ROZHODNUTÍ RADY
ze dne 23. září 2013
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2013/488/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada, Komise a Evropská služba pro vnější činnosti (ESVČ) se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, instituce nebo jiné subjekty Unie případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Rada by měla stanovit vhodný rámec pro případné sdílení utajovaných informací EU v držení Rady s dalšími orgány, institucemi nebo jinými subjekty Unie, a to v souladu s tímto rozhodnutím a platnými interinstitucionálními ujednáními.
(7)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU by měly v rámci své vnitřní organizace uplatňovat instituce a agentury Unie zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii (dále jen „Smlouva o EU“), Europol a Eurojust, je-li tak stanoveno v aktu, jímž jsou zřízeny.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měla být uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky, je-li tak stanoveno v aktu Rady, jímž jsou tyto operace zřízeny.
(9)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měli uplatňovat zvláštní zástupci EU a členové jejich týmů, je-li tak stanoveno v příslušném aktu Rady.
(10)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(11)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie.
(12)
Aby bylo uplatňování bezpečnostních pravidel na ochranu utajovaných informací EU zajištěno včas se zřetelem k přistoupení Chorvatska k Evropské unii, mělo by toto rozhodnutí vstoupit v platnost dnem vyhlášení,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a)
TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b)
SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c)
CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d)
RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozbě škodlivých nebo trestných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečnostní politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti vyžadují, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším nebo s nimi nakládaly, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Tyto osoby musí obdržet od orgánu generálního sekretariátu Rady oprávněného ke jmenování oprávnění pro přístup k utajovaným informacím EU až do konkrétního stupně utajení a do konkrétního data.
4. Pracovníci členských států uvedení v čl. 15 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací a odhalovat takové ohrožení nebo ztrátu informací. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, snížení nebo zrušení stupně utajení, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v přílohách III a IV.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů představuje jistotu, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny bezpečnostními opatřeními proti ohrožení dotyčných informací kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“). Tato bezpečnostní opatření jsou přiměřená riziku zneužití a stupni utajení daných informací.
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady (dále jen „generální tajemník“) jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Aniž je dotčeno písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 13 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v příslušném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Sdílení utajovaných informací EU
1. Rada stanoví podmínky, za nichž může sdílet utajované informace EU, které má ve svém držení, s dalšími institucemi, orgány nebo jinými subjekty Unie. Za tímto účelem je možné zavést vhodný rámec, mimo jiné i uzavřením interinstitucionálních dohod či jiných ujednání, pokud je to k uvedenému účelu nezbytné.
2. Jakýkoli takový rámec zajistí, aby utajovaným informacím EU byla poskytnuta ochrana odpovídající jejich stupni utajení a v souladu se základními zásadami a minimálními standardy, které musí být rovnocenné zásadám a standardům stanoveným v tomto rozhodnutí.
Článek 13
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Unie uzavře se třetími státy nebo mezinárodními organizacemi dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může jménem generálního sekretariátu Rady uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro Unii. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem ověření účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 14
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme vnitrostátní bezpečnostní orgán nebo jiný příslušný orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů Unie a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 15
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání bude v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 16
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 13 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytnutí utajovaných informací EU, jejichž původcem nebo držitelem je Rada, třetím státům a mezinárodním organizacím nebo rozhodnutí o poskytnutí takového souhlasu, a to v souladu se zásadou souhlasu původce;
c)
roční program hodnotících návštěv doporučený Bezpečnostním výborem, zahrnující hodnotící návštěvy služeb a prostor členských států, institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, a hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
vydává úředníkům a ostatním zaměstnancům generálního sekretariátu Rady, jakož i vyslaným národním odborníkům oprávnění k přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším v souladu s čl. 7 odst. 3;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné návštěvy za účelem hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v institucích, agenturách a útvarech Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelná hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
zajišťuje v případě potřeby koordinaci bezpečnostních opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením, a
i)
uzavírá správní ujednání podle čl. 13 odst. 2 písm. b).
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 15 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán, jak je uvedeno v dodatku C, odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována či hodnocena,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí, a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané zejména ze strany institucí, agentur a útvarů a operací Unie zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i ze strany zvláštních zástupců EU a členů jejich týmů, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 17
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a ESVČ. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 18
Nahrazení předchozích rozhodnutí
1. Tímto rozhodnutím se zrušuje a nahrazuje rozhodnutí Rady 2011/292/EU (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES (3) a rozhodnutí 2011/292/EU jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 19
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 23. září 2013.
ROZHODNUTIE RADY
z 23. septembra 2013
o bezpečnostných predpisoch na ochranu utajovaných skutočností EÚ
(2013/488/EÚ)
RADA EURÓPSKEJ ÚNIE,
so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 240 ods. 3,
so zreteľom na rozhodnutie Rady 2009/937/EÚ z 1. decembra 2009, ktorým sa prijíma rokovací poriadok Rady (1), a najmä na jeho článok 24,
keďže:
(1)
S cieľom rozvíjať aktivity Rady vo všetkých oblastiach, ktoré si vyžadujú manipuláciu s utajovanými skutočnosťami, je vhodné ustanoviť komplexný bezpečnostný systém na ochranu utajovaných skutočností vzťahujúci sa na Radu, jej generálny sekretariát a členské štáty.
(2)
Toto rozhodnutie by sa malo uplatňovať, keď Rada, jej prípravné orgány a Generálny sekretariát Rady (GSR) manipulujú s utajovanými skutočnosťami EÚ.
(3)
Členské štáty by v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi a v rozsahu potrebnom pre fungovanie Rady mali dodržiavať toto rozhodnutie, keď ich príslušné orgány, personál alebo dodávatelia manipulujú s utajovanými skutočnosťami EÚ, aby sa každému poskytlo ubezpečenie o tom, že pre utajované skutočnosti EÚ je zabezpečená rovnaká úroveň ochrany.
(4)
Rada, Komisia a Európska služba pre vonkajšiu činnosť (ESVČ) sa zaviazali, že budú uplatňovať rovnaké bezpečnostné normy na ochranu utajovaných skutočností EÚ.
(5)
Rada vyzdvihuje význam vhodného zapojenia Európskeho parlamentu a ostatných inštitúcií, orgánov, úradov alebo agentúr Únie do uplatňovania zásad, noriem a predpisov týkajúcich sa ochrany utajovaných skutočností, ktoré sú potrebné na ochranu záujmov Únie a jej členských štátov.
(6)
Rada by mala stanoviť vhodný rámec na prípadnú výmenu utajovaných skutočností EÚ, ktoré uchováva Rada, s ostatnými inštitúciami, orgánmi, úradmi alebo agentúrami Únie v súlade s týmito rozhodnutím a platnými medziinštitucionálnymi dojednaniami.
(7)
Orgány a agentúry Únie zriadené na základe hlavy V kapitoly 2 Zmluvy o Európskej únii (Zmluva o EÚ), Europol a Eurojust by mali v rámci svojej vnútornej organizácie uplatňovať základné zásady a minimálne normy ustanovené v tomto rozhodnutí na ochranu utajovaných skutočností EÚ, ak sa to ustanovuje v akte, ktorým sa zriaďujú.
(8)
Na operácie krízového riadenia vykonávané na základe hlavy V kapitoly 2 Zmluvy o EÚ a na ich personál by sa mali uplatňovať bezpečnostné predpisy, ktoré Rada prijala na ochranu utajovaných skutočností EÚ, ak sa to ustanovuje v akte Rady, ktorým sa zriaďujú.
(9)
Osobitní zástupcovia EÚ a členovia ich tímov by mali uplatňovať bezpečnostné predpisy, ktoré Rada prijala na ochranu utajovaných skutočností EÚ, ak sa to ustanovuje v príslušnom akte Rady.
(10)
Toto rozhodnutie sa prijíma bez toho, aby boli dotknuté články 15 a 16 Zmluvy o fungovaní Európskej únie (ZFEÚ) a nástroje, ktorými sa vykonávajú.
(11)
Toto rozhodnutie sa prijíma bez toho, aby boli dotknuté existujúce postupy uplatňované v členských štátoch na informovanie národných parlamentov o činnostiach Únie.
(12)
S cieľom zabezpečiť včasné uplatňovanie bezpečnostných predpisov na ochranu utajovaných skutočností EÚ v súvislosti s pristúpením Chorvátskej republiky k Európskej únii, by toto rozhodnutie malo nadobudnúť účinnosť dňom jeho uverejnenia,
PRIJALA TOTO ROZHODNUTIE:
Článok 1
Cieľ, rozsah pôsobnosti a vymedzenie pojmov
1. Týmto rozhodnutím sa ustanovujú základné zásady a minimálne normy bezpečnosti na ochranu utajovaných skutočností EÚ.
2. Tieto základné zásady a minimálne normy sa vzťahujú na Radu a GSR a členské štáty ich dodržiavajú v súlade so svojimi príslušnými vnútroštátnymi zákonmi a inými právnymi predpismi, aby sa každému poskytlo ubezpečenie o tom, že pre utajované skutočnosti EÚ je zabezpečená rovnaká úroveň ochrany.
3. Na účely tohto rozhodnutia sa uplatňujú vymedzenia pojmov uvedené v dodatku A.
Článok 2
Vymedzenie utajovanej skutočnosti EÚ, stupne utajenia a označenia
1. „Utajovaná skutočnosť EÚ“ je každá informácia alebo vec označená stupňom utajenia EÚ, neoprávnená manipulácia s ktorou by mohla v rôznej miere poškodiť záujmy Európskej únie alebo jedného alebo viacerých členských štátov.
2. Utajované skutočnosti EÚ sa utajujú na jednom z týchto stupňov:
a)
TRÈS SECRET UE/EU TOP SECRET: informácia alebo vec, neoprávnená manipulácia s ktorou by mohla mimoriadne vážne poškodiť základné záujmy Európskej únie alebo jedného alebo viacerých jej členských štátov;
b)
SECRET UE/EU SECRET: informácia alebo vec, neoprávnená manipulácia s ktorou by mohla vážne poškodiť základné záujmy Európskej únie alebo jedného alebo viacerých jej členských štátov;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: informácia alebo vec, neoprávnená manipulácia s ktorou by mohla poškodiť základné záujmy Európskej únie alebo jedného alebo viacerých jej členských štátov;
d)
RESTREINT UE/EU RESTRICTED: informácia alebo vec, neoprávnená manipulácia s ktorou by mohla byť nevýhodná pre záujmy Európskej únie alebo jedného alebo viacerých jej členských štátov.
3. Utajované skutočnosti EÚ sa označujú stupňami utajenia uvedenými v odseku 2. Okrem toho môžu byť označené aj označeniami, ktoré určujú príslušnú oblasť činnosti, identifikujú pôvodcu, obmedzujú distribúciu, obmedzujú použitie alebo stanovujú rozsah možnej prístupnosti.
Článok 3
Riadenie utajovania
1. Príslušné orgány zabezpečujú, že utajovaná skutočnosť EÚ je náležite utajovaná, jasne označená ako utajovaná skutočnosť a že podlieha príslušnému stupňu utajenia, len pokiaľ je to nevyhnutné.
2. Stupeň utajenia utajovanej skutočnosti EÚ sa neznižuje, nezrušuje, ani sa nijaké označenia uvedené v článku 2 ods. 3 neupravujú ani neodstraňujú bez predchádzajúceho písomného súhlasu pôvodcu.
3. Rada schváli bezpečnostnú politiku pre oblasť vytvárania utajovaných skutočností EÚ, ktorá obsahuje praktické usmernenia pre určovanie stupňa utajenia.
Článok 4
Ochrana utajovaných skutočností
1. Utajované skutočnosti EÚ sa chránia v súlade s týmto rozhodnutím.
2. Držiteľ každej položky utajovanej skutočnosti EÚ je zodpovedný za jej ochranu v súlade s týmto rozhodnutím.
3. Keď členské štáty poskytnú štruktúram alebo sieťam Únie utajované skutočnosti, ktoré sú označené národným označením stupňa utajenia, Rada a GSR ich chránia v súlade s požiadavkami uplatňovanými na utajované skutočnosti EÚ s rovnocenným stupňom utajenia stanoveným podľa ekvivalenčnej tabuľky stupňov utajenia, ktorá sa uvádza v dodatku B.
4. Súbor utajovaných skutočností EÚ si môže vyžadovať ochranu na úrovni, ktorá zodpovedá vyššiemu stupňu utajenia, ako je stupeň utajenia jeho jednotlivých častí.
Článok 5
Riadenie bezpečnostných rizík
1. Riadenie rizík týkajúcich sa utajovaných skutočností EÚ sa uskutočňuje ako proces. Tento proces sa zameriava na určenie známych bezpečnostných rizík, stanovenie bezpečnostných opatrení na zníženie týchto rizík na prijateľnú úroveň v súlade so základnými zásadami a minimálnymi normami stanovenými v tomto rozhodnutí a na uplatňovanie týchto opatrení v súlade s koncepciou hĺbkovej ochrany, ako sa vymedzuje v dodatku A. Účinnosť týchto opatrení sa neustále vyhodnocuje.
2. Bezpečnostné opatrenia na ochranu utajovaných skutočností EÚ počas celého ich životného cyklu zodpovedajú najmä ich stupňu utajenia, podobe a množstvu informácií alebo vecí, miestu, kde sa nachádzajú zariadenia, v ktorých sa utajované skutočnosti EÚ uchovávajú, a ich konštrukcii, stanovenej lokálnej úrovni ohrozenia škodlivými a/alebo trestnými činnosťami vrátane špionáže, sabotáže a terorizmu.
3. V núdzových plánoch sa prihliada na potrebu chrániť utajované skutočnosti EÚ počas výnimočných situácií s cieľom predísť neoprávnenému prístupu k nim, neoprávnenej manipulácii s nimi alebo strate ich integrity alebo dostupnosti.
4. Preventívne a nápravné opatrenia zamerané na minimalizáciu dôsledkov významného zlyhania alebo významných incidentov pri manipulácii s utajovanými skutočnosťami EÚ a ich uchovávaní sú uvedené v plánoch na zabezpečenie kontinuity činností.
Článok 6
Vykonávanie tohto rozhodnutia
1. V prípade potreby Rada na základe odporúčania Bezpečnostného výboru schvaľuje bezpečnostné politiky, ktorými sa stanovujú opatrenia na vykonanie tohto rozhodnutia.
2. Bezpečnostný výbor môže na svojej úrovni odsúhlasiť bezpečnostné usmernenia, ktorými sa dopĺňa alebo podporuje toto rozhodnutie a všetky bezpečnostné politiky schválené Radou.
Článok 7
Personálna bezpečnosť
1. Personálna bezpečnosť je uplatňovanie opatrení na zabezpečenie toho, že prístup k utajovaným skutočnostiam EÚ sa udeľuje len osobám, ktoré:
-
majú potrebu poznať (zásada „need-to-know“),
-
boli v prípade potreby bezpečnostne preverené pre príslušný stupeň a
-
boli poučené o svojich povinnostiach.
2. Stanovia sa postupy na vykonanie previerky personálnej bezpečnosti, ktorou sa určuje, či osoba pri zohľadnení jej lojality, dôveryhodnosti a spoľahlivosti môže byť oprávnená na prístup k utajovaným skutočnostiam EÚ.
3. Všetky osoby pracujúce v GSR, ktoré na plnenie svojich úloh potrebujú prístup k utajovaným skutočnostiam EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším alebo potrebujú s nimi manipulovať, musia byť pred udelením prístupu k takýmto utajovaným skutočnostiam EÚ bezpečnostne preverené pre príslušný stupeň. Prístup k utajovaným skutočnostiam EÚ do príslušného stupňa utajenia a do stanoveného dátumu musí týmto osobám povoliť menovací orgán GSR.
4. Členovia personálu členských štátov uvedení v článku 15 ods. 3, ktorí môžu potrebovať na plnenie svojich úloh prístup k utajovaným skutočnostiam EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, musia byť pred udelením prístupu k takýmto utajovaným skutočnostiam EÚ bezpečnostne preverení pre príslušný stupeň alebo musia mať iné náležité oprávnenie, ktoré vyplýva z povahy ich funkcie, v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi.
5. Všetky osoby sú pred udelením prístupu k utajovaným skutočnostiam EÚ a pravidelne po ňom poučené o povinnostiach chrániť utajované skutočnosti EÚ podľa tohto rozhodnutia a tieto povinnosti akceptujú.
6. Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe I.
Článok 8
Fyzická bezpečnosť
1. Fyzická bezpečnosť je uplatňovanie fyzických a technických ochranných opatrení na zamedzenie neoprávneného prístupu k utajovaným skutočnostiam EÚ.
2. Opatrenia fyzickej bezpečnosti sa vytvárajú na zabránenie utajenému alebo násilnému vstupu narušiteľa, odradenie od neoprávnených činností, ich zamedzenie a odhalenie a na umožnenie rozdelenia pracovníkov na účely prístupu k utajovaným skutočnostiam EÚ podľa zásady „need-to-know“. Tieto opatrenia sa určujú na základe procesu riadenia rizík.
3. Opatrenia fyzickej bezpečnosti sa zavedú vo všetkých objektoch, budovách, kanceláriách, miestnostiach a iných priestoroch, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ alebo sa takéto utajované skutočnosti uchovávajú, vrátane priestorov, v ktorých sú umiestnené komunikačné a informačné systémy vymedzené v článku 10 ods. 2
4. Priestory, v ktorých sa uchovávajú utajované skutočnosti EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, sa zriaďujú ako zabezpečené priestory podľa prílohy II a schvaľuje ich príslušný bezpečnostný orgán.
5. Na ochranu utajovaných skutočností EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším sa používajú iba schválené zariadenia a prostriedky.
6. Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe II.
Článok 9
Správa utajovaných skutočností
1. Správa utajovaných skutočností znamená uplatňovanie administratívnych opatrení pri riadení utajovaných skutočností EÚ počas ich životného cyklu s cieľom doplniť opatrenia ustanovené v článkoch 7, 8 a 10, a tým pomôcť pri odradení od úmyselného alebo náhodného vyzradenia alebo straty takýchto utajovaných skutočností a pri zistení tohto vyzradenia alebo straty. Takéto opatrenia sa týkajú najmä vytvárania, evidencie, rozmnožovania, prekladu, zníženia stupňa utajenia, zrušenia utajenia, prenášania a ničenia utajovaných skutočností EÚ.
2. Pred poskytnutím utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším a po ich prijatí sa utajované skutočnosti evidujú na bezpečnostné účely. Príslušné orgány v GSR a členských štátoch zriaďujú na tento účel systém registrov. Utajované skutočnosti so stupňom utajenia TRÈS SECRET UE/EU TOP SECRET sa evidujú v osobitných registroch.
3. Útvary a objekty, v ktorých sa s utajovanými skutočnosťami EÚ manipuluje a v ktorých sa tieto utajované skutočnosti uchovávajú, podliehajú pravidelným inšpekciám, ktoré vykonáva príslušný bezpečnostný orgán.
4. Utajované skutočnosti EÚ sa prenášajú medzi útvarmi alebo objektmi mimo fyzicky chránených priestorov takto:
a)
vo všeobecnosti sa utajované skutočnosti EÚ prenášajú elektronickými prostriedkami, ktoré sú chránené kryptografickými produktmi schválenými v súlade s článkom 10 ods. 6;
b)
keď sa prostriedky uvedené v písmene a) nepoužívajú, utajované skutočnosti EÚ sa prenášajú buď:
i)
na elektronických médiách (napr. USB kľúčoch, CD, pevných diskoch), ktoré sú chránené kryptografickými produktmi schválenými v súlade s článkom 10 ods. 6, alebo
ii)
vo všetkých ostatných prípadoch podľa pokynov príslušného bezpečnostného orgánu a v súlade s príslušnými ochrannými opatreniami ustanovenými v prílohe III.
5. Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohách III a IV.
Článok 10
Ochrana utajovaných skutočností EÚ, s ktorými sa manipuluje v komunikačných a informačných systémoch
1. Informačná bezpečnosť (IA - Information Assurance) v oblasti komunikačných a informačných systémov je presvedčenie, že takéto systémy ochránia informácie, s ktorými sa v nich manipuluje, a budú fungovať vtedy a tak, ako majú, pod dohľadom oprávnených používateľov. Efektívna IA zabezpečuje primeranú úroveň dôvernosti, integrity, dostupnosti, nespochybniteľnosti a hodnovernosti. IA sa zakladá na procese riadenia rizík.
2. Komunikačný a informačný systém (CIS - Communication and Information System) je každý systém, ktorý umožňuje manipuláciu s informáciami v elektronickej podobe. CIS zahŕňa všetky prostriedky potrebné na jeho prevádzku vrátane infraštruktúry, organizácie, ľudských a informačných zdrojov. Toto rozhodnutie sa uplatňuje na CIS, ktorým sa manipuluje s utajovanými skutočnosťami EÚ.
3. Prostredníctvom CIS sa s utajovanými skutočnosťami EÚ manipuluje v súlade s koncepciou IA.
4. Všetky CIS podliehajú certifikácii. Cieľom certifikácie je dosiahnuť uistenie o tom, že sa zaviedli všetky vhodné bezpečnostné opatrenia a že sa dosiahla dostatočná úroveň ochrany utajovaných skutočností EÚ a CIS v súlade s týmto rozhodnutím. V potvrdení o certifikácii sa stanoví najvyšší stupeň utajenia utajovaných skutočností, s ktorými sa môže v CIS manipulovať, ako aj príslušné podmienky a požiadavky.
5. Vykonávajú sa bezpečnostné opatrenia na ochranu utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a vyšším pri manipulácii v CIS proti vyzradeniu takýchto informácií prostredníctvom neúmyselného elektromagnetického vyžarovania („bezpečnostné opatrenia TEMPEST“). Takéto bezpečnostné opatrenia sú primerané rizikám zneužitia a stupňu utajenia daných utajovaných skutočností.
6. Ak ochranu utajovaných skutočností EÚ zabezpečujú kryptografické produkty, tieto produkty sa schvaľujú takto:
a)
dôvernosť utajovaných skutočností so stupňom utajenia SECRET UE/EU SECRET a vyšším sa chráni kryptografickými produktmi schválenými Radou ako kryptografickým schvaľovacím orgánom (CAA - Crypto Approval Authority) na základe odporúčania Bezpečnostného výboru;
b)
dôvernosť utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo RESTREINT UE/EU RESTRICTED sa chráni kryptografickými produktmi schválenými generálnym tajomníkom Rady (ďalej len „generálny tajomník“) ako CAA na základe odporúčania Bezpečnostného výboru.
Bez ohľadu na písmeno b) sa dôvernosť utajovaných skutočností EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo RESTREINT UE/EU RESTRICTED môže chrániť kryptografickými produktmi schválenými CAA členského štátu.
7. Počas prenosu utajovaných skutočností EÚ elektronickými prostriedkami sa použijú schválené kryptografické produkty. Bez ohľadu na túto požiadavky možno v núdzových situáciách alebo pri špecifických technických konfiguráciách uvedených v prílohe IV použiť špecifické postupy.
8. Príslušné orgány GSR a členských štátov zriadia na účely informačnej bezpečnosti tieto orgány:
a)
orgán pre IA (IAA - Information Assurance Authority);
b)
orgán pre TEMPEST (TA - TEMPTEST Authority);
c)
kryptografický schvaľujúci orgán (CAA - Crypto Approval Authority);
d)
kryptografický distribučný orgán (CDA - Crypto Distribution Authority).
9. Pre každý systém zriadia príslušné orgány GSR a členských štátov:
a)
orgán bezpečnostnej certifikácie (SAA - Security Accreditation Authority);
b)
operačný orgán pre IA.
10. Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe IV.
Článok 11
Priemyselná bezpečnosť
1. Priemyselná bezpečnosť je uplatňovanie opatrení na zabezpečenie ochrany utajovaných skutočností EÚ zo strany dodávateľov alebo subdodávateľov počas rokovaní pred uzavretím zmluvy a počas celého životného cyklu utajovanej zmluvy. Takéto zmluvy nezahŕňajú prístup k utajovaným skutočnostiam so stupňom utajenia TRÈS SECRET UE/EU TOP SECRET.
2. GSR môže priemyselným alebo iným subjektom so sídlom v členskom štáte alebo v treťom štáte, ktorý uzavrel dohodu alebo administratívne dojednanie v súlade s článkom 13 ods. 2 písm. a) alebo b), zmluvou zveriť vykonanie úloh, ktoré zahŕňajú alebo si vyžadujú prístup k utajovaným skutočnostiam EÚ alebo manipuláciu s nimi, alebo ich uchovávanie uvedenými subjektmi.
3. GSR ako obstarávateľ zabezpečuje, že pri uzatváraní utajovaných zmlúv priemyselným alebo iným subjektom sú splnené minimálne normy priemyselnej bezpečnosti stanovené v tomto rozhodnutí a uvedené v zmluve.
4. Národný bezpečnostný orgán (NSA - National Security Authority), určený bezpečnostný orgán (DSA - Designated Security Authority) alebo akýkoľvek iný príslušný orgán každého členského štátu zabezpečuje v rámci možností, ktoré vyplývajú z vnútroštátnych zákonov a iných právnych predpisov, že dodávatelia a subdodávatelia so sídlom na jeho území prijmú všetky vhodné opatrenia na ochranu utajovaných skutočností EÚ pri rokovaní o zmluve alebo pri plnení utajovanej zmluvy.
5. NSA, DSA alebo akýkoľvek iný príslušný orgán každého členského štátu v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi zabezpečí, aby dodávatelia a subdodávatelia so sídlom v príslušnom členskom štáte, ktorí sú zapojení do utajovaných zmlúv alebo subdodávateľských zmlúv, v dôsledku čoho potrebujú pri plnení týchto zmlúv alebo počas fázy pred uzavretím zmluvy prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET v rámci svojich zariadení, boli držiteľmi previerky bezpečnosti zariadenia (FSC - Facility Security Clearance) pre požadovaný stupeň utajenia.
6. Príslušný NSA, DSA alebo akýkoľvek iný príslušný bezpečnostný orgán udeľuje v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi a minimálnymi bezpečnostnými normami ustanovenými v prílohe I personálu dodávateľa alebo subdodávateľa, ktorý v rámci plnenia utajovanej zmluvy potrebuje prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET, previerku personálnej bezpečnosti (PSC - Personnel Security Clearance).
7. Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe V.
Článok 12
Výmena utajovaných skutočností EÚ
1. Rada stanoví podmienky, za ktorých môže utajované skutočnosti EÚ, ktoré uchováva, poskytovať ostatným inštitúciám, orgánom, úradom alebo agentúram Únie. Na tento účel možno vytvoriť vhodný rámec, a to napríklad uzavretím medziinštitucionálnych dohôd alebo iných dojednaní, ak sú na tento účel potrebné.
2. Každý takýto rámec zabezpečuje, že utajovaným skutočnostiam EÚ sa poskytuje ochrana, ktorá je primeraná ich stupňu utajenia a v súlade so základnými zásadami a minimálnymi normami rovnocennými s tými, ktoré sú stanovené v tomto rozhodnutí.
Článok 13
Výmena utajovaných skutočností s tretími štátmi a medzinárodnými organizáciami
1. Ak Rada rozhodne o potrebe výmeny utajovaných skutočností EÚ s tretím štátom alebo medzinárodnou organizáciou, vytvorí sa na tento účel príslušný rámec.
2. Na účely vytvorenia takéhoto rámca a vymedzenia recipročných pravidiel o ochrane vymieňaných utajovaných skutočností:
a)
Únia uzatvorí dohody o bezpečnostných postupoch pri výmene a na ochranu utajovaných skutočností (ďalej len „dohody o bezpečnosti utajovaných skutočností“) s tretími štátmi alebo medzinárodnými organizáciami, alebo
b)
generálny tajomník môže v súlade s bodom 17 prílohy VI uzatvoriť správne dojednania v mene GSR, pokiaľ stupeň utajenia utajovaných skutočností EÚ, ktoré sa majú poskytnúť, spravidla nebýva vyšší ako RESTREINT UE/EU RESTRICTED.
3. Dohody o bezpečnosti utajovaných skutočností alebo správne dojednania uvedené v odseku 2 obsahujú ustanovenia, ktorými sa zabezpečuje, že tretie štáty alebo medzinárodné organizácie, ktoré prijmú utajované skutočnosti EÚ, chránia takéto utajované skutočnosti na úrovni, ktorá zodpovedá ich stupňu utajenia, a v súlade s minimálnymi normami, ktoré nie sú menej prísne, ako normy ustanovené v tomto rozhodnutí.
4. Rozhodnutie o poskytnutí utajovaných skutočností, ktorých pôvodcom je Rada, tretiemu štátu alebo medzinárodnej organizácii prijíma pre každý jednotlivý prípad Rada na základe charakteru a obsahu týchto utajovaných skutočností, príjemcovej potreby poznať a miery výhod, ktoré z toho pre Úniu vyplývajú. Ak Rada nie je pôvodcom utajovaných skutočností, ktoré sa majú poskytnúť, GSR najprv získa od ich pôvodcu písomný súhlas na poskytnutie. Ak nie je možné pôvodcu zistiť, prevezme zodpovednosť pôvodcu Rada.
5. Dohodnú sa hodnotiace návštevy, ktorých cieľom je stanoviť účinnosť bezpečnostných opatrení uplatňovaných v treťom štáte alebo medzinárodnej organizácii na ochranu utajovaných skutočností EÚ, ktoré sa poskytli alebo vymenili.
6. Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe VI.
Článok 14
Narušenie bezpečnosti a vyzradenie utajovaných skutočností EÚ
1. Narušenie bezpečnosti nastáva v dôsledku konania alebo opomenutia zo strany osoby, ktoré je v rozpore s bezpečnostnými predpismi ustanovenými v tomto rozhodnutí.
2. Vyzradenie utajovaných skutočností EÚ nastáva, keď k nim v dôsledku narušenia bezpečnosti úplne alebo čiastočne získali prístup neoprávnené osoby.
3. Každé narušenie alebo podozrenie z narušenia bezpečnosti utajovaných skutočností EÚ sa ihneď oznamuje príslušnému bezpečnostnému orgánu.
4. Keď sa zistí vyzradenie alebo strata utajovaných skutočností EÚ alebo keď existuje dostatočný dôvod domnievať sa, že k vyzradeniu alebo strate došlo, NSA alebo iný príslušný orgán prijme všetky vhodné opatrenia podľa príslušných zákonov a iných právnych predpisov, aby:
a)
informoval pôvodcu;
b)
zabezpečil, že na účely zistenia skutočností prípad vyšetria členovia personálu, ktorých sa narušenie bezpečnosti netýka bezprostredne;
c)
vyhodnotil možné poškodenie záujmov Únie alebo členských štátov;
d)
prijal vhodné opatrenia na predchádzanie opätovnému výskytu a
e)
informoval príslušné orgány o prijatých opatreniach.
5. Každá osoba, ktorá je zodpovedná za porušenie bezpečnostných predpisov ustanovených v tomto rozhodnutí, môže byť disciplinárne stíhaná podľa príslušných pravidiel a predpisov. Každá osoba, ktorá je zodpovedná za vyzradenie alebo stratu utajovaných skutočností EÚ, podlieha disciplinárnemu a/alebo súdnemu konaniu podľa príslušných zákonov, pravidiel a iných právnych predpisov.
Článok 15
Zodpovednosť za vykonávanie
1. Rada prijíma všetky potrebné opatrenia na zabezpečenie celkovej jednotnosti uplatňovania tohto rozhodnutia.
2. Generálny tajomník prijme všetky opatrenia potrebné na to, aby sa toto rozhodnutie uplatňovalo pri manipulácii s utajovanými skutočnosťami EÚ alebo akýmikoľvek inými utajovanými skutočnosťami alebo pri ich uchovávaní v objektoch používaných Radou a v rámci GSR a pri manipulácii s týmito utajovanými skutočnosťami zo strany úradníkov a iných zamestnancov GSR, vyslaných pracovníkov na GSR, ako aj dodávateľov GSR.
3. Členské štáty prijímajú všetky vhodné opatrenia v súlade so svojimi príslušnými vnútroštátnymi zákonmi a inými právnymi predpismi, aby pri manipulácii s utajovanými skutočnosťami EÚ a ich uchovávaní dodržiavali toto rozhodnutie tieto osoby:
a)
personál stálych zastupiteľstiev členských štátov pri Európskej únii, ako aj národní delegáti, ktorí sa zúčastňujú na zasadnutiach Rady alebo jej prípravných orgánov alebo na iných činnostiach Rady;
b)
ostatný personál verejnej správy členských štátov vrátane personálu, ktorý bol vyslaný, aby vo verejnej správe pracoval, bez ohľadu na to, či pracuje na území členského štátu alebo v zahraničí;
c)
iné osoby v členských štátoch, ktoré majú náležité povolenie na prístup k utajovaným skutočnostiam EÚ na základe povahy svojich úloh a
d)
dodávatelia členských štátov na území členských štátov aj v zahraničí.
Článok 16
Organizácia bezpečnosti v Rade
1. V rámci svojej úlohy pri zabezpečovaní celkovej jednotnosti uplatňovania tohto rozhodnutia Rada schvaľuje:
a)
dohody uvedené v článku 13 ods. 2 písm. a);
b)
rozhodnutia, ktorými sa povoľuje poskytnutie utajovaných skutočností EÚ alebo ktorými sa vyjadruje súhlas s poskytnutím utajovaných skutočností EÚ, ktoré sa v Rade vytvorili alebo ktoré Rada uchováva, tretím štátom a medzinárodným organizáciám, v súlade so zásadou súhlasu pôvodcu;
c)
ročný program hodnotiacich návštev, ktorý odporúča Bezpečnostný výbor, na vykonanie návštev s cieľom zhodnotiť útvary a objekty členských štátov, orgánov, agentúr a subjektov Únie, ktoré uplatňujú toto rozhodnutie alebo jeho zásady, a na vykonanie hodnotiacich návštev v tretích štátoch a medzinárodných organizáciách s cieľom posúdiť účinnosť opatrení prijatých na ochranu utajovaných skutočností EÚ a
d)
bezpečnostné politiky v zmysle článku 6 ods. 1.
2. Bezpečnostným orgánom GSR je generálny tajomník. Generálny tajomník v tejto funkcii:
a)
vykonáva a preveruje bezpečnostnú politiku Rady;
b)
koordinuje všetky bezpečnostné veci týkajúce sa ochrany utajovaných skutočností súvisiacich s činnosťou Rady s NSA členských štátov;
c)
udeľuje úradníkom GSR, iným zamestnancom GSR a vyslaným národným expertom povolenie na prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším v zmysle článku 7 ods. 3;
d)
podľa potreby nariaďuje vyšetrovanie každého skutočného vyzradenia alebo straty utajovaných skutočností, ktoré Rada uchováva alebo ktoré sa v Rade vytvorili, alebo podozrenia z takéhoto vyzradenia alebo straty a predkladá príslušným bezpečnostným orgánom žiadosť o spoluprácu pri takomto vyšetrovaní;
e)
vykonáva pravidelné inšpekcie bezpečnostných mechanizmov ochrany utajovaných skutočností v objektoch GSR;
f)
vykonáva pravidelné návštevy s cieľom zhodnotiť bezpečnostné mechanizmy ochrany utajovaných skutočností EÚ v orgánoch, agentúrach a subjektoch Únie, ktoré uplatňujú toto rozhodnutie alebo jeho zásady;
g)
vykonáva v spolupráci s dotknutým NSA a po dohode s ním pravidelné hodnotenia bezpečnostných mechanizmov ochrany utajovaných skutočností EÚ v útvaroch a objektoch členských štátov;
h)
zabezpečuje, aby sa bezpečnostné opatrenia podľa potreby koordinovali s príslušnými orgánmi členských štátov, ktoré sú zodpovedné za ochranu utajovaných skutočností, a prípadne tretích štátov alebo medzinárodných organizácií, okrem iného v súvislosti s povahou ohrození bezpečnosti utajovaných skutočností EÚ a prostriedkami ochrany proti nim a
i)
uzatvára správne dojednania v zmysle článku 13 ods. 2 písm. b).
Pri plnení týchto úloh je generálnemu tajomníkovi k dispozícii Bezpečnostný úrad GSR.
3. Na účely vykonávania článku 15 ods. 3 by členské štáty mali:
a)
určiť NSA podľa zoznamu v dodatku C zodpovedný za bezpečnostné mechanizmy ochrany utajovaných skutočností EÚ, aby sa zabezpečilo, že:
i)
utajované skutočnosti EÚ, ktoré uchovávajú akékoľvek ministerstvá, orgány alebo agentúry bez ohľadu na to, či sú verejné alebo súkromné, doma alebo v zahraničí, sú chránené v súlade s týmto rozhodnutím;
ii)
bezpečnostné mechanizmy na ochranu utajovaných skutočností EÚ sa podrobujú pravidelnej inšpekcii alebo hodnoteniu;
iii)
všetky osoby, ktoré sú zamestnané vo verejnej správe alebo u dodávateľa a ktorým sa môže udeliť prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, sú náležite bezpečnostne preverené alebo na základe svojich úloh získali iné náležité povolenie v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi;
iv)
vytvoria sa potrebné bezpečnostné programy na minimalizáciu rizika vyzradenia alebo straty utajovaných skutočností EÚ;
v)
bezpečnostné záležitosti týkajúce sa ochrany utajovaných skutočností EÚ sa koordinujú s ostatnými príslušnými vnútroštátnymi orgánmi vrátane orgánov uvedených v tomto rozhodnutí a
vi)
odpovedá sa na opodstatnené žiadosti o bezpečnostnú previerku predovšetkým od ktorýchkoľvek orgánov, agentúr, subjektov, operácií Únie zriadených na základe hlavy V kapitoly 2 Zmluvy o EÚ a osobitných zástupcov EÚ (OZEÚ) a ich tímov, ktoré uplatňujú toto rozhodnutie alebo jeho zásady;
b)
zabezpečiť, aby ich príslušné orgány poskytovali svojej vláde a prostredníctvom nej Rade informácie a rady o povahe ohrození bezpečnosti utajovaných skutočností EÚ a o prostriedkoch ochrany pred nimi.
Článok 17
Bezpečnostný výbor
1. Týmto sa zriaďuje Bezpečnostný výbor. Bezpečnostný výbor vykonáva preskúmanie a hodnotenie každej bezpečnostnej záležitosti, ktorá je v rozsahu pôsobnosti tohto rozhodnutia, a podľa potreby poskytuje Rade odporúčania.
2. Bezpečnostný výbor sa skladá zo zástupcov NSA členských štátov a na jeho zasadnutiach je prítomný zástupca Komisie a ESVČ. Výboru predsedá generálny tajomník alebo ním určený zástupca. Bezpečnostný výbor zasadá podľa pokynov Rady alebo na žiadosť generálneho tajomníka alebo NSA.
Na zasadnutia môžu byť prizvaní zástupcovia orgánov, agentúr a subjektov Únie, ktoré uplatňujú toto rozhodnutie alebo jeho zásady, keď sa rokuje o otázkach, ktoré sa ich týkajú.
3. Bezpečnostný výbor organizuje svoju činnosť tak, aby mohol poskytovať odporúčania ku konkrétnym oblastiam bezpečnosti. Vytvorí odbornú podskupinu pre otázky IA a podľa potreby iné odborné podskupiny. Stanoví mandát pre tieto odborné podskupiny, ktoré mu odovzdávajú správy o svojej činnosti a v prípade potreby akékoľvek odporúčania pre Radu.
Článok 18
Nahradenie predchádzajúceho rozhodnutia
1. Týmto rozhodnutím sa zrušuje a nahrádza rozhodnutie Rady 2011/292/EÚ (2).
2. Všetky utajované skutočnosti EÚ utajované v súlade s rozhodnutím Rady 2001/264/ES (3) a rozhodnutím 2011/292/EÚ sú naďalej chránené v súlade s príslušnými ustanoveniami tohto rozhodnutia.
Článok 19
Nadobudnutie účinnosti
Toto rozhodnutie nadobúda účinnosť dňom jeho uverejnenia v Úradnom vestníku Európskej únie.
V Bruseli 23. septembra 2013