title: Beschluss der Hohen Vertreterin der Union für Außen- und Sicherheitspolitik vom 19. April 2013 über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst

text:
               29.6.2013

               DE

               Amtsblatt der Europäischen Union

               C 190/1

         BESCHLUSS DER HOHEN VERTRETERIN DER UNION FÜR AUßEN- UND SICHERHEITSPOLITIK
   vom 19. April 2013
   über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst
   (2013/C 190/01)
   DIE HOHE VERTRETERIN DER UNION FÜR AUSSEN- UND SICHERHEITSPOLITIK –
   gestützt auf den Beschluss 2010/427/EU des Rates vom 26. Juli 2010 über die Organisation und die Arbeitsweise des Europäischen Auswärtigen Dienstes (1) (im Folgenden „EAD“),
   gestützt auf die Stellungnahme des in Artikel 9 Absatz 6 des Beschlusses der Hohen Vertreterin vom 15. Juni 2011 über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst (2) genannten Ausschusses
   gestützt auf die Stellungnahme des in Artikel 10 Absatz 1 des Beschlusses 2010/427/EU des Rates vom 26. Juli 2010 über die Organisation und die Arbeitsweise des EAD genannten Ausschusses,
   in Erwägung nachstehender Gründe:

               (1)

               Als eine funktional eigenständige Einrichtung der Europäischen Union (EU) sollte der EAD nach Artikel 10 Absatz 1 des Beschlusses 2010/427/EU des Rates über Sicherheitsvorschriften verfügen.

               (2)

               Der Hohe Vertreter der Union für Außen- und Sicherheitspolitik (im Folgenden „Hoher Vertreter“) sollte Sicherheitsvorschriften für den EAD beschließen, die für alle Aspekte der Sicherheit in Zusammenhang mit der Funktionsweise des EAD gelten, so dass er den Risiken für das ihm unterstehende Personal, seine materiellen Vermögenswerte, seine Informationen und seine Besucher wirksam entgegenwirken und seinen Sorgfaltspflichten in dieser Hinsicht nachkommen kann.

               (3)

               So sollte insbesondere dem Personal, das dem EAD untersteht ist, den materiellen Vermögenswerten des EAD, einschließlich seinen Kommunikations- und Informationssystemen, seinen Informationen und Besuchern ein Schutzniveau gewährt werden, das mit den bewährten Verfahren des Rates, der Europäischen Kommission, der Mitgliedstaaten und gegebenenfalls der internationalen Organisationen im Einklang steht.

               (4)

               Die Sicherheitsvorschriften für den EAD sollten dazu beitragen, einen kohärenteren und umfassenderen allgemeinen Rahmen in der Europäischen Union für den Schutz von Verschlusssachen (im Folgenden „EU-VS“) zu schaffen, wobei die Sicherheitsvorschriften des Rates der Europäischen Union (im Folgenden „der Rat“) und der Europäischen Kommission zugrunde gelegt werden und größtmögliche Kohärenz mit ihnen gewahrt werden soll.

               (5)

               Der EAD, der Rat und die Kommission sind entschlossen, gleichwertige Sicherheitsstandards für den Schutz von EU-VS anzuwenden.

               (6)

               Dieser Beschluss lässt die Artikel 15 und 16 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und die zu ihrer Durchführung erlassenen Rechtsakte unberührt.

               (7)

               Die Organisation der Sicherheit im EAD und die Zuweisung der Sicherheitsaufgaben innerhalb der EAD-Struktur müssen festgelegt werden.

               (8)

               Der Hohe Vertreter sollte gegebenenfalls auf einschlägige Fachkenntnisse in den Mitgliedstaaten, dem Generalsekretariat des Rates und der Europäischen Kommission zurückgreifen.

               (9)

               Der Hohe Vertreter sollte mit Unterstützung der Mitgliedstaaten, des Generalsekretariats des Rates und der Kommission alle angemessenen und zur Anwendung dieser Vorschriften erforderlichen Maßnahmen ergreifen –

         HAT FOLGENDEN BESCHLUSS ERLASSEN:
   Artikel 1
   Gegenstand und Anwendungsbereich
   In diesem Beschluss werden die Vorschriften für den Schutz und die Sicherheit des Europäischen Auswärtigen Dienstes (im Folgenden „EAD-Sicherheitsvorschriften“) festgelegt.
   Dieser Beschluss gilt nach Artikel 10 Absatz 1 des Beschlusses 2010/427/EU des Rates vom 26. Juli 2010 über die Organisation und die Arbeitsweise des Europäischen Auswärtigen Dienstes für das gesamte Personal des EAD und das gesamte Personal der Delegationen der Union, unabhängig von ihrer dienstrechtlichen Stellung oder Herkunft und er schafft den allgemeinen Regelungsrahmen, um den Risiken für das dem EAD unterstehende Personal gemäß Artikel 2, für die Räumlichkeiten des EAD, seine materiellen Vermögenswerte, seine Informationen und seine Besucher effektiv entgegenzuwirken.
   Artikel 2
   Begriffsbestimmungen
   Für die Zwecke dieses Beschlusses gelten folgende Begriffsbestimmungen:
   a)   „Personal des EAD“: Beamte und sonstige Bedienstete des EAD, einschließlich zu Bediensteten auf Zeit ernannter Mitglieder des Personals der diplomatischen Dienste der Mitgliedstaaten, und abgeordneter nationaler Sachverständiger gemäß Artikel 6 des Beschlusses 2010/427/EU des Rates vom 26. Juli 2010 über die Organisation und die Arbeitsweise des Europäischen Auswärtigen Dienstes.
   b)   „dem EAD unterstehendes Personal“: das Personal des EAD und das gesamte Personal der Delegationen der Union, unabhängig von dessen dienstrechtlicher Stellung oder Herkunft, sowie, im Rahmen dieses Beschlusses, der Hohe Vertreter und gegebenenfalls sonstiges Personal, das in Räumlichkeiten der EAD-Zentrale tätig ist;
   (c)   „Angehörige“: die beim Außenministerium des Gastlandes gemeldeten und im Haushalt lebenden Familienmitglieder des dem EAD unterstehenden Personals in Delegationen der Union;
   d)   „Räumlichkeiten des EAD“: alle Einrichtungen des EAD, einschließlich aller Gebäude, Büros, Räume und sonstigen Bereiche sowie Bereiche, in denen Kommunikations- und Informationssysteme (auch solche zur Bearbeitung von EU-VS) untergebracht sind, die vom EAD ständig oder zeitweilig für die Ausübung seiner Tätigkeiten genutzt werden;
   e)   „Sicherheitsinteressen des EAD“: das dem EAD unterstehende Personal, Räumlichkeiten des EAD, Angehörige, materielle Vermögenswerte einschließlich Kommunikations- und Informationssysteme, Informationen und Besucher;
   f)   „EU-VS“: alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte;
   Weitere Begriffsbestimmungen sind in den jeweiligen Anhängen und in Anlage A aufgeführt.
   Artikel 3
   Sorgfaltspflicht
   1.   Die EAD-Sicherheitsvorschriften gewährleisten, dass den Sorgfaltspflichten des EAD nachgekommen wird.
   2.   Die Sorgfaltspflicht des EAD bezeichnet die Verpflichtung, mit der gebotenen Sorgfalt alle geeigneten Maßnahmen zur Umsetzung der Sicherheitsmaßnahmen zu ergreifen, um jeden nach vernünftigem Ermessen vorhersehbaren Schaden von den EAD Sicherheitsinteressen abzuwenden.
   Dazu gehören sowohl Schutz- als auch Sicherheitsmaßnahmen, einschließlich Maßnahmen in Not- oder Krisensituationen, gleich welcher Art.
   3.   Um der Sorgfaltspflicht der Mitgliedstaaten, der EU-Organe und –Einrichtungen und anderer Parteien, deren Personal in Delegationen der Union und/oder Räumlichkeiten dieser Delegationen tätig ist, sowie der Sorgfaltspflicht des EAD für Delegationen der Union, die in Räumlichkeiten der vorstehend genannten anderen Parteien eingerichtet sind, Rechnung zu tragen, schließt der EAD mit jeder dieser Parteien Verwaltungsvereinbarungen, in denen die jeweiligen Funktionen und Zuständigkeiten, Aufgaben und Kooperationsmechanismen festgelegt sind.
   Artikel 4
   Materieller Geheimschutz und Sicherheit der Infrastruktur
   1.   Der EAD trifft alle geeigneten (dauerhaften oder vorübergehenden) Maßnahmen für den materiellen Geheimschutz, einschließlich Zugangskontrollen, in allen Gebäuden des EAD, um die Sicherheitsinteressen des EAD zu schützen. Diesen Maßnahmen wird beim Entwurf und der Planung neuer Gebäude und vor der Anmietung bereits bestehender Gebäude Rechnung getragen.
   2.   Der EAD trifft in Drittstaaten dauerhaft oder vorübergehend zusätzliche geeignete Maßnahmen für den materiellen Geheimschutz, um seine Sicherheitsinteressen zu schützen.
   Zu diesem Zweck können dem Personal, das dem EAD untersteht, und den Angehörigen aus Sicherheitsgründen für einen bestimmten Zeitraum und in bestimmten Bereichen besondere Verpflichtungen oder Beschränkungen auferlegt werden
   3.   Die Maßnahmen nach den Absätzen 1 und 2 müssen dem festgestellten Risiko entsprechen.
   Artikel 5
   Schutz von Verschlusssachen
   1.   Für den Schutz von Verschlusssachen gelten die in diesem Beschluss, insbesondere in Anhang A, festgelegten Vorschriften. Der Besitzer jedweder EU-VS ist für den entsprechenden Schutz dieser EU-VS verantwortlich.
   2.   Der EAD gewährleistet, dass der Zugang zu Verschlusssachen nur Personen gewährt wird, die die Anforderungen gemäß Anhang A Artikel 5 erfüllen.
   3.   Im Einklang mit den Vorschriften über den Schutz von EU-VS in Anhang A legt der Hohe Vertreter auch die Voraussetzungen fest, unter denen örtliche Bedienstete Zugang zu EU-VS erhalten.
   4.   Die Sicherheitsbehörde des EAD verwaltet eine Datenbank, in der der Sicherheitsstatus des gesamten dem EAD unterstehenden Personals einschließlich der Vertragsbediensteten erfasst ist.
   5.   Gibt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze des EAD, so schützt der EAD diese Verschlusssachen nach den Anforderungen, die für EU-VS auf der entsprechenden Geheimhaltungsstufe gemäß den einschlägigen Vorschriften in Anhang A gelten.
   6.   Die Bereiche im EAD, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen oder gleichwertige Informationen aufbewahrt werden, werden im Einklang mit den Vorschriften nach Anhang A als gesicherte Bereiche eingerichtet und von der Sicherheitsbehörde des EAD genehmigt.
   7.   Die Verfahren, nach denen der Hohe Vertreter seine Aufgaben im Rahmen von Abkommen oder Verwaltungsvereinbarungen über den Austausch von EU-VS mit Drittstaaten oder internationalen Organisationen wahrnimmt, sind in den Anhängen A und AV1 aufgeführt.
   Artikel 6
   Sicherheitszwischenfälle und Notfälle
   1.   Um eine rasche und wirksame Reaktion auf einen Sicherheitszwischenfall zu gewährleisten legt der EAD ein Verfahren für die Meldung solcher Zwischenfälle und Notfälle fest, das rund um die Uhr und bei jeglicher Art von Sicherheitszwischenfällen oder Bedrohungen der EAD-Sicherheitsinteressen (z. B. durch Unfälle, Konflikte, böswillige Handlungen, Straftaten, Entführungen und Geiselnahmen oder medizinische Notfälle, Störungen der Kommunikations- und Informationssysteme, Cyber-Angriffe usw.) einsatzbereit ist.
   2.   Zwischen der EAD-Zentrale, den Delegationen der EU, dem Rat, der Kommission, den EU-Sonderbeauftragten und den Mitgliedstaaten werden Kanäle für die Notfallkommunikation eingerichtet, um sie beim Management von Sicherheitszwischenfällen, von denen das Personal betroffen ist, und deren Folgen zu unterstützen, dies schließt auch die Notfallplanung ein.
   3.   Das Management von Sicherheitszwischenfällen umfasst u. a.

               —

               Verfahren zur wirksamen Unterstützung der Beschlussfassung im Zusammenhang mit einem Sicherheitszwischenfall, von dem das Personal betroffen ist; dies schließt auch Beschlüsse über den Abzug oder die Aussetzung einer Mission ein und

               —

               ein Konzept und Verfahren für die Rettung des eingesetzten Personals – z.B. im Falle vermisster Personen oder im Falle von Entführungen und Geiselnahmen – unter Berücksichtigung der besonderen Zuständigkeiten der Mitgliedstaaten, der Organe der EU und des EAD in dieser Hinsicht. In diesem Zusammenhang sind die für das Management solcher Zwischenfälle erforderlichen speziellen Fähigkeiten und eine mögliche Bereitstellung entsprechender Ressourcen durch die Mitgliedstaaten zu berücksichtigen.

         4.   Der EAD wird geeignete Verwaltungsvereinbarungen für die Berichterstattung über Sicherheitszwischenfälle in den Delegationen der Union einführen. Gegebenenfalls werden die Mitgliedstaaten, die Kommission, sonstige zuständige Behörden, sowie die zuständigen Sicherheitsausschüsse unterrichtet.
   5.   Die Zwischenfallmanagementverfahren sollten regelmäßig geübt und überprüft werden.
   Artikel 7
   Sicherheit der Kommunikations- und Informationssysteme
   1.   Der EAD schützt Informationen, die in Kommunikations- und Informationssystemen bearbeitet werden, vor Gefahren für deren Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Beweisbarkeit.
   2.   Entsprechende Vorschriften, ein Sicherheitskonzept und ein Sicherheitsprogramm zum Schutz aller Kommunikations- und Informationssysteme, die sich im Besitz des EAD befinden oder von ihm betrieben werden, werden von der Sicherheitsbehörde des EAD gemäß Artikel 12 Abschnitt I Absatz 1 genehmigt.
   3.   Vorschriften, Konzept und Programm müssen ebenso wie ihre Umsetzung eng mit denen des Rates und der Kommission und gegebenenfalls mit den Sicherheitskonzepten der Mitgliedstaaten abgestimmt werden.
   4.   Alle zur Bearbeitung von Verschlusssachen verwendeten Informations- und Kommunikationssysteme werden einem Akkreditierungsverfahren unterzogen. Der EAD wendet in Absprache mit dem Generalsekretariat des Rates und der Kommission ein System für das Management der Sicherheitsakkreditierung an.
   5.   Werden für den Schutz der vom EAD bearbeiteten EU-VS kryptografische Verfahren eingesetzt, so müssen diese zuvor auf Empfehlung des Sicherheitsausschusses von der Krypto-Zulassungsstelle des EAD genehmigt werden.
   6.   Von der EAD-Sicherheitsbehörde werden im erforderlichen Umfang folgende Stellen für Informationssicherung geschaffen:

               a)

               eine Stelle für Informationssicherung,

               b)

               eine TEMPEST-Stelle,

               c)

               eine Krypto-Zulassungsstelle,

               d)

               eine Krypto-Verteilungsstelle.

         7.   Für jedes System wird die EAD-Sicherheitsbehörde folgende Stellen schaffen:

               (a)

               eine Sicherheits-Akkreditierungsstelle,

               b)

               eine für den Betrieb zuständige Stelle für Informationssicherung,

         8.   Die Bestimmungen zur Anwendung dieses Artikels im Hinblick auf den Schutz von EU-VS sind in den Anhängen A und AIV enthalten.
   Artikel 8
   Verletzung der Sicherheit und Kenntnisnahme von Verschlusssachen durch Unbefugte
   1.   Zu einer Verletzung der Sicherheit kommt es durch eine Handlung oder Unterlassung seitens einer Person, die den in diesem Beschluss festgelegten Sicherheitsvorschriften und/oder den gemäß Artikel 20 Absatz 1 genehmigten Sicherheitskonzepten oder –leitlinien mit Maßnahmen zur Anwendung dieses Beschlusses zuwiderläuft.
   2.   Eine Kenntnisnahme von Verschlusssachen durch Unbefugte liegt vor, wenn eine Verschlusssache ganz oder teilweise an unbefugte Personen oder Einrichtungen weitergegeben wurde
   3.   Eine Verletzung oder vermutete Verletzung der Sicherheit oder die Kenntnisnahme oder vermutete Kenntnisnahme von Verschlusssachen durch Unbefugte wird unverzüglich der Direktion Sicherheit des EAD gemeldet, die geeignete Maßnahmen nach Anhang A ergreift.
   4.   Nach Anhang A Artikel 11 Absatz 3 können gegen jede Person, die für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses oder die Kenntnisnahme von Verschlusssachen durch Unbefugte verantwortlich ist, disziplinarische Maßnahmen und/oder rechtliche Schritte gemäß den geltenden Vorschriften und Regelungen ergriffen werden.
   Artikel 9
   Ermittlungen aufgrund eines Sicherheitszwischenfalls, einer Verletzung der Sicherheit und/oder der Kenntnisnahme durch Unbefugte und Abhilfemaßnahmen
   1.   Die Direktion Sicherheit des EAD wird gegebenenfalls mit Unterstützung von Sicherheitsexperten der Mitgliedstaaten und/oder anderer EU-Organe und - sofern erforderlich - mit Genehmigung des Chief Operating Officer

               a)

               Ermittlungen und Kontrollen durchführen, soweit dies angebracht erscheint:

                           i)

                           wenn bekannt wird oder berechtigter Grund zu der Annahme besteht, dass für den EAD relevante Verschlusssachen, Unbefugten zur Kenntnis gelangt oder abhanden gekommen sind;

                           ii)

                           wenn Verletzungen oder vermutete Verletzungen der Sicherheit oder andere Sicherheitszwischenfälle oder Bedrohungen der EAD-Sicherheitsinteressen vorliegen.

               b)

               alle aufgrund der Ermittlungen erforderlichen Abhilfemaßnahmen ergreifen, soweit dies angebracht erscheint.

         2.   Die Ermittler erhalten Zugang zu allen Informationen, die sie für die Durchführung der Ermittlungen benötigen und werden dabei von allen EAD-Dienststellen in vollem Umfang unterstützt.
   Die Ermittler können geeignete Maßnahmen zur Sicherung des Nachweispfades ergreifen, die der Bedeutung der ermittelten Angelegenheit angemessen sind.
   3.   Der Zugang zu personenbezogenen Daten, einschließlich solcher, die in den Kommunikations- und Informationssystemen erfasst sind, erfolgt nach Maßgabe der Verordnung (EG) 45/2001.
   4.   Ist für Ermittlungszwecke die Einrichtung einer Datenbank mit personenbezogenen Daten erforderlich, wird der Europäische Datenschutzbeauftragte gemäß der genannten Verordnung davon in Kenntnis gesetzt.
   Artikel 10
   Sicherheitsrisikomanagement
   1.   Zur Bestimmung des Sicherheitsbedarfs wendet der EAD in enger Zusammenarbeit mit der Direktion Sicherheit der Europäischen Kommission und gegebenenfalls mit dem Sicherheitsbüro des Generalsekretariats des Rates eine umfassende Methode zum Sicherheitsrisikomanagement an.
   2.   Das Risikomanagement für die EAD-Sicherheitsinteressen wird als Prozess angelegt. Ziel dieses Prozesses ist es, bekannte Sicherheitsrisiken zu bestimmen, Sicherheitsmaßnahmen zur Reduzierung dieser Risiken auf ein tragbares Maß festzulegen und Maßnahmen entsprechend dem Konzept der mehrschichtigen Sicherheit anzuwenden. Die Wirksamkeit der betreffenden Maßnahmen und das Risikoniveau werden fortlaufend bewertet.
   3.   Die in diesem Beschluss festgelegten Funktionen, Verantwortlichkeiten und Aufgaben berühren nicht die Verantwortung aller dem EAD unterstehenden Bediensteten; insbesondere EU-Bedienstete, die an Missionen in Drittländern teilnehmen, müssen mit gesundem Menschenverstand und Urteilsvermögen zum eigenen Schutz und ihrer eigenen Sicherheit beitragen und alle Sicherheitsregeln, -vorschriften, -verfahren und –anweisungen einhalten.
   4.   Der EAD ergreift alle angemessenen Maßnahmen, um den Schutz seiner Sicherheitsinteressen zu gewährleisten und jeden nach vernünftigem Ermessen vorhersehbaren Schaden daran abzuwenden.
   5.   Die Sicherheitsmaßnahmen im EAD für den Schutz von Verschlusssachen während der gesamten Dauer ihrer Einstufung als Verschlusssache müssen insbesondere dem Geheimhaltungsgrad, der Form und dem Umfang der Informationen und Materialien, der Lage und der Beschaffenheit der Einrichtungen, in denen Verschlusssachen untergebracht sind, und der Bedrohung, einschließlich der örtlichen Einschätzung der Bedrohung durch böswillige und/oder kriminelle Handlungen, einschließlich Spionage, Sabotage oder Terrorakte, entsprechen.
   Artikel 11
   Vermittlung von Sicherheitsbewusstsein und Sicherheitsschulung
   1.   Die Sicherheitsbehörde des EAD stellt sicher, dass geeignete Programme zur Vermittlung von Sicherheitsbewusstsein und Sicherheitsschulung ausgearbeitet und durchgeführt werden und dass das dem EAD unterstehende Personal sowie gegebenenfalls dessen Angehörige eine den Risiken an ihrem Wohnort angemessene Sicherheitsbelehrung und -schulung erhalten.
   2.   Das Personal wird über seine Verantwortlichkeiten für den Schutz von EU-VS gemäß den Vorschriften nach Artikel 5 belehrt und erkennt diese an, bevor ihm Zugang zu Verschlusssachen gewährt wird.
   Artikel 12
   Organisation der Sicherheit im EAD
   1.   Der Chief Operating Officer ist die Sicherheitsbehörde des EAD. In dieser Funktion gewährleistet er, dass

               a)

               die Sicherheitsmaßnahmen, soweit erforderlich, mit den für den Schutz von Verschlusssachen zuständigen Behörden der Mitgliedstaaten, dem Generalsekretariat des Rates und der Europäischen Kommission und gegebenenfalls mit Drittstaaten oder internationalen Organisationen in Bezug auf alle für die Tätigkeiten des EAD relevanten Sicherheitsfragen, auch hinsichtlich der Art der Bedrohungen für die Sicherheitsinteressen des EAD und der entsprechenden Schutzmaßnahmen, koordiniert werden,

               b)

               die Sicherheitsaspekte von Beginn sämtlicher Tätigkeiten des EAD an vollständig berücksichtigt werden;

               c)

               der Zugang zu Verschlusssachen nur Personen gewährt wird, die die Anforderungen gemäß Anhang A Artikel 5 erfüllen;

               d)

               ein Registratursystem eingerichtet wird, um sicherzustellen, dass Verschlusssachen, die als CONFIDENTIEL UE/EU CONFIDENTIAL und höher eingestuft sind, innerhalb des EAD im Einklang mit den Vorschriften dieses Beschlusses bearbeitet werden; dies gilt auch für sämtliche an EU-Mitgliedstaaten, EU-Organe, Einrichtungen und Agenturen oder andere befugte Empfänger weitergegebenen Verschlusssachen. Alle vom EAD an Drittstaaten oder internationale Organisationen weitergegebenen EU-VS und alle von Drittstaaten und internationalen Organisationen erhaltenen Verschlusssachen werden in einem getrennten Verzeichnis erfasst;

               e)

               Sicherheitsinspektionen nach Artikel 15 durchgeführt werden;

               f)

               im Falle von Verletzungen oder vermuteten Verletzungen der Sicherheit oder der Kenntnisnahme oder vermuteten Kenntnisnahme vom Rat verwahrter oder vom EAD stammender Verschlusssachen durch Unbefugte oder deren Verlust, Untersuchungen durchgeführt und die einschlägigen Sicherheitsbehörden um Unterstützung bei derartigen Untersuchungen ersucht werden;

               g)

               angemessene Pläne und Mechanismen für das Zwischenfall- und Folgenmanagement entwickelt werden, um rechtzeitig und wirksam auf Sicherheitszwischenfälle reagieren zu können,

               (h)

               angemessene Maßnahmen ergriffen werden, falls eine Person diesen Beschluss missachtet.

               i)

               dass für den Schutz der Sicherheitsinteressen des EAS angemessene materielle und organisatorische Maßnahmen getroffen werden
               Zu diesem Zweck wird der Chief Operating Officer im Benehmen mit dem Generalsekretariat

                           —

                           die Sicherheitskategorie der Delegationen in Abstimmung mit der Kommission festsetzen,

                           —

                           nach Rücksprache mit dem Hohen Vertreter beschließen, wann aus Sicherheitsgründen eine Evakuierung des Personals der Delegation zu veranlassen ist.

                           —

                           Maßnahmen beschließen, die zum Schutz der Familienangehörigen und unter Berücksichtigung der Vereinbarungen mit EU-Organen nach Artikel 3 Absatz 3 ergriffen werden.

                           —

                           die Strategie für kryptografische Kommunikation, insbesondere das Programm für die Installation von kryptografischen Produkten und Mechanismen genehmigen.

         2.   Der Chief Operating Officer wird bei der Wahrnehmung dieser Aufgaben durch den Exekutivdirektor mit Zuständigkeit für die Abteilung Verwaltung und Finanzen, den Leiter der Direktion Sicherheit des EAD und gegebenenfalls durch den Exekutivdirektor mit Zuständigkeit für die Abteilung Krisenreaktion und operative Koordinierung unterstützt.
   3.   Der Chief Operating Officer kann als Sicherheitsbehörde des EAD, falls erforderlich, entsprechende Aufgaben delegieren.
   4.   Jeder Abteilungs-/Referatsleiter ist für die Anwendung der Vorschriften für den Schutz von EU-VS in seiner Abteilung/seinem Referat verantwortlich.
   Jeder Abteilungs-/Referatsleiter benennt Bedienstete als Sicherheitskoordinatoren der Abteilung, deren Ressourcen dem Umfang der von der Abteilung/dem Referat bearbeiteten VS angemessen ist, trägt jedoch weiterhin die Verantwortung wie vorstehend ausgeführt.
   Die Sicherheitskoordinatoren der Abteilung unterstützen gegebenenfalls ihren Abteilungs-/Referatsleiter bei der Wahrnehmung sicherheitsrelevanter Aufgaben, u. a. bei

               a)

               der Ausarbeitung zusätzlicher Sicherheitsanforderungen, die dem spezifischen Bedarf der Abteilung/des Referats entsprechen;

               b)

               regelmäßigen Sicherheitsunterweisungen der Mitglieder einer Abteilung/eines Referats;

               c)

               der Gewährleistung, dass in ihrer Abteilung/ihrem Referat nach dem Grundsatz „Kenntnis nur wenn nötig“ verfahren wird;

               d)

               der Führung einer aktuellen Liste sicherer Codes und Schlüssel;

               e)

               der Aufrechterhaltung von Sicherheitsverfahren und Sicherheitsmaßnahmen;

               f)

               der Berichterstattung über Verletzungen der Sicherheit und die Kenntnisnahme von EU-VS durch Unbefugte an ihre Direktoren und die Direktion Sicherheit;

               g)

               Abschlussbesprechung mit Angehörigen des Personals deren Beschäftigungsverhältnis mit dem EAD endet;

               h)

               der Bereitstellung regelmäßiger Berichte über sicherheitsrelevante Angelegenheiten in ihrer Abteilung/ihrem Referat durch ihre Vorgesetzten

               i)

               der Zusammenarbeit mit der Direktion Sicherheit des EAD bei sicherheitsrelevanten Angelegenheiten;

         Die Direktion Sicherheit des EAD wird rechtzeitig über jede Maßnahme oder Angelegenheit unterrichtet, die Auswirkungen auf die Sicherheit haben könnte.
   5.   Jeder Leiter einer Delegation der Union ist für die Durchführung sämtlicher Maßnahmen für die Sicherheit der Delegation verantwortlich.
   1.   Der EAD verfügt über eine Direktion Sicherheit. Sie hat folgende Aufgaben:

               a)

               Sie übernimmt Verwaltung, Koordinierung, Überwachung und/oder Umsetzung aller Sicherheitsmaßnahmen in allen der Verantwortung des EAD unterstehenden Räumlichkeiten in der Zentrale, innerhalb der EU und in Drittstaaten.

               b)

               Sie gewährleistet die Kohärenz und Konsistenz mit diesem Beschluss und mit den Durchführungsbestimmungen bei allen Tätigkeiten, die sich auf den Schutz der Sicherheitsinteressen des EAD auswirken können.

               c)

               Sie ist der Hauptberater des Hohen Vertreters, des Exekutiv-Generalsekretärs und des Chief Operating Officer in allen sicherheitsrelevanten Fragen

               d)

               Sie wird mit Unterstützung der zuständigen Dienststellen der Mitgliedstaaten nach Artikel 10 Absatz 3 des Beschlusses 2010/427/EU des Rates über die Organisation und die Arbeitsweise des EAD als für Sicherheit zuständige Direktion fungieren.

               e)

               Sie wird durch Bewertungen des materiellen Geheimschutzes im Rahmen der allgemeinen Sicherheitsumgebung/lokalen Sicherheitsumgebung für Kommunikations- Und Informationssysteme, mit denen EU-VS bearbeitet werden, und der Räumlichkeiten, die für die Bearbeitung und Lagerung von EU-VS zugelassen sind, die Tätigkeiten der Sicherheits-Akkreditierungsstelle des EAD unterstützen

         2.   Der Leiter der Direktion Sicherheit des EAD ist für Folgendes zuständig:

               a)

               Gewährleistung eines umfassenden Schutzes der Sicherheitsinteressen des EAD

               b)

               Entwurf, Überprüfung und Aktualisierung der Sicherheitsvorschriften, sowie Koordinierung der Sicherheitsmaßnahmen mit den zuständigen Behörden der Mitgliedstaaten und gegebenenfalls mit den zuständigen Behörden von Drittstaaten sowie mit internationalen Organisationen die mit der EU Sicherheitsabkommen und/oder –vereinbarungen geschlossen haben.

               c)

               Unterstützung der Arbeiten des EAD-Sicherheitsausschusses nach Artikel 14 Absatz 1;

               d)

               Gegebenenfalls Aufnahme von Kontakten zu anderen Partnern oder Behörden als den unter b aufgeführten im Zusammenhang mit sicherheitsrelevanten Angelegenheiten;

               e)

               Schwerpunktsetzung und Unterbreitung von Vorschlägen für die Verwaltung der für die Sicherheit in der Zentrale und in den EU-Delegationen bereitgestellten Mittel.

         3.   Der Leiter der Direktion Sicherheit des EAD hat folgende Aufgaben:

               a)

               Gewährleistung der Aufzeichnung von Verletzungen der Sicherheit und der Kenntnisnahme von Verschlusssachen durch Unbefugte sowie der Einleitung und Durchführung von Ermittlungen, sofern erforderlich;

               b)

               Organisation regelmäßiger Treffen und bei Bedarf, um mit dem Sicherheitsdirektor des Generalsekretariats des Rates und dem Direktor der Direktion Sicherheit der Europäischen Kommission Bereiche von gemeinsamem Interesse zu erörtern.

         4.   Die Direktion Sicherheit des EAD wird Kontakte knüpfen und eine enge Zusammenarbeit pflegen mit

               —

               den für Sicherheit zuständigen Abteilungen der Außenministerien in den Mitgliedstaaten;

               —

               den nationalen Sicherheitsbehörden und/oder sonstigen für Sicherheit zuständigen Sicherheitsbehörden der Mitgliedstaaten, um mit ihrer Unterstützung die Informationen zu erhalten, die sie für die Bewertung der Risiken und Bedrohungen benötigt, denen der EAD, sein Personal, seine Tätigkeiten, seine Werte und Ressourcen sowie seine Verschlusssachen möglicherweise an seinem üblichen Tätigkeitsort ausgesetzt sind;

               —

               den zuständigen Sicherheitsbehörden der Mitgliedstaaten oder der Gastgeberländer, sofern der EAD in deren Gebiet seine Tätigkeit ausübt, im Zusammenhang mit allen Angelegenheiten, die den Schutz seines Personals, seiner Tätigkeiten, seiner Werte und Ressourcen sowie seiner Verschlusssachen betreffen

               —

               dem Sicherheitsbüro des Generalsekretariats des Rates und der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Kommission und gegebenenfalls mit den für Sicherheit zuständigen Abteilungen anderer EU-Organe, -Einrichtungen und –Agenturen.

               —

               den für Sicherheit zuständigen Verwaltungsstellen von Drittstaaten und internationalen Organisationen, im Hinblick auf eine nutzbringende Koordinierung und

               —

               den nationalen Sicherheitsbehörden der Mitgliedstaaten, bei allen Fragen die den Schutz von EU-VS betreffen.

         1.   Jeder Leiter einer Delegation der Union ist vor Ort für die Durchführung und Organisation sämtlicher Maßnahmen zum Schutz der Sicherheitsinteressen des EAD innerhalb der Räumlichkeiten und Zuständigkeiten der Delegation der Union verantwortlich.
   In Abstimmung mit den zuständigen Behörden des Gastlandes unternimmt er alle nach vernünftigem Ermessen zumutbaren Anstrengungen, um zu gewährleisten, dass zur Verwirklichung dieses Ziels angemessene physische und organisatorische Maßnahmen getroffen werden
   Der Delegationsleiter legt unter Berücksichtigung von Verwaltungsvereinbarungen nach Artikel 3 Absatz 3 Sicherheitsverfahren für den Schutz von Angehörigen im Sinne von Artikel 2 Buchstabe c fest. Der Delegationsleiter erstattet dem Leiter der Direktion Sicherheit des EAD jährlich Bericht über alle sicherheitsrelevanten Fragen, die in seinen Zuständigkeitsbereich fallen.
   Er wird bei diesen Aufgaben durch die Direktion „Sicherheit“ des EAD, durch das speziell für diese Aufgaben und Funktionen vorgesehene Personal des EAD in der Delegation und, wo dies erforderlich ist, durch hierfür abgestelltes Sicherheitspersonal unterstützt.
   2.   Außerdem übernimmt der Leiter der Delegation folgende Aufgaben:

               —

               Aufstellung detaillierter Sicherheits- und Notfallpläne anhand allgemeiner Standardarbeitsanweisungen

               —

               Einsatz eines rund um die Uhr einsatzbereiten Systems für das Management von Sicherheitszwischenfällen und Notfällen im Rahmen des Tätigkeitsbereichs der Delegation.

               —

               Gewährleistung eines an die Bedingungen in dem Gebiet angepassten Versicherungsschutzes des gesamten in der Delegation eingesetzten Personals.

               —

               Gewährleistung der Einbeziehung des Sicherheitsaspekts in das Einführungstraining, das alle in der Delegation eingesetzten Mitarbeiter vor oder bei dem Dienstantritt in der Delegation erhalten. und

               —

               Gewährleistung der Umsetzung aller Empfehlungen, die aus Sicherheitsbewertungen hervorgehen und regelmäßige schriftliche Berichterstattung darüber sowie über andere Sicherheitsfragen an die Sicherheitsbehörde des EAD.

         3.   Der Leiter der Delegation, der weiterhin für die Gewährleistung des Sicherheitsmanagements sowie der Resilienz der Dienststelle verantwortlich und rechenschaftspflichtig bleibt, kann dem Sicherheitskoordinator der Delegation als stellvertretendem Delegationsleiter oder, wenn kein Koordinator ernannt wurde, einer geeigneten anderen Person, die Wahrnehmung seiner sicherheitsrelevanten Aufgaben übertragen.
   Insbesondere folgende Aufgaben können dem Sicherheitskoordinator der Delegation übertragen werden:

               —

               Aufnahme von Kontakten zu den zuständigen Behörden des Gastlandes und den entsprechenden Stellen in den Botschaften und diplomatischen Vertretungen der Mitgliedstaaten.

               —

               Umsetzung geeigneter Verfahren für das Sicherheitsmanagement zum Schutz der Sicherheitsinteressen des EAD einschließlich des Schutzes von EU-VS.

               —

               Unterrichtung des Personals über die für das Personal geltenden Sicherheitsvorschriften und im Gastland bestehende spezifische Risiken;

               —

               Beantragung einer Sicherheitsermächtigung bei der Direktion Sicherheit des EAD für Dienstposten, für die eine solche Ermächtigung erforderlich ist, und

               —

               regelmäßige Unterrichtung des Delegationsleiters, des regionalen Sicherheitsbeauftragten und der Direktion Sicherheit des EAD über Zwischenfälle oder Entwicklungen in dem Gebiet, die sich auf den Schutz der Sicherheitsinteressen des EAD auswirken können.

         4.   Der Delegationsleiter kann administrative oder technische Sicherheitsaufgaben auf den Leiter der Verwaltung und andere Mitarbeiter in der Delegation übertragen.
   5.   Die Delegation der Union wird von einem regionalen Sicherheitsbeauftragten unterstützt. Jeder regionale Sicherheitsbeauftragte erfüllt die nachstehend aufgeführten Aufgaben in einer Delegation im Rahmen ihres jeweiligen geografischen Zuständigkeitsbereichs.
   Wenn es die vorherrschende Sicherheitslage erfordert, kann unter bestimmten Umständen ein regionaler Sicherheitsbeauftragter auch dauerhaft auf Vollzeitbasis für eine spezifische Delegation abgestellt werden.
   Es kann erforderlich sein, dass ein regionaler Sicherheitsbeauftragter außerhalb seines derzeitigen Zuständigkeitsbereichs versetzt wird, dies schließt auch die Zentrale in Brüssel ein, oder auf Anweisung der Direktion Sicherheit des EAD nach Maßgabe der Sicherheitslage in einem Land dort seine Funktion dauerhaft ausübt.
   6.   Der regionale Sicherheitsbeauftragte untersteht zwar hierarchisch direkt der Kontrolle der Direktion Sicherheit des EAD aber funktional und administrativ direkt dem zuständigen Delegationsleiter. Der regionale Sicherheitsbeauftragte unterstützt den Delegationsleiter und das Delegationspersonal bei der Anordnung und Durchführung aller objekt-, organisations- und verfahrensbezogenen Maßnahmen zur Gewährleistung der Sicherheit aller Delegationsmitarbeiter ungeachtet ihrer dienstrechtlichen Herkunft.
   7.   Der regionale Sicherheitsbeauftragte berät und unterstützt den Delegationsleiter und das Personal der Delegation. Gegebenenfalls und insbesondere wenn ein regionaler Sicherheitsbeauftragter dauerhaft auf Vollzeitbasis tätig ist, kann er eine Delegation bei Sicherheitsmanagement und Sicherheitsimplementierung unterstützen, was auch die Vorbereitung von sicherheitsspezifischen Verträgen sowie die Verwaltung von Akkreditierungen und Sicherheitsüberprüfungen einschließt.
   Artikel 13
   GSVP-Operationen und EU-Sonderbeauftragte
   In Ergänzung der spezifischen Vorschriften in den vom Rat angenommenen einschlägigen Strategien, unterstützt und berät die Direktion Sicherheit des EAD den Direktor der Direktion Krisenbewältigung und Planung (CMPD), den Generaldirektor des Militärstabs der EU, den Zivilen Operationskommandeur, der den Zivilen Planungs- und Durchführungsstab leitet und die Kommandeure von militärischen Operationen der EU bei sicherheitsrelevanten Aspekten von GSVP-Operationen und die EU-Sonderbeauftragten bei sicherheitsbezogenen Aspekten ihrer Mandate.
   Artikel 14
   Sicherheitsausschuss des EAD
   1.   Es wird ein EAD-Sicherheitsausschuss eingesetzt.
   Den Vorsitz führt der Chief Operating Officer oder eine von ihm beauftragte Person; der Ausschuss tritt auf Anweisung des Vorsitzes oder auf Antrag eines seiner Mitglieder zusammen. Die Direktion Sicherheit des EAD wird den Vorsitz bei der Wahrnehmung seiner Aufgaben unterstützen und gegebenenfalls administrative Hilfe bei den Ausschussarbeiten leisten.
   2.   Der EAD-Sicherheitsausschuss setzt sich zusammen aus Vertretern

               —

               jedes Mitgliedstaates

               —

               des Sicherheitsbüros des Generalsekretariats des Rates

               —

               der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Europäischen Kommission

         Einer Delegation eines Mitgliedstaates für den EAD-Sicherheitsausschuss können als Mitglieder angehören

               —

               Vertreter der nationalen Sicherheitsbehörde und/der beauftragten Sicherheitsbehörde

               —

               Vertreter der für Sicherheit zuständigen Abteilungen des Außenministeriums.

         3.   Die dem Ausschuss angehörenden Vertreter können sich von Sachverständigen begleiten und beraten lassen, wenn sie dies für notwendig erachten. Vertreter anderer Organe, Agenturen und Einrichtungen der EU können eingeladen werden, wenn Fragen erörtert werden, die sie betreffen.
   4.   Unbeschadet des Absatzes 5 unterstützt der EAD-Sicherheitsausschuss den EAD im Rahmen von Konsultationen bei allen für die Aktivitäten des EAD, die Zentrale und die Delegationen der Union relevanten Sicherheitsfragen.
   Unbeschadet des Absatzes 5 wird der EAD-Sicherheitsausschuss insbesondere

               a)

               zu folgenden Fragen konsultiert:

                           —

                           Sicherheitsstrategien, Leitlinien, Konzepte oder andere Dokumente über sicherheitsrelevante Methoden, insbesondere für den Schutz von Verschlusssachen und Maßnahmen, die im Falle einer Missachtung der Sicherheitsvorschriften durch das Personal des EAD zur ergreifen sind;

                           —

                           Aspekte, die die technische Sicherheit betreffen und den Beschluss des Hohen Vertreters, eine Empfehlung zur Aufnahme von Verhandlungen über Geheimschutzabkommen nach Anhang A Artikel 10 Absatz 1 Buchstabe a an den Rat zu richten, beeinflussen könnten

                           —

                           alle Änderungen dieses Beschlusses.

               b)

               unbeschadet des Artikels 3 Absatz 3 zu Fragen, die die Sicherheit von Personal und Vermögenswerten in der EAD-Zentrale und den Delegationen der Union betreffen, konsultiert oder darüber unterrichtet;

               c)

               über alle Fälle von Kenntnisnahme durch Unbefugte oder den Verlust von EU-VS innerhalb des EAD unterrichtet.

         5.   Für alle Änderungen der den Schutz von EU-VS betreffenden Vorschriften dieses Beschlusses und seines Anhangs A muss eine einhellig befürwortende Stellungnahme der im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten eingeholt werden. Eine solche einhellig befürwortende Stellungnahme ist auch erforderlich für

               —

               die Aufnahme von Verhandlungen über Verwaltungsvereinbarungen nach Anhang A Artikel 10 Absatz 1 Buchstabe b;

               —

               Die Weitergabe von Verschlusssachen in den besonderen Ausnahmefällen nach Anhang A VI Absätze 9, 11 und 12.

               —

               das Treffen der Entscheidung an der Stelle des Herausgebers der Verschlusssachen unter den in Anhang A Artikel 10 Absatz 4 letzter Satz genannten Umständen.

         Eine einhellig befürwortende Stellungnahme gilt als erteilt, wenn während der Ausschussberatungen keine Einsprüche von den Delegationen der Mitgliedstaaten erhoben werden.
   6.   Der Sicherheitsausschuss des EAD berücksichtigt in vollem Umfang die geltenden Sicherheitskonzepte und Leitlinien des Rates und der Kommission.
   7.   Der Sicherheitsausschuss des EAD erhält jährlich eine Liste der EAD-Inspektionen sowie die endgültigen Inspektionsberichte.
   8.   Organisation von Sitzungen:

               —

               Der Sicherheitsausschuss tritt mindestens zweimal jährlich zusammen. Auf Initiative des Vorsitzes oder auf Antrag der Ausschussmitglieder können zusätzliche Sitzungen mit allen Mitgliedern oder im Rahmen der nationalen Sicherheitsbehörden/beauftragten Sicherheitsbehörden oder der für Sicherheit zuständigen Abteilungen des Außenministeriums einberufen werden.

               —

               Der Sicherheitsausschuss des EAD organisiert seine Tätigkeit so, dass er Empfehlungen zu spezifischen Sicherheitsfragen geben kann. Er kann bei Bedarf weitere Fachuntergruppen einrichten. Er legt das Mandat für diese Fachuntergruppen fest und erhält von diesen Berichte über ihre Tätigkeiten.

               —

               Die Direktion Sicherheit des EAD ist für die Vorbereitung der zu erörternden Themen zuständig. Der Vorsitz stellt für jede Sitzung eine vorläufige Tagesordnung auf. Die Mitglieder des Ausschusses können weitere Diskussionspunkte vorschlagen.

         Artikel 15
   Sicherheitsinspektionen
   1.   Die Sicherheitsbehörde des EAD gewährleistet, dass in der Zentrale des EAD und in den Delegationen der Union regelmäßig Sicherheitsinspektionen durchgeführt werden, um überprüfen, ob die Sicherheitsmaßnahmen angemessen sind und mit diesem Beschluss im Einklang stehen. Die Direktion Sicherheit des EAD kann gegebenenfalls Experten für die Beteiligung an Sicherheitsinspektionen in den nach Titel V Kapitel 2 EUV geschaffenen Agenturen und Einrichtungen der EU benennen.
   2.   Die Sicherheitsinspektionen des EAD werden unter der Verantwortung der Direktion Sicherheit des EAD und gegebenenfalls mit Unterstützung von Sicherheitsexperten anderer Organe der EU oder der Mitgliedstaaten durchgeführt, insbesondere im Rahmen der Vereinbarungen nach Artikel 3 Absatz 3.
   3.   Der EAD kann gegebenenfalls auf einschlägige Fachkenntnisse in den Mitgliedstaaten, dem Generalsekretariat des Rates und der Europäischen Kommission zurückgreifen.
   Sofern erforderlich, können Sicherheitsexperten, die sich im Rahmen von Missionen der Mitgliedstaaten in einem Drittland aufhalten und/oder Vertreter der diplomatischen Sicherheitsdienste der Mitgliedstaaten zur Teilnahme an der Sicherheitsinspektion einer Delegation der Union aufgefordert werden.
   4.   Die Bestimmungen zur Anwendung dieses Artikels im Hinblick auf den Schutz von EU-VS sind in Anhang A III aufgeführt.
   Artikel 16
   Bewertungsbesuche
   Bewertungsbesuche werden durchgeführt, um die Wirksamkeit der Sicherheitsvorkehrungen zu überprüfen, die zum Schutz von im Rahmen einer Verwaltungsvereinbarung nach Anhang A Artikel 10 Absatz 1 Buchstabe b ausgetauschten EU-VS in einem Drittstaat oder einer internationalen Organisation getroffen werden.
   Die Direktion Sicherheit des EAD kann Experten für die Beteiligung an Bewertungsbesuchen in Drittstaaten oder internationalen Organisationen benennen, mit denen die EU ein Geheimschutzabkommen nach Anhang A Artikel 10 Absatz 1 Buchstabe a geschlossen hat.
   Artikel 17
   Notfallplanung
   Die Direktion Sicherheit des EAD unterstützt den Chief Operating Officer beim Management sicherheitsbezogener Aspekte der Prozesse im Rahmen der allgemeinen Notfallplanung des EAD.
   Artikel 18
   Reisehinweise für Missionen außerhalb der EU
   Die Direktion Sicherheit des EAD gewährleistet, dass für Missionen, die das dem EAD unterstehende Personal außerhalb der EU auszuführen hat, Reisehinweise zur Verfügung stehen und greift dabei auf die Ressourcen aller zuständigen Dienste des EAD zurück, insbesondere des Lagezentrums, des IntCen, der geografischen Abteilungen und der Delegationen der Union
   Die Direktion „Sicherheit“ des EAD stellt auf Antrag und unter Nutzung der genannten Ressourcen spezifischen Reisehinweise für Missionen zur Verfügung, die das dem EAD unterstehende Personal in Drittstaaten mit hohem oder erhöhtem Sicherheitsrisiko auszuführen hat.
   Artikel 19
   Gesundheit und Sicherheit
   Die Sicherheitsvorschriften des EAD ergänzen die Vorschriften für die Sicherheit und den Gesundheitsschutz, die vom Hohen Vertreter angenommen wurden.
   Artikel 20
   Umsetzung und Überprüfung
   1.   In enger Zusammenarbeit mit den zuständigen Sicherheitsbehörden der Mitgliedstaaten und mit Unterstützung der einschlägigen Dienststellen der EU-Organe legt die Sicherheitsbehörde des EAD, gegebenenfalls nach Konsultation des Sicherheitsausschusses des EAD, Sicherheitskonzepte und Leitlinien mit allen erforderlichen Maßnahmen zur Anwendung dieser Vorschriften im EAD fest und schafft in Bezug auf alle Aspekte der Sicherheit die erforderlichen Kapazitäten.
   2.   Nach Artikel 4 Absatz 5 des Beschlusses 2010/427/EU des Rates vom 26. Juli 2010 über die Organisation und die Arbeitsweise des Europäischen Auswärtigen Dienstes können erforderlichenfalls Übergangsregelungen in Form von Dienstleistungsvereinbarungen mit den einschlägigen Dienststellen des Generalsekretariats des Rates und der Kommission zur Anwendung kommen.
   3.   Der Hohe Vertreter stellt die insgesamt übereinstimmende Anwendung dieses Beschlusses sicher und überprüft regelmäßig die Sicherheitsvorschriften.
   4.   Die Sicherheitsvorschriften des EAD werden in enger Zusammenarbeit mit den zuständigen Sicherheitsbehörden der Mitgliedstaaten, dem Sicherheitsbüro des Generalsekretariats des Rates und der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Europäischen Kommission umgesetzt.
   5.   Der EAD gewährleistet, dass im Rahmen des Krisenreaktionssystems des EAD allen Aspekten des Sicherheitsprozesses Rechnung getragen wird.
   6.   Der Chief Operating Officer als Sicherheitsbehörde und der Leiter der Direktion Sicherheit des EAD sorgen für die Durchführung dieses Beschlusses.
   Artikel 21
   Ersetzung bisheriger Beschlüsse
   1.   Der Beschluss der Hohen Vertreterin der Union für Außen- und Sicherheitspolitik vom 15. Juni 2011 über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst (3) wird durch den vorliegenden Beschluss aufgehoben und ersetzt.
   2.   Der Beschluss der Hohen Vertreterin der Union für Außen- und Sicherheitspolitik vom 23. Februar 2011 über Benennung und Aufgaben der beauftragten Sicherheitsbehörde des Europäischen Auswärtigen Dienstes wird durch den vorliegenden Beschluss aufgehoben.
   Artikel 22
   Schlussbestimmungen
   Dieser Beschluss tritt am Tage seiner Unterzeichnung in Kraft.
   Der Beschluss wird im Amtsblatt der Europäischen Union veröffentlicht

      Die zuständigen Stellen im EAD werden das gesamte Personal, das unter den Geltungsbereich dieses Beschlusses und seiner Anhänge fällt, rechtzeitig und ordnungsgemäß über dessen Inhalt, Inkrafttreten und nachfolgende Änderungen unterrichten.
      Geschehen zu Brüssel am 19. April 2013.

            Hohe Vertreterin

         C. ASHTON

      (1)  ABl. L 201 vom 3.8.2010, S. 30.

      (2)  ABl. C 304 vom 15.10.2011, S. 5.

      (3)  ABl. C 304 vom 15.10.2011, S. 5.

      ANHANG A

         GRUNDPRINZIPIEN UND STANDARDS FÜR DEN SCHUTZ VON EU-VS

      Artikel 1
      Gegenstand, Anwendungsbereich und Begriffsbestimmungen
      1.   In diesem Anhang sind die Grundprinzipien und Mindeststandards für die Sicherheit in Bezug auf den Schutz von EU-VS festgelegt.
      2.   Diese Grundprinzipien und Mindeststandards gelten für den EAD und das dem EAD unterstehende, in den Artikeln 1 und 2 aufgeführte und definierte Personal
      Artikel 2
      Begriffsbestimmung für EU-VS, Geheimhaltungsgrade und Kennzeichnungen
      1.   „EU-Verschlusssachen“ ("EU-VS") sind alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte.
      2.   EU-VS werden in einen der folgenden Geheimhaltungsgrade eingestuft:

                  a)

                  TRÈS SECRET UE / EU TOP SECRET Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer der Mitgliedstaaten äußerst schweren Schaden zufügen könnte;

                  b)

                  SECRET UE/EU SECRET: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer der Mitgliedstaaten schweren Schaden zufügen könnte;

                  c)

                  CONFIDENTIEL UE/EU CONFIDENTIAL: Informationen und Materialien, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer der Mitgliedstaaten Schaden zufügen könnte;

                  d)

                  RESTREINT UE/EU RESTRICTED: Informationen und Materialien, deren unbefugte Weitergabe für die wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten nachteilig sein könnte.

            3.   EU-VS werden mit einem Geheimhaltungsgrad gemäß Absatz 2 gekennzeichnet. Sie können zusätzliche Kennzeichnungen tragen, mit denen der Tätigkeitsbereich, auf den sie sich beziehen, angegeben, der Herausgeber benannt, die Verteilung begrenzt, die Verwendung eingeschränkt oder die Möglichkeit zur Weitergabe ausgewiesen wird.
      Artikel 3
      Regeln für die Einstufung als Verschlusssache
      1.   Der EAD gewährleistet, dass EU-VS angemessen eingestuft werden, deutlich als Verschlusssache gekennzeichnet sind und den jeweiligen Geheimhaltungsgrad nur so lange behalten, wie es erforderlich ist.
      2.   Der Geheimhaltungsgrad von EU-VS darf ohne vorherige schriftliche Zustimmung des Herausgebers weder herabgestuft noch aufgehoben werden; das Gleiche gilt für die Veränderung oder Entfernung der in Artikel 2 Absatz 3 genannten Kennzeichnungen.
      3.   Die Sicherheitsbehörde des EAD legt nach Konsultation des Sicherheitsausschusses nach Artikel 14 Absatz 5 ein Sicherheitskonzept für die Erstellung von EU-VS fest, das einen praktischen Einstufungsleitfaden für Verschlusssachen umfasst.
      Artikel 4
      Schutz von Verschlusssachen
      1.   EU-VS werden gemäß diesem Beschluss geschützt.
      2.   Der Besitzer jedweder EU-VS ist dafür verantwortlich, diese gemäß diesem Beschluss zu schützen.
      3.   Gibt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze der Europäischen Union, so schützen der Rat und das Generalsekretariat des Rates diese Verschlusssachen nach den Anforderungen, die für EU-VS der entsprechenden Geheimhaltungsstufe gemäß der Entsprechungstabelle der Geheimhaltungsgrade in Anlage B des Beschlusses 2011/292/EU des Rates vom 31. März 2011 über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen gelten.
      Der EAD legt geeignete Verfahren fest, um genaue Aufzeichnungen zu führen über den Herausgeber

                  —

                  von Verschlusssachen, die der EAD erhält, und

                  —

                  des Ausgangsmaterials, das in vom EAD stammenden Verschlusssachen enthalten ist.

            Der EAD-Sicherheitsausschuss wird über diese Verfahren unterrichtet.
      4.   Große Mengen an EU-VS oder eine Zusammenstellung von EU-VS können ein Schutzniveau erfordern, das einem höheren Geheimhaltungsgrad als dem der einzelnen Bestandteile entspricht.
      Artikel 5
      Personeller Geheimschutz bei der Bearbeitung von EU-Verschlusssachen
      1.   Der personelle Geheimschutz beinhaltet die Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die

                  —

                  Kenntnis von EU-VS haben müssen,

                  —

                  für den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen über eine Sicherheitsermächtigung für den entsprechenden Geheimhaltungsgrad verfügt oder auf andere Weise aufgrund ihrer Tätigkeit nach Maßgabe der innerstaatlichen Rechtsvorschriften ordnungsgemäß befugt sind und

                  —

                  über ihre Verantwortlichkeiten belehrt worden sind.

            2.   Die Verfahren für die Sicherheitsüberprüfung des Personals dienen der Feststellung, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann.
      3.   Jede Person wird über ihre Verantwortlichkeiten zum Schutz von EU-VS nach Maßgabe dieses Beschlusses belehrt und erkennt diese schriftlich an, bevor ihr Zugang zu EU-VS gewährt wird; eine solche Belehrung bzw. Anerkennung erfolgt auch später in regelmäßigen Abständen.
      4.   Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A I enthalten.
      Artikel 6
      Materieller Geheimschutz für EU-Verschlusssachen
      1.   Der materielle Geheimschutz beinhaltet die Anwendung von materiellen und technischen Schutzmaßnahmen zur Verhinderung des unbefugten Zugangs zu EU-VS.
      2.   Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, das heimliche oder gewaltsame Eindringen unbefugter Personen zu verhindern, von unbefugten Handlungen abzuschrecken bzw. diese zu verhindern und aufzudecken und beim Zugang von Personal zu EU-VS eine Differenzierung nach dem Grundsatz „Kenntnis nur, wenn nötig“ zu ermöglichen. Diese Maßnahmen werden auf der Grundlage eines Risikomanagementprozesses festgelegt.
      3.   Die Maßnahmen des materiellen Geheimschutzes werden für alle Gebäude, Büros, Räume und sonstigen Bereiche, in denen EU-VS bearbeitet bzw. aufbewahrt werden, getroffen, einschließlich Bereichen, in denen Kommunikations- und Informationssysteme gemäß Artikel 8 Absatz 2 untergebracht sind.
      4.   Die Bereiche, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte EU-VS aufbewahrt werden, werden als abgesicherte Bereiche nach Anhang II eingerichtet und von der Sicherheitsbehörde des EAD genehmigt.
      5.   Zum Schutz von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS werden ausschließlich zugelassene Ausrüstungen oder Geräte verwendet.
      6.   Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A II enthalten.
      Artikel 7
      Verwaltung von Verschlusssachen
      1.   Die Verwaltung von Verschlusssachen beinhaltet die Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 5, 6 und 8 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern oder festzustellen und entsprechende Maßnahmen zur Wiederherstellung der Sicherheit zu treffen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Beförderung, die Bearbeitung, die Aufbewahrung und die Vernichtung von EU-VS.
      2.   Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen werden zu Sicherheitszwecken vor der Weiterleitung und bei Empfang registriert. Zu diesem Zweck richten die zuständigen Stellen im EAD ein Registersystem ein. Als „TRES SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen werden in eigens dafür bestimmten Registraturen vereinnahmt.
      3.   In Dienststellen und Räumlichkeiten, in denen EU-VS bearbeitet oder aufbewahrt werden, sind regelmäßig Inspektionen durch die Sicherheitsbehörde des EAD durchzuführen.
      4.   EU-VS werden zwischen Dienststellen und Räumlichkeiten außerhalb von physisch geschützten Bereichen wie folgt befördert:

                  a)

                  In der Regel werden EU-VS elektronisch übermittelt und dabei durch kryptografische Produkte geschützt, die nach Artikel 7 Absatz 5 dieses Beschlusses und anhand klar definierter Sicherheitsbetriebsverfahren zugelassen wurden;

                  b)

                  wenn die unter Buchstabe a genannten Mittel nicht verwendet werden, erfolgt die Beförderung von EU-VS entweder

                              i)

                              auf elektronischen Datenträgern (z. B. USB-Sticks, CDs, Festplattenlaufwerken), die durch kryptografische Produkte geschützt sind, die nach Artikel 7 Absatz 5 zugelassen wurden, oder

                              ii)

                              in allen anderen Fällen gemäß den Vorschriften der zuständigen Sicherheitsbehörde des EAD im Einklang mit den einschlägigen Schutzmaßnahmen von Anhang A III Abschnitt V.

            5.   Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A III enthalten.
      Artikel 8
      Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden
      1.   Informationssicherung im Bereich von Kommunikations- und Informationssystemen beinhaltet das Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Risikomanagementprozess.
      2.   Ein „Kommunikations- und Informationssystem“ ist ein System, das die Bearbeitung von Informationen in elektronischer Form ermöglicht. Zu einem Kommunikations- und Informationssystem gehören sämtliche für seinen Betrieb benötigten Voraussetzungen, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen. Dieser Beschluss gilt für diese Systeme, mit denen EU-VS bearbeitet werden.
      3.   In Kommunikations- und Informationssystemen werden EU-VS gemäß dem Konzept der Informationssicherung bearbeitet.
      4.   Alle Kommunikations- und Informationssysteme, in denen EU-VS bearbeitet werden, werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der EU-VS und des Kommunikations- und Informationssystems gemäß diesem Beschluss erreicht wird. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in dem Kommunikations- und Informationssystem bearbeitet werden dürfen.
      5.   Kommunikations- und Informationssysteme, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen bearbeitet werden, werden so geschützt, dass von Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“).
      6.   Wird der Schutz von EU-VS mit kryptografischen Produkten sichergestellt, so sind diese Produkte nach Artikel 7 Absatz 5 zuzulassen.
      7.   Bei der Übermittlung von EU-VS auf elektronischem Wege werden zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen spezielle Verfahren oder spezielle technische Konfigurationen nach Maßgabe des Anhangs A IV angewendet werden.
      8.   Nach Artikel 7 Absatz 6 werden die nachstehenden Funktionen für Informationssicherung geschaffen:

                  a)

                  eine Stelle für Informationssicherung (IAA)

                  b)

                  eine TEMPEST-Stelle (TA)

                  c)

                  eine Krypto-Zulassungsstelle (CAA)

                  d)

                  eine Krypto-Verteilungsstelle (CDA)

            9.   Nach Artikel 7 Absatz 7 wird für jedes System Folgendes eingerichtet:

                  a)

                  eine Sicherheits-Akkreditierungsstelle (SAA)

                  b)

                  eine für den Betrieb zuständige Stelle für Informationssicherung

            10.   Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A IV enthalten.
      Artikel 9
      Geheimschutz in der Wirtschaft
      1.   Der Geheimschutz in der Wirtschaft beinhaltet die Anwendung von Maßnahmen, die darauf abzielen, den Schutz von EU-VS durch Auftragnehmer oder Subauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der gesamten Laufzeit des als Verschlusssache eingestuften Auftrags zu gewährleisten. Grundsätzlich beinhalten diese Aufträge nicht den Zugang zu als „TRES SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen.
      2.   Der EAD kann industrielle oder andere Unternehmen, die in einem Mitgliedstaat oder in einem Drittstaat, mit dem ein Geheimschutzabkommen oder eine Verwaltungsvereinbarung nach Anhang A Artikel 10 Absatz 1 geschlossen wurde, eingetragen sind, vertraglich mit Aufträgen betrauen, die den Zugang zu oder die Bearbeitung oder Aufbewahrung von EU-VS beinhalten oder nach sich ziehen.
      3.   Der EAD trägt als Vergabebehörde dafür Sorge, dass die in diesem Beschluss festgelegten und in dem Vertrag genannten Mindeststandards für den gewerblichen Geheimschutz eingehalten werden, wenn als Verschlusssache eingestufte Aufträge von ihm an gewerbliche oder andere Einrichtungen vergeben werden. Er sorgt für die Einhaltung dieser Mindeststandards durch die jeweilige nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde.
      4.   In einem Mitgliedstaat eingetragene Auftragnehmer und Unterauftragnehmer, die an als Verschlusssache eingestuften Aufträgen oder Unteraufträgen beteiligt sind, die entweder bei der Ausführung dieser Aufträge oder bei den Verhandlungen vor der Auftragsvergabe den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuften Verschlusssachen in ihren Räumlichkeiten erfordern, müssen im Besitz eines von der nationalen Sicherheitsbehörde, der Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde erteilten Sicherheitsbescheids für Unternehmen der entsprechenden Geheimhaltungsstufe sein.
      5.   Das Personal des Auftragnehmers oder Unterauftragnehmers, das zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ erhalten muss, muss im Besitz eines von der jeweiligen nationalen Sicherheitsbehörde, der Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde gemäß den innerstaatlichen Rechtsvorschriften und den Mindeststandards in Anhang A I erteilten Sicherheitsbescheids sein.
      6.   Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A V enthalten.
      Artikel 10
      Austausch von Verschlusssachen mit Drittstaaten und internationalen Organisationen
      1.   Der EAD kann EU-VS nur mit einem Drittstaat oder einer internationalen Organisation austauschen, wenn

                  a)

                  ein im Einklang mit Artikel 37 EUV und Artikel 218 AEUV geschlossenes Geheimschutzabkommen zwischen der EU und diesem Drittstaat oder dieser internationalen Organisation oder

                  b)

                  eine nach dem Verfahren des Artikels 14 Absatz 5 dieses Beschlusses geschlossene Verwaltungsvereinbarung zwischen dem HV und den zuständigen Sicherheitsstellen dieses Drittstaats oder dieser internationalen Organisation über den Austausch von Verschlusssachen, die grundsätzlich nicht höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind, oder

                  c)

                  ein im Kontext einer GSVP-Krisenbewältigungsoperation zwischen der EU und diesem Drittstaat oder dieser internationalen Organisation nach Artikel 37 EUV und Artikel 218 AEUV geschlossenes Rahmen- oder Ad-hoc-Abkommen über eine Beteiligung

            in Kraft ist und die darin festgelegten Bedingungen erfüllt sind.
      Ausnahmen zu dieser allgemeinen Regel sind in Anhang A VI Abschnitt V enthalten.
      2.   Verwaltungsvereinbarungen nach Absatz 1 Buchstabe b enthalten Bestimmungen, mit denen sichergestellt wird, dass EU-VS nach Entgegennahme durch Drittstaaten oder internationale Organisationen in einer ihrem Geheimhaltungsgrad angemessenen Weise nach Maßgabe von Mindeststandards geschützt werden, die zumindest den in diesem Beschluss festgelegten Mindeststandards entsprechen.
      Verschlusssachen, die auf der Grundlage der in Absatz 1 Buchstabe c genannten Vereinbarungen ausgetauscht werden, beschränken sich auf solche, die GSVP-Operationen betreffen, an denen sich der jeweilige Drittstaat auf der Grundlage dieser Vereinbarungen und nach Maßgabe ihrer Bestimmungen beteiligt.
      3.   Es werden nach Artikel 16 dieses Beschlusses Bewertungsbesuche in Drittstaaten bzw. bei internationalen Organisationen durchgeführt, um die Wirksamkeit der zum Schutz von EU-VS getroffenen Sicherheitsvorkehrungen zu überprüfen.
      4.   Der Beschluss, EU-VS des EAD an einen Drittstaat oder eine internationale Organisation weiterzugeben, wird von Fall zu Fall nach Maßgabe von Art und Inhalt dieser Verschlusssachen, des Grundsatzes „Kenntnis nur, wenn nötig“ und der Vorteile für die EU gefasst.
      Der EAD holt die schriftliche Zustimmung etwaiger Stellen ein, die Verschlusssachen als Ausgangsmaterial für vom EAD stammende EU-VS bereitgestellt haben, um sicherzustellen, dass keine Einwände gegen die Weitergabe bestehen.
      Stammen die Verschlusssachen, um deren Weitergabe ersucht wird, nicht vom EAD, so holt der EAD zunächst die schriftliche Zustimmung des Herausgebers der Verschlusssachen ein.
      Kann der EAD den Herausgeber nicht ermitteln, so trifft der EAD an dessen Stelle die Entscheidung, nachdem er die einhellig befürwortende Stellungnahme der im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten eingeholt hat.
      5.   Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A VI enthalten.
      Artikel 11
      Verletzung der Sicherheit und Kenntnisnahme von Verschlusssachen durch Unbefugte
      1.   Eine Verletzung oder vermutete Verletzung der Sicherheit oder die Kenntnisnahme oder vermutete Kenntnisnahme von Verschlusssachen durch Unbefugte wird unverzüglich der Direktion Sicherheit des EAD gemeldet, die gegebenenfalls die Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Europäischen Kommission und das Sicherheitsbüro des Generalsekretariats des Rates, die betroffenen Mitgliedstaaten oder sonstige betroffene Stellen informiert.
      2.   Wird bekannt oder besteht berechtigter Grund zu der Annahme, dass Verschlusssachen Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, informiert die Direktion Sicherheit des EAD die Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Europäischen Kommission, das Sicherheitsbüro des Generalsekretariats des Rates oder die nationale Sicherheitsbehörde des betroffenen Mitgliedstaats oder sonstige betroffene Stellen und ergreift alle geeigneten Maßnahmen gemäß den jeweiligen Rechtsvorschriften, um

                  a)

                  den potenziellen Schaden für die Interessen der EU oder der Mitgliedstaaten einzuschätzen,

                  b)

                  die geeigneten Maßnahmen zu treffen, damit ein solcher Vorfall sich nicht wiederholt,

                  c)

                  Beweise zu sichern,

                  d)

                  sicherzustellen, dass der Fall zur Aufklärung des Sachverhalts von Personal untersucht wird, das von der Verletzung nicht unmittelbar betroffen ist,

                  e)

                  die zuständigen Stellen über die Auswirkungen des Vorfalls und die getroffenen Maßnahmen zu unterrichten und

                  f)

                  den Herausgeber zu verständigen.

            3.   Gegen jedes Mitglied des Personals, das dem EAD untersteht und für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften und Regelungen ergriffen werden.
      Gegen jede Person, die für den Verlust oder die Kenntnisnahme von Verschlusssachen durch Unbefugte verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften und Regelungen ergriffen werden.
      Die Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Europäischen Kommission, das Sicherheitsbüro des Generalsekretariats des Rates, die nationale Sicherheitsbehörde des betroffenen Mitgliedstaats oder sonstige betroffene Stellen werden gegebenenfalls unverzüglich informiert.
      4.   Während der Untersuchung einer Verletzung der Sicherheit und/oder einer unbefugten Kenntnisnahme von Verschlusssachen kann der Leiter der Direktion Sicherheit des EAD den Zugang der betreffenden Person zu EU-VS und zu den Räumlichkeiten des EAD aussetzen. Die Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Europäischen Kommission, das Sicherheitsbüro des Generalsekretariats des Rates, die nationale Sicherheitsbehörde des betroffenen Mitgliedstaats oder sonstige betroffene Stellen werden von einem solchen Beschluss unverzüglich informiert.

      ANHANG A I

         PERSONELLER GEHEIMSCHUTZ

      I.   EINLEITUNG

                  1.

                  Dieser Anhang enthält Vorschriften zur Anwendung von Anhang A Artikel 5. Er legt insbesondere die Kriterien fest, anhand deren der EAD feststellt, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann, sowie die hierzu anzuwendenden Untersuchungs- und Verwaltungsverfahren.

                  2.

                  Die „Sicherheitsermächtigung“ mit Blick auf den Zugang zu EU-VS ist eine Erklärung einer zuständigen Behörde eines Mitgliedstaats, die nach Abschluss einer Sicherheitsüberprüfung durch die zuständigen Behörden eines Mitgliedstaats abgegeben wird und bescheinigt, dass einer Person, die nachweislich Kenntnis von Verschlusssachen haben muss, bis zu einem bestimmten Datum und bis zu einem bestimmten Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) Zugang zu EU-VS gewährt werden kann; diese Person wird als „sicherheitsüberprüft“ bezeichnet.

                  3.

                  Die „Bescheinigung über die Sicherheitsermächtigung“ ist eine von der Sicherheitsbehörde des EAS ausgestellte Bescheinigung, die nachweist, dass eine Person sicherheitsüberprüft ist und Angaben zum Geheimhaltungsgrad der EU-VS, zu denen die Person Zugang haben darf, zur Gültigkeitsdauer der betreffenden Sicherheitsermächtigung und zum Ende der Gültigkeitsdauer der Bescheinigung selbst enthält.

                  4.

                  Die „Ermächtigung zum Zugang zu EU-VS“ ist eine Ermächtigung der Sicherheitsbehörde des EAD, die gemäß diesen Beschluss nach Abschluss einer Sicherheitsüberprüfung durch die zuständigen Behörden eines Mitgliedstaats erteilt wird und bescheinigt, dass einer Person, die nachweislich Kenntnis von Verschlusssachen haben muss, bis zu einem bestimmten Datum Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) gestattet werden kann; diese Person wird als „sicherheitsüberprüft“ bezeichnet.

            II.   ERMÄCHTIGUNG ZUM ZUGANG ZU EU-VS

                  5.

                  Der Zugang zu Verschlusssachen, die als „RESTREINT UE/EU RESTRICTED“ eingestuft sind, erfordert keine Sicherheitsermächtigung und wird gestattet, nachdem

                              a)

                              festgestellt wurde, dass die betreffende Person in einem arbeitsrechtlichen oder vertraglichen Verhältnis zum EAD steht,

                              b)

                              festgestellt wurde, dass die Person Kenntnis von Verschlusssachen haben muss,

                              c)

                              die Person über die Sicherheitsvorschriften und -verfahren für den Schutz von EU-VS belehrt wurde und ihre Verantwortlichkeiten hinsichtlich des Schutzes von EU-VS schriftlich anerkannt hat.

                  6.

                  Einer Person darf der Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen der EU erst dann gestattet werden, wenn

                              a)

                              festgestellt wurde, dass sie Kenntnis von Verschlusssachen haben muss,

                              b)

                              sie eine Sicherheitsermächtigung für den entsprechenden Geheimhaltungsgrad erhalten hat oder auf andere Weise aufgrund ihrer Tätigkeit nach Maßgabe der innerstaatlichen Rechtsvorschriften ordnungsgemäß befugt ist und

                              c)

                              sie über die Sicherheitsvorschriften und -verfahren für den Schutz von EU-VS belehrt wurde und ihre Verantwortlichkeiten hinsichtlich des Schutzes solcher Informationen schriftlich anerkannt hat.

                  7.

                  Der EAD bestimmt innerhalb seiner Strukturen die Dienstposten, für die ein Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen und somit eine Sicherheitsermächtigung für den entsprechenden Geheimhaltungsgrad gemäß Nummer 4 erforderlich ist.

                  8.

                  Die Bediensteten des EAD geben eine Erklärung darüber ab, ob sie die Staatsangehörigkeit mehrerer Länder besitzen.

         Verfahren zur Erteilung einer Sicherheitsermächtigung im EAD

                  9.

                  Für Beamte und sonstige Bedienstete des EAD sendet die Anstellungsbehörde des EAD den ausgefüllten Sicherheitsfragebogen an die nationale Sicherheitsbehörde des Mitgliedstaats, dessen Staatsangehörigkeit die betreffende Person besitzt, und beantragt die Durchführung einer Sicherheitsüberprüfung für den Geheimhaltungsgrad von EU-VS, zu denen die betreffende Person Zugang haben muss.

                  10.

                  Besitzt eine Person die Staatsangehörigkeit mehrerer Länder, wird die Sicherheitsüberprüfung bei der nationalen Sicherheitsbehörde des Landes beantragt, unter dessen Staatsangehörigkeit die Person eingestellt wurde.

                  11.

                  Werden dem EAD sicherheitserhebliche Informationen zu einer Person bekannt, die die Erteilung einer EU-Sicherheitsermächtigung beantragt hat, so teilt er dies der zuständigen nationalen Sicherheitsbehörde gemäß den einschlägigen Vorschriften mit.

                  12.

                  Nach Abschluss der Sicherheitsüberprüfung teilt die betreffende nationale Sicherheitsbehörde der Direktion Sicherheit des EAD das Ergebnis der Überprüfung mit.

                              a)

                              Führt das Ergebnis der Sicherheitsüberprüfung zu der Feststellung, dass über die betreffende Person keine nachteiligen Erkenntnisse vorliegen, die ihre Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit in Frage stellen, kann die Sicherheitsbehörde des EAD der betreffenden Person eine bis zu einem bestimmten Zeitpunkt gültige Ermächtigung zum Zugang zu EU-Verschlusssachen bis zu dem entsprechenden Geheimhaltungsgrad erteilen.

                              b)

                              Der EAD trifft sämtliche geeigneten Maßnahmen, um sicherzustellen, dass die von der nationalen Sicherheitsbehörde festgelegten Bedingungen oder Beschränkungen ordnungsgemäß angewendet werden. Die nationale Sicherheitsbehörde wird über das Ergebnis unterrichtet.

                              c)

                              Führt das Ergebnis der Sicherheitsüberprüfung nicht zu der oben genannten Feststellung, so setzt die Sicherheitsbehörde des EAD die betreffende Person davon in Kenntnis, die beantragen kann, von der Sicherheitsbehörde des EAD gehört zu werden. Die Sicherheitsbehörde des EAD kann die zuständige nationale Sicherheitsbehörde um weitere Erläuterungen bitten, die von dieser nach ihren innerstaatlichen Rechtsvorschriften vorgelegt werden können. Bei Bestätigung des Ergebnisses der Sicherheitsüberprüfung wird die Ermächtigung zum Zugang zu EU-VS nicht erteilt. In diesem Fall trifft der EAD sämtliche geeigneten Maßnahmen, um sicherzustellen, dass der Antragsteller keinen Zugang zu EU-VS erhält.

                  13.

                  Für die Sicherheitsüberprüfung und deren Ergebnisse, auf die sich der EAD bei seiner Entscheidung über die Erteilung einer Ermächtigung zum Zugang zu EU-VS stützt, gelten die einschlägigen Rechtsvorschriften des betreffenden Mitgliedstaats, einschließlich der Rechtsvorschriften für etwaige Rechtsbehelfe. Gegen Entscheidungen der Sicherheitsbehörde des EAD können Rechtsbehelfe gemäß dem Statut der Beamten der Europäischen Union und der Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union gemäß der Verordnung (EWG, Euratom, EGKS) Nr. 259/68 (1) (im Folgenden „Statut“) eingelegt werden.

                  14.

                  Die Feststellung, auf die sich eine Sicherheitsermächtigung stützt, erstreckt sich – solange diese gültig ist – auf alle Aufgaben, die die betreffende Person im EAD, im Generalsekretariat des Rates oder in der Kommission übernimmt.

                  15.

                  Nimmt eine Person innerhalb von 12 Monaten nach Mitteilung des Ergebnisses der Sicherheitsüberprüfung an die Sicherheitsbehörde des EAD ihren Dienst nicht auf oder unterbricht sie diesen für einen Zeitraum von 12 oder mehr Monaten, in dem sie nicht beim EAD, in anderen Organen, Agenturen oder Einrichtungen der EU oder bei einer nationalen Verwaltung eines Mitgliedstaats auf einem Dienstposten tätig ist, die den Zugang zu Verschlusssachen erfordert, so wird die zuständige nationale Sicherheitsbehörde mit diesem Ergebnis befasst, damit sie gegebenenfalls bestätigen kann, dass es weiterhin gültig und berechtigt ist.

                  16.

                  Werden dem EAD Informationen in Bezug auf ein Sicherheitsrisiko durch eine Person bekannt, die eine gültige Sicherheitsermächtigung besitzt, so teilt der EAD dies der zuständigen nationalen Sicherheitsbehörde gemäß den einschlägigen Vorschriften mit. Teilt eine nationale Sicherheitsbehörde dem EAD mit, dass eine gemäß Nummer 12 Buchstabe a erfolgte Feststellung in Bezug auf eine Person, die im Besitz einer gültigen Sicherheitsermächtigung für den Zugang zu EU-VS ist, zurückgenommen wurde, kann die Sicherheitsbehörde des EAD bei der nationalen Sicherheitsbehörde um alle weiteren Auskünfte nachsuchen, die diese nach ihren innerstaatlichen Rechtsvorschriften erteilen darf. Bei Bestätigung der nachteiligen Erkenntnisse wird die vorgenannte Sicherheitsermächtigung entzogen und die betreffende Person vom Zugang zu EU-VS und von Dienstposten, auf denen sie sich Zugang zu EU-VS verschaffen kann oder auf denen sie ein Sicherheitsrisiko darstellen könnte, ausgeschlossen.

                  17.

                  Jede Entscheidung, einem Beamten oder sonstigen Bediensteten des EAD die Sicherheitsermächtigung für den Zugang zu EU-VS zu entziehen, und gegebenenfalls die dafür maßgeblichen Gründe werden der betreffenden Person mitgeteilt, die beantragen kann, von der Sicherheitsbehörde des EAD gehört zu werden. Für die von einer nationalen Sicherheitsbehörde zur Verfügung gestellten Informationen gelten die einschlägigen Rechtsvorschriften des betreffenden Mitgliedstaats, einschließlich der Rechtsvorschriften über etwaige Rechtsbehelfe. Gegen Entscheidungen der Sicherheitsbehörde des EAD können Rechtsbehelfe gemäß dem Statut eingelegt werden.

                  18.

                  Nationale Experten, die zum EAD abgeordnet werden, um dort einen Dienstposten zu bekleiden, für den der Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen erforderlich ist, müssen der Sicherheitsbehörde des EAD eine gültige nationale Sicherheitsermächtigung für den Zugang zu EU-VS vorlegen, bevor sie ihren Dienst antreten. Dieser Vorgang wird von dem abordnenden Mitgliedstaat abgewickelt.

         Verzeichnisse der Sicherheitsermächtigungen

                  19.

                  Der EAD unterhält eine Datenbank, in der der Sicherheitsstatus aller dem EAD unterstehenden Bediensteten und seiner Vertragsbediensteten erfasst ist. Diese Verzeichnisse enthalten Angaben zum Geheimhaltungsgrad der EU-VS, bis zu dem die betreffende Person Zugang haben darf (als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen), das Datum, an dem die Sicherheitsermächtigung erteilt wurde, und deren Gültigkeitsdauer.

                  20.

                  Es werden geeignete Verfahren für die Koordinierung mit den Mitgliedstaaten und anderen Organen, Agenturen und Einrichtungen der EU eingeführt, um sicherzustellen, dass der EAD ein genaues und umfassendes Verzeichnis des Sicherheitsstatus aller dem EAD unterstehenden Bediensteten und seiner Vertragsbediensteten führt.

                  21.

                  Die Sicherheitsbehörde des EAD kann eine Bescheinigung über die Sicherheitsermächtigung (Sicherheitsermächtigungsbescheinigung) ausstellen, die Angaben zum Geheimhaltungsgrad der EU-VS, zu denen die Person Zugang haben darf (als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen), zur Gültigkeitsdauer der betreffenden Sicherheitsermächtigung und zum Ende der Gültigkeitsdauer der Bescheinigung an sich enthält.

         Ausnahmen vom Erfordernis einer Sicherheitsermächtigung

                  22.

                  Personen, die aufgrund ihrer Aufgaben nach den innerstaatlichen Rechtsvorschriften förmlich zum Zugang zu EU-VS ermächtigt worden sind, werden von der Direktion Sicherheit des EAD entsprechend über ihre Sicherheitsverpflichtungen hinsichtlich des Schutzes von EU-VS belehrt.

            III.   SCHULUNG UND SENSIBILISIERUNG IN BEZUG AUF SICHERHEIT

                  23.

                  Vor der Ermächtigung zum Zugang zu EU-VS bestätigen alle betreffenden Personen schriftlich, dass sie sich ihrer Verpflichtungen in Bezug auf den Schutz von EU-VS und der Folgen einer Kenntnisnahme von EU-VS durch Unbefugte bewusst sind. Der EAD verwahrt die Aufzeichnungen über derartige schriftliche Bestätigungen.

                  24.

                  Alle Personen, die zum Zugang zu EU-VS ermächtigt sind oder EU-VS bearbeiten müssen, werden in einer ersten Phase für Bedrohungen der Sicherheit sensibilisiert und später in regelmäßigen Abständen darüber unterrichtet; sie müssen alle von ihnen als verdächtig oder ungewöhnlich erachteten Anbahnungsversuche oder sonstigen Tätigkeiten unverzüglich den für Sicherheit zuständigen Stellen melden.

                  25.

                  Sämtliche Personen, denen der Zugang zu EU-VS gestattet wird, sind während des Zeitraums, in dem sie EU-VS bearbeiten, laufenden Maßnahmen des personellen Geheimschutzes (d. h. laufende Betreuung) zu unterziehen. Für den laufenden personellen Geheimschutz verantwortlich sind:

                              a)

                              Personen, denen der Zugang zu EU-VS gestattet ist: Diese Personen sind persönlich für ihr eigenes Sicherheitsverhalten verantwortlich und müssen den für Sicherheit zuständigen Stellen alle von ihnen als verdächtig oder ungewöhnlich erachteten Anbahnungsversuche oder sonstigen Tätigkeiten sowie jegliche Änderung in ihren persönlichen Verhältnissen, die sich auf ihre Sicherheitsermächtigung oder ihre Ermächtigung zum Zugang zu EU-VS auswirken könnte, unverzüglich melden.

                              b)

                              Führungskräfte: Sie sind dafür verantwortlich zu gewährleisten, dass ihr Personal die Sicherheitsmaßnahmen und die Verpflichtungen zum Schutz von EU-VS kennt, das Sicherheitsverhalten ihres Personals zu überwachen und problematische Sicherheitsfragen selbst zu klären oder den zuständigen Sicherheitsbehörden etwaige nachteilige Erkenntnisse, die sich auf die Sicherheitsermächtigung ihres Personals oder dessen Ermächtigung zum Zugang zu EU-VS auswirken könnten.

                              c)

                              Sicherheitsakteure im Rahmen der Organisation der Sicherheit im EAD im Sinne von Artikel 12 dieses Beschlusses: Sie sind verantwortlich für die Durchführung von Sicherheitsbelehrungen, um zu gewährleisten, dass das Personal in ihrem Bereich regelmäßig entsprechend unterwiesen wird, für die Förderung einer gefestigten Sicherheitskultur in ihrem Zuständigkeitsbereich, für die Einführung von Maßnahmen zur Überwachung des Sicherheitsverhaltens des Personals und für die Unterrichtung der zuständigen Sicherheitsbehörden über etwaige nachteilige Erkenntnisse, die sich auf die Sicherheitsermächtigung einer Person auswirken könnten.

                              d)

                              EAD und Mitgliedstaaten: Sie sorgen für die Schaffung der notwendigen Kanäle für die Weiterleitung von Informationen, die sich auf die Sicherheitsermächtigung einer Person oder ihre Ermächtigung zum Zugang zu EU-VS auswirken können.

                  26.

                  Alle Personen, die nicht mehr mit Aufgaben betraut sind, die einen Zugang zu EU-VS erfordern, werden über ihre Verpflichtungen in Bezug auf den fortgesetzten Schutz von EU-VS belehrt und haben diese Verpflichtungen gegebenenfalls schriftlich zu bestätigen.

            IV.   AUSSERGEWÖHNLICHE UMSTÄNDE

                  27.

                  Aus Gründen der Dringlichkeit kann die Sicherheitsbehörde des EAD in Erwartung des Abschlusses einer umfassenden Sicherheitsüberprüfung nach Konsultation der zuständigen nationalen Sicherheitsbehörde des Mitgliedstaats, dessen Staatsangehörigkeit die betreffende Person besitzt, und vorbehaltlich der Ergebnisse einer ersten Prüfung, um festzustellen, ob keine nachteiligen Erkenntnisse vorliegen, Beamten und sonstigen Bediensteten des EAD eine vorläufige Ermächtigung zum Zugang zu EU-VS für eine bestimmte Tätigkeit erteilen, wenn dies im dienstlichen Interesse gerechtfertigt ist. Eine umfassende Sicherheitsüberprüfung sollte so bald wie möglich durchgeführt werden. Solche vorläufigen Ermächtigungen gelten für höchstens sechs Monate und berechtigen nicht zum Zugang zu Verschlusssachen, die als „TRES SECRET UE/EU TOP SECRET“ eingestuft sind. Alle Personen, denen eine vorläufige Ermächtigung erteilt wurde, bestätigen schriftlich, dass sie sich ihrer Pflichten in Bezug auf den Schutz von EU-VS und der Folgen einer Kenntnisnahme von EU-VS durch Unbefugte bewusst sind. Der EAD verwahrt die Aufzeichnungen über derartige schriftliche Bestätigungen.

                  28.

                  Wird einer Person eine Tätigkeit zugewiesen, die eine Ermächtigung für Verschlusssachen erfordert, die einen eine Stufe höheren Geheimhaltungsgrad aufweisen als die Verschlusssachen, für die sie eine Ermächtigung besitzt, so kann die Zuweisung dieser Tätigkeit vorläufig erfolgen, sofern

                              a)

                              der Vorgesetzte der Person schriftlich nachweist, dass der Zugang der betreffenden Person zwingend erforderlich ist,

                              b)

                              der Zugang auf bestimmte EU-VS beschränkt ist, die für die zugewiesene Aufgabe erforderlich sind,

                              c)

                              die betreffende Person im Besitz einer gültigen Sicherheitsermächtigung ist,

                              d)

                              Schritte eingeleitet wurden, um die Zugangsermächtigung für den für die Tätigkeit erforderlichen Geheimhaltungsgrad zu erwirken,

                              e)

                              von der zuständigen Behörde überprüft worden ist, ob die betreffende Person nicht in gravierender Weise oder wiederholt gegen die Sicherheitsvorschriften verstoßen hat,

                              f)

                              die zuständige Behörde des EAD der Zuweisung zustimmt und

                              g)

                              die zuständige nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde, die die der Person die Sicherheitsermächtigung erteilt hat, konsultiert wurde und keine Einwände erhoben hat,

                              h)

                              in der zuständigen Registratur oder untergeordneten Registratur eine Aufzeichnung der Ausnahmegenehmigung, einschließlich einer Beschreibung der Verschlusssache, zu der der Zugang genehmigt wurde, aufbewahrt wird.

                  29.

                  Das vorstehend beschriebene Verfahren gilt für den einmaligen Zugang zu EU-VS, die einen eine Stufe höheren Geheimhaltungsgrad aufweisen als derjenige, für den die betreffende Person ermächtigt wurde. Auf dieses Verfahren darf nicht regelmäßig zurückgegriffen werden.

                  30.

                  In besonderen Ausnahmefällen, wie bei Missionen in feindlicher Umgebung oder in Zeiten zunehmender internationaler Spannungen, wenn Sofortmaßnahmen ergriffen werden müssen, insbesondere zur Rettung von Menschenleben, können der Hohe Vertreter, der Exekutiv-Generalsekretär und der Chief Operating Officer Personen, die nicht die erforderliche Sicherheitsermächtigung besitzen, nach Möglichkeit schriftlich Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuften Verschlusssachen gewähren, sofern eine derartige Erlaubnis absolut notwendig ist und keine begründeten Zweifel an der Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit der betreffenden Person bestehen. Von dieser Erlaubnis wird eine Aufzeichnung aufbewahrt, in der die Verschlusssachen beschrieben werden, zu denen der Zugang genehmigt wurde.

                  31.

                  Im Falle von Verschlusssachen, die als „TRES SECRET UE/EU TOP SECRET“ eingestuft sind, wird diese Art des Zugangs in Ausnahmefällen auf Staatsangehörige der EU-Mitgliedstaaten beschränkt, die zum Zugang entweder zu nationalen Verschlusssachen, die dem Geheimhaltungsgrad „TRES SECRET UE/EU TOP SECRET“ entsprechen, oder zu Verschlusssachen des Geheimhaltungsgrads „SECRET UE/EU SECRET“ ermächtigt wurden.

                  32.

                  Der Sicherheitsausschuss des EAD wird über die Fälle unterrichtet, in denen auf das Verfahren nach den Nummern 29 und 30 zurückgegriffen wird.

                  33.

                  Der Sicherheitsausschuss des EAD erhält einen jährlichen Bericht über die Inanspruchnahme der in diesem Abschnitt beschriebenen Verfahren.

            V.   TEILNAHME AN SITZUNGEN IN DER ZENTRALE DES EAD UND DEN DELEGATIONEN DER EU

                  34.

                  Personen, die an Sitzungen in der Zentrale des EAD und den EU-Delegationen teilnehmen sollen, in deren Rahmen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen erörtert werden, darf die Teilnahme nur dann gestattet werden, wenn die Sicherheitsermächtigung der betreffenden Person bestätigt wurde. Im Falle von Vertretern der Mitgliedstaaten, Beamten des Generalsekretariats des Rates und der Kommission wird eine Sicherheitsermächtigungsbescheinigung oder ein anderer Nachweis für eine Sicherheitsermächtigung der Direktion Sicherheit des EAD bzw. dem Sicherheitskoordinator der EU-Delegation von den zuständigen Behörden übermittelt oder ausnahmsweise von der betreffenden Person vorgelegt. Gegebenenfalls kann eine konsolidierte Namensliste verwendet werden, die den einschlägigen Nachweis der Sicherheitsermächtigungen enthält.

                  35.

                  Wird einer Person, deren Aufgaben die Teilnahme an Sitzungen in der Zentrale des EAD oder den EU-Delegationen erfordern, in deren Rahmen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen erörtert werden, die Sicherheitsermächtigung für den Zugang zu EU-VS entzogen, so setzt die zuständige Behörde den EAD davon in Kenntnis.

            VI.   MÖGLICHER ZUGANG ZU EU-VERSCHLUSSSACHEN

                  36.

                  Werden Personen unter Umständen beschäftigt, unter denen sie möglicherweise Zugang zu Verschlusssachen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher haben könnten, werden sie einer angemessenen Sicherheitsüberprüfung unterzogen oder jederzeit begleitet.

                  37.

                  Boten, Sicherheitsbedienstete und Begleitpersonen werden einer Sicherheitsüberprüfung der erforderlichen Geheimhaltungsstufe unterzogen oder auf andere Weise gemäß den innerstaatlichen Rechtsvorschriften angemessen überprüft und über die Sicherheitsverfahren zum Schutz von EU-VS sowie über ihre Pflichten zum Schutz der ihnen anvertrauten oder ihnen unbeabsichtigt zugänglich gewordenen Verschlusssachen belehrt.

         (1)  ABl. L 56 vom 4.3.1968, S. 1.

      ANHANG A II

         MATERIELLER GEHEIMSCHUTZ FÜR EU-VERSCHLUSSSACHEN

      I.   EINLEITUNG

                  1.

                  Dieser Anhang enthält Vorschriften zur Anwendung von Anhang A Artikel 6. Er legt Mindestanforderungen an den materiellen Schutz von Gebäuden, Büros, Räumen und sonstigen Bereichen fest, in denen EU-VS bearbeitet und aufbewahrt werden, einschließlich Bereichen, in denen Kommunikations- und Informationssysteme untergebracht sind.

                  2.

                  Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, den Zugang unbefugter Personen zu EU-VS zu verhindern, indem

                              a)

                              gewährleistet wird, dass EU-VS auf geeignete Weise bearbeitet und aufbewahrt werden,

                              b)

                              die Einteilung des Personals in Bezug auf den Zugang zu EU-VS nach dem Grundsatz „Kenntnis nur, wenn nötig“ und gegebenenfalls anhand der Sicherheitsermächtigung der betreffenden Bediensteten ermöglicht wird,

                              c)

                              von unbefugten Handlungen abgeschreckt wird beziehungsweise diese verhindert und aufgedeckt werden und

                              d)

                              das heimliche oder gewaltsame Eindringen unbefugter Personen von außen verhindert oder aufgehalten wird.

            II.   ANFORDERUNGEN UND MASSNAHMEN BEZÜGLICH DES MATERIELLEN GEHEIMSCHUTZES

                  3.

                  Der EAD wendet in seinen Gebäuden einen Risikomanagementprozess für den Schutz von EU-VS an, um dafür zu sorgen, dass der Umfang des materiellen Schutzes dem festgestellten Risiko entspricht. Bei dem Risikomanagementprozess wird allen relevanten Faktoren Rechnung getragen, insbesondere

                              a)

                              dem Geheimhaltungsgrad der EU-VS,

                              b)

                              der Form und dem Umfang der EU-VS, wobei zu berücksichtigen ist, dass bei großen Mengen oder einer Zusammenstellung von EU-VS unter Umständen strengere Schutzmaßnahmen zu ergreifen sind,

                              c)

                              der Umgebung und der Struktur der Gebäude oder Bereiche, in denen EU-VS verwahrt werden,

                              d)

                              der vom INTCEN anhand der Berichte der EU-Delegationen vorgenommenen Einschätzung der in Drittländern vorhandenen Bedrohungen und

                              e)

                              der Einschätzung der nachrichtendienstlichen Bedrohung, die gegen die EU und/oder die Mitgliedstaaten gerichtet ist, sowie der Bedrohung durch Sabotage, Terrorismus und andere subversive und/oder kriminelle Handlungen.

                  4.

                  Die Sicherheitsbehörde des EAD legt unter Anwendung des Konzepts der mehrschichtigen Sicherheit die angemessene Kombination von Maßnahmen des materiellen Geheimschutzes fest, die durchgeführt werden müssen. Dies kann eine oder mehrere der folgenden Maßnahmen umfassen:

                              a)

                              Zutrittssperre: ein physisches Hindernis, dass einen zu schützenden Bereich abgrenzt;

                              b)

                              Einbruchsmeldeanlagen: eine Einbruchsmeldeanlage kann zur Erhöhung des durch eine Zutrittssperre gewährten Sicherheitsniveaus oder in Räumen und Gebäuden an Stelle von Sicherheitspersonal oder zu dessen Unterstützung verwendet werden;

                              c)

                              Zugangskontrolle: die Zugangskontrollen können einen Standort, ein oder mehrere Gebäude an einem Standort oder Bereiche oder Räume innerhalb eines Gebäudes betreffen. Die Kontrollen können elektronisch oder elektromechanisch, durch Sicherheits- und/oder Empfangspersonal oder im Wege anderer physischer Maßnahmen erfolgen;

                              d)

                              Sicherheitspersonal: unter anderem zur Abschreckung von Personen, die ein unbemerktes Eindringen planen, kann Sicherheitspersonal beschäftigt werden, das ausgebildet und überwacht und erforderlichenfalls angemessen sicherheitsüberprüft sein muss;

                              e)

                              Videoüberwachung (CCTV): Videoüberwachungssysteme können vom Sicherheitspersonal zur Überprüfung von Störfällen und bei Alarmierung durch die Einbruchsmeldeanlagen an größeren Standorten oder an den äußeren Abgrenzungen genutzt werden;

                              f)

                              Sicherheitsbeleuchtung: Sicherheitsbeleuchtungen können eingesetzt werden, um potenzielle Eindringlinge abzuschrecken und für die Beleuchtung zu sorgen, die für eine wirksame Überwachung entweder unmittelbar durch das Sicherheitspersonal oder mittelbar durch ein Videoüberwachungssystem erforderlich ist, und

                              g)

                              alle sonstigen geeigneten physischen Maßnahmen zur Abschreckung oder Aufdeckung unbefugter Zugangsversuche oder zur Verhinderung von Verlust und Beschädigung von EU-VS.

                  5.

                  Die Direktion Sicherheit des EAD kann Durchsuchungen an den Ein- und Ausgängen vornehmen, um damit vom Verbringen unzulässigen Materials in Räumlichkeiten oder Gebäude oder von der nicht genehmigten Mitnahme von EU-VS aus Räumlichkeiten oder Gebäuden abzuschrecken.

                  6.

                  Besteht die Gefahr einer – auch versehentlichen – unzulässigen Einsicht in EU-VS, so werden geeignete Maßnahmen ergriffen, um dieser Gefahr entgegenzuwirken.

                  7.

                  Bei neuen Anlagen müssen die Anforderungen hinsichtlich des materiellen Geheimschutzes und deren funktionale Spezifikationen bei der Planung und Konzeption der Anlagen festgelegt werden. Bei bestehenden Anlagen müssen die Anforderungen hinsichtlich des materiellen Geheimschutzes möglichst weitgehend umgesetzt werden.

            III.   AUSRÜSTUNG FÜR DEN MATERIELLEN SCHUTZ VON EU-VS

                  8.

                  Bei der Beschaffung von Ausrüstung (wie Sicherheitsbehältnissen, Aktenvernichtern, Türschlössern, elektronischen Zugangskontrollsystemen, Einbruchsmeldeanlagen, Alarmsystemen) für den physischen Schutz von EU-VS stellt die Sicherheitsbehörde des EAD sicher, dass die Ausrüstung den genehmigten technischen Standards und Mindestanforderungen entspricht.

                  9.

                  Die technischen Spezifikationen der Ausrüstung, die zum physischen Schutz von EU-VS eingesetzt werden soll, werden in Sicherheitsleitlinien festgehalten, die vom Sicherheitsausschuss des EAD gebilligt werden.

                  10.

                  Die Sicherheitssysteme müssen in regelmäßigen Abständen überprüft werden; die Ausrüstung muss regelmäßig gewartet werden. Bei den Wartungsarbeiten ist dem Ergebnis der Überprüfungen Rechnung zu tragen, damit ein optimales Funktionieren der betreffenden Ausrüstung weiterhin gewährleistet ist.

                  11.

                  Die Wirksamkeit der einzelnen Sicherheitsmaßnahmen und des gesamten Sicherheitssystems ist bei jeder Inspektion zu überprüfen.

            IV.   DURCH MASSNAHMEN DES MATERIELLEN GEHEIMSCHUTZES GESCHÜTZTE BEREICHE

                  12.

                  Zum physischen Schutz von EU-VS werden zwei Arten von durch Maßnahmen des materiellen Geheimschutzes geschützten Bereichen oder entsprechenden Bereichen auf nationaler Ebene eingerichtet:

                              a)

                              Verwaltungsbereiche und

                              b)

                              abgesicherte Bereiche (einschließlich technisch abgesicherter Bereiche).

                  13.

                  Die Sicherheitsbehörde des EAD legt fest, ob ein bestimmter Bereich die Anforderungen für eine Ausweisung als Verwaltungsbereich, als abgesicherter Bereich oder technisch abgesicherter Bereich erfüllt.

                  14.

                  Für Verwaltungsbereiche

                              a)

                              wird eine sichtbare äußere Abgrenzung eingerichtet, die die Kontrolle von Personen und gegebenenfalls von Fahrzeugen ermöglicht,

                              b)

                              nur Personen, die von der Direktion Sicherheit des EAD entsprechend ermächtigt wurden, dürfen diesen Bereich unbegleitet betreten und

                              c)

                              bei allen anderen Personen ist eine ständige Begleitung oder eine gleichwertige Kontrolle sicherzustellen.

                  15.

                  Für abgesicherte Bereiche gilt Folgendes:

                              a)

                              Es wird eine sichtbare und geschützte äußere Abgrenzung mit vollständiger Eingangs- und Ausgangskontrolle eingerichtet, die mittels eines Berechtigungsausweises oder eines Systems zur persönlichen Identifizierung erfolgt.

                              b)

                              Nur Personen, die einer Sicherheitsüberprüfung der erforderlichen Geheimhaltungsstufe unterzogen wurden und aufgrund der Tatsache, dass sie Zugang zu Verschlusssachen haben müssen, speziell zum Zutritt ermächtigt wurden, dürfen diesen Bereich unbegleitet betreten.

                              c)

                              Bei allen anderen Personen ist eine ständige Begleitung oder eine gleichwertige Kontrolle sicherzustellen.

                  16.

                  Wenn das Betreten eines abgesicherten Bereichs de facto den unmittelbaren Zugang zu darin enthaltenen Verschlusssachen ermöglicht, sind außerdem folgende Anforderungen zu erfüllen:

                              a)

                              Der höchste Geheimhaltungsgrad der Verschlusssachen, die in der Regel in dem Bereich verwahrt werden, ist eindeutig anzugeben;

                              b)

                              alle Besucher benötigen eine spezielle Genehmigung, um den Bereich betreten zu dürfen, müssen jederzeit begleitet werden und müssen entsprechend sicherheitsüberprüft sein, es sei denn, es werden Maßnahmen getroffen, um sicherzustellen, dass kein Zugang zu EU-VS möglich ist;

                              c)

                              elektronische Geräte müssen außerhalb des Bereichs verbleiben.

                  17.

                  Abgesicherte Bereiche mit Abhörschutz sind als technisch abgesicherte Bereiche auszuweisen. Es gelten die folgenden zusätzlichen Anforderungen:

                              a)

                              Diese Bereiche werden mit Einbruchsmeldeanlagen ausgerüstet, sind verschlossen zu halten, wenn sie nicht besetzt sind, und zu bewachen, wenn sie besetzt sind; die Kontrolle der Schlüssel erfolgt nach Maßgabe des Abschnitts VI dieses Anhangs;

                              b)

                              alle Personen, die diese Bereiche betreten, und alles Material, das dorthin verbracht wird, sind zu kontrollieren;

                              c)

                              diese Bereiche sind gemäß den Vorschriften der Sicherheitsbehörde des EAD regelmäßig zu inspizieren und/oder technisch zu überprüfen; diese Inspektionen bzw. Überprüfungen sind auch dann vorzunehmen, wenn die Bereiche nachweislich oder vermutlich unbefugt betreten wurden;

                              d)

                              in diesen Bereichen sind nicht zugelassene Kommunikationsverbindungen, nicht zugelassene Telefone und andere nicht zugelassene Kommunikationsgeräte und nicht zugelassene elektrische oder elektronische Ausrüstung verboten.

                  18.

                  Ungeachtet Nummer 17 Buchstabe d müssen alle Kommunikationsgeräte und elektrischen oder elektronischen Geräte vor ihrer Nutzung in Bereichen, in denen Sitzungen oder Arbeiten zu Verschlusssachen des Geheimhaltungsgrads „SECRET UE/EU SECRET“ und höher stattfinden, sowie in Fällen, in denen die Gefährdung von EU-VS als hoch eingeschätzt wird, vorab von der Sicherheitsbehörde des EAD untersucht werden, um sicherzustellen, dass mit diesen Geräten keine verständlichen Informationen auf unbeabsichtigte oder unzulässige Weise aus dem betreffenden abgesicherten Bereich nach außen übermittelt werden können.

                  19.

                  Die abgesicherten Bereiche, die nicht rund um die Uhr von Dienst tuendem Personal besetzt sind, sind gegebenenfalls unmittelbar nach den üblichen Arbeitszeiten und in unregelmäßigen Abständen außerhalb der üblichen Arbeitszeiten zu inspizieren, es sei denn, es wird eine Einbruchsmeldeanlage verwendet.

                  20.

                  Innerhalb eines Verwaltungsbereichs können zeitweilig abgesicherte Bereiche oder technisch abgesicherte Bereiche im Hinblick auf eine geheimhaltungsbedürftige Sitzung oder einen anderen ähnlichen Zweck eingerichtet werden.

                  21.

                  Für jeden abgesicherten Bereich werden sicherheitsbezogene Sicherheitsbetriebsverfahren aufgestellt, die Folgendes regeln:

                              a)

                              den Geheimhaltungsgrad der EU-VS, die in diesem Bereich bearbeitet oder aufbewahrt werden dürfen,

                              b)

                              die einzuhaltenden Überwachungs- und Schutzmaßnahmen,

                              c)

                              die Personen, die aufgrund dessen, dass sie Kenntnis von Verschlusssachen haben müssen, und aufgrund ihrer Sicherheitsermächtigung unbegleiteten Zugang zu diesem Bereich erhalten,

                              d)

                              gegebenenfalls die Verfahren für die Begleitung anderer Personen, denen Zugang zu diesem Bereich gewährt wird, bzw. die Verfahren zum Schutz von EU-VS in einem solchen Fall,

                              e)

                              sonstige einschlägige Maßnahmen und Verfahren.

                  22.

                  Tresorräume werden in abgesicherte Bereiche eingebaut. Wände, Böden, Decken, Fenster und verschließbare Türen müssen von der Sicherheitsbehörde des EAD zugelassen werden und einen Schutz bieten, der dem eines Sicherheitsbehältnisses entspricht, das für die Aufbewahrung von EU-VS desselben Geheimhaltungsgrads zugelassen ist.

            V.   PHYSISCHE SCHUTZMASSNAHMEN FÜR DIE BEHANDLUNG UND AUFBEWAHRUNG VON EU-VS

                  23.

                  EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ dürfen in folgenden Bereichen bearbeitet werden:

                              a)

                              in einem abgesicherten Bereich,

                              b)

                              in einem Verwaltungsbereich, sofern die EU-VS vor dem Zugang Unbefugter geschützt werden, oder

                              c)

                              außerhalb eines abgesicherten Bereichs oder eines Verwaltungsbereichs, sofern der Besitzer die EU-VS gemäß Anhang A III Nummern 30 bis 42 befördert und sich verpflichtet hat, besondere Maßnahmen einzuhalten, die in den Sicherheitsanweisungen der Sicherheitsbehörde des EAD festgelegt sind, um sicherzustellen, dass die EU-VS vor dem Zugang durch unbefugte Personen geschützt sind.

                  24.

                  EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ sind in geeigneten, verschließbaren Büromöbeln in einem Verwaltungsbereich oder einem abgesicherten Bereich aufzubewahren. Sie können zeitweilig außerhalb eines abgesicherten Bereichs oder eines Verwaltungsbereichs aufbewahrt werden, sofern der Besitzer sich verpflichtet hat, besondere Maßnahmen einzuhalten, die in den Sicherheitsanweisungen der Sicherheitsbehörde des EAD festgelegt sind.

                  25.

                  EU-VS der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ dürfen in folgenden Bereichen bearbeitet werden:

                              a)

                              in einem abgesicherten Bereich,

                              b)

                              in einem Verwaltungsbereich, sofern die EU-VS vor dem Zugang Unbefugter geschützt werden, oder

                              c)

                              außerhalb eines abgesicherten Bereichs oder eines Verwaltungsbereichs, sofern der Besitzer

                                          i)

                                          die EU-VS gemäß Anhang A III Nummern 30 bis 42 befördert;

                                          ii)

                                          sich verpflichtet hat, besondere Maßnahmen einzuhalten, die in den Sicherheitsanweisungen der Sicherheitsbehörde des EAD niedergelegt sind, um sicherzustellen, dass die EU-VS vor dem Zugang unbefugter Personen geschützt sind;

                                          iii)

                                          die EU-VS jederzeit unter persönlicher Kontrolle hält und

                                          iv)

                                          im Falle von Dokumenten in Papierform die einschlägige Registratur davon in Kenntnis gesetzt hat.

                  26.

                  EU-VS der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ werden in einem abgesicherten Bereich in einem Sicherheitsbehältnis oder in einem Tresorraum aufbewahrt.

                  27.

                  EU-VS des Geheimhaltungsgrads „TRES SECRET UE/EU TOP SECRET“ werden in einem abgesicherten Bereich bearbeitet.

                  28.

                  EU-VS des Geheimhaltungsgrads „TRES SECRET UE/EU TOP SECRET“ sind in der Zentrale des EAD einem abgesicherten Bereich unter einer der folgenden Bedingungen aufzubewahren:

                              a)

                              in einem Sicherheitsbehältnis entsprechend Nummer 8 mit einer oder mehreren der folgenden zusätzlichen Kontrollen:

                                          i)

                                          ständige Bewachung oder Kontrolle durch überprüftes Sicherheitspersonal oder Dienst versehendes Personal,

                                          ii)

                                          zugelassene Intrusionsmeldeanlage in Verbindung mit Bereitschaftspersonal im Sicherheitsdienst

                                    oder

                              b)

                              in einem mit einer Intrusionsmeldeanlage ausgestatteten Tresorraum in Verbindung mit Bereitschaftspersonal im Sicherheitsdienst.

                  29.

                  Die Vorschriften über die Beförderung von EU-VS außerhalb durch Maßnahmen des materiellen Geheimschutzes geschützten Bereichen sind in Anhang A III enthalten.

            VI.   KONTROLLE DER SCHLÜSSEL UND KOMBINATIONEN ZUM SCHUTZ VON EU-VS

                  30.

                  Die Sicherheitsbehörde des EAD legt Verfahren für die Verwaltung der Schlüssel und Kombinationen für Büros, Räume, Tresorräume und Sicherheitsbehältnisse fest. Diese Verfahren müssen Schutz vor unbefugtem Zugang gewähren.

                  31.

                  Der Kreis der Personen, denen die Kombinationen zur Kenntnis gegeben werden, ist so weit wie möglich zu begrenzen. Die Kombinationen für Sicherheitsbehältnisse und für Tresorräume, in denen EU-VS aufbewahrt werden, sind zu ändern:

                              a)

                              bei Entgegennahme eines neuen Behälters,

                              b)

                              bei Wechsel des Personals, das die Kombination kennt,

                              c)

                              bei tatsächlicher oder vermuteter Kenntnisnahme durch Unbefugte,

                              d)

                              bei Wartung oder Reparatur eines Schlosses und

                              e)

                              mindestens alle 12 Monate.

      ANHANG A III

         VERWALTUNG VON VERSCHLUSSSACHEN

      I.   EINLEITUNG

                  1.

                  Dieser Anhang enthält Vorschriften zur Anwendung von Anhang A Artikel 7. In ihm sind die Verwaltungsmaßnahmen zur Überwachung von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS festgelegt; diese sollen dazu dienen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme dieser Verschlusssachen durch Unbefugte bzw. den Verlust dieser Verschlusssachen zu verhindern oder festzustellen oder Maßnahmen zur Wiederherstellung der Sicherheit zu treffen.

            II.   REGELN FÜR DIE EINSTUFUNG ALS VERSCHLUSSSACHE

         Geheimhaltungsgrade und Kennzeichnungen

                  2.

                  Informationen werden als Verschlusssache eingestuft, wenn sie hinsichtlich ihrer Vertraulichkeit zu schützen sind.

                  3.

                  Der Herausgeber einer EU-VS ist dafür zuständig, nach Maßgabe der einschlägigen Einstufungsleitlinien den Geheimhaltungsgrad und den Empfängerkreis der Informationen zu bestimmen.

                  4.

                  Der Geheimhaltungsgrad einer EU-VS ist nach Anhang A Artikel 2 Absatz 2 und unter Bezugnahme auf das gemäß Anhang A Artikel 3 Absatz 3 zu billigende Sicherheitskonzept festzulegen.

                  5.

                  Für Verschlusssachen der Mitgliedstaaten, die mit dem EAD ausgetauscht werden, wird dasselbe Schutzniveau gewährt wie für EU-VS des entsprechenden Geheimhaltungsgrads. Eine Entsprechungstabelle findet sich in Anlage B des Beschlusses 2011/292/EU des Rates vom 31. März 2011 über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen.

                  6.

                  Der Geheimhaltungsgrad und gegebenenfalls das Datum oder das spezielle Ereignis, nach dem der Geheimhaltungsgrad herabgestuft oder aufgehoben werden kann, sind eindeutig und richtig anzugeben, unabhängig davon, ob die EU-VS im Papierformat oder in mündlicher, elektronischer oder anderer Form vorliegt.

                  7.

                  Einzelne Teile eines bestimmten Dokuments (d. h. Seiten, Absätze, Abschnitte, Anhänge oder sonstige Anlagen) können eine unterschiedliche Einstufung erforderlich machen und sind entsprechend zu kennzeichnen, auch bei Aufbewahrung in elektronischer Form.

                  8.

                  Dokumente, die Teile mit unterschiedlichen Geheimhaltungsgraden umfassen, sollten möglichst so untergliedert werden, dass Teile mit verschiedenen Geheimhaltungsgraden leicht zu erkennen sind und gegebenenfalls abgetrennt werden können.

                  9.

                  Der Geheimhaltungsgrad des Gesamtdokuments oder der Datei entspricht mindestens dem Geheimhaltungsgrad seines/ihres am höchsten eingestuften Teils. Werden Informationen aus verschiedenen Quellen in einem Dokument zusammengestellt, so wird die endgültige Fassung durchgesehen, um den grundsätzlichen Geheimhaltungsgrad zu bestimmen, da sie einen höheren Geheimhaltungsgrad als für die einzelnen Bestandteile nötig erfordern kann.

                  10.

                  Ein Begleitschreiben oder ein Übermittlungsvermerk samt Anlagen ist so hoch einzustufen wie die am höchsten eingestufte Anlage. Der Herausgeber muss anhand einer entsprechenden Kennzeichnung klar angeben, welcher Geheimhaltungsgrad für das Begleitschreiben bzw. den Übermittlungsvermerk gilt, wenn diesem die Anlagen nicht beigefügt sind, z. B.:
                  CONFIDENTIEL UE/EU CONFIDENTIAL
                  Ohne Anlage(n) RESTREINT UE/EU RESTRICTED

         Kennzeichnungen

                  11.

                  Zusätzlich zu einer der VS-Kennzeichnungen nach Anhang A Artikel 2 Absatz 2 können EU-VS mit zusätzlichen Kennzeichnungen versehen sein, wie z. B.

                              a)

                              eine Kennzeichnung, die den Herausgeber identifiziert,

                              b)

                              Warnhinweisen, Codewörtern oder Akronymen, mit denen der Tätigkeitsbereich, auf den sich das Dokument bezieht, eine besondere Verteilung gemäß dem Grundsatz „Kenntnis nur, wenn nötig“ oder Verwendungsbeschränkungen angegeben werden,

                              c)

                              Weitergabekennzeichnungen.

                  12.

                  Im Anschluss an die Entscheidung über die Weitergabe von EU-VS an einen Drittstaat oder eine internationale Organisation übermittelt die Direktion Sicherheit des EAD das betreffende Dokument, auf dem durch eine Weitergabekennzeichnung angegeben wird, an welchen Drittstaat oder welche internationale Organisation es weiterzugeben ist.

                  13.

                  Die Sicherheitsbehörde des EAD verabschiedet die Liste der zugelassenen Kennzeichnungen.

         Abgekürzte Einstufungskennzeichnungen

                  14.

                  Standardmäßig abgekürzte Einstufungskennzeichnungen können verwendet werden, um den Geheimhaltungsgrad einzelner Absätze eines Textes auszuweisen. Die Abkürzungen ersetzen nicht die kompletten Einstufungskennzeichnungen.

                  15.

                  In EU-VS können folgende Standardabkürzungen verwendet werden, um den Geheimhaltungsgrad von Textabschnitten oder Textteilen von weniger als einer Seite anzugeben:

                              TRÈS SECRET UE / EU TOP SECRET

                              TS-UE/EU-TS

                              SECRET UE/EU SECRET

                              S-UE/EU-S

                              CONFIDENTIEL UE/EU CONFIDENTIAL

                              C-UE/EU-C

                              RESTREINT UE/EU RESTRICTED:

                              R-UE/EU-R

         Erstellung von EU-VS

                  16.

                  Bei der Erstellung einer EU-Verschlusssache

                              a)

                              wird auf jeder Seite der Geheimhaltungsgrad eindeutig vermerkt,

                              b)

                              wird jede Seite nummeriert,

                              c)

                              wird dem Dokument ein Aktenzeichen und ein Betreff zugeordnet, der selbst keinen Geheimhaltungsgrad führt, wenn er nicht entsprechend gekennzeichnet ist,

                              d)

                              wird das Dokument datiert,

                              e)

                              erhalten Dokumente des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher auf jeder Seite eine eigene Exemplarnummer, wenn sie in mehreren Exemplaren verteilt werden sollen.

                  17.

                  Ist eine Anwendung der Nummer 15 auf EU-VS nicht möglich, so sind im Einklang mit nach diesem Beschluss festzulegenden Sicherheitsleitlinien andere geeignete Maßnahmen anzuwenden.

         Herabstufung und Aufhebung des Geheimhaltungsgrads von EU-VS

                  18.

                  Der Herausgeber teilt, sofern möglich und insbesondere bei Verschlusssachen mit dem Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“, zum Zeitpunkt der Erstellung einer EU-VS mit, ob deren Geheimhaltungsgrad zu einem bestimmten Zeitpunkt oder im Anschluss an ein bestimmtes Ereignis herabgestuft oder aufgehoben werden kann.

                  19.

                  Der EAD überprüft regelmäßig die von ihm verwahrten EU-VS daraufhin, ob ihr Geheimhaltungsgrad weiterhin zutreffend ist. Der EAD legt ein System fest, mit dem der Geheimhaltungsgrad der von ihm stammenden registrierten EU-VS mindestens alle fünf Jahre überprüft wird. Eine solche Überprüfung ist nicht erforderlich, wenn der Herausgeber bereits von vorneherein einen Zeitpunkt mitgeteilt hat, zu dem der Geheimhaltungsgrad der Informationen automatisch herabgestuft oder aufgehoben wird, und die Informationen entsprechend gekennzeichnet wurden.

            III.   REGISTRIERUNG VON EU-VS ZU SICHERHEITSZWECKEN

                  20.

                  In der Zentrale des EAD wird eine Zentralregistratur eingerichtet. Für jede Stelle im EAD, in der EU-VS bearbeitet werden, wird eine der Zentralregistratur untergeordnete zuständige Registratur bestimmt, damit bei der Bearbeitung von EU-VS die Einhaltung dieses Beschlusses gewährleistet wird. Die Registraturen werden als abgesicherte Bereiche im Sinne des Anhangs A eingerichtet.
                  Jede EU-Delegation richtet ihre eigene EU-VS-Registratur ein.
                  Die Sicherheitsbehörde des EAD ernennt einen Chief Registry Officer für diese Registraturen

                  21.

                  Im Sinne dieses Beschlusses bezeichnet der Ausdruck „Registrierung zu Sicherheitszwecken“ (im Folgenden „Registrierung“) die Durchführung von Verfahren, bei denen jede Phase des Umlaufs der Informationen, auch deren Weitergabe und Vernichtung, aufgezeichnet wird. Im Falle eines Kommunikations- und Informationssystems können die Registrierungsverfahren durch Prozesse im Kommunikations- und Informationssystem selbst vorgenommen werden.

                  22.

                  Alle als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestuften Materialien sind zu registrieren, wenn sie in einer Verwaltungseinheit (einschließlich EU-Delegationen) eingehen oder diese verlassen. Als „TRES SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen werden in eigens dafür bestimmten Registraturen vereinnahmt.

                  23.

                  Die Zentralregistratur in der EAD-Zentrale ist Haupteingangs- und Ausgangsstelle für den Austausch von Verschlusssachen mit Drittstaaten und internationalen Organisationen. Sie verwahrt Aufzeichnungen über jeden Austausch.

                  24.

                  Die Hohe Vertreterin billigt im Einklang mit Artikel 14 dieses Beschlusses ein Sicherheitskonzept in Bezug auf die Registrierung von EU-VS zu Sicherheitszwecken.

         „Tres secret UE/EU top secret“-Registraturen

                  25.

                  Die Zentralregistratur in der EAD-Zentrale wird als zentrale Eingangs- und Ausgangsstelle für als „TRES SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen benannt. Sofern erforderlich, können nachgeordnete Registraturen zur Bearbeitung dieser Verschlusssachen zu Registrierungszwecken bestimmt werden.

                  26.

                  Diese nachgeordneten Registraturen dürfen als „TRES SECRET UE/EU TOP SECRET“ eingestufte Dokumente nicht unmittelbar an andere nachgeordnete Registraturen derselben zentralen „TRES SECRET UE/EU TOP SECRET“-Registratur oder anderweitig übermitteln, ohne dass diese ihre ausdrückliche schriftliche Zustimmung erteilt hat.

            IV.   KOPIEREN UND ÜBERSETZEN VON EU-VERSCHLUSSSACHEN

                  27.

                  Als „TRES SECRET UE/EU TOP SECRET“ eingestufte Dokumente dürfen ohne vorherige schriftliche Zustimmung des Herausgebers weder kopiert noch übersetzt werden.

                  28.

                  Hat der Herausgeber von als „SECRET UE/EU SECRET“ und niedriger eingestuften Dokumenten keine Einschränkungen hinsichtlich der Anfertigung von Kopien oder Übersetzungen auferlegt, so können diese Dokumente auf Anweisung des Besitzers kopiert bzw. übersetzt werden.

                  29.

                  Die für das Originaldokument geltenden Sicherheitsmaßnahmen finden auf Kopien und Übersetzungen dieses Dokuments Anwendung. Die Kopien von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ eingestuften Dokumenten dürfen nur von einer zuständigen (nachgeordneten) Registratur auf einem gesicherten Kopiergerät erstellt werden. Die Kopien müssen registriert werden.

            V.   BEFÖRDERUNG VON EU-VS

                  30.

                  Für die Beförderung von EU-VS gelten die Schutzmaßnahmen nach den Nummern 31 bis 41. Bei der Beförderung von EU-VS auf elektronischen Datenträgern können ungeachtet Anhang A Artikel 7 Absatz 4 die nachstehend beschriebenen Schutzmaßnahmen entsprechend den Weisungen der Sicherheitsbehörde des EAD durch geeignete technische Abwehrmaßnahmen ergänzt werden, damit das Risiko eines Verlusts oder der Kenntnisnahme durch Unbefugte so gering wie möglich gehalten wird.

                  31.

                  Die Sicherheitsbehörde des EAD erlässt ergänzende Weisungen für die Beförderung von EU-VS nach Maßgabe dieses Beschlusses.

         Innerhalb eines Gebäudes oder einer geschlossenen Gebäudegruppe

                  32.

                  EU-VS, die innerhalb eines Gebäudes oder einer geschlossenen Gebäudegruppe befördert werden, sind zu verpacken, damit keine Rückschlüsse auf ihren Inhalt möglich sind.

                  33.

                  Innerhalb eines Gebäudes oder einer geschlossenen Gebäudegruppe werden Verschlusssachen des Geheimhaltungsgrads „TRES SECRET UE/EU TOP SECRET“ von angemessen sicherheitsüberprüften Personen in einem gesicherten Umschlag befördert, auf dem lediglich der Name des Empfängers angegeben ist.

         Innerhalb der EU

                  34.

                  EU-VS, die zwischen Gebäuden oder Räumlichkeiten innerhalb der EU befördert werden, sind so zu verpacken, dass sie vor unbefugter Kenntnisnahme geschützt sind.

                  35.

                  Die Beförderung von Verschlusssachen bis zum Geheimhaltungsgrad „SECRET UE/EU SECRET“ innerhalb der EU erfolgt:

                              a)

                              je nach Sachlage durch militärischen, diplomatischen oder Regierungskurier,

                              b)

                              als Handgepäck mit der Maßgabe, dass

                                          i)

                                          die EU-VS ununterbrochen im Besitz des Überbringers verbleibt, es sei denn, dass sie entsprechend den Anforderungen des Anhangs A II aufbewahrt wird,

                                          ii)

                                          die EU-VS nicht während der Beförderung geöffnet oder an öffentlich zugänglichen Orten gelesen wird,

                                          iii)

                                          die betreffenden Personen einer Sicherheitsüberprüfung der erforderlichen Geheimhaltungsstufe unterzogen und über ihre Verantwortlichkeiten für die Sicherheit belehrt wurden,

                                          iv)

                                          die betreffenden Personen erforderlichenfalls einen Kurierausweis erhalten;

                              c)

                              durch Postdienste oder private Kurierdienste, sofern

                                          i)

                                          sie von der zuständigen nationalen Sicherheitsbehörde nach Maßgabe der innerstaatlichen Rechtsvorschriften zugelassen worden sind;

                                          ii)

                                          sie entsprechend den gemäß Artikel 20 Absatz 1 dieses Beschlusses festzulegenden Mindestanforderungen geeignete Schutzmaßnahmen anwenden.

                        Bei der Beförderung von einem Mitgliedstaat in einen anderen wird Buchstabe c lediglich auf Verschlusssachen bis zum Geheimhaltungsgrad „CONFIDENTIEL UE/EU CONFIDENTIAL“ angewendet.

                  36.

                  Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestufte Materialien (beispielsweise Geräte oder Maschinen), die nicht mit den unter Nummer 34 aufgeführten Beförderungsmitteln befördert werden können, werden nach Maßgabe des Anhangs A V von gewerblichen Beförderungsunternehmen als Fracht befördert.

                  37.

                  Die Beförderung von als „TRES SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen zwischen Gebäuden oder Räumlichkeiten innerhalb der EU erfolgt je nach Sachlage durch militärischen, diplomatischen oder Regierungskurier.

         Aus der EU in das Hoheitsgebiet eines Drittstaats oder zwischen EU-Einrichtungen in Drittstaaten

                  38.

                  EU-VS, die aus der EU in das Hoheitsgebiet eines Drittstaats oder zwischen EU-Einrichtungen in Drittstaaten befördert werden, sind so zu verpacken, dass sie vor unbefugter Kenntnisnahme geschützt sind.

                  39.

                  Die Beförderung von Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ aus der EU in das Hoheitsgebiet eines Drittstaats und die Beförderung von EU-VS bis zum Geheimhaltungsgrad „SECRET UE/EU SECRET“ zwischen EU-Einrichtungen in Drittstaaten erfolgt:

                              a)

                              durch militärischen oder diplomatischen Kurier;

                              b)

                              als Handgepäck mit der Maßgabe, dass

                                          i)

                                          das Paket ein amtliches Siegel trägt oder so gestaltet ist, dass deutlich wird, dass es sich um eine amtliche Sendung handelt, die keiner Überprüfung durch Zoll- und Sicherheitsbehörden unterzogen werden darf;

                                          ii)

                                          die betreffenden Personen einen Kurierausweis mit sich führen, in dem das Paket verzeichnet ist und die betreffenden Personen zur Beförderung des Pakets ermächtigt werden;

                                          iii)

                                          die EU-VS ununterbrochen im Besitz des Überbringers verbleibt, es sei denn, dass sie entsprechend den Anforderungen des Anhangs A II aufbewahrt wird;

                                          iv)

                                          die EU-VS nicht während der Beförderung geöffnet oder an öffentlich zugänglichen Orten gelesen wird; und

                                          v)

                                          die betreffenden Personen einer Sicherheitsüberprüfung der erforderlichen Geheimhaltungsstufe unterzogen und über ihre Verantwortlichkeiten für die Sicherheit belehrt wurden.

                  40.

                  Die Beförderung von Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ aus der EU in einen Drittstaat oder zu einer internationalen Organisation erfolgt nach den einschlägigen Bestimmungen eines Geheimschutzabkommens oder einer Verwaltungsvereinbarung nach Anhang A Artikel 10 Absatz 2.

                  41.

                  Informationen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ dürfen auch aus der EU in das Hoheitsgebiet eines Drittstaats durch Postdienste oder private Kurierdienste befördert werden.

                  42.

                  Die Beförderung von Verschlusssachen des Geheimhaltungsgrads „TRES SECRET UE/EU TOP SECRET“ aus der EU in das Hoheitsgebiet eines Drittstaats oder zwischen EU-Einrichtungen in Drittstaaten erfolgt durch militärischen oder diplomatischen Kurier.

            VI.   VERNICHTUNG VON EU-VS

                  43.

                  Nicht mehr benötigte EU-Verschlusssachen können unbeschadet der einschlägigen Vorschriften und Regelungen über die Archivierung vernichtet werden.

                  44.

                  Registrierungspflichtige Dokumente nach Anhang A Artikel 7 Absatz 2 werden von der zuständigen Registratur auf Anweisung des Besitzers oder einer zuständigen Behörde vernichtet. Die Dienstbücher und sonstigen Registrierungsinformationen werden entsprechend aktualisiert.

                  45.

                  Bei Dokumenten des Geheimhaltungsgrads „SECRET UE/EU SECRET“ oder „TRES SECRET UE/EU TOP SECRET“ erfolgt die Vernichtung im Beisein eines Zeugen, der mindestens zum Zugang zu Verschlusssachen mit dem Geheimhaltungsgrad des zu vernichtenden Dokuments ermächtigt ist.

                  46.

                  Der Registerführer und der Zeuge — falls dessen Anwesenheit erforderlich ist — unterschreiben eine Vernichtungsbescheinigung, die in der Registratur abgelegt wird. Die Registratur bewahrt die Vernichtungsbescheinigungen von Dokumenten des Geheimhaltungsgrads „TRES SECRET UE/EU TOP SECRET“ mindestens zehn Jahre lang und von Dokumenten der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ mindestens fünf Jahre lang auf.

                  47.

                  Verschlusssachen, einschließlich derjenigen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, werden nach Verfahren vernichtet, die die einschlägigen EU-Normen oder gleichwertige Normen erfüllen oder die gemäß nationalen technischen Normen von den Mitgliedstaaten zugelassen worden sind, damit so einer vollständigen oder teilweisen Wiederherstellung vorgebeugt wird.

                  48.

                  Die Vernichtung elektronischer Datenträger, die für EU-VS verwendet wurden, erfolgt gemäß Anhang A IV Nummer 36.

            VII.   SICHERHEITSINSPEKTIONEN

         Sicherheitsinspektionen des EAD

                  49.

                  Im Einklang mit Artikel 15 dieses Beschlusses umfassen Sicherheitsinspektionen des EAD

                              a)

                              allgemeine Sicherheitsinspektionen mit dem Ziel einer Beurteilung der allgemeinen Sicherheit in der EAD-Zentrale, den EU-Delegationen und sämtlichen zugehörigen Räumlichkeiten, um vor allem die Wirksamkeit der zum Schutz der Sicherheitsinteressen des EAD getroffenen Sicherheitsmaßnahmen zu bewerten, und

                              b)

                              EU-VS-Sicherheitsinspektionen mit dem Ziel, die Wirksamkeit der zum Schutz von EU-VS getroffenen Maßnahmen in der EAD-Zentrale und den EU-Delegationen zu bewerten, in der Regel mit Blick auf eine Akkreditierung.
                              Derartige Inspektionen werden unter anderem durchgeführt, um

                                          i)

                                          sicherzustellen, dass die erforderlichen Mindeststandards für den Schutz von EU-VS, die in diesem Beschluss festgelegt sind, eingehalten werden,

                                          ii)

                                          der Bedeutung der Sicherheitsaspekte und eines wirksamen Risikomanagements in den inspizierten Einrichtungen Nachdruck zu verleihen,

                                          iii)

                                          Gegenmaßnahmen zu empfehlen, um die spezifischen Auswirkungen des Verlusts der Vertraulichkeit, der Integrität oder der Verfügbarkeit von Verschlusssachen begrenzen zu können, und

                                          iv)

                                          die laufenden Programme der Sicherheitsbehörden zur Sicherheitsschulung und zur Vermittlung von Sicherheitsbewusstsein zu unterstützen.

         Durchführung von Sicherheitsinspektionen des EAD und anschließende Berichterstattung

                  50.

                  Sicherheitsinspektionen des EAD werden von einem Inspektionsteam der Direktion Sicherheit des EAD durchgeführt, das gegebenenfalls von Sicherheitsexperten anderer EU-Organe oder der Mitgliedstaaten unterstützt wird.
                  Das Inspektionsteam hat Zugang zu jedem Ort, an dem EU-VS bearbeitet werden, insbesondere Registraturen und Zugangspunkte der Kommunikations- und Informationssysteme.

                  51.

                  Sicherheitsinspektionen des EAD in EU-Delegationen können erforderlichenfalls mit Unterstützung der Sicherheitsbeauftragten der Botschaften der Mitgliedstaaten in Drittstaaten durchgeführt werden.

                  52.

                  Die Sicherheitsbehörde des EAD nimmt vor Ablauf eines jeden Kalenderjahrs das Sicherheitsinspektionsprogramm des EAD für das Folgejahr an.

                  53.

                  Erforderlichenfalls kann die Sicherheitsbehörde des EAD Sicherheitsinspektionen veranlassen, die nicht in diesem Programm vorgesehen sind.

                  54.

                  Am Ende der Sicherheitsinspektion werden der inspizierten Einrichtung die wichtigsten Schlussfolgerungen und Empfehlungen vorgelegt. Anschließend erstellt das Inspektionsteam einen Inspektionsbericht. Wurden Abhilfemaßnahmen und Empfehlungen vorgeschlagen, so muss der Bericht hinreichende Einzelheiten zur Untermauerung der betreffenden Schlussfolgerungen enthalten. Der Bericht wird der Sicherheitsbehörde des EAD und dem Leiter der inspizierten Einrichtung übermittelt.
                  Unter der Verantwortung der Direktion Sicherheit des EAD wird regelmäßig ein Bericht erstellt, in dem die Erfahrungswerte, die sich aus den während eines bestimmten Zeitraums durchgeführten Inspektionen ergeben, dargelegt werden; dieser Bericht wird vom Sicherheitsausschuss des EAD geprüft.

         Durchführung von Sicherheitsinspektionen in den nach Titel V Kapitel 2 EUV geschaffenen Agenturen und Einrichtungen der EU sowie anschließende Berichterstattung

                  55.

                  Die Direktion Sicherheit des EAD kann gegebenenfalls Experten für die Beteiligung an gemeinsamen EU-Inspektionsteams benennen, die Sicherheitsinspektionen in den nach Titel V Kapitel 2 EUV geschaffenen Agenturen und Einrichtungen der EU durchführen.

         Prüfliste für Sicherheitsinspektionen des EAD

                  56.

                  Die Sicherheitsbehörde des EAD erstellt eine Prüfliste für die Sicherheitsinspektionen des EAD und aktualisiert diese Liste. Diese Prüfliste wird dem Sicherheitsausschuss des EAD übermittelt.

                  57.

                  Die Informationen zum Ausfüllen der Prüfliste werden insbesondere während der Inspektion vom Sicherheitsmanagement der inspizierten Stelle eingeholt. Nachdem sie mit den ausführlichen Antworten ausgefüllt wurde, wird die Prüfliste im Benehmen mit der inspizierten Stelle als Verschlusssache eingestuft. Sie ist nicht Teil des Inspektionsberichts.

      ANHANG A IV

         SCHUTZ VON EU-VS, DIE IN KOMMUNIKATIONS- UND INFORMATIONSSYSTEMEN BEARBEITET WERDEN

      I.   EINLEITUNG

                  1.

                  Dieser Anhang enthält Vorschriften zur Anwendung von Anhang A Artikel 8.

                  2.

                  Die folgenden Eigenschaften und Konzepte der Informationssicherung sind für die Sicherheit und die ordnungsgemäße Durchführung von Operationen in Kommunikations- und Informationssystemen unerlässlich:

                              Authentizität

                              :

                              die Gewährleistung, dass die Informationen echt sind und aus Bona-fide-Quellen stammen;

                              Verfügbarkeit

                              :

                              der Umstand, dass die Informationen auf Anfrage einer befugten Stelle verfügbar und nutzbar sind;

                              Vertraulichkeit

                              :

                              der Umstand, dass die Informationen nicht gegenüber unbefugten Personen, Stellen oder Verarbeitungsprozessen offengelegt werden;

                              Integrität

                              :

                              der Umstand, dass die Genauigkeit und die Vollständigkeit der Informationen und Werte gewährleistet sind;

                              Beweisbarkeit

                              :

                              die Möglichkeit des Nachweises, dass ein Vorgang oder ein Ereignis stattgefunden hat, so dass dieser Vorgang oder dieses Ereignis nicht nachträglich abgestritten werden kann.

            II.   GRUNDSÄTZE DER INFORMATIONSSICHERUNG

                  3.

                  Die nachstehenden Bestimmungen sind Ausgangsbasis für die Sicherheit eines jeden Kommunikations- und Informationssystems, in dem EU-VS bearbeitet werden. Detaillierte Anforderungen zur Durchführung dieser Bestimmungen werden in Sicherheitskonzepten und Sicherheitsleitlinien für Informationssicherung festgelegt.

         Sicherheitsrisikomanagement

                  4.

                  Sicherheitsrisikomanagement ist ein integraler Bestandteil der Konzeption, der Entwicklung, des Betriebs und der Wartung von Kommunikations- und Informationssystemen. Das Risikomanagement (Bewertung, Behandlung, Akzeptanz und Kommunikation) wird als fortlaufender Prozess gemeinsam von Vertretern der Systemeigner, den für ein Projekt zuständigen Stellen, den für den Betrieb zuständigen Stellen und den Sicherheits-Zulassungsstellen durchgeführt; dabei wird ein bewährtes, transparentes und vollkommen verständliches Risikobewertungsverfahren durchgeführt. Der Umfang des Kommunikations- und Informationssystems und seine Werte müssen gleich zu Beginn des Risikomanagementprozesses klar umrissen sein.

                  5.

                  Die zuständigen Stellen des EAD müssen die potenziellen Bedrohungen für Kommunikations- und Informationssysteme überprüfen und über stets aktuelle und genaue Risikobewertungen entsprechend dem jeweiligen betrieblichen Umfeld verfügen. Sie halten ihre Kenntnisse über potenzielle Schwachstellen stets auf dem neuesten Stand und überprüfen regelmäßig die Bewertung der Schwachstellen, um den sich ändernden IT-Gegebenheiten Rechnung zu tragen.

                  6.

                  Das Ziel des Sicherheitsrisikomanagements muss darin bestehen, ein Paket von Sicherheitsmaßnahmen anzuwenden, die zu einer zufriedenstellenden Ausgewogenheit zwischen den Anforderungen der Nutzer und dem Sicherheitsrestrisiko führen.

                  7.

                  Die spezifischen Anforderungen, der Maßstab und Grad der Detaillierung, die von der einschlägigen Sicherheitsakkreditierungsstelle (SAA) zur Akkreditierung eines Kommunikations- und Informationssystems festgelegt werden, müssen dem festgestellten Risiko entsprechen; dabei ist allen relevanten Faktoren Rechnung zu tragen, darunter dem Geheimhaltungsgrad der EU-VS, die in dem Kommunikations- und Informationssystem bearbeitet werden. Zur Akkreditierung gehören eine förmliche Erklärung zum Restrisiko und die Akzeptanz des Restrisikos durch eine zuständige Stelle.

         Sicherheit während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems

                  8.

                  Die Gewährleistung der Sicherheit ist während des gesamten Lebenszyklus des CIS ab der Einführung bis zur Außerbetriebstellung erforderlich.

                  9.

                  Die Rolle aller an einem Kommunikations- und Informationssystem Beteiligten und deren Interaktion hinsichtlich der Sicherheit des Systems werden für jede Phase des Lebenszyklus definiert.

                  10.

                  Jegliches CIS einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen wird während des Akkreditierungsprozesses Sicherheitsprüfungen unterzogen, damit gewährleistet ist, dass bei den implementierten Sicherheitsmaßnahmen das entsprechende Sicherheitsniveau erreicht wird, und geprüft wird, dass sie korrekt implementiert, integriert und konfiguriert werden.

                  11.

                  Sicherheitsbewertungen, -inspektionen und -überprüfungen werden während des Betriebs eines Kommunikations- und Informationssystems und während Wartungsarbeiten in regelmäßigen Abständen sowie im Falle außergewöhnlicher Umstände durchgeführt.

                  12.

                  Die Sicherheitsdokumentation für ein Kommunikations- und Informationssystem wird während dessen Lebenszyklus weiterentwickelt als integraler Bestandteil des Prozesses eines Änderungs- und Konfigurationsmanagements.

         Optimale Vorgehensweisen

                  13.

                  Der EAD arbeitet mit dem Generalsekretariat des Rates und den Mitgliedstaaten zusammen, um optimale Vorgehensweisen für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, zu entwickeln. Leitlinien zu optimalen Vorgehensweisen enthalten Sicherheitsmaßnahmen in den Bereichen Technik, physischer Schutz, Organisation und Verfahren für Kommunikations- und Informationssysteme, deren Effizienz bei der Abwehr von Bedrohungen und der Behebung von Schwachstellen belegt ist.

                  14.

                  Für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, sind die Erfahrungen derjenigen Stellen innerhalb und außerhalb der EU, die im Bereich Informationssicherung tätig sind, heranzuziehen.

                  15.

                  Die Verbreitung und anschließende Anwendung optimaler Vorgehensweisen soll dazu beitragen, dass ein gleichwertiges Sicherheitsniveau für die verschiedenen, vom EAD betriebenen Kommunikations- und Informationssystemen erreicht wird, die EU-VS bearbeiten.

         Mehrschichtige Sicherheit

                  16.

                  Um das Risiko bei Kommunikations- und Informationssystemen zu verringern, wird eine Reihe von technischen und nicht technischen Sicherheitsmaßnahmen in Form eines mehrschichtigen Abwehrsystems durchgeführt. Dazu gehören:
                  a)   Abschreckung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, Gegner von einer Planung von Angriffen auf das Kommunikations- und Informationssystem abzuhalten;
                  b)   Prävention: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu verhindern oder abzublocken;
                  c)   Erkennung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu erkennen;
                  d)   Widerstandsfähigkeit: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, die Auswirkungen eines Angriffes auf möglichst wenige Informationen oder Komponenten des CIS zu begrenzen und weiteren Schaden zu verhindern; und
                  e)   Folgenbewältigung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, für das Kommunikations- und Informationssystem eine Situation der Sicherheit wiederherzustellen.
                  Wie streng diese Sicherheitsmaßnahmen zu sein haben und in welchen Fällen sie zur Anwendung kommen, wird durch eine Risikobewertung bestimmt.

                  17.

                  Die zuständigen Stellen des EAD tragen dafür Sorge, dass sie auf Zwischenfälle, die die Grenzen einer Organisation oder eines Staates überschreiten können, reagieren können, damit die Reaktionen koordiniert und Informationen über diese Zwischenfälle und damit zusammenhängende Risikokonstellationen ausgetauscht werden (Computer-Notfall-Reaktionsfähigkeit).

         Minimalitätsprinzip und Prinzip der minimalen Zugriffsrechte

                  18.

                  Nur die für die operativen Anforderungen unbedingt notwendigen Funktionen, Geräte und Dienste werden implementiert, damit unnötige Risiken vermieden werden.

                  19.

                  Nutzer von Kommunikations- und Informationssystemen und automatisierten Verfahrensabläufen erhalten nur den Zugang, die Berechtigung oder die Genehmigungen, die für die Erfüllung ihrer Aufgaben erforderlich sind, damit der Schaden, der durch Zwischenfälle, Fehler oder die unbefugte Nutzung von Ressourcen des Kommunikations- und Informationssystems entstehen kann, begrenzt wird.

                  20.

                  Die von einem Kommunikations- und Informationssystem durchgeführten Registrierungsverfahren werden, soweit erforderlich, als Teil des Akkreditierungsverfahrens überprüft.

         Sensibilisierung in Bezug auf Informationssicherung

                  21.

                  Sensibilisierung für die Risiken und die zur Verfügung stehenden Sicherheitsmaßnahmen ist die erste Verteidigungslinie in Bezug auf die Sicherheit von Kommunikations- und Informationssystemen. Insbesondere muss sich das gesamte Personal, das mit einem Kommunikations- und Informationssystem während dessen Lebenszyklus befasst ist, einschließlich der Nutzer, über Folgendes bewusst sein:

                              a)

                              Sicherheitslücken können den CIS und die gesamte Organisation erheblich schaden;

                              b)

                              aus einer Vernetzung und Verflechtung kann sich potenzieller Schaden für andere ergeben; und

                              c)

                              sie sind persönlich für die Sicherheit eines Kommunikations- und Informationssystems entsprechend ihrer konkreten Aufgabe innerhalb des Systems und der Prozesse verantwortlich und rechenschaftspflichtig.

                  22.

                  Damit sichergestellt ist, dass die Verantwortlichkeiten für die Sicherheit bekannt sind, sind Schulung und Sensibilisierung in Bezug auf Informationssicherung für das gesamte beteiligte Personal, einschließlich des Führungspersonals, und die Nutzer von Kommunikations- und Informationssystemen obligatorisch.

         Evaluierung und Zulassung von IT-Sicherheitsprodukten

                  23.

                  Das erforderliche Maß an Vertrauen in die Sicherheitsmaßnahmen, das als Niveau der Vertrauenswürdigkeit definiert wird, wird aufgrund der Ergebnisse des Risikomanagementprozesses und entsprechend den einschlägigen Sicherheitskonzepten und Sicherheitsleitlinien bestimmt.

                  24.

                  Das Vertrauenswürdigkeitsniveau wird geprüft, indem international anerkannte oder national genehmigte Verfahren und Methoden angewandt werden. Dazu gehören in erster Linie Evaluierung, Kontrollen und Betriebsanalysen.

                  25.

                  Kryptografische Produkte zum Schutz von EU-VS werden von einer nationalen Krypto-Zulassungsstelle (CAA) eines Mitgliedstaats bewertet und genehmigt.

                  26.

                  Bevor kryptografische Produkte der Krypto-Zulassungsstelle des EAD gemäß Artikel 7 Absatz 5 zur Genehmigung empfohlen werden, müssen sie eine Bewertung durch eine zweite Stelle, und zwar eine qualifizierte Behörde (Appropriately Qualified Authority – AQUA) eines Mitgliedstaats, die nicht an der Konzeption oder Herstellung der Ausrüstung beteiligt ist, erfolgreich durchlaufen. Wie detailliert bei einer Zweitevaluierung zu prüfen ist, hängt von dem angestrebten höchsten Geheimhaltungsgrad der EU-VS ab, die mit diesen Produkten geschützt werden sollen.

                  27.

                  Wenn dies aus spezifischen operativen Gründen gerechtfertigt ist, kann die Krypto-Zulassungsstelle des EAD auf Empfehlung des Sicherheitsausschusses auf die Anforderungen nach den Nummern 25 oder 26 verzichten und eine vorläufige Zulassung für einen spezifischen Zeitraum gemäß dem Verfahren nach Artikel 7 Absatz 5 dieses Beschlusses erteilen.

                  28.

                  Eine AQUA ist eine Krypto-Zulassungsstelle eines Mitgliedstaats, die auf der Grundlage von vom Rat festgelegter Kriterien akkreditiert wurde, die Zweitevaluierung von kryptografischen Produkten zum Schutz von EU-VS vorzunehmen.

                  29.

                  Der Hohe Vertreter billigt ein Sicherheitskonzept in Bezug auf die Eignung und Zulassung von nicht-kryptografischen IT-Sicherheitsprodukten.

         Übermittlung innerhalb abgesicherter Bereiche

                  30.

                  Ungeachtet der Bestimmungen dieses Beschlusses kann, wenn EU-VS innerhalb abgesicherter Bereiche übermittelt werden, eine nicht verschlüsselte Verteilung oder eine Verschlüsselung auf einer niedrigeren Stufe unter Zugrundelegung der Ergebnisse eines Risikomanagementprozesses und vorbehaltlich der Zustimmung der SAA erfolgen.

         Sichere Zusammenschaltung von Kommunikations- und Informationssystemen

                  31.

                  Im Sinne dieses Beschlusses ist eine Systemzusammenschaltung die direkte Verbindung von zwei oder mehr IT-Systemen für die gemeinsame Nutzung von Daten und anderen Informationsressourcen (beispielsweise Kommunikation); die Verbindung kann unidirektional oder multidirektional sein.

                  32.

                  Ein Kommunikations- und Informationssystem muss jedes angeschlossene IT-System zunächst als nicht vertrauenswürdig behandeln und Schutzmaßnahmen durchführen, um den Austausch von Verschlusssachen zu kontrollieren.

                  33.

                  Bei der Zusammenschaltung eines Kommunikations- und Informationssystems mit einem anderen IT-System müssen stets die folgenden grundlegenden Anforderungen erfüllt sein:

                              a)

                              die betrieblichen und operativen Anforderungen für solche Zusammenschaltungen müssen von den zuständigen Stellen bekannt gegeben und genehmigt werden;

                              b)

                              die Zusammenschaltung ist einem Risikomanagement- und Akkreditierungsverfahren zu unterziehen und bedarf der Genehmigung der zuständigen Akkreditierungsstellen für IT-Sicherheit (SAA); und

                              c)

                              Dienste für den Schutz von Systemübergängen (Boundary Protection Services, BPS) werden an der Peripherie aller Kommunikations- und Informationssysteme implementiert.

                  34.

                  Es darf keine Zusammenschaltung zwischen einem akkreditierten Kommunikations- und Informationssystem und einem ungeschützten oder öffentlichen Netz geben, außer wenn das Kommunikations- und Informationssystem über zugelassene Dienste für den Schutz von Systemübergängen verfügt, die zu diesem Zweck zwischen dem Kommunikations- und Informationssystem und dem ungeschützten oder öffentlichen Netz installiert wurden. Die Sicherheitsmaßnahmen für einen derartigen Verbund werden von der zuständigen Informationssicherungsstelle überprüft und von der zuständigen SAA genehmigt.
                  Wenn das ungeschützte oder öffentliche Netz lediglich als Träger verwendet wird und die Daten durch ein gemäß Artikel 7 Absatz 5 dieses Beschlusses zugelassenes kryptografisches Produkt verschlüsselt werden, gilt eine derartige Verbindung nicht als Zusammenschaltung.

                  35.

                  Die direkte oder kaskadierte Zusammenschaltung eines Kommunikations- und Informationssystems, das für die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „TRES SECRET UE/EU TOP SECRET“ akkreditiert ist, mit einem ungeschützten oder öffentlichen Netz ist untersagt.

         Elektronische Datenträger

                  36.

                  Die Vernichtung elektronischer Datenträger erfolgt nach Verfahren, die von der Sicherheitsbehörde des EAD genehmigt wurden.

                  37.

                  Elektronische Datenträger werden nach einem gemäß Artikel 7 Absatz 2 dieses Beschlusses festzulegenden Sicherheitskonzept wiederverwendet, herabgestuft oder freigegeben.

         Notsituationen

                  38.

                  Unbeschadet der Bestimmungen dieses Beschlusses können in einer Notsituation wie beispielsweise drohenden oder bereits eingetretenen Krisen, Konflikten, Kriegssituationen oder im Fall besonderer operativer Umstände die nachstehend beschriebenen besonderen Verfahren für einen befristeten Zeitraum angewandt werden.

                  39.

                  EU-VS können mit Hilfe kryptografischer Produkte, die für einen niedrigeren Geheimhaltungsgrad zugelassen sind, oder mit Zustimmung der zuständigen Behörde unverschlüsselt übermittelt werden, wenn eine Verzögerung einen Schaden verursachen würde, der deutlich größer wäre als der Schaden, der durch eine Preisgabe des als Verschlusssache eingestuften Materials entstehen würde, und wenn

                              a)

                              Absender und Empfänger nicht die erforderliche Verschlüsselungseinrichtung oder gar keine Verschlüsselungseinrichtung haben und

                              b)

                              das als Verschlusssache eingestufte Material nicht rechtzeitig auf anderem Wege übermittelt werden kann.

                  40.

                  Verschlusssachen, die unter den unter Nummer 39 erläuterten Umständen übermittelt werden, sind nicht mit Kennzeichnungen oder Angaben zu versehen, die sie von nicht als Verschlusssache eingestuften Informationen oder solchen unterscheiden, die mit einem zur Verfügung stehenden kryptografischen Produkt geschützt werden können. Die Empfänger werden auf anderem Weg unverzüglich über den Geheimhaltungsgrad unterrichtet.

                  41.

                  Wird gemäß Nummer 39 vorgegangen, ist der Direktion Sicherheit des EAD anschließend Bericht zu erstatten, die wiederum den Sicherheitsausschuss des EAD unterrichtet. In diesem Bericht werden mindestens der Absender, der Empfänger und der Herausgeber jeder EU-VS angegeben.

            III.   FUNKTIONEN UND STELLEN FÜR INFORMATIONSSICHERUNG

                  42.

                  Folgende Funktionen im Bereich der Informationssicherung werden im EAD eingerichtet. Hierfür sind keine zentralen organisatorischen Einheiten erforderlich. Für die einzelnen Funktionen werden gesonderte Mandate erteilt. Diese Funktionen und die damit einhergehenden Verantwortlichkeiten können jedoch zusammengefasst oder der gleichen organisatorischen Einheit zugewiesen oder auf verschiedene organisatorische Einheiten aufgeteilt werden, sofern interne Interessen- oder Aufgabenkonflikte vermieden werden.

         Stelle für Informationssicherung (IAA)

                  43.

                  Die Stelle für Informationssicherung ist für Folgendes zuständig:

                              a)

                              Ausarbeitung von Sicherheitskonzepten und Sicherheitsleitlinien für Informationssicherung sowie Überwachung ihrer Wirksamkeit und Relevanz;

                              b)

                              Schutz und Verwaltung der technischen Informationen über kryptografische Produkte;

                              c)

                              Gewährleistung, dass die für den Schutz von EU-VS gewählten Informationssicherungsmaßnahmen den einschlägigen Regeln für ihre Eignung und Auswahl entsprechen;

                              d)

                              Gewährleistung, dass die kryptografischen Produkte unter Einhaltung der Regeln für ihre Eignung und Auswahl gewählt werden;

                              e)

                              Koordinierung von Schulung und Sensibilisierung in Bezug auf Informationssicherung;

                              f)

                              Konsultation des Systembetreibers, der Sicherheitsakteure und der Vertreter der Nutzer in Bezug auf die Sicherheitskonzepte und Leitlinien für Informationssicherung; und

                              g)

                              Gewährleistung, dass in der Fachuntergruppe für Fragen der Informationssicherung des Sicherheitsausschusses des EAD das geeignete Fachwissen vorhanden ist.

         TEMPEST-Stelle

                  44.

                  Die TEMPEST-Stelle (TA) hat sicherzustellen, dass die Kommunikations- und Informationssysteme den TEMPEST-Konzepten und -Leitlinien entsprechen. Sie genehmigt TEMPEST-Schutzmaßnahmen für Installationen und Produkte, damit EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld geschützt sind.

         Krypto-Zulassungsstelle (CAA)

                  45.

                  Die Krypto-Zulassungsstelle hat sicherzustellen, dass kryptografische Produkte dem jeweiligen Kryptografiekonzept entsprechen Sie erteilt für ein kryptografisches Produkt die Zulassung, EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld zu schützen.

         Krypto-Verteilungsstelle (CDA)

                  46.

                  Die Krypto-Verteilungsstelle ist für Folgendes zuständig:

                              a)

                              Verwaltung und Rechenschaftspflicht in Bezug auf EU-Kryptomaterial;

                              b)

                              Gewährleistung, dass für das gesamte EU-Kryptomaterial in Bezug auf Rechenschaftspflicht, sicheren Umgang, Speicherung und Verteilung geeignete Verfahren durchgesetzt und Kanäle eingerichtet werden; und

                              c)

                              Sicherstellung des Transfers von EU-Kryptomaterial zu den oder von den Einzelpersonen oder Dienststellen, die es verwenden.

         Akkreditierungsstelle für IT-Sicherheit (SAA)

                  47.

                  Die Sicherheits-Akkreditierungsstelle (SAA) für das jeweilige System ist für Folgendes zuständig:

                              a)

                              Gewährleistung, dass die Kommunikations- und Informationssysteme den einschlägigen Sicherheitskonzepten und Sicherheitsleitlinien entsprechen, Ausstellung einer Zulassungserklärung für Kommunikations- und Informationssysteme zur Bearbeitung von EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld, wobei die Akkreditierungsvoraussetzungen sowie die Kriterien angegeben werden, aufgrund deren eine erneute Zulassung erforderlich wird;

                              b)

                              Festlegung eines Verfahrens für die Sicherheitsakkreditierung im Einklang mit den einschlägigen Konzepten unter genauer Angabe der Voraussetzungen für die Zulassung von Kommunikations- und Informationssystemen unter der Leitung der SAA;

                              c)

                              Festlegung einer Strategie für die Sicherheitsakkreditierung, in der dargelegt wird, wie detailliert das Akkreditierungsverfahren entsprechend der geforderten Vertraulichkeit angelegt sein muss;

                              d)

                              Prüfung und Zulassung der sicherheitsbezogenen Dokumentation — einschließlich der Erklärung zum Risikomanagement und der Erklärung zum Restrisiko, der Aufstellung der systemspezifischen Sicherheitsanforderungen (im Folgenden „SSRS“), der Dokumentation über die Überprüfung der Sicherheitsimplementierung und der sicherheitsbezogenen Betriebsverfahren (im Folgenden „SecOPs“) — und Gewährleistung, dass sie mit den Sicherheitsvorschriften und -konzepten des Rates übereinstimmt;

                              e)

                              Kontrolle der Implementierung der Sicherheitsmaßnahmen in Bezug auf das Kommunikations- und Informationssystem im Wege der Durchführung oder Förderung von Sicherheitsbewertungen, -kontrollen oder -überprüfungen;

                              f)

                              Festlegung von Sicherheitsanforderungen (z. B. Sicherheitsstufen für die Sicherheitsüberprüfung des Personals) für die Besetzung der für das Kommunikations- und Informationssystem sicherheitskritischen Stellen;

                              g)

                              Förderung der Auswahl von zugelassenen kryptografischen und TEMPEST-Produkten, die zur Gewährleistung der Sicherheit eines Kommunikations- und Informationssystems verwendet werden;

                              h)

                              Genehmigung — oder gegebenenfalls Mitwirkung an der gemeinsamen Genehmigung — der Zusammenschaltung eines Kommunikations- und Informationssystems mit anderen Kommunikations- und Informationssystemen und

                              i)

                              Konsultation des Systembetreibers, der Sicherheitsakteure und der Vertreter der Nutzer in Bezug auf das Sicherheitsrisikomanagement — insbesondere hinsichtlich des Restrisikos — und auf die Voraussetzungen für die Erklärung über die Zulassung.

                  48.

                  Die SAA des EAD ist für die Akkreditierung aller CIS zuständig, die im Zuständigkeitsbereich des EAD betrieben werden.

         Gremium für die Sicherheitsakkreditierung (SAB)

                  49.

                  Wenn CIS in die Zuständigkeit sowohl der SAA des EAD als auch der SAA der Mitgliedstaaten fallen, so nimmt ein gemeinsames Akkreditierungsgremium die Akkreditierung des betreffenden Systems vor. Es setzt sich aus einem SAA-Vertreter jedes Mitgliedstaats zusammen, und je ein SAA-Vertreter des Generalsekretariats des Rates und der Kommission nehmen an den Sitzungen teil. Andere Stellen, die an ein Kommunikations- und Informationssystem angeschlossen sind, werden zu Beratungen über das betreffende System eingeladen.
                  Den Vorsitz des SAB führt ein Vertreter der SAA des EAD. Im SAB beschließen die SAA-Vertreter der Organe, Mitgliedstaaten und sonstigen Stellen, die an das Kommunikations- und Informationssystem angeschlossen sind, einvernehmlich. Das SAB erstellt für den Sicherheitsausschuss des EAD regelmäßig Berichte über seine Tätigkeit und übermittelt ihm alle Akkreditierungserklärungen.

         Für den Betrieb zuständige Stelle für Informationssicherung

                  50.

                  Die für den Betrieb des jeweiligen Systems zuständige Stelle für Informationssicherung ist für Folgendes zuständig:

                              a)

                              Ausarbeitung der Sicherheitsdokumentation im Einklang mit den Sicherheitskonzepten und Sicherheitsleitlinien; dies betrifft insbesondere die SSRS einschließlich der Erklärung zum Restrisiko, die SecOPs und das Kryptokonzept im Rahmen des Akkreditierungsverfahrens für Kommunikations- und Informationssysteme;

                              b)

                              Mitwirkung bei Auswahl und Prüfung der systemspezifischen technischen Sicherheitsmaßnahmen, -vorrichtungen und -software mit dem Ziel, deren Implementierung zu übernehmen und zu gewährleisten, dass sie im Einklang mit der einschlägigen Sicherheitsdokumentation sicher installiert, konfiguriert und gewartet werden;

                              c)

                              Mitwirkung bei der Auswahl der TEMPEST-Sicherheitsmaßnahmen und -vorrichtungen, sofern dies in den SSRS verlangt wird, und Gewährleistung, dass sie in Zusammenarbeit mit der TA sicher installiert und gewartet werden;

                              d)

                              Überwachung der Implementierung und Anwendung der SecOps und gegebenenfalls Übertragung der Verantwortung für die Betriebssicherheit an den Systemeigner;

                              e)

                              Management und Handhabung von kryptografischen Produkten, Gewährleistung der Aufbewahrung von verschlüsseltem und der Kontrolle unterliegendem Material sowie erforderlichenfalls Gewährleistung der Generierung kryptografischer Variablen;

                              f)

                              Durchführung von Sicherheitsanalysen, -überprüfungen und -tests, insbesondere im Hinblick auf die Erstellung der von der SAA verlangten einschlägigen Risikoberichte;

                              g)

                              Durchführung von für das Kommunikations- und Informationssystem spezifischen Schulungen in Bezug auf Informationssicherung;

                              h)

                              Implementierung und Durchführung von für das Kommunikations- und Informationssystem spezifischen Sicherheitsmaßnahmen.

      ANHANG A V

         GEHEIMSCHUTZ IN DER WIRTSCHAFT

      I.   EINLEITUNG

                  1.

                  Dieser Anhang enthält Vorschriften zur Anwendung von Anhang A Artikel 9. Er legt allgemeine Sicherheitsvorschriften für gewerbliche oder andere Einrichtungen fest, die während der Verhandlungen vor der Auftragsvergabe und während der Laufzeit der als Verschlusssache eingestuften Aufträge, die vom EAD vergeben werden, gelten.

                  2.

                  Der Hohe Vertreter billigt ein Konzept für den Geheimschutz in der Wirtschaft, mit dem insbesondere ausführliche Anforderungen in Bezug auf Sicherheitsbescheide für Unternehmen (FSC), Geheimschutzklauseln (SAL), Besuche sowie die Übermittlung und Beförderung von EU-VS aufgestellt werden.

            II.   SICHERHEITSBESTIMMUNGEN BEI ALS VERSCHLUSSSACHE EINGESTUFTEN AUFTRÄGEN

         VS-Einstufungsliste (SCG)

                  3.

                  Vor der Ausschreibung oder der Vergabe eines als Verschlusssache eingestuften Auftrags bestimmt der EAD als Vergabebehörde den Geheimhaltungsgrad für Informationen, die Bietern oder Auftragnehmern zur Verfügung gestellt werden, sowie den Geheimhaltungsgrad für Informationen, die vom Auftragnehmer herauszugeben sind. Zu diesem Zweck erstellt der EAD die bei der Ausführung des Auftrags zu verwendende VS-Einstufungsliste (Security Classification Guide, SCG).

                  4.

                  Für die Bestimmung des Geheimhaltungsgrads der verschiedenen Bestandteile eines als Verschlusssache eingestuften Auftrags gelten die folgenden Grundsätze:

                              a)

                              bei der Erstellung einer VS-Einstufungsliste berücksichtigt das Generalsekretariat des Rates alle relevanten Sicherheitsaspekte, unter anderem den Geheimhaltungsgrad, den der Herausgeber der Information, deren Nutzung für den Auftrag er gebilligt hat, dieser zugewiesen hat;

                              b)

                              Der globale Geheimhaltungsgrad des Auftrags darf nicht niedriger sein als der höchste Grad jeder einzelnen Auftragskomponente; und

                              c)

                              gegebenenfalls setzt sich der EAD mit den nationalen Sicherheitsbehörden/Beauftragten Sicherheitsbehörden der Mitgliedstaaten oder mit der betreffenden sonstigen zuständigen Sicherheitsbehörde in Verbindung, wenn es den Geheimhaltungsgrad von Informationen, die bei der Ausführung eines Auftrags von den Auftragnehmern erstellt oder diesen zur Verfügung gestellt werden, ändert und wenn es nachfolgende Änderungen in der VS-Einstufungsliste vornimmt.

         Geheimschutzklausel (SAL)

                  5.

                  Die auftragsspezifischen Sicherheitsanforderungen werden in einer Geheimschutzklausel beschrieben. Die Geheimschutzklausel enthält gegebenenfalls die VS-Einstufungsliste und ist fester Bestandteil eines als Verschlusssache eingestuften Auftrags oder Subauftrags.

                  6.

                  Die Geheimschutzklausel enthält die Bestimmungen, mit denen der Auftragnehmer und/oder Subauftragnehmer verpflichtet wird, die Mindeststandards dieses Beschlusses einzuhalten. Die Nichteinhaltung dieser Mindeststandards kann einen ausreichenden Grund dafür darstellen, dass der Auftrag gekündigt wird.

         Sicherheitsanweisung für ein Programm/Projekt (PSI)

                  7.

                  Abhängig vom Umfang von Programmen oder Projekten, die mit dem Zugang zu oder der Bearbeitung oder Aufbewahrung von EU-VS verbunden sind, kann eine spezifische Sicherheitsanweisung für ein Programm/Projekt (Programme/Project Security Instructions, PSI) von der mit der Verwaltung des Programms oder Projekts beauftragten Vergabebehörde ausgearbeitet werden. Die Sicherheitsanweisung bedarf der Genehmigung durch die nationalen Sicherheitsbehörden/Beauftragten Sicherheitsbehörden der Mitgliedstaaten oder durch eine andere zuständige Sicherheitsbehörde, die an dem Programm/Projekt beteiligt ist, und kann zusätzliche Sicherheitserfordernisse beinhalten.

            III.   SICHERHEITSBESCHEID FÜR UNTERNEHMEN (FSC)

                  8.

                  Die Direktion Sicherheit des EAD ersucht die nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine andere zuständige Behörde des betreffenden Mitgliedstaats um Ausstellung eines Sicherheitsbescheids für Unternehmen, der gemäß den innerstaatlichen Rechtsvorschriften Auskunft darüber gibt, dass ein industrielles oder anderes Unternehmen in der Lage ist, EU-VS bis zu dem entsprechenden Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“) in seinen Anlagen zu schützen. Ein Nachweis über die Ausstellung des Bescheids ist dem EAD vorzulegen, bevor einem Auftragnehmer oder Unterauftragnehmer bzw. einem möglichen Auftragnehmer oder Unterauftragnehmer EU-VS zur Verfügung gestellt werden können oder ihm Zugang zu diesen gewährt werden kann.

                  9.

                  Der EAD als Vergabebehörde teilt der zuständigen nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde oder einer anderen zuständigen Sicherheitsbehörde gegebenenfalls mit, dass ein Sicherheitsbescheid für Unternehmen in der Phase vor der Auftragsvergabe oder für die Ausführung des Auftrags erforderlich ist. Ein Sicherheitsbescheid für Unternehmen oder eine Sicherheitsermächtigung ist in der Phase vor der Auftragsvergabe erforderlich, wenn EU-VS mit dem Geheimhaltungsgrad „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ während des Bietverfahrens zur Verfügung gestellt werden müssen.

                  10.

                  Der EAD als Vergabebehörde vergibt keinen als Verschlusssache eingestuften Auftrag an einen bevorzugten Bieter, bevor sie von der nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde oder einer anderen zuständigen Sicherheitsbehörde des Mitgliedstaats, in dem der betreffende Auftragnehmer oder Subauftragnehmer eingetragen ist, die Bestätigung erhalten hat, dass erforderlichenfalls ein entsprechender Sicherheitsbescheid für das Unternehmen erteilt wurde.

                  11.

                  Der EAD als Vergabebehörde ersucht die nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder die sonstige zuständige Sicherheitsbehörde, die einen Sicherheitsbescheid erteilt hat, ihn über etwaige nachteilige Erkenntnisse zu unterrichten, die diesen Sicherheitsbescheid betreffen. Bei Subaufträgen ist die nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde entsprechend zu informieren.

                  12.

                  Die Aufhebung eines Sicherheitsbescheids für Unternehmen durch die jeweilige nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde stellt für den EAD als Vergabebehörde einen ausreichenden Grund dar, den als Verschlusssache eingestuften Auftrag zu kündigen oder einen Bieter vom Vergabeverfahren auszuschließen.

            IV.   SICHERHEITSÜBERPRÜFUNGSBESCHEINIGUNGEN (PSC) FÜR DAS PERSONAL VON AUFTRAGNEHMERN

                  13.

                  Das Personal eines Auftragnehmers, das Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS haben muss, wird ordnungsgemäß sicherheitsüberprüft und erhält Zugang zu Informationen nach dem Prinzip „Kenntnis nur bei Bedarf“ („need-to-know“). Obwohl für den Zugang zu als „RESTREINT UE/EU RESTRICTED“ eingestuften EU-VS keine Sicherheitsermächtigung erforderlich ist, wird dieser Zugang nur nach dem Prinzip „Kenntnis nur bei Bedarf“ gewährt.

                  14.

                  Sicherheitsermächtigungen für das Personal von Auftragnehmer sind bei der für die betreffende Einrichtung zuständigen nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde zu beantragen.

                  15.

                  Der EAD macht Auftraggeber, die einen Drittstaatsangehörigen für eine Tätigkeit einstellen wollen, für die der Zugang zu EU-VS erforderlich ist, darauf aufmerksam, dass die nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde in dem Mitgliedstaat, in dem das einstellende Unternehmen sein Sitz hat und eingetragen ist, dafür zuständig ist, zu entscheiden, ob der betreffenden Person der Zugang zu solchen Informationen nach Maßgabe dieses Beschlusses gewährt werden kann, und zu bestätigen, dass der Herausgeber vor Gewährung des Zugangs zu Informationen seine Zustimmung erteilt hat.

            V.   ALS VERSCHLUSSSACHE EINGESTUFTE AUFTRÄGE UND SUBAUFTRÄGE

                  16.

                  Werden EU-VS einem Bieter in der Phase vor der Auftragsvergabe zur Verfügung gestellt, so enthält die Aufforderung zur Angebotsabgabe eine Geheimschutzklausel, wonach ein Bieter, der kein Angebot abgibt oder der nicht ausgewählt wird, verpflichtet ist, alle Unterlagen innerhalb einer vorgegebenen Frist zurückzugeben.

                  17.

                  Sobald der Zuschlag für einen als Verschlusssache eingestuften Auftrag oder Subauftrag erteilt wurde, teilt der EAD als Vergabebehörde der nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde des Auftragnehmers oder Subauftragnehmers oder einer sonstigen zuständigen Sicherheitsbehörde die Sicherheitsvorschriften für den als Verschlusssache eingestuften Auftrag mit.

                  18.

                  Bei Kündigung oder Ablauf dieser Aufträge informiert der EAD als Vergabebehörde (und/oder gegebenenfalls die nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde bei Subaufträgen) unverzüglich die nationale Sicherheitsbehörde/Beauftrage Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde des Mitgliedstaats, in dem der Auftragnehmer oder Subauftragnehmer eingetragen ist, darüber.

                  19.

                  Generell ist der Auftragnehmer oder Subauftragnehmer verpflichtet, bei der Kündigung oder Ablauf eines als Verschlusssache eingestuften Auftrags oder Subauftrags in seinem Besitz befindliche EU-VS an die Vergabebehörde zurückzugeben.

                  20.

                  Die besonderen Bestimmungen für die Vernichtung von EU-VS während der Ausführung des Auftrags oder bei dessen Kündigung oder Ablauf werden in der Geheimschutzklausel festgelegt.

                  21.

                  Wird dem Auftragnehmer oder Subauftragnehmer gestattet, EU-VS nach Kündigung oder Ablauf eines Auftrags zu behalten, so müssen die in diesem Beschluss niedergelegten Mindeststandards weiterhin eingehalten und die Geheimhaltung von EU-VS von dem Auftragnehmer oder Subauftragnehmer geschützt werden.

                  22.

                  Die Bedingungen, zu denen der Auftragnehmer Unteraufträge vergeben darf, sind in der Ausschreibung und im Auftrag festgelegt.

                  23.

                  Der Auftragnehmer holt die Erlaubnis des EAD als Vergabebehörde ein, bevor er für Teile eines als Verschlusssache eingestuften Auftrags Unteraufträge vergibt. Subaufträge können nicht an industrielle oder andere Unternehmen vergeben werden, die in einem Nicht-EU-Mitgliedstaat eingetragen sind, der mit der EU kein Geheimschutzabkommen geschlossen hat.

                  24.

                  Der Auftragnehmer ist dafür verantwortlich, sicherzustellen, dass alle im Rahmen von Unteraufträgen vergebenen Tätigkeiten im Einklang mit den Mindeststandards dieses Beschlusses ausgeführt werden; er stellt einem Subauftragnehmer EU-VS nicht ohne die vorherige schriftliche Einwilligung der Vergabebehörde zur Verfügung.

                  25.

                  Für EU-VS, die von einem Auftragnehmer oder Subauftragnehmer herausgegeben oder bearbeitet werden, werden die dem Herausgeber obliegenden Rechte von der Vergabebehörde ausgeübt.

            VI.   BESUCHE IM ZUSAMMENHANG MIT ALS VERSCHLUSSSACHE EINGESTUFTEN AUFTRÄGEN

                  26.

                  Benötigen der EAD, die Auftragnehmer oder die Subauftragnehmer zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ in den Räumlichkeiten des jeweils anderen, werden im Benehmen mit der jeweiligen nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde Besuche vereinbart. Dies lässt die Befugnis der nationalen Sicherheitsbehörden/Beauftragten Sicherheitsbehörden unberührt, im Zusammenhang mit spezifischen Projekten ein Verfahren vereinbaren, nach dem Besuche unmittelbar verabredet werden können.

                  27.

                  Alle Besucher müssen über eine entsprechende VS-Ermächtigung verfügen und im Hinblick auf den Zugang zu EU-VS in Verbindung mit dem Auftrag des EAD dem Erfordernis „Kenntnis nur, wenn nötig“ genügen.

                  28.

                  Die Besucher erhalten nur Zugang zu EU-VS, die mit dem Zweck des Besuchs in Beziehung stehen.

            VII.   ÜBERMITTLUNG UND BEFÖRDERUNG VON EU-VS

                  29.

                  Für die Übermittlung von EU-VS auf elektronischem Wege gelten die einschlägigen Bestimmungen des Artikels 8 des Anhang A sowie des Anhangs A IV.

                  30.

                  Für die Beförderung von EU-VS gelten die einschlägigen Bestimmungen des Anhangs A III im Einklang mit den innerstaatlichen Rechtsvorschriften.

                  31.

                  Für die Beförderung von Verschlusssachen als Fracht gelten folgende Grundsätze bei der Festlegung der Sicherheitsvorkehrungen:

                              a)

                              die Sicherheit muss vom Ausgangsort bis zum endgültigen Bestimmungsort in allen Phasen der Beförderung gewährleistet sein;

                              b)

                              das Schutzniveau für eine Sendung richtet sich nach dem höchsten Geheimhaltungsgrad des in der Sendung enthaltenen Materials;

                              c)

                              die Transportunternehmen benötigen einen Sicherheitsbescheid für Unternehmen des entsprechenden Geheimhaltungsgrads, wenn sie in ihren Einrichtungen Verschlusssachen aufbewahren sollen. In solchen Fällen müssen die Personen, die einen VS-Transport durchführen, eine angemessene Sicherheitsüberprüfung gemäß Anhang I durchlaufen haben;

                              d)

                              vor jeder grenzüberschreitenden Verbringung von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuftem Material stellt der Absender einen Transportplan auf, der vom EAD - ggf. in Rücksprache mit den nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörden in den Mitgliedstaaten, in denen der Absender und der Empfänger ihren Sitz haben, oder einer sonstigen zuständigen Sicherheitsbehörde - genehmigt wird;

                              e)

                              die Beförderung erfolgt nach Möglichkeit ohne Umwege und wird so rasch abgeschlossen, wie es die Umstände erlauben;

                              f)

                              nach Möglichkeit werden nur Transportrouten gewählt, die durch die Mitgliedstaaten führen. Transportrouten, die durch andere Staaten als Mitgliedstaaten führen, werden nur gewählt, wenn dies vom EAD oder von einer sonstigen zuständigen Sicherheitsbehörde sowohl des Staates des Absenders als auch des Staates des Empfängers genehmigt worden ist.

            VIII.   WEITERGABE VON EU-VS AN AUFTRAGNEHMER IN DRITTSTAATEN

                  32.

                  EU-VS werden an Auftragnehmer und Subauftragnehmer in Drittstaaten, die über ein gültiges Gemeinschutzabkommen mit der EU verfügen, nach Maßgabe der Geheimschutzmaßnahmen weitergegeben, die zwischen dem EAD als Vergabebehörde und der nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde des betreffenden Drittstaats, in dem der Auftragnehmer eingetragen ist, vereinbart wurden.

            IX.   BEARBEITUNG UND VERWAHRUNG VON ALS „RESTREINT UE/EU RESTRICTED“ EINGESTUFTEN VERSCHLUSSSACHEN

                  33.

                  Gegebenenfalls im Benehmen mit der nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde des Mitgliedstaats ist der Europäische Auswärtige Dienst als Vergabebehörde berechtigt, Besuche in den Anlagen von Auftragnehmern/Subauftragnehmern auf der Grundlage vertraglicher Bestimmungen durchzuführen, um zu überprüfen, dass die nach dem Vertrag erforderlichen einschlägigen Geheimschutzmaßnahmen zum Schutz von EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ getroffen wurden.

                  34.

                  Soweit dies nach den innerstaatlichen Rechtsvorschriften erforderlich ist, werden die nationalen Sicherheitsbehörden/Beauftragten Sicherheitsbehörden oder eine andere zuständige Sicherheitsbehörde vom EAD als Vergabebehörde über Aufträge oder Subaufträge, die als „RESTREINT UE/EU RESTRICTED“ eingestufte Informationen enthalten, unterrichtet.

                  35.

                  Bei Aufträgen des EAD mit Informationen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ ist ein Sicherheitsbescheid für Unternehmen oder eine Sicherheitsermächtigung für Auftragnehmer und Subauftragnehmer und deren Personal nicht erforderlich.

                  36.

                  Der EAD als Vergabebehörde prüft die Antworten auf Ausschreibungen bei Aufträgen, die Zugang zu Informationen des Geheimhaltungsgrads „RESTREINT EU/EU RESTRICTED“ erfordern, ungeachtet etwaiger Anforderungen in Bezug auf einen Sicherheitsbescheid für Unternehmen oder eine Sicherheitsermächtigung, die nach Maßgabe der innerstaatlichen Rechtsvorschriften gegebenenfalls bestehen.

                  37.

                  Die Bedingungen für die Vergabe von Unteraufträgen durch den Auftragnehmer stehen im Einklang mit Nummern 22-24.

                  38.

                  Ist mit einem Auftrag die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ in einem Kommunikations- und Informationssystem verbunden, das vom Auftragnehmer betrieben wird, so stellt der EAD als Vergabebehörde sicher, dass in dem Auftrag und etwaigen Subaufträgen die notwendigen technischen und organisatorischen Anforderungen in Bezug auf die Akkreditierung des Kommunikations- und Informationssystems angegeben werden, die dem festgestellten Risiko entsprechen, wobei allen relevanten Faktoren Rechnung zu tragen ist. Der Umfang der Akkreditierung eines solchen Kommunikations- und Informationssystems ist von der Vergabebehörde mit der betreffenden nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde zu vereinbaren.

      ANHANG A VI

         AUSTAUSCH VON VERSCHLUSSSACHEN MIT DRITTSTAATEN UND INTERNATIONALEN ORGANISATIONEN

      I.   EINLEITUNG

                  1.

                  Dieser Anhang enthält Vorschriften zur Anwendung von Anhang A Artikel 10.

            II.   VEREINBARUNGEN FÜR DEN AUSTAUSCH VON VERSCHLUSSSACHEN

                  2.

                  Der EAD kann gemäß Artikel 10 Absatz 1 des Anhangs A EU-VS mit Drittstaaten oder internationalen Organisationen austauschen.
                  Bei der Wahrnehmung der Aufgaben nach Artikel 218 AEUV wird der Hohe Vertreter wie folgt unterstützt:

                              a)

                              Die zuständige geographische oder thematische Abteilung des EAD ermittelt in Rücksprache mit der Direktion Sicherheit des EAD den Bedarf an einem langfristigen Austausch von EU-VS mit dem betreffenden Drittstaat bzw. der betreffenden internationalen Organisation;

                              b)

                              die Direktion Sicherheit des EAD legt - in Rücksprache mit der zuständigen geographischen Abteilung des EAD - dem Hohen Vertreter die Textentwürfe vor, die dem Rat im Einklang mit Artikel 218 Absatz 3, 5 und 6 AEUV vorgelegt werden sollen;

                              c)

                              die Direktion Sicherheit des EAD unterstützt den Hohen Vertreter bei der Führung von Verhandlungen in Abstimmungen mit den zuständigen Dienststellen der Kommission und des Generalsekretariats des Rates;

                              d)

                              in Bezug auf Abkommen oder Vereinbarungen mit Drittstaaten über deren Beteiligung an GSVP-Krisenbewältigungseinsätzen nach Artikel 10 Absatz 1 Buchstabe c des Anhangs A legt die Direktion Krisenbewältigung und Planung des EAD in Rücksprache mit den zuständigen Dienststellen des EAD dem Hohen Vertreter die Textentwürfe vor, di dem Rat nach Artikel 218 Absatz 3, 5 und 6 AEUV vorgelegt werden sollten, und unterstützen den Hohen Vertreter bei der Führung von Verhandlungen in Abstimmung mit den zuständigen Dienststellen des EAD und des Generalsekretariats des Rates.

                  3.

                  Sehen Geheimschutzabkommen die Vereinbarung von technischen Durchführungsbestimmungen zwischen der Direktion Sicherheit des EAD – in Rücksprache mit der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Kommission und dem Sicherheitsbüro des Generalsekretariats des Rates – und der zuständigen Geheimschutzbehörde des betreffenden Drittstaates bzw. der betreffenden internationalen Organisationen vor, so tragen diese Durchführungsbestimmungen dem durch die Geheimschutzbestimmungen, -strukturen und –verfahren des Drittstaates bzw. der internationalen Organisation gewährleisteten Schutzniveau Rechnung.

                  4.

                  Wenn langfristig die Notwendigkeit besteht, dass der EAD mit einem Drittstaat oder einer internationalen Organisation Verschlusssachen, die höchstens in den Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ eingestuft sind, austauscht, und wenn festgestellt wird, dass die betreffende Vertragspartei nicht über ein ausreichend entwickeltes Sicherheitssystem verfügt, um ein Geheimschutzabkommen abschließen zu können, kann der Hohe Vertreter nach einstimmiger befürwortender Stellungnahme des EAD-Sicherheitsausschusses nach Artikel 14 Absatz 5 dieses Beschlusses eine Verwaltungsvereinbarung mit den zuständigen Stellen des betreffenden Drittstaats oder der betreffenden internationalen Organisation schließen.

                  5.

                  EU-VS werden nicht auf elektronischem Wege mit einem Drittstaat oder einer internationalen Organisation ausgetauscht, es sei denn, dies ist in dem Geheimschutzabkommen oder der Verwaltungsvereinbarungen ausdrücklich vorgesehen.

                  6.

                  Nach Maßgabe einer Verwaltungsvereinbarung über den Austausch von Verschlusssachen benennen der EAD und der betreffende Drittstaat bzw. die betreffende internationale Organisation ein Register, das als zentrale Stelle für den Ein- und Ausgang der austauschten VS dient. Für den EAD ist dies das EAD-Zentralregister.

                  7.

                  Verwaltungsvereinbarungen werden in der Regel in Form eines Briefwechsels geschlossen.

            III   BEWERTUNGSBESUCHE

                  8.

                  Bewertungsbesuche gemäß Artikel 16 dieses Beschlusses werden im gegenseitigen Einvernehmen mit dem betreffenden Drittstaat bzw. der betreffenden internationalen Organisation durchgeführt und dienen zur Bewertung

                              a)

                              des für den Schutz von Verschlusssachen geltende Rechtsrahmen;

                              b)

                              etwaiger besonderer Merkmale der Geheimschutzgesetze, -vorschriften, -strategien oder –verfahren des Drittstaates bzw. der internationalen Organisationen, die sich auf das Höchstvolumen von Verschlusssachen, die ausgetauscht werden können, auswirken könnten;

                              c)

                              der derzeit zum Schutz von Verschlusssachen geltenden Sicherheitsmaßnahmen und –verfahren;

                              d)

                              der Verfahren für die Sicherheitsüberprüfung des Personals für den Geheimhaltungsgrad der EU-VS, die weitergegeben werden sollen.

                  9.

                  Keine EU-Verschlusssachen werden ausgetauscht, bevor ein Bewertungsbesuch durchgeführt und die Ebene, auf der Verschlusssachen zwischen den Vertragsparteien ausgetauscht werden können, auf der Grundlage der Gleichwertigkeit des gewährten Schutzniveaus bestimmt wurde.
                  Sollte noch vor einem solchen Bewertungsbesuch der Hohe Vertreter auf außergewöhnliche oder dringende Gründe für den Austausch von Verschlusssachen aufmerksam gemacht werden, so

                              a)

                              holt der EAD die Zustimmung des Herausgebers ein, um auszuschließen, dass es Gründe für die Nichtfreigabe der Verschlusssachen gibt, und

                              b)

                              verweist den Fall an die EAD-Sicherheitsbehörde, die die Freigabe der Verschlusssachen beschließen kann, vorausgesetzt, dass die im EAD-Sicherheitsausschuss vertretenen Mitgliedstaaten einstimmig eine befürwortende Stellungnahme abgegeben haben.

                        Kann der EAD den Herausgeber nicht ermitteln, so übernimmt die EAD-Sicherheitsausschuss die Verantwortung des Herausgebers, nachdem er die einstimmige befürwortende Stellungnahme der im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten eingeholt hat.

            IV.   ERMÄCHTIGUNG ZUR WEITERGABE VON EU-VS AN DRITTSTAATEN ODER INTERNATIONALE ORGANISATIONEN

                  10.

                  Besteht bereits ein Rahmen für den Austausch von Verschlusssachen mit einem Drittstaat oder einer internationalen Organisation gemäß Artikel 10 Absatz 1 des Anhangs A, so wird die Entscheidung zur Freigabe von EU-Verschlusssachen an einen Drittstaat oder eine internationale Organisation durch den EAD von der EAD-Sicherheitsbehörde getroffen, die diese Befugnis an leitende EAD-Beamte oder andere ihr unterstehende Personen übertragen kann.

                  11.

                  Handelt es sich beim Herausgeber der freizugebenden Verschlusssachen, einschließlich der Herausgeber des möglicherweise darin enthaltenen Quellenmaterials, nicht um den EAD, so holt der EAD zunächst die schriftliche Zustimmung des Herausgebers eins, um auszuschließen, dass Gründe für die Nichtfreigabe der Verschlusssachen bestehen. Kann der EAD den Herausgeber nicht ermitteln, so übernimmt die EAD-Sicherheitsausschuss die Verantwortung des Herausgebers, nachdem er die einstimmige befürwortende Stellungnahme der im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten eingeholt hat.

            V.   AD-HOC-WEITERGABE VON EU-VERSCHLUSSSACHEN IN AUSNAHMEFÄLLEN

                  12.

                  Ist kein Rahmen gemäß Artikel 10 Absatz 1 des Anhangs A vorhanden und ist die Freigabe von EU-Verschlusssachen aus politischen, operativen oder dringenden Gründe im Interesse der EU oder eines oder mehrerer ihrer Mitgliedstaaten, so können EU-Verschlusssachen unter folgenden Voraussetzungen ausnahmsweise an einen Drittstaat oder eine internationale Organisation weitergegeben werden:
                  Nachdem sie sichergestellt hat, dass die Bedingungen nach Nummer 11 erfüllt sind, ergreift Direktion Sicherheit des EAD folgende Maßnahmen:

                              a)

                              Sie vergewissert sich, soweit es möglich ist, zusammen mit den Sicherheitsbehörden des betreffenden Drittstaats oder der betreffenden internationalen Organisation, dass dessen bzw. deren Sicherheitsvorschriften, -strukturen und -verfahren so beschaffen sind, dass sie die Gewähr dafür bieten, dass die an ihn bzw. sie weitergegebenen EU-VS nach Maßgabe von Standards geschützt sind, die nicht weniger streng als die in diesem Beschluss festgelegten Standards sind;

                              b)

                              sie ersucht den Sicherheitsausschuss des EAD, anhand der verfügbaren Informationen eine Stellungnahme im Hinblick auf die Vertrauenswürdigkeit der Sicherheitsvorschriften, -strukturen und –verfahren des Drittstaat bzw. der internationalen Organisation, an den/die die EU-VS weitergegeben werden sollen, zu formulieren.

                              c)

                              sie verweist den Fall an die EAD-Sicherheitsbehörde, die die Freigabe der Verschlusssachen beschließen kann, vorausgesetzt, dass die im EAD-Sicherheitsausschuss vertretenen Mitgliedstaaten einstimmig eine befürwortende Stellungnahme abgegeben haben.

                  13.

                  Ist kein Rahmen gemäß Artikel 10 Absatz 1 des Anhangs A vorhanden, so verpflichtet sich der betreffende Dritte zum angemessenen Schutz von EU-Verschlusssachen.

      ANHANG A
      BEGRIFFBESTIMMUNGEN
      Für die Zwecke dieses Beschlusses gelten folgenden Begriffsbestimmungen:

                  „Akkreditierung“: Verfahren, das zu einer förmlichen Erklärung der Sicherheits-Akkreditierungsstelle (SAA) führt, wonach ein System für den Betrieb mit einem definierten Geheimhaltungsgrad, in einem bestimmten Sicherheitsmodus in seiner Betriebsumgebung und bei einem akzeptablen Risikoniveau unter der Voraussetzung zugelassen wird, dass ein anerkanntes Bündel von Sicherheitsmaßnahmen in den Bereichen Technik, physischer Schutz, Organisation und Verfahren durchgeführt wird;

                  „Wert“: alles, was für eine Organisation, ihre Tätigkeiten und deren Kontinuität, einschließlich der Informationsressourcen, auf die sich die Organisation bei der Wahrnehmung ihrer Aufgaben stützt, von Nutzen ist;

                  „Ermächtigung zum Zugang zu EU-VS“: Ermächtigung der Sicherheitsbehörde des EAD, die gemäß diesen Beschluss nach Abschluss einer Sicherheitsüberprüfung durch die zuständigen Behörden eines Mitgliedstaats erteilt wird und bescheinigt, dass einer Person, die nachweislich Kenntnis von Verschlusssachen haben muss, bis zu einem bestimmten Datum Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) gestattet werden kann;

                  „Verletzung“: Handlung oder Unterlassung seitens einer Person, die den in diesem Beschluss festgelegten Sicherheitsvorschriften und/oder den zu seiner Umsetzung notwendigen Sicherheitskonzepten oder -leitlinien zuwiderläuft;

                  „Lebenszyklus eines Kommunikations- und Informationssystems“: die gesamte Lebensdauer eines Kommunikations- und Informationssystems, die Initiierung, Konzeption, Planung, Anforderungsanalyse, Entwurf, Entwicklung, Erprobung, Implementierung, Betrieb, Wartung und Außerbetriebnahme umfasst;

                  „als Verschlusssache eingestufter Auftrag“: Vertrag zwischen dem EAD und einem Auftragnehmer über die Lieferung von Waren, die Durchführung von Arbeiten oder die Erbringung von Dienstleistungen, dessen Ausführung den Zugang zu oder die Erstellung von EU-VS erfordert oder mit sich bringt;

                  „als Verschlusssache eingestufter Unterauftrag“: Vertrag zwischen einem Auftragnehmer des EAD und einem anderen Auftragnehmer (d.h. dem Unterauftragnehmer) über die Lieferung von Waren, die Durchführung von Arbeiten oder die Erbringung von Dienstleistungen, dessen Ausführung den Zugang zu oder die Erstellung von EU-VS erfordert oder mit sich bringt;

                  „Kommunikations- und Informationssystem“: System, das die Bearbeitung von Informationen in elektronischer Form ermöglicht; Zu einem Kommunikations- und Informationssystem gehören sämtliche für seinen Betrieb benötigten Voraussetzungen, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen siehe Artikel 8 Absatz 2 des Anhangs A;

                  „Kenntnisnahme von EU-Verschlusssachen durch Unbefugte“: EU-Verschlusssachen werden ganz oder teilweise an unbefugte Personen oder Einrichtungen weitergegeben — siehe Artikel 8 Absatz 2;

                  „Auftragnehmer“: Einzelperson oder Rechtsperson, die geschäftsfähig ist;

                  „kryptografische (Krypto-)Produkte“: kryptografische Algorithmen, kryptografische Hardware- und Softwaremodule und Produkte, die Implementierungsdetails enthalten, sowie die dazugehörige Dokumentation und das Verschlüsselungsmaterial;

                  „GSVP-Operation“: militärische oder zivile Krisenbewältigungsoperationen nach Titel V Kapitel 2 EUV;

                  „Aufhebung des Geheimhaltungsgrades“: Löschung jeder Geheimhaltungskennzeichnung;

                  „mehrschichtige Sicherheit“ (defence in depth): Anwendung einer Reihe von Sicherheitsmaßnahmen in Form eines mehrschichtigen Abwehrsystems;

                  „beauftragte Sicherheitsbehörde“: Behörde, die gegenüber der nationalen Sicherheitsbehörde eines Mitgliedstaats für die Unterrichtung industrieller oder anderer Unternehmen über die nationale Politik in allen Fragen des Geheimschutzes in der Wirtschaft und für Weisungen und Unterstützung bei seiner Umsetzung verantwortlich ist. Die Funktion der Beauftragten Sicherheitsbehörde kann von der nationalen Sicherheitsbehörde oder einer anderen dazu qualifizierten Behörde wahrgenommen werden;

                  „Dokument“: jede aufgezeichnete Information, unabhängig von ihrer materiellen Form oder ihren Merkmalen;

                  „Herabstufung“: Einstufung in einen niedrigeren Geheimhaltungsgrad;

                  „EU-Verschlusssachen“ („EU-VS“): alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte — siehe Artikel 2 Buchstabe f;

                  „Sicherheitsbescheid für Unternehmen“ (Facility Security Clearance, FSC): die verwaltungsrechtliche Feststellung durch eine nationale Sicherheitsbehörde oder Beauftragte Sicherheitsbehörde, dass ein Unternehmen unter dem Gesichtspunkt der Sicherheit ausreichenden Schutz für EU-VS eines bestimmten Geheimhaltungsgrads bietet und dass sein Personal, das Zugang zu EU-VS haben muss, ordnungsgemäß sicherheitsüberprüft ist und über die für den Zugang zu und den Schutz von EU-VS erforderlichen einschlägigen Sicherheitsanforderungen belehrt wurde;

                  „Bearbeitung“ von EU-VS: alle möglichen Handlungen, denen EU-VS während ihres gesamten Lebenszyklus unterliegen können. Sie umfasst die Erstellung, Verarbeitung, Beförderung, Herabstufung, Freigabe und Zerstörung. In Bezug auf Kommunikations- und Informationssysteme umfasst sie ferner die Sammlung, Darstellung, Übermittlung und Speicherung;

                  „Besitzer“: ordnungsgemäß ermächtigte Person, die nachweislich Kenntnis von Verschlusssachen haben muss und die im Besitz einer EU-VS ist und dementsprechend für deren Schutz verantwortlich ist;

                  „gewerbliche oder andere Einrichtung“: Einrichtung, die an der Lieferung von Waren, der Durchführung von Arbeiten oder der Erbringung von Dienstleistungen beteiligt ist; dabei kann es sich um Industrie-, Handels-, Dienstleistungs-, Wissenschafts-, Forschungs-, Bildungs- oder Entwicklungseinrichtungen oder um Personen, die eine selbständige Tätigkeit ausüben, handeln;

                  „gewerbliche Geheimschutz“: Anwendung von Maßnahmen, die darauf abzielen, den Schutz von EU-VS durch Auftragnehmer oder Unterauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der Laufzeit des als Verschlusssache eingestuften Auftrags zu gewährleisten — siehe Artikel 9 Absatz 1 des Anhangs A;

                  „Informationssicherung“ (Information Assurance, IA) im Bereich von Kommunikations- und Informationssystemen beinhaltet das Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Prozess des Risikomanagements — siehe Artikel 8 Absatz 1 des Anhangs A;

                  „Zusammenschaltung“: für die Zweckes dieses Beschlusses die direkte Verbindung von zwei oder mehr IT-Systemen zum Zweck der gemeinsamen Nutzung von Daten und anderen Informationsressourcen (beispielsweise Kommunikation); die Verbindung kann unidirektional oder multidirektional sein — siehe Anhang A IV, Nummer 31;

                  „Verwaltung von Verschlusssachen“: Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 5, 6 und 8 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern oder festzustellen und entsprechende Maßnahmen zur Wiederherstellung der Sicherheit zu treffen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Beförderung, die Bearbeitung, die Aufbewahrung und die Vernichtung von EU-VS — siehe Artikel 7 Absatz 1 des Anhangs A;

                  „Material“: Dokumente oder Geräte oder Ausrüstungsgegenstände jeder Art, die bereits hergestellt oder noch in der Herstellung befindlich sind;

                  „Herausgeber“: das Organ, die Agentur oder die Einrichtung der EU, der Mitgliedstaat, der Drittstaat oder die internationale Organisation, unter dessen/deren Aufsicht Verschlusssachen erstellt und/oder in die Strukturen der EU eingebracht wurden;

                  „Personeller Geheimschutz“: Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die

                              —

                              Kenntnis von EU-VS haben müssen,

                              —

                              für den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen über eine Sicherheitsermächtigung für den entsprechenden Geheimhaltungsgrad verfügt oder auf andere Weise aufgrund ihrer Tätigkeit nach Maßgabe der innerstaatlichen Rechtsvorschriften ordnungsgemäß befugt sind und

                              —

                              über ihre Verantwortlichkeiten belehrt worden sind;

                        - siehe Artikel 5 Absatz 1 des Anhangs A;

                  „Sicherheitsermächtigung“ mit Blick auf den Zugang zu EU-VS: eine Erklärung einer zuständigen Behörde eines Mitgliedstaats, die nach Abschluss einer Sicherheitsüberprüfung durch die zuständigen Behörden eines Mitgliedstaats abgegeben wird und bescheinigt, dass einer Person, die nachweislich Kenntnis von Verschlusssachen haben muss, bis zu einem bestimmten Datum und bis zu einem bestimmten Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) Zugang zu EU-VS gewährt werden kann; diese Person wird als "sicherheitsüberprüft" bezeichnet;

                  „Sicherheitsermächtigungsbescheinigung“ (PSCC): von einer zuständigen Behörde ausgestellte Bescheinigung, in der festgestellt wird, dass eine Person sicherheitsüberprüft ist und eine gültige Sicherheitsermächtigung besitzt, und aus der der Geheimhaltungsgrad ("CONFIDENTIEL UE/EU CONFIDENTIAL" oder höher), bis zu dem der Person Zugang zu EU-VS gewährt werden kann, das Gültigkeitsdatum der betreffenden Sicherheitsermächtigung und das Ablaufdatum der Bescheinigung selbst hervorgehen;

                  „materieller Geheimschutz“: Anwendung von materiellen und technischen Schutzmaßnahmen zur Verhinderung des unbefugten Zugangs zu EU-VS — siehe Artikel 6 des Anhangs A;

                  „Sicherheitsanweisungen für das Programm/Projekt“: Liste von Sicherheitsverfahren, die für ein spezifisches Programm/Projekt verwendet werden, um die Sicherheitsverfahren zu vereinheitlichen. Sie können im Verlauf des Programms/Projekts überarbeitet werden;

                  „Registrierung“: Durchführung von Verfahren, bei denen jede Phase des Umlaufs der Informationen, auch deren Weitergabe und Vernichtung, aufgezeichnet wird — siehe Anhang A III, Nummer 21;

                  „Restrisiko“: Risiko, das nach dem Ergreifen von Sicherheitsmaßnahmen verbleibt, da nicht alle Bedrohungen erfasst werden und nicht alle Schwachstellen beseitigt werden können;

                  „Risiko“: die Möglichkeit, dass bei einer bestimmten Bedrohung die internen und externen Schwachstellen einer Organisation oder eines der von ihr verwendeten Systeme ausgenutzt und dadurch die Organisation und ihre materiellen und immateriellen Werte geschädigt werden. Gemessen wird das Risiko als die Kombination der Wahrscheinlichkeit des Eintretens von Bedrohungen und ihrer Auswirkungen.

                  „Risikoakzeptanz“: Entscheidung, hinzunehmen, dass nach der Risikobehandlung ein Restrisiko fortbesteht;

                  „Risikobewertung“: Ermittlung von Bedrohungen und Schwachstellen und die Durchführung diesbezüglicher Risikoanalysen, d. h. die Analyse der Eintrittswahrscheinlichkeit und der Auswirkungen;

                  „Risikokommunikation“: Sensibilisierung der Nutzer eines Kommunikations- und Informationssystems für Risiken, die Unterrichtung von Zulassungsstellen über Risiken und die entsprechende Berichterstattung an die für den Betrieb zuständigen Stellen;

                  „Risikomanagement-Prozess“: der gesamte Prozess der Ermittlung, Kontrolle und Minimierung möglicher Zwischenfälle, die die Sicherheit einer Organisation oder eines der von ihr benutzten Systeme beeinträchtigen könnten. Darunter fallen sämtliche risikobezogenen Tätigkeiten, einschließlich der Risikobewertung, -behandlung, -akzeptanz und -kommunikation;

                  „Risikobehandlung“: Abschwächung, Beseitigung oder Verringerung des Risikos (durch geeignete Maßnahmen in Bezug auf Technik, materielle Aspekte, Verwaltung oder Verfahren), der Risikotransfer oder die Überwachung des Risikos;

                  „Geheimschutzklausel“ (Security Aspects Letter, SAL): besondere Auftragsbedingungen der Vergabebehörde, die fester Bestandteil eines als Verschlusssache eingestuften und mit dem Zugang zu oder der Erstellung von EU-VS verbundenen Auftrags sind und in denen die Sicherheitsanforderungen oder die sicherheitsschutzbedürftigen Teile des Auftrags festgelegt sind — siehe Anhang A V, Abschnitt II;

                  „VS-Einstufungsliste“ (Security Classification Guide, SCG): Dokument, das die als Verschlusssache eingestuften Teile eines Programms oder Auftrags beschreibt und in dem die anzuwendenden Geheimhaltungsgrade angegeben sind. Die VS-Einstufungsliste kann während der Laufzeit des Programms oder Auftrags erweitert werden, und Teile der Informationen können neu eingestuft oder herabgestuft werden; sofern eine VS-Einstufungsliste besteht, bildet sie Teil der Geheimschutzklausel — siehe Anhang A V, Abschnitt II;

                  „Sicherheitsüberprüfung“: Untersuchungsverfahren, das von der zuständigen Behörde eines Mitgliedstaats nach den innerstaatlichen Rechtsvorschriften durchgeführt wird, um Gewissheit darüber zu erlangen, dass über die betreffende Person keine nachteiligen Erkenntnisse vorliegen, die der Erteilung einer nationalen Sicherheitsermächtigung oder einer EU-Sicherheitsermächtigung für den Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad ("CONFIDENTIEL UE/EU CONFIDENTIAL" oder höher) entgegenstehen würden;

                  „sicherheitsbezogene Betriebsverfahren“ (SecOPs): Beschreibung des Sicherheitskonzepts, der Betriebsverfahren und der Zuständigkeit des Personals;

                  „Aufstellung der systemspezifischen Sicherheitsanforderungen“ (SSRS): verbindliche Sicherheitsgrundsätze und detaillierte Sicherheitsanforderungen, die als Grundlage für die Zertifizierung und Akkreditierung von Kommunikations- und Informationssystemen dienen;

                  „TEMPEST“: Ermittlung, Analyse und Kontrolle kompromittierender elektromagnetischer Abstrahlung und die Vorkehrungen, um diese zu unterdrücken;

                  „Bedrohung“: potenzielle Ursache für einen unerwünschten Zwischenfall, der zu einem Schaden für eine Organisation oder ein von ihr benutztes System führen kann; solche Bedrohungen können unbeabsichtigt oder beabsichtigt (böswillig) sein und unterscheiden sich nach den Bedrohungselementen, potenziellen Zielen und Angriffsmethoden;

                  „Gefährdungsanfälligkeit“: Vorliegen einer Schwachstelle, die bei einer oder mehreren Bedrohungen ausgenutzt werden kann. Eine Gefährdungsanfälligkeit kann durch ein Versäumnis entstehen oder sie kann sich auf eine Schwachstelle durch nachlässige, unvollständige oder inkohärente Kontrollen beziehen und kann die Technik, die Verfahren, die materiellen Eigenschaften, die Organisation oder den Betrieb betreffen.