RÅDETS AFGØRELSE
af 31. marts 2011
om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer
(2011/292/EU)
RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 240, stk. 3,
under henvisning til Rådets afgørelse 2009/937/EU af 1. december 2009 om vedtagelse af Rådets forretningsorden (1), særlig artikel 24, og
ud fra følgende betragtninger:
(1)
For at udbygge Rådets virksomhed på alle områder, som kræver håndtering af klassificerede informationer, er det hensigtsmæssigt at indføre et overordnet system for sikkerhedsbeskyttelse af klassificerede informationer, der omfatter Rådet, Rådets Generalsekretariat og medlemsstaterne.
(2)
Denne afgørelse bør finde anvendelse, når Rådet, dets forberedende organer og Generalsekretariatet for Rådet (GSR) håndterer EU's klassificerede informationer (EUCI).
(3)
I overensstemmelse med nationale love og bestemmelser og i det omfang, det er nødvendigt for Rådets funktion, bør medlemsstaterne overholde denne afgørelse, når deres kompetente myndigheder, personale eller kontrahenter håndterer EUCI, så de hver især kan være sikre på, at der gælder et ækvivalent beskyttelsesniveau for EUCI.
(4)
Rådet og Kommissionen er fast besluttet på at anvende ækvivalente sikkerhedsstandarder for beskyttelse af EUCI.
(5)
Rådet understreger vigtigheden af, at Europa-Parlamentet og andre EU-institutioner, -agenturer, -organer eller -kontorer, når det er relevant, omfattes af de principper, standarder og regler for sikkerhedsbeskyttelse af klassificerede informationer, der er nødvendige for at beskytte Unionens og dens medlemsstaters interesser.
(6)
EU-agenturer og -organer oprettet i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union anvender Europol og Eurojust i deres interne organisation de grundprincipper og minimumsstandarder, der er fastlagt i denne afgørelse med henblik på sikkerhedsbeskyttelse af EUCI, jf. deres respektive grundlæggende akter.
(7)
Krisestyringsoperationer etableret i henhold til afsnit V, kapitel 2 i traktaten om Den Europæiske Union og deres personale anvender de regler, der er vedtaget af Rådet med henblik på sikkerhedsbeskyttelse af EUCI.
(8)
EU's særlige repræsentanter og medlemmerne af deres stab anvender de regler, der er vedtaget af Rådet med henblik på sikkerhedsbeskyttelse af EUCI.
(9)
Denne afgørelse gælder med forbehold af artikel 15 og 16 i traktaten om Den Europæiske Unions funktionsmåde og retsakter til gennemførelse heraf.
(10)
Denne afgørelse berører ikke gældende praksis i medlemsstaterne med hensyn til underretning af de nationale parlamenter om Unionens virksomhed -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Formål, anvendelsesområde og definitioner
1. Denne afgørelse fastlægger grundprincipperne og minimumsstandarderne for sikkerhedsbeskyttelse af EUCI.
2. Disse grundprincipper og minimumsstandarder gælder for Rådet og GSR og skal overholdes af medlemsstaterne i overensstemmelse med deres respektive nationale love og bestemmelser, så de hver især kan være sikre på, at der gælder et ækvivalent beskyttelsesniveau for EUCI.
3. I denne afgørelse anvendes de definitioner, der er fastlagt i tillæg A.
Artikel 2
Definition af EUCI, sikkerhedsklassifikationer og mærkninger
1. Ved »EU's klassificerede informationer« (EUCI) forstås informationer eller materiale mærket med en EU-sikkerhedsklassifikation, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes interesser skade i forskellig grad.
2. EUCI klassificeres efter en af følgende grader:
a) TRÈS SECRET UE/EU TOP SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser overordentlig alvorlig skade.
b) SECRET UE/EU SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser alvorlig skade.
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser skade.
d) RESTREINT UE/EU RESTRICTED: informationer og materiale, hvis uautoriserede videregivelse kunne have negativ indvirkning på Den Europæiske Unions eller en eller flere af medlemsstaternes interesser.
3. EUCI forsynes med en klassifikationsmærkning i overensstemmelse med stk. 2. EUCI kan forsynes med yderligere mærkninger for at angive de aktivitetsområder, de vedrører, identificere udstederen, begrænse distributionen eller anvendelsen eller angive mulighederne for videregivelse.
Artikel 3
Klassifikationsstyring
1. De kompetente myndigheder sikrer, at EUCI er passende klassificeret, klart identificeret som klassificerede informationer og kun bevarer deres klassifikationsgrad, så længe det er nødvendigt.
2. EUCI må ikke nedklassificeres eller afklassificeres, og ingen af mærkningerne ifølge artikel 2, stk. 3, må ændres eller fjernes uden forudgående skriftligt samtykke fra udstederen.
3. Rådet godkender en sikkerhedspolitik for udarbejdelse af EUCI, der omfatter en praktisk klassifikationsvejledning.
Artikel 4
Beskyttelse af klassificerede informationer
1. EUCI beskyttes i overensstemmelse med denne afgørelse.
2. Den, der er i besiddelse af EUCI, er ansvarlig for beskyttelse heraf i overensstemmelse med denne afgørelse.
3. Hvis medlemsstaterne bringer klassificerede informationer med en national klassifikationsmærkning ind i Den Europæiske Unions strukturer eller netværk, beskytter Rådet og GSR disse informationer i overensstemmelse med de krav, der gælder for EUCI af en tilsvarende grad, jf. den sammenlignende oversigt over sikkerhedsklassifikationer i tillæg B.
4. Større mængder eller en samling af EUCI kan berettige til en sikkerhedsbeskyttelse af en grad, der svarer til en højere klassifikation.
Artikel 5
Sikkerhedsrisikostyring
1. Risici i forhold til EUCI skal styres som en proces. Processen har til formål at fastslå kendte sikkerhedsrisici, fastlægge sikkerhedsforanstaltninger for at reducere sådanne risici til et acceptabelt niveau i overensstemmelse med de grundprincipper og minimumsstandarder, der er fastlagt i denne afgørelse, og anvende disse foranstaltninger ifølge begrebet dybdeforsvar, jf. definitionen i tillæg A. Sådanne foranstaltningers effektivitet skal løbende evalueres.
2. Sikkerhedsforanstaltninger til beskyttelse af EUCI i hele deres livscyklus skal især svare til sikkerhedsklassifikationen for og formen og mængden af informationerne eller materialet, placeringen og konstruktionen af de faciliteter, hvor EUCI opbevares, og den lokalt vurderede trussel fra ondsindet og/eller kriminel virksomhed, herunder spionage, sabotage og terrorisme.
3. Beredskabsplaner skal tage hensyn til behovet for at beskytte EUCI i nødsituationer med henblik på at forhindre uautoriseret adgang, uautoriseret videregivelse eller tab af integritet eller tilgængelighed.
4. Kontinuitetsplaner skal omfatte forebyggende og genoprettende foranstaltninger med henblik på at minimere følgerne af større nedbrud eller hændelser for håndteringen og opbevaringen af EUCI.
Artikel 6
Gennemførelse af denne afgørelse
1. Når det er nødvendigt, godkender Rådet efter henstilling fra Sikkerhedsudvalget sikkerhedspolitikker med foranstaltninger til gennemførelse af denne afgørelse.
2. Sikkerhedsudvalget kan på sit niveau fastlægge sikkerhedsretningslinjer for at supplere eller understøtte denne afgørelse og eventuelle sikkerhedspolitikker, der er godkendt af Rådet.
Artikel 7
Personelsikkerhed
1. Ved personelsikkerhed forstås anvendelse af foranstaltninger for at sikre, at adgang til EUCI kun gives til personer, som:
-
har need-to-know
-
er sikkerhedsgodkendt til den relevante klassifikationsgrad, når det er nødvendigt, og
-
er blevet gjort bekendt med deres ansvar.
2. Procedurerne for personelsikkerhedsgodkendelse udformes, så det kan afgøres, om en person under hensyn til vedkommendes loyalitet, troværdighed og pålidelighed kan autoriseres til at få adgang til EUCI.
3. Alle personer i GSR, hvis opgaver kan kræve adgang til EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal være sikkerhedsgodkendt til den relevante klassifikationsgrad, inden de kan få adgang til sådanne EUCI. Proceduren for personelsikkerhedsgodkendelse for GSR's tjenestemænd og øvrige ansatte er fastlagt i bilag I.
4. Medlemsstaternes personale, jf. artikel 14, stk. 3, hvis opgaver kan kræve adgang til EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal være sikkerhedsgodkendt til den relevante klassifikationsgrad eller på anden måde behørigt autoriseret i kraft af deres funktioner i overensstemmelse med nationale love og bestemmelser, inden de kan få adgang til sådanne EUCI.
5. Alle personer skal gøres bekendt med og anerkende deres ansvar for at beskytte EUCI i overensstemmelse med denne afgørelse, inden de får adgang til EUCI og med jævne mellemrum herefter.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag I.
Artikel 8
Fysisk sikkerhed
1. Ved fysisk sikkerhed forstås anvendelse af fysiske og tekniske beskyttelsesforanstaltninger for at forhindre uautoriseret adgang til EUCI.
2. De fysiske sikkerhedsforanstaltninger udformes med henblik på at forhindre, at en indtrænger skaffer sig hemmelig adgang eller tiltvinger sig adgang, på at afskrække fra, vanskeliggøre og afsløre uautoriserede handlinger samt på at muliggøre personalemæssig adskillelse for så vidt angår adgang til EUCI på en need-to-know-basis. Sådanne foranstaltninger fastlægges på basis af en risikostyringsproces.
3. Fysiske sikkerhedsforanstaltninger indføres for alle lokaliteter, bygninger, kontorer, lokaler og andre områder, hvor EUCI håndteres eller opbevares, herunder områder, der huser kommunikations- og informationssystemer, jf. artikel 10, stk. 2.
4. Områder, hvor EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, opbevares, skal etableres som sikrede områder i overensstemmelse med bilag II og godkendes af den kompetente sikkerhedsmyndighed.
5. Der må kun anvendes godkendt udstyr eller godkendte anordninger til beskyttelse af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag II.
Artikel 9
Forvaltning af klassificerede informationer
1. Ved forvaltning af klassificerede informationer forstås anvendelse af administrative foranstaltninger til kontrol af EUCI i hele deres livscyklus for at supplere foranstaltningerne i artikel 7, 8 og 10 og derved bidrage til at afskrække fra, afsløre og udbedre skade forårsaget af forsætlig eller uagtsom kompromittering eller tab af sådanne informationer. Sådanne foranstaltninger omfatter bl.a. udarbejdelse, registrering, kopiering, oversættelse, transport og destruktion af EUCI.
2. Informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, sikkerhedsregistreres forud for distributionen og ved modtagelsen. GSR's og medlemsstaternes respektive kompetente myndigheder etablerer en registraturordning med henblik herpå. Informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET, registreres i dertil oprettede registraturer.
3. Tjenester og lokaliteter, hvor EUCI håndteres eller opbevares, underkastes regelmæssig inspektion af den kompetente sikkerhedsmyndighed.
4. EUCI transporteres på følgende måde mellem tjenester og lokaliteter uden for fysisk beskyttede områder:
a)
generelt ved elektronisk transmission beskyttet af kryptoprodukter, der er godkendt i overensstemmelse med artikel 10, stk. 6
b)
når de i litra a) omhandlede midler ikke anvendes, transporteres EUCI enten:
i)
via elektroniske medier (f.eks. USB-nøgler, CD'er og harddiske) beskyttet af kryptoprodukter, der er godkendt i overensstemmelse med artikel 10, stk. 6, eller
ii)
i alle andre tilfælde som foreskrevet af den kompetente sikkerhedsmyndighed i overensstemmelse med de relevante beskyttelsesforanstaltninger i bilag III.
5. Bestemmelser til gennemførelse af denne artikel findes i bilag III.
Artikel 10
Beskyttelse af EUCI, der håndteres i kommunikations- og informationssystemer
1. Ved informationssikring (IA) i forbindelse med kommunikations- og informationssystemer forstås tilliden til, at disse systemer beskytter de informationer, de håndterer, og at de fungerer, som de skal, når de skal, under de legitime brugeres kontrol. Effektiv IA sikrer et passende niveau af fortrolighed, integritet, tilgængelighed, uafviselighed og autenticitet. IA baseres på en risikostyringsproces.
2. Ved »kommunikations- og informationssystem« forstås et system, der muliggør håndtering af informationer i elektronisk form. Et kommunikations- og informationssystem omfatter alle de aktiver, der er nødvendige for dets drift, herunder infrastrukturer, organisation, personale og informationsressourcer. Denne afgørelse finder anvendelse på kommunikations- og informationssystemer, der håndterer EUCI (CIS'er).
3. CIS'er håndterer EUCI i overensstemmelse med begrebet IA.
4. Alle CIS'er skal gennemgå en akkrediteringsproces. Akkreditering har til formål at sikre, at alle passende sikkerhedsforanstaltninger er blevet gennemført, og at der er opnået en tilstrækkelig grad af beskyttelse af EUCI og af CIS'et i overensstemmelse med denne afgørelse. Akkrediteringsudredningen skal fastsætte den højeste klassifikationsgrad af de informationer, der kan håndteres i et CIS, og de betingelser og vilkår, der svarer hertil.
5. CIS'er, der håndterer informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal sikkerhedsbeskyttes, således at informationerne ikke kan kompromitteres gennem utilsigtede elektromagnetiske emissioner (Tempestsikkerhedsforanstaltninger).
6. Hvis beskyttelsen af EUCI sker ved hjælp af kryptoprodukter, skal sådanne produkter være godkendt på følgende måde:
a)
fortroligheden af informationer, der er klassificeret SECRET UE/EU SECRET eller højere, skal beskyttes ved hjælp af kryptoprodukter, der er godkendt af Rådet som kryptogodkendelsesmyndighed (CAA) efter henstilling fra Sikkerhedsudvalget
b)
fortroligheden af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED, skal beskyttes ved hjælp af kryptoprodukter, der er godkendt af generalsekretæren for Rådet (i det følgende benævnt »generalsekretæren«) som CAA efter henstilling fra Sikkerhedsudvalget.
Uanset litra b) kan fortroligheden af EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller RESTREINT UE/EU RESTRICTED, inden for medlemsstaternes nationale systemer beskyttes ved hjælp af kryptoprodukter, der er godkendt af en medlemsstats CAA.
7. Ved elektronisk transmission af EUCI skal der anvendes godkendte kryptoprodukter. Uanset dette krav kan der i nødsituationer følges specifikke procedurer eller anvendes specifikke tekniske konfigurationer, jf. bilag IV.
8. GSR's og medlemsstaternes respektive kompetente myndigheder etablerer følgende IA-funktioner:
a)
en IA-myndighed (IAA)
b)
en Tempestmyndighed (TA)
c)
en kryptogodkendelsesmyndighed (CAA)
d)
en kryptodistributionsmyndighed (CDA).
9. For hvert system etablerer GSR's og medlemsstaternes respektive kompetente myndigheder:
a)
en sikkerhedsakkrediteringsmyndighed (SAA)
b)
en operativ IA-myndighed.
10. Bestemmelser til gennemførelse af denne artikel findes i bilag IV.
Artikel 11
Industrisikkerhed
1. Ved industrisikkerhed forstås anvendelse af foranstaltninger for at sikre, at kontrahenter eller underkontrahenter beskytter EUCI under forhandlingerne forud for indgåelsen af en kontrakt og under hele livscyklussen for klassificerede kontrakter. Sådanne kontrakter må ikke indebære adgang til informationer, der er klassificeret TRÈS SECRET UE/EU TOP SECRET.
2. GSR kan ved aftale overdrage opgaver, som indebærer eller medfører adgang til eller håndtering eller opbevaring af EUCI, til industrivirksomheder eller andre enheder, som er registreret i en medlemsstat eller i et tredjeland, der har indgået en aftale eller en administrativ ordning i henhold til artikel 12, stk. 2, litra a) eller b).
3. GSR sikrer som kontraherende myndighed, at minimumsstandarderne for industrisikkerhed som fastlagt i denne afgørelse og omhandlet i kontrakten overholdes, når der tildeles klassificerede kontrakter til industrivirksomheder eller andre enheder.
4. Den nationale sikkerhedsmyndighed (NSA), den udpegede sikkerhedsmyndighed (DSA) eller en hvilken som helst anden kompetent myndighed i den enkelte medlemsstat sikrer, så vidt det er muligt i henhold til nationale love og bestemmelser, at kontrahenter og underkontrahenter, der er registreret på deres område, træffer alle relevante foranstaltninger til at beskytte EUCI under forhandlingerne forud for indgåelsen af en kontrakt og under opfyldelsen af en klassificeret kontrakt.
5. NSA'en, DSA'en eller en hvilken som helst anden kompetent sikkerhedsmyndighed i den enkelte medlemsstat sikrer i overensstemmelse med nationale love og bestemmelser, at kontrahenter eller underkontrahenter, der er registreret i den pågældende medlemsstat og deltager i klassificerede kontrakter eller underkontrakter, som kræver adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inden for deres faciliteter, enten i forbindelse med opfyldelsen af kontrakterne eller i perioden forud for indgåelsen af kontrakterne, er i besiddelse af en facilitetssikkerhedsgodkendelse (FSC) til den krævede klassifikationsgrad.
6. En kontrahents eller underkontrahents personale, der med henblik på opfyldelse af en klassificeret kontrakt skal have adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, skal tildeles en personelsikkerhedsgodkendelse (PSC) af den pågældende NSA eller DSA eller anden kompetent sikkerhedsmyndighed i overensstemmelse med nationale love og bestemmelser og de minimumsstandarder, der er fastlagt i bilag I.
7. Bestemmelserne til gennemførelse af denne artikel findes i bilag V.
Artikel 12
Udveksling af klassificerede informationer med tredjelande og internationale organisationer
1. Hvis Rådet beslutter, at det er nødvendigt at udveksle EUCI med et tredjeland eller en international organisation, etableres der passende rammer herfor.
2. For at etablere sådanne rammer og definere gensidige regler for sikkerhedsbeskyttelse af de klassificerede informationer, der udveksles,
a)
skal Rådet indgå aftaler om sikkerhedsprocedurer for udveksling og beskyttelse af klassificerede informationer (informationssikkerhedsaftaler) eller
b)
kan generalsekretæren indgå administrative ordninger herom i overensstemmelse med bilag VI, punkt 17, hvis klassifikationsgraden for de EUCI, der skal videregives, generelt ikke er højere end RESTREINT UE/EU RESTRICTED.
3. Informationssikkerhedsaftaler eller administrative ordninger, jf. stk. 2, skal indeholde bestemmelser, der sikrer, at tredjelande eller internationale organisationer, når de modtager EUCI, sikkerhedsbeskytter sådanne informationer i overensstemmelse med informationernes klassifikationsgrad og efter minimumsstandarder, som mindst svarer til de standarder, der er fastlagt i denne afgørelse.
4. Beslutningen om at videregive EUCI, der er udfærdiget i Rådet, til et tredjeland eller en international organisation, træffes af Rådet fra sag til sag på grundlag af informationernes art og indhold, modtagerens need-to-know og EU's interesse i videregivelsen. Hvis udstederen af de klassificerede informationer, der ønskes videregivet, ikke er Rådet, skal GSR først indhente udstederens skriftlige samtykke til videregivelsen. Hvis det ikke kan fastslås, hvem udstederen er, påtager Rådet sig dennes ansvar.
5. Der foretages vurderingsbesøg for at konstatere effektiviteten af de foranstaltninger, der gælder i et tredjeland eller en international organisation med henblik på sikkerhedsbeskyttelse af EUCI, der videregives eller udveksles.
6. Bestemmelser til gennemførelse af denne artikel findes i bilag VI.
Artikel 13
Brud på sikkerheden og kompromittering af EUCI
1. Ved brud på sikkerheden forstås resultatet af en persons handling eller forsømmelse, der er i strid med sikkerhedsreglerne i denne afgørelse.
2. EUCI anses for at være kompromitteret, hvis de som følge af et brud på sikkerheden helt eller delvist er videregivet til uautoriserede personer.
3. Eventuelle brud på eller eventuel mistanke om brud på sikkerheden skal straks meldes til den kompetente sikkerhedsmyndighed.
4. Hvis det konstateres, eller hvis der er rimelig grund til at formode, at EUCI er kompromitteret eller bortkommet, skal den kompetente sikkerhedsmyndighed træffe alle passende foranstaltninger i overensstemmelse med de relevante love og bestemmelser for at:
a)
orientere udstederen
b)
sikre, at sagen undersøges af personale, der ikke er direkte involveret i bruddet på sikkerheden, for at fastslå de faktiske omstændigheder
c)
vurdere den potentielle skade for EU's eller medlemsstaternes interesser
d)
træffe passende foranstaltninger til at forebygge en gentagelse og
e)
underrette de relevante myndigheder om de foranstaltninger, der er truffet.
5. Enhver, der er ansvarlig for brud på sikkerhedsreglerne i denne afgørelse, kan pålægges disciplinære foranstaltninger i overensstemmelse med gældende regler og bestemmelser. Enhver, der er ansvarlig for kompromittering eller bortkomst af EUCI, pålægges disciplinære foranstaltninger og/eller retsforfølges i overensstemmelse med gældende love, regler og bestemmelser.
Artikel 14
Ansvar for gennemførelsen
1. Rådet træffer alle nødvendige foranstaltninger for at sikre overordnet sammenhæng i anvendelsen af denne afgørelse.
2. Generalsekretæren træffer alle nødvendige foranstaltninger for i forbindelse med håndtering eller opbevaring af EUCI eller andre klassificerede informationer at sikre, at denne afgørelse anvendes i lokaliteter, der benyttes af Rådet, og inden for GSR, herunder i dets forbindelseskontorer i tredjelande, og af GSR's tjenestemænd og øvrige ansatte, af personale, som er udstationeret ved GSR, og af GSR's kontrahenter.
3. Medlemsstaterne træffer i overensstemmelse med deres respektive nationale love og bestemmelser alle passende foranstaltninger for i forbindelse med håndtering eller opbevaring af EUCI at sikre, at denne afgørelse overholdes af:
a)
personalet ved medlemsstaternes faste repræsentationer ved Den Europæiske Union og nationale delegerede, der deltager i møder i Rådet eller i dets forberedende organer eller i andre rådsaktiviteter
b)
andet personale i medlemsstaternes nationale administrationer, herunder personale, som er udstationeret ved disse administrationer, uanset om de pågældende gør tjeneste på medlemsstaternes område eller i udlandet
c)
andre personer i medlemsstaterne, der i kraft af deres funktioner er behørigt autoriseret til at have adgang til EUCI, og
d)
medlemsstaternes kontrahenter, uanset om de befinder sig på medlemsstaternes område eller i udlandet.
Artikel 15
Sikkerhedsorganisation i Rådet
1. Som led i sin rolle med hensyn til at sikre overordnet sammenhæng i anvendelsen af denne afgørelse godkender Rådet:
a)
de aftaler, der er omhandlet i artikel 12, stk. 2, litra a)
b)
beslutninger om videregivelse af EUCI til tredjelande og internationale organisationer
c)
et årligt inspektionsprogram foreslået af generalsekretæren og anbefalet af Sikkerhedsudvalget med henblik på inspektion af medlemsstaternes tjenester og lokaliteter, af EU-agenturer og -organer nedsat i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union og af Europol og Eurojust, samt vurderingsbesøg til tredjelande og internationale organisationer for at konstatere effektiviteten af de foranstaltninger, der gennemføres for at sikkerhedsbeskytte EUCI, og
d)
sikkerhedspolitikker som omhandlet i artikel 6, stk. 1.
2. Generalsekretæren er GSR's sikkerhedsmyndighed. Generalsekretæren skal i den egenskab:
a)
gennemføre Rådets sikkerhedspolitik og løbende tage den op til revision
b)
med medlemsstaternes NSA'er koordinere alle spørgsmål vedrørende sikkerhedsbeskyttelse af klassificerede informationer, som er relevante for Rådets aktiviteter
c)
tildele EU-PSC'er til GSR's tjenestemænd og øvrige ansatte i overensstemmelse med artikel 7, stk. 3, inden de kan få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere
d)
når det er relevant, iværksætte undersøgelser ved konstatering af eller mistanke om kompromittering eller tab af klassificerede informationer, som er i Rådets besiddelse eller er udfærdiget af Rådet, og anmode de relevante sikkerhedsmyndigheder om at bistå med sådanne undersøgelser
e)
iværksætte periodiske inspektioner af ordningerne for sikkerhedsbeskyttelse af klassificerede informationer i GSR's lokaliteter
f)
iværksætte periodiske inspektioner af ordningerne for sikkerhedsbeskyttelse af EUCI i EU-agenturer og -organer nedsat i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union, i Europol og Eurojust samt i krisestyringsoperationer etableret i henhold til afsnit V, kapitel 2 i traktaten om Den Europæiske Union og hos EU's særlige repræsentanter (EUSR) og medlemmerne af deres stab
g)
sammen med og i forståelse med de pågældende NSA'er iværksætte periodiske inspektioner af ordningerne for sikkerhedsbeskyttelse af EUCI i medlemsstaternes tjenester og lokaliteter
h)
koordinere sikkerhedsforanstaltninger med de kompetente myndigheder i medlemsstaterne, der er ansvarlige for sikkerhedsbeskyttelse af klassificerede informationer, og, når det er relevant, i tredjelande eller internationale organisationer, bl.a. om arten af trusler mod EUCI's sikkerhed og midlerne til beskyttelse mod dem
i)
indgå de administrative ordninger, der er omhandlet i artikel 12, stk. 2, litra b), og
j)
foretage indledende og periodiske vurderingsbesøg til tredjelande eller internationale organisationer for at konstatere effektiviteten af de foranstaltninger, der gennemføres for at sikkerhedsbeskytte EUCI, der videregives til eller udveksles med dem.
GSR's Sikkerhedskontor står til rådighed for generalsekretæren for at bistå ham med disse ansvarsområder.
3. Med henblik på anvendelsen af artikel 14, stk. 3, bør medlemsstaterne:
a)
udpege en NSA, der er ansvarlig for ordningerne for sikkerhedsbeskyttelse af EUCI, således at
i)
EUCI, der opbevares af nationale styrelser, organer eller agenturer, offentlige eller private, i ind- eller udland, er sikkerhedsbeskyttet i overensstemmelse med denne afgørelse
ii)
ordningerne for sikkerhedsbeskyttelse af EUCI inspiceres med jævne mellemrum
iii)
alle personer, der er ansat i en national myndighed eller af en kontrahent, og som kan få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, er behørigt sikkerhedsgodkendt eller på anden måde i kraft af deres funktioner er behørigt autoriseret i overensstemmelse med nationale love og bestemmelser
iv)
der indføres de nødvendige sikkerhedsprogrammer for at minimere risikoen for, at EUCI kompromitteres eller bortkommer
v)
spørgsmål vedrørende sikkerhedsbeskyttelse af EUCI koordineres med andre kompetente nationale myndigheder, herunder dem, der er omhandlet i denne afgørelse, og
vi)
der reageres på relevante anmodninger om sikkerhedsgodkendelse fra EU-agenturer og -organer nedsat i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union, fra Europol og Eurojust samt fra krisestyringsoperationer etableret i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union og fra EUSR'er og deres stab.
Der findes en liste over NSA'er i tillæg C.
b)
sikre, at deres kompetente myndigheder underretter og rådgiver deres regeringer og derigennem Rådet om arten af trusler mod EUCI's sikkerhed og midlerne til beskyttelse mod dem.
Artikel 16
Sikkerhedsudvalget
1. Der nedsættes et sikkerhedsudvalg. Det undersøger og vurderer sikkerhedsspørgsmål inden for rammerne af denne afgørelse og fremsætter henstillinger til Rådet, når det er relevant.
2. Sikkerhedsudvalget består af repræsentanter for medlemsstaternes NSA'er med deltagelse af en repræsentant for Kommissionen og for Tjenesten for EU's Optræden Udadtil. Udvalget ledes af generalsekretæren eller en af denne udpeget delegeret. Det træder sammen efter Rådets anvisninger eller på anmodning af generalsekretæren eller af en NSA.
Repræsentanter for EU-agenturer og -organer nedsat i henhold til afsnit V, kapitel 2, i traktaten om Den Europæiske Union samt Europol og Eurojust kan indbydes til at deltage, når der drøftes spørgsmål, som vedrører dem.
3. Sikkerhedsudvalget tilrettelægger sine aktiviteter, så det kan fremsætte henstillinger om specifikke sikkerhedsområder. Det nedsætter ekspertundergrupper for IA-spørgsmål og andre ekspertundergrupper, når det er nødvendigt. Det udarbejder mandater for sådanne ekspertundergrupper og modtager rapporter fra dem om deres virksomhed, herunder henstillinger til Rådet, når det er relevant.
Artikel 17
Ophævelse af tidligere afgørelse
1. Denne afgørelse ophæver og træder i stedet for afgørelse 2001/264/EF af 19. marts 2001 om vedtagelse af Rådets sikkerhedsforskrifter (2).
2. Alle EUCI, der er klassificeret i overensstemmelse med Rådets afgørelse 2001/264/EF, sikkerhedsbeskyttes fortsat i overensstemmelse med de relevante bestemmelser i nærværende afgørelse.
Artikel 18
Ikrafttræden
Denne afgørelse træder i kraft dagen for offentliggørelsen i Den Europæiske Unions Tidende.
Udfærdiget i Bruxelles, den 31. marts 2011.
NEUVOSTON PÄÄTÖS,
tehty 31 päivänä maaliskuuta 2011,
turvallisuussäännöistä EU:n turvallisuusluokiteltujen tietojen suojaamiseksi
(2011/292/EU)
EUROOPAN UNIONIN NEUVOSTO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 240 artiklan 3 kohdan,
ottaa huomioon neuvoston työjärjestyksen vahvistamisesta 1 päivänä joulukuuta 2009 tehdyn neuvoston päätöksen 2009/937/EU (1) ja erityisesti sen 24 artiklan,
sekä katsoo seuraavaa:
(1)
Neuvoston toimintojen kehittämiseksi kaikilla turvallisuusluokiteltujen tietojen käsittelyä edellyttävillä aloilla on asianmukaista perustaa turvallisuusluokiteltujen tietojen suojaamiseksi kattava turvallisuusjärjestelmä, joka koskee neuvostoa, sen pääsihteeristöä ja jäsenvaltioita.
(2)
Tätä päätöstä olisi sovellettava, kun neuvosto, sen valmistelevat elimet ja neuvoston pääsihteeristö käsittelevät EU:n turvallisuusluokiteltuja tietoja.
(3)
Jäsenvaltioiden olisi kansallisten lakiensa ja asetustensa mukaisesti ja neuvoston toiminnan edellyttämässä määrin noudatettava tätä päätöstä, kun niiden toimivaltaiset viranomaiset, henkilöstö tai hankeosapuolet käsittelevät EU:n turvallisuusluokiteltuja tietoja, jotta kaikki osapuolet voivat olla vakuuttuneita siitä, että EU:n turvallisuusluokiteltujen tietojen suojaamisessa noudatetaan vastaavaa tasoa.
(4)
Neuvosto ja komissio ovat sitoutuneet soveltamaan vastaavia turvallisuusvaatimuksia EU:n turvallisuusluokiteltujen tietojen suojaamiseen.
(5)
Neuvosto korostaa sitä, että Euroopan parlamentti ja EU:n muut toimielimet, virastot, elimet tai toimistot on tärkeää saada tarvittaessa mukaan noudattamaan turvallisuusluokiteltujen tietojen suojaamista koskevia periaatteita, vaatimuksia ja sääntöjä, jotka ovat välttämättömiä unionin ja sen jäsenvaltioiden etujen suojaamiseksi.
(6)
Euroopan unionista tehdyn sopimuksen V osaston 2 luvun nojalla perustetut EU:n virastot ja elimet sekä Europol ja Eurojust soveltavat omassa organisaatiossaan tässä päätöksessä säädettyjä perusperiaatteita ja vähimmäisvaatimuksia EU:n turvallisuusluokiteltujen tietojen suojaamiseksi, siten kuin niiden perustamissäädöksissä säädetään.
(7)
Euroopan unionista tehdyn sopimuksen V osaston 2 luvun nojalla perustetut kriisinhallintaoperaatiot ja niiden henkilöstö soveltavat turvallisuussääntöjä, jotka neuvosto on hyväksynyt EU:n turvallisuusluokiteltujen tietojen suojaamiseksi.
(8)
EU:n erityisedustajat ja heidän alaisuudessaan työskentelevät henkilöt soveltavat turvallisuussääntöjä, jotka neuvosto on hyväksynyt EU:n turvallisuusluokiteltujen tietojen suojaamiseksi.
(9)
Tämän päätöksen tekeminen ei rajoita Euroopan unionin toiminnasta tehdyn sopimuksen 15 ja 16 artiklan eikä niiden täytäntöönpanosäädösten soveltamista.
(10)
Tämän päätöksen tekeminen ei rajoita jäsenvaltioiden olemassa olevien käytäntöjen soveltamista niiden ilmoittaessa kansallisille parlamenteilleen unionin toimista,
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Kohde, soveltamisala ja määritelmät
1. Tällä päätöksellä säädetään EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista perusperiaatteista ja vähimmäisvaatimuksista.
2. Näitä perusperiaatteita ja vähimmäisvaatimuksia sovelletaan neuvostoon ja neuvoston pääsihteeristöön, jäljempänä ’pääsihteeristö’, ja jäsenvaltioiden on noudatettava niitä kansallisten lakiensa ja asetustensa mukaisesti, jotta kaikki osapuolet voivat olla vakuuttuneita siitä, että EU:n turvallisuusluokiteltujen tietojen suojaamisessa noudatetaan vastaavaa tasoa.
3. Tässä päätöksessä sovelletaan lisäyksessä A säädettyjä määritelmiä.
2 artikla
EU:n turvallisuusluokiteltujen tietojen määrittely, turvallisuusluokat ja merkinnät
1. ’EU:n turvallisuusluokitelluilla tiedoilla’ tarkoitetaan mitä tahansa tietoja tai aineistoja, joille on määritelty EU:n turvallisuusluokka ja joiden luvaton ilmitulo saattaisi vaihtelevassa määrin vahingoittaa Euroopan unionin tai sen yhden tai useamman jäsenvaltion etuja.
2. EU:n turvallisuusluokitellut tiedot jaetaan seuraaviin turvallisuusluokkiin:
a) TRES SECRET UE/EU TOP SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa poikkeuksellisen vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja.
b) SECRET UE/EU SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja.
c) CONFIDENTIEL UE/EU CONFIDENTIAL: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja.
d) RESTREINT UE/EU RESTRICTED: tiedot ja aineistot, joiden luvattomasta ilmitulosta saattaisi olla haittaa Euroopan unionin tai yhden tai useamman jäsenvaltion eduille.
3. EU:n turvallisuusluokiteltuihin tietoihin lisätään turvallisuusluokitusmerkintä 2 kohdan mukaisesti. Niissä voi olla myös muita merkintöjä, jotka liittyvät toimialaan, jota tiedot koskevat, tai joilla ilmoitetaan luovuttaja, rajoitetaan jakelua, rajoitetaan käyttöä tai ilmoitetaan luovutettavuus.
3 artikla
Turvallisuusluokittelun hallinnointi
1. Toimivaltaisten viranomaisten on varmistettava, että EU:n turvallisuusluokitellut tiedot on asianmukaisesti turvallisuusluokiteltu, että ne on selkeästi määritelty turvallisuusluokitelluiksi tiedoiksi ja että niiden turvallisuusluokka säilytetään vain niin kauan kuin se on tarpeen.
2. EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa ei saa alentaa eikä poistaa eikä niissä olevia 2 artiklan 3 kohdassa tarkoitettuja merkintöjä saa muuttaa eikä poistaa ilman niiden luovuttajan kirjallista etukäteissuostumusta.
3. Neuvosto hyväksyy EU:n turvallisuusluokiteltujen tietojen tuottamisessa noudatettavat turvallisuusperiaatteet, joihin sisältyy käytännön turvallisuusluokitusopas.
4 artikla
Turvallisuusluokiteltujen tietojen suojaaminen
1. EU:n turvallisuusluokiteltujen tietojen suojaamisessa on noudatettava tätä päätöstä.
2. Minkä tahansa EU:n turvallisuusluokitellun tiedon haltija on vastuussa sen suojaamisesta tämän päätöksen mukaisesti.
3. Jäsenvaltioiden tuodessa Euroopan unionin rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, neuvosto ja pääsihteeristö noudattavat kyseisten tietojen suojaamisessa vastaavan tason EU:n turvallisuusluokiteltuihin tietoihin sovellettavia vaatimuksia lisäyksessä B olevan turvallisuusluokkien vastaavuustaulukon mukaisesti.
4. Jos EU:n turvallisuusluokiteltuja tietoja on suuria määriä tai jos niitä kootaan, ne voivat edellyttää korkeampaan turvallisuusluokkaan sovellettavaa suojaa.
5 artikla
Turvallisuusriskien hallinta
1. EU:n turvallisuusluokiteltuihin tietoihin kohdistuvia riskejä on hallittava prosessina. Prosessissa on pyrittävä määrittelemään tunnetut turvallisuusriskit ja turvatoimet niiden vähentämiseksi hyväksyttävälle tasolle tässä päätöksessä säädettyjen perusperiaatteiden ja vähimmäisvaatimusten mukaisesti sekä soveltamaan kyseisiä turvatoimia lisäyksessä B määritellyn syvyyssuuntaisen turvallisuuden käsitteen pohjalta. Turvatoimien tehokkuutta on arvioitava jatkuvasti.
2. Turvatoimet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi koko niiden elinkaaren ajan on suhteutettava erityisesti tietojen tai aineistojen turvallisuusluokitukseen, muotoon ja määrään, EU:n turvallisuusluokiteltujen tietojen sijoitustilojen sijaintiin ja rakentamiseen sekä paikallisesti arvioituun vihamielisen ja/tai rikollisen toiminnan uhkaan, vakoilu, sabotaasi ja terrorismi mukaan luettuina.
3. Varautumissuunnitelmissa on otettava huomioon tarve suojata EU:n turvallisuusluokitellut tiedot hätätilanteissa, jotta estetään luvaton pääsy tietoihin, tietojen ilmitulo tai niiden eheyden tai käytettävyyden menettäminen.
4. Toiminnan jatkuvuussuunnitelmiin on sisällytettävä ennalta ehkäiseviä ja vaarantumis- tai katoamistilanteen korjaamistoimenpiteitä, jotta minimoitaisiin merkittävien toimintahäiriöiden tai poikkeuksellisten tapahtumien vaikutukset EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen.
6 artikla
Tämän päätöksen täytäntöönpano
1. Neuvosto hyväksyy tarvittaessa turvallisuuskomitean suosituksesta turvallisuusperiaatteet, joissa esitetään toimenpiteet tämän päätöksen panemiseksi täytäntöön.
2. Turvallisuuskomitean tasolla voidaan hyväksyä turvallisuutta koskevia suuntaviivoja, joilla täydennetään tai tuetaan tätä päätöstä ja neuvoston mahdollisesti hyväksymiä turvallisuusperiaatteita.
7 artikla
Henkilöstöturvallisuus
1. Henkilöstöturvallisuudella tarkoitetaan toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin myönnetään ainoastaan henkilöille
-
joilla on tiedonsaantitarve (need-to-know);
-
joille on tarvittaessa tehty asianmukaisen tason turvallisuusselvitys;
-
joille on tiedotettu heidän vastuustaan.
2. Henkilöturvallisuusselvitystä koskevien menettelyjen tarkoituksena on selvittää, voidaanko henkilölle myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin, hänen lojaaliutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen.
3. Kaikista pääsihteeristössä työskentelevistä henkilöistä, joilla on tehtäviensä suorittamiseksi oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuihin tietoihin, on tehtävä asianmukaisen tason turvallisuusselvitys ennen kuin heille myönnetään pääsy kyseisiin EU:n turvallisuusluokiteltuihin tietoihin. Pääsihteeristön virkamiehiä ja muuta henkilöstöä koskeva henkilöturvallisuus-selvitysmenettely esitetään liitteessä I.
4. Jäljempänä 14 artiklan 3 kohdassa tarkoitetusta jäsenvaltioiden henkilöstöstä, joiden tehtävien suorittaminen voi edellyttää pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuihin tietoihin, on tehtävä asianmukaisen tason turvallisuusselvitys tai heillä on oltava muu kansallisten lakien ja asetusten mukainen asianmukainen valtuutus tehtäviensä vuoksi ennen kuin heille myönnetään pääsy kyseisiin EU:n turvallisuusluokiteltuihin tietoihin.
5. Kaikille henkilöille on selvitettävä heidän vastuunsa ja heidän on annettava vakuutus vastuustaan suojata EU:n turvallisuusluokitellut tiedot tämän päätöksen mukaisesti ennen kuin heille myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin; tämä on uusittava säännöllisin väliajoin.
6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä I.
8 artikla
Fyysinen turvallisuus
1. Fyysisellä turvallisuudella tarkoitetaan fyysisten ja teknisten suojatoimenpiteiden toteuttamista niin, että estetään luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin.
2. Fyysisten turvatoimien tarkoituksena on estää tunkeutuminen salaa tai väkisin, ehkäistä, estää ja havaita luvattomat toimet ja mahdollistaa henkilöstön luokitus ja pääsy EU:n turvallisuusluokiteltuihin tietoihin sen perusteella, mikä heidän tiedonsaantitarpeensa on. Tällaiset toimet on määriteltävä riskinhallintaprosessin perusteella.
3. Fyysiset turvatoimet on toteutettava kaikissa tiloissa, rakennuksissa, toimistoissa, huoneissa ja muissa paikoissa, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään tai säilytetään, 10 artiklan 2 kohdassa määritellyt viestintä- ja tietojärjestelmien sijoitusalueet mukaan luettuina.
4. Alueet, joilla säilytetään CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuja tietoja, on määriteltävä turva-alueiksi liitteen II mukaisesti, ja toimivaltaisen turvallisuusviranomaisen on hyväksyttävä ne.
5. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltujen tietojen suojaamiseen saa käyttää vain hyväksyttyjä välineitä tai laitteita.
6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä II.
9 artikla
Turvallisuusluokiteltujen tietojen hallinnointi
1. Turvallisuusluokiteltujen tietojen hallinnoinnilla tarkoitetaan hallinnollisten toimenpiteiden soveltamista EU:n turvallisuusluokiteltujen tietojen valvomiseksi koko niiden elinkaaren ajan niin, että täydennetään 7, 8 ja 10 artiklassa säädettyjä toimenpiteitä ja siten autetaan estämään ja havaitsemaan tällaisten tietojen tahallinen tai tahaton vaarantuminen tai katoaminen sekä korjaamaan vaarantumis- tai katoamistilanne. Tällaiset toimenpiteet liittyvät erityisesti EU:n turvallisuusluokiteltujen tietojen tuottamiseen, kirjaamiseen, jäljentämiseen, kääntämiseen, kuljettamiseen ja hävittämiseen.
2. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tiedot on turvallisuussyistä kirjattava ennen niiden jakelua ja niiden vastaanottamisen yhteydessä. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on perustettava tätä varten kirjaamisjärjestelmä. TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tiedot on kirjattava niille tarkoitetuissa kirjaamoissa.
3. Toimivaltaisen turvallisuusviranomaisen on tarkastettava säännöllisin väliajoin yksiköt ja tilat, joissa käsitellään tai säilytetään EU:n turvallisuusluokiteltuja tietoja.
4. EU:n turvallisuusluokiteltujen tietojen siirtämisessä yksiköiden ja tilojen välillä fyysisesti suojattujen alueiden ulkopuolella on noudatettava seuraavaa:
a)
Yleisenä sääntönä on, että EU:n turvallisuusluokitellut tiedot on siirrettävä sähköisillä välineillä, jotka on suojattu 10 artiklan 6 kohdan mukaisesti hyväksytyillä salaustuotteilla.
b)
Jos tällaisia välineitä ei käytetä, EU:n turvallisuusluokitellut tiedot on kuljetettava joko
i)
10 artiklan 6 kohdan mukaisesti hyväksytyillä salaustuotteilla suojatuilla sähköisillä välineillä (kuten USB-muistitikut, CD-levyt, kiintolevyt), tai
ii)
kaikissa muissa tapauksissa, toimivaltaisen turvallisuusviranomaisen liitteessä III olevien asiaankuuluvien säännösten mukaisesti antamia ohjeita noudattaen.
5. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä III.
10 artikla
Viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaaminen
1. Tietojen turvaamisella tarkoitetaan viestintä- ja tietojärjestelmien alalla varmuutta siitä, että kyseiset järjestelmät suojaavat tiedot, joita niissä käsitellään, ja toimivat tarkoituksenmukaisella tavalla, oikeaan aikaan ja oikeutettujen käyttäjien valvonnassa. Tehokkaalla tietojen turvaamisella varmistetaan asianmukainen luottamuksellisuuden, eheyden, käytettävyyden, kiistämättömyyden ja aitouden taso. Tietojen turvaaminen perustuu riskinhallintaprosessiin.
2. Viestintä- ja tietojärjestelmällä tarkoitetaan järjestelmää, joka mahdollistaa tietojen käsittelyn sähköisessä muodossa. Viestintä- ja tietojärjestelmä käsittää kaikki toimintansa kannalta tarpeelliset resurssit, myös infrastruktuurin, organisaation, henkilöstön ja tietoresurssit. Tätä päätöstä sovelletaan viestintä- ja tietojärjestelmiin, joissa käsitellään EU:n turvallisuusluokiteltuja tietoja.
3. Viestintä- ja tietojärjestelmissä on käsiteltävä EU:n turvallisuusluokiteltuja tietoja tietojen turvaamisen periaatteen mukaisesti.
4. Kaikkien viestintä- ja tietojärjestelmien on läpikäytävä hyväksymisprosessi. Hyväksymisellä pyritään varmistamaan, että kaikki asiaankuuluvat turvatoimet on pantu täytäntöön ja että on saavutettu riittävä EU:n turvallisuusluokiteltujen tietojen ja viestintä- ja tietojärjestelmän suojaustaso tämän päätöksen säännösten mukaisesti. Hyväksymislausunnossa on määriteltävä niiden tietojen korkein sallittu turvallisuusluokka, joita viestintä- ja tietojärjestelmässä voidaan käsitellä, ja sitä koskevat ehdot ja edellytykset.
5. Viestintä- ja tietojärjestelmät, joissa käsitellään CONFIDENTIEL UE/EU CONFIDENTIAL- ja sitä korkeamman turvallisuusluokan tietoja, on suojattava niin, etteivät tahattomat sähkömagneettiset vuodot vaaranna tietoja (TEMPEST-turvatoimet).
6. Jos EU:n turvallisuusluokiteltujen tietojen suojaamiseen käytetään salaustuotteita, tällaiset tuotteet on hyväksyttävä seuraavasti:
a)
SECRET UE/EU SECRET- tai sitä korkeamman turvallisuusluokan tietojen luottamuksellisuus on suojattava salaustuotteilla, jotka salauslaitteiden hyväksyntäviranomaisena toimiva neuvosto on hyväksynyt turvallisuuskomitean suosituksesta;
b)
CONFIDENTIEL UE/EU CONFIDENTIAL- tai RESTREINT UE/EU RESTRICTED -turvallisuusluokan tietojen luottamuksellisuus on suojattava salaustuotteilla, jotka salauslaitteiden hyväksyntäviranomainen, neuvoston pääsihteeri, jäljempänä ’pääsihteeri’, on hyväksynyt turvallisuuskomitean suosituksesta.
Sen estämättä, mitä b alakohdassa säädetään, EU:n CONFIDENTIEL UE/EU CONFIDENTIAL- tai RESTREINT UE/EU RESTRICTED -turvallisuusluokiteltujen tietojen luottamuksellisuus voidaan suojata jäsenvaltioiden kansallisissa järjestelmissä salaustuotteilla, jotka on hyväksynyt jäsenvaltion salauslaitteiden hyväksyntäviranomainen.
7. Lähetettäessä EU:n turvallisuusluokiteltuja tietoja sähköisesti on käytettävä hyväksyttyjä salaustuotteita. Tästä vaatimuksesta poiketen poikkeuksellisissa olosuhteissa tai tiettyjen liitteessä IV säädettyjen teknisten määritysten osalta voidaan soveltaa erityisiä menettelyjä.
8. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on molempien perustettava seuraavat tiedonturvaamistehtävät:
a)
tiedonturvaamisviranomainen;
b)
TEMPEST-viranomainen;
c)
salauslaitteiden hyväksyntäviranomainen;
d)
salatun aineiston jakelusta vastaava viranomainen.
9. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on molempien perustettava kutakin järjestelmää varten
a)
turvallisuusjärjestelyjen hyväksyntäviranomainen;
b)
operatiivinen tiedonturvaamisviranomainen.
10. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä IV.
11 artikla
Yhteisöturvallisuus
1. Yhteisöturvallisuudella tarkoitetaan toimenpiteiden toteuttamista sen varmistamiseksi, että hankeosapuolet tai alihankkijat varmistavat EU:n turvallisuusluokiteltujen tietojen suojaamisen sopimusta edeltävissä neuvotteluissa ja turvallisuusluokiteltujen sopimusten koko elinkaaren ajan. Kyseisiin sopimuksiin ei saa kuulua pääsyä TRES SECRET UE/EU TOP SECRET -turvallisuusluokan tietoihin.
2. Pääsihteeristö voi antaa jäsenvaltioon tai sellaiseen kolmanteen valtioon, jonka kanssa EU on tehnyt 12 artiklan 2 kohdan a tai b alakohdan mukaisen sopimuksen tai hallinnollisen järjestelyn, rekisteröidyille yrityksille tai muille yhteisöille sopimuksella toimeksiantoja, joihin sisältyy tai liittyy pääsy EU:n turvallisuusluokiteltuihin tietoihin tai niiden käsittely tai säilyttäminen.
3. Pääsihteeristön on hankeviranomaisena varmistettava, että tässä päätöksessä säädettyjä ja sopimuksessa tarkoitettuja yhteisöturvallisuutta koskevia vähimmäisvaatimuksia noudatetaan tehtäessä turvallisuusluokiteltuja sopimuksia yritysten tai muiden yhteisöjen kanssa.
4. Kunkin jäsenvaltion kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen on mahdollisuuksien mukaan kansallisten lakien ja asetusten mukaisesti varmistettava, että sen alueelle rekisteröidyt hankeosapuolet ja alihankkijat toteuttavat kaikki asianmukaiset toimenpiteet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi sopimusta edeltävien neuvottelujen aikana tai turvallisuusluokitellun sopimuksen toimeenpanovaiheessa.
5. Kunkin jäsenvaltion kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen on kansallisten lakien ja asetusten mukaisesti varmistettava, että kyseiseen jäsenvaltioon rekisteröidyillä hankeosapuolilla tai alihankkijoilla, jotka ovat osapuolina turvallisuusluokitelluissa sopimuksissa tai alihankintasopimuksissa, jotka edellyttävät CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -turvallisuusluokan tietojen saamista niiden toimitiloissa joko sopimusten toimeenpanovaiheessa tai sopimuksia edeltävien neuvottelujen aikana, on asiaankuuluvan turvallisuusluokitustason yhteisöturvallisuusselvitys.
6. Asianomaisen kansallisen tai nimetyn turvallisuusviranomaisen tai muun toimivaltaisen turvallisuusviranomaisen on myönnettävä henkilöturvallisuusselvitys hankeosapuolen tai alihankkijan henkilöstölle, jolla on oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -turvallisuusluokan tietoihin turvallisuusluokitellun sopimuksen toimeenpanemiseksi, kansallisten lakien ja asetusten sekä liitteessä I säädettyjen vähimmäisvaatimusten mukaisesti.
7. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä V.
12 artikla
Turvallisuusluokiteltujen tietojen vaihto kolmansien valtioiden ja kansainvälisten järjestöjen kanssa
1. Jos neuvosto toteaa, että jonkin kolmannen valtion tai kansainvälisen järjestön kanssa on tarpeen vaihtaa EU:n turvallisuusluokiteltuja tietoja, tätä varten on perustettava asianmukaiset puitteet.
2. Tällaisten puitteiden perustamiseksi ja vaihdettavien turvallisuusluokiteltujen tietojen suojaamista koskevien vastavuoroisten sääntöjen määrittelemiseksi
a)
neuvosto tekee sopimuksia turvallisuusluokiteltujen tietojen vaihtoa ja suojaamista koskevista turvallisuusmenettelyistä, jäljempänä ’tietoturvallisuussopimukset’; tai
b)
pääsihteeri voi liitteessä VI olevan 17 kohdan mukaisesti sopia hallinnollisista järjestelyistä, jos luovutettavien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka on yleensä korkeintaan RESTREINT UE/EU RESTRICTED.
3. Edellä 2 kohdassa tarkoitettuihin tietoturvallisuussopimuksiin tai hallinnollisiin järjestelyihin on sisällytettävä määräyksiä, joilla varmistetaan, että kolmansien valtioiden tai kansainvälisten järjestöjen vastaanottaessa EU:n turvallisuusluokiteltuja tietoja kyseiset tiedot suojataan niiden turvallisuusluokan edellyttämällä tavalla ja vähintään yhtä tiukkojen vaatimusten mukaisesti kuin tässä päätöksessä vahvistetut vähimmäisvaatimukset.
4. Neuvosto tekee päätöksen neuvostosta peräisin olevien EU:n turvallisuusluokiteltujen tietojen luovuttamisesta kolmannelle valtiolle tai kansainväliselle järjestölle tapauskohtaisesti kyseisten tietojen luonteen ja sisällön, vastaanottajan tiedonsaantitarpeen ja EU:lle koituvan edun arvioinnin perusteella. Jos luovutuspyynnön kohteena olevien turvallisuusluokiteltujen tietojen luovuttaja ei ole neuvosto, pääsihteeristön on ensin saatava tietojen luovuttajan kirjallinen suostumus luovutukselle. Jos luovuttajaa ei tiedetä, neuvosto ottaa luovuttajan vastuun itselleen.
5. Luovutettujen tai vaihdettujen EU:n turvallisuusluokiteltujen tietojen suojaamiseksi kolmannessa valtiossa tai kansainvälisessä järjestössä toteutettujen turvatoimien tehokkuus on varmistettava järjestämällä arviointikäyntejä.
6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä VI.
13 artikla
Tietoturvaloukkaukset ja EU:n turvallisuusluokiteltujen tietojen vaarantuminen
1. Tietoturvaloukkaus tapahtuu, kun henkilö ei noudata tässä päätöksessä säädettyjä turvallisuussääntöjä tai laiminlyö niitä.
2. EU:n turvallisuusluokitellut tiedot vaarantuvat, kun ne ovat tietoturvaloukkauksen seurauksena paljastuneet kokonaisuudessaan tai osittain sivullisille henkilöille.
3. Tapahtuneesta tai epäillystä tietoturvaloukkauksesta on ilmoitettava välittömästi toimivaltaiselle turvallisuusviranomaiselle.
4. Jos EU:n turvallisuusluokiteltujen tietojen tiedetään tai voidaan perustellusti olettaa vaarantuneen tai kadonneen, toimivaltaisen turvallisuusviranomaisen on toteutettava kaikki asiaankuuluvien lakien ja asetusten mukaiset tarpeelliset toimenpiteet
a)
ilmoittaakseen tietojen luovuttajalle;
b)
varmistaakseen, että henkilöstö, joka ei ole välittömästi tekemisissä tietoturvaloukkauksen kanssa, tutkii tapauksen tosiasioiden selvittämiseksi;
c)
arvioidakseen EU:n tai jäsenvaltioiden eduille aiheutuneen mahdollisen vahingon;
d)
toteuttaakseen tarvittavat toimenpiteet tapahtuneen toistumisen estämiseksi;
e)
ilmoittaakseen asianmukaisille viranomaisille toteutetuista toimista.
5. Henkilölle, joka on vastuussa tässä päätöksessä säädettyjen turvallisuussääntöjen rikkomisesta, voidaan määrätä kurinpitoseuraamus asiaankuuluvien sääntöjen ja määräysten mukaisesti. Henkilöön, joka on aiheuttanut EU:n turvallisuusluokiteltujen tietojen vaarantumisen tai katoamisen, voidaan kohdistaa kurinpidollisia ja/tai oikeudellisia toimenpiteitä sovellettavien lakien, sääntöjen ja määräysten mukaisesti.
14 artikla
Täytäntöönpanovastuu
1. Neuvosto toteuttaa kaikki tarpeelliset toimenpiteet varmistaakseen tämän päätöksen yleisesti johdonmukaisen soveltamisen.
2. Pääsihteeri toteuttaa kaikki tarpeelliset toimenpiteet sen varmistamiseksi, että käsiteltäessä tai säilytettäessä EU:n tai muita turvallisuusluokiteltuja tietoja neuvoston käyttämissä tiloissa ja pääsihteeristössä, myös sen kolmansissa valtioissa sijaitsevissa yhteystoimistoissa, pääsihteeristön virkamiehet ja muu henkilöstö, pääsihteeristöön lähetetty henkilöstö ja pääsihteeristön hankeosapuolet soveltavat tätä päätöstä.
3. Jäsenvaltioiden on toteutettava kaikki asianmukaiset toimenpiteet kansallisten lakiensa ja asetustensa mukaisesti sen varmistamiseksi, että seuraavat noudattavat tätä päätöstä käsitellessään tai säilyttäessään EU:n turvallisuusluokiteltuja tietoja:
a)
jäsenvaltioiden Euroopan unionissa olevien pysyvien edustustojen henkilöstö sekä neuvoston tai sen valmistelevien elinten kokouksiin tai neuvoston muuhun toimintaan osallistuvat kansallisten valtuuskuntien jäsenet;
b)
muu jäsenvaltioiden kansallisen hallinnon henkilöstö, myös kyseisiin hallintoihin lähetetty henkilöstö, riippumatta siitä, ovatko henkilöt palveluksessa jäsenvaltioiden alueella vai ulkomailla;
c)
muut jäsenvaltioissa olevat henkilöt, joilla on tehtäviensä vuoksi asianmukainen valtuutus päästä EU:n turvallisuusluokiteltuihin tietoihin;
d)
jäsenvaltioiden hankeosapuolet riippumatta siitä, ovatko ne kyseisten jäsenvaltioiden alueella vai ulkomailla.
15 artikla
Turvallisuusjärjestelyt neuvostossa
1. Osana tehtäväänsä varmistaa tämän päätöksen soveltamisen yleinen johdonmukaisuus neuvosto hyväksyy
a)
12 artiklan 2 kohdan a alakohdassa tarkoitetut sopimukset;
b)
päätökset, joilla sallitaan EU:n turvallisuusluokiteltujen tietojen luovuttaminen kolmansille valtioille ja kansainvälisille järjestöille;
c)
pääsihteerin ehdottaman ja turvallisuuskomitean suositteleman vuosittaisen tarkastusohjelman, jonka mukaan tarkastetaan jäsenvaltioiden ja Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten sekä Europolin ja Eurojustin yksiköt ja tilat ja tehdään arviointikäyntejä kolmansiin valtioihin ja kansainvälisiin järjestöihin EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen toimenpiteiden tehokkuuden varmistamiseksi;
d)
edellä 6 artiklan 1 kohdassa tarkoitetut turvallisuusperiaatteet.
2. Pääsihteeri toimii pääsihteeristön turvallisuusviranomaisena. Siinä ominaisuudessa hän
a)
panee täytäntöön neuvoston turvallisuusperiaatteet ja arvioi niitä;
b)
koordinoi jäsenvaltioiden kansallisten turvallisuusviranomaisten kanssa kaikki turvallisuusasiat, jotka liittyvät neuvoston toiminnan kannalta merkityksellisten turvallisuusluokiteltujen tietojen suojaamiseen;
c)
myöntää pääsihteeristön virkamiehille ja muulle henkilöstölle EU-turvallisuusselvitykset 7 artiklan 3 kohdan mukaisesti ennen kuin heille voidaan myöntää pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin;
d)
määrää tarvittaessa tutkinnasta, joka koskee neuvoston hallussa olevien tai neuvostosta peräisin olevien EU:n turvallisuusluokiteltujen tietojen todettua tai epäiltyä vaarantumista tai katoamista, ja pyytää asiaankuuluvia turvallisuusviranomaisia auttamaan tällaisessa tutkinnassa;
e)
huolehtii turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaistarkastuksista pääsihteeristön tiloissa;
f)
huolehtii EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaistarkastuksista EU:n virastoissa ja elimissä, Europolissa, Eurojustissa ja Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustetuissa kriisinhallintaoperaatioissa sekä EU:n erityisedustajien ja heidän alaisuudessaan työskentelevien henkilöiden osalta;
g)
huolehtii yhdessä ja keskinäisestä sopimuksesta asianomaisten kansallisten turvallisuusviranomaisten kanssa EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaistarkastuksista jäsenvaltioiden yksiköissä ja tiloissa;
h)
koordinoi turvatoimet jäsenvaltioiden ja tarvittaessa kolmansien valtioiden tai kansainvälisten järjestöjen turvallisuusluokiteltujen tietojen suojaamisen osalta toimivaltaisten viranomaisten kanssa, mukaan lukien EU:n turvallisuusluokiteltuihin tietoihin kohdistuvien turvallisuusuhkien luonne ja keinot suojautua niitä vastaan;
i)
sopii 12 artiklan 2 kohdan b alakohdassa tarkoitetuista hallinnollisista järjestelyistä;
j)
järjestää alustavat ja määräaikaiset arviointikäynnit kolmansiin valtioihin tai kansainvälisiin järjestöihin sen varmistamiseksi, että niille luovutettujen tai niiden kanssa vaihdettujen EU:n turvallisuusluokiteltujen tietojen suojaamiseksi on toteutettu tehokkaat toimenpiteet.
Pääsihteeristön turvallisuusyksikkö on pääsihteerin käytettävissä näihin tehtäviin.
3. Jäsenvaltioiden olisi 14 artiklan 3 kohdan täytäntöönpanemiseksi
a)
nimettävä kansallinen turvallisuusviranomainen, joka vastaa turvallisuusjärjestelyistä EU:n turvallisuusluokiteltujen tietojen suojaamiseksi niin, että
i)
julkisten tai yksityisten kotimaassa tai ulkomailla toimivien kansallisten yksiköiden, elinten tai virastojen hallussa olevat EU:n turvallisuusluokitellut tiedot on suojattu tämän päätöksen mukaisesti;
ii)
EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutetut turvallisuusjärjestelyt tarkastetaan määräajoin;
iii)
kaikista kansallisessa hallinnossa tai hankeosapuolen palveluksessa työskentelevistä henkilöistä, joille voidaan myöntää pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin, on tehty asianmukainen turvallisuusselvitys tai että heillä on tehtäviensä vuoksi muu kansallisten lakien ja asetusten mukainen asianmukainen valtuutus;
iv)
tarpeelliset turvallisuusohjelmat on laadittu EU:n turvallisuusluokiteltujen tietojen vaarantumis- tai katoamisriskin minimoimiseksi;
v)
EU:n turvallisuusluokiteltujen tietojen suojaamiseen liittyvät turvallisuusasiat koordinoidaan muiden toimivaltaisten kansallisten viranomaisten kanssa, tässä päätöksessä tarkoitetut viranomaiset mukaan luettuina;
vi)
vastataan Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten, Europolin, Eurojustin ja Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen kriisinhallintaoperaatioiden ja EU:n erityisedustajien ja heidän alaisuudessaan työskentelevien henkilöiden esittämiin asianmukaisiin turvallisuusselvityspyyntöihin.
Kansalliset turvallisuusviranomaiset luetellaan lisäyksessä C;
b)
varmistettava, että niiden toimivaltaiset viranomaiset antavat hallituksilleen ja sitä kautta neuvostolle tietoja ja neuvoja EU:n turvallisuusluokiteltuihin tietoihin kohdistuvien turvallisuusuhkien luonteesta ja keinoista suojautua niitä vastaan.
16 artikla
Turvallisuuskomitea
1. Perustetaan turvallisuuskomitea. Turvallisuuskomitea tutkii ja arvioi tämän päätöksen soveltamisalaan kuuluvat turvallisuusasiat ja antaa tarvittaessa neuvostolle suosituksia.
2. Turvallisuuskomitea muodostuu jäsenvaltioiden kansallisten turvallisuusviranomaisten edustajista, ja komission ja Euroopan ulkosuhdehallinnon edustaja osallistuu sen kokouksiin. Komitean puheenjohtajana toimii pääsihteeri tai hänen nimeämänsä henkilö. Se kokoontuu neuvoston toimeksiannosta tai pääsihteerin taikka kansallisen turvallisuusviranomaisen pyynnöstä.
Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten sekä Europolin ja Eurojustin edustajia voidaan kutsua komitean kokouksiin, jos niissä käsitellään niitä koskevia kysymyksiä.
3. Turvallisuuskomitea järjestää toimintansa niin, että se voi antaa suosituksia erityisillä turvallisuuden aloilla. Se muodostaa tiedonturvaamisasioita käsittelevän asiantuntijakokoonpanon ja muita asiantuntijakokoonpanoja tarpeen mukaan. Se laatii kyseisten asiantuntijakokoonpanojen toimeksiannot ja sille toimitetaan niiden toimintakertomukset sekä niiden neuvostolle osoittamat mahdolliset suositukset.
17 artikla
Aiempien päätösten korvaaminen
1. Tällä päätöksellä kumotaan ja korvataan neuvoston turvallisuussääntöjen vahvistamisesta 19 päivänä maaliskuuta 2001 tehty neuvoston päätös 2001/264/EY (2).
2. Kaikki päätöksen 2001/264/EY mukaisesti luokitellut EU:n turvallisuusluokitellut tiedot suojataan edelleen tämän päätöksen asiaankuuluvien säännösten mukaisesti.
18 artikla
Voimaantulo
Tämä päätös tulee voimaan päivänä, jona se julkaistaan Euroopan unionin virallisessa lehdessä.
Tehty Brysselissä 31 päivänä maaliskuuta 2011.