РЕШЕНИЕ НА СЪВЕТА
от 23 септември 2013 година
относно правилата за сигурност за защита на класифицирана информация на EC
(2013/488/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът, Комисията и Европейската служба за външна дейност (ЕСВД) са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, органи, служби или агенции на Съюза към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите членки.
(6)
Съветът следва да определи подходящата рамка за обмен на КИЕС, която се държи от Съвета, с други институции, органи, служби и агенции на Съюза, по целесъобразност в съответствие с настоящото решение и действащите междуинституционални договорености.
(7)
Органите и агенциите на Съюза, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст следва да прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, когато това е предвидено в акта за създаването им.
(8)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал следва да прилагат правилата за сигурност, приети от Съвета за защита на КИЕС, когато това е предвидено в акта на Съвета за създаването им.
(9)
Специалните представители на ЕС и членовете на техните екипи следва да прилагат приетите от Съвета правила за сигурност за защита на КИЕС, когато това е предвидено в съответния акт на Съвета.
(10)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(11)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите членки за информиране на националните им парламенти за дейностите на Съюза.
(12)
С цел да се гарантира навременното прилагане на правилата за сигурност за защита на КИЕС във връзка с присъединяването на Република Хърватия към Европейския съюз, настоящото решение следва да влезе в сила в деня на публикуването му,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, изложени в допълнение А.
Член 2
Определение на КИЕС, класификации за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите членки.
2. КИЕС се класифицира на някое от следните нива:
а)
TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
б)
SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите членки.
в)
CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите членки.
г)
RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, както и никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите членки въвеждат в структурите или мрежите на Съюза класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответстващото ниво, съгласно съдържащата се в допълнение Б таблица на съответствието на нивата на класификация за сигурност.
4. За даден масив от КИЕС може да се наложи защита на по-високо ниво на класификация, отколкото на отделните му компоненти.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения е необходимо да имат достъп до или да работят с КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Тези лица трябва да имат разрешение от назначаващия орган на ГСС за достъп до КИЕС до определено ниво и с определен срок.
4. Служителите на държавите членки, посочени в член 15, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране и разкриване на умишлено или случайно компрометиране или загуба на такава информация. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, писмения превод, понижаването на нивото на класификация, декласификацията, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложения III и IV.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират, както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една КИС обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за КИС, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. С цел защита на КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания, се прилагат мерки за сигурност на информацията („мерки за сигурност по Tempest“). Тези мерки за сигурност са съизмерими с риска от експлоатация и нивото на класификация на информацията.
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар на Съвета („генералния секретар“), действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 13, параграф 2, буква а) или б).
3. ГСС в качеството си на възложител гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани в съответната държава членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на КИЕС
1. Съветът определя условията, съгласно които може да обменя държана от него КИЕС с други институции, органи, служби или агенции на Съюза. Може да се въведе съответна рамка за тази цел, включително като се сключат междуинституционални споразумения или други договорености при необходимост за целта.
2. Тази рамка гарантира, че на КИЕС е осигурена защита, съответстваща на нивото ѝ на класификация и на основни принципи и минимални стандарти, които са равностойни на определените в настоящото решение.
Член 13
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съюзът сключва с трети държави или международни организации споразумения за процедури за сигурност за обмен и защита на класифицирана информация („споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености от името на ГСС в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на Съюза. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 14
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, НОС или друг компетентен орган предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на Съюза или на държавите членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарно и/или съдебно производство в съответствие с приложимите закони, правила и подзаконови актове.
Член 15
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите членки или зад граница;
в)
други лица в държавите членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС;
г)
изпълнители, наети от държавите членки, независимо дали работят на територията на държавите членки или зад граница.
Член 16
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 13, параграф 2, буква а);
б)
решенията, с което се разрешава или се дава съгласие за предоставяне на КИЕС, създадена или съхранявана от Съвета, на трети държави или международни организации, в съответствие с принципа на съгласие на създателя на информацията;
в)
годишна програма за посещения за оценка, препоръчана от Комитета по сигурността, за посещения за оценка на службите и обектите в държавите членки, на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица на ГСС, на други служители и на командированите национални експерти разрешение за достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо - в съответствие с член 7, параграф 3;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на класифицирана информация, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на мерките по сигурността за защита на класифицираната информация в обектите на ГСС;
е)
извършва периодични посещения за оценка на мерките по сигурността за защита на КИЕС в органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични оценки на мерките по сигурността за защита на КИЕС в службите и обектите на държавите членки;
з)
прави необходимото за съответното координиране на мерките за сигурност с компетентните органи на държавите членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях; и
и)
влиза в административните договорености, посочени в член 13, параграф 2, буква б).
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 15, параграф 3 държавите членки следва да:
а)
определят НОС, вписан в допълнение В, който да отговаря за мерките по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
мерките по сигурността за защита на КИЕС да се проверяват или оценяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
vi)
да се дава отговор на съответните заявления за проверки за надеждност, по-специално от всички органи, агенции, структури и операции на Съюза, създадени съгласно дял V, глава 2 от ДЕС, от специалните представители на ЕС (СПЕС) и техните екипи, които прилагат настоящото решение или неговите принципи;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 17
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на НОС на държавите членки и на заседанията му присъства представител на Комисията и на ЕСВД. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на НОС.
На заседанията могат да бъдат поканени представители на органите, агенциите и структурите на Съюза, които прилагат настоящото решение или неговите принципи, когато се обсъждат засягащи ги въпроси.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 18
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2011/292/ЕС на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО на Съвета (3) и с Решение 2011/292/ЕС, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 19
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 23 септември 2013 година.
BESCHLUSS DES RATES
vom 23. September 2013
über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen
(2013/488/EU)
DER RAT DER EUROPÄISCHEN UNION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 240 Absatz 3,
gestützt auf den Beschluss 2009/937/EU des Rates vom 1. Dezember 2009 zur Annahme seiner Geschäftsordnung (1), insbesondere auf Artikel 24,
in Erwägung nachstehender Gründe:
(1)
Für die Ausweitung der Tätigkeiten des Rates in allen Bereichen, die die Bearbeitung von Verschlusssachen erfordern, sollte ein umfassendes Sicherheitssystem für den Schutz von Verschlusssachen geschaffen werden, das den Rat, sein Generalsekretariat und die Mitgliedstaaten einbezieht.
(2)
Dieser Beschluss sollte Anwendung finden, wenn der Rat, seine Vorbereitungsgremien und das Generalsekretariat des Rates EU-Verschlusssachen (EU-VS) bearbeiten.
(3)
Nach Maßgabe der innerstaatlichen Rechtsvorschriften und soweit es für die Tätigkeit des Rates erforderlich ist, sollten die Mitgliedstaaten diesen Beschluss beachten, wenn ihre zuständigen Behörden, ihre Bediensteten oder ihre Auftragnehmer EU-VS bearbeiten, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(4)
Der Rat, die Kommission und der Europäische Auswärtige Dienst (EAD) sind entschlossen, gleichwertige Sicherheitsstandards für den Schutz von EU-VS anzuwenden.
(5)
Der Rat unterstreicht die Bedeutung einer Beteiligung, soweit angebracht, des Europäischen Parlaments und der anderen Organe, Einrichtungen oder sonstigen Stellen der Union an den Prinzipien, Standards und Vorschriften für den Schutz von Verschlusssachen, die erforderlich sind, um die Interessen der Union und ihrer Mitgliedstaaten zu schützen.
(6)
Der Rat sollte den geeigneten Rahmen für die Weitergabe von EU-VS des Rates an andere Organe, Einrichtungen oder sonstige Stellen der Union in Einklang mit diesem Beschluss sowie den geltenden interinstitutionellen Vereinbarungen festlegen.
(7)
Die im Rahmen des Titels V Kapitel 2 des Vertrags über die Europäische Union (EUV) geschaffenen Einrichtungen und Agenturen der Union, Europol und Eurojust sollten im Rahmen ihrer internen Organisation die Grundprinzipien und Mindeststandards dieses Beschlusses für den Schutz von EU-VS anwenden, wenn dies im Rechtsakt des Rates zu ihrer Errichtung vorgesehen ist.
(8)
Bei Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV und vom Personal solcher Operationen sollten die Sicherheitsvorschriften des Rates für den Schutz von EU-VS angewendet werden, wenn dies im Rechtsakt des Rates zu ihrer Einrichtung vorgesehen ist.
(9)
Die Sonderbeauftragten der Europäischen Union und die Mitglieder ihres Personals sollten die Sicherheitsvorschriften des Rates für den Schutz von EU-VS anwenden, wenn dies im einschlägigen Rechtsakt des Rates vorgesehen ist.
(10)
Dieser Beschluss wird unbeschadet der Artikel 15 und 16 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und die zu ihrer Durchführung erlassenen Rechtsakte erlassen.
(11)
Dieser Beschluss wird unbeschadet der bestehenden Verfahren der Mitgliedstaaten zur Unterrichtung ihrer nationalen Parlamente über die Tätigkeiten der Union erlassen
(12)
Um die rechtzeitige Anwendung der Sicherheitsvorschriften für den Schutz von EU-VS im Hinblick auf den Beitritt der Republik Kroatien zur Europäischen Union sicherzustellen, sollte dieser Beschluss am Tag seiner Veröffentlichung in Kraft treten -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand, Anwendungsbereich und Begriffsbestimmungen
(1) Dieser Beschluss legt Grundprinzipien und Mindeststandards für die Sicherheit in Bezug auf den Schutz von EU-VS fest.
(2) Diese Grundprinzipien und Mindeststandards gelten für den Rat und das Generalsekretariat des Rates und werden von den Mitgliedstaaten nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften beachtet, damit alle Seiten darauf vertrauen können, dass ein gleichwertiges Schutzniveau für EU-VS gewährleistet ist.
(3) Für die Zwecke dieses Beschlusses gelten die Begriffsbestimmungen in Anlage A.
Artikel 2
Begriffsbestimmung für EU-VS, Geheimhaltungsgrade und Kennzeichnungen
(1) „EU-Verschlusssachen“ (EU-VS) sind alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte.
(2) EU-VS werden in einen der folgenden Geheimhaltungsgrade eingestuft:
a)
TRÈS SECRET UE/EU TOP SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten äußerst schweren Schaden zufügen könnte;
b)
SECRET UE/EU SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten schweren Schaden zufügen könnte;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten Schaden zufügen könnte;
d)
RESTREINT UE/EU RESTRICTED: Informationen und Materialien, deren unbefugte Weitergabe für die wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten nachteilig sein könnte.
(3) EU-VS werden mit einem Geheimhaltungsgrad gemäß Absatz 2 gekennzeichnet. Sie können zusätzliche Kennzeichnungen tragen, mit denen der Tätigkeitsbereich, auf den sie sich beziehen, angegeben, der Herausgeber benannt, die Verteilung begrenzt, die Verwendung eingeschränkt oder die Möglichkeit zur Weitergabe ausgewiesen wird.
Artikel 3
Regeln für die Einstufung als Verschlusssache
(1) Die zuständigen Behörden gewährleisten, dass EU-VS angemessen eingestuft werden, deutlich als Verschlusssache gekennzeichnet sind und den jeweiligen Geheimhaltungsgrad nur so lange behalten, wie es erforderlich ist.
(2) Der Geheimhaltungsgrad von EU-VS darf ohne vorherige schriftliche Zustimmung des Herausgebers weder herabgestuft noch aufgehoben werden; das Gleiche gilt für die Veränderung oder Entfernung der in Artikel 2 Absatz 3 genannten Kennzeichnungen.
(3) Der Rat billigt ein Sicherheitskonzept für die Erstellung von EU-VS, das auch einen praktischen Einstufungsleitfaden für Verschlusssachen umfasst.
Artikel 4
Schutz von Verschlusssachen
(1) EU-VS werden gemäß diesem Beschluss geschützt.
(2) Der Besitzer jedweder EU-VS ist dafür verantwortlich, diese gemäß diesem Beschluss zu schützen.
(3) Gibt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze der Union, so schützen der Rat und das Generalsekretariat des Rates diese Verschlusssachen nach den Anforderungen, die für EU-VS der entsprechenden Geheimhaltungsstufe gemäß der Entsprechungstabelle der Geheimhaltungsgrade in Anlage B gelten.
(4) Eine Gesamtheit von EU-VS kann ein Schutzniveau erfordern, das einem höheren Geheimhaltungsgrad als dem der einzelnen Bestandteile der Gesamtheit entspricht.
Artikel 5
Sicherheitsrisikomanagement
(1) Das Risikomanagement für EU-VS wird als Prozess angelegt. Ziel dieses Prozesses ist es, bekannte Sicherheitsrisiken zu bestimmen, Sicherheitsmaßnahmen zur Reduzierung dieser Risiken auf ein tragbares Maß gemäß den Grundprinzipien und Mindeststandards dieses Beschlusses festzulegen und diese Maßnahmen entsprechend dem Konzept der mehrschichtigen Sicherheit gemäß Anlage A anzuwenden. Die Wirksamkeit der betreffenden Maßnahmen wird fortlaufend bewertet.
(2) Die Sicherheitsmaßnahmen für den Schutz von EU-VS müssen während der gesamten Dauer ihrer Einstufung als EU-VS insbesondere dem Geheimhaltungsgrad, der Form und dem Umfang der Informationen und des Materials, der Lage und der Beschaffenheit der Anlagen, in denen EU-VS untergebracht sind, und der örtlichen Einschätzung der Bedrohung durch feindselige und/oder kriminelle Handlungen, einschließlich Spionage, Sabotage oder Terrorakte, entsprechen.
(3) In Notfallplänen wird berücksichtigt, dass EU-VS in Notsituationen geschützt werden müssen, damit der unbefugte Zugang, die unbefugte Weitergabe oder der Verlust der Integrität beziehungsweise der Verfügbarkeit verhindert werden.
(4) In Kontinuitätsplänen sind Präventions- und Wiederherstellungsmaßnahmen vorzusehen, damit die Auswirkungen größerer Störungen oder Zwischenfälle auf die Bearbeitung und Aufbewahrung von EU-VS so gering wie möglich gehalten werden.
Artikel 6
Anwendung dieses Beschlusses
(1) Soweit erforderlich, billigt der Rat auf Empfehlung des Sicherheitsausschusses Sicherheitskonzepte mit Maßnahmen zur Anwendung dieses Beschlusses.
(2) Der Sicherheitsausschuss kann auf seiner Ebene Sicherheitsleitlinien zur Ergänzung oder Untermauerung dieses Beschlusses und etwaiger vom Rat gebilligter Sicherheitskonzepte vereinbaren.
Artikel 7
Personeller Geheimschutz
(1) Der personelle Geheimschutz beinhaltet die Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die
-
Kenntnis von EU-VS haben müssen,
-
erforderlichenfalls einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen worden sind und
-
über ihre Verantwortlichkeiten belehrt worden sind.
(2) Die Verfahren für die Sicherheitsüberprüfung des Personals dienen der Feststellung, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann.
(3) Alle Personen im Generalsekretariat des Rates, für deren Aufgabenwahrnehmung der Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS oder deren Bearbeitung erforderlich ist, werden einer Sicherheitsüberprüfung für die entsprechende Geheimhaltungsstufe unterzogen, bevor ihnen Zugang zu diesen EU-VS gewährt wird. Diese Personen müssen von der Anstellungsbehörde des Generalsekretariats des Rates zum Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad und bis zu einem bestimmten Zeitpunkt ermächtigt werden.
(4) Das Personal der Mitgliedstaaten nach Artikel 15 Absatz 3, das zur Wahrnehmung seiner Aufgaben gegebenenfalls Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS erhalten muss, wird nach Maßgabe der innerstaatlichen Rechtsvorschriften einer Sicherheitsüberprüfung für den entsprechenden Geheimhaltungsgrad unterzogen oder aufgrund seines Aufgabenbereichs auf andere Weise ordnungsgemäß ermächtigt, bevor ihm Zugang zu diesen EU-VS gewährt wird.
(5) Jede Person wird über ihre Verantwortlichkeiten zum Schutz von EU-VS nach Maßgabe dieses Beschlusses belehrt und erkennt diese an, bevor ihr Zugang zu EU-VS gewährt wird; eine solche Belehrung bzw. Anerkennung erfolgt auch später in regelmäßigen Abständen.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang I enthalten.
Artikel 8
Materieller Geheimschutz
(1) Der materielle Geheimschutz beinhaltet die Anwendung von materiellen und technischen Schutzmaßnahmen, damit ein unbefugter Zugang zu EU-VS verhindert wird.
(2) Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, das heimliche oder gewaltsame Eindringen unbefugter Personen zu verhindern, von unbefugten Handlungen abzuschrecken bzw. diese zu verhindern und aufzudecken und den Einsatz von Personal in Bezug auf den Zugang zu EU-VS nach dem Grundsatz „Kenntnis nur, wenn nötig“ zu ermöglichen. Diese Maßnahmen werden auf der Grundlage eines Risikomanagementprozesses festgelegt.
(3) Die Maßnahmen des materiellen Geheimschutzes werden für alle Gebäude, Büros, Räume und sonstigen Bereiche, in denen EU-VS bearbeitet bzw. aufbewahrt werden, getroffen, einschließlich Bereiche, in denen Kommunikations- und Informationssysteme gemäß Artikel 10 Absatz 2 untergebracht sind.
(4) Die Bereiche, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte EU-VS aufbewahrt werden, werden als abgesicherte Bereiche nach Anhang II eingerichtet und von der zuständigen Sicherheitsbehörde genehmigt.
(5) Zum Schutz von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS werden ausschließlich zugelassene Ausrüstungen oder Geräte verwendet.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang II enthalten.
Artikel 9
Verwaltung von Verschlusssachen
(1) Die Verwaltung von Verschlusssachen beinhaltet die Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 7, 8 und 10 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern und festzustellen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Herabstufung, die Aufhebung des Geheimhaltungsgrads, die Beförderung und die Vernichtung von EU-VS.
(2) Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen werden zu Sicherheitszwecken vor der Weiterleitung und bei Empfang registriert. Zu diesem Zweck richten die zuständigen Stellen im Generalsekretariat des Rates und in den Mitgliedstaaten ein Registratursystem ein. Als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen werden in eigens dafür bestimmten Registraturen vereinnahmt.
(3) In Dienststellen und Räumlichkeiten, in denen EU-VS bearbeitet oder aufbewahrt werden, sind regelmäßig Inspektionen durch die zuständige Sicherheitsbehörde durchzuführen.
(4) EU-VS werden zwischen Dienststellen und Räumlichkeiten außerhalb von physisch geschützten Bereichen wie folgt befördert:
a)
In der Regel werden EU-VS elektronisch übermittelt und dabei durch kryptografische Produkte geschützt, die gemäß Artikel 10 Absatz 6 zugelassen wurden;
b)
wenn die unter Buchstabe a genannten Mittel nicht verwendet werden, erfolgt die Beförderung von EU-VS entweder
i)
auf elektronischen Datenträgern (z. B. USB-Sticks, CDs, Festplattenlaufwerken), die durch kryptografische Produkte geschützt sind, die nach Artikel 10 Absatz 6 zugelassen wurden, oder
ii)
in allen anderen Fällen gemäß den Vorschriften der zuständigen Sicherheitsbehörde im Einklang mit den einschlägigen Schutzmaßnahmen des Anhangs III.
(5) Die Bestimmungen zur Anwendung dieses Artikels sind in den Anhängen III und IV enthalten.
Artikel 10
Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden
(1) Informationssicherung (Information Assurance, IA) im Bereich von Kommunikations- und Informationssystemen beinhaltet das Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Risikomanagementprozess.
(2) Ein „Kommunikations- und Informationssystem“ ist ein System, das die Bearbeitung von Informationen in elektronischer Form ermöglicht. Zu einem Kommunikations- und Informationssystem gehören sämtliche für seinen Betrieb benötigten Voraussetzungen, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen. Dieser Beschluss gilt für Kommunikations- und Informationssysteme, mit denen EU-VS bearbeitet werden.
(3) In Kommunikations- und Informationssystemen werden EU-VS gemäß dem Konzept der Informationssicherung bearbeitet.
(4) Alle Kommunikations- und Informationssysteme werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der EU-VS und des Kommunikations- und Informationssystems gemäß diesem Beschluss erreicht wird. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in dem Kommunikations- und Informationssystem bearbeitet werden dürfen.
(5) Es werden Sicherungsmaßnahmen getroffen, um Kommunikations- und Informationssysteme, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen bearbeitet werden, so zu schützen, dass von den betreffenden Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“). Diese Sicherheitsmaßnahmen müssen dem Risiko der Ausnutzung und dem Geheimhaltungsgrad der Informationen entsprechen.
(6) Wird der Schutz von EU-VS mit kryptografischen Produkten sichergestellt, so sind diese Produkte folgendermaßen zuzulassen:
a)
Die Vertraulichkeit von als „SECRET UE/EU SECRET“ und höher eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Rat als Krypto-Zulassungsstelle (Crypto Approval Authority, CAA) auf Empfehlung des Sicherheitsausschusses zugelassen wurden;
b)
die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen wird durch kryptografische Produkte geschützt, die vom Generalsekretär des Rates (im Folgenden „Generalsekretär“) als CAA auf Empfehlung des Sicherheitsausschusses zugelassen wurden.
Ungeachtet des Buchstabens b kann die Vertraulichkeit von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „RESTREINT UE/EU RESTRICTED“ eingestuften EU-VS innerhalb der nationalen Systeme der Mitgliedstaaten durch kryptografische Produkte geschützt werden, die von der CAA eines Mitgliedstaats zugelassen wurden.
(7) Bei der Übermittlung von EU-VS auf elektronischem Wege werden zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen spezielle Verfahren oder spezielle technische Konfigurationen nach Maßgabe des Anhangs IV angewendet werden.
(8) Die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten legen jeweils die folgenden Funktionen für Informationssicherung fest:
a)
eine Stelle für Informationssicherung (IAA),
b)
eine TEMPEST-Stelle (TA),
c)
eine Krypto-Zulassungsstelle (CAA),
d)
eine Krypto-Verteilungsstelle (CDA).
(9) Für jedes System legen die zuständigen Stellen des Generalsekretariats des Rates und der Mitgliedstaaten jeweils Folgendes fest:
a)
eine Sicherheits-Akkreditierungsstelle (SAA),
b)
eine für den Betrieb zuständige Stelle für Informationssicherung.
(10) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang IV enthalten.
Artikel 11
Geheimschutz in der Wirtschaft
(1) Der Geheimschutz in der Wirtschaft beinhaltet die Anwendung von Maßnahmen, die darauf abzielen, den Schutz von EU-VS durch Auftragnehmer oder Subauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der gesamten Laufzeit des als Verschlusssache eingestuften Auftrags zu gewährleisten. Diese Aufträge beinhalten nicht den Zugang zu als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen.
(2) Das Generalsekretariat des Rates kann industrielle oder andere Unternehmen, die in einem Mitgliedstaat oder in einem Drittstaat, der ein Abkommen oder eine Verwaltungsvereinbarung nach Artikel 13 Absatz 2 Buchstabe a oder b mit der EU geschlossen hat, eingetragen sind, vertraglich mit Aufträgen betrauen, die den Zugang zu oder die Bearbeitung oder Aufbewahrung von EU-VS beinhalten oder nach sich ziehen.
(3) Das Generalsekretariat des Rates stellt als Vergabebehörde sicher, dass die in diesem Beschluss festgelegten und in dem Vertrag genannten Mindeststandards für den Geheimschutz in der Wirtschaft eingehalten werden, wenn als Verschlusssache eingestufte Aufträge von ihm an industrielle oder andere Unternehmen vergeben werden.
(4) Die Nationale Sicherheitsbehörde (National Security Authority, NSA), die Beauftragte Sicherheitsbehörde (Designated Security Authority, DSA) oder eine andere zuständige Behörde jedes Mitgliedstaats stellt, soweit dies nach den innerstaatlichen Rechtsvorschriften möglich ist, sicher, dass in ihrem Hoheitsgebiet eingetragene Auftragnehmer und Subauftragnehmer alle geeigneten Maßnahmen zum Schutz von EU-VS bei den Verhandlungen vor der Auftragsvergabe oder bei der Ausführung eines als Verschlusssache eingestuften Auftrags treffen.
(5) Die Nationale Sicherheitsbehörde, die Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde jedes Mitgliedstaats stellt gemäß den innerstaatlichen Rechtsvorschriften sicher, dass in dem jeweiligen Mitgliedstaat eingetragene Auftragnehmer und Subauftragnehmer, die an als Verschlusssache eingestuften Aufträgen oder Subaufträgen beteiligt sind, die den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuften Verschlusssachen in ihren Räumlichkeiten erfordern, entweder bei der Ausführung dieser Aufträge oder bei den Verhandlungen vor der Auftragsvergabe im Besitz eines Sicherheitsbescheids für Unternehmen (Facility Security Clearance, FSC) der entsprechenden Geheimhaltungsstufe sind.
(6) Dem Personal des Auftragnehmers oder Subauftragnehmers, das zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ erhalten muss, wird von der jeweiligen Nationalen Sicherheitsbehörde, der Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde gemäß den innerstaatlichen Rechtsvorschriften und den Mindeststandards in Anhang I eine Sicherheitsermächtigung (Personnel Security Clearance, PSC) erteilt.
(7) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang V enthalten.
Artikel 12
Weitergabe von EU-VS
(1) Der Rat legt die Bedingungen fest, unter denen er in seinem Besitz befindliche EU-VS an andere Organe, Einrichtungen oder sonstige Stellen der Union weitergibt. Dazu kann ein geeigneter Rahmen geschaffen werden, unter anderem gegebenenfalls durch entsprechende interinstitutionelle oder sonstige Vereinbarungen.
(2) Mit einem solchen Rahmen wird sichergestellt, dass EU-VS ihrem Geheimhaltungsgrad entsprechend sowie nach Grundsätzen und Mindeststandards geschützt werden, die denen in diesem Beschluss festgelegten Grundsätzen und Mindeststandards gleichwertig sind.
Artikel 13
Austausch von Verschlusssachen mit Drittstaaten und internationalen Organisationen
(1) Entscheidet der Rat, dass EU-VS mit einem Drittstaat oder einer internationalen Organisation ausgetauscht werden müssen, so werden die hierfür erforderlichen rechtlichen Grundlagen geschaffen.
(2) Zur Festlegung dieser Grundlagen und der für beide Parteien geltenden Vorschriften für den Schutz von ausgetauschten Verschlusssachen
a)
schließt die Union Abkommen mit Drittstaaten oder internationalen Organisationen über Sicherheitsverfahren für den Austausch und den Schutz von Verschlusssachen (im Folgenden „Geheimschutzabkommen“) oder
b)
kann der Generalsekretär im Namen des Generalsekretariats des Rates Verwaltungsvereinbarungen gemäß Anhang VI Nummer 17 schließen, sofern die weiterzugebenden EU-VS in der Regel nicht höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind.
(3) Die Geheimschutzabkommen oder Verwaltungsvereinbarungen nach Absatz 2 enthalten Bestimmungen, mit denen sichergestellt wird, dass EU-VS nach Entgegennahme durch Drittstaaten oder internationale Organisationen in einer ihrem Geheimhaltungsgrad angemessenen Weise nach Maßgabe von Mindeststandards geschützt werden, die zumindest den in diesem Beschluss festgelegten Mindeststandards entsprechen.
(4) Der Beschluss, EU-VS des Rates an einen Drittstaat oder eine internationale Organisation weiterzugeben, wird vom Rat von Fall zu Fall nach Maßgabe von Art und Inhalt dieser Verschlusssachen, des Grundsatzes „Kenntnis nur, wenn nötig“ und der Vorteile für die Union gefasst. Sind die Verschlusssachen, um deren Weitergabe ersucht wird, nicht vom Rat herausgegeben worden, so holt das Generalsekretariat des Rates zunächst die schriftliche Zustimmung des Herausgebers zur Weitergabe der Verschlusssachen ein. Kann der Herausgeber nicht ermittelt werden, so trifft der Rat an seiner Stelle die Entscheidung.
(5) Zur Überprüfung der Wirksamkeit der Sicherheitsvorkehrungen, die Drittstaaten oder internationale Organisationen zum Schutz bereitgestellter oder ausgetauschter EU-VS getroffen haben, werden Bewertungsbesuche durchgeführt.
(6) Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang VI enthalten.
Artikel 14
Verletzungen der Sicherheit und Kenntnisnahme von EU-VS durch Unbefugte
(1) Zu einer Verletzung der Sicherheit kommt es durch eine Handlung oder Unterlassung seitens einer Person, die den in diesem Beschluss festgelegten Sicherheitsvorschriften zuwiderläuft.
(2) Eine Kenntnisnahme von EU-VS durch Unbefugte liegt vor, wenn EU-VS infolge einer Verletzung der Sicherheit ganz oder teilweise an unbefugte Personen weitergegeben wurden.
(3) Verletzungen oder vermutete Verletzungen der Sicherheit werden der zuständigen Sicherheitsbehörde unverzüglich gemeldet.
(4) Wird bekannt oder besteht berechtigter Grund zu der Annahme, dass EU-VS Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, trifft die Nationale Sicherheitsbehörde oder sonstige zuständige Behörde nach Maßgabe der einschlägigen Rechtsvorschriften alle geeigneten Maßnahmen, um
a)
den Herausgeber zu verständigen;
b)
sicherzustellen, dass der Fall zur Aufklärung des Sachverhalts von Personal untersucht wird, das von der Verletzung nicht unmittelbar betroffen ist;
c)
den potenziellen Schaden für die Interessen der Union oder der Mitgliedstaaten einzuschätzen;
d)
die geeigneten Maßnahmen zu treffen, damit ein solcher Vorfall sich nicht wiederholt, und
e)
die zuständigen Stellen über die getroffenen Maßnahmen zu unterrichten.
(5) Gegen jede Person, die für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften ergriffen werden. Gegen jede Person, die für die Kenntnisnahme von EU-VS durch Unbefugte oder deren Verlust verantwortlich ist, können gemäß den geltenden Rechtsvorschriften Disziplinarmaßnahmen ergriffen und/oder rechtliche Schritte unternommen werden.
Artikel 15
Verantwortung für die Durchführung
(1) Der Rat ergreift alle erforderlichen Maßnahmen, um die insgesamt übereinstimmende Anwendung dieses Beschlusses sicherzustellen.
(2) Der Generalsekretär trifft alle erforderlichen Maßnahmen, um sicherzustellen, dass die Bestimmungen dieses Beschlusses bei der Bearbeitung und Aufbewahrung von EU-VS oder anderen Verschlusssachen in den vom Rat genutzten Räumlichkeiten und im Generalsekretariat des Rates von den Beamten und sonstigen Bediensteten des Generalsekretariats des Rates, von zum Generalsekretariat des Rates abgeordnetem Personal und von Vertragspartnern des Generalsekretariats des Rates angewandt werden.
(3) Die Mitgliedstaaten treffen nach Maßgabe ihrer jeweiligen innerstaatlichen Rechtsvorschriften alle geeigneten Maßnahmen, um sicherzustellen, dass dieser Beschluss bei der Bearbeitung und Aufbewahrung von EU-VS von dem folgenden Personenkreis eingehalten wird:
a)
dem Personal der Ständigen Vertretungen der Mitgliedstaaten bei der Europäischen Union sowie den nationalen Delegierten, die an Tagungen des Rates oder Sitzungen seiner Vorbereitungsgremien teilnehmen bzw. in sonstige Tätigkeiten des Rates einbezogen sind;
b)
sonstigem Personal in den nationalen Verwaltungen der Mitgliedstaaten, einschließlich des zu diesen Verwaltungen abgeordneten Personals, unabhängig davon, ob es innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten Dienst tut;
c)
sonstigen Personen, die in den Mitgliedstaaten aufgrund ihrer Aufgaben förmlich zum Zugang zu EU-VS ermächtigt worden sind, und
d)
Vertragspartnern der Mitgliedstaaten, unabhängig davon, ob sie innerhalb oder außerhalb des Hoheitsgebiets der Mitgliedstaaten tätig sind.
Artikel 16
Organisation der Sicherheit im Rat
(1) Im Rahmen seiner Funktion bei der Gewährleistung der insgesamt übereinstimmenden Anwendung dieses Beschlusses billigt der Rat
a)
Abkommen gemäß Artikel 13 Absatz 2 Buchstabe a;
b)
Beschlüsse zur Genehmigung oder Zustimmung zu der Weitergabe von vom Rat herausgegebenen oder in seinem Besitz befindlichen EU-VS an Drittstaaten und internationale Organisationen im Einklang mit dem Grundsatz der Zustimmung des Herausgebers;
c)
ein jährliches Programm für Bewertungsbesuche, das vom Sicherheitsausschuss empfohlen wird, für Besuche zur Bewertung von Dienststellen und Räumlichkeiten der Mitgliedstaaten und von Einrichtungen, Agenturen und Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, und für Bewertungsbesuche in Drittstaaten und bei internationalen Organisationen zur Überprüfung der Wirksamkeit der zum Schutz von EU-VS durchgeführten Maßnahmen und
d)
Sicherheitskonzepte gemäß Artikel 6 Absatz 1.
(2) Der Generalsekretär ist die Sicherheitsbehörde des Generalsekretariats des Rates. In dieser Funktion
a)
führt er das Sicherheitskonzept des Rates durch und überprüft es fortlaufend;
b)
stimmt er sich mit den Nationalen Sicherheitsbehörden der Mitgliedstaaten zu allen Sicherheitsfragen ab, die den Schutz von Verschlusssachen betreffen, die für die Tätigkeiten des Rates relevant sind;
c)
erteilt er Beamten und sonstigen Bediensteten des Generalsekretariats des Rates sowie abgeordneten nationalen Experten die Genehmigung gemäß Artikel 7 Absatz 3 für den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen;
d)
ordnet er gegebenenfalls eine Untersuchung an, wenn feststeht oder vermutet wird, dass im Besitz des Rates befindliche oder vom Rat herausgegebene Verschlusssachen Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, und ersucht die einschlägigen Sicherheitsbehörden um Unterstützung bei derartigen Untersuchungen;
e)
führt er regelmäßige Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von Verschlusssachen in den Räumlichkeiten des Generalsekretariats des Rates getroffen wurden;
f)
führt er regelmäßige Besuche zur Bewertung der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Einrichtungen, Agenturen und Stellen der Union, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, getroffen wurden;
g)
führt er gemeinsam und im Einvernehmen mit den betreffenden Nationalen Sicherheitsbehörden regelmäßige Bewertungen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-VS in Dienststellen und Räumlichkeiten der Mitgliedstaaten getroffen wurden;
h)
sorgt er dafür, dass Sicherheitsmaßnahmen bei Bedarf mit den für den Schutz von Verschlusssachen zuständigen Behörden der Mitgliedstaaten und gegebenenfalls mit Drittstaaten oder internationalen Organisationen - auch hinsichtlich der Art der Bedrohungen der Sicherheit von EU-VS und entsprechender Schutzmaßnahmen - abgestimmt werden, und
i)
schließt er die Verwaltungsvereinbarungen nach Artikel 13 Absatz 2 Buchstabe b.
Das Sicherheitsbüro des Generalsekretariats des Rates steht dem Generalsekretär bei diesen Aufgaben unterstützend zur Verfügung.
(3) Zur Durchführung von Artikel 15 Absatz 3 sollten die Mitgliedstaaten wie folgt verfahren:
a)
Sie benennen eine Nationale Sicherheitsbehörde, wie in Anlage C aufgeführt, die für die Sicherheitsvorkehrungen zum Schutz von EU-VS zuständig ist, damit
i)
EU-VS, die sich im Besitz einer öffentlichen oder privaten Stelle oder Einrichtung ihres Landes im In- oder Ausland befinden, gemäß diesem Beschluss geschützt werden;
ii)
die Sicherheitsvorkehrungen für den Schutz von EU-VS regelmäßig überprüft oder bewertet werden;
iii)
alle in einer nationalen Verwaltung oder von einem Auftragnehmer beschäftigten Personen, denen Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen gewährt werden kann, einer ordnungsgemäßen Sicherheitsüberprüfung unterzogen oder auf anderer Grundlage nach Maßgabe der innerstaatlichen Rechtsvorschriften aufgrund ihres Aufgabenbereichs ordnungsgemäß ermächtigt worden sind;
iv)
die Sicherheitsprogramme erstellt werden, die erforderlich sind, um das Risiko einer Kenntnisnahme von EU-VS durch Unbefugte oder eines Verlusts von EU-VS so gering wie möglich zu halten;
v)
Sicherheitsfragen im Zusammenhang mit dem Schutz von EU-VS mit anderen auf nationaler Ebene zuständigen Stellen koordiniert werden, einschließlich jener, die in diesem Beschluss genannt werden, und
vi)
Ersuchen um geeignete Sicherheitsüberprüfung nachgekommen wird, die insbesondere von Einrichtungen, Agenturen und Stellen, bei Operationen der Union, die im Rahmen des Titels V Kapitel 2 EUV geschaffen bzw. eingeleitet wurden, sowie von EU-Sonderbeauftragten und ihrem Personal, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, gestellt werden.
b)
Sie gewährleisten, dass ihre zuständigen Stellen ihre Regierung und - über diese - den Rat über die Art der Bedrohungen der Sicherheit von EU-VS und entsprechende Schutzmaßnahmen informieren und beraten.
Artikel 17
Sicherheitsausschuss
(1) Es wird ein Sicherheitsausschuss eingesetzt. Er prüft und bewertet Sicherheitsfragen, die in den Anwendungsbereich dieses Beschlusses fallen, und legt dem Rat gegebenenfalls Empfehlungen vor.
(2) Der Sicherheitsausschuss setzt sich aus Vertretern der Nationalen Sicherheitsbehörden der Mitgliedstaaten zusammen; ein Vertreter der Kommission und des EAD nimmt an den Sitzungen des Ausschusses teil. Den Vorsitz im Ausschuss führt der Generalsekretär oder eine von ihm beauftragte Person. Der Sicherheitsausschuss tritt gemäß dem vom Rat erteilten Mandat oder auf Antrag des Generalsekretärs oder einer Nationalen Sicherheitsbehörde zusammen.
Vertreter von Einrichtungen, Agenturen und Stellen der Union, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, können zur Teilnahme an den Sitzungen eingeladen werden, wenn Fragen erörtert werden, die sie betreffen.
(3) Der Sicherheitsausschuss organisiert seine Tätigkeit so, dass er Empfehlungen zu speziellen Sicherheitsfragen geben kann. Er setzt eine Fachuntergruppe für Fragen der Informationssicherung und bei Bedarf weitere Fachuntergruppen ein. Er legt das Mandat für diese Fachuntergruppen fest und erhält von diesen Berichte über ihre Tätigkeit, die gegebenenfalls Empfehlungen an den Rat enthalten.
Artikel 18
Ersetzung des bisherigen Beschlusses
(1) Der Beschluss 2011/292/EU des Rates (2) wird durch den vorliegenden Beschluss aufgehoben und ersetzt.
(2) Alle gemäß dem Beschluss 2001/264/EG des Rates (3) und dem Beschluss 2011/292/EU eingestuften EU-VS werden weiter gemäß den einschlägigen Bestimmungen dieses Beschlusses geschützt.
Artikel 19
Inkrafttreten
Dieser Beschluss tritt am Tag seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Geschehen zu Brüssel am 23. September 2013.