ROZHODNUTÍ RADY
ze dne 23. září 2013
o bezpečnostních pravidlech na ochranu utajovaných informací EU
(2013/488/EU)
RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 240 odst. 3 této smlouvy,
s ohledem na rozhodnutí Rady 2009/937/EU ze dne 1. prosince 2009, kterým se přijímá její jednací řád (1), a zejména na článek 24 uvedeného rozhodnutí,
vzhledem k těmto důvodům:
(1)
Aby bylo možno rozvíjet aktivity Rady ve všech oblastech, které vyžadují nakládání s utajovanými informacemi, je vhodné zavést komplexní bezpečnostní systém ochrany utajovaných informací vztahující se na Radu, její generální sekretariát a členské státy.
(2)
Toto rozhodnutí by se mělo uplatňovat v případech, kdy Rada, její přípravné orgány a generální sekretariát Rady nakládají s utajovanými informacemi EU.
(3)
V souladu s vnitrostátními právními předpisy a v míře nezbytné pro fungování Rady by členské státy měly dodržovat toto rozhodnutí v případech, kdy jejich příslušné orgány, pracovníci nebo dodavatelé nakládají s utajovanými informacemi EU, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
(4)
Rada, Komise a Evropská služba pro vnější činnosti (ESVČ) se zavázaly k uplatňování rovnocenných bezpečnostních standardů pro ochranu utajovaných informací EU.
(5)
Rada zdůrazňuje, že je důležité, aby se Evropský parlament a další orgány, instituce nebo jiné subjekty Unie případně připojily k uplatňování zásad, standardů a pravidel pro ochranu utajovaných informací, které jsou nezbytné pro ochranu zájmů Unie a jejích členských států.
(6)
Rada by měla stanovit vhodný rámec pro případné sdílení utajovaných informací EU v držení Rady s dalšími orgány, institucemi nebo jinými subjekty Unie, a to v souladu s tímto rozhodnutím a platnými interinstitucionálními ujednáními.
(7)
Základní zásady a minimální standardy stanovené tímto rozhodnutím pro ochranu utajovaných informací EU by měly v rámci své vnitřní organizace uplatňovat instituce a agentury Unie zřízené podle hlavy V kapitoly 2 Smlouvy o Evropské unii (dále jen „Smlouva o EU“), Europol a Eurojust, je-li tak stanoveno v aktu, jímž jsou zřízeny.
(8)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měla být uplatňována v rámci operací pro řešení krizí zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii a jejich pracovníky, je-li tak stanoveno v aktu Rady, jímž jsou tyto operace zřízeny.
(9)
Bezpečnostní pravidla na ochranu utajovaných informací EU přijatá Radou by měli uplatňovat zvláštní zástupci EU a členové jejich týmů, je-li tak stanoveno v příslušném aktu Rady.
(10)
Tímto rozhodnutím nejsou dotčeny články 15 a 16 Smlouvy o fungování Evropské unie a jejich prováděcí akty.
(11)
Tímto rozhodnutím nejsou dotčeny platné postupy členských států v oblasti informování jejich národních parlamentů o činnostech Unie.
(12)
Aby bylo uplatňování bezpečnostních pravidel na ochranu utajovaných informací EU zajištěno včas se zřetelem k přistoupení Chorvatska k Evropské unii, mělo by toto rozhodnutí vstoupit v platnost dnem vyhlášení,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Účel, oblast působnosti a definice
1. Toto rozhodnutí stanoví základní zásady a minimální bezpečnostní standardy pro ochranu utajovaných informací EU.
2. Tyto základní zásady a minimální standardy jsou použitelné pro Radu a generální sekretariát Rady a dodržují je členské státy v souladu se svými vnitrostátními právními předpisy tak, aby měl každý jistotu, že utajovaným informacím EU je poskytována rovnocenná úroveň ochrany.
3. Pro účely tohoto rozhodnutí se použijí definice uvedené v dodatku A.
Článek 2
Definice utajovaných informací EU, stupně utajení a označení
1. „Utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států.
2. Utajované informace EU jsou utajovány jedním z následujících stupňů utajení:
a)
TRÈS SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;
b)
SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
c)
CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;
d)
RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Unie nebo jednoho či více členských států.
3. Utajované informace EU jsou označeny stupněm utajení podle odstavce 2. Mohou nést doplňující označení uvádějící oblast činnosti, k níž se vztahují, identifikující původce, omezující distribuci či použití nebo uvádějící informace o způsobilosti k předání.
Článek 3
Pravidla stanovování stupňů utajení
1. Příslušné orgány zajistí odpovídající utajení utajovaných informací EU, jejich jasné označení jako utajované informace a zachování stupně utajení pouze po nezbytnou dobu.
2. Bez předchozího písemného souhlasu původce nelze snížit ani zrušit stupeň utajení utajovaných informací EU a ani nelze změnit či zrušit žádné z označení uvedených v čl. 2 odst. 3.
3. Rada schválí bezpečnostní politiku pro vytváření utajovaných informací EU, která zahrnuje praktickou příručku pro stanovování stupňů utajení.
Článek 4
Ochrana utajovaných informací
1. Ochrana utajovaných informací EU se řídí tímto rozhodnutím.
2. Držitel jakékoli utajované informace EU je odpovědný za její ochranu v souladu s tímto rozhodnutím.
3. Pokud členské státy poskytnou v rámci struktur či sítí Unie utajované informace označené vnitrostátním stupněm utajení, Rada a generální sekretariát Rady tyto informace chrání v souladu s požadavky na ochranu utajovaných informací EU na odpovídající úrovni podle srovnávací tabulky stupňů utajení uvedené v dodatku B.
4. Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru.
Článek 5
Řízení bezpečnostních rizik
1. Bezpečnostní rizika související s utajovanými informacemi EU jsou řízena jako proces. Tento proces je zaměřen na určení známých bezpečnostních rizik, na stanovení bezpečnostních opatření ke snížení těchto rizik na přijatelnou úroveň v souladu se základními zásadami a minimálními standardy stanovenými tímto rozhodnutím a na uplatňování těchto opatření v souladu s koncepcí hloubkové ochrany podle dodatku A. Účinnost těchto opatření se průběžně vyhodnocuje.
2. Bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu musí být přiměřená zejména stupni utajení, podobě a objemu informací nebo materiálů, umístění a konstrukci zařízení, v nichž jsou utajované informace EU uloženy, a na místě vyhodnocené hrozbě škodlivých nebo trestných činností, včetně vyzvědačství, sabotáže nebo terorismu.
3. V pohotovostních plánech se zohlední potřeba chránit utajované informace EU v mimořádných situacích s cílem předejít neoprávněnému přístupu, vyzrazení nebo ztrátě integrity či dostupnosti.
4. Plány zajištění kontinuity provozu zahrnují preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo incidentů na nakládání s utajovanými informacemi EU a na ukládání těchto informací.
Článek 6
Provádění tohoto rozhodnutí
1. V případě potřeby Rada na doporučení Bezpečnostního výboru schválí bezpečnostní politiky, kterými se stanoví prováděcí opatření k tomuto rozhodnutí.
2. Bezpečnostní výbor může na své úrovni schválit bezpečnostní pokyny, které doplní nebo podpoří toto rozhodnutí a veškeré bezpečnostní politiky schválené Radou.
Článek 7
Personální bezpečnost
1. Personální bezpečností se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:
-
potřebují znát utajované informace,
-
jsou případně bezpečnostně prověřeny pro odpovídající stupeň utajení a
-
byly poučeny o svých povinnostech.
2. Bezpečnostní prověrka slouží k tomu, aby určila, zda může být určitá osoba s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti oprávněna k přístupu k utajovaným informacím EU.
3. Všechny osoby v generálním sekretariátu Rady, jejichž povinnosti vyžadují, aby měly přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším nebo s nimi nakládaly, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeny pro odpovídající stupeň utajení. Tyto osoby musí obdržet od orgánu generálního sekretariátu Rady oprávněného ke jmenování oprávnění pro přístup k utajovaným informacím EU až do konkrétního stupně utajení a do konkrétního data.
4. Pracovníci členských států uvedení v čl. 15 odst. 3, jejichž povinnosti mohou vyžadovat přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být před umožněním přístupu k takovým utajovaným informacím EU bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy.
5. Všechny osoby musí být před tím, než jim bude umožněn přístupu k utajovaným informacím EU, a poté v pravidelných intervalech poučeny o svých povinnostech souvisejících s ochranou utajovaných informací EU v souladu s tímto rozhodnutím; uvedené osoby tuto skutečnost potvrdí.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze I.
Článek 8
Fyzická bezpečnost
1. Fyzickou bezpečností se rozumí uplatňování fyzických a technických ochranných opatření s cílem předejít neoprávněnému přístupu k utajovaným informacím EU.
2. Opatření fyzické bezpečnosti mají znemožnit neoprávněný nebo násilný vstup útočníka, odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a umožnit rozdělení členů personálu, pokud jde o přístup k utajovaným informacím EU, v souladu se zásadou potřeby znát utajované informace. Tato opatření se stanoví na základě procesu řízení rizik.
3. Opatření fyzické bezpečnosti je třeba zavést pro všechny areály, budovy, kanceláře, místnosti a další prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy podle čl. 10 odst. 2.
4. Prostory, v nichž jsou ukládány utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, je třeba zřídit jako zabezpečené oblasti v souladu s přílohou II a musí je schválit příslušný bezpečnostní orgán.
5. Na ochranu utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použijí pouze schválené prostředky nebo zařízení.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze II.
Článek 9
Správa utajovaných informací
1. Správou utajovaných informací se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 7, 8 a 10, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací a odhalovat takové ohrožení nebo ztrátu informací. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, snížení nebo zrušení stupně utajení, přenášení a ničení utajovaných informací EU.
2. Informace stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího je třeba po jejich obdržení a před jejich distribucí z bezpečnostních důvodů zaevidovat. Příslušné orgány generálního sekretariátu Rady a členských států zřídí za tímto účelem systém registrů. Informace se stupněm utajení TRÈS SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.
3. Útvary a prostory, v nichž se nakládá s utajovanými informacemi EU nebo v nichž jsou takové informace ukládány, podléhají pravidelné inspekci prováděné příslušným bezpečnostním orgánem.
4. Mimo fyzicky chráněné oblasti se utajované informace EU mezi jednotlivými útvary a prostory přenášejí tímto způsobem:
a)
utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6;
b)
pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:
i)
na elektronických nosičích informací (jako například USB paměti, kompaktní disky, pevné disky), které jsou chráněny kryptografickými prostředky schválenými v souladu s čl. 10 odst. 6, nebo
ii)
ve všech ostatních případech podle pokynů stanovených příslušným bezpečnostním orgánem v souladu s příslušnými ochrannými opatřeními stanovenými v příloze III.
5. Prováděcí pravidla k tomuto článku jsou stanovena v přílohách III a IV.
Článek 10
Ochrana utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech
1. Zabezpečení informací v oblasti komunikačních a informačních systémů představuje jistotu, že takové systémy ochrání informace, s nimiž nakládají a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik.
2. Komunikačním a informačním systémem se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů. Toto rozhodnutí se použije na komunikační a informační systémy, v nichž se nakládá s utajovanými informacemi EU.
3. V komunikačních a informačních systémech se nakládá s utajovanými informacemi EU v souladu s koncepcí zabezpečení informací.
4. Veškeré komunikační a informační systémy podléhají akreditačnímu řízení. Cílem akreditace je získat jistotu, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačních a informačních systémů v souladu s tímto rozhodnutím. Rozhodnutí o akreditaci stanoví nejvyšší stupeň utajení informací, s nimiž lze v daném systému nakládat, a příslušné podmínky.
5. Komunikační a informační systémy nakládající s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším jsou chráněny bezpečnostními opatřeními proti ohrožení dotyčných informací kompromitujícím elektromagnetickým vyzařováním („bezpečnostní opatření TEMPEST“). Tato bezpečnostní opatření jsou přiměřená riziku zneužití a stupni utajení daných informací.
6. Pokud je ochrana utajovaných informací EU zajišťována kryptografickými prostředky, tyto prostředky se schvalují tímto způsobem:
a)
Důvěrnost informací se stupněm utajení SECRET UE / EU SECRET a vyšším je chráněna kryptografickými prostředky schválenými Radou jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
b)
Důvěrnost informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED je chráněna kryptografickými prostředky schválenými generálním tajemníkem Rady (dále jen „generální tajemník“) jakožto schvalovacím orgánem pro kryptografickou ochranu na základě doporučení Bezpečnostního výboru.
Aniž je dotčeno písmeno b) může být důvěrnost utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo RESTREINT UE / EU RESTRICTED v rámci vnitrostátních systémů členských států chráněna kryptografickými prostředky schválenými schvalovacím orgánem pro kryptografickou ochranu daného členského státu.
7. Během elektronického přenosu utajovaných informací EU se použijí schválené kryptografické prostředky. Bez ohledu na tento požadavek se za mimořádných okolností nebo v případě zvláštních technických konfigurací mohou použít zvláštní postupy, jak je uvedeno v příloze IV.
8. Příslušné orgány generálního sekretariátu Rady a členských států zřídí v souvislosti se zabezpečením informací tyto orgány:
a)
orgán pro zabezpečení informací;
b)
orgán TEMPEST;
c)
schvalovací orgán pro kryptografickou ochranu;
d)
orgán pro distribuci kryptografických materiálů.
9. Příslušné orgány generálního sekretariátu Rady a členských států zřídí pro každý systém:
a)
orgán pro bezpečnostní akreditaci;
b)
provozní orgán pro zabezpečení informací.
10. Prováděcí pravidla k tomuto článku jsou stanovena v příloze IV.
Článek 11
Průmyslová bezpečnost
1. Průmyslovou bezpečností se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv. Tyto smlouvy nesmí umožnit přístup k informacím se stupněm utajení TRÈS SECRET UE / EU TOP SECRET.
2. Generální sekretariát Rady může na základě smlouvy pověřit plněním úkolů, které zahrnují nebo vyžadují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, průmyslové nebo jiné subjekty registrované v členském státě nebo ve třetím státě, který uzavřel dohodu nebo správní ujednání podle čl. 13 odst. 2 písm. a) nebo b).
3. Generální sekretariát Rady jakožto zadavatel zajistí, aby při zadávání zakázek na základě utajovaných smluv průmyslovým nebo jiným subjektům byly dodržovány minimální standardy průmyslové bezpečnosti, které jsou stanoveny tímto rozhodnutím a na něž dotyčná smlouva odkazuje.
4. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný orgán každého členského státu zajistí v rozsahu daném vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní na jejich území přijali všechna vhodná opatření na ochranu utajovaných informací EU během jednání před uzavřením smluv a při plnění utajované smlouvy.
5. Vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán každého členského státu zajistí v souladu s vnitrostátními právními předpisy, aby dodavatelé a subdodavatelé registrovaní v příslušném členském státě a účastnící se zakázek na základě utajovaných smluv nebo utajovaných subdodavatelských smluv, které vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v jejich prostorách, buď při plnění takových smluv, nebo před jejich uzavřením, byli držiteli osvědčení o bezpečnostní prověrce zařízení pro požadovaný stupeň utajení.
6. Pracovníkům dodavatele či subdodavatele, kteří pro plnění utajované smlouvy potřebují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, vydá příslušný vnitrostátní bezpečnostní orgán, určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán osvědčení o bezpečnostní prověrce personálu v souladu s vnitrostátními právními předpisy a s minimálními standardy stanovenými v příloze I.
7. Prováděcí pravidla k tomuto článku jsou stanovena v příloze V.
Článek 12
Sdílení utajovaných informací EU
1. Rada stanoví podmínky, za nichž může sdílet utajované informace EU, které má ve svém držení, s dalšími institucemi, orgány nebo jinými subjekty Unie. Za tímto účelem je možné zavést vhodný rámec, mimo jiné i uzavřením interinstitucionálních dohod či jiných ujednání, pokud je to k uvedenému účelu nezbytné.
2. Jakýkoli takový rámec zajistí, aby utajovaným informacím EU byla poskytnuta ochrana odpovídající jejich stupni utajení a v souladu se základními zásadami a minimálními standardy, které musí být rovnocenné zásadám a standardům stanoveným v tomto rozhodnutí.
Článek 13
Výměna utajovaných informací se třetími státy a mezinárodními organizacemi
1. Pokud Rada určí, že je třeba přistoupit k výměně utajovaných informací EU s některým třetím státem nebo mezinárodní organizací, vytvoří se za tím účelem příslušný rámec.
2. S cílem vytvořit tento rámec a stanovit vzájemně uplatňovaná pravidla pro ochranu vyměňovaných utajovaných informací:
a)
Unie uzavře se třetími státy nebo mezinárodními organizacemi dohody o bezpečnostních postupech pro výměnu a ochranu utajovaných informací (dále jen „dohody o bezpečnosti informací“) nebo
b)
generální tajemník Rady může jménem generálního sekretariátu Rady uzavřít správní ujednání v souladu s bodem 17 přílohy VI, pokud stupeň utajení poskytovaných utajovaných informací EU není zpravidla vyšší než RESTREINT UE / EU RESTRICTED.
3. Dohody o bezpečnosti informací nebo správní ujednání podle odstavce 2 musí obsahovat ustanovení, která zaručí, že třetí státy nebo mezinárodní organizace, obdrží-li utajované informace EU, zajistí ochranu těchto informací odpovídající jejich stupni utajení a v souladu s minimálními standardy, které nejsou méně přísné než minimální standardy stanovené tímto rozhodnutím.
4. Rozhodnutí o poskytnutí utajovaných informací EU, jejichž původcem je Rada, třetímu státu nebo mezinárodní organizaci přijímá Rada případ od případu s ohledem na povahu a obsah těchto informací, na potřebu příjemce znát utajované informace a na míru prospěchu pro Unii. Není-li Rada původcem utajovaných informací, které mají být poskytnuty, generální sekretariát Rady nejdříve získá pro poskytnutí informací písemný souhlas původce. Nelze-li původce zjistit, převezme jeho odpovědnost Rada.
5. Za účelem ověření účinnosti zavedených bezpečnostních opatření ve třetím státě nebo mezinárodní organizaci zajišťujících ochranu poskytovaných nebo vyměňovaných utajovaných informací EU se vykonají hodnotící návštěvy.
6. Prováděcí pravidla k tomuto článku jsou stanovena v příloze VI.
Článek 14
Narušení bezpečnosti a ohrožení utajovaných informací EU
1. K narušení bezpečnosti dochází v důsledku jednání nebo opomenutí určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím.
2. K ohrožení utajovaných informací EU dochází, pokud byly tyto informace v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny neoprávněným osobám.
3. Jakékoli narušení bezpečnosti nebo podezření na něj se neprodleně oznámí příslušnému bezpečnostnímu orgánu.
4. Je-li známo nebo existují-li oprávněné důvody domnívat se, že došlo k ohrožení či ztrátě utajovaných informací EU, přijme vnitrostátní bezpečnostní orgán nebo jiný příslušný orgán v souladu s příslušnými právními předpisy veškerá vhodná opatření s cílem:
a)
informovat původce;
b)
zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;
c)
posoudit možnou škodu z hlediska zájmů Unie a členských států;
d)
přijmout vhodná opatření, která zabrání opakování události, a
e)
oznámit přijatá opatření příslušným orgánům.
5. Vůči kterékoli osobě, která je odpovědná za porušení bezpečnostních pravidel stanovených tímto rozhodnutím, mohou být přijata disciplinární opatření v souladu s příslušnými pravidly a předpisy. Vůči kterékoli osobě, která je odpovědná za ohrožení či ztrátu utajovaných informací EU, se přijmou disciplinární opatření nebo právní kroky v souladu s příslušnými právními předpisy.
Článek 15
Odpovědnost za provádění
1. Rada přijme veškerá nezbytná opatření, aby zajistila jednotné uplatňování tohoto rozhodnutí.
2. Generální tajemník Rady přijme veškerá nezbytná opatření, aby zajistil, že při nakládání s utajovanými informacemi EU nebo s jinými utajovanými informacemi nebo při jejich ukládání bude v prostorách využívaných Radou a v generálním sekretariátu Rady uplatňováno toto rozhodnutí ze strany úředníků a ostatních zaměstnanců generálního sekretariátu Rady, pracovníků vyslaných ke generálnímu sekretariátu Rady a dodavatelů generálního sekretariátu Rady.
3. Členské státy přijmou v souladu se svými vnitrostátními právními předpisy veškerá vhodná opatření, aby zajistily, že při nakládání s utajovanými informacemi EU nebo při jejich ukládání bude toto rozhodnutí dodržováno:
a)
pracovníky stálých zastoupení členských států při Evropské unii a členů jejich delegací, kteří se účastní zasedání Rady či jejích přípravných orgánů nebo jiných činností Rady;
b)
jinými pracovníky správních orgánů členských států, včetně pracovníků vyslaných k těmto orgánům, bez ohledu na to, zda působí na území členských států nebo v zahraničí;
c)
jinými osobami v členských státech, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce, a
d)
dodavateli členských států, ať již působí na území členských států nebo v zahraničí.
Článek 16
Organizace bezpečnosti v rámci Rady
1. V rámci své úlohy při zajišťování jednotného uplatňování tohoto rozhodnutí Rada schválí:
a)
dohody uvedené v čl. 13 odst. 2 písm. a);
b)
rozhodnutí opravňující k poskytnutí utajovaných informací EU, jejichž původcem nebo držitelem je Rada, třetím státům a mezinárodním organizacím nebo rozhodnutí o poskytnutí takového souhlasu, a to v souladu se zásadou souhlasu původce;
c)
roční program hodnotících návštěv doporučený Bezpečnostním výborem, zahrnující hodnotící návštěvy služeb a prostor členských států, institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, a hodnotící návštěvy třetích států a mezinárodních organizací za účelem ověření účinnosti opatření zavedených na ochranu utajovaných informací EU, a
d)
bezpečnostní politiky podle čl. 6 odst. 1.
2. Bezpečnostním orgánem generálního sekretariátu Rady je generální tajemník Rady. Generální tajemník Rady v této funkci:
a)
provádí bezpečnostní politiku Rady a její přezkum;
b)
koordinuje s vnitrostátními bezpečnostními orgány členských států veškeré bezpečnostní otázky týkající se ochrany utajovaných informací souvisejících s činností Rady;
c)
vydává úředníkům a ostatním zaměstnancům generálního sekretariátu Rady, jakož i vyslaným národním odborníkům oprávnění k přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším v souladu s čl. 7 odst. 3;
d)
podle potřeby nařizuje vyšetřování jakéhokoli faktického nebo možného ohrožení či ztráty utajovaných informací, jejichž držitelem nebo původcem je Rada, nebo v případě podezření z ohrožení či ztráty takových informací a žádá příslušné bezpečnostní orgány o spolupráci při tomto vyšetřování;
e)
provádí pravidelné kontroly bezpečnostních opatření na ochranu utajovaných informací v prostorách generálního sekretariátu Rady;
f)
provádí pravidelné návštěvy za účelem hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v institucích, agenturách a útvarech Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
g)
ve spolupráci s příslušným vnitrostátním bezpečnostním orgánem a po dohodě s ním provádí pravidelná hodnocení bezpečnostních opatření na ochranu utajovaných informací EU v orgánech a prostorách členských států;
h)
zajišťuje v případě potřeby koordinaci bezpečnostních opatření s příslušnými orgány členských států, které odpovídají za ochranu utajovaných informací, a případně se třetími státy nebo mezinárodními organizacemi, mimo jiné s ohledem na povahu ohrožení bezpečnosti utajovaných informací EU a způsoby ochrany před tímto ohrožením, a
i)
uzavírá správní ujednání podle čl. 13 odst. 2 písm. b).
Při plnění těchto povinností je generálnímu tajemníkovi Rady nápomocna bezpečnostní kancelář generálního sekretariátu Rady.
3. Pro účely provádění čl. 15 odst. 3 by členské státy měly:
a)
určit vnitrostátní bezpečnostní orgán, jak je uvedeno v dodatku C, odpovědný za bezpečnostní opatření na ochranu utajovaných informací EU, aby:
i)
utajované informace EU v držení kteréhokoli vnitrostátního orgánu, veřejnoprávního či soukromoprávního, subjektu nebo agentury, na domácí půdě či v zahraničí, byly chráněny v souladu s tímto rozhodnutím,
ii)
bezpečnostní opatření na ochranu utajovaných informací EU byla pravidelně kontrolována či hodnocena,
iii)
všechny osoby, které jsou zaměstnány ve správních orgánech daného členského státu nebo dodavatelem a kterým může být umožněn přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, byly bezpečnostně prověřeny nebo jinak řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy,
iv)
byly podle potřeby zavedeny bezpečnostní programy, aby se minimalizovalo riziko, že utajované informace EU budou ohroženy či ztraceny,
v)
bezpečnostní otázky týkající se ochrany utajovaných informací EU byly koordinovány s ostatními příslušnými bezpečnostními orgány, včetně orgánů uvedených v tomto rozhodnutí, a
vi)
byly vyřízeny příslušné žádosti o provedení bezpečnostní prověrky podané zejména ze strany institucí, agentur a útvarů a operací Unie zřízených podle hlavy V kapitoly 2 Smlouvy o Evropské unii, jakož i ze strany zvláštních zástupců EU a členů jejich týmů, na něž se vztahuje toto rozhodnutí nebo jeho zásady;
b)
zajistit, aby příslušné orgány poskytovaly informace a poradenství svým vládám a jejich prostřednictvím Radě o povaze ohrožení bezpečnosti utajovaných informací EU a o způsobech ochrany před tímto ohrožením.
Článek 17
Bezpečnostní výbor
1. Zřizuje se Bezpečnostní výbor. Tento výbor přezkoumává a posuzuje veškeré bezpečnostní otázky v oblasti působnosti tohoto rozhodnutí a podle potřeby poskytuje doporučení Radě.
2. Bezpečnostní výbor se skládá ze zástupců vnitrostátních bezpečnostních orgánů členských států a jeho zasedání se účastní zástupce Komise a ESVČ. Předsedá mu generální tajemník Rady nebo osoba pověřená jej zastupovat. Bezpečností výbor se schází podle pokynů Rady nebo na žádost generálního tajemníka Rady či některého vnitrostátního bezpečnostního orgánu.
Zástupci institucí, agentur a útvarů Unie, na něž se vztahuje toto rozhodnutí nebo jeho zásady, mohou být přizváni k účasti na zasedání, jestliže se jich týkají projednávané otázky.
3. Bezpečnostní výbor organizuje svou činnost tak, aby mohl poskytovat doporučení týkající se určitých oblastí bezpečnosti. Zřídí odbornou podskupinu pro otázky zabezpečení informací a podle potřeby další odborné podskupiny. Pro tyto odborné podskupiny vypracuje statut a ty mu následně předkládají zprávy o své činnosti, případně doporučení určená Radě.
Článek 18
Nahrazení předchozích rozhodnutí
1. Tímto rozhodnutím se zrušuje a nahrazuje rozhodnutí Rady 2011/292/EU (2).
2. Veškeré utajované informace EU podle rozhodnutí Rady 2001/264/ES (3) a rozhodnutí 2011/292/EU jsou nadále chráněny v souladu s příslušnými ustanoveními tohoto rozhodnutí.
Článek 19
Vstup v platnost
Toto rozhodnutí vstupuje v platnost dnem vyhlášení v Úředním věstníku Evropské unie.
V Bruselu dne 23. září 2013.
TARYBOS SPRENDIMAS
2013 m. rugsėjo 23 d.
dėl ES įslaptintos informacijos apsaugai užtikrinti skirtų saugumo taisyklių
(2013/488/ES)
EUROPOS SĄJUNGOS TARYBA,
atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 240 straipsnio 3 dalį,
atsižvelgdama į 2009 m. gruodžio 1 d. Tarybos sprendimą 2009/937/ES, patvirtinantį Tarybos darbo tvarkos taisykles (1), ypač į jo 24 straipsnį,
kadangi:
(1)
siekiant plėtoti Tarybos veiklą visose srityse, kuriose reikia tvarkyti įslaptintą informaciją, tikslinga sukurti Tarybą, jos Generalinį sekretoriatą ir valstybes nares apimančią įslaptintos informacijos apsaugą užtikrinančią visapusišką saugumo sistemą;
(2)
šis sprendimas turėtų būti taikomas tais atvejais, kai Taryba, jos parengiamieji organai ir Tarybos Generalinis sekretoriatas (TGS) tvarko ES įslaptintą informaciją (ESĮI);
(3)
vadovaudamosi savo nacionaliniais įstatymais ir kitais teisės aktais ir tiek, kiek reikia Tarybos veiklai užtikrinti, valstybės narės turėtų laikytis šio sprendimo, kai jų kompetentingos institucijos, personalas ir rangovai tvarko ESĮI, kad visi būtų tikri, jog yra užtikrinta lygiavertė ESĮI apsauga;
(4)
Taryba, Komisija ir Europos išorės veiksmų tarnyba (EIVT) yra įsipareigojusios taikyti lygiaverčius ESĮI apsaugą užtikrinančius saugumo standartus;
(5)
Taryba pabrėžia, jog svarbu, kad Europos Parlamentas ir kitos Sąjungos institucijos, įstaigos, tarnybos ar agentūros atitinkamais atvejais prisidėtų prie įslaptintos informacijos apsaugos principų, standartų ir taisyklių, būtinų siekiant apsaugoti Sąjungos ir jos valstybių narių interesus, įgyvendinimo;
(6)
Taryba, laikydamasi šio sprendimo ir galiojančių tarpinstitucinių susitarimų, turėtų nustatyti tinkamą Tarybos turimos ESĮI dalijimosi atitinkamai su kitomis Sąjungos institucijomis, įstaigomis, tarnybomis ar agentūromis sistemą;
(7)
pagal Europos Sąjungos sutarties (ES sutartis) V antraštinės dalies 2 skyrių įsteigtos Sąjungos įstaigos ir agentūros, Europolas ir Eurojustas, vykdydami savo vidaus darbo organizavimą, turėtų taikyti šiame sprendime nustatytus ESĮI apsaugai užtikrinti skirtus pagrindinius principus ir būtiniausius standartus, jei jie numatyti akte dėl jų įsteigimo;
(8)
pagal ES sutarties V antraštinės dalies 2 skyrių nustatytų krizių valdymo operacijų metu turėtų būti taikomos Tarybos patvirtintos ESĮI apsaugai užtikrinti skirtos saugumo taisyklės, jei jos numatytos Tarybos akte dėl tų operacijų nustatymo; jas turėtų taikyti ir jose dalyvaujantis personalas;
(9)
ES specialieji įgaliotiniai ir jų darbuotojų grupių nariai turėtų taikyti Tarybos patvirtintas ESĮI apsaugai užtikrinti skirtas saugumo taisykles, jei taip numatyta atitinkame Tarybos akte;
(10)
šis sprendimas priimamas nedarant poveikio Sutarties dėl Europos Sąjungos veikimo (SESV) 15 ir 16 straipsniams ir jų įgyvendinamiesiems aktams;
(11)
šis sprendimas priimamas nedarant poveikio dabartinei valstybių narių praktikai, susijusiai su nacionalinių parlamentų informavimu apie Sąjungos veiklą;
(12)
siekiant užtikrinti, kad, Kroatijos Respublikai prisijungiant prie Europos Sąjungos, ESĮI apsaugai skirtos saugumo taisyklės būtų pradėtos taikyti laiku, šis sprendimas turėtų įsigalioti jo paskelbimo dieną,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
Tikslas, taikymo sritis ir sąvokų apibrėžtys
1. Šis sprendimas nustato pagrindinius ESĮI apsaugai užtikrinti skirtus saugumo principus ir būtiniausius standartus.
2. Šie pagrindiniai saugumo principai ir būtiniausi standartai taikomi Tarybai bei TGS ir jų privalo laikytis valstybės narės, vadovaudamosi savo atitinkamais nacionaliniais įstatymais ir kitais teisės aktais, kad visi būtų tikri, jog yra užtikrinta lygiavertė ESĮI apsauga.
3. Šio sprendimo taikymo tikslais, taikomos A priedėlyje pateiktos sąvokų apibrėžtys.
2 straipsnis
ESĮI sąvokos apibrėžtis, slaptumo žymos ir kitos žymos
1. ES įslaptinta informacija (ESĮI) - bet kuri informacija arba medžiaga, kuriai suteikta ES slaptumo žyma ir kurią neteisėtai atskleidus galėtų būti padaryta tam tikro dydžio žala Europos Sąjungos arba vienos ar kelių valstybių narių interesams.
2. ESĮI žymima viena iš šių slaptumo žymų:
a)
TRÈS SECRET UE/ES TOP SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti padaryta ypatingai didelė žala Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
b)
SECRET UE/ES SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti rimtai pakenkta Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
c)
CONFIDENTIEL UE/ES CONFIDENTIAL: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti pakenkta Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
d)
RESTREINT UE/ES RESTRICTED: informacija ir medžiaga, kurios neteisėtas atskleidimas galėtų būti nepalankus Europos Sąjungos arba vienos ar kelių valstybių narių interesams.
3. ESĮI žymima slaptumo žyma pagal 2 dalį. Ji gali būti pažymėta papildoma žyma, skirta nurodyti veiklos sritį, su kuria ji yra susijusi, nurodyti įslaptintos informacijos rengėją, apriboti jos platinimą, naudojimą ar suteikimą.
3 straipsnis
Įslaptinimo administravimas
1. Kompetentingos institucijos užtikrina, kad ESĮI būtų žymima tinkama slaptumo žyma, būtų aiškiai nurodoma, kad tai yra įslaptinta informacija, ir jai būtų suteikta slaptumo žyma tik tokiam laikotarpiui, kuris yra būtinas.
2. ESĮI slaptumo žymos laipsnis nesumažinamas arba ji neišslaptinama ir nekeičiamos arba nepanaikinamos 2 straipsnio 3 dalyje nurodytos žymos be išankstinio įslaptintos informacijos rengėjo rašytinio sutikimo.
3. Taryba patvirtina ESĮI rengimo saugumo politiką, kuri apima praktinį žymų vadovą.
4 straipsnis
Įslaptintos informacijos apsauga
1. ESĮI apsaugoma laikantis šio sprendimo.
2. Bet kokios ESĮI turėtojas yra atsakingas už jos apsaugą pagal šį sprendimą.
3. Valstybėms narėms nacionaline slaptumo žyma pažymėtą įslaptintą informaciją įtraukus į Sąjungos struktūras ar tinklus Taryba ir TGS tą informaciją apsaugo laikydamiesi reikalavimų, taikomų lygiaverčio slaptumo žymos laipsnio ESĮI, kaip nustatyta B priedėlyje pateiktoje slaptumo žymų atitikmenų lentelėje.
4. ESĮI visumos atveju gali būti reikalaujama užtikrinti apsaugos lygį, atitinkantį aukštesnio laipsnio slaptumo žymą, nei jos atskirų komponentų slaptumo žymos.
5 straipsnis
Saugumo rizikos valdymas
1. ESĮI kylančios rizikos valdymas yra procesas. Šio proceso tikslas - nustatyti žinomą saugumo riziką, apibrėžti saugumo priemones tokiai rizikai sumažinti iki priimtino lygio pagal šiame sprendime išdėstytus pagrindinius principus ir būtiniausius standartus ir taikyti tas priemones laikantis nuodugnios apsaugos sąvokos, kaip apibrėžta A priedėlyje. Reguliariai atliekamas tokių priemonių efektyvumo vertinimas.
2. ESĮI apsaugai užtikrinti skirtos saugumo priemonės visą savo gyvavimo ciklą turi atitikti jos slaptumo žymos laipsnį, informacijos ar medžiagos formą ir kiekį, patalpų, kuriose laikoma ESĮI, vietos ir konstrukcijos reikalavimus ir turi būti parenkamos atsižvelgiant į vietos lygiu įvertintą piktavališkos ir (arba) nusikalstamos veiklos, įskaitant šnipinėjimą, sabotažą ar terorizmą, keliamą grėsmę.
3. Nenumatytų atvejų planuose turi būti atsižvelgiama į poreikį apsaugoti ESĮI nepaprastosios padėties atvejais siekiant užkirsti kelią galimybei neteisėtai susipažinti su šia informacija, ją atskleisti ar prarasti jos vientisumą arba galimybę ja naudotis.
4. Veiklos tęstinumo planuose numatomos prevencinės ir atstatymo priemonės siekiant sumažinti didelių klaidų ar incidentų poveikį ESĮI administravimui ir saugojimui.
6 straipsnis
Šio sprendimo įgyvendinimas
1. Remdamasi Saugumo komiteto rekomendacija, Taryba prireikus patvirtina saugumo politiką, kuria nustatomos šio sprendimo įgyvendinimo priemonės.
2. Saugumo komitetas savo lygiu gali susitarti dėl saugumo gairių, kurios skirtos papildyti ar sustiprinti šį sprendimą, ir pritarti Tarybos patvirtintai saugumo politikai.
7 straipsnis
Personalo patikimumas
1. Personalo patikimumas - priemonių taikymas, siekiant užtikrinti, kad galimybė susipažinti su ESĮI būtų suteikta tik asmenims, kurie:
-
atitinka principą „būtina žinoti“,
-
atitinkamais atvejais turi atitinkamo slaptumo žymos laipsnio asmens patikimumo pažymėjimus ir
-
yra informuoti apie jų pareigas.
2. Personalo patikimumo tikrinimo procedūrų tikslas - nustatyti, ar asmeniui, atsižvelgiant į jo lojalumą ir patikimumą, gali būti leidžiama susipažinti su ESĮI.
3. Prieš TGS dirbantiems asmenims, kuriems dėl jų pareigų reikia susipažinti su CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta ESĮI ar ją tvarkyti, leidžiant susipažinti su tokia ESĮI, jų visų patikimumas turi būti patikrintas atitinkamu lygiu. Tokiems asmenims TGS paskyrimų tarnyba turi suteikti leidimą iki nustatytos datos susipažinti su iki tam tikro laipsnio slaptumo žyma pažymėta ESĮI.
4. Prieš 15 straipsnio 3 dalyje nurodytiems valstybių narių darbuotojams, kuriems dėl jų pareigų gali reikėti susipažinti su CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta ESĮI, leidžiant susipažinti su tokia ESĮI, jų patikimumas turi būti patikrintas atitinkamu lygiu arba jie turi turėti kitus tinkamus leidimus atsižvelgiant į jų atliekamas funkcijas pagal nacionalinius įstatymus ir kitus teisės aktus.
5. Visi asmenys, prieš jiems suteikiant leidimą susipažinti su ESĮI, o vėliau - reguliariai, informuojami apie pareigą saugoti ESĮI pagal šį sprendimą ir jie ją patvirtina.
6. Šio straipsnio įgyvendinimo nuostatos išdėstytos I priede.
8 straipsnis
Fizinis saugumas
1. Fizinis saugumas yra fizinių ir techninių apsaugos priemonių taikymas siekiant užkirsti kelią leidimo neturintiems asmenims susipažinti su ESĮI.
2. Fizinės saugumo priemonės skirtos sutrukdyti įsibrauti slaptai arba įsiveržti jėga, atgrasyti nuo neteisėtų veiksmų, sutrukdyti jiems bei juos nustatyti, ir sudaryti sąlygas suskirstyti personalą pagal tai, kas gali susipažinti su ESĮI, vadovaujantis principu „būtina žinoti“. Tokios priemonės grindžiamos rizikos valdymo procesu.
3. Fizinio saugumo priemonės taikomos visose patalpose, pastatuose, kabinetuose, salėse ir kitose zonose, kuriose tvarkoma arba saugoma ESĮI, įskaitant zonas, kuriose įrengtos ryšių ir informacinės sistemos, kaip apibrėžta 10 straipsnio 2 dalyje.
4. Zonos, kuriose saugoma CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta ESĮI, įrengiamos kaip saugumo zonos pagal II priedo nuostatas ir patvirtinamos kompetentingos saugumo institucijos.
5. CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėtos ESĮI apsaugai naudojama tik patvirtinta įranga ar prietaisai.
6. Šio straipsnio įgyvendinimo nuostatos išdėstytos II priede.
9 straipsnis
Įslaptintos informacijos administravimas
1. Įslaptintos informacijos administravimas - administracinių ESĮI kontrolės visą jos gyvavimo ciklą priemonių taikymas siekiant papildyti 7, 8 ir 10 straipsniuose numatytas priemones ir tokiu būdu atgrasyti nuo tokios informacijos sąmoningo ar tikslingo atskleidimo arba praradimo ir nustatyti tokius atvejus. Tokios priemonės visų pirma yra susijusios su ESĮI rengimu, registravimu, kopijavimu, vertimu, slaptumo žymos laipsnio sumažinimu, išslaptinimu, gabenimu ir naikinimu.
2. CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta informacija saugumo tikslais registruojama prieš ją platinant ir ją gavus. TGS kompetentingos tarnybos ir valstybių narių kompetentingos institucijos šiuo tikslu sukuria registratūrų sistemą. Slaptumo žyma TRÈS SECRET UE/ES TOP SECRET pažymėta informacija registruojama tam skirtuose registruose.
3. Tarnybas ir patalpas, kuriose ESĮI tvarkoma arba saugoma, reguliariai tikrina kompetentinga saugumo institucija.
4. Už fiziškai apsaugotų zonų ribų ESĮI iš vienos tarnybos į kitą ir iš vienų patalpų į kitas perduodama šiais būdais:
a)
paprastai ESĮI perduodama elektroninėmis priemonėmis apsaugant informaciją pagal 10 straipsnio 6 dalį patvirtintomis šifravimo priemonėmis;
b)
kai nenaudojamos a punkte nurodytos priemonės, ESĮI gabenama:
i)
elektroninėse laikmenose (pvz., USB atmintinėse, kompaktiniuose diskuose, kietuosiuose diskuose), informaciją apsaugant pagal 10 straipsnio 6 dalį patvirtintomis šifravimo priemonėmis, arba
ii)
visais kitais atvejais, kompetentingos saugumo institucijos nurodytu būdu, laikantis atitinkamų III priede nustatytų apsaugos priemonių.
5. Šio straipsnio įgyvendinimo nuostatos išdėstytos III ir IV prieduose.
10 straipsnis
ESĮI, tvarkomos naudojantis ryšių ir informacinėmis sistemomis, apsauga
1. Informacijos saugumo užtikrinimas (ISU) ryšių ir informacinių sistemų srityje - užtikrinimas, kad tokiose sistemose tvarkoma informacija bus apsaugota ir kad, valdant teisėtiems naudotojams, jos veiks taip, kaip turi veikti, ir tada, kada turi veikti. Veiksmingas ISU užtikrina tinkamą konfidencialumo, vientisumo, prieinamumo, atsakomybės už veiksmus prisiėmimo ir autentiškumo lygį. ISU grindžiamas rizikos valdymo procesu.
2. Ryšių ir informacinė sistema (RIS) - sistema, sudaranti sąlygas tvarkyti informaciją elektroniniu būdu. RIS apima visas sistemos dalis, kurių reikia jos veikimui, įskaitant infrastruktūrą, organizavimą, personalą ir informacijos šaltinius. Šis sprendimas taikomas RIS, kuriose tvarkoma ESĮI.
3. ESĮI RIS tvarkoma laikantis ISU principo.
4. Visa RIS turi būti akredituojama. Akreditavimo tikslas - įsitikinti, kad įgyvendintos visos atitinkamos saugumo priemonės ir kad pasiektas pakankamas ESĮI ir RIS apsaugos lygis, vadovaujantis šiuo sprendimu. Pareiškime dėl akreditavimo nurodomas aukščiausias informacijos, kuri gali būti tvarkoma RIS, slaptumo žymos laipsnis ir atitinkami reikalavimai bei sąlygos.
5. Įgyvendinamos apsaugos priemonės, siekiant apsaugoti RIS, kuriose tvarkoma CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta informacija, kad tokia informacija negalėtų būti neteisėtai atskleista dėl netyčinio elektromagnetinio spinduliavimo (TEMPEST apsaugos priemonės). Tokios apsaugos priemonės turi būti proporcingos neteisėto pasinaudojimo informacija rizikai ir informacijos slaptumo žymos lygiui.
6. Kai ESĮI apsauga užtikrinama šifravimo priemonėmis, tokios priemonės patvirtinamos taip:
a)
SECRET UE/ES SECRET ir aukštesnio laipsnio slaptumo žyma pažymėtos informacijos konfidencialumas užtikrinamas taikant šifravimo priemones, kurias remdamasi Saugumo komiteto rekomendacija patvirtina Taryba, vykdydama Kriptografijos patvirtinimo institucijos (KPI) funkcijas;
b)
CONFIDENTIEL UE/ES CONFIDENTIAL arba RESTREINT UE/ES RESTRICTED slaptumo žyma pažymėtos informacijos konfidencialumas užtikrinamas taikant šifravimo priemones, kurias remdamasis Saugumo komiteto rekomendacija patvirtina Tarybos Generalinis sekretorius (toliau - Generalinis sekretorius), vykdydamas KPI funkcijas.
Nepažeidžiant b punkto, valstybių narių nacionalinėse sistemose CONFIDENTIEL UE/ES CONFIDENTIAL arba RESTREINT UE/ES RESTRICTED slaptumo žyma pažymėtos ESĮI konfidencialumas gali būti apsaugomas taikant šifravimo priemones, kurias patvirtina valstybės narės KPI.
7. Perduodant ESĮI elektroninėmis priemonėmis naudojamos patvirtintos šifravimo priemonės. Nepaisant šio reikalavimo, esant nepaprastosios padėties sąlygoms arba specifinių techninių konfigūracijų atvejais, kaip nurodyta IV priede, gali būti taikomos specialios procedūros.
8. TGS kompetentingos tarnybos ir valstybių narių kompetentingos institucijos atitinkamai nustato šias ISU funkcijas vykdančias struktūras:
a)
ISU instituciją (ISUI);
b)
TEMPEST instituciją (TEI);
c)
Kriptografijos patvirtinimo instituciją (KPI);
d)
Kriptografijos platinimo instituciją (KPLI).
9. TGS kompetentingos tarnybos ir valstybių narių kompetentingos institucijos kiekvienai sistemai atitinkamai nustato:
a)
Saugumo akreditavimo instituciją (SAI);
b)
ISU operacinę instituciją.
10. Šio straipsnio įgyvendinimo nuostatos išdėstytos IV priede.
11 straipsnis
Pramoninis saugumas
1. Pramoninis saugumas - priemonių, kurias rangovai arba subrangovai taiko derybų dėl sutarčių sudarymo metu ir visą įslaptintų sutarčių gyvavimo ciklą siekdami užtikrinti ESĮI apsaugą, taikymas. Tokiose sutartyse nenumatoma galimybė susipažinti su slaptumo žyma TRES SECRET UE/ES TOP SECRET pažymėta informacija.
2. TGS sutartimi gali patikėti pramonės arba kitiems subjektams, registruotiems valstybėje narėje arba trečiojoje valstybėje, kuri yra sudariusi susitarimą arba administracinį susitarimą pagal 13 straipsnio 2 dalies a arba b punktą, užduotis, kurioms atlikti reikia arba reikės susipažinti su ESĮI arba ją tvarkyti ar laikyti.
3. TGS, kaip perkančioji institucija, užtikrina, kad sudarant įslaptintas sutartis su pramonės ar kitais subjektais būtų laikomasi šiame sprendime išdėstytų ir sutartyje nurodytų būtiniausių pramoninio saugumo standartų.
4. Kiekvienos valstybės narės nacionalinė saugumo institucija (NSI), paskirtoji saugumo institucija (PSI) ar bet kuri kita kompetentinga institucija, kiek tai įmanoma pagal nacionalinius įstatymus ir kitus teisės aktus, užtikrina, kad jų teritorijoje įregistruoti rangovai ir subrangovai derybų dėl sutarčių sudarymo metu arba vykdydami įslaptintą sutartį imtųsi visų tinkamų ESĮI apsaugos priemonių.
5. Kiekvienos valstybės narės NSI, PSI ar kita kompetentinga saugumo institucija, laikydamosi nacionalinių įstatymų ir kitų teisės aktų, užtikrina, kad atitinkamoje valstybėje narėje įregistruoti rangovai ar subrangovai, dalyvaujantys įslaptintose sutartyse arba subrangos sutartyse, pagal kurias jas vykdant arba prieš jas sudarant turi būti suteikta galimybė savo patalpose susipažinti su įslaptinta informacija, pažymėta slaptumo žyma CONFIDENTIEL UE/ES CONFIDENTIAL arba SECRET UE/ES SECRET, turėtų reikiamą slaptumo žymos laipsnį atitinkantį Įmonės patikimumą patvirtinantį pažymėjimą (ĮPPP).
6. Rangovo ar subrangovo darbuotojams, kuriems vykdant įslaptintą sutartį reikia susipažinti su slaptumo žyma CONFIDENTIEL UE/ES CONFIDENTIAL arba SECRET UE/ES SECRET pažymėta informacija, atitinkama NSI, PSI ar kita kompetentinga saugumo institucija laikydamasi nacionalinių įstatymų ir kitų teisės aktų bei I priede nustatytų būtiniausių saugumo standartų suteikia asmens patikimumo pažymėjimą (APP).
7. Šio straipsnio įgyvendinimo nuostatos išdėstytos V priede.
12 straipsnis
Dalijimasis ESĮI
1. Taryba nustato sąlygas, kuriomis ji gali dalytis savo turima ESĮI su kitomis Sąjungos institucijomis, įstaigomis, tarnybomis ar agentūromis. Tam gali būti sukurta atitinkama sistema, be kita ko, prireikus tuo tikslu sudarant tarpinstitucinius susitarimus ar kitokius susitarimus.
2. Pagal tokią sistemą užtikrinama, kad ESĮI būtų taikoma jos slaptumo žymos lygį atitinkanti apsauga, laikantis pagrindinių principų bei būtiniausių standartų, lygiaverčių nustatytiesiems šiame sprendime.
13 straipsnis
Keitimasis įslaptinta informacija su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis
1. Tarybai nusprendus, kad reikia keistis ESĮI su trečiąja valstybe arba tarptautine organizacija, šiuo tikslu nustatoma tinkama tvarka.
2. Siekdama nustatyti tokią tvarką ir apibrėžti abipusiškumo taisykles dėl įslaptintos informacijos, kuria keičiamasi, apsaugos:
a)
Sąjunga sudaro susitarimus su trečiosiomis valstybėmis arba tarptautinėmis organizacijomis dėl keitimuisi ESĮI ir jos apsaugai užtikrinti skirtų saugumo procedūrų (toliau - susitarimai dėl informacijos saugumo) arba
b)
Generalinis sekretorius gali pagal VI priedo 17 punktą TGS vardu sudaryti administracinius susitarimus tuomet, kai ESĮI, kuri turi būti suteikta, slaptumo žymos laipsnis paprastai nėra aukštesnis nei RESTREINT UE/ES RESTRICTED.
3. 2 dalyje nurodytuose susitarimuose dėl informacijos saugumo arba administraciniuose susitarimuose numatomos nuostatos, kuriomis užtikrinama, jog trečiosioms valstybėms arba tarptautinėms organizacijoms gavus ESĮI tai informacijai užtikrinama jos slaptumo žymos laipsnį atitinkanti apsauga, remiantis būtiniausiais standartais, kurie yra ne mažiau griežti nei šiame sprendime nustatyti standartai.
4. Sprendimą suteikti Tarybos parengtą ESĮI trečiajai valstybei arba tarptautinei organizacijai priima Taryba atskirai kiekvienu konkrečiu atveju atsižvelgdama į tokios informacijos pobūdį ir turinį bei gavėjo atitiktį principui „būtina žinoti“ ir įvertinusi naudą Sąjungai. Jeigu Taryba nėra įslaptintos informacijos, kurią prašoma suteikti, rengėja, TGS pirmiausia bando gauti jos įslaptintos informacijos rengėjo raštišką sutikimą suteikti tą informaciją. Jei įslaptintos informacijos rengėjo neįmanoma nustatyti, jo pareigą prisiima Taryba.
5. Įvertinimo vizitai rengiami siekiant įsitikinti, kad trečiojoje valstybėje arba tarptautinėje organizacijoje taikomos ESĮI arba įslaptintos informacijos, kuri suteikta ar kuria keičiamasi, apsaugos priemonės yra veiksmingos.
6. Šio straipsnio įgyvendinimo nuostatos išdėstytos VI priede.
14 straipsnis
ESĮI saugumo pažeidimai ir neteisėtas atskleidimas
1. Saugumo pažeidimu laikomas šiame sprendime nustatytoms saugumo taisyklėms priešingas asmens veiksmas arba neveikimas.
2. Laikoma, kad ESĮI neteisėtai atskleista, jeigu pažeidus saugumo taisykles ji visa arba jos dalis yra atskleista leidimo neturintiems asmenims.
3. Apie visus saugumo pažeidimus arba įtariamus saugumo pažeidimus nedelsiant pranešama kompetentingai saugumo institucijai.
4. Tai atvejais, kai žinoma arba yra pagrįstų priežasčių manyti, kad ESĮI buvo neteisėtai atskleista arba prarasta, NSI ar kita kompetentinga institucija, vadovaudamasi atitinkamais įstatymais ir kitais teisės aktais, imasi visų atitinkamų priemonių:
a)
informuoti įslaptintos informacijos rengėją;
b)
užtikrinti, kad siekiant nustatyti faktus tokį atvejį nagrinėtų su pažeidimu tiesiogiai nesusijęs personalas;
c)
įvertinti galimą Sąjungai ar valstybių narių interesams padarytą žalą;
d)
imtis atitinkamų priemonių, kad būtų užkirstas kelias pažeidimui pasikartoti, ir
e)
kad atitinkamos institucijos būtų informuotos apie atliktus veiksmus.
5. Bet kuriam asmeniui, kuris pažeidė šiame sprendime nustatytas saugumo taisykles, gali būti taikomos drausminės priemonės vadovaujantis taikomomis taisyklėmis. Asmeniui, kuris neteisėtai atskleidė ar pametė ESĮI, taikomos drausminės ir (arba) teisinės priemonės vadovaujantis taikomais įstatymais, taisyklėmis ir kitais teisės aktais.
15 straipsnis
Atsakomybė už įgyvendinimą
1. Taryba imasi visų priemonių, būtinų siekiant užtikrinti bendrą šio sprendimo taikymo nuoseklumą.
2. Generalinis sekretorius imasi visų priemonių, būtinų užtikrinti, kad TGS pareigūnai ir kiti tarnautojai, į TGS komandiruoti darbuotojai ir TGS samdyti rangovai, tvarkydami arba saugodami ESĮI arba kitą įslaptintą informaciją Tarybos naudojamose patalpose ir TGS, laikytųsi šio sprendimo.
3. Vadovaudamosi savo atitinkamais nacionaliniais įstatymais ir kitais teisės aktais, valstybės narės imasi visų atitinkamų priemonių siekdamos užtikrinti, kad tvarkydami ar saugodami ESĮI šio sprendimo laikytųsi:
a)
valstybių narių nuolatinių atstovybių Europos Sąjungoje darbuotojai ir Tarybos arba jos parengiamųjų organų posėdžiuose ar kitoje Tarybos veikloje dalyvaujantys nacionalinių delegacijų nariai;
b)
kiti valstybių narių nacionalinių administracinių įstaigų darbuotojai, įskaitant į tas administracines įstaigas komandiruotus darbuotojus, dirbantys tiek valstybėse narėse, tiek užsienyje;
c)
kiti asmenys, kuriems valstybėse narėse dėl jų funkcijų yra suteiktas tinkamas leidimas susipažinti su ESĮI, ir
d)
valstybių narių rangovai, dirbantys tiek valstybėse narėse, tiek užsienyje.
16 straipsnis
Saugumo organizavimas Taryboje
1. Atlikdama savo vaidmenį užtikrinti bendrą šio sprendimo taikymo nuoseklumą, Taryba tvirtina:
a)
13 straipsnio 2 dalies a punkte nurodytus susitarimus;
b)
sprendimus, kuriais įgaliojama arba sutinkama Tarybos parengtą arba turimą ESĮI suteikti trečiosioms valstybėms ir tarptautinėms organizacijoms, laikantis informacijos rengėjo sutikimo principo;
c)
metinę įvertinimo vizitų programą, kurią rekomenduoja Saugumo komitetas ir kuri yra skirta įvertinimo vizitams į valstybių narių tarnybas bei patalpas, Sąjungos įstaigas, agentūras bei subjektus, taikančius šį sprendimą ar jo principus, taip pat įvertinimo vizitams į trečiąsias valstybes bei tarptautines organizacijas siekiant įsitikinti priemonių, įgyvendintų siekiant apsaugoti ESĮI, veiksmingumu, ir
d)
saugumo politiką, kaip numatyta 6 straipsnio 1 dalyje.
2. Generalinis sekretorius vykdo TGS saugumo tarnybos funkcijas. Vykdydamas tas funkcijas Generalinis sekretorius:
a)
įgyvendina Tarybos saugumo politiką ir ją nuolat peržiūri;
b)
bendradarbiauja su valstybių narių NSI visais su Tarybos veikla susijusiais saugumo klausimais dėl įslaptintos informacijos apsaugos;
c)
pagal 7 straipsnio 3 dalį suteikia TGS pareigūnams, kitiems tarnautojams ir komandiruotiems nacionaliniams ekspertams įgaliojimus susipažinti su CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta informacija;
d)
atitinkamais atvejais nurodo ištirti Tarybos turimos ar parengtos įslaptintos informacijos faktinio ar įtariamo neteisėto atskleidimo arba praradimo atvejus ir prašo atitinkamų saugumo institucijų padėti atlikti šiuos tyrimus;
e)
reguliariai tikrina įslaptintos informacijos apsaugai užtikrinti skirtas saugumo priemones TGS patalpose;
f)
reguliariai rengia vizitus siekdamas įvertinti ESĮI apsaugai užtikrinti skirtas saugumo priemones Sąjungos įstaigose, agentūrose ir subjektuose, taikančiuose šį sprendimą ar jo principus;
g)
kartu su atitinkama NSI ir suderinęs su ja reguliariai vertina ESĮI apsaugai užtikrinti skirtas saugumo priemones valstybių narių tarnybose ir patalpose;
h)
užtikrina, kad apsaugos priemonės prireikus būtų derinamos su valstybių narių kompetentingomis institucijomis, kurios yra atsakingos už įslaptintos informacijos apsaugą, ir atitinkamai su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis, įskaitant dėl grėsmių ESĮI saugumui pobūdžio ir apsaugos nuo jų priemonių, ir
i)
sudaro administracinius susitarimus, nurodytus 13 straipsnio 2 dalies b punkte.
TGS saugumo tarnyba padeda Generaliniam sekretoriui vykdyti šias užduotis.
3. Įgyvendindamos 15 straipsnio 3 dalį valstybės narės turėtų:
a)
paskirti už ESĮI apsaugai užtikrinti skirtas saugumo priemones atsakingą NSI, nurodytą C priedėlyje pateiktame sąraše, tam, kad:
i)
viešosiose ar privačiose nacionalinėse institucijose, įstaigose ar agentūrose, esančiose valstybės teritorijoje arba užsienyje, laikoma ESĮI būtų apsaugota pagal šį sprendimą;
ii)
būtų užtikrintas ESĮI apsaugai skirtų saugumo priemonių reguliarus tikrinimas arba vertinimas;
iii)
dėl jų atliekamų funkcijų visų nacionalinėse administracinėse įstaigose dirbančių asmenų ir rangovo pasamdytų asmenų, kuriems gali būti leista susipažinti su CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta informacija, patikimumas būtų tinkamai patikrintas arba jie turėtų kitus tinkamus leidimus pagal nacionalinius įstatymus ir kitus teisės aktus;
iv)
siekiant iki minimumo sumažinti ESĮI neteisėto atskleidimo ar praradimo pavojų būtų įdiegtos būtinos saugumo programos;
v)
su ESĮI apsauga susiję saugumo klausimai būtų derinami su kitomis kompetentingomis nacionalinėmis institucijomis, įskaitant su nurodytosiomis šiame sprendime, ir
vi)
būtų atsakyta visų pirma į atitinkamus Sąjungos įstaigų, agentūrų ir subjektų, pagal ES sutarties 2 skyriaus V antraštinę dalį nustatytų operacijų ir ES specialiųjų įgaliotinių (ESSĮ) bei jų darbuotojų grupių narių, taikančių šį sprendimą ar jo principus, prašymus išduoti asmens patikimumo pažymėjimus;
b)
užtikrinti, kad jų kompetentingos institucijos vyriausybėms, o per jas Tarybai, teiktų informaciją apie ESĮI saugumui kylančių grėsmių pobūdį ir apsaugos nuo jų priemones bei patartų šiais klausimais.
17 straipsnis
Saugumo komitetas
1. Įsteigiamas Saugumo komitetas. Jis nagrinėja ir vertina saugumo klausimus, kuriems taikomas šis sprendimas, ir atitinkamai teikia rekomendacijas Tarybai.
2. Saugumo komitetą sudaro valstybių narių NSI atstovai, o jo posėdžiuose dalyvauja Komisijos ir EIVT atstovas. Jam pirmininkauja Generalinis sekretorius arba jo paskirtas atstovas. Jo posėdžiai rengiami pagal Tarybos nurodymus arba Generalinio sekretoriaus ar NSI prašymu.
Sąjungos įstaigų, agentūrų ir subjektų, taikančių šį sprendimą ar jo principus, atstovai gali būti kviečiami dalyvauti posėdžiuose svarstant jiems svarbius klausimus.
3. Saugumo komitetas savo veiklą organizuoja taip, kad galėtų teikti rekomendacijas konkrečių saugumo sričių klausimais. Jis įsteigia ekspertų pogrupį ISU klausimais ir prireikus kitus ekspertų pogrupius. Šis komitetas parengia tokių ekspertų pogrupių įgaliojimus, o šie pogrupiai teikia jam savo veiklos ataskaitas, įskaitant prireikus bet kurias rekomendacijas Tarybai.
18 straipsnis
Ankstesnio sprendimo pakeitimas
1. Šis sprendimas panaikina ir pakeičia Tarybos sprendimą 2011/292/ES (2).
2. Visa ESĮI, įslaptinta pagal Tarybos sprendimą 2001/264/EB (3) ir Sprendimą 2011/292/ES, toliau saugoma pagal atitinkamas šio sprendimo nuostatas.
19 straipsnis
Įsigaliojimas
Šis sprendimas įsigalioja jo paskelbimo Europos Sąjungos oficialiajame leidinyje dieną.
Priimta Briuselyje 2013 m. rugsėjo 23 d.