ROZHODNUTÍ RADY
ze dne 23. září 2013
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2013/488/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada, Komise a Evropská služba pro vnější činnosti (ESVČ) se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, instituce nebo jiné subjekty Unie případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Rada by měla stanovit vhodný rámec pro případné sdílení utajovaných informací EU v držení Rady s dalšími orgány, institucemi nebo jinými subjekty Unie, a to v souladu s tímto rozhodnutím a platnými interinstitucionálními ujednáními.
(7)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU by měly v rámci své vnitřní organizace uplatňovat instituce a agentury Unie zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii (dále jen „Smlouva o EU“), Europol a Eurojust, je-li tak stanoveno v aktu, jímž jsou zřízeny.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měla být uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky, je-li tak stanoveno v aktu Rady, jímž jsou tyto operace zřízeny.
(9)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měli uplatňovat zvláštní zástupci EU a členové jejich týmů, je-li tak stanoveno v příslušném aktu Rady.
(10)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(11)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie.
(12)
Aby bylo uplatňování bezpečnostních pravidel na ochranu utajovaných informací EU zajištěno včas se zřetelem k přistoupení Chorvatska k Evropské unii, mělo by toto rozhodnutí vstoupit v platnost dnem vyhlášení,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a)
TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b)
SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c)
CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d)
RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozbě škodlivých nebo trestných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečnostní politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti vyžadují, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším nebo s nimi nakládaly, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Tyto osoby musí obdržet od orgánu generálního sekretariátu Rady oprávněného ke jmenování oprávnění pro přístup k utajovaným informacím EU až do konkrétního stupně utajení a do konkrétního data.
4. Pracovníci členských států uvedení v čl. 15 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací a odhalovat takové ohrožení nebo ztrátu informací. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, snížení nebo zrušení stupně utajení, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v přílohách III a IV.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů představuje jistotu, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny bezpečnostními opatřeními proti ohrožení dotyčných informací kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“). Tato bezpečnostní opatření jsou přiměřená riziku zneužití a stupni utajení daných informací.
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady (dále jen „generální tajemník“) jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Aniž je dotčeno písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 13 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v příslušném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Sdílení utajovaných informací EU
1. Rada stanoví podmínky, za nichž může sdílet utajované informace EU, které má ve svém držení, s dalšími institucemi, orgány nebo jinými subjekty Unie. Za tímto účelem je možné zavést vhodný rámec, mimo jiné i uzavřením interinstitucionálních dohod či jiných ujednání, pokud je to k uvedenému účelu nezbytné.
2. Jakýkoli takový rámec zajistí, aby utajovaným informacím EU byla poskytnuta ochrana odpovídající jejich stupni utajení a v souladu se základními zásadami a minimálními standardy, které musí být rovnocenné zásadám a standardům stanoveným v tomto rozhodnutí.
Článek 13
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Unie uzavře se třetími státy nebo mezinárodními organizacemi dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může jménem generálního sekretariátu Rady uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro Unii. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem ověření účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 14
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme vnitrostátní bezpečnostní orgán nebo jiný příslušný orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů Unie a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 15
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání bude v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 16
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 13 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytnutí utajovaných informací EU, jejichž původcem nebo držitelem je Rada, třetím státům a mezinárodním organizacím nebo rozhodnutí o poskytnutí takového souhlasu, a to v souladu se zásadou souhlasu původce;
c)
roční program hodnotících návštěv doporučený Bezpečnostním výborem, zahrnující hodnotící návštěvy služeb a prostor členských států, institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, a hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
vydává úředníkům a ostatním zaměstnancům generálního sekretariátu Rady, jakož i vyslaným národním odborníkům oprávnění k přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším v souladu s čl. 7 odst. 3;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné návštěvy za účelem hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v institucích, agenturách a útvarech Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelná hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
zajišťuje v případě potřeby koordinaci bezpečnostních opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením, a
i)
uzavírá správní ujednání podle čl. 13 odst. 2 písm. b).
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 15 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán, jak je uvedeno v dodatku C, odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována či hodnocena,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí, a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané zejména ze strany institucí, agentur a útvarů a operací Unie zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i ze strany zvláštních zástupců EU a členů jejich týmů, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 17
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a ESVČ. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 18
Nahrazení předchozích rozhodnutí
1. Tímto rozhodnutím se zrušuje a nahrazuje rozhodnutí Rady 2011/292/EU (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES (3) a rozhodnutí 2011/292/EU jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 19
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 23. září 2013.
ODLUKA VIJEĆA
od 23. rujna 2013.
o sigurnosnim propisima za zaštitu klasificiranih podataka EU-a
(2013/488/EU)
VIJEĆE EUROPSKE UNIJE,
uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 240. stavak 3.,
uzimajući u obzir Odluku Vijeća 2009/937/EU od 1. prosinca 2009. o donošenju Poslovnika Vijeća (1), a posebno njezin članak 24.,
budući da:
(1)
Kako bi se razvile aktivnosti Vijeća u svim područjima u kojima je potrebno postupati s klasificiranim podacima, primjereno je uspostaviti sveobuhvatni sigurnosni sustav za zaštitu klasificiranih podataka kojim će biti obuhvaćeni Vijeće, njegovo Glavno tajništvo i države članice.
(2)
Ova bi se Odluka trebala primjenjivati kada Vijeće, njegova pripremna tijela i Glavno tajništvo Vijeća (GSC) postupaju s klasificiranim podacima EU-a (EUCI-jem).
(3)
U skladu s nacionalnim zakonima i propisima i u mjeri u kojoj je to potrebno za funkcioniranje Vijeća, države članice trebale bi poštovati ovu Odluku kada njihova nadležna tijela, osoblje ili ugovaratelji postupaju s klasificiranim podacima EU-a, kako bi svi bili sigurni da je za klasificirane podatke EU-a osigurana jednaka razina zaštite.
(4)
Vijeće, Komisija i Europska služba za vanjsko djelovanje (EEAS) zalažu se za primjenu jednakih sigurnosnih standarda za zaštitu klasificiranih podataka EU-a.
(5)
Vijeće ističe važnost povezivanja, prema potrebi, Europskog parlamenta i drugih institucija, tijela, ureda ili agencija Unije s načelima, standardima i pravilima za zaštitu klasificiranih podataka nužnih za zaštitu interesa Unije i njezinih država članica.
(6)
Vijeće bi trebalo utvrditi odgovarajući okvir za razmjenu klasificiranih podataka EU-a u posjedu Vijeća s drugim institucijama, tijelima, uredima ili agencijama Unije, prema potrebi, u skladu s ovom Odlukom i međuinstitucionalnim dogovorima koji su na snazi.
(7)
Tijela i agencije EU-a uspostavljeni na temelju glave V. poglavlja 2. Ugovora o Europskoj uniji (UEU), Europol i Eurojust trebali bi primjenjivati, u kontekstu svoje interne organizacije, osnovna načela i minimalne standarde za zaštitu klasificiranih podataka EU-a utvrđene u ovoj Odluci ako je tako predviđeno u aktu o njihovoj uspostavi.
(8)
Na operacije upravljanja krizama uspostavljene na temelju glave V. poglavlja 2. UEU-a i njihovo osoblje trebala bi se primjenjivati sigurnosna pravila koja je donijelo Vijeće u svrhu zaštite klasificiranih podataka EU-a kada je to predviđeno aktom Vijeća o njihovoj uspostavi.
(9)
Posebni predstavnici EU-a i članovi njihovih timova trebali bi primjenjivati sigurnosna pravila koja je donijelo Vijeće u svrhu zaštite klasificiranih podataka EU-a kada je tako predviđeno relevantnim aktom Vijeća.
(10)
Donošenjem ove Odluke ne dovode se u pitanje članci 15. i 16. Ugovora o funkcioniranju Europske unije (UFEU) te instrumenti kojima se ti članci provode.
(11)
Donošenjem ove Odluke ne dovodi se u pitanje postojeća praksa u državama članicama s obzirom na obavješćivanje njihovih nacionalnih parlamenata o aktivnostima Unije.
(12)
Kako bi se osigurala pravodobna primjena sigurnosnih pravila u pogledu zaštite klasificiranih podataka EU-a s obzirom na pristupanje Republike Hrvatske Europskoj uniji, ova bi Odluka trebala stupiti na snagu na dan objave,
DONIJELO JE OVU ODLUKU:
Članak 1.
Svrha, područje primjene i definicije
1. Ovom se Odlukom utvrđuju osnovna načela i minimalni standardi sigurnosti za zaštitu klasificiranih podataka EU-a (EUCI).
2. Navedeni minimalni standardi i osnovna načela primjenjuju se na Vijeće i GSC, a države članice ih poštuju u skladu s njihovim nacionalnim zakonima i propisima kako bi svi bili sigurni da je za klasificirane podatke EU-a osigurana jednaka razina zaštite.
3. Za potrebe ove Odluke primjenjuju se definicije navedene u Dodatku A.
Članak 2.
Definicija klasificiranih podataka EU-a, stupnjeva tajnosti i oznaka
1. „Klasificirani podaci EU-a” (EUCI) znači svaki podatak ili materijal koji je označen stupnjem tajnosti EU-u i čije neovlašteno otkrivanje može uzrokovati različite stupnjeve prijetnje nanošenjem štete interesima Europske unije ili jedne ili više država članica.
2. Klasificirani podaci EU-a klasificiraju se prema sljedećim stupnjevima tajnosti:
(a)
TRÈS SECRET UE/EU TOP SECRET podaci i materijali čije neovlašteno otkrivanje može iznimno teško naštetiti bitnim interesima Europske unije ili jedne ili više država članica;
(b)
SECRET UE/EU SECRET podaci i materijali čije neovlašteno otkrivanje može teško naštetiti bitnim interesima Europske unije ili jedne ili više država članica;
(c)
CONFIDENTIEL UE/EU CONFIDENTIAL podaci i materijali čije neovlašteno otkrivanje može nanijeti štetu bitnim interesima Europske unije ili jedne ili više država članica;
(d)
RESTREINT UE/EU RESTRICTED podaci i materijali čije neovlašteno otkrivanje može dovesti u nepovoljan položaj interese Europske unije ili jedne ili više država članica.
3. Klasificirani podaci EU-a moraju biti označeni stupnjem tajnosti u skladu sa stavkom 2. Mogu nositi i dodatne oznake kojima se utvrđuje područje djelatnosti na koje se odnose, određuje onog od kojeg potječu, ograničava distribucija, ograničava uporaba ili naznačuje mogućnost objavljivanja.
Članak 3.
Upravljanje klasifikacijom
1. Nadležna tijela osiguravaju da su klasificirani podaci EU-a klasificirani na odgovarajući način, da su jasno određeni kao klasificirani podaci i da zadrže svoj stupanj tajnosti samo onoliko dugo koliko je to potrebno.
2. Bez prethodne pisane suglasnosti onog od kojeg potječu, ne smije se smanjiti stupanj tajnosti klasificiranih podataka EU-a, klasificirani se podaci EU-a ne smiju deklasificirati niti se smije promijeniti ili ukloniti ijedna oznaka iz članka 2. stavka 3.
3. Vijeće odobrava sigurnosnu politiku za stvaranje klasificiranih podataka EU-a koja mora obuhvaćati i praktični vodič za klasificiranje.
Članak 4.
Zaštita klasificiranih podataka
1. Klasificirani podaci EU-a štite se u skladu s ovom Odlukom.
2. Imatelj klasificiranog podatka EU-a odgovoran je za njegovu zaštitu u skladu s ovom Odlukom.
3. Ako države članice uvedu klasificirane podatke s oznakom nacionalnog stupnja tajnosti u strukture ili mreže Unije, Vijeće i GSC štite navedene podatke u skladu sa zahtjevima primjenljivima na klasificirane podatke EU-a na jednakoj razini kako je utvrđeno u tablici ekvivalentnosti stupnjeva tajnosti sadržanoj u Dodatku B.
4. Skup klasificiranih podataka EU-a može nalagati stupanj zaštite koji odgovara višem stupnju tajnosti od njegovih pojedinačnih dijelova.
Članak 5.
Upravljanje sigurnosnim rizicima
1. Rizikom za klasificirane podatke EU-a upravlja se kao procesom. Cilj je tog procesa utvrđivanje poznatih sigurnosnih rizika, definiranje sigurnosnih mjera za smanjenje takvih rizika na prihvatljivu razinu u skladu s osnovnim načelima i minimalnim standardima navedenima u ovoj Odluci te primjena navedenih mjera u skladu s konceptom dubinske obrane kako je određeno u Dodatku A. Učinkovitost takvih mjera stalno se ocjenjuje.
2. Sigurnosne mjere za zaštitu klasificiranih podataka EU-a moraju tijekom njihova životnog ciklusa biti primjerene njihovu stupnju tajnosti, obliku i opsegu podataka ili materijala, mjestu i konstrukciji objekata u kojima su smješteni klasificirani podaci EU-a i lokalno procijenjenoj prijetnji zlonamjernih i/ili kriminalnih aktivnosti, uključujući špijunažu, sabotažu i terorizam.
3. U kriznim se planovima mora imati na umu potrebu zaštite klasificiranih podataka EU-a u izvanrednim situacijama kako bi se spriječio neovlašteni pristup, otkrivanje ili gubitak cjelovitosti ili dostupnosti.
4. U planove neprekidnosti poslovanja moraju se uključiti preventivne mjere i mjere oporavka kako bi se na najmanju moguću mjeru sveli veliki propusti ili nezgode u postupanju s klasificiranim podacima EU-a i njihovu čuvanju.
Članak 6.
Provedba ove Odluke
1. Vijeće prema potrebi, na preporuku Sigurnosnog odbora, odobrava sigurnosne politike u kojima su navedene mjere za provedbu ove Odluke.
2. Sigurnosni se odbor na svojoj razini može dogovoriti o sigurnosnim smjernicama kojima će dopuniti ili potkrijepiti ovu Odluku te sve sigurnosne politike koje odobri Vijeće.
Članak 7.
Sigurnost osoblja
1. Sigurnost osoba je primjena mjera kojima se osigurava odobravanje pristupa klasificiranim podacima EU-a samo pojedincima:
-
kojima je nužan pristup podacima,
-
koji su, prema potrebi, prošli sigurnosnu provjeru za odgovarajući stupanj, i
-
koji su upoznati sa svojim odgovornostima.
2. Postupci za sigurnosnu provjeru osoba oblikovani su tako da se njima utvrđuje može li se pojedinca, s obzirom na njegovu lojalnost, vjerodostojnost i pouzdanost, ovlastiti za pristup klasificiranim podacima EU-a.
3. Svi pojedinci u GSC-u koji zbog svojih dužnosti moraju imati pristup ili moraju postupati s klasificiranim podacima EU-a sa stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim moraju proći sigurnosnu provjeru za odgovarajući stupanj prije nego što im se omogući pristup takvim klasificiranim podacima EU-a. Te pojedince mora ovlastiti tijelo za imenovanja GSC-a za pristup klasificiranim podacima EU-a do određene razine i do određenog datuma.
4. Osoblje država članica iz članka 15. stavka 3., koje zbog svojih dužnosti može zatrebati pristup klasificiranim podacima EU-a sa stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim mora proći sigurnosnu provjeru za odgovarajući stupanj ili mora biti na neki drugi način propisno ovlašteno na temelju svojih funkcija, u skladu s nacionalnim zakonima i propisima, prije nego što mu se odobri pristup takvim klasificiranim podacima EU-a.
5. Prije nego što im se odobri pristup klasificiranim podacima EU-a te u pravilnim vremenskim razmacima nakon toga, svi se pojedinci upućuju u svoje odgovornosti povezane sa zaštitom klasificiranih podataka EU-a u skladu s ovom Odlukom te ih moraju prihvatiti.
6. Odredbe za provedbu ovog članka navedene su u Prilogu I.
Članak 8.
Fizička sigurnost
1. Fizička sigurnost je primjena fizičkih i tehničkih zaštitnih mjera za sprečavanje neovlaštenog pristupa klasificiranim podacima EU-a.
2. Cilj mjera fizičke sigurnosti je sprečavanje tajnog ili nasilnog ulaska neovlaštenih osoba, odvraćanje od neovlaštenih radnji, sprečavanje ili otkrivanje neovlaštenih radnji te omogućavanje razdvajanja osoblja koje pristupa klasificiranim podacima EU-a zbog nužnosti pristupa. Takve se mjere određuju na temelju procesa upravljanja rizicima.
3. Mjere fizičke sigurnosti uspostavljaju se za sve prostorije, zgrade, urede, sobe i druga područja u kojima se postupa s klasificiranim podacima EU-a ili se ondje čuvaju, uključujući područja u kojima su smješteni komunikacijski i informacijski sustavi kako je određeno u članku 10. stavku 2.
4. Područja u kojima se čuvaju klasificirani podaci EU-a sa stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili više utvrđuju se kao sigurnosne zone u skladu s Prilogom II., a odobrava ih nadležno sigurnosno tijelo.
5. Za zaštitu klasificiranih podataka EU-a sa stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili više koristi se samo odobrena oprema ili uređaji.
6. Odredbe za provedbu ovog članka navedene su u Prilogu II.
Članak 9.
Upravljanje klasificiranim podacima
1. Upravljanje klasificiranim podacima primjena je administrativnih mjera za kontrolu klasificiranih podataka EU-a tijekom njihova životnog ciklusa kojima se dopunjuju mjere iz članaka 7., 8. i 10. i pri tome pomaže pri odvraćanju i otkrivanju namjerne ili slučajne ugroze ili gubitka takvih podataka. Takve se mjere posebno odnose na stvaranje, upis, umnožavanje, prevođenje, smanjenje stupnja tajnosti, deklasifikaciju, prijenos i uništavanje klasificiranih podataka EU-a.
2. Podaci klasificirani kao CONFIDENTIEL UE/EU CONFIDENTIAL ili više upisuju se iz sigurnosnih razloga prije distribucije i po primitku. U tu svrhu nadležna tijela u GSC-u i državama članicama uspostavljaju sustav registara. Podaci klasificirani kao TRÈS SECRET UE/EU TOP SECRET upisuju se u predviđene registre.
3. Službe i prostorije u kojima se postupa s klasificiranim podacima EU-a ili se ondje čuvaju podliježu redovitim inspekcijama koje provodi nadležno sigurnosno tijelo.
4. Klasificirani podaci EU-a prosljeđuju se između službi i prostorija izvan fizički zaštićenih područja na sljedeći način:
(a)
u pravilu, klasificirani podaci EU-a prenose se elektroničkim sredstvima koja su zaštićena kriptografskim proizvodima odobrenima u skladu s člankom 10. stavkom 6.;
(b)
ako se ne uporabe sredstva iz točke (a), klasificirani podaci EU-a prenose se:
i.
na elektroničkim medijima (npr. USB-u, CD-u, tvrdom disku) koji su zaštićeni kriptografskim proizvodima odobrenima u skladu s člankom 10. stavkom 6.; ili
ii.
u svim drugim slučajevima na način koji je propisalo nadležno sigurnosno tijelo u skladu s odgovarajućim zaštitnim mjerama utvrđenima u Prilogu III.
5. Odredbe za provedbu ovog članka navedene su u prilozima III. i IV.
Članak 10.
Zaštita klasificiranih podataka EU-a koji se obrađuju u komunikacijskim i informacijskih sustavima
1. Informacijska sigurnost (IA) u području komunikacijskih i informacijskih sustava povjerenje je da će takvi sustavi štititi podatke koje obrađuju i da će funkcionirati onako kako trebaju, kada trebaju i pod kontrolom zakonitih imatelja. Učinkoviti IA osigurava odgovarajuće razine tajnosti, cjelovitosti, dostupnosti, nepobitnosti i autentičnosti. IA se temelji na procesu upravljanja rizicima.
2. „Komunikacijski i informacijski sustav” (CIS) znači svaki sustav koji omogućuje postupanje s podacima u elektroničkom obliku. CIS obuhvaća sva sredstva potrebna za njegov rad, uključujući infrastrukturu, organizaciju, osoblje i informacijske resurse. Ova se Odluka primjenjuje na CIS za postupanje s klasificiranim podacima EU-a (CIS).
3. CIS postupa s klasificiranim podacima EU-a u skladu s konceptom IA-a.
4. Svaki CIS mora proći proces akreditacije. Cilj je akreditacije pribavljanje potvrde da su sve odgovarajuće sigurnosne mjere provedene i da je ostvarena dostatna razina zaštite klasificiranih podataka EU-a i CIS-a u skladu s ovom Odlukom. U izjavi o akreditaciji određuju se najviši stupanj tajnosti podataka s kojima se može postupati u CIS-u i odgovarajući uvjeti.
5. Provode se sigurnosne mjere za zaštitu CIS-a, u kojem se postupa s podacima sa stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL i višim, od ugroze takvih podataka nenamjernim elektromagnetnim zračenjem („sigurnosne mjere TEMPEST”). Takve sigurnosne mjere razmjerne su riziku iskorištavanja i stupnju tajnosti tih podataka.
6. Ako su klasificirani podaci EU-a zaštićeni kriptografskim proizvodima, takvi proizvodi odobravaju se kako slijedi:
(a)
tajnost podataka klasificiranih kao SECRET UE/EU SECRET i više zaštićena je kriptografskim proizvodima koje je odobrilo Vijeće u ulozi tijela za odobravanje kriptomaterijala (CAA) na preporuku Sigurnosnog odbora;
(b)
tajnost podataka klasificiranih kao CONFIDENTIEL UE/EU CONFIDENTIAL ili RESTREINT UE/EU RESTRICTED zaštićena je kriptografskim proizvodima koje je odobrio glavni tajnik Vijeća („glavni tajnik”) u ulozi CAA-a na preporuku Sigurnosnog odbora.
Neovisno o točki (b), unutar nacionalnih sustava država članica povjerljivost klasificiranih podataka EU-a sa stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili RESTREINT UE/EU RESTRICTED može se zaštititi kriptografskim proizvodima koje je odobrio CAA države članice.
7. Tijekom prijenosa klasificiranih podataka EU-a elektroničkim sredstvima rabe se odobreni kriptografski proizvodi. Neovisno o tom zahtjevu, u izvanrednim se okolnostima ili posebnim tehničkim konfiguracijama navedenima u Prilogu IV. mogu primjenjivati posebni postupci.
8. Nadležna tijela GSC-a, odnosno država članica uspostavljaju sljedeće funkcije IA-a:
(a)
tijelo za IA (IAA);
(b)
tijelo za TEMPEST (TA);
(c)
tijelo za odobravanje kriptomaterijala (CAA);
(d)
tijelo za distribuciju kriptomaterijala (CDA).
9. Nadležna tijela GSC-a, odnosno država članica uspostavljaju za svaki sustav:
(a)
tijelo za sigurnosnu akreditaciju (SAA);
(b)
operativno tijelo za IA.
10. Odredbe za provedbu ovog članka navedene su u Prilogu IV.
Članak 11.
Gospodarska sigurnost
1. Gospodarska sigurnost je primjena mjera kojima se osigurava da ugovaratelji i podugovaratelji štite klasificirane podatke EU-a u pregovorima prije sklapanja ugovora i tijekom životnog ciklusa klasificiranih ugovora. Takvi ugovori ne smiju uključivati pristup podacima koji su klasificirani kao TRÈS SECRET UE/EU TOP SECRET.
2. GSC može na temelju ugovora povjeriti zadaće koji obuhvaćaju ili uključuju pristup ili postupanje s klasificiranim podacima EU-a ili njihovo čuvanje gospodarskim ili drugim subjektima registriranima u državi članici ili trećoj državi koja je sklopila sporazum ili administrativni dogovor u skladu s člankom 13. stavkom 2. točkama (a) ili (b).
3. GSC, kao tijelo za ugovaranje, osigurava poštovanje minimalnih standarda o gospodarskoj sigurnosti navedenih u ovoj Odluci, i iz ugovora, prilikom sklapanja klasificiranih ugovora s gospodarskim ili drugim subjektima.
4. Nacionalno sigurnosno tijelo (NSA) ili zaduženo sigurnosno tijelo (DSA) ili bilo koje drugo nadležno tijelo svake države članice osigurava, u mjeri u kojoj je to moguće prema nacionalnim zakonima i propisima, da ugovaratelji i podugovaratelji registrirani na njezinom državnom području poduzmu sve odgovarajuće mjere za zaštitu klasificiranih podataka EU-a tijekom pregovora prije sklapanja ugovora i prilikom izvršenja klasificiranog ugovora.
5. NSA, DSA ili bilo koje drugo nadležno sigurnosno tijelo svake države članice osigurava, u skladu s nacionalnim zakonima i propisima, da ugovaratelji ili podugovaratelji koji su registrirani u državi članici i koji sudjeluju u klasificiranim ugovorima ili podugovorima koji zahtijevaju pristup podacima klasificiranima kao CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET unutar svojih prostorija, bilo tijekom izvršenja takvih ugovora ili u fazi prije sklapanja ugovora, posjeduju uvjerenje o sigurnosnoj provjeri pravne osobe (FSC) za odgovarajući stupanj tajnosti.
6. Osoblju ugovaratelja ili podugovaratelja kojem za izvršenje klasificiranog ugovora treba pristup podacima klasificiranima kao CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET odgovarajući NSA, DSA ili bilo koje drugo nadležno sigurnosno tijelo odobrava uvjerenje o sigurnosnoj provjeri osobe (PSC) u skladu s nacionalnim zakonima i propisima te minimalnim standardima utvrđenima u Prilogu I.
7. Odredbe za provedbu ovog članka navedene su u Prilogu V.
Članak 12.
Razmjena klasificiranih podataka EU-a
1. Vijeće određuje uvjete prema kojima ono može razmjenjivati klasificirane podatke EU-a u njegovu vlasništvu s drugim institucijama, tijelima, uredima, ili agencijama Unije. U tu svrhu može se uspostaviti odgovarajući okvir, uključujući sklapanje međuinstitucionalnih sporazuma ili drugih dogovora, ako je to potrebno.
2. Takvim okvirom jamči se da su klasificirani podaci EU-a zaštićeni na odgovarajući način u skladu sa stupnjem tajnosti te sukladno temeljnim načelima i minimalnim standardima koji su jednaki onima utvrđenima u ovoj Odluci.
Članak 13.
Razmjena klasificiranih podataka s trećim državama i međunarodnim organizacijama
1. Ako Vijeće utvrdi da postoji potreba za razmjenom klasificiranih podataka EU-a s trećim državama ili međunarodnim organizacijama, u tu se svrhu uspostavlja odgovarajući okvir.
2. Za uspostavljanje takvog okvira i definiranje uzajamnih pravila o zaštiti razmijenjenih klasificiranih podataka:
(a)
Unija sklapa sporazume s trećim državama ili međunarodnim organizacijama o sigurnosnim postupcima za razmjenu i zaštitu klasificiranih podataka („sporazumi o sigurnosti podataka”); ili
(b)
glavni tajnik može sklapati administrativne dogovore u ime GSC-a u skladu sa stavkom 17. Priloga VI. ako stupanj tajnosti klasificiranih podataka EU-a koji se treba objaviti u pravilu nije viši od RESTREINT UE/EU RESTRICTED.
3. Sporazumi o sigurnosti podataka ili administrativni dogovori iz stavka 2. sadrže odredbe kojima se osigurava odgovarajuća zaštita podataka koje prime treće države ili međunarodne organizacije u skladu s njihovim stupnjem tajnosti i minimalnim standardima koji nisu ništa manje strogi od minimalnih standarda utvrđenih ovom Odlukom.
4. Odluku o objavljivanju klasificiranih podataka EU-a koji potječu od Vijeća trećoj državi ili međunarodnoj organizaciji donosi Vijeće od slučaja do slučaja, u skladu s prirodom i sadržajem takvih podataka, nužnosti primatelja za pristupom podacima i koristi koju će imati Unija. Ako onaj od kojeg potječu klasificirani podaci koji se žele objaviti nije Vijeće, GSC najprije mora zatražiti pisanu suglasnost za objavljivanje od onog od kojeg podaci potječu. Ako se taj ne može utvrditi, Vijeće preuzima odgovornost onog od kojeg podaci potječu.
5. Organiziraju se posjeti za procjenu stanja, kako bi se utvrdila učinkovitost uspostavljenih sigurnosnih mjera u trećoj državi ili međunarodnoj organizaciji za zaštitu dostavljenih ili razmijenjenih klasificiranih podataka EU-a.
6. Odredbe za provedbu ovog članka navedene su u Prilogu VI.
Članak 14.
Povrede sigurnosti i ugroza klasificiranih podataka EU-a
1. Povreda sigurnosti posljedica je radnje ili propusta pojedinca koji je u suprotnosti sa sigurnosnim propisima utvrđenima ovom Odlukom.
2. Do ugroze klasificiranih podataka EU-a dolazi kada su ti podaci djelomično ili u cijelosti otkriveni neovlaštenim osobama kao rezultat povrede sigurnosti.
3. Svaka povreda ili sumnja u povredu sigurnosti odmah se prijavljuje nadležnom sigurnosnom tijelu.
4. Ako je poznato ili ako postoje opravdani razlozi na temelju kojih se može pretpostaviti da su klasificirani podaci EU-a ugroženi ili izgubljeni, NSA ili drugo nadležno tijelo poduzima sve odgovarajuće mjere u skladu s mjerodavnim zakonima i propisima, kako bi:
(a)
obavijestilo onog od kojeg podaci potječu;
(b)
osiguralo da istragu predmeta provede osoblje koje nije neposredno povezano s povredom s ciljem utvrđivanja činjenica;
(c)
procijenilo moguću štetu nanesenu interesima Unije ili država članica;
(d)
poduzelo odgovarajuće mjere za sprečavanje ponovne povrede; i
(e)
obavijestilo nadležna tijela o poduzetim mjerama.
5. Protiv svakog pojedinca odgovornog za povredu sigurnosnih propisa utvrđenih ovom Odlukom može se pokrenuti disciplinski postupak u skladu s mjerodavnim pravilima i propisima. Protiv svakog pojedinca odgovornog za ugrozu ili gubitak klasificiranih podataka EU-a pokreće se disciplinski i/ili pravni postupak u skladu s mjerodavnim zakonima, pravilima i propisima.
Članak 15.
Odgovornost za provedbu
1. Vijeće poduzima sve potrebne mjere, kako bi osiguralo cjelokupnu dosljednost u primjeni ove Odluke.
2. Glavni tajnik poduzima sve potrebne mjere kako bi osigurao da, prilikom postupanja s klasificiranim podacima EU-a ili bilo kojim drugim klasificiranim podacima ili prilikom njihova čuvanja, dužnosnici GSC-a i drugi službenici, osoblje upućeno GSC-u i ugovaratelji GSC-a primjenjuju ovu Odluku u prostorijama kojima se služi Vijeće i unutar GSC-a.
3. Države članice poduzimaju sve odgovarajuće mjere u skladu sa svojim nacionalnim zakonima i propisima kako bi osigurale da prilikom postupanja s klasificiranim podacima EU-a i njihova čuvanja ovu Odluku poštuju:
(a)
osoblje stalnih predstavništava država članica u Europskoj uniji i nacionalni predstavnici koji prisustvuju sastancima Vijeća ili njegovih pripremnih tijela ili sudjeluju u drugim aktivnostima Vijeća;
(b)
ostalo osoblje u nacionalnim administracijama država članica, uključujući osoblje upućeno tim administracijama, bez obzira na to obavlja li ono svoju službu na državnom području države članice ili u inozemstvu;
(c)
ostale osobe u državama članicama koje su, u skladu sa svojim funkcijama, propisno ovlaštene za pristup klasificiranim podacima EU-a; i
(d)
ugovaratelji država članica, bez obzira na to jesu li na području države članice ili u inozemstvu.
Članak 16.
Organizacija sigurnosti u Vijeću
1. U okviru svoje uloge u osiguravanju cjelokupne dosljednosti u primjeni ove Odluke Vijeće odobrava:
(a)
sporazume iz članka 13. stavka 2. točke (a);
(b)
odluke kojima se odobrava ili daje suglasnost za objavu klasificiranih podataka EU-a koji potječu od Vijeća ili su njegovom posjedu trećim državama i međunarodnim organizacijama, u skladu s načelom pristanka izvora;
(c)
godišnji program posjeta radi procjene stanja na preporuku Sigurnosnog odbora za posjete radi procjene službi i prostorija država članica, tijela, agencija i subjekata Unije koji primjenjuju ovu Odluku ili njezina načela te za posjete radi procjene stanja trećim državama i međunarodnim organizacijama, kako bi se utvrdila učinkovitost provedenih mjera za zaštitu klasificiranih podataka EU-a; i
(d)
sigurnosne politike predviđene člankom 6. stavkom 1.
2. Glavni tajnik sigurnosno je tijelo GSC-a. U tom svojstvu glavni tajnik:
(a)
provodi i preispituje sigurnosnu politiku Vijeća;
(b)
koordinira s NSA-ima država članica sva pitanja sigurnosti povezana sa zaštitom klasificiranih podataka koji se odnose na aktivnosti Vijeća;
(c)
izdaje dužnosnicima GSC-a, drugim službenicima i upućenim nacionalnim stručnjacima ovlaštenje za pristup podacima sa stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim, u skladu s člankom 7. stavkom 3.;
(d)
prema potrebi, nalaže istrage svake stvarne ugroze ili gubitka ili ako postoji sumnja u ugrozu ili gubitak klasificiranih podataka koji su u posjedu ili potječu od Vijeća te zahtijeva pomoć od nadležnih sigurnosnih tijela u takvim istragama;
(e)
poduzima periodične inspekcije sigurnosnih mjera za zaštitu klasificiranih podataka u prostorijama GSC-a;
(f)
poduzima periodične posjete radi procjene sigurnosnih mjera za zaštitu klasificiranih podataka EU-a u tijelima, agencijama i subjektima Unije koji primjenjuju ovu Odluku ili njezina načela;
(g)
zajedno i u dogovoru s predmetnim NSA-om poduzima periodične procjene sigurnosnih mjera za zaštitu klasificiranih podataka EU-a u službama i prostorijama država članica;
(h)
osigurava da se sigurnosne mjere koordiniraju prema potrebi s nadležnim tijelima država članica koja su odgovorna za zaštitu klasificiranih podataka i, prema potrebi, trećim državama ili međunarodnim organizacijama, također i u pogledu prirode prijetnji sigurnosti klasificiranih podataka EU-u i sredstava za zaštitu od njih; i
(i)
sklapa administrativne dogovore iz članka 13. stavka 2. točke (b).
Ured za sigurnost GSC-a na raspolaganju je glavnom tajniku i pruža mu pomoć u pogledu navedenih odgovornosti.
3. Za potrebe provedbe članka 15. stavka 3. države članice trebale bi:
(a)
odrediti NSA, kako je navedeno u Dodatku C, odgovoran za sigurnosne mjere za zaštitu klasificiranih podataka EU-a, kako bi:
i.
klasificirani podaci u posjedu bilo kojeg nacionalnog odjela, tijela ili agencije, bilo javne ili privatne, kod kuće ili u inozemstvu, bili zaštićeni u skladu s ovom Odlukom;
ii.
se sigurnosne mjere za zaštitu klasificiranih podataka EU-a povremeno pregledale ili procijenile;
iii.
svi pojedinci zaposleni u nacionalnoj administraciji ili pri ugovaratelju kojem se može odobriti pristup podacima klasificiranim kao CONFIDENTIEL UE/EU CONFIDENTIAL ili više prošli odgovarajuću sigurnosnu provjeru ili bili na neki drugi način propisno ovlašteni na temelju svojih funkcija u skladu s nacionalnim zakonima i propisima;
iv.
se prema potrebi uspostavili sigurnosni programi radi smanjivanja opasnosti od ugroze ili gubitka klasificiranih podataka EU-a;
v.
pitanja sigurnosti koja se odnose na zaštitu klasificiranih podataka EU-a bila usklađena s drugim nadležnim nacionalnim tijelima, uključujući tijela iz ove Odluke; i
vi.
se odgovorilo na odgovarajuće zahtjeve za sigurnosnu provjeru, a posebno na one koje su podnijele bilo koja tijela, agencije, subjekti i operacije Unije, uspostavljeni na temelju glave V. poglavlja 2. UEU-a, te posebni predstavnici EU-a (PPEU-i) i njihovi timovi koji primjenjuju ovu Odluku ili njezina načela;
(b)
osigurati da njihova nadležna tijela dostave podatke i savjete svojim vladama, a putem njih i Vijeću, o prirodi prijetnji sigurnosti klasificiranih podataka EU-a i sredstvima zaštite od njih.
Članak 17.
Sigurnosni odbor
1. Ovim se uspostavlja Sigurnosni odbor. On ispituje i ocjenjuje sva sigurnosna pitanja obuhvaćena područjem primjene ove Odluke te prema potrebi daje preporuke Vijeću.
2. Sigurnosni je odbor sastavljen od predstavnika NSA-a država članica, a u njegovu radu sudjeluju predstavnici Komisije i EEAS-a. Njime predsjeda glavni tajnik ili njegov imenovani izaslanik. Sastaje se po uputi Vijeća ili na zahtjev glavnog tajnika ili NSA-a.
Predstavnici tijela, agencija i subjekata Unije koji primjenjuju ovu Odluku ili njezina načela mogu biti pozvani da sudjeluju na sastancima kada se raspravlja o pitanjima koja se na njih odnose.
3. Sigurnosni odbor organizira svoje aktivnosti tako da može davati preporuke za specifična područja sigurnosti. On utvrđuje stručno potpodručje za pitanja IA-a te prema potrebi druga stručna potpodručja. On sastavlja opis poslova za takva potpodručja i prima njihova izvješća o aktivnostima, uključujući, prema potrebi, sve preporuke Vijeću.
Članak 18.
Zamjena prethodne odluke
1. Ovom se Odlukom stavlja izvan snage i zamjenjuje Odluka Vijeća 2011/292/EU (2).
2. Svi klasificirani podaci EU-a klasificirani u skladu s Odlukom Vijeća 2001/264/EZ (3) i Odlukom 2011/292/EU i dalje su zaštićeni u skladu s odgovarajućim odredbama ove Odluke.
Članak 19.
Stupanje na snagu
Ova Odluka stupa na snagu na dan objave u Službenom listu Europske unije.
Sastavljeno u Bruxellesu 23. rujna 2013..