РЕШЕНИЕ НА СЪВЕТА
от 31 март 2011 година
относно правилата за сигурност за защита на класифицирана информация на ЕС
(2011/292/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите-членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите-членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът и Комисията са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, агенции, органи или служби на ЕС към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите-членки.
(6)
Агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, съгласно предвиденото в собствените им учредителни актове.
(7)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал прилагат правилата за сигурност, приети от Съвета за защита на КИЕС.
(8)
Специалните представители на ЕС и членовете на техните екипи прилагат приетите от Съвета правила за сигурност за защита на КИЕС.
(9)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(10)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите-членки за информиране на националните им парламенти за дейностите на Съюза,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите-членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, уредени в допълнение А.
Член 2
Определение на КИЕС, нива на класификация за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите-членки.
2. Всяка КИЕС се класифицира на някое от следните нива:
а) TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
б) SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
в) CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите-членки.
г) RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите-членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, нито никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите-членки въвеждат в структурите или мрежите на Европейския съюз класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответното ниво, съгласно съдържащата се в допълнение Б таблица на съответствията на нивата на класификация за сигурност.
4. За големи количества КИЕС или масиви от КИЕС може да се наложи защита на по-високо ниво на класификация за сигурност.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни системни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Процедурата за проучване за надеждност на персонала за длъжностни лица на ГСС и за други служители се съдържа в приложение I.
4. Служителите на държавите-членки, посочени в член 14, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране, разкриване и възстановяване на такава информация при умишлено или случайно компрометиране или загуба. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, превода, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите-членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложение III.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една комуникационна и информационна система обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за комуникационни и информационни системи, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо са защитени по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания („мерки за сигурност по Tempest“).
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар (наричан по-долу „генералния секретар“, действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите-членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата-членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите-членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите-членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава-членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 12, параграф 2, буква а) или б).
3. ГСС, в качеството си на възложител, гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава-членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава-членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани във въпросната държава-членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съветът сключва споразумения за процедури за сигурност за обмен и защита на класифицирана информация (наричани по-долу „споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на ЕС. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 13
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, компетентният орган по сигурността предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на ЕС или на държавите-членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарни и/или правни мерки в съответствие с приложимите закони, правила и подзаконови актове.
Член 14
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, включително в службите му за връзка, разположени в трети държави, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите-членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите-членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите-членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите-членки или зад граница;
в)
други лица в държавите-членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС; и
г)
изпълнители, наети от държавите-членки, независимо дали работят на територията на държавите-членки или зад граница.
Член 15
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 12, параграф 2, буква а);
б)
решенията, с които се дава разрешение за предоставяне на КИЕС на трети държави и международни организации;
в)
годишна програма, предлагана от генералния секретар и препоръчана от Комитета по сигурността, за проверки на службите и обектите в държавите-членки и на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и на Европол и Евроюст, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите-членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица и другите служители на ГСС разрешение за достъп на персонала на ЕС до КИЕС в съответствие с член 7, параграф 3, преди да им бъде даден достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на КИЕС, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в обектите на ГСС;
е)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и при операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и от специалните представители на ЕС (СПЕС) и членовете на техните екипи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични проверки на договореностите по сигурността за защита на КИЕС в службите и обектите на държавите-членки;
з)
координира мерките за сигурност с компетентните органи на държавите-членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях;
и)
влиза в административните договорености, посочени в член 12, параграф 2, буква б); и
й)
предприема първоначални и периодични посещения за оценка в трети държави или международни организации, за да удостовери ефективността на мерките, прилагани за защита на предоставена или обменена КИЕС.
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 14, параграф 3 държавите-членки следва да:
а)
определят национален орган по сигурността, който да отговаря за договореностите по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
договореностите по сигурността за защита на КИЕС да се проверяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
(vi)
да се дава отговор на съответните заявления за проверки за надеждност от агенции и органи на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, СПЕС и техните екипи.
Националните органи по сигурността са изброени в допълнение В;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 16
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на националните органи по сигурността на държавите-членки и на заседанията му присъства представител на Комисията и на Европейската служба за външна дейност. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на национален орган по сигурността.
Представителите на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и Европол и Евроюст могат да бъдат поканени да участват, когато се обсъждат въпроси, които ги засягат.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 17
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2001/264/ЕО на Съвета от 19 март 2001 г. за приемане на разпоредбите относно сигурността на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 18
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 31 март 2011 година.
DECISIONE DEL CONSIGLIO
del 31 marzo 2011
sulle norme di sicurezza per la protezione delle informazioni classificate UE
(2011/292/UE)
IL CONSIGLIO DELL’UNIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 240, paragrafo 3,
vista la decisione 2009/937/UE del Consiglio, del 1o dicembre 2009, relativa all’adozione del suo regolamento interno (1), in particolare l’articolo 24,
considerando quanto segue:
(1)
Al fine di sviluppare le attività del Consiglio in tutti i settori che richiedono il trattamento di informazioni classificate, è opportuno porre in essere un sistema di sicurezza globale per la protezione delle informazioni classificate riguardante il Consiglio, il suo segretariato generale e gli Stati membri.
(2)
La presente decisione dovrebbe applicarsi qualora il Consiglio, i suoi organi preparatori e il segretariato generale del Consiglio (SGC) trattino informazioni classificate UE (ICUE).
(3)
In conformità delle disposizioni legislative e regolamentari nazionali e nella misura richiesta per il funzionamento del Consiglio, gli Stati membri dovrebbero rispettare la presente decisione nei casi in cui le loro autorità competenti, il loro personale e i loro contraenti trattino ICUE, affinché tutti possano avere la certezza che un livello equivalente di protezione è assicurato alle ICUE.
(4)
Il Consiglio e la Commissione si impegnano ad applicare norme di sicurezza equivalenti per proteggere le ICUE.
(5)
Il Consiglio sottolinea l'importanza di associare, ove opportuno, il Parlamento europeo ed altri istituzioni, agenzie, organi o uffici dell'UE a principi, regole e norme per proteggere le informazioni classificate che sono necessari per salvaguardare gli interessi dell'Unione e dei suoi Stati membri.
(6)
Le agenzie e gli organi dell'UE istituiti ai sensi del titolo V, capo 2, del trattato sull'Unione europea, Europol ed Eurojust applicano, nel contesto della rispettiva organizzazione interna, i principi di base e le norme minime contenute nella presente decisione per proteggere le ICUE, secondo quanto previsto nei rispettivi atti istitutivi.
(7)
Le operazioni di gestione delle crisi stabilite ai sensi del titolo V, capo 2, del TUE ed il relativo personale applicano le norme di sicurezza adottate dal Consiglio per proteggere le ICUE.
(8)
I rappresentanti speciali dell'UE e i membri delle loro squadre applicano le norme di sicurezza adottate dal Consiglio per proteggere le ICUE.
(9)
La presente decisione lascia impregiudicati gli articoli 15 e 16 del trattato sul funzionamento dell'Unione europea (TFUE) e i relativi strumenti di attuazione.
(10)
La presente decisione lascia impregiudicate le pratiche vigenti negli Stati membri per quanto riguarda l'informazione dei Parlamenti nazionali in merito alle attività dell'Unione,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto, ambito di applicazione e definizioni
1. La presente decisione stabilisce i principi fondamentali e le norme minime di sicurezza per proteggere le ICUE.
2. I principi fondamentali e le norme minime di sicurezza si applicano al Consiglio e all'SGC e sono rispettati dagli Stati membri conformemente alle loro rispettive disposizioni legislative e regolamentari nazionali, affinché tutti possano avere la certezza che un livello equivalente di protezione è assicurato alle ICUE.
3. Ai fini della presente decisione, si applicano le definizioni che figurano nell'appendice A.
Articolo 2
Definizione delle ICUE, delle classifiche e dei contrassegni di sicurezza
1. Per «informazioni classificate UE» (ICUE) si intende qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri.
2. Le ICUE sono classificate ad uno dei seguenti livelli:
a) TRÈS SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
b) SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
d) RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell'Unione europea o di uno o più Stati membri.
3. Le ICUE recano un contrassegno di classifica di sicurezza conformemente al paragrafo 2. Possono recare contrassegni supplementari intesi a designare il settore di attività cui si riferiscono, identificare l'originatore, limitare la distribuzione, restringere l'uso o indicare la divulgabilità.
Articolo 3
Gestione delle classifiche
1. Le autorità competenti garantiscono che le ICUE siano adeguatamente classificate, chiaramente identificate quali informazioni classificate e conservino il loro livello di classifica solo per il tempo necessario.
2. Le ICUE sono declassate o declassificate e i contrassegni di cui all'articolo 2, paragrafo 3, sono modificati o rimossi unicamente previo consenso scritto dell'originatore.
3. Il Consiglio approva una politica di sicurezza sulla creazione di ICUE che comprende una guida pratica per la classificazione.
Articolo 4
Protezione di informazioni classificate
1. Le ICUE sono protette conformemente alla presente decisione.
2. Il detentore di qualsiasi ICUE è responsabile della loro protezione conformemente alla presente decisione.
3. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti dell'Unione europea, il Consiglio e l'SGC proteggono tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza di cui all'appendice B.
4. Considerevoli quantitativi di ICUE o una compilazione di esse possono richiedere un livello di protezione corrispondente a una classifica più elevata.
Articolo 5
Gestione del rischio di sicurezza
1. Il rischio per le ICUE è gestito secondo una procedura. Tale procedura è volta a determinare i rischi noti per la sicurezza, a definire le misure di sicurezza per contenere tali rischi entro un livello accettabile conformemente ai principi fondamentali e alle norme minime contenuti nella presente decisione, e ad applicare tali misure secondo il concetto di difesa in profondità definito all'appendice A. L'efficacia di tali misure è valutata costantemente.
2. Le misure di sicurezza per proteggere le ICUE nel corso del loro ciclo di vita sono commisurate in particolare alla rispettiva classifica di sicurezza, alla forma e al volume delle informazioni o dei materiali, all'ubicazione e alla costruzione delle strutture in cui sono conservate le ICUE e alla valutazione a livello locale della minaccia di attività dolose e/o criminali, compreso lo spionaggio, il sabotaggio e il terrorismo.
3. I piani di emergenza tengono conto della necessità di proteggere le ICUE in situazioni di emergenza onde evitare l'accesso non autorizzato, la divulgazione o la perdita di integrità o di disponibilità.
4. I piani di continuità operativa comprendono misure di prevenzione e recupero per minimizzare l'impatto di disfunzioni o incidenti gravi nel trattamento e nella conservazione delle ICUE.
Articolo 6
Attuazione della presente decisione
1. Se necessario il Consiglio, su raccomandazione del Comitato per la sicurezza, approva politiche di sicurezza che esplicitano le misure destinate ad attuare la presente decisione.
2. Il Comitato per la sicurezza può stabilire, per quanto di sua competenza, orientamenti di sicurezza intesi a integrare o sostenere la presente decisione e ogni eventuale politica di sicurezza approvata dal Consiglio.
Articolo 7
Sicurezza del personale
1. Per «sicurezza del personale» s'intende l'applicazione di misure volte a garantire che l'accesso alle ICUE sia consentito solo alle persone che:
-
hanno necessità di conoscere,
-
hanno ottenuto il nulla osta di sicurezza del livello adatto, ove opportuno, e
-
sono state informate delle proprie responsabilità in materia.
2. Le procedure per il nulla osta di sicurezza del personale sono intese a determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE.
3. Tutte le persone in seno all'SGC le cui mansioni possono richiedere l'accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispongono del nulla osta di sicurezza del livello adatto prima di poter accedere a dette ICUE. La procedura per il nulla osta di sicurezza del personale relativa ai funzionari e agli altri agenti dell'SGC figura nell'allegato I.
4. Il personale degli Stati membri di cui all'articolo 14, paragrafo 3, le cui mansioni possono richiedere l'accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispone del nulla osta di sicurezza del livello adatto o è in altro modo debitamente autorizzato in virtù delle sue funzioni, secondo le disposizioni legislative e regolamentari nazionali, prima di poter accedere a dette ICUE.
5. Prima che sia loro accordato l'accesso a ICUE, e successivamente ad intervalli regolari, tutte le persone sono informate e riconoscono le proprie responsabilità in materia di protezione delle ICUE conformemente alla presente decisione.
6. Le disposizioni di attuazione del presente articolo figurano nell'allegato I.
Articolo 8
Sicurezza materiale
1. Per «sicurezza materiale» si intende l'applicazione di misure di protezione materiali e tecniche volte ad impedire l'accesso non autorizzato alle ICUE.
2. Le misure di sicurezza materiale sono intese ad impedire ad intrusi l'ingresso fraudolento o con la forza, per scoraggiare, ostacolare e scoprire azioni non autorizzate e per consentire la segregazione del personale per quanto riguarda il loro accesso alle ICUE in base al principio della necessità di conoscere. Le misure in questione sono determinate sulla base di una procedura di gestione del rischio.
3. Le misure di sicurezza materiale sono attuate per tutti i locali, gli edifici, gli uffici, le stanze o altre zone in cui le ICUE sono trattate o conservate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti all'articolo 10, paragrafo 2.
4. Le zone in cui sono conservate ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono costituite come zone sicure conformemente all'allegato II e approvate dall'autorità di sicurezza competente.
5. Per proteggere le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore si usano solo attrezzature o dispositivi approvati.
6. Le disposizioni di attuazione del presente articolo figurano nell'allegato II.
Articolo 9
Gestione delle informazioni classificate
1. Per «gestione delle informazioni classificate» si intende l'applicazione delle misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita al fine di integrare le misure previste agli articoli 7, 8 e 10 e in tal modo contribuire a scoraggiare, scoprire e porre rimedio ai casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, la registrazione, la copiatura, la traduzione, il trasporto e la distruzione di ICUE.
2. Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono registrate a fini di sicurezza prima della diffusione e all'atto della ricezione. Le autorità competenti dell'SGC e degli Stati membri istituiscono un sistema di registrazione a tal fine. Le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.
3. I servizi ed i locali in cui sono trattate o conservate ICUE sono sottoposti a ispezioni periodiche da parte dell'autorità di sicurezza competente.
4. Le ICUE sono veicolate tra i servizi e i locali al di fuori delle zone oggetto di protezione materiale secondo le modalità seguenti:
a)
di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente all'articolo 10, paragrafo 6;
b)
qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:
i)
su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente all'articolo 10, paragrafo 6; o
ii)
in tutti gli altri casi, secondo quanto prescritto dall'autorità di sicurezza competente, conformemente alle pertinenti misure di protezione dell'allegato III.
5. Le disposizioni di attuazione del presente articolo figurano nell'allegato III.
Articolo 10
Protezione delle ICUE trattate nei sistemi di comunicazione e informazione
1. Per «garanzia di sicurezza delle informazioni (IA) nel campo dei sistemi di comunicazione e informazione» si intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi. Una IA efficace garantisce gli adeguati livelli di riservatezza, integrità, disponibilità, non disconoscibilità e autenticità. L'IA si basa su una procedura di gestione del rischio.
2. Per «sistema di comunicazione e informazione» si intende ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione. La presente decisione si applica ai sistemi di comunicazione e informazione che trattano ICUE (CIS).
3. I CIS trattano le ICUE conformemente al concetto di IA.
4. Tutti i CIS sono sottoposti a una procedura di accreditamento. L'accreditamento ha lo scopo di ottenere la garanzia che sono state messe in atto tutte le misure di sicurezza adeguate e che si è raggiunto un livello sufficiente di protezione delle ICUE e del CIS, conformemente alla presente decisione. La dichiarazione di accreditamento determina il livello di classifica più elevato delle informazioni che può essere trattato in un CIS nonché i termini e le condizioni ivi associati.
5. I CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono protetti in modo tale che le informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»).
6. Qualora la protezione delle ICUE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati secondo le modalità seguenti:
a)
la riservatezza delle informazioni classificate di livello SECRET UE/EU SECRET e superiore è protetta mediante prodotti crittografici approvati dal Consiglio in quanto autorità di approvazione degli apparati crittografici (CAA), su raccomandazione del Comitato per la sicurezza;
b)
la riservatezza delle informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o RESTREINT UE/EU RESTRICTED è protetta mediante prodotti crittografici approvati dal segretario generale del Consiglio («il segretario generale») in quanto CAA, su raccomandazione del Comitato per la sicurezza.
In deroga alla lettera b), all'interno dei sistemi nazionali degli Stati membri la riservatezza delle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o RESTREINT UE/EU RESTRICTED può essere protetta mediante prodotti crittografici approvati dalla CAA di uno Stato membro.
7. Per la trasmissione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, si possono applicare procedure specifiche in particolari situazioni di emergenza o in configurazioni tecniche specifiche di cui all'allegato IV.
8. Le autorità competenti dell'SGC e degli Stati membri stabiliscono rispettivamente le seguenti funzioni relative alla IA:
a)
un'autorità IA (IAA);
b)
un'autorità TEMPEST (TA);
c)
un'autorità di approvazione degli apparati crittografici (CAA);
d)
un'autorità di distribuzione degli apparati crittografici (CDA).
9. Per ciascun sistema le autorità competenti dell'SGC e degli Stati membri stabiliscono rispettivamente:
a)
un'autorità di accreditamento di sicurezza (SAA);
b)
un'autorità operativa IA.
10. Le disposizioni di attuazione del presente articolo figurano nell'allegato IV.
Articolo 11
Sicurezza industriale
1. Per «sicurezza industriale» si intende l'applicazione di misure che assicurino la protezione delle ICUE da parte di contraenti o subcontraenti in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati. Detti contratti non contemplano l'accesso alle informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.
2. L'SGC può affidare per contratto mansioni che comportano o implicano l'accesso a, il trattamento o la conservazione di ICUE da parte di soggetti industriali o di altra natura registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un'intesa amministrativa conformemente all'articolo 12, paragrafo 2, lettere a) o b).
3. In quanto autorità contraente, l'SGC, nell’aggiudicare un contratto classificato a un soggetto industriale o di altra natura, assicura il rispetto delle norme minime sulla sicurezza industriale previste nella presente decisione e a cui fa riferimento il contratto.
4. L'autorità di sicurezza nazionale (NSA), l'autorità di sicurezza designata (DSA) o qualsiasi altra autorità nazionale competente di ciascuno Stato membro assicura, per quanto possibile ai sensi delle disposizioni legislative e regolamentari nazionali, che i contraenti e i subcontraenti registrati nel suo territorio adottino le misure adeguate per proteggere le ICUE nei negoziati precontrattuali e nell'esecuzione di un contratto classificato.
5. L'NSA, la DSA o qualsiasi altra autorità di sicurezza competente di ciascuno Stato membro assicura, conformemente alle disposizioni legislative e regolamentari nazionali, che i contraenti e i subcontraenti registrati nel territorio dello Stato membro in questione, partecipanti a contratti o subcontratti classificati che richiedono l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture dispongano, nell'esecuzione di tali contratti o nella fase precontrattuale, di un nulla osta di sicurezza delle imprese (FSC) del livello di classifica adatto.
6. Il personale del contraente o subcontraente che, per l'esecuzione di un contratto classificato, necessita dell'accesso ad informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET ottiene un nulla osta di sicurezza personale (PSC) dalla rispettiva NSA, DSA o da altra autorità di sicurezza competente secondo le disposizioni legislative e regolamentari nazionali e le norme minime figuranti nell'allegato I.
7. Le disposizioni di attuazione del presente articolo figurano nell'allegato V.
Articolo 12
Scambio di informazioni classificate con Stati terzi ed organizzazioni internazionali
1. Qualora il Consiglio ravvisi la necessità di scambiare ICUE con uno Stato terzo o un'organizzazione internazionale, è posto in essere a tal fine un quadro appropriato.
2. Per stabilire tale quadro e definire disposizioni reciproche sulla protezione delle informazioni classificate scambiate:
a)
il Consiglio conclude accordi sulle procedure di sicurezza per scambiare e proteggere informazioni classificate («accordi sulla sicurezza delle informazioni»); o
b)
il segretario generale può pattuire intese amministrative ai sensi del punto17 dell'allegato VI laddove la classifica delle ICUE da comunicare non supera di norma il livello RESTREINT UE/EU RESTRICTED.
3. Gli accordi sulla sicurezza delle informazioni o le intese amministrative di cui al paragrafo 2 contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime non meno rigorose di quelle previste nella presente decisione.
4. La decisione di comunicare ad uno Stato terzo o ad un'organizzazione internazionale ICUE originate dal Consiglio è presa dal Consiglio caso per caso, in funzione della natura e del contenuto delle informazioni stesse, della necessità di conoscere del destinatario e dell'entità dei vantaggi per l'UE. Se l'originatore delle informazioni classificate che si desiderano comunicare non è il Consiglio, l'SGC chiede anzitutto il consenso scritto dell'originatore. Se è impossibile stabilire l'originatore, il Consiglio si assume la responsabilità dell'originatore.
5. Sono organizzate visite di valutazione per accertare l'efficacia delle misure di sicurezza poste in essere in uno Stato terzo o un'organizzazione internazionale al fine di proteggere le ICUE fornite o scambiate.
6. Le disposizioni di attuazione del presente articolo figurano nell'allegato VI.
Articolo 13
Violazione della sicurezza e compromissione di ICUE
1. La violazione della sicurezza è conseguenza di un atto o omissione di una persona contrario alle norme di sicurezza contenute nella presente decisione.
2. La compromissione si verifica quando, in seguito a una violazione della sicurezza, la ICUE sono state diffuse in tutto o in parte a persone non autorizzate.
3. Qualsiasi violazione o sospetta violazione della sicurezza è immediatamente riferita all'autorità di sicurezza competente.
4. Qualora sia noto o vi siano ragionevoli motivi di ritenere che vi sia stata compromissione o perdita di ICUE, l'autorità di sicurezza competente adotta tutte le misure adeguate secondo le pertinenti disposizioni legislative e regolamentari al fine di:
a)
informare l'originatore;
b)
assicurare che personale non direttamente interessato alla violazione indaghi sul caso per accertare i fatti;
c)
valutare i potenziali danni agli interessi dell'UE o degli Stati membri;
d)
adottare i provvedimenti opportuni per impedire che i fatti si ripetano; e
e)
informare le autorità competenti delle misure adottate.
5. Ogni persona responsabile di una violazione delle norme di sicurezza contenute nella presente decisione è passibile di azione disciplinare secondo le disposizioni legislative e regolamentari applicabili. Ogni persona responsabile della compromissione o della perdita di ICUE è passibile di sanzioni disciplinari e/o azioni legali secondo le disposizioni legislative, normative e regolamentari applicabili.
Articolo 14
Responsabilità dell'attuazione
1. Il Consiglio adotta tutte le misure necessarie per garantire la coerenza globale nell'applicazione della presente decisione.
2. Il segretario generale adotta tutte le misure necessarie per garantire che, nel trattamento o nella conservazione di ICUE o di qualsiasi altra informazione classificata, i funzionari e gli altri agenti dell'SGC, il personale distaccato presso l'SGC ed i contraenti dell'SGC applichino la presente decisione nei locali usati dal Consiglio e in seno all'SGC, compresi gli uffici di collegamento negli Stati terzi.
3. Gli Stati membri adottano tutte le misure adeguate, secondo le rispettive disposizioni legislative e regolamentari nazionali, per garantire che, nel trattamento o nella conservazione di ICUE, la presente decisione sia rispettata:
a)
dal personale delle Rappresentanze permanenti degli Stati membri presso l'Unione europea e dai delegati nazionali che partecipano a sessioni del Consiglio o a riunioni dei suoi organi preparatori o che prendono parte ad altre attività del Consiglio;
b)
dagli altri membri del personale delle amministrazioni nazionali degli Stati membri, incluso il personale distaccato presso tali amministrazioni, che prestino servizio sul territorio degli Stati membri o all'estero;
c)
dalle altre persone negli Stati membri debitamente autorizzate in virtù delle loro funzioni ad avere accesso ad ICUE; e
d)
dai contraenti degli Stati membri, nel territorio degli Stati membri o all'estero.
Articolo 15
Organizzazione della sicurezza nel Consiglio
1. Nell'ambito del suo ruolo di garante della coerenza globale nell'applicazione della presente decisione, il Consiglio approva:
a)
gli accordi di cui all'articolo 12, paragrafo 2, lettera a);
b)
le decisioni che autorizzano la comunicazione di ICUE a Stati terzi ed organizzazioni internazionali;
c)
un programma di ispezione annuale proposto dal segretario generale e raccomandato dal Comitato per la sicurezza per ispezionare i servizi e i locali degli Stati membri e delle agenzie e organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, nonché Europol ed Eurojust ed effettuare visite di valutazione negli Stati terzi e nelle organizzazioni internazionali al fine di accertare l'efficacia delle misure attuate per la protezione delle ICUE; e
d)
le politiche di sicurezza di cui all'articolo 6, paragrafo 1.
2. Il segretario generale è l'autorità di sicurezza dell'SGC. In tale veste il segretario generale:
a)
attua la politica di sicurezza del Consiglio e la sottopone a riesame periodico;
b)
coordina con le NSA degli Stati membri tutte le questioni di sicurezza relative alla protezione di informazioni classificate pertinenti per le attività del Consiglio;
c)
fornisce ai funzionari e altri agenti dell'SGC un PSC dell'UE conformemente all'articolo 7, paragrafo 3, prima che possa essere loro accordato l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore;
d)
ordina, ove opportuno, indagini su compromissioni o perdite, accertate o sospette, di informazioni classificate detenute o originate dal Consiglio e chiede alle autorità di sicurezza competenti di partecipare a tali indagini;
e)
compie ispezioni periodiche dei dispositivi di sicurezza per la protezione delle informazioni classificate nei locali dell'SGC;
f)
compie ispezioni periodiche dei dispositivi di sicurezza per la protezione delle ICUE nelle agenzie e negli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, in Europol, Eurojust, nonché nelle operazioni di gestione delle crisi previste ai sensi del titolo V, capo 2, del TUE nonché da parte dei Rappresentanti speciali dell'UE (RSUE) e dei membri delle loro squadre;
g)
compie, insieme e d'accordo con l'NSA interessata, ispezioni periodiche dei dispositivi di sicurezza per la protezione delle ICUE all'interno dei servizi e dei locali degli Stati membri;
h)
coordina le misure di sicurezza con le autorità competenti degli Stati membri responsabili della protezione delle informazioni classificate e, se del caso, con Stati terzi o organizzazioni internazionali, anche per quanto riguarda la natura delle minacce alla sicurezza delle ICUE e i relativi mezzi di protezione;
i)
pattuisce le intese amministrative di cui all'articolo 12, paragrafo 2, lettera b); e
j)
effettua visite di valutazione iniziali e periodiche presso Stati terzi o organizzazioni internazionali al fine di accertare l'efficacia delle misure attuate per la protezione delle ICUE messe a loro disposizione o con essi scambiate.
Il servizio di sicurezza dell'SGC è a disposizione del segretario generale per assisterlo nell'ambito di tali competenze.
3. Ai fini dell'attuazione dell'articolo 14, paragrafo 3 gli Stati membri dovrebbero:
a)
designare un'NSA responsabile dei dispositivi di sicurezza per proteggere le ICUE affinché:
i)
le ICUE detenute da qualsiasi servizio, organo o agenzia nazionale, pubblico o privato, sul territorio nazionale o all'estero, siano protette conformemente alla presente decisione;
ii)
i dispositivi di sicurezza per la protezione delle ICUE siano ispezionati regolarmente;
iii)
tutte le persone impiegate in un'amministrazione nazionale o da un contraente cui può essere concesso l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore abbiano ottenuto il nulla osta di sicurezza adeguato o siano in altro modo debitamente autorizzate in virtù delle rispettive funzioni conformemente alle disposizioni legislative e regolamentari nazionali;
iv)
siano istituiti programmi di sicurezza, se necessario, per minimizzare il rischio di compromissione o perdita delle ICUE;
v)
gli aspetti di sicurezza connessi con la protezione di ICUE siano coordinati con altre autorità nazionali competenti, comprese quelle menzionate nella presente decisione; e
vi)
sia data risposta alle opportune richieste di nulla osta di sicurezza provenienti dalle agenzie e dagli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, da Europol, Eurojust, nonché dalle operazioni di gestione delle crisi stabilite ai sensi del titolo V, capo 2, del TUE e dagli RSUE e dalle loro squadre.
Le NSA sono elencate nell'appendice C;
b)
assicurare che le loro autorità competenti forniscano informazioni e consulenza ai rispettivi governi, e attraverso questi al Consiglio, circa la natura delle minacce per la sicurezza delle ICUE ed i mezzi per proteggersi da tali minacce.
Articolo 16
Comitato per la sicurezza
1. È istituito un Comitato per la sicurezza. Esso esamina e valuta ogni questione relativa alla sicurezza nell'ambito di applicazione della presente decisione e formula, ove opportuno, raccomandazioni per il Consiglio.
2. Il Comitato per la sicurezza è composto di rappresentanti delle NSA degli Stati membri e vi partecipa un rappresentante della Commissione e del servizio europeo per l'azione esterna. Esso è presieduto dal segretario generale o dal suo delegato designato. Esso si riunisce secondo le istruzioni del Consiglio, o a richiesta del segretario generale o di unNSA.
Possono essere invitati a parteciparvi rappresentanti delle agenzie e degli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, nonché di Europol ed Eurojust quando vi si discutono questioni che li riguardano.
3. Il Comitato per la sicurezza organizza le sue attività in modo da essere in grado di formulare raccomandazioni su questioni specifiche in materia di sicurezza. Esso istituisce una sotto-sezione di esperti per gli aspetti IA ed altre sotto-sezioni ove necessario. Esso redige il mandato di tali sotto-sezioni e ne riceve le relazioni di attività corredate, ove opportuno, di raccomandazioni per il Consiglio.
Articolo 17
Sostituzione di precedenti decisioni
1. La presente decisione abroga e sostituisce la decisione 2001/264/CE del Consiglio, del 19 marzo 2001, che adotta le norme di sicurezza del Consiglio (2).
2. Tutte le ICUE classificate conformemente alla decisione 2001/264/CE continuano ad essere protette conformemente alle pertinenti disposizioni della presente decisione.
Articolo 18
Entrata in vigore
La presente decisione entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Bruxelles, addì 31 marzo 2011.