NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) č. 526/2013
ze dne 21. května 2013
o Agentuře Evropské unie pro bezpečnost sítí a informací (ENISA) a o zrušení nařízení (ES) č. 460/2004
(Text s významem pro EHP)
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,
s ohledem na návrh Evropské komise,
po postoupení návrhu legislativního aktu vnitrostátním parlamentům,
s ohledem na stanovisko Evropského hospodářského a sociálního výboru (1),
v souladu s řádným legislativním postupem (2),
vzhledem k těmto důvodům:
(1)
Elektronické komunikace, infrastruktura a služby jsou jak přímo, tak nepřímo důležitými faktory hospodářského a sociálního rozvoje. Hrají důležitou roli pro společnost a samy o sobě se staly obecně rozšířenými podobně jako zařízení pro dodávku elektřiny a vody a představují také důležité faktory při zásobování elektřinou, vodou a poskytování dalších klíčových služeb. Komunikační sítě plní funkci sociálního a inovačního katalyzátoru, přičemž znásobují dopad technologií a formují chování spotřebitelů, modely podnikání, průmysl, jakož i občanství a politický život. Jejich narušení může způsobit značnou fyzickou újmu a sociální a hospodářské škody, což zdůrazňuje význam opatření ke zvýšení ochrany a odolnosti zaměřených na zajištění kontinuity klíčových služeb. Bezpečnost elektronických komunikací, infrastruktury a služeb, zejména jejich integrita, dostupnost a důvěrnost, je postavena před výzvy, které se neustále rozšiřují a které mimo jiné souvisí s jednotlivými složkami komunikační infrastruktury a softwarem řídicím tyto složky, s infrastrukturou obecně a se službami poskytovanými prostřednictvím této infrastruktury. Obavy společnosti vzrůstají v neposlední řadě kvůli možným problémům z důvodu složitosti systému, poruch, systémových nedostatků, nehod, chyb a útoků, které mohou mít důsledky pro elektronickou a fyzickou infrastrukturu zajišťující služby důležité pro blahobyt evropských občanů.
(2)
Oblast hrozeb se neustále mění a bezpečnostní události mohou podlomit důvěru uživatelů v technologie, sítě a služby, a tím ovlivnit jejich schopnost plně využívat potenciálu vnitřního trhu a rozšířeného využívání informačních a komunikačních technologií (IKT).
(3)
Pravidelné posuzování stavu bezpečnosti sítí a informací v Unii na základě spolehlivých údajů Unie, ale i systematických předpovědí budoucího vývoje, výzev a hrozeb, a to jak na unijní, tak na celosvětové úrovni, je proto důležité pro tvůrce politik, odvětví a uživatele.
(4)
Rozhodnutím 2004/97/ES, Euratom (3), přijatém na zasedání Evropské rady dne 13. prosince 2003, zástupci členských států rozhodli, že Evropská agentura pro bezpečnost sítí a informací (ENISA), která byla zřízena na základě návrhu Komise, bude mít sídlo v Řecku ve městě, které určí řecká vláda. Na základě tohoto rozhodnutí řecká vláda určila, že ENISA bude mít své sídlo v Heraklionu na Krétě.
(5)
Dne 1.dubna 2005 byla mezi agenturou a hostitelským členským státem uzavřena dohoda o sídle.
(6)
Hostitelský členský stát agentury by měl zajistit co nejlepší podmínky pro bezproblémové a účinné fungování agentury. V zájmu zajištění řádného a účinného plnění úkolů agentury, přijímání a udržení si zaměstnanců a v zájmu zvýšení účinnosti v oblasti vytváření sítí je naprosto nezbytné, aby bylo sídlo agentury vhodně umístěno, přičemž by mimo jiné mělo být zajištěno odpovídající dopravní spojení a zařízení pro manžely/manželky a děti zaměstnanců agentury. Nezbytná opatření by měla být stanovena v dohodě mezi agenturou a daným hostitelským členským státem uzavřené poté, co bude schválena správní rady agentury.
(7)
S cílem zlepšit svou provozní účinnost agentura zřídila pobočku v metropolitní oblasti Atén, jež by měla být spravována se souhlasem a za podpory hostitelského členského státu a v níž by měli pracovat provozní zaměstnanci agentury. Zaměstnanci administrativního úseku agentury (včetně výkonného ředitele) a zaměstnanci finančního oddělení, oddělení sekundárního výzkumu a analýz, oddělení pro správu informačních technologií a zařízení, oddělení pro lidské zdroje, oddělení pro odborné vzdělávání a oddělení pro komunikaci a veřejné záležitosti by měli mít svá pracoviště v Heraklionu.
(8)
Agentura má právo rozhodovat o svých organizačních záležitostech v zájmu zajištění řádného a účinného plnění svých úkolů, přičemž má dodržovat ustanovení o svém sídle a o pobočce v Aténách uvedená v tomto nařízení. S cílem zajistit vykonávání úkolů, v jejichž rámci je nezbytné spolupracovat s klíčovými zúčastněnými stranami, jako jsou orgány Unie, by agentura měla zejména přijmout potřebná praktická opatření zvyšující operační účinnost v této oblasti.
(9)
Evropský parlament a Rada přijaly v roce 2004 nařízení (ES) č. 460/2004 (4) o zřízení agentury ENISA za účelem přispět k cílům zajištění vysoké úrovně bezpečnosti sítí a informací v Unii a vytvoření kultury bezpečnosti sítí a informací v zájmu občanů, spotřebitelů, podniků a veřejné správy. V roce 2008 přijaly Evropský parlament a Rada nařízení (ES) č. 1007/2008 (5), kterým byl mandát agentury prodloužen do března 2012. Nařízení (ES) č. 580/2011 (6) prodlužuje mandát agentury do 13. září 2013.
(10)
Agentura by měla být nástupcem agentury ENISA zřízené nařízením (ES) č. 460/2004. Podle rozhodnutí zástupců členských států přijatého na zasedání Evropské rady dne 13. prosince 2003 by měl hostitelský členský stát udržovat a dále rozvíjet současná praktická ujednání, aby zajistil bezproblémový a účelný provoz agentury, včetně její pobočky se sídlem v Aténách, a usnadnil přijímání vysoce kvalifikovaných zaměstnanců a jejich udržení.
(11)
Od vytvoření agentury ENISA se úkoly v bezpečnosti sítí a informací změnily spolu s technologií, vývojem trhu a sociálně ekonomickým vývojem a byly předmětem dalšího zvažování a diskuse. Unie v reakci na měnící se úkoly aktualizovala své priority pro politiku bezpečnosti sítí a informací. Cílem tohoto nařízení je posílit agenturu, aby úspěšně přispívala k úsilí orgánů Unie a členských států o rozvoj evropské kapacity pro zvládnutí úkolů týkajících se bezpečnosti sítí a informací.
(12)
Opatření vnitřního trhu v oblasti bezpečnosti elektronických komunikací a obecněji v bezpečnosti sítí a informací si vyžadují různé formy technických a organizačních postupů orgánů Unie a členských států. Nestejnorodé uplatňování těchto požadavků může vést k neúčinným řešením a vytvářet překážky vnitřního trhu. Je tedy třeba vytvořit odborné středisko na úrovni Unie, které by poskytovalo pokyny, poradenství a pomoc v otázkách týkajících se bezpečnosti sítí a informací a které by bylo oporou orgánů Unie a členských států. Agentura může reagovat na tyto potřeby rozvojem a udržováním vysoké úrovně odborných znalostí a tím, že bude nápomocna orgánům Unie, členským státům a následně i podnikatelskému sektoru při dodržování právních a regulačních požadavků bezpečnosti sítí a informací a odhalování a řešení problémů v oblasti bezpečnosti sítí a informací, a bude tak přispívat k řádnému fungování vnitřního trhu.
(13)
Agentura by měla plnit úkoly, které jí byly uloženy právními akty Unie v oblasti elektronických komunikací, a celkově přispívat k vyšší úrovni bezpečnosti elektronických komunikací i ochrany soukromí a osobních údajů kromě jiného poskytováním odborných znalostí a poradenství, podporou výměny osvědčených postupů a předkládáním politických doporučení.
(14)
Směrnice Evropského parlamentu a Rady 2002/21/ES ze dne 7. března 2002 o společném předpisovém rámci pro sítě a služby elektronických komunikací (rámcová směrnice) (7) požaduje, aby poskytovatelé veřejných elektronických komunikačních sítí nebo veřejně dostupných elektronických komunikačních služeb přijali příslušná opatření k zachování jejich integrity a bezpečnosti a stanoví vnitrostátním regulačním orgánům povinnost případně informovat mimo jiné agenturu o každém narušení bezpečnosti či ztrátě integrity, jež mají významný dopad na fungování sítí či služeb, a předkládat Komisi a agentuře výroční souhrnnou zprávu o obdržených oznámeních a přijatých opatřeních. Směrnice 2002/21/ES dále vyzývá agenturu, aby poskytováním stanovisek přispívala k harmonizaci příslušných technických a organizačních bezpečnostních opatření.
(15)
Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (8) stanoví pro poskytovatele veřejně dostupných elektronických komunikací povinnost, aby přijali vhodná technická a organizační opatření k zajištění bezpečnosti svých služeb, a stanoví také požadavek na zachování důvěrného charakteru sdělení a souvisejících provozních údajů. Pro poskytovatele služeb elektronických komunikací směrnice 2002/58/ES zavádí povinnost informovat o narušení osobních údajů a oznamovat je. Také požaduje, aby Komise s agenturou konzultovala veškerá technická prováděcí opatření, která mají být přijata, pokud jde o okolnosti nebo formát a postupy, jež se vztahují na povinnost informovat o narušení osobních údajů a oznamovat je. Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (9) požaduje, aby členské státy stanovily, že osoby kontrolující osobní údaje musí přijmout vhodná technická a organizační opatření na ochranu osobních údajů proti náhodnému nebo nedovolenému zničení, náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu, zejména pokud zpracování zahrnuje předávání údajů v síti, jakož i proti jakékoli jiné podobě nedovoleného zpracování.
(16)
Agentura by měla přispívat k vysoké úrovni bezpečnosti sítí a informací a k lepší ochraně soukromí a osobních údajů a vytvářet a podporovat kulturu bezpečnosti sítí a informací v zájmu občanů, spotřebitelů, podniků a organizací veřejného sektoru v Unii, a napomáhat tak řádnému fungování vnitřního trhu. K dosažení tohoto cíle by agentuře měly být přiděleny nezbytné rozpočtové prostředky.
(17)
Vzhledem ke stále většímu významu elektronických sítí a komunikací, které nyní představují páteř evropského hospodářství, a stávající velikosti digitálního hospodářství by mělo dojít k navýšení finančních a lidských zdrojů vyčleněných pro agenturu tak, aby odpovídaly její posílené úloze a úkolům a jejímu klíčovému postavení při obraně evropského digitálního ekosystému.
(18)
Agentura by měla působit jako referenční bod a působit spolehlivě a důvěryhodně díky své nezávislosti, kvalitě poradenství, které poskytuje, a informacím, které šíří, transparentnosti svých postupů a metodám práce a náležité péči při plnění svých úkolů. Agentura by měla navázat na vnitrostátní úsilí a úsilí Unie a plnit své úkoly v plné spolupráci s orgány, institucemi a jinými subjekty Unie a členskými státy a měla by být otevřena kontaktům s průmyslem a ostatními zúčastněnými stranami. Agentura by kromě toho měla vycházet ze vstupů soukromého sektoru a spolupráce s ním, což hraje významnou úlohu při zajišťování elektronických komunikací, infrastruktur a služeb.
(19)
V souboru úkolů by mělo být uvedeno, jak má agentura plnit své cíle a současně zajistit flexibilitu svých činností. Úkoly plněné agenturou by měly zahrnovat sběr příslušných informací a údajů potřebných k uskutečnění analýz rizik pro bezpečnost a odolnost elektronických komunikací, infrastruktury a služeb a k posouzení stavu bezpečnosti sítí a informací v Unii ve spolupráci s členskými státy, Komisí a případně s příslušnými zúčastněnými stranami. Agentura by měla zajistit koordinaci a spolupráci s orgány, institucemi a jinými subjekty Unie a členskými státy a zvýšit spolupráci mezi zúčastněnými stranami v Evropě, a to zejména tím, že do svých činností zapojí příslušné vnitrostátní orgány a orgány Unie a špičkové odborníky soukromého sektoru v příslušných oblastech, zejména provozovatele sítí a poskytovatele služeb elektronických komunikací, výrobce vybavení sítí a prodejce softwaru, přičemž je nutno vzít v úvahu, že sítě a informační systémy jsou tvořeny spojením hardwaru, softwaru a služeb. Agentura by měla být nápomocna orgánům Unie a členským státům v dialogu s průmyslem při řešení bezpečnostních problémů hardwarových a softwarových produktů, a přispívat tím ke společnému přístupu k bezpečnosti sítí a informací.
(20)
Agentuře by měly být poskytnuty strategie v oblasti bezpečnosti sítí a informací, které zveřejnily orgány, instituce či jiné subjekty Unie nebo jednotlivé členské státy, aby měla k dispozici potřebné informace a zabránilo se zdvojování činností. Agentura by měla tyto strategie analyzovat a zajistit, aby byly předkládány ve formátu, který umožní jejich srovnání. Uvedené strategie a analýzy by měla v elektronické formě zpřístupnit veřejnosti.
(21)
Agentura by měla být Komisi nápomocna prostřednictvím poradenství, stanovisek a analýz ke všem záležitostem Unie souvisejícím s rozvojem politiky v oblasti bezpečnosti sítí a informací včetně ochrany kritické informační infrastruktury a odolnosti. Agentura by měla být rovněž nápomocna orgánům, institucím a jiným subjektům Unie a případně členským státům, které o to požádají, v jejich úsilí rozvíjet politiku a způsobilost bezpečnosti sítí a informací.
(22)
Agentura by měla plně zohlednit činnosti probíhající v oblasti výzkumu, vývoje a technologického hodnocení, zejména činnosti prováděné v rámci různých výzkumných iniciativ Unie, aby mohla orgánům, institucím a jiným subjektům Unie a případně členským státům, které o to požádají, poskytovat poradenství ohledně potřeb výzkumu v oblasti bezpečnosti sítí a informací.
(23)
Agentura by měla být nápomocna orgánům, institucím a jiným subjektům Unie, jakož i členským státům v jejich úsilí vytvářet a zvyšovat mezinárodní schopnost a připravenost předcházet problémům a incidentům v oblasti bezpečnosti sítí a informací, odhalovat je a reagovat na ně. Agentura by v tomto ohledu měla usnadňovat spolupráci mezi členskými státy navzájem a mezi Komisí a orgány, institucemi a jinými subjekty Unie a členskými státy. Agentura by za tímto účelem měla podporovat členské státy v jejich neustálém úsilí zvyšovat schopnost reakce a organizovat a provádět evropská a na žádost jednotlivých členských států vnitrostátní cvičení v oblasti kybernetické bezpečnosti.
(24)
K lepšímu pochopení úkolů v oblasti bezpečnosti sítí a informací je třeba, aby agentura analyzovala současná a nově se objevující rizika. Agentura by za tímto účelem měla ve spolupráci s členskými státy a případně statistickými orgány a dalšími subjekty shromáždit příslušné informace. Agentura by měla být rovněž nápomocna orgánům, institucím a jiným subjektům Unie a členským státům v jejich úsilí zaměřeném na sběr, analýzu a šíření údajů o bezpečnosti sítí a informací. Sběr příslušných statistických informací a údajů potřebných pro provádění analýz rizik pro bezpečnost a odolnost elektronických komunikací, infrastruktury a služeb by měl probíhat na základě informací poskytovaných členskými státy a na základě informovanosti agentury o infrastrukturách IKT orgánů Unie a v souladu s předpisy Unie a vnitrostátními předpisy v souladu s právem Unie. Agentura by na základě těchto informací měla udržovat povědomí o aktuálním stavu bezpečnosti sítí a informací a souvisejících tendencích v Unii v zájmu orgánů, institucí a jiných subjektů Unie a členských států.
(25)
Při plnění svých úkolů by agentura měla usnadňovat spolupráci mezi Unií a členskými státy v zájmu zlepšení informovanosti o stavu bezpečnosti sítí a informací v Unii.
(26)
Agentura by měla usnadňovat spolupráci mezi příslušnými nezávislými regulačními orgány členských států, zejména podporovat rozvoj, prosazování a výměnu osvědčených postupů a norem pro vzdělávací programy a programy na zvýšení informovanosti. Rozšířená výměna informací mezi členskými státy tato opatření usnadní. Agentura by měla přispívat ke zvyšování informovanosti jednotlivých uživatelů elektronických komunikací, infrastruktur a služeb, a to i tím, že bude nápomocna členským státům, které se rozhodly používat platformu pro informace ve veřejném zájmu podle směrnice Evropského parlamentu a Rady 2002/22/ES ze dne 7. března 2002 o univerzální službě a právech uživatelů týkajících se sítí a služeb elektronických komunikací (směrnice o univerzální službě) (10) k poskytování příslušných informací veřejného zájmu týkajících se bezpečnosti sítí a informací, a také tím, že bude nápomocna při vypracovávání těchto informací, které mají být součástí dodávky nových zařízení určených k použití ve veřejných komunikačních sítích. Agentura by měla rovněž podporovat spolupráci mezi zúčastněnými stranami na úrovni Unie, zčásti podporou sdílení informací, osvětových kampaní a vzdělávacích a školících programů.
(27)
Agentura by mimo jiné měla být nápomocna příslušným orgánům, institucím a jiným subjektům Unie a členským státům při provádění veřejných vzdělávacích kampaní pro koncové uživatele, jejichž cílem je podporovat bezpečnější chování jednotlivců na internetu a zvyšovat informovanost o potenciálních hrozbách v kybernetickém světě, včetně počítačové kriminality jako phishingové útoky, botnety, finanční a bankovní podvody, jakož i podporovat základní nástroje ověřování a ochrany údajů.
(28)
Agentura by měla za účelem zajištění náležitého plnění svých cílů spolupracovat s příslušnými subjekty, včetně subjektů, které se zabývají počítačovou kriminalitou (například Europol) a ochranou soukromí, a vyměňovat si s nimi know-how a osvědčené postupy a poskytovat jim poradenství ohledně aspektů bezpečnosti sítí a informací, které by mohly mít dopad na jejich práci. Agentura by se měla snažit o dosažení součinnosti mezi úsilím těchto subjektů a jejím vlastním úsilím o prosazování vysoké bezpečnosti sítí a informací. Zástupcům vnitrostátních a unijních donucovacích orgánů a orgánů na ochranu soukromí by měla být umožněna účast ve stálé skupině zúčastněných stran. Při spolupráci s donucovacími orgány týkající se aspektů bezpečnosti sítí a informací, které by mohly mít dopad na jejich práci, by agentura měla respektovat stávající informační kanály a zavedené sítě.
(29)
Komise zahájila Evropské partnerství mezi veřejným a soukromým sektorem pro odolnost jako flexibilní unijní platformu pro spolupráci v oblasti odolnosti infrastruktury IKT, v němž by agentura měla plnit úlohu zprostředkovatele a spojovat zúčastněné strany veřejného a soukromého sektoru za účelem posuzování priorit veřejné politiky, hospodářského a tržního rozměru úkolů a opatření pro odolnost IKT.
(30)
Agentura by za účelem podpory bezpečnosti sítí a informací a jejího zviditelnění měla usnadňovat spolupráci mezi příslušnými veřejnými orgány členských států, zejména prostřednictvím podpory rozvoje a výměny osvědčených postupů a programů na zlepšování informovanosti, ale i posílením jejich osvětových činností. Agentura by měla rovněž podporovat spolupráci mezi zúčastněnými stranami a orgány Unie, a to i podporou sdílení informací a činností za účelem zvyšování informovanosti.
(31)
Agentura by za účelem posílení vysoké úrovně bezpečnosti sítí a informací v Unii měla podporovat spolupráci a výměnu informací a osvědčených postupů mezi příslušnými organizacemi, například skupinami pro reakci na incidenty v oblasti počítačové bezpečnosti (CSIRT) a skupinami pro reakci na počítačové hrozby (CERT).
(32)
Základem infrastruktury Unie pro bezpečnost sítí a informací by měl být unijní systém řádně fungujících skupin CERT. Agentura by měla podporovat skupiny CERT v jednotlivých členských státech a skupinu CERT působící na úrovni Unie (EU CERT) při provozování sítě skupin CERT zahrnující také členy Evropské vládní skupiny CERT. S cílem napomáhat zajištění toho, aby každá ze skupin CERT měla dostatečně rozvinuté kapacity a aby tyto kapacity co nejvíce odpovídaly kapacitám nejvyspělejších skupin CERT, by agentura měla podporovat zavedení a fungování systému pro vzájemné hodnocení. Agentura by měla navíc prosazovat a podporovat spolupráci mezi příslušnými skupinami CERT v případě incidentů, útoků či poruch postihujících nebo potenciálně postihujících alespoň dvě spravované nebo chráněné sítě nebo infrastrukturu skupinami CERT.
(33)
Účinné politiky v oblasti bezpečnosti sítí a informací by měly být založeny na pečlivě vyvinutých metodách posuzování rizika ve veřejném i v soukromém sektoru. Metody a postupy posuzování rizika se používají na různých úrovních, aniž by existoval jednotný systém, který by zaručoval jejich účinné uplatňování. Podpora a rozvoj osvědčených postupů posuzování rizika a interoperabilních řešení řízení rizik u organizací veřejného a soukromého sektoru zvýší úroveň bezpečnosti sítí a informačních systémů v Unii. Agentura by měla za tímto účelem podporovat spolupráci mezi zúčastněnými stranami z veřejného a soukromého sektoru na úrovni Unie a usnadňovat jejich úsilí zaměřené na vytvoření a převzetí evropských a mezinárodních standardů řízení rizik a měřitelné bezpečnosti elektronických produktů, systémů, sítí a služeb, které společně se softwarem tvoří sítě a informační systémy.
(34)
Agentura by měla sdílet zkušenosti a obecné informace s orgány, institucemi a jinými subjekty Unie, které se zabývají bezpečností sítí a informací, je-li to účelné a vhodné pro vykonávání jejích cílů a úkolů. Agentura by měla přispívat ke stanovení priorit výzkumu prováděného na úrovni Unie v oblastech odolnosti sítí a bezpečnosti sítí a informací a měla by tlumočit poznatky o potřebách průmyslu příslušným výzkumným institucím.
(35)
Agentura by měla vybízet členské státy a poskytovatele služeb, aby zvýšili své obecné standardy v oblasti bezpečnosti, a přiměli tak všechny uživatele internetu podniknout potřebné kroky k zajištění své vlastní bezpečnosti v oblasti počítačových sítí.
(36)
Otázky bezpečnosti sítí a informací jsou globálními tématy. Je nutná užší mezinárodní spolupráce pro zvýšení bezpečnostních standardů, včetně stanovení společných norem a kodexů chování, a zlepšení sdílení informací, jež podpoří pružnější mezinárodní spolupráci v reakci na problémy týkající se bezpečnosti sítí a informací, ale i společný globální přístup k nim. Agentura by za tímto účelem měla podporovat větší zapojení Unie a spolupráci se třetími zeměmi a mezinárodními organizacemi tím, že případně poskytne nezbytné odborné znalosti a analýzy příslušným orgánům, institucím a jiným subjektům Unie.
(37)
Agentura by měla pracovat podle zásady subsidiarity, přičemž by měla zajistit odpovídající míru koordinace mezi členskými státy v otázkách týkajících se bezpečnosti sítí a informací, zvyšovat efektivnost vnitrostátních politik a zvyšovat tak jejich hodnotu, a podle zásady proporcionality, přičemž by neměla překročit rámec toho, co je nezbytné k dosažení cílů stanovených v tomto nařízení. Plnění úkolů agentury by mělo posilovat působnost následujících orgánů, ale nenarušovat ji, přičemž by nemělo předjímat, omezovat nebo se překrývat s pravomocemi a úkoly vnitrostátních regulačních orgánů podle směrnic týkajících se sítí a služeb elektronických komunikací, jakož i Sdružení evropských regulačních orgánů v oblasti elektronických komunikací (BEREC) zřízeného nařízením Evropského parlamentu a Rady (ES) č. 1211/2009 (11) a Komunikačního výboru uvedeného ve směrnici 2002/21/ES, evropských normalizačních orgánů, vnitrostátních normalizačních orgánů a stálého výboru podle směrnice Evropského parlamentu a Rady 98/34/ES (12), předpisů pro služby informační společnosti a nezávislých dozorčích orgánů členských států, jak je stanoveno ve směrnici 95/46/ES.
(38)
Aby bylo dosaženo souladu se společným prohlášením a společným přístupem, na nichž se v červenci 2012 dohodla interinstitucionální pracovní skupina pro decentralizované agentury, je nezbytné stanovit určité zásady týkající se řízení agentury, přičemž účelem tohoto prohlášení a přístupu je zjednodušit činnost agentur a zlepšit jejich výkonnost.
(39)
Společné prohlášení a společný přístup by se případně měly odrazit také v pracovních programech agentury, hodnoceních agentury a postupech, které agentura používá pro podávání zpráv a v administrativě.
(40)
V zájmu řádného fungování agentury by Komise a členské státy měly zajistit, aby osoby, které mají být jmenovány členy správní rady, měly patřičnou odbornou kvalifikaci. Komise a členské státy by měly usilovat o omezení fluktuace svých zástupců ve správní radě, aby byla zajištěna kontinuita její činnosti.
(41)
Je zásadní, aby si agentura vybudovala a udržela pověst subjektu vyznačujícího se nestranností, integritou a vysokými odbornými standardy. Správní rada by proto měla přijmout komplexní pravidla pro prevenci a řešení konfliktu zájmů vztahující se na celou agenturu.
(42)
Vzhledem ke specifickým podmínkám, v nichž agentura pracuje, a náročným úkolům, před nimiž stojí, by její organizační struktura měla být zjednodušena a posílena, aby se zajistila její větší účinnost a účelnost. Z tohoto důvodu by mimo jiné měla být ustavena výkonná rada, která správní radě umožní se zaměřit na otázky strategického významu.
(43)
Správní rada by v souladu s pravidly přijatými podle nařízení (EU, Euratom) č. 966/2012 (finanční nařízení) (13) měla jmenovat účetního.
(44)
Aby byla zajištěna efektivita agentury, měly by být členské státy a Komise zastoupeny ve správní radě, která by měla vymezit obecné směry činnosti agentury a zaručit, že bude své úkoly plnit v souladu s tímto nařízením. Správní radě by měly být svěřeny pravomoci potřebné pro sestavování rozpočtu, ověřování jeho plnění, schvalování příslušných finančních předpisů, stanovení transparentních pracovních postupů pro přijímání rozhodnutí agentury, schvalování pracovního programu agentury, přijímání jejího jednacího řádu a vnitřních organizačních předpisů agentury, jmenování výkonného ředitele, rozhodování o prodloužení funkčního období výkonného ředitele v návaznosti na stanovisko, jež správní rada v této věci obdrží od Evropského parlamentu, a rozhodování o jeho odvolání. Správní rada by měla ustanovit výkonnou radu, která by jí byla nápomocna při plnění úkolů v administrativní a rozpočtové oblasti.
(45)
Řádné fungování agentury vyžaduje, aby byl její výkonný ředitel jmenován na základě projevených kvalit a doložených administrativních a řídicích schopností a rovněž odbornosti a zkušenosti v oblasti bezpečnosti sítí a informací a aby výkonný ředitel vykonával své povinnosti v organizaci vnitřního fungování agentury zcela nezávisle. Výkonný ředitel by měl za tímto účelem po předchozích konzultacích s Komisí zpracovat návrh pracovního programu agentury a učinit veškeré kroky nezbytné k zajištění jeho řádného plnění. Výkonný ředitel by měl vypracovávat výroční zprávy, které se předloží správní radě, a návrh odhadu příjmů a výdajů agentury a měl by plnit rozpočet.
(46)
Výkonný ředitel by měl mít možnost sestavovat ad hoc pracovní skupiny, které by se věnovaly konkrétním otázkám, zejména vědecké, technické nebo právní či socioekonomické povahy. Při vytváření ad hoc pracovních skupin by výkonný ředitel měl usilovat o vstup a využití příslušných vnějších odborných znalostí nezbytných k tomu, aby byla agentura schopna získat aktuální dostupné informace o úkolech bezpečnosti souvisejících s rozvojem informační společnosti. Výkonný ředitel by měl zajistit, aby byli členové ad hoc pracovní skupiny vybráni na základě vysokých standardů odborných znalostí a se zřetelem k rovnovážnému zastoupení, přičemž by v těchto skupinách byli případně podle odborné příslušnosti zahrnuti zástupci veřejné správy členských států, orgánů Unie a soukromého sektoru, včetně průmyslu, uživatelů a vědeckých odborníků v oblasti bezpečnosti sítí a informací. Výkonný ředitel by měl, je-li to vhodné, případ od případu přizvat jednotlivé odborníky uznané jako odborně způsobilé v příslušné oblasti k účasti na jednáních pracovních skupin. Jejich výdaje by měla hradit agentura v souladu se svými vnitřními organizačními předpisy a předpisy přijatými podle finančního nařízení.
(47)
Pro pravidelný dialog se soukromým sektorem, organizacemi spotřebitelů a ostatními dotčenými zúčastněnými stranami by agentura měla mít stálou skupinu zúčastněných stran. Stálá skupina zúčastněných stran ustavená správní radou na návrh výkonného ředitele by se měla věnovat otázkám, které mají význam pro zúčastněné strany, a měla by je předkládat agentuře. Výkonný ředitel by měl k jednání skupiny přizvat zástupce Evropského parlamentu a jiných příslušných orgánů, je-li to vhodné a přiměřené vzhledem k pořadu jednání.
(48)
Vzhledem k tomu, že jsou zúčastněné strany dostatečně zastoupeny ve stále skupině zúčastněných stran, s níž jsou vedeny konzultace zejména ohledně návrhu pracovního programu, není již nutné, aby byly zúčastněné strany zastoupeny ve správní radě.
(49)
Agentura by měla uplatňovat odpovídající ustanovení práva Unie týkající se přístupu veřejnosti k dokumentům podle nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 (14). Na informace zpracovávané agenturou pro účely jejího vnitřního fungování, jakož i na informace zpracovávané při plnění jejích úkolů by se mělo vztahovat nařízení Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (15).
(50)
Agentura by měla zejména dodržovat předpisy vztahující se na orgány a instituce Unie a rovněž vnitrostátní předpisy o nakládání s citlivými dokumenty.
(51)
Aby byla zaručena plná samostatnost a nezávislost agentury a bylo jí umožněno vykonávat další nové úkoly, včetně nečekaných naléhavých úkolů, měla by agentura mít k dispozici dostatečný a samostatný rozpočet, který je rozhodující měrou financován z příspěvků Unie a z příspěvků třetích zemí podílejících se na práci agentury. Většina zaměstnanců agentury by se měla přímo podílet na operativním plnění mandátu agentury. Hostitelský nebo jakýkoli jiný členský stát by měl mít možnost poskytnout dobrovolné příspěvky k příjmům agentury. Všechny subvence ze souhrnného rozpočtu Evropské unie by měly podléhat rozpočtovému procesu Unie. Účetní dvůr by měl navíc provádět audit účetnictví agentury s cílem zajistit transparentnost a odpovědnost.
(52)
Vzhledem k neustále se měnícím hrozbám a k vývoji, k němuž dochází v rámci politiky Unie v oblasti bezpečnosti sítí a informací, a s cílem dosáhnout souladu s víceletým finančním rámcem by délka mandátu agentury měla být stanovena na časově omezenou dobu sedmi let s možností jejího prodloužení.
(53)
Činnosti agentury by měly být hodnoceny nezávisle. Při hodnocení by se mělo přihlížet k tomu, jaké účinnosti agentura dosahuje při plnění svých cílů, k jejím pracovním postupům a významu úkolů, které plní, aby bylo možné stanovit, zda jsou cíle agentury stále aktuální, a na základě toho rozhodnout, zda a na jakou dobu by její mandát měl být prodloužen.
(54)
Pokud na konci mandátu agentury Komise nepředloží návrh na jeho prodloužení, měly by agentura a Komise přijmout příslušná opatření zaměřená především na otázky související s pracovními smlouvami zaměstnanců a s rozpočtem.
(55)
Jelikož cílů tohoto nařízení, totiž zřízení Agentury Evropské unie pro bezpečnost sítí a informací za účelem zajištění vysoké úrovně bezpečnosti sítí a informací v Unii, zvýšení informovanosti a vytvoření a prosazování kultury bezpečnosti sítí a informací ve společnosti v zájmu občanů, spotřebitelů, podniků a organizací veřejného sektoru v Unii a tím i pro zajištění vytváření a řádného fungování vnitřního trhu, nemůže být uspokojivě dosaženo na úrovni členských států, a proto jich může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity, jak stanoví článek 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení tohoto cíle.
(56)
Nařízení (ES) č. 460/2004 by mělo být zrušeno.
(57)
Evropský inspektor pro ochranu údajův byl konzultován v souladu s čl. 28 odst. 2 nařízení (ES) č. 45/2001 a přijal své stanovisko dne 20. prosince 2010 (16),
PŘIJALY TOTO NAŘÍZENÍ:
ODDÍL 1
OBLAST PŮSOBNOSTI, CÍLE A ÚKOLY
Článek 1
Předmět a oblast působnosti
1. Tímto nařízením se zřizuje Agentura Evropské unie pro bezpečnost sítí a informací (ENISA, dále jen „agentura“), aby plnila úkoly jí svěřené za účelem zajištění vysoké úrovně bezpečnosti sítí a informací v Unii, zvýšení informovanosti a vytvoření a prosazování kultury bezpečnosti sítí a informací ve společnosti v zájmu občanů, spotřebitelů, podniků a organizací veřejného sektoru v Unii, a tím i pro zajištění vytváření a řádného fungování vnitřního trhu.
2. Úkoly a cíli agentury nejsou dotčeny pravomoci členských států týkající se bezpečnosti sítí a informací a v žádném případě činnosti týkající se veřejné bezpečnosti, obrany, národní bezpečnosti (včetně hospodářského blahobytu státu, pokud se otázky vztahují na problematiku národní bezpečnosti) ani činnosti státu v oblastech trestního práva.
3. Pro účely tohoto nařízení se „bezpečností sítí a informací“ rozumí schopnost sítě nebo informačního systému odolávat na určitém stupni spolehlivosti náhodným událostem či neoprávněným nebo svévolným zásahům, které narušují dostupnost, pravost, integritu a důvěrnost ukládaných nebo předávaných údajů, a související služby poskytované nebo přístupné prostřednictvím těchto sítí a systémů.
Článek 2
Cíle
1. Agentura rozvíjí a udržuje vysokou úroveň odborných znalostí.
2. Agentura je nápomocna orgánům, institucím a jiným subjektům Unie při rozvíjení nezbytných politik v oblasti bezpečnosti sítí a informací.
3. Agentura je nápomocna orgánům, institucím a jiným subjektům Unie a členským státům při provádění politik, které jsou nezbytné k plnění právních a regulačních požadavků na bezpečnost sítí a informací podle stávajících i budoucích právních aktů Unie, a přispívá tím k řádnému fungování vnitřního trhu.
4. Agentura je nápomocna Unii a členským státům při zvyšování a posilování jejich schopnosti a připravenosti předcházet problémům a incidentům v oblasti bezpečnosti sítí a informací, odhalovat je a reagovat na ně.
5. Agentura využívá svých odborných znalostí k tomu, aby podněcovala širokou spolupráci subjektů z veřejného a soukromého sektoru.
Článek 3
Úkoly
1. Agentura s ohledem na cíl stanovený v článku 1 a v zájmu dosažení cílů uvedených v článku 2 při současném dodržování čl. 1 odst. 2 plní tyto úkoly:
a)
podporuje rozvoj politiky a práva Unie tím, že:
i)
je nápomocna a poskytuje poradenství ve všech záležitostech týkajících se politiky a práva Unie v oblasti bezpečnosti sítí a informací,
ii)
vykonává přípravné práce a poskytuje poradenství a analýzy při vytváření a novelizaci politiky a práva Unie v oblasti bezpečnosti sítí a informací,
iii)
provádí analýzy veřejně dostupných strategií pro bezpečnost sítí a informací a podporuje jejich zveřejňování;
b)
podporuje rozvíjení schopností tím, že:
i)
pomáhá členským státům na jejich žádost v úsilí rozvíjet a zdokonalovat prevenci, odhalování a analýzu problémů a incidentů v oblasti bezpečnosti sítí a informací a schopnost na ně reagovat, a poskytuje jim nezbytné znalosti,
ii)
podporuje a usnadňuje dobrovolnou spolupráci mezi členskými státy a mezi orgány, institucemi a jinými subjekty Unie a členskými státy při jejich úsilí předcházet problémům a incidentům v oblasti bezpečnosti sítí a informací, odhalovat je a reagovat na ně, pokud mají dopad přesahující hranice států,
iii)
je nápomocna orgánům, institucím a jiným subjektům Unie v jejich úsilí rozvíjet schopnosti prevence, odhalování a analýzy problémů a incidentů v oblasti bezpečnosti sítí a informací, zejména tím, že pro ně zajišťuje fungování skupiny pro reakci na počítačové hrozby (CERT),
iv)
podporuje zvyšování úrovně schopností skupin CERT působících na vnitrostátní/vládní úrovni a na úrovni Unie, a to i prosazováním dialogu a výměny informací, přičemž cílem je zajistit, aby se s ohledem na aktuální stav každá skupina CERT vyznačovala společným souborem minimálních schopností a pracovala v souladu s osvědčenými postupy,
v)
podporuje přípravu a pořádání cvičení zaměřených na bezpečnost sítí a informací v Unii a členským státům na jejich žádost poskytuje poradenství ohledně cvičení na vnitrostátní úrovni,
vi)
je nápomocna orgánům, institucím a jiným subjektům Unie a členským státům v jejich úsilí zaměřeném na sběr a analýzu příslušných údajů v oblasti bezpečnosti sítí a informací a na jejich šíření probíhajícím v souladu s bezpečnostními požadavky členských států; na základě informací poskytnutých orgány, institucemi a jinými subjekty Unie a členskými státy v souladu s ustanoveními práva Unie a vnitrostátními právními předpisy v souladu s právem Unie udržuje rovněž povědomí orgánů, institucí a jiných subjektů Unie, jakož i členských států o aktuálním stavu, pokud jde o bezpečnost sítí a informací v Unii v jejich zájmu,
vii)
podporuje rozvíjení mechanismu včasného varování Unie, který doplňuje mechanismy jednotlivých členských států,
viii)
nabízí odbornou přípravu v oblasti bezpečnosti sítí a informací příslušným veřejným orgánům, a to případně ve spolupráci se zúčastněnými stranami;
c)
podporuje dobrovolnou spolupráci mezi příslušnými veřejnými orgány a mezi zúčastněnými stranami soukromého a veřejného sektoru, včetně vysokých škol a výzkumných středisek v Unii, a podporuje zvyšování informovanosti, a to mimo jiné tím, že:
i)
prosazuje spolupráci mezi vnitrostátními a vládními skupinami CERT nebo skupinami pro reakci na incidenty v oblasti počítačové bezpečnosti (CSIRT), včetně skupiny CERT pro orgány, instituce a jiné subjekty Unie,
ii)
prosazuje rozvíjení a sdílení osvědčených postupů s cílem dosáhnout vysoké úrovně bezpečnosti sítí a informací,
iii)
usnadňuje dialog a úsilí zaměřené na rozvíjení a výměnu osvědčených postupů,
iv)
prosazuje osvědčené postupy, pokud jde o sdílení informací a zvyšování informovanosti,
v)
podporuje orgány, instituce a jiné subjekty Unie a členské státy, pokud o to požádají, při organizování akcí zaměřených na zvyšování informovanosti, a to i na úrovni jednotlivých uživatelů, ale i jinou osvětovou činnost za účelem posílení bezpečnosti sítí a informací a zlepšení její viditelnosti poskytováním osvědčených postupů a pokynů;
d)
podporuje vývoj a výzkum a normalizaci tím, že:
i)
usnadňuje stanovení a zavádění evropských a mezinárodních norem pro řízení rizik a pro bezpečnost elektronických produktů, sítí a služeb,
ii)
poskytuje Unii a členským státům poradenství ohledně potřeb výzkumu v oblasti bezpečnosti sítí a informací s cílem umožnit účinnou reakci na současná a nově vznikající rizika a hrozby pro bezpečnost sítí a informací, a to i pokud jde o nové a nově vznikající informační a komunikační technologie, a účinně využívat technologie pro prevenci rizika;
e)
spolupracuje s orgány, institucemi a jinými subjekty Unie, včetně těch, které se zabývají počítačovou kriminalitou a ochranou soukromí a osobních údajů, s cílem řešit otázky společného zájmu, a to i prostřednictvím:
i)
výměny know-how a osvědčených postupů,
ii)
poskytování poradenství ve věcech týkajících se relevantních aspektů bezpečnosti sítí a informací v zájmu vytvoření synergií.
f)
přispívá k úsilí Unie zaměřenému na spolupráci se třetími zeměmi a mezinárodními organizacemi v zájmu prosazení mezinárodní spolupráce v oblasti bezpečnosti sítí a informací, a to i tím, že:
i)
se případně angažuje jako pozorovatel a organizátor mezinárodních cvičení, provádí analýzu jejich výsledků a předkládá o nich zprávu,
ii)
usnadňuje výměnu osvědčených postupů příslušných organizací,
iii)
poskytuje orgánům Unie odborné znalosti.
2. Orgány instituce a jiné subjekty Unie a orgány členských států se mohou na agenturu obracet s žádostí o radu v případě, že dojde k porušení bezpečnosti nebo ztrátě integrity, které mohou mít významný dopad na fungování sítí a služeb.
3. Agentura plní úkoly, které jí byly svěřeny právními akty Unie.
4. Agentura nezávisle formuluje své závěry a doporučení a poskytuje poradenství v otázkách souvisejících s oblastí působnosti a s cíli tohoto nařízení.
ODDÍL 2
ORGANIZACE
Článek 4
Složení agentury
1. Agentura má:
a)
správní radu;
b)
výkonného ředitele a zaměstnance a
c)
stálou skupinu zúčastněných stran.
2. Správní rada zřídí výkonnou radu, aby přispěla ke zvýšení účinnosti a účelnosti fungování agentury.
Článek 5
Správní rada
1. Správní rada stanoví obecné směry činnosti agentury a zajišťuje, aby agentura pracovala v souladu s předpisy a zásadami stanovenými v tomto nařízení. Rovněž zajišťuje, aby práce agentury byla v souladu s činnostmi členských států a na úrovni Unie.
2. Správní rada přijímá roční a víceletý pracovní program agentury.
3. Správní rada přijímá výroční zprávu o činnosti agentury a nejpozději do 1. července následujícího roku ji zašle Evropskému parlamentu, Radě, Komisi a Účetnímu dvoru. Výroční zpráva obsahuje účetní výkaz a popisuje, nakolik agentura naplnila ukazatele výkonnosti. Výroční zpráva se zveřejňuje.
4. Správní rada přijme strategii proti podvodům, která je úměrná rizikům podvodu s ohledem na analýzy nákladů a přínosů opatření, jež mají být provedena.
5. Správní rada zajistí náležitá opatření v návaznosti na zjištění a doporučení vyplývající z šetření Evropského úřadu pro boj proti podvodům (OLAF) a z různých interních či externích auditních zpráv a hodnocení.
6. Správní rada přijme pravidla pro prevenci a řešení střetu zájmů.
7. Správní rada ve vztahu k zaměstnancům agentury vykonává pravomoci svěřené Služebním řádem úředníků Evropské unie a pracovním řádem ostatních zaměstnanců Evropské unie (dále jen „služební řád“ a „pracovní řád ostatních zaměstnanců“) stanovených nařízením Rady (EHS, Euratom, ESUO) č. 259/68 (17) orgánu oprávněnému ke jmenování a orgánu oprávněnému uzavírat pracovní smlouvy na základě pracovního řádu ostatních zaměstnanců.
Správní rada v souladu s postupem podle článku 110 služebního řádu přijme rozhodnutí založené na čl. 2 odst. 1 služebního řádu a na článku 6 pracovního řádu ostatních zaměstnanců, kterým přenese pravomoci svěřené orgánu oprávněnému ke jmenování na výkonného ředitele. Výkonný ředitel může tyto pravomoci dále přenést.
Pokud to vyžadují výjimečné okolnosti, může správní rada zrušit přenesení pravomocí orgánu oprávněného ke jmenování na výkonného ředitele a pravomocí, které výkonný ředitel dále přenesl. V takovém případě může správní rada na omezené časové období přenést tyto pravomoci na jednoho ze svých členů, kterým není výkonný ředitel.
8. Správní rada přijme příslušná prováděcí pravidla služebního řádu a pracovního řádu ostatních zaměstnanců v souladu s postupem podle článku 110 služebního řádu.
9. Správní rada jmenuje výkonného ředitele a může prodloužit jeho funkční období nebo jej odvolat v souladu s článkem 24 tohoto nařízení.
10. Správní rada přijímá svůj jednací řád a jednací řád výkonné rady po konzultaci s Komisí. Jednací řád umožní urychlená rozhodnutí buď písemným postupem nebo prostřednictvím konferencí na dálku.
11. Správní rada přijme vnitřní organizační předpisy agentury po konzultaci s útvary Komise. Tyto předpisy se zveřejňují.
12. Správní rada schvaluje finanční předpisy platné pro agenturu. Tyto předpisy se smějí odchylovat od nařízení Komise (ES, Euratom) č. 2343/2002 ze dne 19. listopadu 2002 o rámcovém finančním nařízení pro subjekty uvedené v článku 185 nařízení Rady (ES, Euratom) č. 1605/2002, kterým se stanoví finanční nařízení o souhrnném rozpočtu Evropských společenství (18), pouze pokud je to nezbytné pro zvláštní potřeby činnosti agentury a s předchozím souhlasem Komise.
13. Správní rada po konzultaci s útvary Komise a po náležitém informování Evropského parlamentu a Rady přijme víceletý plán zaměstnanecké politiky.
Článek 6
Složení správní rady
1. Správní radu tvoří jeden zástupce každého členského státu a dva zástupci jmenovaní Komisí. Všichni zástupci mají hlasovací právo.
2. Každý člen správní rady má náhradníka, který jej zastupuje v případě jeho nepřítomnosti.
3. Členové správní rady a jejich náhradníci jsou jmenováni na základě jejich znalosti úkolů a cílů agentury, s přihlédnutím k manažerským, administrativním a rozpočtovým dovednostem důležitým pro plnění úkolů uvedených v článku 5. Komise a členské státy by se měly snažit o to, aby se omezila fluktuace jejich zástupců ve správní radě a zajistila se kontinuita práce rady. Komise a členské státy usilují o dosažení vyváženého zastoupení mužů a žen ve správní radě.
4. Funkční období členů správní rady a jejich náhradníků je čtyři roky. Toto období lze prodloužit.
Článek 7
Předseda správní rady
1. Správní rada volí z řad svých členů na dobu tří let předsedu a místopředsedu, kteří mohou být zvoleni opakovaně. Nemůže-li předseda vykonávat své povinnosti, zaujme jeho místo z moci úřední místopředseda.
2. Předseda může být vyzván, aby učinil prohlášení před příslušným výborem nebo příslušnými výbory Evropského parlamentu a zodpověděl otázky jeho členů.
Článek 8
Zasedání
1. Zasedání správní rady svolává předseda.
2. Řádné zasedání správní rady se koná nejméně jednou ročně. Z podnětu předsedy nebo na žádost nejméně jedné třetiny členů rady se konají rovněž mimořádná zasedání.
3. Výkonný ředitel se účastní zasedání správní rady bez hlasovacího práva.
Článek 9
Hlasování
1. Správní rada přijímá rozhodnutí absolutní většinou hlasů svých členů.
2. Pro schválení jednacího řádu správní rady, vnitřních organizačních předpisů, rozpočtu, ročního a víceletého pracovního programu agentury, jmenování, prodloužení funkčního období nebo odvolání výkonného ředitele a jmenování předsedy správní rady je zapotřebí dvoutřetinové většiny hlasů všech členů správní rady.
Článek 10
Výkonná rada
1. Správní radě je nápomocna výkonná rada.
2. Výkonná rada připravuje rozhodnutí přijímaná správní radou a týkající se pouze administrativní a rozpočtové oblasti.
Společně se správní radou zajistí náležitá opatření v návaznosti na zjištění a doporučení vyplývající z šetření úřadu OLAF a z různých interních či externích auditních zpráv a hodnocení.
Aniž jsou dotčeny povinnosti výkonného ředitele stanovené v článku 11, je mu výkonná rada nápomocna a radí mu, pokud jde o provádění rozhodnutí správní rady v administrativní a rozpočtové oblasti.
3. Výkonná rada se skládá z pěti členů jmenovaných z řad členů správní rady, z nichž jedním je předseda správní rady, který smí předsedat i výkonné radě, a dalším jeden ze zástupců Komise.
4. Funkční období členů výkonné rady je totožné s funkčním obdobím členů správní rady stanoveným v čl. 6 odst. 4.
5. Zasedání výkonné rady se koná alespoň jednou za tři měsíce. Předseda výkonné rady svolává další zasedání na žádost členů této rady.
Článek 11
Povinnosti výkonného ředitele
1. Agenturu řídí výkonný ředitel, který je při výkonu svých povinností zcela nezávislý.
2. Výkonný ředitel odpovídá za:
a)
běžnou správu agentury;
b)
provádění rozhodnutí přijatých správní radou;
c)
vypracování ročního pracovního programu a víceletého pracovního programu po konzultaci se správní radou, a za jejich předložení správní radě po konzultaci s Komisí;
d)
provádění ročního pracovního programu a víceletého pracovního programu a podávání zpráv o jejich provádění správní radě;
e)
vypracování výroční zprávy o činnosti agentury a její předložení správní radě ke schválení;
f)
vypracování akčního plánu v návaznosti na závěry zpětných hodnocení a zprávy o pokroku, kterou předkládá každé dva roky Komisi;
g)
ochranu finančních zájmů Unie uplatňováním preventivních opatření proti podvodům, korupci a jakýmkoli jiným protiprávním jednáním, účinnými kontrolami a zpětným získáním nesprávně vyplacených částek v případech, kdy jsou zjištěny nesrovnalosti, a případně účinnými, přiměřenými a odrazujícími správními a finančními sankcemi;
h)
vypracování strategie agentury pro boj proti podvodům a její předložení správní radě ke schválení;
i)
zajištění toho, aby agentura vykonávala své činnosti v souladu s požadavky subjektů využívajících jejích služeb, zejména s ohledem na přiměřenost poskytovaných služeb;
j)
rozvíjení a udržování styků s orgány a institucemi či jinými subjekty Unie;
k)
rozvíjení a udržování styků s podnikatelským sektorem a organizacemi spotřebitelů pro zajištění pravidelného dialogu s příslušnými zúčastněnými stranami;
l)
jiné úkoly, které jsou výkonnému řediteli uloženy tímto nařízením.
3. Výkonný ředitel může v případě potřeby a v rámci cílů a úkolů agentury zřizovat ad hoc pracovní skupiny složené z odborníků, mimo jiné i z příslušných orgánů členských států. Informuje o tom správní radu v předstihu. Postupy týkající se zejména složení těchto skupin, jmenování odborníků výkonným ředitelem a činnosti ad hoc pracovních skupin jsou stanoveny ve vnitřních organizačních předpisech agentury.
4. Výkonný ředitel dá administrativní podpůrný personál a jiné zdroje v případě potřeby k dispozici správní a výkonné radě.
Článek 12
Stálá skupina zúčastněných stran
1. Správní rada na návrh výkonného ředitele ustaví stálou skupinu zúčastněných stran složenou z uznávaných odborníků zastupujících zúčastněné strany, jako jsou průmysl informačních a komunikačních technologií, poskytovatelé veřejně dostupných elektronických komunikačních sítí nebo služeb, organizace spotřebitelů, vědečtí odborníci v oblasti bezpečnosti sítí a informací a zástupci vnitrostátních regulačních orgánů oznámených podle směrnice 2002/21/ES i donucovacích orgánů a orgánů pro ochranu soukromí.
2. Postupy týkající se zejména počtu, složení a jmenování členů Stálé skupiny zúčastněných stran správní radou, návrhu výkonného ředitele a činnosti skupiny jsou stanoveny ve vnitřních organizačních předpisech agentury a jsou zveřejňovány.
3. Stálé skupině zúčastněných stran předsedá výkonný ředitel nebo osoba, kterou vždy pro danou záležitost výkonný ředitel určí.
4. Funkční období členů Stálé skupiny zúčastněných stran je dva a půl roku. Členové správní rady nesmějí být členy Stálé skupiny zúčastněných stran. Odborníci z řad Komise a členských států jsou oprávněni účastnit se jednání a podílet se na činnosti Stálé skupiny zúčastněných stran. K účasti na zasedáních a na práci Stálé skupiny zúčastněných stran mohou být přizváni zástupci dalších subjektů, kteří nejsou členy Stálé skupiny zúčastněných stran a jejichž účast považuje výkonný ředitel za důležitou.
5. Stálá skupina zúčastněných stran poskytuje agentuře poradenství při vykonávání jejích činností. Radí zejména výkonnému řediteli při přípravě návrhu pracovního programu agentury a při zajišťování komunikace s příslušnými zúčastněnými stranami ve všech otázkách souvisejících s pracovním programem.
ODDÍL 3
ČINNOST
Článek 13
Pracovní program
1. Agentura vykonává svou činnost v souladu s ročním a víceletým pracovním programem, který obsahuje všechny plánované aktivity.
2. Pracovní program obsahuje odpovídající ukazatele výkonnosti umožňující účinné hodnocení dosažených výsledků, pokud jde o cíle.
3. Výkonný ředitel odpovídá za vypracování návrhu pracovního programu agentury po konzultaci s útvary Komise. Výkonný ředitel předkládá správní radě každý rok do 15. března návrh pracovního programu pro příští rok.
4. Do 30. listopadu každého roku poté, co obdrží stanovisko Komise, přijme správní rada pracovní program agentury na následující rok. Pracovní program zahrnuje výhled na více let. Správní rada zajistí, aby pracovní program odpovídal cílům agentury a rovněž legislativním a politickým prioritám Unie v oblasti bezpečnosti sítí a informací.
5. Pracovní program je uspořádán v souladu se zásadou řízení podle činností. Pracovní program odpovídá odhadu příjmů a výdajů agentury a jejímu rozpočtu na daný účetní rok.
6. Výkonný ředitel předloží pracovní program po jeho schválení správní radou Evropskému parlamentu, Radě, Komisi a členským státům a zveřejní jej. Na výzvu příslušného výboru Evropského parlamentu výkonný ředitel představí přijatý roční pracovní program a zúčastní se výměny názorů o tomto programu.
Článek 14
Žádosti podávané agentuře
1. Žádosti o poradenství a pomoc v rámci cílů a úkolů agentury jsou podávány výkonnému řediteli a doprovázeny základními informacemi, které objasňují danou otázku. Výkonný ředitel informuje správní a výkonnou radu o obdržených žádostech, možných dopadech na zdroje a následně o dalším postupu ve věci žádosti. Pokud agentura žádost zamítne, musí své rozhodnutí odůvodnit.
2. Žádosti podle odstavce 1 může podávat:
a)
Evropský parlament;
b)
Rada;
c)
Komise;
d)
jakýkoli příslušný subjekt určený členským státem, například vnitrostátní regulační orgán ve smyslu článku 2 směrnice 2002/21/ES.
3. Správní rada stanoví ve vnitřních organizačních předpisech agentury praktická opatření pro uplatňování odstavců 1 a 2, zejména s ohledem na podávání žádostí, stanovení pořadí jejich důležitosti, další postupy a informování správní a výkonné rady o žádostech podávaných agentuře.
Článek 15
Prohlášení o zájmech
1. Členové správní rady, výkonný ředitel a úředníci dočasně přidělení členskými státy učiní prohlášení o závazcích a prohlášení, z nějž vyplývá, zda existují nějaké přímé nebo nepřímé zájmy, které by mohly ovlivňovat jejich nezávislost, či nikoli. Prohlášení musí být správná a úplná, musí být podávána každoročně písemnou formou a aktualizována, kdykoli je to nezbytné.
2. Členové správní rady, výkonný ředitel a externí odborníci, kteří spolupracují na činnosti ad hoc pracovních skupin, učiní nejpozději na začátku každého zasedání správné a úplné prohlášení o zájmech, které by mohly ovlivňovat jejich nezávislost vzhledem k bodům na pořadu jednání, a neúčastní se jednání a hlasování o těchto bodech.
3. Agentura ve svých vnitřních organizačních předpisech stanoví praktická opatření týkající se pravidel o prohlášení o zájmech podle odstavců 1 a 2.
Článek 16
Transparentnost
1. Agentura zajistí, aby své činnosti vykonávala s vysokou mírou transparentnosti a v souladu s články 17 a 18.
2. Agentura zajistí, aby veřejnost a všechny zainteresované strany měly k dispozici náležité, objektivní, spolehlivé a snadno dostupné informace, zejména s ohledem na výsledky její činnosti. Zveřejní rovněž prohlášení o zájmech učiněná v souladu s článkem 15.
3. Správní rada může na návrh výkonného ředitele zainteresovaným stranám umožnit, aby se účastnily projednání některých činností agentury jako pozorovatelé.
4. Agentura přijme ve svých vnitřních organizačních předpisech praktická opatření pro dodržování pravidel transparentnosti podle odstavců 1 a 2.
Článek 17
Důvěrnost
1. Aniž je dotčen článek 18, nesděluje agentura třetím osobám informace, které zpracovává, které obdržela a pro které bylo odůvodněně vyžádáno zcela či částečně důvěrné zacházení.
2. Členové správní rady, výkonný ředitel, členové stálé skupiny zúčastněných stran, externí odborníci účastnící se ad hoc pracovních skupin a zaměstnanci agentury, včetně úředníků dočasně přidělených členskými státy, jsou povinni i po skončení svých funkcí zachovávat důvěrnost podle článku 339 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“).
3. Agentura přijme ve svých vnitřních organizačních předpisech praktická opatření pro dodržování pravidel důvěrnosti podle odstavců 1 a 2.
4. Pokud je to třeba pro vykonávání úkolů agentury, správní rada rozhodne, že agentuře umožní zpracovávat utajované informace. Správní rada v tomto případě po dohodě s útvary Komise přijme vnitřní organizační předpisy, v nichž se uplatňují bezpečnostní zásady stanovené v rozhodnutí Komise 2001/844/ES, ESVO, Euratom ze dne 29. listopadu 2001, kterým se mění její jednací řád (19). Tyto vnitřní organizační předpisy se vztahují kromě jiného na ustanovení o výměně, zpracování a ukládání utajovaných informací.
Článek 18
Přístup k dokumentům
1. Na dokumenty, které má agentura v držení, se vztahuje nařízení (ES) č. 1049/2001.
2. Správní rada přijme do šesti měsíců od zřízení agentury prováděcí pravidla k nařízení (ES) č. 1049/2001.
3. Proti rozhodnutím přijatým agenturou podle článku 8 nařízení (ES) č. 1049/2001 lze podat stížnost veřejnému ochránci práv za podmínek stanovených v článku 228 Smlouvy o fungování EU nebo žalobu k Soudnímu dvoru Evropské unie za podmínek stanovených v článku 263 Smlouvy o fungování EU.
ODDÍL 4
FINANČNÍ USTANOVENÍ
Článek 19
Schvalování rozpočtu
1. Příjmy agentury zahrnují příspěvek z rozpočtu Unie, příspěvky třetích zemí, které se účastní činnosti agentury v souladu s článkem 30, a dobrovolné peněžní či věcné příspěvky členských států. Členské státy, které poskytují dobrovolné příspěvky, nesmí na základě tohoto příspěvku požadovat žádné zvláštní právo nebo službu.
2. Výdaje agentury zahrnují výdaje na zaměstnance, správu, technickou podporu, infrastrukturu a provoz a výdaje vyplývající ze smluv uzavřených s třetími stranami.
3. Do 1. března každého roku připraví výkonný ředitel návrh odhadu příjmů a výdajů agentury pro následující rozpočtový rok a spolu s návrhem plánu pracovních míst jej předá správní radě.
4. Příjmy a výdaje musejí být vyrovnané.
5. Správní rada na základě návrhu odhadu příjmů a výdajů připraveného výkonným ředitelem sestaví každoročně odhad příjmů a výdajů agentury pro následující rozpočtový rok.
6. Správní rada zašle každý rok do 31. března tento odhad, který zahrnuje návrh plánu pracovních míst a předběžný pracovní program, Komisi a třetím zemím, s nimiž Unie uzavřela dohody v souladu s článkem 30.
7. Tento odhad předloží Komise spolu s předběžným návrhem souhrnného rozpočtu Unie Evropskému parlamentu a Radě
8. Komise na základě tohoto odhadu zanese do předběžného návrhu rozpočtu Unie odhady, které považuje za nezbytné pro plán pracovních míst, a výši subvence ze souhrnného rozpočtu a předloží je Evropskému parlamentu a Radě v souladu s článkem 314 Smlouvy o fungování EU.
9. Evropský parlament a Rada schvalují položky subvencí pro agenturu.
10. Evropský parlament a Rada přijmou plán pracovních míst agentury.
11. Správní rada spolu s pracovním programem přijme rozpočet agentury. Rozpočet se stává konečným po konečném schválení souhrnného rozpočtu Unie. Správní rada případně upraví rozpočet a pracovní program agentury v souladu se souhrnným rozpočtem Unie. Správní rada předloží rozpočet neprodleně Evropskému parlamentu, Radě a Komisi.
Článek 20
Boj proti podvodům
1. V zájmu usnadnění boje proti podvodům, úplatkářství a jinému protiprávnímu jednání podle nařízení (ES) č. 1073/1999 (20) agentura během šesti měsíců od zahájení činnosti přistoupí k interinstitucionální dohodě ze dne 25. května 1999 o vnitřním vyšetřování prováděném Evropským úřadem pro boj proti podvodům (OLAF) (21) a přijme příslušná ustanovení vztahující se na veškeré zaměstnance agentury, přičemž použije šablonu stanovenou v příloze uvedené dohody.
2. Účetní dvůr má pravomoc provádět na základě kontroly dokumentů a inspekce na místě audit u všech příjemců grantů, zhotovitelů, dodavatelů nebo poskytovatelů a subdodavatelů, kteří od agentury obdrželi finanční prostředky Unie.
3. Úřad OLAF smí provádět šetření, včetně kontrol a inspekcí na místě, v souladu s ustanoveními a postupy uvedenými v nařízení (ES) č. 1073/1999 a v nařízení Rady (Euratom, ES) č. 2185/96 ze dne 11. listopadu 1996 o kontrolách a inspekcích na místě prováděných Komisí za účelem ochrany finančních zájmů Evropských společenství proti podvodům a jiným nesrovnalostem (22), aby se zjistilo, zda v souvislosti s grantem nebo zakázkou financovanou ze strany agentury nedošlo k podvodu, úplatkářství nebo jinému protiprávnímu jednání ohrožujícímu finanční zájmy Unie.
4. Aniž jsou dotčeny odstavce 1, 2 a 3, musí dohody o spolupráci se třetími zeměmi a mezinárodními organizacemi, smlouvy, grantové dohody a rozhodnutí o grantu přijatá agenturou obsahovat ustanovení, která výslovně zmocňují Účetní dvůr a úřad OLAF k provádění těchto kontrol a vyšetřování v souladu s jejich příslušnými pravomocemi.
Článek 21
Plnění rozpočtu
1. Za plnění rozpočtu agentury je odpovědný výkonný ředitel.
2. Interní auditor Komise vykonává ve vztahu k agentuře stejné pravomoci jako ve vztahu k útvarům Komise.
3. Do 1. března po ukončení každého rozpočtového roku (1. březen roku N + 1) předá účetní agentury účetnímu Komise prozatímní účty se zprávou o rozpočtovém a finančním řízení za daný rozpočtový rok. Účetní Komise konsoliduje prozatímní účty orgánů a decentralizovaných subjektů podle článku 147 finančního nařízení.
4. Do 31. března roku N + 1 předá účetní Komise prozatímní účty agentury Účetnímu dvoru spolu se zprávou o rozpočtovém a finančním řízení za daný rozpočtový rok. Zpráva o rozpočtovém a finančním řízení za rozpočtový rok se rovněž předává Evropskému parlamentu a Radě.
5. Po obdržení vyjádření Účetního dvora k prozatímním účtům agentury podle článku 148 finančního nařízení vypracuje výkonný ředitel na vlastní odpovědnost konečnou účetní závěrku agentury a zašle ji správní radě k vyjádření.
6. Správní rada vydá stanovisko ke konečné účetní závěrce agentury.
7. Do 1. července roku N + 1 předá výkonný ředitel konečnou účetní závěrku spolu se stanoviskem správní rady, včetně zprávy o rozpočtovém a finančním řízení za daný rozpočtový rok a připomínek Účetního dvora, Evropskému parlamentu, Radě, Komisi a Účetnímu dvoru.
8. Výkonný ředitel zajistí zveřejnění konečné účetní závěrky.
9. Výkonný ředitel odpoví Účetnímu dvoru na jeho vyjádření do 30. září roku N + 1. Zároveň zašle jedno vyhotovení této odpovědi správní radě.
10. Výkonný ředitel předloží Evropskému parlamentu na jeho žádost veškeré informace nezbytné pro řádný průběh udělení absolutoria za daný rozpočtový rok v souladu s čl. 165 odst. 3 finančního nařízení.
11. Evropský parlament uděluje na základě doporučení Rady do 15. května roku N + 2 výkonnému řediteli absolutorium za plnění rozpočtu rozpočtového roku N.
ODDÍL 5
ZAMĚSTNANCI
Článek 22
Obecná ustanovení
Na zaměstnance agentury se vztahuje služební řád a pracovní řád ostatních zaměstnanců a pravidla přijatá na základě dohody mezi orgány Unie k provedení tohoto služebního řádu.
Článek 23
Výsady a imunita
Na agenturu a její zaměstnance se vztahuje Protokol č. 7 o výsadách a imunitách Evropské unie, připojený ke Smlouvě o Evropské unii a ke Smlouvě o fungování EU.
Článek 24
Výkonný ředitel
1. Výkonný ředitel je zaměstnán jako dočasný zaměstnanec agentury podle čl. 2 písm. a) pracovního řádu ostatních zaměstnanců.
2. Výkonného ředitele jmenuje po otevřeném a transparentním výběrovém řízení správní rada ze seznamu kandidátů navržených Komisí.
Pro účely uzavření smlouvy s výkonným ředitelem je agentura zastoupena předsedou správní rady.
Před jmenováním je kandidát zvolený správní radou vyzván, aby před příslušným výborem Evropského parlamentu učinil prohlášení a zodpověděl otázky jeho členů.
3. Funkční období výkonného ředitele je pět let. Do konce tohoto období Komise provede posouzení, které zohlední hodnocení výsledků výkonného ředitele a budoucí úkoly a výzvy agentury.
4. Správní rada může na návrh Komise, který zohledňuje posouzení uvedené v odstavci 3, a poté, co obdrží stanovisko Evropského parlamentu, funkční období výkonného ředitele jednou prodloužit, a to na dobu nepřesahující pět let.
5. O svém záměru prodloužit funkční období výkonného ředitele informuje správní rada Evropský parlament. Je-li výkonný ředitel vyzván, učiní do tří měsíců před tímto prodloužením prohlášení před příslušným výborem Evropského parlamentu a zodpoví otázky jeho členů.
6. Výkonný ředitel, jehož funkční období bylo prodlouženo, se nesmí účastnit dalšího výběrového řízení na tutéž pozici.
7. Výkonný ředitel může být odvolán z funkce pouze rozhodnutím správní rady.
Článek 25
Vyslaní národní odborníci a další pracovníci
1. Agentura může využívat vyslané národní odborníky nebo jiné pracovníky, kteří nejsou v agentuře zaměstnáni. Na tyto pracovníky se nevztahuje služební řád ani pracovní řád ostatních zaměstnanců.
2. Správní rada přijme rozhodnutí, kterým stanoví pravidla pro vysílání národních odborníků do agentury.
ODDÍL 6
OBECNÁ USTANOVENÍ
Článek 26
Právní postavení
1. Agentura je institucí Unie. Má právní subjektivitu.
2. Ve všech členských státech má agentura nejširší způsobilost k právním úkonům, kterou přiznává právnickým osobám jejich právo. Zejména může nabývat a zcizovat movitý i nemovitý majetek a vystupovat před soudem.
3. Agenturu zastupuje její výkonný ředitel.
4. S cílem zlepšit provozní účinnost agentury je zachována pobočka zřízená v metropolitní oblasti Atén.
Článek 27
Odpovědnost
1. Smluvní odpovědnost agentury se řídí právem rozhodným pro danou smlouvu.
Soudní dvůr Evropské unie má pravomoc rozhodovat na základě jakékoli rozhodčí doložky obsažené ve smlouvě uzavřené agenturou.
2. V případě mimosmluvní odpovědnosti nahradí agentura v souladu s obecnými zásadami, které jsou společné právním řádům členských států, škodu, kterou způsobí ona nebo její zaměstnanci při výkonu své funkce.
Soudní dvůr Evropské unie má pravomoc rozhodovat spory o náhradu škody.
3. Osobní odpovědnost zaměstnanců vůči agentuře se řídí odpovídajícími předpisy vztahujícími se na zaměstnance agentury.
Článek 28
Jazyky
1. Na agenturu se vztahuje nařízení č. 1 ze dne 15. dubna 1958 o užívání jazyků v Evropském hospodářském společenství (23). Členské státy a ostatní jimi určené subjekty se mohou na agenturu obracet a přijímat odpovědi v libovolném úředním jazyce orgánů Evropské unie.
2. Překladatelské služby potřebné pro činnost agentury poskytuje Překladatelské středisko pro instituce Evropské unie.
Článek 29
Ochrana osobních údajů
1. Při zpracování údajů týkajících se fyzických osob, zejména při plnění svých úkolů, se agentura řídí zásadami ochrany osobních údajů uvedenými v nařízení (ES) č. 45/2001 a podléhá ustanovením tohoto nařízení.
2. Správní rada přijme prováděcí opatření uvedená v čl. 24 odst. 8 nařízení (ES) č. 45/2001. Správní rada může přijmout další opatření nezbytná pro uplatňování nařízení č. 45/2001 ze strany agentury.
Článek 30
Účast třetích zemí
1. Agentura je otevřena účasti třetích zemí, které uzavřely s Evropskou unií dohody, na jejichž základě přijaly a používají právní akty Unie v oblasti, na kterou se vztahuje toto nařízení.
2. Na základě odpovídajících ustanovení těchto dohod budou stanovena pravidla, která určí zejména povahu, rozsah a způsob účasti těchto zemí na činnosti agentury, včetně ustanovení týkajících se účasti na iniciativách agentury, finančních příspěvků a zaměstnanců.
Článek 31
Bezpečnostní předpisy týkající se ochrany utajovaných informací
Agentura uplatňuje bezpečnostní zásady obsažené v bezpečnostních pravidlech Komise pro ochranu utajovaných informací Evropské unie (EUCI) a citlivých informací nepodléhajících utajení, která jsou vymezena v příloze rozhodnutí Komise 2001/844/ES, ESUO, Euratom. Vztahuje se to kromě jiného na ustanovení o výměně, zpracování a ukládání takových informací.
ODDÍL 7
ZÁVĚREČNÁ USTANOVENÍ
Článek 32
Hodnocení a přezkum
1. Do 20. června 2018 nechá Komise provést hodnocení, které posoudí zejména dopad, účinnost a účelnost agentury a jejích pracovních postupů. Toto hodnocení se rovněž bude zabývat případnou potřebou upravit mandát agentury a finančních dopadů takovýchto úprav.
2. Hodnocení uvedené v odstavci 1 zohledňuje veškerou odezvu, kterou agentura v reakci na svou činnost zaznamenala.
3. Komise předá hodnotící zprávu společně se svými závěry Evropskému parlamentu, Radě a správní radě. Závěry hodnocení se zveřejní.
4. Součástí tohoto hodnocení je rovněž posouzení výsledků dosažených agenturou s ohledem na její cíle, mandát a úkoly. Pokud se Komise domnívá, že pokračování činnosti agentury je odůvodněné vzhledem k jejím určeným cílům, mandátu a úkolům, může navrhnout, aby byl mandát agentury stanovený v článku 36 prodloužen.
Článek 33
Spolupráce hostitelského členského státu
Hostitelský členský stát agentury poskytuje nejlepší možné podmínky, aby bylo zajištěno řádné fungování agentury, včetně přístupnosti lokality, existence vhodných vzdělávacích zařízení pro děti zaměstnanců, patřičného přístupu na pracovní trh, sociálního zabezpečení a zdravotní péče pro děti i pro manžely a manželky zaměstnanců.
Článek 34
Správní kontrola
Činnost agentury je pod dohledem veřejného ochránce práv v souladu s článkem 228 Smlouvy o fungování EU.
Článek 35
Zrušení a nástupnictví
1. Nařízení (ES) č. 460/2004 se zrušuje.
Odkazy na rozhodnutí (ES) č. 460/2004 a na agenturu ENISA se považují za odkazy na toto rozhodnutí a v něm uvedenou agenturu.
2. Agentura je nástupkyní agentury zřízené nařízením (ES) č. 460/2004, pokud jde o veškeré vlastnictví, dohody, právní závazky, pracovní smlouvy, finanční závazky a odpovědnost.
Článek 36
Doba trvání
Agentura se zřizuje na dobu sedmi let od 19. června 2013.
Článek 37
Vstup v platnost
Toto nařízení vstupuje v platnost prvním dnem po vyhlášení v Úředním věstníku Evropské unie.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
Ve Štrasburku dne 21. května 2013.
RÈGLEMENT (UE) No 526/2013 DU PARLEMENT EUROPÉEN ET DU CONSEIL
du 21 mai 2013
concernant l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA) et abrogeant le règlement (CE) no 460/2004
(Texte présentant de l'intérêt pour l'EEE)
LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,
vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114,
vu la proposition de la Commission européenne,
après transmission du projet d’acte législatif aux parlements nationaux,
vu l’avis du Comité économique et social européen (1),
statuant conformément à la procédure législative ordinaire (2),
considérant ce qui suit:
(1)
Les communications, infrastructures et services électroniques sont des facteurs clés, directement et indirectement, du développement de l’économie et de la société. Ils jouent un rôle essentiel pour la société, sont devenus eux-mêmes des services tout aussi omniprésents que l’approvisionnement en électricité ou en eau et constituent également des facteurs vitaux dans la fourniture d’électricité, d’eau et d’autres services essentiels. Les réseaux de communication fonctionnent comme des catalyseurs pour la société et l’innovation dès lors qu’ils multiplient l’impact de la technologie et influencent les habitudes des consommateurs, les modèles commerciaux, les entreprises, ainsi que la citoyenneté et la participation à la vie politique. Toute perturbation de ces services peut causer des dommages physiques, sociaux et économiques considérables, d’où l’importance de mesures de protection et de résilience accrues visant à assurer la continuité des services essentiels. La sécurité des communications, infrastructures et services électroniques, en particulier leur intégrité, leur disponibilité et leur confidentialité, fait face à des défis toujours plus nombreux, qui touchent notamment aux composants individuels des infrastructures de communication et aux logiciels contrôlant ces composants, aux infrastructures dans leur ensemble et aux services fournis grâce à ces infrastructures. C’est un sujet de préoccupation croissante pour la société, notamment parce que des problèmes pourraient se poser en raison de la complexité des systèmes, d’un dysfonctionnement, d’une faille du système, d’un accident, d’une erreur ou d’une attaque, susceptibles d’avoir des répercussions sur l’infrastructure physique et électronique qui fournit des services essentiels au bien-être des européens.
(2)
La nature de la menace évolue constamment et les incidents de sécurité peuvent ébranler la confiance que les utilisateurs ont dans les technologies, les réseaux et les services, affectant de la sorte leur capacité à exploiter tout le potentiel du marché intérieur et l’utilisation généralisée des technologies de l’information et de la communication (TIC).
(3)
Il est donc important pour les décideurs, les entreprises et les utilisateurs que la situation en matière de sécurité des réseaux et de l’information dans l’Union soit régulièrement évaluée à partir de données de l’Union fiables et d’une anticipation systématique des évolutions, défis et menaces futurs tant au niveau de l’Union qu’au niveau mondial.
(4)
Par la décision 2004/97/CE, Euratom (3), adoptée lors du Conseil européen du 13 décembre 2003, les représentants des États membres ont décidé que l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), qui devait être instituée sur la base de la proposition soumise par la Commission, aurait son siège dans une ville en Grèce que le gouvernement grec désignera. À la suite de cette décision, le gouvernement grec a choisi la ville d’Héraklion, en Crète, pour accueillir le siège de l’ENISA.
(5)
Le 1er avril 2005, un accord de siège a été conclu entre l’Agence et l’État membre d’accueil.
(6)
L’État membre d’accueil de l’Agence devrait offrir les meilleures conditions possibles pour un fonctionnement harmonieux et efficace de l’Agence. Il est impératif, pour l’accomplissement correct et efficace de ses missions, pour le recrutement et la fidélisation du personnel et pour une plus grande efficacité des activités de mise en réseau, que l’Agence soit établie dans un lieu approprié, offrant, entre autres, des liaisons de transport et des aménagements appropriés pour les conjoints et enfants accompagnant les membres du personnel de l’Agence. Les dispositions nécessaires devraient être arrêtées dans un accord conclu, après approbation du conseil d’administration de l’Agence, entre l’Agence et l’État membre d’accueil.
(7)
Afin d’améliorer son efficacité opérationnelle, l’Agence a installé une antenne dans la zone métropolitaine d’Athènes, qui devrait être maintenue avec l’accord et le soutien de l’État membre d’accueil et qui devrait accueillir le personnel opérationnel de l’Agence. Le personnel principalement affecté à l’administration de l’Agence (y compris le directeur exécutif), aux questions financières, à la recherche et à l’analyse documentaires, à la gestion de l’informatique et des infrastructures, aux ressources humaines, à la formation, ainsi qu’aux communications et aux affaires publiques, devrait être basé à Héraklion.
(8)
L’Agence a le droit de décider de sa propre organisation de manière à assurer l’accomplissement correct et efficace de ses missions, dans le respect des dispositions relatives au siège et à l’antenne d’Athènes arrêtées dans le présent règlement. En particulier, en vue d’accomplir les missions qui impliquent une interaction avec des parties prenantes essentielles telles que les institutions de l’Union, l’Agence devrait prendre les dispositions pratiques nécessaires pour renforcer cette efficacité opérationnelle.
(9)
En 2004, le Parlement européen et le Conseil ont adopté le règlement (CE) no 460/2004 (4) instituant l’ENISA en vue de contribuer à la réalisation des objectifs visant à assurer un niveau élevé de sécurité des réseaux et de l’information au sein de l’Union et à favoriser l’émergence d’une culture de la sécurité des réseaux et de l’information dans l’intérêt des citoyens, des consommateurs, des entreprises et des administrations publiques. En 2008, le Parlement européen et le Conseil ont adopté le règlement (CE) no 1007/2008 (5) prolongeant le mandat de l’Agence jusqu’en mars 2012. Le règlement (CE) no 580/2011 (6) prolonge le mandat de l’Agence jusqu’au 13 septembre 2013.
(10)
L’Agence devrait succéder à l’ENISA, instituée par le règlement (CE) no 460/2004. Dans le cadre de la décision prise par les représentants des États membres réunis au Conseil européen du 13 décembre 2003, l’État membre d’accueil devrait maintenir et continuer à développer les modalités pratiques actuelles en vue de garantir le fonctionnement harmonieux et efficace de l’Agence, y compris de son antenne à Athènes, et faciliter l’engagement et la fidélisation de personnel hautement qualifié.
(11)
Depuis que l’ENISA a été instituée, les défis en matière de sécurité des réseaux et de l’information ont changé en fonction des évolutions technologiques, commerciales et socio-économiques, et ont fait l’objet de réflexions et de débats approfondis. En réponse aux défis toujours nouveaux, l’Union a revu les priorités de sa politique en matière de sécurité des réseaux et de l’information. Le présent règlement vise à renforcer l’Agence pour contribuer avec succès aux efforts des États membres et des institutions de l’Union visant à mettre en place, en Europe, des moyens permettant de relever les défis de la sécurité des réseaux et de l’information.
(12)
Dans le domaine de la sécurité des communications électroniques et, plus généralement, de la sécurité des réseaux et de l’information, les mesures relatives au marché intérieur nécessitent l’adoption de différentes modalités d’application techniques et organisationnelles par les institutions de l’Union et les États membres. L’application hétérogène de ces exigences peut conduire à des pertes d’efficacité et créer des obstacles au marché intérieur. Il est donc nécessaire de créer, au niveau de l’Union, un centre d’expertise chargé de fournir des indications, des conseils et une assistance concernant les questions liées à la sécurité des réseaux et de l’information, sur lequel les institutions de l’Union et les États membres peuvent compter. L’Agence peut répondre à ces besoins en acquérant et en conservant un niveau élevé de compétences spécialisées et en assistant les institutions de l’Union, les États membres et le secteur des entreprises en vue de les aider à satisfaire aux exigences légales et réglementaires en matière de sécurité des réseaux et de l’information, et de déterminer et résoudre les questions de sécurité des réseaux et de l’information, contribuant ainsi au bon fonctionnement du marché intérieur.
(13)
L’Agence devrait exécuter les tâches qui lui sont confiées en vertu des actes juridiques de l’Union dans le domaine des communications électroniques et, en général, contribuer à améliorer le niveau de sécurité des communications électroniques et le niveau de protection de la vie privée et des données à caractère personnel, notamment en mettant à disposition des compétences spécialisées, en fournissant des conseils et en promouvant l’échange des meilleures pratiques ainsi qu’en formulant des propositions quant aux politiques à mener.
(14)
La directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive «cadre») (7) exige que les fournisseurs de réseaux publics de communications électroniques ou de services de communications électroniques accessibles au public prennent les mesures appropriées pour assurer leur intégrité et sécurité et impose aux autorités réglementaires nationales, le cas échéant, d’informer entre autres l’Agence de toute atteinte à la sécurité ou perte d’intégrité ayant eu un impact significatif sur le fonctionnement des réseaux ou services, ainsi que de soumettre à la Commission et à l’Agence un rapport annuel succinct sur les notifications reçues et l’action engagée. La directive 2002/21/CE invite également l’Agence à contribuer à l’harmonisation de mesures techniques et organisationnelles appropriées en matière de sécurité en formulant des avis.
(15)
La directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (8) exige que les fournisseurs de services de communications électroniques accessibles au public prennent les mesures techniques et organisationnelles appropriées pour assurer la sécurité de leurs services et requiert également que la confidentialité des communications et des données relatives au trafic y afférentes soit préservée. La directive 2002/58/CE instaure pour les fournisseurs de services de communications électroniques des exigences en matière d’information et de notification des violations des données à caractère personnel. Elle exige aussi de la Commission de consulter l’Agence sur toute mesure technique d’application à adopter concernant les circonstances, le format et les procédures applicables aux exigences en matière d’information et de notification. La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (9) exige des États membres de veiller à ce que le responsable du traitement mette en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite ou la perte accidentelle, l’altération, la divulgation ou l’accès non autorisés, notamment lorsque le traitement implique la transmission de données par un réseau, ainsi que contre toute autre forme de traitement illicite.
(16)
L’Agence devrait contribuer à un niveau élevé de sécurité des réseaux et de l’information, à l’amélioration de la protection de la vie privée et de la protection des données à caractère personnel ainsi qu’à l’émergence et à la promotion d’une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, prenant part ainsi au bon fonctionnement du marché intérieur. Pour atteindre cet objectif, il y a lieu d’allouer les crédits budgétaires nécessaires à l’Agence.
(17)
Considérant l’importance croissante des réseaux et communications électroniques, qui forment désormais la base de l’économie européenne, et l’étendue réelle de l’économie numérique, il importe d’accroître les ressources budgétaires et humaines allouées à l’Agence afin de refléter le renforcement de son rôle et de ses missions ainsi que sa position stratégique dans la défense de l’écosystème numérique européen.
(18)
L’Agence devrait servir de point de référence et instaurer la confiance du fait de son indépendance, de la qualité des conseils fournis et des informations diffusées, de la transparence de ses procédures et modes de fonctionnement, et de sa diligence à exécuter ses tâches. L’Agence devrait s’appuyer sur les efforts déployés aux niveaux national et de l’Union et par conséquent exécuter ses tâches en totale coopération avec les institutions, organes et organismes de l’Union et les États membres et être ouverte à tout contact avec les entreprises et d’autres parties prenantes concernées. De plus, l’Agence devrait s’appuyer sur les informations fournies par le secteur privé et travailler en coopération avec celui-ci, le secteur privé jouant un rôle important dans la sécurisation des communications, infrastructures et services électroniques.
(19)
Un ensemble de tâches devrait indiquer à l’Agence la manière d’atteindre ses objectifs tout en lui laissant une certaine souplesse de fonctionnement. Au nombre des tâches exécutées par l’Agence devrait figurer la collecte des informations et données nécessaires à l’analyse des risques pour la sécurité et la résilience des communications, infrastructures et services électroniques et à l’évaluation, en coopération avec les États membres, la Commission et, le cas échéant, les parties prenantes concernées, de la situation en matière de sécurité des réseaux et de l’information dans l’Union. L’Agence devrait assurer la coordination et la collaboration avec les institutions, organes et organismes de l’Union et les États membres et renforcer la coopération entre les parties prenantes en Europe, notamment en faisant participer à ses activités les organismes nationaux et de l’Union compétents et des experts de haut niveau du secteur privé dans les domaines concernés, en particulier les fournisseurs de réseaux et de services de communications électroniques, les fabricants d’équipements de réseau et les vendeurs de logiciels, en tenant compte du fait que les réseaux et systèmes d’information comprennent des combinaisons de matériel, de logiciels et de services. L’Agence devrait prêter assistance aux institutions de l’Union et aux États membres dans leur dialogue avec les entreprises pour traiter les problèmes liés à la sécurité que posent les matériels et logiciels, contribuant ainsi à une approche concertée de la sécurité des réseaux et de l’information.
(20)
Les stratégies en matière de sécurité des réseaux et de l’information rendues publiques par une institution, un organe ou un organisme de l’Union ou un État membre devraient être communiquées à l’Agence pour informer celle-ci et éviter les doubles emplois. L’Agence devrait analyser les stratégies et promouvoir leur présentation dans un format facilitant leur comparabilité. Elle devrait mettre les stratégies et ses analyses à la disposition du public par des moyens électroniques.
(21)
L’Agence devrait assister la Commission sous la forme de conseils, d’avis et d’analyses sur toutes les questions de l’Union liées à l’élaboration de la politique en matière de sécurité des réseaux et de l’information, y compris en ce qui concerne la protection des infrastructures d’information critiques et la résilience. L’Agence devrait aussi assister les institutions, organes et organismes de l’Union et, le cas échéant, à leur demande, les États membres, dans leurs efforts pour mettre en place une politique et des moyens en matière de sécurité des réseaux et de l’information.
(22)
L’Agence devrait prendre pleinement en compte les activités en cours en matière de recherche, de développement et d’évaluation technologique, et plus particulièrement celles menées dans le cadre des différentes initiatives de recherche de l’Union, pour fournir des conseils aux institutions, organes et organismes de l’Union et, le cas échéant, à leur demande, aux États membres sur les besoins en matière de recherche dans le domaine de la sécurité des réseaux et de l’information.
(23)
L’Agence devrait assister les institutions, organes et organismes de l’Union ainsi que les États membres dans leurs efforts pour mettre en place et développer des moyens et une préparation transfrontaliers afin de prévenir les problèmes et incidents de sécurité des réseaux et de l’information, de les détecter et d’y faire face. À cet égard, l’Agence devrait faciliter la coopération entre les États membres et entre la Commission et les autres institutions, organes et organismes de l’Union et les États membres. À cette fin, l’Agence devrait soutenir les États membres dans leurs efforts continus pour développer leurs moyens d’intervention et pour organiser et réaliser des exercices européens et, à la demande d’un État membre, nationaux concernant des incidents de sécurité.
(24)
Pour mieux comprendre les défis dans le domaine de la sécurité des réseaux et de l’information, l’Agence doit analyser les risques actuels et émergents. À cet effet, l’Agence devrait, en coopération avec les États membres et, le cas échéant, les instituts de statistiques et d’autres organismes, recueillir des informations pertinentes. En outre, l’Agence devrait assister les institutions, organes et organismes de l’Union et les États membres dans leurs efforts pour recueillir, analyser et diffuser des données sur la sécurité des réseaux et de l’information. La collecte des informations et données statistiques appropriées nécessaires à l’analyse des risques pour la sécurité et la résilience des communications, infrastructures et services électroniques devrait s’effectuer sur la base des informations fournies par les États membres et du point de vue de l’Agence en ce qui concerne les infrastructures TIC des institutions de l’Union conformément aux dispositions de l’Union et aux dispositions nationales arrêtées dans le respect du droit de l’Union. Sur la base de ces informations, l’Agence devrait se tenir informée en permanence de l’état le plus actualisé de la sécurité des réseaux et de l’information ainsi que des tendances observées en la matière dans l’Union, dans l’intérêt des institutions, organes et organismes de l’Union et des États membres.
(25)
Dans l’accomplissement de ses tâches, l’Agence devrait faciliter la coopération entre l’Union et les États membres afin de sensibiliser à la situation en matière de sécurité des réseaux et de l’information dans l’Union.
(26)
L’Agence devrait faciliter la coopération entre les autorités réglementaires indépendantes compétentes des États membres, notamment en favorisant la mise au point, la promotion et l’échange des meilleures pratiques et de normes pour des programmes éducatifs et de sensibilisation. Une intensification des échanges d’informations entre les États membres facilitera cette action. L’Agence devrait contribuer à sensibiliser les utilisateurs individuels des communications, infrastructures et services électroniques, y compris en aidant les États membres, lorsqu’ils ont choisi d’utiliser la plate-forme d’informations d’intérêt public prévue dans la directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques (directive «service universel») (10), à produire des informations utiles d’intérêt public concernant la sécurité des réseaux et de l’information, et en aidant également à élaborer ces informations, qui doivent être jointes lors de la fourniture de nouveaux appareils destinés à être utilisés sur des réseaux publics de communications. L’Agence devrait aussi favoriser la coopération entre les parties prenantes au niveau de l’Union, en particulier par la promotion du partage d’informations, des campagnes de sensibilisation et des programmes éducatifs et de formation.
(27)
L’Agence devrait aider, entre autres, les institutions, organes et organismes de l’Union concernés et les États membres lors de campagnes publiques d’éducation à destination des utilisateurs finaux, en vue de promouvoir une navigation en ligne plus sûre pour tous et de sensibiliser aux dangers potentiels du cyberespace, y compris la cybercriminalité telle que les hameçonnages, réseaux zombies, fraudes financières et bancaires, et de donner des conseils de base en matière d’authentification et de protection des données.
(28)
Pour pouvoir atteindre pleinement ses objectifs, l’Agence devrait assurer la liaison avec les organismes concernés, notamment ceux traitant de la cybercriminalité, comme Europol, et les autorités chargées du respect de la vie privée, pour échanger savoir-faire et meilleures pratiques ainsi que pour fournir des conseils sur les aspects liés à la sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs activités. L’Agence devrait avoir pour but de créer des synergies entre les efforts de ces organismes et les siens visant à promouvoir l’amélioration de la sécurité des réseaux et de l’information. Les représentants des autorités nationales et des autorités de l’Union chargées de l’application de la loi et du respect de la vie privée devraient pouvoir être représentés au sein du groupe permanent des parties prenantes de l’Agence. Dans ses relations avec les organismes chargés de l’application de la loi concernant les questions de sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs activités, l’Agence devrait utiliser les canaux d’information existants et les réseaux établis.
(29)
La Commission a lancé un partenariat public-privé européen pour la résilience, qui a pris la forme d’une plate-forme de coopération souple à l’échelle de l’Union pour la résilience des infrastructures TIC, dans laquelle l’Agence devrait jouer un rôle de facilitateur consistant à réunir les parties prenantes pour qu’elles discutent des priorités de politique générale, des aspects économiques et commerciaux des défis et des mesures en faveur de la résilience des TIC.
(30)
Pour promouvoir la sécurité des réseaux et de l’information ainsi que sa visibilité, l’Agence devrait faciliter la coopération entre les organismes publics compétents des États membres, notamment en favorisant la mise en place et l’échange des meilleures pratiques et de programmes de sensibilisation ainsi qu’en renforçant leurs actions d’information. L’Agence devrait aussi soutenir la coopération entre les parties prenantes et les institutions de l’Union, en partie par la promotion du partage d’informations et des activités de sensibilisation.
(31)
Pour rehausser le niveau de sécurité des réseaux et de l’information dans l’Union, l’Agence devrait favoriser la coopération et l’échange d’informations et des meilleures pratiques entre les organismes concernés, tels que les équipes de réaction aux incidents touchant la sécurité informatique (CSIRT) et les équipes d’intervention en cas d’urgence informatique (CERT).
(32)
Un système de CERT fonctionnelles au niveau de l’Union devrait être une pierre angulaire des infrastructures de sécurité des réseaux et de l’information de l’Union. L’Agence devrait aider les CERT des États membres et la CERT de l’Union à assurer le fonctionnement d’un réseau de CERT, comprenant les membres du groupe des CERT gouvernementales européennes. Afin de contribuer à assurer que toutes les CERT disposent de capacités suffisamment avancées et que ces capacités correspondent, autant que possible, à celles des CERT les plus avancées, l’Agence devrait promouvoir la mise en place et le fonctionnement d’un système d’évaluation par les pairs. En outre, l’Agence devrait promouvoir et soutenir la coopération entre les CERT concernées en cas d’incidents, d’attaques ou de perturbations sur les réseaux ou infrastructures dont les CERT assurent la gestion ou la protection et impliquant, ou susceptibles d’impliquer, au moins deux CERT.
(33)
Des politiques de sécurité des réseaux et de l’information efficaces devraient reposer sur des méthodes d’évaluation des risques bien élaborées, dans le secteur public comme dans le secteur privé. Les méthodes et procédures d’évaluation des risques sont utilisées à différents niveaux et il n’existe pas de pratiques communes en ce qui concerne leur application efficace. La promotion et le développement des meilleures pratiques en matière d’évaluation des risques et de solutions interopérables de gestion des risques dans les organisations des secteurs public et privé rehausseront le niveau de sécurité des réseaux et systèmes d’information dans l’Union. À cette fin, l’Agence devrait favoriser la coopération entre parties prenantes au niveau de l’Union, en contribuant à leurs efforts concernant l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité mesurable des produits, systèmes, réseaux et services électroniques, lesquels, conjointement avec les logiciels, constituent les réseaux et systèmes d’information.
(34)
Le cas échéant, pour autant que cela soit utile à la réalisation de ses objectifs et de ses tâches, l’Agence devrait partager expérience et informations générales avec les institutions, organes et organismes de l’Union traitant de la sécurité des réseaux et de l’information. L’Agence devrait contribuer, au niveau de l’Union, à identifier les priorités en matière de recherche dans les domaines de la résilience du réseau et de la sécurité du réseau et des informations, ainsi qu’à fournir des informations sur les besoins des entreprises aux instituts de recherche concernés.
(35)
L’Agence devrait encourager les États membres et les fournisseurs de services à renforcer leurs normes de sécurité générales, de manière que tous les utilisateurs d’internet prennent les mesures nécessaires pour garantir leur propre cybersécurité.
(36)
Les questions de sécurité des réseaux et de l’information sont des problèmes de dimension mondiale. Il est nécessaire de renforcer la coopération internationale pour améliorer les normes de sécurité, y compris en définissant des normes de comportement et codes de conduite communs, et en partageant les informations, en encourageant une collaboration internationale plus prompte en réponse aux problèmes de sécurité des réseaux et de l’information ainsi qu’une approche globale commune de ces problèmes. À cette fin, l’Agence devrait soutenir la poursuite de l’engagement et de la coopération de l’Union avec les pays tiers et les organisations internationales en mettant, le cas échéant, les compétences et l’analyse nécessaires au service des institutions, organes et organismes de l’Union concernés.
(37)
L’Agence devrait fonctionner conformément au principe de subsidiarité, en garantissant un degré adéquat de coordination entre les États membres sur les questions de sécurité des réseaux et de l’information, en améliorant l’efficacité des politiques nationales et en leur donnant donc une valeur ajoutée, et conformément au principe de proportionnalité, en n’excédant pas ce qui est nécessaire pour atteindre les objectifs fixés dans le présent règlement. Dans l’exécution de ses tâches, l’Agence devrait renforcer les compétences, non leur porter atteinte, et ne devrait ni retirer, entraver ou empiéter sur les pouvoirs et les tâches des autorités réglementaires nationales prévus dans les directives relatives aux réseaux et services de communications électroniques ainsi que sur ceux de l’Organe des régulateurs européens des communications électroniques (ORECE) institué par le règlement (CE) no 1211/2009 (11) et du comité des communications visé dans la directive 2002/21/CE, des organismes européens de normalisation, des organismes nationaux de normalisation et du comité permanent prévus dans la directive 98/34/CE (12) et des autorités de contrôle indépendantes des États membres prévus dans la directive 95/46/CE.
(38)
Il convient de mettre en œuvre certains principes en ce qui concerne la gouvernance de l’Agence afin de se conformer à la déclaration conjointe et à l’approche commune adoptées par le groupe de travail interinstitutionnel sur les agences décentralisées de l’Union en juillet 2012, le but de cette déclaration et de cette approche étant de rationaliser les activités des agences et d’améliorer leur efficacité.
(39)
La déclaration conjointe et l’approche commune devraient également se refléter, le cas échéant, dans les programmes de travail, les évaluations, ainsi que les pratiques en matière d’établissement des rapports et les pratiques administratives de l’Agence.
(40)
Pour assurer le bon fonctionnement de l’Agence, la Commission et les États membres devraient veiller à ce que les personnes désignées au conseil d’administration soient dotées de compétences professionnelles appropriées. La Commission et les États membres devraient s’efforcer de limiter le roulement de leurs représentants respectifs dans le conseil d’administration, afin de garantir la continuité des travaux de ce dernier.
(41)
Il est essentiel que l’Agence établisse et entretienne une réputation d’impartialité, d’intégrité et de normes professionnelles élevées. En conséquence, le conseil d’administration devrait adopter des règles exhaustives en matière de prévention et de gestion des conflits d’intérêts, couvrant l’ensemble de l’Agence.
(42)
Vu la situation particulière de l’Agence et les défis difficiles auxquels elle se trouve confrontée, sa structure organisationnelle devrait être simplifiée et renforcée, pour assurer une plus grande efficacité et efficience. Il y a donc lieu, entre autres, d’instituer un conseil exécutif pour permettre au conseil d’administration de se concentrer sur les questions d’importance stratégique.
(43)
Le conseil d’administration devrait désigner un comptable conformément aux règles adoptées au titre du règlement (UE, Euratom) no 966/2012 (13) (ci-après dénommé «règlement financier»).
(44)
Afin d’assurer l’efficacité de l’Agence, les États membres et la Commission devraient être représentés au sein du conseil d’administration chargé de fixer l’orientation générale du fonctionnement de l’Agence et de veiller à ce qu’elle exécute ses tâches conformément au présent règlement. Le conseil d’administration devrait être doté des pouvoirs nécessaires pour établir le budget, vérifier son exécution, adopter les règles financières appropriées, instaurer des procédures de travail transparentes pour la prise de décisions par l’Agence, adopter le programme de travail de l’Agence, son propre règlement intérieur et les règles internes de fonctionnement de l’Agence, nommer le directeur exécutif, décider de la prolongation du mandat du directeur exécutif après avoir reçu le point de vue du Parlement européen et décider de l’expiration dudit mandat. Le conseil d’administration devrait créer un conseil exécutif pour l’assister dans ses tâches administratives et budgétaires.
(45)
Le bon fonctionnement de l’Agence exige que le directeur exécutif de celle-ci soit nommé sur la base de son mérite et de ses capacités attestées dans le domaine de l’administration et de la gestion, ainsi que de ses compétences et de son expérience pertinentes en matière de sécurité des réseaux et de l’information, et qu’il exerce ses fonctions en toute indépendance quant à l’organisation du fonctionnement interne de l’Agence. À cette fin, le directeur exécutif devrait élaborer une proposition de programme de travail pour l’Agence, après consultation préalable de la Commission, et prendre toutes les mesures nécessaires pour garantir la bonne exécution de ce programme de travail. Le directeur exécutif devrait préparer un rapport annuel à soumettre au conseil d’administration, établir un projet d’état prévisionnel des recettes et des dépenses de l’Agence et exécuter le budget.
(46)
Le directeur exécutif devrait avoir la possibilité de créer des groupes de travail ad hoc pour traiter des questions spécifiques, en particulier de nature scientifique, technique, juridique ou socio-économique. Lors de la création de groupes de travail ad hoc, le directeur exécutif devrait recueillir et prendre en compte les avis des experts externes concernés nécessaires pour permettre à l’Agence d’avoir accès aux informations disponibles les plus récentes concernant les défis que pose, en matière de sécurité, l’évolution de la société de l’information. Le directeur exécutif devrait veiller à ce que les membres des groupes de travail ad hoc soient sélectionnés selon les critères de compétence les plus élevés, compte dûment tenu de la nécessité d’assurer une représentation équilibrée, en fonction des questions spécifiques concernées, des administrations publiques des États membres, des institutions de l’Union et du secteur privé, y compris des entreprises, des utilisateurs et des experts universitaires en matière de sécurité des réseaux et de l’information. Le directeur exécutif devrait pouvoir, le cas échéant, inviter à titre individuel des experts dont les compétences dans le domaine concerné sont reconnues à participer aux activités des groupes de travail au cas par cas. Leurs dépenses devraient être couvertes par l’Agence conformément à ses règles internes de fonctionnement et aux règles adoptées au titre du règlement financier.
(47)
L’Agence devrait disposer, à titre d’organe consultatif, d’un groupe permanent des parties prenantes pour maintenir un dialogue régulier avec le secteur privé, les organisations de consommateurs et les autres parties prenantes concernées. Le groupe permanent des parties prenantes, institué par le conseil d’administration sur proposition du directeur exécutif, devrait s’attacher à examiner des questions pertinentes pour les parties prenantes et à les porter à l’attention de l’Agence. Le directeur exécutif devrait pouvoir, le cas échéant et en fonction de l’ordre du jour des réunions, inviter des représentants du Parlement européen et d’autres organismes intéressés à participer aux réunions du groupe.
(48)
Étant donné qu’il est prévu que les parties prenantes sont amplement représentées au sein du groupe permanent des parties prenantes, et que ce groupe doit être consulté, en particulier, en ce qui concerne le projet de programme de travail, il n’est plus nécessaire de prévoir que les parties prenantes sont représentées au sein du conseil d’administration.
(49)
L’Agence devrait appliquer les dispositions pertinentes du droit de l’Union en ce qui concerne l’accès du public aux documents prévu par le règlement (CE) no 1049/2001 du Parlement européen et du Conseil (14). Les informations traitées par l’Agence pour des motifs liés à son fonctionnement interne, ainsi que les informations traitées par celle-ci dans l’exercice de ses tâches, devraient être soumises au règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (15).
(50)
L’Agence devrait respecter les dispositions applicables aux institutions de l’Union et la législation nationale concernant le traitement des documents sensibles.
(51)
Pour garantir l’autonomie et l’indépendance complètes de l’Agence et lui permettre d’effectuer des tâches nouvelles et supplémentaires, y compris des tâches urgentes imprévues, il conviendrait de la doter d’un budget suffisant et autonome dont l’essentiel des recettes provient d’une contribution de l’Union et de contributions des pays tiers participant aux travaux de l’Agence. La plus grande partie des effectifs de l’Agence devrait se consacrer directement à la mise en œuvre opérationnelle du mandat de l’Agence. L’État membre d’accueil, ou tout autre État membre, devrait être autorisé à apporter des contributions volontaires aux recettes de l’Agence. La procédure budgétaire de l’Union devrait rester applicable en ce qui concerne toute subvention imputable sur le budget général de l’Union européenne. En outre, la Cour des comptes devrait contrôler les comptes de l’Agence afin de garantir la transparence et la responsabilité.
(52)
Vu l’évolution constante de la nature de la menace et l’évolution de la politique de l’Union en matière de sécurité des réseaux et de l’information, et dans un souci d’alignement sur le cadre financier pluriannuel, il convient de fixer la durée du mandat de l’Agence à une période limitée de sept ans, avec possibilité de prolongation.
(53)
Le fonctionnement de l’Agence devrait faire l’objet d’une évaluation indépendante. Cette évaluation devrait tenir compte de l’efficacité de l’Agence dans la réalisation de ses objectifs, de ses méthodes de travail et de la pertinence de ses tâches, afin de déterminer si les objectifs de l’Agence sont toujours valables ou pas et, de ce fait, si la durée de son mandat doit être prolongée, et sur quelle période.
(54)
Si, vers la fin de la durée du mandat de l’Agence, la Commission n’a pas présenté de proposition pour la prolongation du mandat, l’Agence et la Commission devraient prendre les mesures nécessaires, concernant en particulier les questions relatives aux contrats avec le personnel et aux arrangements budgétaires.
(55)
Étant donné que l’objectif du présent règlement, à savoir instituer une Agence de l’Union européenne pour la sécurité des réseaux et de l’information en vue de contribuer à un niveau élevé de sécurité des réseaux et de l’information dans l’Union, et en vue de sensibiliser la société et de favoriser l’émergence et promouvoir, dans la société, une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, contribuant ainsi à l’établissement et au bon fonctionnement du marché intérieur, ne peut pas être atteint de manière suffisante par les États membres et peut donc être mieux atteint au niveau de l’Union, celle-ci peut prendre des mesures conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité énoncé au même article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre cet objectif.
(56)
Le règlement (CE) no 460/2004 devrait être abrogé.
(57)
Le Contrôleur européen de la protection des données a été consulté conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001 et a adopté son avis le 20 décembre 2010 (16),
ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:
SECTION 1
CHAMP D’APPLICATION, OBJECTIFS ET TÂCHES
Article premier
Objet et champ d’application
1. Le présent règlement institue une Agence de l’Union européenne chargée de la sécurité des réseaux et de l’information (ENISA, ci-après dénommée «Agence») afin d’exécuter les tâches qui lui sont assignées en vue de contribuer à un niveau élevé de sécurité des réseaux et de l’information au sein de l’Union et en vue de sensibiliser la société à la sécurité des réseaux et de l’information et de favoriser l’émergence et promouvoir une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, contribuant ainsi à l’établissement et au bon fonctionnement du marché intérieur.
2. Les objectifs et les tâches de l’Agence s’entendent sans préjudice des compétences des États membres en ce qui concerne la sécurité des réseaux et de l’information et, en tout état de cause, des activités relatives à la sécurité publique, à la défense, à la sûreté de l’État (y compris à la prospérité économique de l’État lorsqu’il s’agit de questions touchant à la sûreté de l’État) et des activités de l’État dans les domaines du droit pénal.
3. Aux fins du présent règlement, on entend par «sécurité des réseaux et de l’information» la capacité d’un réseau ou d’un système d’information de résister, à un niveau de confiance donné, à des événements accidentels ou à des actions illégales ou malveillantes qui compromettent la disponibilité, l’authenticité, l’intégrité et la confidentialité des données stockées ou transmises et des services connexes que ces réseaux et systèmes offrent ou qu’ils rendent accessibles.
Article 2
Objectifs
1. L’Agence acquiert et conserve un niveau élevé de compétences spécialisées.
2. L’Agence assiste les institutions, organes et organismes de l’Union dans l’élaboration des politiques de sécurité des réseaux et de l’information.
3. L’Agence assiste les institutions, organes et organismes de l’Union et les États membres dans la mise en œuvre des politiques nécessaires pour satisfaire aux exigences légales et réglementaires requises au titre des actes juridiques existants et à venir de l’Union en matière de sécurité des réseaux et de l’information, contribuant ainsi au bon fonctionnement du marché intérieur.
4. L’Agence aide l’Union et les États membres à améliorer et à renforcer leurs moyens et leur préparation pour prévenir les problèmes et incidents de sécurité des réseaux et de l’information, les détecter et y faire face.
5. L’Agence met à profit ses compétences spécialisées pour encourager une large coopération entre les acteurs des secteurs public et privé.
Article 3
Tâches
1. Aux fins exposées à l’article 1er et pour atteindre les objectifs énoncés à l’article 2, dans le respect de l’article 1er, paragraphe 2, l’Agence accomplit les tâches suivantes:
a)
soutenir l’élaboration de la politique et du droit de l’Union, en:
i)
apportant son concours et ses conseils sur toutes les questions relatives à la politique et au droit de l’Union en matière de sécurité des réseaux et de l’information;
ii)
fournissant des travaux préparatoires, des conseils et des analyses concernant l’élaboration et l’actualisation de la politique et du droit de l’Union en matière de sécurité des réseaux et de l’information;
iii)
analysant les stratégies en matière de sécurité des réseaux et de l’information accessibles au public et en favorisant leur publication;
b)
aider au renforcement des capacités en:
i)
soutenant les États membres, à leur demande, dans leurs efforts pour développer et améliorer la prévention, la détection et l’analyse des problèmes et incidents de sécurité des réseaux et de l’information et la capacité d’y faire face, et en leur fournissant les connaissances nécessaires;
ii)
promouvant et facilitant la coopération volontaire au sein des États membres, et entre les institutions, organes et organismes de l’Union et les États membres, dans leurs efforts pour prévenir et détecter les problèmes et les incidents de sécurité des réseaux et de l’information, et y faire face, lorsqu’ils ont une incidence transfrontière;
iii)
assistant les institutions, organes et organismes de l’Union dans leurs efforts pour développer la prévention, la détection et l’analyse des problèmes et incidents de sécurité des réseaux et de l’information et la capacité d’y faire face, en particulier en soutenant le fonctionnement d’une équipe d’intervention en cas d’urgence informatique (CERT) à leur intention;
iv)
soutenant le relèvement du niveau des capacités des CERT nationales, gouvernementales et de l’Union, y compris en favorisant le dialogue et l’échange d’informations, pour faire en sorte que, en ce qui concerne l’état de la technologie, chaque CERT satisfasse à un socle commun de capacités minimales et fonctionne selon les meilleures pratiques;
v)
soutenant l’organisation et la réalisation d’exercices de l’Union portant sur la sécurité des réseaux et de l’information et, à leur demande, en conseillant les États membres en ce qui concerne les exercices nationaux;
vi)
assistant les institutions, organes et organismes de l’Union et les États membres dans leurs efforts de collecte, d’analyse et, dans le respect des exigences des États membres en matière de sécurité, de diffusion des données sur la sécurité des réseaux et de l’information; et sur la base des informations fournies par les institutions, organes et organismes de l’Union et les États membres conformément aux dispositions du droit de l’Union et aux dispositions nationales arrêtées dans le respect du droit de l’Union, en tenant les institutions, organes et organismes de l’Union ainsi que les États membres informés du dernier état de la sécurité des réseaux et de l’information dans l’Union dans leur intérêt;
vii)
aidant à la mise en place d’un mécanisme d’alerte rapide de l’Union qui soit complémentaire aux mécanismes des États membres;
viii)
offrant une formation à la sécurité des réseaux et de l’information aux organismes publics compétents, le cas échéant en coopération avec les parties prenantes;
c)
soutenir la coopération volontaire parmi les organismes publics compétents, et entre les parties prenantes, y compris les universités et les centres de recherche dans l’Union, ainsi que la sensibilisation, entre autres en:
i)
favorisant la coopération entre les CERT nationales et gouvernementales ou les équipes de réaction aux incidents touchant la sécurité informatique (CSIRT), y compris la CERT pour les institutions, organes et organismes de l’Union;
ii)
favorisant le développement et le partage des meilleures pratiques en vue d’atteindre un niveau avancé de sécurité des réseaux et de l’information;
iii)
facilitant le dialogue et les efforts visant à développer et échanger les meilleures pratiques;
iv)
favorisant les meilleures pratiques en matière de partage de l’information et de sensibilisation;
v)
soutenant les institutions, organes et organismes de l’Union et, à leur demande, les États membres et leurs organismes concernés dans l’organisation d’activités de sensibilisation, y compris au niveau des utilisateurs individuels, et d’autres actions d’information pour accroître la sécurité des réseaux et de l’information et sa visibilité en définissant les meilleures pratiques et des lignes directrices;
d)
soutenir la recherche et le développement, et la normalisation, en:
i)
facilitant l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité des produits, réseaux et services électroniques;
ii)
conseillant l’Union et les États membres sur les besoins en matière de recherche dans le domaine de la sécurité des réseaux et de l’information, en vue de pouvoir faire face efficacement aux risques et aux menaces actuels et émergents dans ce domaine, y compris en ce qui concerne les technologies de l’information et de la communication nouvelles et émergentes, et d’utiliser d’une manière efficace les technologies de prévention des risques;
e)
coopérer avec les institutions, organes et organismes de l’Union, y compris ceux qui traitent de la cybercriminalité et de la protection de la vie privée et des données à caractère personnel, pour aborder des questions d’intérêt commun, y compris en:
i)
échangeant savoir-faire et meilleures pratiques;
ii)
fournissant des conseils sur des aspects pertinents liés à la sécurité des réseaux et de l’information de manière à développer des synergies;
f)
contribuer aux efforts de l’Union pour coopérer avec les pays tiers et les organisations internationales, afin de promouvoir une coopération internationale sur les problèmes de sécurité des réseaux et de l’information, y compris en:
i)
s’impliquant en tant qu’observateur, le cas échéant, et en participant à l’organisation d’exercices internationaux, ainsi qu’en analysant et en rendant compte des résultats de ces exercices;
ii)
facilitant l’échange des meilleures pratiques des organisations concernées;
iii)
mettant des compétences spécialisées à la disposition des institutions de l’Union.
2. Les institutions, organes et organismes de l’Union et les organismes des États membres peuvent demander conseil à l’Agence en cas d’atteinte à la sécurité ou de perte d’intégrité ayant un impact significatif sur le fonctionnement des réseaux et des services.
3. L’Agence exécute les tâches qui lui sont assignées par des actes juridiques de l’Union.
4. L’Agence formule de manière indépendante ses propres conclusions, orientations et conseils sur des questions entrant dans le cadre du champ d’application et des objectifs du présent règlement.
SECTION 2
ORGANISATION
Article 4
Composition de l’Agence
1. L’Agence comprend:
a)
un conseil d’administration;
b)
un directeur exécutif et du personnel; et
c)
un groupe permanent des parties prenantes.
2. Pour contribuer au renforcement de l’efficacité et du rapport coût-efficacité du fonctionnement de l’Agence, le conseil d’administration institue un conseil exécutif.
Article 5
Conseil d’administration
1. Le conseil d’administration fixe l’orientation générale du fonctionnement de l’Agence et veille à ce que l’Agence travaille conformément aux règles et principes énoncés dans le présent règlement. Il assure aussi la cohérence des travaux de l’Agence avec les activités menées par les États membres ainsi qu’au niveau de l’Union.
2. Le conseil d’administration adopte le programme de travail annuel et le programme de travail pluriannuel de l’Agence.
3. Le conseil d’administration adopte un rapport annuel sur les activités de l’Agence et l’envoie, le 1er juillet au plus tard de l’année suivante, au Parlement européen, au Conseil, à la Commission et à la Cour des comptes. Le rapport annuel inclut les comptes et décrit la manière dont l’Agence atteint ses indicateurs de performance. Le rapport annuel est rendu public.
4. Le conseil d’administration adopte une stratégie antifraude qui est proportionnée aux risques de fraude compte tenu de l’analyse coût-bénéfice des mesures à mettre en œuvre.
5. Le conseil d’administration assure le suivi approprié des conclusions et des recommandations découlant des enquêtes de l’Office européen de lutte antifraude (OLAF) et des divers rapports d’audit interne ou externe et des évaluations.
6. Le conseil d’administration adopte des règles en matière de prévention et de gestion des conflits d’intérêts.
7. Le conseil d’administration exerce, à l’égard du personnel de l’Agence, les pouvoirs qui sont dévolus par le statut des fonctionnaires de l’Union européenne et le régime applicable aux autres agents de l’Union européenne (ci-après dénommés «statut» et «régime applicable aux autres agents»), fixés par le règlement (CEE, Euratom CECA) no 259/68 (17) à l’autorité investie du pouvoir de nomination et à l’autorité habilitée à conclure les contrats d’engagement, respectivement.
Le conseil d’administration adopte, conformément à la procédure prévue à l’article 110 du statut, une décision fondée sur l’article 2, paragraphe 1, du statut et sur l’article 6 du régime applicable aux autres agents, déléguant au directeur exécutif les pouvoirs correspondants dévolus à l’autorité investie du pouvoir de nomination. Le directeur exécutif peut sous-déléguer ces pouvoirs.
Lorsque des circonstances exceptionnelles l’exigent, le conseil d’administration peut révoquer la délégation des pouvoirs de l’autorité investie du pouvoir de nomination au directeur exécutif ainsi que de ceux sous-délégués par le directeur exécutif. Dans ce cas, le conseil d’administration peut les déléguer, pour une période limitée, à un de ses membres ou à un membre du personnel autre que le directeur exécutif.
8. Le conseil d’administration arrête les modalités d’application nécessaires du statut et du régime applicable aux autres agents conformément à la procédure prévue à l’article 110 du statut.
9. Le conseil d’administration nomme le directeur exécutif et peut prolonger son mandat ou le démettre de ses fonctions conformément à l’article 24 du présent règlement.
10. Le conseil d’administration adopte le règlement intérieur applicable à lui-même et au conseil exécutif après avoir consulté la Commission. Le règlement intérieur prévoit une prise de décision rapide par procédure écrite ou par conférence à distance.
11. Le conseil d’administration adopte les règles internes de fonctionnement de l’Agence après avoir consulté les services de la Commission. Ces règles sont rendues publiques.
12. Le conseil d’administration adopte les règles financières applicables à l’Agence. Elles ne peuvent s’écarter du règlement (CE, Euratom) no 2343/2002 de la Commission du 19 novembre 2002 portant règlement financier-cadre des organismes visés à l’article 185 du règlement (CE, Euratom) no 1605/2002 du Conseil portant règlement financier applicable au budget général des Communautés européennes (18) que si les exigences spécifiques du fonctionnement de l’Agence le nécessitent et si la Commission a préalablement donné son accord.
13. Le conseil d’administration adopte un plan pluriannuel en matière de politique du personnel après avoir consulté les services de la Commission et dûment informé le Parlement européen et le Conseil.
Article 6
Composition du conseil d’administration
1. Le conseil d’administration est composé d’un représentant de chaque État membre, et de deux représentants nommés par la Commission. Tous les représentants disposent du droit de vote.
2. Chaque membre du conseil d’administration dispose d’un suppléant, qui le représente en cas d’absence.
3. Les membres du conseil d’administration et leurs suppléants sont nommés sur la base de leur connaissance des tâches et des objectifs de l’Agence, en tenant compte des compétences nécessaires en matière de gestion et d’administration ainsi qu’en matière budgétaire pour s’acquitter des tâches énumérées à l’article 5. La Commission et les États membres devraient consentir des efforts pour limiter le roulement de leurs représentants au sein du conseil d’administration, afin de garantir la continuité des travaux de celui-ci. La Commission et les États membres visent à atteindre une représentation équilibrée entre hommes et femmes au sein du conseil d’administration.
4. Le mandat des membres du conseil d’administration et de leurs suppléants a une durée de quatre ans. Ce mandat est renouvelable.
Article 7
Présidence du conseil d’administration
1. Le conseil d’administration élit son président et un vice-président parmi ses membres, pour une durée de trois ans renouvelable. Le vice-président remplace d’office le président lorsque celui-ci n’est pas en mesure d’assumer ses fonctions.
2. Le président peut être invité à faire une déclaration devant la ou les commissions concernées du Parlement européen et à répondre aux questions des députés.
Article 8
Réunions
1. Les réunions du conseil d’administration sont convoquées par son président.
2. Le conseil d’administration tient une réunion ordinaire au moins une fois par an. Il tient aussi des réunions extraordinaires à l’initiative du président ou à la demande d’au moins un tiers de ses membres.
3. Le directeur exécutif participe sans droit de vote aux réunions du conseil d’administration.
Article 9
Vote
1. Les décisions du conseil d’administration sont prises à la majorité absolue de ses membres.
2. Une majorité des deux tiers de tous les membres du conseil d’administration est nécessaire pour adopter le règlement intérieur du conseil d’administration, les règles internes de fonctionnement de l’Agence, le budget et le programme de travail annuel et pluriannuel, pour nommer le directeur exécutif, prolonger son mandat ou le révoquer, ainsi que pour nommer le président du conseil d’administration.
Article 10
Conseil exécutif
1. Le conseil d’administration est assisté d’un conseil exécutif.
2. Le conseil exécutif prépare les décisions à adopter par le conseil d’administration dans les matières administratives et budgétaires uniquement.
Avec le conseil d’administration, il assure le suivi approprié des conclusions et des recommandations découlant des enquêtes de l’OLAF ainsi que des divers rapports d’audit interne ou externe et des évaluations.
Sans préjudice des responsabilités du directeur exécutif définies à l’article 11, le conseil exécutif assiste et conseille celui-ci dans la mise en œuvre des décisions du conseil d’administration relatives à des questions administratives et budgétaires.
3. Le conseil exécutif est composé de cinq membres nommés parmi les membres du conseil d’administration, dont le président du conseil d’administration, qui peut également présider le conseil exécutif, et d’un des représentants de la Commission.
4. Le mandat des membres du conseil exécutif coïncide avec celui des membres du conseil d’administration énoncé à l’article 6, paragraphe 4.
5. Le conseil exécutif se réunit au moins une fois par trimestre. Le président du conseil exécutif convoque des réunions supplémentaires à la demande de ses membres.
Article 11
Tâches du directeur exécutif
1. L’Agence est gérée par son directeur exécutif, qui est indépendant dans l’exercice de ses fonctions.
2. Le directeur exécutif est chargé:
a)
d’assurer l’administration courante de l’Agence;
b)
de mettre en œuvre les décisions adoptées par le conseil d’administration;
c)
après avoir consulté le conseil d’administration, de préparer le programme de travail annuel et le programme de travail pluriannuel et de les soumettre au conseil d’administration après consultation de la Commission;
d)
de mettre en œuvre le programme de travail annuel et le programme de travail pluriannuel et de faire rapport au conseil d’administration sur ceux-ci;
e)
de préparer le rapport annuel sur les activités de l’Agence et de le présenter au conseil d’administration pour approbation;
f)
de préparer un plan d’action faisant suite aux conclusions des évaluations rétrospectives et de faire rapport tous les deux ans à la Commission sur les progrès accomplis;
g)
de protéger les intérêts financiers de l’Union par l’application de mesures préventives contre la fraude, la corruption et d’autres activités illégales, par des contrôles efficaces et, si des irrégularités sont constatées, par le recouvrement des montants indûment payés et, le cas échéant, par des sanctions administratives et financières efficaces, proportionnées et dissuasives;
h)
de préparer une stratégie antifraude pour l’Agence et de la présenter au conseil d’administration pour approbation;
i)
de veiller à ce que l’Agence exerce ses activités conformément aux exigences de ceux qui font appel à ses services, notamment en termes d’adéquation des services rendus;
j)
d’établir et de maintenir le contact avec les institutions, organes et organismes de l’Union;
k)
d’établir et de maintenir le contact avec le secteur des entreprises et les organisations de consommateurs afin d’assurer un dialogue régulier avec les parties prenantes concernées;
l)
des autres tâches qui lui sont confiées par le présent règlement.
3. En tant que de besoin et dans le cadre des objectifs et des tâches de l’Agence, le directeur exécutif peut créer des groupes de travail ad hoc composés d’experts, y compris des experts des autorités compétentes des États membres. Le conseil d’administration en est préalablement informé. Les modalités concernant en particulier la composition des groupes de travail ad hoc, la nomination des experts par le directeur exécutif et le fonctionnement de ces groupes sont précisées dans les règles internes de fonctionnement de l’Agence.
4. Le directeur exécutif met du personnel administratif d’appui et d’autres ressources à la disposition du conseil d’administration et du conseil exécutif chaque fois que c’est nécessaire.
Article 12
Groupe permanent des parties prenantes
1. Le conseil d’administration crée, sur proposition du directeur exécutif, un groupe permanent des parties prenantes composé d’experts reconnus représentant les parties prenantes concernées, comme les entreprises du secteur des TIC, les fournisseurs de réseaux de communications électroniques ou de services accessibles au public, les organisations de consommateurs, les experts universitaires en matière de sécurité des réseaux et de l’information et les représentants des autorités réglementaires nationales notifiées au titre de la directive 2002/21/CE ainsi que les autorités chargées du respect de la loi et de la vie privée.
2. Les modalités relatives notamment au nombre de membres, à la composition du groupe permanent des parties prenantes, à la nomination des membres par le conseil d’administration, à la proposition du directeur exécutif et au fonctionnement du groupe sont précisées dans les règles internes de fonctionnement de l’Agence et sont rendues publiques.
3. Le groupe permanent des parties prenantes est présidé par le directeur exécutif ou par toute personne qu’il désigne à cet effet cas par cas.
4. La durée du mandat des membres du groupe permanent des parties prenantes est de deux ans et demi. Les membres du conseil d’administration ne peuvent pas être membres du groupe permanent des parties prenantes. Des experts de la Commission et des États membres sont autorisés à être présents aux réunions et à participer aux travaux du groupe permanent des parties prenantes. Des représentants d’autres organismes dont la présence est jugée utile par le directeur exécutif, qui ne sont pas membres du groupe permanent des parties prenantes, peuvent être invités à assister aux réunions du groupe permanent des parties prenantes et à prendre part à ses travaux.
5. Le groupe permanent des parties prenantes conseille l’Agence dans l’exercice de ses activités. Il conseille en particulier le directeur exécutif lors de l’élaboration d’une proposition de programme de travail pour l’Agence ainsi que pour la communication avec les parties prenantes concernées sur toutes les questions liées au programme de travail.
SECTION 3
FONCTIONNEMENT
Article 13
Programme de travail
1. L’Agence exécute ses tâches conformément au programme de travail annuel et pluriannuel qui contient l’ensemble de ses activités planifiées.
2. Le programme de travail comporte des indicateurs de performance adaptés qui permettent une évaluation efficace des résultats obtenus par rapport aux objectifs.
3. Le directeur exécutif est chargé d’établir le projet de programme de travail de l’Agence après consultation préalable des services de la Commission. Au plus tard le 15 mars de chaque année, le directeur exécutif soumet au conseil d’administration le projet de programme de travail pour l’année suivante.
4. Au plus tard le 30 novembre de chaque année, le conseil d’administration adopte le programme de travail de l’Agence pour l’année suivante, après avoir reçu l’avis de la Commission. Le programme de travail comprend un aperçu pluriannuel. Le conseil d’administration veille à assurer la cohérence du programme de travail avec les objectifs de l’Agence ainsi qu’avec les priorités législatives et politiques de l’Union en matière de sécurité des réseaux et de l’information.
5. Le programme de travail est structuré selon le principe de la gestion par activités. Il est conforme à l’état prévisionnel des recettes et des dépenses de l’Agence et au budget de l’Agence pour l’exercice correspondant.
6. Le directeur exécutif transmet le programme de travail, après adoption par le conseil d’administration, au Parlement européen, au Conseil, à la Commission et aux États membres et en assure la publication. À l’invitation de la commission compétente du Parlement européen, le directeur exécutif présente le programme de travail annuel adopté et procède à un échange de vues sur celui-ci.
Article 14
Demandes adressées à l’Agence
1. Les demandes de conseils et d’assistance qui entrent dans le cadre des objectifs et des tâches de l’Agence sont adressées au directeur exécutif et accompagnées d’informations générales expliquant la question devant être traitée. Le directeur exécutif informe le conseil d’administration et le conseil exécutif des demandes reçues, des incidences qui peuvent en découler sur le plan des ressources et, en temps utile, de la suite qui leur a été donnée. Si l’Agence rejette une demande, elle doit motiver son refus.
2. Les demandes visées au paragraphe 1 peuvent être introduites par:
a)
le Parlement européen;
b)
le Conseil;
c)
la Commission;
d)
tout organisme compétent désigné par un État membre, tel qu’une autorité réglementaire nationale au sens de l’article 2 de la directive 2002/21/CE.
3. Les modalités pratiques d’application des paragraphes 1 et 2 en ce qui concerne notamment la présentation, la hiérarchisation et le suivi des demandes adressées à l’Agence ainsi que l’information du conseil d’administration et du conseil exécutif au sujet de ces demandes sont prévues par le conseil d’administration dans les règles internes de fonctionnement de l’Agence.
Article 15
Déclaration d’intérêt
1. Les membres du conseil d’administration, le directeur exécutif et les fonctionnaires détachés par les États membres à titre temporaire font chacun une déclaration d’engagements et une déclaration indiquant l’absence ou la présence de tout intérêt direct ou indirect qui pourrait être considéré comme préjudiciable à leur indépendance. Les déclarations sont exactes et complètes, faites par écrit sur une base annuelle et actualisées si nécessaire.
2. Les membres du conseil d’administration, le directeur exécutif et les experts externes participant aux groupes de travail ad hoc déclarent chacun de manière exacte et complète, au plus tard au début de chaque réunion, les intérêts qui pourraient être considérés comme préjudiciables à leur indépendance eu égard aux points inscrits à l’ordre du jour, et s’abstiennent de prendre part aux discussions et de voter sur ces points.
3. L’Agence fixe, dans ses règles internes de fonctionnement, les modalités pratiques concernant les règles relatives aux déclarations d’intérêt visées aux paragraphes 1 et 2.
Article 16
Transparence
1. L’Agence veille à exercer ses activités avec un niveau élevé de transparence et conformément aux dispositions des articles 17 et 18.
2. L’Agence veille à ce que le public et toute partie intéressée reçoivent une information appropriée, objective, fiable et facilement accessible, notamment en ce qui concerne le résultat de ses travaux. Elle rend également publiques les déclarations d’intérêt faites conformément à l’article 15.
3. Le conseil d’administration peut, sur proposition du directeur exécutif, autoriser des parties intéressées à participer en tant qu’observateurs à certaines activités de l’Agence.
4. L’Agence fixe, dans ses règles internes de fonctionnement, les modalités pratiques d’application des règles de transparence visées aux paragraphes 1 et 2.
Article 17
Confidentialité
1. Sans préjudice de l’article 18, l’Agence ne divulgue pas à des tiers les informations qu’elle traite ou qu’elle reçoit et pour lesquelles une demande motivée de traitement confidentiel, en tout ou en partie, a été faite.
2. Les membres du conseil d’administration, le directeur exécutif, les membres du groupe permanent des parties prenantes, les experts externes participant aux groupes de travail ad hoc et les membres du personnel de l’Agence, y compris les fonctionnaires détachés par les États membres à titre temporaire, respectent l’obligation de confidentialité visée à l’article 339 du traité sur le fonctionnement de l’Union européenne, même après la cessation de leurs fonctions.
3. L’Agence fixe, dans ses règles internes de fonctionnement, les modalités pratiques d’application des règles de confidentialité visées aux paragraphes 1 et 2.
4. Si l’exécution des tâches de l’Agence l’exige, le conseil d’administration décide d’autoriser l’Agence à traiter des informations classifiées. Dans ce cas, le conseil d’administration, en accord avec les services de la Commission, adopte des règles internes de fonctionnement respectant les principes de sécurité énoncés dans la décision 2001/844/CE, CECA, Euratom de la Commission du 29 novembre 2001 modifiant son règlement intérieur (19). Ces règles couvrent, entre autres, les dispositions relatives à l’échange, au traitement et à l’archivage des informations classifiées.
Article 18
Accès aux documents
1. Le règlement (CE) no 1049/2001 s’applique aux documents détenus par l’Agence.
2. Le conseil d’administration adopte des dispositions pour la mise en œuvre du règlement (CE) no 1049/2001 dans les six mois suivant la création de l’Agence.
3. Les décisions prises par l’Agence en application de l’article 8 du règlement (CE) no 1049/2001 peuvent faire l’objet d’une plainte auprès du Médiateur au titre de l’article 228 du traité sur le fonctionnement de l’Union européenne ou d’un recours devant la Cour de justice de l’Union européenne au titre de l’article 263 du traité sur le fonctionnement de l’Union européenne.
SECTION 4
DISPOSITIONS FINANCIÈRES
Article 19
Adoption du budget
1. Les recettes de l’Agence se composent d’une contribution provenant du budget de l’Union, de contributions apportées par les pays tiers participant aux travaux de l’Agence conformément à l’article 30, et de contributions volontaires des États membres, en espèces ou en nature. Les États membres qui apportent une contribution volontaire ne peuvent prétendre à aucun droit ou service spécifique du fait de celle-ci.
2. Les dépenses de l’Agence comprennent la rémunération du personnel, l’assistance administrative et technique, les dépenses d’infrastructure et de fonctionnement et les dépenses résultant de contrats passés avec des tiers.
3. Au plus tard le 1er mars de chaque année, le directeur exécutif établit un projet d’état prévisionnel des recettes et des dépenses de l’Agence pour l’exercice budgétaire suivant et le transmet au conseil d’administration avec un projet de tableau des effectifs.
4. Les recettes et les dépenses sont équilibrées.
5. Le conseil d’administration établit chaque année, sur la base du projet d’état prévisionnel des recettes et des dépenses élaboré par le directeur exécutif, un état prévisionnel des recettes et des dépenses de l’Agence pour l’exercice budgétaire suivant.
6. Le conseil d’administration transmet, au plus tard le 31 mars de chaque année, cet état prévisionnel comprenant le projet de tableau des effectifs ainsi que le projet de programme de travail, à la Commission et aux pays tiers avec lesquels l’Union européenne a conclu des accords conformément à l’article 30.
7. L’état prévisionnel est transmis par la Commission au Parlement européen et au Conseil, avec le projet de budget général de l’Union.
8. Sur la base de cet état prévisionnel, la Commission inscrit dans le projet de budget général de l’Union les prévisions qu’elle estime nécessaires en ce qui concerne le tableau des effectifs et le montant de la subvention à la charge du budget général et le soumet au Parlement européen et au Conseil conformément à l’article 314 du traité sur le fonctionnement de l’Union européenne.
9. Le Parlement européen et le Conseil autorisent les crédits au titre de la subvention destinée à l’Agence.
10. Le Parlement européen et le Conseil adoptent le tableau des effectifs de l’Agence.
11. Le conseil d’administration adopte le budget de l’Agence en même temps que le programme de travail. Ce budget devient définitif après l’adoption définitive du budget général de l’Union. Le cas échéant, le conseil d’administration ajuste le budget de l’Agence et le programme de travail conformément au budget général de l’Union. Le conseil d’administration transmet le budget sans tarder au Parlement européen, au Conseil et à la Commission.
Article 20
Lutte contre la fraude
1. Afin de faciliter la lutte contre la fraude, la corruption et d’autres activités illégales au titre du règlement (CE) no 1073/1999 (20), l’Agence, dans un délai de six mois à compter de son entrée en fonction, adhère à l’accord interinstitutionnel du 25 mai 1999 relatif aux enquêtes internes effectuées par l’Office européen de lutte antifraude (OLAF) (21) et adopte les dispositions appropriées applicables à tout le personnel de l’Agence, en utilisant le modèle figurant à l’annexe dudit accord.
2. La Cour des comptes dispose d’un pouvoir d’audit, sur pièces et sur place, à l’égard de tous les bénéficiaires de subventions, contractants et sous-traitants qui ont reçu des fonds de l’Union en provenance de l’Agence.
3. L’OLAF peut effectuer des enquêtes, y compris des contrôles et vérifications sur place, selon les dispositions et modalités prévues par le règlement (CE) no 1073/1999 et le règlement (Euratom, CE) no 2185/96 du Conseil du 11 novembre 1996 relatif aux contrôles et vérifications sur place effectués par la Commission pour la protection des intérêts financiers des Communautés européennes contre les fraudes et autres irrégularités (22), en vue d’établir l’existence éventuelle d’une fraude, d’un acte de corruption ou de toute autre activité illégale portant atteinte aux intérêts financiers de l’Union, dans le cadre d’une subvention ou d’un contrat financés par l’Agence.
4. Sans préjudice des paragraphes 1, 2 et 3, les accords de coopération conclus avec des pays tiers et des organisations internationales, les contrats, les conventions de subvention et les décisions de subvention de l’Agence contiennent des dispositions habilitant expressément la Cour des comptes et l’OLAF à procéder à ces audits et ces enquêtes, conformément à leurs compétences respectives.
Article 21
Exécution du budget
1. Le directeur exécutif est responsable de l’exécution du budget de l’Agence.
2. L’auditeur interne de la Commission exerce à l’égard de l’Agence les mêmes compétences que celles qui lui sont attribuées à l’égard des services de la Commission.
3. Au plus tard le 1er mars suivant l’achèvement de l’exercice (1er mars de l’année N + 1), le comptable de l’Agence transmet les comptes provisoires, accompagnés d’un rapport sur la gestion budgétaire et financière durant l’exercice, au comptable de la Commission. Le comptable de la Commission procède à la consolidation des comptes provisoires des institutions et des organismes décentralisés conformément à l’article 147 du règlement financier.
4. Au plus tard le 31 mars de l’année N + 1, le comptable de la Commission transmet les comptes provisoires de l’Agence, accompagnés d’un rapport sur la gestion budgétaire et financière durant l’exercice, à la Cour des comptes. Le rapport sur la gestion budgétaire et financière durant l’exercice est également transmis au Parlement européen et au Conseil.
5. À la réception des observations formulées par la Cour des comptes sur les comptes provisoires de l’Agence, en vertu de l’article 148 du règlement financier, le directeur exécutif établit les comptes définitifs de l’Agence sous sa propre responsabilité et les transmet pour avis au conseil d’administration.
6. Le conseil d’administration émet un avis sur les comptes définitifs de l’Agence.
7. Au plus tard le 1er juillet de l’année N + 1, le directeur exécutif transmet les comptes définitifs, y compris le rapport sur la gestion budgétaire et financière concernant l’exercice et les observations de la Cour des comptes, accompagnés de l’avis du conseil d’administration, au Parlement européen, au Conseil, à la Commission et à la Cour des comptes.
8. Le directeur exécutif publie les comptes définitifs.
9. Le directeur exécutif adresse à la Cour des comptes une réponse aux observations de celle-ci le 30 septembre de l’année N + 1 au plus tard et adresse également une copie de cette réponse au conseil d’administration.
10. Le directeur exécutif soumet au Parlement européen, à la demande de celui-ci, comme prévu à l’article 165, paragraphe 3, du règlement financier, toute information nécessaire au bon déroulement de la procédure de décharge pour l’exercice budgétaire en question.
11. Le Parlement européen, statuant sur recommandation du Conseil, donne avant le 15 mai de l’année N + 2, décharge au directeur exécutif sur l’exécution du budget de l’exercice N.
SECTION 5
PERSONNEL
Article 22
Dispositions générales
Le statut et le régime applicable aux autres agents, ainsi que les réglementations arrêtées d’un commun accord des institutions de l’Union visant à exécuter le statut, s’appliquent au personnel de l’Agence.
Article 23
Privilèges et immunités
Le protocole no 7 sur les privilèges et immunités de l’Union européenne annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne s’applique à l’Agence ainsi qu’à son personnel.
Article 24
Directeur exécutif
1. Le directeur exécutif est engagé en tant qu’agent temporaire de l’Agence conformément à l’article 2, point a), du régime applicable aux autres agents.
2. Le directeur exécutif est nommé par le conseil d’administration sur la base d’une liste de candidats proposés par la Commission, à la suite d’une procédure de sélection ouverte et transparente.
Aux fins de la conclusion du contrat du directeur exécutif, l’Agence est représentée par le président du conseil d’administration.
Avant d’être nommé, le candidat retenu par le conseil d’administration est invité à faire une déclaration devant la commission concernée du Parlement européen et à répondre aux questions des députés.
3. Le mandat du directeur exécutif est de cinq ans. Avant la fin de cette période, la Commission procède à une évaluation qui tient compte de l’évaluation du travail accompli par le directeur exécutif et des tâches et défis futurs de l’Agence.
4. Le conseil d’administration, statuant sur proposition de la Commission tenant compte de l’évaluation visée au paragraphe 3 et après avoir recueilli l’avis du Parlement européen, peut prolonger une fois le mandat du directeur exécutif, pour une durée n’excédant pas cinq ans.
5. Le conseil d’administration informe le Parlement européen de son intention de prolonger le mandat du directeur exécutif. Dans les trois mois précédant cette prolongation, le directeur exécutif fait, s’il y est invité, une déclaration devant la commission concernée du Parlement européen et répond aux questions des députés.
6. Un directeur exécutif dont le mandat a été prolongé ne peut pas participer à une nouvelle procédure de sélection pour le même poste.
7. Le directeur exécutif ne peut être démis de ses fonctions que sur décision du conseil d’administration.
Article 25
Experts nationaux détachés et autre personnel
1. L’Agence peut avoir recours à des experts nationaux détachés ou à d’autres personnes qu’elle n’emploie pas. Le statut et le régime applicable aux autres agents ne s’appliquent pas à ces personnes.
2. Le conseil d’administration adopte une décision établissant le régime applicable aux experts nationaux détachés auprès de l’Agence.
SECTION 6
DISPOSITIONS GÉNÉRALES
Article 26
Statut juridique
1. L’Agence est un organisme de l’Union. Elle a la personnalité juridique.
2. Dans chaque État membre, l’Agence jouit de la capacité juridique la plus étendue accordée aux personnes morales en droit national. Elle peut notamment acquérir et aliéner des biens immobiliers et mobiliers et ester en justice.
3. L’Agence est représentée par son directeur exécutif.
4. Une antenne établie dans la zone métropolitaine d’Athènes est maintenue afin d’améliorer l’efficacité opérationnelle de l’Agence.
Article 27
Responsabilité
1. La responsabilité contractuelle de l’Agence est régie par la législation applicable au contrat en question.
La Cour de justice de l’Union européenne est compétente pour statuer en vertu de toute clause compromissoire contenue dans un contrat conclu par l’Agence.
2. En cas de responsabilité non contractuelle, l’Agence, conformément aux principes généraux communs aux droits des États membres, répare tout dommage causé par ses services ou par ses agents dans l’exercice de leurs fonctions.
La Cour de justice de l’Union européenne est compétente pour tout litige relatif à la réparation de tels dommages.
3. La responsabilité personnelle à l’égard de l’Agence de ses propres agents est régie par les dispositions pertinentes applicables au personnel de l’Agence.
Article 28
Régime linguistique
1. Le règlement no 1 du 15 avril 1958 portant fixation du régime linguistique de la Communauté économique européenne (23) s’applique à l’Agence. Les États membres et les autres organismes désignés par ceux-ci peuvent s’adresser à l’Agence et en recevoir une réponse dans la langue officielle des institutions de l’Union de leur choix.
2. Les services de traduction nécessaires au fonctionnement de l’Agence sont effectués par le Centre de traduction des organes de l’Union européenne.
Article 29
Protection des données à caractère personnel
1. Lorsque l’Agence traite des données relatives aux individus, notamment lors de l’exécution de ses tâches, elle respecte les principes de la protection des données à caractère personnel figurant dans les dispositions du règlement (CE) no 45/2001 et y est soumise.
2. Le conseil d’administration adopte les dispositions d’application visées à l’article 24, paragraphe 8, du règlement (CE) no 45/2001. Le conseil d’administration peut adopter des mesures supplémentaires nécessaires pour l’application du règlement (CE) no 45/2001 par l’Agence.
Article 30
Participation de pays tiers
1. L’Agence est ouverte à la participation de pays tiers qui ont conclu avec l’Union européenne des accords en vertu desquels ils ont adopté et appliquent les actes juridiques de l’Union dans le domaine couvert par le présent règlement.
2. Conformément aux dispositions pertinentes de ces accords, des arrangements sont élaborés pour préciser notamment la nature, l’étendue et les modalités de la participation de ces pays aux travaux de l’Agence. Ces arrangements comprennent notamment des dispositions relatives à la participation aux initiatives prises par l’Agence, aux contributions financières et au personnel.
Article 31
Règles de sécurité en matière de protection des informations classifiées
L’Agence applique les principes de sécurité énoncés dans les règles de sécurité de la Commission visant à protéger les informations classifiées de l’Union européenne et les informations sensibles non classifiées, énoncées dans l’annexe de la décision 2001/844/CE, CECA, Euratom. Ces principes couvrent, entre autres, les dispositions relatives à l’échange, au traitement et au stockage de telles informations.
SECTION 7
DISPOSITIONS FINALES
Article 32
Évaluation et révision
1. Au plus tard le 20 juin 2018, la Commission commande une évaluation portant, en particulier, sur l’impact, l’efficacité et l’efficience de l’action de l’Agence et de ses pratiques professionnelles. Cette évaluation examine également la nécessité éventuelle de modifier le mandat de l’Agence, ainsi que les conséquences financières d’une telle modification.
2. L’évaluation visée au paragraphe 1 tient compte de toute information communiquée en retour à l’Agence en réponse à ses activités.
3. La Commission transmet le rapport d’évaluation, accompagné de ses conclusions, au Parlement européen, au Conseil et au conseil d’administration. Les conclusions de l’évaluation sont rendues publiques.
4. Dans le cadre de l’évaluation, les résultats obtenus par l’Agence par rapport à ses objectifs, son mandat et ses tâches sont également examinés. Si la Commission estime que le maintien de l’Agence est justifié au regard des objectifs, du mandat et des tâches qui lui ont été assignés, elle peut proposer le prolongement de la durée du mandat de l’Agence énoncée à l’article 36.
Article 33
Coopération de l’État membre d’accueil
L’État membre d’accueil de l’Agence offre les meilleures conditions possibles pour assurer le bon fonctionnement de l’Agence, notamment l’accessibilité de l’emplacement, l’existence de services d’éducation appropriés pour les enfants des membres du personnel et un accès adéquat au marché du travail, à la sécurité sociale et aux soins médicaux pour les enfants et les conjoints.
Article 34
Contrôle administratif
Les activités de l’Agence sont soumises au contrôle du Médiateur, conformément à l’article 228 du traité sur le fonctionnement de l’Union européenne.
Article 35
Abrogation et succession
1. Le règlement (CE) no 460/2004 est abrogé.
Les références au règlement (CE) no 460/2004 et à l’ENISA s’entendent comme faites au présent règlement et à l’Agence.
2. L’Agence succède à l’Agence qui a été instituée par le règlement (CE) no 460/2004 en ce qui concerne tous les droits de propriété, accords, obligations légales, contrats de travail, engagements financiers et responsabilités.
Article 36
Durée
L’Agence est instituée pour une période de sept ans à compter du 19 juin 2013.
Article 37
Entrée en vigueur
Le présent règlement entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
Fait à Strasbourg, le 21 mai 2013.