РЕШЕНИЕ НА СЪВЕТА
от 23 септември 2013 година
относно правилата за сигурност за защита на класифицирана информация на EC
(2013/488/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът, Комисията и Европейската служба за външна дейност (ЕСВД) са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, органи, служби или агенции на Съюза към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите членки.
(6)
Съветът следва да определи подходящата рамка за обмен на КИЕС, която се държи от Съвета, с други институции, органи, служби и агенции на Съюза, по целесъобразност в съответствие с настоящото решение и действащите междуинституционални договорености.
(7)
Органите и агенциите на Съюза, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст следва да прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, когато това е предвидено в акта за създаването им.
(8)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал следва да прилагат правилата за сигурност, приети от Съвета за защита на КИЕС, когато това е предвидено в акта на Съвета за създаването им.
(9)
Специалните представители на ЕС и членовете на техните екипи следва да прилагат приетите от Съвета правила за сигурност за защита на КИЕС, когато това е предвидено в съответния акт на Съвета.
(10)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(11)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите членки за информиране на националните им парламенти за дейностите на Съюза.
(12)
С цел да се гарантира навременното прилагане на правилата за сигурност за защита на КИЕС във връзка с присъединяването на Република Хърватия към Европейския съюз, настоящото решение следва да влезе в сила в деня на публикуването му,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, изложени в допълнение А.
Член 2
Определение на КИЕС, класификации за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите членки.
2. КИЕС се класифицира на някое от следните нива:
а)
TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
б)
SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
в)
CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите членки.
г)
RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, както и никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите членки въвеждат в структурите или мрежите на Съюза класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответстващото ниво, съгласно съдържащата се в допълнение Б таблица на съответствието на нивата на класификация за сигурност.
4. За даден масив от КИЕС може да се наложи защита на по-високо ниво на класификация, отколкото на отделните му компоненти.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения е необходимо да имат достъп до или да работят с КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Тези лица трябва да имат разрешение от назначаващия орган на ГСС за достъп до КИЕС до определено ниво и с определен срок.
4. Служителите на държавите членки, посочени в член 15, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране и разкриване на умишлено или случайно компрометиране или загуба на такава информация. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, писмения превод, понижаването на нивото на класификация, декласификацията, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложения III и IV.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират, както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една КИС обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за КИС, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. С цел защита на КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания, се прилагат мерки за сигурност на информацията („мерки за сигурност по Tempest“). Тези мерки за сигурност са съизмерими с риска от експлоатация и нивото на класификация на информацията.
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар на Съвета („генералния секретар“), действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 13, параграф 2, буква а) или б).
3. ГСС в качеството си на възложител гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани в съответната държава членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на КИЕС
1. Съветът определя условията, съгласно които може да обменя държана от него КИЕС с други институции, органи, служби или агенции на Съюза. Може да се въведе съответна рамка за тази цел, включително като се сключат междуинституционални споразумения или други договорености при необходимост за целта.
2. Тази рамка гарантира, че на КИЕС е осигурена защита, съответстваща на нивото ѝ на класификация и на основни принципи и минимални стандарти, които са равностойни на определените в настоящото решение.
Член 13
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съюзът сключва с трети държави или международни организации споразумения за процедури за сигурност за обмен и защита на класифицирана информация („споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености от името на ГСС в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на Съюза. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 14
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, НОС или друг компетентен орган предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на Съюза или на държавите членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарно и/или съдебно производство в съответствие с приложимите закони, правила и подзаконови актове.
Член 15
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите членки или зад граница;
в)
други лица в държавите членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС;
г)
изпълнители, наети от държавите членки, независимо дали работят на територията на държавите членки или зад граница.
Член 16
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 13, параграф 2, буква а);
б)
решенията, с което се разрешава или се дава съгласие за предоставяне на КИЕС, създадена или съхранявана от Съвета, на трети държави или международни организации, в съответствие с принципа на съгласие на създателя на информацията;
в)
годишна програма за посещения за оценка, препоръчана от Комитета по сигурността, за посещения за оценка на службите и обектите в държавите членки, на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица на ГСС, на други служители и на командированите национални експерти разрешение за достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо - в съответствие с член 7, параграф 3;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на класифицирана информация, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на мерките по сигурността за защита на класифицираната информация в обектите на ГСС;
е)
извършва периодични посещения за оценка на мерките по сигурността за защита на КИЕС в органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични оценки на мерките по сигурността за защита на КИЕС в службите и обектите на държавите членки;
з)
прави необходимото за съответното координиране на мерките за сигурност с компетентните органи на държавите членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях; и
и)
влиза в административните договорености, посочени в член 13, параграф 2, буква б).
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 15, параграф 3 държавите членки следва да:
а)
определят НОС, вписан в допълнение В, който да отговаря за мерките по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
мерките по сигурността за защита на КИЕС да се проверяват или оценяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
vi)
да се дава отговор на съответните заявления за проверки за надеждност, по-специално от всички органи, агенции, структури и операции на Съюза, създадени съгласно дял V, глава 2 от ДЕС, от специалните представители на ЕС (СПЕС) и техните екипи, които прилагат настоящото решение или неговите принципи;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 17
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на НОС на държавите членки и на заседанията му присъства представител на Комисията и на ЕСВД. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на НОС.
На заседанията могат да бъдат поканени представители на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, когато се обсъждат засягащи ги въпроси.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 18
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2011/292/ЕС на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО на Съвета (3) и с Решение 2011/292/ЕС, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 19
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 23 септември 2013 година.
NÕUKOGU OTSUS,
23. september 2013,
ELi salastatud teabe kaitseks vajalike julgeolekueeskirjade kohta
(2013/488/EL)
EUROOPA LIIDU NÕUKOGU,
võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artikli 240 lõiget 3,
võttes arvesse nõukogu 1. detsembri 2009. aasta otsust 2009/937/EL, millega võetakse vastu nõukogu kodukord, (1) eriti selle artiklit 24,
ning arvestades järgmist:
(1)
Nõukogu töö arendamiseks valdkondades, mis eeldavad salastatud teabe töötlemist, on otstarbekas luua salastatud teabe kaitseks ulatuslik julgeolekusüsteem, mis hõlmaks nõukogu, selle peasekretariaati ja liikmesriike.
(2)
Käesolevat otsust tuleks kohaldada juhtudel, kui nõukogu, selle ettevalmistavad organid või nõukogu peasekretariaat töötlevad ELi salastatud teavet.
(3)
ELi salastatud teabe töötlemisel liikmesriikide pädevate asutuste, töötajate või lepinglaste poolt peaksid liikmesriigid järgima käesolevat otsust kooskõlas oma riigisiseste õigusaktidega ning nõukogu toimimiseks vajalikus ulatuses, et iga liikmesriik võiks olla kindel ELi salastatud teabe suhtes samaväärse kaitsetaseme kohaldamises.
(4)
Nõukogu, komisjon ja Euroopa välisteenistus kohustuvad kohaldama ELi salastatud teabe kaitse suhtes samaväärse tasemega julgeolekustandardeid.
(5)
Nõukogu rõhutab, et vajaduse korral tuleb ka Euroopa Parlament ja muud liidu institutsioonid, organid ja asutused kaasata liidu ja tema liikmesriikide huvide kaitsmiseks vajalike salastatud teabe kaitsmise põhimõtete, standardite ja eeskirjade kohaldamisse.
(6)
Nõukogu peaks kindlaks määrama sobiva raamistiku nõukogu valduses oleva ELi salastatud teabe jagamiseks vajaduse korral teiste liidu institutsioonide, organite ja asutustega kooskõlas käesoleva otsusega ja kehtivate institutsioonidevaheliste kokkulepetega.
(7)
Euroopa Liidu lepingu (ELi leping) V jaotise 2. peatüki alusel loodud liidu organid ja asutused ning Europol ja Eurojust peaksid kohaldama oma sisekorralduses ELi salastatud teabe kaitseks käesolevas otsuses sätestatud aluspõhimõtteid ja miinimumstandardeid, kui see on ette nähtud nende asutamist käsitlevates õigusaktides.
(8)
ELi lepingu V jaotise 2. peatüki alusel loodud kriisiohjamisoperatsioonid ja nende isikkoosseis peaksid kohaldama ELi salastatud teabe kaitseks nõukogu poolt vastuvõetud julgeolekueeskirju, kui see on ette nähtud nende asutamist käsitlevates nõukogu õigusaktides.
(9)
ELi eriesindajad ja nende isikkoosseisu liikmed peaksid kohaldama ELi salastatud teabe kaitseks nõukogu poolt vastuvõetud julgeolekueeskirju, kui see on ette nähtud asjaomase nõukogu õigusaktiga.
(10)
Käesolev otsus ei piira Euroopa Liidu toimimise lepingu (ELi toimimise leping) artiklite 15 ja 16 ega neid rakendavate õigusaktide kohaldamist.
(11)
Käesolev otsus ei piira liikmesriikide seniste tavade kohaldamist seoses liikmesriikide parlamentide teavitamisega liidu tegevustest.
(12)
Selleks, et tagada ELi salastatud teabe kaitseks vajalike julgeolekueeskirjade õigeaegne kohaldamine, võttes arvesse Horvaatia Vabariigi ühinemist Euroopa Liiduga, peaks käesolev otsus jõustuma selle avaldamise kuupäeval,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
Eesmärk, reguleerimisala ja mõisted
1. Käesoleva otsusega nähakse ette ELi salastatud teabe kaitseks vajalikud julgeoleku aluspõhimõtted ja miinimumstandardid.
2. Kõnealuseid aluspõhimõtteid ja miinimumstandardeid kohaldatakse nõukogu ja selle peasekretariaadi suhtes ning liikmesriigid peavad neid järgima kooskõlas oma vastavate riigisiseste õigusaktidega, et tagada kõigile ELi salastatud teabe samaväärne kaitsetase.
3. Käesolevas otsuses kohaldatakse A liites esitatud mõisteid.
Artikkel 2
ELi salastatud teabe, salastatuse tasemete ja märgete määratlus
1. „ELi salastatud teave” on teave või materjal, mis on tähistatud ELi salastusmärkega ja mille loata avaldamine võib eri määral kahjustada Euroopa Liidu või ühe või mitme liikmesriigi huve.
2. ELi salastatud teave liigitatakse ühte järgmistest tasemetest:
a)
TRÈS SECRET UE/EU TOP SECRET: teave ja materjal, mille loata avaldamine võib väga tõsiselt kahjustada Euroopa Liidu või ühe või mitme liikmesriigi olulisi huve;
b)
SECRET UE/EU SECRET: teave ja materjal, mille loata avaldamine võib tõsiselt kahjustada Euroopa Liidu või ühe või mitme liikmesriigi olulisi huve;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: teave ja materjal, mille loata avaldamine võib kahjustada Euroopa Liidu või ühe või mitme liikmesriigi olulisi huve;
d)
RESTREINT UE/EU RESTRICTED: teave ja materjal, mille loata avaldamine võib negatiivselt mõjutada Euroopa Liidu või ühe või mitme liikmesriigi huve.
3. ELi salastatud teave tähistatakse salastusmärkega vastavalt lõikele 2. See võib kanda täiendavat märget, nagu asjaomases dokumendis käsitletud valdkonda määratlevad, dokumendi koostajat tuvastavad, dokumendi levitamist või kasutamist piiravad või avaldatavuse märked.
Artikkel 3
Salastatuse tasemete haldamine
1. Pädevad asutused tagavad, et ELi salastatud teabele on määratud asjakohane salastatuse tase, teave on selgelt määratletud salastatud teabena ning see säilitab oma salastatuse taseme üksnes nii kaua kui vajalik.
2. ELi salastatud teabe salastatuse taset ei alandata, salastatust ei kustutata ja artikli 2 lõikes 3 osutatud märkeid ei muudeta ega kõrvaldata ilma dokumendi koostaja eelneva kirjaliku nõusolekuta.
3. Nõukogu kiidab heaks ELi salastatud teabe loomist käsitleva julgeolekupoliitika, mis sisaldab salastatuse taseme määramise praktilist juhendit.
Artikkel 4
Salastatud teabe kaitse
1. ELi salastatud teabe kaitsmine toimub käesoleva otsuse kohaselt.
2. ELi salastatud teabe ühiku valdaja vastutab selle kaitsmise eest käesoleva otsuse kohaselt.
3. Kui liikmesriigid sisestavad liidu struktuuridesse või võrkudesse riigisisest salastusmärget kandva salastatud teabe, kaitsevad nõukogu ja nõukogu peasekretariaat seda teavet kooskõlas nõuetega, mida kohaldatakse samaväärse salastatuse tasemega ELi salastatud teabe suhtes vastavalt B liites esitatud salastatuse tasemete vastavustabelile.
4. ELi salastatud teabe kogumi puhul võib vajalikuks osutuda kõrgemale salastatuse tasemele vastav kaitse tase, kui selle üksikkomponentide puhul.
Artikkel 5
Turvariski juhtimine
1. ELi salastatud teabe turvariski juhitakse protsessina. Nimetatud protsessi eesmärk on teha kindlaks teadaolevad turvariskid, määrata vastavalt käesolevas otsuses sätestatud aluspõhimõtetele ja miinimumstandarditele kindlaks selliste riskide vastuvõetava tasemeni vähendamise turvameetmed ja kohaldada kõnealuseid meetmeid kooskõlas A liites määratletud süvakaitse põhimõttega. Selliste meetmete tõhusust hinnatakse pidevalt.
2. Turvameetmed, mis on vajalikud ELi salastatud teabe kaitsmiseks kogu kasutusaja jooksul, on vastavuses eelkõige asjaomase teabe või materjali salastatuse taseme, vormi ja hulgaga, ELi salastatud teavet sisaldavate rajatiste asukoha ja ülesehitusega ning kohapeal antud hinnanguga kuritahtlikust ja/või kriminaalsest tegevusest, sealhulgas spionaažist, sabotaažist või terrorismist tulenevale ohule.
3. Situatsiooniplaanides võetakse arvesse vajadust kaitsta ELi salastatud teavet hädaolukordades, et vältida volitamata juurdepääsu teabele, teabe loata avaldamist või teabe tervikluse või käideldavuse kadumist.
4. Talitluspidevuse tagamise plaanidesse lisatakse ennetus- ja taastamismeetmed, et minimeerida ulatuslike rikete või intsidentide mõju ELi salastatud teabe töötlemisele ja säilitamisele.
Artikkel 6
Käesoleva otsuse rakendamine
1. Vajaduse korral kiidab nõukogu julgeolekukomitee soovituse alusel heaks julgeolekupoliitikad, milles sätestatakse meetmed käesoleva otsuse rakendamiseks.
2. Julgeolekukomitee võib oma tasandil kokku leppida julgeolekusuunistes, mille eesmärk on täiendada või toetada käesolevat otsust ja nõukogu poolt heaks kiidetud julgeolekupoliitikaid.
Artikkel 7
Töötajatega seotud julgeolek
1. Töötajatega seotud julgeolek tähendab selliste meetmete kohaldamist, millega tagatakse juurdepääs ELi salastatud teabele ainult isikutele:
-
kellel on teadmisvajadus,
-
kes on läbinud vajalikul tasemel julgeolekukontrolli, kui see on asjakohane, ning
-
keda on teavitatud nende vastutusest.
2. Töötajatega seotud julgeolekukontrolli kord on selline, et selle alusel on võimalik kindlaks teha, kas isikule võib tema lojaalsust ja usaldusväärsust arvesse võttes lubada juurdepääsu ELi salastatud teabele.
3. Kõik nõukogu peasekretariaadis töötavad isikud, kes vajavad oma tööülesannete tõttu juurdepääsu CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel ELi salastatud teabele või kelle tööülesanded nõuavad sellise teabe käitlemist, peavad enne, kui neile antakse juurdepääs sellisele ELi salastatud teabele, läbima asjakohase taseme julgeolekukontrolli. Sellised isikud peavad saama nõukogu peasekretariaadi ametisse nimetavalt asutuselt loa juurdepääsuks kuni teatud salastatuse tasemel ELi salastatud teabele kindlaksmääratud kuupäevani.
4. Artikli 15 lõikes 3 osutatud liikmesriikide töötajad, kes võivad oma tööülesannete tõttu vajada juurdepääsu CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel ELi salastatud teabele, läbivad enne, kui neile antakse juurdepääs sellisele ELi salastatud teabele, asjakohase taseme julgeolekukontrolli või omavad ametiülesannetest tulenevat juurdepääsuõigust vastavalt riigisisestele õigusaktidele.
5. Enne ELi salastatud teabele juurdepääsu andmist ja pärast seda regulaarsete ajavahemike järel teavitatakse kõiki isikuid nende kohustusest kaitsta ELi salastatud teavet vastavalt käesolevale otsusele, ning nad kinnitavad oma vastutust seoses kõnealuse teabe kaitsmisega.
6. Sätted käesoleva artikli rakendamise kohta on esitatud I lisas.
Artikkel 8
Füüsiline julgeolek
1. Füüsiline julgeolek on füüsiliste ja tehniliste kaitsemeetmete rakendamine, et vältida volitamata juurdepääsu ELi salastatud teabele.
2. Füüsilise julgeoleku meetmete eesmärk on välistada salajane või jõuga sissetung, hoida ära, takistada ja avastada lubamatuid toiminguid ning võimaldada töötajate eristamist seoses juurdepääsuga ELi salastatud teabele teadmisvajaduse põhimõtte alusel. Sellised meetmed määratakse kindlaks riskijuhtimisprotsessi alusel.
3. Füüsilise julgeoleku meetmeid kohaldatakse kõikide objektide, hoonete, ametiruumide ning muude ruumide ja alade suhtes, kus töödeldakse või säilitatakse ELi salastatud teavet, sealhulgas alade suhtes, kus paiknevad artikli 10 lõikes 2 määratletud side- ja infosüsteemid.
4. Alad, kus säilitatakse CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel ELi salastatud teavet, luuakse turvaaladena vastavalt II lisale ning need kiidab heaks pädev julgeolekuasutus.
5. CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabe kaitseks kasutatakse üksnes heakskiidetud seadmeid ja vahendeid.
6. Sätted käesoleva artikli rakendamise kohta on esitatud II lisas.
Artikkel 9
Salastatud teabe haldamine
1. Salastatud teabe haldamine tähendab haldusmeetmete kohaldamist ELi salastatud teabe kontrollimiseks kogu selle kasutusaja jooksul, et täiendada artiklites 7, 8 ja 10 sätestatud meetmeid ja aidata seeläbi ära hoida ja avastada sellise teabe tahtlikku või juhuslikku ohtu sattumist või kadumist. Sellised meetmed on eelkõige seotud ELi salastatud teabe loomise, registreerimise, kopeerimise, tõlkimise, salastatuse taseme alandamise, salastatuse kustutamise, veo ja hävitamisega.
2. CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teave registreeritakse julgeolekukaalutlustel enne levitamist ja selle vastuvõtmisel. Nõukogu peasekretariaadi ja liikmesriikide pädevad asutused loovad selleks registrite süsteemi. TRÈS SECRET UE/EU TOP SECRET tasemel salastatud teave registreeritakse selleks ettenähtud registrites.
3. Pädev julgeolekuasutus kontrollib regulaarselt teenistusi ja tööruume, kus toimub ELi salastatud teabe töötlemine või säilitamine.
4. ELi salastatud teabe edastamine teenistuste ja tööruumide vahel väljaspool füüsiliselt kaitstud alasid toimub järgmiselt:
a)
üldjuhul edastatakse ELi salastatud teave elektrooniliselt, kaitstuna artikli 10 lõike 6 kohaselt heakskiidetud krüptovahenditega;
b)
kui punktis a osutatud edastusviisi ei kasutata, veetakse ELi salastatud teavet:
i)
elektroonilisel andmekandjal (nt USB mälupulk, CD, kõvaketas), kaitstuna artikli 10 lõike 6 kohaselt heakskiidetud krüptovahenditega, või
ii)
kõikidel muudel juhtudel pädeva julgeolekuasutuse ettenähtud korras vastavalt III lisas sätestatud asjakohastele kaitsemeetmetele.
5. Sätted käesoleva artikli rakendamise kohta on esitatud III ja IV lisas.
Artikkel 10
Side- ja infosüsteemides töödeldava ELi salastatud teabe kaitse
1. Infokindlus side- ja infosüsteemide valdkonnas tähendab kindlust, et sellised süsteemid kaitsevad neis töödeldavat teavet ning toimivad ettenähtud korras, ettenähtud ajal ja õiguspäraste kasutajate kontrolli all. Tõhus infokindlus tagab asjakohasel tasemel salajasuse, tervikluse, käideldavuse, salgamise vääramise ja autentsuse. Infokindluse aluseks on riskijuhtimisprotsess.
2. Side- ja infosüsteem tähendab süsteemi, mis võimaldab elektroonilises vormis oleva teabe töötlemist. Side- ja infosüsteem hõlmab kõiki selle toimimiseks vajalikke vahendeid, sealhulgas infrastruktuuri, töökorralduse, töötajate ja teabega seotud ressursse. Käesolevat otsust kohaldatakse side- ja infosüsteemide suhtes, milles töödeldakse ELi salastatud teavet.
3. Side- ja infosüsteemid töötlevad ELi salastatud teavet kooskõlas infokindluse kontseptsiooniga.
4. Kõik side- ja infosüsteemid läbivad akrediteerimisprotsessi. Akrediteerimise eesmärk on tagada, et kooskõlas käesoleva otsusega on rakendatud kõiki asjakohaseid turvameetmeid ning on saavutatud ELi salastatud teabe ning side- ja infosüsteemi piisava tasemega kaitse. Akrediteerimisteatises määratakse kindlaks teabe maksimaalne salastatuse tase, millesse kuuluvat teavet side- ja infosüsteem võib töödelda, ning vastavad tingimused.
5. Rakendatakse turvameetmeid, et kaitsta CONFIDENTIEL UE/EU CONFIDENTIAL ja kõrgemal tasemel salastatud teavet töötlevaid side- ja infosüsteeme sellise teabe ohtu sattumise eest tahtmatu elektromagnetkiirguse kaudu („TEMPEST-turvameetmed”). Sellised turvameetmed peavad olema vastavuses teabe kasutusriski ja salastatuse tasemega.
6. Kui ELi salastatud teavet kaitstakse krüptovahenditega, kiidetakse sellised vahendid heaks järgmiselt:
a)
SECRET UE/EU SECRET ja kõrgemal tasemel salastatud teabe salajasust kaitstakse krüptovahenditega, mille nõukogu kui krüptovahendite heakskiitmise asutus on julgeolekukomitee soovitusel heaks kiitnud;
b)
CONFIDENTIEL UE/EU CONFIDENTIAL või RESTREINT UE/EU RESTRICTED tasemel salastatud teabe salajasust kaitstakse krüptovahenditega, mille nõukogu peasekretär („peasekretär”) kui krüptovahendite heakskiitmise asutus on julgeolekukomitee soovitusel heaks kiitnud.
Olenemata punktist b võib liikmesriikide riigisisestes süsteemides kaitsta CONFIDENTIEL UE/EU CONFIDENTIAL või RESTREINT UE/EU RESTRICTED tasemel ELi salastatud teabe salajasust krüptovahenditega, mille on heaks kiitnud liikmesriigi krüptovahendite heakskiitmise asutus.
7. ELi salastatud teabe elektroonilise edastamise ajal kasutatakse heakskiidetud krüptovahendeid. Olenemata nimetatud nõudest võib erakorraliste asjaolude või IV lisas nimetatud spetsiifiliste tehniliste tingimuste korral rakendada erimenetlusi.
8. Nõukogu peasekretariaadi ja liikmesriikide pädevad asutused loovad järgmised infokindlusega tegelevad asutused:
a)
infokindluse asutus;
b)
TEMPEST-asutus;
c)
krüptovahendite heakskiitmise asutus;
d)
krüptomaterjalide jaotamise asutus.
9. Nõukogu peasekretariaadi ja liikmesriikide pädevad asutused loovad iga süsteemi jaoks järgmised asutused:
a)
turvalisuse akrediteerimise asutus;
b)
infokindluse rakendusasutus.
10. Sätted käesoleva artikli rakendamise kohta on esitatud IV lisas.
Artikkel 11
Tööstusjulgeolek
1. Tööstusjulgeolek tähendab meetmete kohaldamist selleks, et tagada ELi salastatud teabe kaitsmine lepinglaste ja all-lepinglaste poolt lepingueelsetel läbirääkimistel ja salastatud lepingute kogu kehtivusaja jooksul. Selliste lepingutega ei kaasne juurdepääsu TRÈS SECRET UE/EU TOP SECRET tasemel salastatud teabele.
2. Nõukogu peasekretariaat võib lepinguga usaldada ülesanded, millega kaasneb juurdepääs ELi salastatud teabele või sellise teabe töötlemine või säilitamine, tööstus- või muudele üksustele, mis on registreeritud liikmesriigis või kolmandas riigis, mis on sõlminud lepingu või halduskokkuleppe vastavalt artikli 13 lõike 2 punktile a või b.
3. Nõukogu peasekretariaat kui lepingu sõlmija tagab, et salastatud lepingute sõlmimisel tööstus- või muude üksustega järgitakse käesolevas otsuses sätestatud ja lepingus viidatud tööstusjulgeoleku miinimumstandardeid.
4. Liikmesriigi riiklik julgeolekuasutus, määratud julgeolekuasutus või muu pädev asutus tagab riigisiseste õigusaktidega lubatud ulatuses, et nende territooriumil registreeritud lepinglased ja all-lepinglased võtavad lepingueelsetel läbirääkimistel ja salastatud lepingu täitmisel kõik asjakohased meetmed ELi salastatud teabe kaitsmiseks.
5. Liikmesriigi riiklik julgeolekuasutus, määratud julgeolekuasutus või muu pädev julgeolekuasutus tagab vastavalt riigisisestele õigusaktidele, et asjaomase liikmesriigi territooriumil registreeritud lepinglased ja all-lepinglased, kes osalevad sellistes salastatud lepingutes või all-lepingutes, mis eeldavad juurdepääsu CONFIDENTIEL UE/EU CONFIDENTIAL või SECRET UE/EU SECRET tasemel salastatud teabele oma valdustes, kas selliste lepingute täitmise käigus või lepingueelses etapis, omavad asjakohase tasemega töötlemisluba.
6. Lepinglase või all-lepinglase töötajatele, kes vajavad salastatud lepingu täitmiseks juurdepääsu CONFIDENTIEL UE/EU CONFIDENTIAL või SECRET UE/EU SECRET tasemel salastatud teabele, väljastab juurdepääsuloa asjaomane riiklik julgeolekuasutus, määratud julgeolekuasutus või muu pädev julgeolekuasutus vastavalt riigisisestele õigusaktidele ja I lisas sätestatud miinimumstandarditele.
7. Sätted käesoleva artikli rakendamise kohta on esitatud V lisas.
Artikkel 12
ELi salastatud teabe jagamine
1. Nõukogu kehtestab tingimused, mille alusel ta võib oma valduses olevat ELi salastatud teavet jagada teiste liidu institutsioonide, organite ja asutustega. Sel eesmärgil võib kehtestada asjakohase raamistiku, sealhulgas vajaduse korral sõlmida institutsioonidevahelisi kokkuleppeid või muid kokkuleppeid.
2. Selline raamistik tagab, et ELi salastatud teavet kaitstakse vastavalt selle salastatuse tasemele ning kooskõlas selle aluspõhimõtete ja miinimumstandarditega, mis on samaväärsed käesolevas otsuses sätestatuga.
Artikkel 13
Salastatud teabe vahetamine kolmandate riikide ja rahvusvaheliste organisatsioonidega
1. Kui nõukogu otsustab, et on vaja vahetada ELi salastatud teavet kolmanda riigi või rahvusvahelise organisatsiooniga, kehtestatakse selleks asjakohane raamistik.
2. Sellise raamistiku kehtestamiseks ning vahetatava salastatud teabe kaitsmise vastastikuste eeskirjade määratlemiseks:
a)
sõlmib liit kolmandate riikide või rahvusvaheliste organisatsioonidega lepingu salastatud teabe kaitse ja vahetamise julgeolekukorra kohta („salastatud teabe kaitse leping”) või
b)
võib peasekretär sõlmida nõukogu peasekretariaadi nimel VI lisa punkti 17 kohaselt halduskokkuleppe, kui avalikustatav ELi salastatud teave ei ole üldjuhul kõrgemal salastatuse tasemel kui RESTREINT UE/EU RESTRICTED.
3. Lõikes 2 osutatud salastatud teabe kaitse lepingud või halduskokkulepped sisaldavad sätteid, millega tagatakse, et juhul kui kolmandad riigid või rahvusvahelised organisatsioonid saavad ELi salastatud teavet, kaitstakse kõnealust teavet asjakohase salastatuse taseme kohaselt ja vastavalt miinimumstandarditele, mis on vähemalt sama ranged kui käesolevas otsuses sätestatud miinimumstandardid.
4. Nõukogu teeb otsuse nõukogust pärineva ELi salastatud teabe kolmandale riigile või rahvusvahelisele organisatsioonile avaldamise kohta igal üksikjuhul eraldi, võttes arvesse kõnealuse teabe laadi ja sisu, selle vastuvõtja teadmisvajadust ning liidule teabe avaldamisest tuleneva kasu ulatust. Kui salastatud teave, mida soovitakse avaldada, ei ole pärit nõukogust, küsib nõukogu peasekretariaat avaldamiseks kõigepealt teabe koostaja kirjalikku nõusolekut. Kui teabe koostajat ei ole võimalik kindlaks teha, võtab nõukogu vastutuse teabe eest endale.
5. Esitatava või vahetatava ELi salastatud teabe kaitseks kolmanda riigi või rahvusvahelise organisatsiooni poolt rakendatavate turvameetmete tõhususe hindamiseks korraldatakse hindamiskülastusi.
6. Sätted käesoleva artikli rakendamise kohta on esitatud VI lisas.
Artikkel 14
Julgeolekunõuete rikkumine ja ELi salastatud teabe ohtu sattumine
1. Julgeolekunõuete rikkumine toimub isiku sellise tegevuse või tegevusetuse tagajärjel, mis on vastuolus käesolevas otsuses sätestatud julgeolekueeskirjadega.
2. ELi salastatud teave satub ohtu siis, kui julgeolekunõuete rikkumise tulemusena on kõnealune teave tervikuna või osaliselt avalikustatud volitamata isikutele.
3. Igast julgeolekunõuete rikkumisest või julgeolekunõuete rikkumise kahtlusest teatatakse viivitamata pädevale julgeolekuasutusele.
4. Kui on teada või kui on põhjendatult alust eeldada, et ELi salastatud teave on ohtu sattunud või kadunud, võtab riiklik julgeolekuasutus või muu pädev asutus kooskõlas vastavate õigusaktidega kõik asjakohased meetmed, et:
a)
teavitada teabe koostajat;
b)
tagada asjaolude kindlakstegemiseks juhtumi uurimine töötajate poolt, kes ei ole rikkumisega vahetult seotud;
c)
hinnata liidu või liikmesriikide huvidele tekitatud võimalikku kahju;
d)
võtta sobivaid meetmeid rikkumise kordumise ärahoidmiseks ning
e)
teavitada asjaomaseid asutusi võetud meetmetest.
5. Iga isiku suhtes, kes on vastutav käesolevas otsuses sätestatud julgeolekueeskirjade rikkumise eest, võib kohaldada distsiplinaarmeetmeid vastavalt kohaldatavatele õigus- ja haldusnormidele. Iga isiku suhtes, kes on vastutav ELi salastatud teabe ohtu sattumise või kadumise eest, kohaldatakse distsiplinaar- ja/või õiguslikke meetmeid vastavalt kohaldatavatele õigus- ja haldusnormidele.
Artikkel 15
Vastutus rakendamise eest
1. Nõukogu võtab kõik vajalikud meetmed, et tagada üldine järjepidevus käesoleva otsuse kohaldamisel.
2. Peasekretär võtab kõik vajalikud meetmed tagamaks, et ELi salastatud teabe või muu salastatud teabe töötlemisel või säilitamisel nõukogu poolt kasutatavates ruumides ja nõukogu peasekretariaadis kohaldavad nõukogu peasekretariaadi ametnikud ja muud teenistujad, nõukogu peasekretariaati lähetatud töötajad ja nõukogu peasekretariaadiga lepingu sõlminud lepinglased käesolevat otsust.
3. Liikmesriigid võtavad kooskõlas vastavate riigisiseste õigusaktidega kõik asjakohased meetmed tagamaks, et ELi salastatud teabe töötlemisel ja säilitamisel järgivad järgmised isikud käesolevat otsust:
a)
Euroopa Liidu juures olevate liikmesriikide alaliste esinduste töötajad ning nõukogu või selle ettevalmistavate organite istungitel või muus nõukogu tegevuses osalevate riiklike delegatsioonide liikmed;
b)
muud liikmesriikide valitsusasutuste töötajad, sealhulgas nendesse valitsusasutustesse lähetatud töötajad olenemata sellest, kas nad täidavad oma tööülesandeid asjaomaste liikmesriikide territooriumil või välismaal;
c)
muud isikud, kellel on liikmesriikides oma tööülesannete tõttu nõuetekohased volitused juurdepääsuks ELi salastatud teabele, ning
d)
liikmesriikidega lepingu sõlminud lepinglased olenemata sellest, kas nad tegutsevad asjaomaste liikmesriikide territooriumil või välismaal.
Artikkel 16
Julgeolekukorraldus nõukogus
1. Selleks et täita oma ülesannet tagada üldine järjepidevus käesoleva otsuse kohaldamisel, kiidab nõukogu heaks:
a)
artikli 13 lõike 2 punktis a osutatud lepingud;
b)
otsused, millega lubatakse või antakse nõusolek avaldada nõukogust pärit või nõukogus säilitatavat ELi salastatud teavet kolmandatele riikidele ja rahvusvahelistele organisatsioonidele kooskõlas koostaja nõusoleku põhimõttega;
c)
julgeolekukomitee soovitatud iga-aastase hindamiskülastuste kava, mis on mõeldud hindamiskülastuste tegemiseks liikmesriikide teenistustesse ja tööruumidesse, käesolevat otsust või selle põhimõtteid kohaldavatesse liidu organitesse, asutustesse ja üksustesse ning hindamiskülastuste tegemiseks kolmandatesse riikidesse ja rahvusvahelistesse organisatsioonidesse, et hinnata ELi salastatud teabe kaitseks rakendatud meetmete tõhusust, ning
d)
artikli 6 lõikes 1 sätestatud julgeolekupoliitikad.
2. Nõukogu peasekretariaadi julgeolekuasutuseks on peasekretär. Seoses sellega täidab peasekretär järgmisi kohustusi:
a)
viib ellu nõukogu julgeolekupoliitikat ja vaatab seda regulaarselt läbi;
b)
koordineerib liikmesriikide riiklike julgeolekuasutustega kõiki julgeolekuküsimusi, mis puudutavad nõukogu tegevusega seotud salastatud teabe kaitset;
c)
annab vastavalt artikli 7 lõikele 3 nõukogu peasekretariaadi ametnikele, muudele teenistujatele ja riikide lähetatud ekspertidele loa juurdepääsuks CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabele;
d)
annab vajaduse korral korralduse uurida kõiki nõukogu valduses oleva või nõukogust pärit salastatud teabe tegeliku või kahtlustatava ohtu sattumise või kadumise juhtumeid ning taotleb, et asjaomased julgeolekuasutused osutaksid selliste uurimiste läbiviimisel abi;
e)
kontrollib regulaarselt nõukogu peasekretariaadi tööruumides salastatud teabe kaitseks võetud turvameetmeid;
f)
korraldab korrapäraseid külastusi, et hinnata ELi salastatud teabe kaitseks võetud turvameetmeid käesolevat otsust või selle põhimõtteid kohaldavates liidu organites, asutustes ja üksustes;
g)
hindab koostöös ja kokkuleppel asjaomase riikliku julgeolekuasutusega regulaarselt liikmesriikide teenistustes ja tööruumides ELi salastatud teabe kaitseks võetud turvameetmeid;
h)
tagab vajaduse korral turvameetmete koordineerimise salastatud teabe kaitse eest vastutavate liikmesriikide pädevate asutustega ning vajaduse korral kolmandate riikide või rahvusvaheliste organisatsioonidega, sealhulgas selles osas, mis puudutab ELi salastatud teabe julgeolekut ähvardavate ohtude olemust ja seda, milliste vahenditega end nende ohtude eest kaitsta, ning
i)
sõlmib artikli 13 lõike 2 punktis b osutatud halduskokkuleppeid.
Nõukogu peasekretariaadi julgeolekubüroo abistab peasekretäri nimetatud kohustuste täitmisel.
3. Liikmesriigid peaksid artikli 15 lõike 3 rakendamiseks tegema järgmist:
a)
määrama riikliku julgeolekuasutuse, kes tuuakse ära C liites ja kes vastutab ELi salastatud teabe kaitseks võetavate turvameetmete eest, et:
i)
mis tahes avalik-õigusliku või eraõigusliku riigisisese talituse, organi või asutuse valduses olevat ELi salastatud teavet kaitstaks nii kodu- kui välismaal käesoleva otsuse kohaselt;
ii)
ELi salastatud teabe kaitseks võetud turvameetmeid hinnataks või vaadataks regulaarselt läbi;
iii)
kõik valitsusasutustes või lepinglaste juures töötavad isikud, kellele võidakse anda juurdepääs CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabele, oleks läbinud nõuetekohase julgeolekukontrolli või omaks oma tööülesannete tõttu selleks muid nõuetekohaseid volitusi vastavalt riigisisestele õigusaktidele;
iv)
vajaduse korral töötataks välja julgeolekukavad, et vähendada miinimumini ELi salastatud teabe ohtu sattumise või kadumise riski;
v)
ELi salastatud teabe kaitsmisega seotud julgeolekuküsimusi koordineeritaks teiste pädevate riiklike asutustega, sealhulgas käesolevas otsuses nimetatud asutustega, ning
vi)
vastataks asjakohastele, eelkõige kõigi käesolevat otsust või selle põhimõtteid kohaldavate ELi lepingu V jaotise 2. peatüki alusel loodud liidu organite, asutuste, üksuste, operatsioonide ning ELi eriesindajate ja nende isikkoosseisu liikmete poolt esitatud julgeolekukontrolli läbiviimise taotlustele;
b)
tagama, et nende pädevad asutused annavad riigi valitsusele ja tema kaudu nõukogule teavet ja nõu ELi salastatud teabe julgeolekut ähvardavate ohtude olemuse kohta ja selle kohta, milliste vahenditega salastatud teavet nende ohtude eest kaitsta.
Artikkel 17
Julgeolekukomitee
1. Moodustatakse julgeolekukomitee. Julgeolekukomitee vaatab läbi ja annab hinnangu käesoleva otsuse reguleerimisalasse kuuluvatele julgeolekuküsimustele ning esitab nõukogule vajaduse korral oma soovitused.
2. Julgeolekukomitee koosneb liikmesriikide riiklike julgeolekuasutuste esindajatest ning komitee koosolekutel osalevad ka komisjoni ja Euroopa välisteenistuse esindajad. Komitee eesistuja on peasekretär või tema määratud esindaja. Julgeolekukomitee tuleb kokku nõukogu korraldusel või peasekretäri või riikliku julgeolekuasutuse taotlusel.
Kui arutatakse käesolevat otsust või selle põhimõtteid kohaldavate liidu organite, asutuste või üksustega seotud küsimusi, võib komitee koosolekutele kutsuda ka asjaomaste organite, asutuste ja üksuste esindajad.
3. Julgeolekukomitee korraldab oma töö nii, et ta suudab esitada soovitusi konkreetsete julgeolekuvaldkondade kohta. Komitee moodustab infokindluse küsimustega tegeleva ekspertkoosseisu ning vajaduse korral muid ekspertidest koosnevaid koosseise. Komitee koostab selliste ekspertkoosseisude volitused ja saab neilt nende tegevuse kohta aruandeid, sealhulgas vajaduse korral soovitusi nõukogule.
Artikkel 18
Varasemate otsuste asendamine
1. Käesoleva otsusega tunnistatakse kehtetuks ja asendatakse nõukogu otsus 2011/292/EL (2).
2. Kõik nõukogu otsuste 2001/264/EÜ (3) ja 2011/292/EL kohaselt ELi salastatud teavet sisaldavad dokumendid on jätkuvalt kaitstud vastavalt käesoleva otsuse asjakohastele sätetele.
Artikkel 19
Jõustumine
Käesolev otsus jõustub Euroopa Liidu Teatajas avaldamise päeval.
Brüssel, 23. september 2013