title: 2017 m. rugsėjo 19 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas dėl Europos išorės veiksmų tarnybos saugumo taisyklių, ADMIN(2017) 10

text:
10.4.2018

               LT

               Europos Sąjungos oficialusis leidinys

               C 126/1

         2017 m. rugsėjo 19 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas dėl Europos išorės veiksmų tarnybos saugumo taisyklių
   ADMIN(2017) 10
   (2018/C 126/01)
   SĄJUNGOS VYRIAUSIASIS ĮGALIOTINIS UŽSIENIO REIKALAMS IR SAUGUMO POLITIKAI,
   atsižvelgdamas į 2010 m. liepos 26 d. Tarybos sprendimą 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos (1) (EIVT) struktūra ir veikimas,
   atsižvelgdamas į 2011 m. birželio 15 d. Vyriausiojo įgaliotinio sprendimo dėl Europos išorės veiksmų tarnybos saugumo taisyklių 9 straipsnio 6 dalyje nurodyto komiteto nuomonę (2),
   kadangi:

               (1)

               EIVT, kaip funkciniu požiūriu savarankiška Europos Sąjungos įstaiga, turėtų turėti saugumo taisykles, kaip numatyta Tarybos sprendimo 2010/427/ES 10 straipsnio 1 dalyje;

               (2)

               Sąjungos vyriausiasis įgaliotinis užsienio reikalams ir saugumo politikai (toliau – vyriausiasis įgaliotinis) turėtų nuspręsti dėl EIVT saugumo taisyklių, kurios apimtų visus saugumo aspektus, susijusius su EIVT veikimu, kad EIVT veiksmingai valdytų riziką, kylančią darbuotojams, už kurių įdarbinimą atsakinga EIVT, jos fiziniams ištekliams, informacijai ir lankytojams, ir kad šiuo atžvilgiu ji vykdytų su rūpestingu elgesiu susijusius įsipareigojimus;

               (3)

               turėtų būti užtikrintas toks darbuotojų, už kurių įdarbinimą atsakinga EIVT, EIVT fizinių išteklių, įskaitant ryšių ir informacijos sistemas, informacijos ir lankytojų apsaugos lygis, kuris atitiktų Tarybos, Komisijos, valstybių narių ir, jei taikytina, tarptautinių organizacijų geriausią praktiką;

               (4)

               EIVT saugumo taisyklės turėtų padėti užtikrinti labiau suderintą visapusišką bendrą sistemą Europos Sąjungos viduje, kad būtų apsaugota ES įslaptinta informacija (toliau – ESĮI), remiantis Europos Sąjungos Tarybos (toliau – Taryba) saugumo taisyklėmis ir Komisijos saugumo nuostatomis ir siekiant kuo didesnio suderinamumo su jomis;

               (5)

               EIVT, Taryba ir Komisija yra įsipareigojusios taikyti lygiaverčius ESĮI apsaugą užtikrinančius saugumo standartus;

               (6)

               šis sprendimas priimamas nedarant poveikio Sutarties dėl Europos Sąjungos veikimo (SESV) 15 ir 16 straipsniams ir jų įgyvendinamiesiems aktams;

               (7)

               reikia nustatyti EIVT saugumo organizavimą ir paskirstyti saugumo užduotis EIVT struktūrose;

               (8)

               vyriausiasis įgaliotinis prireikus turėtų atsižvelgti į atitinkamą valstybių narių, Tarybos generalinio sekretoriato ir Komisijos patirtį;

               (9)

               vyriausiasis įgaliotinis turėtų imtis visų reikiamų priemonių, kad įgyvendintų šias taisykles, padedamas valstybių narių, Tarybos generalinio sekretoriato ir Komisijos;

               (10)

               EIVT generalinis sekretorius yra EIVT saugumo institucija, o 2015 m. rugsėjo 14 d. Europos išorės veiksmų tarnybos generalinio sekretoriaus sprendimo ADMIN(2015) 34 1 straipsnyje numatyta, kad saugumo institucijos saugumo funkcijas, kaip nustatyta EIVT saugumo taisyklėse, vykdo biudžeto ir administracijos generalinis direktorius,

         PRIĖMĖ ŠĮ SPRENDIMĄ:
   1 straipsnis
   Tikslas ir taikymo sritis
   Šiuo sprendimu nustatomos Europos išorės veiksmų tarnybos saugumo taisyklės (toliau – EIVT saugumo taisyklės).
   Pagal 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 10 straipsnio 1 dalį jos taikomos visiems EIVT darbuotojams ir visiems Sąjungos delegacijų darbuotojams, nepaisant jų administracinio statuso ar to, kokia administracija juos paskyrė. Jomis taip pat nustatoma bendroji reglamentavimo sistema, kad būtų veiksmingai valdoma rizika, kuri iškyla darbuotojams, už kurių įdarbinimą atsakinga EIVT pagal 2 straipsnį, EIVT patalpoms, fiziniams ištekliams, informacijai ir lankytojams.
   2 straipsnis
   Apibrėžtys
   Šiame sprendime vartojamų terminų apibrėžtys:
   a)   EIVT darbuotojai– EIVT pareigūnai ir kiti tarnautojai, įskaitant valstybių narių diplomatinių tarnybų darbuotojus, kurie paskiriami laikinaisiais darbuotojais, taip pat komandiruoti nacionaliniai ekspertai pagal 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 6 straipsnį;
   b)   darbuotojai, už kurių įdarbinimą atsakinga EIVT,– būstinėje ir Sąjungos delegacijose dirbantys EIVT darbuotojai ir kiti Sąjungos delegacijų darbuotojai, nepaisant jų administracinio statuso ar to, kokia administracija juos paskyrė, taip pat, kaip nustatyta šiame sprendime, vyriausiasis įgaliotinis ir, jei taikytina, kiti darbuotojai, kurie dirba EIVT būstinės patalpose;
   c)   išlaikytiniai– darbuotojų, už kurių įdarbinimą Sąjungos delegacijose atsakinga EIVT, šeimos nariai, kurie yra darbuotojų namų ūkio dalyviai, kaip pranešta priimančiosios valstybės užsienio reikalų ministerijai;
   d)   EIVT patalpos– visos EIVT įstaigos, įskaitant pastatus, biurus, kabinetus ir kitas zonas, taip pat zonos, kuriose saugomos ryšių ir informacinės sistemos (įskaitant zonas, kuriose tvarkoma ES įslaptinta informacija (ESĮI)) ir kuriose EIVT vykdo nuolatinę ar laikiną veiklą;
   e)   EIVT saugumo interesai– darbuotojai, už kurių įdarbinimą atsakinga EIVT, EIVT patalpos, išlaikytiniai, fiziniai ištekliai, įskaitant ryšių ir informacines sistemas, informacija ir lankytojai;
   f)   ES įslaptinta informacija (ESĮI)– bet kuri informacija arba medžiaga, kuriai suteikta ES slaptumo žyma ir kurią neteisėtai atskleidus galėtų būti padaryta tam tikro dydžio žala Europos Sąjungos arba vienos ar kelių valstybių narių interesams;
   g)   Sąjungos delegacija– delegacijos į trečiąsias šalis ir tarptautines organizacijas, kaip nurodyta 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 1 straipsnio 4 dalyje.
   Kitos terminų apibrėžtys pateiktos atitinkamuose prieduose ir A priedėlyje.
   3 straipsnis
   Su rūpestingu elgesiu susiję įsipareigojimai
   1.   EIVT saugumo taisyklėmis siekiama užtikrinti su rūpestingu elgesiu susijusių EIVT įsipareigojimų įgyvendinimą.
   2.   Su rūpestingu elgesiu susiję EIVT įsipareigojimai yra stropus visų protingų veiksmų vykdymas įgyvendinant priemones, kuriomis siekiama užkirsti kelią pagrįstai, iš anksto numatytai žalai EIVT saugumo interesams.
   Jie apima ir saugos, ir saugumo aspektus, įskaitant tuos aspektus, kurie susiję su nepaprastosiomis situacijomis ar krizėmis, kad ir koks būtų jų pobūdis.
   3.   EIVT, atsižvelgdama į valstybių narių, ES institucijų ar įstaigų ir kitų šalių, kurių darbuotojai dirba Sąjungos delegacijose ir (arba) Sąjungos delegacijų patalpose, su rūpestingu elgesiu susijusius įsipareigojimus, taip pat atvejus, kai tokie įsipareigojimai tenka EIVT (kai Sąjungos delegacijos lankosi pirmiau minėtų kitų šalių patalpose), EIVT su kiekvienu iš šių subjektų sudaro administracinius susitarimus, kuriuose nustatomos jų funkcijos ir pareigos, uždaviniai ir bendradarbiavimo mechanizmai.
   4 straipsnis
   Fizinis ir infrastruktūros saugumas
   1.   Visose EIVT patalpose EIVT nustato visas tinkamas fizinio saugumo priemones (laikinas ir nuolatines), įskaitant patekimo kontrolės priemones, kuriomis siekiama apsaugoti EIVT saugumo interesus. Į šias priemones atsižvelgiama projektuojant ir planuojant naujas patalpas, taip pat prieš išsinuomojant esamas patalpas.
   2.   Šiuo tikslu darbuotojams, už kurių įdarbinimą atsakinga EIVT, ir išlaikytiniams dėl su saugumu susijusių priežasčių tam tikrą laikotarpį ir tam tikrose zonose gali būti nustatyti specialūs įpareigojimai ar apribojimai.
   3.   1 ir 2 dalyse nurodytos priemonės turi atitikti įvertintą riziką.
   5 straipsnis
   Parengties lygiai ir krizinių situacijų valdymas
   1.   I skirsnio 13 straipsnio 1 dalyje apibrėžta EIVT saugumo institucija atsako už tai, kad būtų parengtos parengties lygių priemonės, tinkamos grėsmėms ir incidentams, turintiems įtakos saugumui EIVT, numatyti ir reaguoti į juos, taip pat už priemones, būtinas krizinėms situacijoms valdyti.
   2.   1 dalyje nurodytos parengties lygių priemonės atitinka grėsmės saugumui lygį. Parengties lygiai nustatomi glaudžiai bendradarbiaujant su kitų Sąjungos institucijų, agentūrų ir įstaigų, taip pat valstybės (-ių) narės (-ių), kurioje (-se) yra EIVT patalpų, kompetentingomis tarnybomis.
   3.   EIVT saugumo institucija yra kontaktinis punktas parengties lygių ir krizių valdymo klausimais.
   6 straipsnis
   Įslaptintos informacijos apsauga
   1.   ESĮI apsauga reglamentuojama šio sprendimo, ypač jo A priedo, nuostatomis. Bet kokios ESĮI turėtojas yra atsakingas už tinkamą jos apsaugą.
   2.   EIVT užtikrina, kad galimybė susipažinti su įslaptinta informacija būtų suteikta tik asmenims, kurie atitinka A priedo 5 straipsnyje nustatytas sąlygas.
   3.   Vietos darbuotojų susipažinimo su ESĮI sąlygas taip pat nustato vyriausias įgaliotinis pagal šio sprendimo A priede nustatytas ESĮI apsaugos taisykles.
   4.   Už saugumą atsakingas EIVT direktoratas tvarko visų darbuotojų, už kurių įdarbinimą atsakinga EIVT, ir visų EIVT rangovų darbuotojų patikimumo pažymėjimo statuso duomenų bazę.
   5.   Valstybėms narėms nacionaline slaptumo žyma pažymėtą įslaptintą informaciją perdavus į EIVT struktūras ar tinklus, EIVT tą informaciją saugo laikydamasi reikalavimų, taikomų lygiaverčio slaptumo žymos lygio ESĮI, kaip nustatyta šio sprendimo B priedėlyje pateiktoje slaptumo žymų atitikmenų lentelėje.
   6.   EIVT zonos, kuriose saugoma CONFIDENTIEL UE/EU CONFIDENTIAL arba atitinkamo ar aukštesnio lygio slaptumo žyma pažymėta informacija, įrengiamos kaip saugumo zonos pagal šio sprendimo A II priede nustatytas taisykles ir patvirtinamos EIVT saugumo institucijos.
   7.   Vyriausiojo įgaliotinio pareigų, susijusių su susitarimais ar administraciniais susitarimais su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis dėl keitimosi ESĮI, vykdymo procedūros aprašytos šio sprendimo A ir A VI prieduose.
   8.   Generalinis sekretorius nustato sąlygas, kuriomis EIVT gali dalytis savo turima ESĮI su kitomis Sąjungos institucijomis, įstaigomis, tarnybomis ar agentūromis. Tam sukuriama atitinkama sistema, be kita ko, prireikus tuo tikslu sudarant tarpinstitucinius susitarimus ar kitokius susitarimus.
   9.   Pagal tokią sistemą užtikrinama, kad ESĮI būtų taikoma jos slaptumo žymos lygį atitinkanti apsauga, laikantis pagrindinių principų bei būtiniausių standartų, lygiaverčių nustatytiesiems šiame sprendime.
   7 straipsnis
   Saugumo incidentai ir nepaprastosios situacijos
   1.   Siekdama laiku ir veiksmingai reaguoti į saugumo incidentus, EIVT nustato pranešimų apie tokius incidentus ir nepaprastąsias situacijas procedūrą, kuria turi būti galima pasinaudoti dvidešimt keturias valandas per parą, septynias dienas per savaitę ir kuri apima visus saugumo incidentus ir grėsmes EIVT saugumo interesams (pvz., avarijas, konfliktus, piktavališkus veiksmus, nusikalstamus veiksmus, žmonių grobimą, įkaitų ėmimą, su sveikata susijusias nepaprastąsias situacijas, ryšių ir informacijos sistemos incidentus, kibernetinius išpuolius ir kt.).
   2.   EIVT būstinė, Sąjungos delegacijos, Taryba, Komisija, ES specialieji įgaliotiniai ir valstybės narės tarpusavyje nustato ryšių kanalus, kurie naudojami esant nepaprastosioms situacijoms ir padeda valdyti su personalu susijusius saugumo incidentus ir jų padarinius, įskaitant nenumatytų atvejų planavimą.
   3.   Šį saugumo incidentų valdymą, be kita ko, sudaro:

               —

               veiksmingos pagalbos priimant sprendimus dėl saugumo incidentų, susijusių su personalu, įskaitant sprendimus dėl misijų atšaukimo ar pristabdymo, procedūros ir

               —

               darbuotojų susigrąžinimo politika ir procedūros (pvz., dingus, pagrobus ar paėmus įkaitais darbuotojus), atsižvelgiant į konkrečią valstybių narių, ES institucijų ir EIVT atsakomybę šiuo klausimu. Dėl konkrečių pajėgumų poreikio vykdant šiuos veiksmus sprendžiama atsižvelgiant į išteklius, kuriuos gali suteikti valstybės narės.

         4.   EIVT nustato atitinkamą pranešimų apie saugumo incidentus Sąjungos delegacijose teikimo administracinę tvarką. Jei reikia, informuojamos valstybės narės, Komisija, visos kitos atitinkamos institucijos, taip pat atitinkami Saugumo komitetai.
   5.   Incidentų valdymo procesai reguliariai išbandomi ir peržiūrimi.
   8 straipsnis
   Ryšių ir informacinių sistemų saugumas
   1.   Ryšių ir informacijos sistemose (toliau – RIS) EIVT saugo tvarkomą informaciją, užtikrindama konfidencialumą, vientisumą, prieinamumą, autentiškumą ir atsakomybės už veiksmus prisiėmimą.
   2.   Visų EIVT turimų ar naudojamų RIS apsaugos taisykles, saugumo gaires ir saugumo programą tvirtina EIVT saugumo institucija.
   3.   Šios taisyklės, politika ir programa turi atitikti atitinkamas Tarybos, Komisijos ir, jei taikytina, valstybių narių saugumo strategijas, o jų įgyvendinimas turi būti glaudžiai koordinuojamas su šiais subjektais.
   4.   Visos RIS, kuriose tvarkoma įslaptinta informacija, turi būti akredituojamos. EIVT, konsultuodamasi su Tarybos generaliniu sekretoriatu ir Komisija, taiko saugumo akreditavimo valdymo sistemą.
   5.   Tais atvejais, kai EIVT tvarkomos ESĮI apsauga užtikrinama naudojant šifravimo priemones, tokias priemones tvirtina EIVT kriptografijos patvirtinimo institucija, gavusi atitinkamą Tarybos saugumo komiteto rekomendaciją.
   6.   EIVT saugumo institucija įsteigia šias informacijos saugumo užtikrinimo institucijas (tokio dydžio, koks reikalingas):

               a)

               informacijos saugumo užtikrinimo instituciją;

               b)

               TEMPEST instituciją;

               c)

               kriptografijos patvirtinimo instituciją;

               d)

               kriptografijos platinimo instituciją.

         7.   Atitinkamoms sistemoms tvarkyti EIVT saugumo institucija įsteigia šias institucijas:

               a)

               saugumo akreditavimo instituciją;

               b)

               informacijos saugumo užtikrinimo operacinę instituciją.

         8.   Šio straipsnio įgyvendinimo nuostatos, susijusios su ESĮI apsauga, išdėstytos A ir A IV prieduose.
   9 straipsnis
   Įslaptintos informacijos saugumo pažeidimai ir neteisėtas atskleidimas
   1.   Saugumo pažeidimu laikomas šiame sprendime nustatytoms saugumo taisyklėms ir (arba) saugumo strategijoms ar gairėms, kuriose nustatytos šių taisyklių įgyvendinimo priemonės (patvirtintos pagal 21 straipsnio 1 dalį), priešingas veiksmas arba neveikimas.
   2.   Įslaptintos informacijos neteisėtas atskleidimas įvyksta tada, kai ji visiškai ar iš dalies atskleidžiama leidimo neturintiems asmenims ar subjektams.
   3.   Apie bet kokį faktinį ar įtariamą saugumo pažeidimą ir apie bet kokį faktinį ar įtariamą įslaptintos informacijos neteisėtą atskleidimą nedelsiant pranešama už saugumą atsakingam EIVT direktoratui, kuris imasi tinkamų priemonių, kurios nurodytos A priedo 11 straipsnyje.
   4.   Bet kuriam asmeniui, kuris pažeidė šiame sprendime nustatytas saugumo taisykles ar neteisėtai atskleidė įslaptintą informaciją, gali būti taikomos drausminės ir (arba) teisinės priemonės pagal taikomus teisės aktus, taisykles ir nuostatas, kaip nustatyta A priedo 11 straipsnio 3 dalyje.
   10 straipsnis
   Saugumo incidentų, pažeidimų ir (arba) neteisėto informacijos atskleidimo atvejų tyrimas ir taisomieji veiksmai
   1.   Nedarant poveikio Tarnybos nuostatų (3) 86 straipsniui (drausminės priemonės) ir IX priedui, patikimumo patikrinimus gali atlikti už saugumą atsakingas EIVT direktoratas:

               a)

               ESĮI, Euratomo įslaptintos informacijos arba neskelbtinos neįslaptintos informacijos galimo nutekėjimo, netinkamo naudojimo arba neteisėto atskleidimo atveju;

               b)

               kai siekiama atremti priešiškų žvalgybos tarnybų išpuolius prieš EIVT ir jos darbuotojus;

               c)

               kai siekiama atremti teroristinius išpuolius prieš EIVT ir jos darbuotojus;

               d)

               kibernetinių incidentų atveju;

               e)

               kitų incidentų, įskaitant įtariamas nusikalstamas veikas, turinčių arba galinčių turėti poveikį bendram EIVT saugumui, atveju.

         2.   Už saugumą atsakingas EIVT direktoratas, padedamas valstybių narių ir (arba), atitinkamais atvejais, kitų ES institucijų ir, prireikus, gavęs EIVT saugumo institucijos leidimą, atlieka tyrimų metu nustatytus reikiamus taisomuosius veiksmus, jei tai tikslinga, tada, kai tai tikslinga.
   Įgaliojimai atlikti ir koordinuoti EIVT patikimumo patikrinimus gali būti suteikti tik darbuotojams, turintiems leidimą pagal asmeninius įgaliojimus, kuriuos jiems suteikė EIVT saugumo institucija, ir turi būti atsižvelgiama į tų darbuotojų dabartines pareigas.
   3.   Tyrimus vykdantys asmenys gali naudotis visa informacija, kuri reikalinga tokiems tyrimams vykdyti ir šioje srityje gauna visapusišką visų EIVT tarnybų ir darbuotojų pagalbą.
   Tyrimus vykdantys asmenys gali imtis atitinkamų veiksmų, kad apsaugotų įrodymų pėdsakus tokiu būdu, kuris atitinka tiriamo atvejo rimtumą.
   4.   Jei reikia naudotis informacija, kuri susijusi su asmens duomenimis, įskaitant ryšių ir informacinėse sistemose saugomus asmens duomenis, ši galimybė susipažinti su duomenimis suteikiama laikantis Reglamento (EB) Nr. 45/2001 (4).
   5.   Jei būtina sukurti tyrimo duomenų bazę, kurioje ketinama saugoti asmens duomenis, apie tai pranešama Europos duomenų apsaugos priežiūros pareigūnui (EDAPP), kaip nustatyta pirmiau minėtame reglamente.
   11 straipsnis
   Saugumo rizikos valdymas
   1.   Siekdama nustatyti savo apsaugos poreikius, EIVT, glaudžiai bendradarbiaudama su Komisijos saugumo direktoratu ir, jei reikia, su Tarybos generalinio sekretoriato Saugumo tarnyba, parengia išsamią saugumo rizikos vertinimo metodiką.
   2.   EIVT saugumo interesams kylančios rizikos valdymas yra procesas. Šio proceso tikslas – nustatyti žinomą saugumo riziką, apibrėžti saugumo priemones tokiai rizikai sumažinti iki priimtino lygio ir taikyti šias priemones laikantis nuodugnios apsaugos sąvokos. Reguliariai atliekamas tokių priemonių efektyvumo ir rizikos lygio vertinimas.
   3.   Šiame sprendime nustatytos funkcijos, pareigos ir uždaviniai nepažeidžia kiekvieno darbuotojo, už kurio įdarbinimą atsakinga EIVT, pareigų; ES darbuotojai, esantys misijose trečiosiose šalyse, priimdami sprendimus dėl savo saugos ir saugumo privalo vadovautis sveika nuovoka ir protingumo principais, taip pat privalo laikytis visų taikytinų saugumo taisyklių, nuostatų, procedūrų ir instrukcijų.
   4.   Siekiant užtikrinti pavojų saugumui prevenciją ir kontrolę, įgaliotieji darbuotojai gali atlikti asmenų, kurie patenka į šio sprendimo taikymo sritį, patikrinimus, kad nustatytų, ar, tokiems asmenims leidus patekti į EIVT patalpas arba prieiti prie jos informacijos, kyla grėsmė saugumui. Tuo tikslu, laikydamiesi Reglamento (EB) Nr. 45/2001, atitinkami įgaliotieji darbuotojai gali: a) naudoti bet kokį EIVT prieinamą informacijos šaltinį, atsižvelgdami į informacijos šaltinio patikimumą; b) tinkamai pagrįstais atvejais susipažinti su asmens byla arba EIVT turimais joje dirbančių arba ketinamų įdarbinti asmenų arba rangovo darbuotojų duomenimis.
   5.   EIVT imasi visų protingų priemonių, kad užtikrintų savo saugumo interesų apsaugą ir kad užkirstų kelią pagrįstai, iš anksto numatomai žalai šiems saugumo interesams.
   6.   ESĮI apsaugai užtikrinti skirtos EIVT saugumo priemonės visą savo gyvavimo ciklą turi atitikti jos slaptumo žymos lygį, informacijos ar medžiagos formą ir kiekį, patalpų, kuriose laikoma ESĮI, vietos ir konstrukcijos reikalavimus ir grėsmę, įskaitant vietos lygiu įvertintą piktavališkos ir (arba) nusikalstamos veiklos, įskaitant šnipinėjimą, sabotažą ar terorizmą, keliamą grėsmę.
   12 straipsnis
   Informavimas apie saugumą ir saugumo mokymas
   1.   EIVT saugumo institucija užtikrina, kad būtų parengtos ir įgyvendinamos informavimo apie saugumą ir saugumo mokymo programos ir kad darbuotojams, už kurių įdarbinimą atsakinga EIVT ir, jei taikytina, jų išlaikytiniams, būtų pateikta informacinė medžiaga ir surengti mokymai, kurie atitinka jų darbo ar gyvenamosiose vietose esančią riziką.
   2.   Darbuotojai, prieš jiems suteikiant leidimą susipažinti su ESĮI, o vėliau – reguliariai, informuojami apie pareigą saugoti ESĮI pagal 6 straipsnyje pateiktas taisykles ir jie ją patvirtina.
   13 straipsnis
   Saugumo organizavimas EIVT
   1.   Generalinis sekretorius yra EIVT saugumo institucija. Vykdydamas šias funkcijas generalinis sekretorius užtikrina, kad:

               a)

               sprendžiant visus EIVT veiklai svarbius saugumo klausimus, įskaitant klausimus, susijusius su pavojų EIVT saugumo interesams pobūdžiu ir apsaugos nuo jų priemonėmis, saugumo priemonės būtų derinamos su valstybių narių kompetentingomis institucijomis, Tarybos generaliniu sekretoriatu, Komisija ir, jei reikia, su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis;

               b)

               į saugumo aspektus būtų visiškai atsižvelgiama bet kokioje EIVT veikloje nuo pat jos pradžios;

               c)

               galimybė susipažinti su įslaptinta informacija būtų suteikta tik asmenims, kurie atitinka A priedo 5 straipsnyje nustatytas sąlygas;

               d)

               būtų sukurta registratūrų sistema, kuri užtikrintų, kad CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija EIVT, pateikus ją ES valstybėms narėms, ES institucijoms, įstaigoms ir agentūroms ar kitiems įgaliotiesiems gavėjams, būtų tvarkoma pagal šį sprendimą. Visa ESĮI, kurią EIVT pateikė trečiosioms valstybėms ir tarptautinėms organizacijoms, ir visa įslaptinta informacija, gauta iš trečiųjų valstybių ir tarptautinių organizacijų, saugoma atskirame registre;

               e)

               būtų vykdomi 16 straipsnyje nurodyti saugumo patikrinimai;

               f)

               būtų vykdomi visų faktinių ar įtariamų saugumo pažeidimų, taip pat visų EIVT turimos ar parengtos įslaptintos informacijos faktinio ar įtariamo neteisėto atskleidimo arba praradimo atvejų tyrimai ir kad vykdant šiuos tyrimus būtų prašoma atitinkamų saugumo institucijų pagalbos;

               g)

               būtų parengti atitinkami incidentų ir padarinių valdymo planai ir mechanizmai (siekiant laiku ir veiksmingai reaguoti į saugumo incidentus);

               h)

               būtų vykdomos atitinkamos priemonės, jei asmenys nesilaiko šio sprendimo reikalavimų;

               i)

               būtų nustatytos atitinkamos fizinės ir organizacinės priemonės, skirtos EIVT saugumo interesams apsaugoti.
               Šiuo klausimu EIVT saugumo institucija:

                           —

                           nustato Sąjungos delegacijų saugumo kategorijas, konsultuodamasi su Komisija,

                           —

                           pasikonsultavusi su vyriausiuoju įgaliotiniu sprendžia, kada evakuoti Sąjungos delegacijos darbuotojus, jei tai būtina siekiant užtikrinti saugumą,

                           —

                           priima sprendimus dėl išlaikytinių apsaugos priemonių, jei reikia, atsižvelgdamas į susitarimus su ES institucijomis, nurodytus 3 straipsnio 3 dalyje,

                           —

                           tvirtina šifruotų ryšių politiką, konkrečiau – šifravimo produktų diegimo programą ir mechanizmą.

         2.   EIVT saugumo institucijai padeda DGBA, už saugumą atsakingas EIVT direktorius ir, atitinkamais atvejais, už bendrą saugumo ir gynybos politiką (BSGP) ir už reagavimą į krizes atsakingas generalinio sekretoriaus pavaduotojas.
   3.   Jei reikia, generalinis sekretorius, kaip EIVT saugumo institucija, gali deleguoti su šiais aspektais susijusias užduotis.
   4.   Visų padalinių ir skyrių vadovai atsakingi už ESĮI apsaugos taisyklių įgyvendinimą atitinkamuose padaliniuose ir skyriuose.
   Visų padalinių ir skyrių vadovai ne tik vykdo pirmiau nurodytas funkcijas, bet ir skiria darbuotojus į padalinio saugumo koordinatorių pareigas. Šių koordinatorių ištekliai atitinka atitinkamo padalinio ar skyriaus tvarkomos ESĮI kiekį.
   Jei reikia, padalinio saugumo koordinatoriai padeda savo padalinio ar skyriaus vadovui, vykdydami šiuos su saugumu susijusius uždavinius:

               a)

               rengia papildomus saugumo reikalavimus, atitinkančius specialius padalinio ar skyriaus poreikius;

               b)

               reguliariai teikia saugumo informaciją savo padalinio ar skyriaus darbuotojams;

               c)

               užtikrina, kad jų padalinyje ar skyriuje būtų laikomasi principo „būtina žinoti“;

               d)

               tvarko ir atnaujina saugos kodų ir raktų sąrašą;

               e)

               užtikrina saugumo procedūrų ir saugumo priemonių vykdymą;

               f)

               praneša apie visus saugumo pažeidimus ir (arba) ESĮI neteisėto atskleidimo atvejus savo direktoriui ir už saugumą atsakingam direktoratui;

               g)

               apklausia iš EIVT atleidžiamus darbuotojus;

               h)

               per savo vadovus reguliariai teikia ataskaitas dėl padalinio ar skyriaus saugumo reikalų;

               i)

               palaiko ryšius saugumo klausimais su už saugumą atsakingu EIVT direktoratu.

         Apie visus veiksmus ar problemas, kurios gali turėti poveikį saugumui, laiku pranešama už saugumą atsakingam EIVT direktoratui.
   5.   Delegacijos vadovas atsakingas už visų saugumo priemonių įgyvendinimą atitinkamoje Sąjungos delegacijoje.
   1.   EIVT turi už saugumą atsakingą direktoratą. Jis:

               a)

               valdo, koordinuoja, prižiūri ir (arba) įgyvendina visas saugumo priemones visose EIVT patalpose ir būstinėje, ES ir trečiosiose valstybėse;

               b)

               užtikrina visų veiksmų, kurie gali turėti poveikį EIVT saugumo interesų apsaugai, suderinamumą su šiuo sprendimu ir jo įgyvendinimo nuostatomis;

               c)

               veikia kaip vyriausiojo įgaliotinio, EIVT saugumo institucijos ir generalinio sekretoriaus pavaduotojo pagrindinis patarėjas visais su saugumu susijusiais klausimais;

               d)

               veikia padedant valstybių narių kompetentingoms tarnyboms pagal Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 10 straipsnio 3 dalį;

               e)

               EIVT saugumo akreditavimo institucijai padeda vykdyti ryšių ir informacijos sistemų, kuriose tvarkoma ESĮI, ir patalpų, kuriose ketinama leisti tvarkyti ir saugoti ESĮI, bendrosios saugumo aplinkos (BSA) ir vietos saugumo aplinkos (VSA) fizinio saugumo vertinimus.

         2.   Už saugumą atsakingas EIVT direktorius yra atsakingas už:

               a)

               bendros EIVT saugumo interesų apsaugos užtikrinimą;

               b)

               saugumo taisyklių rengimą, peržiūrą ir atnaujinimą, taip pat saugumo priemonių koordinavimą su valstybių narių kompetentingomis institucijomis ir, jei reikia, su trečiųjų valstybių kompetentingomis institucijomis ir tarptautinėmis organizacijomis, kurios su ES susietos saugumo sutartimis ir (arba) susitarimais;

               c)

               dalyvavimą EIVT saugumo komiteto veikloje, kaip nustatyta šio sprendimo 15 straipsnio 1 dalyje;

               d)

               jei reikia, bendradarbiavimą su visais partneriais ar kitomis institucijomis, nei nurodytos b punkte;

               e)

               prioritetų nustatymą ir pasiūlymų dėl būstinės ir Sąjungos delegacijų saugumo biudžeto valdymo teikimą.

         3.   Už saugumą atsakingo EIVT direktorato vadovas:

               a)

               užtikrina, kad saugumo pažeidimai ir neteisėto informacijos atskleidimo atvejai būtų registruojami ir, jei reikia, būtų pradėti ir vykdomi tyrimai;

               b)

               reguliariai ir pagal poreikį susitinka su Tarybos generalinio sekretoriato saugumo direktoriumi ir Komisijos saugumo direktorato direktoriumi aptarti bendrų klausimų.

         4.   Už saugumą atsakingas EIVT direktoratas užmezga ryšius ir glaudžiai bendradarbiauja su:

               —

               už saugumą atsakingais valstybių narių užsienio reikalų ministerijų padaliniais,

               —

               valstybių narių nacionalinėmis saugumo institucijomis (NSI) ir (arba) kitomis kompetentingomis saugumo institucijomis, siekiant gauti jų pagalbą dėl informacijos, kuri reikalinga pavojams ir grėsmei, kuri iškyla EIVT, jos darbuotojams, veiklai, turtui, ištekliams ir įslaptintai informacijai įprastoje veiklos vietoje, įvertinti,

               —

               valstybių narių ar priimančiųjų valstybių, kurių teritorijoje EIVT gali vykdyti savo veiklą, kompetentingomis saugumo institucijomis visais klausimais, susijusiais su EIVT darbuotojų, veiklos, turto, išteklių ir įslaptintos informacijos apsauga jų teritorijoje,

               —

               Tarybos generalinio sekretoriato Saugumo tarnyba ir Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratu ir, jei reikia, kitų ES institucijų, įstaigų ir agentūrų saugumo padaliniais,

               —

               trečiųjų valstybių ar tarptautinių organizacijų saugumo padaliniais, siekiant bet kokių veiksmų naudingo koordinavimo, ir

               —

               valstybių narių NSI visais klausimais, susijusiais su ESĮI apsauga.

         1.   Delegacijos vadovas atsakingas už visų priemonių, susijusių su EIVT saugumo interesų apsauga Sąjungos delegacijos patalpose pagal Sąjungos delegacijos kompetenciją, įgyvendinimą vietoje ir valdymą.
   Delegacijos vadovas, jei reikia, konsultuodamasis su priimančiosios valstybės kompetentingomis institucijomis, vykdo visus tinkamus veiksmus, siekdamas užtikrinti, kad būtų nustatytos atitinkamos fizinės ir organizacinės priemonės, reikalingos šiam tikslui pasiekti.
   Delegacijos vadovas nustato saugumo procedūras, skirtas išlaikytiniams pagal 2 straipsnio c punktą apsaugoti, jei reikia, atsižvelgdamas į visus administracinius susitarimus, nurodytus 3 straipsnio 3 dalyje. Delegacijos vadovas apie visus į jo kompetencijos sritį patenkančius su saugumu susijusius klausimus praneša už saugumą atsakingo EIVT direktorato vadovui.
   Vykdyti šiuos uždavinius jam padeda už saugumą atsakingas EIVT direktoratas, Sąjungos delegacijos saugumo valdymo grupė, kurią sudaro saugumo uždavinius ir funkcijas vykdantys darbuotojai, o prireikus – ir saugumo darbuotojai.
   Sąjungos delegacija užmezga reguliarius ryšius ir glaudžiai bendradarbiauja saugumo klausimais su valstybių narių diplomatinėmis atstovybėmis.
   2.   Be to, delegacijos vadovas:

               —

               remdamasis bendrosiomis standartinėmis operacijų procedūromis, nustato išsamius Sąjungos delegacijos saugumo ir nenumatytų atvejų planus,

               —

               Sąjungos delegacijos veikloje taiko veiksmingą, be pertraukų veikiančią saugumo incidentų ir nepaprastųjų situacijų valdymo sistemą,

               —

               užtikrina, kad visi Sąjungos delegacijos darbuotojai būtų apdrausti atsižvelgiant į konkrečios veiklos sąlygas,

               —

               užtikrina, kad į Sąjungos delegacijos pradinį mokymą, kuris teikiamas visiems Sąjungos delegacijos darbuotojams, prieš jiems atvykstant ar atvykus į Sąjungos delegaciją, būtų įtrauktas saugumo aspektas ir

               —

               užtikrina, kad būtų įgyvendintos visos rekomendacijos, pateiktos atliktus saugumo vertinimus, ir reguliariai teikia rašytines ataskaitas dėl jų įgyvendinimo ir kitų saugumo klausimų EIVT saugumo institucijai.

         3.   Delegacijos vadovas atsakingas ir atskaitingas ne vien už saugumo valdymo ir organizacijos atsparumo užtikrinimą – delegacijos vadovas gali paskirti vykdyti jo saugumo uždavinius delegacijos saugumo koordinatoriui, kuris yra ir delegacijos vadovo pavaduotojas (DVP) (jei toks nepaskirtas – tinkamam darbuotojui).
   DVP gali būti patikėtos šios pareigos:

               —

               koordinuoti saugumo funkcijas Sąjungos delegacijoje,

               —

               saugumo klausimais bendradarbiauti su priimančiosios valstybės kompetentingomis institucijomis ir atitinkamais valstybių narių ambasadų ir diplomatinių atstovybių darbuotojais,

               —

               įgyvendinti saugumo valdymo procedūras, susijusias su EIVT saugumo interesais, įskaitant ESĮI apsaugą,

               —

               užtikrinti, kad būtų laikomasi saugumo taisyklių ir instrukcijų,

               —

               informuoti darbuotojus apie jiems taikomas saugumo taisykles ir apie konkrečius priimančiojoje valstybėje kylančius pavojus,

               —

               teikti užklausas už saugumą atsakingam EIVT direktoratui dėl darbuotojų, kuriems taikoma asmens patikimumo patikrinimo (APP) procedūra ir

               —

               nuolat informuoti delegacijos vadovą, regiono saugumo pareigūną (RSP) ir už saugumą atsakingą EIVT direktoratą apie incidentus ar pokyčius srityje, kuri susijusi su EIVT saugumo interesų apsauga.

         4.   Delegacijos vadovas gali deleguoti administracinio ar techninio pobūdžio saugumo uždavinius administracijos vadovui ir kitiems delegacijos darbuotojams.
   5.   Sąjungos delegacijai padeda RSP. RSP Sąjungos delegacijose, atitinkančiose geografinius regionus, už kuriuos jie atsakingi, vykdo toliau nurodytas funkcijas.
   Esant tam tikroms aplinkybėms, kai tai būtina dėl esamos saugumo padėties, specialus RSP gali būti paskirtas į konkrečią Sąjungos delegaciją kaip nuolatinis darbuotojas.
   Už saugumą atsakingo EIVT direktorato sprendimu RSP gali būti paskirtas į vietą, kuri yra ne jo atsakomybės zonoje, įskaitant būstinę, arba, atsižvelgiant į saugumo padėtį, į bet kokią šalį eiti nuolatines pareigas.
   6.   RSP veiklą tiesiogiai kontroliuoja EIVT būstinės tarnyba, atsakinga už saugumą vietoje, tačiau administracinę kontrolę dalijasi jų darbo vietos delegacijos vadovas ir už saugumą vietoje atsakinga būstinės tarnyba. RSP padeda delegacijos vadovui ir Sąjungos delegacijos darbuotojams rengti ir įgyvendinti visas fizines, organizacines ir procedūrines priemones, susijusias su Sąjungos delegacijos saugumu.
   7.   RSP konsultuoja delegacijos vadovą ir Sąjungos delegacijos darbuotojus ir jiems padeda. Jei reikia ir tais atvejais, kai RSP yra nuolatinis darbuotojas, jis turėtų padėti Sąjungos delegacijai vykdyti saugumo valdymo ir įgyvendinimo funkcijas, įskaitant saugumo sutarčių parengimą, akreditacijų ir patikimumo pažymėjimų tvarkymą.
   14 straipsnis
   BSGP operacijos ir ES specialieji įgaliotiniai
   Už saugumą atsakingas EIVT direktoratas padeda ir pataria Krizių valdymo ir planavimo direktorato direktoriui, Europos Sąjungos karinio štabo (EUMS) generaliniam direktoriui, Civiliniam operacijų vadui, kuris vadovauja Civilinių operacijų planavimo ir vykdymo centrui (CPCC) ir ES karinių operacijų vadams BSGP operacijų saugumo klausimais, o ES specialiesiems įgaliotiniams – su jų mandatu susijusiais saugumo klausimais. Šios nuostatos papildo atitinkamas specialias Tarybos strategijų nuostatas.
   15 straipsnis
   EIVT saugumo komitetas
   1.   Įsteigiamas EIVT saugumo komitetas.
   Jam pirmininkauja EIVT saugumo institucija arba paskirtasis delegatas. Saugumo komitetas posėdžiauja pirmininko nurodymu ar bet kokio komiteto nario prašymu. Už saugumą atsakingas EIVT direktoratas padeda pirmininkui vykdyti šią funkciją ir, jei reikia, teikia administracinę pagalbą Komiteto veiklai.
   2.   EIVT saugumo komitetą sudaro šių subjektų atstovai:

               —

               visų valstybių narių,

               —

               Tarybos generalinio sekretoriato Saugumo tarnybos,

               —

               Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktorato.

         Valstybės narės delegaciją EIVT saugumo komitete gali sudaryti šių subjektų atstovai:

               —

               nacionalinės saugumo institucijos ir (arba) paskirtosios saugumo institucijos,

               —

               už saugumą atsakingų užsienio reikalų ministerijos padalinių.

         3.   Jei reikia, komiteto atstovai gali dirbti kartu su ekspertais ir naudotis jų konsultacijomis. Gali būti pakviesti kitų ES institucijų, agentūrų ar įstaigų atstovai – kai nagrinėjami šių institucijų saugumo požiūriu svarbūs klausimai.
   4.   Nepažeidžiant tolesnės 5 dalies, EIVT saugumo komitetas teikia pagalbą EIVT (konsultuoja) visais klausimais, kurie svarbūs EIVT veiklai, būstinei ir Sąjungos delegacijoms.
   Nepažeidžiant tolesnės 5 dalies, EIVT saugumo komitetas:

               a)

               yra konsultuojamas šiais klausimais:

                           —

                           saugumo strategijų, gairių, koncepcijų ar kitų su saugumu susijusių metodologinių dokumentų, ypač dokumentų, susijusių su įslaptintos informacijos apsauga ir priemonėmis, kurios numatytos, jei EIVT darbuotojai nesilaiko saugumo taisyklių,

                           —

                           techninių saugumo aspektų, kurie gali daryti poveikį vyriausiojo įgaliotinio sprendimui teikti rekomendaciją Tarybai dėl derybų dėl susitarimų dėl informacijos saugumo, kurios nurodytos A priedo 10 straipsnio 1 dalies a punkte, pradžios,

                           —

                           visų šio sprendimo pakeitimų;

               b)

               gali būti konsultuojamas klausimais ar informuojamas apie klausimus, susijusius su EIVT būstinės ir Sąjungos delegacijų darbuotojų bei turto saugumu, nepažeidžiant 3 straipsnio 3 dalies;

               c)

               informuojamas apie visus EIVT įvykusius ESĮI neteisėto atskleidimo ar praradimo atvejus.

         5.   Visiems šiame sprendime ir jo A priede pateiktų ESĮI apsaugos taisyklių pakeitimams turi vieningai pritarti valstybės narės, atstovaujamos EIVT saugumo komitete. Toks vieningas pritarimas reikalingas priimant šiuos sprendimus:

               —

               pradedant derybas dėl administracinių susitarimų, nurodytų A priedo 10 straipsnio 1 dalies b punkte,

               —

               esant išskirtinėms aplinkybėms, nurodytoms A VI priedo 9, 11 ir 12 dalyse, suteikiant įslaptintą informaciją,

               —

               esant aplinkybėms, nurodytoms A priedo 10 straipsnio 6 dalies paskutiniame sakinyje, prisiimant įslaptintos informacijos rengėjo atsakomybę.

         Kai prašoma vieningai pritarti sprendimui, ši sąlyga laikoma įvykdyta, kai valstybių narių delegacijos per komiteto posėdžius nepateikia jokių prieštaravimų.
   6.   EIVT saugumo komitetas visiškai atsižvelgia į galiojančias Tarybos ir Komisijos saugumo strategijas ir gaires.
   7.   EIVT saugumo komitetas gauna metinių EIVT patikrinimų sąrašą ir atliktų patikrinimų ataskaitas.
   8.   Posėdžių organizavimas:

               —

               EIVT saugumo komitetas posėdžiauja bent du kartus per metus. Pirmininkui įsakius arba paprašius Komiteto nariams, gali būti surengti papildomi posėdžiai. Tai gali būti viso formato arba NSI/PSI arba MFA saugumo formato posėdžiai.

               —

               EIVT saugumo komitetas savo veiklą organizuoja taip, kad galėtų teikti rekomendacijas konkrečių saugumo sričių klausimais. Jei reikia, komitetas gali įsteigti kitus ekspertų pogrupius. Šis komitetas apibrėžia tokių ekspertų pogrupių įgaliojimus, o šie pogrupiai teikia jam savo veiklos ataskaitas.

               —

               Už saugumą atsakingas EIVT direktoratas yra atsakingas ir už klausimų diskusijoms rengimą. Kiekvienam posėdžiui pirmininkas parengia preliminarią darbotvarkę. Komiteto nariai gali siūlyti diskutuoti apie kitus klausimus.

         16 straipsnis
   Saugumo patikrinimai
   1.   EIVT saugumo institucija užtikrina reguliarų saugumo patikrinimų vykdymą EIVT būstinėje ir Sąjungos delegacijose, siekiant įvertinti saugumo priemonių tinkamumą ir patikrinti, kaip laikomasi šio sprendimo nuostatų. Jei reikia, už saugumą atsakingas EIVT direktoratas gali paskirti papildomus ekspertus, kurie dalyvautų saugumo patikrinimuose, kurie vykdomi ES agentūrose ir įstaigose, įsteigtose pagal ES sutarties V antraštinės dalies 2 skyrių.
   2.   EIVT saugumo patikrinimai vykdomi vadovaujant už saugumą atsakingam EIVT direktoratui ir, jei reikia, padedant kitų ES institucijų ar valstybių narių saugumo ekspertams, ypač kalbant apie 3 straipsnio 3 dalyje nurodytus susitarimus.
   3.   Jei reikia, EIVT gali atsižvelgti į valstybių narių, Tarybos generalinio sekretoriato ir Europos Komisijos patirtį.
   Jei reikia, į Sąjungos delegacijos saugumo patikrinimą gali būti pakviesti dalyvauti atitinkami valstybių narių misijų trečiosiose valstybėse saugumo ekspertai ir (arba) diplomatinių atstovybių saugumo padalinių atstovai.
   4.   Šio straipsnio įgyvendinimo nuostatos, susijusios su ESĮI apsauga, išdėstytos A III priede.
   17 straipsnis
   Įvertinimo vizitai
   Įvertinimo vizitai rengiami siekiant įsitikinti, kad trečiojoje valstybėje arba tarptautinėje organizacijoje taikomos ESĮI, kuria keičiamasi pagal A priedo 10 straipsnio 1 dalies b punkte nurodytą administracinį susitarimą, apsaugos priemonės yra veiksmingos.
   Už saugumą atsakingas EIVT direktoratas gali paskirti papildomus ekspertus, kurie dalyvautų įvertinimo vizitų metu trečiosiose valstybėse ar tarptautinėse organizacijose, su kuriomis ES sudarė susitarimus dėl informacijos saugumo, nurodytus A priedo 10 straipsnio 1 dalies a punkte.
   18 straipsnis
   Veiklos tęstinumo planavimas
   Už saugumą atsakingas EIVT direktoratas padeda EIVT saugumo institucijai valdyti su saugumu susijusius EIVT veiklos tęstinumo procesų aspektus, kurie yra bendro EIVT veiklos tęstinumo planavimo dalis.
   19 straipsnis
   Kelionės patarimai, skirti misijoms, kurios vykdomos ne ES
   Už saugumą atsakingas EIVT direktoratas užtikrina, kad būtų teikiami kelionės patarimai dėl darbuotojų, už kurių įdarbinimą atsakinga EIVT, misijų į ne ES šalis, ir sutelkia visų atitinkamų EIVT tarnybų, ypač SITROOM, INTCEN, geografinių padalinių ir Sąjungos delegacijų, išteklius.
   Pateikus prašymą ir sutelkus pirmiau nurodytus išteklius, už saugumą atsakingas EIVT direktoratas teikia konkrečius kelionės patarimus dėl darbuotojų, už kurių įdarbinimą atsakinga EIVT, misijų į trečiąsias valstybes, kurių rizikos lygis yra labai didelis arba padidintas.
   20 straipsnis
   Sveikata ir sauga
   EIVT saugumo taisyklės papildo vyriausiojo įgaliotinio patvirtintas EIVT sveikatos ir saugos užtikrinimo taisykles.
   21 straipsnis
   Įgyvendinimas ir peržiūra
   1.   EIVT saugumo institucija, jei reikia, pasikonsultavusi su EIVT saugumo komitetu, tvirtina saugumo strategijas ir gaires, kuriose nustatomos šių taisyklių įgyvendinimo EIVT priemonės, taip pat, glaudžiai bendradarbiaudama su valstybių narių kompetentingomis saugumo institucijomis ir padedama ES institucijų atitinkamų tarnybų, kuria pajėgumus, reikalingus visiems saugumo aspektams užtikrinti.
   2.   Pagal 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 4 straipsnio 5 dalį, jei reikia, sudarant tarnybų lygio susitarimus su atitinkamomis Tarybos generalinio sekretoriato tarnybomis, gali būti taikomos pereinamojo laikotarpio nuostatos.
   3.   Vyriausiasis įgaliotinis užtikrina bendrą šio sprendimo taikymo nuoseklumą ir nuolat peržiūri šias saugumo taisykles.
   4.   EIVT saugumo taisyklės įgyvendinamos glaudžiai bendradarbiaujant su kompetentingomis valstybių narių saugumo institucijomis.
   5.   EIVT užtikrina, kad EIVT reagavimo į krizę sistemoje būtų atsižvelgta į visus saugumo proceso aspektus.
   6.   Generalinis sekretorius, kaip saugumo institucija, ir už saugumą atsakingo EIVT direktorato vadovas užtikrina šio sprendimo įgyvendinimą.
   22 straipsnis
   Ankstesnių sprendimų pakeitimas
   Šiuo sprendimu panaikinamas ir pakeičiamas 2013 m. balandžio 19 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas dėl Europos išorės veiksmų tarnybos saugumo taisyklių (5).
   23 straipsnis
   Baigiamosios nuostatos
   Šis sprendimas įsigalioja jo pasirašymo dieną.
   Jis skelbiamas Europos Sąjungos oficialiajame leidinyje.
   EIVT kompetentingos institucijos apie šį sprendimą, jo priedus, turinį, įsigaliojimą ir visus jo tolesnius pakeitimus tinkamai ir laiku praneša visiems darbuotojams, kurie patenka į jo taikymo sritį.

      Priimta Briuselyje 2017 m. rugsėjo 19 d.

         Federica MOGHERINI

            Sąjungos vyriausioji įgaliotinė užsienio reikalams ir saugumo politikai

      (1)  OL L 201, 2010 8 3, p. 30.

      (2)  OL C 304, 2011 10 15, p. 7.

      (3)  Europos Sąjungos pareigūnų tarnybos nuostatai ir kitų Europos Sąjungos tarnautojų įdarbinimo sąlygos, nustatyti Tarybos reglamente (EEB, Euratomas, EAPB) Nr. 259/68 (OL L 56, 1968 3 4, p. 1), toliau – Tarnybos nuostatai.

      (4)  2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (OL L 8, 2001 1 12, p. 1).

      (5)  OL C 190, 2013 6 29, p. 1.

      A PRIEDAS

         ESĮI APSAUGOS PRINCIPAI IR STANDARTAI

      1 straipsnis
      Tikslas, taikymo sritis ir sąvokų apibrėžtys
      1.   Šiame priede nustatyti pagrindiniai ESĮI apsaugai užtikrinti skirti saugumo principai ir būtiniausi standartai.
      2.   Šie pagrindiniai principai ir būtiniausi standartai taikomi EIVT ir darbuotojams, už kurių įdarbinimą atsakinga EIVT, kaip atitinkamai nurodyta ir apibrėžta šio sprendimo 1 ir 2 straipsniuose.
      2 straipsnis
      ESĮI, slaptumo žymų ir kitų žymų apibrėžtis
      1.   ES įslaptinta informacija (ESĮI) – bet kuri informacija arba medžiaga, kuriai suteikta ES slaptumo žyma ir kurią neteisėtai atskleidus galėtų būti padaryta tam tikro dydžio žala Europos Sąjungos arba vienos ar kelių valstybių narių interesams.
      2.   ESĮI žymima viena iš šių slaptumo žymų:
      a)   TRES SECRET UE/ES TOP SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti padaryta ypatingai didelė žala Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
      b)   SECRET UE/EU SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti rimtai pakenkta Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
      c)   CONFIDENTIEL UE/EU CONFIDENTIAL: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti pakenkta Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
      d)   RESTREINT UE/EU RESTRICTED: informacija ir medžiaga, kurios neteisėtas atskleidimas galėtų būti nepalankus Europos Sąjungos arba vienos ar kelių valstybių narių interesams.
      3.   ESĮI žymima slaptumo žyma pagal 2 dalį. Ji gali būti pažymėta papildoma žyma, skirta nurodyti veiklos sritį, su kuria ji yra susijusi, nurodyti įslaptintos informacijos rengėją, apriboti jos platinimą, naudojimą ar suteikimą.
      3 straipsnis
      Įslaptinimo valdymas
      1.   EIVT užtikrina, kad ESĮI būtų žymima tinkama slaptumo žyma, būtų aiškiai nurodoma, kad tai yra įslaptinta informacija, ir jai būtų suteikta slaptumo žyma tik tokiam laikotarpiui, kuris yra būtinas.
      2.   ESĮI slaptumo žymos laipsnis nesumažinamas arba ji neišslaptinama ir nekeičiamos arba nepanaikinamos 2 straipsnio 3 dalyje nurodytos žymos be išankstinio įslaptintos informacijos rengėjo rašytinio sutikimo.
      3.   EIVT saugumo institucija, pasikonsultavusi su EIVT saugumo komitetu pagal šio sprendimo 15 straipsnio 5 dalį, patvirtina ESĮI rengimo saugumo politiką, kuri apima praktinį žymų vadovą.
      4 straipsnis
      Įslaptintos informacijos apsauga
      1.   ESĮI apsaugoma laikantis šio sprendimo.
      2.   Bet kokios ESĮI turėtojas yra atsakingas už jos apsaugą pagal šį sprendimą.
      3.   Valstybėms narėms nacionaline slaptumo žyma pažymėtą įslaptintą informaciją perdavus į EIVT struktūras ar tinklus, EIVT tą informaciją saugo laikydamasi reikalavimų, taikomų lygiaverčio slaptumo žymos lygio ESĮI, kaip nustatyta B priedėlyje pateiktoje slaptumo žymų atitikmenų lentelėje.
      EIVT nustato tinkamas procedūras, skirtas tiksliam registravimui užtikrinti, kurios taikomos tokios informacijos rengėjams:

                  —

                  įslaptintos informacijos, kurią gauna EIVT ir

                  —

                  pradinės medžiagos, kuri yra EIVT parengtos įslaptintos informacijos dalis.

            Apie šias procedūras pranešama EIVT saugumo komitetui.
      4.   Didelio ESĮI kiekio ar ESĮI rinkinio atveju gali būti reikalaujama užtikrinti tokio lygio apsaugą, kuri žymima aukštesnio lygio slaptumo žyma nei šios informacijos sudedamosios dalys.
      5 straipsnis
      Personalo patikimumo užtikrinimo priemonės, taikomos tvarkant ES įslaptintą informaciją
      1.   personalo patikimumas – priemonių taikymas, siekiant užtikrinti, kad galimybė susipažinti su ESĮI būtų suteikta tik asmenims:

                  —

                  kuriems „būtina žinoti“,

                  —

                  kurių patikimumas patikrintas atitinkamu lygiu ir suteikta teisė prieiti prie informacijos, pažymėtos CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio saugumo žyma, arba kiti tinkami leidimai pagal nacionalinius įstatymus ir kitus teisės aktus ir

                  —

                  kurie informuoti apie jų pareigas.

            2.   Taikant asmens patikimumo pažymėjimo (APP) išdavimo procedūras, nustatoma, ar asmeniui, atsižvelgiant į jo lojalumą ir patikimumą, gali būti leidžiama susipažinti su ESĮI.
      3.   Visi asmenys, prieš jiems suteikiant leidimą susipažinti su ESĮI, o vėliau – reguliariai, informuojami apie pareigą saugoti ESĮI pagal šį sprendimą ir jie ją raštu patvirtina.
      4.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A I priede.
      6 straipsnis
      ES įslaptintos informacijos fizinis saugumas
      1.   Fizinis saugumas yra fizinių ir techninių apsaugos priemonių taikymas siekiant užkirsti kelią leidimo neturintiems asmenims susipažinti su ESĮI.
      2.   Fizinės saugumo priemonės skirtos sutrukdyti įsibrauti slaptai arba įsiveržti jėga, atgrasyti nuo neteisėtų veiksmų, sutrukdyti jiems bei juos nustatyti ir sudaryti sąlygas suskirstyti personalą pagal tai, kas gali susipažinti su ESĮI, vadovaujantis principu „būtina žinoti“. Tokios priemonės grindžiamos rizikos valdymo procesu.
      3.   Fizinio saugumo priemonės taikomos visose patalpose, pastatuose, kabinetuose, salėse ir kitose zonose, kuriose tvarkoma arba saugoma ESĮI, įskaitant zonas, kuriose įrengtos ryšių ir informacinės sistemos, kaip apibrėžta A priedo 8 straipsnio 2 dalyje.
      4.   Zonos, kuriose saugoma CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta ESĮI, įrengiamos kaip saugumo zonos pagal II A priedo nuostatas ir patvirtinamos EIVT saugumo institucijos.
      5.   CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėtos ESĮI apsaugai naudojama tik patvirtinta įranga ar prietaisai.
      6.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A II priede.
      7 straipsnis
      Įslaptintos informacijos administravimas
      1.   Įslaptintos informacijos administravimas – administracinių ESĮI kontrolės visą jos gyvavimo ciklą priemonių taikymas siekiant papildyti 5, 6 ir 8 straipsniuose numatytas priemones ir tokiu būdu atgrasyti nuo tokios informacijos sąmoningo ar tikslingo atskleidimo arba praradimo, nustatyti tokius atvejus ir pašalinti jų padarinius. Tokios priemonės visų pirma yra susijusios su ESĮI rengimu, registravimu, kopijavimu, vertimu, gabenimu, tvarkymu, saugojimu ir naikinimu.
      2.   CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta informacija saugumo tikslais registruojama prieš ją platinant ir ją gavus. EIVT kompetentingos institucijos šiuo tikslu sukuria registratūrų sistemą. Slaptumo žyma TRES SECRET UE/ES TOP SECRET pažymėta informacija registruojama tam skirtose registratūrose.
      3.   Tarnybas ir patalpas, kuriose ESĮI tvarkoma arba saugoma, reguliariai tikrina EIVT saugumo institucija.
      4.   Už fiziškai apsaugotų zonų ribų ESĮI iš vienos tarnybos į kitą ir iš vienų patalpų į kitas perduodama šiais būdais:

                  a)

                  paprastai ESĮI perduodama elektroninėmis priemonėmis, apsaugant informaciją šifravimo priemonėmis, patvirtintomis pagal šio sprendimo 7 straipsnio 5 dalį ir aiškiai apibrėžtas saugios eksploatacijos taisykles (SecOPs);

                  b)

                  kai nenaudojamos a punkte nurodytos priemonės, ESĮI gabenama:

                              i)

                              elektroninėse laikmenose (pvz., USB atmintinėse, kompaktiniuose diskuose, kietuosiuose diskuose), informaciją apsaugant pagal šio sprendimo 8 straipsnio 5 dalį patvirtintomis šifravimo priemonėmis arba

                              ii)

                              visais kitais atvejais – EIVT saugumo institucijos nurodytu būdu, laikantis atitinkamų A III priedo V skyriuje nustatytų apsaugos priemonių.

            5.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A III priede.
      8 straipsnis
      RIS tvarkomos ESĮI apsauga
      1.   Informacijos saugumo užtikrinimas (ISU) ryšių ir informacinių sistemų srityje – užtikrinimas, kad tokiose sistemose tvarkoma informacija bus apsaugota ir kad, valdant teisėtiems naudotojams, jos veiks taip, kaip turi veikti, ir tada, kada turi veikti. Veiksmingas ISU užtikrina tinkamą konfidencialumo, vientisumo, prieinamumo, atsakomybės už veiksmus prisiėmimo ir autentiškumo lygį. ISU grindžiamas rizikos valdymo procesu.
      2.   Ryšių ir informacinė sistema (RIS) – sistema, sudaranti sąlygas tvarkyti informaciją elektroniniu būdu. Ryšių ir informacinė sistema apima visas sistemos dalis, kurių reikia jos veikimui užtikrinti, įskaitant infrastruktūrą, organizavimą, personalą ir informacijos išteklius. Šis priedas taikomas visoms EIVT RIS, kuriose tvarkoma ESĮI.
      3.   RIS sistemose ESĮI tvarkoma laikantis ISU principo.
      4.   Visos RIS, kuriose tvarkoma ESĮI, turi būti akredituojamos. Akreditavimo tikslas – įsitikinti, kad įgyvendintos visos atitinkamos saugumo priemonės ir kad pasiektas pakankamas ESĮI ir RIS apsaugos lygis, vadovaujantis šiuo sprendimu. Pareiškime dėl akreditavimo nurodomas aukščiausias informacijos, kuri gali būti tvarkoma RIS, slaptumo žymos laipsnis ir atitinkami reikalavimai bei sąlygos.
      5.   RIS, kurioje tvarkoma CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta informacija, apsaugoma tokiu būdu, kad informacija negalėtų būti neteisėtai atskleista dėl netyčinio elektromagnetinio spinduliavimo (TEMPEST apsaugos priemonės).
      6.   Kai ESĮI apsauga užtikrinama šifravimo priemonėmis, tokios priemonės patvirtinamos pagal šio sprendimo 8 straipsnio 5 dalį.
      7.   Perduodant ESĮI elektroninėmis priemonėmis naudojamos patvirtintos šifravimo priemonės. Nepaisant šio reikalavimo, esant nepaprastosios padėties sąlygoms arba tam tikrų techninių konfigūracijų atvejais, kaip nurodyta A IV priede, gali būti taikomos specialios procedūros.
      8.   Pagal šio sprendimo 8 straipsnio 6 dalį įsteigiamos šios ISU institucijos (tokio dydžio, koks reikalingas):

                  a)

                  ISU institucija (ISUI);

                  b)

                  TEMPEST institucija (TEI);

                  c)

                  Kriptografijos patvirtinimo institucija (KPI);

                  d)

                  Kriptografijos platinimo institucija (KPLI).

            9.   Pagal šio sprendimo 8 straipsnio 7 dalį kiekvienoje sistemoje įsteigiamos šios institucijos:

                  a)

                  Saugumo akreditavimo institucija (SAI);

                  b)

                  ISU operacinę institucija.

            10.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A IV priede.
      9 straipsnis
      Pramoninis saugumas
      1.   Pramoninis saugumas – priemonių, kurias rangovai arba subrangovai taiko derybų dėl sutarčių sudarymo metu ir visą įslaptintų sutarčių gyvavimo ciklą siekdami užtikrinti ESĮI apsaugą, taikymas. Paprastai tokiose sutartyse nenumatoma galimybė susipažinti su slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija.
      2.   EIVT sutartimi gali patikėti pramonės arba kitiems subjektams, registruotiems valstybėje narėje arba trečiojoje valstybėje, kuri yra sudariusi susitarimą dėl informacijos saugumo arba administracinį susitarimą pagal A priedo 10 straipsnio 1 dalį, užduotis, kurioms atlikti reikia arba reikės susipažinti su ESĮI arba ją tvarkyti ar saugoti.
      3.   EIVT, kaip perkančioji institucija, užtikrina, kad sudarant įslaptintas sutartis su pramonės ar kitais subjektais būtų laikomasi šiame sprendime išdėstytų ir sutartyje nurodytų būtiniausių pramoninio saugumo standartų. Ji, pasitelkdama atitinkamas NSI/PSI, užtikrina atitiktį būtiniausiems standartams.
      4.   Valstybėje narėje įregistruoti rangovai ar subrangovai, dalyvaujantys įslaptintose sutartyse arba subrangos sutartyse, pagal kurias jas vykdant arba prieš jas sudarant šių subjektų patalpose tvarkoma ir saugoma įslaptinta informacija, pažymėta slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET, turi reikiamą slaptumo žymos lygį atitinkantį Įmonės patikimumą patvirtinantį pažymėjimą (ĮPPP), išduotą atitinkamos valstybės narės NSI, PSI ar kitos kompetentingos saugumo institucijos.
      5.   Rangovo ar subrangovo darbuotojai, kuriems vykdant įslaptintą sutartį reikia susipažinti su slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET pažymėta informacija, turi asmens patikimumo pažymėjimą (APP), išduotą atitinkamos nacionalinės saugumo institucijos (NSI), paskirtosios saugumo institucijos (PSI) ar kitos kompetentingos saugumo institucijos pagal nacionalinius įstatymus ir kitus teisės aktus bei A I priede nustatytus būtiniausius saugumo standartus.
      6.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A V priede.
      10 straipsnis
      Keitimasis įslaptinta informacija su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis
      1.   EIVT gali keistis ESĮI su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis, jei:

                  a)

                  galioja ES ir atitinkamos trečiosios valstybės ar tarptautinės organizacijos susitarimas dėl informacijos saugumo, sudarytas pagal ES sutarties 37 straipsnį ir SESV 218 straipsnį arba

                  b)

                  įsigaliojo vyriausiojo įgaliotinio ir atitinkamos trečiosios valstybės ar tarptautinės organizacijos saugumo institucijos administracinis susitarimas dėl keitimosi RESTREINT UE/EU RESTRICTED arba aukštesnio lygio slaptumo žyma pažymėta informacija, sudarytas pagal procedūrą, nustatytą šio sprendimo 15 straipsnio 5 dalyje, arba

                  c)

                  taikytinas ES ir atitinkamos trečiosios valstybės bendrasis arba ad hoc dalyvavimo susitarimas BSGP krizių valdymo operacijos kontekste, sudarytas pagal ES sutarties 37 straipsnį ir SESV veikimo 218 straipsnį,

            ir įvykdytos šią priemonę reglamentuojančiose dokumentuose nustatytos sąlygos.
      Pirmiau nurodytų pagrindinių taisyklių išimtys išdėstytos A VI priedo V skyriuje.
      2.   Į 1 dalies b punkte nurodytus administracinius susitarimus įtraukiamos nuostatos, kuriomis užtikrinama, jog trečiosioms valstybėms arba tarptautinėms organizacijoms gavus ESĮI tai informacijai užtikrinama jos slaptumo žymos lygį atitinkanti apsauga, remiantis būtiniausiais standartais, kurie yra ne mažiau griežti nei šiame sprendime nustatyti standartai.
      Informacija, kuria keičiamasi pagal 1 dalies c punkte sudarytus susitarimus, gali būti tik informacija, susijusi su BSGP operacijomis, kuriose atitinkama trečioji valstybė dalyvauja pagal šiuos susitarimus ir jų nuostatas.
      3.   Jeigu vėliau sudaromas Sąjungos ir dalyvaujančiosios trečiosios valstybės ar tarptautinės organizacijos susitarimas dėl informacijos saugumo, šio susitarimo dėl informacijos saugumo nuostatos yra viršesnės už bet kokiuose susitarimuose dėl dalyvavimo bendrųjų sąlygų, ad hoc susitarimuose dėl dalyvavimo arba ad hoc administraciniuose susitarimuose išdėstytas nuostatas dėl keitimosi įslaptinta informacija, kiek tai susiję su keitimusi ESĮI ir jos apdorojimu.
      4.   BSGP operacijos vykdymui surinkta ESĮI gali būti suteikiama trečiųjų valstybių ar tarptautinių organizacijų į tą operaciją komandiruotam personalui, vadovaujantis 1–3 dalių ir A VI priedo nuostatomis. Kai tokiam personalui leidžiama susipažinti su ESĮI BSGP operacijos patalpose ar RIS, turi būti imamasi priemonių (įskaitant suteiktos ESĮI registravimą), kad būtų sumažinta rizika, jog informacija bus prarasta ar atskleista. Tokios priemonės nurodomos atitinkamuose planavimo ar misijos dokumentuose.
      5.   Šio sprendimo 17 straipsnyje nurodyti įvertinimo vizitai į trečiąsias valstybes ar tarptautines organizacijas rengiami siekiant įsitikinti, kad ten taikomos bet kokios ESĮI, kuria keičiamasi, apsaugos priemonės yra veiksmingos.
      6.   Sprendimą suteikti EIVT turimą ESĮI trečiajai valstybei ar tarptautinei organizacijai EIVT priima atskirai kiekvienu konkrečiu atveju, atsižvelgdama į tokios informacijos pobūdį ir turinį bei gavėjo atitiktį principui „būtina žinoti“ ir įvertinusi naudą ES.
      EIVT prašo subjekto, pateikusio įslaptintą informaciją, kuri buvo panaudota kaip pradinė medžiaga ESĮI, kurią parengė EIVT, pateikti rašytinį sutikimą, patvirtinantį, kad subjektas neprieštarauja šios informacijos suteikimui.
      Jeigu EIVT nėra įslaptintos informacijos, kurią prašoma suteikti, rengėja, EIVT pirmiausia prašo jos įslaptintos informacijos rengėjo pateikti rašytinį sutikimą suteikti šią informaciją.
      Tačiau, jei EIVT negali nustatyti atitinkamos informacijos rengėjo, EIVT saugumo institucija, gavusi vieningą valstybių narių, atstovaujamų EIVT saugumo komitete, pritarimą, perima rengėjo atsakomybę.
      7.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A VI priede.
      11 straipsnis
      Įslaptintos informacijos saugumo pažeidimai ir neteisėtas atskleidimas
      1.   Apie bet kokį faktinį ar įtariamą saugumo pažeidimą ir apie bet kokį faktinį ar įtariamą įslaptintos informacijos neteisėtą atskleidimą nedelsiant pranešama už saugumą atsakingam EIVT direktoratui, kuris, prireikus, informuoja atitinkamą (-as) valstybę (-es) narę (-es) ar kitus atitinkamus subjektus.
      2.   Tais atvejais, kai žinoma arba yra pagrįstų priežasčių įtarti, kad įslaptinta informacija buvo neteisėtai atskleista arba prarasta, už saugumą atsakingas EIVT direktoratas informuoja atitinkamos (-ų) valstybės (-ių) narės (-ių) NSI ir, vadovaudamasis atitinkamais įstatymais ir kitais teisės aktais, imasi visų atitinkamų priemonių:

                  a)

                  išsaugoti įrodymus;

                  b)

                  užtikrinti, kad siekiant nustatyti faktus tokį atvejį nagrinėtų su pažeidimu tiesiogiai nesusijęs personalas;

                  c)

                  nedelsiant informuoti informacijos rengėją arba kitą atitinkamą subjektą;

                  d)

                  imtis atitinkamų priemonių, kad būtų užkirstas kelias pažeidimui pasikartoti;

                  e)

                  įvertinti galimą ES ar valstybių narių interesams padarytą žalą ir

                  f)

                  pranešti atitinkamoms institucijoms apie faktinio ar įtariamo neteisėto informacijos atskleidimo padarinius ir veiksmus, kurių imtasi.

            3.   Bet kuriam darbuotojui, už kurio įdarbinimą atsakinga EIVT, kuris pažeidė šiame sprendime nustatytas saugumo taisykles, gali būti taikomos drausminės priemonės pagal taikomas taisykles ir teisės aktus.
      Asmeniui, kuris atsakingas už įslaptintos informacijos neteisėtą atskleidimą ar praradimą, taikomos drausminės ir (arba) teisinės priemonės pagal taikomus įstatymus, taisykles ir kitus teisės aktus.
      4.   Vykdant tyrimą dėl pažeidimo ir (arba) neteisėtos informacijos atskleidimo, už saugumą atsakingo EIVT direktorato vadovas gali laikinai sustabdyti asmens leidimą susipažinti su ESĮI ir patekti į EIVT patalpas. Apie šį sprendimą nedelsiant pranešama Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratui, Tarybos generalinio sekretoriato Saugumo tarnybai ir atitinkamų valstybių narių NSI ar kitiems atitinkamiems subjektams.

         A I PRIEDAS

            PERSONALO SAUGUMAS

         I.   ĮVADAS

                     1.

                     Šiame priede pateiktos A priedo 5 straipsnio įgyvendinimo nuostatos. Jame nustatomi kriterijai, kuriais remdamasi EIVT nustato, ar asmeniui, atsižvelgiant į jo lojalumą ir patikimumą, gali būti leidžiama susipažinti su ESĮI, ir šiuo tikslu taikytinos tikrinimo bei administracinės procedūros.

                     2.

                     Asmens patikimumo pažymėjimas (APP), kuriuo suteikiama teisė susipažinti su ESĮI – valstybės narės kompetentingos institucijos patvirtinimas, kuris pateikiamas valstybės narės kompetentingoms institucijoms baigus patikimumo tyrimą ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI. Laikoma, kad asmens, kuriam taikoma ši apibrėžtis, patikimumas patikrintas.

                     3.

                     Asmens patikimumo pažymėjimą patvirtinanti pažyma (APPP) yra EIVT saugumo institucijos išduota pažyma, kurioje nurodoma, kad asmens patikimumas yra patikrintas, ir nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis, atitinkamo APP galiojimo laikas ir pačios pažymos galiojimo laikas.

                     4.

                     Leidimas susipažinti su ESĮI – EIVT saugumo institucijos leidimas, kuris suteikiamas pagal šį sprendimą, po to, kai valstybės narės kompetentingos institucijos suteikia APP, ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI. Laikoma, kad asmens, kuriam taikoma ši apibrėžtis, patikimumas patikrintas.

               II.   LEIDIMAS SUSIPAŽINTI SU ESĮI

                     5.

                     Siekiant įgyti galimybę susipažinti su informacija, pažymėta slaptumo žyma RESTREINT UE/EU RESTRICTED, patikimumo pažymėjimas nebūtinas. Ši galimybė suteikiama:

                                 a)

                                 kai atsiranda asmens sąsaja su EIVT, pagrįsta teisės aktais ar sutartimi;

                                 b)

                                 kai nustatoma, kad asmuo atitinka principą „būtina žinoti“;

                                 c)

                                 kai asmeniui pateikiama informacija apie ESĮI apsaugai užtikrinti skirtas saugumo taisykles bei procedūras ir jis raštu patvirtina savo pareigą saugoti ESĮI pagal šį sprendimą.

                     6.

                     Asmeniui leidžiama susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma pažymėta ES įslaptinta informacija tik tuo atveju, kai:

                                 a)

                                 atsiranda asmens sąsaja su EIVT, pagrįsta teisės aktais ar sutartimi;

                                 b)

                                 nustatoma, kad jam „būtina žinoti“;

                                 c)

                                 dėl jo atliekamų funkcijų jam buvo išduotas atitinkamo slaptumo žymos laipsnio APP arba kiti tinkami leidimai pagal nacionalinius įstatymus ir kitus teisės aktus ir

                                 d)

                                 jis buvo informuotas apie ESĮI apsaugai užtikrinti skirtas saugumo taisykles bei procedūras ir raštu patvirtino savo pareigą saugoti tokią informaciją.

                     7.

                     EIVT savo struktūrose nustato tas pareigybes, kurias užimantiems asmenims reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija ir todėl jie turi turėti atitinkamo slaptumo žymos lygio APP, kaip nustatyta pirmiau pateiktoje 4 dalyje.

                     8.

                     EIVT darbuotojai nurodo, ar jie turi daugiau kaip vienos šalies pilietybę.

            EIVT taikoma prašymo dėl APP pateikimo procedūra

                     9.

                     EIVT darbuotojų atveju EIVT saugumo institucija nusiunčia užpildytą asmens patikimumo tikrinimo klausimyną valstybės narės, kurios pilietis asmuo yra, NSI, prašydama atlikti patikimumo tyrimą, skirtą gauti leidimui naudotis tam tikro slaptumo žymos lygio ESĮI, su kuria asmeniui reikės susipažinti.

                     10.

                     Jei asmuo turi daugiau kaip vienos šalies pilietybę, prašymas patikrinti patikimumą siunčiamas šalies, kurios pilietybė nurodyta asmenį įdarbinant, NSI.

                     11.

                     Jei EIVT sužino patikimumo tyrimui svarbios informacijos apie asmenį, kuris pateikė prašymą dėl APP, EIVT, laikydamasi atitinkamų taisyklių ir teisės aktų, apie tai praneša atitinkamai NSI.

                     12.

                     Užbaigusi patikimumo tyrimą, atitinkama NSI praneša už saugumą atsakingam EIVT direktoratui tokio patikrinimo rezultatus.

                                 a)

                                 Jei patikimumo tyrimo rezultatai užtikrintai rodo, kad neturima jokios nepalankios informacijos, kuri leistų abejoti asmens lojalumu ir patikimumu, EIVT saugumo institucija gali atitinkamam asmeniui leisti susipažinti su iki tam tikro lygio slaptumo žyma pažymėta ESĮI iki nustatytos datos.

                                 b)

                                 EIVT imasi visų tinkamų priemonių, kad užtikrintų, kad NSI taikomos sąlygos ar apribojimai būtų tinkamai įgyvendinami. NSI pranešama apie įgyvendinimo rezultatus.

                                 c)

                                 Jei patikimumo tyrimo rezultatai nėra tokie užtikrinantys, EIVT saugumo institucija apie tai praneša atitinkamam asmeniui, kuris gali prašyti, kad EIVT saugumo institucija jį išklausytų. EIVT saugumo institucija gali prašyti kompetentingos NSI pateikti daugiau paaiškinimų, kuriuos ji gali pateikti pagal savo nacionalinius įstatymus ir kitus teisės aktus. Jei rezultatai pasitvirtina, leidimas susipažinti su ESĮI neišduodamas. Tokiu atveju EIVT imasi visų tinkamų priemonių, kad užtikrintų, kad prašymo pateikėjui nebūtų suteikta jokia galimybė susipažinti su ESĮI.

                     13.

                     Patikimumo tyrimui bei gautiems rezultatams, kuriais EIVT grindžia savo sprendimą suteikti leidimą susipažinti su ESĮI ar jo nesuteikti, taikomi atitinkamoje valstybėje narėje galiojantys įstatymai ir kiti teisės aktai, įskaitant su apskundimu susijusius įstatymus ir kitus teisės aktus. EIVT saugumo institucijos sprendimai gali būti apskųsti pagal Tarnybos nuostatus.

                     14.

                     APP galioja visoms užduotims, kurias tas asmuo vykdo EIVT, Tarybos generaliniame sekretoriate ar Komisijoje, su sąlyga, kad tebegalioja jo išdavimą pagrindžiančios aplinkybės.

                     15.

                     EIVT pripažįsta kitos Sąjungos institucijos, įstaigos ar agentūros išduotą leidimą susipažinti su ESĮI, su sąlyga, kad jis tebegalioja. Leidimai galioja visoms užduotims, kurias tas asmuo vykdo EIVT. Sąjungos institucija, įstaiga ar agentūra, kurioje asmuo pradeda dirbti, praneša atitinkamai NSI apie darbdavio pasikeitimą.

                     16.

                     Jeigu asmens tarnyba neprasideda per 12 mėnesių nuo patikimumo tyrimo rezultatų pranešimo EIVT saugumo institucijai arba jeigu asmens tarnyboje daroma 12 mėnesių pertrauka ir tuo laikotarpiu jis nėra priimtas į pareigas EIVT, kitoje ES institucijoje, agentūroje ar įstaigoje arba valstybės narės nacionalinėje administracinėje įstaigoje, kurias einant reikia susipažinti su įslaptinta informacija, atitinkamos NSI prašoma patvirtinti, kad rezultatai tebegalioja bei yra tinkami.

                     17.

                     Jei EIVT sužino informacijos apie tai, kad asmuo, turintis leidimą susipažinti su ESĮI, kelia pavojų saugumui, EIVT, laikydamasi atitinkamų taisyklių ir teisės aktų, apie tai praneša atitinkamai NSI ir gali asmeniui laikinai nesuteikti galimybės susipažinti su ESĮI arba panaikinti leidimą susipažinti su ESĮI. Kai NSI informuoja EIVT apie tai, kad pagal 12 dalies a punktą suteiktas užtikrinimas dėl galiojantį leidimą susipažinti su ESĮI turinčio asmens panaikinamas, EIVT saugumo institucija gali paprašyti pateikti paaiškinimą, kurį NSI gali pateikti pagal nacionalinius įstatymus ir kitus teisės aktus. Jei nepalanki informacija patvirtinama, minėtas leidimas panaikinamas, o asmeniui neleidžiama susipažinti su ESĮI ir užimti pareigų, kurias eidamas jis galėtų susipažinti su ta informacija arba sukelti pavojų saugumui.

                     18.

                     Apie bet kurį sprendimą panaikinti EIVT darbuotojo leidimą susipažinti su ESĮI ir, jei reikia, tokio panaikinimo priežastis pranešama atitinkamam asmeniui, kuris gali prašyti, kad EIVT saugumo institucija jį išklausytų. NSI teikiamą informaciją reglamentuoja atitinkamoje valstybėje narėje galiojantys įstatymai ir kiti teisės aktai, įskaitant su apeliacijomis susijusius įstatymus ir kitus teisės aktus. EIVT saugumo institucijos sprendimai gali būti apskųsti pagal Tarnybos nuostatus.

                     19.

                     Į EIVT komandiruoti nacionaliniai ekspertai, siekiantys užimti pareigas, kurias einant reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta įslaptinta informacija, EIVT saugumo institucijai prieš pradėdami tarnybą pateikia galiojantį APP, leidžiantį susipažinti su atitinkamo slaptumo lygio ESĮI. Pirmiau minėtą procesą administruoja išsiunčiančioji valstybė narė.

            APP registrai

                     20.

                     EIVT tvarko visų darbuotojų, už kurių įdarbinimą atsakinga EIVT, ir EIVT rangovų darbuotojų patikimumo pažymėjimo statuso duomenų bazę. Šiuose registruose nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma), APP išdavimo data ir jo galiojimo laikas.

                     21.

                     Valstybės narės ir kitos ES institucijos, agentūros ir įstaigos, siekdamos užtikrinti, kad EIVT turėtų tikslius ir išsamius visų darbuotojų, už kurių įdarbinimą atsakinga EIVT, ir EIVT rangovų darbuotojų patikimumo pažymėjimo statuso registrus, nustato atitinkamas koordinavimo procedūras.

                     22.

                     EIVT saugumo institucija gali išduoti asmens patikimumo pažymėjimą patvirtinančią pažymą (APPP), kurioje nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma), atitinkamo APP arba leidimo galiojimo laikas ir pačios pažymos galiojimo laikas.

            Reikalavimo turėti APP taikymo išimtys

                     23.

                     Jei reikia, už saugumą atsakingas EIVT direktoratas informuoja asmenis, kuriems dėl jų atliekamų funkcijų pagal nacionalinius įstatymus ir kitus teisės aktus suteikta teisė susipažinti su ESĮI, apie jų saugumo įsipareigojimus ESĮI apsaugos srityje.

               III.   ŠVIETIMAS SAUGUMO KLAUSIMAIS IR SAUGUMO SUPRATIMAS

                     24.

                     Prieš asmenims suteikiant leidimą susipažinti su ESĮI, jie raštu patvirtina, kad jie supranta įsipareigojimus saugoti ESĮI ir ESĮI neteisėto atskleidimo padarinius. EIVT registruoja tokius rašytinius patvirtinimus.

                     25.

                     Visi asmenys, kuriems leidžiama susipažinti su ESĮI arba kurie turi dirbti su ESĮI, yra iš pat pradžių informuojami ir paskui reguliariai informuojami apie grėsmes saugumui ir jie turi nedelsdami pranešti atitinkamoms saugumo tarnyboms apie bet kokius bandymus užmegzti kontaktą ar veiklą, kurie, jų nuomone, yra įtartini ar neįprasti.

                     26.

                     Visiems asmenims, kuriems leidžiama susipažinti su EIVT, laikotarpį, kurį jie tvarko ESĮI, taikomos nuolatinės asmens patikimumo užtikrinimo priemonės (t. y. priežiūra). Už nuolatinį asmens patikimumą atsakingi:

                                 a)

                                 asmenys, kuriems suteikta teisė susipažinti su ESĮI: jie yra asmeniškai atsakingi už savo patikimumą ir turi nedelsdami pranešti atitinkamoms saugumo institucijoms apie bet kokius bandymus užmegzti kontaktą ar veiklą, kuri, jų nuomone, yra įtartina ar neįprasta, ir visus jų asmeninių aplinkybių pokyčius, kurie gali turėti poveikį jų APP ar leidimui susipažinti su ESĮI;

                                 b)

                                 tiesioginiai vadovai: jie atsakingi už savo darbuotojų informavimą apie saugumo priemones ir pareigą apsaugoti ESĮI, darbuotojų patikimumo stebėjimą, problemiškų saugumo klausimų pateikimą patiems darbuotojams ir bet kokios neigiamos informacijos, kuri gali turėti poveikį jų darbuotojų APP ar leidimams susipažinti su ESĮI, pranešimą atitinkamoms saugumo institucijoms;

                                 c)

                                 EIVT saugumo organizacijos saugumo srities subjektai, nurodyti šio sprendimo 12 straipsnyje: jie atsakingi už saugumo informacijos teikimą siekiant užtikrinti reguliarų jų atsakomybės srityje dirbančių darbuotojų informavimą, stiprios darbo kultūros skatinimą jų atsakomybės srityje, priemonių, skirtų darbuotojų patikimumui stebėti, nustatymą ir bet kokios neigiamos informacijos, kuri gali turėti poveikį darbuotojo APP, pranešimą atitinkamoms saugumo institucijoms;

                                 d)

                                 EIVT ir valstybės narės: jos nustato reikalingus informacijos, kuri gali turėti poveikį bet kokio asmens APP ar leidimui susipažinti su ESĮI, perdavimo kanalus.

                     27.

                     Visi asmenys, nebeeinantys pareigų, kurias einant jiems reikia susipažinti su ESĮI, yra informuojami apie jų įsipareigojimus toliau saugoti ESĮI slaptumą ir atitinkamais atvejais jie tai patvirtina raštu.

               IV.   IŠSKIRTINĖS APLINKYBĖS

                     28.

                     Dėl skubos priežasčių, kurios pagrįstos EIVT interesais, laukiant išsamaus patikimumo tyrimo pabaigos, EIVT saugumo institucija, pasikonsultavusi su valstybės narės, kurios pilietis yra atitinkamas asmuo, NSI ir atsižvelgusi į preliminaraus patikrinimo, skirto patikrinti, ar nėra žinomos nepalankios informacijos apie asmenį, rezultatus, gali EIVT pareigūnams ir kitiems tarnautojams išduoti laikiną leidimą susipažinti su ESĮI konkrečiai funkcijai atlikti. Išsamus patikimumo tyrimas turi būti baigtas kuo greičiau. Tokie laikini leidimai galioja ne ilgiau kaip šešis mėnesius ir nesuteikia teisės susipažinti su slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija. Visi asmenys, kuriems išduotas laikinas leidimas, raštu patvirtina, kad jie supranta savo įsipareigojimus saugoti ESSĮ ir ESĮI neteisėto atskleidimo pasekmes. EIVT registruoja tokius rašytinius patvirtinimus.

                     29.

                     Kai asmuo turi būti paskirtas į pareigybę, kuriai užimti reikalingas vienu laipsniu aukštesnis nei turimas APP, jis gali būti paskirtas į tą pareigybę laikinai, jeigu:

                                 a)

                                 asmens vadovas raštu įtikinamai pagrindžia, kad būtina susipažinti su aukštesnio laipsnio ESĮI;

                                 b)

                                 suteikiama teisė susipažinti tik su konkrečia ESĮI, kurios reikia užduočiai atlikti;

                                 c)

                                 asmuo turi galiojantį APP;

                                 d)

                                 imtasi veiksmų pareigybei reikiamo laipsnio leidimui gauti;

                                 e)

                                 kompetentinga institucija atliko pakankamus patikrinimus, kad asmuo nėra rimtai ar pakartotinai pažeidęs saugumo nuostatų;

                                 f)

                                 asmens paskyrimą patvirtino kompetentinga institucija;

                                 g)

                                 pasikonsultuota su atitinkama NSI/PSI, kuri asmeniui išdavė APP, ir negauta jokių prieštaravimų ir

                                 h)

                                 išimtis, įskaitant informacijos, su kuria leista susipažinti, aprašymą, registruoja atsakingos registratūros ar subregistratūros.

                     30.

                     Pirmiau nurodytos procedūros laikomasi, kai reikia suteikti leidimą vieną kartą susipažinti su vienu laipsniu aukštesne slaptumo žyma pažymėta ESĮI nei ta, su kuria susipažinti jiems buvo leista atlikus patikimumo patikrinimą. Tokia procedūra neturi būti naudojama pakartotinai.

                     31.

                     Itin išskirtinėmis aplinkybėmis, pvz., vykdant užduotis priešiškoje aplinkoje arba kylant tarptautinei įtampai, kai to reikia imantis neatidėliotinų priemonių, visų pirma siekiant išsaugoti žmonių gyvybes, vyriausiasis įgaliotinis, EIVT saugumo institucija arba DGBA gali, kai įmanoma – raštu, suteikti galimybę susipažinti su slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET pažymėta informacija asmenims, kuriems nėra išduotas reikiamas APP, jeigu tokio leidimo tikrai reikia. Toks leidimas registruojamas, kartu aprašant informaciją, su kuria leista susipažinti.

                     32.

                     Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtos informacijos atveju toks leidimo suteikimas skubos tvarka taikomas tik tiems ES piliečiams, kuriems buvo leista susipažinti su nacionaline informacija, atitinkančia TRES SECRET UE/EU TOP SECRET slaptumo laipsnį, arba su slaptumo žyma SECRET UE/EU SECRET pažymėta informacija.

                     33.

                     EIVT saugumo komitetas informuojamas apie atvejus, kai taikoma 31 ir 32 dalyse išdėstyta procedūra.

                     34.

                     EIVT saugumo komitetui pateikiama šiame skirsnyje numatytų procedūrų taikymo metinė ataskaita.

               V.   DALYVAVIMAS EIVT BŪSTINĖJE IR SĄJUNGOS DELEGACIJOSE VYKSTANČIUOSE POSĖDŽIUOSE

                     35.

                     Asmenys, paskirti dalyvauti EIVT būstinėje ir Sąjungos delegacijose vykstančiuose posėdžiuose, kuriuose aptariama CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija, gali tai daryti tik patvirtinus jų APP turėtojo statusą. Valstybių narių atstovų ir TGS bei Komisijos pareigūnų APPP ar kitus APP įrodymus atitinkamos institucijos siunčia už saugumą atsakingam EIVT direktoratui, Sąjungos delegacijos saugumo koordinatoriui arba išimtiniais atvejais ją pateikia atitinkamas asmuo. Jei taikytina, gali būti naudojamas suvestinis pavardžių sąrašas, kuriame pateikiami atitinkami APP įrodymai.

                     36.

                     Jei panaikinamas asmens, kuris eidamas savo pareigas turi dalyvauti EIVT būstinėje ir Sąjungos delegacijose vykstančiuose posėdžiuose, kuriuose aptariama CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija, APP, leidžiantis susipažinti su ESĮI, kompetentinga institucija apie tai praneša EIVT.

               VI.   GALIMA PRIEIGA PRIE ESĮI

                     37.

                     Kai asmenys turi būti įdarbinti tokioje aplinkoje, kurioje jie gali turėti prieigą prie CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėtos informacijos, jų patikimumas turi būti tinkamai patikrintas arba jie turi būti visą laiką lydimi.

                     38.

                     Kurjerių, apsaugos darbuotojų ir lydinčių asmenų patikimumas turi būti patikrintas atitinkamu lygiu, arba jie turi būti kitaip deramai patikrinti vadovaujantis nacionaliniais įstatymais ir kitais teisės aktais. Jie yra reguliariai supažindinami su ESĮI apsaugai užtikrinti skirtomis saugumo procedūromis ir jiems išdėstomos jų pareigos jiems patikėtos tokios informacijos arba informacijos, su kuria jie susipažįsta per neapdairumą, apsaugos srityje.

         A II PRIEDAS

            ES ĮSLAPTINTOS INFORMACIJOS FIZINIS SAUGUMAS

         I.   ĮVADAS

                     1.

                     Šiame priede pateiktos A priedo 6 straipsnio įgyvendinimo nuostatos. Jame išdėstyti būtiniausi reikalavimai, taikomi patalpų, pastatų, kabinetų, salių ir kitų zonų, kuriose tvarkoma ir saugoma ESĮI, įskaitant zonas, kuriose yra RIS, fizinei apsaugai.

                     2.

                     Fizinio saugumo priemonės yra skirtos užkirsti kelią leidimo neturintiems asmenims susipažinti su ESĮI:

                                 a)

                                 užtikrinant, kad ESĮI būtų tinkamai tvarkoma ir saugoma;

                                 b)

                                 sudarant sąlygas suskirstyti personalą pagal tai, kas gali susipažinti su ESĮI, remiantis principu „būtina žinoti“ ir atitinkamais atvejais – darbuotojų patikimumo pažymėjimais;

                                 c)

                                 atgrasant nuo neteisėtų veiksmų, sutrukdant jiems bei juos nustatant ir

                                 d)

                                 sutrukdant asmenims įsibrauti slaptai ar įsiveržti jėga arba juos užlaikant.

               II.   FIZINIO SAUGUMO REIKALAVIMAI IR PRIEMONĖS

                     3.

                     ESĮI apsaugai užtikrinti savo patalpose EIVT taiko rizikos valdymo procesą, kad užtikrintų, jog, atsižvelgiant į įvertintą riziką, būtų taikoma atitinkamo lygio fizinė apsauga. Rizikos valdymo procese atsižvelgiama į visus svarbius veiksnius, visų pirma:

                                 a)

                                 ESĮI slaptumo žymos lygį;

                                 b)

                                 ESĮI formą ir kiekį, atsižvelgiant į tai, kad dideliam ESĮI kiekiui ar rinkiniui apsaugoti gali reikėti taikyti griežtesnes apsaugos priemones;

                                 c)

                                 pastatus ar zonas, kuriose laikoma ESĮI, supančią aplinką ir jų struktūrą;

                                 d)

                                 trečiųjų šalių grėsmės įvertinimą, kurį, remdamasi daugiausia Sąjungos delegacijos ataskaitomis, parengė INTCEN, ir

                                 e)

                                 įvertintą žvalgybos tarnybų, kurių veikla nukreipta prieš ES arba jos valstybes nares, keliamą grėsmę ir grėsmę dėl sabotažo, terorizmo, ardomosios arba kitų rūšių nusikalstamos veiklos.

                     4.

                     EIVT saugumo institucija, taikydama nuodugnios apsaugos sąvoką, nustato tinkamas įgyvendintinas fizinio saugumo priemones. Tai gali būti viena (ar daugiau) iš šių priemonių:

                                 a)

                                 perimetro barjeras: fizinis barjeras, kuris skirtas zonos, kurioje reikalinga apsauga, ribos apsaugai užtikrinti;

                                 b)

                                 įsibrovimo aptikimo sistemos (ĮAS): ĮAS gali būti naudojama siekiant padidinti perimetro barjero teikiamo saugumo lygį arba patalpose ir pastatuose vietoj apsaugos personalo ar jam padėti;

                                 c)

                                 patekimo kontrolė: gali būti kontroliuojamas patekimas į objektą, pastatą ar pastatus objekte arba į zonas ar patalpas pastate. Kontrolė gali būti vykdoma elektroninėmis arba elektroninėmis-mechaninėmis priemonėmis, ją gali vykdyti apsaugos personalas ir (arba) priimamojo darbuotojas, arba ji gali būti vykdoma kitomis fizinėmis priemonėmis;

                                 d)

                                 apsaugos personalas: galima įdarbinti apmokytą ir prižiūrimą apsaugos personalą, jei reikia, tinkamai patikrinus jų patikimumą, inter alia, siekiant atgrasyti slaptą įsibrovimą planuojančius asmenis;

                                 e)

                                 apsauginės vaizdo stebėjimo sistemos (AVSS): apsaugos personalas gali naudotis AVSS, kad patikrintų incidentus ir ĮAS pavojaus signalus dideliuose objektuose ar ties perimetru;

                                 f)

                                 apsauginis apšvietimas: apsauginis apšvietimas ne tik skleidžia šviesą, būtiną veiksmingam stebėjimui, kurį tiesiogiai atlieka apsaugos personalas arba kuris netiesiogiai atliekamas per AVSS sistemą, bet jį taip pat galima naudoti siekiant atgrasyti potencialų įsibrovėlį ir

                                 g)

                                 kitos tinkamos fizinės priemonės, skirtos atgrasyti asmenis be leidimo naudotis ESĮI, nustatyti tokio naudojimo atvejus, arba užkirsti kelią tam, kad ESĮI būtų prarasta ar jai būtų padaryta žala.

                     5.

                     Už saugumą atsakingam EIVT direktoratui leidžiama apieškoti įeinančius ir išeinančius asmenis siekiant atgrasyti, kad į patalpas arba pastatus be leidimo nebūtų įnešama medžiaga arba iš jų be leidimo nebūtų išnešama ESĮI.

                     6.

                     Iškilus pavojui, kad ESĮI bus pamatyta, netgi atsitiktinai, imamasi tinkamų priemonių siekiant išvengti šio pavojaus.

                     7.

                     Naujos infrastruktūros atveju infrastruktūros planavimo ir projektavimo metu apibrėžiami fizinio saugumo reikalavimai ir jos funkcinės specifikacijos. Esamos infrastruktūros atveju kiek įmanoma įgyvendinami fizinio saugumo reikalavimai.

               III.   ESĮI FIZINEI APSAUGAI SKIRTA ĮRANGA

                     8.

                     Įsigydama ESĮI fizinei apsaugai užtikrinti skirtą įrangą (pavyzdžiui, apsaugines talpyklas, naikiklius, durų užraktus, elektronines patekimo kontrolės sistemas, įsibrovimo aptikimo sistemas, signalizacijos sistemas), EIVT saugumo institucija užtikrina, kad įranga atitiktų patvirtintus techninius standartus ir būtiniausius reikalavimus.

                     9.

                     ESĮI fizinei apsaugai užtikrinti naudotinos įrangos techninės specifikacijos išdėstomos saugumo gairėse, kurias turi patvirtinti EIVT saugumo komitetas.

                     10.

                     Saugumo sistemos reguliariai tikrinamos ir reguliariai atliekama įrangos priežiūra. Atliekant priežiūrą atsižvelgiama į patikrinimų rezultatus, kad būtų užtikrinta, jog įrenginiai toliau veiktų optimaliai.

                     11.

                     Kiekvieno patikrinimo metu iš naujo vertinamas individualių saugumo priemonių ir visos saugumo sistemos veiksmingumas.

               IV.   FIZIŠKAI APSAUGOTOS ZONOS

                     12.

                     ESĮI fizinės apsaugos tikslais nustatomos dviejų tipų fiziškai apsaugotos zonos arba nacionalinės lygiavertės zonos:

                                 a)

                                 administracinės zonos ir

                                 b)

                                 saugios zonos (įskaitant techniniu požiūriu saugias zonas).

                     13.

                     EIVT saugumo institucija nustato, kad zona atitinka reikalavimus, jog būtų klasifikuojama kaip administracinė zona, saugumo zona ar techniniu požiūriu saugi saugumo zona.

                     14.

                     Administracinių zonų atveju:

                                 a)

                                 nustatomas aiškiai apribotas plotas, kad būtų galima tikrinti asmenis ir, jei įmanoma, transporto priemones;

                                 b)

                                 į šias zonas įeiti nelydimiems leidžiama tik tiems asmenims, kuriems už saugumą atsakingas EIVT direktoratas suteikė tinkamą leidimą, ir

                                 c)

                                 visi kiti asmenys turi būti visą laiką lydimi arba jiems turi būti taikomos lygiavertės kontrolės priemonės.

                     15.

                     Saugių zonų atveju:

                                 a)

                                 nustatoma aiškiai apibrėžta ir saugoma išorinė riba, per kurią kiekvienas įėjimas ir išėjimas yra kontroliuojamas naudojantis leidimų arba asmens atpažinimo sistema;

                                 b)

                                 į zoną įeiti nelydimiems leidžiama tik tiems asmenims, kurių patikimumas tinkamai patikrintas ir kurie turi specialų leidimą įeiti į zoną pagal principą „būtina žinoti“;

                                 c)

                                 visi kiti asmenys turi būti visą laiką lydimi arba jiems turi būti taikomos lygiavertės kontrolės priemonės.

                     16.

                     Tais atvejais, kai įėjus į saugumo zoną galima visais praktiniais tikslais tiesiogiai susipažinti su joje laikoma įslaptinta informacija, taikomi tokie papildomi reikalavimai:

                                 a)

                                 aiškiai nurodomas paprastai zonoje laikomos informacijos aukščiausio slaptumo žymos lygis;

                                 b)

                                 visi lankytojai privalo turėti specialų leidimą, suteikiantį teisę įeiti į zoną, turi būti visą laiką lydimi ir jų patikimumas turi būti tinkamai patikrinamas, nebent imtasi priemonių užtikrinti, kad nebūtų įmanoma susipažinti su ESĮI;

                                 c)

                                 į zoną draudžiama įnešti elektroninius prietaisus.

                     17.

                     Nuo pasiklausymo apsaugotos saugios zonos klasifikuojamos kaip techniniu požiūriu saugios zonos. Taikomi šie papildomi reikalavimai:

                                 a)

                                 tokiose zonose turi būti įdiegta ĮAS, ir kai jose nedirbama, jos turi būti rakinamos, o kai dirbama – saugomos. Visi raktai apskaitomi ir saugomi vadovaujantis šio priedo VI skyriumi;

                                 b)

                                 visi į tokias zonas įeinantys asmenys ar įnešamos medžiagos kontroliuojami;

                                 c)

                                 tokios zonos reguliariai fiziškai ir (arba) techniškai tikrinamos, kaip reikalauja EIVT saugumo institucija. Tokie patikrinimai atliekami, kai į zoną buvo įeita be leidimo ar įtariama apie tokį patekimą, ir

                                 d)

                                 tokiose zonose negali būti ryšių linijų, kurioms nesuteiktas leidimas, telefonų, kuriems nesuteiktas leidimas, ar kitų ryšių prietaisų bei elektros ar elektroninės įrangos, kuriems nesuteiktas leidimas.

                     18.

                     Nepaisant 17 dalies d punkto, prieš naudojantis ryšių prietaisais ir elektros ar elektronine įranga zonose, kuriose rengiami susitikimai ar atliekamas darbas, susijęs su SECRET UE/ES SECRET arba aukštesnio laipsnio slaptumo žyma pažymėta informacija, taip pat kai grėsmė ESĮI vertinama kaip didelė, tokius prietaisus ir įrangą visų pirma ištiria Komisijos saugumo institucija, siekdama užtikrinti, kad naudojantis šia įranga nebūtų galima perduoti jokios suprantamos informacijos per neapdairumą ar neteisėtai už saugios zonos ploto.

                     19.

                     Saugumo zonos, kuriose nėra visą parą budinčio personalo, atitinkamais atvejais tikrinamos pasibaigus įprastai darbo dienai ir atsitiktiniais intervalais ne įprastomis darbo valandomis, išskyrus atvejus, kai įdiegta ĮAS.

                     20.

                     Siekiant surengti susitikimą, kuriame naudojama įslaptinta informacija arba bet kokiu kitu panašiu tikslu administracinėje zonoje gali būti laikinai įrengtos saugumo zonos ir techniniu požiūriu saugios saugumo zonos.

                     21.

                     Saugios eksploatacijos taisyklės rengiamos kiekvienai saugumo zonai ir jose nustatoma:

                                 a)

                                 ESĮI, kuri gali būti tvarkoma ir saugoma toje zonoje, slaptumo žymos lygis;

                                 b)

                                 įdiegtinos stebėjimo ir apsaugos priemonės;

                                 c)

                                 kokie asmenys turi leidimą nelydimi patekti į zoną, vadovaujantis principu „būtina žinoti“ ir asmens patikimumo pažymėjimu;

                                 d)

                                 atitinkamais atvejais palydos tvarka ir ESĮI apsaugos tvarka, kai kitiems asmenims leidžiama įeiti į zoną;

                                 e)

                                 bet kurios kitos atitinkamos priemonės ir procedūros.

                     22.

                     Saugiose zonose įrengiamos saugyklos. Sienos, grindys, lubos, langai ir durys su užraktais patvirtinamos EIVT saugumo institucijos ir užtikrina apsaugą, kurią užtikrina apsauginės talpyklos, patvirtintos to paties lygio slaptumo žymos ESĮI saugoti.

               V.   FIZINĖS APSAUGOS PRIEMONĖS TVARKANT IR SAUGANT ESĮI

                     23.

                     Slaptumo žyma RESTREINT UE/EU RESTRICTED pažymėta ESĮI gali būti tvarkoma:

                                 a)

                                 saugiose zonose;

                                 b)

                                 administracinėse zonose, jeigu ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys, arba

                                 c)

                                 ne saugumo zonose ar administracinėse zonose, jeigu turėtojas gabena ESĮI pagal A III priedo 30–42 dalis ir yra įsipareigojęs taikyti kompensacines priemones, nustatytas EIVT saugumo institucijos parengtose saugumo instrukcijose, kad būtų užtikrinta, jog ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys.

                     24.

                     Slaptumo žyma RESTREINT UE/EU RESTRICTED pažymėta ESĮI saugoma tinkamuose rakinamuose biuro balduose administracinėse zonose arba saugumo zonose. Laikinai ji gali būti saugoma ne saugumo zonose ar administracinėse zonose, jeigu turėtojas yra įsipareigojęs taikyti kompensacines priemones, nustatytas EIVT saugumo institucijos parengtose saugumo instrukcijose.

                     25.

                     Slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET pažymėta ESĮI gali būti tvarkoma:

                                 a)

                                 saugiose zonose;

                                 b)

                                 administracinėse zonose, jeigu ta ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys arba

                                 c)

                                 ne saugiose zonose ar administracinėse zonose, jeigu turėtojas:

                                             i)

                                             gabena ESĮI pagal A III priedo 30–42 dalis;

                                             ii)

                                             yra įsipareigojęs taikyti kompensacines priemones, nustatytas EIVT saugumo institucijos parengtose saugumo instrukcijose, kad būtų užtikrinta, jog ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys;

                                             iii)

                                             visą laiką asmeniškai kontroliuoja šią ESĮI ir

                                             iv)

                                             jei dokumentai yra popieriniu pavidalu, apie tai pranešė atitinkamai registratūrai.

                     26.

                     Slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET pažymėta ESĮI saugoma saugumo zonose esančiose apsauginėse talpyklose arba saugyklose.

                     27.

                     Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta ESĮI tvarkoma saugumo zonose.

                     28.

                     Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta ESĮI saugoma būstinės saugumo zonose laikantis kurios nors iš toliau nurodytų sąlygų:

                                 a)

                                 apsauginėje talpykloje laikantis 8 dalies reikalavimų, taikant vieną ar kelias iš toliau nurodytų papildomų kontrolės priemonių:

                                             i)

                                             nuolatinė apsauga arba tikrinimas, kurį vykdo apsaugos personalas arba budintis personalas, kurio patikimumas patikrintas;

                                             ii)

                                             patvirtinta ĮAS kartu veikiant apsaugos reagavimo personalui

                                       arba

                                 b)

                                 saugykloje su įrengta ĮAS kartu veikiant apsaugos reagavimo personalui.

                     29.

                     ESĮI gabenimą už fiziškai apsaugotų zonų ribų reglamentuojančios taisyklės išdėstytos III priede.

               VI.   ESĮI APSAUGAI UŽTIKRINTI NAUDOJAMŲ RAKTŲ IR KODŲ KONTROLĖ

                     30.

                     EIVT saugumo institucija nustato kabinetų, patalpų, saugyklų ir apsauginių talpyklų raktų bei kodų valdymo procedūras. Tokios procedūros apsaugo nuo neleistino susipažinimo su informacija.

                     31.

                     Kodus įsimena kuo mažesnis asmenų, kuriems būtina juos žinoti, skaičius. Apsauginių talpyklų ir saugyklų, kuriose saugoma ESĮI, kodai keičiami:

                                 a)

                                 gavus naują talpyklą;

                                 b)

                                 pasikeitus kodus žinančiam personalui;

                                 c)

                                 neteisėtai atskleidus informaciją arba įtarus, kad tai padaryta;

                                 d)

                                 po spynos techninio patikrinimo ar taisymo ir

                                 e)

                                 bent kas 12 mėnesių.

         A III PRIEDAS

            ĮSLAPTINTOS INFORMACIJOS ADMINISTRAVIMAS

         I.   ĮVADAS

                     1.

                     Šiame priede pateiktos A priedo 7 straipsnio įgyvendinimo nuostatos. Jame išdėstytos administracinės ESĮI kontrolės visą jos gyvavimo ciklą priemonės siekiant atgrasyti nuo tokios informacijos sąmoningo ar atsitiktinio neteisėto atskleidimo arba praradimo, nustatyti tokius atvejus ir pašalinti jų padarinius.

               II.   ĮSLAPTINIMO ADMINISTRAVIMAS

            Slaptumo ir kitos žymos

                     2.

                     Informacija įslaptinama tuo atveju, jei dėl jos konfidencialumo reikia ją apsaugoti.

                     3.

                     ESĮI rengėjas atsako už slaptumo žymos lygio nustatymą pagal atitinkamas įslaptinimo gaires ir už informacijos platinimą.

                     4.

                     ESĮI slaptumo žymos lygis nustatomas vadovaujantis A priedo 2 straipsnio 2 dalimi ir remiantis saugumo gairėmis, kurios turi būti tvirtinamos pagal A priedo 3 straipsnio 3 dalį.

                     5.

                     Valstybių narių įslaptintai informacijai, kuria jos keičiasi su EIVT, suteikiamas toks pat apsaugos lygis, koks suteikiamas atitinkamo slaptumo lygio ESĮI. Atitikmenų lentelė pateikiama šio sprendimo B priedėlyje.

                     6.

                     Slaptumo žyma ir, jei taikytina, data ar konkretus įvykis, po kurio informacijos slaptumo žymos laipsnis gali būti sumažintas arba ji gali būti išslaptinta, nurodoma aiškiai ir teisingai, neatsižvelgiant į tai, ar ESĮI yra pateikiama popieriuje, žodžiu, elektronine ar bet kuria kita forma.

                     7.

                     Atskiroms dokumento dalims (t. y. puslapiams, dalims, skirsniams, priedams ir priedėliams) gali būti suteikiamos skirtingos slaptumo žymos ir jos atitinkamai pažymimos, taip pat tais atvejais, kai jos saugomos elektronine forma.

                     8.

                     Kiek įmanoma, dokumentams, kurių dalys pažymėtos skirtingo lygio slaptumo žymomis, suteikiama tokia struktūra, kad skirtingo lygio slaptumo žymomis pažymėtas dalis būtų galima lengvai nustatyti ir prireikus atskirti.

                     9.

                     Dokumento ar dokumentų bylos bendras slaptumo žymos lygis nustatomas pagal aukščiausią slaptumo žymos lygį turinčią jo dalį. Kai renkama informacija iš įvairių šaltinių, galutinis dokumentas peržiūrimas siekiant nustatyti jo bendrą slaptumo žymos lygį, nes gali prireikti jam suteikti aukštesnį slaptumo žymos lygį nei jo dalims.

                     10.

                     Pridedamų dokumentų lydinčiųjų dokumentų slaptumo žymos lygis atitinka priedų aukščiausio lygio slaptumo žymas. Jei tokie dokumentai pateikiami atskirai nuo priedų, įslaptintos informacijos rengėjas aiškiai nurodo, koks slaptumo žymos lygis jiems suteikiamas, naudodamas atitinkamą žymą, pavyzdžiui:
                     CONFIDENTIEL UE/EU CONFIDENTIAL
                     Be priedo (-ų) RESTREINT UE/EU RESTRICTED

            Ženklai

                     11.

                     Be vienos iš slaptumo žymų, nurodytų A priedo 2 straipsnio 2 dalyje, ESĮI gali būti pažymėta papildomomis žymomis, pavyzdžiui:

                                 a)

                                 identifikatoriumi, kuriuo nurodomas įslaptintos informacijos rengėjas;

                                 b)

                                 bet kuriomis žymomis, kodiniais žodžiais ar santrumpomis, kuriais nurodoma veiklos sritis, su kuria dokumentas yra susijęs, jo specialus platinimas vadovaujantis principu „būtina žinoti“ arba naudojimo apribojimai;

                                 c)

                                 paskirstymo žymomis.

                     12.

                     Priėmus sprendimą suteikti ESĮI trečiajai valstybei ar tarptautinei organizacijai, už saugumą atsakingas EIVT direktoratas perduoda atitinkamą įslaptintą informaciją, pažymėtą leidimo suteikti informaciją žyma, nurodančia trečiąją valstybę ar tarptautinę organizaciją, kuriai ji suteikiama.

                     13.

                     Patvirtintų žymų sąrašą tvirtina EIVT saugumo institucija.

            Žymų santrumpos

                     14.

                     Nurodant atskirų teksto pastraipų slaptumo žymos lygį gali būti naudojamos standartinės slaptumo žymų santrumpos. Santrumpos nepakeičia visais žodžiais nurodytų slaptumo žymų.

                     15.

                     ES įslaptintuose dokumentuose gali būti naudojamos šios standartinės santrumpos, kuriomis nurodomas skirsnių arba teksto dalių, užimančių mažiau nei vieną puslapį, slaptumo žymos lygis:

                                 TRES SECRET UE/EU TOP SECRET

                                 TS-UE/EU-TS

                                 SECRET UE/EU SECRET

                                 S-UE/EU-S

                                 CONFIDENTIEL UE/EU CONFIDENTIAL

                                 C-UE/EU-C

                                 RESTREINT UE/EU RESTRICTED

                                 R-UE/EU-R

            ESĮI rengimas

                     16.

                     Rengiant ES įslaptintą dokumentą:

                                 a)

                                 kiekvienas puslapis aiškiai pažymimas slaptumo žyma;

                                 b)

                                 kiekvienas puslapis numeruojamas;

                                 c)

                                 dokumente nurodomas jo numeris ir dalykas, kurie nėra įslaptinta informacija, išskyrus tuo atveju, kai jie pažymėti kaip įslaptinta informacija;

                                 d)

                                 dokumente nurodoma data;

                                 e)

                                 jei platinamos kelios dokumentų, pažymėtų CONFIDENTIEL UE/EU CONFIDENTIAL ar aukštesnio lygio slaptumo žyma, kopijos, kiekvienos iš jų kiekviename puslapyje nurodomas kopijos numeris.

                     17.

                     Kai rengiant ESĮI neįmanoma taikyti 16 dalyje išdėstytų reikalavimų, taikomos kitos atitinkamos priemonės vadovaujantis saugumo gairėmis, parengtomis pagal šį sprendimą.

            ESĮI slaptumo mažinimas ir ESĮI išslaptinimas

                     18.

                     Įslaptintos informacijos rengėjas, kai įmanoma, rengdamas ESĮI, ypač RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėtą informaciją, nurodo, ar tam tikrą dieną arba po tam tikro įvykio galima sumažinti ESĮI slaptumo žymos laipsnį arba ją išslaptinti.

                     19.

                     EIVT reguliariai peržiūri jo turimą ESĮI, siekdama įsitikinti, ar slaptumo žymos lygis vis dar taikomas. EIVT sukuria sistemą, skirtą peržiūrėti registruotos ESĮI, kurią ji parengė, slaptumo žymos lygį ne rečiau kaip kas penkerius metus. Tokia peržiūra nėra reikalinga, jeigu įslaptintos informacijos rengėjas iš pat pradžių nurodo konkretų laiką, kada informacijos slaptumo žymos laipsnis bus sumažintas arba informacija bus išslaptinta automatiškai; informacija yra atitinkamai pažymėta.

               III.   ESĮI REGISTRAVIMAS SAUGUMO TIKSLAIS

                     20.

                     Būstinėje įsteigiama centrinė registratūra. Kiekviename EIVT organizaciniame vienete, kuriame tvarkoma ESĮI, steigiamos atsakingos registratūros, pavaldžios centrinei registratūrai, siekiant užtikrinti, kad ESĮI būtų administruojama pagal šį sprendimą. Registratūros steigiamos kaip A priede apibrėžtos saugumo zonos.
                     Kiekviena Sąjungos delegacija įsteigia savo ESĮI registratūrą.
                     Šioms registratūroms administruoti EIVT paskiria vyriausiąjį registratūros pareigūną.

                     21.

                     Šiame sprendime registravimas saugumo tikslais (toliau – registravimas) – procedūrų, kuriomis užregistruojamas informacijos gyvavimo ciklas, įskaitant jo platinimą ir sunaikinimą, taikymas. RIS atveju registravimo procedūros gali būti atliekamos vykdant procesus pačioje RIS.

                     22.

                     Kai organizacinis vienetas, įskaitant Sąjungos delegacijas, gauna CONFIDENTIEL UE/EU CONFIDENTIAL ir aukštesnio lygio slaptumo žyma pažymėtą medžiagą ir kai ją išsiunčia, visa ši medžiaga registruojama. Slaptumo žyma TRES SECRET UE/ES TOP SECRET pažymėta informacija registruojama tam skirtose registratūrose.

                     23.

                     EIVT būstinėje centrinė registratūra yra pagrindinis įslaptintos informacijos, kuria keičiamasi su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis, gavimo ir išsiuntimo punktas. Ji registruoja visus šiuos keitimosi informacija atvejus.

                     24.

                     EIVT saugumo institucija saugumo tikslais patvirtina ESĮI registravimo saugumo gaires pagal šio sprendimo 14 straipsnį.

            TRES SECRET UE/EU TOP SECRET registratūros

                     25.

                     EIVT būstinėje įsteigiama centrinė registratūra, kuri veikia kaip centrinė slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtą informaciją gaunanti ir siunčianti institucija. Prireikus gali būti paskirtos antrinės registratūros, kurios tvarko tokią informaciją jos registravimo tikslais.

                     26.

                     Tokios antrinės registratūros negali perduoti slaptumo žyma TRES SECRET UE/ES TOP SECRET pažymėtų dokumentų tiesiogiai kitoms tos pačios centrinės TRES SECRET UE/ES TOP SECRET registratūros antrinėms registratūroms arba į išorę be aiškaus rašytinio tos registratūros leidimo.

               IV.   ES ĮSLAPTINTŲ DOKUMENTŲ KOPIJAVIMAS IR VERTIMAS

                     27.

                     Slaptumo žyma TRES SECRET UE/ES TOP SECRET pažymėti dokumentai kopijuojami arba verčiami tik gavus išankstinį rašytinį įslaptintos informacijos rengėjo sutikimą.

                     28.

                     Jeigu SECRET UE/EU SECRET arba žemesnio laipsnio slaptumo žyma pažymėtų dokumentų įslaptintos informacijos rengėjas nenustatė apribojimų dėl jų kopijavimo ar vertimo, dokumento turėtojo nurodymu tokius dokumentus galima kopijuoti arba versti.

                     29.

                     Dokumento kopijoms ir vertimams taikomos tokios pat saugumo priemonės kaip ir dokumento originalui. Dokumentų, pažymėtų CONFIDENTIEL UE/EU CONFIDENTIAL ar aukštesnio lygio slaptumo žyma, kopijas daro tik atitinkama (sub)registratūra, naudodama apsaugotą kopijavimo aparatą. Kopijos turi būti registruojamos.

               V.   ESĮI GABENIMAS

                     30.

                     Gabenant ESĮI taikomos 32–42 dalyse išdėstytos apsaugos priemonės. Tais atvejais, kai ESĮI gabenama elektroninėje laikmenoje, ir nepaisant A priedo 7 straipsnio 4 dalies, toliau išvardytas apsaugos priemones gali papildyti EIVT saugumo institucijos nurodytos atitinkamos techninės kontrpriemonės, kad būtų sumažinta rizika, jog informacija bus prarasta ar neteisėtai atskleista.

                     31.

                     EIVT saugumo institucija parengia ESĮI gabenimo instrukcijas pagal šį sprendimą.

            Pastate arba uždaroje pastatų grupėje

                     32.

                     Pastate arba uždaroje pastatų grupėje gabenama informacija turi būti uždengta, kad nebūtų galima stebėti jos turinio.

                     33.

                     Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija pastate arba uždaroje pastatų grupėje turi būti gabenama apsaugotame voke, ant kurio nurodytas tik gavėjo vardas ir pavardė; ją gabena asmenys, kurių patikimumas tinkamai patikrintas.

            Europos Sąjungoje

                     34.

                     ESĮI, gabenama iš vieno pastato ar patalpos į kitą Europos Sąjungoje, turi būti supakuota taip, kad ji būtų apsaugota nuo neteisėto atskleidimo.

                     35.

                     SECRET UE/EU SECRET ir žemesnio laipsnio slaptumo žyma pažymėtą informaciją Europos Sąjungoje gabena:

                                 a)

                                 atitinkamai karinis, vyriausybinis ar diplomatinis kurjeris;

                                 b)

                                 kurjeris su sąlyga, kad:

                                             i)

                                             ESĮI nepaliekama be ją gabenančio asmens priežiūros, išskyrus tuo atveju, kai ji saugoma laikantis A II priede nustatytų reikalavimų;

                                             ii)

                                             paketas su ESĮI neatidaromas gabenimo metu arba ESĮI neskaitoma viešose vietose;

                                             iii)

                                             asmenų patikimumas patikrintas atitinkamu lygiu ir jie informuoti apie jų pareigas saugumo srityje;

                                             iv)

                                             prireikus asmenims suteikiamas kurjerio pažymėjimas;

                                 c)

                                 pašto tarnybos arba komercinės kurjerių pašto tarnybos su sąlyga, kad:

                                             i)

                                             jos yra patvirtintos atitinkamos NSI vadovaujantis nacionaliniais įstatymais ir kitais teisės aktais;

                                             ii)

                                             jos taiko atitinkamas apsaugos priemones laikydamosi būtiniausių reikalavimų, kurie turi būti nustatyti saugumo gairėse pagal šio sprendimo 21 straipsnio 1 dalį.

                           Gabenimo iš vienos valstybės narės į kitą atveju c punkto nuostatos taikomos tik gabenant informaciją, pažymėtą slaptumo žyma iki CONFIDENTIEL UE/EU CONFIDENTIAL.

                     36.

                     CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET slaptumo žyma pažymėtą medžiagą (pavyzdžiui, įrangą ar įrenginius), kurios negalima gabenti 34 dalyje nurodytomis priemonėmis, kaip krovinį pagal A V priedą gabena komercinės vežėjų bendrovės.

                     37.

                     TRES SECRET UE/EU TOP SECRET slaptumo žyma pažymėtą informaciją iš vieno pastato ar patalpos į kitą Europos Sąjungoje gabena atitinkamai karinis, vyriausybinis ar diplomatinis kurjeris.

            Iš ES į trečiosios valstybės teritoriją arba tarp ES subjektų trečiosiose valstybėse

                     38.

                     ESĮI, gabenama iš ES į trečiosios valstybės teritoriją arba tarp ES subjektų trečiosiose valstybėse, turi būti supakuota taip, kad ji būtų apsaugota nuo neteisėto atskleidimo.

                     39.

                     CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET slaptumo žyma pažymėtą informaciją iš ES į trečiosios valstybės teritoriją ir SECRET UE/EU SECRET slaptumo žyma pažymėtą informaciją tarp ES subjektų trečiosiose valstybėse gabena:

                                 a)

                                 karinis ar diplomatinis kurjeris;

                                 b)

                                 kurjeris su sąlyga, kad:

                                             i)

                                             ant paketo yra oficialus spaudas arba ESĮI supakuota aiškiai nurodant, kad tai yra oficiali siunta ir jai neturėtų būti taikomas muitinės ar saugumo patikrinimas;

                                             ii)

                                             asmenys turi kurjerio pažymėjimą, kuriame nurodytas paketas ir kuris suteikia jiems teisę gabenti paketą;

                                             iii)

                                             ESĮI nepaliekama be ją gabenančio asmens priežiūros, išskyrus tuo atveju, kai ji saugoma laikantis A II priede nustatytų reikalavimų;

                                             iv)

                                             paketas su ESĮI neatidaromas gabenimo metu arba ESĮI neskaitoma viešose vietose ir

                                             v)

                                             asmenų patikimumas patikrintas atitinkamu lygiu ir jie informuoti apie jų pareigas saugumo srityje.

                     40.

                     Gabenant ES parengtą trečiajai valstybei ar tarptautinei organizacijai skirtą slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET pažymėtą informaciją laikomasi atitinkamų nuostatų, numatytų susitarime dėl informacijos saugumo arba administraciniame susitarime pagal A priedo 10 straipsnio 2 dalį.

                     41.

                     Slaptumo žyma RESTREINT UE/EU RESTRICTED pažymėtą informaciją iš ES į trečiosios valstybės teritoriją taip pat gali gabenti pašto tarnybos ar komercinės kurjerių pašto tarnybos.

                     42.

                     Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtą informaciją iš ES į trečiosios valstybės teritoriją arba tarp ES subjektų trečiosiose valstybėse gabena karinis ar diplomatinis kurjeris.

               VI.   ESĮI NAIKINIMAS

                     43.

                     Nebereikalingi ES įslaptinti dokumentai gali būti sunaikinti nepažeidžiant atitinkamų taisyklių ir nuostatų dėl archyvavimo.

                     44.

                     Dokumentus, kurie turi būti registruojami pagal A priedo 7 straipsnio 2 dalį, turėtojo arba kompetentingos institucijos nurodymu sunaikina atsakinga registratūra. Registracijos knygos ir kita registravimo informacija atitinkamai atnaujinama.

                     45.

                     Dokumentai, pažymėti SECRET UE/EU SECRET arba TRES SECRET UE/EU TOP SECRET slaptumo žyma, naikinami dalyvaujant liudytojui, kuris turi leidimą susipažinti su ne žemesnio už naikinamo dokumento slaptumo žymos laipsnio įslaptinta informacija.

                     46.

                     Atsakingas registratūros darbuotojas ir liudytojas, kai pastarojo dalyvavimas privalomas, pasirašo sunaikinimo aktą, kuris registruojamas atitinkamame registre. Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtų dokumentų sunaikinimo aktai registre saugomi bent dešimt metų, o CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET slaptumo žyma pažymėtų dokumentų – bent penkerius metus.

                     47.

                     Įslaptinti dokumentai, įskaitant pažymėtus slaptumo žyma RESTREINT UE/EU RESTRICTED, sunaikinami tokiais būdais, kurie atitinka atitinkamus ES arba lygiaverčius standartus arba kuriuos valstybės narės patvirtino laikydamosi nacionalinių techninių standartų, kad jų nebūtų galima visiškai ar iš dalies atkurti.

                     48.

                     Kompiuterinių duomenų saugojimo laikmenos, naudotos ESĮI, sunaikinamos taikant EIVT saugumo institucijos patvirtintas procedūras.

               VII.   SAUGUMO PATIKRINIMAI

            EIVT saugumo patikrinimai

                     49.

                     Pagal šio sprendimo 16 straipsnį EIVT saugumo patikrinimai yra:

                                 a)

                                 bendrieji saugumo patikrinimai, kurių tikslas – nustatyti EIVT būstinės, Sąjungos delegacijų ir visų EIVT priklausančių ir su EIVT susijusių patalpų bendrą saugumo lygį, visų pirma siekiant įvertinti EIVT saugumo interesų apsaugos priemonių efektyvumą;

                                 b)

                                 EIVT saugumo patikrinimai, kurių tikslas – akreditacijos požiūriu įvertinti EIVT būstinėje ir Sąjungos delegacijose įgyvendintų ESĮI apsaugos priemonių efektyvumą.
                                 Tokie patikrinimai atliekami, inter alia, siekiant:

                                             i)

                                             užtikrinti, kad būtų laikomasi šiame sprendime nustatytų būtiniausių ESĮI apsaugos standartų;

                                             ii)

                                             tikrinamuose subjektuose pabrėžti saugumo ir veiksmingo rizikos valdymo svarbą;

                                             iii)

                                             rekomenduoti atsakomąsias priemones konkrečiam įslaptintos informacijos konfidencialumo praradimo, jos vientisumo ar prieinamumo netekimo poveikiui sušvelninti ir

                                             iv)

                                             sustiprinti saugumo institucijų vykdomas švietimo saugumo klausimais ir sąmoningumo ugdymo programas.

            EIVT saugumo patikrinimų vykdymas ir jų ataskaitų teikimas

                     50.

                     EIVT saugumo patikrinimus vykdo už saugumą atsakingo EIVT direktorato patikrinimo grupė, jei reikia, padedant kitų ES institucijų ar valstybių narių saugumo ekspertams.
                     Patikrinimo grupei leidžiama patekti į visas vietas, kuriose tvarkoma ESĮI, visų pirma registratūras ir RIS įrengimo vietas.

                     51.

                     Jei reikia, EIVT saugumo patikrinimus Sąjungos delegacijose gali padėti vykdyti trečiosiose šalyse esančių valstybių narių ambasadų saugumo pareigūnai.

                     52.

                     Iki kiekvienų kalendorinių metų pabaigos EIVT saugumo institucija patvirtina kitų metų EIVT tikrinimo programą.

                     53.

                     Jei reikia, EIVT saugumo institucija gali vykdyti pirmiau nurodytoje programoje nenumatytus saugumo patikrinimus.

                     54.

                     Pabaigus saugumo patikrinimą, tikrinamam subjektui pateikiamos pagrindinės išvados ir rekomendacijos. Po to patikrinimo grupė parengia patikrinimo ataskaitą. Jei buvo pasiūlyti taisomieji veiksmai ir pateiktos rekomendacijos, ataskaitoje padarytos išvados turėtų būti pakankamai išsamiai pagrįstos. Ataskaita pateikiama EIVT saugumo institucijai ir patikrinto subjekto vadovui.
                     Už saugumą atsakingas EIVT direktoratas rengia reguliarią ataskaitą, skirtą nurodytu laikotarpiu atliktų patikrinimų metu įgytai ir EIVT saugumo komiteto išnagrinėtai patirčiai pabrėžti.

            Saugumo patikrinimų vykdymas pagal ES sutarties V antraštinės dalies 2 skyrių įsteigtose ES agentūrose ir įstaigose ir šių patikrinimų ataskaitų teikimas

                     55.

                     Jei reikia, už saugumą atsakingas EIVT direktoratas gali paskirti papildomus ekspertus, kurie dalyvautų jungtinėse ES patikrinimo grupėse, kurios vykdo saugumo patikrinimus ES agentūrose ir įstaigose, kurios įsteigtos pagal ES sutarties V antraštinės dalies 2 skyrių.

            EIVT saugumo patikrinimų kontrolinis sąrašas

                     56.

                     Už saugumą atsakingas EIVT direktoratas parengia ir atnaujina aspektų, kurie tikrintini vykdant EIVT saugumo patikrinimus, kontrolinį sąrašą. Šis kontrolinis sąrašas pateikiamas EIVT saugumo komitetui.

                     57.

                     Kontroliniam sąrašui užpildyti būtina informacija gaunama visų pirma patikrinimo metu iš tikrinamo subjekto saugumo valdymo tarnybų. Į kontrolinį sąrašą įrašius išsamius atsakymus, susitarus su tikrinamu subjektu, sąrašas įslaptinamas. Jis negali būti patikrinimo ataskaitos sudedamoji dalis.

         A IV PRIEDAS

            RIS TVARKOMOS ESĮI APSAUGA

         I.   ĮVADAS

                     1.

                     Šiame priede pateiktos A priedo 8 straipsnio įgyvendinimo nuostatos.

                     2.

                     Toliau išdėstytos informacijos saugumo užtikrinimo (ISU) savybės ir sąvokos yra būtinos saugumui ir tinkamam ryšių ir informacijos sistemų (RIS) operacijų vykdymui užtikrinti:

                                 Autentiškumas:

                                 užtikrinimas, kad informacija yra tikra ir gauta iš bona fide šaltinių;

                                 Prieinamumas:

                                 galimybė leidimą turinčiam subjektui pateikus prašymą gauti informaciją ir ja naudotis;

                                 Konfidencialumas:

                                 savybė, kuri reiškia, kad informacija nėra atskleidžiama neturintiems leidimo asmenims, subjektams ar procesams;

                                 Vientisumas:

                                 savybė, kuri reiškia, kad apsaugomas informacijos tikslumas ir išsamumas bei turtas;

                                 Atsakomybės už veiksmus prisiėmimas:

                                 galimybė įrodyti, kad veiksmas buvo atliktas ar įvykis įvyko, kad šio įvykio ar veiksmo po to negalima būtų išsižadėti.

               II.   INFORMACIJOS SAUGUMO UŽTIKRINIMO PRINCIPAI

                     3.

                     Toliau išdėstytos nuostatos yra RIS, kurioje tvarkoma ESĮI, saugumo užtikrinimo pagrindas. Išsamūs šių nuostatų įgyvendinimo reikalavimai nustatyti ISU saugumo gairėse.

            Saugumo rizikos valdymas

                     4.

                     Saugumo rizikos valdymas yra neatsiejama RIS apibrėžties, kūrimo, veikimo ir priežiūros dalis. Rizikos valdymą (įvertinimą, traktavimą, pripažinimą ir informavimą) kaip kartotinį procesą kartu vykdo sistemos savininkų, projekto institucijų, vykdančiųjų institucijų ir saugumo patvirtinimo institucijų atstovai, taikydami patvirtintą, skaidrų ir visiškai suprantamą rizikos įvertinimo procesą. RIS ir jos turinio taikymo sritis aiškiai apibrėžiama rizikos valdymo proceso pradžioje.

                     5.

                     EIVT kompetentingos institucijos peržiūri pavojus, kurie gali kilti RIS, ir nuolat vykdo naujausiais duomenimis grindžiamus ir tikslius pavojų įvertinimus, kurie atspindi esamą sistemos operacinę aplinką. Jos nuolat atnaujina savo žinias pažeidžiamumo klausimais ir reguliariai peržiūri pažeidžiamumo įvertinimą, neatsilikdamos nuo informacinių technologijų (IT) aplinkos pokyčių.

                     6.

                     Tvarkant saugumo riziką siekiama taikyti apsaugos priemonių rinkinį, kuris užtikrina tinkamą vartotojų reikalavimų ir su saugumu susijusios likutinės rizikos pusiausvyrą.

                     7.

                     RIS akreditavimui taikomi konkretūs reikalavimai, reikalavimai dėl informacijos apimties ir išsamumo, kuriuos nustato atitinkama saugumo akreditavimo institucija (SAI), turi atitikti įvertintą riziką, atsižvelgiant į visus svarbius veiksnius, įskaitant ESĮI, kuri tvarkoma RIS, slaptumo žymos lygį. Akreditavimas apima atsakingos institucijos oficialų pareiškimą dėl likutinės rizikos ir likutinės rizikos pripažinimą.

            Saugumas viso RIS gyvavimo ciklo metu

                     8.

                     Saugumas turi būti užtikrintas viso RIS gyvavimo ciklo metu – nuo pradžios iki naudojimosi pabaigos.

                     9.

                     Kiekvienu gyvavimo ciklo etapu nustatomas kiekvieno RIS dalyvio ir jo sąveikos su kitais dalyviais vaidmuo saugumo požiūriu.

                     10.

                     RIS, įskaitant technines ir netechnines saugumo priemones, bandomos saugumo požiūriu akreditavimo proceso metu siekiant užtikrinti tinkamą įgyvendintų saugumo priemonių lygį ir patikrinti, ar jos teisingai įgyvendintos, integruotos ir sukonfigūruotos.

                     11.

                     Saugumo įvertinimai, patikrinimai ir peržiūros atliekami reguliariai RIS veikimo ir techninės priežiūros metu bei susidarius išskirtinėms aplinkybėms.

                     12.

                     RIS saugumo dokumentų atnaujinimas viso jos gyvavimo ciklo metu vykdomas kaip neatsiejama pakeitimų atlikimo ir konfigūracijos tvarkymo proceso dalis.

            Geriausia praktika

                     13.

                     EIVT bendradarbiauja su TGS, Komisija ir valstybėmis narėmis, kad nustatytų geriausią praktiką RIS tvarkomos ESĮI apsaugos srityje. Geriausios praktikos gairėse išdėstomos RIS skirtos techninės, fizinės, organizacinės ir procedūrinės saugumo priemonės, kurių veiksmingumas apsisaugant nuo konkrečių grėsmių ir pažeidžiamumo buvo įrodytas.

                     14.

                     RIS tvarkomos ESĮI apsauga grindžiama ir ES, ir už jos ribų ISU srityje dirbančių subjektų įgyta patirtimi.

                     15.

                     Geriausios praktikos pavyzdžių platinimu ir jų įgyvendinimu prisidedama prie siekio užtikrinti lygiavertį įvairių EIVT naudojamų RIS, kuriose tvarkoma ESĮI, saugumo užtikrinimo lygį.

            Nuodugni apsauga

                     16.

                     Siekiant sušvelninti pavojų RIS, įgyvendinama daug techninių ir netechninių saugumo priemonių, kurios grupuojamos kaip kelios gynybinės linijos. Jos apima:
                     a)
                           atgrasymą
                        : saugumo priemones, skirtas įtikinti nerengti priešiškų planų pulti RIS;
                     b)
                           prevenciją
                        : saugumo priemones, skirtas apsunkinti RIS puolimą arba jam sutrukdyti;
                     c)
                           aptikimą
                        : saugumo priemones, skirtas aptikti RIS puolimo atvejį;
                     d)
                           atsparumą
                        : saugumo priemones, skirtas apriboti puolimo poveikį iki mažiausio informacijos rinkinio ar RIS dalių grupės bei užkirsti kelią tolesnei žalai ir
                     e)
                           atstatymą
                        : saugumo priemones, skirtas RIS saugiai padėčiai atkurti.
                     Tokių saugumo priemonių griežtumo ir taikymo lygis nustatomas atsižvelgiant į rizikos įvertinimą.

                     17.

                     EIVT kompetentingos institucijos užtikrina savo gebėjimus reaguoti į incidentus, kurie gali apimti kelias organizacijas ar valstybes, kad galėtų derinti reagavimo veiksmus ir dalytis informacija apie šiuos incidentus bei susijusią riziką (kompiuterinių incidentų tyrimo gebėjimai).

            Minimalumo ir mažiausių privilegijų principas

                     18.

                     Siekiant išvengti nereikalingos rizikos, įdiegiamos tik tos funkcijos, prietaisai ir paslaugos, kurie atitinka operacinius reikalavimus.

                     19.

                     RIS naudotojams ir automatizuotiems procesams suteikiama tik tokia prieiga, privilegijos ar leidimai, kokios jiems reikia savo užduotims atlikti siekiant apriboti žalą, kuri padaroma dėl avarijų, klaidų ar RIS išteklių naudojimo be leidimo.

                     20.

                     RIS atliekamos registravimo procedūros prireikus patikrinamos akreditavimo proceso metu.

            Informuotumas informacijos saugumo užtikrinimo srityje

                     21.

                     Informuotumas apie riziką ir turimas saugumo priemones yra pirmoji RIS saugumo gynybos linija. Visų pirma visi personalo nariai, susiję su RIS gyvavimo ciklu, įskaitant naudotojus, suvokia:

                                 a)

                                 kad saugumo spragos gali labai pakenkti RIS ir visai organizacijai;

                                 b)

                                 galimą žalą kitiems, kuri gali kilti dėl tarpusavio sujungimo ir tarpusavio priklausomybės ir

                                 c)

                                 savo asmeninę atsakomybę ir atskaitomybę už RIS saugumą atsižvelgdami į savo vaidmenį naudojant sistemas ir procesus.

                     22.

                     Siekiant užtikrinti, kad būtų suvokiama atsakomybė už saugumą, visam dalyvaujančiam personalui, įskaitant aukštesniąją vadovybę ir RIS naudotojus, yra privalomi ISU švietimo ir informuotumo mokymai.

            IT saugumo priemonių vertinimas ir patvirtinimas

                     23.

                     Reikiamas saugumo priemonių patikimumo lygis, apibrėžiamas kaip saugumo užtikrinimo lygis, nustatomas remiantis rizikos valdymo proceso rezultatais ir laikantis atitinkamos saugumo politikos bei saugumo gairių.

                     24.

                     Saugumo užtikrinimo lygis patikrinamas naudojant tarptautiniu arba nacionaliniu lygiu patvirtintus procesus ir metodus. Tai apima pirminį įvertinimą, kontrolę ir auditą.

                     25.

                     ESĮI apsaugai skirtas šifravimo priemones įvertina ir patvirtina valstybės narės nacionalinė kriptografijos patvirtinimo institucija (KPI).

                     26.

                     Prieš rekomenduojant, kad pagal šio sprendimo 8 straipsnio 5 dalį jas patvirtintų EIVT KPI, tokias šifravimo priemones turi būti įvertinusi antra šalis, t. y. valstybės narės Tinkamos kvalifikacijos institucija (TKI), kuri nesusijusi su įrangos projektavimu arba gamyba. Reikalaujamas antros šalies įvertinimo išsamumo lygis priklauso nuo numatomo didžiausio ESĮI, kuri bus apsaugoma šiomis priemonėmis, slaptumo žymos laipsnio.

                     27.

                     EIVT KPI, remdamasi Tarybos saugumo komiteto rekomendacija, gali netaikyti 25 arba 26 dalyse nustatytų reikalavimų ir tam tikram laikotarpiui suteikti laikiną patvirtinimą pagal šio sprendimo 8 straipsnio 5 dalyje nustatytą tvarką, kai tai pateisinama dėl konkrečių su veikla susijusių priežasčių.

                     28.

                     TKI yra valstybės narės KPI, kuri buvo akredituota remiantis Tarybos nustatytais kriterijais antram ESĮI apsaugai skirtų šifravimo priemonių įvertinimui atlikti.

                     29.

                     Vyriausiasis įgaliotinis patvirtina ne šifravimo IT saugumo priemonių reikalavimų atitikimo ir patvirtinimo saugumo politiką.

            Perdavimas saugumo zonose

                     30.

                     Nepaisant šio sprendimo nuostatų, kai ESĮI perdavimas vykdomas saugumo zonose arba administracinėse zonose, remiantis rizikos valdymo proceso rezultatais ir SAI pritarus gali būti naudojamas nešifruotas perdavimas arba šifravimas žemesniu lygiu.

            Saugus RIS tarpusavio sujungimas

                     31.

                     Šiame sprendime sistemų tarpusavio sujungimas reiškia tiesioginį dviejų ar daugiau IT sistemų sujungimą siekiant dalytis duomenimis ir kitais informacijos šaltiniais (pavyzdžiui, ryšiais) vienakrypčiu arba daugiakrypčiu būdu.

                     32.

                     RIS kiekviena tarpusavyje sujungta IT sistema pirmiausia yra traktuojama kaip nepatikima ir sistemoje įdiegiamos apsaugos priemonės keitimuisi įslaptinta informacija kontroliuoti.

                     33.

                     Bet kokio RIS ir kitos IT sistemos tarpusavio sujungimo atveju laikomasi toliau išdėstytų pagrindinių reikalavimų:

                                 a)

                                 tokiems tarpusavio sujungimams taikomus veiklos arba operacinius reikalavimus nurodo ir patvirtina atsakingos institucijos;

                                 b)

                                 tarpusavio sujungimui taikomas rizikos valdymas ir akreditavimo procesas bei yra reikalingas kompetentingų SAI patvirtinimas ir

                                 c)

                                 ribų apsaugos priemonės (RAP) įdiegiamos visų RIS perimetre.

                     34.

                     Akredituota RIS ir neapsaugotas arba viešas tinklas negali būti tarpusavyje sujungiami, išskyrus atvejus, kai tarp RIS ir neapsaugoto arba viešo tinklo yra šiuo tikslu įdiegtos patvirtintos ribų apsaugos priemonės. Tokiems tarpusavio sujungimams taikytinas saugumo priemones peržiūri kompetentinga informacijos saugumo užtikrinimo institucija (ISUI) ir patvirtina kompetentinga SAI.
                     Kai duomenys, perduodami neapsaugotu arba viešu tinklu, yra užšifruojami pagal šio sprendimo 8 straipsnio 5 dalį patvirtinta šifravimo priemone, toks sujungimas nelaikomas tarpusavio sujungimu.

                     35.

                     Draudžiamas tiesioginis arba pakopinis RIS, akredituotos tvarkyti slaptumo žyma TRES SECFRET UE/EU TOP SECRET pažymėtą informaciją, ir neapsaugoto arba viešo tinklo tarpusavio sujungimas.

            Kompiuterinių duomenų saugojimo laikmenos

                     36.

                     Kompiuterinių duomenų saugojimo laikmenos sunaikinamos laikantis EIVT saugumo institucijos patvirtintų procedūrų.

                     37.

                     Kompiuterinių duomenų saugojimo laikmenos gali būti naudojamos pakartotinai, gali būti sumažintas jų slaptumo žymos laipsnis arba jos gali būti išslaptinamos laikantis saugumo gairių, kurios turi būti nustatytos pagal šio sprendimo 8 straipsnio 2 dalį.

            Nepaprastosios padėties sąlygos

                     38.

                     Nepaisant šio sprendimo nuostatų, toliau apibūdintos specialios procedūros gali būti ribotą laiką taikomos esant nepaprastajai padėčiai, pavyzdžiui, gresiant ar esant krizei, konfliktui ar karinei padėčiai arba susidarius išskirtinėms su eksploatavimu susijusioms sąlygoms.

                     39.

                     ESĮI gali būti perduodama naudojant šifravimo priemones, kurios buvo patvirtintos žemesnio įslaptinimo lygio informacijai, arba nešifruota kompetentingai institucijai pritarus, jei vėlavimas padarytų aiškiai didesnę žalą nei įslaptintos medžiagos atskleidimas ir jei:

                                 a)

                                 siuntėjas ir gavėjas neturi reikiamos šifravimo įrangos arba jokios šifravimo įrangos ir

                                 b)

                                 įslaptinta medžiaga negali būti laiku perduota kitomis priemonėmis.

                     40.

                     39 dalyje išdėstytomis aplinkybėmis perduodama įslaptinta informacija nėra pažymėta jokiomis žymomis arba nuorodomis, kurios sudarytų sąlygas ją atskirti nuo neįslaptintos informacijos arba kurią galima apsaugoti naudojant turimas šifravimo priemones. Gavėjams kitomis priemonėmis nedelsiant pranešama apie informacijos slaptumo laipsnį.

                     41.

                     Jeigu taikoma 39 dalis, EVIT saugumo direktoratui, o per jį – EIVT saugumo komitetui vėliau pateikiama ataskaita. Šioje ataskaitoje nurodomas kiekvieno ESĮI elemento siuntėjas, gavėjas ir rengėjas.

               III.   SU INFORMACIJOS SAUGUMO UŽTIKRINIMU SUSIJUSIOS FUNKCIJOS IR INSTITUCIJOS

                     42.

                     EIVT nustatomos toliau išdėstytos su informacijos saugumo užtikrinimu susijusios funkcijos. Šioms funkcijoms nereikalingas vienas bendras organizacinis subjektas. Joms suteikiami atskiri įgaliojimai. Tačiau šios funkcijos ir su jomis susijusi atsakomybė gali būti sujungtos arba integruotos viename organizaciniame vienete arba padalytos skirtingiems organizaciniams vienetams, jei išvengiama vidaus interesų arba užduočių konfliktų.

            Informacijos saugumo užtikrinimo institucija (ISUI)

                     43.

                     ISUI atsako už šias sritis:

                                 a)

                                 ISU srities saugumo gairių rengimą bei jų veiksmingumo ir reikšmingumo stebėjimą;

                                 b)

                                 su šifravimo priemonėmis susijusios techninės informacijos apsaugą ir administravimą;

                                 c)

                                 užtikrinimą, kad ESĮI apsaugai parinktos ISU priemonės atitiktų atitinkamas jų tinkamumo nustatymo ir atrankos gaires;

                                 d)

                                 užtikrinimą, kad šifravimo priemonės būtų pasirenkamos laikantis jų tinkamumo nustatymo ir atrankos gairių;

                                 e)

                                 mokymo ir informuotumo ISU srityje derinimą;

                                 f)

                                 konsultavimąsi su sistemos tiekėju, saugumo srities subjektais ir vartotojų atstovais ISU saugumo gairių klausimais ir

                                 g)

                                 užtikrinimą, kad EIVT saugumo komiteto ISU klausimais ekspertų pogrupis turėtų atitinkamas žinias.

            Institucija TEMPEST

                     44.

                     TEI užtikrina, kad RIS atitiktų TEMPEST politiką ir gaires. Ji patvirtina TEMPEST kontrpriemones, skirtas įrenginiams ir priemonėms, siekiant apsaugoti ESĮI iki nustatyto slaptumo žymos laipsnio operacinėje aplinkoje.

            Kriptografijos patvirtinimo institucija (KPI)

                     45.

                     KPI institucija užtikrina šifravimo priemonių atitiktį atitinkamoms šifravimo gairėms. Ji patvirtina šifravimo priemonę, siekdama apsaugoti ESĮI iki nustatyto slaptumo žymos lygio jos operacinėje aplinkoje.

            Kriptografijos platinimo institucija (KPLI)

                     46.

                     KPLI atsako už šias sritis:

                                 a)

                                 ES šifravimo medžiagos valdymą ir apskaitą;

                                 b)

                                 užtikrinimą, kad visos ES šifravimo medžiagos apskaitai, saugiam tvarkymui, saugojimui ir platinimui būtų taikomos tinkamos procedūros ir nustatyti tinkami kanalai ir

                                 c)

                                 ES šifravimo medžiagos perdavimo ją naudojantiems asmenims ir tarnyboms arba priėmimo iš jų užtikrinimą.

            Saugumo akreditavimo institucija (SAI)

                     47.

                     Kiekvienai sistemai skirta SAI atsako už šias sritis:

                                 a)

                                 užtikrinimą, kad RIS atitiktų atitinkamas saugumo gaires, pareiškimo dėl RIS patvirtinimo, leidžiant jas naudoti tvarkant ESĮI iki nustatyto slaptumo žymos laipsnio operacinėje aplinkoje, pateikimą, nurodant akreditavimo reikalavimus ir sąlygas bei kriterijus, kuriais remiantis sprendžiama, kad reikia iš naujo patvirtinti arba akredituoti RIS;

                                 b)

                                 saugumo akreditavimo proceso nustatymą vadovaujantis atitinkamomis gairėmis, aiškiai nurodant patvirtinimo sąlygas, nustatytas jos priežiūrai pavestoms RIS;

                                 c)

                                 saugumo akreditavimo strategijos, kurioje išdėstytas akreditavimo proceso išsamumo lygis, atitinkantis reikiamą saugumo užtikrinimo lygį, nustatymą;

                                 d)

                                 su saugumu susijusių dokumentų, įskaitant pareiškimus dėl rizikos valdymo ir likutinės rizikos, sistemos saugumo reikmių aktus (toliau – SSRA), saugumo įgyvendinimo patikrinimo dokumentus ir saugios eksploatacijos taisykles (toliau – SecOPs), nagrinėjimą ir patvirtinimą bei užtikrinimą, kad jie atitiktų EIVT saugumo taisykles ir gaires;

                                 e)

                                 su RIS susijusių saugumo priemonių įgyvendinimo patikrinimą vykdant saugumo įvertinimus, patikrinimus ar peržiūras arba juos finansuojant;

                                 f)

                                 saugumo reikalavimų (pavyzdžiui, susijusių su asmens patikimumo lygiais), taikomų svarbiausioms, susijusioms su RIS apsauga pareigoms, nustatymą;

                                 g)

                                 patvirtintų šifravimo ir TEMPEST priemonių, naudojamų siekiant užtikrinti RIS saugumą, parinkimo patvirtinimą;

                                 h)

                                 RIS tarpusavio sujungimo su kitomis RIS patvirtinimą arba prireikus dalyvavimą bendrame patvirtinime ir

                                 i)

                                 sistemos tiekėjo, saugumo srities subjektų ir vartotojų atstovų konsultavimą saugumo rizikos valdymo, visų pirma likutinės rizikos, ir pareiškimo dėl patvirtinimo reikalavimų ir sąlygų klausimais.

                     48.

                     EIVT SAI atsako už visų į EIVT kompetencijos sritį patenkančių RIS akreditavimą.

            Saugumo akreditavimo valdyba (SAV)

                     49.

                     Jungtinė SAV atsakinga ir už EIVT SAI žinioje, ir už valstybių narių SAI žinioje esančių RIS akreditavimą. Ją sudaro po vieną kiekvienos valstybės narės SAI atstovą, o jos posėdžiuose dalyvauja TGS ir Komisijos atstovai SAI klausimais. Kiti subjektai, turintys prijungimo prie RIS mazgus, kviečiami dalyvauti posėdžiuose, kai svarstomi su ta sistema susiję klausimai.
                     SAV pirmininkauja EIVT SAI atstovas. Ji sprendimus priima institucijų, valstybių narių ir kitų subjektų, turinčių prijungimo prie RIS mazgus, SAI atstovų sutarimu. SAV reguliariai teikia savo veiklos ataskaitas EIVT saugumo komitetui ir jam praneša apie visus pareiškimus dėl akreditavimo.

            Informacijos saugumo užtikrinimo operacinė institucija

                     50.

                     Kiekvienai sistemai skirta ISU operacinė institucija atsako už šias sritis:

                                 a)

                                 saugumo dokumentų, atitinkančių saugumo gaires, rengimą, visų pirma sistemos saugumo reikmių aktus (SSRA), įskaitant pareiškimą dėl likutinės rizikos, saugios eksploatacijos taisykles (SecOPs) ir šifravimo planą vykdant RIS akreditavimo procesą, rengimą;

                                 b)

                                 dalyvavimą atrenkant ir bandant konkrečioms sistemoms skirtas techninio saugumo priemones, prietaisus ir programinę įrangą, jų įgyvendinimo priežiūrą ir užtikrinimą, kad jie būtų saugiai įdiegti, sukonfigūruoti bei eksploatuojami pagal atitinkamus saugumo dokumentus;

                                 c)

                                 dalyvavimą parenkant TEMPEST saugumo priemones ir prietaisus, jei reikia pagal SSRA, ir užtikrinimą, kad jie būtų saugiai įdiegti ir eksploatuojami bendradarbiaujant su TEI;

                                 d)

                                 SecOPs įgyvendinimo ir taikymo stebėseną; prireikus atsakomybę už eksploatavimo saugumą deleguojant sistemos savininkui;

                                 e)

                                 šifravimo priemonių valdymą ir tvarkymą užtikrinant šifravimo ir kontroliuojamų objektų saugojimą ir prireikus užtikrinant šifravimo kintamųjų generavimą;

                                 f)

                                 saugumo analizės peržiūros ir bandymų atlikimą, visų pirma siekiant parengti atitinkamas rizikos ataskaitas, kurių reikalauja SAI;

                                 g)

                                 mokymo konkrečioms RIS skirto ISU klausimais rengimą;

                                 h)

                                 konkrečioms RIS skirtų apsaugos priemonių įgyvendinimą ir vykdymą.

         A V PRIEDAS

            PRAMONINIS SAUGUMAS

         I.   ĮVADAS

                     1.

                     Šiame priede pateiktos A priedo 9 straipsnio įgyvendinimo nuostatos. Jame išdėstytos bendros saugumo nuostatos, taikomos pramonės ar kitiems subjektams derybų dėl sutarčių sudarymo metu arba visą EIVT sudarytų įslaptintų sutarčių gyvavimo ciklą.

                     2.

                     EIVT saugumo institucija patvirtina pramoninio saugumo gaires, kuriose visų pirma apibrėžiami išsamūs reikalavimai, susiję su Įmonės patikimumą patvirtinančiu pažymėjimu (ĮPPP), saugumo aspektų paaiškinimais (SAP), vizitais, ESĮI perdavimu ir gabenimu.

               II.   SAUGUMO ASPEKTAI ĮSLAPTINTOSE SUTARTYSE

            Slaptumo žymų vadovas (SŽV)

                     3.

                     Prieš paskelbdama kvietimą teikti pasiūlymus įslaptintai sutarčiai sudaryti arba prieš sudarydama įslaptintą sutartį, EIVT, kaip perkančioji institucija, nustato visos informacijos, kuri turi būti suteikta konkurso dalyviams ir rangovams, slaptumo žymą, taip pat visos informacijos, kurią turi parengti rangovas, slaptumo žymą. Šiuo tikslu EIVT parengia SŽV, kuris turi būti naudojamas vykdant sutartį.

                     4.

                     Siekiant nustatyti skirtingų įslaptintos sutarties dalių slaptumo žymą, taikomi toliau nurodyti principai:

                                 a)

                                 rengdama SŽV, EIVT atsižvelgia į visus svarbius saugumo aspektus, įskaitant slaptumo žymą, kurią informacijai priskyrė jos įslaptintos informacijos rengėjas ir kurią jis patvirtino kaip naudotiną tai sutarčiai;

                                 b)

                                 bendras sutarties slaptumo žymos laipsnis negali būti žemesnis nei aukščiausia bet kurio jos elemento slaptumo žyma ir

                                 c)

                                 atitinkamais atvejais, jei daromi pakeitimai, susiję su slaptumo žymų suteikimu informacijai, parengtai rangovų ar jiems suteiktai vykdant sutartį, ir jei daromi vėlesni SŽV pakeitimai, EIVT palaiko ryšius su valstybių narių NSI/PSI ar kitomis atitinkamomis kompetentingomis saugumo institucijomis.

            Saugumo aspektų paaiškinimas (SAP)

                     5.

                     Konkrečioms sutartims skirti saugumo reikalavimai aprašomi SAP. Prireikus į SAP įtraukiamas SŽV; SAP yra neatsiejama įslaptintos sutarties ar subrangos sutarties dalis.

                     6.

                     SAP nustatomos nuostatos, pagal kurias reikalaujama, kad rangovas ir (arba) subrangovas laikytųsi būtiniausių šiame sprendime nustatytų standartų. Šių būtiniausių standartų nesilaikymas gali būti pakankamas pagrindas sutarčiai nutraukti.

            Programos / projekto saugumo instrukcijos (PRSI)

                     7.

                     Atsižvelgiant į programų ar projektų, kuriuos vykdant reikia susipažinti su ESĮI arba ją tvarkyti ar saugoti, apimtį, programą ar projektą valdyti paskirta perkančioji institucija gali parengti konkrečios programos / projekto saugumo instrukcijas (PSI). PSI turi patvirtinti valstybių narių NSI/PSI ar kita programoje / projekte dalyvaujanti kompetentinga saugumo institucija; jose gali būti nustatyti papildomi saugumo reikalavimai.

               III.   ĮMONĖS PATIKIMUMĄ PATVIRTINANTIS PAŽYMĖJIMAS (ĮPPP)

                     8.

                     Už saugumą atsakingas EIVT direktoratas prašo atitinkamos valstybės narės NSI, PSI ar kitos kompetentingos saugumo institucijos pagal nacionalinius įstatymus ir kitus teisės aktus suteikti ĮPPP, pažymintį, kad pramonės arba kitas subjektas savo patalpose gali apsaugoti atitinkamo slaptumo žymos (CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET) lygio ESĮI. Rangovui ar subrangovui arba potencialiam rangovui ar subrangovui ESĮI arba galimybė susipažinti su ESĮI suteikiama tik tada, kai EIVT pateikiamas ĮPPP turėjimo įrodymas.

                     9.

                     Atitinkamais atvejais EIVT, kaip perkančioji institucija, praneša atitinkamai NSI/PSI ar kitai kompetentingai saugumo institucijai, kad prieš sudarant sutartį arba sutarties vykdymui reikalingas ĮPPP. ĮPPP arba APP reikalaujama prieš sudarant sutartį, tais atvejais, kai ESĮI, pažymėta CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET slaptumo žyma, turi būti suteikta paraiškų teikimo proceso metu.

                     10.

                     EIVT, kaip perkančioji institucija, nesudaro įslaptintos sutarties su pasirinktu dalyviu prieš tai negavusi valstybės narės, kurioje yra registruotas atitinkamas rangovas ar subrangovas, NSI/PSI ar kitos kompetentingos saugumo institucijos patvirtinimo, kad reikiamais atvejais yra išduotas tinkamas ĮPPP.

                     11.

                     EIVT, kaip perkančioji institucija, prašo NSI/PSI ar kitos ĮPPP išdavusios kompetentingos saugumo institucijos pranešti visą neigiamą informaciją, galinčią turėti įtakos ĮPPP. Subrangos sutarties atveju atitinkamai informuojama NSI/PSI ar kita kompetentinga saugumo institucija.

                     12.

                     Jeigu atitinkama NSI/PSI ar kita kompetentinga saugumo institucija panaikina ĮPPP, tai yra pakankamas pagrindas EIVT, kaip perkančiajai institucijai, nutraukti įslaptintą sutartį arba pašalinti dalyvį iš konkurso.

               IV.   RANGOVO DARBUOTOJAMS IŠDUODAMI ASMENS PATIKIMUMO PAŽYMĖJIMAI (APP)

                     13.

                     Visų subrangovo darbuotojų, kuriems reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta ESĮI, patikimumas tinkamai patikrinamas ir jie atitinka principą „būtina žinoti“, kurio reikia norint susipažinti su informacija. Nors, norint susipažinti su informacija, pažymėta slaptumo žyma RESTREINT UE/EU RESTRICTED, APP nereikia, vis tiek reikia atitikti principą „būtina žinoti“.

                     14.

                     Prašymai rangovo darbuotojams išduoti APP teikiami už atitinkamą subjektą atsakingai NSI/PSI.

                     15.

                     Rangovams, norintiems įdarbinti trečiosios valstybės pilietį, kuris užimtų pareigas, kurias einant reikia susipažinti su ESĮI, EIVT praneša, kad už sprendimą, ar asmeniui suteikti teisę susipažinti su šia informacija pagal šį sprendimą, ir patvirtinimą, kad prieš suteikiant tokią teisę gautas informacijos rengėjo sutikimas, atsakinga valstybės narės, kurioje samdomasis subjektas yra įsikūręs ir įregistruotas, NSI/PSI.

               V.   ĮSLAPTINTOS SUTARTYS IR SUBRANGOS SUTARTYS

                     16.

                     Tais atvejais, kai ESĮI suteikiama dalyviui prieš sudarant sutartį, kvietime teikti paraiškas numatoma nuostata, kuria paraiškos nepateikęs dalyvis arba dalyvis, kuris nebuvo atrinktas, įpareigojamas per nurodytą laiką grąžinti visus įslaptintus dokumentus.

                     17.

                     Sudarius įslaptintą sutartį ar subrangos sutartį, EIVT, kaip perkančioji institucija, praneša rangovo ar subrangovo NSI/PSI ar kitai kompetentingai saugumo institucijai tos įslaptintos sutarties saugumo nuostatas.

                     18.

                     Nutraukus tokią sutartį ar jai pasibaigus, EIVT, kaip perkančioji institucija (ir (arba) atitinkamai NSI/PSI ar kita kompetentinga saugumo institucija subrangos sutarties atveju) skubiai apie tai praneša valstybės narės, kurioje registruotas rangovas arba subrangovas, NSI/PSI ar kitai kompetentingai saugumo institucijai.

                     19.

                     Paprastai reikalaujama, kad nutraukus įslaptintą sutartį ar subrangos sutartį ar jai pasibaigus rangovas arba subrangovas perkančiajai institucijai grąžintų visą turimą ESĮI.

                     20.

                     Konkrečios nuostatos dėl ESĮI sunaikinimo vykdant sutartį, ją nutraukus arba jai pasibaigus nustatomos SAP.

                     21.

                     Tais atvejais, kai rangovui arba subrangovui duotas leidimas nutraukus sutartį arba jai pasibaigus pasilikti ESĮI, rangovas ir subrangovas toliau laikosi šiame sprendime nustatytų būtiniausių standartų bei užtikrina ESĮI konfidencialumą.

                     22.

                     Sąlygos, kuriomis rangovas gali sudaryti subrangos sutartis, nurodomos kvietime teikti paraiškas ir sutartyje.

                     23.

                     Prieš sudarydamas subrangos sutartis dėl įslaptintos sutarties dalių, rangovas turi gauti EIVT, kaip perkančiosios institucijos, leidimą. Su pramonės arba kitais subjektais, registruotais valstybėje, kuri nėra ES valstybė narė ir nėra sudariusi susitarimo dėl informacijos saugumo su ES, subrangos sutartys negali būti sudaromos.

                     24.

                     Rangovas atsako už tai, kad visa subrangos veikla būtų vykdoma laikantis šiame sprendime nustatytų būtiniausių standartų, ir negali suteikti subrangovui ESĮI be išankstinio rašytinio perkančiosios institucijos sutikimo.

                     25.

                     ESĮI, kurią parengė ar tvarko rangovas arba subrangovas, atžvilgiu įslaptintos informacijos rengėjo teisėmis naudojasi perkančioji institucija.

               VI.   SU ĮSLAPTINTOMIS SUTARTIMIS SUSIJĘ VIZITAI

                     26.

                     Jei EIVT, rangovams ar subrangovams vykdant įslaptintą sutartį jiems priklausančiose patalpose reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET slaptumo žyma pažymėta informacija, dėl jų vizitų susitariama palaikant ryšius su NSI/PSI arba kita susijusia kompetentinga saugumo institucija. Tai nepažeidžia NSI/PSI prerogatyvos konkrečių projektų atveju susitarti dėl tvarkos, pagal kurią dėl tokių vizitų gali būti susitariama tiesiogiai.

                     27.

                     Tam, kad būtų leista susipažinti su ESĮI, susijusia su EIVT sutartimi, visi lankytojai turi turėti atitinkamą APP ir turi būti vadovaujamasi principu „būtina žinoti“.

                     28.

                     Lankytojams leidžiama susipažinti tik su ta ESĮI, kuri yra susijusi su vizito tikslu.

               VII.   ESĮI PERDAVIMAS IR GABENIMAS

                     29.

                     Perduodant ESĮI elektroninėmis priemonėmis taikomos atitinkamos A priedo 8 straipsnio ir A IV priedo nuostatos.

                     30.

                     Gabenant ESĮI taikomos atitinkamos A III priedo nuostatos, laikantis nacionalinių įstatymų ir kitų teisės aktų.

                     31.

                     Nustatant įslaptintos medžiagos kaip krovinio gabenimui taikomą saugumo tvarką taikomi toliau nurodyti principai:

                                 a)

                                 saugumas užtikrinamas visuose gabenimo etapuose nuo išgabenimo vietos iki galutinės paskirties vietos;

                                 b)

                                 siuntai suteikiamas apsaugos lygis nustatomas pagal joje esančios medžiagos aukščiausią slaptumo žymos lygį;

                                 c)

                                 gabenimą užtikrinančios bendrovės turi gauti atitinkamos slaptumo žymos ĮPPP, jei gabenant įslaptinta informacija saugoma rangovo patalpose. Bet kuriuo atveju siuntą gabenančio personalo patikimumas turi būti patikrintas pagal A I priedą;

                                 d)

                                 prieš gabenant per valstybių sienas medžiagą, pažymėtą CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET slaptumo žyma, siuntėjas parengia, o EIVT, jei reikia, bendradarbiaudama su siuntėjo ir gavėjo valstybių NSI/DSI ar kitomis atitinkamomis kompetentingomis saugumo institucijomis, patvirtina gabenimo planą;

                                 e)

                                 stengiamasi, kad kelionės vyktų be sustojimo ir būtų užbaigtos kuo greičiau, atsižvelgiant į aplinkybes;

                                 f)

                                 kai galima, turėtų būti pasirenkami maršrutai tik per valstybių narių teritorijas. Maršrutais per valstybes, kurios nėra valstybės narės, turėtų būti gabenama tik gavus EIVT arba siuntėjo ir gavėjo valstybių kompetentingų saugumo institucijų leidimą.

               VIII.   ESĮI PERDAVIMAS TREČIOSIOSE VALSTYBĖSE ĮSIKŪRUSIEMS RANGOVAMS

                     32.

                     ESĮI trečiosiose valstybėse, kurios su ES yra sudariusios galiojantį saugumo susitarimą, įsikūrusiems rangovams ir subrangovams perduodama laikantis saugumo priemonių, dėl kurių susitarė EIVT, kaip perkančioji institucija, ir atitinkamos trečiosios valstybės, kurioje registruotas rangovas, NSI/PSI.

               IX.   RESTREINT UE/EU RESTRICTED SLAPTUMO ŽYMA PAŽYMĖTOS INFORMACIJOS TVARKYMAS IR SAUGOJIMAS

                     33.

                     Palaikydama ryšius su valstybės narės NSI/PSI EIVT, kaip perkančioji institucija, prireikus turi teisę remiantis sutarties nuostatomis rengti vizitus į rangovo / subrangovo patalpas, kad patikrintų, ar įgyvendintos pagal sutartį reikalaujamos tinkamos saugumo priemonės, skirtos apsaugoti RESTREINT UE/EU RESTRICTED lygio slaptumo žyma pažymėtą ESĮI.

                     34.

                     Kiek būtina pagal nacionalinius įstatymus ir kitus teisės aktus, NSI/PSI ar kitoms kompetentingoms saugumo institucijoms EIVT, kaip perkančioji institucija, praneša apie sutartis arba subrangos sutartis, kuriose yra RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėtos informacijos.

                     35.

                     EIVT sudarytų sutarčių, kuriose yra RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėtos informacijos, atveju rangovai ar subrangovai ir jų personalas neprivalo turėti ĮPPP ar APP.

                     36.

                     EIVT, kaip perkančioji institucija, išnagrinėja atsakymus į kvietimus dalyvauti konkurse dėl sutarčių, pagal kurias turi būti suteikta galimybė susipažinti su RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėta informacija, neatsižvelgdama į reikalavimus, susijusius su ĮPPP ar APP, kurie gali būti numatyti nacionaliniuose įstatymuose ir kituose teisės aktuose.

                     37.

                     Sąlygos, kuriomis rangovas gali sudaryti subrangos sutartis, turi atitikti 22–24 punktų reikalavimus.

                     38.

                     Kai pagal sutartį numatytas informacijos, pažymėtos RESTREINT UE/EU RESTRICTED slaptumo žyma, tvarkymas rangovo naudojamoje RIS, EIVT, kaip perkančioji institucija, užtikrina, kad sutartyje arba subrangos sutartyje būtų nustatyti su RIS akreditavimu susiję būtini techniniai ir administraciniai reikalavimai, kurie atitiktų įvertintą riziką, atsižvelgiant į visus svarbius veiksnius. Perkančioji institucija ir atitinkama NSI/PSI susitaria dėl tokio RIS akreditavimo masto.

         A VI PRIEDAS

            KEITIMASIS ĮSLAPTINTA INFORMACIJA SU TREČIOSIOMIS ŠALIMIS IR TARPTAUTINĖMIS ORGANIZACIJOMIS

         I.   ĮVADAS

                     1.

                     Šiame priede pateiktos A priedo 10 straipsnio įgyvendinimo nuostatos.

               II.   TVARKA, REGLAMENTUOJANTI KEITIMĄSI ĮSLAPTINTA INFORMACIJA

                     2.

                     EIVT gali keistis ESĮI su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis pagal A priedo 10 straipsnio 1 dalį.
                     Siekiant padėti vyriausiajam įgaliotiniui vykdyti SESV 218 straipsnyje nurodytas aplinkybes:

                                 a)

                                 atitinkamas EIVT geografinis ar teminis departamentas, konsultuodamasis su už saugumą atsakingu EIVT direktoratu, reikiamais atvejais nustato ilgalaikio keitimosi ESĮI su atitinkama trečiąja valstybe ar tarptautine organizacija poreikį;

                                 b)

                                 už saugumą atsakingas EIVT direktoratas, konsultuodamasis su atitinkamu EIVT geografiniu departamentu, reikiamais atvejais vyriausiajam įgaliotiniui teikia projektų tekstus, kuriuos ketinama pasiūlyti Tarybai pagal SESV 218 straipsnio 3, 5 ir 6 dalis;

                                 c)

                                 už saugumą atsakingas EIVT direktoratas vyriausiajam įgaliotiniui padeda vykdyti derybas, savo veiksmus koordinuodamas su atitinkamomis Komisijos ir Tarybos generalinio sekretoriato tarnybomis;

                                 d)

                                 susitarimų ar administracinių susitarimų su trečiosiomis valstybėmis dėl jų dalyvavimo BSGP krizių valdymo operacijose pagal A priedo 10 straipsnio 1 dalies c punktą atveju EIVT krizių valdymo ir planavimo direktoratas, konsultuodamasis su atitinkamomis EIVT tarnybomis, reikiamais atvejais vyriausiajam įgaliotiniui teikia projektų tekstus, kuriuos ketinama pasiūlyti Tarybai pagal SESV 218 straipsnio 3, 5 ir 6 dalis, ir vyriausiajam įgaliotiniui padeda vykdyti derybas, savo veiksmus koordinuodamas su atitinkamomis EIVT ir Tarybos generalinio sekretoriato tarnybomis.

                     3.

                     Jei susitarimuose dėl informacijos saugumo numatytos techninio įgyvendinimo nuostatos, dėl kurių už saugumą atsakingas EIVT direktoratas, savo veiksmus koordinuodamas su Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratu ir Tarybos generalinio sekretoriato Saugumo tarnyba, susitaria su atitinkamos trečiosios valstybės ar tarptautinės organizacijos kompetentinga saugumo institucija, tokiose nuostatose atsižvelgiama į esamais teisės aktais, struktūromis ir procedūromis atitinkamoje trečiojoje valstybėje ar tarptautinėje organizacijoje užtikrinamą apsaugos lygį.

                     4.

                     Esant ilgalaikiam poreikiui su trečiąja valstybe ar tarptautine organizacija keistis įslaptinta informacija, kurios slaptumo žymos lygis nėra aukštesnis nei RESTREINT UE/EU RESTRICTED, ir nustačius, kad atitinkama šalis neturi pakankamai išplėtotos tokiai informacijai skirtos saugumo sistemos, kad ta šalis galėtų sudaryti susitarimą dėl informacijos saugumo, vyriausiasis įgaliotinis gali, vieningai pritarus EIVT saugumo komitetui pagal šio sprendimo 15 straipsnio 5 dalį, sudaryti administracinį susitarimą su atitinkamos trečiosios valstybės ar tarptautinės organizacijos kompetentingomis saugumo institucijomis.

                     5.

                     Keistis ESĮI su trečiąja valstybe ar tarptautine organizacija elektroninėmis priemonėmis neleidžiama, jei tai nėra aiškiai numatyta susitarime dėl informacijos saugumo arba administraciniame susitarime.

                     6.

                     Pagal administracinį susitarimą dėl keitimosi įslaptinta informacija EIVT ir trečioji valstybė ar tarptautinė organizacija įsteigia savo registratūras, kurios yra pagrindiniai įslaptintos informacijos, kuria keičiamasi, gavimo ir išsiuntimo punktai. EIVT atveju tai EIVT centrinė registratūra.

                     7.

                     Administraciniai susitarimai paprastai sudaromi pasikeičiant laiškais.

               III.   ĮVERTINIMO VIZITAI

                     8.

                     Šio sprendimo 17 straipsnyje nurodyti įvertinimo vizitai vykdomi sudarius dvišalį susitarimą su atitinkama trečiąja valstybe ar tarptautine organizacija; jų metu vertinami šie aspektai:

                                 a)

                                 įslaptintai informacijai apsaugoti taikoma reglamentavimo sistema;

                                 b)

                                 bet kokie trečiosios valstybės ar tarptautinės organizacijos saugumo įstatymų, taisyklių, strategijų ar procedūrų ypatumai, kurie galėtų daryti poveikį įslaptintos informacijos, kuria gali būti keičiamasi, didžiausiam slaptumo žymos lygiui;

                                 c)

                                 esamos saugumo priemonės ir procedūros, skirtos įslaptintai informacijai apsaugoti, ir

                                 d)

                                 patikimumo patikrinimo procedūros, susijusios su numatomos suteikti ESĮI slaptumo žymos lygiu.

                     9.

                     Kol neįvykdytas įvertinimo vizitas ir nenustatytas lygis, kuriuo šalys gali keistis įslaptinta informacija (remiantis jai suteikto apsaugos lygio lygiavertiškumo principu), ESĮI keistis negalima.
                     Jei prieš tokį įvertinimą vyriausiajam įgaliotiniui pranešama apie kokias nors išskirtines ar ypač svarbias priežastis keistis įslaptinta informacija, EIVT vykdo šiuos veiksmus:

                                 a)

                                 visų pirma siekia gauti informacijos rengėjo rašytinį sutikimą, kad įsitikintų, kad nėra jokių prieštaravimų suteikti šią informaciją;

                                 b)

                                 remiasi EIVT saugumo institucija, kuri gali nuspręsti suteikti informaciją, jei tam vieningai pritaria valstybės narės, atstovaujamos EIVT saugumo komitete.

                           Jei EIVT negali nustatyti atitinkamos informacijos rengėjo, EIVT saugumo institucija, gavusi vieningą EIVT saugumo komiteto narių pritarimą, perima rengėjo atsakomybę.

               IV.   LEIDIMAS SUTEIKTI ESĮI TREČIOSIOMS VALSTYBĖMS ARBA TARPTAUTINĖMS ORGANIZACIJOMS

                     10.

                     Jei nustatyta keitimosi įslaptinta informacija su trečiąja valstybe ar tarptautine organizacija sistema pagal A priedo 10 straipsnio 1 dalį, sprendimą, kuriuo EIVT trečiajai valstybei ar tarptautinei organizacijai suteikia ESĮI, priima EIVT saugumo institucija, kuri tokio leidimo suteikimą gali deleguoti aukštesnio rango EIVT pareigūnams ar kitiems jos vadovaujamiems darbuotojams.

                     11.

                     Jei EIVT nėra įslaptintos informacijos, kurią ketinama suteikti, rengėja, įskaitant pradinės medžiagos, kuri gali būti įtraukta į tą informaciją, rengėjus, EIVT pirmiausia prašo šios informacijos rengėjo pateikti rašytinį sutikimą suteikti šią informaciją, kad įsitikintų, kad nėra jokių prieštaravimų suteikti šią informaciją. Jei EIVT negali nustatyti atitinkamos informacijos rengėjo, EIVT saugumo institucija, gavusi vieningą valstybių narių, atstovaujamų EIVT saugumo komitete, pritarimą, perima rengėjo atsakomybę.

               V.   ESĮI AD HOC SUTEIKIMAS IŠIMTINE TVARKA

                     12.

                     Jei nėra vienos iš A priedo 10 straipsnio 1 dalyje nurodytų sistemų ir jei ES arba vienai ar daugiau jos valstybių narių dėl politinių, operacinių ar labai svarbių priežasčių būtina suteikti ESĮI, ESĮI gali būti išimties tvarka suteikta trečiajai valstybei ar tarptautinei organizacijai, jei įvykdyti toliau nurodyti veiksmai.
                     Už saugumą atsakingas EIVT direktoratas, įsitikinęs, kad pirmiau pateiktoje 11 dalyje nurodytos sąlygos įvykdytos:

                                 a)

                                 kiek įmanoma, patikrina atitinkamas trečiosios valstybės ar tarptautinės organizacijos saugumo institucijas, ar jų saugumo teisės aktai, struktūros bei procedūros yra pakankami, kad užtikrintų, jog joms suteikta ESĮI būtų apsaugota pagal ne mažiau griežtus standartus, nei yra nustatyti šiame sprendime;

                                 b)

                                 prašo EIVT saugumo komiteto remiantis turima informacija pateikti nuomonę, kiek galima pasitikėti atitinkamos trečiosios valstybės ar tarptautinės organizacijos, kuriai bus suteikta ESĮI, saugumo teisės aktais, struktūromis ir procedūromis;

                                 c)

                                 remiasi EIVT saugumo institucija, kuri gali nuspręsti suteikti informaciją, jei tam vieningai pritaria valstybės narės, atstovaujamos EIVT saugumo komitete.

                     13.

                     Jei nėra vienos iš A priedo 10 straipsnio 1 dalyje nurodytų sistemų, atitinkama trečioji šalis raštu prašo tinkamai apsaugoti ESĮI.

            A priedėlis

               Apibrėžtys

            Šiame sprendime vartojamų terminų apibrėžtys:

               akreditavimas: procesas, po kurio Saugumo akreditavimo institucija (SAI) pateikia oficialų pareiškimą, patvirtinantį kad sistemai yra leista veikti taikant nustatytą slaptumo žymos laipsnį, konkrečiu slaptumo režimu jos operacinėje aplinkoje ir priimtinu rizikos lygiu, laikantis prielaidos, kad įgyvendintas patvirtintas techninių, fizinių, organizacinių ir procedūrinių saugumo priemonių rinkinys;

               turtas: viskas, kas turi tam tikrą vertę organizacijai, jos veiklos operacijoms bei jų tęstinumui, įskaitant informacijos išteklius, padedančius vykdyti organizacijos misiją;

               leidimas susipažinti su ESĮI: EIVT saugumo institucijos leidimas, kuris suteikiamas pagal šį sprendimą, po to, kai valstybės narės kompetentingos institucijos suteikia APP, ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI (žr. A I priedo 2 straipsnį);

               pažeidimas: šiame sprendime nustatytoms saugumo taisyklėms ir (arba) saugumo strategijoms ar gairėms, kuriose nustatytos šių taisyklių įgyvendinimo priemonės, priešingas asmens veiksmas arba neveikimas;

               RIS gyvavimo ciklas: visa RIS egzistavimo trukmė, įskaitant inicijavimą, koncepciją, planavimą, reikalavimų analizę, projektavimą, sukūrimą, bandymą, įdiegimą, veikimą ir priežiūrą bei naudojimo nutraukimą;

               įslaptinta sutartis: EIVT ir rangovo sudaryta prekių tiekimo, darbų vykdymo arba paslaugų teikimo sutartis, kurią vykdant reikia susipažinti su ESĮI ar ją rengti arba suteikiama galimybė su ja susipažinti ar ją rengti;

               įslaptinta subrangos sutartis: EIVT rangovo ir kito rangovo (t. y. subrangovo) sudaryta prekių tiekimo, darbų vykdymo arba paslaugų teikimo sutartis, kurią vykdant reikia susipažinti su ESĮI ar ją rengti arba suteikiama galimybė su ja susipažinti ar ją rengti;

               ryšių ir informacinė sistema (RIS): sistema, sudaranti sąlygas tvarkyti informaciją elektroniniu būdu. Ryšių ir informacinė sistema apima visas sistemos dalis, kurių reikia jos veikimui, įskaitant infrastruktūrą, organizavimą, personalą ir informacijos išteklius, – žr. A priedo 8 straipsnio 2 dalį;

               ESĮI neteisėtas atskleidimas: visiškas ar dalinis ESĮI atskleidimas leidimo neturintiems asmenims ar subjektams (žr. 9 straipsnio 2 dalį);

               rangovas: fizinis arba juridinis asmuo, turintis teisnumą ir veiksnumą sudaryti sutartis;

               šifravimo priemonės: šifravimo algoritmai, šifravimo techninės ir programinės įrangos moduliai, priemonės, apimančios vykdymo informaciją bei susijusius dokumentus ir raktų duomenis;

               BSGP operacija: karinio ar civilinio krizių valdymo operacija vadovaujantis ES sutarties V antraštinės dalies 2 skyriumi;

               išslaptinimas: bet kokios slaptumo žymos panaikinimas;

               nuodugni apsauga: saugumo priemonių, kurios grupuojamos į kelis apsaugos lygius, taikymas;

               paskirtoji saugumo institucija (PSI): valstybės narės nacionalinei saugumo institucijai (NSI) atsakinga institucija, kuri atsako už pramonės ar kitų subjektų informavimą apie nacionalinę politiką visais pramoninio saugumo klausimais ir duoda nurodymus bei padeda ją įgyvendinti. PSI funkciją gali vykdyti NSI arba kita kompetentinga institucija;

               dokumentas: fiksuota informacija, neatsižvelgiant į jos fizinę formą ar charakteristikas;

               slaptumo žymos laipsnio sumažinimas: slaptumo žymos lygio sumažinimas;

               ES įslaptinta informacija (ESĮI): bet kuri informacija arba medžiaga, kurią neteisėtai atskleidus galėtų būti padaryta tam tikro dydžio žala Europos Sąjungos arba vienos ar kelių valstybių narių interesams ir kuriai suteikta ES slaptumo žyma – žr. 2 straipsnio f punktą);

               įmonės patikimumą patvirtinantis pažymėjimas (ĮPPP): NSI ar PSI administracinis patvirtinimas, kad saugumo požiūriu patalpose gali būti užtikrinta nurodyto slaptumo žymos lygio ESĮI tinkama apsauga ir kad buvo tinkamai patikrintas jose dirbančio personalo narių, kuriems reikia susipažinti su ESĮI, patikimumas bei jie buvo informuoti apie atitinkamus saugumo reikalavimus, būtinus norint susipažinti su ESĮI ir ją apsaugoti;

               ESĮI administravimas: visi galimi veiksmai, kurie gali būti atliekami su ESĮI per visą jos gyvavimo ciklą. Tai apima ESĮI parengimą, apdorojimą, gabenimą, slaptumo žymos laipsnio sumažinimą, išslaptinimą ir sunaikinimą. RIS atžvilgiu tai taip pat apima ESĮI rinkimą, skelbimą, perdavimą ir saugojimą;

               turėtojas: tinkamą leidimą turintis asmuo, kuris atitinka principą „būtina žinoti“ ir turi ESĮI dalį bei yra atitinkamai atsakingas už jos apsaugą;

               pramonės arba kitas subjektas: subjektas, tiekiantis prekes, vykdantis darbus arba teikiantis paslaugas; tai gali būti pramonės, prekybos, paslaugų, mokslo, mokslinių tyrimų, švietimo ar vystymo subjektas arba savarankiškai dirbantis asmuo;

               pramoninis saugumas: priemonių, kurias rangovai arba subrangovai taiko derybų dėl sutarčių sudarymo metu ir visą įslaptintų sutarčių gyvavimo ciklą siekdami užtikrinti ESĮI apsaugą, taikymas – žr. A priedo 9 straipsnio 1 dalį;

               informacijos saugumo užtikrinimas (ISU) ryšių ir informacinių sistemų srityje: užtikrinimas, kad tokiose sistemose tvarkoma informacija bus apsaugota ir kad, valdant teisėtiems naudotojams, jos veiks taip, kaip turi veikti, ir tada, kada turi veikti. Veiksmingas ISU užtikrina tinkamą konfidencialumo, vientisumo, prieinamumo, atsakomybės už veiksmus prisiėmimo ir autentiškumo lygį. ISU grindžiamas rizikos valdymo procesu – žr. A priedo 8 straipsnio 1 dalį;

               šiame sprendime sistemų tarpusavio sujungimas: tiesioginis dviejų ar daugiau IT sistemų sujungimas siekiant dalytis duomenimis ir kitais informacijos šaltiniais (pavyzdžiui, ryšiais) vienakrypčiu arba daugiakrypčiu būdu – žr. A IV priedo 31 dalį;

               įslaptintos informacijos administravimas: administracinių ESĮI kontrolės visą jos gyvavimo ciklą priemonių taikymas siekiant papildyti 5, 6 ir 8 straipsniuose numatytas priemones ir tokiu būdu atgrasyti nuo tokios informacijos sąmoningo ar atsitiktinio atskleidimo arba praradimo, nustatyti tokius atvejus ir pašalinti jų padarinius. Tokios priemonės visų pirma yra susijusios su ESĮI rengimu, registravimu, kopijavimu, vertimu, gabenimu, tvarkymu, saugojimu ir naikinimu – žr. A priedo 7 straipsnio 1 dalį;

               medžiaga: dokumentas arba bet kokie pagaminti ar gaminami įrenginiai ar įranga;

               rengėjas: ES institucija, agentūra ar įstaiga, valstybė narė, trečioji valstybė ar tarptautinė organizacija, kurios atsakomybe įslaptinta informacija buvo parengta ir (arba) pateikta naudoti ES struktūrose;

               personalo patikimumas: priemonių taikymas, siekiant užtikrinti, kad galimybė susipažinti su ESĮI būtų suteikta tik asmenims:

                        —

                        kuriems „būtina žinoti“,

                        —

                        kurių patikimumas patikrintas atitinkamu lygiu ir suteikta teisė prieiti prie informacijos, pažymėtos CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio saugumo žyma, arba kiti tinkami leidimai pagal nacionalinius įstatymus ir kitus teisės aktus ir

                        —

                        kurie yra informuoti apie savo pareigas –

                  žr. A priedo 5 straipsnio 1 dalį;

               asmens patikimumo pažymėjimas (APP), kuriuo suteikiama teisė susipažinti su ESĮI: valstybės narės kompetentingos institucijos patvirtinimas, kuris pateikiamas valstybės narės kompetentingoms institucijoms baigus patikimumo tyrimą ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI; laikoma, kad asmens, kuriam taikoma ši apibrėžtis, patikimumas patikrintas;

               asmens patikimumo pažymėjimą patvirtinanti pažyma (APPP): kompetentingos institucijos išduota pažyma, kurioje nurodoma, kad asmens patikimumas yra patikrintas ir jis turi galiojantį APP arba už saugumą atsakingo direktorato vadovo leidimą susipažinti su ESĮI, ir nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma), atitinkamo APP galiojimo laikas ir pačios pažymos galiojimo laikas;

               fizinis saugumas: fizinių ir techninių apsaugos priemonių taikymas siekiant užkirsti kelią leidimo neturintiems asmenims susipažinti su ESĮI – žr. A priedo 6 straipsnį;

               programos / projekto saugumo instrukcijos: (PRSI) saugumo procedūrų, kurios yra taikomos konkrečiai programai / projektui siekiant standartizuoti saugumo procedūras, sąrašas. Jos gali būti tikslinamos įgyvendinant programą / projektą;

               registravimas: procedūrų, kuriomis užregistruojamas informacijos gyvavimo ciklas, įskaitant jo platinimą ir sunaikinimą, taikymas – žr. A III priedo 21 dalį);

               likutinė rizika: rizika, kuri lieka po to, kai buvo įgyvendintos saugumo priemonės, atsižvelgiant į tai, kad ne nuo visų grėsmių apsisaugoma ir ne visi pažeidžiamumo aspektai gali būti pašalinti;

               rizika: galimybė, kad tam tikros grėsmės atveju bus pasinaudota organizacijos ar sistemų vidiniu ir išoriniu pažeidžiamumu ir taip bus padaryta žala organizacijai ir jos materialiajam ar nematerialiajam turtui. Ji įvertinama atsižvelgiant į kylančios grėsmės tikimybę ir į jos poveikį;

               rizikos pripažinimas: sprendimas atlikus rizikos tvarkymą pripažinti, kad vis dar yra likutinė rizika;

               rizikos įvertinimas: grėsmių ir pažeidžiamų sričių nustatymas bei susijusios rizikos analizės, t. y. galimumo ir poveikio analizės, atlikimas;

               informavimas apie riziką: RIS vartotojų bendruomenės informuotumo apie riziką didinimas, patvirtinimo institucijų informavimas apie tokią riziką ir pranešimų vykdančiosioms institucijoms teikimas;

               saugumo rizikos valdymo procesas: visas nebūtinai galinčių įvykti atvejų, kurie gali paveikti organizacijos arba jos naudojamų sistemų saugumą, nustatymo, kontrolės ir mažinimo procesas. Jis apima visą su rizika susijusią veiklą, įskaitant jos įvertinimą, valdymą, pripažinimą ir informavimą apie ją;

               rizikos valdymas: rizikos silpninimas, šalinimas, mažinimas (taikant tinkamas technines, fizines, organizacines arba procedūrines priemones), perkėlimas arba stebėjimas;

               saugumo aspektų paaiškinimas (SAP): specialių sutartinių sąlygų rinkinys, kurį parengia perkančioji institucija ir kuris yra įslaptintos sutarties, pagal kurią gali būti susipažįstama su ESĮI arba tokia informacija gali būti rengiama, sudėtinė dalis – jame nurodomi saugumo reikalavimai arba sutarties dalys, kurių saugumą būtina užtikrinti – žr. A V priedo II skyrių;

               slaptumo žymų vadovas: (SŽV) dokumentas, kuriame aprašomi programos arba sutarties įslaptintos dalys, nurodant taikomus slaptumo žymų laipsnius. SŽV gali būti papildomas programos arba sutarties vykdymo laikotarpiu, o informacijos dalims gali būti suteiktos naujos slaptumo žymos arba jų slaptumo žymos laipsnis gali būti sumažintas; tais atvejais, kai yra parengtas SŽV, jis yra SAP dalis – žr. A V priedo II skyrių;

               patikimumo tyrimas: tyrimo procedūros, kurias, vadovaudamasi valstybėje narėje galiojančiais įstatymais ir kitais teisės aktais, atlieka kompetentinga institucija siekdama gauti užtikrinimą, kad nėra jokios nepalankios informacijos, kuri neleistų asmeniui išduoti nacionalinio arba ES asmens patikimumo pažymėjimo, suteikiančio galimybę susipažinti su tam tikro lygio ESĮI (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija);

               saugios eksploatacijos taisyklės (SecOPs): saugumo politikos įgyvendinimo, kurį ketinama patvirtinti, eksploatacijos taisyklių, kurių reikia laikytis, ir personalo atsakomybės aprašas;

               neskelbtina neįslaptinta informacija: informacija arba medžiaga, kurią EIVT privalo apsaugoti dėl Sutartyse ir priimtuose jų įgyvendinimo aktuose nustatytų teisinių prievolių ir (arba) dėl jos neskelbtinumo. Neskelbtina neįslaptinta informacija apima (bet neapsiriboja) informaciją ar medžiagą, kuriai taikoma tarnybinės paslapties saugojimo prievolė, kaip nurodyta SESV 339 straipsnyje, informaciją, kuri susijusi su interesais, saugomais Europos Parlamento ir Tarybos reglamento (EB) Nr. 1049/2001 (1) 4 straipsniu kartu su atitinkama Europos Sąjungos Teisingumo Teismo praktika, arba asmens duomenis, patenkančius į Reglamento (EB) Nr. 45/2001 taikymo sritį;

               sistemos saugumo reikmių aktas (SSRA): saugumo principų, kurių reikia laikytis, ir išsamių saugumo reikalavimų, kuriuos reikia įgyvendinti, rinkinys, kuris yra RIS sertifikavimo ir akreditavimo pagrindas;

               TEMPEST: elektromagnetinio spinduliavimo, dėl kurio neteisėtai atskleidžiama informacija, tikrinimas, tyrimas bei kontrolė ir jo šalinimo priemonės;

               grėsmė: galimas nepageidaujamas atvejis, dėl kurio gali būti padaryta žala organizacijai ar jos naudojamoms sistemoms; tokios grėsmės gali būti atsitiktinės arba tyčinės (piktybinės); jas apibūdina pavojingi elementai, galimi taikiniai ir puolimo būdai;

               pažeidžiamumas: bet kokio pobūdžio silpnumas, kuriuo gali būti naudojamasi vienos ar daugiau grėsmių atveju. Pažeidžiamumas gali atsirasti dėl neveikimo arba gali būti susijęs su kontrolės stiprumo, išsamumo ar nuoseklumo trūkumu ir gali būti techninio, procedūrinio, fizinio, organizacinio ar veiklos pobūdžio.

               (1)  2001 m. gegužės 30 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 1049/2001 dėl galimybės visuomenei susipažinti su Europos Parlamento, Tarybos ir Komisijos dokumentais (OL L 145, 2001 5 31, p. 43).

            B priedas

               Saugumo klasifikacijų atitikmenys

                        EU

                        TRES SECRET UE / EU TOP SECRET

                        SECRET UE/EU SECRET

                        CONFIDENTIEL UE/EU CONFIDENTIAL

                        RESTREINT UE/EU RESTRICTED

                        EURATOMAS

                        EURA TOP SECRET

                        EURA SECRET

                        EURA CONFIDENTIAL

                        EURA RESTRICTED

                        Belgija

                        Très Secret (Loi 11.12.1998)
                        Zeer Geheim (Wet 11.12.1998)

                        Secret (Loi 11.12.1998)
                        Geheim (Wet 11.12.1998)

                        Confidentiel (Loi 11.12.1998)
                        Vertrouwelijk (Wet 11.12.1998)

                        Pastaba (1)

                        Bulgarija

                        Cтpoгo ceкретно

                        Ceкретно

                        Поверително

                        За служебно ползване

                        Čekija

                        Přísně tajné

                        Tajné

                        Důvěrné

                        Vyhrazené

                        Danija

                        Yderst hemmeligt

                        Hemmeligt

                        Fortroligt

                        Til tjenestebrug

                        Vokietija

                        STRENG GEHEIM

                        GEHEIM

                        VS (2) — VERTRAULICH

                        VS — NUR FÜR DEN DIENSTGEBRAUCH

                        Estija

                        Täiesti salajane

                        Salajane

                        Konfidentsiaalne

                        Piiratud

                        Airija

                        Top Secret

                        Secret

                        Confidential

                        Restricted

                        Graikija

                        Άκρως Απόρρητο
                        Santrumpa: ΑΑΠ

                        Απόρρητο
                        Santrumpa: (ΑΠ)

                        Εμπιστευτικό
                        Santrumpa: (ΕΜ)

                        Περιορισμένης Χρήσης
                        Santrumpa: (ΠΧ)

                        Ispanija

                        SECRETO

                        RESERVADO

                        CONFIDENCIAL

                        DIFUSIÓN LIMITADA

                        Prancūzija

                        Très Secret Défense

                        Secret Défense

                        Confidentiel Défense

                        Pastaba (3)

                        Kroatija

                        VRLO TAJNO

                        TAJNO

                        POVJERLJIVO

                        OGRANIČENO

                        Italija

                        Segretissimo

                        Segreto

                        Riservatissimo

                        Riservato

                        Kipras

                        Άκρως Απόρρητο
                        Santrumpa: (AΑΠ)

                        Απόρρητο
                        Santrumpa: (ΑΠ)

                        Εμπιστευτικό
                        Santrumpa: (ΕΜ)

                        Περιορισμένης Χρήσης
                        Santrumpa: (ΠΧ)

                        Latvija

                        Sevišķi slepeni

                        Slepeni

                        Konfidenciāli

                        Dienesta vajadzībām

                        Lietuva

                        Visiškai slaptai

                        Slaptai

                        Konfidencialiai

                        Riboto naudojimo

                        Liuksemburgas

                        Très Secret Lux

                        Secret Lux

                        Confidentiel Lux

                        Restreint Lux

                        Vengrija

                        „Szigorúan titkos!“

                        „Titkos!“

                        „Bizalmas!“

                        „Korlátozott terjesztésű!“

                        Мalta

                        L-Ogħla Segretezza

                        Sigriet

                        Kunfidenzjali

                        Ristrett

                        Nyderlandai

                        Stg. ZEER GEHEIM

                        Stg. GEHEIM

                        Stg. CONFIDENTIEEL

                        Dep. VERTROUWELIJK

                        Austrija

                        Streng Geheim

                        Geheim

                        Vertraulich

                        Eingeschränkt

                        Lenkija

                        Ściśle Tajne

                        Tajne

                        Poufne

                        Zastrzeżone

                        Portugalija

                        Muito Secreto

                        Suomija

                        Confidencial

                        Reservado

                        Rumunija

                        Strict secret de importanță deosebită

                        Strict secret

                        Secret

                        Secret de serviciu

                        Slovėnija

                        Strogo tajno

                        Tajno

                        Zaupno

                        Interno

                        Slovakija

                        Prísne tajné

                        Tajné

                        Dôverné

                        Vyhradené

                        Suomija

                        ERITTÄIN SALAINEN
                        YTTERST HEMLIG

                        SALAINEN
                        HEMLIG

                        LUOTTAMUKSELLINEN
                        KONFIDENTIELL

                        KÄYTTÖ RAJOITETTU
                        BEGRÄNSAD TILLGÅNG

                        Švedija (4)

                        HEMLIG/TOP SECRET

                        HEMLIG/SECRET

                        HEMLIG/CONFIDENTIAL

                        HEMLIG/RESTRICTED

                        HEMLIG AV SYNNERLIG BETYDELSE FÖR RIKETS SÄKERHET

                        HEMLIG

                        HEMLIG

                        HEMLIG

                        Jungtinė Karalystė

                        UK TOP SECRET

                        UK SECRET

                        Ekvivalento nėra (5)

                        UK OFFICIAL - SENSITIVE

               (1)  Diffusion Restreinte/Beperkte Verspreiding nėra slaptumo žyma Belgijoje. Žyma RESTREINT UE/EU RESTRICTED pažymėtą informaciją Belgija tvarko ir saugo taip pat griežtai, kaip taikant nustatytus Europos Sąjungos Tarybos saugumo taisyklėse aprašytus standartus ir procedūras.

               (2)  Vokietijoje: VS = Verschlusssache.

               (3)  Prancūzijos nacionalinėje sistemoje slaptumo žyma RESTREINT nenaudojama. Žyma RESTREINT UE/EU RESTRICTED pažymėtą informaciją Prancūzija tvarko ir saugo taip pat griežtai, kaip taikant nustatytus Europos Sąjungos Tarybos saugumo taisyklėse aprašytus standartus ir procedūras.

               (4)  Švedija: viršutinėje eilutėje nurodytas saugumo klasifikacijos žymas naudoja gynybos institucijos, o nurodytas apatinėje eilutėje – kitos institucijos.

               (5)  Žyma CONFIDENTIEL UE/ES CONFIDENTIAL pažymėtą ESĮI Jungtinė Karalystė tvarko ir saugo laikydamasi žyma UK SECRET pažymėtai informacijai taikomų apsauginių saugumo reikalavimų.