RÅDETS AFGØRELSE
af 23. september 2013
om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer
(2013/488/EU)
RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 240, stk. 3,
under henvisning til Rådets afgørelse 2009/937/EU af 1. december 2009 om vedtagelse af Rådets forretningsorden (1), særlig artikel 24, og
ud fra følgende betragtninger:
(1)
For at udbygge Rådets virksomhed på alle områder, som kræver håndtering af klassificerede informationer, er det hensigtsmæssigt at indføre et overordnet system for sikkerhedsbeskyttelse af klassificerede informationer, der omfatter Rådet, Rådets Generalsekretariat og medlemsstaterne.
(2)
Denne afgørelse bør finde anvendelse, når Rådet, dets forberedende organer og Generalsekretariatet for Rådet (GSR) håndterer EU's klassificerede informationer (EUCI).
(3)
I overensstemmelse med nationale love og bestemmelser og i det omfang, det er nødvendigt for Rådets funktion, bør medlemsstaterne overholde denne afgørelse, når deres kompetente myndigheder, personale eller kontrahenter håndterer EUCI, så de hver især kan være sikre på, at der gælder et ækvivalent beskyttelsesniveau for EUCI.
(4)
Rådet, Kommissionen og Tjenesten for EU's Optræden Udadtil (EU-Udenrigstjenesten) er fast besluttet på at anvende ækvivalente sikkerhedsstandarder for beskyttelse af EUCI.
(5)
Rådet understreger vigtigheden af, at Europa-Parlamentet og andre EU-institutioner, -organer, -kontorer, eller -agenturer, når det er relevant, omfattes af de principper, standarder og regler for sikkerhedsbeskyttelse af klassificerede informationer, der er nødvendige for at beskytte Unionens og dens medlemsstaters interesser.
(6)
Rådet bør fastlægge de passende rammer for udveksling af EUCI i Rådets besiddelse med andre EU-institutioner, -organer, -kontorer, eller -agenturer, når det er relevant, i overensstemmelse med disse regler og gældende interinstitutionelle ordninger.
(7)
EU-organer og -agenturer oprettet i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union (TEU), samt Europol og Eurojust bør i deres interne organisation anvende de grundprincipper og minimumsstandarder, der er fastlagt i denne afgørelse med henblik på sikkerhedsbeskyttelse af EUCI, når dette er fastsat i akten om deres oprettelse.
(8)
Krisestyringsoperationer etableret i henhold til afsnit V, kapitel 2, i TEU og deres personale bør anvende de regler, der er vedtaget af Rådet med henblik på sikkerhedsbeskyttelse af EUCI, når dette er fastsat i rådsakten om deres etablering.
(9)
EU's særlige repræsentanter og medlemmerne af deres stab bør anvende de regler, der er vedtaget af Rådet med henblik på sikkerhedsbeskyttelse af EUCI, når dette er fastsat i den relevante rådsakt.
(10)
Denne afgørelse træffes med forbehold af artikel 15 og 16 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) og retsakter til gennemførelse heraf.
(11)
Denne afgørelse træffes med forbehold af gældende praksis i medlemsstaterne med hensyn til underretning af de nationale parlamenter om Unionens virksomhed.
(12)
For at sikre rettidig anvendelse af reglerne for sikkerhedsbeskyttelse af EUCI med henblik på Republikken Kroatiens tiltrædelse af Den Europæiske Union bør denne afgørelse træde i kraft på dagen for offentliggørelsen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Formål, anvendelsesområde og definitioner
1. Denne afgørelse fastlægger grundprincipperne og minimumsstandarderne for sikkerhedsbeskyttelse af EUCI.
2. Disse grundprincipper og minimumsstandarder gælder for Rådet og GSR og skal overholdes af medlemsstaterne i overensstemmelse med deres respektive nationale love og bestemmelser, så de hver især kan være sikre på, at der gælder et ækvivalent beskyttelsesniveau for EUCI.
3. I denne afgørelse anvendes de definitioner, der er fastlagt i tillæg A.
Artikel 2
Definition af EUCI, sikkerhedsklassifikationer og mærkninger
1. Ved »EU's klassificerede informationer« (EUCI) forstås informationer eller materiale mærket med en EU-sikkerhedsklassifikation, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes interesser skade i forskellig grad.
2. EUCI klassificeres efter en af følgende grader:
a)
TRÈS SECRET UE/EU TOP SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser overordentlig alvorlig skade.
b)
SECRET UE/EU SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser alvorlig skade.
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser skade.
d)
RESTREINT UE/EU RESTRICTED: informationer og materiale, hvis uautoriserede videregivelse kunne have negativ indvirkning på Den Europæiske Unions eller en eller flere af medlemsstaternes interesser.
3. EUCI forsynes med en klassifikationsmærkning i overensstemmelse med stk. 2. EUCI kan forsynes med yderligere mærkninger for at angive de aktivitetsområder, de vedrører, identificere udstederen, begrænse distributionen eller anvendelsen eller angive mulighederne for videregivelse.
Artikel 3
Klassifikationsstyring
1. De kompetente myndigheder sikrer, at EUCI er passende klassificeret, klart identificeret som klassificerede informationer og kun bevarer deres klassifikationsgrad, så længe det er nødvendigt.
2. EUCI må ikke nedklassificeres eller afklassificeres, og ingen af mærkningerne ifølge artikel 2, stk. 3, må ændres eller fjernes uden forudgående skriftligt samtykke fra udstederen.
3. Rådet godkender en sikkerhedspolitik for udarbejdelse af EUCI, der omfatter en praktisk klassifikationsvejledning.
Artikel 4
Beskyttelse af klassificerede informationer
1. EUCI skal beskyttes i overensstemmelse med denne afgørelse.
2. Den, der er i besiddelse af EUCI, er ansvarlig for beskyttelse heraf i overensstemmelse med denne afgørelse.
3. Hvis medlemsstaterne bringer klassificerede informationer med en national klassifikationsmærkning ind i Unionens strukturer eller netværk, beskytter Rådet og GSR disse informationer i overensstemmelse med de krav, der gælder for EUCI af en tilsvarende grad, jf. den sammenlignende oversigt over sikkerhedsklassifikationer i tillæg B.
4. En samlet mængde af EUCI kan berettige til en sikkerhedsbeskyttelse af en grad, der svarer til en højere klassifikation end den, der gælder for de enkelte dele.
Artikel 5
Sikkerhedsrisikostyring
1. Risici i forhold til EUCI skal styres som en proces. Processen har til formål at fastslå kendte sikkerhedsrisici, fastlægge sikkerhedsforanstaltninger for at reducere sådanne risici til et acceptabelt niveau i overensstemmelse med de grundprincipper og minimumsstandarder, der er fastlagt i denne afgørelse, og anvende disse foranstaltninger ifølge begrebet dybdeforsvar, jf. definitionen i tillæg A. Sådanne foranstaltningers effektivitet skal løbende evalueres.
2. Sikkerhedsforanstaltninger til beskyttelse af EUCI i hele deres livscyklus skal især svare til sikkerhedsklassifikationen for og formen og mængden af informationerne eller materialet, placeringen og konstruktionen af de faciliteter, hvor EUCI opbevares, og den lokalt vurderede trussel fra ondsindet og/eller kriminel virksomhed, herunder spionage, sabotage og terrorisme.
3. Beredskabsplaner skal tage hensyn til behovet for at beskytte EUCI i nødsituationer med henblik på at forhindre uautoriseret adgang, uautoriseret videregivelse eller tab af integritet eller tilgængelighed.
4. Kontinuitetsplaner skal omfatte forebyggende og genoprettende foranstaltninger med henblik på at minimere følgerne af større nedbrud eller hændelser for håndteringen og opbevaringen af EUCI.
Artikel 6
Gennemførelse af denne afgørelse
1. Når det er nødvendigt, godkender Rådet efter henstilling fra Sikkerhedsudvalget sikkerhedspolitikker med foranstaltninger til gennemførelse af denne afgørelse.
2. Sikkerhedsudvalget kan på sit niveau fastlægge sikkerhedsretningslinjer for at supplere eller understøtte denne afgørelse og eventuelle sikkerhedspolitikker, der er godkendt af Rådet.
Artikel 7
Personelsikkerhed
1. Ved personelsikkerhed forstås anvendelse af foranstaltninger for at sikre, at adgang til EUCI kun gives til personer, som:
-
har need-to-know
-
er sikkerhedsgodkendt til den relevante klassifikationsgrad, når det er nødvendigt, og
-
er blevet gjort bekendt med deres ansvar.
2. Procedurerne for personelsikkerhedsgodkendelse udformes, så det kan afgøres, om en person under hensyn til vedkommendes loyalitet, troværdighed og pålidelighed kan autoriseres til at få adgang til EUCI.
3. Alle personer i GSR, hvis opgaver kræver adgang til eller håndtering af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal være sikkerhedsgodkendt til den relevante klassifikationsgrad, inden de kan få adgang til sådanne EUCI. Disse personer skal autoriseres af GSR's ansættelsesmyndighed til at få adgang til EUCI op til en bestemt klassifikationsgrad og indtil en bestemt dato.
4. Medlemsstaternes personale, jf. artikel 15, stk. 3, hvis opgaver kan kræve adgang til EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal være sikkerhedsgodkendt til den relevante klassifikationsgrad eller på anden måde behørigt autoriseret i kraft af deres funktioner i overensstemmelse med nationale love og bestemmelser, inden de kan få adgang til sådanne EUCI.
5. Alle personer skal gøres bekendt med og anerkende deres ansvar for at beskytte EUCI i overensstemmelse med denne afgørelse, inden de får adgang til EUCI og med jævne mellemrum herefter.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag I.
Artikel 8
Fysisk sikkerhed
1. Ved fysisk sikkerhed forstås anvendelse af fysiske og tekniske beskyttelsesforanstaltninger for at forhindre uautoriseret adgang til EUCI.
2. De fysiske sikkerhedsforanstaltninger udformes med henblik på at forhindre, at en indtrænger skaffer sig hemmelig adgang eller tiltvinger sig adgang, på at afskrække fra, vanskeliggøre og afsløre uautoriserede handlinger samt på at muliggøre personalemæssig adskillelse for så vidt angår adgang til EUCI på en need-to-know-basis. Sådanne foranstaltninger fastlægges på basis af en risikostyringsproces.
3. Fysiske sikkerhedsforanstaltninger indføres for alle lokaliteter, bygninger, kontorer, lokaler og andre områder, hvor EUCI håndteres eller opbevares, herunder områder, der huser kommunikations- og informationssystemer, jf. artikel 10, stk. 2.
4. Områder, hvor EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, opbevares, skal etableres som sikrede områder i overensstemmelse med bilag II og godkendes af den kompetente sikkerhedsmyndighed.
5. Der må kun anvendes godkendt udstyr eller godkendte anordninger til beskyttelse af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag II.
Artikel 9
Forvaltning af klassificerede informationer
1. Ved forvaltning af klassificerede informationer forstås anvendelse af administrative foranstaltninger til kontrol af EUCI i hele deres livscyklus for at supplere foranstaltningerne i artikel 7, 8 og 10 og derved bidrage til at afskrække fra og afsløre forsætlig eller uagtsom kompromittering eller tab af sådanne informationer. Sådanne foranstaltninger omfatter bl.a. udarbejdelse, registrering, kopiering, oversættelse, nedklassificering, afklassificering, transport og destruktion af EUCI.
2. Informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, sikkerhedsregistreres forud for distributionen og ved modtagelsen. GSR's og medlemsstaternes respektive kompetente myndigheder etablerer en registraturordning med henblik herpå. Informationer, der er klassificeret TRÈS SECRET UE/EU TOP SECRET, registreres i dertil oprettede registraturer.
3. Tjenester og lokaliteter, hvor EUCI håndteres eller opbevares, underkastes regelmæssig inspektion af den kompetente sikkerhedsmyndighed.
4. EUCI transporteres på følgende måde mellem tjenester og lokaliteter uden for fysisk beskyttede områder:
a)
generelt ved elektronisk transmission beskyttet af kryptoprodukter, der er godkendt i overensstemmelse med artikel 10, stk. 6
b)
når de i litra a) omhandlede midler ikke anvendes, transporteres EUCI enten:
i)
via elektroniske medier (f.eks. USB-nøgler, CD'er og harddiske) beskyttet af kryptoprodukter, der er godkendt i overensstemmelse med artikel 10, stk. 6, eller
ii)
i alle andre tilfælde som foreskrevet af den kompetente sikkerhedsmyndighed i overensstemmelse med de relevante beskyttelsesforanstaltninger i bilag III.
5. Bestemmelser til gennemførelse af denne artikel findes i bilag III og IV.
Artikel 10
Beskyttelse af EUCI, der håndteres i kommunikations- og informationssystemer
1. Ved informationssikring (IA) i forbindelse med kommunikations- og informationssystemer forstås tilliden til, at disse systemer beskytter de informationer, de håndterer, og at de fungerer, som de skal, når de skal, under de legitime brugeres kontrol. Effektiv IA sikrer et passende niveau af fortrolighed, integritet, tilgængelighed, uafviselighed og autenticitet. IA baseres på en risikostyringsproces.
2. Ved »kommunikations- og informationssystem« (CIS) forstås et system, der muliggør håndtering af informationer i elektronisk form. Et CIS omfatter alle de aktiver, der er nødvendige for dets drift, herunder infrastrukturer, organisation, personale og informationsressourcer. Denne afgørelse finder anvendelse på CIS'er, der håndterer EUCI.
3. CIS'er håndterer EUCI i overensstemmelse med begrebet IA.
4. Alle CIS'er skal gennemgå en akkrediteringsproces. Akkreditering har til formål at sikre, at alle passende sikkerhedsforanstaltninger er blevet gennemført, og at der er opnået en tilstrækkelig grad af beskyttelse af EUCI og af CIS'et i overensstemmelse med denne afgørelse. Akkrediteringsudredningen skal fastsætte den højeste klassifikationsgrad for de informationer, der kan håndteres i et CIS, og de betingelser og vilkår, der svarer hertil.
5. Der gennemføres sikkerhedsforanstaltninger for at beskytte CIS'er, der håndterer informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, mod kompromittering af sådanne informationer gennem utilsigtede elektromagnetiske emissioner (»Tempestsikkerhedsforanstaltninger«). Sådanne sikkerhedsforanstaltninger skal svare til risikoen for udnyttelse af informationerne og til informationernes klassifikationsgrad.
6. Hvis beskyttelsen af EUCI sker ved hjælp af kryptoprodukter, skal sådanne produkter være godkendt på følgende måde:
a)
fortroligheden af informationer, der er klassificeret SECRET UE/EU SECRET eller højere, skal beskyttes ved hjælp af kryptoprodukter, der er godkendt af Rådet som kryptogodkendelsesmyndighed (CAA) efter henstilling fra Sikkerhedsudvalget
b)
fortroligheden af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED, skal beskyttes ved hjælp af kryptoprodukter, der er godkendt af generalsekretæren for Rådet (»generalsekretæren«) som CAA efter henstilling fra Sikkerhedsudvalget.
Uanset litra b) kan fortroligheden af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED, inden for medlemsstaternes nationale systemer beskyttes ved hjælp af kryptoprodukter, der er godkendt af en medlemsstats CAA.
7. Ved elektronisk transmission af EUCI skal der anvendes godkendte kryptoprodukter. Uanset dette krav kan der i nødsituationer følges specifikke procedurer eller anvendes specifikke tekniske konfigurationer, jf. bilag IV.
8. GSR's og medlemsstaternes respektive kompetente myndigheder etablerer følgende IA-funktioner:
a)
en IA-myndighed (IAA)
b)
en Tempestmyndighed (TA)
c)
en Kryptogodkendelsesmyndighed (CAA)
d)
en kryptodistributionsmyndighed (CDA).
9. For hvert system etablerer GSR's og medlemsstaternes respektive kompetente myndigheder:
a)
en sikkerhedsakkrediteringsmyndighed (SAA)
b)
en operativ IA-myndighed.
10. Bestemmelser til gennemførelse af denne artikel findes i bilag IV.
Artikel 11
Industrisikkerhed
1. Ved industrisikkerhed forstås anvendelse af foranstaltninger for at sikre, at kontrahenter eller underkontrahenter beskytter EUCI under forhandlingerne forud for indgåelsen af en kontrakt og under hele livscyklussen for klassificerede kontrakter. Sådanne kontrakter må ikke indebære adgang til informationer, der er klassificeret TRÈS SECRET UE/EU TOP SECRET.
2. GSR kan ved aftale overdrage opgaver, som indebærer eller medfører adgang til eller håndtering eller opbevaring af EUCI, til industrivirksomheder eller andre enheder, som er registreret i en medlemsstat eller i et tredjeland, der har indgået en aftale eller en administrativ ordning i henhold til artikel 13, stk. 2, litra a) eller b).
3. GSR sikrer som kontraherende myndighed, at minimumsstandarderne for industrisikkerhed som fastlagt i denne afgørelse og omhandlet i kontrakten overholdes, når der tildeles klassificerede kontrakter til industrivirksomheder eller andre enheder.
4. Den nationale sikkerhedsmyndighed (NSA), den udpegede sikkerhedsmyndighed (DSA) eller en hvilken som helst anden kompetent myndighed i den enkelte medlemsstat sikrer, så vidt det er muligt i henhold til nationale love og bestemmelser, at kontrahenter og underkontrahenter, der er registreret på deres område, træffer alle relevante foranstaltninger til at beskytte EUCI under forhandlingerne forud for indgåelsen af en kontrakt og under opfyldelsen af en klassificeret kontrakt.
5. NSA'en, DSA'en eller en hvilken som helst anden kompetent sikkerhedsmyndighed i den enkelte medlemsstat sikrer i overensstemmelse med nationale love og bestemmelser, at kontrahenter eller underkontrahenter, der er registreret i den pågældende medlemsstat og deltager i klassificerede kontrakter eller underkontrakter, som kræver adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inden for deres faciliteter, enten i forbindelse med opfyldelsen af kontrakterne eller i perioden forud for indgåelsen af kontrakterne, er i besiddelse af en facilitetssikkerhedsgodkendelse (FSC) til den krævede klassifikationsgrad.
6. En kontrahents eller underkontrahents personale, der med henblik på opfyldelse af en klassificeret kontrakt skal have adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, skal tildeles en personelsikkerhedsgodkendelse (PSC) af den pågældende NSA eller DSA eller anden kompetent sikkerhedsmyndighed i overensstemmelse med nationale love og bestemmelser og de minimumsstandarder, der er fastlagt i bilag I.
7. Bestemmelserne til gennemførelse af denne artikel findes i bilag V.
Artikel 12
Udveksling af EUCI
1. Rådet fastlægger de betingelser, hvorpå det må udveksle EUCI i dets besiddelse med andre EU-institutioner, -organer, -kontorer eller -agenturer. Der kan etableres passende rammer herfor, herunder ved at indgå interinstitutionelle aftaler eller om nødvendigt andre ordninger med henblik herpå.
2. Sådanne rammer skal sikre, at EUCI sikkerhedsbeskyttes i overensstemmelse med deres klassifikationsgrad og efter grundprincipper og minimumsstandarder, som svarer til dem, der er fastlagt i denne afgørelse.
Artikel 13
Udveksling af klassificerede informationer med tredjelande og internationale organisationer
1. Hvis Rådet beslutter, at det er nødvendigt at udveksle EUCI med et tredjeland eller en international organisation, etableres der passende rammer herfor.
2. For at etablere sådanne rammer og definere gensidige regler for sikkerhedsbeskyttelse af de klassificerede informationer, der udveksles,
a)
skal Unionen indgå aftaler med tredjelande eller internationale organisationer om sikkerhedsprocedurer for udveksling og beskyttelse af klassificerede informationer (»informationssikkerhedsaftaler«), eller
b)
kan generalsekretæren på vegne af GSR indgå administrative ordninger herom i overensstemmelse med bilag VI, punkt 17, hvis klassifikationsgraden for de EUCI, der skal videregives, generelt ikke er højere end RESTREINT UE/EU RESTRICTED.
3. Informationssikkerhedsaftaler eller administrative ordninger, jf. stk. 2, skal indeholde bestemmelser, der sikrer, at tredjelande eller internationale organisationer, når de modtager EUCI, sikkerhedsbeskytter sådanne informationer i overensstemmelse med informationernes klassifikationsgrad og efter minimumsstandarder, som mindst svarer til de standarder, der er fastlagt i denne afgørelse.
4. Beslutningen om at videregive EUCI, der er udfærdiget i Rådet, til et tredjeland eller en international organisation, træffes af Rådet fra sag til sag på grundlag af informationernes art og indhold, modtagerens need-to-know og Unionens interesse i videregivelsen. Hvis udstederen af de klassificerede informationer, der ønskes videregivet, ikke er Rådet, skal GSR først indhente udstederens skriftlige samtykke til videregivelsen. Hvis det ikke kan fastslås, hvem udstederen er, påtager Rådet sig dennes ansvar.
5. Der foretages vurderingsbesøg for at konstatere effektiviteten af de foranstaltninger, der gælder i et tredjeland eller en international organisation med henblik på sikkerhedsbeskyttelse af EUCI, der videregives eller udveksles.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag VI.
Artikel 14
Brud på sikkerheden og kompromittering af EUCI
1. Ved brud på sikkerheden forstås resultatet af en persons handling eller forsømmelse, der er i strid med sikkerhedsreglerne i denne afgørelse.
2. EUCI anses for at være kompromitteret, hvis de som følge af et brud på sikkerheden helt eller delvist er videregivet til uautoriserede personer.
3. Eventuelle brud på eller eventuel mistanke om brud på sikkerheden skal straks meldes til den kompetente sikkerhedsmyndighed.
4. Hvis det konstateres, eller hvis der er rimelig grund til at formode, at EUCI er kompromitteret eller bortkommet, skal NSA eller en anden kompetent myndighed træffe alle passende foranstaltninger i overensstemmelse med de relevante love og bestemmelser for at:
a)
orientere udstederen
b)
sikre, at sagen undersøges af personale, der ikke er direkte involveret i bruddet på sikkerheden, for at fastslå de faktiske omstændigheder
c)
vurdere den potentielle skade for Unionens eller medlemsstaternes interesser
d)
træffe passende foranstaltninger til at forebygge en gentagelse, og
e)
underrette de relevante myndigheder om de foranstaltninger, der er truffet.
5. Enhver, der er ansvarlig for brud på sikkerhedsreglerne i denne afgørelse, kan pålægges disciplinære foranstaltninger i overensstemmelse med gældende regler og bestemmelser. Enhver, der er ansvarlig for kompromittering eller bortkomst af EUCI, pålægges disciplinære foranstaltninger og/eller retsforfølges i overensstemmelse med gældende love, regler og bestemmelser.
Artikel 15
Ansvar for gennemførelsen
1. Rådet træffer alle nødvendige foranstaltninger for at sikre overordnet sammenhæng i anvendelsen af denne afgørelse.
2. Generalsekretæren træffer alle nødvendige foranstaltninger for i forbindelse med håndtering eller opbevaring af EUCI eller andre klassificerede informationer at sikre, at denne afgørelse anvendes i lokaliteter, der benyttes af Rådet, og inden for GSR af GSR's tjenestemænd og øvrige ansatte, af personale, som er udstationeret ved GSR, og af GSR's kontrahenter.
3. Medlemsstaterne træffer i overensstemmelse med deres respektive nationale love og bestemmelser alle passende foranstaltninger for i forbindelse med håndtering eller opbevaring af EUCI at sikre, at denne afgørelse overholdes af:
a)
personalet ved medlemsstaternes faste repræsentationer ved Den Europæiske Union og nationale delegerede, der deltager i møder i Rådet eller i dets forberedende organer eller i andre rådsaktiviteter
b)
andet personale i medlemsstaternes nationale administrationer, herunder personale, som er udstationeret ved disse administrationer, uanset om de pågældende gør tjeneste på medlemsstaternes område eller i udlandet
c)
andre personer i medlemsstaterne, der i kraft af deres funktioner er behørigt autoriseret til at få adgang til EUCI, og
d)
medlemsstaternes kontrahenter, uanset om de befinder sig på medlemsstaternes område eller i udlandet.
Artikel 16
Sikkerhedsorganisation i Rådet
1. Som led i sin rolle med hensyn til at sikre overordnet sammenhæng i anvendelsen af denne afgørelse godkender Rådet:
a)
de aftaler, der er omhandlet i artikel 13, stk. 2, litra a)
b)
beslutninger om autorisation eller samtykke til videregivelse af EUCI, som er udfærdiget af Rådet eller er i Rådets besiddelse, til tredjelande og internationale organisationer i overensstemmelse med princippet om udstederens samtykke
c)
et årligt vurderingsbesøgsprogram anbefalet af Sikkerhedsudvalget for besøg med henblik på at vurdere medlemsstaternes tjenester og lokaliteter og EU-organer, -agenturer, og -enheder, der anvender denne afgørelse eller principperne deri, samt for vurderingsbesøg til tredjelande og internationale organisationer med henblik på at konstatere effektiviteten af de foranstaltninger, der gennemføres for at sikkerhedsbeskytte EUCI, og
d)
sikkerhedspolitikker som omhandlet i artikel 6, stk. 1.
2. Generalsekretæren er GSR's sikkerhedsmyndighed. Generalsekretæren skal i den egenskab:
a)
gennemføre Rådets sikkerhedspolitik og løbende tage den op til revision
b)
med medlemsstaternes NSA'er koordinere alle spørgsmål vedrørende sikkerhedsbeskyttelse af klassificerede informationer, som er relevante for Rådets aktiviteter
c)
tildele GSR's tjenestemænd, øvrige ansatte og udstationerede nationale eksperter autorisation til at få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere i henhold til artikel 7, stk. 3
d)
når det er relevant, iværksætte undersøgelser ved konstatering af eller mistanke om kompromittering eller tab af klassificerede informationer, som er i Rådets besiddelse eller er udfærdiget af Rådet, og anmode de relevante sikkerhedsmyndigheder om at bistå med sådanne undersøgelser
e)
iværksætte periodiske inspektioner af ordningerne for sikkerhedsbeskyttelse af klassificerede informationer i GSR's lokaliteter
f)
iværksætte periodiske besøg for at vurdere ordningerne for sikkerhedsbeskyttelse af EUCI i EU-organer, -agenturer og -enheder, der anvender denne afgørelse eller principperne deri
g)
sammen med og i forståelse med de pågældende NSA'er iværksætte periodiske vurderinger af ordningerne for sikkerhedsbeskyttelse af EUCI i medlemsstaternes tjenester og lokaliteter
h)
sikre, at sikkerhedsforanstaltningerne i nødvendigt omfang koordineres med de kompetente myndigheder i medlemsstaterne, der er ansvarlige for sikkerhedsbeskyttelse af klassificerede informationer, og, når det er relevant, tredjelande eller internationale organisationer, bl.a. om arten af trusler mod EUCI's sikkerhed og midlerne til beskyttelse mod dem, og
i)
indgå de administrative ordninger, der er omhandlet i artikel 13, stk. 2, litra b).
GSR's Sikkerhedskontor står til rådighed for generalsekretæren for at bistå ham med disse ansvarsområder.
3. Med henblik på anvendelsen af artikel 15, stk. 3, bør medlemsstaterne:
a)
udpege en NSA, som opført i tillæg C, der er ansvarlig for ordningerne for sikkerhedsbeskyttelse af EUCI, således at
i)
EUCI, der opbevares af nationale styrelser, organer eller agenturer, offentlige eller private, i ind- eller udland, er sikkerhedsbeskyttet i overensstemmelse med denne afgørelse
ii)
ordningerne for sikkerhedsbeskyttelse af EUCI inspiceres eller vurderes med jævne mellemrum
iii)
alle personer, der er ansat i en national administration eller af en kontrahent, og som kan få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, er behørigt sikkerhedsgodkendt eller på anden måde i kraft af deres funktioner er behørigt autoriseret i overensstemmelse med nationale love og bestemmelser
iv)
der indføres de nødvendige sikkerhedsprogrammer for at minimere risikoen for, at EUCI kompromitteres eller bortkommer
v)
spørgsmål vedrørende sikkerhedsbeskyttelse af EUCI koordineres med andre kompetente nationale myndigheder, herunder dem, der er omhandlet i denne afgørelse, og
vi)
der reageres på relevante anmodninger om sikkerhedsgodkendelse navnlig fra EU-organer, -agenturer og -enheder og -operationer etableret i henhold til afsnit V, kapitel 2, i TEU samt EU's særlige repræsentanter (EUSR'er) og deres stab, der anvender denne afgørelse eller principperne deri.
b)
sikre, at deres kompetente myndigheder underretter og rådgiver deres regeringer og derigennem Rådet om arten af trusler mod EUCI's sikkerhed og midlerne til beskyttelse mod dem.
Artikel 17
Sikkerhedsudvalget
1. Der nedsættes et sikkerhedsudvalg. Det undersøger og vurderer sikkerhedsspørgsmål inden for rammerne af denne afgørelse og fremsætter henstillinger til Rådet, når det er relevant.
2. Sikkerhedsudvalget består af repræsentanter for medlemsstaternes NSA'er med deltagelse af en repræsentant for Kommissionen og for Tjenesten for EU's Optræden Udadtil. Udvalget ledes af generalsekretæren eller en af denne udpeget delegeret. Det træder sammen efter Rådets anvisninger eller på anmodning af generalsekretæren eller af en NSA.
Repræsentanter for EU-organer, -agenturer og -enheder, der anvender denne afgørelse eller principperne deri, kan indbydes til at deltage, når der drøftes spørgsmål, som vedrører dem.
3. Sikkerhedsudvalget tilrettelægger sine aktiviteter, så det kan fremsætte henstillinger om specifikke sikkerhedsområder. Det nedsætter ekspertundergrupper for IA-spørgsmål og andre ekspertundergrupper, når det er nødvendigt. Det udarbejder mandater for sådanne ekspertundergrupper og modtager rapporter fra dem om deres virksomhed, herunder henstillinger til Rådet, når det er relevant.
Artikel 18
Ophævelse af tidligere afgørelse
1. Denne afgørelse ophæver og træder i stedet for Rådets afgørelse 2011/292/EU (2).
2. Alle EUCI, der er klassificeret i overensstemmelse med Rådets afgørelse 2001/264/EF (3) og afgørelse 2011/292/EU, sikkerhedsbeskyttes fortsat i overensstemmelse med de relevante bestemmelser i nærværende afgørelse.
Artikel 19
Ikrafttræden
Denne afgørelse træder i kraft dagen for offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 23. september 2013.
DECISIONE DEL CONSIGLIO
del 23 settembre 2013
sulle norme di sicurezza per proteggere le informazioni classificate UE
(2013/488/UE)
IL CONSIGLIO DELL’UNIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 240, paragrafo 3,
vista la decisione 2009/937/UE del Consiglio, del 1o dicembre 2009, relativa all’adozione del suo regolamento interno (1), in particolare l’articolo 24,
considerando quanto segue:
(1)
Al fine di sviluppare le attività del Consiglio in tutti i settori che richiedono il trattamento di informazioni classificate, è opportuno porre in essere un sistema di sicurezza globale per la protezione delle informazioni classificate riguardante il Consiglio, il suo segretariato generale e gli Stati membri.
(2)
La presente decisione dovrebbe applicarsi qualora il Consiglio, i suoi organi preparatori e il segretariato generale del Consiglio (SGC) trattino informazioni classificate UE (ICUE).
(3)
In conformità delle disposizioni legislative e regolamentari nazionali e nella misura richiesta per il funzionamento del Consiglio, gli Stati membri dovrebbero rispettare la presente decisione nei casi in cui le loro autorità competenti, il loro personale e i loro contraenti trattino ICUE, affinché tutti possano avere la certezza che un livello equivalente di protezione è assicurato alle ICUE.
(4)
Il Consiglio, la Commissione e il servizio europeo per l’azione esterna (SEAE) si impegnano ad applicare norme di sicurezza equivalenti per proteggere le ICUE.
(5)
Il Consiglio sottolinea l’importanza di associare, ove opportuno, il Parlamento europeo ed altri istituzioni, organi o organismi dell’Unione a principi, norme e regole per proteggere le informazioni classificate che sono necessari per salvaguardare gli interessi dell’Unione e dei suoi Stati membri.
(6)
È opportuno che il Consiglio stabilisca un quadro appropriato per la condivisione di ICUE detenute dal Consiglio con altre istituzioni, organi o organismi dell’Unione, se del caso, conformemente alla presente decisione e agli accordi interistituzionali in vigore.
(7)
Gli organi e organismi dell’Unione istituiti ai sensi del titolo V, capo 2, del trattato sull’Unione europea (TUE), Europol ed Eurojust dovrebbero applicare, nel contesto della rispettiva organizzazione interna, i principi di base e le norme minime contenute nella presente decisione per proteggere le ICUE, ove previsto nell’atto istitutivo.
(8)
Le operazioni di gestione delle crisi stabilite ai sensi del titolo V, capo 2, TUE ed il relativo personale dovrebbero applicare le norme di sicurezza adottate dal Consiglio per proteggere le ICUE, ove previsto nell’atto istitutivo del Consiglio.
(9)
I rappresentanti speciali dell’UE e i membri delle loro squadre dovrebbero applicare le norme di sicurezza adottate dal Consiglio per proteggere le ICUE, ove previsto nel pertinente atto del Consiglio.
(10)
La presente decisione non pregiudica gli articoli 15 e 16 del trattato sul funzionamento dell’Unione europea (TFUE) e i relativi strumenti di attuazione.
(11)
La presente decisione non pregiudica le pratiche vigenti negli Stati membri per quanto riguarda l’informazione dei parlamenti nazionali in merito alle attività dell’Unione.
(12)
Per garantire l’applicazione delle norme di sicurezza per proteggere le ICUE in tempo utile per quanto riguarda l’adesione della Repubblica di Croazia all’Unione europea, la presente decisione dovrebbe entrare in vigore alla data della pubblicazione,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto, ambito di applicazione e definizioni
1. La presente decisione stabilisce i principi fondamentali e le norme minime di sicurezza per proteggere le ICUE.
2. Tali principi fondamentali e norme minime di sicurezza si applicano al Consiglio e all’SGC e sono rispettati dagli Stati membri conformemente alle loro rispettive disposizioni legislative e regolamentari nazionali, affinché tutti possano avere la certezza che un livello equivalente di protezione è assicurato alle ICUE.
3. Ai fini della presente decisione, si applicano le definizioni che figurano nell’appendice A.
Articolo 2
Definizione delle ICUE, delle classifiche e dei contrassegni di sicurezza
1. Per «informazioni classificate UE» (ICUE) si intende qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell’Unione europea o di uno o più Stati membri.
2. Le ICUE sono classificate ad uno dei seguenti livelli:
a)
TRÈS SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell’Unione europea o di uno o più Stati membri;
b)
SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell’Unione europea o di uno o più Stati membri;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell’Unione europea o di uno o più Stati membri;
d)
RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell’Unione europea o di uno o più Stati membri.
3. Le ICUE recano un contrassegno di classifica di sicurezza conformemente al paragrafo 2. Esse possono recare contrassegni supplementari intesi a designare il settore di attività cui si riferiscono, identificare l’originatore, limitare la distribuzione, restringere l’uso o indicare la divulgabilità.
Articolo 3
Gestione delle classifiche
1. Le autorità competenti garantiscono che le ICUE siano adeguatamente classificate, chiaramente identificate quali informazioni classificate e conservino il loro livello di classifica solo per il tempo necessario.
2. Le ICUE non sono declassate o declassificate e i contrassegni di cui all’articolo 2, paragrafo 3, sono modificati o rimossi senza il previo consenso scritto dell’originatore.
3. Il Consiglio approva una politica di sicurezza sulla creazione di ICUE che comprende una guida pratica per la classificazione.
Articolo 4
Protezione di informazioni classificate
1. Le ICUE sono protette conformemente alla presente decisione.
2. Il detentore di qualsiasi ICUE è responsabile della loro protezione conformemente alla presente decisione.
3. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti dell’Unione, il Consiglio e l’SGC proteggono tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza che figura nell’appendice B.
4. Un insieme di ICUE può richiedere un livello di protezione corrispondente a una classifica più elevata di quella dei singoli componenti.
Articolo 5
Gestione del rischio di sicurezza
1. Il rischio per le ICUE è gestito secondo una procedura. Tale procedura è volta a determinare i rischi noti per la sicurezza, a definire le misure di sicurezza per contenere tali rischi entro un livello accettabile conformemente ai principi fondamentali e alle norme minime stabiliti nella presente decisione, e ad applicare tali misure secondo il concetto di difesa in profondità definito nell’appendice A. L’efficacia di tali misure è valutata costantemente.
2. Le misure di sicurezza per proteggere le ICUE nel corso di tutto il loro ciclo di vita sono commisurate in particolare alla rispettiva classifica di sicurezza, alla forma e al volume delle informazioni o dei materiali, all’ubicazione e alla costruzione delle strutture in cui sono conservate le ICUE e alla valutazione a livello locale della minaccia di attività dolose e/o criminali, compreso lo spionaggio, il sabotaggio e il terrorismo.
3. I piani di emergenza tengono conto della necessità di proteggere le ICUE in situazioni di emergenza onde evitare l’accesso non autorizzato, la divulgazione o la perdita di integrità o di disponibilità.
4. I piani di continuità operativa comprendono misure di prevenzione e recupero per minimizzare l’impatto di disfunzioni o incidenti gravi nel trattamento e nella conservazione delle ICUE.
Articolo 6
Attuazione della presente decisione
1. Se necessario il Consiglio, su raccomandazione del Comitato per la sicurezza, approva politiche di sicurezza che esplicitano le misure destinate ad attuare la presente decisione.
2. Il Comitato per la sicurezza può stabilire, per quanto di sua competenza, orientamenti di sicurezza intesi a integrare o sostenere la presente decisione e ogni eventuale politica di sicurezza approvata dal Consiglio.
Articolo 7
Sicurezza del personale
1. Per «sicurezza del personale» s’intende l’applicazione di misure volte a garantire che l’accesso alle ICUE sia consentito solo alle persone che:
-
hanno necessità di conoscere;
-
hanno ottenuto il nulla osta di sicurezza del livello adatto, ove opportuno; e
-
sono state informate delle proprie responsabilità.
2. Le procedure per il nulla osta di sicurezza del personale sono intese a determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE.
3. Tutte le persone in seno all’SGC le cui mansioni richiedono l’accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, o il trattamento di tali informazioni, dispongono del nulla osta di sicurezza del livello adatto prima di poter accedere a dette ICUE. Tali persone devono essere autorizzate dall’autorità dell’SGC che ha il potere di nomina ad accedere a ICUE fino a uno specifico livello e a una data stabilita.
4. Il personale degli Stati membri di cui all’articolo 15, paragrafo 3, le cui mansioni possono richiedere l’accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispone del nulla osta di sicurezza del livello adatto o è in altro modo debitamente autorizzato in virtù delle sue funzioni, conformemente alle disposizioni legislative e regolamentari nazionali, prima di poter accedere a dette ICUE.
5. Prima che sia loro accordato l’accesso a ICUE, e successivamente ad intervalli regolari, tutte le persone sono informate e riconoscono le proprie responsabilità in materia di protezione delle ICUE conformemente alla presente decisione.
6. Le disposizioni di attuazione del presente articolo figurano nell’allegato I.
Articolo 8
Sicurezza materiale
1. Per «sicurezza materiale» si intende l’applicazione di misure di protezione materiali e tecniche volte ad impedire l’accesso non autorizzato alle ICUE.
2. Le misure di sicurezza materiale sono intese ad impedire ad intrusi l’ingresso fraudolento o con la forza, a scoraggiare, ostacolare e scoprire azioni non autorizzate e a consentire la segregazione del personale per quanto riguarda il loro accesso alle ICUE in base al principio della necessità di conoscere. Tali misure sono determinate sulla base di una procedura di gestione del rischio.
3. Le misure di sicurezza materiale sono attuate per tutti i locali, gli edifici, gli uffici, le stanze o altre zone in cui le ICUE sono trattate o conservate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti all’articolo 10, paragrafo 2.
4. Le zone in cui sono conservate ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono costituite come zone sicure conformemente all’allegato II e approvate dall’autorità di sicurezza competente.
5. Per proteggere le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore si usano solo attrezzature o dispositivi approvati.
6. Le disposizioni di attuazione del presente articolo figurano nell’allegato II.
Articolo 9
Gestione delle informazioni classificate
1. Per «gestione delle informazioni classificate» si intende l’applicazione delle misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita al fine di integrare le misure previste agli articoli 7, 8 e 10 e in tal modo contribuire a scoraggiare e scoprire casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, la registrazione, la copiatura, la traduzione, il declassamento, la declassificazione, il trasporto e la distruzione di ICUE.
2. Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono registrate a fini di sicurezza prima della diffusione e all’atto della ricezione. Le autorità competenti dell’SGC e degli Stati membri istituiscono un sistema di registrazione a tal fine. Le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.
3. I servizi ed i locali in cui sono trattate o conservate ICUE sono sottoposti a ispezioni periodiche da parte dell’autorità di sicurezza competente.
4. Le ICUE sono veicolate tra i servizi e i locali al di fuori delle zone oggetto di protezione materiale secondo le modalità seguenti:
a)
di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente all’articolo 10, paragrafo 6;
b)
qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:
i)
su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente all’articolo 10, paragrafo 6; o
ii)
in tutti gli altri casi, secondo quanto prescritto dall’autorità di sicurezza competente, conformemente alle pertinenti misure di protezione di cui all’allegato III.
5. Le disposizioni di attuazione del presente articolo figurano negli allegati III e IV.
Articolo 10
Protezione delle ICUE trattate nei sistemi di comunicazione e informazione
1. Per «garanzia di sicurezza delle informazioni (IA) nel campo dei sistemi di comunicazione e informazione» si intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi. Una IA efficace garantisce gli adeguati livelli di riservatezza, integrità, disponibilità, non disconoscibilità e autenticità. L’IA si basa su una procedura di gestione del rischio.
2. Per «sistema di comunicazione e informazione» (CIS) si intende ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un CIS comprende l’insieme delle risorse necessarie al suo funzionamento, ivi compresi l’infrastruttura, l’organizzazione, il personale e le risorse dell’informazione. La presente decisione si applica ai CIS che trattano ICUE.
3. I CIS trattano le ICUE conformemente al concetto di IA.
4. Tutti i CIS sono sottoposti a una procedura di accreditamento. L’accreditamento ha lo scopo di ottenere la garanzia che sono state messe in atto tutte le misure di sicurezza adeguate e che si è raggiunto un livello sufficiente di protezione delle ICUE e del CIS, conformemente alla presente decisione. La dichiarazione di accreditamento determina il livello di classifica più elevato delle informazioni che può essere trattato in un CIS nonché i termini e le condizioni ivi associati.
5. Sono attuate misure di sicurezza per proteggere i CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore in modo tale che tali informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»). Dette misure di sicurezza sono commisurate al rischio di sfruttamento e al livello di classifica delle informazioni.
6. Qualora la protezione delle ICUE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati secondo le modalità seguenti:
a)
la riservatezza delle informazioni classificate di livello SECRET UE/EU SECRET e superiore è protetta mediante prodotti crittografici approvati dal Consiglio in quanto autorità di approvazione degli apparati crittografici (CAA), su raccomandazione del Comitato per la sicurezza;
b)
la riservatezza delle informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o RESTREINT UE/EU RESTRICTED è protetta mediante prodotti crittografici approvati dal segretario generale del Consiglio («segretario generale») in quanto CAA, su raccomandazione del Comitato per la sicurezza.
In deroga alla lettera b), all’interno dei sistemi nazionali degli Stati membri la riservatezza delle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o RESTREINT UE/EU RESTRICTED può essere protetta mediante prodotti crittografici approvati dalla CAA di uno Stato membro.
7. Durante la trasmissione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, si possono applicare procedure specifiche in particolari situazioni di emergenza o in configurazioni tecniche specifiche di cui all’allegato IV.
8. Le autorità competenti dell’SGC e degli Stati membri stabiliscono rispettivamente le seguenti funzioni relative alla IA:
a)
un’autorità IA (IAA);
b)
un’autorità TEMPEST (TA);
c)
un’autorità di approvazione degli apparati crittografici (CAA);
d)
un’autorità di distribuzione degli apparati crittografici (CDA).
9. Per ciascun sistema le autorità competenti dell’SGC e degli Stati membri stabiliscono rispettivamente:
a)
un’autorità di accreditamento di sicurezza (SAA);
b)
un’autorità operativa IA.
10. Le disposizioni di attuazione del presente articolo figurano nell’allegato IV.
Articolo 11
Sicurezza industriale
1. Per «sicurezza industriale» si intende l’applicazione di misure che assicurino la protezione delle ICUE da parte di contraenti o subcontraenti in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati. Tali contratti non contemplano l’accesso alle informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.
2. L’SGC può affidare per contratto mansioni che comportano o implicano l’accesso a, il trattamento o la conservazione di ICUE da parte di soggetti industriali o di altra natura registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un’intesa amministrativa conformemente all’articolo 13, paragrafo 2, lettere a) o b).
3. In quanto autorità contraente, l’SGC, nell’aggiudicare un contratto classificato a un soggetto industriale o di altra natura, assicura il rispetto delle norme minime sulla sicurezza industriale previste nella presente decisione e a cui fa riferimento il contratto.
4. L’autorità di sicurezza nazionale (NSA), l’autorità di sicurezza designata (DSA) o qualsiasi altra autorità nazionale competente di ciascuno Stato membro assicura, per quanto possibile ai sensi delle disposizioni legislative e regolamentari nazionali, che i contraenti e i subcontraenti registrati nel suo territorio adottino tutte le misure adeguate per proteggere le ICUE nei negoziati precontrattuali e nell’esecuzione di un contratto classificato.
5. L’NSA, la DSA o qualsiasi altra autorità di sicurezza competente di ciascuno Stato membro assicura, conformemente alle disposizioni legislative e regolamentari nazionali, che i contraenti o i subcontraenti registrati nel territorio del rispettivo Stato membro, partecipanti a contratti o subcontratti classificati che richiedono l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture dispongano, nell’esecuzione di tali contratti o nella fase precontrattuale, di un nulla osta di sicurezza delle imprese (FSC) del livello di classifica adeguato.
6. Il personale del contraente o subcontraente che, per l’esecuzione di un contratto classificato, necessita dell’accesso ad informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET ottiene un nulla osta di sicurezza del personale (PSC) dalla rispettiva NSA, DSA o da altra autorità di sicurezza competente conformemente alle disposizioni legislative e regolamentari nazionali e alle norme minime di cui all’allegato I.
7. Le disposizioni di attuazione del presente articolo figurano nell’allegato V.
Articolo 12
Condivisione di ICUE
1. Il Consiglio determina le condizioni in base alle quali può condividere ICUE da esso detenute con altre istituzioni, organi o organismi dell’Unione. A tal fine può essere istituito un quadro appropriato, anche mediante la conclusione di accordi interistituzionali o altre intese qualora necessario a tale scopo.
2. Ogni quadro garantisce che alle ICUE sia data una protezione adeguata al loro livello di classifica e conforme ai principi fondamentali e alle norme minime equivalenti a quelli stabiliti dalla presente decisione.
Articolo 13
Scambio di informazioni classificate con Stati terzi ed organizzazioni internazionali
1. Qualora il Consiglio ravvisi la necessità di scambiare ICUE con uno Stato terzo o un’organizzazione internazionale, è posto in essere a tal fine un quadro appropriato.
2. Per stabilire tale quadro e definire regole reciproche sulla protezione delle informazioni classificate scambiate:
a)
l’Unione conclude accordi con Stati terzi o organizzazioni internazionali sulle procedure di sicurezza per scambiare e proteggere informazioni classificate («accordi sulla sicurezza delle informazioni»); o
b)
il segretario generale può pattuire intese amministrative a nome dell’SGC conformemente all’allegato VI, punto17, laddove la classifica delle ICUE da comunicare non supera di norma il livello RESTREINT UE/EU RESTRICTED.
3. Gli accordi sulla sicurezza delle informazioni o le intese amministrative di cui al paragrafo 2 contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime non meno rigorose di quelle previste nella presente decisione.
4. La decisione di comunicare ad uno Stato terzo o ad un’organizzazione internazionale ICUE originate dal Consiglio è presa dal Consiglio caso per caso, in funzione della natura e del contenuto di tali informazioni, della necessità di conoscere del destinatario e dell’entità dei vantaggi per l’Unione. Se l’originatore delle informazioni classificate che si desiderano comunicare non è il Consiglio, l’SGC chiede anzitutto il consenso scritto dell’originatore. Se è impossibile stabilire l’originatore, il Consiglio si assume la responsabilità dell’originatore.
5. Sono organizzate visite di valutazione per accertare l’efficacia delle misure di sicurezza poste in essere in uno Stato terzo o un’organizzazione internazionale al fine di proteggere le ICUE fornite o scambiate.
6. Le disposizioni di attuazione del presente articolo figurano nell’allegato VI.
Articolo 14
Violazione della sicurezza e compromissione di ICUE
1. La violazione della sicurezza è conseguenza di un atto o omissione di una persona contrario alle norme di sicurezza contenute nella presente decisione.
2. La compromissione di ICUE si verifica quando, in seguito a una violazione della sicurezza, le ICUE sono state diffuse in tutto o in parte a persone non autorizzate.
3. Qualsiasi violazione o sospetta violazione della sicurezza è immediatamente riferita all’autorità di sicurezza competente.
4. Qualora sia noto o vi siano ragionevoli motivi di ritenere che vi sia stata compromissione o perdita di ICUE, l’NSA o un’altra autorità competente adottano tutte le misure adeguate conformemente alle pertinenti disposizioni legislative e regolamentari al fine di:
a)
informare l’originatore;
b)
assicurare che personale non direttamente interessato alla violazione indaghi sul caso per accertare i fatti;
c)
valutare i potenziali danni agli interessi dell’Unione o degli Stati membri;
d)
adottare i provvedimenti opportuni per impedire che i fatti si ripetano; e
e)
informare le autorità competenti delle misure adottate.
5. Ogni persona responsabile di una violazione delle norme di sicurezza contenute nella presente decisione è passibile di azione disciplinare conformemente alle disposizioni legislative e regolamentari applicabili. Ogni persona responsabile della compromissione o della perdita di ICUE è passibile di sanzioni disciplinari e/o azioni legali conformemente alle disposizioni legislative, normative e regolamentari applicabili.
Articolo 15
Responsabilità dell’attuazione
1. Il Consiglio adotta tutte le misure necessarie per garantire la coerenza globale nell’applicazione della presente decisione.
2. Il segretario generale adotta tutte le misure necessarie per garantire che, nel trattamento o nella conservazione di ICUE o di qualsiasi altra informazione classificata, i funzionari e gli altri agenti dell’SGC, il personale distaccato presso l’SGC ed i contraenti dell’SGC applichino la presente decisione nei locali usati dal Consiglio e in seno all’SGC.
3. Gli Stati membri adottano tutte le misure adeguate, conformemente alle rispettive disposizioni legislative e regolamentari nazionali, per garantire che, nel trattamento o nella conservazione di ICUE, la presente decisione sia rispettata:
a)
dal personale delle rappresentanze permanenti degli Stati membri presso l’Unione europea e dai delegati nazionali che partecipano a sessioni del Consiglio o a riunioni dei suoi organi preparatori o che prendono parte ad altre attività del Consiglio;
b)
dagli altri membri del personale delle amministrazioni nazionali degli Stati membri, incluso il personale distaccato presso tali amministrazioni, che prestino servizio sul territorio degli Stati membri o all’estero;
c)
dalle altre persone negli Stati membri debitamente autorizzate in virtù delle loro funzioni ad avere accesso ad ICUE; e
d)
dai contraenti degli Stati membri, nel territorio degli Stati membri o all’estero.
Articolo 16
Organizzazione della sicurezza nel Consiglio
1. Nell’ambito del suo ruolo di garante della coerenza globale nell’applicazione della presente decisione, il Consiglio approva:
a)
gli accordi di cui all’articolo 13, paragrafo 2, lettera a);
b)
decisioni che autorizzano o consentono la comunicazione di ICUE provenienti o detenute dal Consiglio a Stati terzi ed organizzazioni internazionali, conformemente al principio del consenso dell’originatore;
c)
un programma annuale di visite di valutazione e raccomandato dal Comitato per la sicurezza per valutare i servizi e i locali degli Stati membri gli organi, organismi e le entità dell’Unione che applicano la presente decisione o i principi in essa contenuti e per effettuare visite di valutazione negli Stati terzi e nelle organizzazioni internazionali al fine di accertare l’efficacia delle misure attuate per la protezione delle ICUE; e
d)
le politiche di sicurezza di cui all’articolo 6, paragrafo 1.
2. Il segretario generale è l’autorità di sicurezza dell’SGC. In tale veste il segretario generale:
a)
attua la politica di sicurezza del Consiglio e la sottopone a riesame periodico;
b)
coordina con le NSA degli Stati membri tutte le questioni di sicurezza relative alla protezione di informazioni classificate pertinenti per le attività del Consiglio;
c)
fornisce ai funzionari e altri agenti dell’SGC ed esperti nazionali distaccati presso l’SGC un’autorizzazione di accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, conformemente all’articolo 7, paragrafo 3;
d)
ordina, ove opportuno, indagini su compromissioni o perdite, accertate o sospette, di informazioni classificate detenute o originate dal Consiglio e chiede alle autorità di sicurezza competenti di partecipare a tali indagini;
e)
compie ispezioni periodiche dei dispositivi di sicurezza per la protezione delle informazioni classificate nei locali dell’SGC;
f)
compie visite periodiche di valutazione dei dispositivi di sicurezza per la protezione delle ICUE negli organi, negli organismi e nelle entità dell’Unione che applicano la presente decisione o i principi in essa contenuti;
g)
compie, insieme e d’accordo con l’NSA interessata, valutazioni periodiche dei dispositivi di sicurezza per la protezione delle ICUE all’interno dei servizi e dei locali degli Stati membri;
h)
assicura il necessario coordinamento delle misure di sicurezza con le autorità competenti degli Stati membri responsabili della protezione delle informazioni classificate e, se del caso, con Stati terzi o organizzazioni internazionali, anche per quanto riguarda la natura delle minacce alla sicurezza delle ICUE e i relativi mezzi di protezione; e
i)
pattuisce le intese amministrative di cui all’articolo 13, paragrafo 2, lettera b).
Il servizio di sicurezza dell’SGC è a disposizione del segretario generale per assisterlo nell’ambito di tali competenze.
3. Ai fini dell’attuazione dell’articolo 15, paragrafo 3, gli Stati membri dovrebbero:
a)
designare un’NSA, elencata nell’appendice C, responsabile dei dispositivi di sicurezza per proteggere le ICUE affinché:
i)
le ICUE detenute da qualsiasi servizio, organo o agenzia nazionale, pubblico o privato, sul territorio nazionale o all’estero, siano protette conformemente alla presente decisione;
ii)
i dispositivi di sicurezza per la protezione delle ICUE siano ispezionati o valutati regolarmente;
iii)
tutte le persone impiegate in un’amministrazione nazionale o da un contraente cui può essere concesso l’accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore abbiano ottenuto il nulla osta di sicurezza adeguato o siano in altro modo debitamente autorizzate in virtù delle rispettive funzioni conformemente alle disposizioni legislative e regolamentari nazionali;
iv)
siano istituiti programmi di sicurezza, se necessario, per minimizzare il rischio di compromissione o perdita delle ICUE;
v)
gli aspetti di sicurezza connessi con la protezione di ICUE siano coordinati con altre autorità nazionali competenti, comprese quelle menzionate nella presente decisione; e
vi)
sia data risposta alle opportune richieste di nulla osta di sicurezza provenienti in particolare dagli organi, dagli organismi e dalle entità dell’Unione, dalle operazioni stabilite ai sensi del titolo V, capo 2, TUE e dai rappresentanti speciali dell’UE (RSUE) e dalle loro squadre che applicano la presente decisione o i principi in essa contenuti;
b)
assicurare che le loro autorità competenti forniscano informazioni e consulenza ai rispettivi governi, e attraverso questi al Consiglio, circa la natura delle minacce per la sicurezza delle ICUE ed i mezzi per proteggersi da tali minacce.
Articolo 17
Comitato per la sicurezza
1. È istituito un Comitato per la sicurezza. Esso esamina e valuta ogni questione relativa alla sicurezza nell’ambito di applicazione della presente decisione e formula, ove opportuno, raccomandazioni per il Consiglio.
2. Il Comitato per la sicurezza è composto di rappresentanti delle NSA degli Stati membri e vi partecipa un rappresentante della Commissione e del SEAE. Esso è presieduto dal segretario generale o dal suo delegato designato. Esso si riunisce secondo le istruzioni del Consiglio, o a richiesta del segretario generale o di un’NSA.
Possono essere invitati a parteciparvi rappresentanti degli organi, degli organismi e delle entità dell’Unione che applicano la presente decisione o i principi in essa contenuti quando vi si discutono questioni che li riguardano.
3. Il Comitato per la sicurezza organizza le sue attività in modo da essere in grado di formulare raccomandazioni su questioni specifiche in materia di sicurezza. Esso istituisce una sotto-sezione di esperti per gli aspetti IA ed altre sotto-sezioni ove necessario. Esso redige il mandato di tali sotto-sezioni e ne riceve le relazioni di attività corredate, ove opportuno, di raccomandazioni per il Consiglio.
Articolo 18
Sostituzione di precedenti decisioni
1. La presente decisione abroga e sostituisce la decisione 2011/292/UE (2).
2. Tutte le ICUE classificate conformemente alla decisione 2001/264/CE del Consiglio (3) e alla decisione 2011/292/UE continuano ad essere protette conformemente alle pertinenti disposizioni della presente decisione.
Articolo 19
Entrata in vigore
La presente decisione entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell’Unione europea.
Fatto a Bruxelles, il 23 settembre 2013