ROZHODNUTÍ RADY
ze dne 31. března 2011
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2011/292/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada a Komise se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, agentury, instituce nebo úřady EU případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU uplatňují v rámci své vnitřní organizace agentury a subjekty EU zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europol a Eurojust podle ustanovení svých příslušných zřizovacích aktů.
(7)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou jsou uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou uplatňují zvláštní zástupci EU a členové jejich týmů.
(9)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(10)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a) TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b) SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c) CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d) RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Evropské unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Evropské unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Velké množství či kompilace utajovaných informací EU mohou být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozby škodlivých nebo TRÈStných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečností politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti mohou vyžadovat, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Bezpečnostní prověrka pro úředníky a ostatní zaměstnance generálního sekretariátu Rady je upravena v příloze I.
4. Pracovníci členských států uvedení v čl. 14 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací, zjistit takové ohrožení nebo ztrátu informací a následně zajistit nápravu. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v příloze III.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů je jistota, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny takovým způsobem, aby informace nemohly být ohroženy kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“).
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Bez ohledu na písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 12 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v daném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Rada uzavře dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro EU. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem zhodnocení účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 13
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme příslušný bezpečnostní orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů EU a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 14
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání budou v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí, včetně styčných úřadů ve třetích státech a ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 15
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 12 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytování utajovaných informací EU třetím státům a mezinárodním organizacím;
c)
roční program inspekcí navržený generálním tajemníkem Rady a doporučený Bezpečnostním výborem pro inspekce orgánů a prostor členských států a agentur a subjektů EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europolu a Eurojustu, jakož i hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
před umožněním přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším úředníkům a ostatním zaměstnancům generálního sekretariátu Rady vydává v souladu s čl. 7 odst. 3 těmto úředníkům a zaměstnancům osvědčení o bezpečnostní prověrce personálu EU;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací EU v agenturách a subjektech EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europolu a Eurojustu, jakož i v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o EU a ze strany zvláštních zástupců EU a členů jejich týmů;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
koordinuje bezpečnostní opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením;
i)
uzavírá správní ujednání podle čl. 12 odst. 2 písm. b) a
j)
provádí úvodní a pravidelné hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, jež jim jsou poskytovány nebo jež jsou s nimi vyměňovány.
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 14 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané ze strany agentur a subjektů EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, Europolu a Eurojustu, jakož i ze strany operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o EU nebo zvláštních zástupců EU a členů jejich týmů;
Seznam vnitrostátních bezpečnostních orgánů je uveden v dodatku C.
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 16
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a Evropské služby pro vnější činnost. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci agentur a subjektů EU zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i Europolu a Eurojustu, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 17
Nahrazení předchozích rozhodnutí
1. Toto rozhodnutí zrušuje a nahrazuje rozhodnutí 2001/264/ES ze dne 19. března 2001, kterým se přijímají bezpečnostní předpisy Rady (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 18
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 31. března 2011.
BESLUIT VAN DE RAAD
van 31 maart 2011
betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie
(2011/292/EU)
DE RAAD VAN DE EUROPESE UNIE,
Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 240, lid 3,
Gezien Besluit 2009/937/EU van de Raad van 1 december 2009 houdende vaststelling van zijn reglement van orde (1), en met name artikel 24,
Overwegende hetgeen volgt:
(1)
Teneinde de werkzaamheden van de Raad op alle gebieden die de verwerking van geclassificeerde/gerubriceerde informatie (hierna: „gerubriceerde informatie”) vereisen, verder tot ontplooiing te brengen, is het passend een integraal beveiligingssysteem voor de bescherming van gerubriceerde informatie op te zetten dat de Raad, het secretariaat-generaal daarvan en de lidstaten bestrijkt.
(2)
Dit besluit moet worden toegepast telkens als de Raad, zijn voorbereidende instanties en het secretariaat-generaal van de Raad (hierna: „SGR”) gerubriceerde EU-informatie (hierna: „EUCI”) verwerken.
(3)
In overeenstemming met de nationale wet- en regelgeving en in de mate die voor het functioneren van de Raad vereist is, moeten de lidstaten, wanneer hun bevoegde autoriteiten, personeel of contractanten EUCI verwerken, voldoen aan dit besluit, zodat ieder ervan verzekerd is dat EUCI een gelijkwaardig beschermingsniveau krijgt.
(4)
De Raad en de Commissie zijn gehouden gelijkwaardige beveiligingsnormen toe te passen voor de bescherming van EUCI.
(5)
De Raad onderstreept het belang om, waar passend, het Europees Parlement en andere instellingen, organen of instanties van de Europese Unie te betrekken bij de beginselen, normen en regels voor de bescherming van gerubriceerde informatie die noodzakelijk zijn voor de bescherming van de belangen van de Unie en haar lidstaten.
(6)
De uit hoofde van titel V, hoofdstuk 2, van het Verdrag betreffende de Europese Unie (VEU) opgerichte organen en instanties van de Europese Unie, Europol en Eurojust passen in het kader van hun interne organisatie de in dit besluit vervatte basisbeginselen en minimumnormen voor de bescherming van EUCI toe, en zij doen dit in overeenstemming met de besluiten waarbij zij zijn opgericht.
(7)
De door de Raad vastgestelde beveiligingsvoorschriften voor de bescherming van EUCI worden bij crisisbeheersingsoperaties uit hoofde van titel V, hoofdstuk 2, VEU en door het daarbij betrokken personeel toegepast.
(8)
De speciale vertegenwoordigers van de Europese Unie en de leden van hun teams passen de door de Raad aangenomen beveiligingsvoorschriften voor de bescherming van EUCI toe.
(9)
Dit besluit laat de artikelen 15 en 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU) en de instrumenten ter uitvoering daarvan onverlet.
(10)
Dit besluit laat de bestaande werkwijzen van de lidstaten inzake het informeren van hun nationale parlementen over de werkzaamheden van de Unie onverlet,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
Doel, toepassingsgebied en definities
1. Bij dit besluit worden de grondbeginselen en minimumnormen voor beveiliging vastgesteld ten behoeve van de bescherming van EUCI.
2. Deze grondbeginselen en minimumnormen gelden voor de Raad en het SGR en moeten door de lidstaten, in overeenstemming met hun respectieve nationale wet- en regelgeving, worden nageleefd opdat ieder ervan verzekerd kan zijn, dat een gelijkwaardig niveau van bescherming voor EUCI wordt geboden.
3. Voor de toepassing van dit besluit gelden de definities in aanhangsel A.
Artikel 2
Definitie van EUCI, rubriceringen en merkingen
1. „Gerubriceerde EU-informatie” (EUCI): informatie of materiaal met een bepaalde EU-rubricering, waarvan openbaarmaking zonder machtiging de belangen van de Europese Unie of van een of meer van haar lidstaten in meerdere of mindere mate kan schaden.
2. Voor EUCI worden de volgende rubriceringen gehanteerd:
a) TRÈS SECRET UE/EU TOP SECRET: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van één of meer van haar lidstaten uitzonderlijk ernstig kan schaden;
b) SECRET UE/EU SECRET: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van één of meer van haar lidstaten ernstig kan schaden;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van één of meer van haar lidstaten kan schaden;
d) RESTREINT UE/EU RESTRICTED: informatie en materiaal waarvan de openbaarmaking zonder machtiging nadelig kan zijn voor de belangen van de Europese Unie of van één of meer van haar lidstaten.
3. EUCI krijgt een rubricering overeenkomstig lid 2. Daarnaast kan zij merkingen krijgen om de gebieden waarop zij betrekking heeft aan te duiden, de opsteller te identificeren, de verspreiding of het gebruik te beperken of de geschiktheid voor vrijgave aan te geven.
Artikel 3
Het beheer van het rubriceren
1. De bevoegde autoriteiten zorgen ervoor dat EUCI naar behoren wordt gerubriceerd en duidelijk als gerubriceerde informatie wordt aangemerkt, en dat de rubriceringsgraad ervan slechts zolang als nodig wordt behouden.
2. EUCI wordt niet lager gerubriceerd of gederubriceerd en de in artikel 2, lid 3, bedoelde merkingen worden niet gewijzigd of verwijderd zonder voorafgaande schriftelijke toestemming van de opsteller.
3. De Raad stelt een beveiligingsbeleid inzake het genereren van EUCI vast, met inbegrip van een praktische rubriceringsgids.
Artikel 4
Bescherming van gerubriceerde informatie
1. EUCI wordt beschermd in overeenstemming met dit besluit.
2. De houder van eender welke EUCI is verantwoordelijk voor de bescherming ervan in overeenstemming met dit besluit.
3. Wanneer lidstaten gerubriceerde informatie met een nationale rubricering in de structuren of netwerken van de Europese Unie invoeren, beschermen de Raad en het SGR die informatie in overeenstemming met de voorschriften voor EUCI op het beschermingsniveau dat volgens de in aanhangsel B vervatte concordantietabel van rubriceringen overeenstemt met het nationale niveau.
4. Het is mogelijk dat grote hoeveelheden of een compilatie van EUCI een beschermingsniveau vereisen dat met een hogere rubriceringsgraad overeenstemt.
Artikel 5
Het beheer van veiligheidsrisico's
1. Risico's voor EUCI worden beheerd als een proces. Dit proces wordt gericht op het bepalen van de bekende veiligheidsrisico's, het vaststellen van beveiligingsmaatregelen om deze risico's tot een aanvaardbaar niveau te beperken conform de grondbeginselen en minimumnormen van dit besluit en op toepassing van deze maatregelen in overeenstemming met het begrip „verdediging in de diepte” (hierna: „defense in depth”) zoals omschreven in aanhangsel A. De doeltreffendheid van deze maatregelen wordt voortdurend geëvalueerd.
2. De beveiligingsmaatregelen ter bescherming van EUCI gedurende haar gehele levenscyclus zijn evenredig met de rubricering, de vorm en de omvang van de informatie of het materiaal, de locatie en constructie van faciliteiten waar de EUCI in is ondergebracht en de lokaal beoordeelde dreiging of kwaadwillige en/of criminele activiteiten, met inbegrip van spionage, sabotage en terrorisme.
3. In de rampenplannen wordt rekening gehouden met de noodzaak om EUCI in noodsituaties te beschermen, teneinde toegang en openbaarmaking zonder machtiging of aantasting van de integriteit of beschikbaarheid te voorkomen.
4. In de bedrijfscontinuïteitsplannen worden preventie- en herstelmaatregelen opgenomen om de gevolgen van ernstige storingen of incidenten voor de verwerking en opslag van EUCI zo gering mogelijk te houden.
Artikel 6
Uitvoering van dit besluit
1. Indien nodig keurt de Raad, op aanbeveling van het Beveiligingscomité, een beveiligingsbeleid goed dat maatregelen voor de uitvoering van dit besluit omvat.
2. Het Beveiligingscomité kan op zijn niveau beveiligingsrichtlijnen aannemen ter aanvulling of ondersteuning van dit besluit en het door de Raad goedgekeurde beveiligingsbeleid.
Artikel 7
Persoonsgerelateerde beveiliging
1. Persoonsgerelateerde beveiliging is de toepassing van maatregelen die ervoor moeten zorgen dat toegang tot EUCI uitsluitend wordt verleend aan personen die:
-
een „noodzaak tot kennisname” hebben,
-
in voorkomend geval op het vereiste veiligheidsniveau zijn onderzocht, en
-
zijn geïnstrueerd over hun verantwoordelijkheden.
2. De procedures inzake veiligheidsmachtigingen voor personen zijn van dien aard dat kan worden bepaald of een persoon, gelet op diens loyaliteit en betrouwbaarheid, toegang kan worden verleend tot EUCI.
3. Alle personen bij het SGR die op grond van hun taken toegang tot EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger moeten hebben, dienen een veiligheidsmachtiging van het vereiste niveau te verkrijgen alvorens hun toegang tot die EUCI kan worden verleend. De procedure inzake veiligheidsmachtiging voor ambtenaren en andere personeelsleden van het SGR is beschreven in bijlage I.
4. Het in artikel 14, lid 3, bedoelde personeel van de lidstaten dat op grond van zijn taken toegang tot EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger moet hebben, dient een veiligheidsmachtiging op het vereiste niveau te verkrijgen of anderszins uit hoofde van zijn functie daartoe naar behoren te zijn gemachtigd, in overeenstemming met de nationale wet- en regelgeving, alvorens het toegang tot die EUCI mag worden verleend.
5. Voordat hun toegang tot EUCI wordt verleend, en vervolgens met regelmatige tussenpozen, worden alle personen geïnstrueerd over hun verantwoordelijkheden ter bescherming van EUCI overeenkomstig dit besluit, en dienen zij deze verantwoordelijkheden te bevestigen.
6. De bepalingen ter uitvoering van dit artikel staan in bijlage I.
Artikel 8
Fysieke beveiliging
1. Fysieke beveiliging is de toepassing van fysieke en technische beschermingsmaatregelen om toegang zonder machtiging tot EUCI te voorkomen.
2. Met de fysieke beveiligingsmaatregelen wordt beoogd het binnendringen met list of geweld te verhinderen, acties waarvoor geen toestemming is verleend af te schrikken, tegen te houden en op te sporen en op basis van het „noodzaak tot kennisname”-beginsel een onderscheid tussen personeelsleden mogelijk te maken wat betreft de toegang tot EUCI. Deze maatregelen worden op een risicobeheerproces gebaseerd.
3. Fysieke beveiligingsmaatregelen worden ingesteld voor alle locaties, gebouwen, bureaus, ruimten, andere zones waarin EUCI wordt verwerkt of opgeslagen, alsmede zones waar communicatie- en informatiesystemen, zoals gedefinieerd in artikel 10, lid 2, zijn ondergebracht.
4. Zones waar EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt opgeslagen, worden overeenkomstig bijlage II als beveiligde zones vastgesteld en door de bevoegde beveiligingsautoriteit goedgekeurd.
5. Er worden alleen goedgekeurde apparatuur en voorzieningen gebruikt voor de bescherming van EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger.
6. De bepalingen ter uitvoering van dit artikel staan in bijlage II.
Artikel 9
Beheer van gerubriceerde informatie
1. Het beheer van gerubriceerde informatie is het toepassen van administratieve maatregelen voor het controleren van EUCI gedurende haar gehele levenscyclus teneinde de in de artikelen 7, 8 en 10 bedoelde maatregelen aan te vullen, en daarbij het al dan niet opzettelijk compromitteren of verliezen van die informatie te helpen voorkomen, opsporen en herstellen. Die maatregelen hebben met name betrekking op het genereren, registreren, kopiëren, vertalen, vervoeren en vernietigen van EUCI.
2. Informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger worden vóór verspreiding en bij ontvangst geregistreerd voor beveiligingsdoeleinden. De bevoegde autoriteiten in het SGR en in de lidstaten zetten voor dit doel een registratiesysteem op. Informatie met rubricering TRÈS SECRET UE/EU TOP SECRET worden in speciaal daarvoor bestemde registers geregistreerd.
3. De diensten en werkruimten waar EUCI wordt verwerkt of opgeslagen, worden regelmatig geïnspecteerd door de bevoegde beveiligingsautoriteit.
4. EUCI wordt als volgt tussen de diensten en werkruimten buiten fysiek beveiligde zones overgebracht:
a)
EUCI wordt over het algemeen overgedragen met elektronische middelen, beschermd door encryptieproducten die overeenkomstig artikel 10, lid 6, zijn goedgekeurd;
b)
wanneer geen gebruik wordt gemaakt van de onder a) genoemde middelen, wordt EUCI vervoerd:
i)
op elektronische dragers (zoals usb-sticks, cd's, harde schijven) beschermd door encryptieproducten die overeenkomstig artikel 10, lid 6, zijn goedgekeurd; of
ii)
in alle overige gevallen, op de wijze die door de bevoegde beveiligingsautoriteit is voorgeschreven in overeenstemming met de desbetreffende beschermingsmaatregelen in bijlage III.
5. De bepalingen ter uitvoering van dit artikel staan in bijlage III.
Artikel 10
Bescherming van EUCI die wordt verwerkt in communicatie- en informatiesystemen
1. Informatieborging (hierna: „Information Assurance - IA”) op het gebied van communicatie- en informatiesystemen is het vertrouwen dat die systemen de erin opgenomen informatie zullen beschermen en zullen functioneren zoals nodig en wanneer nodig, onder de controle van legitieme gebruikers. Doeltreffende IA waarborgt passende niveaus van vertrouwelijkheid, integriteit, beschikbaarheid, onweerlegbaarheid en authenticiteit. IA is op een risicobeheerproces gebaseerd.
2. „Communicatie- en informatiesystemen” zijn systemen waarmee informatie in elektronische vorm kan worden verwerkt. Een communicatie- en informatiesysteem omvat alle functionele bestanddelen die voor het functioneren ervan vereist zijn, waaronder infrastructuur, organisatie, personeel en informatiebronnen. Dit besluit geldt voor communicatie- en informatiesystemen die EUCI verwerken (hierna: „CIS”).
3. CIS verwerken EUCI overeenkomstig het concept van IA.
4. Alle CIS worden aan een homologatieprocedure onderworpen. Met de homologatie wordt beoogd de verzekering te verkrijgen dat alle toepasselijke beveiligingsmaatregelen zijn getroffen en dat het niveau van bescherming van de EUCI en van het CIS overeenkomstig dit besluit voldoende wordt geacht. In de homologatieverklaring worden de maximaal toegelaten rubriceringsgraad van de informatie die door een CIS mag worden verwerkt, en de voorwaarden daarvoor vastgesteld.
5. CIS die informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL en hoger verwerken, worden zodanig beschermd dat de gerubriceerde informatie niet kunnen worden gecompromitteerd door onopzettelijke elektromagnetische emissies (hierna: „Tempest-beveiligingsmaatregelen”).
6. Wanneer EUCI door encryptieproducten wordt beschermd, worden deze producten als volgt goedgekeurd:
a)
de vertrouwelijkheid van informatie met rubricering SECRET UE/EU SECRET en hoger wordt beschermd door encryptieproducten die door de Raad, als overheid voor de goedkeuring van encryptieproducten (hierna: „Crypto Approval Authority - CAA”), op voorstel van het Beveiligingscomité zijn goedgekeurd;
b)
de vertrouwelijkheid van informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of RESTREINT UE/EU RESTRICTED wordt beschermd door encryptieproducten die door de secretaris-generaal van de Raad (hierna: „de secretaris-generaal”), als CAA, op voorstel van het Beveiligingscomité zijn goedgekeurd.
Niettegenstaande punt b), kan de vertrouwelijkheid van EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of RESTREINT UE/EU RESTRICTED binnen nationale systemen van de lidstaten worden beschermd door encryptieproducten die door de CAA van een lidstaat zijn goedgekeurd.
7. Tijdens de overdracht van EUCI met elektronische middelen moeten goedgekeurde encryptieproducten worden gebruikt. Niettegenstaande deze eis kunnen specifieke procedures worden toegepast in noodgevallen of in geval van specifieke technische configuraties als bepaald in bijlage IV.
8. De bevoegde instanties van het SGR en van de lidstaten stellen respectievelijk de volgende IA-functies in:
a)
een IA-overheid (hierna: „IAA”);
b)
een Tempest-overheid (hierna: „TA”);
c)
een CAA (hierna: „CAA”);
d)
een overheid voor de verdeling van encryptieproducten (hierna: „CDA - Crypto Distribution Authority”).
9. Voor ieder systeem stellen de bevoegde instanties van het SGR en van de lidstaten respectievelijk de volgende functies in:
a)
een homologatieoverheid;
b)
een operationele IAA.
10. De bepalingen ter uitvoering van dit artikel staan in bijlage IV.
Artikel 11
Industriële beveiliging
1. Industriële beveiliging is de toepassing van maatregelen om de bescherming van EUCI door contractanten of subcontractanten tijdens precontractuele onderhandelingen en tijdens de volledige looptijd van gerubriceerde opdrachten te waarborgen. In het kader van dergelijke opdrachten mag geen toegang worden verleend tot informatie met rubricering TRÈS SECRET UE/EU TOP SECRET.
2. Het SGR kan opdrachten plaatsen voor taken die toegang tot of verwerking of opslag van EUCI behelzen of vereisen door industriële of andere entiteiten die zijn ingeschreven in een lidstaat of in een derde staat die een overeenkomst heeft gesloten of een administratieve regeling heeft getroffen overeenkomstig artikel 12, lid 2, onder a) of b).
3. Het SGR zorgt er als aanbestedende overheid voor dat aan de in dit besluit en in de gerubriceerde opdrachten vervatte minimumnormen voor industriële beveiliging is voldaan bij het plaatsen van gerubriceerde opdrachten bij industriële of andere entiteiten.
4. De nationale veiligheidsautoriteit (National Security Authority, hierna: „NSA”), de aangewezen veiligheidsautoriteit (Designated Security Authority, hierna: „DSA”) of een andere bevoegde overheidsinstantie van elke lidstaat draagt er, in de mate dat zulks mogelijk is volgens de nationale wet- en regelgeving, zorg voor dat contractanten en subcontractanten die op hun grondgebied zijn geregistreerd, alle maatregelen nemen die nodig zijn voor de bescherming van EUCI tijdens precontractuele onderhandelingen en de uitvoering van een gerubriceerde opdracht.
5. De NSA, de DSA of een andere bevoegde overheidsinstantie van iedere lidstaat zorgt er, overeenkomstig de nationale wet- en regelgeving, voor dat in de lidstaat in kwestie geregistreerde contractanten of subcontractanten die deelnemen aan gerubriceerde opdrachten of onderaanneming waarvoor toegang vereist is tot informatie met de rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET binnen hun gebouwen, tijdens de uitvoering van de opdrachten of in de precontractuele fase beschikken over een veiligheidsmachtiging voor een vestiging (Facility Security Clearance, hierna: „FSC”) in overeenstemming met de dienovereenkomstige rubricering.
6. Personeel van contractanten of subcontractanten dat voor de uitvoering van een gerubriceerde opdracht toegang moet hebben tot als CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET gerubriceerde informatie krijgt van de NSA/DSA of een andere bevoegde overheidsinstantie een veiligheidsmachtiging (VM) overeenkomstig de nationale wet- en regelgeving en de minimumbeveiligingsvoorschriften van bijlage I.
7. De bepalingen ter uitvoering van dit artikel staan in bijlage V.
Artikel 12
Uitwisseling van gerubriceerde informatie met derde staten en internationale organisaties
1. Wanneer de Raad bepaalt dat het noodzakelijk is EUCI uit te wisselen met een derde staat of een internationale organisatie, wordt daartoe een adequaat kader opgezet.
2. Om dat kader tot stand te brengen en wederzijdse voorschriften voor de bescherming van de uitgewisselde gerubriceerde informatie vast te stellen,
a)
sluit de Raad overeenkomsten betreffende beveiligingsprocedures voor de uitwisseling en bescherming van gerubriceerde informatie (hierna: „overeenkomsten voor de beveiliging van informatie”); of
b)
kan de secretaris-generaal administratieve regelingen treffen overeenkomstig punt 17 van bijlage VI wanneer de rubriceringsgraad van vrij te geven EUCI in het algemeen niet hoger is dan RESTREINT UE/EU RESTRICTED.
3. De in lid 2 bedoelde overeenkomsten voor de beveiliging van informatie of administratieve regelingen bevatten bepalingen om ervoor te zorgen dat, wanneer derde staten of internationale organisaties EUCI ontvangen, die informatie wordt beschermd in overeenstemming met hun rubriceringsgraad en volgens minimumnormen die niet minder streng zijn dan die welke in dit besluit zijn vastgesteld.
4. Het besluit tot vrijgave van EUCI, afkomstig van de Raad, aan een derde staat of een internationale organisatie wordt per geval door de Raad genomen, naargelang van de aard en de inhoud van die informatie, de noodzaak dat de ontvanger er kennis van neemt en de baat die de Europese Unie bij de vrijgave heeft. Indien de gerubriceerde informatie waarvan de vrijgave gewenst wordt, niet afkomstig zijn van de Raad, vraagt het SGR vóór vrijgave schriftelijke toestemming aan de opsteller. Indien de opsteller niet kan worden vastgesteld, neemt de Raad de verantwoordelijkheid over.
5. Er worden evaluatiebezoeken geregeld om de doeltreffendheid van de door een derde staat of een internationale organisatie genomen maatregelen ter beveiliging van de verstrekte of uitgewisselde EUCI te verifiëren.
6. De bepalingen ter uitvoering van dit artikel staan in bijlage VI.
Artikel 13
Inbreuken op de beveiligingvoorschriften en compromitteren van EUCI
1. Een inbreuk op de beveiligingsvoorschriften is het resultaat van iemands handeling of nalatigheid, in strijd met de beveiligingsvoorschriften van dit besluit.
2. Compromitteren van EUCI doet zich voor wanneer, tengevolge van een inbreuk op de beveiligingsvoorschriften, zulke informatie geheel of gedeeltelijk zijn bekendgemaakt aan onbevoegden.
3. Inbreuken of vermoedelijke inbreuken op de beveiligingsvoorschriften worden onmiddellijk aan de bevoegde veiligheidsautoriteit gemeld.
4. Wanneer bekend is of er redenen zijn om aan te nemen dat EUCI gecompromitteerd is of verloren is gegaan, doet de bevoegde veiligheidsautoriteit overeenkomstig de desbetreffende wetten en voorschriften het nodige om:
a)
de opsteller daarvan in kennis te stellen;
b)
ervoor te zorgen dat de zaak wordt onderzocht door personeel dat niet rechtstreeks met de inbreuk te maken heeft, teneinde de feiten vast te stellen;
c)
de eventuele schade te beoordelen die aan de belangen van de Europese Unie of van de lidstaten is berokkend;
d)
herhaling te voorkomen; en
e)
de bevoegde instanties in kennis te stellen van de stappen die zijn ondernomen.
5. Eenieder die verantwoordelijk is voor een inbreuk op de beveiligingsvoorschriften van dit besluit, stelt zich bloot aan disciplinaire maatregelen, overeenkomstig de geldende regels en voorschriften. Eenieder die verantwoordelijk is voor het compromitteren of verliezen van EUCI, stelt zich bloot aan disciplinaire maatregelen en/of strafvervolging, in overeenstemming met de geldende wetten, regels en voorschriften.
Artikel 14
Verantwoordelijkheid voor de uitvoering
1. De Raad neemt de nodige maatregelen om de algehele samenhang bij de toepassing van dit besluit te verzekeren.
2. De secretaris-generaal neemt de nodige maatregelen om ervoor te zorgen dat bij de verwerking of de opslag van EUCI en andere gerubriceerde informatie dit besluit in de werkruimten van de Raad en binnen het SGR, inclusief zijn verbindingsbureaus in derde staten, wordt toegepast door de ambtenaren en andere personeelsleden van het SGR, het bij het SGR gedetacheerd personeel en de contractanten van het SGR.
3. De lidstaten nemen in overeenstemming met hun respectieve nationale wet- en regelgeving alle passende maatregelen om ervoor te zorgen dat bij de verwerking of de opslag van EUCI dit besluit wordt nageleefd door:
a)
het personeel van de permanente vertegenwoordigingen van de lidstaten bij de Europese Unie, en de leden van de nationale delegaties die bijeenkomsten van de Raad of zijn voorbereidende instanties bijwonen, of deelnemen aan andere werkzaamheden van de Raad;
b)
ander personeel van de nationale overheden van de lidstaten, met inbegrip van bij die overheden gedetacheerd personeel, hetzij op het grondgebied van de lidstaten hetzij daarbuiten;
c)
andere personen in de lidstaten die uit hoofde van hun functie naar behoren gemachtigd zijn en dus toegang hebben tot EUCI; en
d)
contractanten van de lidstaten, hetzij op het grondgebied van de betrokken lidstaat, hetzij daarbuiten.
Artikel 15
Organisatie van de beveiliging binnen de Raad
1. In het kader van zijn rol bij het waarborgen van de algehele samenhang bij de toepassing van dit besluit, hecht de Raad zijn goedkeuring aan:
a)
de in artikel 12, lid 2, onder a), bedoelde overeenkomsten;
b)
besluiten houdende toestemming tot vrijgave van EUCI aan derde staten en internationale organisaties;
c)
een door de secretaris-generaal voorgesteld en door het Beveiligingscomité aanbevolen jaarlijks inspectieprogramma voor de diensten en werkruimten van de lidstaten en van de uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie alsmede van Europol en Eurojust, en evaluatiebezoeken aan derde staten en internationale organisaties om de doeltreffendheid van de ter bescherming van EUCI genomen maatregelen te verifiëren; en
d)
het in artikel 6, lid 1, bedoelde beveiligingsbeleid.
2. De secretaris-generaal is de veiligheidsautoriteit van het SGR. In die hoedanigheid doet de secretaris-generaal het volgende:
a)
het beveiligingsbeleid van de Raad uitvoeren en bewaken;
b)
met de NSA's van de lidstaten samenwerken op het gebied van alle beveiligingskwesties met betrekking tot de bescherming van gerubriceerde informatie die relevant zijn voor de werkzaamheden van de Raad;
c)
de ambtenaren en andere personeelsleden van het SGR EU-PVM's verstrekken overeenkomstig artikel 7, lid 3, alvorens hun toegang kan worden verleend tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger;
d)
in voorkomend geval, onderzoek gelasten naar werkelijk of vermoedelijk compromitteren of verlies van gerubriceerde informatie die in het bezit of afkomstig van de Raad zijn, en de bevoegde veiligheidsautoriteiten om hulp te verzoeken bij die onderzoeken;
e)
periodieke inspecties verrichten van de regelingen inzake beveiliging ter bescherming van gerubriceerde informatie in de werkruimten van het SGR;
f)
periodieke inspecties verrichten van de regelingen inzake beveiliging ter bescherming van EUCI bij de uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie alsmede Europol en Eurojust, alsmede bij crisisbeheersingsoperaties uit hoofde van titel V, hoofdstuk 2, VEU en door de speciale vertegenwoordigers van de Europese Unie (hierna: „SVEU's”) en de leden van hun teams;
g)
gezamenlijk en in overeenstemming met de betrokken NSA periodieke inspecties verrichten van de regelingen inzake beveiliging ter bescherming van EUCI in de diensten en werkruimten van de lidstaten;
h)
beveiligingsmaatregelen coördineren met de bevoegde autoriteiten van de lidstaten die verantwoordelijk zijn voor de bescherming van gerubriceerde informatie en, waar van toepassing, derde staten of internationale organisaties, onder meer met betrekking tot de aard van de bedreigingen voor de veiligheid van EUCI en de middelen om zich daartegen te beschermen;
i)
de in artikel 12, lid 2, onder b), bedoelde administratieve regelingen treffen; en
j)
initiële en periodieke evaluatiebezoeken aan derde staten of internationale organisaties afleggen om de doeltreffendheid te verifiëren van de maatregelen die ter bescherming van de aan hen verstrekte of met hen uitgewisselde EUCI zijn genomen.
De Dienst beveiliging van het SGR staat ter beschikking van de SG/HV om te helpen bij het vervullen van deze verantwoordelijkheden.
3. Voor de toepassing van artikel 14, lid 3, moeten de lidstaten:
a)
een NSA aanwijzen die verantwoordelijk is voor de regelingen inzake beveiliging ter bescherming van EUCI opdat:
i)
EUCI die in het bezit is van nationale departementen, entiteiten of organisaties, hetzij publiek hetzij particulier, in het binnenland of het buitenland, overeenkomstig dit besluit beschermd zijn;
ii)
de regelingen inzake beveiliging ter bescherming van EUCI periodiek worden geïnspecteerd;
iii)
alle personen die in dienst zijn van een nationale overheid of van een contractant waaraan toegang kan worden verleend tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger, passend zijn gescreend of anderszins uit hoofde van hun functie naar behoren zijn gemachtigd in overeenstemming met de nationale wet- en regelgeving;
iv)
de beveiligingsprogramma's worden opgezet die noodzakelijk zijn om het risico dat EUCI wordt gecompromitteerd of verloren raakt, tot een minimum te beperken;
v)
beveiligingskwesties met betrekking tot EUCI worden gecoördineerd met andere bevoegde nationale instanties, zoals de in dit besluit genoemde instanties; en
vi)
antwoorden worden gegeven op passende verzoeken om een veiligheidsonderzoek van uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie, alsmede in het kader van crisisbeheersingsoperaties uit hoofde van titel V, hoofdstuk 2, VEU en van de SVEU's en hun teams.
De NSA's zijn opgenomen in aanhangsel C;
b)
ervoor zorgen dat hun bevoegde autoriteiten aan hun regering, en via deze aan de Raad, informatie en advies verstrekken over de aard van de bedreigingen voor de beveiliging van EUCI en de middelen om zich daartegen te beschermen.
Artikel 16
Het Beveiligingscomité
1. Hierbij wordt een Beveiligingscomité ingesteld. Het onderzoekt en beoordeelt alle beveiligingskwesties die binnen het toepassingsgebied van dit besluit vallen, en doet in voorkomend geval aanbevelingen aan de Raad.
2. Het Beveiligingscomité bestaat uit vertegenwoordigers van de NSA's van de lidstaten en de vergaderingen worden bijgewoond door een vertegenwoordiger van de Commissie en van de Europese dienst voor extern optreden. Het wordt voorgezeten door de secretaris-generaal of diens aangewezen vertegenwoordiger. Het komt volgens instructies van de Raad bijeen, of op verzoek van de secretaris-generaal of van een NSA.
Vertegenwoordigers van uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie, alsmede van Europol en Eurojust kunnen worden uitgenodigd wanneer kwesties die hen betreffen op de agenda staan.
3. Het Beveiligingscomité organiseert zijn werkzaamheden zodanig dat het aanbevelingen over specifieke beveiligingsgebieden kan verstrekken. Het stelt een deelgebied in voor deskundigen in IA-kwesties en in voorkomend geval andere deskundigendeelgebieden. Het stelt mandaten voor deze deskundigendeelgebieden vast en ontvangt verslagen over de activiteiten daarvan met, waar nodig, aanbevelingen aan de Raad.
Artikel 17
Vervanging van voorgaande besluiten
1. Besluit 2001/264/EG van de Raad van 19 maart 2001 tot vaststelling van beveiligingsvoorschriften van de Raad (2) wordt ingetrokken en vervangen door dit besluit.
2. Alle in overeenstemming het Besluit 2001/264/EG gerubriceerde EUCI blijft beschermd overeenkomstig de bepalingen dienaangaande in onderhavig besluit.
Artikel 18
Inwerkingtreding
Dit besluit treedt in werking op de dag van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
Gedaan te Brussel, 31 maart 2011.