РЕШЕНИЕ НА СЪВЕТА
от 31 март 2011 година
относно правилата за сигурност за защита на класифицирана информация на ЕС
(2011/292/ЕС)
СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 240, параграф 3 от него,
като взе предвид Решение 2009/937/ЕС на Съвета от 1 декември 2009 г. за приемане на процедурен правилник на Съвета (1), и по-специално член 24 от него,
като има предвид, че:
(1)
За да се развиват дейностите на Съвета във всички области, които изискват работа с класифицирана информация, е подходящо да се създаде всеобща система за сигурност за защита на класифицирана информация, която да обхваща Съвета, неговия генерален секретариат и държавите-членки.
(2)
Настоящото решение следва да се прилага в случаите, когато Съветът, неговите подготвителни органи и генералният секретариат на Съвета (ГСС) работят с класифицирана информация на ЕС (КИЕС).
(3)
В съответствие с националните законови и подзаконови актове и в степента, необходима за функционирането на Съвета, държавите-членки следва да спазват настоящото решение при работа на техните компетентни органи, служители и изпълнители с КИЕС, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
(4)
Съветът и Комисията са решени да прилагат равностойни стандарти за сигурност за защита на КИЕС.
(5)
Съветът подчертава значението на присъединяването, когато е подходящо, на Европейския парламент и на други институции, агенции, органи или служби на ЕС към принципите, стандартите и правилата за защита на класифицирана информация, които са необходими, за да се защитят интересите на Съюза и на неговите държавите-членки.
(6)
Агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от Договора за Европейския съюз (ДЕС), Европол и Евроюст прилагат в рамките на вътрешната си организация основните принципи и минимални стандарти, установени в настоящото решение за защита на КИЕС, съгласно предвиденото в собствените им учредителни актове.
(7)
Операциите за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и техният персонал прилагат правилата за сигурност, приети от Съвета за защита на КИЕС.
(8)
Специалните представители на ЕС и членовете на техните екипи прилагат приетите от Съвета правила за сигурност за защита на КИЕС.
(9)
Настоящото решение се приема, без да се засягат членове 15 и 16 от Договора за функционирането на Европейския съюз (ДФЕС) и инструментите за изпълнението им.
(10)
Настоящото решение се приема, без да се засягат съществуващите практики в държавите-членки за информиране на националните им парламенти за дейностите на Съюза,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Цел, приложно поле и определения
1. С настоящото решение се установяват основните принципи и минимални стандарти за сигурност с оглед защитата на КИЕС.
2. Тези основни принципи и минимални стандарти се прилагат от Съвета и ГСС и се спазват от държавите-членки в съответствие с техните национални законови и подзаконови актове, така че всички да имат увереност, че на КИЕС се осигурява еднакво ниво на защита.
3. За целите на настоящото решение се прилагат определенията, уредени в допълнение А.
Член 2
Определение на КИЕС, нива на класификация за сигурност и грифове
1. „Класифицирана информация на ЕС“ (КИЕС) означава всяка информация или материал, носещи гриф за сигурност на ЕС, неразрешеното разкриване на които би могло да увреди в различна степен интересите на Европейския съюз или на една или повече от държавите-членки.
2. Всяка КИЕС се класифицира на някое от следните нива:
а) TRÈS SECRET UE/EU TOP SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди изключително сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
б) SECRET UE/EU SECRET: информация и материали, неразрешеното разкриване на които би могло да увреди сериозно съществените интереси на Европейския съюз или на една или повече от държавите-членки.
в) CONFIDENTIEL UE/EU CONFIDENTIAL: информация и материали, неразрешеното разкриване на които би могло да увреди съществените интереси на Европейския съюз или на една или повече от държавите-членки.
г) RESTREINT UE/EU RESTRICTED: информация и материали, неразрешеното разкриване на които би се отразило неблагоприятно на интересите на Европейския съюз или на една или повече от държавите-членки.
3. КИЕС носи гриф за сигурност в съответствие с параграф 2. Може да се добавят и допълнителни обозначения с цел да се посочи сферата на дейност, до която се отнася тя, да се идентифицира създателят, да се ограничи разпределението ѝ, да се ограничи ползването ѝ или да се обозначи доколко тази информация подлежи на предоставяне.
Член 3
Управление на класификацията
1. Компетентните органи правят необходимото КИЕС да бъде подходящо класифицирана, ясно обозначена като класифицирана информация и да запазва нивото си на класификация само докато това е необходимо.
2. Нивото на класификация на КИЕС не се понижава или тя не се декласифицира, нито никой от посочените в член 2, параграф 3 грифове не се изменя или премахва без предварителното писмено съгласие на създателя на информацията.
3. Съветът одобрява политика за сигурност по отношение на създаването на КИЕС, която включва практическо ръководство за класифициране.
Член 4
Защита на класифицираната информация
1. На КИЕС се осигурява защита в съответствие с настоящото решение.
2. Притежателят на какъвто и да е елемент от КИЕС носи отговорност за защитата му в съответствие с настоящото решение.
3. Когато държавите-членки въвеждат в структурите или мрежите на Европейския съюз класифицирана информация, обозначена с национален гриф за сигурност, Съветът и ГСС осигуряват защита на тази информация в съответствие с изискванията, приложими към КИЕС на съответното ниво, съгласно съдържащата се в допълнение Б таблица на съответствията на нивата на класификация за сигурност.
4. За големи количества КИЕС или масиви от КИЕС може да се наложи защита на по-високо ниво на класификация за сигурност.
Член 5
Управление на риска за сигурността
1. Рискът по отношение на КИЕС се управлява като процес. Този процес има за цел да се установят познатите рискове за сигурността, да се набележат мерки за сигурност с оглед свеждане на такива рискове до приемливо ниво съгласно установените в настоящото решение основни принципи и минимални стандарти и да се прилагат тези мерки в съответствие с концепцията за защита в дълбочина, както е определена в допълнение А. Ефективността на тези мерки подлежи на постоянна оценка.
2. Мерките за сигурност за защита на КИЕС за целия ѝ жизнен цикъл съответстват по-конкретно на нивото на класификацията ѝ за сигурност, формата и обема на информацията или материалите, местоположението и конструкцията на структурите, в които се намира КИЕС, както и оценката на местно ниво на риска от злонамерени и/или престъпни действия, включително шпионаж, саботаж и тероризъм.
3. Плановете за действие при извънредни ситуации отчитат необходимостта от защита на КИЕС в извънредни ситуации, за да се предотврати неразрешен достъп, разкриване или загуба на интегритета или наличността.
4. В плановете за непрекъснатост на дейността се включват мерки за предотвратяване и възстановяване с оглед да се намали въздействието на сериозни системни грешки или инциденти при работа с КИЕС и нейното съхранение.
Член 6
Изпълнение на настоящото решение
1. При необходимост Съветът, по препоръка на Комитета по сигурността, одобрява политиките за сигурност, които определят мерки за изпълнение на настоящото решение.
2. Комитетът по сигурността може да договори на своето ниво насоки за сигурност с оглед да се допълнят или подкрепят настоящото решение и одобрените от Съвета политики за сигурност.
Член 7
Персонална сигурност
1. Персоналната сигурност означава прилагане на мерки за гарантиране, че достъп до КИЕС се предоставя единствено на лица, които:
-
е необходимо да знаят,
-
са преминали проучване за надеждност за съответното ниво, когато е необходимо, и
-
са информирани за отговорностите си.
2. Процедурите за проучване на персонала за надеждност имат за цел да се определи дали може да се даде разрешение за достъп до КИЕС на дадено физическо лице, като се имат предвид неговата лоялност и надеждност.
3. В ГСС всички лица, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво, преди да им бъде предоставен достъп до такава КИЕС. Процедурата за проучване за надеждност на персонала за длъжностни лица на ГСС и за други служители се съдържа в приложение I.
4. Служителите на държавите-членки, посочени в член 14, параграф 3, на които за изпълнение на служебните задължения може да е необходим достъп до КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, преминават проучване за надеждност за съответното ниво или са съответно надлежно оправомощени по силата на своите функции, в съответствие с националните законови и подзаконови актове, преди да им бъде предоставен достъп до такава КИЕС.
5. Преди да им бъде предоставен достъп до КИЕС и периодично след това всички лица биват информирани за задължението си да опазват КИЕС в съответствие с настоящото решение и декларират, че са запознати с тези задължения.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение I.
Член 8
Физическа сигурност
1. Физическа сигурност означава прилагане на физически и технически защитни мерки за предотвратяване на неразрешен достъп до КИЕС.
2. Мерките за физическа сигурност са предназначени за предотвратяване на тайно или насилствено проникване на нарушител, за възпиране, препятстване и разкриване на неразрешени действия и за даване на възможност за категоризиране на персонала по отношение на достъпа до КИЕС на основата на принципа „необходимост да се знае“. Тези мерки се определят на базата на процес за управление на риска.
3. Мерки за физическа сигурност се въвеждат за всички помещения, сгради, офиси, зали и други зони, в които се работи с КИЕС или се съхранява такава, включително зони, в които се помещават комуникационни и информационни системи, съгласно определеното в член 10, параграф 2.
4. Зони, в които се съхранява КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, се определят като зони за сигурност в съответствие с приложение II и се одобряват от компетентния орган по сигурността.
5. За защита на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се използват единствено одобрени устройства или оборудване.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение II.
Член 9
Управление на класифицирана информация
1. Управлението на класифицирана информация представлява прилагане на административни мерки за контрол на КИЕС през жизнения ѝ цикъл в допълнение на мерките, предвидени в членове 7, 8 и 10, като по този начин се съдейства за възпиране, разкриване и възстановяване на такава информация при умишлено или случайно компрометиране или загуба. Тези мерки се отнасят по-конкретно до създаването, регистрирането, копирането, превода, преноса и унищожаването на КИЕС.
2. Информацията с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо се регистрира за целите на сигурността, преди да бъде разпространена и при получаването ѝ. За целта компетентните органи в ГСС и в държавите-членки създават регистрационна система. Информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET се регистрира в специални регистратури.
3. Службите и помещенията, в които се работи с КИЕС или се съхранява такава, подлежат на редовни проверки от компетентния орган по сигурността.
4. КИЕС се предава между различните служби и помещения извън физически защитените зони, както следва:
а)
като общо правило КИЕС се предава чрез електронни средства, защитени чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6;
б)
когато средствата, посочени в буква а), не са използвани, КИЕС се пренася или:
i)
на електронен носител (напр. USB памет, компактдиск, твърд диск), защитен чрез криптографски продукти, одобрени в съответствие с член 10, параграф 6; или
ii)
във всички останали случаи - в съответствие с предписанията на компетентния орган по сигурността, съгласно съответните защитни мерки, установени в приложение III.
5. Разпоредбите за изпълнение на настоящия член се съдържат в приложение III.
Член 10
Защита на КИЕС, с която се работи в комуникационни и информационни системи
1. Осигуреност на информацията (ОИ) в областта на комуникационните и информационните системи е увереността, че тези системи ще осигурят защита на информацията, с която се работи в тях, и че ще функционират както и когато е необходимо, под контрола на легитимни ползватели. Ефективната ОИ гарантира необходимите нива на поверителност, интегритет, наличност, невъзможност за отказ и автентичност. ОИ се основава на процес за управление на риска.
2. „Комуникационна и информационна система“ (КИС) означава всяка система, даваща възможност за работа с класифицирана информация в електронна форма. Една комуникационна и информационна система обхваща всички активи, необходими за нейното функциониране, включително инфраструктура, организация, персонал и информационни ресурси. Настоящото решение се прилага за комуникационни и информационни системи, работещи с КИЕС.
3. КИС работят с КИЕС в съответствие с концепцията за ОИ.
4. Всички КИС преминават през процес на акредитация. Целта на акредитацията е да се гарантира, че са изпълнени всички необходими мерки за сигурност и е постигнато достатъчно ниво на защита на КИЕС и на КИС в съответствие с настоящото решение. В декларацията за акредитация се определя най-високото ниво на класификация за сигурност на информацията, с което може да се работи в дадена КИС, както и съответните изисквания и условия за това.
5. КИС за работа с информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL и по-високо са защитени по начин, който да не допуска информацията да бъде компрометирана от неумишлени електромагнитни излъчвания („мерки за сигурност по Tempest“).
6. Когато защитата на КИЕС се осигурява от криптографски продукти, такива продукти се одобряват, както следва:
а)
защита на поверителността на информацията с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се осигурява чрез криптографски продукти, одобрени от Съвета в качеството му на орган за криптографско одобрение (ОКО) по препоръка на Комитета по сигурността;
б)
защита на поверителността на информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED се осигурява чрез криптографски продукти, одобрени от генералния секретар (наричан по-долу „генералния секретар“, действащ в качеството си на ОКО, по препоръка на Комитета по сигурността.
Без да се засяга буква б), при предаване в рамките на националните системи на държавите-членки поверителността на КИЕС с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или RESTREINT UE/EU RESTRICTED може да бъде защитена чрез криптографски продукти, одобрени от ОКО на държавата-членка.
7. При предаване на КИЕС чрез електронни средства се използват одобрени криптографски продукти. Въпреки това изискване, при извънредни обстоятелства могат да се прилагат специфични процедури или специфични технически конфигурации, както е посочено в приложение IV.
8. Компетентните органи съответно на ГСС и на държавите-членки създават следните органи по ОИ:
а)
орган по ОИ (ООИ);
б)
орган по Tempest (ОТ);
в)
орган за криптографско одобрение (ОКО);
г)
орган за разпределение на криптографски материали (ОРКМ).
9. За всяка система компетентните органи съответно на ГСС и на държавите-членки създават:
а)
орган по акредитиране на сигурността (ОАС);
б)
оперативен орган по ОИ.
10. Разпоредбите за изпълнение на настоящия член се съдържат в приложение IV.
Член 11
Индустриална сигурност
1. Индустриална сигурност е прилагането на мерки за гарантиране на защитата на КИЕС от изпълнители или подизпълнители по време на преговори за сключване на договор и през целия жизнен цикъл на класифицирани договори. При такива договори не се допуска достъп до информация с ниво на класификация за сигурност TRÉS SECRET UE/EU TOP SECRET.
2. ГСС може да възложи с договор изпълнението на задачи, включващи или налагащи достъп до КИЕС или работа с КИЕС, или нейното съхранение, на индустриални или други единици, регистрирани в държава-членка или в трета държава, която е сключила споразумение или административна договореност в съответствие с член 12, параграф 2, буква а) или б).
3. ГСС, в качеството си на възложител, гарантира, че при възлагане на класифицирани договори на индустриални или други единици се спазват минималните стандарти за индустриална сигурност, установени в настоящото решение и посочени в договора.
4. Във всяка държава-членка националният орган по сигурността (НОС), определеният орган по сигурността (ООС) или друг компетентен орган гарантира, във възможната според националните законови и подзаконови актове степен, че изпълнителите и подизпълнителите, регистрирани на нейна територия, вземат всички необходими мерки за защита на КИЕС по време на преговорите за сключване или по време на изпълнението на класифициран договор.
5. Във всяка държава-членка НОС, ООС или друг компетентен орган по сигурността гарантира в съответствие с националните законови и подзаконови актове, че изпълнителите и подизпълнителите, регистрирани във въпросната държава-членка, които участват в класифицирани договори за изпълнение и подизпълнение, изискващи достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET в рамките на техните обекти както при изпълнение на такива договори, така и по време на преддоговорния етап, разполагат с удостоверение за сигурност на структура (УСС) на съответното ниво на класификация за сигурност.
6. На изпълнителския или подизпълнителския персонал, на който е необходим достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET за изпълнение на класифициран договор, се дава разрешение за достъп на персонала (РДП) от съответния НОС, ООС или друг компетентен орган по сигурността, в съответствие с националните законови и подзаконови актове и минималните стандарти за сигурност, установени в приложение I.
7. Разпоредбите за изпълнение на настоящия член се съдържат в приложение V.
Член 12
Обмен на класифицирана информация с трети държави и международни организации
1. Когато Съветът реши, че съществува необходимост от обмен на КИЕС с трета държава или международна организация, за тази цел се създава подходяща рамка.
2. За създаване на такава рамка и за определяне на реципрочни правила за защита на обменяната класифицирана информация:
а)
Съветът сключва споразумения за процедури за сигурност за обмен и защита на класифицирана информация (наричани по-долу „споразумения за сигурност на информацията“); или
б)
генералният секретар може да встъпи в административни договорености в съответствие с точка 17 от приложение VI, ако нивото на класификация на КИЕС, която се предоставя, като правило не надвишава RESTREINT UE/EU RESTRICTED.
3. Споразуменията за сигурност на информацията или административните договорености, посочени в параграф 2, съдържат разпоредби, които гарантират, че когато трети държави или международни организации получат КИЕС, тази информация е защитена на ниво, съответстващо на класификацията ѝ, и съобразно минимални стандарти, които са не по-малко стриктни от стандартите, установени с настоящото решение.
4. Решението да се предостави на трета държава или международна организация КИЕС, създадена в Съвета, се взема от Съвета поотделно за всеки конкретен случай, в зависимост от естеството и съдържанието на тази информация, „необходимостта да се знае“ от получателя и предимствата, които това дава на ЕС. Ако исканата класифицирана информация не е създадена от Съвета, ГСС най-напред иска писмено съгласие за нейното предоставяне от създателя на информацията. Ако създателят на информацията не може да бъде установен, неговата отговорност се поема от Съвета.
5. За да се установи ефективността на съществуващите в трета държава или международна организация мерки за сигурност за защита на предоставена или обменена КИЕС, се организират посещения за оценка.
6. Разпоредбите за изпълнение на настоящия член се съдържат в приложение VI.
Член 13
Нарушения на сигурността и компрометиране на КИЕС
1. До нарушение на сигурността се стига в резултат на действие или бездействие от физическо лице, което противоречи на правилата за сигурност, установени в настоящото решение.
2. До компрометиране на КИЕС се стига, когато в резултат на нарушение на сигурността тя бъде изцяло или частично разкрита пред неоправомощени лица.
3. Всяко нарушение на сигурността или подозрение за такова нарушение се докладва незабавно на компетентния орган по сигурността.
4. Когато е известно или когато има достатъчно основания да се приеме, че КИЕС е компрометирана или изгубена, компетентният орган по сигурността предприема всички необходими мерки съгласно съответните законови и подзаконови актове за:
а)
информиране на създателя на информацията;
б)
осигуряване на разследване на случая от служители, които нямат непосредствено отношение към нарушението, с оглед установяване на фактите;
в)
извършване на оценка на потенциалните вреди, причинени на интересите на ЕС или на държавите-членки;
г)
предприемане на необходимите мерки за предотвратяване на повторно нарушение; и
д)
уведомяване на съответните органи за предприетите действия.
5. На всяко лице, отговорно за нарушение на правилата за сигурност, установени в настоящото решение, могат да бъдат наложени дисциплинарни мерки в съответствие с приложимите правила и подзаконови актове. Всяко лице, отговорно за компрометиране или загуба на КИЕС, подлежи на дисциплинарни и/или правни мерки в съответствие с приложимите закони, правила и подзаконови актове.
Член 14
Отговорност за прилагане на решението
1. Съветът предприема всички необходими мерки за гарантиране на цялостна съгласуваност при прилагане на настоящото решение.
2. Генералният секретар предприема всички необходими мерки, за да се гарантира, че при работа със или съхранение на КИЕС или друга класифицирана информация настоящото решение се прилага в използваните от Съвета обекти и в рамките на ГСС, включително в службите му за връзка, разположени в трети държави, от длъжностните лица и другите служители на ГСС, от командированите в ГСС служители, както и от външните изпълнители, наети от ГСС.
3. В съответствие с националните си законови и подзаконови актове държавите-членки предприемат всички необходими мерки, за да гарантират, че при работа с КИЕС или при съхранението ѝ настоящото решение се спазва от:
а)
служителите на постоянните представителства на държавите-членки към Европейския съюз и от членовете на националните делегации, които присъстват на заседания на Съвета или на неговите подготвителни органи или които участват в други дейности на Съвета;
б)
други служители в националните администрации на държавите-членки, включително служители, командировани в тези администрации, независимо дали работят на територията на държавите-членки или зад граница;
в)
други лица в държавите-членки, които по силата на изпълняваните от тях функции имат надлежно разрешение за достъп до КИЕС; и
г)
изпълнители, наети от държавите-членки, независимо дали работят на територията на държавите-членки или зад граница.
Член 15
Организация на сигурността в Съвета
1. В рамките на функциите си за осигуряване на цялостна съгласуваност при прилагане на настоящото решение Съветът одобрява:
а)
споразуменията, посочени в член 12, параграф 2, буква а);
б)
решенията, с които се дава разрешение за предоставяне на КИЕС на трети държави и международни организации;
в)
годишна програма, предлагана от генералния секретар и препоръчана от Комитета по сигурността, за проверки на службите и обектите в държавите-членки и на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и на Европол и Евроюст, и за посещения за оценка в трети държави и международни организации с цел да се удостовери ефективността на мерките, прилагани за защита на КИЕС; и
г)
политиките за сигурност, предвидени в член 6, параграф 1.
2. Генералният секретар действа като орган на ГСС по сигурността. В това си качество генералният секретар:
а)
изпълнява и прави преглед на политиката на Съвета в областта на сигурността;
б)
координира с националните органи по сигурността на държавите-членки всички въпроси на сигурността, свързани със защитата на класифицирана информация от значение за дейностите на Съвета;
в)
предоставя на длъжностните лица и другите служители на ГСС разрешение за достъп на персонала на ЕС до КИЕС в съответствие с член 7, параграф 3, преди да им бъде даден достъп до информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо;
г)
когато е подходящо, разпорежда провеждане на разследване за всяко действително или подозирано компрометиране или загуба на КИЕС, държана или произхождаща от Съвета, и отправя към съответните органи по сигурността искане за съдействие при такива разследвания;
д)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в обектите на ГСС;
е)
извършва периодични проверки на договореностите по сигурността за защита на КИЕС в агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и при операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, и от специалните представители на ЕС (СПЕС) и членовете на техните екипи;
ж)
провежда съвместно и съгласувано със съответния НОС периодични проверки на договореностите по сигурността за защита на КИЕС в службите и обектите на държавите-членки;
з)
координира мерките за сигурност с компетентните органи на държавите-членки, отговарящи за защитата на класифицирана информация, и ако е уместно, с трети държави или международни организации, включително по отношение на естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях;
и)
влиза в административните договорености, посочени в член 12, параграф 2, буква б); и
й)
предприема първоначални и периодични посещения за оценка в трети държави или международни организации, за да удостовери ефективността на мерките, прилагани за защита на предоставена или обменена КИЕС.
Службата на ГСС по сигурността е на разположение на генералния секретар, за да го подпомага при изпълнението на тези задачи.
3. За целите на изпълнението на член 14, параграф 3 държавите-членки следва да:
а)
определят национален орган по сигурността, който да отговаря за договореностите по сигурността за защита на КИЕС, така че:
i)
КИЕС, държана от национално ведомство, орган или агенция, публични или частни, в страната или зад граница, да бъде защитена в съответствие с настоящото решение;
ii)
договореностите по сигурността за защита на КИЕС да се проверяват периодично;
iii)
всички лица, работещи в националната администрация или наети от изпълнител, на които може да бъде предоставен достъп до класифицирана информация с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо, да бъдат съответно проучени за надеждност или надлежно оправомощени по силата на изпълняваните от тях функции, съгласно националните законови и подзаконови актове;
iv)
програмите за сигурност да са изградени, както е необходимо, за да се сведе до минимум рискът от компрометиране или загуба на КИЕС;
v)
въпросите на сигурността, свързани с опазването на КИЕС, да се координират с други компетентни национални органи, включително с органите, посочени в настоящото решение; и
(vi)
да се дава отговор на съответните заявления за проверки за надеждност от агенции и органи на ЕС, създадени съгласно дял V, глава 2 от ДЕС, Европол и Евроюст, както и операции за управление на кризи, създадени съгласно дял V, глава 2 от ДЕС, СПЕС и техните екипи.
Националните органи по сигурността са изброени в допълнение В;
б)
гарантират, че техните компетентни органи предоставят информация и експертни становища на правителствата си, а чрез тях и на Съвета, относно естеството на заплахите за сигурността на КИЕС и средствата за защита срещу тях.
Член 16
Комитет по сигурността
1. Създава се Комитет по сигурността. Той разглежда и извършва оценка на всички въпроси на сигурността в обхвата на настоящото решение и прави съответните препоръки до Съвета.
2. Комитетът по сигурността се състои от представители на националните органи по сигурността на държавите-членки и на заседанията му присъства представител на Комисията и на Европейската служба за външна дейност. Комитетът се председателства от генералния секретар или от определен от него заместник. Комитетът заседава по указание на Съвета или по искане на генералния секретар или на национален орган по сигурността.
Представителите на агенциите и органите на ЕС, създадени съгласно дял V, глава 2 от ДЕС, както и Европол и Евроюст могат да бъдат поканени да участват, когато се обсъждат въпроси, които ги засягат.
3. Комитетът по сигурността организира дейността си по такъв начин, че да може да отправя препоръки в специфични области на сигурността. В зависимост от нуждите той установява експертни подобласти по въпросите на ОИ, както и други експертни подобласти. Комитетът изготвя правила за работа в тези експертни подобласти и получава доклади от експертите за дейността им, включително, ако е уместно, и евентуални препоръки за Съвета.
Член 17
Замяна на предходни решения
1. С настоящото решение се отменя и заменя Решение 2001/264/ЕО на Съвета от 19 март 2001 г. за приемане на разпоредбите относно сигурността на Съвета (2).
2. Цялата КИЕС, класифицирана в съответствие с Решение 2001/264/ЕО, продължава да бъде защитена съгласно съответните разпоредби от настоящото решение.
Член 18
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 31 март 2011 година.
A TANÁCS HATÁROZATA
(2011. március 31.)
az EU-minősített adatok védelmét szolgáló biztonsági szabályokról
(2011/292/EU)
AZ EURÓPAI UNIÓ TANÁCSA,
tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 240. cikke (3) bekezdésére,
tekintettel a Tanács eljárási szabályzatának elfogadásáról szóló, 2009. december 1-i 2009/937/EU tanácsi határozatra (1) és különösen annak 24. cikkére,
mivel:
(1)
A Tanács tevékenységének a minősített adatok kezelését igénylő valamennyi területen történő továbbfejlesztése érdekében helyénvaló egy olyan átfogó biztonsági rendszert létrehozni a minősített adatok védelmére, amely kiterjed a Tanácsra, annak Főtitkárságára és a tagállamokra.
(2)
E határozat abban az esetben alkalmazandó, amikor a Tanács, annak előkészítő szervei és a Tanács Főtitkársága (a Főtitkárság) EU-minősített adatokat kezel.
(3)
A tagállamok nemzeti jogszabályaikkal és rendelkezéseikkel összhangban és a Tanács működéséhez szükséges mértékben tiszteletben tartják ezt a határozatot, amikor illetékes hatóságaik, szerződéses vállalkozóik EU-minősített adatokat kezelnek, hogy mindegyikük biztos lehessen abban, hogy az EU-minősített adatok tekintetében egyenértékű védelem valósul meg.
(4)
A Tanács és a Bizottság elkötelezett aziránt, hogy egyenértékű biztonsági előírásokat alkalmazzanak az EU-minősített adatok védelmére vonatkozóan.
(5)
A Tanács rámutat annak fontosságára, hogy adott esetben az Európai Parlamentet és más uniós intézményeket, ügynökségeket, szerveket és hivatalokat is bevonjanak az Unió és tagállamai érdekeinek védelméhez szükséges, a minősített adatok védelmére vonatkozó titokvédelmi elvek, előírások és szabályok alkalmazásába.
(6)
Az Európai Unióról szóló szerződés V. címének II. fejezete alapján létrehozott EU ügynökségek és szervek, az Europol és az Eurojust az alapító okirataikban előírtaknak megfelelően belső felépítésük keretében alkalmazzák az e határozatban foglalt, az EU-minősített adatok védelmét szolgáló alapelveket és minimumszabályokat.
(7)
Az EUSZ V. címének II. fejezete alapján létrehozott válságkezelési műveletek és azokban részt vevő személyzet alkalmazza a Tanács által elfogadott, az EU-minősített adatok védelmét szolgáló biztonsági szabályokat.
(8)
Az EU különleges képviselői és munkatársai alkalmazzák a Tanács által elfogadott, az U-minősített adatok védelmét szolgáló biztonsági szabályokat.
(9)
Ez a határozat nem érinti az Európai Unió működéséről szóló szerződés (EUMSZ) 15. és 16. cikkét, valamint az azokat végrehajtó jogi aktusokat.
(10)
Ez a határozat nem érinti a tagállamok fennálló gyakorlatát a nemzeti parlamenteknek az Unió tevékenységével kapcsolatos tájékoztatása tekintetében,
ELFOGADTA A KÖVETKEZŐ HATÁROZATOT:
1. cikk
Cél, hatály és fogalommeghatározások
(1) E határozat megállapítja az EU-minősített adatok védelmére vonatkozó alapelveket és minimumszabályokat.
(2) Ezen alapelvek és minimumszabályok a Tanácsra és a Főtitkárságra alkalmazandók, és azokat - vonatkozó nemzeti jogszabályaikkal és rendelkezéseikkel összhangban - a tagállamoknak is be kell tartaniuk ahhoz, hogy mindegyikük biztos lehessen abban, hogy az EU-minősített adatok tekintetében azonos szintű védelem valósul meg.
(3) E határozat alkalmazásában az A. függelékben szereplő fogalommeghatározások alkalmazandók.
2. cikk
Az EU-minősített adat fogalmának meghatározása, minősítési szintek és minősítési jelölések
(1) „EU-minősített adat”: bármely olyan EU biztonsági minősítéssel ellátott adat és anyag, amelynek engedély nélküli hozzáférhetővé tétele különböző mértékben sértheti az Európai Unió, illetve egy vagy több tagállam érdekeit.
(2) Az EU-minősített adatok minősítési szintjei a következők:
a) TRÈS SECRET UE/EU TOP SECRET: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele rendkívül súlyosan sértheti az Európai Unió illetve egy vagy több tagállam alapvető érdekeit;
b) SECRET UE/EU SECRET: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele súlyosan sértheti az Európai Unió vagy egy vagy több tagállam alapvető érdekeit;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele sértheti az Európai Unió vagy egy vagy több tagállam alapvető érdekeit;
d) RESTREINT UE/EU RESTRICTED: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele hátrányosan érintheti az Európai Unió vagy egy vagy több tagállam alapvető érdekeit.
(3) Az EU-minősített adatokat a (2) bekezdés szerinti biztonsági minősítési jelöléssel kell ellátni. Az adatok ezenkívül tartalmazhatnak az érintett tevékenységi terület és a kibocsátó azonosítására, a terjesztés, valamint a felhasználás korlátozására vagy az átadhatóságra vonatkozó jelöléseket.
3. cikk
A minősítés szabályai
(1) Az illetékes hatóságok biztosítják az EU-minősített adatok megfelelő minősítését, minősített adatokként való egyértelmű azonosíthatóságát és azt, hogy minősítési szintjüket csak a szükséges ideig őrizzék meg.
(2) A kibocsátó előzetes írásbeli hozzájárulása nélkül nem lehet az EU-minősített adatokat visszaminősíteni vagy a minősítés alól feloldani, továbbá nem lehet azoknak a 2. cikk (3) bekezdésében említett jelöléseit módosítani vagy eltávolítani.
(3) A Tanács az EU-minősített adatok létrehozására vonatkozó biztonsági politikát hagy jóvá, amely gyakorlati minősítési útmutatót is tartalmaz.
4. cikk
A minősített adatok védelme
(1) Az EU-minősített adatokat e határozattal összhangban kell védeni.
(2) Az EU-minősített adatok birtokosai felelősek az adatok e határozat szerinti védelméért.
(3) Amennyiben a tagállamok nemzeti minősítési jelöléssel ellátott minősített adatokat visznek be az Európai Unió struktúráiba vagy hálózataiba, a Tanács és a Főtitkárság ezeket az adatokat az azonos szintű EU-minősített adatokra alkalmazandó előírásoknak megfelelően védi a biztonsági minősítések B. függelékben szereplő egyenértékűségi táblázatában foglaltak szerint.
(4) Nagy mennyiségű EU-minősített adat vagy ilyen adatok gyűjteménye magasabb minősítési szintnek megfelelő védelmet tehet indokolttá.
5. cikk
Biztonsági kockázatkezelés
(1) Az EU-minősített adatokat fenyegető kockázatokat folyamatként kell kezelni. A folyamat célja az ismert biztonsági kockázatok feltárása, az ilyen kockázatok elfogadható szintre történő csökkentésére irányuló biztonsági intézkedések meghatározása e határozat alapelveivel és minimumszabályaival összhangban, és ezen intézkedések alkalmazása az „alapos védelem” A. függelékben meghatározott elvének megfelelően. A fenti intézkedések hatékonyságát folyamatosan értékelni kell.
(2) Az EU-minősített adatok teljes életciklusuk alatti védelmét szolgáló biztonsági intézkedések arányban állnak különösen az adatok biztonsági minősítésével, az adat vagy anyag formájával és mennyiségével, az EU-minősített adatok tárolására használt létesítmények elhelyezkedésével és felépítésével, valamint a szándékos károkozás és/vagy bűncselekményekből - a kémkedést, a szabotázst és a terrorizmust is ideértve - eredően helyi szinten fennálló fenyegetéssel.
(3) Az engedély nélküli hozzáférés és hozzáférhetővé tétel, valamint az adatok és anyagok sértetlensége vagy rendelkezésre állása megszűnésének megelőzése érdekében a szükséghelyzeti terveknek figyelembe kell venniük az EU-minősített adatok szükséghelyzet esetén való védelmének a szükségességét.
(4) Az üzletmenetfolytonossági-terveknek a súlyos mulasztások vagy események által az EU-minősített adatok kezelésére és tárolására gyakorolt hatások csökkentését szolgáló megelőző és helyreállító intézkedéseket kell tartalmazniuk.
6. cikk
E határozat végrehajtása
(1) A Tanács - szükség esetén - a Biztonsági Bizottság ajánlására e határozat végrehajtását szolgáló intézkedéseket meghatározó biztonsági politikákat hagy jóvá.
(2) A Biztonsági Bizottság saját szintjén az e határozatot és a Tanács által jóváhagyott biztonsági politikákat kiegészítő vagy támogató biztonsági iránymutatásokat fogadhat el.
7. cikk
Személyi biztonság
(1) A személyi biztonság olyan intézkedések alkalmazását jelenti, amelyek biztosítják, hogy csak azon személyek kapjanak hozzáférést az EU-minősített adatokhoz:
-
akiknek esetében a „szükséges ismeret” feltétele teljesül,
-
akik adott esetben megfelelő szintű biztonsági ellenőrzésen átestek, és
-
akiket tájékoztattak felelősségükről.
(2) A személyi biztonsági tanúsítvánnyal kapcsolatos eljárások célja annak meghatározása, hogy egy adott személy számára - lojalitását, szavahihetőségét és megbízhatóságát figyelembe véve - engedélyezhető-e az EU-minősített adatokhoz való hozzáférés.
(3) A Főtitkárság személyi állománya minden olyan tagjának, akinek feladatai szükségessé teszik a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb minősítésű EU-minősített adatokhoz való hozzáférést, az ilyen EU-minősített adatokhoz való hozzáférés engedélyezését megelőzően megfelelő szintű biztonsági ellenőrzésen kell átesnie. A Főtitkárság tisztviselőire és egyéb alkalmazottaira vonatkozó személyi biztonsági ellenőrzéssel kapcsolatos eljárást az I. melléklet határozza meg.
(4) A 14. cikk (3) bekezdésében említett azon tagállami személyzetnek, amelynek feladatai szükségessé tehetik a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű EU-minősített adatokhoz való hozzáférést - az ilyen EU-minősített adatokhoz való hozzáférés engedélyezését megelőzően - megfelelő szintű biztonsági ellenőrzésen kell átesnie, vagy e személyek számára a nemzeti jogszabályokkal és rendelkezésekkel összhangban más módon, feladatkörüknél fogva megfelelő felhatalmazást kell adni.
(5) Az EU-minősített adatokhoz való hozzáférés engedélyezését megelőzően, majd azt követően rendszeres időközönként minden egyes személyt tájékoztatni kell az EU-minősített adatok e határozat szerinti védelmével kapcsolatos felelősségről, amelyet e személyeknek tudomásul kell venni.
(6) Az e cikk végrehajtására vonatkozó rendelkezéseket az I. melléklet tartalmazza.
8. cikk
Fizikai biztonság
(1) A fizikai biztonság az EU-minősített adatokhoz való illetéktelen hozzáférés megakadályozását célzó fizikai és technikai védelmi intézkedések alkalmazása.
(2) A fizikai biztonsági intézkedések célja jogosulatlan személyek titokban történő vagy erőszakos behatolásának a megakadályozása, jogosulatlan cselekményektől való elrettentés, azok megakadályozása és észlelése, valamint a személyzet tagjainak megkülönböztetése az EU-minősített adatokhoz való hozzáférés tekintetében, a szükséges ismeret elve alapján. Ezek az intézkedések kockázatkezelési eljáráson alapulnak.
(3) Fizikai biztonsági intézkedéseket kell bevezetni valamennyi helyiségben, épületekben, irodában, teremben és egyéb területen, ahol EU-minősített adatokat kezelnek vagy tárolnak, ideértve azon területeket is, ahol a 10. cikk (2) bekezdésében meghatározott kommunikációs és információs rendszereket tárolják.
(4) A II. mellékletnek megfelelően biztonsági területként kell meghatározni és az illetékes biztonsági hatóságnak jóvá kell hagynia azokat a területeket, ahol CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb minősítéssel rendelkező EU-minősített adatot tárolnak.
(5) A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb minősítési szintű EU-minősített adat védelmére kizárólag jóváhagyott berendezés vagy eszköz használható fel.
(6) Az e cikk végrehajtására vonatkozó rendelkezéseket a II. melléklet tartalmazza.
9. cikk
A minősített adatok kezelése
(1) A minősített adatok kezelése az EU-minősített adatok teljes életciklusán keresztüli ellenőrzésére szolgáló adminisztratív intézkedések alkalmazása a 7., 8. és 10. cikkben meghatározott intézkedések kiegészítéseként, és ezáltal az ilyen adatoknak szándékosan vagy véletlenszerűen illetéktelen tudomására jutásától vagy elvesztésétől való elrettentéshez, annak észleléséhez és a kár helyreállításához való hozzájárulásként. Az ilyen intézkedések különösen az EU-minősített adat előállítására, nyilvántartásba vételére, másolására, fordítására, szállítására és megsemmisítésére vonatkoznak.
(2) A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokat továbbítás előtt és kézhezvételkor biztonsági célokból nyilvántartásba kell venni. A Főtitkárság és a tagállamok illetékes hatóságai gondoskodnak az erre a célra szolgáló nyilvántartási rendszer kiépítéséről. A TRÈS SECRET UE/EU TOP SECRET minősítésű adatokat elkülönített nyilvántartásokban kell kezelni.
(3) Az illetékes biztonsági hatóságnak rendszeresen ellenőriznie kell azokat a szerveket és létesítményeket, ahol EU-minősített adatokat kezelnek vagy tárolnak.
(4) Az EU-minősített adatoknak a szervek és létesítmények között történő, a fizikailag védett területeken kívüli továbbítása az alábbiak szerint történik:
a)
az EU-minősített adatokat - főszabályként - a 10. cikk (6) bekezdésével összhangban jóváhagyott, kriptográfiai termékekkel védett elektronikus úton továbbítják;
b)
amennyiben nem használnak az a) pontban említett eszközöket, az EU-minősített adatok szállítása az alábbiak szerint történik:
i.
vagy a 10. cikk (6) bekezdésével összhangban jóváhagyott kriptográfiai termékekkel védett elektronikus eszközökön (pl. USB-kulcsokon, CD-ken, merevlemezeken); vagy
ii.
bármely egyéb esetben az illetékes biztonsági hatóság által a III. mellékletben megállapított vonatkozó védelmi intézkedésekkel összhangban előírt módon.
(5) Az e cikk végrehajtására vonatkozó rendelkezéseket a III. melléklet tartalmazza.
10. cikk
A kommunikációs és információs rendszerekben kezelt EU-minősített adatok védelme
(1) Az információvédelem a kommunikációs és információs rendszerek tekintetében azt jelenti, hogy az ilyen rendszerek megvédik az általuk kezelt adatot, továbbá a szükséges módon, a szükséges időben, a jogszerű felhasználók ellenőrzése alatt működnek. A hatékony információvédelem biztosítja az adatok megfelelő bizalmasságát, sértetlenségét, rendelkezésre állását, letagadhatatlanságát és hitelességét. Az információvédelem kockázatkezelési eljáráson alapul.
(2) „Kommunikációs és információs rendszer” az elektronikus formában történő információkezelést lehetővé tevő rendszer. A kommunikációs és információs rendszer magában foglalja a működéséhez szükséges valamennyi eszközt, beleértve az infrastruktúrát, a szervezetet, a személyzetet és az információs forrásokat. E határozatot az EU-minősített adatokat kezelő kommunikációs és információs rendszerekre (CIS) kell alkalmazni.
(3) A CIS az információvédelem koncepciójával összhangban kezeli az EU-minősített adatokat.
(4) Valamennyi CIS-t akkreditálni kell. Az akkreditáció célja, hogy biztosítva legyen, hogy e határozattal összhangban minden megfelelő biztonsági intézkedés végrehajtásra került, valamint az EU-minősített adatok és a CIS megfelelő szintű védelme biztosított. Az akkreditációs nyilatkozat meghatározza a minősített adatoknak azt a megengedett legmagasabb minősítési szintjét, amelyet a CIS kezelhet, valamint a kapcsolódó feltételeket.
(5) A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokat kezelő CIS-eket olyan módon kell védeni, hogy a minősített adatok bizalmassága ne sérüljön nem szándékos elektromágneses kisugárzás révén („TEMPEST biztonsági intézkedések”).
(6) Amennyiben az EU-minősített adatok védelmét kriptográfiai termékek biztosítják, e termékek jóváhagyása az alábbiak szerint történik:
a)
a SECRET UE/EU SECRET és magasabb szintű minősített adatok bizalmasságát a Tanács - mint kriptográfiai jóváhagyó hatóság (CAA) - által a Biztonsági Bizottság ajánlása alapján jóváhagyott kriptográfiai termékekkel kell védeni;
b)
a CONFIDENTIEL UE/EU CONFIDENTIAL vagy RESTREINT UE/EU RESTRICTED minősítésű adatok bizalmasságát a Tanács főtitkára (továbbiakban: a főtitkár) - mint kriptográfiai jóváhagyó hatóság - által a Biztonsági Bizottság ajánlása alapján jóváhagyott kriptográfiai termékekkel kell védeni.
A b) pont ellenére a tagállami nemzeti rendszerekben a CONFIDENTIEL UE/EU CONFIDENTIAL vagy RESTREINT UE/EU RESTRICTED minősítésű EU-minősített adatok bizalmassága a tagállam kriptográfiai jóváhagyó hatósága által jóváhagyott kriptográfiai termékekkel védhető.
(7) EU-minősített adatok elektronikus eszközökkel történő továbbítása során jóváhagyott kriptográfiai termékeket kell használni. E követelmény ellenére szükséghelyzet esetén vagy a IV. mellékletben meghatározott speciális technikai konfigurációk esetén különleges eljárások alkalmazhatók.
(8) A Főtitkárság és a tagállamok illetékes hatóságai létrehozzák a következő információvédelmi funkciókat:
a)
információvédelmi hatóság;
b)
TEMPEST-hatóság;
c)
kriptográfiai jóváhagyó hatóság;
d)
kriptográfiai terjesztési hatóság.
(9) A Főtitkárság és a tagállamok illetékes hatóságai minden rendszer tekintetében létrehozzák a következőket:
a)
biztonsági akkreditációs hatóság;
b)
információvédelmi üzemeltetési hatóság.
(10) Az e cikk végrehajtására vonatkozó rendelkezéseket a IV. melléklet tartalmazza.
11. cikk
Iparbiztonság
(1) Az iparbiztonság olyan intézkedések alkalmazása, amelyek célja az EU-minősített adatok védelmének vállalkozók vagy alvállalkozók általi biztosítása a minősített szerződések megkötését megelőző tárgyalások és a szerződések teljes életciklusa során. Az ilyen szerződések nem járhatnak TRÈS SECRET UE/EU TOP SECRET szintű minősített adatokhoz való hozzáféréssel.
(2) A Tanács Főtitkársága az EU-minősített adatokhoz való hozzáférést, vagy azok kezelését vagy tárolását magában foglaló vagy azzal járó feladatokkal szerződés keretében olyan gazdálkodó vagy más szervezetet bízhat be, amely valamely tagállamban vagy olyan harmadik államban van bejegyezve, amely a 12. cikk (2) bekezdésének a) vagy b) pontja szerinti megállapodást vagy adminisztratív megállapodást kötött.
(3) A Főtitkárság - mint szerződő hatóság - a minősített szerződések gazdálkodó vagy egyéb szervezetek részére történő odaítélésekor gondoskodik arról, hogy az iparbiztonságnak az e határozatban és a szerződésben foglalt minimumszabályait betartsák.
(4) Az egyes tagállamok nemzeti biztonsági hatósága, kijelölt biztonsági hatósága vagy bármely egyéb illetékes hatósága a nemzeti jogszabályok és rendelkezések által lehetővé tett mértékben biztosítja, hogy a területén bejegyzett vállalkozók és alvállalkozók - a szerződéskötést megelőző tárgyalások és a minősített szerződés teljesítése során - valamennyi megfelelő intézkedést megtesznek az EU-minősített adatok védelme érdekében.
(5) Az egyes tagállamok nemzeti biztonsági hatósága, kijelölt biztonsági hatósága vagy egyéb illetékes biztonsági hatósága a nemzeti jogszabályokkal és rendelkezésekkel összhangban gondoskodik arról, hogy az adott tagállamban nyilvántartásba vett, saját létesítményeikben CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adathoz való hozzáférést igénylő minősített vállalkozói vagy alvállalkozói szerződésekben részt vevő vállalkozók vagy alvállalkozók - akár e szerződések teljesítése, akár e szerződéseket megelőző szakaszban - rendelkeznek a megfelelő minősítési szintű telephely biztonsági tanúsítvánnyal.
(6) Vállalkozók vagy alvállalkozók azon foglalkoztatottjai, akiknek a minősített szerződés teljesítéséhez CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adatokhoz való hozzáféréssel kell rendelkeznie, az adott nemzeti biztonsági hatóság, kijelölt biztonsági hatóság vagy bármely más illetékes biztonsági hatóság személyi biztonsági tanúsítványt (PSC) bocsát ki a nemzeti jogszabályokkal és rendelkezésekkel, valamint az I. mellékletben foglalt biztonsági minimumszabályokkal összhangban.
(7) Az e cikk végrehajtására vonatkozó rendelkezéseket az V. melléklet tartalmazza.
12. cikk
Minősített adatok cseréje harmadik államokkal és nemzetközi szervezetekkel
(1) Amennyiben a Tanács megállapítja, hogy EU-minősített adatok harmadik állammal vagy nemzetközi szervezettel való cseréjére van szükség, akkor ehhez megfelelő eljárásrendet kell kialakítani.
(2) Az említett eljárásrend kialakításához és az átadott vagy átvett minősített adatok védelmét szolgáló kölcsönös szabályok meghatározásához:
a)
a Tanács a minősített adatok cseréjére és védelmére a biztonsági eljárásokról szóló megállapodásokat (a továbbiakban: adatbiztonsági megállapodások) köt; vagy
b)
az EU által átadni tervezett legfeljebb RESTREINT UE/EU RESTRICTED minősítési szintű adat átadására a VI. melléklet 17. pontjának megfelelően a főtitkár adminisztratív megállapodásokat köthet.
(3) A (2) bekezdésben említett adatbiztonsági vagy adminisztratív megállapodások rendelkezéseket tartalmaznak annak biztosítására, hogy amennyiben a harmadik állam vagy a nemzetközi szervezet EU-minősített adatot kap, az ilyen adatot a minősítési szintjének és az e határozatban foglaltakkal legalább azonos szintű minimumszabályoknak megfelelő védelemben részesítsék.
(4) A Tanácstól származó EU-minősített adatok harmadik állam vagy nemzetközi szervezet részére történő átadásáról szóló határozatot csak a Tanács hozhatja meg eseti alapon, az adat jellegétől és tartalmától, az átvevő számára szükséges ismeret elvétől, valamint az EU számára jelentkező előnyök mértékétől függően. Ha az átadni kért minősített adat kibocsátója nem a Tanács, akkor a Főtitkárságnak a kibocsátó előzetes írásbeli beleegyezését kell kérnie az adat átadásához. Ha a kibocsátó nem állapítható meg, feladatkörét a Tanács látja el.
(5) A harmadik államokban vagy nemzetközi szervezeteknél az átadott vagy kicserélt EU-minősített adatok védelmére bevezetett biztonsági intézkedések hatékonyságának megállapítása céljából értékelő látogatásokra kerül sor.
(6) Az e cikk végrehajtására vonatkozó rendelkezéseket a VI. melléklet tartalmazza.
13. cikk
A biztonsági szabályok megsértése és az EU-minősített adatok illetéktelen tudomására jutása
(1) A biztonsági szabályok megsértése az e határozatban foglalt biztonsági szabályokkal ellentétes cselekmény vagy mulasztás eredményeként következik be.
(2) Az EU-minősített adatok illetéktelen tudomására jutása akkor következik be, ha az adatok a biztonsági szabályok megsértésének következtében részben vagy egészben illetéktelen személyek tudomására jutnak.
(3) A biztonsági szabályok megsértését vagy azok feltételezett megsértését minden esetben haladéktalanul jelenteni kell az illetékes biztonsági hatóságnak.
(4) Amennyiben ismert vagy alapos okkal gyanítható az EU-minősített adatok illetéktelen tudomására jutása vagy elvesztése, az illetékes biztonsági hatóság a vonatkozó jogszabályokkal és más rendelkezésekkel összhangban megteszi a szükséges intézkedéseket:
a)
a kibocsátó tájékoztatására;
b)
annak biztosítására, hogy a tények megállapítása érdekében az esetet olyan személyek vizsgálják ki, akiket a biztonsági szabályok megsértése közvetlenül nem érint;
c)
az EU vagy a tagállamok érdekei tekintetében okozott esetleges károk felmérésére;
d)
az ismételt előfordulás megelőzése érdekében; és
e)
értesíti a megfelelő hatóságokat a megtett lépésekről.
(5) Az e határozatban megállapított biztonsági szabályokat megsértő személy a vonatkozó szabályok és rendelkezések szerint fegyelmi eljárás alá vonható. Az EU-minősített adatok illetéktelen tudomására jutásáért vagy elvesztéséért felelős személy a vonatkozó jogszabályok és rendelkezések szerint fegyelmi és/vagy jogi eljárás alá vonható.
14. cikk
Végrehajtási felelősség
(1) A Tanács minden szükséges intézkedést megtesz annak érdekében, hogy biztosítsa e határozat alkalmazásának általános összhangját.
(2) A főtitkár minden szükséges intézkedést megtesz annak érdekében, hogy az EU-minősített adatok és minden más minősített adat kezelésekor vagy tárolásakor a Tanács által igénybe vett helyszíneken és a Főtitkárságon belül - beleértve a harmadik államokban található összekötő hivatalokat is - a Főtitkárság tisztviselői és egyéb alkalmazottai, a Főtitkársághoz kirendelt személyek, valamint a Főtitkárság vállalkozói alkalmazzák e határozatot.
(3) A tagállamok minden megfelelő intézkedést meghoznak annak érdekében, hogy az EU-minősített adatok kezelésekor vagy tárolásakor a következő személyek betartsák e határozatot:
a)
a tagállamok Európai Unió melletti állandó képviseleteinek tagjai, valamint a Tanács vagy annak előkészítő szervei ülésein, valamint a Tanács egyéb tevékenységeiben részt vevő nemzeti küldöttek;
b)
a tagállamok nemzeti közigazgatásában foglalkoztatottak, beleértve a közigazgatáshoz delegált szakértőket is, akár a tagállamok területén, akár külföldön teljesítenek szolgálatot;
c)
az EU-minősített adatokhoz való hozzáférésre feladatkörüknél fogva megfelelően felhatalmazott egyéb személyek a tagállamokban, és
d)
a tagállamok szerződéses vállalkozói, akár a tagállamok területén, akár külföldön.
15. cikk
A Tanács biztonsági szervezete
(1) A Tanács - az e határozat alkalmazása általános összhangjának biztosításában betöltött szerepe részeként - jóváhagyja a következőket:
a)
a 12. cikk (2) bekezdésének a) pontjában említett megállapodások;
b)
az EU-minősített adatoknak a harmadik államok vagy nemzetközi szervezetek részére történő átadását engedélyező döntések;
c)
a főtitkár által javasolt és a Biztonsági Bizottság által ajánlott éves ellenőrzési program a tagállamok szerveinek és létesítményeinek, valamint az EUSZ V. címének II. fejezete alapján létrehozott uniós ügynökségek és szervek, továbbá az Europol és az Eurojust vizsgálatára vonatkozóan, valamint a harmadik államokban és nemzetközi szervezeteknél tett értékelő látogatások az EU-minősített adatok védelme érdekében tett intézkedések hatékonyságának megállapítása céljából; és
d)
a 6. cikk (1) bekezdésében foglaltak szerinti biztonsági politikák.
(2) A főtitkár a Főtitkárság biztonsági hatósága. E minőségében a főtitkár:
a)
végrehajtja és folyamatosan felülvizsgálja a Tanács biztonsági politikáját;
b)
a Tanács tevékenységei szempontjából lényeges minősített adatok védelmével kapcsolatos valamennyi biztonsági kérdésben egyeztet a tagállamok nemzeti biztonsági felügyeletével;
c)
EU személyi biztonsági tanúsítványt ad a Főtitkárság tisztviselői és egyéb alkalmazottai számára a 7. cikk (3) bekezdésével összhangban, mielőtt engedélyezik számukra a CONFIDENTIEL UE/EU CONFIDENTIAL vagy ennél magasabb minősítésű adatokhoz való hozzáférést;
d)
adott esetben vizsgálatot rendel el a Tanács birtokában lévő vagy a Tanácsnál keletkezett minősített adatok tényleges vagy feltételezett illetéktelen tudomására jutása vagy elvesztése esetén, és felkéri a megfelelő biztonsági hatóságokat, hogy nyújtsanak segítséget a kivizsgálásban;
e)
rendszeres időközönként ellenőrzi a minősített adatok védelmét szolgáló, a Főtitkárság létesítményeiben érvényes biztonsági intézkedéseket;
f)
rendszeres időközönként ellenőrzi az EU-minősített adatoknak az EUSZ V. címének II. fejezete alapján létrehozott uniós ügynökségek, szervek, az Europol és az Eurojust, továbbá válságkezelési műveletek, valamint az EU különleges képviselői és csoportjaik tagjai általi védelmét szolgáló biztonsági intézkedéseket;
g)
az érintett nemzeti biztonsági felügyeletekkel közösen és egyetértésben rendszeres időközönként ellenőrzi az EU-minősített adatok védelmét szolgáló, a tagállamok szerveinél és létesítményeiben érvényes biztonsági intézkedéseket;
h)
összehangolja a biztonsági intézkedéseket a tagállamok és - adott esetben - harmadik államok, valamint nemzetközi szervezetek minősített adatok védelméért felelős hatóságaival, beleértve az EU-minősített adatok biztonságát veszélyeztető fenyegetések jellegére és az azokkal szembeni védekezés eszközeire vonatkozóan is;
i)
a 12. cikk (2) bekezdésének b) pontjában említett adminisztratív igazgatási megállapodásokat köt; és
j)
egy első látogatást követően rendszeres időközönként értékelő látogatásokat tesz harmadik államokban és nemzetközi szervezeteknél a rendelkezésükre bocsátott vagy velük kicserélt EU-minősített adatok védelme érdekében tett intézkedések hatékonyságának megállapítása céljából.
A Főtitkárság Biztonsági Hivatala a főtitkár rendelkezésére áll, és segíti őt e feladatok végrehajtásában.
(3) A 14. cikk (3) bekezdésének végrehajtása céljából a tagállamok:
a)
kijelölik az EU-minősített adatok védelmét szolgáló biztonsági intézkedésekért felelős nemzeti biztonsági felügyeletet annak érdekében, hogy
i.
a bármely nemzeti hatóság, szerv vagy ügynökség, vagy köz- vagy magánintézmény által belföldön vagy külföldön birtokolt EU-minősített adatok e határozatnak megfelelő védelemben részesüljenek;
ii.
az EU-minősített adatok védelmét szolgáló biztonsági intézkedéseket rendszeres időközönként ellenőrizzék;
iii.
a nemzeti közigazgatásban vagy szerződéses vállalkozó által foglalkoztatott minden olyan személy, aki CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz hozzáférhet, megfelelő biztonsági ellenőrzésen essen át, vagy a nemzeti jogszabályokkal és rendelkezésekkel összhangban más módon, feladatkörénél fogva megfelelő felhatalmazást kapjon;
iv.
szükség szerint alakítsanak ki biztonsági programokat, hogy minimálisra csökkentsék az EU-minősített adatok illetéktelen tudomására jutásának vagy elvesztésének kockázatát;
v.
az EU-minősített adatok védelmével kapcsolatos biztonsági kérdésekről egyeztessenek más illetékes nemzeti hatóságokkal, beleértve az e határozatban említett hatóságokat is; és
vi.
válaszoljanak az EUSZ V. címének II. fejezete alapján létrehozott uniós ügynökségektől, szervektől, az Europoltól és az Eurojusttól, továbbá a válságkezelési műveletektől, valamint az EU különleges képviselőitől (EUKK) és csoportjaiktól érkező, biztonsági ellenőrzés iránti kérésekre.
A nemzeti biztonsági felügyeletek jegyzékét a C. függelék tartalmazza.
b)
biztosítják, hogy illetékes hatóságaik tájékoztassák és tanáccsal lássák el kormányukat és - ez utóbbi útján - a Tanácsot az EU-minősített adatok biztonságát fenyegető veszélyek jellegéről és az azokkal szemben alkalmazandó védelmi eszközökről.
16. cikk
Biztonsági Bizottság
(1) Biztonsági Bizottság jön létre. A bizottság megvizsgálja és értékeli az e határozat alkalmazási körébe tartozó valamennyi biztonsági kérdést, és adott esetben ajánlásokat tesz a Tanácsnak.
(2) A Biztonsági Bizottság a tagállamok nemzeti biztonsági felügyeleteinek képviselőiből áll, és ülésein részt vesz a Bizottság és az Európai Külügyi Szolgálat egy képviselője. A Biztonsági Bizottság elnöke a főtitkár vagy a kijelölt képviselője. A Biztonsági Bizottság a Tanács utasításai alapján, vagy a főtitkár vagy egy nemzeti biztonsági felügyelet kérésére ülésezik.
Az EUSZ V. címének II. fejezete alapján létrehozott uniós ügynökségek és szervek, továbbá az Europol és Eurojust képviselői is meghívást kaphatnak az üléseken való részvételre, ha őket érintő kérdéseket vitatnak meg.
(3) A Biztonsági Bizottságnak úgy kell megszerveznie tevékenységét, hogy a biztonság meghatározott területei tekintetében ajánlásokat tudjon tenni. A bizottság információvédelmi kérdésekkel foglalkozó csoportot és szükség esetén egyéb szakértői csoportokat hoz létre. Elkészíti a szakértői csoportok feladatmeghatározását, és tevékenységükről - adott esetben a Tanácsnak tett ajánlásokról is - jelentéseket kap.
17. cikk
A korábbi határozat hatályon kívül helyezése
(1) Ez a határozat hatályon kívül helyezi a Tanács biztonsági szabályzatának elfogadásáról szóló, 2001. március 19-i 2001/264/EK tanácsi határozatot (2), és annak helyébe lép.
(2) A 2001/264/EK határozat értelmében minősített valamennyi EU-minősített adatot továbbra is e határozat vonatkozó rendelkezéseivel összhangban kell védeni.
18. cikk
Hatálybalépés
Ez a határozat az Európai Unió Hivatalos Lapjában való kihirdetésének napján lép hatályba.
Kelt Brüsszelben, 2011. március 31-én.