EUROPOS KOMISIJA

Briuselis, 2026 01 20

COM(2026) 9 final

KOMISIJOS ATASKAITA EUROPOS PARLAMENTUI IR TARYBAI

dėl Europos Sąjungos kibernetinio saugumo agentūros (ENISA) ir Europos kibernetinio saugumo sertifikavimo sistemos vertinimo

{SWD(2026) 2 final}

1.Įvadas

1.1Apie ENISA

2004 m. įsteigta Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA) iš pradžių siekė užtikrinti aukštą tinklų ir informacijos saugumo lygį ES ir puoselėti saugumo kultūrą suinteresuotųjų subjektų labui. Bėgant metams Agentūros įgaliojimai ir pareigos buvo gerokai pakeisti, kad neatsiliktų nuo sparčiai kintančios skaitmeninio saugumo aplinkos Europoje. Reaguojant į vis sudėtingesnius kibernetinio saugumo uždavinius, 2019 m. Kibernetinio saugumo aktu ENISA įgaliojimai išplėsti ir jai suteiktas nuolatinis statusas ES institucinėje sistemoje. Taip išplėtus įgaliojimus dar labiau sustiprėjo ENISA vaidmuo remiant kibernetinio saugumo pastangų valdymą ir koordinavimą visoje ES ir jis buvo orientuotas į kelias svarbiausias sritis:

·padėti rengti ir įgyvendinti su kibernetiniu saugumu susijusią ES politiką ir teisę;

·stiprinti ES pajėgumus užkirsti kelią kibernetinio saugumo incidentams, juos nustatyti ir į juos reaguoti, visų pirma teikiant operatyvinę ir techninę pagalbą valstybėms narėms ir ES institucijoms;

·skatinti kibernetinio saugumo pajėgumų stiprinimą ir bendradarbiavimą Europos Sąjungos viduje;

·didinti visuomenės, organizacijų ir verslo subjektų informuotumą apie kibernetinio saugumo riziką ir skleisti geriausią praktiką;

·prisidėti kuriant ir įgyvendinant Europos kibernetinio saugumo sertifikavimo sistemą, kurios tikslas yra mažinti rinkos susiskaidymą ir didinti IRT produktų, paslaugų ir procesų kibernetinį saugumą visoje ES, ir

·remti bendradarbiavimą su tarptautiniais partneriais, jį derinant su ES išorės politika.

ENISA veikla dabar apima pagrindines saugumo rekomendacijas, grėsmių panoramas, standartizacijos gaires ir geriausios praktikos įvairiose srityse tyrimus. Agentūra rengia praktinius seminarus, pratybas ir mokymo programas, kad pagerintų kibernetinio saugumo specialistų ir politikos formuotojų ekspertines žinias. Be to, ENISA atlieka svarbų vaidmenį – reaguoja į Komisijos ir valstybių narių prašymus, padeda atlikti sertifikavimo užduotis ir teikia specialiai pritaikytas konsultacijas kibernetinio saugumo politikos plėtojimo ir įgyvendinimo klausimais.

Numatomas ENISA poveikis, be kita ko, yra tinklų ir informacijos saugumo gerinimas ES, pasitikėjimo bendrąja skaitmenine rinka didinimas ir pagrindinių suinteresuotųjų subjektų bendradarbiavimo kibernetinio saugumo srityje skatinimas Europoje. Europai toliau vykdant skaitmeninę transformaciją, ENISA prisitaikymo strategijos užtikrina regiono skaitmeninės aplinkos saugumą ir atsparumą ir yra orientuotos į tokias problemas kaip kibernetinio saugumo grėsmės, geopolitinė įtampa ir politikos susiskaidymas tarp valstybių narių.

1.2Apie Europos kibernetinio saugumo sertifikavimo sistemą (EKSSS)

Pagal Kibernetinio saugumo aktą buvo sukurta Europos kibernetinio saugumo sertifikavimo sistema (EKSSS), kurios pagrindinis tikslas – gerinti kibernetinio saugumo aplinką visoje Europos Sąjungoje. EKSSS siekiama sukurti vieningą ir horizontalų požiūrį į kibernetinio saugumo sertifikavimą visose valstybėse narėse ir taip sumažinti IRT produktų, paslaugų ir procesų vidaus rinkos susiskaidymą. Taip EKSSS stiprina rinkos pasitikėjimą, skatina ES kibernetinio saugumo rinkos augimą ir užtikrina tvirtą kibernetinio saugumo atsparumą ir pajėgumus. Sistema skirta šešiems pagrindiniams poreikiams:

·skatinti pasitikėjimą rinka visoje ES;

·tobulinti kibernetinio saugumo priemones ir gerinti atsparumą;

·nustatyti aukštus rinkos pasiūlos atsparumo standartus;

·stiprinti kibernetinio saugumo srities suinteresuotųjų subjektų bendradarbiavimą;

·sumažinti sertifikavimo naštą ir

·didinti Europos visuomenės ir verslo subjektų informuotumą apie kibernetinį saugumą.

Be to, EKSSS siekiama padidinti kibernetinio saugumo užtikrinimo skaidrumą, skatinant pritaikytąjį ir integruotąjį saugumą, taigi mažinant pažeidžiamumą ir užtikrinant konkrečių saugumo reikalavimų laikymąsi.

Kad šie tikslai būtų pasiekti, EKSSS grindžiama keliais svarbiais elementais ir šių pastangų esmė yra kurti Europos kibernetinio saugumo sertifikavimo schemas. Sistemos akcentas yra visapusiškas kibernetinio saugumo užtikrinimas ir atsparumas visoje ES taikant šias schemas. EKSSS skatina kurti bendruomenę, kad suinteresuotieji subjektai galėtų svariai prisidėti ir palengvėtų bendradarbiavimas su valstybėmis narėmis bei jų tarpusavio bendradarbiavimas. Be to, Kibernetinio saugumo aktas taip pat įpareigoja surengti viešas konsultacijas su visais atitinkamais suinteresuotaisiais subjektais, taikant oficialų, atvirą, skaidrų ir įtraukų konsultacijų procesą, ir sudaryti ad hoc patariamąsias grupes, kad sertifikavimo schemos rengimo procese būtų išgirsti įvairūs požiūriai ir surinktos ekspertinės žinios. ENISA atlieka labai svarbų šių pastangų koordinavimo vaidmenį – ji sistemingai konsultuojasi su suinteresuotaisiais subjektais, kad visi teisėkūros elementai būtų išnagrinėti prieš pateikiant galutines potencialias schemas Europos Komisijai tvirtinti.

Kibernetinio saugumo aplinkybės, kuriomis argumentuotas EKSSS sukūrimas, atspindi sparčiai kintančią grėsmių panoramą, kuriai būdingi gausėjantys kibernetiniai išpuoliai, per kuriuos išnaudojamos pažeidžiamos vietos, ir nepakankamos saugumo praktikos, kartu didėjant sertifikavimo susiskaidymui Europos Sąjungoje. Ši aplinka aiškiai rodo, kad EKSSS misija užtikrinti duomenų vientisumą, konfidencialumą ir prieinamumą per visą IRT produktų, paslaugų ir procesų gyvavimo ciklą yra reikalinga. Tikimasi, kad atlikus pagrindinius EKSSS kūrimo etapus bus gauti keletas produktų: konkrečių schemų dokumentai, leidiniai, renginiai ir struktūriniai patobulinimai, kurie padeda įgyvendinti sistemą. Šiomis pastangomis siekiama skatinti plačiau diegti kibernetinio saugumo sertifikatus, racionalizuoti procesus, didinti vidaus rinkos pasitikėjimą ir stiprinti tiek viešojo, tiek privačiojo sektoriaus pajėgumus.

Žvelgiant į ateitį, tikimasi, kad EKSSS padės sustiprinti ES kibernetinį atsparumą ir konkurencingumą, užtikrinant saugią ir sklandžią skaitmeninę sąveiką ES viduje ir kartu sprendžiant kylančias kibernetinio saugumo problemas. Numatomas didelis poveikis vidutinės trukmės ir ilguoju laikotarpiu, o palankūs rezultatai priklausys nuo dinamiškų vidaus ir išorės veiksnių: geopolitinių pokyčių, kintančios saugumo aplinkos ir naujų rinkos poreikių.

1.3Ataskaitos tikslas

Šios ataskaitos tikslas – įvertinti ENISA ir EKSSS poveikį ir veiksmingumą, atsižvelgiant į kintančią technologinę ir reguliavimo aplinką. Vadovaujantis Reglamento (ES) 2019/881 (Kibernetinio saugumo akto) 67 straipsniu per šį vertinimą ne tik peržiūrimi ENISA įgaliojimai ir veikla, bet ir įvertinamas EKSSS vaidmuo skatinant saugią kibernetinę aplinką visoje ES iki 2024 m. birželio 28 d. Pateiktos išvados grindžiamos 2024 m. gruodžio mėn. užbaigta parengiamojo vertinimo ataskaita.

Analizė apima 2017–2023 m. laikotarpį ir ja siekiama kelių svarbiausių tikslų. Visų pirma ja siekiama patikrinti ENISA ir EKSSS veiklos rezultatus, valdymą ir darbo praktiką. Tai reiškia, kad reikia nustatyti, kokiu mastu buvo pasiekti jų tikslai ir kaip jos prisidėjo prie didesnio kibernetinio saugumo ir geresnio vidaus rinkos veikimo ES. Atliekant vertinimą daugiausia dėmesio skiriama penkiems pagrindiniams kriterijams – veiksmingumui, efektyvumui, aktualumui, suderinamumui ir ES pridėtinei vertei, taip įgyjant pagrindą suprasti abiejų subjektų pasiekimus ir tobulintinas sritis.

Nagrinėjant šiuos elementus ataskaitoje pateikiama įžvalgų apie galimas ENISA įgaliojimų korekcijas ir EKSSS poveikio stiprinimo strategijas. Galiausiai šiais vertinimais siekiama sudaryti palankesnes sąlygas priimti informacija pagrįstus sprendimus, kad būtų didinamas ES kibernetinio saugumo atsparumas. Ataskaitą sudaro atskiri skirsniai: ENISA ir EKSSS pristatymas, vertinimo rezultatų analizė ir išvadų bei rekomendacijų apibendrinimas.

Reglamentu (ES) 2024/2847 (Kibernetinio atsparumo aktu) nustatomi horizontalieji kibernetinio saugumo reikalavimai, keliami produktams su skaitmeniniais elementais (aparatinei ir programinei įrangai, įskaitant jų komponentus, kai jie pateikiami rinkai atskirai). Reglamentu nustatoma, kad minėtų produktų pateikimas Sąjungos rinkai turi atitikti esminius kibernetinio saugumo reikalavimus, laikantis Sąjungos naujojoje teisės aktų sistemoje nustatyto požiūrio. Kibernetinio atsparumo aktas įsigaliojo 2024 m. gruodžio 10 d. ir nuo 2027 m. gruodžio 11 d. bus taikomas visas. Kartu su Komisijos pasiūlymu pateiktas visapusiškas poveikio vertinimas, kuriame analizuojamas tokių taisyklių nustatymo loginis pagrindas. Atsižvelgiant į minėtus aspektus ir į tai, kad Kibernetinio atsparumo aktui vis dar taikomas pereinamasis laikotarpis, nuspręsta, kad šioje ataskaitoje nebūtina toliau vertinti Kibernetinio saugumo akto 67 straipsnio 3 dalyje nurodyto trečiojo elemento: „Įvertinama, ar prieigai prie vidaus rinkos taikomi esminiai kibernetinio saugumo reikalavimai yra būtini siekiant užkirsti kelią IRT produktams, IRT paslaugoms, IRT procesams ir valdomoms saugumo paslaugoms, kurie neatitinka pagrindinių kibernetinio saugumo reikalavimų, patekti į vidaus rinką“.

Kadangi šios ataskaitos išvadomis grindžiami Kibernetinio saugumo akto peržiūros politikos tikslai, ši ataskaita pridedama prie teisėkūros procedūra priimamo akto ir todėl labai svarbu ją pateikti kaip šio dokumentų rinkinio dalį.

2.Pagrindiniai vertinimo rezultatai

2.1Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)

Šiame skirsnyje išdėstomi pagrindiniai ENISA vertinimo rezultatai, daugiausia dėmesio skiriant jos veiksmingumui, efektyvumui, aktualumui, suderinamumui ir pridėtinei vertei, kurią ji teikia ES kibernetinio saugumo aplinkai. Be to, išsamiau nagrinėjamas Agentūros vidaus valdymas ir praktika, siekiant išsiaiškinti jos veiklos dinamiką ir tobulintinas sritis.

Veiksmingumas

Parengiamojo vertinimo ataskaitoje pabrėžiama, kad ENISA įvykdė savo įgaliojimus – pasiekė beveik visus suplanuotus rezultatus. Tačiau reikia paminėti, kad, nesant pakankamų rodiklių, veiksmingumo analizė daugiausia grindžiama pokalbiais su suinteresuotaisiais subjektais ir jų apklausomis. Visų pirma sudėtingais laikais – COVID-19 pandemijos ir Rusijos agresijos karo prieš Ukrainą laikotarpiu – Agentūra pademonstravo lankstumą ir gavo teigiamus suinteresuotųjų subjektų vertinimus. COVID-19 pandemijos metu ENISA padėjo Komisijai ir valstybėms narėms – per trumpą laiką apibrėžė COVID-19 programėlių saugumo reikalavimus. Ji taip pat atliko tam tikrą vaidmenį bendradarbiaujant su Ukraina, kad nebūtų šalutinio išpuolių prieš ypatingos svarbos infrastruktūros objektus ir sektorius, pavyzdžiui, energetikos sektorių, poveikio. ENISA veiksmingumą lemia patikima valdymo struktūra ir matricos grindžiamas organizacinis modelis, kuris palengvina užduočių vykdymą ir bendradarbiavimą. ENISA pasiekė daug savo tikslų. Suinteresuotieji subjektai iš esmės pripažino ir palankiai įvertino ENISA indėlį didinant ES kibernetinio saugumo atsparumą. Agentūra skatino valstybių narių ir kitų suinteresuotųjų subjektų bendradarbiavimą ir keitimąsi informacija dėl ES kibernetinio saugumo tikslų. Ypač gerai įvertintos Agentūros pastangos palengvinti techninį bendradarbiavimą, skatinti diegti bendrus kibernetinio saugumo standartus ir remti gebėjimų stiprinimo iniciatyvas. Vertinimo ataskaitoje taip pat teigiama, kad dar galima pagerinti ENISA darbo metodus užduočių prioritetų nustatymo aspektu. Iš naujo įvertinusi savo operatyvinius orientyrus, ENISA gali dar labiau pagerinti užduočių vykdymą, pasinaudodama esamomis sistemomis ir suinteresuotųjų subjektų atsiliepimais. Tai ypač svarbus imantis naujų prioritetų be nuostolio esamiems įsipareigojimams. Nuolatinis ENISA įsipareigojimas įtraukti suinteresuotuosius subjektus ir su jais konsultuotis buvo pliusas, tačiau Agentūros veiklos pajėgumai rodo, kad nepakanka išteklių. Dinamiškesnis užduočių ir išteklių perskirstymas iš dalies padėti užtikrinti, kad nauji prašymai būtų įvykdyti laiku, ir tam tikru mastu padidintų ENISA pajėgumą reaguoti į kibernetinio saugumo problemas. Agentūros tikslas išlaikyti ir stiprinti savo reputaciją kibernetinio saugumo bendruomenėje galėtų būti toliau įgyvendinamas užtikrinant, kad užduotys būtų suderintos ne tik su strateginiais tikslais, bet ir su veiklos pajėgumais. Tokį prioritetų sudarymą turėtų palengvinti ENISA, valstybių narių ir ES politikos formuotojų bendradarbiavimo pastangos siekiant užtikrinti suderinamumą su strateginiais tikslais ir veiklos pajėgumais.

Efektyvumas

2017–2023 m. vertinimo laikotarpiu ENISA įrodė, kad esama jos valdymo struktūra veikia efektyviai. Matrica grindžiama organizacijos struktūra padėjo ENISA nustatyti užduočių prioritetus, optimizuoti išteklių suderinimą ir skatinti įvairių skyrių bendradarbiavimą. Toks modelis ir subalansuotas operatyvinių ir administracinių darbuotojų derinys padėjo palengvinti ENISA pavestų pareigų vykdymą. Tačiau ENISA aiškia gali padidinti savo efektyvumą, jei geriau nustatytų prioritetus, aiškiai fokusuotųsi ir strategiškiau paskirstytų išteklius. Agentūros efektyvumas kartais mažėjo dėl išorės veiksnių ir išryškėjo poreikis racionalizuoti vidaus valdymą. Viduje ENISA sukūrė novatoriškus sprendimus, pavyzdžiui, matrica grindžiamą organizacinį modelį, kad galėtų veiksmingiau koordinuoti operatyvines ir administracines funkcijas.

Vis dėlto vertinime akcentuotos kelios svarbios sritys, kuriose ENISA gali padidinti efektyvumą. Pokalbiai su ENISA darbuotojais, suinteresuotųjų subjektų apklausos ir vidaus dokumentai parodė, kad Agentūrai buvo sunku tenkinti gausėjančius prašymus ir užpildyti specializuoto darbo vietas, o padėtį dar labiau pablogino pasaulinis IT specialistų trūkumas. Tai lėmė vėlavimus, užduočių prioritetų perskirstymą ir didelio streso bei darbo krūvio laikotarpius. Vis dėlto šias problemas pavyktų įveikti atlikus tam tikras korekcijas. Pastarojo meto strateginiai sprendimai perskirstyti žmogiškuosius išteklius rodo gebėjimą tam tikru mastu atlikti prioritetinius pokyčius. Nors dėl paramos kibernetiniam saugumui veiksmų buvo gerokai padidintas 2022 m. biudžetas (15 mln. EUR), darbuotojų skaičius nebuvo proporcingai padidintas. Beje, tai, kad paramos kibernetiniam saugumui veiksmams tikslais 2022 m. perskirstyta maždaug 10,5 etato ekvivalento, rodo pajėgumą optimizuoti turimus išteklius, nors tuo atveju paramos veiksmams reikalingi etato ekvivalentai iš tikrųjų buvo gauti iš dalies per viešuosius pirkimus ir iš dalies per sutarčių valdymo darbuotojus, kaip nurodyta parengiamojo vertinimo ataskaitoje. 10,5 etato ekvivalento buvo perskirstyta iš esamos Agentūros darbo programos: 4 etato ekvivalentai iš 4 veiklos srities („Operatyvinio bendradarbiavimo galimybių sudarymas“), 4 etato ekvivalentai iš 5 veiklos srities („Bendradarbiaujamasis atsakas Sąjungos ir valstybių narių lygmeniu“) ir 2,5 etato ekvivalento iš kitos veiklos. Taigi, 2023 m. ENISA ėmėsi veiksmų tam tikros veiklos prioritetams ir (arba) mastui sumažinti, nukreipė savo žmogiškuosius išteklius į operatyvines užduotis, visų pirma susijusias su teisės aktuose nustatytomis konkrečiomis užduotimis, o tai turėjo neigiamą šalutinį poveikį kitoms užduotims, kurios ENISA įgaliojimuose nebuvo tokios aiškios, pvz., įgūdžių ir informuotumo srityse.

Biudžeto valdymas gali būti patobulintas. 2019–2022 m. Agentūra susidūrė su patvirtintų ir įsipareigotų asignavimų balanso mažėjimo tendencija, nes vėluota vykdyti veiksmus, pavyzdžiui, paramos kibernetiniam saugumui veiksmus. Pakeitus šią tendenciją ir dedant pastangas valdyti administracines išlaidas, be kita ko, sprendžiant viešųjų pirkimų vėlavimo problemą, būtų galima dar šiek tiek padidinti vidaus efektyvumą.

Aktualumas

ENISA aktualumą kibernetinio saugumo srityje aiškiai rodo jos gebėjimas reaguoti į kintančius suinteresuotųjų subjektų poreikius ir lankstus gebėjimas prisitaikyti prie kintančios aplinkos. Agentūra nuolat rodė pajėgumą peržiūrėti ir pertvarkyti savo veiklos sritis, kad galėtų reaguoti į naujas tendencijas, taip išlaikydama savo, kaip labai svarbaus ES kibernetinio saugumo sistemos komponento, padėtį. Nors suinteresuotieji subjektai iš esmės buvo patenkinti ENISA pastangomis, yra aspektų, kurių aktualumą galima dar labiau padidinti. Nepaisant gerų sugebėjimų reaguoti, ENISA galėtų pagerinti paramą įvairiems sektoriams ir suinteresuotiesiems subjektams, visų pirma MVĮ, kurioms dažnai sunku įvykdyti kibernetinio saugumo reikalavimus, ir tapti jiems pastebimesnė. Perėjimas prie labiau tiesioginių priemonių ir išteklių, pritaikytų konkretiems sektoriams, gali padidinti agentūros poveikį ir suteikti reagavimo į naujas grėsmes įžvalgų ir priemonių. Agentūra veiksmingai integruodavo suinteresuotuosius subjektus per forumus, komitetus ir darbo grupes, kad nacionaliniai ekspertai būtų aktyviai įtraukti į veiklą ir leidinių rengimą. Tačiau dėl sudėtingos decentralizuotos struktūros kai kuriose valstybėse narėse kilo sunkumų, kuriuos būtų galima sušvelninti geriau organizuojant veiklą ir aiškiau koordinuojant veiksmus su nacionalinėmis valdžios institucijomis. Agentūros vykdomos iniciatyvos, įskaitant kibernetinio saugumo gairių ir gebėjimų stiprinimo programų rengimą, atspindi jos įsipareigojimą skatinti bendradarbiavimą ir stiprinti ES kolektyvines kibernetinio saugumo pozicijas. Skatinant tvirtesnį pramonės sektorių tarpusavio bendradarbiavimą ir gerinant prieigą prie informacijos būtų galima pašalinti kai kuriuos pramonės sektoriaus pastebėtus apribojimus. ENISA galėtų smarkiai patobulėti, jei pakartotinai įvertintų prioritetus, racionalizuotų procesus ir efektyviau įgytų naujus tinkamus išteklius ir labiau išnaudotų esamus, taip sustiprindama savo esminį vaidmenį Europos kibernetinio saugumo ekosistemoje. Persvarstyti ir strategiškai prie Europos Sąjungos kibernetinio saugumo strategijos priderinti ENISA prioritetai galėtų suteikti galimybių daryti didesnį poveikį. Stiprinant Agentūros gebėjimą teikti politinę ir techninę paramą, gali prireikti skirti daugiau išteklių, labiau atsirinkti veiklos kryptis ir tiksliau apibrėžti jos veiklos prioritetines sritis. Apibendrinant, nors ENISA aktualumas yra akivaizdus, dar yra ką tobulinti. Persvarsčius veiklos prioritetus, numačius daugiau išteklių bei optimizavus esamus, ENISA gali padidinti tiek savo efektyvumą, tiek bendrą poveikį, labiau prisiderindama prie dinamiškų Europos kibernetinio saugumo aplinkos reikalavimų.

Suderinamumas

Vertinant ENISA veiklos suderinamumą, vertinime pabrėžiami tiek privalumai, tiek tobulintinos sritys. Matyti, kad ENISA yra įsipareigojusi puoselėti bendradarbiavimą kibernetinio saugumo srityje ES lygmeniu, visų pirma sudarydama palankesnes sąlygas ir tiesiogiai bendradarbiaudama su suinteresuotaisiais subjektais. Ši dviguba kryptis suteikė ENISA galimybę daug prisidėti prie kibernetinės srities derinantis prie naujausių teisės aktų sistemų. Tačiau, nors ENISA, kaip tarpininkės ir koordinatorės, vaidmuo yra teigiamas, kai kurias sritis reikia tobulinti, kad pagerėtų suderinamumas. Atlikus vertinimą nustatyta, kad reikia gerinti ENISA ir kitų ES įstaigų, pavyzdžiui, Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centro (ECCC), taip pat nacionalinių kibernetinio saugumo institucijų atsakomybės sričių ir veiksmų sinergiją. Nors šie vaidmenys dažnai papildo vienas kitą, yra galimybių dar labiau racionalizuoti operacijas ir padidinti organizacinį efektyvumą. Įformindama bendradarbiavimo susitarimus su kitais subjektais, pavyzdžiui, EMSA ir JRC, ENISA galėtų geriau išnaudoti sinergiją ir užtikrinti vienodą požiūrį į kibernetinio saugumo iniciatyvas. Taip pat reikėtų patobulinti ENISA vidaus komunikaciją ir išteklių valdymą. Agentūros bendravimas su privačiais suinteresuotaisiais subjektais ir tarptautiniais partneriais turi būti nuspėjamesnis ir skaidresnis, kad būtų išlaikytas pasitikėjimas ir puoselėjamos bendradarbiavimo pastangos. Prisiderinus prie Kibernetinio atsparumo aktu bei TIS 2 direktyva ir aiškiai apibrėžus ENISA užduotis, susijusias su politikos įgyvendinimo parama, būtų galima padidinti reguliavimo priemonių efektyvumą ir užtikrinti jų derėjimą. Dėl šio aiškumo taip pat pagerėtų ENISA gebėjimas reaguoti į sektorinius reguliavimo reikalavimus. Apibendrinant, nors ENISA parodė, kad skatindama kibernetinio saugumo suderinamumą Europos Sąjungoje turi tvirtą pagrindą, ji turi šiek tiek erdvės persvarstyti savo pastangų prioritetus. Taip darant jai bus lengviau efektyviai vykdyti savo įgaliojimus ir prisitaikyti prie kintančios kibernetinio saugumo aplinkos. Išsprendusi dabartinio neefektyvumo problemą ir stiprindama tarpžinybinį koordinavimą, ENISA gali veiksmingai išlaikyti itin svarbų vaidmenį ES kibernetinio saugumo sistemoje.

ES pridėtinė vertė

ENISA daug prisidėjo prie ES kibernetinio saugumo ekosistemos stiprinimo, tačiau dar yra galimybių tobulėti, kad jos poveikis būtų didesnis. Veikdama kaip centralizuotas mazgas, ENISA palengvino labai svarbų bendradarbiavimą visoje ES, papildė nacionalines pastangas, ypač valstybėse narėse, kuriose kibernetinio saugumo infrastruktūra mažiau išvystyta, ir suartino kibernetinio saugumo praktiką ir politikos priemones. ENISA, kaip decentralizuotos ES agentūros, specializuoti įgaliojimai sudarė jai sąlygas konsoliduoti kibernetinio saugumo ekspertines žinias ir veiksmingai bendradarbiauti su valstybėmis narėmis – esmingai prisidėti prie Europos kibernetinio saugumo aplinkos formavimo. Šiomis aplinkybėmis būtina, kad ENISA daugiausia dėmesio skirtų valstybėms narėms, nes jos vaidmuo yra teikti įžvalgas apie kylančias grėsmes ir rekomenduoti kovos su jomis priemones ir strategijas. Agentūra, laikydamasi Sąjungos prioritetų, galėtų toliau stiprinti tarptautinį bendradarbiavimą, be kita ko, su partneriais trečiosiose valstybėse, tarptautinėmis organizacijomis ir kibernetinio saugumo agentūromis, kad būtų geriau reaguojama į pasaulinį kibernetinių grėsmių pobūdį. Be to, ENISA atlieka itin svarbų vaidmenį skatinant kibernetinio saugumo sertifikavimą ir remiant standartizacijos veiklą, o tai padeda mažinti rinkos susiskaidymą ir skatina patikimą kibernetinio saugumo praktiką visoje ES. Nors panašių įstaigų, kurios turėtų ENISA ekspertinių žinių ir būtų lanksčios organizaciniu požiūriu, nėra, tai, kad šiuo metu pagrindinį dėmesį ENISA skiria nacionalinėms valdžios institucijoms, sulaukė privačiojo sektoriaus suinteresuotųjų subjektų kritikos. Stambių pramonės subjektų atsiliepimai rodo, jog būtų galima nuveikti daugiau, kad įžvalgos būtų pritaikytos prie konkrečių privačiojo sektoriaus problemų. Nors itin svarbu daugiausia dėmesio skirti nacionalinėms valdžios institucijoms, šias problemas būtų galima išspręsti strategiškai labiau įtraukiant suinteresuotuosius subjektus ir aktyviau bendradarbiaujant su pramone. Be to, ENISA įgaliojimams būtų naudinga strategiškai iš naujo įvertinti jos prioritetus, kad ji galėtų sklandžiai prisitaikyti prie kintančių kibernetinio saugumo iššūkių. Tai leistų ENISA toliau vertingai prisidėti prie ES, kartu veiksmingai tenkinant vis platesnius įvairių jos suinteresuotųjų subjektų poreikius.

Svarbiausi pasiekti rezultatai ir iššūkiai

ES kibernetinio saugumo bendruomenėje plačiai pripažįstama, kad ENISA turi solidžią reputaciją, skelbia kokybiškus leidinius ir atlieka svarbų vaidmenį skatinant valstybių narių ir kitų kibernetinio saugumo subjektų bendradarbiavimą. Darbas, kuriuo ENISA prisideda prie kibernetinio saugumo reikalavimų suderinimo, yra itin svarbus užtikrinant nuoseklų apsaugos lygį visose valstybėse narėse ir tiesiogiai prisideda prie gebėjimų stiprinimo, ypač mažesnėse valstybėse narėse. Šis suderinimas ne tik užtikrina saugią skaitmeninę aplinką visoje ES, bet ir gerina visų jos suinteresuotųjų subjektų kibernetinio saugumo parengtį.

Vis dėlto atlikus vertinimą nustatyta keletas problemų, su kuriomis susiduria ENISA. ENISA nepakankamai greitai reaguoja į kintančias kibernetinio saugumo grėsmes, o tai gali lemti jos veiksmų vėlavimą. Kad būtų galima sumažinti su ribotais ištekliais susijusias problemas, suinteresuotieji subjektai, su kuriais konsultuotasi2, be kita ko, pabrėžė, kad reikia tobulinti įdarbinimo procesus ir darbo krūvio valdymo strategijas. Išplėtus ENISA įgaliojimus, siekiant sustiprinti jos operatyvinį vaidmenį, būtų galima spręsti šiuos susirūpinimą keliančius klausimus, nes ji galėtų pasinaudoti technologine pažanga ir pagerinti kibernetinio saugumo sistemas. Šis restruktūrizavimas sudarytų sąlygas ENISA aktyviai kovoti su dinamiškomis grėsmėmis, nes didintų jos poveikį per bendras mokymo iniciatyvas ir įnašą į politikos formavimo procesus.

Galiausiai ENISA konsultavimosi su suinteresuotaisiais subjektais ir valdymo sistemos laikomos veiksmingomis palengvinant suinteresuotųjų subjektų poreikių ir lūkesčių valdymą, tačiau siekiant stiprinti bendradarbiavimą ir dalijimąsi informacija būtini tvirtesni ir skaidresni santykiai su valstybėmis narėmis. Tarp būsimų prioritetų yra vidaus sistemų atnaujinimas siekiant geriau valdyti didėjančią atsakomybę ir įvairias problemas ir užtikrinimas, kad ENISA, turėdama tiek darbuotojų, kiek turi, galėtų iki galo įgyvendinti jai pavestas užduotis.

2.2Europos kibernetinio saugumo sertifikavimo sistema (EKSSS)

Šiame skirsnyje išdėstomi pagrindiniai EKSSS vertinimo rezultatai, daugiausia dėmesio skiriant jos veiksmingumui, efektyvumui, aktualumui, suderinamumui ir pridėtinei vertei, kurią ji teikia ES kibernetinio saugumo aplinkai. Be to, skirsnyje apibendrinamos pagrindinės nustatytos sistemos stiprybės ir silpnybės, pagrįstos SSGG analize.

Veiksmingumas

EKSSS buvo suplanuota kaip kibernetinio saugumo užtikrinimo visoje ES vidaus rinkoje gerinimo priemonė, kuria siekiama suderinti IRT produktų, paslaugų ir procesų sertifikavimą. Ji įsteigta siekiant spręsti nuolatines problemas, tokias kaip rinkos susiskaidymas ir poreikis didinti skaidrumą ir visuomenės pasitikėjimą skaitmeniniais sprendimais. Taikant struktūrinį valdymo modelį, kuriame dalyvauja tokie subjektai kaip ENISA, Europos kibernetinio saugumo sertifikavimo grupė (EKSSG) ir Nacionalinių kibernetinio saugumo sertifikavimo institucijų tinklas, EKSSS padėjo pagrindą geriau koordinuoti suinteresuotųjų subjektų, įskaitant valstybes nares ir privačius subjektus, veiklą. Tačiau praktinis šių tikslų įgyvendinimas susiduria su daugybe problemų, kurios riboja EKSSS veiksmingumą. Didelis dabartinės EKSSS trūkumas yra tai, kad ji nepajėgi veiksmingai spręsti sertifikavimo schemų susiskaidymo visoje ES problemos, daugiausia dėl procedūrinių apribojimų. Šis susiskaidymas išliko nepaisant ketinimo pagal šią sistemą suderinti sertifikavimo procesus ir jis lemia kibernetinio saugumo užtikrinimo nenuoseklumą ir neefektyvumą. Tai rodo didelis vėlavimas pradėti taikyti pirmąją sertifikavimo schemą – ES bendruosius kriterijus (nuo inicijavimo iki priėmimo praėjo 57 mėnesiai). Šis vėlavimas rodo sistemos procesų neefektyvumą, kuriam daugiausia įtakos turi sudėtingos ir daugiaaspektės patvirtinimo procedūros. Be to, suinteresuotųjų subjektų atsakomybės ir atskaitomybės neaiškumas dar labiau apsunkino sistemos gebėjimą pasiekti savo tikslus. Siekti EKSSS tikslų buvo keblu ir dėl išorės veiksnių. Dėl kintančios geopolitinės aplinkos, kuriai būdingos didėjančios kibernetinės grėsmės ir politinė įtampa, susijusi su duomenų suverenumu ir skaitmenine kontrole, reikėjo prisitaikymo priemonių, kurias EKSSS buvo sunku greitai įgyvendinti. Dėl šio išorės spaudimo buvo vėluojama priimti schemas, kaip matyti iš Europos debesijos paslaugų kibernetinio saugumo sertifikavimo schemos (EUCS), kai diskusijos užstrigo dėl netechninių ginčų, pavyzdžiui, duomenų lokalizavimo reikalavimų. Nepaisant šių kliūčių, pasiekta teigiamų rezultatų, visų pirma didinant valstybių narių informuotumą apie kibernetinio saugumo sertifikavimo svarbą ir subtilybes. COVID-19 pandemija, nors ir lėmė veiklos vėlavimus, taip pat išryškino atsparios skaitmeninės infrastruktūros būtinybę, o kibernetinis saugumas tapo svarbiu politikos aspektu. COVID-19 turėjo ir neigiamą, ir teigiamą poveikį EKSSS. Kalbant apie neigiamus aspektus, staigus perėjimas prie nuotolinių posėdžių prisidėjo prie sistemos kūrimo procesų vėlavimo. Kalbant apie teigiamus aspektus, COVID-19 pandemija padėjo suvokti atsparių tiekimo grandinių, kurios yra mažiau priklausomos nuo trečiųjų šalių, svarbą. Be to, analizėje įvardyta svarbi įgyta patirtis, atkreipiant dėmesį į nevienodą išteklių paskirstymą suinteresuotiesiems subjektams, įskaitant valstybes nares, trukdantį vienodai kurti ir įgyvendinti sertifikavimo schemas. Šių skirtumų šalinimas yra labai svarbus būsimam efektyvumui ir veiksmingumui, visų pirma išlaikant ENISA ekspertus ir skatinant nuolatinį visų susijusių šalių dialogą.

Efektyvumas

EKSSS efektyvumas buvo tikrinamas atsižvelgiant į pratęstus kibernetinio saugumo sertifikavimo schemų priėmimo terminus ir į daugybę susijusių sunkumų. Nepaisant strateginio ketinimo racionalizuoti sertifikavimo procesą visoje ES, EKSSS efektyvumą ypač mažino nesibaigiančios diskusijos ir pasirengimo etapai, dėl kurių buvo labai vėluojama; pirmoji schema buvo priimta tik 2024 m. pradžioje, praėjus beveik penkeriems įgyvendinimo metams. Šie užsitęsę terminai gali būti siejami su daugiaaspektėmis problemomis, apimančiomis tiek politinius, tiek techninius elementus.

Politinės problemos, įskaitant diskusijų dėl sertifikavimo reikalavimų politizavimą, trukdė pažangai, nes įsivyravo atmosfera, kurioje trūko skaidrumo ir komunikacijos. Pavyzdžiui, ES debesijos paslaugų kibernetinio saugumo sertifikavimo schemai (EUCS) didelį poveikį padarė diskusijos dėl duomenų suverenumo reikalavimų, lydimos politinio spaudimo iš trečiųjų šalių ir pramonės už ES ribų, dėl kurio EKSSG imta diskutuoti ne techniniais, o politiniais klausimais.

Efektyvumą mažino ir techniniai sunkumai, visų pirma sunkumai, susiję su schemų projektų performulavimu į teisės aktus, mat sertifikuojami produktai ir (arba) paslaugos, pavyzdžiui, 5G ir debesijos kompiuterija, yra įvairiopi ir reiklūs. Dėl prašymų įvairovės ir nustatytų standartų trūkumo tam tikrose srityse pasirengimo ir priėmimo procesai tapo sudėtingesni, todėl daug suinteresuotųjų subjektų daugelyje etapų turėjo užtikrinti derėjimą su esamomis politikos priemonėmis ir praktika. Nepaisant šių neefektyvumo atvejų, sistemoje susiformavo keletas teigiamų elementų. Sukūrus specialias grupes ir forumus, įskaitant Europos kibernetinio saugumo sertifikavimo grupę, konkrečioms schemoms skirtą ad hoc darbo grupę ir Suinteresuotųjų subjektų kibernetinio saugumo sertifikavimo grupę, sudarytos palankesnės sąlygos būtinam suinteresuotųjų subjektų įsitraukimui. Vis dėlto dar yra daug ką tobulinti siekiant, kad šios struktūros veiktų optimaliai; pavyzdžiui, Suinteresuotųjų subjektų kibernetinio saugumo sertifikavimo grupės nariai nurodė, kad grupė nepakankamai dalyvauja EKSSS veikloje. Siekiant užtikrinti aktyvų suinteresuotųjų subjektų dalyvavimą ir strateginį indėlį, itin svarbu tobulinti vidaus valdymą.

Aktualumas

EKSSS tampa itin svarbiu atsaku į vis sudėtingesnes ir įmantresnes kibernetines grėsmes visoje ES, kurdamas suderintas kibernetinio saugumo sertifikavimo schemas, kurios užtikrintų pasitikėjimą ir skatintų saugią skaitmeninę rinką. Nepaisant daug žadančio užmojo, laikoma, kad sistemos aktualumas vis dar labiau potencialus negu praktinis, nes sertifikavimo schemos pradėjo veikti tik neseniai. Šis vėlavimas pasiekti apčiuopiamų rezultatų išryškina įgyvendinimo nelygumus ir kelia netikrumą dėl dabartinės EKSSS pozicijos kibernetinio saugumo srityje. EKSSS svarbi tuo, kad ji atlieka strateginį vaidmenį keliant kibernetinio saugumo standartus ir sudarant sąlygas abipusiam sertifikatų pripažinimui visose valstybėse narėse, taip sumažinant atskirų įmonių išlaidas ir gerinant vidaus rinkos veikimą. Šia sistema siekiama tvirtos integracijos su kitais ES teisės aktais, siekiant racionalizuoti procedūras ir palengvinti tarpvalstybinę prekybą.

Nors yra iššūkių vykdant jos užduotis, EKSSS aktualumą sustiprina keletas veiksnių. Išaugus kibernetinėms grėsmėms labai padidėja poreikis parengti vieną bendrą kibernetinio saugumo strategiją, kurią būtų galima greitai pritaikyti prie kintančių scenarijų, pavyzdžiui, sertifikavimas yra aktualesnis tokiose didelės rizikos srityse kaip debesijos paslaugos ir 5G infrastruktūra. Viešųjų pirkimų įgaliojimai šiuose sektoriuose atspindi didėjančią vienos bendros patikimos sertifikavimo sistemos paklausą, kurią gali patenkinti EKSSS. Be to, EKSSS sąsaja su naujais teisėkūros procedūra priimamais aktais, visų pirma Kibernetinio atsparumo aktu ir TIS 2 (Tinklų ir informacijos saugumo) direktyva, aiškiai rodo numatomą jos vertę tenkinant ypatingos svarbos infrastruktūros poreikius ir užtikrinant teisinę atitiktį visoje ES. Iniciatyvus ENISA vaidmuo ir nacionalinių kibernetinio saugumo sertifikavimo institucijų įsteigimas yra labai svarbūs etapai stiprinant bendradarbiavimo sąveiką ir skatinant diegti sertifikavimą. Vis dėlto dėl išteklių paskirstymo ir ekspertinių žinių atotrūkio tarp didesnių ir mažesnių valstybių narių ir toliau išlieka dalyvavimo ir veiksmingumo disbalansas, darantis poveikį kolektyvinių schemų kūrimui.

Suderinamumas

EKSSS suderinamumui įtakos taip pat turi tai, kad nėra aiškių atskaitomybės mechanizmų, todėl buvo sunku suderinti jos tikslus su kitomis teisėkūros priemonėmis. Dėl šio nesuderinamumo kyla įvairi kibernetinio saugumo aplinkos dubliavimosi ir neefektyvumo rizika. Kad būtų galima užtikrinti vieningą požiūrį į kibernetinį saugumą, labai svarbu EKSSS iki galo suderinti su kitomis ES teisėkūros priemonėmis, įskaitant TIS 2 direktyvą ir Kibernetinio atsparumo aktą. Teoriškai EKSSS yra suderinta su šiomis teisėkūros priemonėmis, skirtomis įvairiems kibernetinio saugumo aspektams ES aplinkoje spręsti, tačiau integracija realiomis sąlygomis tebėra sudėtinga ir jai reikia kruopščios priežiūros. Būsimas ES bendrų kriterijų schemos įgyvendinimas yra svarbus šio suderinamumo išbandymas, nes sėkmingai ją įdiegus paaiškės EKSSS pajėgumas suderinti papildomas teisėkūros pastangas ir jomis veiksmingai pasinaudoti. Suinteresuotieji subjektai pabrėžė, kad reikia atidžiai koordinuoti EKSSS ir naujus norminius aktus, kad būtų išvengta dubliavimosi, kuris galėtų pakenkti efektyvumui ir sumažinti numatomą poveikį įvairiuose sektoriuose. Konkrečiai, kyla susirūpinimas dėl EKSSS ir Kibernetinio atsparumo akto sąsajos, nes abiem iniciatyvomis siekiama sugriežtinti kibernetinio saugumo standartus, tačiau atsiranda perteklinio reguliavimo pavojus, jei nebus pasiekta visiška tų iniciatyvų sinergija, kai vienu teisės aktu remiamas ir papildomas kitas. Kalbant apie sektorius, suderinamumas turi plėstis, kad būtų atsižvelgta į nuolatinę technologijų pažangą, užtikrinant tinkamą kibernetinio saugumo iniciatyvų pritaikymą, kad būtų patenkinti ypatingos svarbos infrastruktūros poreikiai.

ES pridėtinė vertė

Nors EKSSS potencialas didelis, sistema sunkiai kūrė pridėtinę vertę, susijusia su paskatomis suvienodinti kibernetinio saugumo aplinką visoje ES ir padaryti ją veiksmingą. EKSSS tikslas buvo gerokai patobulinti ES kibernetinio saugumo aplinką, sukuriant beprecedentę sertifikavimo procesų kūrimo procedūrą ir valdymo struktūrą. Iš esmės EKSSS reiškė pažangą vystant ES gebėjimą suderinti požiūrį į IRT produktų, paslaugų ir procesų sertifikavimą. Šiai sistemai būdinga ES pridėtinė vertė slypi jos potenciale susieti skirtingas nacionalines koncepcijas, puoselėjant vidaus rinką su nuosekliais, patikimais ir pripažintais kibernetinio saugumo standartais visose valstybėse narėse. Tačiau dėl užsitęsusio grafiko ir fragmentiško schemų įgyvendinimo buvo sunku pasinaudoti visa numatyta EKSSS verte. Konkrečiai, vėlavimas įgyvendinti praktines schemas, kurį rodo vėlyvas tokių iniciatyvų kaip ES bendri kriterijai priėmimas, sumažino tiesioginį poveikį, todėl teorinis sistemos potencialas iš esmės liko neišnaudotas. Sisteminio įgyvendinimo skirtumai, kuriuos dar labiau didina nevienoda valstybių narių parengtis ir išteklių prieinamumas, papildomai susilpnina bendrą sistemos įtaką. Nepaisant to, EKSSS pagyvino bendradarbiavimo dinamiką visoje ES. Įsteigus tokias grupes kaip EKSSG, sistemoje buvo oficialiai įtvirtintos koordinavimo pastangos, sudarant sąlygas platesniam dalyvavimui įvairiais valdymo lygmenimis. Ši bendradarbiavimo infrastruktūra skatina dalytis informacija ir rengti bendras strategijas, taigi skatina laikytis vieningos pozicijos kibernetinio saugumo klausimais kintančių grėsmių akivaizdoje. Kad būtų galima pasinaudoti visa EKSSS teikiama ES pridėtine verte, labai svarbu užtikrinti platesnį ir racionalesnį suinteresuotųjų subjektų dalyvavimą. Įtraukios aplinkos, kurioje pramonės partneriai, nacionalinės valdžios institucijos ir ES įstaigos aktyviai prisidėtų prie sertifikavimo proceso ir jam duotų kryptį, puoselėjimas užtikrins platų kibernetinio saugumo standartų pripažinimą ir veiksmingumą.

Svarbiausi pasiekti rezultatai ir problemos

EKSSS yra itin svarbi priemonė siekiant stiprinti ENISA, valstybių narių ir pramonės bendradarbiavimą ES lygmeniu, nes didina jo aktualumą dinamiškoje kibernetinio saugumo aplinkoje. Lanksčios EKSSS pritaikymo galimybės palengvina schemų kūrimą ad hoc darbo grupėse ir gerai atitinka ES teisės aktų sistemas, pavyzdžiui, TIS 2. Šis potencialas, nors ir didelis, iš esmės lieka neišnaudotas dėl riboto faktinių schemų įgyvendinimo.

EKSSS yra labai svarbi šalinant besiformuojančias kibernetinio saugumo grėsmes ir skatinant laikytis reikalavimų, ypač pasitelkiant naujas technologijas, pavyzdžiui, dirbtinį intelektą. Suinteresuotieji subjektai pripažįsta jos vaidmenį stiprinant valstybių narių bendradarbiavimą ir gerinant kibernetinio saugumo parengtį. Taip pat pripažįstama jos vertė skatinant mainus vidaus rinkoje, nacionalines sertifikavimo schemas pakeičiant ES masto schemomis.

Tačiau EKSSS veiklą apsunkina nemažos silpnybės. Ilgi schemų priėmimo procesai kenkia sistemos veiksmingumui, o šią problemą dar labiau apsunkina techninis sudėtingumas ir pramonės lobistų politinis spaudimas. Šie vėlavimai mažina pasitikėjimą ir trukdo greitai priimti Europos kibernetinio saugumo sertifikavimo schemas. EKSSS teikia galimybių stiprinti ES kibernetinio saugumo sistemas, tačiau dėl tokių grėsmių kaip išteklių apribojimai ir geopolitinė įtampa kyla problemų. Politikos prioritetų pokyčiai ir galimas teisės aktų dubliavimasis galėtų turėti įtakos sistemos veiksmingumui ir kelti nenuoseklios padėties rinkoje riziką. Spręsti šiuos klausimus labai svarbu tam, kad EKSSS iš perspektyvios koncepcijos taptų visapusiškai veikiančiu mechanizmu, stiprinančiu ES kibernetinio saugumo standartizavimą ir sertifikavimą.

3.Išvados ir rekomendacijos

3.1Europos Sąjungos tinklų ir informacijos apsaugos agentūra (ENISA)

ENISA vertinime pabrėžiamas itin svarbus jos vaidmuo kuriant darnią kibernetinio saugumo aplinką visoje ES. ENISA įrodė savo veiksmingumą ir davė vertingų rezultatų. Kadangi reikalavimai ENISA toliau didėja, svarbu iš naujo įvertinti ir racionalizuoti jos operacijas, kad būtų geriau suderinti ištekliai ir prioritetai, nuolat akcentuojant paramą valstybėms narėms, nes jos kovoja su kibernetinio saugumo grėsmėmis ir stiprina nacionalines kibernetinio saugumo infrastruktūras. Patobulinus ataskaitų rengimo procesą, kad jos būtų patogesnės naudoti ir prieinamesnės, t. y. naudojant vaizdines priemones ir glaustas santraukas, būtų galima padidinti ENISA veiksmingumą ir aktualumą dabartinėje grėsmių aplinkoje. Siekiant užtikrinti, kad ENISA veikla ir paslaugos būtų aiškiai matomos suinteresuotiesiems subjektams, įskaitant pramonės subjektus, labai svarbu stiprinti komunikacijos kanalus. Aiškiai apibrėžta komunikacijos strategija galėtų padėti skatinti tvirtesnius ryšius ir bendradarbiavimą esamuose kibernetinio saugumo tinkluose, pavyzdžiui, ISAC.

ENISA gali pagerinti veiksmingumą strategiškiau rinkdamasi užduočių prioritetus, kad būtų galėtų racionaliau valdyti darbo krūvį. Siekiant padidinti ENISA aktualumą suinteresuotiesiems subjektams, esminis jos vaidmuo remiant valstybes nares turėtų būti toliau stiprinamas – turėtų būti didinami jos pajėgumai laiku teikti įžvalgas apie kylančias grėsmes ir strategines kovos su jomis priemones. Be to, kaip nurodė keletas suinteresuotųjų subjektų, bendrauti su privačiais subjektais, be kita ko, kai teikia paramą MVĮ, ENISA galėtų struktūriškiau ir skaidriau. Reikėtų siekti aiškumo, koks ENISA vaidmuo įgyvendinant politiką su kitomis ES institucijomis, užtikrinant, kad svarbiausias pastangų stiprinti vieningos ES kibernetinio saugumo strategijos sanglaudą aspektas būtų bendradarbiavimas su valstybėmis narėmis, apimantis bendradarbiavimo su kitomis ES agentūromis stiprinimą ir sinergijos su kitomis kibernetinio saugumo įstaigomis paieškas per bendrus veiksmus operatyviniam suderinamumui visoje Europoje didinti.

Apskritai svarbu išlaikyti ENISA, kaip specializuotos agentūros, statusą ES sistemoje, nes taip užtikrinamas nuolatinis dėmesys kibernetinio saugumo prioritetams. Šiomis rekomendacijomis siekiama sustiprinti ENISA gebėjimą efektyviai vykdyti savo pareigas ir dar kartą patvirtinama, kad ji yra vienas iš pagrindinių kibernetinio saugumo subjektų.

3.2Europos kibernetinio saugumo sertifikavimo sistema (EKSSS)

EKSSS vertinime pateikiamos kelios strateginės rekomendacijos. Pirma, nepaisant esminio ENISA vaidmens skatinant valstybių narių ir kitų suinteresuotųjų subjektų bendradarbiavimą ir operatyvinę darną, EKSSS efektyvumas ir veiksmingumas akivaizdžiai buvo riboti, daugiausia dėl schemų priėmimo procesų sudėtingumo. Šios problemos aiškiai rodo, kad būtina iš esmės peržiūrėti valdymo struktūras, kad veikla taptų aiškesnė ir padidėtų visų lygmenų atskaitomybė.

Siekiant atsižvelgti į šiuos vertinimo rezultatus, rekomenduojama imtis kelių veiksmų, kuriais ENISA indėlis į EKSSS būtų optimizuotas. Turėtų būti dedamos suderintos pastangos užtikrinti nuoseklų ir tinkamą finansinių ir žmogiškųjų išteklių paskirstymą ENISA ir kitiems EKSSS dalyvaujantiems suinteresuotiesiems subjektams. Siekiant sumažinti darbuotojų kaitą ir sustiprinti institucinę atmintį, būtina stabilizuoti įdarbinimo tvarką, kad būtų lengviau efektyviai įgyvendinti schemas ir vykdyti nuolatinę priežiūrą. Racionalizuojant EKSSS sprendimų priėmimo procesus, t. y. aiškiau paskirstant vaidmenis ir atsakomybę, padidėtų skaidrumas ir efektyvumas, ypač padėsiantys stiprinti valstybių narių, Komisijos ir ENISA tarpusavio bendradarbiavimo pastangas. Tai skatins atskaitomybę ir mažins neefektyvumą. Būtina įsipareigoti nustatyti realistiškus sertifikavimo schemų parengimo ir įgyvendinimo terminus ir jų laikytis. Tai apima paramą atliekant išsamią techninę analizę ir stiprinant parengiamąsias pastangas, kurios leistų veiksmingai numatyti ir sušvelninti politinę įtaką.

Be to, siekiant užtikrinti tęstinumą ir ekspertines žinias sudėtingų kibernetinio saugumo iššūkių kontekste, labai svarbu aktyviai investuoti į kvalifikuotų ENISA darbuotojų mokymą ir išlaikymą. Ilgalaikis darbo jėgos stabilumas bus labai svarbus siekiant išlaikyti operatyvinį EKSSS veiksmingumą. Be to, reikėtų didinti pramonės ir vartotojų informuotumą per tikslines kampanijas ir strateginį dalyvavimą, akcentuojant sertifikuotų produktų ir paslaugų vertę. Siekiant didinti EKSSS iniciatyvų paklausą ir pasitikėjimą jomis ypač svarbios yra iniciatyvios pastangos telkti suinteresuotųjų subjektų paramą.