РЕШЕНИЕ НА СЪВЕТА
от 23 септември 2013 година
относно правилата за сигурност за защита на класифицирана информация на EC
(2013/488/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът, Комисията и Европейската служба за външна дейност (ЕСВД) са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, органи, служби или агенции на Съюза към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите членки.
(6)
Съветът следва да определи подходящата рамка за обмен на КИЕС, която се държи от Съвета, с други институции, органи, служби и агенции на Съюза, по целесъобразност в съответствие с настоящото решение и действащите междуинституционални договорености.
(7)
Органите и агенциите на Съюза, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст следва да прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, когато това е предвидено в акта за създаването им.
(8)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал следва да прилагат правилата за сигурност, приети от Съвета за защита на КИЕС, когато това е предвидено в акта на Съвета за създаването им.
(9)
Специалните представители на ЕС и членовете на техните екипи следва да прилагат приетите от Съвета правила за сигурност за защита на КИЕС, когато това е предвидено в съответния акт на Съвета.
(10)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(11)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите членки за информиране на националните им парламенти за дейностите на Съюза.
(12)
С цел да се гарантира навременното прилагане на правилата за сигурност за защита на КИЕС във връзка с присъединяването на Република Хърватия към Европейския съюз, настоящото решение следва да влезе в сила в деня на публикуването му,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, изложени в допълнение А.
Член 2
Определение на КИЕС, класификации за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите членки.
2. КИЕС се класифицира на някое от следните нива:
а)
TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
б)
SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
в)
CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите членки.
г)
RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, както и никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите членки въвеждат в структурите или мрежите на Съюза класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответстващото ниво, съгласно съдържащата се в допълнение Б таблица на съответствието на нивата на класификация за сигурност.
4. За даден масив от КИЕС може да се наложи защита на по-високо ниво на класификация, отколкото на отделните му компоненти.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения е необходимо да имат достъп до или да работят с КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Тези лица трябва да имат разрешение от назначаващия орган на ГСС за достъп до КИЕС до определено ниво и с определен срок.
4. Служителите на държавите членки, посочени в член 15, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране и разкриване на умишлено или случайно компрометиране или загуба на такава информация. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, писмения превод, понижаването на нивото на класификация, декласификацията, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложения III и IV.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират, както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една КИС обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за КИС, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. С цел защита на КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания, се прилагат мерки за сигурност на информацията („мерки за сигурност по Tempest“). Тези мерки за сигурност са съизмерими с риска от експлоатация и нивото на класификация на информацията.
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар на Съвета („генералния секретар“), действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 13, параграф 2, буква а) или б).
3. ГСС в качеството си на възложител гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани в съответната държава членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на КИЕС
1. Съветът определя условията, съгласно които може да обменя държана от него КИЕС с други институции, органи, служби или агенции на Съюза. Може да се въведе съответна рамка за тази цел, включително като се сключат междуинституционални споразумения или други договорености при необходимост за целта.
2. Тази рамка гарантира, че на КИЕС е осигурена защита, съответстваща на нивото ѝ на класификация и на основни принципи и минимални стандарти, които са равностойни на определените в настоящото решение.
Член 13
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съюзът сключва с трети държави или международни организации споразумения за процедури за сигурност за обмен и защита на класифицирана информация („споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености от името на ГСС в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на Съюза. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 14
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, НОС или друг компетентен орган предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на Съюза или на държавите членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарно и/или съдебно производство в съответствие с приложимите закони, правила и подзаконови актове.
Член 15
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите членки или зад граница;
в)
други лица в държавите членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС;
г)
изпълнители, наети от държавите членки, независимо дали работят на територията на държавите членки или зад граница.
Член 16
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 13, параграф 2, буква а);
б)
решенията, с което се разрешава или се дава съгласие за предоставяне на КИЕС, създадена или съхранявана от Съвета, на трети държави или международни организации, в съответствие с принципа на съгласие на създателя на информацията;
в)
годишна програма за посещения за оценка, препоръчана от Комитета по сигурността, за посещения за оценка на службите и обектите в държавите членки, на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица на ГСС, на други служители и на командированите национални експерти разрешение за достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо - в съответствие с член 7, параграф 3;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на класифицирана информация, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на мерките по сигурността за защита на класифицираната информация в обектите на ГСС;
е)
извършва периодични посещения за оценка на мерките по сигурността за защита на КИЕС в органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични оценки на мерките по сигурността за защита на КИЕС в службите и обектите на държавите членки;
з)
прави необходимото за съответното координиране на мерките за сигурност с компетентните органи на държавите членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях; и
и)
влиза в административните договорености, посочени в член 13, параграф 2, буква б).
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 15, параграф 3 държавите членки следва да:
а)
определят НОС, вписан в допълнение В, който да отговаря за мерките по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
мерките по сигурността за защита на КИЕС да се проверяват или оценяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
vi)
да се дава отговор на съответните заявления за проверки за надеждност, по-специално от всички органи, агенции, структури и операции на Съюза, създадени съгласно дял V, глава 2 от ДЕС, от специалните представители на ЕС (СПЕС) и техните екипи, които прилагат настоящото решение или неговите принципи;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 17
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на НОС на държавите членки и на заседанията му присъства представител на Комисията и на ЕСВД. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на НОС.
На заседанията могат да бъдат поканени представители на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, когато се обсъждат засягащи ги въпроси.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 18
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2011/292/ЕС на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО на Съвета (3) и с Решение 2011/292/ЕС, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 19
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 23 септември 2013 година.
DECYZJA RADY
z dnia 23 września 2013 r.
w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE
(2013/488/UE)
RADA UNII EUROPEJSKIEJ,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 240 ust. 3,
uwzględniając decyzję Rady 2009/937/UE z dnia 1 grudnia 2009 r. dotyczącą przyjęcia regulaminu wewnętrznego Rady (1), w szczególności jej art. 24,
mając na uwadze, co następuje:
(1)
Aby rozwinąć działania Rady we wszystkich dziedzinach wymagających wykorzystywania informacji niejawnych, właściwe jest utworzenie kompleksowego systemu bezpieczeństwa służącego ochronie informacji niejawnych, który obejmie Radę, jej Sekretariat Generalny oraz państwa członkowskie.
(2)
Niniejsza decyzja powinna mieć zastosowanie do przypadków, gdy Rada, jej organy przygotowawcze oraz Sekretariat Generalny Rady (SGR) wykorzystują informacje niejawne UE (EUCI).
(3)
Zgodnie z krajowymi przepisami ustawowymi i wykonawczymi i w zakresie, jaki jest niezbędny do funkcjonowania Rady, w przypadkach gdy właściwe organy, pracownicy lub wykonawcy z państw członkowskich wykorzystują EUCI, państwa członkowskie powinny przestrzegać przepisów niniejszej decyzji, tak aby każda ze stron mogła mieć pewność, że zagwarantowany został równoważny poziom ochrony EUCI.
(4)
Rada, Komisja i Europejska Służba Działań Zewnętrznych (ESDZ) są zdecydowane stosować równoważne normy bezpieczeństwa w celu ochrony EUCI.
(5)
Rada podkreśla znaczenie włączania się, w stosownych przypadkach, Parlamentu Europejskiego i innych instytucji, organów lub jednostek organizacyjnych Unii w przestrzeganie zasad, norm i przepisów dotyczących ochrony informacji niejawnych, które są niezbędne do ochrony interesów Unii i jej państw członkowskich.
(6)
Rada powinna określić odpowiednie ramy wymiany EUCI będących w posiadaniu Rady z innymi instytucjami, organami lub jednostkami organizacyjnymi Unii, w stosownych przypadkach, zgodnie z niniejszą decyzją i obowiązującymi ustaleniami międzyinstytucjonalnymi.
(7)
Organy i agencje Unii utworzone na mocy tytułu V rozdział 2 Traktatu o Unii Europejskiej (TUE), Europol i Eurojust powinny stosować w ramach swoich struktur wewnętrznych podstawowe zasady i minimalne normy określone w niniejszej decyzji w celu ochrony EUCI, jeżeli przewiduje to akt, na mocy którego zostały ustanowione.
(8)
Do operacji zarządzania kryzysowego ustanawianych na mocy tytułu V rozdział 2 TUE oraz do personelu biorącego w nich udział powinny mieć zastosowanie przepisy bezpieczeństwa przyjęte przez Radę w celu ochrony EUCI, jeżeli przewiduje to akt Rady, na mocy którego zostały ustanowione.
(9)
Specjalni przedstawiciele UE i członkowie ich zespołów powinni stosować przepisy bezpieczeństwa przyjęte przez Radę w celu ochrony EUCI, jeżeli przewiduje to stosowny akt Rady.
(10)
Niniejsza decyzja jest przyjmowana bez uszczerbku dla art. 15 i 16 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) oraz aktów prawnych służących wykonaniu tych artykułów.
(11)
Niniejsza decyzja jest przyjmowana bez uszczerbku dla istniejących w państwach członkowskich praktyk w zakresie powiadamiania parlamentów krajowych o działaniach Unii.
(12)
Aby zapewnić terminowe rozpoczęcie stosowania przepisów bezpieczeństwa w celu ochrony EUCI w związku z przystąpieniem do Unii Europejskiej Republiki Chorwacji, niniejsza decyzja powinna wejść w życie z dniem jej opublikowania,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
Cel, zakres stosowania i definicje
1. Niniejsza decyzja określa podstawowe zasady i minimalne normy bezpieczeństwa służące ochronie EUCI.
2. Te podstawowe zasady i minimalne normy bezpieczeństwa mają zastosowanie do Rady i SGR oraz przestrzegane są przez państwa członkowskie zgodnie z ich krajowymi przepisami ustawowymi i wykonawczymi, tak aby każda ze stron mogła mieć pewność, że zagwarantowany został równoważny poziom ochrony EUCI.
3. Do celów niniejszej decyzji zastosowanie mają definicje zamieszczone w dodatku A.
Artykuł 2
Definicja EUCI, klauzule tajności i oznaczenia
1. „Informacje niejawne UE” (EUCI) oznaczają wszelkie informacje lub materiały objęte klauzulą tajności UE, których nieuprawnione ujawnienie mogłoby w różnym stopniu wyrządzić szkodę interesom Unii Europejskiej lub interesom co najmniej jednego państwa członkowskiego.
2. EUCI otrzymują jedną z następujących klauzul tajności:
a)
TRÈS SECRET UE/EU TOP SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby wyrządzić wyjątkowo poważną szkodę podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;
b)
SECRET UE/EU SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby poważnie zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: informacje i materiały, których nieuprawnione ujawnienie mogłoby zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;
d)
RESTREINT UE/EU RESTRICTED: informacje i materiały, których nieuprawnione ujawnienie mogłoby być niekorzystne dla interesów Unii Europejskiej lub co najmniej jednego państwa członkowskiego.
3. EUCI nadaje się klauzulę tajności zgodnie z ust. 2. Można nadać im dodatkowe oznaczenie wskazujące na dziedzinę działalności, do której się odnoszą, na wytwórcę, ograniczenia dystrybucji, ograniczenia wykorzystania lub możliwość ujawnienia.
Artykuł 3
Oznaczanie klauzulami tajności
1. Właściwe organy zapewniają, by EUCI nadawano odpowiednie klauzule tajności, by informacje takie były wyraźnie oznaczone jako informacje niejawne, a także by były one objęte danym poziomem klauzuli tajności nie dłużej, niż jest to konieczne.
2. Do obniżenia lub zniesienia klauzuli tajności nadanej EUCI oraz do zmiany lub usunięcia oznaczeń, o których mowa w art. 2 ust. 3, potrzebna jest uprzednia pisemna zgoda wytwórcy.
3. Rada zatwierdza politykę bezpieczeństwa w zakresie wytwarzania EUCI, która obejmuje praktyczny przewodnik nadawania klauzul tajności.
Artykuł 4
Ochrona informacji niejawnych
1. EUCI są chronione zgodnie z niniejszą decyzją.
2. Posiadacz jakichkolwiek EUCI jest odpowiedzialny za ich ochronę zgodnie z niniejszą decyzją.
3. Jeżeli państwa członkowskie wprowadzają do struktur lub sieci Unii informacje niejawne, którym nadano krajową klauzulę tajności, Rada i SGR obejmują te informacje ochroną zgodnie z wymogami, które mają zastosowanie do EUCI o równorzędnej klauzuli tajności - zgodnie z tabelą równorzędności klauzul tajności zamieszczoną w dodatku B.
4. Uzasadnione może być objęcie zagregowanych EUCI ochroną na poziomie właściwym dla wyższej klauzuli tajności niż klauzula nadana poszczególnym składnikom tego zbioru.
Artykuł 5
Zarządzanie ryzykiem dla bezpieczeństwa
1. Zarządzanie ryzykiem naruszenia EUCI przebiega w ramach określonego procesu. Proces ten jest ukierunkowany na określenie znanych rodzajów ryzyka naruszenia zasad bezpieczeństwa, środków bezpieczeństwa służących zmniejszeniu tego ryzyka do akceptowalnego poziomu zgodnie z podstawowymi zasadami i minimalnymi normami bezpieczeństwa przedstawionymi w niniejszej decyzji oraz na zastosowanie tych środków zgodnie z koncepcją ochrony w głąb, zdefiniowaną w dodatku A. Skuteczność takich środków jest stale oceniana.
2. Środki bezpieczeństwa służące ochronie EUCI na wszystkich etapach ich cyklu życia są proporcjonalne w szczególności do ich klauzuli tajności, formy, ilości informacji lub materiałów, lokalizacji i konstrukcji obiektów, w których się znajdują, oraz oceny zagrożenia wystąpieniem w tym miejscu działań realizowanych w złych zamiarach lub działalności przestępczej, takiej jak działalność szpiegowska, sabotażowa lub terrorystyczna.
3. Plany awaryjne uwzględniają potrzebę ochrony EUCI podczas sytuacji nadzwyczajnych w celu zapobieżenia nieuprawnionemu dostępowi do informacji, ich ujawnieniu lub utracie ich integralności lub dostępności.
4. W planach ciągłości działania zamieszczane są środki zapobiegawcze i naprawcze służące zminimalizowaniu skutków poważnych niedopatrzeń lub incydentów związanych z wykorzystywaniem EUCI oraz z ich przechowywaniem.
Artykuł 6
Wykonanie niniejszej decyzji
1. Jeżeli to konieczne, Rada na zalecenie Komitetu ds. Bezpieczeństwa zatwierdza polityki bezpieczeństwa przewidujące środki służące wykonaniu niniejszej decyzji.
2. Komitet ds. Bezpieczeństwa może na swoim poziomie uzgodnić wytyczne dotyczące bezpieczeństwa, które będą uzupełniać lub wspierać niniejszą decyzję i wszelkie polityki bezpieczeństwa zatwierdzone przez Radę.
Artykuł 7
Bezpieczeństwo osobowe
1. Bezpieczeństwo osobowe oznacza stosowanie środków zapewniających, aby dostęp do EUCI był przyznawany tylko osobom, które:
-
spełniają zasadę ograniczonego dostępu,
-
w stosownych przypadkach zostały odpowiednio sprawdzone do celów dostępu do informacji o odpowiedniej klauzuli tajności, oraz
-
zostały poinformowane o swoich obowiązkach.
2. Procedury prowadzenia postępowań sprawdzających mają na celu stwierdzenie, czy daną osobę, ze względu na jej lojalność, wiarygodność i rzetelność, można uprawnić do dostępu do EUCI.
3. Wszystkie osoby pracujące w SGR, których obowiązki wymagają dostępu do EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej lub też wymagają posługiwania się takimi EUCI, są przed uzyskaniem dostępu do takich EUCI odpowiednio sprawdzane do tych celów. Osoby takie muszą uzyskać zgodę organu powołującego SGR na dostęp do EUCI do określonego poziomu klauzuli tajności i do określonej daty.
4. Pracownicy państw członkowskich, o których mowa w art. 15 ust. 3, których obowiązki mogą wymagać dostępu do EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, są przed uzyskaniem dostępu do takich EUCI odpowiednio sprawdzani do celów dostępu do informacji o odpowiedniej klauzuli tajności lub otrzymują inne odpowiednie upoważnienie ze względu na pełnione przez siebie funkcje, zgodnie z krajowymi przepisami ustawowymi i wykonawczymi.
5. Przed uzyskaniem dostępu do EUCI, a następnie w regularnych odstępach czasu wszystkie osoby informowane są o obowiązku ochrony tych informacji zgodnie z niniejszą decyzją i potwierdzają znajomość tego obowiązku.
6. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku I.
Artykuł 8
Bezpieczeństwo fizyczne
1. Bezpieczeństwo fizyczne oznacza stosowanie fizycznych i technicznych środków ochrony, aby zapobiec nieuprawnionemu dostępowi do EUCI.
2. Środki bezpieczeństwa fizycznego mają na celu zapobieżenie wtargnięciu osoby nieupoważnionej, w sposób niezauważony lub z użyciem siły, powstrzymanie od podjęcia nieuprawnionych działań, udaremnienie ich i wykrycie oraz umożliwienie podziału pracowników pod względem dostępu do EUCI zgodnie z zasadą ograniczonego dostępu. Środki te określane są na podstawie procesu zarządzania ryzykiem.
3. Środkami bezpieczeństwa fizycznego obejmuje się wszystkie obiekty, budynki, biura, pomieszczenia i inne strefy, w których są wykorzystywane lub przechowywane EUCI, w tym strefy, w których znajdują się systemy teleinformatyczne określone w art. 10 ust. 2.
4. Strefy, w których przechowywane są EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, ustanawiane są strefami bezpieczeństwa zgodnie z załącznikiem II; strefy takie zatwierdza właściwy organ bezpieczeństwa.
5. Do ochrony EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej stosuje się wyłącznie zatwierdzony sprzęt lub zatwierdzone urządzenia.
6. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku II.
Artykuł 9
Zarządzanie informacjami niejawnymi
1. Zarządzanie informacjami niejawnymi polega na stosowaniu środków administracyjnych służących kontroli EUCI na wszystkich etapach ich cyklu życia w uzupełnieniu środków przewidzianych w art. 7, 8 i 10, co ma pomóc w powstrzymywaniu od zamierzonego lub przypadkowego narażenia na szwank bezpieczeństwa tych informacji lub ich utraty i w wykrywaniu takich przypadków. Środki takie dotyczą w szczególności wytwarzania, rejestracji, kopiowania, tłumaczenia, obniżania klauzuli tajności i znoszenia tej klauzuli, przemieszczania i niszczenia EUCI.
2. Informacje niejawne o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej są ze względów bezpieczeństwa rejestrowane przed dystrybucją i w momencie wpłynięcia. Właściwe organy SGR i państw członkowskich ustanawiają do tego celu system kancelarii tajnych. Informacje niejawne o klauzuli tajności TRÈS SECRET UE/EU TOP SECRET rejestruje się w wyznaczonych kancelariach tajnych.
3. Jednostki organizacyjne i obiekty, w których są wykorzystywane lub przechowywane EUCI, poddawane są regularnym inspekcjom przeprowadzanym przez właściwy organ bezpieczeństwa.
4. Poza strefami chronionymi fizycznie EUCI są przekazywane między jednostkami organizacyjnymi i obiektami w sposób następujący:
a)
z reguły EUCI są przekazywane drogą elektroniczną chronioną przy użyciu produktów kryptograficznych zatwierdzonych zgodnie z art. 10 ust. 6;
b)
gdy sposób, o którym mowa w lit. a), nie jest wykorzystywany, EUCI są przekazywane:
(i)
za pomocą środków elektronicznych (jak np. nośniki pamięci USB, płyty kompaktowe, dyski twarde) chronionych przy użyciu produktów kryptograficznych zatwierdzonych zgodnie z art. 10 ust. 6; lub
(ii)
we wszystkich pozostałych przypadkach, zgodnie z wytycznymi właściwego organu bezpieczeństwa wydanymi zgodnie z odpowiednimi środkami ochrony określonymi w załączniku III.
5. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załącznikach III i IV.
Artykuł 10
Ochrona EUCI przetwarzanych w systemach teleinformatycznych
1. Zabezpieczanie informacji w ramach systemów teleinformatycznych oznacza pewność, że systemy te będą chronić informacje, które są w nich przetwarzane, i będą działać zgodnie z przeznaczeniem, w razie potrzeby pod kontrolą uprawnionych użytkowników. Skuteczne zabezpieczanie informacji gwarantuje odpowiedni poziom poufności, integralności, dostępności, niezaprzeczalności i autentyczności. Zabezpieczanie informacji opiera się na procesie zarządzania ryzykiem.
2. „System teleinformatyczny” (CIS) oznacza system umożliwiający przetwarzanie informacji w formie elektronicznej. CIS obejmuje wszystkie zasoby niezbędne do jego funkcjonowania, w tym infrastrukturę, organizację, personel oraz zasoby informatyczne. Niniejsza decyzja ma zastosowanie do (CIS) przetwarzających EUCI.
3. CIS przetwarza EUCI zgodnie z koncepcją zabezpieczania informacji.
4. Wszystkie CIS poddawane są procedurze akredytacji. Celem akredytacji jest upewnienie się, że zastosowano wszystkie odpowiednie środki bezpieczeństwa i że osiągnięto wystarczający poziom ochrony EUCI i CIS zgodnie z niniejszą decyzją. W świadectwie akredytacji określa się najwyższą klauzulę tajności informacji, które mogą być przetwarzane w ramach danego CIS, oraz odpowiednie warunki.
5. Stosowane są specjalne środki bezpieczeństwa w celu ochrony CIS przetwarzającego informacje niejawne o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL i wyższej przed narażeniem tych informacji na szwank z powodu niezamierzonych emisji elektromagnetycznych (tzw. „środki bezpieczeństwa TEMPEST”). Takie środki bezpieczeństwa są proporcjonalne do ryzyka wykorzystania informacji niejawnych i do poziomu klauzuli tajności.
6. Jeżeli EUCI podlegają ochronie przy użyciu produktów kryptograficznych, produkty te są zatwierdzane w sposób następujący:
a)
poufność informacji niejawnych o klauzuli tajności SECRET UE/EU SECRET i wyższej podlega ochronie przy użyciu produktów kryptograficznych zatwierdzonych - na podstawie zalecenia Komitetu ds. Bezpieczeństwa - przez Radę działającą jako organ ds. zatwierdzania produktów kryptograficznych (CAA);
b)
poufność informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub RESTREINT UE/EU RESTRICTED podlega ochronie przy użyciu produktów kryptograficznych zatwierdzonych - na podstawie zalecenia Komitetu ds. Bezpieczeństwa - przez Sekretarza Generalnego Rady (zwanego dalej „Sekretarzem Generalnym”) działającego jako CAA.
Niezależnie od przepisów lit. b) w obrębie krajowych systemów państw członkowskich poufność EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub RESTREINT UE/EU RESTRICTED może być chroniona przy użyciu produktów kryptograficznych zatwierdzonych przez CAA danego państwa członkowskiego.
7. Podczas transmisji EUCI drogą elektroniczną stosuje się zatwierdzone produkty kryptograficzne. Niezależnie od tego wymogu w wyjątkowych okolicznościach mogą mieć zastosowanie szczególne procedury lub szczególne konfiguracje techniczne określone w załączniku IV.
8. Właściwe organy, odpowiednio, SGR i państw członkowskich ustanawiają następujące organy zajmujące się zabezpieczaniem informacji:
a)
organ ds. zabezpieczania informacji (IAA);
b)
organ ds. TEMPEST (TA);
c)
organ ds. zatwierdzania produktów kryptograficznych (CAA);
d)
organ ds. dystrybucji produktów kryptograficznych (CDA).
9. W odniesieniu do każdego systemu właściwe organy, odpowiednio, SGR i państw członkowskich ustanawiają:
a)
organ ds. akredytacji bezpieczeństwa (SAA);
b)
organ operacyjny ds. zabezpieczania informacji.
10. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku IV.
Artykuł 11
Bezpieczeństwo przemysłowe
1. Bezpieczeństwo przemysłowe oznacza stosowanie środków mających zapewnić ochronę EUCI przez wykonawców lub podwykonawców podczas negocjacji poprzedzających zawarcie umów i na wszystkich etapach cyklu życia umów niejawnych. Umowy takie nie obejmują dostępu do informacji niejawnych o klauzuli tajności TRÈS SECRET UE/EU TOP SECRET.
2. SGR może na podstawie umowy powierzyć zadania obejmujące EUCI lub wiążące się z dostępem do tych informacji, ich wykorzystywaniem lub przechowywaniem przez podmioty prowadzące działalność gospodarczą lub inną, zarejestrowane w państwie członkowskim lub w państwie trzecim, które zawarło umowę lub porozumienie administracyjne zgodnie z art. 13 ust. 2 lit. a) lub b).
3. Jako instytucja zamawiająca SGR zapewnia, by w przypadku zawierania umów niejawnych z podmiotami prowadzącymi działalność gospodarczą lub inną spełnione były minimalne normy bezpieczeństwa przemysłowego określone w niniejszej decyzji i te, o których mowa w danej umowie.
4. Krajowa władza bezpieczeństwa (KWB), wyznaczona władza bezpieczeństwa (WWB) lub jakikolwiek inny właściwy organ bezpieczeństwa każdego państwa członkowskiego zapewniają - w zakresie, w jakim umożliwiają to krajowe przepisy ustawowe i wykonawcze - by wykonawcy i podwykonawcy zarejestrowani na ich terytorium stosowali wszelkie odpowiednie środki mające chronić EUCI podczas negocjacji poprzedzających zawarcie umowy i podczas wykonywania umowy niejawnej.
5. KWB, WWB lub jakikolwiek inny właściwy organ bezpieczeństwa każdego państwa członkowskiego zapewniają, zgodnie z krajowymi przepisami ustawowymi i wykonawczymi, by wykonawcy lub podwykonawcy zarejestrowani w tym państwie członkowskim, będący stronami umów niejawnych lub niejawnych umów o podwykonawstwo i którym niezbędny jest dostęp w ich obiektach do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub SECRET UE/EU SECRET podczas wykonywania takich umów lub na etapie poprzedzającym ich zawarcie, posiadali świadectwo bezpieczeństwa przemysłowego (SBP) na odpowiednim poziomie klauzuli tajności.
6. Odpowiednia KWB, WWB lub jakikolwiek inny właściwy organ bezpieczeństwa wydaje pracownikom wykonawcy lub podwykonawcy, którym przy wykonywaniu umowy niejawnej niezbędny jest dostęp do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub SECRET UE/EU SECRET, poświadczenie bezpieczeństwa osobowego (PBO) zgodnie z krajowymi przepisami ustawowymi i wykonawczymi oraz minimalnymi normami bezpieczeństwa określonymi w załączniku I.
7. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku V.
Artykuł 12
Wymiana EUCI
1. Rada określa warunki, na jakich może wymieniać EUCI znajdujące się w jej posiadaniu z innymi instytucjami, organami lub jednostkami organizacyjnymi Unii. W tym celu można przewidzieć właściwe ramy, w tym poprzez przystępowanie, w razie potrzeby, do międzyinstytucjonalnych umów lub innych ustaleń temu służących.
2. Wszelkie takie ramy zapewniają, aby EUCI były chronione stosownie do ich klauzuli tajności i zgodnie z podstawowymi zasadami i minimalnymi normami, które są równoważne do tych określonych w niniejszej decyzji.
Artykuł 13
Wymiana informacji niejawnych z państwami trzecimi i organizacjami międzynarodowymi
1. Jeżeli Rada stwierdza, że zachodzi konieczność wymiany EUCI z państwem trzecim lub organizacją międzynarodową, ustanowione zostają odpowiednie ramy takiej wymiany.
2. Aby ustanowić takie ramy i określić wzajemnie obowiązujące zasady ochrony wymienianych informacji niejawnych:
a)
Unia zawiera z państwami trzecimi lub organizacjami międzynarodowymi umowy dotyczące procedur bezpieczeństwa na potrzeby wymiany i ochrony informacji niejawnych (zwane dalej „umowami o bezpieczeństwie informacji”); lub
b)
Sekretarz Generalny może zgodnie z pkt 17 załącznika VI zawierać w imieniu SGR porozumienia administracyjne, o ile poziom klauzuli tajności nadanej EUCI, które mają zostać udostępnione, nie jest - co do zasady - wyższy niż RESTREINT UE/EU RESTRICTED.
3. Umowy o bezpieczeństwie informacji lub porozumienia administracyjne, o których mowa w ust. 2, zawierają postanowienia mające służyć temu, by w przypadku gdy państwa trzecie lub organizacje międzynarodowe otrzymają EUCI, informacje te były chronione w sposób odpowiadający ich klauzuli tajności i zgodny z minimalnymi normami, które nie mogą być mniej rygorystyczne niż normy określone w niniejszej decyzji.
4. Decyzja o udostępnieniu państwu trzeciemu lub organizacji międzynarodowej EUCI wytworzonych w Radzie podejmowana jest przez Radę dla każdego przypadku z osobna, w zależności od charakteru i treści takich informacji, od tego, czy odbiorca spełnia zasadę ograniczonego dostępu, i od tego, w jakim stopniu jest to korzystne dla Unii. Jeżeli wytwórcą informacji niejawnych, o których udostępnienie wystąpiono, nie jest Rada, SGR najpierw zwraca się o pisemną zgodę wytwórcy na ich udostępnienie. Jeżeli nie można ustalić, kto jest wytwórcą, Rada przejmuje jego odpowiedzialność.
5. Aby stwierdzić skuteczność środków bezpieczeństwa stosowanych w państwie trzecim lub organizacji międzynarodowej w celu ochrony EUCI, które zostały im przekazane jednostronnie lub w ramach wymiany, przeprowadzane są wizyty oceniające.
6. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku VI.
Artykuł 14
Naruszenie i narażenie na szwank bezpieczeństwa EUCI
1. Naruszenie zasad bezpieczeństwa następuje w wyniku działania określonej osoby lub zaniechania przez nią działania w sposób sprzeczny z zasadami bezpieczeństwa określonymi w niniejszej decyzji.
2. Narażenie na szwank bezpieczeństwa EUCI ma miejsce, gdy w wyniku naruszenia zasad bezpieczeństwa takie informacje w całości lub w części zostają ujawnione osobom nieupoważnionym.
3. O wszelkich podejrzeniach lub przypadkach naruszenia zasad bezpieczeństwa powiadamia się niezwłocznie właściwy organ bezpieczeństwa.
4. Jeżeli jest wiadome lub jeżeli istnieją uzasadnione przesłanki, by przypuszczać, że bezpieczeństwo EUCI zostało narażone na szwank lub że informacje takie zostały utracone, KWB lub inny właściwy organ podejmuje - zgodnie z odpowiednimi przepisami ustawowymi i wykonawczymi - wszelkie stosowne działania w celu:
a)
poinformowania wytwórcy informacji;
b)
zapewnienia zbadania tego przypadku przez personel niezwiązany bezpośrednio z tym naruszeniem w celu ustalenia przebiegu wydarzeń;
c)
oceny potencjalnych szkód dla interesów Unii lub państw członkowskich;
d)
podjęcia właściwych środków, aby zapobiec powtórzeniu się podobnego przypadku; oraz
e)
powiadomienia właściwych organów o podjętych działaniach.
5. Każda osoba odpowiedzialna za naruszenie przepisów bezpieczeństwa określonych w niniejszej decyzji może podlegać postępowaniu dyscyplinarnemu zgodnie z mającymi zastosowanie zasadami i przepisami wykonawczymi. Każda osoba odpowiedzialna za narażenie na szwank bezpieczeństwa EUCI lub za ich utratę podlega postępowaniu dyscyplinarnemu lub sądowemu zgodnie z mającymi zastosowanie przepisami ustawowymi, zasadami i przepisami wykonawczymi.
Artykuł 15
Odpowiedzialność za wykonanie decyzji
1. Rada podejmuje wszelkie niezbędne działania w celu zapewnienia ogólnej spójności w stosowaniu niniejszej decyzji.
2. Sekretarz Generalny podejmuje wszelkie niezbędne działania w celu zapewnienia stosowania niniejszej decyzji przez urzędników i innych pracowników SGR, personel oddelegowany do SGR i wykonawców zatrudnionych przez SGR, przy wykorzystywaniu lub przechowywaniu EUCI lub jakichkolwiek innych informacji niejawnych, w obiektach, z których korzysta Rada, oraz w obrębie SGR.
3. Państwa członkowskie podejmują - zgodnie ze swoimi przepisami ustawowymi i wykonawczymi - wszelkie stosowne działania w celu zapewnienia przestrzegania niniejszej decyzji, podczas wykorzystywania lub przechowywania EUCI, przez:
a)
pracowników stałych przedstawicielstw państw członkowskich przy Unii Europejskiej, a także delegatów krajowych uczestniczących w posiedzeniach Rady lub jej organów przygotowawczych lub biorących udział w innych działaniach Rady;
b)
innych pracowników administracji krajowej państw członkowskich, w tym pracowników oddelegowanych do pracy w tej administracji, gdy pełnią oni obowiązki na terytorium państw członkowskich lub poza ich granicami;
c)
inne osoby w państwach członkowskich, które ze względu na pełnione funkcje posiadają odpowiednie upoważnienie do dostępu do EUCI; oraz
d)
wykonawców zatrudnionych przez państwa członkowskie na terytorium państw członkowskich lub poza ich granicami.
Artykuł 16
Organizacja bezpieczeństwa w Radzie
1. W ramach zapewniania ogólnej spójności w stosowaniu niniejszej decyzji Rada zatwierdza:
a)
umowy, o których mowa w art. 13 ust. 2 lit. a);
b)
decyzje upoważniające do udostępnienia EUCI wytworzonych przez Radę lub znajdujących się w jej posiadaniu państwom trzecim lub organizacjom międzynarodowym lub zezwalające na takie udostępnianie, zgodnie z zasadą uzyskania zgody wytwórcy;
c)
roczny program wizyt oceniających zalecany przez Komitet ds. Bezpieczeństwa; program ten dotyczy wizyt służących ocenie jednostek organizacyjnych i obiektów w państwach członkowskich oraz organów, agencji i podmiotów Unii, które stosują niniejszą decyzję lub przewidziane w niej zasady, oraz wizyt oceniających przeprowadzanych w państwach trzecich i w organizacjach międzynarodowych w celu sprawdzenia skuteczności środków wprowadzonych, by chronić EUCI; oraz
d)
polityki bezpieczeństwa przewidziane w art. 6 ust. 1.
2. Organem bezpieczeństwa SGR jest Sekretarz Generalny. Pełniąc tę funkcję, Sekretarz Generalny:
a)
wdraża politykę bezpieczeństwa opracowaną przez Radę i dokonuje jej przeglądu;
b)
koordynuje z KWB państw członkowskich wszystkie kwestie bezpieczeństwa dotyczące ochrony informacji niejawnych mających związek z działaniami Rady;
c)
wydaje urzędnikom i innym pracownikom SGR oraz oddelegowanym ekspertom krajowym, zgodnie z art. 7 ust. 3, upoważnienie dotyczące dostępu do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej;
d)
w stosownych przypadkach zleca wszczęcie postępowania wyjaśniającego w sprawie każdego zaistniałego lub domniemanego przypadku narażenia na szwank bezpieczeństwa informacji niejawnych znajdujących się w posiadaniu Rady lub wytworzonych przez Radę lub utraty takich informacji oraz zwraca się do właściwych organów bezpieczeństwa o pomoc w takim postępowaniu wyjaśniającym;
e)
przeprowadza okresowe inspekcje zabezpieczeń służących ochronie informacji niejawnych w obiektach SGR;
f)
przeprowadza okresowe wizyty mające na celu ocenę zabezpieczeń służących ochronie EUCI w organach, agencjach i podmiotach Unii, które stosują niniejszą decyzję lub przewidziane w niej zasady;
g)
przeprowadza, wspólnie i w porozumieniu z zainteresowanymi KWB, okresowe oceny zabezpieczeń służących ochronie EUCI w jednostkach organizacyjnych i obiektach w państwach członkowskich;
h)
zapewnia konieczną koordynację środków bezpieczeństwa z właściwymi organami państw członkowskich odpowiedzialnymi za ochronę informacji niejawnych oraz, w stosownych przypadkach, z państwami trzecimi lub organizacjami międzynarodowymi, w tym w zakresie charakteru zagrożeń dla bezpieczeństwa EUCI oraz środków ochrony przed tymi zagrożeniami; oraz
i)
zawiera porozumienia administracyjne, o których mowa w art. 13 ust. 2 lit. b).
Biuro ds. Bezpieczeństwa SGR pozostaje do dyspozycji Sekretarza Generalnego i pomaga mu w wypełnianiu wyżej opisanych obowiązków.
3. W celu wykonania art. 15 ust. 3 państwa członkowskie powinny:
a)
wyznaczyć KWB, jak wskazano w wykazie znajdującym się w dodatku C, odpowiedzialną za zabezpieczenia służące ochronie EUCI, tak aby:
(i)
EUCI znajdujące się w posiadaniu jakiegokolwiek podmiotu krajowego: departamentu, organu lub agencji, bez względu na to, czy jest to podmiot publiczny, czy prywatny i czy znajduje się w kraju, czy za granicą, były chronione zgodnie z niniejszą decyzją;
(ii)
zabezpieczenia służące ochronie EUCI były poddawane okresowym inspekcjom lub ocenom;
(iii)
wszystkie osoby, które są zatrudnione w administracji krajowej lub przez wykonawcę i które mogą uzyskać dostęp do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, były odpowiednio sprawdzane lub by przyznano tym osobom ze względu na pełnione przez nie funkcje inne odpowiednie upoważnienie zgodnie z krajowymi przepisami ustawowymi i wykonawczymi;
(iv)
aby w razie konieczności opracowywane były programy bezpieczeństwa mające za zadanie zminimalizować ryzyko narażenia bezpieczeństwa EUCI na szwank lub ich utraty;
(v)
kwestie bezpieczeństwa związane z ochroną EUCI były koordynowane z innymi właściwymi organami krajowymi, w tym z organami, o których mowa w niniejszej decyzji; oraz
(vi)
rozpatrywane były odpowiednie wnioski o wydanie poświadczenia bezpieczeństwa składane w szczególności przez wszelkie organy, agencje i podmioty Unii utworzone na mocy tytułu V rozdział 2 TUE oraz przez specjalnych przedstawicieli UE (SPUE) i ich zespoły, które stosują niniejszą decyzję lub przewidziane w niej zasady;
b)
zapewnić, aby ich właściwe organy dostarczały informacje i doradzały rządowi, a za jego pośrednictwem - Radzie co do charakteru zagrożeń dla bezpieczeństwa EUCI i środków ochrony przed tymi zagrożeniami.
Artykuł 17
Komitet ds. Bezpieczeństwa
1. Niniejszym ustanawia się Komitet ds. Bezpieczeństwa. Komitet analizuje i ocenia wszelkie kwestie bezpieczeństwa, które wchodzą w zakres stosowania niniejszej decyzji, oraz przedstawia Radzie odpowiednie zalecenia.
2. Komitet ds. Bezpieczeństwa składa się z przedstawicieli KWB państw członkowskich, a w jego obradach uczestniczy przedstawiciel Komisji i ESDZ. Przewodniczy mu Sekretarz Generalny lub wyznaczona przez niego osoba. Komitet ten zbiera się na polecenie Rady lub na wniosek Sekretarza Generalnego lub KWB.
Do uczestnictwa w pracach Komitetu mogą zostać zaproszeni przedstawiciele organów, agencji i podmiotów Unii, które stosują niniejszą decyzję lub przewidziane w niej zasady, jeżeli omawiane są kwestie, które ich dotyczą.
3. Komitet ds. Bezpieczeństwa organizuje swoją działalność w taki sposób, aby móc przedstawiać zalecenia w konkretnych dziedzinach dotyczących bezpieczeństwa. Powołuje on podgrupę ekspercką zajmującą się kwestiami zabezpieczania informacji oraz inne podgrupy eksperckie, zależnie od konieczności. Wyznacza on zakres zadań takich podgrup eksperckich i otrzymuje od nich sprawozdania z działalności, w tym - w zależności od sytuacji - zalecenia dla Rady.
Artykuł 18
Zastąpienie poprzedniej decyzji
1. Niniejsza decyzja uchyla i zastępuje decyzję Rady 2011/292/UE (2).
2. Wszystkie EUCI opatrzone klauzulą tajności zgodnie z decyzją Rady 2001/264/WE (3) i z decyzją 2011/292/UE podlegają dalszej ochronie zgodnie z właściwymi przepisami niniejszej decyzji.
Artykuł 19
Wejście w życie
Niniejsza decyzja wchodzi w życie z dniem jej opublikowania w Dzienniku Urzędowym Unii Europejskiej.
Sporządzono w Brukseli dnia 23 września 2013 r.