
Access to documents
1.   Regulation (EC) No 1049/2001 shall apply to documents held by ENISA.
2.   The Management Board shall adopt arrangements for implementing Regulation (EC) No 1049/2001 by 28 December 2019.
3.   Decisions taken by ENISA pursuant to Article 8 of Regulation (EC) No 1049/2001 may be the subject of a complaint to the European Ombudsman under Article 228 TFEU or of an action before the Court of Justice of the European Union under Article 263 TFEU.
CHAPTER IV
Establishment and structure of ENISA’s budget
Article 29
Establishment of ENISA’s budget
1.   Each year, the Executive Director shall draw up a draft statement of estimates of ENISA’s revenue and expenditure for the following financial year, and shall transmit it to the Management Board, together with a draft establishment plan. Revenue and expenditure shall be in balance.
2.   Each year the Management Board, on the basis of the draft statement of estimates, shall produce a statement of estimates of ENISA’s revenue and expenditure for the following financial year.
3.   The Management Board, by 31 January each year, shall send the statement of estimates, which shall be part of the draft single programming document, to the Commission and the third countries with which the Union has concluded agreements as referred to in Article 42(2).
4.   On the basis of the statement of estimates, the Commission shall enter in the draft general budget of the Union the estimates it deems to be necessary for the establishment plan and the amount of the contribution to be charged to the general budget of the Union, which it shall submit to the European Parliament and to the Council in accordance with Article 314 TFEU.
5.   The European Parliament and the Council shall authorise the appropriations for the contribution from the Union to ENISA.
6.   The European Parliament and the Council shall adopt ENISA’s establishment plan.
7.   The Management Board shall adopt ENISA’s budget together with the single programming document. ENISA’s budget shall become final following the definitive adoption of the general budget of the Union. Where necessary, the Management Board shall adjust ENISA’s budget and single programming document in accordance with the general budget of the Union.
Article 30
Structure of ENISA’s budget
1.   Without prejudice to other resources, ENISA’s revenue shall be composed of:
(a)
a contribution from the general budget of the Union;
(b)
revenue assigned to specific items of expenditure in accordance with its financial rules referred to in Article 32;
(c)
Union funding in the form of delegation agreements or ad hoc grants in accordance with its financial rules referred to in Article 32 and with the provisions of the relevant instruments supporting the policies of the Union;
(d)
contributions from third countries participating in the work of ENISA as referred to in Article 42;
(e)
any voluntary contributions from Member States in money or in kind.
Member States that provide voluntary contributions under point (e) of the first subparagraph shall not claim any specific right or service as a result thereof.
2.   The expenditure of ENISA shall include staff, administrative and technical support, infrastructure and operational expenses, and expenses resulting from contracts with third parties.
Article 31
Implementation of ENISA’s budget
1.   The Executive Director shall be responsible for the implementation of ENISA’s budget.
2.   The Commission’s internal auditor shall exercise the same powers over ENISA as over Commission departments.
3.   ENISA’s accounting officer shall send the provisional accounts for the financial year (year N) to the Commission’s accounting officer and to the Court of Auditors by 1 March of the following financial year (year N + 1).
4.   Upon the receipt of the Court of Auditors’ observations on ENISA’s provisional accounts pursuant to Article 246 of Regulation (EU, Euratom) 2018/1046 of the European Parliament and of the Council 
(
28
)
, ENISA’s accounting officer shall draw up ENISA’s final accounts under his or her responsibility and shall submit them to the Management Board for an opinion.
5.   The Management Board shall deliver an opinion on ENISA’s final accounts.
6.   By 31 March of year N + 1, the Executive Director shall transmit the report on the budgetary and financial management to the European Parliament, to the Council, to the Commission and to the Court of Auditors.
7.   By 1 July of year N + 1, ENISA’s accounting officer shall transmit ENISA’s final accounts to the European Parliament, to the Council, to the Commission’s accounting officer and to the Court of Auditors, together with the Management Board’s opinion.
8.   At the same date as the transmission of ENISA’s final accounts, ENISA’s accounting officer shall also send to the Court of Auditors a representation letter covering those final accounts, with a copy to the Commission’s accounting officer.
9.   By 15 November of year N + 1, the Executive Director shall publish ENISA’s final accounts in the 
Official Journal of the European Union
.
10.   By 30 September of year N + 1, the Executive Director shall send the Court of Auditors a reply to its observations and shall also send a copy of that reply to the Management Board and to the Commission.
11.   The Executive Director shall submit to the European Parliament, at the latter’s request, any information required for the smooth application of the discharge procedure for the financial year concerned in accordance with Article 261(3) of Regulation (EU, Euratom) 2018/1046.
12.   On a recommendation from the Council, the European Parliament shall, before 15 May of year N + 2, give a discharge to the Executive Director in respect of the implementation of the budget for the year N.
Article 32
Financial rules
The financial rules applicable to ENISA shall be adopted by the Management Board after consulting the Commission. They shall not depart from Delegated Regulation (EU) No 1271/2013 unless such a departure is specifically required for the operation of ENISA and the Commission has given its prior consent.
Article 33
Combating fraud
1.   In order to facilitate the combating of fraud, corruption and other unlawful activities under Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council 
(
29
)
, ENISA shall by 28 December 2019, accede to the Interinstitutional Agreement of 25 May 1999 between the European Parliament, the Council of the European Union and the Commission of the European Communities concerning internal investigations by the European Anti-Fraud Office (OLAF) 
(
30
)
. ENISA shall adopt appropriate provisions applicable to all employees of ENISA, using the template set out in the Annex to that Agreement.
2.   The Court of Auditors shall have the power of audit, on the basis of documents and of on-the-spot inspections, over all grant beneficiaries, contractors and subcontractors who have received Union funds from ENISA.
3.   OLAF may carry out investigations, including on-the-spot checks and inspections, in accordance with the provisions and procedures laid down in Regulation (EU, Euratom) No 883/2013 and Council Regulation (Euratom, EC) No 2185/96 
(
31
)
, with a view to establishing whether there has been fraud, corruption or any other illegal activity affecting the financial interests of the Union in connection with a grant or a contract funded by ENISA.
4.   Without prejudice to paragraphs 1, 2 and 3, cooperation agreements with third countries or international organisations, contracts, grant agreements and grant decisions of ENISA shall contain provisions expressly empowering the Court of Auditors and OLAF to conduct such audits and investigations, according to their respective competences.
CHAPTER V
Staff
Article 34
General provisions
The Staff Regulations of Officials and the Conditions of Employment of Other Servants, as well as the rules adopted by agreement between the Union institutions for giving effect to the Staff Regulations of Officials and the Conditions of Employment of Other Servants shall apply to the staff of ENISA.
Article 35
Privileges and immunity
Protocol No 7 on the privileges and immunities of the European Union, annexed to the TEU and to the TFEU, shall apply to ENISA and its staff.
Article 36
Executive Director
1.   The Executive Director shall be engaged as a temporary agent of ENISA under point (a) of Article 2 of the Conditions of Employment of Other Servants.
2.   The Executive Director shall be appointed by the Management Board from a list of candidates proposed by the Commission, following an open and transparent selection procedure.
3.   For the purpose of concluding the employment contract with the Executive Director, ENISA shall be represented by the Chairperson of the Management Board.
4.   Before appointment, the candidate selected by the Management Board shall be invited to make a statement before the relevant committee of the European Parliament and to answer Members’ questions.
5.   The term of office of the Executive Director shall be five years. By the end of that period, the Commission shall carry out an assessment of the performance of the Executive Director and ENISA’s future tasks and challenges.
6.   The Management Board shall reach decisions on appointment, extension of the term of office or removal from office of the Executive Director in accordance with Article 18(2).
7.   The Management Board, acting on a proposal from the Commission which takes into account the assessment referred to in paragraph 5, may extend the term of office of the Executive Director once by five years.
8.   The Management Board shall inform the European Parliament about its intention to extend the Executive Director’s term of office. Within three months before any such extension, the Executive Director, if invited, shall make a statement before the relevant committee of the European Parliament and answer Members’ questions.
9.   An Executive Director whose term of office has been extended shall not participate in another selection procedure for the same post.
10.   The Executive Director may be removed from office only by decision of the Management Board acting on a proposal from the Commission.
Article 37
Seconded national experts and other staff
1.   ENISA may make use of seconded national experts or other staff not employed by ENISA. The Staff Regulations of Officials and the Conditions of Employment of Other Servants shall not apply to such staff.
2.   The Management Board shall adopt a decision laying down rules on the secondment of national experts to ENISA.
CHAPTER VI
General provisions concerning ENISA
Article 38
Legal status of ENISA
1.   ENISA shall be a body of the Union and shall have legal personality.
2.   In each Member State ENISA shall enjoy the most extensive legal capacity accorded to legal persons under national law. It may, in particular, acquire or dispose of movable and immovable property and be a party to legal proceedings.
3.   ENISA shall be represented by the Executive Director.
Article 39
Liability of ENISA
1.   The contractual liability of ENISA shall be governed by the law applicable to the contract in question.
2.   The Court of Justice of the European Union shall have jurisdiction to give judgment pursuant to any arbitration clause contained in a contract concluded by ENISA.
3.   In the case of non-contractual liability, ENISA shall make good any damage caused by it or its staff in the performance of their duties, in accordance with the general principles common to the laws of the Member States.
4.   The Court of Justice of the European Union shall have jurisdiction in any dispute over compensation for damage as referred to in paragraph 3.
5.   The personal liability of ENISA’s staff towards ENISA shall be governed by the relevant conditions applying to ENISA’s staff.
Article 40
Language arrangements
1.   Council Regulation No 1 
(
32
)
 shall apply to ENISA. The Member States and the other bodies appointed by the Member States may address ENISA and receive a reply in the official language of the institutions of the Union that they choose.
2.   The translation services required for the functioning of ENISA shall be provided by the Translation Centre for the Bodies of the European Union.
Article 41
Protection of personal data
1.   The processing of personal data by ENISA shall be subject to Regulation (EU) 2018/1725.
2.   The Management Board shall adopt implementing rules as referred to in Article 45(3) of Regulation (EU) 2018/1725. The Management Board may adopt additional measures necessary for the application of Regulation (EU) 2018/1725 by ENISA.
Article 42
Cooperation with third countries and international organisations
1.   To the extent necessary in order to achieve the objectives set out in this Regulation, ENISA may cooperate with the competent authorities of third countries or with international organisations or both. To that end, ENISA may establish working arrangements with the authorities of third countries and international organisations, subject to the prior approval of the Commission. Those working arrangements shall not create legal obligations incumbent on the Union and its Member States.
2.   ENISA shall be open to the participation of third countries that have concluded agreements with the Union to that effect. Under the relevant provisions of such agreements, working arrangements shall be established specifying in particular the nature, extent and manner in which those third countries are to participate in ENISA’s work, and shall include provisions relating to participation in the initiatives undertaken by ENISA, to financial contributions and to staff. As regards staff matters, those working arrangements shall comply with the Staff Regulations of Officials and Conditions of Employment of Other Servants in any event.
3.   The Management Board shall adopt a strategy for relations with third countries and international organisations concerning matters for which ENISA is competent. The Commission shall ensure that ENISA operates within its mandate and the existing institutional framework by concluding appropriate working arrangements with the Executive Director.
Article 43
Security rules on the protection of sensitive non-classified information and classified information
After consulting the Commission, ENISA shall adopt security rules applying the security principles contained in the Commission’s security rules for protecting sensitive non-classified information and EUCI, as set out in Decisions (EU, Euratom) 2015/443 and 2015/444. ENISA’s security rules shall include provisions for the exchange, processing and storage of such information.
Article 44
Headquarters Agreement and operating conditions
1.   The necessary arrangements concerning the accommodation to be provided for ENISA in the host Member State and the facilities to be made available by that Member State together with the specific rules applicable in the host Member State to the Executive Director, members of the Management Board, ENISA’s staff and members of their families shall be laid down in a headquarters agreement between ENISA and the host Member State, concluded after obtaining the approval of the Management Board.
2.   ENISA’s host Member State shall provide the best possible conditions for ensuring the proper functioning of ENISA, taking into account the accessibility of the location, the existence of adequate education facilities for the children of staff members, appropriate access to the labour market, social security and medical care for both children and spouses of staff members.
Article 45
Administrative control
The operations of ENISA shall be supervised by the European Ombudsman in accordance with Article 228 TFEU.
TITLE III
CYBERSECURITY CERTIFICATION FRAMEWORK
Article 46
European cybersecurity certification framework
1.   The European cybersecurity certification framework shall be established in order to improve the conditions for the functioning of the internal market by increasing the level of cybersecurity within the Union and enabling a harmonised approach at Union level to European cybersecurity certification schemes, with a view to creating a digital single market for ICT products, ICT services and ICT processes.
2.   The European cybersecurity certification framework shall provide for a mechanism to establish European cybersecurity certification schemes and to attest that the ICT products, ICT services and ICT processes that have been evaluated in accordance with such schemes comply with specified security requirements for the purpose of protecting the availability, authenticity, integrity or confidentiality of stored or transmitted or processed data or the functions or services offered by, or accessible via, those products, services and processes throughout their life cycle.
Article 47
The Union rolling work programme for European cybersecurity certification
1.   The Commission shall publish a Union rolling work programme for European cybersecurity certification (the ‘Union rolling work programme’) that shall identify strategic priorities for future European cybersecurity certification schemes.
2.   The Union rolling work programme shall in particular include a list of ICT products, ICT services and ICT processes or categories thereof that are capable of benefiting from being included in the scope of a European cybersecurity certification scheme.
3.   Inclusion of specific ICT products, ICT services and ICT processes or categories thereof in the Union rolling work programme shall be justified on the basis of one or more of the following grounds:
(a)
the availability and the development of national cybersecurity certification schemes covering a specific category of ICT products, ICT services or ICT processes and, in particular, as regards the risk of fragmentation;
(b)
relevant Union or Member State law or policy;
(c)
market demand;
(d)
developments in the cyber threat landscape;
(e)
request for the preparation of a specific candidate scheme by the ECCG.
4.   The Commission shall take due account of the opinions issued by the ECCG and the Stakeholder Certification Group on the draft Union rolling work programme.
5.   The first Union rolling work programme shall be published by 28 June 2020. The Union rolling work programme shall be updated at least once every three years and more often if necessary.
Article 48
Request for a European cybersecurity certification scheme
1.   The Commission may request ENISA to prepare a candidate scheme or to review an existing European cybersecurity certification scheme on the basis of the Union rolling work programme.
2.   In duly justified cases, the Commission or the ECCG may request ENISA to prepare a candidate scheme or to review an existing European cybersecurity certification scheme which is not included in the Union rolling work programme. The Union rolling work programme shall be updated accordingly.
Article 49
Preparation, adoption and review of a European cybersecurity certification scheme
1.   Following a request from the Commission pursuant to Article 48, ENISA shall prepare a candidate scheme which meets the requirements set out in Articles 51, 52 and 54.
2.   Following a request from the ECCG pursuant to Article 48(2), ENISA may prepare a candidate scheme which meets the requirements set out in Articles 51, 52 and 54. If ENISA refuses such a request, it shall give reasons for its refusal. Any decision to refuse such a request shall be taken by the Management Board.
3.   When preparing a candidate scheme, ENISA shall consult all relevant stakeholders by means of a formal, open, transparent and inclusive consultation process.
4.   For each candidate scheme, ENISA shall establish an ad hoc working group in accordance with Article 20(4) for the purpose of providing ENISA with specific advice and expertise.
5.   ENISA shall closely cooperate with the ECCG. The ECCG shall provide ENISA with assistance and expert advice in relation to the preparation of the candidate scheme and shall adopt an opinion on the candidate scheme.
6.   ENISA shall take utmost account of the opinion of the ECCG before transmitting the candidate scheme prepared in accordance with paragraphs 3, 4 and 5 to the Commission. The opinion of the ECCG shall not bind ENISA, nor shall the absence of such an opinion prevent ENISA from transmitting the candidate scheme to the Commission.
7.   The Commission, based on the candidate scheme prepared by ENISA, may adopt implementing acts providing for a European cybersecurity certification scheme for ICT products, ICT services and ICT processes which meets the requirements set out in Articles 51, 52 and 54. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 66(2).
8.   At least every five years, ENISA shall evaluate each adopted European cybersecurity certification scheme, taking into account the feedback received from interested parties. If necessary, the Commission or the ECCG may request ENISA to start the process of developing a revised candidate scheme in accordance with Article 48 and this Article.
Article 50
Website on European cybersecurity certification schemes
1.   ENISA shall maintain a dedicated website providing information on, and publicising, European cybersecurity certification schemes, European cybersecurity certificates and EU statements of conformity, including information with regard to European cybersecurity certification schemes which are no longer valid, to withdrawn and expired European cybersecurity certificates and EU statements of conformity, and to the repository of links to cybersecurity information provided in accordance with Article 55.
2.   Where applicable, the website referred to in paragraph 1 shall also indicate the national cybersecurity certification schemes that have been replaced by a European cybersecurity certification scheme.
Article 51
Security objectives of European cybersecurity certification schemes
A European cybersecurity certification scheme shall be designed to achieve, as applicable, at least the following security objectives:
(a)
to protect stored, transmitted or otherwise processed data against accidental or unauthorised storage, processing, access or disclosure during the entire life cycle of the ICT product, ICT service or ICT process;
(b)
to protect stored, transmitted or otherwise processed data against accidental or unauthorised destruction, loss or alteration or lack of availability during the entire life cycle of the ICT product, ICT service or ICT process;
(c)
that authorised persons, programs or machines are able only to access the data, services or functions to which their access rights refer;
(d)
to identify and document known dependencies and vulnerabilities;
(e)
to record which data, services or functions have been accessed, used or otherwise processed, at what times and by whom;
(f)
to make it possible to check which data, services or functions have been accessed, used or otherwise processed, at what times and by whom;
(g)
to verify that ICT products, ICT services and ICT processes do not contain known vulnerabilities;
(h)
to restore the availability and access to data, services and functions in a timely manner in the event of a physical or technical incident;
(i)
that ICT products, ICT services and ICT processes are secure by default and by design;
(j)
that ICT products, ICT services and ICT processes are provided with up-to-date software and hardware that do not contain publicly known vulnerabilities, and are provided with mechanisms for secure updates.
Article 52
Assurance levels of European cybersecurity certification schemes
1.   A European cybersecurity certification scheme may specify one or more of the following assurance levels for ICT products, ICT services and ICT processes: ‘basic’, ‘substantial’ or ‘high’. The assurance level shall be commensurate with the level of the risk associated with the intended use of the ICT product, ICT service or ICT process, in terms of the probability and impact of an incident.
2.   European cybersecurity certificates and EU statements of conformity shall refer to any assurance level specified in the European cybersecurity certification scheme under which the European cybersecurity certificate or EU statement of conformity is issued.
3.   The security requirements corresponding to each assurance level shall be provided in the relevant European cybersecurity certification scheme, including the corresponding security functionalities and the corresponding rigour and depth of the evaluation that the ICT product, ICT service or ICT process is to undergo.
4.   The certificate or the EU statement of conformity shall refer to technical specifications, standards and procedures related thereto, including technical controls, the purpose of which is to decrease the risk of, or to prevent cybersecurity incidents.
5.   A European cybersecurity certificate or EU statement of conformity that refers to assurance level ‘basic’ shall provide assurance that the ICT products, ICT services and ICT processes for which that certificate or that EU statement of conformity is issued meet the corresponding security requirements, including security functionalities, and that they have been evaluated at a level intended to minimise the known basic risks of incidents and cyberattacks. The evaluation activities to be undertaken shall include at least a review of technical documentation. Where such a review is not appropriate, substitute evaluation activities with equivalent effect shall be undertaken.
6.   A European cybersecurity certificate that refers to assurance level ‘substantial’ shall provide assurance that the ICT products, ICT services and ICT processes for which that certificate is issued meet the corresponding security requirements, including security functionalities, and that they have been evaluated at a level intended to minimise the known cybersecurity risks, and the risk of incidents and cyberattacks carried out by actors with limited skills and resources. The evaluation activities to be undertaken shall include at least the following: a review to demonstrate the absence of publicly known vulnerabilities and testing to demonstrate that the ICT products, ICT services or ICT processes correctly implement the necessary security functionalities. Where any such evaluation activities are not appropriate, substitute evaluation activities with equivalent effect shall be undertaken.
7.   A European cybersecurity certificate that refers to assurance level ‘high’ shall provide assurance that the ICT products, ICT services and ICT processes for which that certificate is issued meet the corresponding security requirements, including security functionalities, and that they have been evaluated at a level intended to minimise the risk of state-of-the-art cyberattacks carried out by actors with significant skills and resources. The evaluation activities to be undertaken shall include at least the following: a review to demonstrate the absence of publicly known vulnerabilities; testing to demonstrate that the ICT products, ICT services or ICT processes correctly implement the necessary security functionalities at the state of the art; and an assessment of their resistance to skilled attackers, using penetration testing. Where any such evaluation activities are not appropriate, substitute activities with equivalent effect shall be undertaken.
8.   A European cybersecurity certification scheme may specify several evaluation levels depending on the rigour and depth of the evaluation methodology used. Each of the evaluation levels shall correspond to one of the assurance levels and shall be defined by an appropriate combination of assurance components.
Article 53
Conformity self-assessment
1.   A European cybersecurity certification scheme may allow for the conformity self-assessment under the sole responsibility of the manufacturer or provider of ICT products, ICT services or ICT processes. Conformity self-assessment shall be permitted only in relation to ICT products, ICT services and ICT processes that present a low risk corresponding to assurance level ‘basic’.
2.   The manufacturer or provider of ICT products, ICT services or ICT processes may issue an EU statement of conformity stating that the fulfilment of the requirements set out in the scheme has been demonstrated. By issuing such a statement, the manufacturer or provider of ICT products, ICT services or ICT processes shall assume responsibility for the compliance of the ICT product, ICT service or ICT process with the requirements set out in that scheme.
3.   The manufacturer or provider of ICT products, ICT services or ICT processes shall make the EU statement of conformity, technical documentation, and all other relevant information relating to the conformity of the ICT products or ICT services with the scheme available to the national cybersecurity certification authority referred to in Article 58 for the period provided for in the corresponding European cybersecurity certification scheme. A copy of the EU statement of conformity shall be submitted to the national cybersecurity certification authority and to ENISA.
4.   The issuing of an EU statement of conformity is voluntary, unless otherwise specified in Union law or Member State law.
5.   EU statements of conformity shall be recognised in all Member States.
Article 54
Elements of European cybersecurity certification schemes
1.   A European cybersecurity certification scheme shall include at least the following elements:
(a)
the subject matter and scope of the certification scheme, including the type or categories of ICT products, ICT services and ICT processes covered;
(b)
a clear description of the purpose of the scheme and of how the selected standards, evaluation methods and assurance levels correspond to the needs of the intended users of the scheme;
(c)
references to the international, European or national standards applied in the evaluation or, where such standards are not available or appropriate, to technical specifications that meet the requirements set out in Annex II to Regulation (EU) No 1025/2012 or, if such specifications are not available, to technical specifications or other cybersecurity requirements defined in the European cybersecurity certification scheme;
(d)
where applicable, one or more assurance levels;
(e)
an indication of whether conformity self-assessment is permitted under the scheme;
(f)
where applicable, specific or additional requirements to which conformity assessment bodies are subject in order to guarantee their technical competence to evaluate the cybersecurity requirements;
(g)
the specific evaluation criteria and methods to be used, including types of evaluation, in order to demonstrate that the security objectives referred to in Article 51 are achieved;
(h)
where applicable, the information which is necessary for certification and which is to be supplied or otherwise be made available to the conformity assessment bodies by an applicant;
(i)
where the scheme provides for marks or labels, the conditions under which such marks or labels may be used;
(j)
rules for monitoring compliance of ICT products, ICT services and ICT processes with the requirements of the European cybersecurity certificates or the EU statements of conformity, including mechanisms to demonstrate continued compliance with the specified cybersecurity requirements;
(k)
where applicable, the conditions for issuing, maintaining, continuing and renewing the European cybersecurity certificates, as well as the conditions for extending or reducing the scope of certification;
(l)
rules concerning the consequences for ICT products, ICT services and ICT processes that have been certified or for which an EU statement of conformity has been issued, but which do not comply with the requirements of the scheme;
(m)
rules concerning how previously undetected cybersecurity vulnerabilities in ICT products, ICT services and ICT processes are to be reported and dealt with;
(n)
where applicable, rules concerning the retention of records by conformity assessment bodies;
(o)
the identification of national or international cybersecurity certification schemes covering the same type or categories of ICT products, ICT services and ICT processes, security requirements, evaluation criteria and methods, and assurance levels;
(p)
the content and the format of the European cybersecurity certificates and the EU statements of conformity to be issued;
(q)
the period of the availability of the EU statement of conformity, technical documentation, and all other relevant information to be made available by the manufacturer or provider of ICT products, ICT services or ICT processes;
(r)
maximum period of validity of European cybersecurity certificates issued under the scheme;
(s)
disclosure policy for European cybersecurity certificates issued, amended or withdrawn under the scheme;
(t)
conditions for the mutual recognition of certification schemes with third countries;
(u)
where applicable, rules concerning any peer assessment mechanism established by the scheme for the authorities or bodies issuing European cybersecurity certificates for assurance level ‘high’ pursuant to Article 56(6). Such mechanism shall be without prejudice to the peer review provided for in Article 59;
(v)
format and procedures to be followed by manufacturers or providers of ICT products, ICT services or ICT processes in supplying and updating the supplementary cybersecurity information in accordance with Article 55.
2.   The specified requirements of the European cybersecurity certification scheme shall be consistent with any applicable legal requirements, in particular requirements emanating from harmonised Union law.
3.   Where a specific Union legal act so provides, a certificate or an EU statement of conformity issued under a European cybersecurity certification scheme may be used to demonstrate the presumption of conformity with requirements of that legal act.
4.   In the absence of harmonised Union law, Member State law may also provide that a European cybersecurity certification scheme may be used for establishing the presumption of conformity with legal requirements.
Article 55
Supplementary cybersecurity information for certified ICT products, ICT services and ICT processes
1.   The manufacturer or provider of certified ICT products, ICT services or ICT processes or of ICT products, ICT services and ICT processes for which an EU statement of conformity has been issued shall make publicly available the following supplementary cybersecurity information:
(a)
guidance and recommendations to assist end users with the secure configuration, installation, deployment, operation and maintenance of the ICT products or ICT services;
(b)
the period during which security support will be offered to end users, in particular as regards the availability of cybersecurity related updates;
(c)
contact information of the manufacturer or provider and accepted methods for receiving vulnerability information from end users and security researchers;
(d)
a reference to online repositories listing publicly disclosed vulnerabilities related to the ICT product, ICT service or ICT process and to any relevant cybersecurity advisories.
2.   The information referred to in paragraph 1 shall be available in electronic form and shall remain available and be updated as necessary at least until the expiry of the corresponding European cybersecurity certificate or EU statement of conformity.
Article 56
Cybersecurity certification
1.   ICT products, ICT services and ICT processes that have been certified under a European cybersecurity certification scheme adopted pursuant to Article 49 shall be presumed to comply with the requirements of such scheme.
2.   The cybersecurity certification shall be voluntary, unless otherwise specified by Union law or Member State law.
3.   The Commission shall regularly assess the efficiency and use of the adopted European cybersecurity certification schemes and whether a specific European cybersecurity certification scheme is to be made mandatory through relevant Union law to ensure an adequate level of cybersecurity of ICT products, ICT services and ICT processes in the Union and improve the functioning of the internal market. The first such assessment shall be carried out by 31 December 2023, and subsequent assessments shall be carried out at least every two years thereafter. Based on the outcome of those assessments, the Commission shall identify the ICT products, ICT services and ICT processes covered by an existing certification scheme which are to be covered by a mandatory certification scheme.
As a priority, the Commission shall focus on the sectors listed in Annex II to Directive (EU) 2016/1148, which shall be assessed at the latest two years after the adoption of the first European cybersecurity certification scheme.
When preparing the assessment the Commission shall:
(a)
take into account the impact of the measures on the manufacturers or providers of such ICT products, ICT services or ICT processes and on the users in terms of the cost of those measures and the societal or economic benefits stemming from the anticipated enhanced level of security for the targeted ICT products, ICT services or ICT processes;
(b)
take into account the existence and implementation of relevant Member State and third country law;
(c)
carry out an open, transparent and inclusive consultation process with all relevant stakeholders and Member States;
(d)
take into account any implementation deadlines, transitional measures and periods, in particular with regard to the possible impact of the measure on the manufacturers or providers of ICT products, ICT services or ICT processes, including SMEs;
(e)
propose the most speedy and efficient way in which the transition from a voluntary to mandatory certification schemes is to be implemented.
4.   The conformity assessment bodies referred to in Article 60 shall issue European cybersecurity certificates pursuant to this Article referring to assurance level ‘basic’ or ‘substantial’ on the basis of criteria included in the European cybersecurity certification scheme adopted by the Commission pursuant to Article 49.
5.   By way of derogation from paragraph 4, in duly justified cases a European cybersecurity certification scheme may provide that European cybersecurity certificates resulting from that scheme are to be issued only by a public body. Such body shall be one of the following:
(a)
a national cybersecurity certification authority as referred to in Article 58(1); or
(b)
a public body that is accredited as a conformity assessment body pursuant to Article 60(1).
6.   Where a European cybersecurity certification scheme adopted pursuant to Article 49 requires an assurance level ‘high’, the European cybersecurity certificate under that scheme is to be issued only by a national cybersecurity certification authority or, in the following cases, by a conformity assessment body:
(a)
upon prior approval by the national cybersecurity certification authority for each individual European cybersecurity certificate issued by a conformity assessment body; or
(b)
on the basis of a general delegation of the task of issuing such European cybersecurity certificates to a conformity assessment body by the national cybersecurity certification authority.
7.   The natural or legal person who submits ICT products, ICT services or ICT processes for certification shall make available to the national cybersecurity certification authority referred to in Article 58, where that authority is the body issuing the European cybersecurity certificate, or to the conformity assessment body referred to in Article 60 all information necessary to conduct the certification.
8.   The holder of a European cybersecurity certificate shall inform the authority or body referred to in paragraph 7 of any subsequently detected vulnerabilities or irregularities concerning the security of the certified ICT product, ICT service or ICT process that may have an impact on its compliance with the requirements related to the certification. That authority or body shall forward that information without undue delay to the national cybersecurity certification authority concerned.
9.   A European cybersecurity certificate shall be issued for the period provided for in the European cybersecurity certification scheme and may be renewed, provided that the relevant requirements continue to be met.
10.   A European cybersecurity certificate issued pursuant to this Article shall be recognised in all Member States.
Article 57
National cybersecurity certification schemes and certificates
1.   Without prejudice to paragraph 3 of this Article, national cybersecurity certification schemes, and the related procedures for the ICT products, ICT services and ICT processes that are covered by a European cybersecurity certification scheme shall cease to produce effects from the date established in the implementing act adopted pursuant to Article 49(7). National cybersecurity certification schemes and the related procedures for the ICT products, ICT services and ICT processes that are not covered by a European cybersecurity certification scheme shall continue to exist.
2.   Member States shall not introduce new national cybersecurity certification schemes for ICT products, ICT services and ICT processes already covered by a European cybersecurity certification scheme that is in force.
3.   Existing certificates that were issued under national cybersecurity certification schemes and are covered by a European cybersecurity certification scheme shall remain valid until their expiry date.
4.   With a view to avoiding the fragmentation of the internal market, Member States shall inform the Commission and the ECCG of any intention to draw up new national cybersecurity certification schemes.
Article 58
National cybersecurity certification authorities
1.   Each Member State shall designate one or more national cybersecurity certification authorities in its territory or, with the agreement of another Member State, shall designate one or more national cybersecurity certification authorities established in that other Member State to be responsible for the supervisory tasks in the designating Member State.
2.   Each Member State shall inform the Commission of the identity of the designated national cybersecurity certification authorities. Where a Member State designates more than one authority, it shall also inform the Commission about the tasks assigned to each of those authorities.
3.   Without prejudice to point (a) of Article 56(5) and Article 56(6), each national cybersecurity certification authority shall be independent of the entities it supervises in its organisation, funding decisions, legal structure and decision-making.
4.   Member States shall ensure that the activities of the national cybersecurity certification authorities that relate to the issuance of European cybersecurity certificates referred to in point (a) of Article 56(5) and in Article 56(6) are strictly separated from their supervisory activities set out in this Article and that those activities are carried out independently from each other.
5.   Member States shall ensure that national cybersecurity certification authorities have adequate resources to exercise their powers and to carry out their tasks in an effective and efficient manner.
6.   For the effective implementation of this Regulation, it is appropriate that national cybersecurity certification authorities participate in the ECCG in an active, effective, efficient and secure manner.
7.   National cybersecurity certification authorities shall:
(a)
supervise and enforce rules included in European cybersecurity certification schemes pursuant to point (j) of Article 54(1) for the monitoring of the compliance of ICT products, ICT services and ICT processes with the requirements of the European cybersecurity certificates that have been issued in their respective territories, in cooperation with other relevant market surveillance authorities;
(b)
monitor compliance with and enforce the obligations of the manufacturers or providers of ICT products, ICT services or ICT processes that are established in their respective territories and that carry out conformity self-assessment, and shall, in particular, monitor compliance with and enforce the obligations of such manufacturers or providers set out in Article 53(2) and (3) and in the corresponding European cybersecurity certification scheme;
(c)
without prejudice to Article 60(3), actively assist and support the national accreditation bodies in the monitoring and supervision of the activities of conformity assessment bodies, for the purposes of this Regulation;
(d)
monitor and supervise the activities of the public bodies referred to in Article 56(5);
(e)
where applicable, authorise conformity assessment bodies in accordance with Article 60(3) and restrict, suspend or withdraw existing authorisation where conformity assessment bodies infringe the requirements of this Regulation;
(f)
handle complaints by natural or legal persons in relation to European cybersecurity certificates issued by national cybersecurity certification authorities or to European cybersecurity certificates issued by conformity assessment bodies in accordance with Article 56(6) or in relation to EU statements of conformity issued under Article 53, and shall investigate the subject matter of such complaints to the extent appropriate, and shall inform the complainant of the progress and the outcome of the investigation within a reasonable period;
(g)
provide an annual summary report on the activities conducted under points (b), (c) and (d) of this paragraph or under paragraph 8 to ENISA and the ECCG;
(h)
cooperate with other national cybersecurity certification authorities or other public authorities, including by sharing information on the possible non-compliance of ICT products, ICT services and ICT processes with the requirements of this Regulation or with the requirements of specific European cybersecurity certification schemes; and
(i)
monitor relevant developments in the field of cybersecurity certification.
8.   Each national cybersecurity certification authority shall have at least the following powers:
(a)
to request conformity assessment bodies, European cybersecurity certificates’ holders and issuers of EU statements of conformity to provide any information it requires for the performance of its tasks;
(b)
to carry out investigations, in the form of audits, of conformity assessment bodies, European cybersecurity certificates’ holders and issuers of EU statements of conformity, for the purpose of verifying their compliance with this Title;
(c)
to take appropriate measures, in accordance with national law, to ensure that conformity assessment bodies, European cybersecurity certificates’ holders and issuers of EU statements of conformity comply with this Regulation or with a European cybersecurity certification scheme;
(d)
to obtain access to the premises of any conformity assessment bodies or holders of European cybersecurity certificates, for the purpose of carrying out investigations in accordance with Union or Member State procedural law;
(e)
to withdraw, in accordance with national law, European cybersecurity certificates issued by the national cybersecurity certification authorities or European cybersecurity certificates issued by conformity assessment bodies in accordance with Article 56(6), where such certificates do not comply with this Regulation or with a European cybersecurity certification scheme;
(f)
to impose penalties in accordance with national law, as provided for in Article 65, and to require the immediate cessation of infringements of the obligations set out in this Regulation.
9.   National cybersecurity certification authorities shall cooperate with each other and with the Commission, in particular, by exchanging information, experience and good practices as regards cybersecurity certification and technical issues concerning the cybersecurity of ICT products, ICT services and ICT processes.
Article 59
Peer review
1.   With a view to achieving equivalent standards throughout the Union in respect of European cybersecurity certificates and EU statements of conformity, national cybersecurity certification authorities shall be subject to peer review.
2.   Peer review shall be carried out on the basis of sound and transparent evaluation criteria and procedures, in particular concerning structural, human resource and process requirements, confidentiality and complaints.
3.   Peer review shall assess:
(a)
where applicable, whether the activities of the national cybersecurity certification authorities that relate to the issuance of European cybersecurity certificates referred to in point (a) of Article 56(5) and in Article 56(6) are strictly separated from their supervisory activities set out in Article 58 and whether those activities are carried out independently from each other;
(b)
the procedures for supervising and enforcing the rules for monitoring the compliance of ICT products, ICT services and ICT processes with European cybersecurity certificates pursuant to point (a) of Article 58(7);
(c)
the procedures for monitoring and enforcing the obligations of manufacturers or providers of ICT products, ICT services or ICT processes pursuant to point (b) of Article 58(7);
(d)
the procedures for monitoring, authorising and supervising the activities of the conformity assessment bodies;
(e)
where applicable, whether the staff of authorities or bodies that issue certificates for assurance level ‘high’ pursuant to Article 56(6) have the appropriate expertise.
4.   Peer review shall be carried out by at least two national cybersecurity certification authorities of other Member States and the Commission and shall be carried out at least once every five years. ENISA may participate in the peer review.
5.   The Commission may adopt implementing acts establishing a plan for peer review which covers a period of at least five years, laying down the criteria concerning the composition of the peer review team, the methodology to be used in peer review, and the schedule, the frequency and other tasks related to it. In adopting those implementing acts, the Commission shall take due account of the views of the ECCG. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 66(2).
6.   The outcomes of peer reviews shall be examined by the ECCG, which shall draw up summaries that may be made publicly available and which shall, where necessary, issue guidelines or recommendations on actions or measures to be taken by the entities concerned.
Article 60
Conformity assessment bodies
1.   The conformity assessment bodies shall be accredited by national accreditation bodies appointed pursuant to Regulation (EC) No 765/2008. Such accreditation shall be issued only where the conformity assessment body meets the requirements set out in the Annex to this Regulation.
2.   Where a European cybersecurity certificate is issued by a national cybersecurity certification authority pursuant to point (a) of Article 56(5) and Article 56(6), the certification body of the national cybersecurity certification authority shall be accredited as a conformity assessment body pursuant to paragraph 1 of this Article.
3.   Where European cybersecurity certification schemes set out specific or additional requirements pursuant to point (f) of Article 54(1), only conformity assessment bodies that meet those requirements shall be authorised by the national cybersecurity certification authority to carry out tasks under such schemes.
4.   The accreditation referred to in paragraph 1 shall be issued to the conformity assessment bodies for a maximum of five years and may be renewed on the same conditions, provided that the conformity assessment body still meets the requirements set out in this Article. National accreditation bodies shall take all appropriate measures within a reasonable timeframe to restrict, suspend or revoke the accreditation of a conformity assessment body issued pursuant to paragraph 1 where the conditions for the accreditation have not been met or are no longer met, or where the conformity assessment body infringes this Regulation.
Article 61
Notification
1.   For each European cybersecurity certification scheme, the national cybersecurity certification authorities shall notify the Commission of the conformity assessment bodies that have been accredited and, where applicable, authorised pursuant to Article 60(3) to issue European cybersecurity certificates at specified assurance levels as referred to in Article 52. The national cybersecurity certification authorities shall notify the Commission of any subsequent changes thereto without undue delay.
2.   One year after the entry into force of a European cybersecurity certification scheme, the Commission shall publish a list of the conformity assessment bodies notified under that scheme in the 
Official Journal of the European Union
.
3.   If the Commission receives a notification after the expiry of the period referred to in paragraph 2, it shall publish the amendments to the list of notified conformity assessment bodies in the 
Official Journal of the European Union
 within two months of the date of receipt of that notification.
4.   A national cybersecurity certification authority may submit to the Commission a request to remove a conformity assessment body notified by that authority from the list referred to in paragraph 2. The Commission shall publish the corresponding amendments to that list in the 
Official Journal of the European Union
 within one month of the date of receipt of the national cybersecurity certification authority’s request.
5.   The Commission may adopt implementing acts to establish the circumstances, formats and procedures for notifications referred to in paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 66(2).
Article 62
European Cybersecurity Certification Group
1.   The European Cybersecurity Certification Group (the ‘ECCG’) shall be established.
2.   The ECCG shall be composed of representatives of national cybersecurity certification authorities or representatives of other relevant national authorities. A member of the ECCG shall not represent more than two Member States.
3.   Stakeholders and relevant third parties may be invited to attend meetings of the ECCG and to participate in its work.
4.   The ECCG shall have the following tasks:
(a)
to advise and assist the Commission in its work to ensure the consistent implementation and application of this Title, in particular regarding the Union rolling work programme, cybersecurity certification policy issues, the coordination of policy approaches, and the preparation of European cybersecurity certification schemes;
(b)
to assist, advise and cooperate with ENISA in relation to the preparation of a candidate scheme pursuant to Article 49;
(c)
to adopt an opinion on candidate schemes prepared by ENISA pursuant to Article 49;
(d)
to request ENISA to prepare candidate schemes pursuant to Article 48(2);
(e)
to adopt opinions addressed to the Commission relating to the maintenance and review of existing European cybersecurity certifications schemes;
(f)
to examine relevant developments in the field of cybersecurity certification and to exchange information and good practices on cybersecurity certification schemes;
(g)
to facilitate the cooperation between national cybersecurity certification authorities under this Title through capacity-building and the exchange of information, in particular by establishing methods for the efficient exchange of information relating to issues concerning cybersecurity certification;
(h)
to support the implementation of peer assessment mechanisms in accordance with the rules established in a European cybersecurity certification scheme pursuant to point (u) of Article 54(1);
(i)
to facilitate the alignment of European cybersecurity certification schemes with internationally recognised standards, including by reviewing existing European cybersecurity certification schemes and, where appropriate, making recommendations to ENISA to engage with relevant international standardisation organisations to address insufficiencies or gaps in available internationally recognised standards.
5.   With the assistance of ENISA, the Commission shall chair the ECCG, and the Commission shall provide the ECCG with a secretariat in accordance with point (e) of Article 8(1).
Article 63
Right to lodge a complaint
1.   Natural and legal persons shall have the right to lodge a complaint with the issuer of a European cybersecurity certificate or, where the complaint relates to a European cybersecurity certificate issued by a conformity assessment body when acting in accordance with Article 56(6), with the relevant national cybersecurity certification authority.
2.   The authority or body with which the complaint has been lodged shall inform the complainant of the progress of the proceedings and of the decision taken, and shall inform the complainant of the right to an effective judicial remedy referred to in Article 64.
Article 64
Right to an effective judicial remedy
1.   Notwithstanding any administrative or other non-judicial remedies, natural and legal persons shall have the right to an effective judicial remedy with regard to:
(a)
decisions taken by the authority or body referred to in Article 63(1) including, where applicable, in relation to the improper issuing, failure to issue or recognition of a European cybersecurity certificate held by those natural and legal persons;
(b)
a failure to act on a complaint lodged with the authority or body referred to in Article 63(1).
2.   Proceedings pursuant to this Article shall be brought before the courts of the Member State in which the authority or body against which the judicial remedy is sought is located.
Article 65
Penalties
Member States shall lay down the rules on penalties applicable to infringements of this Title and to infringements of European cybersecurity certification schemes, and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. Member States shall without delay notify the Commission of those rules and of those measures and shall notify it of any subsequent amendment affecting them.
TITLE IV
FINAL PROVISIONS
Article 66
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, point (b) of Article 5(4) of Regulation (EU) No 182/2011 shall apply.
Article 67
Evaluation and review
1.   By 28 June 2024, and every five years thereafter, the Commission shall evaluate the impact, effectiveness and efficiency of ENISA and of its working practices, the possible need to modify ENISA’s mandate and the financial implications of any such modification. The evaluation shall take into account any feedback provided to ENISA in response to its activities. Where the Commission considers that the continued operation of ENISA is no longer justified in light of the objectives, mandate and tasks assigned to it, the Commission may propose that this Regulation be amended with regard to the provisions related to ENISA.
2.   The evaluation shall also assess the impact, effectiveness and efficiency of the provisions of Title III of this Regulation with regard to the objectives of ensuring an adequate level of cybersecurity of ICT products, ICT services and ICT processes in the Union and improving the functioning of the internal market.
3.   The evaluation shall assess whether essential cybersecurity requirements for access to the internal market are necessary in order to prevent ICT products, ICT services and ICT processes which do not meet basic cybersecurity requirements from entering the Union market.
4.   By 28 June 2024, and every five years thereafter, the Commission shall transmit a report on the evaluation together with its conclusions to the European Parliament, to the Council and to the Management Board. The findings of that report shall be made public.
Article 68
Repeal and succession
1.   Regulation (EU) No 526/2013 is repealed with effect from 27 June 2019.
2.   References to Regulation (EU) No 526/2013 and to the ENISA as established by that Regulation shall be construed as references to this Regulation and to ENISA as established by this Regulation.
3.   ENISA as established by this Regulation shall succeed ENISA as established by Regulation (EU) No 526/2013 as regards all ownership, agreements, legal obligations, employment contracts, financial commitments and liabilities. All decisions of the Management Board and the Executive Board adopted in accordance with Regulation (EU) No 526/2013 shall remain valid, provided that they comply with this Regulation.
4.   ENISA shall be established for an indefinite period as of 27 June 2019.
5.   The Executive Director appointed pursuant to Article 24(4) of Regulation (EU) No 526/2013 shall remain in office and exercise the duties of the Executive Director as referred to in Article 20 of this Regulation for the remaining part of the Executive Director’s term of office. The other conditions of his or her contract shall remain unchanged.
6.   The members of the Management Board and their alternates appointed pursuant to Article 6 of Regulation (EU) No 526/2013 shall remain in office and exercise the functions of the Management Board as referred to in Article 15 of this Regulation for the remaining part of their term of office.
Article 69
Entry into force
1.   This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
2.   Articles 58, 60, 61, 63, 64 and 65 shall apply from 28 June 2021.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Strasbourg, 17 April 2019.
For the European Parliament
The President
A. TAJANI
For the Council
The President
G. CIAMBA
(
1
)
  
            
OJ C 227, 28.6.2018, p. 86
.
(
2
)
  
            
OJ C 176, 23.5.2018, p. 29
.
(
3
)
  Position of the European Parliament of 12 March 2019 (not yet published in the Official Journal) and decision of the Council of 9 April 2019.
(
4
)
  Commission Recommendation of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (
OJ L 124, 20.5.2003, p. 36
).
(
5
)
  Regulation (EU) No 526/2013 of the European Parliament and of the Council of 21 May 2013 concerning the European Union Agency for Network and Information Security (ENISA) and repealing Regulation (EC) No 460/2004 (
OJ L 165, 18.6.2013, p. 41
).
(
6
)
  Regulation (EC) No 460/2004 of the European Parliament and of the Council of 10 March 2004 establishing the European Network and Information Security Agency (
OJ L 77, 13.3.2004, p. 1
).
(
7
)
  Regulation (EC) No 1007/2008 of the European Parliament and of the Council of 24 September 2008 amending Regulation (EC) No 460/2004 establishing the European Network and Information Security Agency as regards its duration (
OJ L 293, 31.10.2008, p. 1
).
(
8
)
  Regulation (EU) No 580/2011 of the European Parliament and of the Council of 8 June 2011 amending Regulation (EC) No 460/2004 establishing the European Network and Information Security Agency as regards its duration (
OJ L 165, 24.6.2011, p. 3
).
(
9
)
  Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union (
OJ L 194, 19.7.2016, p. 1
).
(
10
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
11
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (
OJ L 201, 31.7.2002, p. 37
).
(
12
)
  Directive (EU) 2018/1972 of the European Parliament and of the Council of 11 December 2018 establishing the European Electronic Communications Code (
OJ L 321, 17.12.2018, p. 36
).
(
13
)
  Decision 2004/97/EC, Euratom taken by common agreement between the Representatives of the Member States, meeting at Head of State or Government level, of 13 December 2003 on the location of the seats of certain offices and agencies of the European Union (
OJ L 29, 3.2.2004, p. 15
).
(
14
)
  
            
OJ C 12, 13.1.2018, p. 1
.
(
15
)
  Commission Recommendation (EU) 2017/1584 of 13 September 2017 on coordinated response to large-scale cybersecurity incidents and crises (
OJ L 239, 19.9.2017, p. 36
).
(
16
)
  Regulation (EC) No 765/2008 of the European Parliament and of the Council of 9 July 2008 setting out the requirements for accreditation and market surveillance relating to the marketing of products and repealing Regulation (EEC) No 339/93 (
OJ L 218, 13.8.2008, p. 30
).
(
17
)
  Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents (
OJ L 145, 31.5.2001, p. 43
).
(
18
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
19
)
  Regulation (EU) No 1025/2012 of the European Parliament and of the Council of 25 October 2012 on European standardisation, amending Council Directives 89/686/EEC and 93/15/EEC and Directives 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC and 2009/105/EC of the European Parliament and of the Council and repealing Council Decision 87/95/EEC and Decision No 1673/2006/EC of the European Parliament and of the Council (
OJ L 316, 14.11.2012, p. 12
).
(
20
)
  Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provision of information in the field of technical regulations and of rules on Information Society services (
OJ L 241, 17.9.2015, p. 1
).
(
21
)
  Directive 2014/24/EU of the European Parliament and of the Council of 26 February 2014 on public procurement and repealing Directive 2004/18/EC (
OJ L 94, 28.3.2014, p. 65
).
(
22
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
23
)
  Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (
OJ L 257, 28.8.2014, p. 73
).
(
24
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
25
)
  Commission Delegated Regulation (EU) No 1271/2013 of 30 September 2013 on the framework financial regulation for the bodies referred to in Article 208 of Regulation (EU, Euratom) No 966/2012 of the European Parliament and of the Council (
OJ L 328, 7.12.2013, p. 42
).
(
26
)
  Commission Decision (EU, Euratom) 2015/443 of 13 March 2015 on Security in the Commission (
OJ L 72, 17.3.2015, p. 41
).
(
27
)
  Commission Decision (EU, Euratom) 2015/444 of 13 March 2015 on the security rules for protecting EU classified information (
OJ L 72, 17.3.2015, p. 53
).
(
28
)
  Regulation (EU, Euratom) 2018/1046 of the European Parliament and of the Council of 18 July 2018 on the financial rules applicable to the general budget of the Union, amending Regulations (EU) No 1296/2013, (EU) No 1301/2013, (EU) No 1303/2013, (EU) No 1304/2013, (EU) No 1309/2013, (EU) No 1316/2013, (EU) No 223/2014, (EU) No 283/2014, and Decision No 541/2014/EU and repealing Regulation (EU, Euratom) No 966/2012 (
OJ L 193, 30.7.2018, p. 1
).
(
29
)
  Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council of 11 September 2013 concerning investigations conducted by the European Anti-Fraud Office (OLAF) and repealing Regulation (EC) No 1073/1999 of the European Parliament and of the Council and Council Regulation (Euratom) No 1074/1999 (
OJ L 248, 18.9.2013, p. 1
).
(
30
)
  
            
OJ L 136, 31.5.1999, p. 15
.
(
31
)
  Council Regulation (Euratom, EC) No 2185/96 of 11 November 1996 concerning on-the-spot checks and inspections carried out by the Commission in order to protect the European Communities’ financial interests against fraud and other irregularities (
OJ L 292, 15.11.1996, p. 2
).
(
32
)
  Council Regulation No 1 determining the languages to be used by the European Economic Community (
OJ 17, 6.10.1958, p. 385/58
).
ANNEX
REQUIREMENTS TO BE MET BY CONFORMITY ASSESSMENT BODIES
Conformity assessment bodies that wish to be accredited shall meet the following requirements:
1.
A conformity assessment body shall be established under national law and shall have legal personality.
2.
A conformity assessment body shall be a third-party body that is independent of the organisation or the ICT products, ICT services or ICT processes that it assesses.
3.
A body that belongs to a business association or professional federation representing undertakings involved in the design, manufacturing, provision, assembly, use or maintenance of ICT products, ICT services or ICT processes which it assesses may be considered to be a conformity assessment body, provided that its independence and the absence of any conflict of interest are demonstrated.
4.
The conformity assessment bodies, their top-level management and the persons responsible for carrying out the conformity assessment tasks shall not be the designer, manufacturer, supplier, installer, purchaser, owner, user or maintainer of the ICT product, ICT service or ICT process which is assessed, or the authorised representative of any of those parties. That prohibition shall not preclude the use of the ICT products assessed that are necessary for the operations of the conformity assessment body or the use of such ICT products for personal purposes.
5.
The conformity assessment bodies, their top-level management and the persons responsible for carrying out the conformity assessment tasks shall not be directly involved in the design, manufacture or construction, the marketing, installation, use or maintenance of the ICT products, ICT services or ICT processes which are assessed, or represent parties engaged in those activities. The conformity assessment bodies, their top-level management and the persons responsible for carrying out the conformity assessment tasks shall not engage in any activity that may conflict with their independence of judgement or integrity in relation to their conformity assessment activities. That prohibition shall apply, in particular, to consultancy services.
6.
If a conformity assessment body is owned or operated by a public entity or institution, the independence and absence of any conflict of interest shall be ensured between the national cybersecurity certification authority and the conformity assessment body, and shall be documented.
7.
Conformity assessment bodies shall ensure that the activities of their subsidiaries and subcontractors do not affect the confidentiality, objectivity or impartiality of their conformity assessment activities.
8.
Conformity assessment bodies and their staff shall carry out conformity assessment activities with the highest degree of professional integrity and the requisite technical competence in the specific field, and shall be free from all pressures and inducements which might influence their judgement or the results of their conformity assessment activities, including pressures and inducements of a financial nature, especially as regards persons or groups of persons with an interest in the results of those activities.
9.
A conformity assessment body shall be capable of carrying out all the conformity assessment tasks assigned to it under this Regulation, regardless of whether those tasks are carried out by the conformity assessment body itself or on its behalf and under its responsibility. Any subcontracting to, or consultation of, external staff shall be properly documented, shall not involve any intermediaries and shall be subject to a written agreement covering, among other things, confidentiality and conflicts of interest. The conformity assessment body in question shall take full responsibility for the tasks performed.
10.
At all times and for each conformity assessment procedure and each type, category or sub-category of ICT products, ICT services or ICT processes, a conformity assessment body shall have at its disposal the necessary:
(a)
staff with technical knowledge and sufficient and appropriate experience to perform the conformity assessment tasks;
(b)
descriptions of procedures in accordance with which conformity assessment is to be carried out, to ensure the transparency of those procedures and the possibility of reproducing them. It shall have in place appropriate policies and procedures that distinguish between tasks that it carries out as a body notified pursuant to Article 61 and its other activities;
(c)
procedures for the performance of activities which take due account of the size of an undertaking, the sector in which it operates, its structure, the degree of complexity of the technology of the ICT product, ICT service or ICT process in question and the mass or serial nature of the production process.
11.
A conformity assessment body shall have the means necessary to perform the technical and administrative tasks connected with the conformity assessment activities in an appropriate manner, and shall have access to all necessary equipment and facilities.
12.
The persons responsible for carrying out conformity assessment activities shall have the following:
(a)
sound technical and vocational training covering all conformity assessment activities;
(b)
satisfactory knowledge of the requirements of the conformity assessments they carry out and adequate authority to carry out those assessments;
(c)
appropriate knowledge and understanding of the applicable requirements and testing standards;
(d)
the ability to draw up certificates, records and reports demonstrating that conformity assessments have been carried out.
13.
The impartiality of the conformity assessment bodies, of their top-level management, of the persons responsible for carrying out conformity assessment activities, and of any subcontractors shall be guaranteed.
14.
The remuneration of the top-level management and of the persons responsible for carrying out conformity assessment activities shall not depend on the number of conformity assessments carried out or on the results of those assessments.
15.
Conformity assessment bodies shall take out liability insurance unless liability is assumed by the Member State in accordance with its national law, or the Member State itself is directly responsible for the conformity assessment.
16.
The conformity assessment body and its staff, its committees, its subsidiaries, its subcontractors, and any associated body or the staff of external bodies of a conformity assessment body shall maintain confidentiality and observe professional secrecy with regard to all information obtained in carrying out their conformity assessment tasks under this Regulation or pursuant to any provision of national law giving effect to this Regulation, except where disclosure is required by Union or Member State law to which such persons are subject, and except in relation to the competent authorities of the Member States in which its activities are carried out. Intellectual property rights shall be protected. The conformity assessment body shall have documented procedures in place in respect of the requirements of this point.
17.
With the exception of point 16, the requirements of this Annex shall not preclude exchanges of technical information and regulatory guidance between a conformity assessment body and a person who applies for certification or who is considering whether to apply for certification.
18.
Conformity assessment bodies shall operate in accordance with a set of consistent, fair and reasonable terms and conditions, taking into account the interests of SMEs in relation to fees.
19.
Conformity assessment bodies shall meet the requirements of the relevant standard that is harmonised under Regulation (EC) No 765/2008 for the accreditation of conformity assessment bodies performing certification of ICT products, ICT services or ICT processes.
20.
Conformity assessment bodies shall ensure that testing laboratories used for conformity assessment purposes meet the requirements of the relevant standard that is harmonised under Regulation (EC) No 765/2008 for the accreditation of laboratories performing testing.

Summary:
The EU Cybersecurity Act
SUMMARY OF:
Regulation (EU) 2019/881 on the European Union Agency for Cybersecurity and on information and communications technology cybersecurity certification (Cybersecurity Act)
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 2019/881 aims to achieve a high level of 
cybersecurity
, cyber resilience and trust in the 
European Union
 (EU) by setting out:
objectives, tasks and organisational matters for a strengthened and renamed 
European Union Agency for Cybersecurity
 (ENISA), with a new permanent mandate;
a framework for voluntary European cybersecurity certification schemes for information and communications technology (ICT) products, services and processes, and managed security services.
KEY POINTS
ENISA’s 
mandate
 is to:
achieve a high common level of cybersecurity across the EU;
support national authorities and 
EU institutions
, bodies, offices and 
agencies
 in improving cybersecurity;
serve as a reference point for scientific and technical advice and expertise on cybersecurity for EU institutions, bodies, offices and agencies, and for other relevant stakeholders;
contribute to reducing the fragmentation of the 
internal market
;
act independently, avoid duplicating national activities and take account of national expertise;
develop its own technical, human and skill resources.
ENISA’s 
tasks
 are to:
help develop and implement EU policy and law;
promote capacity building, for instance through improved prevention, detection and analysis of, and response to, cyber threats
1
 and by assisting the development of national 
computer security incident response teams
 (CSIRTs) or through the organisation of cybersecurity exercises at the EU level;
support EU operational cooperation among all stakeholders involved, including the EU’s 
Cybersecurity Service for the Union Institutions, Bodies, Offices and Agencies
 (CERT-EU), by means of, notably, the exchange of know-how and best practices, the supply of relevant guidelines and the servicing of the EU and national CSIRTs networks;
support and promote the development and implementation of EU cybersecurity certification of ICT products, ICT services, ICT processes and managed security services, as part of its role in preparing schemes under the new 
European cybersecurity certification framework
;
collect and analyse knowledge and information on cybersecurity, notably on emerging technologies, cyber threats and incidents, to provide information and advice to national authorities, relevant stakeholders and, through a dedicated portal, the public (citizens, organisations and businesses);
raise public awareness of cybersecurity risks, provide guidance on good practices for individual users and promote cybersecurity awareness and education in general;
advise on research needs and priorities and contribute to the EU’s strategic cybersecurity research and innovation agenda;
contribute to the EU’s efforts to cooperate on cybersecurity with its international partners and organisations.
ENISA has the following 
administrative and management structure
.
The 
Management Board
, with one representative from each EU 
Member State
 and two members appointed by the 
European Commission
, which establishes the general direction of the agency’s activities and ensures that the agency carries out its tasks under conditions that enable it to serve in accordance with the founding regulation.
The 
Executive Board
 of five members, which prepares decisions to be adopted by the Management Board.
An independent 
executive director
, accountable to the Management Board and reporting to the 
European Parliament
 and the 
Council of the European Union
 when asked to do so, who is responsible for managing the agency.
The ENISA 
Advisory Group
 of recognised experts from relevant stakeholders, such as the ICT industry, providers of electronic communications networks or services, small and medium-sized enterprises, consumers, academics and operators of essential services, along with representatives of competent authorities notified under the 
European Electronic Communications Code
, standardisation organisations, law enforcement and data protection supervisory authorities, which focuses on issues relevant to stakeholders and brings them to the attention of ENISA.
The 
National Liaison Officers Network
, composed of representatives of all Member States, which facilitates the exchange of information between ENISA and the Member States and supports ENISA in making its activities, findings and recommendations widely known.
The 
regulation
 creates the following.
A 
Stakeholder Cybersecurity Certification Group
 of recognised experts to, among other things, advise the Commission on strategic issues regarding the EU cybersecurity certification framework and, upon request, ENISA on general and strategic issues concerning the agency’s relevant tasks.
A 
European Cybersecurity Certification Group (ECCG)
 composed of national representatives to advise and assist the Commission in its work to ensure the consistent implementation and application of the act, and ENISA in relation to the preparation of candidate cybersecurity certification schemes.
ENISA
:
is established for an 
indefinite period
 as from 
27 June 2019
;
operates in accordance with a single programming document containing its 
annual and multiannual programming
;
follows the Commission’s security rules to protect sensitive non-classified information and EU-classified information;
does not divulge to third parties confidential information it processes or receives;
participates fully in EU measures to combat fraud, corruption and other unlawful activities;
processes personal data in accordance with respective EU rules.
The regulation establishes a 
European cybersecurity certification framework
 to:
improve the functioning of the internal market by increasing the level of cybersecurity in the EU and enabling a harmonised approach at the EU level to European cybersecurity certification schemes with a view to creating a digital single market for ICT products, ICT services, ICT processes and managed security services;
set up a mechanism to establish certification schemes that confirm ICT products, ICT services, ICT processes and managed security services that have been evaluated in accordance with such schemes comply with specified security requirements to protect the availability, authenticity, integrity or confidentiality of stored, transmitted or processed data or functions or services offered by, or accessible via, those products, services and processes throughout their life cycle.
Under the framework:
the Commission:
publishes an EU rolling work programme for European cybersecurity certification identifying strategic priorities and ICT products, ICT services, ICT processes and managed security services or categories which could benefit from a scheme,
may request that ENISA prepare a candidate certification scheme or review an existing one;
ENISA:
prepares suitable draft schemes, following a request from the Commission or the European Cybersecurity Certification Group,
evaluates each adopted certification scheme every five years, taking account of the feedback received,
maintains a dedicated website that provides information on the schemes, certificates and conformity statements.
The 
voluntary European cybersecurity certification schemes
:
aim to achieve various security objectives, such as protecting stored, transmitted and processed data;
denote the security level of ICT products, ICT services, ICT processes and managed security services as basic, substantial or high;
allow manufacturers and providers of low-risk (i.e. basic) ICT products, ICT services, ICT processes and managed security services to assess these themselves (conformity self-assessment);
must include certain features, such as clear descriptions of the purpose, subject matter and scope, and the evaluation criteria and methods used;
replace similar national ones, although those certificates remain valid until their expiry date.
Manufacturers and providers of certified ICT products, ICT services, ICT processes and managed security services
 must make publicly available:
guidance and recommendations to help end users install, apply and maintain their products or services;
information about the duration for which they offer security support;
their contact details;
references to online repositories with information on known cybersecurity issues affecting their products or services.
Member States
 appoint one or more 
national cybersecurity certification authorities
 with sufficient resources and powers to monitor, supervise and enforce the rules of the European cybersecurity certification schemes.
The Commission
:
regularly assesses the efficiency and use of the adopted certification schemes and considers whether any scheme should be made compulsory;
had to complete its first detailed assessment by 
31 December 2023
, with others every two years thereafter;
had to evaluate ENISA’s impact, effectiveness and efficiency by 
28 June 2024
, and every five years thereafter.
Individuals and legal entities have the 
right to lodge a complaint
 with the issuer of a European cybersecurity certificate and to seek 
effective judicial remedy
.
Amendment – managed security services
In December 2024, Regulation (EU) 
2025/37
 amending the regulation as regards managed security services, was adopted. This targeted amendment introduces the 
definition of managed security services
 and 
extends the scope of the
 
European cybersecurity certification framework
 by including managed security services. Consequently, it also accordingly extends 
ENISA’s mandate and tasks
 as regards managed security services.
Regulation (EU) 2025/37 was published in the 
Official Journal
 on 
15 January 2025
 and has applied since 
4 February 2025
.
Notifications of conformity assessment bodies
In December 2024, the Commission adopted Implementing Regulation (EU) 
2024/3143
 for notifications pursuant to Article 61(5) of the Cybersecurity Act. The 
implementing act
 establishes the circumstances, formats and procedures for 
notifications of conformity assessment
 bodies across European cybersecurity certification schemes by the new approach notified and designated organisations (NANDO) information system. It also clarifies the circumstances in which changes should be made to the notification and on the basis of which the competence of notified conformity assessment bodies might be challenged.
Implementing Regulation 2024/3143 was published in the Official Journal on 
19 December 2024
 and has applied since 
8 January 2025
.
European common criteria-based cybersecurity certification scheme (EUCC)
In January 2024, the Commission adopted Implementing Regulation (EU) 
2024/482
 (see 
summary
). This act lays down rules for the application of Regulation (EU) 2019/881 as regards the adoption of the voluntary 
European common criteria-based cybersecurity certification scheme (EUCC)
. This is the first scheme at the EU level and concerns certificates at the substantial or high assurance levels for ICT products such as hardware and software, including components such as chips and smart cards. The regulation includes detailed rules on aspects including:
standards and requirements for the evaluation of and the issuance, renewal and withdrawal of EUCC certificates for products and protection profiles;
conformity assessment bodies accredited to issue certificates or perform evaluation activities;
compliance monitoring, non-conformity and non-compliance;
vulnerability management and disclosure procedures;
retention of records, disclosure and protection of information;
mutual recognition agreements with non-EU countries;
peer assessment of certification bodies;
maintenance of the scheme; and
national cybersecurity certification schemes covered by the EUCC.
The EUCC implementing regulation has applied since 
27 February 2025
.
Regulation (EU) 2019/881 and its related implementing regulation do not affect Member States’ responsibilities for 
public security, defence, national security or criminal law
.
The regulation repeals Regulation (EU) No 
526/2013
 as from 
27 June 2019
.
FROM WHEN DOES THE REGULATION APPLY?
The regulation has applied since 
27 June 2019
.
Articles on the designation of national cybersecurity authorities, accreditation and notification of conformity assessment bodies, on the right to lodge complaints to issuers of European cybersecurity certificates, on the right to judicial remedy and on penalties have applied since 
28 June 2021
.
BACKGROUND
ENISA, based in Athens with a branch office in Heraklion, has been contributing to the EU’s network and information security since 2004.
For further information, see:
What we do
 (ENISA)
What is EU cybersecurity certification?
 (ENISA)
Cybersecurity policies
 (European Commission).
KEY TERMS
Cyber threat.
 A potential circumstance, event or action that could damage, disrupt or adversely affect network and information systems, their users and others.
MAIN DOCUMENT
Regulation (EU) 
2019/881
 of the European Parliament and of the Council of 
17 April 2019
 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (OJ L 151, 
7.6.2019
, pp. 15–69).
Successive amendments to Regulation (EU) 2019/881 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
RELATED DOCUMENTS
Regulation (EU) 
2025/37
 of the European Parliament and of the Council of 
19 December 2024
 amending Regulation (EU) 2019/881 as regards managed security services (OJ L, 2025/37, 
15.1.2025
).
Commission Implementing Regulation (EU) 
2024/3143
 of 
18 December 2024
 establishing the circumstances, formats and procedures for notifications pursuant to Article 61(5) of Regulation (EU) 2019/881 of the European Parliament and of the Council on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification (OJ L, 2024/3143, 
19.12.2024
).
Commission Implementing Regulation (EU) 
2024/482
 of 
31 January 2024
 laying down rules for the application of Regulation (EU) 2019/881 of the European Parliament and of the Council as regards the adoption of the European Common Criteria-based cybersecurity certification scheme (EUCC) (OJ L, 2024/482, 
7.2.2024
).
See 
consolidated version
.
Regulation (EU) 
2018/1725
 of the European Parliament and of the Council of 
23 October 2018
 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (OJ L 295, 
21.11.2018
, pp. 39–98).
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, pp. 1–88).
See 
consolidated version
.
last update 
18.3.2025

--- DANISH ---

Document:
7.6.2019
DA
Den Europæiske Unions Tidende
L 151/15
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2019/881
af 17. april 2019
om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed)
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
under henvisning til udtalelse fra Regionsudvalget 
(
2
)
,
efter den almindelige lovgivningsprocedure 
(
3
)
, og
ud fra følgende betragtninger:
(1)
Net- og informationssystemer og elektroniske kommunikationsnet og -tjenester spiller en afgørende rolle i samfundet og er blevet rygraden i den økonomiske vækst. Informations- og kommunikationsteknologier (IKT) er grundlaget for de komplekse systemer, som understøtter samfundets hverdagsaktiviteter, og sørger for, at vores økonomier fungerer inden for vigtige sektorer såsom sundhed, energi, finans og transport, og understøtter navnlig det indre markeds funktion.
(2)
Borgere, organisationer og virksomheder i Unionen benytter i stort omfang net- og informationssystemer. Digitalisering og forbindelsesmuligheder er centrale elementer i et stadigt stigende antal produkter og tjenester, og med fremkomsten af tingenes internet forventes et meget højt antal forbundet digitalt udstyr at blive udbredt i hele Unionen i løbet af det næste årti. Stadigt mere udstyr er forbundet til internettet, men der tages ikke tilstrækkeligt hensyn til sikkerhed og modstandsdygtighed i udformningen, hvilket medfører utilstrækkelig cybersikkerhed. I denne forbindelse fører den begrænsede anvendelse af certificering til, at individuelle, organisatoriske og erhvervsmæssige brugere får utilstrækkelige oplysninger om IKT-produkters, -tjenesters og -processers cybersikkerhedsfunktioner, hvilket undergraver tilliden til digitale løsninger. Net- og informationssystemer er i stand til at støtte alle aspekter af vores liv og fremme Unionens økonomiske vækst. De er hjørnestenen i gennemførelsen af det digitale indre marked.
(3)
Øget digitalisering og konnektivitet øger cybersikkerhedsrisici, hvilket gør samfundet som helhed mere sårbart over for cybertrusler og forværrer farerne for den enkelte, herunder også sårbare individer såsom børn. For at afbøde disse risici for samfundet bør der træffes alle nødvendige tiltag for at forbedre cybersikkerheden i Unionen, således at net- og informationssystemer, kommunikationsnet, digitale produkter, tjenester og udstyr, der anvendes af borgere, organisationer og virksomheder — fra små og mellemstore virksomheder (SMV'er) som defineret i Kommissionens henstilling 2003/361/EF 
(
4
)
 til operatører af kritisk infrastruktur — er bedre beskyttet mod cybertrusler.
(4)
Ved at stille de relevante oplysninger til rådighed for offentligheden bidrager Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA) som oprettet ved Europa-Parlamentets og Rådets forordning (EU) nr. 526/2013 
(
5
)
 til udviklingen af cybersikkerhedsindustrien i Unionen, navnlig SMV'er og nystartede virksomheder. ENISA bør tilstræbe et tættere samarbejde med universiteter og forskningsenheder for at bidrage til at reducere afhængigheden af cybersikkerhedsprodukter og -tjenester fra lande uden for Unionen og til at styrke forsyningskæder inden for Unionen.
(5)
Mængden af cyberangreb er stigende og netforbundne økonomier og samfund, som er mere sårbare over for cybertrusler og -angreb, kræver stærkere forsvarsværker. Det er dog sådan, at cyberangreb ofte sker på tværs af grænser, medens cybersikkerhedsmyndigheders og retshåndhævende myndigheders beføjelser og politiske reaktion hovedsageligt er nationale. Omfattende hændelser kunne afbryde leveringen af essentielle tjenester i hele Unionen. Dette nødvendiggør en effektiv og koordineret reaktion og krisestyring på EU-plan, der bygger på målrettede politikker og vidererækkende instrumenter for europæisk solidaritet og gensidig bistand. Det er desuden vigtigt for politikerne, erhvervslivet og brugerne, at der jævnligt foretages en vurdering af cybersikkerhedssituationen og modstandsdygtigheden i Unionen på grundlag af pålidelige EU-data samt systematiske prognoser for fremtidige udviklinger, udfordringer og trusler, både på EU-plan og globalt plan.
(6)
I lyset af de tiltagende cybersikkerhedsudfordringer, som Unionen står over for, er der behov for et sammenhængende sæt foranstaltninger, som tager udgangspunkt i tidligere EU-tiltag og fremmer gensidigt forstærkende mål. Disse mål omfatter yderligere at øge medlemsstaternes og virksomhedernes kapacitet og beredskab samt at forbedre samarbejde, herunder udveksling af oplysninger, og samordning på tværs af medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer. På baggrund af cybertruslers grænseoverskridende karakter er der desuden behov for at øge kapaciteten på EU-plan, som kan supplere medlemsstaternes indsats, herunder navnlig i tilfælde af omfattende grænseoverskridende hændelser og -kriser, samtidig med, at der tages hensyn til vigtigheden af at opretholde og yderligere styrke den nationale kapacitet til at reagere på cybertrusler af ethvert omfang.
(7)
Der er også behov for yderligere bestræbelser på at øge borgernes, organisationers og virksomheders bevidsthed om cybersikkerhedsspørgsmål. Eftersom hændelser undergraver tilliden til udbydere af digitale tjenester og til selve det digitale indre marked, navnlig blandt forbrugerne, bør tilliden desuden styrkes yderligere ved at give oplysninger om sikkerhedsniveauet af IKT-produkter, -tjenester og -processer på en gennemsigtig måde, idet det understreges, at selv et højt niveau af cybersikkerhedscertificering ikke kan garantere, at et IKT-produkt, en IKT-tjeneste eller en IKT-proces er fuldstændig sikker. Øget tillid kan fremmes ved certificering på EU-plan, der anvender fælles cybersikkerhedskrav og -evalueringskriterier på tværs af nationale markeder og sektorer.
(8)
Cybersikkerhed er ikke kun et teknologisk spørgsmål, men ét, hvor menneskers adfærd er lige så vigtig. Der bør derfor sikres omfattende fremme af »cyberhygiejne«, dvs. enkle rutineforanstaltninger, der, når de gennemføres og regelmæssigt træffes af borgere, organisationer og virksomheder, minimerer deres eksponering for risici fra cybertrusler.
(9)
Med henblik på at styrke Unionens cybersikkerhedsstrukturer er det vigtigt at opretholde og udvikle medlemsstaternes kapacitet til på en fyldestgørende måde at reagere på cybertrusler, herunder grænseoverskridende hændelser.
(10)
Virksomheder og den enkelte forbruger bør modtage præcise oplysninger om, på hvilket tillidsniveau deres IKT-produkters, -tjenesters og -processers sikkerhed er blevet certificeret. Samtidig er intet IKT-produkt og ingen IKT-tjeneste helt cybersikker(t), og det er nødvendigt at fremme og prioritere grundlæggende regler for cyberhygiejne. I betragtning af den voksende tilgængelighed af tingenes internet-udstyr er der en række frivillige foranstaltninger, som den private sektor kan træffe for at styrke tilliden til IKT-produkters, -tjenesters og -processers sikkerhed.
(11)
Moderne IKT-produkter og -systemer integrerer ofte og er baseret på en eller flere tredjepartsteknologier og -komponenter som f.eks. softwaremoduler, biblioteker eller programmeringsgrænseflader for applikationer. Denne »afhængighed« kan indebære yderligere cybersikkerhedsrisici, da sårbarheder konstateret i tredjepartskomponenter også kan påvirke sikkerheden i IKT-produkter, -tjenester og -processer. I mange tilfælde vil identificeringen og dokumenteringen af en sådan afhængighed gøre det muligt for slutbrugerne af IKT-produkter, -tjenester og -processer at forbedre deres aktiviteter med henblik på risikostyring af cybersikkerheden, f.eks. ved at forbedre brugernes styring af sårbarhederne i forbindelse med cybersikkerhed og hjælpeprocedurer.
(12)
Organisationer, producenter eller udbydere, der er involveret i udformning og udvikling af IKT-produkter, -tjenester og -processer, bør tilskyndes til at gennemføre foranstaltninger i de tidligste faser af udformningen og udviklingen for fra starten at beskytte disse produkters, processers og tjenesters sikkerhed i videst muligt omfang på en sådan måde, at forekomsten af cyberangreb forventes, og deres konsekvenser foregribes og minimeres (»indbygget sikkerhed«). Sikkerheden bør gennem hele IKT-produktets, -tjenestens eller -processens levetid sikres, således at der sker en løbende udvikling af udformnings- og udviklingsprocesserne med henblik på at begrænse skadevirkningerne af ondsindet udnyttelse.
(13)
Virksomheder, organisationer og den offentlige sektor bør konfigurere de IKT-produkter, -tjenester eller -processer, som de udformer, på en måde, der sikrer en højere grad af sikkerhed, og som bør give den første bruger mulighed for at modtage en standardkonfiguration med de sikrest mulige indstillinger (»sikkerhed gennem standardindstillinger«) og dermed mindske den byrde, det er for brugerne at skulle konfigurere et IKT-produkt, en IKT-tjeneste eller en IKT-proces hensigtsmæssigt. Sikkerhed gennem standardindstillinger bør hverken kræve omfattende konfiguration eller særlig teknisk forståelse eller en adfærd fra brugerens side, der ikke er intuitiv, og bør fungere let og pålideligt, når det anvendes. Hvis en risiko- og brugbarhedsanalyse i en konkret sag fører til den konklusion, at en sådan standardindstilling ikke er mulig, bør brugerne tilskyndes til at vælge den sikreste indstilling.
(14)
Europa-Parlamentets og Rådets forordning (EF) nr. 460/2004 
(
6
)
 oprettede ENISA med det formål at bidrage til målene om at sikre et højt og effektivt net- og informationssikkerhedsniveau i Unionen og udvikle en net- og informationssikkerhedskultur til gavn for borgerne, forbrugerne, virksomhederne og de offentlige forvaltninger. Europa-Parlamentets og Rådets forordning (EF) nr. 1007/2008 
(
7
)
 forlængede ENISA's mandat frem til marts 2012. Europa-Parlamentets og Rådets forordning (EU) nr. 580/2011 
(
8
)
 forlængede ENISA's mandat yderligere frem til den 13. september 2013. Forordning (EU) nr. 526/2013forlængede ENISA's mandat frem til den 19. juni 2020.
(15)
Unionen har allerede gjort en stor indsats for at sikre cybersikkerheden og øge tilliden til de digitale teknologier. I 2013 blev Den Europæiske Unions strategi for cybersikkerhed vedtaget for at sætte retningen for Unionens politiske reaktion på cybertrusler og -risici. For at beskytte borgerne bedre online vedtog Unionen i 2016 den første retsakt inden for cybersikkerhed, nemlig Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 
(
9
)
. Ved direktiv (EU) 2016/1148 blev der indført krav vedrørende nationale kapaciteter inden for cybersikkerhed, de første mekanismer til bedre strategisk og operationelt samarbejde mellem medlemsstaterne blev oprettet, og der blev indført forpligtelser vedrørende sikkerhedsforanstaltninger og underretning af hændelser i sektorer af afgørende betydning for økonomien og samfundet såsom energi, transport, drikkevandsforsyning og -distribution, bankvirksomhed, finansmarkedsinfrastrukturer, sundhed og digital infrastruktur samt for centrale udbydere af digitale tjenester (dvs. søgemaskiner, cloudcomputingtjenester og onlinemarkedspladser).
ENISA fik tildelt en central rolle som støtte for gennemførelsen af nævnte direktiv. Hertil kommer, at effektiv bekæmpelse af cyberkriminalitet er en vigtig prioritet på den europæiske sikkerhedsdagsorden og bidrager til det overordnede mål om at nå et højere niveau af cybersikkerhed. Andre retsakter såsom Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
10
)
 og Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
11
)
 og (EU) 2018/1972 
(
12
)
 bidrager også til et højt niveau af cybersikkerhed i det digitale indre marked.
(16)
Den overordnede politiske kontekst har siden vedtagelsen af Den Europæiske Unions strategi for cybersikkerhed i 2013 og den seneste revision af ENISA's mandat ændret sig væsentligt, da det globale miljø er blevet mere uforudsigeligt og mindre sikkert. På den baggrund og i forbindelse med den positive udvikling af ENISA's rolle som et referencepunkt for rådgivning og ekspertise, som formidler af samarbejde og kapacitetsopbygning samt inden for rammerne af Unionens nye cybersikkerhedspolitik er det nødvendigt at gennemgå ENISA's mandat for at fastlægge dets rolle i det forandrede cybersikkerhedsøkosystem og for at sikre, at det bidrager effektivt til Unionens reaktioner på de cybersikkerhedsudfordringer, der opstår som følge af det radikalt ændrede cybertrusselsbillede, hvilket dets aktuelle mandat ikke er tilstrækkeligt til, som det også blev anerkendt i evalueringen af ENISA.
(17)
ENISA som oprettet ved nærværende forordning bør efterfølge ENISA som oprettet ved forordning (EU) nr. 526/2013. ENISA bør udføre de opgaver, det tillægges ved nærværende forordning og andre EU-retsakter inden for cybersikkerhed, bl.a. ved at levere rådgivning og ekspertise og fungere som et center for information og viden i Unionen. Det bør fremme udveksling af bedste praksis mellem medlemsstaterne og private interessenter, foreslå politiske initiativer for Kommissionen og medlemsstaterne, agere som et referencepunkt for EU's sektorpolitiske initiativer med hensyn til cybersikkerhedsspørgsmål, fremme det operationelle samarbejde både mellem medlemsstaterne indbyrdes og mellem medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer.
(18)
Inden for rammerne af afgørelse 2004/97/EF, Euratom truffet ved fælles aftale mellem repræsentanterne for medlemsstaterne, forsamlet på stats- og regeringschefniveau 
(
13
)
, besluttede repræsentanterne for medlemsstaterne, at ENISA skulle have sit sæde i en by i Grækenland, som skulle fastlægges nærmere af den græske regering. ENISA's værtsmedlemsstat bør sikre de bedst mulige betingelser for, at ENISA kan fungere problemfrit og effektivt. For at ENISA korrekt og effektivt kan udføre sine opgaver og rekruttere og fastholde personale samt øge effektiviteten af netværksaktiviteter, er det afgørende, at ENISA er placeret på et passende sted, hvor der bl.a. er passende transportforbindelser og faciliteter for ægtefæller og børn, som følger med ENISA's personale. De nødvendige foranstaltninger bør fastlægges i en aftale, som efter godkendelse af ENISA's bestyrelse indgås mellem ENISA og værtsmedlemsstaten.
(19)
I betragtning af de tiltagende risici og udfordringer inden for cybersikkerhed, som Unionen står over for, bør de finansielle og menneskelige ressourcer, der er tildelt ENISA, forøges i overensstemmelse med dets udvidede rolle og opgaver og dets afgørende stilling i det økosystem af organisationer, der forsvarer Unionens digitale økosystem, således at ENISA effektivt kan udføre de opgaver, som det tillægges ved denne forordning.
(20)
ENISA bør udvikle og fastholde et højt ekspertiseniveau og fungere som et referencepunkt og skabe tillid til det indre marked i kraft af sin uafhængighed, kvaliteten af den rådgivning, det yder, og af de oplysninger, det videregiver, den åbenhed, der er forbundet med dets procedurer og driftsmetoder, og dets omhu ved udførelsen af sine opgaver. ENISA bør aktivt støtte den nationale indsats og proaktivt bidrage til Unionens indsats og udføre sine opgaver i fuldt samarbejde med Unionens institutioner, organer, kontorer og agenturer samt medlemsstaterne, idet overlap undgås, og synergier fremmes. Herudover bør ENISA bygge på bidrag fra og samarbejde med den private sektor og andre relevante interessenter. Som grundlag for, hvordan ENISA skal nå sine mål, bør der fastlægges et sæt opgaver, der samtidig giver ENISA fleksibilitet i dets aktiviteter.
(21)
For at kunne yde tilstrækkelig støtte til operationelt samarbejde mellem medlemsstaterne bør ENISA yderligere styrke sine tekniske og menneskelige kapaciteter og kompetencer. ENISA bør øge sin knowhow og kapacitet. ENISA og medlemsstaterne kunne på frivillig basis udvikle programmer for udstationering af nationale eksperter til ENISA, etablering af ekspertpuljer og udveksling af personale.
(22)
ENISA bør bistå Kommissionen ved at levere rådgivning, udtalelser og analyser om alle EU-spørgsmål vedrørende udvikling af politik og lovgivning samt ajourføring og revision inden for cybersikkerhed og dets sektorspecifikke aspekter med henblik på at øge relevansen af EU-politikker og -lovgivning med en cybersikkerhedsdimension og muliggøre ensartethed i gennemførelsen heraf på nationalt plan. ENISA bør fungere som et referencepunkt for rådgivning og ekspertise for Unionens sektorspecifikke politikker og lovgivningsinitiativer i tilfælde, hvor cybersikkerhed er involveret. ENISA bør regelmæssigt orientere Europa-Parlamentet om sine aktiviteter.
(23)
Den offentligt tilgængelige kerne af det åbne internet, dvs. dets vigtigste protokoller og infrastruktur, som er et globalt offentligt gode, sikrer internettet som helhed dets grundlæggende funktioner og understøtter dets normale drift. ENISA bør støtte sikkerheden for den offentlige tilgængelige kerne af det åbne internet og stabiliteten i dets drift, herunder, men ikke kun, de vigtigste protokoller (navnlig DNS, BGP og IPv6), driften af domænenavnssystemet (såsom driften af alle topdomæner) og driften af rodzonen.
(24)
ENISA's grundlæggende opgave er at fremme en ensartet gennemførelse af den relevante retlige ramme, navnlig en effektiv gennemførelse af direktiv (EU) 2016/1148 og andre relevante retlige instrumenter med cybersikkerhedsaspekter, hvilket er afgørende for at øge cyberrobustheden. På baggrund af det hurtigt skiftende cybertrusselsbillede står det klart, at medlemsstaterne skal støttes med en mere samlet tværpolitisk tilgang til opbygningen af cyberrobusthed.
(25)
ENISA bør bistå medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer i deres bestræbelser på at opbygge og forbedre deres kapacitet og beredskab med sigte på at forebygge, opdage og imødegå cybertrusler og -hændelser og i forbindelse med sikkerheden af net- og informationssystemer. ENISA bør navnlig støtte udvikling og forbedring af de i direktiv (EU) 2016/1148 fastsatte enheder, der håndterer IT-sikkerhedshændelser (»CSIRT'er«), på nationalt niveau og EU-niveau for at nå et højt fælles niveau af deres modenhed i Unionen. Aktiviteter, der udføres af ENISA vedrørende medlemsstaternes operationelle kapacitet, bør aktivt støtte medlemsstaternes indsats for at overholde deres forpligtelser i henhold til direktiv (EU) 2016/1148 og bør derfor ikke erstatte dem.
(26)
ENISA bør også bistå med udviklingen og ajourføringen af Unionens og medlemsstaternes strategier for net- og informationssystemers sikkerhed på EU-niveau og efter anmodning på medlemsstatsniveau, herunder navnlig cybersikkerhed, og bør fremme udbredelse af sådanne strategier og følge fremskridtene med deres gennemførelse. ENISA bør også bidrage til at dække behovet for uddannelse og uddannelsesmateriale, herunder offentlige organers behov, og, når det er relevant, i vid udstrækning »uddanne underviserne« på grundlag af den digitale kompetenceramme for borgerne med sigte på at bistå medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer med at udvikle deres egne uddannelseskapaciteter.
(27)
ENISA bør støtte medlemsstaterne på området bevidstgørelse om og uddannelse i cybersikkerhed ved at fremme en tættere koordinering og udveksling af bedste praksis mellem medlemsstaterne. En sådan støtte kunne bestå i udvikling af et netværk af nationale uddannelseskontaktpunkter og af en platform for cybersikkerhedsuddannelse. Netværket af nationale uddannelseskontaktpunkter kunne operere inden for netværket af nationale forbindelsesofficerer og udgøre et udgangspunkt for den fremtidige koordinering i medlemsstaterne.
(28)
ENISA bør bistå den samarbejdsgruppe, der er nedsat ved direktiv (EU) 2016/1148, med udførelsen af dens opgaver, navnlig ved at levere ekspertise og rådgivning og ved at fremme udvekslingen af bedste praksis vedrørende risici og hændelser, bl.a. med hensyn til medlemsstaternes identificering af operatører af væsentlige tjenester samt i forbindelse med grænseoverskridende afhængighed.
(29)
Med sigte på at stimulere samarbejdet mellem den offentlige og den private sektor samt inden for den private sektor, navnlig for at støtte beskyttelsen af kritiske infrastrukturer, bør ENISA støtte informationsudveksling i og mellem sektorer, navnlig de sektorer, der er anført i bilag II til direktiv (EU) 2016/1148, ved at stille bedste praksis og vejledning om tilgængelige værktøjer og om procedurer til rådighed samt ved at vejlede om håndtering af reguleringsmæssige spørgsmål relateret til informationsudveksling, for eksempel gennem lettelse af etablering af centre for informationsudveksling og analyse.
(30)
Eftersom de potentielle negative konsekvenser af sårbarheder i IKT-produkter, -tjenester og -processer øges konstant, er det vigtigt at finde og afhjælpe sådanne sårbarheder for at reducere den overordnede cybersikkerhedsrisiko. Det har vist sig, at et samarbejde mellem organisationer, producenter eller udbydere, der leverer sårbare IKT-produkter, -tjenester og -processer, og medlemmer af det forskningsfællesskab inden for cybersikkerhed og de regeringer, der finder sårbarheder, forbedrer såvel opdagelsen som afhjælpningen af sårbarheder i IKT-produkter, -tjenester og -processer markant. Ved koordineret offentliggørelse af sårbarheder forstås en struktureret samarbejdsproces, hvor sårbarheder meddeles til ejeren af informationssystemet, hvilket giver organisationen mulighed for at diagnosticere og afhjælpe sårbarheden, inden mere detaljerede sårbarhedsoplysninger videregives til tredjemand eller offentligheden. Processen giver også mulighed for koordinering mellem den, der finder sårbarheden, og organisationen i forbindelse med offentliggørelsen af sårbarhederne. Politikkerne for koordineret offentliggørelse af sårbarheder kan spille en vigtig rolle i medlemsstaternes indsats for at styrke cybersikkerheden.
(31)
ENISA bør samle og analysere frivilligt delte nationale rapporter fra CSIRT'er og den interinstitutionelle IT-beredskabsenhed for Unionens institutioner, organer og agenturer, som er oprettet ved aftalen mellem Europa-Parlamentet, Det Europæiske Råd, Rådet for Den Europæiske Union, Europa-Kommissionen, Den Europæiske Unions Domstol, Den Europæiske Centralbank, Den Europæiske Revisionsret, Tjenesten for EU's Optræden Udadtil, Det Europæiske Økonomiske og Sociale Udvalg, Det Europæiske Regionsudvalg og Den Europæiske Investeringsbank om organisation og drift af en IT-beredskabsenhed for Unionens institutioner, organer og agenturer (CERT-EU) 
(
14
)
 med det formål at bidrage til at indføre fælles procedurer, sprog og terminologi med henblik på udveksling af oplysninger. ENISA bør i den sammenhæng inddrage den private sektor inden for rammerne af direktiv (EU) 2016/1148, som fastsætter grundlaget for frivillig udveksling af tekniske oplysninger på det operationelle plan inden for det ved nævnte direktiv nedsatte netværk af enheder, der håndterer IT-sikkerhedshændelser (»CSIRT-netværket«).
(32)
ENISA bør bidrage til en reaktion på EU-niveau i tilfælde af væsentlige grænseoverskridende hændelser og -kriser relateret til cybersikkerhed. Denne opgave bør udføres i overensstemmelse med ENISA's mandat i henhold til denne forordning og en tilgang, der skal godkendes af medlemsstaterne i forbindelse med Kommissionens henstilling (EU) 2017/1584 
(
15
)
 og Rådets konklusioner af 26. juni 2018 om en koordineret EU-reaktion på væsentlige cybersikkerhedshændelser og -kriser. Opgaven kan omfatte indsamling af relevante oplysninger og formidling af kontakt mellem CSIRT-netværket og tekniske kredse samt mellem de beslutningstagere, der er ansvarlige for krisestyringen. Derudover bør ENISA, når en eller flere medlemsstater anmoder herom, støtte operationelt samarbejde mellem medlemsstaterne i forbindelse med håndteringen af hændelser fra et teknisk synspunkt ved at fremme udveksling af relevante tekniske løsninger mellem medlemsstaterne og ved at komme med input til kommunikation med offentligheden. ENISA bør støtte operationelt samarbejde ved at afprøve ordningerne for et sådant samarbejde gennem regelmæssige cybersikkerhedsøvelser.
(33)
I forbindelse med støtte til operationelt samarbejde bør ENISA gøre brug af den tilgængelige tekniske og operationelle ekspertise hos CERT-EU gennem struktureret samarbejde. Sådant struktureret samarbejde kan opbygge ENISA's ekspertise. Hvor det er hensigtsmæssigt, bør der indføres specifikke ordninger mellem de to enheder med henblik på at fastlægge den praktiske gennemførelse af et sådant samarbejde og undgå overlap af aktiviteter.
(34)
Ved udførelsen af dets opgaver med at støtte operationelt samarbejde inden for CSIRT-netværket bør ENISA være i stand til at yde støtte til medlemsstaterne på deres anmodning, f.eks. ved at yde rådgivning om, hvordan de kan forbedre deres kapacitet til at forebygge, opdage og reagere på hændelser, ved at lette den tekniske håndtering af hændelser, der har betydelige eller væsentlige konsekvenser, eller ved at sikre, at trusler og hændelser analyseres. ENISA bør lette den tekniske håndtering af hændelser, der har betydelige eller væsentlige konsekvenser, navnlig ved at støtte frivillig deling af tekniske løsninger mellem medlemsstaterne eller ved at tilvejebringe kombinerede tekniske oplysninger, såsom tekniske løsninger, der frivilligt deles af medlemsstaterne. Det anbefales i henstilling (EU) 2017/1584, at medlemsstaterne samarbejder i god tro og hurtigst muligt udveksler oplysninger med hinanden og med ENISA om væsentlige hændelser og -kriser relateret til cybersikkerhed. Sådanne oplysninger vil hjælpe ENISA yderligere med at udføre opgaven med at støtte operationelt samarbejde.
(35)
Som led i det regelmæssige samarbejde på teknisk niveau til støtte for Unionens situationsbevidsthed bør ENISA i tæt samarbejde med medlemsstaterne regelmæssigt udarbejde en tilbundsgående teknisk EU-cybersikkerhedsrapport om hændelser og cybertrusler, der er baseret på offentligt tilgængelige oplysninger, ENISA's egen analyse og rapporter tilsendt ENISA af medlemsstaternes CSIRT'er eller de nationale centrale kontaktpunkter for sikkerheden i net- og informationssystemer (»centrale kontaktpunkter«), der er omhandlet i direktivet (EU) 2016/1148, begge på frivillig basis, Det Europæiske Center til Bekæmpelse af Cyberkriminalitet (EC3) hos Europol, CERT-EU og, hvor det er relevant, Den Europæiske Unions Efterretnings- og Situationscenter (INTCEN) ved Tjenesten for EU's Optræden Udadtil. Rapporten bør stilles til rådighed for de relevante instanser i Rådet, Kommissionen, Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik og CSIRT-netværket.
(36)
ENISA's støtte til efterfølgende tekniske undersøgelser af hændelser med betydelige eller væsentlige konsekvenser, som foretages på de berørte medlemsstaters anmodning, bør fokusere på forebyggelse af fremtidige hændelser. De berørte medlemsstater bør give de nødvendige oplysninger og yde den nødvendige bistand, så ENISA effektivt kan støtte de efterfølgende tekniske undersøgelser.
(37)
Medlemsstaterne kan opfordre de virksomheder, der er berørt af hændelsen, til at samarbejde ved at give ENISA de nødvendige oplysninger og den nødvendige bistand, uden at det berører deres ret til at beskytte kommercielt følsomme oplysninger og oplysninger, der er relevante for den offentlige sikkerhed.
(38)
For bedre at forstå udfordringerne inden for cybersikkerhed og med sigte på at levere strategisk langsigtet rådgivning til medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer er ENISA nødt til at analysere både nuværende og nye cybersikkerhedsrisici. Med dette mål for øje bør ENISA i samarbejde med medlemsstaterne og, alt efter hvad der er relevant, statistiske organer og andre organer indsamle relevante offentligt tilgængelige eller frivilligt delte oplysninger og udføre analyser af nye teknologier og tilvejebringe emnespecifikke vurderinger af de forventede samfundsmæssige, retlige, økonomiske og reguleringsmæssige konsekvenser af teknologiske innovationer for net- og informationssikkerheden, navnlig cybersikkerhed. ENISA bør desuden bistå medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer med at identificere nye risici og forebygge hændelser ved at udføre analyser af trusler, sårbarheder og hændelser.
(39)
Med henblik på at øge Unionens modstandsdygtighed bør ENISA udvikle ekspertise inden for cybersikkerhed for infrastrukturer, navnlig for at understøtte de sektorer, som er anført i bilag II til direktiv (EU) 2016/1148, og dem, der anvendes af de udbydere af digitale tjenester, som er anført i bilag III til nævnte direktiv, ved at yde rådgivning, udstede retningslinjer og udveksle bedste praksis. Med sigte på at sikre lettere adgang til bedre strukturerede oplysninger om cybersikkerhedsrisici og mulige løsninger bør ENISA udvikle og opretholde Unionens »informationsknudepunkt«, en one-stop-shop-portal, som giver offentligheden oplysninger om cybersikkerhed, der hidrører fra Unionens og de nationale institutioner, agenturer og organer. Lettere adgang til mere strukturerede oplysninger om cybersikkerhedsrisici og mulige løsninger kan også hjælpe medlemsstaterne med at styrke deres kapacitet og tilpasse deres praksis og derved øge deres samlede modstandsdygtighed over for cyberangreb.
(40)
ENISA bør bidrage til at øge offentlighedens bevidsthed om cybersikkerhedsrisici, herunder gennem en oplysningskampagne på EU-plan og uddannelsesfremme, og give vejledning om god praksis for individuelle brugere, der er målrettet mod borgere, organisationer og virksomheder. ENISA bør også bidrage til at fremme bedste praksis og løsninger, herunder cyberhygiejne og cyberfærdigheder, på borger-, organisations- og virksomhedsniveau ved at indsamle og analysere offentligt tilgængelige oplysninger om væsentlige hændelser og ved at sammenstille og offentliggøre rapporter og vejledning til borgere, organisationer og virksomheder samt forbedre deres generelle niveau af beredskab og modstandsdygtighed. ENISA bør desuden tilstræbe at give forbrugere relevante oplysninger om gældende certificeringsordninger, f.eks. ved at give vejledning og anbefalinger. ENISA bør herudover i overensstemmelse med handlingsplanen for digital uddannelse fastsat i Kommissionens meddelelse af 17. januar 2018 og i samarbejde med medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer tilrettelægge regelmæssige informations- og oplysningskampagner rettet mod slutbrugere for at fremme en mere sikker adfærd på nettet blandt enkeltpersoner og fremme digitale færdigheder, øge bevidstheden om de potentielle cybertrusler, herunder kriminelle aktiviteter online, såsom phishingangreb, botnet, økonomisk svig og banksvindel, databedrageri, samt fremme grundlæggende multifaktorautentificering, patching, kryptering, anonymisering og databeskyttelsesrådgivning.
(41)
ENISA bør spille en central rolle i bestræbelserne på at højne slutbrugernes bevidsthed om udstyrs sikkerhed og om sikker brug af tjenester og bør fremme indbygget sikkerhed og indbygget privatlivsbeskyttelse på EU-plan. Ved forfølgelsen af dette mål bør ENISA udnytte forhåndenværende bedste praksis og erfaring, navnlig bedste praksis og erfaring fra akademiske institutioner og IT-sikkerhedsforskere, bedst muligt.
(42)
For at støtte de virksomheder, der er aktive i cybersikkerhedssektoren, samt brugerne af cybersikkerhedsløsninger bør ENISA udvikle og opretholde et »markedsobservatorium« ved at gennemføre regelmæssige analyser og formidling af de vigtigste tendenser på markedet for cybersikkerhed, både på efterspørgsels- og udbudssiden.
(43)
ENISA bør bidrage til Unionens indsats for at samarbejde med internationale organisationer samt inden for relevante internationale samarbejdsrammer inden for cybersikkerhed. ENISA bør navnlig, hvor det er hensigtsmæssigt, bidrage til samarbejdet med organisationer såsom OECD, OSCE og NATO. Et sådant samarbejde kunne omfatte fælles cybersikkerhedsøvelser og fælles koordinering af reaktionen på hændelser. Disse aktiviteter skal udføres under fuld overholdelse af principperne om inklusivitet, gensidighed og Unionens beslutningsautonomi, uden at dette berører den særlige karakter af den enkelte medlemsstats sikkerheds- og forsvarspolitik.
(44)
For at sikre, at det når sine mål fuldt ud, bør ENISA etablere kontakt med relevante EU-tilsynsmyndigheder og andre kompetente myndigheder i Unionen, Unionens institutioner, organer, kontorer og agenturer, herunder CERT-EU, EC3, Det Europæiske Forsvarsagentur (EDA), Det Europæiske GNSS-Agentur (GSA), Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC), Det Europæiske Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA), Den Europæiske Centralbank (ECB), Den Europæiske Banktilsynsmyndighed (EBA), Det Europæiske Databeskyttelsesråd, Agenturet for Samarbejde mellem Energireguleringsmyndigheder (ACER), Det Europæiske Luftfartssikkerhedsagentur (EASA) og ethvert andet EU-agentur, der er involveret i cybersikkerhed. ENISA bør også etablere kontakt med myndigheder med ansvar for databeskyttelse for at udveksle knowhow og bedste praksis, og det bør yde rådgivning om cybersikkerhedsspørgsmål, der kan have betydning for deres arbejde. Repræsentanter for de retshåndhævende myndigheder og databeskyttelsesmyndigheder på nationalt plan og EU-plan bør kunne være repræsenteret i ENISA-Rådgivningsgruppen. I sine kontakter med retshåndhævende myndigheder vedrørende net- og informationssikkerhedsspørgsmål, der kan have indflydelse på disse myndigheders arbejde, bør ENISA respektere eksisterende informationskanaler og etablerede netværk.
(45)
Der kunne etableres partnerskaber med akademiske institutioner, som har forskningsinitiativer på de relevante områder, og der bør være passende kanaler til bidrag fra forbrugerorganisationer og andre organisationer, som bør tages i betragtning.
(46)
ENISA bør i sin rolle som CSIRT-netværkets sekretariat støtte medlemsstaternes CSIRT'er og CERT-EU i det operationelle samarbejde i forbindelse med CSIRT-netværkets relevante opgaver som omhandlet i direktiv (EU) 2016/1148. ENISA bør endvidere fremme og støtte samarbejdet mellem de relevante CSIRT'er i tilfælde af hændelser, angreb på eller afbrydelser af net eller infrastruktur, der styres eller beskyttes af CSIRT'erne, og som berører eller vil kunne berøre mindst to CSIRT'er, idet der tages behørigt hensyn til CSIRT-netværkets standardprocedurer.
(47)
Med henblik på at øge Unionens beredskab til at reagere på cybersikkerhedshændelser bør ENISA regelmæssigt tilrettelægge cybersikkerhedsøvelser på EU-niveau og på deres anmodning støtte medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer i at tilrettelægge sådanne øvelser. Omfattende øvelser i stor skala, som omfatter tekniske, operationelle og strategiske elementer, bør afholdes mindst hvert andet år. ENISA bør desuden regelmæssigt kunne afholde mindre omfattende øvelser med samme mål om at øge Unionens beredskab til at reagere på hændelser.
(48)
ENISA bør videreudvikle og opretholde sin ekspertise inden for cybersikkerhedscertificering med sigte på at understøtte Unionens politik på dette område. ENISA bør bygge videre på eksisterende bedste praksis og fremme udbredelsen af cybersikkerhedscertificering i Unionen, herunder ved at bidrage til etablering og vedligeholdelse af en ramme for cybersikkerhedscertificering på EU-niveau (den europæiske ramme for cybersikkerhedscertificering), for at øge gennemsigtigheden af IKT-produkters, -tjenesters og -processers cybersikkerhedstillidsniveau og dermed styrke tilliden til det digitale indre marked og dets konkurrenceevne.
(49)
Effektive cybersikkerhedsstrategier bør baseres på velgennemtænkte risikovurderingsmetoder, både i den offentlige og den private sektor. Risikovurderingsmetoder anvendes på forskellige niveauer og uden fælles praksis for, hvordan de anvendes effektivt. Ved at fremme og udvikle bedste praksis for risikovurdering og interoperable risikostyringsløsninger i den offentlige og den private sektors organisationer kan cybersikkerhedsniveauet i Unionen højnes. Til dette formål bør ENISA støtte samarbejdet mellem interessenter på EU-plan og lette deres bestræbelser på at etablere og indføre europæiske og internationale standarder for risikostyring og for målbar sikkerhed i elektroniske produkter, systemer, net og tjenester, som sammen med software udgør net- og informationssystemerne.
(50)
ENISA bør tilskynde medlemsstaterne, producenter eller udbydere af IKT-produkter, -tjenester og -processer til at hæve deres generelle sikkerhedsstandarder, så alle internetbrugere kan tage de nødvendige skridt til at sikre deres egen personlige cybersikkerhed og bør give incitamenter til at gøre det. Navnlig bør producenter og udbydere af IKT-produkter, -tjenester og -processer udsende nødvendige opdateringer og tilbagekalde, tilbagetrække eller genbruge IKT-produkter, -tjenester eller -processer, som ikke overholder cybersikkerhedsstandarderne, mens importører og distributører bør sikre sig, at de IKT-produkter, -tjenester og -processer, som de bringer i omsætning på EU-markedet, opfylder de gældende krav og ikke udgør en risiko for Unionens forbrugere.
(51)
I samarbejde med de kompetente myndigheder bør ENISA kunne formidle oplysninger om cybersikkerhedsniveauet for IKT-produkter, -tjenester og -processer, som udbydes i det indre marked, og det bør kunne udstede advarsler til producenter eller udbydere af IKT-produkter, -tjenester eller -processer og pålægge dem at forbedre sikkerheden af deres IKT-produkter, -tjenester og -processer, herunder cybersikkerheden.
(52)
ENISA bør tage fuldt hensyn til igangværende forsknings-, udviklings- og teknologivurderingsaktiviteter, navnlig aktiviteter der gennemføres som led i de forskellige EU-forskningsinitiativer for at rådgive Unionens institutioner, organer, kontorer og agenturer og, hvor det er relevant, medlemsstaterne, hvis de anmoder herom, om forskningsbehov og -prioriteter inden for cybersikkerhed. Med henblik på at klarlægge forskningsbehov og -prioriteter bør ENISA også høre de relevante brugergrupper. Mere specifikt kunne der etableres et samarbejde med Det Europæiske Forskningsråd (EFR), Det Europæiske Institut for Innovation og Teknologi (EIT) og Den Europæiske Unions Institut for Sikkerhedsstudier (EUISS).
(53)
ENISA bør regelmæssigt høre standardiseringsorganisationer, navnlig europæiske standardiseringsorganisationer, i forbindelse med udarbejdelsen af de europæiske cybersikkerhedscertificeringsordninger.
(54)
Cybertrusler er af global karakter. Der er behov for et tættere internationalt samarbejde for at forbedre cybersikkerhedsstandarderne, herunder behov for definitioner af fælles adfærdsnormer, vedtagelse af adfærdskodekser, anvendelse af internationale standarder og informationsudveksling, fremme af hurtigere internationalt samarbejde som reaktion på net- og informationssikkerhedsspørgsmål og fremme af en global tilgang til sådanne spørgsmål. ENISA bør derfor støtte yderligere EU-engagement og -samarbejde med tredjelande og internationale organisationer, ved, hvor det er relevant, at yde den nødvendige ekspertise og analyse til Unionens relevante institutioner, organer, kontorer og agenturer.
(55)
ENISA bør være i stand til at imødekomme ad hoc-anmodninger om rådgivning og bistand fra medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer i forhold til spørgsmål, som er omfattet af ENISA's mandat.
(56)
Det er fornuftigt og anbefales at gennemføre visse principper om ENISA's forvaltning for at overholde den fælles erklæring og fælles tilgang, som Den Interinstitutionelle Arbejdsgruppe om Unionens Decentrale Agenturer nåede til enighed om i juli 2012, og som har til formål at strømline de decentrale agenturers aktiviteter og forbedre deres resultater. Anbefalingerne i den fælles erklæring og den fælles tilgang vedrørende ENISA's arbejdsprogrammer, evalueringer og rapporterings- og administrationspraksis bør også afspejles, når det er relevant.
(57)
Bestyrelsen, som består af repræsentanter for medlemsstaterne og for Kommissionen, bør fastlægge de overordnede retningslinjer for ENISA's drift og sikre, at det udfører sine opgaver i overensstemmelse med denne forordning. Bestyrelsen bør have de beføjelser, der er nødvendige, til at fastlægge budgettet, kontrollere budgettets gennemførelse, vedtage passende finansielle bestemmelser, fastlægge transparente arbejdsprocedurer for ENISA's beslutningstagning, vedtage ENISA's samlede programmeringsdokument, vedtage sin egen forretningsorden, udnævne den administrerende direktør og træffe afgørelse om at forlængelse og ophør af den administrerende direktørs mandatperiode.
(58)
For at ENISA kan fungere korrekt og effektivt, bør Kommissionen og medlemsstaterne sikre, at personer, der udpeges til bestyrelsen, har passende faglig ekspertise og erfaring. Kommissionen og medlemsstaterne bør også gøre en indsats for at begrænse udskiftningen af deres respektive repræsentanter i bestyrelsen, så der sikres kontinuitet i bestyrelsens arbejde.
(59)
Et velfungerende ENISA kræver, at den administrerende direktør udnævnes på grundlag af kvalifikationer og dokumenterede administrative og ledelsesmæssige færdigheder samt kvalifikationer og erfaring, der er relevante for cybersikkerhed. Den administrerende direktørs opgaver bør udføres i fuld uafhængighed. Den administrerende direktør bør efter forudgående høring af Kommissionen udarbejde et forslag til ENISA's årlige arbejdsprogram og træffe alle nødvendige foranstaltninger til at sikre, at dette arbejdsprogram gennemføres korrekt. Den administrerende direktør bør udarbejde en årsberetning, der skal forelægges bestyrelsen, og som omhandler gennemførelsen af ENISA's årlige arbejdsprogram, udfærdige et udkast til overslag over ENISA's indtægter og udgifter samt gennemføre budgettet. Den administrerende direktør bør endvidere kunne nedsætte ad hoc-arbejdsgrupper til at behandle specifikke spørgsmål, navnlig spørgsmål af videnskabelig, teknisk, retlig eller samfundsøkonomisk art. Navnlig i forbindelse med udarbejdelsen af et forslag til en specifik europæisk cybersikkerhedscertificeringsordning anses det for nødvendigt at nedsætte en ad hoc-arbejdsgruppe. Den administrerende direktør bør sikre, at medlemmerne af ad hoc-arbejdsgrupperne udvælges på grundlag af den højeste ekspertisestandard, og tage skridt til at sikre en jævn kønsfordeling og en passende balance, afhængigt af de specifikke spørgsmål, mellem medlemsstaternes offentlige forvaltninger, Unionens institutioner organer, kontorer og agenturer og den private sektor, herunder branchen, brugerne og akademiske eksperter i net- og informationssikkerhed.
(60)
Forretningsudvalget bør bidrage til en velfungerende bestyrelse. Som led i det forberedende arbejde i forbindelse med bestyrelsens afgørelser bør forretningsudvalget nøje undersøge relevante oplysninger og gennemgå mulighederne og tilbyde rådgivning og løsninger til forberedelse af bestyrelsens afgørelser.
(61)
ENISA bør have en ENISA-rådgivningsgruppe som et rådgivende organ, der kan sikre en løbende dialog med den private sektor, forbrugerorganisationer og andre relevante interessenter. ENISA-Rådgivningsgruppen, der nedsættes af bestyrelsen efter forslag af den administrerende direktør, bør koncentrere sig om spørgsmål, der er relevante for interessenter, og forelægge dem for ENISA. ENISA-Rådgivningsgruppen bør navnlig høres i forbindelse med udkastet til ENISA's årlige arbejdsprogram. Sammensætningen af ENISA-Rådgivningsgruppen og dens opgaver bør sikre en tilstrækkelig repræsentation af interessenter i ENISA's arbejde.
(62)
Der bør nedsættes en cybersikkerhedscertificeringsgruppe for interessenter for at bistå ENISA og Kommissionen med at fremme høringen af relevante interessenter. Cybersikkerhedscertificeringsgruppen for Interessenter bør sammensættes af medlemmer, der i afbalanceret omfang repræsenterer branchen, både på efterspørgsels- og udbudssiden i forbindelse med IKT-produkter og -tjenester og herunder navnlig SMV'er, udbydere af digitale tjenester, europæiske og internationale standardiseringsorganer, nationale akkrediteringsorganer, databeskyttelsestilsynsmyndigheder og overensstemmelsesvurderingsorganer i henhold til Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 
(
16
)
 samt akademiske kredse og forbrugerorganisationer.
(63)
ENISA bør vedtage regler for forebyggelse og håndtering af interessekonflikter. ENISA bør også følge de relevante EU-bestemmelser om aktindsigt som fastlagt i Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 
(
17
)
. ENISA's behandling af personoplysninger bør være i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
18
)
. ENISA bør overholde de bestemmelser, der gælder for Unionens institutioner, organer, kontorer og agenturer, samt national lovgivning vedrørende behandling af oplysninger, navnlig følsomme ikkeklassificerede oplysninger og EU-klassificerede oplysninger (EUCI).
(64)
For at ENISA kan sikres fuld selvstændighed og uafhængighed og for at sætte det i stand til at udføre supplerende og nye opgaver, herunder uforudsete hasteopgaver, bør ENISA råde over et tilstrækkeligt og selvstændigt budget, hvis indtægter hovedsageligt kommer fra et bidrag fra Unionen og bidrag fra tredjelande, der deltager i ENISA's arbejde. For at sikre, at ENISA har tilstrækkelig kapacitet til at klare alle sine voksende opgaver og opnå sine mål, er det af helt afgørende betydning, at det tildeles tilstrækkelige midler. Størstedelen af ENISA's ansatte bør være direkte involveret i den operationelle gennemførelse af ENISA's mandat. Værtsmedlemsstaten og enhver anden medlemsstat bør kunne yde frivillige bidrag til ENISA's budget. Unionens budgetprocedure bør finde anvendelse på ethvert bidrag, som kommer fra Unionens almindelige budget. Desuden bør revisionen af ENISA's regnskaber forestås af Revisionsretten for at sikre gennemsigtighed og ansvarlighed.
(65)
Cybersikkerhedscertificering spiller en vigtig rolle for at øge tilliden til og sikkerheden af IKT-produkter, -tjenester og -processer. Det digitale indre marked og navnlig dataøkonomien og tingenes internet kan kun trives, hvis offentligheden generelt har tillid til, at sådanne produkter, tjenester og processer har et vist cybersikkerhedsniveau. Netforbundne og selvkørende biler, elektronisk medicinsk udstyr, industrielle automatiseringskontrolsystemer og intelligente forsyningsnet er blot nogle eksempler på sektorer, hvor certificering allerede bruges i vidt omfang eller sandsynligvis vil blive brugt i nærmeste fremtid. De sektorer, der reguleres af direktiv (EU) 2016/1148, er også sektorer, hvor cybersikkerhedscertificering er afgørende.
(66)
I meddelelsen fra 2016 »Styrkelse af Europas system for modstandsdygtighed over for cyberangreb og fremme af en konkurrencedygtig og innovativ cybersikkerhedsindustri«, beskrev Kommissionen nødvendigheden af cybersikkerhedsprodukter og -løsninger, som er af høj kvalitet, økonomisk overkommelige og interoperable. Udbuddet af IKT-produkter, -tjenester og -processer i det indre marked er fortsat meget fragmenteret geografisk. Det skyldes, at cybersikkerhedsindustrien i Europa hovedsageligt har udviklet sig på grundlag af national statslig efterspørgsel. Derudover mangler der også interoperable løsninger (tekniske standarder), praksis og EU-dækkende mekanismer for certificering, og det har en negativ virkning på det indre marked for cybersikkerhed. Dette gør det vanskeligt for europæiske virksomheder at konkurrere på nationalt plan, EU-plan og globalt plan. Det begrænser også udbuddet af levedygtige og brugbare cybersikkerhedsteknologier, som enkeltpersoner og virksomheder har adgang til. Ligeledes fremhævede Kommissionen i meddelelsen fra 2017 om midtvejsevalueringen om gennemførelsen af strategien for det digitale indre marked — Et forbundet digitalt indre marked for alle behovet for sikre netforbundne produkter og systemer og anførte, at indførelsen af en europæisk IKT-sikkerhedsramme, der fastsætter regler for tilrettelæggelse af IKT-sikkerhedscertificering i Unionen, både ville kunne bevare tilliden til internettet og gøre noget ved den nuværende fragmentering af det indre marked.
(67)
I øjeblikket anvendes cybersikkerhedscertificering af IKT-produkter, -tjenester og -processer kun i begrænset omfang. Hvis den findes, er det som regel på medlemsstatsniveau eller inden for rammerne af en brancheordning. I den forbindelse anerkendes en attest udstedt af en national cybersikkerhedscertificeringsmyndighed i princippet ikke i andre medlemsstater. Virksomhederne kan således være nødt til at certificere deres IKT-produkter, -tjenester og -processer i flere medlemsstater, hvor de driver virksomhed, f.eks. hvis de vil deltage i nationale offentlige udbud, hvorved deres omkostninger øges. Desuden er der, selv om der laves nye ordninger, tilsyneladende ikke nogen sammenhængende og holistisk tilgang til horisontale cybersikkerhedsspørgsmål, f.eks. inden for tingenes internet. De eksisterende ordninger har væsentlige mangler og forskelle med hensyn til produktdækning, tillidsniveau, materielle kriterier og faktisk anvendelse, hvilket vanskeliggør mekanismer til gensidig anerkendelse i Unionen.
(68)
Der er tidligere taget tilløb til at sikre gensidig anerkendelse af attester i Unionen. De har dog kun været delvis vellykkede. Det vigtigste eksempel herpå er Gruppen af Højtstående Embedsmænd vedrørende Informationssystemers Sikkerheds (SOG-IS') aftale om gensidig anerkendelse (MRA). Selv om det er den vigtigste model for samarbejde og gensidig anerkendelse på sikkerhedscertificeringsområdet, omfatter SOG-IS kun visse af Unionens medlemsstater. I forhold til det indre marked gør dette forhold, at SOG-IS' MRA kun er begrænset effektiv.
(69)
Derfor er det nødvendigt at vedtage en fælles tilgang og etablere en europæisk ramme for cybersikkerhedscertificering, som fastlægger de vigtigste horisontale krav til kommende europæiske cybersikkerhedscertificeringsordninger, og som giver mulighed for anerkendelse og brug af europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer for IKT-produkter, -tjenester og -processer i alle medlemsstater. I denne forbindelse er det afgørende at bygge videre på eksisterende nationale og internationale ordninger samt på systemer for gensidig anerkendelse, navnlig SOG-IS, og at give mulighed for en smidig overgang fra de eksisterende ordninger under sådanne systemer til ordninger under den nye europæiske ramme for cybersikkerhedscertificering. Den europæiske ramme for cybersikkerhedscertificering bør have et dobbelt formål. For det første bør den bidrage til at øge tilliden til IKT-produkter, -tjenester og -processer, der er certificeret i henhold til europæiske cybersikkerhedscertificeringsordninger. For det andet bør den hindre udbredelsen af modstridende eller overlappende nationale cybersikkerhedscertificeringsordninger og dermed mindske omkostningerne for virksomheder, der opererer på det digitale indre marked. De europæiske cybersikkerhedscertificeringsordninger bør være ikkediskriminerende og baseret på europæiske eller internationale standarder, medmindre sådanne standarder er ineffektive eller uhensigtsmæssige til at opfylde Unionens legitime mål i denne henseende.
(70)
Den europæiske ramme for cybersikkerhedscertificering bør etableres på en ensartet måde i alle medlemsstater for at undgå »certificeringsshopping« som følge af forskellige krav i medlemsstaterne.
(71)
De europæiske cybersikkerhedscertificeringsordninger bør bygge på det, der allerede eksisterer på internationalt og nationalt plan, og om nødvendigt på tekniske specifikationer fra fora og konsortier, idet der drages lære af nuværende stærke sider, og svagheder vurderes og korrigeres.
(72)
Industrien har brug for fleksible cybersikkerhedsløsninger for at kunne foregribe cybertrusler, og det bør derfor sikres, at ingen certificeringsordning udformes på en måde, hvor den forældes for hurtigt.
(73)
Kommissionen bør tillægges beføjelse til at vedtage europæiske cybersikkerhedscertificeringsordninger for specifikke grupper af IKT-produkter, -tjenester og -processer. Nationale cybersikkerhedscertificeringsmyndigheder bør gennemføre og føre tilsyn med disse ordninger, og attester udstedt i henhold til disse ordninger bør være gyldige og anerkendes i hele Unionen. Certificeringsordninger, som er branchedrevne eller drives af andre private organisationer, bør ikke være omfattet af denne forordnings anvendelsesområde. Organer, der driver sådanne ordninger, bør dog kunne foreslå Kommissionen at betragte ordningerne som grundlaget for at godkende dem som en europæisk cybersikkerhedscertificeringsordning.
(74)
Bestemmelserne i denne forordning bør ikke berøre EU-ret om specifikke regler for certificering af IKT-produkter, -tjenester og -processer. Navnlig fastsætter forordning (EU) 2016/679 bestemmelser om til fastlæggelse af certificeringsmekanismer for databeskyttelse samt databeskyttelsesmærkninger og -mærker med henblik på at påvise, at dataansvarliges og databehandleres behandlingsaktiviteter overholder nævnte forordning. Sådanne certificeringsmekanismer og databeskyttelsesmærkninger bør give de registrerede mulighed for hurtigt at vurdere de relevante IKT-produkters, -tjenesters og -processers databeskyttelsesniveau. Nærværende forordning berører ikke certificeringen af databehandlingsoperationer i henhold til forordning (EU) 2016/679, herunder hvis sådanne operationer er indeholdt i IKT-produkter, -tjenester og -processer.
(75)
Målet med europæiske cybersikkerhedscertificeringsordninger bør være at sikre, at de IKT-produkter, -tjenester og -processer, der er certificeret i henhold til sådanne ordninger, opfylder de fastsatte krav med henblik på at beskytte tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, der lagres, overføres eller behandles, eller af de dermed forbundne funktioner eller tjenester, der tilbydes i eller er tilgængelige via disse produkter, tjenester og processer i hele deres livscyklus. Det er ikke muligt at fastsætte detaljerede cybersikkerhedskrav for alle IKT-produkter, -tjenester og -processer i denne forordning. IKT-produkter, -tjenester og -processer og de til disse produkter, tjenester og processer hørende cybersikkerhedsbehov er så forskellige, at det er meget vanskeligt at udvikle generelle cybersikkerhedskrav, der gælder i alle situationer. Det er derfor nødvendigt at anlægge en bred og generel opfattelse af cybersikkerhed med henblik på certificering, som bør suppleres af en række specifikke cybersikkerhedsmål, som skal tages i betragtning ved udformningen af europæiske cybersikkerhedscertificeringsordninger. De ordninger, der skal anvendes til at nå disse mål i forhold til specifikke IKT-produkter, -tjenester og -processer, bør så præciseres yderligere i den enkelte certificeringsordning, der vedtages af Kommissionen, f.eks. i form af henvisninger til standarder eller tekniske specifikationer, hvis der ikke findes hensigtsmæssige standarder.
(76)
De tekniske specifikationer, der skal anvendes i en europæisk cybersikkerhedscertificeringsordning, bør overholde kravene i bilag II til Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 
(
19
)
. Visse afvigelser fra disse krav kan dog anses for at være nødvendige i behørigt begrundede tilfælde, hvor de pågældende tekniske specifikationer skal anvendes i en europæisk cybersikkerhedscertificeringsordning, der henviser til tillidsniveauet »højt«. Årsagerne til sådanne afvigelser bør gøres offentligt tilgængelige.
(77)
Certificeret overensstemmelsesvurdering er en procedure til at evaluere, om nærmere krav til et IKT-produkt, en IKT-tjeneste eller en IKT-proces er opfyldt. Denne procedure gennemføres af en uafhængig tredjepart, som ikke er producenten eller udbyderen af de IKT-produkter, -tjenester eller -processer, der vurderes. En europæisk cybersikkerhedsattest bør udstedes efter vellykket evaluering af et IKT-produkt, en IKT-tjeneste eller en IKT-proces. En europæisk cybersikkerhedsattest bør anses som en bekræftelse af, at evalueringen er foretaget korrekt. Afhængigt af tillidsniveauet bør den europæiske cybersikkerhedscertificeringsordning angive, om den europæiske cybersikkerhedsattest udstedes af et privat eller offentligt organ. Overensstemmelsesvurdering og certificering kan ikke i sig selv garantere, at certificerede IKT-produkter, -tjenester og -processer er cybersikre. Der er snarere tale om procedurer og tekniske metoder til at attestere, at IKT-produkter, -tjenester og -processer er blevet prøvet, og at de opfylder visse krav til cybersikkerhed, som er fastsat andetsteds, f.eks. i tekniske standarder.
(78)
Det valg af passende certificering og tilhørende sikkerhedskrav, som brugerne af europæiske cybersikkerhedsattester træffer, bør bygge på en analyse af de risici, der er forbundet med anvendelse af de pågældende IKT-produkter, -tjenester eller -processer. Tillidsniveauet bør således afspejle det risikoniveau, der er forbundet med den tilsigtede anvendelse af et IKT-produkt eller en IKT-tjeneste eller -proces.
(79)
En europæisk cybersikkerhedscertificeringsordning kan fastsætte, at en overensstemmelsesvurdering skal foretages under eneansvar af producenten eller udbyderen af IKT-produkter, -tjenester eller -processer (selvvurdering af overensstemmelse). I sådanne tilfælde bør det være tilstrækkeligt, at producenten eller udbyderen af IKT-produkter, -tjenester eller -processer selv foretager hele kontrollen med henblik på at sikre. at de pågældende IKT-produkter, -tjenester eller -processer stemmer overens med den europæiske cybersikkerhedscertificeringsordning. Selvvurdering af overensstemmelse bør betragtes som passende for IKT-produkter, -tjenester og -processer med lav kompleksitet, som udgør en lav risiko for offentligheden (enkel udformnings- og produktionsmekanisme). Desuden bør selvvurdering af overensstemmelse kun tillades for IKT-produkter, -tjenester og -processer, hvis de svarer til tillidsniveauet »grundlæggende«.
(80)
En europæisk cybersikkerhedscertificeringsordning kan give mulighed for både selvvurdering af overensstemmelse og certificering af IKT-produkter, -tjenester eller -processer. I så fald bør ordningen fastsætte klare og forståelige måder, hvorpå forbrugerne eller andre brugere kan skelne mellem IKT-produkter, -tjenester eller -processer, for hvilke producenten eller udbyderen af IKT-produkter, -tjenester eller -processer er ansvarlig for vurderingen, og IKT-produkter, -tjenester eller -processer, der er certificeret af en tredjepart.
(81)
Producenter og udbydere af IKT-produkter, -tjenester eller -processer, som foretager selvvurdering af overensstemmelse, bør kunne udstede og undertegne en EU-overensstemmelseserklæring som led i overensstemmelsesvurderingsproceduren. En EU-overensstemmelseserklæring er et dokument, der angiver, at et bestemt IKT-produkt eller en bestemt IKT-tjeneste eller -proces opfylder kravene i den europæiske cybersikkerhedscertificeringsordning. Ved at udstede og undertegne en EU-overensstemmelseserklæring påtager producenten eller udbyderen af IKT-produkter, -tjenester eller -processer sig ansvaret for, at IKT-produktet, -tjenesten eller -processen opfylder de retlige krav i den europæiske cybersikkerhedscertificeringsordning. En kopi af EU-overensstemmelseserklæringen bør indgives til den nationale cybersikkerhedscertificeringsmyndighed og ENISA.
(82)
Producenter eller udbydere af IKT-produkter, -tjenester eller -processer bør stille EU-overensstemmelseserklæringen, den tekniske dokumentation og alle øvrige relevante oplysninger vedrørende IKT-produkternes, -tjenesternes eller -processernes overensstemmelse med en europæisk cybersikkerhedscertificeringsordning til rådighed for den kompetente nationale cybersikkerhedscertificeringsmyndighed i en periode fastsat i den relevante europæiske cybersikkerhedscertificeringsordning. Den tekniske dokumentation bør præcisere de krav, der gælder i henhold til ordningen, og omfatte IKT-produktets, -tjenestens eller -processens udformning, fremstilling og drift, i det omfang dette er relevant for selvvurderingen af overensstemmelse. Den tekniske dokumentation bør være udarbejdet på en måde, der gør det muligt at vurdere, om et IKT-produkt eller en IKT-tjeneste overholder kravene i henhold til den pågældende ordning.
(83)
I forvaltningen af den europæiske ramme for cybersikkerhedscertificering tages der højde for såvel inddragelse af medlemsstaterne som passende inddragelse af interessenter, og Kommissionens rolle i forbindelse med planlægning, fremsættelse af forslag, anmodninger, udarbejdelse, vedtagelse og revision af europæiske cybersikkerhedscertificeringsordninger fastlægges.
(84)
Kommissionen bør med støtte fra Den Europæiske Cybersikkerhedscertificeringsgruppe (»ECCG«) og Cybersikkerhedscertificeringsgruppen for Interessenter og efter en åben og bred høring udarbejde Unionens rullende arbejdsprogram for europæiske cybersikkerhedscertificeringsordninger og offentliggøre det i form af et ikkebindende instrument. Unionens rullende arbejdsprogram bør være et strategisk dokument, der giver navnlig branchen, nationale myndigheder og standardiseringsorganer mulighed for på forhånd at forberede sig på fremtidige europæiske cybersikkerhedscertificeringsordninger. Unionens rullende arbejdsprogram bør omfatte en flerårig oversigt over de anmodninger om forslag til ordninger, som Kommissionen agter at forelægge for ENISA med henblik på udarbejdelse på grundlag af særlige forhold. Kommissionen bør tage hensyn til Unionens rullende arbejdsprogram, når den udarbejder den rullende plan for IKT-standardisering og standardiseringsanmodninger til europæiske standardiseringsorganisationer. I betragtning af den hurtige indførelse og udbredelse af nye teknologier, forekomsten af hidtil ukendte cybersikkerhedsrisici samt den lovgivningsmæssige udvikling og markedsudviklingen bør Kommissionen eller ECCG have ret til at anmode ENISA om at udarbejde forslag til ordninger, som ikke er opført i Unionens rullende arbejdsprogram. I sådanne tilfælde bør Kommissionen og ECCG også vurdere nødvendigheden af en sådan anmodninger under hensyntagen til denne forordnings overordnede mål og formål og til behovet for at sikre kontinuitet med hensyn til ENISA's planlægning og brug af ressourcer.
ENISA bør efter en sådan anmodning udarbejde forslag til ordninger for specifikke IKT-produkter, -tjenester eller processer hurtigst muligt. Kommissionen bør evaluere sin anmodnings positive og negative indvirkninger på det specifikke marked, navnlig indvirkningerne på SMV'er, innovation, hindringer for adgang til dette marked og omkostningerne for slutbrugerne. Kommissionen bør tillægges beføjelse til på grundlag af det af ENISA udarbejdede forslag til ordning at vedtage den europæiske cybersikkerhedscertificeringsordning ved hjælp af gennemførelsesretsakter. Under hensyntagen til det generelle formål og de sikkerhedsmål, der er fastsat i denne forordning, bør europæiske cybersikkerhedscertificeringsordninger, der vedtages af Kommissionen, angive et minimumssæt af elementer vedrørende den enkelte ordnings genstand, omfang og funktion. Disse elementer bør bl.a. omfatte cybersikkerhedscertificeringens omfang og genstand, herunder de omfattede kategorier af IKT-produkter, -tjenester og -processer, nærmere specifikation af cybersikkerhedskravene, f.eks. ved henvisning til standarder eller tekniske specifikationer, de specifikke evalueringskriterier og -metoder og det påtænkte tillidsniveau (»grundlæggende«, »betydeligt« eller »højt«), og evalueringsniveauerne, hvor det er relevant. ENISA bør kunne afvise en anmodning fra ECCG. Sådanne afgørelser bør træffes af bestyrelsen og bør begrundes behørigt.
(85)
ENISA bør føre et websted med oplysninger om og offentliggørelse af europæiske cybersikkerhedscertificeringsordninger, bl.a. bør indeholde anmodningerne om udarbejdelse af forslag til ordning samt den feedback, der modtages under den høringsproces, som ENISA gennemfører i udarbejdelsesfasen. Webstedet bør også indeholde oplysninger om de europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, der er udstedt i henhold til denne forordning, herunder oplysninger om tilbagekaldelse eller udløb af sådanne europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer. Webstedet bør også angive de nationale cybersikkerhedscertificeringsordninger, som er blevet erstattet af en europæisk cybersikkerhedscertificeringsordning.
(86)
Tillidsniveauet for en europæisk certificeringsordning udgør et grundlag for tillid til, at et IKT-produkt, en IKT-tjeneste eller en IKT-proces opfylder sikkerhedskravene i en bestemt europæisk cybersikkerhedscertificeringsordning. For at sikre sammenhæng i den europæiske ramme for cybersikkerhedscertificering bør en europæisk cybersikkerhedscertificeringsordning kunne præcisere tillidsniveauer for europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, der udstedes i henhold til den pågældende ordning. Den enkelte europæiske cybersikkerhedsattest kan eventuelt henvise til et af tillidsniveauerne — »grundlæggende«, »betydeligt« eller »højt« — mens EU-overensstemmelseserklæringen eventuelt kun kan henvise til tillidsniveauet »grundlæggende«. Tillidsniveauerne vil indebære en tilsvarende grad af stringens og dybde i evalueringen af IKT-produktet, -tjenesten eller -processen og vil være karakteriseret ved henvisning til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at afbøde eller forhindre hændelser. Hvert tillidsniveau bør være ensartet på tværs af de forskellige sektorspecifikke områder, hvor der anvendes certificering.
(87)
En europæisk cybersikkerhedscertificeringsordning kan fastsætte flere evalueringsniveauer, alt efter hvor stringent og dyb den anvendte evalueringsmetode er. Evalueringsniveauerne bør svare til et af tillidsniveauerne og være ledsaget af en passende kombination af tillidskomponenter. For samtlige tillidsniveauer bør IKT-produktet, -tjenesten eller -processen indeholde en række sikre funktioner som nærmere fastsat i ordningen, og som kan omfatte: sikker klar til brug-konfiguration, signeret kode, sikker opdatering og mekanismer til begrænsning af exploits og fuld stack- eller heap-hukommelsesbeskyttelse. Disse funktioner bør være udviklet og vedligeholdes ved hjælp af sikkerhedsorienterede udviklingstilgange og tilknyttede værktøjer for at sikre, at effektive software- og hardwaremekanismer er indarbejdet på pålidelig vis.
(88)
For tillidsniveauet »grundlæggende« bør evalueringen som minimum tage udgangspunkt i følgende tillidskomponenter: Evalueringen bør som minimum omfatte en gennemgang af den tekniske dokumentation for IKT-produktet, -tjenesten eller -processen foretaget af overensstemmelsesvurderingsorganet. Hvis certificeringen omfatter IKT-processer, bør den proces, der anvendes til at udforme, udvikle og vedligeholde et IKT-produkt eller en IKT-tjeneste, også være omfattet af den tekniske gennemgang. I tilfælde, hvor en europæisk cybersikkerhedscertificeringsordning giver mulighed for selvvurdering af overensstemmelsesniveauet, bør det være tilstrækkeligt, hvis producenten eller udbyderen af IKT-produkter, -tjenester eller -processer har udført en selvvurdering af IKT-produktets, -tjenestens eller -processens overensstemmelse med certificeringsordningen.
(89)
For tillidsniveauet »betydeligt« bør evalueringen ud over kravene til tillidsniveauet »grundlæggende« som minimum tage udgangspunkt i kontrol af overensstemmelsen af IKT-produktets, -tjenestens eller -processens sikkerhedsfunktioner med den tilhørende tekniske dokumentation.
(90)
For tillidsniveauet »højt« bør evalueringen ud over kravene til tillidsniveauet »betydeligt« som minimum tage udgangspunkt i en effektivitetstest, der vurderer modstandsdygtigheden af IKT-produktets, -tjenestens eller -processens sikkerhedsfunktioner over for overlagte cyberangreb udført af personer med betydelige færdigheder og ressourcer.
(91)
Anvendelse af europæisk cybersikkerhedscertificering og EU-overensstemmelseserklæringer bør fortsat være frivillig, medmindre andet er fastsat i EU-retten eller medlemsstaternes ret vedtaget i overensstemmelse med EU-retten. I mangel af harmoniseret EU-ret kan medlemsstaterne vedtage nationale tekniske forskrifter, der fastsætter obligatorisk certificering i henhold til en europæisk cybersikkerhedscertificeringsordning i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 
(
20
)
. Medlemsstaterne anvender også europæisk cybersikkerhedscertificering i forbindelse med offentlige udbud og Europa-Parlamentets og Rådets direktiv 2014/24/EU 
(
21
)
.
(92)
På nogle områder kan det fremover være nødvendigt at pålægge specifikke krav til cybersikkerhed og at gøre certificering heraf obligatorisk for visse IKT-produkter, -processer eller -tjenester for at forbedre cybersikkerheden i Unionen. Kommissionen bør regelmæssigt overvåge, hvordan de vedtagne europæiske cybersikkerhedscertificeringsordninger påvirker tilgængeligheden af sikre IKT-produkter, -tjenester og -processer i det indre marked, og bør regelmæssigt vurdere, i hvor stor grad certificeringsordningerne anvendes af producenter eller udbydere af IKT-produkter, -tjenester og -processer i Unionen. Effektiviteten af de europæiske certificeringsordninger, og hvorvidt bestemte ordninger bør gøres obligatoriske, bør vurderes i lyset af EU-lovgivningen vedrørende cybersikkerhed, navnlig direktiv (EU) 2016/1148, under hensyntagen til sikkerheden i net- og informationssystemer, der anvendes af operatører af væsentlige tjenester.
(93)
Europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer bør hjælpe slutbrugerne til at træffe informerede valg. IKT-produkter, -tjenester og -processer, der er certificeret, eller for hvilke der er udstedt en EU-overensstemmelsesvurdering, bør derfor ledsages af strukturerede oplysninger, der er tilpasset det forventede tekniske niveau hos den tilsigtede slutbruger. Alle sådanne oplysninger bør være tilgængelige online og, hvor det er hensigtsmæssigt, i et fysisk format. Slutbrugeren bør have adgang til oplysninger om certificeringsordningens referencenummer, tillidsniveauet, beskrivelsen af de cybersikkerhedsrisici, som er forbundet med IKT-produktet, -tjenesten eller -processen, samt den udstedende myndighed eller det udstedende organ, eller bør have mulighed for at rekvirere en kopi af den europæiske cybersikkerhedsattest. Desuden bør slutbrugeren informeres om den af producenten eller udbyderen af IKT-produkter, -tjenester eller -processer førte støttepolitik i forbindelse med cybersikkerhed, dvs. hvor længe slutbrugeren kan forvente at modtage cybersikkerhedsopdateringer eller -rettelser. Der bør, hvor det er relevant, vejledes om tiltag eller indstillinger, som slutbrugeren kan anvende for at opretholde eller øge IKT-produktets- eller -tjenestens cybersikkerhed, samt om kontaktoplysninger til et centralt kontaktpunkt til at indberette og modtage støtte i tilfælde af cyberangreb (i tillæg til automatisk indberetning). Disse oplysninger bør ajourføres regelmæssigt og gøres tilgængelige på et websted med oplysninger om europæiske cybersikkerhedscertificeringsordninger.
(94)
Med sigte på at nå denne forordnings mål og undgå fragmentering af det indre marked bør de nationale cybersikkerhedscertificeringsordninger eller -procedurer for IKT-produkter, -tjenester og -processer, der er omfattet af en europæisk cybersikkerhedscertificeringsordning, ophøre med at have virkning fra en dato, der fastsættes af Kommissionen ved hjælp af gennemførelsesretsakter. Medlemsstaterne bør desuden ikke indføre nye nationale cybersikkerhedscertificeringsordninger for IKT-produkter, -tjenester eller -processer, der allerede er omfattet af en eksisterende europæisk cybersikkerhedscertificeringsordning. Medlemsstaterne bør dog ikke være forhindret i at vedtage eller opretholde nationale cybersikkerhedscertificeringsordninger af nationale sikkerhedshensyn. Medlemsstaterne bør underrette Kommissionen og ECCG om enhver hensigt om at udarbejde nye nationale cybersikkerhedscertificeringsordninger. Kommissionen og ECCG bør evaluere, hvordan de nye nationale cybersikkerhedscertificeringsordninger påvirker et velfungerende indre marked og i lyset af en eventuel strategisk interesse i stedet at anmode om en europæisk cybersikkerhedscertificeringsordning.
(95)
Europæiske cybersikkerhedscertificeringsordninger har til formål at bidrage til at harmonisere cybersikkerhedspraksis i Unionen. De skal bidrage til at højne cybersikkerhedsniveauet i Unionen. Udformningen af de europæiske cybersikkerhedscertificeringsordninger bør tage hensyn til og tillade udvikling af innovative løsninger inden for cybersikkerhed.
(96)
Europæiske cybersikkerhedscertificeringsordninger bør tage hensyn til eksisterende metoder til udvikling af software og hardware og navnlig til, hvordan hyppige opdateringer af software eller firmware påvirker de individuelle europæiske cybersikkerhedsattester. Europæiske cybersikkerhedscertificeringsordninger bør fastsætte betingelserne for, at en opdatering kan kræve, at et IKT-produkt, en IKT-tjeneste eller en IKT-proces recertificeres, eller at anvendelsesområdet for en specifik europæisk cybersikkerhedsattest indskrænkes, under hensyntagen til opdateringens eventuelt negative indvirkning på overholdelsen af attestens sikkerhedskrav.
(97)
Når en europæisk cybersikkerhedscertificeringsordning er vedtaget, bør producenter eller udbydere af IKT-produkter, -tjenester eller -processer kunne indgive ansøgninger om certificering af deres IKT-produkter eller -tjenester til et overensstemmelsesvurderingsorgan efter eget valg over alt i Unionen. Overensstemmelsesvurderingsorganerne bør akkrediteres af et nationalt akkrediteringsorgan, hvis de opfylder visse nærmere krav fastsat i denne forordning. Akkreditering bør udstedes for en periode på højst fem år og bør kunne fornys på samme betingelser, forudsat at overensstemmelsesvurderingsorganet fortsat opfylder kravene. Nationale akkrediteringsorganer bør begrænse, suspendere eller tilbagekalde akkrediteringen af et overensstemmelsesvurderingsorgan, hvis betingelserne for akkrediteringen ikke eller ikke længere er opfyldt, eller hvis overensstemmelsesvurderingsorganet overtræder denne forordning.
(98)
Henvisninger i national lovgivning til nationale standarder, der er ophørt med at have virkning som følge af ikrafttrædelsen af en europæisk cybersikkerhedscertificeringsordning, kan være en kilde til forvirring. Medlemsstaterne bør derfor afspejle vedtagelsen af en europæisk cybersikkerhedscertificeringsordning i deres nationale lovgivning.
(99)
For at sikre ensartede standarder i hele Unionen, lette gensidig anerkendelse og fremme den generelle accept af europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer er det nødvendigt at indføre et peerreviewsystem mellem de nationale cybersikkerhedscertificeringsmyndigheder. Peerreviewet bør omfatte procedurer for tilsyn med IKT-produkters, -tjenesters og -processers overensstemmelse med europæiske cybersikkerhedsattester, for overvågning af de forpligtelser, som producenter eller udbydere af IKT-produkter, -tjenester eller -processer, der foretager selvvurdering, har og for overvågning af overensstemmelsesvurderingsorganer, samt relevansen af ekspertisen hos medarbejderne i organer, der udsteder attester for tillidsniveauet »højt«. Kommissionen bør ved hjælp af gennemførelsesretsakter kunne fastsætte mindst en femårig plan for peerreview samt fastlægge kriterier og metodologier for peerreviewsystemets drift.
(100)
Uden at det berører det generelle peerreviewsystem, der skal indføres for alle nationale cybersikkerhedscertificeringsmyndigheder inden for den europæiske ramme for cybersikkerhedscertificering, kan visse certificeringsordninger omfatte en peervurderingsmekanisme for de organer, der udsteder europæiske cybersikkerhedsattester for IKT-produkter, -tjenester og -processer med tillidsniveauet »højt« under sådanne ordninger. ECCG bør støtte gennemførelsen af sådanne peervurderingsmekanismer. Peervurderingerne bør navnlig vurdere, om de pågældende organer udfører deres opgaver på en harmoniseret måde, og kan omfatte appelmekanismer. Resultaterne af peervurderingerne bør offentliggøres. De pågældende organer kan vedtage hensigtsmæssige foranstaltninger for at tilpasse deres praksis og ekspertise i overensstemmelse hermed.
(101)
Medlemsstaterne bør udpege en eller flere nationale cybersikkerhedscertificeringsmyndigheder til at føre tilsyn med overholdelsen af de forpligtelser, der følger af denne forordning. En national cybersikkerhedscertificeringsmyndighed kan være en eksisterende eller ny myndighed. En medlemsstat bør også efter aftale med en anden medlemsstat kunne udpege en eller flere nationale cybersikkerhedscertificeringsmyndigheder på denne anden medlemsstats område.
(102)
Den nationale cybersikkerhedscertificeringsmyndighed bør navnlig overvåge og håndhæve de forpligtelser, som producenter eller udbydere af IKT-produkter, -tjenester eller -processer, der er etableret på dens respektive område, er underlagt i henhold til EU-overensstemmelseserklæringen, bistå de nationale akkrediteringsorganer med overvågning af og tilsyn med overensstemmelsesvurderingsorganers aktiviteter ved at stille ekspertise og relevante oplysninger til rådighed for dem, bemyndige overensstemmelsesvurderingsorganer til at udføre deres opgaver, hvis sådanne organer opfylder yderligere krav, der er fastsat i en europæisk cybersikkerhedscertificeringsordning, og overvåge relevante udviklinger inden for cybersikkerhedscertificering. De nationale cybersikkerhedscertificeringsmyndigheder bør også behandle klager fra fysiske eller juridiske personer i forbindelse med europæiske cybersikkerhedsattester udstedt af disse myndigheder eller i forbindelse med europæiske cybersikkerhedsattester udstedt af overensstemmelsesvurderingsorganer, når sådanne attester henviser til tillidsniveauet »højt«, undersøge genstanden for klagen i relevant omfang og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist. Herudover bør nationale cybersikkerhedscertificeringsmyndigheder samarbejde med andre nationale cybersikkerhedscertificerings myndigheder eller andre offentlige myndigheder, herunder ved at dele oplysninger om mulige tilfælde af IKT-produkters, -tjenesters og -processers manglende overholdelse af denne forordnings krav eller af specifikke cybersikkerhedscertificeringsordninger. Kommissionen bør lette denne udveksling af oplysninger ved at stille et understøttende generelt elektronisk informationssystem til rådighed, f.eks. informations- og kommunikationssystemet for markedsovervågning (ICSMS) og det hurtige varslingssystem for farlige nonfoodprodukter (RAPEX), som allerede anvendes af markedsovervågningsmyndighederne i medfør af forordning (EF) nr. 765/2008.
(103)
Med henblik på at sikre en ensartet anvendelse af den europæiske ramme for cybersikkerhedscertificering bør der oprettes en ECCG, som består af repræsentanter for de nationale cybersikkerhedscertificeringsmyndigheder eller andre relevante nationale myndigheder. ECCG's vigtigste opgaver bør være at rådgive og bistå Kommissionens i dens arbejde med at sikre en ensartet gennemførelse og anvendelse af den europæiske ramme for cybersikkerhedscertificering, at bistå og arbejde tæt sammen med ENISA ved udarbejdelsen af forslag til cybersikkerhedscertificeringsordninger, i behørigt begrundede tilfælde at anmode ENISA om at udarbejde et forslag til ordning samt at vedtage udtalelser rettet til ENISA vedrørende forslag til ordninger og til Kommissionen vedrørende vedligeholdelse og revision af eksisterende europæiske cybersikkerhedscertificeringsordninger. ECCG bør lette udvekslingen af god praksis og ekspertise mellem de forskellige nationale cybersikkerhedscertificeringsmyndigheder, der er ansvarlige for bemyndigelse af overensstemmelsesvurderingsorganer og udstedelse af europæiske cybersikkerhedsattester.
(104)
For at udbrede kendskabet til og lette accepten af fremtidige europæiske cybersikkerhedsordninger kan Kommissionen udstede generelle eller sektorspecifikke cybersikkerhedsretningslinjer om f.eks. god praksis inden for cybersikkerhed eller ansvarlig cybersikkerhedsadfærd, som fremhæver den positive virkning af certificerede IKT-produkter, -tjenester og -processer.
(105)
For yderligere at lette handelen og i erkendelse af, at IKT-forsyningskæderne er globale, kan aftaler om gensidig anerkendelse vedrørende europæiske cybersikkerhedsattester indgås af Unionen i overensstemmelse med artikel 218 i traktaten om Den Europæiske Unions funktionsmåde (TEUF). Kommissionen kan under hensyntagen til rådgivningen fra ENISA og ECCG anbefale, at der indledes relevante forhandlinger. Hver europæisk cybersikkerhedsordning bør fastsætte specifikke betingelser for sådan gensidig anerkendelse med tredjelande.
(106)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
22
)
.
(107)
Undersøgelsesproceduren bør anvendes til at vedtage gennemførelsesretsakter om europæiske cybersikkerhedscertificeringsordninger for IKT-produkter, -tjenester eller -processer, til at vedtage gennemførelsesretsakter om ordninger for ENISA's gennemførelse af undersøgelser, til at vedtage gennemførelsesretsakter om en plan om peerreview af de nationale cybersikkerhedscertificeringsmyndigheder samt til vedtagelse af gennemførelsesretsakter om vilkår, formater og procedurer for de nationale cybersikkerhedscertificerings myndigheders anmeldelse af akkrediterede overensstemmelsesvurderingsorganer til Kommissionen.
(108)
Der bør foretages regelmæssig og uafhængig evaluering af ENISA's arbejde. Evalueringen bør tage hensyn til ENISA's mål, til dets arbejdsmetoder og til, om dets opgaver er relevante, navnlig dets opgaver vedrørende operationelt samarbejde på EU-plan. Evalueringen bør desuden vurdere virkningen og effektiviteten af den europæiske ramme for cybersikkerhedscertificering. I tilfælde af en revision bør Kommissionen evaluere, hvordan ENISA's rolle som referencepunkt for rådgivning og ekspertise kan styrkes, og bør desuden evaluere muligheden for, at ENISA får en rolle, som understøtter vurderingen af tredjelandes IKT-produkter, -tjenester og -processer, som ikke er i overensstemmelse med EU-reglerne, når sådanne produkter, tjenester og processer føres ind i Unionen.
(109)
Målene for denne forordning kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af dens virkning og effekt bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(110)
Forordning (EU) nr. 526/2013 bør ophæves —
VEDTAGET DENNE FORORDNING:
AFSNIT I
GENERELLE BESTEMMELSER
Artikel 1
Genstand og anvendelsesområde
1.   Med henblik på at sikre et velfungerende indre marked og opnå et højt niveau af cybersikkerhed, cyberrobusthed og tillid i Unionen fastlægges i denne forordning:
a)
mål, opgaver og organisatoriske forhold vedrørende ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), og
b)
en ramme for etablering af europæiske cybersikkerhedscertificeringsordninger, der har til formål at sikre et tilstrækkeligt cybersikkerhedsniveau for IKT-produkter, -tjenester og -processer i Unionen, samt at undgå fragmentering af det indre marked med hensyn til cybersikkerhedscertificeringsordninger i Unionen.
Rammen omhandlet i første afsnit, litra b), finder anvendelse, uden at det berører specifikke bestemmelser i andre EU-retsakter vedrørende frivillig eller obligatorisk certificering.
2.   Denne forordning berører ikke medlemsstaternes beføjelser med hensyn til aktiviteter vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og statens aktiviteter på det strafferetlige område.
Artikel 2
Definitioner
I denne forordning forstås ved:
1)   
»cybersikkerhed«
: de aktiviteter, der er nødvendige for at beskytte net- og informationssystemer, brugerne af sådanne systemer og andre personer berørt af cybertrusler
2)   
»net- og informationssystem«
: et net- og informationssystem som defineret i artikel 4, nr. 1), i direktiv (EU) 2016/1148
3)   
»national strategi for sikkerheden i net- og informationssystemer«
: en national strategi for sikkerheden i net- og informationssystemer som defineret i artikel 4, nr. 3), i direktiv (EU) 2016/1148
4)   
»operatør af væsentlige tjenester«
: en operatør af væsentlige tjenester som defineret i artikel 4, nr. 4), i direktiv (EU) 2016/1148
5)   
»udbyder af digitale tjenester«
: en udbyder af digitale tjenester som defineret i artikel 4, nr. 6), i direktiv (EU) 2016/1148
6)   
»hændelse«
: en hændelse som defineret i artikel 4, nr. 7), i direktiv (EU) 2016/1148
7)   
»håndtering af hændelser«
: håndtering af hændelser som defineret i artikel 4, nr. 8), i direktiv (EU) 2016/1148
8)   
»cybertrussel«
: enhver potentiel omstændighed, begivenhed eller handling, som kan skade, forstyrre eller på anden måde have en negativ indvirkning på net- og informationssystemer, brugerne af sådanne systemer og andre personer
9)   
»europæisk cybersikkerhedscertificeringsordning«
: et sammenhængende sæt regler, tekniske krav, standarder og procedurer, der er fastsat på EU-plan, og som finder anvendelse på certificeringen eller overensstemmelsesvurderingen af specifikke IKT-produkter, -tjenester og -processer
10)   
»national cybersikkerhedscertificeringsordning«
: et sammenhængende sæt regler, tekniske krav, standarder og procedurer, der er udviklet og vedtaget af en national offentlig myndighed, og som finder anvendelse på certificeringen eller overensstemmelsesvurderingen af IKT-produkter, -tjenester og -processer, der er omfattet af den pågældende ordning
11)   
»europæisk cybersikkerhedsattest«
: et dokument udstedt af et relevant organ, som attesterer, at et givet IKT-produkt, en given IKT-tjeneste eller en given IKT-proces er blevet evalueret med henblik på overensstemmelse med specifikke sikkerhedskrav fastsat i en europæisk cybersikkerhedscertificeringsordning
12)   
»IKT-produkt«
: et element eller en gruppe af elementer i net- og informationssystemer
13)   
»IKT-tjeneste«
: en tjeneste, der helt eller hovedsagelig består i overførsel, lagring, indhentning eller behandling af oplysninger ved hjælp af net- og informationssystemer
14)   
»IKT-proces«
: et sæt aktiviteter, der udføres for at udforme, udvikle, levere eller vedligeholde et IKT-produkt eller en IKT-tjeneste
15)   
»akkreditering«
: akkreditering som defineret i artikel 2, nr. 10), i forordning (EF) nr. 765/2008
16)   
»nationalt akkrediteringsorgan«
: et nationalt akkrediteringsorgan som defineret i artikel 2, nr. 11), i forordning (EF) nr. 765/2008
17)   
»overensstemmelsesvurdering«
: en overensstemmelsesvurdering som defineret i artikel 2, nr. 12), i forordning (EF) nr. 765/2008
18)   
»overensstemmelsesvurderingsorgan«
: et overensstemmelsesvurderingsorgan som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008
19)   
»standard«
: en standard som defineret i artikel 2, nr. 1), i forordning (EU) nr. 1025/2012
20)   
»teknisk specifikation«
: et dokument, der fastsætter de tekniske krav, som et IKT-produkt, en IKT-tjeneste eller en IKT-proces skal opfylde, eller de dertil hørende overensstemmelsesvurderingsprocedurer
21)   
»tillidsniveau«
: et grundlag for tillid til, at et IKT-produkt, en IKT-tjeneste eller en IKT-proces opfylder sikkerhedskravene i en bestemt europæisk cybersikkerhedscertificeringsordning, og en angivelse af, på hvilket niveau et IKT-produkt, en IKT-tjeneste eller en IKT-proces er blevet evalueret uden som sådan at måle IKT-produktets, IKT-tjenestens eller IKT-processens sikkerhed
22)   
»selvvurdering af overensstemmelse«
: en handling foretaget af en producent eller udbyder af IKT-produkter, tjenester eller -processer, der evaluerer, hvorvidt IKT-produkterne, -tjenesterne eller -processerne opfylder kravene i en specifik europæisk cybersikkerhedscertificeringsordning.
AFSNIT II
ENISA (DEN EUROPÆISKE UNIONS AGENTUR FOR CYBERSIKKERHED)
KAPITEL I
Mandat og formål
Artikel 3
Mandat
1.   ENISA udfører de opgaver, det tillægges i henhold til denne forordning, med det formål at opnå et højt fælles cybersikkerhedsniveau i hele Unionen, herunder ved aktivt at støtte medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer i at forbedre cybersikkerheden. ENISA fungerer som et referencepunkt for rådgivning om og ekspertise i cybersikkerhed for Unionens institutioner, organer, kontorer og agenturer samt for andre relevante EU-interessenter.
ENISA bidrager til at mindske fragmenteringen af det indre marked ved at udføre de opgaver, det tillægges i henhold til denne forordning.
2.   ENISA udfører de opgaver, det tillægges ved EU-retsakter, der fastsætter foranstaltninger med henblik på indbyrdes tilnærmelse af de af medlemsstaternes love og administrative bestemmelser, der vedrører cybersikkerhed.
3.   ENISA handler uafhængigt ved udførelsen af sine opgaver, undgår overlap med medlemsstaternes aktiviteter og tager hensyn til medlemsstaternes allerede eksisterende ekspertise.
4.   ENISA udvikler sine egne nødvendige ressourcer, herunder teknisk og menneskelig kapacitet og færdigheder, for at udføre de opgaver, det har fået tillagt i henhold til denne forordning.
Artikel 4
Formål
1.   ENISA fungerer som et ekspertisecenter for cybersikkerhed i kraft af sin uafhængighed, den videnskabelige og tekniske kvalitet af den rådgivning og bistand, det yder, de oplysninger, det leverer, den gennemsigtighed, der er forbundet med dets procedurer, dets driftsmetoder og dets omhu ved udførelsen af sine opgaver.
2.   ENISA bistår Unionens institutioner, organer, kontorer og agenturer samt medlemsstaterne med udvikling og gennemførelse af EU-politikker vedrørende cybersikkerhed, herunder sektorspecifikke politikker om cybersikkerhed.
3.   ENISA støtter kapacitetsopbygning og beredskab i hele Unionen ved at bistå Unionens institutioner, organer, kontorer og agenturer samt medlemsstaterne og offentlige og private interessenter for at øge beskyttelsen af deres net- og informationssystemer, udvikle og forbedre cyberrobusthed og indsatskapaciteter og udvikle færdigheder og kompetencer inden for cybersikkerhed.
4.   ENISA fremmer samarbejde, herunder informationsudveksling og koordinering på EU-plan, mellem medlemsstaterne, Unionens institutioner, organer, kontorer og agenturer og relevante private og offentlige interessenter for så vidt angår spørgsmål vedrørende cybersikkerhed.
5.   ENISA bidrager til øget cybersikkerhedskapacitet på EU-plan for at støtte medlemsstaternes tiltag til at forebygge og reagere på cybertrusler, herunder navnlig i tilfælde af grænseoverskridende hændelser.
6.   ENISA fremmer brugen af europæisk cybersikkerhedscertificering med henblik på at undgå fragmentering af det indre marked. ENISA bidrager til etablering og vedligeholdelse af en europæisk ramme for cybersikkerhedscertificering, jf. afsnit III, for at øge gennemsigtigheden af IKT-produkters, -tjenesters og -processers cybersikkerhedsniveau og dermed styrke tilliden til det digitale indre marked og dets konkurrenceevne.
7.   ENISA fremmer et højt niveau af cybersikkerhedsoplysning, herunder cyberhygiejne og cyberfærdigheder blandt borgere, organisationer og virksomheder.
KAPITEL II
Opgaver
Artikel 5
Udvikling og gennemførelse af Unionens politikker og lovgivning
ENISA bidrager til udvikling og gennemførelse af Unionens politikker og lovgivning ved at:
1)
bistå og rådgive ved udvikling og revision af Unionens politik og lovgivning inden for cybersikkerhed samt sektorspecifik politik og lovgivningsinitiativer, som involverer cybersikkerhedsanliggender, navnlig ved at levere uafhængige udtalelser og analyser samt udføre forberedende arbejde
2)
bistå medlemsstaterne med en konsekvent gennemførelse af Unionens politikker og lovgivning om cybersikkerhed, navnlig i forbindelse med direktiv (EU) 2016/1148, herunder ved hjælp af udstedelse af udtalelser, retningslinjer, levering af rådgivning og bedste praksis om emner som risikostyring, indberetning af hændelser og informationsudveksling, samt ved at lette udvekslingen af bedste praksis mellem de kompetente myndigheder i denne henseende
3)
bistå medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer med at udvikle og fremme cybersikkerhedspolitikker, der er forbundet med at understøtte den generelle tilgængelighed eller integritet af den offentligt tilgængelige kerne af det åbne internet
4)
bidrage til arbejdet i samarbejdsgruppen, jf. artikel 11 i direktiv (EU) 2016/1148, ved at stille sin ekspertise og bistand til rådighed
5)
støtte:
a)
udvikling og gennemførelse af Unionens politikker inden for elektroniske identifikations- og tillidstjenester, navnlig gennem rådgivning og udstedelse af tekniske retningslinjer, samt ved at fremme udvekslingen af bedste praksis mellem de kompetente myndigheder
b)
fremme af et højere sikkerhedsniveau i elektronisk kommunikation, herunder ved at levere rådgivning og ekspertise, samt ved at fremme udvekslingen af bedste praksis mellem de kompetente myndigheder
c)
medlemsstaterne i forhold til at gennemføre specifikke cybersikkerhedsaspekter af Unionens politik og lovgivning vedrørende databeskyttelse og privatlivets fred, herunder ved efter anmodning at levere rådgivning til Det Europæiske Databeskyttelsesråd.
6)
understøtte en jævnlig gennemgang af Unionens politiske aktiviteter ved at udarbejde en årsrapport om status for gennemførelsen af de respektive retlige rammer vedrørende:
a)
oplysninger om medlemsstaternes underretninger om hændelser til samarbejdsgruppen via de centrale kontaktpunkter i henhold til artikel 10, stk. 3, i direktiv (EU) 2016/1148
b)
sammenfatninger af de indberetninger om brud på sikkerheden eller tab af integritet, som er modtaget fra tillidstjenesteudbyderne, og som forelægges ENISA af tilsynsorganerne i henhold til artikel 19, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 
(
23
)
c)
indberetninger af sikkerhedshændelser fra udbydere af offentlige elektroniske kommunikationsnet eller af offentligt tilgængelige elektroniske kommunikationstjenester, som forelægges ENISA af de kompetente myndigheder i henhold til artikel 40 i direktiv (EU) 2018/1972.
Artikel 6
Kapacitetsopbygning
1.   ENISA bistår:
a)
medlemsstaterne i deres bestræbelser på at forbedre forebyggelse, opdagelse og analyse af og kapaciteten til at reagere på cybertrusler og -hændelser ved at stille viden og ekspertise til rådighed for dem
b)
medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer med at etablere og gennemføre politikker for offentliggørelse af sårbarheder på frivillig basis
c)
Unionens institutioner, organer, kontorer og agenturer i deres bestræbelser på at forbedre forebyggelse, opdagelse og analyse af cybertrusler og -hændelser, og til at forbedre deres kapacitet til at reagere på sådanne cybertrusler og -hændelser, navnlig gennem passende støtte til CERT-EU)
d)
medlemsstaterne med udviklingen af nationale CSIRT'er, når der anmodes herom i henhold til artikel 9, stk. 5, i direktiv (EU) 2016/1148
e)
medlemsstaterne med udviklingen af nationale strategier for sikkerhed i net- og informationssystemer, når der anmodes herom i henhold til artikel 7, stk. 2, i direktiv (EU) 2016/1148; ENISA skal også fremme udbredelsen af og notere fremskridtene med hensyn til gennemførelsen af disse strategier i hele Unionen med henblik på at fremme bedste praksis
f)
Unionens institutioner med udviklingen og revisionen af Unionens strategier vedrørende cybersikkerhed og fremmer deres udbredelse og følger fremskridtene med hensyn til deres gennemførelse
g)
de nationale CSIRT'er og Unionens CSIRT'er i deres kapacitetsudbygning, herunder ved at fremme dialog og udveksling af oplysninger for at sikre, at hver CSIRT har et fælles sæt af minimumskapaciteter med hensyn til det aktuelle tekniske niveau og opererer i overensstemmelse med bedste praksis
h)
medlemsstaterne ved regelmæssigt og mindst hvert andet år at tilrettelægge cybersikkerhedsøvelserne på EU-plan som omhandlet i artikel 7, stk. 5, og ved at fremsætte politikanbefalinger baseret på vurderingen af øvelserne og de indhøstede erfaringer fra dem
i)
relevante offentlige organer ved at tilbyde kurser om cybersikkerhed, hvor det er relevant i samarbejde med interessenter
j)
samarbejdsgruppen i forbindelse med udveksling af bedste praksis, navnlig med hensyn til medlemsstaternes identificering af operatører af væsentlige tjenester, herunder i forbindelse med en grænseoverskridende afhængighed vedrørende risici og hændelser, i henhold til artikel 11, stk. 3, litra l), i direktiv (EU) 2016/1148.
2.   ENISA støtter informationsudveksling i og mellem sektorer, navnlig i de sektorer, der er opført i bilag II til direktiv (EU) 2016/1148, ved at stille bedste praksis og vejledning om tilgængelige værktøjer og procedurer samt om håndtering af reguleringsmæssige spørgsmål relateret til informationsudveksling til rådighed.
Artikel 7
Operationelt samarbejde på EU-plan
1.   ENISA understøtter operationelt samarbejde mellem medlemsstaterne, Unionens institutioner, organer, kontorer og agenturer og mellem interessenter.
2.   ENISA samarbejder på det operationelle plan og etablerer synergier med Unionens institutioner, organer, kontorer og agenturer, herunder CERT-EU, med de tjenestegrene, der beskæftiger sig med cyberkriminalitet, og med tilsynsmyndigheder med ansvar for beskyttelse af privatlivets fred og personoplysninger, med henblik på at behandle spørgsmål af fælles interesse, herunder ved at:
a)
udveksle knowhow og bedste praksis
b)
levere rådgivning og udstede retningslinjer om relevante cybersikkerhedsspørgsmål
c)
indføre praktiske ordninger for udførelse af bestemte opgaver efter høring af Kommissionen.
3.   ENISA varetager sekretariatsfunktionen for CSIRT-netværket, jf. artikel 12, stk. 2, i direktiv (EU) 2016/1148, og støtter i denne egenskab aktivt informationsudveksling og samarbejdet mellem dets medlemmer.
4.   ENISA støtter medlemsstaterne med hensyn til det operationelle samarbejde i CSIRT-netværket ved at:
a)
rådgive om, hvordan de forbedrer deres kapacitet til at forebygge, opdage og reagere på hændelser, og efter anmodning fra en eller flere medlemsstater yde rådgivning i forhold til en specifik cybertrussel
b)
efter anmodning fra en eller flere medlemsstater at bistå i vurderingen af hændelser, der har betydelige eller væsentlige konsekvenser, ved at yde ekspertise og lette den tekniske håndtering af sådanne hændelser, herunder navnlig ved at støtte frivillig udveksling af relevante oplysninger og tekniske løsninger mellem medlemsstaterne
c)
analysere sårbarheder og hændelser på grundlag af offentligt tilgængelige oplysninger eller oplysninger, som medlemsstaterne frivilligt har stillet til rådighed til dette formål, og
d)
efter anmodning fra en eller flere medlemsstater yde støtte i forbindelse med efterfølgende tekniske undersøgelser af hændelser, der har betydelige eller væsentlige konsekvenser som omhandlet i direktiv (EU) 2016/1148.
Ved udøvelsen af disse opgaver indgår ENISA og CERT-EU i et struktureret samarbejde med henblik på at udnytte synergier og undgå overlap af aktiviteter.
5.   ENISA tilrettelægger regelmæssigt cybersikkerhedsøvelser på EU-plan og støtter medlemsstaterne og Unionens institutioner, organer, kontorer og agenturer i at tilrettelægge cybersikkerhedsøvelser på deres anmodning. Sådanne cybersikkerhedsøvelser på EU-plan kan omfatte tekniske, operationelle eller strategiske elementer. ENISA tilrettelægger hvert andet år en omfattende samlet øvelse.
Hvor det er relevant, bidrager ENISA også til og hjælper med at tilrettelægge sektorspecifikke cybersikkerhedsøvelser sammen med relevante organisationer, der også deltager i cybersikkerhedsøvelser på EU-plan.
6.   ENISA udarbejder i tæt samarbejde med medlemsstaterne regelmæssigt en tilbundsgående teknisk EU-cybersikkerhedsrapport om hændelser og cybertrusler, der er baseret på offentligt tilgængelige oplysninger, ENISA's egen analyse og rapporter, som deles af bl.a. medlemsstaternes CSIRT'er eller de ved direktivet (EU) 2016/1148 oprettede centrale kontaktpunkter, begge på frivillig basis, EC3 og CERT-EU.
7.   ENISA bidrager til at udvikle en samarbejdsorienteret reaktion på EU- og medlemsstatsplan på væsentlige grænseoverskridende hændelser eller -kriser relateret til cybersikkerhed ved navnlig at:
a)
samle og analysere rapporter fra nationale kilder, der er offentligt tilgængelige eller delt på frivillig basis, med henblik på at bidrage til skabelsen af en fælles situationsforståelse
b)
sikre en effektiv informationsstrøm og sørge for, at der er eskaleringsmekanismer på plads til brug mellem CSIRT-netværket og de tekniske og politiske beslutningstagere på EU-niveau
c)
efter anmodning lette den tekniske håndtering af sådanne hændelser eller kriser, herunder navnlig ved at støtte frivillig udveksling af tekniske løsninger mellem medlemsstaterne
d)
støtte Unionens institutioner, organer, kontorer og agenturer og efter anmodning medlemsstaterne i kommunikation til offentligheden om sådanne hændelser eller kriser
e)
afprøve samarbejdsplaner for reaktionen på sådanne hændelser eller kriser på EU-plan og efter anmodning støtte medlemsstaterne i afprøvningen af sådanne planer på nationalt plan.
Artikel 8
Marked, cybersikkerhedscertificering og standardisering
1.   ENISA støtter og fremmer udviklingen og gennemførelsen af Unionens politik vedrørende cybersikkerhedscertificering af IKT-produkter, -tjenester og -processer som fastsat i denne forordnings afsnit III ved:
a)
løbende at overvåge udviklingen på beslægtede standardiseringsområder og anbefale passende tekniske specifikationer til brug for udvikling af europæiske cybersikkerhedscertificeringsordninger i henhold til artikel 54, stk. 1, litra c), i tilfælde, hvor der ikke findes standarder
b)
forberede forslag til europæiske cybersikkerhedscertificeringsordninger (»forslag til ordninger«) for IKT-produkter, -tjenester og -processer i overensstemmelse med artikel 49
c)
evaluere vedtagne europæiske cybersikkerhedscertificeringsordninger i overensstemmelse med artikel 49, stk. 8
d)
deltage i peerreviews i henhold til artikel 59, stk. 4
e)
bistå Kommissionen med at varetage sekretariatsfunktionen for ECCG i henhold til artikel 62, stk. 5.
2.   ENISA varetager sekretariatsfunktionen for Cybersikkerhedscertificeringsgruppen for Interessenter i henhold til artikel 22, stk. 4.
3.   ENISA samler og offentliggør retningslinjer og udvikler god praksis vedrørende cybersikkerhedskrav til IKT-produkter, -tjenester og -processer i samarbejde med nationale cybersikkerhedscertificeringsmyndigheder og branchen på en formaliseret, struktureret og gennemsigtig måde.
4.   ENISA bidrager til kapacitetsopbygning i forbindelse med evaluerings- og certificeringsprocesser ved at samle og udstede retningslinjer og yde støtte til medlemsstaterne på deres anmodning.
5.   ENISA fremmer indførelse og udbredelse af europæiske og internationale standarder for risikostyring og for IKT-produkters, -tjenesters og processers sikkerhed.
6.   ENISA udarbejder i samarbejde med medlemsstaterne og branchen vejledning og retningslinjer om de tekniske områder vedrørende sikkerhedskrav for operatører af væsentlige tjenester og udbydere af digitale tjenester samt om allerede eksisterende standarder, herunder medlemsstaternes nationale standarder, i henhold til artikel 19, stk. 2, i direktiv (EU) 2016/1148.
7.   ENISA udfører og formidler regelmæssige analyser af de vigtigste tendenser på markedet for cybersikkerhed, både på efterspørgsels- og udbudssiden, med henblik på at fremme cybersikkerhedsmarkedet i Unionen.
Artikel 9
Viden og information
ENISA skal:
a)
udføre analyser af nye teknologier og tilvejebringe emnespecifikke vurderinger af de forventede sociale, retlige, økonomiske og reguleringsmæssige konsekvenser af teknologiske innovationer inden for cybersikkerhed
b)
udføre langsigtede strategiske analyser af cybertrusler og -hændelser for at identificere nye tendenser og bidrage til at forebygge hændelser
c)
i samarbejde med eksperter fra medlemsstaternes myndigheder og relevante interessenter levere rådgivning, vejledning og bedste praksis for sikkerheden af net- og informationssystemer, navnlig for sikkerheden af de infrastrukturer, der understøtter sektorerne opført i bilag II til direktiv (EU) 2016/1148, og dem, der anvendes af udbyderne af de digitale tjenester, der er opført i bilag III til nævnte direktiv
d)
via en særlig webportal samle, organisere og offentliggøre oplysninger om cybersikkerhed, der leveres af Unionens institutioner, organer, kontorer og agenturer, og oplysninger om cybersikkerhed, der leveres på frivillig basis af medlemsstaterne og private og offentlige interessenter
e)
indsamle og analysere offentligt tilgængelige oplysninger om væsentlige hændelser og sammenstille rapporter med henblik på at yde vejledning til borgere, organisationer og virksomheder i hele Unionen.
Artikel 10
Bevidstgørelse og uddannelse
ENISA skal:
a)
øge offentlighedens bevidsthed om risiciene i forbindelse med cybersikkerhed og yde vejledning om god praksis for individuelle brugere, der er målrettet mod borgere, organisationer og virksomheder, herunder cyberhygiejne og cyberfærdigheder
b)
i samarbejde med medlemsstaterne, Unionens institutioner, organer, kontorer og agenturer og branchen tilrettelægge jævnlige informations- og oplysningskampagner for at øge cybersikkerheden og dens synlighed i Unionen og tilskynde til en bred offentlig debat
c)
bistå medlemsstaterne i deres bestræbelser på at øge bevidstheden om cybersikkerhed og fremme uddannelse i cybersikkerhed
d)
støtte tættere koordinering og udveksling af bedste praksis mellem medlemsstaterne om bevidstgørelse om og uddannelse i cybersikkerhed.
Artikel 11
Forskning og innovation
I forbindelse med forskning og innovation skal ENISA:
a)
rådgive Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne om forskningsbehov og -prioriteter inden for cybersikkerhed med henblik på at gøre det muligt effektivt at imødegå nuværende og kommende risici og cybertrusler, herunder hvad angår nye og kommende informations- og kommunikationsteknologier, og med henblik på effektivt at bruge risikoforebyggende teknologier
b)
i tilfælde, hvor Kommissionen har tillagt det de relevante beføjelser, deltage i gennemførelsesfasen af programmer til finansiering af forskning og innovation eller som støttemodtager
c)
bidrage til den strategiske forsknings- og innovationsdagsorden på EU-plan inden for cybersikkerhed.
Artikel 12
Internationalt samarbejde
ENISA skal bidrage til Unionens indsats for at samarbejde med tredjelande og internationale organisationer samt inden for relevante internationale samarbejdsrammer med henblik på at fremme internationalt samarbejde om cybersikkerhed ved:
a)
hvor det er relevant, at deltage som observatør i tilrettelæggelsen af internationale øvelser og analysere og rapportere om resultatet af sådanne øvelser til bestyrelsen
b)
på Kommissionens anmodning at fremme udveksling af bedste praksis
c)
på Kommissionens anmodning at stille ekspertise til rådighed for Kommissionen
d)
at rådgive og støtte Kommissionen i spørgsmål vedrørende aftaler om gensidig anerkendelse af cybersikkerhedsattester med tredjelande i samarbejde med ECCG, der er nedsat i henhold til artikel 62.
KAPITEL III
ENISA's organisation
Artikel 13
ENISA's struktur
ENISA's administrative og ledelsesmæssige struktur består af:
a)
en bestyrelse
b)
et forretningsudvalg
c)
en administrerende direktør
d)
en ENISA-rådgivningsgruppe
e)
et netværk af nationale forbindelsesofficerer.
Afdeling 1
Bestyrelsen
Artikel 14
Bestyrelsens sammensætning
1.   Bestyrelsen består af et medlem, der udnævnes af hver medlemsstat, og to medlemmer, der udnævnes af Kommissionen. Alle medlemmer har stemmeret.
2.   Hvert medlem af bestyrelsen skal have en suppleant. Denne suppleant repræsenterer medlemmet, når medlemmet ikke er til stede.
3.   Bestyrelsesmedlemmerne og deres suppleanter udpeges på grundlag af deres viden inden for cybersikkerhed og under hensyntagen til deres relevante ledelsesmæssige, administrative og budgetmæssige kompetencer. Kommissionen og medlemsstaterne bestræber sig på at begrænse udskiftningen af deres repræsentanter i bestyrelsen med henblik på at sikre kontinuiteten i bestyrelsens arbejde. Kommissionen og medlemsstaterne tilstræber at opnå ligevægt mellem kønnene i bestyrelsen.
4.   Mandatperioden for bestyrelsesmedlemmerne og deres suppleanter er fire år. Perioden kan fornys.
Artikel 15
Bestyrelsens opgaver
1.   Bestyrelsen skal:
a)
fastlægge de overordnede retningslinjer for ENISA's drift og sikre, at ENISA udfører sine opgaver i overensstemmelse med de regler og principper, der er fastsat i denne forordning. Den sikrer endvidere, at der er sammenhæng mellem ENISA's arbejde og aktiviteter, der udføres af medlemsstaterne og på EU-plan
b)
vedtage ENISA's udkast til det samlede programmeringsdokument, der er omhandlet i artikel 24, før det forelægges for Kommissionen med henblik på en udtalelse
c)
vedtage ENISA's samlede programmeringsdokument under hensyntagen til Kommissionens udtalelse
d)
føre tilsyn med gennemførelsen af det flerårige og det årlige arbejdsprogram, der er omfattet af det samlede programmeringsdokument
e)
vedtage ENISA's årsbudget og varetage andre funktioner i relation til ENISA's budget i overensstemmelse med kapitel IV
f)
evaluere og vedtage den konsoliderede årsberetning om ENISA's virksomhed, herunder regnskaberne og en beskrivelse af, hvorledes ENISA har opfyldt sine resultatindikatorer, sende både årsberetningen og evalueringen heraf til Europa-Parlamentet, Rådet, Kommissionen og Revisionsretten senest den 1. juli i det følgende år og offentliggøre årsberetningen
g)
vedtage de finansielle bestemmelser for ENISA, jf. artikel 32
h)
vedtage en strategi for bekæmpelse af svig, som står i forhold til risikoen for svig, under hensyn til en cost-benefit-analyse af de foranstaltninger, der skal gennemføres
i)
vedtage regler for forebyggelse og håndtering af interessekonflikter i forhold til medlemmerne
j)
sikre passende opfølgning på resultater og henstillinger som følge af undersøgelser foretaget af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og forskellige interne eller eksterne auditrapporter og evalueringer
k)
vedtage sin forretningsorden, herunder regler for foreløbige afgørelser om delegation af specifikke opgaver, i henhold til artikel 19, stk. 7
l)
over for ENISA's personale udøve de beføjelser, som ved vedtægten for tjenestemænd og ansættelsesvilkårene for Unionens øvrige ansatte (»tjenestemandsvedtægten« og »ansættelsesvilkårene for øvrige ansatte«) som fastlagt i Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
24
)
 er tillagt ansættelsesmyndigheden og den myndighed, der har beføjelse til at indgå ansættelseskontrakter (»ansættelsesmyndighederne«), i overensstemmelse med denne artikels stk. 2
m)
vedtage gennemførelsesbestemmelser til tjenestemandsvedtægten og ansættelsesvilkårene for øvrige ansatte i overensstemmelse med proceduren i tjenestemandsvedtægtens artikel 110
n)
udnævne den administrerende direktør og, hvis det er relevant, forlænge den administrerende direktørs mandatperiode eller afskedige vedkommende i overensstemmelse med artikel 36
o)
udnævne en regnskabsfører, som kan være Kommissionens regnskabsfører, som er fuldstændig uafhængig i udøvelsen af sit hverv
p)
træffe alle afgørelser vedrørende etablering af ENISA's interne strukturer og om nødvendigt ændring heraf under hensyntagen til ENISA's aktivitetsbehov og til forsvarlig budgetforvaltning
q)
bemyndige etablering af samarbejdsordninger med henblik på artikel 7
r)
bemyndige etablering eller indgåelse af samarbejdsordninger i overensstemmelse med artikel 42.
2.   Bestyrelsen vedtager i overensstemmelse med tjenestemandsvedtægtens artikel 110 en afgørelse baseret på tjenestemandsvedtægtens artikel 2, stk. 1, og artikel 6 i ansættelsesvilkårene for øvrige ansatte om delegation af de relevante beføjelser som ansættelsesmyndighed til den administrerende direktør og fastlæggelse af betingelserne for at suspendere denne delegation af beføjelser. Den administrerende direktør kan videredelegere disse beføjelser.
3.   Under helt særlige omstændigheder kan bestyrelsen vedtage en afgørelse om midlertidigt at suspendere de beføjelser som ansættelsesmyndighed, der er delegeret til den administrerende direktør, og eventuelle beføjelser som ansættelsesmyndighed, som den administrerende direktør måtte have videredelegeret, og i stedet selv udøve dem eller delegere dem til et af sine medlemmer eller til en anden ansat end den administrerende direktør.
Artikel 16
Bestyrelsens formand
Bestyrelsen vælger med to tredjedeles flertal en formand og en næstformand blandt sine medlemmer. Deres mandatperiode er fire år, der kan fornys én gang. Hvis en formand eller næstformand ophører med at være medlem af bestyrelsen under sin mandatperiode, ophører mandatperioden dog automatisk samtidig. Næstformanden træder uden videre i stedet for formanden, hvis formanden er forhindret i at udøve sit hverv.
Artikel 17
Bestyrelsens møder
1.   Det påhviler bestyrelsens formand at indkalde til dens møder.
2.   Bestyrelsen afholder mindst to ordinære møder om året. Den afholder endvidere ekstraordinære møder efter anmodning fra formanden, på Kommissionens anmodning eller på anmodning af mindst en tredjedel af dens medlemmer.
3.   Den administrerende direktør deltager i bestyrelsens møder, men har ikke stemmeret.
4.   Medlemmerne af ENISA-Rådgivningsgruppen kan deltage i bestyrelsens møder efter invitation fra formanden, men har ikke stemmeret.
5.   Bestyrelsesmedlemmerne og deres stedfortrædere kan under bestyrelsesmøderne bistås af rådgivere eller eksperter, såfremt forretningsordenen tillader det.
6.   ENISA varetager bestyrelsens sekretariatsfunktion.
Artikel 18
Bestyrelsens afstemningsregler
1.   Bestyrelsen træffer sine afgørelser med flertal blandt medlemmerne.
2.   Der kræves et flertal på to tredjedele af bestyrelsens medlemmer for at vedtage det samlede programmeringsdokument og årsbudgettet og for at udnævne eller afskedige den administrerende direktør eller forlænge dennes mandatperiode.
3.   Hvert medlem har én stemme. Hvis et medlem ikke er til stede, har medlemmets suppleant medlemmets stemmeret.
4.   Bestyrelsens formand deltager i afstemningen.
5.   Den administrerende direktør deltager ikke i afstemningen.
6.   I bestyrelsens forretningsorden fastsættes mere detaljerede afstemningsregler, navnlig regler om, hvornår et medlem kan handle på et andet medlems vegne.
Afdeling 2
Forretningsudvalget
Artikel 19
Forretningsudvalget
1.   Bestyrelsen bistås af et forretningsudvalg.
2.   Forretningsudvalget skal:
a)
forberede de afgørelser, der skal vedtages af bestyrelsen
b)
i samarbejde med bestyrelsen sikre passende opfølgning på de resultater og henstillinger, der hidrører fra undersøgelser foretaget af OLAF og fra forskellige interne eller eksterne auditrapporter og evalueringer
c)
uden at det berører den administrerende direktørs ansvarsområder, jf. artikel 20, bistå og rådgive den administrerende direktør i gennemførelsen af bestyrelsens afgørelser vedrørende administrative og budgetmæssige spørgsmål i henhold til artikel 20.
3.   Forretningsudvalget består af fem medlemmer. Medlemmerne af forretningsudvalget udpeges blandt bestyrelsesmedlemmerne. Et af medlemmerne er formanden for bestyrelsen, der også kan være formand for forretningsudvalget, og et andet medlem er en af repræsentanterne for Kommissionen. Ved udpegelserne af medlemmerne af forretningsudvalget tilstræbes det at sikre en ligevægt mellem kønnene i forretningsudvalget. Den administrerende direktør deltager i bestyrelsens møder, men har ikke stemmeret.
4.   Forretningsudvalgsmedlemmerne har en mandatperiode på fire år. Perioden kan fornys.
5.   Forretningsudvalget mødes mindst én gang hver tredje måned. Formanden for forretningsudvalget indkalder til yderligere møder på anmodning af forretningsudvalgets medlemmer.
6.   Bestyrelsen vedtager forretningsudvalgets forretningsorden.
7.   Hvis det er nødvendigt i hastende tilfælde, kan forretningsudvalget træffe visse foreløbige afgørelser på bestyrelsens vegne, navnlig vedrørende den administrative forvaltning, herunder suspendering af delegationen af beføjelser som ansættelsesmyndighed, og budgetanliggender. En sådan foreløbig afgørelse meddeles bestyrelsen hurtigst muligt. Bestyrelsen afgør derefter, om den foreløbige afgørelse skal godkendes eller afvises, senest tre måneder efter, at afgørelsen blev truffet. Forretningsudvalget træffer ikke afgørelser på bestyrelsens vegne, som kræver godkendelse af et flertal på to tredjedele af bestyrelsens medlemmer.
Afdeling 3
Den administrerende direktør
Artikel 20
Den administrerende direktørs opgaver
1.   ENISA ledes af den administrerende direktør, som udfører sit hverv i uafhængighed. Den administrerende direktør står til ansvar over for bestyrelsen.
2.   Den administrerende direktør aflægger rapport til Europa-Parlamentet om udførelsen af sit hverv, når denne anmodes herom. Rådet kan anmode den administrerende direktør om at aflægge rapport om udførelsen af dennes hverv.
3.   Den administrerende direktør er ansvarlig for:
a)
den daglige administration af ENISA
b)
at gennemføre de afgørelser, der træffes af bestyrelsen
c)
at udarbejde det samlede programmeringsdokument og forelægge det for bestyrelsen til godkendelse før dets fremsendelse til Kommissionen
d)
at gennemføre det samlede programmeringsdokument og aflægge rapport til bestyrelsen herom
e)
at udarbejde den konsoliderede årsberetning om ENISA's aktiviteter, bl.a. om gennemførelsen af ENISA's årlige arbejdsprogram, og forelægge denne for bestyrelsen til vurdering og godkendelse
f)
at udarbejde en handlingsplan til opfølgning på konklusionerne fra retrospektive evalueringer og aflægge en statusrapport til Kommissionen hvert andet år
g)
at udarbejde en handlingsplan til opfølgning på konklusionerne fra interne eller eksterne auditrapporter samt undersøgelser fra OLAF og aflægge en statusrapport hvert andet år til Kommissionen og regelmæssigt til bestyrelsen
h)
at udarbejde udkast til de i artikel 32 omhandlede finansielle bestemmelser for ENISA
i)
at udarbejde ENISA's udkast til overslag over indtægter og udgifter og gennemføre dets budget
j)
at beskytte Unionens finansielle interesser gennem forholdsregler til forebyggelse af svig, korruption og enhver anden ulovlig aktivitet, gennem effektiv kontrol og, hvis der konstateres uregelmæssigheder, gennem inddrivelse af uretmæssigt udbetalte beløb og om nødvendigt gennem administrative og finansielle sanktioner, der er effektive og forholdsmæssige og har en afskrækkende virkning
k)
at udarbejde ENISA's strategi for bekæmpelse af svig og forelægge denne for bestyrelsen til godkendelse
l)
at etablere og opretholde kontakt med erhvervslivet og forbrugerorganisationer med henblik på at sikre en løbende dialog med relevante interessenter
m)
regelmæssig udveksling af synspunkter og oplysninger med Unionens institutioner, organer, kontorer og agenturer om deres cybersikkerhedsrelaterede aktiviteter for at sikre sammenhæng i udviklingen og gennemførelsen af Unionens politik
n)
at udføre andre opgaver, som den administrerende direktør pålægges ved denne forordning.
4.   Er det nødvendigt og inden for rammerne af ENISA's formål og opgaver, kan den administrerende direktør nedsætte ad hoc-arbejdsgrupper bestående af eksperter, herunder eksperter fra medlemsstaternes kompetente myndigheder. Den administrerende direktør underretter bestyrelsen herom på forhånd. Procedurerne vedrørende navnlig sammensætningen af arbejdsgrupperne, den administrerende direktørs udnævnelse af eksperterne til arbejdsgrupperne og arbejdsgruppernes virke fastsættes i ENISA's interne forretningsgange.
5.   Hvis det er nødvendigt med henblik på at udføre ENISA's opgaver på en effektiv og virkningsfuld måde og på grundlag af en hensigtsmæssig cost-benefit-analyse, kan den administrerende direktør beslutte at etablere et eller flere lokale kontorer i en eller flere medlemsstater. Inden det besluttes at oprette et lokalt kontor, anmoder den administrerende direktør om en udtalelse fra den eller de berørte medlemsstater, herunder den medlemsstat, hvor ENISA's hovedsæde er beliggende, og indhenter forudgående samtykke fra Kommissionen og bestyrelsen. I tilfælde af uenighed under høringsprocessen mellem den administrerende direktør og de berørte medlemsstater, forelægges spørgsmålet Rådet til drøftelse. Det samlede antal ansatte på alle lokale kontorer skal begrænses til et minimum og må ikke udgøre mere end 40 % af ENISA's antal ansatte i den medlemsstat, hvor ENISA's hovedsæde er beliggende. Antallet af ansatte på det enkelte lokale kontor må ikke udgøre mere end 10 % af ENISA's samlede antal ansatte i den medlemsstat, hvor ENISA's hovedsæde er beliggende.
I afgørelsen om oprettelse af et lokalt kontor fastsættes omfanget af de aktiviteter, der skal udføres af det lokale kontor, således at der undgås unødige omkostninger og overlap af ENISA's administrative funktioner.
Afdeling 4
ENISA-rådgivningsgruppen, cybersikkerhedscertificeringsgruppen for interessenter og netværket af nationale forbindelsesofficerer
Artikel 21
ENISA-Rådgivningsgruppen
1.   På forslag af den administrerende direktør nedsætter bestyrelsen på gennemsigtig vis en ENISA-rådgivningsgruppe bestående af anerkendte eksperter, der repræsenterer de relevante interessenter såsom IKT-industrien, udbydere af elektroniske kommunikationsnet eller -tjenester til offentligheden, SMV'er, operatører af væsentlige tjenester, forbrugergrupper, akademiske eksperter inden for cybersikkerhed og repræsentanter for de kompetente myndigheder, der er givet meddelelse om i overensstemmelse med direktiv (EU) 2018/1972, europæiske standardiseringsorganisationer, samt af retshåndhævende myndigheder og databeskyttelsestilsynsmyndigheder. Bestyrelsen bestræber sig på at sikre en passende kønsmæssig og geografisk balance samt balance mellem de forskellige interessentgrupper.
2.   Procedurerne for ENISA-Rådgivningsgruppen, vedrørende navnlig gruppens sammensætning, den administrerende direktørs forslag som omhandlet i stk. 1, antal og udpegelse af dens medlemmer og ENISA-Rådgivningsgruppens virke, fastlægges i ENISA's interne forretningsgange og offentliggøres.
3.   ENISA-Rådgivningsgruppen ledes af den administrerende direktør eller af en person udpeget af den administrerende direktør fra sag til sag.
4.   Mandatperioden for medlemmerne af ENISA-Rådgivningsgruppen er to et halvt år. Medlemmer af bestyrelsen kan ikke være medlemmer af ENISA-Rådgivningsgruppen. Eksperter fra Kommissionen og medlemsstaterne har ret til at være til stede på møderne og deltage i arbejdet i ENISA-Rådgivningsgruppen. Repræsentanter for andre organer, som den administrerende direktør skønner er relevante, og som ikke er medlemmer af ENISA-Rådgivningsgruppen, kan indbydes til at være til stede på ENISA-Rådgivningsgruppens møder og deltage i dens arbejde.
5.   ENISA-Rådgivningsgruppen rådgiver ENISA med hensyn til udførelsen af dets opgaver, bortset fra anvendelsen af bestemmelserne i denne forordnings afsnit III. Den rådgiver navnlig den administrerende direktør om udarbejdelsen af forslag til ENISA's årlige arbejdsprogram samt om varetagelse af kommunikation med de relevante interessenter om spørgsmål, der vedrører det årlige arbejdsprogram.
6.   ENISA-Rådgivningsgruppen underretter regelmæssigt bestyrelsen om sine aktiviteter.
Artikel 22
Cybersikkerhedscertificeringsgruppen for Interessenter
1.   Der nedsættes en cybersikkerhedscertificeringsgruppe for interessenter.
2.   Cybersikkerhedscertificeringsgruppen for Interessenter sammensættes af medlemmer, der udvælges blandt anerkendte eksperter, som repræsenterer de relevante interessenter. Kommissionen udvælger medlemmer af Cybersikkerhedscertificeringsgruppen for Interessenter efter en gennemsigtig og åben indkaldelse på forslag af ENISA, idet der sikres balance mellem de forskellige interessentgrupper samt en passende kønsmæssig og geografisk balance.
3.   Cybersikkerhedscertificeringsgruppen for Interessenter:
a)
rådgiver Kommissionen om strategiske spørgsmål vedrørende den europæiske ramme for cybersikkerhedscertificering
b)
rådgiver på anmodning ENISA om generelle og strategiske spørgsmål vedrørende ENISA's opgaver i relation til markedet, cybersikkerhedscertificering og standardisering
c)
bistår Kommissionen med udarbejdelsen af EU's rullende arbejdsprogram som omhandlet i artikel 47
d)
afgiver udtalelse om Unionens rullende arbejdsprogram i henhold til artikel 47, stk. 4, og
e)
rådgiver i hastende tilfælde Kommissionen og ECCG om behovet for yderligere certificeringsordninger, der ikke er omfattet af Unionens rullende arbejdsprogram, jf. artikel 47 og 48.
4.   Cybersikkerhedscertificeringsgruppen for Interessenter ledes i fællesskab af repræsentanter for Kommissionen og ENISA, og dens sekretariatsfunktion varetages af ENISA.
Artikel 23
Netværk af nationale forbindelsesofficerer
1.   På forslag fra den administrerende direktør opretter bestyrelsen et netværk af nationale forbindelsesofficerer bestående af repræsentanter fra alle medlemsstaterne (»nationale forbindelsesofficerer«). Hver medlemsstat udpeger én repræsentant til netværket af nationale forbindelsesofficerer. Møderne i netværket af nationale forbindelsesofficerer kan afholdes i forskellige ekspertsammensætninger.
2.   Netværket af nationale forbindelsesofficerer skal navnlig fremme udvekslingen af oplysninger mellem ENISA og medlemsstaterne og støtte ENISA i formidlingen af dets aktiviteter, resultater og henstillinger til de relevante interessenter i hele Unionen.
3.   Nationale forbindelsesofficerer fungerer som et kontaktpunkt på nationalt plan for at lette samarbejdet mellem ENISA og nationale eksperter som led i gennemførelsen af ENISA's årlige arbejdsprogram.
4.   Mens nationale forbindelsesofficerer skal arbejde tæt sammen med deres respektive medlemsstaters repræsentanter i bestyrelsen, må det arbejde, som netværket af nationale forbindelsesofficerer selv udfører, ikke overlappe hverken bestyrelsens eller andre EU-foras arbejde.
5.   Funktionerne og procedurerne for netværket af nationale forbindelsesofficerer fastlægges i ENISA's interne forretningsgange og offentliggøres.
Afdeling 5
Drift
Artikel 24
Samlet programmeringsdokument
1.   ENISA skal virke i overensstemmelse med det samlede programmeringsdokument, som omfatter dets årlige og flerårige arbejdsprogram, og som skal indeholde alle planlagte aktiviteter.
2.   Hvert år udarbejder den administrerende direktør under hensyntagen til Kommissionens retningslinjer det samlede programmeringsdokument, som omfatter det årlige og flerårige arbejdsprogram med de modsvarende planer for økonomiske og menneskelige ressourcer, jf. artikel 32 i Kommissionens delegerede forordning (EU) nr. 1271/2013 
(
25
)
.
3.   Senest den 30. november hvert år vedtager bestyrelsen det samlede programmeringsdokument omhandlet i stk. 1 og sender det til Europa-Parlamentet, Rådet og Kommissionen senest den 31. januar det følgende år sammen med eventuelle efterfølgende ajourførte udgaver af dokumentet.
4.   Det samlede programmeringsdokument bliver endeligt efter den endelige vedtagelse af Unionens almindelige budget og justeres om nødvendigt.
5.   Det årlige arbejdsprogram skal indeholde detaljerede mål og forventede resultater, herunder resultatindikatorer. Det skal også indeholde en beskrivelse af de foranstaltninger, der skal finansieres, og oplysninger om de økonomiske og menneskelige ressourcer, der afsættes til hver foranstaltning, i overensstemmelse med principperne om aktivitetsbaseret budgetlægning og -forvaltning. Det årlige arbejdsprogram skal være i overensstemmelse med det i stk. 7 omhandlede flerårige arbejdsprogram. Det skal klart anføres i programmet, hvilke opgaver der er blevet tilføjet, ændret eller slettet i forhold til det foregående regnskabsår.
6.   Bestyrelsen ændrer det vedtagne årlige arbejdsprogram, hvis ENISA tillægges nye opgaver. Væsentlige ændringer af det årlige arbejdsprogram vedtages efter samme procedure som det oprindelige årlige arbejdsprogram. Bestyrelsen kan delegere beføjelsen til at foretage ikkevæsentlige ændringer i det årlige arbejdsprogram til den administrerende direktør.
7.   Det flerårige arbejdsprogram skal angive den overordnede strategiske programmering, herunder mål, forventede resultater og resultatindikatorer. Det skal også indeholde ressourceplanen, herunder det flerårige budget og personale.
8.   Ressourceplanen ajourføres hvert år. Den strategiske programmering ajourføres efter behov, navnlig med henblik på at tage højde for resultatet af den evaluering, der er omhandlet i artikel 67.
Artikel 25
Interesseerklæring
1.   Bestyrelsesmedlemmerne, den administrerende direktør samt embedsmænd, der midlertidigt er stillet til rådighed af medlemsstaterne, afgiver hver især en loyalitetserklæring og en erklæring, hvori de anfører, hvorvidt der foreligger direkte eller indirekte interesser, der kan anses for at berøre deres uafhængighed. Erklæringerne skal være præcise og fuldstændige og afgives skriftligt hvert år og ajourføres, når det er nødvendigt.
2.   Bestyrelsesmedlemmerne, den administrerende direktør og eksterne eksperter, der deltager i ad hoc-arbejdsgrupper, gør hver især på præcis og fyldestgørende vis senest ved hvert mødes start opmærksom på eventuelle interesser, som kan anses for at berøre deres uafhængighed med hensyn til de punkter, der er på dagsordenen, og afholder sig fra at deltage i drøftelserne af og afstemningen om sådanne punkter.
3.   ENISA fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om interesseerklæringer gennemføres i praksis.
Artikel 26
Gennemsigtighed
1.   ENISA sikrer, at der er en høj grad af gennemsigtighed i dets aktiviteter i overensstemmelse med artikel 28.
2.   ENISA sikrer, at offentligheden og eventuelle interesserede parter får passende, objektive, pålidelige og let tilgængelige oplysninger, især vedrørende resultaterne af dets arbejde. Det offentliggør også interesseerklæringer afgivet i overensstemmelse med artikel 25.
3.   Bestyrelsen kan på forslag af den administrerende direktør give interesserede parter tilladelse til at følge procedurerne i forbindelse med nogle af ENISA's aktiviteter.
4.   ENISA fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om gennemsigtighed gennemføres i praksis.
Artikel 27
Fortrolighed
1.   Uden at det berører artikel 28, må ENISA ikke videregive oplysninger, som det behandler eller modtager, og for hvilke der foreligger en begrundet begæring om, at de holdes fortrolige, til tredjemand.
2.   Bestyrelsesmedlemmerne, den administrerende direktør, medlemmerne af ENISA-Rådgivningsgruppen, eksterne eksperter, der deltager i ad hoc-arbejdsgrupperne, samt ENISA's personale, herunder embedsmænd, der midlertidigt er udstationeret fra medlemsstaterne, skal, selv efter at deres hverv er ophørt, overholde forpligtelsen til fortrolighed som fastsat i artikel 339 i TEUF.
3.   ENISA fastsætter i sine interne forretningsgange bestemmelser om, hvordan de i stk. 1 og 2 omhandlede regler om fortrolighed gennemføres i praksis.
4.   Bestyrelsen beslutter, såfremt det er nødvendigt for udførelsen af ENISA's opgaver, at tillade ENISA at behandle klassificerede oplysninger. I så fald vedtager ENISA efter aftale med Kommissionens tjenestegrene sikkerhedsregler, der bygger på sikkerhedsprincipperne i Kommissionens afgørelse (EU, Euratom) 2015/443 
(
26
)
 og 2015/444 
(
27
)
. Disse sikkerhedsregler skal omfatte bestemmelser om udveksling, behandling og lagring af klassificerede oplysninger.
Artikel 28
Aktindsigt
1.   Forordning (EF) nr. 1049/2001 finder anvendelse på ENISA's dokumenter.
2.   Bestyrelsen vedtager de praktiske bestemmelser til gennemførelse af forordning (EF) nr. 1049/2001 senest den 28. december 2019.
3.   De beslutninger, som ENISA træffer efter artikel 8 i forordning (EF) nr. 1049/2001, kan gøres til genstand for en klage til Den Europæiske Ombudsmand i henhold til artikel 228 i TEUF eller en klage indbragt for Den Europæiske Unions Domstol i henhold til artikel 263 i TEUF.
KAPITEL IV
Opstilling og struktur for ENISA's budget
Artikel 29
Opstilling af ENISA's budget
1.   Hvert år udarbejder den administrerende direktør et udkast til overslag over ENISA's indtægter og udgifter for det følgende regnskabsår og forelægger det for bestyrelsen ledsaget af et udkast til stillingsfortegnelse. Der skal være balance mellem indtægter og udgifter.
2.   Hvert år vedtager bestyrelsen på grundlag af udkastet til overslag et overslag over ENISA's indtægter og udgifter for det følgende regnskabsår.
3.   Bestyrelsen fremsender senest den 31. januar hvert år overslaget, der skal være en del af udkastet til det samlede programmeringsdokument, til Kommissionen og de tredjelande, som Unionen har indgået aftaler med som omhandlet i artikel 42, stk. 2.
4.   På grundlag af dette overslag opfører Kommissionen i forslaget til Unionens almindelige budget de overslag, den skønner nødvendige for stillingsfortegnelsen, og de bidrag, der skal ydes over Unionens almindelige budget, og fremsender overslaget til Europa-Parlamentet og Rådet i overensstemmelse med artikel 314 i TEUF.
5.   Europa-Parlamentet og Rådet godkender bevillingen af bidraget fra Unionen til ENISA.
6.   Europa-Parlamentet og Rådet vedtager ENISA's stillingsfortegnelse.
7.   Bestyrelsen vedtager ENISA's budget sammen med det samlede programmeringsdokument. ENISA's budget bliver endeligt efter den endelige vedtagelse af Unionens almindelige budget. Om nødvendigt tilpasser bestyrelsen ENISA's budget og dets samlede programmeringsdokument i overensstemmelse med Unionens almindelige budget.
Artikel 30
Struktur for ENISA's budget
1.   Uden at det berører andre ressourcer, udgøres ENISA's indtægter af:
a)
et bidrag fra Unionens almindelige budget
b)
formålsbestemte indtægter med henblik på specifikke udgiftsposter i overensstemmelse med de finansielle bestemmelser omhandlet i artikel 32
c)
EU-finansiering i form af delegationsaftaler eller ad hoc-tilskud i overensstemmelse med de finansielle bestemmelser omhandlet i artikel 32 og med bestemmelserne i de relevante instrumenter til gennemførelse af Unionens politikker
d)
bidrag fra tredjelande, der deltager i ENISA's arbejde, som omhandlet i artikel 42
e)
eventuelle frivillige bidrag fra medlemsstaterne i form af pengebeløb eller naturalier.
Medlemsstater, der yder frivillige bidrag i henhold til første afsnit litra e), kan ikke påberåbe sig nogen specifikke rettigheder eller tjenester som følge heraf.
2.   ENISA's udgifter omfatter udgifter til personale, administrativ og teknisk bistand, infrastruktur og driftsudgifter samt udgifter som følge af kontrakter med tredjemand.
Artikel 31
Gennemførelse af ENISA's budget
1.   Den administrerende direktør er ansvarlig for gennemførelsen af ENISA's budget.
2.   Kommissionens interne revisor varetager i forhold til ENISA de samme funktioner, som er tildelt denne i forhold til Kommissionens tjenestegrene.
3.   ENISA's regnskabsfører sender det foreløbige årsregnskab (år N) til Kommissionens regnskabsfører og Revisionsretten senest den 1. marts i det følgende regnskabsår (år N+1).
4.   Ved modtagelsen af Revisionsrettens bemærkninger om ENISA's foreløbige årsregnskab i henhold til artikel 246 i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 
(
28
)
 opstiller ENISA's regnskabsfører på eget ansvar ENISA's endelige årsregnskab og forelægger det for bestyrelsen til udtalelse.
5.   Bestyrelsen afgiver en udtalelse om ENISA's endelige årsregnskab.
6.   Den administrerende direktør sender senest den 31. marts i år N + 1 beretningen om budgetforvaltningen og den økonomiske forvaltning til Europa-Parlamentet, Rådet, Kommissionen og Revisionsretten.
7.   ENISA's regnskabsfører sender senest den 1. juli i år N+1 ENISA's endelige årsregnskab ledsaget af bestyrelsens udtalelse til Europa-Parlamentet, Rådet, Kommissionens regnskabsfører og Revisionsretten.
8.   ENISA's regnskabsfører sender på samme dato som fremsendelsen af ENISA's endelige årsregnskaber ligeledes en forvaltningserklæring, der dækker disse endelige årsregnskaber, til Revisionsretten, med kopi til Kommissionens regnskabsfører.
9.   Den administrerende direktør offentliggør ENISA's endelige regnskab i 
Den Europæiske Unions Tidende
 senest den 15. november i år N+1.
10.   Den administrerende direktør sender senest den 30. september i år N + 1 Revisionsretten et svar på dens bemærkninger og sender ligeledes en kopi af svaret til bestyrelsen og Kommissionen.
11.   Hvis Europa-Parlamentet anmoder derom, forelægger den administrerende direktør alle de oplysninger, der er nødvendige for, at dechargeproceduren for det pågældende regnskabsår kan forløbe tilfredsstillende, for Europa-Parlamentet, jf. artikel 261, stk. 3, i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046.
12.   Efter henstilling fra Rådet meddeler Europa-Parlamentet inden den 15. maj i år N + 2 den administrerende direktør decharge for gennemførelsen af budgettet for år N.
Artikel 32
Finansielle bestemmelser
De finansielle bestemmelser for ENISA vedtages af bestyrelsen efter høring af Kommissionen. Disse finansielle bestemmelser må kun afvige fra delegeret forordning (EU) nr. 1271/2013, hvis dette er særligt nødvendigt for ENISA's drift, og Kommissionen på forhånd har givet sit samtykke.
Artikel 33
Bekæmpelse af svig
1.   For at lette bekæmpelsen af svig, korruption og andre retsstridige handlinger i henhold til Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 
(
29
)
 tiltræder ENISA senest den 28. december 2019 den interinstitutionelle aftale af 25. maj 1999 mellem Europa-Parlamentet, Rådet for Den Europæiske Union og Kommissionen for De Europæiske Fællesskaber om de interne undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) 
(
30
)
. ENISA vedtager passende bestemmelser, som skal finde anvendelse på ENISA's medarbejdere, under anvendelse af den model, der findes i bilaget til nævnte aftale.
2.   Revisionsretten har beføjelse til gennem bilagskontrol og kontrol på stedet at kontrollere alle tilskudsmodtagere, kontrahenter og underkontrahenter, som har modtaget EU-midler gennem ENISA.
3.   OLAF kan foretage undersøgelser, herunder kontrol og inspektion på stedet, i overensstemmelse med de bestemmelser og procedurer, der er fastsat i forordning (EU, Euratom) nr. 883/2013 og Rådets forordning (Euratom, EF) nr. 2185/96 
(
31
)
 for at fastslå, om der har været svig, korruption eller andre ulovlige aktiviteter til skade for Unionens finansielle interesser i forbindelse med tilskud eller en kontrakt, der finansieres af ENISA.
4.   Uden at det berører stk. 1, 2 og 3, skal ENISA's samarbejdsaftaler med tredjelande eller internationale organisationer, kontrakter, tilskudsaftaler og afgørelser om ydelse af tilskud indeholde bestemmelser, der udtrykkeligt giver Revisionsretten og OLAF beføjelse til at foretage denne kontrol og disse undersøgelser i overensstemmelse med deres respektive beføjelser.
KAPITEL V
Personale
Artikel 34
Generelle bestemmelser
Tjenestemandsvedtægten og ansættelsesvilkårene for øvrige ansatte samt de regler, som EU-institutionerne i fællesskab har vedtaget for anvendelsen af tjenestemandsvedtægten og ansættelsesvilkårene for øvrige ansatte, gælder for ENISA's personale.
Artikel 35
Privilegier og immuniteter
Protokol nr. 7 vedrørende Den Europæiske Unions privilegier og immuniteter, der er knyttet som bilag til TEU og til TEUF, finder anvendelse på ENISA og dets personale.
Artikel 36
Den administrerende direktør
1.   Den administrerende direktør ansættes i en stilling som midlertidigt ansat ved ENISA i henhold til artikel 2, litra a), i ansættelsesvilkårene for øvrige ansatte.
2.   Den administrerende direktør udnævnes af bestyrelsen på grundlag af en liste over kandidater, som Kommissionen foreslår, efter en åben og gennemsigtig udvælgelsesprocedure.
3.   Med henblik på indgåelsen af ansættelseskontrakten med den administrerende direktør repræsenteres ENISA af formanden for bestyrelsen.
4.   Før udnævnelsen indbydes den ansøger, bestyrelsen har valgt, til at afgive en redegørelse for Europa-Parlamentets relevante udvalg og besvare spørgsmål fra medlemmerne.
5.   Den administrerende direktørs mandatperiode er fem år. Ved udløbet af denne periode foretager Kommissionen en vurdering af den administrerende direktørs resultater og ENISA's fremtidige opgaver og udfordringer i betragtning.
6.   Afgørelser om udnævnelse og afskedigelse af den administrerende direktør og om forlængelse af dennes mandatperiode træffes af bestyrelsen i overensstemmelse med artikel 18, stk. 2.
7.   Bestyrelsen kan på grundlag af et forslag fra Kommissionen, der tager hensyn til den i stk. 5 omhandlede vurdering, forlænge den administrerende direktørs mandatperiode én gang for en periode på fem år.
8.   Bestyrelsen underretter Europa-Parlamentet, hvis den har til hensigt at forlænge den administrerende direktørs mandatperiode Inden for tre måneder inden forlængelsen af mandatperioden afgiver den administrerende direktør, såfremt denne indbydes hertil, en redegørelse for Europa-Parlamentets relevante udvalg og besvarer medlemmernes spørgsmål.
9.   En administrerende direktør, hvis mandatperiode er blevet forlænget, kan ikke deltage i endnu en udvælgelsesprocedure til den samme stilling.
10.   Den administrerende direktør kan kun afskediges ved en afgørelse truffet af bestyrelsen efter forslag fra Kommissionen.
Artikel 37
Udstationerede nationale eksperter og andet personale
1.   ENISA kan gøre brug af udstationerede nationale eksperter og andet personale, der ikke er ansat af ENISA. Tjenestemandsvedtægten og ansættelsesvilkårene for øvrige ansatte gælder ikke for sådanne ansatte.
2.   Bestyrelsen vedtager en afgørelse, der fastlægger regler for udstationering af nationale eksperter til ENISA.
KAPITEL VI
Generelle bestemmelser vedrørende ENISA
Artikel 38
ENISA's retlige status
1.   ENISA er et EU-organ og har status som juridisk person.
2.   ENISA har i hver medlemsstat den videstgående rets- og handleevne, som vedkommende stats lovgivning tillægger juridiske personer. Det kan navnlig erhverve og afhænde fast ejendom og løsøre og optræde som part i retssager.
3.   ENISA repræsenteres af den administrerende direktør.
Artikel 39
ENISA's ansvar
1.   ENISA's ansvar i kontraktforhold reguleres af den lovgivning, der finder anvendelse på den pågældende kontrakt.
2.   Den Europæiske Unions Domstol har kompetence til at træffe afgørelse i henhold til en voldgiftsbestemmelse i en kontrakt, som ENISA har indgået.
3.   For så vidt angår ansvar uden for kontraktforhold skal ENISA erstatte skader, der er forvoldt af ENISA eller af dets ansatte under udøvelsen af deres hverv, i overensstemmelse med de almindelige retsgrundsætninger, der er fælles for medlemsstaternes retssystemer.
4.   Den Europæiske Unions Domstol har kompetence til at træffe afgørelse i tvister vedrørende skadeserstatninger som omhandlet i stk. 3.
5.   Det personlige ansvar for ENISA's ansatte over for ENISA reguleres i de ansættelsesvilkår, der gælder for ENISA's personale.
Artikel 40
Sprogordning
1.   Rådets forordning nr. 1 finder anvendelse på ENISA 
(
32
)
. Medlemsstaterne og andre organer, der er udpeget af medlemsstaterne, kan henvende sig til ENISA og modtage svar på det af EU-institutionernes officielle sprog, de ønsker.
2.   De oversættelsesopgaver, der er påkrævet i forbindelse med ENISA's virksomhed, udføres af Oversættelsescentret for Den Europæiske Unions Organer.
Artikel 41
Beskyttelse af personoplysninger
1.   ENISA's behandling af personoplysninger er omfattet af forordning (EU) 2018/1725.
2.   Bestyrelsen vedtager gennemførelsesbestemmelser som omhandlet i artikel 45, stk. 3, i forordning (EU) 2018/1725. Bestyrelsen kan vedtage yderligere foranstaltninger, der er nødvendige med henblik på ENISA's anvendelse af forordning (EU) 2018/1725.
Artikel 42
Samarbejde med tredjelande og internationale organisationer
1.   I det omfang det er nødvendigt for at nå de i denne forordning fastsatte mål, kan ENISA samarbejde med kompetente myndigheder i tredjelande og/eller med internationale organisationer. I det øjemed kan ENISA etablere samarbejdsordninger med myndigheder i tredjelande og internationale organisationer på betingelse af Kommissionens forudgående godkendelse. Disse samarbejdsordninger må ikke skabe retlige forpligtelser for Unionen og dens medlemsstater.
2.   Tredjelande, som har indgået aftaler med Unionen herom, kan deltage i ENISA's arbejde. Der fastlægges i henhold til de relevante bestemmelser i disse aftaler samarbejdsordninger, hvori navnlig arten og omfanget af disse landes deltagelse i ENISA's arbejde fastsættes, samt på hvilken måde deltagelsen i ENISA's arbejde skal ske, og der fastsættes bestemmelser om deltagelse i initiativer iværksat af ENISA, om økonomiske bidrag og om personale. Hvad angår personaleanliggender, skal disse samarbejdsordninger under alle omstændigheder overholde tjenestemandsvedtægten og ansættelsesvilkårene for øvrige ansatte.
3.   Bestyrelsen vedtager en strategi for forbindelser med tredjelande og internationale organisationer for så vidt angår spørgsmål, der hører under ENISA's kompetenceområde. Kommissionen sikrer, at ENISA arbejder inden for sit mandat og den eksisterende institutionelle ramme, ved at indgå en passende samarbejdsordninger med den administrerende direktør.
Artikel 43
Sikkerhedsregler for beskyttelse af følsomme ikkeklassificerede oplysninger og klassificerede oplysninger
Efter høring af Kommissionen vedtager ENISA sikkerhedsregler, der bygger på sikkerhedsprincipperne i Kommissionens sikkerhedsforskrifter til beskyttelse af følsomme ikkeklassificerede oplysninger og EUCI som fastsat i Kommissionens afgørelse (EU, Euratom) 2015/443 og (EU, Euratom) 2015/444. ENISA's sikkerhedsforskrifter skal omfatte bestemmelser om udveksling, behandling og lagring af sådanne oplysninger.
Artikel 44
Hjemstedsaftale og driftsvilkår
1.   De nødvendige bestemmelser vedrørende de lokaler, der skal stilles til rådighed for ENISA i værtsmedlemsstaten, og de faciliteter, der skal stilles til rådighed af værtsmedlemsstaten, samt de særlige regler i værtsmedlemsstaten, der finder anvendelse på ENISA's administrerende direktør, bestyrelsesmedlemmerne, ENISA's personale og deres familiemedlemmer, fastsættes i en hjemstedsaftale mellem ENISA og værtsmedlemsstaten, der indgås, efter at bestyrelsen har godkendt den.
2.   ENISA's værtsmedlemsstat sikrer de bedst mulige betingelser for, at ENISA kan fungere efter hensigten, idet der tages hensyn til stedets tilgængelighed, tilbud om tilstrækkelige uddannelsesfaciliteter for personalets børn, tilstrækkelig adgang til arbejdsmarkedet, social sikring og lægebehandling for personalets børn og ægtefæller.
Artikel 45
Administrativ kontrol
ENISA's virke er underlagt Den Europæiske Ombudsmands tilsyn i overensstemmelse med artikel 228 i TEUF.
AFSNIT III
RAMMEBESTEMMELSER FOR CYBERSIKKERHEDSCERTIFICERING
Artikel 46
Europæisk ramme for cybersikkerhedscertificering
1.   Den europæiske ramme for cybersikkerhedscertificering etableres for at forbedre betingelserne for det indre markeds funktion ved at øge cybersikkerhedsniveauet i Unionen og muliggøre en harmoniseret tilgang på EU-plan til europæiske cybersikkerhedscertificeringsordninger for at skabe et digitalt indre marked for IKT-produkter, -tjenester og -processer.
2.   Den europæiske ramme for cybersikkerhedscertificering definerer en mekanisme til fastlæggelse af europæiske cybersikkerhedscertificeringsordninger og til attestering af, at IKT-produkter, -tjenester og -processer, der er evalueret i overensstemmelse med sådanne ordninger, opfylder de fastlagte sikkerhedskrav med henblik på at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data, der lagres, overføres eller behandles, eller de dermed forbundne funktioner eller tjenester, der tilbydes i eller er tilgængelige via disse produkter, tjenester og processer, i hele deres livscyklus.
Artikel 47
Unionens rullende arbejdsprogram for europæisk cybersikkerhedscertificering
1.   Kommissionen offentliggør et rullende arbejdsprogram for europæisk cybersikkerhedscertificering (»Unionens rullende arbejdsprogram«), som opstiller strategiske prioriteter for fremtidige europæiske cybersikkerhedscertificeringsordninger.
2.   Unionens rullende arbejdsprogram skal navnlig omfatte en liste over IKT-produkter, -tjenester og -processer eller kategorier heraf, der vil kunne drage fordel af at være omfattet af en europæisk cybersikkerhedscertificeringsordning.
3.   Tilføjelse af bestemte IKT-produkter, -tjenester og -processer eller -kategorier heraf i Unionens rullende arbejdsprogram skal være begrundet på baggrund af et eller flere af følgende forhold:
a)
tilgængeligheden og udviklingen af nationale cybersikkerhedscertificeringsordninger, der omfatter en bestemt kategori af IKT-produkter, -tjenester eller -processer, og navnlig for så vidt angår risikoen for fragmentering
b)
relevant EU- eller national ret eller politik
c)
efterspørgslen på markedet
d)
udviklingen i cybertrusselsbilledet
e)
anmodning om udarbejdelse af et specifikt forslag til ordning fra ECCG.
4.   Kommissionen tager behørigt hensyn til udtalelserne om udkastet til Unionens rullende arbejdsprogram fra ECCG og Cybersikkerhedscertificeringsgruppen for Interessenter.
5.   Det første af Unionens rullende arbejdsprogrammer offentliggøres senest den 28. juni 2020. Unionens rullende arbejdsprogram ajourføres mindst en gang hvert tredje år eller oftere, om nødvendigt.
Artikel 48
Anmodning om en europæisk cybersikkerhedscertificeringsordning
1.   Kommissionen kan anmode ENISA om at udarbejde et forslag til ordning eller om revision af en eksisterende cybersikkerhedscertificeringsordning på grundlag af Unionens rullende arbejdsprogram.
2.   I behørigt begrundede tilfælde kan Kommissionen eller ECCG anmode ENISA om at udarbejde et forslag til ordning eller om revision af en eksisterende ordning, som ikke er omfattet af Unionens rullende arbejdsprogram. Unionens rullende arbejdsprogram ajourføres i overensstemmelse hermed.
Artikel 49
Udarbejdelse, vedtagelse og revision af en europæisk cybersikkerhedscertificeringsordning
1.   Efter anmodning fra Kommissionen i henhold til artikel 48 udarbejder ENISA et forslag til ordning, som opfylder kravene i artikel 51, 52 og 54.
2.   Efter anmodning fra ECCG i henhold til artikel 48, stk. 2, kan ENISA udarbejde et forslag til ordning, som opfylder kravene i artikel 51, 52 og 54. Afviser ENISA en sådan anmodning, begrunder det afvisningen. Enhver afgørelse om afvisning af en sådan anmodning træffes af bestyrelsen.
3.   Under udarbejdelsen af forslaget til ordning hører ENISA alle relevante interessenter ved hjælp af en formel, åben, gennemsigtig og inklusiv høringsproces.
4.   For hvert forslag til ordning nedsætter ENISA en ad hoc-arbejdsgruppe i overensstemmelse med artikel 20, stk. 4, med henblik på at stille specifik rådgivning og ekspertise til rådighed for ENISA.
5.   ENISA arbejder tæt sammen med ECCG. ECCG yder ENISA bistand og ekspertrådgivning i forbindelse med udarbejdelsen af forslaget til ordning og vedtager en udtalelse om forslaget til ordning.
6.   ENISA tager størst muligt hensyn til ECCG's udtalelse, før det fremsender forslaget til ordning udarbejdet i overensstemmelse med stk. 3, 4 og 5 til Kommissionen. ECCG's udtalelse er ikke bindende for ENISA, og en manglende udtalelse forhindrer heller ikke ENISA i at fremsende forslaget til ordning til Kommissionen.
7.   Kommissionen kan på grundlag af det af ENISA udarbejdede forslag til ordning vedtage gennemførelsesretsakter vedrørende europæiske cybersikkerhedscertificeringsordninger for IKT-produkter, -tjenester og -processer, der opfylder kravene i artikel 51, 52 og 54. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 66, stk. 2,
8.   ENISA evaluerer mindst hvert femte år hver vedtagen europæisk cybersikkerhedscertificeringsordning under hensyntagen til tilbagemeldinger fra interesserede parter. Om nødvendigt kan Kommissionen eller ECCG anmode ENISA om at påbegynde processen med at udvikle et revideret forslag til ordning i overensstemmelse med artikel 48 og nærværende artikel.
Artikel 50
Websted om europæiske cybersikkerhedscertificeringsordninger
1.   ENISA vedligeholder et dedikeret websted, der oplyser om og reklamerer for de europæiske cybersikkerhedscertificeringsordninger, europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, herunder oplysninger med hensyn til europæiske cybersikkerhedscertificeringsordninger, som ikke længere er gyldige, og med hensyn til europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer, der er trukket tilbage eller udløbet, og med hensyn til registeret over links til cybersikkerhedsoplysninger, der er stillet til rådighed i overensstemmelse med artikel 55.
2.   I givet fald skal webstedet omhandlet i stk. 1 også angive de nationale cybersikkerhedscertificeringsordninger, som er blevet erstattet af en europæisk cybersikkerhedscertificeringsordning.
Artikel 51
Sikkerhedsmål for europæiske cybersikkerhedscertificeringsordninger
En europæisk cybersikkerhedscertificeringsordning skal være udformet til, alt efter relevans, som minimum at opfylde følgende sikkerhedsmål:
a)
beskyttelse af data, som lagres, overføres eller på anden måde behandles, mod utilsigtet eller uautoriseret lagring, behandling, adgang eller offentliggørelse i hele IKT-produktets, -tjenestens eller -processens livscyklus
b)
beskyttelse af data, som lagres, overføres eller på anden måde behandles, mod utilsigtet eller uautoriseret ødelæggelse, tab eller ændring eller manglende tilgængelighed i hele IKT-produktets, -tjenestens eller -processens livscyklus
c)
autoriserede personer, programmer eller maskiner kan udelukkende tilgå de data, tjenester eller funktioner, som de har adgangsret til
d)
identifikation af og dokumentation for kendt afhængighed og kendte sårbarheder
e)
registrering af, hvilke data, funktioner eller tjenester der er tilgået, anvendt eller på anden måde behandlet, på hvilket tidspunkt og af hvem
f)
det er muligt at kontrollere, hvilke data, tjenester og funktioner der er tilgået, anvendt eller på anden måde behandlet, på hvilket tidspunkt og af hvem
g)
verifikation af, at IKT-produkter, -tjenester og -processer ikke indeholder kendte sårbarheder
h)
hurtig genetablering af tilgængelighed af og adgang til data, tjenester og funktioner i tilfælde af en fysisk eller teknisk hændelse
i)
at IKT-processer, -tjenester og -processer er sikre som følge af standardindstillinger og indbygget sikkerhed
j)
IKT-produkter, -tjenester og -processer er forsynet med ajourført software og hardware, der ikke indeholder offentligt kendte sårbarheder, og som har mekanismer til sikker opdatering.
Artikel 52
Tillidsniveauer for europæiske cybersikkerhedscertificeringsordninger
1.   En europæisk cybersikkerhedscertificeringsordning kan angive et eller flere af følgende tillidsniveauer for IKT-produkter, -tjenester og -processer: »grundlæggende«, »betydeligt« eller »højt«. Tillidsniveauet skal afspejle det risikoniveau, der er forbundet med den tilsigtede anvendelse af IKT-produktet, -tjenesten eller -processen, hvad angår sandsynligheden for og virkningen af en hændelse.
2.   Europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer skal henvise til et tillidsniveau, der er angivet i den europæiske cybersikkerhedscertificeringsordning, i henhold til hvilken den europæiske cybersikkerhedsattest eller EU-overensstemmelseserklæringen er udstedt.
3.   De sikkerhedskrav, som svarer til tillidsniveauet, skal fremgå af den relevante europæiske cybersikkerhedscertificeringsordning, herunder de tilsvarende sikkerhedsfunktioner og den tilsvarende grad af stringens og dybde i den evaluering, som IKT-produktet, -tjenesten eller processen skal undergå.
4.   Attesten eller EU-overensstemmelseserklæringen skal henvise til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for eller forhindre cybersikkerhedshændelser.
5.   En europæisk cybersikkerhedsattest eller EU-overensstemmelseserklæring, der henviser til tillidsniveauet »grundlæggende«, skal give sikkerhed for, at de IKT-produkter, -tjenester og -processer, som attesten eller EU-overensstemmelseserklæringen er udstedt for, opfylder de tilsvarende sikkerhedskrav, herunder sikkerhedsfunktioner, og at de er blevet evalueret på et niveau, der har til formål at minimere de kendte grundlæggende risici for hændelser og cyberangreb. Evalueringsaktiviteterne skal som minimum omfatte en gennemgang af den tekniske dokumentation. Hvis en sådangennemgang ikke er hensigtsmæssig, anvendes andre evalueringsaktiviteter med tilsvarende virkning.
6.   En europæisk cybersikkerhedsattest, der henviser til tillidsniveauet »betydeligt«, skal give sikkerhed for, at de IKT-produkter, -tjenester og -processer, som attesten er udstedt for, opfylder de tilsvarende sikkerhedskrav, herunder sikkerhedsfunktioner, og at de er blevet evalueret på et niveau, der har til formål at minimere kendte cybersikkerhedsrisici og risikoen for hændelser og cyberangreb udført af aktører med begrænsede færdigheder og ressourcer. Evalueringsaktiviteterne skal som minimum omfatte følgende: en gennemgang med henblik på at påvise, at der ikke er offentligt kendte sårbarheder, og afprøvning med henblik på at påvise, at IKT-produkterne, tjenesterne eller -processerne udfører de nødvendige sikkerhedsfunktioner korrekt. Hvis sådanne evalueringsaktiviteter ikke er hensigtsmæssige, anvendes andre evalueringsaktiviteter med tilsvarende virkning.
7.   En europæisk cybersikkerhedsattest, der henviser til tillidsniveauet »højt«, skal give sikkerhed for, at de IKT-produkter, -tjenester og -processer, som attesten er udstedt for, opfylder de tilsvarende sikkerhedskrav, herunder sikkerhedsfunktioner, og at de er blevet evalueret på et niveau, der har til formål at minimere risikoen for avancerede cyberangreb udført af aktører med betydelige færdigheder og ressourcer. Evalueringsaktiviteterne skal som minimum omfatte følgende: en gennemgang med henblik på at påvise, at der ikke er offentligt kendte sårbarheder, afprøvning med henblik på at påvise, at IKT-produkterne, -tjenesterne eller -processerne udfører de nødvendige sikkerhedsfunktioner korrekt med den mest avancerede teknologi, samt en vurdering af deres modstandsdygtighed over for drevne angribere ved hjælp af penetrationstest. Hvis sådanne evalueringsaktiviteter ikke er hensigtsmæssige, anvendes andre aktiviteter med tilsvarende virkning.
8.   En europæisk cybersikkerhedscertificeringsordning kan fastsætte flere evalueringsniveauer, alt efter hvor stringent og omfattende den anvendte evalueringsmetodologi er. Hvert enkelt evalueringsniveau skal svare til et af tillidsniveauerne og være defineret ved en passende kombination af tillidskomponenter.
Artikel 53
Selvvurdering af overensstemmelse
1.   En europæisk cybersikkerhedscertificeringsordning kan tillade, at der foretages selvvurdering af overensstemmelse, som producenter eller udbydere af IKT-produkter, -tjenester og -processer har det fulde ansvar for. Selvvurdering af overensstemmelse er kun tilladt i forhold til IKT-produkter, -tjenester og -processer med lav risiko svarende til tillidsniveauet »grundlæggende«.
2.   Producenter og udbydere af IKT-produkter, -tjenester eller -processer kan udstede en EU-overensstemmelseserklæring, hvoraf det fremgår, at det er blevet påvist, at de krav, som er fastsat i ordningen, er opfyldt. Ved at udstede en sådan erklæring står producenter og udbydere af IKT-produkter, -tjenester og -processer inde for, at IKT-produktet, -tjenesten eller -processen stemmer overens med den pågældende ordnings krav.
3.   Producenter og udbydere af IKT-produkter, -tjenester eller -processer stiller EU-overensstemmelseserklæringen, den tekniske dokumentation og alle øvrige relevante oplysninger vedrørende IKT-produkternes eller -tjenesternes overensstemmelse med ordningen til rådighed for den nationale cybersikkerhedscertificeringsmyndighed som omhandlet i artikel 58, stk. 1, i den periode, der er fastsat i den tilsvarende europæiske cybersikkerhedscertificeringsordning. En kopi af EU-overensstemmelseserklæringen indgives til den nationale cybersikkerhedscertificeringsmyndighed og til ENISA.
4.   Udstedelse af en EU-overensstemmelseserklæring er frivillig, medmindre andet er fastsat i EU-retten eller i medlemsstaternes ret.
5.   EU-overensstemmelseserklæringer skal anerkendes i alle medlemsstater.
Artikel 54
Elementer i europæiske cybersikkerhedscertificeringsordninger
1.   En europæisk cybersikkerhedscertificeringsordning skal som minimum omfatte følgende elementer:
a)
certificeringsordningens genstand og omfang, herunder typer eller kategorier af IKT-produkter, -tjenester og -processer, der er omfattet
b)
en klar beskrivelse af formålet med ordningen, og af hvordan de valgte standarder, evalueringsmetoder og tillidsniveauer svarer til behovene hos de tilsigtede brugere af ordningen
c)
henvisninger til de internationale, europæiske eller nationale standarder, der anvendes ved evalueringen, eller, hvis der ikke foreligger sådanne standarder, eller de ikke er hensigtsmæssige, henvisninger til tekniske specifikationer, som opfylder kravene i bilag II til forordning (EU) nr. 1025/2012, eller, hvis sådanne specifikationer ikke foreligger, til tekniske specifikationer eller andre cybersikkerhedskrav, der er defineret i den europæiske cybersikkerhedscertificeringsordning
d)
et eller flere tillidsniveauer, hvor det er relevant
e)
en angivelse af, om selvvurdering af overensstemmelse er tilladt i henhold til ordningen
f)
hvor det er relevant, specifikke eller yderligere krav, der gælder for overensstemmelsesvurderingsorganerne for at sikre deres tekniske kompetence til at evaluere cybersikkerhedskravene
g)
de specifikke evalueringskriterier og -metoder, der skal anvendes, herunder typen af evaluering, for at påvise, at de sikkerhedsmål omhandlet i artikel 51 er nået
h)
hvor det er relevant, de til certificering nødvendige oplysninger, som en ansøger skal videresende eller på anden måde stille til rådighed for overensstemmelsesvurderingsorganerne
i)
hvis ordningen fastsætter mærker eller etiketter, omstændighederne under hvilke sådanne mærker eller etiketter kan anvendes
j)
regler for overvågning af IKT-produkters, -tjenesters- og -processers overensstemmelse med de europæiske cybersikkerhedsattesters eller EU-overensstemmelseserklæringernes krav, herunder mekanismer til at dokumentere den fortsatte overholdelse af de angivne cybersikkerhedskrav
k)
hvor det er relevant, betingelserne for udstedelse, opretholdelse, forlængelse og fornyelse af den europæiske cybersikkerhedsattest samt betingelserne for udvidelse eller indskrænkning af certificeringens omfang
l)
regler om følgerne for IKT-produkter, -tjenester og -processer, som er blevet certificeret, eller for hvilke en EU-overensstemmelseserklæring er udstedt, men som ikke overholder kravene i ordningen
m)
regler om, hvordan hidtil uopdagede cybersikkerhedssårbarheder i IKT-produkter, -tjenester og -processer skal indberettes og håndteres
n)
hvor det er relevant, regler om overensstemmelsesvurderingsorganers opbevaring af optegnelser
o)
angivelse af nationale eller internationale cybersikkerhedscertificeringsordninger, som dækker samme type eller kategorier af IKT-processer, -produkter og -tjenester, sikkerhedskrav, evalueringskriterier og -metoder samt tillidsniveauer
p)
indholdet af og formatet for de europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringerne, der skal udstedes
q)
tilgængelighedsperioden af den EU-overensstemmelseserklæring, den tekniske dokumentation og alle de øvrige relevante oplysninger, der skal stilles til rådighed af producenter eller udbydere af IKT-produkter, -tjenester og -processer
r)
den maksimale gyldighedsperiode for europæiske cybersikkerhedsattester udstedt i henhold til ordningen
s)
politikken for offentliggørelse af europæiske cybersikkerhedsattester, der er udstedt, ændret eller tilbagetrukket i henhold til ordningen
t)
betingelserne for gensidig anerkendelse af certificeringsordninger med tredjelande
u)
hvor det er relevant, reglerne for en eventuel peervurderingsmekanisme, der ved ordningen er oprettet for de myndigheder eller organer, der udsteder europæiske cybersikkerhedsattester for tillidsniveauet »højt« i henhold til artikel 56, stk. 6. En sådan mekanisme berører ikke det peerreview, der er fastsat i artikel 59
v)
format og procedurer, der skal følges af producenter eller udbydere af IKT-produkter, -tjenester eller -processer, når de giver og ajourfører de supplerende cybersikkerhedsoplysninger i overensstemmelse med artikel 55.
2.   De krav, der er anført i den europæiske cybersikkerhedscertificeringsordning, skal være i overensstemmelse med eventuelle relevante retlige krav, navnlig krav som følge af harmoniseret EU-ret.
3.   Hvis det er fastsat i en bestemt EU-retsakt, kan en attest eller en EU-overensstemmelseserklæring udstedt i henhold til en europæisk cybersikkerhedscertificeringsordning anvendes til at påvise en formodning om overensstemmelse med kravene i den pågældende retsakt.
4.   I mangel af harmoniseret EU-ret kan medlemsstaternes ret også fastsætte, at en europæisk cybersikkerhedscertificeringsordning kan anvendes til at skabe en formodning om overensstemmelse med retlige krav.
Artikel 55
Supplerende cybersikkerhedsoplysninger for certificerede IKT-produkter, -tjenester og -processer
1.   Producenter og udbydere af certificerede IKT-produkter, -tjenester eller -processer eller af IKT-produkter, -tjenester eller -processer, for hvilke en EU-overensstemmelseserklæring er udstedt, gør følgende supplerende cybersikkerhedsoplysninger offentligt tilgængelige:
a)
vejledning og anbefalinger for at bistå slutbrugere med sikker konfiguration, installation, ibrugtagning, drift og vedligeholdelse af IKT-produkterne eller -tjenesterne
b)
den periode, hvor slutbrugere tilbydes sikkerhedsstøtte, navnlig for så vidt angår tilgængelighed af cybersikkerhedsrelaterede opdateringer
c)
producentens eller udbyderens kontaktoplysninger og accepterede metoder til modtagelse af sårbarhedsoplysninger fra slutbrugere og sikkerhedsforskere
d)
en henvisning til onlineregistre over offentliggjorte sårbarheder vedrørende det pågældende IKT-produkt eller den pågældende IKT-tjeneste eller -proces og til eventuel relevant cybersikkerhedsrådgivning.
2.   De oplysninger, der er omhandlet i stk. 1, skal være tilgængelige i elektronisk form og forblive tilgængelige og opdateres om nødvendigt mindst indtil udløbet af den tilsvarende europæiske cybersikkerhedsattest eller EU-overensstemmelseserklæring.
Artikel 56
Cybersikkerhedscertificering
1.   IKT-produkter, -tjenester og -processer, der er certificeret i henhold til en europæisk cybersikkerhedscertificeringsordning, som er vedtaget i medfør af artikel 49, formodes at overholde kravene i en sådan ordning.
2.   Cybersikkerhedscertificeringen skal være frivillig, medmindre andet er fastsat i EU-retten eller i medlemsstaternes ret.
3.   Kommissionen vurderer regelmæssigt effektiviteten og anvendelsen af de vedtagne europæiske cybersikkerhedscertificeringsordninger, og hvorvidt en bestemt europæisk cybersikkerhedscertificeringsordning skal gøres obligatoriske ved hjælp af relevant EU-ret for at sikre et tilstrækkeligt cybersikkerhedsniveau for IKT-produkter, -tjenester og -processer i Unionen og forbedre det indre markeds funktion. Den første sådanne vurdering skal foretages senest den 31. december 2023 og efterfølgende vurderinger mindst hvert andet år derefter. Kommissionen identificerer på grundlag af resultatet af disse vurderinger de IKT-produkter, -tjenester og -processer, der er omfattet af en eksisterende certificeringsordning, og som skal omfattes af en obligatorisk certificeringsordning. Som en prioritet fokuserer Kommissionen på de sektorer i bilag II til direktiv (EU) 2016/1148, som skal vurderes senest to år efter vedtagelsen af den første europæiske cybersikkerhedscertificeringsordning.
Ved udarbejdelsen af vurderingen skal Kommissionen:
a)
tage hensyn til foranstaltningernes indvirkning på producenter og udbydere af sådanne IKT-produkter, -tjenester og -processer og på brugerne i form af omkostninger ved disse foranstaltninger samt de samfundsmæssige eller økonomiske fordele som følge af det forventede øgede sikkerhedsniveau for de pågældende IKT-produkter, -tjenester og -processer
b)
tage hensyn til eksistensen og gennemførelsen af relevant ret i medlemsstaterne eller tredjelande
c)
gennemføre en åben, gennemsigtig og inklusiv høringsproces med alle relevante interessenter og medlemsstater
d)
tage hensyn til eventuelle gennemførelsesfrister og overgangsforanstaltninger eller -perioder under hensyntagen til navnlig foranstaltningens mulige indvirkning på producenter eller udbydere af IKT-produkter, -tjenester og -processer, herunder SMV'er
e)
foreslå den hurtigste og mest effektive måde, hvorpå overgangen fra frivillige til obligatoriske certificeringsordninger skal gennemføres.
4.   De overensstemmelsesvurderingsorganer, der er omhandlet i artikel 60, udsteder europæiske cybersikkerhedsattester i henhold til nærværende artikel på grundlag af de kriterier, der fremgår af den europæiske cybersikkerhedscertificeringsordning, som Kommissionen har vedtaget i medfør af artikel 49, idet de henviser til tillidsniveauet »grundlæggende« eller »betydeligt«.
5.   Uanset stk. 4 kan det i behørigt begrundede tilfælde fastsættes i en specifik europæisk cybersikkerhedscertificeringsordning, at en europæisk cybersikkerhedsattest i medfør af denne ordning kun må udstedes af et offentligt organ. Et sådant organ skal være en af følgende:
a)
en national cybersikkerhedscertificeringsmyndighed som omhandlet i artikel 58, stk. 1, eller
b)
et offentligt organ, der er akkrediteret som overensstemmelsesvurderingsorgan i medfør af artikel 60, stk. 1.
6.   I tilfælde, hvor en europæisk cybersikkerhedscertificeringsordning vedtaget i medfør af artikel 49 indeholder krav om tillidsniveau »højt«, kan den europæiske cybersikkerhedsattest i henhold til den pågældende ordning kun udstedes af en national cybersikkerhedscertificeringsmyndighed eller i følgende tilfælde af et overensstemmelsesvurderingsorgan:
a)
efter at den nationale cybersikkerhedscertificeringsmyndighed på forhånd har godkendt hver enkelt europæisk cybersikkerhedsattest, som er udstedt af et overensstemmelsesvurderingsorgan, eller
b)
på grundlag af den nationale cybersikkerhedscertificeringsmyndigheds generelle delegation af opgaven med at udstede sådanne europæiske cybersikkerhedsattester til et overensstemmelsesvurderingsorgan.
7.   Den fysiske eller juridiske person, der indgiver IKT-produkter, -tjenester eller -processer til certificering, stiller alle oplysninger, der er nødvendige for at gennemføre certificeringsproceduren, til rådighed for den i artikel 58 omhandlede nationale cybersikkerhedscertificeringsmyndighed, hvis denne myndighed er det organ, der udsteder den europæiske cybersikkerhedsattest, eller for det i artikel 60 omhandlede overensstemmelsesvurderingsorgan.
8.   Indehaveren af en europæisk cybersikkerhedsattest underretter den myndighed eller det organ, der er omhandlet i stk. 7, om eventuelle efterfølgende opdagede sårbarheder eller uregelmæssigheder i forbindelse med det certificerede IKT-produkts, den certificerede IKT-proces' eller den certificerede IKT-tjenestes sikkerhed, som kan have en indvirkning på overholdelsen af de med certificeringen forbundne krav. Vedkommende organ eller myndighed sender hurtigst muligt disse oplysninger til den pågældende nationale cybersikkerhedscertificeringsmyndighed.
9.   En europæisk cybersikkerhedsattest udstedes for den periode, som er fastsat i den pågældende europæiske cybersikkerhedscertificeringsordning, og kan fornys, såfremt de relevante krav fortsat er opfyldt.
10.   En europæisk cybersikkerhedsattest udstedt i henhold til denne artikel skal anerkendes i alle medlemsstater.
Artikel 57
Nationale cybersikkerhedscertificeringsordninger og -attester
1.   Nationale cybersikkerhedscertificeringsordninger og de tilknyttede procedurer for IKT-produkter, -tjenester og -processer, der er omfattet af en europæisk cybersikkerhedscertificeringsordning, ophører med at have virkning fra det tidspunkt, der fastsættes i den gennemførelsesretsakt, som vedtages i medfør af artikel 49, stk. 7, uden at dette dog berører nærværende artikels stk. 3. Nationale cybersikkerhedscertificeringsordninger og de tilknyttede procedurer for IKT-produkter, -tjenester og -processer, der ikke er omfattet af en europæisk cybersikkerhedscertificeringsordning, består fortsat.
2.   Medlemsstaterne må ikke indføre nye nationale cybersikkerhedscertificeringsordninger for IKT-produkter, -tjenester og -processer, som allerede er omfattet af en gældende europæisk cybersikkerhedscertificeringsordning.
3.   Eksisterende attester, som blev udstedt i henhold til nationale cybersikkerhedscertificeringsordninger og omfattes af en europæisk cybersikkerhedscertificeringsordning, forbliver gyldige indtil deres udløbsdato.
4.   Med henblik på at undgå fragmentering af det indre marked meddeler medlemsstaterne initiativer vedrørende udarbejdelse af nye nationale cybersikkerhedscertificeringsordninger til Kommissionen og ECCG.
Artikel 58
Nationale cybersikkerhedscertificeringsmyndigheder
1.   Hver medlemsstat udpeger en eller flere nationale cybersikkerhedscertificeringsmyndigheder på sit område eller udpeger efter aftale med en anden medlemsstat en eller flere nationale cybersikkerhedscertificerings- myndigheder, der er etableret i denne anden medlemsstat, som ansvarlig for overvågningsopgaverne i den udpegende medlemsstat.
2.   Hver medlemsstat underretter Kommissionen om de udpegede nationale cybersikkerhedscertificeringsmyndigheders identitet. Hvis en medlemsstat udpeger mere end én myndighed, underretter den også Kommissionen om de opgaver, som hver af disse myndigheder er blevet pålagt.
3.   Uden at det berører artikel 56, stk. 5, litra a), og artikel 56, stk. 6, skal hver national cybersikkerhedscertificeringsmyndighed med hensyn til dens organisation, finansieringsbeslutninger, retlige struktur og beslutningstagning være uafhængig af de enheder, som den fører tilsyn med.
4.   Medlemsstaterne sikrer, at de nationale cybersikkerhedscertificeringsmyndigheders aktiviteter vedrørende udstedelse af europæiske cybersikkerhedsattester omhandlet i artikel 56, stk. 5, litra a), og artikel 56, stk. 6, er strengt adskilt fra deres tilsynsaktiviteter i nærværende artikel, og at disse aktiviteter udføres uafhængigt af hinanden.
5.   Medlemsstaterne sikrer, at de nationale cybersikkerhedscertificeringsmyndigheder har tilstrækkelige ressourcer til at udøve deres beføjelser og udføre deres opgaver på en virkningsfuld og effektiv måde.
6.   Med henblik på en effektiv gennemførelse af denne forordning er det hensigtsmæssigt, at nationale cybersikkerhedscertificeringsmyndigheder deltager i ECCG på en aktiv, effektiv, virkningsfuld og sikker måde.
7.   Nationale cybersikkerhedscertificeringsmyndigheder skal:
a)
føre tilsyn med og håndhæve regler, der indgår i de europæiske cybersikkerhedscertificeringsordninger i henhold til artikel 54, stk. 1, litra j), til overvågning af, at IKT-produkter, -tjenester og -processer opfylder kravene i de europæiske cybersikkerhedsattester, der er udstedt på deres respektive område, i samarbejde med andre relevante markedsovervågningsmyndigheder
b)
overvåge og håndhæve de forpligtelser, som påhviler producenter eller udbydere af IKT-produkter, -tjenester og -processer, der er etableret på deres respektive område, og som foretager selvvurdering af overensstemmelse, navnlig forpligtelserne fastsat i artikel 53, stk. 2 og 3, og i den tilsvarende europæiske cybersikkerhedscertificeringsordning
c)
aktivt bistå og støtte de nationale akkrediteringsorganer med overvågning af og tilsyn med overensstemmelsesvurderingsorganers aktiviteter med henblik på denne forordning, uden at det berører artikel 60, stk. 3
d)
overvåge og føre tilsyn med de aktiviteter, der udføres af de i artikel 56, stk. 5, omhandlede offentlige organer
e)
hvis det er relevant, bemyndige overensstemmelsesvurderingsorganer i henhold til artikel 60, stk. 3, og begrænse, suspendere eller inddrage eksisterende bemyndigelse i tilfælde af, at overensstemmelsesvurderingsorganer overtræder kravene i denne forordning
f)
behandle klager fra fysiske eller juridiske personer i forbindelse med europæiske cybersikkerhedsattester udstedt af de nationale cybersikkerhedscertificeringsmyndigheder eller med europæiske cybersikkerhedsattester udstedt af overensstemmelsesvurderingsorganer i overensstemmelse med artikel 56, stk. 6, eller i forbindelse med EU-overensstemmelseserklæringer udstedt i henhold til artikel 53 samt undersøge genstanden for klagen i relevant omfang og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist
g)
forelægge en årlig sammenfattende rapport om de aktiviteter, der er udført i henhold til litra b), c) og d) eller stk. 8, for ENISA og ECCG
h)
samarbejde med andre nationale cybersikkerhedscertificeringsmyndigheder eller andre offentlige myndigheder, herunder ved at dele oplysninger om mulige tilfælde af IKT-processers, -produkters og -tjenesters manglende overholdelse af denne forordnings eller specifikke europæiske cybersikkerhedscertificeringsordningers krav, og
i)
overvåge den relevante udvikling inden for cybersikkerhedscertificering.
8.   Hver national cybersikkerhedscertificeringsmyndighed skal mindst have følgende beføjelser:
a)
at kunne anmode overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer om at forelægge alle oplysninger, som er nødvendige for udførelsen af dens opgaver
b)
at kunne udføre undersøgelser i form af audit af overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer med henblik på at verificere deres overholdelse af dette afsnit
c)
i overensstemmelse med national ret at kunne træffe passende foranstaltninger til at sikre, at overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer overholder bestemmelserne i denne forordning eller en europæisk cybersikkerhedscertificeringsordning
d)
at kunne få adgang til alle lokaler hos overensstemmelsesvurderingsorganer eller indehavere af en europæisk cybersikkerhedsattest med henblik på at udføre undersøgelser i overensstemmelse med EU-retten eller medlemsstaternes processuelle regler
e)
i overensstemmelse med national ret at kunne tilbagekalde europæiske cybersikkerhedsattester, der er udstedt af de nationale cybersikkerhedscertificeringsmyndigheder eller europæiske cybersikkerhedsattester udstedt af overensstemmelsesvurderingsorganer i overensstemmelse med artikel 56, stk. 6, hvis sådanne attester ikke overholder bestemmelserne i denne forordning eller i en europæisk cybersikkerhedscertificeringsordning
f)
at kunne pålægge sanktioner i overensstemmelse med national ret, jf. artikel 65, og at kunne kræve øjeblikkeligt ophør af overtrædelser af de forpligtelser, der er fastsat i denne forordning.
9.   De nationale cybersikkerhedscertificeringsmyndigheder skal samarbejde med hinanden og Kommissionen ved navnlig at udveksle oplysninger, erfaringer og god praksis med hensyn til cybersikkerhedscertificering og tekniske spørgsmål vedrørende IKT-produkters, -tjenesters og -processers cybersikkerhed.
Artikel 59
Peerreview
1.   For at opnå ensartede standarder i hele Unionen for så vidt angår europæiske cybersikkerhedsattester og EU-overensstemmelseserklæringer underkastes nationale cybersikkerhedscertificeringsmyndigheder peerreview.
2.   Peerreviews skal foregå på grundlag af fornuftige og gennemsigtige evalueringskriterier og -procedurer, navnlig med hensyn til strukturelle krav, krav til menneskelige ressourcer og proceskrav samt fortrolighed og klager.
3.   Ved peerreviews vurderes:
a)
hvis det er relevant, hvorvidt de nationale cybersikkerhedscertificeringsmyndigheders aktiviteter vedrørende udstedelse af europæiske cybersikkerhedsattester omhandlet i artikel 56, stk. 5, litra a), og artikel 56, stk. 6, er strengt adskilt fra deres tilsynsaktiviteter i artikel 58, og hvorvidt disse aktiviteter udføres uafhængigt af hinanden
b)
procedurerne for tilsyn med og håndhævelse af reglerne for overvågning af, at IKT-produkter, -tjenester og -processer overholder europæiske cybersikkerhedsattester i henhold til artikel 58, stk. 7, litra a)
c)
procedurerne for overvågning og håndhævelse af forpligtelserne for producenter eller udbydere af IKT-produkter, -tjenester eller -processer i henhold til artikel 58, stk. 7, litra b)
d)
procedurerne for overvågning og bemyndigelse af og tilsyn med overensstemmelsesvurderingsorganernes aktiviteter
e)
hvis det er relevant, hvorvidt personalet i myndigheder eller organer, der udsteder attester for tillidsniveauet »højt« i henhold til artikel 56, stk. 6, har den fornødne ekspertise.
4.   Peerreviews foretages af mindst to nationale cybersikkerhedscertificeringsmyndigheder fra andre medlemsstater og af Kommissionen og mindst hvert femte år. ENISA kan deltage i peerreviews.
5.   Kommissionen kan vedtage gennemførelsesretsakter, der fastlægger en plan for peerreviews, som omfatter en periode på mindst fem år, og kriterierne for sammensætning af peerreviewhold, metode til peerreviews samt tidsplan, hyppighed og andre opgaver i forbindelse dermed. I forbindelse med vedtagelsen af disse gennemførelsesretsakter tager Kommissionen behørigt hensyn til ECCG's betragtninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 66, stk. 2.
6.   Resultaterne af peerreviews gennemgås af ECCG, som udarbejder sammenfatninger, der kan offentliggøres, og som om nødvendigt udsteder retningslinjer eller henstillinger om tiltag eller foranstaltninger, der skal træffes af de berørte enheder.
Artikel 60
Overensstemmelsesvurderingsorganer
1.   Overensstemmelsesvurderingsorganerne akkrediteres af nationale akkrediteringsorganer, der er udpeget i henhold til forordning (EF) nr. 765/2008. Sådan akkreditering udstedes kun, hvis overensstemmelsesvurderingsorganet opfylder kravene i bilaget til nærværende forordning.
2.   I tilfælde, hvor en europæisk cybersikkerhedsattest udstedes af en national cybersikkerhedscertificeringsmyndighed i henhold til artikel 56, stk. 5, litra a), og artikel 56, stk. 6, akkrediteres den nationale cybersikkerhedscertificeringsmyndigheds certificeringsorgan som et overensstemmelsesvurderingsorgan i henhold til nærværende artikels stk. 1.
3.   Hvis europæiske cybersikkerhedscertificeringsordninger fastsætter specifikke eller yderligere krav i henhold til artikel 54, stk. 1, litra f), må kun overensstemmelsesvurderingsorganer, der opfylder disse krav, bemyndiges af den nationale cybersikkerhedscertificeringsmyndighed til at udføre opgaver i henhold til sådanne ordninger.
4.   Akkreditering som omhandlet i stk. 1 udstedes til overensstemmelsesvurderingsorganerne for en periode på højst fem år og kan fornys på samme betingelser, såfremt overensstemmelsesvurderingsorganet stadig opfylder de i denne artikel fastsatte krav. Nationale akkrediteringsorganer træffer inden for en rimelig tidsfrist alle passende foranstaltninger med henblik på at begrænse, suspendere eller tilbagekalde akkrediteringen af et overensstemmelsesvurderingsorgan udstedt i henhold til stk. 1, hvis betingelserne for akkrediteringen ikke eller ikke længere er opfyldt, eller hvis overensstemmelsesvurderingsorganet overtræder denne forordning.
Artikel 61
Anmeldelse
1.   For hver europæisk cybersikkerhedscertificeringsordning underretter de nationale cybersikkerhedscertificeringsmyndigheder Kommissionen om de overensstemmelsesvurderingsorganer, der er akkrediteret og, hvor det er relevant, bemyndiget i henhold til artikel 60, stk. 3, til at udstede europæiske cybersikkerhedsattester på specifikke tillidsniveauer, jf. artikel 52. De nationale cybersikkerhedscertificeringsmyndigheder underretter Kommissionen om eventuelle senere ændringer heraf hurtigst muligt.
2.   Et år efter ikrafttrædelsen af en europæisk cybersikkerhedscertificeringsordning offentliggør Kommissionen en liste over de overensstemmelsesvurderingsorganer, som er anmeldt under den pågældende ordning, i 
Den Europæiske Unions Tidende
.
3.   Modtager Kommissionen en anmeldelse efter udløbet af den periode, der er omhandlet i stk. 2, offentliggør den ændringerne af listen over anmeldte overensstemmelsesvurderingsorganer i 
Den Europæiske Unions Tidende
 inden for to måneder fra datoen for modtagelsen af denne anmeldelse.
4.   En national cybersikkerhedscertificeringsmyndighed kan anmode Kommissionen om at fjerne et overensstemmelsesvurderingsorgan, der er anmeldt af den pågældende myndighed, fra den i stk. 2 omhandlede liste over anmeldte overensstemmelsesvurderingsorganer. Kommissionen offentliggør de dertil svarende ændringer af listen i 
Den Europæiske Unions Tidende
 inden for en måned fra datoen for modtagelsen af den nationale cybersikkerhedscertificeringsmyndigheds anmodning.
5.   Kommissionen kan vedtage gennemførelsesretsakter, der fastlægger vilkår, formater og procedurer for anmeldelserne omhandlet i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 66, stk. 2.
Artikel 62
Den Europæiske Cybersikkerhedscertificeringsgruppe
1.   Den Europæiske Cybersikkerhedscertificeringsgruppe (»ECCG«) oprettes.
2.   ECCG sammensættes af repræsentanter for nationale cybersikkerhedscertificeringsmyndigheder eller repræsentanter for andre relevante nationale myndigheder. Et medlem af ECCG kan ikke repræsentere mere end to medlemsstater.
3.   Interessenter og relevante tredjeparter kan indbydes til at deltage i ECCG's møder og til at deltage i dens arbejde.
4.   Gruppen har følgende opgaver:
a)
at rådgive og bistå Kommissionen i dens arbejde med at sikre en konsekvent gennemførelse og anvendelse af dette afsnit, herunder navnlig hvad angår Unionens rullende arbejdsprogram, cybersikkerhedscertificeringspolitik, koordinering af politiske tiltag og udarbejdelse af europæiske cybersikkerhedscertificeringsordninger
b)
at bistå, rådgive og samarbejde med ENISA i forbindelse med udarbejdelse af forslag til ordninger i henhold til artikel 49
c)
at vedtage en udtalelse om forslag til ordning udarbejdet af ENISA i henhold til artikel 49
d)
at anmode ENISA om at udarbejde et forslag til en europæisk cybersikkerhedscertificeringsordning i henhold til artikel 48, stk. 2
e)
at vedtage udtalelser til Kommissionen vedrørende vedligeholdelse og revision af eksisterende europæiske cybersikkerhedscertificeringsordninger
f)
at undersøge relevante udviklinger inden for cybersikkerhedscertificering og udveksle oplysninger og god praksis om cybersikkerhedscertificeringsordninger
g)
at fremme samarbejdet mellem nationale cybersikkerhedscertificeringsmyndigheder i henhold til dette afsnit gennem kapacitetsopbygning og udveksling af oplysninger, herunder navnlig ved at indføre metoder til effektiv udveksling af oplysninger vedrørende cybersikkerhedscertificeringsanliggender
h)
at støtte gennemførelsen af peervurderingsmekanismer i overensstemmelse med de regler, som er fastsat i en europæisk cybersikkerhedscertificeringsordning i henhold til artikel 54, stk. 1, litra u)
i)
at lette europæiske cybersikkerhedscertificeringsordningers tilpasning til internationalt anerkendte standarder, herunder ved at gennemgå eksisterende europæiske cybersikkerhedscertificeringsordninger og, hvis det er relevant, fremsætte henstillinger til ENISA om at indlede dialog med relevante internationale standardiseringsorganisationer for at afhjælpe utilstrækkeligheder eller mangler i de tilgængelige internationalt anerkendte standarder.
5.   Med bistand fra ENISA varetager Kommissionen ECCG's formandskab, og Kommissionen varetager en sekretariatsfunktion for ECCG i overensstemmelse med artikel 8, stk. 1, litra e).
Artikel 63
Ret til at indgive klage
1.   Fysiske og juridiske personer har ret til at indgive klage til udstederen af en europæisk cybersikkerhedsattest eller, når klagen vedrører en europæisk cybersikkerhedsattest udstedt af et overensstemmelsesvurderingsorgan i overensstemmelse med artikel 56, stk. 6, til den relevante nationale cybersikkerhedscertificeringsmyndighed.
2.   Den myndighed eller det organ, som klage er indgivet til, underretter klageren om forløbet af sagen og om den trufne afgørelse samt om retten til effektive retsmidler, jf. artikel 64.
Artikel 64
Ret til effektive retsmidler
1.   Uanset eventuelle administrative eller andre udenretslige midler har fysiske og juridiske personer ret til effektive retsmidler med hensyn til:
a)
afgørelser truffet af den myndighed eller det organ, der er omhandlet i artikel 63, stk. 1, herunder, hvis det er relevant, vedrørende uretmæssig udstedelse, manglende udstedelse eller anerkendelse af en europæisk cybersikkerhedsattest, som de pågældende fysiske eller juridiske personer er indehaver af
b)
en undladelse af at reagere på en klage, der er indgivet til den myndighed eller det organ, der er omhandlet i artikel 63, stk. 1.
2.   En sag i medfør af denne artikel anlægges ved domstolene i den medlemsstat, hvor den myndighed eller det organ, mod hvem retsmidlet søges, er beliggende.
Artikel 65
Sanktioner
Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelse af bestemmelserne i dette afsnit og i tilfælde af overtrædelser af europæiske cybersikkerhedscertificeringsordninger, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne giver straks Kommissionen meddelelse om disse regler og foranstaltninger og underretter den om alle senere ændringer, der berører dem.
AFSNIT IV
AFSLUTTENDE BESTEMMELSER
Artikel 66
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5, stk. 4, litra b), i forordning (EU) nr. 182/2011 anvendelse.
Artikel 67
Evaluering og revision
1.   Senest den 28. juni 2024 og hvert femte år derefter vurderer Kommissionen virkningen og effektiviteten af ENISA's arbejde og af dets arbejdsmetoder, et eventuelt behov for at ændre ENISA's mandat og de finansielle virkninger af en sådan eventuel ændring. Evalueringen skal tage hensyn til enhver tilbagemelding til ENISA som reaktion på dets aktiviteter. Hvis Kommissionen finder, at der ikke længere er grund til at videreføre driften af ENISA i lyset af de mål, det mandat og de opgaver, som ENISA er tillagt, kan Kommissionen foreslå, at denne forordning ændres med hensyn til de bestemmelser, der vedrører ENISA.
2.   Evalueringen skal også vurdere virkningen og effektiviteten af bestemmelserne i afsnit III med hensyn til målene om at sikre et tilstrækkeligt niveau for IKT-produkters, -tjenesters og -processers cybersikkerhed i Unionen og forbedre det indre markeds funktion.
3.   I evalueringen skal det også vurderes, om væsentlige cybersikkerhedskrav for adgang til det indre marked er nødvendige for at undgå, at IKT-produkter, -tjenester og -processer, der ikke opfylder grundlæggende cybersikkerhedskrav, kommer ind på EU-markedet.
4.   Senest den 28. juni 2024 og hvert femte år derefter sender Kommissionen en rapport om evalueringen og dens konklusioner til Europa-Parlamentet, Rådet og bestyrelsen. Resultaterne i denne rapport offentliggøres.
Artikel 68
Ophævelse og succession
1.   Forordning (EU) nr. 526/2013 ophæves med virkning fra den 27. juni 2019.
2.   Henvisninger til forordning (EU) nr. 526/2013 og til ENISA som oprettet ved nævnte forordning fortolkes som henvisninger til nærværende forordning og til ENISA som oprettet ved nærværende forordning.
3.   ENISA som oprettet ved denne forordning succederer ENISA som oprettet ved forordning (EU) nr. 526/2013 med hensyn til ethvert ejendomsforhold, enhver aftale, enhver retlig forpligtelse, enhver ansættelseskontrakt, enhver økonomisk forpligtelse og ethvert økonomisk ansvar. Alle afgørelser vedtaget af bestyrelsen og forretningsudvalget i overensstemmelse med forordning (EU) nr. 526/2013 forbliver gyldige, forudsat at de er i overensstemmelse mednærværende forordning.
4.   ENISA oprettes for en ubegrænset periode fra den 27. juni 2019.
5.   Den administrerende direktør, der er udpeget i henhold til artikel 24, stk. 4, i forordning (EU) nr. 526/2013, fortsætter som og udøver sine opgaver som ENISA's administrerende direktør, jf. nærværende forordnings artikel 20, for den resterende del af den administrerende direktørs mandatperiode. De øvrige vilkår i vedkommendes kontrakt fortsætter uændret.
6.   Bestyrelsens medlemmer og deres stedfortrædere, der er udpeget i henhold til artikel 6 i forordning (EU) nr. 526/2013, forsætter som og udøver deres funktioner som bestyrelse, jf. nærværende forordnings artikel 15, for den resterende del af deres mandatperiode.
Artikel 69
Ikrafttræden
1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
2.   Artikel 58, 60, 61, 63, 64 og 65 finder anvendelse fra den 28. juni 2021.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Strasbourg, den 17. april 2019.
På Europa-Parlamentets vegne
A. TAJANI
Formand
På Rådets vegne
G. CIAMBA
Formand
(
1
)
  
            
EUT C 227 af 28.6.2018, s. 86
.
(
2
)
  
            
EUT C 176 af 23.5.2018, s. 29
.
(
3
)
  Europa-Parlamentets holdning af 12.3.2019 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 9.4.2019.
(
4
)
  Kommissionens henstilling af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (
EUT L 124 af 20.5.2003, s. 36
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 526/2013 af 21. maj 2013 om Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA) og om ophævelse af forordning (EF) nr. 460/2004 (
EUT L 165 af 18.6.2013, s. 41
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 460/2004 af 10. marts 2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed (
EUT L 77 af 13.3.2004, s. 1
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1007/2008 af 24. september 2008 om ændring af forordning (EF) nr. 460/2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed for så vidt angår agenturets mandatperiode (
EUT L 293 af 31.10.2008, s. 1
).
(
8
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 580/2011 af 8. juni 2011 om ændring af forordning (EF) nr. 460/2004 om oprettelse af et europæisk agentur for net- og informationssikkerhed for så vidt angår agenturets mandatperiode (
EUT L 165 af 24.6.2011, s. 3
).
(
9
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (
EUT L 194 af 19.7.2016, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
11
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
12
)
  Europa-Parlamentets og Rådets direktiv (EU) 2018/1972 af 11. december 2018 om oprettelse af en europæisk kodeks for elektronisk kommunikation (
EUT L 321 af 17.12.2018, s. 36
).
(
13
)
  Afgørelse 2004/97/EF, Euratom truffet ved fælles aftale mellem repræsentanterne for medlemsstaterne, forsamlet på stats- og regeringschefniveau, den 13. december 2003 om fastlæggelse af hjemstedet for visse af Den Europæiske Unions kontorer og agenturer (
EUT L 29 af 3.2.2004, s. 15
).
(
14
)
  
            
EUT C 12 af 13.1.2018, s. 1
.
(
15
)
  Kommissionens henstilling (EU) 2017/1584 af 13. september 2017 om en koordineret reaktion på væsentlige cybersikkerhedshændelser og -kriser (
EUT L 239 af 19.9.2017, s. 36
).
(
16
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 af 9. juli 2008 om kravene til akkreditering og markedsovervågning i forbindelse med markedsføring af produkter og om ophævelse af Rådets forordning (EØF) nr. 339/93 (
EUT L 218 af 13.8.2008, s. 30
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (
EFT L 145 af 31.5.2001, s. 43
).
(
18
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
19
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 af 25. oktober 2012 om europæisk standardisering, om ændring af Rådets direktiv 89/686/EØF og 93/15/EØF og Europa-Parlamentets og Rådets direktiv 94/9/EF, 94/25/EF, 95/16/EF, 97/23/EF, 98/34/EF, 2004/22/EF, 2007/23/EF, 2009/23/EF og 2009/105/EF og om ophævelse af Rådets beslutning 87/95/EØF og Europa-Parlamentets og Rådets afgørelse nr. 1673/2006/EF (
EUT L 316 af 14.11.2012, s. 12
).
(
20
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 af 9. september 2015 om en informationsprocedure med hensyn til tekniske forskrifter samt forskrifter for informationssamfundets tjenester (
EUT L 241 af 17.9.2015, s. 1
).
(
21
)
  Europa-Parlamentets og Rådets direktiv 2014/24/EU af 26. februar 2014 om offentlige udbud og om ophævelse af direktiv 2004/18/EF (
EUT L 94 af 28.3.2014, s. 65
).
(
22
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
23
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (
EUT L 257 af 28.8.2014, s. 73
).
(
24
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
25
)
  Kommissionens delegerede forordning (EU) nr. 1271/2013 af 30. september 2013 om rammefinansforordningen for de organer, der er omhandlet i artikel 208 i Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 966/2012 (
EUT L 328 af 7.12.2013, s. 42
).
(
26
)
  Kommissionens afgørelse (EU, Euratom) 2015/443 af 13. marts 2015 om sikkerhedsbeskyttelse i Kommissionen (
EUT L 72 af 17.3.2015, s. 41
).
(
27
)
  Kommissionens afgørelse (EU, Euratom) 2015/444 af 13. marts 2015 om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer (
EUT L 72 af 17.3.2015, s. 53
).
(
28
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 af 18. juli 2018 om de finansielle regler vedrørende Unionens almindelige budget, om ændring af forordning (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 og afgørelse nr. 541/2014/EU og om ophævelse af forordning (EU, Euratom) nr. 966/2012 (
EUT L 193 af 30.7.2018, s. 1
).
(
29
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 af 11. september 2013 om undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1073/1999 og Rådets forordning (Euratom) nr. 1074/1999 (
EUT L 248 af 18.9.2013, s. 1
).
(
30
)
  
            
EFT L 136 af 31.5.1999, s. 15
.
(
31
)
  Rådets forordning (Euratom, EF) nr. 2185/96 af 11. november 1996 om Kommissionens kontrol og inspektion på stedet med henblik på beskyttelse af De Europæiske Fællesskabers finansielle interesser mod svig og andre uregelmæssigheder (
EFT L 292 af 15.11.1996, s. 2
).
(
32
)
  Forordning nr. 1 om den ordning, der skal gælde for Det Europæiske Økonomiske Fællesskab på det sproglige område (
EFT 17 af 6.10.1958, s. 385/58
).
BILAG
KRAV, DER SKAL OPFYLDES AF OVERENSSTEMMELSESVURDERINGSORGANER
Overensstemmelsesvurderingsorganer, som ønsker at blive akkrediteret, skal opfylde følgende krav:
1.
Et overensstemmelsesvurderingsorgan skal oprettes i henhold til national lovgivning og være en juridisk person.
2.
Et overensstemmelsesvurderingsorgan skal være et tredjepartsorgan, der er uafhængigt af den organisation eller de IKT-produkter, -tjenester eller -processer, som det vurderer.
3.
Et organ, der er medlem af en erhvervsorganisation og/eller brancheforening, som repræsenterer virksomheder, der er involveret i udformning, fremstilling, levering, sammenbygning, brug eller vedligeholdelse af IKT-produkter, -tjenester eller -processer, som det vurderer, kan anses for at være et overensstemmelsesvurderingsorgan, forudsat at det er påvist, at det er uafhængigt, og at der ikke foreligger nogen interessekonflikt.
4.
Overensstemmelsesvurderingsorganerne, deres øverste ledelse og de personer, der er ansvarligefor udførelsen af overensstemmelsesvurderingsopgaverne, må ikke være konstruktør, producent, leverandør, installatør, køber, ejer, bruger eller vedligeholder af det IKT-produkt, den IKT-tjeneste eller den IKT-proces, der vurderes, eller repræsentere nogen af disse parter. Dette forbud udelukker ikke, at overensstemmelsesvurderingsorganet bruger de IKT-produkter, der er vurderet og nødvendige for, at det kan udføre sit arbejde, eller brug af sådanne IKT-produkter til personlige formål.
5.
Overensstemmelsesvurderingsorganerne, deres øverste ledelse og de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsopgaverne, må ikke være direkte involveret i udformning, fremstilling eller konstruktion, markedsføring, installation, anvendelse eller vedligeholdelse af de IKT-produkter, -tjenester eller -processer, der vurderes. eller repræsentere parter, der er involveret i disse aktiviteter. Overensstemmelsesvurderingsorganerne, deres øverste ledelse og de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsopgaverne, må ikke deltage i aktiviteter, som kan være i strid med deres objektivitet og integritet i forbindelse med deres overensstemmelsesvurderingsaktiviteter. Dette forbud gælder navnlig rådgivningstjenester.
6.
Hvis et overensstemmelsesvurderingsorgan ejes eller drives af en offentlig enhed eller institution, skal der sikres uafhængighed og fravær af interessekonflikter mellem den nationale cybersikkerhedscertificeringsmyndighed og overensstemmelsesvurderingsorganet, og dette skal dokumenteres.
7.
Overensstemmelsesvurderingsorganet skal sikre, at dets dattervirksomheders og underentreprenørers aktiviteter ikke påvirker fortroligheden, objektiviteten og uvildigheden af dets overensstemmelsesvurderingsaktiviteter.
8.
Overensstemmelsesvurderingsorganet og dets personale skal udføre overensstemmelsesvurderingsaktiviteter med den størst mulige faglige integritet og den nødvendige tekniske kompetence på det specifikke område og ikke påvirkes af nogen form for pression og incitament, som kan have indflydelse på deres afgørelser eller resultaterne af deres overensstemmelsesvurderingsaktiviteter, herunder pression og incitament af økonomisk art, særlig fra personer eller grupper af personer, som har en interesse i resultaterne af disse aktiviteter.
9.
Et overensstemmelsesvurderingsorgan skal kunne gennemføre alle de overensstemmelsesvurderingsopgaver, som det pålægges i henhold til denne forordning, uanset om disse opgaver udføres af overensstemmelsesvurderingsorganet selv eller på dets vegne og på dets ansvar. Enhver underentreprise eller høring af eksternt personale skal dokumenteres behørigt, må ikke omfatte mellemmænd og skal være genstand for en skriftlig aftale, som blandt andet dækker fortrolighed og interessekonflikter. Det pågældende overensstemmelsesvurderingsorgan skal påtage sig det fulde ansvar for de opgaver, der udføres.
10.
Et overensstemmelsesvurderingsorgan skal til enhver tid og for hver overensstemmelsesvurderingsprocedure og hver type, kategori eller underkategori af IKT-produkter, -tjenester eller -processer have følgende til rådighed i nødvendigt omfang:
a)
personale med teknisk viden og tilstrækkelig og relevant erfaring til at udføre overensstemmelsesvurderingsopgaverne
b)
beskrivelser af de procedurer, i overensstemmelse med hvilke overensstemmelsesvurdering skal foretages, for at sikre gennemsigtighed i og mulighed for at reproducere disse procedurer. Det skal have indført hensigtsmæssige politikker og procedurer, som skelner mellem de opgaver, som det udfører i sin egenskab af organ anmeldt i henhold til artikel 61, og dets andre aktiviteter
c)
procedurer, der sætter det i stand til at udføre sine aktiviteter under behørig hensyntagen til en virksomheds størrelse, den sektor, som den opererer inden for, og dens struktur, til graden af kompleksitet af det pågældende IKT-produkts, den pågældende IKT-tjenestes eller den pågældende IKT-proces teknologi og til fremstillingsprocessens karakter af masse- eller serieproduktion.
11.
Et overensstemmelsesvurderingsorgan skal have de fornødne midler til at udføre de tekniske og administrative opgaver i forbindelse med overensstemmelsesvurderingsaktiviteterne på en egnet måde og skal have adgang til alt nødvendigt udstyr og alle nødvendige faciliteter.
12.
De personer, som skal udføre overensstemmelsesvurderingsaktiviteterne, skal have:
a)
en solid teknisk og faglig uddannelse omfattende alle overensstemmelsesvurderingsaktiviteter
b)
et tilstrækkeligt kendskab til kravene vedrørende de overensstemmelsesvurderinger, de foretager, og den nødvendige bemyndigelse til at udføre sådanne vurderinger
c)
et tilstrækkeligt kendskab til og en tilstrækkelig forståelse af de gældende krav og prøvningsstandarder
d)
den nødvendige færdighed i at udarbejde de attester, redegørelser og rapporter, som dokumenterer, at overensstemmelsesvurderingerne er blevet foretaget.
13.
Der skal være garanti for uvildigheden af overensstemmelsesvurderingsorganerne, deres øverste ledelse, de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsaktiviteterne, og eventuelle underleverandører.
14.
Aflønningen af et overensstemmelsesvurderingsorgans øverste ledelse og af de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsaktiviteterne, må ikke afhænge af, hvor mange overensstemmelsesvurderinger det udfører, eller hvordan vurderingerne falder ud.
15.
Overensstemmelsesvurderingsorganer skal tegne en ansvarsforsikring, medmindre medlemsstaten er ansvarlig i henhold til sin nationale ret, eller medlemsstaten selv er direkte ansvarlig for overensstemmelsesvurderingen.
16.
Et overensstemmelsesvurderingsorgan og dets personale, udvalg, dattervirksomheder, underentreprenører og eventuelle tilknyttede organer eller personalet i et overensstemmelsesvurderingsorgans eksterne organer skal opretholde fortrolighed og har tavshedspligt med hensyn til alle oplysninger, de kommer i besiddelse af ved udførelsen af deres overensstemmelsesvurderingsopgaver i henhold til denne forordning eller enhver bestemmelse i national ret, som gennemfører denne forordning, undtagen hvis offentliggørelse kræves i henhold til EU-retten eller en medlemsstats ret, som sådanne personer er omfattet af, og undtagen over for de kompetente myndigheder i den medlemsstat, hvor aktiviteterne udføres. Intellektuelle ejendomsrettigheder skal beskyttes. Overensstemmelsesvurderingsorganet skal have indført dokumenterede procedurer for så vidt angår kravene i dette punkt.
17.
Med undtagelse af punkt 16 forhindrer kravene i dette bilag, at der udveksles tekniske oplysninger og reguleringsmæssig vejledning mellem et overensstemmelsesvurderingsorgan og en person, der ansøger om certificering, eller der overvejer at ansøge om certificering.
18.
Overensstemmelsesvurderingsorganer skal fungere i henhold til et sæt konsekvente, retfærdige og rimelige vilkår og betingelser under hensyntagen til interesserne for SMV'er for så vidt angår gebyrer.
19.
Overensstemmelsesvurderingsorganer skal opfylde kravene i den relevante standard, som er blevet harmoniseret i henhold til forordning (EF) nr. 765/2008 med henblik på akkrediteringen af overensstemmelsesvurderingsorganer, der foretager certificering af IKT-produkter, -tjenester eller -processer.
20.
Overensstemmelsesvurderingsorganer skal sikre, at prøvningslaboratorier, der anvendes til overensstemmelsesvurdering, opfylder kravene i den relevante standard, som er blevet harmoniseret i henhold til forordning (EF) nr. 765/2008 med henblik på akkrediteringen af laboratorier, der gennemfører prøvning.

Summary:
Forordningen om cybersikkerhed
RESUMÉ AF:
Forordning (EU) 2019/881 om Den Europæiske Unions Agentur for Cybersikkerhed og om cybersikkerhedscertificering af informations- og kommunikationsteknologi (forordningen om cybersikkerhed)
HVAD ER FORMÅLET MED FORORDNINGEN?
Forordning (EU) 2019/881 har til formål at opnå et højt niveau af 
cybersikkerhed
, cyberrobusthed og tillid i 
Den Europæiske Union
 (EU) ved at fastsætte:
mål, opgaver og organisatoriske forhold vedrørende et styrket og omdøbt 
Den Europæiske Unions Agentur for Cybersikkerhed
 med et nyt permanent mandat
en ramme for frivillige europæiske cybersikkerhedscertificeringsordninger for IKT-produkter, IKT-tjenester og IKT-processer samt administrerede sikkerhedstjenester.
HOVEDPUNKTER
ENISA’s 
mandat
 er at:
opnå et højt fælles niveau af cybersikkerhed i hele EU
støtte den nationale indsats og 
EU-institutioner
, organer, kontorer og 
agenturer 
i forbedringen af cybersikkerhed
tjene som referencepunkt for rådgivning og ekspertise om cybersikkerhed for Unionens institutioner, organer, kontorer og agenturer og for andre relevante interessenter
bidrage til at reducere fragmenteringen af det 
indre marked
handle uafhængigt, undgå overlap med nationale aktiviteter og tage hensyn til national ekspertise
udvikle sine egne ressourcer, herunder teknisk og menneskelig kapacitet.
ENISA’s 
opgaver
 er at:
hjælpe med at udvikle og gennemføre EU-politik og -lovgivning
fremme kapacitetsopbygningen, for eksempel gennem bedre forebyggelse, opdagelse og analyse af og reaktion på cybertrusler
1
 og ved at hjælpe med udviklingen af nationale 
enheder, der håndterer IT-sikkerhedshændelser
 (CSIRT’er) eller gennem organiseringen af cybersikkerhedsøvelser på EU-plan
støtte operationelt samarbejde blandt alle interessenter, herunder EU’s 
cybersikkerhedstjeneste for Unionens institutioner, organer, kontorer og agenturer
 (CERT-EU), ved hjælp af, navnlig, udveksling af knowhow og bedste praksis, levering af relevante retningslinjer og servicering af EU’s og de nationale CSIRT-netværk
støtte og fremme udviklingen og gennemførelsen af EU’s cybersikkerhedscertificering af IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester som en del af dets rolle i udarbejdelsen af ordninger under den nye 
europæiske ramme for cybersikkerhedscertificering
indsamle og analysere viden og information om cybersikkerhed, især f.eks. om nye teknologier, cybertrusler og -hændelser, at informere og rådgive nationale myndigheder, relevante interessenter og, via en særlig portal, offentligheden (borgere, organisationer og virksomheder)
øge offentlighedens bevidsthed om risiciene i forbindelse med cybersikkerhed og yde vejledning om god praksis for individuelle brugere samt fremme bevidstheden om og uddannelse i cybersikkerhed overordnet set
rådgive om forskningsbehov og -prioriteter samt bidrage til den strategiske forsknings- og innovationsdagsorden på EU-plan inden for cybersikkerhed
bidrage til EU’s indsats for at samarbejde om cybersikkerhed med internationale partnere og organisationer.
ENISA har følgende 
administrative og ledelsesmæssige struktur
.
Bestyrelsen
, med en repræsentant fra hver af EU’s 
medlemsstater
 og to medlemmer udpeget af 
Europa-Kommissionen
, som fastlægger overordnede retningslinjer for agenturets aktiviteter og sikrer, at agenturet udfører sine opgaver på betingelser, der sætter det i stand til at virke i overensstemmelse med oprettelsesforordningen.
Forretningsudvalget
 bestående af fem medlemmer, der forbereder de afgørelser, der skal vedtages af bestyrelsen.
En uafhængig 
administrerende direktør
, der står til ansvar for bestyrelsen og aflægger rapport til 
Europa-Parlamentet
 og 
Rådet for Den Europæiske Union
, når denne bliver bedt om det, og som er ansvarlig for forvaltningen af agenturet.
ENISA’s 
rådgivningsgruppe
 bestående af anerkendte eksperter fra relevante interessenter, såsom IKT-industrien, udbydere af elektroniske kommunikationsnet eller -tjenester, små og mellemstore virksomheder, forbrugere, akademikere og operatører af væsentlige tjenester samt repræsentanter for kompetente myndigheder, der er givet anmeldelse om i henhold til 
den europæiske kodeks for elektronisk kommunikation
, standardiseringsorganisationer, retshåndhævende myndigheder og databeskyttelsestilsynsmyndigheder, som fokuserer på spørgsmål, der er relevante for interessenter, og som forelægger dem for ENISA.
Netværket af nationale forbindelsesofficerer
 bestående af repræsentanter fra alle medlemsstater, som letter udvekslingen af oplysninger mellem ENISA og medlemsstaterne og støtter ENISA i at udbrede kendskabet til dets aktiviteter, resultater og anbefalinger.
Forordningen
 opretter følgende.
Cybersikkerhedscertificeringsgruppen for Interessenter
 bestående af anerkendte eksperter med henblik på blandt andet at rådgive Kommissionen om strategiske spørgsmål vedrørende EU’s ramme for cybersikkerhedscertificering og, på anmodning, rådgive ENISA om generelle og strategiske spørgsmål vedrørende agenturets relevante opgaver.
Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG)
 bestående af nationale repræsentanter, der skal rådgive og bistå Kommissionen i dens arbejde med at sikre en konsekvent gennemførelse og anvendelse af retsakten samt ENISA i forbindelse med udarbejdelsen af forslag til cybersikkerhedscertificeringsordninger.
ENISA
:
oprettes for en 
ubegrænset periode
 fra den 
27. juni 2019
virker i overensstemmelse med et samlet programmeringsdokument, der indeholder dets 
årlige og flerårige arbejdsprogram
følger Kommissionens sikkerhedsregler for at beskytte følsomme ikkeklassificerede oplysninger og EU-klassificerede oplysninger
videregiver ikke fortrolige oplysninger, som det behandler eller modtager, til tredjemand
deltager fuldt ud i EU-foranstaltninger for at bekæmpe bedrageri, korruption og andre ulovlige aktiviteter
behandler personoplysninger i overensstemmelse med de respektive EU-regler.
Med forordningen fastsættes en 
europæisk ramme for cybersikkerhedscertificering
 med henblik på at:
forbedre funktionen af det indre marked ved at øge cybersikkerhedsniveauet i EU og muliggøre en harmoniseret tilgang på EU-plan til europæiske cybersikkerhedscertificeringsordninger for at skabe et digitalt indre marked for IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester.
oprette en mekanisme til fastlæggelse af europæiske cybersikkerhedscertificeringsordninger, der bekræfter, at IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester, der er blevet evalueret i overensstemmelse med sådanne ordninger, opfylder de fastlagte sikkerhedskrav for at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af lagrede, overførte eller behandlede data eller funktioner eller tjenester, der tilbydes af eller er tilgængelige via disse produkter, tjenester og processer i hele deres livscyklus.
I henhold til rammen:
Kommissionen:
offentliggør et rullende EU-arbejdsprogram for europæisk cybersikkerhedscertificering, som opstiller strategiske prioriteter og IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester eller kategorier, der kunne drage fordel af en ordning
kan anmode ENISA om at udarbejde en kandidatcertificeringsordning eller gennemgå en eksisterende
ENISA:
udarbejder egnede udkast til ordninger på anmodning af Kommissionen eller Den Europæiske Cybersikkerhedscertificeringsgruppe
evaluerer hver vedtaget certificeringsordning hvert femte år under hensyntagen til den modtagne feedback
vedligeholder et dedikeret websted, der oplyser om ordningerne, attesterne og overensstemmelseserklæringerne.
De 
frivillige europæiske cybersikkerhedscertificeringsordninger
:
tilstræber at nå forskellige sikkerhedsmål, f.eks. beskytte lagrede, overførte og behandlede data
betegner sikkerhedsniveauet for IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester som grundlæggende, betydeligt eller højt
giver producenter og udbydere af IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester med lav risiko (dvs. grundlæggende) mulighed for selv at vurdere disse (selvvurdering af overensstemmelse)
skal indeholde visse funktioner, f.eks. beskrivelser af formål, genstanden og anvendelsesområdet samt de anvendte evalueringskriterier og -metoder
erstatter tilsvarende nationale ordninger, selv om disse attester forbliver gyldige indtil udløbsdatoen.
Producenter og udbydere af IKT-produkter, IKT-tjenester, IKT-processer og administrerede sikkerhedstjenester
 skal offentliggøre:
vejledninger og anbefalinger for at bistå slutbrugere med installation, ibrugtagning, drift og vedligeholdelse af deres produkter eller -tjenester
oplysninger om hvor længe de tilbyder sikkerhedssupport
deres kontaktoplysninger
en henvisning til onlineregistre med oplysninger om kendte cybersikkerhedsproblemer, der berører deres produkter eller tjenester.
Medlemsstaterne
 udnævner en eller flere 
nationale cybersikkerhedscertificeringsmyndigheder
 med tilstrækkelige ressourcer og beføjelser til at føre tilsyn med og håndhæve reglerne vedrørende de Europæiske Cybersikkerhedscertificeringsordninger.
Kommissionen
:
vurderer regelmæssigt effektiviteten og brugen af de vedtagne certificeringsordninger og overvejer, om en ordning skal gøres obligatorisk
skulle fuldføre den første detaljerede vurdering senest den 
31. december 2023
 og derefter hvert andet år
skulle evaluere ENISA’s virkning og effektivitet senest den 
28. juni 2024
 og hvert femte år derefter.
Enkeltpersoner og juridiske enheder har 
ret til at indgive klage
 til udstederen af en europæisk cybersikkerhedsattest og har 
ret til effektive retsmidler
.
Ændring — administrerede sikkerhedstjenester
I december 2024 blev forordning (EU) 
2025/37
 om ændring af forordningen for så vidt angår administrerede sikkerhedstjenester vedtaget. Denne målrettede ændring indfører 
definitionen af administrerede sikkerhedstjenester
 og 
udvider anvendelsesområdet for den
 
europæiske ramme for cybersikkerhedscertificering
 ved at inkludere administrerede sikkerhedstjenester. Som følge heraf udvider den også 
ENISA’s mandat og opgaver
 med hensyn til administrerede sikkerhedstjenester.
Forordning (EU) 2025/37 blev offentliggjort i 
Den Europæiske Unions Tidende
 den 
15. januar 2025
 og trådte i kraft den 
4. februar 2025
.
Anmeldelser af overensstemmelsesvurderingsorganer
I december 2024 vedtog Kommissionen gennemførelsesforordning (EU) 
2024/3143
 om anmeldelser i henhold til artikel 61, stk. 5, i forordningen om cybersikkerhed. 
Gennemførelsesretsakten
 fastlægger vilkår, formater og procedurer for 
anmeldelser af overensstemmelsesvurdering
sorganer på tværs af de europæiske cybersikkerhedscertificeringsordninger via NANDO-informationssystemet. Den præciserer også de omstændigheder, under hvilke der skal foretages ændringer i anmeldelsen, og på grundlag af hvilke de bemyndigede overensstemmelsesvurderingsorganers kompetence kan anfægtes.
Gennemførelsesforordning (EU) 2024/3143 blev offentliggjort i Den Europæiske Unions Tidende den 
19. december 2024
 og trådte i kraft den 
8. januar 2025
.
Den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC)
I januar 2024 vedtog Kommissionen gennemførelsesforordning (EU) 
2024/482
 (se 
resumé
). Denne retsakt fastsætter regler for anvendelsen af forordning (EU) 2019/881 med hensyn til vedtagelse af den frivillige 
europæiske fælles kriteriebaserede cybersikkerhedscertificeringsordning (EUCC)
. Dette er den første ordning på EU-plan og omhandler certifikater på væsentlige eller høje tillidsniveauer for IKT-produkter, såsom hardware og software, herunder komponenter såsom chips og smartkort. Forordningen indeholder detaljerede regler for aspekter som:
standarder og krav til evaluering af og udstedelse, fornyelse og tilbagetrækning af EUCC-certifikater for produkter og beskyttelsesprofiler
overensstemmelsesvurderingsorganer, der er akkrediteret til at udstede certifikater eller udføre evalueringsaktiviteter
overvågning af overholdelse, manglende overensstemmelse og manglende overholdelse
sårbarhedshåndtering og oplysningsprocedurer
opbevaring af optegnelser, videregivelse og beskyttelse af oplysninger
gensidige anerkendelsesaftaler med ikke-EU-lande
interkollegial evaluering af certificeringsorganer
vedligeholdelse af ordningerne, og
national informationssikkerheds certificering ordninger indenfor EUCC.
EUCC-gennemførelsesforordningen trådte i kraft den 
27. februar 2025
.
Forordning (EU) 2019/881 og dens tilhørende gennemførelsesforordning påvirker ikke medlemsstaternes ansvar for 
offentlig sikkerhed, forsvar, national sikkerhed eller strafferet
.
Forordningen ophæver forordning (EU) nr. 
526/2013
 pr. den 
27. juni 2019
.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen trådte i kraft den 
27. juni 2019
.
Artikler om udpegning af nationale cybersikkerhedsmyndigheder, akkreditering og anmeldelse af overensstemmelsesvurderingsorganer, om retten til at indgive klager til udstedere af europæiske cybersikkerhedscertifikater, om retten til retsmidler og om sanktioner trådte i kraft den 
28. juni 2021
.
BAGGRUND
ENISA, der er beliggende i Athen og har en filial i Heraklion, har bidraget til EU’s netværk og informationssikkerhed siden 2004.
For yderligere oplysninger henvises til:
Hvad vi laver
 (ENISA)
Hvad er EU-cybersikkerhedscertificering?
 (ENISA)
Cybersikkerhedspolitikker
 (Europa-Kommissionen).
VIGTIGE BEGREBER
Cybertrussel.
 Enhver potentiel omstændighed, begivenhed eller handling, som kan skade, forstyrre eller på anden måde have en negativ indvirkning på net- og informationssystemer, brugerne af sådanne systemer og andre personer.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2019/881
 af 
17. april 2019
 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (EUT L 151 af 
7.6.2019
, s. 15).
Efterfølgende ændringer til forordning (EU) 2019/881 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2025/37
 af 
19. december 2024
 om ændring af forordning (EU) 2019/881 for så vidt angår administrerede sikkerhedstjenester (EUT L, 2025/37, 
15.1.2025
).
Kommissionens gennemførelsesforordning (EU) 
2024/3143
 af 
18. december 2024
 om fastlæggelse af vilkår, formater og procedurer for anmeldelser i henhold til artikel 61, stk. 5, i Europa-Parlamentets og Rådets forordning (EU) 2019/881 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed) og om cybersikkerhedscertificering af informations- og kommunikationsteknologi (EUT L, 2024/3143, 
19.12.2024
).
Kommissionens gennemførelsesforordning (EU) 
2024/482
 af 
31. januar 2024
 om regler for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) 2019/881 for så vidt angår vedtagelsen af den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC) (EUT L, 2024/482, 
7.2.2024
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1725
 af 
23. oktober 2018
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 
21.11.2018
, s. 39).
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, s. 1).
Se den 
konsoliderede udgave
.
seneste ajourføring 
18.3.2025