РЕШЕНИЕ (ЕС, Евратом) 2015/443 НА КОМИСИЯТА
от 13 март 2015 година
относно сигурността в Комисията
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 249 от него,
като взе предвид Договора за създаване на Европейската общност за атомна енергия,
като взе предвид Протокол № 7 за привилегиите и имунитетите на Европейския съюз, приложен към Договорите, и по-специално член 18 от него,
като имат предвид, че:
(1)
Целта на сигурността в Комисията е да се предостави възможност на Комисията да работи в безопасна и сигурна среда чрез прилагане на последователен, комплексен подход в тази област, като се осигури подходяща степен на защита на лицата, активите и информацията, отговаряща на установените рискове, и се гарантира ефективно и навременно обезпечаване на сигурността.
(2)
Подобно на други международни органи, Комисията е изправена пред сериозни заплахи и предизвикателства в областта на сигурността, особено що се отнася до тероризма, кибератаките и политическия и търговски шпионаж.
(3)
Европейската комисия има сключени споразумения в областта на сигурността за главните си сгради с правителствата на Белгия, Люксембург и Италия (1). Тези споразумения са свидетелство, че Комисията носи отговорност за своята сигурност.
(4)
За да гарантира сигурността на лицата, активите и информацията, е възможно Комисията да трябва да предприеме мерки в области, които се ползват от защита на основните права, залегнали в Хартата на основните права и Европейската конвенция за правата на човека и признати от Съда на Европейския съюз.
(5)
Затова всяка подобна мярка следва да бъде обоснована със значимостта на интереса, който е предназначена да защитава, да бъде пропорционална и да гарантира пълно спазване на основните права, включително по-специално правото на неприкосновеност на личния живот и на защита на данните.
(6)
В рамките на система, основана на принципите на правовата държава и спазването на основните права, Комисията трябва да се стреми към подходящо равнище на сигурност за своя персонал, активи и информация, което да ѝ позволи да извършва своята дейност, без да ограничава основните права повече от строго необходимото.
(7)
Сигурността в Комисията се основава на принципите на законност, прозрачност, пропорционалност и отчетност.
(8)
Членовете на персонала, упълномощени да обезпечават сигурността, не трябва да бъдат поставяни в неблагоприятно положение заради дейността си, освен ако не действат извън обхвата на своите правомощия или в нарушение на закона, и следователно в това отношение настоящото решение следва да се счита за административна инструкция по смисъла на Правилника за длъжностните лица.
(9)
Комисията следва да предприеме необходимите инициативи за подобряване и укрепване на своята култура на сигурност, като осигури по-ефективно обезпечаване на сигурността, подобри нейното управление, активизира допълнително мрежите и сътрудничеството си с компетентните органи на международно, европейско и национално равнище, и подобри наблюдението и контрола на изпълнението на мерките за сигурност.
(10)
Създаването на Европейската служба за външна дейност (ЕСВД) като функционално независим орган на Съюза оказа значително въздействие върху интересите на Комисията в сферата на сигурността и следователно налага необходимостта от въвеждане на правила и процедури за сътрудничество в областта на безопасността и сигурността между ЕСВД и Комисията, особено що се отнася до изпълнението на задължението на Комисията за бдителност по отношение на персонала на Комисията в делегациите на Съюза.
(11)
Политиката на Комисията в областта на сигурността следва да се прилага по начин, който да съответства на останалите вътрешни процеси и процедури, които биха могли да включват елемент на сигурност. По-конкретно те включват управлението на непрекъснатостта на дейностите, което цели запазване на най-важните функции на Комисията в случай на прекъсване на работата, и процеса ARGUS за многосекторна координация на кризи.
(12)
Независимо от мерките, които вече са въведени към момента на приемане на настоящото решение и са нотифицирани на Европейския надзорен орган по защита на данните (2), всяка мярка в съответствие с настоящото решение, включваща обработка на лични данни, е предмет на правилата за прилагане съгласно член 21, който установява подходящи гаранции за субектите на данни.
(13)
Затова е необходимо Комисията да преразгледа, актуализира и консолидира действащата нормативна база за сигурността в Комисията.
(14)
Поради това Решение (94) 2129 (3) следва да бъде отменено,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
ГЛАВА 1
ОБЩИ РАЗПОРЕДБИ
Член 1
Определения
За целите на настоящото решение се прилагат следните определения:
1)
„активи“ означава всяка движима или недвижима собственост и имущество на Комисията;
2)
„отдел на Комисията“ означава генерална дирекция или служба на Комисията, или кабинет на член на Комисията;
3)
„комуникационна и информационна система“, или „КИС“, означава всяка система, даваща възможност за работа с информация в електронна форма, включително всички активи, необходими за нейното функциониране, както и необходимите инфраструктура, организация, персонал и информационни ресурси;
4)
„контрол на рисковете“ означава всяка мярка за сигурност, за която може разумно да се очаква, че ще осъществява ефективен контрол над риска за сигурността чрез неговото предотвратяване, смекчаване, избягване или прехвърляне;
5)
„кризисна ситуация“ означава обстоятелство, събитие, инцидент или извънредна ситуация (или поредица или съчетание от такива), излагащи на сериозна или непосредствена заплаха сигурността в Комисията, независимо от своя произход;
6)
„данни“ означава информация под форма, която позволява да бъде съобщавана, записвана или обработвана;
7)
„член на Комисията, отговарящ за сигурността“ означава член на Комисията, под чието ръководство попада генерална дирекция „Човешки ресурси и сигурност“;
8)
„лични данни“ означава лични данни съгласно определението по член 2, буква а) от Регламент (ЕС) № 45/2001 на Европейския парламент и на Съвета (4);
9)
„сгради“ означава всяка недвижима или приравнена на тях собственост и имущество на Комисията;
10)
„предотвратяване на риска“ означава мерки за сигурност, за които разумно може да се очаква, че ще възпрепятстват, забавят или спрат риска за сигурността;
11)
„риск за сигурността“ означава съчетанието от равнището на заплаха, равнището на уязвимост и възможното въздействие на дадено събитие;
12)
„сигурност в Комисията“ означава сигурността на лицата, активите и информацията в Комисията, и по-конкретно физическата неприкосновеност на лицата и активите, неприкосновеността, поверителността и наличността на информацията и комуникационните и информационни системи, както и безпрепятственото протичане на дейностите на Комисията;
13)
„мярка за сигурност“ означава всяка мярка, предприета в съответствие с настоящото решение, за овладяване на рисковете за сигурността;
14)
„Правилник за длъжностните лица“ означава Правилника за длъжностните лица на Европейския съюз, установен с Регламент (ЕИО, Евратом, ЕОВС) № 259/68 на Съвета (5) и актовете за неговото изменение;
15)
„заплаха за сигурността“ означава събитие или извършител, за които разумно може да се очаква, че ще се отразят негативно на сигурността, ако не получат отговор и не бъдат овладени;
16)
„непосредствена заплаха за сигурността“ означава заплаха за сигурността, която се разгръща без или с изключително кратко предварително предупреждение, и
17)
„сериозна заплаха за сигурността“ означава заплаха за сигурността, за която може разумно да се очаква, че ще доведе до загуба на човешки живот, сериозни наранявания или увреждания, значителни имуществени щети, компрометиране на силно чувствителна информация, смущения в работата на информационните системи или в жизненоважния оперативен капацитет на Комисията;
18)
„уязвимост“ означава слабост от всякакъв характер, за която може разумно да се очаква, че ще се отрази негативно на сигурността в Комисията, ако една или повече заплахи се възползват от нея.
Член 2
Предмет
1. Настоящото решение определя целите, основните принципи, организацията и отговорностите в областта на сигурността в Комисията.
2. Настоящото решение се прилага за всички служби на Комисията и във всички нейни сгради. Персоналът на Комисията, работещ в делегациите на Съюза, подлежи на правилата за сигурност за Европейската служба за външна дейност (6).
3. Независимо от всички специфични разпоредби за конкретни групи персонал, настоящото решение се прилага спрямо членовете на Комисията, персонала на Комисията, попадащ в обхвата на Правилника за длъжностните лица и Условията за работа на другите служители на Европейския съюз, националните експерти, командировани в Комисията (КНЕ), доставчиците на услуги и техния персонал, стажантите и всички други лица с достъп до сградите или други активи на Комисията, или с достъп до информация, с която борави Комисията.
4. Разпоредбите на настоящото решение не засягат разпоредбите на Решение 2002/47/ЕО, ЕОВС, Евратом на Комисията (7) и Решение 2004/563/ЕО, Евратом на Комисията (8), Решение C(2006) 1623 на Комисията (9) и Решение C(2006) 3602 на Комисията (10).
ГЛАВА 2
ПРИНЦИПИ
Член 3
Принципи на сигурността в Комисията
1. При изпълнението на настоящото решение Комисията спазва разпоредбите на Договорите и по-конкретно на Хартата на основните права и на Протокол № 7 относно привилегиите и имунитетите на Европейският съюз, инструментите, посочени в съображение 2, всички приложими правила на националното законодателство, както и условията на настоящото решение. При необходимост се издават известия по въпросите на сигурността по смисъла на член 21, параграф 2, в които се предоставят указания в това отношение.
2. Сигурността в Комисията се основава на принципите на законност, прозрачност, пропорционалност и отчетност.
3. Принципът на законност показва необходимостта от стриктно придържане към правната рамка при прилагането на настоящото решение и необходимостта от спазване на законовите изисквания.
4. Всяка мярка за сигурност се предприема открито, освен ако може разумно да се очаква, че това ще отслаби нейното въздействие. Адресатите на мярка за сигурност се информират предварително за причините и последиците от мярката, освен ако може разумно да се очаква, че въздействието на мярката ще бъде отслабено вследствие на предоставянето на такава информация. В такъв случай адресатът на мярката за сигурност се информира след като е преустановен рискът от отслабване на въздействието на мярката за сигурност.
5. Службите на Комисията гарантират, че съображенията за сигурност са взети предвид от началото на разработването и прилагането на политиките, решенията, програмите, проектите и дейностите на Комисията, за които те отговарят. За тази цел те осигуряват участието на генерална дирекция „Човешки ресурси и сигурност“ като цяло и на главния завеждащ сигурността на информацията в Комисията още от най-ранните етапи на подготовката на информационните системи.
6. Когато е целесъобразно, Комисията търси съдействието на компетентните органи на държавата домакин, на другите държави членки и на другите институции, агенции или органи на ЕС, когато това е възможно, като взима предвид предприетите или планирани от тези органи мерки за справяне с конкретния риск за сигурността.
Член 4
Задължение за спазване
1. Спазването на настоящото решение и на правилата за неговото прилагане, както и на мерките за сигурност и инструкциите, предоставени от упълномощените служители, е задължително.
2. Неспазването на правилата за сигурност подлежи на дисциплинарни действия в съответствие с Договорите и Правилника за длъжностните лица, на договорни санкции и/или на съдебно производство в съответствие с националните закони и разпоредби.
ГЛАВА 3
ОБЕЗПЕЧАВАНЕ НА СИГУРНОСТТА
Член 5
Упълномощени служители
1. Единствено на служители, упълномощени с поименно пълномощие от генералния директор на ГД „Човешки ресурси и сигурност“, с оглед на текущите им задължения, могат да бъдат възложени правомощия за предприемане на една или няколко от следните мерки:
(1)
да носят лично оръжие;
(2)
да провеждат разследвания на сигурността в съответствие с член 13;
(3)
да предприемат мерки за сигурност в съответствие с член 12, както са описани в пълномощието.
2. Посочените в параграф 1 пълномощия се възлагат за период, който не трябва да надвишава периода, през който съответното лице заема поста или функцията, за която е било възложено пълномощието. Те се възлагат в съответствие с приложимите разпоредби, установени в член 3, параграф 1.
3. По отношение на упълномощените служители настоящото решение представлява административна инструкция по смисъла на член 21 от Правилника за длъжностните лица.
Член 6
Общи разпоредби относно мерките за сигурност
1. Когато предприема мерки за сигурност, Комисията по-конкретно гарантира, доколкото е практически възможно, че:
а)
търси подкрепа или съдействие от съответната държава само ако тази държава е членка на Европейския съюз или, в противен случай, е страна по Европейската конвенция за правата на човека, или гарантира права, които са най-малкото равностойни на правата, гарантирани в тази конвенция.
б)
предоставя информация за дадено лице на получатели, различни от институциите и органите на ЕС, само ако те не са предмет на национален законодателен акт, приет в съответствие с Директива 95/46/ЕО на Европейския парламент и на Съвета (11), съгласно член 9 от Регламент (ЕО) № 45/2001.
в)
когато дадено лице представлява заплаха за сигурността, всяка мярка за сигурност е насочена срещу това лице и то може да бъде задължено да поеме възникналите вследствие на това разходи. Тези мерки за сигурност могат да бъдат насочени срещу други лица само ако трябва да се овладее непосредствена или сериозна заплаха за сигурността и ако са налице следните условия:
а)
предвидените мерки срещу лицето, представляващо заплаха за сигурността, не могат да бъдат предприети или вероятно няма да бъдат ефективни;
б)
Комисията не може да овладее заплахата за сигурността със самостоятелни действия или не може да го направи своевременно;
в)
мерките не представляват непропорционална опасност за другото лице и неговите права.
2. Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“ прави преглед на мерките за сигурност, които могат да изискват съдебна заповед съгласно законите и разпоредбите на държавите членки, в които се намират сградите на Комисията.
3. Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“ може да се обърне към подизпълнител, който да изпълнява задачи в областта на сигурността под ръководството и надзора на Дирекцията по сигурността.
Член 7
Мерки за гарантиране на сигурността на лицата
1. На лицата в сградите на Комисията се осигурява подходящо равнище на защита, като се вземат предвид изискванията по отношение на сигурността и безопасността.
2. В случай на сериозен риск за сигурността генерална дирекция „Човешки ресурси и сигурност“ осигурява непосредствена охрана на членовете на Комисията или другите служители тогава, когато оценката на заплахата е показала, че тази охрана е необходима за гарантиране на тяхната безопасност и сигурност.
3. В случай на сериозен риск за сигурността Комисията може да разпореди евакуация на своите сгради.
4. На жертвите на инциденти или нападения в сградите на Комисията се оказва необходимата помощ.
5. За да предотвратяват и овладяват рисковете за сигурността, упълномощените служители могат да извършват цялостни проверки на лицата, попадащи в обхвата на настоящото решение, с цел да установят дали предоставянето на достъп до сградите на Комисията или информация на тези лица представлява заплаха за сигурността. За тази цел и в съответствие с Регламент (ЕО) № 45/2001 и с разпоредбите, посочени в член 3, параграф 1, съответните упълномощени служители могат:
а)
да използват всеки източник на информация, който е на разположение на Комисията, като вземат предвид неговата надеждност;
б)
да получат достъп до личните досиета или данните, които Комисията съхранява за лицата, които е наела или възнамерява да наеме на работа, или за персонала на подизпълнителите, когато това е надлежно обосновано.
Член 8
Мерки за гарантиране на физическата сигурност и сигурността на активите
1. Сигурността на активите се гарантира, като се прилагат подходящите мерки за физическа и техническа защита и съответните процедури, наричани по-долу „физическа защита“, които изграждат една многопластова система.
2. В съответствие с настоящия член могат да бъдат приети мерки за защита на лицата или информацията в Комисията, както и за защита на активите.
3. Физическата сигурност има следните цели:
-
да предотвратява актове на насилие, насочени срещу членовете на Комисията или лицата, попадащи в обхвата на настоящото решение;
-
да предотвратява шпионаж и подслушване на чувствителна или класифицирана информация;
-
да предотвратява кражба, актове на вандализъм, саботаж и други актове на насилие, имащи за цел да нанесат щети или да унищожат сградите и активите на Комисията;
-
да позволява разследване и проверка на инциденти, свързани със сигурността, включително чрез справки с регистрационните файлове за контрол при влизане и излизане, системата за видеонаблюдение, записите на телефонните разговори и други сходни данни, посочени в член 22, параграф 2 по-долу, както и с други източници на информация.
4. Физическата сигурност включва:
-
политика по отношение на достъпа, приложима за всички лица или превозни средства, искащи достъп до сградите на Комисията, в това число и паркингите;
-
система за контрол на достъпа, включваща охранители, техническо оборудване и мерки, информационни системи или съчетание от всички тези елементи.
5. За да се гарантира физическата сигурност, могат да се предприемат следните действия:
-
да се записва влизането и излизането от сградите на Комисията на лица, превозни средства, стоки и оборудване;
-
да се извършва проверка на самоличността вътре в сградите;
-
да се извършва визуална или техническа проверка на превозните средства, стоките и оборудването;
-
да се предотвратява влизането в сградите на Комисията на неоторизирани лица, превозни средства и стоки.
Член 9
Мерки за гарантиране на сигурността на информацията
1. Сигурността на информацията обхваща цялата информация, с която работи Комисията.
2. Сигурността на информацията, независимо от нейната форма, поддържа баланс между прозрачността, пропорционалността, отчетността и ефективността, от една страна, и необходимостта от защита на информацията от нерегламентиран достъп, използване, разкриване, изменение или унищожаване, от друга.
3. Сигурността на информацията има за цел опазване на нейната поверителност, неприкосновеност и наличност.
4. С оглед на това се прилагат процедури за управление на риска, за да се класифицират информационните активи и да се разработят пропорционални мерки, процедури и стандарти за сигурност, включително смекчаващи мерки.
5. Тези общи принципи, които са в основата на сигурността на информацията, се прилагат по-специално по отношение на:
а)
„класифицирана информация на ЕС“ (по-долу „КИЕС“), т.е. всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите членки;
б)
„чувствителна некласифицирана информация“, т.е. информация или материал, които Комисията трябва да защитава по силата на законовите си задължения, залегнали в Договорите или в актовете, приети в тяхно изпълнение, и/или заради чувствителния им характер. Чувствителната некласифицирана информация включва, но не се изчерпва с: информацията или материалите, обхванати от задължението за професионална тайна съгласно член 339 от ДФЕС, информацията, обхваната от интересите, чиято защита е предвидена в член 4 от Регламент (ЕО) № 1049/2001 на Европейския парламент и на Съвета (12), разглеждан в съчетание със съответната съдебна практика на Съда на Европейския съюз, или личните данни, попадащи в обхвата на Регламент (ЕО) № 45/2001.
6. Чувствителната некласифицирана информация е подчинена на правилата за нейната обработка и съхранение. Тя се предоставя само на лица, които „имат нужда да знаят“. Когато бъде счетено за необходимо с оглед на ефективната защита на нейната поверителност, информацията се идентифицира с помощта на обозначение за класификация и съгласно съответните инструкции за обработка, одобрени от генерална дирекция „Човешки ресурси и сигурност“. Когато този вид информация се обработва или съхранява в комуникационни и информационни системи, защитата ѝ се осигурява и в съответствие с Решение (2006) 3602, правилата за неговото прилагане и съответните стандарти.
7. Всяко лице, което носи отговорност за компрометиране или загуба на КИЕС или чувствителна некласифицирана информация, която е идентифицирана като такава в правилата за нейната обработка и съхранение, може да подлежи на дисциплинарни действия в съответствие с Правилника за длъжностните лица. Тези дисциплинарни действия не засягат евентуалните съдебни или наказателни производства от страна на компетентните национални органи на държавите членки в съответствие с тяхното законодателство и разпоредби, както и договорните корективни мерки.
Член 10
Мерки за гарантиране на сигурността на комуникационните и информационни системи
1. Всички използвани от Комисията комуникационни и информационни системи („КИС“) са в съответствие с политиката на Комисията за гарантиране на сигурността на информационните системи, изложена в Решение C(2006) 3602, правилата за неговото прилагане и съответните стандарти за сигурност.
2. Службите на Комисията, които притежават, управляват или работят с КИС, позволяват на други институции, агенции и органи на Съюза или на други организации да получат достъп до тези системи само ако тези институции, агенции и органи на Съюза или други организации могат да предоставят задоволителни гаранции, че степента на защита на техните информационни системи е равносилна на гарантираната от политиката на Комисията за сигурността на информационните системи съгласно Решение C(2006) 3602, правилата за неговото прилагане и съответните стандарти за сигурност. Комисията наблюдава спазването на това условие и в случай на сериозно нарушение или продължително неспазване има правото да ограничи достъпа.
Член 11
Криминалистични анализи във връзка с киберсигурността
Генерална дирекция „Човешки ресурси и сигурност“ отговаря конкретно за провеждането на криминалистични технически анализи в сътрудничество с компетентните служби на Комисията в помощ на посочените в член 13 разследвания на сигурността, свързани с контраразузнаване, изтичане на данни, кибератаки и сигурността на информационните системи.
Член 12
Мерки за сигурност по отношение на лицата и предметите
1. За да гарантират сигурността в Комисията и да предотвратяват и овладяват рисковете, служителите, упълномощени в съответствие с член 5, могат, съгласно принципите, посочени в член 3, да предприемат, наред с останалото, една или повече от следните мерки за сигурност:
а)
подсигуряване на сцената на действие и доказателствата, включително регистрационните файлове за контрол при влизане и излизане и кадрите от системата за видеонаблюдение, в случай на инциденти или поведение, което може да доведе до административни, дисциплинарни, граждански или наказателни процедури;
б)
ограничени мерки спрямо лица, които представляват заплаха за сигурността, включително издаване на нареждане на лицата на напуснат сградите на Комисията, извеждане на лицата извън сградите на Комисията, налагане на забрана на лицата да влизат в сградите на Комисията за определен период от време, като последната мярка се определя в съответствие с критерии, които ще бъдат формулирани в правилата за прилагане;
в)
ограничени мерки спрямо предмети, които представляват риск за сигурността, включително тяхното преместване, конфискуване и отстраняване;
г)
претърсване на сградите на Комисията, включително на офисите, разположени в тези сгради;
д)
търсене на данни от комуникационната и информационна система и оборудване, телефонния и телекомуникационния трафик, регистрационните файлове, потребителските профили и т.н.;
е)
други специфични мерки за сигурност с подобно въздействие с цел предотвратяване или овладяване на рисковете за сигурността, по-конкретно в контекста на правата на Комисията в качеството ѝ на собственик или на работодател в съответствие с приложимите национални закони.
2. При изключителни обстоятелства служителите на Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“, упълномощени в съответствие с член 5, могат да предприемат необходимите извънредни мерки, при стриктно спазване на принципите, посочени в член 3. Възможно най-скоро след предприемането на тези мерки те информират директора на Дирекцията по сигурността, който иска от генералния директор на ГД „Човешки ресурси и сигурност“ съответното пълномощие, потвърждаващо предприетите мерки и разрешаващо евентуални допълнителни мерки, и, когато е целесъобразно, осъществява връзка с компетентните национални органи.
3. Мерките за сигурност в съответствие с настоящия член се документират в момента, в който са предприети, или, в случай на непосредствен риск или кризисна ситуация, в разумен срок след тяхното предприемане. Във втория случай документирането трябва да включва и елементите, на които се основава преценката за наличието на непосредствен риск или кризисна ситуация. Документирането може да бъде кратко, но следва да е структурирано по такъв начин, че да позволява на лицето - предмет на мярката, да упражнява правото си на защита и правото си на защита на личните данни в съответствие с Регламент (ЕО) № 45/2001, и да позволява проверка на законността на мярката. Никаква информация относно специфични мерки за сигурност, предприети спрямо член на персонала, не може да бъде включвана в личното досие на въпросното лице.
4. Когато се предприемат мерки за сигурност съгласно буква б), Комисията допълнително гарантира, че съответното лице е получило възможност да се свърже с адвокат или с доверено лице и е било уведомено за правото си да се обърне към Европейския надзорен орган по защита на данните.
Член 13
Разследвания
1. Без да се засягат член 86 и приложение IX към Правилника за длъжностните лица и специалните споразумения между Комисията и ЕСВД, като специалното споразумение, подписано на 28 май 2014 г. между генерална дирекция „Човешки ресурси и сигурност“ на Европейската комисия и Европейската служба за външна дейност относно задължението за грижа спрямо персонала на Комисията на служба в делегациите на Съюза, разследвания на сигурността могат да се провеждат:
а)
в случай на инциденти, засягащи сигурността в Комисията, включително при подозрение за извършено престъпление;
б)
в случай на възможно изтичане, неправилно третиране или компрометиране на чувствителна некласифицирана информация, КИЕС или класифицирана информация на Евратом;
в)
в контекста на контраразузнаването и борбата с тероризма;
г)
в случай на сериозни киберинциденти.
2. Решение за провеждане на разследване на сигурността се взема от генералния директор на ГД „Човешки ресурси и сигурност“, който също така получава доклада от разследването.
3. Разследвания на сигурността се провеждат само от компетентните членове на персонала на генерална дирекция „Човешки ресурси и сигурност“, надлежно упълномощени в съответствие с член 5.
4. Упълномощените служители упражняват правомощията си за провеждане на разследване на сигурността независимо, съгласно посоченото в пълномощието, и имат правомощията, изброени в член 12.
5. Упълномощените служители, компетентни да провеждат разследвания на сигурността, могат да събират информация от всички налични източници, свързани с евентуални административни нарушения или престъпления, които са извършени в сградите на Комисията или в които са замесени лица по член 2, параграф 3, било то като жертви или като извършители на деянията.
6. Генерална дирекция „Човешки ресурси и сигурност“ информира компетентните органи на държавата членка домакин или на всяка друга заинтересована държава членка, когато е целесъобразно и по-конкретно ако при разследването са открити улики за извършено престъпно деяние. В този контекст генерална дирекция „Човешки ресурси и сигурност“ може, когато е целесъобразно или необходимо, да окаже подкрепа на органите на държавата членка домакин или на всяка друга заинтересована държава членка.
7. В случай на сериозни киберинциденти генерална дирекция „Информатика“ поддържа тясно сътрудничество с генерална дирекция „Човешки ресурси и сигурност“, оказвайки подкрепа по всички технически въпроси. Генерална дирекция „Човешки ресурси и сигурност“ решава, след консултация с генерална дирекция „Информатика“, кога е целесъобразно да се информират компетентните органи на държавата домакин или на всяка друга заинтересована държава членка. Службите за координация при инциденти на екипа за незабавно реагиране при компютърни инциденти на ЕС (CERT-EU) ще бъдат използвани за оказване на подкрепа на други евентуално засегнати институции и агенции на ЕС.
8. Разследванията на сигурността се документират.
Член 14
Разграничаване на правомощията във връзка с разследвания на сигурността и други видове разследвания
1. Когато Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“ извършва разследвания на сигурността, както е посочено в член 13, и ако тези разследвания са от компетентността на Европейската служба за борба с измамите (OLAF) или на Службата за разследвания и дисциплинарни въпроси на Комисията (IDOC), тя незабавно осъществява връзка с тези органи с цел по-конкретно да не компрометира по-нататъшните действия от страна на OLAF или IDOC. Когато е целесъобразно, Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“ отправя покана към OLAF или IDOC да участват в разследването.
2. Разследванията на сигурността, посочени в член 13, се провеждат без да се засягат правомощията на OLAF и IDOC, залегнали в правилата за дейността на тези органи. От Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“ може да бъде поискано да окаже техническа помощ за разследвания, започнати от OLAF или IDOC.
3. От Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“ може да бъде поискано да съдейства на служителите на OLAF при престоя им в сградите на Комисията в съответствие с член 3, параграф 5 и член 4, параграф 4 от Регламент (ЕС, Евратом) № 883/2013 на Европейския парламент и на Съвета (13), с цел да улеснят изпълнението на техните задължения. Дирекцията по сигурността информира генералния секретар и генералния директор на генерална дирекция „Човешки ресурси и сигурност“ за подобни искания за съдействие, или в случай че такова разследване се провежда в сградите на Комисията, в които се помещават нейните членове или генералният секретар, председателят на Комисията и членът на Комисията, отговарящ за човешките ресурси.
4. Без да се засяга член 22, буква а) от Правилника за длъжностните лица, тогава, когато даден случай би могъл да бъде от компетентността както на Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“, така и на IDOC, Дирекцията по сигурността, когато докладва на генералния директор на ГД „Човешки ресурси“ в съответствие с член 13, на възможно най-ранен етап дава становището си за това дали са налице основания за сезиране на IDOC във връзка със случая. По-конкретно този етап се счита за достигнат тогава, когато е приключила непосредствената заплаха за сигурността. Генералният директор на ГД „Човешки ресурси и сигурност“ взима решение по този въпрос.
5. Когато даден случай би могъл да бъде от компетентността както на Дирекцията по сигурността на генерална дирекция „Човешки ресурси и сигурност“, така и на OLAF, Дирекцията по сигурността незабавно докладва на генералния директор на ГД „Човешки ресурси и сигурност“ и информира генералния директор на OLAF на възможно най-ранен етап. По-конкретно този етап се счита за достигнат тогава, когато е приключила непосредствената заплаха за сигурността.
Член 15
Проверки на сигурността
1. Генерална дирекция „Човешки ресурси и сигурност“ извършва проверки на сигурността, за да се увери, че службите на Комисията и лицата спазват настоящото решение и правилата за неговото прилагане, и за да формулира препоръки, когато това бъде счетено за необходимо.
2. Когато е целесъобразно, генерална дирекция „Човешки ресурси и сигурност“ извършва проверки на сигурността, или наблюдение на сигурността, или посещения за оценка на сигурността, за да се увери, че сигурността на персонала, активите и информацията на Комисията, попадащи под отговорността на други институции, агенции или органи на Съюза, държави членки, трети държави или международни организации, е подходящо гарантирана в съответствие с правила, разпоредби и стандарти за сигурност, които са най-малкото равностойни на тези на Комисията. Когато е целесъобразно и в духа на доброто сътрудничество между администрациите, тези проверки на сигурността включват и инспекциите, провеждани в контекста на обмена на класифицирана информация с други институции, органи и агенции на Съюза, държави членки, трети държави или международни организации.
3. Настоящият член се прилага, mutatis mutandis, за персонала на Комисията в делегациите на Съюза, без да се засягат специалните споразумения между Комисията и ЕСВД, като специалното споразумение, подписано на 28 май 2014 г. между генерална дирекция „Човешки ресурси и сигурност“ на Европейската комисия и Европейската служба за външна дейност относно задължението за грижа спрямо персонала на Комисията на служба в делегациите на Съюза.
Член 16
Състояние на тревога и управление на кризисни ситуации
1. Генерална дирекция „Човешки ресурси и сигурност“ отговаря за прилагането на подходящи мерки за състояние на тревога в очакване или в отговор на заплахи и инциденти, засягащи сигурността в Комисията, както и на необходимите мерки за управление на кризисни ситуации.
2. Посочените в параграф 1 мерки за състояние на тревога съответстват на нивото на заплаха за сигурността. Степените на тревога се определят в тясно сътрудничество с компетентните служби на другите институции, агенции и органи на Съюза, и на държавата членка или държавите членки, в които се намират сградите на Комисията.
3. Генерална дирекция „Човешки ресурси и сигурност“ е звеното за контакт относно степените на тревога и управлението на кризисни ситуации.
ГЛАВА 4
ОРГАНИЗАЦИЯ
Член 17
Общи отговорности на службите на Комисията
1. Изложените в настоящото решение задължения на Комисията се изпълняват от генерална дирекция „Човешки ресурси и сигурност“ под ръководството и отговорността на члена на Комисията, отговарящ за сигурността.
2. Специфичните разпоредби относно киберсигурността са определени в Решение (2006) 3602.
3. Отговорността за изпълнението на настоящото решение и на правилата за неговото прилагане, както и на ежедневното им спазване, може да бъде възложена на други служби на Комисията тогава, когато децентрализираното обезпечаване на сигурността предлага висока ефективност и спестява ресурси или време, например поради географското разположение на въпросните служби.
4. Когато се прилага параграф 3, генерална дирекция „Човешки ресурси и сигурност“ и, когато е целесъобразно, генерална дирекция „Информатика“, постигат договорка с отделните служби на Комисията за ясно определяне на ролите и отговорностите за изпълнението и наблюдението на политиките в областта на сигурността.
Член 18
Генерална дирекция „Човешки ресурси и сигурност“
1. Генерална дирекция „Човешки ресурси и сигурност“ отговаря по-конкретно за:
(1)
изготвянето на политиката на Комисията в областта на сигурността, правилата за нейното прилагане и известията по въпросите на сигурността;
(2)
събирането на информация за целите на оценката на заплахите и рисковете за сигурността и по всички въпроси, които могат да се отразят на сигурността в Комисията;
(3)
осигуряването на електронно контранаблюдение и защита на всички сайтове на Комисията въз основа на оценките на заплахите и наличните доказателства за неоторизирани действия против интересите на Комисията;
(4)
осигуряването на 24-часови услуги за спешно реагиране за службите и персонала на Комисията по всички въпроси, свързани с безопасността и сигурността;
(5)
прилагането на мерки за сигурност, имащи за цел смекчаване на рисковете за сигурността и разработване и поддържане на подходяща КИС, която да покрива оперативните ѝ нужди, по-специално в областта на контрола на физическия достъп, администрирането на разрешенията за достъп и обработката на чувствителна информация и класифицирана информация на ЕС;
(6)
повишаването на осведомеността, организирането на учения и тренировки, и предоставянето на обучения и консултации по всички въпроси, свързани със сигурността в Комисията, с цел да се насърчи развитието на култура на сигурност и да се създаде резерв от служители, които да са подходящо обучени по въпросите на сигурността.
2. Генерална дирекция „Човешки ресурси и сигурност“ поддържа, без да засяга компетентността и отговорностите на другите служби на Комисията, външните връзки:
(1)
със службите за сигурност на другите институции, агенции и органи на Съюза по въпроси, свързани със сигурността на лицата, активите и информацията в Комисията;
(2)
със службите за сигурност, разузнаване и оценка на заплахите, включително националните органи за сигурност на държавите членки или на трети държави, международните организации и органи по въпроси, засягащи сигурността на лицата, активите и информацията в Комисията;
(3)
с полицията и други служби за спешно реагиране по всички рутинни и извънредни въпроси, засягащи сигурността в Комисията;
(4)
с органите за сигурност на другите институции, агенции и органи на Съюза, на държавите членки и на трети държави в областта на реагирането на кибератаки с потенциално въздействие върху сигурността в Комисията;
(5)
във връзка с получаването, оценката и разпространението на разузнавателна информация относно заплахи, произтичащи от терористична дейност и шпионаж, засягащи сигурността в Комисията;
(6)
по въпроси, свързани с класифицираната информацията, както е посочено по-нататък в Решение (ЕС, Евратом) 2015/444 на Комисията (14).
3. Генерална дирекция „Човешки ресурси и сигурност“ отговаря за сигурния пренос на информация, извършван съгласно настоящия член, включително за преноса на лични данни.
Член 19
Експертна група за сигурността в Комисията (ComSEG)
Създава се експертна група за сигурността в Комисията, натоварена със задачата да съветва Комисията, когато е целесъобразно, по въпроси, свързани с нейната политика за вътрешна сигурност и по-конкретно със защитата на класифицирана информация на ЕС.
Член 20
Местни служители по сигурността (LSO)
1. Всеки отдел или кабинет на Комисията назначава местен служител по сигурността (LSO), който изпълнява ролята на основно звено за контакт между своята служба и генерална дирекция „Човешки ресурси и сигурност“ по всички въпроси, свързани със сигурността в Комисията. Когато е целесъобразно, могат да се назначат един или повече заместници на LSO. LSO е длъжностно лице или срочно нает служител.
2. Като основно звено за контакт по въпросите на сигурността в своя отдел или кабинет на Комисията, LSO докладва редовно на генерална дирекция „Човешки ресурси и сигурност“ и на своите началници за въпроси, свързани със сигурността в неговия отдел на Комисията, и докладва незабавно за всякакви инциденти, свързани със сигурността, включително когато може да е била компрометирана КИЕС или чувствителна некласифицирана информация.
3. По въпроси, свързани със сигурността на комуникационните и информационни системи, LSO осъществява връзка със завеждащия сигурността на информацията на местно ниво (LISO) в своя отдел на Комисията, чиято роля и отговорности са определени в Решение C(2006) 3602.
4. Той допринася към дейностите за обучение и повишаване на осведомеността по въпросите на сигурността, насочени към специфичните нужди на персонала, подизпълнителите и други лица, работещи под ръководството на неговия отдел на Комисията.
5. По искане на генерална дирекция „Човешки ресурси и сигурност“ на LSO могат да бъдат възложени специфични задачи в случай на сериозни или непосредствени рискове за сигурността или на извънредни ситуации. Генералният директор или директорът, отговарящ за човешките ресурси, на местната генерална дирекция на LSO бива информиран за тези специфични задачи от генерална дирекция „Човешки ресурси и сигурност“.
6. Отговорностите на LSO не засягат ролята и отговорностите, възложени на завеждащите сигурността на информацията на местно ниво (LISO), служителите, отговарящи за здравословните и безопасни условия на труд, служителите за надзор на регистъра (RCO) или на всеки друг служител, чиито функции са в областта на сигурността или са свързани с нея. LSO осъществява връзка с тях, за да гарантира последователен и съгласуван подход към сигурността и ефективен поток на информацията по въпроси, свързани със сигурността в Комисията.
7. LSO има пряк достъп до генералния директор или ръководителя на отдела си, когато трябва да информира преките си началници. Той има разрешение за достъп до КИЕС на ниво най-малко SECRET UE/EU SECRET.
8. С цел да насърчи обмена на информация и най-добрите практики, генерална дирекция „Човешки ресурси и сигурност“ организира поне два пъти годишно конференция на LSO. Присъствието на LSO на тези конференции е задължително.
ГЛАВА 5
ИЗПЪЛНЕНИЕ
Член 21
Правила за прилагане и известия по въпросите на сигурността
1. Както е необходимо, приемането на правилата за прилагане на настоящото решение ще е предмет на отделно решение на Комисията за оправомощаване на члена на Комисията, отговарящ за сигурността, в пълно съответствие с вътрешния процедурен правилник.
2. След като бъде оправомощен по силата на гореспоменатото решение на Комисията, членът на Комисията, отговарящ за сигурността, може да изготвя известия по въпросите на сигурността, съдържащи насоки и най-добри практики в тази сфера, в обхвата на настоящото решение и правилата за неговото прилагане.
3. Комисията може да възложи задачите, посочени в първия и втория параграф на настоящия член, на генералния директор на ГД „Човешки ресурси и сигурност“ чрез отделно решение за възлагане, в пълно съответствие с вътрешния процедурен правилник.
ГЛАВА 6
РАЗНИ И ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 22
Обработка на лични данни
1. Комисията обработва личните данни, необходими за изпълнението на настоящото решение в съответствие с Регламент (ЕО) № 45/2001.
2. Независимо от мерките, които вече са въведени към момента на приемане на настоящото решение и са нотифицирани на Европейския надзорен орган по защита на данните (15), всяка мярка в съответствие с настоящото решение, включваща обработка на лични данни, като например данни от регистрационните файлове за контрол при влизане и излизане, записите от системата за видеонаблюдение, записите на телефонните обаждания до дежурните звена или диспечерските центрове, и други подобни данни, изисквани от съображения за сигурност или за реакция при кризи, е предмет на правилата за прилагане съгласно член 21, който установява подходящи гаранции за субектите на данни.
3. Генералният директор на ГД „Човешки ресурси и сигурност“ отговаря за сигурността на всяка обработка на лични данни, извършена в контекста на настоящото решение.
4. Тези правила и процедури за прилагане се приемат след консултация с длъжностното лице за защита на данните и Европейския надзорен орган по защита на данните в съответствие с Регламент (ЕО) № 45/2001.
Член 23
Прозрачност
Настоящото решение и правилата за неговото прилагане се свеждат до знанието на персонала на Комисията и на всички лица, спрямо които се прилагат.
Член 24
Отмяна на предходни решения
Решение (94) 2129 се отменя.
Член 25
Влизане в сила
Настоящото решение влиза в сила в деня след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 13 март 2015 година.
ROZHODNUTIE KOMISIE (EÚ, Euratom) 2015/443
z 13. marca 2015
o bezpečnosti v Komisii
EURÓPSKA KOMISIA,
so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 249,
so zreteľom na Zmluvu o založení Európskeho spoločenstva pre atómovú energiu,
so zreteľom na Protokol č. 7 o výsadách a imunitách Európskej únie pripojený k zmluvám, a najmä na jeho článok 18,
keďže:
(1)
Cieľom politiky v oblasti bezpečnosti v Komisii je umožniť jej pracovať v bezpečnom a chránenom prostredí, a to vďaka prijatiu jednotného a integrovaného prístupu k jej bezpečnosti, poskytnutiu náležitej úrovne ochrany osôb, majetku a informácií úmernej zisteným rizikám a efektívnemu a včasnému zaisteniu bezpečnosti.
(2)
Komisia podobne ako ostatné medzinárodné orgány čelí závažným hrozbám a výzvam v oblasti bezpečnosti, najmä v súvislosti s terorizmom, kybernetickými útokmi a politickou a obchodnou špionážou.
(3)
Európska komisia uzavrela dohody o otázkach bezpečnosti týkajúce sa jej najväčších pracovísk s vládami Belgicka, Luxemburska a Talianska (1). V týchto dohodách sa potvrdzuje, že za bezpečnosť Komisie zodpovedá samotná Komisia.
(4)
V záujme zaistenia bezpečnosti osôb, majetku a informácií môže byť nutné, aby Komisia prijala opatrenia v oblastiach chránených základnými právami zakotvenými v Charte základných práv a v Európskom dohovore o ľudských právach a uznanými Súdnym dvorom EÚ.
(5)
Každé takéto opatrenie by preto malo byť opodstatnené úmerne k významu záujmu, ktorý je určené chrániť, malo by byť primerané a malo by sa ním zabezpečovať úplné dodržiavanie základných práv, najmä práva na súkromie a ochranu údajov.
(6)
V rámci systému, v ktorom sa musia dodržiavať zásady právneho štátu a základné práva, sa Komisia musí usilovať o náležitú úroveň bezpečnosti svojich zamestnancov, majetku a informácií, ktorá zabezpečuje, že Komisia môže vykonávať svoje činnosti, pričom sa základné práva neobmedzujú nad rámec toho, čo je nevyhnutne potrebné.
(7)
Bezpečnosť v Komisii vychádza zo zásad zákonnosti, transparentnosti, proporcionality a zodpovednosti.
(8)
Zamestnanci poverení prijímaním bezpečnostných opatrení by nemali byť žiadnym spôsobom znevýhodňovaní z dôvodu ich konania, pokiaľ toto konanie nepresiahlo rozsah ich poverenia alebo nebolo v rozpore so zákonom. Toto rozhodnutie treba preto považovať za služobný pokyn v zmysle služobného poriadku.
(9)
Komisia by mala podniknúť vhodné iniciatívy na podporu a posilnenie kultúry bezpečnosti, a to efektívnejším zaisťovaním bezpečnosti, zlepšovaním riadenia bezpečnosti, ďalším posilňovaním sietí a spolupráce s príslušnými orgánmi na medzinárodnej, európskej a vnútroštátnej úrovni a zlepšovaním monitorovania a kontroly vykonávania bezpečnostných opatrení.
(10)
Zriadenie Európskej služby pre vonkajšiu činnosť (ESVČ) ako funkčne nezávislého orgánu Únie významne ovplyvnilo bezpečnostné záujmy Komisie, a preto je nutné vypracovať pravidlá a postupy spolupráce v oblasti ochrany a bezpečnosti medzi ESVČ a Komisiou, najmä v súvislosti s plnením povinnosti Komisie vynaložiť primeranú starostlivosť o zamestnancov Komisie, ktorí pôsobia na delegáciách Únie.
(11)
Bezpečnostná politika Komisie by sa mala vykonávať spôsobom, ktorý je v súlade s ostatnými internými procesmi a postupmi, ktoré môžu zahŕňať bezpečnostný prvok. Patrí sem najmä riadenie kontinuity činností, ktoré sa zameriava na zachovanie dôležitých funkcií Komisie v prípade prerušenia prevádzky, a proces ARGUS na koordináciu multisektorových krízových situácií.
(12)
Bez ohľadu na opatrenia, ktoré už boli zavedené v čase prijatia tohto rozhodnutia a oznámené európskemu dozornému úradníkovi pre ochranu údajov (2), na každé opatrenie podľa tohto rozhodnutia týkajúce sa spracovávania osobných údajov sa vzťahujú vykonávacie predpisy v súlade s článkom 21, ktoré stanovujú náležité záruky pre dotknuté osoby.
(13)
Je preto potrebné, aby Komisia preskúmala, aktualizovala a konsolidovala existujúci regulačný základ týkajúci sa bezpečnosti v Komisii.
(14)
Malo by sa preto zrušiť rozhodnutie Komisie K(94) 2129 (3),
PRIJALA TOTO ROZHODNUTIE:
KAPITOLA 1
VŠEOBECNÉ USTANOVENIA
Článok 1
Vymedzenie pojmov
Na účely tohto rozhodnutia sa uplatňuje toto vymedzenie pojmov:
1.
„majetok“ je všetok hnuteľný a nehnuteľný majetok a imanie Komisie;
2.
„oddelenie Komisie“ je akékoľvek generálne riaditeľstvo či útvar Komisie alebo kabinet člena Komisie;
3.
„komunikačný a informačný systém“ alebo „CIS“ je každý systém, ktorý umožňuje manipuláciu s informáciami v elektronickej podobe, vrátane všetkých prostriedkov potrebných na jeho prevádzku, ako aj infraštruktúry, organizácie, zamestnancov a informačných zdrojov;
4.
„kontrola rizík“ je akékoľvek bezpečnostné opatrenie, v prípade ktorého možno odôvodnene očakávať, že slúži na účinnú kontrolu bezpečnostného rizika tým, že mu predchádza, že toto riziko znižuje, že sa ním možno tomuto riziku vyhnúť alebo ho možno preniesť;
5.
„krízová situácia“ je okolnosť, udalosť, incident alebo mimoriadna udalosť (alebo ich sled či kombinácia), ktoré predstavujú závažnú alebo bezprostrednú bezpečnostnú hrozbu pre Komisiu, bez ohľadu na ich pôvod;
6.
„údaje“ sú informácie v podobe, ktorá umožňuje ich oznámenie, zaznamenanie alebo spracovanie;
7.
„člen Komisie zodpovedný za bezpečnosť“ je člen Komisie, do ktorého právomoci patrí Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť;
8.
„osobné údaje“ sú údaje podľa definície v článku 2 písm. a) nariadenia Európskeho parlamentu a Rady (ES) č. 45/2001 (4);
9.
„objekt“ je všetok nehnuteľný alebo pridružený majetok a imanie Komisie;
10.
„prevencia rizika“ sú bezpečnostné opatrenia, o ktorých sa možno odôvodnene domnievať, že zabránia bezpečnostnému riziku, že ho oddialia alebo pozastavia;
11.
„bezpečnostné riziko“ je kombinácia úrovne hrozby, úrovne zraniteľnosti a možného vplyvu nejakej udalosti;
12.
„bezpečnosť v Komisii“ je bezpečnosť osôb, majetku a informácií v Komisii, a najmä fyzická integrita osôb a majetku, integrita, dôvernosť a dostupnosť informácií a komunikačných a informačných systémov, ako aj nerušený chod činností Komisie;
13.
„bezpečnostné opatrenie“ je každé opatrenie prijaté v súlade s týmto rozhodnutím s cieľom získať kontrolu nad bezpečnostnými rizikami;
14.
„služobný poriadok“ je Služobný poriadok úradníkov Európskej únie stanovený nariadením Rady (EHS, Euratom, ESUO) č. 259/68 (5) a jeho doplňujúce akty;
15.
„bezpečnostná hrozba“ je udalosť alebo činiteľ, v prípade ktorých možno odôvodnene očakávať, že nepriaznivo ovplyvnia bezpečnosť, ak sa na ne nebude reagovať alebo ak sa nad nimi nezíska kontrola;
16.
„bezprostredná bezpečnostná hrozba“ je bezpečnostná hrozba, ktorá sa vyskytne bez predchádzajúceho varovania, resp. len s veľmi krátkym predchádzajúcim varovaním;
17.
„závažná bezpečnostná hrozba“ je bezpečnostná hrozba, v prípade ktorej možno odôvodnene očakávať, že povedie k stratám na životoch, vážnemu zraneniu alebo vážnej ujme, veľkým škodám na majetku, vyzradeniu vysoko citlivých informácií, narušeniu IT systémov alebo dôležitých prevádzkových kapacít Komisie;
18.
„zraniteľnosť“ je slabá stránka akejkoľvek povahy, v prípade ktorej možno odôvodnene očakávať, že nepriaznivo ovplyvní bezpečnosť v Komisii, ak sa zneužije v rámci jednej alebo viacerých hrozieb.
Článok 2
Predmet úpravy
1. V tomto rozhodnutí sa stanovujú ciele, základné zásady, organizácia a povinnosti týkajúce sa bezpečnosti v Komisii.
2. Toto rozhodnutie sa uplatňuje na všetky oddelenia Komisie a vo všetkých objektoch Komisie. Na zamestnancov Komisie pôsobiacich na delegáciách Únie sa vzťahujú bezpečnostné pravidlá Európskej služby pre vonkajšiu činnosť (6).
3. Bez ohľadu na akékoľvek osobitné ustanovenia týkajúce sa konkrétnych skupín zamestnancov, sa toto rozhodnutie uplatňuje na členov Komisie, zamestnancov Komisie zamestnaných podľa služobného poriadku a Podmienok zamestnávania ostatných zamestnancov Európskej únie, národných expertov vyslaných do Komisie, poskytovateľov služieb a ich zamestnancov, stážistov a všetky osoby s prístupom do budov Komisie alebo k ostatnému majetku, alebo na informácie, s ktorými manipuluje Komisia.
4. Ustanovenia tohto rozhodnutia sa uplatňujú bez toho, aby bolo dotknuté rozhodnutie Komisie 2002/47/ES, ESUO, Euratom (7), rozhodnutie Komisie 2004/563/ES, Euratom (8), rozhodnutie Komisie K(2006) 1623 (9) a rozhodnutie Komisie K(2006) 3602 (10).
KAPITOLA 2
ZÁSADY
Článok 3
Zásady bezpečnosti v Komisii
1. Pri vykonávaní tohto rozhodnutia Komisia zabezpečuje súlad so zmluvami, a najmä s Chartou základných práv a s Protokolom č. 7 o výsadách a imunitách Európskej únie, s dohodami uvedenými v odôvodnení 2, s akýmikoľvek platnými predpismi vnútroštátneho práva, ako aj s ustanoveniami tohto rozhodnutia. Ak to bude potrebné, vydá sa v tejto súvislosti v zmysle článku 21 ods. 2 bezpečnostné oznámenie obsahujúce usmernenia.
2. Bezpečnosť v Komisii vychádza zo zásad zákonnosti, transparentnosti, proporcionality a zodpovednosti.
3. Zásada zákonnosti predstavuje potrebu konať pri vykonávaní tohto rozhodnutia prísne v medziach právneho rámca, ako aj potrebu zabezpečiť súlad s právnymi požiadavkami.
4. Akékoľvek bezpečnostné opatrenie sa prijme otvorene, pokiaľ nemožno odôvodnene očakávať, že by to oslabilo jeho účinok. Adresáti bezpečnostného opatrenia sú vopred informovaní o dôvodoch a vplyve opatrenia, pokiaľ nemožno odôvodnene očakávať, že poskytnutím takýchto informácií bude oslabený účinok opatrenia. V takom prípade je adresát bezpečnostného opatrenia informovaný po tom, ako skončilo riziko oslabenia účinku daného bezpečnostného opatrenia.
5. Oddelenia Komisie zabezpečia, aby sa bezpečnostné otázky zohľadňovali od začiatku rozvoja a vykonávania politík, rozhodnutí, programov, projektov a činností Komisie, za ktoré sú tieto oddelenia zodpovedné. Na tento účel zapoja Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť vo všeobecnosti a hlavného úradníka Komisie pre informačnú bezpečnosť už v najskoršej fáze prípravy IT systémov.
6. Komisia v prípade potreby spolupracuje s príslušnými orgánmi hostiteľského štátu, ostatných členských štátov a ostatných inštitúcií, agentúr alebo orgánov EÚ tam, kde je to možné, pričom zohľadní opatrenia, ktoré tieto orgány prijali alebo naplánovali na riešenie príslušného bezpečnostného rizika.
Článok 4
Povinnosť dodržiavať právne predpisy
1. Dodržiavanie tohto rozhodnutia a jeho vykonávacích predpisov, ako aj bezpečnostných opatrení a pokynov vydaných poverenými zamestnancami je povinné.
2. Nedodržiavanie bezpečnostných predpisov môže viesť k disciplinárnemu konaniu v súlade so zmluvami a služobným poriadkom, k zmluvným sankciám a/alebo súdnemu konaniu podľa vnútroštátnych zákonov a iných právnych predpisov.
KAPITOLA 3
ZAISŤOVANIE BEZPEČNOSTI
Článok 5
Poverení zamestnanci
1. Iba zamestnancom oprávneným na základe osobitného poverenia, ktoré im udeľuje generálny riaditeľ pre ľudské zdroje a bezpečnosť vzhľadom na ich súčasnú pracovnú náplň, sa môže zveriť právomoc prijať jedno alebo viacero z týchto opatrení:
1.
nosenie ručných zbraní;
2.
vykonávanie bezpečnostného vyšetrovania uvedeného v článku 13;
3.
prijímanie bezpečnostných opatrení uvedených v článku 12, tak ako sa uvádza v poverení.
2. Poverenia uvedené v odseku 1 sa udeľujú na obdobie, ktoré nepresiahne obdobie, počas ktorého daná osoba zastáva pozíciu alebo funkciu, v súvislosti s ktorými sa poverenie udeľuje. Poverenia sa udeľujú v súlade s platnými ustanoveniami uvedenými v článku 3 ods. 1.
3. Pokiaľ ide o poverených zamestnancov, toto rozhodnutie predstavuje služobný pokyn v zmysle článku 21 služobného poriadku.
Článok 6
Všeobecné ustanovenia týkajúce sa bezpečnostných opatrení
1. Pri prijímaní bezpečnostných opatrení Komisia, pokiaľ je to objektívne možné, zabezpečí najmä, že:
a)
požiada o podporu alebo pomoc dotknutý štát len za predpokladu, že tento štát je buď členským štátom Európskej únie, alebo, ak ním nie je, zmluvnou stranou Európskeho dohovoru o ľudských právach, prípadne tento štát poskytuje záruky, ktoré sú prinajmenšom rovnocenné s právami zaručenými uvedeným dohovorom;
b)
postúpi informácie o osobách príjemcom iným, než sú inštitúcie a orgány Spoločenstva, na ktorých sa nevzťahujú vnútroštátne právne predpisy prijaté podľa smernice Európskeho parlamentu a Rady 95/46/EHS (11), len v súlade s článkom 9 nariadenia (ES) č. 45/2001;
c)
ak osoba predstavuje bezpečnostnú hrozbu, akékoľvek bezpečnostné opatrenie bude namierené voči tejto osobe, a že sa od danej osoby môže vymáhať uhradenie vzniknutých nákladov. Takéto bezpečnostné opatrenia môžu byť namierené voči iným osobám, len ak je nutné zabezpečiť kontrolu nad bezprostrednou alebo závažnou bezpečnostnou hrozbou a ak sú splnené tieto podmienky:
a)
plánované opatrenia voči osobe, ktorá predstavuje bezpečnostnú hrozbu, nemožno prijať alebo pravdepodobne budú neúčinné;
b)
Komisia nemôže bezpečnostnú hrozbu dostať pod kontrolu len vlastným pričinením alebo tak nemôže urobiť včas;
c)
opatrenie nepredstavuje neprimerané ohrozenie inej osoby a jej práv.
2. Riaditeľstvo pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť zostaví prehľad bezpečnostných opatrení, ktoré si môžu vyžadovať príkaz sudcu v súlade so zákonmi a inými právnymi predpismi členských štátov, v ktorých má Komisia svoje objekty.
3. Riaditeľstvo pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť sa môže obrátiť na dodávateľa, aby ten pod vedením a dohľadom riaditeľstva pre bezpečnosť vykonával úlohy súvisiace s bezpečnosťou.
Článok 7
Bezpečnostné opatrenia týkajúce sa osôb
1. Osobám, ktoré sa nachádzajú v objektoch Komisie, sa poskytne náležitá úroveň ochrany, pričom sa zohľadnia požiadavky v oblasti bezpečnosti a ochrany.
2. V prípade závažných bezpečnostných rizík Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť poskytne priamu ochranu členom Komisie alebo ostatným zamestnancom, ak z posúdenia hrozby vyplynie, že takáto ochrana je potrebná na zaistenie ich ochrany a bezpečnosti.
3. V prípade závažných bezpečnostných rizík môže Komisia nariadiť evakuáciu svojich objektov.
4. Obetiam nehôd alebo útokov v objektoch Komisie sa poskytne pomoc.
5. S cieľom predchádzať bezpečnostným rizikám a získať nad nimi kontrolu môžu poverení zamestnanci vykonávať previerky osôb, na ktoré sa vzťahuje rozsah pôsobnosti tohto rozhodnutia, a to s cieľom stanoviť, či poskytnutie prístupu do objektov Komisie alebo k informáciám Komisie danej osobe nepredstavuje bezpečnostnú hrozbu. Na tento účel a v súlade s nariadením (ES) č. 45/2001 a ustanoveniami uvedenými v článku 3 ods. 1 môžu poverení zamestnanci:
a)
využiť akýkoľvek zdroj informácií, ktoré má Komisia k dispozícii, berúc do úvahy spoľahlivosť tohto zdroja informácií;
b)
nahliadnuť do osobného spisu alebo údajov, ktoré Komisia vedie v súvislosti s danou osobou, ktorú zamestnáva alebo má v úmysle zamestnať, alebo v prípade zamestnancov dodávateľov, ak je to riadne odôvodnené.
Článok 8
Bezpečnostné opatrenia týkajúce sa fyzickej bezpečnosti a majetku
1. Bezpečnosť majetku sa zaistí uplatňovaním náležitých fyzických a technických ochranných opatrení a zodpovedajúcich postupov (ďalej len „fyzická bezpečnosť“), čím sa vytvorí viacvrstvový systém.
2. Na základe tohto článku sa môžu prijímať opatrenia s cieľom chrániť osoby alebo informácie v Komisii, ako aj majetok.
3. Medzi ciele fyzickej bezpečnosti patrí:
-
predchádzať aktom násilia voči členom Komisie alebo osobám, na ktoré sa vzťahuje rozsah pôsobnosti tohto rozhodnutia,
-
predchádzať špionáži a odpočúvaniu v prípade citlivých alebo utajovaných skutočností,
-
predchádzať krádežiam, vandalizmu, sabotáži a ďalším násilným činom zameraným na poškodenie alebo zničenie budov a majetku Komisie,
-
umožniť prešetrovanie a vyšetrovanie bezpečnostných incidentov, okrem iného aj prostredníctvom kontroly záznamov o vstupoch a odchodoch, pokrytia kamerovým systémom (CCTV), záznamov telefonických hovorov a podobných údajov, ako sa uvádza v článku 22 ods. 2 nižšie, a ďalších zdrojov informácií.
4. Fyzická bezpečnosť zahŕňa:
-
politiku prístupu, ktorá sa uplatňuje na všetky osoby alebo vozidlá, ktoré potrebujú prístup do objektov Komisie vrátane parkovísk,
-
systém kontroly prístupu, ktorý zahŕňa strážnu službu, technické vybavenie a opatrenia, informačné systémy alebo kombináciu všetkých týchto prvkov.
5. Na zaistenie fyzickej bezpečnosti sa môžu podniknúť tieto kroky:
-
zaznamenávanie vstupov do objektov Komisie a odchodov z nich v prípade osôb, vozidiel, tovaru a vybavenia,
-
kontroly totožnosti v objektoch Komisie,
-
kontroly vozidiel, tovaru a vybavenia vizuálne alebo technickými prostriedkami,
-
zabraňovanie vstupu neoprávnených osôb, vozidiel a tovaru do objektov Komisie.
Článok 9
Bezpečnostné opatrenia týkajúce sa informácií
1. Bezpečnosť informácií sa vzťahuje na všetky informácie, s ktorými manipuluje Komisia.
2. Bezpečnosť informácií, bez ohľadu na jej podobu, musí vyvažovať transparentnosť, proporcionalitu, zodpovednosť a efektívnosť s potrebou ochrany informácií pred neoprávneným prístupom, použitím, zverejnením, zmenou alebo zničením.
3. Bezpečnosť informácií je zameraná na ochranu dôvernosti, celistvosti a dostupnosti.
4. Na klasifikáciu informácií a na vypracovanie primeraných bezpečnostných opatrení, postupov a noriem vrátane zmierňujúcich opatrení sa preto použijú procesy riadenia rizík.
5. Tieto všeobecné zásady týkajúce sa bezpečnosti informácií sa musia uplatňovať najmä pokiaľ ide o:
a)
„utajovanú skutočnosť Európskej únie“ (ďalej len „utajovaná skutočnosť EÚ“), teda každú informáciu alebo vec označenú stupňom utajenia EÚ, ktorej neoprávnené zverejnenie by mohlo v rôznej miere poškodiť záujmy Európskej únie alebo jedného či viacerých jej členských štátov;
b)
„citlivú neutajovanú skutočnosť“, teda informáciu alebo vec, ktorú Komisia musí chrániť z dôvodu právnych záväzkov stanovených v zmluvách alebo aktoch prijatých na ich vykonávanie, a/alebo z dôvodu citlivosti týchto informácií či vecí. Medzi citlivé neutajované skutočnosti patria, okrem iného, informácie alebo veci, ktoré sú chránené služobným tajomstvom, ako sa uvádza v článku 339 ZFEÚ, informácie, na ktoré sa vzťahujú záujmy chránené podľa článku 4 nariadenia Európskeho parlamentu a Rady (ES) č. 1049/2001 (12) v spojení s príslušnou judikatúrou Súdneho dvora Európskej únie, alebo osobné údaje v rámci rozsahu pôsobnosti nariadenia (ES) č. 45/2001.
6. Na citlivé neutajované skutočnosti sa vzťahujú pravidlá týkajúce sa manipulácie s nimi a ich uchovávania. Citlivé neutajované skutočnosti sa môžu poskytnúť len tým osobám, ktoré ich potrebujú poznať. Ak sa to bude považovať za nutné na účinnú ochranu dôvernosti takýchto informácií, musia byť označené bezpečnostným označením a zodpovedajúcimi pokynmi na manipuláciu s nimi, ktoré schválil generálny riaditeľ Generálneho riaditeľstva pre ľudské zdroje a bezpečnosť. Ak sa s takýmito informáciami manipuluje v rámci komunikačných a informačných systémov alebo sa takéto informácie v rámci takýchto systémov uchovávajú, tieto informácie musia byť chránené aj v súlade s rozhodnutím K(2006) 3602, jeho vykonávacími predpismi a zodpovedajúcimi normami.
7. Každá osoba, ktorá je zodpovedná za vyzradenie alebo stratu utajovaných skutočností EÚ alebo citlivých neutajovaných skutočností, ktoré sú takto identifikované v pravidlách upravujúcich ich manipuláciu alebo uchovávanie, môže podliehať disciplinárnemu konaniu v súlade so služobným poriadkom. Takéto disciplinárne konanie nemá vplyv na akékoľvek ďalšie právne alebo trestné konanie zo strany príslušných vnútroštátnych orgánov členských štátov v súlade s ich zákonmi a inými právnymi predpismi, ani na zmluvné prostriedky nápravy.
Článok 10
Bezpečnostné opatrenia týkajúce sa komunikačných a informačných systémov
1. Všetky komunikačné a informačné systémy (ďalej len „CIS“), ktoré Komisia používa, sú prevádzkované v súlade s bezpečnostnou politikou Komisie vzťahujúcou sa na informačné systémy, ako sa uvádza v rozhodnutí K(2006) 3602, jeho vykonávacích predpisoch a zodpovedajúcich bezpečnostných normách.
2. Útvary Komisie, ktoré vlastnia, spravujú alebo prevádzkujú CIS, umožnia ostatným inštitúciám, agentúram, orgánom EÚ alebo iným organizáciám prístup k týmto systémom len za predpokladu, že tieto inštitúcie, agentúry, orgány EÚ alebo iné organizácie dokážu poskytnúť primeranú záruku, že ich IT systémy sú chránené na úrovni, ktorá je rovnocenná s úrovňou, ktorú zabezpečuje politika Komisie vzťahujúca sa na informačné systémy, ako sa uvádza v rozhodnutí K(2006) 3602, jeho vykonávacích predpisoch a zodpovedajúcich bezpečnostných normách. Komisia tento súlad monitoruje a v prípade závažného nedodržania súladu alebo pretrvávajúceho porušovania je oprávnená zakázať prístup ku CIS.
Článok 11
Forenzná analýza týkajúca sa kybernetickej bezpečnosti
Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť je zodpovedné najmä za vykonávanie forenznej technickej analýzy v spolupráci s príslušnými oddeleniami Komisie na podporu bezpečnostných vyšetrovaní uvedených v článku 13 v súvislosti s činnosťou kontrarozviedky, únikom údajov, kybernetickými útokmi a bezpečnosťou informačných systémov.
Článok 12
Bezpečnostné opatrenia týkajúce sa osôb a predmetov
1. S cieľom zaistiť bezpečnosť v Komisii, predchádzať rizikám a získať nad nimi kontrolu môžu zamestnanci poverení podľa článku 5 prijať v súlade so zásadami stanovenými v článku 3, okrem iného, jedno alebo viacero z týchto bezpečnostných opatrení:
a)
zaistenie bezpečnosti miesta a dôkazov vrátane záznamov o vstupoch a odchodoch a záznamov kamerových systémov v prípade incidentov alebo správania, ktoré môžu viesť k administratívnemu, disciplinárnemu, občianskemu alebo trestnému konaniu;
b)
obmedzené opatrenia týkajúce sa osôb, ktoré predstavujú bezpečnostnú hrozbu, vrátane príkazov osobám, aby opustili objekty Komisie, sprevádzania osôb pri odchode z objektov Komisie, zakázania vstupu osobám do objektov Komisie na určitý čas, ktorý bude vymedzený v súlade s kritériami určenými vo vykonávacích predpisoch;
c)
obmedzené opatrenia týkajúce sa predmetov, ktoré predstavujú bezpečnostnú hrozbu, vrátane odstránenia, zadržania a likvidácie predmetov;
d)
prehľadávanie objektov Komisie vrátane kancelárií, ktoré sa v týchto objektov nachádzajú;
e)
prehľadávanie CIS a vybavenia, telefónnych a telekomunikačných prevádzkových údajov, logovacích súborov, používateľských účtov atď.;
f)
ďalšie osobitné bezpečnostné opatrenia s podobným účinkom s cieľom predchádzať bezpečnostným rizikám a získať nad nimi kontrolu, najmä v kontexte práv Komisie ako prenajímateľa alebo ako zamestnávateľa v súlade s príslušnými vnútroštátnymi právnymi predpismi.
2. Za výnimočných okolností môžu zamestnanci riaditeľstva pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť poverení podľa článku 5 prijať akékoľvek naliehavé nevyhnutné opatrenia, a to v prísnom súlade so zásadami stanovenými v článku 3. Čo najskôr po prijatí uvedených opatrení budú o tom informovať riaditeľa riaditeľstva pre bezpečnosť, ktorý požiada generálneho riaditeľa pre ľudské zdroje a bezpečnosť o príslušné poverenie, ktorým sa potvrdia prijaté opatrenia a povolia akékoľvek ďalšie nevyhnutné kroky, pričom v prípade potreby spolupracujú s príslušnými vnútroštátnymi orgánmi.
3. Bezpečnostné opatrenia podľa tohto článku sa musia zadokumentovať buď v čase ich prijatia, alebo, v prípade bezprostredného rizika alebo krízovej situácie, v primeranom čase po tom, ako boli prijaté. V druhom uvedenom prípade musí dokumentácia takisto obsahovať prvky, z ktorých sa vychádzalo pri posudzovaní existencie bezprostredného rizika alebo krízovej situácie. Dokumentácia môže byť stručná, ale mala by byť vyhotovená takým spôsobom, aby sa osobe, na ktorú sa opatrenie vzťahuje, umožnilo uplatniť si právo na obhajobu a právo na ochranu osobných údajov v súlade s nariadením (ES) č. 45/2001, a aby sa umožnila kontrola zákonnosti daného opatrenia. Žiadne informácie o osobitných bezpečnostných opatreniach určených zamestnancovi nebudú súčasťou jeho osobného spisu.
4. Pri prijímaní bezpečnostných opatrení podľa písmena b) Komisia okrem toho zaručí, aby dotknutá osoba mala možnosť kontaktovať advokáta alebo osobu, ktorej dôveruje, a bola oboznámená s jej právom obrátiť sa na európskeho dozorného úradníka pre ochranu údajov.
Článok 13
Vyšetrovania
1. Bez toho, aby bol dotknutý článok 86 služobného poriadku, príloha IX k nemu a akékoľvek osobitné dojednanie medzi Komisiou a ESVČ, ako napríklad osobitné dojednanie, ktoré 28. mája 2014 podpísalo Generálne riaditeľstvo Európskej komisie pre ľudské zdroje a bezpečnosť s Európskou službou pre vonkajšiu činnosť a ktoré sa týka povinnosti vynaložiť primeranú starostlivosť o zamestnancov Komisie pôsobiacich na delegáciách Únie, bezpečnostné vyšetrovanie sa môže vykonať:
a)
v prípade incidentov ovplyvňujúcich bezpečnosť v Komisii, ako aj v prípade podozrenia zo spáchania trestného činu;
b)
v prípade potenciálnych únikov, nesprávnej manipulácie s citlivými neutajovanými skutočnosťami, utajovanými skutočnosťami EÚ alebo utajovanými skutočnosťami Euratom alebo ich vyzradenia;
c)
v kontexte činností kontrarozviedky a v rámci boja proti terorizmu;
d)
v prípade závažných kybernetických incidentov.
2. Rozhodnutie vykonať bezpečnostné vyšetrovanie prijíma generálny riaditeľ pre ľudské zdroje a bezpečnosť, ktorý je aj príjemcom vyšetrovacej správy.
3. Bezpečnostné vyšetrovanie môžu vykonávať len špecializovaní zamestnanci Generálneho riaditeľstva pre ľudské zdroje a bezpečnosť, riadne poverení podľa článku 5.
4. Poverení zamestnanci uplatňujú svoju právomoc vykonávať bezpečnostné vyšetrovanie nezávisle, ako sa uvádza v poverení, a majú právomoci uvedené v článku 12.
5. Poverení zamestnanci, ktorí majú právomoc vykonávať bezpečnostné vyšetrovanie, môžu zhromažďovať informácie zo všetkých dostupných zdrojov v súvislosti s akýmikoľvek priestupkami alebo trestnými činmi spáchanými v objektoch Komisie, do ktorých boli zapojené osoby uvedené v článku 2 ods. 3 buď ako obete, alebo páchatelia takýchto priestupkov alebo činov.
6. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť v prípade potreby informuje príslušné orgány hostiteľského členského štátu alebo ktoréhokoľvek iného dotknutého členského štátu, a najmä vtedy, ak vyšetrovanie preukázalo, že došlo k spáchaniu trestného činu. V tejto súvislosti môže Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť v prípade potreby poskytnúť podporu orgánom hostiteľského členského štátu alebo ktoréhokoľvek iného dotknutého členského štátu.
7. V prípade závažných kybernetických incidentov Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť úzko spolupracuje s Generálnym riaditeľstvom pre informatiku, ktoré mu poskytne podporu pri všetkých technických záležitostiach. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť po konzultácii s Generálnym riaditeľstvom pre informatiku rozhoduje o tom, či je vhodné informovať príslušné orgány hostiteľskej krajiny alebo ktoréhokoľvek iného dotknutého členského štátu. Na podporu ostatných inštitúcií a agentúr EÚ, ktoré môžu byť incidentom zasiahnuté, sa využije útvar na koordináciu incidentov pôsobiaci v rámci tímu reakcie na núdzové počítačové situácie v európskych inštitúciách, orgánoch a agentúrach.
8. O bezpečnostných vyšetrovaniach sa vedie dokumentácia.
Článok 14
Vymedzenie právomocí v súvislosti s bezpečnostnými vyšetrovaniami a ďalšími druhmi prešetrovania
1. Ak riaditeľstvo pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť vykonáva bezpečnostné vyšetrovanie, ako sa uvádza v článku 13, a ak toto vyšetrovanie patrí do právomoci Európskeho úradu pre boj proti podvodom (OLAF) alebo Vyšetrovacieho a disciplinárneho úradu Komisie (IDOC), riaditeľstvo pre bezpečnosť sa s týmito orgánmi bezodkladne spojí s cieľom neohroziť neskoršie kroky úradu OLAF alebo IDOC. Riaditeľstvo pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť v prípade potreby vyzve úrad OLAF alebo IDOC, aby sa do prešetrovania zapojili.
2. Bezpečnostné vyšetrovanie uvedené v článku 13 sa vykoná bez toho, aby boli dotknuté právomoci úradu OLAF a IDOC, ako sa stanovuje v predpisoch upravujúcich činnosť týchto úradov. Riaditeľstvo pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť môže byť požiadané, aby poskytlo technickú pomoc pri vyšetrovaní, ktoré začne úrad OLAF alebo IDOC.
3. Riaditeľstvo pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť môže byť požiadané, aby pomohlo zamestnancom úradu OLAF po ich príchode do objektov Komisie v záujme uľahčenia ich pracovných úloh v súlade s článkom 3 ods. 5 a článkom 4 ods. 4 nariadenia Európskeho parlamentu a Rady (EÚ, Euratom) č. 883/2013 (13). Riaditeľstvo pre bezpečnosť informuje o takýchto žiadostiach o pomoc generálneho tajomníka a generálneho riaditeľa Generálneho riaditeľstva pre ľudské zdroje a bezpečnosť, alebo, ak sa takéto vyšetrovanie vykonáva v objektoch Komisie, kde pracujú jej členovia alebo generálny tajomník, predsedu Komisie a komisára zodpovedného za ľudské zdroje.
4. Bez toho, aby bol dotknutý článok 22 písm. a) služobného poriadku, ak daný prípad môže patriť do právomoci riaditeľstva pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť, ako aj do právomoci úradu IDOC, riaditeľstvo pre bezpečnosť pri podávaní hlásenia generálnemu riaditeľovi pre ľudské zdroje v súlade s článkom 13 v čo najskoršej možnej fáze informuje o tom, či existujú dôvody, na základe ktorých by sa mal záležitosti ujať úrad IDOC. Za moment, kedy táto fáza nastane, sa bude považovať skončenie bezprostrednej bezpečnostnej hrozby. O záležitosti rozhodne generálny riaditeľ pre ľudské zdroje a bezpečnosť.
5. Ak daný prípad môže patriť do právomoci riaditeľstva pre bezpečnosť na Generálnom riaditeľstve pre ľudské zdroje a bezpečnosť, ako aj do právomoci úradu OLAF, riaditeľstvo pre bezpečnosť bezodkladne podá hlásenie generálnemu riaditeľovi pre ľudské zdroje a bezpečnosť a v čo najskoršej možnej fáze o tom informuje generálneho riaditeľa úradu OLAF. Za moment, kedy táto fáza nastane, sa bude považovať skončenie bezprostrednej bezpečnostnej hrozby.
Článok 15
Bezpečnostné inšpekcie
1. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť vykonáva bezpečnostné inšpekcie s cieľom overiť, či útvary Komisie a osoby dodržiavajú toto rozhodnutie a jeho vykonávacie predpisy, a vypracovať odporúčania, ak to bude považovať za potrebné.
2. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť v prípade potreby vykonáva bezpečnostné inšpekcie, bezpečnostné monitorovanie alebo hodnotiace návštevy s cieľom overiť, či bezpečnosť zamestnancov, majetku a informácií Komisie, za ktoré zodpovedajú ostatné inštitúcie, agentúry alebo orgány Únie, členské štáty, tretie krajiny alebo medzinárodné organizácie, je náležite chránená v súlade s bezpečnostnými pravidlami, predpismi a normami, ktoré sú prinajmenšom rovnocenné s pravidlami, predpismi a normami Komisie. V prípade potreby a v duchu dobrej spolupráce medzi správnymi orgánmi zahŕňajú tieto bezpečnostné inšpekcie aj inšpekcie vykonané v súvislosti s výmenou utajovaných skutočností s ostatnými inštitúciami, orgánmi a agentúrami Únie, členskými štátmi, tretími krajinami alebo medzinárodnými organizáciami.
3. Tento článok sa uplatňuje mutatis mutandis na zamestnancov Komisie pôsobiacich na delegáciách Únie bez toho, aby bolo dotknuté akékoľvek osobitné dojednanie medzi Komisiou a ESVČ, ako napríklad osobitné dojednanie, ktoré 28. mája 2014 podpísalo Generálne riaditeľstvo Európskej komisie pre ľudské zdroje a bezpečnosť s Európskou službou pre vonkajšiu činnosť a ktoré sa týka povinnosti vynaložiť primeranú starostlivosť o zamestnancov Komisie pôsobiacich na delegáciách Únie.
Článok 16
Stavy pohotovosti a riadenie krízových situácií
1. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť je v očakávaní hrozieb a incidentov ovplyvňujúcich bezpečnosť v Komisii alebo v reakcii na nich zodpovedné za zavedenie vhodných opatrení pre prípad stavu pohotovosti, ako aj opatrení potrebných na riadenie krízových situácií.
2. Opatrenia pre prípad stavu pohotovosti uvedené v odseku 1 musia byť úmerné úrovni bezpečnostnej hrozby. Stupne pohotovosti sa stanovia v úzkej spolupráci s príslušnými útvarmi ostatných inštitúcií, agentúr a orgánov Únie a s členským štátom alebo členskými štátmi, v ktorých sa nachádzajú objekty Komisie.
3. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť je kontaktným bodom pre stavy pohotovosti a riadenie krízových situácií.
KAPITOLA 4
ORGANIZÁCIA
Článok 17
Všeobecné povinnosti útvarov Komisie
1. Povinnosti Komisie uvedené v tomto rozhodnutí plní Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť pod vedením a zodpovednosťou člena Komisie zodpovedného za bezpečnosť.
2. Osobitné dojednania týkajúce sa kybernetickej bezpečnosti sú definované v rozhodnutí K(2006) 3602.
3. Zodpovednosť za vykonávanie tohto rozhodnutia a jeho vykonávacích predpisov a za jeho každodenné dodržiavanie sa môže delegovať na iné oddelenia Komisie vždy, keď decentralizované zaisťovanie bezpečnosti ponúka výrazné úspory z hľadiska účinnosti, využívania zdrojov alebo časové úspory, napríklad vzhľadom na geografickú polohu dotknutých útvarov.
4. Ak sa uplatňuje odsek 3, Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť a v prípade potreby generálny riaditeľ pre informatiku uzavrú dohody s jednotlivými oddeleniami Komisie, v ktorých jasne definujú úlohy a zodpovednosť za vykonávanie a monitorovanie bezpečnostných politík.
Článok 18
Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť
1. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť je zodpovedné najmä za:
1.
vypracovanie bezpečnostnej politiky Komisie, vykonávacích predpisov a bezpečnostných oznámení;
2.
zhromažďovanie informácií s cieľom posúdiť bezpečnostné hrozby a riziká a všetky otázky, ktoré môžu mať vplyv na bezpečnosť v Komisii;
3.
vykonávanie protielektronického sledovania a ochrany vo všetkých pracoviskách Komisie pri náležitom zohľadnení posúdenia hrozieb a dôkazov o neoprávnených činnostiach proti záujmom Komisie;
4.
poskytovanie nepretržitej pohotovostnej služby pre útvary a zamestnancov Komisie pre prípad, že sa vyskytne akákoľvek otázka súvisiaca s ochranou alebo bezpečnosťou;
5.
vykonávanie bezpečnostných opatrení zameraných na zmiernenie bezpečnostného rizika, ako aj rozvoj a udržiavanie vhodných CIS určených na plnenie jeho prevádzkových potrieb, najmä v oblasti kontroly fyzického prístupu, správy bezpečnostných povolení a manipulácie s citlivými a utajovanými skutočnosťami EÚ;
6.
zvyšovanie informovanosti, organizovanie cvičení a nácvikov a poskytovanie odbornej prípravy a poradenstva vo všetkých otázkach súvisiacich s bezpečnosťou v Komisii s cieľom podporiť kultúru bezpečnosti a vytvoriť skupinu zamestnancov náležite zaškolených v oblasti bezpečnosti.
2. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť bez toho, aby boli dotknuté kompetencie a povinnosti ostatných útvarov Komisie, zabezpečí externú spoluprácu:
1.
s bezpečnostnými oddeleniami ostatných inštitúcií, agentúr a orgánov Únie v otázkach týkajúcich sa bezpečnosti osôb, majetku a informácií v Komisii;
2.
s bezpečnostnými útvarmi, spravodajskými službami a útvarmi na posudzovanie hrozieb vrátane národných bezpečnostných orgánov členských štátov, tretích krajín a medzinárodných organizácií a subjektov o otázkach, ktoré majú vplyv na bezpečnosť osôb, majetku a informácií v Komisii;
3.
s policajnými zložkami a inými záchrannými službami v prípade všetkých bežných a núdzových záležitostí ovplyvňujúcich bezpečnosť Komisie;
4.
s bezpečnostnými orgánmi ostatných inštitúcií, agentúr a orgánov Únie, členských štátov a tretích krajín v oblasti reakcie na kybernetické útoky, ktoré by mohli mať vplyv na bezpečnosť v Komisii;
5.
v súvislosti s prijímaním, posudzovaním a šírením spravodajských informácií o teroristických hrozbách a špionážnej činnosti, ktoré ovplyvňujú bezpečnosť v Komisii;
6.
v súvislosti s otázkami, ktoré sa týkajú utajovaných skutočností, ako sa osobitne uvádza v rozhodnutí Komisie (EÚ, Euratom) 2015/444 (14).
3. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť je zodpovedné za bezpečný prenos informácií podľa tohto článku vrátane prenosu osobných údajov.
Článok 19
Skupina bezpečnostných expertov Komisie
Zriadi sa skupina bezpečnostných expertov Komisie poverená poskytovaním poradenstva Komisii, ak to bude nevyhnutné, o otázkach týkajúcich sa politiky vnútornej bezpečnosti a najmä o ochrane utajovaných skutočností EÚ.
Článok 20
Miestni bezpečnostní úradníci
1. Každé oddelenie Komisie alebo kabinet vymenuje miestneho bezpečnostného úradníka, ktorý bude vystupovať ako hlavná kontaktná osoba medzi daným útvarom a Generálnym riaditeľstvom pre ľudské zdroje a bezpečnosť vo všetkých záležitostiach týkajúcich sa bezpečnosti v Komisii. V prípade potreby možno vymenovať jedného alebo viacerých zástupcov miestneho bezpečnostného úradníka. Miestny bezpečnostný úradník bude buď úradníkom, alebo dočasným zamestnancom.
2. Ako hlavná kontaktná osoba v oblasti bezpečnosti v rámci svojho oddelenia Komisie alebo kabinetu podáva miestny bezpečnostný úradník v pravidelných intervaloch správu Generálnemu riaditeľstvu pre ľudské zdroje a bezpečnosť a svojim nadriadeným pracovníkom o bezpečnostných otázkach, ktoré sa týkajú jeho oddelenia Komisie, a bezodkladne aj o všetkých bezpečnostných incidentoch vrátane tých, pri ktorých mohli byť vyzradené utajované skutočnosti EÚ alebo citlivé neutajované skutočnosti.
3. V záležitostiach týkajúcich sa bezpečnosti komunikačných a informačných systémov spolupracuje miestny bezpečnostný úradník s miestnym úradníkom informačnej bezpečnosti svojho oddelenia Komisie, ktorého úlohy a zodpovednosť sú stanovené v rozhodnutí K(2006) 3602.
4. Miestny bezpečnostný úradník prispieva k bezpečnostným školeniam a aktivitám na zvyšovanie povedomia zameraným na osobitné potreby zamestnancov, dodávateľov a ostatných osôb, ktoré pracujú pod vedením jeho oddelenia Komisie.
5. Miestnemu bezpečnostnému úradníkovi môžu byť na žiadosť Generálneho riaditeľstva pre ľudské zdroje a bezpečnosť zverené osobitné úlohy v prípade závažného alebo bezprostredného bezpečnostného rizika alebo v prípade núdzovej situácie. Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť informuje o týchto osobitných úlohách generálneho riaditeľa alebo riaditeľa ľudských zdrojov na miestnom generálnom riaditeľstve, kde miestny bezpečnostný úradník pôsobí.
6. Povinnosti miestneho bezpečnostného úradníka nemajú vplyv na úlohy ani povinnosti zverené miestnym úradníkom informačnej bezpečnosti, technikom bezpečnosti a zdravia pri práci, kontrolným úradníkom registra alebo akejkoľvek inej funkcii súvisiacej s povinnosťami v oblasti bezpečnosti alebo ochrany. Miestny bezpečnostný úradník s nimi spolupracuje s cieľom zabezpečiť jednotný a konzistentný prístup k bezpečnosti a účinný tok informácií o otázkach súvisiacich s bezpečnosťou v Komisii.
7. Miestny bezpečnostný úradník má priamy prístup k svojmu generálnemu riaditeľovi alebo vedúcemu útvaru, pričom zároveň informuje svojich priamych nadriadených pracovníkov. Musí mať bezpečnostné povolenie na prístup k utajovaným skutočnostiam EÚ aspoň po stupeň SECRET UE/EU SECRET.
8. S cieľom podporovať výmenu informácií a najlepších postupov organizuje Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť aspoň dvakrát ročne konferenciu miestnych bezpečnostných úradníkov. Účasť miestnych bezpečnostných úradníkov na týchto konferenciách je povinná.
KAPITOLA 5
VYKONÁVANIE
Článok 21
Vykonávacie predpisy a bezpečnostné oznámenia
1. Ak to bude potrebné, prijatie vykonávacích predpisov k tomuto rozhodnutiu bude podliehať osobitnému rozhodnutiu o poverení zo strany Komisie v prospech člena Komisie zodpovedného za otázky bezpečnosti, v plnom súlade s interným rokovacím poriadkom.
2. Po získaní poverenia na základe uvedeného rozhodnutia Komisie môže člen Komisie zodpovedný za otázky bezpečnosti vypracovať bezpečnostné oznámenia obsahujúce bezpečnostné usmernenia a najlepšie postupy v rámci rozsahu pôsobnosti tohto rozhodnutia a jeho vykonávacích predpisov.
3. Komisia môže delegovať úlohy uvedené v prvom a druhom odseku tohto článku na generálneho riaditeľa pre ľudské zdroje a bezpečnosť prostredníctvom samostatného rozhodnutia o delegovaní, v plnom súlade so svojím rokovacím poriadkom.
KAPITOLA 6
RÔZNE A ZÁVEREČNÉ USTANOVENIA
Článok 22
Spracovávanie osobných údajov
1. Komisia spracováva osobné údaje potrebné na vykonávanie tohto rozhodnutia v súlade s nariadením (ES) č. 45/2001.
2. Bez ohľadu na opatrenia, ktoré už boli zavedené v čase prijatia tohto rozhodnutia a oznámené európskemu dozornému úradníkovi pre ochranu údajov (15), na každé opatrenie podľa tohto rozhodnutia týkajúce sa spracovávania osobných údajov (napr. týkajúce sa záznamov o vstupoch a odchodoch, záznamov kamerových systémov, záznamov telefonických hovorov prichádzajúcich do službukonajúceho pracoviska alebo operačných stredísk a podobných údajov), ktoré sa vyžaduje z bezpečnostných dôvodov alebo v rámci reakcie na krízu, sa vzťahujú vykonávacie predpisy v súlade s článkom 21, ktoré stanovujú náležité záruky pre dotknuté osoby.
3. Generálny riaditeľ Generálneho riaditeľstva pre ľudské zdroje a bezpečnosť je zodpovedný za bezpečnosť akéhokoľvek spracovania osobných údajov vykonaného v kontexte tohto rozhodnutia.
4. Uvedené vykonávacie predpisy a postupy sa prijmú po porade s úradníkom pre ochranu údajov a európskym dozorným úradníkom pre ochranu údajov v súlade s nariadením (ES) č. 45/2001.
Článok 23
Transparentnosť
Toto rozhodnutie a jeho vykonávacie predpisy sa oznámia zamestnancom Komisie, ako aj všetkým osobám, na ktoré sa vzťahuje.
Článok 24
Zrušenie predchádzajúcich rozhodnutí
Rozhodnutie K(94) 2129 sa zrušuje.
Článok 25
Nadobudnutie účinnosti
Toto rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie.
V Bruseli 13. marca 2015