РЕГЛАМЕНТ (ЕС) № 526/2013 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 21 май 2013 година
относно Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA) и за отмяна на Регламент (ЕО) № 460/2004
(текст от значение за ЕИП)
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 114 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Електронните съобщения, инфраструктура и услуги представляват както пряко, така и косвено съществени фактори за икономическото и социалното развитие. Те играят ключова роля за обществото и сами по себе си са се превърнали в широко използвани комунални услуги, подобно на електро- и водоснабдяването, а освен това представляват изключително важни фактори за снабдяването с електричество, вода и други услуги от основно значение. Съобщителните мрежи функционират като катализатори в социалния живот и по отношение на иновациите, като умножават въздействието на технологиите и формират поведението на потребителите, бизнес моделите, отраслите, както и гражданската позиция и участието в политическия живот. Тяхното смущаване би могло да причини значителни физически, социални и икономически щети, което подчертава значението на мерките за повишаване на защитата и устойчивостта с цел осигуряване на непрекъснатост на критични услуги. Сигурността на електронните съобщения, инфраструктура и услуги, по-специално тяхната цялост, наличност и поверителност, са изправени пред постоянно нарастващи предизвикателства, които са свързани наред с другото с индивидуалните компоненти на съобщителната инфраструктура и със софтуера за контрол на тези компоненти, инфраструктурата като цяло и услугите, предоставяни чрез тази инфраструктура. Това е повод за нарастващо обществено безпокойство, не на последно място заради възможността от възникване на проблеми поради сложността на системата, повреди, системни сривове, инциденти, грешки и атаки, които могат да имат последствия за електронната и физическата инфраструктура, осигуряваща услуги от огромно значение за благосъстоянието на европейските граждани.
(2)
Картината на заплахите постоянно претърпява промени и инцидентите, свързани със сигурността, могат да подкопаят доверието на потребителите в технологиите, мрежите и услугите, като по този начин засегнат способността им да се възползват от пълния потенциал на вътрешния пазар и широко разпространеното ползване на информационните и комуникационните технологии (ИКТ).
(3)
В този смисъл редовното оценяване на състоянието на мрежовата и информационната сигурност в Съюза въз основа на надеждни данни на Съюза, както и систематичното прогнозиране на бъдещи събития, предизвикателства и заплахи както на равнище на Съюза, така и на световно равнище, е важно за разработването на политика, за индустрията и потребителите.
(4)
С Решение 2004/97/ЕО, Евратом (3), прието на срещата на Европейския съвет на 13 декември 2003 г., представителите на държавите членки решиха седалището на Европейската агенция за мрежова и информационна сигурност (ENISA), която трябваше да бъде създадена въз основа на внесеното от Комисията предложение, да бъде установено в град в Гърция, който да бъде определен от гръцкото правителство. Въз основа на посоченото решение гръцкото правителство определи за седалище на ENISA Ираклион, Крит.
(5)
Споразумението за централата („Споразумение за седалището“) беше сключено между Агенцията и приемащата държава членка на 1 април 2005 г.
(6)
Приемащата Агенцията държава членка следва да осигури възможно най-добрите условия за безпроблемното и ефективно функциониране на Агенцията. За правилното и ефикасно изпълнение на задачите на Агенцията, за целите на набирането на персонал и задържането му и за подобряване на ефикасността на дейностите за осъществяване на връзки е наложително Агенцията да се установи в подходящо местоположение, което наред с другото да предоставя подходящи транспортни връзки и съоръжения за съпрузите и децата, придружаващи членовете на персонала на Агенцията. Необходимите разпоредби следва да бъдат определени в споразумение между Агенцията и приемащата държава членка, което се сключва след получаване на одобрението на управителния съвет на Агенцията.
(7)
С цел подобряване на оперативната ефикасност на Агенцията, тя създаде клон в района на столицата Атина, който следва да се поддържа със съгласието и подкрепата на приемащата държава членка и където следва да се установи оперативният персонал на Агенцията. Персоналът, ангажиран предимно в администрацията на Агенцията (включително изпълнителният директор), в отделите за финанси, проучване и анализ на документи, ИТ и управление на съоръженията, човешки ресурси, обучение, комуникации и връзки с обществеността, следва да се установи в Ираклион.
(8)
Агенцията има право да определя своята организация, за да гарантира правилното и ефикасно изпълнение на своите задачи, при спазване на разпоредбите относно седалището и клона в Атина, предвидени в настоящия регламент. По-специално за изпълнението на задачите, които включват взаимодействие с ключови заинтересовани страни, като например институциите на Съюза, Агенцията следва да уреди необходимите практически условия за подобряване на оперативната ефикасност.
(9)
През 2004 г. Европейският парламент и Съветът приеха Регламент (ЕО) № 460/2004 (4) относно създаване на ENISA с цел подпомагане на стремежа към осигуряване на високо ниво на мрежова и информационна сигурност в рамките на Съюза и създаване на култура на мрежова и информационна сигурност в полза на гражданите, потребителите, предприятията и държавните администрации. През 2008 г. Европейският парламент и Съветът приеха Регламент (ЕО) № 1007/2008 (5) за удължаване на мандата на Агенцията до март 2012 г. С Регламент (ЕС) № 580/2011 (6) мандатът на Агенцията се удължава до 13 септември 2013 г.
(10)
Агенцията следва да бъде правоприемник на ENISA, така както е създадена с Регламент (ЕО) № 460/2004. В рамките на Решението на представителите на държавите членки, заседаващи в рамките на Европейския съвет от 13 декември 2003 г., приемащата държава членка следва да запази и доразвие съществуващите понастоящем практически ред и условия, за да осигури безпрепятствено и ефикасно функциониране на Агенцията, включително на клона ѝ в Атина, и да улеснява набирането и запазването на висококвалифициран персонал.
(11)
През периода след създаването на ENISA предизвикателствата, свързани с мрежовата и информационната сигурност, се променяха успоредно с развитието на технологиите, пазарните и социално-икономическите условия и бяха обект на допълнително разглеждане и дебати. В отговор на променящите се предизвикателства Съюзът актуализира своите приоритети относно политиката за мрежовата и информационната сигурност. Настоящият регламент има за цел укрепването на Агенцията, така че успешно да подпомага усилията на институциите на Съюза и на държавите членки за изграждането на европейски капацитет за справяне с предизвикателствата в сферата на мрежовата и информационната сигурност.
(12)
Мерките в рамките на вътрешния пазар в областта на сигурността на електронните съобщения и по-общо на мрежовата и информационната сигурност изискват различни форми на технически и организационни приложения от страна на институциите на Съюза и на държавите членки. Разнородното прилагане на тези изисквания може да доведе до неефикасни решения и да създаде препятствия пред вътрешния пазар. Това налага създаването на център за експертни знания на равнището на Съюза, който да дава насоки, съвети и да предоставя помощ по въпросите на мрежовата и информационната сигурност, на която могат да разчитат институциите на Съюза и държавите членки. Агенцията може да отговори на тези нужди чрез разработване и поддържане на високо ниво на експертни знания и подпомагане на институциите на Съюза, на държавите членки и бизнес средите, за да им помогне да изпълнят правните и регулаторните изисквания относно мрежовата и информационната сигурност, както и идентифицира и разглежда въпроси, свързани с мрежовата и информационната сигурност, като по този начин се подпомага правилното функциониране на вътрешния пазар.
(13)
Агенцията следва да изпълнява задачите, възложени ѝ от правните актове на Съюза в областта на електронните съобщения, и в по-общ план да допринася за увеличаване нивото на сигурност на електронните съобщения, както и на защитата на неприкосновеността на личния живот и на личните данни, като наред с други неща предоставя и експертни знания и консултации и насърчава обмена на най-добри практики, а също и прави предложения за политики.
(14)
Директива 2002/21/ЕО на Европейския парламент и на Съвета от 7 март 2002 г. относно общата регулаторна рамка за електронните съобщителни мрежи и услуги (Рамковата директива) (7) изисква доставчиците на обществени електронни съобщителни мрежи или обществени електронни съобщителни услуги да предприемат подходящи мерки за защита на тяхната цялост и сигурност и се въвежда задължение националните регулаторни органи по целесъобразност да информират Агенцията наред с другото за всеки пробив в сигурността или за нарушаване на целостта, оказали значително въздействие върху функционирането на мрежите или предоставянето на услугите, и да представят на Комисията и Агенцията годишен обобщителен доклад за получените уведомления и предприетите действия. Освен това в Директива 2002/21/ЕО Агенцията се призовава чрез предоставяне на мнения да допринася за хармонизирането на подходящите технически и организационни мерки за сигурност.
(15)
В Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (8) се изисква доставчиците на публично достъпни електронни съобщителни услуги да предприемат необходимите технически и организационни мерки за защита на сигурността на своите услуги и също така се изисква поддържане на поверителност на съобщенията и свързаните с тях данни за трафик. Директива 2002/58/ЕО въвежда изискванията за доставчиците на електронни съобщителни услуги да информират и уведомяват за нарушение на сигурността на личните данни. Тя също така изисква Комисията да се консултира с Агенцията по всякакви технически мерки за изпълнение, които следва да бъдат приети във връзка с обстоятелствата или формата на изискванията за информиране и уведомяване и приложимите към това процедури. Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (9) изисква държавите членки да гарантират, че администраторът прилага подходящи технически и организационни мерки за защита на личните данни от случайно или незаконно унищожаване или случайна загуба, промяна, неразрешено оповестяване или достъп, особено когато обработката им включва преноса на данни по мрежа, както и от всички други незаконни форми на обработка.
(16)
Агенцията следва да допринася за постигането на високо ниво на мрежова и информационна сигурност, за подобряването на защитата на неприкосновеността на личния живот и на личните данни и за създаването и насърчаването на култура на мрежова и информационна сигурност в полза на гражданите, потребителите, предприятията и организациите от публичния сектор в Съюза, като по този начин подпомага правилното функциониране на вътрешния пазар. За да се постигне това, на Агенцията следва да се предоставят необходимите бюджетни средства.
(17)
Като се има предвид нарастващото значение на електронните мрежи и съобщения, които понастоящем представляват гръбнака на европейската икономика, както и реалният размер на цифровата икономика, следва да се увеличават финансовите и човешките ресурси, предоставени на Агенцията, за да бъдат отразени нейните нараснали роля и задачи, както и нейната ключова позиция по отношение на защитата на европейската цифрова екосистема.
(18)
Агенцията следва да функционира като отправна точка, като създава условия за увереност и доверие благодарение на своята независимост, качеството на консултациите, които предоставя, и на информацията, която разпространява, прозрачността на процедурите и методите ѝ на работа, както и старанието ѝ при изпълнението на възложените ѝ задачи. Агенцията следва да надгради националните усилия и тези на Съюза и по този начин да изпълнява своите задачи в пълно сътрудничество с институциите, органите, службите и агенциите на Съюза и държавите членки, да бъде отворена за контакти с бизнес средите и други съответни заинтересовани страни. Освен това Агенцията следва да надгради приноса от и сътрудничеството с частния сектор, който играе важна роля за сигурността на електронните съобщения, инфраструктурата и услугите.
(19)
Набор от задачи следва да посочи как Агенцията да постигне своите цели, като същевременно с това ѝ даде възможност за гъвкаво функциониране. Реализираните от Агенцията задачи следва да включват събирането на подходяща информация и данни, необходими за извършването на анализи на рисковете за сигурността и устойчивостта на електронните съобщения, инфраструктурата и услугите, както и за оценяването, в сътрудничество с държавите членки, Комисията и, по целесъобразност, със съответните заинтересовани страни, на състоянието на мрежовата и информационната сигурност в Съюза. Агенцията следва да осигури координация и сътрудничество с институциите, органите, службите и агенциите на Съюза и с държавите членки и да засили сътрудничеството между заинтересованите страни в Европа, по-специално чрез привличане на компетентни държавни органи и органи на Съюза и експерти на високо равнище от частния сектор в съответните области към своите дейности, по специално доставчици на електронни съобщителни мрежи и услуги, производители на мрежово оборудване и търговци на софтуер, като се има предвид, че мрежовите и информационните системи представляват съвкупности от хардуер, софтуер и услуги. Агенцията следва да окаже съдействие на институциите на Съюза и на държавите членки в диалога им с индустрията с цел решаване на свързани със сигурността проблеми с хардуерни и софтуерни продукти, като по този начин подпомогне съвместния подход към мрежовата и информационната сигурност.
(20)
Стратегиите за мрежова и информационна сигурност, оповестени публично от институция, орган, служба или агенция на Съюза или от държава членка, следва да бъдат предоставени за сведение на Агенцията с цел избягване дублирането на усилия. Агенцията следва да анализира стратегиите и да насърчава представянето им под форма, която улеснява съпоставимостта. Тя следва да предостави електронен достъп за обществеността до стратегиите и анализите си.
(21)
Агенцията следва да подпомага Комисията чрез становища, мнения и анализи по всички въпроси на Съюза, свързани с разработването на политиката в областта на мрежовата и информационната сигурност, включително защитата на критичната информационна инфраструктура и устойчивостта. Агенцията следва също така да подпомага институциите, органите, службите и агенциите на Съюза и, когато е необходимо, държавите членки по тяхно искане, в усилията им за разработване на политика и капацитет за мрежова и информационна сигурност.
(22)
Агенцията следва да вземе под внимание в пълна степен текущата научноизследователска и развойна дейност и дейностите за оценка на технологиите, по-специално тези, извършвани от различните научноизследователски инициативи на Съюза, за да дава съвети на институциите, органите, службите и агенциите на Съюза и, когато е необходимо, на държавите членки по тяхно искане, относно необходимостта от научни изследвания в областта на мрежовата и информационната сигурност.
(23)
Агенцията следва да подпомага институциите, органите, службите и агенциите на Съюза, както и държавите членки в усилията им за изграждане и увеличаване на трансграничната способност и подготвеност за предотвратяване, установяване и реагиране на проблеми и инциденти, свързани с мрежовата и информационната сигурност. В това отношение Агенцията следва да улесни сътрудничеството между самите държави членки и между Комисията и институциите, органите, службите и агенциите на Съюза и държавите членки. За тази цел Агенцията следва да подкрепя държавите членки в постоянните им усилия за подобряване на тяхната способност за реагиране, както и за организиране и провеждане на европейски учения за инциденти, свързани със сигурността, а по молба от държава членка - и на национални учения.
(24)
С цел по-добро разбиране на предизвикателствата в сферата на мрежовата и информационната сигурност Агенцията трябва да анализира текущите и нововъзникващите рискове. За целта тя следва в сътрудничество с държавите членки и, по целесъобразност, със статистически органи и други организации да събира съответната информация. Освен това Агенцията следва да подпомага институциите, органите, службите и агенциите на Съюза и държавите членки в усилията им за събиране, анализиране и разпространение на данни за мрежовата и информационната сигурност. Събирането на подходяща статистическа информация и данни, необходими за извършването на анализи на рисковете за сигурността и устойчивостта на електронните съобщения, инфраструктура и услуги, следва да се осъществява въз основа на информацията, предоставена от държавите членки, и наблюденията на Агенцията върху инфраструктурата за ИКТ на институциите на Съюза съгласно разпоредбите на Съюза и националните разпоредби и при спазване на правото на Съюза. Въз основа на тази информация Агенцията следва да поддържа осведоменост относно актуалното състояние на мрежовата и информационната сигурност в Съюза и свързаните с нея тенденции в полза на институциите, органите, службите и агенциите на Съюза и на държавите членки.
(25)
При осъществяването на своите задачи Агенцията следва да улесни сътрудничеството между Съюза и държавите членки за подобряване на осведомеността относно състоянието на мрежовата и информационната сигурност в Съюза.
(26)
Агенцията следва да улесни сътрудничеството между компетентните независими регулаторни органи на държавите членки, по-специално в подкрепа на разработването, популяризирането и обмена на най-добри практики и стандарти за образователни програми и схеми за повишаване на осведомеността. Увеличаването на информационния обмен между държавите членки ще улесни подобна дейност. Агенцията следва да допринася за повишаване на осведомеността на индивидуалните потребители на електронни съобщения, инфраструктура и услуги, включително като подпомага държавите членки, в случаите, в които те са избрали да използват платформата за информация от обществен интерес, предвидена в Директива 2002/22/ЕО на Европейския парламент и на Съвета от 7 март 2002 г. относно универсалната услуга и правата на потребителите във връзка с електронните съобщителни мрежи и услуги (Директива за универсалната услуга) (10), да изготвят съответната информация от обществен интерес по отношение на мрежовата и информационната сигурност, а също и като спомага за предоставянето на такава информация, която се включва в доставката на нови устройства, предназначени за употреба в обществените съобщителни мрежи. Агенцията следва също така да подкрепи сътрудничеството между заинтересованите страни на равнището на Съюза, отчасти чрез насърчаване на споделянето на информация, кампании за повишаване на осведомеността и образователни и обучителни програми.
(27)
Агенцията, наред с другото, следва да подпомага съответните институции, органи, служби и агенции на Съюза и държавите членки при създаването и реализирането на обществени образователни кампании за крайните потребители, насочени към насърчаването на по-безопасно лично поведение онлайн и повишаване на осведомеността относно потенциалните заплахи в киберпространството, включително кибернетични престъпления, като фишинг, ботмрежи, финансови и данъчни измами, както и съвети относно основната автентификация и защитата на данните.
(28)
С цел гарантиране на пълно постигане на своите цели Агенцията следва да си сътрудничи със съответните органи, включително с тези, които работят в областта на киберпрестъпността, като например Европол, и с органите за защита на неприкосновеността на личния живот, за да обменя ноу-хау и най-добри практики и да предоставя консултативна помощ по въпроси, свързани с мрежовата и информационната сигурност, които биха могли да окажат влияние върху тяхната работа. Агенцията следва да насърчи постигането на синергии между усилията на тези органи и собствените ѝ усилия за насърчаване на подобрена мрежова и информационна сигурност. Представителите на органите за прилагане на националното право и правото на Съюза и за защита на неприкосновеността на личния живот следва да имат правото да бъдат представлявани в Постоянната група на заинтересовани страни на Агенцията. При сътрудничеството си с правоприлагащите органи по въпроси на мрежовата и информационната сигурност, които биха могли да окажат влияние върху тяхната работа, Агенцията следва да спазва съществуващите информационни канали и изградени мрежи.
(29)
Комисията постави началото на Европейско публично-частно партньорство за устойчивост под формата на гъвкава платформа в целия Съюз за сътрудничество за устойчивост на инфраструктурата на ИКТ, в която Агенцията следва да играе посредническа роля, обединявайки заинтересованите страни с цел обсъждане на обществените политически приоритети, икономическите и пазарните измерения на предизвикателствата и мерките за устойчивост на ИКТ.
(30)
За да се насърчи мрежовата и информационната сигурност и нейната публичност, Агенцията следва да улеснява сътрудничеството между компетентните публични органи на държавите членки, по-специално като подкрепя разработването и обмена на най-добри практики и схеми за повишаване на осведомеността и като подкрепя техните дейности, насочени към обществеността. Агенцията следва също така да подкрепя сътрудничеството между заинтересовани страни и институциите на Съюза отчасти чрез насърчаване на споделянето на информация и дейностите за повишаване на осведомеността.
(31)
С цел подкрепа на едно високо равнище на мрежова и информационна сигурност в Съюза, Агенцията следва да насърчава сътрудничеството и обмена на информация и най-добри практики между съответните организации, като екипите за реагиране при инциденти в компютърната сигурност (CSIRT) и екипите за незабавно реагиране при компютърни инциденти (CERT).
(32)
Системата на Съюза от правилно функциониращи CERT следва да представлява крайъгълен камък на инфраструктурата на ЕС за мрежова и информационна сигурност. Агенцията следва да подкрепя CERT на държавите членки и CERT на Съюза да работят в една мрежа от CERT, включваща членовете на Групата на европейските правителствени екипи за незабавно реагиране при компютърни инциденти. С цел да съдейства за гарантирането, че всеки CERT има достатъчно разширени възможности и тези възможности съответстват, доколкото е възможно, на възможностите на най-развитите CERT, Агенцията следва да насърчава създаването и функционирането на системата за партньорска оценка. Наред с това Агенцията следва да насърчава и подкрепя сътрудничеството между съответните CERT в случай на инциденти, атаки или нарушения в работата на мрежите или инфраструктурата, управлявана или защитавана от CERT, и които засягат или биха могли да засегнат най-малко два CERT.
(33)
Ефикасните политики на мрежова и информационна сигурност следва да се основават на добре разработени методи за оценяване на риска както в публичния, така и в частния сектор. Методите и процедурите за оценка на риска се използват на различни нива, без да има обща практика по начина за ефикасното им прилагане. Насърчаването и развитието на най-добри практики за оценяване на риска и за оперативно съвместими решения за управление на риска в организациите от публичния и частния сектор ще повишат нивото на сигурност на мрежите и информационните системи в Съюза. За целта Агенцията следва да подкрепя сътрудничеството между заинтересовани страни на равнището на Съюза, като улеснява техните усилия, свързани с въвеждането и използването на европейски и международни стандарти за управление на риска и за измерима сигурност на електронните продукти, системи, мрежи и услуги, които наред със софтуера формират мрежовите и информационните системи.
(34)
В случаите, когато е уместно и полезно за изпълнението на целите и задачите ѝ, Агенцията следва да споделя опит и обща информация с институциите, органите, службите и агенциите на Съюза, занимаващи се с въпросите на мрежовата и информационната сигурност. Агенцията следва да допринася за определяне на приоритетите в научноизследователската работа на равнището на Съюза в областта на устойчивостта на мрежите и мрежовата и информационната сигурност, както и да предоставя информация относно нуждите на сектора на съответни изследователски институти.
(35)
Агенцията следва да насърчава държавите членки и доставчиците на услуги да повишават общите си стандарти за сигурност, така че всички потребители на Интернет да вземат необходимите мерки за осигуряване на собствената си кибернетична сигурност.
(36)
Проблемите на мрежовата и информационната сигурност са глобални. Съществува необходимост от по-тясно международно сътрудничество с цел подобряване на стандартите за сигурност, включително определянето на общи норми за поведение и етични кодекси и обмен на информация, насърчаване на по-бързо международно сътрудничество за реагиране, както и общ глобален подход към въпросите на мрежовата и информационната сигурност. За тази цел Агенцията следва да подкрепя по-задълбоченото ангажиране на Съюза и сътрудничеството с трети държави и международни организации, като осигурява, където е уместно, необходимия експертен опит и анализи на съответните институции, органи, служби и агенции на Съюза.
(37)
Агенцията следва да развива дейността си в съответствие с принципа на субсидиарност, чрез който се гарантира подходяща степен на координация между държавите членки по свързани с мрежовата и информационната сигурност въпроси и се подобрява ефективността на националните политики, осигурявайки по този начин добавена стойност, и в съответствие с принципа на пропорционалност, като не се надхвърля необходимото за постигане на целите, определени в настоящия регламент. Изпълнението на задачите на Агенцията следва да укрепва, но да не нарушава компетенциите, нито да изземва, възпрепятства или припокрива съответните правомощия и задачи на националните регулаторни органи, както е предвидено в директивите, свързани с електронните съобщителни мрежи и услуги, както и тези на Органа на европейските регулатори за електронни съобщения (ОЕРЕС), създаден с Регламент (ЕО) № 1211/2009 (11), и Комитета по регулиране на съобщенията, посочен в Директива 2002/21/ЕО, на европейските органи по стандартизация, националните органи по стандартизация и Постоянния комитет, както е посочено в Директива 98/34/ЕО (12), както и на независимите надзорни органи в държавите членки, както е определено в Директива 95/46/ЕО.
(38)
Необходимо е да се прилагат определени принципи по отношение на управлението на Агенцията с цел спазване на съвместното изявление и общия подход, договорен от междуинституционалната работна група за децентрализираните агенции на ЕС през юли 2012 г., целта на изявлението и подхода е усъвършенстването на дейността на агенциите и подобряването на тяхната ефективност.
(39)
Съвместното изявление и общият подход следва да се отчитат, по целесъобразност, в работните програми на Агенцията, нейните оценки, както и в докладването и административната практика на Агенцията.
(40)
С оглед на правилното функциониране на Агенцията Комисията и държавите членки следва да гарантират, че лицата, назначени в управителния съвет, притежават подходящ експертен опит. Държавите членки и Комисията следва също да положат усилия за ограничаване на смените на съответните им представители в управителния съвет, за да се гарантира непрекъснатост на работата му.
(41)
От съществено значение е Агенцията да създаде и поддържа репутация на безпристрастност, почтеност и високи професионални стандарти. Във връзка с това управителният съвет следва да приеме всеобхватни правила, обхващащи цялата Агенция, за предотвратяване и управление на конфликти на интереси.
(42)
Като се имат предвид конкретните обстоятелства около Агенцията и сериозните предизвикателства, пред които тя е изправена, организационната структура на Агенцията следва да бъде опростена и укрепена, за да се гарантират по-голяма ефикасност и ефективност. Поради това, наред с други неща, следва да бъде създаден изпълнителен съвет с цел да се даде възможност на управителния съвет да се съсредоточи върху въпроси със стратегическо значение.
(43)
Управителният съвет следва да назначи счетоводител в съответствие с правилата, приети съгласно Регламент (ЕС, Евратом) № 966/2012 (13) (Финансовия регламент).
(44)
С цел да се гарантира ефективността на Агенцията държавите членки и Комисията следва да бъдат представени в управителен съвет, който следва да определи общата насока на дейността на Агенцията и да гарантира, че тя извършва своите задачи в съответствие с настоящия регламент. Управителният съвет следва да получи правомощията, необходими за определяне на бюджета, проверка на неговото изпълнение, приемане на подходящи финансови правила, установяване на прозрачни работни процедури за вземане на решения от страна на Агенцията, приемане на работната програма на Агенцията, приемане на свои собствени процедурни правила и на вътрешен правилник за дейността на Агенцията, назначаване на изпълнителния директор, вземане на решение за удължаването на мандата на изпълнителния директор след получаването на становището на Европейския парламент и вземане на решение за прекратяването на мандата. Управителният съвет следва да сформира изпълнителен съвет, който да му оказва съдействие при изпълнението на неговите задачи в областта на административните и бюджетните въпроси.
(45)
Гладкото функциониране на Агенцията налага нейният изпълнителен директор да се назначава въз основа на своите заслуги и документирани административни и управленски умения, както и на компетентност и опит, свързани с мрежовата и информационната сигурност, и задълженията на изпълнителния директор да се изпълняват с пълна независимост от организацията на вътрешното функциониране на Агенцията. За целта изпълнителният директор следва да изготви предложение за работна програма на Агенцията след предварителни консултации с Комисията и да предприеме всички необходими стъпки за гарантиране на правилното изпълнение на работната програма на Агенцията. Изпълнителният директор следва да изготвя ежегоден доклад, който да бъде представян на управителния съвет, да съставя проект на разчета за предвидените приходи и разходи на Агенцията, както и да изпълнява бюджета.
(46)
Изпълнителният директор следва да разполага с възможността да сформира работни ad hoc групи за решаване на специфични въпроси, по-специално с научен, технически или правен, или социално-икономически характер. При сформирането на работни ad hoc групи изпълнителният директор следва да събира и използва уместни външни експертни знания, необходими за обезпечаването на Агенцията с най-актуалната налична информация за предизвикателствата пред сигурността, произтичащи от непрекъснато развиващото се информационно общество. Изпълнителният директор следва да гарантира, че членовете на работните ad hoc групи се избират съобразно най-високите стандарти за експертни знания, като надлежно се отчита балансът при представянето на всички страни в зависимост от конкретния въпрос между държавните администрации на държавите членки, институциите на Съюза и частния сектор, включително индустрията, потребителите и академични експерти в областта на мрежовата и информационната сигурност. В зависимост от конкретния случай изпълнителният директор следва да може, ако е подходящо, да кани отделни експерти, признати като компетентни в съответната област, да участват в заседанията на работните групи. Техните разходи следва да се покриват от Агенцията в съответствие с нейния процедурен правилник и при спазване на правилата, приети съгласно Финансовия регламент.
(47)
Агенцията следва да разполага с Постоянна група на заинтересовани страни в ролята на консултативен орган, за да се гарантира редовен диалог с частния сектор, потребителските организации и други уместни заинтересовани страни. Постоянната група на заинтересовани страни, сформирана от управителния съвет по предложение на изпълнителния директор, следва да се съсредоточи върху въпроси, засягащи заинтересованите страни, и да насочи вниманието на Агенцията към тях. Когато е уместно и в съответствие с дневния ред на заседанията, изпълнителният директор следва да може да кани за участие в заседанията на групата представители на Европейския парламент и на други уместни органи.
(48)
Тъй като има разпоредба за адекватно представителство на заинтересованите страни в Постоянната група на заинтересованите страни, с която се извършват консултации по-специално относно проекта на работна програма, повече не е необходимо да се предвиди представителство на заинтересованите страни в управителния съвет.
(49)
Агенцията следва да прилага съответните разпоредби на Съюза относно публичния достъп до документи, както е посочено в Регламент (ЕО) № 1049/2001 на Европейския парламент и на Съвета (14). Информацията, обработвана от Агенцията за цели, свързани с вътрешното ѝ функциониране, както и информацията, обработвана при изпълнение на нейните задачи, следва да се обработват съгласно разпоредбите на Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (15).
(50)
Агенцията следва да съблюдава разпоредбите, приложими за институциите на Съюза, както и националното законодателство относно обработването на чувствителни документи.
(51)
С оглед гарантирането на пълната автономност и независимост на Агенцията и за да може тя да изпълнява допълнителни и нови задачи, включително непредвидени задачи в спешни случаи, на Агенцията следва да бъде предоставен достатъчен и автономен бюджет, чиито приходи произтичат най-вече от вноска на Съюза и вноски на трети държави, вземащи участие в работата на Агенцията. По-голямата част от персонала на Агенцията следва да е пряко ангажирана с оперативното изпълнение на мандата на Агенцията. Приемащата държава членка или всяка друга държава членка следва да могат да правят доброволни вноски към приходите на Агенцията. Бюджетната процедура на Съюза следва да остане приложима по отношение на всякакви субсидии, платими от общия бюджет на Европейския съюз. Освен това Сметната палата следва да одитира финансовите отчети на Агенцията, за да се гарантират прозрачност и отчетност.
(52)
С оглед на постоянно променящия се контекст на заплахите и развитието на политиката на Съюза в областта на мрежовата и информационната сигурност и за да се приведе в съответствие с многогодишната финансова рамка, продължителността на мандата на Агенцията следва да бъде за ограничен срок от седем години с възможност за удължаването му.
(53)
Дейностите на Агенцията следва да бъдат оценявани от независим орган. Оценката следва да отчита ефективността на Агенцията за постигане на целите ѝ, нейните работни практики и значението на задачите ѝ, за да се установи дали целите на Агенцията продължават да са валидни, или са отпаднали и на тази основа да се определи дали мандатът ѝ следва да бъде удължен и за какъв период.
(54)
Ако към края на срока на мандата на Агенцията Комисията не е внесла предложение за удължаване на мандата, Агенцията и Комисията следва да предприемат съответните мерки, насочени по-специално към въпросите, свързани с договорите за наемане на персонал и бюджетните ред и условия.
(55)
Тъй като целта на настоящия регламент, а именно създаване на Агенция на Европейския съюз за мрежова и информационна сигурност, с цел да се допринесе за високо ниво на мрежова и информационна сигурност в Съюза и с оглед повишаване на осведомеността и създаване и популяризиране на култура на мрежова и информационна сигурност сред обществото в полза на гражданите, потребителите, предприятията и организациите от публичния сектор в Съюза, като по този начин се подпомогне установяването и правилното функциониране на вътрешния пазар, не може да бъде постигната в достатъчна степен от държавите членки и съответно може да бъде постигната по-добре на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, установен в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тази цел.
(56)
Регламент (ЕО) № 460/2004 следва да бъде отменен.
(57)
Европейският надзорен орган по защита на данните беше консултиран в съответствие с член 28, параграф 2 от Регламент (ЕО) № 45/2001 и прие становище на 20 декември 2010 г. (16),
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
РАЗДЕЛ 1
ОБХВАТ, ЦЕЛИ И ЗАДАЧИ
Член 1
Предмет и обхват
1. С настоящия регламент се учредява Агенция на Европейския съюз за мрежова и информационна сигурност (ENISA, наричана по-долу „Агенцията“), която да изпълнява възложените ѝ задачи с цел допринасяне за високо ниво на мрежова и информационна сигурност в рамките на Съюза и с оглед повишаване на осведомеността за мрежовата и информационната сигурност и създаване и популяризиране на култура на мрежова и информационна сигурност сред обществото в полза на гражданите, потребителите, предприятията и организациите от публичния сектор в Съюза, като по този начин се подпомогне установяването и правилното функциониране на вътрешния пазар.
2. Целите и задачите на Агенцията не накърняват компетенциите на държавите членки относно мрежовата и информационната сигурност и във всеки случай дейностите, свързани с обществената сигурност, отбраната, националната сигурност (включително икономическото благосъстояние на държавата, когато въпросите се отнасят до аспекти на националната сигурност) и дейностите на държавата в областта на наказателното право.
3. За целите на настоящия регламент „мрежова и информационна сигурност“ означава способността на дадена мрежа или информационна система да проявява устойчивост, при определено равнище на доверие, спрямо случайни събития или незаконни или злонамерени действия, които излагат на риск наличността, автентичността, целостта и поверителността на съхранявани или пренасяни данни и на свързаните с тях услуги, предлагани от или достъпни посредством тези мрежи и системи.
Член 2
Цели
1. Агенцията развива и поддържа високо ниво на експертни знания.
2. Агенцията подпомага институциите, органите, службите и агенциите на Съюза при разработването на политики за мрежова и информационна сигурност.
3. Агенцията подпомага институциите, органите, службите и агенциите на Съюза и държавите членки при изпълнението на политиките, необходими за спазването на правните и регулаторните изисквания на мрежовата и информационната сигурност съгласно действащите и бъдещите правни актове на Съюза, като по този начин допринася за правилното функциониране на вътрешния пазар.
4. Агенцията подпомага Съюза и държавите членки при укрепването и засилването на способността и подготвеността им за предотвратяване, установяване и реагиране на проблеми и инциденти, свързани с мрежовата и информационната сигурност.
5. Агенцията използва своите експертни знания и умения за стимулиране на широко сътрудничество между участниците от публичния и частния сектор.
Член 3
Задачи
1. В рамките на целта, посочена в член 1, и за постигане на целите, установени в член 2, като се спазва член 1, параграф 2, Агенцията изпълнява следните задачи:
а)
подкрепа за разработването на политиката и правото на Съюза посредством:
i)
подпомагане и консултиране по всички въпроси, отнасящи се до политиката и правото на Съюза за мрежова и информационна сигурност;
ii)
осигуряване на подготвителна работа, консултации и анализи, свързани с разработването и актуализирането на политиката и правото на Съюза за мрежова и информационна сигурност;
iii)
анализиране на обществено достъпните стратегии за мрежова и информационна сигурност и насърчаване на тяхното публикуване;
б)
подкрепа за изграждането на капацитет посредством:
i)
подкрепа за държавите членки, по тяхно искане, в усилията им за развиване и подобряване на предотвратяването, откриването, анализа и способността за реагиране на проблеми и инциденти в областта на мрежовата и информационната сигурност, както и предоставяне на необходимите знания;
ii)
насърчаване и улесняване на сътрудничеството между държавите членки и между институциите, органите, службите и агенциите на Съюза и държавите членки в усилията им за предотвратяване, откриване и реагиране на проблеми и инциденти, свързани с мрежовата и информационната сигурност, когато те имат трансгранично отражение;
iii)
подпомагане на институциите, органите, службите и агенциите на Съюза в техните усилия за развиване на предотвратяването, откриването, анализа и способността за реагиране на проблеми и инциденти в областта на мрежовата и информационната сигурност, по-специално чрез подпомагане на функционирането на екипите за незабавно реагиране при компютърни инциденти (CERT);
iv)
подкрепа за повишаване на нивото на възможностите на националните/правителствените CERT и CERT на Съюза, включително чрез насърчаване на диалога и обмена на информация, с оглед да се гарантира, че съобразно състоянието на техниката всеки CERT отговаря на общ набор от минимални възможности и работи в съответствие с най-добрите практики;
v)
подкрепа за организирането и провеждането на учения на Съюза в областта на мрежовата и информационната сигурност и консултиране на държавите членки, по тяхно искане, относно национални учения;
vi)
подпомагане на институциите, органите, службите и агенциите на Съюза и на държавите членки в техните усилия за събиране, анализ и, в съответствие с изискванията за сигурност на държавите членки, разпространение на релевантни данни относно мрежовата и информационната сигурност; а също така въз основа на информацията, предоставена от институциите, органите, службите и агенциите на Съюза и от държавите членки в съответствие с разпоредбите на правото на Съюза и националните разпоредби при спазване на правото на Съюза, поддържане на осведомеността на институциите, органите, службите и агенциите на Съюза, както и на държавите членки относно актуалното състояние на мрежовата и информационната сигурност в Съюза в тяхна полза;
vii)
подпомагане на разработката на механизъм на Съюза за ранно предупреждаване, който има допълващ характер спрямо механизмите на държавите членки;
viii)
предоставяне на обучение в областта на мрежовата и информационната сигурност за съответните публични органи, когато е целесъобразно, в сътрудничество със заинтересованите публични и частни страни;
в)
подпомагане на доброволното сътрудничество сред компетентните публични органи и между заинтересованите страни, включително университети и научноизследователски центрове в Съюза, както и подкрепа за осведомеността, наред с другото посредством:
i)
насърчаване на сътрудничеството между националните и правителствените CERT или екипите за реагиране при инциденти с компютърната сигурност (CSIRT), в т.ч. CERT за институциите, органите, службите и агенциите на Съюза;
ii)
насърчаване на развитието и споделянето на най-добри практики с цел постигане на високо ниво на мрежова и информационна сигурност;
iii)
улесняване на диалога и усилията за разработване и обмен на най-добри практики;
iv)
насърчаване на най-добрите практики в обмена на информация и повишаването на осведомеността;
v)
подпомагане на институциите, органите, службите и агенциите на Съюза и, по тяхно искане, на държавите членки и и техните съответни органи при организирането на дейности за повишаване на осведомеността, включително на равнище на отделните потребители, и други дейности, насочени към обществеността, за да се повишат мрежовата и информационната сигурност и нейната публичност чрез предоставянето на най-добри практики и насоки;
г)
подпомагане на научната и развойната дейност и стандартизацията посредством:
i)
улесняване на въвеждането и използването на европейски и международни стандарти за управление на риска и за сигурност на електронните продукти, мрежи и услуги;
ii)
консултиране на Съюза и държавите членки относно нуждата от научни изследвания в областта на мрежовата и информационната сигурност, за да може да се реагира ефективно на настоящите и нововъзникващите рискове и заплахи за мрежовата и информационната сигурност, в т.ч. по отношение на нови и нововъзникващи информационни и комуникационни технологии и с оглед на ефективното използване на технологиите за предотвратяване на риска;
д)
сътрудничество с институциите, органите, службите и агенциите на Съюза, включително с работещите в областта на киберпрестъпленията и защитата на неприкосновеността на личния живот и на личните данни, с оглед решаване на въпроси от общ интерес, включително посредством:
i)
обмен на ноу-хау и най-добри практики;
ii)
предоставяне на съвети относно съответните аспекти на мрежовата и информационната сигурност с оглед разработването на взаимодействия;
е)
допринасяне за усилията на Съюза за сътрудничество с трети държави и международни организации с оглед насърчаване на международното сътрудничество по въпросите на мрежовата и информационната сигурност, включително посредством:
i)
участие, когато това е целесъобразно, като наблюдател и при организацията на международни учения, както и извършване на анализ и докладване за резултатите от такива учения;
ii)
улесняване на обмена на най-добри практики между съответните организации;
iii)
предоставяне на експертни становища за институциите на Съюза.
2. Институциите, органите, службите и агенциите на Съюза и органите на държавите членки могат да потърсят съвет от Агенцията в случай на пробив в сигурността или накърняване на целостта, имащи значително въздействие върху функционирането на мрежите и услугите.
3. Агенцията изпълнява задачи, които са ѝ възложени по силата на правни актове на Съюза.
4. Агенцията изразява независимо своите заключения, насоки и съвети по въпроси в рамките на обхвата и целите на настоящия регламент.
РАЗДЕЛ 2
ОРГАНИЗАЦИЯ
Член 4
Състав на Агенцията
1. Агенцията се състои от:
а)
управителен съвет;
б)
изпълнителен директор и персонал; и
в)
постоянна група на заинтересованите страни.
2. С оглед допринасяне за увеличаването на ефективността и ефикасността на дейността на Агенцията управителният съвет назначава изпълнителен съвет.
Член 5
Управителен съвет
1. Управителният съвет определя общата насока на дейността на Агенцията и гарантира, че тя реализира своите задачи в съответствие с правилата и принципите, заложени в настоящия регламент. Той също така гарантира съгласуваността на работата на Агенцията с дейностите, осъществявани от държавите членки, както и на нивото на Европейския съюз.
2. Управителният съвет приема годишната и многогодишната работна програма на Агенцията.
3. Управителният съвет приема годишен доклад за дейностите на Агенцията и го изпраща най-късно до 1 юли на следващата година на Европейския парламент, Съвета, Комисията и Сметната палата. Годишният доклад включва отчетите и описва как Агенцията е изпълнила своите показатели за изпълнение. Годишният доклад е обществено достъпен.
4. Управителният съвет приема стратегия за борба с измамите, която е съразмерна на опасността от измами, вземайки предвид анализа разходи - ползи от мерките, които подлежат на прилагане.
5. Управителният съвет осигурява подходящи мерки за съобразяване с резултатите и препоръките от разследванията на Европейската служба за борба с измамите (OLAF) и различните вътрешни и външни одитни доклади и оценки.
6. Управителният съвет приема правила за предотвратяването и управлението на конфликти на интереси.
7. По отношение на служителите на Агенцията управителният съвет упражнява правомощията, предоставени от Правилника за длъжностните лица и от Условията за работа на другите служители на Европейския съюз („Правилник за длъжностните лица“ и „Условия за работа на другите служители“), предвидени в Регламент (ЕИО, Евратом, ЕОВС) № 259/68 (17) на органа по назначаването и съответно на органа, оправомощен да сключва трудови договори.
Управителният съвет приема в съответствие с процедурата по член 110 от Правилника за длъжностните лица решение, основаващо се на член 2, параграф 1 от Правилника за длъжностните лица и на член 6 от Условията за работа на другите служители, с което делегира съответните правомощия на орган по назначаването на изпълнителния директор. Изпълнителният директор може да пределегира тези правомощия.
Ако това се изисква от извънредни обстоятелства, управителният съвет може да оттегли делегирането на правомощията на органа по назначаването, предоставено на изпълнителния директор, и пределегирането, извършено от изпълнителния директор. В такъв случай управителният съвет може да ги делегира за ограничен период от време на един от своите членове или на член на персонала, различен от изпълнителния директор.
8. Управителният съвет приема подходящи правила за прилагане на Правилника за длъжностните лица и Условията за работа на другите служители в съответствие с процедурата, предвидена в член 110 от Правилника за длъжностните лица.
9. Управителният съвет назначава изпълнителния директор и може да удължи неговия мандат или да го свали от длъжност в съответствие с член 24 от настоящия регламент.
10. След консултация с Комисията управителният съвет приема свой правилник за дейността и такъв на изпълнителния съвет. Тези правилници за дейността предвиждат ускорено вземане на решения чрез писмена процедура или чрез провеждане на телеконференция.
11. Управителният съвет също така приема вътрешния правилник на Агенцията след консултация със службите на Комисията. Този правилник е обществено достъпен.
12. Управителният съвет приема финансовите правила, приложими за Агенцията. Те не могат да се отклоняват от Регламент (ЕО, Евратом) № 2343/2002 на Комисията от 19 ноември 2002 г. относно рамковия Финансов регламент за органите, посочени в член 185 от Регламент (ЕО, Евратом) № 1605/2002 на Съвета относно Финансовия регламент, приложим за общия бюджет на Европейските общности (18), освен ако такова отклонение не се налага специално за дейността на Агенцията и Комисията е дала предварителното си съгласие.
13. Управителният съвет приема многогодишния план за политика по отношение на персонала след консултация със службите на Комисията и след като надлежно е информирал Европейския парламент и Съвета.
Член 6
Състав на управителния съвет
1. Съставът на управителния съвет включва по един представител на всяка държава членка и двама представители, назначени от Комисията. Всеки от представителите има право на глас.
2. Всеки член на управителния съвет има заместник, който го представлява при отсъствие.
3. Членовете на управителния съвет и техните заместници се назначават съобразно техните познания за задачите и целите на Агенцията, като се вземат предвид съответните управленски, административни и бюджетни умения за изпълнението на задачите, посочени в член 5. Комисията и държавите членки би следвало да полагат усилия за ограничаване на текучеството на своите представители в управителния съвет, за да се осигури непрекъснатост на работата му. Комисията и държавите членки се стремят към постигането на балансирано представителство между мъже и жени в управителния съвет.
4. Мандатът на членовете на управителния съвет и на техните заместници е четири години. Този мандат подлежи на подновяване.
Член 7
Председател на управителния съвет
1. Управителният съвет избира свой председател и заместник-председател измежду членовете си за срок от три години, като този срок може да бъде подновяван. Заместник-председателят замества служебно председателя, ако последният не е в състояние да изпълнява своите задължения.
2. Председателят може да бъде поканен да направи изявление пред съответната(ите) комисия(и) на Европейския парламент и да отговори на въпроси на членовете.
Член 8
Заседания
1. Заседанията на управителния съвет се свикват от неговия председател.
2. Управителният съвет провежда редовно заседание поне веднъж годишно. Той провежда и извънредни заседания по искане на председателя или по искане на най-малко една трета от членовете си.
3. Изпълнителният директор взема участие в събранията на управителния съвет без право на глас.
Член 9
Гласуване
1. Управителният съвет взема решенията си с абсолютно мнозинство на членовете си.
2. За приемането на процедурния правилник на управителния съвет, вътрешния правилник за дейността на Агенцията, бюджета, годишната и многогодишната работна програма, назначаването, удължаването на мандата или освобождаването от длъжност на изпълнителния директор и определянето на председателя на управителния съвет е необходимо мнозинство от две трети от всички членове на управителния съвет.
Член 10
Изпълнителен съвет
1. Управителният съвет се подпомага от изпълнителен съвет.
2. Изпълнителният съвет подготвя решения единствено по административни и бюджетни въпроси, които се приемат от управителния съвет.
Заедно с управителния съвет той осигурява подходящи мерки за съобразяване с резултатите и препоръките от разследванията на OLAF и различните вътрешни и външни одитни доклади и оценки.
Без да се засягат отговорностите на изпълнителния директор по член 11, изпълнителният съвет подпомага и съветва изпълнителния директор при изпълнението на решенията на управителния съвет по административни и бюджетни въпроси.
3. Изпълнителният съвет се състои от петима членове, назначени измежду членовете на управителния съвет, като един от тях е председателят на управителния съвет, който може също така да бъде председател на изпълнителния съвет, и един от представителите на Комисията.
4. Мандатът на членовете на изпълнителния съвет е със същата продължителност като мандата на членовете на управителния съвет, установен в член 6, параграф 4.
5. Изпълнителният съвет заседава най-малко веднъж на всеки три месеца. Председателят на изпълнителния съвет свиква допълнителни заседания по искане на членовете на съвета.
Член 11
Задължения на изпълнителния директор
1. Агенцията се ръководи от изпълнителен директор, който е независим при изпълнението на своите задължения.
2. Изпълнителният директор отговаря за:
а)
ежедневното управление на Агенцията;
б)
изпълнението на решенията, приети от управителния съвет;
в)
след като се консултира с управителния съвет, за изготвянето на годишната работна програма и многогодишната работна програма и представянето им пред управителния съвет след консултация с Комисията;
г)
изпълнението на годишната работна програма и многогодишната работна програма и докладване пред управителния съвет за това;
д)
изготвянето на годишния доклад относно дейностите на Агенцията и представянето му на управителния съвет за одобрение;
е)
изготвянето на план за действие за съобразяване със заключенията от оценки за изминал период, и докладване за напредъка на всеки две години пред Комисията;
ж)
защитата на финансовите интереси на Съюза чрез прилагането на превантивни мерки срещу измами, корупция и всякакви други незаконни дейности, посредством ефективни проверки и, при наличие на нередности, чрез събирането на недължимо платените суми, а също така, когато това е целесъобразно, чрез ефективни, съразмерни и възпиращи административни и финансови санкции;
з)
изготвянето на стратегия на Агенцията за борба с измамите и представянето ѝ на управителния съвет за одобрение;
и)
гарантирането, че Агенцията осъществява своите дейности в съответствие с изискванията на потребителите на нейните услуги, по-специално що се отнася до целесъобразността на предоставяните услуги;
й)
установяването и поддържането на контакт с институциите, органите, службите и агенциите на Съюза;
к)
установяването и поддържането на контакт с бизнес общността и потребителските организации с цел осигуряване на редовен диалог със съответните заинтересовани страни;
л)
други задачи, възложени на изпълнителния директор с настоящия регламент.
3. При необходимост и в рамките на целите и задачите на Агенцията изпълнителният директор може да сформира ad hoc работни групи, съставени от експерти, включително от компетентните органи на държавите членки. Управителният съвет се информира предварително за това. Процедурите, по-специално относно състава, назначаването на експертите от изпълнителния директор и дейността на ad hoc работните групи, се определят във вътрешния правилник за дейността на Агенцията.
4. Изпълнителният директор осигурява на управителния съвет и на изпълнителния съвет административен помощен персонал и други налични ресурси, когато е необходимо.
Член 12
Постоянна група на заинтересованите страни
1. По предложение на изпълнителния директор управителният съвет учредява Постоянна група на заинтересовани страни, съставена от доказани експерти, представляващи съответните заинтересовани страни, например отрасъла на ИКТ, доставчиците на обществени електронни съобщителни мрежи или услуги, потребителски групи, академични експерти в областта на мрежовата и информационната сигурност и представители на националните регулаторни органи, нотифицирани съгласно Директива 2002/21/ЕО, както и правоприлагащите органи и органите за защита на неприкосновеността на личния живот.
2. Процедурите, по-специално процедурите относно броя, състава и назначаването на членовете на Постоянната група на заинтересованите страни от управителния съвет, предложението на изпълнителния директор и дейността на групата, се определят във вътрешния правилник за дейността на Агенцията и се публикуват.
3. Постоянната група на заинтересованите страни се председателства от изпълнителния директор или лице, определено от изпълнителния директор за всеки конкретен случай.
4. Мандатът на членовете на Постоянната група на заинтересованите страни е с продължителност две години и половина. Членовете на управителния съвет не могат да бъдат членове на Постоянната група на заинтересованите страни. Експертите на Комисията и от държавите членки имат право да присъстват на заседанията на Постоянната група на заинтересованите страни и да участват в нейната работа. Представители на други органи, които не са членове на Постоянната група на заинтересованите страни, но за които изпълнителният директор счете, че имат отношение по въпроса, могат да бъдат поканени да присъстват на заседанията на Постоянната група на заинтересованите страни и да участват в работата ѝ.
5. Постоянната група на заинтересованите страни консултира Агенцията при изпълнението на нейните дейности. По-специално тя консултира изпълнителния директор относно изготвянето на предложение за работна програма на Агенцията и гарантирането на диалог със съответните заинтересовани страни по всички въпроси, свързани с работната програма.
РАЗДЕЛ 3
ДЕЙНОСТ
Член 13
Работна програма
1. Агенцията извършва дейността си в съответствие със своята годишна и многогодишна работна програма, която съдържа всички планирани дейности.
2. Работната програма включва специфични показатели за изпълнението, даващи възможност за ефективна оценка на постигнатите резултати по отношение на целите.
3. Изпълнителният директор отговаря за изготвянето на проект на работна програма на Агенцията след предварителни консултации със службите на Комисията. В срок до 15 март всяка година изпълнителният директор представя на управителния съвет проекта на работна програма за следващата година.
4. В срок до 30 ноември всяка година управителният съвет приема работната програма на Агенцията за следващата година, след като е получил становището на Комисията. Работната програма съдържа многогодишна перспектива. Управителният съвет гарантира съвместимостта на работната програма с целите на Агенцията, както и със законодателните и политическите приоритети на Съюза в областта на мрежовата и информационната сигурност.
5. Работната програма се организира в съответствие с принципа на управление по дейности. Тя съответства на прогнозните отчети за приходите и разходите на Агенцията и на бюджета на Агенцията за същата финансова година.
6. След приемането ѝ от управителния съвет изпълнителният директор изпраща работната програма на Европейския парламент, на Съвета, на Комисията и на държавите членки и я публикува. По покана на съответната комисия на Европейския парламент изпълнителният директор представя и участва в размяна на мнения относно приетата годишна работна програма.
Член 14
Искания до Агенцията
1. Искания за консултации и помощ, попадащи в обхвата на целите и задачите на Агенцията, се отправят към изпълнителния директор и се придружават с обща информация, разясняваща въпроса, който трябва да бъде разгледан. Изпълнителният директор уведомява управителния съвет и изпълнителния съвет за получените искания, за потенциалното отражение върху ресурсите и, в разумен срок, за предприетите във връзка с тях последващи действия. Ако Агенцията отхвърли искане, тя мотивира отказа си.
2. Исканията, посочени в параграф 1, могат да се отправят от:
а)
Европейския парламент;
б)
Съвета;
в)
Комисията;
г)
всеки компетентен орган, посочен от държава членка, като например национален регулаторен орган, определен в член 2 от Директива 2002/21/ЕО.
3. Практическите ред и условия за прилагането на параграфи 1 и 2, по-специално относно представянето, подреждането в приоритетен ред, последващите действия и информирането на управителния съвет и изпълнителния съвет относно исканията до Агенцията, се регламентират от управителния съвет във вътрешния правилник за дейността на Агенцията.
Член 15
Деклариране на интерес
1. Членовете на управителния съвет, изпълнителният директор и длъжностните лица, временно командировани от държавите членки, представят декларация за ангажираност и декларация за липса или наличие на преки или косвени интереси, които биха могли да се считат за накърняващи тяхната независимост. Тези декларации са точни и изчерпателни, правят се писмено всяка година и се актуализират при необходимост.
2. Членовете на управителния съвет, изпълнителният директор и външните експерти, участващи в ad hoc работни групи, декларират точно и изчерпателно най-късно в началото на всяко заседание наличието на интереси, които биха могли да се считат за засягащи тяхната независимост по отношение на точките в дневния ред, и се въздържат от участие в обсъждането на тези точки и гласуването по тях.
3. Агенцията установява във вътрешния правилник за дейността си практическите ред и условия за прилагане на правилата за деклариране на интереси, посочени в параграфи 1 и 2.
Член 16
Прозрачност
1. Агенцията гарантира, че тя осъществява дейността си при високо ниво на прозрачност и в съответствие с членове 17 и 18.
2. Агенцията гарантира, че на обществеността и на заинтересованите страни се предоставя целесъобразна, обективна, достоверна и леснодостъпна информация, по-специално по отношение на резултатите от нейната дейност. Освен това тя оповестява публично декларациите за интереси, направени в съответствие с член 15.
3. По предложение на изпълнителния директор управителният съвет може да разреши на заинтересовани страни да наблюдават хода на някои от дейностите на Агенцията.
4. Агенцията установява във вътрешния правилник за дейността си практическите ред и условия за прилагане на правилата на прозрачност, посочени в параграфи 1 и 2.
Член 17
Поверителност
1. Без да се засяга член 18, Агенцията няма право да разкрива на трети страни информация, която обработва или получава, за която е отправено обосновано искане за поверително цялостно или частично обработване.
2. Членове на управителния съвет, изпълнителният директор, членовете на Постоянната група на заинтересовани страни, участващите в работните ad hoc групи външни експерти и членове на персонала на Агенцията, включително временно командированите от държавите членки длъжностни лица, са задължени да спазват изискванията за поверителност съгласно член 339 от Договора за функционирането на Европейския съюз (ДФЕС), дори и след приключване на службата им.
3. Агенцията установява във вътрешния правилник за дейността си практическите ред и условия за прилагане на правилата на поверителност, посочени в параграфи 1 и 2.
4. Ако това се изисква за изпълнението на задачите на Агенцията, управителният съвет решава да позволи на Агенцията да работи с класифицирана информация. В такъв случай управителният съвет в споразумение със службите на Комисията приема вътрешен правилник за дейността, като прилага принципите относно сигурността, установени в Решение 2001/844/ЕО, ЕОВС, Евратом на Комисията от 29 ноември 2001 г. за изменение на нейния процедурен правилник (19). Посоченият правилник обхваща наред с другото разпоредби за обмена, обработката и съхранението на класифицирана информация.
Член 18
Достъп до документи
1. Регламент (ЕО) № 1049/2001 се прилага за документи, притежавани от Агенцията.
2. Управителният съвет приема реда за прилагането на Регламент (ЕО) № 1049/2001 в срок до шест месеца от създаването на Агенцията.
3. Срещу решенията, взети от Агенцията съгласно член 8 от Регламент (ЕО) № 1049/2001, може да се подава жалба до омбудсмана по реда и при условията на член 228 от ДФЕС или те може да се обжалват пред Съда на Европейския съюз по реда и при условията на член 263 от ДФЕС.
РАЗДЕЛ 4
ФИНАНСОВИ РАЗПОРЕДБИ
Член 19
Приемане на бюджета
1. Приходите на Агенцията се състоят от вноска от бюджета на Съюза, вноски от трети държави, вземащи участие в работата на Агенцията, предвидени в член 30, и доброволни парични или непарични вноски от държави членки. Държавите членки, осигуряващи доброволни вноски, не могат да предявяват претенции за особени права или услуги в резултат от тези вноски.
2. Разходите на Агенцията се състоят от разходи за персонал, административна и техническа поддръжка, разходи за инфраструктура и оперативни разходи, както и разходи в резултат от договори, сключени с трети страни.
3. В срок до 1 март всяка година изпълнителният директор изготвя проект на разчета за предвидените приходи и разходи на Агенцията за следващата финансова година и го изпраща на управителния съвет заедно с проект на щатно разписание.
4. Разходите трябва да съответстват на приходите.
5. Въз основа на проект на разчета за предвидените приходи и разходи, изготвен от изпълнителния директор, управителният съвет ежегодно изготвя разчет за предвидените приходи и разходи на Агенцията за следващата финансова година.
6. Управителния съвет изпраща в срок до 31 март всяка година този разчет за предвидените средства, който включва проект на щатно разписание, заедно с проект на работна програма, на Комисията и на третите държави, с които Европейският съюз е сключил споразумения в съответствие с член 30.
7. Комисията предава разчета на Европейския парламент и на Съвета заедно с проекта за общ бюджет на Съюза.
8. Въз основа на този разчет Комисията включва в проекта за бюджет на Съюза прогнозните средства, които прецени за необходими за щатното разписание, и размера на субсидията, която се заделя от общия бюджет, и ги представя на Европейския парламент и на Съвета в съответствие с член 314 от ДФЕС.
9. Европейският парламент и Съветът разрешават отпускането на бюджетни кредити за субсидията, предназначена за Агенцията.
10. Европейският парламент и Съветът приемат щатното разписание за Агенцията.
11. Заедно с работната програма управителният съвет приема бюджета на Агенцията. Той става окончателен след окончателното приемане на общия бюджет на Съюза. Когато е уместно, управителният съвет коригира бюджета и работната програма на Агенцията в съответствие с общия бюджет на Съюза. Управителният съвет незабавно изпраща бюджета на Европейския парламент, на Съвета и на Комисията.
Член 20
Борба с измамите
1. За улесняване на борбата с измамите, корупцията и други неправомерни дейности в рамките на Регламент (ЕО) № 1073/1999 (20) в срок от шест месеца от деня на започване на дейността си Агенцията се присъединява към Междуинституционалното споразумение от 25 май 1999 г. относно вътрешните разследвания от Европейската служба за борба с измамите (OLAF) (21) и приема подходящите разпоредби, приложими по отношение на всички служители на Агенцията, като използва образеца в приложението към посоченото споразумение.
2. Сметната палата има правомощия за извършване на одити по документи и на място на всички бенефициери на безвъзмездни средства, изпълнители и подизпълнители, които са получили средства на Съюза от Агенцията.
3. OLAF може да извършва разследвания, включително проверки и инспекции на място, в съответствие с разпоредбите и процедурите, предвидени в Регламент (ЕО) № 1073/1999 и Регламент (Евратом, ЕО) № 2185/96 на Съвета от 11 ноември 1996 г. относно контрола и проверките на място, извършвани от Комисията за защита на финансовите интереси на Европейските общности срещу измами и други нередности (22), с цел да се установи дали е налице измама, корупция или друга незаконна дейност, накърняваща финансовите интереси на Съюза, във връзка с безвъзмездни средства или поръчка, финансирани от Агенцията.
4. Без да се засягат параграфи 1, 2 и 3, споразуменията за сътрудничество с трети държави и международни организации, договорите, споразуменията и решенията на Агенцията за отпускане на безвъзмездни средства съдържат разпоредби, с които Сметната палата и OLAF изрично се упълномощават да провеждат такива одити и разследвания съгласно съответните техни компетенции.
Член 21
Изпълнение на бюджета
1. Изпълнителният директор отговаря за изпълнението на бюджета на Агенцията.
2. Вътрешният одитен орган на Комисията се ползва със същите правомощия спрямо Агенцията като тези спрямо отделите на Комисията.
3. До 1 март на следващата финансова година (1 март на година N + 1) счетоводителят на Агенцията изпраща на счетоводителя на Комисията предварителните отчети заедно с доклада за бюджетното и финансовото управление за изминалата финансова година. Счетоводителят на Комисията консолидира предварителните отчети на институциите и децентрализираните органи в съответствие с член 147 от Финансовия регламент.
4. До 31 март на година N + 1 счетоводителят на Комисията изпраща на Сметната палата предварителните отчети на Агенцията заедно с доклада за бюджетното и финансовото управление за изминалата финансова година. Докладът за бюджетното и финансовото управление за финансовата година се изпраща и на Европейския парламент и на Съвета.
5. След получаване на констатациите на Сметната палата относно предварителните отчети на Агенцията съгласно член 148 от Финансовия регламент изпълнителният директор изготвя окончателните отчети на Агенцията на своя собствена отговорност и ги предава на управителния съвет за становище.
6. Управителният съвет дава становище относно окончателните отчети на Агенцията.
7. В срок до 1 юли на година N + 1 изпълнителният директор изпраща на Европейския парламент, на Съвета, на Комисията и на Сметната палата окончателните отчети, включително доклада относно бюджетното и финансовото управление за тази финансова година и констатациите на Сметната палата, заедно със становището на управителния съвет.
8. Изпълнителният директор публикува окончателните отчети.
9. Изпълнителният директор изпраща на Сметната палата отговор на нейните констатации в срок до 30 септември на година N + 1, а на управителния съвет - копие от отговора.
10. Изпълнителният директор представя на Европейския парламент по искане на последния цялата информация, необходима за безпрепятственото изпълнение на процедурата по освобождаване от отговорност за въпросната финансова година, както е предвидено в член 165, параграф 3 от Финансовия регламент.
11. До 15 май на година N + 2 по препоръка на Съвета Европейският парламент освобождава изпълнителния директор от отговорност по отношение на изпълнението на бюджета за година N.
РАЗДЕЛ 5
ПЕРСОНАЛ
Член 22
Общи разпоредби
Правилникът за длъжностните лица и Условията за работа на другите служители, както и правилата за прилагането им, приети чрез споразумение между институциите на Съюза, се прилагат за персонала на Агенцията.
Член 23
Привилегии и имунитет
Протокол № 7 за привилегиите и имунитетите на Европейския съюз, приложен към Договора за Европейския съюз и към ДФЕС, се прилага за Агенцията и нейния персонал.
Член 24
Изпълнителен директор
1. Изпълнителният директор се назначава като срочно нает служител на Агенцията съгласно член 2, буква а) от Условията за работа на другите служители.
2. Изпълнителният директор се назначава от управителния съвет от списък с кандидати, предложен от Комисията, след открита и прозрачна процедура по подбор.
За целите на сключването на договора на изпълнителния директор Агенцията се представлява от председателя на управителния съвет.
Преди назначаването избраният от управителния съвет кандидат се поканва да направи изявление пред съответната комисия на Европейския парламент и да отговори на въпроси на членовете.
3. Мандатът на изпълнителния директор е пет години. Към края на този период Комисията предприема оценка, която взема предвид оценката на работата на изпълнителния директор и бъдещите цели и предизвикателства пред Агенцията.
4. Управителният съвет, като действа по предложение от Комисията, в което се взема предвид оценката, посочена в параграф 3, и след като получи мнението на Европейския парламент, може да продължи еднократно мандата на изпълнителния директор за не повече от пет години.
5. Управителният съвет уведомява Европейския парламент за намерението си да удължи мандата на изпълнителния директор. Най-късно три месеца преди такова удължаване изпълнителният директор, ако бъде поканен, прави изявление пред съответната комисия на Европейския парламент и отговаря на въпроси на членовете.
6. Изпълнителен директор, чийто мандат е бил удължен, не може да участва в нова процедура за подбор за същата длъжност.
7. Изпълнителният директор може да бъде отстранен от длъжност само с решение на управителния съвет.
Член 25
Командировани национални експерти и други служители
1. Агенцията може да се ползва от експертизата на командировани национални експерти или друг персонал, който не е нает от Агенцията. Правилникът за длъжностните лица и Условията за работа на другите служители не се прилагат за такъв персонал.
2. Управителният съвет приема решение за определяне на правилата относно командироването на национални експерти в Агенцията.
РАЗДЕЛ 6
ОБЩИ РАЗПОРЕДБИ
Член 26
Правен статус
1. Агенцията е орган на Съюза. Тя притежава юридическа правосубектност.
2. Във всяка от държавите членки Агенцията има най-широките законови правомощия, давани на юридическите лица съгласно законодателството на съответната държава членка. Тя може по-специално да придобива и да се разпорежда с движимо и недвижимо имущество и да бъде страна по съдебни производства.
3. Агенцията се представлява от нейния изпълнителен директор.
4. Клонът на Агенцията, създаден в района на столицата Атина, се запазва, за да се подобри оперативната ефикасност на Агенцията.
Член 27
Отговорност
1. Договорната отговорност на Агенцията се урежда от законодателството, приложимо към съответния договор.
Съдът на Европейския съюз е компетентен да се произнася по силата на всяка арбитражна клауза, съдържаща се в сключен от Агенцията договор.
2. В случай на извъндоговорна отговорност, съгласно общите принципи, общи за правните системи на държавите членки, Агенцията поправя всяка вреда, причинена от нея или от нейните служители при изпълнението на техните задължения.
Съдът на Европейския съюз е компетентен по отношение на всякакви спорове, отнасящи се до поправянето на такива вреди.
3. По отношение на личната отговорност на служителите спрямо Агенцията се прилагат съответните условия, приложими по отношение на служителите на Агенцията.
Член 28
Езици
1. За Агенцията се прилага Регламент № 1 от 15 април 1958 г. за определяне на езиковия режим на Европейската икономическа общност (23). Държавите членки и другите органи, определени от тях, могат да се обръщат към Агенцията и да получават отговор на избран от тях официален език на институциите на Съюза.
2. Преводаческите услуги, необходими за функционирането на Агенцията, се извършват от Центъра за преводи към органите на Европейския съюз.
Член 29
Защита на личните данни
1. При обработка на данни, отнасящи се до физически лица, по-специално при изпълнението на задачите си, Агенцията спазва принципите за защита на личните данни в разпоредбите на Регламент (ЕО) № 45/2001 и е обект на тези разпоредби.
2. Управителният съвет приема мерките по прилагане, посочени в член 24, параграф 8 от Регламент (ЕО) № 45/2001. Управителният съвет може да приеме допълнителни мерки, необходими за прилагането на Регламент (ЕО) № 45/2001 от Агенцията.
Член 30
Участие на трети държави
1. Агенцията е отворена за участие на трети държави, които са сключили споразумения с Европейския съюз, по силата на които те са приели и прилагат правните актове на Съюза в областта, обхваната от настоящия регламент.
2. Съгласно съответните клаузи на тези споразумения се изготвят разпоредби, уточняващи по-специално естеството, степента и начина, по който тези държави ще участват в работата на Агенцията, включително разпоредби, свързани с участието в инициативите, предприемани от Агенцията, финансовите вноски и персонала.
Член 31
Правила за сигурност относно защитата на класифицирана информация
Агенцията прилага принципите за сигурност, съдържащи се в правилата за сигурност на Комисията за защита на класифицирана информация на Европейския съюз и чувствителна некласифицирана информация, установена в приложението към Решение 2001/844/ЕО, ЕОВС, Евратом. Това обхваща, наред с другото, разпоредби за обмена, обработката и съхранението на такава информация.
РАЗДЕЛ 7
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 32
Оценка и преглед
1. До 20 юни 2018 г. Комисията възлага оценка за оценяване по-специално на въздействието, ефективността и ефикасността на Агенцията и нейните работни практики. Оценката разглежда също евентуалната необходимост от изменение на мандата на Агенцията и финансовите последици от такова изменение.
2. Оценката, посочена в параграф 1, взема предвид всякаква получена в Агенцията информация в резултат на нейните дейности.
3. Комисията изпраща доклада за оценка заедно със своите заключения на Европейския парламент, Съвета и управителния съвет. Резултатите от оценката се правят обществено достояние.
4. Като част от оценката следва да се извърши също така оценка на постигнатите от Агенцията резултати във връзка с нейните цели, мандат и задачи. Ако Комисията счете, че продължаването на съществуването на Агенцията е обосновано по отношение на поставените ѝ цели, мандат и задачи, тя може да предложи удължаване на мандата на Агенцията, установен в член 36.
Член 33
Сътрудничество на приемащата държава членка
Приемащата Агенцията държава членка предоставя най-добрите възможни условия за гарантиране на правилното функциониране на Агенцията, включително на достъпност на мястото, наличие на съответната учебна инфраструктура за децата на служителите, подходящ достъп до пазара на труда, социално осигуряване и медицински услуги както за децата, така и за съпрузите.
Член 34
Административен контрол
Дейността на Агенцията подлежи на надзор от омбудсмана в съответствие с член 228 от ДФЕС.
Член 35
Отмяна и правоприемство
1. Регламент (ЕО) № 460/2004 се отменя.
Позоваванията на Регламент (ЕО) № 460/2004 и на ENISA се считат за позовавания на настоящия регламент и на Агенцията.
2. Агенцията е правоприемник на агенцията, учредена с Регламент (ЕО) № 460/2004, по отношение на цялата собственост, споразумения, правни задължения, трудови договори, финансови ангажименти и задължения.
Член 36
Срок
Агенцията се учредява за срок от седем години считано от 19 юни 2013 г.
Член 37
Влизане в сила
Настоящият регламент влиза в сила в деня след публикуването му в Официален вестник на Европейския съюз.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави-членки.
Съставено в Страсбург на 21 май 2013 година.
RÈGLEMENT (UE) No 526/2013 DU PARLEMENT EUROPÉEN ET DU CONSEIL
du 21 mai 2013
concernant l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA) et abrogeant le règlement (CE) no 460/2004
(Texte présentant de l'intérêt pour l'EEE)
LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,
vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114,
vu la proposition de la Commission européenne,
après transmission du projet d’acte législatif aux parlements nationaux,
vu l’avis du Comité économique et social européen (1),
statuant conformément à la procédure législative ordinaire (2),
considérant ce qui suit:
(1)
Les communications, infrastructures et services électroniques sont des facteurs clés, directement et indirectement, du développement de l’économie et de la société. Ils jouent un rôle essentiel pour la société, sont devenus eux-mêmes des services tout aussi omniprésents que l’approvisionnement en électricité ou en eau et constituent également des facteurs vitaux dans la fourniture d’électricité, d’eau et d’autres services essentiels. Les réseaux de communication fonctionnent comme des catalyseurs pour la société et l’innovation dès lors qu’ils multiplient l’impact de la technologie et influencent les habitudes des consommateurs, les modèles commerciaux, les entreprises, ainsi que la citoyenneté et la participation à la vie politique. Toute perturbation de ces services peut causer des dommages physiques, sociaux et économiques considérables, d’où l’importance de mesures de protection et de résilience accrues visant à assurer la continuité des services essentiels. La sécurité des communications, infrastructures et services électroniques, en particulier leur intégrité, leur disponibilité et leur confidentialité, fait face à des défis toujours plus nombreux, qui touchent notamment aux composants individuels des infrastructures de communication et aux logiciels contrôlant ces composants, aux infrastructures dans leur ensemble et aux services fournis grâce à ces infrastructures. C’est un sujet de préoccupation croissante pour la société, notamment parce que des problèmes pourraient se poser en raison de la complexité des systèmes, d’un dysfonctionnement, d’une faille du système, d’un accident, d’une erreur ou d’une attaque, susceptibles d’avoir des répercussions sur l’infrastructure physique et électronique qui fournit des services essentiels au bien-être des européens.
(2)
La nature de la menace évolue constamment et les incidents de sécurité peuvent ébranler la confiance que les utilisateurs ont dans les technologies, les réseaux et les services, affectant de la sorte leur capacité à exploiter tout le potentiel du marché intérieur et l’utilisation généralisée des technologies de l’information et de la communication (TIC).
(3)
Il est donc important pour les décideurs, les entreprises et les utilisateurs que la situation en matière de sécurité des réseaux et de l’information dans l’Union soit régulièrement évaluée à partir de données de l’Union fiables et d’une anticipation systématique des évolutions, défis et menaces futurs tant au niveau de l’Union qu’au niveau mondial.
(4)
Par la décision 2004/97/CE, Euratom (3), adoptée lors du Conseil européen du 13 décembre 2003, les représentants des États membres ont décidé que l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), qui devait être instituée sur la base de la proposition soumise par la Commission, aurait son siège dans une ville en Grèce que le gouvernement grec désignera. À la suite de cette décision, le gouvernement grec a choisi la ville d’Héraklion, en Crète, pour accueillir le siège de l’ENISA.
(5)
Le 1er avril 2005, un accord de siège a été conclu entre l’Agence et l’État membre d’accueil.
(6)
L’État membre d’accueil de l’Agence devrait offrir les meilleures conditions possibles pour un fonctionnement harmonieux et efficace de l’Agence. Il est impératif, pour l’accomplissement correct et efficace de ses missions, pour le recrutement et la fidélisation du personnel et pour une plus grande efficacité des activités de mise en réseau, que l’Agence soit établie dans un lieu approprié, offrant, entre autres, des liaisons de transport et des aménagements appropriés pour les conjoints et enfants accompagnant les membres du personnel de l’Agence. Les dispositions nécessaires devraient être arrêtées dans un accord conclu, après approbation du conseil d’administration de l’Agence, entre l’Agence et l’État membre d’accueil.
(7)
Afin d’améliorer son efficacité opérationnelle, l’Agence a installé une antenne dans la zone métropolitaine d’Athènes, qui devrait être maintenue avec l’accord et le soutien de l’État membre d’accueil et qui devrait accueillir le personnel opérationnel de l’Agence. Le personnel principalement affecté à l’administration de l’Agence (y compris le directeur exécutif), aux questions financières, à la recherche et à l’analyse documentaires, à la gestion de l’informatique et des infrastructures, aux ressources humaines, à la formation, ainsi qu’aux communications et aux affaires publiques, devrait être basé à Héraklion.
(8)
L’Agence a le droit de décider de sa propre organisation de manière à assurer l’accomplissement correct et efficace de ses missions, dans le respect des dispositions relatives au siège et à l’antenne d’Athènes arrêtées dans le présent règlement. En particulier, en vue d’accomplir les missions qui impliquent une interaction avec des parties prenantes essentielles telles que les institutions de l’Union, l’Agence devrait prendre les dispositions pratiques nécessaires pour renforcer cette efficacité opérationnelle.
(9)
En 2004, le Parlement européen et le Conseil ont adopté le règlement (CE) no 460/2004 (4) instituant l’ENISA en vue de contribuer à la réalisation des objectifs visant à assurer un niveau élevé de sécurité des réseaux et de l’information au sein de l’Union et à favoriser l’émergence d’une culture de la sécurité des réseaux et de l’information dans l’intérêt des citoyens, des consommateurs, des entreprises et des administrations publiques. En 2008, le Parlement européen et le Conseil ont adopté le règlement (CE) no 1007/2008 (5) prolongeant le mandat de l’Agence jusqu’en mars 2012. Le règlement (CE) no 580/2011 (6) prolonge le mandat de l’Agence jusqu’au 13 septembre 2013.
(10)
L’Agence devrait succéder à l’ENISA, instituée par le règlement (CE) no 460/2004. Dans le cadre de la décision prise par les représentants des États membres réunis au Conseil européen du 13 décembre 2003, l’État membre d’accueil devrait maintenir et continuer à développer les modalités pratiques actuelles en vue de garantir le fonctionnement harmonieux et efficace de l’Agence, y compris de son antenne à Athènes, et faciliter l’engagement et la fidélisation de personnel hautement qualifié.
(11)
Depuis que l’ENISA a été instituée, les défis en matière de sécurité des réseaux et de l’information ont changé en fonction des évolutions technologiques, commerciales et socio-économiques, et ont fait l’objet de réflexions et de débats approfondis. En réponse aux défis toujours nouveaux, l’Union a revu les priorités de sa politique en matière de sécurité des réseaux et de l’information. Le présent règlement vise à renforcer l’Agence pour contribuer avec succès aux efforts des États membres et des institutions de l’Union visant à mettre en place, en Europe, des moyens permettant de relever les défis de la sécurité des réseaux et de l’information.
(12)
Dans le domaine de la sécurité des communications électroniques et, plus généralement, de la sécurité des réseaux et de l’information, les mesures relatives au marché intérieur nécessitent l’adoption de différentes modalités d’application techniques et organisationnelles par les institutions de l’Union et les États membres. L’application hétérogène de ces exigences peut conduire à des pertes d’efficacité et créer des obstacles au marché intérieur. Il est donc nécessaire de créer, au niveau de l’Union, un centre d’expertise chargé de fournir des indications, des conseils et une assistance concernant les questions liées à la sécurité des réseaux et de l’information, sur lequel les institutions de l’Union et les États membres peuvent compter. L’Agence peut répondre à ces besoins en acquérant et en conservant un niveau élevé de compétences spécialisées et en assistant les institutions de l’Union, les États membres et le secteur des entreprises en vue de les aider à satisfaire aux exigences légales et réglementaires en matière de sécurité des réseaux et de l’information, et de déterminer et résoudre les questions de sécurité des réseaux et de l’information, contribuant ainsi au bon fonctionnement du marché intérieur.
(13)
L’Agence devrait exécuter les tâches qui lui sont confiées en vertu des actes juridiques de l’Union dans le domaine des communications électroniques et, en général, contribuer à améliorer le niveau de sécurité des communications électroniques et le niveau de protection de la vie privée et des données à caractère personnel, notamment en mettant à disposition des compétences spécialisées, en fournissant des conseils et en promouvant l’échange des meilleures pratiques ainsi qu’en formulant des propositions quant aux politiques à mener.
(14)
La directive 2002/21/CE du Parlement européen et du Conseil du 7 mars 2002 relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques (directive «cadre») (7) exige que les fournisseurs de réseaux publics de communications électroniques ou de services de communications électroniques accessibles au public prennent les mesures appropriées pour assurer leur intégrité et sécurité et impose aux autorités réglementaires nationales, le cas échéant, d’informer entre autres l’Agence de toute atteinte à la sécurité ou perte d’intégrité ayant eu un impact significatif sur le fonctionnement des réseaux ou services, ainsi que de soumettre à la Commission et à l’Agence un rapport annuel succinct sur les notifications reçues et l’action engagée. La directive 2002/21/CE invite également l’Agence à contribuer à l’harmonisation de mesures techniques et organisationnelles appropriées en matière de sécurité en formulant des avis.
(15)
La directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (8) exige que les fournisseurs de services de communications électroniques accessibles au public prennent les mesures techniques et organisationnelles appropriées pour assurer la sécurité de leurs services et requiert également que la confidentialité des communications et des données relatives au trafic y afférentes soit préservée. La directive 2002/58/CE instaure pour les fournisseurs de services de communications électroniques des exigences en matière d’information et de notification des violations des données à caractère personnel. Elle exige aussi de la Commission de consulter l’Agence sur toute mesure technique d’application à adopter concernant les circonstances, le format et les procédures applicables aux exigences en matière d’information et de notification. La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (9) exige des États membres de veiller à ce que le responsable du traitement mette en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite ou la perte accidentelle, l’altération, la divulgation ou l’accès non autorisés, notamment lorsque le traitement implique la transmission de données par un réseau, ainsi que contre toute autre forme de traitement illicite.
(16)
L’Agence devrait contribuer à un niveau élevé de sécurité des réseaux et de l’information, à l’amélioration de la protection de la vie privée et de la protection des données à caractère personnel ainsi qu’à l’émergence et à la promotion d’une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, prenant part ainsi au bon fonctionnement du marché intérieur. Pour atteindre cet objectif, il y a lieu d’allouer les crédits budgétaires nécessaires à l’Agence.
(17)
Considérant l’importance croissante des réseaux et communications électroniques, qui forment désormais la base de l’économie européenne, et l’étendue réelle de l’économie numérique, il importe d’accroître les ressources budgétaires et humaines allouées à l’Agence afin de refléter le renforcement de son rôle et de ses missions ainsi que sa position stratégique dans la défense de l’écosystème numérique européen.
(18)
L’Agence devrait servir de point de référence et instaurer la confiance du fait de son indépendance, de la qualité des conseils fournis et des informations diffusées, de la transparence de ses procédures et modes de fonctionnement, et de sa diligence à exécuter ses tâches. L’Agence devrait s’appuyer sur les efforts déployés aux niveaux national et de l’Union et par conséquent exécuter ses tâches en totale coopération avec les institutions, organes et organismes de l’Union et les États membres et être ouverte à tout contact avec les entreprises et d’autres parties prenantes concernées. De plus, l’Agence devrait s’appuyer sur les informations fournies par le secteur privé et travailler en coopération avec celui-ci, le secteur privé jouant un rôle important dans la sécurisation des communications, infrastructures et services électroniques.
(19)
Un ensemble de tâches devrait indiquer à l’Agence la manière d’atteindre ses objectifs tout en lui laissant une certaine souplesse de fonctionnement. Au nombre des tâches exécutées par l’Agence devrait figurer la collecte des informations et données nécessaires à l’analyse des risques pour la sécurité et la résilience des communications, infrastructures et services électroniques et à l’évaluation, en coopération avec les États membres, la Commission et, le cas échéant, les parties prenantes concernées, de la situation en matière de sécurité des réseaux et de l’information dans l’Union. L’Agence devrait assurer la coordination et la collaboration avec les institutions, organes et organismes de l’Union et les États membres et renforcer la coopération entre les parties prenantes en Europe, notamment en faisant participer à ses activités les organismes nationaux et de l’Union compétents et des experts de haut niveau du secteur privé dans les domaines concernés, en particulier les fournisseurs de réseaux et de services de communications électroniques, les fabricants d’équipements de réseau et les vendeurs de logiciels, en tenant compte du fait que les réseaux et systèmes d’information comprennent des combinaisons de matériel, de logiciels et de services. L’Agence devrait prêter assistance aux institutions de l’Union et aux États membres dans leur dialogue avec les entreprises pour traiter les problèmes liés à la sécurité que posent les matériels et logiciels, contribuant ainsi à une approche concertée de la sécurité des réseaux et de l’information.
(20)
Les stratégies en matière de sécurité des réseaux et de l’information rendues publiques par une institution, un organe ou un organisme de l’Union ou un État membre devraient être communiquées à l’Agence pour informer celle-ci et éviter les doubles emplois. L’Agence devrait analyser les stratégies et promouvoir leur présentation dans un format facilitant leur comparabilité. Elle devrait mettre les stratégies et ses analyses à la disposition du public par des moyens électroniques.
(21)
L’Agence devrait assister la Commission sous la forme de conseils, d’avis et d’analyses sur toutes les questions de l’Union liées à l’élaboration de la politique en matière de sécurité des réseaux et de l’information, y compris en ce qui concerne la protection des infrastructures d’information critiques et la résilience. L’Agence devrait aussi assister les institutions, organes et organismes de l’Union et, le cas échéant, à leur demande, les États membres, dans leurs efforts pour mettre en place une politique et des moyens en matière de sécurité des réseaux et de l’information.
(22)
L’Agence devrait prendre pleinement en compte les activités en cours en matière de recherche, de développement et d’évaluation technologique, et plus particulièrement celles menées dans le cadre des différentes initiatives de recherche de l’Union, pour fournir des conseils aux institutions, organes et organismes de l’Union et, le cas échéant, à leur demande, aux États membres sur les besoins en matière de recherche dans le domaine de la sécurité des réseaux et de l’information.
(23)
L’Agence devrait assister les institutions, organes et organismes de l’Union ainsi que les États membres dans leurs efforts pour mettre en place et développer des moyens et une préparation transfrontaliers afin de prévenir les problèmes et incidents de sécurité des réseaux et de l’information, de les détecter et d’y faire face. À cet égard, l’Agence devrait faciliter la coopération entre les États membres et entre la Commission et les autres institutions, organes et organismes de l’Union et les États membres. À cette fin, l’Agence devrait soutenir les États membres dans leurs efforts continus pour développer leurs moyens d’intervention et pour organiser et réaliser des exercices européens et, à la demande d’un État membre, nationaux concernant des incidents de sécurité.
(24)
Pour mieux comprendre les défis dans le domaine de la sécurité des réseaux et de l’information, l’Agence doit analyser les risques actuels et émergents. À cet effet, l’Agence devrait, en coopération avec les États membres et, le cas échéant, les instituts de statistiques et d’autres organismes, recueillir des informations pertinentes. En outre, l’Agence devrait assister les institutions, organes et organismes de l’Union et les États membres dans leurs efforts pour recueillir, analyser et diffuser des données sur la sécurité des réseaux et de l’information. La collecte des informations et données statistiques appropriées nécessaires à l’analyse des risques pour la sécurité et la résilience des communications, infrastructures et services électroniques devrait s’effectuer sur la base des informations fournies par les États membres et du point de vue de l’Agence en ce qui concerne les infrastructures TIC des institutions de l’Union conformément aux dispositions de l’Union et aux dispositions nationales arrêtées dans le respect du droit de l’Union. Sur la base de ces informations, l’Agence devrait se tenir informée en permanence de l’état le plus actualisé de la sécurité des réseaux et de l’information ainsi que des tendances observées en la matière dans l’Union, dans l’intérêt des institutions, organes et organismes de l’Union et des États membres.
(25)
Dans l’accomplissement de ses tâches, l’Agence devrait faciliter la coopération entre l’Union et les États membres afin de sensibiliser à la situation en matière de sécurité des réseaux et de l’information dans l’Union.
(26)
L’Agence devrait faciliter la coopération entre les autorités réglementaires indépendantes compétentes des États membres, notamment en favorisant la mise au point, la promotion et l’échange des meilleures pratiques et de normes pour des programmes éducatifs et de sensibilisation. Une intensification des échanges d’informations entre les États membres facilitera cette action. L’Agence devrait contribuer à sensibiliser les utilisateurs individuels des communications, infrastructures et services électroniques, y compris en aidant les États membres, lorsqu’ils ont choisi d’utiliser la plate-forme d’informations d’intérêt public prévue dans la directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques (directive «service universel») (10), à produire des informations utiles d’intérêt public concernant la sécurité des réseaux et de l’information, et en aidant également à élaborer ces informations, qui doivent être jointes lors de la fourniture de nouveaux appareils destinés à être utilisés sur des réseaux publics de communications. L’Agence devrait aussi favoriser la coopération entre les parties prenantes au niveau de l’Union, en particulier par la promotion du partage d’informations, des campagnes de sensibilisation et des programmes éducatifs et de formation.
(27)
L’Agence devrait aider, entre autres, les institutions, organes et organismes de l’Union concernés et les États membres lors de campagnes publiques d’éducation à destination des utilisateurs finaux, en vue de promouvoir une navigation en ligne plus sûre pour tous et de sensibiliser aux dangers potentiels du cyberespace, y compris la cybercriminalité telle que les hameçonnages, réseaux zombies, fraudes financières et bancaires, et de donner des conseils de base en matière d’authentification et de protection des données.
(28)
Pour pouvoir atteindre pleinement ses objectifs, l’Agence devrait assurer la liaison avec les organismes concernés, notamment ceux traitant de la cybercriminalité, comme Europol, et les autorités chargées du respect de la vie privée, pour échanger savoir-faire et meilleures pratiques ainsi que pour fournir des conseils sur les aspects liés à la sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs activités. L’Agence devrait avoir pour but de créer des synergies entre les efforts de ces organismes et les siens visant à promouvoir l’amélioration de la sécurité des réseaux et de l’information. Les représentants des autorités nationales et des autorités de l’Union chargées de l’application de la loi et du respect de la vie privée devraient pouvoir être représentés au sein du groupe permanent des parties prenantes de l’Agence. Dans ses relations avec les organismes chargés de l’application de la loi concernant les questions de sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs activités, l’Agence devrait utiliser les canaux d’information existants et les réseaux établis.
(29)
La Commission a lancé un partenariat public-privé européen pour la résilience, qui a pris la forme d’une plate-forme de coopération souple à l’échelle de l’Union pour la résilience des infrastructures TIC, dans laquelle l’Agence devrait jouer un rôle de facilitateur consistant à réunir les parties prenantes pour qu’elles discutent des priorités de politique générale, des aspects économiques et commerciaux des défis et des mesures en faveur de la résilience des TIC.
(30)
Pour promouvoir la sécurité des réseaux et de l’information ainsi que sa visibilité, l’Agence devrait faciliter la coopération entre les organismes publics compétents des États membres, notamment en favorisant la mise en place et l’échange des meilleures pratiques et de programmes de sensibilisation ainsi qu’en renforçant leurs actions d’information. L’Agence devrait aussi soutenir la coopération entre les parties prenantes et les institutions de l’Union, en partie par la promotion du partage d’informations et des activités de sensibilisation.
(31)
Pour rehausser le niveau de sécurité des réseaux et de l’information dans l’Union, l’Agence devrait favoriser la coopération et l’échange d’informations et des meilleures pratiques entre les organismes concernés, tels que les équipes de réaction aux incidents touchant la sécurité informatique (CSIRT) et les équipes d’intervention en cas d’urgence informatique (CERT).
(32)
Un système de CERT fonctionnelles au niveau de l’Union devrait être une pierre angulaire des infrastructures de sécurité des réseaux et de l’information de l’Union. L’Agence devrait aider les CERT des États membres et la CERT de l’Union à assurer le fonctionnement d’un réseau de CERT, comprenant les membres du groupe des CERT gouvernementales européennes. Afin de contribuer à assurer que toutes les CERT disposent de capacités suffisamment avancées et que ces capacités correspondent, autant que possible, à celles des CERT les plus avancées, l’Agence devrait promouvoir la mise en place et le fonctionnement d’un système d’évaluation par les pairs. En outre, l’Agence devrait promouvoir et soutenir la coopération entre les CERT concernées en cas d’incidents, d’attaques ou de perturbations sur les réseaux ou infrastructures dont les CERT assurent la gestion ou la protection et impliquant, ou susceptibles d’impliquer, au moins deux CERT.
(33)
Des politiques de sécurité des réseaux et de l’information efficaces devraient reposer sur des méthodes d’évaluation des risques bien élaborées, dans le secteur public comme dans le secteur privé. Les méthodes et procédures d’évaluation des risques sont utilisées à différents niveaux et il n’existe pas de pratiques communes en ce qui concerne leur application efficace. La promotion et le développement des meilleures pratiques en matière d’évaluation des risques et de solutions interopérables de gestion des risques dans les organisations des secteurs public et privé rehausseront le niveau de sécurité des réseaux et systèmes d’information dans l’Union. À cette fin, l’Agence devrait favoriser la coopération entre parties prenantes au niveau de l’Union, en contribuant à leurs efforts concernant l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité mesurable des produits, systèmes, réseaux et services électroniques, lesquels, conjointement avec les logiciels, constituent les réseaux et systèmes d’information.
(34)
Le cas échéant, pour autant que cela soit utile à la réalisation de ses objectifs et de ses tâches, l’Agence devrait partager expérience et informations générales avec les institutions, organes et organismes de l’Union traitant de la sécurité des réseaux et de l’information. L’Agence devrait contribuer, au niveau de l’Union, à identifier les priorités en matière de recherche dans les domaines de la résilience du réseau et de la sécurité du réseau et des informations, ainsi qu’à fournir des informations sur les besoins des entreprises aux instituts de recherche concernés.
(35)
L’Agence devrait encourager les États membres et les fournisseurs de services à renforcer leurs normes de sécurité générales, de manière que tous les utilisateurs d’internet prennent les mesures nécessaires pour garantir leur propre cybersécurité.
(36)
Les questions de sécurité des réseaux et de l’information sont des problèmes de dimension mondiale. Il est nécessaire de renforcer la coopération internationale pour améliorer les normes de sécurité, y compris en définissant des normes de comportement et codes de conduite communs, et en partageant les informations, en encourageant une collaboration internationale plus prompte en réponse aux problèmes de sécurité des réseaux et de l’information ainsi qu’une approche globale commune de ces problèmes. À cette fin, l’Agence devrait soutenir la poursuite de l’engagement et de la coopération de l’Union avec les pays tiers et les organisations internationales en mettant, le cas échéant, les compétences et l’analyse nécessaires au service des institutions, organes et organismes de l’Union concernés.
(37)
L’Agence devrait fonctionner conformément au principe de subsidiarité, en garantissant un degré adéquat de coordination entre les États membres sur les questions de sécurité des réseaux et de l’information, en améliorant l’efficacité des politiques nationales et en leur donnant donc une valeur ajoutée, et conformément au principe de proportionnalité, en n’excédant pas ce qui est nécessaire pour atteindre les objectifs fixés dans le présent règlement. Dans l’exécution de ses tâches, l’Agence devrait renforcer les compétences, non leur porter atteinte, et ne devrait ni retirer, entraver ou empiéter sur les pouvoirs et les tâches des autorités réglementaires nationales prévus dans les directives relatives aux réseaux et services de communications électroniques ainsi que sur ceux de l’Organe des régulateurs européens des communications électroniques (ORECE) institué par le règlement (CE) no 1211/2009 (11) et du comité des communications visé dans la directive 2002/21/CE, des organismes européens de normalisation, des organismes nationaux de normalisation et du comité permanent prévus dans la directive 98/34/CE (12) et des autorités de contrôle indépendantes des États membres prévus dans la directive 95/46/CE.
(38)
Il convient de mettre en œuvre certains principes en ce qui concerne la gouvernance de l’Agence afin de se conformer à la déclaration conjointe et à l’approche commune adoptées par le groupe de travail interinstitutionnel sur les agences décentralisées de l’Union en juillet 2012, le but de cette déclaration et de cette approche étant de rationaliser les activités des agences et d’améliorer leur efficacité.
(39)
La déclaration conjointe et l’approche commune devraient également se refléter, le cas échéant, dans les programmes de travail, les évaluations, ainsi que les pratiques en matière d’établissement des rapports et les pratiques administratives de l’Agence.
(40)
Pour assurer le bon fonctionnement de l’Agence, la Commission et les États membres devraient veiller à ce que les personnes désignées au conseil d’administration soient dotées de compétences professionnelles appropriées. La Commission et les États membres devraient s’efforcer de limiter le roulement de leurs représentants respectifs dans le conseil d’administration, afin de garantir la continuité des travaux de ce dernier.
(41)
Il est essentiel que l’Agence établisse et entretienne une réputation d’impartialité, d’intégrité et de normes professionnelles élevées. En conséquence, le conseil d’administration devrait adopter des règles exhaustives en matière de prévention et de gestion des conflits d’intérêts, couvrant l’ensemble de l’Agence.
(42)
Vu la situation particulière de l’Agence et les défis difficiles auxquels elle se trouve confrontée, sa structure organisationnelle devrait être simplifiée et renforcée, pour assurer une plus grande efficacité et efficience. Il y a donc lieu, entre autres, d’instituer un conseil exécutif pour permettre au conseil d’administration de se concentrer sur les questions d’importance stratégique.
(43)
Le conseil d’administration devrait désigner un comptable conformément aux règles adoptées au titre du règlement (UE, Euratom) no 966/2012 (13) (ci-après dénommé «règlement financier»).
(44)
Afin d’assurer l’efficacité de l’Agence, les États membres et la Commission devraient être représentés au sein du conseil d’administration chargé de fixer l’orientation générale du fonctionnement de l’Agence et de veiller à ce qu’elle exécute ses tâches conformément au présent règlement. Le conseil d’administration devrait être doté des pouvoirs nécessaires pour établir le budget, vérifier son exécution, adopter les règles financières appropriées, instaurer des procédures de travail transparentes pour la prise de décisions par l’Agence, adopter le programme de travail de l’Agence, son propre règlement intérieur et les règles internes de fonctionnement de l’Agence, nommer le directeur exécutif, décider de la prolongation du mandat du directeur exécutif après avoir reçu le point de vue du Parlement européen et décider de l’expiration dudit mandat. Le conseil d’administration devrait créer un conseil exécutif pour l’assister dans ses tâches administratives et budgétaires.
(45)
Le bon fonctionnement de l’Agence exige que le directeur exécutif de celle-ci soit nommé sur la base de son mérite et de ses capacités attestées dans le domaine de l’administration et de la gestion, ainsi que de ses compétences et de son expérience pertinentes en matière de sécurité des réseaux et de l’information, et qu’il exerce ses fonctions en toute indépendance quant à l’organisation du fonctionnement interne de l’Agence. À cette fin, le directeur exécutif devrait élaborer une proposition de programme de travail pour l’Agence, après consultation préalable de la Commission, et prendre toutes les mesures nécessaires pour garantir la bonne exécution de ce programme de travail. Le directeur exécutif devrait préparer un rapport annuel à soumettre au conseil d’administration, établir un projet d’état prévisionnel des recettes et des dépenses de l’Agence et exécuter le budget.
(46)
Le directeur exécutif devrait avoir la possibilité de créer des groupes de travail ad hoc pour traiter des questions spécifiques, en particulier de nature scientifique, technique, juridique ou socio-économique. Lors de la création de groupes de travail ad hoc, le directeur exécutif devrait recueillir et prendre en compte les avis des experts externes concernés nécessaires pour permettre à l’Agence d’avoir accès aux informations disponibles les plus récentes concernant les défis que pose, en matière de sécurité, l’évolution de la société de l’information. Le directeur exécutif devrait veiller à ce que les membres des groupes de travail ad hoc soient sélectionnés selon les critères de compétence les plus élevés, compte dûment tenu de la nécessité d’assurer une représentation équilibrée, en fonction des questions spécifiques concernées, des administrations publiques des États membres, des institutions de l’Union et du secteur privé, y compris des entreprises, des utilisateurs et des experts universitaires en matière de sécurité des réseaux et de l’information. Le directeur exécutif devrait pouvoir, le cas échéant, inviter à titre individuel des experts dont les compétences dans le domaine concerné sont reconnues à participer aux activités des groupes de travail au cas par cas. Leurs dépenses devraient être couvertes par l’Agence conformément à ses règles internes de fonctionnement et aux règles adoptées au titre du règlement financier.
(47)
L’Agence devrait disposer, à titre d’organe consultatif, d’un groupe permanent des parties prenantes pour maintenir un dialogue régulier avec le secteur privé, les organisations de consommateurs et les autres parties prenantes concernées. Le groupe permanent des parties prenantes, institué par le conseil d’administration sur proposition du directeur exécutif, devrait s’attacher à examiner des questions pertinentes pour les parties prenantes et à les porter à l’attention de l’Agence. Le directeur exécutif devrait pouvoir, le cas échéant et en fonction de l’ordre du jour des réunions, inviter des représentants du Parlement européen et d’autres organismes intéressés à participer aux réunions du groupe.
(48)
Étant donné qu’il est prévu que les parties prenantes sont amplement représentées au sein du groupe permanent des parties prenantes, et que ce groupe doit être consulté, en particulier, en ce qui concerne le projet de programme de travail, il n’est plus nécessaire de prévoir que les parties prenantes sont représentées au sein du conseil d’administration.
(49)
L’Agence devrait appliquer les dispositions pertinentes du droit de l’Union en ce qui concerne l’accès du public aux documents prévu par le règlement (CE) no 1049/2001 du Parlement européen et du Conseil (14). Les informations traitées par l’Agence pour des motifs liés à son fonctionnement interne, ainsi que les informations traitées par celle-ci dans l’exercice de ses tâches, devraient être soumises au règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (15).
(50)
L’Agence devrait respecter les dispositions applicables aux institutions de l’Union et la législation nationale concernant le traitement des documents sensibles.
(51)
Pour garantir l’autonomie et l’indépendance complètes de l’Agence et lui permettre d’effectuer des tâches nouvelles et supplémentaires, y compris des tâches urgentes imprévues, il conviendrait de la doter d’un budget suffisant et autonome dont l’essentiel des recettes provient d’une contribution de l’Union et de contributions des pays tiers participant aux travaux de l’Agence. La plus grande partie des effectifs de l’Agence devrait se consacrer directement à la mise en œuvre opérationnelle du mandat de l’Agence. L’État membre d’accueil, ou tout autre État membre, devrait être autorisé à apporter des contributions volontaires aux recettes de l’Agence. La procédure budgétaire de l’Union devrait rester applicable en ce qui concerne toute subvention imputable sur le budget général de l’Union européenne. En outre, la Cour des comptes devrait contrôler les comptes de l’Agence afin de garantir la transparence et la responsabilité.
(52)
Vu l’évolution constante de la nature de la menace et l’évolution de la politique de l’Union en matière de sécurité des réseaux et de l’information, et dans un souci d’alignement sur le cadre financier pluriannuel, il convient de fixer la durée du mandat de l’Agence à une période limitée de sept ans, avec possibilité de prolongation.
(53)
Le fonctionnement de l’Agence devrait faire l’objet d’une évaluation indépendante. Cette évaluation devrait tenir compte de l’efficacité de l’Agence dans la réalisation de ses objectifs, de ses méthodes de travail et de la pertinence de ses tâches, afin de déterminer si les objectifs de l’Agence sont toujours valables ou pas et, de ce fait, si la durée de son mandat doit être prolongée, et sur quelle période.
(54)
Si, vers la fin de la durée du mandat de l’Agence, la Commission n’a pas présenté de proposition pour la prolongation du mandat, l’Agence et la Commission devraient prendre les mesures nécessaires, concernant en particulier les questions relatives aux contrats avec le personnel et aux arrangements budgétaires.
(55)
Étant donné que l’objectif du présent règlement, à savoir instituer une Agence de l’Union européenne pour la sécurité des réseaux et de l’information en vue de contribuer à un niveau élevé de sécurité des réseaux et de l’information dans l’Union, et en vue de sensibiliser la société et de favoriser l’émergence et promouvoir, dans la société, une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, contribuant ainsi à l’établissement et au bon fonctionnement du marché intérieur, ne peut pas être atteint de manière suffisante par les États membres et peut donc être mieux atteint au niveau de l’Union, celle-ci peut prendre des mesures conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité énoncé au même article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre cet objectif.
(56)
Le règlement (CE) no 460/2004 devrait être abrogé.
(57)
Le Contrôleur européen de la protection des données a été consulté conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001 et a adopté son avis le 20 décembre 2010 (16),
ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:
SECTION 1
CHAMP D’APPLICATION, OBJECTIFS ET TÂCHES
Article premier
Objet et champ d’application
1. Le présent règlement institue une Agence de l’Union européenne chargée de la sécurité des réseaux et de l’information (ENISA, ci-après dénommée «Agence») afin d’exécuter les tâches qui lui sont assignées en vue de contribuer à un niveau élevé de sécurité des réseaux et de l’information au sein de l’Union et en vue de sensibiliser la société à la sécurité des réseaux et de l’information et de favoriser l’émergence et promouvoir une culture de la sécurité des réseaux et de l’information, dans l’intérêt des citoyens, des consommateurs, des entreprises et des organismes du secteur public de l’Union, contribuant ainsi à l’établissement et au bon fonctionnement du marché intérieur.
2. Les objectifs et les tâches de l’Agence s’entendent sans préjudice des compétences des États membres en ce qui concerne la sécurité des réseaux et de l’information et, en tout état de cause, des activités relatives à la sécurité publique, à la défense, à la sûreté de l’État (y compris à la prospérité économique de l’État lorsqu’il s’agit de questions touchant à la sûreté de l’État) et des activités de l’État dans les domaines du droit pénal.
3. Aux fins du présent règlement, on entend par «sécurité des réseaux et de l’information» la capacité d’un réseau ou d’un système d’information de résister, à un niveau de confiance donné, à des événements accidentels ou à des actions illégales ou malveillantes qui compromettent la disponibilité, l’authenticité, l’intégrité et la confidentialité des données stockées ou transmises et des services connexes que ces réseaux et systèmes offrent ou qu’ils rendent accessibles.
Article 2
Objectifs
1. L’Agence acquiert et conserve un niveau élevé de compétences spécialisées.
2. L’Agence assiste les institutions, organes et organismes de l’Union dans l’élaboration des politiques de sécurité des réseaux et de l’information.
3. L’Agence assiste les institutions, organes et organismes de l’Union et les États membres dans la mise en œuvre des politiques nécessaires pour satisfaire aux exigences légales et réglementaires requises au titre des actes juridiques existants et à venir de l’Union en matière de sécurité des réseaux et de l’information, contribuant ainsi au bon fonctionnement du marché intérieur.
4. L’Agence aide l’Union et les États membres à améliorer et à renforcer leurs moyens et leur préparation pour prévenir les problèmes et incidents de sécurité des réseaux et de l’information, les détecter et y faire face.
5. L’Agence met à profit ses compétences spécialisées pour encourager une large coopération entre les acteurs des secteurs public et privé.
Article 3
Tâches
1. Aux fins exposées à l’article 1er et pour atteindre les objectifs énoncés à l’article 2, dans le respect de l’article 1er, paragraphe 2, l’Agence accomplit les tâches suivantes:
a)
soutenir l’élaboration de la politique et du droit de l’Union, en:
i)
apportant son concours et ses conseils sur toutes les questions relatives à la politique et au droit de l’Union en matière de sécurité des réseaux et de l’information;
ii)
fournissant des travaux préparatoires, des conseils et des analyses concernant l’élaboration et l’actualisation de la politique et du droit de l’Union en matière de sécurité des réseaux et de l’information;
iii)
analysant les stratégies en matière de sécurité des réseaux et de l’information accessibles au public et en favorisant leur publication;
b)
aider au renforcement des capacités en:
i)
soutenant les États membres, à leur demande, dans leurs efforts pour développer et améliorer la prévention, la détection et l’analyse des problèmes et incidents de sécurité des réseaux et de l’information et la capacité d’y faire face, et en leur fournissant les connaissances nécessaires;
ii)
promouvant et facilitant la coopération volontaire au sein des États membres, et entre les institutions, organes et organismes de l’Union et les États membres, dans leurs efforts pour prévenir et détecter les problèmes et les incidents de sécurité des réseaux et de l’information, et y faire face, lorsqu’ils ont une incidence transfrontière;
iii)
assistant les institutions, organes et organismes de l’Union dans leurs efforts pour développer la prévention, la détection et l’analyse des problèmes et incidents de sécurité des réseaux et de l’information et la capacité d’y faire face, en particulier en soutenant le fonctionnement d’une équipe d’intervention en cas d’urgence informatique (CERT) à leur intention;
iv)
soutenant le relèvement du niveau des capacités des CERT nationales, gouvernementales et de l’Union, y compris en favorisant le dialogue et l’échange d’informations, pour faire en sorte que, en ce qui concerne l’état de la technologie, chaque CERT satisfasse à un socle commun de capacités minimales et fonctionne selon les meilleures pratiques;
v)
soutenant l’organisation et la réalisation d’exercices de l’Union portant sur la sécurité des réseaux et de l’information et, à leur demande, en conseillant les États membres en ce qui concerne les exercices nationaux;
vi)
assistant les institutions, organes et organismes de l’Union et les États membres dans leurs efforts de collecte, d’analyse et, dans le respect des exigences des États membres en matière de sécurité, de diffusion des données sur la sécurité des réseaux et de l’information; et sur la base des informations fournies par les institutions, organes et organismes de l’Union et les États membres conformément aux dispositions du droit de l’Union et aux dispositions nationales arrêtées dans le respect du droit de l’Union, en tenant les institutions, organes et organismes de l’Union ainsi que les États membres informés du dernier état de la sécurité des réseaux et de l’information dans l’Union dans leur intérêt;
vii)
aidant à la mise en place d’un mécanisme d’alerte rapide de l’Union qui soit complémentaire aux mécanismes des États membres;
viii)
offrant une formation à la sécurité des réseaux et de l’information aux organismes publics compétents, le cas échéant en coopération avec les parties prenantes;
c)
soutenir la coopération volontaire parmi les organismes publics compétents, et entre les parties prenantes, y compris les universités et les centres de recherche dans l’Union, ainsi que la sensibilisation, entre autres en:
i)
favorisant la coopération entre les CERT nationales et gouvernementales ou les équipes de réaction aux incidents touchant la sécurité informatique (CSIRT), y compris la CERT pour les institutions, organes et organismes de l’Union;
ii)
favorisant le développement et le partage des meilleures pratiques en vue d’atteindre un niveau avancé de sécurité des réseaux et de l’information;
iii)
facilitant le dialogue et les efforts visant à développer et échanger les meilleures pratiques;
iv)
favorisant les meilleures pratiques en matière de partage de l’information et de sensibilisation;
v)
soutenant les institutions, organes et organismes de l’Union et, à leur demande, les États membres et leurs organismes concernés dans l’organisation d’activités de sensibilisation, y compris au niveau des utilisateurs individuels, et d’autres actions d’information pour accroître la sécurité des réseaux et de l’information et sa visibilité en définissant les meilleures pratiques et des lignes directrices;
d)
soutenir la recherche et le développement, et la normalisation, en:
i)
facilitant l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité des produits, réseaux et services électroniques;
ii)
conseillant l’Union et les États membres sur les besoins en matière de recherche dans le domaine de la sécurité des réseaux et de l’information, en vue de pouvoir faire face efficacement aux risques et aux menaces actuels et émergents dans ce domaine, y compris en ce qui concerne les technologies de l’information et de la communication nouvelles et émergentes, et d’utiliser d’une manière efficace les technologies de prévention des risques;
e)
coopérer avec les institutions, organes et organismes de l’Union, y compris ceux qui traitent de la cybercriminalité et de la protection de la vie privée et des données à caractère personnel, pour aborder des questions d’intérêt commun, y compris en:
i)
échangeant savoir-faire et meilleures pratiques;
ii)
fournissant des conseils sur des aspects pertinents liés à la sécurité des réseaux et de l’information de manière à développer des synergies;
f)
contribuer aux efforts de l’Union pour coopérer avec les pays tiers et les organisations internationales, afin de promouvoir une coopération internationale sur les problèmes de sécurité des réseaux et de l’information, y compris en:
i)
s’impliquant en tant qu’observateur, le cas échéant, et en participant à l’organisation d’exercices internationaux, ainsi qu’en analysant et en rendant compte des résultats de ces exercices;
ii)
facilitant l’échange des meilleures pratiques des organisations concernées;
iii)
mettant des compétences spécialisées à la disposition des institutions de l’Union.
2. Les institutions, organes et organismes de l’Union et les organismes des États membres peuvent demander conseil à l’Agence en cas d’atteinte à la sécurité ou de perte d’intégrité ayant un impact significatif sur le fonctionnement des réseaux et des services.
3. L’Agence exécute les tâches qui lui sont assignées par des actes juridiques de l’Union.
4. L’Agence formule de manière indépendante ses propres conclusions, orientations et conseils sur des questions entrant dans le cadre du champ d’application et des objectifs du présent règlement.
SECTION 2
ORGANISATION
Article 4
Composition de l’Agence
1. L’Agence comprend:
a)
un conseil d’administration;
b)
un directeur exécutif et du personnel; et
c)
un groupe permanent des parties prenantes.
2. Pour contribuer au renforcement de l’efficacité et du rapport coût-efficacité du fonctionnement de l’Agence, le conseil d’administration institue un conseil exécutif.
Article 5
Conseil d’administration
1. Le conseil d’administration fixe l’orientation générale du fonctionnement de l’Agence et veille à ce que l’Agence travaille conformément aux règles et principes énoncés dans le présent règlement. Il assure aussi la cohérence des travaux de l’Agence avec les activités menées par les États membres ainsi qu’au niveau de l’Union.
2. Le conseil d’administration adopte le programme de travail annuel et le programme de travail pluriannuel de l’Agence.
3. Le conseil d’administration adopte un rapport annuel sur les activités de l’Agence et l’envoie, le 1er juillet au plus tard de l’année suivante, au Parlement européen, au Conseil, à la Commission et à la Cour des comptes. Le rapport annuel inclut les comptes et décrit la manière dont l’Agence atteint ses indicateurs de performance. Le rapport annuel est rendu public.
4. Le conseil d’administration adopte une stratégie antifraude qui est proportionnée aux risques de fraude compte tenu de l’analyse coût-bénéfice des mesures à mettre en œuvre.
5. Le conseil d’administration assure le suivi approprié des conclusions et des recommandations découlant des enquêtes de l’Office européen de lutte antifraude (OLAF) et des divers rapports d’audit interne ou externe et des évaluations.
6. Le conseil d’administration adopte des règles en matière de prévention et de gestion des conflits d’intérêts.
7. Le conseil d’administration exerce, à l’égard du personnel de l’Agence, les pouvoirs qui sont dévolus par le statut des fonctionnaires de l’Union européenne et le régime applicable aux autres agents de l’Union européenne (ci-après dénommés «statut» et «régime applicable aux autres agents»), fixés par le règlement (CEE, Euratom CECA) no 259/68 (17) à l’autorité investie du pouvoir de nomination et à l’autorité habilitée à conclure les contrats d’engagement, respectivement.
Le conseil d’administration adopte, conformément à la procédure prévue à l’article 110 du statut, une décision fondée sur l’article 2, paragraphe 1, du statut et sur l’article 6 du régime applicable aux autres agents, déléguant au directeur exécutif les pouvoirs correspondants dévolus à l’autorité investie du pouvoir de nomination. Le directeur exécutif peut sous-déléguer ces pouvoirs.
Lorsque des circonstances exceptionnelles l’exigent, le conseil d’administration peut révoquer la délégation des pouvoirs de l’autorité investie du pouvoir de nomination au directeur exécutif ainsi que de ceux sous-délégués par le directeur exécutif. Dans ce cas, le conseil d’administration peut les déléguer, pour une période limitée, à un de ses membres ou à un membre du personnel autre que le directeur exécutif.
8. Le conseil d’administration arrête les modalités d’application nécessaires du statut et du régime applicable aux autres agents conformément à la procédure prévue à l’article 110 du statut.
9. Le conseil d’administration nomme le directeur exécutif et peut prolonger son mandat ou le démettre de ses fonctions conformément à l’article 24 du présent règlement.
10. Le conseil d’administration adopte le règlement intérieur applicable à lui-même et au conseil exécutif après avoir consulté la Commission. Le règlement intérieur prévoit une prise de décision rapide par procédure écrite ou par conférence à distance.
11. Le conseil d’administration adopte les règles internes de fonctionnement de l’Agence après avoir consulté les services de la Commission. Ces règles sont rendues publiques.
12. Le conseil d’administration adopte les règles financières applicables à l’Agence. Elles ne peuvent s’écarter du règlement (CE, Euratom) no 2343/2002 de la Commission du 19 novembre 2002 portant règlement financier-cadre des organismes visés à l’article 185 du règlement (CE, Euratom) no 1605/2002 du Conseil portant règlement financier applicable au budget général des Communautés européennes (18) que si les exigences spécifiques du fonctionnement de l’Agence le nécessitent et si la Commission a préalablement donné son accord.
13. Le conseil d’administration adopte un plan pluriannuel en matière de politique du personnel après avoir consulté les services de la Commission et dûment informé le Parlement européen et le Conseil.
Article 6
Composition du conseil d’administration
1. Le conseil d’administration est composé d’un représentant de chaque État membre, et de deux représentants nommés par la Commission. Tous les représentants disposent du droit de vote.
2. Chaque membre du conseil d’administration dispose d’un suppléant, qui le représente en cas d’absence.
3. Les membres du conseil d’administration et leurs suppléants sont nommés sur la base de leur connaissance des tâches et des objectifs de l’Agence, en tenant compte des compétences nécessaires en matière de gestion et d’administration ainsi qu’en matière budgétaire pour s’acquitter des tâches énumérées à l’article 5. La Commission et les États membres devraient consentir des efforts pour limiter le roulement de leurs représentants au sein du conseil d’administration, afin de garantir la continuité des travaux de celui-ci. La Commission et les États membres visent à atteindre une représentation équilibrée entre hommes et femmes au sein du conseil d’administration.
4. Le mandat des membres du conseil d’administration et de leurs suppléants a une durée de quatre ans. Ce mandat est renouvelable.
Article 7
Présidence du conseil d’administration
1. Le conseil d’administration élit son président et un vice-président parmi ses membres, pour une durée de trois ans renouvelable. Le vice-président remplace d’office le président lorsque celui-ci n’est pas en mesure d’assumer ses fonctions.
2. Le président peut être invité à faire une déclaration devant la ou les commissions concernées du Parlement européen et à répondre aux questions des députés.
Article 8
Réunions
1. Les réunions du conseil d’administration sont convoquées par son président.
2. Le conseil d’administration tient une réunion ordinaire au moins une fois par an. Il tient aussi des réunions extraordinaires à l’initiative du président ou à la demande d’au moins un tiers de ses membres.
3. Le directeur exécutif participe sans droit de vote aux réunions du conseil d’administration.
Article 9
Vote
1. Les décisions du conseil d’administration sont prises à la majorité absolue de ses membres.
2. Une majorité des deux tiers de tous les membres du conseil d’administration est nécessaire pour adopter le règlement intérieur du conseil d’administration, les règles internes de fonctionnement de l’Agence, le budget et le programme de travail annuel et pluriannuel, pour nommer le directeur exécutif, prolonger son mandat ou le révoquer, ainsi que pour nommer le président du conseil d’administration.
Article 10
Conseil exécutif
1. Le conseil d’administration est assisté d’un conseil exécutif.
2. Le conseil exécutif prépare les décisions à adopter par le conseil d’administration dans les matières administratives et budgétaires uniquement.
Avec le conseil d’administration, il assure le suivi approprié des conclusions et des recommandations découlant des enquêtes de l’OLAF ainsi que des divers rapports d’audit interne ou externe et des évaluations.
Sans préjudice des responsabilités du directeur exécutif définies à l’article 11, le conseil exécutif assiste et conseille celui-ci dans la mise en œuvre des décisions du conseil d’administration relatives à des questions administratives et budgétaires.
3. Le conseil exécutif est composé de cinq membres nommés parmi les membres du conseil d’administration, dont le président du conseil d’administration, qui peut également présider le conseil exécutif, et d’un des représentants de la Commission.
4. Le mandat des membres du conseil exécutif coïncide avec celui des membres du conseil d’administration énoncé à l’article 6, paragraphe 4.
5. Le conseil exécutif se réunit au moins une fois par trimestre. Le président du conseil exécutif convoque des réunions supplémentaires à la demande de ses membres.
Article 11
Tâches du directeur exécutif
1. L’Agence est gérée par son directeur exécutif, qui est indépendant dans l’exercice de ses fonctions.
2. Le directeur exécutif est chargé:
a)
d’assurer l’administration courante de l’Agence;
b)
de mettre en œuvre les décisions adoptées par le conseil d’administration;
c)
après avoir consulté le conseil d’administration, de préparer le programme de travail annuel et le programme de travail pluriannuel et de les soumettre au conseil d’administration après consultation de la Commission;
d)
de mettre en œuvre le programme de travail annuel et le programme de travail pluriannuel et de faire rapport au conseil d’administration sur ceux-ci;
e)
de préparer le rapport annuel sur les activités de l’Agence et de le présenter au conseil d’administration pour approbation;
f)
de préparer un plan d’action faisant suite aux conclusions des évaluations rétrospectives et de faire rapport tous les deux ans à la Commission sur les progrès accomplis;
g)
de protéger les intérêts financiers de l’Union par l’application de mesures préventives contre la fraude, la corruption et d’autres activités illégales, par des contrôles efficaces et, si des irrégularités sont constatées, par le recouvrement des montants indûment payés et, le cas échéant, par des sanctions administratives et financières efficaces, proportionnées et dissuasives;
h)
de préparer une stratégie antifraude pour l’Agence et de la présenter au conseil d’administration pour approbation;
i)
de veiller à ce que l’Agence exerce ses activités conformément aux exigences de ceux qui font appel à ses services, notamment en termes d’adéquation des services rendus;
j)
d’établir et de maintenir le contact avec les institutions, organes et organismes de l’Union;
k)
d’établir et de maintenir le contact avec le secteur des entreprises et les organisations de consommateurs afin d’assurer un dialogue régulier avec les parties prenantes concernées;
l)
des autres tâches qui lui sont confiées par le présent règlement.
3. En tant que de besoin et dans le cadre des objectifs et des tâches de l’Agence, le directeur exécutif peut créer des groupes de travail ad hoc composés d’experts, y compris des experts des autorités compétentes des États membres. Le conseil d’administration en est préalablement informé. Les modalités concernant en particulier la composition des groupes de travail ad hoc, la nomination des experts par le directeur exécutif et le fonctionnement de ces groupes sont précisées dans les règles internes de fonctionnement de l’Agence.
4. Le directeur exécutif met du personnel administratif d’appui et d’autres ressources à la disposition du conseil d’administration et du conseil exécutif chaque fois que c’est nécessaire.
Article 12
Groupe permanent des parties prenantes
1. Le conseil d’administration crée, sur proposition du directeur exécutif, un groupe permanent des parties prenantes composé d’experts reconnus représentant les parties prenantes concernées, comme les entreprises du secteur des TIC, les fournisseurs de réseaux de communications électroniques ou de services accessibles au public, les organisations de consommateurs, les experts universitaires en matière de sécurité des réseaux et de l’information et les représentants des autorités réglementaires nationales notifiées au titre de la directive 2002/21/CE ainsi que les autorités chargées du respect de la loi et de la vie privée.
2. Les modalités relatives notamment au nombre de membres, à la composition du groupe permanent des parties prenantes, à la nomination des membres par le conseil d’administration, à la proposition du directeur exécutif et au fonctionnement du groupe sont précisées dans les règles internes de fonctionnement de l’Agence et sont rendues publiques.
3. Le groupe permanent des parties prenantes est présidé par le directeur exécutif ou par toute personne qu’il désigne à cet effet cas par cas.
4. La durée du mandat des membres du groupe permanent des parties prenantes est de deux ans et demi. Les membres du conseil d’administration ne peuvent pas être membres du groupe permanent des parties prenantes. Des experts de la Commission et des États membres sont autorisés à être présents aux réunions et à participer aux travaux du groupe permanent des parties prenantes. Des représentants d’autres organismes dont la présence est jugée utile par le directeur exécutif, qui ne sont pas membres du groupe permanent des parties prenantes, peuvent être invités à assister aux réunions du groupe permanent des parties prenantes et à prendre part à ses travaux.
5. Le groupe permanent des parties prenantes conseille l’Agence dans l’exercice de ses activités. Il conseille en particulier le directeur exécutif lors de l’élaboration d’une proposition de programme de travail pour l’Agence ainsi que pour la communication avec les parties prenantes concernées sur toutes les questions liées au programme de travail.
SECTION 3
FONCTIONNEMENT
Article 13
Programme de travail
1. L’Agence exécute ses tâches conformément au programme de travail annuel et pluriannuel qui contient l’ensemble de ses activités planifiées.
2. Le programme de travail comporte des indicateurs de performance adaptés qui permettent une évaluation efficace des résultats obtenus par rapport aux objectifs.
3. Le directeur exécutif est chargé d’établir le projet de programme de travail de l’Agence après consultation préalable des services de la Commission. Au plus tard le 15 mars de chaque année, le directeur exécutif soumet au conseil d’administration le projet de programme de travail pour l’année suivante.
4. Au plus tard le 30 novembre de chaque année, le conseil d’administration adopte le programme de travail de l’Agence pour l’année suivante, après avoir reçu l’avis de la Commission. Le programme de travail comprend un aperçu pluriannuel. Le conseil d’administration veille à assurer la cohérence du programme de travail avec les objectifs de l’Agence ainsi qu’avec les priorités législatives et politiques de l’Union en matière de sécurité des réseaux et de l’information.
5. Le programme de travail est structuré selon le principe de la gestion par activités. Il est conforme à l’état prévisionnel des recettes et des dépenses de l’Agence et au budget de l’Agence pour l’exercice correspondant.
6. Le directeur exécutif transmet le programme de travail, après adoption par le conseil d’administration, au Parlement européen, au Conseil, à la Commission et aux États membres et en assure la publication. À l’invitation de la commission compétente du Parlement européen, le directeur exécutif présente le programme de travail annuel adopté et procède à un échange de vues sur celui-ci.
Article 14
Demandes adressées à l’Agence
1. Les demandes de conseils et d’assistance qui entrent dans le cadre des objectifs et des tâches de l’Agence sont adressées au directeur exécutif et accompagnées d’informations générales expliquant la question devant être traitée. Le directeur exécutif informe le conseil d’administration et le conseil exécutif des demandes reçues, des incidences qui peuvent en découler sur le plan des ressources et, en temps utile, de la suite qui leur a été donnée. Si l’Agence rejette une demande, elle doit motiver son refus.
2. Les demandes visées au paragraphe 1 peuvent être introduites par:
a)
le Parlement européen;
b)
le Conseil;
c)
la Commission;
d)
tout organisme compétent désigné par un État membre, tel qu’une autorité réglementaire nationale au sens de l’article 2 de la directive 2002/21/CE.
3. Les modalités pratiques d’application des paragraphes 1 et 2 en ce qui concerne notamment la présentation, la hiérarchisation et le suivi des demandes adressées à l’Agence ainsi que l’information du conseil d’administration et du conseil exécutif au sujet de ces demandes sont prévues par le conseil d’administration dans les règles internes de fonctionnement de l’Agence.
Article 15
Déclaration d’intérêt
1. Les membres du conseil d’administration, le directeur exécutif et les fonctionnaires détachés par les États membres à titre temporaire font chacun une déclaration d’engagements et une déclaration indiquant l’absence ou la présence de tout intérêt direct ou indirect qui pourrait être considéré comme préjudiciable à leur indépendance. Les déclarations sont exactes et complètes, faites par écrit sur une base annuelle et actualisées si nécessaire.
2. Les membres du conseil d’administration, le directeur exécutif et les experts externes participant aux groupes de travail ad hoc déclarent chacun de manière exacte et complète, au plus tard au début de chaque réunion, les intérêts qui pourraient être considérés comme préjudiciables à leur indépendance eu égard aux points inscrits à l’ordre du jour, et s’abstiennent de prendre part aux discussions et de voter sur ces points.
3. L’Agence fixe, dans ses règles internes de fonctionnement, les modalités pratiques concernant les règles relatives aux déclarations d’intérêt visées aux paragraphes 1 et 2.
Article 16
Transparence
1. L’Agence veille à exercer ses activités avec un niveau élevé de transparence et conformément aux dispositions des articles 17 et 18.
2. L’Agence veille à ce que le public et toute partie intéressée reçoivent une information appropriée, objective, fiable et facilement accessible, notamment en ce qui concerne le résultat de ses travaux. Elle rend également publiques les déclarations d’intérêt faites conformément à l’article 15.
3. Le conseil d’administration peut, sur proposition du directeur exécutif, autoriser des parties intéressées à participer en tant qu’observateurs à certaines activités de l’Agence.
4. L’Agence fixe, dans ses règles internes de fonctionnement, les modalités pratiques d’application des règles de transparence visées aux paragraphes 1 et 2.
Article 17
Confidentialité
1. Sans préjudice de l’article 18, l’Agence ne divulgue pas à des tiers les informations qu’elle traite ou qu’elle reçoit et pour lesquelles une demande motivée de traitement confidentiel, en tout ou en partie, a été faite.
2. Les membres du conseil d’administration, le directeur exécutif, les membres du groupe permanent des parties prenantes, les experts externes participant aux groupes de travail ad hoc et les membres du personnel de l’Agence, y compris les fonctionnaires détachés par les États membres à titre temporaire, respectent l’obligation de confidentialité visée à l’article 339 du traité sur le fonctionnement de l’Union européenne, même après la cessation de leurs fonctions.
3. L’Agence fixe, dans ses règles internes de fonctionnement, les modalités pratiques d’application des règles de confidentialité visées aux paragraphes 1 et 2.
4. Si l’exécution des tâches de l’Agence l’exige, le conseil d’administration décide d’autoriser l’Agence à traiter des informations classifiées. Dans ce cas, le conseil d’administration, en accord avec les services de la Commission, adopte des règles internes de fonctionnement respectant les principes de sécurité énoncés dans la décision 2001/844/CE, CECA, Euratom de la Commission du 29 novembre 2001 modifiant son règlement intérieur (19). Ces règles couvrent, entre autres, les dispositions relatives à l’échange, au traitement et à l’archivage des informations classifiées.
Article 18
Accès aux documents
1. Le règlement (CE) no 1049/2001 s’applique aux documents détenus par l’Agence.
2. Le conseil d’administration adopte des dispositions pour la mise en œuvre du règlement (CE) no 1049/2001 dans les six mois suivant la création de l’Agence.
3. Les décisions prises par l’Agence en application de l’article 8 du règlement (CE) no 1049/2001 peuvent faire l’objet d’une plainte auprès du Médiateur au titre de l’article 228 du traité sur le fonctionnement de l’Union européenne ou d’un recours devant la Cour de justice de l’Union européenne au titre de l’article 263 du traité sur le fonctionnement de l’Union européenne.
SECTION 4
DISPOSITIONS FINANCIÈRES
Article 19
Adoption du budget
1. Les recettes de l’Agence se composent d’une contribution provenant du budget de l’Union, de contributions apportées par les pays tiers participant aux travaux de l’Agence conformément à l’article 30, et de contributions volontaires des États membres, en espèces ou en nature. Les États membres qui apportent une contribution volontaire ne peuvent prétendre à aucun droit ou service spécifique du fait de celle-ci.
2. Les dépenses de l’Agence comprennent la rémunération du personnel, l’assistance administrative et technique, les dépenses d’infrastructure et de fonctionnement et les dépenses résultant de contrats passés avec des tiers.
3. Au plus tard le 1er mars de chaque année, le directeur exécutif établit un projet d’état prévisionnel des recettes et des dépenses de l’Agence pour l’exercice budgétaire suivant et le transmet au conseil d’administration avec un projet de tableau des effectifs.
4. Les recettes et les dépenses sont équilibrées.
5. Le conseil d’administration établit chaque année, sur la base du projet d’état prévisionnel des recettes et des dépenses élaboré par le directeur exécutif, un état prévisionnel des recettes et des dépenses de l’Agence pour l’exercice budgétaire suivant.
6. Le conseil d’administration transmet, au plus tard le 31 mars de chaque année, cet état prévisionnel comprenant le projet de tableau des effectifs ainsi que le projet de programme de travail, à la Commission et aux pays tiers avec lesquels l’Union européenne a conclu des accords conformément à l’article 30.
7. L’état prévisionnel est transmis par la Commission au Parlement européen et au Conseil, avec le projet de budget général de l’Union.
8. Sur la base de cet état prévisionnel, la Commission inscrit dans le projet de budget général de l’Union les prévisions qu’elle estime nécessaires en ce qui concerne le tableau des effectifs et le montant de la subvention à la charge du budget général et le soumet au Parlement européen et au Conseil conformément à l’article 314 du traité sur le fonctionnement de l’Union européenne.
9. Le Parlement européen et le Conseil autorisent les crédits au titre de la subvention destinée à l’Agence.
10. Le Parlement européen et le Conseil adoptent le tableau des effectifs de l’Agence.
11. Le conseil d’administration adopte le budget de l’Agence en même temps que le programme de travail. Ce budget devient définitif après l’adoption définitive du budget général de l’Union. Le cas échéant, le conseil d’administration ajuste le budget de l’Agence et le programme de travail conformément au budget général de l’Union. Le conseil d’administration transmet le budget sans tarder au Parlement européen, au Conseil et à la Commission.
Article 20
Lutte contre la fraude
1. Afin de faciliter la lutte contre la fraude, la corruption et d’autres activités illégales au titre du règlement (CE) no 1073/1999 (20), l’Agence, dans un délai de six mois à compter de son entrée en fonction, adhère à l’accord interinstitutionnel du 25 mai 1999 relatif aux enquêtes internes effectuées par l’Office européen de lutte antifraude (OLAF) (21) et adopte les dispositions appropriées applicables à tout le personnel de l’Agence, en utilisant le modèle figurant à l’annexe dudit accord.
2. La Cour des comptes dispose d’un pouvoir d’audit, sur pièces et sur place, à l’égard de tous les bénéficiaires de subventions, contractants et sous-traitants qui ont reçu des fonds de l’Union en provenance de l’Agence.
3. L’OLAF peut effectuer des enquêtes, y compris des contrôles et vérifications sur place, selon les dispositions et modalités prévues par le règlement (CE) no 1073/1999 et le règlement (Euratom, CE) no 2185/96 du Conseil du 11 novembre 1996 relatif aux contrôles et vérifications sur place effectués par la Commission pour la protection des intérêts financiers des Communautés européennes contre les fraudes et autres irrégularités (22), en vue d’établir l’existence éventuelle d’une fraude, d’un acte de corruption ou de toute autre activité illégale portant atteinte aux intérêts financiers de l’Union, dans le cadre d’une subvention ou d’un contrat financés par l’Agence.
4. Sans préjudice des paragraphes 1, 2 et 3, les accords de coopération conclus avec des pays tiers et des organisations internationales, les contrats, les conventions de subvention et les décisions de subvention de l’Agence contiennent des dispositions habilitant expressément la Cour des comptes et l’OLAF à procéder à ces audits et ces enquêtes, conformément à leurs compétences respectives.
Article 21
Exécution du budget
1. Le directeur exécutif est responsable de l’exécution du budget de l’Agence.
2. L’auditeur interne de la Commission exerce à l’égard de l’Agence les mêmes compétences que celles qui lui sont attribuées à l’égard des services de la Commission.
3. Au plus tard le 1er mars suivant l’achèvement de l’exercice (1er mars de l’année N + 1), le comptable de l’Agence transmet les comptes provisoires, accompagnés d’un rapport sur la gestion budgétaire et financière durant l’exercice, au comptable de la Commission. Le comptable de la Commission procède à la consolidation des comptes provisoires des institutions et des organismes décentralisés conformément à l’article 147 du règlement financier.
4. Au plus tard le 31 mars de l’année N + 1, le comptable de la Commission transmet les comptes provisoires de l’Agence, accompagnés d’un rapport sur la gestion budgétaire et financière durant l’exercice, à la Cour des comptes. Le rapport sur la gestion budgétaire et financière durant l’exercice est également transmis au Parlement européen et au Conseil.
5. À la réception des observations formulées par la Cour des comptes sur les comptes provisoires de l’Agence, en vertu de l’article 148 du règlement financier, le directeur exécutif établit les comptes définitifs de l’Agence sous sa propre responsabilité et les transmet pour avis au conseil d’administration.
6. Le conseil d’administration émet un avis sur les comptes définitifs de l’Agence.
7. Au plus tard le 1er juillet de l’année N + 1, le directeur exécutif transmet les comptes définitifs, y compris le rapport sur la gestion budgétaire et financière concernant l’exercice et les observations de la Cour des comptes, accompagnés de l’avis du conseil d’administration, au Parlement européen, au Conseil, à la Commission et à la Cour des comptes.
8. Le directeur exécutif publie les comptes définitifs.
9. Le directeur exécutif adresse à la Cour des comptes une réponse aux observations de celle-ci le 30 septembre de l’année N + 1 au plus tard et adresse également une copie de cette réponse au conseil d’administration.
10. Le directeur exécutif soumet au Parlement européen, à la demande de celui-ci, comme prévu à l’article 165, paragraphe 3, du règlement financier, toute information nécessaire au bon déroulement de la procédure de décharge pour l’exercice budgétaire en question.
11. Le Parlement européen, statuant sur recommandation du Conseil, donne avant le 15 mai de l’année N + 2, décharge au directeur exécutif sur l’exécution du budget de l’exercice N.
SECTION 5
PERSONNEL
Article 22
Dispositions générales
Le statut et le régime applicable aux autres agents, ainsi que les réglementations arrêtées d’un commun accord des institutions de l’Union visant à exécuter le statut, s’appliquent au personnel de l’Agence.
Article 23
Privilèges et immunités
Le protocole no 7 sur les privilèges et immunités de l’Union européenne annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne s’applique à l’Agence ainsi qu’à son personnel.
Article 24
Directeur exécutif
1. Le directeur exécutif est engagé en tant qu’agent temporaire de l’Agence conformément à l’article 2, point a), du régime applicable aux autres agents.
2. Le directeur exécutif est nommé par le conseil d’administration sur la base d’une liste de candidats proposés par la Commission, à la suite d’une procédure de sélection ouverte et transparente.
Aux fins de la conclusion du contrat du directeur exécutif, l’Agence est représentée par le président du conseil d’administration.
Avant d’être nommé, le candidat retenu par le conseil d’administration est invité à faire une déclaration devant la commission concernée du Parlement européen et à répondre aux questions des députés.
3. Le mandat du directeur exécutif est de cinq ans. Avant la fin de cette période, la Commission procède à une évaluation qui tient compte de l’évaluation du travail accompli par le directeur exécutif et des tâches et défis futurs de l’Agence.
4. Le conseil d’administration, statuant sur proposition de la Commission tenant compte de l’évaluation visée au paragraphe 3 et après avoir recueilli l’avis du Parlement européen, peut prolonger une fois le mandat du directeur exécutif, pour une durée n’excédant pas cinq ans.
5. Le conseil d’administration informe le Parlement européen de son intention de prolonger le mandat du directeur exécutif. Dans les trois mois précédant cette prolongation, le directeur exécutif fait, s’il y est invité, une déclaration devant la commission concernée du Parlement européen et répond aux questions des députés.
6. Un directeur exécutif dont le mandat a été prolongé ne peut pas participer à une nouvelle procédure de sélection pour le même poste.
7. Le directeur exécutif ne peut être démis de ses fonctions que sur décision du conseil d’administration.
Article 25
Experts nationaux détachés et autre personnel
1. L’Agence peut avoir recours à des experts nationaux détachés ou à d’autres personnes qu’elle n’emploie pas. Le statut et le régime applicable aux autres agents ne s’appliquent pas à ces personnes.
2. Le conseil d’administration adopte une décision établissant le régime applicable aux experts nationaux détachés auprès de l’Agence.
SECTION 6
DISPOSITIONS GÉNÉRALES
Article 26
Statut juridique
1. L’Agence est un organisme de l’Union. Elle a la personnalité juridique.
2. Dans chaque État membre, l’Agence jouit de la capacité juridique la plus étendue accordée aux personnes morales en droit national. Elle peut notamment acquérir et aliéner des biens immobiliers et mobiliers et ester en justice.
3. L’Agence est représentée par son directeur exécutif.
4. Une antenne établie dans la zone métropolitaine d’Athènes est maintenue afin d’améliorer l’efficacité opérationnelle de l’Agence.
Article 27
Responsabilité
1. La responsabilité contractuelle de l’Agence est régie par la législation applicable au contrat en question.
La Cour de justice de l’Union européenne est compétente pour statuer en vertu de toute clause compromissoire contenue dans un contrat conclu par l’Agence.
2. En cas de responsabilité non contractuelle, l’Agence, conformément aux principes généraux communs aux droits des États membres, répare tout dommage causé par ses services ou par ses agents dans l’exercice de leurs fonctions.
La Cour de justice de l’Union européenne est compétente pour tout litige relatif à la réparation de tels dommages.
3. La responsabilité personnelle à l’égard de l’Agence de ses propres agents est régie par les dispositions pertinentes applicables au personnel de l’Agence.
Article 28
Régime linguistique
1. Le règlement no 1 du 15 avril 1958 portant fixation du régime linguistique de la Communauté économique européenne (23) s’applique à l’Agence. Les États membres et les autres organismes désignés par ceux-ci peuvent s’adresser à l’Agence et en recevoir une réponse dans la langue officielle des institutions de l’Union de leur choix.
2. Les services de traduction nécessaires au fonctionnement de l’Agence sont effectués par le Centre de traduction des organes de l’Union européenne.
Article 29
Protection des données à caractère personnel
1. Lorsque l’Agence traite des données relatives aux individus, notamment lors de l’exécution de ses tâches, elle respecte les principes de la protection des données à caractère personnel figurant dans les dispositions du règlement (CE) no 45/2001 et y est soumise.
2. Le conseil d’administration adopte les dispositions d’application visées à l’article 24, paragraphe 8, du règlement (CE) no 45/2001. Le conseil d’administration peut adopter des mesures supplémentaires nécessaires pour l’application du règlement (CE) no 45/2001 par l’Agence.
Article 30
Participation de pays tiers
1. L’Agence est ouverte à la participation de pays tiers qui ont conclu avec l’Union européenne des accords en vertu desquels ils ont adopté et appliquent les actes juridiques de l’Union dans le domaine couvert par le présent règlement.
2. Conformément aux dispositions pertinentes de ces accords, des arrangements sont élaborés pour préciser notamment la nature, l’étendue et les modalités de la participation de ces pays aux travaux de l’Agence. Ces arrangements comprennent notamment des dispositions relatives à la participation aux initiatives prises par l’Agence, aux contributions financières et au personnel.
Article 31
Règles de sécurité en matière de protection des informations classifiées
L’Agence applique les principes de sécurité énoncés dans les règles de sécurité de la Commission visant à protéger les informations classifiées de l’Union européenne et les informations sensibles non classifiées, énoncées dans l’annexe de la décision 2001/844/CE, CECA, Euratom. Ces principes couvrent, entre autres, les dispositions relatives à l’échange, au traitement et au stockage de telles informations.
SECTION 7
DISPOSITIONS FINALES
Article 32
Évaluation et révision
1. Au plus tard le 20 juin 2018, la Commission commande une évaluation portant, en particulier, sur l’impact, l’efficacité et l’efficience de l’action de l’Agence et de ses pratiques professionnelles. Cette évaluation examine également la nécessité éventuelle de modifier le mandat de l’Agence, ainsi que les conséquences financières d’une telle modification.
2. L’évaluation visée au paragraphe 1 tient compte de toute information communiquée en retour à l’Agence en réponse à ses activités.
3. La Commission transmet le rapport d’évaluation, accompagné de ses conclusions, au Parlement européen, au Conseil et au conseil d’administration. Les conclusions de l’évaluation sont rendues publiques.
4. Dans le cadre de l’évaluation, les résultats obtenus par l’Agence par rapport à ses objectifs, son mandat et ses tâches sont également examinés. Si la Commission estime que le maintien de l’Agence est justifié au regard des objectifs, du mandat et des tâches qui lui ont été assignés, elle peut proposer le prolongement de la durée du mandat de l’Agence énoncée à l’article 36.
Article 33
Coopération de l’État membre d’accueil
L’État membre d’accueil de l’Agence offre les meilleures conditions possibles pour assurer le bon fonctionnement de l’Agence, notamment l’accessibilité de l’emplacement, l’existence de services d’éducation appropriés pour les enfants des membres du personnel et un accès adéquat au marché du travail, à la sécurité sociale et aux soins médicaux pour les enfants et les conjoints.
Article 34
Contrôle administratif
Les activités de l’Agence sont soumises au contrôle du Médiateur, conformément à l’article 228 du traité sur le fonctionnement de l’Union européenne.
Article 35
Abrogation et succession
1. Le règlement (CE) no 460/2004 est abrogé.
Les références au règlement (CE) no 460/2004 et à l’ENISA s’entendent comme faites au présent règlement et à l’Agence.
2. L’Agence succède à l’Agence qui a été instituée par le règlement (CE) no 460/2004 en ce qui concerne tous les droits de propriété, accords, obligations légales, contrats de travail, engagements financiers et responsabilités.
Article 36
Durée
L’Agence est instituée pour une période de sept ans à compter du 19 juin 2013.
Article 37
Entrée en vigueur
Le présent règlement entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
Fait à Strasbourg, le 21 mai 2013.