RÅDETS AFGØRELSE
af 23. september 2013
om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer
(2013/488/EU)
RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 240, stk. 3,
under henvisning til Rådets afgørelse 2009/937/EU af 1. december 2009 om vedtagelse af Rådets forretningsorden (1), særlig artikel 24, og
ud fra følgende betragtninger:
(1)
For at udbygge Rådets virksomhed på alle områder, som kræver håndtering af klassificerede informationer, er det hensigtsmæssigt at indføre et overordnet system for sikkerhedsbeskyttelse af klassificerede informationer, der omfatter Rådet, Rådets Generalsekretariat og medlemsstaterne.
(2)
Denne afgørelse bør finde anvendelse, når Rådet, dets forberedende organer og Generalsekretariatet for Rådet (GSR) håndterer EU's klassificerede informationer (EUCI).
(3)
I overensstemmelse med nationale love og bestemmelser og i det omfang, det er nødvendigt for Rådets funktion, bør medlemsstaterne overholde denne afgørelse, når deres kompetente myndigheder, personale eller kontrahenter håndterer EUCI, så de hver især kan være sikre på, at der gælder et ækvivalent beskyttelsesniveau for EUCI.
(4)
Rådet, Kommissionen og Tjenesten for EU's Optræden Udadtil (EU-Udenrigstjenesten) er fast besluttet på at anvende ækvivalente sikkerhedsstandarder for beskyttelse af EUCI.
(5)
Rådet understreger vigtigheden af, at Europa-Parlamentet og andre EU-institutioner, -organer, -kontorer, eller -agenturer, når det er relevant, omfattes af de principper, standarder og regler for sikkerhedsbeskyttelse af klassificerede informationer, der er nødvendige for at beskytte Unionens og dens medlemsstaters interesser.
(6)
Rådet bør fastlægge de passende rammer for udveksling af EUCI i Rådets besiddelse med andre EU-institutioner, -organer, -kontorer, eller -agenturer, når det er relevant, i overensstemmelse med disse regler og gældende interinstitutionelle ordninger.
(7)
EU-organer og -agenturer oprettet i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union (TEU), samt Europol og Eurojust bør i deres interne organisation anvende de grundprincipper og minimumsstandarder, der er fastlagt i denne afgørelse med henblik på sikkerhedsbeskyttelse af EUCI, når dette er fastsat i akten om deres oprettelse.
(8)
Krisestyringsoperationer etableret i henhold til afsnit V, kapitel 2, i TEU og deres personale bør anvende de regler, der er vedtaget af Rådet med henblik på sikkerhedsbeskyttelse af EUCI, når dette er fastsat i rådsakten om deres etablering.
(9)
EU's særlige repræsentanter og medlemmerne af deres stab bør anvende de regler, der er vedtaget af Rådet med henblik på sikkerhedsbeskyttelse af EUCI, når dette er fastsat i den relevante rådsakt.
(10)
Denne afgørelse træffes med forbehold af artikel 15 og 16 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) og retsakter til gennemførelse heraf.
(11)
Denne afgørelse træffes med forbehold af gældende praksis i medlemsstaterne med hensyn til underretning af de nationale parlamenter om Unionens virksomhed.
(12)
For at sikre rettidig anvendelse af reglerne for sikkerhedsbeskyttelse af EUCI med henblik på Republikken Kroatiens tiltrædelse af Den Europæiske Union bør denne afgørelse træde i kraft på dagen for offentliggørelsen -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Formål, anvendelsesområde og definitioner
1. Denne afgørelse fastlægger grundprincipperne og minimumsstandarderne for sikkerhedsbeskyttelse af EUCI.
2. Disse grundprincipper og minimumsstandarder gælder for Rådet og GSR og skal overholdes af medlemsstaterne i overensstemmelse med deres respektive nationale love og bestemmelser, så de hver især kan være sikre på, at der gælder et ækvivalent beskyttelsesniveau for EUCI.
3. I denne afgørelse anvendes de definitioner, der er fastlagt i tillæg A.
Artikel 2
Definition af EUCI, sikkerhedsklassifikationer og mærkninger
1. Ved »EU's klassificerede informationer« (EUCI) forstås informationer eller materiale mærket med en EU-sikkerhedsklassifikation, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes interesser skade i forskellig grad.
2. EUCI klassificeres efter en af følgende grader:
a)
TRÈS SECRET UE/EU TOP SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser overordentlig alvorlig skade.
b)
SECRET UE/EU SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser alvorlig skade.
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser skade.
d)
RESTREINT UE/EU RESTRICTED: informationer og materiale, hvis uautoriserede videregivelse kunne have negativ indvirkning på Den Europæiske Unions eller en eller flere af medlemsstaternes interesser.
3. EUCI forsynes med en klassifikationsmærkning i overensstemmelse med stk. 2. EUCI kan forsynes med yderligere mærkninger for at angive de aktivitetsområder, de vedrører, identificere udstederen, begrænse distributionen eller anvendelsen eller angive mulighederne for videregivelse.
Artikel 3
Klassifikationsstyring
1. De kompetente myndigheder sikrer, at EUCI er passende klassificeret, klart identificeret som klassificerede informationer og kun bevarer deres klassifikationsgrad, så længe det er nødvendigt.
2. EUCI må ikke nedklassificeres eller afklassificeres, og ingen af mærkningerne ifølge artikel 2, stk. 3, må ændres eller fjernes uden forudgående skriftligt samtykke fra udstederen.
3. Rådet godkender en sikkerhedspolitik for udarbejdelse af EUCI, der omfatter en praktisk klassifikationsvejledning.
Artikel 4
Beskyttelse af klassificerede informationer
1. EUCI skal beskyttes i overensstemmelse med denne afgørelse.
2. Den, der er i besiddelse af EUCI, er ansvarlig for beskyttelse heraf i overensstemmelse med denne afgørelse.
3. Hvis medlemsstaterne bringer klassificerede informationer med en national klassifikationsmærkning ind i Unionens strukturer eller netværk, beskytter Rådet og GSR disse informationer i overensstemmelse med de krav, der gælder for EUCI af en tilsvarende grad, jf. den sammenlignende oversigt over sikkerhedsklassifikationer i tillæg B.
4. En samlet mængde af EUCI kan berettige til en sikkerhedsbeskyttelse af en grad, der svarer til en højere klassifikation end den, der gælder for de enkelte dele.
Artikel 5
Sikkerhedsrisikostyring
1. Risici i forhold til EUCI skal styres som en proces. Processen har til formål at fastslå kendte sikkerhedsrisici, fastlægge sikkerhedsforanstaltninger for at reducere sådanne risici til et acceptabelt niveau i overensstemmelse med de grundprincipper og minimumsstandarder, der er fastlagt i denne afgørelse, og anvende disse foranstaltninger ifølge begrebet dybdeforsvar, jf. definitionen i tillæg A. Sådanne foranstaltningers effektivitet skal løbende evalueres.
2. Sikkerhedsforanstaltninger til beskyttelse af EUCI i hele deres livscyklus skal især svare til sikkerhedsklassifikationen for og formen og mængden af informationerne eller materialet, placeringen og konstruktionen af de faciliteter, hvor EUCI opbevares, og den lokalt vurderede trussel fra ondsindet og/eller kriminel virksomhed, herunder spionage, sabotage og terrorisme.
3. Beredskabsplaner skal tage hensyn til behovet for at beskytte EUCI i nødsituationer med henblik på at forhindre uautoriseret adgang, uautoriseret videregivelse eller tab af integritet eller tilgængelighed.
4. Kontinuitetsplaner skal omfatte forebyggende og genoprettende foranstaltninger med henblik på at minimere følgerne af større nedbrud eller hændelser for håndteringen og opbevaringen af EUCI.
Artikel 6
Gennemførelse af denne afgørelse
1. Når det er nødvendigt, godkender Rådet efter henstilling fra Sikkerhedsudvalget sikkerhedspolitikker med foranstaltninger til gennemførelse af denne afgørelse.
2. Sikkerhedsudvalget kan på sit niveau fastlægge sikkerhedsretningslinjer for at supplere eller understøtte denne afgørelse og eventuelle sikkerhedspolitikker, der er godkendt af Rådet.
Artikel 7
Personelsikkerhed
1. Ved personelsikkerhed forstås anvendelse af foranstaltninger for at sikre, at adgang til EUCI kun gives til personer, som:
-
har need-to-know
-
er sikkerhedsgodkendt til den relevante klassifikationsgrad, når det er nødvendigt, og
-
er blevet gjort bekendt med deres ansvar.
2. Procedurerne for personelsikkerhedsgodkendelse udformes, så det kan afgøres, om en person under hensyn til vedkommendes loyalitet, troværdighed og pålidelighed kan autoriseres til at få adgang til EUCI.
3. Alle personer i GSR, hvis opgaver kræver adgang til eller håndtering af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal være sikkerhedsgodkendt til den relevante klassifikationsgrad, inden de kan få adgang til sådanne EUCI. Disse personer skal autoriseres af GSR's ansættelsesmyndighed til at få adgang til EUCI op til en bestemt klassifikationsgrad og indtil en bestemt dato.
4. Medlemsstaternes personale, jf. artikel 15, stk. 3, hvis opgaver kan kræve adgang til EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal være sikkerhedsgodkendt til den relevante klassifikationsgrad eller på anden måde behørigt autoriseret i kraft af deres funktioner i overensstemmelse med nationale love og bestemmelser, inden de kan få adgang til sådanne EUCI.
5. Alle personer skal gøres bekendt med og anerkende deres ansvar for at beskytte EUCI i overensstemmelse med denne afgørelse, inden de får adgang til EUCI og med jævne mellemrum herefter.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag I.
Artikel 8
Fysisk sikkerhed
1. Ved fysisk sikkerhed forstås anvendelse af fysiske og tekniske beskyttelsesforanstaltninger for at forhindre uautoriseret adgang til EUCI.
2. De fysiske sikkerhedsforanstaltninger udformes med henblik på at forhindre, at en indtrænger skaffer sig hemmelig adgang eller tiltvinger sig adgang, på at afskrække fra, vanskeliggøre og afsløre uautoriserede handlinger samt på at muliggøre personalemæssig adskillelse for så vidt angår adgang til EUCI på en need-to-know-basis. Sådanne foranstaltninger fastlægges på basis af en risikostyringsproces.
3. Fysiske sikkerhedsforanstaltninger indføres for alle lokaliteter, bygninger, kontorer, lokaler og andre områder, hvor EUCI håndteres eller opbevares, herunder områder, der huser kommunikations- og informationssystemer, jf. artikel 10, stk. 2.
4. Områder, hvor EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, opbevares, skal etableres som sikrede områder i overensstemmelse med bilag II og godkendes af den kompetente sikkerhedsmyndighed.
5. Der må kun anvendes godkendt udstyr eller godkendte anordninger til beskyttelse af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag II.
Artikel 9
Forvaltning af klassificerede informationer
1. Ved forvaltning af klassificerede informationer forstås anvendelse af administrative foranstaltninger til kontrol af EUCI i hele deres livscyklus for at supplere foranstaltningerne i artikel 7, 8 og 10 og derved bidrage til at afskrække fra og afsløre forsætlig eller uagtsom kompromittering eller tab af sådanne informationer. Sådanne foranstaltninger omfatter bl.a. udarbejdelse, registrering, kopiering, oversættelse, nedklassificering, afklassificering, transport og destruktion af EUCI.
2. Informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, sikkerhedsregistreres forud for distributionen og ved modtagelsen. GSR's og medlemsstaternes respektive kompetente myndigheder etablerer en registraturordning med henblik herpå. Informationer, der er klassificeret TRÈS SECRET UE/EU TOP SECRET, registreres i dertil oprettede registraturer.
3. Tjenester og lokaliteter, hvor EUCI håndteres eller opbevares, underkastes regelmæssig inspektion af den kompetente sikkerhedsmyndighed.
4. EUCI transporteres på følgende måde mellem tjenester og lokaliteter uden for fysisk beskyttede områder:
a)
generelt ved elektronisk transmission beskyttet af kryptoprodukter, der er godkendt i overensstemmelse med artikel 10, stk. 6
b)
når de i litra a) omhandlede midler ikke anvendes, transporteres EUCI enten:
i)
via elektroniske medier (f.eks. USB-nøgler, CD'er og harddiske) beskyttet af kryptoprodukter, der er godkendt i overensstemmelse med artikel 10, stk. 6, eller
ii)
i alle andre tilfælde som foreskrevet af den kompetente sikkerhedsmyndighed i overensstemmelse med de relevante beskyttelsesforanstaltninger i bilag III.
5. Bestemmelser til gennemførelse af denne artikel findes i bilag III og IV.
Artikel 10
Beskyttelse af EUCI, der håndteres i kommunikations- og informationssystemer
1. Ved informationssikring (IA) i forbindelse med kommunikations- og informationssystemer forstås tilliden til, at disse systemer beskytter de informationer, de håndterer, og at de fungerer, som de skal, når de skal, under de legitime brugeres kontrol. Effektiv IA sikrer et passende niveau af fortrolighed, integritet, tilgængelighed, uafviselighed og autenticitet. IA baseres på en risikostyringsproces.
2. Ved »kommunikations- og informationssystem« (CIS) forstås et system, der muliggør håndtering af informationer i elektronisk form. Et CIS omfatter alle de aktiver, der er nødvendige for dets drift, herunder infrastrukturer, organisation, personale og informationsressourcer. Denne afgørelse finder anvendelse på CIS'er, der håndterer EUCI.
3. CIS'er håndterer EUCI i overensstemmelse med begrebet IA.
4. Alle CIS'er skal gennemgå en akkrediteringsproces. Akkreditering har til formål at sikre, at alle passende sikkerhedsforanstaltninger er blevet gennemført, og at der er opnået en tilstrækkelig grad af beskyttelse af EUCI og af CIS'et i overensstemmelse med denne afgørelse. Akkrediteringsudredningen skal fastsætte den højeste klassifikationsgrad for de informationer, der kan håndteres i et CIS, og de betingelser og vilkår, der svarer hertil.
5. Der gennemføres sikkerhedsforanstaltninger for at beskytte CIS'er, der håndterer informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, mod kompromittering af sådanne informationer gennem utilsigtede elektromagnetiske emissioner (»Tempestsikkerhedsforanstaltninger«). Sådanne sikkerhedsforanstaltninger skal svare til risikoen for udnyttelse af informationerne og til informationernes klassifikationsgrad.
6. Hvis beskyttelsen af EUCI sker ved hjælp af kryptoprodukter, skal sådanne produkter være godkendt på følgende måde:
a)
fortroligheden af informationer, der er klassificeret SECRET UE/EU SECRET eller højere, skal beskyttes ved hjælp af kryptoprodukter, der er godkendt af Rådet som kryptogodkendelsesmyndighed (CAA) efter henstilling fra Sikkerhedsudvalget
b)
fortroligheden af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED, skal beskyttes ved hjælp af kryptoprodukter, der er godkendt af generalsekretæren for Rådet (»generalsekretæren«) som CAA efter henstilling fra Sikkerhedsudvalget.
Uanset litra b) kan fortroligheden af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED, inden for medlemsstaternes nationale systemer beskyttes ved hjælp af kryptoprodukter, der er godkendt af en medlemsstats CAA.
7. Ved elektronisk transmission af EUCI skal der anvendes godkendte kryptoprodukter. Uanset dette krav kan der i nødsituationer følges specifikke procedurer eller anvendes specifikke tekniske konfigurationer, jf. bilag IV.
8. GSR's og medlemsstaternes respektive kompetente myndigheder etablerer følgende IA-funktioner:
a)
en IA-myndighed (IAA)
b)
en Tempestmyndighed (TA)
c)
en Kryptogodkendelsesmyndighed (CAA)
d)
en kryptodistributionsmyndighed (CDA).
9. For hvert system etablerer GSR's og medlemsstaternes respektive kompetente myndigheder:
a)
en sikkerhedsakkrediteringsmyndighed (SAA)
b)
en operativ IA-myndighed.
10. Bestemmelser til gennemførelse af denne artikel findes i bilag IV.
Artikel 11
Industrisikkerhed
1. Ved industrisikkerhed forstås anvendelse af foranstaltninger for at sikre, at kontrahenter eller underkontrahenter beskytter EUCI under forhandlingerne forud for indgåelsen af en kontrakt og under hele livscyklussen for klassificerede kontrakter. Sådanne kontrakter må ikke indebære adgang til informationer, der er klassificeret TRÈS SECRET UE/EU TOP SECRET.
2. GSR kan ved aftale overdrage opgaver, som indebærer eller medfører adgang til eller håndtering eller opbevaring af EUCI, til industrivirksomheder eller andre enheder, som er registreret i en medlemsstat eller i et tredjeland, der har indgået en aftale eller en administrativ ordning i henhold til artikel 13, stk. 2, litra a) eller b).
3. GSR sikrer som kontraherende myndighed, at minimumsstandarderne for industrisikkerhed som fastlagt i denne afgørelse og omhandlet i kontrakten overholdes, når der tildeles klassificerede kontrakter til industrivirksomheder eller andre enheder.
4. Den nationale sikkerhedsmyndighed (NSA), den udpegede sikkerhedsmyndighed (DSA) eller en hvilken som helst anden kompetent myndighed i den enkelte medlemsstat sikrer, så vidt det er muligt i henhold til nationale love og bestemmelser, at kontrahenter og underkontrahenter, der er registreret på deres område, træffer alle relevante foranstaltninger til at beskytte EUCI under forhandlingerne forud for indgåelsen af en kontrakt og under opfyldelsen af en klassificeret kontrakt.
5. NSA'en, DSA'en eller en hvilken som helst anden kompetent sikkerhedsmyndighed i den enkelte medlemsstat sikrer i overensstemmelse med nationale love og bestemmelser, at kontrahenter eller underkontrahenter, der er registreret i den pågældende medlemsstat og deltager i klassificerede kontrakter eller underkontrakter, som kræver adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inden for deres faciliteter, enten i forbindelse med opfyldelsen af kontrakterne eller i perioden forud for indgåelsen af kontrakterne, er i besiddelse af en facilitetssikkerhedsgodkendelse (FSC) til den krævede klassifikationsgrad.
6. En kontrahents eller underkontrahents personale, der med henblik på opfyldelse af en klassificeret kontrakt skal have adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, skal tildeles en personelsikkerhedsgodkendelse (PSC) af den pågældende NSA eller DSA eller anden kompetent sikkerhedsmyndighed i overensstemmelse med nationale love og bestemmelser og de minimumsstandarder, der er fastlagt i bilag I.
7. Bestemmelserne til gennemførelse af denne artikel findes i bilag V.
Artikel 12
Udveksling af EUCI
1. Rådet fastlægger de betingelser, hvorpå det må udveksle EUCI i dets besiddelse med andre EU-institutioner, -organer, -kontorer eller -agenturer. Der kan etableres passende rammer herfor, herunder ved at indgå interinstitutionelle aftaler eller om nødvendigt andre ordninger med henblik herpå.
2. Sådanne rammer skal sikre, at EUCI sikkerhedsbeskyttes i overensstemmelse med deres klassifikationsgrad og efter grundprincipper og minimumsstandarder, som svarer til dem, der er fastlagt i denne afgørelse.
Artikel 13
Udveksling af klassificerede informationer med tredjelande og internationale organisationer
1. Hvis Rådet beslutter, at det er nødvendigt at udveksle EUCI med et tredjeland eller en international organisation, etableres der passende rammer herfor.
2. For at etablere sådanne rammer og definere gensidige regler for sikkerhedsbeskyttelse af de klassificerede informationer, der udveksles,
a)
skal Unionen indgå aftaler med tredjelande eller internationale organisationer om sikkerhedsprocedurer for udveksling og beskyttelse af klassificerede informationer (»informationssikkerhedsaftaler«), eller
b)
kan generalsekretæren på vegne af GSR indgå administrative ordninger herom i overensstemmelse med bilag VI, punkt 17, hvis klassifikationsgraden for de EUCI, der skal videregives, generelt ikke er højere end RESTREINT UE/EU RESTRICTED.
3. Informationssikkerhedsaftaler eller administrative ordninger, jf. stk. 2, skal indeholde bestemmelser, der sikrer, at tredjelande eller internationale organisationer, når de modtager EUCI, sikkerhedsbeskytter sådanne informationer i overensstemmelse med informationernes klassifikationsgrad og efter minimumsstandarder, som mindst svarer til de standarder, der er fastlagt i denne afgørelse.
4. Beslutningen om at videregive EUCI, der er udfærdiget i Rådet, til et tredjeland eller en international organisation, træffes af Rådet fra sag til sag på grundlag af informationernes art og indhold, modtagerens need-to-know og Unionens interesse i videregivelsen. Hvis udstederen af de klassificerede informationer, der ønskes videregivet, ikke er Rådet, skal GSR først indhente udstederens skriftlige samtykke til videregivelsen. Hvis det ikke kan fastslås, hvem udstederen er, påtager Rådet sig dennes ansvar.
5. Der foretages vurderingsbesøg for at konstatere effektiviteten af de foranstaltninger, der gælder i et tredjeland eller en international organisation med henblik på sikkerhedsbeskyttelse af EUCI, der videregives eller udveksles.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag VI.
Artikel 14
Brud på sikkerheden og kompromittering af EUCI
1. Ved brud på sikkerheden forstås resultatet af en persons handling eller forsømmelse, der er i strid med sikkerhedsreglerne i denne afgørelse.
2. EUCI anses for at være kompromitteret, hvis de som følge af et brud på sikkerheden helt eller delvist er videregivet til uautoriserede personer.
3. Eventuelle brud på eller eventuel mistanke om brud på sikkerheden skal straks meldes til den kompetente sikkerhedsmyndighed.
4. Hvis det konstateres, eller hvis der er rimelig grund til at formode, at EUCI er kompromitteret eller bortkommet, skal NSA eller en anden kompetent myndighed træffe alle passende foranstaltninger i overensstemmelse med de relevante love og bestemmelser for at:
a)
orientere udstederen
b)
sikre, at sagen undersøges af personale, der ikke er direkte involveret i bruddet på sikkerheden, for at fastslå de faktiske omstændigheder
c)
vurdere den potentielle skade for Unionens eller medlemsstaternes interesser
d)
træffe passende foranstaltninger til at forebygge en gentagelse, og
e)
underrette de relevante myndigheder om de foranstaltninger, der er truffet.
5. Enhver, der er ansvarlig for brud på sikkerhedsreglerne i denne afgørelse, kan pålægges disciplinære foranstaltninger i overensstemmelse med gældende regler og bestemmelser. Enhver, der er ansvarlig for kompromittering eller bortkomst af EUCI, pålægges disciplinære foranstaltninger og/eller retsforfølges i overensstemmelse med gældende love, regler og bestemmelser.
Artikel 15
Ansvar for gennemførelsen
1. Rådet træffer alle nødvendige foranstaltninger for at sikre overordnet sammenhæng i anvendelsen af denne afgørelse.
2. Generalsekretæren træffer alle nødvendige foranstaltninger for i forbindelse med håndtering eller opbevaring af EUCI eller andre klassificerede informationer at sikre, at denne afgørelse anvendes i lokaliteter, der benyttes af Rådet, og inden for GSR af GSR's tjenestemænd og øvrige ansatte, af personale, som er udstationeret ved GSR, og af GSR's kontrahenter.
3. Medlemsstaterne træffer i overensstemmelse med deres respektive nationale love og bestemmelser alle passende foranstaltninger for i forbindelse med håndtering eller opbevaring af EUCI at sikre, at denne afgørelse overholdes af:
a)
personalet ved medlemsstaternes faste repræsentationer ved Den Europæiske Union og nationale delegerede, der deltager i møder i Rådet eller i dets forberedende organer eller i andre rådsaktiviteter
b)
andet personale i medlemsstaternes nationale administrationer, herunder personale, som er udstationeret ved disse administrationer, uanset om de pågældende gør tjeneste på medlemsstaternes område eller i udlandet
c)
andre personer i medlemsstaterne, der i kraft af deres funktioner er behørigt autoriseret til at få adgang til EUCI, og
d)
medlemsstaternes kontrahenter, uanset om de befinder sig på medlemsstaternes område eller i udlandet.
Artikel 16
Sikkerhedsorganisation i Rådet
1. Som led i sin rolle med hensyn til at sikre overordnet sammenhæng i anvendelsen af denne afgørelse godkender Rådet:
a)
de aftaler, der er omhandlet i artikel 13, stk. 2, litra a)
b)
beslutninger om autorisation eller samtykke til videregivelse af EUCI, som er udfærdiget af Rådet eller er i Rådets besiddelse, til tredjelande og internationale organisationer i overensstemmelse med princippet om udstederens samtykke
c)
et årligt vurderingsbesøgsprogram anbefalet af Sikkerhedsudvalget for besøg med henblik på at vurdere medlemsstaternes tjenester og lokaliteter og EU-organer, -agenturer, og -enheder, der anvender denne afgørelse eller principperne deri, samt for vurderingsbesøg til tredjelande og internationale organisationer med henblik på at konstatere effektiviteten af de foranstaltninger, der gennemføres for at sikkerhedsbeskytte EUCI, og
d)
sikkerhedspolitikker som omhandlet i artikel 6, stk. 1.
2. Generalsekretæren er GSR's sikkerhedsmyndighed. Generalsekretæren skal i den egenskab:
a)
gennemføre Rådets sikkerhedspolitik og løbende tage den op til revision
b)
med medlemsstaternes NSA'er koordinere alle spørgsmål vedrørende sikkerhedsbeskyttelse af klassificerede informationer, som er relevante for Rådets aktiviteter
c)
tildele GSR's tjenestemænd, øvrige ansatte og udstationerede nationale eksperter autorisation til at få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere i henhold til artikel 7, stk. 3
d)
når det er relevant, iværksætte undersøgelser ved konstatering af eller mistanke om kompromittering eller tab af klassificerede informationer, som er i Rådets besiddelse eller er udfærdiget af Rådet, og anmode de relevante sikkerhedsmyndigheder om at bistå med sådanne undersøgelser
e)
iværksætte periodiske inspektioner af ordningerne for sikkerhedsbeskyttelse af klassificerede informationer i GSR's lokaliteter
f)
iværksætte periodiske besøg for at vurdere ordningerne for sikkerhedsbeskyttelse af EUCI i EU-organer, -agenturer og -enheder, der anvender denne afgørelse eller principperne deri
g)
sammen med og i forståelse med de pågældende NSA'er iværksætte periodiske vurderinger af ordningerne for sikkerhedsbeskyttelse af EUCI i medlemsstaternes tjenester og lokaliteter
h)
sikre, at sikkerhedsforanstaltningerne i nødvendigt omfang koordineres med de kompetente myndigheder i medlemsstaterne, der er ansvarlige for sikkerhedsbeskyttelse af klassificerede informationer, og, når det er relevant, tredjelande eller internationale organisationer, bl.a. om arten af trusler mod EUCI's sikkerhed og midlerne til beskyttelse mod dem, og
i)
indgå de administrative ordninger, der er omhandlet i artikel 13, stk. 2, litra b).
GSR's Sikkerhedskontor står til rådighed for generalsekretæren for at bistå ham med disse ansvarsområder.
3. Med henblik på anvendelsen af artikel 15, stk. 3, bør medlemsstaterne:
a)
udpege en NSA, som opført i tillæg C, der er ansvarlig for ordningerne for sikkerhedsbeskyttelse af EUCI, således at
i)
EUCI, der opbevares af nationale styrelser, organer eller agenturer, offentlige eller private, i ind- eller udland, er sikkerhedsbeskyttet i overensstemmelse med denne afgørelse
ii)
ordningerne for sikkerhedsbeskyttelse af EUCI inspiceres eller vurderes med jævne mellemrum
iii)
alle personer, der er ansat i en national administration eller af en kontrahent, og som kan få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, er behørigt sikkerhedsgodkendt eller på anden måde i kraft af deres funktioner er behørigt autoriseret i overensstemmelse med nationale love og bestemmelser
iv)
der indføres de nødvendige sikkerhedsprogrammer for at minimere risikoen for, at EUCI kompromitteres eller bortkommer
v)
spørgsmål vedrørende sikkerhedsbeskyttelse af EUCI koordineres med andre kompetente nationale myndigheder, herunder dem, der er omhandlet i denne afgørelse, og
vi)
der reageres på relevante anmodninger om sikkerhedsgodkendelse navnlig fra EU-organer, -agenturer og -enheder og -operationer etableret i henhold til afsnit V, kapitel 2, i TEU samt EU's særlige repræsentanter (EUSR'er) og deres stab, der anvender denne afgørelse eller principperne deri.
b)
sikre, at deres kompetente myndigheder underretter og rådgiver deres regeringer og derigennem Rådet om arten af trusler mod EUCI's sikkerhed og midlerne til beskyttelse mod dem.
Artikel 17
Sikkerhedsudvalget
1. Der nedsættes et sikkerhedsudvalg. Det undersøger og vurderer sikkerhedsspørgsmål inden for rammerne af denne afgørelse og fremsætter henstillinger til Rådet, når det er relevant.
2. Sikkerhedsudvalget består af repræsentanter for medlemsstaternes NSA'er med deltagelse af en repræsentant for Kommissionen og for Tjenesten for EU's Optræden Udadtil. Udvalget ledes af generalsekretæren eller en af denne udpeget delegeret. Det træder sammen efter Rådets anvisninger eller på anmodning af generalsekretæren eller af en NSA.
Repræsentanter for EU-organer, -agenturer og -enheder, der anvender denne afgørelse eller principperne deri, kan indbydes til at deltage, når der drøftes spørgsmål, som vedrører dem.
3. Sikkerhedsudvalget tilrettelægger sine aktiviteter, så det kan fremsætte henstillinger om specifikke sikkerhedsområder. Det nedsætter ekspertundergrupper for IA-spørgsmål og andre ekspertundergrupper, når det er nødvendigt. Det udarbejder mandater for sådanne ekspertundergrupper og modtager rapporter fra dem om deres virksomhed, herunder henstillinger til Rådet, når det er relevant.
Artikel 18
Ophævelse af tidligere afgørelse
1. Denne afgørelse ophæver og træder i stedet for Rådets afgørelse 2011/292/EU (2).
2. Alle EUCI, der er klassificeret i overensstemmelse med Rådets afgørelse 2001/264/EF (3) og afgørelse 2011/292/EU, sikkerhedsbeskyttes fortsat i overensstemmelse med de relevante bestemmelser i nærværende afgørelse.
Artikel 19
Ikrafttræden
Denne afgørelse træder i kraft dagen for offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 23. september 2013.
BESCHLUSS DES RATES
vom 23. September 2013
über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen
(2013/488/EU)
DER RAT DER EUROPÄISCHEN UNION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 240 Absatz 3,
gestützt auf den Beschluss 2009/937/EU des Rates vom 1. Dezember 2009 zur Annahme seiner Geschäftsordnung (1), insbesondere auf Artikel 24,
in Erwägung nachstehender Gründe:
(1)
Für die Ausweitung der Tätigkeiten des Rates in allen Bereichen, die die Bearbeitung von Verschlusssachen erfordern, sollte ein umfassendes Sicherheitssystem für den Schutz von Verschlusssachen geschaffen werden, das den Rat, sein Generalsekretariat und die Mitgliedstaaten einbezieht.
(2)
Dieser Beschluss sollte Anwendung finden, wenn der Rat, seine Vorbereitungsgremien und das Generalsekretariat des Rates EU-Verschlusssachen (EU-VS) bearbeiten.
(3)
Nach Maßgabe der innerstaatlichen Rechtsvorschriften und soweit es für die Tätigkeit des Rates erforderlich ist, sollten die Mitgliedstaaten diesen Beschluss beachten, wenn ihre zuständigen Behörden, ihre Bediensteten oder ihre Auftragnehmer EU-VS bearbeiten, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(4)
Der Rat, die Kommission und der Europäische Auswärtige Dienst (EAD) sind entschlossen, gleichwertige Sicherheitsstandards für den Schutz von EU-VS anzuwenden.
(5)
Der Rat unterstreicht die Bedeutung einer Beteiligung, soweit angebracht, des Europäischen Parlaments und der anderen Organe, Einrichtungen oder sonstigen Stellen der Union an den Prinzipien, Standards und Vorschriften für den Schutz von Verschlusssachen, die erforderlich sind, um die Interessen der Union und ihrer Mitgliedstaaten zu schützen.
(6)
Der Rat sollte den geeigneten Rahmen für die Weitergabe von EU-VS des Rates an andere Organe, Einrichtungen oder sonstige Stellen der Union in Einklang mit diesem Beschluss sowie den geltenden interinstitutionellen Vereinbarungen festlegen.
(7)
Die im Rahmen des Titels V Kapitel 2 des Vertrags über die Europäische Union (EUV) geschaffenen Einrichtungen und Agenturen der Union, Europol und Eurojust sollten im Rahmen ihrer internen Organisation die Grundprinzipien und Mindeststandards dieses Beschlusses für den Schutz von EU-VS anwenden, wenn dies im Rechtsakt des Rates zu ihrer Errichtung vorgesehen ist.
(8)
Bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV und vom Personal solcher Operationen sollten die Sicherheitsvorschriften des Rates für den Schutz von EU-VS angewendet werden, wenn dies im Rechtsakt des Rates zu ihrer Einrichtung vorgesehen ist.
(9)
Die Sonderbeauftragten der Europäischen Union und die Mitglieder ihres Personals sollten die Sicherheitsvorschriften des Rates für den Schutz von EU-VS anwenden, wenn dies im einschlägigen Rechtsakt des Rates vorgesehen ist.
(10)
Dieser Beschluss wird unbeschadet der Artikel 15 und 16 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und die zu ihrer Durchführung erlassenen Rechtsakte erlassen.
(11)
Dieser Beschluss wird unbeschadet der bestehenden Verfahren der Mitgliedstaaten zur Unterrichtung ihrer nationalen Parlamente über die Tätigkeiten der Union erlassen
(12)
Um die rechtzeitige Anwendung der Sicherheitsvorschriften für den Schutz von EU-VS im Hinblick auf den Beitritt der Republik Kroatien zur Europäischen Union sicherzustellen, sollte dieser Beschluss am Tag seiner Veröffentlichung in Kraft treten -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand, Anwendungsbereich und Begriffsbestimmungen
(1) Dieser Beschluss legt Grundprinzipien und Mindeststandards für die Sicherheit in Bezug auf den Schutz von EU-VS fest.
(2) Diese Grundprinzipien und Mindeststandards gelten für den Rat und das Generalsekretariat des Rates und werden von den Mitgliedstaaten nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften beachtet, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(3) Für die Zwecke dieses Beschlusses gelten die Begriffsbestimmungen in Anlage A.
Artikel 2
Begriffsbestimmung für EU-VS, Geheimhaltungsgrade und Kennzeichnungen
(1) „EU-Verschlusssachen“ (EU-VS) sind alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte.
(2) EU-VS werden in einen der folgenden Geheimhaltungsgrade eingestuft:
a)
TRÈS SECRET UE/EU TOP SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten äußerst schweren Schaden zufügen könnte;
b)
SECRET UE/EU SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten schweren Schaden zufügen könnte;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten Schaden zufügen könnte;
d)
RESTREINT UE/EU RESTRICTED: Informationen und Materialien, deren unbefugte Weitergabe für die wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten nachteilig sein könnte.
(3) EU-VS werden mit einem Geheimhaltungsgrad gemäß Absatz 2 gekennzeichnet. Sie können zusätzliche Kennzeichnungen tragen, mit denen der Tätigkeitsbereich, auf den sie sich beziehen, angegeben, der Herausgeber benannt, die Verteilung begrenzt, die Verwendung eingeschränkt oder die Möglichkeit zur Weitergabe ausgewiesen wird.
Artikel 3
Regeln für die Einstufung als Verschlusssache
(1) Die zuständigen Behörden gewährleisten, dass EU-VS angemessen eingestuft werden, deutlich als Verschlusssache gekennzeichnet sind und den jeweiligen Geheimhaltungsgrad nur so lange behalten, wie es erforderlich ist.
(2) Der Geheimhaltungsgrad von EU-VS darf ohne vorherige schriftliche Zustimmung des Herausgebers weder herabgestuft noch aufgehoben werden; das Gleiche gilt für die Veränderung oder Entfernung der in Artikel 2 Absatz 3 genannten Kennzeichnungen.
(3) Der Rat billigt ein Sicherheitskonzept für die Erstellung von EU-VS, das auch einen praktischen Einstufungsleitfaden für Verschlusssachen umfasst.
Artikel 4
Schutz von Verschlusssachen
(1) EU-VS werden gemäß diesem Beschluss geschützt.
(2) Der Besitzer jedweder EU-VS ist dafür verantwortlich, diese gemäß diesem Beschluss zu schützen.
(3) Gibt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze der Union, so schützen der Rat und das Generalsekretariat des Rates diese Verschlusssachen nach den Anforderungen, die für EU-VS der entsprechenden Geheimhaltungsstufe gemäß der Entsprechungstabelle der Geheimhaltungsgrade in Anlage B gelten.
(4) Eine Gesamtheit von EU-VS kann ein Schutzniveau erfordern, das einem höheren Geheimhaltungsgrad als dem der einzelnen Bestandteile der Gesamtheit entspricht.
Artikel 5
Sicherheitsrisikomanagement
(1) Das Risikomanagement für EU-VS wird als Prozess angelegt. Ziel dieses Prozesses ist es, bekannte Sicherheitsrisiken zu bestimmen, Sicherheitsmaßnahmen zur Reduzierung dieser Risiken auf ein tragbares Maß gemäß den Grundprinzipien und Mindeststandards dieses Beschlusses festzulegen und diese Maßnahmen entsprechend dem Konzept der mehrschichtigen Sicherheit gemäß Anlage A anzuwenden. Die Wirksamkeit der betreffenden Maßnahmen wird fortlaufend bewertet.
(2) Die Sicherheitsmaßnahmen für den Schutz von EU-VS müssen während der gesamten Dauer ihrer Einstufung als EU-VS insbesondere dem Geheimhaltungsgrad, der Form und dem Umfang der Informationen und des Materials, der Lage und der Beschaffenheit der Anlagen, in denen EU-VS untergebracht sind, und der örtlichen Einschätzung der Bedrohung durch feindselige und/oder kriminelle Handlungen, einschließlich Spionage, Sabotage oder Terrorakte, entsprechen.
(3) In Notfallplänen wird berücksichtigt, dass EU-VS in Notsituationen geschützt werden müssen, damit der unbefugte Zugang, die unbefugte Weitergabe oder der Verlust der Integrität beziehungsweise der Verfügbarkeit verhindert werden.
(4) In Kontinuitätsplänen sind Präventions- und Wiederherstellungsmaßnahmen vorzusehen, damit die Auswirkungen größerer Störungen oder Zwischenfälle auf die Bearbeitung und Aufbewahrung von EU-VS so gering wie möglich gehalten werden.
Artikel 6
Anwendung dieses Beschlusses
(1) Soweit erforderlich, billigt der Rat auf Empfehlung des Sicherheitsausschusses Sicherheitskonzepte mit Maßnahmen zur Anwendung dieses Beschlusses.
(2) Der Sicherheitsausschuss kann auf seiner Ebene Sicherheitsleitlinien zur Ergänzung oder Untermauerung dieses Beschlusses und etwaiger vom Rat gebilligter Sicherheitskonzepte vereinbaren.
Artikel 7
Personeller Geheimschutz
(1) Der personelle Geheimschutz beinhaltet die Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die
-
Kenntnis von EU-VS haben müssen,
-
erforderlichenfalls einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen worden sind und
-
über ihre Verantwortlichkeiten belehrt worden sind.
(2) Die Verfahren für die Sicherheitsüberprüfung des Personals dienen der Feststellung, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann.
(3) Alle Personen im Generalsekretariat des Rates, für deren Aufgabenwahrnehmung der Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS oder deren Bearbeitung erforderlich ist, werden einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen, bevor ihnen Zugang zu diesen EU-VS gewährt wird. Diese Personen müssen von der Anstellungsbehörde des Generalsekretariats des Rates zum Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad und bis zu einem bestimmten Zeitpunkt ermächtigt werden.
(4) Das Personal der Mitgliedstaaten nach Artikel 15 Absatz 3, das zur Wahrnehmung seiner Aufgaben gegebenenfalls Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS erhalten muss, wird nach Maßgabe der innerstaatlichen Rechtsvorschriften einer Sicherheitsüberprüfung für den entsprechenden Geheimhaltungsgrad unterzogen oder aufgrund seines Aufgabenbereichs auf andere Weise ordnungsgemäß ermächtigt, bevor ihm Zugang zu diesen EU-VS gewährt wird.
(5) Jede Person wird über ihre Verantwortlichkeiten zum Schutz von EU-VS nach Maßgabe dieses Beschlusses belehrt und erkennt diese an, bevor ihr Zugang zu EU-VS gewährt wird; eine solche Belehrung bzw. Anerkennung erfolgt auch später in regelmäßigen Abständen.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang I enthalten.
Artikel 8
Materieller Geheimschutz
(1) Der materielle Geheimschutz beinhaltet die Anwendung von materiellen und technischen Schutzmaßnahmen, damit ein unbefugter Zugang zu EU-VS verhindert wird.
(2) Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, das heimliche oder gewaltsame Eindringen unbefugter Personen zu verhindern, von unbefugten Handlungen abzuschrecken bzw. diese zu verhindern und aufzudecken und den Einsatz von Personal in Bezug auf den Zugang zu EU-VS nach dem Grundsatz „Kenntnis nur, wenn nötig“ zu ermöglichen. Diese Maßnahmen werden auf der Grundlage eines Risikomanagementprozesses festgelegt.
(3) Die Maßnahmen des materiellen Geheimschutzes werden für alle Gebäude, Büros, Räume und sonstigen Bereiche, in denen EU-VS bearbeitet bzw. aufbewahrt werden, getroffen, einschließlich Bereiche, in denen Kommunikations- und Informationssysteme gemäß Artikel 10 Absatz 2 untergebracht sind.
(4) Die Bereiche, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte EU-VS aufbewahrt werden, werden als abgesicherte Bereiche nach Anhang II eingerichtet und von der zuständigen Sicherheitsbehörde genehmigt.
(5) Zum Schutz von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS werden ausschließlich zugelassene Ausrüstungen oder Geräte verwendet.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang II enthalten.
Artikel 9
Verwaltung von Verschlusssachen
(1) Die Verwaltung von Verschlusssachen beinhaltet die Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 7, 8 und 10 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern und festzustellen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Herabstufung, die Aufhebung des Geheimhaltungsgrads, die Beförderung und die Vernichtung von EU-VS.
(2) Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen werden zu Sicherheitszwecken vor der Weiterleitung und bei Empfang registriert. Zu diesem Zweck richten die zuständigen Stellen im Generalsekretariat des Rates und in den Mitgliedstaaten ein Registratursystem ein. Als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen werden in eigens dafür bestimmten Registraturen vereinnahmt.
(3) In Dienststellen und Räumlichkeiten, in denen EU-VS bearbeitet oder aufbewahrt werden, sind regelmäßig Inspektionen durch die zuständige Sicherheitsbehörde durchzuführen.
(4) EU-VS werden zwischen Dienststellen und Räumlichkeiten außerhalb von physisch geschützten Bereichen wie folgt befördert:
a)
In der Regel werden EU-VS elektronisch übermittelt und dabei durch kryptografische Produkte geschützt, die gemäß Artikel 10 Absatz 6 zugelassen wurden;
b)
wenn die unter Buchstabe a genannten Mittel nicht verwendet werden, erfolgt die Beförderung von EU-VS entweder
i)
auf elektronischen Datenträgern (z. B. USB-Sticks, CDs, Festplattenlaufwerken), die durch kryptografische Produkte geschützt sind, die nach Artikel 10 Absatz 6 zugelassen wurden, oder
ii)
in allen anderen Fällen gemäß den Vorschriften der zuständigen Sicherheitsbehörde im Einklang mit den einschlägigen Schutzmaßnahmen des Anhangs III.
(5) Die Bestimmungen zur Anwendung dieses Artikels sind in den Anhängen III und IV enthalten.
Artikel 10
Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden
(1) Informationssicherung (Information Assurance, IA) im Bereich von Kommunikations- und Informationssystemen beinhaltet das Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Risikomanagementprozess.
(2) Ein „Kommunikations- und Informationssystem“ ist ein System, das die Bearbeitung von Informationen in elektronischer Form ermöglicht. Zu einem Kommunikations- und Informationssystem gehören sämtliche für seinen Betrieb benötigten Voraussetzungen, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen. Dieser Beschluss gilt für Kommunikations- und Informationssysteme, mit denen EU-VS bearbeitet werden.
(3) In Kommunikations- und Informationssystemen werden EU-VS gemäß dem Konzept der Informationssicherung bearbeitet.
(4) Alle Kommunikations- und Informationssysteme werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der EU-VS und des Kommunikations- und Informationssystems gemäß diesem Beschluss erreicht wird. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in dem Kommunikations- und Informationssystem bearbeitet werden dürfen.
(5) Es werden Sicherungsmaßnahmen getroffen, um Kommunikations- und Informationssysteme, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen bearbeitet werden, so zu schützen, dass von den betreffenden Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“). Diese Sicherheitsmaßnahmen müssen dem Risiko der Ausnutzung und dem Geheimhaltungsgrad der Informationen entsprechen.
(6) Wird der Schutz von EU-VS mit kryptografischen Produkten sichergestellt, so sind diese Produkte folgendermaßen zuzulassen:
a)
Die Vertraulichkeit von als „SECRET UE/EU SECRET“ und höher eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Rat als Krypto-Zulassungsstelle (Crypto Approval Authority, CAA) auf Empfehlung des Sicherheitsausschusses zugelassen wurden;
b)
die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Generalsekretär des Rates (im Folgenden „Generalsekretär“) als CAA auf Empfehlung des Sicherheitsausschusses zugelassen wurden.
Ungeachtet des Buchstabens b kann die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften EU-VS innerhalb der nationalen Systeme der Mitgliedstaaten durch kryptografische Produkte geschützt werden, die von der CAA eines Mitgliedstaats zugelassen wurden.
(7) Bei der Übermittlung von EU-VS auf elektronischem Wege werden zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen spezielle Verfahren oder spezielle technische Konfigurationen nach Maßgabe des Anhangs IV angewendet werden.
(8) Die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten legen jeweils die folgenden Funktionen für Informationssicherung fest:
a)
eine Stelle für Informationssicherung (IAA),
b)
eine TEMPEST-Stelle (TA),
c)
eine Krypto-Zulassungsstelle (CAA),
d)
eine Krypto-Verteilungsstelle (CDA).
(9) Für jedes System legen die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten jeweils Folgendes fest:
a)
eine Sicherheits-Akkreditierungsstelle (SAA),
b)
eine für den Betrieb zuständige Stelle für Informationssicherung.
(10) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang IV enthalten.
Artikel 11
Geheimschutz in der Wirtschaft
(1) Der Geheimschutz in der Wirtschaft beinhaltet die Anwendung von Maßnahmen, die darauf abzielen, den Schutz von EU-VS durch Auftragnehmer oder Subauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der gesamten Laufzeit des als Verschlusssache eingestuften Auftrags zu gewährleisten. Diese Aufträge beinhalten nicht den Zugang zu als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen.
(2) Das Generalsekretariat des Rates kann industrielle oder andere Unternehmen, die in einem Mitgliedstaat oder in einem Drittstaat, der ein Abkommen oder eine Verwaltungsvereinbarung nach Artikel 13 Absatz 2 Buchstabe a oder b mit der EU geschlossen hat, eingetragen sind, vertraglich mit Aufträgen betrauen, die den Zugang zu oder die Bearbeitung oder Aufbewahrung von EU-VS beinhalten oder nach sich ziehen.
(3) Das Generalsekretariat des Rates stellt als Vergabebehörde sicher, dass die in diesem Beschluss festgelegten und in dem Vertrag genannten Mindeststandards für den Geheimschutz in der Wirtschaft eingehalten werden, wenn als Verschlusssache eingestufte Aufträge von ihm an industrielle oder andere Unternehmen vergeben werden.
(4) Die Nationale Sicherheitsbehörde (National Security Authority, NSA), die Beauftragte Sicherheitsbehörde (Designated Security Authority, DSA) oder eine andere zuständige Behörde jedes Mitgliedstaats stellt, soweit dies nach den innerstaatlichen Rechtsvorschriften möglich ist, sicher, dass in ihrem Hoheitsgebiet eingetragene Auftragnehmer und Subauftragnehmer alle geeigneten Maßnahmen zum Schutz von EU-VS bei den Verhandlungen vor der Auftragsvergabe oder bei der Ausführung eines als Verschlusssache eingestuften Auftrags treffen.
(5) Die Nationale Sicherheitsbehörde, die Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde jedes Mitgliedstaats stellt gemäß den innerstaatlichen Rechtsvorschriften sicher, dass in dem jeweiligen Mitgliedstaat eingetragene Auftragnehmer und Subauftragnehmer, die an als Verschlusssache eingestuften Aufträgen oder Subaufträgen beteiligt sind, die den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuften Verschlusssachen in ihren Räumlichkeiten erfordern, entweder bei der Ausführung dieser Aufträge oder bei den Verhandlungen vor der Auftragsvergabe im Besitz eines Sicherheitsbescheids für Unternehmen (Facility Security Clearance, FSC) der entsprechenden Geheimhaltungsstufe sind.
(6) Dem Personal des Auftragnehmers oder Subauftragnehmers, das zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ erhalten muss, wird von der jeweiligen Nationalen Sicherheitsbehörde, der Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde gemäß den innerstaatlichen Rechtsvorschriften und den Mindeststandards in Anhang I eine Sicherheitsermächtigung (Personnel Security Clearance, PSC) erteilt.
(7) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang V enthalten.
Artikel 12
Weitergabe von EU-VS
(1) Der Rat legt die Bedingungen fest, unter denen er in seinem Besitz befindliche EU-VS an andere Organe, Einrichtungen oder sonstige Stellen der Union weitergibt. Dazu kann ein geeigneter Rahmen geschaffen werden, unter anderem gegebenenfalls durch entsprechende interinstitutionelle oder sonstige Vereinbarungen.
(2) Mit einem solchen Rahmen wird sichergestellt, dass EU-VS ihrem Geheimhaltungsgrad entsprechend sowie nach Grundsätzen und Mindeststandards geschützt werden, die denen in diesem Beschluss festgelegten Grundsätzen und Mindeststandards gleichwertig sind.
Artikel 13
Austausch von Verschlusssachen mit Drittstaaten und internationalen Organisationen
(1) Entscheidet der Rat, dass EU-VS mit einem Drittstaat oder einer internationalen Organisation ausgetauscht werden müssen, so werden die hierfür erforderlichen rechtlichen Grundlagen geschaffen.
(2) Zur Festlegung dieser Grundlagen und der für beide Parteien geltenden Vorschriften für den Schutz von ausgetauschten Verschlusssachen
a)
schließt die Union Abkommen mit Drittstaaten oder internationalen Organisationen über Sicherheitsverfahren für den Austausch und den Schutz von Verschlusssachen (im Folgenden „Geheimschutzabkommen“) oder
b)
kann der Generalsekretär im Namen des Generalsekretariats des Rates Verwaltungsvereinbarungen gemäß Anhang VI Nummer 17 schließen, sofern die weiterzugebenden EU-VS in der Regel nicht höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind.
(3) Die Geheimschutzabkommen oder Verwaltungsvereinbarungen nach Absatz 2 enthalten Bestimmungen, mit denen sichergestellt wird, dass EU-VS nach Entgegennahme durch Drittstaaten oder internationale Organisationen in einer ihrem Geheimhaltungsgrad angemessenen Weise nach Maßgabe von Mindeststandards geschützt werden, die zumindest den in diesem Beschluss festgelegten Mindeststandards entsprechen.
(4) Der Beschluss, EU-VS des Rates an einen Drittstaat oder eine internationale Organisation weiterzugeben, wird vom Rat von Fall zu Fall nach Maßgabe von Art und Inhalt dieser Verschlusssachen, des Grundsatzes „Kenntnis nur, wenn nötig“ und der Vorteile für die Union gefasst. Sind die Verschlusssachen, um deren Weitergabe ersucht wird, nicht vom Rat herausgegeben worden, so holt das Generalsekretariat des Rates zunächst die schriftliche Zustimmung des Herausgebers zur Weitergabe der Verschlusssachen ein. Kann der Herausgeber nicht ermittelt werden, so trifft der Rat an seiner Stelle die Entscheidung.
(5) Zur Überprüfung der Wirksamkeit der Sicherheitsvorkehrungen, die Drittstaaten oder internationale Organisationen zum Schutz bereitgestellter oder ausgetauschter EU-VS getroffen haben, werden Bewertungsbesuche durchgeführt.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang VI enthalten.
Artikel 14
Verletzungen der Sicherheit und Kenntnisnahme von EU-VS durch Unbefugte
(1) Zu einer Verletzung der Sicherheit kommt es durch eine Handlung oder Unterlassung seitens einer Person, die den in diesem Beschluss festgelegten Sicherheitsvorschriften zuwiderläuft.
(2) Eine Kenntnisnahme von EU-VS durch Unbefugte liegt vor, wenn EU-VS infolge einer Verletzung der Sicherheit ganz oder teilweise an unbefugte Personen weitergegeben wurden.
(3) Verletzungen oder vermutete Verletzungen der Sicherheit werden der zuständigen Sicherheitsbehörde unverzüglich gemeldet.
(4) Wird bekannt oder besteht berechtigter Grund zu der Annahme, dass EU-VS Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, trifft die Nationale Sicherheitsbehörde oder sonstige zuständige Behörde nach Maßgabe der einschlägigen Rechtsvorschriften alle geeigneten Maßnahmen, um
a)
den Herausgeber zu verständigen;
b)
sicherzustellen, dass der Fall zur Aufklärung des Sachverhalts von Personal untersucht wird, das von der Verletzung nicht unmittelbar betroffen ist;
c)
den potenziellen Schaden für die Interessen der Union oder der Mitgliedstaaten einzuschätzen;
d)
die geeigneten Maßnahmen zu treffen, damit ein solcher Vorfall sich nicht wiederholt, und
e)
die zuständigen Stellen über die getroffenen Maßnahmen zu unterrichten.
(5) Gegen jede Person, die für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften ergriffen werden. Gegen jede Person, die für die Kenntnisnahme von EU-VS durch Unbefugte oder deren Verlust verantwortlich ist, können gemäß den geltenden Rechtsvorschriften Disziplinarmaßnahmen ergriffen und/oder rechtliche Schritte unternommen werden.
Artikel 15
Verantwortung für die Durchführung
(1) Der Rat ergreift alle erforderlichen Maßnahmen, um die insgesamt übereinstimmende Anwendung dieses Beschlusses sicherzustellen.
(2) Der Generalsekretär trifft alle erforderlichen Maßnahmen, um sicherzustellen, dass die Bestimmungen dieses Beschlusses bei der Bearbeitung und Aufbewahrung von EU-VS oder anderen Verschlusssachen in den vom Rat genutzten Räumlichkeiten und im Generalsekretariat des Rates von den Beamten und sonstigen Bediensteten des Generalsekretariats des Rates, von zum Generalsekretariat des Rates abgeordnetem Personal und von Vertragspartnern des Generalsekretariats des Rates angewandt werden.
(3) Die Mitgliedstaaten treffen nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften alle geeigneten Maßnahmen, um sicherzustellen, dass dieser Beschluss bei der Bearbeitung und Aufbewahrung von EU-VS von dem folgenden Personenkreis eingehalten wird:
a)
dem Personal der Ständigen Vertretungen der Mitgliedstaaten bei der Europäischen Union sowie den nationalen Delegierten, die an Tagungen des Rates oder Sitzungen seiner Vorbereitungsgremien teilnehmen bzw. in sonstige Tätigkeiten des Rates einbezogen sind;
b)
sonstigem Personal in den nationalen Verwaltungen der Mitgliedstaaten, einschließlich des zu diesen Verwaltungen abgeordneten Personals, unabhängig davon, ob es innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten Dienst tut;
c)
sonstigen Personen, die in den Mitgliedstaaten aufgrund ihrer Aufgaben förmlich zum Zugang zu EU-VS ermächtigt worden sind, und
d)
Vertragspartnern der Mitgliedstaaten, unabhängig davon, ob sie innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten tätig sind.
Artikel 16
Organisation der Sicherheit im Rat
(1) Im Rahmen seiner Funktion bei der Gewährleistung der insgesamt übereinstimmenden Anwendung dieses Beschlusses billigt der Rat
a)
Abkommen gemäß Artikel 13 Absatz 2 Buchstabe a;
b)
Beschlüsse zur Genehmigung oder Zustimmung zu der Weitergabe von vom Rat herausgegebenen oder in seinem Besitz befindlichen EU-VS an Drittstaaten und internationale Organisationen im Einklang mit dem Grundsatz der Zustimmung des Herausgebers;
c)
ein jährliches Programm für Bewertungsbesuche, das vom Sicherheitsausschuss empfohlen wird, für Besuche zur Bewertung von Dienststellen und Räumlichkeiten der Mitgliedstaaten und von Einrichtungen, Agenturen und Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, und für Bewertungsbesuche in Drittstaaten und bei internationalen Organisationen zur Überprüfung der Wirksamkeit der zum Schutz von EU-VS durchgeführten Maßnahmen und
d)
Sicherheitskonzepte gemäß Artikel 6 Absatz 1.
(2) Der Generalsekretär ist die Sicherheitsbehörde des Generalsekretariats des Rates. In dieser Funktion
a)
führt er das Sicherheitskonzept des Rates durch und überprüft es fortlaufend;
b)
stimmt er sich mit den Nationalen Sicherheitsbehörden der Mitgliedstaaten zu allen Sicherheitsfragen ab, die den Schutz von Verschlusssachen betreffen, die für die Tätigkeiten des Rates relevant sind;
c)
erteilt er Beamten und sonstigen Bediensteten des Generalsekretariats des Rates sowie abgeordneten nationalen Experten die Genehmigung gemäß Artikel 7 Absatz 3 für den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen;
d)
ordnet er gegebenenfalls eine Untersuchung an, wenn feststeht oder vermutet wird, dass im Besitz des Rates befindliche oder vom Rat herausgegebene Verschlusssachen Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, und ersucht die einschlägigen Sicherheitsbehörden um Unterstützung bei derartigen Untersuchungen;
e)
führt er regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von Verschlusssachen in den Räumlichkeiten des Generalsekretariats des Rates getroffen wurden;
f)
führt er regelmäßige Besuche zur Bewertung der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Einrichtungen, Agenturen und Stellen der Union, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, getroffen wurden;
g)
führt er gemeinsam und im Einvernehmen mit den betreffenden Nationalen Sicherheitsbehörden regelmäßige Bewertungen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Dienststellen und Räumlichkeiten der Mitgliedstaaten getroffen wurden;
h)
sorgt er dafür, dass Sicherheitsmaßnahmen bei Bedarf mit den für den Schutz von Verschlusssachen zuständigen Behörden der Mitgliedstaaten und gegebenenfalls mit Drittstaaten oder internationalen Organisationen - auch hinsichtlich der Art der Bedrohungen der Sicherheit von EU-VS und entsprechender Schutzmaßnahmen - abgestimmt werden, und
i)
schließt er die Verwaltungsvereinbarungen nach Artikel 13 Absatz 2 Buchstabe b.
Das Sicherheitsbüro des Generalsekretariats des Rates steht dem Generalsekretär bei diesen Aufgaben unterstützend zur Verfügung.
(3) Zur Durchführung von Artikel 15 Absatz 3 sollten die Mitgliedstaaten wie folgt verfahren:
a)
Sie benennen eine Nationale Sicherheitsbehörde, wie in Anlage C aufgeführt, die für die Sicherheitsvorkehrungen zum Schutz von EU-VS zuständig ist, damit
i)
EU-VS, die sich im Besitz einer öffentlichen oder privaten Stelle oder Einrichtung ihres Landes im In- oder Ausland befinden, gemäß diesem Beschluss geschützt werden;
ii)
die Sicherheitsvorkehrungen für den Schutz von EU-VS regelmäßig überprüft oder bewertet werden;
iii)
alle in einer nationalen Verwaltung oder von einem Auftragnehmer beschäftigten Personen, denen Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen gewährt werden kann, einer ordnungsgemäßen Sicherheitsüberprüfung unterzogen oder auf anderer Grundlage nach Maßgabe der innerstaatlichen Rechtsvorschriften aufgrund ihres Aufgabenbereichs ordnungsgemäß ermächtigt worden sind;
iv)
die Sicherheitsprogramme erstellt werden, die erforderlich sind, um das Risiko einer Kenntnisnahme von EU-VS durch Unbefugte oder eines Verlusts von EU-VS so gering wie möglich zu halten;
v)
Sicherheitsfragen im Zusammenhang mit dem Schutz von EU-VS mit anderen auf nationaler Ebene zuständigen Stellen koordiniert werden, einschließlich jener, die in diesem Beschluss genannt werden, und
vi)
Ersuchen um geeignete Sicherheitsüberprüfung nachgekommen wird, die insbesondere von Einrichtungen, Agenturen und Stellen, bei Operationen der Union, die im Rahmen des Titels V Kapitel 2 EUV geschaffen bzw. eingeleitet wurden, sowie von EU-Sonderbeauftragten und ihrem Personal, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, gestellt werden.
b)
Sie gewährleisten, dass ihre zuständigen Stellen ihre Regierung und - über diese - den Rat über die Art der Bedrohungen der Sicherheit von EU-VS und entsprechende Schutzmaßnahmen informieren und beraten.
Artikel 17
Sicherheitsausschuss
(1) Es wird ein Sicherheitsausschuss eingesetzt. Er prüft und bewertet Sicherheitsfragen, die in den Anwendungsbereich dieses Beschlusses fallen, und legt dem Rat gegebenenfalls Empfehlungen vor.
(2) Der Sicherheitsausschuss setzt sich aus Vertretern der Nationalen Sicherheitsbehörden der Mitgliedstaaten zusammen; ein Vertreter der Kommission und des EAD nimmt an den Sitzungen des Ausschusses teil. Den Vorsitz im Ausschuss führt der Generalsekretär oder eine von ihm beauftragte Person. Der Sicherheitsausschuss tritt gemäß dem vom Rat erteilten Mandat oder auf Antrag des Generalsekretärs oder einer Nationalen Sicherheitsbehörde zusammen.
Vertreter von Einrichtungen, Agenturen und Stellen der Union, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, können zur Teilnahme an den Sitzungen eingeladen werden, wenn Fragen erörtert werden, die sie betreffen.
(3) Der Sicherheitsausschuss organisiert seine Tätigkeit so, dass er Empfehlungen zu speziellen Sicherheitsfragen geben kann. Er setzt eine Fachuntergruppe für Fragen der Informationssicherung und bei Bedarf weitere Fachuntergruppen ein. Er legt das Mandat für diese Fachuntergruppen fest und erhält von diesen Berichte über ihre Tätigkeit, die gegebenenfalls Empfehlungen an den Rat enthalten.
Artikel 18
Ersetzung des bisherigen Beschlusses
(1) Der Beschluss 2011/292/EU des Rates (2) wird durch den vorliegenden Beschluss aufgehoben und ersetzt.
(2) Alle gemäß dem Beschluss 2001/264/EG des Rates (3) und dem Beschluss 2011/292/EU eingestuften EU-VS werden weiter gemäß den einschlägigen Bestimmungen dieses Beschlusses geschützt.
Artikel 19
Inkrafttreten
Dieser Beschluss tritt am Tag seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Geschehen zu Brüssel am 23. September 2013.