18.6.2013   

FR

Journal officiel de l'Union européenne

L 165/41

(1)

Les communications, infrastructures et services électroniques sont des facteurs clés, directement et indirectement, du développement de l’économie et de la société. Ils jouent un rôle essentiel pour la société, sont devenus eux-mêmes des services tout aussi omniprésents que l’approvisionnement en électricité ou en eau et constituent également des facteurs vitaux dans la fourniture d’électricité, d’eau et d’autres services essentiels. Les réseaux de communication fonctionnent comme des catalyseurs pour la société et l’innovation dès lors qu’ils multiplient l’impact de la technologie et influencent les habitudes des consommateurs, les modèles commerciaux, les entreprises, ainsi que la citoyenneté et la participation à la vie politique. Toute perturbation de ces services peut causer des dommages physiques, sociaux et économiques considérables, d’où l’importance de mesures de protection et de résilience accrues visant à assurer la continuité des services essentiels. La sécurité des communications, infrastructures et services électroniques, en particulier leur intégrité, leur disponibilité et leur confidentialité, fait face à des défis toujours plus nombreux, qui touchent notamment aux composants individuels des infrastructures de communication et aux logiciels contrôlant ces composants, aux infrastructures dans leur ensemble et aux services fournis grâce à ces infrastructures. C’est un sujet de préoccupation croissante pour la société, notamment parce que des problèmes pourraient se poser en raison de la complexité des systèmes, d’un dysfonctionnement, d’une faille du système, d’un accident, d’une erreur ou d’une attaque, susceptibles d’avoir des répercussions sur l’infrastructure physique et électronique qui fournit des services essentiels au bien-être des européens.

(2)

La nature de la menace évolue constamment et les incidents de sécurité peuvent ébranler la confiance que les utilisateurs ont dans les technologies, les réseaux et les services, affectant de la sorte leur capacité à exploiter tout le potentiel du marché intérieur et l’utilisation généralisée des technologies de l’information et de la communication (TIC).

(3)

Il est donc important pour les décideurs, les entreprises et les utilisateurs que la situation en matière de sécurité des réseaux et de l’information dans l’Union soit régulièrement évaluée à partir de données de l’Union fiables et d’une anticipation systématique des évolutions, défis et menaces futurs tant au niveau de l’Union qu’au niveau mondial.

(4)

Par la décision 2004/97/CE, Euratom (3), adoptée lors du Conseil européen du 13 décembre 2003, les représentants des États membres ont décidé que l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), qui devait être instituée sur la base de la proposition soumise par la Commission, aurait son siège dans une ville en Grèce que le gouvernement grec désignera. À la suite de cette décision, le gouvernement grec a choisi la ville d’Héraklion, en Crète, pour accueillir le siège de l’ENISA.

(5)

Le 1er avril 2005, un accord de siège a été conclu entre l’Agence et l’État membre d’accueil.

(6)

L’État membre d’accueil de l’Agence devrait offrir les meilleures conditions possibles pour un fonctionnement harmonieux et efficace de l’Agence. Il est impératif, pour l’accomplissement correct et efficace de ses missions, pour le recrutement et la fidélisation du personnel et pour une plus grande efficacité des activités de mise en réseau, que l’Agence soit établie dans un lieu approprié, offrant, entre autres, des liaisons de transport et des aménagements appropriés pour les conjoints et enfants accompagnant les membres du personnel de l’Agence. Les dispositions nécessaires devraient être arrêtées dans un accord conclu, après approbation du conseil d’administration de l’Agence, entre l’Agence et l’État membre d’accueil.

(7)

Afin d’améliorer son efficacité opérationnelle, l’Agence a installé une antenne dans la zone métropolitaine d’Athènes, qui devrait être maintenue avec l’accord et le soutien de l’État membre d’accueil et qui devrait accueillir le personnel opérationnel de l’Agence. Le personnel principalement affecté à l’administration de l’Agence (y compris le directeur exécutif), aux questions financières, à la recherche et à l’analyse documentaires, à la gestion de l’informatique et des infrastructures, aux ressources humaines, à la formation, ainsi qu’aux communications et aux affaires publiques, devrait être basé à Héraklion.

(8)

L’Agence a le droit de décider de sa propre organisation de manière à assurer l’accomplissement correct et efficace de ses missions, dans le respect des dispositions relatives au siège et à l’antenne d’Athènes arrêtées dans le présent règlement. En particulier, en vue d’accomplir les missions qui impliquent une interaction avec des parties prenantes essentielles telles que les institutions de l’Union, l’Agence devrait prendre les dispositions pratiques nécessaires pour renforcer cette efficacité opérationnelle.

(9)

En 2004, le Parlement européen et le Conseil ont adopté le règlement (CE) no 460/2004 (4) instituant l’ENISA en vue de contribuer à la réalisation des objectifs visant à assurer un niveau élevé de sécurité des réseaux et de l’information au sein de l’Union et à favoriser l’émergence d’une culture de la sécurité des réseaux et de l’information dans l’intérêt des citoyens, des consommateurs, des entreprises et des administrations publiques. En 2008, le Parlement européen et le Conseil ont adopté le règlement (CE) no 1007/2008 (5) prolongeant le mandat de l’Agence jusqu’en mars 2012. Le règlement (CE) no 580/2011 (6) prolonge le mandat de l’Agence jusqu’au 13 septembre 2013.

(10)

L’Agence devrait succéder à l’ENISA, instituée par le règlement (CE) no 460/2004. Dans le cadre de la décision prise par les représentants des États membres réunis au Conseil européen du 13 décembre 2003, l’État membre d’accueil devrait maintenir et continuer à développer les modalités pratiques actuelles en vue de garantir le fonctionnement harmonieux et efficace de l’Agence, y compris de son antenne à Athènes, et faciliter l’engagement et la fidélisation de personnel hautement qualifié.

(11)

Depuis que l’ENISA a été instituée, les défis en matière de sécurité des réseaux et de l’information ont changé en fonction des évolutions technologiques, commerciales et socio-économiques, et ont fait l’objet de réflexions et de débats approfondis. En réponse aux défis toujours nouveaux, l’Union a revu les priorités de sa politique en matière de sécurité des réseaux et de l’information. Le présent règlement vise à renforcer l’Agence pour contribuer avec succès aux efforts des États membres et des institutions de l’Union visant à mettre en place, en Europe, des moyens permettant de relever les défis de la sécurité des réseaux et de l’information.

(12)

Dans le domaine de la sécurité des communications électroniques et, plus généralement, de la sécurité des réseaux et de l’information, les mesures relatives au marché intérieur nécessitent l’adoption de différentes modalités d’application techniques et organisationnelles par les institutions de l’Union et les États membres. L’application hétérogène de ces exigences peut conduire à des pertes d’efficacité et créer des obstacles au marché intérieur. Il est donc nécessaire de créer, au niveau de l’Union, un centre d’expertise chargé de fournir des indications, des conseils et une assistance concernant les questions liées à la sécurité des réseaux et de l’information, sur lequel les institutions de l’Union et les États membres peuvent compter. L’Agence peut répondre à ces besoins en acquérant et en conservant un niveau élevé de compétences spécialisées et en assistant les institutions de l’Union, les États membres et le secteur des entreprises en vue de les aider à satisfaire aux exigences légales et réglementaires en matière de sécurité des réseaux et de l’information, et de déterminer et résoudre les questions de sécurité des réseaux et de l’information, contribuant ainsi au bon fonctionnement du marché intérieur.

(13)

L’Agence devrait exécuter les tâches qui lui sont confiées en vertu des actes juridiques de l’Union dans le domaine des communications électroniques et, en général, contribuer à améliorer le niveau de sécurité des communications électroniques et le niveau de protection de la vie privée et des données à caractère personnel, notamment en mettant à disposition des compétences spécialisées, en fournissant des conseils et en promouvant l’échange des meilleures pratiques ainsi qu’en formulant des propositions quant aux politiques à mener.

(14)

La directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive «cadre») (7) exige que les fournisseurs de réseaux publics de communications électroniques ou de services de communications électroniques accessibles au public prennent les mesures appropriées pour assurer leur intégrité et sécurité et impose aux autorités réglementaires nationales, le cas échéant, d’informer entre autres l’Agence de toute atteinte à la sécurité ou perte d’intégrité ayant eu un impact significatif sur le fonctionnement des réseaux ou services, ainsi que de soumettre à la Commission et à l’Agence un rapport annuel succinct sur les notifications reçues et l’action engagée. La directive 2002/21/CE invite également l’Agence à contribuer à l’harmonisation de mesures techniques et organisationnelles appropriées en matière de sécurité en formulant des avis.

(15)

La directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (8) exige que les fournisseurs de services de communications électroniques accessibles au public prennent les mesures techniques et organisationnelles appropriées pour assurer la sécurité de leurs services et requiert également que la confidentialité des communications et des données relatives au trafic y afférentes soit préservée. La directive 2002/58/CE instaure pour les fournisseurs de services de communications électroniques des exigences en matière d’information et de notification des violations des données à caractère personnel. Elle exige aussi de la Commission de consulter l’Agence sur toute mesure technique d’application à adopter concernant les circonstances, le format et les procédures applicables aux exigences en matière d’information et de notification. La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (9) exige des États membres de veiller à ce que le responsable du traitement mette en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite ou la perte accidentelle, l’altération, la divulgation ou l’accès non autorisés, notamment lorsque le traitement implique la transmission de données par un réseau, ainsi que contre toute autre forme de traitement illicite.

(16)

L’Agence devrait contribuer à un niveau élevé de sécurité des réseaux et de l’information, à l’amélioration de la protection de la vie privée et de la protection des données à caractère personnel ainsi qu’à l’émergence et à la promotion d’une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, prenant part ainsi au bon fonctionnement du marché intérieur. Pour atteindre cet objectif, il y a lieu d’allouer les crédits budgétaires nécessaires à l’Agence.

(17)

Considérant l’importance croissante des réseaux et communications électroniques, qui forment désormais la base de l’économie européenne, et l’étendue réelle de l’économie numérique, il importe d’accroître les ressources budgétaires et humaines allouées à l’Agence afin de refléter le renforcement de son rôle et de ses missions ainsi que sa position stratégique dans la défense de l’écosystème numérique européen.

(18)

L’Agence devrait servir de point de référence et instaurer la confiance du fait de son indépendance, de la qualité des conseils fournis et des informations diffusées, de la transparence de ses procédures et modes de fonctionnement, et de sa diligence à exécuter ses tâches. L’Agence devrait s’appuyer sur les efforts déployés aux niveaux national et de l’Union et par conséquent exécuter ses tâches en totale coopération avec les institutions, organes et organismes de l’Union et les États membres et être ouverte à tout contact avec les entreprises et d’autres parties prenantes concernées. De plus, l’Agence devrait s’appuyer sur les informations fournies par le secteur privé et travailler en coopération avec celui-ci, le secteur privé jouant un rôle important dans la sécurisation des communications, infrastructures et services électroniques.

(19)

Un ensemble de tâches devrait indiquer à l’Agence la manière d’atteindre ses objectifs tout en lui laissant une certaine souplesse de fonctionnement. Au nombre des tâches exécutées par l’Agence devrait figurer la collecte des informations et données nécessaires à l’analyse des risques pour la sécurité et la résilience des communications, infrastructures et services électroniques et à l’évaluation, en coopération avec les États membres, la Commission et, le cas échéant, les parties prenantes concernées, de la situation en matière de sécurité des réseaux et de l’information dans l’Union. L’Agence devrait assurer la coordination et la collaboration avec les institutions, organes et organismes de l’Union et les États membres et renforcer la coopération entre les parties prenantes en Europe, notamment en faisant participer à ses activités les organismes nationaux et de l’Union compétents et des experts de haut niveau du secteur privé dans les domaines concernés, en particulier les fournisseurs de réseaux et de services de communications électroniques, les fabricants d’équipements de réseau et les vendeurs de logiciels, en tenant compte du fait que les réseaux et systèmes d’information comprennent des combinaisons de matériel, de logiciels et de services. L’Agence devrait prêter assistance aux institutions de l’Union et aux États membres dans leur dialogue avec les entreprises pour traiter les problèmes liés à la sécurité que posent les matériels et logiciels, contribuant ainsi à une approche concertée de la sécurité des réseaux et de l’information.

(20)

Les stratégies en matière de sécurité des réseaux et de l’information rendues publiques par une institution, un organe ou un organisme de l’Union ou un État membre devraient être communiquées à l’Agence pour informer celle-ci et éviter les doubles emplois. L’Agence devrait analyser les stratégies et promouvoir leur présentation dans un format facilitant leur comparabilité. Elle devrait mettre les stratégies et ses analyses à la disposition du public par des moyens électroniques.

(21)

L’Agence devrait assister la Commission sous la forme de conseils, d’avis et d’analyses sur toutes les questions de l’Union liées à l’élaboration de la politique en matière de sécurité des réseaux et de l’information, y compris en ce qui concerne la protection des infrastructures d’information critiques et la résilience. L’Agence devrait aussi assister les institutions, organes et organismes de l’Union et, le cas échéant, à leur demande, les États membres, dans leurs efforts pour mettre en place une politique et des moyens en matière de sécurité des réseaux et de l’information.

(22)

L’Agence devrait prendre pleinement en compte les activités en cours en matière de recherche, de développement et d’évaluation technologique, et plus particulièrement celles menées dans le cadre des différentes initiatives de recherche de l’Union, pour fournir des conseils aux institutions, organes et organismes de l’Union et, le cas échéant, à leur demande, aux États membres sur les besoins en matière de recherche dans le domaine de la sécurité des réseaux et de l’information.

(23)

L’Agence devrait assister les institutions, organes et organismes de l’Union ainsi que les États membres dans leurs efforts pour mettre en place et développer des moyens et une préparation transfrontaliers afin de prévenir les problèmes et incidents de sécurité des réseaux et de l’information, de les détecter et d’y faire face. À cet égard, l’Agence devrait faciliter la coopération entre les États membres et entre la Commission et les autres institutions, organes et organismes de l’Union et les États membres. À cette fin, l’Agence devrait soutenir les États membres dans leurs efforts continus pour développer leurs moyens d’intervention et pour organiser et réaliser des exercices européens et, à la demande d’un État membre, nationaux concernant des incidents de sécurité.

(24)

Pour mieux comprendre les défis dans le domaine de la sécurité des réseaux et de l’information, l’Agence doit analyser les risques actuels et émergents. À cet effet, l’Agence devrait, en coopération avec les États membres et, le cas échéant, les instituts de statistiques et d’autres organismes, recueillir des informations pertinentes. En outre, l’Agence devrait assister les institutions, organes et organismes de l’Union et les États membres dans leurs efforts pour recueillir, analyser et diffuser des données sur la sécurité des réseaux et de l’information. La collecte des informations et données statistiques appropriées nécessaires à l’analyse des risques pour la sécurité et la résilience des communications, infrastructures et services électroniques devrait s’effectuer sur la base des informations fournies par les États membres et du point de vue de l’Agence en ce qui concerne les infrastructures TIC des institutions de l’Union conformément aux dispositions de l’Union et aux dispositions nationales arrêtées dans le respect du droit de l’Union. Sur la base de ces informations, l’Agence devrait se tenir informée en permanence de l’état le plus actualisé de la sécurité des réseaux et de l’information ainsi que des tendances observées en la matière dans l’Union, dans l’intérêt des institutions, organes et organismes de l’Union et des États membres.

(25)

Dans l’accomplissement de ses tâches, l’Agence devrait faciliter la coopération entre l’Union et les États membres afin de sensibiliser à la situation en matière de sécurité des réseaux et de l’information dans l’Union.

(26)

L’Agence devrait faciliter la coopération entre les autorités réglementaires indépendantes compétentes des États membres, notamment en favorisant la mise au point, la promotion et l’échange des meilleures pratiques et de normes pour des programmes éducatifs et de sensibilisation. Une intensification des échanges d’informations entre les États membres facilitera cette action. L’Agence devrait contribuer à sensibiliser les utilisateurs individuels des communications, infrastructures et services électroniques, y compris en aidant les États membres, lorsqu’ils ont choisi d’utiliser la plate-forme d’informations d’intérêt public prévue dans la directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques (directive «service universel») (10), à produire des informations utiles d’intérêt public concernant la sécurité des réseaux et de l’information, et en aidant également à élaborer ces informations, qui doivent être jointes lors de la fourniture de nouveaux appareils destinés à être utilisés sur des réseaux publics de communications. L’Agence devrait aussi favoriser la coopération entre les parties prenantes au niveau de l’Union, en particulier par la promotion du partage d’informations, des campagnes de sensibilisation et des programmes éducatifs et de formation.

(27)

L’Agence devrait aider, entre autres, les institutions, organes et organismes de l’Union concernés et les États membres lors de campagnes publiques d’éducation à destination des utilisateurs finaux, en vue de promouvoir une navigation en ligne plus sûre pour tous et de sensibiliser aux dangers potentiels du cyberespace, y compris la cybercriminalité telle que les hameçonnages, réseaux zombies, fraudes financières et bancaires, et de donner des conseils de base en matière d’authentification et de protection des données.

(28)

Pour pouvoir atteindre pleinement ses objectifs, l’Agence devrait assurer la liaison avec les organismes concernés, notamment ceux traitant de la cybercriminalité, comme Europol, et les autorités chargées du respect de la vie privée, pour échanger savoir-faire et meilleures pratiques ainsi que pour fournir des conseils sur les aspects liés à la sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs activités. L’Agence devrait avoir pour but de créer des synergies entre les efforts de ces organismes et les siens visant à promouvoir l’amélioration de la sécurité des réseaux et de l’information. Les représentants des autorités nationales et des autorités de l’Union chargées de l’application de la loi et du respect de la vie privée devraient pouvoir être représentés au sein du groupe permanent des parties prenantes de l’Agence. Dans ses relations avec les organismes chargés de l’application de la loi concernant les questions de sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs activités, l’Agence devrait utiliser les canaux d’information existants et les réseaux établis.

(29)

La Commission a lancé un partenariat public-privé européen pour la résilience, qui a pris la forme d’une plate-forme de coopération souple à l’échelle de l’Union pour la résilience des infrastructures TIC, dans laquelle l’Agence devrait jouer un rôle de facilitateur consistant à réunir les parties prenantes pour qu’elles discutent des priorités de politique générale, des aspects économiques et commerciaux des défis et des mesures en faveur de la résilience des TIC.

(30)

Pour promouvoir la sécurité des réseaux et de l’information ainsi que sa visibilité, l’Agence devrait faciliter la coopération entre les organismes publics compétents des États membres, notamment en favorisant la mise en place et l’échange des meilleures pratiques et de programmes de sensibilisation ainsi qu’en renforçant leurs actions d’information. L’Agence devrait aussi soutenir la coopération entre les parties prenantes et les institutions de l’Union, en partie par la promotion du partage d’informations et des activités de sensibilisation.

(31)

Pour rehausser le niveau de sécurité des réseaux et de l’information dans l’Union, l’Agence devrait favoriser la coopération et l’échange d’informations et des meilleures pratiques entre les organismes concernés, tels que les équipes de réaction aux incidents touchant la sécurité informatique (CSIRT) et les équipes d’intervention en cas d’urgence informatique (CERT).

(32)

Un système de CERT fonctionnelles au niveau de l’Union devrait être une pierre angulaire des infrastructures de sécurité des réseaux et de l’information de l’Union. L’Agence devrait aider les CERT des États membres et la CERT de l’Union à assurer le fonctionnement d’un réseau de CERT, comprenant les membres du groupe des CERT gouvernementales européennes. Afin de contribuer à assurer que toutes les CERT disposent de capacités suffisamment avancées et que ces capacités correspondent, autant que possible, à celles des CERT les plus avancées, l’Agence devrait promouvoir la mise en place et le fonctionnement d’un système d’évaluation par les pairs. En outre, l’Agence devrait promouvoir et soutenir la coopération entre les CERT concernées en cas d’incidents, d’attaques ou de perturbations sur les réseaux ou infrastructures dont les CERT assurent la gestion ou la protection et impliquant, ou susceptibles d’impliquer, au moins deux CERT.

(33)

Des politiques de sécurité des réseaux et de l’information efficaces devraient reposer sur des méthodes d’évaluation des risques bien élaborées, dans le secteur public comme dans le secteur privé. Les méthodes et procédures d’évaluation des risques sont utilisées à différents niveaux et il n’existe pas de pratiques communes en ce qui concerne leur application efficace. La promotion et le développement des meilleures pratiques en matière d’évaluation des risques et de solutions interopérables de gestion des risques dans les organisations des secteurs public et privé rehausseront le niveau de sécurité des réseaux et systèmes d’information dans l’Union. À cette fin, l’Agence devrait favoriser la coopération entre parties prenantes au niveau de l’Union, en contribuant à leurs efforts concernant l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité mesurable des produits, systèmes, réseaux et services électroniques, lesquels, conjointement avec les logiciels, constituent les réseaux et systèmes d’information.

(34)

Le cas échéant, pour autant que cela soit utile à la réalisation de ses objectifs et de ses tâches, l’Agence devrait partager expérience et informations générales avec les institutions, organes et organismes de l’Union traitant de la sécurité des réseaux et de l’information. L’Agence devrait contribuer, au niveau de l’Union, à identifier les priorités en matière de recherche dans les domaines de la résilience du réseau et de la sécurité du réseau et des informations, ainsi qu’à fournir des informations sur les besoins des entreprises aux instituts de recherche concernés.

(35)

L’Agence devrait encourager les États membres et les fournisseurs de services à renforcer leurs normes de sécurité générales, de manière que tous les utilisateurs d’internet prennent les mesures nécessaires pour garantir leur propre cybersécurité.

(36)

Les questions de sécurité des réseaux et de l’information sont des problèmes de dimension mondiale. Il est nécessaire de renforcer la coopération internationale pour améliorer les normes de sécurité, y compris en définissant des normes de comportement et codes de conduite communs, et en partageant les informations, en encourageant une collaboration internationale plus prompte en réponse aux problèmes de sécurité des réseaux et de l’information ainsi qu’une approche globale commune de ces problèmes. À cette fin, l’Agence devrait soutenir la poursuite de l’engagement et de la coopération de l’Union avec les pays tiers et les organisations internationales en mettant, le cas échéant, les compétences et l’analyse nécessaires au service des institutions, organes et organismes de l’Union concernés.

(37)

L’Agence devrait fonctionner conformément au principe de subsidiarité, en garantissant un degré adéquat de coordination entre les États membres sur les questions de sécurité des réseaux et de l’information, en améliorant l’efficacité des politiques nationales et en leur donnant donc une valeur ajoutée, et conformément au principe de proportionnalité, en n’excédant pas ce qui est nécessaire pour atteindre les objectifs fixés dans le présent règlement. Dans l’exécution de ses tâches, l’Agence devrait renforcer les compétences, non leur porter atteinte, et ne devrait ni retirer, entraver ou empiéter sur les pouvoirs et les tâches des autorités réglementaires nationales prévus dans les directives relatives aux réseaux et services de communications électroniques ainsi que sur ceux de l’Organe des régulateurs européens des communications électroniques (ORECE) institué par le règlement (CE) no 1211/2009 (11) et du comité des communications visé dans la directive 2002/21/CE, des organismes européens de normalisation, des organismes nationaux de normalisation et du comité permanent prévus dans la directive 98/34/CE (12) et des autorités de contrôle indépendantes des États membres prévus dans la directive 95/46/CE.

(38)

Il convient de mettre en œuvre certains principes en ce qui concerne la gouvernance de l’Agence afin de se conformer à la déclaration conjointe et à l’approche commune adoptées par le groupe de travail interinstitutionnel sur les agences décentralisées de l’Union en juillet 2012, le but de cette déclaration et de cette approche étant de rationaliser les activités des agences et d’améliorer leur efficacité.

(39)

La déclaration conjointe et l’approche commune devraient également se refléter, le cas échéant, dans les programmes de travail, les évaluations, ainsi que les pratiques en matière d’établissement des rapports et les pratiques administratives de l’Agence.

(40)

Pour assurer le bon fonctionnement de l’Agence, la Commission et les États membres devraient veiller à ce que les personnes désignées au conseil d’administration soient dotées de compétences professionnelles appropriées. La Commission et les États membres devraient s’efforcer de limiter le roulement de leurs représentants respectifs dans le conseil d’administration, afin de garantir la continuité des travaux de ce dernier.

(41)

Il est essentiel que l’Agence établisse et entretienne une réputation d’impartialité, d’intégrité et de normes professionnelles élevées. En conséquence, le conseil d’administration devrait adopter des règles exhaustives en matière de prévention et de gestion des conflits d’intérêts, couvrant l’ensemble de l’Agence.

(42)

Vu la situation particulière de l’Agence et les défis difficiles auxquels elle se trouve confrontée, sa structure organisationnelle devrait être simplifiée et renforcée, pour assurer une plus grande efficacité et efficience. Il y a donc lieu, entre autres, d’instituer un conseil exécutif pour permettre au conseil d’administration de se concentrer sur les questions d’importance stratégique.

(43)

Le conseil d’administration devrait désigner un comptable conformément aux règles adoptées au titre du règlement (UE, Euratom) no 966/2012 (13) (ci-après dénommé «règlement financier»).

(44)

Afin d’assurer l’efficacité de l’Agence, les États membres et la Commission devraient être représentés au sein du conseil d’administration chargé de fixer l’orientation générale du fonctionnement de l’Agence et de veiller à ce qu’elle exécute ses tâches conformément au présent règlement. Le conseil d’administration devrait être doté des pouvoirs nécessaires pour établir le budget, vérifier son exécution, adopter les règles financières appropriées, instaurer des procédures de travail transparentes pour la prise de décisions par l’Agence, adopter le programme de travail de l’Agence, son propre règlement intérieur et les règles internes de fonctionnement de l’Agence, nommer le directeur exécutif, décider de la prolongation du mandat du directeur exécutif après avoir reçu le point de vue du Parlement européen et décider de l’expiration dudit mandat. Le conseil d’administration devrait créer un conseil exécutif pour l’assister dans ses tâches administratives et budgétaires.

(45)

Le bon fonctionnement de l’Agence exige que le directeur exécutif de celle-ci soit nommé sur la base de son mérite et de ses capacités attestées dans le domaine de l’administration et de la gestion, ainsi que de ses compétences et de son expérience pertinentes en matière de sécurité des réseaux et de l’information, et qu’il exerce ses fonctions en toute indépendance quant à l’organisation du fonctionnement interne de l’Agence. À cette fin, le directeur exécutif devrait élaborer une proposition de programme de travail pour l’Agence, après consultation préalable de la Commission, et prendre toutes les mesures nécessaires pour garantir la bonne exécution de ce programme de travail. Le directeur exécutif devrait préparer un rapport annuel à soumettre au conseil d’administration, établir un projet d’état prévisionnel des recettes et des dépenses de l’Agence et exécuter le budget.

(46)

Le directeur exécutif devrait avoir la possibilité de créer des groupes de travail ad hoc pour traiter des questions spécifiques, en particulier de nature scientifique, technique, juridique ou socio-économique. Lors de la création de groupes de travail ad hoc, le directeur exécutif devrait recueillir et prendre en compte les avis des experts externes concernés nécessaires pour permettre à l’Agence d’avoir accès aux informations disponibles les plus récentes concernant les défis que pose, en matière de sécurité, l’évolution de la société de l’information. Le directeur exécutif devrait veiller à ce que les membres des groupes de travail ad hoc soient sélectionnés selon les critères de compétence les plus élevés, compte dûment tenu de la nécessité d’assurer une représentation équilibrée, en fonction des questions spécifiques concernées, des administrations publiques des États membres, des institutions de l’Union et du secteur privé, y compris des entreprises, des utilisateurs et des experts universitaires en matière de sécurité des réseaux et de l’information. Le directeur exécutif devrait pouvoir, le cas échéant, inviter à titre individuel des experts dont les compétences dans le domaine concerné sont reconnues à participer aux activités des groupes de travail au cas par cas. Leurs dépenses devraient être couvertes par l’Agence conformément à ses règles internes de fonctionnement et aux règles adoptées au titre du règlement financier.

(47)

L’Agence devrait disposer, à titre d’organe consultatif, d’un groupe permanent des parties prenantes pour maintenir un dialogue régulier avec le secteur privé, les organisations de consommateurs et les autres parties prenantes concernées. Le groupe permanent des parties prenantes, institué par le conseil d’administration sur proposition du directeur exécutif, devrait s’attacher à examiner des questions pertinentes pour les parties prenantes et à les porter à l’attention de l’Agence. Le directeur exécutif devrait pouvoir, le cas échéant et en fonction de l’ordre du jour des réunions, inviter des représentants du Parlement européen et d’autres organismes intéressés à participer aux réunions du groupe.

(48)

Étant donné qu’il est prévu que les parties prenantes sont amplement représentées au sein du groupe permanent des parties prenantes, et que ce groupe doit être consulté, en particulier, en ce qui concerne le projet de programme de travail, il n’est plus nécessaire de prévoir que les parties prenantes sont représentées au sein du conseil d’administration.

(49)

L’Agence devrait appliquer les dispositions pertinentes du droit de l’Union en ce qui concerne l’accès du public aux documents prévu par le règlement (CE) no 1049/2001 du Parlement européen et du Conseil (14). Les informations traitées par l’Agence pour des motifs liés à son fonctionnement interne, ainsi que les informations traitées par celle-ci dans l’exercice de ses tâches, devraient être soumises au règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (15).

(50)

L’Agence devrait respecter les dispositions applicables aux institutions de l’Union et la législation nationale concernant le traitement des documents sensibles.

(51)

Pour garantir l’autonomie et l’indépendance complètes de l’Agence et lui permettre d’effectuer des tâches nouvelles et supplémentaires, y compris des tâches urgentes imprévues, il conviendrait de la doter d’un budget suffisant et autonome dont l’essentiel des recettes provient d’une contribution de l’Union et de contributions des pays tiers participant aux travaux de l’Agence. La plus grande partie des effectifs de l’Agence devrait se consacrer directement à la mise en œuvre opérationnelle du mandat de l’Agence. L’État membre d’accueil, ou tout autre État membre, devrait être autorisé à apporter des contributions volontaires aux recettes de l’Agence. La procédure budgétaire de l’Union devrait rester applicable en ce qui concerne toute subvention imputable sur le budget général de l’Union européenne. En outre, la Cour des comptes devrait contrôler les comptes de l’Agence afin de garantir la transparence et la responsabilité.

(52)

Vu l’évolution constante de la nature de la menace et l’évolution de la politique de l’Union en matière de sécurité des réseaux et de l’information, et dans un souci d’alignement sur le cadre financier pluriannuel, il convient de fixer la durée du mandat de l’Agence à une période limitée de sept ans, avec possibilité de prolongation.

(53)

Le fonctionnement de l’Agence devrait faire l’objet d’une évaluation indépendante. Cette évaluation devrait tenir compte de l’efficacité de l’Agence dans la réalisation de ses objectifs, de ses méthodes de travail et de la pertinence de ses tâches, afin de déterminer si les objectifs de l’Agence sont toujours valables ou pas et, de ce fait, si la durée de son mandat doit être prolongée, et sur quelle période.

(54)

Si, vers la fin de la durée du mandat de l’Agence, la Commission n’a pas présenté de proposition pour la prolongation du mandat, l’Agence et la Commission devraient prendre les mesures nécessaires, concernant en particulier les questions relatives aux contrats avec le personnel et aux arrangements budgétaires.

(55)

Étant donné que l’objectif du présent règlement, à savoir instituer une Agence de l’Union européenne pour la sécurité des réseaux et de l’information en vue de contribuer à un niveau élevé de sécurité des réseaux et de l’information dans l’Union, et en vue de sensibiliser la société et de favoriser l’émergence et promouvoir, dans la société, une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, contribuant ainsi à l’établissement et au bon fonctionnement du marché intérieur, ne peut pas être atteint de manière suffisante par les États membres et peut donc être mieux atteint au niveau de l’Union, celle-ci peut prendre des mesures conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité énoncé au même article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre cet objectif.

(56)

Le règlement (CE) no 460/2004 devrait être abrogé.

(57)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001 et a adopté son avis le 20 décembre 2010 (16),

a)

soutenir l’élaboration de la politique et du droit de l’Union, en:

b)

aider au renforcement des capacités en:

c)

soutenir la coopération volontaire parmi les organismes publics compétents, et entre les parties prenantes, y compris les universités et les centres de recherche dans l’Union, ainsi que la sensibilisation, entre autres en:

d)

soutenir la recherche et le développement, et la normalisation, en:

e)

coopérer avec les institutions, organes et organismes de l’Union, y compris ceux qui traitent de la cybercriminalité et de la protection de la vie privée et des données à caractère personnel, pour aborder des questions d’intérêt commun, y compris en:

f)

contribuer aux efforts de l’Union pour coopérer avec les pays tiers et les organisations internationales, afin de promouvoir une coopération internationale sur les problèmes de sécurité des réseaux et de l’information, y compris en:

a)

un conseil d’administration;

b)

un directeur exécutif et du personnel; et

c)

un groupe permanent des parties prenantes.

a)

d’assurer l’administration courante de l’Agence;

b)

de mettre en œuvre les décisions adoptées par le conseil d’administration;

c)

après avoir consulté le conseil d’administration, de préparer le programme de travail annuel et le programme de travail pluriannuel et de les soumettre au conseil d’administration après consultation de la Commission;

d)

de mettre en œuvre le programme de travail annuel et le programme de travail pluriannuel et de faire rapport au conseil d’administration sur ceux-ci;

e)

de préparer le rapport annuel sur les activités de l’Agence et de le présenter au conseil d’administration pour approbation;

f)

de préparer un plan d’action faisant suite aux conclusions des évaluations rétrospectives et de faire rapport tous les deux ans à la Commission sur les progrès accomplis;

g)

de protéger les intérêts financiers de l’Union par l’application de mesures préventives contre la fraude, la corruption et d’autres activités illégales, par des contrôles efficaces et, si des irrégularités sont constatées, par le recouvrement des montants indûment payés et, le cas échéant, par des sanctions administratives et financières efficaces, proportionnées et dissuasives;

h)

de préparer une stratégie antifraude pour l’Agence et de la présenter au conseil d’administration pour approbation;

i)

de veiller à ce que l’Agence exerce ses activités conformément aux exigences de ceux qui font appel à ses services, notamment en termes d’adéquation des services rendus;

j)

d’établir et de maintenir le contact avec les institutions, organes et organismes de l’Union;

k)

d’établir et de maintenir le contact avec le secteur des entreprises et les organisations de consommateurs afin d’assurer un dialogue régulier avec les parties prenantes concernées;

l)

des autres tâches qui lui sont confiées par le présent règlement.

a)

le Parlement européen;

b)

le Conseil;

c)

la Commission;

d)

tout organisme compétent désigné par un État membre, tel qu’une autorité réglementaire nationale au sens de l’article 2 de la directive 2002/21/CE.