BESCHLUSS DES RATES
vom 31. März 2011
über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen
(2011/292/EU)
DER RAT DER EUROPÄISCHEN UNION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 240 Absatz 3,
gestützt auf den Beschluss 2009/937/EU des Rates vom 1. Dezember 2009 zur Annahme seiner Geschäftsordnung (1), insbesondere auf Artikel 24,
in Erwägung nachstehender Gründe:
(1)
Für die Ausweitung der Tätigkeiten des Rates in allen Bereichen, die die Bearbeitung von Verschlusssachen erfordern, sollte ein umfassendes Sicherheitssystem für den Schutz von Verschlusssachen geschaffen werden, das den Rat, sein Generalsekretariat und die Mitgliedstaaten einbezieht.
(2)
Dieser Beschluss sollte Anwendung finden, wenn der Rat, seine Vorbereitungsgremien und das Generalsekretariat des Rates EU-Verschlusssachen (EU-VS) bearbeiten.
(3)
Nach Maßgabe der innerstaatlichen Rechtsvorschriften und soweit es für die Tätigkeit des Rates erforderlich ist, sollten die Mitgliedstaaten diesen Beschluss beachten, wenn ihre zuständigen Behörden, ihre Bediensteten oder ihre Auftragnehmer EU-VS bearbeiten, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(4)
Der Rat und die Kommission sind entschlossen, gleichwertige Sicherheitsstandards für den Schutz von EU-VS anzuwenden.
(5)
Der Rat unterstreicht die Bedeutung einer Beteiligung, soweit angebracht, des Europäischen Parlaments und der anderen Organe, Einrichtungen, Agenturen oder Ämter der EU an den Prinzipien, Standards und Vorschriften für den Schutz von Verschlusssachen, die erforderlich sind, um die Interessen der Union und ihrer Mitgliedstaaten zu schützen.
(6)
Die im Rahmen des Titels V Kapitel 2 des Vertrags über die Europäische Union geschaffenen Agenturen und Einrichtungen der EU, Europol und Eurojust wenden im Rahmen ihrer internen Organisation die Grundprinzipien und Mindeststandards dieses Beschlusses für den Schutz von EU-VS an, wie dies in ihren jeweiligen Gründungsrechtsakten vorgesehen ist.
(7)
Bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV und vom Personal solcher Operationen werden die Sicherheitsvorschriften des Rates für den Schutz von EU-VS angewendet.
(8)
Die Sonderbeauftragten der Europäischen Union und die Mitglieder ihres Personals wenden die Sicherheitsvorschriften des Rates für den Schutz von EU-VS an.
(9)
Dieser Beschluss lässt die Artikel 15 und 16 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und die zu ihrer Durchführung erlassenen Rechtsakte unberührt.
(10)
Dieser Beschluss berührt nicht die bestehenden Verfahren der Mitgliedstaaten zur Unterrichtung ihrer nationalen Parlamente über die Tätigkeiten der Union -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand, Anwendungsbereich und Begriffsbestimmungen
(1) Dieser Beschluss legt Grundprinzipien und Mindeststandards für die Sicherheit in Bezug auf den Schutz von EU-VS fest.
(2) Diese Grundprinzipien und Mindeststandards gelten für den Rat und das Generalsekretariat des Rates und werden von den Mitgliedstaaten nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften beachtet, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(3) Für die Zwecke dieses Beschlusses gelten die Begriffsbestimmungen in Anlage A.
Artikel 2
Begriffsbestimmung für EU-VS, Geheimhaltungsgrade und Kennzeichnungen
(1) „EU-Verschlusssachen“ („EU-VS“) sind alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte.
(2) EU-VS werden in einen der folgenden Geheimhaltungsgrade eingestuft:
a) TRÈS SECRET UE/EU TOP SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten äußerst schweren Schaden zufügen könnte.
b) SECRET UE/EU SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten schweren Schaden zufügen könnte.
c) CONFIDENTIEL UE/EU CONFIDENTIAL: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten Schaden zufügen könnte.
d) RESTREINT UE/EU RESTRICTED: Informationen und Materialien, deren unbefugte Weitergabe für die wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten nachteilig sein könnte.
(3) EU-VS werden mit einem Geheimhaltungsgrad gemäß Absatz 2 gekennzeichnet. Sie können zusätzliche Kennzeichnungen tragen, mit denen der Tätigkeitsbereich, auf den sie sich beziehen, angegeben, der Herausgeber benannt, die Verteilung begrenzt, die Verwendung eingeschränkt oder die Möglichkeit zur Weitergabe ausgewiesen wird.
Artikel 3
Regeln für die Einstufung als Verschlusssache
(1) Die zuständigen Behörden gewährleisten, dass EU-VS angemessen eingestuft werden, deutlich als Verschlusssache gekennzeichnet sind und den jeweiligen Geheimhaltungsgrad nur so lange behalten, wie es erforderlich ist.
(2) Der Geheimhaltungsgrad von EU-VS darf ohne vorherige schriftliche Zustimmung des Herausgebers weder herabgestuft noch aufgehoben werden; das Gleiche gilt für die Veränderung oder Entfernung der in Artikel 2 Absatz 3 genannten Kennzeichnungen.
(3) Der Rat billigt ein Sicherheitskonzept für die Erstellung von EU-VS, das auch einen praktischen Einstufungsleitfaden für Verschlusssachen umfasst.
Artikel 4
Schutz von Verschlusssachen
(1) EU-VS werden gemäß diesem Beschluss geschützt.
(2) Der Besitzer jedweder EU-VS ist dafür verantwortlich, diese gemäß diesem Beschluss zu schützen.
(3) Gibt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze der Europäischen Union, so schützen der Rat und das Generalsekretariat des Rates diese Verschlusssachen nach den Anforderungen, die für EU-VS der entsprechenden Geheimhaltungsstufe gemäß der Entsprechungstabelle der Geheimhaltungsgrade in Anlage B gelten.
(4) Große Mengen an EU-VS oder eine Zusammenstellung von EU-VS können ein Schutzniveau erfordern, das einem höheren Geheimhaltungsgrad entspricht.
Artikel 5
Sicherheitsrisikomanagement
(1) Das Risikomanagement für EU-VS wird als Prozess angelegt. Ziel dieses Prozesses ist es, bekannte Sicherheitsrisiken zu bestimmen, Sicherheitsmaßnahmen zur Reduzierung dieser Risiken auf ein tragbares Maß gemäß den Grundprinzipien und Mindeststandards dieses Beschlusses festzulegen und diese Maßnahmen entsprechend dem Konzept der mehrschichtigen Sicherheit gemäß Anlage A anzuwenden. Die Wirksamkeit der betreffenden Maßnahmen wird fortlaufend bewertet.
(2) Die Sicherheitsmaßnahmen für den Schutz von EU-VS müssen während der gesamten Dauer ihrer Einstufung als EU-VS insbesondere dem Geheimhaltungsgrad, der Form und dem Umfang der Informationen und des Materials, der Lage und der Beschaffenheit der Einrichtungen, in denen EU-VS untergebracht sind, und der örtlichen Einschätzung der Bedrohung durch feindselige und/oder kriminelle Handlungen, einschließlich Spionage, Sabotage oder Terrorakte, entsprechen.
(3) In Notfallplänen wird berücksichtigt, dass EU-VS in Notsituationen geschützt werden müssen, damit der unbefugte Zugang, die unbefugte Weitergabe oder der Verlust der Integrität beziehungsweise der Verfügbarkeit verhindert werden.
(4) In Kontinuitätsplänen sind Präventions- und Wiederherstellungsmaßnahmen vorzusehen, damit die Auswirkungen größerer Störungen oder Zwischenfälle auf die Bearbeitung und Aufbewahrung von EU-VS so gering wie möglich gehalten werden.
Artikel 6
Anwendung dieses Beschlusses
(1) Soweit erforderlich, billigt der Rat auf Empfehlung des Sicherheitsausschusses Sicherheitskonzepte mit Maßnahmen zur Anwendung dieses Beschlusses.
(2) Der Sicherheitsausschuss kann auf seiner Ebene Sicherheitsleitlinien zur Ergänzung oder Untermauerung dieses Beschlusses und etwaiger vom Rat gebilligter Sicherheitskonzepte vereinbaren.
Artikel 7
Personeller Geheimschutz
(1) Der personelle Geheimschutz beinhaltet die Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die
-
Kenntnis von EU-VS haben müssen,
-
erforderlichenfalls einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen worden sind und
-
über ihre Verantwortlichkeiten belehrt worden sind.
(2) Die Verfahren für die Sicherheitsüberprüfung des Personals dienen der Feststellung, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann.
(3) Alle Personen im Generalsekretariat des Rates, für deren Aufgabenwahrnehmung Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS erforderlich sein kann, werden einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen, bevor ihnen Zugang zu diesen EU-VS gewährt wird. Das Verfahren für die Sicherheitsüberprüfung der Beamten und sonstigen Bediensteten des Generalsekretariats des Rates ist in Anhang I festgelegt.
(4) Das Personal der Mitgliedstaaten nach Artikel 14 Absatz 3, das zur Wahrnehmung seiner Aufgaben gegebenenfalls Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS erhalten muss, wird nach Maßgabe der innerstaatlichen Rechtsvorschriften einer Sicherheitsüberprüfung für den entsprechenden Geheimhaltungsgrad unterzogen oder aufgrund seines Aufgabenbereichs auf andere Weise ordnungsgemäß ermächtigt, bevor ihm Zugang zu diesen EU-VS gewährt wird.
(5) Jede Person wird über ihre Verantwortlichkeiten zum Schutz von EU-VS nach Maßgabe dieses Beschlusses belehrt und erkennt diese an, bevor ihr Zugang zu EU-VS gewährt wird; eine solche Belehrung bzw. Anerkennung erfolgt auch später in regelmäßigen Abständen.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang I enthalten.
Artikel 8
Materieller Geheimschutz
(1) Der materielle Geheimschutz beinhaltet die Anwendung von materiellen und technischen Schutzmaßnahmen, damit ein unbefugter Zugang zu EU-VS verhindert wird.
(2) Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, das heimliche oder gewaltsame Eindringen unbefugter Personen zu verhindern, von unbefugten Handlungen abzuschrecken bzw. diese zu verhindern und aufzudecken und den Einsatz von Personal in Bezug auf den Zugang zu EU-VS nach dem Grundsatz „Kenntnis nur, wenn nötig“ zu ermöglichen. Diese Maßnahmen werden auf der Grundlage eines Risikomanagementprozesses festgelegt.
(3) Die Maßnahmen des materiellen Geheimschutzes werden für alle Gebäude, Büros, Räume und sonstigen Bereiche, in denen EU-VS bearbeitet bzw. aufbewahrt werden, getroffen, einschließlich Bereiche, in denen Kommunikations- und Informationssysteme gemäß Artikel 10 Absatz 2 untergebracht sind.
(4) Die Bereiche, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte EU-VS aufbewahrt werden, werden als abgesicherte Bereiche nach Anhang II eingerichtet und von der zuständigen Sicherheitsbehörde genehmigt.
(5) Zum Schutz von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS werden ausschließlich zugelassene Ausrüstungen oder Geräte verwendet.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang II enthalten.
Artikel 9
Verwaltung von Verschlusssachen
(1) Die Verwaltung von Verschlusssachen beinhaltet die Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 7, 8 und 10 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern oder festzustellen und entsprechende Maßnahmen zur Wiederherstellung der Sicherheit zu treffen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Beförderung und die Vernichtung von EU-VS.
(2) Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen werden zu Sicherheitszwecken vor der Weiterleitung und bei Empfang registriert. Zu diesem Zweck richten die zuständigen Stellen im Generalsekretariat des Rates und in den Mitgliedstaaten ein Registratursystem ein. Als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen werden in eigens dafür bestimmten Registraturen vereinnahmt.
(3) In Dienststellen und Räumlichkeiten, in denen EU-VS bearbeitet oder aufbewahrt werden, sind regelmäßig Inspektionen durch die zuständige Sicherheitsbehörde durchzuführen.
(4) EU-VS werden zwischen Dienststellen und Räumlichkeiten außerhalb von physisch geschützten Bereichen wie folgt befördert:
a)
In der Regel werden EU-VS elektronisch übermittelt und dabei durch kryptografische Produkte geschützt, die gemäß Artikel 10 Absatz 6 zugelassen wurden;
b)
wenn die unter Buchstabe a genannten Mittel nicht verwendet werden, erfolgt die Beförderung von EU-VS entweder
i)
auf elektronischen Datenträgern (z. B. USB-Sticks, CDs, Festplattenlaufwerken), die durch kryptografische Produkte geschützt sind, die nach Artikel 10 Absatz 6 zugelassen wurden, oder
ii)
in allen anderen Fällen gemäß den Vorschriften der zuständigen Sicherheitsbehörde im Einklang mit den einschlägigen Schutzmaßnahmen des Anhangs III.
(5) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang III enthalten.
Artikel 10
Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden
(1) Informationssicherung (Information Assurance, IA) im Bereich von Kommunikations- und Informationssystemen beinhaltet das Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Risikomanagementprozess.
(2) Ein „Kommunikations- und Informationssystem“ ist ein System, das die Bearbeitung von Informationen in elektronischer Form ermöglicht. Zu einem Kommunikations- und Informationssystem gehören sämtliche für seinen Betrieb benötigten Voraussetzungen, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen. Dieser Beschluss gilt für Kommunikations- und Informationssysteme, mit denen EU-VS bearbeitet werden.
(3) In Kommunikations- und Informationssystemen werden EU-VS gemäß dem Konzept der Informationssicherung bearbeitet.
(4) Alle Kommunikations- und Informationssysteme werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der EU-VS und des Kommunikations- und Informationssystems gemäß diesem Beschluss erreicht wird. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in dem Kommunikations- und Informationssystem bearbeitet werden dürfen.
(5) Kommunikations- und Informationssysteme, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen bearbeitet werden, werden so geschützt, dass von Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“).
(6) Wird der Schutz von EU-VS mit kryptografischen Produkten sichergestellt, so sind diese Produkte folgendermaßen zuzulassen:
a)
die Vertraulichkeit von als „SECRET UE/EU SECRET“ und höher eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Rat als Krypto-Zulassungsstelle (Crypto Approval Authority, CAA) auf Empfehlung des Sicherheitsausschusses zugelassen wurden;
b)
die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Generalsekretär des Rates (im Folgenden „Generalsekretär“) als CAA auf Empfehlung des Sicherheitsausschusses zugelassen wurden.
Ungeachtet des Buchstabens b kann die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften EU-VS innerhalb der nationalen Systeme der Mitgliedstaaten durch kryptografische Produkte geschützt werden, die von der CAA eines Mitgliedstaats zugelassen wurden.
(7) Bei der Übermittlung von EU-VS auf elektronischem Wege werden zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen spezielle Verfahren oder spezielle technische Konfigurationen nach Maßgabe des Anhangs IV angewendet werden.
(8) Die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten legen jeweils die folgenden Funktionen für Informationssicherung fest:
a)
eine Stelle für Informationssicherung (IAA);
b)
eine TEMPEST-Stelle (TA);
c)
eine Krypto-Zulassungsstelle (CAA);
d)
eine Krypto-Verteilungsstelle (CDA).
(9) Für jedes System legen die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten jeweils Folgendes fest:
a)
eine Sicherheits-Akkreditierungsstelle (SAA);
b)
eine für den Betrieb zuständige Stelle für Informationssicherung.
(10) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang IV enthalten.
Artikel 11
Geheimschutz in der Wirtschaft
(1) Der Geheimschutz in der Wirtschaft beinhaltet die Anwendung von Maßnahmen, die darauf abzielen, den Schutz von EU-VS durch Auftragnehmer oder Subauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der gesamten Laufzeit des als Verschlusssache eingestuften Auftrags zu gewährleisten. Diese Aufträge beinhalten nicht den Zugang zu als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen.
(2) Das Generalsekretariat des Rates kann industrielle oder andere Unternehmen, die in einem Mitgliedstaat oder in einem Drittstaat, der ein Abkommen oder eine Verwaltungsvereinbarung nach Artikel 12 Absatz 2 Buchstabe a oder b mit der EU geschlossen hat, eingetragen sind, vertraglich mit Aufträgen betrauen, die den Zugang zu oder die Bearbeitung oder Aufbewahrung von EU-VS beinhalten oder nach sich ziehen.
(3) Das Generalsekretariat des Rates stellt als Vergabebehörde sicher, dass die in diesem Beschluss festgelegten und in dem Vertrag genannten Mindeststandards für den Geheimschutz in der Wirtschaft eingehalten werden, wenn als Verschlusssache eingestufte Aufträge von ihm an industrielle oder andere Unternehmen vergeben werden.
(4) Die Nationale Sicherheitsbehörde (National Security Authority, NSA), die Beauftragte Sicherheitsbehörde (Designated Security Authority, DSA) oder eine andere zuständige Behörde jedes Mitgliedstaats stellt, soweit dies nach den innerstaatlichen Rechtsvorschriften möglich ist, sicher, dass in ihrem Hoheitsgebiet eingetragene Auftragnehmer und Subauftragnehmer alle geeigneten Maßnahmen zum Schutz von EU-VS bei den Verhandlungen vor der Auftragsvergabe oder bei der Ausführung eines als Verschlusssache eingestuften Auftrags treffen.
(5) Die Nationale Sicherheitsbehörde, die Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde jedes Mitgliedstaats stellt gemäß den innerstaatlichen Rechtsvorschriften sicher, dass in dem betreffenden Mitgliedstaat eingetragene Auftragnehmer und Subauftragnehmer, die an als Verschlusssache eingestuften Aufträgen oder Subaufträgen beteiligt sind, die den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuften Verschlusssachen in ihren Räumlichkeiten erfordern, entweder bei der Ausführung dieser Aufträge oder bei den Verhandlungen vor der Auftragsvergabe im Besitz eines Sicherheitsbescheids für Unternehmen (Facility Security Clearance, FSC) der entsprechenden Geheimhaltungsstufe sind.
(6) Dem Personal des Auftragnehmers oder Subauftragnehmers, das zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ erhalten muss, wird von der jeweiligen Nationalen Sicherheitsbehörde, der Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde gemäß den innerstaatlichen Rechtsvorschriften und den Mindeststandards in Anhang I eine Sicherheitsermächtigung (Personnel Security Clearance, PSC) erteilt.
(7) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang V enthalten.
Artikel 12
Austausch von Verschlusssachen mit Drittstaaten und internationalen Organisationen
(1) Entscheidet der Rat, dass EU-VS mit einem Drittstaat oder einer internationalen Organisation ausgetauscht werden müssen, so werden die hierfür erforderlichen rechtlichen Grundlagen geschaffen.
(2) Zur Festlegung dieser Grundlagen und der für beide Parteien geltenden Vorschriften für den Schutz von ausgetauschten Verschlusssachen
a)
schließt der Rat Abkommen über Sicherheitsverfahren für den Austausch und den Schutz von Verschlusssachen (im Folgenden „Geheimschutzabkommen“) oder
b)
kann der Generalsekretär Verwaltungsvereinbarungen gemäß Anhang VI Nummer 17 schließen, sofern die weiterzugebenden EU-VS in der Regel nicht höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind.
(3) Die Geheimschutzabkommen oder Verwaltungsvereinbarungen nach Absatz 2 enthalten Bestimmungen, mit denen sichergestellt wird, dass EU-VS nach Entgegennahme durch Drittstaaten oder internationale Organisationen in einer ihrem Geheimhaltungsgrad angemessenen Weise nach Maßgabe von Mindeststandards geschützt werden, die zumindest den in diesem Beschluss festgelegten Mindeststandards entsprechen.
(4) Der Beschluss, EU-VS des Rates an einen Drittstaat oder eine internationale Organisation weiterzugeben, wird vom Rat von Fall zu Fall nach Maßgabe von Art und Inhalt dieser Verschlusssachen, des Grundsatzes „Kenntnis nur, wenn nötig“ und der Vorteile für die EU gefasst. Sind die Verschlusssachen, um deren Weitergabe ersucht wird, nicht vom Rat herausgegeben worden, so holt das Generalsekretariat des Rates zunächst die schriftliche Zustimmung des Herausgebers zur Weitergabe der Verschlusssachen ein. Kann der Herausgeber nicht ermittelt werden, so trifft der Rat an seiner Stelle die Entscheidung.
(5) Zur Überprüfung der Wirksamkeit der Sicherheitsvorkehrungen, die Drittstaaten oder internationale Organisationen zum Schutz bereitgestellter oder ausgetauschter EU-VS getroffen haben, werden Bewertungsbesuche durchgeführt.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang VI enthalten.
Artikel 13
Verletzungen der Sicherheit und Kenntnisnahme von EU-VS durch Unbefugte
(1) Zu einer Verletzung der Sicherheit kommt es durch eine Handlung oder Unterlassung seitens einer Person, die den in diesem Beschluss festgelegten Sicherheitsvorschriften zuwiderläuft.
(2) Eine Kenntnisnahme von EU-VS durch Unbefugte liegt vor, wenn EU-VS infolge einer Verletzung der Sicherheit ganz oder teilweise an unbefugte Personen weitergegeben wurden.
(3) Verletzungen oder vermutete Verletzungen der Sicherheit werden der zuständigen Sicherheitsbehörde unverzüglich gemeldet.
(4) Wird bekannt oder besteht berechtigter Grund zu der Annahme, dass EU-VS Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, trifft die zuständige Sicherheitsbehörde nach Maßgabe der einschlägigen Rechtsvorschriften alle geeigneten Maßnahmen, um
a)
den Herausgeber zu verständigen;
b)
sicherzustellen, dass der Fall zur Aufklärung des Sachverhalts von Personal untersucht wird, das von der Verletzung nicht unmittelbar betroffen ist;
c)
den potenziellen Schaden für die Interessen der EU oder der Mitgliedstaaten einzuschätzen;
d)
die geeigneten Maßnahmen zu treffen, damit ein solcher Vorfall sich nicht wiederholt, und
e)
die zuständigen Stellen über die getroffenen Maßnahmen zu unterrichten.
(5) Gegen jede Person, die für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften ergriffen werden. Gegen jede Person, die für die Kenntnisnahme von EU-VS durch Unbefugte oder deren Verlust verantwortlich ist, können gemäß den geltenden Rechtsvorschriften Disziplinarmaßnahmen ergriffen und/oder rechtliche Schritte unternommen werden.
Artikel 14
Verantwortung für die Durchführung
(1) Der Rat ergreift alle erforderlichen Maßnahmen, um die insgesamt übereinstimmende Anwendung dieses Beschlusses sicherzustellen.
(2) Der Generalsekretär trifft alle erforderlichen Maßnahmen, um sicherzustellen, dass die Bestimmungen dieses Beschlusses bei der Bearbeitung und Aufbewahrung von EU-VS oder anderen Verschlusssachen in den vom Rat genutzten Räumlichkeiten und im Generalsekretariat des Rates, einschließlich in seinen Verbindungsbüros in Drittstaaten, von den Beamten und sonstigen Bediensteten des Generalsekretariats des Rates, von zum Generalsekretariat des Rates abgeordnetem Personal und von Vertragspartnern des Generalsekretariats des Rates angewandt werden.
(3) Die Mitgliedstaaten treffen nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften alle geeigneten Maßnahmen, um sicherzustellen, dass dieser Beschluss bei der Bearbeitung und Aufbewahrung von EU-VS von dem folgenden Personenkreis eingehalten wird:
a)
dem Personal der Ständigen Vertretungen der Mitgliedstaaten bei der Europäischen Union sowie den nationalen Delegierten, die an Tagungen des Rates oder Sitzungen seiner Vorbereitungsgremien teilnehmen bzw. in sonstige Tätigkeiten des Rates einbezogen sind;
b)
sonstigem Personal in den nationalen Verwaltungen der Mitgliedstaaten, einschließlich des zu diesen Verwaltungen abgeordneten Personals, unabhängig davon, ob es innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten Dienst tut;
c)
sonstigen Personen, die in den Mitgliedstaaten aufgrund ihrer Aufgaben förmlich zum Zugang zu EU-VS ermächtigt worden sind, und
d)
Vertragspartnern der Mitgliedstaaten, unabhängig davon, ob sie innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten tätig sind.
Artikel 15
Organisation der Sicherheit im Rat
(1) Im Rahmen seiner Funktion bei der Gewährleistung der insgesamt übereinstimmenden Anwendung dieses Beschlusses billigt der Rat
a)
Abkommen gemäß Artikel 12 Absatz 2 Buchstabe a;
b)
Beschlüsse zur Genehmigung der Weitergabe von EU-VS an Drittstaaten und internationale Organisationen;
c)
ein jährliches Inspektionsprogramm, das vom Generalsekretär vorgeschlagen und vom Sicherheitsausschuss empfohlen wird für Inspektionen von Dienststellen und Räumlichkeiten der Mitgliedstaaten und von Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, sowie von Europol und Eurojust und für Bewertungsbesuche in Drittstaaten und bei internationalen Organisationen zur Überprüfung der Wirksamkeit der zum Schutz von EU-VS durchgeführten Maßnahmen, und
d)
Sicherheitskonzepte gemäß Artikel 6 Absatz 1.
(2) Der Generalsekretär ist die Sicherheitsbehörde des Generalsekretariats des Rates. In dieser Funktion
a)
führt er das Sicherheitskonzept des Rates durch und überprüft es fortlaufend;
b)
stimmt er sich mit den Nationalen Sicherheitsbehörden der Mitgliedstaaten zu allen Sicherheitsfragen ab, die den Schutz von Verschlusssachen betreffen, die für die Tätigkeiten des Rates relevant sind;
c)
erteilt er Beamten und sonstigen Bediensteten des Generalsekretariats des Rates EU-Sicherheitsermächtigungen (EU PSC) gemäß Artikel 7 Absatz 3, bevor diese Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen erhalten können;
d)
ordnet er gegebenenfalls eine Untersuchung an, wenn feststeht oder vermutet wird, dass im Besitz des Rates befindliche oder vom Rat herausgegebene Verschlusssachen Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, und ersucht er die einschlägigen Sicherheitsbehörden um Unterstützung bei derartigen Untersuchungen;
e)
führt er regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von Verschlusssachen in den Räumlichkeiten des Generalsekretariats des Rates getroffen wurden;
f)
führt er regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, bei Europol und Eurojust, bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV sowie von EU-Sonderbeauftragten (EUSR) und den Mitgliedern ihres Personals getroffen wurden;
g)
führt er gemeinsam und im Einvernehmen mit den betreffenden Nationalen Sicherheitsbehörden regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Dienststellen und Räumlichkeiten der Mitgliedstaaten getroffen wurden;
h)
koordiniert er Sicherheitsmaßnahmen mit den für den Schutz von Verschlusssachen zuständigen Behörden der Mitgliedstaaten und gegebenenfalls mit Drittstaaten oder internationalen Organisationen, auch hinsichtlich der Art der Bedrohungen der Sicherheit von EU-VS und entsprechender Schutzmaßnahmen;
i)
schließt er die Verwaltungsvereinbarungen nach Artikel 12 Absatz 2 Buchstabe b und
j)
führt er die ersten und die anschließenden regelmäßigen Bewertungsbesuche in Drittstaaten oder bei internationalen Organisationen durch, um die Wirksamkeit der Maßnahmen zu überprüfen, die zum Schutz der diesen bereitgestellten oder mit diesen ausgetauschten EU-VS durchgeführt werden.
Das Sicherheitsbüro des Generalsekretariats des Rates steht dem Generalsekretär bei diesen Aufgaben unterstützend zur Verfügung.
(3) Zur Durchführung von Artikel 14 Absatz 3 sollten die Mitgliedstaaten wie folgt verfahren:
a)
sie benennen eine Nationale Sicherheitsbehörde, die für die Sicherheitsvorkehrungen zum Schutz von EU-VS zuständig ist, damit
i)
EU-VS, die sich im Besitz einer öffentlichen oder privaten Stelle oder Einrichtung ihres Landes im In- oder Ausland befinden, gemäß diesem Beschluss geschützt werden;
ii)
die Sicherheitsvorkehrungen für den Schutz von EU-VS regelmäßig überprüft werden;
iii)
alle in einer nationalen Verwaltung oder von einem Auftragnehmer beschäftigten Personen, denen Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen gewährt werden kann, einer ordnungsgemäßen Sicherheitsüberprüfung unterzogen oder auf anderer Grundlage nach Maßgabe der innerstaatlichen Rechtsvorschriften aufgrund ihres Aufgabenbereichs ordnungsgemäß ermächtigt worden sind;
iv)
die Sicherheitsprogramme erstellt werden, die erforderlich sind, um das Risiko einer Kenntnisnahme von EU-VS durch Unbefugte oder eines Verlusts von EU-VS so gering wie möglich zu halten;
v)
Sicherheitsfragen im Zusammenhang mit dem Schutz von EU-VS mit anderen auf nationaler Ebene zuständigen Stellen koordiniert werden, einschließlich jener, die in diesem Beschluss genannt werden, und
vi)
Ersuchen um geeignete Sicherheitsüberprüfung nachgekommen wird, die von Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, Europol, Eurojust und bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV sowie von EU-Sonderbeauftragten und ihrem Personal gestellt werden.
Die Nationalen Sicherheitsbehörden sind in Anlage C aufgeführt;
b)
sie gewährleisten, dass ihre zuständigen Stellen ihre Regierung und - über diese - den Rat über die Art der Bedrohungen der Sicherheit von EU-VS und entsprechende Schutzmaßnahmen informieren und beraten.
Artikel 16
Sicherheitsausschuss
(1) Es wird ein Sicherheitsausschuss eingesetzt. Er prüft und bewertet Sicherheitsfragen, die in den Anwendungsbereich dieses Beschlusses fallen, und legt dem Rat gegebenenfalls Empfehlungen vor.
(2) Der Sicherheitsausschuss setzt sich aus Vertretern der Nationalen Sicherheitsbehörden der Mitgliedstaaten zusammen; ein Vertreter der Kommission und des Europäischen Auswärtigen Dienstes nimmt an den Sitzungen des Ausschusses teil. Den Vorsitz im Ausschuss führt der Generalsekretär oder eine von ihm beauftragte Person. Der Sicherheitsausschuss tritt gemäß dem vom Rat erteilten Mandat oder auf Antrag des Generalsekretärs oder einer Nationalen Sicherheitsbehörde zusammen.
Vertreter von Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, sowie von Europol und Eurojust können zur Teilnahme an den Sitzungen eingeladen werden, wenn Fragen erörtert werden, die sie betreffen.
(3) Der Sicherheitsausschuss organisiert seine Tätigkeit so, dass er Empfehlungen zu speziellen Sicherheitsfragen geben kann. Er setzt eine Fachuntergruppe für Fragen der Informationssicherung und bei Bedarf weitere Fachuntergruppen ein. Er legt das Mandat für diese Fachuntergruppen fest und erhält von diesen Berichte über ihre Tätigkeit, die gegebenenfalls Empfehlungen an den Rat enthalten.
Artikel 17
Ersetzung des bisherigen Beschlusses
(1) Der Beschluss 2001/264/EG des Rates vom 19. März 2001 über die Annahme der Sicherheitsvorschriften des Rates (2) wird durch den vorliegenden Beschluss aufgehoben und ersetzt.
(2) Alle gemäß dem Beschluss 2001/264/EG eingestuften EU-VS werden weiter gemäß den einschlägigen Bestimmungen des vorliegenden Beschlusses geschützt.
Artikel 18
Inkrafttreten
Dieser Beschluss tritt am Tag seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Geschehen zu Brüssel am 31. März 2011.
DECISIONE DEL CONSIGLIO
del 31 marzo 2011
sulle norme di sicurezza per la protezione delle informazioni classificate UE
(2011/292/UE)
IL CONSIGLIO DELL’UNIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 240, paragrafo 3,
vista la decisione 2009/937/UE del Consiglio, del 1o dicembre 2009, relativa all’adozione del suo regolamento interno (1), in particolare l’articolo 24,
considerando quanto segue:
(1)
Al fine di sviluppare le attività del Consiglio in tutti i settori che richiedono il trattamento di informazioni classificate, è opportuno porre in essere un sistema di sicurezza globale per la protezione delle informazioni classificate riguardante il Consiglio, il suo segretariato generale e gli Stati membri.
(2)
La presente decisione dovrebbe applicarsi qualora il Consiglio, i suoi organi preparatori e il segretariato generale del Consiglio (SGC) trattino informazioni classificate UE (ICUE).
(3)
In conformità delle disposizioni legislative e regolamentari nazionali e nella misura richiesta per il funzionamento del Consiglio, gli Stati membri dovrebbero rispettare la presente decisione nei casi in cui le loro autorità competenti, il loro personale e i loro contraenti trattino ICUE, affinché tutti possano avere la certezza che un livello equivalente di protezione è assicurato alle ICUE.
(4)
Il Consiglio e la Commissione si impegnano ad applicare norme di sicurezza equivalenti per proteggere le ICUE.
(5)
Il Consiglio sottolinea l'importanza di associare, ove opportuno, il Parlamento europeo ed altri istituzioni, agenzie, organi o uffici dell'UE a principi, regole e norme per proteggere le informazioni classificate che sono necessari per salvaguardare gli interessi dell'Unione e dei suoi Stati membri.
(6)
Le agenzie e gli organi dell'UE istituiti ai sensi del titolo V, capo 2, del trattato sull'Unione europea, Europol ed Eurojust applicano, nel contesto della rispettiva organizzazione interna, i principi di base e le norme minime contenute nella presente decisione per proteggere le ICUE, secondo quanto previsto nei rispettivi atti istitutivi.
(7)
Le operazioni di gestione delle crisi stabilite ai sensi del titolo V, capo 2, del TUE ed il relativo personale applicano le norme di sicurezza adottate dal Consiglio per proteggere le ICUE.
(8)
I rappresentanti speciali dell'UE e i membri delle loro squadre applicano le norme di sicurezza adottate dal Consiglio per proteggere le ICUE.
(9)
La presente decisione lascia impregiudicati gli articoli 15 e 16 del trattato sul funzionamento dell'Unione europea (TFUE) e i relativi strumenti di attuazione.
(10)
La presente decisione lascia impregiudicate le pratiche vigenti negli Stati membri per quanto riguarda l'informazione dei Parlamenti nazionali in merito alle attività dell'Unione,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Oggetto, ambito di applicazione e definizioni
1. La presente decisione stabilisce i principi fondamentali e le norme minime di sicurezza per proteggere le ICUE.
2. I principi fondamentali e le norme minime di sicurezza si applicano al Consiglio e all'SGC e sono rispettati dagli Stati membri conformemente alle loro rispettive disposizioni legislative e regolamentari nazionali, affinché tutti possano avere la certezza che un livello equivalente di protezione è assicurato alle ICUE.
3. Ai fini della presente decisione, si applicano le definizioni che figurano nell'appendice A.
Articolo 2
Definizione delle ICUE, delle classifiche e dei contrassegni di sicurezza
1. Per «informazioni classificate UE» (ICUE) si intende qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri.
2. Le ICUE sono classificate ad uno dei seguenti livelli:
a) TRÈS SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
b) SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
d) RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell'Unione europea o di uno o più Stati membri.
3. Le ICUE recano un contrassegno di classifica di sicurezza conformemente al paragrafo 2. Possono recare contrassegni supplementari intesi a designare il settore di attività cui si riferiscono, identificare l'originatore, limitare la distribuzione, restringere l'uso o indicare la divulgabilità.
Articolo 3
Gestione delle classifiche
1. Le autorità competenti garantiscono che le ICUE siano adeguatamente classificate, chiaramente identificate quali informazioni classificate e conservino il loro livello di classifica solo per il tempo necessario.
2. Le ICUE sono declassate o declassificate e i contrassegni di cui all'articolo 2, paragrafo 3, sono modificati o rimossi unicamente previo consenso scritto dell'originatore.
3. Il Consiglio approva una politica di sicurezza sulla creazione di ICUE che comprende una guida pratica per la classificazione.
Articolo 4
Protezione di informazioni classificate
1. Le ICUE sono protette conformemente alla presente decisione.
2. Il detentore di qualsiasi ICUE è responsabile della loro protezione conformemente alla presente decisione.
3. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti dell'Unione europea, il Consiglio e l'SGC proteggono tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza di cui all'appendice B.
4. Considerevoli quantitativi di ICUE o una compilazione di esse possono richiedere un livello di protezione corrispondente a una classifica più elevata.
Articolo 5
Gestione del rischio di sicurezza
1. Il rischio per le ICUE è gestito secondo una procedura. Tale procedura è volta a determinare i rischi noti per la sicurezza, a definire le misure di sicurezza per contenere tali rischi entro un livello accettabile conformemente ai principi fondamentali e alle norme minime contenuti nella presente decisione, e ad applicare tali misure secondo il concetto di difesa in profondità definito all'appendice A. L'efficacia di tali misure è valutata costantemente.
2. Le misure di sicurezza per proteggere le ICUE nel corso del loro ciclo di vita sono commisurate in particolare alla rispettiva classifica di sicurezza, alla forma e al volume delle informazioni o dei materiali, all'ubicazione e alla costruzione delle strutture in cui sono conservate le ICUE e alla valutazione a livello locale della minaccia di attività dolose e/o criminali, compreso lo spionaggio, il sabotaggio e il terrorismo.
3. I piani di emergenza tengono conto della necessità di proteggere le ICUE in situazioni di emergenza onde evitare l'accesso non autorizzato, la divulgazione o la perdita di integrità o di disponibilità.
4. I piani di continuità operativa comprendono misure di prevenzione e recupero per minimizzare l'impatto di disfunzioni o incidenti gravi nel trattamento e nella conservazione delle ICUE.
Articolo 6
Attuazione della presente decisione
1. Se necessario il Consiglio, su raccomandazione del Comitato per la sicurezza, approva politiche di sicurezza che esplicitano le misure destinate ad attuare la presente decisione.
2. Il Comitato per la sicurezza può stabilire, per quanto di sua competenza, orientamenti di sicurezza intesi a integrare o sostenere la presente decisione e ogni eventuale politica di sicurezza approvata dal Consiglio.
Articolo 7
Sicurezza del personale
1. Per «sicurezza del personale» s'intende l'applicazione di misure volte a garantire che l'accesso alle ICUE sia consentito solo alle persone che:
-
hanno necessità di conoscere,
-
hanno ottenuto il nulla osta di sicurezza del livello adatto, ove opportuno, e
-
sono state informate delle proprie responsabilità in materia.
2. Le procedure per il nulla osta di sicurezza del personale sono intese a determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE.
3. Tutte le persone in seno all'SGC le cui mansioni possono richiedere l'accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispongono del nulla osta di sicurezza del livello adatto prima di poter accedere a dette ICUE. La procedura per il nulla osta di sicurezza del personale relativa ai funzionari e agli altri agenti dell'SGC figura nell'allegato I.
4. Il personale degli Stati membri di cui all'articolo 14, paragrafo 3, le cui mansioni possono richiedere l'accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispone del nulla osta di sicurezza del livello adatto o è in altro modo debitamente autorizzato in virtù delle sue funzioni, secondo le disposizioni legislative e regolamentari nazionali, prima di poter accedere a dette ICUE.
5. Prima che sia loro accordato l'accesso a ICUE, e successivamente ad intervalli regolari, tutte le persone sono informate e riconoscono le proprie responsabilità in materia di protezione delle ICUE conformemente alla presente decisione.
6. Le disposizioni di attuazione del presente articolo figurano nell'allegato I.
Articolo 8
Sicurezza materiale
1. Per «sicurezza materiale» si intende l'applicazione di misure di protezione materiali e tecniche volte ad impedire l'accesso non autorizzato alle ICUE.
2. Le misure di sicurezza materiale sono intese ad impedire ad intrusi l'ingresso fraudolento o con la forza, per scoraggiare, ostacolare e scoprire azioni non autorizzate e per consentire la segregazione del personale per quanto riguarda il loro accesso alle ICUE in base al principio della necessità di conoscere. Le misure in questione sono determinate sulla base di una procedura di gestione del rischio.
3. Le misure di sicurezza materiale sono attuate per tutti i locali, gli edifici, gli uffici, le stanze o altre zone in cui le ICUE sono trattate o conservate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti all'articolo 10, paragrafo 2.
4. Le zone in cui sono conservate ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono costituite come zone sicure conformemente all'allegato II e approvate dall'autorità di sicurezza competente.
5. Per proteggere le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore si usano solo attrezzature o dispositivi approvati.
6. Le disposizioni di attuazione del presente articolo figurano nell'allegato II.
Articolo 9
Gestione delle informazioni classificate
1. Per «gestione delle informazioni classificate» si intende l'applicazione delle misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita al fine di integrare le misure previste agli articoli 7, 8 e 10 e in tal modo contribuire a scoraggiare, scoprire e porre rimedio ai casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, la registrazione, la copiatura, la traduzione, il trasporto e la distruzione di ICUE.
2. Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono registrate a fini di sicurezza prima della diffusione e all'atto della ricezione. Le autorità competenti dell'SGC e degli Stati membri istituiscono un sistema di registrazione a tal fine. Le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.
3. I servizi ed i locali in cui sono trattate o conservate ICUE sono sottoposti a ispezioni periodiche da parte dell'autorità di sicurezza competente.
4. Le ICUE sono veicolate tra i servizi e i locali al di fuori delle zone oggetto di protezione materiale secondo le modalità seguenti:
a)
di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente all'articolo 10, paragrafo 6;
b)
qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:
i)
su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente all'articolo 10, paragrafo 6; o
ii)
in tutti gli altri casi, secondo quanto prescritto dall'autorità di sicurezza competente, conformemente alle pertinenti misure di protezione dell'allegato III.
5. Le disposizioni di attuazione del presente articolo figurano nell'allegato III.
Articolo 10
Protezione delle ICUE trattate nei sistemi di comunicazione e informazione
1. Per «garanzia di sicurezza delle informazioni (IA) nel campo dei sistemi di comunicazione e informazione» si intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi. Una IA efficace garantisce gli adeguati livelli di riservatezza, integrità, disponibilità, non disconoscibilità e autenticità. L'IA si basa su una procedura di gestione del rischio.
2. Per «sistema di comunicazione e informazione» si intende ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione. La presente decisione si applica ai sistemi di comunicazione e informazione che trattano ICUE (CIS).
3. I CIS trattano le ICUE conformemente al concetto di IA.
4. Tutti i CIS sono sottoposti a una procedura di accreditamento. L'accreditamento ha lo scopo di ottenere la garanzia che sono state messe in atto tutte le misure di sicurezza adeguate e che si è raggiunto un livello sufficiente di protezione delle ICUE e del CIS, conformemente alla presente decisione. La dichiarazione di accreditamento determina il livello di classifica più elevato delle informazioni che può essere trattato in un CIS nonché i termini e le condizioni ivi associati.
5. I CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono protetti in modo tale che le informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»).
6. Qualora la protezione delle ICUE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati secondo le modalità seguenti:
a)
la riservatezza delle informazioni classificate di livello SECRET UE/EU SECRET e superiore è protetta mediante prodotti crittografici approvati dal Consiglio in quanto autorità di approvazione degli apparati crittografici (CAA), su raccomandazione del Comitato per la sicurezza;
b)
la riservatezza delle informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o RESTREINT UE/EU RESTRICTED è protetta mediante prodotti crittografici approvati dal segretario generale del Consiglio («il segretario generale») in quanto CAA, su raccomandazione del Comitato per la sicurezza.
In deroga alla lettera b), all'interno dei sistemi nazionali degli Stati membri la riservatezza delle ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o RESTREINT UE/EU RESTRICTED può essere protetta mediante prodotti crittografici approvati dalla CAA di uno Stato membro.
7. Per la trasmissione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, si possono applicare procedure specifiche in particolari situazioni di emergenza o in configurazioni tecniche specifiche di cui all'allegato IV.
8. Le autorità competenti dell'SGC e degli Stati membri stabiliscono rispettivamente le seguenti funzioni relative alla IA:
a)
un'autorità IA (IAA);
b)
un'autorità TEMPEST (TA);
c)
un'autorità di approvazione degli apparati crittografici (CAA);
d)
un'autorità di distribuzione degli apparati crittografici (CDA).
9. Per ciascun sistema le autorità competenti dell'SGC e degli Stati membri stabiliscono rispettivamente:
a)
un'autorità di accreditamento di sicurezza (SAA);
b)
un'autorità operativa IA.
10. Le disposizioni di attuazione del presente articolo figurano nell'allegato IV.
Articolo 11
Sicurezza industriale
1. Per «sicurezza industriale» si intende l'applicazione di misure che assicurino la protezione delle ICUE da parte di contraenti o subcontraenti in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati. Detti contratti non contemplano l'accesso alle informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.
2. L'SGC può affidare per contratto mansioni che comportano o implicano l'accesso a, il trattamento o la conservazione di ICUE da parte di soggetti industriali o di altra natura registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un'intesa amministrativa conformemente all'articolo 12, paragrafo 2, lettere a) o b).
3. In quanto autorità contraente, l'SGC, nell’aggiudicare un contratto classificato a un soggetto industriale o di altra natura, assicura il rispetto delle norme minime sulla sicurezza industriale previste nella presente decisione e a cui fa riferimento il contratto.
4. L'autorità di sicurezza nazionale (NSA), l'autorità di sicurezza designata (DSA) o qualsiasi altra autorità nazionale competente di ciascuno Stato membro assicura, per quanto possibile ai sensi delle disposizioni legislative e regolamentari nazionali, che i contraenti e i subcontraenti registrati nel suo territorio adottino le misure adeguate per proteggere le ICUE nei negoziati precontrattuali e nell'esecuzione di un contratto classificato.
5. L'NSA, la DSA o qualsiasi altra autorità di sicurezza competente di ciascuno Stato membro assicura, conformemente alle disposizioni legislative e regolamentari nazionali, che i contraenti e i subcontraenti registrati nel territorio dello Stato membro in questione, partecipanti a contratti o subcontratti classificati che richiedono l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture dispongano, nell'esecuzione di tali contratti o nella fase precontrattuale, di un nulla osta di sicurezza delle imprese (FSC) del livello di classifica adatto.
6. Il personale del contraente o subcontraente che, per l'esecuzione di un contratto classificato, necessita dell'accesso ad informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET ottiene un nulla osta di sicurezza personale (PSC) dalla rispettiva NSA, DSA o da altra autorità di sicurezza competente secondo le disposizioni legislative e regolamentari nazionali e le norme minime figuranti nell'allegato I.
7. Le disposizioni di attuazione del presente articolo figurano nell'allegato V.
Articolo 12
Scambio di informazioni classificate con Stati terzi ed organizzazioni internazionali
1. Qualora il Consiglio ravvisi la necessità di scambiare ICUE con uno Stato terzo o un'organizzazione internazionale, è posto in essere a tal fine un quadro appropriato.
2. Per stabilire tale quadro e definire disposizioni reciproche sulla protezione delle informazioni classificate scambiate:
a)
il Consiglio conclude accordi sulle procedure di sicurezza per scambiare e proteggere informazioni classificate («accordi sulla sicurezza delle informazioni»); o
b)
il segretario generale può pattuire intese amministrative ai sensi del punto17 dell'allegato VI laddove la classifica delle ICUE da comunicare non supera di norma il livello RESTREINT UE/EU RESTRICTED.
3. Gli accordi sulla sicurezza delle informazioni o le intese amministrative di cui al paragrafo 2 contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime non meno rigorose di quelle previste nella presente decisione.
4. La decisione di comunicare ad uno Stato terzo o ad un'organizzazione internazionale ICUE originate dal Consiglio è presa dal Consiglio caso per caso, in funzione della natura e del contenuto delle informazioni stesse, della necessità di conoscere del destinatario e dell'entità dei vantaggi per l'UE. Se l'originatore delle informazioni classificate che si desiderano comunicare non è il Consiglio, l'SGC chiede anzitutto il consenso scritto dell'originatore. Se è impossibile stabilire l'originatore, il Consiglio si assume la responsabilità dell'originatore.
5. Sono organizzate visite di valutazione per accertare l'efficacia delle misure di sicurezza poste in essere in uno Stato terzo o un'organizzazione internazionale al fine di proteggere le ICUE fornite o scambiate.
6. Le disposizioni di attuazione del presente articolo figurano nell'allegato VI.
Articolo 13
Violazione della sicurezza e compromissione di ICUE
1. La violazione della sicurezza è conseguenza di un atto o omissione di una persona contrario alle norme di sicurezza contenute nella presente decisione.
2. La compromissione si verifica quando, in seguito a una violazione della sicurezza, la ICUE sono state diffuse in tutto o in parte a persone non autorizzate.
3. Qualsiasi violazione o sospetta violazione della sicurezza è immediatamente riferita all'autorità di sicurezza competente.
4. Qualora sia noto o vi siano ragionevoli motivi di ritenere che vi sia stata compromissione o perdita di ICUE, l'autorità di sicurezza competente adotta tutte le misure adeguate secondo le pertinenti disposizioni legislative e regolamentari al fine di:
a)
informare l'originatore;
b)
assicurare che personale non direttamente interessato alla violazione indaghi sul caso per accertare i fatti;
c)
valutare i potenziali danni agli interessi dell'UE o degli Stati membri;
d)
adottare i provvedimenti opportuni per impedire che i fatti si ripetano; e
e)
informare le autorità competenti delle misure adottate.
5. Ogni persona responsabile di una violazione delle norme di sicurezza contenute nella presente decisione è passibile di azione disciplinare secondo le disposizioni legislative e regolamentari applicabili. Ogni persona responsabile della compromissione o della perdita di ICUE è passibile di sanzioni disciplinari e/o azioni legali secondo le disposizioni legislative, normative e regolamentari applicabili.
Articolo 14
Responsabilità dell'attuazione
1. Il Consiglio adotta tutte le misure necessarie per garantire la coerenza globale nell'applicazione della presente decisione.
2. Il segretario generale adotta tutte le misure necessarie per garantire che, nel trattamento o nella conservazione di ICUE o di qualsiasi altra informazione classificata, i funzionari e gli altri agenti dell'SGC, il personale distaccato presso l'SGC ed i contraenti dell'SGC applichino la presente decisione nei locali usati dal Consiglio e in seno all'SGC, compresi gli uffici di collegamento negli Stati terzi.
3. Gli Stati membri adottano tutte le misure adeguate, secondo le rispettive disposizioni legislative e regolamentari nazionali, per garantire che, nel trattamento o nella conservazione di ICUE, la presente decisione sia rispettata:
a)
dal personale delle Rappresentanze permanenti degli Stati membri presso l'Unione europea e dai delegati nazionali che partecipano a sessioni del Consiglio o a riunioni dei suoi organi preparatori o che prendono parte ad altre attività del Consiglio;
b)
dagli altri membri del personale delle amministrazioni nazionali degli Stati membri, incluso il personale distaccato presso tali amministrazioni, che prestino servizio sul territorio degli Stati membri o all'estero;
c)
dalle altre persone negli Stati membri debitamente autorizzate in virtù delle loro funzioni ad avere accesso ad ICUE; e
d)
dai contraenti degli Stati membri, nel territorio degli Stati membri o all'estero.
Articolo 15
Organizzazione della sicurezza nel Consiglio
1. Nell'ambito del suo ruolo di garante della coerenza globale nell'applicazione della presente decisione, il Consiglio approva:
a)
gli accordi di cui all'articolo 12, paragrafo 2, lettera a);
b)
le decisioni che autorizzano la comunicazione di ICUE a Stati terzi ed organizzazioni internazionali;
c)
un programma di ispezione annuale proposto dal segretario generale e raccomandato dal Comitato per la sicurezza per ispezionare i servizi e i locali degli Stati membri e delle agenzie e organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, nonché Europol ed Eurojust ed effettuare visite di valutazione negli Stati terzi e nelle organizzazioni internazionali al fine di accertare l'efficacia delle misure attuate per la protezione delle ICUE; e
d)
le politiche di sicurezza di cui all'articolo 6, paragrafo 1.
2. Il segretario generale è l'autorità di sicurezza dell'SGC. In tale veste il segretario generale:
a)
attua la politica di sicurezza del Consiglio e la sottopone a riesame periodico;
b)
coordina con le NSA degli Stati membri tutte le questioni di sicurezza relative alla protezione di informazioni classificate pertinenti per le attività del Consiglio;
c)
fornisce ai funzionari e altri agenti dell'SGC un PSC dell'UE conformemente all'articolo 7, paragrafo 3, prima che possa essere loro accordato l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore;
d)
ordina, ove opportuno, indagini su compromissioni o perdite, accertate o sospette, di informazioni classificate detenute o originate dal Consiglio e chiede alle autorità di sicurezza competenti di partecipare a tali indagini;
e)
compie ispezioni periodiche dei dispositivi di sicurezza per la protezione delle informazioni classificate nei locali dell'SGC;
f)
compie ispezioni periodiche dei dispositivi di sicurezza per la protezione delle ICUE nelle agenzie e negli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, in Europol, Eurojust, nonché nelle operazioni di gestione delle crisi previste ai sensi del titolo V, capo 2, del TUE nonché da parte dei Rappresentanti speciali dell'UE (RSUE) e dei membri delle loro squadre;
g)
compie, insieme e d'accordo con l'NSA interessata, ispezioni periodiche dei dispositivi di sicurezza per la protezione delle ICUE all'interno dei servizi e dei locali degli Stati membri;
h)
coordina le misure di sicurezza con le autorità competenti degli Stati membri responsabili della protezione delle informazioni classificate e, se del caso, con Stati terzi o organizzazioni internazionali, anche per quanto riguarda la natura delle minacce alla sicurezza delle ICUE e i relativi mezzi di protezione;
i)
pattuisce le intese amministrative di cui all'articolo 12, paragrafo 2, lettera b); e
j)
effettua visite di valutazione iniziali e periodiche presso Stati terzi o organizzazioni internazionali al fine di accertare l'efficacia delle misure attuate per la protezione delle ICUE messe a loro disposizione o con essi scambiate.
Il servizio di sicurezza dell'SGC è a disposizione del segretario generale per assisterlo nell'ambito di tali competenze.
3. Ai fini dell'attuazione dell'articolo 14, paragrafo 3 gli Stati membri dovrebbero:
a)
designare un'NSA responsabile dei dispositivi di sicurezza per proteggere le ICUE affinché:
i)
le ICUE detenute da qualsiasi servizio, organo o agenzia nazionale, pubblico o privato, sul territorio nazionale o all'estero, siano protette conformemente alla presente decisione;
ii)
i dispositivi di sicurezza per la protezione delle ICUE siano ispezionati regolarmente;
iii)
tutte le persone impiegate in un'amministrazione nazionale o da un contraente cui può essere concesso l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore abbiano ottenuto il nulla osta di sicurezza adeguato o siano in altro modo debitamente autorizzate in virtù delle rispettive funzioni conformemente alle disposizioni legislative e regolamentari nazionali;
iv)
siano istituiti programmi di sicurezza, se necessario, per minimizzare il rischio di compromissione o perdita delle ICUE;
v)
gli aspetti di sicurezza connessi con la protezione di ICUE siano coordinati con altre autorità nazionali competenti, comprese quelle menzionate nella presente decisione; e
vi)
sia data risposta alle opportune richieste di nulla osta di sicurezza provenienti dalle agenzie e dagli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, da Europol, Eurojust, nonché dalle operazioni di gestione delle crisi stabilite ai sensi del titolo V, capo 2, del TUE e dagli RSUE e dalle loro squadre.
Le NSA sono elencate nell'appendice C;
b)
assicurare che le loro autorità competenti forniscano informazioni e consulenza ai rispettivi governi, e attraverso questi al Consiglio, circa la natura delle minacce per la sicurezza delle ICUE ed i mezzi per proteggersi da tali minacce.
Articolo 16
Comitato per la sicurezza
1. È istituito un Comitato per la sicurezza. Esso esamina e valuta ogni questione relativa alla sicurezza nell'ambito di applicazione della presente decisione e formula, ove opportuno, raccomandazioni per il Consiglio.
2. Il Comitato per la sicurezza è composto di rappresentanti delle NSA degli Stati membri e vi partecipa un rappresentante della Commissione e del servizio europeo per l'azione esterna. Esso è presieduto dal segretario generale o dal suo delegato designato. Esso si riunisce secondo le istruzioni del Consiglio, o a richiesta del segretario generale o di unNSA.
Possono essere invitati a parteciparvi rappresentanti delle agenzie e degli organi dell'UE istituiti ai sensi del titolo V, capo 2, del TUE, nonché di Europol ed Eurojust quando vi si discutono questioni che li riguardano.
3. Il Comitato per la sicurezza organizza le sue attività in modo da essere in grado di formulare raccomandazioni su questioni specifiche in materia di sicurezza. Esso istituisce una sotto-sezione di esperti per gli aspetti IA ed altre sotto-sezioni ove necessario. Esso redige il mandato di tali sotto-sezioni e ne riceve le relazioni di attività corredate, ove opportuno, di raccomandazioni per il Consiglio.
Articolo 17
Sostituzione di precedenti decisioni
1. La presente decisione abroga e sostituisce la decisione 2001/264/CE del Consiglio, del 19 marzo 2001, che adotta le norme di sicurezza del Consiglio (2).
2. Tutte le ICUE classificate conformemente alla decisione 2001/264/CE continuano ad essere protette conformemente alle pertinenti disposizioni della presente decisione.
Articolo 18
Entrata in vigore
La presente decisione entra in vigore il giorno della pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Bruxelles, addì 31 marzo 2011.