ΑΠΌΦΑΣΗ ΤΟΥ ΣΥΜΒΟΥΛΊΟΥ
της 31ης Μαρτίου 2011
σχετικά με τους κανόνες ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ
(2011/292/ΕΕ)
ΤΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ,
Έχοντας υπόψη τη συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης, και ιδίως το άρθρο 240 παράγραφος 3,
Έχοντας υπόψη την απόφαση 2009/937/EE του Συμβουλίου, της 1ης Δεκεμβρίου 2009, για την έγκριση του εσωτερικού του κανονισμού (1), και ιδίως το άρθρο 24,
Εκτιμώντας τα ακόλουθα:
(1)
Προκειμένου να αναπτυχθούν οι δραστηριότητες του Συμβουλίου σε όλους τους τομείς όπου απαιτείται χειρισμός διαβαθμισμένων πληροφοριών, είναι σκόπιμο να θεσπισθεί ολοκληρωμένο σύστημα ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών το οποίο θα καλύπτει το Συμβούλιο, τη Γενική Γραμματεία του και τα κράτη μέλη.
(2)
Η παρούσα απόφαση δέον να εφαρμόζεται οσάκις το Συμβούλιο, τα προπαρασκευαστικά όργανά του και η Γενική Γραμματεία του Συμβουλίου (ΓΓΣ) χειρίζονται διαβαθμισμένες πληροφορίες ΕΕ (ΔΠΕΕ).
(3)
Σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις και στον βαθμό που απαιτείται για τη λειτουργία του Συμβουλίου, τα κράτη μέλη πρέπει να τηρούν την παρούσα απόφαση όταν οι αρμόδιες αρχές, το προσωπικό ή οι εργολάβοι τους χειρίζονται ΔΠΕΕ, προκειμένου να έχουν τη βεβαιότητα ότι εξασφαλίζεται ισοδύναμο επίπεδο προστασίας για τις ΔΠΕΕ.
(4)
Το Συμβούλιο και η Επιτροπή έχουν δεσμευθεί να εφαρμόζουν ισοδύναμες προδιαγραφές ασφαλείας για την προστασία των ΔΠΕΕ.
(5)
Το Συμβούλιο υπογραμμίζει τη σημασία της συμμετοχής του Ευρωπαϊκού Κοινοβουλίου και άλλων θεσμικών οργάνων, υπηρεσιών, οργανισμών ή γραφείων της ΕΕ, όπου ενδείκνυται, στην εφαρμογή των αρχών, προδιαγραφών και κανόνων προστασίας των διαβαθμισμένων πληροφοριών που απαιτούνται για την προστασία των συμφερόντων της Ένωσης και των κρατών μελών.
(6)
Οι οργανισμοί και οι υπηρεσίες της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της συνθήκης για την Ευρωπαϊκή Ένωση, η Europol και η Eurojust εφαρμόζουν, στο πλαίσιο της εσωτερικής τους οργάνωσης, τις βασικές αρχές και τις ελάχιστες προδιαγραφές της παρούσας απόφασης για την προστασία των ΔΠΕΕ, όπως καθορίζονται στις αντίστοιχες ιδρυτικές πράξεις τους.
(7)
Στις επιχειρήσεις διαχείρισης κρίσεων που προβλέπονται δυνάμει του τίτλου V κεφάλαιο 2 της συνθήκης ΕΕ και στο προσωπικό τους εφαρμόζονται οι κανόνες ασφαλείας που θεσπίζει το Συμβούλιο για την προστασία των ΔΠΕΕ.
(8)
Οι ειδικοί εντεταλμένοι της ΕΕ και τα μέλη των ομάδων τους εφαρμόζουν τους κανόνες ασφαλείας που θεσπίζει το Συμβούλιο για την προστασία των ΔΠΕΕ.
(9)
Η παρούσα απόφαση λαμβάνεται με την επιφύλαξη των άρθρων 15 και 16 της συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) ΕΚ και των πράξεων εφαρμογής τους.
(10)
Η παρούσα απόφαση λαμβάνεται με την επιφύλαξη της πρακτικής των κρατών μελών όσον αφορά την ενημέρωση των εθνικών κοινοβουλίων τους για τις δραστηριότητες της Ένωσης,
ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
Άρθρο 1
Σκοπός, πεδίο εφαρμογής και ορισμοί
1. Η παρούσα απόφαση καθορίζει τις βασικές αρχές και τις ελάχιστες προδιαγραφές ασφαλείας για την προστασία των ΔΠΕΕ.
2. Οι εν λόγω βασικές αρχές και ελάχιστες προδιαγραφές θα ισχύουν για το Συμβούλιο και τη ΓΓΣ και θα τηρούνται από τα κράτη μέλη, σύμφωνα με τις αντίστοιχες εθνικές νομοθετικές και κανονιστικές τους διατάξεις, προκειμένου τα κράτη να έχουν τη βεβαιότητα ότι παρέχεται ισοδύναμο επίπεδο προστασίας στις ΔΠΕΕ.
3. Για τους σκοπούς της παρούσας οδηγίας ισχύουν οι ορισμοί του προσαρτήματος Α.
Άρθρο 2
Ορισμός των ΔΠΕΕ, διαβαθμίσεις και σημάνσεις ασφαλείας
1. «Διαβαθμισμένες πληροφορίες ΕΕ» (ΔΠΕΕ): κάθε πληροφορία ή υλικό που έχει χαρακτηρισθεί με διαβάθμιση ασφαλείας ΕΕ και των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών.
2. Οι ΔΠΕΕ διαβαθμίζονται σε ένα από τα παρακάτω επίπεδα:
α) TRÈS SECRET UE/EU TOP SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να προξενήσει εξαιρετικά σοβαρή ζημία στα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών·
β) SECRET UE/EU SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει σοβαρά τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών της·
γ) CONFIDENTIEL UE/EU CONFIDENTIAL: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών της·
δ) RESTREINT UE/EU RESTRICTED: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να είναι αντίθετη προς τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών της.
3. Οι ΔΠΕΕ φέρουν σήμανση διαβάθμισης ασφαλείας σύμφωνα με την παράγραφο 2. Μπορούν να φέρουν πρόσθετες σημάνσεις με τις οποίες ορίζεται ο τομέας δραστηριότητας με τον οποίο σχετίζονται, προσδιορίζεται ο φορέας προέλευσης, περιορίζεται η διανομή, περιορίζεται η χρήση ή δηλώνεται η δυνατότητα κοινοποίησης.
Άρθρο 3
Διαχείριση των διαβαθμίσεων
1. Οι αρμόδιες αρχές μεριμνούν για την ορθή διαβάθμιση των ΔΠΕΕ, τον σαφή προσδιορισμό τους ως διαβαθμισμένων πληροφοριών, καθώς και για τη διατήρηση του επιπέδου διαβάθμισής τους μόνο για το διάστημα που είναι απαραίτητο.
2. Οι ΔΠΕΕ δεν υποχαρακτηρίζονται ούτε αποχαρακτηρίζονται ούτε τροποποιείται ή αφαιρείται οποιαδήποτε από τις σημάνσεις που αναφέρονται στο άρθρο 2 παράγραφος 3 χωρίς προηγούμενη γραπτή συγκατάθεση του φορέα προέλευσης.
3. Το Συμβούλιο εγκρίνει πολιτική ασφαλείας για τη δημιουργία ΔΠΕΕ η οποία θα περιλαμβάνει πρακτικό οδηγό των διαβαθμίσεων ασφαλείας.
Άρθρο 4
Προστασία διαβαθμισμένων πληροφοριών
1. Η προστασία των ΔΠΕΕ γίνεται σύμφωνα με την παρούσα απόφαση.
2. Ο κάτοχος κάθε ΔΠΕΕ είναι υπεύθυνος για την προστασία της σύμφωνα με την παρούσα απόφαση.
3. Όταν τα κράτη μέλη αποστέλλουν διαβαθμισμένες πληροφορίες με εθνική σήμανση διαβάθμισης ασφαλείας στις δομές ή τα δίκτυα της Ευρωπαϊκής Ένωσης, το Συμβούλιο και η ΓΓΣ προστατεύουν τις πληροφορίες αυτές σύμφωνα με τις απαιτήσεις που ισχύουν για τις ΔΠΕΕ στο αντίστοιχο επίπεδο όπως ορίζεται στον πίνακα αντιστοιχίας των διαβαθμίσεων ασφαλείας του προσαρτήματος Β.
4. Ο μεγάλος αριθμός ή η συγκέντρωση ΔΠΕΕ μπορεί να δικαιολογεί επίπεδο προστασίας που να αντιστοιχεί σε υψηλότερη διαβάθμιση.
Άρθρο 5
Διαχείριση των κινδύνων κατά της ασφάλειας
1. Οι κίνδυνοι κατά των ΔΠΕΕ αντιμετωπίζονται στο πλαίσιο διαδικασίας. Η διαδικασία αυτή αποσκοπεί στον προσδιορισμό των γνωστών κινδύνων κατά της ασφάλειας, τον καθορισμό μέτρων ασφαλείας για τον περιορισμό των κινδύνων αυτών σε αποδεκτό επίπεδο σύμφωνα με τις βασικές αρχές και τις ελάχιστες προδιαγραφές της παρούσας απόφασης και στην εφαρμογή των εν λόγω μέτρων σύμφωνα με την έννοια της ασφάλειας εις βάθος όπως ορίζεται στο προσάρτημα Α. Η αποτελεσματικότητα των μέτρων τελεί υπό συνεχή αξιολόγηση.
2. Τα μέτρα ασφαλείας για την προστασία των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους πρέπει να είναι ανάλογα, ιδίως προς τη διαβάθμιση ασφαλείας τους, τη μορφή και τον όγκο των πληροφοριών ή του υλικού, την τοποθεσία και την κατασκευή των εγκαταστάσεων όπου ευρίσκονται ΔΠΕΕ και την επιτόπου εκτιμώμενη απειλή δόλιων ή/και εγκληματικών δραστηριοτήτων, συμπεριλαμβανομένης της κατασκοπείας, της δολιοφθοράς και της τρομοκρατίας.
3. Τα σχέδια έκτακτης ανάγκης λαμβάνουν υπόψη την ανάγκη προστασίας των ΔΠΕΕ σε καταστάσεις έκτακτης ανάγκης προκειμένου να εμποδίζονται η αναρμόδια πρόσβαση, η κοινολόγηση και η απώλεια ακεραιότητας ή διαθεσιμότητας.
4. Προληπτικά και επανορθωτικά μέτρα με στόχο να ελαχιστοποιούνται οι συνέπειες σοβαρών αστοχιών ή συμβάντων κατά τον χειρισμό και την αποθήκευση ΔΠΕΕ πρέπει να περιλαμβάνονται στα σχέδια συνέχισης των δραστηριοτήτων.
Άρθρο 6
Εφαρμογή της παρούσας απόφασης
1. Εφόσον απαιτείται, το Συμβούλιο, κατόπιν συστάσεως της Επιτροπής Ασφαλείας, εγκρίνει πολιτικές ασφαλείας καθορίζοντας μέτρα για την εφαρμογή της παρούσας οδηγίας.
2. Η Επιτροπή Ασφαλείας μπορεί να συμφωνήσει στο επίπεδό της κατευθυντήριες γραμμές ασφαλείας προκειμένου να συμπληρώσει ή να υποστηρίξει την παρούσα απόφαση και τις ενδεχόμενες πολιτικές ασφαλείας που εγκρίνει το Συμβούλιο.
Άρθρο 7
Ασφάλεια προσωπικού
1. Ως ασφάλεια προσωπικού νοείται η εφαρμογή μέτρων προκειμένου να εξασφαλίζεται ότι πρόσβαση στις ΔΠΕΕ επιτρέπεται μόνο στα πρόσωπα τα οποία έχουν:
-
ανάγκη γνώσης,
-
λάβει εξουσιοδότηση ασφαλείας του αντίστοιχου επιπέδου, εφόσον απαιτείται, και
-
ενημερωθεί ως προς τις ευθύνες τους.
2. Οι διαδικασίες ελέγχου ασφαλείας του προσωπικού αποσκοπούν στην εξακρίβωση του κατά πόσον μπορεί να επιτραπεί σε ένα πρόσωπο, βάσει της νομιμοφροσύνης, της φερεγγυότητας και της αξιοπιστίας του, η πρόσβαση σε ΔΠΕΕ.
3. Όλα τα πρόσωπα εντός της ΓΓΣ των οποίων τα καθήκοντα μπορεί να καθιστούν αναγκαία την πρόσβαση σε ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη λαμβάνουν εξουσιοδότηση ασφαλείας του αντίστοιχου επιπέδου προτού τους επιτραπεί η πρόσβαση στις εν λόγω ΔΠΕΕ. Η διαδικασία εξουσιοδότησης ασφαλείας του προσωπικού για τους υπαλλήλους της ΓΓΣ και το λοιπό προσωπικό καθορίζεται στο παράρτημα Ι.
4. Το αναφερόμενο στο άρθρο 14 παράγραφος 3 προσωπικό των κρατών μελών του οποίου τα καθήκοντα μπορεί να καθιστούν αναγκαία την πρόσβαση σε ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη λαμβάνει εξουσιοδότηση ασφαλείας του αντίστοιχου επιπέδου ή άλλη κατάλληλη εξουσιοδότηση βάσει των καθηκόντων του, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, προτού του επιτραπεί η πρόσβαση στις εν λόγω ΔΠΕΕ.
5. Προτού τους επιτραπεί πρόσβαση σε ΔΠΕΕ και κατά τακτά χρονικά διαστήματα στη συνέχεια, όλα τα πρόσωπα ενημερώνονται και δηλώνουν ότι έχουν κατανοήσει σαφώς την ευθύνη τους να προστατεύουν τις ΔΠΕΕ σύμφωνα με την παρούσα απόφαση.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα Ι.
Άρθρο 8
Φυσική ασφάλεια
1. Φυσική ασφάλεια είναι η εφαρμογή φυσικών και τεχνικών μέτρων προστασίας προκειμένου να εμποδίζεται η αναρμόδια πρόσβαση σε ΔΠΕΕ.
2. Τα μέτρα φυσικής ασφαλείας σχεδιάζονται έτσι ώστε να μην επιτρέπεται η λαθραία ή βίαιη είσοδος αναρμοδίων, να αποτρέπονται, να παρεμποδίζονται και να ανιχνεύονται οι μη εξουσιοδοτημένες ενέργειες και να καθίσταται δυνατός ο διαχωρισμός του προσωπικού όσον αφορά την πρόσβασή του σε ΔΠΕΕ βάσει της «ανάγκης γνώσης». Τα μέτρα αυτά καθορίζονται βάσει διαδικασίας διαχείρισης κινδύνων.
3. Τα μέτρα φυσικής ασφάλειας τίθενται σε ισχύ για όλους τους χώρους, τα κτίρια, τα γραφεία, τις αίθουσες και άλλα μέρη όπου γίνεται ο χειρισμός ή η αποθήκευση ΔΠΕΕ, συμπεριλαμβανομένων των χώρων που στεγάζουν συστήματα επικοινωνίας και πληροφοριών, όπως ορίζονται στο άρθρο 10 παράγραφος 2.
4. Οι χώροι στους οποίους αποθηκεύονται ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη καθορίζονται ως χώροι ασφαλείας σύμφωνα με το Παράρτημα ΙΙ και εγκρίνονται από την αρμόδια αρχή ασφαλείας.
5. Μόνο εγκεκριμένος εξοπλισμός ή εγκεκριμένες συσκευές χρησιμοποιούνται για την προστασία ΔΠΕΕ σε επίπεδο CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερο.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα ΙΙ.
Άρθρο 9
Διαχείριση διαβαθμισμένων πληροφοριών
1. Διαχείριση των διαβαθμισμένων πληροφοριών είναι η εφαρμογή διοικητικών μέτρων για τον έλεγχο των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους με στόχο τη συμπλήρωση των μέτρων που προβλέπουν τα άρθρα 7, 8 και 10 και την κατ’ αυτόν τον τρόπο συμβολή στην αποτροπή και ανίχνευση εσκεμμένων ή τυχαίων διαρροών ή απωλειών των εν λόγω πληροφοριών, καθώς και στην ανάκτησή τους. Τα εν λόγω μέτρα αφορούν ειδικότερα τη δημιουργία, την καταχώριση, την αντιγραφή, τη μετάφραση, τη μεταφορά και την καταστροφή ΔΠΕΕ.
2. Οι πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη καταχωρούνται, για λόγους ασφαλείας, πριν από τη διανομή και κατά την παραλαβή. Οι αρμόδιες αρχές στη ΓΓΣ και τα κράτη μέλη καθιερώνουν γραμματειακό σύστημα προς τούτο. Πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET καταχωρούνται σε ειδικές προς τούτο γραμματείες.
3. Οι υπηρεσίες και οι χώροι χειρισμού ή αποθήκευσης ΔΠΕΕ υπόκεινται σε τακτική επιθεώρηση από την αρμόδια αρχή ασφαλείας.
4. Οι ΔΠΕΕ διαβιβάζονται μεταξύ των υπηρεσιών και των εγκαταστάσεων που ευρίσκονται εκτός των περιοχών που τυγχάνουν φυσικής προστασίας ως εξής:
α)
κατά κανόνα, οι ΔΠΕΕ διαβιβάζονται με ηλεκτρονικά μέσα προστατευόμενα με κρυπτογραφικά προϊόντα που έχουν εγκριθεί σύμφωνα με το άρθρο 10 παράγραφος 6·
β)
όταν δεν χρησιμοποιούνται τα μέσα που αναφέρονται στο στοιχείο α), οι ΔΠΕΕ μεταφέρονται:
i)
είτε με ηλεκτρονικά μέσα (π.χ. κλειδιά USB, CD, σκληρούς δίσκους) που προστατεύονται με κρυπτογραφικά προϊόντα εγκεκριμένα σύμφωνα με το άρθρο 10 παράγραφος 6·
ii)
είτε, σε κάθε άλλη περίπτωση, όπως ορίζει η αρμόδια αρχή ασφαλείας σύμφωνα με τα σχετικά μέτρα προστασίας που ορίζονται στο παράρτημα ΙΙΙ.
5. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα ΙΙΙ.
Άρθρο 10
Προστασία των ΔΠΕΕ που αποτελούν αντικείμενο χειρισμού σε συστήματα επικοινωνίας και πληροφοριών
1. Διασφάλιση των πληροφοριών (IA) στον τομέα των συστημάτων επικοινωνίας και πληροφοριών είναι η βεβαιότητα ότι τα συστήματα αυτά θα προστατεύουν τις πληροφορίες που χειρίζονται και θα λειτουργούν οσοδήποτε και οποτεδήποτε χρειάζεται υπό τον έλεγχο των νομίμων χρηστών. Η αποτελεσματική ΙΑ εξασφαλίζει κατάλληλα επίπεδα εμπιστευτικότητας, ακεραιότητας, μη άρνησης αναγνώρισης των πληροφοριών και γνησιότητας. Η ΙΑ βασίζεται σε διαδικασία διαχείρισης κινδύνων.
2. Ως «σύστημα επικοινωνίας και πληροφοριών» νοείται οιοδήποτε σύστημα επιτρέπει τον χειρισμό πληροφοριών υπό ηλεκτρονική μορφή, με αυτόματα μέσα. Ένα σύστημα επικοινωνίας και πληροφοριών περιλαμβάνει το σύνολο των στοιχείων που απαιτούνται για τη λειτουργία του, συμπεριλαμβανομένων της υποδομής, της οργάνωσης, του προσωπικού και των πληροφοριών. Η παρούσα απόφαση εφαρμόζεται στα συστήματα επικοινωνίας και πληροφοριών που χειρίζονται ΔΠΕΕ (CIS).
3. Τα CIS χειρίζονται τις ΔΠΕΕ σύμφωνα με την έννοια της IA.
4. Όλα τα CIS υποβάλλονται σε διαδικασία έγκρισης της λειτουργίας. Η έγκριση λειτουργίας αποσκοπεί στη βεβαίωση ότι έχουν εφαρμοσθεί όλα τα ενδεδειγμένα μέτρα ασφαλείας και ότι έχει επιτευχθεί ικανοποιητικό επίπεδο προστασίας των ΔΠΕΕ και του CIS, σύμφωνα με την παρούσα απόφαση. Η δήλωση έγκρισης λειτουργίας καθορίζει το μέγιστο επιτρεπτό επίπεδο διαβάθμισης των πληροφοριών που μπορεί να χειρισθεί ένα CIS, καθώς και τους αντίστοιχους όρους και προϋποθέσεις.
5. Τα CIS που χειρίζονται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL και υψηλότερη προστατεύονται κατά τρόπον ώστε οι διαβαθμισμένες πληροφορίες να μη μπορούν να διαρρεύσουν μέσω ακούσιων ηλεκτρομαγνητικών εκπομπών («μέτρα ασφαλείας TEMPEST»).
6. Όταν η προστασία ΔΠΕΕ παρέχεται με κρυπτογραφικά προϊόντα, τα προϊόντα αυτά εγκρίνονται ως εξής:
α)
η εμπιστευτικότητα των πληροφοριών με διαβάθμιση τουλάχιστον SECRET UE/UE SECRET προστατεύεται με κρυπτογραφικά προϊόντα που εγκρίνει το Συμβούλιο ως Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (CAA) κατόπιν συστάσεως της Επιτροπής Ασφαλείας·
β)
η εμπιστευτικότητα των πληροφοριών με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή RESTREINT UE/EU RESTRICTED προστατεύεται με κρυπτογραφικά προϊόντα που εγκρίνει ο Γενικός Γραμματέας του Συμβουλίου (εφεξής «Γενικός Γραμματέας») ως CAA, κατόπιν συστάσεως της Επιτροπής Ασφαλείας.
Παρά τα οριζόμενα στο στοιχείο β), στο πλαίσιο των εθνικών συστημάτων των κρατών μελών, η εμπιστευτικότητα των ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή RESTREINT UE/EU RESTRICTED μπορεί να προστατεύεται με κρυπτογραφικά προϊόντα που εγκρίνει η CAA κράτους μέλους.
7. Κατά τη διαβίβαση ΔΠΕΕ με ηλεκτρονικά μέσα χρησιμοποιούνται εγκεκριμένα κρυπτογραφικά προϊόντα. Παρά την απαίτηση αυτή, μπορούν να χρησιμοποιούνται ειδικές διαδικασίες σε έκτακτες περιστάσεις ή ειδικές τεχνικές διαμορφώσεις όπως ορίζονται στο παράρτημα IV.
8. Οι αρμόδιες αρχές της ΓΓΣ και των κρατών μελών αντιστοίχως καθιερώνουν τις ακόλουθες λειτουργίες ΙΑ:
α)
μια Αρχή ΙΑ·
β)
μία Αρχή TEMPEST (TA)·
γ)
μια Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (CAA)·
δ)
μια Αρχή Διανομής Κρυπτογραφικών Μεθόδων (CDA).
9. Για κάθε σύστημα, οι αρμόδιες αρχές της ΓΓΣ και των κρατών μελών αντιστοίχως καθιερώνουν:
α)
μια Αρχή Πιστοποίησης της Ασφάλειας (ΑΠΑ)·
β)
μια Επιχειρησιακή Αρχή ΙΑ.
10. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο Παράρτημα ΙV.
Άρθρο 11
Βιομηχανική ασφάλεια
1. Ως βιομηχανική ασφάλεια νοείται η εφαρμογή μέτρων διασφάλισης της προστασίας των ΔΠΕΕ από τους εργολάβους ή τους υπεργολάβους κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και καθ’ όλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων. Οι συμβάσεις αυτές δεν περιλαμβάνουν πρόσβαση σε πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET.
2. Η ΓΓΣ μπορεί να αναθέτει με σύμβαση σε βιομηχανικούς ή άλλους φορείς που έχουν την έδρα τους σε κράτος μέλος ή σε τρίτο κράτος που έχει συνάψει συμφωνία ή διοικητικό διακανονισμό σύμφωνα με το άρθρο 12 παράγραφος 2 στοιχείο α) ή β) καθήκοντα που αφορούν ή συνεπάγονται πρόσβαση σε ΔΠΕΕ ή τον χειρισμό ή την αποθήκευσή τους.
3. Κατά την ανάθεση διαβαθμισμένων συμβάσεων σε βιομηχανικούς ή άλλους φορείς, η ΓΓΣ διασφαλίζει, ως αναθέτουσα αρχή, ότι τηρούνται οι ελάχιστες προδιαγραφές βιομηχανικής ασφάλειας που καθορίζονται στην παρούσα απόφαση και αναφέρονται στη σύμβαση.
4. Η Εθνική Αρχή Ασφαλείας (EAA), η Καθορισμένη Αρχή Ασφαλείας (ΚΑΑ) ή οποιαδήποτε άλλη αρμόδια αρχή κάθε κράτους μέλους εξασφαλίζει, στον βαθμό που επιτρέπεται δυνάμει εθνικών νομοθετικών και κανονιστικών διατάξεων, ότι οι εργολάβοι και οι υπεργολάβοι που έχουν την έδρα τους στο έδαφός τους λαμβάνουν άπαντα τα δέοντα μέτρα για την προστασία των ΔΠΕΕ κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και κατά την εκτέλεση διαβαθμισμένης σύμβασης.
5. Η EAA, η ΚΑΑ ή οιαδήποτε άλλη αρμόδια αρχή ασφαλείας κάθε κράτους μέλους εξασφαλίζει, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, ότι οι εργολάβοι ή υπεργολάβοι που έχουν την έδρα τους στο εν λόγω κράτος μέλος και συμμετέχουν σε διαβαθμισμένες συμβάσεις ή συμβάσεις υπεργολαβίας που απαιτούν την πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET μέσα στις εγκαταστάσεις τους, είτε κατά την εκτέλεση των συμβάσεων αυτών είτε κατά το προσυμβατικό στάδιο, πρέπει να διαθέτουν εξουσιοδότηση ασφαλείας φορέα (FSC) στο οικείο επίπεδο διαβάθμισης.
6. Οι υπάλληλοι του εργολάβου ή υπεργολάβου οι οποίοι, για την εκτέλεση διαβαθμισμένης σύμβασης, απαιτούν πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET λαμβάνουν εξουσιοδότηση ασφαλείας προσωπικού (ΕΑΠ) από την αντίστοιχη EAA, KAA ή άλλη αρμόδια αρχή σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις και τις ελάχιστες προδιαγραφές που ορίζονται στο παράρτημα Ι.
7. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα V.
Άρθρο 12
Ανταλλαγή διαβαθμισμένων πληροφοριών με τρίτα κράτη και διεθνείς οργανισμούς
1. Όταν το Συμβούλιο αποφασίζει ότι υπάρχει ανάγκη ανταλλαγής ΔΠΕΕ με τρίτο κράτος ή διεθνή οργανισμό, δημιουργείται το κατάλληλο πλαίσιο προς τούτο.
2. Προκειμένου να δημιουργηθεί το πλαίσιο αυτό και να ορισθούν αμοιβαίοι κανόνες για την προστασία των προς ανταλλαγή διαβαθμισμένων πληροφοριών,
α)
το Συμβούλιο συνάπτει συμφωνίες σχετικά με διαδικασίες ασφαλείας για την ανταλλαγή και την προστασία διαβαθμισμένων πληροφοριών (εφεξής «συμφωνίες ασφαλείας πληροφοριών»), ή
β)
ο Γενικός Γραμματέας μπορεί να συνάπτει διοικητικούς διακανονισμούς σύμφωνα με την παράγραφο 17 του παραρτήματος VI εφόσον το επίπεδο διαβάθμισης των προς κοινοποίηση ΔΠΕΕ δεν είναι κατά κανόνα υψηλότερο από RESTREINT UE/EU RESTRICTED.
3. Οι συμφωνίες ασφαλείας πληροφοριών ή οι διοικητικοί διακανονισμοί που αναφέρονται στην παράγραφο 2 περιέχουν διατάξεις που εξασφαλίζουν ότι όταν τρίτα κράτη ή διεθνείς οργανισμοί λαμβάνουν ΔΠΕΕ, οι εν λόγω πληροφορίες προστατεύονται δεόντως ανάλογα με το επίπεδο διαβάθμισής τους και σύμφωνα με ελάχιστες προδιαγραφές τουλάχιστον ισοδύναμες με τις προδιαγραφές που ορίζονται στην παρούσα απόφαση.
4. Η απόφαση κοινολόγησης ΔΠΕΕ που προέρχονται από το Συμβούλιο σε τρίτο κράτος ή διεθνή οργανισμό λαμβάνεται από το Συμβούλιο κατά περίπτωση, ανάλογα με τη φύση και το περιεχόμενο των πληροφοριών, την ανάγκη γνώσης του παραλήπτη και τα σχετικά πλεονεκτήματα για την ΕΕ. Εάν ο φορέας προέλευσης των διαβαθμισμένων πληροφοριών των οποίων ζητείται η κοινολόγηση δεν είναι το Συμβούλιο, τότε η ΓΓΣ ζητεί πρώτα τη γραπτή συγκατάθεση του εν λόγω φορέα. Εάν δεν μπορεί να εξακριβωθεί ο φορέας προέλευσης, τότε το Συμβούλιο αναλαμβάνει την ευθύνη αυτή.
5. Διοργανώνονται επισκέψεις αξιολόγησης για να εξακριβωθεί η αποτελεσματικότητα των μέτρων ασφαλείας που εφαρμόζονται σε τρίτο κράτος ή διεθνή οργανισμό για την προστασία των παρεχόμενων ή ανταλλασσόμενων ΔΠΕΕ.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα VΙ.
Άρθρο 13
Παραβιάσεις της ασφάλειας και διαρροή ΔΠΕΕ
1. Παραβίαση της ασφάλειας προκύπτει ως αποτέλεσμα πράξης ή παράλειψης προσώπου η οποία είναι αντίθετη προς τους κανονισμούς ασφαλείας της παρούσας οδηγίας.
2. Διαρροή ΔΠΕΕ προκύπτει όταν, εξαιτίας παραβίασης της ασφάλειας, αυτές κοινολογούνται εξ ολοκλήρου ή εν μέρει σε μη εξουσιοδοτημένα πρόσωπα.
3. Κάθε παραβίαση ή υπόνοια παραβίασης της ασφάλειας αναφέρεται αμέσως στην αρμόδια αρχή ασφαλείας.
4. Όταν είναι γνωστό ή υπάρχουν εύλογες υπόνοιες ότι επήλθε διαρροή ή απώλεια ΔΠΕΕ, η αρμόδια αρχή ασφαλείας λαμβάνει όλα τα κατάλληλα μέτρα σύμφωνα με τις σχετικές νομοθετικές και κανονιστικές διατάξεις προκειμένου:
α)
να ενημερωθεί ο φορέας προέλευσης·
β)
να εξασφαλισθεί ότι η υπόθεση διερευνάται από προσωπικό που δεν σχετίζεται άμεσα με την παραβίαση προκειμένου να διαπιστωθούν τα πραγματικά περιστατικά·
γ)
να αξιολογηθεί η τυχόν ζημία που προκλήθηκε στα συμφέροντα της ΕΕ ή των κρατών μελών·
δ)
να ληφθούν τα κατάλληλα μέτρα για να αποτραπεί τυχόν επανάληψη, και
ε)
να ειδοποιηθούν οι αρμόδιες αρχές για τα ληφθέντα μέτρα.
5. Κάθε υπεύθυνος για παραβίαση των κανονισμών ασφαλείας της παρούσας απόφασης ενδέχεται να υποστεί πειθαρχικές κυρώσεις σύμφωνα με τους εφαρμοστέους κανόνες και κανονισμούς. Κάθε υπεύθυνος για διαρροή ή απώλεια ΔΠΕΕ υπόκειται σε πειθαρχικές κυρώσεις ή/και δικαστικές ενέργειες σύμφωνα με τους εφαρμοστέους νόμους, κανόνες και κανονισμούς.
Άρθρο 14
Ευθύνη της εκτέλεσης
1. Το Συμβούλιο λαμβάνει κάθε απαραίτητο μέτρο προκειμένου να εξασφαλίσει γενική συνοχή στην εφαρμογή της παρούσας απόφασης.
2. Ο Γενικός Γραμματέας λαμβάνει κάθε απαραίτητο μέτρο ώστε να εξασφαλισθεί ότι, κατά τον χειρισμό ή την αποθήκευση ΔΠΕΕ ή άλλων διαβαθμισμένων πληροφοριών, εφαρμόζεται η παρούσα απόφαση στους χώρους που χρησιμοποιεί το Συμβούλιο και εντός της ΓΓΣ, καθώς και στα γραφεία συνδέσμου της σε τρίτα κράτη, από τους υπαλλήλους και το λοιπό προσωπικό της ΓΓΣ, από το προσωπικό που έχει αποσπασθεί στη ΓΓΣ και από τους εργολήπτες της ΓΓΣ.
3. Τα κράτη μέλη λαμβάνουν κάθε κατάλληλο μέτρο, σύμφωνα με τους αντίστοιχους εθνικούς νόμους και κανονισμούς, προκειμένου να εξασφαλισθεί ότι, κατά τον χειρισμό ή την αποθήκευση ΔΠΕΕ, τηρείται η παρούσα απόφαση από:
α)
το προσωπικό των μόνιμων αντιπροσωπιών των κρατών μελών στην ΕυρωπαϊκήΈνωση, καθώς και από τους εθνικούς αντιπροσώπους που συμμετέχουν σε συνόδους του Συμβουλίου ή συνεδριάσεις των προπαρασκευαστικών οργάνων του, ή λαμβάνουν μέρος σε άλλες δραστηριότητες του Συμβουλίου·
β)
το λοιπό προσωπικό των κρατικών υπηρεσιών των κρατών μελών, συμπεριλαμβανομένου του προσωπικού που έχει αποσπασθεί σε αυτές τις κρατικές υπηρεσίες, ασχέτως του αν υπηρετούν στο έδαφος των κρατών μελών ή στο εξωτερικό·
γ)
άλλα πρόσωπα στα κράτη μέλη δεόντως εξουσιοδοτημένα βάσει των καθηκόντων τους να έχουν πρόσβαση σε ΔΠΕΕ· και
δ)
εργολήπτες των κρατών μελών, είτε στο έδαφος των κρατών μελών είτε στο εξωτερικό.
Άρθρο 15
Η οργάνωση της ασφάλειας στο Συμβούλιο
1. Στα πλαίσια του καθήκοντός του για την εξασφάλιση γενικής συνοχής στην εφαρμογή της παρούσας απόφασης, το Συμβούλιο εγκρίνει:
α)
συμφωνίες που αναφέρονται στο άρθρο 12 παράγραφος 2 στοιχείο α)·
β)
αποφάσεις που να επιτρέπουν τη διάθεση ΔΠΕΕ σε τρίτα κράτη και διεθνείς οργανισμούς·
γ)
ετήσιο πρόγραμμα επιθεωρήσεων που προτείνει ο Γενικός Γραμματέας και συνιστά η Επιτροπή Ασφαλείας για επιθεωρήσεις των υπηρεσιών και των εγκαταστάσεων των κρατών μελών και των οργανισμών και υπηρεσιών της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της συνθήκης ΕΕ, καθώς των Europol και Eurojust, και επισκέψεις αξιολόγησης σε τρίτα κράτη και διεθνείς οργανισμούς προκειμένου να εξακριβωθεί η αποτελεσματικότητα των μέτρων που εφαρμόζονται για την προστασία των ΔΠΕΕ, και
δ)
τις πολιτικές ασφαλείας που προβλέπονται στο άρθρο 6 παράγραφος 1.
2. Ο Γενικός Γραμματέας είναι η Αρχή Ασφαλείας της ΓΓΣ. Υπ’ αυτή την ιδιότητα, ο Γενικός Γραμματέας:
α)
μεριμνά για την εφαρμογή της πολιτικής ασφαλείας του Συμβουλίου και την περιοδική εξέτασή της·
β)
συντονίζει με τις ΕΑΑ των κρατών μελών όλα τα θέματα ασφαλείας που αφορούν την προστασία των διαβαθμισμένων πληροφοριών σχετικά με τις δραστηριότητες του Συμβουλίου·
γ)
χορηγεί ΕΑΠ ΕΕ στους υπαλλήλους της ΓΓΣ και το λοιπό προσωπικό σύμφωνα με το άρθρο 7 παράγραφος 3 προτού αποκτήσουν πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη·
δ)
διατάσσει, κατά περίπτωση, τη διερεύνηση οιασδήποτε πραγματικής ή εικαζόμενης διαρροής ή απώλειας διαβαθμισμένων πληροφοριών που κατέχει το Συμβούλιο ή προέρχονται από αυτό και ζητεί από τις αρμόδιες αρχές ασφαλείας να συνδράμουν στις έρευνες·
ε)
αναλαμβάνει περιοδικές επιθεωρήσεις των ρυθμίσεων ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών στους χώρους της ΓΓΣ·
στ)
αναλαμβάνει περιοδικές επιθεωρήσεις των ρυθμίσεων ασφαλείας για την προστασία των ΔΠΕΕ στους οργανισμούς και τις υπηρεσίες της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της συνθήκης ΕΕ, στις Europol και Eurojust, στις επιχειρήσεις διαχείρισης κρίσεων που αναλαμβάνονται δυνάμει του τίτλου V της συνθήκης ΕΕ και από τους ειδικούς εντεταλμένους της ΕΕ (ΕΕΕΕ) και τα μέλη των ομάδων τους·
ζ)
αναλαμβάνει να πραγματοποιεί, από κοινού και σε συμφωνία με την ενδιαφερόμενη ΕΑΑ, περιοδικές επιθεωρήσεις των ρυθμίσεων ασφαλείας για την προστασία των ΔΠΕΕ στις υπηρεσίες και τους χώρους των κρατών μελών·
η)
συντονίζει τα μέτρα ασφαλείας με τις αρμόδιες αρχές των κρατών μελών που είναι υπεύθυνες για την προστασία των διαβαθμισμένων πληροφοριών και, ανάλογα με την περίπτωση, με τρίτα κράτη ή διεθνείς οργανισμούς, μεταξύ άλλων και για τη φύση των απειλών κατά της ασφάλειας των ΔΠΕΕ και τα μέσα προστασίας από αυτές·
θ)
συνάπτει τους διοικητικούς διακανονισμούς που αναφέρονται στο άρθρο 12 παράγραφος 2 στοιχείο β), και
ι)
αναλαμβάνει αρχικές και περιοδικές επισκέψεις αξιολόγησης σε τρίτα κράτη και διεθνείς οργανισμούς προκειμένου να εξακριβωθεί η αποτελεσματικότητα των μέτρων που εφαρμόζονται για την προστασία των παρεχόμενων ή ανταλλασσόμενων ΔΠΕΕ.
Το Γραφείο Ασφαλείας της ΓΓΣ είναι στη διάθεση του Γενικού Γραμματέα για την παροχή βοήθειας σε αυτά τα καθήκοντα.
3. Για την εφαρμογή του άρθρου 14 παράγραφος 3, τα κράτη μέλη θα πρέπει:
α)
να ορίσουν μια ΕΑΑ αρμόδια για τις ρυθμίσεις ασφαλείας σχετικά με την προστασία των ΔΠΕΕ, ώστε:
i)
οι ΔΠΕΕ που ευρίσκονται στην κατοχή εθνικών φορέων, οργανισμών ή υπηρεσιών, δημόσιων ή ιδιωτικών, εντός της χώρας ή στο εξωτερικό, να προστατεύονται σύμφωνα με την παρούσα απόφαση·
ii)
οι ρυθμίσεις ασφαλείας για την προστασία των ΔΠΕΕ να τυγχάνουν περιοδικής επιθεώρησης·
iii)
όλα τα πρόσωπα που απασχολούνται σε κρατική υπηρεσία ή από εργολάβο και μπορούν να αποκτήσουν πρόσβαση στις πληροφορίες με διαβάθμιση τουλάχιστον CONFIDENTIEL UE/EU CONFIDENTIAL να έχουν λάβει τη δέουσα εξουσιοδότηση ασφαλείας ή άλλη κατάλληλη εξουσιοδότηση βάσει των καθηκόντων τους, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις·
iv)
να σχεδιάζονται τα απαραίτητα προγράμματα ασφαλείας ώστε να ελαχιστοποιείται ο κίνδυνος διαρροής ή απώλειας ΔΠΕΕ·
v)
τα θέματα ασφαλείας σχετικά με την προστασία των ΔΠΕΕ να συντονίζονται με άλλες αρμόδιες εθνικές αρχές, συμπεριλαμβανομένων των αναφερομένων στην παρούσα οδηγία, και
vi)
να δίνονται απαντήσεις στις κατάλληλες αιτήσεις ελέγχου ασφαλείας από τους οργανισμούς και τις υπηρεσίες της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της συνθήκης ΕΕ, τις Europol και Eurojust, καθώς και από επιχειρήσεις διαχείρισης κρίσεων που αναλαμβάνονται δυνάμει του τίτλου V κεφάλαιο 2 της συνθήκης ΕΕ και από τους ΕΕΕΕ και τις ομάδες τους·
οι ΕΑΑ απαριθμούνται στο προσάρτημα Γ·
β)
να εξασφαλίζουν ότι οι αρμόδιες αρχές τους παρέχουν πληροφορίες και συμβουλές στις κυβερνήσεις τους και, μέσω αυτών, στο Συμβούλιο σχετικά με τη φύση των απειλών κατά της ασφάλειας των ΔΠΕΕ και τα μέσα προστασίας από αυτές.
Άρθρο 16
Επιτροπή Ασφαλείας
1. Συγκροτείται Επιτροπή Ασφαλείας. Εξετάζει και αξιολογεί κάθε θέμα ασφαλείας εντός του πεδίου εφαρμογής της παρούσας απόφασης και υποβάλλει συστάσεις στο Συμβούλιο, κατά περίπτωση.
2. Η Επιτροπή Ασφαλείας αποτελείται από αντιπροσώπους των ΕΑΑ των κρατών μελών και στις συνεδριάσεις της συμμετέχει αντιπρόσωπος της Επιτροπής και της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης. Προεδρεύεται από τον Γενικό Γραμματέα ή από τον ορισθέντα αντιπρόσωπό του. Συνέρχεται δε σύμφωνα με τις οδηγίες του Συμβουλίου ή κατόπιν αιτήματος του Γενικού Γραμματέα ή μιας ΕΑΑ.
Οι αντιπρόσωποι των οργανισμών και υπηρεσιών της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της συνθήκης ΕΕ, καθώς και οι Europol και Eurojust μπορούν να κληθούν να συμμετάσχουν όταν συζητούνται θέματα που τους αφορούν.
3. Η Επιτροπή Ασφαλείας οργανώνει τις δραστηριότητές της κατά τρόπο ώστε να μπορεί να υποβάλλει συστάσεις για ειδικούς τομείς ασφαλείας. Καθιερώνει υποομάδα εμπειρογνωμόνων για θέματα IA και άλλες υποομάδες εμπειρογνωμόνων κατά περίπτωση. Ορίζει τα καθήκοντα αυτών των υποομάδων και οι εμπειρογνώμονες της υποβάλλουν εκθέσεις σχετικά με τις δραστηριότητές τους συμπεριλαμβανομένων, ανάλογα με την περίπτωση, τυχόν συστάσεων προς το Συμβούλιο.
Άρθρο 17
Αντικατάσταση της προηγούμενης απόφασης
1. Η παρούσα απόφαση καταργεί και αντικαθιστά την απόφαση 2001/264/ΕΚ του Συμβουλίου, της 19ης Μαρτίου 2001, για την έγκριση των κανονισμών ασφαλείας του Συμβουλίου (2).
2. Όλες οι ΔΠΕΕ που διαβαθμίζονται σύμφωνα με την απόφαση 2001/264/ΕΚ εξακολουθούν να προστατεύονται σύμφωνα με τις σχετικές διατάξεις της παρούσας απόφασης.
Άρθρο 18
Έναρξη ισχύος
Η παρούσα απόφαση αρχίζει να ισχύει από την ημέρα της δημοσίευσής της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
Βρυξέλλες, 31 Μαρτίου 2011.
ROZHODNUTÍ RADY
ze dne 31. března 2011
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2011/292/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada a Komise se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, agentury, instituce nebo úřady EU případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU uplatňují v rámci své vnitřní organizace agentury a subjekty EU zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europol a Eurojust podle ustanovení svých příslušných zřizovacích aktů.
(7)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou jsou uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou uplatňují zvláštní zástupci EU a členové jejich týmů.
(9)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(10)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a) TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b) SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c) CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d) RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Evropské unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Evropské unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Velké množství či kompilace utajovaných informací EU mohou být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozby škodlivých nebo TRÈStných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečností politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti mohou vyžadovat, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Bezpečnostní prověrka pro úředníky a ostatní zaměstnance generálního sekretariátu Rady je upravena v příloze I.
4. Pracovníci členských států uvedení v čl. 14 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací, zjistit takové ohrožení nebo ztrátu informací a následně zajistit nápravu. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v příloze III.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů je jistota, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny takovým způsobem, aby informace nemohly být ohroženy kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“).
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Bez ohledu na písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 12 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v daném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Rada uzavře dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro EU. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem zhodnocení účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 13
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme příslušný bezpečnostní orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů EU a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 14
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání budou v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí, včetně styčných úřadů ve třetích státech a ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 15
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 12 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytování utajovaných informací EU třetím státům a mezinárodním organizacím;
c)
roční program inspekcí navržený generálním tajemníkem Rady a doporučený Bezpečnostním výborem pro inspekce orgánů a prostor členských států a agentur a subjektů EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europolu a Eurojustu, jakož i hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
před umožněním přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším úředníkům a ostatním zaměstnancům generálního sekretariátu Rady vydává v souladu s čl. 7 odst. 3 těmto úředníkům a zaměstnancům osvědčení o bezpečnostní prověrce personálu EU;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací EU v agenturách a subjektech EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europolu a Eurojustu, jakož i v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o EU a ze strany zvláštních zástupců EU a členů jejich týmů;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
koordinuje bezpečnostní opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením;
i)
uzavírá správní ujednání podle čl. 12 odst. 2 písm. b) a
j)
provádí úvodní a pravidelné hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, jež jim jsou poskytovány nebo jež jsou s nimi vyměňovány.
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 14 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané ze strany agentur a subjektů EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europolu a Eurojustu, jakož i ze strany operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o EU nebo zvláštních zástupců EU a členů jejich týmů;
Seznam vnitrostátních bezpečnostních orgánů je uveden v dodatku C.
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 16
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a Evropské služby pro vnější činnost. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci agentur a subjektů EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i Europolu a Eurojustu, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 17
Nahrazení předchozích rozhodnutí
1. Toto rozhodnutí zrušuje a nahrazuje rozhodnutí 2001/264/ES ze dne 19. března 2001, kterým se přijímají bezpečnostní předpisy Rady (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 18
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 31. března 2011.