2 Europaparlaments- og rådsforordning nr. 460/2004 av 10. mars 2004 om opprettelse av Det europeiske byrå for nett- og informasjonssikkerhet

EUROPAPARLAMENTET OG RÅDET FOR DEN EUROPEISKE UNION HAR —

under henvisning til traktaten om opprettelse av Det europeiske fellesskap, særlig artikkel 95, under henvisning til forslag fra Kommisjonen, under henvisning til uttalelse fra Den økonomiske og sosiale komité 1, etter samråd med Regionkomiteen, etter framgangsmåten fastsatt i traktatens artikkel 251 2 , og ut fra følgende betraktninger:

1. Kommunikasjonsnett og informasjonssystemer er blitt en vesentlig faktor i den økonomiske og samfunnsmessige utvikling. Datamaskiner og nett er i ferd med å bli ansett som like uunnværlige ressurser som elektrisitet og vann. Sikkerhet i kommunikasjonsnett og informasjonssystemer, og særlig tilgjengeligheten av dem, er derfor blitt et stadig viktigere samfunnsspørsmål, ikke minst på grunn av risikoen for problemer i viktige informasjonssystemer som følge av systemenes kompleksitet, uhell, feil og angrep, som kan få konsekvenser for de fysiske infrastrukturene som leverer tjenester av avgjørende betydning for Unionens borgere.

2. Det økende antall brudd på nettsikkerheten har allerede medført stor økonomisk skade, undergravet brukernes tillit og vært ugunstig for utviklingen av e-handel. Enkeltpersoner, offentlige forvaltninger og foretak har reagert ved å innføre sikkerhetsteknologi og framgangsmåter for sikkerhetsstyring. Medlemsstatene har truffet flere støttetiltak, blant annet i form av opplysningskampanjer og forskningsprosjekter, for å øke nett– og informasjonssikkerheten i hele samfunnet.

3. Den tekniske kompleksiteten i nett og informasjonssystemer, de mange ulike produktene og tjenestene som er knyttet sammen, og det svært høye antallet private og offentlige aktører som har atskilte ansvarsområder, kan undergrave det velfungerende indre marked.

4. Ved europaparlaments- og rådsdirektiv 2002/21/EF om felles rammeregler for elektroniske kommunikasjonsnett og –tjenester (rammedirektivet) 3 fastsettes nasjonale reguleringsmyndigheters oppgaver, som omfatter å samarbeide med hverandre og med Kommisjonen på en åpen måte for å sikre utvikling av en ensartet reguleringspraksis, å bidra til å sikre et omfattende vern av personopplysninger og opplysninger om privatliv, og å sikre de offentlige kommunikasjonsnettenes integritet og sikkerhet.

5. Gjeldende fellesskapsregelverk omfatter også direktiv 2002/20/EF 4 , direktiv 2002/22/EF 5 , direktiv 2002/19/EF 6 , direktiv 2002/58/EF 7 , direktiv 1999/93/EF 8 , direktiv 2000/31/EF 9 samt rådsresolusjon av 18. februar 2003 om gjennomføring av handlingsplanen e–Europa 2005 10 .

6. I henhold til direktiv 2002/20/EF kan medlemsstatene til den generelle tillatelsen knytte vilkår for sikring av offentlige nett mot ulovlig tilgang i samsvar med direktiv 97/66/EF 11 .

7. I henhold til direktiv 2002/22/EF skal medlemsstatene treffe alle nødvendige tiltak for å sikre integriteten til det offentlige telefonnettet på faste steder og at foretak som tilbyr offentlig tilgjengelige telefontjenester på faste steder, treffer alle rimelige tiltak for å sikre uavbrutt tilgang til nødmeldingstjenester.

8. I henhold til direktiv 2002/58/EF skal tilbyderen av en offentlig tilgjengelig elektronisk kommunikasjonstjeneste treffe egnede tekniske og organisatoriske tiltak for å sikre vern av sine tjenester samt fortrolighet for kommunikasjon og tilhørende trafikkopplysninger. I henhold til europaparlaments- og rådsdirektiv 95/46/EF av 24. oktober 1995 om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger( 12 ), skal medlemsstatene fastsette bestemmelser om at den behandlingsansvarlige skal iverksette hensiktsmessige tekniske og organisatoriske tiltak for å beskytte personopplysninger mot tilfeldig eller ulovlig ødeleggelse, mot tilfeldig tap, mot ikke–autorisert endring, spredning eller tilgang, særlig når behandlingen omfatter overføring av opplysninger i et nett, samt mot enhver annen form for ulovlig behandling.

9. Direktiv 2002/21/EF og direktiv 1999/93/EF inneholder bestemmelser om standarder som skal offentliggjøres i Den europeiske unions tidende. Medlemsstatene anvender også standarder fra internasjonale organer samt de facto-standarder utviklet av næringen på verdensplan. Det er nødvendig for Kommisjonen og medlemsstatene å kunne spore de standarder som oppfyller kravene i Fellesskapets regelverk.

10. Disse tiltakene for det indre marked krever ulike former for teknisk og organisatorisk gjennomføring av medlemsstatene og Kommisjonen. Dette er teknisk kompliserte oppgaver som ikke har enkle og innlysende løsninger. Uensartet anvendelse av disse kravene kan føre til ineffektive løsninger og skape hindringer for det indre marked. Det bør derfor opprettes et kompetansesenter på europeisk plan som kan gi veiledning, råd og, etter anmodning, støtte innenfor rammen av sine mål, og som Europaparlamentet, Kommisjonen eller vedkommende organer utpekt av medlemsstatene kan henvende seg til. Nasjonale reguleringsmyndigheter utpekt i henhold til direktiv 2002/21/EF kan velges av en medlemsstat som et vedkommende organ.

11. Disse behovene vil kunne dekkes gjennom opprettelsen av et europeisk byrå, Det europeiske byrå for nett– og informasjonssikkerhet, heretter kalt «byrået», som bør fungere som et referansepunkt og skape tillit i kraft av sin uavhengighet, kvaliteten på rådene det gir og opplysningene det sprer, åpenheten omkring dets framgangsmåter og arbeidsmetoder, samt den effektivitet det utfører de pålagte oppgavene med. Byrået bør bygge på medlemsstatenes og Fellesskapets innsats og derfor utføre sine oppgaver i fullt samarbeid med medlemsstatene og være åpent for kontakt med næringen og andre berørte parter. Fordi elektroniske nett i høy grad er privateide, bør byrået bygge på bidrag fra og samarbeid med privat sektor.

12. Utførelsen av byråets oppgaver bør ikke begrense, erstatte, hindre eller overlappe de relevante fullmakter og oppgaver som er tildelt:

    de nasjonale reguleringsmyndigheter som omhandles i direktivene om elektroniske kommunikasjonsnett og –tjenester, Gruppen av europeiske reguleringsmyndigheter for elektroniske kommunikasjonsnett og –tjenester opprettet ved kommisjonsbeslutning 2002/627/EF 13 samt kommunikasjonskomiteen omhandlet i direktiv 2002/21/EF,

13. de europeiske standardiseringsorganer, de nasjonale standardiseringsorganer og den faste komité som omhandles i europaparlaments- og rådsdirektiv 98/34/EF av 22. juni 1998 om en informasjonsprosedyre for standarder og tekniske forskrifter samt regler for informasjonssamfunnstjenester 14 ,

14. medlemsstatenes tilsynsmyndigheter når det gjelder personvern i forbindelse med behandling av personopplysninger og fri bevegelighet for slike opplysninger.

15. For bedre å forstå utfordringene på området nett– og informasjonssikkerhet er det nødvendig at byrået analyserer foreliggende og nye risikoer, og for det formål kan byrået samle inn egnede opplysninger, særlig gjennom spørreskjemaer, uten å kreve at privat sektor eller medlemsstatene genererer data. Med nye risikoer menes forhold som allerede utpeker seg som mulige framtidige risikoer for nett– og informasjonssikkerhet.

16. For å sikre tillit til nett og informasjonssystemer må enkeltpersoner, foretak og offentlige forvaltninger ha fått tilstrekkelig opplysning, utdanning og opplæring på området nett– og informasjonssikkerhet. Offentlige myndigheter bidrar til økt bevissthet ved å opplyse offentligheten, små og mellomstore foretak, selskaper, offentlige forvaltninger, skoler og universiteter. Disse tiltakene må videreutvikles. En økt informasjonsutveksling mellom medlemsstatene vil fremme slike bevisstgjørende tiltak. Byrået bør gi råd om beste praksis i forbindelse med bevisstgjøring, opplæring og kurs.

17. Byrået bør ha som oppgave å bidra til et høyt nivå av nett– og informasjonssikkerhet i Fellesskapet og å utvikle en nett– og informasjonssikkerhetskultur til fordel for borgere, forbrukere, foretak og organisasjoner i den offentlige sektor i Den europeiske union, og dermed bidra til et velfungerende indre marked.

18. Effektive sikkerhetsstrategier bør bygge på velutviklede metoder for risikovurdering, både i offentlig og privat sektor. Metoder og framgangsmåter for risikovurdering anvendes på ulike nivåer uten noen felles praksis for en effektiv anvendelse. Utvikling og fremming av beste praksis for risikovurdering og for samvirkende løsninger for risikohåndtering i organisasjoner i offentlig og privat sektor vil øke sikkerhetsnivået i nett og informasjonssystemer i Europa.

19. Byråets arbeid bør benytte resultater fra pågående forsknings–, utviklings– og teknologivurderingsvirksomhet, særlig virksomhet som utføres som ledd i ulike fellesskapsinitiativer på forskningsområdet.

20. Der det er hensiktsmessig og nyttig for byråets virkeområde, mål og oppgaver, bør byrået dele erfaringer og allmenne opplysninger med organer og byråer som er opprettet i henhold til Den europeiske unions regelverk og som arbeider med nett– og informasjonssikkerhet.

21. Problemer med nett– og informasjonssikkerhet er av verdensomspennende art. Det er behov for et nærmere samarbeid på verdensplan for å bedre sikkerhetsstandardene og opplysningsnivået, og for å fremme en felles verdensomspennende tilnærming til spørsmål knyttet til nett– og informasjonssikkerhet, og dermed bidra til utvikling av en nett– og informasjonssikkerhetskultur. Et effektivt samarbeid med tredjestater og verdenssamfunnet er blitt en oppgave også på europeisk plan. For dette formål skal byrået bidra til Fellesskapets innsats for å samarbeide med tredjestater og, når det er hensiktsmessig, med internasjonale organisasjoner.

22. I sin virksomhet bør byrået ta hensyn til små og mellomstore foretak.

23. For å sikre på en effektiv måte at byråets oppgaver utføres, bør medlemsstatene og Kommisjonen være representert i et styre som har tilstrekkelig fullmakt til å vedta et budsjett, kontrollere at det overholdes, vedta egnede finansielle regler, fastsette klare arbeidsmetoder for byråets beslutningstaking, godkjenne byråets arbeidprogram, vedta sin egen forretningsorden og byråets interne driftsregler, samt utpeke og avsette den daglige lederen. Styret bør sikre at byrået utfører sine oppgaver under forhold som gjør at det kan fungere i samsvar med denne forordning.

24. En fast interessegruppe vil være nyttig for å opprettholde en regelmessig dialog med privat sektor, forbrukerorganisasjoner og andre berørte parter. Den faste interessegruppen, som skal nedsettes og ledes av den daglige lederen, bør rette oppmerksomhet mot saker som er relevante for alle berørte parter, og framlegge dem for den daglige lederen. Den daglige lederen kan, der det er hensiktsmessig og i henhold til møtenes dagsorden, innby representanter for Europaparlamentet og andre relevante organer til å delta på gruppens møter.

25. Dersom byrået skal virke på en tilfredsstillende måte, må dets daglige leder utpekes på grunnlag av egnethet og dokumenterte administrasjons- og ledelsesferdigheter samt kvalifikasjoner og erfaring som er relevant for nett– og informasjonssikkerhet, og han/hun må utføre sine plikter i full uavhengighet og handlefrihet med hensyn til organiseringen av byråets interne virksomhet. For dette formål bør den daglige lederen utarbeide et forslag til byråets arbeidsprogram etter samråd med Kommisjonen og den faste interessegruppen, og treffe alle nødvendige tiltak for å sikre at byråets arbeidsprogram blir gjennomført på en tilfredsstillende måte, hvert år utarbeide utkast til en generell rapport som skal framlegges for styret, sette opp et utkast til overslag over byråets inntekter og utgifter og gjennomføre budsjettet.

26. Den daglige lederen bør ha mulighet til å nedsette midlertidige arbeidsgrupper som særlig skal behandle vitenskapelige og tekniske spørsmål. Ved nedsettelsen av midlertidige arbeidsgrupper bør den daglige lederen innhente bidrag fra og benytte relevant sakkunnskap i privat sektor. De midlertidige arbeidsgruppene bør kunne gi byrået adgang til de mest ajourførte opplysningene som er tilgjengelige, for å kunne møte de sikkerhetsmessige utfordringene i et informasjonssamfunn i utvikling. Byrået bør sikre at de midlertidige arbeidsgruppene er kyndige og representative og at de, etter det som er hensiktsmessig i hver enkelt sak, omfatter representanter for medlemsstatenes offentlige forvaltninger, for privat sektor, herunder for næringen, for brukerne og for sakkyndige med akademisk utdanning innenfor nett– og informasjonssikkerhet. Byrået kan om nødvendig utfylle arbeidsgruppene med uavhengige sakkyndige som er anerkjente på det berørte området. De sakkyndige som deltar i de midlertidige arbeidsgruppene byrået nedsetter, skal ikke tilhøre byråets personale. Deres utgifter skal dekkes av byrået i samsvar med dets interne regler og i samsvar med gjeldende finansreglementer.

27. Byrået bør anvende relevant fellesskapsregelverk for offentlig tilgang til dokumenter som omhandlet i europaparlaments– og rådsforordning (EF) nr. 1049/2001 15 , og for personvern ved behandling av personopplysninger som omhandlet i europaparlaments– og rådsforordning (EF) nr. 45/2001 16 .

28. Innenfor rammen av sitt virkeområde, sine mål og i utførelsen av sine oppgaver bør byrået særlig overholde de bestemmelser som gjelder for Fellesskapets institusjoner, samt nasjonal lovgivning om behandling av følsomme dokumenter.

29. For å sikre byrået full selvstendighet og uavhengighet anses det som nødvendig at det har et eget budsjett der inntektene hovedsakelig kommer fra bidrag fra Fellesskapet. Fellesskapets budsjettbehandling vil fortsatt få anvendelse når det gjelder de tilskudd som skal dekkes over Den europeiske unions alminnelige budsjett. Videre bør revisjonen av regnskapene foretas av Revisjonsretten.

30. Ved behov og på grunnlag av avtaler som skal inngås, kan byrået få tilgang til de tolketjenester som tilbys av Kommisjonens generaldirektorat for tolkning (DGI) eller av andre fellesskapsinstitusjoners tolketjenester.

31. Byrået bør i første omgang opprettes for et avgrenset tidsrom, og dets virksomhet bør evalueres for å avgjøre om virksomheten bør fortsette —

VEDTATT DENNE FORORDNING:

Avsnitt 1

Virkeområde, mål og oppgaver

Artikkel 1

Virkeområde

1. For å sikre et høyt og effektivt nivå av nett- og informasjonssikkerhet i Fellesskapet og utvikle en nett– og informasjonssikkerhetskultur til fordel for borgere, forbrukere, foretak og organisasjoner i offentlig sektor i Den europeiske union, og dermed bidra til et velfungerende indre marked, opprettes herved Det europeiske byrå for nett– og informasjonssikkerhet, heretter kalt «byrået».

2. Byrået skal bistå Kommisjonen og medlemsstatene, og skal i den forbindelse samarbeide med næringslivet for å bidra til at kravene til nett– og informasjonssikkerhet oppfylles, herunder de krav som er fastsatt i gjeldende og framtidig fellesskapsregelverk, f.eks. direktiv 2002/21/EF, for dermed å sikre et velfungerende indre marked.

3. Byråets mål og oppgaver skal ikke berøre medlemsstatenes myndighet i forbindelse med nett– og informasjonssikkerhet som ikke omfattes av EF-traktatens virkeområde, som den nevnt i avdeling V og VI i traktaten om Den europeiske union, og ikke i noe tilfelle virksomhet som gjelder offentlig sikkerhet, forsvar, statens sikkerhet (herunder statens økonomiske interesser når virksomhet er forbundet med spørsmål om statens sikkerhet) eller statens virksomhet på det strafferettslige området.

Artikkel 2

Mål

1. Byrået skal styrke Fellesskapets, medlemsstatenes og dermed også næringslivets evne til å forebygge, håndtere og løse problemer knyttet til nett– og informasjonssikkerhet.

2. Byrået skal bistå og gi råd til Kommisjonen og medlemsstatene i saker knyttet til nett– og informasjonssikkerhet innenfor dets ansvarsområde i henhold til denne forordning.

3. På grunnlag av medlemsstatenes og Fellesskapets innsats skal byrået utvikle sakkunnskap på et høyt nivå. Byrået skal anvende denne sakkunnskapen for å fremme et bredt samarbeid mellom aktører fra offentlig og privat sektor.

4. Byrået skal på anmodning bistå Kommisjonen i det tekniske forberedelsesarbeidet for å ajourføre og utvikle Fellesskapets regelverk på området nett– og informasjonssikkerhet.

Artikkel 3

Oppgaver

For å sikre at virkeområdet og målene omhandlet i artikkel 1 og 2 respekteres og oppfylles, skal byrået utføre følgende oppgaver:

1. samle inn egnede opplysninger for å analysere foreliggende og nye risikoer og, særlig på europeisk plan, slike som kunne få følger for feiltoleransen i og tilgjengeligheten til elektroniske kommunikasjonsnett og for autentisiteten, integriteten og fortroligheten i forbindelse med de opplysninger som innhentes og overføres gjennom dem, samt framlegge analyseresultatene for medlemsstatene og Kommisjonen,

2. gi råd til Europaparlamentet, Kommisjonen, europeiske organer eller vedkommende nasjonale organer utpekt av medlemsstatene, og på anmodning gi dem støtte innenfor rammen av byråets mål,

3. styrke samarbeidet mellom ulike aktører på området nett– og informasjonssikkerhet, blant annet gjennom regelmessige samråd med næringen, universiteter og andre berørte sektorer samt ved å opprette kontaktnett for Fellesskapets organer, organer i offentlig sektor som utpekes av medlemsstatene, privat sektor og forbrukersammenslutninger,

4. fremme samarbeid mellom Kommisjonen og medlemsstatene for å utvikle felles metoder for å forebygge, håndtere og løse problemer knyttet til nett– og informasjonssikkerhet,

5. bidra til at alle brukere blir mer bevisste og får rettidige, objektive og fullstendige opplysninger om nett– og informasjonssikkerhet, blant annet ved å fremme utveksling av gjeldende beste praksis, herunder metoder for å varsle brukerne, og ved å søke å oppnå samvirkning mellom innspill fra offentlig og privat sektor,

6. bistå Kommisjonen og medlemsstatene i deres dialog med næringen for å håndtere sikkerhetsrelaterte problemer i forbindelse med maskinvare– og programvareprodukter,

7. følge utviklingen av standarder for produkter og tjenester i forbindelse med nett– og informasjonssikkerhet,

8. gi Kommisjonen råd om forskning på området nett– og informasjonssikkerhet samt om effektiv bruk av risikoforebyggende teknologi,

9. fremme risikovurderingstiltak, samvirkende løsninger for risikohåndtering samt studier av forebyggende løsninger for organisasjoner i offentlig og privat sektor,

10. bidra til Fellesskapets innsats for å samarbeide med tredjestater og, der det er hensiktsmessig, med internasjonale organisasjoner for å fremme en felles verdensomspennende tilnærming til spørsmål knyttet til nett– og informasjonssikkerhet, og dermed bidra til utviklingen av en nett– og informasjonssikkerhetskultur,

11. uavhengig gi uttrykk for sine egne konklusjoner og retningslinjer samt gi råd i spørsmål som omfattes av byråets virkeområde og mål.

Artikkel 4

Definisjoner

I denne forordning menes med:

1. «nett», overføringssystemer og eventuelt utstyr til svitsjing eller ruting samt andre ressurser som gjør det mulig å overføre signaler via kabel, via radio, optisk eller ved hjelp av andre elektromagnetiske midler, herunder satellittnett, jordbaserte fastnett (linje- og pakkesvitsjede, herunder Internett) og jordbaserte mobilnett, elektrisitetsnett, forutsatt at de brukes til å overføre signaler, nett som brukes til kringkasting over radio eller fjernsyn samt kabelfjernsynsnett, uansett hvilken type informasjon som overføres,

2. «informasjonssystem», datamaskiner og elektroniske kommunikasjonsnett samt elektroniske data som lagres, behandles, innhentes eller overføres i forbindelse med drift, bruk, beskyttelse og vedlikehold av dem,

3. «nett– og informasjonssikkerhet», et netts eller informasjonssystems evne til å tåle, på et gitt tillitsnivå, uhell eller ulovlige eller ondsinnede handlinger som går ut over tilgjengeligheten, autentisiteten, integriteten og tilliten til lagrede eller overførte data og tilknyttede tjenester som tilbys eller er tilgjengelige via slike nett og systemer,

4. «tilgjengelighet», at data er tilgjengelige og tjenester fungerer,

5. «autentisering», bekreftelse av enheters eller brukeres angitte identitet,

6. «dataintegritet», bekreftelse av at sendte, mottatte eller lagrede data er fullstendige og uendrede,

7. «datafortrolighet», beskyttelse mot at kommunikasjon eller lagrede data fanges opp og leses av uvedkommende,

8. «risiko», en funksjon av sannsynligheten for at sårbarhet i systemet påvirker autentiseringen av eller tilgjengeligheten, autentisiteten, integriteten eller fortroligheten til de data som behandles eller overføres, og alvorlighetsgraden av denne virkningen som følge av forsettlig eller uforsettlig utnytting av en slik sårbarhet,

9. «risikovurdering», en vitenskapelig og teknologisk basert prosess som består av fire trinn: fareidentifikasjon, farebeskrivelse, eksponeringsvurdering og risikobeskrivelse,

10. «risikohåndtering», prosessen, til forskjell fra risikovurdering, der ulike strategiske alternativer avveies i samråd med berørte parter på bakgrunn av risikovurderingen og andre relevante faktorer, og der hensiktsmessige alternativer for forebygging og kontroll velges om nødvendig,

11. «nett– og informasjonssikkerhetskultur», samme betydning som i OECDs retningslinjer for sikkerhet i informasjonssystemer og nettverk av 25. juli 2002 og i rådsresolusjon av 18. februar 2003 om ein europeisk strategi for ein nett- og informasjonstryggleikskultur 17 .

Avsnitt 2

Organisasjon

Artikkel 5

Byråets organer

Byrået skal bestå av:

1. et styre,

2. en daglig leder, og

3. en fast interessegruppe.

Artikkel 6

Styret

1. Styret skal bestå av en representant for hver medlemsstat, tre representanter utpekt av Kommisjonen, samt tre representanter uten stemmerett som er foreslått av Kommisjonen og utpekt av Rådet, og som hver representerer én av følgende grupper:

   1. informasjons- og kommunikasjonsteknologinæringen,

   2. forbrukergrupper,

   3. sakkyndige med akademisk utdanning innenfor nett– og informasjonssikkerhet.

2. Styremedlemmer skal utpekes på grunnlag av relevant erfaring og sakkunnskap på området nett– og informasjonssikkerhet. Representanter kan erstattes av varamedlemmer som utpekes samtidig.

3. Styret skal velge sin leder og en nestleder blant sine medlemmer for et tidsrom på to og et halvt år, som kan fornyes. Nestlederen skal automatisk ta lederens plass dersom han/hun er forhindret fra å ivareta sine plikter.

4. Styret fastsetter sin forretningsorden på grunnlag av et forslag fra Kommisjonen. Med mindre annet er fastsatt, skal styret treffe sine beslutninger med et flertall av alle medlemmer som har stemmerett.

   To tredels flertall av alle medlemmer som har stemmerett kreves for å vedta forretningsorden, byråets interne driftsregler, budsjettet, det årlige arbeidsprogram, samt for å utnevne og avsette den daglige lederen.

5. Styrets leder skal innkalle til styremøtene. Styret skal holde et ordinært møte to ganger i året. I tillegg skal det tre sammen på initiativ fra lederen eller på anmodning fra minst en tredel av alle medlemmer som har stemmerett. Den daglige lederen skal delta på styremøtene uten stemmerett og være ansvarlig for styrets sekretariat.

6. Styret fastsetter byråets interne driftsregler på grunnlag av et forslag fra Kommisjonen. Disse reglene skal offentliggjøres.

7. Styret skal fastsette generelle retningslinjer for byråets virksomhet. Styret skal sikre at byrået arbeider i samsvar med prinsippene i artikkel 12–14 og 23. Det skal også sikre at det er sammenheng mellom byråets arbeid og virksomhet som utøves av medlemsstatene samt på fellesskapsplan.

8. Før 30. november hvert år skal styret, etter å ha mottatt Kommisjonens uttalelse, vedta byråets arbeidsprogram for det kommende år. Styret skal sikre at arbeidsprogrammet er i samsvar med byråets virkeområde, mål og oppgaver samt med Fellesskapets prioriteringer for regelverk og politikk på området nett– og informasjonssikkerhet.

9. Styret skal før 31. mars hvert år vedta en generell rapport om byråets virksomhet i det foregående år.

10. De finansielle regler som får anvendelse på byrået, skal vedtas av styret etter samråd med Kommisjonen. Styret kan ikke avvike fra kommisjonsforordning (EF, Euratom) nr. 2343/2002 av 19. november 2002 om det finansielle rammereglement for organene nevnt i artikkel 185 i rådsforordning (EF, Euratom) nr. 1605/2002 om finansreglementet som får anvendelse på De europeiske fellesskaps alminnelige budsjett( 18 ), med mindre et slikt avvik er spesifikt nødvendig av hensyn til byråets drift og Kommisjonen på forhånd har gitt godkjenning til dette.

Artikkel 7

Daglig leder

1. Byrået skal ledes av en daglig leder, som skal utføre sine oppgaver i fullstendig uavhengighet.

2. Den daglige lederen skal utpekes av styret på grunnlag av en liste over kandidater som Kommisjonen foreslår etter en åpen utvelgingsprøve, etter at en interessetegning er offentliggjort i Den europeiske unions tidende og andre steder. Den daglige lederen skal utpekes på grunnlag av egnethet og dokumenterte administrasjons- og ledelsesferdigheter samt kvalifikasjoner og erfaring som er relevant for nett– og informasjonssikkerhet. Før utnevnelsen skal kandidaten som er innstilt av styret, straks oppfordres til å avgi en erklæring til Europaparlamentet og svare på spørsmål fra denne institusjonens medlemmer. Europaparlamentet eller Rådet kan også på et hvilket som helst tidspunkt be om en høring med den daglige lederen om ethvert spørsmål i forbindelse med byråets virksomhet. Den daglige lederen kan avsettes av styret.

3. Den daglige lederens mandatperiode skal være høyst fem år.

4. Den daglige lederen skal ha ansvar for:

   1. den daglige ledelsen av byrået,

   2. å utarbeide et forslag til byråets arbeidsprogrammer i samråd med Kommisjonen og den faste interessegruppen,

   3. å gjennomføre arbeidsprogrammene og styrets beslutninger,

   4. å sikre at byrået utfører sine oppgaver i samsvar med brukernes krav, særlig med hensyn til om tjenestene som ytes er tilstrekkelige,

   5. å utarbeide utkastet til overslag over byråets inntekter og utgifter og å gjennomføre dets budsjett,

   6. alle personalsaker,

   7. å opprette og opprettholde kontakt med Europaparlamentet og sikre en løpende dialog med Parlamentets relevante komiteer,

   8. å opprette og opprettholde kontakt med næringslivet og forbrukersammenslutninger for å sikre en løpende dialog med berørte parter,

   9. å lede den faste interessegruppen.

5. Den daglige lederen skal hvert år framlegge for styret for godkjenning:

   1. utkast til en generell rapport om byråets virksomhet i det foregående år,

   2. utkast til arbeidsprogram.

6. Den daglige lederen skal, etter godkjenning av styret, oversende arbeidsprogrammet til Europaparlamentet, Rådet, Kommisjonen og medlemsstatene og sørge for at de offentliggjøres.

7. Den daglige lederen skal, etter godkjenning av styret, oversende byråets generelle rapport til Europaparlamentet, Rådet, Kommisjonen, Revisjonsretten, Den økonomiske og sosiale komité og Regionkomiteen og sørge for at den offentliggjøres.

8. Ved behov og innenfor rammen av byråets virkeområde, mål og oppgaver, kan den daglige lederen i samråd med den faste interessegruppen nedsette midlertidige arbeidsgrupper av sakkyndige. Styret skal underrettes om dette. Framgangsmåtene for å fastsette særlig sammensetningen, den daglige lederens utpeking av sakkyndige, og de midlertidige arbeidsgruppenes virksomhet skal angis i byråets interne driftsregler.

   De midlertidige arbeidsgruppene som nedsettes skal særlig behandle tekniske og vitenskapelige spørsmål.

   Medlemmer av styret kan ikke være medlemmer av de midlertidige arbeidsgruppene. Representanter for Kommisjonen kan være til stede på møtene deres.

Artikkel 8

Den faste interessegruppen

1. Den daglige lederen skal nedsette en fast interessegruppe sammensatt av sakkyndige som representerer de berørte parter, som informasjons– og kommunikasjonsteknologinæringen, forbrukergrupper og sakkyndige med akademisk utdanning innenfor nett– og informasjonssikkerhet.

2. Framgangsmåtene for å fastsette antall medlemmer i gruppen, sammensetningen av den, hvordan den daglige lederen utpeker medlemmer, og gruppens virksomhet, skal angis i byråets interne driftsregler og skal offentliggjøres.

3. Gruppen skal ledes av den daglige lederen. Medlemmenes mandatperiode skal være to og et halvt år. Medlemmer av gruppen kan ikke være medlemmer av styret.

4. Representanter for Kommisjonen kan delta på møtene og i gruppens arbeid.

5. Gruppen kan gi den daglige lederen råd om utførelsen av hans/hennes oppgaver i henhold til denne forordning, om utarbeidingen av et forslag til byråets arbeidsprogram, samt for å sikre kommunikasjon med de berørte parter i alle spørsmål i forbindelse med arbeidsprogrammet.

Avsnitt 3

Drift

Artikkel 9

Arbeidsprogram

Byrået skal utføre sin virksomhet på grunnlag av arbeidsprogrammet som er vedtatt i samsvar med artikkel 6 nr. 8. Arbeidsprogrammet skal ikke være til hinder for at byrået kan påta seg uforutsette oppgaver som hører inn under dets virkeområde og mål og omfattes av de gitte budsjettrammene.

Artikkel 10

Anmodninger til byrået

1. Anmodninger om råd og støtte som hører inn under byråets virkeområde, mål og oppgaver skal rettes til den daglige lederen og følges av bakgrunnsopplysninger om spørsmålet som behandles. Den daglige lederen skal underrette Kommisjonen om de mottatte anmodningene. Dersom byrået avviser en anmodning, skal det begrunnes.

2. Anmodninger nevnt i nr. 1 kan gjøres av:

   1. Europaparlamentet,

   2. Kommisjonen,

   3. ethvert vedkommende organ utpekt av en medlemsstat, for eksempel en nasjonal reguleringsmyndighet som definert i artikkel 2 i direktiv 2002/21/EF.

3. Den praktiske gjennomføringen for anvendelse av nr. 1 og 2, særlig med hensyn til framlegging, prioritering, oppfølging samt underretning til styret om anmodninger til byrået, skal fastsettes av styret i byråets interne driftsregler.

Artikkel 11

Interesseerklæring

1. Den daglige lederen og tjenestemenn som medlemsstatene midlertidig stiller til rådighet, skal avgi en forpliktelseserklæring og en interesseerklæring om at det ikke foreligger noen interesser som vil kunne anses å berøre deres uavhengighet. Slike erklæringer skal avgis skriftlig.

2. Eksterne sakkyndige som deltar i midlertidige arbeidsgrupper, skal ved hvert møte gjøre oppmerksom på enhver interesse som vil kunne anses å berøre deres uavhengighet med hensyn til sakene som står på dagsorden.

Artikkel 12

Innsyn

1. Byrået skal sørge for at det utfører sin virksomhet med en høy grad av innsyn og i samsvar med artikkel 13 og 14.

2. Byrået skal sikre at offentligheten og eventuelle berørte parter får objektive, pålitelige og lett tilgjengelige opplysninger, særlig med hensyn til resultatene av dets arbeid, der det er hensiktsmessig. Det skal også offentliggjøre interesseerklæringene fra den daglige lederen og tjenestemenn som medlemsstatene midlertidig stiller til rådighet, samt interesseerklæringer fra sakkyndige i forbindelse med punkter på dagsordenen for møter i de midlertidige arbeidsgruppene.

3. Styret kan etter forslag fra den daglige lederen tillate berørte parter å observere visse deler av byråets virksomhet.

4. Byrået skal i sine interne driftsregler fastsette hvordan innsynsreglene nevnt i nr. 1 og 2 skal gjennomføres i praksis.

Artikkel 13

Fortrolighet

1. Med forbehold for artikkel 14 skal byrået ikke gi videre til tredjemann opplysninger som det behandler eller mottar, og som det er anmodet om fortrolig behandling av.

2. Styremedlemmene, den daglige lederen, medlemmene av den faste interessegruppen, eksterne sakkyndige som deltar i midlertidige arbeidsgrupper, og byråets personale, herunder tjenestemenn som midlertidig stilles til rådighet av medlemsstatene skal, selv etter at deres funksjoner har opphørt, være underlagt taushetsplikt som fastsatt i traktatens artikkel 287.

3. Byrået skal i sine interne driftsregler fastsette hvordan fortrolighetsreglene nevnt i nr. 1 og 2 skal gjennomføres i praksis.

Artikkel 14

Tilgang til dokumenter

1. Forordning (EF) nr. 1049/2001 får anvendelse på byråets dokumenter.

2. Styret skal vedta de praktiske gjennomføringsregler for forordning (EF) nr. 1049/2001 innen seks måneder etter at byrået er opprettet.

3. Vedtak gjort av byrået i henhold til artikkel 8 i forordning (EF) nr. 1049/2001 kan klages inn for ombudet eller for De europeiske fellesskaps domstol på vilkårene fastsatt i henholdsvis artikkel 195 og 230 i traktaten.

Avsnitt 4

Finansielle bestemmelser

Artikkel 15

Vedtakelse av budsjettet

1. Byråets inntekter skal bestå av et bidrag fra Fellesskapet og eventuelle bidrag fra tredjestater som deltar i byråets arbeid som omhandlet i artikkel 24.

2. Byråets utgifter skal omfatte utgifter til personale, administrativ og teknisk bistand, infrastruktur og drift, samt utgifter som følge av kontrakter inngått med tredjemann.

3. Senest 1. mars hvert år skal den daglige lederen sette opp et utkast til overslag over byråets inntekter og utgifter for det kommende regnskapsår, og oversende det til styret sammen med en foreløpig stillingsplan.

4. Inntekter og utgifter skal være i balanse.

5. Styret skal hvert år, på grunnlag av det utkastet til overslag over byråets inntekter og utgifter som den daglige lederen har satt opp, utarbeide et overslag over byråets inntekter og utgifter for kommende regnskapsår.

6. Dette overslaget, som skal omfatte en foreløpig stillingsplan og det foreløpige arbeidsprogrammet, skal senest 31. mars oversendes av styret til Kommisjonen og de stater som Fellesskapet har inngått avtaler med i samsvar med artikkel 24.

7. Kommisjonen skal oversende overslaget til Europarlamentet og Rådet (heretter omtalt som budsjettmyndigheten) sammen med det foreløpige forslaget til Den europeiske unions alminnelige budsjett.

8. På grunnlag av overslaget skal Kommisjonen innta i det foreløpige forslaget til Den europeiske unions alminnelige budsjett de overslag den anser nødvendige for stillingsplanen og det tilskudd som skal ytes over det alminnelige budsjett, og framlegge dette for budsjettmyndigheten i samsvar med traktatens artikkel 272.

9. Budsjettmyndigheten skal godkjenne bevilgningene i form av tilskudd til byrået.

   Budsjettmyndigheten skal vedta stillingsplanen for byrået.

10. Styret skal vedta byråets budsjett. Det skal bli endelig etter at Den europeiske unions alminnelige budsjett er blitt endelig vedtatt. Eventuelt skal byråets budsjett justeres tilsvarende. Styret skal omgående sende det til Kommisjonen og budsjettmyndigheten.

11. Styret skal snarest mulig underette budsjettmyndigheten om at det har til hensikt å gjennomføre ethvert prosjekt som kan ha betydelige økonomiske følger for finansieringen av budsjettet, særlig om ethvert prosjekt i tilknytning til eiendom, f.eks. leie eller kjøp av bygninger. De skal umiddelbart underrette Kommisjonen om dette.

    Dersom en enhet innen budsjettmyndigheten har gitt melding om at det har til hensikt å avgi en uttalelse, skal den framlegge sin uttalelse for styret innen en frist på seks uker etter datoen for meldingen av prosjektet.

Artikkel 16

Bedrageribekjempelse

1. Bestemmelsene i europaparlaments- og rådsforordning (EF) nr. 1073/1999 av 25. mai 1999 om undersøkelser som foretas av Det europeiske kontor for bedrageribekjempelse (OLAF)( 19 ) får ubegrenset anvendelse i forbindelse med bekjempelse av bedrageri, korrupsjon og andre ulovlige handlinger.

2. Byrået skal tiltre den tverrinstitusjonelle avtale av 25. mai 1999 mellom Europaparlamentet og Rådet for Den europeiske union og Kommisjonen for de europeiske fellesskap om interne undersøkelser som foretas av Det europeiske kontor for bedrageribekjempelse (OLAF) 20 og umiddelbart vedta egnede bestemmelser, som får anvendelse for alle tjenestemenn i byrået.

Artikkel 17

Gjennomføring av budsjettet

1. Den daglige lederen skal gjennomføre byråets budsjett.

2. Kommisjonens interne revisor skal ha samme fullmakter overfor byrået som overfor Kommisjonens kontorer.

3. Senest den 1. mars som følger etter hvert regnskapsår skal byråets regnskapsjef oversende de foreløpige regnskapene til Kommisjonens regnskapssjef, sammen med en rapport om budsjett- og økonomistyringen i det aktuelle regnskapsåret. Kommisjonen regnskapssjef skal konsolidere de foreløpige regnskapene for institusjonene og desentraliserte organer i samsvar med artikkel 128 i rådsforordning (EF, Euratom) nr. 1605/2002 av 25. juni 2002 om finansreglementet som får anvendelse på De europeiske fellesskaps alminnelige budsjett 21 (heretter kalt det alminnelige finansreglement).

4. Senest den 31. mars som følger etter hvert regnskapsår skal Kommisjonens regnskapsjef oversende byråets foreløpige regnskaper til Revisjonsretten, sammen med en rapport om budsjett- og økonomistyringen i det aktuelle regnskapsåret. Rapporten om budsjett- og økonomistyringen i det aktuelle regnskapsåret skal også oversendes til budsjettmyndigheten.

5. Etter at Revisjonsrettens synspunkter på byråets foreløpige regnskaper er mottatt, i henhold til artikkel 129 i det alminnelige finansreglement, skal den daglige lederen utarbeide byråets endelige regnskap på eget ansvar og framlegge det for styret for uttalelse.

6. Styret skal avgi en uttalelse om byråets endelige regnskap.

7. Den daglige lederen skal senest innen den 1. juli som følger etter hvert regnskapsår, oversende det endelige regnskapet til Europaparlamentet, Rådet, Kommisjonen og Revisjonsretten, sammen med styrets uttalelse.

8. Det endelige regnskapet skal offentliggjøres.

9. Den daglige lederen skal sende Revisjonsretten et svar på dens synspunkter senest innen 30. september. Han/hun skal også sende dette svaret til styret.

10. Den daglige lederen skal framlegge for Europaparlamentet, på anmodning fra dette, alle opplysninger som er nødvendige for å utføre arbeidet med meddelelsen av ansvarsfrihet for det aktuelle regnskapsåret, som fastsatt i artikkel 146 nr. 3 i det alminnelige finansreglementet.

11. Europaparlamentet skal etter rekommandasjon fra Rådet, som skal treffe sin beslutning med kvalifisert flertall, før 30. april i år N + 2 meddele byråets daglige leder ansvarsfrihet for gjennomføringen av budsjettet for år N.

Avsnitt 5

Alminnelige bestemmelser

Artikkel 18

Rettslig status

1. Byrået skal være et fellesskapsorgan. Det skal være eget rettssubjekt.

2. I hver medlemsstat skal byrået ha den mest omfattende rettslige handleevne som en juridisk person kan ha i henhold til nasjonal lovgivning. Det kan særlig erverve og avhende løsøre og fast eiendom og være part i en rettssak.

   Byrået skal være representert ved sin daglige leder.

Artikkel 19

Personale

1. Byråets personale, herunder den daglige lederen, skal omfattes av de regler og forskrifter som får anvendelse for tjenestemenn og andre ansatte i Det europeiske fellesskap.

2. Med forbehold for artikkel 6 skal byrået med hensyn til sitt eget personale utøve den myndighet som er tillagt ansettelsesmyndigheten etter vedtektene og ansettelsesvilkårene for andre ansatte.

3. Byrået kan også benytte tjenestemenn som midlertidig og i høyst fem år stilles til rådighet av medlemsstatene.

Artikkel 20

Privilegier og immunitet

Protokollen om De europeiske fellesskaps privilegier og immunitet får anvendelse på byrået og dets personale.

Artikkel 21

Erstatningsansvar

1. Byråets ansvar i kontraktsforhold skal være underlagt den lov som gjelder for vedkommende kontrakt.

   De europeiske fellesskaps domstol skal ha myndighet til å treffe beslutning i henhold til en voldgiftsklausul i en kontrakt inngått av byrået.

2. Med hensyn til ansvar utenfor kontraktsforhold skal byrået, i samsvar med de allmenne prinsipper som er felles for medlemsstatenes rettssystemer, erstatte den skade som dets avdelinger eller tjenestemenn volder i tjenesten.

   Domstolen skal ha myndighet til å avgjøre tvister om erstatning for slike skader.

3. De ansattes personlige ansvar overfor byrået skal være underlagt bestemmelsene i vedtektene eller ansettelsesvilkårene som gjelder for dem.

Artikkel 22

Språk

1. Bestemmelsene fastsatt i forordning nr. 1 av 15. april 1958 om fastsettelse av reglene for bruk av språk i Det europeiske økonomiske fellesskap( 22 ) får anvendelse på byrået. Medlemsstatene og andre organer som er utpekt av dem, kan henvende seg til byrået og motta svar på det fellesskapsspråket de velger.

2. Oversettelsestjenestene som er nødvendige for byråets arbeid, skal utføres av Oversettelsessenteret for Den europeiske unions organer 23 .

Artikkel 23

Vern av personopplysninger

Ved behandling av opplysninger om enkeltpersoner skal byrået omfattes av bestemmelsene i forordning (EF) nr. 45/2001.

Artikkel 24

Tredjestaters deltaking

1. Byrået skal være åpent for deltaking for stater som har inngått avtaler med Det europeiske fellesskap som innebærer at de har vedtatt og anvender fellesskapets regelverk på det området som omfattes av denne forordning.

2. Det vil bli utarbeidet ordninger innenfor rammen av relevante bestemmelser i disse avtalene, som blant annet skal angi arten og omfanget av samt vilkårene for disse statenes deltaking i byråets arbeid, herunder bestemmelser om deltaking i tiltak som treffes av byrået, om finansielle bidrag og om personale.

Avsnitt 6

Sluttbestemmelser

Artikkel 25

Revisjonsklausul

1. Innen 17. mars 2007 skal Kommisjonen, idet den tar hensyn til alle berørte parters synspunkter, foreta en evaluering på grunnlag av det mandat som er avtalt med styret. Kommisjonen skal foreta evalueringen særlig for å avgjøre om byrået skal fortsette sin virksomhet etter tidsrommet angitt i artikkel 27.

2. Evalueringen skal omfatte en vurdering av om byrået har nådd sine mål og utført sine oppgaver, samt av dets arbeidsmetoder, og den skal ved behov inneholde egnede forslag.

3. Styret skal motta en rapport om evalueringen og utarbeide anbefalinger til Kommisjonen om eventuelle egnede endringer av denne forordning. Både resultatene av evalueringen og anbefalingene skal oversendes av Kommisjonen til Europaparlamentet og Rådet, og de skal offentliggjøres.

Artikkel 26

Administrativ kontroll

Byråets virksomhet omfattes av Ombudsmannens tilsyn i samsvar med bestemmelsene i traktatens artikkel 195.

Artikkel 27

Varighet

Byrået skal opprettes 14. mars 2004 for et tidsrom på fem år.

Artikkel 28

Ikrafttredelse

Denne forordning trer i kraft dagen etter at den er kunngjort i Den europeiske unions tidende .

Denne forordning er bindende i alle deler og kommer direkte til anvendelse i alle medlemsstater.

Utferdiget i Strasbourg, 10. mars 2004.