Verordening (EG) nr. 460/2004 van het Europees Parlement en de Raad van 10 maart 2004 tot oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging (Voor de EER relevante tekst)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gelet op het Verdrag tot oprichting van de Europese Gemeenschap, en met name op artikel 95,

Gezien het voorstel van de Commissie,

Gezien het advies van het Europees Economisch en Sociaal Comité⁽¹⁾,

Na raadpleging van het Comité van de Regio's,

Handelend volgens de procedure van artikel 251 van het Verdrag⁽²⁾,

Overwegende hetgeen volgt:

1. Communicatienetwerken en informatiesystemen zijn uitgegroeid tot een essentiële factor in de economische en maatschappelijke ontwikkeling. Computers en netwerken groeien uit tot alomtegenwoordige nutsinstellingen, zoals de elektriciteits- en watervoorziening dat reeds zijn. De beveiliging van communicatienetwerken en informatiesystemen, en in het bijzonder de beschikbaarheid ervan, is daarom van steeds groter belang voor de maatschappij, niet in de laatste plaats vanwege de mogelijkheid dat zich problemen voordoen in essentiële informatiesystemen, ten gevolge van de complexiteit van de systemen, ongevallen, vergissingen en aanslagen, die gevolgen kunnen hebben voor de fysieke infrastructuur die diensten levert welke voor het welzijn van de EU-burgers van cruciaal belang zijn.

2. Het groeiend aantal schendingen van de beveiliging heeft reeds aanzienlijke economische schade aangericht, het vertrouwen van gebruikers ondermijnd en afbreuk gedaan aan de ontwikkeling van e-commerce. Individuele personen, overheidsdiensten en bedrijven hebben hierop gereageerd met beveiligingstechnologieën en procedures voor beveiligingsbeheer. Lidstaten hebben verscheidene ondersteunende maatregelen getroffen, zoals voorlichtingscampagnes en onderzoeksprojecten, teneinde de netwerk- en informatiebeveiliging in de gehele samenleving te verbeteren.

3. De technische complexiteit van de netwerken en informatiesystemen, de verscheidenheid aan onderling verbonden producten en diensten en het enorme aantal particuliere en overheidsinstanties met elk hun eigen verantwoordelijkheid dreigen de goede werking van de interne markt te ondergraven.

4. Richtlijn 2002/21/EG van het Europees Parlement en de Raad van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronische-communicatienetwerken en -diensten („de kaderrichtlijn”)⁽³⁾ bevat een omschrijving van de taken van de nationale regelgevende instanties, met inbegrip van transparante samenwerking, zowel onderling als met de Commissie, teneinde de ontwikkeling van consistente regelgevingspraktijken te waarborgen, en bij te dragen tot de waarborging van een strenge beveiliging van persoonsgegevens en privacy, en van de integriteit en beveiliging van openbare communicatienetwerken.

5. De vigerende communautaire regelgeving omvat Richtlijn 2002/20/EG⁽⁴⁾, Richtlijn 2002/22/EG⁽⁵⁾, Richtlijn 2002/19/EG⁽⁶⁾, Richtlijn 2002/58/EG⁽⁷⁾, Richtlijn 1999/93/EG⁽⁸⁾, Richtlijn 2000/31/EG⁽⁹⁾ en de Resolutie van de Raad van 18 februari 2003 betreffende de uitvoering van het actieplan eEurope 2005⁽¹⁰⁾.

6. Richtlijn 2002/20/EG geeft de lidstaten het recht om aan een algemene machtiging voorwaarden betreffende de beveiliging van openbare netwerken tegen ongeautoriseerde toegang te koppelen op grond van Richtlijn 97/66/EG⁽¹¹⁾.

7. Richtlijn 2002/22/EG schrijft voor dat de lidstaten alle noodzakelijke maatregelen nemen om de integriteit en beschikbaarheid van het openbaar telefoonnetwerk op vaste locaties te waarborgen en dat ondernemingen die openbare telefoondiensten op vaste locaties aanbieden, alle maatregelen nemen die redelijkerwijs van hen verwacht mogen worden om een ononderbroken toegang tot de hulpdiensten te waarborgen.

8. Richtlijn 2002/58/EG schrijft voor dat een leverancier van een openbaar beschikbare elektronische-communicatiedienst gepaste technische en organisatorische maatregelen neemt om de beveiliging van zijn diensten te waarborgen en vereist tevens de vertrouwelijke behandeling van de communicatie en daaraan gerelateerde gegevens. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens⁽¹²⁾ verplicht de lidstaten ervoor te zorgen dat de controlerende instantie passende technische en organisatorische maatregelen treft om persoonsgegevens te beveiligen tegen vernietiging, hetzij per ongeluk, hetzij onrechtmatig, tegen verlies per ongeluk, vervalsing, ongeautoriseerde verspreiding of toegang, met name als de verwerking betrekking heeft op de verzending van gegevens over een netwerk, en tegen enige andere vorm van onwettige verwerking.

9. Richtlijn 2002/21/EG en Richtlijn 1999/93/EG stellen normen die in het Publicatieblad van de Europese Unie moeten worden bekendgemaakt. De lidstaten maken tevens gebruik van normen van internationale instanties, alsmede de facto normen die ontwikkeld zijn door het internationale bedrijfsleven. De Commissie en de lidstaten moeten kunnen volgen welke normen aan de eisen van de communautaire wetgeving voldoen.

10. De internemarktmaatregelen vereisen verschillende vormen van technische en organisatorische toepassing door de lidstaten en de Commissie. Het gaat hier om technisch complexe taken zonder eenduidige, voor de hand liggende oplossingen. De heterogene toepassing van deze eisen kan tot inefficiënte oplossingen leiden en belemmeringen creëren voor de interne markt. Dit vraagt om de oprichting van een expertisecentrum op Europees niveau dat, binnen de grenzen van zijn doelstellingen, leiding, advies en, desgevraagd, vormen van bijstand kan geven waarop het Europees Parlement, de Commissie, of de door de lidstaten aangewezen bevoegde organen kunnen vertrouwen. De krachtens artikel 3 van Richtlijn 2002/21/EG aangewezen nationale regelgevende instanties kunnen door een lidstaat als bevoegd orgaan worden aangewezen.

11. Aan deze behoefte kan worden voldaan door de oprichting van een Europees agentschap, te weten het Europees Agentschap voor netwerk- en informatiebeveiliging, (hierna het Agentschap genoemd), dat als referentiepunt fungeert en vertrouwen geniet dankzij de onafhankelijkheid, de kwaliteit van de verstrekte adviezen en verspreide informatie, de transparantie van de procedures en werkmethoden en de voortvarendheid bij de uitvoering van de aan dit Agentschap toegewezen taken. Het Agentschap dient voort te bouwen op nationale en communautaire inspanningen en derhalve zijn taken uit te voeren in volledige samenwerking met de lidstaten. Het dient open te staan voor contacten met het bedrijfsleven en andere belanghebbenden. Aangezien elektronische netwerken overwegend in particuliere handen zijn, dienen de activiteiten van het Agentschap gebaseerd te zijn op de medewerking van en samenwerking met de particuliere sector.

12. De uitoefening van de taken van het Agentschap laat de bevoegdheden van de volgende instanties onverlet en mag hun bevoegdheden en taken niet uithollen, belemmeren of overlappen:

    • de nationale regelgevende instanties zoals omschreven in de richtlijnen inzake de elektronische-communicatienetwerken en -diensten, de Europese Groep van regelgevende instanties voor elektronische-communicatienetwerken en -diensten (Besluit 2002/627/EG van de Commissie⁽¹³⁾) en het Comité voor communicatie als bedoeld in Richtlijn 2002/21/EG;

    • de Europese normalisatie-instellingen, de nationale normalisatie-instellingen en het Permanent Comité zoals bepaald in Richtlijn 98/34/EG van het Europees Parlement en de Raad van 22 juni 1998 betreffende een informatieprocedure op het gebied van normen en technische voorschriften en regels betreffende de diensten van de informatiemaatschappij⁽¹⁴⁾;

    • de toezichthoudende autoriteiten van de lidstaten inzake de bescherming van personen wat de verwerking van persoonsgegevens en het vrije verkeer van gegevens betreft.

13. Om de uitdagingen op het gebied van netwerk- en informatiebeveiliging beter te begrijpen, moet het Agentschap zowel bestaande als nieuwe risico's analyseren; daartoe kan het Agentschap relevante informatie verzamelen, met name aan de hand van vragenlijsten, maar mag het aan de particuliere sector of aan de lidstaten geen nieuwe verplichtingen inzake het genereren van gegevens opleggen. Onder nieuwe risico's moet worden verstaan, problemen die zich reeds aandienen als mogelijke toekomstige risico's voor netwerk- en informatiebeveiliging.

14. Wil men vertrouwen scheppen in netwerken en informatiesystemen, dan moeten individuele personen, bedrijven en overheidsdiensten voldoende geïnformeerd, geschoold en opgeleid worden op het gebied van beveiliging van netwerken en informatiesystemen. De overheid heeft een taak bij het vergroten van het bewustzijn door het publiek, het midden- en kleinbedrijf, bedrijven, overheden, scholen en universiteiten te informeren. Deze maatregelen dienen verder te worden ontwikkeld. Meer informatie-uitwisseling tussen de lidstaten zou een bijdrage kunnen vormen aan dergelijke bewustmakingscampagnes. Het Agentschap dient advies te verstrekken over beste praktijken inzake bewustmaking, opleiding en cursussen.

15. Het Agentschap heeft tot taak bij te dragen tot een hoog niveau van netwerk- en informatiebeveiliging in de Gemeenschap en de ontwikkeling van een cultuur van netwerk- en informatiebeveiliging ten behoeve van de burgers, consumenten, bedrijven en organisaties uit de publieke sector in de Europese Unie te bevorderen, en aldus bij te dragen tot de goede werking van de interne markt.

16. Efficiënte beveiligingsvoorschriften zijn gebaseerd op goed ontwikkelde methoden voor risicoanalyse, zowel in de openbare als in de particuliere sector. Methoden en procedures voor risicoanalyse worden op verschillende niveaus ingezet zonder dat er een gemeenschappelijke praktijk bestaat voor de efficiënte toepassing ervan. Door goede praktijken voor risicoanalyse en voor interoperabele oplossingen voor risicobeheersing binnen overheids- en particuliere organisaties te stimuleren en te ontwikkelen, kan het beveiligingsniveau van netwerken en informatiesystemen in Europa worden verbeterd.

17. Het Agentschap dient bij zijn werkzaamheden profijt te trekken van de lopende activiteiten op het gebied van onderzoek, ontwikkeling en technologie-evaluatie, met name van de verschillende onderzoeksinitiatieven van de Gemeenschap.

18. Voorzover dat nodig en nuttig is voor de uitvoering van zijn mandaat, doelstellingen en taken, kan het Agentschap ervaringen en algemene informatie uitwisselen met op grond van de EU-wetgeving ingestelde organen en agentschappen die zich met netwerk- en informatiebeveiliging bezighouden.

19. Problemen op het gebied van netwerk- en informatiebeveiliging zijn wereldwijde problemen. Er bestaat een behoefte aan nauwere samenwerking op mondiaal niveau om beveiligingsnormen en de informatievoorziening te verbeteren en een gemeenschappelijke algemene aanpak van netwerk- en informatiebeveiligingsvraagstukken te bevorderen, om aldus bij te dragen tot de ontwikkeling van een cultuur van netwerk- en informatiebeveiliging. Efficiënte samenwerking met derde landen en met de wereldgemeenschap is ook op Europees niveau een noodzaak geworden. Daarom dient het Agentschap een bijdrage te leveren aan de inspanningen van de Gemeenschap in het kader van haar samenwerking met derde landen en, in voorkomend geval, internationale organisaties.

20. Het Agentschap dient in het kader van zijn werkzaamheden rekening te houden met het midden- en kleinbedrijf.

21. Om de uitvoering van de taken van het Agentschap daadwerkelijk te kunnen garanderen, dienen de lidstaten en de Commissie te worden vertegenwoordigd in een raad van bestuur met de noodzakelijke bevoegdheden voor het vaststellen van de begroting, de controle op de uitvoering ervan, het vaststellen van de nodige financiële regels, het opstellen van transparante werkprocedures voor besluitvorming door het Agentschap, het goedkeuren van het werkprogramma van het Agentschap, het vaststellen van zijn eigen reglement van orde en van het huishoudelijk reglement van het Agentschap en de benoeming en de ambtsontheffing van de uitvoerend directeur. De raad van bestuur dient te waarborgen dat het Agentschap zijn taken onder zodanige omstandigheden uitvoert dat het diensten kan verlenen overeenkomstig deze verordening.

22. Een permanente groep van belanghebbenden zou dienstig zijn voor het onderhouden van een regelmatige dialoog met de particuliere sector, de consumentenorganisaties en andere belanghebbenden. Een dergelijke permanente groep van belanghebbenden, die wordt opgericht en voorgezeten door de uitvoerend directeur, dient haar werkzaamheden toe te spitsen op aangelegenheden die voor alle belanghebbenden relevant zijn en deze onder de aandacht van de uitvoerend directeur te brengen. De uitvoerend directeur kan, indien nodig en overeenkomstig de vergaderagenda, vertegenwoordigers van het Europees Parlement en van andere instanties uitnodigen om deel te nemen aan de vergaderingen van de groep.

23. Voor een goede werking van het Agentschap is het noodzakelijk dat de uitvoerend directeur wordt benoemd op grond van zowel verdiensten en aantoonbare administratieve en bestuurskundige vaardigheden, als van bekwaamheid en ervaring die relevant is voor netwerk- en informatiebeveiliging. Daarnaast dient hij zijn taken op flexibele en, ten aanzien van de interne werking van het Agentschap, volledig onafhankelijke wijze uit te voeren. Daartoe werkt de uitvoerend directeur, nadat hij de Commissie en de permanente groep van belanghebbenden heeft geraadpleegd, een voorstel voor het werkprogramma van het Agentschap uit en neemt hij alle nodige maatregelen met het oog op de correcte uitvoering van het werkprogramma van het Agentschap, stelt hij elk jaar een ontwerp op van het algemeen verslag dat aan de raad van bestuur wordt voorgelegd alsook een ontwerp-raming van de inkomsten en uitgaven van het Agentschap, en voert hij de begroting uit.

24. De uitvoerend directeur moet ad hoc werkgroepen kunnen oprichten om met name wetenschappelijke en technische vraagstukken te behandelen. Bij de oprichting van de ad hoc werkgroepen roept de uitvoerend directeur de medewerking van de particuliere sector in en maakt hij gebruik van de relevante deskundigheid van die sector. De ad hoc werkgroepen zouden het Agentschap toegang moeten verschaffen tot de meest actuele informatie die beschikbaar is, om te kunnen reageren op de beveiligingsproblemen die de informatiemaatschappij in ontwikkeling opwerpt. Het Agentschap dient er zorg voor te dragen dat zijn ad hoc werkgroepen bekwaam en representatief zijn, en zo nodig, al naargelang de specifieke kwestie, een vertegenwoordiging omvatten van de openbare diensten van de lidstaten, van de particuliere sector, met inbegrip van het bedrijfsleven, van de gebruikers en van universitaire deskundigen op het gebied van netwerk- en informatiebeveiliging. Het Agentschap kan de werkgroepen zo nodig aanvullen met onafhankelijke deskundigen die erkend zijn op grond van hun bevoegdheid op het betrokken gebied. De deskundigen die deelnemen aan de werkzaamheden van de ad hoc groepen die door het Agentschap worden georganiseerd, mogen geen deel uitmaken van het personeel van het Agentschap. Hun kosten dienen door het Agentschap te worden vergoed overeenkomstig zijn huishoudelijk reglement en overeenkomstig het vigerende Financieel Reglement.

25. Inzake toegang van het publiek tot documenten zoals bedoeld in Verordening (EG) nr. 1049/2001⁽¹⁵⁾ en de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens zoals bedoeld in Verordening (EG) nr. 45/2001⁽¹⁶⁾ dient het Agentschap de desbetreffende Gemeenschapswetgeving toe te passen.

26. In het kader van zijn werkingssfeer en van zijn doelstellingen, en bij de vervulling van zijn taken dient het Agentschap in het bijzonder de bepalingen na te leven die van toepassing zijn op de instellingen van de Gemeenschappen, alsmede de nationale wetgeving inzake de behandeling van gevoelige documenten.

27. Om de volledige autonomie en onafhankelijkheid van het Agentschap te waarborgen, wordt het noodzakelijk geacht aan het Agentschap een eigen begroting toe te kennen die hoofdzakelijk uit een bijdrage van de Gemeenschap wordt gefinancierd. De communautaire begrotingsprocedure blijft echter van toepassing op eventuele subsidies die ten laste van de algemene begroting van de Europese Unie komen. Bovendien dient de controle van de rekeningen te worden uitgevoerd door de Rekenkamer.

28. Waar nodig en op basis van nog overeen te komen regelingen, krijgt het Agentschap ook toegang tot de vertolkingdiensten verstrekt door het directoraat-generaal Vertaling (DGT) van de Commissie of door de tolkendiensten van andere communautaire instellingen.

29. Het Agentschap moet in eerste instantie voor een beperkte periode worden opgericht en de werking ervan moet worden geëvalueerd om na te gaan of de activiteiten ervan moeten worden voortgezet,

HEBBEN DE VOLGENDE VERORDENING VASTGESTELD: