РЕШЕНИЕ НА СЪВЕТА
от 31 март 2011 година
относно правилата за сигурност за защита на класифицирана информация на ЕС
(2011/292/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите-членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите-членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът и Комисията са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, агенции, органи или служби на ЕС към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите-членки.
(6)
Агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, съгласно предвиденото в собствените им учредителни актове.
(7)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал прилагат правилата за сигурност, приети от Съвета за защита на КИЕС.
(8)
Специалните представители на ЕС и членовете на техните екипи прилагат приетите от Съвета правила за сигурност за защита на КИЕС.
(9)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(10)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите-членки за информиране на националните им парламенти за дейностите на Съюза,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите-членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, уредени в допълнение А.
Член 2
Определение на КИЕС, нива на класификация за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите-членки.
2. Всяка КИЕС се класифицира на някое от следните нива:
а) TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
б) SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
в) CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите-членки.
г) RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите-членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, нито никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите-членки въвеждат в структурите или мрежите на Европейския съюз класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответното ниво, съгласно съдържащата се в допълнение Б таблица на съответствията на нивата на класификация за сигурност.
4. За големи количества КИЕС или масиви от КИЕС може да се наложи защита на по-високо ниво на класификация за сигурност.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни системни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Процедурата за проучване за надеждност на персонала за длъжностни лица на ГСС и за други служители се съдържа в приложение I.
4. Служителите на държавите-членки, посочени в член 14, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране, разкриване и възстановяване на такава информация при умишлено или случайно компрометиране или загуба. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, превода, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите-членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложение III.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една комуникационна и информационна система обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за комуникационни и информационни системи, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо са защитени по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания („мерки за сигурност по Tempest“).
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар (наричан по-долу „генералния секретар“, действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите-членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата-членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите-членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите-членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава-членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 12, параграф 2, буква а) или б).
3. ГСС, в качеството си на възложител, гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава-членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава-членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани във въпросната държава-членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съветът сключва споразумения за процедури за сигурност за обмен и защита на класифицирана информация (наричани по-долу „споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на ЕС. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 13
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, компетентният орган по сигурността предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на ЕС или на държавите-членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарни и/или правни мерки в съответствие с приложимите закони, правила и подзаконови актове.
Член 14
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, включително в службите му за връзка, разположени в трети държави, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите-членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите-членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите-членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите-членки или зад граница;
в)
други лица в държавите-членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС; и
г)
изпълнители, наети от държавите-членки, независимо дали работят на територията на държавите-членки или зад граница.
Член 15
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 12, параграф 2, буква а);
б)
решенията, с които се дава разрешение за предоставяне на КИЕС на трети държави и международни организации;
в)
годишна програма, предлагана от генералния секретар и препоръчана от Комитета по сигурността, за проверки на службите и обектите в държавите-членки и на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и на Европол и Евроюст, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите-членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица и другите служители на ГСС разрешение за достъп на персонала на ЕС до КИЕС в съответствие с член 7, параграф 3, преди да им бъде даден достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на КИЕС, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в обектите на ГСС;
е)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и при операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и от специалните представители на ЕС (СПЕС) и членовете на техните екипи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични проверки на договореностите по сигурността за защита на КИЕС в службите и обектите на държавите-членки;
з)
координира мерките за сигурност с компетентните органи на държавите-членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях;
и)
влиза в административните договорености, посочени в член 12, параграф 2, буква б); и
й)
предприема първоначални и периодични посещения за оценка в трети държави или международни организации, за да удостовери ефективността на мерките, прилагани за защита на предоставена или обменена КИЕС.
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 14, параграф 3 държавите-членки следва да:
а)
определят национален орган по сигурността, който да отговаря за договореностите по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
договореностите по сигурността за защита на КИЕС да се проверяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
(vi)
да се дава отговор на съответните заявления за проверки за надеждност от агенции и органи на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, СПЕС и техните екипи.
Националните органи по сигурността са изброени в допълнение В;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 16
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на националните органи по сигурността на държавите-членки и на заседанията му присъства представител на Комисията и на Европейската служба за външна дейност. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на национален орган по сигурността.
Представителите на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и Европол и Евроюст могат да бъдат поканени да участват, когато се обсъждат въпроси, които ги засягат.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 17
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2001/264/ЕО на Съвета от 19 март 2001 г. за приемане на разпоредбите относно сигурността на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 18
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 31 март 2011 година.
DECIZIA CONSILIULUI
din 31 martie 2011
privind normele de securitate pentru protecția informațiilor UE clasificate
(2011/292/UE)
CONSILIUL UNIUNII EUROPENE,
având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 240 alineatul (3),
având în vedere Decizia 2009/937/UE a Consiliului din 1 decembrie 2009 de adoptare a regulamentului său de procedură (1), în special articolul 24,
întrucât:
(1)
În vederea dezvoltării activităților Consiliului în toate domeniile care necesită gestionarea informațiilor clasificate se impune instituirea unui sistem de securitate cuprinzător pentru protecția informațiilor clasificate, care să includă Consiliul, Secretariatul General al Consiliului și statele membre.
(2)
Prezenta decizie ar trebui să se aplice în cazurile în care Consiliul, grupurile de pregătire ale acestuia și Secretariatul General al Consiliului (SGC) gestionează informații UE clasificate (IUEC).
(3)
Statele membre ar trebui, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale și în măsura necesară pentru funcționarea Consiliului, să respecte prezenta decizie în cazurile în care autoritățile competente, personalul sau contractanții acestora gestionează IUEC, astfel încât fiecare dintre ele să aibă garanția acordării unui nivel echivalent de protecție a IUEC.
(4)
Consiliul și Comisia își asumă angajamentul de a aplica standarde echivalente de securitate pentru protecția IUEC.
(5)
Consiliul subliniază importanța asocierii, dacă este cazul, a Parlamentului European și a altor instituții, agenții, organisme sau oficii ale UE, la principiile, standardele și normele pentru protecția informațiilor clasificate necesare pentru protejarea intereselor Uniunii și ale statelor sale membre.
(6)
Agențiile și organismele UE instituite în temeiul titlului V capitolul 2 din Tratatul privind Uniunea Europeană, Europol și Eurojust aplică, în cadrul organizării lor interne, principiile de bază și standardele minime stabilite în prezenta decizie pentru protecția IUEC, în conformitate cu prevederile din actele lor de instituire respective.
(7)
Operațiile de gestionare a crizelor instituite în temeiul titlului V capitolul 2 din TUE și personalul operațiilor în cauză aplică normele de securitate pentru protecția IUEC adoptate de Consiliu.
(8)
Reprezentanții Speciali ai UE și membrii echipelor acestora aplică normele de securitate adoptate de Consiliu pentru protecția IUEC.
(9)
Prezenta decizie se adoptă fără a aduce atingere articolelor 15 și 16 din Tratatul privind funcționarea Uniunii Europene (TFUE) și instrumentelor de punere în aplicare a acestora.
(10)
Prezenta decizie se adoptă fără a aduce atingere practicilor existente în interiorul statelor membre cu privire la informarea parlamentelor lor naționale despre activitățile Uniunii,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
Obiectiv, domeniu de aplicare și definiții
(1) Prezenta decizie stabilește principiile de bază și standardele minime de securitate pentru protecția IUEC.
(2) Aceste principii de bază și standarde minime de securitate se aplică Consiliului și SGC și sunt respectate de statele membre, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale ale acestora, astfel încât fiecare dintre ele să aibă garanția utilizării unui nivel echivalent de protecție a IUEC.
(3) În sensul prezentei decizii, se aplică definițiile stabilite în apendicele A.
Articolul 2
Definiția IUEC, a clasificărilor și a marcajelor de securitate
(1) „Informațiile UE clasificate” (IUEC) înseamnă orice informații sau materiale desemnate ca atare printr-o clasificare de securitate a UE a căror divulgare neautorizată ar cauza prejudicii de diferite grade intereselor Uniunii Europene sau ale unora sau mai multor state membre.
(2) IUEC sunt clasificate la unul dintre următoarele niveluri:
(a) TRÈS SECRET UE/EU TOP SECRET: acest nivel de clasificare se aplică numai acelor informații și materiale a căror divulgare neautorizată poate aduce prejudicii deosebit de grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
(b) SECRET UE/EU SECRET: informații și materiale a căror divulgare neautorizată poate aduce prejudicii grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
(c) CONFIDENTIEL UE/EU CONFIDENTIAL: informații și materiale a căror divulgare neautorizată poate aduce prejudicii intereselor esențiale ale Uniunii Europene sau ale unuia ori mai multor state membre.
(d) RESTREINT UE/EU RESTRICTED: informații și materiale a căror divulgare neautorizată poate fi în defavoarea intereselor Uniunii Europene sau ale unuia sau mai multor state membre.
(3) IUEC au un marcaj de clasificare de securitate, în conformitate cu alineatul (2). Acestea pot avea marcaje suplimentare care indică domeniul de activitate la care se referă, identifică emitentul, limitează distribuirea, restrâng utilizarea sau precizează dacă pot fi comunicate.
Articolul 3
Gestionarea clasificărilor
(1) Autoritățile competente se asigură că IUEC sunt clasificate corespunzător, identificate în mod clar ca informații clasificate și că nivelul de clasificare al acestora este menținut doar atât timp cât este necesar.
(2) IUEC nu sunt clasificate la un nivel de securitate inferior sau declasificate și niciun marcaj menționat la articolul 2 alineatul (3) nu este modificat sau eliminat fără acordul prealabil scris al emitentului.
(3) Consiliul aprobă o politică de securitate privind crearea IUEC care include un ghid practic al clasificărilor.
Articolul 4
Protecția informațiilor clasificate
(1) IUEC sunt protejate în conformitate cu prezenta decizie.
(2) Deținătorul oricărei informații UE clasificate este responsabil de protecția acesteia, în conformitate cu prezenta decizie.
(3) În cazul în care statele membre introduc informații clasificate care conțin un marcaj național de clasificare de securitate în structurile sau rețelele Uniunii Europene, Consiliul și SGC protejează informațiile respective în conformitate cu cerințele aplicabile IUEC de nivel echivalent, astfel cum se precizează în tabelul de echivalență a clasificărilor de securitate din apendicele B.
(4) Cumularea sau compilarea IUEC poate justifica protecția la un nivel corespunzător unei clasificări superioare.
Articolul 5
Managementul riscului de securitate
(1) Riscul la adresa IUEC este gestionat ca proces. Acest proces urmărește determinarea riscurilor de securitate cunoscute, definirea măsurilor de securitate destinate reducerii acestor riscuri la un nivel acceptabil în conformitate cu principiile de bază și standardele minime de securitate stabilite în prezenta decizie și aplicarea acestor măsuri în conformitate cu conceptul apărării în profunzime așa cum este definit în apendicele A. Eficacitatea acestor măsuri este evaluată permanent.
(2) Măsurile de securitate pentru protejarea IUEC pe durata ciclului de viață al acestora sunt proporționale, în special, cu clasificarea de securitate a acestora, forma și volumul informațiilor sau al materialelor, amplasarea și construcția obiectivelor care adăpostesc IUEC și evaluarea locală a amenințării reprezentate de activități rău-intenționate și/sau criminale, inclusiv spionaj, sabotaj și terorism.
(3) Planurile de urgență iau în considerare necesitatea protejării IUEC în situații de urgență, pentru a împiedica accesul neautorizat, divulgarea sau pierderea integrității sau a disponibilității.
(4) Măsurile de prevenire și de recuperare destinate minimizării impactului erorilor sau incidentelor majore survenite în timpul gestionării și păstrării IUEC sunt incluse în Planurile de continuare a activității.
Articolul 6
Punerea în aplicare a prezentei decizii
(1) Dacă este necesar, Consiliul, la recomandarea Comitetului de securitate, aprobă politici de securitate care stabilesc măsurile pentru punerea în aplicare a prezentei decizii.
(2) Comitetul de securitate poate conveni, la nivelul său, asupra unor linii directoare de securitate menite să completeze sau să sprijine prezenta decizie sau orice politici de securitate aprobate de Consiliu.
Articolul 7
Securitatea personalului
(1) Securitatea personalului înseamnă aplicarea unor măsuri care să garanteze că accesul la IUEC este acordat numai persoanelor care:
-
prezintă necesitatea de a cunoaște;
-
au primit certificatul de securitate pentru nivelul corespunzător, dacă este cazul; și
-
au fost informate cu privire la responsabilitățile care le revin.
(2) Sunt elaborate proceduri de acordare a certificatului de securitate a personalului, pentru a stabili dacă o persoană poate avea acces la IUEC, ținându-se seama de loialitatea și onestitatea acesteia și de încrederea pe care o inspiră.
(3) Întregul personal al SGC, ale cărui atribuții pot necesita accesul la IUEC de nivel CONFIDENTIEL UE/EU CONFIDENTIAL sau superior, este autorizat pentru nivelul corespunzător înainte de acordarea accesului la respectivele IUEC. Procedura de autorizare a personalului pentru funcționarii SGC și alți agenți este prevăzută în anexa I.
(4) Personalul statelor membre menționat la articolul 14 alineatul (3), ale cărui atribuții pot necesita accesul la IUEC de nivel CONFIDENTIEL UE/EU CONFIDENTIAL sau superior, este autorizat pentru nivelul corespunzător sau este autorizat în alt mod prin natura funcțiilor deținute, în conformitate cu actele cu putere de lege și actele administrative naționale, înainte de acordarea accesului la respectivele IUEC.
(5) Înainte de acordarea accesului la IUEC și ulterior la intervale periodice, întregul personal este informat și ia cunoștință de responsabilitățile care îi revin cu privire la protejarea IUEC, în conformitate cu prezenta decizie.
(6) Anexa I cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 8
Securitatea fizică
(1) Securitatea fizică reprezintă aplicarea măsurilor de protecție fizică și tehnică în vederea împiedicării accesului neautorizat la IUEC.
(2) Măsurile de securitate fizică sunt concepute astfel încât să împiedice accesul disimulat sau forțat al vreunui intrus, să descurajeze, să împiedice și să detecteze acțiunile neautorizate și să permită separarea personalului în ceea ce privește accesul acestuia la IUEC, pe baza principiului necesității de a cunoaște. Aceste măsuri sunt stabilite pe baza unui proces de management al riscului.
(3) Măsurile de securitate fizică sunt instituite pentru toate incintele, imobilele, birourile, încăperile și alte zone în care sunt gestionate sau păstrate IUEC, inclusiv zonele care adăpostesc sisteme informatice și de comunicații astfel cum sunt definite la articolul 10 alineatul (2).
(4) Zonele în care sunt păstrate IUEC clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt stabilite ca zone securizate în conformitate cu anexa II și aprobate de autoritatea de securitate competentă.
(5) În vederea protecției IUEC la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior se utilizează numai echipamente sau dispozitive aprobate.
(6) Anexa II cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 9
Managementul informațiilor clasificate
(1) Managementul informațiilor clasificate reprezintă aplicarea unor măsuri administrative pentru a controla IUEC pe durata ciclului lor de viață, în vederea completării măsurilor prevăzute la articolele 7, 8 și 10, contribuind astfel la descurajarea, detectarea și remedierea compromiterii sau pierderii deliberate sau accidentale a informațiilor. Aceste măsuri se referă, în special, la crearea, înregistrarea, copierea, traducerea, transportul și distrugerea IUEC.
(2) Din motive de securitate, informațiile clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt înregistrate, la primirea acestora, înainte de a fi distribuite. În acest scop, autoritățile competente din SGC și din statele membre înființează sisteme de registre. Informațiile clasificate TRÈS SECRET UE/EU TOP SECRET sunt înregistrate în registre speciale.
(3) Serviciile și incintele unde sunt gestionate sau păstrate IUEC sunt supuse unor inspecții periodice ale autorităților de securitate competente.
(4) IUEC sunt transmise între servicii și incinte situate în afara zonelor protejate fizic după cum urmează:
(a)
ca regulă generală, IUEC sunt transmise prin mijloace electronice protejate prin intermediul unor produse criptografice aprobate în conformitate cu articolul 10 alineatul (6);
(b)
în situațiile în care nu se utilizează mijloacele menționate la litera (a), IUEC sunt transportate:
(i)
pe suport electronic (de ex. chei USB, CD-uri, hard diskuri) protejat prin intermediul unor produse criptografice aprobate în conformitate cu articolul 10 alineatul (6); sau
(ii)
în toate celelalte cazuri, conform indicațiilor primite de la autoritatea de securitate competentă, în conformitate cu măsurile de protecție prevăzute la anexa III.
(5) Anexa III cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 10
Protecția IUEC gestionate în sisteme informatice și de comunicații
(1) Asigurarea informațiilor (AI) în domeniul sistemelor informatice și de comunicații reprezintă încrederea în faptul că aceste sisteme vor proteja informațiile pe care le gestionează și vor funcționa corespunzător, atunci când este necesar, sub controlul utilizatorilor legitimi. O AI eficientă asigură grade adecvate de confidențialitate, integritate, disponibilitate, nerepudiere și autenticitate. AI se bazează pe un proces de management al riscului.
(2) „Sistemul informatic și de comunicații” reprezintă un sistem care permite gestionarea informațiilor clasificate în format electronic. Un sistem informatic și de comunicații cuprinde toate activele necesare pentru a funcționa, inclusiv infrastructura, organizarea, personalul și resursele informaționale. Prezenta decizie se aplică sistemelor informatice și de comunicații care gestionează IUEC (SIC).
(3) SIC gestionează IUEC în conformitate cu conceptul de AI.
(4) Toate SIC sunt supuse unui proces de acreditare. Acreditarea urmărește să garanteze faptul că au fost puse în aplicare toate măsurile de securitate corespunzătoare și că s-a obținut un nivel suficient de protecție a IUEC și a SIC, în conformitate cu prezenta decizie. Declarația de acreditare stabilește nivelul maxim de clasificare a informațiilor care poate fi gestionat de SIC, precum și termenii și condițiile acreditării respective.
(5) Sistemele de comunicații și informații care gestionează informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL și de nivel superior sunt protejate astfel încât informațiile să nu poată fi compromise prin emisii electromagnetice accidentale („măsuri de securitate TEMPEST”).
(6) În cazurile în care protecția IUEC este asigurată prin produse criptografice, acestea sunt aprobate după cum urmează:
(a)
confidențialitatea informațiilor clasificate la nivelul SECRET UE/EU SECRET și la un nivel superior este protejată prin produse criptografice aprobate de Consiliu în calitate de autoritate de aprobare criptografică (AAC) la recomandarea Comitetului de securitate;
(b)
confidențialitatea informațiilor clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau RESTREINT UE/EU RESTRICTED este protejată prin produse criptografice aprobate de Secretarul General al Consiliului (denumit în continuare „Secretarul General”) în calitate de AAC, la recomandarea Comitetului de securitate.
Fără a aduce atingere literei (b), în cadrul sistemelor naționale ale statelor membre, confidențialitatea IUEC clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau RESTREINT UE/EU RESTRICTED poate fi protejată prin produse criptografice aprobate de AAC a unui stat membru.
(7) În cursul transmiterii IUEC prin mijloace electronice, se folosesc produse criptografice aprobate. Fără a aduce atingere acestei cerințe, pot fi aplicate proceduri specifice în situații de urgență sau în cadrul unor configurații tehnice specifice, astfel cum se specifică în anexa IV.
(8) Autoritățile competente ale SGC și ale statelor membre instituie următoarele funcții aferente AI:
(a)
o autoritate AI (AAI);
(b)
o autoritate TEMPEST (AT);
(c)
o autoritate de aprobare criptografică (AAC);
(d)
o autoritate de distribuire a materialului criptografic (ADMC)
(9) Pentru fiecare sistem, autoritățile competente ale SGC, respectiv ale statelor membre, instituie:
(a)
o autoritate de acreditare în materie de securitate (AAS);
(b)
o autoritate operațională AI.
(10) Anexa IV cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 11
Securitatea industrială
(1) Securitatea industrială reprezintă aplicarea de măsuri în vederea asigurării protecției IUEC de către contractanți și subcontractanți în cursul negocierilor anterioare încheierii contractelor și pe toată durata contractelor clasificate. Astfel de contracte nu implică accesul la informații clasificate TRÈS SECRET UE/EU TOP SECRET.
(2) SGC poate încredința prin contract sarcini care implică sau determină accesul la IUEC sau gestionarea sau păstrarea acestora de entități industriale sau de altă natură înregistrate într-un stat membru sau într-un stat terț care a încheiat un acord sau un acord administrativ în conformitate cu articolul 12 alineatul (2) litera (a) sau (b).
(3) Atunci când atribuie contracte clasificate entităților industriale sau de altă natură, SGC, în calitate de autoritate contractantă, asigură respectarea standardelor minime privind securitatea industrială stabilite în prezenta decizie și menționate în contract.
(4) Autoritatea națională de securitate (ANS), autoritatea desemnată de securitate (ADS) și oricare altă autoritate competentă din statele membre se asigură, în măsura permisă de actele cu putere de lege și dispozițiile administrative naționale, că atât contractanții cât și subcontractanții iau toate măsurile necesare pentru protecția IUEC în cursul negocierilor premergătoare contractului precum și pe parcursul executării contractelor clasificate.
(5) ANS, ADS sau oricare altă autoritate de securitate competentă din fiecare stat membru se asigură, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale, că atât contractanții cât și subcontractanții înregistrați în statele membre respective care participă la contracte sau subcontracte necesitând accesul, în obiectivele lor, la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET, fie în cursul executării contractelor respective, fie în etapa precontractuală, trebuie să dețină un certificat de securitate industrială (CSI), la nivelul de clasificare necesar.
(6) Personalului contractantului sau al subcontractantului ale cărui atribuții pot necesita accesul la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET în scopul executării unui contract clasificat i se acordă un certificat de securitate a personalului (CSP) de către ANS/ADS corespunzătoare sau de către orice altă autoritate de securitate competentă, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale și cu standardele minime prevăzute în anexa I.
(7) Anexa V cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 12
Schimbul de informații clasificate cu state terțe și organizații internaționale
(1) În cazul în care Consiliul stabilește necesitatea schimbului de IUEC cu un stat terț sau o organizație internațională, se instituie un cadru corespunzător în acest sens.
(2) Pentru a stabili un astfel de cadru și pentru a defini reguli reciproce pentru protejarea informațiilor clasificate care fac obiectul schimbului,
(a)
Consiliul încheie acorduri privind procedurile de securitate pentru schimbul de informații clasificate și protecția acestora (denumite în continuare „acorduri privind securitatea informațiilor”); sau
(b)
Secretarul General poate încheia acorduri administrative, în condițiile prevăzute în anexa VI la punctul 17 în cazul în care nivelul de clasificare a IUEC care urmează a fi comunicate nu depășește, ca regulă generală, nivelul RESTREINT UE/EU RESTRICTED.
(3) Acordurile privind securitatea informațiilor sau acordurile administrative menționate la alineatul (2) conțin dispoziții care garantează că, atunci când statele terțe sau organizațiile internaționale primesc IUEC, acestea beneficiază de protecția corespunzătoare nivelului lor de clasificare, pe baza unor standarde cel puțin la fel de stricte precum cele instituite prin prezenta decizie.
(4) Decizia de a comunica IUEC provenite de la Consiliu către un stat terț sau o organizație internațională se ia de către Consiliu, de la caz la caz, în funcție de natura și conținutul informațiilor respective, necesitatea de a cunoaște a destinatarului lor și măsura avantajului pentru UE. Dacă emitentul informațiilor clasificate a căror comunicare este solicitată nu este Consiliul, SGC trebuie să solicite, mai întâi, consimțământul scris al emitentului. În cazul în care emitentul nu poate fi identificat, Consiliul își asumă răspunderea.
(5) Se organizează vizite de evaluare pentru a se stabili eficiența măsurilor de securitate aplicate într-un stat terț sau de către o organizație internațională pentru protecția IUEC furnizate sau schimbate.
(6) Anexa VI cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 13
Încălcări ale securității și compromiterea IUEC
(1) O încălcare a securității are loc în urma unei fapte sau omisiuni a unei persoane care contravine normelor de securitate stabilite în prezenta decizie.
(2) Compromiterea IUEC are loc atunci când, în urma unei încălcări a securității, acestea au fost divulgate, integral sau parțial, unor persoane neautorizate.
(3) Orice încălcare sau suspiciune de încălcare a securității este raportată imediat autorităților competente de securitate.
(4) În cazul în care se cunoaște sau există motive întemeiate să se presupună că IUEC au fost compromise sau pierdute, autoritatea competentă de securitate ia toate măsurile corespunzătoare în conformitate cu actele cu putere de lege și dispozițiile administrative relevante pentru:
(a)
a informa emitentul;
(b)
a asigura investigarea cazului de membri ai personalului care nu sunt implicați în mod direct în încălcare, pentru a stabili faptele;
(c)
a evalua potențialele prejudicii aduse intereselor UE sau ale statelor membre;
(d)
a lua măsurile adecvate pentru a împiedica repetarea situației; și
(e)
a notifica autorităților competente acțiunea întreprinsă.
(5) Orice persoană responsabilă de încălcarea normelor de securitate prevăzute în prezenta decizie poate fi pasibilă de acțiuni disciplinare, în conformitate cu legile, normele și dispozițiile administrative aplicabile. Orice persoană responsabilă pentru compromiterea sau pierderea IUEC este pasibilă de acțiuni disciplinare și/sau în justiție, în conformitate cu legile, normele și dispozițiile administrative aplicabile.
Articolul 14
Responsabilitatea pentru punerea în aplicare
(1) Consiliul ia toate măsurile necesare pentru a asigura coerența globală în aplicarea prezentei decizii.
(2) Secretarul General ia toate măsurile necesare pentru a asigura, în cazul gestionării sau păstrării IUEC sau a oricăror altor informații clasificate, aplicarea prezentei decizii în incintele utilizate de Consiliu și în cadrul SGC, inclusiv în cadrul birourilor de legătură ale acestuia, situate în state terțe, de către funcționari și alți agenți ai SGC, de către personalul detașat la SGC și de către contractanții SGC.
(3) Statele membre iau măsurile corespunzătoare, în conformitate cu actele cu putere de lege și dispozițiile administrative proprii, pentru a se asigura că, în momentul gestionării sau păstrării IUEC, prezenta decizie este respectată de către:
(a)
personalul reprezentanțelor permanente ale statelor membre pe lângă Uniunea Europeană și membrii delegațiilor naționale care participă la reuniunile Consiliului sau ale organismelor pregătitoare ale acestuia, sau care participă la alte activități ale Consiliului;
(b)
alți membri ai administrațiilor naționale ale statelor membre, inclusiv personalul detașat pe lângă acele administrații, indiferent dacă își desfășoară activitatea pe teritoriul statelor membre sau în străinătate;
(c)
alte persoane din statele membre, care, datorită funcțiilor ocupate, sunt autorizate să aibă acces la IUEC; și
(d)
contractanții statelor membre, aflați pe teritoriul acestora sau în străinătate.
Articolul 15
Organizarea securității la nivelul Consiliului
(1) Ca parte a rolului său de asigurare a coerenței globale în aplicarea prezentei decizii, Consiliul aprobă:
(a)
acordurile menționate la articolul 12 alineatul (2) litera (a);
(b)
deciziile care autorizează comunicarea de IUEC către state terțe și organizații internaționale;
(c)
un program de inspecții anuale propus de Secretarul General și recomandat de Comitetul de securitate pentru inspecții ale serviciilor și incintelor statelor membre și ale agențiilor și organismelor UE instituite în temeiul titlului V capitolul 2 din TUE, precum și ale Europol și Eurojust, și vizite de evaluare în state terțe și la organizații internaționale, în scopul stabilirii eficienței măsurilor puse în aplicare pentru protecția IUEC; și
(d)
politici de securitate, astfel cum sunt prevăzute la articolul 6 alineatul (1).
(2) Secretarul General este autoritatea de securitate a SGC. În această calitate, Secretarul General:
(a)
pune în aplicare politica de securitate a Consiliului și o supune reexaminării;
(b)
colaborează cu ANS ale statelor membre cu privire la toate chestiunile de securitate privind protecția informațiilor clasificate relevante pentru activitățile Consiliului;
(c)
acordă CSP UE funcționarilor și altor agenți ai SGC, în conformitate cu articolul 7 alineatul (3), înainte ca acestora să le fie acordat accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior;
(d)
după caz, dispune efectuarea de investigații cu privire la orice compromitere sau pierdere, reală sau bănuită, de informații clasificate deținute sau elaborate de Consiliu și solicită autorităților de securitate competente să contribuie la astfel de investigații;
(e)
efectuează inspecții periodice ale măsurilor de securitate pentru protecția informațiilor clasificate în incinta SGC;
(f)
efectuează inspecții periodice ale măsurilor de securitate destinate protecției IUEC din agențiile și organismele UE instituite în temeiul titlului V capitolul 2 din TUE, din Europol și Eurojust, precum și din operațiile de gestionare a crizelor instituite în temeiul titlului V capitolul 2 din TUE, precum și ale Reprezentanților Speciali ai UE (RSUE) și ale membrilor echipelor acestora;
(g)
efectuează, împreună și de comun acord cu ANS interesate, inspecții periodice ale măsurilor de securitate pentru protecția IUEC din serviciile și incintele aparținând statelor membre;
(h)
coordonează măsurile de securitate, împreună cu autoritățile competente ale statelor membre care sunt responsabile cu protecția informațiilor clasificate și, după caz, ale statelor terțe sau ale organizațiilor internaționale, inclusiv în ceea ce privește natura amenințărilor la adresa securității IUEC și mijloacele de protecție împotriva acestora;
(i)
încheie acordurile administrative menționate la articolul 12 alineatul (2) litera (b); și
(j)
efectuează vizite inițiale și periodice de evaluare în state terțe sau la organizații internaționale, în scopul stabilirii eficienței măsurilor puse în aplicare pentru protecția IUEC puse la dispoziția acestora sau schimbate cu acestea.
Oficiul de Securitate al SGC este la dispoziția Secretarului General pentru a-l asista în îndeplinirea acestor responsabilități.
(3) În sensul punerii în aplicare a articolului 14 alineatul (3), statele membre ar trebui:
(a)
să desemneze o ANS responsabilă cu măsurile de securitate pentru protecția IUEC, astfel încât:
(i)
IUEC deținute în cadrul tuturor departamentelor, organismelor sau agențiilor naționale, publice sau private, pe teritoriul național sau în străinătate, să fie protejate în conformitate cu prezenta decizie;
(ii)
măsurile de securitate pentru protecția IUEC să fie inspectate periodic;
(iii)
întregul personal angajat în cadrul unei administrații naționale sau de către un contractant și căruia îi poate fi acordat accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior să beneficieze de un certificat de securitate adecvat sau de un alt tip de autorizație în temeiul funcțiilor deținute, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale;
(iv)
să fie instituite programe de securitate în funcție de necesități pentru a reduce la minim riscul de pierdere sau de compromitere a IUEC;
(v)
chestiunile de securitate legate de protecția IUEC să fie abordate în colaborare cu alte autorități naționale competente, inclusiv cu cele menționate în prezenta decizie; și
(vi)
să se răspundă cererilor corespunzătoare de certificate de securitate din partea agențiilor și organismelor UE instituite în temeiul titlului V capitolul 2 din TUE, a Europol și Eurojust, precum și a operațiilor de gestionare a crizelor instituite în temeiul titlului V capitolul 2 din TUE sau a RSUE și a echipelor acestora.
ANS sunt enumerate în apendicele C;
(b)
să se asigure că autoritățile competente ale acestora oferă informații și consultanță guvernelor respective și, prin intermediul acestora, Consiliului cu privire la natura amenințărilor la adresa securității IUEC și la mijloacele de protecție împotriva acestora.
Articolul 16
Comitetul de securitate
(1) Se instituie un Comitet de securitate. Acesta examinează și evaluează orice aspect al securității care intră sub incidența prezentei decizii și adresează Consiliului recomandările corespunzătoare.
(2) Comitetul de securitate este compus din reprezentanți ai ANS ale statelor membre, iar un reprezentant al Comisiei și un reprezentant al Serviciului European de Acțiune Externă participă la lucrările sale. Comitetul este prezidat de Secretarul General sau de către delegatul desemnat al acestuia. Comitetul se reunește la indicația Consiliului sau la cererea Secretarului General sau a unei ANS.
La reuniunile acestuia pot fi invitați să asiste și reprezentanți ai agențiilor și organismelor UE instituite în temeiul titlului V capitolul 2 din TUE, precum și ai Europol și Eurojust, atunci când chestiunile dezbătute le privesc.
(3) Comitetul de securitate își organizează activitățile în așa fel încât să ofere recomandări cu privire la domenii de securitate specifice. Comitetul instituie un subdomeniu de experți pentru chestiunile AI și alte subdomenii de experți, după caz. Comitetul stabilește termeni de referință pentru aceste subdomenii de experți și primește rapoarte de la aceștia cu privire la activitățile lor, inclusiv, dacă este cazul, orice recomandări pentru Consiliu.
Articolul 17
Înlocuirea deciziei anterioare
(1) Prezenta decizie abrogă și înlocuiește Decizia 2001/264/CE a Consiliului din 19 martie 2001 de adoptare a regulamentului de securitate al Consiliului (2).
(2) Toate IUEC clasificate în conformitate cu Decizia 2001/264/CE continuă să fie protejate în conformitate cu dispozițiile corespunzătoare ale prezentei decizii.
Articolul 18
Intrarea în vigoare
Prezenta decizie intră în vigoare la data publicării în Jurnalul Oficial al Uniunii Europene.
Adoptată la Bruxelles, 31 martie 2011.