РЕШЕНИЕ (ЕС, Евратом) 2015/444 НА КОМИСИЯТА
от 13 март 2015 година
относно правилата за сигурност за защита на класифицираната информация на EC
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 249 от него,
като взе предвид Договора за създаване на Европейската общност за атомна енергия, и по-специално член 106 от него,
като взе предвид приложения към Договорите Протокол № 7 за привилегиите и имунитетите на Европейските общности, и по-специално член 18 от него,
като има предвид, че:
(1)
разпоредбите за сигурност на Комисията относно защитата на класифицираната информация на Европейския съюз (КИЕС) трябва да бъдат преразгледани и актуализирани като бъде взето предвид институционалното, организационното, оперативното и технологичното развитие.
(2)
Европейската комисия е сключила с правителствата на Белгия, Люксембург и Италия споразумения по въпросите на сигурността за основните си обекти (1).
(3)
Комисията, Съветът и Европейската служба за външна дейност са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(4)
Важно е, когато е подходящо, Европейският парламент и други институции, агенции, органи или служби на ЕС да бъдат свързани с принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите членки.
(5)
Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се определят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно изложените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за дълбочинна защита. Ефективността на тези мерки подлежи на постоянна оценка.
(6)
В рамките на Комисията физическа сигурност по отношение на защитата на класифицирана информация означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
(7)
Управлението на КИЕС представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение към мерките, предвидени в глави 2, 3 и 5 на настоящото решение, като по този начин се съдейства за възпиране, разкриване и възстановяване на такава информация при умишлено или случайно компрометиране или загуба. Такива мерки се отнасят по-конкретно до създаването, съхраняването, регистрирането, копирането, превеждането, намаляването на нивото на класификация, декласифицирането, пренасянето и унищожаването на КИЕС и допълват общите правила относно управлението на документите на Комисията (Решения 2002/47/ЕО (2), ЕОВС, Евратом и 2004/563/ЕО, Евратом (3)).
(8)
Разпоредбите на настоящото решение не засягат:
а)
Регламент (Евратом) № 3 (4);
б)
Регламент (ЕО) № 1049/2001 на Европейския парламент и на Съвета (5);
в)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (6);
г)
Регламент (ЕИО, Евратом) № 354/83 на Съвета (7),
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
ГЛАВА 1
ОСНОВНИ ПРИНЦИПИ И МИНИМАЛНИ СТАНДАРТИ
Член 1
Определения
За целите на настоящото решение се прилагат следните определения:
(1)
„Служба на Комисията“ означава всяка генерална дирекция или служба на Комисията или всеки кабинет на член на Комисията.
(2)
„Криптографски (крипто) материал“ означава криптографски алгоритми, криптографски хардуерни и софтуерни модули и продукти, включително данни за прилагането им и свързаните с това документация и материали, служещи за заключване/отключване на информацията.
(3)
„Декласификация“ означава премахване на всякаква класификация за сигурност.
(4)
„Защита в дълбочина“ означава прилагане на съвкупност от мерки за сигурност, организирани под формата на многослойна защита.
(5)
„Документ“ означава всяка записана информация, независимо от нейната физическа форма или характеристики.
(6)
„Понижаване нивото на класификация“ означава понижаване на нивото на класификацията за сигурност.
(7)
„Работа с КИЕС“ означава всички възможни действия, на които може да бъде подложена КИЕС през жизнения ѝ цикъл. Това включва нейното създаване, регистриране, обработване, пренасяне, понижаването на нивото на класификацията ѝ, декласификацията ѝ и нейното унищожаване. По отношение на комуникационните и информационните системи (КИС) това включва и нейното събиране, излагане, предаване и съхраняване.
(8)
„Притежател“ означава надлежно оправомощено лице с добре установена „необходимост да се знае“, което притежава дадена КИЕС и носи съответно отговорност за нейната защита.
(9)
„Правила за прилагане“ означава всеки набор от правила или насоки за сигурност, приети в съответствие с Глава 5 от Решение 2015/443 (ЕС, Евратом) на Комисията (8).
(10)
„Материал“ означава документ, носител на данни или машина или оборудване, който е вече създаден или е в процес на създаване.
(11)
„Създател“ означава институция, агенция или орган на ЕС, както и държава членка, трета държава или международна организация, под чието ръководство е създадена и/или въведена в структурите на ЕС класифицирана информация.
(12)
„Помещения“ означава всяко недвижимо или равнозначно на него имущество и собственост на Комисията.
(13)
„Процес на управление на риска за сигурността“ означава целият процес на идентифициране, контрол и свеждане до минимум на неопределени събития, които могат да засегнат сигурността на дадена организация или на която и да е от използваните от нея системи. Този процес обхваща всички дейности, свързани с риска, включително оценка, третиране, приемане и съобщаване.
(14)
„Правилник за длъжностните лица“ означава Правилникът за длъжностните лица на Европейския съюз и Условията за работа на другите служители на Европейския съюз, приет с Регламент (ЕИО, Евратом, ЕОВС) № 259/68 на Съвета (9);
(15)
„Заплаха“ означава потенциална причина за нежелан инцидент, който може да доведе до вредни последици за дадена организация или за която и да е от използваните от нея системи; такива заплахи могат да бъдат инцидентни или умишлени (злонамерени) и се характеризират с елементи на заплаха, потенциални цели и методи за нападение.
(16)
„Уязвимост“ означава слабост от каквото и да било естество, която може да бъде използвана от една или повече заплахи. Уязвимостта може да бъде пропуск или да бъде свързана със слабости в режима на контрол, свързани с неговата строгост, всеобхватност или съгласуваност, и може да има технически, процедурен, физически, организационен или оперативен характер.
Член 2
Предмет и приложно поле
1. С настоящото решение се установяват основните принципи и минималните стандарти за сигурност с оглед защитата на КИЕС.
2. Настоящото решение се прилага от всички служби на Комисията и във всички помещения на Комисията.
3. Независимо от евентуални конкретни указания, касаещи специфични групи служители, настоящото решение се прилага за членовете на Комисията, служителите на Комисията, попадащи в обхвата на Правилника за длъжностните лица и Условията за работа на другите служители на ЕС, командированите национални експерти (КНЕ) в Комисията, доставчиците на услуги и техните служители, стажантите и всички лица, имащи достъп до сгради или други активи на Комисията или до информация, с която Комисията работи.
4. Разпоредбите на настоящото решение не засягат Решение 2002/47/ЕО (ЕОВС, Евратом) и Решение 2004/563/ЕО (Евратом).
Член 3
Определение за КИЕС, нива на класификация за сигурност и грифове
1. „Класифицирана информация на Европейския съюз“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите членки.
2. Всяка КИЕС се класифицира на някое от следните нива:
а) TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
б) SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
в) CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите членки.
г) RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения, които не представляват гриф за сигурност, но имат за цел да се посочи сферата на дейност, до която се отнася класифицираната информация, да се идентифицира създателят ѝ, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 4
Управление на класификацията
1. Всеки член на Комисията или служба на Комисията прави необходимото създаваната от тях КИЕС да бъде подходящо класифицирана, ясно обозначена като КИЕС и да запазва нивото си на класификация само докато това е необходимо.
2. Без да се засяга член 26 по-долу, нивото на класификация на КИЕС не се понижава или тя не се декласифицира, нито някой от посочените в член 3, параграф 2 грифове се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Където това е подходящо, в съответствие с член 60 по-долу се приемат правила за прилагане по отношение на КИЕС, включително практически насоки за класифициране на информацията.
Член 5
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение и правилата за неговото прилагане.
2. Притежателят на КИЕС отговаря за нейната защита, в съответствие с разпоредбите на настоящото решение и правилата за неговото прилагане, съгласно правилата, посочени в Глава 4 по-долу.
3. Когато държавите членки въвеждат в структурите или мрежите на Комисията класифицирана информация, обозначена с национален гриф за сигурност, Комисията осигурява защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответстващото ниво, съгласно съдържащата се в Приложение I таблица на съответствията на нивата на класификация за сигурност.
4. За даден масив от КИЕС може да се наложи защита на по-високо ниво на класификация отколкото на отделните му компоненти.
Член 6
Управление на риска за сигурността
1. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
2. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
3. В плановете за непрекъснатост на дейността на всички служби се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни системни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 7
Прилагане на настоящото решение
1. Където това е необходимо, в съответствие с член 60 по-долу се приемат правила за прилагане в допълнение или в подкрепа на настоящото решение.
2. Службите на Комисията предприемат всички необходими мерки в рамките на техните правомощия, за да гарантират прилагането на настоящото решение и на съответните правила за прилагане при работа с КИЕС или при нейното съхраняване.
3. Мерките за сигурност, предприемани при прилагането на настоящото решение съответстват на принципите на сигурността в Комисията, заложени в член 3 на Решение 2015/443 (ЕС, Евратом).
4. Генералният директор на ГД „Човешки ресурси и сигурност“ създава орган по сигурността на Комисията в рамките на ГД „Човешки ресурси и сигурност“. Органът по сигурността на Комисията изпълнява задълженията, възложени му с настоящото решение и правилата за неговото прилагане.
5. Местният служител по сигурността (МСС) на всяка служба на Комисията, посочен в член 20 на Решение 2015/443 (ЕС, Евратом), изпълнява следните общи дейности по защитата на КИЕС в съответствие с настоящото решение, в тясно сътрудничество с генералния директор на ГД „Човешки ресурси и сигурност“:
а)
управлява исканията за разрешаване на достъп до класифицирана информация на служители;
б)
допринася за обученията и инструктажите в областта на сигурността;
в)
осъществява надзор върху ръководителя на регистратурата на съответната служба;
г)
докладва за нарушения на сигурността и компрометиране на КИЕС;
д)
съхранява резервни ключове с писмено описание на всяка комбинация;
е)
изпълнява други задачи, свързани със защитата на КИЕС или определени в правилата за прилагане.
Член 8
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение и правилата за неговото прилагане.
2. Компрометиране на КИЕС е налице когато в резултат от нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на органа по сигурността на Комисията.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, се осъществява проучване за надеждност в съответствие с член 13 на Решение 2015/443 (ЕС, Евратом).
5. Предприемат се всички необходими мерки за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на Съюза или на държавите членки;
г)
предприемане на подходящи мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
6. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с Правилника за длъжностните лица. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарно и/или съдебно производство в съответствие с приложимите закони, правила и подзаконови актове.
ГЛАВА 2
МЕРКИ ЗА СИГУРНОСТ ПО ОТНОШЕНИЕ НА ПЕРСОНАЛА
Член 9
Определения
За целите на настоящата глава се прилагат следните определения:
(1)
„Разрешение за достъп до КИЕС“ означава решение на органа по сигурността на Комисията, взето въз основа на уверение, предоставено от компетентен орган на държава членка, че дадено длъжностно лице на Комисията, друг служител или командирован национален експерт може да получи достъп до КИЕС на определено ниво (CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо) до конкретна дата, при условие че бъде установена „необходимост да се знае“ за това лице и то е преминало през съответен инструктаж за своите отговорности; за лицето, отговарящо на това описание, се казва, че има „издадено разрешение за достъп“.
(2)
„Издаване на разрешение за достъп на служител“ означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
а)
е необходимо да знаят;
б)
са получили разрешение за достъп за съответното ниво, когато е необходимо, и
в)
са преминали през инструктаж за своите отговорности.
(3)
„Разрешение за достъп на служител“ (РДС) означава изявление на компетентния орган на държава членка, което се прави след приключване на проучване за надеждност, извършено от компетентните органи на държавата членка, с което се удостоверява, че дадено лице може да получи достъп до КИЕС на определено ниво (CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо) до конкретна дата, при условие че бъде установена „необходимост да се знае“ за това лице и то е преминало през съответен инструктаж за своите отговорности.
(4)
„Удостоверение за разрешение за достъп на служител“ (УРДС) означава удостоверение, издадено от компетентен орган, с което се удостоверява, че дадено лице притежава валидно удостоверение за разрешение за достъп или издадено от органа по сигурността на Комисията разрешение за достъп, в което се посочва нивото на класификация на КИЕС, до което лицето може да има достъп (CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо), датата, до която е валидно съответното удостоверение или разрешение, и датата, на която изтича валидността на самото удостоверение.
(5)
„Проучване за надеждност“ означава процедури за проучване, извършвани от компетентния орган на държава членка в съответствие с нейните национални законови и подзаконови актове с цел да се получи уверение, че няма известна неблагоприятна информация, която да попречи на дадено лице да бъде издадено разрешение за достъп до определено ниво на класификация (CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо).
Член 10
Основни принципи
1. Физическо лице получава достъп до класифицирана информация само след като:
(1)
бъде установена неговата „необходимост да знае“;
(2)
е преминало инструктаж за правилата за сигурност за защита на КИЕС и съответните стандарти и насоки за сигурност и е приело своята отговорност за защитата на такава информация;
(3)
е проучено за надеждност за съответното ниво или е съответно надлежно оправомощено по силата на изпълняваните от него функции в съответствие с националните законови и подзаконови актове;
2. Всички лица, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Засегнатото лице декларира в писмен вид, че е съгласно да бъде подложено на проучване за надеждност за издаване на разрешение за достъп. Липсата на подобно съгласие означава, че лицето не може да бъде назначено да изпълнява длъжност, функция или задача, включваща достъп до информация с ниво на класификация CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо.
3. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
4. Лоялността и надеждността на дадено лице за целите на издаването на разрешение за достъп до информация с ниво на класификация CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се определят чрез провеждане на проучване за надеждност от компетентните органи на държава членка в съответствие с нейните национални законови и подзаконови актове.
5. Органът по сигурността на Комисията единствен отговаря за връзките с националните органи за сигурност (НОС) или други компетентни национални органи в контекста на всички въпроси, свързани с проучванията за надеждност. Всички контакти между службите на Комисията и НОС и други компетентни органи се осъществяват посредством органа по сигурността на Комисията.
Член 11
Процедура за издаване на разрешение за достъп
1. Всеки генерален директор или ръководител на служба в рамките на Комисията определя длъжностите в неговата служба, за които заемащите ги лица трябва да имат достъп до информация с ниво на класификация CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, за да изпълняват своите задължения и поради това е необходимо да им бъде издадено разрешение за достъп.
2. Непосредствено след като бъде установено, че дадено лице предстои да бъде назначено на длъжност, изискваща достъп до информация с ниво на класификация CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, МСС на съответната служба на Комисията уведомява органа по сигурността на Комисията, който предава въпросника за проучването за надеждност на лицето, съставен от НОС на държавата членка, чийто гражданин е лицето, назначено в структурите на европейските институции. Лицето декларира в писмен вид съгласието си да бъде подложено на процедурата на проучването за надеждност и в най-кратък срок връща на органа по сигурността на Комисията попълнения въпросник.
3. Органът по сигурността на Комисията препраща попълнения въпросник за проучването за надеждност на НОС на държавата членка, чийто гражданин е лицето, назначено в структурите на европейските институции, с искане за провеждане на проучване за надеждност за нивото на класификация на КИЕС, за което е лицето се нуждае от разрешение за достъп.
4. Когато на органа по сигурността на Комисията стане известна информация от значение за проучването за надеждност на лице, подало искане за разрешение за достъп, органът по сигурността на Комисията уведомява за това съответния НОС в съответствие с приложимите правила и разпоредби.
5. След приключването на проучването за надеждност и във възможно най-кратък срок след като бъде уведомен от съответния НОС за цялостната му оценка на резултатите от проучването за надеждност органът по сигурността на Комисията:
а)
може да издаде разрешение за достъп до КИЕС на засегнатото лице и да разреши достъп до КИЕС до съответното ниво на класификация до определена дата, посочена от него, но за не повече от 5 години, когато в резултат от проучването за надеждност се стигне до уверение, че за лицето не са известни неблагоприятни данни, които поставят под въпрос лоялността и надеждността му;
б)
когато проучването за надеждност не завърши с такова уверение, уведомява в съответствие с приложимите правила и регламенти засегнатото лице, което може да поиска да бъде изслушано от органа по сигурността на Комисията, който на свой ред може да поиска от съответния НОС да предостави повече информация в съответствие с националните му законови и подзаконови актове. В случай, че резултатите от проучването за надеждност бъдат потвърдени, разрешение за достъп до КИЕС не се издава.
6. Проучването за надеждност заедно с получените резултати се подчиняват на действащите законови и подзаконови актове на съответната държава членка в тази област, включително на актовете, отнасящи се до обжалването. Решенията на органа по сигурността на Комисията подлежат на обжалване в съответствие с Правилника за длъжностните лица.
7. Комисията приема разрешенията за достъп до КИЕС, издадени от всяка друга институция, орган или агенция на Съюза, при условие че тези разрешения все още са валидни. Разрешението обхваща всяка задача, възложена на съответното лице в рамките на Комисията. Институцията, органът или агенцията на Съюза, в която лицето започва работа, уведомява съответния НОС за промяната на работодателя.
8. Ако лицето не започне работа в рамките на 12 месеца от съобщаването на резултата от проучването за надеждност на органа по сигурността на Комисията или когато е налице прекъсване от 12 месеца, през които то не е било на работа в Комисията или в друга институция, орган или агенция на Съюза или в националната администрация на държава членка, органът по сигурността на Комисията се обръща към съответния НОС за потвърждаване на валидността и целесъобразността на разрешението за достъп.
9. Когато на органа по сигурността на Комисията стане известна информация, че физическо лице, притежател на валидно разрешение за достъп, представлява риск за сигурността, органът по сигурността уведомява за това компетентния НОС в съответствие с приложимите правила и разпоредби.
10. Когато НОС уведоми органа по сигурността на Комисията, че оттегля уверение, дадено в съответствие с параграф 5, буква а) за лице, разполагащо с валидно разрешение за достъп до КИЕС, органът по сигурността на Комисията може да отправи искане за всякакъв вид пояснения, които НОС може да предостави съгласно националните законови и подзаконови актове. Ако неблагоприятната информация бъде потвърдена от съответния НОС, разрешението за достъп се оттегля и лицето се изключва от достъп до КИЕС и от длъжности, където е възможен такъв достъп или където то може да представлява опасност за сигурността.
11. Всяко решение за отнемане или временно преустановяване на разрешение за достъп до КИЕС на всяко лице, попадащо в приложното поле на настоящото решение и, когато това е уместно, основанията за него, се съобщават на засегнатото лице, което може да поиска да бъде изслушано от органа по сигурността на Комисията. Информацията, предоставена от НОС, се подчинява на действащите законови и подзаконови актове на съответната държава членка. Решенията, взети в тази връзка от органа по сигурността на Комисията, подлежат на обжалване в съответствие с Правилника за длъжностните лица.
12. Службите на Комисията се уверяват, че националните експерти, командировани в тях на длъжност, изискваща разрешение за достъп до КИЕС, са предоставили преди назначаването си валидно РДС или удостоверение за разрешение за достъп на служител (УРДС), в съответствие с националните законови и подзаконови актове, на органа по сигурността на Комисията, който на основание на това разрешение издава разрешение за достъп до КИЕС до нивото на класификация, посочено в националното разрешение за достъп, като валидността му не може да надвишава продължителността на командироването.
13. Членовете на Комисията, които имат достъп до КИЕС по силата на изпълняваните от тях функции въз основа на Договора преминават инструктаж във връзка със задълженията им по защитата на КИЕС.
14. Документите, свързани с проучванията за надеждност и издадените разрешения за достъп до КИЕС се съхраняват от органа по сигурността на Комисията в съответствие с настоящото решение. Като минимум регистрите съдържат информация за нивото на КИЕС, до което може да бъде даден достъп на лицето, датата на издаване на разрешението за достъп и срокът му на валидност.
15. Органът по сигурността на Комисията може да издаде УРДС, в което са посочени нивото на класификация на КИЕС, до което лицето може да получи достъп (CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо), срокът на валидност на съответното разрешение за достъп до КИЕС и датата на изтичане на валидността на самото удостоверение.
16. След първоначалното издаване на разрешение за достъп и при условие че лицето не е прекъсвало работата си в Европейската комисия или в друга институция, орган или агенция на Съюза и все още има нужда от достъп до КИЕС, разрешението за достъп до КИЕС се подлага на преразглеждане с цел неговото подновяване, което по правило се извършва на всеки пет години, считано от датата на уведомлението за последното проучване за надеждност, въз основа на което е издадено.
17. Органът по сигурността на Комисията може да удължи срока на валидност на издадено разрешение за достъп с до 12 месеца, ако от съответния НОС не е получена неблагоприятна информация в рамките на два месеца, считано от датата на представяне на искането за подновяване и съответния въпросник за проучването за надеждност. В случай, че при изтичането на този 12-месечен срок съответният НОС или компетентен национален орган не е уведомил органа по сигурността на Комисията за своето становище, на лицето се възлагат задачи, за чието изпълнение не е необходимо разрешение за достъп.
Член 12
Инструктажи във връзка с издаването на разрешение за достъп
1. След преминаването на инструктаж във връзка с издаването на разрешение за достъп, организиран от органа по сигурността на Комисията, всички лица, на които е издадено разрешение за достъп декларират писмено, че са запознати със задълженията си по отношение на защитата на КИЕС и последиците от компрометиране на КИЕС. Органът по сигурността на Комисията съхранява тези декларации.
2. Всички лица, които имат разрешение за достъп до КИЕС или от които се изисква да работят с КИЕС, получават първоначална информация и биват впоследствие редовно информирани относно заплахите за сигурността и са длъжни незабавно да докладват на органа по сигурността на Комисията за всеки подход или дейност, които считат за подозрителни или необичайни.
3. Всички лица, които престават да изпълняват задължения, изискващи достъп до КИЕС, биват информирани за задълженията им да продължат да опазват КИЕС, за което при нужда подписват декларация.
Член 13
Временни разрешения за достъп
1. При извънредни обстоятелства, когато това е надлежно оправдано от интереса на работата и до завършване на цялостното проучване за надеждност, органът по сигурността на Комисията, след консултация с НОС на държавата членка, чийто гражданин е лицето и в зависимост от резултата от предварителната проверка за удостоверяване, че няма неблагоприятна информация, може да разреши на лицето временен достъп до КИЕС за изпълнение на конкретни задължения, без това да засяга разпоредбите относно подновяването на разрешенията за достъп. Временното разрешение за достъп до КИЕС има еднократна валидност, която не надвишава шест месеца и не дава право на достъп до информация с ниво на класификация за сигурност TRES SECRET UE/EU TOP SECRET.
2. След като преминат инструктаж в съответствие с член 12, параграф 1, всички лица, на които е издадено временно разрешение за достъп декларират писмено, че са запознати със задълженията си по отношение на защитата на КИЕС и последиците от компрометирането на КИЕС. Органът по сигурността на Комисията съхранява тези декларации.
Член 14
Участие в класифицирани заседания, организирани от Комисията
1. Службите на Комисията, отговарящи за организирането на заседания, на които ще се обсъжда информация с ниво на класификация CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо информират чрез своя МСС или чрез организатора на заседанието органа по сигурността на Комисията достатъчно рано за датата, часа, мястото и участниците в такива заседания.
2. При спазване на разпоредбите на член 11, параграф 13 лица, на които е възложено да участват в заседания, организирани от Комисията, на които ще се обсъжда информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се допускат до участие само след потвърждаване на статуса им на лица с разрешение за достъп. Достъп до такива заседания се отказва на лица, за които на органа по сигурността на Комисията не е представен УРДС или друго доказателство за наличие на разрешение за достъп, както и на участници от Комисията, които не притежават разрешение за достъп.
3. Преди организирането на класифицирано заседание отговорникът за организирането му или МСС на службата на Комисията, която организира заседанието, изискват от външните участници да представят на органа по сигурността на Комисията УРДС или друго доказателство за наличие на разрешение за достъп. Органът по сигурността на Комисията информира МСС или организатора на заседанието за получените УРДС или други доказателства за разрешения за достъп. Когато е приложимо, може да се използва единен списък с имена, който да предоставя съответно доказателство за разрешение за достъп.
4. Когато компетентните органи уведомят органа по сигурността на Комисията за оттегляне на УДС на лице, чиито задължения налагат участието му в заседания, организирани от Комисията, органът по сигурността на Комисията уведомява МСС на службата на Комисията, отговорна за организирането на заседанието.
Член 15
Потенциален достъп до КИЕС
Куриерите, охранителите и придружителите преминават през проучване за надеждност на съответното ниво или се проучват по други начини в съответствие с националните законови и подзаконови актове, биват инструктирани относно процедурите за сигурност за защита на КИЕС и получават указания за задълженията им във връзка със защитата на поверената им информация.
ГЛАВА 3
ФИЗИЧЕСКА СИГУРНОСТ ЗА ЗАЩИТА НА КЛАСИФИЦИРАНА ИНФОРМАЦИЯ
Член 16
Основни принципи
1. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят чрез процедура за оценка на риска, в съответствие с настоящото решение и правилата за неговото прилагане.
2. По-конкретно, мерките за физическа сигурност са предназначени да предотвратяват неразрешен достъп до КИЕС, като:
а)
гарантират, че работата с КИЕС и нейното съхранение се извършват по подходящ начин;
б)
дават възможност за разграничаване на служителите по отношение на достъпа до КИЕС на основание „необходимост да се знае“ и, където това е подходящо, според вида на разрешението им за достъп;
в)
възпират, препятстват и разкриват неразрешени действия; и
г)
предотвратяват или забавят тайно или насилствено проникване на нарушители.
3. Мерки за физическа сигурност се въвеждат във всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително в зони, в които се помещават комуникационни и информационни системи съгласно определението в Глава 5.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с настоящата глава и се одобряват от органа по акредитиране сигурността на Комисията.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено устройства или оборудване одобрени от органа по сигурността на Комисията.
Член 17
Изисквания и мерки за физическа сигурност
1. Мерките за физическа сигурност се избират въз основа на оценка на заплахите, изготвена от органа по сигурността на Комисията, при необходимост в консултация с други служби на Комисията, други институции, агенции или органи на Съюза и/или компетентните органи на държавите членки. Комисията прилага процес на управление на риска за защита на КИЕС в помещенията си, за да гарантира, че съобразно оценения риск се осигурява съразмерно равнище на физическа защита. В процеса на управление на риска се вземат предвид всички необходими фактори, и по-специално:
а)
нивото на класификация на КИЕС;
б)
формата и обемът на КИЕС, като се отчита, че за големи количества или масиви от КИЕС може да се наложи прилагане на по-строги защитни мерки;
в)
заобикалящата среда и конструкцията на сградите или зоните, в които се съхранява КИЕС; и
г)
оценката на заплахите, произтичащи от действия на разузнавателни служби, насочени срещу Съюза, неговите институции, органи или агенции, или държавите членки, както и от саботажи, терористична, подривна или друг вид престъпна дейност.
2. Органът по сигурността на Комисията, като прилага концепцията за защита в дълбочина, определя подходящото съчетание от мерки за физическа сигурност, които да се приложат. За тази цел органът по сигурността на Комисията разработва минимални стандарти, норми и критерии, посочени в правилата за прилагане.
3. Органът по сигурността на Комисията има право да извършва претърсване на влизащите или излизащите, което действа като възпиращ фактор по отношение на неразрешено внасяне на материали или изнасяне на КИЕС от помещения или сгради.
4. При наличие на риск от пренебрегване на КИЕС, било то по случайност, съответните служби на Комисията предприемат подходящи мерки, определени от органа по сигурността на Комисията, за справяне с този риск.
5. Изискванията за физическа сигурност и функционалните спецификации на нови съоръжения се определят със съгласието на органа по сигурността на Комисията като част от планирането и проектирането на тези съоръжения. Изискванията за физическа сигурност на съществуващи съоръжения се прилагат в съответствие с минималните стандарти, нормите и критериите, посочени в правилата за прилагане.
Член 18
Оборудване за физическа защита на КИЕС
1. За физическа защита на КИЕС се създават два вида физически защитени зони:
а)
административни зони; и
б)
зони за сигурност (включително технически зони за сигурност).
2. Органът по акредитиране на сигурността на Комисията определя дали дадена зона отговаря на изискванията за административна зона, зона за сигурност или техническа зона за сигурност.
3. За административните зони:
а)
се определя видимо очертан периметър, който да позволява проверка на лицата и при възможност - на превозните средства;
б)
непридружен достъп се разрешава само на лица, надлежно оправомощени от органа по сигурността на Комисията или друг компетентен орган; и
в)
всички останали лица се придружават по всяко време или подлежат на равностойни проверки.
4. За зоните за сигурност:
а)
се определя видимо очертан и защитен периметър, чрез който се контролират всички влизания и излизания чрез пропуски или система за индивидуално разпознаване;
б)
достъп без придружител се предоставя само на лица, които имат разрешение за достъп и са конкретно оправомощени да влизат в зоната на основание „необходимост да се знае“;
в)
всички останали лица се придружават по всяко време или подлежат на равностойни проверки.
5. Когато влизането в зона за сигурност представлява на практика пряк достъп до класифицираната информация в нея, се прилагат следните допълнителни изисквания:
а)
обозначава се ясно най-високото ниво на класификация за сигурност на информацията, която обикновено се намира в зоната;
б)
всички посетители трябва да имат конкретно разрешение за влизане в зоната, те се придружават непрекъснато и са преминали през съответното проучване за надеждност, освен ако не са взети мерки да се гарантира, че достъпът до КИЕС е невъзможен.
6. Зони за сигурност, защитени срещу подслушване, се определят за технически зони за сигурност. Прилагат се следните допълнителни изисквания:
а)
такива зони се оборудват с алармени системи против проникване (IDS), стоят заключени, когато не се ползват, и са под охрана, когато се ползват. Контролът на ключовете за тях се осъществява в съответствие с член 20;
б)
всички лица и материали, влизащи в такива зони, подлежат на контрол;
в)
органът по сигурността на Комисията осъществява редовни физически и/или технически проверки на тези зони. Такива проверки се извършват и след всяко неразрешено влизане или при подозрение за такова влизане; и
г)
в такива зони няма неразрешени линии за комуникации, неразрешени телефони или други неразрешени комуникационни средства и електрическо или електронно оборудване.
7. Независимо от параграф 6, буква г), преди да се използват в зони, в които се провеждат заседания или се извършва дейност, включваща работа с информация с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо, и където степента на заплаха за КИЕС се оценява като висока, комуникационните средства и електрическото или електронното оборудване най-напред се проверяват от органа по сигурността на Комисията, за да се гарантира, че с това оборудване не може да се предаде, неволно или неправомерно, разбираема информация отвъд периметъра на зоната за сигурност.
8. Зоните за сигурност, в които няма денонощно присъствие на дежурен персонал, се проверяват, когато това е уместно, в края на установеното работно време и на произволни интервали извън установеното работно време, освен ако не е инсталирана алармена система против проникване.
9. Зони за сигурност и технически зони за сигурност могат да бъдат временно създадени в рамките на административна зона за целите на класифицирано заседание или други подобни цели.
10. МСС на съответната служба на Комисията изготвя оперативни процедури за сигурност (ОПС) за всяка зона за сигурност, за която отговаря, като посочва, в съответствие с разпоредбите на настоящото решение и правилата за неговото прилагане:
а)
нивото на класификация на КИЕС, с която може да се работи и която може да се съхранява в зоната;
б)
мерките за наблюдение и защита, които да се поддържат;
в)
лицата, които имат право на непридружен достъп до зоната на основание „необходимост да се знае“ и разрешение за достъп;
г)
ако е уместно, процедури за придружаване или за защита на КИЕС, когато се разрешава достъп на други лица до зоната;
д)
всякакви други подходящи мерки и процедури.
11. В рамките на зоните за сигурност се изграждат блиндирани помещения. Стените, подовете, таваните, прозорците и вратите с ключалки се одобряват от органа по сигурността на Комисията и осигуряват защита, равностойна на тази на сейф от категорията, одобрена за съхранение на КИЕС със същото ниво на класификация за сигурност.
Член 19
Физически защитни мерки за работна с КИЕС и нейното съхранение
1. С КИЕС с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED може да се работи:
а)
в зона за сигурност,
б)
в административна зона, при условие че КИЕС е защитена срещу достъп от страна на неоправомощени лица, или
в)
извън зона за сигурност или административна зона, при условие че притежателят пренася КИЕС в съответствие с член 31 и се е ангажирал да спазва компенсаторните мерки, посочени в мерките за прилагане, за да се гарантира, че КИЕС е защитена срещу достъп от страна на неоправомощени лица.
2. КИЕС с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED се съхранява в подходящи заключващи се офис мебели в административна зона или в зона за сигурност. Тя може да се съхранява временно извън административна зона или зона за сигурност, при условие че притежателят се е ангажирал да спазва компенсаторните мерки, посочени в правилата за прилагане.
3. С КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET може да се работи:
а)
в зона за сигурност;
б)
в административна зона, при условие че КИЕС е защитена срещу достъп от страна на неоправомощени лица; или
в)
извън зона за сигурност или административна зона, при условие че притежателят:
i)
се е ангажирал да спазва компенсаторните мерки, посочени в правилата а прилагане, за да се гарантира, че КИЕС е защитена срещу достъп от страна на неоправомощени лица;
ii)
непрекъснато контролира лично КИЕС; и
iii)
в случай че документите са на хартиен носител, е уведомил за това съответната регистратура.
4. КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и SECRET UE/EU SECRET се съхранява в зона за сигурност в сейф или блиндирано помещение.
5. С КИЕС с ниво на класификация за сигурност TRES SECRET UE/EU TOP SECRET се работи в зона за сигурност, създадена и поддържана от органа по сигурността на Комисията и акредитирана за това ниво на класификация от органа по акредитиране на сигурността на Комисията.
6. КИЕС с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се съхранява в зона за сигурност, акредитирана за това ниво на класификация от органа по акредитиране на сигурността на Комисията, при някое от следните условия:
а)
в сейф, съобразно разпоредбите на член 18, с една или повече от следните допълнителни мерки за контрол:
(1)
постоянна защита или проверки от охранители или дежурни служители с разрешение за достъп;
(2)
одобрена алармена система против проникване, в съчетание със служители за охрана и реагиране;
или
б)
в блиндирани помещения, оборудвани с алармени системи против проникване, в съчетание със служители за охрана и реагиране.
Член 20
Контрол на ключовете и комбинациите, използвани за защита на КИЕС
1. Процедурите за контрол на ключовете и шифровите комбинации за офисите, залите, блиндираните помещения и сейфовете се установяват в правилата за прилагане в съответствие с член 60 по-долу. Тези процедури осигуряват защита срещу неразрешен достъп.
2. Шифровите комбинации се запаметяват от възможно най-малък брой лица на основание „необходимост да се знае“. Шифровите комбинации за сейфовете и блиндираните помещения, в които се съхранява КИЕС, се променят:
а)
при получаване на нов сейф;
б)
винаги когато има смяна на служител, на когото е известна комбинацията;
в)
в случай на компрометиране или подозрение за компрометиране на информация;
г)
когато дадена ключалка е преминала през поддръжка или ремонт; и
д)
най-малко на всеки 12 месеца.
ГЛАВА 4
УПРАВЛЕНИЕ НА КЛАСИФИЦИРАНА ИНФОРМАЦИЯ НА ЕС
Член 21
Основни принципи
1. Всички документи, представляващи КИЕС, се управляват в съответствие с политиката на Комисията по отношение на управлението на документацията и впоследствие се регистрират, завеждат, съхраняват и накрая се унищожават, прави им се извадка или се прехвърлят в историческия архив в съответствие с общия за Комисията списък за съхранение на досиета на Европейската комисия.
2. Информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността преди нейното разпространение и при получаването ѝ. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. В Комисията се създава система от регистратури на КИЕС в съответствие с разпоредбите на член 27.
4. Службите и помещенията на Комисията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от органа по сигурността на Комисията.
5. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
по правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с Глава 5;
б)
когато не се използват средствата, посочени в буква а), КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с Глава 5; или
ii)
във всички останали случаи, според предписанията на правилата за прилагане.
Член 22
Класификация и обозначения
1. Информацията се класифицира, когато е необходимо да бъде защитена от съображения за поверителност, в съответствие с член 3, параграф 1.
2. Създателят на КИЕС отговаря за определянето на нивото на класификацията за сигурност, в съответствие със съответните правила за прилагане, както и за първоначалното разпространение на информацията.
3. Нивото на класификация на КИЕС се определя в съответствие с член 3, параграф 2 и при спазване на съответните правила за прилагане.
4. Класификацията за сигурност се посочва ясно и точно, независимо дали КИЕС е на хартия, в устна, електронна или друга форма.
5. Отделни части от даден документ (т.е. страници, параграфи, раздели, приложения, допълнения, добавки и притурки) може да изискват различно ниво на класификация за сигурност, за което се поставя съответният гриф, включително когато се съхраняват в електронен вид.
6. Нивото, на което се класифицира даден документ или файл, е не по-ниско от най-високото ниво на класификация за сигурност на негов елемент. Когато се обединява информация от различни източници, се прави преглед на окончателния продукт, за да се определи цялостното ниво на класификация за сигурност, тъй като може да е необходимо той да бъде с по-високо ниво на класификация от това на съставните му части.
7. Доколкото е възможно, документите, съдържащи части с различни нива на класификация, се структурират така, че частите с различни нива на класификация да могат лесно да се идентифицират и отделят при необходимост.
8. Класификацията на писмо или записка, включващи приложения, съответства на най-високата степен на класификация на тези приложения. Създателят ясно обозначава нивото на класификация на основния документ без приложенията, като използва подходящ гриф, например:
CONFIDENTIEL UE/EU CONFIDENTIAL
без приложение(я) RESTREINT UE/EU RESTRICTED.
Член 23
Обозначения
В допълнение към един от грифовете за сигурност, посочени в член 3, параграф 2, КИЕС може да носи допълнителни обозначения, като:
а)
знак за идентифициране на създателя на информацията;
б)
предупредително обозначение, кодови думи или акроними, уточняващи областта, до която се отнася документът, конкретното разпределение на документа на основание „необходимост да се знае“ или ограниченията за ползването му;
в)
обозначение, уточняващо условията за предоставяне;
г)
когато е приложимо, датата или конкретното събитие, след които нивото на класификация може да бъде понижено или премахнато.
Член 24
Съкратено обозначаване на класификацията
1. За обозначаване на нивото на класификация на отделни параграфи от текста могат да се използват стандартни съкращения на нивата на класификация. Пълното название на грифовете за сигурност не се заменя със съкратени обозначения.
2. В класифицирани документи на ЕС за обозначаване на нивото на класификация на раздели или части от текст, по-малки от една страница, могат да се използват следните стандартни съкращения:
TRÉS SECRET UE/EU TOP SECRET
TS-UE/EU-TS
SECRET UE/EU SECRET
S-UE/EU-S
CONFIDENTIEL UE/EU CONFIDENTIAL
C-UE/EU-C
RESTREINT UE/EU RESTRICTED
R-UE/EU-R
Член 25
Създаване на КИЕС
1. При създаване на класифициран документ на ЕС:
а)
върху всяка страница се отбелязва ясно нивото на класификация;
б)
всяка страница се номерира;
в)
върху документа се отбелязват регистрационният му номер и за какво се отнася, които сами по себе си не представляват класифицирана информация, освен ако не са обозначени като такава;
г)
върху документа се поставя дата;
д)
на всяка страница на документи с ниво на класификация за сигурност SECRET UE/EU SECRET или по-високо се обозначава номерът на копието, ако документите се разпространяват в няколко екземпляра.
2. При невъзможност за прилагане на параграф 1 към КИЕС се вземат други подходящи мерки в съответствие с правилата за прилагане.
Член 26
Понижаване на нивото на класификация и декласификация на КИЕС
1. При създаването на информацията създателят обозначава, когато е възможно, дали класификацията на КИЕС може да бъде понижена или премахната на определена дата или след настъпване на определено събитие.
2. Всяка служба на Комисията извършва редовен преглед на КИЕС, на която е създател, за да установи дали нивото на класификация продължава да е приложимо. Посредством правилата за прилагане се създава система за преразглеждане на нивото на класификация на регистрираната КИЕС, създадена от Комисията, не по-рядко от всеки пет години. Такъв преглед не се налага, ако от самото начало създателят е посочил, че нивото на класификация на информацията ще бъде автоматично понижено или че класификацията ще бъде премахната и информацията носи съответното обозначение.
3. Информация с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED, създадена от Комисията, се декласифицира автоматично след тридесет години, в съответствие с Регламент (ЕИО, Евратом) № 354/83 на Съвета, изменен с Регламент (ЕО, Евратом) № 1700/2003 на Съвета (10).
Член 27
Система от регистратури на КИЕС в Комисията
1. Без да се засягат разпоредбите на член 52, параграф 5 по-долу, във всяка служба на Комисията, която работи с КИЕС или съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и SECRET UE/EU SECRET, се създава местна регистратура на КИЕС, за да се гарантира, че с КИЕС се работи в съответствие с разпоредбите на настоящото решение.
2. Управляваната от генералния секретариат регистратура на КИЕС е централната регистратура на КИЕС на Комисията. Тя действа като:
-
местна регистратура на КИЕС за генералния секретариат на Комисията;
-
регистратура на КИЕС за кабинетите на членовете на Комисията, освен ако те не разполагат с отделна местна регистратура;
-
регистратура на КИЕС за генералните дирекции или службите, които не разполагат с местна регистратура на КИЕС;
-
основен входен и изходен пункт за всичката информация с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED и по-високо, включително SECRET UE/EU SECRET, която Комисията и нейните служби обменят с трети страни и международни организации и, при наличие на специфични условия, с други институции, агенции и органи на Съюза.
3. Органът по сигурността на Комисията определя регистратура, която да играе ролята на централен орган за получаване и изпращане на информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET. При необходимост могат да се определят и подчинени регистратури, в които да се работи с такава информация с цел регистрация.
4. Тези подчинени регистратури не могат да предават документи с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET пряко на други регистратури, подчинени на същата централна регистратура за документи с класификация TRÉS SECRET UE/EU TOP SECRET, или на външни получатели без изричното писмено одобрение на последната.
5. Регистратурите на КИЕС имат статут на зони за сигурност по смисъла на Глава 3 и се акредитират от органа по акредитиране на сигурността на Комисията (ОАС).
Член 28
Ръководител на регистратурата
1. Всяка регистратура на КИЕС се управлява от ръководител на регистратурата (РР).
2. Ръководителят на регистратурата е преминал подходяща проверка за надеждност.
3. МСС на съответната служба на комисията осъществява надзор върху работата на ръководителя на регистратурата по отношение на прилагането на разпоредбите относно работата с КИЕС и спазването на приложимите правила, стандарти и насоки за сигурност.
4. Като част от задълженията си по управлението на поверената му регистратура на КИЕС ръководителят на регистратурата поема следните общи задачи в съответствие с разпоредбите на настоящото решение и съответните правила за прилагане, стандарти и насоки:
-
ръководи дейностите, свързани с регистрирането, съхраняването, възпроизвеждането, превеждането, предаването, изпращането и унищожаването или прехвърлянето в историческия архив на КИЕС;
-
проверява периодично необходимостта от запазване на нивото на класификация на информацията;
-
изпълнява всякакви други задачи, свързани със защитата на КИЕС, определени в правилата за прилагане.
Член 29
Регистрация на КИЕС за целите на сигурността
1. За целите на настоящото решение регистрация за целите на сигурността (наричана по-долу „регистрация“) означава прилагането на процедури за отбелязване на жизнения цикъл на КИЕС, включително нейното разпространение.
2. Всяка информация или материал с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо се регистрира в определени за целта регистратури при постъпването ѝ в дадена организационна единица и при излизането ѝ от нея.
3. При работа с КИЕС или при съхраняване на КИЕС посредством комуникационна и информационна система (КИС), процедурите по регистрацията може да се изпълняват от процеси в самата КИС.
4. Регистрацията на КИЕС за целите на сигурността е уредена по-подробно в правилата за прилагане.
Член 30
Копиране и превеждане на класифицирани документи на ЕС
1. Документи с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET не може да се копират или превеждат без предварителното писмено съгласие на създателя им.
2. Когато създателят на документи с ниво на класификация за сигурност SECRET UE/EU SECRET и по-ниско не е поставил предупредителни обозначения за тяхното копиране или превеждане, документите могат да бъдат копирани или превеждани по указание на притежателя.
3. Мерките за сигурност, приложими към оригиналния документ, се прилагат и за неговите копия и преводи.
Член 31
Пренасяне на КИЕС
1. КИЕС се пренася по начин, който я предпазва от неразрешено разкриване по време на пренасянето.
2. При пренасянето на КИЕС се предприемат защитни мерки, които:
-
са съразмерни с нивото на класификация за сигурност на пренасяната КИЕС; и
-
са адаптирани към конкретните условия на пренасянето ѝ, по-конкретно дали КИЕС се пренася:
-
в рамките на сграда на Комисията или на самостоятелна група от сгради на Комисията;
-
между сгради на Комисията, намиращи се в една и съща държава членка;
-
в рамките на Съюза;
-
от територията на Съюза до територията на трета държава; и
-
са адаптирани към естеството и формата на КИЕС.
3. Тези защитни мерки се уреждат подробно в правилата за прилагане или, в случай на проекти и програми по смисъла на член 42, като неразделна част от съответните инструкции за сигурност на програмата или проекта (ИСП).
4. Правилата за прилагане или ИСП включват разпоредби, съразмерни с нивото на класификация на КИЕС, относно:
-
начина на пренасяне, като пренасяне на ръка, пренасяне от дипломатически или военен куриер, пренасяне с пощенска служба или платена куриерска услуга;
-
опаковането на КИЕС;
-
техническите контрамерки за КИЕС, пренасяна на електронен носител;
-
всички останали процедурни, физически или електронни мерки;
-
процедурите за регистрация;
-
използването на служители, преминали проучване за надеждност.
5. Когато КИЕС се пренася на електронен носител и независимо от разпоредбите на член 21, параграф 5, защитните мерки, посочени в съответните правила за прилагане могат да бъдат допълнени с подходящи технически контрамерки, одобрени от органа по сигурността на Комисията, така че да се сведе до минимум рискът тя да бъде загубена или компрометирана.
Член 32
Унищожаване на КИЕС
1. Класифицирани документи на ЕС, които вече не са необходими, могат да бъдат унищожени, като се вземат предвид разпоредбите за архивиране и правилата и разпоредбите на Комисията за управлението на документацията и архивирането, и по-специално общият за Комисията списък за съхранение.
2. КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо се унищожават от ръководителя на отговарящата за тях регистратура на КИЕС по указание на притежателя или на компетентен орган. Ръководителят на регистратурата актуализира съответно дневниците и останалата информация за регистрацията.
3. Унищожаването на документи с ниво на класификация за сигурност SECRET UE/EU SECRET или TRÉS SECRET UE/EU TOP SECRET се извършва от ръководителя на регистратурата в присъствието на свидетел, който притежава разрешение за достъп до ниво на класификация за сигурност най-малко на нивото на документа, който се унищожава.
4. Регистраторът и свидетелят, когато се изисква присъствие на такъв, подписват удостоверение за унищожаване, което се завежда в регистратурата. Ръководителят на съответната регистратура на КИЕС съхранява удостоверенията за унищожаване на документи с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET за срок от най-малко 10 години, а на документи с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET - за срок от най-малко пет години.
5. Класифицирани документи, включително с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED, се унищожават по начини, определени в правилата за прилагане и отговарящи на съответните стандарти на ЕС или равностойни на тях.
6. Компютърни средства за съхранение на КИЕС се унищожават в съответствие с процедурите, установени в правилата за прилагане.
Член 33
Унищожаване на КИЕС в извънредни ситуации
1. Службите на Комисията, които притежават КИЕС, изготвят планове въз основа на местните условия за опазване на класифицирани материали на ЕС при криза, включващи при необходимост планове за спешно унищожаване и евакуация. Те издават необходимите указания за предотвратяване на попадането на КИЕС в ръцете на неоправомощени лица.
2. Мерките за безопасно съхраняване и/или унищожаване на материали с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и SECRET UE/EU SECRET по време на криза не следва при никакви обстоятелства да се отразяват неблагоприятно на безопасното съхраняване или на унищожаването на материали с ниво на класификация са сигурност TRÉS SECRET UE/EU TOP SECRET, включително и на шифриращото оборудване, чието третиране има предимство пред всички останали задачи.
3. При извънредна ситуация и наличие на непосредствен риск от неразрешено разкриване КИЕС се унищожава от притежателя ѝ по начин, който прави невъзможно цялостното или частичното възстановяване на информацията. Създателят на информацията и регистърът, от който е получена информацията, биват информирани за извънредната ситуация, наложила унищожаването на КИЕС.
4. Унищожаването на КИЕС е уредено по-подробно в правилата за прилагане.
ГЛАВА 5
ЗАЩИТА НА КЛАСИФИЦИРАНА ИНФОРМАЦИЯ НА ЕС В КОМУНИКАЦИОННИ И ИНФОРМАЦИОННИ СИСТЕМИ (КИС)
Член 34
Основни принципи на осигуреността на информацията
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират както и когато е необходимо, под контрола на легитимни ползватели.
2. Ефективната осигуреност на информацията гарантира подходящи равнища на:
автентичност
:
гаранцията, че информацията е истинска и произтича от bona fide източници;
достъпност
:
характеристиката на информацията да бъде достъпна и използваема при поискване от оправомощена единица;
поверителност
:
характеристиката, че информацията не е разкрита на неоправомощени лица, единици или процеси;
цялост
:
характеристиката, че информацията и активите са запазили точността и пълнотата си;
невъзможност за отказ
:
способността да се докаже, че дадено действие или събитие действително е настъпило, така че това действие или събитие да не може впоследствие да бъде отречено.
3. ОИ се основава на процес за управление на риска.
Член 35
Определения
За целите на настоящата глава се прилагат следните определения:
а)
„Акредитация“ означава издаването от органа по акредитиране на сигурността (ОАС) на официално разрешение и одобрение комуникационна и информационна система от да обработва КИЕС в нейната операционна среда, след официалното потвърждаване на плана за сигурност и правилното му прилагане.
б)
„Процес на акредитация“ означава необходимите стъпки и задачи преди акредитирането от органа по акредитиране на сигурността. Тези стъпки и задачи се конкретизират в стандарт за процес на акредитация.
в)
„Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с информация в електронна форма. Една комуникационна и информационна система обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси.
г)
„Остатъчен риск“ означава рискът, който продължава да съществува след прилагане на мерките за сигурност, предвид факта, че не може да се противодейства на всички заплахи и че не всички видове уязвимост могат да бъдат премахнати.
д)
„Риск“ означава възможността дадена заплаха да използва вътрешни или външни видове уязвимост на дадена организация или на някоя от системите, които тази организация използва, и по този начин да нанесе вреди на организацията и на нейните материални или нематериални активи. Рискът се измерва като съчетание от вероятността от осъществяване на заплахи и тяхното въздействие.
е)
„Приемане на риска“ означава решение за приемане на продължаващото съществуване на остатъчен риск след третиране на риска.
ж)
„Оценка на риска“ - състои се от установяване на заплахите и видовете уязвимост и от анализ на свързаните с тях рискове, т.е. анализ на вероятността и въздействието.
з)
„Съобщаване за риска“ - изразява се в повишаване на осведомеността за рисковете сред общностите от ползватели на КИС, информиране за такива рискове на органите, които дават одобрение, и докладване за тях на оперативните органи.
и)
„Третиране на риска“ - изразява се в смекчаване, отстраняване, намаляване (чрез подходящо съчетание от технически, физически, организационни или процедурни мерки), прехвърляне или наблюдение на риска.
Член 36
Работа с КИЕС в КИС
1. КИС работят с КИЕС в съответствие с концепцията за ОИ.
2. За КИС, в които се работи с КИЕС, съответствието с политиката на сигурност по отношение на информационните системи на Комисята, посочена в Решение C(2006) 3602 (11) на Комисията, означава че:
а)
подходът „планирай-направи-провери-действай“ се прилага към осъществяването на политиката за сигурност на информационните системи през целия жизнен цикъл на информационната система;
б)
нуждите на сигурността трябва да бъдат определени чрез оценка на въздействието върху работата;
в)
информационната система и данните в нея трябва да бъдат подложени на официална класификация на активите;
г)
трябва да се прилагат всички задължителни мерки за сигурност, определени в политиката за сигурност на информационните системи;
д)
трябва да се прилага процес за оценка на риска, състоящ се от следните стъпки: определяне на заплахите и уязвимостите; оценка на риска; третиране на риска; приемане на риска и съобщаване на риска;
е)
изготвен е, прилага се, проверява се и се преразглежда план за сигурност, включващ политиката за сигурност и оперативните процедури за сигурност.
3. Всички служители, участващи в проектирането, разработването, изпитването, функционирането, управлението или ползването на КИС, в които се работи с КИЕС, уведомяват ОАС за всички потенциални слабости в сигурността, инциденти, нарушения на сигурността или случаи на компрометиране на сигурността, които биха могли да окажат въздействие върху защитата на КИС и/или съдържащата се в тях КИЕС.
4. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
отдава се предпочитание на продукти, одобрени от Съвета или от Генералния секретар на Съвета в качеството му на орган за криптографско одобрение на Съвета, по препоръка на Експертната група по сигурността на Комисията;
б)
когато това е обосновано от специфични оперативни съображения, органът за криптографско одобрение (ОКО) на Комисията може, по препоръка на Експертната група по сигурността на Комисията, да отмени изискванията по буква а) и да издаде временно одобрение за конкретен период.
5. При предаване, обработване и съхраняване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации след одобряването им от ОКО.
6. С цел защита на КИС, в които се работи с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо по начин, който да не допуска информацията да бъде компрометирана чрез неумишлени електромагнитни излъчвания се прилагат мерки за сигурност на информацията („мерки за сигурност по TEMPEST“). Тези мерки за сигурност са съизмерими с риска от експлоатация и нивото на класификация на информацията.
7. Органът по сигурността на Комисията изпълнява следните функции:
-
орган по ОИ (ООИ);
-
орган по акредитиране на сигурността (ОАС);
-
орган по TEMPEST (ОТ);
-
орган за криптографско одобрение (ОКО);
-
орган за разпределение на криптографски материали (ОРКМ).
8. Органът по сигурността на Комисията определя оперативен орган по ОИ за всяка система.
9. Отговорностите на функциите, описани в параграфи 7 и 8, се определят в правилата за прилагане.
Член 37
Акредитация на КИС, работещи с КИЕС
1. Всички КИС, в които се работи с КИЕС, преминават през процес на акредитация, основаващ се на принципите на ОИ, чиято задълбоченост трябва да бъде съразмерна с равнището на необходимата защита.
2. Процесът на акредитация включва официално валидиране от органа по акредитиране на сигурността на плана за сигурност на съответната КИС, за да се получат гаранции, че:
а)
посоченият в член 36, параграф 2 процес на управление на риска се осъществява правилно;
б)
собственикът на системата е информиран за остатъчния риск и го е приел;
в)
е постигнато достатъчно ниво на защита на КИС и на КИЕС, в която се работи в нея, в съответствие с настоящото решение.
3. Органът по акредитиране на сигурността на Комисията издава декларация за акредитация, в която се определя най-високото ниво на класификация за сигурност на КИЕС, с която може да се работи в дадена КИС, както и съответните изисквания и условия за това. Това не засяга задачите, възложени на Съвета по акредитиране на сигурността по смисъла на член 11 от Регламент (ЕС) № 512/2014 на Европейския парламент и на Съвета (12).
4. Акредитацията на КИС на Комисията, в които участват няколко страни, се извършва от съвместен Съвет по акредитиране на сигурността (САС). Той се състои от представител на ОАС на всяка участваща страна и се председателства от представител на ОАС на Комисията.
5. Процесът на акредитация се състои от редица задачи, които се изпълняват от участващите страни. Отговорност за изготвянето на акредитационните досиета и документи носи изцяло собственикът на КИС.
6. Отговорност за акредитацията носи ОАС на Комисията, който във всеки момент от жизнения цикъл на КИС има право:
а)
да поиска да бъде извършен процес на акредитация;
б)
да одитира или инспектира КИС;
в)
в случай, че е настъпила липса на съответствие с условията на експлоатация, да поиска да бъде разработен и ефективно приложен план за подобряване на сигурността в рамките на добре разчетен във времето график, като евентуално оттегли разрешението за експлоатация на КИС до възстановяването на съответствието с условията на експлоатация.
7. Процесът на акредитация се установява чрез стандарт за процес на акредитация на КИС, в които се работи с КИЕС, който се приема в съответствие с член 10, параграф 3 от Решение C(2006) 3602.
Член 38
Извънредни обстоятелства
1. Независимо от разпоредбите на настоящата глава, описаните по-долу специални процедури могат да се прилагат в извънредни ситуации, например по време на предстояща или настояща криза, конфликт, състояние на война или при извънредни оперативни обстоятелства.
2. КИЕС може да се предава, като се използват криптографски продукти, одобрени за по-ниско ниво на класификация за сигурност, или без да се криптира, със съгласието на компетентния орган, в случай че евентуално забавяне би причинило очевидно по-голяма вреда от тази, произтичаща от разкриване на класифицирания материал, и ако:
а)
изпращачът и получателят не притежават необходимите уреди за криптиране; и
б)
класифицираният материал не може да бъде изпратен своевременно с други средства.
3. Класифицираната информация, предавана при описаните в параграф 1 обстоятелства, не носи грифове за сигурност или обозначения, които да я отличават от некласифицираната информация или от информацията, която може да бъде защитена с наличен криптографски продукт. Получателите се уведомяват незабавно за нивото на класификация с други средства.
4. Впоследствие се изготвя доклад до компетентния орган и до Експертната група по сигурността на Комисията.
ГЛАВА 6
ИНДУСТРИАЛНА СИГУРНОСТ
Член 39
Основни принципи
1. Индустриалната сигурност представлява прилагане на мерки за гарантиране на защитата на КИЕС
а)
в рамките на класифицирани договори, от страна на:
i)
кандидатите или оферентите по време на процедурата за възлагане на поръчката;
ii)
изпълнителите или подизпълнителите по време на жизнения цикъл на класифицираните договори;
б)
в рамките на класифицирани споразумения за безвъзмездно финансиране, от страна на:
i)
кандидатите в процедурите за отпускане на безвъзмездно финансиране;
ii)
бенефициерите по време на жизнения цикъл на класифицираните споразумения за безвъзмездно финансиране.
2. Такива договори или споразумения за безвъзмездно финансиране не включват информация с ниво на класификация за сигурност TRES SECRET UE/EU TOP SECRET.
3. Освен ако не е посочено друго, разпоредбите на настоящата глава по отношение на класифицираните договори или изпълнителите се прилагат и за класифицираните договори за подизпълнение или подизпълнителите.
Член 40
Определения
За целите на настоящата глава се прилагат следните определения:
а)
„Класифициран договор“ означава рамков договор или договор по смисъла на Регламент (ЕО, Евратом) № 1605/2002 (13), сключен от Комисията или някоя от нейните служби с изпълнител за доставка на движими или недвижими активи, изпълнение на строително-ремонтни дейности или предоставяне на услуги, чието изпълнение налага или включва създаване на КИЕС, работа с КИЕС или съхраняване на КИЕС.
б)
„Класифициран договор за подизпълнение“ означава договор, сключен от изпълнител на Комисията с друг изпълнител (т.е. подизпълнител) за доставка на движими или недвижими активи, изпълнение на строително-ремонтни дейности или предоставяне на услуги, чието изпълнение налага или включва създаване на КИЕС, работа с КИЕС или съхраняване на КИЕС.
в)
„Класифицирано споразумение за безвъзмездно финансиране“ означава споразумение, по силата на което Комисията отпуска безвъзмездно финансиране по смисъла на част I, дял VI от Регламент (ЕО, Евратом) № 1605/2002, чието изпълнение налага или включва създаване на КИЕС, работа с КИЕС или съхраняване на КИЕС.
г)
„Определен орган по сигурността“ (ООС) означава орган, отговорен пред националния орган по сигурността (НОС) на държава членка, който отговаря за информиране на индустриални или други единици за националната политика по всички въпроси на индустриалната сигурност и за предоставяне на указания и съдействие при нейното изпълнение. Функциите на ООС може да се изпълняват от НОС или от друг компетентен орган.
Член 41
Процедура за класифицирани договори или споразумени за безвъзмездно финансиране
1. Всяка служба на Комисията, в качеството си на възложител, гарантира, че при възлагане на класифицирани договори или споразумения за безвъзмездно финансиране в договора са включени минималните стандарти за индустриална сигурност, установени в настоящата глава, или е направена препратка към тях.
2. За целите на параграф 1 компетентните служби на Комисията се консултират с генерална дирекция „Човешки ресурси и сигурност“, и по-специално с дирекция „Сигурност“ в нея, за да се уверят, че моделите на договори за изпълнение и подизпълнение и моделите на споразумения за безвъзмездно финансиране включват разпоредби, отразяващи основните принципи и минималните стандарти за защита на КИЕС, които трябва да се спазват от изпълнителите и подизпълнителите и от бенефициерите на споразуменията за безвъзмездно финансиране.
3. Комисията сътрудничи тясно с НОС, ООС или всеки друг компетентен орган на съответните държави членки.
4. Когато възложител има намерение да обяви процедура за възлагане на класифициран договор или сключване на споразумение за безвъзмездно финансиране, той се консултира с органа по сигурността на Комисията по въпросите, свързани с класифицирания характер и елементи на процедурата на всички етапи от нея.
5. Моделите и примерите за класифицирани договори за изпълнение и подизпълнение, класифицирани споразумения за безвъзмездно финансиране, обявления за поръчки, насоки за обстоятелствата, при които се изисква „удостоверение за сигурност на структура“ (УСС), инструкции за сигурност на проект или програма (ИСП), приложения относно аспектите на сигурността (ПАС), посещения, предаване и пренасяне на КИЕС по класифицириани договори или класифицирани споразумения за безвъзмездно финансиране се установяват в правилата за прилагане по отношение на индустриалната сигурност, след консултация с Експертната група по сигурността на Комисията.
6. Комисията може да сключи класифицирани договори или споразумения за безвъзмездно финансиране, с които се възлага изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС или съхранение на КИЕС от икономически оператори, регистрирани в държава членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с Глава 7 от настоящото решение.
Член 42
Елементи на сигурността в класифициран договор или споразумение за безвъзмездно финансиране
1. Класифицираните договори или споразумения за безвъзмездно финансиране включват следните елементи на сигурността:
Инструкции за сигурност на програмата или проекта
а)
„Инструкции за сигурност на програмата или проекта“ (ИСП) означава списък от процедури за сигурност, които се прилагат за конкретна програма или проект с цел стандартизиране на процедурите за сигурност. Те подлежат на преразглеждане във всеки един момент от осъществяването на програмата или проекта.
б)
Генерална дирекция „Човешки ресурси и сигурност“ разработва примерни ИСП, които службите на Комисията, отговарящи за програми или проекти, включващи работа с КИЕС или съхранение на КИЕС използват при разработването, където това е подходящо, на свои специфични ИСП.
в)
Специфични ИСП се разработват по-специално за програми и проекти, характеризиращи се със значителен обхват, мащаб или сложност или с множество или многообразни изпълнители, бенефициери и други партньори и заинтересовани страни, например по отношение на правния им статут. Специфични ИСП се разработват от службата или службите на Комисията, управляващи програмата или проекта, в тясно сътрудничество с генерална дирекция „Човешки ресурси и сигурност“.
г)
Генерална дирекция „Човешки ресурси и сигурност“ представя примерните и специфичните ИСП за консултация с Експертната група по сигурността на Комисията.
Приложение относно аспектите на сигурността
а)
„Приложение относно аспектите на сигурността“ (ПАС) означава съвкупност от специални договорни условия, изготвени от възложителя, които представляват неразделна част от всеки класифициран договор, включващ достъп до КИЕС или създаване на КИЕС, и в които се определят изискванията за сигурност или елементите на договора, изискващи защита на сигурността.
б)
Свързаните с договора изисквания за сигурност се описват в ПАС. Когато това е уместно, ПАС включва ръководството за класифициране за целите на сигурността и представлява неразделна част от класифицирания договор за изпълнение или подизпълнение или класифицираното споразумение за безвъзмездно финансиране.
в)
В ПАС се съдържат разпоредби, изискващи от изпълнителя или бенефициера да спазва минималните стандарти, установени в настоящото решение. Възложителят гарантира, че в ПАС е посочено, че неспазването на тези минимални стандарти може да бъде достатъчно основание за прекратяване на договора или споразумението за безвъзмездно финансиране.
2. Ръководството за класифициране за целите на сигурността (РКЦС) е задължителен елемент на сигурността и се включва в ИПС и ПАС:
а)
„Ръководство за класифициране за целите на сигурността“ (РКЦС) означава документ, който описва елементите на програма, проект, договор или споразумение за безвъзмездно финансиране, които са класифицирани, като определя приложимите нива на класификация за сигурност. РКЦС може да бъде допълвано през целия период на времетраене на програмата, проекта, договора или споразумението за безвъзмездно финансиране, като нивото на класификация на елементите на информацията може да бъде променяно или понижавано; РКЦС, в случай че такова съществува, е част от ПАС.
б)
Преди да обяви търг за възлагане на класифициран договор или да възложи такъв договор, службата на Комисията, в качеството си на възложител, определя класификацията за сигурност на информацията, която се предоставя на участниците в търга и на изпълнителите, както и класификацията за сигурност на информацията, която се създава от изпълнителя. За тази цел тя изготвя РКЦС, което да се използва при осъществяването на договора, в съответствие с разпоредбите на настоящото решение и правилата за неговото прилагане, след консултация с органа по сигурността на Комисията.
в)
При определяне на нивото на класификация за сигурност на различните елементи на класифицирания договор се прилагат следните принципи:
i)
при изготвянето на РКЦС службата на Комисията, в качеството си на възложител, взема предвид всички релевантни аспекти на сигурността, включително нивото на класификация за сигурност, определено за информацията, която е предоставена и одобрена за ползване при изпълнението на договора от създателя на информацията;
ii)
общото ниво на класификация за сигурност на договора не може да бъде по-ниско от най-високото ниво на класификация за сигурност на който и да е от неговите елементи; и
iii)
при нужда възложителят, посредством органа по сигурността на Комисията, влиза във връзка с НОС, ООС или друг заинтересован компетентен орган по сигурността на държавите членки, в случай на промени на нивото на класификация на информацията, създадена от изпълнителите или предоставена им при изпълнението на договора, както и при извършване на по-нататъшни промени в РКЦС.
Член 43
Достъп до КИЕС на служителите на изпълнителите и бенефициерите
Възложителят или органът, отпускащ безвъзмездното финансиране, гарантира, че класифицираният договор или класифицираното споразумение за безвъзмездно финансиране включва разпоредби, в които се посочва, че служителите на изпълнител, подизпълнител или бенефициер, които се нуждаят от достъп до КИЕС за целите на изпълнението на класифицирания договор за изпълнение или подизпълнение или на споразумението за безвъзмездно финансиране, ще получат такъв достъп само ако:
а)
той е получил разрешение за достъп до съответнито ниво на класификация или е надлежно оправомощен по друг начин след като за него е била установена „необходимост да се знае“;
б)
лицата са информирани за приложимите правила и процедури по сигурността за защита на КИЕС и са потвърдили, че осъзнават своята отговорност за защитата на такава информация;
в)
лицата са преминали проучване за надеждност за необходимото ниво за информация, класифицирана CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET, извършено от съответния НОС, ООС или друг компетентен орган.
Член 44
Удостоверение за сигурност на структура
1. „Удостоверение за сигурност на структура“ (УСС) означава административно определяне от НОС, ООС или друг компетентен орган, че дадена структура може да осигури адекватна защита на КИЕС на определено ниво на класификация за сигурност.
2. УСС, издадено от НОС или ООС или друг компетентен орган на държава членка в уверение на това, че в съответствие с националните законови и подзаконови актове определен икономически оператор може да защити КИЕС на подходящо ниво на класификация (CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET) в своите структури се предоставя на органа по сигурността на Комисията, който го препраща на службата на Комисията, изпълняваща ролята на възложител или орган, отпускащ безвъзмездното финансиране, преди на кандидат, участник в търг, изпълнител или кандидат за безвъзмездно финансиране да бъде предоставена КИЕС или да му бъде даден достъп до такава.
3. Когато е уместно, възложителят уведомява, посредством органа по сигурността на Комисията, съответния НОС, ООС или друг компетентен орган по сигурността, че за изпълнението на договора се изисква удостоверение за сигурност на структура. УСС или РДС се изисква когато в процеса на възлагане на договора или на сключване на споразумението за безвъзмездно финансиране трябва да се предостави КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET.
4. Възложителят или органът, отпускащ безвъзмездното финансиране не сключва класифициран договор или споразумение за безвъзмездно финансиране с предпочитан участник в търга или кандидат, преди да е получил потвърждение от НОС, ООС или друг компетентен орган по сигурността на държавата членка, в която е регистриран съответният изпълнител или подизпълнител, че е издадено съответното удостоверение за сигурност на структура, ако такова е необходимо.
5. Когато органът по сигурността на Комисията бъде уведомен от НОС, ООС или друг компетентен орган, издал УСС, за настъпването на промени, засягащи УСС, той информира службата на Комисията, изпълняваща функциите на възложител или орган, отпускащ безвъзмездно финансиране. При договори за подизпълнение се уведомява съответно НОС, ООС или друг компетентен орган по сигурността.
6. Оттеглянето на УСС от съответния НОС, ООС или друг компетентен орган по сигурността представлява достатъчно основание за възложителя или органа, отпускащ безвъзмездното финансиране да прекрати класифициран договор или да изключи от процедурата по възлагането кандидат, оферент или участник. При съставянето на моделите на договори и споразумения за безвъзмездно финансиране се включва разпоредба в този смисъл.
Член 45
Разпоредби за класифицирани договори и споразумени за безвъзмездно финансиране
1. Когато по време на процедурата по възлагане на кандидат, оферент или участник се предоставя КИЕС, поканата за представяне на оферта съдържа разпоредба, задължаваща кандидата, оферента или участника, който не е представил оферта или предложение или не е избран, да върне всички класифицирани документи в рамките на определен период от време.
2. Възложителят или органът, отпускащ безвъзмездното финансиране уведомяват, посредством органа по сигурността на Комисията, компетентния НОС, ООС или друг компетентен орган по сигурността за възлагането на класифициран договор или споразумение за безвъзмездно финансиране, както и за съответните данни, като името на изпълнителя или изпълнителите или бенефициерите, срокът на изпълнение на договора и максималното ниво на класификация.
3. При прекратяване на такива договори или споразумения за безвъзмездно финансиране възложителят или органът, отпускащ безвъзмездното финансиране уведомява своевременно, посредством органа по сигурността на Комисията, НОС, ООС или друг компетентен орган на държавата членка, в която е регистриран изпълнителят или бенефициерът.
4. По правило при прекратяване на класифициран договор или споразумение за безвъзмездно финансиране от изпълнителя или бенефициера се изисква да върне на възложителя или на органа, отпускащ безвъзмездното финансиране всяка държана от него КИЕС.
5. Конкретните разпоредби за разпореждането с КИЕС по време на изпълнението на класифицирания договора или класифицираното споразумение за безвъзмездно финансиране или при неговото прекратяване се посочват в ПАС.
6. Когато на изпълнителя или бенефициера бъде разрешено да задържи КИЕС след прекратяването на класифицирания договор или споразумение за безвъзмездно финансиране, изпълнителят или бенефициерът продължава да спазва минималните стандарти, съдържащи се в настоящото решение и да защитава конфиденциалността на КИЕС.
Член 46
Специфични разпоредби за класифицирани договори
1. Условията, свързани със защитата на КИЕС, при които изпълнителят може да възлага договора за подизпълнение, се определят в условията за търга и в класифицирания договор.
2. За да предостави за подизпълнение части от класифициран договор, изпълнителят получава разрешение от възложителя. Договор за подизпълнение, включващ достъп до КИЕС не може да се сключва с подизпълнител, регистриран в трета страна, освен ако не е налице регулаторна рамка за сигурността на информацията по смисъла на Глава 7.
3. Изпълнителят носи отговорност за осигуряване на спазването на установените в настоящото решение минимални стандарти за сигурност по време на извършването на всички подизпълнителски дейности и не предоставя КИЕС на подизпълнителя без предварителното писмено съгласие на възложителя.
4. За създател на КИЕС, създадена от изпълнител или подизпълнител или с която те работят, се счита Комисията, а правата на създателя се упражняват от възложителя.
Член 47
Посещения във връзка с класифицирани договори
1. Когато за изпълнението на класифициран договор или споразумение за безвъзмездно финансиране служители на Комисията или на изпълнителите или на бенефициерите е необходимо да получат на взаимна основа достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в помещенията си, се уреждат посещения, като се поддържа връзка с НОС, ООС или друг съответен компетентен орган по сигурността. Органът по сигурността на Комисията се уведомява за тези посещения. В контекста на конкретни програми и проекти, обаче, НОС, ООС или друг компетентен орган по сигурността може договори също така процедура за пряко организиране на такива посещения.
2. Всички посетители притежават подходящо разрешение за достъп и отговарят на изискването за „необходимост да се знае“ за достъп до КИЕС, свързана с класифицирани договор.
3. На посетителите се дава достъп единствено до КИЕС, свързана с целите на посещението.
4. По-подробни разпоредби се съдържат в правилата за прилагане.
5. Спазването на разпоредбите по отношение на посещенията във връзка с класифицирани договори, установени с настоящото решение и правилата за неговото прилагане, посочени в параграф 4, е задължително.
Член 48
Предаване и пренасяне на КИЕС във връзка с класифицирани договори или класифицирани споразумения за безвъзмездно финансиране
1. По отношение на предаването на КИЕС чрез електронни средства се прилагат съответните разпоредби на Глава 5 от настоящото решение.
2. По отношение на пренасянето на КИЕС се прилагат съответните разпоредби на Глава 4 от настоящото решение и правилата за неговото прилагане, в съответствие с националните законови и подзаконови актове.
3. При определяне на мерките за сигурност при транспортиране на класифицирани материали като товар се прилагат следните принципи:
а)
сигурността се осигурява на всеки етап по време на транспорта от пункта на произход до крайното местоназначение;
б)
степента на защита, предоставена за дадена пратка, се определя от най-високото ниво на класификация за сигурност на материала, който се съдържа в нея;
в)
преди трансграничен пренос на материали, класифицирани като CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET, изпращачът изготвя план за пренос, който се одобрява от НОС, ООС или друг съответен компетентен орган по сигурността;
г)
пътуванията, доколкото това е възможно, се извършват от пункт до пункт и толкова бързо, колкото позволяват обстоятелствата;
д)
винаги когато това е възможно, маршрутите следва да преминават само през държави членки. Маршрути през държави, които не са членки на ЕС, следва да се използват единствено когато са разрешени от НОС, ООС или други компетентни органи по сигурността на държавите както на изпращача, така и на получателя.
Член 49
Предаване на КИЕС на изпълнители или бенефициери, намиращи се в трети държави
Предаването на КИЕС на изпълнители и подизпълнители, намиращи се в трети държави, се извършва в съответствие с мерките за сигурност, договорени между органа по сигурността на Комисията, службата на Комисията, изпълняваща ролята на възложител или орган, отпускащ безвъзмездно финансиране и НОС, ООС или друг компетентен орган по сигурността на съответната трета държава, в която е регистриран изпълнителят или бенефициерът.
Член 50
Работа с информация с ниво на класифиция за сигурност RESTREINT UE/EU RESTRICTED във връзка с класифицирани договори или класифицирани споразумения за безвъзмездно финансиране
1. Защитата на информация с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED, с която се работи или която се съхранява по класифицирани договори или споразумения за безвъзмездно финансиране, се основава на принципите на пропорционалността и разходната ефективност.
2. Във връзка с класифицирани договори или класифицирани споразумения за безвъзмездно финансиране, включващи работа с информация с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED или съхраняване на такава, не се изисква УСС или РДС.
3. Когато даден договор или споразумение за безвъзмездно финансиране включва работа с информация с ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED в рамките на КИС, с която оперира изпълнител или бенефициер, възложителят или органът, отпускащ безвъзмездното финансиране, след като се консултира с органа по сигурността на Комисията, гарантира включването в договора или споразумението за безвъзмездно финансиране на необходимите технически и административни изисквания за акредитацията или одобряването на въпросната КИС, съизмерими с оценката на риска, като се вземат предвид всички приложими фактори. Обхватът на акредитацията или одобрението на такава КИС се договаря между органа по сигурността на Комисията и съответния НОС или ООС.
ГЛАВА 7
ОБМЕН НА КЛАСИФИЦИРАНА ИНФОРМАЦИЯ С ДРУГИ ИНСТИТУЦИИ, АГЕНЦИИ, ОРГАНИ И СЛУЖБИ НА СЪЮЗА, С ДЪРЖАВИ ЧЛЕНКИ, С ТРЕТИ ДЪРЖАВИ И МЕЖДУНАРОДНИ ОРГАНИЗАЦИИ
Член 51
Основни принципи
1. Когато Комисията или нейна служба установи необходимост от обмен на КИЕС с друга институция, агенция, орган или служба на Съюза или с трета държава или международна организация, се предприемат необходимите действия за създаване на подходяща правна или административна рамка, която може да включва споразумения за сигурността на информацията или административни договорености, които се сключват в съответствие с приложимите разпоредби.
2. Без да се засяга член 57, КИЕС се обменя с друга институция, агенция, орган или служба на Съюза или с трета държава или международна организация единствено ако е налице такава подходяща правна или административна рамка и ако има достатъчно гаранции, че институцията, агенцията, органът или службата на Съюза или третата държава или международната организация прилага равностойно основни принципи за защита на класифицираната информация.
Член 52
Обмен на КИЕС с други институции, агенции, органи и служби на Съюза
1. Преди да сключи административни договорености за обмен на КИЕС с друга институция, агенция, орган или служба на Съюза, Комисията иска гаранции, че съответната институция, агенция, орган или служба на Съюза:
а)
разполага с регулаторна рамка за защита на КИЕС, в която са посочени основни принципи и минимални стандарти, равностойни на установените с настоящото решение и правилата за неговото прилагане;
б)
прилага стандарти за сигурност и насоки по отношение на сигурността на персонала, физическата сигурност, управлението на КИЕС и сигурността комуникационните и информационните системи (КИС), гарантиращи ниво на защита на КИЕС равностойно на осигуряваното от Комисията;
в)
обозначава създадената от него информация като КИЕС.
2. Генерална дирекция „Човешки ресурси и сигурност“, в тясно сътрудничество с други компетентни отдели на Комисията, е водещата служба на Комисията при сключването на административни договорености за обмен на КИЕС с други институции, агенции, органи или служби.
3. По правило административните договорености се сключват чрез размяна на писма, подписани от генералния директор на ГД „Човешки ресурси и сигурност“ от името на Комисията.
4. Преди сключване на административна договореност за обмен на КИЕС органът по сигурността на Комисията извършва посещение за оценка на регулаторната рамка за защита на КИЕС и за да се увери в ефективността на мерките, прилагани за защита на КИЕС. Административната договореност влиза в сила и обменът на КИЕС започва само ако резултатът от това посещение за оценка е задоволителен и направените при него препоръки са изпълнени. Провеждат се редовни последващи посещения за проверка на спазването на административната договореност и дали съществуващите мерки за сигурност продължават да отговарят на договорените основни принципи и минимални стандарти.
5. В Комисията по правило регистратурата на КИЕС, която се управлява от генералния секретариат, е основният входен и изходен пункт при обмен на класифицирана информация с други институции, агенции, органи и служби на Съюза. При все това, когато това е по-целесъобразно за защитата на КИЕС по съображения, свързани със сигурността, организацията или оперативната дейност, като входни и изходни пунктове за класифицирана информация по въпроси от правомощията на съответните служби на Комисията действат местни регистратури на КИЕС, създадени в службите на Комисията в съответствие с настоящото решение.
6. Експертната група по сигурността на Комисията бива информирана за процеса на сключване на административни договорености по смисъла на параграф 2.
Член 53
Обмен на КИЕС с държави членки
1. КИЕС може да се обменя с държави членки и да им бъде разкривана, при условие че те защитават тази информация в съответствие с изискванията, приложими към класифицираната информация, обозначена с национален гриф за сигурност на съответното ниво по таблицата за съответствие на нивата на класификация за сигурност в Приложение I.
2. Когато държавите членки въвеждат в структурите или мрежите на Европейския съюз класифицирана информация, обозначена с национален гриф за сигурност, Комисията осигурява защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответстващото ниво, съгласно съдържащата се в Приложение I таблица на съответствията на нивата на класификация за сигурност.
Член 54
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Комисията установи наличие на дългосрочна необходимост от обмен на класифицирана информация с трети държави или международни организации, се предприемат необходимите мерки за установяване на подходяща правна или административна рамка за тази цел, която може да включва споразумения за сигурност и информация или административни споразумения, сключени в съответствие с приложимите разпоредби.
2. Споразуменията за сигурност на информацията и административните договорености, посочени в параграф 1, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получават КИЕС, тя е защитена по начин, съответстващ на нейното ниво на класификация и отговарящ на минимални стандарти, равностойни на установените в настоящото решение.
3. Комисията може да сключва административни договорености в съответствие с член 56 когато нивото на класификация на КИЕС като правило не надвишава RESTREINT UE/EU RESTRICTED.
4. Административните договорености за обмен на класифицирана информация, посочени в параграф 3, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получават КИЕС, тя е защитена по начин, съответстващ на нейното ниво на класификация и отговарящ на минимални стандарти, равностойни на установените в настоящото решение. При сключването на споразумения за сигурност на информацията или административни договорености се провеждат консултации с Експертната група по сигурността на Комисията.
5. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Комисията, се взема от службата на Комисията, която е създател на тази КИЕС, поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на Съюза. Ако исканата класифицирана информация или съдържащият се в нея изходен материал не са създадени от Комисията, службата на Комисията, която притежава тази класифицирана информация най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. В случай, че създателят на информацията не може да бъде установен, службата на Комисията, която притежава тази класифицирана информация поема неговите задължения след консултация с Експертната група по сигурността на Комисията.
Член 55
Споразумения за сигурност на информацията
1. Споразумения за сигурност на информацията с трети държави или международни организации се сключват в съответствие с разпоредбите на член 218 от ДФЕС.
2. Споразуменията за сигурност на информацията:
а)
установяват основните принципи и минималните стандарти, които уреждат обмена на класифицирана информация между Съюза и дадена трета държава или международна организация;
б)
предвиждат договорености за техническото изпълнение, които се постигат между компетентните органи по сигурността на съответните институции и органи на Съюза и компетентния орган по сигурността на въпросната трета държава или международна организация. Тези договорености отчитат нивото на защита, предоставено от прилаганите в съответната трета държава или международна организация разпоредби, структури и процедури за сигурност;
в)
предвиждат, преди да се пристъпи към обмен на класифицирана информация по въпросното споразумение, да бъде получено уверение, че получаващата страна е в състояние да защитава и да опазва предоставената ѝ информация по подходящ начин.
3. Когато бъде установена необходимост от обмен на класифицирана информация съгласно член 51, параграф 1, Комисията се консултира с Европейската служба за външна дейност, генералния секретариат на Съвета и други институции и органи на Съюза, ако е целесъобразно, за да определи дали да внесе в Съвета препоръка съгласно член 218, параграф 3 от ДФЕС.
4. КИЕС не се обменя с електронни средства, освен ако това не е изрично предвидено в споразумението за сигурност на информацията или в договореностите за техническото изпълнение.
5. В Комисията по правило регистратурата на КИЕС, която се управлява от генералния секретариат, е основният входен и изходен пункт при обмен на класифицирана информация с трети държави и международни организации. При все това, когато това е по-целесъобразно за защитата на КИЕС по съображения, свързани със сигурността, организацията или оперативната дейност, като входни и изходни пунктове за класифицирана информация по въпроси от правомощията на съответните служби на Комисията действат местни регистратури на КИЕС, създадени в службите на Комисията в съответствие с настоящото решение.
6. За оценка на ефективността на разпоредбите, структурите и процедурите за сигурност в съответната трета държава или международна организация Комисията участва в посещения за оценка в сътрудничество с други институции, агенции или органи на Съюза по взаимно споразумение със съответната трета държава или международна организация. При тези посещения за оценка се оценява:
а)
регулаторната рамка, приложима към защитата на класифицирана информация;
б)
специфични елементи на политиката за сигурност и начина, по който сигурността е организирана в третата държава или международната организация, които могат да окажат въздействие върху нивото на класифицираната информация, която може да бъде обменяна;
в)
въведените мерки и процедури за сигурност; и
г)
процедурите за разрешаване на достъп до нивото на КИЕС, която се предоставя.
Член 56
Административни договорености
1. Когато в контекста на политическата или правната рамка на Съюза е налице дългосрочна необходимост от обмен на информация с ниво на класификация за сигурност по правило не по-високо от RESTREINT UE/EU RESTRICTED с трета държава или международна организация и когато органът по сигурността на Комисията, след консултация с Експертната група по сигурността на Комисията, е установил, че въпросната договаряща страна не разполага с достатъчно развита система за сигурност, за да е възможно тя да встъпи в споразумение за сигурност на информацията, Комисията може да сключи административна договореност със съответните органи на въпросната трета държава или международна организация.
2. Такива административни договорености по правило се сключват чрез размяна на писма.
3. Преди сключването на договореност се провежда посещение за оценка. Експертната група по сигурността на Комисията бива информирана за резултата от посещението за оценка. В случай, че извънредни обстоятелства налагат спешен обмен на класифицирана информация, КИЕС може да бъде предоставена при условие че са положени всички усилия за провеждане на посещение за оценка в най-кратък срок.
4. КИЕС не се обменя чрез електронни средства, освен в случаите, когато това е изрично предвидено в административната договореност.
Член 57
Извънредно ad hoc предоставяне на КИЕС
1. Когато няма сключено споразумение за сигурност на информацията или административна договореност и когато Комисията или нейна служба установи извънредна необходимост в контекста на политическата или правната рамка на Съюза да бъде предоставена КИЕС на трета държава или на международна организация, органът по сигурността на Комисията, доколкото това е възможно, проверява чрез органите по сигурността на съответната трета държава или международна организация дали нейните разпоредби, структури и процедури по отношение на сигурността са такива, че предоставената ѝ КИЕС ще бъда защитена по стандарти не по-малко строги от установените с настоящото решение.
2. Решението да се предостави КИЕС на съответната трета държава или международна организация се взема, след консултация с Експертната група по сигурността на Комисията, по предложение от члена на Комисията, отговарящ за въпросите на сигурността.
3. След като Комисията вземе решение да предостави КИЕС и при условие че е получено писменото одобрение на създателя на информацията, включително създателите на съдържащите се в нея изходни материали, компетентният отдел на Комисията препраща съответната информация с обозначение, че подлежи на предоставяне, в което се посочва третата държава или международната организация, на която се предоставя. Преди или при самото предоставяне на КИЕС въпросната трета страна писмено потвърждава, че поема задължение за защита на получената от нея КИЕС в съответствие с основните принципи и минималните стандарти, установени в настоящото решение.
ГЛАВА 8
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 58
Замяна на предходно решение
С настоящото решение се отменя и заменя Решение 2001/844/ЕО, ЕОВС, Евратом на Комисията (14).
Член 59
Класифицирана информация, създадена преди влизането в сила на настоящото решение
1. Цялата КИЕС, класифицирана в съответствие с Решение 2001/844/ЕО, ЕОВС, Евратом продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
2. Цялата класифицирана информация, притежавана от Комисията на датата на влизане в сила на Решение 2001/844/ЕО, ЕОВС, Евратом, с изключение на класифицираната информация по Евратом:
а)
ако е създадена от Комисията, продължава по подразбиране да се счита за прекласифицирана с ниво на класификация RESTREINT UE, освен ако авторът ѝ не е решил да ѝ даде друго ниво на класификация до 31 януари 2002 г. и е информирал за това всички получатели на документа;
б)
ако е създадена от автори извън Комисията, запазва първоначалната си класификация и по този начин се третира като равностойна по степен КИЕС, освен ако авторът не даде съгласие за нейното декласифициране или понижаване на нивото ѝ на класификация.
Член 60
Правила за прилагане и насоки за сигурност
1. При необходимост Комисията приема отделно решение, с което оправомощава члена на Комисията, отговарящ за въпросите на сигурността, да приеме правила за прилагане на настоящото решение, при пълно спазване на вътрешния процедурен правилник.
2. След като бъде оправомощен чрез горепосоченото решение, членът на Комисията, отговарящ за въпросите на сигурността може да разработи насоки за сигурност, с които се установяват указания за сигурност и най-добри практики в обхвата на приложното поле на настоящото решение и правилата за неговото прилагане.
3. Комисията може да делегира задачите, упоменати в първия и втория параграф на настоящия член на генералния директор на ГД „Човешки ресурси и сигурност“ посредством отделно решение за делегиране, при пълно спазване на вътрешния процедурен правилник.
Член 61
Влизане в сила
Настоящото решение влиза в сила в деня след публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 13 март 2015 година.
KOMISSION PÄÄTÖS (EU, Euratom) 2015/444,
annettu 13 päivänä maaliskuuta 2015,
EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista säännöistä
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 249 artiklan,
ottaa huomioon Euroopan atomienergiayhteisön perustamissopimuksen ja erityisesti sen 106 artiklan,
ottaa huomioon Euroopan unionin erioikeuksista ja vapauksista tehdyn, perussopimuksiin liitetyn pöytäkirjan N:o 7 ja erityisesti sen 18 artiklan,
sekä katsoo seuraavaa:
(1)
Euroopan unionin turvallisuusluokiteltujen tietojen suojaamista koskevia komission määräyksiä on tarkistettava ja päivitettävä institutionaalinen ja organisatorinen kehitys sekä toiminnan ja teknologian kehitys huomioon ottaen.
(2)
Komissio on tehnyt Belgian, Luxemburgin ja Italian hallitusten kanssa sopimukset (1) sen pääasiallisia toimipaikkoja koskevista turvallisuusasioista.
(3)
Komissio, neuvosto ja Euroopan ulkosuhdehallinto ovat sitoutuneet soveltamaan samanlaisia turvallisuusvaatimuksia EU:n turvallisuusluokiteltujen tietojen suojaamisessa.
(4)
On tärkeää, että myös Euroopan parlamentti ja muut EU:n toimielimet, elimet ja laitokset soveltavat tarvittaessa turvallisuusluokiteltujen tietojen suojaamista koskevia periaatteita, vaatimuksia ja sääntöjä, jotka ovat välttämättömiä unionin ja sen jäsenvaltioiden etujen suojaamiseksi.
(5)
EU:n turvallisuusluokiteltuihin tietoihin kohdistuvia riskejä on hallittava prosessina. Prosessissa on pyrittävä määrittelemään tunnetut turvallisuusriskit ja turvatoimet niiden vähentämiseksi hyväksyttävälle tasolle tässä päätöksessä säädettyjen perusperiaatteiden ja vähimmäisvaatimusten mukaisesti sekä soveltamaan kyseisiä toimia syvyyssuuntaisen turvallisuuden käsitteen pohjalta. Turvatoimien tehokkuutta on arvioitava jatkuvasti.
(6)
Turvallisuusluokiteltujen tietojen suojaamiseen tähtäävällä fyysisellä turvallisuudella tarkoitetaan komissiossa sellaisten fyysisten ja teknisten suojatoimien toteuttamista, joiden tarkoituksena on estää luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin.
(7)
EU:n turvallisuusluokiteltujen tietojen hallinnoinnilla tarkoitetaan hallinnollisten toimien toteuttamista EU:n turvallisuusluokiteltujen tietojen valvomiseksi koko niiden elinkaaren ajan. Kyseisillä toimilla täydennetään tämän päätöksen 2, 3 ja 5 luvussa säädettyjä toimia ja autetaan siten estämään ja havaitsemaan tällaisten tietojen tahallinen tai tahaton vaarantuminen tai häviäminen sekä korjaamaan vaarantumisesta tai häviämisestä aiheutunut tilanne. Tällaiset toimet koskevat erityisesti EU:n turvallisuusluokiteltujen tietojen tuottamista, säilyttämistä, rekisteröintiä, jäljentämistä, kääntämistä, kuljettamista, hävittämistä sekä niiden turvallisuusluokan alentamista ja poistamista, ja ne täydentävät komission asiakirjahallintoa koskevia yleisiä sääntöjä (päätökset 2002/47/EY, EHTY, Euratom (2) ja 2004/563/EY, Euratom (3)).
(8)
Tämän päätöksen säännökset eivät rajoita seuraavien soveltamista:
a)
asetus (Euratom) N:o 3 (4);
b)
Euroopan parlamentin ja neuvoston asetus (EY) N:o 1049/2001 (5);
c)
Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001 (6);
d)
neuvoston asetus (ETY, Euratom) N:o 354/83 (7),
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 LUKU
PERUSPERIAATTEET JA VÄHIMMÄISVAATIMUKSET
1 artikla
Määritelmät
Tässä päätöksessä tarkoitetaan
1)
’komission osastolla’ mitä tahansa komission pääosastoa tai yksikköä taikka komission jäsenen kabinettia;
2)
’salausaineistolla’ salausalgoritmeja, salauslaitteistoja ja -ohjelmistomoduuleja sekä tuotteita, joihin sisältyy täytäntöönpanoa koskevia yksityiskohtia sekä niihin liittyviä asiakirjoja ja avainnusaineistoa;
3)
’turvallisuusluokan poistamisella’ minkä tahansa turvallisuusluokan poistamista;
4)
’syvyyssuuntaisella turvallisuudella’ sellaisten erityyppisten turvatoimien soveltamista, joilla järjestetään monitasoinen puolustus;
5)
’asiakirjalla’ mitä tahansa tallennettua tietoa sen fyysisestä muodosta tai ominaisuuksista riippumatta;
6)
’turvallisuusluokan alentamisella’ salassapitotason alentamisesta johtuvaa turvallisuusluokan muuttamista;
7)
EU:n turvallisuusluokiteltujen tietojen ’käsittelyllä’ kaikkia mahdollisia toimia, joita EU:n turvallisuusluokiteltuihin tietoihin voidaan kohdistaa niiden elinkaaren aikana. Tällaisia toimia ovat tietojen tuottaminen, rekisteröinti, muokkaaminen, kuljetus, hävittäminen sekä turvallisuusluokan alentaminen ja poistaminen. Viestintä- ja tietojärjestelmien tapauksessa niihin kuuluvat myös tietojen kerääminen, näyttäminen, siirtäminen ja säilyttäminen;
8)
’haltijalla’ asianmukaisesti valtuutettua henkilöä, jonka tiedonsaantitarve on todennettu ja jonka hallussa on EU:n turvallisuusluokiteltu tieto, jonka suojaamisesta hän on näin ollen vastuussa;
9)
’soveltamissäännöillä’ mitä tahansa komission päätöksen (EU, Euratom) 2015/443 (8) 5 luvun mukaisesti hyväksyttyjä sääntöjä tai turvallisuusohjeita;
10)
’materiaalilla’ mitä tahansa viestintä, tiedonsiirtovälinettä, konetta tai laitetta, joka on valmistettu tai jota ollaan valmistamassa;
11)
’luovuttajalla’ unionin toimielintä, elintä tai laitosta, jäsenvaltiota, kolmatta valtiota tai kansainvälistä järjestöä, jonka alaisuudessa turvallisuusluokiteltu tieto on tuotettu ja/tai tuotu unionin rakenteisiin;
12)
’tiloilla’ mitä tahansa komission kiinteistöä tai siihen rinnastettavissa olevaa kiinteää omaisuutta;
13)
’turvallisuusriskien hallintaprosessilla’ sellaisten epävarmojen tapahtumien havaitsemis-, hallinta- ja minimointiprosessia, jotka saattavat vaikuttaa organisaation tai jonkin sen käyttämän järjestelmän turvallisuuteen. Se kattaa kaikki riskeihin liittyvät toiminnot, myös arvioinnin, käsittelyn, hyväksymisen ja viestinnän;
14)
’henkilöstösäännöillä’ neuvoston asetuksessa (ETY, Euratom, EHTY) N:o 259/68 (9) säädettyjä Euroopan unionin virkamiehiin sovellettavia henkilöstösääntöjä ja unionin muuta henkilöstöä koskevia palvelussuhteen ehtoja;
15)
’uhalla’ sellaisen ei-toivotun tapahtuman mahdollista aiheuttajaa, joka voi vahingoittaa organisaatiota tai jotakin sen käyttämää järjestelmää. Tällaiset uhat voivat olla tahattomia tai tahallisia (vihamielisiä), ja niille ovat ominaisia uhkaavat seikat sekä mahdolliset kohteet ja hyökkäysmenetelmät;
16)
’haavoittuvuudella’ minkä tahansa laatuista heikkoutta, josta yksi tai useampi uhka voi hyötyä. Haavoittuvuus voi johtua laiminlyönnistä tai liittyä heikkouksiin valvonnan tehokkuudessa, täydellisyydessä tai johdonmukaisuudessa, ja se voi olla luonteeltaan teknistä, fyysistä tai organisatorista taikka liittyä menettelyyn tai toimintaan.
2 artikla
Kohde ja soveltamisala
1. Tällä päätöksellä säädetään EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista perusperiaatteista ja vähimmäisvaatimuksista.
2. Tätä päätöstä sovelletaan kaikkiin komission osastoihin ja kaikissa komission tiloissa.
3. Tätä päätöstä sovelletaan komission jäseniin, henkilöstösääntöjen alaiseen komission henkilöstöön, komission kansallisiin asiantuntijoihin, palveluntarjoajiin ja niiden henkilöstöön, harjoittelijoihin sekä kaikkiin henkilöihin, joilla on pääsy komission rakennuksiin tai muuhun omaisuuteen taikka komission käsittelemiin tietoihin, sanotun kuitenkaan rajoittamatta tiettyjä henkilöstöryhmiä koskevia erityisohjeita.
4. Tämän päätöksen säännökset eivät rajoita päätösten 2002/47/EY, EHTY, Euratom ja 2004/563/EY, Euratom soveltamista.
3 artikla
EU:n turvallisuusluokiteltujen tietojen määritelmä sekä turvallisuusluokat ja -merkinnät
1. ’EU:n turvallisuusluokitelluilla tiedoilla’ tarkoitetaan mitä tahansa tietoa tai materiaalia, jolle on määritelty EU:n turvallisuusluokka ja jonka luvaton ilmitulo saattaisi eriasteisesti vahingoittaa Euroopan unionin tai yhden tai useamman jäsenvaltion etuja.
2. EU:n turvallisuusluokitellut tiedot luokitellaan seuraavasti:
a) TRES SECRET UE/EU TOP SECRET: tiedot ja materiaalit, joiden luvaton ilmitulo saattaisi vahingoittaa poikkeuksellisen vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja;
b) SECRET UE/EU SECRET: tiedot ja materiaalit, joiden luvaton ilmitulo saattaisi vahingoittaa vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: tiedot ja materiaalit, joiden luvaton ilmitulo saattaisi vahingoittaa Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja;
d) RESTREINT UE/EU RESTRICTED: tiedot ja materiaalit, joiden luvattomasta ilmitulosta saattaisi olla haittaa Euroopan unionin tai yhden tai useamman jäsenvaltion eduille.
3. EU:n turvallisuusluokitellut tiedot on merkittävä 2 kohdan mukaisesti. Niissä voi olla myös muita kuin turvallisuusluokkaa koskevia merkintöjä, joista käy ilmi ala, johon tiedot liittyvät, tietojen luovuttaja ja luovutettavuus sekä jakelun tai käytön rajoitukset.
4 artikla
Luokittelun hallinnointi
1. Kukin komission jäsen tai osasto varmistaa, että sen tuottamat EU:n turvallisuusluokitellut tiedot on asianmukaisesti luokiteltu, että ne on selvästi merkitty EU:n turvallisuusluokitelluiksi tiedoiksi ja että niiden turvallisuusluokka säilytetään vain niin kauan kuin on tarpeen.
2. EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa ei saa alentaa tai poistaa eikä niissä olevia 3 artiklan 2 kohdassa tarkoitettuja turvallisuusluokitusmerkintöjä saa muuttaa tai poistaa ilman niiden luovuttajan kirjallista ennakkosuostumusta, sanotun kuitenkaan rajoittamatta 26 artiklan soveltamista.
3. EU:n turvallisuusluokiteltujen tietojen käsittelyä koskevat soveltamissäännöt, mukaan lukien käytännön luokitteluopas, on tarvittaessa hyväksyttävä 60 artiklan mukaisesti.
5 artikla
Turvallisuusluokiteltujen tietojen suojaaminen
1. EU:n turvallisuusluokiteltujen tietojen suojaamisessa on noudatettava tätä päätöstä ja sen soveltamissääntöjä.
2. Minkä tahansa EU:n turvallisuusluokitellun tiedon haltija on 4 luvussa vahvistettujen sääntöjen mukaisesti vastuussa sen suojaamisesta tämän päätöksen ja sen soveltamissääntöjen mukaisesti.
3. Jäsenvaltioiden tuodessa komission rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, komissio suojaa kyseiset tiedot vastaavantasoisiin EU:n turvallisuusluokiteltuihin tietoihin sovellettavia vaatimuksia noudattaen liitteeseen I sisältyvän turvallisuusluokkien vastaavuustaulukon mukaisesti.
4. EU:n turvallisuusluokiteltujen tietojen kooste voi edellyttää korkeampaan turvallisuusluokkaan sovellettavaa suojaa kuin koosteen yksittäisten osien suoja.
6 artikla
Turvallisuusriskien hallinta
1. Turvatoimet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi koko niiden elinkaaren ajan on suhteutettava erityisesti tietojen tai materiaalin turvallisuusluokkaan, muotoon ja määrään, EU:n turvallisuusluokiteltujen tietojen säilytystilojen sijaintiin ja rakenteeseen sekä paikallisesti arvioituun vihamielisen ja/tai rikollisen toiminnan uhkaan, vakoilu, sabotaasi ja terrorismi mukaan lukien.
2. Varautumissuunnitelmissa on otettava huomioon tarve suojata EU:n turvallisuusluokitellut tiedot hätätilanteissa, jotta voidaan estää luvaton pääsy tietoihin, tietojen ilmitulo tai niiden eheyden tai käytettävyyden menetys.
3. Kaikkien yksiköiden on sisällytettävä toiminnan jatkuvuussuunnitelmiin ennalta ehkäiseviä ja korjaavia toimia, jotta voidaan minimoida merkittävien toimintahäiriöiden tai poikkeuksellisten tapahtumien vaikutus EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen.
7 artikla
Tämän päätöksen täytäntöönpano
1. Tätä päätöstä täydentävät tai tukevat soveltamissäännöt hyväksytään tarvittaessa 60 artiklan mukaisesti.
2. Komission osastot toteuttavat kaikki niiden vastuulle kuuluvat tarvittavat toimenpiteet sen varmistamiseksi, että EU:n tai minkä tahansa turvallisuusluokiteltujen tietojen käsittelyssä tai säilytyksessä sovelletaan tätä päätöstä ja asiaankuuluvia soveltamissääntöjä.
3. Tämän päätöksen täytäntöönpanossa toteutettavien turvatoimenpiteiden on oltava päätöksen (EU, Euratom) 2015/443 3 artiklassa vahvistettujen, turvallisuutta komissiossa koskevien periaatteiden mukaisia.
4. Henkilöstöhallinnon ja turvallisuustoiminnan pääjohtaja perustaa johtamaansa pääosastoon komission turvallisuusviranomaisen. Komission turvallisuusviranomainen vastaa tässä päätöksessä ja sen soveltamissäännöissä sille osoitetuista tehtävistä.
5. Päätöksen (EU, Euratom) 2015/443 20 artiklassa tarkoitetulla paikallisella turvavastaavalla on kussakin komission osastossa kokonaisvastuu seuraavista tehtävistä, jotka se suorittaa tiiviissä yhteistyössä henkilöstöhallinnon ja turvallisuustoiminnan pääjohtajan kanssa EU:n turvallisuusluokiteltujen tietojen suojaamiseksi tämän päätöksen mukaisesti:
a)
henkilöstöä koskevien turvallisuusselvityspyyntöjen hallinnointi;
b)
osallistuminen turvallisuuskoulutusta ja -tietoisuutta käsitteleviin tiedotustilaisuuksiin;
c)
osastossa toimivan rekisterin valvontavastaavan ohjaus;
d)
tietoturvaloukkauksista ja EU:n turvallisuusluokiteltujen tietojen vaarantumisesta raportointi;
e)
vara-avainten ja kunkin numeroyhdistelmän kirjallisen tositteen säilytys;
f)
muut EU:n turvallisuusluokiteltujen tietojen suojaamiseen liittyvät tai soveltamissäännöissä määritellyt tehtävät.
8 artikla
Tietoturvaloukkaukset ja EU:n turvallisuusluokiteltujen tietojen vaarantuminen
1. Tietoturvaloukkaus tapahtuu, kun henkilö rikkoo tai laiminlyö tässä päätöksessä ja sen soveltamissäännöissä vahvistettuja turvallisuussääntöjä.
2. EU:n turvallisuusluokitellut tiedot vaarantuvat, kun ne ovat tietoturvaloukkauksen seurauksena paljastuneet kokonaan tai osittain sivullisille.
3. Tapahtuneesta tai epäillystä tietoturvaloukkauksesta on ilmoitettava välittömästi komission turvallisuusviranomaiselle.
4. Jos EU:n turvallisuusluokiteltujen tietojen tiedetään tai voidaan perustellusti olettaa vaarantuneen tai hävinneen, on tehtävä turvallisuustarkastus päätöksen (EU, Euratom) 2015/443 13 artiklan mukaisesti.
5. On toteutettava kaikki aiheelliset toimenpiteet
a)
luovuttajalle ilmoittamiseksi;
b)
sen varmistamiseksi, että tapausta tutkivat tosiasioiden selvittämiseksi sellaiset henkilöstön jäsenet, joita tietoturvaloukkaus ei koske välittömästi;
c)
unionin tai jäsenvaltioiden eduille mahdollisesti aiheutuneen vahingon arvioimiseksi;
d)
sellaisten toimien toteuttamiseksi, joilla estetään tapahtuneen toistuminen; ja
e)
toteutetuista toimista asiaankuuluville viranomaisille ilmoittamiseksi.
6. Henkilölle, joka on vastuussa tässä päätöksessä vahvistettujen turvallisuussääntöjen rikkomisesta, voidaan määrätä henkilöstösääntöjen mukainen kurinpitoseuraamus. Henkilölle, joka on aiheuttanut EU:n turvallisuusluokiteltujen tietojen vaarantumisen tai häviämisen, on määrättävä kurinpidollisia ja/tai oikeudellisia seuraamuksia asiassa sovellettavien lakien, sääntöjen ja määräysten mukaisesti.
2 LUKU
HENKILÖSTÖTURVALLISUUS
9 artikla
Määritelmät
Tässä luvussa tarkoitetaan
1)
’valtuutuksella EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten’ päätöstä, jonka komission turvallisuusviranomainen tekee jäsenvaltion toimivaltaisen viranomaisen antaman vakuutuksen perusteella ja jonka mukaan komission virkamiehelle, muuhun henkilöstöön kuuluvalle tai kansalliselle asiantuntijalle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tiettyyn turvallisuusluokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampi) ja tiettyyn päivämäärään asti edellyttäen, että henkilön tiedonsaantitarve on todennettu ja että hänelle on tiedotettu asianmukaisesti hänelle kuuluvasta vastuusta. Henkilön katsotaan tämän jälkeen olevan ”turvallisuusvaltuutettu”;
2)
’henkilöturvallisuusvaltuutuksella’ toimia sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin myönnetään ainoastaan henkilölle,
a)
jolla on tiedonsaantitarve,
b)
jolle on tarvittaessa myönnetty asianmukaisen tason turvallisuusvaltuutus ja
c)
jolle on tiedotettu hänelle kuuluvasta vastuusta;
3)
’henkilöturvallisuusselvityksellä’ jäsenvaltion toimivaltaisen viranomaisen lausuntoa, joka annetaan jäsenvaltion toimivaltaisten viranomaisten tekemän turvallisuustutkinnan päätteeksi ja jonka mukaan henkilölle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tiettyyn turvallisuusluokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampi) ja tiettyyn päivämäärään saakka edellyttäen, että hänen tiedonsaantitarpeensa on todennettu ja että hänelle on tiedotettu asianmukaisesti hänelle kuuluvasta vastuusta;
4)
’henkilöturvallisuusselvitykseen perustuvalla todistuksella’ toimivaltaisen viranomaisen antamaa todistusta, jonka mukaan henkilöllä on voimassa oleva turvallisuusselvitys tai komission turvallisuusviranomaisen myöntämä turvallisuusvaltuutus ja josta käy ilmi turvallisuusluokka, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin henkilölle voidaan myöntää pääsy (CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampi), asianomaisen turvallisuusselvityksen tai -valtuutuksen voimassaoloaika ja todistuksen voimassaolon päättymispäivä;
5)
’turvallisuustutkinnalla’ tutkintamenettelyjä, jotka jäsenvaltion toimivaltainen viranomainen suorittaa kansallisten lakien ja asetusten mukaisesti varmistaakseen, että tiedossa ei ole mitään sellaista kielteistä seikkaa, joka estäisi turvallisuusselvityksen myöntämisen henkilölle tiettyyn turvallisuusluokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampi) asti.
10 artikla
Perusperiaatteet
1. Henkilölle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin vasta sen jälkeen, kun
(1)
hänen tiedonsaantitarpeensa on todennettu;
(2)
hänelle on selvitetty EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuussäännöt sekä asiaankuuluvat turvallisuusvaatimukset ja -ohjeet ja hän on vahvistanut tällaisten tietojen suojaamista koskevan vastuunsa;
(3)
hänelle on myönnetty turvallisuusvaltuutus tai hänellä on tehtäviensä vuoksi muu kansallisten lakien ja asetusten mukainen valtuutus CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason tietoihin pääsyä varten.
2. Kaikilla henkilöillä, joiden tehtävät saattavat edellyttää pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuihin tietoihin, on oltava asianmukainen turvallisuusvaltuutus ennen kuin heillä voidaan myöntää pääsy kyseisiin tietoihin. Asianomaiselta on saatava kirjallinen suostumus henkilöturvallisuusselvityksen tekemiseen. Ilman suostumusta henkilöä ei voida nimittää toimeen tai tehtävään, joka edellyttää pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeammalle tasolle luokiteltuihin tietoihin.
3. Henkilöturvallisuusselvityksen tarkoituksena on selvittää, voidaanko henkilölle myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin hänen lojaaliutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen.
4. Henkilön lojaalius, rehellisyys ja luotettavuus määritetään turvallisuusselvityksen tekemistä ja pääsyn myöntämistä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeammalle tasolle luokiteltuihin tietoihin niin, että jäsenvaltion toimivaltaiset viranomaiset suorittavat kansallisten lakien ja asetusten mukaisen turvallisuustutkinnan.
5. Komission turvallisuusviranomainen on yksin vastuussa yhteydenpidosta kansallisiin turvallisuusviranomaisiin tai muihin toimivaltaisiin viranomaisiin kaikissa turvallisuusselvitykseen liittyvissä asioissa. Kaikki yhteydenpito komission yksiköiden ja niiden henkilöstön sekä kansallisten turvallisuusviranomaisten ja muiden toimivaltaisten viranomaisten välillä tapahtuu komission turvallisuusviranomaisen kautta.
11 artikla
Turvallisuusvaltuutusmenettely
1. Komission sisällä kunkin pääjohtajan tai yksikönpäällikön on nimettävä osastossaan toimet, joiden haltijoilla on tehtäviensä hoitamiseksi oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeammalle tasolle luokiteltuihin tietoihin ja joilla on siksi oltava turvallisuusvaltuutus.
2. Heti kun on tiedossa, että henkilö aiotaan nimittää tehtävään, joka edellyttää pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeammalle tasolle luokiteltuihin tietoihin, komission asianomaisen osaston paikallinen turvavastaava ilmoittaa asiasta komission turvallisuusviranomaiselle, joka toimittaa kyseiselle henkilölle sen jäsenvaltion kansallisen turvallisuusviranomaisen turvallisuusselvityslomakkeen, jonka kansalainen kyseinen EU:n toimielinten henkilöstön jäseneksi nimitetty henkilö on. Asianomaiselta henkilöltä on saatava kirjallinen suostumus turvallisuusselvityksen tekemiseen, ja hänen on palautettava täytetty lomake mahdollisimman pian komission turvallisuusviranomaiselle.
3. Komission turvallisuusviranomainen toimittaa täytetyn turvallisuusselvityslomakkeen sen jäsenvaltion kansalliselle turvallisuusviranomaiselle, jonka kansalainen kyseinen EU:n toimielinten henkilöstön jäseneksi nimitetty henkilö on, ja pyytää sitä tekemään turvallisuustutkinnan sillä EU:n turvallisuusluokiteltujen tietojen tasolla, johon henkilöllä on oltava pääsy.
4. Jos komission turvallisuusviranomaisen tietoon tulee turvallisuustutkinnan kannalta merkityksellisiä tietoja henkilöstä, joka on hakenut turvallisuusselvitystä, komission turvallisuusviranomainen ilmoittaa siitä toimivaltaiselle kansalliselle turvallisuusviranomaiselle asiaankuuluvien sääntöjen ja määräysten mukaisesti.
5. Turvallisuustutkinnan valmistuttua ja mahdollisimman pian sen jälkeen, kun kansallinen turvallisuusviranomainen on ilmoittanut sille kokonaisarvionsa turvallisuustutkinnan tuloksista, komission turvallisuusviranomainen
a)
voi myöntää asianomaiselle henkilölle valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten tiettyyn tasoon ja tiettyyn turvallisuusviranomaisen määrittämään päivämäärään asti mutta enintään viideksi vuodeksi, jos turvallisuustutkinnan johdosta annetaan vakuutus, jonka mukaan ei ole tiedossa mitään sellaista kielteistä seikkaa, joka kyseenalaistaisi henkilön lojaaliuden, rehellisyyden ja luotettavuuden;
b)
siinä tapauksessa, että turvallisuustutkinnan johdosta ei anneta tällaista vakuutusta, ilmoittaa siitä asiaankuuluvien sääntöjen ja määräysten mukaisesti asianomaiselle henkilölle, joka voi pyytää, että komission turvallisuusviranomainen kuulee häntä; komission turvallisuusviranomainen voi puolestaan pyytää toimivaltaiselta kansalliselta turvallisuusviranomaiselta lisäselvityksiä, joita se voi antaa kansallisten lakien ja asetusten mukaisesti. Jos turvallisuustutkinnan tulos vahvistetaan, valtuutusta EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten ei myönnetä.
6. Turvallisuustutkintaan ja sen tuloksiin sovelletaan kyseisessä jäsenvaltiossa voimassa olevia asiaa koskevia lakeja ja asetuksia, myös muutoksenhakukeinojen osalta. Komission turvallisuusviranomaisen päätöksiin voi hakea muutosta henkilöstösääntöjen mukaisesti.
7. Komissio hyväksyy muiden unionin toimielinten, elinten tai laitosten antaman valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten edellyttäen, että valtuutus on voimassa. Valtuutus kattaa kaikki asianomaisen henkilön komissiossa suorittamat tehtävät. Unionin toimielin, elin tai laitos, jossa henkilö ottaa työn vastaan, ilmoittaa asianomaiselle kansalliselle turvallisuusviranomaiselle henkilön työnantajan vaihtumisesta.
8. Jos henkilön palvelusaika ei ala 12 kuukauden kuluessa siitä, kun turvallisuustutkinnan tulokset on ilmoitettu komission turvallisuusviranomaiselle, tai jos henkilön palveluksessaolo keskeytyy 12 kuukaudeksi eikä hän sinä aikana ole komission eikä minkään muun unionin toimielimen, elimen tai laitoksen taikka jäsenvaltion kansallisen hallinnon palveluksessa, komission turvallisuusviranomainen pyytää kansalliselta turvallisuusviranomaiselta vahvistuksen sille, että turvallisuusselvitys on edelleen voimassa ja asianmukainen.
9. Jos komission turvallisuusviranomaisen tietoon tulee seikkoja, joiden perusteella voimassa olevan turvallisuusvaltuutuksen haltija muodostaa turvallisuusriskin, turvallisuusviranomainen ilmoittaa asiasta toimivaltaiselle kansalliselle turvallisuusviranomaiselle asiaankuuluvien sääntöjen ja määräysten mukaisesti.
10. Jos kansallinen turvallisuusviranomainen ilmoittaa komission turvallisuusviranomaiselle EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten myönnetyn ja voimassa olevan valtuutuksen haltijaa koskevan, 5 kohdan a alakohdan mukaisesti annetun vakuutuksen perumisesta, komission turvallisuusviranomainen voi pyytää selvennystä, jonka kansallinen turvallisuusviranomainen voi antaa kansallisten lakien ja asetusten mukaisesti. Jos kansallinen turvallisuusviranomainen vahvistaa kielteisen seikan, turvallisuusvaltuutus on peruttava ja asianomaiselta henkilöltä evättävä pääsy EU:n turvallisuusluokiteltuihin tietoihin ja tehtäviin, joissa niihin on mahdollista päästä tai joissa hän voisi vaarantaa turvallisuuden.
11. Päätös perua tai keskeyttää tämän päätöksen soveltamisalaan kuuluvalle henkilölle myönnetty valtuutus päästä EU:n turvallisuusluokiteltuihin tietoihin ja tarvittaessa päätöksen perusteet on ilmoitettava asianomaiselle, joka voi pyytää tulla komission turvallisuusviranomaisen kuulemaksi. Kansallisen turvallisuusviranomaisen toimittamiin tietoihin sovelletaan kyseisessä jäsenvaltiossa voimassa olevia asiaa koskevia lakeja ja asetuksia. Komission turvallisuusviranomaisen tässä yhteydessä tekemiin päätöksiin voi hakea muutosta henkilöstösääntöjen mukaisesti.
12. Komission osastot varmistavat, että niiden sellaisissa tehtävissä työskentelevät kansalliset asiantuntijat, joissa edellytetään turvallisuusvaltuutusta EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, esittävät komission turvallisuusviranomaiselle ennen tehtäviensä aloittamista voimassa olevan henkilöturvallisuusselvityksen tai siihen perustuvan todistuksen kansallisten lakien ja asetusten mukaisesti; selvityksen tai todistuksen perusteella komission turvallisuusviranomainen myöntää enintään tehtävän keston ajaksi valtuutuksen päästä EU:n turvallisuusluokiteltuihin tietoihin sellaiseen tasoon asti, joka vastaa kansallisessa turvallisuusselvityksessä mainittua tasoa.
13. Komission jäsenille, joilla on tehtäviensä vuoksi perussopimukseen perustuva pääsy EU:n turvallisuusluokiteltuihin tietoihin, on tiedotettava heille kuuluvasta vastuusta kyseisten tietojen suojaamisessa.
14. Komission turvallisuusviranomainen pitää tämän päätöksen mukaisesti rekisteriä turvallisuusselvityksistä ja EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevista valtuutuksista. Vähimmäisvaatimuksena rekisteriin on merkittävä korkein taso, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin henkilölle voidaan myöntää pääsy, turvallisuusselvityksen myöntämispäivä ja sen voimassaoloaika.
15. Komission turvallisuusviranomainen voi antaa henkilöturvallisuusselvitykseen perustuvan todistuksen, josta käy ilmi taso, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin asianomaiselle henkilölle voidaan myöntää pääsy (CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampi), EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevan valtuutuksen voimassaoloaika ja itse todistuksen voimassaolon päättymispäivä.
16. Sen jälkeen, kun turvallisuusvaltuutus on ensimmäisen kerran myönnetty, ja edellyttäen, että henkilö on ollut keskeytyksettä Euroopan komission tai muun unionin toimielimen, elimen tai laitoksen palveluksessa ja hänellä on jatkuva tarve päästä EU:n turvallisuusluokiteltuihin tietoihin, turvallisuusvaltuutusta tarkastellaan uudelleen pääsääntöisesti aina viiden vuoden kuluttua edellisen turvallisuustutkinnan, johon myönnetty valtuutus perustuu, tulosten ilmoituspäivästä.
17. Komission turvallisuusviranomainen voi jatkaa voimassa olevan turvallisuusvaltuutuksen voimassaoloa enintään 12 kuukaudella, jos kansallinen turvallisuusviranomainen tai muu toimivaltainen viranomainen ei ole ilmoittanut mitään kielteisiä seikkoja kahden kuukauden kuluessa uusintapyynnön ja siihen liittyvän turvallisuusselvityslomakkeen lähetyspäivästä. Jos kyseisen 12 kuukauden jakson päätyttyä kansallinen turvallisuusviranomainen tai muu toimivaltainen viranomainen ei ole toimittanut komission turvallisuusviranomaiselle lausuntoa, asianomainen henkilö siirretään tehtäviin, joissa ei vaadita turvallisuusvaltuutusta.
12 artikla
Turvallisuusvaltuutuksia koskevat tiedotustilaisuudet
1. Osallistuttuaan komission turvallisuusviranomaisen turvallisuusvaltuutuksista järjestämään tiedotustilaisuuteen kaikkien valtuutuksen saaneiden on annettava kirjallinen vakuutus siitä, että he ovat ymmärtäneet EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat velvollisuutensa ja tietojen vaarantumisen seuraukset. Komission turvallisuusviranomainen tallentaa nämä kirjalliset vakuutukset.
2. Kaikille henkilöille, joilla on valtuutus päästä EU:n turvallisuusluokiteltuihin tietoihin tai joiden edellytetään käsittelevän niitä, on aluksi selvitettävä turvallisuusuhat, joista on tiedotettava säännöllisin väliajoin, ja heidän on ilmoitettava välittömästi komission turvallisuusviranomaiselle sellaisesta yhteydenotosta tai toiminnasta, jota hän pitää epäilyttävänä tai epätavanomaisena.
3. Kaikille henkilöille, jotka siirtyvät pois tehtävistä, jotka edellyttävät pääsyä EU:n turvallisuusluokiteltuihin tietoihin, on selvitettävä heidän velvollisuutensa EU:n turvallisuusluokiteltujen tietojen jatkuvan suojaamisen osalta, ja heidän on tarvittaessa annettava siitä kirjallinen vakuutus.
13 artikla
Tilapäiset turvallisuusvaltuutukset
1. Poikkeuksellisissa olosuhteissa komission turvallisuusviranomainen voi sen jäsenvaltion kansallista turvallisuusviranomaista kuultuaan, jonka kansalainen asianomainen henkilö on, ja kielteisten seikkojen olemassaoloa koskevien alustavien tarkastusten tuloksista riippuen myöntää henkilölle tiettyä tehtävää varten tilapäisen valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, jos se on yksikön edun mukaista asianmukaisesti perusteltuna ja jos täysimittainen turvallisuustutkinta on kesken, sanotun kuitenkaan rajoittamatta turvallisuusselvityksen uusimista koskevien säännösten soveltamista. Tilapäinen valtuutus EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten on voimassa korkeintaan kuuden kuukauden mittaisen ajanjakson ajan, eikä se oikeuta pääsemään TRES SECRET UE/EU TOP SECRET -turvallisuusluokan tietoihin.
2. Kaikkien henkilöiden, joille on myönnetty tilapäinen valtuutus, on sen jälkeen, kun heille on tiedotettu asiasta 12 artiklan 1 kohdan mukaisesti, vakuutettava kirjallisesti ymmärtäneensä velvollisuutensa EU:n turvallisuusluokiteltujen tietojen suojaamisessa sekä tietojen vaarantumisen seuraukset. Komission turvallisuusviranomainen tallentaa nämä kirjalliset vakuutukset.
14 artikla
Osallistuminen komission järjestämiin luottamuksellisiin kokouksiin
1. Sellaisten kokousten järjestämisestä vastaavat komission osastot, joissa keskustellaan CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeampaan turvallisuusluokkaan kuuluvista tiedoista, ilmoittavat paikallisen turvavastaavansa tai kokouksen järjestäjän välityksellä komission turvallisuusviranomaiselle hyvissä ajoin tällaisen kokouksen päivämäärän, kellonajan, paikan ja osallistujat.
2. Komission järjestämiin kokouksiin, joissa keskustellaan CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeampaan turvallisuusluokkaan kuuluvista tiedoista, voivat osallistua ainoastaan henkilöt, joiden turvallisuusselvitys tai -valtuutus on vahvistettu, sanotun kuitenkaan rajoittamatta 11 artiklan 13 kohdan soveltamista. Tällaisiin luottamuksellisiin kokouksiin eivät voi osallistua henkilöt, joista komission turvallisuusviranomainen ei ole nähnyt henkilöturvallisuusselvitykseen perustuvaa todistusta tai muuta todistetta turvallisuusselvityksestä, eivätkä komission edustajat, joilla ei ole turvallisuusvaltuutusta.
3. Ennen luottamuksellisen kokouksen järjestämistä vastuullinen järjestäjä tai kokouksen järjestävän komission osaston paikallinen turvavastaava pyytää ulkopuolisia osallistujia toimittamaan komission turvallisuusviranomaiselle henkilöturvallisuusselvitykseen perustuvan todistuksen tai muun todisteen turvallisuusselvityksestä. Komission turvallisuusviranomainen ilmoittaa paikalliselle turvavastaavalle tai kokouksen järjestäjälle saatuaan henkilöturvallisuusselvitykseen perustuvan todistuksen tai muun todisteen henkilöturvallisuusselvityksestä. Tarvittaessa voidaan käyttää nimiluetteloa, johon sisältyy asianmukaisen todiste turvallisuusselvityksestä.
4. Jos toimivaltaiset viranomaiset ilmoittavat komission turvallisuusviranomaiselle, että henkilöturvallisuusselvitys on peruttu henkilöltä, jonka tehtävät edellyttävät osallistumista komission järjestämiin kokouksiin, komission turvallisuusviranomainen ilmoittaa asiasta kokouksen järjestämisestä vastaavan komission osaston paikalliselle turvavastaavalle.
15 artikla
Mahdollinen pääsy EU:n turvallisuusluokiteltuihin tietoihin
Kuriireilla, vartijoilla ja saattajilla on oltava asiaankuuluvan tason turvallisuusvaltuutus tai heidän on oltava muulla tavoin asianmukaisesti tutkittuja kansallisten lakien ja asetusten mukaisesti, heille on selvitettävä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat menettelyt ja heille on annettava ohjeet tällaisten heille uskottujen tietojen suojaamiseen liittyvistä tehtävistään.
3 LUKU
TURVALLISUUSLUOKITELTUJEN TIETOJEN SUOJAAMISEEN TÄHTÄÄVÄ FYYSINEN TURVALLISUUS
16 artikla
Perusperiaatteet
1. Fyysisten turvatoimien tarkoituksena on estää tunkeutuminen salaa tai väkisin, ehkäistä, estää ja havaita luvattomat toimet ja mahdollistaa henkilöstön jaottelu EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten heidän tiedonsaantitarpeensa perusteella. Tällaisista toimista päätetään riskinhallintaprosessin perusteella tämän päätöksen ja sen soveltamissääntöjen mukaisesti.
2. Fyysisten turvatoimien tarkoituksena on erityisesti estää luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin
a)
varmistamalla, että EU:n turvallisuusluokiteltuja tietoja käsitellään ja säilytetään asianmukaisesti;
b)
mahdollistamalla henkilöstön jaottelu EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten heidän tiedonsaantitarpeensa ja tarvittaessa heidän turvallisuusvaltuutustensa perusteella;
c)
ehkäisemällä, estämällä ja havaitsemalla luvattomat toimet; ja
d)
estämällä salaa tai väkisin tapahtuva tunkeutuminen tai viivyttämällä sitä.
3. Fyysiset turvatoimet on toteutettava kaikissa tiloissa, rakennuksissa, toimistoissa, huoneissa ja muissa paikoissa, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään tai säilytetään, mukaan lukien alueet, joissa 5 luvussa tarkoitetut viestintä- ja tietojärjestelmät sijaitsevat.
4. Alueet, joilla säilytetään CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuja tietoja, on tämän luvun mukaisesti määriteltävä turva-alueiksi, ja komission turvallisuusjärjestelyjen hyväksyntäviranomaisen on hyväksyttävä ne.
5. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltujen tietojen suojaamiseen saa käyttää vain komission turvallisuusviranomaisen hyväksymiä välineitä ja laitteita.
17 artikla
Fyysiset turvallisuusvaatimukset ja turvatoimet
1. Fyysiset turvatoimet valitaan komission turvallisuusviranomaisen tekemän uhka-arvion perusteella ja tarvittaessa yhteistyössä muiden komission osastojen, muiden unionin toimielinten, elinten tai virastojen ja/tai jäsenvaltioiden toimivaltaisten viranomaisten kanssa. Komissio soveltaa riskinhallintaprosessia EU:n turvallisuusluokiteltujen tietojen suojaamiseen tiloissaan sen varmistamiseksi, että fyysisen suojelun taso vastaa arvioitua riskiä. Riskinhallintaprosessissa on otettava huomioon kaikki asiaankuuluvat tekijät, erityisesti seuraavat:
a)
EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka;
b)
EU:n turvallisuusluokiteltujen tietojen muoto ja määrä pitäen mielessä, että niiden suuri määrä tai yhdistäminen voi edellyttää tiukempien suojatoimien toteuttamista;
c)
EU:n turvallisuusluokiteltujen tietojen sijaintirakennusten tai -alueiden ympäristö ja rakenne; ja
d)
niiden tiedustelupalvelujen muodostama arvioitu uhka, joiden toiminta kohdistuu unioniin, sen toimielimiin, elimiin ja laitoksiin tai jäsenvaltioihin, sekä sabotaasin, terrorismin taikka kumouksellisen tai muun rikollisen toiminnan uhka.
2. Komission turvallisuusviranomainen tekee päätöksen toteutettavien fyysisten turvatoimien asianmukaisesta yhdistelmästä syvyyssuuntaisen turvallisuuden käsitettä soveltaen. Tätä varten komission turvallisuusviranomainen laatii vähimmäisvaatimukset, normit ja kriteerit, jotka esitetään soveltamissäännöissä.
3. Komission turvallisuusviranomaisella on valtuudet tehdä sisään- ja ulostulotarkastuksia, millä estetään materiaalin luvaton tuonti tai EU:n turvallisuusluokiteltujen tietojen luvaton vienti tiloista tai rakennuksista.
4. Jos EU:n turvallisuusluokiteltuihin tietoihin kohdistuu salakatselun riski, vahingossa tapahtuva salakatselu mukaan lukien, asianomaiset komission osastot toteuttavat komission turvallisuusviranomaisen määrittelemät aiheelliset toimenpiteet tällaisen riskin torjumiseksi.
5. Uusien toimitilojen osalta fyysiset turvallisuusvaatimukset ja niiden toiminnalliset eritelmät on määriteltävä yhteisymmärryksessä komission turvallisuusviranomaisen kanssa osana toimitilojen suunnittelua. Olemassa olevien toimitilojen osalta fyysisiä turvallisuusvaatimuksia sovelletaan soveltamissäännöissä esitettyjen vähimmäisvaatimusten, normien ja kriteerien mukaisesti.
18 artikla
EU:n turvallisuusluokiteltujen tietojen fyysiseen suojeluun tarkoitetut välineet
1. EU:n turvallisuusluokiteltujen tietojen fyysiseksi suojaamiseksi on perustettava kahdentyyppisiä fyysisesti suojattuja alueita:
a)
hallinnollisia alueita; ja
b)
turva-alueita (mukaan lukien teknisesti suojatut turva-alueet).
2. Komission turvallisuusjärjestelyjen hyväksyntäviranomainen vahvistaa, että alue täyttää hallinnolliseksi alueeksi, turva-alueeksi tai teknisesti suojatuksi turva-alueeksi nimeämistä koskevat vaatimukset.
3. Hallinnollisiin alueisiin sovelletaan seuraavaa:
a)
alueella on oltava selvästi määritellyt näkyvät rajat, joilla henkilöt ja mahdollisuuksien mukaan ajoneuvot voidaan tarkastaa;
b)
vain komission turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen asianmukaisesti valtuuttamilla henkilöillä on pääsy alueelle ilman saattajaa; ja
c)
kaikilla muilla henkilöillä on oltava aina saattaja tai heille on tehtävä vastaavat tarkastukset.
4. Turva-alueisiin sovelletaan seuraavaa:
a)
alueella on oltava selvästi määritellyt, näkyvät ja suojatut rajat, joilla sisään- ja ulostuloa valvotaan kulkuluvin tai henkilöiden tunnistusjärjestelmällä;
b)
pääsy alueelle ilman saattajaa myönnetään vain henkilöille, jotka ovat turvallisuusselvitettyjä ja joilla on erityinen valtuutus tulla alueelle tiedonsaantitarpeensa perusteella;
c)
kaikilla muilla henkilöillä on oltava aina saattaja tai heille on tehtävä vastaavat tarkastukset.
5. Jos turva-alueelle tulo merkitsee käytännössä välitöntä pääsyä sillä oleviin turvallisuusluokiteltuihin tietoihin, sovelletaan lisäksi seuraavia vaatimuksia:
a)
alueella tavallisesti säilytettävien tietojen korkein turvallisuusluokka on ilmoitettava selvästi;
b)
kaikilla vierailijoilla on oltava erityinen valtuutus tulla alueelle, heillä on oltava aina saattaja ja heidän on oltava asianmukaisesti turvallisuusselvitettyjä, paitsi jos on toteutettu toimenpiteitä sen varmistamiseksi, ettei EU:n turvallisuusluokiteltuihin tietoihin ole mahdollista päästä.
6. Salakuuntelulta suojatut turva-alueet on nimettävä teknisesti suojatuiksi turva-alueiksi. Lisäksi sovelletaan seuraavia vaatimuksia:
a)
alueilla on oltava tunkeutumisenhavaitsemisjärjestelmä, ne on pidettävä lukittuina silloin kun niitä ei käytetä ja niitä on vartioitava silloin kun ne ovat käytössä. Avaimia on hallinnoitava 20 artiklan mukaisesti;
b)
alueille tulevia henkilöitä ja materiaalia on valvottava;
c)
komission turvallisuusviranomainen tarkastaa alueet fyysisesti ja/tai teknisesti säännöllisin väliajoin. Tällaiset tarkastukset on suoritettava myös luvattoman sisäänpääsyn tapauksessa tai sitä epäiltäessä; ja
d)
alueilla ei saa olla luvattomia tietoliikenneyhteyksiä, luvattomia puhelimia tai muita luvattomia viestintävälineitä eikä sähkö- tai elektronisia laitteita.
7. Sen estämättä, mitä 6 kohdan d alakohdassa säädetään, komission turvallisuusviranomainen tarkastaa tapauksissa, joissa EU:n turvallisuusluokiteltuihin tietoihin kohdistuva uhka arvioidaan suureksi, kaikki viestintä-, sähkö- ja elektroniset laitteet ennen kuin niitä käytetään alueilla, joilla järjestetään SECRET UE/EU SECRET- tai sitä korkeamman turvallisuusluokan tietoihin liittyviä kokouksia tai tehdään niihin liittyvää työtä, ja varmistaa näin, ettei kyseisillä laitteilla voi tahattomasti tai laittomasti välittää ymmärrettävässä muodossa olevia tietoja turva-alueen rajojen ulkopuolelle.
8. Turva-alueet, joilla ei ole päivystävää henkilöstöä vuorokauden ympäri, on tarvittaessa tarkastettava normaalin työajan päätteeksi ja satunnaisin väliajoin sen ulkopuolella, paitsi jos alueelle on asennettu tunkeutumisenhavaitsemisjärjestelmä.
9. Turva-alueita ja teknisesti suojattuja turva-alueita voidaan perustaa tilapäisesti hallinnolliselle alueelle luottamuksellista kokousta tai muuta vastaavaa tarkoitusta varten.
10. Komission asianomaisen osaston paikallinen turvavastaava laatii kullekin vastuullaan olevalle turva-alueelle turvallisuusmenettelyt, joissa määrätään tämän päätöksen ja sen soveltamissääntöjen mukaisesti seuraavista:
a)
EU:n turvallisuusluokiteltujen tietojen, joita alueella saatetaan käsitellä ja säilyttää, turvallisuusluokka;
b)
toteutettavat valvonta- ja suojatoimet;
c)
henkilöt, joilla on pääsy alueelle ilman saattajaa tiedonsaantitarpeensa ja turvallisuusvaltuutuksensa perusteella;
d)
tarvittaessa menettelyt saattajien käyttämiseksi tai EU:n turvallisuusluokiteltujen tietojen suojaamiseksi silloin, kun muille henkilöille myönnetään pääsy alueelle;
e)
muut asiaankuuluvat toimet ja menettelyt.
11. Turva-alueille on rakennettava kassaholveja. Komission turvallisuusviranomainen hyväksyy seinät, lattiat, katot, ikkunat ja lukittavat ovet, joiden on tarjottava sama turvallisuustaso kuin samalle tasolle luokiteltujen EU:n turvallisuusluokiteltujen tietojen säilyttämiseen hyväksytyt turvakaapit.
19 artikla
EU:n turvallisuusluokiteltujen tietojen käsittelyssä ja säilyttämisessä noudatettavat fyysiset suojatoimet
1. Tasolle RESTREINT UE/EU RESTRICTED luokiteltuja EU:n turvallisuusluokiteltuja tietoja saa käsitellä
a)
turva-alueella;
b)
hallinnollisella alueella, jos pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta; tai
c)
turva-alueen tai hallinnollisen alueen ulkopuolella, jos haltija kuljettaa EU:n turvallisuusluokiteltuja tietoja 31 artiklan mukaisesti ja on sitoutunut noudattamaan soveltamissäännöissä esitettyjä korvaavia toimia sen varmistamiseksi, että pääsy EU:n turvaluokiteltuihin tietoihin on suojattu sivullisilta.
2. Tasolle RESTREINT UE/EU RESTRICTED kuuluvat EU:n turvallisuusluokitellut tiedot on säilytettävä soveltuvissa lukituissa toimistokalusteissa hallinnollisella alueella tai turva-alueella. Niitä voidaan tilapäisesti säilyttää hallinnollisen alueen tai turva-alueen ulkopuolella, jos haltija on sitoutunut noudattamaan soveltamissäännöissä esitettyjä korvaavia toimenpiteitä.
3. Tasolle CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluvia EU:n turvallisuusluokiteltuja tietoja saa käsitellä
a)
turva-alueella;
b)
hallinnollisella alueella, jos pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta; tai
c)
turva-alueen tai hallinnollisen alueen ulkopuolella, jos haltija
i)
on sitoutunut noudattamaan soveltamissäännöissä esitettyjä korvaavia toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta;
ii)
pitää EU:n turvallisuusluokitellut tiedot kaikkina aikoina henkilökohtaisessa valvonnassaan; ja
iii)
on ilmoittanut asiaankuuluvalle rekisterille, jos asiakirjat ovat paperimuodossa.
4. Tasolle CONFIDENTIEL UE/EU CONFIDENTIAL ja SECRET UE/EU SECRET luokitellut EU:n turvallisuusluokitellut tiedot on säilytettävä turva-alueella turvakaapissa tai kassaholvissa.
5. Tasolle TRES SECRET UE/EU TOP SECRET luokiteltuja EU:n turvallisuusluokiteltuja tietoja on käsiteltävä turva-alueella, jonka komission turvallisuusviranomainen on perustanut ja jota se ylläpitää, ja jolle komission turvallisuusjärjestelyjen hyväksyntäviranomainen on antanut kyseisen tason hyväksynnän.
6. Tasolle TRES SECRET UE/EU TOP SECRET luokiteltuja EU:n turvallisuusluokiteltuja tietoja on säilytettävä turva-alueella, jolle komission turvallisuusjärjestelyjen hyväksyntäviranomainen on antanut kyseisen tason hyväksynnän, joko
a)
turvakaapissa 18 artiklan mukaisesti soveltaen yhtä tai useampaa seuraavista lisävalvontatoimista:
(1)
jatkuva suojaus tai varmennus turvallisuusselvitetyn turvahenkilöstön tai päivystävän henkilöstön toimesta;
(2)
hyväksytty tunkeutumisenhavaitsemisjärjestelmä ja hälytyksiin vastaava turvallisuushenkilöstö;
tai
b)
tunkeutumisenhavaitsemisjärjestelmällä varustetussa kassaholvissa, minkä lisäksi turvallisuushenkilöstö vastaa hälytyksiin.
20 artikla
EU:n turvallisuusluokiteltujen tietojen suojaamisessa käytettävien avainten ja numeroyhdistelmien hallinnointi
1. Toimistojen, huoneiden, kassaholvien ja turvakaappien avainten ja numeroyhdistelmien hallinnointimenettelyt esitetään soveltamissäännöissä 60 artiklan mukaisesti. Menettelyjen tarkoituksena on estää luvaton pääsy.
2. Numeroyhdistelmät on opeteltava ulkoa, ja ne annetaan mahdollisimman pienelle joukolle ihmisiä, joiden on tarpeen tietää ne. EU:n turvallisuusluokiteltuja tietoja sisältävien turvakaappien ja kassaholvien numeroyhdistelmät on vaihdettava
a)
uuden turvallisuuskaapin vastaanoton yhteydessä;
b)
aina kun numeroyhdistelmän tuntevassa henkilöstössä tapahtuu muutos;
c)
aina kun tiedot ovat vaarantuneet tai niiden epäillään vaarantuneen;
d)
kun jokin lukoista on huollettu tai korjattu; ja
e)
vähintään 12 kuukauden välein.
4 LUKU
EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN HALLINNOINTI
21 artikla
Perusperiaatteet
1. Kaikkia EU:n turvallisuusluokiteltuja tietoja sisältäviä asiakirjoja on hallinnoitava asiakirjahallintoa koskevaa komission politiikkaa noudattaen, ja ne olisi tästä syystä rekisteröitävä, arkistoitava, tallennettava ja lopulta joko hävitettävä taikka siirrettävä historiallisiin arkistoihin joko sellaisenaan tai osana otantaa Euroopan komission tiedostoja koskevan yhteisen säilytysluettelon mukaisesti.
2. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason turvallisuusluokitellut tiedot on turvallisuussyistä rekisteröitävä ennen niiden jakelua ja niitä vastaanotettaessa. Tasolle TRÈS SECRET UE/EU TOP SECRET luokitellut tiedot on rekisteröitävä niille tarkoitetuissa rekistereissä.
3. Komissioon perustetaan EU:n turvallisuusluokiteltujen tietojen rekisteröintijärjestelmä 27 artiklan mukaisesti.
4. Komission turvallisuusviranomainen tarkastaa säännöllisesti komission osastot ja tilat, joissa käsitellään tai säilytetään EU:n turvallisuusluokiteltuja tietoja.
5. EU:n turvallisuusluokiteltujen tietojen siirtämisessä yksiköiden ja tilojen välillä fyysisesti suojattujen alueiden ulkopuolella noudatetaan seuraavaa:
a)
EU:n turvallisuusluokitellut tiedot siirretään pääsääntöisesti sähköisillä välineillä, jotka on suojattu 5 luvun mukaisesti hyväksytyillä salaustuotteilla;
b)
jos a alakohdassa tarkoitettuja välineitä ei käytetä, EU:n turvallisuusluokitellut tiedot on kuljetettava joko
i)
5 luvun mukaisesti hyväksytyillä salaustuotteilla suojatuilla sähköisillä viestimillä (esim. USB-muistitikut, CD-levyt ja kiintolevyt); tai
ii)
kaikissa muissa tapauksissa soveltamissäännöissä esitetyllä tavalla.
22 artikla
Turvallisuusluokat ja -merkinnät
1. Tiedot on turvallisuusluokiteltava, jos niiden luottamuksellisuus on suojattava 3 artiklan 1 kohdan mukaisesti.
2. EU:n turvallisuusluokiteltujen tietojen luovuttaja vastaa tietojen turvallisuusluokan määrittelystä asiaankuuluvien soveltamissääntöjen, vaatimusten ja ohjeiden mukaisesti, sekä niiden alustavasta jakelusta.
3. EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka on määritettävä 3 artiklan 2 kohdan ja asiaankuuluvien soveltamissääntöjen mukaisesti.
4. Turvallisuusluokka on merkittävä selvästi ja oikein riippumatta siitä, ovatko EU:n turvallisuusluokitellut tiedot paperilla, suullisia, sähköisiä tai jossakin muussa muodossa.
5. Tietyn asiakirjan yksittäiset osat (kuten sivut, kohdat, jaksot, liitteet, lisäykset ja saatteet) saattavat edellyttää eri turvallisuusluokkia, ja ne voidaan merkitä sen mukaisesti, myös sähköisesti tallennettaessa.
6. Koko asiakirjan tai tiedoston turvallisuusluokan on oltava vähintään yhtä korkea kuin sen korkeimpaan turvallisuusluokkaan määritellyn osan turvallisuusluokka. Jos eri lähteistä peräisin olevia tietoja yhdistetään, lopputuotetta on tarkasteltava sen turvallisuusluokan määrittämiseksi, koska se voi edellyttää korkeampaa turvallisuusluokkaa kuin sen muodostavat osat.
7. Asiakirja, joka sisältää eri turvallisuusluokkiin kuuluvia osia, on mahdollisuuksien mukaan laadittava niin, että eri turvallisuusluokkiin kuuluvat osat voidaan helposti tunnistaa ja tarvittaessa irrottaa.
8. Liitteitä sisältävän kirjeen tai tiedonannon turvallisuusluokan on oltava yhtä korkea kuin sen liitteiden korkein turvallisuusluokka. Luovuttajan on ilmoitettava liitteistään irrotetun asiakirjan turvallisuusluokka selvästi asiaankuuluvalla merkinnällä esimerkiksi näin:
CONFIDENTIEL UE/EU CONFIDENTIAL
Ilman liitteitä: RESTREINT UE/EU RESTRICTED
23 artikla
Merkinnät
Edellä olevan 3 artiklan 2 kohdassa säädettyjen turvallisuusluokitusmerkintöjen lisäksi EU:n turvallisuusluokitelluissa tiedoissa voi olla muita merkintöjä, esimerkiksi
a)
tunniste, josta käy ilmi luovuttaja;
b)
varoitus, koodisana tai lyhenne, jolla tarkennetaan asiakirjan aihealue, erityisjakelu tiedonsaantitarpeen perusteella tai käyttörajoitukset;
c)
luovutettavuutta koskeva merkintä;
d)
tapauksen mukaan päivämäärä tai tietty tapahtuma, jonka jälkeen turvallisuusluokkaa voidaan alentaa tai se voidaan poistaa.
24 artikla
Turvallisuusluokitusmerkintöjen lyhenteet
1. Tekstin yksittäisten kappaleiden turvallisuusluokan merkitsemiseen voidaan käyttää vakiomuotoisia turvallisuusluokitusmerkintöjen lyhenteitä. Ne eivät korvaa täydellisiä turvallisuusluokitusmerkintöjä.
2. EU:n turvallisuusluokitelluissa asiakirjoissa voidaan käyttää seuraavia vakiomuotoisia lyhenteitä, joilla ilmoitetaan alle sivun mittaisten jaksojen tai tekstiosuuksien turvallisuusluokka:
TRES SECRET UE/EU TOP SECRET
TS-UE/EU-TS
SECRET UE/EU SECRET
S-UE/EU-S
CONFIDENTIEL UE/EU CONFIDENTIAL
C-UE/EU-C
RESTREINT UE/EU RESTRICTED
R-UE/EU-R
25 artikla
EU:n turvallisuusluokiteltujen tietojen tuottaminen
1. EU:n turvallisuusluokiteltua asiakirjaa laadittaessa
a)
turvallisuusluokka on merkittävä selvästi jokaiselle sivulle;
b)
jokainen sivu on numeroitava;
c)
asiakirjalla on oltava rekisteröintinumero ja aihe, joka ei ole turvallisuusluokiteltua tietoa, ellei sitä ole merkitty sellaiseksi;
d)
asiakirja on päivättävä;
e)
SECRET UE/EU SECRET- tai sitä korkeammalle tasolle luokitellun asiakirjan jokaiselle sivulle on merkittävä jäljennöksen numero, jos asiakirjaa on tarkoitus jakaa useampana kappaleena.
2. Jos 1 kohtaa ei ole mahdollista soveltaa EU:n turvallisuusluokiteltuihin tietoihin, on toteutettava muita aiheellisia toimenpiteitä soveltamissääntöjen mukaisesti.
26 artikla
EU:n turvallisuusluokiteltujen tietojen turvallisuusluokan alentaminen ja poistaminen
1. EU:n turvallisuusluokiteltuja tietoja tuottaessaan luovuttajan on mahdollisuuksien mukaan ilmoitettava, voidaanko turvallisuusluokkaa alentaa tai voidaanko se poistaa tiettynä päivämääränä tai tietyn tapahtuman jälkeen.
2. Kukin komission osasto tarkistaa säännöllisesti niiden EU:n turvallisuusluokiteltujen tietojen osalta, joiden luovuttaja se on, onko niiden turvallisuusluokka edelleen asianmukainen. Soveltamissäännöillä otetaan käyttöön järjestelmä komission luovuttamien, rekisteröityjen EU:n turvallisuusluokiteltujen tietojen turvallisuusluokan tarkistamiseksi vähintään viiden vuoden välein. Tarkistaminen ei ole tarpeen, jos luovuttaja on alun perin ilmoittanut, että turvallisuusluokkaa alennetaan tai se poistetaan ilman eri toimenpiteitä, ja jos tiedoissa on asiasta merkintä.
3. Tasolle RESTREINT UE/EU RESTRICTED luokiteltujen, komission luovuttamien tietojen turvallisuusluokka poistetaan ilman eri toimenpiteitä 30 vuoden kuluttua asetuksen (ETY, Euratom) N:o 354/83, sellaisena kuin se on muutettuna neuvoston asetuksella (EY, Euratom) N:o 1700/2003 (10), mukaisesti.
27 artikla
EU:n turvallisuusluokiteltujen tietojen rekisteröintijärjestelmä komissiossa
1. Jokaisessa komission osastossa, jossa käsitellään tai säilytetään CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -tason EU:n turvallisuusluokiteltuja tietoja, on nimettävä vastuullinen EU:n turvallisuusluokiteltujen tietojen paikallisrekisteri sen varmistamiseksi, että kyseisiä tietoja käsitellään tämän päätöksen mukaisesti, sanotun kuitenkaan rajoittamatta 52 artiklan 5 kohdan soveltamista.
2. Pääsihteeristön hallinnoima EU:n turvallisuusluokiteltujen tietojen rekisteri toimii komission EU:n turvallisuusluokiteltujen tietojen keskusrekisterinä. Se toimii
-
komission pääsihteeristön EU:n turvallisuusluokiteltujen tietojen paikallisrekisterinä;
-
komission jäsenten kabinettien EU:n turvallisuusluokiteltujen tietojen rekisterinä, paitsi jos niille on nimetty paikallisrekisteri;
-
sellaisten pääosastojen tai yksikköjen EU:n turvallisuusluokiteltujen tietojen rekisterinä, joilla ei ole paikallisrekisteriä;
-
pääasiallisena saapumis- ja lähtöpaikkana kaikille RESTREINT UE/EU RESTRICTED -tasolle ja aina SECRET UE/EU SECRET -tasoon asti luokitelluille tiedoille, joita komissio ja sen yksiköt ja, jos asiasta on sovittu erityisjärjestelyin, muut unionin toimielimet, elimet ja laitokset vaihtavat kolmansien maiden ja kansainvälisten järjestöjen kanssa.
3. Komission sisällä komission turvallisuusviranomainen nimeää rekisterin, joka toimii tasolle TRES SECRET UE/EU TOP SECRET luokiteltujen tietojen vastaanotosta ja lähettämisestä vastaavana keskusviranomaisena. Tarvittaessa voidaan nimetä alarekistereitä näiden tietojen käsittelemiseksi rekisteröintiä varten.
4. Alarekisterit eivät saa siirtää TRES SECRET UE/EU TOP SECRET -tason asiakirjoja suoraan toisiin saman TRES SECRET UE/EU TOP SECRET -keskusrekisterin alarekistereihin tai niiden ulkopuolelle ilman keskusrekisterin nimenomaista kirjallista suostumusta.
5. EU:n turvallisuusluokiteltujen tietojen rekisterit on määriteltävä turva-alueiksi 3 luvussa esitetyn mukaisesti, ja komission turvallisuusjärjestelyjen hyväksyntäviranomainen hyväksyy ne.
28 artikla
Rekisterin valvontavastaava
1. Jokaisella EU:n turvallisuusluokiteltujen tietojen rekisterillä on oltava valvontavastaava.
2. Rekisterin valvontavastaavan on oltava asianmukaisesti turvallisuusselvitetty.
3. Rekisterin valvontavastaava toimii komission osastossa paikallisen turvavastaavan alaisuudessa siltä osin kuin on kyse EU:n turvallisuusluokiteltuja tietoja sisältävien asiakirjojen käsittelyä koskevien säännösten soveltamisesta sekä asiaankuuluvien turvallisuussääntöjen, -vaatimusten ja -ohjeiden noudattamisesta.
4. Rekisterin valvontavastaava suorittaa hänelle osoitetun, EU:n turvallisuusluokiteltujen tietojen rekisterin hallinnointivastuun puitteissa seuraavat tehtävät tämän päätöksen ja asiaankuuluvien soveltamissääntöjen, vaatimusten ja ohjeiden mukaisesti:
-
EU:n turvallisuusluokiteltujen tietojen rekisteröintiin, säilyttämiseen, jäljentämiseen, kääntämiseen, siirtämiseen, lähettämiseen ja hävittämiseen tai historiallisiin arkistoihin siirtämiseen liittyvät toiminnot;
-
tietojen turvallisuusluokan säilyttämistarpeen tarkistaminen määräajoin;
-
muut EU:n turvallisuusluokiteltujen tietojen suojaamiseen liittyvät, soveltamissäännöissä määritellyt tehtävät.
29 artikla
EU:n turvallisuusluokiteltujen tietojen rekisteröinti turvallisuustarkoituksia varten
1. Tässä päätöksessä turvallisuustarkoituksia varten tapahtuvalla rekisteröinnillä, jäljempänä ’rekisteröinti’, tarkoitetaan menettelyjä, joilla tallennetaan EU:n turvallisuusluokiteltujen tietojen elinkaari, mukaan lukien niiden jakelu.
2. Kaikki CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeammalle tasolle luokiteltu tieto tai materiaali on rekisteröitävä sille tarkoitetussa rekisterissä, kun se saapuu organisaatioyksikköön tai lähetetään sieltä.
3. Kun EU:n turvallisuusluokiteltuja tietoja käsitellään tai säilytetään viestintä- ja tietojärjestelmässä, rekisteröintimenettelyt voidaan suorittaa järjestelmän omien prosessien avulla.
4. Soveltamissäännöissä on yksityiskohtaisempia säännöksiä turvallisuustarkoituksiin tapahtuvasta EU:n turvallisuusluokiteltujen tietojen rekisteröinnistä.
30 artikla
EU:n turvallisuusluokiteltujen asiakirjojen jäljentäminen ja kääntäminen
1. TRÈS SECRET UE/EU TOP SECRET -asiakirjoja ei saa jäljentää eikä kääntää ilman niiden luovuttajan kirjallista etukäteissuostumusta.
2. Jos SECRET UE/EU SECRET- ja sitä alemman turvallisuusluokan asiakirjan luovuttaja ei ole kieltänyt jäljentämästä tai kääntämästä asiakirjaa, se voidaan jäljentää tai kääntää niiden haltijan pyynnöstä.
3. Jäljennöksiin ja käännöksiin on sovellettava alkuperäistä asiakirjaa koskevia turvatoimia.
31 artikla
EU:n turvallisuusluokiteltujen tietojen kuljetus
1. EU:n turvallisuusluokiteltuja tietoja on kuljetettava niin, että ne suojataan luvattomalta ilmitulolta.
2. EU:n turvallisuusluokiteltujen tietojen kuljettamiseen on sovellettava suojatoimia, jotka on
-
suhteutettu kuljetettavien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaan;
-
mukautettu niiden kuljetusolosuhteisiin erityisesti sen perusteella, kuljetetaanko niitä
-
yhden komission rakennuksen sisällä vai komission rakennuksista muodostuvan suljetun ryhmän sisällä,
-
samassa jäsenvaltioissa sijaitsevien komission rakennusten välillä,
-
unionin alueella,
-
unionista kolmannen valtion alueelle; ja
-
mukautettu EU:n turvallisuusluokiteltujen tietojen luonteeseen ja muotoon.
3. Näistä suojatoimista säädetään yksityiskohtaisesti soveltamissäännöissä tai, 42 artiklassa tarkoitettujen hankkeiden ja ohjelmien tapauksessa, asianomaisen ohjelman tai hankkeen turvallisuusohjeissa.
4. Soveltamissääntöihin tai turvallisuusohjeisiin on sisällyttävä EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaan suhteutettuja säännöksiä seuraavista:
-
kuljetustapa, esimerkiksi henkilökohtaisesti, diplomaatti- tai sotilaskuriirin välityksellä taikka postipalveluja tai kaupallisia lähettipalveluja käyttäen;
-
EU:n turvallisuusluokiteltujen tietojen pakkaaminen;
-
sähköisillä viestimillä kuljetettavien EU:n turvallisuusluokiteltujen tietojen tekniset vastatoimet;
-
muut menettelyä koskevat taikka fyysiset tai sähköiset toimet;
-
rekisteröintimenettelyt;
-
turvallisuusvaltuutuksen omaavan henkilöstön käyttö.
5. Jos EU:n turvallisuusluokiteltuja tietoja kuljetetaan sähköisillä viestimillä ja sen estämättä, mitä 21 artiklan 5 kohdassa säädetään, soveltamissäännöissä esitettyjä suojatoimia voidaan täydentää komission turvallisuusviranomaisen hyväksymillä asianmukaisilla teknisillä vastatoimilla häviämisen tai vaarantumisen riskin minimoimiseksi.
32 artikla
EU:n turvallisuusluokiteltujen tietojen hävittäminen
1. EU:n turvallisuusluokitellut asiakirjat, joita ei enää tarvita, voidaan hävittää ottaen huomioon arkistoja koskevat määräykset, asiakirjojen hallinnointia ja arkistointia koskevat komission säännöt ja määräykset sekä varsinkin Euroopan komission tiedostoja koskevan yhteisen säilytysluettelon.
2. CONFIDENTIEL UE/EU CONFIDENTIAL- ja sitä korkeamman tason EU:n turvallisuusluokitellut tiedot hävittää vastuullisen EU:n turvallisuusluokiteltujen tietojen rekisterin valvontavastaava haltijan tai toimivaltaisen viranomaisen pyynnöstä. Hävittämisen jälkeen rekisterin valvontavastaava päivittää lokikirjat ja muut rekisteröintitiedot.
3. Rekisterin valvontavastaajan on hävitettävä SECRET UE/EU SECRET- tai TRES SECRET UE/EU TOP SECRET -tasolle luokitellut asiakirjat todistajan läsnä ollessa; todistajan on oltava turvallisuusselvitetty vähintään hävitettävän asiakirjan turvallisuusluokkaa vastaavalle tasolle.
4. Sekä rekisterinpitäjän että todistajan, jos jälkimmäisen läsnäoloa edellytetään, on allekirjoitettava hävittämistodistus, joka tallennetaan rekisteriin. EU:n turvallisuusluokiteltujen tietojen vastuullisen rekisterin valvontavastaava säilyttää TRES SECRET UE/EU TOP SECRET -asiakirjojen hävittämistodistukset vähintään kymmenen vuoden ajan sekä CONFIDENTIEL UE/EU CONFIDENTIAL ja SECRET UE/EU SECRET -asiakirjojen hävittämistodistukset vähintään viiden vuoden ajan.
5. Turvallisuusluokitellut asiakirjat, myös RESTREINT UE/EU RESTRICTED -tason asiakirjat, on hävitettävä käyttäen menetelmiä, jotka määritellään soveltamissäännöissä ja jotka täyttävät asiaa koskevat EU:n vaatimukset tai vastaavat.
6. EU:n turvallisuusluokiteltuja tietoja sisältävät ATK-tallennevälineet on hävitettävä soveltamissäännöissä vahvistettujen menettelyjen mukaisesti.
33 artikla
EU:n turvallisuusluokiteltujen tietojen hävittäminen hätätilanteissa
1. EU:n turvallisuusluokiteltuja tietoja hallussaan pitävät komission osastot laativat paikallisiin olosuhteisiin perustuvat suunnitelmat EU:n turvaluokitellun materiaalin suojaamiseksi kriisitilanteessa, tarvittaessa myös suunnitelmat hävittämistä ja evakuointia varten hätätapauksissa. Ne julkistavat ohjeet, joita pidetään tarpeellisina EU:n turvallisuusluokiteltujen tietojen sivullisille joutumisen estämiseksi.
2. Järjestelyt CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -tasolle luokitellun materiaalin suojaamiseksi ja/tai hävittämiseksi kriisitilanteessa eivät saa missään tapauksessa vaikuttaa haitallisesti TRÈS SECRET UE/EU TOP SECRET -tasolle luokitellun materiaalin suojaamiseen tai hävittämiseen, mukaan lukien salauslaitteisto, jonka käsittely on kaikkia muita tehtäviä kiireellisempi.
3. Hätätapauksessa, jos on olemassa EU:n turvallisuusluokiteltujen tietojen luvattoman ilmitulon välitön vaara, haltijan on tuhottava tiedot niin, ettei niitä voida palauttaa ennalleen kokonaan eikä osittain. Luovuttajalle ja luovuttavalle rekisterille on ilmoitettava rekisteröityjen EU:n turvallisuusluokiteltujen tietojen hävittämisestä hätätapauksessa.
4. Yksityiskohtaisempia säännöksiä EU:n turvallisuusluokiteltujen tietojen hävittämisestä annetaan soveltamissäännöissä.
5 LUKU
EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SUOJAAMINEN VIESTINTÄ- JA TIETOJÄRJESTELMISSÄ
34 artikla
Tietojen turvaamisen perusperiaatteet
1. Tietojen turvaamisella tarkoitetaan viestintä- ja tietojärjestelmien alalla varmuutta siitä, että järjestelmät suojaavat niissä käsiteltävät tiedot ja toimivat siten kuin ja silloin kun niiden kuuluu toimia oikeutettujen käyttäjien valvonnassa.
2. Tietojen tehokkaalla turvaamisella varmistetaan seuraavien asianmukainen taso:
Aitous
:
tae siitä, että tiedot ovat aitoja ja vilpittömässä mielessä toimivista lähteistä;
Käytettävyys
:
tiedot ovat valtuutetun yksikön pyynnöstä saatavilla ja käytettävissä;
Luottamuksellisuus
:
tiedot eivät tule ilmi sivullisille henkilöille, yksiköille eikä prosesseille;
Eheys
:
omaisuuden ja tietojen oikeellisuus ja täydellisyys turvataan;
Kiistattomuus
:
tietty toimi tai tapahtuma voidaan todistaa tapahtuneeksi niin, ettei sitä voida myöhemmin kiistää.
3. Tietojen turvaamisen on perustuttava riskinhallintaprosessiin.
35 artikla
Määritelmät
Tässä luvussa tarkoitetaan
a)
’hyväksynnällä’ turvallisuusjärjestelyjen hyväksyntäviranomaisen viestintä- ja tietojärjestelmälle antamaa muodollista valtuutusta ja hyväksyntää muokata EU:n turvallisuusluokiteltuja tietoja toimintaympäristössään sen jälkeen, kun turvallisuussuunnitelma on muodollisesti vahvistettu ja pantu asianmukaisesti täytäntöön;
b)
’hyväksyntämenettelyllä’ toimenpiteitä ja tehtäviä, jotka on suoritettava ennen turvallisuusjärjestelyjen hyväksyntäviranomaisen hyväksyntää. Nämä toimenpiteet ja tehtävät on määriteltävä hyväksyntämenettelystandardissa;
c)
’viestintä- ja tietojärjestelmällä’ järjestelmää, joka mahdollistaa tietojen käsittelyn sähköisessä muodossa. Viestintä- ja tietojärjestelmä käsittää kaikki toimintansa edellyttämät resurssit, myös infrastruktuurin, organisaation, henkilöstön ja tietoresurssit;
d)
’jäännösriskillä’ riskiä, joka jää jäljelle, kun turvatoimet on toteutettu, ottaen huomioon, että kaikkia uhkia ei voida torjua eikä kaikkea haavoittuvuutta poistaa;
e)
’riskillä’ mahdollisuutta, että tietty uhka hyötyy organisaation tai minkä tahansa sen käyttämän järjestelmän sisäisestä ja ulkoisesta haavoittuvuudesta ja aiheuttaa siten vahinkoa organisaatiolle ja sen aineelliselle tai aineettomalle omaisuudelle. Sen mittana on uhkien toteutumisen todennäköisyys yhdistettynä niiden vaikutuksiin;
f)
’riskin hyväksynnällä’ päätöstä hyväksyä jäännösriskin olemassaolo riskin käsittelyn jälkeen;
g)
’riskinarvioinnilla’ uhkien ja haavoittuvuuden tunnistamista ja niihin liittyvän riskianalyysin eli todennäköisyyden ja vaikutusten analyysin tekemistä;
h)
’riskiviestinnällä’ viestintä- ja tietojärjestelmien käyttäjäyhteisöjen riskitietoisuuden lisäämistä sekä riskeistä tiedottamista hyväksyntäviranomaisille ja niistä raportoimista toiminnasta vastaaville viranomaisille;
i)
’riskin käsittelyllä’ riskin lieventämistä, poistamista, vähentämistä (teknisiä, fyysisiä, organisatorisia tai menettelyyn liittyviä toimenpiteitä tarkoituksenmukaisesti yhdistämällä), siirtämistä ja seuraamista.
36 artikla
EU:n turvallisuusluokiteltujen tietojen käsittely viestintä- ja tietojärjestelmissä
1. EU:n turvallisuusluokiteltuja tietoja viestintä- ja tietojärjestelmissä käsiteltäessä on noudatettava tietojen turvaamisperiaatetta.
2. EU:n turvallisuusluokiteltuja tietoja käsittelevien viestintä- ja tietojärjestelmien osalta tietojärjestelmien turvallisuutta koskevan komission politiikan, sellaisena kuin se esitetään komission päätöksessä C(2006) 3602 (11), noudattamisella tarkoitetaan, että
a)
tietojärjestelmiä koskevan turvallisuuspolitiikan täytäntöönpanoon on sovellettava tietojärjestelmän koko elinkaaren ajan ”suunnittele/toteuta/tarkista/toimi” -lähestymistapaa;
b)
turvatarpeet on määriteltävä toimintaan kohdistuvien vaikutusten arvioinnin avulla;
c)
tietojärjestelmälle ja sen sisältämille tiedoille on tehtävä muodollinen resurssiluokittelu;
d)
kaikki tietojärjestelmien turvallisuuspolitiikassa määritellyt pakolliset turvatoimet on toteutettava;
e)
on sovellettava riskinhallintaprosessia, joka käsittää seuraavat vaiheet: uhkan ja haavoittuvuuden tunnistaminen, riskinarviointi, riskin käsittely, riskin hyväksyntä ja riskiviestintä;
f)
laaditaan, pannaan täytäntöön, tarkistetaan ja uudelleenarvioidaan turvallisuussuunnitelma, joka käsittää myös turvallisuuspolitiikan ja -menettelyt.
3. Kaikkien henkilöstöön kuuluvien, jotka osallistuvat EU:n turvallisuusluokiteltuja tietoja käsittelevien viestintä- ja tietojärjestelmien suunnitteluun, kehittämiseen, testaukseen, toimintaan, hallinnointiin tai käyttöön, on ilmoitettava turvallisuusjärjestelyjen hyväksyntäviranomaiselle kaikista mahdollisista turvallisuuspuutteista, vaaratilanteista, tietoturvaloukkauksista ja tietojen vaarantumisista, jotka voivat vaikuttaa viestintä- ja tietojärjestelmän ja/tai sen sisältämien EU:n turvallisuusluokiteltujen tietojen suojaamiseen.
4. Jos EU:n turvallisuusluokiteltujen tietojen suojaamiseen käytetään salaustuotteita, ne on hyväksyttävä seuraavasti:
a)
etusija on annettava tuotteille, jotka neuvosto tai sen pääsihteeri on hyväksynyt neuvoston salauslaitteiden hyväksyntäviranomaisena komission turvallisuusasiantuntijaryhmän suosituksesta;
b)
komission salauslaitteiden hyväksyntäviranomainen voi komission turvallisuusasiantuntijaryhmän suosituksesta luopua a alakohdassa esitetyistä vaatimuksista ja myöntää tilapäisen hyväksynnän tietyksi ajanjaksoksi, jos se on perusteltua erityisistä toiminnallisista syistä.
5. EU:n turvallisuusluokiteltuja tietoja sähköisesti siirrettäessä, muokattaessa ja säilytettäessä on käytettävä hyväksyttyjä salaustuotteita. Hätätilanteissa tai tiettyjen teknisten määritysten osalta voidaan tästä vaatimuksesta poiketen soveltaa erityisiä menettelyjä sen jälkeen, kun salauslaitteiden hyväksyntäviranomainen on antanut hyväksyntänsä.
6. CONFIDENTIEL UE/EU CONFIDENTIAL- ja sitä korkeamman turvallisuusluokan tietoja käsittelevien viestintä- ja tietojärjestelmien suojaamiseksi on toteutettava turvatoimia, joilla estetään tietojen vaarantuminen tahattoman sähkömagneettisen säteilyn takia (nk. TEMPEST-turvatoimet). Nämä turvatoimet on suhteutettava tietojen hyväksikäytön vaaraan ja turvallisuusluokkaan.
7. Komission turvallisuusviranomainen toimii seuraavissa tehtävissä:
-
tiedonturvaamisviranomainen;
-
turvallisuusjärjestelyjen hyväksyntäviranomainen;
-
TEMPEST-viranomainen;
-
salauslaitteiden hyväksyntäviranomainen;
-
salatun aineiston jakelusta vastaava viranomainen.
8. Komission turvallisuusviranomainen nimittää kullekin järjestelmälle operatiivisen tiedonturvaamisviranomaisen.
9. Soveltamissäännöissä määritellään 7 ja 8 kohdassa mainittuihin tehtäviin kuuluvat vastuut.
37 artikla
EU:n turvallisuusluokiteltuja tietoja käsittelevien viestintä- ja tietojärjestelmien hyväksyntä
1. Kaikkien EU:n turvallisuusluokiteltuja tietoja käsittelevien viestintä- ja tietojärjestelmien on käytävä läpi tietojen turvaamisperiaatteisiin perustuva hyväksyntämenettely, jonka yksityiskohdat on suhteutettava vaaditun suojan tasoon.
2. Hyväksyntämenettelyyn kuuluu komission turvallisuusjärjestelyjen hyväksyntäviranomaisen antama muodollinen vahvistus asianomaisen viestintä- ja tietojärjestelmän turvallisuussuunnitelmalle sen varmistamiseksi, että
a)
36 artiklan 2 kohdassa kuvattu riskinhallintaprosessi on suoritettu asianmukaisesti;
b)
järjestelmävastaava on tietoisesti hyväksynyt jäännösriskin; ja
c)
viestintä- ja tietojärjestelmän ja siinä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaamisessa on saavutettu tämän päätöksen mukainen riittävä taso.
3. Komission turvallisuusjärjestelyjen hyväksyntäviranomainen antaa hyväksymislausunnon, jossa määritetään niiden EU:n turvallisuusluokiteltujen tietojen korkein taso, joita viestintä- ja tietojärjestelmässä voidaan käsitellä, ja vastaavat toimintaedellytykset. Tämä ei kuitenkaan rajoita Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 512/2014 (12) 11 artiklassa määritellylle turvallisuusjärjestelyjen hyväksyntälautakunnalle uskottuja tehtäviä.
4. Yhteinen turvallisuusjärjestelyjen hyväksyntälautakunta vastaa sellaisten komission viestintä- ja tietojärjestelmien hyväksymisestä, joissa on useampi osapuoli. Lautakunta muodostuu kunkin osapuolen turvallisuusjärjestelyjen hyväksyntäviranomaisen edustajasta, ja sen puheenjohtajana toimii komission turvallisuusjärjestelyjen hyväksyntäviranomaisen edustaja.
5. Hyväksyntämenettely muodostuu useista osapuolten suorittamista tehtävistä. Vastuu hyväksyntäasiakirjojen laatimisesta on yksin viestintä- ja tietojärjestelmän vastaavalla.
6. Hyväksynnästä vastaa komission turvallisuusjärjestelyjen hyväksyntäviranomainen, jolla on missä tahansa viestintä- ja tietojärjestelmän elinkaaren vaiheessa oikeus
a)
vaatia hyväksyntämenettelyn soveltamista;
b)
tarkastaa viestintä- ja tietojärjestelmä;
c)
vaatia turvallisuuden parantamissuunnitelman laatimista ja tehokasta täytäntöönpanoa tarkkaan määritetyssä aikataulussa, jos toimintaedellytykset eivät enää täyty, ja mahdollisesti perua viestintä- ja tietojärjestelmän toimilupa, kunnes toimintaedellytykset taas täyttyvät.
7. Hyväksyntämenettely määritellään EU:n turvallisuusluokiteltuja tietoja käsittelevien viestintä- ja tietojärjestelmien hyväksyntämenettelystandardissa, joka vahvistetaan päätöksen C(2006) 3602 10 artiklan 3 kohdan mukaisesti.
38 artikla
Hätätilanteet
1. Jäljempänä kuvattuja erityismenettelyjä voidaan soveltaa hätätapauksessa, esimerkiksi kriisi-, konflikti- tai sotatilanteen uhatessa tai toteutuessa taikka poikkeuksellisissa toimintaolosuhteissa, sanotun kuitenkaan rajoittamatta tämän luvun säännösten soveltamista.
2. EU:n turvallisuusluokiteltujen tietojen siirtämisessä voidaan käyttää alempaa turvallisuusluokkaa varten hyväksyttyjä salaustuotteita tai ne voidaan siirtää ilman salausta toimivaltaisen viranomaisen suostumuksella, jos mahdollinen viive aiheuttaisi selvästi suuremman vahingon kuin turvallisuusluokitellun materiaalin ilmitulon aiheuttama vahinko ja jos
a)
lähettäjällä ja vastaanottajalla ei ole vaadittua salauslaitetta; ja
b)
turvallisuusluokiteltua materiaalia ei voida toimittaa muulla tavoin ajoissa perille.
3. Edellä 1 kohdassa esitetyissä olosuhteissa siirrettävissä turvallisuusluokitelluissa tiedoissa ei saa olla mitään merkintöjä tai mainintoja, jotka erottavat ne turvallisuusluokittelemattomista tiedoista tai tiedoista, jotka voidaan suojata käytettävissä olevalla salaustuotteella. Tietojen turvallisuusluokka on ilmoitettava muulla tavoin viipymättä vastaanottajille.
4. Asiasta on tämän jälkeen laadittava raportti toimivaltaiselle viranomaiselle ja komission turvallisuusasiantuntijaryhmälle.
6 LUKU
YHTEISÖTURVALLISUUS
39 artikla
Perusperiaatteet
1. Yhteisöturvallisuudella tarkoitetaan toimenpiteitä, joilla varmistetaan EU:n turvallisuusluokiteltujen tietojen suojaaminen
a)
turvallisuusluokiteltujen hankintasopimusten nojalla
i)
ehdokkaiden tai tarjoajien toimesta koko tarjouskilpailu- ja sopimuksentekomenettelyn ajan,
ii)
toimeksisaajien tai alihankkijoiden toimesta turvallisuusluokiteltujen hankintasopimusten koko elinkaaren ajan;
b)
turvallisuusluokiteltujen avustussopimusten nojalla
i)
hakijoiden toimesta avustuksen myöntämismenettelyn aikana,
ii)
avunsaajien toimesta turvallisuusluokiteltujen avustussopimusten koko elinkaaren ajan.
2. Tällaiset hankinta- tai avustussopimukset eivät saa koskea TRES SECRET UE/EU TOP SECRET -tasolle luokiteltuja tietoja.
3. Jollei toisin säädetä, turvallisuusluokiteltuja hankintasopimuksia ja toimeksisaajia koskevia tämän luvun säännöksiä on sovellettava myös turvallisuusluokiteltuihin alihankintasopimuksiin ja alihankkijoihin.
40 artikla
Määritelmät
Tätä lukua sovellettaessa tarkoitetaan
a)
’turvallisuusluokitellulla hankintasopimuksella’ neuvoston asetuksessa (EY, Euratom) N:o 1605/2002 (13) tarkoitettua puitesopimusta tai sopimusta, jonka komissio tai jokin sen osasto tekee toimeksisaajan kanssa irtaimen tai kiinteän omaisuuden, työsuoritusten tai palveluiden hankkimiseksi ja jonka täyttäminen edellyttää tai siihen kuuluu EU:n turvallisuusluokiteltujen tietojen tuottamista, käsittelyä tai säilyttämistä;
b)
’turvallisuusluokitellulla alihankintasopimuksella’ sopimusta, jonka komissio tai joku sen osasto tekee toisen toimeksisaajan (eli alihankkijan) kanssa irtaimen tai kiinteä omaisuuden, työsuoritusten tai palveluiden hankkimiseksi ja jonka täyttäminen edellyttää tai siihen kuuluu EU:n turvallisuusluokiteltujen tietojen tuottamista, käsittelyä tai säilyttämistä;
c)
’turvallisuusluokitellulla avustussopimuksella’ sopimusta, jolla komissio myöntää asetuksen (EY, Euratom) N:o 1605/2002 VI osaston I osassa tarkoitetun avustuksen ja jonka täyttäminen edellyttää tai siihen kuuluu EU:n turvallisuusluokiteltujen tietojen tuottamista, käsittelyä tai säilyttämistä;
d)
’nimetyllä turvallisuusviranomaisella’ jäsenvaltion kansalliselle turvallisuusviranomaiselle vastuussa olevaa viranomaista, jonka vastuulla on tiedottaa yhteisöille tai muille yksiköille kaikkiin yhteisöturvallisuutta koskeviin asioihin sovellettavasta kansallisesta politiikasta sekä antaa ohjausta ja apua kyseisen politiikan täytäntöönpanossa. Kansallinen turvallisuusviranomainen tai mikä tahansa muu toimivaltainen viranomainen voi hoitaa nimetyn turvallisuusviranomaisen tehtävää.
41 artikla
Turvallisuusluokiteltuihin hankinta- ja avustussopimuksiin sovellettava menettely
1. Kukin komission osasto varmistaa hankintaviranomaisen ominaisuudessa, että hankintasopimuksessa viitataan tässä luvussa säädettyihin yhteisöturvallisuutta koskeviin vähimmäisvaatimuksiin tai että ne sisältyvät siihen ja että niitä noudatetaan turvallisuusluokiteltuja hankinta- tai avustussopimuksia tehtäessä.
2. Komission toimivaltaiset yksiköt pyytävät 1 kohdan soveltamiseksi neuvoa henkilöstöhallinnon ja turvallisuustoiminnan pääosastolta ja erityisesti sen turvallisuudesta vastaavalta linjalta ja varmistavat, että hankinta-, alihankinta- ja avustussopimusten malleihin sisältyy määräyksiä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista perusperiaatteista ja vähimmäisvaatimuksista, joita toimeksisaajien, alihankkijoiden ja avunsaajien on noudatettava.
3. Komissio tekee tiivistä yhteistyötä asianomaisen jäsenvaltion kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen kanssa.
4. Kun hankintaviranomainen aikoo käynnistää menettelyn turvallisuusluokitellun hankinta- tai avustussopimuksen tekemiseksi, se pyytää komission turvallisuusviranomaiselta neuvoa menettelyn luottamuksellisuutta ja turvallisuusluokiteltuja osia koskevissa asioissa menettelyn kaikissa vaiheissa.
5. Yhteisöturvallisuutta koskevissa soveltamissäännöissä esitetään turvallisuusluokiteltujen hankinta-, alihankinta- ja avustussopimusten sekä hankintailmoitusten mallit, ohjeet olosuhteista, joissa edellytetään yhteisöturvallisuusselvitystä, ohjelman tai hankkeen turvallisuusohjeet, turvallisuutta koskevat lisälausekkeet samoin kuin vierailuja sekä EU:n turvallisuusluokiteltujen tietojen siirtoa ja kuljetusta turvallisuusluokiteltujen hankinta- tai avustussopimusten nojalla koskevat säännöt sen jälkeen, kun asiassa on kuultu komission turvallisuusasiantuntijaryhmää.
6. Komissio voi tehdä turvallisuusluokitellun hankinta- tai avustussopimuksen, jolla jäsenvaltioon tai sellaiseen kolmanteen valtioon, jonka kanssa on tehty sopimus tai sovittu hallinnollisesta järjestelystä tämän päätöksen 7 luvun mukaisesti, rekisteröityneelle talouden toimijalle annetaan tehtäviä, joihin liittyy pääsy EU:n turvallisuusluokiteltuihin tietoihin tai niiden käsittelyä tai säilytystä.
42 artikla
Turvallisuusluokitellun hankinta- tai avustussopimuksen turvallisuutta koskevat osat
1. Turvallisuusluokiteltuun hankinta- tai avustussopimukseen on sisällyttävä seuraavat turvallisuutta koskevat osat:
Ohjelman tai hankkeen turvallisuusohjeet
a)
’Ohjelman tai hankkeen turvallisuusohjeilla’ tarkoitetaan luetteloa turvallisuusmenettelyistä, joita sovelletaan tiettyyn ohjelmaan tai hankkeeseen turvallisuusmenettelyjen yhdenmukaistamiseksi. Niitä voidaan tarkistaa missä tahansa ohjelman tai hankkeen vaiheessa.
b)
Henkilöstöhallinnon ja turvallisuustoiminnan pääosasto laatii ohjelman tai hankkeen yleiset turvallisuusohjeet. Sellaisista ohjelmista ja hankkeista vastaavat komission osastot, joihin liittyy EU:n turvallisuusluokiteltujen tietojen käsittelyä tai säilyttämistä, voivat tarvittaessa laatia ohjelman tai hankkeen erityiset turvallisuusohjeet, jotka perustuvat yleisiin turvallisuusohjeisiin.
c)
Ohjelman tai hankkeen erityiset turvallisuusohjeet on laadittava varsinkin sellaisia ohjelmia tai hankkeita varten, jotka ovat huomattavan laaja-alaisia tai monimutkaisia tai joissa on mukana monia ja/tai esimerkiksi oikeudelliselta asemaltaan erityyppisiä toimeksisaajia, avunsaajia sekä muita kumppaneita ja sidosryhmiä. Ohjelmaa tai hanketta hallinoiva(t) komission osasto(t) laatii(vat) ohjelman tai hankkeen erityiset turvallisuusohjeet tiiviissä yhteistyössä henkilöstöhallinnon ja turvallisuustoiminnan pääosaston kanssa.
d)
Henkilöstöhallinnon ja turvallisuustoiminnan pääosasto toimittaa sekä yleiset että erityiset turvallisuusohjeet komission turvallisuusasiantuntijaryhmälle neuvojen saamiseksi.
Turvallisuutta koskeva lisälauseke
a)
’Turvallisuutta koskevalla lisälausekkeella’ tarkoitetaan hankintaviranomaisen määräämien erityissopimusehtojen kokonaisuutta, joka on erottamaton osa pääsyä EU:n turvallisuusluokiteltuihin tietoihin tai niiden tuottamista edellyttävää turvallisuusluokiteltua hankintasopimusta ja jossa yksilöidään turvallisuusvaatimukset ja ne sopimuksen osat, jotka edellyttävät turvallisuuden suojaamista.
b)
Turvallisuutta koskevassa lisälausekkeessa on kuvattava sopimuskohtaiset turvallisuusvaatimukset. Se on erottamaton osa turvallisuusluokiteltua hankinta-, alihankinta- tai avustussopimusta, ja siihen on tarvittaessa sisällytettävä turvallisuusluokitteluopas.
c)
Turvallisuutta koskevaan lisälausekkeeseen on sisällyttävä määräykset, joilla toimeksisaaja tai avunsaaja velvoitetaan noudattamaan tässä päätöksessä säädettyjä vähimmäisvaatimuksia. Hankintaviranomainen varmistaa, että turvallisuutta koskevasta lisälausekkeesta käy ilmi, että vähimmäisvaatimusten noudattamatta jättäminen voi olla riittävä peruste hankinta- tai avustussopimuksen irtisanomiselle.
2. Sekä ohjelman tai hankkeen turvallisuusohjeisiin että turvallisuutta koskeviin lisälausekkeisiin on sisällyttävä turvallisuusluokitteluopas pakollisena turvallisuutta koskevana osana:
a)
’Turvallisuusluokitteluopas’ on asiakirja, jossa kuvataan ohjelman, hankkeen taikka hankinta- tai avustussopimuksen turvallisuusluokiteltavat osat ja eritellään sovellettavat turvallisuusluokat. Turvallisuusluokitteluopasta voidaan laajentaa koko ohjelman tai hankkeen elinkaaren taikka hankinta- tai avustussopimuksen voimassaolon ajan, ja niiden sisältämiä tietoja voidaan luokitella uudelleen tai niiden luokkaa voidaan alentaa; jos turvallisuusluokitteluopas on olemassa, sen on oltava osa turvallisuutta koskevaa lisälauseketta.
b)
Ennen tarjouskilpailun käynnistämistä tai turvallisuusluokitellun sopimuksen tekemistä hankintaviranomaisena toimiva komission osasto määrittelee ehdokkaille ja tarjoajille tai toimeksisaajille annettavien tietojen turvallisuusluokan sekä toimeksisaajan tuottamien tietojen turvallisuusluokan. Tätä varten se laatii komission turvallisuusviranomaista kuultuaan turvallisuusluokitteluoppaan, jota käytetään hankintasopimuksen täytäntöönpanossa tämän päätöksen ja sen soveltamissääntöjen mukaisesti.
c)
Turvallisuusluokitellun hankintasopimuksen eri osien turvallisuusluokan määrittämisessä sovelletaan seuraavia periaatteita:
i)
turvallisuusluokitteluopasta laatiessaan komission osasto ottaa huomioon kaikki asiaankuuluvat turvallisuusnäkökohdat, myös annetuille tiedoille, joiden käytön sopimuksessa niiden luovuttaja on hyväksynyt, määritetyn turvallisuusluokan;
ii)
hankintasopimuksen turvallisuusluokka ei voi olla alempi kuin yhdenkään sen osan korkein turvallisuusluokka; ja
iii)
hankintaviranomaisen on tarvittaessa ja komission turvallisuusviranomaisen välityksellä oltava yhteydessä jäsenvaltioiden kansalliseen, nimettyyn tai muuhun toimivaltaiseen turvallisuusviranomaiseen siinä tapauksessa, että hankintasopimusta täytettäessä toimeksisaajien tuottamien tai niille annettujen tietojen turvallisuusluokkaa muutetaan ja turvallisuusluokitteluoppaaseen tehdään tämän vuoksi muutoksia.
43 artikla
Toimeksisaajien ja avunsaajien henkilöstön pääsy EU:n turvallisuusluokiteltuihin tietoihin
Hankintaviranomainen tai avustuksen myöntävä viranomainen varmistaa, että turvallisuusluokiteltuun hanke- tai avustussopimukseen sisältyy määräyksiä siitä, että toimeksisaajan, alihankkijan tai avunsaajan henkilöstölle, jolla on osana sopimuksen täytäntöönpanoa oltava pääsy EU:n turvallisuusluokiteltuihin tietoihin, myönnetään pääsy kyseisiin tietoihin vain, jos
a)
henkilöllä on asiaankuuluvan tason turvallisuusvaltuutus tai hänet on muuten asianmukaisesti valtuutettu todennetun tiedonsaantitarpeen perusteella;
b)
henkilölle on selvitetty EU:n turvallisuusluokiteltujen tietojen suojaamiseen sovellettavat turvallisuussäännöt ja hän on vahvistanut tällaisten tietojen suojaamista koskevan vastuunsa;
c)
kansallinen tai nimetty turvallisuusviranomainen taikka muu toimivaltainen viranomainen on myöntänyt henkilölle turvallisuusselvityksen CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -tasolle luokiteltujen tietojen osalta.
44 artikla
Yhteisöturvallisuusselvitys
1. ’Yhteisöturvallisuusselvityksellä’ tarkoitetaan kansallisen, nimetyn tai muun toimivaltaisen turvallisuusviranomaisen hallinnollista päätöstä, jonka mukaan toimitila tarjoaa turvallisuusnäkökulmasta riittävän suojan tiettyyn turvallisuusluokkaan kuuluville EU:n turvallisuusluokitelluille tiedoille.
2. Jäsenvaltion kansallisen, nimetyn tai muun toimivaltaisen turvallisuusviranomaisen myöntämä yhteisöturvallisuusselvitys, josta käy kansallisten lakien ja asetusten mukaisesti ilmi, että talouden toimija pystyy suojaamaan EU:n turvallisuusluokitellut tiedot asianmukaisella tasolla (CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET) toimitiloissaan, on esitettävä komission turvallisuusviranomaiselle, joka toimittaa selvityksen hankeviranomaisena tai avustuksen myöntävänä viranomaisena toimivalle komission osastolle ennen kuin ehdokkaalle, tarjoajalle tai toimeksisaajalle taikka avustuksen hakijalle tai saajalle voidaan antaa EU:n turvallisuusluokiteltuja tietoja tai myöntää pääsy niihin.
3. Hankintaviranomainen ilmoittaa tarvittaessa ja komission turvallisuusviranomaisen välityksellä asianmukaiselle kansalliselle, nimetylle tai muulle toimivaltaiselle turvallisuusviranomaiselle, että sopimuksen täytäntöönpano edellyttää yhteisöturvallisuusselvityksen tekemistä. Yhteisö- tai henkilöturvallisuusselvitys vaaditaan, jos hankintamenettelyn tai avustuksen myöntämismenettelyn aikana on annettava CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -tasolle luokiteltuja EU:n turvallisuusluokiteltuja tietoja.
4. Hankintaviranomainen tai avustuksen myöntävä viranomainen ei tee turvallisuusluokiteltua hankinta- tai avustussopimusta valitun tarjoajan tai osallistujan kanssa ennen kuin se on saanut sen jäsenvaltion kansalliselta, nimetyltä tai muulta toimivaltaiselta turvallisuusviranomaiselta, johon asianomainen toimeksisaaja tai alihankkija on rekisteröity, vahvistuksen siitä, että mahdollisesti vaadittava yhteisöturvallisuusselvitys on myönnetty asianmukaisella tasolla.
5. Kun yhteisöturvallisuusselvityksen myöntänyt kansallinen, nimetty tai muu toimivaltainen turvallisuusviranomainen on ilmoittanut komission turvallisuusviranomaiselle selvitykseen vaikuttavista muutoksista, komission turvallisuusviranomainen ilmoittaa asiasta hankintaviranomaisena tai avustuksen myöntävänä viranomaisena toimivalle komission osastolle. Kun kyseessä on alihankintasopimus, asiasta on ilmoitettava kansalliselle, nimetylle tai muulle toimivaltaiselle turvallisuusviranomaiselle.
6. Jos kansallinen, nimetty tai muu toimivaltainen turvallisuusviranomainen peruu yhteisöturvallisuusselvityksen, tämä on hankintaviranomaiselle tai avustuksen myöntävälle viranomaiselle riittävä peruste irtisanoa turvallisuusluokiteltu hankintasopimus tai sulkea ehdokas, tarjoaja tai hakija kilpailun ulkopuolelle. Tätä koskeva määräys on sisällytettävä myöhemmin laadittaviin hankinta- ja avustussopimusten malleihin.
45 artikla
Turvallisuusluokiteltuja hankinta- ja avustussopimuksia koskevat säännökset
1. Jos ehdokkaalle, tarjoajalle tai hakijalle annetaan EU:n turvallisuusluokiteltuja tietoja hankintamenettelyn aikana, tarjous- tai ehdotuspyynnössä on oltava määräys, jolla ehdokas, tarjoaja tai hakija, joka ei esitä tarjousta tai ehdotusta tai jota ei valita, velvoitetaan palauttamaan kaikki turvallisuusluokitellut asiakirjat ilmoitetussa määräajassa.
2. Hankintaviranomainen tai avustuksen myöntävä viranomainen ilmoittaa komission turvallisuusviranomaisen välityksellä kansalliselle, nimetylle tai muulle toimivaltaiselle turvallisuusviranomaiselle siitä, että turvallisuusluokiteltu hankinta- tai avustussopimus on tehty, samoin kuin asiaankuuluvat tiedot, kuten toimeksisaajan/-saajien tai avunsaajan/-saajien nimen/nimet, sopimuksen keston ja korkeimman turvallisuusluokan.
3. Tällaisen hankinta- tai avustussopimuksen päättyessä hankintaviranomainen tai avustuksen myöntävä viranomainen ilmoittaa asiasta viipymättä komission turvallisuusviranomaisen välityksellä sen jäsenvaltion kansalliselle, nimitetylle tai muulle toimivaltaiselle turvallisuusviranomaiselle, jossa toimeksisaaja tai avunsaaja on rekisteröity.
4. Yleensä toimeksisaajan tai avunsaajan edellytetään palauttavan hankintaviranomaiselle tai avustuksen myöntävälle viranomaiselle turvallisuusluokitellun hankinta- tai avustussopimuksen voimassaolon tai avunsaajan osallistumisen päättyessä kaikki hallussaan olevat EU:n turvallisuusluokitellut tiedot.
5. Turvallisuutta koskevaan lisälausekkeeseen on sisällytettävä erityismääräyksiä EU:n turvallisuusluokiteltujen tietojen hävittämisestä turvallisuusluokitellun hankinta- tai avustussopimuksen täytäntöönpanon aikana tai sen voimassaolon päättyessä.
6. Jos toimeksisaaja tai avunsaaja saa luvan säilyttää EU:n turvallisuusluokiteltuja tietoja turvallisuusluokitellun hankinta- tai avustussopimuksen voimassaolon päätyttyä, tässä päätöksessä säädettyjä vähimmäisvaatimuksia on edelleen noudatettava ja toimeksisaajan tai avunsaajan on huolehdittava EU:n turvallisuusluokiteltujen tietojen luottamuksellisuuden säilymisestä.
46 artikla
Turvallisuusluokiteltuja hankintasopimuksia koskevat erityissäännökset
1. Tarjouspyynnössä ja turvallisuusluokitellussa hankintasopimuksessa on määriteltävä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat ehdot, joiden mukaisesti toimeksisaaja voi tehdä alihankintasopimuksia.
2. Toimeksisaajan on saatava hankintaviranomaiselta lupa ennen yhdenkään turvallisuusluokitellun sopimuksen osan antamista alihankkijan toteutettavaksi. Kolmanteen maahan rekisteröityneen alihankkijan kanssa ei voi tehdä alihankintasopimusta, johon liittyy pääsy EU:n turvallisuusluokiteltuihin tietoihin, ellei tietojen turvallisuudesta ole 7 luvussa tarkoitettua sääntelykehystä.
3. Toimeksisaajan tehtävänä on varmistaa, että kaikki alihankintatoiminnot suoritetaan tässä päätöksessä säädettyjen vähimmäisvaatimusten mukaisesti, eikä se saa antaa EU:n turvallisuusluokiteltuja tietoja alihankkijalle ilman hankintaviranomaisen kirjallista etukäteissuostumusta.
4. Jos toimeksisaaja tuottaa tai käsittelee EU:n turvallisuusluokiteltuja tietoja, komission katsotaan olevan niiden luovuttaja, ja tietojen luovuttajan oikeudet kuuluvat hankintaviranomaiselle.
47 artikla
Turvallisuusluokiteltuihin hankintasopimuksiin liittyvät vierailut
1. Jos komission henkilöstön jäsenellä tai toimeksisaajan tai avunsaajan henkilöstöllä on oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -tasolle luokiteltuihin tietoihin toistensa tiloissa osana turvallisuusluokitellun hankinta- tai avustussopimuksen täytäntöönpanoa, vierailuista on sovittava asianomaisen kansallisen, nimetyn tai muun toimivaltaisen turvallisuusviranomaisen kanssa. Tällaisista vierailusta on ilmoitettava komission turvallisuusviranomaiselle. Kun on kyse erityisistä ohjelmista tai hankkeista, kansallinen, nimetty tai muu toimivaltainen turvallisuusviranomainen voi kuitenkin sopia menettelystä, jossa vierailut voidaan järjestää suoraan.
2. Kaikilla vierailijoilla on oltava asianmukainen turvallisuusselvitys ja tiedonsaantitarve, jotta heille voidaan myöntää pääsy sellaisiin EU:n turvallisuusluokiteltuihin tietoihin, jotka liittyvät turvallisuusluokiteltuun sopimukseen.
3. Vierailijoille on annettava pääsy vain vierailun tarkoitukseen liittyviin EU:n turvallisuusluokiteltuihin tietoihin.
4. Yksityiskohtaisempia ohjeita annetaan soveltamissäännöissä.
5. Tähän päätökseen ja 4 kohdassa tarkoitettuihin soveltamissääntöihin sisältyvien, turvallisuusluokiteltuihin hankintasopimuksiin liittyviä vierailuja koskevien säännösten noudattaminen on pakollista.
48 artikla
Turvallisuusluokiteltuihin hankinta- tai avustussopimuksiin liittyvien EU:n turvallisuusluokiteltujen tietojen siirto ja kuljetus
1. EU:n turvallisuusluokiteltujen tietojen siirtämiseen sähköisesti sovelletaan tämän päätöksen 5 luvun asiaankuuluvia säännöksiä.
2. EU:n turvallisuusluokiteltujen tietojen kuljetukseen sovelletaan tämän päätöksen 4 luvun asiaankuuluvia säännöksiä ja päätöksen soveltamissääntöjä kansallisten lakien ja asetusten mukaisesti.
3. Turvallisuusluokitellun materiaalin rahtina kuljettamiseen sovelletaan turvallisuusjärjestelyjä määriteltäessä seuraavia periaatteita:
a)
turvallisuus on taattava kuljetuksen kaikissa vaiheissa lähtöpisteestä lopulliseen määräpaikkaan saakka;
b)
lähetyksen suojan taso on määriteltävä sen sisältämän materiaalin korkeimman turvallisuusluokan mukaan;
c)
lähettäjän on ennen CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -tasolle luokitellun materiaalin kuljettamista yli rajojen laadittava kuljetussuunnitelma, joka kansallisen, nimetyn tai muun toimivaltaisen turvallisuusviranomaisen on hyväksyttävä;
d)
kuljetuksen on tapahduttava mahdollisuuksien mukaan suoraan lähtöpaikasta määräpaikkaan, ja se on suoritettava niin nopeasti kuin olosuhteet sallivat;
e)
reittien olisi mahdollisuuksien mukaan kuljettava ainoastaan jäsenvaltioiden kautta. Muiden kuin jäsenvaltioiden kautta kulkevia reittejä olisi käytettävä ainoastaan, kun siihen on sekä lähettäjän että vastaanottajan valtion kansallisen, nimetyn tai muun toimivaltaisen turvallisuusviranomaisen lupa.
49 artikla
EU:n turvallisuusluokiteltujen tietojen siirto kolmansissa valtioissa sijaitseville toimeksisaajille tai avunsaajille
Siirrettäessä EU:n turvallisuusluokiteltuja tietoja kolmansissa valtioissa sijaitseville toimeksisaajille tai avunsaajille on noudatettava komission turvallisuusviranomaisen, hankintaviranomaisena tai avustuksen myöntävänä viranomaisena toimivan komission osaston sekä sen kolmannen maan, johon toimeksisaaja tai avunsaaja on rekisteröity, kansallisen, nimetyn tai muun toimivaltaisen turvallisuusviranomaisen kesken sovittuja turvatoimia.
50 artikla
RESTREINT UE/EU RESTRICTED -tasolle luokiteltujen tietojen käsittely turvallisuusluokiteltujen hanke- tai avustussopimusten yhteydessä
1. Turvallisuusluokiteltujen hankinta- tai avustussopimusten nojalla käsiteltävien, RESTREINT UE/EU RESTRICTED -luokkaan kuuluvien tietojen suojaamisen on perustuttava suhteellisuusperiaatteeseen ja kustannustehokkuuden periaatteeseen.
2. Sellaisten turvallisuusluokiteltujen hankinta- tai avustussopimusten yhteydessä, joihin liittyy RESTREINT UE/EU RESTRICTED -luokkaan kuuluvien tietojen käsittelyä, ei edellytetä yhteisö- eikä henkilöturvallisuusselvitystä.
3. Jos hankinta- tai avustussopimukseen kuuluu RESTREINT UE/EU RESTRICTED -luokkaan kuuluvien tietojen käsittelyä toimeksisaajan tai avunsaajan operoimassa viestintä- ja tietojärjestelmässä, hankintaviranomainen tai avustuksen myöntävä viranomainen varmistaa komission turvallisuusviranomaista kuultuaan, että hankinta- tai avustussopimuksessa määrätään viestintä- ja tietojärjestelmän hyväksymistä koskevista tarvittavista teknisistä ja hallinnollisista vaatimuksista, jotka on suhteutettu arvioituun riskiin ja joissa on otettu huomioon kaikki asiaankuuluvat tekijät. Tällaisen viestintä- ja tietojärjestelmän hyväksymisen laajuudesta on sovittava komission turvallisuusviranomaisen ja asianomaisen kansallisen tai nimetyn turvallisuusviranomaisen kesken.
7 LUKU
TURVALLISUUSLUOKITELTUJEN TIETOJEN VAIHTO MUIDEN UNIONIN TOIMIELINTEN, ELINTEN JA LAITOSTEN, JÄSENVALTIOIDEN, KOLMANSIEN VALTIOIDEN JA KANSAINVÄLISTEN JÄRJESTÖJEN KANSSA
51 artikla
Perusperiaatteet
1. Jos komissio tai jokin sen osasto katsoo, että EU:n turvallisuusluokiteltuja tietoja on tarpeen vaihtaa toisen unionin toimielimen, elimen tai laitoksen taikka kolmannen valtion tai kansainvälisen järjestön kanssa, se ryhtyy tarvittaviin toimiin luodakseen asianmukaisen oikeudellisen tai hallinnollisen kehyksen, johon voi kuulua myös asiaankuuluvien määräysten mukaisesti tehtyjä tietoturvasopimuksia tai hallinnollisia järjestelyjä.
2. EU:n turvallisuusluokiteltuja tietoja voidaan vaihtaa toisen unionin toimielimen, elimen tai laitoksen taikka kolmannen valtion tai kansainvälisen järjestön kanssa vain, jos asianmukainen oikeudellinen tai hallinnollinen kehys on luotu ja on olemassa riittävät takeet siitä, että asianomainen unionin toimielin, elin tai laitos taikka kolmas valtio tai kansainvälinen järjestö soveltaa turvallisuusluokiteltujen tietojen suojaamiseen samantasoisia perusperiaatteita ja vähimmäisvaatimuksia, sanotun kuitenkaan rajoittamatta 57 artiklan soveltamista.
52 artikla
EU:n turvallisuusluokiteltujen tietojen vaihto muiden unionin toimielinten, elinten ja laitosten kanssa
1. Ennen kuin komissio sopii EU:n turvallisuusluokiteltujen tietojen vaihdossa käytettävästä hallinnollisesta järjestelystä toisen unionin toimielimen, elimen tai laitoksen kanssa, se hankkii vahvistuksen sille, että asianomainen unionin toimielin, elin tai laitos
a)
soveltaa EU:n turvallisuusluokiteltujen tietojen suojaamiseen sääntelykehystä, jossa määrätään vastaavista perusperiaatteista ja vähimmäisvaatimuksista kuin tässä päätöksessä ja sen soveltamissäännöissä;
b)
soveltaa henkilöstöturvallisuutta, fyysistä turvallisuutta, EU:n turvallisuusluokiteltujen tietojen hallinnointia ja viestintä- ja tietojärjestelmien turvallisuutta koskevia turvallisuusvaatimuksia ja -ohjeita, joilla taataan vastaava EU:n turvallisuusluokiteltujen tietojen suojan taso kuin komissiossa;
c)
merkitsee tuottamansa turvallisuusluokitellut tiedot EU:n turvallisuusluokitelluiksi tiedoiksi.
2. Henkilöstöhallinnon ja turvallisuustoiminnan pääosasto toimii komission vastuuyksikkönä tiiviissä yhteistyössä muiden toimivaltaisten komission osastojen kanssa, kun muiden unionin toimielinten, elinten tai laitosten kanssa sovitaan EU:n turvallisuusluokiteltujen tietojen vaihtoa koskevista hallinnollisista järjestelyistä.
3. Hallinnollisista järjestelyistä sovitaan yleensä kirjeenvaihdolla; kirjeet allekirjoittaa komission puolesta henkilöstöhallinnon ja turvallisuustoiminnan pääjohtaja.
4. Ennen EU:n turvallisuusluokiteltujen tietojen vaihtoa koskevasta hallinnollisesta järjestelystä sopimista komission turvallisuusviranomainen tekee arviointikäynnin, jonka tarkoituksena on arvioida EU:n turvallisuusluokiteltujen tietojen suojaamiseen sovellettava sääntelykehys ja varmistua suojatoimien tehokkuudesta. Hallinnollinen järjestely tulee voimaan ja EU:n turvallisuusluokiteltuja tietoja vaihdetaan vain, jos arviointikäynnin tulos on tyydyttävä ja sen johdosta annettuja suosituksia on noudatettu. Säännöllisiä seurantakäyntejä on tehtävä sen varmistamiseksi, että hallinnollista järjestelyä noudatetaan ja että käytössä olevat turvatoimet ovat edelleen sovittujen perusperiaatteiden ja vähimmäisvaatimusten mukaisia.
5. Pääsihteeristön hallinnoima EU:n turvallisuusluokiteltujen tietojen rekisteri toimii pääsääntöisesti unionin muiden toimielinten, elinten ja laitosten kanssa vaihdettavien turvallisuusluokiteltujen tietojen saapumis- ja lähtöpaikkana komissiossa. Komission osastoihin perustetut EU:n turvallisuusluokiteltujen tietojen paikallisrekisterit toimivat tämän päätöksen ja sen soveltamissääntöjen mukaisesti turvallisuusluokiteltujen tietojen saapumis- ja lähtöpaikkana asioissa, jotka kuuluvat asianomaisten osastojen toimivaltaan, siinä tapauksessa, että se on EU:n turvallisuusluokiteltujen tietojen suojaamisen kannalta ja turvallisuuteen, organisaatioon tai toimintaan liittyvistä syistä tarkoituksenmukaisempaa.
6. Komission turvallisuusasiantuntijaryhmälle on tiedotettava 2 kohdan mukaisesta hallinnollisten järjestelyjen sopimisprosessista.
53 artikla
EU:n turvallisuusluokiteltujen tietojen vaihto jäsenvaltioiden kanssa
1. EU:n turvallisuusluokiteltuja tietoja voidaan vaihtaa jäsenvaltioiden kanssa ja luovuttaa niille edellyttäen, että ne suojaavat tiedot sellaisiin turvallisuusluokiteltuihin tietoihin sovellettavien vaatimusten mukaisesti, joilla on samantasoinen kansallinen turvallisuusluokka liitteeseen I sisältyvän turvallisuusluokkien vastaavuustaulukon mukaisesti.
2. Jäsenvaltioiden tuodessa Euroopan unionin rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, komissio noudattaa kyseisten tietojen suojaamisessa vastaavantasoisiin EU:n turvallisuusluokiteltuihin tietoihin sovellettavia vaatimuksia liitteeseen I sisältyvän turvallisuusluokkien vastaavuustaulukon mukaisesti.
54 artikla
EU:n turvallisuusluokiteltujen tietojen vaihto kolmansien valtioiden ja kansainvälisten järjestöjen kanssa
1. Jos komissio katsoo, että sillä on pitkäkestoinen tarve vaihtaa turvallisuusluokiteltuja tietoja kolmansien valtioiden tai kansainvälisten järjestöjen kanssa, se ryhtyy tarvittaviin toimiin luodakseen asianmukaisen oikeudellisen tai hallinnollisen kehyksen, johon voi kuulua myös asiaankuuluvien määräysten mukaisesti tehtyjä tietoturvasopimuksia tai hallinnollisia järjestelyjä.
2. Edellä 1 kohdassa tarkoitettuihin tietoturvasopimuksiin ja hallinnollisiin järjestelyihin on sisällytettävä määräyksiä sen varmistamiseksi, että kolmansien valtioiden tai kansainvälisten järjestöjen vastaanottaessa EU:n turvallisuusluokiteltuja tietoja kyseiset tiedot suojataan niiden turvallisuusluokan edellyttämällä ja tässä päätöksessä vahvistettuja vähimmäisvaatimuksia vastaavien vaatimusten mukaisesti.
3. Komissio voi 56 artiklan mukaisesti sopia hallinnollisista järjestelyistä, kun EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka on pääsääntöisesti korkeintaan RESTREINT UE/EU RESTRICTED.
4. Edellä 3 kohdassa tarkoitettuihin turvallisuusluokiteltujen tietojen vaihtoa koskeviin hallinnollisiin järjestelyihin on sisällyttävä määräyksiä sen varmistamiseksi, että kolmansien valtioiden tai kansainvälisten järjestöjen vastaanottaessa EU:n turvallisuusluokiteltuja tietoja kyseiset tiedot suojataan niiden turvallisuusluokan edellyttämällä tasolla ja tässä päätöksessä vahvistettuja vähimmäisvaatimuksia vastaavien vaatimusten mukaisesti. Komission turvallisuusasiantuntijaryhmää on kuultava ennen tietoturvasopimusten tekemistä tai hallinnollisista järjestelyistä sopimista.
5. Komission osasto tekee EU:n turvallisuusluokiteltujen tietojen luovuttajana päätöksen kyseisten komissiosta peräisin olevien tietojen luovuttamisesta kolmannelle valtiolle tai kansainväliselle järjestölle tapauskohtaisesti tietojen luonteen ja sisällön, vastaanottajan tiedonsaantitarpeen ja unionille koituvan edun arvioinnin perusteella. Jos komissio ei ole luovutuspyynnön kohteena olevien turvallisuusluokiteltujen tietojen tai niiden mahdollisesti sisältämän lähdeaineiston luovuttaja, komission osasto, jonka hallussa kyseiset tiedot ovat, pyytää ensin luovuttajalta kirjallisen suostumuksen tietojen luovuttamiselle. Jos luovuttaja ei ole tiedossa, komission osasto, jonka hallussa turvallisuusluokitellut tiedot ovat, ottaa luovuttajalle kuuluvan vastuun komission turvallisuusasiantuntijaryhmää kuultuaan.
55 artikla
Tietoturvasopimukset
1. Tietoturvasopimukset kolmansien valtioiden tai kansainvälisten järjestöjen kanssa on tehtävä Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan mukaisesti.
2. Tietoturvasopimuksissa on määrättävä
a)
perusperiaatteista ja vähimmäisvaatimuksista, joita sovelletaan turvallisuusluokiteltujen tietojen vaihtoon unionin ja kolmannen valtion tai kansainvälisen järjestön välillä;
b)
teknisistä täytäntöönpanojärjestelyistä, joista sovitaan asianomaisten unionin toimielinten ja elinten toimivaltaisten turvallisuusviranomaisten sekä kyseisen kolmannen valtion tai kansainvälisen järjestön toimivaltaisen turvallisuusviranomaisen kesken. Tällaisissa järjestelyissä on otettava huomioon asianomaisessa kolmannessa valtiossa tai kansainvälisessä järjestössä sovellettavien turvallisuusmääräysten, -rakenteiden ja -menettelyjen tarjoaman suojan taso;
c)
siitä, että ennen sopimuksen mukaista turvallisuusluokiteltujen tietojen vaihtoa varmistetaan, että vastaanottava osapuoli pystyy suojaamaan sille annettavat turvallisuusluokitellut tiedot asianmukaisella tavalla.
3. Jos tarve vaihtaa turvallisuusluokiteltuja tietoja on todettu 51 artiklan 1 kohdan mukaisesti, komissio kuulee tarvittaessa Euroopan ulkosuhdehallintoa, neuvoston pääsihteeristöä sekä muita unionin toimielimiä ja elimiä sen määrittämiseksi, olisiko annettava Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan 3 kohdan mukainen suositus.
4. EU:n turvallisuusluokiteltuja tietoja ei saa vaihtaa sähköisesti, ellei siitä nimenomaisesti määrätä tietoturvasopimuksessa tai teknisissä täytäntöönpanojärjestelyissä.
5. Pääsihteeristön hallinnoima EU:n turvallisuusluokiteltujen tietojen rekisteri toimii pääsääntöisesti kolmansien valtioiden ja kansainvälisten järjestöjen kanssa vaihdettavien turvallisuusluokiteltujen tietojen saapumis- ja lähtöpaikkana komissiossa. Komission osastoihin perustetut EU:n turvallisuusluokiteltujen tietojen paikallisrekisterit toimivat tämän päätöksen ja sen soveltamissääntöjen mukaisesti turvallisuusluokiteltujen tietojen saapumis- ja lähtöpaikkana asioissa, jotka kuuluvat asianomaisten komission osastojen toimivaltaan, siinä tapauksessa, että se on EU:n turvallisuusluokiteltujen tietojen suojaamisen kannalta ja turvallisuuteen, organisaatioon tai toimintaan liittyvistä syistä tarkoituksenmukaisempaa.
6. Asianomaisen kolmannen valtion tai kansainvälisen järjestön turvallisuusmääräysten, -rakenteiden ja -menettelyjen tehokkuuden arvioimiseksi tehdään arviointikäyntejä, joihin komissio osallistuu yhdessä muiden unionin toimielinten, elinten tai laitosten kanssa ja joista on sovittava asianomaisen kolmannen valtion tai kansainvälisen järjestön kanssa. Arviointikäynneillä arvioidaan
a)
turvallisuusluokiteltujen tietojen suojaamiseen sovellettavaa sääntelykehystä;
b)
kolmannen valtion tai kansainvälisen järjestön turvallisuuspolitiikan ja järjestelyjen erityispiirteitä, jotka saattavat vaikuttaa mahdollisesti vaihdettavien turvallisuusluokiteltujen tietojen turvallisuusluokkaan;
c)
käytössä olevia turvatoimia ja turvallisuusmenettelyjä; ja
d)
luovutettavien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaan sovellettavia turvallisuusselvitysmenettelyjä.
56 artikla
Hallinnolliset järjestelyt
1. Jos unionin poliittisen tai oikeudellisen kehyksen puitteissa on olemassa pitkäkestoinen tarve vaihtaa kolmannen valtion tai kansainvälisen järjestön kanssa tietoja, joiden turvallisuusluokka on pääsääntöisesti korkeintaan RESTREINT UE/EU RESTRICTED, ja varsinkin jos komission turvallisuusviranomainen on komission turvallisuusasiantuntijaryhmää kuultuaan katsonut, ettei kyseisen osapuolen turvallisuusjärjestelmä ole riittävän kehittynyt tietoturvallisuussopimuksen tekemiseksi, komissio voi sopia hallinnollisesta järjestelystä kyseisen kolmannen valtion viranomaisten tai kansainvälisen järjestön kanssa.
2. Hallinnollisista järjestelyistä sovitaan yleensä kirjeenvaihtona.
3. Ennen järjestelystä sopimista on tehtävä arviointikäynti. Komission turvallisuusasiantuntijaryhmälle on tiedotettava arviointikäynnin tuloksesta. EU:n turvallisuusluokiteltuja tietoja saa luovuttaa, jos niiden kiireelliseen vaihtoon on poikkeuksellisia syitä, edellyttäen, että arviointikäynti pyritään järjestämään mahdollisimman pian.
4. EU:n turvallisuusluokiteltuja tietoja ei saa vaihtaa sähköisesti, ellei siitä nimenomaisesti määrätä hallinnollisessa järjestelyssä.
57 artikla
EU:n turvallisuusluokiteltujen tietojen poikkeuksellinen luovuttaminen tapauskohtaisesti
1. Jos tietoturvasopimusta ei ole tehty eikä hallinnollisesta järjestelystä sovittu ja komissio tai jokin sen osasto katsoo, että unionin poliittisen tai oikeudellisen kehyksen puitteissa on poikkeuksellinen tarve luovuttaa EU:n turvallisuusluokiteltuja tietoja kolmannelle valtiolle tai kansainväliselle järjestölle, komission turvallisuusviranomainen varmistaa mahdollisuuksien mukaan kyseisen kolmannen valtion tai kansainvälisen järjestön turvallisuusviranomaisilta, että sen turvallisuusmääräykset, -rakenteet ja -menettelyt ovat sellaiset, että sille luovutettuja EU:n turvallisuusluokiteltuja tietoja suojataan vähintään yhtä tiukkojen vaatimusten mukaisesti kuin joista säädetään tässä päätöksessä.
2. Komissio tekee komission turvallisuusasiantuntijaryhmää kuultuaan päätöksen EU:n turvallisuusluokiteltujen tietojen luovuttamisesta asianomaiselle kolmannelle valtioille tai kansainväliselle järjestölle turvallisuusasioista vastaavan komission jäsenen ehdotuksen pohjalta.
3. Sen jälkeen, kun komissio on tehnyt päätöksen EU:n turvallisuusluokiteltujen tietojen luovuttamisesta ja luovuttajalta, myös tietojen mahdollisesti sisältämän lähdeaineiston luovuttajalta, on saatu kirjallinen ennakkosuostumus, toimivaltainen komission osasto toimittaa asianomaiset tiedot, joissa on oltava luovutettavuutta koskeva merkintä ja maininta kolmannesta valtiosta tai kansainvälisestä järjestöstä, jolle tiedot on luovutettu. Kyseisen kolmannen osapuolen on ennen tietojen luovuttamista tai luovuttamisen yhteydessä kirjallisesti sitouduttava suojaamaan vastaanottamansa EU:n turvallisuusluokitellut tiedot tässä päätöksessä säädettyjen perusperiaatteiden ja vähimmäisvaatimusten mukaisesti.
8 LUKU
LOPPUSÄÄNNÖKSET
58 artikla
Aiemman päätöksen korvaaminen
Tällä päätöksellä kumotaan ja korvataan komission päätös 2001/844/EY, EHTY, Euratom (14).
59 artikla
Ennen tämän päätöksen voimaantuloa tuotetut turvallisuusluokitellut tiedot
1. Kaikki päätöksen 2001/844/EY, EHTY, Euratom mukaisesti luokitellut EU:n turvallisuusluokitellut tiedot suojataan edelleen tämän päätöksen säännösten mukaisesti.
2. Kaikki komission hallussa päivänä, jona päätös 2001/844/EY, EHTY, Euratom tuli voimaan, olleet turvallisuusluokitellut tiedot Euratomin turvallisuusluokiteltuja tietoja lukuun ottamatta
a)
katsotaan edelleen, jos ne on tuotettu komissiossa, luokitellun automaattisesti uudelleen RESTRAINT EU -tasolle, paitsi jos niiden kirjoittaja oli 31 päivään tammikuuta 2002 mennessä päättänyt antaa niille eri luokituksen ja oli ilmoittanut asiasta kaikille asianomaisen asiakirjan vastaanottajille;
b)
säilyttävät, jos ne on tuotettu komission ulkopuolella, alkuperäisen turvallisuusluokkansa, eli niitä pidetään samantasoisina EU:n turvallisuusluokiteltuina tietoina, paitsi jos kirjoittaja suostuu niiden turvallisuusluokan poistamiseen tai alentamiseen.
60 artikla
Soveltamissäännöt ja turvallisuusohjeet
1. Tämän päätöksen soveltamissääntöjen hyväksyntä voi edellyttää erillistä valtuutuspäätöstä, jonka komissio antaa turvallisuusasioista vastaavalle komission jäsenelle sisäisiä menettelysääntöjä täysimääräisesti noudattaen.
2. Turvallisuusasioista vastaava komission jäsen voi edellä mainitulla komission päätöksellä valtuutuksen saatuaan laatia turvallisuusohjeita, joissa esitetään turvallisuutta koskevat suuntaviivat ja parhaat käytännöt tämän päätöksen ja sen soveltamissääntöjen soveltamisalalla.
3. Komissio voi siirtää tämän artiklan 1 ja 2 kohdassa mainitut tehtävät erillisellä päätöksellä henkilöstöhallinnon ja turvallisuustoiminnan pääjohtajalle sisäisiä menettelysääntöjä täysimääräisesti noudattaen.
61 artikla
Voimaantulo
Tämä päätös tulee voimaan seuraavana päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.
Tehty Brysselissä 13 päivänä maaliskuuta 2015.