18.6.2013   

FI

Euroopan unionin virallinen lehti

L 165/41

(1)

Sähköinen viestintä ja sähköiset infrastruktuurit ja palvelut ovat sekä suorasti että epäsuorasti taloudellisen ja yhteiskunnallisen kehityksen olennaisia tekijöitä. Niillä on yhteiskunnassa elintärkeä rooli, niistä itsestään on tullut sähkö- ja vesihuollon lailla kaikkialla läsnä olevia hyödykkeitä, ja ne ovat myös keskeisellä sijalla sähkön, veden ja muiden kriittisten palveluiden toimittamisessa. Viestintäverkot toimivat sosiaalisten muutosten ja innovaatioiden käynnistäjinä, ja ne moninkertaistavat teknologian vaikutusta ja muokkaavat kuluttajien käyttäytymistä, liiketoimintamalleja, teollisuuden aloja sekä kansalaisuutta ja poliittista osallistumista. Viestintäverkkojen häiriöt voivat aiheuttaa huomattavaa fyysistä, yhteiskunnallista ja taloudellista haittaa, mikä entisestään korostaa tarvetta toimille, joilla parannetaan niiden suojaa ja häiriönsietokykyä ja pyritään varmistamaan kriittisten palvelujen tarjonnan jatkuvuus. Sähköisen viestinnän ja sähköisten infrastruktuurien ja palvelujen tietoturvaan ja erityisesti niiden eheyteen, käytettävyyteen ja luottamuksellisuuteen kohdistuu alati kasvavia haasteita, jotka liittyvät muun muassa viestintäinfrastruktuurin yksittäisiin osiin sekä näitä osia ohjaaviin ohjelmistoihin, infrastruktuuriin kokonaisuutena sekä infrastruktuurin avulla tarjottaviin palveluihin. Tämä on yhteiskunnallisesti yhä suurempi huolenaihe, eikä vähiten siksi, että järjestelmien monimutkaisuuden, toiminta- ja järjestelmähäiriöiden, onnettomuuksien, inhimillisten virheiden ja vihamielisten hyökkäysten vuoksi saattaa aiheutua ongelmia, joilla voi olla vaikutuksia sähköiseen ja fyysiseen infrastruktuuriin, joka tuottaa Euroopan kansalaisten hyvinvoinnin kannalta kriittisiä palveluja.

(2)

Uhkakuvat muuttuvat jatkuvasti, ja turvallisuushäiriöt saattavat heikentää käyttäjien luottamusta teknologiaan, verkkoihin ja palveluihin, mikä vaikuttaa heidän mahdollisuuksiinsa hyödyntää sisämarkkinoiden ja tieto- ja viestintätekniikan laajamittaisen käytön koko potentiaalia.

(3)

Näin ollen politiikan laatijoille, elinkeinoelämälle ja käyttäjille on tärkeää, että verkko- ja tietoturvan tilaa unionissa arvioidaan säännöllisesti luotettavan unionin tiedon pohjalta ja että laaditaan järjestelmällisesti ennusteita tulevista kehityskuluista, haasteista ja uhkista sekä unionin tasolla että maailmanlaajuisesti.

(4)

Eurooppa-neuvostossa 13 päivänä joulukuuta 2003 kokoontuneet jäsenvaltioiden edustajat hyväksyivät päätöksen 2004/97/EY, Euratom (3), jonka mukaan komission ehdotuksen pohjalta perustettavan Euroopan verkko- ja tietoturvaviraston (ENISA) toimipaikka sijaitsisi jossain Kreikan kaupungissa, jonka Kreikan hallitus valitsee. Tämän päätöksen mukaisesti Kreikan hallitus päätti, että ENISAn toimipaikka sijaitsee Heraklionissa Kreetalla.

(5)

Viraston ja isäntäjäsenvaltion välillä tehtiin toimipaikkasopimus 1 päivänä huhtikuuta 2005.

(6)

Viraston isäntäjäsenvaltion olisi huolehdittava siitä, että virastolla on parhaat mahdolliset toimintaedellytykset. Viraston tehtävien moitteettoman ja tehokkaan suorittamisen, henkilöstön palvelukseenoton ja sitouttamisen sekä verkostoitumisen tehokkuuden kannalta viraston on sijaittava soveltuvassa paikassa, jossa on muun muassa toimivat liikenneyhteydet ja palveluja viraston henkilöstön mukana tuleville puolisoille ja lapsille. Tarvittavat järjestelyt olisi vahvistettava viraston ja isäntäjäsenvaltion välisessä sopimuksessa, joka tehdään sen jälkeen kun viraston johtokunta on antanut hyväksyntänsä.

(7)

Viraston toimintatehokkuuden parantamiseksi virasto on perustanut sivutoimiston Ateenan suurkaupunkialueelle; tämä sivutoimisto olisi pidettävä toiminnassa isäntäjäsenvaltion suostumuksella ja tuella, ja viraston operatiivinen henkilöstö olisi sijoitettava sinne. Henkilöstö, joka vastaa ensisijaisesti viraston hallintotehtävistä (pääjohtaja mukaan lukien), rahoitusasioista, aineistotutkimuksesta ja analysoinnista, tietotekniikan ja laitteistojen hallinnasta sekä henkilöstöhallinnosta, koulutuksesta, viestinnästä ja tiedotuksesta, olisi sijoitettava Heraklioniin.

(8)

Jotta varmistetaan, että virasto voi suorittaa tehtävänsä asianmukaisesti ja tehokkaasti, sillä on oikeus määrittää oma organisaationsa noudattaen tämän asetuksen säännöksiä toimipaikasta ja Ateenan sivutoimistosta. Viraston olisi tehtävä tarvittavat käytännön järjestelyt toimintatehokkuuden parantamiseksi, jotta se voi erityisesti huolehtia tehtävistä, joihin sisältyy vuorovaikutusta keskeisten sidosryhmien, kuten unionin toimielinten, kanssa.

(9)

Euroopan parlamentti ja neuvosto antoivat vuonna 2004 ENISAn perustamisesta asetuksen (EY) N:o 460/2004 (4), jolla pyrittiin osaltaan varmistamaan korkeatasoinen verkko- ja tietoturva unionissa ja luomaan erityinen verkko- ja tietoturvakulttuuri, josta on hyötyä kansalaisille, kuluttajille, yrityksille ja julkishallinnoille. Vuonna 2008 Euroopan parlamentti ja neuvosto antoivat asetuksen (EY) N:o 1007/2008 (5), jolla viraston toimikautta jatkettiin maaliskuuhun 2012. Asetuksella (EY) N:o 580/2011 (6) viraston toimikautta jatkettiin 13 päivään syyskuuta 2013.

(10)

Viraston olisi jatkettava asetuksella (EY) N:o 460/2004 perustetun ENISAn toimintaa. Isäntäjäsenvaltion olisi Eurooppa-neuvostossa 13 päivänä joulukuuta 2003 kokoontuneiden jäsenvaltioiden edustajien päätöksen mukaisesti ylläpidettävä ja kehitettävä nykyisiä käytännön järjestelyjä viraston, myös sen Ateenan sivutoimiston, moitteettoman ja tehokkaan toiminnan varmistamiseksi ja helpotettava erittäin ammattitaitoisen henkilöstön palvelukseenottoa ja sitouttamista.

(11)

ENISAn perustamisen jälkeen verkko- ja tietoturvaan liittyvät haasteet ovat muuttuneet teknologian, markkinoiden ja sosioekonomisten olosuhteiden kehityksen myötä, niitä on pohdittu lisää ja niistä on käyty lisää keskustelua. Vastauksena muuttuviin haasteisiin unioni on saattanut verkko- ja tietoturvapolitiikkansa painopisteet ajan tasalle. Tämän asetuksen tavoitteena on vahvistaa virastoa, jotta se voi onnistuneesti edesauttaa unionin toimielinten ja jäsenvaltioiden pyrkimyksiä kehittää Euroopan valmiuksia selviytyä verkko- ja tietoturvan haasteista.

(12)

Sisämarkkinasäännökset sähköisen viestinnän turvallisuuden ja yleisemmin verkko- ja tietoturvan alalla edellyttävät erilaisia teknisiä ja organisatorisia soveltamisen muotoja unionin toimielimiltä ja jäsenvaltioilta. Näiden vaatimusten epäyhtenäinen soveltaminen voi johtaa tehottomiin ratkaisuihin ja luoda esteitä sisämarkkinoille. Tästä syystä unionin toimielinten ja jäsenvaltioiden tueksi tarvitaan unionin tasoista osaamiskeskusta antamaan ohjeistusta, neuvoa ja apua verkko- ja tietoturvaan liittyvissä kysymyksissä. Virasto voi vastata näihin tarpeisiin kehittämällä ja ylläpitämällä korkeaa osaamistasoa ja avustamalla unionin toimielimiä ja jäsenvaltioita sekä elinkeinoelämää vastaamaan verkko- ja tietoturvaan liittyviin lakisääteisiin ja sääntelyllisiin vaatimuksiin, ja se voi määrittää verkko- ja tietoturvaongelmia, reagoida niihin ja edesauttaa näin sisämarkkinoiden moitteetonta toimintaa.

(13)

Viraston olisi hoidettava sähköistä viestintää koskevissa unionin säädöksissä sille annettuja tehtäviä ja yleisemmin myötävaikutettava sähköisen viestinnän tietoturvan sekä yksityisyyden ja henkilötietojen suojan parantumiseen muun muassa tarjoamalla asiantuntemustaan ja neuvontaa, edistämällä tiedonvaihtoa parhaista käytännöistä ja antamalla toimintapolitiikkaa koskevia ehdotuksia.

(14)

Sähköisten viestintäverkkojen ja -palvelujen yhteisestä sääntelyjärjestelmästä 7 päivänä maaliskuuta 2002 annetussa Euroopan parlamentin ja neuvoston direktiivissä 2002/21/EY (puitedirektiivi) (7) edellytetään, että yleisten sähköisten viestintäverkkojen ja yleisesti saatavilla olevien sähköisen viestinnän palvelujen tarjoajat toteuttavat tarvittavat toimenpiteet taatakseen niiden eheyden ja turvallisuuden, sekä asetetaan kansallisille sääntelyviranomaisille velvoite ilmoittaa tarpeen mukaan muun muassa virastolle kaikesta sellaisesta tietoturvallisuuden tai eheyden vaarantumisesta, jolla on ollut huomattava vaikutus verkkojen tai palvelujen toimintaan, ja toimittaa komissiolle ja virastolle vuosittain tiivistelmäraportti vastaanotetuista ilmoituksista ja toteutetuista toimista. Lisäksi direktiivissä 2002/21/EY annetaan virastolle tehtäväksi osallistua tarvittavien teknisten ja organisatoristen turvallisuustoimenpiteiden yhdenmukaistamiseen antamalla asiasta lausuntoja.

(15)

Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12 päivänä heinäkuuta 2002 annetussa Euroopan parlamentin ja neuvoston direktiivissä 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) (8) vaaditaan yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen tarjoamiensa palvelujen turvallisuuden, minkä lisäksi siinä edellytetään, että viestintä ja siihen liittyvät liikennetiedot pidetään luottamuksellisina. Direktiivillä 2002/58/EY asetetaan sähköisen viestinnän palvelujen tarjoajille vaatimuksia, jotka liittyvät henkilötietojen tietoturvaloukkauksia koskeviin tietoihin ja niistä ilmoittamiseen. Siinä edellytetään myös, että komissio kuulee virastoa kaikista teknisistä täytäntöönpanotoimenpiteistä, jotka koskevat tiedotus- ja ilmoitusvaatimuksiin sovellettavia olosuhteita, muotoa ja menettelyjä. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetussa Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY (9) vaaditaan jäsenvaltioita säätämään, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi vahingossa tapahtuvalta tai laittomalta tuhoamiselta, vahingossa tapahtuvalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietojen antamiselta, erityisesti jos käsittelyyn liittyy tietojen siirtämistä verkossa, sekä kaikelta muulta laittomalta käsittelyltä.

(16)

Viraston olisi osaltaan edistettävä korkeatasoista verkko- ja tietoturvaa, parannettava yksityisyyden ja henkilötietojen suojaa sekä kehitettävä unionin kansalaisia, kuluttajia, yrityksiä ja julkisen sektorin organisaatioita hyödyttävä verkko- ja tietoturvakulttuuri ja tuettava sitä ja siten edistettävä sisämarkkinoiden moitteetonta toimintaa. Tämän saavuttamiseksi virastolle olisi myönnettävä tarvittavat määrärahat.

(17)

Koska sähköiset verkot ja sähköinen viestintä ovat yhä tärkeämpiä myös Euroopan talouden tukipilareina ja digitaalitalous on nykyisin merkittävä talouden ala, viraston määrärahoja ja henkilöresursseja olisi lisättävä siten, että ne vastaavat sen kasvanutta roolia ja uusia tehtäviä sekä sen keskeistä asemaa eurooppalaisen digitaalisen ”ekosysteemin” puolustamisessa.

(18)

Viraston olisi toimittava alan kiintopisteenä ja vahvistettava uskoa ja luottamusta riippumattomuutensa, antamiensa lausuntojen ja levittämiensä tietojen laadun, menettelyjensä ja toimintatapojensa avoimuuden sekä sen tehtäviensä suorittamisessa osoittaman huolellisuuden ansiosta. Viraston olisi hyödynnettävä kansallisia ja unionin saavutuksia ja suoritettava näin ollen tehtävänsä täydessä yhteistyössä unionin toimielinten, elinten, laitosten ja virastojen sekä jäsenvaltioiden kanssa, ja sen olisi oltava valmis olemaan yhteydessä elinkeinoelämään ja muihin asianomaisiin sidosryhmiin. Lisäksi viraston olisi hyödynnettävä yksityisen sektorin näkemyksiä ja sen kanssa tehtävää yhteistyötä, jotka ovat tärkeässä asemassa turvattaessa sähköistä viestintää sekä sähköisiä infrastruktuureja ja palveluja.

(19)

Viraston tehtävänannossa olisi ilmaistava, miten viraston on määrä saavuttaa tavoitteensa niin, että se pystyy toimimaan joustavasti. Viraston tehtäviin olisi kuuluttava tarvittavan tiedon keruu sähköisten viestintäjärjestelmien, infrastruktuurien ja palvelujen tietoturvaan ja häiriönsietokykyyn kohdistuvien riskien analysoimiseksi sekä verkko- ja tietoturvatilanteen arvioimiseksi unionissa yhteistyössä jäsenvaltioiden, komission ja tarvittaessa asianomaisten sidosryhmien kanssa. Viraston olisi varmistettava koordinaatio ja yhteistyö unionin toimielinten, elinten, laitosten ja virastojen sekä jäsenvaltioiden kanssa ja lisättävä eri sidosryhmien yhteistyötä Euroopassa, erityisesti ottamalla toimintaansa mukaan asiaan liittyvien alojen toimivaltaisia kansallisia ja unionin elimiä sekä korkean tason asiantuntijoita yksityiseltä sektorilta, etenkin sähköisten viestintäverkkojen ja -palvelujen tarjoajia, verkkolaitteiden valmistajia ja ohjelmistoyrityksiä, ja otettava siinä huomioon, että verkko- ja tietojärjestelmät muodostuvat laitteistojen, ohjelmistojen ja palvelujen yhdistelmistä. Viraston olisi avustettava unionin toimielimiä ja jäsenvaltioita niiden yhteydenpidossa yritysmaailman edustajien kanssa laitteistojen ja ohjelmistotuotteiden tietoturvaongelmien arvioimiseksi ja edesautettava näin osaltaan yhteistoiminnallisen lähestymistavan kehittymistä verkko- ja tietoturvan alalla.

(20)

Unionin toimielimen, elimen, laitoksen tai viraston taikka jäsenvaltion julkistamat verkko- ja tietoturvastrategiat olisi annettava tiedoksi virastolle, jotta vältetään toimien päällekkäisyys. Viraston olisi analysoitava strategiat ja edistettävä niiden esittämistä vertailua helpottavassa muodossa. Sen olisi asetettava strategiat ja analyysinsa julkisesti saataville sähköisessä muodossa.

(21)

Viraston olisi avustettava komissiota antamalla neuvoja, lausuntoja ja analyysejä kaikista unionin asioista, jotka liittyvät verkko- ja tietoturva-alan toimintapolitiikan laatimiseen, mukaan lukien kriittisen tietoteknisen infrastruktuurin suojaaminen ja häiriönsietokyky. Viraston olisi avustettava myös unionin toimielimiä, elimiä, virastoja ja laitoksia sekä tarvittaessa jäsenvaltioita, näiden sitä pyytäessä, niiden pyrkimyksissä kehittää verkko- ja tietoturvapolitiikkaa ja -valmiuksia.

(22)

Viraston olisi otettava täysimääräisesti huomioon meneillään olevat tutkimus-, kehittämis- ja teknologian arvioimistoimet, erityisesti sellaiset, joita toteutetaan unionin eri tutkimusaloitteissa, antaakseen unionin toimielimille, elimille, virastoille ja laitoksille sekä tarvittaessa jäsenvaltioille, näiden sitä pyytäessä, neuvoja verkko- ja tietoturva-alan tutkimustarpeista.

(23)

Viraston olisi avustettava unionin toimielimiä, elimiä, laitoksia ja virastoja sekä jäsenvaltioita niiden pyrkimyksissä luoda ja parantaa rajat ylittäviä valmiuksia ehkäistä ja havaita verkko- ja tietoturvaongelmia ja -uhkia sekä reagoida niihin. Viraston olisi tältä osin helpotettava jäsenvaltioiden keskinäistä ja komission sekä muiden unionin toimielinten, elinten, laitosten ja virastojen ja jäsenvaltioiden välistä yhteistyötä. Tätä varten viraston olisi tuettava jäsenvaltioita niiden jatkuvissa pyrkimyksissä parantaa reagointivalmiuksiaan sekä järjestettävä ja toteutettava Euroopan laajuisia tietoturvaharjoituksia sekä jäsenvaltion pyynnöstä kansallisia tietoturvaharjoituksia.

(24)

Ymmärtääkseen paremmin verkko- ja tietoturva-alan haasteita viraston on analysoitava nykyisiä ja esiin nousevia riskejä. Tätä varten viraston olisi yhteistyössä jäsenvaltioiden ja tarvittaessa tilastokeskusten ja muiden elinten kanssa kerättävä tarvittavaa tietoa. Lisäksi viraston olisi autettava unionin toimielimiä, elimiä, virastoja ja laitoksia sekä jäsenvaltioita keräämään, analysoimaan ja levittämään verkko- ja tietoturvaan liittyvää tietoa. Sähköisten viestintäjärjestelmien, infrastruktuurien ja palvelujen tietoturvallisuuteen ja häiriönsietokykyyn kohdistuvien riskien analysoimiseen tarvittavien tilastotietojen keräämisen olisi perustuttava jäsenvaltioiden toimittamiin tietoihin ja viraston näkemykseen unionin toimielinten tieto- ja viestintäteknisistä infrastruktuureista unionin säännösten sekä unionin lainsäädännön mukaisten kansallisten säännösten mukaisesti. Viraston olisi näiden tietojen pohjalta levitettävä tietoa unionin vallitsevasta verkko- ja tietoturvatilanteesta ja alan kehityssuuntauksista unionin toimielinten, elinten, laitosten ja virastojen sekä jäsenvaltioiden hyväksi.

(25)

Viraston olisi tehtäviään suorittaessaan helpotettava unionin ja jäsenvaltioiden välistä yhteistyötä tietoisuuden lisäämiseksi unionin verkko- ja tietoturvatilanteesta.

(26)

Viraston olisi helpotettava jäsenvaltioiden toimivaltaisten riippumattomien sääntelyviranomaisten yhteistyötä erityisesti tukemalla koulutusohjelmiin ja tiedotushankkeisiin liittyvien parhaiden käytäntöjen ja normien kehittämistä, niiden tunnetuksi tekemistä ja niitä koskevaa tiedonvaihtoa. Tiedonvaihdon lisääminen jäsenvaltioiden kesken helpottaa jatkossa tällaista toimintaa. Viraston olisi edistettävä sähköisten viestintäjärjestelmien, infrastruktuurien ja palvelujen yksittäisten käyttäjien tietoisuuden parantamista myös auttamalla jäsenvaltioita, jotka ovat päättäneet käyttää yleispalvelusta ja käyttäjien oikeuksista sähköisten viestintäverkkojen ja -palvelujen alalla 7 päivänä maaliskuuta 2002 annetun Euroopan parlamentin ja neuvoston direktiivissä 2002/22/EY (yleispalveludirektiivi) (10) tarkoitettua yleiseen etuun liittyvän tiedon mekanismia verkko- ja tietoturvaa koskevan yleiseen etuun liittyvän tiedon tuottamisessa, sekä lisäksi auttamalla sellaisten tietojen kehittämisessä, jotka toimitetaan julkisissa viestintäverkoissa käytettäviksi tarkoitettujen uusien laitteiden mukana. Viraston olisi tuettava myös sidosryhmien yhteistyötä unionin tasolla, osin edistämällä tiedonvaihtoa, tiedotuskampanjoita ja koulutusohjelmia.

(27)

Viraston olisi myös avustettava asianomaisia unionin toimielimiä, elimiä, virastoja ja laitoksia sekä jäsenvaltioita loppukäyttäjille suunnatuissa valistuskampanjoissa, joilla pyritään edistämään entistä turvallisempaa verkkokäyttäytymistä ja lisäämään tietoisuutta verkossa piilevistä mahdollisista uhista, mukaan lukien verkkourkintayritysten, bottiverkkojen sekä talous- ja pankkipetosten kaltainen tietoverkkorikollisuus, sekä edistämään yleisluonteisen neuvonnan antamista aitouden todentamista ja tietosuojaa koskevissa kysymyksissä.

(28)

Sen varmistamiseksi, että virasto saavuttaa kaikki tavoitteensa, viraston olisi oltava yhteydessä asiaankuuluviin elimiin, mukaan lukien tietoverkkorikollisuutta käsittelevät viranomaiset, kuten Europol, ja tietosuojaviranomaisiin ja vaihdettava taitotietoa ja parhaita käytäntöjä niiden kanssa sekä annettava neuvoja sellaisissa verkko- ja tietoturvakysymyksissä, joilla voi olla vaikutusta niiden toimintaan. Viraston olisi pyrittävä saamaan aikaan synergiaa kyseisten elinten toimien ja sen omien verkko- ja tietoturvan edistämiseksi toteuttamien toimien välillä. Kansallisten ja unionin lainvalvontaviranomaisten sekä tietosuojaviranomaisten edustajien olisi voitava olla edustettuina viraston pysyvässä sidosryhmässä. Ollessaan yhteydessä lainvalvontaviranomaisiin sellaisissa verkko- ja tietoturvakysymyksissä, joilla voi olla vaikutusta niiden toimintaan, viraston olisi käytettävä olemassa olevia tiedonvaihtokanavia ja vakiintuneita verkostoja.

(29)

Komissio on perustanut häiriönsietokykyä käsittelevän eurooppalaisen julkisen ja yksityisen sektorin kumppanuuden (European Public-Private Partnership for Resilience) joustavaksi unionin laajuiseksi yhteistyöfoorumiksi tieto- ja viestintäteknisen infrastruktuurin häiriönsietokyvyn parantamiseksi, ja viraston olisi toimittava tässä kumppanuudessa välittävässä roolissa ja saatettava yhteen sidosryhmiä keskustelemaan toimintapolitiikan painopisteistä, haasteiden taloudellisista ulottuvuuksista ja markkinaulottuvuuksista sekä toimista tieto- ja viestintätekniikan häiriönsietokyvyn parantamiseksi.

(30)

Edistääkseen verkko- ja tietoturvaa ja sen näkyvyyttä viraston olisi helpotettava jäsenvaltioiden toimivaltaisten julkisten elinten yhteistyötä erityisesti tukemalla parhaiden käytäntöjen ja tiedotushankkeiden kehittämistä ja niitä koskevaa tietojenvaihtoa sekä tehostamalla kyseisten elinten tiedotustoimintaa. Viraston olisi tuettava myös sidosryhmien sekä unionin toimielinten yhteistyötä, osin edistämällä tiedonvaihtoa ja valistustoimintaa.

(31)

Nostaakseen verkko- ja tietoturvan korkeaa tasoa unionissa viraston olisi edistettävä yhteistyötä sekä tiedon ja parhaiden käytäntöjen vaihtoa asiaankuuluvien organisaatioiden välillä, kuten tietoturvaloukkauksien ennaltaehkäisystä ja torjunnasta vastaavien CSIRT-toimijoiden (Computer Security Incident Response Team) ja CERT-toimijoiden (Computer Emergency Response Team) välillä.

(32)

Asianmukaisesti toimivien CERT-toimijoiden unionin laajuisen järjestelmän olisi oltava unionin verkko- ja tietoturvainfrastruktuurin kulmakivi. Viraston olisi tuettava jäsenvaltioiden ja unionin CERT-toimijoita CERT-toimijoiden verkoston toiminnassa, myös Euroopan valtiollisten CERT-toimijoiden (GovCERT) yhteenliittymän jäseniä. Jotta virasto voisi auttaa varmistamaan, että kullakin CERT-toimijalla on riittävän kehittyneet valmiudet ja että niiden valmiudet vastaavat mahdollisimman pitkälti kehittyneimpien CERT-toimijoiden valmiuksia, sen olisi edistettävä vertaisarviointijärjestelmän perustamista ja toimintaa. Viraston olisi lisäksi edistettävä ja tuettava yhteistyötä asianomaisten CERT-toimijoiden välillä tapauksissa, joissa CERT-toimijoiden hallinnoimiin tai suojaamiin verkkoihin tai infrastruktuureihin kohdistuu loukkauksia, hyökkäyksiä tai häiriöitä, jotka koskevat tai mahdollisesti koskevat vähintään kahta CERT-toimijaa.

(33)

Tehokkaan verkko- ja tietoturvapolitiikan olisi perustuttava kehittyneisiin riskinarviointimenetelmiin niin julkisella kuin yksityiselläkin sektorilla. Riskinarviointimenetelmiä ja -menettelyjä käytetään eri tasoilla vailla yhteistä tehokasta soveltamiskäytäntöä. Riskinarvioinnin ja yhteentoimivien riskinarviointiratkaisujen parhaiden käytäntöjen edistäminen ja kehittäminen julkisen ja yksityisen sektorin organisaatioissa nostaa verkkojen ja tietojärjestelmien turvallisuustasoa unionissa. Tätä varten viraston olisi tuettava sidosryhmien yhteistyötä unionin tasolla ja helpotettava niiden pyrkimyksiä laatia ja ottaa käyttöön eurooppalaisia ja kansainvälisiä normeja riskinhallintaa varten sekä niiden sähköisten tuotteiden, järjestelmien, verkkojen ja palvelujen tietoturvallisuuden mittaamista varten, jotka yhdessä ohjelmistojen kanssa muodostavat verkko- ja tietojärjestelmät.

(34)

Viraston olisi vaihdettava kokemuksia ja yleisiä tietoja verkko- ja tietoturva-alalla toimivien unionin toimielinten, elinten, virastojen ja laitosten kanssa, jos se on tarkoituksenmukaista viraston tavoitteiden ja tehtävien kannalta. Viraston olisi tuettava tutkimuspainopisteiden määrittämistä unionin tasolla verkkojen häiriönsietokyvyn sekä verkko- ja tietoturvan aloilla, ja sen olisi toimitettava tietoa elinkeinoelämän tarpeista asiaankuuluville tutkimuslaitoksille.

(35)

Viraston olisi kannustettava jäsenvaltioita ja palveluntarjoajia tiukentamaan yleisiä turvallisuusnormejaan, jotta kaikki internetin käyttäjät toteuttaisivat tarvittavat toimenpiteet oman verkkoturvallisuutensa varmistamiseksi.

(36)

Verkko- ja tietoturvaongelmat ovat maailmanlaajuisia. Tarvitaan tiiviimpää kansainvälistä yhteistyötä tietoturvanormien parantamiseksi, yhteisten käyttäytymisnormien ja käytännesääntöjen laatiminen mukaan lukien, ja tiedonvaihtoa kansainvälisen yhteistoiminnan nopeuttamiseksi verkko- ja tietoturvakysymyksissä sekä yhteistä maailmanlaajuista lähestymistapaa näihin kysymyksiin. Tätä varten viraston olisi tuettava unionin aktiivisempaa osallistumista ja unionin ulkopuolisten maiden ja kansainvälisten organisaatioiden kanssa tehtävän yhteistyön lisäämistä tarjoamalla asianomaisten unionin toimielinten, elinten, virastojen ja laitosten mahdollisesti tarvitsemaa asiantuntemusta ja analysointivalmiuksia.

(37)

Viraston olisi toiminnassaan noudatettava toissijaisuusperiaatetta varmistamalla jäsenvaltioiden välinen riittävä koordinointi verkko- ja tietoturva-asioissa sekä parantamalla kansallisten toimintapolitiikkojen tuloksellisuutta ja tuottamalla näin niille lisäarvoa, minkä lisäksi sen olisi noudatettava suhteellisuusperiaatetta eli oltava ylittämättä sitä, mikä on tarpeen tässä asetuksessa säädettyjen tavoitteiden saavuttamiseksi. Viraston tehtävien suorittaminen ei saisi vaikuttaa seuraavien elinten toimivaltaan, vaan sen pitäisi vahvistaa sitä, eikä se saisi olla etusijalla niiden asiaa koskeviin toimivaltuuksiin ja tehtäviin nähden eikä estää näitä tai olla päällekkäistä näiden kanssa: sähköisiä viestintäverkkoja ja -palveluita koskevissa direktiiveissä tarkoitetut kansalliset sääntelyviranomaiset, asetuksella (EY) N:o 1211/2009 (11) perustettu Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelin (BEREC), direktiivissä 2002/21/EY tarkoitettu viestintäkomitea, direktiivissä 98/34/EY (12) tarkoitetut eurooppalaiset standardointielimet, kansalliset standardointielimet ja pysyvä komitea, sekä direktiivissä 95/46/EY tarkoitetut jäsenvaltioiden riippumattomat valvontaviranomaiset.

(38)

On tarpeen panna täytäntöön tiettyjä viraston hallintoa koskevia periaatteita, jotta voidaan noudattaa EU:n erillisvirastoja käsittelevässä toimielinten välisessä työryhmässä heinäkuussa 2012 hyväksyttyä yhteistä julkilausumaa ja yhteistä lähestymistapaa, joiden tarkoituksena on tehostaa virastojen toimintaa ja parantaa niiden tuloksellisuutta.

(39)

Yhteisen julkilausuman ja yhteisen lähestymistavan olisi näyttävä asianmukaisella tavalla myös viraston työohjelmissa, viraston arvioinneissa ja viraston raportointi- ja hallintokäytännöissä.

(40)

Viraston moitteettoman toiminnan takaamiseksi komission ja jäsenvaltioiden olisi varmistettava, että johtokunnan jäseniksi nimitettävillä henkilöillä on riittävä ammatillinen asiantuntemus. Johtokunnan työn jatkuvuuden varmistamiseksi komission ja jäsenvaltioiden olisi pyrittävä rajoittamaan johtokunnassa olevien edustajiensa vaihtuvuutta.

(41)

On olennaista, että virasto luo itselleen puolueettoman, luotettavan ja erittäin ammattitaitoisen maineen ja pitää sitä yllä. Johtokunnan olisi tätä varten hyväksyttävä koko virastoa koskevat kattavat säännöt eturistiriitojen ehkäisemisestä ja hallinnasta.

(42)

Koska viraston tilanne on ainutlaatuinen ja sitä odottavat suuret haasteet, sen organisaatiorakennetta olisi yksinkertaistettava ja vahvistettava tavalla, joka lisää sen tehokkuutta ja tuloksellisuutta. Muun muassa tämän vuoksi virastolle olisi perustettava hallitus, jotta johtokunta voi keskittyä strategisesti tärkeisiin kysymyksiin.

(43)

Johtokunnan olisi nimitettävä tilinpitäjä asetuksessa (EU, Euratom) N:o 966/2012 (13), jäljempänä ’varainhoitoasetus’, vahvistettujen sääntöjen mukaisesti.

(44)

Viraston toiminnan tuloksellisuuden varmistamiseksi jäsenvaltioiden ja komission olisi oltava edustettuina johtokunnassa, jonka olisi määriteltävä viraston toiminnan yleinen suunta ja varmistettava, että se hoitaa tehtäviään tämän asetuksen mukaisesti. Johtokunnalle olisi annettava tarvittavat valtuudet hyväksyä talousarvio, valvoa sen toteuttamista, vahvistaa tarvittavat varainhoitoa koskevat säännöt, luoda avoimet menettelyt viraston päätöksentekoa varten, vahvistaa viraston työohjelma, vahvistaa työjärjestyksensä ja viraston sisäiset toimintasäännöt, nimittää pääjohtaja, päättää tämän toimikauden jatkamisesta Euroopan parlamentin näkemyksen kuultuaan ja päättää pääjohtajan toimikauden päättymisestä. Johtokunnan olisi perustettava hallitus avustamaan sitä sen hallinnollisiin asioihin ja talousarvioasioihin liittyvien tehtävien hoidossa.

(45)

Viraston moitteeton toiminta edellyttää, että sen pääjohtaja nimitetään ansioiden ja todistuksin osoitettujen hallinnollisten taitojen ja johtamistaitojen sekä verkko- ja tietoturvan kannalta merkityksellisen pätevyyden ja kokemuksen perusteella ja että pääjohtajan tehtäviä hoidetaan täysin riippumattomana viraston sisäisen toiminnan organisoinnista. Tätä varten pääjohtajan olisi laadittava ehdotus viraston työohjelmaksi kuultuaan ensin komissiota ja toteutettava kaikki tarvittavat toimenpiteet varmistaakseen viraston työohjelman asianmukaisen toteuttamisen. Pääjohtajan olisi laadittava johtokunnalle esitettävä vuosikertomus sekä esitys viraston tuloja ja menoja koskevaksi ennakkoarvioksi ja vastattava talousarvion toteuttamisesta.

(46)

Pääjohtajan olisi voitava perustaa tilapäisiä työryhmiä erityisesti tieteellisiä, teknisiä, oikeudellisia tai sosioekonomisia erityiskysymyksiä varten. Tilapäisiä työryhmiä perustaessaan pääjohtajan olisi pyrittävä hankkimaan ja käyttämään hyväkseen tarvittavaa ulkopuolista asiantuntemusta, jotta virastolla olisi käytettävissään viimeisin tieto kehittyvän tietoyhteiskunnan turvallisuushaasteista. Pääjohtajan olisi varmistettava, että tilapäisten työryhmien jäsenet valitaan huippuasiantuntemuksen perusteella ja ottaen asianmukaisesti huomioon tarvittaessa tarkasteltavan kysymyksen edellyttämällä tavalla edustuksellinen tasapaino jäsenvaltioiden julkishallintojen, unionin toimielinten ja yksityisen sektorin välillä, mukaan lukien elinkeinoelämä, käyttäjät ja tiedeyhteisöä edustavat verkko- ja tietoturva-asiantuntijat. Pääjohtajan olisi voitava tarvittaessa tapauskohtaisesti kutsua kyseisellä alalla päteviksi tunnustettuja yksittäisiä asiantuntijoita osallistumaan työryhmien toimintaan. Viraston olisi vastattava heille aiheutuvista kustannuksista sisäisten toimintasääntöjensä ja varainhoitoasetuksessa vahvistettujen sääntöjen mukaisesti.

(47)

Virastolla olisi oltava neuvoa-antavana elimenä pysyvä sidosryhmä, jotta voitaisiin varmistaa säännöllinen yhteydenpito yksityisen sektorin, kuluttajajärjestöjen ja muiden asianosaisten sidosryhmien kanssa. Pysyvän sidosryhmän, jonka johtokunta perustaa pääjohtajan ehdotuksesta, olisi keskityttävä sidosryhmiä koskeviin asioihin ja saatettava ne viraston tietoon. Pääjohtajan olisi voitava tarvittaessa ja kokousten esityslistan mukaisesti kutsua Euroopan parlamentin ja muiden asianomaisten elinten edustajia osallistumaan pysyvän sidosryhmän kokouksiin.

(48)

Koska sidosryhmien on oltava laajalti edustettuina pysyvässä sidosryhmässä ja tätä ryhmää on kuultava erityisesti työohjelmaluonnoksesta, ei ole enää tarvetta siihen, että sidosryhmillä olisi edustus johtokunnassa.

(49)

Viraston olisi sovellettava asiakirjojen saamista yleisön tutustuttavaksi koskevia asiaankuuluvia unionin säännöksiä, sellaisina kuin ne on vahvistettu Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1049/2001 (14). Viraston sisäisessä toiminnassaan käsittelemiin tietoihin sekä tehtäviään suorittaessaan käsittelemiin tietoihin olisi sovellettava yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annettua Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001 (15).

(50)

Viraston olisi noudatettava arkaluonteisten asiakirjojen käsittelyä koskevia unionin toimielimiin sovellettavia määräyksiä ja kansallista lainsäädäntöä.

(51)

Jotta voidaan varmistaa viraston täydellinen itsemääräämisoikeus ja riippumattomuus ja jotta virasto pystyy suorittamaan uusia ja täydentäviä tehtäviä, myös ennakoimattomia tehtäviä hätätilanteissa, virastolle olisi annettava riittävä ja itsenäinen talousarvio, jonka tulot koostuvat ensisijaisesti unionin rahoitusosuudesta ja viraston työhön osallistuvien unionin ulkopuolisten maiden rahoitusosuuksista. Viraston henkilöstön enemmistön työtehtävien olisi liityttävä suoraan viraston toimeksiannon operatiiviseen täytäntöönpanoon. Viraston isäntäjäsenvaltion tai minkä tahansa muun jäsenvaltion olisi voitava maksaa vapaaehtoisia rahoitusosuuksia virastolle. Unionin talousarviomenettelyä olisi sovellettava edelleen Euroopan unionin yleisestä talousarviosta maksettaviin tukiin. Lisäksi tilintarkastustuomioistuimen olisi tarkastettava viraston tilit avoimuuden ja vastuuvelvollisuuden varmistamiseksi.

(52)

Koska uhkakuvat muuttuvat jatkuvasti ja unionin verkko- ja tietoturvapolitiikka kehittyy ja jotta voidaan noudattaa monivuotista rahoituskehystä, viraston toimikauden kesto olisi rajattava seitsemään vuoteen ja kestoa olisi voitava jatkaa.

(53)

Viraston toimintaa olisi arvioitava riippumattomasti. Arvioinnissa olisi otettava huomioon viraston tuloksellisuus tavoitteidensa saavuttamisessa, sen toimintatavat ja tehtävien merkityksellisyys, jotta voidaan tarkistaa, ovatko ne ja viraston tavoitteet edelleen asianmukaisia, ja päättää tältä pohjalta, olisiko viraston toimikautta edelleen jatkettava ja kuinka pitkäksi ajaksi.

(54)

Jos komissio ei viraston toimikauden lähestyessä loppuaan ole tehnyt ehdotusta toimikauden jatkamiseksi, viraston ja komission olisi ryhdyttävä tarvittaviin toimiin ja käsiteltävä erityisesti henkilöstön sopimuksiin ja talousarviojärjestelyihin liittyviä kysymyksiä.

(55)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitetta, joka on Euroopan verkko- ja tietoturvallisuusviraston perustaminen korkeatasoisen verkko- ja tietoturvan edistämiseksi unionissa ja asiaa koskevan tietoisuuden lisäämiseksi sekä erityisen verkko- ja tietoturvakulttuurin luomiseksi ja tunnetuksi tekemiseksi yhteiskunnassa kansalaisten, kuluttajien, yritysten ja julkisen sektorin organisaatioiden hyödyksi unionissa, edistäen näin sisämarkkinoiden syntymistä ja moitteetonta toimintaa, vaan se voidaan saavuttaa paremmin unionin tasolla, joten unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tämän tavoitteen saavuttamiseksi tarpeen.

(56)

Asetus (EY) N:o 460/2004 olisi kumottava.

(57)

Euroopan tietosuojavaltuutettua on kuultu asetuksen (EY) N:o 45/2001 28 artiklan 2 kohdan mukaisesti, ja hän antoi lausuntonsa 20 päivänä joulukuuta 2010 (16),

a)

tukee unionin politiikan ja oikeuden kehittämistä seuraavasti:

b)

tukee valmiuksien kehittämistä seuraavasti:

c)

tukee toimivaltaisten julkisten elinten välistä sekä sidosryhmien välistä vapaaehtoista yhteistyötä, unionissa sijaitsevat yliopistot ja tutkimuslaitokset mukaan luettuina, sekä tukee tietoisuuden lisäämistä muun muassa seuraavasti:

d)

tukee tutkimusta ja kehittämistä sekä standardointia seuraavasti:

e)

tekee yhteistyötä unionin toimielinten, elinten, laitosten ja virastojen kanssa, mukaan lukien ne, jotka käsittelevät tietoverkkorikollisuutta ja yksityisyyden ja henkilötietojen suojaa, yhteiseen etuun liittyvien ongelmien ratkaisemiseksi muun muassa seuraavasti:

f)

edistää unionin pyrkimyksiä yhteistoimintaan unionin ulkopuolisten maiden ja kansainvälisten organisaatioiden kanssa kansainvälisen yhteistyön edistämiseksi verkko- ja tietoturvallisuuskysymyksissä muun muassa seuraavasti:

a)

johtokunta;

b)

pääjohtaja ja henkilöstö; sekä

c)

pysyvä sidosryhmä.

a)

viraston päivittäinen hallinto;

b)

johtokunnan tekemien päätösten täytäntöönpano;

c)

vuotuisen työohjelman ja monivuotisen työohjelman laatiminen johtokunnan kuulemisen jälkeen ja niiden toimittaminen johtokunnalle komission kuulemisen jälkeen;

d)

vuotuisen työohjelman ja monivuotisen työohjelman täytäntöönpano ja niiden täytäntöönpanosta raportointi johtokunnalle;

e)

vuotuisen kertomuksen laatiminen viraston toiminnasta ja sen esittely johtokunnalle hyväksyntää varten;

f)

toimintasuunnitelman laatiminen jälkiarviointien päätelmien perusteella ja edistymiskertomuksen laatiminen komissiolle kahden vuoden välein;

g)

unionin taloudellisten etujen suojeleminen toteuttamalla petosten, lahjonnan ja muun laittoman toiminnan torjuntatoimia ja tehokkaita tarkastuksia ja, jos väärinkäytöksiä ilmenee, perimällä takaisin väärin perustein maksetut määrät sekä soveltamalla tarvittaessa tehokkaita, oikeasuhteisia ja varoittavia hallinnollisia ja taloudellisia seuraamuksia;

h)

petostentorjuntastrategian laatiminen virastolle ja sen esittely johtokunnalle hyväksyntää varten;

i)

sen varmistaminen, että virasto toimii palvelujensa käyttäjien vaatimusten mukaisesti erityisesti tarjottujen palvelujen tarkoituksenmukaisuuden osalta;

j)

yhteyksien luominen ja ylläpito unionin toimielimiin, elimiin, laitoksiin ja virastoihin;

k)

yhteyksien luominen ja ylläpito liikemaailmaan ja kuluttajajärjestöihin säännöllisen vuoropuhelun varmistamiseksi asiaankuuluvien sidosryhmien kanssa;

l)

muiden pääjohtajalle tällä asetuksella osoitettujen tehtävien hoito.

a)

Euroopan parlamentti;

b)

neuvosto;

c)

komissio;

d)

kaikki jäsenvaltioiden nimeämät toimivaltaiset elimet, kuten direktiivin 2002/21/EY 2 artiklassa määritellyt kansalliset sääntelyviranomaiset.