COMISIA EUROPEANĂ

Bruxelles, 13.9.2017

COM(2017) 478 final

RAPORT AL COMISIEI CĂTRE PARLAMENTUL EUROPEAN ȘI CONSILIU

privind evaluarea Agenției Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA)

1.Introducere

1.1 Despre ENISA

Agenția Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA) a fost înființată în 2004, iar mandatul său a fost reînnoit periodic. Mandatul actual al ENISA este prevăzut în Regulamentul (UE) nr. 526/2013 1 („Regulamentul ENISA”) și urmează să expire la 19 iunie 2020.

Mandatul ENISA este de a contribui la un nivel ridicat de securitate a rețelelor și a informațiilor în interiorul Uniunii. Regulamentul ENISA descrie obiectivele specifice ale agenției, stabilind că aceasta:

·dezvoltă și menține un nivel ridicat de competență;

·oferă asistență instituțiilor, organelor, oficiilor și agențiilor Uniunii în dezvoltarea politicilor în domeniul securității rețelelor și a informațiilor;

·oferă asistență instituțiilor, organelor, oficiilor și agențiilor Uniunii și statelor membre la punerea în aplicare a politicilor necesare pentru îndeplinirea cerințelor legale și de reglementare referitoare la securitatea rețelelor și a informațiilor în temeiul actelor juridice existente și viitoare ale Uniunii, contribuind astfel la buna funcționare a pieței interne;

·oferă asistență Uniunii și statelor membre pentru creșterea și consolidarea pregătirii și a capacității acestora de a preveni, a detecta și a reacționa la problemele și incidentele de securitate a rețelelor și a informațiilor;

·își folosește competența pentru a stimula o cooperare largă între actorii din sectorul public și privat.

În plus, prin intermediul Directivei (UE) 2016/1148 2 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune („Directiva NIS”), colegiuitorii UE au hotărât să atribuie ENISA roluri importante în materie de punere în aplicare a legislației. În special, agenția asigură secretariatul rețelei CSIRT (instituită pentru a promova cooperarea operațională rapidă și eficace între statele membre) și este, de asemenea, invitată să ofere asistență Grupului de cooperare pentru cooperarea strategică în îndeplinirea atribuțiilor sale. În plus, Directiva NIS prevede că ENISA oferă asistență statelor membre și Comisiei prin furnizarea de expertiză și de consiliere și prin facilitarea schimbului de bune practici.

Agenția este situată în Grecia, sediul administrativ aflându-se în Heraklion (Creta), iar centrul operațional în Atena. Aceasta are 84 de angajați și un buget operațional anual de 11,25 milioane EUR. Agenția este condusă de un director executiv, guvernanța fiind asigurată de un consiliu de administrație, un comitet executiv și un grup permanent al părților interesate. O rețea informală de ofițeri naționali de legătură facilitează contactele cu statele membre.

1.2 Scopul raportului

Articolul 32 din Regulamentul ENISA prevede că, până la 20 iunie 2018, Comisia are obligația de a efectua o evaluare a ENISA „pentru a analiza în special impactul, eficacitatea și eficienta agenției și a practicilor sale de lucru” și pentru a examina dacă actualul mandat trebuie să fie prelungit.

Având în vedere schimbările semnificative care au avut loc în peisajul de securitate cibernetică din 2013, când a fost adoptat actualul Regulament ENISA, și luând în considerare gradul de maturitate atins la nivel tehnologic și în materie de piață și politică, în comunicarea sa din 2016 privind „Consolidarea sistemului de reziliență cibernetică al Europei și încurajarea unui sector al securității cibernetice competitiv și inovator” 3 , Comisia a anunțat că va devansa evaluarea și reexaminarea ENISA. În special, Comisia a subliniat faptul că reexaminarea ENISA ar oferi ocazia pentru o eventuală consolidare a capabilităților și capacităților agenției de a sprijini statele membre în mod durabil pentru realizarea rezilienței cibernetice.

Această viziune a fost confirmată, de asemenea, în concluziile Consiliului din 2016 4 , în care s-a recunoscut faptul că „amenințările cibernetice și vulnerabilitățile continuă să evolueze și să se intensifice, ceea ce va necesita o cooperare mai strânsă și continuă, în special în ceea ce privește gestionarea incidentelor de securitate cibernetică transfrontaliere la scară largă”. Concluziile au reafirmat faptul că „Regulamentul ENISA este unul dintre elementele esențiale ale unui cadru UE de reziliență cibernetică”.

Rezultatele evaluării ENISA au fost utilizate în evaluarea impactului care însoțește propunerea de regulament privind Agenția Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA, „Agenția UE pentru Securitate Cibernetică”) și de abrogare a Regulamentului (UE) nr. 526/2013 și privind certificarea de securitate cibernetică pentru tehnologia informației și comunicațiilor („Actul privind securitatea cibernetică”).

În temeiul articolului 32 din Regulamentul ENISA, Comisia trebuie să trimită raportul de evaluare și concluziile sale Parlamentului European, Consiliului și Consiliului de administrație. Prezentul raport de sinteză este însoțit de un document de lucru al serviciilor Comisiei privind evaluarea Agenției Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor [SWD(2017) 502].

2.Principalele constatări ale evaluării

În conformitate cu Orientările Comisiei privind o mai bună legiferare 5 , evaluarea a analizat eficacitatea, eficiența, coerența, relevanța și valoarea adăugată la nivelul UE a agenției, având în vedere performanța, guvernanța, structura organizatorică internă și practicile de lucru ale acesteia.

De asemenea, analiza a ținut seama de evoluția contextului în care agenția își desfășoară în prezent activitatea, în special în ceea ce privește: noul cadru de reglementare și de politică al UE (de exemplu, Directiva NIS, revizuirea Strategiei de securitate cibernetică a UE), evoluția nevoilor comunității de părți interesate ale agenției, precum și complementaritatea și posibilele sinergii cu activitatea desfășurată de alte instituții, agenții și organisme naționale și ale UE, cum ar fi echipa de intervenție în caz de incidente de securitate informatică (CSIRT) a instituțiilor, agențiilor și organismelor UE (CERT-UE) și Centrul european de combatere a criminalității informatice (EC3) din cadrul Europol.

Pentru a evalua funcționarea agenției:

·Comisia a comandat un studiu independent, care a fost efectuat în perioada noiembrie 2016-iulie 2017 și care, împreună cu analiza internă efectuată de Comisie, constituie principala sursă a evaluării.

·Printre activitățile desfășurate în cadrul studiului s-au numărat cercetarea documentară, colectarea și analiza datelor, inclusiv anchete în rândul părților interesate, interviuri aprofundate cu principalele părți implicate în domeniul securității cibernetice, un atelier de lucru cu participarea părților interesate, evaluarea comparativă, un exercițiu de poziționare a agenției și o analiză a punctelor tari, a punctelor slabe, a oportunităților și a riscurilor (SWOT).

·De asemenea, Comisia a efectuat o consultare publică online cu o durată de 12 săptămâni, care a vizat atât evaluarea ex post, cât și viitorul ENISA, precum și consultări specifice cu principalele părți interesate.

Principalele constatări ale evaluării, conform criteriilor de evaluare, pot fi rezumate după cum urmează:

1.Relevanță: În contextul progresului tehnologic, al evoluției amenințărilor și al nevoii semnificative de sporire a securității rețelelor și a informațiilor (NIS) în UE, obiectivele ENISA s-au dovedit a fi relevante. Dat fiind faptul că statele membre și organismele UE se bazează pe expertiza cu privire la evoluția NIS, în statele membre trebuie să fie dezvoltate capacități de înțelegere a amenințărilor și de răspuns la acestea, iar părțile interesate trebuie să coopereze în diverse domenii tematice și cu diverse instituții. NIS continuă să fie o prioritate politică fundamentală a UE, existând așteptarea ca ENISA să răspundă acestei priorități; cu toate acestea, faptul că ENISA a fost concepută ca o agenție a UE cu un mandat pe durată determinată: (i) nu permite planificarea pe termen lung și sprijinirea durabilă a statelor membre și a instituțiilor UE în contextul unui peisaj al amenințărilor la adresa securității cibernetice aflat într-o continuă evoluție ; (ii) poate conduce la un vid juridic, întrucât dispozițiile Directivei NIS care atribuie sarcini ENISA au un caracter permanent.

2.Eficacitate: ENISA și-a atins, la nivel global, obiectivele și și-a îndeplinit sarcinile. Aceasta a contribuit la sporirea NIS în Europa prin intermediul principalelor sale activități (consolidarea capacităților, furnizarea de expertiză, dezvoltarea comunității, acordarea de sprijin în materie de politică). Agenția a demonstrat un potențial de îmbunătățire în ceea ce privește fiecare dintre aceste aspecte. Evaluarea a concluzionat că ENISA a creat în mod eficace relații solide și bazate pe încredere cu unele dintre părțile sale interesate, în special cu statele membre și cu comunitatea CSIRT. Intervențiile în domeniul consolidării capacităților au fost considerate ca fiind eficace, în special pentru statele membre cu mai puține resurse. Stimularea unei colaborări extinse a fost unul dintre aspectele subliniate, în rândul părților interesate existând un larg acord cu privire la rolul pozitiv pe care îl are ENISA în reunirea părților implicate. Cu toate acestea, ENISA se confruntă cu dificultăți în realizarea unui impact semnificativ în domeniul vast al NIS. Una dintre cauze a fost și faptul că agenția a dispus de resurse financiare și umane destul de limitate pentru îndeplinirea unui mandat foarte vast. De asemenea, evaluarea a concluzionat că ENISA și-a îndeplinit parțial obiectivul de a oferi expertiză, din cauza problemelor întâmpinate în ceea ce privește recrutarea de experți (a se vedea, de asemenea, mai jos, secțiunea privind eficiența).

3.Eficiență: În pofida bugetului său redus – printre cele mai scăzute în comparație cu alte agenții ale UE – agenția a reușit să contribuie la obiectivele vizate, demonstrând eficiență globală în utilizarea resurselor sale. Evaluarea a concluzionat că procesele au fost în general eficiente și că o delimitare clară a responsabilităților în cadrul organizației a condus la o bună îndeplinire a sarcinilor. Una dintre principalele provocări în materie de eficiență cu care s-a confruntat ENISA o constituie dificultățile întâmpinate de aceasta în recrutarea și păstrarea experților cu înaltă calificare. Constatările arată că acest fapt poate fi explicat printr-o combinație de factori, inclusiv dificultățile generale întâmpinate în întregul sector public, în concurență cu sectorul privat, în încercarea de a angaja experți de înaltă specializare, tipul de contracte (cu durată determinată) pe care agenția le putea oferi în majoritatea cazurilor și nivelul relativ scăzut de atractivitate legat de localizarea ENISA, de exemplu privind dificultățile întâmpinate de soți în a-și găsi un loc de muncă. Faptul că agenția avea două sedii, la Atena și la Heraklion, a necesitat eforturi suplimentare în materie de coordonare și a generat costuri suplimentare, dar mutarea la Atena, în 2013, a centrului operațional a sporit eficiența operațională a agenției.

4.Coerență: Activitățile ENISA au fost în general coerente cu politicile și activitățile părților sale interesate, la nivel național și la nivelul UE, însă este necesară o abordare mai coordonată în materie de securitate cibernetică la nivelul UE. Potențialul de cooperare între ENISA și alte organisme ale UE nu a fost valorificat pe deplin. Evoluția peisajului juridic și în materie de politică al UE face ca actualul mandat să fie mai puțin coerent în prezent.

5.Valoarea adăugată europeană: Valoarea adăugată a ENISA constă în principal în capacitatea sa de a consolida cooperarea, în special între statele membre, dar și cu comunitățile interesate din domeniul NIS. Nu există niciun alt actor la nivelul UE care să sprijine cooperarea dintre aceleași tipuri de părți interesate din domeniul NIS. Valoarea adăugată furnizată de agenție a variat în funcție de nevoile și resursele divergente ale părților interesate (de exemplu, state membre mari față de state membre mici; state membre față de sector) și de necesitatea ca agenția să stabilească ordinea de prioritate a activităților sale în funcție de programul de lucru. Evaluarea a concluzionat că o posibilă încetare a activității ENISA ar însemna, pentru toate statele membre, pierderea unei oportunități. Nu va fi posibil să se asigure același nivel de consolidare a comunității și de cooperare între statele membre în domeniul securității cibernetice fără o agenție descentralizată a UE. Situația ar fi mult mai fragmentată dacă s-ar recurge la mecanisme de cooperare bilaterale sau regionale pentru umplerea vidului lăsat de ENISA.

3.Concluzii/Recomandări

Evaluarea a concluzionat că agenției i s-a încredințat în temeiul regulamentului un mandat extins – care permite o anumită flexibilitate, dar care în unele cazuri nu este suficient de specific, astfel încât este dificil pentru ENISA să realizeze un impact semnificativ – iar obiectivele sale s-au a fi dovedit relevante în perioada 2013-2016. Agenția a reușit să atingă un nivel bun de eficiență și a demonstrat valoarea adăugată a unei acțiuni la nivelul UE, în special prin intermediul unor activități-cheie, cum ar fi exercițiile cibernetice paneuropene, sprijinul pentru comunitatea CSIRT, analizele privind peisajul amenințărilor. ENISA a contribuit la sporirea securității rețelelor și a informațiilor în Europa, în special prin sprijinirea cooperării dintre statele membre și părțile interesate din domeniul NIS, precum și prin intermediul activităților sale de consolidare a comunității și a capacităților.

Agenția a obținut aceste rezultate în pofida mai multor provocări prezentate în secțiunile anterioare ale prezentului raport și în documentul de lucru al serviciilor Comisiei atașat. Una dintre principalele provocări a fost legată de resursele limitate, care nu au corespuns mandatului extins al agenției, în special având în vedere noile sarcini care i-au fost atribuite de Directiva NIS și peisajul amenințărilor aflat într-o evoluție rapidă. De asemenea, ENISA rămâne singura agenție a UE cu un mandat cu durată determinată, în pofida, printre altele, a sarcinilor legate de Directiva NIS, astfel cum s-a menționat mai sus.

Peisajul amenințărilor la adresa securității cibernetice evoluează rapid, iar noi amenințări apar pe măsură ce Europa devine din ce în ce mai dependentă de infrastructurile și serviciile digitale, nu numai ca urmare a utilizării dispozitivelor conectate, ci și a conectivității care acum este omniprezentă. Internetul obiectelor creează noi oportunități legate de eficiența energetică, protecția mediului, mobilitatea conectată, monitorizarea în timp real a sănătății și tranzacțiile financiare inteligente și neîntrerupte în economia și societatea digitală. Aceste facilități de care beneficiază activitățile comerciale sunt însă însoțite de noi vulnerabilități și puncte slabe care permit dispozitivelor compromise să perturbe piața unică digitală.

Evaluarea a condus la concluzia că actualul mandat nu oferă ENISA instrumentele necesare pentru a face față provocărilor actuale și viitoare în materie de securitate cibernetică.

În plus, în prezent există un risc tot mai mare de sporire a fragmentării la nivelul UE din cauza numărului de actori de la nivelul UE în domeniul securității cibernetice și a coordonării insuficiente între aceștia. UE are nevoie de un punct focal pentru abordarea noilor amenințări care au un caracter orizontal și afectează numeroase sectoare industriale și pentru o mai bună corelare cu nevoile comunității din domeniul securității cibernetice, în special statele membre, instituțiile UE și întreprinderile. Evaluarea sugerează că este nevoie de o agenție a UE organizată pe o bază intersectorială/orizontală, cu un mandat puternic.

Evaluarea arată că, în pofida anumitor dificultăți, există un potențial semnificativ ca ENISA, dacă i se atribuie un mandat suficient și i se acordă un sprijin suficient în ceea ce privește resursele financiare și umane, să aibă o contribuție semnificativă la sporirea securității cibernetice în UE.

De asemenea, există o nevoie clară de cooperare și coordonare între diferitele părți interesate. Necesitatea unei entități de coordonare la nivelul UE pentru a facilita fluxurile de informații, pentru a reduce la minimum lacunele și pentru a evita suprapunerea rolurilor și a responsabilităților devine din ce în ce mai stringentă. ENISA, ca agenție descentralizată a UE și intermediar neutru, este în măsură să coordoneze abordarea UE în materie de amenințări cibernetice.

Pe această bază, Comisia a prezentat o propunere de reformare a ENISA, atribuindu-i un mandat permanent care se bazează pe principalele sale puncte forte și pe noile domenii de acțiune prioritare, de exemplu în domeniul certificării de securitate cibernetică. Acest nou mandat ar trebui să reflecte evoluția situației și să confere agenției competențele necesare pentru a sprijini, în viitor, în mod corespunzător UE.

(1)   http://eur-lex.europa.eu/legal-content/RO/TXT/?qid=1495472820549&uri=CELEX:32013R0526  

(2)   http://eur-lex.europa.eu/legal-content/RO/TXT/?uri=uriserv:OJ.L_.2016.194.01.0001.01.ENG&toc=OJ:L:2016:194:TOC  

(3)  Comunicarea Comisiei privind „Consolidarea sistemului de reziliență cibernetică al Europei și încurajarea unui sector al securității cibernetice competitiv și inovator”, COM(2016) 0410 final.

(4)  Concluziile Consiliului privind „Consolidarea sistemului de reziliență cibernetică al Europei și încurajarea unui sector al securității cibernetice competitiv și inovator” - 15 noiembrie 2016.

(5)  COM (2015) 215final, SWD (2015)111 final; http://ec.europa.eu/smart-regulation/guidelines/docs/swd_br_guidelines_ro.pdf