РЕШЕНИЕ НА СЪВЕТА
от 31 март 2011 година
относно правилата за сигурност за защита на класифицирана информация на ЕС
(2011/292/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите-членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите-членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът и Комисията са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, агенции, органи или служби на ЕС към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите-членки.
(6)
Агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, съгласно предвиденото в собствените им учредителни актове.
(7)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал прилагат правилата за сигурност, приети от Съвета за защита на КИЕС.
(8)
Специалните представители на ЕС и членовете на техните екипи прилагат приетите от Съвета правила за сигурност за защита на КИЕС.
(9)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(10)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите-членки за информиране на националните им парламенти за дейностите на Съюза,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите-членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, уредени в допълнение А.
Член 2
Определение на КИЕС, нива на класификация за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите-членки.
2. Всяка КИЕС се класифицира на някое от следните нива:
а) TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
б) SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
в) CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите-членки.
г) RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите-членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, нито никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите-членки въвеждат в структурите или мрежите на Европейския съюз класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответното ниво, съгласно съдържащата се в допълнение Б таблица на съответствията на нивата на класификация за сигурност.
4. За големи количества КИЕС или масиви от КИЕС може да се наложи защита на по-високо ниво на класификация за сигурност.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни системни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Процедурата за проучване за надеждност на персонала за длъжностни лица на ГСС и за други служители се съдържа в приложение I.
4. Служителите на държавите-членки, посочени в член 14, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране, разкриване и възстановяване на такава информация при умишлено или случайно компрометиране или загуба. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, превода, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите-членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложение III.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една комуникационна и информационна система обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за комуникационни и информационни системи, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо са защитени по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания („мерки за сигурност по Tempest“).
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар (наричан по-долу „генералния секретар“, действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите-членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата-членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите-членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите-членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава-членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 12, параграф 2, буква а) или б).
3. ГСС, в качеството си на възложител, гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава-членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава-членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани във въпросната държава-членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съветът сключва споразумения за процедури за сигурност за обмен и защита на класифицирана информация (наричани по-долу „споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на ЕС. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 13
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, компетентният орган по сигурността предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на ЕС или на държавите-членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарни и/или правни мерки в съответствие с приложимите закони, правила и подзаконови актове.
Член 14
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, включително в службите му за връзка, разположени в трети държави, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите-членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите-членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите-членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите-членки или зад граница;
в)
други лица в държавите-членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС; и
г)
изпълнители, наети от държавите-членки, независимо дали работят на територията на държавите-членки или зад граница.
Член 15
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 12, параграф 2, буква а);
б)
решенията, с които се дава разрешение за предоставяне на КИЕС на трети държави и международни организации;
в)
годишна програма, предлагана от генералния секретар и препоръчана от Комитета по сигурността, за проверки на службите и обектите в държавите-членки и на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и на Европол и Евроюст, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите-членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица и другите служители на ГСС разрешение за достъп на персонала на ЕС до КИЕС в съответствие с член 7, параграф 3, преди да им бъде даден достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на КИЕС, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в обектите на ГСС;
е)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и при операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и от специалните представители на ЕС (СПЕС) и членовете на техните екипи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични проверки на договореностите по сигурността за защита на КИЕС в службите и обектите на държавите-членки;
з)
координира мерките за сигурност с компетентните органи на държавите-членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях;
и)
влиза в административните договорености, посочени в член 12, параграф 2, буква б); и
й)
предприема първоначални и периодични посещения за оценка в трети държави или международни организации, за да удостовери ефективността на мерките, прилагани за защита на предоставена или обменена КИЕС.
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 14, параграф 3 държавите-членки следва да:
а)
определят национален орган по сигурността, който да отговаря за договореностите по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
договореностите по сигурността за защита на КИЕС да се проверяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
(vi)
да се дава отговор на съответните заявления за проверки за надеждност от агенции и органи на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, СПЕС и техните екипи.
Националните органи по сигурността са изброени в допълнение В;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 16
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на националните органи по сигурността на държавите-членки и на заседанията му присъства представител на Комисията и на Европейската служба за външна дейност. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на национален орган по сигурността.
Представителите на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и Европол и Евроюст могат да бъдат поканени да участват, когато се обсъждат въпроси, които ги засягат.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 17
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2001/264/ЕО на Съвета от 19 март 2001 г. за приемане на разпоредбите относно сигурността на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 18
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 31 март 2011 година.
NEUVOSTON PÄÄTÖS,
tehty 31 päivänä maaliskuuta 2011,
turvallisuussäännöistä EU:n turvallisuusluokiteltujen tietojen suojaamiseksi
(2011/292/EU)
EUROOPAN UNIONIN NEUVOSTO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 240 artiklan 3 kohdan,
ottaa huomioon neuvoston työjärjestyksen vahvistamisesta 1 päivänä joulukuuta 2009 tehdyn neuvoston päätöksen 2009/937/EU (1) ja erityisesti sen 24 artiklan,
sekä katsoo seuraavaa:
(1)
Neuvoston toimintojen kehittämiseksi kaikilla turvallisuusluokiteltujen tietojen käsittelyä edellyttävillä aloilla on asianmukaista perustaa turvallisuusluokiteltujen tietojen suojaamiseksi kattava turvallisuusjärjestelmä, joka koskee neuvostoa, sen pääsihteeristöä ja jäsenvaltioita.
(2)
Tätä päätöstä olisi sovellettava, kun neuvosto, sen valmistelevat elimet ja neuvoston pääsihteeristö käsittelevät EU:n turvallisuusluokiteltuja tietoja.
(3)
Jäsenvaltioiden olisi kansallisten lakiensa ja asetustensa mukaisesti ja neuvoston toiminnan edellyttämässä määrin noudatettava tätä päätöstä, kun niiden toimivaltaiset viranomaiset, henkilöstö tai hankeosapuolet käsittelevät EU:n turvallisuusluokiteltuja tietoja, jotta kaikki osapuolet voivat olla vakuuttuneita siitä, että EU:n turvallisuusluokiteltujen tietojen suojaamisessa noudatetaan vastaavaa tasoa.
(4)
Neuvosto ja komissio ovat sitoutuneet soveltamaan vastaavia turvallisuusvaatimuksia EU:n turvallisuusluokiteltujen tietojen suojaamiseen.
(5)
Neuvosto korostaa sitä, että Euroopan parlamentti ja EU:n muut toimielimet, virastot, elimet tai toimistot on tärkeää saada tarvittaessa mukaan noudattamaan turvallisuusluokiteltujen tietojen suojaamista koskevia periaatteita, vaatimuksia ja sääntöjä, jotka ovat välttämättömiä unionin ja sen jäsenvaltioiden etujen suojaamiseksi.
(6)
Euroopan unionista tehdyn sopimuksen V osaston 2 luvun nojalla perustetut EU:n virastot ja elimet sekä Europol ja Eurojust soveltavat omassa organisaatiossaan tässä päätöksessä säädettyjä perusperiaatteita ja vähimmäisvaatimuksia EU:n turvallisuusluokiteltujen tietojen suojaamiseksi, siten kuin niiden perustamissäädöksissä säädetään.
(7)
Euroopan unionista tehdyn sopimuksen V osaston 2 luvun nojalla perustetut kriisinhallintaoperaatiot ja niiden henkilöstö soveltavat turvallisuussääntöjä, jotka neuvosto on hyväksynyt EU:n turvallisuusluokiteltujen tietojen suojaamiseksi.
(8)
EU:n erityisedustajat ja heidän alaisuudessaan työskentelevät henkilöt soveltavat turvallisuussääntöjä, jotka neuvosto on hyväksynyt EU:n turvallisuusluokiteltujen tietojen suojaamiseksi.
(9)
Tämän päätöksen tekeminen ei rajoita Euroopan unionin toiminnasta tehdyn sopimuksen 15 ja 16 artiklan eikä niiden täytäntöönpanosäädösten soveltamista.
(10)
Tämän päätöksen tekeminen ei rajoita jäsenvaltioiden olemassa olevien käytäntöjen soveltamista niiden ilmoittaessa kansallisille parlamenteilleen unionin toimista,
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Kohde, soveltamisala ja määritelmät
1. Tällä päätöksellä säädetään EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista perusperiaatteista ja vähimmäisvaatimuksista.
2. Näitä perusperiaatteita ja vähimmäisvaatimuksia sovelletaan neuvostoon ja neuvoston pääsihteeristöön, jäljempänä ’pääsihteeristö’, ja jäsenvaltioiden on noudatettava niitä kansallisten lakiensa ja asetustensa mukaisesti, jotta kaikki osapuolet voivat olla vakuuttuneita siitä, että EU:n turvallisuusluokiteltujen tietojen suojaamisessa noudatetaan vastaavaa tasoa.
3. Tässä päätöksessä sovelletaan lisäyksessä A säädettyjä määritelmiä.
2 artikla
EU:n turvallisuusluokiteltujen tietojen määrittely, turvallisuusluokat ja merkinnät
1. ’EU:n turvallisuusluokitelluilla tiedoilla’ tarkoitetaan mitä tahansa tietoja tai aineistoja, joille on määritelty EU:n turvallisuusluokka ja joiden luvaton ilmitulo saattaisi vaihtelevassa määrin vahingoittaa Euroopan unionin tai sen yhden tai useamman jäsenvaltion etuja.
2. EU:n turvallisuusluokitellut tiedot jaetaan seuraaviin turvallisuusluokkiin:
a) TRES SECRET UE/EU TOP SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa poikkeuksellisen vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja.
b) SECRET UE/EU SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja.
c) CONFIDENTIEL UE/EU CONFIDENTIAL: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja.
d) RESTREINT UE/EU RESTRICTED: tiedot ja aineistot, joiden luvattomasta ilmitulosta saattaisi olla haittaa Euroopan unionin tai yhden tai useamman jäsenvaltion eduille.
3. EU:n turvallisuusluokiteltuihin tietoihin lisätään turvallisuusluokitusmerkintä 2 kohdan mukaisesti. Niissä voi olla myös muita merkintöjä, jotka liittyvät toimialaan, jota tiedot koskevat, tai joilla ilmoitetaan luovuttaja, rajoitetaan jakelua, rajoitetaan käyttöä tai ilmoitetaan luovutettavuus.
3 artikla
Turvallisuusluokittelun hallinnointi
1. Toimivaltaisten viranomaisten on varmistettava, että EU:n turvallisuusluokitellut tiedot on asianmukaisesti turvallisuusluokiteltu, että ne on selkeästi määritelty turvallisuusluokitelluiksi tiedoiksi ja että niiden turvallisuusluokka säilytetään vain niin kauan kuin se on tarpeen.
2. EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa ei saa alentaa eikä poistaa eikä niissä olevia 2 artiklan 3 kohdassa tarkoitettuja merkintöjä saa muuttaa eikä poistaa ilman niiden luovuttajan kirjallista etukäteissuostumusta.
3. Neuvosto hyväksyy EU:n turvallisuusluokiteltujen tietojen tuottamisessa noudatettavat turvallisuusperiaatteet, joihin sisältyy käytännön turvallisuusluokitusopas.
4 artikla
Turvallisuusluokiteltujen tietojen suojaaminen
1. EU:n turvallisuusluokiteltujen tietojen suojaamisessa on noudatettava tätä päätöstä.
2. Minkä tahansa EU:n turvallisuusluokitellun tiedon haltija on vastuussa sen suojaamisesta tämän päätöksen mukaisesti.
3. Jäsenvaltioiden tuodessa Euroopan unionin rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, neuvosto ja pääsihteeristö noudattavat kyseisten tietojen suojaamisessa vastaavan tason EU:n turvallisuusluokiteltuihin tietoihin sovellettavia vaatimuksia lisäyksessä B olevan turvallisuusluokkien vastaavuustaulukon mukaisesti.
4. Jos EU:n turvallisuusluokiteltuja tietoja on suuria määriä tai jos niitä kootaan, ne voivat edellyttää korkeampaan turvallisuusluokkaan sovellettavaa suojaa.
5 artikla
Turvallisuusriskien hallinta
1. EU:n turvallisuusluokiteltuihin tietoihin kohdistuvia riskejä on hallittava prosessina. Prosessissa on pyrittävä määrittelemään tunnetut turvallisuusriskit ja turvatoimet niiden vähentämiseksi hyväksyttävälle tasolle tässä päätöksessä säädettyjen perusperiaatteiden ja vähimmäisvaatimusten mukaisesti sekä soveltamaan kyseisiä turvatoimia lisäyksessä B määritellyn syvyyssuuntaisen turvallisuuden käsitteen pohjalta. Turvatoimien tehokkuutta on arvioitava jatkuvasti.
2. Turvatoimet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi koko niiden elinkaaren ajan on suhteutettava erityisesti tietojen tai aineistojen turvallisuusluokitukseen, muotoon ja määrään, EU:n turvallisuusluokiteltujen tietojen sijoitustilojen sijaintiin ja rakentamiseen sekä paikallisesti arvioituun vihamielisen ja/tai rikollisen toiminnan uhkaan, vakoilu, sabotaasi ja terrorismi mukaan luettuina.
3. Varautumissuunnitelmissa on otettava huomioon tarve suojata EU:n turvallisuusluokitellut tiedot hätätilanteissa, jotta estetään luvaton pääsy tietoihin, tietojen ilmitulo tai niiden eheyden tai käytettävyyden menettäminen.
4. Toiminnan jatkuvuussuunnitelmiin on sisällytettävä ennalta ehkäiseviä ja vaarantumis- tai katoamistilanteen korjaamistoimenpiteitä, jotta minimoitaisiin merkittävien toimintahäiriöiden tai poikkeuksellisten tapahtumien vaikutukset EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen.
6 artikla
Tämän päätöksen täytäntöönpano
1. Neuvosto hyväksyy tarvittaessa turvallisuuskomitean suosituksesta turvallisuusperiaatteet, joissa esitetään toimenpiteet tämän päätöksen panemiseksi täytäntöön.
2. Turvallisuuskomitean tasolla voidaan hyväksyä turvallisuutta koskevia suuntaviivoja, joilla täydennetään tai tuetaan tätä päätöstä ja neuvoston mahdollisesti hyväksymiä turvallisuusperiaatteita.
7 artikla
Henkilöstöturvallisuus
1. Henkilöstöturvallisuudella tarkoitetaan toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin myönnetään ainoastaan henkilöille
-
joilla on tiedonsaantitarve (need-to-know);
-
joille on tarvittaessa tehty asianmukaisen tason turvallisuusselvitys;
-
joille on tiedotettu heidän vastuustaan.
2. Henkilöturvallisuusselvitystä koskevien menettelyjen tarkoituksena on selvittää, voidaanko henkilölle myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin, hänen lojaaliutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen.
3. Kaikista pääsihteeristössä työskentelevistä henkilöistä, joilla on tehtäviensä suorittamiseksi oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuihin tietoihin, on tehtävä asianmukaisen tason turvallisuusselvitys ennen kuin heille myönnetään pääsy kyseisiin EU:n turvallisuusluokiteltuihin tietoihin. Pääsihteeristön virkamiehiä ja muuta henkilöstöä koskeva henkilöturvallisuus-selvitysmenettely esitetään liitteessä I.
4. Jäljempänä 14 artiklan 3 kohdassa tarkoitetusta jäsenvaltioiden henkilöstöstä, joiden tehtävien suorittaminen voi edellyttää pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuihin tietoihin, on tehtävä asianmukaisen tason turvallisuusselvitys tai heillä on oltava muu kansallisten lakien ja asetusten mukainen asianmukainen valtuutus tehtäviensä vuoksi ennen kuin heille myönnetään pääsy kyseisiin EU:n turvallisuusluokiteltuihin tietoihin.
5. Kaikille henkilöille on selvitettävä heidän vastuunsa ja heidän on annettava vakuutus vastuustaan suojata EU:n turvallisuusluokitellut tiedot tämän päätöksen mukaisesti ennen kuin heille myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin; tämä on uusittava säännöllisin väliajoin.
6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä I.
8 artikla
Fyysinen turvallisuus
1. Fyysisellä turvallisuudella tarkoitetaan fyysisten ja teknisten suojatoimenpiteiden toteuttamista niin, että estetään luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin.
2. Fyysisten turvatoimien tarkoituksena on estää tunkeutuminen salaa tai väkisin, ehkäistä, estää ja havaita luvattomat toimet ja mahdollistaa henkilöstön luokitus ja pääsy EU:n turvallisuusluokiteltuihin tietoihin sen perusteella, mikä heidän tiedonsaantitarpeensa on. Tällaiset toimet on määriteltävä riskinhallintaprosessin perusteella.
3. Fyysiset turvatoimet on toteutettava kaikissa tiloissa, rakennuksissa, toimistoissa, huoneissa ja muissa paikoissa, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään tai säilytetään, 10 artiklan 2 kohdassa määritellyt viestintä- ja tietojärjestelmien sijoitusalueet mukaan luettuina.
4. Alueet, joilla säilytetään CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuja tietoja, on määriteltävä turva-alueiksi liitteen II mukaisesti, ja toimivaltaisen turvallisuusviranomaisen on hyväksyttävä ne.
5. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltujen tietojen suojaamiseen saa käyttää vain hyväksyttyjä välineitä tai laitteita.
6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä II.
9 artikla
Turvallisuusluokiteltujen tietojen hallinnointi
1. Turvallisuusluokiteltujen tietojen hallinnoinnilla tarkoitetaan hallinnollisten toimenpiteiden soveltamista EU:n turvallisuusluokiteltujen tietojen valvomiseksi koko niiden elinkaaren ajan niin, että täydennetään 7, 8 ja 10 artiklassa säädettyjä toimenpiteitä ja siten autetaan estämään ja havaitsemaan tällaisten tietojen tahallinen tai tahaton vaarantuminen tai katoaminen sekä korjaamaan vaarantumis- tai katoamistilanne. Tällaiset toimenpiteet liittyvät erityisesti EU:n turvallisuusluokiteltujen tietojen tuottamiseen, kirjaamiseen, jäljentämiseen, kääntämiseen, kuljettamiseen ja hävittämiseen.
2. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tiedot on turvallisuussyistä kirjattava ennen niiden jakelua ja niiden vastaanottamisen yhteydessä. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on perustettava tätä varten kirjaamisjärjestelmä. TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tiedot on kirjattava niille tarkoitetuissa kirjaamoissa.
3. Toimivaltaisen turvallisuusviranomaisen on tarkastettava säännöllisin väliajoin yksiköt ja tilat, joissa käsitellään tai säilytetään EU:n turvallisuusluokiteltuja tietoja.
4. EU:n turvallisuusluokiteltujen tietojen siirtämisessä yksiköiden ja tilojen välillä fyysisesti suojattujen alueiden ulkopuolella on noudatettava seuraavaa:
a)
Yleisenä sääntönä on, että EU:n turvallisuusluokitellut tiedot on siirrettävä sähköisillä välineillä, jotka on suojattu 10 artiklan 6 kohdan mukaisesti hyväksytyillä salaustuotteilla.
b)
Jos tällaisia välineitä ei käytetä, EU:n turvallisuusluokitellut tiedot on kuljetettava joko
i)
10 artiklan 6 kohdan mukaisesti hyväksytyillä salaustuotteilla suojatuilla sähköisillä välineillä (kuten USB-muistitikut, CD-levyt, kiintolevyt), tai
ii)
kaikissa muissa tapauksissa, toimivaltaisen turvallisuusviranomaisen liitteessä III olevien asiaankuuluvien säännösten mukaisesti antamia ohjeita noudattaen.
5. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä III.
10 artikla
Viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaaminen
1. Tietojen turvaamisella tarkoitetaan viestintä- ja tietojärjestelmien alalla varmuutta siitä, että kyseiset järjestelmät suojaavat tiedot, joita niissä käsitellään, ja toimivat tarkoituksenmukaisella tavalla, oikeaan aikaan ja oikeutettujen käyttäjien valvonnassa. Tehokkaalla tietojen turvaamisella varmistetaan asianmukainen luottamuksellisuuden, eheyden, käytettävyyden, kiistämättömyyden ja aitouden taso. Tietojen turvaaminen perustuu riskinhallintaprosessiin.
2. Viestintä- ja tietojärjestelmällä tarkoitetaan järjestelmää, joka mahdollistaa tietojen käsittelyn sähköisessä muodossa. Viestintä- ja tietojärjestelmä käsittää kaikki toimintansa kannalta tarpeelliset resurssit, myös infrastruktuurin, organisaation, henkilöstön ja tietoresurssit. Tätä päätöstä sovelletaan viestintä- ja tietojärjestelmiin, joissa käsitellään EU:n turvallisuusluokiteltuja tietoja.
3. Viestintä- ja tietojärjestelmissä on käsiteltävä EU:n turvallisuusluokiteltuja tietoja tietojen turvaamisen periaatteen mukaisesti.
4. Kaikkien viestintä- ja tietojärjestelmien on läpikäytävä hyväksymisprosessi. Hyväksymisellä pyritään varmistamaan, että kaikki asiaankuuluvat turvatoimet on pantu täytäntöön ja että on saavutettu riittävä EU:n turvallisuusluokiteltujen tietojen ja viestintä- ja tietojärjestelmän suojaustaso tämän päätöksen säännösten mukaisesti. Hyväksymislausunnossa on määriteltävä niiden tietojen korkein sallittu turvallisuusluokka, joita viestintä- ja tietojärjestelmässä voidaan käsitellä, ja sitä koskevat ehdot ja edellytykset.
5. Viestintä- ja tietojärjestelmät, joissa käsitellään CONFIDENTIEL UE/EU CONFIDENTIAL- ja sitä korkeamman turvallisuusluokan tietoja, on suojattava niin, etteivät tahattomat sähkömagneettiset vuodot vaaranna tietoja (TEMPEST-turvatoimet).
6. Jos EU:n turvallisuusluokiteltujen tietojen suojaamiseen käytetään salaustuotteita, tällaiset tuotteet on hyväksyttävä seuraavasti:
a)
SECRET UE/EU SECRET- tai sitä korkeamman turvallisuusluokan tietojen luottamuksellisuus on suojattava salaustuotteilla, jotka salauslaitteiden hyväksyntäviranomaisena toimiva neuvosto on hyväksynyt turvallisuuskomitean suosituksesta;
b)
CONFIDENTIEL UE/EU CONFIDENTIAL- tai RESTREINT UE/EU RESTRICTED -turvallisuusluokan tietojen luottamuksellisuus on suojattava salaustuotteilla, jotka salauslaitteiden hyväksyntäviranomainen, neuvoston pääsihteeri, jäljempänä ’pääsihteeri’, on hyväksynyt turvallisuuskomitean suosituksesta.
Sen estämättä, mitä b alakohdassa säädetään, EU:n CONFIDENTIEL UE/EU CONFIDENTIAL- tai RESTREINT UE/EU RESTRICTED -turvallisuusluokiteltujen tietojen luottamuksellisuus voidaan suojata jäsenvaltioiden kansallisissa järjestelmissä salaustuotteilla, jotka on hyväksynyt jäsenvaltion salauslaitteiden hyväksyntäviranomainen.
7. Lähetettäessä EU:n turvallisuusluokiteltuja tietoja sähköisesti on käytettävä hyväksyttyjä salaustuotteita. Tästä vaatimuksesta poiketen poikkeuksellisissa olosuhteissa tai tiettyjen liitteessä IV säädettyjen teknisten määritysten osalta voidaan soveltaa erityisiä menettelyjä.
8. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on molempien perustettava seuraavat tiedonturvaamistehtävät:
a)
tiedonturvaamisviranomainen;
b)
TEMPEST-viranomainen;
c)
salauslaitteiden hyväksyntäviranomainen;
d)
salatun aineiston jakelusta vastaava viranomainen.
9. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on molempien perustettava kutakin järjestelmää varten
a)
turvallisuusjärjestelyjen hyväksyntäviranomainen;
b)
operatiivinen tiedonturvaamisviranomainen.
10. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä IV.
11 artikla
Yhteisöturvallisuus
1. Yhteisöturvallisuudella tarkoitetaan toimenpiteiden toteuttamista sen varmistamiseksi, että hankeosapuolet tai alihankkijat varmistavat EU:n turvallisuusluokiteltujen tietojen suojaamisen sopimusta edeltävissä neuvotteluissa ja turvallisuusluokiteltujen sopimusten koko elinkaaren ajan. Kyseisiin sopimuksiin ei saa kuulua pääsyä TRES SECRET UE/EU TOP SECRET -turvallisuusluokan tietoihin.
2. Pääsihteeristö voi antaa jäsenvaltioon tai sellaiseen kolmanteen valtioon, jonka kanssa EU on tehnyt 12 artiklan 2 kohdan a tai b alakohdan mukaisen sopimuksen tai hallinnollisen järjestelyn, rekisteröidyille yrityksille tai muille yhteisöille sopimuksella toimeksiantoja, joihin sisältyy tai liittyy pääsy EU:n turvallisuusluokiteltuihin tietoihin tai niiden käsittely tai säilyttäminen.
3. Pääsihteeristön on hankeviranomaisena varmistettava, että tässä päätöksessä säädettyjä ja sopimuksessa tarkoitettuja yhteisöturvallisuutta koskevia vähimmäisvaatimuksia noudatetaan tehtäessä turvallisuusluokiteltuja sopimuksia yritysten tai muiden yhteisöjen kanssa.
4. Kunkin jäsenvaltion kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen on mahdollisuuksien mukaan kansallisten lakien ja asetusten mukaisesti varmistettava, että sen alueelle rekisteröidyt hankeosapuolet ja alihankkijat toteuttavat kaikki asianmukaiset toimenpiteet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi sopimusta edeltävien neuvottelujen aikana tai turvallisuusluokitellun sopimuksen toimeenpanovaiheessa.
5. Kunkin jäsenvaltion kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen on kansallisten lakien ja asetusten mukaisesti varmistettava, että kyseiseen jäsenvaltioon rekisteröidyillä hankeosapuolilla tai alihankkijoilla, jotka ovat osapuolina turvallisuusluokitelluissa sopimuksissa tai alihankintasopimuksissa, jotka edellyttävät CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -turvallisuusluokan tietojen saamista niiden toimitiloissa joko sopimusten toimeenpanovaiheessa tai sopimuksia edeltävien neuvottelujen aikana, on asiaankuuluvan turvallisuusluokitustason yhteisöturvallisuusselvitys.
6. Asianomaisen kansallisen tai nimetyn turvallisuusviranomaisen tai muun toimivaltaisen turvallisuusviranomaisen on myönnettävä henkilöturvallisuusselvitys hankeosapuolen tai alihankkijan henkilöstölle, jolla on oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -turvallisuusluokan tietoihin turvallisuusluokitellun sopimuksen toimeenpanemiseksi, kansallisten lakien ja asetusten sekä liitteessä I säädettyjen vähimmäisvaatimusten mukaisesti.
7. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä V.
12 artikla
Turvallisuusluokiteltujen tietojen vaihto kolmansien valtioiden ja kansainvälisten järjestöjen kanssa
1. Jos neuvosto toteaa, että jonkin kolmannen valtion tai kansainvälisen järjestön kanssa on tarpeen vaihtaa EU:n turvallisuusluokiteltuja tietoja, tätä varten on perustettava asianmukaiset puitteet.
2. Tällaisten puitteiden perustamiseksi ja vaihdettavien turvallisuusluokiteltujen tietojen suojaamista koskevien vastavuoroisten sääntöjen määrittelemiseksi
a)
neuvosto tekee sopimuksia turvallisuusluokiteltujen tietojen vaihtoa ja suojaamista koskevista turvallisuusmenettelyistä, jäljempänä ’tietoturvallisuussopimukset’; tai
b)
pääsihteeri voi liitteessä VI olevan 17 kohdan mukaisesti sopia hallinnollisista järjestelyistä, jos luovutettavien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka on yleensä korkeintaan RESTREINT UE/EU RESTRICTED.
3. Edellä 2 kohdassa tarkoitettuihin tietoturvallisuussopimuksiin tai hallinnollisiin järjestelyihin on sisällytettävä määräyksiä, joilla varmistetaan, että kolmansien valtioiden tai kansainvälisten järjestöjen vastaanottaessa EU:n turvallisuusluokiteltuja tietoja kyseiset tiedot suojataan niiden turvallisuusluokan edellyttämällä tavalla ja vähintään yhtä tiukkojen vaatimusten mukaisesti kuin tässä päätöksessä vahvistetut vähimmäisvaatimukset.
4. Neuvosto tekee päätöksen neuvostosta peräisin olevien EU:n turvallisuusluokiteltujen tietojen luovuttamisesta kolmannelle valtiolle tai kansainväliselle järjestölle tapauskohtaisesti kyseisten tietojen luonteen ja sisällön, vastaanottajan tiedonsaantitarpeen ja EU:lle koituvan edun arvioinnin perusteella. Jos luovutuspyynnön kohteena olevien turvallisuusluokiteltujen tietojen luovuttaja ei ole neuvosto, pääsihteeristön on ensin saatava tietojen luovuttajan kirjallinen suostumus luovutukselle. Jos luovuttajaa ei tiedetä, neuvosto ottaa luovuttajan vastuun itselleen.
5. Luovutettujen tai vaihdettujen EU:n turvallisuusluokiteltujen tietojen suojaamiseksi kolmannessa valtiossa tai kansainvälisessä järjestössä toteutettujen turvatoimien tehokkuus on varmistettava järjestämällä arviointikäyntejä.
6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä VI.
13 artikla
Tietoturvaloukkaukset ja EU:n turvallisuusluokiteltujen tietojen vaarantuminen
1. Tietoturvaloukkaus tapahtuu, kun henkilö ei noudata tässä päätöksessä säädettyjä turvallisuussääntöjä tai laiminlyö niitä.
2. EU:n turvallisuusluokitellut tiedot vaarantuvat, kun ne ovat tietoturvaloukkauksen seurauksena paljastuneet kokonaisuudessaan tai osittain sivullisille henkilöille.
3. Tapahtuneesta tai epäillystä tietoturvaloukkauksesta on ilmoitettava välittömästi toimivaltaiselle turvallisuusviranomaiselle.
4. Jos EU:n turvallisuusluokiteltujen tietojen tiedetään tai voidaan perustellusti olettaa vaarantuneen tai kadonneen, toimivaltaisen turvallisuusviranomaisen on toteutettava kaikki asiaankuuluvien lakien ja asetusten mukaiset tarpeelliset toimenpiteet
a)
ilmoittaakseen tietojen luovuttajalle;
b)
varmistaakseen, että henkilöstö, joka ei ole välittömästi tekemisissä tietoturvaloukkauksen kanssa, tutkii tapauksen tosiasioiden selvittämiseksi;
c)
arvioidakseen EU:n tai jäsenvaltioiden eduille aiheutuneen mahdollisen vahingon;
d)
toteuttaakseen tarvittavat toimenpiteet tapahtuneen toistumisen estämiseksi;
e)
ilmoittaakseen asianmukaisille viranomaisille toteutetuista toimista.
5. Henkilölle, joka on vastuussa tässä päätöksessä säädettyjen turvallisuussääntöjen rikkomisesta, voidaan määrätä kurinpitoseuraamus asiaankuuluvien sääntöjen ja määräysten mukaisesti. Henkilöön, joka on aiheuttanut EU:n turvallisuusluokiteltujen tietojen vaarantumisen tai katoamisen, voidaan kohdistaa kurinpidollisia ja/tai oikeudellisia toimenpiteitä sovellettavien lakien, sääntöjen ja määräysten mukaisesti.
14 artikla
Täytäntöönpanovastuu
1. Neuvosto toteuttaa kaikki tarpeelliset toimenpiteet varmistaakseen tämän päätöksen yleisesti johdonmukaisen soveltamisen.
2. Pääsihteeri toteuttaa kaikki tarpeelliset toimenpiteet sen varmistamiseksi, että käsiteltäessä tai säilytettäessä EU:n tai muita turvallisuusluokiteltuja tietoja neuvoston käyttämissä tiloissa ja pääsihteeristössä, myös sen kolmansissa valtioissa sijaitsevissa yhteystoimistoissa, pääsihteeristön virkamiehet ja muu henkilöstö, pääsihteeristöön lähetetty henkilöstö ja pääsihteeristön hankeosapuolet soveltavat tätä päätöstä.
3. Jäsenvaltioiden on toteutettava kaikki asianmukaiset toimenpiteet kansallisten lakiensa ja asetustensa mukaisesti sen varmistamiseksi, että seuraavat noudattavat tätä päätöstä käsitellessään tai säilyttäessään EU:n turvallisuusluokiteltuja tietoja:
a)
jäsenvaltioiden Euroopan unionissa olevien pysyvien edustustojen henkilöstö sekä neuvoston tai sen valmistelevien elinten kokouksiin tai neuvoston muuhun toimintaan osallistuvat kansallisten valtuuskuntien jäsenet;
b)
muu jäsenvaltioiden kansallisen hallinnon henkilöstö, myös kyseisiin hallintoihin lähetetty henkilöstö, riippumatta siitä, ovatko henkilöt palveluksessa jäsenvaltioiden alueella vai ulkomailla;
c)
muut jäsenvaltioissa olevat henkilöt, joilla on tehtäviensä vuoksi asianmukainen valtuutus päästä EU:n turvallisuusluokiteltuihin tietoihin;
d)
jäsenvaltioiden hankeosapuolet riippumatta siitä, ovatko ne kyseisten jäsenvaltioiden alueella vai ulkomailla.
15 artikla
Turvallisuusjärjestelyt neuvostossa
1. Osana tehtäväänsä varmistaa tämän päätöksen soveltamisen yleinen johdonmukaisuus neuvosto hyväksyy
a)
12 artiklan 2 kohdan a alakohdassa tarkoitetut sopimukset;
b)
päätökset, joilla sallitaan EU:n turvallisuusluokiteltujen tietojen luovuttaminen kolmansille valtioille ja kansainvälisille järjestöille;
c)
pääsihteerin ehdottaman ja turvallisuuskomitean suositteleman vuosittaisen tarkastusohjelman, jonka mukaan tarkastetaan jäsenvaltioiden ja Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten sekä Europolin ja Eurojustin yksiköt ja tilat ja tehdään arviointikäyntejä kolmansiin valtioihin ja kansainvälisiin järjestöihin EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen toimenpiteiden tehokkuuden varmistamiseksi;
d)
edellä 6 artiklan 1 kohdassa tarkoitetut turvallisuusperiaatteet.
2. Pääsihteeri toimii pääsihteeristön turvallisuusviranomaisena. Siinä ominaisuudessa hän
a)
panee täytäntöön neuvoston turvallisuusperiaatteet ja arvioi niitä;
b)
koordinoi jäsenvaltioiden kansallisten turvallisuusviranomaisten kanssa kaikki turvallisuusasiat, jotka liittyvät neuvoston toiminnan kannalta merkityksellisten turvallisuusluokiteltujen tietojen suojaamiseen;
c)
myöntää pääsihteeristön virkamiehille ja muulle henkilöstölle EU-turvallisuusselvitykset 7 artiklan 3 kohdan mukaisesti ennen kuin heille voidaan myöntää pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin;
d)
määrää tarvittaessa tutkinnasta, joka koskee neuvoston hallussa olevien tai neuvostosta peräisin olevien EU:n turvallisuusluokiteltujen tietojen todettua tai epäiltyä vaarantumista tai katoamista, ja pyytää asiaankuuluvia turvallisuusviranomaisia auttamaan tällaisessa tutkinnassa;
e)
huolehtii turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaistarkastuksista pääsihteeristön tiloissa;
f)
huolehtii EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaistarkastuksista EU:n virastoissa ja elimissä, Europolissa, Eurojustissa ja Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustetuissa kriisinhallintaoperaatioissa sekä EU:n erityisedustajien ja heidän alaisuudessaan työskentelevien henkilöiden osalta;
g)
huolehtii yhdessä ja keskinäisestä sopimuksesta asianomaisten kansallisten turvallisuusviranomaisten kanssa EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaistarkastuksista jäsenvaltioiden yksiköissä ja tiloissa;
h)
koordinoi turvatoimet jäsenvaltioiden ja tarvittaessa kolmansien valtioiden tai kansainvälisten järjestöjen turvallisuusluokiteltujen tietojen suojaamisen osalta toimivaltaisten viranomaisten kanssa, mukaan lukien EU:n turvallisuusluokiteltuihin tietoihin kohdistuvien turvallisuusuhkien luonne ja keinot suojautua niitä vastaan;
i)
sopii 12 artiklan 2 kohdan b alakohdassa tarkoitetuista hallinnollisista järjestelyistä;
j)
järjestää alustavat ja määräaikaiset arviointikäynnit kolmansiin valtioihin tai kansainvälisiin järjestöihin sen varmistamiseksi, että niille luovutettujen tai niiden kanssa vaihdettujen EU:n turvallisuusluokiteltujen tietojen suojaamiseksi on toteutettu tehokkaat toimenpiteet.
Pääsihteeristön turvallisuusyksikkö on pääsihteerin käytettävissä näihin tehtäviin.
3. Jäsenvaltioiden olisi 14 artiklan 3 kohdan täytäntöönpanemiseksi
a)
nimettävä kansallinen turvallisuusviranomainen, joka vastaa turvallisuusjärjestelyistä EU:n turvallisuusluokiteltujen tietojen suojaamiseksi niin, että
i)
julkisten tai yksityisten kotimaassa tai ulkomailla toimivien kansallisten yksiköiden, elinten tai virastojen hallussa olevat EU:n turvallisuusluokitellut tiedot on suojattu tämän päätöksen mukaisesti;
ii)
EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutetut turvallisuusjärjestelyt tarkastetaan määräajoin;
iii)
kaikista kansallisessa hallinnossa tai hankeosapuolen palveluksessa työskentelevistä henkilöistä, joille voidaan myöntää pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin, on tehty asianmukainen turvallisuusselvitys tai että heillä on tehtäviensä vuoksi muu kansallisten lakien ja asetusten mukainen asianmukainen valtuutus;
iv)
tarpeelliset turvallisuusohjelmat on laadittu EU:n turvallisuusluokiteltujen tietojen vaarantumis- tai katoamisriskin minimoimiseksi;
v)
EU:n turvallisuusluokiteltujen tietojen suojaamiseen liittyvät turvallisuusasiat koordinoidaan muiden toimivaltaisten kansallisten viranomaisten kanssa, tässä päätöksessä tarkoitetut viranomaiset mukaan luettuina;
vi)
vastataan Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten, Europolin, Eurojustin ja Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen kriisinhallintaoperaatioiden ja EU:n erityisedustajien ja heidän alaisuudessaan työskentelevien henkilöiden esittämiin asianmukaisiin turvallisuusselvityspyyntöihin.
Kansalliset turvallisuusviranomaiset luetellaan lisäyksessä C;
b)
varmistettava, että niiden toimivaltaiset viranomaiset antavat hallituksilleen ja sitä kautta neuvostolle tietoja ja neuvoja EU:n turvallisuusluokiteltuihin tietoihin kohdistuvien turvallisuusuhkien luonteesta ja keinoista suojautua niitä vastaan.
16 artikla
Turvallisuuskomitea
1. Perustetaan turvallisuuskomitea. Turvallisuuskomitea tutkii ja arvioi tämän päätöksen soveltamisalaan kuuluvat turvallisuusasiat ja antaa tarvittaessa neuvostolle suosituksia.
2. Turvallisuuskomitea muodostuu jäsenvaltioiden kansallisten turvallisuusviranomaisten edustajista, ja komission ja Euroopan ulkosuhdehallinnon edustaja osallistuu sen kokouksiin. Komitean puheenjohtajana toimii pääsihteeri tai hänen nimeämänsä henkilö. Se kokoontuu neuvoston toimeksiannosta tai pääsihteerin taikka kansallisen turvallisuusviranomaisen pyynnöstä.
Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten sekä Europolin ja Eurojustin edustajia voidaan kutsua komitean kokouksiin, jos niissä käsitellään niitä koskevia kysymyksiä.
3. Turvallisuuskomitea järjestää toimintansa niin, että se voi antaa suosituksia erityisillä turvallisuuden aloilla. Se muodostaa tiedonturvaamisasioita käsittelevän asiantuntijakokoonpanon ja muita asiantuntijakokoonpanoja tarpeen mukaan. Se laatii kyseisten asiantuntijakokoonpanojen toimeksiannot ja sille toimitetaan niiden toimintakertomukset sekä niiden neuvostolle osoittamat mahdolliset suositukset.
17 artikla
Aiempien päätösten korvaaminen
1. Tällä päätöksellä kumotaan ja korvataan neuvoston turvallisuussääntöjen vahvistamisesta 19 päivänä maaliskuuta 2001 tehty neuvoston päätös 2001/264/EY (2).
2. Kaikki päätöksen 2001/264/EY mukaisesti luokitellut EU:n turvallisuusluokitellut tiedot suojataan edelleen tämän päätöksen asiaankuuluvien säännösten mukaisesti.
18 artikla
Voimaantulo
Tämä päätös tulee voimaan päivänä, jona se julkaistaan Euroopan unionin virallisessa lehdessä.
Tehty Brysselissä 31 päivänä maaliskuuta 2011.