BESCHLUSS DES RATES
vom 31. März 2011
über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen
(2011/292/EU)
DER RAT DER EUROPÄISCHEN UNION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 240 Absatz 3,
gestützt auf den Beschluss 2009/937/EU des Rates vom 1. Dezember 2009 zur Annahme seiner Geschäftsordnung (1), insbesondere auf Artikel 24,
in Erwägung nachstehender Gründe:
(1)
Für die Ausweitung der Tätigkeiten des Rates in allen Bereichen, die die Bearbeitung von Verschlusssachen erfordern, sollte ein umfassendes Sicherheitssystem für den Schutz von Verschlusssachen geschaffen werden, das den Rat, sein Generalsekretariat und die Mitgliedstaaten einbezieht.
(2)
Dieser Beschluss sollte Anwendung finden, wenn der Rat, seine Vorbereitungsgremien und das Generalsekretariat des Rates EU-Verschlusssachen (EU-VS) bearbeiten.
(3)
Nach Maßgabe der innerstaatlichen Rechtsvorschriften und soweit es für die Tätigkeit des Rates erforderlich ist, sollten die Mitgliedstaaten diesen Beschluss beachten, wenn ihre zuständigen Behörden, ihre Bediensteten oder ihre Auftragnehmer EU-VS bearbeiten, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(4)
Der Rat und die Kommission sind entschlossen, gleichwertige Sicherheitsstandards für den Schutz von EU-VS anzuwenden.
(5)
Der Rat unterstreicht die Bedeutung einer Beteiligung, soweit angebracht, des Europäischen Parlaments und der anderen Organe, Einrichtungen, Agenturen oder Ämter der EU an den Prinzipien, Standards und Vorschriften für den Schutz von Verschlusssachen, die erforderlich sind, um die Interessen der Union und ihrer Mitgliedstaaten zu schützen.
(6)
Die im Rahmen des Titels V Kapitel 2 des Vertrags über die Europäische Union geschaffenen Agenturen und Einrichtungen der EU, Europol und Eurojust wenden im Rahmen ihrer internen Organisation die Grundprinzipien und Mindeststandards dieses Beschlusses für den Schutz von EU-VS an, wie dies in ihren jeweiligen Gründungsrechtsakten vorgesehen ist.
(7)
Bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV und vom Personal solcher Operationen werden die Sicherheitsvorschriften des Rates für den Schutz von EU-VS angewendet.
(8)
Die Sonderbeauftragten der Europäischen Union und die Mitglieder ihres Personals wenden die Sicherheitsvorschriften des Rates für den Schutz von EU-VS an.
(9)
Dieser Beschluss lässt die Artikel 15 und 16 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und die zu ihrer Durchführung erlassenen Rechtsakte unberührt.
(10)
Dieser Beschluss berührt nicht die bestehenden Verfahren der Mitgliedstaaten zur Unterrichtung ihrer nationalen Parlamente über die Tätigkeiten der Union -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand, Anwendungsbereich und Begriffsbestimmungen
(1) Dieser Beschluss legt Grundprinzipien und Mindeststandards für die Sicherheit in Bezug auf den Schutz von EU-VS fest.
(2) Diese Grundprinzipien und Mindeststandards gelten für den Rat und das Generalsekretariat des Rates und werden von den Mitgliedstaaten nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften beachtet, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(3) Für die Zwecke dieses Beschlusses gelten die Begriffsbestimmungen in Anlage A.
Artikel 2
Begriffsbestimmung für EU-VS, Geheimhaltungsgrade und Kennzeichnungen
(1) „EU-Verschlusssachen“ („EU-VS“) sind alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte.
(2) EU-VS werden in einen der folgenden Geheimhaltungsgrade eingestuft:
a) TRÈS SECRET UE/EU TOP SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten äußerst schweren Schaden zufügen könnte.
b) SECRET UE/EU SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten schweren Schaden zufügen könnte.
c) CONFIDENTIEL UE/EU CONFIDENTIAL: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten Schaden zufügen könnte.
d) RESTREINT UE/EU RESTRICTED: Informationen und Materialien, deren unbefugte Weitergabe für die wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten nachteilig sein könnte.
(3) EU-VS werden mit einem Geheimhaltungsgrad gemäß Absatz 2 gekennzeichnet. Sie können zusätzliche Kennzeichnungen tragen, mit denen der Tätigkeitsbereich, auf den sie sich beziehen, angegeben, der Herausgeber benannt, die Verteilung begrenzt, die Verwendung eingeschränkt oder die Möglichkeit zur Weitergabe ausgewiesen wird.
Artikel 3
Regeln für die Einstufung als Verschlusssache
(1) Die zuständigen Behörden gewährleisten, dass EU-VS angemessen eingestuft werden, deutlich als Verschlusssache gekennzeichnet sind und den jeweiligen Geheimhaltungsgrad nur so lange behalten, wie es erforderlich ist.
(2) Der Geheimhaltungsgrad von EU-VS darf ohne vorherige schriftliche Zustimmung des Herausgebers weder herabgestuft noch aufgehoben werden; das Gleiche gilt für die Veränderung oder Entfernung der in Artikel 2 Absatz 3 genannten Kennzeichnungen.
(3) Der Rat billigt ein Sicherheitskonzept für die Erstellung von EU-VS, das auch einen praktischen Einstufungsleitfaden für Verschlusssachen umfasst.
Artikel 4
Schutz von Verschlusssachen
(1) EU-VS werden gemäß diesem Beschluss geschützt.
(2) Der Besitzer jedweder EU-VS ist dafür verantwortlich, diese gemäß diesem Beschluss zu schützen.
(3) Gibt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze der Europäischen Union, so schützen der Rat und das Generalsekretariat des Rates diese Verschlusssachen nach den Anforderungen, die für EU-VS der entsprechenden Geheimhaltungsstufe gemäß der Entsprechungstabelle der Geheimhaltungsgrade in Anlage B gelten.
(4) Große Mengen an EU-VS oder eine Zusammenstellung von EU-VS können ein Schutzniveau erfordern, das einem höheren Geheimhaltungsgrad entspricht.
Artikel 5
Sicherheitsrisikomanagement
(1) Das Risikomanagement für EU-VS wird als Prozess angelegt. Ziel dieses Prozesses ist es, bekannte Sicherheitsrisiken zu bestimmen, Sicherheitsmaßnahmen zur Reduzierung dieser Risiken auf ein tragbares Maß gemäß den Grundprinzipien und Mindeststandards dieses Beschlusses festzulegen und diese Maßnahmen entsprechend dem Konzept der mehrschichtigen Sicherheit gemäß Anlage A anzuwenden. Die Wirksamkeit der betreffenden Maßnahmen wird fortlaufend bewertet.
(2) Die Sicherheitsmaßnahmen für den Schutz von EU-VS müssen während der gesamten Dauer ihrer Einstufung als EU-VS insbesondere dem Geheimhaltungsgrad, der Form und dem Umfang der Informationen und des Materials, der Lage und der Beschaffenheit der Einrichtungen, in denen EU-VS untergebracht sind, und der örtlichen Einschätzung der Bedrohung durch feindselige und/oder kriminelle Handlungen, einschließlich Spionage, Sabotage oder Terrorakte, entsprechen.
(3) In Notfallplänen wird berücksichtigt, dass EU-VS in Notsituationen geschützt werden müssen, damit der unbefugte Zugang, die unbefugte Weitergabe oder der Verlust der Integrität beziehungsweise der Verfügbarkeit verhindert werden.
(4) In Kontinuitätsplänen sind Präventions- und Wiederherstellungsmaßnahmen vorzusehen, damit die Auswirkungen größerer Störungen oder Zwischenfälle auf die Bearbeitung und Aufbewahrung von EU-VS so gering wie möglich gehalten werden.
Artikel 6
Anwendung dieses Beschlusses
(1) Soweit erforderlich, billigt der Rat auf Empfehlung des Sicherheitsausschusses Sicherheitskonzepte mit Maßnahmen zur Anwendung dieses Beschlusses.
(2) Der Sicherheitsausschuss kann auf seiner Ebene Sicherheitsleitlinien zur Ergänzung oder Untermauerung dieses Beschlusses und etwaiger vom Rat gebilligter Sicherheitskonzepte vereinbaren.
Artikel 7
Personeller Geheimschutz
(1) Der personelle Geheimschutz beinhaltet die Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die
-
Kenntnis von EU-VS haben müssen,
-
erforderlichenfalls einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen worden sind und
-
über ihre Verantwortlichkeiten belehrt worden sind.
(2) Die Verfahren für die Sicherheitsüberprüfung des Personals dienen der Feststellung, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann.
(3) Alle Personen im Generalsekretariat des Rates, für deren Aufgabenwahrnehmung Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS erforderlich sein kann, werden einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen, bevor ihnen Zugang zu diesen EU-VS gewährt wird. Das Verfahren für die Sicherheitsüberprüfung der Beamten und sonstigen Bediensteten des Generalsekretariats des Rates ist in Anhang I festgelegt.
(4) Das Personal der Mitgliedstaaten nach Artikel 14 Absatz 3, das zur Wahrnehmung seiner Aufgaben gegebenenfalls Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS erhalten muss, wird nach Maßgabe der innerstaatlichen Rechtsvorschriften einer Sicherheitsüberprüfung für den entsprechenden Geheimhaltungsgrad unterzogen oder aufgrund seines Aufgabenbereichs auf andere Weise ordnungsgemäß ermächtigt, bevor ihm Zugang zu diesen EU-VS gewährt wird.
(5) Jede Person wird über ihre Verantwortlichkeiten zum Schutz von EU-VS nach Maßgabe dieses Beschlusses belehrt und erkennt diese an, bevor ihr Zugang zu EU-VS gewährt wird; eine solche Belehrung bzw. Anerkennung erfolgt auch später in regelmäßigen Abständen.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang I enthalten.
Artikel 8
Materieller Geheimschutz
(1) Der materielle Geheimschutz beinhaltet die Anwendung von materiellen und technischen Schutzmaßnahmen, damit ein unbefugter Zugang zu EU-VS verhindert wird.
(2) Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, das heimliche oder gewaltsame Eindringen unbefugter Personen zu verhindern, von unbefugten Handlungen abzuschrecken bzw. diese zu verhindern und aufzudecken und den Einsatz von Personal in Bezug auf den Zugang zu EU-VS nach dem Grundsatz „Kenntnis nur, wenn nötig“ zu ermöglichen. Diese Maßnahmen werden auf der Grundlage eines Risikomanagementprozesses festgelegt.
(3) Die Maßnahmen des materiellen Geheimschutzes werden für alle Gebäude, Büros, Räume und sonstigen Bereiche, in denen EU-VS bearbeitet bzw. aufbewahrt werden, getroffen, einschließlich Bereiche, in denen Kommunikations- und Informationssysteme gemäß Artikel 10 Absatz 2 untergebracht sind.
(4) Die Bereiche, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte EU-VS aufbewahrt werden, werden als abgesicherte Bereiche nach Anhang II eingerichtet und von der zuständigen Sicherheitsbehörde genehmigt.
(5) Zum Schutz von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS werden ausschließlich zugelassene Ausrüstungen oder Geräte verwendet.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang II enthalten.
Artikel 9
Verwaltung von Verschlusssachen
(1) Die Verwaltung von Verschlusssachen beinhaltet die Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 7, 8 und 10 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern oder festzustellen und entsprechende Maßnahmen zur Wiederherstellung der Sicherheit zu treffen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Beförderung und die Vernichtung von EU-VS.
(2) Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen werden zu Sicherheitszwecken vor der Weiterleitung und bei Empfang registriert. Zu diesem Zweck richten die zuständigen Stellen im Generalsekretariat des Rates und in den Mitgliedstaaten ein Registratursystem ein. Als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen werden in eigens dafür bestimmten Registraturen vereinnahmt.
(3) In Dienststellen und Räumlichkeiten, in denen EU-VS bearbeitet oder aufbewahrt werden, sind regelmäßig Inspektionen durch die zuständige Sicherheitsbehörde durchzuführen.
(4) EU-VS werden zwischen Dienststellen und Räumlichkeiten außerhalb von physisch geschützten Bereichen wie folgt befördert:
a)
In der Regel werden EU-VS elektronisch übermittelt und dabei durch kryptografische Produkte geschützt, die gemäß Artikel 10 Absatz 6 zugelassen wurden;
b)
wenn die unter Buchstabe a genannten Mittel nicht verwendet werden, erfolgt die Beförderung von EU-VS entweder
i)
auf elektronischen Datenträgern (z. B. USB-Sticks, CDs, Festplattenlaufwerken), die durch kryptografische Produkte geschützt sind, die nach Artikel 10 Absatz 6 zugelassen wurden, oder
ii)
in allen anderen Fällen gemäß den Vorschriften der zuständigen Sicherheitsbehörde im Einklang mit den einschlägigen Schutzmaßnahmen des Anhangs III.
(5) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang III enthalten.
Artikel 10
Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden
(1) Informationssicherung (Information Assurance, IA) im Bereich von Kommunikations- und Informationssystemen beinhaltet das Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Risikomanagementprozess.
(2) Ein „Kommunikations- und Informationssystem“ ist ein System, das die Bearbeitung von Informationen in elektronischer Form ermöglicht. Zu einem Kommunikations- und Informationssystem gehören sämtliche für seinen Betrieb benötigten Voraussetzungen, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen. Dieser Beschluss gilt für Kommunikations- und Informationssysteme, mit denen EU-VS bearbeitet werden.
(3) In Kommunikations- und Informationssystemen werden EU-VS gemäß dem Konzept der Informationssicherung bearbeitet.
(4) Alle Kommunikations- und Informationssysteme werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der EU-VS und des Kommunikations- und Informationssystems gemäß diesem Beschluss erreicht wird. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in dem Kommunikations- und Informationssystem bearbeitet werden dürfen.
(5) Kommunikations- und Informationssysteme, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen bearbeitet werden, werden so geschützt, dass von Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“).
(6) Wird der Schutz von EU-VS mit kryptografischen Produkten sichergestellt, so sind diese Produkte folgendermaßen zuzulassen:
a)
die Vertraulichkeit von als „SECRET UE/EU SECRET“ und höher eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Rat als Krypto-Zulassungsstelle (Crypto Approval Authority, CAA) auf Empfehlung des Sicherheitsausschusses zugelassen wurden;
b)
die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Generalsekretär des Rates (im Folgenden „Generalsekretär“) als CAA auf Empfehlung des Sicherheitsausschusses zugelassen wurden.
Ungeachtet des Buchstabens b kann die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften EU-VS innerhalb der nationalen Systeme der Mitgliedstaaten durch kryptografische Produkte geschützt werden, die von der CAA eines Mitgliedstaats zugelassen wurden.
(7) Bei der Übermittlung von EU-VS auf elektronischem Wege werden zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen spezielle Verfahren oder spezielle technische Konfigurationen nach Maßgabe des Anhangs IV angewendet werden.
(8) Die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten legen jeweils die folgenden Funktionen für Informationssicherung fest:
a)
eine Stelle für Informationssicherung (IAA);
b)
eine TEMPEST-Stelle (TA);
c)
eine Krypto-Zulassungsstelle (CAA);
d)
eine Krypto-Verteilungsstelle (CDA).
(9) Für jedes System legen die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten jeweils Folgendes fest:
a)
eine Sicherheits-Akkreditierungsstelle (SAA);
b)
eine für den Betrieb zuständige Stelle für Informationssicherung.
(10) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang IV enthalten.
Artikel 11
Geheimschutz in der Wirtschaft
(1) Der Geheimschutz in der Wirtschaft beinhaltet die Anwendung von Maßnahmen, die darauf abzielen, den Schutz von EU-VS durch Auftragnehmer oder Subauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der gesamten Laufzeit des als Verschlusssache eingestuften Auftrags zu gewährleisten. Diese Aufträge beinhalten nicht den Zugang zu als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen.
(2) Das Generalsekretariat des Rates kann industrielle oder andere Unternehmen, die in einem Mitgliedstaat oder in einem Drittstaat, der ein Abkommen oder eine Verwaltungsvereinbarung nach Artikel 12 Absatz 2 Buchstabe a oder b mit der EU geschlossen hat, eingetragen sind, vertraglich mit Aufträgen betrauen, die den Zugang zu oder die Bearbeitung oder Aufbewahrung von EU-VS beinhalten oder nach sich ziehen.
(3) Das Generalsekretariat des Rates stellt als Vergabebehörde sicher, dass die in diesem Beschluss festgelegten und in dem Vertrag genannten Mindeststandards für den Geheimschutz in der Wirtschaft eingehalten werden, wenn als Verschlusssache eingestufte Aufträge von ihm an industrielle oder andere Unternehmen vergeben werden.
(4) Die Nationale Sicherheitsbehörde (National Security Authority, NSA), die Beauftragte Sicherheitsbehörde (Designated Security Authority, DSA) oder eine andere zuständige Behörde jedes Mitgliedstaats stellt, soweit dies nach den innerstaatlichen Rechtsvorschriften möglich ist, sicher, dass in ihrem Hoheitsgebiet eingetragene Auftragnehmer und Subauftragnehmer alle geeigneten Maßnahmen zum Schutz von EU-VS bei den Verhandlungen vor der Auftragsvergabe oder bei der Ausführung eines als Verschlusssache eingestuften Auftrags treffen.
(5) Die Nationale Sicherheitsbehörde, die Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde jedes Mitgliedstaats stellt gemäß den innerstaatlichen Rechtsvorschriften sicher, dass in dem betreffenden Mitgliedstaat eingetragene Auftragnehmer und Subauftragnehmer, die an als Verschlusssache eingestuften Aufträgen oder Subaufträgen beteiligt sind, die den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuften Verschlusssachen in ihren Räumlichkeiten erfordern, entweder bei der Ausführung dieser Aufträge oder bei den Verhandlungen vor der Auftragsvergabe im Besitz eines Sicherheitsbescheids für Unternehmen (Facility Security Clearance, FSC) der entsprechenden Geheimhaltungsstufe sind.
(6) Dem Personal des Auftragnehmers oder Subauftragnehmers, das zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ erhalten muss, wird von der jeweiligen Nationalen Sicherheitsbehörde, der Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde gemäß den innerstaatlichen Rechtsvorschriften und den Mindeststandards in Anhang I eine Sicherheitsermächtigung (Personnel Security Clearance, PSC) erteilt.
(7) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang V enthalten.
Artikel 12
Austausch von Verschlusssachen mit Drittstaaten und internationalen Organisationen
(1) Entscheidet der Rat, dass EU-VS mit einem Drittstaat oder einer internationalen Organisation ausgetauscht werden müssen, so werden die hierfür erforderlichen rechtlichen Grundlagen geschaffen.
(2) Zur Festlegung dieser Grundlagen und der für beide Parteien geltenden Vorschriften für den Schutz von ausgetauschten Verschlusssachen
a)
schließt der Rat Abkommen über Sicherheitsverfahren für den Austausch und den Schutz von Verschlusssachen (im Folgenden „Geheimschutzabkommen“) oder
b)
kann der Generalsekretär Verwaltungsvereinbarungen gemäß Anhang VI Nummer 17 schließen, sofern die weiterzugebenden EU-VS in der Regel nicht höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind.
(3) Die Geheimschutzabkommen oder Verwaltungsvereinbarungen nach Absatz 2 enthalten Bestimmungen, mit denen sichergestellt wird, dass EU-VS nach Entgegennahme durch Drittstaaten oder internationale Organisationen in einer ihrem Geheimhaltungsgrad angemessenen Weise nach Maßgabe von Mindeststandards geschützt werden, die zumindest den in diesem Beschluss festgelegten Mindeststandards entsprechen.
(4) Der Beschluss, EU-VS des Rates an einen Drittstaat oder eine internationale Organisation weiterzugeben, wird vom Rat von Fall zu Fall nach Maßgabe von Art und Inhalt dieser Verschlusssachen, des Grundsatzes „Kenntnis nur, wenn nötig“ und der Vorteile für die EU gefasst. Sind die Verschlusssachen, um deren Weitergabe ersucht wird, nicht vom Rat herausgegeben worden, so holt das Generalsekretariat des Rates zunächst die schriftliche Zustimmung des Herausgebers zur Weitergabe der Verschlusssachen ein. Kann der Herausgeber nicht ermittelt werden, so trifft der Rat an seiner Stelle die Entscheidung.
(5) Zur Überprüfung der Wirksamkeit der Sicherheitsvorkehrungen, die Drittstaaten oder internationale Organisationen zum Schutz bereitgestellter oder ausgetauschter EU-VS getroffen haben, werden Bewertungsbesuche durchgeführt.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang VI enthalten.
Artikel 13
Verletzungen der Sicherheit und Kenntnisnahme von EU-VS durch Unbefugte
(1) Zu einer Verletzung der Sicherheit kommt es durch eine Handlung oder Unterlassung seitens einer Person, die den in diesem Beschluss festgelegten Sicherheitsvorschriften zuwiderläuft.
(2) Eine Kenntnisnahme von EU-VS durch Unbefugte liegt vor, wenn EU-VS infolge einer Verletzung der Sicherheit ganz oder teilweise an unbefugte Personen weitergegeben wurden.
(3) Verletzungen oder vermutete Verletzungen der Sicherheit werden der zuständigen Sicherheitsbehörde unverzüglich gemeldet.
(4) Wird bekannt oder besteht berechtigter Grund zu der Annahme, dass EU-VS Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, trifft die zuständige Sicherheitsbehörde nach Maßgabe der einschlägigen Rechtsvorschriften alle geeigneten Maßnahmen, um
a)
den Herausgeber zu verständigen;
b)
sicherzustellen, dass der Fall zur Aufklärung des Sachverhalts von Personal untersucht wird, das von der Verletzung nicht unmittelbar betroffen ist;
c)
den potenziellen Schaden für die Interessen der EU oder der Mitgliedstaaten einzuschätzen;
d)
die geeigneten Maßnahmen zu treffen, damit ein solcher Vorfall sich nicht wiederholt, und
e)
die zuständigen Stellen über die getroffenen Maßnahmen zu unterrichten.
(5) Gegen jede Person, die für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften ergriffen werden. Gegen jede Person, die für die Kenntnisnahme von EU-VS durch Unbefugte oder deren Verlust verantwortlich ist, können gemäß den geltenden Rechtsvorschriften Disziplinarmaßnahmen ergriffen und/oder rechtliche Schritte unternommen werden.
Artikel 14
Verantwortung für die Durchführung
(1) Der Rat ergreift alle erforderlichen Maßnahmen, um die insgesamt übereinstimmende Anwendung dieses Beschlusses sicherzustellen.
(2) Der Generalsekretär trifft alle erforderlichen Maßnahmen, um sicherzustellen, dass die Bestimmungen dieses Beschlusses bei der Bearbeitung und Aufbewahrung von EU-VS oder anderen Verschlusssachen in den vom Rat genutzten Räumlichkeiten und im Generalsekretariat des Rates, einschließlich in seinen Verbindungsbüros in Drittstaaten, von den Beamten und sonstigen Bediensteten des Generalsekretariats des Rates, von zum Generalsekretariat des Rates abgeordnetem Personal und von Vertragspartnern des Generalsekretariats des Rates angewandt werden.
(3) Die Mitgliedstaaten treffen nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften alle geeigneten Maßnahmen, um sicherzustellen, dass dieser Beschluss bei der Bearbeitung und Aufbewahrung von EU-VS von dem folgenden Personenkreis eingehalten wird:
a)
dem Personal der Ständigen Vertretungen der Mitgliedstaaten bei der Europäischen Union sowie den nationalen Delegierten, die an Tagungen des Rates oder Sitzungen seiner Vorbereitungsgremien teilnehmen bzw. in sonstige Tätigkeiten des Rates einbezogen sind;
b)
sonstigem Personal in den nationalen Verwaltungen der Mitgliedstaaten, einschließlich des zu diesen Verwaltungen abgeordneten Personals, unabhängig davon, ob es innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten Dienst tut;
c)
sonstigen Personen, die in den Mitgliedstaaten aufgrund ihrer Aufgaben förmlich zum Zugang zu EU-VS ermächtigt worden sind, und
d)
Vertragspartnern der Mitgliedstaaten, unabhängig davon, ob sie innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten tätig sind.
Artikel 15
Organisation der Sicherheit im Rat
(1) Im Rahmen seiner Funktion bei der Gewährleistung der insgesamt übereinstimmenden Anwendung dieses Beschlusses billigt der Rat
a)
Abkommen gemäß Artikel 12 Absatz 2 Buchstabe a;
b)
Beschlüsse zur Genehmigung der Weitergabe von EU-VS an Drittstaaten und internationale Organisationen;
c)
ein jährliches Inspektionsprogramm, das vom Generalsekretär vorgeschlagen und vom Sicherheitsausschuss empfohlen wird für Inspektionen von Dienststellen und Räumlichkeiten der Mitgliedstaaten und von Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, sowie von Europol und Eurojust und für Bewertungsbesuche in Drittstaaten und bei internationalen Organisationen zur Überprüfung der Wirksamkeit der zum Schutz von EU-VS durchgeführten Maßnahmen, und
d)
Sicherheitskonzepte gemäß Artikel 6 Absatz 1.
(2) Der Generalsekretär ist die Sicherheitsbehörde des Generalsekretariats des Rates. In dieser Funktion
a)
führt er das Sicherheitskonzept des Rates durch und überprüft es fortlaufend;
b)
stimmt er sich mit den Nationalen Sicherheitsbehörden der Mitgliedstaaten zu allen Sicherheitsfragen ab, die den Schutz von Verschlusssachen betreffen, die für die Tätigkeiten des Rates relevant sind;
c)
erteilt er Beamten und sonstigen Bediensteten des Generalsekretariats des Rates EU-Sicherheitsermächtigungen (EU PSC) gemäß Artikel 7 Absatz 3, bevor diese Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen erhalten können;
d)
ordnet er gegebenenfalls eine Untersuchung an, wenn feststeht oder vermutet wird, dass im Besitz des Rates befindliche oder vom Rat herausgegebene Verschlusssachen Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, und ersucht er die einschlägigen Sicherheitsbehörden um Unterstützung bei derartigen Untersuchungen;
e)
führt er regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von Verschlusssachen in den Räumlichkeiten des Generalsekretariats des Rates getroffen wurden;
f)
führt er regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, bei Europol und Eurojust, bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV sowie von EU-Sonderbeauftragten (EUSR) und den Mitgliedern ihres Personals getroffen wurden;
g)
führt er gemeinsam und im Einvernehmen mit den betreffenden Nationalen Sicherheitsbehörden regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Dienststellen und Räumlichkeiten der Mitgliedstaaten getroffen wurden;
h)
koordiniert er Sicherheitsmaßnahmen mit den für den Schutz von Verschlusssachen zuständigen Behörden der Mitgliedstaaten und gegebenenfalls mit Drittstaaten oder internationalen Organisationen, auch hinsichtlich der Art der Bedrohungen der Sicherheit von EU-VS und entsprechender Schutzmaßnahmen;
i)
schließt er die Verwaltungsvereinbarungen nach Artikel 12 Absatz 2 Buchstabe b und
j)
führt er die ersten und die anschließenden regelmäßigen Bewertungsbesuche in Drittstaaten oder bei internationalen Organisationen durch, um die Wirksamkeit der Maßnahmen zu überprüfen, die zum Schutz der diesen bereitgestellten oder mit diesen ausgetauschten EU-VS durchgeführt werden.
Das Sicherheitsbüro des Generalsekretariats des Rates steht dem Generalsekretär bei diesen Aufgaben unterstützend zur Verfügung.
(3) Zur Durchführung von Artikel 14 Absatz 3 sollten die Mitgliedstaaten wie folgt verfahren:
a)
sie benennen eine Nationale Sicherheitsbehörde, die für die Sicherheitsvorkehrungen zum Schutz von EU-VS zuständig ist, damit
i)
EU-VS, die sich im Besitz einer öffentlichen oder privaten Stelle oder Einrichtung ihres Landes im In- oder Ausland befinden, gemäß diesem Beschluss geschützt werden;
ii)
die Sicherheitsvorkehrungen für den Schutz von EU-VS regelmäßig überprüft werden;
iii)
alle in einer nationalen Verwaltung oder von einem Auftragnehmer beschäftigten Personen, denen Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen gewährt werden kann, einer ordnungsgemäßen Sicherheitsüberprüfung unterzogen oder auf anderer Grundlage nach Maßgabe der innerstaatlichen Rechtsvorschriften aufgrund ihres Aufgabenbereichs ordnungsgemäß ermächtigt worden sind;
iv)
die Sicherheitsprogramme erstellt werden, die erforderlich sind, um das Risiko einer Kenntnisnahme von EU-VS durch Unbefugte oder eines Verlusts von EU-VS so gering wie möglich zu halten;
v)
Sicherheitsfragen im Zusammenhang mit dem Schutz von EU-VS mit anderen auf nationaler Ebene zuständigen Stellen koordiniert werden, einschließlich jener, die in diesem Beschluss genannt werden, und
vi)
Ersuchen um geeignete Sicherheitsüberprüfung nachgekommen wird, die von Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, Europol, Eurojust und bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV sowie von EU-Sonderbeauftragten und ihrem Personal gestellt werden.
Die Nationalen Sicherheitsbehörden sind in Anlage C aufgeführt;
b)
sie gewährleisten, dass ihre zuständigen Stellen ihre Regierung und - über diese - den Rat über die Art der Bedrohungen der Sicherheit von EU-VS und entsprechende Schutzmaßnahmen informieren und beraten.
Artikel 16
Sicherheitsausschuss
(1) Es wird ein Sicherheitsausschuss eingesetzt. Er prüft und bewertet Sicherheitsfragen, die in den Anwendungsbereich dieses Beschlusses fallen, und legt dem Rat gegebenenfalls Empfehlungen vor.
(2) Der Sicherheitsausschuss setzt sich aus Vertretern der Nationalen Sicherheitsbehörden der Mitgliedstaaten zusammen; ein Vertreter der Kommission und des Europäischen Auswärtigen Dienstes nimmt an den Sitzungen des Ausschusses teil. Den Vorsitz im Ausschuss führt der Generalsekretär oder eine von ihm beauftragte Person. Der Sicherheitsausschuss tritt gemäß dem vom Rat erteilten Mandat oder auf Antrag des Generalsekretärs oder einer Nationalen Sicherheitsbehörde zusammen.
Vertreter von Agenturen und Einrichtungen der EU, die im Rahmen des Titels V Kapitel 2 EUV geschaffen wurden, sowie von Europol und Eurojust können zur Teilnahme an den Sitzungen eingeladen werden, wenn Fragen erörtert werden, die sie betreffen.
(3) Der Sicherheitsausschuss organisiert seine Tätigkeit so, dass er Empfehlungen zu speziellen Sicherheitsfragen geben kann. Er setzt eine Fachuntergruppe für Fragen der Informationssicherung und bei Bedarf weitere Fachuntergruppen ein. Er legt das Mandat für diese Fachuntergruppen fest und erhält von diesen Berichte über ihre Tätigkeit, die gegebenenfalls Empfehlungen an den Rat enthalten.
Artikel 17
Ersetzung des bisherigen Beschlusses
(1) Der Beschluss 2001/264/EG des Rates vom 19. März 2001 über die Annahme der Sicherheitsvorschriften des Rates (2) wird durch den vorliegenden Beschluss aufgehoben und ersetzt.
(2) Alle gemäß dem Beschluss 2001/264/EG eingestuften EU-VS werden weiter gemäß den einschlägigen Bestimmungen des vorliegenden Beschlusses geschützt.
Artikel 18
Inkrafttreten
Dieser Beschluss tritt am Tag seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Geschehen zu Brüssel am 31. März 2011.
DECIZIA CONSILIULUI
din 31 martie 2011
privind normele de securitate pentru protecția informațiilor UE clasificate
(2011/292/UE)
CONSILIUL UNIUNII EUROPENE,
având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 240 alineatul (3),
având în vedere Decizia 2009/937/UE a Consiliului din 1 decembrie 2009 de adoptare a regulamentului său de procedură (1), în special articolul 24,
întrucât:
(1)
În vederea dezvoltării activităților Consiliului în toate domeniile care necesită gestionarea informațiilor clasificate se impune instituirea unui sistem de securitate cuprinzător pentru protecția informațiilor clasificate, care să includă Consiliul, Secretariatul General al Consiliului și statele membre.
(2)
Prezenta decizie ar trebui să se aplice în cazurile în care Consiliul, grupurile de pregătire ale acestuia și Secretariatul General al Consiliului (SGC) gestionează informații UE clasificate (IUEC).
(3)
Statele membre ar trebui, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale și în măsura necesară pentru funcționarea Consiliului, să respecte prezenta decizie în cazurile în care autoritățile competente, personalul sau contractanții acestora gestionează IUEC, astfel încât fiecare dintre ele să aibă garanția acordării unui nivel echivalent de protecție a IUEC.
(4)
Consiliul și Comisia își asumă angajamentul de a aplica standarde echivalente de securitate pentru protecția IUEC.
(5)
Consiliul subliniază importanța asocierii, dacă este cazul, a Parlamentului European și a altor instituții, agenții, organisme sau oficii ale UE, la principiile, standardele și normele pentru protecția informațiilor clasificate necesare pentru protejarea intereselor Uniunii și ale statelor sale membre.
(6)
Agențiile și organismele UE instituite în temeiul titlului V capitolul 2 din Tratatul privind Uniunea Europeană, Europol și Eurojust aplică, în cadrul organizării lor interne, principiile de bază și standardele minime stabilite în prezenta decizie pentru protecția IUEC, în conformitate cu prevederile din actele lor de instituire respective.
(7)
Operațiile de gestionare a crizelor instituite în temeiul titlului V capitolul 2 din TUE și personalul operațiilor în cauză aplică normele de securitate pentru protecția IUEC adoptate de Consiliu.
(8)
Reprezentanții Speciali ai UE și membrii echipelor acestora aplică normele de securitate adoptate de Consiliu pentru protecția IUEC.
(9)
Prezenta decizie se adoptă fără a aduce atingere articolelor 15 și 16 din Tratatul privind funcționarea Uniunii Europene (TFUE) și instrumentelor de punere în aplicare a acestora.
(10)
Prezenta decizie se adoptă fără a aduce atingere practicilor existente în interiorul statelor membre cu privire la informarea parlamentelor lor naționale despre activitățile Uniunii,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
Obiectiv, domeniu de aplicare și definiții
(1) Prezenta decizie stabilește principiile de bază și standardele minime de securitate pentru protecția IUEC.
(2) Aceste principii de bază și standarde minime de securitate se aplică Consiliului și SGC și sunt respectate de statele membre, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale ale acestora, astfel încât fiecare dintre ele să aibă garanția utilizării unui nivel echivalent de protecție a IUEC.
(3) În sensul prezentei decizii, se aplică definițiile stabilite în apendicele A.
Articolul 2
Definiția IUEC, a clasificărilor și a marcajelor de securitate
(1) „Informațiile UE clasificate” (IUEC) înseamnă orice informații sau materiale desemnate ca atare printr-o clasificare de securitate a UE a căror divulgare neautorizată ar cauza prejudicii de diferite grade intereselor Uniunii Europene sau ale unora sau mai multor state membre.
(2) IUEC sunt clasificate la unul dintre următoarele niveluri:
(a) TRÈS SECRET UE/EU TOP SECRET: acest nivel de clasificare se aplică numai acelor informații și materiale a căror divulgare neautorizată poate aduce prejudicii deosebit de grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
(b) SECRET UE/EU SECRET: informații și materiale a căror divulgare neautorizată poate aduce prejudicii grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
(c) CONFIDENTIEL UE/EU CONFIDENTIAL: informații și materiale a căror divulgare neautorizată poate aduce prejudicii intereselor esențiale ale Uniunii Europene sau ale unuia ori mai multor state membre.
(d) RESTREINT UE/EU RESTRICTED: informații și materiale a căror divulgare neautorizată poate fi în defavoarea intereselor Uniunii Europene sau ale unuia sau mai multor state membre.
(3) IUEC au un marcaj de clasificare de securitate, în conformitate cu alineatul (2). Acestea pot avea marcaje suplimentare care indică domeniul de activitate la care se referă, identifică emitentul, limitează distribuirea, restrâng utilizarea sau precizează dacă pot fi comunicate.
Articolul 3
Gestionarea clasificărilor
(1) Autoritățile competente se asigură că IUEC sunt clasificate corespunzător, identificate în mod clar ca informații clasificate și că nivelul de clasificare al acestora este menținut doar atât timp cât este necesar.
(2) IUEC nu sunt clasificate la un nivel de securitate inferior sau declasificate și niciun marcaj menționat la articolul 2 alineatul (3) nu este modificat sau eliminat fără acordul prealabil scris al emitentului.
(3) Consiliul aprobă o politică de securitate privind crearea IUEC care include un ghid practic al clasificărilor.
Articolul 4
Protecția informațiilor clasificate
(1) IUEC sunt protejate în conformitate cu prezenta decizie.
(2) Deținătorul oricărei informații UE clasificate este responsabil de protecția acesteia, în conformitate cu prezenta decizie.
(3) În cazul în care statele membre introduc informații clasificate care conțin un marcaj național de clasificare de securitate în structurile sau rețelele Uniunii Europene, Consiliul și SGC protejează informațiile respective în conformitate cu cerințele aplicabile IUEC de nivel echivalent, astfel cum se precizează în tabelul de echivalență a clasificărilor de securitate din apendicele B.
(4) Cumularea sau compilarea IUEC poate justifica protecția la un nivel corespunzător unei clasificări superioare.
Articolul 5
Managementul riscului de securitate
(1) Riscul la adresa IUEC este gestionat ca proces. Acest proces urmărește determinarea riscurilor de securitate cunoscute, definirea măsurilor de securitate destinate reducerii acestor riscuri la un nivel acceptabil în conformitate cu principiile de bază și standardele minime de securitate stabilite în prezenta decizie și aplicarea acestor măsuri în conformitate cu conceptul apărării în profunzime așa cum este definit în apendicele A. Eficacitatea acestor măsuri este evaluată permanent.
(2) Măsurile de securitate pentru protejarea IUEC pe durata ciclului de viață al acestora sunt proporționale, în special, cu clasificarea de securitate a acestora, forma și volumul informațiilor sau al materialelor, amplasarea și construcția obiectivelor care adăpostesc IUEC și evaluarea locală a amenințării reprezentate de activități rău-intenționate și/sau criminale, inclusiv spionaj, sabotaj și terorism.
(3) Planurile de urgență iau în considerare necesitatea protejării IUEC în situații de urgență, pentru a împiedica accesul neautorizat, divulgarea sau pierderea integrității sau a disponibilității.
(4) Măsurile de prevenire și de recuperare destinate minimizării impactului erorilor sau incidentelor majore survenite în timpul gestionării și păstrării IUEC sunt incluse în Planurile de continuare a activității.
Articolul 6
Punerea în aplicare a prezentei decizii
(1) Dacă este necesar, Consiliul, la recomandarea Comitetului de securitate, aprobă politici de securitate care stabilesc măsurile pentru punerea în aplicare a prezentei decizii.
(2) Comitetul de securitate poate conveni, la nivelul său, asupra unor linii directoare de securitate menite să completeze sau să sprijine prezenta decizie sau orice politici de securitate aprobate de Consiliu.
Articolul 7
Securitatea personalului
(1) Securitatea personalului înseamnă aplicarea unor măsuri care să garanteze că accesul la IUEC este acordat numai persoanelor care:
-
prezintă necesitatea de a cunoaște;
-
au primit certificatul de securitate pentru nivelul corespunzător, dacă este cazul; și
-
au fost informate cu privire la responsabilitățile care le revin.
(2) Sunt elaborate proceduri de acordare a certificatului de securitate a personalului, pentru a stabili dacă o persoană poate avea acces la IUEC, ținându-se seama de loialitatea și onestitatea acesteia și de încrederea pe care o inspiră.
(3) Întregul personal al SGC, ale cărui atribuții pot necesita accesul la IUEC de nivel CONFIDENTIEL UE/EU CONFIDENTIAL sau superior, este autorizat pentru nivelul corespunzător înainte de acordarea accesului la respectivele IUEC. Procedura de autorizare a personalului pentru funcționarii SGC și alți agenți este prevăzută în anexa I.
(4) Personalul statelor membre menționat la articolul 14 alineatul (3), ale cărui atribuții pot necesita accesul la IUEC de nivel CONFIDENTIEL UE/EU CONFIDENTIAL sau superior, este autorizat pentru nivelul corespunzător sau este autorizat în alt mod prin natura funcțiilor deținute, în conformitate cu actele cu putere de lege și actele administrative naționale, înainte de acordarea accesului la respectivele IUEC.
(5) Înainte de acordarea accesului la IUEC și ulterior la intervale periodice, întregul personal este informat și ia cunoștință de responsabilitățile care îi revin cu privire la protejarea IUEC, în conformitate cu prezenta decizie.
(6) Anexa I cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 8
Securitatea fizică
(1) Securitatea fizică reprezintă aplicarea măsurilor de protecție fizică și tehnică în vederea împiedicării accesului neautorizat la IUEC.
(2) Măsurile de securitate fizică sunt concepute astfel încât să împiedice accesul disimulat sau forțat al vreunui intrus, să descurajeze, să împiedice și să detecteze acțiunile neautorizate și să permită separarea personalului în ceea ce privește accesul acestuia la IUEC, pe baza principiului necesității de a cunoaște. Aceste măsuri sunt stabilite pe baza unui proces de management al riscului.
(3) Măsurile de securitate fizică sunt instituite pentru toate incintele, imobilele, birourile, încăperile și alte zone în care sunt gestionate sau păstrate IUEC, inclusiv zonele care adăpostesc sisteme informatice și de comunicații astfel cum sunt definite la articolul 10 alineatul (2).
(4) Zonele în care sunt păstrate IUEC clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt stabilite ca zone securizate în conformitate cu anexa II și aprobate de autoritatea de securitate competentă.
(5) În vederea protecției IUEC la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior se utilizează numai echipamente sau dispozitive aprobate.
(6) Anexa II cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 9
Managementul informațiilor clasificate
(1) Managementul informațiilor clasificate reprezintă aplicarea unor măsuri administrative pentru a controla IUEC pe durata ciclului lor de viață, în vederea completării măsurilor prevăzute la articolele 7, 8 și 10, contribuind astfel la descurajarea, detectarea și remedierea compromiterii sau pierderii deliberate sau accidentale a informațiilor. Aceste măsuri se referă, în special, la crearea, înregistrarea, copierea, traducerea, transportul și distrugerea IUEC.
(2) Din motive de securitate, informațiile clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt înregistrate, la primirea acestora, înainte de a fi distribuite. În acest scop, autoritățile competente din SGC și din statele membre înființează sisteme de registre. Informațiile clasificate TRÈS SECRET UE/EU TOP SECRET sunt înregistrate în registre speciale.
(3) Serviciile și incintele unde sunt gestionate sau păstrate IUEC sunt supuse unor inspecții periodice ale autorităților de securitate competente.
(4) IUEC sunt transmise între servicii și incinte situate în afara zonelor protejate fizic după cum urmează:
(a)
ca regulă generală, IUEC sunt transmise prin mijloace electronice protejate prin intermediul unor produse criptografice aprobate în conformitate cu articolul 10 alineatul (6);
(b)
în situațiile în care nu se utilizează mijloacele menționate la litera (a), IUEC sunt transportate:
(i)
pe suport electronic (de ex. chei USB, CD-uri, hard diskuri) protejat prin intermediul unor produse criptografice aprobate în conformitate cu articolul 10 alineatul (6); sau
(ii)
în toate celelalte cazuri, conform indicațiilor primite de la autoritatea de securitate competentă, în conformitate cu măsurile de protecție prevăzute la anexa III.
(5) Anexa III cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 10
Protecția IUEC gestionate în sisteme informatice și de comunicații
(1) Asigurarea informațiilor (AI) în domeniul sistemelor informatice și de comunicații reprezintă încrederea în faptul că aceste sisteme vor proteja informațiile pe care le gestionează și vor funcționa corespunzător, atunci când este necesar, sub controlul utilizatorilor legitimi. O AI eficientă asigură grade adecvate de confidențialitate, integritate, disponibilitate, nerepudiere și autenticitate. AI se bazează pe un proces de management al riscului.
(2) „Sistemul informatic și de comunicații” reprezintă un sistem care permite gestionarea informațiilor clasificate în format electronic. Un sistem informatic și de comunicații cuprinde toate activele necesare pentru a funcționa, inclusiv infrastructura, organizarea, personalul și resursele informaționale. Prezenta decizie se aplică sistemelor informatice și de comunicații care gestionează IUEC (SIC).
(3) SIC gestionează IUEC în conformitate cu conceptul de AI.
(4) Toate SIC sunt supuse unui proces de acreditare. Acreditarea urmărește să garanteze faptul că au fost puse în aplicare toate măsurile de securitate corespunzătoare și că s-a obținut un nivel suficient de protecție a IUEC și a SIC, în conformitate cu prezenta decizie. Declarația de acreditare stabilește nivelul maxim de clasificare a informațiilor care poate fi gestionat de SIC, precum și termenii și condițiile acreditării respective.
(5) Sistemele de comunicații și informații care gestionează informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL și de nivel superior sunt protejate astfel încât informațiile să nu poată fi compromise prin emisii electromagnetice accidentale („măsuri de securitate TEMPEST”).
(6) În cazurile în care protecția IUEC este asigurată prin produse criptografice, acestea sunt aprobate după cum urmează:
(a)
confidențialitatea informațiilor clasificate la nivelul SECRET UE/EU SECRET și la un nivel superior este protejată prin produse criptografice aprobate de Consiliu în calitate de autoritate de aprobare criptografică (AAC) la recomandarea Comitetului de securitate;
(b)
confidențialitatea informațiilor clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau RESTREINT UE/EU RESTRICTED este protejată prin produse criptografice aprobate de Secretarul General al Consiliului (denumit în continuare „Secretarul General”) în calitate de AAC, la recomandarea Comitetului de securitate.
Fără a aduce atingere literei (b), în cadrul sistemelor naționale ale statelor membre, confidențialitatea IUEC clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau RESTREINT UE/EU RESTRICTED poate fi protejată prin produse criptografice aprobate de AAC a unui stat membru.
(7) În cursul transmiterii IUEC prin mijloace electronice, se folosesc produse criptografice aprobate. Fără a aduce atingere acestei cerințe, pot fi aplicate proceduri specifice în situații de urgență sau în cadrul unor configurații tehnice specifice, astfel cum se specifică în anexa IV.
(8) Autoritățile competente ale SGC și ale statelor membre instituie următoarele funcții aferente AI:
(a)
o autoritate AI (AAI);
(b)
o autoritate TEMPEST (AT);
(c)
o autoritate de aprobare criptografică (AAC);
(d)
o autoritate de distribuire a materialului criptografic (ADMC)
(9) Pentru fiecare sistem, autoritățile competente ale SGC, respectiv ale statelor membre, instituie:
(a)
o autoritate de acreditare în materie de securitate (AAS);
(b)
o autoritate operațională AI.
(10) Anexa IV cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 11
Securitatea industrială
(1) Securitatea industrială reprezintă aplicarea de măsuri în vederea asigurării protecției IUEC de către contractanți și subcontractanți în cursul negocierilor anterioare încheierii contractelor și pe toată durata contractelor clasificate. Astfel de contracte nu implică accesul la informații clasificate TRÈS SECRET UE/EU TOP SECRET.
(2) SGC poate încredința prin contract sarcini care implică sau determină accesul la IUEC sau gestionarea sau păstrarea acestora de entități industriale sau de altă natură înregistrate într-un stat membru sau într-un stat terț care a încheiat un acord sau un acord administrativ în conformitate cu articolul 12 alineatul (2) litera (a) sau (b).
(3) Atunci când atribuie contracte clasificate entităților industriale sau de altă natură, SGC, în calitate de autoritate contractantă, asigură respectarea standardelor minime privind securitatea industrială stabilite în prezenta decizie și menționate în contract.
(4) Autoritatea națională de securitate (ANS), autoritatea desemnată de securitate (ADS) și oricare altă autoritate competentă din statele membre se asigură, în măsura permisă de actele cu putere de lege și dispozițiile administrative naționale, că atât contractanții cât și subcontractanții iau toate măsurile necesare pentru protecția IUEC în cursul negocierilor premergătoare contractului precum și pe parcursul executării contractelor clasificate.
(5) ANS, ADS sau oricare altă autoritate de securitate competentă din fiecare stat membru se asigură, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale, că atât contractanții cât și subcontractanții înregistrați în statele membre respective care participă la contracte sau subcontracte necesitând accesul, în obiectivele lor, la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET, fie în cursul executării contractelor respective, fie în etapa precontractuală, trebuie să dețină un certificat de securitate industrială (CSI), la nivelul de clasificare necesar.
(6) Personalului contractantului sau al subcontractantului ale cărui atribuții pot necesita accesul la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET în scopul executării unui contract clasificat i se acordă un certificat de securitate a personalului (CSP) de către ANS/ADS corespunzătoare sau de către orice altă autoritate de securitate competentă, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale și cu standardele minime prevăzute în anexa I.
(7) Anexa V cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 12
Schimbul de informații clasificate cu state terțe și organizații internaționale
(1) În cazul în care Consiliul stabilește necesitatea schimbului de IUEC cu un stat terț sau o organizație internațională, se instituie un cadru corespunzător în acest sens.
(2) Pentru a stabili un astfel de cadru și pentru a defini reguli reciproce pentru protejarea informațiilor clasificate care fac obiectul schimbului,
(a)
Consiliul încheie acorduri privind procedurile de securitate pentru schimbul de informații clasificate și protecția acestora (denumite în continuare „acorduri privind securitatea informațiilor”); sau
(b)
Secretarul General poate încheia acorduri administrative, în condițiile prevăzute în anexa VI la punctul 17 în cazul în care nivelul de clasificare a IUEC care urmează a fi comunicate nu depășește, ca regulă generală, nivelul RESTREINT UE/EU RESTRICTED.
(3) Acordurile privind securitatea informațiilor sau acordurile administrative menționate la alineatul (2) conțin dispoziții care garantează că, atunci când statele terțe sau organizațiile internaționale primesc IUEC, acestea beneficiază de protecția corespunzătoare nivelului lor de clasificare, pe baza unor standarde cel puțin la fel de stricte precum cele instituite prin prezenta decizie.
(4) Decizia de a comunica IUEC provenite de la Consiliu către un stat terț sau o organizație internațională se ia de către Consiliu, de la caz la caz, în funcție de natura și conținutul informațiilor respective, necesitatea de a cunoaște a destinatarului lor și măsura avantajului pentru UE. Dacă emitentul informațiilor clasificate a căror comunicare este solicitată nu este Consiliul, SGC trebuie să solicite, mai întâi, consimțământul scris al emitentului. În cazul în care emitentul nu poate fi identificat, Consiliul își asumă răspunderea.
(5) Se organizează vizite de evaluare pentru a se stabili eficiența măsurilor de securitate aplicate într-un stat terț sau de către o organizație internațională pentru protecția IUEC furnizate sau schimbate.
(6) Anexa VI cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 13
Încălcări ale securității și compromiterea IUEC
(1) O încălcare a securității are loc în urma unei fapte sau omisiuni a unei persoane care contravine normelor de securitate stabilite în prezenta decizie.
(2) Compromiterea IUEC are loc atunci când, în urma unei încălcări a securității, acestea au fost divulgate, integral sau parțial, unor persoane neautorizate.
(3) Orice încălcare sau suspiciune de încălcare a securității este raportată imediat autorităților competente de securitate.
(4) În cazul în care se cunoaște sau există motive întemeiate să se presupună că IUEC au fost compromise sau pierdute, autoritatea competentă de securitate ia toate măsurile corespunzătoare în conformitate cu actele cu putere de lege și dispozițiile administrative relevante pentru:
(a)
a informa emitentul;
(b)
a asigura investigarea cazului de membri ai personalului care nu sunt implicați în mod direct în încălcare, pentru a stabili faptele;
(c)
a evalua potențialele prejudicii aduse intereselor UE sau ale statelor membre;
(d)
a lua măsurile adecvate pentru a împiedica repetarea situației; și
(e)
a notifica autorităților competente acțiunea întreprinsă.
(5) Orice persoană responsabilă de încălcarea normelor de securitate prevăzute în prezenta decizie poate fi pasibilă de acțiuni disciplinare, în conformitate cu legile, normele și dispozițiile administrative aplicabile. Orice persoană responsabilă pentru compromiterea sau pierderea IUEC este pasibilă de acțiuni disciplinare și/sau în justiție, în conformitate cu legile, normele și dispozițiile administrative aplicabile.
Articolul 14
Responsabilitatea pentru punerea în aplicare
(1) Consiliul ia toate măsurile necesare pentru a asigura coerența globală în aplicarea prezentei decizii.
(2) Secretarul General ia toate măsurile necesare pentru a asigura, în cazul gestionării sau păstrării IUEC sau a oricăror altor informații clasificate, aplicarea prezentei decizii în incintele utilizate de Consiliu și în cadrul SGC, inclusiv în cadrul birourilor de legătură ale acestuia, situate în state terțe, de către funcționari și alți agenți ai SGC, de către personalul detașat la SGC și de către contractanții SGC.
(3) Statele membre iau măsurile corespunzătoare, în conformitate cu actele cu putere de lege și dispozițiile administrative proprii, pentru a se asigura că, în momentul gestionării sau păstrării IUEC, prezenta decizie este respectată de către:
(a)
personalul reprezentanțelor permanente ale statelor membre pe lângă Uniunea Europeană și membrii delegațiilor naționale care participă la reuniunile Consiliului sau ale organismelor pregătitoare ale acestuia, sau care participă la alte activități ale Consiliului;
(b)
alți membri ai administrațiilor naționale ale statelor membre, inclusiv personalul detașat pe lângă acele administrații, indiferent dacă își desfășoară activitatea pe teritoriul statelor membre sau în străinătate;
(c)
alte persoane din statele membre, care, datorită funcțiilor ocupate, sunt autorizate să aibă acces la IUEC; și
(d)
contractanții statelor membre, aflați pe teritoriul acestora sau în străinătate.
Articolul 15
Organizarea securității la nivelul Consiliului
(1) Ca parte a rolului său de asigurare a coerenței globale în aplicarea prezentei decizii, Consiliul aprobă:
(a)
acordurile menționate la articolul 12 alineatul (2) litera (a);
(b)
deciziile care autorizează comunicarea de IUEC către state terțe și organizații internaționale;
(c)
un program de inspecții anuale propus de Secretarul General și recomandat de Comitetul de securitate pentru inspecții ale serviciilor și incintelor statelor membre și ale agențiilor și organismelor UE instituite în temeiul titlului V capitolul 2 din TUE, precum și ale Europol și Eurojust, și vizite de evaluare în state terțe și la organizații internaționale, în scopul stabilirii eficienței măsurilor puse în aplicare pentru protecția IUEC; și
(d)
politici de securitate, astfel cum sunt prevăzute la articolul 6 alineatul (1).
(2) Secretarul General este autoritatea de securitate a SGC. În această calitate, Secretarul General:
(a)
pune în aplicare politica de securitate a Consiliului și o supune reexaminării;
(b)
colaborează cu ANS ale statelor membre cu privire la toate chestiunile de securitate privind protecția informațiilor clasificate relevante pentru activitățile Consiliului;
(c)
acordă CSP UE funcționarilor și altor agenți ai SGC, în conformitate cu articolul 7 alineatul (3), înainte ca acestora să le fie acordat accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior;
(d)
după caz, dispune efectuarea de investigații cu privire la orice compromitere sau pierdere, reală sau bănuită, de informații clasificate deținute sau elaborate de Consiliu și solicită autorităților de securitate competente să contribuie la astfel de investigații;
(e)
efectuează inspecții periodice ale măsurilor de securitate pentru protecția informațiilor clasificate în incinta SGC;
(f)
efectuează inspecții periodice ale măsurilor de securitate destinate protecției IUEC din agențiile și organismele UE instituite în temeiul titlului V capitolul 2 din TUE, din Europol și Eurojust, precum și din operațiile de gestionare a crizelor instituite în temeiul titlului V capitolul 2 din TUE, precum și ale Reprezentanților Speciali ai UE (RSUE) și ale membrilor echipelor acestora;
(g)
efectuează, împreună și de comun acord cu ANS interesate, inspecții periodice ale măsurilor de securitate pentru protecția IUEC din serviciile și incintele aparținând statelor membre;
(h)
coordonează măsurile de securitate, împreună cu autoritățile competente ale statelor membre care sunt responsabile cu protecția informațiilor clasificate și, după caz, ale statelor terțe sau ale organizațiilor internaționale, inclusiv în ceea ce privește natura amenințărilor la adresa securității IUEC și mijloacele de protecție împotriva acestora;
(i)
încheie acordurile administrative menționate la articolul 12 alineatul (2) litera (b); și
(j)
efectuează vizite inițiale și periodice de evaluare în state terțe sau la organizații internaționale, în scopul stabilirii eficienței măsurilor puse în aplicare pentru protecția IUEC puse la dispoziția acestora sau schimbate cu acestea.
Oficiul de Securitate al SGC este la dispoziția Secretarului General pentru a-l asista în îndeplinirea acestor responsabilități.
(3) În sensul punerii în aplicare a articolului 14 alineatul (3), statele membre ar trebui:
(a)
să desemneze o ANS responsabilă cu măsurile de securitate pentru protecția IUEC, astfel încât:
(i)
IUEC deținute în cadrul tuturor departamentelor, organismelor sau agențiilor naționale, publice sau private, pe teritoriul național sau în străinătate, să fie protejate în conformitate cu prezenta decizie;
(ii)
măsurile de securitate pentru protecția IUEC să fie inspectate periodic;
(iii)
întregul personal angajat în cadrul unei administrații naționale sau de către un contractant și căruia îi poate fi acordat accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior să beneficieze de un certificat de securitate adecvat sau de un alt tip de autorizație în temeiul funcțiilor deținute, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale;
(iv)
să fie instituite programe de securitate în funcție de necesități pentru a reduce la minim riscul de pierdere sau de compromitere a IUEC;
(v)
chestiunile de securitate legate de protecția IUEC să fie abordate în colaborare cu alte autorități naționale competente, inclusiv cu cele menționate în prezenta decizie; și
(vi)
să se răspundă cererilor corespunzătoare de certificate de securitate din partea agențiilor și organismelor UE instituite în temeiul titlului V capitolul 2 din TUE, a Europol și Eurojust, precum și a operațiilor de gestionare a crizelor instituite în temeiul titlului V capitolul 2 din TUE sau a RSUE și a echipelor acestora.
ANS sunt enumerate în apendicele C;
(b)
să se asigure că autoritățile competente ale acestora oferă informații și consultanță guvernelor respective și, prin intermediul acestora, Consiliului cu privire la natura amenințărilor la adresa securității IUEC și la mijloacele de protecție împotriva acestora.
Articolul 16
Comitetul de securitate
(1) Se instituie un Comitet de securitate. Acesta examinează și evaluează orice aspect al securității care intră sub incidența prezentei decizii și adresează Consiliului recomandările corespunzătoare.
(2) Comitetul de securitate este compus din reprezentanți ai ANS ale statelor membre, iar un reprezentant al Comisiei și un reprezentant al Serviciului European de Acțiune Externă participă la lucrările sale. Comitetul este prezidat de Secretarul General sau de către delegatul desemnat al acestuia. Comitetul se reunește la indicația Consiliului sau la cererea Secretarului General sau a unei ANS.
La reuniunile acestuia pot fi invitați să asiste și reprezentanți ai agențiilor și organismelor UE instituite în temeiul titlului V capitolul 2 din TUE, precum și ai Europol și Eurojust, atunci când chestiunile dezbătute le privesc.
(3) Comitetul de securitate își organizează activitățile în așa fel încât să ofere recomandări cu privire la domenii de securitate specifice. Comitetul instituie un subdomeniu de experți pentru chestiunile AI și alte subdomenii de experți, după caz. Comitetul stabilește termeni de referință pentru aceste subdomenii de experți și primește rapoarte de la aceștia cu privire la activitățile lor, inclusiv, dacă este cazul, orice recomandări pentru Consiliu.
Articolul 17
Înlocuirea deciziei anterioare
(1) Prezenta decizie abrogă și înlocuiește Decizia 2001/264/CE a Consiliului din 19 martie 2001 de adoptare a regulamentului de securitate al Consiliului (2).
(2) Toate IUEC clasificate în conformitate cu Decizia 2001/264/CE continuă să fie protejate în conformitate cu dispozițiile corespunzătoare ale prezentei decizii.
Articolul 18
Intrarea în vigoare
Prezenta decizie intră în vigoare la data publicării în Jurnalul Oficial al Uniunii Europene.
Adoptată la Bruxelles, 31 martie 2011.