РЕШЕНИЕ НА СЪВЕТА
от 23 септември 2013 година
относно правилата за сигурност за защита на класифицирана информация на EC
(2013/488/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът, Комисията и Европейската служба за външна дейност (ЕСВД) са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, органи, служби или агенции на Съюза към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите членки.
(6)
Съветът следва да определи подходящата рамка за обмен на КИЕС, която се държи от Съвета, с други институции, органи, служби и агенции на Съюза, по целесъобразност в съответствие с настоящото решение и действащите междуинституционални договорености.
(7)
Органите и агенциите на Съюза, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст следва да прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, когато това е предвидено в акта за създаването им.
(8)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал следва да прилагат правилата за сигурност, приети от Съвета за защита на КИЕС, когато това е предвидено в акта на Съвета за създаването им.
(9)
Специалните представители на ЕС и членовете на техните екипи следва да прилагат приетите от Съвета правила за сигурност за защита на КИЕС, когато това е предвидено в съответния акт на Съвета.
(10)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(11)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите членки за информиране на националните им парламенти за дейностите на Съюза.
(12)
С цел да се гарантира навременното прилагане на правилата за сигурност за защита на КИЕС във връзка с присъединяването на Република Хърватия към Европейския съюз, настоящото решение следва да влезе в сила в деня на публикуването му,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, изложени в допълнение А.
Член 2
Определение на КИЕС, класификации за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите членки.
2. КИЕС се класифицира на някое от следните нива:
а)
TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
б)
SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
в)
CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите членки.
г)
RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, както и никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите членки въвеждат в структурите или мрежите на Съюза класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответстващото ниво, съгласно съдържащата се в допълнение Б таблица на съответствието на нивата на класификация за сигурност.
4. За даден масив от КИЕС може да се наложи защита на по-високо ниво на класификация, отколкото на отделните му компоненти.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения е необходимо да имат достъп до или да работят с КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Тези лица трябва да имат разрешение от назначаващия орган на ГСС за достъп до КИЕС до определено ниво и с определен срок.
4. Служителите на държавите членки, посочени в член 15, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране и разкриване на умишлено или случайно компрометиране или загуба на такава информация. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, писмения превод, понижаването на нивото на класификация, декласификацията, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложения III и IV.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират, както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една КИС обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за КИС, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. С цел защита на КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания, се прилагат мерки за сигурност на информацията („мерки за сигурност по Tempest“). Тези мерки за сигурност са съизмерими с риска от експлоатация и нивото на класификация на информацията.
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар на Съвета („генералния секретар“), действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 13, параграф 2, буква а) или б).
3. ГСС в качеството си на възложител гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани в съответната държава членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на КИЕС
1. Съветът определя условията, съгласно които може да обменя държана от него КИЕС с други институции, органи, служби или агенции на Съюза. Може да се въведе съответна рамка за тази цел, включително като се сключат междуинституционални споразумения или други договорености при необходимост за целта.
2. Тази рамка гарантира, че на КИЕС е осигурена защита, съответстваща на нивото ѝ на класификация и на основни принципи и минимални стандарти, които са равностойни на определените в настоящото решение.
Член 13
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съюзът сключва с трети държави или международни организации споразумения за процедури за сигурност за обмен и защита на класифицирана информация („споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености от името на ГСС в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на Съюза. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 14
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, НОС или друг компетентен орган предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на Съюза или на държавите членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарно и/или съдебно производство в съответствие с приложимите закони, правила и подзаконови актове.
Член 15
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите членки или зад граница;
в)
други лица в държавите членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС;
г)
изпълнители, наети от държавите членки, независимо дали работят на територията на държавите членки или зад граница.
Член 16
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 13, параграф 2, буква а);
б)
решенията, с което се разрешава или се дава съгласие за предоставяне на КИЕС, създадена или съхранявана от Съвета, на трети държави или международни организации, в съответствие с принципа на съгласие на създателя на информацията;
в)
годишна програма за посещения за оценка, препоръчана от Комитета по сигурността, за посещения за оценка на службите и обектите в държавите членки, на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица на ГСС, на други служители и на командированите национални експерти разрешение за достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо - в съответствие с член 7, параграф 3;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на класифицирана информация, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на мерките по сигурността за защита на класифицираната информация в обектите на ГСС;
е)
извършва периодични посещения за оценка на мерките по сигурността за защита на КИЕС в органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични оценки на мерките по сигурността за защита на КИЕС в службите и обектите на държавите членки;
з)
прави необходимото за съответното координиране на мерките за сигурност с компетентните органи на държавите членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях; и
и)
влиза в административните договорености, посочени в член 13, параграф 2, буква б).
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 15, параграф 3 държавите членки следва да:
а)
определят НОС, вписан в допълнение В, който да отговаря за мерките по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
мерките по сигурността за защита на КИЕС да се проверяват или оценяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
vi)
да се дава отговор на съответните заявления за проверки за надеждност, по-специално от всички органи, агенции, структури и операции на Съюза, създадени съгласно дял V, глава 2 от ДЕС, от специалните представители на ЕС (СПЕС) и техните екипи, които прилагат настоящото решение или неговите принципи;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 17
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на НОС на държавите членки и на заседанията му присъства представител на Комисията и на ЕСВД. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на НОС.
На заседанията могат да бъдат поканени представители на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, когато се обсъждат засягащи ги въпроси.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 18
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2011/292/ЕС на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО на Съвета (3) и с Решение 2011/292/ЕС, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 19
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 23 септември 2013 година.
RÅDETS BESLUT
av den 23 september 2013
om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter
(2013/488/EU)
EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT
med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 240.3,
med beaktande av rådets beslut 2009/937/EU av den 1 december 2009 om antagande av rådets arbetsordning (1), särskilt artikel 24, och
av följande skäl:
(1)
För att man ska kunna utveckla rådets verksamhet på alla områden som kräver hantering av säkerhetsskyddsklassificerade uppgifter bör ett övergripande säkerhetssystem för skydd av säkerhetsskyddsklassificerade uppgifter som omfattar rådet, dess generalsekretariat och medlemsstaterna inrättas.
(2)
Detta beslut bör gälla där rådet, dess förberedande organ och rådets generalsekretariat hanterar säkerhetsskyddsklassificerade EU-uppgifter.
(3)
I enlighet med nationella lagar och andra författningar, och i den utsträckning som krävs för rådets verksamhet, bör medlemsstaterna respektera detta beslut när deras behöriga myndigheter, personal eller entreprenörer hanterar säkerhetsskyddsklassificerade EU-uppgifter, så att de alla kan vara förvissade om att säkerhetsskyddsklassificerade EU-uppgifter ges en motsvarande skyddsnivå.
(4)
Rådet, kommissionen och Europeiska utrikestjänsten (nedan kallad utrikestjänsten) är fast beslutna ett tillämpa likvärdiga säkerhetsnormer för skydd av säkerhetsskyddsklassificerade EU-uppgifter.
(5)
Rådet betonar vikten av att i tillämpliga fall låta Europaparlamentet och andra av unionens institutioner, organ, kontor eller byråer omfattas av de principer, normer och regler för skydd av säkerhetsskyddsklassificerade uppgifter som är nödvändiga för att skydda unionens och dess medlemsstaters intressen.
(6)
Rådet bör fastställa en lämplig ram för utbyte av säkerhetsskyddsklassificerade EU-uppgifter som innehas av rådet med andra av unionens institutioner, organ, kontor eller byråer, i tillämpliga fall, i enlighet med detta beslut och gällande interinstitutionella arrangemang.
(7)
Unionsorgan och -byråer som inrättats enligt avdelning V kapitel 2 i fördraget om Europeiska unionen (EU-fördraget), Europol och Eurojust bör inom ramen för sin interna organisation följa de grundläggande principer och miniminormer som fastställs i detta beslut för skydd av säkerhetsskyddsklassificerade EU-uppgifter, om så föreskrivs i den akt genom vilken de inrättats.
(8)
Krishanteringsinsatser som fastställts enligt avdelning V kapitel 2 i EU-fördraget liksom den berörda personalen bör följa de säkerhetsbestämmelser som rådet antagit för att skydda säkerhetsskyddsklassificerade EU-uppgifter om så föreskrivs i den rådsakt genom vilken de inrättas.
(9)
EU:s särskilda representanter och deras medarbetare bör följa de säkerhetsbestämmelser som rådet antagit för att skydda säkerhetsskyddsklassificerade EU-uppgifter om så föreskrivs i den relevanta rådsakten.
(10)
Detta beslut påverkar inte artiklarna 15 och 16 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) och tillhörande genomförandeinstrument.
(11)
Detta beslut påverkar inte gällande praxis i medlemsstaterna när det gäller information till de nationella parlamenten om unionens verksamhet.
(12)
För att säkerhetsbestämmelserna för skydd av säkerhetsskyddsklassificerade EU-uppgifter ska börja tillämpas i tid för Republiken Kroatiens anslutning till Europeiska unionen bör detta beslut träda i kraft samma dag som det offentliggörs.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
Syfte, tillämpningsområde och definitioner
1. I detta beslut fastställs grundläggande principer och miniminormer för säkerhet för att skydda säkerhetsskyddsklassificerade EU-uppgifter.
2. Dessa grundläggande principer och miniminormer ska gälla för rådet och rådets generalsekretariat (generalsekretariatet) och iakttas av medlemsstaterna i enlighet med deras nationella lagar och andra författningar, så att de alla kan vara förvissade om att säkerhetsskyddsklassificerade EU-uppgifter ges en motsvarande skyddsnivå.
3. I detta beslut används de definitioner som anges i tillägg A.
Artikel 2
Definition av säkerhetsskyddsklassificerade EU-uppgifter, säkerhetsskyddsklassificering och säkerhetsskyddsmarkeringar
1. Säkerhetsskyddsklassificerade EU-uppgifter: uppgifter eller material som placerats på en EU-säkerhetsskyddsklassificeringsnivå och vars obehöriga röjande skulle kunna åsamka Europeiska unionens eller en eller flera av dess medlemsstaters väsentliga intressen olika grader av skada.
2. Säkerhetsskyddsklassificerade EU-uppgifter ska placeras in på en av följande säkerhetsskyddsklassificeringsnivåer:
a)
TRÈS SECRET UE/EU TOP SECRET: uppgifter och material vars obehöriga röjande skulle kunna medföra synnerligt men för Europeiska unionens eller en eller flera medlemsstaters väsentliga intressen.
b)
SECRET UE/EU SECRET: uppgifter och material vars obehöriga röjande skulle kunna medföra betydande men för Europeiska unionens eller en eller flera medlemsstaters väsentliga intressen.
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: uppgifter och material vars obehöriga röjande skulle kunna medföra ett inte obetydligt men för Europeiska unionens eller en eller flera medlemsstaters väsentliga intressen.
d)
RESTREINT UE/EU RESTRICTED: uppgifter och material vars obehöriga röjande skulle kunna medföra endast ringa men för Europeiska unionens eller en eller flera medlemsstaters intressen.
3. Säkerhetsskyddsklassificerade EU-uppgifter ska förses med en säkerhetsskyddsmarkering i enlighet med punkt 2. De kan vara försedda med ytterligare markeringar för att ange vilket verksamhetsområde de avser, fastställa upphovsmannen, begränsa utlämning, begränsa användningen eller ange villkor för utlämnande.
Artikel 3
Regler för säkerhetsskyddsklassificeringen
1. De behöriga myndigheterna ska förvissa sig om att säkerhetsskyddsklassificerade EU-uppgifter placeras på en lämplig säkerhetsskyddsklassificeringsnivå, tydligt identifieras som säkerhetsskyddsklassificerade uppgifter och endast behåller sin säkerhetsskyddsklassificeringsnivå så länge som krävs.
2. Säkerhetsskyddsklassificerade EU-uppgifter får inte inplaceras på en lägre säkerhetsskyddsklassificeringsnivå och uppgifterna får inte upphöra att vara säkerhetsskyddsklassificerade, och inte heller får några av de markeringar som avses i artikel 2.3 ändras eller avlägsnas utan föregående skriftligt medgivande från upphovsmannen.
3. Rådet ska godkänna en säkerhetsstrategi för upprättande av säkerhetsskyddsklassificerade EU-uppgifter, som ska inbegripa en praktisk handbok om säkerhetsklassificering.
Artikel 4
Skydd av säkerhetsskyddsklassificerade uppgifter
1. Säkerhetsskyddsklassificerade EU-uppgifter ska skyddas i enlighet med detta beslut.
2. En innehavare av säkerhetsskyddsklassificerade EU-uppgifter ska vara ansvarig för att skydda dessa uppgifter i enlighet med detta beslut.
3. Om medlemsstaterna matar in säkerhetsskyddsklassificerade uppgifter med en nationell säkerhetsklassificering i unionens strukturer eller nät, ska rådet och generalsekretariatet skydda uppgifterna i enlighet med kraven för säkerhetsskyddsklassificerade EU-uppgifter på motsvarande nivå i enlighet med jämförelsetabellen för säkerhetsskyddsklassificeringsnivåer i tillägg B.
4. En sammanställning av säkerhetsskyddsklassificerade EU-uppgifter kan motivera skydd på en nivå motsvarande en högre säkerhetsskyddsklassificeringsnivå än de enskilda ingående delarna.
Artikel 5
Hantering av säkerhetsrisker
1. De risker som de säkerhetsskyddsklassificerade EU-uppgifterna utsätts för ska hanteras som en process. Processen ska syfta till att identifiera kända säkerhetsrisker, fastställa säkerhetsåtgärder som ska minska riskerna till en acceptabel nivå i enlighet med de grundläggande principer och miniminormer som anges i detta beslut och till att tillämpa åtgärderna i enlighet med begreppet flernivåförsvar enligt definitionen i tillägg A. Åtgärdernas effektivitet ska utvärderas fortlöpande.
2. Säkerhetsåtgärder för att skydda säkerhetsskyddsklassificerade EU-uppgifter under hela deras livscykel ska motsvara uppgifternas eller materialets säkerhetsskyddsklassificeringsnivå, form och volym, läge och konstruktion för de utrymmen där de säkerhetsskyddsklassificerade EU-uppgifterna förvaras och det lokalt bedömda hotet från fientlig och/eller brottslig verksamhet, inklusive spionage, sabotage och terroristverksamhet.
3. Kontinuitetsplaner ska beakta behovet att skydda säkerhetsskyddsklassificerade EU-uppgifter i krislägen för att förhindra obehörig tillgång eller röjande, eller att förlust av riktighet eller tillgänglighet går förlorad.
4. Åtgärder av förebyggande och återställande karaktär för att reducera effekterna av haverier eller tillbud avseende hanteringen och lagringen av säkerhetsskyddsklassificerade EU-uppgifter ska ingå i kontinuitetsplanerna.
Artikel 6
Genomförande av detta beslut
1. När så krävs ska rådet på rekommendation av säkerhetskommittén godkänna säkerhetsstrategier där åtgärder för genomförande av detta beslut fastställs.
2. Säkerhetskommittén kan på sin nivå besluta om säkerhetsriktlinjer för att komplettera eller understödja detta beslut och olika slags säkerhetsstrategier som godkänts av rådet.
Artikel 7
Personalsäkerhet
1. Personalsäkerhet innebär tillämpning av åtgärder som ska garantera att tillgång till säkerhetsskyddsklassificerade EU-uppgifter endast beviljas personer
-
som har behov av informationen för arbetet,
-
som i förekommande fall har säkerhetsprövats för respektive säkerhetsskyddsklassificeringsnivå, och
-
som har upplysts om sitt ansvar.
2. Förfarandena för personalsäkerhetsgodkännande ska utformas på ett sådant sätt att det kan fastställas om en person med beaktande av vederbörandes lojalitet, tillförlitlighet och pålitlighet kan få tillgång till säkerhetsskyddsklassificerad EU-information.
3. Alla de personer vid generalsekretariatet som för sina arbetsuppgifter behöver ha tillgång till eller hantera säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre ska säkerhetsprövas för respektive säkerhetsskyddsklassificeringsnivå innan de ges tillgång till sådana säkerhetsskyddsklassificerade EU-uppgifter. Dessa personer måste beviljas tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till en viss nivå och fram till ett visst datum av generalsekretariatets tillsättningsmyndighet.
4. Sådan personal från medlemsstaterna som avses i artikel 15.3, och som för sina arbetsuppgifter kan behöva ha tillgång till säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre, ska säkerhetsprövas för respektive säkerhetsskyddsklassificeringsnivå eller på annat sätt i kraft av sina arbetsuppgifter vederbörligen bemyndigas i enlighet med nationella lagar och andra författningar innan de beviljas tillgång till sådana säkerhetsskyddsklassificerade EU-uppgifter.
5. Alla ska, innan de ges tillgång till säkerhetsskyddsklassificerade EU-uppgifter och därefter regelbundet, upplysas och vara medvetna om sitt ansvar att skydda säkerhetsskyddsklassificerade EU-uppgifter i enlighet med detta beslut.
6. Genomförandebestämmelser för denna artikel fastställs i bilaga I.
Artikel 8
Fysisk säkerhet
1. Med fysisk säkerhet avses tillämpningen av fysiska och tekniska skyddsåtgärder för att hindra obehörig tillgång till säkerhetsskyddsklassificerade EU-uppgifter.
2. Fysiska säkerhetsåtgärder ska vara utformade för att förhindra intrång i smyg eller genom tvång, avskräcka, hindra och avslöja otillåtna handlingar och möjliggöra olika behandling av personalen med avseende på deras tillgång till säkerhetsskyddsklassificerade EU-uppgifter utifrån principen om behovsenlig behörighet. Sådana åtgärder ska fastställas utifrån en riskhanteringsprocess.
3. Åtgärder för fysisk säkerhet ska införas i alla lokaler, byggnader, kontor, rum och andra utrymmen i vilka säkerhetsskyddsklassificerade EU-uppgifter hanteras eller förvaras, inklusive utrymmen som inhyser de kommunikations- och informationssystem som avses i artikel 10.2.
4. Utrymmen där säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre förvaras ska fastställas som säkerhetsutrymmen i enlighet med bilaga II och godkännas av den behöriga säkerhetsmyndigheten.
5. Endast godkänd utrustning eller godkända anordningar ska användas för att skydda säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre.
6. Genomförandebestämmelser för denna artikel fastställs i bilaga II.
Artikel 9
Hantering av säkerhetsskyddsklassificerade uppgifter
1. Hanteringen av säkerhetsskyddsklassificerade uppgifter är tillämpning av administrativa åtgärder som avser att kontrollera säkerhetsskyddsklassificerade EU-uppgifter genom hela deras livscykel i syfte att komplettera åtgärder som anges i artiklarna 7, 8 och 10 och därigenom avskräcka och upptäcka avsiktlig eller oavsiktlig läcka eller förlust av dessa uppgifter. Sådana åtgärder gäller särskilt upprättande, registrering, kopiering, översättning, inplacering på en lägre säkerhetsskyddsklassificeringsnivå, beslut om att uppgifter inte längre ska vara säkerhetsskyddsklassificerade, befordran och förstöring av säkerhetsskyddsklassificerade EU-uppgifter.
2. Uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre ska registreras för säkerhetsändamål innan de lämnas ut och när de tas emot. De behöriga myndigheterna vid generalsekretariatet och i medlemsstaterna ska i detta syfte inrätta ett registreringssystem. Uppgifter på säkerhetsskyddsklassificeringsnivån TRÈS SECRET UE/EU TOP SECRET ska registreras i de därför avsedda registren.
3. Enheter och utrymmen inom vilka säkerhetsskyddsklassificerade EU-uppgifter hanteras eller förvaras ska inspekteras med jämna mellanrum av den behöriga säkerhetsmyndigheten.
4. Säkerhetsskyddsklassificerade EU-uppgifter ska transporteras mellan enheter och utrymmen utanför fysiskt skyddade områden på följande sätt:
a)
Som allmän regel ska säkerhetsskyddsklassificerade EU-uppgifter överföras elektroniskt med kryptoprodukter som godkänts i enlighet med artikel 10.6.
b)
Om produkterna i led a inte används, ska säkerhetsskyddsklassificerade EU-uppgifter överföras antingen
i)
på elektroniska medier (t.ex. USB-minnen, cd-skivor, hårddiskar) som skyddas med kryptoprodukter som godkänts i enlighet med artikel 10.6, eller
ii)
i alla övriga fall, som föreskrivet av den behöriga säkerhetsmyndigheten i enlighet med de relevanta skyddsåtgärderna i bilaga III.
5. Genomförandebestämmelser för denna artikel fastställs i bilagorna III och IV.
Artikel 10
Skydd av säkerhetsskyddsklassificerade EU-uppgifter i kommunikations- och informationssystem
1. Med informationssäkring på området kommunikations- och informationssystem avses förvissningar om att dessa system kommer att skydda den information de hanterar och kommer att fungera som de ska när det krävs, under kontroll av behöriga användare. Effektiv informationssäkring ska garantera lämpliga nivåer för konfidentialitet, riktighet, tillgänglighet, oavvislighet och autenticitet. Informationssäkring ska grundas på en riskhanteringsprocess.
2. Med kommunikations- och informationssystem avses varje system som gör det möjligt att hantera information i elektronisk form. Ett kommunikations- och informationssystem ska innefatta alla de resurser som krävs för att det ska fungera, inklusive infrastruktur, organisation, personal och informationsresurser. Detta beslut ska tillämpas på kommunikations- och informationssystem som hanterar säkerhetsskyddsklassificerade EU-uppgifter (kommunikations- och informationssystem eller system).
3. Dessa kommunikations- och informationssystem ska hantera säkerhetsskyddsklassificerade EU-uppgifter i enlighet med informationssäkringsbegreppet.
4. Samtliga kommunikations- och informationssystem ska genomgå en ackrediteringsprocess. Godkännandet från säkerhetssynpunkt ska syfta till att skapa förvissning om att alla lämpliga säkerhetsåtgärder har vidtagits och att tillräckligt hög skyddsnivå för de säkerhetsskyddsklassificerade EU-uppgifterna och systemen har uppnåtts i enlighet med detta beslut. I redovisningen av godkännandet från säkerhetssynpunkt ska fastställas högsta säkerhetsskyddsklassificeringsnivå för den information som får hanteras av ett system och motsvarande villkor.
5. Säkerhetsåtgärder ska genomföras för att skydda system som hanterar uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och högre mot kompromettering av sådana uppgifter genom oavsiktliga elektromagnetiska läckor (tempestsäkerhetsåtgärder). Sådana säkerhetsåtgärder ska motsvara spridningsrisken och uppgifternas säkerhetsskyddsklassificeringsnivå.
6. Om de säkerhetsskyddsklassificerade EU-uppgifterna skyddas med hjälp av kryptoprodukter, ska sådana produkter godkännas på följande sätt:
a)
Konfidentialiteten för uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET och högre ska skyddas genom kryptoprodukter som har godkänts av rådet i egenskap av kryptogodkännande myndighet på rekommendation av säkerhetskommittén.
b)
Konfidentialiteten för uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED ska skyddas genom kryptoprodukter som har godkänts av rådets generalsekreterare (nedan kallad generalsekreteraren) i egenskap av kryptogodkännande myndighet på rekommendation av säkerhetskommittén.
Trots vad som sägs i led b får säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED inom medlemsstaternas nationella system skyddas genom kryptoprodukter som har godkänts av en medlemsstats kryptogodkännande myndighet.
7. När säkerhetsskyddsklassificerade EU-uppgifter överförs på elektronisk väg ska godkända kryptoprodukter användas. Trots detta krav får specifika förfaranden i krissituationer eller specifika tekniska konfigurationer enligt bilaga IV tillämpas.
8. Generalsekretariatets respektive medlemsstaternas behöriga myndigheter ska upprätta följande informationssäkringsfunktioner:
a)
En myndighet för informationssäkring.
b)
En tempestmyndighet.
c)
En kryptogodkännande myndighet.
d)
En kryptodistribuerande myndighet.
9. För varje system ska generalsekretariatets respektive medlemsstaternas behöriga myndigheter upprätta följande:
a)
En ackrediteringsmyndighet för säkerhet.
b)
En driftsansvarig myndighet för informationssäkring.
10. Genomförandebestämmelser för denna artikel fastställs i bilaga IV.
Artikel 11
Industrisäkerhet
1. Med industrisäkerhet avses tillämpningen av åtgärder för att garantera att säkerhetsskyddsklassificerade EU-uppgifter skyddas av entreprenörer eller underentreprenörer vid kontraktsförhandlingar och under hela löptiden av kontrakt som kräver säkerhetsskyddsavtal. Sådana kontrakt får inte medföra tillgång till uppgifter på säkerhetsskyddsklassificeringsnivån TRÈS SECRET UE/EU TOP SECRET.
2. Generalsekretariatet får genom kontrakt överlåta arbetsuppgifter som omfattar eller medför att säkerhetsskyddsklassificerade EU-uppgifter lämnas ut till, hanteras av eller förvaras av industrienheter eller andra enheter som är registrerade i en medlemsstat eller en tredjestat som har ingått ett avtal eller en administrativ överenskommelse enligt artikel 13.2 a eller b.
3. Generalsekretariatet som är kontraktsslutande myndighet, ska säkerställa att de miniminormer för industrisäkerhet som fastställs i detta beslut, och som det hänvisas till i kontraktet, följs när industrienheter och andra enheter tilldelas kontrakt som kräver säkerhetsskyddsavtal.
4. Den nationella säkerhetsmyndigheten, den utsedda säkerhetsmyndigheten eller någon annan behörig myndighet i varje medlemsstat ska så långt det är möjligt enligt nationella lagar och andra författningar säkerställa att entreprenörer och underentreprenörer som är registrerade på deras territorium vidtar alla lämpliga åtgärder för att skydda säkerhetsskyddsklassificerade EU-uppgifter under de förhandlingar som förs innan ett kontrakt ingås och när ett kontrakt som kräver säkerhetsskyddsavtal genomförs.
5. Den nationella säkerhetsmyndigheten, den utsedda säkerhetsmyndigheten eller någon annan behörig myndighet i respektive medlemsstat ska så långt det är möjligt enligt nationella lagar och andra författningar säkerställa att entreprenörer och underentreprenörer som är registrerade i den medlemsstaten och som deltar i entreprenader som kräver säkerhetsskyddsavtal eller underentreprenader som kräver tillgång till uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inom sina anläggningar, antingen när de genomför sådana entreprenader eller innan kontraktet ingås, innehar ett säkerhetsskyddsgodkännande av verksamhetsställe på relevant säkerhetsskyddsklassificeringsnivå.
6. Entreprenörens eller underentreprenörens personal som för genomförandet av ett kontrakt som kräver säkerhetsskyddsavtal behöver tillgång till uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska beviljas ett personalsäkerhetsgodkännande av en nationell säkerhetsmyndighet, utsedd säkerhetsmyndighet eller någon annan behörig säkerhetsmyndighet i enlighet med nationella lagar och andra författningar samt de miniminormer som fastställs i bilaga I.
7. Genomförandebestämmelser för denna artikel fastställs i bilaga V.
Artikel 12
Utbyte av säkerhetsskyddsklassificerade EU-uppgifter
1. Rådet ska fastställa villkoren för utbyte av säkerhetsskyddsklassificerade EU-uppgifter som det innehar med andra av unionens institutioner, organ, kontor eller byråer. En lämplig ram får inrättas för detta, bland annat genom ingående av interinstitutionella avtal eller andra arrangemang när så krävs.
2. En sådan ram ska säkerställa att säkerhetsskyddsklassificerade EU-uppgifter skyddas på ett sätt som är lämpligt med avseende på deras säkerhetsskyddsklassificeringsnivå och enligt grundläggande principer och miniminormer som motsvarar dem som fastställs i detta beslut.
Artikel 13
Utbyte av säkerhetsskyddsklassificerade uppgifter med tredjestater och internationella organisationer
1. Om rådet fastställer att det finns ett behov av utbyte av säkerhetsskyddsklassificerade EU-uppgifter med en tredjestat eller internationell organisation, ska en lämplig ram fastställas för detta ändamål.
2. För att upprätta denna ram och fastställa ömsesidigt gällande bestämmelser om skydd av utbytta säkerhetsskyddsklassificerade uppgifter
a)
ska unionen ingå avtal med tredjestater eller internationella organisationer om säkerhetsförfaranden för utbyte och skydd av säkerhetsskyddsklassificerade uppgifter (nedan kallade informationssäkerhetsskyddsavtal), eller
b)
får generalsekreteraren på generalsekretariatets vägnar ingå administrativa överenskommelser i enlighet med punkt 17 i bilaga VI om säkerhetsskyddsklassificeringsnivån för säkerhetsskyddsklassificerade EU-uppgifter som ska lämnas ut som en allmän regel inte är högre än RESTREINT UE/EU RESTRICTED.
3. Informationssäkerhetsavtal eller administrativa överenskommelser som avses i punkt 2 ska innehålla bestämmelser som sörjer för att säkerhetsskyddsklassificerade EU-uppgifter som tredjestater eller internationella organisationer får, skyddas på ett sätt som är lämpligt med avseende på deras säkerhetsskyddsklassificeringsnivå och enligt miniminormer som inte är mindre stränga än de som fastställs i detta beslut.
4. Beslutet att lämna ut säkerhetsskyddsklassificerade EU-uppgifter som upprättats i rådet till en tredjestat eller internationell organisation ska fattas av rådet i varje enskilt fall beroende på uppgifternas karaktär och innehåll, mottagarens behovsenliga behörighet och den fördel som unionen vinner därigenom. Om det inte är rådet som är upphovsman till de säkerhetsskyddsklassificerade uppgifterna, ska generalsekretariatet först söka skriftligt tillstånd av upphovsmannen. Om det inte går att fastställa vem denne är kommer rådet att ikläda sig detta ansvar.
5. Utvärderingsbesök ska anordnas för att utröna ändamålsenligheten i de säkerhetsåtgärder som tillämpas i en tredjestat eller internationell organisation för att skydda säkerhetsskyddsklassificerade EU-uppgifter som lämnas ut eller utbyts.
6. Genomförandebestämmelser för denna artikel fastställs i bilaga VI.
Artikel 14
Överträdelse av säkerhetsbestämmelserna och röjande av säkerhetsskyddsklassificerade EU-uppgifter
1. En överträdelse av säkerhetsbestämmelserna inträffar som resultat av en handling eller försummelse som begåtts av en person och som står i strid med säkerhetsbestämmelserna i detta beslut.
2. Röjande av säkerhetsskyddsklassificerade EU-uppgifter inträffar när dessa som resultat av ett säkerhetsbrott helt eller delvis har lämnats ut till obehöriga.
3. Överträdelser av säkerhetsbestämmelserna eller misstänkta överträdelser av säkerhetsbestämmelserna ska omedelbarts rapporteras till den behöriga säkerhetsmyndigheten.
4. Om det är känt eller om det föreligger rimliga skäl att anta att säkerhetsskyddsklassificerade EU-uppgifter har röjts eller förlorats, ska den nationella säkerhetsmyndigheten eller en annan behörig myndighet vidta alla lämpliga åtgärder i enlighet med tillämpliga lagar och andra författningar för att
a)
underrätta upphovsmannen,
b)
se till att personal som inte direkt berörs av brottet utreder ärendet för att fastställa fakta,
c)
bedöma den potentiella skada som åsamkats unionens eller medlemsstaternas intressen,
d)
vidta lämpliga åtgärder för att förhindra ett upprepande, och
e)
underrätta lämpliga myndigheter om de vidtagna åtgärderna.
5. Den som är ansvarig för en överträdelse av säkerhetsbestämmelserna kan komma att underkastas disciplinära åtgärder enligt tillämpliga bestämmelser. Den som är ansvarig för röjande eller förlust av säkerhetsskyddsklassificerade EU-uppgifter ska underkastas disciplinära och/eller rättsliga åtgärder enligt tillämpliga lagar och andra författningar.
Artikel 15
Ansvar för genomförande
1. Rådet ska vidta alla åtgärder som är nödvändiga för att sörja för en övergripande enhetlig tillämpning av detta beslut.
2. Generalsekreteraren ska vidta alla nödvändiga åtgärder vid hantering eller förvar av säkerhetsskyddsklassificerade EU-uppgifter eller annan säkerhetsskyddsklassificerad information för att säkerställa att detta beslut tillämpas i utrymmen som används av rådet och inom generalsekretariatet av generalsekretariatets tjänstemän och övriga anställda, personal som har avdelats till generalsekretariatet och entreprenörer som anlitas av generalsekretariatet.
3. Medlemsstaterna ska vidta alla lämpliga åtgärder i enlighet med sina nationella lagar och andra författningar, för att säkerställa att detta beslut vid hantering eller förvar av säkerhetsskyddsklassificerade EU-uppgifter respekteras av
a)
personal vid medlemsstaternas ständiga representationer vid Europeiska unionen och nationella delegater som deltar i rådsmöten eller i möten i rådets förberedande organ eller som deltar i annan rådsverksamhet,
b)
annan personal vid medlemsstaternas nationella förvaltningar, även personal som avdelats till dessa förvaltningar, oavsett om de tjänstgör på medlemsstaternas territorium eller utomlands,
c)
andra personer i medlemsstaterna som i kraft av sina arbetsuppgifter vederbörligen bemyndigats att ha tillgång till säkerhetsskyddsklassificerade EU-uppgifter, och
d)
entreprenörer som anlitas av medlemsstaterna, oavsett om de är verksamma på medlemsstaternas territorium eller utomlands.
Artikel 16
Säkerhetsorganisationen inom rådet
1. Som ett led i dess roll för att sörja för en övergripande enhetlig tillämpning av detta beslut ska rådet godkänna
a)
de avtal som avses i artikel 13.2 a,
b)
beslut om att tillåta eller godkänna utlämning av säkerhetsskyddsklassificerade uppgifter som upprättats eller innehas av rådet till tredjestater och internationella organisationer i enlighet med principen om upphovsmannens samtycke,
c)
ett årligt program för utvärderingsbesök som rekommenderas av säkerhetskommittén för besök för att utvärdera medlemsstaternas enheter och utrymmen, unionens organ, byråer och enheter som tillämpar detta beslut eller dess principer, och för utvärderingsbesök i tredjestater och vid internationella organisationer, för att utröna ändamålsenligheten i de åtgärder som genomförs för att skydda säkerhetsskyddsklassificerade EU-uppgifter, och
d)
säkerhetsstrategier enligt artikel 6.1.
2. Generalsekreteraren ska fungera som generalsekretariatets säkerhetsmyndighet. I den egenskapen ska generalsekreteraren
a)
genomföra rådets säkerhetsstrategi och se över den,
b)
med medlemsstaternas nationella säkerhetsmyndigheter samordna alla säkerhetsfrågor som avser skyddet av säkerhetsskyddsklassificerade uppgifter som berör rådets verksamhet,
c)
bevilja generalsekretariatets tjänstemän, övriga anställda och nationella experter behörighet för tillgång till uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre, i enlighet med artikel 7.3,
d)
i lämpliga fall beordra utredningar av eventuella inträffade eller misstänkta läckor eller förlust av säkerhetsskyddsklassificerade uppgifter som innehas av eller härrör från rådet och begära bistånd från de berörda säkerhetsmyndigheterna vid sådana utredningar,
e)
periodiskt genomföra inspektion av säkerhetsarrangemangen för skydd av säkerhetsskyddsklassificerade uppgifter i generalsekretariatets lokaler,
f)
periodiskt genomföra besök för att utvärdera säkerhetsarrangemangen för skydd av säkerhetsskyddsklassificerade EU-uppgifter vid unionens organ, byråer och enheter som tillämpar detta beslut eller dess principer,
g)
tillsammans och i samförstånd med berörda nationella säkerhetsmyndigheter periodiskt genomföra utvärderingar av säkerhetsarrangemangen för skydd av säkerhetsskyddsklassificerade EU-uppgifter i medlemsstaternas enheter och utrymmen,
h)
se till att säkerhetsåtgärder vid behov samordnas med medlemsstaternas behöriga myndigheter med ansvar för skyddet av säkerhetsskyddsklassificerade uppgifter, och i förekommande fall tredjestater eller internationella organisationer, bl.a. om arten av hoten mot säkerheten för säkerhetsskyddsklassificerade EU-uppgifter och vilka skyddsåtgärder som kan vidtas, och
i)
ingå sådana administrativa överenskommelser som avses i artikel 13.2 b.
Generalsekretariatets säkerhetsavdelning ska stå till generalsekreterarens förfogande för bistånd inom detta ansvarsområde.
3. För tillämpningen av artikel 15.3 bör medlemsstaterna
a)
utse en nationell säkerhetsmyndighet, enligt förteckningen i tillägg C, som ska ansvara för säkerhetsarrangemangen för skydd av säkerhetsskyddsklassificerade EU-uppgifter, så att
i)
säkerhetsskyddsklassificerade EU-uppgifter vid nationella ministerier, organ eller myndigheter, offentliga eller privata, inom landet eller utomlands, skyddas i enlighet med detta beslut,
ii)
säkerhetsarrangemangen för skydd av säkerhetsskyddsklassificerade EU-uppgifter inspekteras eller utvärderas periodiskt,
iii)
alla som är anställda vid en nationell förvaltning eller av en entreprenör som kan ges tillgång till uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre har säkerhetsgodkänts på lämpligt sätt eller på annat sätt vederbörligen bemyndigats i kraft av sina arbetsuppgifter i enlighet med nationella lagar och andra författningar,
iv)
säkerhetsplaner upprättas vid behov för att minska risken att säkerhetsskyddsklassificerade EU-uppgifter röjs eller går förlorade,
v)
säkerhetsfrågor som rör skydd av säkerhetsskyddsklassificerade EU-uppgifter samordnas med andra behöriga nationella myndigheter, inbegripet dem som avses i detta beslut, och
vi)
svar ges på relevanta ansökningar om säkerhetsgodkännande från framför allt unionens organ, byråer, enheter och verksamheter som inrättats enligt avdelning V kapitel 2 i EU-fördraget samt EU:s särskilda representanter och deras medarbetare som tillämpar detta beslut eller dess principer;
b)
se till att deras behöriga myndigheter lämnar information och råd till sina regeringar, och genom dem till rådet, om arten av hoten mot säkerheten när det gäller säkerhetsskyddsklassificerade EU-uppgifter och vilka skyddsåtgärder som kan vidtas.
Artikel 17
Säkerhetskommittén
1. En säkerhetskommitté inrättas härmed. Den ska granska och bedöma alla säkerhetsfrågor inom ramen för detta beslut och i lämpliga fall lämna rekommendationer till rådet.
2. Säkerhetskommittén ska bestå av företrädare för medlemsstaternas nationella säkerhetsmyndigheter; en företrädare för kommissionen och för Europeiska utrikestjänsten ska vara närvarande vid dess möten. Generalsekreteraren eller den företrädare som han utser ska vara ordförande. Kommittén ska sammanträda enligt anvisningar från rådet eller på begäran av generalsekreteraren eller en nationell säkerhetsmyndighet.
Företrädare för unionens organ, byråer och enheter som tillämpar detta beslut eller dess principer får bjudas in att delta när frågor som rör dem diskuteras.
3. Säkerhetskommittén ska organisera sitt arbete så att den kan lämna rekommendationer inom särskilda områden som gäller säkerhet. Den ska inrätta en undergrupp med experter på informationssäkringsfrågor och vid behov andra undergrupper med experter. Den ska fastställa mandatet för sådana undergrupper med experter och ta emot deras verksamhetsrapporter och eventuellt rekommendationer till rådet.
Artikel 18
Ersättande av föregående beslut
1. Genom detta beslut upphävs och ersätts rådets beslut 2011/292/EU (2).
2. Alla säkerhetsskyddsklassificerade EU-uppgifter på en säkerhetsskyddsklassificeringsnivå enligt rådets beslut 2001/264/EG (3) och beslut 2011/292/EU ska även fortsättningsvis skyddas i enlighet med relevanta bestämmelser i det här beslutet.
Artikel 19
Ikraftträdande
Detta beslut träder i kraft samma dag som det offentliggörs i Europeiska unionens officiella tidning.
Utfärdat i Bryssel den 23 september 2013.