ROZHODNUTÍ KOMISE (EU, Euratom) 2015/444
ze dne 13. března 2015
o bezpečnostních pravidlech na ochranu utajovaných informací EU
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 249 této smlouvy,
s ohledem na Smlouvu o založení Evropského společenství pro atomovou energii, a zejména na článek 106 této smlouvy,
s ohledem na Protokol č. 7 o výsadách a imunitách Evropské unie připojený ke Smlouvám, a zejména na článek 18 uvedeného protokolu,
vzhledem k těmto důvodům:
(1)
Bezpečnostní předpisy Komise týkající se ochrany utajovaných informací Evropské unie je třeba revidovat a aktualizovat, aby se zohlednil institucionální, organizační, provozní a technický vývoj.
(2)
S vládou Belgie, Lucemburska a Itálie uzavřela Evropská komise dohody o bezpečnostních otázkách týkající se jejích hlavních sídel (1).
(3)
Komise, Rada a Evropská služba pro vnější činnost se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(4)
Je důležité, aby zásady, standardy a pravidla pro ochranu utajovaných informací nezbytné pro ochranu zájmů Unie a jejích členských států v příslušných případech uplatňoval i Evropský parlament a další orgány, instituce a jiné subjekty Unie.
(5)
Rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces se zaměřuje na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany. Účinnost těchto opatření se průběžně vyhodnocuje.
(6)
V rámci Komise se fyzickou bezpečností zaměřenou na ochranu utajovaných informací rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
(7)
Správou utajovaných informací EU se rozumí uplatňování administrativních opatření, která slouží ke kontrole těchto informací během celého jejich životního cyklu a která doplňují opatření stanovená v kapitolách 2, 3 a 5 tohoto rozhodnutí, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací, jejich ohrožení nebo ztrátu zjistit a následně zajistit nápravu. Tato opatření se týkají zejména vytváření, uchovávání, evidence, kopírování, překladů, snižování stupně utajení, odtajňování, přenášení a ničení utajovaných informací EU a doplňují obecné předpisy pro správu dokumentů Komise (rozhodnutí 2002/47/ES (2), ESUO, Euratom a 2004/563/ES, Euratom (3)).
(8)
Tímto rozhodnutím nejsou dotčeny:
a)
nařízení (Euratom) č. 3 (4);
b)
nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 (5);
c)
nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (6);
d)
nařízení Rady (EHS, Euratom) č. 354/83 (7);
PŘIJALA TOTO ROZHODNUTÍ:
KAPITOLA 1
ZÁKLADNÍ ZÁSADY A MINIMÁLNÍ STANDARDY
Článek 1
Definice
Pro účely tohoto rozhodnutí se rozumí:
1)
„útvarem Komise“ generální ředitelství či služba Komise nebo kabinet člena Komise;
2)
„kryptografickými materiály“ šifrovací algoritmy, hardwarové a softwarové kryptografické moduly a prostředky, včetně prováděcích pravidel a související dokumentace, a klíčový materiál;
3)
„odtajněním“ odstranění veškerých stupňů utajení;
4)
„hloubkovou ochranou“ uplatňování řady bezpečnostních opatření, která jsou uspořádána jako několik obranných linií;
5)
„dokumentem“ jakékoli zaznamenané informace bez ohledu na jejich fyzickou podobu či povahu;
6)
„snížením stupně utajení“ označení informace nižším stupněm utajení;
7)
„nakládáním“ s utajovanými informacemi EU veškeré možné činnosti, jimž mohou být podrobovány utajované informace EU během celého svého životního cyklu. K těmto činnostem patří vytváření, evidence, zpracovávání, přenášení, snižování stupně utajení, odtajňování a ničení informací. V souvislosti s komunikačními a informačními systémy tento pojem zahrnuje rovněž jejich shromažďování, zobrazování, přenos a uchovávání;
8)
„držitelem“ řádně oprávněná osoba, která jednoznačně potřebuje znát utajované informace EU, má některé z nich v držení, a je tedy odpovědná za jejich ochranu;
9)
„prováděcími pravidly“ soubor pravidel nebo bezpečnostních upozornění přijatý v souladu s kapitolou 5 rozhodnutí Komise (EU, Euratom) 2015/443 (8);
10)
„materiálem“ jakékoli médium, datový nosič nebo část technického zařízení či vybavení, ať vyhotovené, či v procesu zhotovování;
11)
„původcem“ orgán, instituce nebo jiný subjekt Unie, členský stát, třetí stát nebo mezinárodní organizace, z jejichž pověření byly utajované informace vytvořeny nebo uvedeny do struktur Unie;
12)
„prostory“ všechny nemovitosti a přidružené věci ve vlastnictví či v držení Komise;
13)
„procesem řízení bezpečnostních rizik“ celý proces rozpoznávání, kontrolování a minimalizace nejistých událostí, které mohou ovlivnit bezpečnost organizace nebo jakýchkoli systémů, které používá. Zahrnuje všechny činnosti týkající se rizik, včetně hodnocení, řešení, přijímání a sdělování;
14)
„služebním řádem“ služební řád úředníků Evropské unie a pracovní řád ostatních zaměstnanců Evropské unie stanovený nařízením Rady (EHS, Euratom, ESUO) č. 259/68 (9);
15)
„hrozbou“ možná příčina nežádoucího incidentu, jež může vést k poškození určité organizace nebo jakéhokoli systému, který používá; hrozby mohou být neúmyslné či úmyslné (zlovolné) a vyznačují se ohrožujícími prvky, potenciálními cíli a metodami útoku;
16)
„zranitelností“ jakákoli slabina, které může být využito v souvislosti s jednou či vícero hrozbami. Zranitelnost může být výsledkem opomenutí nebo může souviset s nedostatky v rámci kontrol, pokud jde o jejich intenzitu, úplnost nebo důslednost, a může být technické, procedurální, fyzické, organizační nebo provozní povahy.
Článek 2
Předmět a oblast působnosti
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Toto rozhodnutí se použije na všechny útvary Komise a ve všech prostorách Komise.
3. Bez ohledu na jakékoli zvláštní pokyny ohledně konkrétních skupin zaměstnanců se toto rozhodnutí použije na členy Komise, na zaměstnance Komise, na něž se vztahuje služební řád a pracovní řád ostatních zaměstnanců Evropských společenství, na národní odborníky vyslané do Komise, na poskytovatele služeb a jejich zaměstnance, na stážisty a na každého, kdo má přístup do budov či k majetku Komise nebo k informacím, s nimiž Komise nakládá.
4. Tímto rozhodnutím není dotčeno rozhodnutí 2002/47/ES, ESUO, Euratom a rozhodnutí 2004/563/ES, Euratom.
Článek 3
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi Evropské unie“ se rozumí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a) TRES SECRET UE/EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození zásadních zájmů Evropské unie nebo jednoho či více členských států;
b) SECRET UE/EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d) RESTREINT UE/EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Evropské unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení, jež neoznačují stupeň utajení, ale mají uvést oblast činnosti, k níž se informace vztahují, identifikovat původce, omezovat distribuci či použití nebo uvádět informace o způsobilosti k předání.
Článek 4
Pravidla stanovování stupňů utajení
1. Každý člen Komise či útvaru Komise zajistí, aby utajované informace EU, jež vytváří, byly odpovídajícím způsobem utajeny, jasně označeny jako utajované informace EU a stupeň utajení si zachovaly pouze po nezbytnou dobu.
2. Aniž je dotčen článek 26, bez předchozího písemného souhlasu původce nelze snížit stupeň utajení utajovaných informací EU, odtajnit je a ani nelze změnit či zrušit žádné z označení stupně utajení uvedených v čl. 3 odst. 2.
3. Je-li to vhodné, přijmou se v souladu s článkem 60 prováděcí pravidla pro nakládání s utajovanými informacemi EU, včetně příručky pro stanovování stupňů utajení.
Článek 5
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím a jeho prováděcími pravidly.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu podle tohoto rozhodnutí a jeho prováděcích pravidel, v souladu s pravidly stanovenými v kapitole 4.
3. Pokud členské státy poskytnou do struktur či sítí Komise utajované informace označené vnitrostátním stupněm utajení, Komise tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v příloze I.
4. Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru.
Článek 6
Řízení bezpečnostních rizik
1. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uchovávány, a na místě vyhodnocené hrozbě zlovolných nebo trestných činností, včetně vyzvědačství, sabotáže nebo terorismu.
2. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
3. Plány zajištění kontinuity provozu v každém útvaru zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na uchovávání těchto informací.
Článek 7
Provádění tohoto rozhodnutí
1. Je-li to nezbytné, přijmou se v souladu s článkem 60 prováděcí pravidla, která toto rozhodnutí doplní či podpoří.
2. Útvary Komise přijmou veškerá nezbytná opatření spadající do jejich pravomoci, aby zajistily, že se při nakládání s utajovanými informacemi EU či jinými utajovanými informacemi nebo při jejich uchovávání uplatňuje toto rozhodnutí a příslušná prováděcí pravidla.
3. Bezpečnostní opatření přijatá při provádění tohoto rozhodnutí musí být v souladu s bezpečnostními zásadami v Komisi stanovenými v článku 3 rozhodnutí (EU, Euratom) 2015/443.
4. Generální ředitel pro lidské zdroje a bezpečnost zřídí v rámci Generálního ředitelství pro lidské zdroje a bezpečnost bezpečnostní orgán Komise. Bezpečnostní orgán Komise má pravomoci, které mu ukládá toto rozhodnutí a jeho prováděcí pravidla.
5. V rámci každého útvaru Komise má místní bezpečnostní úředník (LSO), jak je uveden v článku 20 rozhodnutí (EU, Euratom) 2015/443, v úzké spolupráci s Generálním ředitelstvím pro lidské zdroje a bezpečnost při ochraně utajovaných informací EU v souladu s tímto rozhodnutím následující obecné úkoly:
a)
vyřizovat žádosti o bezpečnostní oprávnění pro zaměstnance;
b)
podílet se na bezpečnostním školení a informativních schůzích;
c)
mít dohled nad vedoucím registru v daném útvaru;
d)
podávat zprávy o případech narušení bezpečnosti a ohrožení utajovaných informací EU;
e)
mít v držení náhradní klíče a písemné záznamy o nastavení každého kódu;
f)
zastávat další úkoly související s ochranou utajovaných informací EU nebo vymezené v prováděcích pravidlech.
Článek 8
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby, jež je v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím a jeho prováděcími pravidly.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí bezpečnostnímu orgánu Komise.
4. Je-li známo nebo existují-li oprávněné důvody se domnívat, že došlo k ohrožení či ztrátě utajovaných informací EU, provede se bezpečnostní šetření v souladu s článkem 13 rozhodnutí (EU, Euratom) 2015/443.
5. Přijmou se veškerá náležitá opatření, aby bylo možné:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně zapojeni;
c)
posoudit možnou škodu z hlediska zájmů Unie nebo členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
6. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu se služebním řádem. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
KAPITOLA 2
PERSONÁLNÍ BEZPEČNOST
Článek 9
Definice
Pro účely této kapitoly se použijí tyto definice:
1)
„Oprávněním pro přístup k utajovaným informacím EU“ se rozumí rozhodnutí, jež na základě ujištění ze strany příslušného orgánu členského státu přijímá bezpečnostní orgán Komise a podle něhož může být úředníkovi Komise, jinému zaměstnanci nebo vyslanému národnímu odborníkovi, u něhož byla zjištěna potřeba znát utajované informace a jenž byl řádně informován o svých povinnostech, umožněn přístup k utajovaným informacím EU až do konkrétního stupně utajení (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššího) a do konkrétního data; osoba odpovídající tomuto popisu se označuje za „osobu s bezpečnostním oprávněním“.
2)
„Personálním bezpečnostním opravňováním“ se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU bude umožněn pouze osobám, které:
a)
utajované informace potřebují znát;
b)
případně mají bezpečnostní oprávnění pro odpovídající stupeň utajení a
c)
byly poučeny o svých povinnostech.
3)
„Bezpečnostní prověrkou personálu“ se rozumí prohlášení příslušného orgánu členského státu, které je vydáno po skončení bezpečnostního řízení vedeného příslušnými orgány členského státu a kterým se osvědčuje, že určité osobě může být za podmínky, že bylo stanoveno, že utajované informace potřebuje znát, a že byla náležitě poučena o svých povinnostech, umožněn přístup k utajovaným informacím EU až do konkrétního stupně utajení (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššího) a do konkrétního data.
4)
„Potvrzením o bezpečnostní prověrce personálu“ se rozumí osvědčení vydané příslušným orgánem, kterým se osvědčuje, že určitá osoba je držitelem platné bezpečnostní prověrky nebo bezpečnostního oprávnění vydaného bezpečnostním orgánem Komise, a které udává, k jakému stupni utajovaných informací EU může být dané osobě umožněn přístup (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššímu), uvádí dobu platnosti příslušné bezpečnostní prověrky či bezpečnostního oprávnění a datum skončení platnosti vlastního potvrzení.
5)
„Bezpečnostním řízením“ se rozumí postupy šetření prováděné příslušným orgánem členského státu v souladu s jeho právními předpisy za účelem získání jistoty, že nejsou známy žádné negativní skutečnosti, které by bránily tomu, aby byla určité osobě udělena bezpečnostní prověrka až do konkrétního stupně utajení (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššího).
Článek 10
Základní principy
1. Určité osobě lze udělit přístup k utajovaným informacím EU pouze v případě, že:
1)
byla zjištěna potřeba této osoby znát utajované informace;
2)
tato osoba byla poučena o bezpečnostních pravidlech na ochranu utajovaných informací EU a o souvisejících bezpečnostních standardech a pokynech a vzala na vědomí své povinnosti ohledně ochrany těchto informací;
3)
má v případě utajovaných informací se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším bezpečnostní oprávnění pro odpovídající stupeň utajení nebo jiné řádné oprávnění z titulu své funkce v souladu s vnitrostátními právními předpisy.
2. Všechny osoby, jejichž povinnosti mohou vyžadovat, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším, musí předtím, než je jim k takovým utajovaným informacím EU umožněn přístup, získat bezpečnostní oprávnění pro odpovídající stupeň utajení. Dotčená osoba musí předložit písemný souhlas s tím, že podstoupí bezpečnostní prověrku personálu. Pokud tak neučiní, znamená to, že této osobě nemůže být přiděleno místo, funkce nebo úkol, které zahrnují přístup k informacím se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším.
3. Bezpečnostní prověrka personálu je koncipována tak, aby určila, zda může být určitá osoba s přihlédnutím k její loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
4. Loajalita, důvěryhodnost a spolehlivost určité osoby pro účely bezpečnostní prověrky pro přístup k informacím se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším se ověřuje prostřednictvím bezpečnostního řízení, jež provádějí příslušné orgány členského státu v souladu se svými vnitrostátními předpisy.
5. Bezpečnostní orgán Komise nese výhradní odpovědnost za komunikaci s vnitrostátními bezpečnostními orgány nebo jinými příslušnými vnitrostátními orgány ohledně všech záležitostí týkajících se bezpečnostních prověrek. Veškeré kontakty mezi útvary Komise a jejich zaměstnanci a vnitrostátními bezpečnostními orgány a jinými příslušnými orgány probíhají prostřednictvím bezpečnostního orgánu Komise.
Článek 11
Udělování bezpečnostního oprávnění
1. Každý generální ředitel nebo vedoucí útvaru v Komisi určí v rámci svého útvaru pozice, jejichž držitelé potřebují mít k plnění svých úkolů přístup k informacím se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším, a v důsledku toho potřebují mít bezpečnostní oprávnění.
2. Jakmile je známo, že bude určitá osoba jmenována na pracovní místo vyžadující přístup k utajovaným informacím se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším, informuje LSO daného útvaru Komise bezpečnostní orgán Komise, který uvedené osobě předá dotazník bezpečnostní prověrky vydaný vnitrostátním bezpečnostním orgánem členského státu, jehož státní příslušnost má daná osoba při svém jmenování jako zaměstnanec evropských orgánů. Osoba vydá písemný souhlas s podstoupením bezpečnostní prověrky a vyplněný dotazník vrátí v co nejkratší lhůtě bezpečnostnímu orgánu Komise.
3. Bezpečnostní orgán Komise předá vyplněný dotazník bezpečnostní prověrky vnitrostátnímu bezpečnostnímu orgánu členského státu, jehož státní příslušnost má daná osoba při svém jmenování jako zaměstnanec evropských orgánů, a požádá o provedení bezpečnostního řízení pro stupeň utajení utajovaných informací EU, k nimž bude dotyčná osoba potřebovat přístup.
4. Jsou-li bezpečnostnímu orgánu Komise v souvislosti s osobou, která požádala o bezpečnostní prověrku, známy informace významné pro bezpečnostní řízení, oznámí je bezpečnostní orgán Komise postupem podle příslušných pravidel a předpisů příslušnému vnitrostátnímu bezpečnostnímu orgánu.
5. Po skončení bezpečnostního řízení a co nejdříve poté, co příslušný vnitrostátní bezpečnostní orgán oznámí svůj celkový posudek výsledků bezpečnostního řízení, bezpečnostní orgán Komise:
a)
může dotyčné osobě vydat povolení pro přístup k utajovaným informacím EU a oprávnit ji k přístupu k utajovaným informacím EU až do odpovídajícího stupně a po dobu, kterou sám stanoví, nejdéle však na 5 let, pokud je výsledkem bezpečnostního řízení ujištění, že nejsou známy žádné nepříznivé skutečnosti, které by zpochybňovaly loajalitu, důvěryhodnost a spolehlivost dané osoby;
b)
v případě, že z bezpečnostního řízení takové ujištění nevyplývá, oznámí tuto skutečnost v souladu s příslušnými pravidly a předpisy dotyčné osobě, která jej může požádat o slyšení, a pak má bezpečnostní orgán Komise možnost požádat příslušný vnitrostátní bezpečnostní orgán, aby v souladu s vnitrostátními právními předpisy poskytl veškerá další možná upřesnění. Je-li výsledek bezpečnostního řízení potvrzen, nelze oprávnění pro přístup k utajovaným informacím EU vydat.
6. Bezpečnostní řízení spolu se získanými výsledky podléhají příslušným právním předpisům platným v daném členském státě, včetně předpisů týkajících se opravných prostředků. Rozhodnutí bezpečnostního orgánu Komise podléhají opravným prostředkům v souladu se služebním řádem.
7. Komise uzná oprávnění pro přístup k utajovaným informacím EU udělené jakýmkoli jiným orgánem, institucí nebo jiným subjektem Unie, za předpokladu, že je toto oprávnění i nadále platné. Oprávnění se vztahují na veškeré úkoly přidělené dotyčné osobě v rámci Komise. Orgán, instituce nebo jiný subjekt Unie, kde dotyčná osoba nastupuje k výkonu zaměstnání, vyrozumí o změně zaměstnavatele příslušný vnitrostátní bezpečnostní orgán.
8. Nenastoupí-li dotyčná osoba do služby do 12 měsíců od oznámení výsledku bezpečnostního řízení bezpečnostnímu orgánu Komise nebo dojde-li k přerušení služby dotyčné osoby v délce 12 měsíců, během nichž není tato osoba zaměstnána v Komisi ani v žádném jiném orgánu, instituci či jiném subjektu Unie ani na pracovním místě ve vnitrostátních správních orgánech některého členského státu, oznámí bezpečnostní orgán Komise tuto skutečnost příslušnému vnitrostátnímu bezpečnostnímu orgánu za účelem potvrzení, že bezpečnostní prověrka je i nadále platná a odpovídající.
9. Pokud bezpečnostní orgán Komise zjistí informace týkající se bezpečnostního rizika, jež představuje osoba, která je držitelem platného bezpečnostního oprávnění, oznámí tuto skutečnost postupem podle příslušných pravidel a předpisů příslušnému vnitrostátnímu bezpečnostnímu orgánu.
10. Pokud vnitrostátní bezpečnostní orgán informuje bezpečnostní orgán Komise o tom, že v případě osoby, která je držitelem platného oprávnění pro přístup k utajovaným informacím EU, již není platné ujištění podle odst. 5 písm. a), může bezpečnostní orgán Komise vnitrostátní bezpečnostní orgán požádat, aby v souladu s vnitrostátními právními předpisy poskytl veškerá další možná upřesnění. Pokud vnitrostátní bezpečnostní orgán negativní skutečnosti potvrdí, zruší se výše uvedené oprávnění, dané osobě se zamezí v přístupu k utajovaným informacím EU a daná osoba je odvolána z pracovních míst, u nichž je přístup k utajovaným informacím EU možný nebo v jejichž rámci by mohla ohrožovat bezpečnost.
11. Jakékoli rozhodnutí zrušit či pozastavit oprávnění pro přístup k utajovaným informacím EU v případě osoby spadající do oblasti působnosti tohoto rozhodnutí a případné odůvodnění se oznámí dotyčné osobě, která může požádat bezpečnostní orgán Komise o slyšení. Informace poskytované vnitrostátním bezpečnostním orgánem podléhají příslušným právním předpisům platným v daném členském státě. Rozhodnutí bezpečnostního orgánu Komise učiněná v této souvislosti podléhají opravným prostředkům v souladu se služebním řádem.
12. Útvary Komise zajistí, aby národní odborníci vyslaní na pracovní místa v Komisi, jež vyžadují bezpečnostní oprávnění pro přístup k utajovaným informacím EU, před nástupem do služby předložili platnou bezpečnostní prověrku personálu nebo potvrzení o bezpečnostní prověrce personálu podle vnitrostátních právních předpisů bezpečnostnímu orgánu Komise, který jim na základě toho udělí bezpečnostní oprávnění pro přístup k utajovaným informacím EU až do stupně utajení rovnocenného stupni uvedenému ve vnitrostátní bezpečnostní prověrce, jež bude platné nejvýše po dobu jejich vyslání.
13. Členové Komise, kteří mají na základě smlouvy přístup k utajovaným informacím EU z titulu své funkce, musí být poučeni o svých bezpečnostních povinnostech při ochraně utajovaných informací EU.
14. Záznamy o bezpečnostních prověrkách a oprávněních udělených pro přístup k utajovaným informacím EU vede bezpečnostní orgán Komise v souladu s tímto rozhodnutím. Tyto záznamy obsahují informace alespoň o stupni utajení utajovaných informací EU, k nimž může být dotčené osobě umožněn přístup, o datu vydání a době platnosti bezpečnostní prověrky.
15. Bezpečnostní orgán Komise může vydat potvrzení o bezpečnostní prověrce personálu, v němž uvede stupeň utajení utajovaných informací EU, k nimž může mít tato osoba přístup (stupeň utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšší), dobu platnosti příslušného oprávnění pro přístup k utajovaným informacím EU a datum skončení platnosti potvrzení.
16. Po počátečním udělení bezpečnostních oprávnění a za předpokladu, že daná osoba byla nepřetržitě ve službě v Evropské komisi nebo jiném orgánu, instituci nebo jiném subjektu Unie a nadále potřebuje přístup k utajovaným informacím EU, se bezpečnostní oprávnění pro přístup k utajovaným informacím EU přezkoumá za účelem obnovení zpravidla každých pět let ode dne oznámení výsledku posledního bezpečnostního řízení, na kterém bylo oprávnění založeno.
17. Pokud příslušný vnitrostátní bezpečnostní orgán nebo jiný příslušný vnitrostátní orgán ve lhůtě dvou měsíců ode dne, kdy mu byla předána žádost o obnovení platnosti a odpovídající dotazník bezpečnostní prověrky, neposkytne žádné nepříznivé informace, může bezpečnostní orgán Komise prodloužit platnost stávajícího bezpečnostního oprávnění na dobu až 12 měsíců. Pokud do konce tohoto dvanáctiměsíčního období příslušný vnitrostátní bezpečnostní orgán nebo jiný příslušný vnitrostátní orgán bezpečnostnímu orgánu Komise nepodá své stanovisko, přidělí se dotyčné osobě úkoly, které nevyžadují bezpečnostní oprávnění.
Článek 12
Informativní schůze o bezpečnostním oprávnění
1. Všechny osoby s bezpečnostním oprávněním poté, co se zúčastní informativní schůze o bezpečnostním oprávnění organizované bezpečnostním orgánem Komise, písemně potvrdí, že chápou své povinnosti, pokud jde o ochranu utajovaných informací EU, a jsou si vědomy důsledků v případě ohrožení utajovaných informací EU. Záznamy o těchto písemných potvrzeních vede bezpečnostní orgán Komise.
2. Všechny osoby, které jsou oprávněny přistupovat k utajovaným informacím EU nebo po nichž se vyžaduje, aby s nimi nakládaly, jsou nejprve poučeny a poté pravidelně informovány o možném ohrožení bezpečnosti a musí neprodleně informovat bezpečnostní orgán Komise o jakémkoli pokusu o kontakt nebo o činnosti, které považují za podezřelé nebo neobvyklé.
3. Všechny osoby, které přestanou vykonávat pracovní povinnosti vyžadující přístup k utajovaným informacím EU, musí být poučeny o své povinnosti utajované informace EU i nadále chránit a případně tuto skutečnost písemně potvrdí.
Článek 13
Dočasná bezpečnostní oprávnění
1. Ve výjimečných případech, pokud to vyžadují zájmy služby a není-li skončeno bezpečnostní řízení v plném rozsahu, může bezpečnostní orgán Komise, po konzultaci s vnitrostátním bezpečnostním orgánem členského státu, jehož je daná osoba státním příslušníkem, a pod podmínkou, že předběžné šetření potvrdí, že nejsou známy žádné negativní skutečnosti, vydat osobám dočasné oprávnění pro přístup k utajovaným informacím EU pro konkrétní funkci, aniž by tím byla dotčena ustanovení o obnově bezpečnostní prověrky. Dočasná oprávnění pro přístup k utajovaným informacím EU jsou platná jednorázově nejdéle po dobu šesti měsíců a neumožňují přístup k informacím se stupněm utajení TRES SECRET UE/EU TOP SECRET.
2. Všechny osoby, kterým bylo vydáno dočasné oprávnění, poté, co byly poučeny v souladu s čl. 12 odst. 1, písemně potvrdí, že rozumí tomu, jaké mají povinnosti, pokud jde o ochranu utajovaných informací EU, a jsou si vědomy důsledků v případě ohrožení utajovaných informací EU. Záznamy o těchto písemných potvrzeních vede bezpečnostní orgán Komise.
Článek 14
Účast na neveřejných jednáních organizovaných Komisí
1. Útvary Komise odpovědné za organizaci jednání, na niž se projednávají informace se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším, oznámí prostřednictvím svého LSO nebo prostřednictvím pořadatele jednání bezpečnostnímu orgánu Komise s dostatečným předstihem data, časy, místa a účastníky těchto jednání.
2. S výhradou ustanovení čl. 11 odst. 13 se osoby přizvané k účasti na jednáních organizovaných Komisí, na nichž se projednávají informace se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším, mohou zúčastnit, pouze pokud je potvrzen jejich status bezpečnostní prověrky nebo bezpečnostního oprávnění. Přístup k těmto neveřejným jednáním se zamítne osobám, které bezpečnostnímu orgánu Komise nepředložily potvrzení o bezpečnostní prověrce personálu ani jiný doklad o bezpečnostní prověrce, nebo účastníkům z Komise, kteří nejsou držiteli bezpečnostního oprávnění.
3. Před uspořádáním neveřejného jednání požádá odpovědný pořadatel či LSO útvaru Komise pořádajícího jednání externí účastníky, aby bezpečnostnímu orgánu Komise předložili potvrzení o bezpečnostní prověrce personálu či jiný doklad o bezpečnostní prověrce. Bezpečnostní orgán Komise informuje LSO či pořadatele jednání o tom, že potvrzení o bezpečnostní prověrce personálu nebo jiný doklad o bezpečnostní prověrce obdržel. Je-li to vhodné, lze použít společný jmenný seznam, v němž jsou příslušné informace o bezpečnostní prověrce uvedeny.
4. Oznámí-li příslušné orgány bezpečnostnímu orgánu Komise, že osobě, jejíž úkoly vyžadují účast na jednáních pořádaných Komisí, byla bezpečnostní prověrka odebrána, bezpečnostní orgán Komise o tom uvědomí LSO útvaru Komise, který je za pořádání daného jednání odpovědný.
Článek 15
Potenciální přístup k utajovaným informacím EU
Kurýři a členové ostrahy a doprovodu musí mít bezpečnostní oprávnění pro odpovídající stupeň utajení nebo musí být jinak vhodně prověřeni v souladu s vnitrostátními právními předpisy, musí být poučeni o bezpečnostních postupech pro ochranu utajovaných informací EU a musí být seznámeni se svými povinnostmi chránit jim svěřené utajované informace EU.
KAPITOLA 3
FYZICKÁ BEZPEČNOST ZAMĚŘENÁ NA OCHRANU UTAJOVANÝCH INFORMACÍ
Článek 16
Základní zásady
1. Opatření fyzické bezpečnosti mají znemožnit podloudné nebo násilné vniknutí narušitele, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik v souladu s tímto rozhodnutím a s jeho prováděcími pravidly.
2. Opatření fyzické bezpečnosti mají zejména předejít neoprávněnému přístupu k utajovaným informacím EU tím, že:
a)
zajišťují, aby s utajovanými informacemi EU bylo nakládáno a aby byly uchovávány vhodným způsobem;
b)
umožňují rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, na základě jejich potřeby znát utajované informace a případně i na základě jejich bezpečnostního oprávnění;
c)
odrazují od neoprávněné činnosti a takové činnosti zabraňují a odhalují ji a
d)
znemožňují nebo zpomalují podloudné nebo násilné vniknutí narušitelů.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny prostory, budovy, kanceláře, místnosti a další objekty, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace uchovávány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy uvedené v kapitole 5.
4. Prostory, v nichž jsou uchovávány utajované informace EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s touto kapitolou a musí je schválit orgán pro bezpečnostní akreditaci v Komisi.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším se použijí pouze prostředky nebo zařízení schválené bezpečnostním orgánem Komise.
Článek 17
Požadavky na fyzickou bezpečnost a opatření fyzické bezpečnosti
1. Opatření fyzické bezpečnosti se vybírají na základě posouzení hrozeb provedeného bezpečnostním orgánem Komise a případně po konzultaci s dalšími útvary Komise, ostatními orgány, institucemi nebo jinými subjekty Unie a/nebo příslušnými orgány členských států. Komise uplatňuje ve svých prostorách proces řízení rizik na ochranu utajovaných informací EU, aby se vůči vyhodnocenému riziku poskytla přiměřená úroveň fyzické ochrany. V procesu řízení rizik se vezmou v úvahu veškeré důležité okolnosti, zejména:
a)
stupeň utajení utajovaných informací EU;
b)
podoba a objem utajovaných informací EU, přičemž je třeba brát v úvahu, že velké množství nebo kompilace utajovaných informací EU může vyžadovat použití přísnějších ochranných opatření;
c)
okolní prostředí a uspořádání budov nebo prostor, v nichž jsou utajované informace EU uchovávány, a
d)
vyhodnocené hrozby ze strany zpravodajských služeb zaměřených na Unii, její orgány, instituce či jiné subjekty nebo na členské státy a hrozba sabotáže a teroristických, podvratných nebo jiných trestných činností.
2. Bezpečnostní orgán Komise určí v souladu s koncepcí hloubkové ochrany vhodnou kombinaci opatření fyzické bezpečnosti, jež je třeba uplatňovat. Bezpečnostní orgán Komise za tímto účelem vypracuje minimální standardy, normy a kritéria stanovená v prováděcích pravidlech.
3. Bezpečnostní orgán Komise je oprávněn k provádění prohlídek při vstupu a odchodu, které mají odradit od nedovoleného vnášení materiálů nebo neoprávněného vynášení utajovaných informací EU z prostor nebo budov.
4. Hrozí-li nebezpečí, že by utajované informace EU být byť i neúmyslně zhlédnuty, příslušné útvary Komise přijmou vhodná opatření, jež definuje bezpečnostní orgán Komise, aby tomuto riziku zabránily.
5. U nových zařízení se požadavky na fyzickou bezpečnost a jejich funkční specifikace stanoví se souhlasem bezpečnostního orgánu Komise jako součást plánování a konstrukce zařízení. U stávajících zařízení se požadavky na fyzickou bezpečnost uplatňují v souladu s minimálními standardy, normami a kritérii stanovenými v prováděcích pravidlech.
Článek 18
Prostředky fyzické ochrany utajovaných informací EU
1. Pro fyzickou ochranu utajovaných informací EU se stanoví dva druhy fyzicky chráněných oblastí:
a)
administrativní oblasti a
b)
zabezpečené oblasti (včetně technicky zabezpečených oblastí).
2. Orgán pro bezpečnostní akreditaci v Komisi určí, zda daný prostor splňuje požadavky na to, aby mohl být označen jako administrativní oblast, zabezpečená oblast nebo technicky zabezpečená oblast.
3. U administrativních oblastí:
a)
musí být viditelně vymezen obvod administrativní oblasti, který umožní kontrolu osob a pokud možno i vozidel;
b)
je přístup bez doprovodu umožněn pouze osobám, které mají řádné oprávnění od bezpečnostního orgánu Komise či jiného příslušného orgánu, a
c)
pro všechny jiné osoby je třeba zajistit nepřetržitý doprovod nebo rovnocenná kontrolní opatření.
4. U zabezpečených oblastí:
a)
musí být viditelně vymezen a chráněn obvod zabezpečené oblasti, jejíž všechny vchody a východy jsou kontrolovány prostřednictvím průkazů nebo systému osobní identifikace;
b)
lze přístup bez doprovodu umožnit pouze osobám, které jsou bezpečnostně prověřeny a jsou ke vstupu do dané oblasti výslovně oprávněny na základě potřeby znát utajované informace;
c)
je pro všechny jiné osoby nutné zajistit nepřetržitý doprovod nebo rovnocenná kontrolní opatření.
5. Představuje-li vstup do zabezpečené oblasti de facto přímý přístup k utajovaným informacím, které se v ní nacházejí, musí být dále splněny tyto požadavky:
a)
je třeba jasně uvést nejvyšší stupeň utajení informací, které jsou v dané oblasti zpravidla uchovávány, a
b)
všichni návštěvníci musí být zvlášť oprávněni ke vstupu do dané oblasti, je třeba pro ně zajistit nepřetržitý doprovod a musí být náležitě bezpečnostně prověřeni, s výjimkou případů, kdy byla přijata opatření zajišťující, že k utajovaným informací EU není možný přístup.
6. Zabezpečené oblasti chráněné před odposlechem je třeba označit jako technicky zabezpečené oblasti. U těchto oblastí musí být dále splněny tyto požadavky:
a)
tyto oblasti musí být vybaveny systémy detekce narušení, musí být uzamčeny v době, kdy nejsou obsazeny, a musí být střeženy v době, kdy obsazeny jsou. Všechny klíče musí být spravovány v souladu s článkem 20;
b)
všechny osoby a materiály musí být při vstupu do těchto prostor kontrolovány;
c)
tyto oblasti musí bezpečnostní orgán Komise pravidelně fyzicky a/nebo technicky kontrolovat. Tyto kontroly se rovněž provádějí po jakémkoli neoprávněném vstupu nebo podezření, že k takovému vstupu došlo, a
d)
tyto oblasti nesmí obsahovat neschválené komunikační vedení, neschválené telefonní či jiné komunikační přístroje a neschválená elektrická nebo elektronická zařízení.
7. Bez ohledu na odst. 6 písm. d) předtím, než se komunikační přístroje a elektrická nebo elektronická zařízení jakéhokoli druhu použijí v oblastech, v nichž se konají zasedání nebo v nichž se pracuje s informacemi se stupněm utajení SECRET UE/EU SECRET nebo vyšším, a v případech, kdy je úroveň ohrožení utajovaných informací EU vyhodnocena jako vysoká, musí být veškeré přístroje a zařízení nejdříve prověřeny bezpečnostním orgánem Komise za tím účelem, aby prostřednictvím těchto zařízení nemohlo dojít k neúmyslnému či nezákonnému přenášení žádných srozumitelných informací mimo danou zabezpečenou oblast.
8. Zabezpečené oblasti, které nejsou 24 hodin denně obsazeny pracovníky ve službě, jsou podle potřeby kontrolovány na konci běžné pracovní doby a v náhodně zvolených intervalech mimo běžnou pracovní dobu, není-li zaveden systém detekce narušení.
9. Zabezpečené oblasti a technicky zabezpečené oblasti mohou být zřízeny dočasně v rámci administrativní oblasti pro uspořádání neveřejného jednání nebo pro jiný podobný účel.
10. LSO dotyčného útvaru Komise vypracuje pro každý zabezpečený prostor v jeho odpovědnosti bezpečnostní provozní postupy, které v souladu s ustanoveními tohoto rozhodnutí a jeho prováděcích pravidel stanoví:
a)
stupeň utajení utajovaných informací EU, s nimiž se může nakládat nebo jež mohou být uchovávány v dané oblasti;
b)
ostrahu a ochranná opatření, jež je třeba dodržovat;
c)
osoby, které jsou oprávněny přistupovat do dané oblasti bez doprovodu vzhledem k tomu, že potřebují znát utajované informace a že mají bezpečnostní oprávnění;
d)
případně postupy pro zajištění doprovodu nebo pro ochranu utajovaných informací EU, je-li přístup do dané oblasti umožněn jiným osobám;
e)
veškerá jiná náležitá opatření a postupy.
11. Uvnitř zabezpečených oblastí se budují trezorové místnosti. Stěny, podlahy, stropy, okna a uzamykatelné dveře musí být schváleny bezpečnostním orgánem Komise a musí poskytovat ochranu na úrovni rovnocenné bezpečnostnímu úschovnému objektu schválenému pro uchovávání utajovaných informací EU se stejným stupněm utajení.
Článek 19
Opatření fyzické bezpečnosti pro nakládání s utajovanými informacemi EU a jejich uchovávání
1. S utajovanými informacemi EU se stupněm utajení RESTREINT UE/EU RESTRICTED lze nakládat:
a)
v zabezpečené oblasti;
b)
v administrativní oblasti za předpokladu, že utajované informace EU jsou chráněny před přístupem neoprávněných osob, nebo
c)
mimo zabezpečenou oblast či mimo administrativní oblast za předpokladu, že držitel informací přenáší utajované informace EU v souladu s článkem 31 a že se zavázal k dodržování náhradních opatření stanovených v prováděcích předpisech tak, aby zajistil, že budou utajované informace EU chráněny před přístupem neoprávněných osob.
2. Utajované informace EU se stupněm utajení RESTREINT UE/EU RESTRICTED se uchovávají ve vhodném uzamčeném kancelářském nábytku v administrativní oblasti nebo v zabezpečené oblasti. Dočasně mohou být uchovávány mimo zabezpečenou oblast či mimo administrativní oblast za předpokladu, že se držitel informací zaváže k dodržování náhradních opatření stanovených v prováděcích pravidlech.
3. S utajovanými informacemi EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo SECRET UE/EU SECRET lze nakládat:
a)
v zabezpečené oblasti;
b)
v administrativní oblasti za předpokladu, že utajované informace EU jsou chráněny před přístupem neoprávněných osob, nebo
c)
mimo zabezpečenou oblast či mimo administrativní oblast za předpokladu, že držitel informací:
i)
se zavázal k dodržování náhradních opatření stanovených v prováděcích pravidlech tak, aby zajistil, že budou utajované informace EU chráněny před přístupem neoprávněných osob,
ii)
má utajované informace EU neustále pod osobním dohledem a
iii)
v případě dokumentů v tištěné podobě oznámil tuto skutečnost příslušnému registru.
4. Utajované informace EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET EU/EU SECRET se uchovávají v zabezpečené oblasti v bezpečnostním úschovném objektu nebo trezorové místnosti.
5. S utajovanými informacemi EU se stupněm utajení TRES SECRET UE/EU TOP SECRET se nakládá v zabezpečené oblasti zřízené a spravované bezpečnostním orgánem Komise a akreditované pro tento stupeň orgánem pro bezpečnostní akreditaci v Komisi.
6. Utajované informace EU se stupněm utajení TRES SECRET UE/EU TOP SECRET se uchovávají v zabezpečené oblasti akreditované pro tento stupeň orgánem pro bezpečnostní akreditaci v Komisi při dodržení jedné z těchto podmínek:
a)
informace se uchovávají v bezpečnostním úschovném objektu v souladu s článkem 18, přičemž je třeba uplatňovat jedno nebo více těchto dodatečných kontrolních opatření:
1)
nepřetržitá ochrana nebo kontrola ze strany prověřeného bezpečnostního nebo službu konajícího personálu,
2)
schválený systém detekce narušení v kombinaci s pohotovostním bezpečnostním personálem;
nebo
b)
informace se uchovávají v trezorové místnosti vybavené systémem detekce narušení v kombinaci s pohotovostním bezpečnostním personálem.
Článek 20
Správa klíčů a kódů používaných pro ochranu utajovaných informací EU
1. Postupy pro správu klíčů a nastavení kódů pro kanceláře, místnosti, trezorové místnosti a bezpečnostní úschovné objekty jsou stanoveny v prováděcích pravidlech podle článku 60. Cílem těchto postupů je zabránit neoprávněnému přístupu.
2. Nastavení kódů zná zpaměti co nejmenší možný počet osob, které je znát potřebují. Nastavení kódů pro bezpečnostní úschovné objekty a trezorové místnosti, v nichž se uchovávají utajované informace EU, je třeba změnit:
a)
při přijetí nového úschovného objektu;
b)
kdykoli se změní personál, který kód zná;
c)
kdykoli dojde k ohrožení informací nebo v případě podezření z ohrožení;
d)
pokud došlo k údržbě či opravě zámku a
e)
nejméně každých 12 měsíců.
KAPITOLA 4
SPRÁVA UTAJOVANÝCH INFORMACÍ EU
Článek 21
Základní zásady
1. Veškeré dokumenty s utajovanými informacemi EU by měly být spravovány v souladu s politikou Komise pro správu dokumentů, a proto by měly být zaevidovány, tříděny, uchovávány a nakonec odstraněny nebo zčásti či zcela převedeny do historických archivů v souladu se společným seznamem pro uchovávání spisů Evropské komise.
2. Informace stupně utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Informace se stupněm utajení TRES SECRET UE/EU TOP SECRET musí být zaevidovány v určených registrech.
3. V rámci Komise se vytvoří systém evidence utajovaných informací EU v souladu s ustanoveními článku 27.
4. Útvary a prostory Komise, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace uchovávány, podléhají pravidelné inspekci prováděné bezpečnostním orgánem Komise.
5. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s kapitolou 5;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s kapitolou 5, nebo
ii)
ve všech ostatních případech způsobem předepsaným v prováděcích pravidlech.
Článek 22
Stupně utajení a označení
1. Informace se utajují v případě, že vyžadují ochranu z důvodu své důvěrnosti v souladu s čl. 3 odst. 1.
2. Původce utajovaných informací EU odpovídá za stanovení stupně utajení podle příslušných prováděcích pravidel, standardů a pokynů pro utajování informací a za počáteční distribuci informací.
3. Stupeň utajení utajovaných informací EU se stanoví v souladu s čl. 3 odst. 2 a příslušnými prováděcími pravidly.
4. Stupeň utajení musí být jasně a správně označen bez ohledu na to, zda mají utajované informace EU tištěnou, ústní, elektronickou či jinou podobu.
5. Jednotlivé části daného dokumentu (tj. stránky, odstavce, oddíly, přílohy, dodatky a připojené části dokumentu) mohou vyžadovat různé stupně utajení a být podle toho označeny, a to i v případě, že jsou uloženy v elektronické podobě.
6. Stupeň utajení dokumentu nebo spisu jako celku musí být alespoň stejně vysoký jako u jeho části s nejvyšším stupněm utajení. Jestliže dokument vznikl sloučením informací z různých zdrojů, konečný produkt se přezkoumá za účelem stanovení celkového stupně utajení, neboť může vyžadovat vyšší stupeň utajení než jeho jednotlivé části.
7. Dokumenty obsahující části s různými stupni utajení musí být v co nejvyšší míře strukturovány tak, aby části s různým stupněm utajení mohly být v případě potřeby snadno rozpoznány a odděleny.
8. Stupeň utajení dopisu nebo průvodní poznámky k připojeným částem musí být stejně vysoký jako nejvyšší stupeň utajení těchto připojených částí. Původce jasně vyznačí jejich stupeň utajení, pokud budou odděleny od připojených částí, pomocí odpovídajícího označení, například:
CONFIDENTIEL UE/EU CONFIDENTIAL
Bez příloh(y) RESTREINT UE/EU RESTRICTED
Článek 23
Označení
Kromě jednoho z označení stupňů utajení uvedených v čl. 3 odst. 2 mohou utajované informace EU nést doplňující označení, například:
a)
označení určující původce;
b)
jakákoli upozornění, kódová slova nebo zkratky k upřesnění oblasti činnosti, k níž se daný dokument vztahuje, k označení zvláštního způsobu distribuce na základě potřeby znát utajované informace nebo k omezení použití;
c)
označení týkající se způsobilosti k předání;
d)
případně datum nebo určitou událost, po nichž lze stupeň utajení snížit nebo informace odtajnit.
Článek 24
Zkrácená označení stupňů utajení
1. Pro označení stupně utajení jednotlivých odstavců určitého textu lze použít standardizované zkratky. Tyto zkratky nenahrazují úplné označení stupňů utajení.
2. V utajovaných dokumentech EU je možné použít pro označení stupně utajení oddílů nebo částí textu kratších než jedna strana tyto standardní zkratky:
TRES SECRET UE/EU TOP SECRET
TS-UE/EU-TS
SECRET UE/EU SECRET
S-UE/EU-S
CONFIDENTIEL UE/EU CONFIDENTIAL
C-UE/EU-C
RESTREINT UE/EU RESTRICTED
R-UE/EU-R
Článek 25
Vyhotovování utajovaných dokumentů EU
1. Při vyhotovování utajovaného dokumentu EU:
a)
se na každé straně jasně vyznačí příslušný stupeň utajení;
b)
se každá strana očísluje;
c)
se na dokumentu uvede evidenční číslo a předmět, které samy o sobě nejsou utajovanými informacemi, pokud tak nejsou označeny;
d)
se na dokumentu uvede datum;
e)
se na dokumentech se stupněm utajení SECRET UE/EU SECRET nebo vyšším, které mají být distribuovány ve více výtiscích, na každé straně uvede číslo výtisku.
2. Nelze-li na utajované informace EU použít odstavec 1, přijmou se jiná patřičná opatření v souladu s prováděcími pravidly.
Článek 26
Snížení stupně utajení a odtajnění utajovaných informací EU
1. Je-li to možné, uvede původce v době vytvoření utajovaných informací EU, zda je k určitému datu nebo po určité události možné jejich stupeň utajení snížit nebo je odtajnit.
2. Každý útvar Komise pravidelně přezkoumává utajované informace EU, kterých je původcem, za účelem zjištění, zda je příslušný stupeň utajení stále odpovídající. Pomocí prováděcích pravidel se zavede systém, v rámci něhož budou stupně utajení evidovaných utajovaných informací EU, jež mají původ v Komisi, přezkoumávány nejméně jednou za pět let. Tento přezkum není třeba provést v případě, že původce na počátku uvedl, že u daných informací bude automaticky snížen stupeň utajení či budou odtajněny, a dané informace jsou odpovídajícím způsobem označeny.
3. Informace se stupněm utajení RESTREINT UE/EU RESTRICTED, jež mají původ v Komisi, se v souladu s nařízením Rady (EHS, Euratom) č. 354/83 ve znění nařízení Rady (ES, Euratom) č. 1700/2003 (10) považují za automaticky odtajněné po třiceti letech.
Článek 27
Systém evidence utajovaných informací EU v Komisi
1. Aniž je dotčen čl. 52 odst. 5, v každém útvaru Komise, v němž se nakládá s utajovanými informacemi EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET nebo v němž jsou tyto informace uchovávány, se určí odpovědný místní registr utajovaných informací EU s cílem zajistit, aby se s utajovanými informacemi EU nakládalo v souladu s tímto rozhodnutím.
2. Centrálním registrem Komise pro utajované informace EU je registr utajovaných informací EU spravovaný generálním sekretariátem. Působí jako:
-
místní registr utajovaných informací EU pro generální sekretariát Komise,
-
registr utajovaných informací EU pro soukromé kanceláře členů Komise, nemají-li tito členové zvláštní místní registr utajovaných informací EU,
-
registr utajovaných informací EU pro generální ředitelství nebo služby, které nemají místní registr utajovaných informací EU,
-
hlavní vstupní a výstupní místo pro všechny informace se stupněm utajení RESTREINT UE/EU RESTRICTED a až do stupně utajení SECRET UE/EU SECRET včetně, které si mezi sebou vyměňují Komise a její útvary, třetí státy a mezinárodní organizace, a stanoví-li tak zvláštní ujednání, též jako hlavní vstupní a výstupní místo pro ostatní orgány, agentury a instituce Unie.
3. Bezpečnostní orgán Komise určí v Komisi registr, který bude působit jako ústřední orgán pro příjem a odesílání informací se stupněm utajení TRES SECRET UE/EU TOP SECRET. V případě potřeby mohou být určeny podřízené registry pro nakládání s těmito informacemi za účelem evidence.
4. Podřízené registry nesmějí bez výslovného písemného souhlasu ústředního registru pro dokumenty se stupněm utajení TRES SECRET UE/EU TOP SECRET poskytovat dokumenty se stupněm utajení TRES SECRET UE/EU TOP SECRET přímo jiným registrům podřízeným stejnému ústřednímu registru ani externím subjektům.
5. Registry utajovaných informací EU se zřizují jako zabezpečené oblasti podle kapitoly 3 a jsou akreditovány orgánem pro bezpečnostní akreditaci v Komisi.
Článek 28
Vedoucí registru
1. Každý registr utajovaných informací EU spravuje vedoucí registru.
2. Vedoucí registru musí mít náležitou bezpečnostní prověrku.
3. Vedoucí registru podléhá dohledu LSO v daném útvaru Komise, pokud jde o uplatňování ustanovení o nakládání s dokumenty obsahujícími utajované informace EU a o dodržování příslušných bezpečnostních pravidel, standardů a pokynů.
4. V rámci své odpovědnosti za správu registru utajovaných informací EU, ke kterému byl přidělen, má vedoucí registru v souladu s tímto rozhodnutím a příslušnými prováděcími pravidly, standardy a pokyny následující okruhy úkolů:
-
řídit operace, které se týkají evidence, uchovávání, reprodukce, překladu, přenosu, odesílání a ničení utajovaných informací EU či jejich převodu do oddělení historických archivů,
-
pravidelně ověřovat, zda je nadále třeba uchovávat informace v utajení;
-
zastávat další úkoly související s ochranou utajovaných informací EU vymezené v prováděcích pravidlech.
Článek 29
Evidence utajovaných informací EU z bezpečnostních důvodů
1. Pro účely tohoto rozhodnutí se evidencí z bezpečnostních důvodů (dále jen „evidence“) rozumí uplatňování postupů, kterými se zaznamenává životní cyklus utajovaných informací EU, včetně jejich distribuce.
2. Veškeré informace či materiál se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL a vyšším je třeba evidovat v určených registrech, kdykoli jsou přijaty v určité organizační složce nebo kdykoli jsou z ní odeslány.
3. Při nakládání s utajovanými informacemi EU nebo jejich uchovávání pomocí komunikačního a informačního systému, mohou být evidenční postupy provedeny přímo v rámci systému.
4. Podrobnější ustanovení týkající se evidence utajovaných informací EU z bezpečnostních důvodů se určí v prováděcích pravidlech.
Článek 30
Kopírování a překládání dokumentů s utajovanými informacemi EU
1. Dokumenty se stupněm utajení TRES SECRET UE/EU TOP SECRET se nesmí kopírovat ani překládat bez předchozího písemného souhlasu původce.
2. Pokud původce dokumentů se stupněm utajení SECRET UE/EU SECRET a nižším nevydal upozornění týkající se jejich kopírování nebo překladu, mohou být tyto dokumenty kopírovány či překládány podle pokynů držitele.
3. Na kopie a překlady dokumentů se použijí bezpečnostní opatření platná pro původní dokument.
Článek 31
Přenos utajovaných informací EU
1. Utajované informace EU se přenášejí takovým způsobem, aby byly během přenosu chráněny před neoprávněným vyzrazením.
2. Přenos utajovaných informací EU podléhá ochranným opatřením, jež:
-
jsou úměrná stupni utajení přenášených utajovaných informací EU a
-
jsou přizpůsobena konkrétním podmínkám jejich přenosu, zejména v závislosti na tom, zda jsou utajované informace EU přenášeny:
-
uvnitř budovy Komise nebo uzavřené skupiny budov Komise,
-
mezi budovami Komise nacházejícími se ve stejném členském státě,
-
v rámci Unie,
-
z Unie na území třetího státu a
-
jsou přizpůsobena povaze a formě utajovaných informací EU.
3. Ochranná opatření jsou podrobně stanovena v prováděcích pravidlech, nebo jsou v případě projektů a programů uvedených v článku 42 nedílnou součástí bezpečnostních pokynů k příslušnému programu nebo projektu.
4. Prováděcí pravidla či bezpečnostní pokyny k programu/projektu obsahují ustanovení úměrná stupni utajení utajovaných informací EU, pokud jde o:
-
druh přenosu, například ruční přenos, přepravu diplomatickým nebo vojenským kurýrem, poštovními službami či komerčními kurýrními službami,
-
balení utajovaných informací EU,
-
technická protiopatření pro utajované informace EU přenášené na elektronických nosičích,
-
jakékoli další procedurální, fyzické nebo elektronické opatření,
-
postup evidence,
-
využití personálu s bezpečnostním oprávněním.
5. V případech, kdy jsou utajované informace EU přenášeny na elektronických nosičích, a to bez ohledu na čl. 21 odst. 5, mohou být ochranná opatření uvedená v prováděcích pravidlech doplněna vhodnými technickými protiopatřeními schválenými bezpečnostním orgánem Komise s cílem minimalizovat riziko ztráty nebo ohrožení.
Článek 32
Ničení utajovaných informací EU
1. Utajované dokumenty EU, které již nejsou potřebné, mohou být zničeny, se zohledněním nařízení o archivech a pravidel a předpisů Komise týkajících se správy dokumentů a archivace, a zejména společného seznamu pro uchovávání spisů Komise.
2. Utajované informace EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL a vyšším zničí vedoucí příslušného registru utajovaných informací EU podle pokynů držitele nebo příslušného orgánu. Vedoucí registru odpovídajícím způsobem aktualizuje záznamy a jiné informace o evidenci.
3. Ničení dokumentů se stupněm utajení SECRET UE/EU SECRET nebo TRES SECRET UE/EU TOP SECRET provádí vedoucí registru za přítomnosti svědka, který je bezpečnostně prověřen alespoň pro stupeň utajení ničeného dokumentu.
4. Pracovník registru a svědek, pokud je přítomnost svědka vyžadována, podepíší zápis o zničení, který se uloží v registru. Vedoucí příslušného registru utajovaných informací EU uchovává zápisy o zničení dokumentů se stupněm utajení TRES SECRET UE/EU TOP SECRET alespoň po dobu deseti let a dokumentů se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET alespoň po dobu pěti let.
5. Ničení utajovaných dokumentů, včetně dokumentů se stupněm utajení RESTREINT UE/EU RESTRICTED, se provádí v souladu s postupy, které jsou vymezeny v prováděcích pravidlech a které splňují příslušné standardy EU či jim rovnocenné standardy.
6. Počítačová paměťová média používaná pro utajované informace EU se ničí v souladu s postupy stanovenými v prováděcích pravidlech.
Článek 33
Ničení utajovaných informací EU v mimořádných situacích
1. Útvary Komise, jež mají utajované informace EU v držení, vypracují s ohledem na místní podmínky plány pro zabezpečení utajovaných materiálů EU v případě krize včetně případných plánů na zničení a vyklizení v případech nouze. Vyhlásí pokyny, které považují za nezbytné pro zamezení tomu, aby se utajované informace EU dostaly do nepovolaných rukou.
2. Ustanovení přijatá pro zabezpečení a/nebo zničení materiálů se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET v případě krize nesmí za žádných okolností negativně ovlivnit zabezpečení nebo zničení materiálů se stupněm utajení TRES SECRET UE/EU TOP SECRET, včetně kódovacího zařízení, jejichž opatrování má přednost před všemi ostatními úkoly.
3. V mimořádné situaci, kdy hrozí bezprostřední riziko neoprávněného vyzrazení, zničí utajované informace EU jejich držitel tak, aby nebylo možné znovu sestavit celý dokument ani jeho část. O nouzovém zničení evidovaných utajovaných informací EU jsou informováni původce a příslušný registr.
4. Podrobnější ustanovení týkající se ničení utajovaných informací EU stanoví prováděcí pravidla.
KAPITOLA 5
OCHRANA UTAJOVANÝCH INFORMACÍ EU V KOMUNIKAČNÍCH A INFORMAČNÍCH SYSTÉMECH
Článek 34
Základní zásady zabezpečení informací
1. Zabezpečení informací v oblasti komunikačních a informačních systémů je jistota, že takové systémy ochrání informace, s nimiž nakládají, a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů.
2. Účinné zabezpečení informací zajišťuje odpovídající úroveň:
autenticity
:
záruka, že informace jsou autentické a z důvěryhodných zdrojů;
dostupnosti
:
přístupnost a použitelnost informací na žádost oprávněného subjektu;
důvěrnosti
:
skutečnost, že informace se nezpřístupňují neoprávněným osobám a subjektům nebo pro nedovolené účely;
integrity
:
zajištění správnosti a úplnosti aktiv a informací;
nepopiratelnosti
:
schopnost prokázat zpětně jednání či událost tak, aby dané jednání či událost nemohly být následně popřeny.
3. Zabezpečení informací je založeno na procesu řízení rizik.
Článek 35
Definice
Pro účely této kapitoly se použijí tyto definice:
a)
„akreditací“ se rozumí formální povolení nebo schválení, které orgán pro bezpečnostní akreditaci udělil komunikačnímu a informačnímu systému, aby ve svém provozním prostředí mohl zpracovávat utajované informace EU, a které následuje po formálním schválení a správném provádění bezpečnostního plánu;
b)
„akreditačním řízením“ se rozumí nutné kroky a úkoly, jež je třeba provést předtím, než orgán pro bezpečnostní akreditaci udělí akreditaci. Tyto kroky a úkoly se upřesní ve standardu pro akreditační řízení;
c)
„komunikačním a informačním systémem“ se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů;
d)
„zbytkovým rizikem“ se rozumí riziko, které přetrvává poté, co byla zavedena bezpečnostní opatření, neboť nelze čelit všem hrozbám a nelze odstranit všechna zranitelná místa;
e)
„rizikem“ se rozumí možnost, že pro účely určité hrozby budou zneužita vnitřní a vnější zranitelná místa organizace nebo kteréhokoli ze systémů, jichž využívá, a dojde tak k poškození organizace a jejích hmotných či nehmotných aktiv. Měří se jako kombinace pravděpodobnosti hrozeb a jejich dopadu;
f)
„přijetím rizika“ se rozumí rozhodnutí, kterým se vyjadřuje souhlas s tím, že po řešení rizika i nadále existuje zbytkové riziko;
g)
„hodnocení rizika“ spočívá v rozpoznání hrozeb a zranitelných míst a v provádění analýzy souvisejícího rizika, tj. analýzy pravděpodobnosti a dopadu;
h)
„sdělování rizika“ spočívá v rozvoji informovanosti o rizicích v rámci skupin uživatelů komunikačních a informačních systémů, v informování schvalovacích orgánů o těchto rizicích a podávání zpráv o těchto rizicích provozním orgánům;
i)
„řešení rizika“ spočívá ve zmírnění, odstranění a omezení rizika (prostřednictvím vhodné kombinace technických, fyzických, organizačních nebo procedurálních opatření), přenesení rizika nebo jeho monitorování.
Článek 36
Komunikační a informační systémy nakládající s utajovanými informacemi EU
1. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
2. Pro komunikační a informační systémy, které nakládají s utajovanými informacemi EU, znamená dodržování politiky bezpečnosti informačních systémů Komise, uvedené v rozhodnutí Komise K(2006) 3602 (11), že:
a)
během celého životního cyklu informačního systému se při provádění politiky bezpečnosti informačních systémů používá přístup „plánuj, udělej, zkontroluj, jednej“ (Plan-Do-Check-Act);
b)
potřeby v oblasti bezpečnosti musí být určeny prostřednictvím posouzení hospodářského dopadu;
c)
informační systém a údaje v něm obsažené musí projít formální klasifikací aktiv;
d)
všechna povinná bezpečnostní opatření, která jsou stanovena v politice bezpečnosti informačních systémů, musí být provedena;
e)
musí proběhnout proces řízení rizik, který se skládá z těchto kroků: identifikace hrozeb a zranitelných míst, hodnocení rizika, řešení rizika, přijetí rizika a sdělování rizika;
f)
je definován, prováděn, kontrolován a přezkoumáván bezpečnostní plán, včetně bezpečnostní politiky a bezpečnostních provozních postupů.
3. Všichni zaměstnanci, kteří se podílejí na návrhu, vývoji, zkoušení, provozu, řízení nebo používání komunikačních a informačních systémů nakládajících s utajovanými informacemi EU, oznámí orgánu pro bezpečnostní akreditaci všechny potenciální bezpečnostní nedostatky, incidenty, narušení bezpečnosti nebo ohrožení, které mohou mít dopad na ochranu daných systémů a/nebo utajovaných informací EU v nich obsažených.
4. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
na základě doporučení skupiny odborníků pro bezpečnost v Komisi je třeba dát přednost výrobkům, které byly schváleny Radou nebo generálním tajemníkem Rady jakožto schvalovacím orgánem pro kryptografickou ochranu v Radě;
b)
opravňují-li k tomu zvláštní provozní důvody, může schvalovací orgán pro kryptografickou ochranu v Komisi na základě doporučení skupiny odborníků pro bezpečnost v Komisi udělit výjimku z požadavků uvedených pod písmenem a) a udělit dočasné schválení na konkrétní období.
5. Během elektronického přenosu, zpracovávání a uchovávání utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou po schválení schvalovacím orgánem pro kryptografickou ochranu použít zvláštní postupy.
6. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšším jsou chráněny bezpečnostními opatřeními proti ohrožení dotyčných informací kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“). Tato bezpečnostní opatření jsou přiměřená riziku zneužití a stupni utajení daných informací.
7. Bezpečnostní orgán Komise působí jako:
-
orgán pro zabezpečení informací,
-
orgán pro bezpečnostní akreditaci,
-
orgán TEMPEST,
-
schvalovací orgán pro kryptografickou ochranu,
-
orgán pro distribuci kryptografických materiálů.
8. Bezpečnostní orgán Komise jmenuje u každého systému provozní orgán pro zabezpečení informací.
9. Úkoly spojené s funkcemi popsanými v odstavcích 7 a 8 budou vymezeny v prováděcích pravidlech.
Článek 37
Akreditace komunikačních a informačních systémů nakládajících s utajovanými informacemi EU
1. Veškeré komunikační a informační systémy, které nakládají s utajovanými informacemi EU, podléhají akreditačnímu řízení, které vychází ze zásad zabezpečení informací a které musí být natolik podrobné, aby to odpovídalo požadované úrovni ochrany.
2. Akreditační řízení zahrnuje formální schválení bezpečnostního plánu komunikačního a informačního systému orgánem pro bezpečnostní akreditaci v Komisi, aby bylo zajištěno, že:
a)
proces řízení rizik, jak je uveden v čl. 36 odst. 2, byl řádně proveden;
b)
vlastník systému vědomě přijal zbytkové riziko a
c)
bylo dosaženo dostatečné úrovně ochrany komunikačního a informačního systému a utajovaných informací EU, s nimiž se v něm nakládá, v souladu s tímto rozhodnutím.
3. Orgán pro bezpečnostní akreditaci v Komisi vydá rozhodnutí o akreditaci, které stanoví nejvyšší stupeň utajení informací EU, s nimiž lze v daném systému nakládat, a příslušné podmínky pro provoz. Tím nejsou dotčeny úkoly, které byly svěřeny radě pro bezpečnostní akreditaci podle článku 11 nařízení Evropského parlamentu a Rady (EU) č. 512/2014 (12).
4. Za akreditaci komunikačních a informačních systémů Komise, na nichž se podílí několik stran, odpovídá společná rada pro bezpečnostní akreditaci. Tato rada se skládá z jednoho zástupce orgánu pro bezpečnostní akreditaci každé zúčastněné strany a předsedá jí zástupce orgánu pro bezpečnostní akreditaci v Komisi.
5. Akreditační řízení zahrnuje řadu úkolů, které mají vykonat zúčastněné strany. Odpovědnost za přípravu akreditačních spisů a dokumentace nese v plné míře vlastník systému.
6. Za akreditaci je odpovědný orgán pro bezpečnostní akreditaci v Komisi, jenž má kdykoli během životního cyklu komunikačního a informačního systému právo:
a)
požadovat, aby se použilo akreditační řízení;
b)
provést audit či kontrolu systému;
c)
tam, kde podmínky pro provoz již nejsou splněny, požadovat vypracování a účinné provádění plánu na zlepšení bezpečnosti v jasně vymezeném časovém horizontu, a případně odebrat povolení pro provoz systému do té doby, než budou podmínky pro provoz opět splněny.
7. Akreditační řízení se stanoví ve standardu pro akreditační řízení pro komunikační a informační systémy, které nakládají s utajovanými informacemi EU, jež bude přijat v souladu s čl. 10 odst. 3 rozhodnutí K(2006) 3602.
Článek 38
Mimořádné okolnosti
1. Bez ohledu na ustanovení této kapitoly mohou být za mimořádných okolností, například během hrozící nebo probíhající krize, konfliktu, války nebo za výjimečných provozních okolností, použity níže popsané zvláštní postupy.
2. Utajované informace EU mohou být přenášeny za použití kryptografických prostředků schválených pro nižší stupeň utajení nebo v nešifrované podobě se souhlasem příslušného orgánu, pokud by jakékoli zpoždění způsobilo škodu nepochybně převyšující škodu způsobenou případným vyzrazením utajovaných materiálů a pokud:
a)
odesílatel a příjemce nemají požadované šifrovací zařízení a
b)
utajované materiály nelze včas předat jiným způsobem.
3. Za okolností uvedených v odstavci 1 nenesou přenášené utajované informace žádná označení ani údaje, jež by je odlišovaly od informací, které nejsou utajované nebo které mohou být chráněny dostupným kryptografickým prostředkem. Příjemce informací je třeba neprodleně uvědomit o stupni utajení jiným způsobem.
4. Následně se podá zpráva příslušnému orgánu a skupině odborníků pro bezpečnost v Komisi.
KAPITOLA 6
PRŮMYSLOVÁ BEZPEČNOST
Článek 39
Základní zásady
1. Průmyslovou bezpečností se rozumí uplatňování opatření, s jejichž pomocí ochranu utajovaných informací EU zajišťují:
a)
v rámci utajovaných smluv:
i)
zájemci nebo uchazeči po dobu nabídkového a zadávacího řízení;
ii)
dodavatelé či subdodavatelé po celý životní cyklus utajovaných smluv;
b)
v rámci utajovaných grantových dohod:
i)
žadatelé během řízení o udělování grantů;
ii)
příjemci během celého životního cyklu utajovaných grantových dohod.
2. Tyto smlouvy či grantové dohody nesmí obsahovat informace se stupněm utajení TRES SECRET UE/EU TOP SECRET.
3. Není-li stanoveno jinak, ustanovení této kapitoly týkající se utajovaných smluv nebo dodavatelů se použijí také na utajované subdodavatelské smlouvy či subdodavatele.
Článek 40
Definice
Pro účely této kapitoly se rozumí:
a)
„utajovanou smlouvou“ rámcová smlouva nebo smlouva podle nařízení Rady (ES, Euratom) č. 1605/2002 (13), kterou uzavírá Komise nebo jeden z jejích útvarů s určitým dodavatelem na dodání movitého nebo nemovitého majetku, provedení prací nebo poskytnutí služeb, jejichž plnění vyžaduje nebo zahrnuje vytváření a uchovávání utajovaných informací EU nebo nakládání s nimi;
b)
„utajovanou subdodavatelskou smlouvou“ smlouva mezi dodavatelem Komise nebo jednoho z jejích útvarů a jiným dodavatelem (tj. subdodavatelem) o dodání movitého nebo nemovitého majetku, provedení prací nebo poskytnutí služeb, jejichž plnění vyžaduje nebo zahrnuje vytváření a uchovávání utajovaných informací EU nebo nakládání s nimi;
c)
„utajovanou grantovou dohodou“ dohoda, na jejímž základě Komise udělí grant, jak je uvedeno v části I hlavě VI nařízení (ES, Euratom) č. 1605/2002, a jejíž plnění vyžaduje nebo zahrnuje vytváření a uchovávání utajovaných informací EU nebo nakládání s nimi;
d)
„určeným bezpečnostním orgánem“ orgán, který podléhá vnitrostátnímu bezpečnostnímu orgánu členského státu a který odpovídá za informování průmyslových nebo jiných subjektů o vnitrostátní politice ohledně všech otázek průmyslové bezpečnosti a za poskytování pokynů a pomoci při jejím provádění. Funkci určeného bezpečnostního orgánu může vykonávat vnitrostátní bezpečnostní orgán nebo kterýkoli jiný příslušný orgán.
Článek 41
Postup v případě utajovaných smluv nebo utajovaných grantových dohod
1. Každý útvar Komise jakožto veřejný zadavatel zajistí, aby smlouva odkazovala na minimální standardy průmyslové bezpečnosti, které jsou stanoveny v této kapitole, či je obsahovala a aby tyto standardy byly při zadávání zakázek na základě utajovaných smluv či udělování grantů na základě utajovaných grantových dohod dodržovány.
2. Pro účely odstavce 1 příslušné útvary v rámci Komise konzultují Generální ředitelství pro lidské zdroje a bezpečnost, a zejména ředitelství pro bezpečnost, a zajistí, aby vzorové smlouvy a subdodavatelské smlouvy a vzorové grantové dohody obsahovaly ustanovení odrážející základní zásady a minimální standardy pro ochranu utajovaných informací EU, jež musí splňovat dodavatelé, subdodavatelé a příjemci grantových dohod.
3. Komise úzce spolupracuje s vnitrostátním bezpečnostním orgánem, určeným bezpečnostním orgánem nebo kterýmkoli jiným příslušným orgánem dotyčného členského státu.
4. Pokud veřejný zadavatel hodlá zahájit řízení, jehož cílem je uzavření utajované smlouvy nebo grantové dohody, vyžádá si poradenství bezpečnostního orgánu Komise ohledně otázek týkajících se povahy utajení a utajovaných prvků řízení ve všech jeho fázích.
5. Šablony a vzory utajovaných smluv, subdodavatelských smluv a grantových dohod, oznámení o zahájení zadávacího řízení, pokyny ohledně okolností, za nichž je vyžadováno osvědčení o bezpečnostní prověrce zařízení, bezpečnostní pokyny k programu nebo projektu, seznamy bezpečnostních požadavků, pravidla pro návštěvy, přenos a přepravu utajovaných informací EU v rámci utajovaných smluv nebo utajovaných grantových dohod se po konzultaci se skupinou odborníků pro bezpečnost v Komisi stanoví v prováděcích pravidlech pro průmyslovou bezpečnost.
6. Komise může uzavřít utajované smlouvy nebo grantové dohody, ve kterých plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich uchovávání, pověří hospodářské subjekty registrované v členském státě nebo ve třetím státě, s nímž byla uzavřena dohoda nebo správní ujednání podle kapitoly 7 tohoto rozhodnutí.
Článek 42
Bezpečnostní prvky v utajované smlouvě nebo utajované grantové dohodě
1. Utajované smlouvy nebo grantové dohody obsahují následující bezpečnostní prvky:
Bezpečnostní pokyny k programu nebo projektu
a)
„Bezpečnostními pokyny k programu nebo projektu“ se rozumí seznam bezpečnostních postupů, které se uplatňují u konkrétního programu nebo projektu s cílem standardizovat bezpečnostní postupy. Tyto pokyny lze během celé doby trvání programu nebo projektu revidovat.
b)
Generální ředitelství pro lidské zdroje a bezpečnost vypracuje obecné bezpečnostní pokyny k programu nebo projektu; útvary Komise odpovědné za programy nebo projekty zahrnující nakládání s utajovanými informacemi EU nebo jejich uchovávání mohou případně vypracovat konkrétní bezpečnostní pokyny k programu nebo projektu, které budou z obecných bezpečnostních pokynů vycházet.
c)
Konkrétní bezpečnostní pokyny k programu nebo projektu se vypracují zejména pro programy a projekty, které se vyznačují značným rozsahem, měřítkem nebo složitostí nebo množstvím či rozmanitostí dodavatelů, příjemců a ostatních partnerů a zúčastněných stran, například pokud jde o jejich právní status. Konkrétní bezpečnostní pokyny k programu nebo projektu vypracuje útvar či útvary Komise, jež program nebo projekt řídí, v úzké spolupráci s Generálním ředitelstvím pro lidské zdroje a bezpečnost.
d)
Generální ředitelství pro lidské zdroje a bezpečnost předloží obecné i konkrétní bezpečnostní pokyny k programu nebo projektu ke konzultaci skupině odborníků pro bezpečnost v Komisi.
Seznam bezpečnostních požadavků
a)
„Seznamem bezpečnostních požadavků“ se rozumí soubor zvláštních smluvních podmínek vydaný veřejným zadavatelem, který je nedílnou součástí kterékoli utajované smlouvy, jejíž plnění vyžaduje přístup k utajovaným informacím EU nebo jejich vytváření, a který určí bezpečnostní požadavky a části smlouvy vyžadující bezpečnostní ochranu.
b)
V seznamu bezpečnostních požadavků jsou popsány bezpečnostní požadavky pro konkrétní smlouvu. Seznam případně zahrnuje příručku pro stanovování stupně utajení a je nedílnou částí utajované smlouvy, subdodavatelské smlouvy nebo grantové dohody.
c)
Seznam bezpečnostních požadavků obsahuje ustanovení, podle nichž musí dodavatel nebo příjemce dodržovat minimální standardy stanovené tímto rozhodnutím. Veřejný zadavatel zajistí, aby v seznamu bezpečnostních požadavků bylo uvedeno, že nedodržení těchto minimálních standardů může být dostatečným důvodem pro ukončení smlouvy nebo grantové dohody.
2. Jak bezpečnostní pokyny k programu nebo projektu, tak seznamy bezpečnostních požadavků obsahují jako povinný bezpečnostní prvek příručku pro stanovování stupně utajení:
a)
„Příručkou pro stanovování stupně utajení“ se rozumí dokument popisující prvky programu, projektu, smlouvy nebo grantové dohody, které jsou utajované, přičemž stanoví použitelné stupně utajení. Příručka pro stanovování stupně utajení může být v průběhu realizace programu, projektu, smlouvy nebo grantové dohody rozšířena a stupně utajení informací mohou být změněny nebo sníženy; pokud existuje příručka pro stanovování stupně utajení, je součástí seznamu bezpečnostních požadavků.
b)
Před zahájením nabídkového řízení na uzavření utajované smlouvy nebo před uzavřením takové smlouvy určí útvary Komise jakožto veřejný zadavatel stupeň utajení veškerých informací, které mají být poskytnuty zájemcům, uchazečům či dodavatelům, a rovněž stupeň utajení veškerých informací, které vytvoří dodavatel. Za tímto účelem připraví po konzultaci s bezpečnostním orgánem Komise příručku pro stanovování stupně utajení, jež se má používat pro provedení zakázky, podle tohoto rozhodnutí a jeho prováděcích pravidel.
c)
Pro stanovení stupně utajení jednotlivých částí utajované smlouvy se použijí tyto zásady:
i)
při přípravě příručky pro stanovování stupňů utajení bere útvar Komise jakožto veřejný zadavatel v úvahu veškeré důležité bezpečnostní aspekty, včetně stupně utajení, který poskytnutým informacím přidělil původce informací a který původce informací schválil pro danou smlouvu;
ii)
stupeň utajení smlouvy jako celku nesmí být nižší než nejvyšší stupeň utajení kterékoli části smlouvy a
iii)
dojde-li k jakýmkoli změnám ohledně stupně utajení informací vytvářených dodavateli nebo poskytovaných dodavatelům při plnění smlouvy a provádějí-li se jakékoli dodatečné změny v příručce pro stanovování stupňů utajení, veřejný zadavatel se případně prostřednictvím bezpečnostního orgánu Komise spojí s vnitrostátními bezpečnostními orgány, s určenými bezpečnostními orgány členských států nebo s jakýmkoli jiným příslušným bezpečnostním orgánem.
Článek 43
Přístup k utajovaným informacím EU pro zaměstnance dodavatelů a příjemců
Veřejný zadavatel či poskytovatel grantu zajistí, aby utajovaná smlouva nebo utajovaná grantová dohoda obsahovaly ustanovení o tom, že zaměstnanci dodavatele, subdodavatele nebo příjemce, kteří pro plnění utajované smlouvy, subdodavatelské smlouvy nebo grantové dohody potřebují přístup k utajovaným informacím EU, tento přístup získají, pouze pokud:
a)
mají bezpečnostní oprávnění pro odpovídající stupeň utajení nebo jsou jinak řádně oprávněni a bylo rozhodnuto, že informace potřebují znát;
b)
byli poučeni o příslušných bezpečnostních pravidlech pro ochranu utajovaných informací EU a vzali na vědomí své povinnosti ohledně ochrany těchto informací;
c)
jedná-li se o informace se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo SECRET UE/EU SECRET, prošli bezpečnostní prověrkou pro odpovídající stupeň utajení, kterou provedl příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán.
Článek 44
Bezpečnostní prověrka zařízení
1. „Bezpečnostní prověrkou zařízení“ se rozumí správní rozhodnutí vnitrostátního bezpečnostního orgánu, určeného bezpečnostního orgánu nebo jiného příslušného bezpečnostního orgánu, že určité zařízení může z hlediska bezpečnosti zajistit odpovídající úroveň ochrany utajovaných informací EU s určitým stupněm utajení.
2. Dříve, než mohou být zájemci, uchazeči či dodavateli nebo žadateli o grant či příjemci grantu poskytnuty utajované informace EU nebo než je mu k utajovaným informacím EU umožněn přístup, musí bezpečnostnímu orgánu Komise předložit osvědčení o bezpečnostní prověrce zařízení udělené vnitrostátním bezpečnostním orgánem nebo určeným bezpečnostním orgánem nebo jakýmkoli jiným příslušným bezpečnostním orgánem členského státu, které v souladu s vnitrostátními právními předpisy potvrzuje, že hospodářský subjekt je ve svých zařízeních schopen zajistit ochranu utajovaných informací EU na odpovídajícím stupni utajení (CONFIDENTIEL UE/EU CONFIDENTIAL nebo SECRET UE/EU SECRET), a bezpečnostní orgán Komise je předá útvaru Komise, jenž jedná jako veřejný zadavatel nebo poskytovatel grantu.
3. V příslušných případech veřejný zadavatel oznámí prostřednictvím bezpečnostního orgánu Komise příslušnému vnitrostátnímu bezpečnostnímu orgánu, určenému bezpečnostnímu orgánu nebo kterémukoli jinému příslušnému bezpečnostnímu orgánu, že pro účely plnění smlouvy je vyžadováno osvědčení o bezpečnostní prověrce zařízení. Osvědčení o bezpečnostní prověrce zařízení nebo osvědčení o bezpečnostní prověrce personálu je vyžadováno v případě, že je během zadávacího řízení či řízení o udělení grantu třeba poskytovat utajované informace EU se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo SECRET UE/EU SECRET.
4. Veřejný zadavatel či poskytovatel grantu neuzavře utajovanou smlouvu či grantovou dohodu s upřednostňovaným uchazečem či účastníkem, dokud neobdrží od vnitrostátního bezpečnostního orgánu, určeného bezpečnostního orgánu nebo kteréhokoli jiného příslušného bezpečnostního orgánu členského státu, v němž je dotyčný dodavatel nebo subdodavatel registrován, potvrzení o tom, že bylo v případě, kdy je to vyžadováno, vydáno příslušné osvědčení o bezpečnostní prověrce zařízení.
5. Pokud vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán, který vydal osvědčení o bezpečnostní prověrce zařízení, uvědomí bezpečnostní orgán Komise o změnách ovlivňujících toto osvědčení, bezpečnostní orgán Komise o tom uvědomí útvar Komise, který jedná jako veřejný zadavatel nebo poskytovatel grantu. V případě subdodavatelské smlouvy je odpovídajícím způsobem informován vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán.
6. Zrušení osvědčení o bezpečnostní prověrce zařízení příslušným vnitrostátním bezpečnostním orgánem, určeným bezpečnostním orgánem nebo kterýmkoli jiným příslušným bezpečnostním orgánem je dostatečným důvodem k tomu, aby veřejný zadavatel či poskytovatel grantu vypověděl utajovanou smlouvu nebo aby vyloučil určitého zájemce, uchazeče nebo žadatele z nabídkového řízení. Ve vzorových smlouvách a grantových dohodách, jež mají být vypracovány, musí být obsaženo příslušné ustanovení.
Článek 45
Ustanovení týkající se utajovaných smluv a utajovaných grantových dohod
1. Pokud jsou během zadávacího řízení zájemci, uchazeči nebo žadateli poskytovány utajované informace EU, musí výzva k podávání nabídek či výzva k předkládání návrhů obsahovat ustanovení o tom, že zájemce, uchazeč nebo žadatel, který nabídku či návrh nepředloží nebo jehož nabídka či návrh nebudou vybrány, je povinen všechny utajované dokumenty ve stanovené lhůtě vrátit.
2. Veřejný zadavatel či poskytovatel grantu oznámí prostřednictvím bezpečnostního orgánu Komise příslušnému vnitrostátnímu bezpečnostnímu orgánu, určenému bezpečnostnímu orgánu nebo kterémukoli jinému příslušnému bezpečnostnímu orgánu skutečnost, že utajovaná smlouva nebo grantová dohoda byla uzavřena, a rovněž oznámí příslušné údaje, jako je název dodavatelů nebo příjemců, doba trvání smlouvy a maximální stupeň utajení.
3. Jakmile je taková smlouva či grantová dohoda ukončena, veřejný zadavatel či poskytovatel grantu o tom neprodleně prostřednictvím bezpečnostního orgánu Komise uvědomí příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán členského státu, v němž je dodavatel nebo příjemce grantu registrován.
4. Obecně platí, že při ukončení utajované smlouvy či grantové dohody nebo ukončení účasti příjemce grantu musí dodavatel nebo příjemce grantu vrátit veřejnému zadavateli či poskytovateli grantu veškeré utajované informace EU, které má v držení.
5. V seznamu bezpečnostních požadavků se stanoví zvláštní ustanovení týkající se nakládání s utajovanými informacemi EU během plnění utajované smlouvy či grantové dohody nebo při jejím ukončení.
6. Pokud je dodavatel nebo příjemce grantu oprávněn ponechat si utajované informace EU po ukončení smlouvy či grantové dohody, dodavatel nebo příjemce grantu nadále dodržuje minimální standardy obsažené v tomto rozhodnutí a chrání důvěrnost utajovaných informací EU.
Článek 46
Zvláštní ustanovení týkající se utajovaných smluv
1. Podmínky týkající se ochrany utajovaných informací EU, za nichž může dodavatel uzavřít subdodavatelskou smlouvu, jsou stanoveny ve výzvě k předkládání nabídek a v utajované smlouvě.
2. Předtím, než dodavatel zadá jakékoli části utajované smlouvy subdodavateli, musí získat povolení od veřejného zadavatele. Subdodavatelská smlouva, s níž souvisí přístup k utajovaným informacím EU, nemůže být zadána subdodavatelům se sídlem ve třetí zemi, pokud neexistuje právní rámec pro bezpečnost informací stanovený v kapitole 7.
3. Dodavatel je povinen zajistit, aby veškeré subdodavatelské činnosti byly prováděny v souladu s minimálními standardy stanovenými tímto rozhodnutím, a nesmí subdodavateli poskytovat utajované informace EU bez předchozího písemného souhlasu veřejného zadavatele.
4. Pokud jde o utajované informace EU, které vytvořil nebo s nimiž nakládá dodavatel, pak se za původce považuje Komise a práva náležející původci vykonává veřejný zadavatel.
Článek 47
Návštěvy v souvislosti s utajovanými smlouvami
1. Pokud zaměstnanci Komise, dodavatelů či příjemců grantu potřebují pro plnění utajované smlouvy nebo grantové dohody přístup k informacím se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo SECRET UE/EU SECRET v prostorách druhé strany, sjednají se návštěvy ve spolupráci s příslušnými vnitrostátními bezpečnostními orgány, určenými bezpečnostními orgány nebo s kterýmkoli jiným příslušným bezpečnostním orgánem. O těchto návštěvách je vyrozuměn bezpečnostní orgán Komise. Vnitrostátní bezpečnostní orgány, určené bezpečnostní orgány nebo kterýkoli jiný příslušný bezpečnostní orgán se však mohou v rámci konkrétních programů nebo projektů dohodnout na postupu, podle kterého se mohou návštěvy sjednávat přímo.
2. Všechny navštěvující osoby musí být držiteli odpovídajícího osvědčení o bezpečnostní prověrce a musí mít potřebu znát utajované informace EU související s utajovanou smlouvou.
3. Navštěvujícím osobám je umožněn přístup pouze k utajovaným informacím EU souvisejícím s účelem návštěvy.
4. Podrobnější ustanovení se formulují v prováděcích pravidlech.
5. Dodržování ustanovení o návštěvách ve spojitosti s utajovanými smlouvami, stanovených v tomto rozhodnutí a v prováděcích pravidlech uvedených v odstavci 4, je povinné.
Článek 48
Přenos a přeprava utajovaných informací EU v rámci utajovaných smluv nebo utajovaných grantových dohod
1. Pokud jde o elektronický přenos utajovaných informací EU, použijí se příslušná ustanovení kapitoly 5 tohoto rozhodnutí.
2. Pokud jde o přepravu utajovaných informací EU, použijí se příslušná ustanovení kapitoly 4 tohoto rozhodnutí a jeho prováděcích pravidel v souladu s vnitrostátními právními předpisy.
3. V případě přepravy utajovaných materiálů jako nákladu se při určování bezpečnostních opatření uplatní tyto zásady:
a)
bezpečnost musí být zajištěna během všech fází přepravy z místa původu až po konečné místo určení;
b)
stupeň ochrany poskytovaný zásilce se stanoví podle nejvyššího stupně utajení materiálů, které jsou její součástí;
c)
před jakoukoli přeshraniční přepravou materiálů se stupněm utajení CONFIDENTIEL UE/EU CONFIDENTIAL nebo SECRET UE/EU SECRET musí odesílatel vypracovat přepravní plán, který schválí příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán;
d)
materiály musí být převáženy v nejvyšší možné míře po přímé trase a přeprava musí být ukončena, jak nejrychleji to okolnosti umožní;
e)
je-li to možné, přepravní trasy by měly vést pouze přes území členských států. Přeprava přes jiné než členské státy by se měla uskutečnit pouze v případě, kdy byla povolena vnitrostátním bezpečnostním orgánem, určeným bezpečnostním orgánem nebo kterýmkoli jiným příslušným bezpečnostním orgánem států odesílatele i příjemce zásilky.
Článek 49
Poskytování utajovaných informací EU dodavatelům nebo příjemcům grantů se sídlem ve třetích státech
Utajované informace EU jsou dodavatelům nebo příjemcům grantu se sídlem v třetích státech poskytovány v souladu s bezpečnostními opatřeními dohodnutými mezi bezpečnostním orgánem Komise, útvarem Komise jakožto veřejným zadavatelem či poskytovatelem grantu a vnitrostátním bezpečnostním orgánem, určeným bezpečnostním orgánem nebo jiným příslušným bezpečnostním orgánem dotyčného třetího státu, v němž je dodavatel nebo příjemce grantu registrován.
Článek 50
Nakládání s informacemi se stupněm utajení RESTREINT UE/EU RESTRICTED v rámci utajovaných smluv nebo utajovaných grantových dohod
1. Ochrana informací se stupněm utajení RESTREINT UE/EU RESTRICTED, s nimiž se nakládá nebo jež jsou uchovávány v rámci utajovaných smluv nebo grantových dohod se zakládá na zásadách přiměřenosti a efektivnosti nákladů.
2. Osvědčení o bezpečnostní prověrce zařízení nebo bezpečnostní prověrce personálu se v rámci utajovaných smluv nebo utajovaných grantových dohod zahrnujících nakládání s informacemi se stupněm utajení RESTREINT UE/EU RESTRICTED nevyžaduje.
3. Pokud smlouva nebo grantová dohoda zahrnuje nakládání s informacemi se stupněm utajení RESTREINT UE/EU RESTRICTED v komunikačním a informačním systému provozovaném dodavatelem nebo příjemcem grantu, veřejný zadavatel či poskytovatel grantu po konzultaci s bezpečnostním orgánem Komise zajistí, aby ve smlouvě nebo grantové dohodě byly uvedeny nezbytné technické a správní požadavky týkající se akreditace či schválení komunikačního a informačního systému, které budou přiměřené posouzenému riziku a zohlední všechny příslušné faktory. Na rozsahu akreditace či schválení takového komunikačního a informačního systému se dohodnou bezpečnostní orgán Komise a příslušný vnitrostátní bezpečnostní orgán nebo určený bezpečnostní orgán.
KAPITOLA 7
VÝMĚNA UTAJOVANÝCH INFORMACÍ S DALŠÍMI ORGÁNY, INSTITUCEMI NEBO JINÝMI SUBJEKTY UNIE, S ČLENSKÝMI STÁTY A SE TŘETÍMI STÁTY A MEZINÁRODNÍMI ORGANIZACEMI
Článek 51
Základní zásady
1. Pokud Komise nebo jeden z jejích útvarů rozhodne, že je třeba přistoupit k výměně utajovaných informací EU s jiným orgánem, institucí nebo jiným subjektem Unie, se třetím státem nebo s mezinárodní organizací, podniknou se nezbytné kroky k tomu, aby byl pro tento účel zaveden vhodný právní nebo správní rámec, jenž může zahrnovat ujednání o bezpečnosti informací nebo správní ujednání uzavřená v souladu s příslušnými právními předpisy.
2. Aniž je dotčen článek 57, vyměňují se utajované informace EU s jiným orgánem, institucí nebo jiným subjektem Unie, se třetím státem nebo mezinárodní organizací, pouze pokud je takový vhodný právní nebo správní rámec zaveden a pokud existují dostatečné záruky, že daný orgán, instituce nebo jiný subjekt Unie nebo třetí stát nebo mezinárodní organizace uplatňuje rovnocenné základní zásady a minimální standardy pro ochranu utajovaných informací.
Článek 52
Výměna utajovaných informací EU s dalšími orgány, institucemi nebo jinými subjekty Unie
1. Před uzavřením správního ujednání pro výměnu utajovaných informací EU s jiným orgánem, institucí nebo jiným subjektem Unie si Komise vyžádá ujištění, že daný orgán, instituce nebo jiný subjekt Unie:
a)
má zaveden právní rámec pro ochranu utajovaných informací EU, který stanoví základní zásady a minimální standardy rovnocenné těm, které jsou stanoveny v tomto rozhodnutí a jeho prováděcích pravidlech;
b)
uplatňuje bezpečnostní standardy a pokyny týkající se personální bezpečnosti, fyzické bezpečnosti, správy utajovaných informací EU a bezpečnosti komunikačních a informačních systémů, které zaručují úroveň ochrany utajovaných informací EU rovnocennou ochraně v Komisi;
c)
označuje utajované informace, které vytváří, jako utajované informace EU.
2. Hlavním útvarem pro uzavírání správních ujednání o výměně utajovaných informací EU s dalšími orgány, institucemi nebo jinými subjekty Unie je v rámci Komise Generální ředitelství pro lidské zdroje a bezpečnost, které úzce spolupracuje s ostatními příslušnými útvary Komise.
3. Správní ujednání mají zpravidla formu výměny dopisů podepsaných jménem Komise generálním ředitelem pro lidské zdroje a bezpečnost.
4. Před uzavřením správního ujednání o výměně utajovaných informací EU provede bezpečnostní orgán Komise hodnoticí návštěvy s cílem posoudit regulační rámec pro ochranu utajovaných informací EU a ověřit účinnost opatření prováděných na ochranu utajovaných informací EU. Správní ujednání vstupuje v platnost a utajované informace EU se vyměňují, pouze pokud výsledky této hodnoticí návštěvy byly uspokojivé a bylo vyhověno doporučením učiněným v návaznosti na návštěvu. Pravidelně se provádějí následné hodnoticí návštěvy, jejichž účelem je ověřovat, zda je správní ujednání dodržováno a zda zavedená bezpečnostní opatření i nadále splňují dohodnuté základní zásady a minimální standardy.
5. Hlavním vstupním a výstupním místem všech utajovaných informací vyměňovaných s dalšími orgány, institucemi nebo jinými subjekty Unie je v rámci Komise zpravidla registr utajovaných informací EU spravovaný generálním sekretariátem. Pokud je to však pro ochranu utajovaných informací EU z bezpečnostních, organizačních či provozních důvodů vhodnější, fungují jako hlavní vstupní a výstupní místo všech utajovaných informací ohledně záležitostí, které spadají do pravomoci dotčených útvarů Komise, místní registry utajovaných informací EU zřízené v rámci útvarů Komise podle tohoto rozhodnutí a jeho prováděcích pravidel.
6. O procesu uzavírání správních ujednání podle odstavce 2 je informována skupina odborníků pro bezpečnost v Komisi.
Článek 53
Výměna utajovaných informací EU s členskými státy
1. Utajované informace EU mohou být předávány členským státům za předpokladu, že členské státy tyto informace chrání v souladu s požadavky použitelnými na utajované informace označené vnitrostátním stupněm utajení na rovnocenné úrovni podle srovnávací tabulky stupňů utajení uvedené v příloze I.
2. Pokud členské státy poskytnou do struktur či sítí Evropské unie utajované informace označené vnitrostátním stupněm utajení, Komise tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na rovnocenné úrovni podle srovnávací tabulky stupňů utajení uvedené v příloze I.
Článek 54
Výměna utajovaných informací EU se třetími státy a mezinárodními organizacemi
1. Pokud Komise rozhodne, že je třeba dlouhodobě vyměňovat utajované informace se třetími státy nebo mezinárodními organizacemi, podniknou se nezbytné kroky k tomu, aby byl pro tento účel zaveden vhodný právní nebo správní rámec, jenž může zahrnovat ujednání o bezpečnosti informací nebo správní ujednání uzavřená v souladu s příslušnými právními předpisy.
2. Dohody o bezpečnosti informací a správní ujednání podle odstavce 1 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které jsou rovnocenné standardům stanoveným tímto rozhodnutím.
3. Komise může uzavřít správní ujednání v souladu s článkem 56, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE/EU RESTRICTED.
4. Správní ujednání o výměně utajovaných informací podle odstavce 3 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které jsou rovnocenné minimálním standardům stanoveným tímto rozhodnutím. Uzavření dohody o bezpečnosti informací nebo správního ujednání je třeba konzultovat se skupinou odborníků pro bezpečnost v Komisi.
5. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Komise, třetímu státu nebo mezinárodní organizaci přijímá příslušný útvar Komise (jakožto původce utajovaných informací EU v Komisi) případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro Unii. Není-li Komise původcem utajovaných informací, jejichž poskytnutí se požaduje, či zdrojového materiálu, jež mohou obsahovat, útvar Komise, jenž má tyto utajované informace v držení, nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme po konzultaci se skupinou odborníků pro bezpečnost v Komisi jeho odpovědnost útvar Komise, který má tyto utajované informace v držení.
Článek 55
Dohody o bezpečnosti informací
1. Dohody o bezpečnosti informací se třetími státy nebo mezinárodními organizacemi se uzavírají v souladu s článkem 218 SFEU.
2. Dohody o bezpečnosti informací:
a)
stanoví základní zásady a minimální standardy upravující výměnu utajovaných informací mezi Unií a třetím státem nebo mezinárodní organizací;
b)
stanoví, že se příslušné bezpečnostní orgány příslušných orgánů a institucí Unie a příslušný bezpečnostní orgán dotyčného třetího státu nebo mezinárodní organizace dohodnou na technických prováděcích pravidlech. Tato pravidla zohlední úroveň ochrany zajišťovanou zavedenými bezpečnostními předpisy, strukturami a postupy v dotyčném třetím státě nebo mezinárodní organizaci;
c)
stanoví, že před zahájením výměny utajovaných informací v rámci dotyčné dohody je třeba se ujistit, že přijímající strana je schopna jí poskytované utajované informace řádným způsobem chránit a zabezpečit.
3. Pokud je v souladu s čl. 51 odst. 1 rozhodnuto, že je třeba utajované informace EU vyměňovat, konzultuje Komise, je-li to vhodné, Evropskou službu pro vnější činnost, generální sekretariát Rady a jiné orgány a instituce Unie s cílem určit, zda by mělo být předloženo doporučení podle čl. 218 odst. 3 Smlouvy o fungování EU.
4. Utajované informace EU nesmí být vyměňovány elektronickými prostředky, pokud tak výslovně není stanoveno v dohodě o bezpečnosti informací nebo v technických prováděcích pravidlech.
5. Hlavním vstupním a výstupním místem všech utajovaných informací vyměňovaných se třetími státy a mezinárodními organizacemi je v rámci Komise zpravidla registr utajovaných informací EU spravovaný generálním sekretariátem. Pokud je to však pro ochranu utajovaných informací EU z bezpečnostních, organizačních či provozních důvodů vhodnější, fungují jako hlavní vstupní a výstupní místo všech utajovaných informací ohledně záležitostí, které spadají do pravomoci dotčených útvarů Komise, místní registry utajovaných skutečností EU zřízené v rámci útvarů Komise podle tohoto rozhodnutí a jeho prováděcích pravidel.
6. Za účelem posouzení účinnosti bezpečnostních předpisů, struktur a postupů v dotyčném třetím státě nebo mezinárodní organizaci se Komise ve spolupráci s ostatními orgány, institucemi či jinými subjekty Unie a na základě vzájemné dohody s dotyčným třetím státem nebo mezinárodní organizací účastní hodnoticích návštěv. Cílem hodnoticích návštěv je vyhodnotit:
a)
právní rámec použitelný pro ochranu utajovaných informací;
b)
veškeré zvláštnosti bezpečnostní politiky a způsobu organizace bezpečnosti v dotyčném třetím státě nebo mezinárodní organizaci, které mohou mít dopad na stupeň utajení informací, jež mohou být vyměňovány;
c)
již zavedená bezpečnostní opatření a postupy a
d)
bezpečnostní prověrky pro stupeň utajovaných informací EU, které mají být poskytovány.
Článek 56
Správní ujednání
1. Pokud je třeba v kontextu politického či právního rámce Unie dlouhodobě vyměňovat se třetím státem nebo mezinárodní organizací informace, jejichž stupeň utajení není zpravidla vyšší než RESTREINT UE/EU RESTRICTED, a pokud bezpečnostní orgán Komise po konzultaci se skupinou odborníků pro bezpečnost v Komisi zejména potvrdí, že dotyčná strana nemá dostatečně rozvinutý bezpečnostní systém, který by jí umožnil uzavřít dohodu o bezpečnosti informací, může Komise uzavřít s příslušnými orgány dotyčného třetího státu nebo mezinárodní organizace správní ujednání.
2. Taková správní ujednání mají zpravidla formu výměny dopisů.
3. Před uzavřením ujednání se provede hodnoticí návštěva. O výsledku hodnoticí návštěvy se uvědomí skupina odborníků pro bezpečnost v Komisi. Pokud existují výjimečné důvody pro naléhavou výměnu utajovaných informací, mohou být utajované informace EU poskytnuty pod podmínkou, že bude učiněno vše pro to, aby hodnoticí návštěva byla vykonána co nejdříve.
4. Utajované informace EU nesmí být vyměňovány elektronickými prostředky, pokud tak správní ujednání výslovně nestanoví.
Článek 57
Výjimečné ad hoc poskytování utajovaných informací EU
1. Není-li uzavřena dohoda o bezpečnosti informací ani správní ujednání a pokud Komise nebo některý z jejích útvarů rozhodne, že je v kontextu politického nebo právního rámce Unie výjimečně třeba předat utajované informace EU třetímu státu nebo mezinárodní organizaci, bezpečnostní orgán Komise u bezpečnostních orgánů dotyčného třetího státu nebo mezinárodní organizace v možném rozsahu ověří, zda jsou jejich bezpečnostní předpisy, struktury a postupy takové, že poskytnuté utajované informace EU budou chráněny na úrovni standardů, které nejsou méně přísné než standardy stanovené v tomto rozhodnutí.
2. Rozhodnutí o poskytnutí utajovaných informací EU předmětnému třetímu státu nebo mezinárodní organizaci učiní po konzultaci se skupinou odborníků pro bezpečnost v Komisi Komise na základě návrhu člena Komise odpovědného za bezpečnostní záležitosti.
3. Poté, co Komise vydá své rozhodnutí o poskytnutí utajovaných informací EU, a s výhradou předchozího písemného souhlasu původce, včetně původců zdrojového materiálu, který mohou obsahovat, předá příslušný útvar Komise dotčené informace, které ponesou označení týkající se způsobilosti k předání uvádějící třetí stát nebo mezinárodní organizaci, jíž byly informace poskytnuty. Před vlastním poskytnutím informací nebo při jejich poskytnutí se dotyčná třetí strana písemně zaváže k ochraně obdržených utajovaných informací EU v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím.
KAPITOLA 8
ZÁVĚREČNÁ USTANOVENÍ
Článek 58
Nahrazení předchozího rozhodnutí
Tímto rozhodnutím se zrušuje a nahrazuje rozhodnutí Komise 2001/844/ES, ESUO, Euratom (14).
Článek 59
Utajované informace vytvořené před vstupem tohoto rozhodnutí v platnost
1. Veškeré informace EU utajované podle rozhodnutí 2001/844/ES, ESUO, Euratom jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
2. Veškeré utajované informace v držení Komise ke dni, kdy rozhodnutí 2001/844/ES, ESUO, Euratom vstoupilo v platnost, s výjimkou utajovaných informací Euratom:
a)
pokud je vytvořila Komise, se nadále považují za automaticky přeřazené do stupně utajení RESTREINT UE, ledaže se jejich autor do 31. ledna 2002 rozhodl udělit jim jiný stupeň utajení a informoval všechny subjekty, jimž je dotčený dokument určen;
b)
pokud je vytvořily osoby mimo Komisi, si zachovávají svůj původní stupeň utajení, a považují se proto za utajované informace EU rovnocenného stupně, ledaže autor souhlasí s jejich odtajněním nebo se snížením stupně jejich utajení.
Článek 60
Prováděcí pravidla a bezpečnostní upozornění
1. Na přijetí prováděcích pravidel k tomuto rozhodnutí, je-li to zapotřebí, se v plném souladu s vnitřním jednacím řádem vztahuje zvláštní rozhodnutí Komise o zmocnění určené členovi Komise, který je odpovědný za bezpečnostní záležitosti.
2. Po svém zmocnění prostřednictvím výše uvedeného rozhodnutí Komise může člen Komise odpovědný za bezpečnostní záležitosti vypracovávat bezpečnostní upozornění, v nichž stanoví bezpečnostní pokyny a osvědčené postupy v oblasti působnosti tohoto rozhodnutí a jeho prováděcích pravidel.
3. Úkoly zmiňované v prvním a druhém odstavci tohoto článku může Komise plně v souladu s vnitřním jednacím řádem přenést na generálního ředitele pro lidské zdroje a bezpečnost prostřednictvím zvláštního rozhodnutí o přenesení pravomoci.
Článek 61
Vstup v platnost
Toto rozhodnutí vstupuje v platnost prvním dnem po zveřejnění v Úředním věstníku Evropské unie.
V Bruselu dne 13. března 2015.
DECISÃO (UE, Euratom) 2015/444 DA COMISSÃO
de 13 de março de 2015
relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o,
Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.o,
Tendo em conta o Protocolo n.o 7 relativo aos Privilégios e Imunidades da União Europeia, anexo aos Tratados, nomeadamente o artigo 18.o,
Considerando o seguinte:
(1)
As regras de segurança da Comissão relativas à proteção das informações classificadas da União Europeia (ICUE) precisam de ser revistas e atualizadas, tendo em conta as evoluções registadas a nível institucional, organizativo, operacional e tecnológico.
(2)
A Comissão Europeia estabeleceu acordos em matéria de segurança para as suas localizações principais, juntamente com os Governos da Bélgica, Luxemburgo e Itália (1).
(3)
A Comissão, o Conselho e o Serviço Europeu para a Ação Externa estão empenhados em aplicar normas de segurança equivalentes para proteger as ICUE.
(4)
É importante que, sempre que possível, o Parlamento Europeu e as outras instituições, agências, organismos ou serviços da União Europeia sejam associados aos princípios, normas e regras de proteção das informações classificadas que são necessários para proteger os interesses da União e dos seus Estados-Membros.
(5)
Os riscos a que as ICUE estão expostas são geridos como um processo. Esse processo tem por objetivo determinar os riscos de segurança conhecidos, definir as medidas de segurança destinadas a reduzir esses riscos para um nível aceitável em conformidade com os princípios básicos e as normas mínimas estabelecidos na presente decisão e aplicar tais medidas de acordo com o conceito de defesa em profundidade. A eficácia dessas medidas é objeto de avaliação contínua.
(6)
Na Comissão, a segurança física que visa proteger informações classificadas consiste na aplicação de medidas físicas e técnicas de proteção destinadas a impedir o acesso não autorizado a ICUE.
(7)
A gestão das ICUE consiste na aplicação de medidas administrativas de controlo destas informações ao longo do seu ciclo de vida que visam complementar as medidas previstas nos capítulos 2, 3 e 5 da presente decisão e contribuir assim para dissuadir e detetar a perda ou o comprometimento deliberados ou acidentais de informações e para recuperar essas informações em caso de perda ou comprometimento. Estas medidas dizem respeito, nomeadamente, à produção, armazenamento, registo, cópia, tradução, desgraduação, desclassificação, transporte e destruição de ICUE e complementam as regras gerais sobre gestão de documentos da Comissão (Decisões 2002/47/CE, CECA, Euratom (2) e 2004/563/CE, Euratom (3)).
(8)
O disposto na presente decisão não prejudica:
a)
o Regulamento (Euratom) n.o 3 (4);
b)
o Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho (5);
c)
o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (6);
d)
o Regulamento (CEE, Euratom) n.o 354/83 do Conselho (7),
ADOTOU A PRESENTE DECISÃO:
CAPÍTULO 1
PRINCÍPIOS BÁSICOS E NORMAS MÍNIMAS
Artigo 1.o
Definições
Para efeitos da presente decisão, entende-se por:
1) «Serviço da Comissão»: qualquer direção-geral ou serviço da Comissão, ou qualquer gabinete de um membro da Comissão;
2) «Material criptográfico»: algoritmos criptográficos, módulos criptográficos de hardware e software, e produtos que incluam regras de aplicação e documentação conexa e material de cifragem;
3) «Desclassificação»: a eliminação de qualquer classificação de segurança;
4) «Defesa em profundidade»: a aplicação de uma série de medidas de segurança organizadas em múltiplos estratos de defesa;
5) «Documento»: uma informação registada, independentemente da sua forma física ou das suas características;
6) «Desgraduação»: uma redução do nível de classificação de segurança;
7) «Manuseamento de ICUE»: todas as ações a que as ICUE possam ser sujeitas ao longo do seu ciclo de vida. Compreende a sua produção, registo, tratamento, transporte, desgraduação, desclassificação e destruição. Em relação aos sistemas de comunicação e informação (SCI), compreende igualmente a sua recolha, visualização, transmissão e armazenamento;
8) «Detentor»: pessoa devidamente autorizada com necessidade comprovada de tomar conhecimento, que está na posse de ICUE e é consequentemente responsável pela sua proteção;
9) «Regras de execução»: qualquer conjunto de regras ou indicações de segurança adotado em conformidade com o capítulo 5 da Decisão (UE, Euratom) 2015/443 da Comissão (8);
10) «Material»: qualquer meio, suporte de dados ou peça de maquinaria ou equipamento, já fabricado ou em fase de fabrico;
11) «Entidade de origem»: a instituição, agência ou organismo da União, Estado-Membro, Estado terceiro ou organização internacional sob cuja autoridade tenham sido produzidas e/ou introduzidas nas estruturas da União informações classificadas;
12) «Instalações»: todos os imóveis ou bens e haveres equiparados da Comissão;
13) «Processo de gestão do risco de segurança»: todo o processo de identificação, controlo e minimização de acontecimentos indeterminados que possam afetar a segurança de determinada organização ou qualquer um dos sistemas por ela utilizados. Este processo abarca todas as atividades relacionadas com o risco, designadamente a avaliação, tratamento, aceitação e comunicação;
14) «Estatuto»: o Estatuto dos Funcionários da União Europeia e o Regime Aplicável aos Outros Agentes da União Europeia, estabelecidos no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (9);
15) «Ameaça»: causa potencial de um incidente indesejável que pode resultar em danos para uma organização ou para qualquer um dos sistemas por ela utilizados. Estas ameaças podem ser acidentais ou deliberadas (com dolo) e caracterizam-se por elementos ameaçadores, alvos potenciais e métodos de ataque;
16) «Vulnerabilidade»: insuficiência de qualquer natureza suscetível de ser potenciada por uma ou mais ameaças. A vulnerabilidade pode consistir numa omissão ou estar relacionada com uma insuficiência dos controlos no que se refere ao rigor, exaustividade ou coerência, podendo ser de natureza técnica, processual, material, organizativa ou operacional.
Artigo 2.o
Objeto e âmbito de aplicação
1. A presente decisão estabelece os princípios básicos e as normas mínimas de segurança aplicáveis à proteção das ICUE.
2. A presente decisão é aplicável a todos os serviços e em todas as instalações da Comissão.
3. Sem prejuízo de quaisquer indicações específicas relativas a determinados grupos de pessoal, a presente decisão é aplicável aos membros da Comissão, ao pessoal da Comissão abrangido pelo âmbito de aplicação do Estatuto dos Funcionários da União Europeia e pelo Regime Aplicável aos Outros Agentes da União, aos peritos nacionais destacados (PND) na Comissão, aos prestadores de serviços e seu pessoal, aos estagiários e a qualquer pessoa com acesso aos edifícios ou outros bens da Comissão ou a informações tratadas pela Comissão.
4. As disposições da presente decisão não prejudicam a Decisão 2002/47/CE, CECA, Euratom nem a Decisão 2004/563/CE, Euratom.
Artigo 3.o
Definição de ICUE, classificações e marcas de segurança
1. Entende-se por «informações classificadas da União Europeia» (ICUE) quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros.
2. As ICUE são classificadas num dos seguintes níveis:
a) TRÈS SECRET UE/EU TOP SECRET: informações e material cuja divulgação não autorizada possa prejudicar de forma excecionalmente grave os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
b) SECRET UE/EU SECRET: informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
d) RESTREINT UE/EU RESTRICTED: informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União Europeia ou de um ou mais Estados-Membros.
3. As ICUE devem ostentar uma marca de classificação de segurança em conformidade com o n.o 2. Podem ostentar marcas adicionais, que não sejam marcas de classificação, mas que se destinem a designar o domínio de atividade a que se referem, identificar a entidade de origem, limitar a distribuição, restringir a utilização ou indicar a comunicabilidade.
Artigo 4.o
Gestão das classificações
1. Cada membro da Comissão ou serviço da Comissão deve garantir que as ICUE que produz sejam devidamente classificadas e claramente identificadas como ICUE e mantenham o seu nível de classificação apenas durante o tempo necessário.
2. Sem prejuízo do disposto no artigo 26.o, as ICUE não podem ser desgraduadas nem desclassificadas e nenhuma das marcas de classificação de segurança a que se refere o artigo 3.o, n.o 2, pode ser alterada ou suprimida sem o consentimento prévio, por escrito, da entidade de origem.
3. Se for caso disso, são adotadas regras de execução sobre o manuseamento das ICUE, incluindo um guia prático de classificação, em conformidade com o artigo 60.o.
Artigo 5.o
Proteção das informações classificadas
1. As ICUE devem ser protegidas em conformidade com a presente decisão e com as suas regras de execução.
2. Segundo as regras previstas no capítulo 4, incumbe ao detentor de quaisquer ICUE a responsabilidade pela sua proteção, em conformidade com a presente decisão e as suas regras de execução.
3. Quando os Estados-Membros introduzirem nas estruturas ou redes da Comissão informações classificadas que ostentem uma marca de classificação de segurança nacional, a Comissão deve proteger essas informações em conformidade com os requisitos aplicáveis às ICUE de nível equivalente, como estabelecido na tabela de equivalências das classificações de segurança constante do anexo I.
4. Um agregado de ICUE pode justificar um nível de proteção correspondente a uma classificação mais elevada do que a de cada um dos seus componentes.
Artigo 6.o
Gestão dos riscos de segurança
1. As medidas de segurança destinadas a proteger as ICUE ao longo do seu ciclo de vida devem ser proporcionais, em particular, à classificação de segurança, à forma e ao volume das informações ou do material, à localização e construção das instalações que albergam as ICUE e à avaliação local da ameaça de atos mal-intencionados e/ou atividades criminosas, nomeadamente de espionagem, sabotagem e terrorismo.
2. Os planos de emergência devem ter em conta a necessidade de proteger as ICUE em situações de emergência, a fim de evitar o acesso ou a divulgação não autorizados ou a perda de integridade ou disponibilidade.
3. Os planos de continuidade das atividades de todos os serviços devem incluir medidas de prevenção e recuperação destinadas a minimizar o impacto de quaisquer falhas ou incidentes graves sobre o manuseamento e armazenamento das ICUE.
Artigo 7.o
Execução da presente decisão
1. Se necessário, são adotadas regras de execução para completar ou apoiar a presente decisão, em conformidade com o artigo 60.o.
2. Os serviços da Comissão devem tomar todas as medidas necessárias sob a sua responsabilidade para assegurar que, no manuseamento ou armazenamento de ICUE ou de quaisquer outras informações classificadas, são aplicadas a presente decisão e as regras de execução pertinentes.
3. As medidas de segurança adotadas em aplicação da presente decisão devem ser conformes com os princípios de segurança na Comissão previstos no artigo 3.o da Decisão (UE, Euratom) 2015/443.
4. O diretor-geral dos Recursos Humanos e da Segurança deve criar a Autoridade de Segurança da Comissão na Direção-Geral dos Recursos Humanos e da Segurança. A Autoridade de Segurança da Comissão terá as responsabilidades que lhe são atribuídas pela presente decisão e pelas suas regras de execução.
5. Em cada serviço da Comissão, o responsável local de segurança (LSO), tal como referido no artigo 20.o da Decisão (UE, Euratom) 2015/443, tem as seguintes responsabilidades gerais em matéria de proteção das ICUE em conformidade com a presente decisão, em estreita colaboração com a Direção-Geral dos Recursos Humanos e da Segurança:
a)
gerir os pedidos de autorizações de segurança do pessoal;
b)
contribuir para ações de formação e de sensibilização em matéria de segurança;
c)
supervisionar o responsável do controlo do registo (RCO) do serviço;
d)
apresentar informações sobre quebras de segurança e comprometimento de ICUE;
e)
possuir duplicados das chaves e um registo escrito de cada combinação;
f)
assumir outras tarefas relacionadas com a proteção das ICUE ou definidas pelas regras de execução.
Artigo 8.o
Quebras de segurança e comprometimento de ICUE
1. As quebras de segurança resultam de atos ou omissões de uma pessoa que são contrários às regras de segurança estabelecidas na presente decisão e nas suas regras de execução.
2. O comprometimento de ICUE ocorre quando, em consequência de uma quebra de segurança, estas são, no todo ou em parte, divulgadas a pessoas não autorizadas.
3. As quebras de segurança de que haja conhecimento ou suspeita devem ser imediatamente comunicadas à Autoridade de Segurança da Comissão.
4. Quando haja conhecimento ou motivos razoáveis para presumir que houve comprometimento ou perda de ICUE, deve ser realizado um inquérito de segurança em conformidade com o artigo 13.o da Decisão (UE, Euratom) 2015/443.
5. Devem ser tomadas todas as medidas necessárias para:
a)
informar a entidade de origem;
b)
garantir que o caso seja investigado por elementos do pessoal não diretamente envolvidos na quebra de segurança, a fim de determinar os factos ocorridos;
c)
avaliar os danos eventualmente causados aos interesses da União ou dos Estados-Membros;
d)
tomar as medidas adequadas para impedir novas ocorrências; e
e)
notificar as autoridades competentes das medidas que tiverem sido tomadas.
6. O responsável pela violação das regras de segurança estabelecidas na presente decisão é passível de ação disciplinar, em conformidade com o disposto no Estatuto do Pessoal. O responsável pelo comprometimento ou pela perda de ICUE é passível de ação disciplinar e/ou judicial, em conformidade com as disposições legislativas e regulamentares aplicáveis.
CAPÍTULO 2
SEGURANÇA DO PESSOAL
Artigo 9.o
Definições
Para efeitos do presente capítulo, entende-se por:
1) «Autorização de acesso a ICUE»: uma decisão da Autoridade de Segurança da Comissão tomada com base na garantia dada por uma autoridade competente de um Estado-Membro de que pode ser facultado acesso a ICUE a um funcionário ou outro agente da Comissão, ou perito nacional destacado, até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, depois de comprovada a necessidade de essa pessoa tomar conhecimento de tais informações e tendo a mesma sido devidamente informada das responsabilidades que lhe incumbem; diz-se da pessoa nestas condições que «possui autorização de segurança».
2) «Autorização de segurança do pessoal»: aplicação de medidas destinadas a garantir que o acesso às ICUE só seja concedido a quem:
a)
tenha necessidade de tomar conhecimento das informações,
b)
possua a autorização de segurança para o nível adequado, se for caso disso; e
c)
tenha sido informado das responsabilidades que lhe incumbem.
3) «Credenciação de Segurança do Pessoal» (CSP): declaração de uma autoridade competente de um Estado-Membro, feita depois de concluída uma investigação de segurança conduzida pelas autoridades competentes de um Estado-Membro, pela qual se atesta que uma dada pessoa pode aceder a ICUE até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, depois de comprovada a necessidade de essa pessoa tomar conhecimento de tais informações e tendo a mesma sido devidamente informada das responsabilidades que lhe incumbem;
4) «Certificado de Credenciação de Segurança do Pessoal» (CCSP): certificado emitido por uma autoridade competente pelo qual se atesta que uma dada pessoa possui uma credenciação de segurança válida ou uma autorização de segurança emitida pela Autoridade de Segurança da Comissão que indica o nível de ICUE a que a pessoa pode aceder (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), a data de validade da credenciação ou autorização de segurança pertinente e a data de caducidade do próprio certificado;
5) «Investigação de Segurança»: procedimentos de investigação conduzidos pela autoridade competente de um Estado-Membro, em conformidade com as disposições legislativas e regulamentares nacionais, a fim de obter a garantia de que não há conhecimento de circunstâncias desfavoráveis que impeçam uma dada pessoa de obter uma credenciação de segurança até um determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior).
Artigo 10.o
Princípios básicos
1. O acesso a ICUE só pode ser concedido às pessoas depois de:
1)
ter ficado comprovada a sua necessidade de tomar conhecimento de tais informações;
2)
terem sido informadas das regras de segurança aplicáveis à proteção das ICUE e das normas e diretrizes de segurança pertinentes e terem reconhecido as suas responsabilidades no que respeita à proteção dessas informações;
3)
no caso de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, possuírem a autorização de segurança para o nível adequado ou outra autorização devidamente emitida, em virtude das funções que exercem, em conformidade com as disposições legislativas e regulamentares nacionais.
2. Todas as pessoas que, no exercício das suas funções, possam ter de aceder a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior devem receber a autorização de segurança para o nível adequado antes de lhes ser facultado o acesso às referidas ICUE. A pessoa em causa deve consentir por escrito ser submetida ao procedimento de credenciação de segurança do pessoal. Se não o fizer, a pessoa não pode ser afetada a um cargo, função ou tarefa que implique o acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior.
3. Devem ser definidos procedimentos de credenciação de segurança do pessoal que permitam verificar se determinada pessoa pode ter acesso a ICUE, tendo em conta a sua lealdade, idoneidade e fiabilidade.
4. A lealdade, idoneidade e fiabilidade de uma dada pessoa para efeitos de atribuição de uma credenciação de segurança para acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são determinadas mediante uma investigação de segurança conduzida pelas autoridades competentes de um Estado-Membro em conformidade com as respetivas disposições legislativas e regulamentares nacionais.
5. A Autoridade de Segurança da Comissão é a única autoridade responsável pela ligação com as Autoridades Nacionais de Segurança (ANS) ou outras autoridades nacionais competentes relativamente a todas as questões de credenciação de segurança. Todos os contactos entre os serviços da Comissão e o seu pessoal e as ANS e outras autoridades competentes devem ser realizados através da Autoridade de Segurança da Comissão.
Artigo 11.o
Procedimento de autorização de segurança
1. Cada diretor-geral ou chefe de serviço da Comissão identifica os lugares no seu serviço cujos titulares precisam de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior para desempenhar as suas funções e que, consequentemente, precisam de receber uma autorização de segurança.
2. Logo que se saiba que uma pessoa vai ser nomeada para funções que exijam acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, o LSO do serviço da Comissão em questão deve informar a Autoridade de Segurança da Comissão, que transmite à pessoa em causa o questionário de credenciação de segurança emitido pela ANS do Estado-Membro de que seja nacional a pessoa nomeada como membro do pessoal das instituições europeias. A pessoa em causa deve dar o seu consentimento por escrito antes de ser submetida ao procedimento de credenciação de segurança e devolver o questionário preenchido o mais rapidamente possível à Autoridade de Segurança da Comissão.
3. A Autoridade de Segurança da Comissão envia o questionário de segurança do pessoal preenchido à ANS do Estado-Membro de que é nacional a pessoa nomeada como membro do pessoal das instituições europeias, solicitando a realização de uma investigação de segurança para o nível de ICUE às quais a pessoa deverá ter acesso.
4. Se a Autoridade de Segurança da Comissão tomar conhecimento de informações relevantes para a investigação de segurança a respeito de alguém que tenha solicitado uma credenciação de segurança, informa desse facto a ANS competente, em conformidade com as regras e regulamentações pertinentes.
5. Após a conclusão da investigação de segurança, e o mais rapidamente possível após ter sido notificada pela ANS competente da sua avaliação global dos resultados dessa investigação, a Autoridade de Segurança da Comissão:
a)
se da investigação de segurança resultar a garantia de que não há conhecimento de fatores desfavoráveis que ponham em causa a lealdade, a idoneidade e a fiabilidade da pessoa, pode conceder à pessoa em causa uma autorização de acesso a ICUE até ao nível adequado e até uma data por ela especificada, por um período máximo de cinco anos;
b)
se da investigação de segurança não resultar tal garantia, em conformidade com as regras e regulamentações aplicáveis, notifica do facto a pessoa em causa, que pode pedir para ser ouvida pela referida Autoridade. A Autoridade de Segurança da Comissão pode solicitar à ANS competente quaisquer outros esclarecimentos que esta possa prestar em conformidade com as respetivas disposições legislativas e regulamentares nacionais. Se os resultados da investigação de segurança se confirmarem, não é emitida uma autorização de acesso a ICUE.
6. A investigação de segurança, juntamente com os resultados obtidos, fica sujeita às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão, incluindo em matéria de recurso. As decisões tomadas pela Autoridade de Segurança da Comissão são suscetíveis de recurso em conformidade com o Estatuto do Pessoal.
7. A Comissão aceita uma autorização de acesso a ICUE que seja concedida por qualquer outra instituição, organismo ou agência da União, desde que se mantenha válida. A autorização abrange quaisquer funções que a pessoa em causa venha a desempenhar na Comissão. A instituição, organismo ou agência da União no qual a pessoa assume funções informa a ANS competente da mudança de empregador.
8. Se o período de serviço da pessoa não tiver começado no prazo de 12 meses a contar da notificação dos resultados da investigação de segurança à Autoridade de Segurança da Comissão, ou se houver uma interrupção de 12 meses no serviço durante a qual a pessoa não exerceu funções na Comissão ou em qualquer outra instituição, organismo ou agência da União ou na administração de um Estado-Membro, a Autoridade de Segurança da Comissão remete a questão para a ANS competente, para confirmação de que a credenciação de segurança continua a ser válida e pertinente.
9. Se a Autoridade de Segurança da Comissão tomar conhecimento de informações a respeito da existência de qualquer risco para a segurança colocado por uma pessoa que disponha de uma autorização de segurança válida, informa desse facto a ANS competente, em conformidade com as regras e regulamentações pertinentes.
10. Se uma ANS comunicar à Autoridade de Segurança da Comissão que retirou a uma pessoa que possua uma autorização válida para acesso a ICUE a garantia que lhe fora dada em conformidade com o n.o 5, alínea a), a Autoridade de Segurança da Comissão pode solicitar à ANS quaisquer esclarecimentos que esta possa prestar em conformidade com as respetivas disposições legislativas e regulamentares nacionais. Se as informações desfavoráveis forem confirmadas pela ANS competente, a autorização de segurança deve ser retirada e a pessoa em causa excluída do acesso às ICUE e afastada de funções em que esse acesso seja possível ou a pessoa possa prejudicar a segurança.
11. A decisão de retirar ou suspender uma autorização de acesso a ICUE a qualquer pessoa abrangida pelo âmbito de aplicação da presente decisão e, se for caso disso, as razões que motivaram essa decisão são notificadas à pessoa em causa, que pode pedir para ser ouvida pela Autoridade de Segurança da Comissão. As informações prestadas pela ANS ficam sujeitas às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão. As decisões tomadas neste contexto pela Autoridade de Segurança da Comissão são suscetíveis de recurso, em conformidade com o Estatuto do Pessoal.
12. Os serviços da Comissão devem certificar-se de que, antes de assumirem funções, os peritos nacionais destacados para um cargo que exija uma autorização de segurança para aceder a ICUE apresentam à Autoridade de Segurança da Comissão uma CSP válida ou um Certificado de Credenciação de Segurança do Pessoal (CCSP), em conformidade com as disposições legislativas e regulamentares nacionais. Com base nestes documentos, a Autoridade de Segurança da Comissão concede uma autorização de segurança para aceder a ICUE até ao nível equivalente ao referido na credenciação de segurança nacional, com uma validade máxima equivalente ao período da afetação.
13. Os membros da Comissão, que têm acesso às ICUE em virtude das funções que exercem com base no Tratado, são informados acerca das suas obrigações de segurança no que respeita à proteção das ICUE.
14. Os registos das credenciações e autorizações de segurança concedidas com vista ao acesso a ICUE devem ser mantidos pela Autoridade de Segurança da Comissão, em conformidade com a presente decisão. Esses registos devem especificar, pelo menos, o nível das ICUE a que a pessoa pode ter acesso, a data de emissão da credenciação de segurança e o seu período de validade.
15. A Autoridade de Segurança da Comissão pode emitir um CCSP indicando o nível de ICUE a que a pessoa pode ter acesso (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), o período de validade da autorização pertinente para efeitos de acesso a ICUE ou a data de expiração do próprio certificado.
16. Depois da primeira atribuição de uma autorização de segurança, e desde que a pessoa em causa tenha prestado ininterruptamente serviço na Comissão Europeia ou noutra instituição, organismo ou agência da União e continue a precisar de ter acesso a ICUE, a autorização de segurança para aceder a ICUE deve ser revista, para efeitos de renovação, regra geral, de cinco em cinco anos a contar da data da notificação dos resultados da última investigação de segurança que lhe tenha servido de base.
17. A Autoridade de Segurança da Comissão pode prorrogar o prazo de validade da autorização de segurança existente por um período de, no máximo, 12 meses, se não tiver sido recebida qualquer informação desfavorável da ANS ou de outra autoridade nacional competente no prazo de dois meses a contar da data de transmissão do pedido de renovação e do correspondente questionário de credenciação de segurança. Se, decorrido este período de 12 meses, a ANS em causa ou outra autoridade nacional competente não tiver notificado o seu parecer à Autoridade de Segurança da Comissão, a pessoa em causa é afetada a funções que não exijam uma autorização de segurança.
Artigo 12.o
Sessões de informação sobre as autorizações de segurança
1. Após terem participado na sessão de informação sobre as autorizações de segurança organizada pela Autoridade de Segurança da Comissão, as pessoas a quem tenha sido atribuída uma autorização de segurança devem confirmar por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. A Autoridade de Segurança da Comissão deve conservar um registo dessas declarações escritas.
2. As pessoas autorizadas a aceder a ICUE ou que precisem de manusear ICUE devem ser inicialmente sensibilizadas e periodicamente informadas das ameaças existentes para a segurança e comunicar imediatamente à Autoridade de Segurança da Comissão qualquer atitude ou atividade que considerem suspeita ou pouco habitual.
3. As pessoas que deixarem de exercer funções que exijam acesso a ICUE são informadas de que devem continuar a proteger as ICUE e, se necessário, confirmar por escrito essa sua obrigação.
Artigo 13.o
Autorizações de segurança temporárias
1. Em circunstâncias excecionais devidamente justificadas pelo interesse do serviço e na pendência da conclusão de uma investigação de segurança exaustiva, a Autoridade de Segurança da Comissão, após consulta da ANS do Estado-Membro de nacionalidade do interessado e sob reserva dos resultados da verificação inicial de que não há conhecimento de informações pertinentes desfavoráveis, pode conceder à pessoa em causa uma autorização temporária de acesso a ICUE para uma função específica, sem prejuízo das disposições relativas à renovação das credenciações de segurança. Essas autorizações temporárias de acesso a ICUE são válidas por um período único não superior a seis meses e não permitem o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET.
2. Após terem assistido à sessão de informação em conformidade com o artigo 12.o, n.o 1, todas as pessoas a quem tenha sido concedida uma autorização temporária devem confirmar por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. A Autoridade de Segurança da Comissão deve conservar um registo dessas declarações escritas.
Artigo 14.o
Participação em reuniões classificadas organizadas pela Comissão
1. Os serviços da Comissão responsáveis pela organização de reuniões nas quais sejam discutidas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior informam, através do seu LSO ou do organizador da reunião, a Autoridade de Segurança da Comissão com bastante antecedência das datas, horários, locais e participantes nessas reuniões.
2. Sem prejuízo do disposto no artigo 11.o, n.o 13, as pessoas designadas para participar em reuniões organizadas pela Comissão nas quais sejam discutidas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior só o poderão fazer depois de confirmado o seu estatuto de credenciação de segurança ou de autorização de segurança. O acesso a estas reuniões deve ser recusado às pessoas que não tenham apresentado à Autoridade de Segurança da Comissão um CCSP ou outra prova de credenciação de segurança, bem como aos participantes da Comissão que não possuam uma autorização de segurança.
3. Antes de organizar uma reunião classificada, o responsável pela organização da reunião ou o LSO do serviço da Comissão que organiza a reunião solicita aos participantes externos que apresentem à Autoridade de Segurança da Comissão um CCSP ou outra prova da credenciação de segurança. A Autoridade de Segurança da Comissão informa o LSO ou o organizador da reunião do CCSP ou outra prova de CSP que tiver recebido. Quando aplicável, pode ser usada uma lista consolidada de nomes que forneça a prova de credenciação de segurança pertinente.
4. Se a Autoridade de Segurança da Comissão for informada pelas autoridades competentes de que foi retirada uma CSP a uma pessoa cujas funções requerem a participação em reuniões organizadas pela Comissão, deve notificar do facto o LSO do serviço da Comissão responsável pela organização da reunião.
Artigo 15.o
Acesso potencial a ICUE
Os estafetas, guardas e escoltas devem possuir a autorização de segurança para o nível adequado ou ser sujeitos a uma investigação adequada em conformidade com as disposições legislativas e regulamentares nacionais, ser informados dos procedimentos de segurança aplicáveis à proteção das ICUE e alertados para o seu dever de proteção das informações que lhes forem confiadas.
CAPÍTULO 3
SEGURANÇA FÍSICA DESTINADA A PROTEGER INFORMAÇÕES CLASSIFICADAS
Artigo 16.o
Princípios básicos
1. Devem ser concebidas medidas de segurança física que permitam impedir a entrada sub-reptícia ou forçada de intrusos, dissuadir, impedir e detetar ações não autorizadas e permitir uma diferenciação do pessoal no que se refere ao acesso a ICUE, segundo o princípio da necessidade de tomar conhecimento de tais informações. Essas medidas devem ser determinadas com base num processo de gestão do risco, em conformidade com a presente decisão e as suas regras de execução.
2. Em especial, devem ser concebidas medidas de segurança física para impedir o acesso não autorizado a ICUE:
a)
assegurando que as ICUE sejam manuseadas e armazenadas de forma adequada;
b)
permitindo a diferenciação do pessoal no que se refere ao acesso a ICUE com base na sua necessidade de tomar conhecimento de tais informações e, se for caso disso, na respetiva autorização de segurança;
c)
dissuadindo, impedindo e detetando ações não autorizadas; e
d)
impedindo ou retardando a entrada sub-reptícia ou forçada de intrusos.
3. Devem ser aplicadas medidas de segurança física em todas as instalações, edifícios, gabinetes, salas e outras zonas onde sejam manuseadas ou armazenadas ICUE, nomeadamente nas zonas em que se encontrem sistemas de comunicação e de informação, tal como referidos no capítulo 5.
4. As zonas onde sejam armazenadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior devem ser instituídas como Zonas de Segurança, em conformidade com o presente capítulo, e acreditadas pela Autoridade de Segurança da Comissão.
5. Só devem ser utilizados equipamentos ou dispositivos aprovados pela Autoridade de Segurança da Comissão para proteger as ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou superior.
Artigo 17.o
Requisitos e medidas de segurança física
1. As medidas de segurança física são selecionadas com base numa avaliação de risco feita pela Autoridade de Segurança da Comissão, sempre que adequado em consulta com outros serviços da Comissão, outras instituições, agências ou organismos da União e/ou as autoridades competentes dos Estados-Membros. A Comissão aplica um processo de gestão de risco à proteção das ICUE nas suas instalações, a fim de assegurar que seja concedido um nível de proteção física proporcional ao risco avaliado. No processo de gestão de risco devem ser tidos em conta todos os fatores pertinentes, nomeadamente:
a)
o nível de classificação das ICUE;
b)
a forma e o volume das ICUE, tendo em conta que as grandes quantidades ou acervos de ICUE podem justificar a aplicação de medidas de proteção mais rigorosas;
c)
a envolvente e a estrutura dos edifícios ou zonas que albergam as ICUE; e
d)
a avaliação da ameaça proveniente de serviços de informações que tenham por alvo a União, as suas instituições, organismos ou agências, ou os Estados-Membros, de atos de sabotagem ou de terrorismo, bem como de outras atividades subversivas ou criminosas.
2. A Autoridade de Segurança da Comissão, aplicando o conceito de defesa em profundidade, determina qual a combinação adequada de medidas de segurança física a implementar. Para o efeito, elabora normas e critérios mínimos de segurança, definidos nas regras de execução.
3. A Autoridade de Segurança da Comissão é autorizada a efetuar buscas nas entradas e saídas, que funcionam como elemento dissuasor da introdução não autorizada de material ou da saída não autorizada de ICUE das instalações ou edifícios.
4. Quando houver risco de olhares indiscretos sobre ICUE, mesmo que acidentalmente, os serviços da Comissão em causa devem tomar as medidas adequadas, tal como definidas pela Autoridade de Segurança da Comissão, para neutralizar esse risco.
5. Na fase de planeamento e conceção de novas instalações, devem ser definidos os requisitos de segurança física e as respetivas especificações funcionais, com o consentimento da Autoridade de Segurança da Comissão. Nas instalações já existentes, os requisitos de segurança física devem ser aplicados em conformidade com as normas e critérios mínimos previstos nas regras de execução.
Artigo 18.o
Equipamento para a proteção física das ICUE
1. São estabelecidos dois tipos de zonas fisicamente protegidas, para assegurar a proteção física das ICUE:
a)
Zonas Administrativas; e
b)
Zonas de Segurança (incluindo as Zonas Tecnicamente Seguras).
2. A Autoridade de Acreditação de Segurança da Comissão determina que uma dada zona preenche os requisitos para ser designada Zona Administrativa, Zona de Segurança ou Zona Tecnicamente Segura.
3. No caso das Zonas Administrativas:
a)
é estabelecido um perímetro visivelmente definido que permita o controlo de pessoas e, se possível, de veículos;
b)
só podem ter acesso sem escolta as pessoas devidamente autorizadas pela Autoridade de Segurança da Comissão ou por qualquer outra autoridade competente; e
c)
quaisquer outras pessoas devem ser permanentemente escoltadas ou sujeitas a controlos equivalentes.
4. No caso das Zonas de Segurança:
a)
é estabelecido um perímetro visivelmente definido, em que qualquer entrada ou saída é controlada através de um sistema de livre-trânsito ou de reconhecimento de pessoas;
b)
só podem ter acesso sem escolta as pessoas com a devida credenciação de segurança e especificamente autorizadas a entrar nessa zona por terem necessidade de tomar conhecimento das ICUE em causa;
c)
quaisquer outras pessoas devem ser permanentemente escoltadas ou sujeitas a controlos equivalentes.
5. Nos casos em que a entrada numa Zona de Segurança represente, para todos os efeitos práticos, um acesso direto às informações classificadas que nela se encontrem, aplicam-se ainda os seguintes requisitos:
a)
deve haver uma indicação clara do nível de classificação de segurança mais elevado das informações normalmente conservadas nessa zona;
b)
todos os visitantes devem pedir uma autorização específica para entrar nessa zona, ser permanentemente escoltados e possuir a devida credenciação de segurança, a menos que sejam tomadas medidas para assegurar que não seja possível ter acesso às ICUE.
6. As Zonas de Segurança protegidas contra escutas são designadas Zonas Tecnicamente Seguras. A estas zonas aplicam-se ainda os seguintes requisitos:
a)
devem ser equipadas com um sistema de deteção de intrusos (IDS), fechadas à chave quando não estiverem ocupadas e guardadas quando ocupadas. Todas as chaves devem ser geridas em conformidade com o artigo 20.o;
b)
são sujeitas a controlo todas as pessoas ou material que nelas penetrem;
c)
são sujeitas a inspeção física e/ou técnica regular pela Autoridade de Segurança da Comissão. Essa inspeção deve ser igualmente efetuada na sequência de qualquer entrada não autorizada ou de suspeitas dessa possibilidade; e
d)
são desprovidas de dispositivos não autorizados, como linhas de comunicação, telefones ou outros aparelhos de comunicação, bem como equipamento elétrico ou eletrónico.
7. Não obstante o disposto no n.o 6, alínea d), e em circunstâncias em que a ameaça para as ICUE seja considerada elevada, qualquer tipo de aparelho de comunicações e equipamento elétrico ou eletrónico deve ser inspecionado pela Autoridade de Segurança da Comissão antes de ser utilizado em zonas onde decorram reuniões ou se trabalhe com informações com classificação SECRET UE/EU SECRET ou superior, por forma a garantir que nenhuma informação inteligível seja transmitida por esse equipamento, ilícita ou inadvertidamente, para fora do perímetro da Zona de Segurança.
8. As Zonas de Segurança que não estejam ocupadas por pessoal em serviço 24 horas por dia são, se necessário, inspecionadas no final das horas normais de serviço e a intervalos aleatórios fora dessas horas, a menos que esteja instalado um IDS.
9. Podem ser criadas temporariamente Zonas de Segurança e Zonas Tecnicamente Seguras no interior de uma determinada Zona Administrativa com vista à realização de uma reunião classificada ou qualquer outro fim semelhante.
10. O LSO do serviço da Comissão em questão estabelece procedimentos operacionais de segurança (SecOP) para cada Zona de Segurança sob a sua responsabilidade que estipulem, em conformidade com as disposições da presente decisão e das suas regras de execução:
a)
o nível das ICUE que podem ser manuseadas ou armazenadas nessa zona;
b)
as medidas de vigilância e de proteção a manter;
c)
as pessoas autorizadas a aceder sem escolta à zona por terem necessidade de tomar conhecimento das ICUE em causa e possuírem a devida autorização de segurança;
d)
se necessário, os procedimentos respeitantes a escoltas ou à proteção das ICUE, quando se autorize o acesso de outras pessoas a essa zona;
e)
quaisquer outras medidas e procedimentos pertinentes.
11. Devem ser construídas casas-fortes dentro das Zonas de Segurança. As paredes, o chão, os tetos, as janelas e as portas com sistema de fecho devem ser aprovados pela Autoridade de Segurança da Comissão e beneficiar de proteção equivalente à de um contentor de segurança aprovado para o armazenamento de ICUE com o mesmo nível de classificação.
Artigo 19.o
Medidas de proteção física para o manuseamento e armazenamento de ICUE
1. As ICUE com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas:
a)
em Zonas de Segurança;
b)
em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas; ou
c)
fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas as transporte nas condições estabelecidas no artigo 31.o e se tenha comprometido a respeitar as medidas de compensação estabelecidas nas regras de execução, a fim de assegurar que as ICUE fiquem protegidas do acesso por parte de pessoas não autorizadas.
2. As ICUE com classificação RESTREINT UE/EU RESTRICTED devem ser armazenadas em mobiliário de escritório apropriado e fechado à chave, numa Zona Administrativa ou numa Zona de Segurança. As referidas ICUE podem ser temporariamente armazenadas fora de Zonas Administrativas ou de Zonas de Segurança, desde que o detentor das informações classificadas se tenha comprometido a respeitar as medidas de compensação estabelecidas nas regras de execução.
3. As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET podem ser manuseadas:
a)
em Zonas de Segurança;
b)
em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas; ou
c)
fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas:
i)
se tenha comprometido a respeitar as medidas de compensação estabelecidas nas regras de execução, a fim de assegurar que as ICUE fiquem protegidas do acesso por parte de pessoas não autorizadas;
ii)
mantenha as ICUE permanentemente sob o seu controlo pessoal; e
iii)
no caso de documentos em suporte papel, tenha informado desse facto o registo competente.
4. As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser armazenadas em Zonas de Segurança, dentro de um contentor de segurança ou de uma casa-forte.
5. As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET devem ser manuseadas em Zonas de Segurança, criadas e mantidas pela Autoridade de Segurança da Comissão, e acreditadas a esse nível pela Autoridade de Acreditação de Segurança da Comissão.
6. As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET devem ser armazenadas em Zonas de Segurança e acreditadas a esse nível pela Autoridade de Acreditação de Segurança da Comissão, numa das seguintes condições:
a)
num contentor de segurança, em conformidade com o estabelecido no artigo 18.o, com pelo menos um dos seguintes controlos suplementares:
1)
proteção ou verificação permanente por pessoal de segurança ou de serviço com credenciação de segurança;
2)
um IDS aprovado, em combinação com pessoal de segurança incumbido das situações de emergência;
ou
b)
numa casa-forte com IDS, em combinação com pessoal de segurança incumbido das situações de emergência.
Artigo 20.o
Controlo das chaves e combinações de fechaduras de segredo utilizadas para proteção das ICUE
1. Nas regras de execução devem ser estabelecidos procedimentos para a gestão das chaves e das combinações das fechaduras de segredo dos gabinetes, salas, casas-fortes e contentores de segurança, em conformidade com o artigo 60.o. Tais procedimentos destinam-se a assegurar a proteção contra o acesso não autorizado.
2. As combinações devem ser memorizadas pelo menor número possível de pessoas que precisem de as conhecer. As combinações dos contentores de segurança e das casas-fortes em que sejam conservadas ICUE devem ser mudadas:
a)
aquando da receção de um novo contentor;
b)
sempre que mude o pessoal que conhece a combinação;
c)
sempre que haja conhecimento ou suspeita de comprometimento;
d)
sempre que uma fechadura tenha sido objeto de manutenção ou reparação; e
e)
pelo menos de 12 em 12 meses.
CAPÍTULO 4
GESTÃO DAS INFORMAÇÕES CLASSIFICADAS DA UE
Artigo 21.o
Princípios básicos
1. Todos os documentos com ICUE são geridos em conformidade com a política da Comissão em matéria de gestão de documentos, pelo que devem ser registados, arquivados, conservados e, por fim, eliminados ou transferidos, integralmente ou por amostragem, para os arquivos históricos, em conformidade com a lista comum de conservação de dossiês da Comissão Europeia.
2. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são registadas, para fins de segurança, antes da distribuição e no momento da receção. As informações com classificação TRÈS SECRET UE/EU TOP SECRET devem ser inscritas em registos próprios.
3. Na Comissão, deve ser estabelecido um sistema de registo de ICUE, em conformidade com o disposto no artigo 27.o.
4. Os serviços e instalações da Comissão onde se proceda ao manuseamento ou armazenamento de ICUE devem ser inspecionados periodicamente pela Autoridade de Segurança da Comissão.
5. As ICUE são transmitidas entre diferentes serviços e instalações fora do perímetro das zonas fisicamente protegidas, de acordo com as regras a seguir enunciadas:
a)
as ICUE são, regra geral, transmitidas por meios eletrónicos protegidos por produtos criptográficos aprovados em conformidade com o capítulo 5;
b)
se não forem utilizados os meios referidos na alínea a), as ICUE são transportadas:
i)
em suporte eletrónico (chaves USB, CD, discos rígidos) protegido por produtos criptográficos aprovados em conformidade com o capítulo 5; ou
ii)
em todos os demais casos, nas condições estipuladas nas regras de execução.
Artigo 22.o
Classificações e marcas
1. As informações são classificadas se precisarem de proteção em virtude da sua confidencialidade, em conformidade com o artigo 3.o, n.o 1.
2. A entidade de origem das ICUE é responsável pela determinação do nível de classificação de segurança, em conformidade com as regras de execução pertinentes e as orientações e normas em matéria de classificação, bem como pela divulgação inicial das informações.
3. O nível de classificação das ICUE é determinado em conformidade com o artigo 3.o, n.o 2, e com as regras de execução pertinentes.
4. A classificação de segurança deve ser clara e corretamente indicada, independentemente de as ICUE serem apresentadas em papel, oralmente, eletronicamente ou por outro meio.
5. Cada uma das partes de um determinado documento (páginas, parágrafos, secções, anexos, apêndices, adendas e elementos apensos) pode exigir classificações diferentes, devendo ostentar a marca correspondente, inclusivamente quando for armazenada em suporte eletrónico.
6. A classificação geral de um documento ou dossiê deve ser pelo menos tão elevada como a da parte desse documento classificada ao nível mais elevado. Quando forem coligidas informações provenientes de várias fontes, o produto final é analisado para determinar o seu nível geral de classificação de segurança, uma vez que pode justificar uma classificação mais elevada do que a das partes que o compõem.
7. Na medida do possível, os documentos que contenham partes com níveis de classificação diferentes devem ser estruturados de forma a que as partes com um nível de classificação diferente possam ser facilmente identificadas e, se necessário, separadas.
8. A classificação de uma carta ou nota de envio deve ser tão elevada como a mais alta classificação dos seus anexos. A entidade de origem deve indicar claramente em que nível é classificada a carta ou nota quando separada dos anexos, utilizando uma marca adequada, por exemplo:
CONFIDENTIEL UE/EU CONFIDENTIAL
Sem anexo(s) RESTREINT UE/EU RESTRICTED
Artigo 23.o
Marcas
Para além de uma das marcas de classificação de segurança previstas no artigo 3.o, n.o 2, as ICUE podem ostentar outras marcas, tais como:
a)
um identificador para designar a entidade de origem;
b)
eventuais advertências, códigos ou acrónimos que especifiquem o domínio de atividade a que o documento diz respeito, uma distribuição especial baseada na necessidade de ter conhecimento ou restrições de utilização;
c)
marcas relativas à comunicabilidade;
d)
se for caso disso, a data ou o acontecimento específico após os quais podem ser desgraduadas ou desclassificadas.
Artigo 24.o
Marcas de classificação abreviadas
1. Para indicar o nível de classificação de certos parágrafos de determinado texto, podem ser utilizadas marcas de classificação sob a forma de abreviaturas normalizadas. As abreviaturas não substituem as marcas de classificação por extenso.
2. Nos documentos classificados da UE, para indicar o nível de classificação de secções ou blocos do texto com menos de uma página, podem ser utilizadas as seguintes abreviaturas normalizadas:
TRÈS SECRET UE/EU TOP SECRET
TS-UE/EU-TS
SECRET UE/EU SECRET
S-UE/EU-S
CONFIDENTIEL UE/EU CONFIDENTIAL
C-UE/EU-C
RESTREINT UE/EU RESTRICTED
R-UE/EU-R
Artigo 25.o
Produção de ICUE
1. Ao produzir um documento classificado da UE:
a)
todas as páginas são marcadas de forma clara com o nível de classificação;
b)
todas as páginas são numeradas;
c)
o documento ostenta um número de registo e o assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal;
d)
o documento é datado;
e)
os documentos com classificação SECRET UE/EU SECRET ou superior que devam ser distribuídos em vários exemplares ostentam um número de exemplar em todas as páginas.
2. Quando não for possível aplicar o disposto no n.o 1 às ICUE, devem ser tomadas outras medidas adequadas, em conformidade com as regras de execução.
Artigo 26.o
Desgraduação e desclassificação de ICUE
1. Aquando da produção de ICUE, a entidade de origem indica, sempre que possível, se as mesmas podem ser desgraduadas ou desclassificadas em determinada data ou após um dado acontecimento.
2. Cada serviço da Comissão deve analisar regularmente as ICUE de que seja a entidade de origem, a fim de apurar se o respetivo nível de classificação continua a ser aplicável. As regras de execução devem estabelecer um sistema para proceder, pelo menos de cinco em cinco anos, à reanálise do nível de classificação das ICUE registadas produzidas pela Comissão. Essa reanálise não é necessária se a entidade de origem tiver indicado à partida que as informações serão automaticamente desgraduadas ou desclassificadas e se nelas tiver sido aposta a marca correspondente.
3. As informações com classificação RESTREINT UE/EU RESTRICTED com origem na Comissão são consideradas automaticamente desclassificadas após trinta anos, em conformidade com o Regulamento (CEE, Euratom) n.o 354/83, com a redação que lhe foi dada pelo Regulamento (CE, Euratom) n.o 1700/2003 do Conselho (10).
Artigo 27.o
Sistema de registo de ICUE na Comissão
1. Sem prejuízo do disposto no artigo 52.o, n.o 5, em cada serviço da Comissão onde sejam tratadas ou armazenadas ICUE ao nível CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, deve ser identificado um responsável local pelo registo de ICUE para assegurar que estas informações sejam manuseadas em conformidade com a presente decisão.
2. O registo de ICUE gerido pelo Secretariado-Geral é o registo central de ICUE da Comissão. Serve de:
-
registo local de ICUE do Secretariado-Geral da Comissão,
-
registo de ICUE dos gabinetes dos membros da Comissão, exceto se estes dispuserem de um registo local de ICUE designado,
-
registo de ICUE das direções-gerais ou serviços que não dispõem de um registo local de ICUE,
-
principal ponto de entrada e de saída de todas as informações com classificação RESTREINT UE/EU RESTRICTED e superior, incluindo SECRET UE/EU SECRET, trocadas entre a Comissão e os seus serviços e os Estados terceiros e as organizações internacionais, bem como, quando tal estiver previsto em disposições específicas, outras instituições, agências e organismos da União.
3. Na Comissão, é designado pela Autoridade de Segurança da Comissão um registo que atuará como autoridade central de receção e envio de informações com classificação TRÈS SECRET UE/EU TOP SECRET. Se necessário, podem ser designados registos dependentes do registo central, a fim de manusear essas informações para efeitos de registo.
4. Os registos dependentes não podem comunicar documentos com classificação TRÈS SECRET UE/EU TOP SECRET diretamente a outros registos dependentes adstritos ao mesmo registo central TRÈS SECRET UE/EU TOP SECRET nem ao exterior sem a aprovação expressa deste último, concedida por escrito.
5. Os registos de ICUE devem ser estabelecidos como Zonas de Segurança, tal como definidas no capítulo 3, e acreditados pela Autoridade de Acreditação de Segurança (AAS) da Comissão.
Artigo 28.o
Responsável do controlo do registo
1. Cada registo de ICUE é gerido por um responsável do controlo do registo (RCO).
2. O RCO deve ter a credenciação de segurança adequada.
3. O RCO é sujeito à supervisão do LSO no serviço da Comissão em questão, se estiver em causa a aplicação das disposições relativas ao manuseamento de documentos que contenham ICUE e o cumprimento das regras de segurança, normas e orientações pertinentes.
4. No âmbito da responsabilidade pela gestão do registo de ICUE que lhe foi atribuída, o RCO assume as seguintes tarefas gerais, em conformidade com a presente decisão e com as regras de execução, normas e orientações pertinentes:
-
gerir as operações relativas ao registo, preservação, reprodução, tradução, transmissão, expedição e destruição ou transferência de ICUE para o serviço dos arquivos históricos,
-
verificar periodicamente a necessidade de manter a classificação das informações,
-
desempenhar quaisquer outras tarefas relacionadas com a proteção das ICUE definidas nas regras de execução.
Artigo 29.o
Registo de ICUE para efeitos de segurança
1. Para efeitos da presente decisão, entende-se por «registo para efeitos de segurança» («registo») a aplicação de procedimentos que registem o ciclo de vida das ICUE, incluindo a sua divulgação.
2. Todas as informações ou material com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e superior são inscritos em registos próprios aquando da sua receção ou envio de uma entidade organizativa.
3. Quando as ICUE forem manuseadas ou armazenadas recorrendo a sistemas de comunicação e informação (SCI), estes podem executar os procedimentos de registo recorrendo aos seus próprios processos.
4. As regras de execução estabelecem disposições mais pormenorizadas relativas ao registo de ICUE para efeitos de segurança.
Artigo 30.o
Cópia e tradução de documentos classificados da UE
1. Os documentos com classificação TRÈS SECRET UE/EU TOP SECRET não podem ser copiados nem traduzidos sem o consentimento prévio, por escrito, da entidade de origem.
2. Os documentos com classificação SECRET UE/EU SECRET ou inferior podem ser copiados ou traduzidos por ordem do detentor, se a respetiva entidade de origem não tiver imposto restrições à sua cópia ou tradução.
3. As medidas de segurança aplicáveis ao documento original são igualmente aplicáveis às respetivas cópias e traduções.
Artigo 31.o
Transporte de ICUE
1. As ICUE devem ser transportadas de forma a protegê-las da divulgação não autorizada durante o seu transporte.
2. O transporte de ICUE fica sujeito às medidas de proteção, que devem:
-
ser proporcionais ao nível de classificação das ICUE transportadas, e
-
ser adaptadas às condições específicas do seu transporte, em especial consoante as ICUE forem transportadas:
-
no interior de um edifício ou bloco de edifícios da Comissão,
-
entre edifícios da Comissão situados no mesmo Estado-Membro,
-
dentro do território da União,
-
do território da União para o território de um Estado terceiro, e
-
ser adaptadas à natureza e à forma das ICUE.
3. Estas medidas de proteção devem ser estabelecidas pormenorizadamente nas regras de execução, ou, no caso dos projetos e programas referidos no artigo 42.o, como parte integrante das instruções de segurança do programa ou projeto (ISP) pertinentes.
4. As regras de execução ou ISP devem incluir disposições proporcionais ao nível das ICUE no que diz respeito:
-
ao tipo de transporte, como o transporte em mão própria, em mala diplomática, por serviços de estafetas militares, pelos serviços postais ou por serviços comerciais de estafeta;
-
à embalagem das ICUE,
-
às contramedidas técnicas para as ICUE transportadas por meios electrónicos,
-
a qualquer outra medida processual, física ou eletrónica,
-
aos procedimentos de registo,
-
ao recurso a pessoal de segurança autorizado.
5. Quando as ICUE forem transportadas por meios eletrónicos, e não obstante o disposto no artigo 21.o, n.o 5, as medidas de proteção estabelecidas nas regras de execução pertinentes podem ser complementadas pelas contramedidas técnicas adequadas aprovadas pela Autoridade de Segurança da Comissão, a fim de minimizar o risco de perda ou comprometimento.
Artigo 32.o
Destruição de ICUE
1. Os documentos classificados da UE que deixem de ser necessários podem ser destruídos, tendo em conta a regulamentação em matéria de arquivos e as regras e regulamentações da Comissão em matéria de gestão e arquivo de documentos, em especial a lista comum de conservação a nível da Comissão.
2. As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são destruídas pelo RCO do registo responsável pelas ICUE por ordem do detentor ou de uma autoridade competente. O RCO atualiza os livros de registo e outras informações de registo em conformidade.
3. A destruição dos documentos com classificação SECRET UE/EU SECRET ou TRÈS SECRET UE/EU TOP SECRET é efetuada pelo RCO na presença de uma testemunha, que deve possuir uma credenciação pelo menos equivalente ao nível de classificação dos documentos a destruir.
4. O funcionário do registo e a testemunha, sempre que a presença desta última seja exigida, assinam um certificado de destruição, que é arquivado no registo. O RCO do registo responsável pelas ICUE conserva os certificados de destruição dos documentos com classificação TRÈS SECRET UE/EU TOP SECRET durante um período mínimo de dez anos e os dos documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET durante um período mínimo de cinco anos.
5. Os documentos classificados, incluindo os documentos com classificação RESTREINT UE/EU RESTRICTED, são destruídos por métodos definidos nas regras de execução e que respeitem as normas da UE pertinentes ou normas equivalentes.
6. A destruição dos suportes informáticos de ICUE é efetuada em conformidade com os procedimentos estabelecidos nas regras de execução.
Artigo 33.o
Destruição de ICUE em situações de emergência
1. Os serviços da Comissão que detêm ICUE devem elaborar, com base nas condições locais, planos para a salvaguarda do material classificado da UE em situações de crise, incluindo, se necessário, a destruição de emergência e planos de evacuação. Esses serviços devem publicar as instruções consideradas necessárias para impedir que as ICUE possam chegar às mãos de pessoas não autorizadas.
2. As disposições para a salvaguarda e/ou destruição de material com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET numa situação de crise não devem prejudicar, em caso algum, a salvaguarda ou a destruição de material com classificação TRÈS SECRET UE/EU TOP SECRET (incluindo o equipamento de cifragem), cujo tratamento deve ter prioridade sobre todas as outras tarefas.
3. Em caso de emergência, se houver um risco iminente de divulgação não autorizada, as ICUE devem ser destruídas pelo seu detentor de modo a não poderem ser reconstituídas integral ou parcialmente. A entidade e o registo de origem devem ser informados da destruição de emergência das ICUE registadas.
4. As regras de execução devem estabelecer disposições mais pormenorizadas sobre a destruição de ICUE.
CAPÍTULO 5
PROTEÇÃO DAS INFORMAÇÕES CLASSIFICADAS DA UE NOS SISTEMAS DE COMUNICAÇÃO E INFORMAÇÃO (SCI)
Artigo 34.o
Princípios básicos da garantia da informação
1. A garantia da informação (GI) no domínio dos sistemas de comunicação e informação consiste na confiança de que esses sistemas protegem as informações neles manuseadas e funcionam como devem, quando for necessário, sob o controlo de utilizadores legítimos.
2. Uma garantia da informação eficaz deve assegurar níveis adequados de:
Autenticidade
:
a garantia de que a informação é genuína e provém de fonte fidedigna;
Disponibilidade
:
a propriedade de estar acessível e de poder ser utilizada a pedido de uma entidade autorizada;
Confidencialidade
:
a propriedade de a informação não ser divulgada a pessoas ou entidades não autorizadas ou segundo processos não autorizados;
Integridade
:
a propriedade de salvaguardar o carácter exato e completo dos ativos e da informação;
Não rejeição
:
a capacidade de provar que um ato ou acontecimento teve lugar, de modo a que esse acontecimento ou ato não possa ser subsequentemente negado.
3. A GI baseia-se num processo de gestão de risco.
Artigo 35.o
Definições
Para efeitos do presente capítulo, entende-se por:
a) «Acreditação»: a autorização e aprovação formal concedidas a um sistema de comunicação e informação pela Autoridade de Acreditação de Segurança (AAS) para tratar ICUE no seu ambiente operacional, após a validação formal do plano de segurança e a sua correta aplicação;
b) «Processo de acreditação»: as medidas e tarefas necessárias exigidas antes da acreditação pela Autoridade de Acreditação de Segurança. Estas medidas e tarefas devem ser especificadas numa norma do processo de acreditação;
c) «Sistema de comunicação e informação (SCI)»: qualquer sistema que permita o manuseamento de informações em formato eletrónico. Um sistema de comunicação e informação compreende todos os meios necessários ao seu funcionamento, designadamente a infraestrutura, a organização, o pessoal e os recursos em matéria de informação;
d) «Risco residual»: o risco que permanece após terem sido aplicadas medidas de segurança, dado que não é possível neutralizar todas as ameaças nem eliminar todas as vulnerabilidades;
e) «Risco»: a possibilidade de uma ameaça específica explorar as vulnerabilidades internas e externas de uma organização ou de um dos sistemas por ela utilizados, causando assim danos à organização e respetivos ativos corpóreos ou incorpóreos. Mede-se pela combinação da probabilidade de as ameaças ocorrerem e do respetivo impacto;
f) «Aceitação do risco»: decisão de aceitar a persistência de um risco residual após o tratamento do risco;
g) «Avaliação do risco»: identificação das ameaças e vulnerabilidades e realização da análise de risco conexa, ou seja, a análise da probabilidade e do impacto;
h) «Comunicação do risco»: consciencialização dos grupos de utilizadores de SCI para os riscos, informação das autoridades de aprovação quanto a esses riscos e comunicação dos mesmos às autoridades operacionais;
i) «Tratamento do risco»: atenuação, eliminação, redução (mediante uma combinação adequada de medidas técnicas, materiais, organizativas e processuais), transferência ou acompanhamento do risco.
Artigo 36.o
Manuseamento de ICUE pelos SCI
1. Os SCI devem manusear as ICUE em conformidade com o conceito de GI.
2. Para os SCI que manuseiam ICUE, a conformidade com a política de segurança dos sistemas de informação da Comissão, tal como referida na Decisão C(2006) 3602 (11) da Comissão, implica que:
a)
a abordagem «planear-efetuar-verificar-atuar» deve ser aplicada à implementação da política de segurança dos sistemas de informação durante todo o ciclo de vida do sistema de informação;
b)
as necessidades de segurança devem ser identificadas através de uma avaliação do impacto sobre as atividades;
c)
o sistema de informação e os dados nele contidos devem ser objeto de uma classificação formal dos ativos;
d)
devem ser implementadas todas as medidas de segurança obrigatórias, tal como determinadas pela política de segurança dos sistemas de informação;
e)
deve ser aplicado um processo de gestão de risco, que consiste nas seguintes etapas: identificação das ameaças e vulnerabilidades, avaliação do risco, tratamento do risco, aceitação do risco e comunicação do risco;
f)
deve ser definido, executado, verificado e reexaminado um plano de segurança que inclua a política de segurança e os procedimentos operacionais de segurança.
3. Todo o pessoal envolvido na conceção, desenvolvimento, ensaio, exploração, gestão ou utilização de SCI que manuseiem ICUE deve notificar à AAS todas as potenciais lacunas de segurança, incidentes, violações da segurança ou comprometimentos suscetíveis de ter impacto sobre a proteção do SCI e/ou as ICUE nele contidas.
4. Quando a proteção das ICUE for assegurada por produtos criptográficos, estes devem ser aprovados de acordo com o seguinte procedimento:
a)
é dada preferência aos produtos que tiverem sido aprovados pelo Conselho ou pelo Secretário-Geral do Conselho, na qualidade de Autoridade de Aprovação Criptográfica do Conselho, por recomendação do grupo de peritos de segurança da Comissão;
b)
quando tal se justifique por razões operacionais específicas, a Autoridade de Aprovação Criptográfica da Comissão (AAC) pode, por recomendação do grupo de peritos de segurança da Comissão, dispensar os requisitos previstos na alínea a) e conceder uma aprovação provisória para um período específico.
5. Durante a transmissão, tratamento e armazenamento de ICUE por via eletrónica, devem ser utilizados produtos criptográficos aprovados. Não obstante este requisito, podem ser aplicados procedimentos específicos, em situações de emergência ou em configurações técnicas específicas, após aprovação pela AAC.
6. São aplicadas medidas de segurança para proteger os SCI que manuseiem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior contra o risco de comprometimento de tais informações devido a emanações eletromagnéticas não intencionais («medidas de segurança TEMPEST»). Essas medidas de segurança devem ser proporcionais ao risco de exploração e ao nível de classificação das informações.
7. A Autoridade de Segurança da Comissão assume as seguintes funções:
-
Autoridade de GI (AGI),
-
Autoridade de Acreditação de Segurança (AAS),
-
Autoridade TEMPEST (AT),
-
Autoridade de Aprovação Criptográfica (AAC),
-
Autoridade de Distribuição Criptográfica (ADC).
8. A Autoridade de Segurança da Comissão deve designar, para cada sistema, a Autoridade Operacional de GI.
9. As responsabilidades inerentes às funções descritas nos n.os 7 e 8 são definidas nas regras de execução.
Artigo 37.o
Acreditação dos SCI que manuseiam ICUE
1. Todos os SCI que manuseiam ICUE devem ser objeto de um processo de acreditação, com base nos princípios da garantia da informação, cujo nível de pormenor deve ser proporcional ao nível de proteção exigido.
2. O processo de acreditação inclui a validação formal, pela AAS da Comissão, do plano de segurança para o SCI em causa, de modo a obter a garantia de que:
a)
o processo de gestão de risco referido no artigo 36.o, n.o 2, foi corretamente executado;
b)
o proprietário do sistema aceitou conscientemente o risco residual; e
c)
foi alcançado um nível de proteção suficiente do SCI e das ICUE nele manuseadas, em conformidade com a presente decisão.
3. A AAS da Comissão emite uma declaração de acreditação que determina o nível máximo de classificação das ICUE que podem ser manuseadas pelo SCI, bem como as respetivas modalidades e condições de execução. Tal não prejudica as tarefas confiadas ao Comité de Acreditação de Segurança definido no artigo 11.o do Regulamento (UE) n.o 512/2014 do Parlamento Europeu e do Conselho (12).
4. Um Comité Conjunto de Acreditação de Segurança (CAS) é responsável pela acreditação dos SCI da Comissão que envolvam várias partes. O Comité Conjunto é composto por um representante da AAS de cada parte interessada e presidido por um representante da AAS da Comissão.
5. O processo de acreditação consiste numa série de tarefas a executar pelas partes envolvidas. A responsabilidade pela preparação dos processos e da documentação de acreditação cabe inteiramente ao proprietário do SCI.
6. A acreditação é da responsabilidade da AAS da Comissão, que, a qualquer momento durante o ciclo de vida do SCI, tem o direito de:
a)
exigir a aplicação de um processo de acreditação;
b)
realizar uma auditoria ou inspeção do SCI;
c)
sempre que as condições de funcionamento deixem de estar preenchidas, exigir a definição e aplicação efetiva de um plano de melhoria da segurança, num calendário bem definido, retirando eventualmente a autorização de funcionamento do SCI até as condições de funcionamento voltarem a estar reunidas.
7. O processo de acreditação é estabelecido numa norma sobre o processo de acreditação dos SCI que manuseiam ICUE, que deve ser adotada em conformidade com o artigo 10.o, n.o 3, da Decisão C(2006) 3602.
Artigo 38.o
Circunstâncias de emergência
1. Não obstante o disposto no presente capítulo, os procedimentos específicos a seguir descritos podem ser aplicados numa emergência, nomeadamente em situações de crise iminente ou real, de conflito ou de guerra, ou em circunstâncias operacionais excecionais.
2. As ICUE podem ser transmitidas através de produtos criptográficos aprovados para um nível de classificação inferior, ou sem cifragem, com o consentimento da autoridade competente, se o prejuízo causado por um atraso for claramente mais grave do que o decorrente da eventual divulgação do material classificado, e se:
a)
o remetente e o destinatário não dispuserem do dispositivo de cifragem necessário; e
b)
o material classificado não puder ser enviado a tempo por outros meios.
3. As informações classificadas transmitidas nas circunstâncias referidas no n.o 1 não podem ostentar marcas nem indicações que as distingam de informações não classificadas ou de informações que possam ser protegidas por produtos de cifragem disponíveis. Os destinatários devem ser imediatamente notificados, por outros meios, do nível de classificação das informações.
4. Subsequentemente deve ser apresentado um relatório à autoridade competente e ao grupo de peritos de segurança da Comissão.
CAPÍTULO 6
SEGURANÇA INDUSTRIAL
Artigo 39.o
Princípios básicos
1. Entende-se por «segurança industrial» a aplicação de medidas destinadas a garantir a proteção das ICUE:
a)
no âmbito de contratos classificados, pelos:
i)
candidatos ou proponentes durante o concurso e o procedimento de adjudicação do contrato;
ii)
contratantes ou subcontratantes durante a vigência dos contratos classificados;
b)
no âmbito de convenções de subvenção classificadas, pelos:
i)
requerentes durante os procedimentos de concessão de subvenções;
ii)
beneficiários durante a vigência das convenções de subvenção classificadas.
2. Estes contratos ou convenções de subvenção não podem envolver informações com classificação TRÈS SECRET UE/EU TOP SECRET.
3. Salvo indicação em contrário, as disposições do presente capítulo referentes a contratos classificados ou contratantes são igualmente aplicáveis a subcontratos classificados ou subcontratantes.
Artigo 40.o
Definições
Para efeitos do presente capítulo, entende-se por:
a) «Contrato classificado»: um contrato-quadro ou contrato, tal como referido no Regulamento (CE, Euratom) n.o 1605/2002 do Conselho (13), celebrado pela Comissão ou um dos seus serviços com um contratante para o fornecimento de bens móveis ou imóveis, a execução de obras ou a prestação de serviços, cuja execução exija ou implique a produção, tratamento ou armazenamento de ICUE;
b) «Subcontrato classificado»: um contrato celebrado entre um contratante da Comissão ou de um dos seus serviços e outro contratante (ou seja, o subcontratante) para o fornecimento de bens móveis ou imóveis, a realização de obras ou a prestação de serviços, cuja execução exija ou implique a produção, tratamento ou armazenamento de ICUE;
c) «Convenção de subvenção classificada»: um acordo nos termos do qual a Comissão concede uma subvenção, como referida na parte I, título VI, do Regulamento (CE, Euratom) n.o 1605/2002, cuja execução exija ou implique a produção, tratamento ou armazenamento de ICUE;
d) «Autoridade de Segurança Designada» (ASD): autoridade responsável perante a Autoridade Nacional de Segurança (ANS) de um Estado-Membro que está encarregada de comunicar às entidades industriais ou outras a política nacional em todas as matérias relacionadas com a segurança industrial e de facultar orientação e prestar assistência na sua implementação. As funções de ASD podem ser desempenhadas pela ANS ou por qualquer outra autoridade competente.
Artigo 41.o
Procedimento aplicável aos contratos classificados ou às convenções de subvenção classificadas
1. Ao adjudicar contratos classificados ou ao conceder subvenções classificadas, cada serviço da Comissão, na qualidade de autoridade contratante, deve garantir a referência ou integração no contrato das normas mínimas de segurança industrial estabelecidas no presente capítulo, bem como o seu cumprimento.
2. Para efeitos do n.o 1, os serviços competentes da Comissão devem solicitar o parecer da Direção-Geral dos Recursos Humanos e da Segurança, nomeadamente da Direção da Segurança, e garantir que os modelos de contratos e subcontratos e os modelos de convenções de subvenção incluem disposições que refletem os princípios básicos e as normas mínimas aplicáveis à proteção das ICUE a respeitar pelos contratantes e subcontratantes e pelos beneficiários de subvenções, respetivamente.
3. A Comissão trabalha em estreita cooperação com as ANS, as ASD ou quaisquer outras autoridades competentes dos Estados-Membros em causa.
4. Sempre que uma autoridade contratante tencione lançar um procedimento com vista à celebração de um contrato classificado ou de uma convenção de subvenção classificada, deve solicitar o parecer da Autoridade de Segurança da Comissão sobre o caráter e os elementos classificados do procedimento, em todas as suas fases.
5. Após consulta do grupo de peritos de segurança da Comissão, devem ser estabelecidos nas regras de execução em matéria de segurança industrial os modelos de contratos e subcontratos classificados, de convenções de subvenção classificadas, de anúncios de contrato, as orientações sobre as circunstâncias em que é necessária uma Credenciação de Segurança da Empresa (CSE), as instruções de segurança do programa ou projeto (ISP), as Cláusulas Adicionais de Segurança (CAS), as visitas, a transmissão e transporte de ICUE no âmbito de contratos classificados ou de convenções de subvenção classificadas.
6. A Comissão pode celebrar contratos classificados ou convenções de subvenção classificadas no âmbito dos quais sejam confiadas tarefas, que envolvam ou impliquem o acesso a ICUE ou o seu manuseamento ou armazenamento, a operadores económicos registados num Estado-Membro ou num Estado terceiro com o qual tenha sido celebrado um acordo ou um convénio administrativo, em conformidade com o capítulo 7 da presente decisão.
Artigo 42.o
Elementos de segurança num contrato classificado ou numa convenção de subvenção classificada
1. Os contratos classificados e as convenções de subvenção classificadas devem incluir os seguintes elementos de segurança:
Instruções de Segurança do Programa ou Projeto
a)
«Instruções de Segurança do Programa ou Projeto» (ISP): lista de procedimentos de segurança que são aplicados a um programa ou projeto específico a fim de normalizar os procedimentos de segurança. As ISP podem ser revistas em qualquer fase do programa ou projeto;
b)
a Direção-Geral dos Recursos Humanos e da Segurança elabora ISP genéricas. Os serviços da Comissão responsáveis pelos programas ou projetos que impliquem o manuseamento ou armazenamento de ICUE podem, se for caso disso, elaborar ISP específicas, baseadas nas ISP genéricas;
c)
são elaboradas ISP específicas, em especial para os programas e projetos caracterizados pelo seu grande alcance, dimensão ou complexidade ou pela multiplicidade e/ou diversidade dos contratantes, beneficiários e outros parceiros e interessados, por exemplo no que respeita ao seu estatuto jurídico. As ISP específicas devem ser elaboradas pelo(s) seviço(s) da Comissão que gere(m) o programa ou projeto, em estreita colaboração com a Direção-Geral dos Recursos Humanos e da Segurança;
d)
a Direção-Geral dos Recursos Humanos e da Segurança submete à apreciação do grupo de peritos de segurança da Comissão tanto as ISP genéricas como as específicas.
Cláusulas Adicionais de Segurança
a)
«Cláusula Adicional de Segurança» (CAS): condições contratuais especiais emitidas pela autoridade contratante que fazem parte integrante de um contrato classificado que implica o acesso a ICUE ou a sua produção, e nas quais são identificados os requisitos de segurança e as partes do contrato que exigem proteção de segurança;
b)
os requisitos de segurança específicos de determinado contrato são descritos numa CAS. Esta CAS compreende, sempre que necessário, o Guia da Classificação de Segurança (GCS) e faz parte integrante do contrato ou subcontrato classificado ou da convenção de subvenção classificada;
c)
a CAS contém disposições que exigem que o contratante ou o beneficiário cumpram as normas mínimas estabelecidas na presente decisão. A autoridade contratante deve certificar-se de que o CAS determina que o incumprimento dessas normas mínimas pode constituir motivo suficiente para a denúncia do contrato ou da convenção de subvenção.
2. Tanto as ISP como a CAS devem conter um GCS como elemento de segurança obrigatório:
a)
«Guia da Classificação de Segurança» (GCS): um documento que descreve as partes classificadas do programa, projeto, contrato ou convenção de subvenção, especificando os níveis da classificação de segurança aplicáveis. O GCS pode ser alargado durante a vigência do programa, projeto, contrato ou convenção de subvenção e as informações podem ser reclassificadas ou desgraduadas; quando existe um GCS, este faz parte integrante das CAS.
b)
antes de abrir concursos ou de adjudicar contratos classificados, o serviço da Comissão determina, enquanto autoridade contratante, qual a classificação de segurança de todas as informações a fornecer aos candidatos e proponentes ou contratantes, bem como de todas as informações a produzir pelos contratantes. Para o efeito, elabora um GCS para ser utilizado na execução do contrato, em conformidade com a presente decisão e as suas regras de execução, após consulta da Autoridade de Segurança da Comissão.
c)
para determinar qual a classificação de segurança das várias partes de um contrato classificado, são aplicáveis os seguintes princípios:
i)
na elaboração do GCS, o serviço da Comissão, enquanto autoridade contratante, tem em consideração todos os aspetos de segurança pertinentes, nomeadamente a classificação de segurança atribuída às informações fornecidas e aprovadas pela respetiva entidade de origem para utilização no âmbito do contrato;
ii)
o nível global de classificação do contrato não pode ser inferior à classificação mais elevada de qualquer das suas partes; e
iii)
se necessário, a autoridade contratante contacta, através da Autoridade de Segurança da Comissão, as ANS, ASD ou quaisquer outras autoridades de segurança competentes dos Estados-Membros quando houver alguma alteração à classificação das informações produzidas pelos contratantes ou a estes fornecidas na execução de um contrato e quando pretender fazer alterações ao GCS.
Artigo 43.o
Acesso a ICUE por parte do pessoal dos contratantes e dos beneficiários
A autoridade contratante ou que concede a subvenção deve assegurar que o contrato classificado ou a convenção de subvenção classificada contenha disposições que determinem que o acesso a ICUE só deve ser concedido ao pessoal de um contratante, subcontratante ou beneficiário que, para a execução do contrato, subcontrato ou convenção de subvenção classificado, solicitar tal acesso se:
a)
a pessoa possuir uma autorização de segurança para o nível adequado ou outra autorização devidamente emitida em que tenha ficado comprovada a sua necessidade de tomar conhecimento das informações;
b)
a pessoa tiver sido informada das regras de segurança aplicáveis à proteção das ICUE e tiver reconhecido as suas responsabilidades no que respeita à proteção dessas informações;
c)
a pessoa possuir uma credenciação de segurança ao nível adequado para informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET emitida pela respetiva ANS, ASD ou qualquer outra autoridade competente.
Artigo 44.o
Credenciação de Segurança da Empresa
«Credenciação de Segurança da Empresa» (CSE): decisão administrativa, emitida por uma ANS, ASD ou qualquer outra autoridade de segurança competente, de que, do ponto de vista da segurança, determinada empresa está apta a garantir um nível adequado de proteção das ICUE com determinado nível de classificação de segurança.
2. Uma CSE concedida pela ANS, ASD ou qualquer outra autoridade de segurança competente de um Estado-Membro para indicar, em conformidade com as disposições legislativas e regulamentares nacionais, que um operador económico está em condições de proteger as ICUE ao nível de classificação adequado (CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET) dentro das respetivas instalações deve ser apresentada à Autoridade de Segurança da Comissão que, por sua vez, a transmite ao serviço da Comissão, na qualidade de autoridade contratante ou que concede a subvenção, antes de poder ser facultado acesso a ICUE a um candidato, proponente ou contratante, ou a um requerente ou beneficiário de uma subvenção.
3. Se necessário, a autoridade contratante informa, através da Autoridade de Segurança da Comissão, a ANS, ASD, ou qualquer outra autoridade de segurança competente, de que é necessária uma CSE para a execução do contrato. É exigida uma CSE ou uma CSP quando tiverem de ser fornecidas ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET durante o procedimento de adjudicação do contrato ou de concessão da subvenção.
4. A autoridade contratante ou que concede a subvenção não adjudica um contrato classificado nem celebra uma convenção de subvenção com o proponente ou participante preferido antes de ter recebido, da ANS, ASD ou qualquer outra autoridade de segurança competente do Estado-Membro em que o contratante ou subcontratante em causa esteja registado, confirmação de que, sendo exigível, foi emitida a CSE adequada.
5. Quando a Autoridade de Segurança da Comissão tiver sido notificada pela ANS, a ASD ou qualquer outra autoridade de segurança competente que tenha emitido uma CSE de qualquer alteração que afete a CSE, deve informar o serviço da Comissão, na qualidade de autoridade contratante ou que concede a subvenção. No caso da subcontratação, é informada em conformidade a ANS, a ASD ou qualquer outra autoridade de segurança competente.
6. A retirada de uma CSE pela ANS, a ASD ou qualquer outra autoridade de segurança competente constitui motivo suficiente para que a autoridade contratante ou que concede a subvenção ponha termo a um contrato classificado ou exclua do procedimento concorrencial um candidato, proponente ou requerente de subvenção. Deve ser incluída uma disposição para o efeito nos modelos de contrato e nas convenções de subvenção.
Artigo 45.o
Disposições a incluir nos contratos classificados e nas convenções de subvenção classificadas
1. Quando forem fornecidas ICUE a um candidato, proponente ou requerente de subvenção durante o procedimento de contratação, o anúncio de concurso ou o convite à apresentação de propostas deve conter uma disposição que obrigue o candidato, proponente ou requerente de subvenção que não chegue a apresentar uma proposta ou não seja selecionado a devolver todos os documentos classificados num prazo determinado.
2. A autoridade contratante ou que concede a subvenção deve notificar, através da Autoridade de Segurança da Comissão, a ANS, ASD ou qualquer outra autoridade de segurança competente de que foi adjudicado um contrato classificado ou celebrada uma convenção de subvenção classificada, bem como os dados relevantes, como o nome do(s) contratante(s) ou dos beneficiários, a duração do contrato e o nível máximo de classificação.
3. Quando tais contratos ou convenções de subvenção chegarem ao termo, a autoridade contratante ou que concede a subvenção deve notificar imediatamente do facto, através da Autoridade de Segurança da Comissão, a ANS, a ASD ou qualquer outra autoridade de segurança competente do Estado-Membro em que o contratante ou o beneficiário da subvenção esteja registado.
4. No termo do contrato classificado ou da convenção de subvenção classificada, ou da participação de um beneficiário de uma subvenção, o contratante ou o beneficiário da subvenção deve, regra geral, restituir à autoridade contratante ou que concede a subvenção quaisquer ICUE que se encontrem na sua posse.
5. São estabelecidas na CAS disposições específicas referentes à eliminação das ICUE durante a fase de execução ou após o termo do contrato classificado ou da convenção de subvenção classificada.
6. Quando o contratante ou beneficiário de uma subvenção for autorizado a conservar ICUE após o termo de um contrato classificado ou de uma convenção de subvenção classificada, as normas mínimas estabelecidas na presente decisão devem continuar a ser cumpridas e a confidencialidade das ICUE protegida pelo contratante ou beneficiário de uma subvenção.
Artigo 46.o
Disposições específicas a incluir nos contratos classificados
1. As condições para a proteção das ICUE ao abrigo das quais os contratantes podem subcontratar devem ser definidas no anúncio de concurso e no contrato classificado.
2. Antes de procederem à subcontratação de qualquer parte de um contrato classificado, os contratantes devem obter a autorização da autoridade contratante. Nenhum subcontrato que implique o acesso a ICUE pode ser adjudicado a subcontratantes registados num país terceiro, exceto se existir um quadro regulamentar para a segurança das informações, como previsto no capítulo 7.
3. O contratante é responsável por garantir que todas as atividades de subcontratação respeitam as normas mínimas estabelecidas na presente decisão e não pode fornecer ICUE a nenhum subcontratante sem o prévio consentimento escrito da autoridade contratante.
4. A Comissão é considerada a entidade de origem das ICUE produzidas ou manuseadas pelo contratante, sendo os direitos que lhe incumbem exercidos pela autoridade contratante.
Artigo 47.o
Visitas associadas a contratos classificados
1. Quando o pessoal da Comissão ou de quaisquer contratantes ou beneficiários de subvenções precise de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações uns dos outros para a execução de um contrato classificado ou de uma convenção de subvenção classificada, são organizadas visitas, em ligação com as ANS, ASD ou quaisquer outras autoridades de segurança competentes a que o assunto diga respeito. A Autoridade de Segurança da Comissão deve ser informada dessas visitas. Todavia, no contexto de determinados programas ou projetos, as ANS, ASD, ou quaisquer outras autoridades de segurança competentes podem também aprovar um procedimento segundo o qual as visitas dessa natureza podem ser organizadas diretamente.
2. Para aceder às ICUE relacionadas com o contrato classificado, todos os visitantes devem possuir a devida credenciação de segurança e ter «necessidade de tomar conhecimento» dessas informações.
3. Apenas será concedido aos visitantes acesso às ICUE relacionadas com a finalidade da visita.
4. As regras de execução estabelecem disposições mais pormenorizadas.
5. É obrigatório o cumprimento das disposições relativas às visitas relacionadas com contratos classificados, estabelecidas na presente decisão e nas regras de execução referidas no n.o 4.
Artigo 48.o
Transmissão e transporte de ICUE associados a contratos classificados ou convenções de subvenção classificadas
1. Para efeitos de transmissão de ICUE por meios eletrónicos, são aplicáveis as disposições pertinentes do capítulo 5 da presente decisão.
2. Para efeitos de transporte de ICUE, são aplicáveis as disposições pertinentes do capítulo 4 da presente decisão e das suas regras de execução, em conformidade com as disposições legislativas e regulamentares nacionais.
3. Para o transporte de material classificado como mercadoria, são aplicados os seguintes princípios aquando da determinação dos mecanismos de segurança:
a)
deve ser garantida a segurança em todas as fases do transporte, desde o ponto de origem até ao destino final;
b)
o grau de proteção atribuído a uma remessa é determinado pelo nível de classificação mais elevado do material nela contido;
c)
antes de qualquer transporte transnacional de material com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, o expedidor elabora um plano de transporte, que deve ser aprovado pela ANS, ASD ou qualquer outra autoridade de segurança competente;
d)
na medida do possível, os transportes devem ser diretos e efetuados tão rapidamente quanto as circunstâncias o permitam;
e)
sempre que possível, os itinerários apenas devem atravessar o território de Estados-Membros. Só devem atravessar Estados terceiros quando tal for autorizado pelas ANS, ASD ou quaisquer outras autoridades de segurança competentes dos Estados do expedidor e do destinatário.
Artigo 49.o
Transferência de ICUE para contratantes ou beneficiários de subvenções estabelecidos em Estados terceiros
A transferência de ICUE para contratantes ou beneficiários de subvenções estabelecidos em Estados terceiros deve ser feita em conformidade com as medidas de segurança acordadas entre a Autoridade de Segurança da Comissão, o serviço da Comissão, enquanto autoridade contratante ou que concede a subvenção, e a ANS, ASD ou outra autoridade de segurança competente do país terceiro em que o contratante ou beneficiário de subvenção se encontre registado.
Artigo 50.o
Manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED no contexto de contratos classificados ou de convenções de subvenção classificadas
1. A proteção das informações com classificação RESTREINT UE/EU RESTRICTED manuseadas ou armazenadas no âmbito de contratos classificados ou convenções de subvenção classificadas baseia-se nos princípios da proporcionalidade e da relação custo-eficácia.
2. Não são necessárias CSE ou CSP no contexto de contratos classificados ou convenções de subvenção classificadas que impliquem o manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED.
3. Quando um contrato ou convenção de subvenção implique o manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED num SCI explorado por um contratante ou beneficiário de subvenção, a autoridade contratante ou que concede a subvenção assegura, após consulta da Autoridade de Segurança da Comissão, que o contrato ou convenção de subvenção especifique os requisitos técnicos e administrativos necessários à acreditação ou aprovação do SCI que sejam proporcionais ao risco avaliado, tendo em conta todos os fatores pertinentes. O alcance da acreditação ou aprovação do SCI é acordado entre a Autoridade de Segurança da Comissão e a ANS ou ASD competente.
CAPÍTULO 7
INTERCÂMBIO DE INFORMAÇÕES CLASSIFICADAS COM OUTRAS INSTITUIÇÕES, AGÊNCIAS, ORGANISMOS E SERVIÇOS DA UNIÃO, COM OS ESTADOS-MEMBROS E COM ESTADOS TERCEIROS E ORGANIZAÇÕES INTERNACIONAIS
Artigo 51.o
Princípios básicos
1. Caso a Comissão ou um dos seus serviços determine que existe a necessidade de proceder ao intercâmbio de ICUE com outra instituição, agência, organismo ou serviço da União, ou com um Estado terceiro ou uma organização internacional, são dados os passos necessários para estabelecer um quadro jurídico ou administrativo adequado para o efeito, que podem incluir acordos de segurança das informações ou convénios administrativos, celebrados em conformidade com a regulamentação pertinente.
2. Sem prejuízo do disposto no artigo 57.o, as ICUE só podem ser objeto de intercâmbio com outra instituição, agência, organismo ou serviço da União, ou com um Estado terceiro ou organização internacional, se estiver em vigor esse quadro jurídico ou administrativo adequado e se houver garantias suficientes de que a instituição, agência, organismo ou serviço da União, ou o Estado terceiro ou organização internacional em causa aplica princípios básicos e normas mínimas de proteção das informações classificadas equivalentes.
Artigo 52.o
Intercâmbio de ICUE com outras instituições, agências, organismos e serviços da União
1. Antes de celebrar um convénio administrativo para o intercâmbio de ICUE com outra instituição, agência, órgão ou serviço da União, a Comissão deve certificar-se de que a instituição agência, organismo ou serviço da União em causa:
a)
dispõe de um quadro regulamentar para a proteção das ICUE que estabeleça princípios básicos e normas mínimas equivalentes aos estabelecidos na presente decisão e nas suas regras de execução;
b)
aplica normas de segurança e orientações relativas à segurança do pessoal, à segurança física, à gestão das ICUE e à segurança dos sistemas de comunicação e informação (SCI) que garantam um nível de proteção das ICUE equivalente ao alcançado na Comissão.
c)
marca as informações classificadas que produz como ICUE.
2. A Direção-Geral dos Recursos Humanos e da Segurança, em estreita cooperação com outros serviços competentes da Comissão, é o serviço responsável na Comissão pela celebração de convénios administrativos para o intercâmbio de ICUE com outras instituições, agências, organismos ou serviços da União.
3. Regra geral, os convénios administrativos assumem a forma de troca de cartas, assinadas pelo Diretor-Geral dos Recursos Humanos e da Segurança, em nome da Comissão.
4. Antes de celebrar um convénio administrativo sobre o intercâmbio de ICUE, a Autoridade de Segurança da Comissão efetua uma visita de avaliação destinada a avaliar o quadro regulamentar para a proteção das ICUE e a determinar a eficácia das medidas de proteção das ICUE aplicadas. O convénio administrativo só entra em vigor e só se procede ao intercâmbio de ICUE se o resultado desta visita for satisfatório e se as recomendações feitas após a visita tiverem sido respeitadas. Deve ser efetuado um acompanhamento regular das visitas de avaliação a fim de verificar se o convénio administrativo é respeitado e se as medidas de segurança em vigor continuam a respeitar os princípios de base e as normas mínimas acordadas.
5. Na Comissão, o registo de ICUE gerido pelo Secretariado-Geral deve, regra geral, ser o principal ponto de entrada e de saída para os intercâmbios de informações classificadas com outra instituição, agência, organismo ou serviço da União. Se, no entanto, por razões de segurança, organizativas ou operacionais for mais adequado para proteger as ICUE, determinados registos locais de ICUE estabelecidos nos serviços da Comissão em conformidade com a presente decisão e com as suas regras de execução devem funcionar como ponto de entrada e de saída das informações classificadas relativas a matérias da competência dos serviços em causa.
6. O grupo de peritos de segurança da Comissão deve ser informado do processo de celebração de convénios administrativos, em conformidade com o n.o 2.
Artigo 53.o
Intercâmbio de ICUE com os Estados-Membros
1. As ICUE podem ser objeto de intercâmbio e comunicadas aos Estados-Membros, desde que estes protejam essas informações em conformidade com os requisitos aplicáveis às informações classificadas que ostentam uma classificação de segurança nacional de nível equivalente, de acordo com a tabela de equivalências das classificações de segurança constante do anexo I.
2. Quando os Estados-Membros introduzem nas estruturas ou redes da União Europeia informações classificadas que ostentem uma marca de classificação de segurança nacional, a Comissão deve proteger essas informações em conformidade com os requisitos aplicáveis às ICUE de nível equivalente, de acordo com a tabela de equivalências das classificações de segurança constante do anexo I.
Artigo 54.o
Intercâmbio de ICUE com Estados terceiros e organizações internacionais
1. Caso a Comissão determine que existe a necessidade, a longo prazo, de proceder ao intercâmbio de informações classificadas com Estados terceiros ou organizações internacionais, são dados os passos necessários para estabelecer um quadro jurídico ou administrativo adequado para o efeito, que podem incluir acordos de segurança das informações ou convénios administrativos, celebrados em conformidade com a regulamentação pertinente.
2. Os acordos de segurança das informações e os convénios administrativos referidos no n.o 1 devem conter disposições destinadas a assegurar que, ao receberem ICUE, os Estados terceiros e as organizações internacionais concedem a essas informações uma proteção que seja adequada ao respetivo nível de classificação e obedeça a normas mínimas equivalentes às estabelecidas na presente decisão.
3. A Comissão pode celebrar convénios administrativos em conformidade com o artigo 56.o quando o nível de classificação das ICUE não seja, regra geral, superior a RESTREINT UE/EU RESTRICTED.
4. Os convénios administrativos para o intercâmbio de informações classificadas referidos no n.o 3 devem conter disposições destinadas a assegurar que, ao receberem ICUE, os Estados terceiros ou organizações internacionais concedam a essas informações uma proteção que seja adequada ao respetivo nível de classificação e obedeça a normas mínimas equivalentes às estabelecidas na presente decisão. O grupo de peritos de segurança da Comissão deve ser consultado relativamente à celebração de acordos de segurança das informações ou de convénios administrativos.
5. A decisão de comunicar ICUE emanadas da Comissão a um Estado terceiro ou organização internacional é tomada, caso a caso, pelo serviço da Comissão, enquanto entidade de origem dessas ICUE na Comissão, em função da natureza e do teor dessas informações, da necessidade do destinatário de tomar conhecimento das mesmas e das vantagens que daí advenham para a União. Se as informações classificadas cuja comunicação se pretende, ou o material de referência que possam conter, não emanarem da Comissão, o serviço da Comissão que detém essas informações classificadas deve solicitar à entidade de origem que dê, por escrito, o consentimento prévio para a sua comunicação. Se não for possível determinar a entidade de origem, o serviço da Comissão que detém essas informações classificadas assume a responsabilidade em seu lugar, após consulta do grupo de peritos de segurança da Comissão.
Artigo 55.o
Acordos de segurança das informações
1. Os acordos de segurança das informações com Estados terceiros ou organizações internacionais são celebrados em conformidade com o artigo 218.o do TFUE.
2. Os acordos de segurança das informações devem:
a)
estabelecer os princípios básicos e as normas mínimas aplicáveis ao intercâmbio de informações classificadas entre a União e os Estados terceiros ou organizações internacionais;
b)
prever modalidades técnicas de execução a acordar entre as autoridades de segurança competentes das instituições e organismos pertinentes da União e a autoridade de segurança competente do Estado terceiro ou organização internacional em questão. Essas modalidades devem ter em conta o nível de proteção previsto nas regras, estruturas e procedimentos de segurança existentes no Estado terceiro ou organização internacional em causa;
c)
estabelecer que, antes de se proceder ao intercâmbio de informações classificadas ao abrigo do acordo, deve determinar-se que a parte destinatária está em condições de proteger e salvaguardar adequadamente as informações classificadas que lhe forem comunicadas.
3. A Comissão consulta, quando for definida nos termos do artigo 51.o, n.o 1, uma necessidade de intercâmbio de informações classificadas, o Serviço Europeu para a Ação Externa, o Secretariado-Geral do Conselho e outras instituições e organismos da União, conforme adequado, a fim de avaliar se deve ser apresentada uma recomendação nos termos do artigo 218.o, n.o 3 do TFUE.
4. Não podem ser trocadas ICUE por meios eletrónicos, a não ser que tal se encontre expressamente previsto no acordo de segurança das informações ou nas modalidades técnicas de execução.
5. Na Comissão, o registo de ICUE gerido pelo Secretariado-Geral deve, regra geral, ser o principal ponto de entrada e de saída para os intercâmbios de informações classificadas com Estados terceiros e organizações internacionais. Se, no entanto, por razões de segurança, organizativas ou operacionais for mais adequado para proteger as ICUE, determinados registos locais de ICUE estabelecidos nos serviços da Comissão em conformidade com a presente decisão e com as suas regras de execução devem funcionar como ponto de entrada e de saída das informações classificadas relativas a matérias da competência dos serviços em causa.
6. A fim de avaliar a eficácia das regras, estruturas e procedimentos de segurança existentes no Estado terceiro ou organização internacional em questão, a Comissão participa em visitas de avaliação, em colaboração com outras instituições, agências ou organismos da União, e de comum acordo com o Estado terceiro ou organização internacional em questão. Essas visitas de avaliação devem avaliar:
a)
o quadro regulamentar aplicável à proteção das informações classificadas;
b)
quaisquer características específicas da política de segurança e a forma como se encontra organizada a segurança no Estado terceiro ou organização internacional que possam ser determinantes para o nível de classificação das informações suscetíveis de intercâmbio;
c)
as medidas e os procedimentos de segurança efetivamente aplicados; e
d)
os procedimentos de credenciação de segurança para o nível de ICUE a comunicar.
Artigo 56.o
Convénios administrativos
1. Quando exista, a longo prazo, no contexto de um quadro político ou jurídico da União, necessidade de proceder ao intercâmbio de informações com classificação, regra geral, não superior a RESTREINT UE/EU RESTRICTED com um Estado terceiro ou organização internacional, e a Autoridade de Segurança da Comissão, após consulta do grupo de peritos de segurança, tenha determinado, em especial, que a outra parte interessada não dispõe de um sistema de segurança suficientemente desenvolvido para que seja possível celebrar um acordo de segurança das informações, a Comissão pode decidir celebrar um convénio administrativo com as autoridades competentes do Estado terceiro ou organização internacional em questão.
2. Regra geral, estes convénios administrativos assumem a forma de troca de cartas.
3. É efetuada uma visita de avaliação antes da celebração do convénio. O grupo de peritos de segurança da Comissão deve ser informado dos resultados da visita de avaliação. Se houver razões de carácter excecional para o intercâmbio urgente de informações classificadas, as ICUE podem ser comunicadas, desde que sejam envidados todos os esforços para a realização de uma visita de avaliação o mais rapidamente possível.
4. Não podem ser trocadas ICUE por meios eletrónicos, a não ser que tal se encontre expressamente previsto no convénio administrativo.
Artigo 57.o
Comunicação ad hoc de ICUE a título excecional
1. Se não estiver em vigor qualquer acordo de segurança das informações ou convénio administrativo, e se a Comissão ou um dos seus serviços constatar a necessidade excecional, no contexto de um quadro político ou jurídico da União, de comunicar ICUE a um Estado terceiro ou organização internacional, a Autoridade de Segurança da Comissão deve, na medida do possível, verificar junto das autoridades de segurança do Estado terceiro ou organização internacional em questão se as respetivas regras, estruturas e procedimentos de segurança são capazes de garantir que as ICUE que lhes forem comunicadas serão protegidas segundo normas não menos rigorosas do que as estabelecidas na presente decisão.
2. A decisão de comunicar as ICUE ao Estado terceiro ou organização internacional em questão deve ser tomada pela Comissão, após consulta do grupo de peritos de segurança da Comissão, com base numa proposta apresentada pelo membro da Comissão responsável pelas questões de segurança.
3. Na sequência da decisão da Comissão de comunicar ICUE e sob reserva do consentimento prévio por escrito da entidade de origem, incluindo as entidades de origem do material de referência que as informações possam conter, o serviço competente da Comissão transmite as informações em causa, que devem ostentar uma marca relativa à comunicabilidade indicando o Estado terceiro ou organização internacional a que as ICUE foram comunicadas. Antes da comunicação ou no momento em que esta é efetuada, a parte terceira em questão deve assumir o compromisso, por escrito, de proteger as ICUE que receber em conformidade com os princípios básicos e as normas mínimas estabelecidos na presente decisão.
CAPÍTULO 8
DISPOSIÇÕES FINAIS
Artigo 58.o
Substituição de anteriores decisões
A presente decisão revoga e substitui a Decisão 2001/844/CE, CECA, Euratom da Comissão (14).
Artigo 59.o
Informações classificadas produzidas antes da entrada em vigor da presente decisão
1. Todas as ICUE classificadas em conformidade com a Decisão 2001/844/CE, CECA, Euratom devem continuar a ser protegidas em conformidade com as disposições pertinentes da presente decisão.
2. Todas as informações classificadas na posse da Comissão na data em que a Decisão 2001/844/CE, CECA, Euratom entrou em vigor, com exceção das informações classificadas da Euratom devem:
a)
se tiverem sido produzidas pela Comissão, continuar a ser subsidiariamente consideradas como tendo sido reclassificadas RESTREINT UE, a não ser que o seu autor tivesse decidido atribuir-lhes outra classificação até 31 de janeiro de 2002 e tivesse informado todos os destinatários do documento em causa;
b)
se tiverem sido produzidas por autores exteriores à Comissão, conservar a sua classificação inicial e, por conseguinte, ser tratadas como ICUE de nível equivalente, a não ser que os seus autores concordem com a desclassificação ou desgraduação das informações.
Artigo 60.o
Regras de execução e indicações de segurança
1. Quando necessário, a adoção das regras de execução da presente decisão deve ser objeto de uma decisão separada de delegação de poderes da Comissão em favor do membro da Comissão responsável pelas questões de segurança, em plena conformidade com o regulamento interno.
2. Após ter sido habilitado na sequência da referida decisão da Comissão, o membro da Comissão responsável pelas questões de segurança pode elaborar indicações de segurança que definam orientações de segurança e boas práticas abrangidas pelo âmbito de aplicação da presente decisão e das suas regras de execução.
3. A Comissão pode delegar as tarefas referidas nos n.os 1 e 2 no Diretor-Geral dos Recursos Humanos e da Segurança por meio de uma decisão de delegação separada, em plena conformidade com o regulamento interno.
Artigo 61.o
Entrada em vigor
A presente decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
Feito em Bruxelas, em 13 de março de 2015.