РЕШЕНИЕ НА СЪВЕТА
от 31 март 2011 година
относно правилата за сигурност за защита на класифицирана информация на ЕС
(2011/292/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите-членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите-членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът и Комисията са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, агенции, органи или служби на ЕС към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите-членки.
(6)
Агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, съгласно предвиденото в собствените им учредителни актове.
(7)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал прилагат правилата за сигурност, приети от Съвета за защита на КИЕС.
(8)
Специалните представители на ЕС и членовете на техните екипи прилагат приетите от Съвета правила за сигурност за защита на КИЕС.
(9)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(10)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите-членки за информиране на националните им парламенти за дейностите на Съюза,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите-членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, уредени в допълнение А.
Член 2
Определение на КИЕС, нива на класификация за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите-членки.
2. Всяка КИЕС се класифицира на някое от следните нива:
а) TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
б) SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
в) CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите-членки.
г) RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите-членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, нито никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите-членки въвеждат в структурите или мрежите на Европейския съюз класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответното ниво, съгласно съдържащата се в допълнение Б таблица на съответствията на нивата на класификация за сигурност.
4. За големи количества КИЕС или масиви от КИЕС може да се наложи защита на по-високо ниво на класификация за сигурност.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни системни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Процедурата за проучване за надеждност на персонала за длъжностни лица на ГСС и за други служители се съдържа в приложение I.
4. Служителите на държавите-членки, посочени в член 14, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране, разкриване и възстановяване на такава информация при умишлено или случайно компрометиране или загуба. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, превода, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите-членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложение III.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една комуникационна и информационна система обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за комуникационни и информационни системи, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо са защитени по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания („мерки за сигурност по Tempest“).
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар (наричан по-долу „генералния секретар“, действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите-членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата-членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите-членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите-членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава-членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 12, параграф 2, буква а) или б).
3. ГСС, в качеството си на възложител, гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава-членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава-членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани във въпросната държава-членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съветът сключва споразумения за процедури за сигурност за обмен и защита на класифицирана информация (наричани по-долу „споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на ЕС. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 13
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, компетентният орган по сигурността предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на ЕС или на държавите-членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарни и/или правни мерки в съответствие с приложимите закони, правила и подзаконови актове.
Член 14
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, включително в службите му за връзка, разположени в трети държави, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите-членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите-членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите-членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите-членки или зад граница;
в)
други лица в държавите-членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС; и
г)
изпълнители, наети от държавите-членки, независимо дали работят на територията на държавите-членки или зад граница.
Член 15
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 12, параграф 2, буква а);
б)
решенията, с които се дава разрешение за предоставяне на КИЕС на трети държави и международни организации;
в)
годишна програма, предлагана от генералния секретар и препоръчана от Комитета по сигурността, за проверки на службите и обектите в държавите-членки и на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и на Европол и Евроюст, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите-членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица и другите служители на ГСС разрешение за достъп на персонала на ЕС до КИЕС в съответствие с член 7, параграф 3, преди да им бъде даден достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на КИЕС, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в обектите на ГСС;
е)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и при операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и от специалните представители на ЕС (СПЕС) и членовете на техните екипи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични проверки на договореностите по сигурността за защита на КИЕС в службите и обектите на държавите-членки;
з)
координира мерките за сигурност с компетентните органи на държавите-членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях;
и)
влиза в административните договорености, посочени в член 12, параграф 2, буква б); и
й)
предприема първоначални и периодични посещения за оценка в трети държави или международни организации, за да удостовери ефективността на мерките, прилагани за защита на предоставена или обменена КИЕС.
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 14, параграф 3 държавите-членки следва да:
а)
определят национален орган по сигурността, който да отговаря за договореностите по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
договореностите по сигурността за защита на КИЕС да се проверяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
(vi)
да се дава отговор на съответните заявления за проверки за надеждност от агенции и органи на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, СПЕС и техните екипи.
Националните органи по сигурността са изброени в допълнение В;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 16
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на националните органи по сигурността на държавите-членки и на заседанията му присъства представител на Комисията и на Европейската служба за външна дейност. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на национален орган по сигурността.
Представителите на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и Европол и Евроюст могат да бъдат поканени да участват, когато се обсъждат въпроси, които ги засягат.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 17
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2001/264/ЕО на Съвета от 19 март 2001 г. за приемане на разпоредбите относно сигурността на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 18
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 31 март 2011 година.
SKLEP SVETA
z dne 31. marca 2011
o varnostnih predpisih za varovanje tajnih podatkov EU
(2011/292/EU)
SVET EVROPSKE UNIJE JE -
ob upoštevanju Pogodbe o delovanju Evropske unije, zlasti člena 240(3) Pogodbe,
ob upoštevanju Sklepa Sveta 2009/937/EU z dne 1. decembra 2009 o sprejetju poslovnika Sveta (1), zlasti člena 24 Sklepa,
ob upoštevanju naslednjega:
(1)
Za razvoj dejavnosti Sveta na vseh področjih, na katerih je potrebno delo s tajnimi podatki, je primerno vzpostaviti celovit varnostni sistem za varovanje tajnih podatkov, ki bo vključeval Svet, njegov generalni sekretariat in države članice.
(2)
Ta sklep bi bilo treba uporabljati, ko Svet, njegova pripravljalna telesa in generalni sekretariat Sveta (GSS) delajo s tajnimi podatki EU.
(3)
Države članice bi morale v skladu z nacionalnimi zakoni in predpisi ter v obsegu, ki zagotavlja delovanje Sveta, spoštovati ta sklep, kadar njihovi pristojni organi, osebje ali izvajalci delajo s tajnimi podatki EU, tako da bodo vsi lahko prepričani, da so tajni podatki EU deležni enakovredne stopnje varovanja.
(4)
Svet in Komisija se zavzemata za enakovredne standarde varovanja tajnih podatkov EU.
(5)
Svet poudarja, da je treba v načela, standarde in pravila za varovanje tajnih podatkov, potrebna za zaščito interesov Unije in njenih držav članic, ustrezno vključiti Evropski parlament in druge institucije, agencije, organe ali urade EU.
(6)
Agencije in organi EU, ki so bili ustanovljeni v skladu z naslovom V, poglavje 2 Pogodbe o Evropski uniji (PEU), Europol in Eurojust v okviru svoje notranje organiziranosti uporabljajo za varovanje tajnih podatkov EU temeljna načela in minimalne standarde iz tega sklepa, kakor je določeno v njihovih ustanovnih aktih.
(7)
V operacijah kriznega upravljanja, ki so bile vzpostavljene v skladu z naslovom V, poglavje 2 PEU, se uporabljajo varnostni predpisi, ki jih je sprejel Svet za varovanje tajnih podatkov EU; te predpise uporablja tudi osebje, ki sodeluje v operacijah.
(8)
Posebni predstavniki EU in člani njihovega osebja uporabljajo varnostne predpise, ki jih je za varovanje tajnih podatkov EU sprejel Svet.
(9)
Ta sklep ne vpliva na člena 15 in 16 Pogodbe o delovanju Evropske unije (PDEU) in ustrezne izvedbene instrumente.
(10)
Ta sklep ne vpliva na običajne postopke v državah članicah glede obveščanja nacionalnih parlamentov o dejavnostih Unije -
SPREJEL NASLEDNJI SKLEP:
Člen 1
Namen, področje uporabe in opredelitev pojmov
1. V tem sklepu so določena temeljna načela in minimalni standardi varovanja tajnih podatkov EU.
2. Ta temeljna načela in minimalni standardi veljajo za Svet in GSS, države članice pa jih morajo spoštovati v skladu s svojimi nacionalnimi zakoni in predpisi, tako da so vsi lahko prepričani, da je zagotovljena enakovredna stopnja varovanja tajnih podatkov EU.
3. Pojmi, ki se uporabljajo v tem sklepu, so opredeljeni v dodatku A.
Člen 2
Opredelitev tajnih podatkov EU, stopenj tajnosti in oznak
1. „Tajni podatek EU“ pomeni vsak podatek ali material z oznako stopnje tajnosti EU, katerega nepooblaščeno razkritje bi lahko zelo ali manj škodovalo interesom Evropske unije ali eni ali več državam članicam.
2. Tajni podatki EU imajo naslednje stopnje tajnosti:
(a) TRÈS SECRET UE/EU TOP SECRET: podatki in material, katerih nepooblaščeno razkritje bi lahko imelo izjemno težke posledice za vitalne interese Evropske unije ali ene ali več držav članic.
(b) SECRET UE/EU SECRET: podatki in material, katerih nepooblaščeno razkritje bi lahko resno škodovalo vitalnim interesom Evropske unije ali ene ali več držav članic.
(c) CONFIDENTIEL UE/EU CONFIDENTIAL: podatki in material, katerih nepooblaščeno razkritje bi lahko škodovalo vitalnim interesom Evropske unije ali ene ali več držav članic.
(d) RESTREINT UE/EU RESTRICTED: podatki in material, katerih nepooblaščeno razkritje bi lahko bilo škodljivo za interese Evropske unije ali ene ali več držav članic.
3. Tajni podatki EU so označeni s stopnjo tajnosti v skladu z odstavkom 2. Iz njihovih oznak je poleg tega lahko razvidno področje dejavnosti, na katero se nanašajo, organ izvora, omejitev pri razpošiljanju, omejitev uporabe ali dajanja.
Člen 3
Sistem določanja stopenj tajnosti
1. Pristojni organi zagotovijo, da so tajni podatki EU označeni z ustrezno stopnjo tajnosti, da je jasno razvidno, da so tajni, in da stopnjo tajnosti obdržijo le, dokler je to potrebno.
2. Brez predhodnega pisnega soglasja organa izvora se stopnja tajnosti tajnih podatkov EU ne zniža ali prekliče, niti se ne spremenijo ali odstranijo oznake iz člena 2(3).
3. Svet odobri varnostno politiko o nastajanju tajnih podatkov EU, ki vključuje praktični vodič po stopnjah tajnosti.
Člen 4
Varovanje tajnih podatkov
1. Tajni podatki EU se varujejo v skladu s tem sklepom.
2. Imetnik katerega koli tajnega podatka EU je odgovoren za njegovo varovanje v skladu s tem sklepom.
3. Če države članice v strukture ali omrežja Evropske unije vnesejo tajne podatke z oznako nacionalne stopnje tajnosti, Svet in GSS te podatke varujeta v skladu z zahtevami, ki se uporabljajo za tajne podatke EU enakovredne stopnje, kakor je določeno v preglednici enakovrednih stopenj tajnosti v dodatku B.
4. Pri velikih količinah ali zbirkah tajnih podatkov EU je morda upravičena raven zaščite, ki ustreza višji stopnji tajnosti.
Člen 5
Obvladovanje varnostnega tveganja
1. Za obvladovanje tveganja, povezanega s tajnimi podatki EU, je predviden postopek. Njegov cilj je opredeliti znana varnostna tveganja, določiti varnostne ukrepe za zmanjšanje teh tveganj na sprejemljivo raven v skladu s temeljnimi načeli in minimalnimi standardi iz tega sklepa ter uporabljati te ukrepe ob upoštevanju koncepta globinske obrambe, kakor je opredeljena v Dodatku A. Učinkovitost teh ukrepov se nenehno ocenjuje.
2. Varnostni ukrepi za varovanje tajnih podatkov EU v njihovem življenjskem ciklu so sorazmerni zlasti s stopnjo tajnosti, obliko in obsegom podatkov ali materiala, krajem in strukturo objektov, kjer se hranijo tajni podatki EU, ter lokalno oceno nevarnosti zlonamernih in/ali kriminalnih dejavnosti, vključno z nevarnostjo vohunstva, sabotaže in terorizma.
3. V načrtih za izredne razmere je upoštevana potreba po varovanju tajnih podatkov EU v izrednih razmerah, da se prepreči nepooblaščen dostop, razkritje ali izguba celovitosti podatkov ali nedostopnost.
4. V načrte za zagotovitev neprekinjenega poslovanja so vključeni preventivni in obnovitveni ukrepi, tako da so posledice velikih napak ali incidentov pri delu s tajnimi podatki EU in njihovi hrambi čim manjše.
Člen 6
Izvajanje tega sklepa
1. Po potrebi Svet na priporočilo varnostnega odbora odobri varnostno politiko, ki določa ukrepe za izvajanje tega sklepa.
2. Varnostni odbor se lahko na svoji ravni dogovori o varnostnih smernicah, ki bodo dopolnjevale ali podpirale ta sklep in varnostno politiko, ki jo odobri Svet.
Člen 7
Osebna varnost
1. Osebna varnost je izvajanje ukrepov, s katerimi se zagotovi, da imajo dostop do tajnih podatkov EU samo posamezniki, ki:
-
imajo potrebo po seznanitvi,
-
so bili po potrebi varnostno preverjeni na ustrezni stopnji, ter
-
so bili poučeni o svoji odgovornosti.
2. Namen postopkov varnostnega preverjanja osebja je ugotoviti, ali je posameznik dovolj lojalen, vreden zaupanja in zanesljiv, da ga je mogoče pooblastiti za dostop do tajnih podatkov EU.
3. Vsi posamezniki v GSS, ki morajo zaradi svojih dolžnosti morda imeti dostop do tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, so varnostno preverjeni na ustrezni stopnji, preden se jim odobri dostop do takih tajnih podatkov EU. Postopek varnostnega preverjanja uradnikov in drugega osebja GSS je opisan v Prilogi I.
4. Osebje držav članic iz člena 14(3), ki mora zaradi svojih dolžnosti morda imeti dostop do tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, je varnostno preverjeno na ustrezni stopnji ali drugače pravilno pooblaščeno zaradi svoje funkcije v skladu z nacionalnimi zakoni in predpisi, preden se mu odobri dostop do takih tajnih podatkov EU.
5. Preden se posameznikom odobri dostop do tajnih podatkov EU ter nato v rednih presledkih, so vsi poučeni o svoji odgovornosti za varovanje tajnih podatkov EU v skladu s tem sklepom ter to tudi potrdijo.
6. Določbe za izvajanje tega člena so v Prilogi I.
Člen 8
Fizična varnost
1. Fizična varnost je uporaba fizičnih in tehničnih zaščitnih ukrepov za preprečitev nepooblaščenega dostopa do tajnih podatkov EU.
2. Namen ukrepov fizične varnosti je preprečiti nedovoljen ali nasilen vstop vsiljivcem, odvrniti, ovirati in odkriti nedovoljena dejanja ter omogočiti ločevanje osebja pri dostopu do tajnih podatkov EU glede na potrebo po seznanitvi. Takšni ukrepi se določijo na osnovi postopka obvladovanja tveganja.
3. Fizična varnost se uvede v vseh prostorih, stavbah, pisarnah, sobah in drugih območjih, v katerih se dela s tajnimi podatki EU ali v katerih se tajne podatke EU shranjuje, vključno z območji, kjer so nameščeni komunikacijski in informacijski sistemi, kakor je določeno v členu 10(2).
4. Območja, na katerih se hranijo tajni podatki EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, so določena kot varovana območja v skladu s Prilogo II, odobri pa jih pristojni varnostni organ.
5. Za varovanje tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje se uporablja le odobrena oprema ali naprave.
6. Določbe za izvajanje tega člena so v Prilogi II.
Člen 9
Obravnavanje tajnih podatkov
1. Obravnavanje tajnih podatkov je uporaba upravnih ukrepov za nadzor nad tajnimi podatki EU v njihovem življenjskem ciklu, ki dopolnjujejo ukrepe iz členov 7, 8 in 10 ter tako prispevajo k odvračanju, odkrivanju in obnovitvi takih podatkov po naključnem ali namernem nepooblaščenem razkritju ali izgubi. Ti ukrepi se nanašajo predvsem na nastajanje, vpisovanje, kopiranje, prevajanje, prenašanje in uničenje tajnih podatkov EU.
2. Podatki stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje se iz varnostnih razlogov vpišejo pred razpošiljanjem in ob prejemu. Pristojni organi GSS in držav članic v ta namen vzpostavijo sistem registrov. Podatki stopnje TRÈS SECRET UE/EU TOP SECRET se vpišejo v za to namenjenih registrih.
3. Pristojni varnostni organ redno pregleduje službe in prostore, v katerih poteka delo s tajnimi podatki EU ali v katerih se ti hranijo.
4. Tajni podatki EU se med službami in prostori zunaj fizično zaščitenih območij prenašajo:
(a)
praviloma se tajni podatki EU prenašajo z elektronskimi sredstvi, ki so zaščiteni s šifrirnimi izdelki, odobrenimi v skladu s členom 10(6);
(b)
če se sredstva iz točke (a) ne uporabijo, se tajni podatki EU prenašajo:
(i)
na elektronskih nosilcih (tj. ključi USB, zgoščenke, trdi diski), ki so zaščiteni s šifrirnimi izdelki, odobrenimi v skladu s členom 10(6); ali
(ii)
v vseh drugih primerih, kakor določi pristojni varnostni organ v skladu z ustreznimi zaščitnimi ukrepi iz Priloge III.
5. Določbe za izvajanje tega člena so navedene v Prilogi III.
Člen 10
Zaščita tajnih podatkov EU s katerimi poteka delo v komunikacijskih in informacijskih sistemih
1. Z zagotavljanjem informacijske varnosti (IA) v komunikacijskih in informacijskih sistemih je mogoče zagotoviti, da bodo podatki v teh sistemih zaščiteni, in bodo delovali tako, kot morajo, kadar morajo, pod nadzorom zakonitih uporabnikov. Pri učinkovitem zagotavljanju varnosti podatkov se poskrbi za ustrezno stopnjo tajnosti, celovitost, razpoložljivost, nezatajljivost in avtentičnost. Zagotavljanje informacijske varnosti temelji na postopku obvladovanja tveganja.
2. „Komunikacijski in informacijski sistem“ pomeni sistem, ki omogoča delo s podatki v elektronski obliki. Komunikacijski in informacijski sistem zajema vse elemente, potrebne za svoje delovanje, tudi infrastrukturo, organizacijo, osebje in informacijske vire. Ta sklep se uporablja za komunikacijske in informacijske sisteme, v katerih poteka delo s tajnimi podatki EU (KIS).
3. V KIS delo s tajnimi podatki EU poteka v skladu z načelom zagotavljanja informacijske varnosti.
4. Za vse KIS se opravi postopek akreditacije. Cilj akreditacije je pridobiti zagotovilo, da so bili izvedeni vsi ustrezni varnostni ukrepi in da je bila dosežena zadostna stopnja zaščite tajnih podatkov EU ter KIS v skladu s tem sklepom. V izjavi o akreditaciji so določeni najvišja stopnja tajnosti podatkov, s katerimi se lahko dela v KIS, in ustrezni pogoji.
5. KIS, v okviru katerih poteka delo s podatki stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, so zaščiteni tako, da podatki ne morejo biti nepooblaščeno razkriti zaradi nenamernega elektromagnetnega oddajanja („varnostni ukrepi TEMPEST“).
6. Kjer se zaščita tajnih podatkov EU zagotavlja s šifrirnimi izdelki, se ti izdelki odobrijo, kot sledi:
(a)
zaupnost podatkov stopnje SECRET UE/EU SECRET in višje se zaščiti s šifrirnimi izdelki, ki jih odobri Svet v vlogi organa za odobritev šifrirnih metod in izdelkov na priporočilo varnostnega odbora;
(b)
zaupnost podatkov stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali RESTREINT UE/EU RESTRICTED se zaščiti s šifrirnimi izdelki, ki jih odobri generalni sekretar Sveta (v nadaljnjem besedilu: „generalni sekretar“) v vlogi organa za odobritev šifrirnih metod in izdelkov na priporočilo varnostnega odbora.
Ne glede na točko (b) se lahko zaupnost tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali RESTREINT UE/EU RESTRICTED v nacionalnih sistemih držav članic zaščiti s šifrirnimi izdelki, ki jih odobri organ države članice za odobritev šifrirnih metod in izdelkov.
7. Med prenašanjem tajnih podatkov EU z elektronskimi sredstvi se uporabljajo odobreni šifrirni izdelki. Ne glede na navedeno zahtevo se lahko v izrednih razmerah ali specifičnih tehničnih konfiguracijah, določenih v Prilogi IV, uporabijo posebni postopki.
8. Pristojni organi GSS in posameznih držav članic ustanovijo naslednje organe za zagotavljanje informacijske varnosti:
(a)
organ za zagotavljanje informacijske varnosti (IAA),
(b)
organ TEMPEST (TA),
(c)
organ za odobritev šifrirnih metod in izdelkov (CAA),
(d)
organ za razpošiljanje šifrirnega materiala (CDA).
9. Pristojni organi GSS in posameznih držav članic za vsak sistem ustanovijo:
(a)
organ za varnostno akreditacijo (SAA); in
(b)
operativni organ za zagotavljanje informacijske varnosti (IA).
10. Določbe za izvajanje tega člena so v Prilogi IV.
Člen 11
Industrijska varnost
1. Industrijska varnost je uporaba ukrepov, s katerimi se zagotovi, da izvajalci ali podizvajalci varujejo tajne podatke EU med pogajanji za sklenitev pogodbe in v življenjskem ciklu pogodb s tajnimi podatki. Te pogodbe ne vključujejo dostopa do podatkov stopnje TRÈS SECRET UE/EU TOP SECRET.
2. GSS lahko naloge, ki vključujejo dostop do tajnih podatkov EU ali delo z njimi ali njihovo hrambo, s pogodbo prenese na industrijske ali druge subjekte, registrirane v državi članici ali tretji državi, ki je sklenila sporazum ali dogovor o izvajanju v skladu s členom 12(2)(a) ali (b).
3. Pri dodeljevanju pogodb s tajnimi podatki industrijskim ali drugim subjektom GSS kot naročnik zagotovi, da so izpolnjeni minimalni standardi industrijske varnosti iz tega sklepa in pogodbe.
4. Nacionalni varnostni organ, imenovani varnostni organ ali kateri koli drug pristojni organ vsake države članice zagotovi, kolikor to omogočajo nacionalni zakoni in predpisi, da izvajalci ali podizvajalci, registrirani na ozemlju njegove države članice, v pogajanjih za sklenitev pogodbe ali pri izvajanju pogodbe s tajnimi podatki sprejmejo vse ustrezne ukrepe za varovanje tajnih podatkov EU.
5. Nacionalni varnostni organ, imenovani varnostni organ ali kateri koli drug pristojni organ vsake države članice v skladu z nacionalnimi zakoni in predpisi zagotovi, da imajo izvajalci ali podizvajalci, registrirani na ozemlju njegove države članice, ki sodelujejo pri pogodbah ali podizvajalskih pogodbah s tajnimi podatki, zaradi katerih morajo v svojih prostorih imeti dostop do podatkov stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali SECRET UE/EU SECRET, bodisi pri izvajanju takšnih pogodb ali v pogajanjih za njihovo sklenitev, varnostno dovoljenje organizacije za zahtevano stopnjo tajnosti.
6. Nacionalni varnostni organ, imenovani varnostni organ ali kateri koli drug pristojni varnostni organ odobri dovoljenje za dostop do tajnih podatkov osebju izvajalca ali podizvajalca, ki mora zaradi izvajanja pogodbe s tajnimi podatki imeti dostop do podatkov stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali SECRET UE/EU SECRET, in sicer v skladu z nacionalnimi zakoni in predpisi ter minimalnimi standardi iz Priloge I.
7. Določbe za izvajanje tega člena so v Prilogi V.
Člen 12
Izmenjava tajnih podatkov s tretjimi državami in mednarodnimi organizacijami
1. Ko Svet sprejme odločitev o potrebi po izmenjavi tajnih podatkov s tretjo državo ali mednarodno organizacijo, se v ta namen vzpostavi ustrezen okvir.
2. Da bi vzpostavili tak okvir in določili vzajemna pravila za varovanje izmenjanih tajnih podatkov,
(a)
Svet sklene sporazume o varnostnih postopkih za izmenjavo in varovanje tajnih podatkov (v nadaljnjem besedilu: „sporazumi o varovanju tajnosti podatkov“); ali
(b)
pa lahko generalni sekretar sklene dogovore o izvajanju v skladu z odstavkom 17 Priloge VI, če stopnja tajnih podatkov EU, ki bodo dani, praviloma ni višja od RESTREINT UE/EU RESTRICTED.
3. Sporazumi o varovanju tajnosti podatkov ali dogovori o izvajanju iz odstavka 2 vsebujejo določbe, s katerimi se tajnim podatkom EU, ki jih prejmejo tretje države ali mednarodne organizacije, zagotovi varovanje, ustrezno njihovi stopnji tajnosti v skladu z minimalnimi standardi, ki niso manj strogi od standardov iz tega sklepa.
4. Odločitev o dajanju tajnih podatkov EU z izvorom v Svetu tretji državi ali mednarodni organizaciji sprejme Svet za vsak primer posebej glede na naravo in vsebino teh podatkov, potrebo prejemnika po seznanitvi ter koristi, ki jih bo imela EU. Če organ izvora tajnega podatka, ki ga želi dati, ni Svet, GSS ta organ najprej zaprosi za pisno soglasje, da sme dati tajni podatek. Če organa izvora ni mogoče ugotoviti, Svet prevzame to odgovornost.
5. Organizirajo se ocenjevalni obiski, s katerimi se ugotovi učinkovitost varnostnih ukrepov, ki se v tretji državi ali mednarodni organizaciji uporabljajo za varovanje zagotovljenih ali izmenjanih tajnih podatkov EU.
6. Določbe za izvajanje tega člena so v Prilogi VI.
Člen 13
Kršitev varovanja tajnosti in nepooblaščeno razkritje tajnih podatkov EU
1. Kršitev varovanja tajnosti je posledica posameznikovega dejanja ali opustitve dejanja v nasprotju z varnostnimi predpisi iz tega sklepa.
2. Do nepooblaščenega razkritja tajnih podatkov EU pride, če so ti kot posledica kršitve varovanja tajnosti v celoti ali delno razkriti nepooblaščenim osebam.
3. O vseh kršitvah ali domnevnih kršitvah varovanja tajnosti se nemudoma obvesti pristojni varnostni organ.
4. Če je bilo ugotovljeno ali če obstajajo utemeljeni razlogi za domnevo, da so bili tajni podatki EU nepooblaščeno razkriti ali izgubljeni, pristojni varnostni organ sprejme vse primerne ukrepe v skladu z ustreznimi zakoni in predpisi ter:
(a)
obvesti organ izvora;
(b)
zagotovi, da bo zadevo preiskalo osebje, ki ni neposredno povezano s kršitvijo, in ugotovilo, kakšna so dejstva;
(c)
oceni morebitno škodo za interese EU ali držav članic;
(d)
sprejme vse primerne ukrepe, da se kršitev ne bi ponovila, ter
(e)
o sprejetih ukrepih obvesti ustrezne organe.
5. Zoper vsakega posameznika, ki je odgovoren za kršitev varnostnih predpisov iz tega sklepa, se lahko uvede disciplinski postopek v skladu z veljavnimi pravili in predpisi. Zoper vsakega posameznika, ki je odgovoren za nepooblaščeno razkritje ali izgubo tajnih podatkov EU, se lahko uvede disciplinski in/ali kazenski postopek v skladu z veljavnimi zakoni, pravili in predpisi.
Člen 14
Odgovornost za izvrševanje
1. Svet sprejme vse ustrezne ukrepe, s katerimi zagotovi vsesplošno dosledno uporabo tega sklepa.
2. Generalni sekretar sprejme vse ustrezne ukrepe, s katerimi zagotovi, da v prostorih, ki jih uporablja Svet, in v GSS ter njegovih uradih za zvezo v tretjih državah uradniki in drugi uslužbenci sekretariata, osebje, ki mu je dodeljeno, in njegovi izvajalci pri delu s tajnimi podatki EU ali kakršnimi koli drugimi tajnimi podatki ali njihovi hrambi uporabljajo ta sklep.
3. Države članice sprejmejo vse ustrezne ukrepe v skladu s svojo nacionalno zakonodajo in predpisi, s katerimi zagotovijo, da pri delu s tajnimi podatki EU in njihovi hrambi naslednje osebe spoštujejo ta sklep:
(a)
osebje stalnih predstavništev držav članic pri Evropski uniji in nacionalni delegati, ki se udeležujejo sestankov Sveta ali njegovih pripravljalnih teles ali pa sodelujejo pri drugih dejavnostih Sveta;
(b)
drugo osebje državnih uprav držav članic, vključno z osebjem, dodeljenim tem upravam, nameščeno bodisi na ozemlju držav članic ali v tujini;
(c)
druge osebe v državah članicah, ki so zaradi svoje funkcije pravilno pooblaščene za dostop do tajnih podatkov EU, ter
(d)
izvajalci držav članic na ozemlju držav članic ali v tujini.
Člen 15
Organiziranost varovanja tajnosti v Svetu
1. Svet v okviru odgovornosti za zagotavljanje vsesplošne dosledne uporabe tega sklepa potrdi:
(a)
sporazume iz člena 12(2)(a);
(b)
sklepe o odobritvi dajanja tajnih podatkov EU tretjim državam in mednarodnim organizacijam;
(c)
letni program inšpekcijskih pregledov, ki ga predlaga generalni sekretar in priporoči Varnostni odbor, za inšpekcijske preglede služb in prostorov držav članic in agencij in organov EU, ustanovljenih v skladu z naslovom V, poglavjem 2 PEU kakor tudi Europol in Eurojust ter ocenjevalne obiske v tretjih državah in mednarodnih organizacijah, da bi ugotovili učinkovitost ukrepov, ki se izvajajo za zaščito tajnih podatkov EU, ter
(d)
varnostno politiko, kot je predvideno v členu 6(1).
2. Varnostni organ GSS je generalni sekretar. Generalni sekretar v tej funkciji:
(a)
izvaja in preverja varnostno politiko Sveta;
(b)
z nacionalnimi varnostnimi organi držav članic usklajuje vse varnostne zadeve v zvezi z varovanjem tajnih podatkov, ki se nanašajo na delovanje Sveta;
(c)
preden se lahko uradnikom in drugim uslužbencem GSS odobri dostop do podatkov stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, temu osebju v skladu s členom 7(3) dodeli dovoljenje EU za dostop do tajnih podatkov;
(d)
po potrebi naroča preiskave dejanskega nepooblaščenega razkritja ali izgube tajnih podatkov EU ali suma takega razkritja ali izgube, ki jih hrani Svet ali z izvorom v Svetu, ter ustrezne varnostne organe prosi za pomoč pri taki preiskavi;
(e)
izvaja redne inšpekcijske preglede varnostne ureditve za varovanje tajnih podatkov EU v prostorih GSS;
(f)
izvaja redne inšpekcijske preglede varnostne ureditve za varovanje tajnih podatkov EU v agencijah in organih EU ustanovljenih v skladu z naslovom V, poglavjem 2 PEU kakor tudi Europol in Eurojust, operacijah za krizno upravljanje, vzpostavljenih v skladu z naslovom V, poglavjem 2 PEU, ter s strani posebnih predstavnikov EU (PPEU) in članov njihovega osebja;
(g)
skupaj in usklajeno z zadevnimi nacionalnimi varnostnimi organi izvaja redne inšpekcijske preglede varnostne ureditve za varovanje tajnih podatkov EU v službah in prostorih držav članic;
(h)
usklajuje varnostne ukrepe s pristojnimi organi držav članic, ki so odgovorni za varovanje tajnih podatkov, oziroma tretjih držav ali mednarodnih organizacij, tudi glede vrste nevarnosti, ki ogroža tajne podatke EU in zaščite pred njimi;
(i)
sklepa dogovore o izvajanju iz člena 12(2)(b); ter
(j)
izvaja začetne in redne ocenjevalne obiske tretjih držav in mednarodnih organizacij, da bi ugotovil, kako učinkoviti so ukrepi za varovanje tajnih podatkov EU, ki so jim bili zagotovljeni ali so bili z njimi izmenjani.
Varnostni urad GSS je generalnemu sekretarju na razpolago in mu pomaga pri teh nalogah.
3. Države članice morajo za izvajanje člena 14(3):
(a)
imenovati nacionalni varnostni organ, ki je odgovoren za varnostno ureditev za varovanje tajnih podatkov EU, da:
(i)
se tajni podatki EU, ki jih ima katero koli državno ministrstvo, javni ali zasebni organ ali agencija, doma ali v tujini varujejo v skladu s tem sklepom;
(ii)
se izvajajo redni inšpekcijski pregledi varnostne ureditve za varovanje tajnih podatkov EU;
(iii)
so vse osebe, zaposlene v državni upravi ali pri izvajalcu, ki se jim lahko odobri dostop do podatkov stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, ustrezno varnostno preverjene ali so zaradi svoje funkcije za to pravilno pooblaščene v skladu z nacionalnimi zakoni in predpisi;
(iv)
so po potrebi vzpostavljeni varnostni programi, da se tveganje nepooblaščenega razkritja ali izgube tajnih podatkov EU čim bolj zniža;
(v)
so varnostne zadeve, ki se nanašajo na varovanje tajnih podatkov EU, usklajene z drugimi pristojnimi nacionalnimi organi, tudi s tistimi iz tega sklepa, ter
(vi)
se zagotovi odziv na zahteve agencij in organov EU, operacij za krizno upravljanje, vzpostavljenih v skladu z naslovom V, poglavjem 2 PEU, Europol, Eurojust, ter posebnih predstavnikov EU in njihovega osebja po varnostnem preverjanju.
Nacionalni varnostni organi so navedeni v Dodatku C;
(b)
zagotoviti, da njihovi pristojni organi preskrbijo podatke ter svetujejo svojim vladam in tako tudi Svetu o vrsti nevarnosti, ki ogroža tajne podatke EU, in načinih zaščite pred njimi.
Člen 16
Varnostni odbor
1. Ustanovi se Varnostni odbor. Preučuje in ocenjuje vse zadeve v zvezi z varovanjem tajnosti v okviru področja uporabe tega sklepa ter po potrebi za Svet pripravi priporočila.
2. Sestavljen je iz predstavnikov nacionalnih varnostnih organov držav članic, njegovih sestankov pa se udeležuje tudi predstavnik Komisije in Evropske službe za zunanje delovanje. Predseduje mu generalni sekretar ali njegov namestnik. Sestaja se po navodilih Sveta ali na zahtevo generalnega sekretarja ali enega od nacionalnih varnostnih organov.
Na sestanke odbora so lahko vabljeni in jim prisostvujejo tudi predstavniki agencij in organov EU, ustanovljenih v skladu z naslovom V, poglavjem 2 PEU, kakor tudi Europol in Eurojust, kadar se obravnavajo vprašanja v zvezi z njimi.
3. Varnostni odbor svoje dejavnosti organizira tako, da lahko daje priporočila o posebnih področjih varovanja tajnosti. Ustanovi strokovno podobmočje za vprašanja zagotavljanja informacijske varnosti, po potrebi pa tudi druga strokovna podobmočja. Zanje določi naloge in pristojnosti, oni pa mu pošiljajo poročila o svoji dejavnosti, ki po potrebi vključujejo tudi priporočila za Svet.
Člen 17
Razveljavitev in nadomestitev prejšnjega sklepa
1. Sklep Sveta 2001/264/ES z dne 19. marca 2001 o sprejetju predpisov Sveta o varovanju tajnosti (2) se razveljavi in nadomesti s tem sklepom.
2. Varovanje vseh podatkov EU, ki so v skladu s Sklepom 2001/264/ES imeli oznako tajnosti, se nadaljuje v skladu z ustreznimi določbami tega sklepa.
Člen 18
Začetek veljavnosti
Ta sklep začne veljati na dan objave v Uradnem listu Evropske unije.
V Bruslju, 31. marca 2011