(1) Die Agentur handelt in Übereinstimmung mit ihrem jährlichen und ihrem mehrjährigen Arbeitsprogramm, in denen alle ihre geplanten Tätigkeiten enthalten sind.

(2) Das Arbeitsprogramm umfasst maßgeschneiderte Leistungsindikatoren, die eine effektive Bewertung der Ergebnisse vor dem Hintergrund der Ziele ermöglichen.

(3) Der Direktor ist für die Ausarbeitung des Entwurfs des Arbeitsprogramms der Agentur nach vorheriger Anhörung der Dienststellen der Kommission verantwortlich. Bis zum 15. März eines jeden Jahres legt der Direktor dem Verwaltungsrat den Entwurf des Arbeitsprogramms für das folgende Jahr vor.

(4) Bis zum 30. November eines jeden Jahres nimmt der Verwaltungsrat nach Eingang der Stellungnahme der Kommission das Arbeitsprogramm der Agentur für das folgende Jahr an. Das Arbeitsprogramm muss auch eine mehrjährige Vorausschau enthalten. Der Verwaltungsrat sorgt dafür, dass das Arbeitsprogramm den Zielen der Agentur sowie den Prioritäten der Union für Rechtsetzung und Politik im Bereich der Netz- und Informationssicherheit entspricht.

(5) Das Arbeitsprogramm wird in Übereinstimmung mit dem Grundsatz des maßnahmenbezogenen Managements aufgestellt. Das Arbeitsprogramm muss mit dem Voranschlag der Einnahmen und Ausgaben der Agentur und dem Agenturhaushalt für das gleiche Finanzjahr übereinstimmen.

(6) Der Direktor übermittelt das Arbeitsprogramm nach dessen Annahme durch den Verwaltungsrat dem Europäischen Parlament, dem Rat, der Kommission und den Mitgliedstaaten und veröffentlicht es. Auf Aufforderung des zuständigen Ausschusses des Europäischen Parlaments stellt der Direktor das angenommene jährliche Arbeitsprogramm diesem Ausschuss vor und beteiligt sich an einem diesbezüglichen Meinungsaustausch.