ROZHODNUTÍ RADY
ze dne 23. září 2013
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2013/488/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada, Komise a Evropská služba pro vnější činnosti (ESVČ) se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, instituce nebo jiné subjekty Unie případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Rada by měla stanovit vhodný rámec pro případné sdílení utajovaných informací EU v držení Rady s dalšími orgány, institucemi nebo jinými subjekty Unie, a to v souladu s tímto rozhodnutím a platnými interinstitucionálními ujednáními.
(7)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU by měly v rámci své vnitřní organizace uplatňovat instituce a agentury Unie zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii (dále jen „Smlouva o EU“), Europol a Eurojust, je-li tak stanoveno v aktu, jímž jsou zřízeny.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měla být uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky, je-li tak stanoveno v aktu Rady, jímž jsou tyto operace zřízeny.
(9)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měli uplatňovat zvláštní zástupci EU a členové jejich týmů, je-li tak stanoveno v příslušném aktu Rady.
(10)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(11)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie.
(12)
Aby bylo uplatňování bezpečnostních pravidel na ochranu utajovaných informací EU zajištěno včas se zřetelem k přistoupení Chorvatska k Evropské unii, mělo by toto rozhodnutí vstoupit v platnost dnem vyhlášení,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a)
TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b)
SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c)
CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d)
RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozbě škodlivých nebo trestných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečnostní politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti vyžadují, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším nebo s nimi nakládaly, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Tyto osoby musí obdržet od orgánu generálního sekretariátu Rady oprávněného ke jmenování oprávnění pro přístup k utajovaným informacím EU až do konkrétního stupně utajení a do konkrétního data.
4. Pracovníci členských států uvedení v čl. 15 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací a odhalovat takové ohrožení nebo ztrátu informací. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, snížení nebo zrušení stupně utajení, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v přílohách III a IV.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů představuje jistotu, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny bezpečnostními opatřeními proti ohrožení dotyčných informací kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“). Tato bezpečnostní opatření jsou přiměřená riziku zneužití a stupni utajení daných informací.
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady (dále jen „generální tajemník“) jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Aniž je dotčeno písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 13 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v příslušném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Sdílení utajovaných informací EU
1. Rada stanoví podmínky, za nichž může sdílet utajované informace EU, které má ve svém držení, s dalšími institucemi, orgány nebo jinými subjekty Unie. Za tímto účelem je možné zavést vhodný rámec, mimo jiné i uzavřením interinstitucionálních dohod či jiných ujednání, pokud je to k uvedenému účelu nezbytné.
2. Jakýkoli takový rámec zajistí, aby utajovaným informacím EU byla poskytnuta ochrana odpovídající jejich stupni utajení a v souladu se základními zásadami a minimálními standardy, které musí být rovnocenné zásadám a standardům stanoveným v tomto rozhodnutí.
Článek 13
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Unie uzavře se třetími státy nebo mezinárodními organizacemi dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může jménem generálního sekretariátu Rady uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro Unii. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem ověření účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 14
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme vnitrostátní bezpečnostní orgán nebo jiný příslušný orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů Unie a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 15
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání bude v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 16
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 13 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytnutí utajovaných informací EU, jejichž původcem nebo držitelem je Rada, třetím státům a mezinárodním organizacím nebo rozhodnutí o poskytnutí takového souhlasu, a to v souladu se zásadou souhlasu původce;
c)
roční program hodnotících návštěv doporučený Bezpečnostním výborem, zahrnující hodnotící návštěvy služeb a prostor členských států, institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, a hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
vydává úředníkům a ostatním zaměstnancům generálního sekretariátu Rady, jakož i vyslaným národním odborníkům oprávnění k přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším v souladu s čl. 7 odst. 3;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné návštěvy za účelem hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v institucích, agenturách a útvarech Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelná hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
zajišťuje v případě potřeby koordinaci bezpečnostních opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením, a
i)
uzavírá správní ujednání podle čl. 13 odst. 2 písm. b).
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 15 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán, jak je uvedeno v dodatku C, odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována či hodnocena,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí, a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané zejména ze strany institucí, agentur a útvarů a operací Unie zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i ze strany zvláštních zástupců EU a členů jejich týmů, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 17
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a ESVČ. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 18
Nahrazení předchozích rozhodnutí
1. Tímto rozhodnutím se zrušuje a nahrazuje rozhodnutí Rady 2011/292/EU (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES (3) a rozhodnutí 2011/292/EU jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 19
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 23. září 2013.
SKLEP SVETA
z dne 23. septembra 2013
o varnostnih predpisih za varovanje tajnih podatkov EU
(2013/488/EU)
SVET EVROPSKE UNIJE JE -
ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 240(3) Pogodbe,
ob upoštevanju Sklepa Sveta 2009/937/EU z dne 1. decembra 2009 o sprejetju poslovnika Sveta (1) in zlasti člena 24 Sklepa,
ob upoštevanju naslednjega:
(1)
Za razvoj dejavnosti Sveta na vseh področjih, na katerih je potrebno delo s tajnimi podatki, je primerno vzpostaviti celovit varnostni sistem za varovanje tajnih podatkov, ki bo vključeval Svet, njegov generalni sekretariat in države članice.
(2)
Ta sklep bi bilo treba uporabljati, ko Svet, njegova pripravljalna telesa in generalni sekretariat Sveta (GSS) delajo s tajnimi podatki EU.
(3)
Države članice bi morale v skladu z nacionalnimi zakoni in predpisi ter v obsegu, ki zagotavlja delovanje Sveta, spoštovati ta sklep, kadar njihovi pristojni organi, osebje ali izvajalci delajo s tajnimi podatki EU, tako da bodo vsi lahko prepričani, da so tajni podatki EU deležni enakovredne stopnje varovanja.
(4)
Svet, Komisija in Evropska služba za zunanje delovanje (ESZD) se zavzemajo za enakovredne standarde varovanja tajnih podatkov EU.
(5)
Svet poudarja, da je treba k načelom, standardom in predpisom za varovanje tajnih podatkov, potrebnim za zaščito interesov Unije in njenih držav članic, ustrezno priključiti Evropski parlament in druge institucije, organe, urade ali agencije Unije.
(6)
Svet bi moral določiti ustrezen okvir za posredovanje tajnih podatkov EU, ki jih ima Svet, drugim institucijam, organom, uradom ali agencijam Unije, kakor je to ustrezno, v skladu s tem sklepom in veljavnimi medinstitucionalnimi dogovori.
(7)
Organi in agencije Unije, ki so bili ustanovljeni v skladu s poglavjem 2 naslova V Pogodbe o Evropski uniji (PEU), Europol in Eurojust bi morali v okviru svoje notranje organiziranosti uporabljati temeljna načela in minimalne standarde iz tega sklepa za varovanje tajnih podatkov EU, kjer je tako določeno v njihovih ustanovnih aktih.
(8)
V operacijah kriznega upravljanja, ki so bile vzpostavljene v skladu s poglavjem 2 naslova V PEU, bi se morali uporabljati varnostni predpisi, ki jih je sprejel Svet za varovanje tajnih podatkov EU, kjer je tako določeno v aktu Sveta, ki jih ustanavlja.
(9)
Posebni predstavniki EU in člani njihovega osebja bi morali uporabljati varnostne predpise, ki jih je za varovanje tajnih podatkov EU sprejel Svet, kjer je to določeno v zadevnem aktu Sveta.
(10)
Ta sklep ne posega v člena 15 in 16 Pogodbe o delovanju Evropske unije (PDEU) in njune izvedbene instrumente.
(11)
Ta sklep ne posega v veljavne postopke v državah članicah glede obveščanja njihovih nacionalnih parlamentov o dejavnostih Unije.
(12)
Da bi se zaradi pristopa Republike Hrvaške k Evropski uniji pravočasno zagotovila uporaba varnostnih predpisov za varovanje tajnih podatkov EU, bi moral ta sklep začeti veljati na dan objave -
SPREJEL NASLEDNJI SKLEP:
Člen 1
Namen, področje uporabe in opredelitev pojmov
1. V tem sklepu so določena temeljna načela in minimalni standardi varovanja tajnih podatkov EU.
2. Ta temeljna načela in minimalni standardi veljajo za Svet in GSS, države članice pa jih morajo spoštovati v skladu z njihovimi nacionalnimi zakoni in predpisi, tako da je vsakemu lahko zajamčeno, da je zagotovljena enakovredna stopnja varovanja tajnih podatkov EU.
3. V tem sklepu se uporabljajo opredelitve pojmov iz Dodatka A.
Člen 2
Opredelitev tajnih podatkov EU, stopenj tajnosti in oznak
1. „Tajni podatek EU“ pomeni vsak podatek ali material z oznako stopnje tajnosti EU, katerega nepooblaščeno razkritje bi lahko v različni meri škodovalo interesom Evropske unije ali eni ali več državam članicam.
2. Tajni podatki EU imajo eno izmed naslednjih stopenj tajnosti:
(a)
TRÈS SECRET UE/EU TOP SECRET: podatki in material, katerih nepooblaščeno razkritje bi lahko imelo izjemno težke posledice za vitalne interese Evropske unije ali ene ali več držav članic;
(b)
SECRET UE/EU SECRET: podatki in material, katerih nepooblaščeno razkritje bi lahko resno škodovalo vitalnim interesom Evropske unije ali ene ali več držav članic;
(c)
CONFIDENTIEL UE/EU CONFIDENTIAL: podatki in material, katerih nepooblaščeno razkritje bi lahko škodovalo vitalnim interesom Evropske unije ali ene ali več držav članic;
(d)
RESTREINT UE/EU RESTRICTED: podatki in material, katerih nepooblaščeno razkritje bi lahko bilo škodljivo za interese Evropske unije ali ene ali več držav članic.
3. Tajni podatki EU so označeni s stopnjo tajnosti v skladu z odstavkom 2. Iz njihovih oznak je poleg tega lahko razvidno področje dejavnosti, na katero se nanašajo, organ izvora, omejitev pri razpošiljanju, omejitev uporabe ali možnosti posredovanja.
Člen 3
Sistem določanja stopenj tajnosti
1. Pristojni organi zagotovijo, da so za tajne podatke EU določene ustrezne stopnje tajnosti, da je jasno razvidno, da so podatki tajni, in da njihovo stopnjo tajnosti obdržijo le, dokler je to potrebno.
2. Brez predhodnega pisnega soglasja organa izvora se stopnja tajnosti tajnih podatkov EU ne zniža ali prekliče, niti se ne spremenijo ali odstranijo oznake iz člena 2(3).
3. Svet odobri varnostno politiko o nastajanju tajnih podatkov EU, ki vključuje praktični vodič po stopnjah tajnosti.
Člen 4
Varovanje tajnih podatkov
1. Tajni podatki EU se varujejo v skladu s tem sklepom.
2. Imetnik katerega koli elementa tajnega podatka EU je odgovoren za njegovo varovanje v skladu s tem sklepom.
3. Če države članice v strukture ali omrežja Unije vnesejo tajne podatke z oznako nacionalne stopnje tajnosti, Svet in GSS te podatke varujeta v skladu z zahtevami, ki se uporabljajo za tajne podatke EU enakovredne stopnje, kakor je določeno v preglednici enakovrednih stopenj tajnosti v Dodatku B.
4. Za zbirke tajnih podatkov EU je morda upravičena raven varovanja, ki ustreza višji stopnji tajnosti, kot je stopnja za njihove posamezne sestavne dele.
Člen 5
Obvladovanje varnostnega tveganja
1. Za obvladovanje tveganja, povezanega s tajnimi podatki EU, je predviden postopek. Cilj tega postopka je določiti znana varnostna tveganja, določiti varnostne ukrepe za zmanjšanje takih tveganj na sprejemljivo raven v skladu s temeljnimi načeli in minimalnimi standardi iz tega sklepa ter uporabljati te ukrepe ob upoštevanju koncepta globinske obrambe, kakor je opredeljena v Dodatku A. Učinkovitost takih ukrepov se nenehno ocenjuje.
2. Varnostni ukrepi za varovanje tajnih podatkov EU v njihovem življenjskem ciklu so sorazmerni zlasti z njihovo stopnjo tajnosti, obliko in obsegom podatkov ali materiala, krajem in strukturo objektov, kjer se hranijo tajni podatki EU, ter lokalno oceno nevarnosti zlonamernih in/ali kriminalnih dejavnosti, vključno z vohunstvom, sabotažo in terorizmom.
3. V načrtih za izredne razmere je upoštevana potreba po varovanju tajnih podatkov EU v izrednih razmerah, da se prepreči nepooblaščen dostop, razkritje ali izguba celovitosti podatkov ali razpoložljivost.
4. V načrte za zagotovitev neprekinjenega poslovanja so vključeni preventivni in obnovitveni ukrepi, tako da so posledice velikih napak ali incidentov pri delu s tajnimi podatki EU in njihovi hrambi čim manjše.
Člen 6
Izvajanje tega sklepa
1. Po potrebi Svet na priporočilo Varnostnega odbora odobri varnostne politike, ki določajo ukrepe za izvajanje tega sklepa.
2. Varnostni odbor se lahko na svoji ravni dogovori o varnostnih smernicah, ki bodo dopolnjevale ali podpirale ta sklep in katere koli varnostne politike, ki jih odobri Svet.
Člen 7
Varnost osebja
1. Osebna varnost je izvajanje ukrepov, s katerimi se zagotovi, da imajo dostop do tajnih podatkov EU samo posamezniki, ki:
-
imajo potrebo po seznanitvi,
-
so bili po potrebi varnostno preverjeni na ustrezni stopnji ter
-
so bili poučeni o svoji odgovornosti.
2. Namen postopkov varnostnega preverjanja osebja je ugotoviti, ali je posameznika ob upoštevanju njegove lojalnosti, vrednosti zaupanja in zanesljivosti mogoče pooblastiti za dostop do tajnih podatkov EU.
3. Vsi posamezniki v GSS, ki morajo zaradi svojih dolžnosti imeti dostop do tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, ali se od njih zahteva delo s temi podatki, so varnostno preverjeni na ustrezni stopnji, preden se jim odobri dostop do takih tajnih podatkov EU. Te posameznike mora organ za imenovanje pooblastiti za dostop do tajnih podatkov EU do določene stopnje in do določenega datuma.
4. Osebje držav članic iz člena 15(3), ki mora zaradi svojih dolžnosti morda imeti dostop do tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, je varnostno preverjeno na ustrezni stopnji ali drugače pravilno pooblaščeno zaradi svoje funkcije v skladu z nacionalnimi zakoni in predpisi, preden se mu odobri dostop do takih tajnih podatkov EU.
5. Vse posameznike se pouči o njihovi odgovornosti za varovanje tajnih podatkov EU v skladu s tem sklepom ter to tudi potrdijo, preden se jim odobri dostop do tajnih podatkov EU ter nato v rednih presledkih.
6. Določbe za izvajanje tega člena so navedene v Prilogi I.
Člen 8
Fizična varnost
1. Fizična varnost je uporaba fizičnih in tehničnih zaščitnih ukrepov za preprečitev nepooblaščenega dostopa do tajnih podatkov EU.
2. Namen ukrepov fizične varnosti je preprečiti nedovoljen ali nasilen vstop vsiljivcem, odvrniti, ovirati in odkriti nedovoljena dejanja ter omogočiti ločevanje osebja pri dostopu do tajnih podatkov EU glede na potrebo po seznanitvi. Takšni ukrepi se določijo na osnovi postopka obvladovanja tveganja.
3. Fizična varnost se uvede v vseh prostorih, stavbah, pisarnah, sobah in drugih območjih, v katerih se dela s tajnimi podatki EU ali v katerih se jih shranjuje, vključno z območji, kjer so nameščeni komunikacijski in informacijski sistemi, kakor so opredeljeni v členu 10(2).
4. Območja, na katerih se hranijo tajni podatki EU stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, so določena kot varovana območja v skladu s Prilogo II, odobri pa jih pristojni varnostni organ.
5. Za varovanje tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje se uporablja le odobrena oprema ali naprave.
6. Določbe za izvajanje tega člena so v Prilogi II.
Člen 9
Obravnavanje tajnih podatkov
1. Obravnavanje tajnih podatkov je uporaba upravnih ukrepov za nadzor nad tajnimi podatki EU v njihovem življenjskem ciklu, ki dopolnjujejo ukrepe iz členov 7, 8 in 10 ter tako prispevajo k odvračanju in odkrivanju namernega in naključnega nepooblaščenega razkritja ali izgube takih podatkov. Taki ukrepi se nanašajo predvsem na nastajanje, vpisovanje, kopiranje, prevajanje, znižanje stopnje tajnosti, preklic stopenj tajnosti, prenašanje in uničenje tajnih podatkov EU.
2. Podatki stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali višje se iz varnostnih razlogov vpišejo pred razpošiljanjem in ob prejemu. Pristojni organi GSS in držav članic v ta namen vzpostavijo sistem registrov. Podatki stopnje tajnosti TRÈS SECRET UE/EU TOP SECRET se vpišejo v za to namenjenih registrih.
3. Pristojni varnostni organ redno pregleduje službe in prostore, v katerih poteka delo s tajnimi podatki EU ali v katerih se ti hranijo.
4. Tajni podatki EU se med službami in prostori zunaj fizično zaščitenih območij prenašajo:
(a)
praviloma se tajni podatki EU pošiljajo z elektronskimi sredstvi, ki so zaščiteni s šifrirnimi izdelki, odobrenimi v skladu s členom 10(6);
(b)
če se sredstva iz točke (a) ne uporabijo, se tajni podatki EU prenašajo:
(i)
na elektronskih nosilcih (tj. ključi USB, zgoščenke, trdi diski), ki so zaščiteni s šifrirnimi izdelki, odobrenimi v skladu s členom 10(6), ali
(ii)
v vseh drugih primerih, kakor določi pristojni varnostni organ v skladu z ustreznimi zaščitnimi ukrepi iz Priloge III.
5. Določbe za izvajanje tega člena so navedene v prilogah III in IV.
Člen 10
Zaščita tajnih podatkov EU, s katerimi poteka delo v komunikacijskih in informacijskih sistemih
1. Z zagotavljanjem informacijske varnosti (IA) v komunikacijskih in informacijskih sistemih se zagotovi, da bodo taki sistemi podatke v njih zaščitili, in da bodo delovali tako, kot morajo, kadar morajo, pod nadzorom zakonitih uporabnikov. Pri učinkovitem zagotavljanju varnosti podatkov se zagotovi ustrezna stopnja tajnosti, celovitost, razpoložljivost, nezatajljivost in avtentičnost. Zagotavljanje informacijske varnosti temelji na postopku obvladovanja tveganja.
2. „Komunikacijski in informacijski sistem“ pomeni kakršen koli sistem, ki omogoča delo s podatki v elektronski obliki. Komunikacijski in informacijski sistem zajema vsa sredstva, potrebna za njegovo delovanje, vključno z infrastrukturo, organizacijo, osebjem in informacijskimi viri. Ta sklep se uporablja za komunikacijske in informacijske sisteme (KIS), v katerih poteka delo s tajnimi podatki EU.
3. V komunikacijskih in informacijskih sistemih delo s tajnimi podatki EU poteka v skladu z načelom zagotavljanja informacijske varnosti.
4. Za vse komunikacijske in informacijske sisteme se opravi postopek akreditacije. Namen akreditacije je pridobiti zagotovilo, da so bili izvedeni vsi ustrezni varnostni ukrepi in da je bila dosežena zadostna stopnja varovanja tajnih podatkov EU ter komunikacijskih in informacijskih sistemov v skladu s tem sklepom. V izjavi o akreditaciji so določeni najvišja stopnja tajnosti podatkov, s katerimi se lahko dela v komunikacijskih in informacijskih sistemih, in ustrezni pogoji.
5. Izvajajo se varnostni ukrepi za zaščito komunikacijskih in informacijskih sistemov, v okviru katerih poteka delo s podatki stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL in višje, tako da taki podatki ne morejo biti nepooblaščeno razkriti zaradi nenamernega elektromagnetnega oddajanja (v nadaljnjem besedilu: varnostni ukrepi TEMPEST). Takšni varnostni ukrepi so sorazmerni s tveganjem zlorabe in stopnje tajnosti podatkov.
6. Kjer se zaščita tajnih podatkov EU zagotavlja s šifrirnimi izdelki, se ti izdelki odobrijo, kot sledi:
(a)
zaupnost podatkov stopnje tajnosti SECRET UE/EU SECRET in višje se zaščiti s šifrirnimi izdelki, ki jih odobri Svet v vlogi organa za odobritev šifrirnih metod in izdelkov na priporočilo Varnostnega odbora;
(b)
zaupnost podatkov stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali RESTREINT UE/EU RESTRICTED se zaščiti s šifrirnimi izdelki, ki jih odobri generalni sekretar Sveta (v nadaljnjem besedilu: generalni sekretar) v vlogi organa za odobritev šifrirnih metod in izdelkov na priporočilo Varnostnega odbora.
Ne glede na točko (b) se lahko zaupnost tajnih podatkov EU stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali RESTREINT UE/EU RESTRICTED v nacionalnih sistemih držav članic zaščiti s šifrirnimi izdelki, ki jih odobri organ države članice za odobritev šifrirnih metod in izdelkov.
7. Med pošiljanjem tajnih podatkov EU z elektronskimi sredstvi se uporabljajo odobreni šifrirni izdelki. Ne glede na to zahtevo se lahko v izrednih razmerah ali specifičnih tehničnih konfiguracijah, določenih v Prilogi IV, uporabijo posebni postopki.
8. Pristojni organi GSS in posameznih držav članic ustanovijo naslednje organe za zagotavljanje informacijske varnosti:
(a)
organ za zagotavljanje informacijske varnosti (IAA);
(b)
organ TEMPEST (TA);
(c)
organ za odobritev šifrirnih metod in izdelkov (CAA);
(d)
organ za razpošiljanje šifrirnega materiala (CDA).
9. Pristojni organi GSS in posameznih držav članic za vsak sistem ustanovijo:
(a)
organ za varnostno akreditacijo (SAA);
(b)
operativni organ za zagotavljanje informacijske varnosti (IA).
10. Določbe za izvajanje tega člena so v Prilogi IV.
Člen 11
Industrijska varnost
1. Industrijska varnost je uporaba ukrepov, s katerimi se zagotovi, da izvajalci ali podizvajalci varujejo tajne podatke EU med pogajanji za sklenitev pogodbe in v življenjskem ciklu pogodb s tajnimi podatki. Take pogodbe ne vključujejo dostopa do podatkov stopnje tajnosti TRÈS SECRET UE/EU TOP SECRET.
2. GSS lahko naloge, ki vključujejo ali imajo za posledico dostop do tajnih podatkov EU ali delo z njimi ali njihovo hrambo, s pogodbo prenese na industrijske ali druge subjekte, registrirane v državi članici ali tretji državi, ki je sklenila sporazum ali dogovor o izvajanju v skladu s točko (a) ali (b) člena 13(2).
3. GSS pri dodeljevanju pogodb s tajnimi podatki industrijskim ali drugim subjektom kot naročnik zagotovi, da so izpolnjeni minimalni standardi industrijske varnosti iz tega sklepa in pogodbe.
4. Nacionalni varnostni organ, imenovani varnostni organ ali kateri koli drug pristojni organ vsake države članice zagotovi, kolikor to omogočajo nacionalni zakoni in predpisi, da izvajalci ali podizvajalci, registrirani na ozemlju njihove države članice, v pogajanjih za sklenitev pogodbe ali pri izvajanju pogodbe s tajnimi podatki sprejmejo vse ustrezne ukrepe za varovanje tajnih podatkov EU.
5. Nacionalni varnostni organ, imenovani varnostni organ ali kateri koli drug pristojni organ vsake države članice v skladu z nacionalnimi zakoni in predpisi zagotovi, da imajo izvajalci ali podizvajalci, registrirani v posamezni državi članici, ki sodelujejo pri pogodbah ali podizvajalskih pogodbah s tajnimi podatki, zaradi katerih morajo v svojih prostorih imeti dostop do podatkov stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali SECRET UE/EU SECRET, bodisi pri izvajanju takšnih pogodb ali v pogajanjih za njihovo sklenitev, varnostno dovoljenje organizacije za zahtevano stopnjo tajnosti.
6. Posamezni nacionalni varnostni organ, imenovani varnostni organ ali kateri koli drug pristojni varnostni organ odobri dovoljenje za dostop do tajnih podatkov osebju izvajalca ali podizvajalca, ki mora zaradi izvajanja pogodbe s tajnimi podatki imeti dostop do podatkov stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali SECRET UE/EU SECRET, in sicer v skladu z nacionalnimi zakoni in predpisi ter minimalnimi standardi iz Priloge I.
7. Določbe za izvajanje tega člena so v Prilogi V.
Člen 12
Posredovanje tajnih podatkov EU
1. Svet določi pogoje, pod katerimi lahko posreduje tajne podatke EU, ki jih poseduje, drugim institucijam, organom, uradom ali agencijam Unije. V ta namen se lahko vzpostavi ustrezen okvir, vključno s sklenitvijo medinstitucionalnih dogovorov ali drugih ureditev, kjer je to potrebno za ta namen.
2. Vsak tak okvir zagotovi, da so tajni podatki EU ustrezno zavarovani glede na njihovo stopnjo tajnosti in v skladu z osnovnimi načeli in minimalnimi standardi, ki so enakovredni tistim iz tega sklepa.
Člen 13
Izmenjava tajnih podatkov s tretjimi državami in mednarodnimi organizacijami
1. Ko Svet sprejme odločitev o potrebi po izmenjavi tajnih podatkov s tretjo državo ali mednarodno organizacijo, se v ta namen vzpostavi ustrezen okvir.
2. Da bi vzpostavili tak okvir in določili vzajemna pravila za varovanje izmenjanih tajnih podatkov:
(a)
Unija s tretjimi državami ali mednarodnimi organizacijami sklene sporazume o varnostnih postopkih za izmenjavo in varovanje tajnih podatkov (v nadaljnjem besedilu: „sporazumi o varnosti podatkov“); ali
(b)
generalni sekretar lahko v imenu GSS sklene dogovore o izvajanju v skladu z odstavkom 17 Priloge VI, če stopnja tajnosti tajnih podatkov EU, ki bodo posredovani, praviloma ni višja od RESTREINT UE/EU RESTRICTED.
3. Sporazumi o varnosti podatkov ali dogovori o izvajanju iz odstavka 2 vsebujejo določbe, s katerimi se tajnim podatkom EU, ki jih prejmejo tretje države ali mednarodne organizacije, zagotovi varovanje, ustrezno njihovi stopnji tajnosti v skladu z minimalnimi standardi, ki niso manj strogi od standardov iz tega sklepa.
4. Odločitev o razkritju tajnih podatkov EU z izvorom v Svetu tretji državi ali mednarodni organizaciji sprejme Svet za vsak primer posebej glede na naravo in vsebino takih podatkov, potrebo prejemnika po seznanitvi ter velikosti koristi, ki jih bo imela Unija. Če organ izvora tajnih podatkov, ki jih želi posredovati, ni Svet, GSS ta organ izvora najprej zaprosi za pisno soglasje, da sme posredovati tajni podatek. Če organa izvora ni mogoče ugotoviti, Svet prevzame njegovo odgovornost.
5. Organizirajo se ocenjevalni obiski, s katerimi se ugotovi učinkovitost varnostnih ukrepov, ki se v tretji državi ali mednarodni organizaciji uporabljajo za varovanje zagotovljenih ali izmenjanih tajnih podatkov EU.
6. Določbe za izvajanje tega člena so v Prilogi VI.
Člen 14
Kršitve varnosti in nepooblaščeno razkritje tajnih podatkov EU
1. Kršitev varstva tajnosti je posledica posameznikovega dejanja ali opustitve dejanja v nasprotju z varnostnimi pravili iz tega sklepa.
2. Do nepooblaščenega razkritja tajnih podatkov EU pride, če so ti kot posledica kršitve varovanja tajnosti v celoti ali delno razkriti nepooblaščenim osebam.
3. O vseh kršitvah ali domnevnih kršitvah varnosti se nemudoma obvesti pristojni varnostni organ.
4. Če je bilo ugotovljeno ali če obstajajo utemeljeni razlogi za domnevo, da so bili tajni podatki EU nepooblaščeno razkriti ali izgubljeni, nacionalni varnostni organ ali drugi pristojni organ sprejme vse primerne ukrepe v skladu z ustreznimi zakoni in predpisi ter:
(a)
obvesti organ izvora;
(b)
zagotovi, da zadevo preišče osebje, ki ni neposredno povezano s kršitvijo, in ugotovi, kakšna so dejstva;
(c)
oceni morebitno škodo za interese Unije ali držav članic;
(d)
sprejme primerne ukrepe, da se kršitev ne bi ponovila, ter
(e)
o sprejetih ukrepih obvesti ustrezne organe.
5. Zoper vsakega posameznika, ki je odgovoren za kršitev varnostnih pravil iz tega sklepa, se lahko uvede disciplinski postopek v skladu z veljavnimi pravili in predpisi. Zoper vsakega posameznika, ki je odgovoren za nepooblaščeno razkritje ali izgubo tajnih podatkov EU, se lahko uvede disciplinski in/ali pravni postopek v skladu z veljavnimi zakoni, pravili in predpisi.
Člen 15
Odgovornost za izvrševanje
1. Svet sprejme vse ustrezne ukrepe, s katerimi zagotovi vsesplošno dosledno uporabo tega sklepa.
2. Generalni sekretar sprejme vse ustrezne ukrepe, s katerimi zagotovi, da v prostorih, ki jih uporablja Svet, in v GSS uradniki in drugi uslužbenci GSS, osebje, ki je nanj napoteno, in njegovi izvajalci pri delu s tajnimi podatki EU ali kakršnimi koli drugimi tajnimi podatki ali njihovi hrambi uporabljajo ta sklep.
3. Države članice sprejmejo vse ustrezne ukrepe v skladu s svojo nacionalno zakonodajo in predpisi, s katerimi zagotovijo, da pri delu s tajnimi podatki EU in njihovi hrambi ta sklep spoštuje(-jo):
(a)
osebje stalnih predstavništev držav članic pri Evropski uniji in nacionalni delegati, ki se udeležujejo zasedanj Sveta ali njegovih pripravljalnih teles ali pa sodelujejo pri drugih dejavnostih Sveta;
(b)
drugo osebje državnih uprav držav članic, vključno z osebjem, napotenim na te uprave, nameščeno bodisi na ozemlju držav članic ali v tujini;
(c)
druge osebe v državah članicah, ki so zaradi svoje funkcije ustrezno pooblaščene za dostop do tajnih podatkov EU, ter
(d)
izvajalci držav članic na ozemlju držav članic ali v tujini.
Člen 16
Organiziranost varnosti v Svetu
1. Svet v okviru odgovornosti za zagotavljanje vsesplošne dosledne uporabe tega sklepa potrdi:
(a)
sporazume iz člena 13(2)(a);
(b)
sklepe o odobritvi ali soglasju za posredovanje tajnih podatkov EU, ki izvirajo v Svetu ali jih ima Svet, tretjim državam in mednarodnim organizacijam, v skladu z načelom soglasja organa izvora;
(c)
letni program ocenjevalnih obiskov, ki ga priporoči Varnostni odbor, za ocenjevalne obiske služb in prostorov držav članic, organov, agencij in subjektov Unije, ki uporabljajo ta sklep ali njegova načela, ter za ocenjevalne obiske tretjih držav in mednarodnih organizacij, da bi ugotovil, kako učinkoviti so izvedbeni ukrepi za varovanje tajnih podatkov EU; ter
(d)
varnostno politiko, kot je predvideno v členu 6(1).
2. Varnostni organ GSS je generalni sekretar. Generalni sekretar v tej funkciji:
(a)
izvaja in preverja varnostno politiko Sveta;
(b)
z nacionalnimi varnostnimi organi držav članic usklajuje vse varnostne zadeve v zvezi z varovanjem tajnih podatkov, ki se nanašajo na delovanje Sveta;
(c)
uradnikom GSS, drugim uslužbencem in napotenim nacionalnim strokovnjakom podeli pooblastilo za dostop do informacij stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali višje v skladu s členom 7(3);
(d)
po potrebi naroča preiskave dejanskega nepooblaščenega razkritja ali izgube ali suma nepooblaščenega razkritja ali izgube tajnih podatkov, ki jih ima Svet ali z izvorom v Svetu, ter ustrezne varnostne organe prosi za pomoč pri takih preiskavah;
(e)
izvaja redne inšpekcijske preglede varnostne ureditve za varovanje tajnih podatkov v prostorih GSS;
(f)
izvaja redne preglede za oceno varnostne ureditve za varovanje tajnih podatkov EU v organih, agencijah in subjektih Unije, ki uporabljajo ta sklep ali njegova načela;
(g)
skupaj in po dogovoru z zadevnimi nacionalnimi varnostnimi organi izvaja redna ocenjevanja varnostne ureditve za varovanje tajnih podatkov EU v službah in prostorih držav članic;
(h)
zagotovi, da so varnostni ukrepi po potrebi usklajeni s pristojnimi organi držav članic, ki so odgovorni za varovanje tajnih podatkov, in po potrebi tretjimi državami ali mednarodnimi organizacijami, vključno glede vrste nevarnosti, ki ogroža tajne podatke EU, in zaščite pred njimi; ter
(i)
sklepa dogovore o izvajanju iz člena 13(2)(b).
Varnostni urad GSS je generalnemu sekretarju na razpolago in mu pomaga pri teh nalogah.
3. Države članice morajo za izvajanje člena 15(3):
(a)
imenovati nacionalni varnostni organ, ki je naveden v Dodatku C in ki je odgovoren za varnostno ureditev za varovanje tajnih podatkov EU, da:
(i)
se tajni podatki EU, ki jih ima katero koli državno ministrstvo, javni ali zasebni organ ali agencija, doma ali v tujini, varujejo v skladu s tem sklepom;
(ii)
se izvajajo redni inšpekcijski pregledi ali ocenjevanja varnostne ureditve za varovanje tajnih podatkov EU;
(iii)
so vsi posamezniki, zaposleni v državni upravi ali pri izvajalcu, ki se jim lahko odobri dostop do podatkov stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, ustrezno varnostno preverjeni ali so zaradi svoje funkcije za to pravilno pooblaščeni v skladu z nacionalnimi zakoni in predpisi;
(iv)
so po potrebi vzpostavljeni varnostni programi, da se tveganje nepooblaščenega razkritja ali izgube tajnih podatkov EU čim bolj zniža;
(v)
so varnostne zadeve, ki se nanašajo na varovanje tajnih podatkov EU, usklajene z drugimi pristojnimi nacionalnimi organi, tudi s tistimi iz tega sklepa, ter
(vi)
se zagotovi odziv na ustrezne zahteve po varnostnem preverjanju, zlasti katerih koli organov, agencij in subjektov Unije, operacij v okviru poglavja 2 naslova V PEU ter posebnih predstavnikov EU (PPEU) in njihovih ekip, ki uporabljajo ta sklep ali njegova načela;
(b)
zagotoviti, da njihovi pristojni organi preskrbijo podatke ter svetujejo svojim vladam in tako tudi Svetu o vrsti nevarnosti, ki ogroža tajne podatke EU, in načinih zaščite pred njimi.
Člen 17
Varnostni odbor
1. Ustanovi se Varnostni odbor. Preučuje in ocenjuje vse zadeve v zvezi z varnostjo v okviru področja uporabe tega sklepa ter po potrebi za Svet pripravi priporočila.
2. Sestavljen je iz predstavnikov nacionalnih varnostnih organov držav članic, njegovih sestankov pa se udeležuje tudi predstavnik Komisije in ESZD. Predseduje mu generalni sekretar ali njegov namestnik. Sestaja se po navodilih Sveta ali na zahtevo generalnega sekretarja ali enega od nacionalnih varnostnih organov.
Predstavnike organov, agencij in subjektov Unije, ki uporabljajo ta sklep ali njegova načela, se lahko povabi k udeležbi, kadar se razpravlja o vprašanjih, ki jih zadevajo.
3. Varnostni odbor svoje dejavnosti organizira tako, da lahko daje priporočila o posebnih varnostnih področjih. Ustanovi strokovno podobmočje za vprašanja zagotavljanja informacijske varnosti, po potrebi pa tudi druga strokovna podobmočja. Zanje določi naloge in pristojnosti, oni pa mu pošiljajo poročila o svojih dejavnostih, ki po potrebi vključujejo tudi morebitna priporočila za Svet.
Člen 18
Nadomestitev prejšnjega sklepa
1. Ta sklep razveljavi in nadomesti Sklep Sveta 2011/292/EU (2).
2. Varovanje vseh tajnih podatkov EU v skladu s Sklepom Sveta 2001/264/ES (3) in Sklepom 2011/292/EU se nadaljuje v skladu z ustreznimi določbami tega sklepa.
Člen 19
Začetek veljavnosti
Ta sklep začne veljati na dan objave v Uradnem listu Evropske unije.
V Bruslju, 23. septembra 2013