PUBLIC RAAD VAN DE EUROPESE UNIE. Brussel, 28 mei 2003 (03.06) (OR. en) 9775/03 Interinstitutioneel dossier: 2003/0032 (COD) LIMITE

Transcriptie

1 Conseil UE RAAD VAN DE EUROPESE UNIE Brussel, 28 mei 2003 (03.06) (OR. en) PUBLIC 9775/03 Interinstitutioneel dossier: 2003/0032 (COD) LIMITE TELECOM 83 JAI 147 PESC 264 CAB 31 CODEC 718 VERSLAG van: het Coreper d.d.: 26/28 mei 2003 aan: de Raad nr. vorig doc.: 9484/03 TELECOM 79 JAI 140 PESC 251 CAB 29 CODEC 672 nr. Comv.: 6410/03 TELECOM 19 JAI 40 PESC 75 CODEC 170 Betreft: Voorstel voor een verordening van het Europees Parlement en de Raad tot oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging - Algemene oriëntatie A. INLEIDING 1. De Commissie heeft op 11 februari 2003 het voorstel voor een verordening van het Europees Parlement en de Raad tot oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging aangenomen. Dit voorstel werd op 13 februari 2003 aan de Raad toegezonden. 2. Bij het indienen van het voorstel heeft de Commissie erop gewezen dat het bij netwerken informatiebeveiliging gaat om het garanderen van de beschikbaarheid van diensten en gegevens, het handhaven van de vertrouwelijkheid van gegevens, het beveiligen van informatiesystemen tegen ongeautoriseerde toegang en tegen aanvallen met kwaadaardige software en het garanderen van betrouwbare authenticatie. Momenteel is er echter geen gemachtigde instantie in Europa die op systematische wijze gegevens over netwerk- en informatiebeveiliging verzamelt die bij de analyse van beveiligingsschendingen kunnen worden gebruikt. De toegenomen impact van beveiligingsincidenten op communautair en internationaal niveau vraagt om een tijdige en effectieve respons op genoemde schendingen. 9775/03 pau/gra/hd 1 DG C III NL

2 3. De Commissie stelt voor een agentschap op te richten om de toepassing van de communautaire maatregelen inzake netwerk- en informatiebeveiliging te vergemakkelijken en bij te dragen tot de interoperabiliteit van beveiligingsfuncties in netwerken en informatiesystemen, en aldus tot de goede werking van de interne markt. 4. Het Europees Parlement heeft nog geen advies over het voorstel uitgebracht. Ook het Economisch en Sociaal Comité en het Comité van de Regio's moeten nog advies uitbrengen. B. RESULTAAT VAN DE BESPREKINGEN IN DE GROEP Het Comité van permanente vertegenwoordigers heeft het voorstel en de resultaten van de werkzaamheden van de Groep telecommunicatie en informatiemaatschappij besproken. De tekst is op een aantal plaatsen gewijzigd om tegemoet te komen aan de bezwaren van de delegaties. Bovendien is hoofdstuk 4 van het voorstel (Financiële bepalingen) gewijzigd teneinde het in overeenstemming te brengen met Verordening (EG, Euratom) nr. 2343/ van de Commissie van 23 december 2002 houdende de financiële kaderregeling van de organen, bedoeld in artikel 185 van Verordening (EG, Euratom) nr. 1605/ van de Raad houdende het Financieel Reglement van toepassing op de algemene begroting van de Europese Gemeenschappen. De uit deze bespreking voortvloeiende tekst van de ontwerp-verordening staat in bijlage dezes. De overwegingen zijn nog niet systematisch besproken maar bepaalde belangrijke overwegingen betreffende moeilijke onderhandelingsthema's staan in de voetnoten bij het betrokken artikel. In dit stadium zijn vooral de Commissie en de lidstaten verdeeld over de nog onopgeloste vraagstukken (zie punt C). Een aantal studievoorbehouden van de Commissie heeft ook betrekking op nieuwe formuleringen van de tekst die de Commissie niet kon aanvaarden. Alle nog geldende voorbehouden zijn opgesomd onder punt D. Er zij op gewezen dat de Juridische dienst van de Raad een schriftelijk advies over de rechtsgrondslag van de voorgestelde verordening heeft uitgebracht (doc. 8896/03). 1 2 PB L 357 van , blz. 72. PB L 248 van , blz /03 pau/gra/hd 2 DG C III NL

3 C. BELANGRIJKSTE NOG NIET OPGELOSTE VRAAGSTUKKEN 1. Juridische vraagstukken a. Rechtsgrondslag van het voorstel Het Commissievoorstel is gebaseerd op de artikelen 95 en 156 van het EG-Verdrag. De Commissie is van oordeel dat de genomen interne-marktmaatregelen (Richtlijn 2002/21/EG van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronische-communicatienetwerken en diensten (kaderrichtlijn), bepaalde specifieke richtlijnen van dit kader, alsook Richtlijn 2002/58/EG van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie en Richtlijn 1999/93/EG van 13 december 1999 betreffende een gemeenschappelijk kader voor elektronische handtekeningen) bepalingen bevatten die verschillende vormen van technische en organisatorische toepassingen door de lidstaten en de Commissie vereisen. De lidstaten hebben eenparig (een studievoorbehoud van FIN buiten beschouwing gelaten) besloten artikel 308 van het EG-Verdrag als rechtsgrondslag voor het voorstel te nemen. De Commissie maakte een voorbehoud bij de wijziging van de rechtsgrondslag. b. Werkingssfeer van het Agentschap (vraagstuk van de toepasselijke communautaire regelgeving) In het Commissievoorstel wordt gesteld dat het Agentschap tot doel heeft te zorgen voor de toepassing van de communautaire maatregelen inzake netwerk- en informatiebeveiliging en voor de interoperabiliteit van beveiligingsfuncties in netwerken en informatiesystemen. De lijst van die communautaire maatregelen is vermeld in de overwegingen 6-10 van het Commissievoorstel. Het Coreper kwam overeen om een nieuw artikel 1 (werkingssfeer) in te voegen waarin de werkingssfeer van het Agentschap wordt omschreven, zowel wat betreft de aard ervan (adviesfuncties met betrekking tot "het bijstaan van de Commissie en de lidstaten om hen te helpen te voldoen aan het vereiste inzake netwerk- en informatiebeveiliging"), als wat betreft de toepasbaarheid van de communautaire regelgeving en de uitsluiting van activiteiten die onder de Titels V en VI van het Verdrag betreffende de Europese Unie vallen. De Commissie heeft een algemeen voorbehoud bij artikel 1 gemaakt (voetnoot 3) en haar studievoorbehoud bij artikel 1, lid 1, gehandhaafd (voetnoot 4). 9775/03 pau/gra/hd 3 DG C III NL

4 2. Organisatie van het Europees Agentschap voor netwerk- en informatiebeveiliging Het Commissievoorstel is gebaseerd op de mededeling van de Commissie d. d. 11 december 2002 (COM (2002) 718 def) Kader voor Europese regelgevende agentschappen. De in artikel 4 voorgestelde organisatorische structuur van het Agentschap bestaat uit vier organen. Het Coreper heeft de raad van bestuur en de uitvoerend directeur gehandhaafd en is overeengekomen de adviesraad te schrappen (artikel 8). Bovendien dienen ad hoc werkgroepen te worden opgericht door de uitvoerend directeur (artikel 7 (8)), na goedkeuring door de raad van bestuur. De oplossing van het Coreper schenkt de Commissie geen voldoening. Zij maakte een voorbehoud bij het gehele hoofdstuk 2 (voetnoot 12), alsook bij de artikelen 5 (voetnoot 13), 6 (voetnoot 14) en 7 (voetnoot 23). De Commissie is van oordeel dat de huidige versie van de tekst aanzienlijk afwijkt van haar mededeling. Zij benadrukt dat de schrapping van de adviesraad in combinatie met een versterking van de rol en de invloed van de lidstaten in de raad van bestuur verandering zou brengen in het interne machtsevenwicht tussen de organen van het Agentschap. De Commission maakte derhalve ook een algemeen voorbehoud bij artikel 3 (Taken, voetnoot 8) en bij de schrapping van artikel 8 (Adviesraad, voetnoot 34) en van artikel 11 (Werkgroepen, voetnoot 37) omdat zij meent dat het voorgestelde nieuwe artikel 7 (8) geen betrekking heeft op de organisatie van het Agentschap. De Commissie wijst erop dat de in het Coreper overeengekomen wijzigingen, die met name betrekking hebben op het niet langer gelijke aantal vertegenwoordigers van de Commissie en van de lidstaten in de raad van bestuur (volgens het voorstel moesten zes vertegenwoordigers door de Commissie worden aangewezen en zes door de lidstaten), op het feit dat de rol van de Commissie wordt geminimaliseerd (zie onder meer de voetnoten 16 en 30), op de omvang en de samenstelling van de raad van bestuur (per lidstaat één vertegenwoordiger met stemrecht, de beperking van het aantal vertegenwoordigers van het bedrijfsleven en andere betrokken sectoren in het orgaan), op de meerderheidsregels in de raad van bestuur (meerderheid van tweederde van de stemmen, tenzij anders is bepaald, voetnoten 17 en 24), op het betrekken van de raad van bestuur bij de dagelijkse werking van het Agentschap (bijv. raadpleging ervan met betrekking tot de prioriteitstelling van aan het Agentschap gerichte verzoeken en de goedkeuring van de oprichting van ad hoc werkgroepen), alsook op de schrapping van de rol van de adviesraad (voetnoten 39, 41, 45 en 46) als orgaan voor de bevordering van een partnerschap tussen organen uit de openbare en de particuliere sector en de overheveling van de werkgroepen (voetnoten 32 en 37) van het hoofdstuk Werking naar het hoofdstuk Organisatie, aanleiding geven tot ernstige bezorgdheid omtrent het vermogen van het Agentschap om zijn taken effectief te vervullen. 9775/03 pau/gra/hd 4 DG C III NL

5 De delegaties benadrukten dat de raad van bestuur politiek aansprakelijk moet kunnen worden gesteld. Zij wezen ook op de precedenten van andere agentschappen waarin voor een adequate vertegenwoordiging van de lidstaten is gezorgd. Wat de schrapping van de adviesraad betreft, werd geoordeeld dat dit orgaan overbodig is aangezien zijn taken aan de raad van bestuur, aan de uitvoerend directeur of aan de ad hoc werkgroepen kunnen worden overgedragen. De oprichting van ad hoc werkgroepen door de uitvoerend directeur na goedkeuring door de raad van bestuur werd om dezelfde redenen beschouwd als een vereenvoudiging van de organisatie en werking van het Agentschap die aanzienlijke budgettaire besparingen mogelijk maakt. 3. Werking van het Europees Agetnschap voor Agentschap voor netwerk- en informatiebeveiliging De Commissie maakte een voorbehoud bij artikel 10 omdat zij meent dat de huidige formulering te restrictief is. De Commissie is gekant tegen de aanwijzing van bevoegde lichamen door de lidstaten, de beperking met betrekking tot de lichamen die om de bijstand van het Agentschap kunnen verzoeken en het feit dat de raad van bestuur wordt betrokken bij het onderzoek van aan het Agentschap gerichte verzoeken (artikel 10, lid 4) (voetnoten 35 en 36). Het Coreper besloot om de titel van artikel 12 "Onafhankelijkheid" te vervangen door "Verklaring van belangen"; het is van oordeel dat de nieuwe titel beter geschikt is als omschrijving van de belangrijkste vereiste voor de uitvoerend directeur, de door de lidstaten als tijdelijk functionaris gedetacheerde ambtenaren en de deskundigen van de ad hoc werkgroepen. Bovendien worden de leden van de raad van bestuur vrijgesteld van de verplichting om een bindende verklaring en een verklaring van belangen af te leggen (artikelen 12 en 13). De Commissie maakte een voorbehoud bij de schrapping van de verwijzing naar de leden van de raad van bestuur in de artikelen 12 en 13 (voetnoten 38 en 40). Een andere belangrijke kwestie in dit verband is de nieuwe formulering van het beginsel van vertrouwelijke behandeling en de schrapping van het voorgestelde artikel 14, lid 4. Ingevolge deze schrapping moet de Commissie worden beschouwd als een derde waaraan het Agentschap overeenkomstig artikel 14, lid 1, geen verwerkte of ontvangen informatie waarvoor om vertrouwelijke behandeling is gevraagd, mag onthullen. De Commissie maakte bijgevolg een algemeen voorbehoud bij artikel 14 (voetnoot 42) en een specifiek voorbehoud bij de schrapping van artikel 14, lid 4 (voetnoot 47). 4. Financiële bepalingen Wat hoofdstuk 4 betreft, maakten de delegaties voorbehouden van algemene aard (D algemeen voorbehoud /A studievoorbehoud, voetnoot 49) betreffende de verenigbaarheid van het Agentschap met de financiële vooruitzichten aangezien het Agentschap langer operationeel zal zijn. F vroeg om een toelichting van de Commissie over de herziening van de verklaring op grond van de nieuwe Verordening nr. 2343/2002 houdende de financiële kaderregeling. 9775/03 pau/gra/hd 5 DG C III NL

6 5. Algemene bepalingen a. Toepassing van het Protocol inzake de voorrechten en immuniteiten op het personeel van het Agentschap (voetnoten 52 en 53) D maakte een voorbehoud bij de toepassing van de bepalingen van het Protocol inzake de voorrechten en de immuniteiten van de Europese Gemeenschappen op het Agentschap en het personeel ervan. Volgens D moet artikel 19 van de verordening met betrekking tot de belasting op inkomsten alleen in de volgende voorrechten voorzien: a) immuniteit wat betreft belasting op inkomsten uit salarissen en andere bezoldigingen, waarbij de vrijstellingsmethode met progressievoorbehoud wordt toegepast, wanneer de inkomsten intern ten voordele van het Agentschap worden belast; b) geen immuniteit wat betreft belasting op pensioenen en uittredingsuitkeringen. In verband met hetzelfde punt maakte F ook een specifiek voorbehoud bij de toepasbaarheid van het Protocol op de belastingregeling voor het personeel van het Agentschap en vroeg zij dat de Commissie informatie zou verstrekken over de regelgeving voor de belasting van salarissen en zou meedelen of de door het personeel te betalen inkomstenbelasting op de begroting van het Agentschap of op die van de Gemeenschap wordt geboekt. Hetzelfde punt werd door de Franse delegatie ook aan de orde gesteld tijdens de besprekingen over de verordeningen betreffende het Europees Spoorwegbureau en het statuut van uitvoerende agentschappen. De Juridische dienst van de Raad bracht tijdens de vergadering van de groep advies uit; de dienst is van oordeel dat een nieuw internationaal verdrag terzake nodig is om de inhoud van het Protocol inzake de voorrechten en de immuniteiten van de Europese Gemeenschappen te wijzigen. b. Vestigingsplaats In het Commissievoorstel wordt bepaald dat de vestigingsplaats van het Agentschap op voorstel van de Commissie door de bevoegde instanties wordt aangewezen, uiterlijk zes maanden na de aanneming van de verordening (artikel 25). De delegaties waren gekant tegen de uiterste datum waarop die beslissing moet worden genomen. De groep besloot artikel 27 te schrappen. De Commissie maakte een voorbehoud en stelde voor haar oorspronkelijke tekst opnieuw op te nemen (voetnoot 59). 9775/03 pau/gra/hd 6 DG C III NL

7 D. ONOPGELOSTE VRAAGSTUKKEN (De voorbehouden van de lidstaten zijn vetgedrukt) 1. Voorbehoud voor parlementaire behandeling: UK 2. Artikel 1: algemeen voorbehoud van de Commissie (voetnoot 3) 3. Artikel 1, lid 1: studievoorbehoud van de Commissie (voetnoot 4) 4. Artikel 1, lid 2: voorbehoud van FIN (voetnoot 5) 5. Artikel 3: algemeen voorbehoud van de Commissie (voetnoot 8) 6. Hoofdstuk 2: voorbehoud van de Commissie (voetnoot 12) 7. Artikel 5: voorbehoud van de Commissie (voetnoot 13) 8. Artikel 6: voorbehoud van de Commissie (voetnoot 14) 9. Artikel 6, lid 1: voorbehoud van A, D en P (voetnoot 15) 10. Artikel 6, lid 5: voorbehoud van de Commissie (voetnoot 17) 11. Artikel 6: voorstellen van de Commissie betreffende de raad van bestuur (voetnoten 16, 18 en 20) 12. Artikel 7: voorbehoud van de Commissie (voetnoot 23) 13. Artikel 7, lid 2: voorbehoud van de Commissie (voetnoot 24) 14. Artikel 7, lid 3: voorbehoud van de Commissie (voetnoot 27) 15. Artikel 7, lid 8: voorbehoud van de Commissie (voetnoot 32) 16. Artikel 7: voorstellen van de Commissie betreffende de uitvoerend directeur (voetnoten 25, 26, 28, 29, 30 en 31) 17. Artikel 8 (geschrapt): voorbehouden van de Commissie (voetnoten 34, 39, 41, 45 en 46) 18. Artikel 10: voorbehoud van de Commissie (voetnoot 35) 19. Artikel 10 en desbetreffende overweging: voorbehoud van de Commissie (voetnoot 36) 20. Artikel 11 (geschrapt): voorbehoud van de Commissie (voetnoot 37) 21. Artikel 12: voorbehoud van de Commissie (voetnoot 38) 22. Artikel 13: voorbehoud van de Commissie (voetnoot 40) 23. Artikel 14: voorbehoud van de Commissie (voetnoot 42) 24. Artikel 14, lid 1: studievoorbehoud van UK (voetnoot 43) 25. Artikel 14 en desbetreffende overweging: voorbehoud van F (voetnoot 44) 26. Artikel 14, lid 4: voorbehoud van de Commissie (voetnoot 47) 27. Hoofdstuk 4: voorbehoud van D, studievoorbehoud van A (voetnoot 49) 28. Artikel 19: voorbehoud van D en F (voetnoot 52) 29. Artikel 21: voorbehoud van F (voetnoot 53) 30. Artikel 21, lid 2: voorbehoud van de Commissie (voetnoot 54) 31. Artikel 27: voorbehoud van de Commissie (voetnoot 59) 9775/03 pau/gra/hd 7 DG C III NL

8 BIJLAGE Voorstel voor een VERORDENING VAN HET EUROPEES PARLEMENT EN DE RAAD tot oprichting van het Europees Agentschap voor netwerk- en informatiebeveiliging HOOFDSTUK 1 WERKINGSSFEER, DOELSTELLINGEN EN TAKEN Artikel 1 3 (nieuw) Werkingssfeer 1. 4 Om te zorgen voor een hoog en doeltreffend niveau van netwerk- en informatiebeveiliging in de Gemeenschap, en om een cultuur van netwerk- en informatiebeveiliging ten behoeve van de burgers, consumenten, bedrijven en openbare lichamen in de Europese Unie tot stand te brengen en op die manier bij te dragen tot de goede werking van de interne markt, wordt hierbij een Europees Agentschap voor netwerk- en informatiebeveiliging opgericht, hierna "het Agentschap" genoemd Het Agentschap assisteert de Commissie en de lidstaten om hen te helpen voldoen aan de vereisten inzake netwerk- en informatiebeveiliging, met inbegrip van de eisen van de huidige en toekomstige communautaire wetgeving, zoals Richtlijn 2002/21/EG van het Europees Parlement en de Raad van 7 maart 2002 inzake een gemeenschappelijk regelgevingskader voor elektronische-communicatienetwerken en -diensten ("de kaderrichtlijn") De doelstellingen en taken van het Agentschap doen geen afbreuk aan de bevoegdheden van de lidstaten inzake netwerk- en informatiebeveiliging die buiten de werkingssfeer van het Verdrag tot oprichting van de Europese Gemeenschap vallen, zoals die welke onder de titels V en VI van het Verdrag betreffende de Europese Unie vallen, en laten in ieder geval de activiteiten op het gebied van openbare veiligheid, defensie, staatsveiligheid (inclusief de economische welvaart van de lidstaat wanneer de vraagstukken verband houden met de staatsveiligheid) en activiteiten van de lidstaat op het gebied van het strafrecht onverlet Commissie: algemeen voorbehoud bij artikel 1. Commissie: studievoorbehoud bij dit punt. FIN: voorbehoud bij de nieuwe formulering van artikel 1, lid 2. PB L 108 van , blz /03 pau/cq/bm 8

9 Artikel 2 (oud artikel 1) Doelstellingen 1. Het Agentschap stelt de Gemeenschap en de lidstaten beter in staat om netwerk- en informatiebeveiligingsproblemen te voorkomen, aan te pakken en het hoofd te bieden. 2. Het Agentschap verleent bijstand en advies aan de Commissie en de lidstaten in verband met vraagstukken inzake netwerk- en informatiebeveiliging die onder zijn bevoegdheden vallen, zoals vastgesteld in deze verordening. 3. Voortbouwend op nationale en communautaire inspanningen ontwikkelt het Agentschap een hoog niveau van deskundigheid. Het Agentschap wendt deze deskundigheid aan om een ruime samenwerking tussen de betrokkenen uit de publieke en particuliere sector te bevorderen. 4. Het Agentschap assisteert de Commissie op verzoek bij de technische voorbereiding van de aanpassing en de ontwikkeling van de communautaire wetgeving op het gebied van netwerken informatiebeveiliging. [...] 7 7 Deze tekst wordt opgenomen in een nieuwe overweging: "De uitoefening van de taken van het Agentschap laat de competenties van de volgende instanties onverlet en mag hun bevoegdheden en taken niet uithollen, belemmeren of overlappen: a) de nationale regelgevende autoriteiten zoals omschreven in de richtlijnen inzake de elektronische-communicatienetwerken en diensten, inzake de Europese Groep van regelgevende instanties voor elektronische communicatienetwerken en diensten (Besluit van de Commissie d. d. 29 juli 2002, PB L 200 van , blz. 38) en inzake het Comité voor communicatie (artikel 22 van de kaderrichtlijn, PB L 108 van , blz. 33); b) de Europese normalisatie-instellingen, de nationale normalisatie-instellingen en het Permanent Comité zoals bepaald in Richtlijn 98/48/EG van 20 juli 1998 tot wijziging van Richtlijn 98/34/EG betreffende een informatieprocedure op het gebied van normen en technische voorschriften; c) de toezichthoudende autoriteiten van de lidstaten inzake de bescherming van personen wat de verwerking van persoonsgegevens en het vrije verkeer van gegevens betreft." 9775/03 pau/cq/bm 9

10 Artikel 3 8 (oud artikel 2) Taken Teneinde ervoor te zorgen dat de in de artikelen 1 en 2 vastgestelde werkingssfeer in acht wordt genomen en de doelstellingen worden verwezenlijkt, vervult het Agentschap de volgende taken: a) relevante informatie verzamelen met het oog op de analyse van bestaande en nieuwe risico's 9 en, in het bijzonder op Europees niveau, risico's die gevolgen hebben voor de bestendigheid en de beschikbaarheid van elektronische communicatienetwerken en voor de authenticiteit, integriteit en vertrouwelijkheid van de informatie die via deze netwerken toegankelijk wordt gemaakt en wordt verzonden, en de resultaten van deze analyse aan de lidstaten en de Commissie meedelen; b) binnen zijn doelstellingen advies en op verzoek bijstand verlenen aan de Commissie, het Parlement of de door de lidstaten aangewezen bevoegde instanties; c) de samenwerking tussen de verschillende spelers op het gebied van netwerk- en informatiebeveiliging versterken, onder andere door regelmatig overleg te plegen met het bedrijfsleven, de universiteiten en de andere betrokken sectoren, alsook door het opzetten van contactnetwerken voor communautaire instanties, door de lidstaten benoemde openbare lichamen en particuliere lichamen; c bis) de samenwerking tussen de Commissie en de lidstaten bij de ontwikkeling van gemeenschappelijke methoden bevorderen, teneinde problemen op het gebied van de netwerken informatiebeveiliging te voorkomen, aan te pakken en het hoofd te bieden; d) bijdragen aan de bewustmaking en de beschikbaarheid van tijdige, objectieve en volledige informatie over problemen op het gebied van netwerk- en informatiebeveiliging voor alle gebruikers, onder andere door middel van het stimuleren van de uitwisseling van de huidige beste praktijken, met inbegrip van waarschuwingsmethoden voor gebruikers, en het creëren van synergie tussen initiatieven uit de openbare en particuliere sector; e) de Commissie en de lidstaten assisteren bij de dialoog met het bedrijfsleven teneinde beveiligingsproblemen in verband met de apparatuur en programmatuur aan te pakken; f) de ontwikkeling van de normen op het gebied van netwerk- en informatiebeveiliging volgen; 8 9 Commissie: algemeen studievoorbehoud bij het artikel in samenhang met haar algemeen voorbehoud bij hoofdstuk 2 (organisatie). Overweging 13 dient als volgt te worden geformuleerd: "Teneinde de uitdagingen op het gebied van netwerk- en informatiebeveiliging beter te begrijpen moet het agentschap de bestaande en de nieuwe risico's kunnen analysren. Daartoe kan het Agentschap relevante informatie verzamelen, met name aan de hand van vragenlijsten, maar mag zij aan de particuliere sector of aan de lidstaten geen nieuwe verplichtingen inzake het genereren van gegevens opleggen." 9775/03 pau/cq/bm 10

11 g) activiteiten op het gebied van risicoanalyse en interoperabele oplossingen voor risicobeheer binnen organisaties in de openbare en de particuliere sector stimuleren; h) bijdragen aan de communautaire inspanningen voor de samenwerking met derde landen en zo nodig met internationale organisaties, teneinde een gemeenschappelijke algemene aanpak van de vraagstukken van netwerk- en informatiebeveiliging te bevorderen en aldus bij te dragen aan de totstandbrenging van een cultuur van netwerk- en informatiebeveiliging; i) onafhankelijk zijn eigen conclusies, beleidslijnen en adviezen formuleren betreffende vraagstukken die tot zijn taakgebied behoren. Artikel 4 (oud artikel 3) Definities Ten behoeve van deze verordening wordt verstaan onder: 10 [...] "netwerk": de transmissiesystemen en in voorkomend geval, de schakel- of routeringsapparatuur en andere middelen die het mogelijk maken signalen over te brengen via draad, radiogolven, optische of andere elektromagnetische middelen waaronder satellietnetwerken, vaste (circuit- en pakketgeschakelde, met inbegrip van internet) en mobiele terrestrische netwerken, elektriciteitsnetwerken voorzover deze voor overdracht van signalen worden gebruikt, netwerken voor radio- en televisieomroep en kabeltelevisienetwerken, ongeacht de aard van de overgebrachte informatie; "informatiesysteem": computers en elektronische communicatienetwerken, alsmede de elektronische gegevens die daarmee worden opgeslagen, verwerkt, opgehaald of verzonden met het oog op de werking, het gebruik, de beveiliging en het onderhoud ervan; "netwerk- en informatiebeveiliging": het vermogen van een netwerk- of informatiesysteem om met een gegeven niveau van betrouwbaarheid bestand te zijn tegen toevallige gebeurtenissen of onwettige of kwaadaardige acties die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van de opgeslagen of verzonden gegevens en de gerelateerde diensten die via deze netwerken en systemen worden aangeboden of toegankelijk zijn, in gevaar brengen; "beschikbaarheid": het toegankelijk zijn van gegevens en het operationeel zijn van diensten; "authenticatie": de bevestiging van een geclaimde identiteit van entiteiten of gebruikers; 10 De volgende tekst en een verwijzing naar de Resolutie van de Raad van 18 februari 2003 betreffende de uitvoering van het Actieplan eeurope 2005 moeten in een nieuwe overweging worden opgenomen: De bestaande regelgeving omvat de volgende richtlijnen: Richtlijn 2002/20/EG ("Machtigingsrichtlijn"), Richtlijn 2002/22/EG ("Universele-dienstrichtlijn"), Richtlijn 2002/19/EG ("Toegangsrichtlijn"), Richtlijn 2002/58/EG (Richtlijn betreffende privacy en elektronische communicatie), Richtlijn 1999/93/EG betreffende een gemeenschappelijk kader voor elektronische handtekeningen en Richtlijn 2000/31/EG (Richtlijn betreffende elektronische handel). 9775/03 pau/cq/bm 11

12 "gegevensintegriteit": de bevestiging dat verzonden, ontvangen of opgeslagen gegevens volledig en ongewijzigd zijn; "vertrouwelijkheid van gegevens": de bescherming van communicatie of opgeslagen gegevens tegen onderschepping en inzage door ongeautoriseerde personen; "risico": een functie van de waarschijnlijkheid dat een kwetsbaarheid in het systeem invloed heeft op de beschikbaarheid, authenticatie, integriteit of vertrouwelijkheid van de verwerkte of verzonden gegevens en de ernst van die invloed als consequentie van het opzettelijke of niet opzettelijke gebruik van een dergelijke kwetsbaarheid; "risicoanalyse": een wetenschappelijk en technologisch gefundeerd proces, bestaande uit vier stappen: gevareninventarisatie, gevarenkarakterisering, blootstellingsschatting en risicokarakterisering; "risicobeheer": een van risicoanalyse te onderscheiden proces waarin de beleidsalternatieven in overleg met de belanghebbenden tegen elkaar worden afgewogen, rekening houdende met de risicoanalyse en andere legitieme factoren, en waarbij, zo nodig, passende preventie- en beheersingsmaatregelen worden gekozen; "cultuur van netwerk- en informatiebeveiliging": de betekenis die aan dit begrip wordt gegeven in de OESO-richtsnoeren voor de beveiliging van informatiesystemen en netwerken van 25 juli 2002, die staan in bijlage I bij dit document, en in de Resolutie van de Raad van 18 februari 2003 betreffende een Europese aanpak ten behoeve van een cultuur van netwerk- en informatiebeveiliging PB C 48 van , blz /03 pau/cq/bm 12

13 HOOFDSTUK 2 ORGANISATIE 12 Artikel 5 13 (oud artikel 4) Organen van het Agentschap Het Agentschap zal bestaan uit: a) een raad van bestuur; b) een uitvoerend directeur. c) (geschrapt) d) (geschrapt) Artikel 6 14 (oud artikel 5) Raad van bestuur 1. De raad van bestuur zal bestaan uit één vertegenwoordiger per lidstaat, drie door de Commissie benoemde vertegenwoordigers 15, alsmede drie door de Commissie voorgedragen en door de Raad benoemde vertegenwoordigers zonder stemrecht, die elk één van de volgende groepen vertegenwoordigen: - de sector van de informatie- en communicatietechnologieën; - de consumentenorganisaties; - universitaire deskundigen inzake netwerk- en informatiebeveiliging. 2. De leden van de raad van bestuur worden benoemd op basis van hun relevante ervarings- en deskundigheidsniveau op het gebied van netwerk- en informatiebeveiliging. De vertegenwoordigers kunnen zich laten vervangen door gelijktijdig benoemde plaatsvervangers. 3. (Geschrapt) Commissie: voorbehoud bij het gehele hoofdstuk 2, omdat zij van oordeel is dat het aanzienlijk afwijkt van haar mededeling betreffende het operationele kader voor Europese agentschappen. Commissie: voorbehoud bij de schrapping van c) een adviesraad en d) werkgroepen. De Commissie maakt een voorbehoud bij dit artikel, vooral wat betreft de omvang en de samenstelling van de raad van bestuur (die in het voordeel van de lidstaten zijn), de meerderheidsregels bij de stemming, de rol van de raad van bestuur in de organisatorische structuur van het Agentschap (verplichte raadpleging van de raad van bestuur over courante activiteiten van het Agentschap). Zij stelt opnieuw haar oorspronkelijke voorstel voor (artikel 5). A, D en P maken voorbehoud bij het aantal stemmen (drie) van de door de Commissie aangewezen vertegenwoordigers en stellen in plaats daarvan één enkele stem voor. 9775/03 pau/cq/bm 13

14 4. De raad van bestuur kiest uit zijn midden een voorzitter en een vice-voorzitter voor een periode van tweeëneenhalf jaar, die kan worden hernieuwd. De vice-voorzitter vervangt ambtshalve de voorzitter, wanneer deze is verhinderd zijn taken te verrichten. 5. De raad van bestuur stelt zijn reglement van orde vast 16. Tenzij anders bepaald, worden de besluiten van de raad van bestuur genomen met een meerderheid van twee derden 17 van de stemmen van alle stemgerechtigde leden. 6. De raad van bestuur komt bijeen op convocatie van de voorzitter. De raad van bestuur belegt ten minste tweemaal per jaar een gewone vergadering. Op verzoek van de voorzitter of van ten minste een derde van zijn stemgerechtigde leden belegt de raad van bestuur ook buitengewone vergaderingen. De uitvoerend directeur neemt zonder stemrecht deel aan de vergaderingen van de raad van bestuur en neemt het secretariaat daarvan waar De raad van bestuur stelt op basis van een voorstel van de Commissie het huishoudelijk reglement van het Agentschap vast. Het reglement wordt openbaar gemaakt. 8. De raad van bestuur stelt de algemene doelstellingen voor de activiteiten van het Agentschap vast [ 19 ]. De raad van bestuur zorgt ervoor dat het Agentschap werkt overeenkomstig de in de artikelen 12 tot en met 15 en 23 vastgestelde beginselen. De raad van bestuur zorgt ook voor samenhang tussen de werkzaamheden van het Agentschap en de activiteiten van de lidstaten en van de Europese Gemeenschap. 9. De raad van bestuur stelt jaarlijks vóór 30 november 20 het werkprogramma van het Agentschap voor het komende jaar vast. De raad van bestuur ziet erop toe dat het werkprogramma aansluit bij de werkingssfeer, doelstellingen en taken van het Agentschap, alsook bij de wetgevings- en beleidsprioriteiten van de Gemeenschap op het gebied van netwerk- en informatiebeveiliging. 10. De raad van bestuur stelt jaarlijks vóór 31 maart het algemeen verslag over de werkzaamheden van het Agentschap in het voorgaande jaar vast De Commissie wenst opnieuw de volgende zinsnede op te nemen: "... gebaseerd op een voorstel dat de Commissie zal goedkeuren...". De Commissie maakt een voorbehoud bij de meerderheidsregel en stelt een gewone meerderheid voor. De Commissie wil de woorden "en neemt het secretariaat daarvan waar" schrappen. De tekst wordt overgebracht naar een nieuwe overweging: "De raad van bestuur waarborgt dat het Agentschap zijn taken uitvoert onder zodanige omstandigheden dat het op grond van zijn onafhankelijkheid, de kwaliteit van de verstrekte adviezen en verspreide informatie, de transparantie van zijn procedures en werkwijzen en de voortvarendheid bij de uitvoering van de hem toegewezen taken als referentiepunt kan fungeren.". De Commissie stelt 31 januari voor. 9775/03 pau/cq/bm 14

15 11. De financiële regelingen die op het Agentschap van toepassing zijn, worden na overleg met de Commissie door de raad van bestuur vastgesteld. Zij mogen niet afwijken van Verordening (EG, Euratom) nr. 2343/ van de Commissie van 23 december 2002 houdende de financiële kaderregeling van de organen, bedoeld in artikel 185 van Verordening (EG, Euratom) nr. 1605/ van de Raad houdende het Financieel Reglement van toepassing op de algemene begroting van de Europese Gemeenschappen, tenzij dit in verband met de activiteiten van het Agentschap een specifiek vereiste is en de Commissie vooraf toestemming heeft verleend. Artikel 7 23 (oud artikel 6) Uitvoerend directeur 1. Het Agentschap wordt bestuurd door de uitvoerend directeur die onafhankelijk is in de uitvoering van zijn taken. 2. De uitvoerend directeur wordt benoemd door de raad van bestuur met een meerderheid 24 van vier vijfden van de stemgerechtigde leden, op basis van een kandidatenlijst die door de Commissie wordt voorgelegd na een algemeen vergelijkend onderzoek volgend op de publicatie van een oproep tot het indienen van blijken van belangstelling in het Publicatieblad van de Europese Gemeenschappen en andere bladen. De uitvoerend directeur van het bureau wordt benoemd op grond van verdienste, van door bewijsstukken aangetoonde bestuurlijke en leidinggevende vaardigheden, en van voor netwerk- en informatiebeveiliging 25,. relevante bekwaamheid en ervaring. Vóór de benoeming wordt de door de raad van bestuur genomineerde kandidaat onverwijld uitgenodigd om een verklaring voor het Europees Parlement af te leggen en vragen te beantwoorden van leden van die instelling. Het Europees Parlement of de Raad kan te allen tijde de uitvoerend directeur horen met betrekking tot onderwerpen die verband houden met de werkzaamheden van het bureau. De uitvoerend directeur kan door de raad van bestuur met een meerderheid van vier vijfden van alle stemgerechtigde leden van zijn functie worden ontheven De ambtstermijn van de uitvoerend directeur bedraagt tweeëneenhalf jaar, en wordt met dezelfde termijn verlengd 28 tenzij de raad van bestuur anders beslist PB L 357 van , blz. 72. PB L 248 van , blz. 1. De Commissie maakt een voorbehoud bij dit artikel. De Commissie maakt voorbehoud bij de meerderheidsregels die van toepassing zijn op de benoeming van de uitvoerend directeur en stelt in de plaats daarvan een gewone meerderheid voor. De Commissie is van oordeel dat deze passage deel zou moeten uitmaken van de omschrijving van de vacature door de Commissie. De Commissie stelt voor om verwijzingen terzake in het huishoudelijk reglement op te nemen. De Commissie maakt een voorbehoud bij de nieuwe formulering van artikel 7, lid 3. De Commissie stelt voor om in de Engelse versie het woord "extended" te gebruiken. 9775/03 pau/cq/bm 15

16 4. De uitvoerend directeur is verantwoordelijk voor: a) de dagelijkse leiding van het Agentschap 29 ; b) de opstelling van een voorstel voor de werkprogramma's van het Agentschap, na voorafgaand overleg met de betrokken sectoren; c) de uitvoering van de werkprogramma's en de besluiten van de raad van bestuur; d) de taakuitoefening van het Agentschap conform de behoeften van de afnemers, met name wat betreft de doeltreffendheid van de verleende diensten; e) de opstelling van de ramingen van ontvangsten en uitgaven en de uitvoering van de begroting van het Agentschap; f) alle personeelszaken; g) het leggen en onderhouden van contacten met het Europees Parlement en het aangaan van een geregelde dialoog met de betrokken commissies. 5. Elk jaar legt de uitvoerend directeur aan de raad van bestuur de volgende stukken ter goedkeuring voor: a) een ontwerp van een algemeen verslag over alle activiteiten van het Agentschap in het voorgaande jaar; b) een ontwerp-werkprogramma De uitvoerend directeur zendt het werkprogramma 31, nadat dit door de raad van bestuur is aangenomen, naar het Europees Parlement, de Raad, de Commissie en de lidstaten en zendt het algemeen verslag van het Agentschap toe aan het Europees Parlement, de Raad, de Commissie, de Rekenkamer, het Economisch en Sociaal Comité en het Comité van de Regio's en belast zich met de publicatie ervan. 7. (Geschrapt) De Commissie stelt voor de woorden "..., met inbegrip van het secretariaat betreffende de activiteiten van het Agentschap" toe te voegen. De Commissie stelt voor de woorden "na voorafgaande goedkeuring door de Commissie" toe te voegen. De Commissie stelt voor om zowel het werkprogramma als het algemeen verslag aan alle instellingen toe te zenden. 9775/03 pau/cq/bm 16

17 8. 32 Indien nodig kan de uitvoerend directeur binnen de werkingssfeer, doelstellingen en taken van het Agentschap en na goedkeuring door de raad van bestuur ad hoc werkgroepen 33 van deskundigen oprichten. De procedures betreffende met name de samenstelling, de benoeming van de deskundigen door de uitvoerend directeur en de werkwijze van de ad hoc groepen worden in het huishoudelijk reglement van het Agentschap vastgesteld. Eventuele ad hoc werkgroepen houden zich in het bijzonder bezig met technische en wetenschappelijke onderwerpen. De leden van de raad van bestuur kunnen geen lid van de ad hoc werkgroepen zijn. De vertegenwoordigers van de Commissie zijn gemachtigd de vergaderingen van die groepen bij te wonen. Artikel 8 (oud artikel 7) Adviesraad 34 (geschrapt) De Commissie maakt een voorbehoud bij dit punt en stelt opnieuw haar oorspronkelijk voorstel voor (artikel 10). De volgende nieuwe overweging dient te worden toegevoegd: "Het Agentschap draagt er zorg voor dat zijn ad hoc werkgroepen bevoegd en representatief zijn, en zo nodig een vertegenwoordiging behelzen van de openbare diensten van de lidstaten, van de particuliere sector, met inbegrip van het bedrijfsleven, van de gebruikers en van universitaire deskundigen op het gebied van netwerk- en informatiebeveiliging. Het Agentschap kan de werkgroepen zo nodig aanvullen met onafhankelijke deskundigen die erkend zijn wegens hun bevoegdheid op het betrokken gebied." De Commissie maakt een voorbehoud bij de schrapping van artikel 8 (opheffing van de adviesraad) en stelt opnieuw haar oorspronkelijk voorstel voor (artikel 7). 9775/03 pau/cq/bm 17

18 HOOFDSTUK 3 WERKING Artikel 9 (oud artikel 8) Werkprogramma Het Agentschap baseert zijn activiteiten op de uitvoering van het werkprogramma dat is aangenomen in overeenstemming met artikel 6, lid 9. Het werkprogramma belet het Agentschap niet om onvoorziene activiteiten op zich te nemen die binnen zijn werkingssfeer, zijn doelstellingen en taken en de gegeven budgettaire beperkingen vallen. Artikel (oud artikel 9) Verzoeken aan het Agentschap 1. Verzoeken om adviezen en bijstand die binnen de werkingssfeer, de doelstellingen en taken van het Agentschap vallen, dienen aan de uitvoerend directeur te worden gericht en te worden vergezeld van achtergrondinformatie waarin het te behandelen probleem wordt uitgelegd. De uitvoerend directeur stelt de Commissie in kennis van de ontvangen verzoeken. Indien het Agentschap een verzoek weigert, dient zulks te worden gemotiveerd. 2. De in lid 1 genoemde verzoeken kunnen worden ingediend door: a) de Commissie b) elke bevoegde instantie die door de lidstaten is aangewezen, zoals een nationale regelgevende instantie volgens de definitie van artikel 2 van de kaderrichtlijn (geschrapt). 4. De praktische regelingen voor de toepassing van de leden 1 en 2, in het bijzonder met betrekking tot de indiening, de vaststelling van prioriteiten, de follow-up en de raadpleging van de raad van bestuur over de bij het Agentschap ingediende verzoeken, worden vastgesteld door de raad van bestuur in het huishoudelijk reglement van het Agentschap Voorbehoud van de Commissie bij dit artikel. Zij verzet zich namelijk tegen de aanwijzing van bevoegde instanties door de lidstaten, de beperking ten aanzien van de instanties die het Agentschap om advies mogen verzoeken, de betrokkenheid van de raad van bestuur bij de behandeling van de verzoeken die bij het Agentschap worden ingediend, en de overlappingen tussen artikel 10, lid 4, en artikel 13, lid 4. Er dient een nieuwe overweging te worden toegevoegd: "De krachtens artikel 3 van de kaderrichtlijn aangewezen nationale regelgevende instanties kunnen door een lidstaat worden aangewezen als bevoegd lichaam." De Commissie is tegen de huidige formulering van lid 2, onder b), die zij te restrictief acht. 9775/03 den/cq/mg 18

19 Artikel 11 (oud artikel 10) Werkgroepen 37 (geschrapt) Artikel (oud artikel 11) Verklaring van belangen 1. De uitvoerend directeur en [...] 39 de door de lidstaten op een tijdelijke basis gedetacheerde ambtenaren leggen een bindende verklaring en een verklaring van belangen af waaruit blijkt dat zij geen directe of indirecte belangen hebben die als nadelig voor hun onafhankelijkheid kunnen worden beschouwd. Dergelijke verklaringen dienen op schrift te worden gesteld. 2. Externe deskundigen die deelnemen aan ad hoc werkgroepen leggen op elke vergadering een verklaring af over belangen die als nadelig voor hun onafhankelijkheid worden beschouwd met betrekking tot de agendapunten. Artikel (oud artikel 12) Transparantie 1. Het Agentschap garandeert dat het zijn activiteiten uitvoert met een hoog niveau van transparantie, overeenkomstig de artikelen 14 en Het Agentschap zorgt ervoor dat het publiek en alle belanghebbenden van objectieve, betrouwbare en gemakkelijk toegankelijke informatie worden voorzien, in het bijzonder met betrekking tot eventuele resultaten van zijn werkzaamheden. Het zal tevens de belangenverklaringen van [...] de uitvoerend directeur [...] 41 en de door de lidstaten op een tijdelijke basis gedetacheerde ambtenaren openbaar maken, alsmede de belangenverklaringen die deskundigen met betrekking tot agendapunten op de vergaderingen van de ad hoc werkgroepen hebben afgelegd. 3. De raad van bestuur kan op voorstel van de uitvoerend directeur belanghebbenden toestemming geven om de uitvoering van activiteiten van het Agentschap te observeren. 4. Het Agentschap legt in zijn huishoudelijk reglement de praktische regelingen voor de toepassing van de in de leden 1 en 2 bedoelde transparantiebepalingen vast Commissievoorbehoud bij de schrapping van artikel 11 (werkgroepen). De Commissie dringt aan op de handhaving van haar oorspronkelijk voorstel (artikel 10) en is van mening dat de werkgroepen (zoals zij worden voorgesteld in artikel 7, lid 8) niet binnen het organisatorische kader van het Agentschap vallen. Commissievoorbehoud bij dit artikel wegens de schrapping van de verwijzing naar de leden van de raad van bestuur uit het oorspronkelijke voorstel. Commissievoorbehoud bij de schrapping van de verwijzing naar de adviesraad. Commissievoorbehoud bij de schrapping van de verwijzing naar de leden van de raad van bestuur uit het oorspronkelijke voorstel. Commissievoorbehoud bij de schrapping van de verwijzing naar de adviesraad. 9775/03 den/cq/mg 19

20 Artikel (oud artikel 13) Vertrouwelijke behandeling Onverminderd artikel 15, onthult het Agentschap aan derden geen verwerkte of ontvangen informatie waarvoor om vertrouwelijke behandeling is gevraagd De leden van de raad van bestuur [...] 46, de uitvoerend directeur, de door de lidstaten op een tijdelijke basis gedetacheerde ambtenaren, de externe deskundigen die deelnemen aan ad hoc werkgroepen en de personeelsleden van het Agentschap zijn ook na het beëindigen van hun functie gebonden aan de geheimhoudingsplicht uit hoofde van artikel 287 van het EG-Verdrag. 3. Het Agentschap legt in zijn huishoudelijk reglement de praktische regelingen voor de toepassing van de in de leden 1 en 2 bedoelde vertrouwelijkheidsregels vast. 4. (geschrapt) 47 Artikel 15 (oud artikel 14) Toegang tot documenten 1. Op documenten die in het bezit zijn van het Agentschap is Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie 48 van toepassing. 2. De raad van bestuur stelt binnen zes maanden na aanvang van de werkzaamheden van het Agentschap regelingen voor de uitvoering van Verordening (EG) nr. 1049/2001 vast. 3. Tegen besluiten van het Agentschap uit hoofde van artikel 8 van Verordening (EG) nr. 1049/2001is beroep mogelijk door middel van een klacht bij de ombudsman of een procedure voor het Hof van Justitie van de Europese Gemeenschappen, op grond van respectievelijk artikel 195 en artikel 230 van het EG-Verdrag Commissievoorbehoud. UK maakt een studievoorbehoud bij de formulering van artikel 14, lid 1. F maakt een voorbehoud en verkiest de formulering "gerubriceerde informatie" in de volgende nieuwe overweging: "In het kader van zijn werkingssfeer en van zijn doelstellingen, en bij de vervulling van zijn taken leeft het Agentschap in het bijzonder de bepalingen na die van toepassing zijn op de instellingen van de Europese Gemeenschappen, alsmede de nationale wetgeving inzake de behandeling van gevoelige documenten en van gerubriceerde informatie." De Commissie vroeg zich af wat de meerwaarde is van deze nieuwe overweging. Studievoorbehoud van de Commissie bij dit lid wegens de schrapping van de verwijzing naar de "adviesraad". Voorbehoud van de Commissie bij de schrapping van de verwijzing naar de adviesraad. Commissievoorbehoud bij de schrapping van artikel 14, lid 4. PB L 145 van , blz /03 den/cq/mg 20