ROZHODNUTÍ RADY
ze dne 23. září 2013
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2013/488/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada, Komise a Evropská služba pro vnější činnosti (ESVČ) se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, instituce nebo jiné subjekty Unie případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Rada by měla stanovit vhodný rámec pro případné sdílení utajovaných informací EU v držení Rady s dalšími orgány, institucemi nebo jinými subjekty Unie, a to v souladu s tímto rozhodnutím a platnými interinstitucionálními ujednáními.
(7)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU by měly v rámci své vnitřní organizace uplatňovat instituce a agentury Unie zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii (dále jen „Smlouva o EU“), Europol a Eurojust, je-li tak stanoveno v aktu, jímž jsou zřízeny.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měla být uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky, je-li tak stanoveno v aktu Rady, jímž jsou tyto operace zřízeny.
(9)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měli uplatňovat zvláštní zástupci EU a členové jejich týmů, je-li tak stanoveno v příslušném aktu Rady.
(10)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(11)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie.
(12)
Aby bylo uplatňování bezpečnostních pravidel na ochranu utajovaných informací EU zajištěno včas se zřetelem k přistoupení Chorvatska k Evropské unii, mělo by toto rozhodnutí vstoupit v platnost dnem vyhlášení,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a)
TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b)
SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c)
CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d)
RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozbě škodlivých nebo trestných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečnostní politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti vyžadují, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším nebo s nimi nakládaly, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Tyto osoby musí obdržet od orgánu generálního sekretariátu Rady oprávněného ke jmenování oprávnění pro přístup k utajovaným informacím EU až do konkrétního stupně utajení a do konkrétního data.
4. Pracovníci členských států uvedení v čl. 15 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací a odhalovat takové ohrožení nebo ztrátu informací. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, snížení nebo zrušení stupně utajení, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v přílohách III a IV.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů představuje jistotu, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny bezpečnostními opatřeními proti ohrožení dotyčných informací kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“). Tato bezpečnostní opatření jsou přiměřená riziku zneužití a stupni utajení daných informací.
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady (dále jen „generální tajemník“) jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Aniž je dotčeno písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 13 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v příslušném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Sdílení utajovaných informací EU
1. Rada stanoví podmínky, za nichž může sdílet utajované informace EU, které má ve svém držení, s dalšími institucemi, orgány nebo jinými subjekty Unie. Za tímto účelem je možné zavést vhodný rámec, mimo jiné i uzavřením interinstitucionálních dohod či jiných ujednání, pokud je to k uvedenému účelu nezbytné.
2. Jakýkoli takový rámec zajistí, aby utajovaným informacím EU byla poskytnuta ochrana odpovídající jejich stupni utajení a v souladu se základními zásadami a minimálními standardy, které musí být rovnocenné zásadám a standardům stanoveným v tomto rozhodnutí.
Článek 13
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Unie uzavře se třetími státy nebo mezinárodními organizacemi dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může jménem generálního sekretariátu Rady uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro Unii. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem ověření účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 14
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme vnitrostátní bezpečnostní orgán nebo jiný příslušný orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů Unie a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 15
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání bude v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 16
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 13 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytnutí utajovaných informací EU, jejichž původcem nebo držitelem je Rada, třetím státům a mezinárodním organizacím nebo rozhodnutí o poskytnutí takového souhlasu, a to v souladu se zásadou souhlasu původce;
c)
roční program hodnotících návštěv doporučený Bezpečnostním výborem, zahrnující hodnotící návštěvy služeb a prostor členských států, institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, a hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
vydává úředníkům a ostatním zaměstnancům generálního sekretariátu Rady, jakož i vyslaným národním odborníkům oprávnění k přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším v souladu s čl. 7 odst. 3;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné návštěvy za účelem hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v institucích, agenturách a útvarech Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelná hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
zajišťuje v případě potřeby koordinaci bezpečnostních opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením, a
i)
uzavírá správní ujednání podle čl. 13 odst. 2 písm. b).
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 15 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán, jak je uvedeno v dodatku C, odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována či hodnocena,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí, a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané zejména ze strany institucí, agentur a útvarů a operací Unie zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i ze strany zvláštních zástupců EU a členů jejich týmů, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 17
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a ESVČ. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 18
Nahrazení předchozích rozhodnutí
1. Tímto rozhodnutím se zrušuje a nahrazuje rozhodnutí Rady 2011/292/EU (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES (3) a rozhodnutí 2011/292/EU jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 19
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 23. září 2013.
ΑΠΌΦΑΣΗ ΤΟΥ ΣΥΜΒΟΥΛΊΟΥ
της 23ης Σεπτεμβρίου 2013
σχετικά με τους κανόνες ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ
(2013/488/ΕΕ)
ΤΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ,
Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης, και ιδίως το άρθρο 240 παράγραφος 3,
Έχοντας υπόψη την απόφαση 2009/937/EE του Συμβουλίου, της 1ης Δεκεμβρίου 2009, για την έγκριση του εσωτερικού του κανονισμού (1), και ιδίως το άρθρο 24,
Εκτιμώντας τα ακόλουθα:
(1)
Προκειμένου να αναπτυχθούν οι δραστηριότητες του Συμβουλίου σε όλους τους τομείς όπου απαιτείται χειρισμός διαβαθμισμένων πληροφοριών, είναι σκόπιμο να θεσπισθεί ολοκληρωμένο σύστημα ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών το οποίο θα καλύπτει το Συμβούλιο, τη Γενική Γραμματεία του και τα κράτη μέλη.
(2)
Η παρούσα απόφαση δέον να εφαρμόζεται οσάκις το Συμβούλιο, τα προπαρασκευαστικά όργανά του και η Γενική Γραμματεία του Συμβουλίου (ΓΓΣ) χειρίζονται διαβαθμισμένες πληροφορίες της ΕΕ (ΔΠΕΕ).
(3)
Σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις και στο βαθμό που απαιτείται για τη λειτουργία του Συμβουλίου, τα κράτη μέλη πρέπει να τηρούν την παρούσα απόφαση όταν οι αρμόδιες αρχές, το προσωπικό ή οι εργολάβοι τους χειρίζονται ΔΠΕΕ, προκειμένου να έχουν τη βεβαιότητα ότι εξασφαλίζεται ισοδύναμο επίπεδο προστασίας για τις ΔΠΕΕ.
(4)
Το Συμβούλιο, η Επιτροπή και η Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης (ΕΥΕΔ) έχουν δεσμευθεί να εφαρμόζουν ισοδύναμες προδιαγραφές ασφαλείας για την προστασία των ΔΠΕΕ.
(5)
Το Συμβούλιο υπογραμμίζει τη σημασία της συμμετοχής του Ευρωπαϊκού Κοινοβουλίου και άλλων θεσμικών και λοιπών οργάνων ή οργανισμών της Ένωσης, όπου ενδείκνυται, στην εφαρμογή των αρχών, προδιαγραφών και κανόνων προστασίας των διαβαθμισμένων πληροφοριών που απαιτούνται για την προστασία των συμφερόντων της Ένωσης και των κρατών μελών.
(6)
Το Συμβούλιο θα πρέπει να καθορίσει το κατάλληλο πλαίσιο ώστε οι διαβαθμισμένες πληροφορίες ΕΕ τις οποίες το Συμβούλιο έχει την κατοχή του να κοινοποιούνται, κατά περίπτωση, σε άλλα θεσμικά και λοιπά όργανα ή οργανισμούς της Ένωσης, σύμφωνα με την παρούσα απόφαση και τις ισχύουσες διοργανικές ρυθμίσεις.
(7)
Τα λοιπά όργανα και οι οργανισμοί της Ένωσης που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της Συνθήκης για την Ευρωπαϊκή Ένωση (ΣΕΕ), η Ευρωπόλ και η Eurojust θα πρέπει να εφαρμόζουν, στο πλαίσιο της εσωτερικής τους οργάνωσης, τις βασικές αρχές και τις ελάχιστες προδιαγραφές της παρούσας απόφασης για την προστασία των ΔΠΕΕ, όταν αυτό προβλέπεται στις πράξεις για την ίδρυσή τους.
(8)
Στις επιχειρήσεις διαχείρισης κρίσεων που συστήνονται δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ και στο προσωπικό τους θα πρέπει να εφαρμόζονται οι κανόνες ασφαλείας που θεσπίζει το Συμβούλιο για την προστασία των ΔΠΕΕ όταν αυτό προβλέπεται στην πράξη του Συμβουλίου για τη σύστασή τους.
(9)
Οι ειδικοί εντεταλμένοι της ΕΕ και τα μέλη των ομάδων τους θα πρέπει να εφαρμόζουν τους κανόνες ασφαλείας που θεσπίζει το Συμβούλιο για την προστασία των ΔΠΕΕ όταν αυτό προβλέπεται στην αντίστοιχη πράξη του Συμβουλίου.
(10)
Η παρούσα απόφαση λαμβάνεται με την επιφύλαξη των άρθρων 15 και 16 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) και των πράξεων εφαρμογής τους.
(11)
Η παρούσα απόφαση λαμβάνεται με την επιφύλαξη της πρακτικής των κρατών μελών όσον αφορά την ενημέρωση των εθνικών κοινοβουλίων τους για τις δραστηριότητες της Ένωσης.
(12)
Προκειμένου να εξασφαλιστεί εγκαίρως η εφαρμογή των κανόνων ασφαλείας για την προστασία των ΔΠΕΕ όσον αφορά την προσχώρηση της Δημοκρατίας της Κροατίας στην Ευρωπαϊκή Ένωση, η παρούσα απόφαση θα πρέπει να αρχίσει να ισχύει από την ημερομηνία δημοσίευσής της,
ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
Άρθρο 1
Σκοπός, πεδίο εφαρμογής και ορισμοί
1. Η παρούσα απόφαση καθορίζει τις βασικές αρχές και τις ελάχιστες προδιαγραφές ασφαλείας για την προστασία των ΔΠΕΕ.
2. Οι εν λόγω βασικές αρχές και ελάχιστες προδιαγραφές θα ισχύουν για το Συμβούλιο και τη ΓΓΣ και θα τηρούνται από τα κράτη μέλη, σύμφωνα με τις αντίστοιχες εθνικές νομοθετικές και κανονιστικές τους διατάξεις, προκειμένου τα κράτη να έχουν τη βεβαιότητα ότι παρέχεται ισοδύναμο επίπεδο προστασίας στις ΔΠΕΕ.
3. Για τους σκοπούς της παρούσας οδηγίας, ισχύουν οι ορισμοί του προσαρτήματος Α.
Άρθρο 2
Ορισμός των ΔΠΕΕ, διαβαθμίσεις και σημάνσεις ασφαλείας
1. «Διαβαθμισμένες πληροφορίες της ΕΕ» (ΔΠΕΕ): κάθε πληροφορία ή υλικό που έχει χαρακτηρισθεί με διαβάθμιση ασφαλείας ΕΕ και των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών.
2. Οι ΔΠΕΕ διαβαθμίζονται σε ένα από τα παρακάτω επίπεδα:
α)
TRÈS SECRET UE/EU TOP SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να προξενήσει εξαιρετικά σοβαρή ζημία στα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών·
β)
SECRET UE/EU SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει σοβαρά τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών της·
γ)
CONFIDENTIEL UE/EU CONFIDENTIAL: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών της·
δ)
RESTREINT UE/EU RESTRICTED: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να είναι αντίθετη προς τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών της.
3. Οι ΔΠΕΕ φέρουν σήμανση διαβάθμισης ασφαλείας σύμφωνα με την παράγραφο 2. Μπορούν να φέρουν πρόσθετες σημάνσεις με τις οποίες ορίζεται ο τομέας δραστηριότητας με τον οποίο σχετίζονται, προσδιορίζεται ο φορέας προέλευσης, περιορίζεται η διανομή, περιορίζεται η χρήση ή δηλώνεται η δυνατότητα κοινοποίησης.
Άρθρο 3
Διαχείριση των διαβαθμίσεων
1. Οι αρμόδιες αρχές μεριμνούν για την ορθή διαβάθμιση των ΔΠΕΕ, το σαφή προσδιορισμό τους ως διαβαθμισμένων πληροφοριών, καθώς και για τη διατήρηση του επιπέδου διαβάθμισής τους μόνο για το διάστημα που είναι απαραίτητο.
2. Οι ΔΠΕΕ δεν λαμβάνουν χαμηλότερη διαβάθμιση ούτε αποχαρακτηρίζονται ούτε τροποποιείται ή αφαιρείται οποιαδήποτε από τις επισημάνσεις που αναφέρονται στο άρθρο 2 παράγραφος 3 χωρίς προηγούμενη γραπτή συγκατάθεση της πηγής προέλευσης.
3. Το Συμβούλιο εγκρίνει πολιτική ασφαλείας για τη δημιουργία ΔΠΕΕ η οποία θα περιλαμβάνει πρακτικό οδηγό των διαβαθμίσεων ασφαλείας.
Άρθρο 4
Προστασία διαβαθμισμένων πληροφοριών
1. Η προστασία των ΔΠΕΕ γίνεται σύμφωνα με την παρούσα απόφαση.
2. Ο κάτοχος κάθε ΔΠΕΕ είναι υπεύθυνος για την προστασία της σύμφωνα με την παρούσα απόφαση.
3. Όταν τα κράτη μέλη αποστέλλουν διαβαθμισμένες πληροφορίες με εθνική σήμανση διαβάθμισης ασφαλείας στις δομές ή τα δίκτυα της Ένωσης, το Συμβούλιο και η ΓΓΣ προστατεύουν τις πληροφορίες αυτές σύμφωνα με τις απαιτήσεις που ισχύουν για τις ΔΠΕΕ στο αντίστοιχο επίπεδο όπως ορίζεται στον πίνακα αντιστοιχίας των διαβαθμίσεων ασφαλείας του προσαρτήματος Β.
4. Ένα σύνολο ΔΠΕΕ μπορεί να δικαιολογεί επίπεδο προστασίας που να αντιστοιχεί σε υψηλότερη διαβάθμιση από αυτήν των επιμέρους στοιχείων του.
Άρθρο 5
Διαχείριση των κινδύνων κατά της ασφάλειας
1. Οι κίνδυνοι κατά των ΔΠΕΕ αντιμετωπίζονται στο πλαίσιο διαδικασίας. Η διαδικασία αυτή αποσκοπεί στον προσδιορισμό των γνωστών κινδύνων κατά της ασφάλειας, τον καθορισμό μέτρων ασφαλείας για τον περιορισμό των κινδύνων αυτών σε αποδεκτό επίπεδο σύμφωνα με τις βασικές αρχές και τις ελάχιστες προδιαγραφές της παρούσας απόφασης και στην εφαρμογή των εν λόγω μέτρων σύμφωνα με την έννοια της ασφάλειας εις βάθος όπως ορίζεται στο προσάρτημα Α. Η αποτελεσματικότητα των μέτρων τελεί υπό συνεχή αξιολόγηση.
2. Τα μέτρα ασφαλείας για την προστασία των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους πρέπει να είναι ανάλογα ιδίως προς τη διαβάθμιση ασφαλείας τους, τη μορφή και τον όγκο των πληροφοριών ή του υλικού, την τοποθεσία και την κατασκευή των εγκαταστάσεων όπου ευρίσκονται ΔΠΕΕ και την επιτόπου εκτιμώμενη απειλή δόλιων και/ή εγκληματικών δραστηριοτήτων, συμπεριλαμβανομένης της κατασκοπείας, της δολιοφθοράς και της τρομοκρατίας.
3. Τα σχέδια έκτακτης ανάγκης λαμβάνουν υπόψη την ανάγκη προστασίας των ΔΠΕΕ σε καταστάσεις έκτακτης ανάγκης προκειμένου να εμποδίζονται η αναρμόδια πρόσβαση, η κοινολόγηση και η απώλεια ακεραιότητας ή διαθεσιμότητας.
4. Προληπτικά και επανορθωτικά μέτρα με στόχο να ελαχιστοποιούνται οι συνέπειες σοβαρών αστοχιών ή συμβάντων κατά το χειρισμό και την αποθήκευση ΔΠΕΕ πρέπει να περιλαμβάνονται στα σχέδια συνέχισης των δραστηριοτήτων.
Άρθρο 6
Εφαρμογή της παρούσας απόφασης
1. Εφόσον απαιτείται, το Συμβούλιο, κατόπιν συστάσεως της Επιτροπής Ασφαλείας, εγκρίνει πολιτικές ασφαλείας καθορίζοντας μέτρα για την εφαρμογή της παρούσας απόφασης.
2. Η Επιτροπή Ασφαλείας μπορεί να συμφωνήσει στο επίπεδό της κατευθυντήριες γραμμές ασφαλείας προκειμένου να συμπληρώσει ή να υποστηρίξει την παρούσα απόφαση και τις ενδεχόμενες πολιτικές ασφαλείας που εγκρίνει το Συμβούλιο.
Άρθρο 7
Ασφάλεια προσωπικού
1. Ως ασφάλεια προσωπικού νοείται η εφαρμογή μέτρων προκειμένου να εξασφαλίζεται ότι πρόσβαση στις ΔΠΕΕ επιτρέπεται μόνο στα πρόσωπα τα οποία έχουν:
-
ανάγκη γνώσης,
-
λάβει εξουσιοδότηση ασφαλείας του αντίστοιχου επιπέδου, εφόσον απαιτείται, και
-
ενημερωθεί ως προς τις ευθύνες τους.
2. Οι διαδικασίες ελέγχου ασφαλείας του προσωπικού αποσκοπούν στην εξακρίβωση του κατά πόσον μπορεί να επιτραπεί σε ένα πρόσωπο, βάσει της νομιμοφροσύνης, της φερεγγυότητας και της αξιοπιστίας του, η πρόσβαση σε ΔΠΕΕ.
3. Όλα τα πρόσωπα εντός της ΓΓΣ των οποίων τα καθήκοντα καθιστούν αναγκαία την πρόσβαση σε ή τον χειρισμό ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη λαμβάνουν εξουσιοδότηση ασφαλείας του αντίστοιχου επιπέδου προτού τους επιτραπεί η πρόσβαση στις εν λόγω ΔΠΕΕ. Τα πρόσωπα αυτά πρέπει να έχουν λάβει άδεια από την αρμόδια για τους διορισμούς αρχή της ΓΓΣ για πρόσβαση σε ΔΠΕΕ με διαβάθμιση έως ένα συγκεκριμένο επίπεδο και έως μια συγκεκριμένη ημερομηνία.
4. Το αναφερόμενο στο άρθρο 15 παράγραφος 3 προσωπικό των κρατών μελών του οποίου τα καθήκοντα μπορεί να καθιστούν αναγκαία την πρόσβαση σε ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη λαμβάνει εξουσιοδότηση ασφαλείας του αντίστοιχου επιπέδου ή άλλη κατάλληλη εξουσιοδότηση βάσει των καθηκόντων του, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, προτού του επιτραπεί η πρόσβαση στις εν λόγω ΔΠΕΕ.
5. Προτού τους επιτραπεί πρόσβαση σε ΔΠΕΕ και κατά τακτά χρονικά διαστήματα στη συνέχεια, όλα τα πρόσωπα ενημερώνονται και δηλώνουν ότι έχουν κατανοήσει σαφώς την ευθύνη τους να προστατεύουν τις ΔΠΕΕ σύμφωνα με την παρούσα απόφαση.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα I.
Άρθρο 8
Φυσική ασφάλεια
1. Φυσική ασφάλεια είναι η εφαρμογή φυσικών και τεχνικών μέτρων προστασίας προκειμένου να εμποδίζεται η αναρμόδια πρόσβαση σε ΔΠΕΕ.
2. Τα μέτρα φυσικής ασφαλείας σχεδιάζονται έτσι ώστε να μην επιτρέπεται η λαθραία ή βίαιη είσοδος αναρμοδίων, να αποτρέπονται, να παρεμποδίζονται και να ανιχνεύονται οι μη εξουσιοδοτημένες ενέργειες και να καθίσταται δυνατός ο διαχωρισμός του προσωπικού όσον αφορά την πρόσβασή του σε ΔΠΕΕ βάσει της «ανάγκης γνώσης». Τα μέτρα αυτά καθορίζονται βάσει διαδικασίας διαχείρισης κινδύνων.
3. Τα μέτρα φυσικής ασφάλειας τίθενται σε ισχύ για όλους τους χώρους, τα κτίρια, τα γραφεία, τις αίθουσες και άλλα μέρη όπου γίνεται ο χειρισμός ή η αποθήκευση ΔΠΕΕ, συμπεριλαμβανομένων των χώρων που στεγάζουν συστήματα επικοινωνίας και πληροφοριών, όπως ορίζονται στο άρθρο 10 παράγραφος 2.
4. Οι χώροι στους οποίους αποθηκεύονται ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη καθορίζονται ως χώροι ασφαλείας σύμφωνα με το παράρτημα II και εγκρίνονται από την αρμόδια αρχή ασφαλείας.
5. Μόνο εγκεκριμένος εξοπλισμός ή εγκεκριμένες συσκευές χρησιμοποιούνται για την προστασία ΔΠΕΕ σε επίπεδο CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερο.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα II.
Άρθρο 9
Διαχείριση διαβαθμισμένων πληροφοριών
1. Διαχείριση των διαβαθμισμένων πληροφοριών είναι η εφαρμογή διοικητικών μέτρων για τον έλεγχο των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους με στόχο τη συμπλήρωση των μέτρων που προβλέπουν τα άρθρα 7, 8 και 10 και την κατ’ αυτόν τον τρόπο συμβολή στην αποτροπή και ανίχνευση εσκεμμένων ή τυχαίων διαρροών ή απωλειών των εν λόγω πληροφοριών. Τα εν λόγω μέτρα αφορούν ειδικότερα τη δημιουργία, την καταχώριση, την αντιγραφή, τη μετάφραση, τον υποχαρακτηρισμό, τον αποχαρακτηρισμό, τη μεταφορά και την καταστροφή ΔΠΕΕ.
2. Οι πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη καταχωρίζονται, για λόγους ασφαλείας, πριν από τη διανομή και κατά την παραλαβή. Οι αρμόδιες αρχές στη ΓΓΣ και τα κράτη μέλη καθιερώνουν γραμματειακό σύστημα προς τούτο. Πληροφορίες με διαβάθμιση TRÈS SECRET UE/EU TOP SECRET καταχωρίζονται σε ειδικές προς τούτο γραμματείες.
3. Οι υπηρεσίες και οι χώροι χειρισμού ή αποθήκευσης ΔΠΕΕ υπόκεινται σε τακτική επιθεώρηση από την αρμόδια αρχή ασφαλείας.
4. Οι ΔΠΕΕ διαβιβάζονται μεταξύ των υπηρεσιών και των εγκαταστάσεων που ευρίσκονται εκτός των περιοχών που τυγχάνουν φυσικής προστασίας ως εξής:
α)
κατά κανόνα, οι ΔΠΕΕ διαβιβάζονται με ηλεκτρονικά μέσα προστατευόμενα με κρυπτογραφικά προϊόντα που έχουν εγκριθεί σύμφωνα με το άρθρο 10 παράγραφος 6,
β)
όταν δεν χρησιμοποιούνται τα μέσα που αναφέρονται στο στοιχείο α), οι ΔΠΕΕ μεταφέρονται:
i)
είτε με ηλεκτρονικά μέσα (π.χ. κλειδιά USB, CD, σκληρούς δίσκους) που προστατεύονται με κρυπτογραφικά προϊόντα εγκεκριμένα σύμφωνα με το άρθρο 10 παράγραφος 6, ή
ii)
είτε, σε κάθε άλλη περίπτωση, όπως ορίζει η αρμόδια αρχή ασφαλείας σύμφωνα με τα σχετικά μέτρα προστασίας που ορίζονται στο παράρτημα III.
5. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στα παραρτήματα III και IV.
Άρθρο 10
Προστασία των ΔΠΕΕ που αποτελούν αντικείμενο χειρισμού σε συστήματα επικοινωνίας και πληροφοριών
1. Διασφάλιση των πληροφοριών (IA) στον τομέα των συστημάτων επικοινωνίας και πληροφοριών είναι η βεβαιότητα ότι τα συστήματα αυτά θα προστατεύουν τις πληροφορίες που χειρίζονται και θα λειτουργούν οσοδήποτε και οποτεδήποτε χρειάζεται υπό τον έλεγχο των νομίμων χρηστών. Η αποτελεσματική ΙΑ εξασφαλίζει κατάλληλα επίπεδα εμπιστευτικότητας, ακεραιότητας, μη άρνησης αναγνώρισης των πληροφοριών και γνησιότητας. Η ΙΑ βασίζεται σε διαδικασία διαχείρισης κινδύνων.
2. Ως «σύστημα επικοινωνίας και πληροφοριών» (CIS) νοείται οιοδήποτε σύστημα επιτρέπει τον χειρισμό πληροφοριών υπό ηλεκτρονική μορφή, με αυτόματα μέσα. Ένα CIS περιλαμβάνει το σύνολο των στοιχείων που απαιτούνται για τη λειτουργία του, συμπεριλαμβανομένων της υποδομής, της οργάνωσης, του προσωπικού και των πληροφοριών. Η παρούσα απόφαση εφαρμόζεται στα CIS που χειρίζονται ΔΠΕΕ.
3. Τα CIS χειρίζονται τις ΔΠΕΕ σύμφωνα με την έννοια της IA.
4. Όλα τα CIS υποβάλλονται σε διαδικασία έγκρισης της λειτουργίας. Η έγκριση λειτουργίας αποσκοπεί στη βεβαίωση ότι έχουν εφαρμοσθεί όλα τα ενδεδειγμένα μέτρα ασφαλείας και ότι έχει επιτευχθεί ικανοποιητικό επίπεδο προστασίας των ΔΠΕΕ και του CIS, σύμφωνα με την παρούσα απόφαση. Η δήλωση έγκρισης λειτουργίας καθορίζει το μέγιστο επιτρεπτό επίπεδο διαβάθμισης των πληροφοριών που μπορεί να χειρισθεί ένα CIS, καθώς και τους αντίστοιχους όρους και προϋποθέσεις.
5. Εφαρμόζονται μέτρα ασφαλείας για την προστασία CIS που χειρίζονται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL και υψηλότερη από κάθε διαρροή τέτοιων πληροφοριών μέσω ακούσιων ηλεκτρομαγνητικών εκπομπών («μέτρα ασφαλείας TEMPEST»). Τα εν λόγω μέτρα ασφαλείας είναι ανάλογα με τον κίνδυνο εκμετάλλευσης και το επίπεδο διαβάθμισης των πληροφοριών.
6. Όταν η προστασία ΔΠΕΕ παρέχεται με κρυπτογραφικά προϊόντα, τα προϊόντα αυτά εγκρίνονται ως εξής:
α)
η εμπιστευτικότητα των πληροφοριών με διαβάθμιση τουλάχιστον SECRET UE/UE SECRET προστατεύεται με κρυπτογραφικά προϊόντα που εγκρίνει το Συμβούλιο ως Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (CAA) κατόπιν συστάσεως της Επιτροπής Ασφαλείας,
β)
η εμπιστευτικότητα των πληροφοριών με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή RESTREINT UE/EU RESTRICTED προστατεύεται με κρυπτογραφικά προϊόντα που εγκρίνει ο γενικός γραμματέας του Συμβουλίου («γενικός γραμματέας») ως CAA, κατόπιν συστάσεως της Επιτροπής Ασφαλείας.
Παρά τα οριζόμενα στο στοιχείο β), στο πλαίσιο των εθνικών συστημάτων των κρατών μελών, η εμπιστευτικότητα των ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή RESTREINT UE/EU RESTRICTED μπορεί να προστατεύεται με κρυπτογραφικά προϊόντα που εγκρίνει η CAA κράτους μέλους.
7. Κατά τη διαβίβαση ΔΠΕΕ με ηλεκτρονικά μέσα χρησιμοποιούνται εγκεκριμένα κρυπτογραφικά προϊόντα. Παρά την απαίτηση αυτή, μπορούν να χρησιμοποιούνται ειδικές διαδικασίες σε έκτακτες περιστάσεις ή ειδικές τεχνικές διαμορφώσεις όπως ορίζονται στο παράρτημα IV.
8. Οι αρμόδιες αρχές της ΓΓΣ και των κρατών μελών αντιστοίχως καθιερώνουν τις ακόλουθες λειτουργίες ΙΑ:
α)
μια Αρχή ΙΑ,
β)
μια Αρχή TEMPEST (TA),
γ)
μια Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (CAA),
δ)
μια Αρχή Διανομής Κρυπτογραφικών Μεθόδων (CDA).
9. Για κάθε σύστημα, οι αρμόδιες αρχές της ΓΓΣ και των κρατών μελών αντιστοίχως καθιερώνουν:
α)
μια Αρχή Πιστοποίησης της Ασφάλειας (ΑΠΑ),
β)
μια Επιχειρησιακή Αρχή ΙΑ.
10. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα IV.
Άρθρο 11
Βιομηχανική ασφάλεια
1. Ως βιομηχανική ασφάλεια νοείται η εφαρμογή μέτρων διασφάλισης της προστασίας των ΔΠΕΕ από τους εργολάβους ή τους υπεργολάβους κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και καθ’ όλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων. Οι συμβάσεις αυτές δεν περιλαμβάνουν πρόσβαση σε πληροφορίες με διαβάθμιση TRÈS SECRET UE/EU TOP SECRET.
2. Η ΓΓΣ μπορεί να αναθέτει με σύμβαση σε βιομηχανικούς ή άλλους φορείς που έχουν την έδρα τους σε κράτος μέλος ή σε τρίτο κράτος που έχει συνάψει συμφωνία ή διοικητικό διακανονισμό σύμφωνα με το άρθρο 13 παράγραφος 2 στοιχείο α) ή β) καθήκοντα που αφορούν ή συνεπάγονται πρόσβαση σε ΔΠΕΕ ή τον χειρισμό ή την αποθήκευσή τους.
3. Κατά την ανάθεση διαβαθμισμένων συμβάσεων σε βιομηχανικούς ή άλλους φορείς, η ΓΓΣ διασφαλίζει, ως αναθέτουσα αρχή, ότι τηρούνται οι ελάχιστες προδιαγραφές βιομηχανικής ασφάλειας που καθορίζονται στην παρούσα απόφαση και αναφέρονται στη σύμβαση.
4. Η Εθνική Αρχή Ασφαλείας (EAA), η Καθορισμένη Αρχή Ασφαλείας (ΚΑΑ) ή οποιαδήποτε άλλη αρμόδια αρχή κάθε κράτους μέλους εξασφαλίζει, στο βαθμό που επιτρέπεται δυνάμει εθνικών νομοθετικών και κανονιστικών διατάξεων, ότι οι εργολάβοι και οι υπεργολάβοι που έχουν την έδρα τους στο έδαφός τους λαμβάνουν άπαντα τα δέοντα μέτρα για την προστασία των ΔΠΕΕ κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και κατά την εκτέλεση διαβαθμισμένης σύμβασης.
5. Η EAA, η ΚΑΑ ή οιαδήποτε άλλη αρμόδια αρχή ασφαλείας κάθε κράτους μέλους εξασφαλίζει, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, ότι οι εργολάβοι ή υπεργολάβοι που έχουν την έδρα τους στο αντίστοιχο κράτος μέλος και συμμετέχουν σε διαβαθμισμένες συμβάσεις ή συμβάσεις υπεργολαβίας που απαιτούν την πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET μέσα στις εγκαταστάσεις τους, είτε κατά την εκτέλεση των συμβάσεων αυτών είτε κατά το προσυμβατικό στάδιο, πρέπει να διαθέτουν εξουσιοδότηση ασφαλείας φορέα (FSC) στο οικείο επίπεδο διαβάθμισης.
6. Οι υπάλληλοι του εργολάβου ή υπεργολάβου οι οποίοι, για την εκτέλεση διαβαθμισμένης σύμβασης, απαιτούν πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET λαμβάνουν εξουσιοδότηση ασφαλείας προσωπικού (ΕΑΠ) από την αντίστοιχη EAA, KAA ή άλλη αρμόδια αρχή σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις και τις ελάχιστες προδιαγραφές που ορίζονται στο παράρτημα I.
7. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα V.
Άρθρο 12
Κοινοποίηση ΔΠΕΕ
1. Το Συμβούλιο καθορίζει τους όρους υπό τους οποίους μπορεί να κοινοποιεί ΔΠΕΕ τις οποίες έχει στην κατοχή του σε άλλα θεσμικά και λοιπά όργανα ή οργανισμούς της Ένωσης. Προς το σκοπό αυτό μπορεί να προβλεφθεί κατάλληλο πλαίσιο, μεταξύ άλλων με τη σύναψη διοργανικών συμφωνιών ή άλλων σχετικών ρυθμίσεων, κατά περίπτωση.
2. Το σχετικό πλαίσιο εξασφαλίζει ότι οι ΔΠΕΕ λαμβάνουν κατάλληλη για το επίπεδο διαβάθμισής τους προστασία και σύμφωνα με βασικές αρχές και ελάχιστα πρότυπα ισοδύναμα με εκείνα που καθορίζονται στην παρούσα απόφαση.
Άρθρο 13
Ανταλλαγή διαβαθμισμένων πληροφοριών με τρίτα κράτη και διεθνείς οργανισμούς
1. Όταν το Συμβούλιο αποφασίζει ότι υπάρχει ανάγκη ανταλλαγής ΔΠΕΕ με τρίτο κράτος ή διεθνή οργανισμό, δημιουργείται το κατάλληλο πλαίσιο προς τούτο.
2. Προκειμένου να δημιουργηθεί το πλαίσιο αυτό και να ορισθούν αμοιβαίοι κανόνες για την προστασία των προς ανταλλαγή διαβαθμισμένων πληροφοριών:
α)
η Ένωση συνάπτει συμφωνίες με τρίτα κράτη ή διεθνείς οργανισμούς σχετικά με διαδικασίες ασφαλείας για την ανταλλαγή και την προστασία διαβαθμισμένων πληροφοριών («συμφωνίες ασφαλείας πληροφοριών»), ή
β)
ο γενικός γραμματέας μπορεί να συνάπτει διοικητικούς διακανονισμούς εξ ονόματος της ΓΓΣ σύμφωνα με την παράγραφο 17 του παραρτήματος VI εφόσον το επίπεδο διαβάθμισης των προς κοινοποίηση ΔΠΕΕ δεν είναι κατά κανόνα υψηλότερο από RESTREINT UE/EU RESTRICTED.
3. Οι συμφωνίες ασφαλείας πληροφοριών ή οι διοικητικοί διακανονισμοί που αναφέρονται στην παράγραφο 2 περιέχουν διατάξεις που εξασφαλίζουν ότι όταν τρίτα κράτη ή διεθνείς οργανισμοί λαμβάνουν ΔΠΕΕ, στις εν λόγω πληροφορίες παρέχεται η δέουσα προστασία για το επίπεδο διαβάθμισής τους και σύμφωνα με στοιχειώδεις προδιαγραφές τουλάχιστον ισοδύναμες με τις προδιαγραφές που ορίζονται στην παρούσα απόφαση.
4. Η απόφαση κοινολόγησης ΔΠΕΕ που προέρχονται από το Συμβούλιο σε τρίτο κράτος ή διεθνή οργανισμό λαμβάνεται από το Συμβούλιο κατά περίπτωση, ανάλογα με τη φύση και το περιεχόμενο των πληροφοριών, την ανάγκη γνώσης του παραλήπτη και τα σχετικά πλεονεκτήματα για την Ένωση. Εάν ο φορέας προέλευσης των διαβαθμισμένων πληροφοριών των οποίων ζητείται η κοινολόγηση δεν είναι το Συμβούλιο, τότε η ΓΓΣ ζητεί πρώτα τη γραπτή συγκατάθεση του εν λόγω φορέα. Εάν δεν μπορεί να εξακριβωθεί ο φορέας προέλευσης, τότε το Συμβούλιο αναλαμβάνει την ευθύνη αυτή.
5. Διοργανώνονται επισκέψεις αξιολόγησης για να εξακριβωθεί η αποτελεσματικότητα των μέτρων ασφαλείας που εφαρμόζονται σε τρίτο κράτος ή διεθνή οργανισμό για την προστασία των παρεχόμενων ή ανταλλασσόμενων ΔΠΕΕ.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα VI.
Άρθρο 14
Παραβιάσεις της ασφάλειας και διαρροή ΔΠΕΕ
1. Παραβίαση της ασφάλειας προκύπτει ως αποτέλεσμα πράξης ή παράλειψης προσώπου η οποία είναι αντίθετη προς τους κανονισμούς ασφαλείας της παρούσας οδηγίας.
2. Διαρροή ΔΠΕΕ προκύπτει όταν, εξαιτίας παραβίασης της ασφάλειας, αυτές κοινολογούνται εξ ολοκλήρου ή εν μέρει σε μη εξουσιοδοτημένα πρόσωπα.
3. Κάθε παραβίαση ή υπόνοια παραβίασης της ασφάλειας αναφέρεται αμέσως στην αρμόδια αρχή ασφαλείας.
4. Όταν είναι γνωστό ή υπάρχουν εύλογες υπόνοιες ότι επήλθε διαρροή ή απώλεια ΔΠΕΕ, η EAA ή άλλη αρμόδια αρχή λαμβάνει όλα τα κατάλληλα μέτρα σύμφωνα με τις σχετικές νομοθετικές και κανονιστικές διατάξεις προκειμένου:
α)
να ενημερωθεί ο φορέας προέλευσης,
β)
να εξασφαλισθεί ότι η υπόθεση διερευνάται από προσωπικό που δεν σχετίζεται άμεσα με την παραβίαση προκειμένου να διαπιστωθούν τα πραγματικά περιστατικά,
γ)
να αξιολογηθεί η τυχόν ζημία που προκλήθηκε στα συμφέροντα της Ένωσης ή των κρατών μελών,
δ)
να ληφθούν τα κατάλληλα μέτρα για να αποτραπεί τυχόν επανάληψη και
ε)
να ειδοποιηθούν οι αρμόδιες αρχές για τα ληφθέντα μέτρα.
5. Κάθε υπεύθυνος για παραβίαση των κανονισμών ασφαλείας της παρούσας απόφασης ενδέχεται να υποστεί πειθαρχικές κυρώσεις σύμφωνα με τους εφαρμοστέους κανόνες και κανονισμούς. Κάθε υπεύθυνος για διαρροή ή απώλεια ΔΠΕΕ υπόκειται σε πειθαρχικές κυρώσεις και/ή δικαστικές ενέργειες σύμφωνα με τους εφαρμοστέους νόμους, κανόνες και κανονισμούς.
Άρθρο 15
Ευθύνη της εκτέλεσης
1. Το Συμβούλιο λαμβάνει κάθε απαραίτητο μέτρο προκειμένου να εξασφαλίσει γενική συνοχή στην εφαρμογή της παρούσας απόφασης.
2. Ο γενικός γραμματέας λαμβάνει κάθε απαραίτητο μέτρο ώστε να εξασφαλισθεί ότι, κατά τον χειρισμό ή την αποθήκευση ΔΠΕΕ ή άλλων διαβαθμισμένων πληροφοριών, εφαρμόζεται η παρούσα απόφαση στους χώρους που χρησιμοποιεί το Συμβούλιο και εντός της ΓΓΣ, από τους υπαλλήλους και το λοιπό προσωπικό της ΓΓΣ, από το προσωπικό που έχει αποσπασθεί στη ΓΓΣ και από τους εργολήπτες της ΓΓΣ.
3. Τα κράτη μέλη λαμβάνουν κάθε κατάλληλο μέτρο, σύμφωνα με τους αντίστοιχους εθνικούς νόμους και κανονισμούς, προκειμένου να εξασφαλισθεί ότι, κατά το χειρισμό ή την αποθήκευση ΔΠΕΕ, τηρείται η παρούσα απόφαση από:
α)
το προσωπικό των μόνιμων αντιπροσωπειών των κρατών μελών στην Ευρωπαϊκή Ένωση, καθώς και από τους εθνικούς αντιπροσώπους που συμμετέχουν σε συνόδους του Συμβουλίου ή συνεδριάσεις των προπαρασκευαστικών οργάνων του, ή λαμβάνουν μέρος σε άλλες δραστηριότητες του Συμβουλίου,
β)
το λοιπό προσωπικό των κρατικών υπηρεσιών των κρατών μελών, συμπεριλαμβανομένου του προσωπικού που έχει αποσπασθεί σε αυτές τις κρατικές υπηρεσίες, ασχέτως του αν υπηρετούν στο έδαφος των κρατών μελών ή στο εξωτερικό,
γ)
άλλα πρόσωπα στα κράτη μέλη δεόντως εξουσιοδοτημένα βάσει των καθηκόντων τους να έχουν πρόσβαση σε ΔΠΕΕ και
δ)
εργολήπτες των κρατών μελών, είτε στο έδαφος των κρατών μελών είτε στο εξωτερικό.
Άρθρο 16
Η οργάνωση της ασφάλειας στο Συμβούλιο
1. Στα πλαίσια του καθήκοντός του για την εξασφάλιση γενικής συνοχής στην εφαρμογή της παρούσας απόφασης, το Συμβούλιο εγκρίνει:
α)
συμφωνίες που αναφέρονται στο άρθρο 13 παράγραφος 2 στοιχείο α),
β)
αποφάσεις που να επιτρέπουν ή να συγκατατίθενται στη διάθεση ΔΠΕΕ που προέρχονται από το Συμβούλιο ή βρίσκονται στην κατοχή του σε τρίτα κράτη και διεθνείς οργανισμούς σύμφωνα με την αρχή της συγκατάθεσης της πηγής προέλευσης,
γ)
ετήσιο πρόγραμμα επισκέψεων αξιολόγησης που συνιστά η Επιτροπή Ασφαλείας για επισκέψεις αξιολόγησης των υπηρεσιών και των εγκαταστάσεων των κρατών μελών, καθώς και των λοιπών οργάνων, οργανισμών και μονάδων της Ένωσης που εφαρμόζουν την παρούσα απόφαση ή τις αρχές της, και επισκέψεις αξιολόγησης σε τρίτα κράτη και διεθνείς οργανισμούς προκειμένου να εξακριβωθεί η αποτελεσματικότητα των μέτρων που εφαρμόζονται για την προστασία των ΔΠΕΕ, και
δ)
τις πολιτικές ασφαλείας που προβλέπονται στο άρθρο 6 παράγραφος 1.
2. Ο γενικός γραμματέας είναι η Αρχή Ασφαλείας της ΓΓΣ. Υπ’ αυτή την ιδιότητα, ο γενικός γραμματέας:
α)
μεριμνά για την εφαρμογή της πολιτικής ασφαλείας του Συμβουλίου και την περιοδική εξέτασή της,
β)
συντονίζει με τις ΕΑΑ των κρατών μελών όλα τα θέματα ασφαλείας που αφορούν την προστασία των διαβαθμισμένων πληροφοριών σχετικά με τις δραστηριότητες του Συμβουλίου,
γ)
χορηγεί στους υπαλλήλους της ΓΓΣ, στο λοιπό προσωπικό και στους αποσπασμένους εθνικούς εμπειρογνώμονες εξουσιοδότηση σύμφωνα με το άρθρο 7 παράγραφος 3 για πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη,
δ)
διατάσσει, κατά περίπτωση, τη διερεύνηση οιασδήποτε πραγματικής ή εικαζόμενης διαρροής ή απώλειας διαβαθμισμένων πληροφοριών που κατέχει το Συμβούλιο ή προέρχονται από αυτό και ζητεί από τις αρμόδιες αρχές ασφαλείας να συνδράμουν στις έρευνες,
ε)
αναλαμβάνει περιοδικές επιθεωρήσεις των ρυθμίσεων ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών στους χώρους της ΓΓΣ,
στ)
αναλαμβάνει περιοδικές επισκέψεις για να αξιολογήσει τις ρυθμίσεις ασφαλείας για την προστασία των ΔΠΕΕ στους οργανισμούς, τις υπηρεσίες και τις μονάδες της Ένωσης που εφαρμόζουν την παρούσα απόφαση ή τις αρχές της,
ζ)
αναλαμβάνει να πραγματοποιεί, από κοινού και σε συμφωνία με την ενδιαφερόμενη ΕΑΑ, περιοδικές αξιολογήσεις των ρυθμίσεων ασφαλείας για την προστασία των ΔΠΕΕ στις υπηρεσίες και τους χώρους των κρατών μελών,
η)
εξασφαλίζει ότι τα μέτρα ασφαλείας συντονίζονται όπως απαιτείται με τις αρμόδιες αρχές των κρατών μελών που είναι υπεύθυνες για την προστασία των διαβαθμισμένων πληροφοριών και, ανάλογα με την περίπτωση, με τρίτα κράτη ή διεθνείς οργανισμούς, μεταξύ άλλων και για τη φύση των απειλών κατά της ασφάλειας των ΔΠΕΕ και τα μέσα προστασίας από αυτές και
θ)
συνάπτει τους διοικητικούς διακανονισμούς που αναφέρονται στο άρθρο 13 παράγραφος 2 στοιχείο β).
Το Γραφείο Ασφαλείας της ΓΓΣ είναι στη διάθεση του γενικού γραμματέα για την παροχή βοήθειας σε αυτά τα καθήκοντα.
3. Για την εφαρμογή του άρθρου 15 παράγραφος 3, τα κράτη μέλη θα πρέπει:
α)
να ορίσουν μια ΕΑΑ, όπως παρατίθεται στο προσάρτημα Γ, αρμόδια για τις ρυθμίσεις ασφαλείας σχετικά με την προστασία των ΔΠΕΕ, ώστε:
i)
οι ΔΠΕΕ που ευρίσκονται στην κατοχή εθνικών φορέων, οργανισμών ή υπηρεσιών, δημόσιων ή ιδιωτικών, εντός της χώρας ή στο εξωτερικό, να προστατεύονται σύμφωνα με την παρούσα απόφαση,
ii)
οι ρυθμίσεις ασφαλείας για την προστασία των ΔΠΕΕ να τυγχάνουν περιοδικής επιθεώρησης ή αξιολόγησης,
iii)
όλα τα πρόσωπα που απασχολούνται σε κρατική υπηρεσία ή από εργολάβο και μπορούν να αποκτήσουν πρόσβαση στις πληροφορίες με διαβάθμιση τουλάχιστον CONFIDENTIEL UE/EU CONFIDENTIAL να έχουν λάβει τη δέουσα εξουσιοδότηση ασφαλείας ή άλλη κατάλληλη εξουσιοδότηση βάσει των καθηκόντων τους, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις,
iv)
να σχεδιάζονται τα απαραίτητα προγράμματα ασφαλείας ώστε να ελαχιστοποιείται ο κίνδυνος διαρροής ή απώλειας ΔΠΕΕ,
v)
τα θέματα ασφαλείας σχετικά με την προστασία των ΔΠΕΕ να συντονίζονται με άλλες αρμόδιες εθνικές αρχές, συμπεριλαμβανομένων των αναφερομένων στην παρούσα οδηγία και
vi)
να δίνονται απαντήσεις στις κατάλληλες αιτήσεις ελέγχου ασφαλείας, ιδίως από τα λοιπά όργανα, τους οργανισμούς, τις μονάδες και τις επιχειρήσεις της Ένωσης που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ, καθώς και από τους Ειδικούς Εντεταλμένους της ΕΕ (ΕΕΕΕ) και τις ομάδες τους που εφαρμόζουν την παρούσα απόφαση ή τις αρχές της,
β)
να εξασφαλίζουν ότι οι αρμόδιες αρχές τους παρέχουν πληροφορίες και συμβουλές στις κυβερνήσεις τους και, μέσω αυτών, στο Συμβούλιο σχετικά με τη φύση των απειλών κατά της ασφάλειας των ΔΠΕΕ και τα μέσα προστασίας από αυτές.
Άρθρο 17
Επιτροπή Ασφαλείας
1. Συγκροτείται Επιτροπή Ασφαλείας. Εξετάζει και αξιολογεί κάθε θέμα ασφαλείας εντός του πεδίου εφαρμογής της παρούσας απόφασης και υποβάλλει συστάσεις στο Συμβούλιο, κατά περίπτωση.
2. Η Επιτροπή Ασφαλείας αποτελείται από αντιπροσώπους των ΕΑΑ των κρατών μελών και στις συνεδριάσεις της συμμετέχει αντιπρόσωπος της Επιτροπής και της ΕΥΕΔ. Προεδρεύεται από τον γενικό γραμματέα ή από τον ορισθέντα αντιπρόσωπό του. Συνέρχεται δε σύμφωνα με τις οδηγίες του Συμβουλίου ή κατόπιν αιτήματος του γενικού γραμματέα ή μιας ΕΑΑ.
Οι αντιπρόσωποι των λοιπών οργάνων, οργανισμών και μονάδων της Ένωσης που εφαρμόζουν την παρούσα απόφαση ή τις αρχές της μπορούν να κληθούν να συμμετάσχουν όταν συζητούνται θέματα που τους αφορούν.
3. Η Επιτροπή Ασφαλείας οργανώνει τις δραστηριότητές της κατά τρόπο ώστε να μπορεί να υποβάλλει συστάσεις για ειδικούς τομείς ασφαλείας. Καθιερώνει υποομάδα εμπειρογνωμόνων για θέματα IA και άλλες υποομάδες εμπειρογνωμόνων κατά περίπτωση. Ορίζει τα καθήκοντα αυτών των υποομάδων και οι εμπειρογνώμονες της υποβάλλουν εκθέσεις σχετικά με τις δραστηριότητές τους συμπεριλαμβανομένων, ανάλογα με την περίπτωση, τυχόν συστάσεων προς το Συμβούλιο.
Άρθρο 18
Αντικατάσταση της προηγούμενης απόφασης
1. Η παρούσα απόφαση καταργεί και αντικαθιστά την απόφαση 2011/292/ΕΕ του Συμβουλίου (2).
2. Όλες οι ΔΠΕΕ που διαβαθμίζονται σύμφωνα με την απόφαση 2001/264/ΕΚ του Συμβουλίου (3) και την απόφαση 2011/292/ΕΕ εξακολουθούν να προστατεύονται σύμφωνα με τις σχετικές διατάξεις της παρούσας απόφασης.
Άρθρο 19
Έναρξη ισχύος
Η παρούσα απόφαση αρχίζει να ισχύει από την ημέρα της δημοσίευσής της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
Βρυξέλλες, 23 Σεπτεμβρίου 2013.