ROZHODNUTÍ RADY
ze dne 23. září 2013
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2013/488/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada, Komise a Evropská služba pro vnější činnosti (ESVČ) se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, instituce nebo jiné subjekty Unie případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Rada by měla stanovit vhodný rámec pro případné sdílení utajovaných informací EU v držení Rady s dalšími orgány, institucemi nebo jinými subjekty Unie, a to v souladu s tímto rozhodnutím a platnými interinstitucionálními ujednáními.
(7)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU by měly v rámci své vnitřní organizace uplatňovat instituce a agentury Unie zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii (dále jen „Smlouva o EU“), Europol a Eurojust, je-li tak stanoveno v aktu, jímž jsou zřízeny.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měla být uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky, je-li tak stanoveno v aktu Rady, jímž jsou tyto operace zřízeny.
(9)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měli uplatňovat zvláštní zástupci EU a členové jejich týmů, je-li tak stanoveno v příslušném aktu Rady.
(10)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(11)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie.
(12)
Aby bylo uplatňování bezpečnostních pravidel na ochranu utajovaných informací EU zajištěno včas se zřetelem k přistoupení Chorvatska k Evropské unii, mělo by toto rozhodnutí vstoupit v platnost dnem vyhlášení,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a)
TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b)
SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c)
CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d)
RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozbě škodlivých nebo trestných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečnostní politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti vyžadují, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším nebo s nimi nakládaly, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Tyto osoby musí obdržet od orgánu generálního sekretariátu Rady oprávněného ke jmenování oprávnění pro přístup k utajovaným informacím EU až do konkrétního stupně utajení a do konkrétního data.
4. Pracovníci členských států uvedení v čl. 15 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací a odhalovat takové ohrožení nebo ztrátu informací. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, snížení nebo zrušení stupně utajení, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v přílohách III a IV.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů představuje jistotu, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny bezpečnostními opatřeními proti ohrožení dotyčných informací kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“). Tato bezpečnostní opatření jsou přiměřená riziku zneužití a stupni utajení daných informací.
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady (dále jen „generální tajemník“) jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Aniž je dotčeno písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 13 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v příslušném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Sdílení utajovaných informací EU
1. Rada stanoví podmínky, za nichž může sdílet utajované informace EU, které má ve svém držení, s dalšími institucemi, orgány nebo jinými subjekty Unie. Za tímto účelem je možné zavést vhodný rámec, mimo jiné i uzavřením interinstitucionálních dohod či jiných ujednání, pokud je to k uvedenému účelu nezbytné.
2. Jakýkoli takový rámec zajistí, aby utajovaným informacím EU byla poskytnuta ochrana odpovídající jejich stupni utajení a v souladu se základními zásadami a minimálními standardy, které musí být rovnocenné zásadám a standardům stanoveným v tomto rozhodnutí.
Článek 13
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Unie uzavře se třetími státy nebo mezinárodními organizacemi dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může jménem generálního sekretariátu Rady uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro Unii. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem ověření účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 14
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme vnitrostátní bezpečnostní orgán nebo jiný příslušný orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů Unie a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 15
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání bude v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 16
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 13 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytnutí utajovaných informací EU, jejichž původcem nebo držitelem je Rada, třetím státům a mezinárodním organizacím nebo rozhodnutí o poskytnutí takového souhlasu, a to v souladu se zásadou souhlasu původce;
c)
roční program hodnotících návštěv doporučený Bezpečnostním výborem, zahrnující hodnotící návštěvy služeb a prostor členských států, institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, a hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
vydává úředníkům a ostatním zaměstnancům generálního sekretariátu Rady, jakož i vyslaným národním odborníkům oprávnění k přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším v souladu s čl. 7 odst. 3;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné návštěvy za účelem hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v institucích, agenturách a útvarech Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelná hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
zajišťuje v případě potřeby koordinaci bezpečnostních opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením, a
i)
uzavírá správní ujednání podle čl. 13 odst. 2 písm. b).
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 15 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán, jak je uvedeno v dodatku C, odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována či hodnocena,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí, a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané zejména ze strany institucí, agentur a útvarů a operací Unie zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i ze strany zvláštních zástupců EU a členů jejich týmů, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 17
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a ESVČ. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 18
Nahrazení předchozích rozhodnutí
1. Tímto rozhodnutím se zrušuje a nahrazuje rozhodnutí Rady 2011/292/EU (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES (3) a rozhodnutí 2011/292/EU jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 19
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 23. září 2013.
PADOMES LĒMUMS
(2013. gada 23. septembris)
par drošības noteikumiem ES klasificētas informācijas aizsardzībai
(2013/488/ES)
EIROPAS SAVIENĪBAS PADOME,
ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 240. panta 3. punktu,
ņemot vērā Padomes Lēmumu 2009/937/ES (2009. gada 1. decembris), ar ko pieņem Padomes reglamentu (1), un jo īpaši tā 24. pantu,
tā kā:
(1)
Lai attīstītu Padomes darbības visās jomās, kurās jārīkojas ar klasificētu informāciju, ir lietderīgi izveidot vispusīgu drošības sistēmu klasificētas informācijas aizsardzībai, kas attiektos uz Padomi, tās Ģenerālsekretariātu un dalībvalstīm.
(2)
Šis lēmums būtu jāpiemēro gadījumos, kad Padome, tās darba sagatavošanas struktūras un Padomes Ģenerālsekretariāts (PĢS) rīkojas ar ES klasificēto informāciju (ESKI).
(3)
Saskaņā ar saviem normatīvajiem aktiem un tiktāl, ciktāl tas vajadzīgs Padomes darbībai, dalībvalstīm būtu jāievēro šis lēmums gadījumos, kad to kompetentās iestādes, personāls vai līgumslēdzēji rīkojas ar ESKI, lai ikvienam būtu garantija, ka ESKI tiek aizsargāta līdzvērtīgā līmenī.
(4)
Padome, Komisija un Eiropas Ārējās darbības dienests (EĀDD) ir apņēmības pilni piemērot līdzvērtīgus drošības standartus attiecībā uz ESKI aizsardzību.
(5)
Padome uzsver, ka ir svarīgi attiecīgā gadījumā sasaistīt Eiropas Parlamentu un citas Savienības iestādes, struktūras, birojus un aģentūras ar klasificētas informācijas aizsardzības principiem, standartiem un noteikumiem, kuri ir nepieciešami, lai aizsargātu Savienības un tās dalībvalstu intereses.
(6)
Padomei būtu jānosaka piemērota sistēma, kas paredzētu, kā attiecīgā gadījumā saskaņā ar šo lēmumu un starp iestādēm spēkā esošo kārtību dalīties ar ESKI, kas ir Padomes rīcībā, ar citām ES iestādēm, struktūrām, birojiem un aģentūrām.
(7)
Savienības struktūrām un aģentūrām, kas izveidotas saskaņā ar Līguma par Eiropas Savienību (LES) V sadaļas 2. nodaļu, kā arī Eiropolam un Eurojust saistībā ar iekšējām darbībām būtu jāpiemēro ar šo lēmumu noteiktie pamatprincipi un minimālie standarti ESKI aizsardzībai, ja tā ir paredzēts aktā, ar ko tās izveido.
(8)
Krīzes pārvarēšanas operācijām, kas izveidotas saskaņā ar LES V sadaļas 2. nodaļu, un to personālam būtu jāpiemēro Padomes pieņemtie drošības noteikumi ESKI aizsardzībai, ja tā ir paredzēts Padomes aktā, ar ko tās izveido.
(9)
ES īpašajiem pārstāvjiem un to komandas locekļiem būtu jāpiemēro Padomes pieņemtie drošības noteikumi ESKI aizsardzībai, ja tā ir paredzēts attiecīgajā Padomes aktā.
(10)
Šis lēmums ir pieņemts, neskarot Līguma par Eiropas Savienības darbību (LESD) 15. un 16. pantu un to īstenošanas instrumentus.
(11)
Šis lēmums ir pieņemts, neskarot dalībvalstīs pastāvošo praksi attiecībā uz attiecīgo valstu parlamentu informēšanu par Savienības darbībām.
(12)
Lai nodrošinātu ESKI aizsardzībai paredzēto drošības noteikumu savlaicīgu piemērošanu attiecībā uz Horvātijas Republikas pievienošanos Eiropas Savienībai, šim lēmumam būtu jāstājas spēkā tā publicēšanas dienā,
IR PIEŅĒMUSI ŠO LĒMUMU.
1. pants
Mērķis, darbības joma un definīcijas
1. Šajā lēmumā noteikti ESKI aizsardzības pamatprincipi un minimālie drošības standarti.
2. Minētie pamatprincipi un minimālie standarti attiecas uz Padomi un PĢS, un tos ievēro dalībvalstis saskaņā ar saviem attiecīgajiem normatīvajiem aktiem, lai ikvienam būtu garantija, ka ir nodrošināts līdzvērtīgs ESKI aizsardzības līmenis.
3. Šajā lēmumā piemēro definīcijas, kas izklāstītas A papildinājumā.
2. pants
ESKI, drošības klasifikāciju un marķējumu definīcijas
1. “ES klasificēta informācija” (ESKI) ir jebkura informācija vai materiāli, kuriem piemērota ES drošības klasifikācija un kuru neatļauta izpaušana var izraisīt dažāda līmeņa apdraudējumu Eiropas Savienības vai vienas vai vairāku tās dalībvalstu interesēm.
2. ESKI piešķir kādu no šādiem klasifikācijas līmeņiem:
a)
TRÈS SECRET UE/EU TOP SECRET: informācija un materiāli, kuru neatļauta izpaušana var radīt ārkārtīgi smagu kaitējumu būtiskām Eiropas Savienības vai vienas vai vairāku dalībvalstu interesēm;
b)
SECRET UE/EU SECRET: informācija un materiāli, kuru neatļauta izpaušana var radīt nopietnu kaitējumu būtiskām Eiropas Savienības vai vienas vai vairāku dalībvalstu interesēm;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: informācija un materiāli, kuru neatļauta izpaušana var radīt kaitējumu būtiskām Eiropas Savienības vai vienas vai vairāku dalībvalstu interesēm;
d)
RESTREINT UE/EU RESTRICTED: informācija un materiāli, kuru neatļauta izpaušana varētu būt nevēlama Eiropas Savienības vai vienas vai vairāku dalībvalstu interesēm.
3. ESKI piemēro drošības klasifikācijas marķējumu saskaņā ar 2. punktu. Papildus var piemērot marķējumus, norādot ar dokumentu saistīto darbības jomu, autoru, izplatīšanas ierobežojumus, ierobežojot izmantošanu vai norādot izpaušanu.
3. pants
Klasifikācijas pārvaldība
1. Kompetentās iestādes nodrošina, ka ESKI ir pienācīgi klasificēta, skaidri apzināta kā klasificēta informācija un saglabā klasifikācijas līmeni vienīgi tik ilgi, cik tas nepieciešams.
2. ESKI neklasificē zemākā kategorijā vai nedeklasificē un 2. panta 3. punktā minētos marķējumus nemaina vai nesvītro bez autora iepriekšējas rakstiskas piekrišanas.
3. Padome apstiprina drošības politiku attiecībā uz ESKI izstrādi, kurā ir ietverta praktiskā klasifikācijas rokasgrāmata.
4. pants
Klasificētas informācijas aizsardzība
1. ESKI aizsargā saskaņā ar šo lēmumu.
2. Jebkādas ESKI turētājs ir atbildīgs par tās aizsardzību saskaņā ar šo lēmumu.
3. Ja dalībvalstis Savienības iestādēs vai tīklos ievieš klasificētu informāciju, kam piemērots valsts drošības klasifikācijas marķējums, Padome un PĢS aizsargā šo informāciju saskaņā ar prasībām, kas attiecas uz līdzvērtīgas kategorijas ESKI, kā tas izklāstīts B papildinājumā paredzētajā drošības klasifikāciju atbilsmju tabulā.
4. ESKI kopumam var ļaut piešķirt tāda līmeņa aizsardzību, kas atbilst augstākai klasifikācijas kategorijai nekā tās atsevišķajiem komponentiem piešķirtā klasifikācijas kategorija.
5. pants
Drošības riska pārvaldība
1. ESKI risku pārvalda kā procesu. Šā procesa mērķis ir noteikt zināmos drošības riskus, definēt drošības pasākumus, lai mazinātu šādus riskus līdz pieņemamam līmenim saskaņā ar šajā lēmumā izklāstītajiem pamatprincipiem un minimālajiem standartiem, un piemērot šos pasākumus saskaņā ar pastiprinātas aizsardzības koncepciju, kā definēts A papildinājumā. Minēto pasākumu efektivitāti nepārtraukti izvērtē.
2. Drošības pasākumi ESKI aizsardzībai visā tās aprites laikā jo īpaši atbilst drošības klasifikācijai, informācijas vai materiāla veidam un apjomam, to iekārtu atrašanās vietai un uzbūvei, kurās ESKI atrodas, un vietēji izvērtētam vardarbīgu un/vai noziedzīgu nodarījumu apdraudējumam, tostarp spiegošanai, sabotāžai un terorismam.
3. Ārkārtas rīcības plānos ņem vērā vajadzību aizsargāt ESKI ārkārtas situācijās, lai novērstu neatļautu piekļuvi, izpaušanu, integritātes vai piekļuves zaudējumu.
4. Darbības nepārtrauktības plānos iekļauj preventīvus un atgūšanas pasākumus, lai mazinātu ietekmi, ko rada nozīmīgi starpgadījumi saistībā ar rīkošanos ar ESKI un tās glabāšanu.
6. pants
Šā lēmuma īstenošana
1. Vajadzības gadījumā Padome pēc Drošības komitejas ieteikuma apstiprina drošības politiku, kurā izklāstīti pasākumi šā lēmuma īstenošanai.
2. Drošības komiteja savā līmenī var pieņemt drošības pamatnostādnes, lai papildinātu vai atbalstītu šo lēmumu un Padomes apstiprināto drošības politiku.
7. pants
Personāla drošība
1. Personāla drošība nozīmē tādu pasākumu piemērošanu, lai nodrošinātu, ka piekļuvi ESKI piešķir tikai tādām personām:
-
kurām ir vajadzība pēc informācijas,
-
kurām attiecīgā gadījumā ir attiecīga līmeņa drošības pielaide un
-
kuras ir informētas par viņu pienākumiem.
2. Personāla drošības pielaides procedūras izstrādā tā, lai noteiktu, vai konkrētai personai var nodrošināt piekļuvi ESKI, ņemot vērā attiecīgās personas lojalitāti un uzticamību.
3. Visas personas, kuras strādā PĢS un kuru pienākumos ietilpst vajadzība piekļūt vai rīkoties ar ESKI, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai augstāk, iziet attiecīga līmeņa drošības pārbaudi, pirms tām piešķir piekļuvi šādai ESKI. Šādām personām jāsaņem PĢS iecēlējinstitūcijas atļauja, lai piekļūtu ESKI līdz konkrētam līmenim un līdz konkrētam datumam.
4. Šā lēmuma 15. panta 3. punktā minētais dalībvalstu personāls, kura pienākumos var ietilpt vajadzība piekļūt ESKI, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai augstāk, iziet attiecīga līmeņa drošības pārbaudi vai ieņemamā amata dēļ viņiem sniedz pienācīgu atļauju saskaņā ar attiecīgās valsts normatīvajiem aktiem, pirms viņiem piešķir piekļuvi šādai ESKI.
5. Visas personas, pirms tām piešķir piekļuvi ESKI un pēc tam - regulāri, tiek informētas par pienākumu aizsargāt ESKI saskaņā ar šo lēmumu, un tās atzīst šo pienākumu.
6. Šā panta īstenošanas noteikumi ir izklāstīti I pielikumā.
8. pants
Fiziskā drošība
1. Fiziskā drošība ir fizisku un tehnisku aizsardzības pasākumu piemērošana, lai novērstu neatļautu piekļuvi ESKI.
2. Fiziskās drošības pasākumu mērķis ir nepieļaut slepenu vai vardarbīgu ielaušanos, novērst, kavēt un atklāt neatļautas darbības un pieļaut personāla nošķīrumu attiecībā uz pielaidi ESKI, ņemot vērā vajadzības pēc informācijas principu. Šādus pasākumus nosaka, pamatojoties uz riska pārvaldības procesu.
3. Fiziskās drošības pasākumus īsteno visās telpās, ēkās, birojos un citās zonās, kur rīkojas ar ESKI vai to glabā, tostarp zonās, kur atrodas 10. panta 2. punktā definētās komunikāciju un informācijas sistēmas.
4. Zonas, kurās glabā ESKI, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai augstāk, izveido par drošības zonām saskaņā ar II pielikumu, un tās apstiprina kompetentā drošības iestāde.
5. Lai aizsargātu ESKI, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai augstāk, izmanto vienīgi apstiprinātas iekārtas vai ierīces.
6. Šā panta īstenošanas noteikumi ir izklāstīti II pielikumā.
9. pants
Klasificētas informācijas pārvaldība
1. Klasificētas informācijas pārvaldība ir administratīvu pasākumu piemērošana ESKI kontrolei tās aprites cikla laikā, lai papildinātu 7., 8. un 10. pantā minētos pasākumus un tādējādi palīdzētu novērst un atklāt tīšu vai netīšu šādas informācijas apdraudējumu vai tās zaudējumu. Šādi pasākumi jo īpaši ir saistīti ar ESKI izstrādi, reģistrāciju, kopēšanu, tulkošanu, klasifikācijas līmeņa pazemināšanu, deklasifikāciju, pārvietošanu un iznīcināšanu.
2. Informāciju, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai augstāk, drošības nolūkā reģistrē, pirms to izplata un to saņemot. PĢS un dalībvalstu kompetentās iestādes šim nolūkam izveido reģistrācijas sistēmu. Informāciju, kas klasificēta kā TRÈS SECRET UE/EU TOP SECRET, reģistrē īpašos reģistros.
3. Dienestus un telpas, kur rīkojas ar ESKI vai to glabā, regulāri pārbauda kompetentā drošības iestāde.
4. ESKI pārvieto starp dienestiem un telpām ārpus fiziski aizsargātām zonām šādā veidā:
a)
parasti ESKI pārsūta ar elektroniskiem līdzekļiem, kurus aizsargā ar kriptogrāfijas produktiem, kas apstiprināti saskaņā ar 10. panta 6. punktu;
b)
ja neizmanto a) apakšpunktā minētos līdzekļus, ESKI pārvieto, vai nu:
i)
izmantojot elektroniskus informācijas nesējus (piemēram, zibatmiņas, kompaktdiskus, cietos diskus), kurus aizsargā ar kriptogrāfijas produktiem, kas apstiprināti saskaņā ar 10. panta 6. punktu; vai
ii)
visos citos gadījumos - kā to nosaka kompetentā drošības iestāde saskaņā ar III pielikumā izklāstītajiem attiecīgajiem aizsardzības pasākumiem.
5. Šā panta īstenošanas noteikumi ir izklāstīti III un IV pielikumā.
10. pants
ESKI aizsardzība, ar to rīkojoties komunikāciju un informācijas sistēmās
1. Informācijas aizsardzība (IA) ir pārliecība, ka komunikāciju un informācijas sistēmas jomā šīs sistēmas aizsargās informāciju, ar ko tās rīkojas, un darbosies, kā tas ir paredzēts, kad paredzēts un likumīgu lietotāju kontrolē. Ar efektīvu IA nodrošina atbilstīga līmeņa konfidencialitāti, integritāti, pieejamību, nenoliedzamību un autentiskumu. IA pamatā ir riska pārvaldības process.
2. “Komunikāciju un informācijas sistēma” (KIS) ir jebkura sistēma, kurā ar informāciju var rīkoties elektroniski. KIS ietver visus vajadzīgos resursus, lai sistēma darbotos, tostarp infrastruktūru, organizāciju, personālu un informācijas resursus. Šo lēmumu piemēro KIS, kurās rīkojas ar ESKI.
3. KIS rīkojas ar ESKI saskaņā ar IA koncepciju.
4. Visas KIS tiek akreditētas. Akreditācijas mērķis ir saņemt garantiju, ka ir īstenotas visas attiecīgās drošības procedūras un ka ir sasniegts pietiekams ESKI un KIS aizsardzības līmenis saskaņā ar šo lēmumu. Ar akreditācijas paziņojumu nosaka augstāko klasifikācijas līmeni informācijai, ar kādu atļauts rīkoties KIS, kā arī atbilstīgos noteikumus.
5. Drošības pasākumus īsteno, lai aizsargātu KIS, kurās rīkojas ar informāciju, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL un augstāk, pret šādas informācijas apdraudējumu, ko izraisa netīšas elektromagnētiskas emisijas (“TEMPEST drošības pasākumi”). Šādi drošības pasākumi ir samērīgi ar ekspluatācijas risku un informācijas klasifikācijas līmeni.
6. Ja ESKI aizsargā ar kriptogrāfijas produktiem, tos apstiprina šādi:
a)
tās informācijas konfidencialitāti, kas klasificēta kā SECRET UE/EU SECRET un augstāk, aizsargā ar kriptogrāfijas produktiem, ko pēc Drošības komitejas ieteikuma ir apstiprinājusi Padome kā kriptogrāfijas apstiprinājuma iestāde (KAI);
b)
tās informācijas konfidencialitāti, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai RESTREINT UE/EU RESTRICTED, aizsargā ar kriptogrāfijas produktiem, ko pēc Drošības komitejas ieteikuma apstiprinājis Padomes ģenerālsekretārs (“ģenerālsekretārs”) kā KAI.
Neatkarīgi no šā punkta b) apakšpunkta dalībvalstu sistēmās tās ESKI konfidencialitāti, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai RESTREINT UE/EU RESTRICTED, var aizsargāt ar kriptogrāfijas produktiem, ko apstiprinājusi dalībvalsts KAI.
7. Pārsūtot ESKI elektroniski, izmanto apstiprinātus kriptogrāfijas produktus. Neatkarīgi no šīs prasības ārkārtas apstākļos vai īpašās tehniskās konfigurācijās var piemērot īpašas procedūras, kā noteikts IV pielikumā.
8. PĢS un dalībvalstu kompetentās iestādes attiecīgi sadala šādus IA pienākumus:
a)
IA iestāde (IAI);
b)
TEMPEST iestāde (TI);
c)
kriptogrāfijas apstiprinājuma iestāde (KAI);
d)
kriptogrāfijas izplatīšanas iestāde (KII).
9. Katrai sistēmai PĢS un dalībvalstu kompetentās iestādes attiecīgi izveido:
a)
drošības akreditācijas iestādi (DAI);
b)
IA operatīvo iestādi.
10. Šā panta īstenošanas noteikumi ir izklāstīti IV pielikumā.
11. pants
Industriālā drošība
1. Industriālā drošība ir pasākumu piemērošana nolūkā nodrošināt, ka līgumslēdzējs vai apakšlīgumslēdzējs aizsargā ESKI sarunu laikā pirms klasificēta līguma slēgšanas un klasificēto līgumu darbības laikā. Tādi līgumi nav saistīti ar piekļuvi informācijai, kas klasificēta kā TRÈS SECRET UE/EU TOP SECRET.
2. PĢS līgumā var uzticēt uzdevumus, kas ietver vai ir saistīti ar piekļuvi ESKI vai rīkošanos ar to, vai tās glabāšanu, kuru veic rūpniecības vai citas vienības, kas reģistrētas dalībvalstī vai trešā valstī, kura noslēgusi nolīgumu vai administratīvu vienošanos saskaņā ar 13. panta 2. punkta a) vai b) apakšpunktu.
3. PĢS kā līgumslēdzēja iestāde nodrošina, ka, piešķirot klasificētu līgumu rūpniecības vai citām vienībām, tiek ievēroti šajā lēmumā izklāstītie un attiecīgajā līgumā minētie industriālās drošības minimālie standarti.
4. Katras dalībvalsts valsts drošības iestāde (VDI), izraudzītā drošības iestāde (IDI) vai cita kompetenta iestāde tiktāl, cik tas iespējams saskaņā ar attiecīgās valsts normatīvajiem aktiem, nodrošina, ka līgumslēdzēji un apakšlīgumslēdzēji, kas reģistrēti tās teritorijā, veic visus piemērotos pasākumus, lai aizsargātu šādu ESKI sarunās pirms klasificēta līguma slēgšanas un klasificēto līgumu darbības laikā.
5. Katras dalībvalsts VDI, IDI vai cita kompetenta iestāde atbilstīgi valsts normatīvajiem aktiem nodrošina, ka tās teritorijā reģistrētajiem līgumslēdzējiem un apakšlīgumslēdzējiem, kas iesaistīti klasificētos līgumos vai apakšlīgumos un kam savās telpās vajadzīga piekļuve informācijai, kura klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai SECRET UE/EU SECRET, izpildot minētos līgumus vai pirms to parakstīšanas, vajadzīga atbilstīga klasifikācijas līmeņa iestādes drošības pielaide (IDP).
6. Līgumslēdzēja vai apakšlīgumslēdzēja personālam, kam klasificēta līguma darbības laikā jāpiekļūst informācijai, kura klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai SECRET UE/EU SECRET, personāla drošības pielaidi (PDP) piešķir attiecīgā VDI/IDI vai kāda cita kompetenta drošības iestāde saskaņā ar valsts normatīvajiem aktiem un minimālajiem drošības standartiem, kas izklāstīti I pielikumā.
7. Šā panta īstenošanas noteikumi ir izklāstīti V pielikumā.
12. pants
Dalīšanās ar ESKI
1. Padome paredz nosacījumus, ar kādiem tā var dalīties tās rīcībā esošajā ESKI ar citām ES iestādēm, struktūrām, birojiem vai aģentūrām. Šajā sakarā var izveidot piemērotu sistēmu, tostarp vajadzības gadījumā šajā nolūkā var slēgt iestāžu nolīgumus vai izstrādāt citu kārtību.
2. Jebkura šāda sistēma nodrošina, ka ESKI tiek aizsargāta atbilstīgi tās klasifikācijas līmenim un saskaņā ar pamatprincipiem un minimālajiem standartiem, kas ir līdzvērtīgi šajā lēmumā noteiktajiem.
13. pants
Klasificētas informācijas apmaiņa ar trešām valstīm un starptautiskām organizācijām
1. Ja Padome nosaka, ka vajadzīga ESKI apmaiņa ar trešo valsti vai starptautisku organizāciju, šādas apmaiņas veikšanai izveido piemērotu sistēmu.
2. Lai izveidotu šādu sistēmu un definētu savstarpējus noteikumus par tās klasificētās informācijas aizsardzību, ar kuru apmainās:
a)
Savienība noslēdz nolīgumus ar trešām valstīm vai starptautiskām organizācijām par drošības procedūrām klasificētas informācijas apmaiņai un aizsardzībai (“informācijas drošības nolīgumi”); vai
b)
ģenerālsekretārs var noslēgt administratīvu vienošanos PĢS vārdā saskaņā ar VI pielikuma 17. punktu, ja tās ESKI klasifikācijas līmenis, kuru izplatīs, parasti nav augstāks par RESTREINT UE/EU RESTRICTED.
3. Šā panta 2. punktā minētajos informācijas drošības nolīgumos un administratīvajās vienošanās iekļauj noteikumus, lai nodrošinātu, ka gadījumos, kad trešās valstis vai starptautiskās organizācijas saņem ESKI, šai informācijai nodrošina tādu aizsardzību, kas atbilst tās klasifikācijas līmenim un saskaņā ar minimālajiem standartiem, kuri ir ne mazāk stingri kā šajā lēmumā paredzētie.
4. Lēmumu ESKI, kas nāk no Padomes, nodot trešai valstij vai starptautiskai organizācijai pieņem Padome, izskatot katru gadījumu atsevišķi un atbilstīgi šādas informācijas būtībai un saturam, vajadzības pēc informācijas principam attiecībā uz saņēmēju un tam, ko no nodošanas gūst Savienība. Ja Padome nav tās klasificētās informācijas autors, kuras nodošana ir vajadzīga, PĢS vispirms lūdz rakstisku autora piekrišanu nodošanai. Ja autoru nevar noteikt, Padome uzņemas autora atbildību.
5. Lai pārliecinātos par to drošības pasākumu efektivitāti, kurus piemēro trešā valsts vai starptautiska organizācija ar mērķi aizsargāt sniegto ESKI vai to ESKI, ar kuru notiek apmaiņa, organizē izvērtējuma apmeklējumus.
6. Šā panta īstenošanas noteikumi ir izklāstīti VI pielikumā.
14. pants
Drošības prasību pārkāpumi un ESKI apdraudējums
1. Drošības prasību pārkāpums rodas tādas personas darbības vai bezdarbības rezultātā, kas ir pretrunā šajā lēmumā noteiktajiem drošības noteikumiem.
2. ESKI ir apdraudēta, ja drošības prasību pārkāpuma gadījumā tā ir pilnībā vai daļēji nonākusi nesankcionētu personu rīcībā.
3. Par jebkuriem drošības pārkāpumiem vai iespējamiem drošības pārkāpumiem nekavējoties ziņo kompetentajai drošības iestādei.
4. Ja ir zināms vai pastāv pamatotas aizdomas, ka ESKI ir apdraudēta vai zudusi, VDI vai cita kompetentā iestāde veic visus vajadzīgos pasākumus saskaņā ar attiecīgajiem normatīvajiem aktiem, lai:
a)
informētu informācijas autoru;
b)
nodrošinātu, ka faktu apzināšanas nolūkā lietu izmeklē personāls, kas nav tieši saistīts ar drošības apdraudējumu;
c)
novērtētu iespējamo kaitējumu, kas nodarīts Savienības vai dalībvalstu interesēm;
d)
veiktu attiecīgus pasākumus atkārtošanās novēršanai; un
e)
ziņotu attiecīgajām iestādēm par veiktajiem pasākumiem.
5. Jebkurai personai, kura ir atbildīga par šajā lēmumā izklāstīto drošības noteikumu tīšu pārkāpšanu, piemēro disciplināratbildību saskaņā ar spēkā esošajiem noteikumiem. Jebkurai personai, kura ir atbildīga par ESKI apdraudējumu vai zudumu, piemēro disciplināratbildību un/vai kriminālatbildību saskaņā ar spēkā esošajiem normatīvajiem aktiem.
15. pants
Atbildība par īstenošanu
1. Padome veic visus vajadzīgos pasākumus, lai nodrošinātu vispārēju saskaņotību šā lēmuma piemērošanā.
2. Ģenerālsekretārs veic visus vajadzīgos pasākumus, lai nodrošinātu, ka, strādājot ar ESKI vai citu klasificētu informāciju vai to glabājot, šo lēmumu piemēro Padomes izmantotajās telpās un visā PĢS tā ierēdņi un pārējie darbinieki, kā arī personāls, kas norīkots darbā uz PĢS, un PĢS līgumslēdzēji.
3. Dalībvalstis saskaņā ar saviem attiecīgajiem normatīvajiem aktiem veic atbilstīgus pasākumus, lai nodrošinātu, ka, rīkojoties ar ESKI vai to glabājot, šo lēmumu ievēro:
a)
dalībvalstu pastāvīgo pārstāvniecību Eiropas Savienībā personāls, kā arī valstu delegāciju locekļi, kas apmeklē Padomes vai tās sagatavošanas struktūru sanāksmes vai piedalās citās Padomes darbībās;
b)
citi dalībvalstu valsts pārvaldes locekļi, tostarp personāls, kas norīkots darbam šajā pārvaldē, neatkarīgi no tā, vai tie strādā dalībvalsts teritorijā vai ārzemēs;
c)
citas personas dalībvalstīs, kam ieņemamā amata dēļ ar pienācīgām atļaujām ir piekļuve ESKI; un
d)
dalībvalstu līgumslēdzēji neatkarīgi no tā, vai tie strādā dalībvalsts teritorijā vai ārzemēs.
16. pants
Padomes drošības organizācija
1. Kā daļu no pienākuma nodrošināt vispārēju saskaņotību šā lēmuma piemērošanā Padome apstiprina:
a)
līgumus, kas minēti 13. panta 2. punkta a) apakšpunktā;
b)
lēmumus, ar ko atļauj vai piekrīt nodot ESKI, kas nāk no Padomes vai ir Padomes rīcībā, trešām valstīm un starptautiskām organizācijām saskaņā ar informācijas autora piekrišanas principu;
c)
ikgadēju izvērtējuma apmeklējumu programmu, ko iesaka Drošības komiteja attiecībā uz apmeklējumiem, lai izvērtētu dalībvalstu dienestus un telpas, Savienības struktūras, aģentūras un vienības, kuras piemēro šo lēmumu vai tā principus, kā arī attiecībā uz trešo valstu un starptautisku organizāciju izvērtējuma apmeklējumiem, lai pārliecinātos par īstenoto ESKI aizsardzības pasākumu efektivitāti; un
d)
drošības politikas jomas, kā paredzēts 6. panta 1. punktā.
2. Ģenerālsekretārs ir PĢS drošības iestāde. Veicot šīs funkcijas, ģenerālsekretārs:
a)
īsteno Padomes drošības politiku un to regulāri pārskata;
b)
sazinās ar dalībvalstu VDI saistībā ar drošības jautājumiem, kas attiecas uz tādas klasificētas informācijas aizsardzību, kura ir atbilstīga Padomes darbībām;
c)
saskaņā ar 7. panta 3. punktu PĢS ierēdņiem, pārējiem darbiniekiem un norīkotiem valsts ekspertiem piešķir atļauju piekļūt informācijai, kas klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai augstāk;
d)
attiecīgā gadījumā uzdod veikt izmeklēšanu par notikušu vai iespējamu tādas ESKI neatļautu izpaušanu vai pazušanu, kas ir Padomes rīcībā vai kas nāk no Padomes, un lūdz attiecīgu drošības iestāžu palīdzību šādas izmeklēšanas veikšanā;
e)
veic klasificētās informācijas aizsardzībai paredzēto drošības pasākumu periodiskas pārbaudes PĢS telpās;
f)
veic periodiskus apmeklējumus, lai izvērtētu ESKI aizsardzībai paredzētos drošības pasākumus, ko veic Savienības struktūrās, aģentūrās un vienībās, kuras piemēro šo lēmumu vai tā principus;
g)
periodiski, kopīgi un vienojoties ar attiecīgo VDI, veic to drošības pasākumu izvērtējumus, kuru mērķis ir aizsargāt ESKI dalībvalstu dienestos un telpās;
h)
nodrošina, lai drošības pasākumi vajadzības gadījumā tiktu saskaņoti ar dalībvalstu kompetentajām iestādēm, kuras ir atbildīgas par klasificētas informācijas aizsardzību, un attiecīgā gadījumā - ar trešām valstīm vai starptautiskām organizācijām, tostarp attiecībā uz ESKI drošības apdraudējuma būtību un ar to saistītiem aizsardzības pasākumiem; un
i)
slēdz administratīvas vienošanās, kas minētas 13. panta 2. punkta b) apakšpunktā.
PĢS Drošības birojs ir ģenerālsekretāra rīcībā, lai palīdzētu pildīt minētos pienākumus.
3. Īstenojot 15. panta 3. punktu, dalībvalstīm būtu:
a)
jāizraugās VDI, kā uzskaitīts C papildinājumā, kas ir atbildīga par drošības pasākumiem ESKI aizsardzībai, lai:
i)
attiecīgajā dalībvalstī vai ārvalstīs jebkāda valsts dienesta, valsts vai privātas struktūras vai aģentūras glabātā ESKI būtu aizsargāta saskaņā ar šo lēmumu;
ii)
regulāri pārbaudītu vai izvērtētu ESKI aizsardzībai paredzētos drošības pasākumus;
iii)
visas personas, kas strādā valsts pārvaldē vai pie līgumslēdzēja un kam var tikt piešķirta atļauja piekļūt klasificētai informācijai, kura klasificēta kā CONFIDENTIEL UE/EU CONFIDENTIAL vai augstāk, attiecīgi saņemtu drošības pielaidi vai saņemtu citu pienācīgu atļauju saskaņā ar valsts normatīvajiem aktiem;
iv)
vajadzības gadījumā izstrādātu drošības programmas, lai līdz minimumam samazinātu ESKI apdraudējuma vai zuduma risku;
v)
ar citām kompetentām valsts iestādēm saskaņotu drošības pasākumus, kas saistīti ar ESKI aizsardzību, tostarp šajā lēmumā minētos; un
vi)
atbildētu uz atbilstīgiem drošības pielaides lūgumiem, jo īpaši tiem, ko iesniedz jebkuras Savienības struktūras, aģentūras, vienības, operācijas, kas izveidotas saskaņā ar LES V sadaļas 2. nodaļu, un ES īpašie pārstāvji (ESĪP) un to komandas, kuri piemēro šo lēmumu vai tā principus;
b)
jānodrošina, ka to kompetentās iestādes sniedz informāciju un padomus valdībām un līdz ar to Padomei par ESKI drošības apdraudējuma raksturu un aizsardzības līdzekļiem pret to.
17. pants
Drošības komiteja
1. Ar šo izveido Drošības komiteju. Tā izskata un izvērtē jebkurus drošības jautājumus šā lēmuma darbības jomā un attiecīgos gadījumos sniedz ieteikumus Padomei.
2. Drošības komitejas sastāvā ir dalībvalstu VDI pārstāvji, un tās sanāksmēs piedalās Komisijas un EĀDD pārstāvis. Tās priekšsēdētājs ir ģenerālsekretārs vai viņa izraudzīts pārstāvis. Drošības komitejas sanāksmes notiek saskaņā ar Padomes norādījumiem pēc ģenerālsekretāra vai kādas VDI pieprasījuma.
Var uzaicināt piedalīties pārstāvjus no Savienības struktūrām, aģentūrām un vienībām, kuras piemēro šo lēmumu vai tā principus, ja tiek izskatīti jautājumi, kas attiecas uz tām.
3. Drošības komiteja organizē savas darbības tā, lai varētu sniegt ieteikumus par konkrētām drošības jomām. Vajadzības gadījumā tā izveido apakšgrupu IA jautājumiem un citas ekspertu apakšgrupas. Tā izstrādā mandātus šādām ekspertu apakšgrupām un saņem ziņojumus par to darbību, tostarp attiecīgā gadījumā - jebkādus ieteikumus Padomei.
18. pants
Iepriekšējā lēmuma aizstāšana
1. Ar šo lēmumu atceļ un aizstāj Padomes Lēmumu 2011/292/ES (2).
2. Visu ESKI, kas klasificēta saskaņā ar Padomes Lēmumu 2001/264/EK (3) un Lēmumu 2011/292/ES, turpina aizsargāt saskaņā ar šā lēmuma attiecīgajiem noteikumiem.
19. pants
Stāšanās spēkā
Šis lēmums stājas spēkā dienā, kad to publicē Eiropas Savienības Oficiālajā Vēstnesī.
Briselē, 2013. gada 23. septembrī